CN101521576B - 互联网用户身份认证的方法和系统 - Google Patents

Abstract

本发明公开一种互联网用户身份认证的方法和系统，用户开通网站业务时，运营商网络向网站服务器提供该用户的线路信息，并包括如下步骤：用户通过运营商网络向网站服务器发送认证报文时，运营商网络截获用户发出的认证报文，在认证报文中加入用户线路信息，发送给网站服务器；网站服务器取出用户线路信息，与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过。本发明由于用户的身份标志由运营商网络设备完成，加密方法和信息格式只有合作运营商和电子商务网站知道，极大降低了用户交易中的安全风险。由于用户线路具有不可伪造性，通过绑定业务交易的用户线路，即时用户帐号被窃取用户也不会遭受损失。

Description

互联网用户身份认证的方法和系统

技术领域

本发明涉及数据通信领域中的网络安全中的身份认证技术，特别是指一种基于互联网用户线路信息的身份认证方法和系统。

背景技术

随着电子商务的发展，基于家庭用户的网上电子交易日益增多，家居购物、证券业务、网上银行等各类交易系统都需要一种简单安全的身份认证技术以规避安全风险，这种风险在于两个方面：一是通过窃取用户信息，盗用者异地使用用户信息达到支付目的；另一类是在用户本机设备中通过木马程序远程操纵用户设备达到支付目的。因此，设置简单的交易密码和校验码的认证方式在用户机器感染木马或者在不同电脑上使用时存在极大安全隐患，使用智能卡等身份认证技术虽然具有安全数据存储、可靠性高、携带方便等优点，但在长时间插入电脑时依然无法杜绝入侵木马远程操纵。如果能提高家庭用户的网络交易安全问题，将不安全的家庭上网线路变成一个高可信的电子交易终端，将极大促进互联网电子商务业的发展，促进以家庭为中心的互联网娱乐、消费、信息服务、社区服务等相关领域的繁荣。

在上述业务交易中，无论是C2C还是C2B方式，因没有网络运营商的参与，所有交易方式的认证方式只是在用户端设备和电子商务服务器中进行认证，运营商网络中用户接入线路的唯一性(如ADSL接入用户)没有被充分利用于安全认证过程。

发明内容

有鉴于此，本发明的目的在于提出一种互联网用户身份认证的方法和系统，解决在互联网电子交易中网络运营商如何向电子商务网站提供用户唯一性身份识别的问题，从而极大提高交易的安全性。

基于上述目的本发明提供的一种互联网用户身份认证的方法，用户开通网站业务时，运营商网络向网站服务器提供该用户的线路信息，并包括如下步骤：

用户通过运营商网络向网站服务器发送认证报文时，运营商网络截获用户发出的认证报文，在认证报文中加入用户线路信息，发送给网站服务器；

网站服务器取出用户线路信息，与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过。

可选的，在运营商网络中设置业务识别与标记网关、以及用户线路信息服务器，该方法进一步包括：

用户登入网站页面时，网站服务器根据用户登入网站的用户地址确定运营商网络，向该运营商的用户线路信息服务器发出用户身份认证请求；用户线路信息服务器根据用户地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关；

当所述用户通过业务识别与标记网关向网站服务器发送认证报文时，业务识别与标记网关截获用户发出的认证报文，在认证报文中加入所述用户线路信息，发送给网站服务器。

可选的，该方法所述截获用户发送的认证报文后进一步包括：按照要求格式在认证报文中插入经过不可逆加密过程的用户线路编码+时间戳的信息，重新计算认证报文的校验和Checksum后继续转发该认证报文至目的地；

网站服务器取出经加密的用户线路信息，对预置在网站服务器内的用户线路信息经过同样加密计算，比对两个结果，如果一致则认证通过。

可选的，该方法所述用户的线路信息为用户的原始线路信息经过转译后的结果。

可选的，该方法所述用户的原始线路信息至少包括用户终端的线路标识。

可选的，该方法所述线路标识包括：VLAN号、或端口号、或NAS标识。

可选的，该方法所述用户线路信息还包括：业务类型标识、交易服务商标识。

可选的，该方法所述用户终端通过业务识别与标记网关向网站服务器发送的认证报文中包含有用户帐户信息，所述网站服务器在比对用户线路信息的同时还比对用户帐户信息，若都一致则认证通过。

可选的，该方法所述运营商网络截获认证报文后进一步包括：存储当前认证页面的关键片段。

基于上述目的，本发明还提供了一种实现互联网用户身份认证的系统，在运营商网络中设置业务识别与标记网关、以及用户线路信息服务器，在业务提供商的网站服务器中保存运营商网络中用户的线路信息，并包括：

所述网站服务器，用于根据用户登入网站的用户地址确定运营商网络，向该运营商的用户线路信息服务器发送用户身份认证请求；在接收到的认证报文后将其中的用户线路信息与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过；

所述用户线路信息服务器，根据用户地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关；

所述业务识别与标记网关，在截获到用户终端发出认证报文后，在认证报文中加入用户线路信息，发送给所述网站服务器。

可选的，该系统所述业务识别与标记网关，还用于在获取所述认证报文后按照要求格式在认证报文中插入经过不可逆加密过程加密的用户线路编码+时间戳的信息，重新计算认证报文的Checksum后继续转发该认证报文至目的地；

网站服务器，还用于在认证报文中取出经加密的用户线路信息，对预置在网站服务器内的用户线路信息经过同样加密计算，比对两个结果，如果一致则认证通过。

可选的，该系统所述业务识别与标记网关还用于在收到认证报文后，存储当前认证页面的关键片段。

可选的，该系统所述用户终端通过业务识别与标记网关向网站服务器发送的认证报文中包含有用户帐户信息，所述网站服务器在比对用户线路信息的同时还比对用户帐户信息，若都一致则认证通过。

从上面所述可以看出，本发明提供的互联网用户身份认证的方法和系统，通过网络运营商在其用户向商务网站提交交易申请过程中嵌入用户线路信息，而商务网站核对该线路信息(线路信息预置在网站服务器中)后，可接受安全的用户业务请求。由于用户的身份标志由运营商网络设备完成，加密方法和信息格式只有合作运营商和电子商务网站知道，极大降低了用户交易中的安全风险。由于用户线路具有不可伪造性，通过绑定业务交易的用户线路，即使用户帐号被窃取用户也不会遭受损失。

本发明具体具有以下优点：

1)安全性

首先，私有接口协议的制订解决了电子商务网站身份和运营商身份间的互信问题。其次，由于用户帐号与用户线路信息绑定，用户密码不能在非用户线路上使用，简单地密码窃取无效。而且，用户线路信息的插入不是在用户端完成，而是在数据传输过程中，用户端无法获知加密方法，杜绝了伪造报文的可能性。最后，对于伪造网站，由于线路信息传输加密，即时截获用户提交报文，也无法还原出真实插入信息。

2)用户身份的准确性与隐私性

用户身份信息实质上是与用户线路信息绑定，在一个区域内该身份是唯一的。同时，该用户信息并未直接提供给电子商务提供方，而是经过转译的结果，包含了用户身份的隐私性。

3)不影响用户正常使用

用户的正常上网过程与普通交易过程一样，用户不会觉察运营商网络侧的处理过程。

4)实现简单、投资少

对于网络运营商，可以用较小的设备投资部署专用业务识别与标记网关，而电子商务服务商侧无需增加硬件投资，仅需修改部分业务流程。

5)交易的可回溯性

交易关键片断可以被记录，根据该片断可回溯交易的关键细节并依法取证，规避了各类交易中的纠纷，明确了交易各方的责任界定。

附图说明

图1为本发明实施例涉及的系统结构示意图；

图2为本发明实施例基于互联网用户线路信息的身份认证方法的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。

本发明提供的互联网用户身份认证的方案主要包括：用户开通网站业务时，运营商网络向网站服务器提供该用户的线路信息；以及

用户通过运营商网络向网站服务器发送认证报文时，运营商网络截获用户发出的认证报文，在认证报文中加入用户线路信息，发送给网站服务器；网站服务器取出用户线路信息，与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过。

用户网络流量在从用户终端到达公共互联网前流经需要流经多种物理链路，包括接入线路、汇聚网络、运营商骨干网络等，本发明中的用户线路信息主要指接入线路信息和相关业务信息，但不排除实际使用中增加其它线路标识的可能性，其中固定网络用户的接入线路标识具有物理唯一性。完整的用户线路信息可包括：线路标识(如VLAN号/端口号/NAS号等)、业务类型标识、交易服务商标识等，在传输中将进行不可逆向求解的加密算法对该信息进行传递，如MD5加密方法。这样可以保证为同一用户的不同业务之间、同一电子商务网络的不同服务之间均能产生唯一的线路信息。

参见图1所示，运营商网络101与电子商务服务网络102通过互联网(Internet)103相连。用户1、2……的终端可通过运营商网络101访问电子商务服务网络102的网站服务器104进行电子交易。本发明的较佳实施例中，网络运营商在其网络101内部署两类设备，一类是用户线路信息服务器105，用于收集其用户的上线信息和接入线路信息；另一类是业务识别与标记网关106，用于在需要时向电子商务网站提供经过加密的用户线路信息作为身份验证的依据。

当用户登入网站页面时，网站服务器104根据用户登入网站的用户地址确定运营商网络，向该运营商的用户线路信息服务器105发出用户身份认证请求；用户线路信息服务器105根据用户地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关106；

当所述用户通过业务识别与标记网关106向网站服务器发送认证报文时，业务识别与标记网关106截获用户发出的认证报文，在认证报文中加入所述用户线路信息，发送给网站服务器104。

参见图2所示，以网上银行为例，对本发明用户身份认证方法进行详细说明：

银行A与运营商A协商确定合作协议并实时接口协议。在业务合作协定中可规定：针对特定家庭网络用户，网络运营商可向具体电子商务网站提供基于线路的身份认证业务。用户开通电子交易业务时，运营商将，如用户帐户、线路信息码等作为该用户的唯一性标识提供给电子商务网站，此处的线路信息码是网络运营商将原始线路信息经过转译处理后的结果，以确保电子商务商家不能获取用户真实的线路信息。

其中，用于电子商务网站核对用户身份信息的所述用户唯一性标识格式的具体格式可由双方协商制定，如用户帐号、用户线路信息码、待插入信息在HTTP报文中的位置、加密算法等。

并制定服务请求协议，在用户上线交易提交过程中，电子商务网站可通过该协议向网络运营商请求添加该用户身份的唯一性标识。

并包括如下步骤：

步骤201，用户需要上网使用银行业务时，通过终端登录银行A的网站服务器浏览银行网站的交易页面，此时银行A的网站服务器根据源IP地址获知该用户属于运营商A用户。

其中，运营商网络中的某个用户上线后，运营商网络管理系统能记录用户的上线时间与线路信息。其作用在于：1)响应对用户线路信息的查询操作，一旦电子商务网络查询某用户的线路信息，可迅速通过用户线路信息服务器提供该用户的相关信息；2)帮助还原历史记录，记录该用户在什么时间用某条线路上网，为可能发生的交易纠纷等留下证据。

步骤202，银行A的网站服务器根据制定的服务请求协议向运营商A的用户线路信息服务器发送用户身份的认证请求，该请求中包括用户的IP地址。

步骤203，用户线路信息服务器通过IP地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关。

步骤204，业务识别与标记网关将等候用户认证页面的出现。

步骤205，当用户将自己的帐户信息等填入网站提供的用户认证页面并提交时，业务识别与标记网关在该页面的HTTP流量中截获认证报文信息，将用户的线路信息与用户帐户等一起作为该用户的唯一性标志嵌入在认证报文中向网站服务器发送。

步骤206，业务识别与标记网关截获到所述HTTP认证报文后，通过识别出带有银行A特定信息格式的流量，对其加入经过加密的用户线路信息，发送给网站服务器。

预先可制定电子商务网站的认证流量标志，电子商务网站服务器应向网络运营商提供其用户认证页面的流量特征供运营商识别，如网站的特殊信息、交易编码等。

所述加密过程具体包括：业务识别与标记网关利用内部硬件按照要求格式在HTTP报文中插入“用户线路编码+时间戳”信息，该信息为经过不可逆加密过程，如MD5算法，存储所述页面的关键片段，网关重新计算IP报文的校验和(Checksum)后继续转发该报文至目的地。

其中，所述记录下的关键业务片断包括：该笔交易发生时的用户身份、交易业务类型、时间、地点等，可用于避免因各种原因(如用户端突然死机)造成交易失败导致的各类交易纠纷。

步骤207～208，所述认证页面到达银行A网站服务器后，经过核对若交易成功，则向用户终端返回成功的确认消息；否则，通知用户拒绝交易。

所述核对过程具体包括：网站服务器取出经加密的用户线路信息，同时对预置在网站服务器内的用户信息经过双方预先约定好的同样加密计算，比对两个结果，如果两者一致则说明该上线用户身份真实可靠，同意完成交易，则向用户终端返回成功的确认消息；否则，通知用户拒绝交易。

除了上述例子的场景以外，本发明也可以应用于其他场景，比如社交网络中的用户身份识别等。

以上所述的具体实施例仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种互联网用户身份认证的方法，其特征在于，用户开通网站业务时，运营商网络向网站服务器提供该用户的线路信息，并包括如下步骤：

用户登入网站页面时，网站服务器根据用户登入网站的用户地址确定运营商网络，向该运营商的用户线路信息服务器发出用户身份认证请求；

用户线路信息服务器根据用户地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关；

用户通过运营商网络向网站服务器发送认证报文时，业务识别与标记网关截获用户发出的认证报文，在认证报文中加入用户线路信息，发送给网站服务器；

网站服务器取出用户线路信息，与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过。

2.根据权利要求1所述的方法，其特征在于，所述截获用户发送的认证报文后进一步包括：按照要求格式在认证报文中插入经过不可逆加密过程的用户线路编码+时间戳的信息，重新计算认证报文的校验和Checksum后继续转发该认证报文至目的地；

网站服务器取出经加密的用户线路信息，对预置在网站服务器内的用户线路信息经过同样加密计算，比对两个结果，如果一致则认证通过。

3.根据权利要求1所述的方法，其特征在于，所述用户的线路信息为用户的原始线路信息经过转译后的结果。

4.根据权利要求3所述的方法，其特征在于，所述用户的原始线路信息至少包括用户终端的线路标识。

5.根据权利要求4所述的方法，其特征在于，所述线路标识包括：VLAN号、或端口号、或NAS标识。

6.根据权利要求4所述的方法，其特征在于，所述用户线路信息还包括：业务类型标识、交易服务商标识。

7.根据权利要求1-6任意一项所述的方法，其特征在于，所述用户终端通过业务识别与标记网关向网站服务器发送的认证报文中包含有用户帐户信息，所述网站服务器在比对用户线路信息的同时还比对用户帐户信息，若都一致则认证通过。

8.根据权利要求1所述的方法，其特征在于，所述运营商网络截获认证报文后进一步包括：存储当前认证页面的关键片段。

9.一种实现互联网用户身份认证的系统，其特征在于，在运营商网络中设置业务识别与标记网关、以及用户线路信息服务器，在业务提供商的网站服务器中保存运营商网络中用户的线路信息，并包括：

所述网站服务器，用于根据用户登入网站的用户地址确定运营商网络，向该运营商的用户线路信息服务器发送用户身份认证请求；在接收到经所述业务识别与标记网关截获后发出的认证报文后，将其中的用户线路信息与预置在网站服务器内的用户线路信息进行比对，如果一致则认证通过；

所述用户线路信息服务器，接收到网站服务器发出的所述用户身份认证请求后，根据用户地址查找到对应用户的线路信息，并发送该对应用户的线路信息到业务识别与标记网关；

所述业务识别与标记网关，在截获到用户终端通过运营商网络向网站服务器发送的认证报文后，在认证报文中加入用户线路信息，发送给所述网站服务器。

10.根据权利要求9所述的系统，其特征在于，所述业务识别与标记网关，还用于在获取所述认证报文后按照要求格式在认证报文中插入经过不可逆加密过程加密的用户线路编码+时间戳的信息，重新计算认证报文的Checksum后继续转发该认证报文至目的地；

网站服务器，还用于在认证报文中取出经加密的用户线路信息，对预置在网站服务器内的用户线路信息经过同样加密计算，比对两个结果，如果一致则认证通过。

11.根据权利要求10所述的系统，其特征在于，所述业务识别与标记网关还用于在收到认证报文后，存储当前认证页面的关键片段。

12.根据权利要求9所述的系统，其特征在于，所述用户终端通过业务识别与标记网关向网站服务器发送的认证报文中包含有用户帐户信息，所述网站服务器在比对用户线路信息的同时还比对用户帐户信息，若都一致则认证通过。