一种身份认证的方法、系统及服务器和终端技术方案

本申请实施例公开了一种身份认证的方法，包括：当服务器接收第一终端发送的加入信任群组的入群请求时，服务器根据第一版本号为第一终端生成第一证书，服务器向第一终端发送第一证书以及第一版本号；当服务器确认第二终端从信任群组中撤销时，服务器按照预设规则更新第一版本号为第二版本号，服务器根据第二版本号为信任群组中未撤销的终端分别生成对应的第二证书，服务器向信任群组中未撤销的终端分别发送对应的第二证书以及第二版本号。这样，使得终端在进行认证时，可以通过对比对方的版本号，则可以进行身份验证，提高了验证的效率。

Method, system, server and terminal for identity authentication

The present application embodiment discloses a method of identity authentication, which includes: when a server receives a request sent by a first terminal to join a trust group, the server generates a first certificate for the first terminal according to the first version number, and the server sends a first certificate and a first version number to the first terminal; when the server confirms the first version number When the second terminal revokes from the trust group, the server updates the first version number to the second version number according to the default rules, the server generates the corresponding second certificate for the unregistered terminal in the trust group according to the second version number, and the server sends the corresponding second certificate and the first certificate to the unregistered terminal in the trust group respectively. Two version number. In this way, when the terminal authenticates, it can authenticate by comparing the version number of the other party, which improves the efficiency of authentication.

【技术实现步骤摘要】
一种身份认证的方法、系统及服务器和终端
本申请涉及认证领域，尤其是一种身份认证的方法、系统及服务器和终端。
技术介绍
在未来物联网的场景下，所有设备皆以各种方式连接上网，但设备间常常需要成为一个群组，共同协作，例如在一个智慧家庭内，家里的冰箱、电视、洗衣机、空调、灯、智能锁、网关、手机、平板等都要能互相通信，让主人能够简单地控制各个设备，以及让设备间自行沟通，例如一打开智能门锁，锁即发出指令将屋内的电灯及空调打开；当衣服洗好时，洗衣机在电视上提醒主人可以晒干等等。诸如此类的设备间通信，若没有适当的安全保护，极有可能成为黑客攻击的目标。设备间通信的安全保护不外乎两方面，认证与加密。认证指的是两个设备间要彼此通信之前，必须先确认对方是我们要沟通的可信任目标，而不是黑客伪造的设备。而加密则是开始通信后，对传输的信息作加密保护，避免黑客从中窃听。一般设备经过认证之后，可以通过密钥交换协议来交换密钥并加密，因此主要的安全关键还是在设备的认证。建立一个信任群组，首先需要有一个信任中心，负责签发每个设备的公钥证书，也就是设备的身份证，内含信任中心对设备公钥的签名，设备内则握有相对应的私钥。公钥证书是公开信息，当设备要证明自己的身份时，必须提出公钥证书，并以相对应的私钥来签名，证明拥有此证书对应的私钥。因此，设备认证最重要的就是密钥管理，如何正确的让每个设备确认其他设备的公钥证书还在信任群组内而没有被注销，是一个重要的课题。目前互联网上面最普遍的公钥基础设施(英文全称：PublicKeyInfrastructure，英文缩写：PKI)架构是建立一个证书管理机构(英文全称：CertificateAuthority，英文缩写：CA)作为可信中心，由此CA签发每个设备的公钥证书。每当有设备要加入群组时，就和CA申请公钥证书，当有群组成员需要被撤销时，则CA将此设备放入一个撤销列表。两设备要做认证时，验证方收到对方公钥证书后，先向CA索取撤销列表，并使用CA的公钥去验证证书和撤销列表的签名是否正确。若签名都正确，且此证书不在撤销列表内，则认证成功，可基于此公钥进行密钥交换。这样，每次基于对方公钥进行密钥交换，通信成本大，回合数多，且无法做到预计算，使得认证的效率比较低。
技术实现思路
本申请实施例提供了一种身份认证的方法、系统及服务器和终端，用于提高认证的效率。本申请实施例第一方面提供一种身份认证的方法，包括：当第一终端加入信任群组时，服务器接收到第一终端的入群请求，该入群请求包含第一终端的标识和公钥，服务器将第一终端的标识和公钥存储于设备列表中，并通过服务器的私钥根据第一版本号为第一终端生成第一证书，生成第一证书的条件参数还可以包括第一终端的标识、公钥、该信任群组名称标识，服务器向第一终端发送所述第一证书以及第一版本号；其中，设备列表中存储该信任群组中的所有终端的标识和公钥。当服务器确认第二终端从信任群组中撤销时，服务器将该第二终端的标识和公钥从设备列表中删除，并且服务器按照预设规则更新所述第一版本号为第二版本号，比如版本号可以是一个数值，该预设规则可以是累加规则，若第一版本号为数值10，那么累加一次得到第二版本号为数值11；服务器根据第二版本号为所述信任群组中未撤销的终端分别生成对应的第二证书，生成第二证书的条件参数还可以包括所对应的终端的标识、公钥、该信任群组名称标识；生成第二证书后，服务器向所述信任群组中未撤销的终端分别发送对应的第二证书以及第二版本号。其中，第一终端与第二终端可以为同一终端，也可以为不同的终端。这样，在每次有终端从信任群组中撤销时，服务器均会更新一次版本号，并重新生成证书，将更新后的版本号和新生成的证书发送给未撤销的终端，使得未撤销的终端的版本号相同，而已经被撤销的终端的版本号为旧的版本号，与未撤销的终端的版本号不同。这样，在终端在进行认证时，可以通过对比对方的版本号，则可以进行身份验证，提高了验证的效率。一种可能的实现方式中，服务器还可以将设备列表发送给第一终端，以使得第一终端进行存储该设备列表，该设备列表包含信任群组中所有未撤销的终端的标识以及公钥，这样，第一终端在认证过程中则可以从设备列表中获取待认证终端的公钥从而进行认证处理。比如，在第一终端认证第二终端时，第一终端在确认第二终端的版本号与自己所存储的版本号相同时，第一终端则可以通过设备列表中第二终端的公钥进行数据包的加密处理，从而与第二终端进行通信认证。或者，第一终端可以直接查找设备列表中是否有第二终端的公钥，则可以直接通过第二终端的公钥进行加密数据包，进行通信认证。另一种可能的实现方式中，服务器还可以向所述信任群组中所有未撤销的终端发送存储有新增的第一终端的标识以及公钥的设备列表。同样，用于终端在认证过程中可以通过设备列表中获取待认证的终端的公钥进行认证处理。本申请实施例第二方面提供一种身份认证的方法，包括：当第一终端加入信任群组时，第一终端向服务器发送请求加入信任群组的入群请求，该入群请求包含第一终端的标识和公钥；第一终端接收服务器发送的第一证书以及第一版本号，其中第一证书为服务器根据所述第一版本号为第一终端所生成的证书；当第二终端从信任群组中撤销时，第一终端接收服务器发送的第二证书以及第二版本号，其中，第二版本号为服务器按照预设规则所更新的版本号，第二证书为服务器根据第二版本号为第一终端所生成的证书。一种可能的实现方式中，该方法还包括：第一终端接收服务器发送的设备列表，其中，设备列表包含信任群组中所有未撤销的终端的标识以及公钥，以使得用于第一终端在认证过程中从设备列表中获取待认证终端的公钥从而进行认证处理。本申请实施例第三方面提供一种身份认证的方法，包括：第一终端接收第二终端发送的包含第一版本号和第二终端的标识的认证请求，其中，第一版本号为服务器发送给第一终端的版本号，当有终端从信任群组中撤销时，服务器会对版本号进行累加，并将累加后的版本号发送给信任群组中所有未撤销的终端；第一终端判断第一版本号是否小于第二版本号，其中，第二版本号为第一终端所存储的服务器所发送的版本号；当第一终端确定第一版本号小于第二版本号时，第一终端确定第二终端的身份失效。这样，在认证过程中，第一终端只需获取第二终端的标识和版本号，通过对比第二终端的版本号与自己所存储的版本号的大小，则可以判断第二终端的版本号是否是旧的版本号，若是旧的版本号，则标识第二终端已经被服务器所撤销，则确定第二终端的身份失效，这样，不仅实现了离线认证，并且认证过程中认证信息简单，信令交互较少，提高了认证的效率。一种可能的实现方式中，第一终端存储有服务器发送的设备列表，设备列表中包含信任群组中所有未撤销的终端的记录信息，该记录信息可以包括信任群组中未撤销的终端的标识和公钥，以及每个标识和公钥的对应关系；当第一终端确定第一版本号小于或等于第二版本号时，第一终端判断设备列表中是否包含第二终端的记录信息；第一终端可以通过将接收到的第二终端发送的标识对设备列表中的记录信息进行匹配，若存在匹配相同的结果，则表示设备列表中包含第二终端的记录信息，若不存匹配相同的结果，则表示设备列表中不包含第二终端的记录信息；当第一终端确定设备列表中不包含第二终端的记录信息时，第一终端确定第二终端的身份失效。在实本文档来自技高网...

【技术保护点】
1.一种身份认证的方法，其特征在于，所述方法包括：当服务器接收第一终端发送的加入信任群组的入群请求时，所述服务器根据第一版本号为所述第一终端生成第一证书；所述服务器向第一终端发送所述第一证书以及所述第一版本号；当所述服务器确认第二终端从所述信任群组中撤销时，所述服务器按照预设规则更新所述第一版本号为第二版本号；所述服务器根据所述第二版本号为所述信任群组中未撤销的终端分别生成对应的第二证书；所述服务器向所述信任群组中未撤销的终端分别发送对应的第二证书以及所述第二版本号。

【技术特征摘要】
1.一种身份认证的方法，其特征在于，所述方法包括：当服务器接收第一终端发送的加入信任群组的入群请求时，所述服务器根据第一版本号为所述第一终端生成第一证书；所述服务器向第一终端发送所述第一证书以及所述第一版本号；当所述服务器确认第二终端从所述信任群组中撤销时，所述服务器按照预设规则更新所述第一版本号为第二版本号；所述服务器根据所述第二版本号为所述信任群组中未撤销的终端分别生成对应的第二证书；所述服务器向所述信任群组中未撤销的终端分别发送对应的第二证书以及所述第二版本号。2.根据权利要求1所述的方法，其特征在于，所述入群请求包含所述第一终端的标识和公钥；所述方法还包括：所述服务器将所述第一终端的标识和公钥存储于设备列表中，并将所述设备列表发送给第一终端；其中，所述设备列表包含所述信任群组中所有未撤销的终端的标识以及公钥，以使得所述第一终端在认证过程中从所述设备列表中获取待认证终端的公钥从而进行认证处理。3.根据权利要求2所述的方法，其特征在于，所述方法还包括：所述服务器向所述信任群组中所有未撤销的终端发送存储有新增的第一终端的标识以及公钥的设备列表。4.一种身份认证的方法，其特征在于，所述方法包括：第一终端向服务器发送请求加入信任群组的入群请求；所述第一终端接收所述服务器发送的第一证书以及第一版本号，其中所述第一证书为所述服务器根据所述第一版本号为所述第一终端所生成的证书；当第二终端从所述信任群组中撤销时，所述第一终端接收所述服务器发送的第二证书以及第二版本号，其中，第二版本号为所述服务器按照预设规则所更新的版本号，所述第二证书为所述服务器根据所述第二版本号为所述第一终端所生成的证书。5.根据权利要求4所述的方法，其特征在于，所述方法还包括：所述第一终端接收所述服务器发送的设备列表，其中，所述设备列表包含所述信任群组中所有未撤销的终端的标识以及公钥，以使得所述第一终端在认证过程中从所述设备列表中获取待认证终端的公钥从而进行认证处理。6.一种身份认证的方法，其特征在于，所述方法包括：第一终端接收第二终端发送的认证请求，所述认证请求包含第一版本号，当有终端从信任群组中撤销时，所述服务器会对版本号进行累加，并将累加后的版本号发送给所述信任群组中所有未撤销的终端；所述第一终端判断所述第一版本号是否小于第二版本号，其中，所述第二版本号为所述服务器发送给所述第一终端的最新版本号；当所述第一终端确定所述第一版本号小于所述第二版本号时，所述第一终端确定所述第二终端的身份失效。7.根据权利要求6所述的方法，其特征在于，所述第一终端存储有所述服务器发送的设备列表，所述设备列表中包含所述信任群组中所有未撤销的终端的记录信息；当所述第一终端确定所述第一版本号小于或等于所述第二版本号时，所述方法还包括：所述第一终端判断所述设备列表中是否包含所述第二终端的记录信息；当确定所述设备列表中不包含所述第二终端的记录信息时，所述第一终端确定所述第二终端的身份失效。8.根据权利要求7所述的方法，其特征在于，所述方法还包括：当确定所述设备列表中包含所述第二终端的记录信息时，所述第一终端从所述设备列表中获取所述第二终端的公钥，并通过所述第二终端的公钥与所述第二终端进行通信认证。9.根据权利要求6至8任一所述的方法，其特征在于，所述方法还包括：当确定所述第一版本号大于所述第二版本号时，所述第一终端接收所述第二终端发送的第二证书；所述第一终端根据所述服务器的公钥验证所述第二证书是否为所述服务器发送给第二终端的证书；当确定所述第二证书不为所述服务器发送给第二终端的证书时，所述第一终端确定所述第二终端的身份失效。10.根据权利要求9所述的方法，其特征在于，所述方法还包括：当确定所述第二证书为所述服务器发送给第二终端的证书时，所述第一终端接收所述第二终端发送的所述第二终端的公钥，并通过所述第二终端的公钥与所述第二终端进行通信认证。11.一种服务器，其特征在于，所述服务器包括：生成单元，用于当接收第一终端发送的加入信任群组的入群请求时，根据第一版本号为所述第一终端生成第一证书...

【专利技术属性】
技术研发人员：朱成康，时杰，方成方，方习文，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东,44