专利名称：网络业务应用账户的保护方法和系统的制作方法
技术领域：
本发明涉及网络业务认证技术领域，特别是指一种网络业务应用账户的保护方法和一种网络业务应用账户的保护系统。
背景技术：
目前的互联网产业链模式已经由开始的接入为王、眼球为王逐渐进入了应用为王的时代。内容提供商已经逐渐在整个产业链中占据了核心地位。不同的内容提供商在为用户提供层出不穷的应用服务，但名目繁杂的各种业务应用也带来了许多问题，以网络游戏为例，木马和盗号等现象严重影响着网络游戏的正常运营秩序，各大网络游戏运营商八仙过海，各显神通的打击手段也给网络游戏的正常的运营带来了种种不便。据调查显示，有65％以上的用户都有过在业务应用上注册的账号被盗的经历，用户的账号安全问题也是成为游戏运营商和用户挥之不去的梦魇。
现有技术中，对网络业务应用账户的保护方法主要是采取手机保护账户、和动态密码身份认证的方法。
手机保护账户的方法是在用户登录业务应用时，由业务应用服务器动态产生密码，根据该用户已经注册的手机号码，通过运营商的短信网关将产生的密码发送到用户的手机上，然后用户再使用接收的动态密码和账户静态密码(PIN)登录该业务应用服务器。通过这种方法，由于除该用户外不能够通过手机获取动态密码，所以无法盗用用户的密码进行登录。
动态密码身份认证需要由两个设备来完成，一个是用于进行用户身份认证的服务器，另一个是用于为用户生成动态密码的密码卡。在服务器和密码卡中加载了相同的密码生成软件和代表用户的用户身份的唯一识别码。在给用户发放密码卡时，用户的识别码不仅初始化在服务器数据库的用户信息表中，还加载在密码卡中，PIN由用户自行记忆，当用户登录业务应用时，键入PIN后，密码卡每一分钟都生成一个与该卡对应的唯一的、不可预测的密码，并将账号、PIN和生成的动态密码发送给服务器。服务器接收到用户的账号和密码后，根据密码组合判断用户的合法性和真实性。由于动态密码由密码卡随机生成，除合法用户外无法获取密码卡，不能够生成正确的密码，所以动态密码不怕被人偷看，不怕黑客的网络窃听，能够防止重放攻击，具有较高的安全性和使用方便性。
在上述两种对业务应用账户进行保护的方法中，第一种采用手机保护账户的方法中，对账户的局限性较大，并且由于需要每次都通过短信将密码传递给用户，然后用户再输入通过短信获取的密码，造成了较大的时延，也浪费了无线资源；第二种采用动态密码身份认证的方法中，其保护局限于捆绑和保护单一网络游戏服务商的游戏产品账号；并且用户在使用应用业务时，还需要另外购买动态密码保护的硬件，降低了业务应用的竞争力。
发明内容
有鉴于此，本发明的主要目的在于提供一种网络业务应用账户的保护方法和系统，能够方便地对用户的多个业务应用账户进行保护。
为达到上述目的的第一个方面，本发明提供了一种网络业务应用账户的保护方法，该方法包括A、在运营商网络的用户个人通信档案中为用户的业务应用账户设置业务应用账户关联信息；B、在用户通过接入终端以业务应用账户登录业务应用服务器时，对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，如果认证失败，拒绝用户登录。
较佳地，所述步骤A包括A1、业务应用服务器在用户注册业务应用账户时，为该用户生成并存储业务应用账户关联信息；A2、将所述业务应用账户关联信息发送到运营商网络中存储所述用户的个人通信档案的设备，该设备将接收的所述关联信息存储到对应用户的个人通信档案中。
所述步骤B中如果认证通过，业务应用服务器允许用户登录之后，或在用户登录成功，业务应用服务器接收到用户的更新请求之后，或业务应用服务器在预先设定的业务应用账户关联标识更新时间或生命周期到期后，或在用户登录成功，业务应用服务器接收到用户的更新请求，且接收到该更新请求的时刻距离上次更新时间大于预先设定的最小更新周期后，该方法可以进一步包括业务应用服务器生成新的业务应用账户关联信息，并将所述新的业务应用账户关联信息发送给运营商网络中存储用户个人通信档案的设备，请求进行更新；所述设备接收到所述请求后，将为所述业务应用账户设置的业务应用账户关联信息更新为所述新的业务应用账户关联信息。
较佳地，步骤A2中所述该设备将接收的所述关联信息存储到对应用户的个人通信档案中之前进一步包括所述设备向所述用户的接入终端发送提示消息，提示用户有业务应用服务器发起了将用户账户和用户个人通信档案进行关联的请求；所述用户接入终端接收到所述提示消息后，向所述设备返回确认信息。
较佳地，步骤A中所述业务应用服务器为该用户生成并存储业务应用账户关联信息之前或之后进一步包括业务应用服务器向用户接入终端发送询问消息，询问用户是否将所述业务应用账户与用户的个人通信档案相关联；用户接入终端接收到所述询问消息后，向业务应用服务器返回确认信息。
步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证可以包括B11、业务应用服务器在接收到用户的登录请求后，向运营商网络侧存储所述用户的个人通信档案的设备发送消息，请求获取为所述业务应用账户设置的业务应用账户关联信息；B12、接收到所述消息的设备，获取所述业务应用账户关联信息，并将获取的业务应用账户关联信息返回给所述业务应用服务器；B13、所述业务应用服务器对接收的业务应用账户关联信息进行认证。
所述步骤B之前可以进一步包括在业务应用服务器中为所述业务应用账户设置对应的业务应用账户关联信息；步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证包括B21、业务应用服务器在接收到用户的登录请求后，向运营商网络侧存储个人通信档案的设备发送包括业务应用账户关联信息的认证请求消息；B22、存储用户个人通信档案的设备接收到所述认证请求信息后，对其中的业务应用账户关联信息进行认证，并将认证结果返回给业务应用服务器。
所述步骤B之前还可以进一步包括B10、运营商网络中存储所述用户的个人通信档案的设备将个人通信档案的位置信息发送给用户；步骤B中所述的用户通过用户接入终端以业务应用账户登录业务应用服务器时，用户将所述位置信息发送给业务应用服务器；步骤B中业务应用服务器根据所述位置信息与所述存储个人通信档案的设备交互。
所述步骤B之前也可以进一步包括B20、运营商网络中存储所述用户的个人通信档案的设备将所述用户个人通信档案中的业务应用账户关联信息发送给所述用户的接入终端；
步骤B中所述的用户通过接入终端以业务应用账户登录业务应用服务器时，用户接入终端向业务应用服务器发送自身个人通信档案中对应的业务应用账户关联信息；则步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证为业务应用服务器对来自用户接入终端的业务应用账户关联信息是否合法进行认证。
较佳地，该方法进一步包括所述用户个人通信档案中的业务应用账户关联标识更新时，向用户接入终端发送同步更新请求，请求更新对应的业务应用账户关联信息；用户接入终端接收到所述同步更新请求后，更新自身中对应的业务应用账户关联信息。
步骤B中所述的认证步骤之前，或如果认证通过，业务应用服务器允许用户登录之前，进一步包括业务应用服务器对用户的账号和密码进行认证，如果认证通过执行后续步骤；否则，直接拒绝用户登录。
由上述方案可以看出，本发明中，在运营商网络的用户个人通信档案中为用户的业务应用账户设置业务应用账户关联信息；在用户通过用户接入终端以业务应用账户登录业务应用服务器时，对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，如果认证通过，允许用户登录；如果认证失败，拒绝用户登录；由于可以同时在用户个人通信档案中为用户在多个业务应用服务器上的多个业务应用账户设置对应的业务应用账户关联信息，很方便地实现了对用户的多个业务应用服务器上的多个业务应用账户的保护；并且，由于在本发明中不需要用户通过接收短信息获取动态密码就能够实现除静态密码外对用户业务应用账户的保护，大大降低了用户登录业务应用服务器的时延，也由于不需要用户额外购买密码卡，大大提高了业务应用服务器的竞争力。
为达到上述目的的第二个方面，本发明提供了一种网络业务应用账户保护的系统，该系统包括用户接入终端，用于接收来自用户通信档案服务器的个人通信档案位置信息，或进一步包括的所述用户的个人通信档案中的业务应用账户关联信息，并将所述接收的来自用户通信档案存储设备的信息通过登录请求发送给该信息对应的业务应用服务器；用户通信档案存储设备，用于存储包括为用户业务应用账户设置的业务应用账户关联信息的个人通信档案，并将用户的个人通信档案位置信息或进一步将用户的业务应用账户关联信息发送给用户接入终端，以及根据业务应用服务器的请求向业务应用服务器发送业务应用账户关联信息，或对来自业务应用服务器的业务应用账户关联信息进行认证并返回认证结果；业务应用服务器，用于根据用户发送的登录请求消息，向用户通信档案存储设备发送消息请求获取所述用户的业务应用账户关联信息，对用户通信档案存储设备返回的业务应用账户关联信息进行认证，或根据用户发送的登录请求消息向用户通信档案存储设备发送该用户的业务应用账户关联信息，或对用户登录请求消息中包括的业务应用账户关联信息进行认证，并根据所述认证的结果向用户接入终端返回登录成功或登录失败信息。
较佳地，所述的用户通信档案存储设备为通信档案服务器。
所述的用户接入终端可以为移动终端、个人数字助手或个人电脑终端。
较佳地，所述用户接入终端与通信档案服务器之间通过接入网关进行交互；所述通信档案服务器与业务应用服务器之间通过开放服务接入网关进行交互。
由上述方案可以看出，本发明中，在用户通信档案存储设备中存储为用户业务应用账户设置的业务应用账户关联信息；在用户登录业务应用服务器时，业务应用服务器或通信档案服务器对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，并根据认证结果向用户接入终端返回登录成功或登录失败信息；由于可以同时在通信档案服务器中为用户在多个业务应用服务器上的多个业务应用账户设置对应的业务应用账户关联信息，很方便地实现了对用户的多个业务应用服务器上的多个业务应用账户的保护；并且，由于在本发明中不需要用户通过接收短信息获取动态密码就能够实现除静态密码外对用户业务应用账户的保护，大大降低了用户登录业务应用服务器的时延，也由于不需要用户额外购买密码卡，大大提高了业务应用服务器的竞争力。
图1为PCP管理单元与用户接入终端和业务应用之间的连接关系示意图；图2为PCP管理单元在运营商网络中的位置示意图；图3为本发明第一实施例中用户注册业务应用账户的流程图；图4为本发明第一实施例中用户登录业务应用的流程图；图5为本发明第二实施例中用户注册业务应用账户的流程图；图6为本发明第二实施例中用户登录业务应用的流程图；图7为本发明第三实施例中用户登录业务应用的流程图。
具体实施例方式
为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。
由于网络运营商拥有业务应用服务商所不具备的网络资源，为用户提供最基本的接入服务，能够为用户和业务应用服务商提供统一的接入管理，统一的网络认证和业务认证，所以将网络运营商的认证鉴权和业务应用服务商的业务应用账户进行结合，就可以有效地达到保护用户账户的目的。
网络运营商可以通过用户的接入号，如移动运营商通过移动终端号码、固网运营商通过固定电话号码，宽带运营商通过用户的接入账号，为用户提供个人通信档案(PCP)。该PCP是网络运营商为用户建立的唯一标识该用户通信属性的最小完备集合。例如，PCP中可以包括该PCP对应用户使用的承载网络资源属性、上层业务能力部件、平台，应用程序等业务资源属性信息。
本发明的主要思想是，在运营商网络的用户个人通信档案中为用户的业务应用账户设置对应的业务应用账户关联信息；在用户通过用户接入终端以业务应用账户登录业务应用时，对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，如果认证通过，允许用户登录；如果认证失败，拒绝用户登录。
这里所说的认证的具体实现，即业务应用判断用户PCP中设置的上述业务应用账户关联信息与自身中该用户的账户是否对应，如果对应则认证通过，用户账户合法；否则，用户账户非法。
本发明中，在一个业务应用中，用户如果有多个账户，这多个账户对应的业务应用关联信息可以相同，也可以不同。也就是说业务应用账户关联信息可以与用户的业务应用账户一一对应，也可以与对应相同属性，如对应相同的用户接入号和相同的业务应用的业务应用账户以一对多的方式对应。
进而，本发明中，也可以由运营商网络中的PCP相关设备对业务账户的合法性进行认证，即业务应用向PCP发送业务应用账户关联信息，由PCP相关设备对该业务应用账户关联信息是否合法进行认证。
上述业务应用账户关联信息，可以是为用户所注册的业务应用账户所生成的别名，用来作为用户所注册的业务应用账户与该用户PCP进行关联的标识，本说明书中将该标识称为业务应用账户关联标识。
本发明中，用户的PCP在运营商网络中可以存储在用户终端档案服务器、用户终端数据库或PCP管理单元，即通信档案服务器中。在运营商网络中，通信档案服务器的地址可以是业务应用预先知道的，如整个运营商网络中只有一个通信档案服务器，也可以是在用户在业务应用注册或登录的时候告知业务应用的。
下面以PCP管理单元，即通信档案服务器来说明本发明所基于的系统组成。PCP管理单元以及PCP管理单元与用户接入终端和业务应用之间的连接关系可以如图1所示。其中，个人电脑(PC)终端101、移动电话102和个人数字助手(PDA)103作为用户接入终端，在PCP管理单元11中，分别具有自身对应的PCP，并通过接入网关10与PCP管理单元进行连接。
PCP管理单元11中包括PCP生成单元111、PCP管理控制单元112、PCP数据库113、用户认证鉴权单元114、业务部件接口单元115和开放服务接入网关接口单元116。
其中，PCP生成单元111，用于管理用户PCP信息，根据PCP管理控制单元的请求命令生成、更新和维护PCP数据信息，并将生成、更新和维护的PCP数据信息通过PCP管理控制单元写入PCP数据库113中。
PCP管理单元112是PCP管理单元的中央控制部件，负责对外部应用以及业务部件接口进行管理，并对PCP的生成和存储进行管理。
PCP数据库113用于存储用户的PCP信息。PCP数据库中可以包括多个维度的用户数据，在本发明中所涉及到的用户维度数据为与用户的业务应用账户关联标识维度。该维度信息在数据库中可以通过如下格式进行存储< xml version="1.0"encoding="UTF-8" ><PCPML><PCPHdr>
<PCPId>)0x56DFEA24F13</PCPId>//PCP标识<UserId>493005100592800</UserId> //用户标识···</PCPHdr><PCPBody>
<dimension name="Base Information"typeId="1">//其它维度项信息···</dimension>
<dimension name="PIM"typeId="2"> //业务应用账户维度信息<item id="PIM001"name="WOW"type="ACC"> //业务应用账户1信息项<Description>游戏名称1</Description>//信息项描述<Meta> //账户信息类型描述<Type xmlns="syncml:metinf">application/Game.Account</Type>
<Format xmlns="syncml:metinf">b64</Format>
</Meta>
<ACL>read=www.wow.com-346&write=www.wow.com-346</ACL>
//访问控制权限描述<Data><!--Base64-coded data--></Data>
//业务应用账户关联标识<item>
···
<item id="PIM002"name="FWest"type="ACC""> //业务应用账户2信息项<Description>游戏名称2</Description> //信息项描述<Meta>//账户信息类型描述<Type xmlns="syncml:metinf">application/Game.Account</Type>
<Format xmlns="syncml:metinf">b64</Format>
</Meta>
<ACL>read=www.163.com-123&write=www.163.com-123</ACL>
//访问控制权限描述<Data><!--Base64-coded data--></Data>
//业务应用账户关联标识<item>
···</dimension><dimension name="Communication facilities"typeId="3">//其它维度项信息···</dimension>···</PCPBody></PCPML>
上述PCP的存储格式为基于XML的文件描述。XML文件分为Header部分和Body部分。
Header部分包括如PCP标识、用户标识等公共基本信息，以标识对应的用户，和该用户对应的PCP。
Body部分包括所有该用户PCP数据所涉及到的参数的值。用一个<dimension>标签包含所有的维度信息参数项，如<dimension name＝″PIM″typeId＝″2″>表示业务应用账户维度信息，其中name标识维度的名称信息，typeId是维度的标识。每个维度内的参数项用一个<Item>项表示。每个维度可以包含多个参数项。
<Item>标签可以带以下参数id，表示该参数项的名称，该参数项在维度内的唯一标识；Name，表示该参数项的名称；Type，表示该参数项的类型。具体<Item>项，即一个维度信息参数项，由以下几个参数描述<Description>，表示该参数项的描述，<Meta>表示该参数项的类型(Type)和格式(Format)；<ACL>，表示该参数项的访问控制权限；<Data>，表示该参数项的值。一个<Meta>项包含以下两个项<Type>，表示该参数项的类型；<Format>，表示该参数项的格式。在描述文件中可以为每个参数项都提供一个默认类型，描述中如果不提供<Meta>，则表示值参数项的值为默认类型。一个业务应用关联账户即为一个Item，如下所示<item id="PIM001"name="WOW"type="ACC"> //业务应用账户1信息项<Description>游戏名称1</Description> //信息项描述<Meta> //账户信息类型描述<Type xmlns="syncml:metinf"> application/Game.Account</Type>
<Format xmlns="syncml:metinf">b64</Format>
</Meta>
<ACL>read=www.wow.com-346&write=www.wow.com-346</ACL>
//访问控制权限描述<Data><!--Base64-coded data--></Data> //业务应用账户关联标识<item>
其中，read＝www.wow.com-346&write＝www.wow.com-346是对业务应用服务器信息的描述，这里采用了业务应用服务器地址的形式，表示只有来自该地址的请求信息才是来自该Item对应的业务应用服务器的请求信息，所以才能够对下面的业务应用账户关联标识<！--Base64-coded data-->执行读和写功能。
用户认证鉴权单元114，以用户PCP的数据信息为基础，对用户使用的网络资源和业务资源进行认证，或进一步对来自业务应用服务器的标识认证请求信息与PCP数据库交互进行认证。
业务部件接口单元115用于通过接入网关与用户接入终端连接进行通信，以及与网络运营商的其他网元设备等进行连接。
开放服务接入网关116用于通过开放服务网关12与业务应用连接进行通信。
业务应用121、122、123、......，通过开放服务网关12与PCP管理单元连接并进行通信。
图1中示出了PCP管理单元的组成以及与用户接入终端和业务应用的连接关系。PCP管理单元在运营商网络中的位置可以如图2所示，位于公共能力承载层中。由于该网络架构中除在公共能力承载层中增加了PCP管理单元外，其余部分均可以采用现有技术中的网络架构，所以这里不再详细阐述。
下面通过具体实施例对本发明进行详细阐述。
本发明的第一实施例中包括业务应用账户注册流程和业务应用账户登录流程，分别如图3和图4所示，下面进行说明。
如图3所示为业务应用账户注册流程，具体包括以下步骤步骤301、用户通过终端接入网络。本步骤中，用户可以通过无线或有线终端接入签约运营商网络。
步骤302、运营商网络中的通信档案服务器根据用户的接入标识获取用户的PCP信息。
本步骤中，通信档案服务器可以是根据用户的接入标识，在个人档案数据库中通过查找对应的用户标识来查找用户的PCP，如果用户是第一次接入网络，找不到用户的PCP的情况下，这里还包括一个初始化用户PCP的过程，即通信档案服务器为用户生成新的PCP。
步骤303、通信档案服务器对用户进行网络认证和业务认证。
本步骤中，所说的网络认证和业务认证是指对用户PCP中的信息的验证，可以包括对PCP中网络能力属性和基本业务能力属性的认证。网络能力属性的认证即网络控制层根据用户的PCP相关信息对用户的承载能力进行认证，如对接入带宽、线路的QoS的认证等；对基本业务能力属性的认证不是指对具体业务应用的认证，而是对是否具有短信、位置业务等业务能力的认证。认证通过说明用户可以正常使用网络。对网络认证和业务认证的具体实现与现有技术基本相同，区别仅在于在本发明中是由通信档案服务器执行认证，以及由用户的PCP提供进行网络认证和业务认证的数据。
步骤304、通信档案服务器在进行网络认证和业务认证通过后将用户的PCP位置信息发送给用户接入终端。这里的PCP位置信息可以是用户PCP所在的通信档案服务器的地址，如通信档案服务器的URL，此外，通信档案服务器还可以进一步将交互方式、证书等发送给用户接入终端，用于通信档案服务器与用户接入终端之间进行认证。
步骤305、用户在业务应用服务器注册业务应用账户时，向业务应用服务器发送注册请求。在该注册请求中可以包括上述PCP位置信息。
步骤306、业务应用服务器在接收到用户的注册请求后，向用户发送消息询问是否将用户PCP与业务应用账户进行关联。
步骤307、用户接收到上述询问消息后，如果确定则执行步骤308，回复确认消息，用户的PCP位置信息也可以不在步骤305中，而是在本步骤中发送给业务应用服务器，然后执行步骤310；否则执行步骤309，回复拒绝关联信息，然后结束该流程，即进行正常的注册流程。
步骤310、业务应用服务器为用户生成并存储PCP业务应用账户关联标识，然后将生成的业务应用账户关联标识根据用户PCP位置信息通过关联请求消息发送给对应的通信档案服务器，在该消息中还包括用户标识，或可以进一步包括用户PCP中业务应用账户维度中其他涉及到的信息。
步骤311、通信档案服务器接收到来自业务应用服务器的关联请求消息后，向对应的用户发送提示消息提示用户有业务应用服务器发起了将用户账户和PCP进行关联的请求，在该提示消息中包括业务应用服务器的信息。
步骤312、用户接收到该请求后，如果确定要将其在上述业务应用服务器上注册的账户与PCP关联则执行步骤313，向通信档案服务器返回确认信息，然后执行步骤315；否则，执行步骤314，向通信档案服务器返回拒绝信息，然后结束该流程，或由通信档案向业务应用服务器返回拒绝信息，业务应用服务器再向用户返回注册失败信息。
步骤315、通信档案服务器接收到用户发送的确认信息后，将来自业务应用服务器的业务应用账户关联标识增加到该用户的PCP中，然后向业务应用服务器返回更新成功信息。本步骤中，通信档案服务器也可以将来自业务应用服务器的关联请求消息中的其他相关信息添加到用户PCP中的对应数据项。
步骤316、业务应用服务器接收到来自通信档案服务器的更新成功信息后，向用户返回账户注册成功信息。
与上述注册流程对应地，用户进行登录的流程如图4所示，其中，步骤401至步骤404与图3中的步骤301至步骤304相同，在执行步骤404后，执行步骤405。
由于在注册流程中，通信档案服务器已经将用户的PCP位置信息发送给用户接入终端，用户接入终端可以保存自身的PCP位置信息，则在本流程中，步骤404中也可以不向用户返回PCP位置信息，而是向用户返回网络认证和业务认证通过信息。
步骤405、在用户输入登录账号和密码后，用户接入终端向业务应用服务器发送登录请求，该请求中包括登录账号和密码，以及用户接入终端中存储的PCP位置信息。
步骤406、业务应用服务器对用户的账号和密码进行合法性认证，如果认证通过则执行步骤408；否则执行步骤407，向用户返回登录失败信息，该登录失败消息中可包含登录失败的原因，然后结束该流程。
步骤408、业务应用服务器根据PCP位置信息向通信档案服务器请求该用户对应PCP中的业务应用账户关联标识，该请求消息中包括用户标识和业务应用服务器的相关信息。
步骤409、通信档案服务器接收到来自业务应用服务器的请求PCP中业务应用账户关联标识的消息后，根据用户标识和业务应用服务器的相关信息查询数据库，获取业务应用账户关联标识，并向业务应用服务器返回所获取的业务应用账户关联标识。
步骤410、业务应用服务器对通信档案服务器返回的业务应用账户关联标识进行认证，如果认证通过执行步骤411，向用户返回登录成功消息，通知用户账户登录成功，结束本流程，此后用户可以通过接入终端与业务应用进行具体业务的交互；否则执行步骤412，向用户返回登录失败消息，通知用户账户登录失败，或进一步通知用户因为业务应用账户关联标识认证失败而导致登录失败，并结束该流程。这里对通信档案服务器返回的业务应用账户标识进行认证，就是判断该返回的业务应用账户关联标识是否与自身中存储的该用户对应的业务应用账户关联标识一致。
以上是对本发明第一实施例的说明。从上述说明可以看出，本发明的第一实施例中，用户接入终端中只保存PCP位置信息，在进行认证时，业务应用服务器根据来自用户接入终端的该PCP位置信息请求获取用户PCP中的业务应用账户关联标识，并对所获取的标识进行认证。
在本发明中，还可以在用户接入终端中保存该用户的PCP信息，则在进行认证时，用户接入终端直接将PCP信息中的业务应用账户关联标识发送给对应的业务应用服务器，业务应用服务器可以直接对来自用户接入终端的业务应用账户关联标识进行认证。下面通过第二实施例对该实现方式进行详细说明。
本发明的第二实施例中，用户进行注册和登录的流程分别如图5和图6所示。在图5所示的注册流程中，步骤501至步骤503与第一实施例中的步骤301至步骤303相同，在步骤503中认证通过后，执行步骤504，将用户的PCP的位置信息和用户PCP具体内容信息发送给用户接入终端，用户接入终端保存接收的PCP信息。这里，用户PCP的具体内容可以只是涉及到业务应用账户关联的相关信息部分内容，也可以是全部内容。
在步骤504后，执行步骤505至步骤510，由于步骤505至步骤510与步骤305至步骤310相同，这里不再说明。其中，用户PCP的位置信息可以在步骤505，用户接入终端向业务应用服务器发送注册请求的时候发送给业务应用服务器，也可以在业务应用服务器询问用户是否关联PCP与业务应用账户后，在步骤508用户接入终端向业务应用服务器回复的确认信息中发送给业务应用服务器。
在步骤510后，执行步骤511，通信档案服务器更新用户PCP，就是将接收的业务应用账户关联标识增加到用户的PCP中，并向用户接入终端发送PCP同步更新请求，在该请求中包括增加的业务应用账户关联标识。
在步骤512，用户接入终端在根据PCP同步更新请求将业务应用账户关联标识增加到自身存储的PCP中后，向通信档案服务器返回PCP同步完成消息。在步骤513，通信档案服务器接收到来自用户接入终端的PCP同步完成消息后，向业务应用服务器返回更新成功消息。然后执行的步骤514与图3中的步骤316相同。
在上述流程中的步骤511通信档案服务器更新用户PCP之前，也可以与图3中类似地，执行向用户确认的步骤，并在收到用户的确认后再执行更新操作，由于具体实现与图3中步骤311至步骤314相同，这里不再详细说明。
对应地，在图6所示的登录流程中，步骤601与步骤603与图5中的步骤501至步骤503相同，在步骤604，通信档案服务器向用户接入终端返回认证通过信息；此后在步骤605，用户接入终端向业务应用服务器发起登录请求时，在请求中携带用户的账号、PIN和用户PCP中与所登录的业务应用服务器对应的业务应用关联标识信息。在步骤606、业务应用服务器根据接收的信息对用户进行认证，包括对用户账号、PIN的认证和对业务应用关联标识的认证，认证通过执行步骤607，向用户接入终端返回登录成功信息；认证没有通过则执行步骤608，向用户接入终端返回登录失败信息。
在上述第一和第二实施例中，在进行登录时，由业务应用服务器对用户的业务应用账户关联标识进行认证。在本发明中，还可以由通信档案服务器来执行对用户的业务应用关联标识的认证，下面通过第三实施例进行说明。
本发明第三实施例中，注册流程与第一实施例中相同。用户登录业务应用服务器的流程如图7所示，其中步骤701至步骤707与图4中的步骤401至步骤407相同，在步骤706，业务应用服务器对用户的账号和PIN认证通过后，执行步骤708，向通信档案服务器发送关联标识认证请求，该请求中包括业务应用服务器中存储的用户的业务应用账户关联标识信息、用户标识信息以及业务应用服务器信息。在步骤709，通信档案服务器根据用户标识查找对应的PCP，判断PCP中是否有与关联标识认证请求中的业务应用账户关联标识一致的，上述业务应用服务器对应的业务应用账户关联标识，如果是则认证通过，即执行步骤710，向业务应用服务器返回认证通过信息，然后执行步骤711，业务应用服务器向用户接入终端返回登录成功信息，然后结束该流程；否则为认证没有通过，执行步骤712，向业务应用服务器返回认证失败信息，再执行步骤713，业务应用服务器向用户接入终端返回登录失败信息，然后结束该流程。
在以上实施例中，为关联PCP进行认证所生成的业务应用账户关联标识都是静态的。为了进一步保证业务应用关联标识认证的安全性，关联标识还可以不断更新， 即动态生成上述业务应用账户关联标识，下面通过第四实施例对采用动态的业务应用账户关联标识的对用户账户进行保护的方法进行详细说明。
在本发明的第四实施例中，用户在业务应用服务器注册账户的流程与前三个实施例均可以相同，用户登录业务应用服务器的流程与上述三个实施例的区别在于，在认证通过后，业务应用服务器向用户返回消息通知用户账户登录成功后，进一步包括业务应用服务器删除原有的该用户账户对应的业务应用账户关联标识，或将原有的该用户账户对应的业务应用账户关联标识设置为无效，然后重新为用户生成用于下一次登录时进行认证的新的业务应用账户关联标识，并将生成的业务应用账户标识发送给通信档案服务器请求更新PCP业务应用账户关联标识，通信档案服务器接收到更新请求后，更新上述用户和业务应用服务器对应的业务应用账户关联标识，然后向业务应用服务器返回更新成功消息。
在用户接入终端中保存用户PCP的情况下，通信档案服务器或业务应用服务器还需要将新的业务应用账户关联标识发送给用户接入终端，用户接入终端更新自身中的业务应用账户关联标识。这里，业务应用服务器可以同时将新的业务应用账户关联标识发送给通信档案服务器和用户接入终端，两者分别自行执行更新操作，也可以业务应用服务器将新的业务应用账户关联标识只发送给用户接入终端，然后用户接入终端通知通信档案服务器更新对应的业务应用账户关联标识。
在上述对本发明第四实施例的说明中，采用了用户登录通过这种事件触发业务应用账户关联标识更新的方式。本发明中，业务应用账户关联标识的更新也可以通过其他事件触发，例如业务应用服务器接收到用户登录成功后发送的业务应用账户更新请求事件。此外，在本发明中，更新用户的业务应用账户关联标识还可以采用以下两种方式第一种为基于时间策略触发的更新方式，在这种方式中预先设置为业务应用账户关联标识设置更新时间，或生命周期，在到达该业务应用账户关联标识的更新时间，或该业务应用账户关联标识的生命周期结束后，业务应用服务器触发更新业务应用账户关联标识的操作，并更新通信档案服务器，或更新通信档案服务器和用户接入终端中对应的业务应用账户关联标识，具体的更新与上述在第四实施例中所描述的一致，这里不再说明。由于业务应用账户关联标识的重要级别可以根据实际情况划分不同的级别，对应地，更新时间和生命周期可以根据预先为业务应用账户关联标识设定的重要级别不同而设定不同的时间，重要级别越高，更新时间和生命周期可以越短，重要级别越低，更新时间和生命周期可以越长。
第二种为基于时间和事件混合策略的更新方式，在这种方式中可以综合上述时间触发和时间触发的两种策略。例如，在为用户的账户设置的更新时间到达，或生命周期结束后为用户账户更新业务应用账户关联标识，并记录该次更新的时间；但是在用户登录成功之后，或接收到用户发送的更新请求这种事件发生时，判断该时间距离最近一次更新的时间是否超过了预先设定的最小更新周期，如果是则为用户更新业务应用账户关联标识；否则，不更新业务应用账户关联标识。当然，上述所举示例只是用于对时间和事件混和策略的进一步说明，在实际应用中也可以采用其他的时间和事件混和触发的策略，由于这种混和触发策略为本领域技术人员可以很容易可以想到的，这里不再一一列举。
以上是对本发明具体实施例的说明，在具体的实施过程中可对本发明的方法进行适当的改进，以适应具体情况的具体需要。因此可以理解，根据本发明的具体实施方式
只是起示范作用，并不用以限制本发明的保护范围。
权利要求
1.一种网络业务应用账户的保护方法，其特征在于，该方法包括A、在运营商网络的用户个人通信档案中为用户的业务应用账户设置业务应用账户关联信息；B、在用户通过接入终端以业务应用账户登录业务应用服务器时，对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，如果认证失败，拒绝用户登录。
2.根据权利要求1所述的方法，其特征在于，所述步骤A包括A1、业务应用服务器在用户注册业务应用账户时，为该用户生成并存储业务应用账户关联信息；A2、将所述业务应用账户关联信息发送到运营商网络中存储所述用户的个人通信档案的设备，该设备将接收的所述关联信息存储到对应用户的个人通信档案中。
3.根据权利要求2所述的方法，其特征在于，所述步骤B中如果认证通过，业务应用服务器允许用户登录之后，或在用户登录成功，业务应用服务器接收到用户的更新请求之后，或业务应用服务器在预先设定的业务应用账户关联标识更新时间或生命周期到期后，或在用户登录成功，业务应用服务器接收到用户的更新请求，且接收到该更新请求的时刻距离上次更新时间大于预先设定的最小更新周期后，该方法进一步包括业务应用服务器生成新的业务应用账户关联信息，并将所述新的业务应用账户关联信息发送给运营商网络中存储用户个人通信档案的设备，请求进行更新；所述设备接收到所述请求后，将为所述业务应用账户设置的业务应用账户关联信息更新为所述新的业务应用账户关联信息。
4.根据权利要求2所述的方法，其特征在于，步骤A2中所述该设备将接收的所述关联信息存储到对应用户的个人通信档案中之前进一步包括所述设备向所述用户的接入终端发送提示消息，提示用户有业务应用服务器发起了将用户账户和用户个人通信档案进行关联的请求；所述用户接入终端接收到所述提示消息后，向所述设备返回确认信息。
5.根据权利要求2所述的方法，其特征在于，步骤A中所述业务应用服务器为该用户生成并存储业务应用账户关联信息之前或之后进一步包括业务应用服务器向用户接入终端发送询问消息，询问用户是否将所述业务应用账户与用户的个人通信档案相关联；用户接入终端接收到所述询问消息后，向业务应用服务器返回确认信息。
6.根据权利要求1所述的方法，其特征在于，步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证包括B11、业务应用服务器在接收到用户的登录请求后，向运营商网络侧存储所述用户的个人通信档案的设备发送消息，请求获取为所述业务应用账户设置的业务应用账户关联信息；B12、接收到所述消息的设备，获取所述业务应用账户关联信息，并将获取的业务应用账户关联信息返回给所述业务应用服务器；B13、所述业务应用服务器对接收的业务应用账户关联信息进行认证。
7.根据权利要求1所述的方法，其特征在于，所述步骤B之前进一步包括在业务应用服务器中为所述业务应用账户设置对应的业务应用账户关联信息；步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证包括B21、业务应用服务器在接收到用户的登录请求后，向运营商网络侧存储个人通信档案的设备发送包括业务应用账户关联信息的认证请求消息；B22、存储用户个人通信档案的设备接收到所述认证请求信息后，对其中的业务应用账户关联信息进行认证，并将认证结果返回给业务应用服务器。
8.根据权利要求6或7所述的方法，其特征在于，所述步骤B之前进一步包括B10、运营商网络中存储所述用户的个人通信档案的设备将个人通信档案的位置信息发送给用户；步骤B中所述的用户通过用户接入终端以业务应用账户登录业务应用服务器时，用户将所述位置信息发送给业务应用服务器；步骤B中业务应用服务器根据所述位置信息与所述存储个人通信档案的设备交互。
9.根据权利要求1所述的方法，其特征在于，所述步骤B之前进一步包括B20、运营商网络中存储所述用户的个人通信档案的设备将所述用户个人通信档案中的业务应用账户关联信息发送给所述用户的接入终端；步骤B中所述的用户通过接入终端以业务应用账户登录业务应用服务器时，用户接入终端向业务应用服务器发送自身个人通信档案中对应的业务应用账户关联信息；则步骤B中所述的对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证为业务应用服务器对来自用户接入终端的业务应用账户关联信息是否合法进行认证。
10.根据权利要求9所述的方法，其特征在于，该方法进一步包括所述用户个人通信档案中的业务应用账户关联标识更新时，向用户接入终端发送同步更新请求，请求更新对应的业务应用账户关联信息；用户接入终端接收到所述同步更新请求后，更新自身中对应的业务应用账户关联信息。
11.根据权利要求1至7或9、10中任一所述的方法，其特征在于，步骤B中所述的认证步骤之前，或如果认证通过，业务应用服务器允许用户登录之前，进一步包括业务应用服务器对用户的账号和密码进行认证，如果认证通过执行后续步骤；否则，直接拒绝用户登录。
12.一种网络业务应用账户保护系统，其特征在于，该系统包括用户接入终端，用于接收来自用户通信档案服务器的个人通信档案位置信息，或进一步包括的所述用户的个人通信档案中的业务应用账户关联信息，并将所述接收的来自用户通信档案存储设备的信息通过登录请求发送给该信息对应的业务应用服务器；用户通信档案存储设备，用于存储包括用户的业务应用账户关联信息的个人通信档案，并将用户的个人通信档案位置信息或进一步将用户的业务应用账户关联信息发送给用户接入终端，以及根据业务应用服务器的请求向业务应用服务器发送业务应用账户关联信息，或对来自业务应用服务器的业务应用账户关联信息进行认证并返回认证结果；业务应用服务器，用于根据用户发送的登录请求消息，向用户通信档案存储设备发送消息请求获取所述用户的业务应用账户关联信息，对用户通信档案存储设备返回的业务应用账户关联信息进行认证，或根据用户发送的登录请求消息向用户通信档案存储设备发送该用户的业务应用账户关联信息，或对用户登录请求消息中包括的业务应用账户关联信息进行认证，并根据所述认证的结果向用户接入终端返回登录成功或登录失败信息。
13.根据权利要求12所述的系统，其特征在于，所述的用户通信档案存储设备为通信档案服务器。
14.根据权利要求12或13所述的系统，其特征在于，所述的用户接入终端为移动终端、个人数字助手或个人电脑终端。
15.根据权利要求12或13所述的系统，其特征在于，所述用户接入终端与通信档案服务器之间通过接入网关进行交互；所述通信档案服务器与业务应用服务器之间通过开放服务接入网关进行交互。
全文摘要
本发明公开了一种网络业务应用账户的保护方法，包括在运营商网络的用户个人通信档案中为用户的业务应用账户设置业务应用账户关联信息；在用户通过用户接入终端以业务应用账户登录业务应用服务器时，对该用户的个人通信档案中是否有为该业务应用账户设置的业务应用账户关联信息进行认证，如果认证失败，拒绝用户登录。本发明还公开了一种网络业务应用账户的保护系统。本发明很方便地实现了对用户的多个业务应用服务器上的多个业务应用账户的保护；由于不需要用户通过接收短信息获取动态密码实现对用户业务应用账户的保护，大大降低了用户登录业务应用的时延，也由于不需要用户额外购买密码卡，大大提高了业务应用的竞争力。
文档编号H04L9/32GK1852094SQ200510134640
公开日2006年10月25日 申请日期2005年12月13日 优先权日2005年12月13日
发明者舒琦, 钟杰萍 申请人:华为技术有限公司