[go: up one dir, main page]

CN111698264A - 用于保持用户认证会话的方法和装置 - Google Patents

用于保持用户认证会话的方法和装置 Download PDF

Info

Publication number
CN111698264A
CN111698264A CN202010595867.1A CN202010595867A CN111698264A CN 111698264 A CN111698264 A CN 111698264A CN 202010595867 A CN202010595867 A CN 202010595867A CN 111698264 A CN111698264 A CN 111698264A
Authority
CN
China
Prior art keywords
authentication
message
certificate
public key
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010595867.1A
Other languages
English (en)
Inventor
陈昱良
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
JD Digital Technology Holdings Co Ltd
Original Assignee
JD Digital Technology Holdings Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by JD Digital Technology Holdings Co Ltd filed Critical JD Digital Technology Holdings Co Ltd
Priority to CN202010595867.1A priority Critical patent/CN111698264A/zh
Publication of CN111698264A publication Critical patent/CN111698264A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0846—Network architectures or network communication protocols for network security for authentication of entities using passwords using time-dependent-passwords, e.g. periodically changing passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本公开的实施例公开了用于保持用户认证会话的方法和装置。该方法的一具体实施方式包括：与认证服务端进行密钥协商，得到第一公共密钥；将账号凭证通过第一公共密钥加密后生成认证会话请求，并将认证会话请求发送给认证服务端；接收认证服务端发送的经第一公共密钥加密的第一认证会话凭证报文；使用第一公共密钥对加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，第一认证凭证报文签名是通过认证服务端的私钥对第一认证凭证报文加密得到的。该实施方式提高了报文的安全性和应用服务的验签效率。

Description

用于保持用户认证会话的方法和装置
技术领域
本公开的实施例涉及计算机技术领域，具体涉及用于保持用户认证会话的方法和装置。
背景技术
在分布式系统中，认证会话保持是指在无状态的应用服务器上的一种保持用户认证状态的机制，用户只需要通过客户端登录到统一认证系统输入认证报文信息，登录成功后，在一段时间内可以通过的认证会话凭证报文信息请求分布式系统的任何应用服务，应用服务向统一认证系统发送校验凭证报文的真实性请求。如果校验不通过，应用服务则控制不让客户端访问；如果通过，应用服务在本地备份保存报文信息，后续客户端再次请求时可以认为客户端与服务器之间交互过程的安全性，在不同的应用服务器上响应客户端时，也可以根据凭证报文信息进行访问控制。
上述技术方案存在以下几个缺点：1、如果用户认证会话有效期设置的很长，由于认证会话凭证报文保持不变，且所有的业务请求报文都包含凭证报文，一旦业务系统泄露了认证报文，则窃取者很容易伪造客户端向业务服务发起非法的请求。2、应用服务需要请求统一认证服务进行真实性校验，消耗了应用服务的网络资源导致性能下降，尽管可以采用本地缓存方式，但是同样面临缓存同步问题，在用户收回认证凭证时，由于无法同步应用服务的缓存导致访问控制失效。3、用户的认证会话报文中存在用户信息，因为没有进行加密处理，导致用户信息泄露。
发明内容
本公开的实施例提出了用于保持用户认证会话的方法和装置。
第一方面，本公开的实施例提供了一种用于保持用户认证会话的方法，应用于客户端，包括：与认证服务端进行密钥协商，得到第一公共密钥；将账号凭证通过所述第一公共密钥加密后生成认证会话请求，并将所述认证会话请求发送给所述认证服务端；接收所述认证服务端发送的经所述第一公共密钥加密的第一认证会话凭证报文；使用所述第一公共密钥对所述加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，所述第一认证凭证报文签名是通过所述认证服务端的私钥对第一认证凭证报文加密得到的。
在一些实施例中，该方法还包括：与应用服务端进行密钥协商，得到第二公共密钥；组装包括第一认证凭证报文签名的业务报文；使用第二公共密钥对业务报文加密后生成业务请求；将业务请求发送给应用服务端。
在一些实施例中，该方法还包括：响应于接收到应用服务端返回的因超时导致的业务请求失败消息，向认证服务端发送续期请求，其中，续期请求包括通过第一公共密钥加密的第一刷新凭证报文；接收认证服务端发送的经第一公共密钥加密的第二认证会话凭证报文；使用第一公共密钥对加密的第二认证会话凭证报文进行解密，得到第二刷新凭证报文和第二认证凭证报文签名，其中，第二认证凭证报文签名是通过认证服务端的私钥对第二认证凭证报文加密得到的。
在一些实施例中，该方法还包括：响应于接收到退出请求，将失效的刷新凭证报文通过第一公共密钥加密后生成终止请求；将终止请求发送给认证服务端；响应于接收到认证服务端发送的终止成功消息，通过第一公共密钥对终止成功消息解密后，得到失效的刷新凭证报文；删除失效的刷新凭证报文和对应的失效的认证凭证报文签名。
第二方面，本公开的实施例提供了一种用于保持用户认证会话的方法，应用于认证服务端，包括：与客户端进行密钥协商，得到第一公共密钥；响应于接收到客户端发送的认证会话请求，通过第一公共密钥对认证会话请求解密，得到账号凭证；对账号凭证进行校验；若校验成功，则根据账号凭证获取用户信息并组装认证报文；根据认证报文和凭证失效时间组装第一认证凭证报文；使用私钥对第一认证凭证报文加密得到第一认证凭证报文签名；根据刷新失效时间组装第一刷新凭证报文；根据第一刷新凭证报文和第一认证凭证报文签名组装第一认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在一些实施例中，该方法还包括：响应于接收到客户端发送的续期请求，对续期请求进行解密，得到第一刷新凭证报文，其中，续期请求包括通过第一公共密钥加密后的第一刷新凭证报文；判断第一刷新凭证报文是否失效；若未失效，则删除第一刷新凭证报文；根据认证报文和更新的凭证失效时间组装第二认证凭证报文；使用私钥对第二认证凭证报文加密得到第二认证凭证报文签名；根据更新的刷新失效时间组装第二刷新凭证；根据第二刷新凭证报文和第二认证凭证报文签名组装第二认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在一些实施例中，该方法还包括：若失效，则向客户端发送续期请求失败消息。
在一些实施例中，该方法还包括：响应于接收到客户端发送的终止请求，使用第一公共密钥对终止请求解密，得到失效的刷新凭证报文；判断失效的刷新凭证报文是否失效；若失效，则向客户端发送经第一公共密钥加密得到的终止请求失败消息；若未失效，则删除失效的刷新凭证报文，向客户端发送经第一公共密钥加密得到的终止请求成功消息。
第三方面，本公开的实施例提供了一种用于保持用户认证会话的方法，应用于应用服务端，包括：与客户端进行密钥协商，得到第二公共密钥；响应于接收到业务请求，使用第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文；获取认证服务端的公钥；使用公钥对第一认证凭证报文签名解密；若解密成功，则得到第一认证凭证报文，并从第一认证凭证报文中解析出用户信息和凭证失效时间；若未到达凭证失效时间，则根据用户信息进行业务处理，并向客户端发送业务请求成功消息。
在一些实施例中，该方法还包括：若解密失败或到达凭证失效时间，则向客户端发送业务请求失败消息。
第四方面，本公开的实施例提供了一种用于保持用户认证会话的装置，应用于客户端，包括：第一协商单元，被配置成与认证服务端进行密钥协商，得到第一公共密钥；认证请求单元，被配置成将账号凭证通过第一公共密钥加密后生成认证会话请求，并将认证会话请求发送给认证服务端；接收单元，被配置成接收认证服务端发送的经第一公共密钥加密的第一认证会话凭证报文；解密单元，被配置成使用第一公共密钥对加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，第一认证凭证报文签名是通过认证服务端的私钥对第一认证凭证报文加密得到的。
在一些实施例中，该装置还包括：第二协商单元，被配置成与应用服务端进行密钥协商，得到第二公共密钥；组装单元，被配置成组装包括第一认证凭证报文签名的业务报文；加密单元，被配置成使用第二公共密钥对业务报文加密后生成业务请求；发送单元，被配置成将业务请求发送给应用服务端。
在一些实施例中，该装置还包括续期请求单元，被配置成：响应于接收到应用服务端返回的因超时导致的业务请求失败消息，向认证服务端发送续期请求，其中，续期请求包括通过第一公共密钥加密的第一刷新凭证报文；接收认证服务端发送的经第一公共密钥加密的第二认证会话凭证报文；使用第一公共密钥对加密的第二认证会话凭证报文进行解密，得到第二刷新凭证报文和第二认证凭证报文签名，其中，第二认证凭证报文签名是通过认证服务端的私钥对第二认证凭证报文加密得到的。
在一些实施例中，该装置还包括终止认证单元，被配置成：响应于接收到退出请求，将失效的刷新凭证报文通过第一公共密钥加密后生成终止请求；将终止请求发送给认证服务端；响应于接收到认证服务端发送的终止成功消息，通过第一公共密钥对终止成功消息解密后，得到失效的刷新凭证报文；删除失效的刷新凭证报文和对应的失效的认证凭证报文签名。
第五方面，本公开的实施例提供了一种用于保持用户认证会话的装置，应用于认证服务端，包括：第三协商单元，被配置成与客户端进行密钥协商，得到第一公共密钥；解密单元，被配置成响应于接收到客户端发送的认证会话请求，通过第一公共密钥对认证会话请求解密，得到账号凭证；校验单元，被配置成对账号凭证进行校验；第一报文组装单元，被配置成若校验成功，则根据账号凭证获取用户信息并组装认证报文；第二报文组装单元，被配置成根据认证报文和凭证失效时间组装第一认证凭证报文；私钥加密单元，被配置成使用私钥对第一认证凭证报文加密得到第一认证凭证报文签名；第三报文组装单元，被配置成根据刷新失效时间组装第一刷新凭证报文；加密发送单元，被配置成根据第一刷新凭证报文和第一认证凭证报文签名组装第一认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在一些实施例中，该装置还包括凭证续期单元，被配置成：响应于接收到客户端发送的续期请求，对续期请求进行解密，得到第一刷新凭证报文，其中，续期请求包括通过第一公共密钥加密后的第一刷新凭证报文；判断第一刷新凭证报文是否失效；若未失效，则删除第一刷新凭证报文；根据认证报文和更新的凭证失效时间组装第二认证凭证报文；使用私钥对第二认证凭证报文加密得到第二认证凭证报文签名；根据更新的刷新失效时间组装第二刷新凭证；根据第二刷新凭证报文和第二认证凭证报文签名组装第二认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在一些实施例中，该装置还包括发送单元，被配置成：若失效，则向客户端发送续期请求失败消息。
在一些实施例中，该装置还包括凭证删除单元，被配置成：响应于接收到客户端发送的终止请求，使用第一公共密钥对终止请求解密，得到失效的刷新凭证报文；判断失效的刷新凭证报文是否失效；若失效，则向客户端发送经第一公共密钥加密得到的终止请求失败消息；若未失效，则删除失效的刷新凭证报文，向客户端发送经第一公共密钥加密得到的终止请求成功消息。
第六方面，本公开的实施例提供了一种用于保持用户认证会话的装置，应用于应用服务端，包括：第四协商单元，被配置成与客户端进行密钥协商，得到第二公共密钥；公共密钥解密单元，被配置成响应于接收到业务请求，使用第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文；获取单元，被配置成获取认证服务端的公钥；公钥解密单元，被配置成使用公钥对第一认证凭证报文签名解密；解析单元，被配置成若解密成功，则得到第一认证凭证报文，并从第一认证凭证报文中解析出用户信息和凭证失效时间；业务处理单元，被配置成若未到达凭证失效时间，则根据用户信息进行业务处理，并向客户端发送业务请求成功消息。
在一些实施例中，该装置还包括发送单元，被配置成：若解密失败或到达凭证失效时间，则向客户端发送业务请求失败消息。
第七方面，本公开的实施例提供了一种用于保持用户认证会话的系统，包括：客户端，被配置成实现如第一方面中任一项的方法；认证服务端，被配置成实现如第二方面中任一项的方法；应用服务端，被配置成实现如第三方面中任一项的方法.
第八方面，本公开的实施例提供了一种用于保持用户认证会话的电子设备，包括：一个或多个处理器；存储装置，其上存储有一个或多个程序，当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如第一方面、第二方面、第三方面中任一项的方法。
第九方面，本公开的实施例提供了一种计算机可读介质，其上存储有计算机程序，其中，程序被处理器执行时实现如第一方面、第二方面、第三方面中任一项的方法。
本公开的实施例提供的用于保持用户认证会话的方法和装置，在认证会话有效期内，认证会话凭证报文可以动态变化而且每次凭证报文只在很短的时间内有效，防止凭证报文泄漏后而被盗用。应用服务端在接到客户端请求时，不依赖认证服务端而可以校验认证会话报文的真实性。客户端和应用服务端直接通过协商密钥的方式交换动态密钥，并通过密钥对认证会话报文的用户信息进行加密。
具有以下优点：1、认证凭证报文签名动态变化且有效期很短，就算被窃听者获取，因为超时也无法进行报文冒充；2、刷新凭证报文只在客户端和认证服务端保存，减少了网络传输泄露的风险；3、应用服务端通过认证服务端的公钥本地验签，提高了应用服务端的验签效率；4、客户端和不同的应用服务端进行密钥协商，网络传输报文通过公共密钥加密，提高了报文的安全性。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：
图1是本公开的一个实施例可以应用于其中的示例性系统架构图；
图2是根据本公开的用于保持用户认证会话的方法应用于客户端的一个实施例的流程图；
图3是根据本公开的用于保持用户认证会话的方法应用于认证服务端的一个实施例的流程图；
图4是根据本公开的用于保持用户认证会话的方法应用于应用服务端的一个实施例的流程图；
图5是根据本公开的用于保持用户认证会话的方法的一个应用场景的示意图；
图6是根据本公开的用于保持用户认证会话的装置应用于客户端的一个实施例的结构示意图；
图7是根据本公开的用于保持用户认证会话的装置应用于认证服务端的一个实施例的结构示意图；
图8是根据本公开的用于保持用户认证会话的装置应用于应用服务端的一个实施例的结构示意图；
图9是适于用来实现本公开的实施例的电子设备的计算机系统的结构示意图。
具体实施方式
下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。
需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。
图1示出了可以应用本公开的用于保持用户认证会话的方法或用于保持用户认证会话的装置的实施例的示例性系统架构100。
如图1所示，系统架构100可以包括客户端101、认证服务端102、应用服务端103。客户端101、认证服务端102、应用服务端103之间通过有线网络或无线网络连接。
用户可以使用客户端101通过网络与认证服务端102、应用服务端103交互，以接收或发送消息等。客户端101上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。
客户端101可以是硬件，也可以是软件。当客户端101为硬件时，可以是支持用户名、密码登录的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。当终端设备101、102、103为软件时，可以安装在上述所列举的电子设备中。其可以实现成多个软件或软件模块(例如用来提供分布式服务)，也可以实现成单个软件或软件模块。在此不做具体限定。
认证服务端102用于对用户通过客户端输入的账号、密码进行校验。如果校验成功则发给客户端凭证。客户端可使用该凭证登录应用服务端。应用服务端用于进行业务处理，例如，余额查询、转账等。
需要说明的是，认证服务端102、应用服务端103可以是硬件，也可以是软件。当认证服务端102、应用服务端103为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当认证服务端102、应用服务端103为软件时，可以实现成多个软件或软件模块(例如用来提供分布式服务的多个软件或软件模块)，也可以实现成单个软件或软件模块。在此不做具体限定。
需要说明的是，本公开的实施例所提供的用于保持用户认证会话的方法可以由客户端101、认证服务端102、应用服务端103执行。相应地，用于保持用户认证会话的装置可以设置于客户端101、认证服务端102、应用服务端103中。
应该理解，图1中的客户端101、认证服务端102、应用服务端103的数目仅仅是示意性的。根据实现需要，可以具有任意数目的客户端101、认证服务端102、应用服务端103。
继续参考图2，示出了根据本公开的用于保持用户认证会话的方法应用于客户端的一个实施例的流程200。该用于保持用户认证会话的方法，包括以下步骤：
步骤201，与认证服务端进行密钥协商，得到第一公共密钥。
在本实施例中，用于保持用户认证会话的方法的执行主体(例如图1所示的客户端)可以登录到认证服务端，与认证服务端进行密钥协商，得到仅用于客户端和认证服务端的公共密钥，由于本申请中涉及2次密钥协商，因此将客户端与认证服务端协商得到的公共密钥称为第一公共密钥。将客户端与应用服务端协商得到的公共密钥称为第二公共密钥。
密钥协商(Secret Key Agreement)是网络中的两个实体通过协商，共同建立会话密钥，任何一个参与者均对结果产生影响，不需要任何可信的第三方。其原理是使用一种密钥交换(Diffie-Hellman)的函数，该函数一般基于密钥一致性数学理论，也就是通信双方仅通过交换一些可以公开的信息就能够生成出共享的密码数字，而这一密码数字就可以被用作对称密码的密钥。一个合格的密钥交换函数应该具备两个主要特点：
1.对于两个保密的原始私钥，通过公开参数双方可以在本地计算生成出一个相同的共享密钥，
2.很难根据公开信息反算出共享密钥。
在信息安全的实际应用中，如果双方在不可控的网络进行报文传递，双方需要通过密钥协商得到公共密钥，然后加密报文，就可以认定加密数据是只有双方可以解密的。
步骤202，将账号凭证通过第一公共密钥加密后生成认证会话请求，并将认证会话请求发送给认证服务端。
在本实施例中，账号凭证是用户输入的用户名、密码。将账号凭证用认证服务端已知的第一公共密钥加密后发给认证服务端。然后认证服务端就可以执行步骤302-308。
步骤203，接收认证服务端发送的经第一公共密钥加密的第一认证会话凭证报文。
在本实施例中，认证服务端最终生成认证会话凭证报文，加密后发给客户端。认证会话凭证报文包括认证凭证报文签名(下文简称为AT)和刷新凭证报文(下文简称为RT)。其中AT的有效期比较短，例如2分钟。AT可以重复使用，AT经过认证服务端的公钥验签后可以获取用户的信息。RT的有效期大于AT有效期，可以为一小时甚至更长，但是只能使用一次，只保存在用户的客户端，而且只能由认证服务端校验。
在本申请中为了与凭证续期的AT，RT区分，将续期前的认证会话凭证报文称为第一认证会话凭证报文，将续期后的认证会话凭证报文称为第二认证会话凭证报文。
步骤204，使用第一公共密钥对加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名。
在本实施例中，客户端与认证服务端交互的信息都是通过它们协商的公共密钥加密发送的，因此接收方也需要通过公共密钥解密，其中，第一认证凭证报文签名是通过认证服务端的私钥对第一认证凭证报文加密得到的。解密得到的第一刷新凭证报文RT和第一认证凭证报文签名AT保存在用户的客户端。
在本实施例的一些可选的实现方式中，该方法还包括：与应用服务端进行密钥协商，得到第二公共密钥；组装包括第一认证凭证报文签名的业务报文；使用第二公共密钥对业务报文加密后生成业务请求；将业务请求发送给应用服务端。该过程与步骤401-406相对应。
在本实施例的一些可选的实现方式中，该方法还包括：响应于接收到应用服务端返回的因超时导致的业务请求失败消息，向认证服务端发送续期请求，其中，续期请求包括通过第一公共密钥加密的第一刷新凭证报文；接收认证服务端发送的经第一公共密钥加密的第二认证会话凭证报文；使用第一公共密钥对加密的第二认证会话凭证报文进行解密，得到第二刷新凭证报文和第二认证凭证报文签名，其中，第二认证凭证报文签名是通过认证服务端的私钥对第二认证凭证报文加密得到的。由于AT的时效短，很快就过期了，但是可通过RT来续期，如果在RT的有效期内，则可向认证服务端发送续期请求，由认证服务端进行验证。RT生成后在认证服务端记录，RT只能使用一次，如果RT使用过了，则对应的AT也失效，无法续期，此时向客户端发送续期失败消息。如果RT未使用过，此次使用后从认证服务端的记录中删除该RT。
在本实施例的一些可选的实现方式中，该方法还包括：响应于接收到退出请求，将失效的刷新凭证报文通过第一公共密钥加密后生成终止请求；将终止请求发送给认证服务端；响应于接收到认证服务端发送的终止成功消息，通过第一公共密钥对终止成功消息解密后，得到失效的刷新凭证报文；删除失效的刷新凭证报文和对应的失效的认证凭证报文签名。用户退出登录时，客户端向认证服务端发送退出请求。此时是用户主动让刷新凭证报文失效的。
继续参考图3，示出了根据本公开的用于保持用户认证会话的方法应用于认证服务端的一个实施例的流程300。该用于保持用户认证会话的方法，包括以下步骤：
步骤301，与客户端进行密钥协商，得到第一公共密钥。
在本实施例中，用于保持用户认证会话的方法的执行主体(例如图1所示的认证服务端)可接收到来自客户端的登录请求，与客户端进行密钥协商，具体过程与步骤201基本相同，因此不再赘述。
步骤302，响应于接收到客户端发送的认证会话请求，通过第一公共密钥对认证会话请求解密，得到账号凭证。
在本实施例中，由于认证会话请求是账号凭证通过第一公共密钥加密得到的，因此通过第一公共密钥解密可得到账号凭证。
步骤303，对账号凭证进行校验。
在本实施例中，根据账号凭证查询已经注册的信息，验证账号凭证是否有效。例如，将账号凭证中的用户名、密码与注册信息库中的用户名、密码进行匹配，如果匹配成功，则验证通过。
步骤304，若校验成功，则根据账号凭证获取用户信息并组装认证报文。
在本实施例中，如果校验成功，则可根据账号凭证获取用户信息。例如，用户的姓名、性别、年龄、角色等。可按预定的格式将用户信息组装成认证报文。
如果校验失败，则反馈给客户端认证失败消息。认证失败消息可以通过第一公共密钥加密后发给客户端。为了节省开销，也可不加密，直接发送认证失败消息。用特殊的字段标识该认证失败消息未加密。
步骤305，根据认证报文和凭证失效时间组装第一认证凭证报文。
在本实施例中，认证凭证是有有效期的，例如2分钟，可根据当前时间和有效时长来设置凭证失效时间，例如，失效时间2020-6-3 13：20，表示在2020-6-3 13：20之后，认证凭证报文会失效。
步骤306，使用私钥对第一认证凭证报文加密得到第一认证凭证报文签名。
在本实施例中，使用消息签名技术对第一认证凭证报文加密得到第一认证凭证报文签名。发送方用私钥加密，接收方用公钥解密。
消息签名(Message Signature)技术是一种被广泛利用在信息安全领域的技术。其基本原理是利用一个非对称加密(Asymmetric Encryption)函数，发送方对发送的报文内容进行私钥加密运算，输出一个加密的比特串。一般称该比特串为消息签名，接收方通过获取发送方的公钥对密文报文进行解密，如果解密成功那么证明该消息签名确实为发送方发送,一般把该解密过程称为验签(Message Signature Verification),一个合格的非对称加密函数具备四个主要特点：
1.对于给定的消息明文，能通过私钥加密，很容易地得到消息签名，
2.对于给定的消息签名，能通过公钥解密，很容易地得到消息明文，
3.很难找到两个不同的私钥生成的消息签名被同一个公钥解密，
4.很难找到一个比特串被公钥验签且得到可以理解的原始消息明文。
在信息安全的实际应用中，如果一份消息签名数据可以被公钥解密，就可以认定这份数据是用私钥加密得到。
步骤307，根据刷新失效时间组装第一刷新凭证报文。
在本实施例中，除了有认证凭证之外，还有刷新凭证。认证凭证的有效期很短，认证凭证过期后，可利用刷新凭证申请认证凭证续期。刷新凭证也是有失效时间的。在有效时间内，如果刷新凭证未使用过，认证服务端可以允许认证凭证续期，则向客户端发新的AT和RT。用户不需要再输入用户名、密码，即可得到认证。刷新凭证的有效期要比认证凭证的长。可根据当前时间和刷新凭证的有效时长来设置刷新凭证失效时间，例如，失效时间2020-6-3 17：20，表示在2020-6-3 17：20之后，刷新凭证报文会失效。
步骤308，根据第一刷新凭证报文和第一认证凭证报文签名组装第一认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在本实施例中，刷新凭证报文RT和认证凭证报文签名AT合并在一起组成认证会话凭证报文。加密后发给客户端，然后客户端会执行步骤203-204。
在本实施例的一些可选的实现方式中，该方法还包括：响应于接收到客户端发送的续期请求，对续期请求进行解密，得到第一刷新凭证报文，其中，续期请求包括通过第一公共密钥加密后的第一刷新凭证报文；判断第一刷新凭证报文是否失效；若未失效，则删除第一刷新凭证报文；根据认证报文和更新的凭证失效时间组装第二认证凭证报文；使用私钥对第二认证凭证报文加密得到第二认证凭证报文签名；根据更新的刷新失效时间组装第二刷新凭证；根据第二刷新凭证报文和第二认证凭证报文签名组装第二认证会话凭证报文，并使用第一公共密钥加密后发给客户端。这里的失效指的是超时或者被使用过。刷新凭证报文中包括刷新失效时间，可根据刷新失效时间来判断RT是否超时。RT只能使用一次，使用过就从记录中删除，因此只要查找记录中是否存在用于续期的RT就知道是否使用过。如果RT有效，则允许续期，续期过程与步骤305-308相同。
继续参考图4，示出了根据本公开的用于保持用户认证会话的方法应用于应用服务端的一个实施例的流程400。该用于保持用户认证会话的方法，包括以下步骤：
步骤401，与客户端进行密钥协商，得到第二公共密钥。
在本实施例中，用于保持用户认证会话的方法的执行主体(例如图1所示的应用服务端)可以与客户端进行密钥协商，得到第二公共密钥。具体过程与步骤201类似。
步骤402，响应于接收到业务请求，使用第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文。
在本实施例中，业务请求来自客户端，客户端组装包括第一认证凭证报文签名的业务报文；使用第二公共密钥对业务报文加密后生成业务请求。因此可通过第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文。
步骤403，获取认证服务端的公钥。
在本实施例中，认证服务端的公钥通知整个系统的，应用服务端也能获得。
步骤404，使用公钥对第一认证凭证报文签名解密。
在本实施例中，由于第一认证凭证报文签名是认证服务端使用自己的私钥对所述第一认证凭证报文加密得到的，因此可通过认证服务端的公钥解密得到第一认证凭证报文。
步骤405，若解密成功，则得到第一认证凭证报文，并从第一认证凭证报文中解析出用户信息和凭证失效时间。
在本实施例中，如果解密成功，则得到第一认证凭证报文。然后按组装第一认证凭证报文的格式从中解析出用户信息和凭证失效时间。该过程是步骤305的逆过程。
步骤406，若未到达凭证失效时间，则根据用户信息进行业务处理，并向客户端发送业务请求成功消息。
在本实施例中，如果AT未失效，则可直接使用用户信息进行业务处理，并反馈业务请求成功消息。为了简便处理，可不对业务请求成功消息进行加密。
在本实施例的一些可选的实现方式中，若解密失败或到达凭证失效时间，则向所述客户端发送业务请求失败消息。
继续参见图5，图5是根据本实施例的用于保持用户认证会话的方法的应用场景的一个示意图。在图5的应用场景中，涉及4种阶段，具体流程如下所示：
1、认证报文请求阶段：
用户的客户端和认证服务端直接通过密钥协商得到安全的第一公共密钥，并通过该密钥进行加密传输报文；
用户输入账号凭证(例：用户名、密码)发送给认证服务端，请求认证会话凭证，包含认证凭证报文消息签名AT(Access Token)和刷新凭证RT(Refresh Token)。其中AT的有效期为2分钟可以重复使用，AT经过认证服务的公钥验签后可以获取用户的信息；RT的有效期大于AT有效期，可以为一小时甚至更长，但是只能使用一次，只保存在用户的客户端，而且只能由认证服务端校验；
2、认证会话凭证使用阶段：
用户客户端和应用服务端直接通过密钥协商得到安全的第二公共密钥，组装信息和消息签名AT为请求报文，并通过该第二公共密钥进行加密传输此报文；
应用服务端接到用户请求报文，通过第二公共密钥解密得到明文，然后通过认证服务端的公钥对消息签名AT验签，验签成功后得到用户明文信息，明文中包含凭证失效时间，如果验签失败或者凭证已经超时则返回用户访问失败；
3、认证会话凭证续期阶段：
客户端认证会话凭证AT超时后，使用第一公共密钥对刷新凭证报文RT加密，认证服务端接到续期请求加密报文后进行解密，判断RT是否已经使用过，验证通过后下发新的认证会话凭证的消息签名AT和续期凭证RT给客户端；
客户端可使用新的RT继续进入认证会话凭证使用阶段。
4、用户终止认证会话阶段：
客户端使用第一公共密钥对刷新凭证报文RT加密，认证服务端接到终止认证会话请求加密报文后进行解密，判断RT是否已经使用过，验证通过后删除RT，后续RT不可以再续期。
进一步参考图6，作为对上述各图所示方法的实现，本公开提供了一种用于保持用户认证会话的装置应用于客户端的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。
如图6所示，本实施例的用于保持用户认证会话的装置600包括：第一协商单元601、认证请求单元602、接收单元603和解密单元604。其中，第一协商单元601，被配置成与认证服务端进行密钥协商，得到第一公共密钥；认证请求单元602，被配置成将账号凭证通过第一公共密钥加密后生成认证会话请求，并将认证会话请求发送给认证服务端；接收单元603，被配置成接收认证服务端发送的经第一公共密钥加密的第一认证会话凭证报文；解密单元604，被配置成使用第一公共密钥对加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，第一认证凭证报文签名是通过认证服务端的私钥对第一认证凭证报文加密得到的。
在本实施例的一些可选的实现方式中，该装置还包括：第二协商单元(附图中未示出)，被配置成与应用服务端进行密钥协商，得到第二公共密钥；组装单元(附图中未示出)，被配置成组装包括第一认证凭证报文签名的业务报文；加密单元(附图中未示出)，被配置成使用第二公共密钥对业务报文加密后生成业务请求；发送单元(附图中未示出)，被配置成将业务请求发送给应用服务端。
在本实施例的一些可选的实现方式中，该装置还包括续期请求单元(附图中未示出)，被配置成：响应于接收到应用服务端返回的因超时导致的业务请求失败消息，向认证服务端发送续期请求，其中，续期请求包括通过第一公共密钥加密的第一刷新凭证报文；接收认证服务端发送的经第一公共密钥加密的第二认证会话凭证报文；使用第一公共密钥对加密的第二认证会话凭证报文进行解密，得到第二刷新凭证报文和第二认证凭证报文签名，其中，第二认证凭证报文签名是通过认证服务端的私钥对第二认证凭证报文加密得到的。
在本实施例的一些可选的实现方式中，该装置还包括终止认证单元(附图中未示出)，被配置成：响应于接收到退出请求，将失效的刷新凭证报文通过第一公共密钥加密后生成终止请求；将终止请求发送给认证服务端；响应于接收到认证服务端发送的终止成功消息，通过第一公共密钥对终止成功消息解密后，得到失效的刷新凭证报文；删除失效的刷新凭证报文和对应的失效的认证凭证报文签名。
进一步参考图7，作为对上述各图所示方法的实现，本公开提供了一种用于保持用户认证会话的装置应用于认证服务端的一个实施例，该装置实施例与图3所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。
如图7所示，本实施例的用于保持用户认证会话的装置700包括：第三协商单元701、解密单元702、校验单元703、第一报文组装单元704、第二报文组装单元705、私钥加密单元706、第三报文组装单元707、加密发送单元708。其中，第三协商单元701，被配置成与客户端进行密钥协商，得到第一公共密钥；解密单元702，被配置成响应于接收到客户端发送的认证会话请求，通过第一公共密钥对认证会话请求解密，得到账号凭证；校验单元703，被配置成对账号凭证进行校验；第一报文组装单元704，被配置成若校验成功，则根据账号凭证获取用户信息并组装认证报文；第二报文组装单元705，被配置成根据认证报文和凭证失效时间组装第一认证凭证报文；私钥加密单元706，被配置成使用私钥对第一认证凭证报文加密得到第一认证凭证报文签名；第三报文组装单元707，被配置成根据刷新失效时间组装第一刷新凭证报文；加密发送单元708，被配置成根据第一刷新凭证报文和第一认证凭证报文签名组装第一认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在本实施例的一些可选的实现方式中，该装置还包括凭证续期单元(附图中未示出)，被配置成：响应于接收到客户端发送的续期请求，对续期请求进行解密，得到第一刷新凭证报文，其中，续期请求包括通过第一公共密钥加密后的第一刷新凭证报文；判断第一刷新凭证报文是否失效；若未失效，则删除第一刷新凭证报文；根据认证报文和更新的凭证失效时间组装第二认证凭证报文；使用私钥对第二认证凭证报文加密得到第二认证凭证报文签名；根据更新的刷新失效时间组装第二刷新凭证；根据第二刷新凭证报文和第二认证凭证报文签名组装第二认证会话凭证报文，并使用第一公共密钥加密后发给客户端。
在本实施例的一些可选的实现方式中，该装置还包括发送单元(附图中未示出)，被配置成：若失效，则向客户端发送续期请求失败消息。
在本实施例的一些可选的实现方式中，该装置还包括凭证删除单元(附图中未示出)，被配置成：响应于接收到客户端发送的终止请求，使用第一公共密钥对终止请求解密，得到失效的刷新凭证报文；判断失效的刷新凭证报文是否失效；若失效，则向客户端发送经第一公共密钥加密得到的终止请求失败消息；若未失效，则删除失效的刷新凭证报文，向客户端发送经第一公共密钥加密得到的终止请求成功消息。
进一步参考图8，作为对上述各图所示方法的实现，本公开提供了一种用于保持用户认证会话的装置应用于应用服务端的一个实施例，该装置实施例与图4所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。
如图8所示，本实施例的用于保持用户认证会话的装置800包括：第四协商单元801、公共密钥解密单元802、获取单元803、公钥解密单元804、解析单元805、业务处理单元806。其中，第四协商单元801，被配置成与客户端进行密钥协商，得到第二公共密钥；公共密钥解密单元802，被配置成响应于接收到业务请求，使用第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文；获取单元803，被配置成获取认证服务端的公钥；公钥解密单元804，被配置成使用公钥对第一认证凭证报文签名解密；解析单元805，被配置成若解密成功，则得到第一认证凭证报文，并从第一认证凭证报文中解析出用户信息和凭证失效时间；业务处理单元806，被配置成若未到达凭证失效时间，则根据用户信息进行业务处理，并向客户端发送业务请求成功消息。
在本实施例的一些可选的实现方式中，该装置还包括发送单元(附图中未示出)，被配置成：若解密失败或到达凭证失效时间，则向客户端发送业务请求失败消息。
下面参考图9，其示出了适于用来实现本公开的实施例的电子设备(例如图1中的客户端、认证服务端、应用服务端)900的结构示意图。图9示出的客户端、认证服务端、应用服务端仅仅是一个示例，不应对本公开的实施例的功能和使用范围带来任何限制。
如图9所示，电子设备900可以包括处理装置(例如中央处理器、图形处理器等)901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储装置908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。在RAM 903中，还存储有电子设备900操作所需的各种程序和数据。处理装置901、ROM 902以及RAM903通过总线904彼此相连。输入/输出(I/O)接口905也连接至总线904。
通常，以下装置可以连接至I/O接口905：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置906；包括例如液晶显示器(LCD)、扬声器、振动器等的输出装置907；包括例如磁带、硬盘等的存储装置908；以及通信装置909。通信装置909可以允许电子设备900与其他设备进行无线或有线通信以交换数据。虽然图9示出了具有各种装置的电子设备900，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图9中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。
特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置909从网络上被下载和安装，或者从存储装置908被安装，或者从ROM 902被安装。在该计算机程序被处理装置901执行时，执行本公开的实施例的方法中限定的上述功能。需要说明的是，本公开的实施例所述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。
上述计算机可读介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：与认证服务端进行密钥协商，得到第一公共密钥；将账号凭证通过第一公共密钥加密后生成认证会话请求，并将认证会话请求发送给认证服务端；接收认证服务端发送的经第一公共密钥加密的第一认证会话凭证报文；使用第一公共密钥对加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，第一认证凭证报文签名是通过认证服务端的私钥对第一认证凭证报文加密得到的。或者使得该电子设备：与客户端进行密钥协商，得到第一公共密钥；响应于接收到客户端发送的认证会话请求，通过第一公共密钥对认证会话请求解密，得到账号凭证；对账号凭证进行校验；若校验成功，则根据账号凭证获取用户信息并组装认证报文；根据认证报文和凭证失效时间组装第一认证凭证报文；使用私钥对第一认证凭证报文加密得到第一认证凭证报文签名；根据刷新失效时间组装第一刷新凭证报文；根据第一刷新凭证报文和第一认证凭证报文签名组装第一认证会话凭证报文，并使用第一公共密钥加密后发给客户端。或者使得该电子设备：与客户端进行密钥协商，得到第二公共密钥；响应于接收到业务请求，使用第二公共密钥对业务请求解密得到包括第一认证凭证报文签名的业务报文；获取认证服务端的公钥；使用公钥对第一认证凭证报文签名解密；若解密成功，则得到第一认证凭证报文，并从第一认证凭证报文中解析出用户信息和凭证失效时间；若未到达凭证失效时间，则根据用户信息进行业务处理，并向客户端发送业务请求成功消息。
可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器包括第一协商单元、认证请求单元、接收单元、解密单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，第一协商单元还可以被描述为“与认证服务端进行密钥协商，得到第一公共密钥的单元”。
以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (16)

1.一种用于保持用户认证会话的方法，应用于客户端，包括：
与认证服务端进行密钥协商，得到第一公共密钥；
将账号凭证通过所述第一公共密钥加密后生成认证会话请求，并将所述认证会话请求发送给所述认证服务端；
接收所述认证服务端发送的经所述第一公共密钥加密的第一认证会话凭证报文；
使用所述第一公共密钥对所述加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，所述第一认证凭证报文签名是通过所述认证服务端的私钥对第一认证凭证报文加密得到的。
2.根据权利要求1所述的方法，其中，所述方法还包括：
与应用服务端进行密钥协商，得到第二公共密钥；
组装包括所述第一认证凭证报文签名的业务报文；
使用所述第二公共密钥对所述业务报文加密后生成业务请求；
将所述业务请求发送给所述应用服务端。
3.根据权利要求2所述的方法，其中，所述方法还包括：
响应于接收到所述应用服务端返回的因超时导致的业务请求失败消息，向所述认证服务端发送续期请求，其中，所述续期请求包括通过所述第一公共密钥加密的所述第一刷新凭证报文；
接收所述认证服务端发送的经所述第一公共密钥加密的第二认证会话凭证报文；
使用所述第一公共密钥对所述加密的第二认证会话凭证报文进行解密，得到第二刷新凭证报文和第二认证凭证报文签名，其中，所述第二认证凭证报文签名是通过所述认证服务端的私钥对第二认证凭证报文加密得到的。
4.根据权利要求1所述的方法，其中，所述方法还包括：
响应于接收到退出请求，将失效的刷新凭证报文通过所述第一公共密钥加密后生成终止请求；
将所述终止请求发送给所述认证服务端；
响应于接收到所述认证服务端发送的终止成功消息，通过所述第一公共密钥对所述终止成功消息解密后，得到失效的刷新凭证报文；
删除所述失效的刷新凭证报文和对应的失效的认证凭证报文签名。
5.一种用于保持用户认证会话的方法，应用于认证服务端，包括：
与客户端进行密钥协商，得到第一公共密钥；
响应于接收到所述客户端发送的认证会话请求，通过所述第一公共密钥对所述认证会话请求解密，得到账号凭证；
对所述账号凭证进行校验；
若校验成功，则根据所述账号凭证获取用户信息并组装认证报文；
根据所述认证报文和凭证失效时间组装第一认证凭证报文；
使用私钥对所述第一认证凭证报文加密得到第一认证凭证报文签名；
根据刷新失效时间组装第一刷新凭证报文；
根据所述第一刷新凭证报文和所述第一认证凭证报文签名组装第一认证会话凭证报文，并使用所述第一公共密钥加密后发给所述客户端。
6.根据权利要求5所述的方法，其中，所述方法还包括：
响应于接收到所述客户端发送的续期请求，对所述续期请求进行解密，得到第一刷新凭证报文，其中，所述续期请求包括通过所述第一公共密钥加密后的所述第一刷新凭证报文；
判断所述第一刷新凭证报文是否失效；
若未失效，则删除所述第一刷新凭证报文；
根据所述认证报文和更新的凭证失效时间组装第二认证凭证报文；
使用私钥对所述第二认证凭证报文加密得到第二认证凭证报文签名；
根据更新的刷新失效时间组装第二刷新凭证；
根据所述第二刷新凭证报文和所述第二认证凭证报文签名组装第二认证会话凭证报文，并使用所述第一公共密钥加密后发给所述客户端。
7.根据权利要求6所述的方法，其中，所述方法还包括：
若失效，则向所述客户端发送续期请求失败消息。
8.根据权利要求5所述的方法，其中，所述方法还包括：
响应于接收到所述客户端发送的终止请求，使用所述第一公共密钥对所述终止请求解密，得到失效的刷新凭证报文；
判断所述失效的刷新凭证报文是否失效；
若失效，则向所述客户端发送经所述第一公共密钥加密得到的终止请求失败消息；
若未失效，则删除所述失效的刷新凭证报文，向所述客户端发送经所述第一公共密钥加密得到的终止请求成功消息。
9.一种用于保持用户认证会话的方法，应用于应用服务端，包括：
与客户端进行密钥协商，得到第二公共密钥；
响应于接收到业务请求，使用所述第二公共密钥对所述业务请求解密得到包括所述第一认证凭证报文签名的业务报文；
获取认证服务端的公钥；
使用所述公钥对所述第一认证凭证报文签名解密；
若解密成功，则得到第一认证凭证报文，并从所述第一认证凭证报文中解析出用户信息和凭证失效时间；
若未到达凭证失效时间，则根据所述用户信息进行业务处理，并向所述客户端发送业务请求成功消息。
10.根据权利要求9所述的方法，其中，所述方法还包括：
若解密失败或到达凭证失效时间，则向所述客户端发送业务请求失败消息。
11.一种用于保持用户认证会话的装置，应用于客户端，包括：
第一协商单元，被配置成与认证服务端进行密钥协商，得到第一公共密钥；
认证请求单元，被配置成将账号凭证通过所述第一公共密钥加密后生成认证会话请求，并将所述认证会话请求发送给所述认证服务端；
接收单元，被配置成接收所述认证服务端发送的经所述第一公共密钥加密的第一认证会话凭证报文；
解密单元，被配置成使用所述第一公共密钥对所述加密后的第一认证会话凭证报文进行解密，得到第一刷新凭证报文和第一认证凭证报文签名，其中，所述第一认证凭证报文签名是通过所述认证服务端的私钥对第一认证凭证报文加密得到的。
12.一种用于保持用户认证会话的装置，应用于认证服务端，包括：
第三协商单元，被配置成与客户端进行密钥协商，得到第一公共密钥；
解密单元，被配置成响应于接收到所述客户端发送的认证会话请求，通过所述第一公共密钥对所述认证会话请求解密，得到账号凭证；
校验单元，被配置成对所述账号凭证进行校验；
第一报文组装单元，被配置成若校验成功，则根据所述账号凭证获取用户信息并组装认证报文；
第二报文组装单元，被配置成根据所述认证报文和凭证失效时间组装第一认证凭证报文；
私钥加密单元，被配置成使用私钥对所述第一认证凭证报文加密得到第一认证凭证报文签名；
第三报文组装单元，被配置成根据刷新失效时间组装第一刷新凭证报文；
加密发送单元，被配置成根据所述第一刷新凭证报文和所述第一认证凭证报文签名组装第一认证会话凭证报文，并使用所述第一公共密钥加密后发给所述客户端。
13.一种用于保持用户认证会话的装置，应用于应用服务端，包括：
第四协商单元，被配置成与客户端进行密钥协商，得到第二公共密钥；
公共密钥解密单元，被配置成响应于接收到业务请求，使用所述第二公共密钥对所述业务请求解密得到包括所述第一认证凭证报文签名的业务报文；
获取单元，被配置成获取认证服务端的公钥；
公钥解密单元，被配置成使用所述公钥对所述第一认证凭证报文签名解密；
解析单元，被配置成若解密成功，则得到第一认证凭证报文，并从所述第一认证凭证报文中解析出用户信息和凭证失效时间；
业务处理单元，被配置成若未到达凭证失效时间，则根据所述用户信息进行业务处理，并向所述客户端发送业务请求成功消息。
14.一种用于保持用户认证会话的系统，包括：
客户端，被配置成实现如权利要求1-4中任一项所述的方法；
认证服务端，被配置成实现如权利要求5-8中任一项所述的方法；
应用服务端，被配置成实现如权利要求9-10中任一项所述的方法。
15.一种用于保持用户认证会话的电子设备，包括：
一个或多个处理器；
存储装置，其上存储有一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-10中任一项所述的方法。
16.一种计算机可读介质，其上存储有计算机程序，其中，所述程序被处理器执行时实现如权利要求1-10中任一项所述的方法。
CN202010595867.1A 2020-06-28 2020-06-28 用于保持用户认证会话的方法和装置 Pending CN111698264A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010595867.1A CN111698264A (zh) 2020-06-28 2020-06-28 用于保持用户认证会话的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010595867.1A CN111698264A (zh) 2020-06-28 2020-06-28 用于保持用户认证会话的方法和装置

Publications (1)

Publication Number Publication Date
CN111698264A true CN111698264A (zh) 2020-09-22

Family

ID=72483855

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010595867.1A Pending CN111698264A (zh) 2020-06-28 2020-06-28 用于保持用户认证会话的方法和装置

Country Status (1)

Country Link
CN (1) CN111698264A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112187780A (zh) * 2020-09-25 2021-01-05 杭州涂鸦信息技术有限公司 一种app登录会话安全刷新方法及系统
CN113965296A (zh) * 2021-10-20 2022-01-21 北京中科江南信息技术股份有限公司 一种基于异构系统间的消息补偿方法及装置
CN114710281A (zh) * 2022-04-24 2022-07-05 中国工商银行股份有限公司 一种网上银行系统的退出方法及装置

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030217288A1 (en) * 2002-05-15 2003-11-20 Microsoft Corporation Session key secruity protocol
CN104618362A (zh) * 2015-01-23 2015-05-13 华为技术有限公司 一种资源服务器和客户端交互会话消息的方法及装置
CN104754030A (zh) * 2015-02-12 2015-07-01 腾讯科技（深圳）有限公司 用户信息获取方法及装置
CN104980925A (zh) * 2015-06-01 2015-10-14 走遍世界（北京）信息技术有限公司 用户请求的认证方法和装置
CN106295394A (zh) * 2016-07-22 2017-01-04 飞天诚信科技股份有限公司 资源授权方法及系统和授权服务器及工作方法
CN106453396A (zh) * 2016-11-18 2017-02-22 传线网络科技（上海）有限公司 双令牌账户登录方法及登录验证装置
CN109379192A (zh) * 2018-09-21 2019-02-22 广州小鹏汽车科技有限公司 一种登录验证处理方法、系统及装置
CN109639649A (zh) * 2018-11-20 2019-04-16 福建亿榕信息技术有限公司 一种单点登录方法
CN111030814A (zh) * 2019-12-25 2020-04-17 杭州迪普科技股份有限公司 秘钥协商方法及装置
CN111131242A (zh) * 2019-12-24 2020-05-08 北京格林威尔科技发展有限公司 一种权限控制方法、装置和系统
CN111294354A (zh) * 2020-02-04 2020-06-16 北京嗨学网教育科技股份有限公司 用于分布式环境的签名验证方法、装置、设备和存储介质

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030217288A1 (en) * 2002-05-15 2003-11-20 Microsoft Corporation Session key secruity protocol
CN104618362A (zh) * 2015-01-23 2015-05-13 华为技术有限公司 一种资源服务器和客户端交互会话消息的方法及装置
CN104754030A (zh) * 2015-02-12 2015-07-01 腾讯科技（深圳）有限公司 用户信息获取方法及装置
CN104980925A (zh) * 2015-06-01 2015-10-14 走遍世界（北京）信息技术有限公司 用户请求的认证方法和装置
CN106295394A (zh) * 2016-07-22 2017-01-04 飞天诚信科技股份有限公司 资源授权方法及系统和授权服务器及工作方法
CN106453396A (zh) * 2016-11-18 2017-02-22 传线网络科技（上海）有限公司 双令牌账户登录方法及登录验证装置
CN109379192A (zh) * 2018-09-21 2019-02-22 广州小鹏汽车科技有限公司 一种登录验证处理方法、系统及装置
CN109639649A (zh) * 2018-11-20 2019-04-16 福建亿榕信息技术有限公司 一种单点登录方法
CN111131242A (zh) * 2019-12-24 2020-05-08 北京格林威尔科技发展有限公司 一种权限控制方法、装置和系统
CN111030814A (zh) * 2019-12-25 2020-04-17 杭州迪普科技股份有限公司 秘钥协商方法及装置
CN111294354A (zh) * 2020-02-04 2020-06-16 北京嗨学网教育科技股份有限公司 用于分布式环境的签名验证方法、装置、设备和存储介质

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112187780A (zh) * 2020-09-25 2021-01-05 杭州涂鸦信息技术有限公司 一种app登录会话安全刷新方法及系统
CN112187780B (zh) * 2020-09-25 2022-11-15 杭州涂鸦信息技术有限公司 一种app登录会话安全刷新方法及系统
CN113965296A (zh) * 2021-10-20 2022-01-21 北京中科江南信息技术股份有限公司 一种基于异构系统间的消息补偿方法及装置
CN113965296B (zh) * 2021-10-20 2023-11-24 北京中科江南信息技术股份有限公司 一种基于异构系统间的消息补偿方法及装置
CN114710281A (zh) * 2022-04-24 2022-07-05 中国工商银行股份有限公司 一种网上银行系统的退出方法及装置
CN114710281B (zh) * 2022-04-24 2024-08-23 中国工商银行股份有限公司 一种网上银行系统的退出方法及装置

Similar Documents

Publication Publication Date Title
US12229753B2 (en) Method and system for mobile cryptocurrency wallet connectivity
WO2022206349A1 (zh) 一种信息验证的方法、相关装置、设备以及存储介质
US11102191B2 (en) Enabling single sign-on authentication for accessing protected network services
US9137017B2 (en) Key recovery mechanism
US9021552B2 (en) User authentication for intermediate representational state transfer (REST) client via certificate authority
US11134069B2 (en) Method for authorizing access and apparatus using the method
CN113612605A (zh) 使用对称密码技术增强mqtt协议身份认证方法、系统和设备
CN111835774B (zh) 数据处理方法、装置、设备及存储介质
CN102685749B (zh) 面向移动终端的无线安全身份验证方法
US20120054491A1 (en) Re-authentication in client-server communications
CN116233832A (zh) 验证信息发送方法及装置
US20130219166A1 (en) Hardware based identity manager
CN110493272B (zh) 使用多重密钥的通信方法和通信系统
CN111865761B (zh) 一种基于区块链智能合约的社交聊天信息存证方法
US12278804B2 (en) Systems and methods for generating secure, encrypted communications using multi-party computations in order to perform blockchain operations in decentralized applications
CN114390524B (zh) 一键登录业务的实现方法和装置
CN112437044B (zh) 即时通讯方法和装置
CN113918971A (zh) 基于区块链的消息传输方法、装置、设备及可读存储介质
US12244743B2 (en) Systems and methods for performing blockchain operations using multi-party computation cohort management groupings
CN111698264A (zh) 用于保持用户认证会话的方法和装置
CN112927026A (zh) 优惠券的处理方法、装置、电子设备及计算机存储介质
CN114158046B (zh) 一键登录业务的实现方法和装置
CN113381853B (zh) 生成随机密码以及客户端鉴权的方法和装置
CN119995879A (zh) 端到端加密的数据密钥分发方法、电子设备及程序产品
JP2014147039A (ja) 暗号通信装置、代行サーバ、暗号通信システム、暗号通信装置プログラム及び代行サーバプログラム

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: Room 221, 2nd floor, Block C, 18 Kechuang 11th Street, Daxing Economic and Technological Development Zone, Beijing, 100176

Applicant after: Jingdong Technology Holding Co.,Ltd.

Address before: Room 221, 2nd floor, Block C, 18 Kechuang 11th Street, Daxing Economic and Technological Development Zone, Beijing, 100176

Applicant before: Jingdong Digital Technology Holding Co.,Ltd.

Address after: Room 221, 2nd floor, Block C, 18 Kechuang 11th Street, Daxing Economic and Technological Development Zone, Beijing, 100176

Applicant after: Jingdong Digital Technology Holding Co.,Ltd.

Address before: Room 221, 2nd floor, Block C, 18 Kechuang 11th Street, Daxing Economic and Technological Development Zone, Beijing, 100176

Applicant before: JINGDONG DIGITAL TECHNOLOGY HOLDINGS Co.,Ltd.

CB02 Change of applicant information
RJ01 Rejection of invention patent application after publication

Application publication date: 20200922

RJ01 Rejection of invention patent application after publication