[发明专利]一种Restful移动交易系统身份认证防护方法

说明书

技术领域

本发明属于网络安全的身份认证领域，具体涉及一种Restful移动交易系统身份认证防护方法。

背景技术

网上交易越来越普遍，随之带来的是交易安全性问题。智能手机的普及，人们可以随时随地用手机进行购物、转账。相比之下，智能移动设备比PC端更需要轻量级的Web服务架构，Restful刚好符合这一特点。虽然目前移动交易系统模块功能交叉，系统功能耦合性强，但是缺乏一定的可扩展性和灵活性，由于开展新的业务需要对系统进行较大的修改，进而影响了业务的开展和用户的使用。基于Restful的移动交易系统恰好能够利用Restful良好的耦合性和可扩展性来解决业务扩展的问题。

Restful作为一种Web服务架构，其安全问题主要存在于传输过程中的会话攻击和身份认证，鉴于Restful主要依赖于HTTP协议进行数据传输，而且HTTP协议使用明文传输方式，不可避免地会遇到会话劫持、跨站请求伪造和注入式攻击等安全问题。故而为了防止非授权用户的非法访问，采取对访问用户的身份验证是非常必要的措施。

在移动交易系统中，支付是最关键的操作。支付过程中，用户的身份认证和交易的完整性保证是最重要的两个问题。针对用户身份认证和授权机制的安全性低、信息容易泄露等问题，现有方案都是采用加密令牌方式将用户认证信息保存客户端的令牌中，应用服务不再使用Session 保存认证用户信息，而是通过解密令牌密文获取认证用户信息，完成整个身份认证过程，这样既保证用户的信息安全，又使得应用服务器具有良好的动态伸缩性。但是该方案创建的令牌是指定给具体客户端在有效时间内使用，攻击者还是可以获得对令牌控制的机会，就可能伪装成令牌的主人，进而实施不法行为，甚至会导致用户的信息或资源丢失、损坏、偷窃或被攻击者复制。

在《基于Restful的身份认证服务》论文中已经明确阐释了利用Restful Web服务技术，设计一种身份认证服务，该服务将身份认证发布为Rest服务，同时采用加密令牌方式将用户认证信息保存在客户端的令牌中，应用服务不再使用Session保存认证用户信息，而是通过解密令牌密文获取认证用户信息。该方案虽然很大程度上弥补了传统身份认证技术的不足，用户信息安全性显著增强，但是也存在比较明显的弱点和不足。虽然创建的令牌是指定给具体客户端在有效时间内使用，但攻击者还是可以获得对令牌控制的机会，因此就可能伪装成令牌的主人，实施不法行为，导致用户信息或资源丢失、损坏、偷窃或被攻击者复制。例如，获得对令牌所有人的计算机访问机会的攻击者可以复制一个软件令牌，将令牌所有者个人信息的拷贝并制作一个复制品。

发明内容

为解决上述移动交易系统用户身份认证和授权机制的安全性低的问题，本发明提供了一种基于Restful移动交易系统的用户身份认证和授权机制的安全性低和信息容易泄露等问题，通过采用加密令牌方式将用户认证加密信息保存到客户端的令牌中，并使用基于令牌ID生成验证码的方法，设置加密的验证令牌，提高用户信息的安全性，消除基于Restful移动交易系统在身份认证方面面临的安全风险的技术方案：

本发明的Restful移动交易系统身份认证防护方法包括：

（1）搭建基于Restful的移动交易系统总体架构；

（2）运行Restful-Security安全协议的安全模型；

（3）用户登录以动态验证加密令牌方式进行身份认证防护方法。

进一步的，步骤（1）中系统总体架构分为数据层、功能层、资源层和应用层。数据层由数据库和数据访问接口组成，数据访问接口定义对数据库记录的基本操作方法。功能层接受资源层的方法调度，对不同的管理模块执行对应的功能方法。资源层由资源和URI组成。应用层管理用户提交的请求。

进一步的，步骤（2）中Restful-Security安全协议的安全模型包括客户端和服务器端，客户端和服务器端的通信建立在HTTP上，均包括认证、机密性和完整性三个模块。

进一步的，步骤（3）中动态验证加密令牌方式为将用户认证信息存放在客户端Cookie中，客户端每次请求都将令牌提交给应用服务器端，应用服务器通过向认证服务请求验证令牌内容，获取用户的信息，完成整个身份认证过程。

进一步的，用户认证信息加密隐藏在Token中，所述Token中包含以下信息：（1）Token的ID；（2）登录用户的ID；（3）客户端IP地址；（4）初次登录时间；（5）上次请求时间；（6）Token有效时间。