[发明专利]多因子安全增强授权与认证方法

说明书

技术领域

本发明涉及信息安全领域，尤其涉及一种多因子安全增强授权与认证方法。

背景技术

安全域是指同一环境内有相同的安全保护需求、相互信任、并具有相同的安全访问控制和边界控制策略的网络或系统。网络安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。广义的安全域是具有相同业务要求和安全要求的系统要素集合，这些要素包括网络区域、主机和系统、人和组织、物理环境、策略和流程、业务和使命等诸多因素。通过网络安全域的划分，可以把一个复杂的大型网络系统安全问题转化为较小区域更为单纯的安全保护问题，从而更好地控制网络安全风险，降低系统风险；利用网络安全域的划分，理顺网络架构，可以更好地指导系统的安全规划和设计、入网和验收工作；通过网络安全域的划分，各区域防护重点明确，可以将有限的安全设备投入到最需要保护的资产，提高安全设备利用率；有了网络安全域的划分，相对简化了网络安全的运维工作，并可有的放矢地部署网络审计设备，提供检查审核依据。

安全域通过授权和身份认证来防止非法用户对安全域的非法访问。授权和认证涉及到两方：示证用户和验证网关。示证用户一般指安全域的用户终端、用户卡等，验证网关一般指安全域的授权与认证管理信息系统、安全认证网关设备等。

授权是验证网关签发给示证用户的通行证，对安全域而言，是安全域签发给用户的通行证，规定用户是否有权出入某个安全域，侧重于强调用户拥有什么样的访问权限，这种权限是系统预先设定的，并不关心用户是否发起访问请求。

身份认证是示证用户向验证网关证实其真实身份与其所声称的身份是否相符的过程，这一过程是通过特定的协议和算法来实现的。身份认证是安全域验证用户身份与其所声称的身份是否一致，防止非法用户进入安全域。身份认证是信息安全理论的重要组成部分，它以密码理论为基础，同时也是访问控制和审计的前提，对网络环境下的信息安全尤其重要。

身份认证的数学基础有两种，知识认证和零知识认证。示证用户试图向验证网关证明自己知道某信息。一种方法是示证用户说出这一信息使得验证网关相信，这样验证网关也知道了这一信息，这是基于知识的证明，称为知识认证。另一种方法是使用某种有效的数学方法，使得验证网关相信示证用户掌握这一信息，却不泄露任何有用的信息，这是基于零知识的证明，称为零知识认证。零知识认证可以分为两大类：最小泄露认证和零知识认证。

身份认证的知识认证方式基于三种物理基础：示证用户所知道的知识、示证用户拥有的知识、示证用户的特征知识。第一类的例子是最常用的密码和口令；第二类的例子有身份证、护照、密钥盘等；第三类包括用户的生物特征，如指纹、红膜、DNA、声纹，还包括用户的下意识行为，比如签名。这三类物理基础各有利弊。第一类方法最简单，系统开销最小，但是最不安全；第二类泄漏秘密的可能性比较小，因而安全性比第一类高，但是认证系统相对复杂；第三类的安全性最高，比如想窃取一个人的指纹是很困难的，但是涉及更复杂的算法和实现技术。针对前两类基础的技术起步较早，目前相对成熟，应用比较广泛。有关第三类的技术也由于它在安全性上的优势正在迅速发展。

在安全域授权与认证领域，计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。由于大量的身份信息在计算机网络上进行传输，关于身份信息的保护越来越被关注与增强，在电子交易、行政执法、移动办公等领域，早已不再简单的依靠用户名口令的方式认证，越来越多的认证过程加入了授权过程加入了更多的认证因子。

在实现本发明的过程中，发明人发现现有的授权与认证技术中存在如下问题：1、认证过程中，认证因子直接暴露在网络上进行传输，很容易被非法获取；2、对于有较高安全要求的系统或者网络，安全域采取多因子安全认证技术提高安全认证级别，现有的授权与认证技术需要示证用户传输所有的认证因子，例如用户密码、用户特征值、系统终端介质等多重信息，导致网络流量大，在网络带宽有限的情况下，尤其是移动通信网络下，因认证数据传输时间较长而直接导致认证过程耗时很长；3、安全域在需要从不同侧面对用户进行认证时，现有的授权与认证技术存在多次认证、认证网络流量大、认证过程时间长等问题，当认证因子和验证环节较多时，在当前使用的认证方法中采用多次认证方式，每个侧面都独立认证一次，导致示证用户需要多次发起认证、传输认证数据、不同的验证网关进行身份验证，导致认证时间长、消耗的网络流量大。

发明内容