一种基于标识的密码技术的公共网络安全通信服务用户身份的认证方法

摘要

一种基于标识的密码技术的公共网络安全通信服务用户身份的认证方法，用户请求注册时，向密码中心传送其Email地址等服务标识和手机号等可缴费的用户标识，密码中心向Email地址和手机等分别发送牌1、令牌2，用户及时将令牌回馈确认其注册申请，密码中心收到回馈后，即确认其为有效申请。本发明绑定了两种验证方式，排除了各种无效申请，方法简单，易于实施，使得基于标识的密码技术面向公众的服务成为现实，并可取得较高的社会效率和经济效益。

说明书

                       技术领域

本发明属于网络技术领域，具体地说是一种基于标识的密码技术的公共网络安全通信服务用户身份的认证方法。

                       背景技术

许多基于传统公钥密码体系的安全系统已在广泛使用。比如重要的互联网应用：电子邮件，就有相应的安全系统PGP(Pretty GoodPrivacy)系统等。IETF(Internet Engineering Task Force)也有制定相应的标准S/MIME(Secure/Multipurpose Internet MailExtensions)。但这类系统都依赖于复杂的证书颁发系统：PKI(PublicKey Infrastructure)。在2001年，两位美国密码学家Boneh和Franklin提出了首个安全性可以证明的实用的基于标识的加密系统IBE，即Identity based encryption(参见文献D.Boneh and M.Franklin.Identity based encryption from the Weil pairing.In Proceedings ofAdvances in Cryptology-Crypto 2001，LNCS 2139，pp.213-229，Springer-Verlag，2001.)。基于标识的密码系统不再需要PKI，而是直接使用用户的标识作为用户的公钥，从而去除了对PKI的依赖。

作为密码学领域的最新发展，国际上只有极少数公司提供基于标识的密码产品。最主要的产品由Voltage公司提供。但该公司只提供企业级的产品，即产品只为企业的雇员间的通信提供安全服务。产品线包括：邮件加密网关，桌面软件，文件加密，安全的即时通信等。这些产品全部是基于企业级的应用，在安全策略服务方面做了很多工作，用户主要是面对企业内用户，也兼顾到少数企业外的临时用户。基于标识的密码系统中有一个重要的步骤，即用户认证(又称用户鉴权)，并在鉴权成功后分发对应于用户标识的私钥。Voltage的产品对于用户的鉴权是通过企业级软件的通用方法来实现的，比如Windows系统帐号，Email系统账户等。对企业外部的个别临时用户也可以采用邮件回复的方式认证。

图1为Voltage产品描述的一个通常的IBE过程：李四向张三发送一封基于标识技术的加密邮件。第一步李四以张三的Email地址(张三@b.com)作为标识(即张三的公钥)，向张三发送加密邮件；第二步张三收到邮件后，到密码服务器去申请对应于张三@b.com的私钥；第三步张三从服务器得到私钥后解密邮件。

这是一个通常的IBE的过程，步骤②涉及用户向密码服务器认证过程。Voltage的产品采用以下几种鉴权方式验证用户：

a)Exchange2000服务器使用Windows域认证，

b)Exchange5.5服务器使用Windows域认证，

c)轻量目录访问协议(LDAP)，

d)PKI客户证书，

e)智能卡，

f)RSA公司SecureID卡，

g)POP3邮件协议认证，

h)邮件回复认证。

这些方法均没有考虑到如何确认一位普通的公共用户的身份，也没有考虑到基于公众用户的付费方法，因而无法提供公共网络安全通信服务。具体的讲a)和b)中的方法使用Exchange邮件服务器和Windows的域认证方法，显然公共用户不会在相同的Windows域中。c)方法需要用户都向一个LDAP目录注册，这对公共用户不现实。d)方法要求用户都具有一个PKI的证书，这对公共用户同样不现实，而且对PKI证书的需求正是基于标识的密码系统要去除的。注意在企业应用中，用户是可能已经拥有一个用作其它用途的证书的。e)和f)中的方法都需要公共用户从某个发卡单位获取智能卡，而且使用这些卡也难以在互联网上进行远程验证。g)方法要求密码服务器和公共用户的所有邮件服务提供商共享用户的邮件服务登录密码，邮件服务提供商不会愿意和他方共享这些敏感信息。h)方法可以较安全的验证用户对Email地址的拥有权，但仅使用该方法无法避免假冒、恶意申请、误操作等，也无法提供公共收费服务。

                     发明内容

本发明的目的在于为采用基于标识的密码技术的公共网络安全通信服务提供一种用户身份认证方法。该方法简单易行，能可靠地解决公共用户的身份认证，从而使得基于标识的密码技术的公共网络可方便地对公共用户提供安全通信服务，同时还能解决面向公众服务时的收费问题。

本发明的核心思想是在IBE的应用领域，第一，确认用户要使用的标识是什么；第二，确认对应于该标识的用户拥有什么；第三，根据前两个步骤的结果实现持续的有控制的用户授权，从而实现用户记费。

本发明的目的是通过下述技术方案实现的，其特征在于：

1)用户请求注册时，通过互联网向密码中心传送需要提供密码服务的Email地址或即时通信号码或标识或音频、视频声讯号码或标识，同时传送其拥有的手机号码或固定电话机号码或传真机号码或其他可接受信息的公共付费服务终端标识，并设定一个注册密码，其Email地址或即时通信号码或标识或音、视频声讯号码或标识将被作为用户的标识，该标识将被作为公钥，

2)密码中心收到上述注册申请后，即按下述方法对用户提供的信息的有效性进行验证：

①向该用户的Email地址或QQ号码或音、视频声讯号码发送一个令牌1，一个令牌是一串随机数字或字符或数字与字符的组合，

②向该用户拥有的手机号码或固定电话机号码或传真机号码或其他可接受信息的终端发送另一个令牌2，

③该用户收到这两个令牌后，按照与收取时相同的渠道或通过密码中心的申请确认主页，将两个令牌回馈给密码中心，确认其注册申请，

3)密码中心收到回馈的对应于同一用户的两个令牌后，即确认该用户身份有效，其注册申请为有效申请。

在按上述方法认证了用户的确切身份后，密码中心确认用户身份有效，其注册申请为有效申请，密码中心即可为其提供相应服务(生成用户的私钥和定制的客户端软件)，并可通过该用户手机或固定电话机或传真机或其他可接受信息的公共付费服务终端标识的运营商或者通过该用户提供的信用卡向该用户收取相应的费用。客户通过使用定制的客户端软件获得安全服务。

该发明另外一个重要内容是根据认证鉴权后的用户信息对使用服务的用户进行持续的有控制的授权并收取费用的方法。该发明使用在线用户验证激活软件服务的方法授权用户使用服务。在以下情况下用户的客户软件需要向密码中心进行验证以获取授权并激活相应服务：

①在一个月的不固定一天进行自动在线验证。

②在使用客户软件一定次数时自动验证。

③在用户申请特殊密码时(如需要解密有指定解密时间的文件)附带验证。

④手工验证。客户可以用客户端软件的手工验证功能验证。

如果用户未付费，密码中心将指令客户端软件停止提供服务，直至用户付费后，再次使用客户端软件手工验证通过后，恢复服务。

本发明由于采用了分步验证、绑定两种验证的鉴权方式，即通过不同渠道发布令牌并要求两个令牌都被回复确认来认证一个普通公共用户申请注册的有效性，排除了出于各种目的或误操作造成的无效申请，成功地为基于标识的密码技术的公共网络安全通信服务提供了一种简单易行的用户身份认证方法，可靠地解决了公共用户的身份认证问题，从而使得公共网络可方便地对公共用户提供采用基于标识的密码技术的安全通信服务(包括公共安全邮件系统，公共安全即时通信系统及音、视频声讯系统等)。同时，本发明采用在线用户验证激活服务的方法授权用户使用安全服务，从而实现持续服务授权和记费。

概括地说，本发明是通过Email(或其它需要提供网络服务的标识)+手机(或其它与需要提供网络服务的项目紧密相连的、易于验证、易于收费管理的手段)验证用户注册是否有效的方法，从而可以方便地、准确地认定任何一位普通用户，并且通过手机(或固定电话等)绑定收费系统，通过已有的通信运营商或信用卡收取费用，形成非常好的付费模式，顺利地解决了基于标识的密码技术的公共网络安全通信面向公众服务时的收费问题，从而使得基于标识的密码技术形成面向公众的服务成为现实。就认证方法而言，收费是认证过程中的一个重要环节。

本发明的方法简单、易行，工作可靠，适用于各种基于标识的密码技术的公共网络安全通信服务的用户身份认证

                      附图说明

本发明有如下附图：

图1通常的IBE过程示意图。

图2认证鉴权流程示意图。

图3认证鉴权实施例示意图

                    具体实施方式

以下结合具体实施例对本发明作进一步详细说明。

本发明的方法是针对下述问题而提出的：现有的基于标识的密码技术的网络安全通信服务系统，由于没有解决公众客户的身份认证问题以及收费问题，因而无法开展对公共客户的服务，限制了这一先进技术的大范围推广应用。本发明对公共用户必不可少的现有的通信技术手段中的两种进行了组合，通过这两种手段的组合，既解决了基于标识的密码技术的公共网络安全通信服务系统的标识问题，又解决了公共用户身份唯一、有效的问题。本发明给出的具体认证方法为：

1)用户请求注册时，首先通过互联网向密码中心传送需要提供密码服务的Email地址或即时通信标识(如QQ号码)或音频、视频标识，其Email地址或即时通信标识(如QQ号码)或音频、视频标识将被作为用户的基于标识的密码技术的公共网络安全通信服务系统的标识。所说的Email地址可以是任何合法有效电子邮件地址，例如myibe001@yahoo.com、eric@cfdrive.com等。所说的即时通信标识可以是即时通信服务商给定的号码，例如腾讯公司给定的号码59387321(QQ号码)。所说的音频、视频标识可以是网络电话号码或帐号，例如Skype公司的某个网络帐号myapn001。

用户同时向密码中心传送其拥有的手机号码(例如13501234567)或固定电话机号码(例如67123456)，或传真机号码(例如67654321，相当于专用的电话号码)，或其他可接受信息的公共付费服务终端标识(例如小灵通号码60000999)，异地申请时应加区位号(例如010、0512)，并设定一个注册密码(例如09873655)。本发明规定这两种必须提供的通信手段的号码或标识，是公共用户身份认定的基础，其中Email地址或QQ号码或音、视频标识既是服务对象，又是认证渠道之一；手机号码或固定电话机号码或传真机号码等则是另一个认证渠道。

2)密码中心收到上述注册申请后，即按下述方法对用户提供的信息的有效性进行验证：

①向该用户的Email地址或QQ号码或音、视频标识发送一个令牌1。令牌1是密码中心为认证用户身份所发出的一串随机数字或字符或数字与字符的组合，例如7720889、axd43056等，

②向该用户拥有的手机号码或固定电话机号码或传真机号码或其他可接受信息的公共付费服务终端发送另一个令牌2。令牌2是密码中心为认证用户身份所发出的另一串随机数字或字符或数字与字符的组合，例如qscghu6809、1025798等。令牌的使用示意图参见图3。对于固定电话机而言，所谓的发送令牌也可以是直接语言通知，并询问是否注册、申请了某种密码服务及要求服务的标识等能够认证用户身份的话语。密码中心与用户之间的令牌传送可以是手机对手机、手机对固定电话(传真电话)、传真机对传真机、密码中心的服务器-ISP网关对手机或其他可接受信息的公共付费服务终端以及技术上可以实施的这几种通信工具之间的信息交换方式。

③该用户收到这两个令牌后，可以通过两种方式确认其注册。方法一：按照与收取时相同的渠道及时将其回馈给密码中心，确认其注册申请。“与收取时相同的渠道确认”保证了令牌发送和回馈渠道的对等，进而为申请过程提供物理(如申请确认传真件)或第三方凭证(电信短信记录等)。方法二：用户可以使用获取的两个令牌访问密码中心的申请确认主页。通过输入两个令牌来完成申请过程。具体实施例参见图3。图3为本发明中通过密码中心的申请确认主页反馈两个令牌认证的实施例示意图，第一栏填写需要提供安全服务的邮件地址标识，第二栏填写通过邮件得到的令牌1，第三栏填写通过手机短讯得到的令牌2，最后一栏输入用户设定的注册密码，然后提交认证。

两个令牌的确认步骤排除了出于各种目的(包括恶意的)或误操作造成的无效申请，保证了用户身份认证的可靠性。

3)密码中心收到回馈的对应于同一用户的两个令牌后，即确认该用户身份有效，其注册申请为有效申请。由于本发明从两个不同的渠道发出了两个令牌，只有提供了这两个渠道的申请人才能够获得这两个令牌，且只有该申请人确实决定申请注册时才会回馈这两个令牌，从而保证了本发明认证方法的可靠性，使面向公众的服务及相应的收费得以实施。

在按上述方法认证了用户的确切身份后，密码中心即可为该用户提供相应的服务，并可通过该用户手机或固定电话机或传真机的运营商或者通过该用户提供的信用卡向该用户收取相应的费用。

4)用户使用定制的客户端软件提供的安全服务，客户端软件只有在从密码中心获得相应的授权后才提供服务。客户端软件采用在线验证的方式向密码中心申请授权。密码中心只有在确定用户有效(即用户正常付费后)才给予授权。除了传统的收费方式，该系统自动支持手机收费系统，不需要通过人工或第三方认证收费系统，可直接和手机或固定电话运营商捆绑。

上述认证过程可参见图2，该图描述了在本发明中，认证用户并绑定记费系统，从而为基于标识的密码系统提供用户鉴权的过程。

本发明给出的方法简单，易于实施，并可取得较高的社会效率和经济效益。