基于白名单的访问控制方法、系统、认证模块及更新方法与流程

1.本发明涉及计算机技术领域，具体涉及一种基于白名单的访问控制方法、系统、认证模块、存储介质及白名单更新方法。


背景技术：

2.在计算机应用各领域，为了控制各种设备或软件程序(用户终端)对某一设备或软件程序(认证终端)的访问，经常需要用到黑名单，白名单等策略。例如黑白名单策略广泛应用于操作系统、防火墙、门禁及各种应用软件及日常场景中。
3.目前，对目标对象的访问控制主要有以下方法：
4.(1)黑名单控制方法：若访问对象被列入黑名单，则对该访问对象发起的请求直接拒绝或采取限制操作；若访问对象不在黑名单中，则通过该访问对象发起的请求。其中，黑名单访问控制流程请参考图1。
5.(2)白名单控制方法：若访问对象处于白名单中，则对该访问对象发起的请求优先提供服务；若访问对象未处于白名单中，则对该访问对象采取拒绝或其它限制处理策略。其中，白名单访问控制流程请参考图2。
6.(3)黑白名单相结合的控制方法：结合黑白名单使用特点，应用于更加复杂的软件逻辑或者使用场景；允许白名单对象访问，拒绝黑名单对象访问，对于其它对象的访问根据应用场景的过滤方法处理，同时更新黑白名单数据，设置不同权限、等级的访问控制。其中，黑白名单相结合的控制流程请参考图3。
7.需要说明的是，上述黑和/或白名单控制用户端访问的方法，其模块控制结构及模块认证体系请参考图4及图5。在图4中，弱连接表示不要求网络实时连接，在特定条件连接网络与服务进行通讯即可。
8.进一步地，上述黑和/或白名单控制用户端访问的方法，其实施必须依赖于名单数据的更新。例如，对于黑名单访问控制策略，在合法的用户终端访问认证终端之前，应当保证该合法用户终端的标识未出现在黑名单中。对于白名单访问控制策略，在合法的用户终端访问认证终端之间，应当保证该合法用户终端的标识已经存在于白名单中。
9.目前，对于黑白名单数据的更新，普遍采用网络同步的方式进行。对于离线终端，则会在终端上提供外部接口(如串口)连接pc等设备进行更新。
10.在实际研究中，本技术的发明人发现，上述基于黑白名单的访问控制方法及黑白名单数据更新方法，存在如下缺陷：
11.(1)白名单访问控制机制：只能简单地进行终端过滤，在离线使用条件下，对新加入的终端模块，由于数据无法进行实时同步，因此导致新加入的用户模块未出现在白名单中，无法立即进行访问。
12.(2)黑名单访问控制机制：需要预留大量的存储空间用于存储可能的黑名单数据；离线使用场景下，黑名单数据的管理(增加、删除)不能得到及时处理；数据量大时，进行黑名单的检索查询效率低下，若采用数据来提高检索查询效率，又会对硬件性能有更高的要
求。
13.综上可知，在设备无法连接网络或无法提供实时网络的使用环境下，现有的访问控制策略及相应的名单数据更新都面临一定挑战。


技术实现要素：

14.针对现有技术的上述缺陷，本发明实施例的目的在于提供一种基于白名单的访问控制方法、系统、认证模块、存储介质及白名单更新方法。
15.为实现上述目的，第一方面，本发明实施例提供了一种基于白名单的访问控制方法，包括：
16.认证模块接入多个用户模块，获取每一所述用户模块的终端信息；所述终端信息包括白名单版本1和离线有效期信息1；所述认证模块存储有白名单版本2和离线有效期信息2；
17.针对任一所述用户模块，若所述白名单版本1大于白名单版本2，则所述认证模块允许所述用户模块访问；
18.若所述白名单版本不大于白名单版本2，则所述认证模块对所述离线有效信息1和离线有效信息2进行比较；
19.若两者一致，则所述认证模块允许所述用户模块访问。
20.作为本技术的一种具体实现方式，获取所述用户模块的终端信息具体为：
21.获取所述用户模块与认证模块之间的认证密文；
22.对所述认证密文进行有效性校验，并根据校验结果对所述用户模块的接入信息进行解析，以得到终端信息。
23.在本技术的某些优选实施方式中，若所述白名单版本1大于白名单版本2，所述方法还包括：
24.所述认证模块更新所述白名单版本2，并完善所述认证模块的白名单中当前用户模块的信息。
25.在本技术的某些优选实施方式中，若所述离线有效信息1和离线信息2一致，或所述认证模块更新所述白名单版本2之后，所述方法还包括：
26.所述认证模块判断所保存的用户模块的终端信息是否完整；
27.若完整，则所述认证模块允许所述用户模块访问；
28.若不完整，则所述认证模块完善内部白名单中当前用户模块的信息，并允许所述用户模块访问。
29.第二方面，本发明实施例提供了一种认证模块，包括：
30.获取单元，用于接入多个用户模块，获取每一所述用户模块的终端信息；所述终端信息包括白名单版本1和离线有效期信息1；所述认证模块存储有白名单版本2和离线有效期信息2；
31.访问控制单元，用于：
32.针对任一所述用户模块，若所述白名单版本1大于白名单版本2，则所述认证模块允许所述用户模块访问；
33.若所述白名单版本不大于白名单版本2，则所述认证模块对所述离线有效信息1和
离线有效信息2进行比较；
34.若两者一致，则所述认证模块允许所述用户模块访问。
35.作为本技术的一种具体实现方式，所述获取单元具体用于：
36.获取所述用户模块与认证模块之间的认证密文；
37.对所述认证密文进行有效性校验，并根据校验结果对所述用户模块的接入信息进行解析，以得到终端信息。
38.进一步地，在本技术的某些优选实施方式中，所述认证模块还包括更新单元，用于：
39.若所述白名单版本1大于白名单版本2，更新所述白名单版本2，并完善所述认证模块的白名单中当前用户模块的信息。
40.进一步地，在本技术的某些优选实施方式中，所述认证模块还包括信息完善单元，用于：
41.若所述离线有效信息1和离线信息2一致，或更新所述白名单版本2之后，判断所保存的用户模块的终端信息是否完整；
42.若完整，则通知所述访问控制单元允许所述用户模块访问；
43.若不完整，则完善内部白名单中当前用户模块的信息，并通知所述访问控制单元允许所述用户模块访问。
44.第三方面，本发明实施例提供了另一种认证模块，包括处理器、输入设备、输出设备和存储器，所述处理器、输入设备、输出设备和存储器相互连接，其中，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，执行上述第一方面的方法步骤。
45.第四方面，本发明实施例还提供了一种计算机可读存储介质，其内存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行上述第一方面的方法。
46.实施本发明实施例白名单访问控制方案，认证模块基于终端信息的白名单版本及离线有效期实现了对用户模块的访问控制，其提供了一种快速、方便且有效的访问控制手段。
47.第五方面，本发明实施例还提供了一种基于白名单的访问控制系统，包括多个用户模块及一认证模块。其中，该认证模块如上述第二方面或第三方面所述。
48.作为本技术的一种优选实现方式，所述用户模块与认证模块之间采用短距通讯方式。
49.第六方面，本发明实施例还提供了一种白名单更新方法，其适用于上述的访问控制系统，包括如下步骤：
50.在用户模块认证过程中，认证模块获取所述用户模块的终端信息；所述终端信息包括白名单版本1；所述认证模块存储有白名单版本2；
51.若所述白名单版本1大于白名单版本2，所述认证模块更新所述白名单版本2。
52.进一步地，在本技术的某些优选实施方式中，所述访问控制系统还包括平台，所述方法还包括：
53.若所述用户模块的身份发生改变，则所述平台从所述用户模块和认证模块中获取
最新白名单数据，并将所述最新白名单数据推送至所述用户模块和认证模块。
54.作为本技术的一种具体实现方式，若所述平台推送最新白名单数据至所述认证模块失败，则所述方法还包括：
55.通过所述用户模块采用短距通讯方式将所述最新白名单数据发送至所述认证模块。
56.进一步地，在本技术的某些优选实施方式中，所述终端信息包括有效期信息，所述方法还包括：
57.通过预设条件对所述有效期信息进行更新；
58.其中，所述预设条件包括用户模块身份发生改变时，或有效期信息在设定范围内且用户模块有网络接入时。
59.实施本发明实施例的白名单更新方案，白名单数据由用户模块在认证过程中完成更新，不需要预置白名单数据，更不需要专门对白名单数据进行维护。
60.此外，在用户模块和认证模块双离线情况下，该白名单更新方案中，两个模块之间可通过短距通讯保障认证过程的顺利执行。且，两个模块处于离线情况时，该短距通讯方式也能保证其内白名单数据的及时更新。
61.进一步地，用户模块内部设计了离线有效期监控机制，可以对用户模块在离线条件下的使用进行有效监控、限制，从而保证其主体功能及服务的可执行性及高效可控性。
附图说明
62.为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。
63.图1是现有技术中黑名单访问控制流程图；
64.图2是现有技术中白名单访问控制流程图；
65.图3是现有技术中黑白名单相结合的控制流程图；
66.图4是模块控制结构图；
67.图5是模块认证体系结构图；
68.图6是本发明实施例提供的基于白名单的访问控制方法的流程图；
69.图7是用户模块的终端信息结构图；
70.图8是本发明实施例提供的认证模块的一种结构图；
71.图9是本发明实施例提供的认证模块的另一种结构图；
72.图10是本发明实施例提供的白名单更新方法的流程图。
具体实施方式
73.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
74.应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整
体、步骤、操作、元素、组件和/或其集合的存在或添加。
75.为更好地理解本发明实施例，先对其相关内容做如下说明：
76.本发明实施例实际提供一种基于白名单机制的软件数据访问控制策略，其主要涉及：
77.一、该白名单机制的关联方
78.1、被操作的对象：用户信息，可以是待更新的终端属性数据，包括但不仅限于时间数据、权限数据、密钥数据及证书数据等。
79.2、可纳入的应用场景
80.(1)用户信息数据存储与用户模块终端设备上，认证模块终端设备上可添加、更新相应的模块信息；
81.(2)同一时间只有唯一有效的认证模块终端和唯一有效的用户模块终端进行业务交互；
82.(3)唯一有效的认证模块终端需要核定/准入/确认唯一有效从业务终端的数据匹配情况。
83.3、机制关联要素
84.(1)为用户模块信息设定一个唯一标识id，用于数据唯一的白名单标识
85.(2)为软件数据设定一个内部有效期，用于控制数据的时效性(过期无效)
86.二、更新的策略
87.1、白名单id更新策略
88.(1)在数据首次存储时，为模块终端都设定白名单唯一版本id初始值，且用户模块只有唯一一个交互的有效终端。
89.(2)当唯一合法有效用户模块终端，身份(业务身份账号等)在发生改变时：
90.a、会从平台侧拉取最新的白名单数据，更新到用户模块终端保存，同时平台侧会尝试推送同步白名单数据到认证模块终端。
91.b、当认证模块终端没有网络时，平台侧白名单推送会失败，但可以通过用户模块终端的短距通讯(包括但不限于nfc、ble、uwb)方式跟认证模块终端交互更新。
92.2、内部有效期更新策略
93.(1)前提条件：设定内部有效期为x天，且在以下几种情况下，自动对内部有效期进行续期/更新。
94.(2)元素规则：有效期格式为yymmddhhmmss(年月日时分秒)
95.(3)更新规则
96.a、在用户模块终端(业务身份账号等)有网登录时
97.b、内部有效期在x-1天(1天可灵活设定)时，用户模块终端有网时
98.三、使用的策略：
99.在认证模块终端无网络/有网络的情况下，核定/准入/确认用户模块终端软件数据的有效性/合法性：
100.1、先匹配白名单id：用户模块终端白名单id大于认证模块终端白名单id时，认证模块终端白名单id更新为用户模块终端白名单id值，并将用户模块终端中的终端属性数据及白名单列表更新到认证模块终端中保存。
101.如果小于或等于认证模块终端白名单id，则按步骤2执行。
102.2、再匹配内部有效期：当用户模块终端内部有效期小于认证终端白名单中当前标识的用户模块终端有效期时，用户模块终端不可与认证模块终端进行后续的业务。
103.请参考图6，本发明实施例所提供的基于白名单的访问控制方法，可以包括如下步骤：
104.s101，认证模块接入多个用户模块。
105.需要说明的是，在本实施例中，认证模块与用户模块之间是一对多的关系，如图5所示。举例来说，此处接入的用户模块包括a、b和c。
106.s102，获取每一所述用户模块的终端信息。
107.具体地，认证模块获取用户模块与认证模块之间的认证密文，对该认证密文进行有效性校验，若有效，则对用户模块的接入信息进行解析，得到终端信息，若无效，则拒绝访问。
108.其中，如图7所示，所获取的终端信息包括但不仅限于：模块标识、离线有效期、起始有效期、结束有效期、其它信息、白名单版本，模块1标识、模块2标识
……
109.需要说明的是，认证模块存储有多个用户模块的终端信息，其终端信息的结构同样如图7所示。为了区分，在本实施例中，用户模块中的终端信息包括白名单版本1和离线有效期信息1，认证模块存储有白名单版本2和离线有效期信息2。
110.从图7可以看出，本实施例中对用户模块的起止使用时间、离线使用时间都进行设定，从而可对该部分参数进行监控，实施有效的管理，可保证用户模块一直处于安全可控、合法的使用范围内。若发现用户模块的有效期超过限定值，则对其进行使用限制处理。
111.s103，判断用户终端模块中的白名单版本1是否大于认证模块中的白名单版本2，若是，执行步骤s104，反之，执行步骤s107。
112.s104，更新钥匙数据，并更新认证模块的白名单版本2。
113.s105，完善认证模块的白名单中当前用户模块的信息。
114.需要说明的是，例如步骤s103中选择用户模块a进行白名单版本的比较，则步骤s105中的当前用户模块指的就是a。
115.s106，认证终端模块允许用户终端模块访问。
116.具体地，针对任一用户终端模块，例如a，判断a的白名单版本是否大于认证模块的白名单版本，若大于，则执行步骤s104-s106。在提取用户终端模块和认证模块中的白名单版本时，是通过用户标识关联的。例如，用户终端模块a在两个模块中的标识都为a，那么认证终端模块根据接入的用户终端模块信息，便可在自身模块中获取a的用户标识、白名单版本等。同理，除白名单版本外，两个模块之间其余信息之间也是通过用户标识关联的。
117.s107，判断用户终端模块中的离线有效信息1是否与认证模块中离线有效信息2一致，若是，执行步骤s108，反之，执行步骤s109。
118.s108，判断认证终端模块中用户模块的信息是否完整，若是，则执行步骤s106，反之，执行步骤s105。
119.再请参考图7，其中的模块1标识，模块2标识
……
都是指用户模块的，每个用户模块都带自己完整的数据。同时也带有其它模块的部分数据，所以如果认证终端模块发现自己保存的用户终端模块数据不完整时，会补全当前用户终端模块的数据。
120.s109，拒绝访问。
121.从以上描述可以得知，实施本发明实施例的白名单访问控制方案，认证模块基于终端信息的白名单版本及离线有效期实现了对用户模块的访问控制，其提供了一种快速、方便且有效的访问控制手段。
122.基于相同的发明构思，对应于前述基于白名单的访问控制方法，本发明实施例提供了一种控制系统，包括多个用户模块及一认证模块。作为本技术的一种优选实现方式，所述用户模块与认证模块之间采用短距通讯方式，包括但不仅限于nfc、ble及uwb等。
123.具体地，在本实施例中，如图8所示，认证模块包括：
124.获取单元10，用于接入多个用户模块，获取每一所述用户模块的终端信息；所述终端信息包括白名单版本1和离线有效期信息1；所述认证模块存储有白名单版本2和离线有效期信息2；
125.访问控制单元11，用于：
126.针对任一所述用户模块，若所述白名单版本1大于白名单版本2，则所述认证模块允许所述用户模块访问；
127.若所述白名单版本不大于白名单版本2，则所述认证模块对所述离线有效信息1和离线有效信息2进行比较；
128.若两者一致，则所述认证模块允许所述用户模块访问。
129.进一步地，所述获取单元10具体用于：
130.获取所述用户模块与认证模块之间的认证密文；
131.对所述认证密文进行有效性校验，并根据校验结果对所述用户模块的接入信息进行解析，以得到终端信息。
132.进一步地，如图8所示，该认证模块还包括：
133.更新单元12，用于若所述白名单版本1大于白名单版本2，更新所述白名单版本2，并完善所述认证模块的白名单中当前用户模块的信息；
134.信息完善单元13，用于：
135.若所述离线有效信息1和离线信息2一致，或更新所述白名单版本2之后，判断所保存的用户模块的终端信息是否完整；
136.若完整，则通知所述访问控制单元允许所述用户模块访问；
137.若不完整，则完善内部白名单中当前用户模块的信息，并通知所述访问控制单元允许所述用户模块访问。
138.可选地，在本发明另一优选实施例中，如图9所示，认证模块可以包括：一个或多个处理器101、一个或多个输入设备102、一个或多个输出设备103和存储器104，上述处理器101、输入设备102、输出设备103和存储器104通过总线105相互连接。存储器104用于存储计算机程序，所述计算机程序包括程序指令，所述处理器101被配置用于调用所述程序指令执行上述方法实施例部分的方法。
139.应当理解，在本发明实施例中，所称处理器101可以是中央处理单元(central processing unit，cpu)，该处理器还可以是其它通用处理器、数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现成可编程门阵列(field-programmable gate array，fpga)或者其它可编程逻辑
器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
140.输入设备102可以包括键盘等，输出设备103可以包括显示器(lcd等)、扬声器等。
141.该存储器104可以包括只读存储器和随机存取存储器，并向处理器101提供指令和数据。存储器104的一部分还可以包括非易失性随机存取存储器。例如，存储器104还可以存储设备类型的信息。
142.具体实现中，本发明实施例中所描述的处理器101、输入设备102、输出设备103可执行本发明实施例提供的基于白名单的访问控制方法的实施例中所描述的实现方式，在此不再赘述。
143.需要说明的是，关于本实施例中控制系统及认证模块的具体工作流程，请参考前述方法实施例部分，在此不再赘述。
144.相应地，本发明实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令被处理器执行时实现：上述基于白名单的访问控制方法。
145.所述计算机可读存储介质可以是前述任一实施例所述的系统的内部存储单元，例如系统的硬盘或内存。所述计算机可读存储介质也可以是所述系统的外部存储设备，例如所述系统上配备的插接式硬盘，智能存储卡(smart media card,smc)，安全数字(secure digital,sd)卡，闪存卡(flash card)等。进一步地，所述计算机可读存储介质还可以既包括所述系统的内部存储单元也包括外部存储设备。所述计算机可读存储介质用于存储所述计算机程序以及所述系统所需的其它程序和数据。所述计算机可读存储介质还可以用于暂时地存储已经输出或者将要输出的数据。
146.本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
147.在本技术所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。
148.所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。
149.另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的
单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
150.所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。
151.再请参考图10，本发明实施例还提供了一种白名单更新方法，其适用于前述的访问控制系统，该方法可以包括：
152.s201，在用户模块认证过程中，认证模块获取所述用户模块的终端信息。其中，所述终端信息包括白名单版本1；所述认证模块存储有白名单版本2；
153.s202，若所述白名单版本1大于白名单版本2，所述认证模块更新所述白名单版本2。
154.进一步地，上述访问控制系统还包括平台，所述方法还包括：
155.若所述用户模块的身份发生改变，则所述平台从所述用户模块和认证模块中获取最新白名单数据，并将所述最新白名单数据推送至所述用户模块和认证模块。
156.若所述平台推送最新白名单数据至所述认证模块失败，则所述方法还包括：
157.通过所述用户模块采用短距通讯方式将所述最新白名单数据发送至所述认证模块。
158.进一步地，所述终端信息包括有效期信息，所述方法还包括：
159.通过预设条件对所述有效期信息进行更新；
160.其中，所述预设条件包括用户模块身份发生改变时，或有效期信息在设定范围内且用户模块有网络接入时。
161.从以上描述可以得知，实施本发明实施例的白名单更新方案，白名单数据由用户模块在认证过程中完成更新，不需要预置白名单数据，更不需要专门对白名单数据进行维护。
162.此外，在用户模块和认证模块双离线情况下，该白名单更新方案中，两个模块之间可通过短距通讯保障认证过程的顺利执行。且，两个模块处于离线情况时，该短距通讯方式也能保证其内白名单数据的及时更新。
163.进一步地，用户模块内部设计了离线有效期监控机制，可以对用户模块在离线条件下的使用进行有效监控、限制，从而保证其主体功能及服务的可执行性及高效可控性。
164.以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。