一种基于可信执行环境的用户身份鉴定方法、系统及介质技术方案

本发明专利技术公开了一种基于可信执行环境的用户身份鉴定方法、系统及介质，涉及信息管理技术领域。所述方法包括实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程。本发明专利技术的技术方法，将系统用户身份鉴定程序装载到可信执行环境TEE实例中，划分安全可行的处理器和内存中的保护区域，使用这种新的应用层可信执行环境，可以有效提高业务系统的用户权限鉴定，确保系统登陆入口不被恶意程序劫持。本发明专利技术提供的一种基于可信执行环境的用户身份鉴定方法、系统及介质，基于硬件可信执行环境对用户身份进行鉴定，从而大幅提升安全性，有效保障系统数据安全。系统数据安全。系统数据安全。

【技术实现步骤摘要】
一种基于可信执行环境的用户身份鉴定方法、系统及介质


[0001]本专利技术涉及信息管理
，特别涉及一种基于可信执行环境的用户身份鉴定方法、系统及介质。

技术介绍

[0002]众所周知，在各个行业的业务系统建设过程中，用户身份鉴定是一项尤为重要的环节。
[0003]目前业务系统的用户身份鉴定过程涉及加密口令和鉴定算法，口令加密后存储到数据库由加密算法保证其不被解密成明文，而鉴定算法一般不会加密，容易暴露或被反编译，甚至算法被劫持利用，导致出现被恶意攻击或利用的风险，造成信息安全泄露。
[0004]鉴定过程中由于算法的暴露，存在很大的安全风险。数据库中的口令存在安全风险，例如攻击者利用业务系统程序脆弱性或数据库安全漏洞，在程序获取和传输用户口令过程中非法盗取口令数据；鉴定算法方面存在安全风险，例如代码泄露，代码漏洞被攻击者利用获取鉴定过程数据，造成信息安全泄露。由于存在以上的安全风险，如何保证安全身份鉴定变得至关重要。

技术实现思路

[0005]本专利技术要解决的技术问题，在于提供一种基于可信执行环境的用户身份鉴定方法及系统，基于硬件可信计算技术对用户身份进行鉴定，从而大幅提升安全性，有效保障系统数据安全。
[0006]第一方面，本专利技术提供一种基于可信执行环境的用户身份鉴定方法，包括：实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程；
[0007]所述实例初始化过程包括：将用户身份鉴定程序装载到可信执行环境Trusted Execution Environment(TEE)实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务系统，用于将指定数据加密后存储到业务系统数据库中；
[0008]所述访问权限鉴定过程包括：当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
[0009]所述用户身份鉴定过程包括：当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
[0010]进一步地，所述访问权限鉴定过程中，客户端通过远程断言验证所述TEE实例的真
实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
[0011]进一步地，所述用户身份鉴定过程中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
[0012]首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务系统数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
[0013]进一步地，所述用户身份鉴定过程中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
[0014]第二方面，本专利技术提供了一种基于可信执行环境的用户身份鉴定系统，包括：实例初始化模块、访问权限鉴定模块以及用户身份鉴定模块；
[0015]所述实例初始化模块，用于用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务系统，用于将指定数据加密后存储到业务系统数据库中；
[0016]所述访问权限鉴定模块，用于当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；
[0017]所述用户身份鉴定模块，用于当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。
[0018]进一步地，所述访问权限鉴定模块中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。
[0019]进一步地，所述用户身份鉴定模块中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：
[0020]首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务系统数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。
[0021]进一步地，所述用户身份鉴定模块中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。
[0022]第三方面，本专利技术提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现第一方面所述的方法。
[0023]本专利技术实施例中提供的技术方案具有如下技术效果或优点：
[0024]1、基于可信执行环境(Trusted Execution Environment，简称TEE)，在封闭安全的区域内做安全计算和数据处理，可以确保系统登陆入口不被恶意程序劫持，并将安全鉴
定结果告知业务系统，实现高级别安全身份鉴定，提升业务系统的整体安全性；
[0025]2、通过对用户客户端的会话内容加密以及业务系统数据库中指定数据(比如用户口令)的加密，有效应对数据库口令的泄露风险，相对于传统技术路线，显著提升用户身份鉴定的安全级别，有效保障系统数据安全，为提升企业核心竞争力提供支撑。
[0026]上述说明仅是本专利技术技术方案的概述，为了能够更清楚了解本专利技术的技术手段，而可依照说明书的内容予以实施，并且为了让本专利技术的上述和其它目的、特征和优点能够更明显易懂，以下特举本专利技术的具本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于可信执行环境的用户身份鉴定方法，其特征在于，包括：实例初始化过程、访问权限鉴定过程以及用户身份鉴定过程；所述实例初始化过程包括：将用户身份鉴定程序装载到可信执行环境TEE实例中，然后定义访问权限信息，所述TEE实例启动后按需生成至少两组非对称秘钥，其中，第一私钥和第二私钥存储于TEE实例分配的独立的执行空间内，第一公钥发送给用户客户端，用于用户客户端的会话内容加密，第二公钥发送给业务系统，用于将指定数据加密后存储到业务系统数据库中；所述访问权限鉴定过程包括：当客户端需要访问TEE实例时，先通过远程断言验证所述TEE实例的真实性，验证通过后访问TEE实例，将访问信息打包并通过所述第一公钥加密，然后提交到TEE实例，所述TEE实例通过所述第一私钥解密所述访问信息，然后与所述访问权限信息进行比对，权限鉴定通过后自动与所述客户端创建安全会话，用于调用TEE实例执行程序；若权限鉴定未通过，所述TEE实例拒绝所述客户端的访问请求；所述用户身份鉴定过程包括：当用户在客户端提交登陆信息后，所述登陆信息提交到可信执行环境TEE实例做用户身份鉴定，TEE实例通过安全会话接收到请求后，执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，完成用户身份鉴定。2.根据权利要求1所述的方法，其特征在于：所述访问权限鉴定过程中，客户端通过远程断言验证所述TEE实例的真实性，具体包括：客户端请求TEE实例获取到实例信息，并提交到服务中心，然后获取服务中心验证TEE实例的真实性后返回的验证结果。3.根据权利要求1所述的方法，其特征在于：所述用户身份鉴定过程中，所述登陆信息包括用户名和输入口令；执行用户身份鉴定程序的鉴定方法，然后返回鉴定结果，具体包括：首先通过第一私钥解密出客户端提交的登陆信息，通过用户名请求业务系统数据库，获取数据库中的加密用户口令并应用第二私钥解密，最后将所述输入口令与加密用户口令的解密后数据输入到用户身份鉴定函数做对比，数据一致为True，不一致为False。4.根据权利要求1至3任一项所述的方法，其特征在于：所述用户身份鉴定过程中，当用户在客户端提交登陆信息后，所述登陆信息先在本地进行加密编码封装，然后再提交到可信执行环境TEE实例做用户身份鉴定。5.一种基于可信执行环境的用户身份鉴定系统，其特征在于，包括：实例初始化...

【专利技术属性】
技术研发人员：李汝佳，林振天，张均成，谢磊，陈恩光，
申请(专利权)人：国家电网有限公司信息通信分公司，
类型：发明
国别省市：