基于挑战方式实现网络电子身份认证过程中防追踪的方法

摘要

本发明涉及一种基于挑战方式实现网络电子身份认证过程中防追踪的方法，其中包括：网络电子身份标识载体对网络应用请求的数据进行加密并生成网络应用用户身份标识，将网络应用用户身份标识发送至网络应用；网络电子身份标识载体对获取数字签名请求的待签名数据进行数字签名并得到相应的签名结果；网络电子身份标识载体发送签名结果；网络应用将其自身的应用标识、网络应用用户身份标识、待签名数据和签名结果组合成用户身份认证请求并将用户身份认证请求发送至网络电子身份认证服务器；网络电子身份认证服务器进行身份认证。采用本发明的方法，实现网络身份有效管理和充分保护隐私的双重目的，提高身份认证的安全可靠性，具有更广泛的应用范围。

说明书

技术领域

本发明涉及身份管理和信息安全技术领域，尤其涉及互联网网络环境中的身份认证管理 技术，具体是指一种基于挑战方式实现网络电子身份认证过程中防追踪的方法。

背景技术

互联网基础设施及应用在世界各国的迅猛发展，各国社会的发展和运转已经与网络密不 可分，对信息网络依赖度日益增加。据2011年7月CNNIC发布的第28次统计调查报告， 截至2011年6月底，我国网民规模达到4.85亿人，居世界第一，普及率达到36.2％，超过 全球平均水平。现实社会中的问题会越来越多的反映到“网络社会”中，“网络社会”所产生 的问题也将更充分地影响现实社会，2011年上半年，遇到过病毒或木马攻击的网民达到2.17 亿，比例为44.7％，受害网民人数较2010年底增加735万。同时，2011年上半年，有过账 号或密码被盗经历的网民达到1.21亿人，半年增加2107万人，占到网民总数的24.9％，较 2010年底增加了3.1个百分点。网络安全与诚信问题已成为影响我国互联网发展最重要的问 题之一。

现有网络身份标识符的形式主要有：

(1)自定义的用户名(一般为字母数字混合形式)、电子邮箱名(xx@xxx.xxx形式) 等，与个人身份没有内在关联性且容易被窃取或滥用；

(2)直接以姓名或身份证号等作为标识符，容易暴露个人身份隐私。例如：现有各类数 字认证中心颁发的个人数字证书一般直接将个人身份信息(如：姓名、身份证号等)作为个 人数字证书主题项(subject)。

现有的网络电子身份认证系统大多是基于以上网络身份标识符来向互联网应用提供身份 认证服务。但如果该用户的网络电子身份标识可以在互联网上被任意获取传播，就会被某些 互联网应用进行搜集利用，用来分析该用户的网络行为，窃取用户隐私数据，甚至用来建立 未经授权的身份认证系统，向其他应用提供认证服务来谋利。

例如14年12月发生的“12306中国铁路客户服务中心官网注册用户信息泄露”事件， 就被怀疑是黑客利用非法搜集到的大量网站用户名及用户隐私信息(如生日、住址、电话号 码)采用“撞库攻击”方式获取12306网站用户注册信息。所谓的撞库攻击就是黑客通过收 集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一 系列可以登陆的用户。很多用户在不同网站使用的是相同的账号密码，因此黑客可以通过获 取用户在A网站的账户从而尝试登陆B网址，这就可以理解为撞库攻击。

因此，实施网络身份管理已成为我国社会和谐发展的迫切需求，对整个社会公共领域而 言，可以有效遏制互联网虚拟性滥用导致虚假信息、不良信息泛滥现象，也避免信息轻易泄 露的问题；对民生服务而言，可以提供社会公共服务，为公民提供便利，确保公民个人隐私 的安全；对于商业服务而言，可以提供多样性的电子商务服务，解决网络交易诚信问题。

发明内容

本发明的目的是克服了上述现有技术的缺点，提供了一种能够实现网络身份有效管理和 充分保护隐私的双重目的、既便于各个身份服务系统间的互联互通又防止应用利用统一的网 络电子身份标识建立未经授权操作的基于挑战方式实现网络电子身份认证过程中防追踪的方 法。

为了实现上述目的，本发明的基于挑战方式实现网络电子身份认证过程中防追踪的方法 具有如下构成：

该基于挑战方式实现网络电子身份认证过程中防追踪的方法，其主要特点是，所述的方 法包括网络电子身份标识载体、客户端、网络应用和网络电子身份认证服务器，并且包括以 下步骤：

(1)所述的网络应用通过所述的客户端向所述的网络电子身份标识载体发送网络应用请 求；

(2)所述的网络电子身份标识载体对所述的网络应用请求的数据进行加密并生成网络应 用用户身份标识；

(3)所述的网络电子身份标识载体通过所述的客户端将所述的网络应用用户身份标识发 送至所述的网络应用；

(4)所述的网络应用通过所述的客户端向所述的网络电子身份标识载体发送获取数字签 名请求；

(5)所述的网络电子身份标识载体对所述的获取数字签名请求的待签名数据进行数字签 名并得到相应的签名结果；

(6)所述的网络电子身份标识载体通过所述的客户端向所述的网络电子身份标识载体发 送所述的签名结果；

(7)所述的网络应用将其自身的应用标识、所述的网络应用用户身份标识、所述的待签 名数据所述的签名结果组合成用户身份认证请求并将所述的用户身份认证请求发送至所述的 网络电子身份认证服务器；

(8)所述的网络电子身份认证服务器响应所述的用户身份认证请求并进行身份认证；

(9)所述的网络电子身份认证服务器将身份认证结果反馈给所述的网络应用。

其中，所述的网络应用请求包括所述的网络应用的应用标识和挑战值，所述的网络电子 身份标识载体存储有用户身份标识、用户签名私钥和网络电子身份认证服务器公钥。

进一步地，所述的网络电子身份标识载体对所述的网络应用请求的数据进行加密并生成 网络应用用户身份标识，具体为：

所述的网络电子身份标识载体通过所述的网络电子身份认证服务器公钥对所述的用户身 份标识、挑战值和应用标识进行加密并生成网络应用用户身份标识。

更进一步地，所述的网络电子身份标识载体对所述的获取数字签名请求的待签名数据进 行数字签名并得到相应的签名结果，具体为：

所述的网络电子身份标识载体通过所述的网络电子身份认证服务器私钥对所述的获取数 字签名请求的待签名数据进行数字签名并得到相应的签名结果。

进一步地，所述的网络电子身份认证服务器响应所述的用户身份认证请求并进行身份认 证，包括以下步骤：

(8.1)所述的网络电子身份认证服务器对所述的用户身份认证请求中的网络应用用户身 份标识进行解密并获得相应的应用标识和用户身份标识；

(8.2)所述的网络电子身份认证服务器对解密得到的应用标识和用户身份标识分别进行 验证，如果两个验证结果均为通过，则继续步骤(8.3)，否则继续步骤(9)；

(8.3)所述的网络电子身份认证服务器对所述的用户身份认证请求的签名结果进行校 验，并将校验结果作为认证结果。

更进一步地，所述的步骤(1)之前，还包括以下步骤：

(0)所述的网络电子身份认证服务器保存已注册的用户身份标识、用户签名验证公钥、 已注册的应用标识和网络电子身份认证服务器私钥。

更进一步地，所述的网络电子身份认证服务器对所述的用户身份认证请求中的网络应用 用户身份标识进行解密并获得相应的应用标识和用户身份标识，具体为：

所述的网络电子身份认证服务器通过所述的网络电子身份认证服务器私钥对所述的用户 身份认证请求中的网络应用用户身份标识进行解密并获得相应的应用标识和用户身份标识。

更进一步地，所述的网络电子身份认证服务器对解密得到的应用标识和用户身份标识分 别进行验证，包括以下步骤：

(8.2.1)所述的网络电子身份认证服务器将解密得到的应用标识与所述的已注册的应用 标识进行匹配，如果匹配成功，则判定验证通过并继续步骤(8.2.2)，否则判定验证不通过；

(8.2.2)所述的网络电子身份认证服务器将解密得到的用户身份标识与所述的已注册的 用户身份标识进行匹配，如果匹配成功，则判定验证通过，否则判定验证不通过。

更进一步地，所述的步骤(8.2.1)之前，还包括以下步骤：

(8.2.0)所述的网络电子身份认证服务器将解密得到的应用标识与所述的用户身份认证 请求的应用标识进行比较，如果比较结果为相一致，则继续步骤(8.2.1)，否则判定验证不通 过。

更进一步地，所述的网络电子身份认证服务器对所述的用户身份认证请求的签名结果进 行校验，包括以下步骤：

(8.3.1)所述的网络电子身份认证服务器根据解密得到的用户身份标识查询得到相应的 用户签名验证公钥；

(8.3.2)所述的网络电子身份认证服务器通过该用户签名验证公钥和所述的用户身份认 证请求的待签名数据对所述的用户身份认证请求的签名结果进行校验。

采用了本发明的基于挑战方式实现网络电子身份认证过程中防追踪的方法，从网络电子 身份标识载体中获取的不再是真实的用户身份标识，而是与应用标识相关的变换过的用户网 络电子身份标识，由于该标识与应用标识相关，并加入了一个每次会话均不同的挑战值，所 以同一个用户在相同应用但不同会话过程，以及不同的应用中其标识是不同的，一个网络应 用中的用户网络电子身份标识对其它应用是无效的，因此也就无法用来对用户身份进行追踪， 只有在合法的网络电子身份认证服务器中才可以恢复出用户真实的身份标识，提高身份认证 的安全可靠性，避免个人隐私的轻易泄露，且结构简单，便于实现，具有更广泛的应用范围。

附图说明

图1为本发明的基于挑战方式实现网络电子身份认证过程中防追踪的方法的流程图。

图2为本发明的一个具体实施例的总流程图。

图3为本发明的一个具体实施例的网络电子身份认证服务器进行身份认证的流程图。

具体实施方式

为了能够更清楚地描述本发明的技术内容，下面结合具体实施例来进行进一步的描述。

如图1所示，在一个实施方式中，所述的基于挑战方式实现网络电子身份认证过程中防 追踪的方法括网络电子身份标识载体、客户端、网络应用和网络电子身份认证服务器，并且 包括以下步骤：

(1)所述的网络应用通过所述的客户端向所述的网络电子身份标识载体发送网络应用请 求；

(2)所述的网络电子身份标识载体对所述的网络应用请求的数据进行加密并生成网络应 用用户身份标识；

(3)所述的网络电子身份标识载体通过所述的客户端将所述的网络应用用户身份标识发 送至所述的网络应用；

(4)所述的网络应用通过所述的客户端向所述的网络电子身份标识载体发送获取数字签 名请求；

(5)所述的网络电子身份标识载体对所述的获取数字签名请求的待签名数据进行数字签 名并得到相应的签名结果；

(6)所述的网络电子身份标识载体通过所述的客户端向所述的网络电子身份标识载体发 送所述的签名结果；

(7)所述的网络应用将其自身的应用标识、所述的网络应用用户身份标识、所述的待签 名数据和所述的签名结果组合成用户身份认证请求并将所述的用户身份认证请求发送至所述 的网络电子身份认证服务器；

(8)所述的网络电子身份认证服务器响应所述的用户身份认证请求并进行身份认证；

(9)所述的网络电子身份认证服务器将身份认证结果反馈给所述的网络应用。

其中，所述的网络应用请求包括所述的网络应用的应用标识和挑战值，所述的网络电子 身份标识载体存储有用户身份标识、用户签名私钥和网络电子身份认证服务器公钥。

在一种优选的实施方式中，所述的网络电子身份标识载体对所述的网络应用请求的数据 进行加密并生成网络应用用户身份标识，具体为：

所述的网络电子身份标识载体通过所述的网络电子身份认证服务器公钥对所述的用户身 份标识、挑战值和应用标识进行加密并生成网络应用用户身份标识。

在一种更优选的实施方式中，所述的网络电子身份标识载体对所述的获取数字签名请求 的待签名数据进行数字签名并得到相应的签名结果，具体为：

所述的网络电子身份标识载体通过所述的网络电子身份认证服务器私钥对所述的获取数 字签名请求的待签名数据进行数字签名并得到相应的签名结果。

在一种优选的实施方式中，所述的网络电子身份认证服务器响应所述的用户身份认证请 求并进行身份认证，包括以下步骤：

(8.1)所述的网络电子身份认证服务器对所述的用户身份认证请求中的网络应用用户身 份标识进行解密并获得相应的应用标识和用户身份标识；

(8.2)所述的网络电子身份认证服务器对解密得到的应用标识和用户身份标识分别进行 验证，如果两个验证结果均为通过，则继续步骤(8.3)，否则继续步骤(9)；

(8.3)所述的网络电子身份认证服务器对所述的用户身份认证请求的签名结果进行校 验，并将校验结果作为认证结果。

在一种更优选的实施方式中，所述的步骤(1)之前，还包括以下步骤：

(0)所述的网络电子身份认证服务器保存已注册的用户身份标识、用户签名验证公钥、 已注册的应用标识和网络电子身份认证服务器私钥。

在一种更优选的实施方式中，所述的网络电子身份认证服务器对所述的用户身份认证请 求中的网络应用用户身份标识进行解密并获得相应的应用标识和用户身份标识，具体为：

所述的网络电子身份认证服务器通过所述的网络电子身份认证服务器私钥对所述的用户 身份认证请求中的网络应用用户身份标识进行解密并获得相应的应用标识和用户身份标识。

在一种更优选的实施方式中，所述的网络电子身份认证服务器对解密得到的应用标识和 用户身份标识分别进行验证，包括以下步骤：

(8.2.1)所述的网络电子身份认证服务器将解密得到的应用标识与所述的已注册的应用 标识进行匹配，如果匹配成功，则判定验证通过并继续步骤(8.2.2)，否则判定验证不通过；

(8.2.2)所述的网络电子身份认证服务器将解密得到的用户身份标识与所述的已注册的 用户身份标识进行匹配，如果匹配成功，则判定验证通过，否则判定验证不通过。

在一种更优选的实施方式中，所述的步骤(8.2.1)之前，还包括以下步骤：

(8.2.0)所述的网络电子身份认证服务器将解密得到的应用标识与所述的用户身份认证 请求的应用标识进行比较，如果比较结果为相一致，则继续步骤(8.2.1)，否则判定验证不通 过。

在一种更优选的实施方式中，所述的网络电子身份认证服务器对所述的用户身份认证请 求的签名结果进行校验，包括以下步骤：

(8.3.1)所述的网络电子身份认证服务器根据解密得到的用户身份标识查询得到相应的 用户签名验证公钥；

(8.3.2)所述的网络电子身份认证服务器通过该用户签名验证公钥和所述的用户身份认 证请求的待签名数据对所述的用户身份认证请求的签名结果进行校验。

在实际应用中，基于挑战方式实现网络电子身份认证过程中防追踪的方法涉及的实体包 括网络电子身份标识载体、客户端、请求身份认证的网络应用以及网络电子身份认证服务器。

1、网络电子身份载体中可以安全存储用户身份标识(USER_ID)、用户口令(PIN)、用 户签名私钥(USER_SK)和网络电子身份认证服务器公钥(SERVER_PK)，其中，USER_ID 可以是用户的真实身份标识，如姓名或身份证号码，也可以是由权威机构颁发的与用户真实 身份关联的网络电子身份标识，它不可以直接从载体中读出；PIN是用来在使用USER_SK 进行数字签名操作时候起到保护作用；USER_SK是用于进行数字签名，该数字签名用于网络 电子身份认证；网络电子身份认证服务器公钥(SERVER_PK)用于加密导出USER_ID，生 成网络应用用户身份标识(APP_USER_ID)。

2、客户端是用于联接网络电子身份标识载体和网络应用的软硬件集合，其软件部分形式 既可以是载体管理应用程序，也可以是嵌入到网络应用中的插件，主要完成网络应用与载体 间的通信处理。

3、请求身份认证的网络应用是对用户的网络电子身份进行认证的发起方，也是该方法防 追踪的对象，具有一个在网络电子身份认证服务器上注册的唯一的应用标识(APP_ID)；网 络应用从网络电子身份标识载体中获取用户的网络电子身份(即用户身份标识)和数字签名， 向认证服务器提交认证请求并接收服务器返回的响应。网络应用本身是不可信任的，多个网 络应用被认为可以共谋获取大量用户的网络电子身份标识和认证结果，从而未经授权构建网 络电子身份认证服务器，进而向其它应用提供身份认证服务，因此需要借助其他设备提高其 安全可靠性。

4、网络电子身份认证服务器保存有已注册的USER_ID、用户签名验证公钥(USER_PK)、 已注册的APP_ID和网络电子身份认证服务器私钥(SERVER_SK)，使用这些数据信息，服 务器可以处理网络应用提交的身份认证请求。

如图2和3所示，为本发明的一个具体实施例，具体包括以下步骤：

1)网络应用通过向网络电子身份标识载体请求获取用户身份标识，其中该网络应用请求 中要包含APP_ID和挑战值(CHALLENGE)。

2)客户端将包含APP_ID和挑战值(CHALLENGE)的网络应用请求转发给网络电子身 份标识载体；

其中，客户端包含一个独立的载体管理应用程序(也可以是嵌入到网络应用中的插件) 和载体设备读写器。其软件部分将APP请求封装成载体(网络电子身份载体)可以识别的指 令格式，如在ISO7816标准规定的智能IC卡应用协议数据单元(APDU)指令格式，并通过 硬件部分将指令发送给网络电子身份标识载体，并等待载体的响应数据。

3)网络电子身份标识载体使用SERVER_PK对USER_ID、APP_ID和CHALLENGE加 密生成APP_USER_ID并返回给客户端；

其中，网络电子身份标识载体可以是带有安全芯片的智能密码设备，如智能IC卡，装载 了可以解析并执行APDU指令的操作系统(COS)，在载体内使用非对称密码算法，如国家 密码管理局发布的SM2算法，用公钥SERVER_PK对USER_ID和APP_ID进行加密，加密 计算的公式为：

APP_USER_ID＝ENC_{SERVER_PK}(USER_ID||APP_ID||CHALLENGE)；

APP_USER_ID作为客户端发来的指令的响应数据返回给客户端，USER_ID为保存在载 体中的真实且唯一的用户身份标识。

4)客户端返回用户身份标识，即APP_USER_ID给APP。

5)网络应用通过客户端向网络电子身份标识载体请求获取数字签名，其中该获取数字签 名请求中包含一个待数字签名的数据DATA，如一段随机数字节串。

6)客户端将网络应用的获取数字签名请求转发给网络电子身份标识载体。客户端将待签 名数据作为数字签名APDU指令的命令数据域，并指定载体中的USER_SK作为数字签名密 钥。

7)网络电子身份标识载体使用USER_SK对请求中的待签名数据进行数字签名并返回签 名值SIGNATURE给客户端，其中，数字签名计算的公式为：

SIGNATURE＝SIGUSER_SK(DATA)；

SIGNATURE作为客户端发来的签名指令的响应数据返回给客户端。

8)客户端返回SIGNATURE给网络应用。

9)网络应用将APP_ID、APP_USER_ID、CHALLENGE、DATA和SIGNATURE组合成 用户身份认证请求发送给网络电子身份认证服务器。

10)网络电子身份认证服务器完成身份认证。

a)网络电子身份认证服务器使用SERVER_SK对认证请求中的APP_USER_ID进行解密， 获得APP_ID和USER_ID，解密计算的公式为：

APP_ID,USER_ID,CHALLENGE＝DEC_{SERVER_SK}(APP_USER_ID)；

b)网络电子身份认证服务器检查解密出的APP_ID是否与身份认证请求中的APP_ID一 致，再检查该APP_ID是否已注册。如果APP_ID未通过检查，则认证结果为不通过，执行 步骤11。

c)网络电子身份认证服务器检查解密出的USER_ID是否已注册。如果USER_ID未通 过检查，则认证结果为不通过，执行步骤11。

d)网络电子身份认证服务器根据USER_ID查找USER_PK。

e)网络电子身份认证服务器使用USER_PK对身份认证请求中的DATA和SIGNATURE 进行验签。验签计算公式为：

DATA’＝VERIFY_{USER_PK}(SIGNATURE)

如果DATA＝＝DATA’，则认证通过；反之则不通过。

11)网络电子身份认证服务器向网络应用返回身份认证结果。

采用了本发明的基于挑战方式实现网络电子身份认证过程中防追踪的方法，从网络电子 身份标识载体中获取的不再是真实的用户身份标识，而是与应用标识相关的变换过的用户网 络电子身份标识，由于该标识与应用标识相关，并加入了一个每次会话均不同的挑战值，所 以同一个用户在相同应用但不同会话过程，以及不同的应用中其标识是不同的，一个网络应 用中的用户网络电子身份标识对其它应用是无效的，因此也就无法用来对用户身份进行追踪， 只有在合法的网络电子身份认证服务器中才可以恢复出用户真实的身份标识，提高身份认证 的安全可靠性，避免个人隐私的轻易泄露，且结构简单，便于实现，具有更广泛的应用范围。

在此说明书中，本发明已参照其特定的实施例作了描述。但是，很显然仍可以作出各种 修改和变换而不背离本发明的精神和范围。因此，说明书和附图应被认为是说明性的而非限 制性的。