[发明专利]一种提供用户友好的强认证和匿名认证的统一身份认证方法和系统

说明书

本发明涉及一种提供用户友好的强认证和匿名认证的统一身份认证方法和系统。该方法提供一种基于口令的凭证方案，用户可以通过口令使用其凭证向验证者进行基于“挑战‑应答”模式的强认证或者匿名认证，具体包括系统建立、密钥生成、凭证颁发、凭证获取、生成出示证明、验证出示证明六个算法。该基于口令的凭证方案和标准的统一身份认证协议以及常用的“用户名‑口令”认证方式兼容，不需要使用专用硬件或者对底层的密码学库进行修改，适用于大规模应用及推广。本发明的统一身份认证系统的效率与使用“用户名‑口令”认证的系统基本相当，能够满足实际应用的性能需求。

技术领域

本发明属于计算机技术与信息安全技术领域，涉及使用统一身份认证、零知识证明等方法，使得用户在无专用硬件的情况下实施基于“挑战-应答”机制的强认证和匿名认证。具体表现为一种用户友好、能够提供强认证机制和匿名认证机制的统一身份认证方法和系统。

背景技术

随着互联网和信息技术的飞速发展，人们已经越来越离不开各种数字化服务以及应用。当用户在网络上使用这些应用和服务时，往往需要向服务提供者(SP)证明自己的身份，在认证通过之后才可进行下一步操作。大多数情况下，SP使用“用户名-口令”认证机制，其优势在于用户只需要记忆口令即可向SP进行认证，但SP一般都会将用户凭证集中存放于服务器上，使其在数据泄露事件中可能被大规模地泄露，威胁众多用户的账户安全。

为了减少用户同时管理多个凭证的负担，目前许多服务提供商都已经建立了统一身份认证系统。此类系统允许用户使用由一个身份提供者(IdP)管理的身份访问多个依赖方(RP)提供的服务，即用户可以通过一个凭证访问多种服务。目前大多数运营的统一身份认证系统仍然使用“用户名-口令”认证机制，这使得用户凭证面临大规模泄露的风险。统一身份认证系统中的凭证泄露会造成更为严重的危害，攻击者能够利用泄露的凭证同时登录多个RP并使用其提供的服务，从而导致用户在多个RP注册的账户在一次数据泄露事件中同时被攻破。

“用户名-口令”认证机制导致的另一重风险是用户隐私泄露：这一机制需要用户将其身份信息显式地发送给SP，使得属于用户的隐私数据很容易被收集、泄露甚至转卖。在这一背景下，匿名认证受到业界的广泛关注，即：服务提供方能够确认用户是已经注册的合法用户，但无法获取其具体身份，也无法判断两次会话是否由同一用户参与。特别地，随着区块链技术的发展，一系列提供匿名功能的加密货币已经被公众所熟知和接受，超级帐本也提供了匿名成员服务功能。目前已有的匿名认证方案均需要用户使用专用硬件对秘密信息进行保护，或需要对系统底层的库函数实现进行修改，难以直接运行于通用设备上并兼容现有系统。

为了解决传统认证中集中式凭证存储而导致的大规模泄露风险，FIDO联盟提出了一项称为FIDO统一认证框架(UAF)的协议，提供基于数字签名和“挑战-响应”机制的强认证方案。FIDO UAF可消除用户凭证大规模泄露的风险，增强用户认证过程的安全性。然而，为了保护用户私钥，FIDO UAF同样需要用户使用专用硬件(称为FIDO认证器)进行认证。这意味着用户需要随时携带专用设备，而不能通过通用设备实施认证，如果专用设备遭损坏或者丢失，认证过程也无法进行。从隐私保护的角度看，FIDO UAF还不能实现真正的匿名认证，服务器仍然可以在用户每次登陆时获取用户已注册的身份并收集用户的隐私。

为了解决统一身份认证系统的隐私泄露问题，一些隐私尊重的协议被研发(如BrowserID和SPRESSO)，以保证IdP无法在认证过程中获取用户登录的具体RP。此类系统均独立于广泛应用的统一身份认证标准，在设计时仍然采用“用户名-口令”认证机制，难以避免集中式存储带来的泄露风险；此外，IdP和RP仍然可以获取用户的身份，并收集隐私信息。

基于此，一种不需要用户使用专用硬件、能够同时提供强认证和匿名认证，并且兼容于现有广泛部署的统一身份认证系统是被高度期望的。

发明内容

本发明的贡献在于提供了一种基于口令的凭证方案以及一种提供强认证/匿名认证的统一身份认证方法和系统。

本发明包括以下两个方面的内容：