一种基于动态安全环境的特权账号认证方法及系统技术方案

本发明专利技术公开了一种基于动态安全环境的特权账号认证方法，包括：S1，采集应用场景信息并确定应用场景的安全环境等级；S2，确定账号类别，账号类别包括特权账号、危险账号和普通账号；S3，对于账号类别为特权账号的账号类别，基于安全环境等级进行特权账号认证。还公开了一种基于动态安全环境的特权账号认证系统，包括：后台管理门户、资源管理模块和日志管理模块、集中身份鉴别模块、数据保险柜、加密机以及包括动态口令插件的客户端，还公开了对应的电子设备以及计算机可读存储介质。子设备以及计算机可读存储介质。子设备以及计算机可读存储介质。

【技术实现步骤摘要】
一种基于动态安全环境的特权账号认证方法及系统


[0001]本专利技术属于计算机安全认证以及动态口令认证
，尤其涉及一种基于动态安全环境的特权账号认证方法及系统。

技术介绍

[0002]随着互联网的发展，动态口令认证系统项目应运营商、金融类企业等的身份安全认证需求而出现，主要集中在网银身份认证、网游身份认证、移动支付身份认证、企业内部登录认证、电信自营业务身份认证等方面。动态口令认证架构于Web应用之上，运用HTTP协议进行通信，Web服务器使用的是Tomcat，数据库服务器使用的是Oracle。动态口令认证系统基于J2EE架构，架构复杂，而OTP(全程One
‑
time Password，也称动态口令)包括基于时间、基于计数器以及基于挑战应答三种方式的动态口令算法，而无论哪一种认证操作都需要首先从数据库中取得用户的相应信息，包括种子、集成电路卡号等数据信息，然后再进行哈希运算，因此对于大量并发请求，IPT系统就要大量操作数据库，进行数据信息的查询与更新。此外，目前OTP系统用户数还比较有限，更多关心的是口令认证操作的正确性、安全性，却没有过多的考虑过当用户数量很多，且存在账号的不同特权的情况下，并发请求操作频繁，且安全环境属于动态变化的情况下，系统是否能够依然保持高效运行，及目前没有针对不同安全等级需求的多种应用环境下的OTP系统，在保证用户认证高安全性的前提下，设计出高并发请求情况下系统在特权账号认证安全性、吞吐率、响应速度都优秀的高效解决方案。

技术实现思路

[0003]本专利技术的目的是提供一种基于动态安全环境的特权账号认证方法及系统，以操作系统特权账户和口令管理为设计目标、面向服务器管理员的服务器特权账号和口令管理工具，可以帮助服务器管理员在特权账号认证安全性、吞吐率、响应速度都优秀的情况下高效、安全地梳理全网特权账号及权限，区分出特权账号、危险账号、普通账号，掌握特权账号登录活动，利用动态口令技术解决特权账号口令日常运维效率和安全问题。
[0004]本专利技术一方面提供了一种基于动态安全环境的特权账号认证方法，包括：
[0005]S1，采集应用场景信息并确定应用场景的安全环境等级；
[0006]S2，确定账号类别，所述账号类别包括特权账号、危险账号和普通账号；
[0007]S3，基于所述安全环境等级对于所述账号类别为特权账号的账号类别进行特权账号认证。
[0008]优选的，所述S1所述安全环境等级包括：高安全等级环境的应用场景和中低安全等级环境的应用场景；所述高安全等级环境的应用场景包括网银登陆和移动支付认证；所述中低安全等级环境的应用场景包括网游登录认证、企业内部登录以及Wi
‑
Fi接入登录认证。
[0009]优选的：所述S3中所述基于所述安全环境等级进行特权账号认证包括：
[0010]S31,加载一对多口令生成算法，所述一对多口令生成算法基于加密种子密钥设计，同一账号在不同服务器可拥有不同的动态口令；
[0011]S32，基于令牌生成动态口令；
[0012]S33，基于安全等级选择动态口令生成因子作为动态口令权重；
[0013]S34，建立多因素安全身份鉴别机制，包括用户记忆的静态口令和S32基于令牌生成的动态口令相结合，以实现对于特权账号的多重身份鉴别保险；
[0014]S35，认证接收后针对每个所述综合口令产生一个临时的会话密钥，并加盖时间戳后存储在灾备服务器中作为后期审计和验证使用。
[0015]优选的，所述一对多口令生成算法包括：
[0016](1)生成种子密钥：由客户端采用真随机数方式生成种子密钥，种子密钥本实施例中优选为160bits；
[0017](2)对种子密钥进行加密：由客户端通过种子密钥加密工具，利用数字证书对种子密钥文件进行加密和签名，加密后，只有对应的令牌持有者才能解密；
[0018](3)种子密钥解密：由令牌持有者完成种子密钥文件的解密和验签，种子文件解密后，导入到令牌持有者的生成系统；
[0019](4)将种子密钥写入令牌：由令牌持有者完成，同样使用数字证书保证种子密钥的安全；
[0020](5)种子密钥导入认证系统：通过导种子工具导入统一认证系统后从而生效，导入的种子密钥采用SM4加密的方式保障种子密钥的安全；
[0021](6)在认证系统中将种子密钥进行二次变形：采用一个激活码或随机数与原种子密钥进行运算，从而导致种子密钥发生变化后形成新的种子密钥，作为令牌的工作密钥，激活码或随机数由认证系统生成，认证系统的种子密钥更新与令牌的种子密钥更新同时进行或早于后者；
[0022](7)令牌种子密钥二次更新：由客户端接入者完成，基于认证系统种子密钥更新同一个激活码或随机数进行运算，确保令牌和认证系统种子密钥更新完成后，工作用种子密钥保持一致；
[0023]优选的，所述S32，基于令牌生成动态口令包括：
[0024](1)对于高安全等级环境的应用场景，使用国家密码管理局发布的国密SM3OTP算法或国密SM4 OTP算法作为基础加解密认证算法生成动态口令；
[0025](2)对于中低安全等级环境的应用场景，使用Open AuThentication(oath)组织发布的HMAC
‑
SHA
‑
1算法生成动态口令；
[0026]优选的，所述S33，基于安全等级选择动态口令生成因子作为动态口令权重，包括：
[0027](1)针对安全级别较高的应用场景，使用基于UIM卡的口令因子，即集成电路卡号ICCID、应用ID以及当前时间作为动态口令生成因子，并将动态口令生成因子作为动态口令权重；
[0028](2)对于安全级别为中低的应用场景，使用UIM卡的集成电路卡号或IMSI号、应用ID及计数器当前值作为动态口令生产因子。
[0029]优选的，所述S34，建立多因素安全身份鉴别机制，包括用户记忆的静态口令和S32基于令牌生成的动态口令相结合，以实现对于特权账号的多重身份鉴别保险，包括：
[0030](1)接收用户输入的静态口令，再次验证是否属于特权账号；
[0031](2)对于属于特权账号的，为静态口令赋予静态口令权重，将静态口令与静态口令权重相乘获得第一乘积；
[0032](3)将S32中的动态口令和S33中的动态口令权重相乘获得第二乘积；
[0033](4)将第一乘积和第二乘积相加获得最终的综合口令，基于综合口令的比较鉴别进行特权账号认证。
[0034]本专利技术的第二方面提供一种基于动态安全环境的特权账号认证系统，包括：
[0035]后台管理门户，用于采集应用场景信息并确定应用场景的安全环境等级；
[0036]其中：后台管理门户：提供特权账号全生命周期管理流程、全局策略管理等功能，运维团队中的系统管理员通过全生命周期管理流程管理特权账号的开通、变更、销毁等重要阶段，并帮助服务器管理员使用本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于动态安全环境的特权账号认证方法，其特征在于，包括：S1，采集应用场景信息并确定应用场景的安全环境等级；S2，确定账号类别，所述账号类别包括特权账号、危险账号和普通账号；S3，基于所述安全环境等级对于所述账号类别为特权账号的账号类别进行特权账号认证。2.根据权利要求1所述的一种基于动态安全环境的特权账号认证方法，其特征在于，所述S1所述安全环境等级包括：高安全等级环境的应用场景和中低安全等级环境的应用场景；所述高安全等级环境的应用场景包括网银登陆和移动支付认证；所述中低安全等级环境的应用场景包括网游登录认证、企业内部登录以及Wi
‑
Fi接入登录认证。3.根据权利要求1所述的一种基于动态安全环境的特权账号认证方法，其特征在于，所述S3中所述基于所述安全环境等级进行特权账号认证包括：S31,加载一对多口令生成算法，所述一对多口令生成算法基于加密种子密钥设计，同一账号在不同服务器可拥有不同的动态口令；S32，基于令牌生成动态口令；S33，基于安全等级选择动态口令生成因子作为动态口令权重；S34，建立多因素安全身份鉴别机制，包括用户记忆的静态口令和S32基于令牌生成的动态口令相结合，以实现对于特权账号的多重身份鉴别保险；S35，认证接收后针对每个所述综合口令产生一个临时的会话密钥，并加盖时间戳后存储在灾备服务器中作为后期审计和验证使用。4.根据权利要求3所述的一种基于动态安全环境的特权账号认证方法，其特征在于，所述一对多口令生成算法包括：(1)生成种子密钥：由客户端采用真随机数方式生成种子密钥，种子密钥本实施例中优选为160bits；(2)对种子密钥进行加密：由客户端通过种子密钥加密工具，利用数字证书对种子密钥文件进行加密和签名，加密后，只有对应的令牌持有者才能解密；(3)种子密钥解密：由令牌持有者完成种子密钥文件的解密和验签，种子文件解密后，导入到令牌持有者的生成系统；(4)将种子密钥写入令牌：由令牌持有者完成，同样使用数字证书保证种子密钥的安全；(5)种子密钥导入认证系统：通过导种子工具导入统一认证系统后从而生效，导入的种子密钥采用SM4加密的方式保障种子密钥的安全；(6)在认证系统中将种子密钥进行二次变形：采用一个激活码或随机数与原种子密钥进行运算，从而导致种子密钥发生变化后形成新的种子密钥，作为令牌的工作密钥，激活码或随机数由认证系统生成，认证系统的种子密钥更新与令牌的种子密钥更新同时进行或早于后者；(7)令牌种子密钥二次更新：由客户端接入者完成，基于认证系统种子密钥更新同一个激活码或随机数进行运算，确保令牌和认证系统种子密钥更新完成后，工作用种子密钥保持一致。5.根据权利要求4所述的一种基于动态安全环境的特权账号认证方法，其特征在于，所
述S32，基于令牌生成动态口令包括：(1)对于高安全等级环境的应用场景，使用国家密码管理局发布的国密SM3OTP算法或国密SM4 OTP算法作为基础加解密认证算法生成动态口令；(2)对于中低安全等级环境的应用场景，使用Open AuThentication(oath)组织发布的HMAC

【专利技术属性】
技术研发人员：赵斌，赵继安，
申请(专利权)人：东方中泰北京科技有限公司，
类型：发明
国别省市：