一种可信的云端身份认证方法及系统与流程

本申请涉及信息安全技术领域，特别涉及一种可信的云端身份认证方法及系统。

背景技术：

随着移动互联网快速发展，各类网络业务呈爆炸式增长态势，与此同时，网络身份冒用、身份信息泄露、账号暴力破解、账号权限滥用等事件频发，严重影响网络业务数据访问的安全性。

为了保证数据访问的安全性，可以对用户进行身份认证，一般的，用户使用专用软件(如，数字证书)或专用硬件(如，动态令牌)在客户端进行身份认证，但是依赖专用软件或专用硬件进行身份认证的方式，对于用户来说，便捷性差。

技术实现要素：

为解决上述技术问题，本申请实施例提供一种可信的云端身份认证方法及系统，以达到提高发送端和接收端的身份认证的便捷性的目的，技术方案如下：

一种可信的云端身份认证方法，应用于云端，所述方法包括：

接收发送端发送的信息，作为目标信息；

利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端；

接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

优选的，所述利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息之后，还包括：

记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息；

所述利用第一解密密钥对所述身份特征签名信息进行身份特征验签之后，还包括：

记录所述利用第一解密密钥对所述身份特征签名信息进行身份特征验签的过程信息。

优选的，所述接收发送端发送的信息，作为目标信息，包括：

接收发送端发送的信息，并利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息；

所述方法还包括：

接收所述接收端的解密请求，利用第二解密密钥对所述目标信息进行解密，并将解密后的信息发送至所述接收端。

优选的，所述利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息之后，还包括：

记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息；

所述利用第二解密密钥对所述目标信息进行解密之后，还包括：

记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。

一种可信的云端身份认证系统，应用于云端，所述系统包括：

用户请求处理模块，用于接收发送端发送的信息，作为目标信息；

加密签名模块，用于利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端；

所述用户请求处理模块，还用于接收所述接收端的验签请求；

解密验签模块，用于利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

优选的，所述系统还包括：

可信存证模块，用于记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息，及记录所述利用第一解密密钥对所述身份特征签名信息进行身份特征验签的过程信息。

优选的，所述加密签名模块，具体用于：

接收发送端发送的信息，并利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息；

所述解密验签模块，还用于接收所述接收端的解密请求，利用第二解密密钥对所述目标信息进行解密，并将解密后的信息发送至所述接收端。

优选的，所述可信存证模块，还用于记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息，及记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。

与现有技术相比，本申请的有益效果为：

在本申请中，由云端接收发送端发送的信息，作为目标信息，并由云端对目标信息进行签名，并由云端对身份特征签名信息进行验签，若验签通过，则确定发送端的身份合法，其中，发送端不参与签名的过程，接收端不参与验签的过程，即可实现发送端身份的验证，因此对于发送端和接收端，身份验证的便捷性得到提高。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请提供的可信的云端身份认证方法的一种流程图；

图2是本申请提供的可信的云端身份认证方法的另一种流程图；

图3是本申请提供的可信的云端身份认证方法的再一种流程图；

图4是本申请提供的可信的云端身份认证方法的再一种流程图；

图5是本申请提供的可信的云端身份认证方法的再一种流程图；

图6是本申请提供的可信的云端身份认证系统的一种逻辑结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例公开了一种可信的云端身份认证方法，应用于云端，包括：接收发送端发送的信息，作为目标信息；利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端；接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。在本申请中，对于发送端和接收端，身份验证的便捷性得到提高。

接下来对本申请实施例公开的可信的云端身份认证方法进行介绍，请参见图1，可以包括：

步骤s11、接收发送端发送的信息，作为目标信息。

发送端在请求向目的端发送信息时，可以首先将信息发送至云端。相应地，云端的用户请求处理模块接收发送端发送的信息，并将接收到的信息作为目标信息。

步骤s12、利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端。

第一加密密钥具体由云端中的密钥管理模块生成。

具体地，可以由云端的加密签名模块利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端。

本实施例中，密钥管理模块在生成第一加密密钥的同时，可以由云端的可信存证模块记录生成第一加密密钥的过程信息，以进行存证。

需要说明的是，利用第一加密密钥对目标信息进行身份特征签名，可以包括但不局限于：利用第一加密密钥对目标信息进行电子签名、数字签名和/或加密。

步骤s13、接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

具体地，由云端的用户请求处理模块接收所述接收端的验签请求。

由云端的解密验签模块利用第一解密密钥对所述身份特征签名信息进行验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

本实施例中，接收端不参与验签过程，在需要进行验签时，向云端提交验签请求。相应地，云端接收所述接收端的验签请求，并利用第一解密密钥对所述身份特征签名信息进行验签。

其中，利用第一解密密钥对身份特征签名信息进行验签的过程可以包括：利用与身份特征签名的技术相对应的验签技术(如，电子签名对应的验签技术或数字签名对应的验签技术或解密技术)，利用第一解密密钥对身份特征签名信息进行验签。

同样的，第一解密密钥由云端中的密钥管理模块生成。

本实施例中，密钥管理模块在生成第一解密密钥的同时，可以记录生成第一解密密钥的过程信息，以进行存证。

其中，若采用对称签名方式，第一加密密钥和第一解密密钥为同一密钥。

若采用非对称签名方式，第一加密密钥可以为发送端的私钥，第一解密密钥可以为发送端的公钥。

在本申请中，由云端接收发送端发送的信息，作为目标信息，并由云端对目标信息进行签名，并由云端对身份特征签名信息进行验签，若验签通过，则确定发送端的身份合法，其中，发送端不参与签名的过程，接收端不参与验签的过程，即可实现发送端身份的验证，因此对于发送端和接收端，身份验证的便捷性得到提高。

并且，发送端不参与签名的过程，接收端不参与验签的过程，因此发送端和接收端均可以不需要依赖专用的软硬件完成身份认证，节省了管理成本。

在本申请的另一个实施例中，介绍另外一种可信的云端身份认证方法，请参见图2，可以包括：

步骤s21、接收发送端发送的信息，作为目标信息。

步骤s22、利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端。

步骤s21-s22与前述实施例中的步骤s11-s12相同，步骤s21-s22的详细过程可以参见步骤s11-s12的相关介绍，在此不再赘述。

步骤s23、记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息。

利用第一加密密钥对所述目标信息进行身份特征签名的过程信息，可以包括但不局限于：时间、用户(如，发送端)身份、用户请求来源、请求内容、加密信息的哈希值。

记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息，可以实现身份认证过程的可追溯、防篡改和防抵赖。

具体地，由云端的可信存证模块记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息。其中，可信存证模块可以将所述利用第一加密密钥对所述目标信息进行签名的过程信息记录在区块链上，或者，采用其他分布式或集中式的机制，记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息。

步骤s24、接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

步骤s24与前述实施例中的步骤s13相同，步骤s24的详细过程可以参见步骤s13的相关介绍，在此不再赘述。

步骤s25、记录所述利用第一解密密钥对所述身份特征签名信息进行验签的过程信息。

利用第一解密密钥对所述身份特征签名信息进行验签的过程信息，可以包括但不局限于：时间、用户(如，接收端)身份、用户请求来源、请求内容、解密信息的哈希值。

记录所述利用第一解密密钥对所述身份特征签名信息进行验签的过程信息，可以实现身份认证过程的可追溯、防篡改和防抵赖。

具体地，可以由云端的可信存证模块记录所述利用第一解密密钥对所述身份特征签名信息进行验签的过程信息。其中，可信存证模块可以将所述利用第一解密密钥对所述身份特征签名信息进行验签的过程信息记录在区块链上；或者，采用其他分布式或集中式的机制，记录所述利用第一解密密钥对所述身份特征签名信息进行验签的过程信息。

本实施例中，为了更加清晰的介绍在云端进行身份认证的过程，可以参见图3，如图3所示，用户(即发送端或接收端)向用户请求处理模块发送请求(如，生成私钥、加密/签名、解密/验签)，用户请求处理模块交付相应的模块，对请求进行响应，完成在云端的身份认证。

在本申请的另一个实施例中，介绍另外一种可信的云端身份认证方法，请参见图4，可以包括：

步骤s41、接收发送端发送的信息，并利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息。

步骤s41为前述实施例中步骤s11的一种具体实施方式。

利用第二加密密钥对发送端发送的信息进行加密，保证信息的安全性。

第二加密密钥具体由云端中的密钥管理模块生成。

本实施例中，密钥管理模块在生成第二加密密钥的同时，可以由可信存证模块记录生成第二加密密钥的过程信息，以进行存证。

步骤s42、利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端。

步骤s43、接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

步骤s42-s43的详细过程可以参见前述实施例中步骤s12-s13的相关介绍，在此不再赘述。

步骤s44、接收所述接收端的解密请求，利用第二解密密钥对所述目标信息进行解密，并将解密后的信息发送至所述接收端。

本实施例中，接收端不参与解密过程，在需要解密时，接收端向云端提交解密请求。相应地，云端接收所述接收端的解密请求，并利用第二解密密钥对目标信息进行解密，并将解密后的信息发送至接收端。

同样的，第二解密密钥由云端中的密钥管理模块生成。

在本实施例中，密钥管理模块在生成第二解密密钥的同时，可以由可信存证模块记录生成第二解密密钥的过程信息，以进行存证。

其中，若采用对称加密方式，第二加密密钥和第二解密密钥为同一密钥。

若采用非对称加密方式，第二加密密钥可以为接收端的公钥，第二解密密钥可以为接收端的私钥。

在本申请的另一个实施例中，介绍另外一种可信的云端身份认证方法，请参见图5，可以包括：

步骤s51、接收发送端发送的信息，并利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息。

步骤s51与前述实施例中的步骤s41相同，步骤s51的详细过程可以参见步骤s41的相关介绍，在此不再赘述。

步骤s52、记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息。

利用第二加密密钥对所述发送端发送的信息进行加密的过程信息，可以包括但不局限于：时间、用户(如，发送端)身份、用户请求来源、请求内容、加密信息的哈希值。

记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息，可以实现身份认证过程的可追溯、防篡改和防抵赖。

具体地，由可信存证模块记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息。其中，可信存证模块可以将所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息记录在区块链上；或者，采用其他分布式或集中式的机制，记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息。

步骤s53、利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端。

步骤s54、接收所述接收端的验签请求，利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

步骤s55、接收所述接收端的解密请求，利用第二解密密钥对所述目标信息进行解密，并将解密后的信息发送至所述接收端。

步骤s53-s55与前述实施例中的步骤s42-s44相同，步骤s53-s55的详细过程可以参见步骤s42-s44的相关介绍，在此不再赘述。

步骤s56、记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。

利用第二解密密钥对所述目标信息进行解密的过程信息，可以包括但不局限于：时间、用户(如，接收端)身份、用户请求来源、请求内容、解密信息的哈希值。

记录所述利用第二解密密钥对所述目标信息进行解密的过程信息，可以实现身份认证过程的可追溯、防篡改和防抵赖。

具体地，由可信存证模块记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。其中，可信存证模块可以将所述利用第二解密密钥对所述目标信息进行解密的过程信息记录在区块链上；或者，采用其他分布式或集中式的机制，记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。

接下来对本申请提供的可信的云端身份认证系统进行介绍，下文介绍的可信的云端身份认证系统与上文介绍的可信的云端身份认证方法可相互对应参照。

请参见图6，可信的云端身份认证系统包括：用户请求处理模块11、加密签名模块12和解密验签模块13。

用户请求处理模块11，用于接收发送端发送的信息，作为目标信息；

加密签名模块12，用于利用第一加密密钥对所述目标信息进行身份特征签名，得到身份特征签名信息，并将所述身份特征签名信息及所述目标信息发送至接收端；

所述用户请求处理模块11，还用于接收所述接收端的验签请求；

解密验签模块13，用于利用第一解密密钥对所述身份特征签名信息进行身份特征验签，若身份特征验签通过，则确定所述发送端的身份合法及所述目标消息准确合法，并向所述接收端发送所述发送端的身份认证通过的通知消息。

本实施例中，可信的云端身份认证系统还可以包括：

可信存证模块，用于记录所述利用第一加密密钥对所述目标信息进行身份特征签名的过程信息，及记录所述利用第一解密密钥对所述身份特征签名信息进行身份特征验签的过程信息。

本实施例中，所述加密签名模块12，具体可以用于：

接收发送端发送的信息，并利用第二加密密钥对所述发送端发送的信息进行加密，加密后的信息作为目标信息。

相应地，所述解密验签模块13，还可以用于接收所述接收端的解密请求，利用第二解密密钥对所述目标信息进行解密，并将解密后的信息发送至所述接收端。

本实施例中，所述可信存证模块，还可以用于记录所述利用第二加密密钥对所述发送端发送的信息进行加密的过程信息，及记录所述利用第二解密密钥对所述目标信息进行解密的过程信息。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

以上对本申请所提供的一种可信的云端身份认证方法及系统进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。