CN111931144A - 一种操作系统与业务应用统一安全登录认证方法及装置 - Google Patents

Abstract

本发明公开了一种操作系统用户与业务用户统一安全登录认证方法及装置，利用统一集中管控机制，将全网范围内所有人员身份登录认证信息统一注册和授权管理，实现用户身份认证信息的共享和一致性；建立操作系统虚拟帐号和实体人员用户的关联策略，实现用户登录操作系统和业务应用的单点登录功能，同时利用基于UsbKey认证技术、基于指纹、人脸、虹膜等生物特征识别技术实现免密高强度身份认证。

Description

一种操作系统与业务应用统一安全登录认证方法及装置

技术领域

本发明属于信息安全身份认证技术领域，具体涉及一种操作系统与业务应用统一安全登录认证方法，还涉及与此方法对应的装置。

背景技术

用户登录认证是主机操作系统和业务应用系统访问的入口，是网络信息安全的第一道防线，可靠的身份识别对确保系统和数据的安全保密至关重要。

目前几乎所有操作系统层面的访问控制模型和身份认证机制，基本都独立于业务应用，用户身份信息无法共享，同一用户访问操作系统主机上的多个业务软件需要配置多个账号，并进行多次重复登录认证，导致资源访问权限不统一，无法实现单点登录，影响资源共享访问效率；并且各个业务应用认证方法多样差异较大，不利于统一管理、安全审计和违规追溯。

另一方面，传统的基于静态或动态口令、基于智能卡或UsbKey等身份认证方式存在账户密码安全等级低、身份易冒用、便捷性差等诸多安全隐患。

发明内容

本发明的目的在于克服现有技术中的不足，提供了一种操作系统与业务应用统一安全登录认证方法及装置，解决了现有技术中全网范围内主机操作系统虚拟帐号和业务应用访问用户认证的离散和不一致的技术问题。

为解决上述技术问题，本发明提供了一种操作系统与业务应用统一安全登录认证方法，其特征是，包括以下过程：

注册用户信息、主机设备信息和业务应用程序信息；其中用户信息包括用户的基本信息和身份认证数据，主机设备信息包括操作系统的虚拟账户；

将用户信息与操作系统的虚拟账户关联；

响应于用户登录主机操作系统操作，依据认证方式从身份认证终端中获取用户相应的身份凭证，同时获取主机设备信息；

依据用户的身份凭证和主机设备信息与注册的身份认证数据和主机设备信息对用户进行身份认证；若认证成功，则获得与用户关联的操作系统虚拟账户；

对操作系统虚拟账户进行认证，若认证成功，则允许用户基于虚拟账户登录操作系统；

获取操作系统登录账户，若该账户具有访问业务应用程序的权限，则允许用户自动登录业务应用程序。

进一步的，身份认证数据包括用户名和密码、签名数据、指纹、人脸和虹膜。

进一步的，认证方式包括用户名和密码认证、签名数据、指纹认证、人脸识别认证和虹膜识别认证中的一种或者多种组合。

进一步的，若操作系统虚拟账户认证不成功，则不允许用户登录操作系统。

进一步的，若操作系统登录账户不具有访问业务应用程序的权限，则进行业务应用程序的二次认证。

进一步的，业务应用程序的二次认证，包括：

颁发身份认证终端，此终端中包括授权指定的用户访问权限；

依据登录业务应用程序的认证方式从身份认证终端中获取用户相应的身份凭证；

对用户身份凭证与用户访问权限进行认证；若认证成功则允许用户登录业务应用程序。

相应的，本发明提供了一种操作系统与业务应用统一安全登录认证装置，其特征是，包括信息注册模块、信息关联模块、认证信息获取模块、认证模块、操作系统登录模块和应用程序登录模块，其中：

信息注册模块，用于注册用户信息、主机设备信息和业务应用程序信息；其中用户信息包括用户的基本信息和身份认证数据，主机设备信息包括操作系统的虚拟账户；

信息关联模块，用于将用户信息与操作系统的虚拟账户关联；

认证信息获取模块，用于响应于用户登录主机操作系统操作，依据认证方式从身份认证终端中获取用户相应的身份凭证，同时获取主机设备信息；

认证模块，用于依据用户的身份凭证和主机设备信息与注册的身份认证数据和主机设备信息对用户进行身份认证；若认证成功，则获得与用户关联的操作系统虚拟账户；

操作系统登录模块，用于对操作系统虚拟账户进行认证，若认证成功，则允许用户基于虚拟账户登录操作系统；

应用程序登录模块，用于获取操作系统登录账户，若该账户具有访问业务应用程序的权限，则允许用户自动登录业务应用程序。

进一步的，所述身份认证数据包括用户名和密码、签名数据、指纹、人脸和虹膜。

进一步的，所述认证方式包括用户名和密码认证、签名数据、指纹认证、人脸识别认证和虹膜识别认证中的一种或者多种组合。

进一步的，应用程序登录模块中，还包括二次登录认证模块，所述二次登录认证模块，用于若操作系统登录账户不具有访问业务应用程序的权限，则进行业务应用程序的二次认证，包括：

依据登录业务应用程序的认证方式从身份认证终端中获取用户相应的身份凭证；

对用户身份凭证与用户访问权限进行认证；若认证成功则允许用户登录业务应用程序。

与现有技术相比，本发明所达到的有益效果是：利用统一集中管控机制，将全网范围内所有人员身份登录认证信息统一注册和授权管理，实现用户身份认证信息的共享和一致性；建立操作系统虚拟帐号和实体人员用户的关联策略，实现用户登录操作系统和业务应用的单点登录功能，同时利用基于UsbKey认证技术、基于指纹、人脸、虹膜等生物特征识别技术实现免密高强度身份认证。

附图说明

图1为本发明的技术方案模块组成结构图；

图2为本发明方法的流程图；

图3 为本发明方法的实施方案整体应用示意图；

图4为本发明身份认证SDK接口内部封装的功能交互流程。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

生物认证技术是当前身份认证领域研究和应用的热点，被认为是最安全的身份认证方法，利用基于指纹、虹膜、人脸等生物特征识别技术实现用户登录认证可完全取代操作系统和业务应用用户名口令的登录方式，彻底消除弱口令、口令泄露和被冒用等安全隐患，确保用户身份可信，实现高强度的身份鉴别。

本发明的发明构思为：基于人体生物特征识别技术、智能UsbKey认证技术、PKI数字证书体系建立统一身份认证服务体系，满足全网用户登录操作系统及登录业务应用程序的身份认证需求，实现免密高强度认证；通过操作系统虚拟帐号和实体人员用户的关联策略，实现用户登录操作系统和业务应用的单点登录功能。通过对用户信息、操作系统主机设备信息、业务应用程序信息等多维度认证要素的授权和验证，实现从用户安全、设备安全、应用程序安全多层次级联认证，大大增强了认证的安全性。

参见图1所示，本发明的技术方案包括身份认证终端、操作主机设备、身份认证SDK和统一身份认证服务器。

本发明实施例中的身份认证终端包括指纹型UsbKey、Usb摄像头和/或虹膜识别仪，其中指纹型UsbKey用于指纹信息的采集、存储和识别用户指纹、用户密钥对生成，人员数字证书安全存储、用户签名计算；Usb摄像头用于获取登录用户的人脸图像、采集人脸图像128位特征值；虹膜识别仪用于获取登录用户的眼睛虹膜特征和比对验证。

本发明实施例中的操作主机设备部署Linux桌面操作系统，是业务应用程序运行载体，用户通过该操作主机设备登录操作系统账号并访问业务应用程序；操作系统中部署身份认证SDK动态库，供操作系统PAM认证模块和业务应用程序调用， 以实现用户的安全登录认证功能。统一身份认证服务接口为独立部署的后台管理系统。

本发明实施例中的身份认证SDK，是用于用户身份认证数据（包括用户名、用户签名数据、指纹、人脸、虹膜）、操作主机设备信息（包括MAC、IP、硬盘序列号）和业务应用程序信息（包括应用程序名称、版本号、Md5值）的采集、处理、加密传输、认证的接口动态库文件，供业务应用程序和操作系统PAM模块调用其API接口封装了操作主机设备指纹信息提取、业务应用程序指纹信息提取，身份认证终端的读写操作、数据的预处理算法、加解密传输及与后台统一身份认证服务器的通信交互流程，为所有应用场景屏蔽认证技术实现，提供统一的一键调用接口。身份认证SDK与统一身份认证服务器之间的交互流程流程如图3所示。具体流程如下：

身份认证SDK接口被调用时，首先会自动获取操作主机设备的硬件信息包括MAC、IP、硬盘序列号等，然后利用国密Sm3算法生成唯一的hash值作为该设备识别标识；然后根据调用的参数确定是否获取业务应用程序标识，若是，则根据应用程序名称、版本号、应用程序可执行文件等信息利用国密Sm3算法生成业务应用识别标识；接着根据调用者选择的认证方式：静态口令、UsbKey、人脸或虹膜中的一种，分别具体执行读取静态用户名和口令或通过身份认证终端获取的用户认证凭据信息包括指纹、用户名、用户UsbKey签名值，人脸特征值或虹膜特征值；若设备标识、应用程序标识、用户认证信息提取成功，则组装认证请求报文，通过TCP/SSL安全加密通信发送到后台统一身份认证服务器，并及时接收认证应答信息，若认证通过则会返还一个固定长度128身份Token令牌，用于后续的单点登录或Token认证。

本发明实施例中的统一身份认证服务器独立于业务应用部署，以可视化操作客户端界面提供信息注册、信息关联绑定授权、认证管理、令牌管理功能，并启动tcp/SSL通信服务对外提供认证服务，其认证服务支持静态口令认证、人脸识别认证、虹膜识别认证和身份令牌Token认证。

基于上述技术方案，如图4所示，本发明的一种操作系统与业务应用统一安全登录认证方法，这里以用户甲，通过主机PC1，登录访问业务应用程序A和业务应用程序B为例进行描述，包括以下步骤：

第一步：信息注册，

将用户甲基本信息和身份认证信息、主机PC1设备信息、业务应用程序A和B信息在后台统一身份认证服务器中进行注册。

具体过程为：

首先用户甲提出访问授权申请，由统一身份认证服务系统管理员负责向后台数据库录入该用户基本信息包括用户名、性别、所在单位、所属部门，职务，默认静态口令等，并由系统管理员采集用户身份认证数据（包括指纹信息，人脸特征信息、虹膜特征信息），并由系统管理员颁发UsbKey身份认证终端；接着注册主机PC1设备信息，包括MAC、IP、硬盘序列号等，操作系统登录的虚拟帐号信息，最后注册应用程序信息，包括应用名称、版本号、MD5值等。

注册成功之后，统一身份认证服务系统根据注册的主机设备信息和业务应用程序信息基于SM3Hash算法分别生成主机硬件唯一识别标识即设备指纹信息、业务应用程序唯一识别标识即程序指纹信息，分别用于后续主机可信验证和业务应用程序可信验证；

第二步：用户授权，

统一身份认证服务系统操作员审核用户注册信息、主机设备信息和业务应用程序信息，根据用户实际访问需求，将用户状态、主机设备、业务应用程序A和B置为可信并将户甲用户名与该主机设备中的一个操作系统登录虚拟帐号，关联绑定；即授权完成。这里一个真实用户对应一个操作系统虚拟帐号。

第三步：登录认证，

在主机PC1上部署身份认证SDK，PAM认证模块，并重启设备生效；参见图2所示，用户登录主机操作系统时，根据登录界面提示选择认证方式：UsbKey认证、人脸识别认证或虹膜识别认证，并根据认证方式插入对应的身份认证终端：指纹型Usbkey、摄像头或虹膜识别仪，

此时PAM认证模块调用身份认证SDK相应接口获取认证用户的身份凭证：指纹、证书信息、用户签名或人脸特征或虹膜特征，并以SSL安全加密方式发送至统一身份认证服务器实现基于用户名+密码、生物特征（指纹、人脸）、UsbKey的身份认证，认证成功返回该用户名、关联该主机操作系统的虚拟帐号和令牌，虚拟帐号进一步请求PAM认证模块实现操作系统登录，用户名和令牌存储在内存中供后续业务应用登录；

第四步：单点登录，

用户成功登录操作系统后启动业务应用程序A，业务应用程序A先调用身份认证SDK接口获取操作系统登录用户名和令牌，若该用户具有访问业务应用程序A权限（应用程序本身控制），则自动登录业务系统，否则打开登录窗口进行二次登录认证。

上述业务应用程序二次认证，以指纹型UsbKey认证登录为例说明，包括以下步骤：

第一步：系统管理员初始化指纹型UsbKey认证设备，授权指定用户访问权限，其中包括录入人员指纹，人员数字证书，后台统一认证服务注册授权；

第二步：用户利用指纹型UsbKey设备作为认证载体进行认证，插入UsbKey终端，在业务应用程序登陆界面上选择UsbKey认证，单击登录，后台调用身份认证SDK接口中UsbKey认证函数；

第三步：根据提示用户输入指纹，认证接口负责调用UsbKey设备驱动进行指纹读取和识别，若指纹认证成功，则认证接口进一步获取UsbKey中人员数字证书，生成随机数并对随机数进行签名；紧接着，获取该主机硬件指纹标识、应用程序指纹标识组装认证请求报文，发送至统一身份认证服器进行认证；反之，如指纹认证识别失败，跳转到第五步则认证接口离开返回失败，提示用户认证失败，禁止登录业务应用程序；

第四步：统一身份认证服务器接收并处理认证请求信息，首先解析出用户名、用户签名数据、主机硬件指纹特征标识，应用程序指纹特征标识；接着查询后台数据库，若主机指纹特征标识在可信主机列表（授权成功之后该主机是可信的）中，则判断主机合法可信，然后查询应用程序指纹特征标识是否再可信应用程序列表中，从而判断程序是否可信，成功则进一步验证用户信息及签名数据，用对应的人员证书对签名数据进行验签，验签成功，则服务器生成身份令牌，返回认证响应；

第五步：认证接口返回认证结果给业务应用程序认证模块，若认证成功则登录业务应用程序进行后续操作，否则禁止用户登录。

本发明优点在于实现了主机操作系统登录的用户实体身份认证，提高了主机和操作系统的安全性；实现了全网范围内认证信息的统一管理，实现了信息共享和一致性，做到一次一处注册，全网通用需求；建立虚拟帐号和人员实体信息的绑定，实现了操作系统和业务应用程序的单点登录；认证安全性更高，利用UsbKey、生物特征识别技术实现实体认证，其认证要素不仅包含人员本身，也涵盖硬件主机信息，业务应用程序可信认证。

实施例

相应的，本发明提供了一种操作系统与业务应用统一安全登录认证装置，其特征是，包括信息注册模块、信息关联模块、认证信息获取模块、认证模块、操作系统登录模块和应用程序登录模块，其中：

信息注册模块，用于注册用户信息、主机设备信息和业务应用程序信息；其中用户信息包括用户的基本信息和身份认证数据，主机设备信息包括操作系统的虚拟账户；

信息关联模块，用于将用户信息与操作系统的虚拟账户关联；

认证信息获取模块，用于响应于用户登录主机操作系统操作，依据认证方式从身份认证终端中获取用户相应的身份凭证，同时获取主机设备信息；

认证模块，用于依据用户的身份凭证和主机设备信息与注册的身份认证数据和主机设备信息对用户进行身份认证；若认证成功，则获得与用户关联的操作系统虚拟账户；

操作系统登录模块，用于对操作系统虚拟账户进行认证，若认证成功，则允许用户基于虚拟账户登录操作系统；

应用程序登录模块，用于获取操作系统登录账户，若该账户具有访问业务应用程序的权限，则允许用户自动登录业务应用程序。

进一步的，所述身份认证数据包括用户名和密码、签名数据、指纹、人脸和虹膜。

进一步的，所述认证方式包括用户名和密码认证、签名数据、指纹认证、人脸识别认证和虹膜识别认证中的一种或者多种组合。

进一步的，应用程序登录模块中，还包括二次登录认证模块，所述二次登录认证模块，用于若操作系统登录账户不具有访问业务应用程序的权限，则进行业务应用程序的二次认证，包括：

依据登录业务应用程序的认证方式从身份认证终端中获取用户相应的身份凭证；

对用户身份凭证与用户访问权限进行认证；若认证成功则允许用户登录业务应用程序。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。

Claims (10)

1.一种操作系统与业务应用统一安全登录认证方法，其特征是，包括以下过程：

注册用户信息、主机设备信息和业务应用程序信息；其中用户信息包括用户的基本信息和身份认证数据，主机设备信息包括操作系统的虚拟账户；

将用户信息与操作系统的虚拟账户关联；

响应于用户登录主机操作系统的操作请求，依据认证方式从身份认证终端中获取用户相应的身份凭证，同时获取主机设备信息；

依据用户的身份凭证和主机设备信息与注册的身份认证数据和主机设备信息对用户进行身份认证；若认证成功，则获得与用户关联的操作系统虚拟账户；

对操作系统虚拟账户进行认证，若认证成功，则允许用户基于虚拟账户登录操作系统；

获取操作系统登录账户，若该账户具有访问业务应用程序的权限，则允许用户自动登录业务应用程序。

2.根据权利要求1所述的一种操作系统与业务应用统一安全登录认证方法，其特征是，身份认证数据包括用户名和密码、签名数据、指纹、人脸和虹膜。

3.根据权利要求1所述的一种操作系统与业务应用统一安全登录认证方法，其特征是，认证方式包括用户名和密码认证、签名数据、指纹认证、人脸识别认证和虹膜识别认证中的一种或者多种组合。

4.根据权利要求1所述的一种操作系统与业务应用统一安全登录认证方法，其特征是，若操作系统虚拟账户认证不成功，则不允许用户登录操作系统。

5.根据权利要求1所述的一种操作系统与业务应用统一安全登录认证方法，其特征是，若操作系统登录账户不具有访问业务应用程序的权限，则进行业务应用程序的二次认证。

6.根据权利要求1所述的一种操作系统与业务应用统一安全登录认证方法，其特征是，业务应用程序的二次认证，包括：

依据登录业务应用程序的认证方式从身份认证终端中获取用户相应的身份凭证；

对用户身份凭证与用户访问权限进行认证；若认证成功则允许用户登录业务应用程序。

7.一种操作系统与业务应用统一安全登录认证装置，其特征是，包括信息注册模块、信息关联模块、认证信息获取模块、认证模块、操作系统登录模块和应用程序登录模块，其中：

信息注册模块，用于注册用户信息、主机设备信息和业务应用程序信息；其中用户信息包括用户的基本信息和身份认证数据，主机设备信息包括操作系统的虚拟账户；

信息关联模块，用于将用户信息与操作系统的虚拟账户关联；

认证信息获取模块，用于响应于用户登录主机操作系统操作，依据认证方式从身份认证终端中获取用户相应的身份凭证，同时获取主机设备信息；

认证模块，用于依据用户的身份凭证和主机设备信息与注册的身份认证数据和主机设备信息对用户进行身份认证；若认证成功，则获得与用户关联的操作系统虚拟账户；

操作系统登录模块，用于对操作系统虚拟账户进行认证，若认证成功，则允许用户基于虚拟账户登录操作系统；

应用程序登录模块，用于获取操作系统登录账户，若该账户具有访问业务应用程序的权限，则允许用户自动登录业务应用程序。

8.根据权利要求7所述的一种操作系统与业务应用统一安全登录认证装置，其特征是，所述身份认证数据包括用户名和密码、签名数据、指纹、人脸和虹膜。

9.根据权利要求7所述的一种操作系统与业务应用统一安全登录认证装置，其特征是，所述认证方式包括用户名和密码认证、签名数据、指纹认证、人脸识别认证和虹膜识别认证中的一种或者多种组合。

10.根据权利要求7所述的一种操作系统与业务应用统一安全登录认证装置，其特征是，应用程序登录模块中，还包括二次登录认证模块，所述二次登录认证模块，用于若操作系统登录账户不具有访问业务应用程序的权限，则进行业务应用程序的二次认证，包括：

依据登录业务应用程序的认证方式从身份认证终端中获取用户相应的身份凭证；

对用户身份凭证与用户访问权限进行认证；若认证成功则允许用户登录业务应用程序。

Images