[发明专利]分布式身份认证方法、装置与系统

权利要求书

1.一种分布式身份认证方法，其特征在于，所述方法包括：

向应用依赖方RP发送访问请求；

接收所述RP返回的包含了随机数的认证质询消息；

采用私钥PK对所述随机数进行加密，生成加密后的随机数；

向所述RP发送认证请求消息，所述认证请求消息中携带所述加密后的随机数。

2.根据权利要求1所述的方法，其特征在于，

在所述访问请求的HTTP From Header字段中携带统一用户标识UUL；或者，在所述认证请求消息的HTTP Authorization Header字段中携带所述UUL。

3.根据权利要求1所述的方法，其特征在于，所述认证质询消息包括：HTTP 401 Unauthorized消息；所述认证质询消息中的WWW-Authentication Header字段中包含：所述分布式身份认证方法的标识、至少一个非对称加密算法参数和认证所需的随机数Nonce；

所述采用私钥PK对所述随机数进行加密包括：解析所述认证质询消息以得到所述分布式身份认证方法的标识，从所述加密算法参数中选择一个非对称加密算法，采用所述私钥PK对所述随机数采用选择的非对称加密算法进行加密。

4.根据权利要求3所述的方法，其特征在于，所述认证质询消息中还包含用于传统表单认证的HTML表单；所述方法还包括：

同时提供传统表单认证和所述分布式身份认证方式供用户选择；

当用户选择所述传统表单认证时，接收用户的表单输入，将所述表单输入的身份信息提交所述RP进行认证；

当用户选择所述分布式身份认证时，接收用户选择的用户身份，获得与所述用户身份对应的统一用户标识UUL以及用户私钥PK，将所述UUL以及加密后的随机数提供给所述RP进行认证。

5.根据权利要求2所述的方法，其特征在于，所述方法还包括：提供自动认证的设置，接收用户设置的默认UUL；

向所述RP发送认证请求消息包括：向所述RP发送携带有所述默认UUL的认证请求消息。

6.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在接收到所述认证质询消息后，呈现认证快捷按键；

响应用户对该快捷按键的点击操作，呈现用于认证的UUL列表；

向所述RP发送认证请求消息包括：响应用户对所述UUL列表的选择操作，向所述RP发送包含所述用户选择UUL的认证请求消息。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过加密信道SSL从用户身份提供方IDP获取用户私钥文件，或者从包含所述私钥文件的存储介质中获取用户私钥文件，所述私钥文件中包含了私钥PK和统一用户标识UUL。

8.一种分布式身份认证方法，其特征在于，所述方法包括：

接收用户代理UA发送的访问请求，根据所述访问请求向所述UA返回包含随机数的认证质询消息；

接收所述UA发送的认证请求消息，所述认证请求消息中包含所述UA采用私钥PK对所述随机数加密后的随机数；

从所述访问请求或所述认证请求消息中获得统一用户标识UUL；

根据所述UUL从用户身份提供商IDP处获得包含了公钥信息的用户证书Cert；

采用所述公钥对所述加密后的随机数进行解密，并将解密后的随机数与所述认证质询消息中的随机数进行比较，如果两者一致则认证通过。

9.根据权利要求8所述的方法，其特征在于，所述认证质询消息包括：HTTP 401 Unauthorized消息；在所述认证质询消息中的WWW-Authentication Header中包含非对称加密算法参数，以供所述UA选择；

UA提交的所述认证请求中包含了UA选择的非对称加密算法；根据所述UA选择的非对称加密算法，采用所述公钥对加密后的随机数进行解密。

10.根据权利要求8所述的方法，其特征在于，所述UUL为在所述IDP上注册的用户身份标识ID；

根据所述UUL从用户身份提供商IDP处获得包含了公钥信息的用户证书Cert包括：从所述IDP中获得与所述用户身份标识ID对应的Cert。