专利名称：一种云网络准入鉴别系统及准入鉴别技术方法
技术领域：
本发明一般地涉及云网络准入鉴别技术。具体涉及一种云网络准入鉴别系统，以及云网络准入鉴别技术方法。
背景技术：
近年来随着互联网的飞速发展，网络在人们在生活和工作中扮演越来越重要的角色。云网络作为一种新兴的网络，进一步为人们提供更多的资讯和服务。同时，伴随着个人电脑以及智能手机等移动电子设备的普及和无线网络技术的发展，人们可以不受地点限制，随时随地的通过移动电子设备访问云网络。在网络访问过程中，云网络通常对访问者的访问权限进行准入鉴别，以验证访问者是否具有合法的访问权限。对于访问权限的准入鉴别，目前采用的方法是，访问者输入帐户和密码，云网络通过检验帐户和密码，来判断是否允许访问者登录和访问云网络。但是复杂的帐户和密码通常难以记忆，并且需要繁琐的输入操作。而且，帐户和密码极易被他人非法盗取。另一方面，目前检验帐户和密码的准入鉴别方式，云网络无法辨别访问者是真正的合法用户，还是帐户盗用者。此外，目前不具有访问者对云网络的合法性进行鉴别的方法，访问者无法鉴别所访问网络的合法性。这使得非法者可以通过伪造的非法网络，来骗取访问者登录，进而骗取访问者的帐户和密码等个人信息。
发明内容
为了解决现有云网络访问权限准入鉴别的局限性，本发明提供一种云网络准入鉴别系统和云网络准入鉴别技术方法。该系统和方法具有移动终端和云网络双向鉴别功能， 其优点在于移动终端可以验证鉴别其所驻留的云网络是否安全合法，并且云网络可以有效的鉴别移动终端是否为合法的访问者。本发明的另一优点在于移动终端和云网络间使用动态密钥进行通信加密。访问者每次访问云网络，云网络准入服务系统都会为该访问者分配一个新的密钥，访问者和云网络间传输的数据将通过此密钥作进一步的加密。此措施进一步增强了信息的保密性。为了实现本发明的这些和其它优点，本发明提供的云网络准入鉴别系统包括移动终端应用模块，云网络接入系统和准入服务系统。本系统涉及的移动终端应用模块包括逻辑处理单元，处理移动终端应用模块内部的各种进程和逻辑状态；运算处理单元，具有数学和逻辑运算功能；数据存储单元，存储移动终端相关数据和记录信息；加密/解密处理单元，对数据进行加密/解密处理；通信单元，具有建立通信协议连接功能。本系统涉及的云网络接入系统由若干个接入服务器组成。
所涉及的接入服务器包括中央处理模块，处理接入服务器内部的各种进程和逻辑状态；运算处理模块，具有数学和逻辑运算功能；数据存储模块，存储数据信息和历史记录；加密/解密处理模块，对数据进行加密/解密处理；通信模块，具有建立通信协议连接功能。本系统涉及的准入服务系统包括中央处理模块，处理准入服务系统的各种进程和逻辑状态；运算处理模块，具有数学和逻辑运算功能；数据存储模块，存储数据信息和历史记录；加密/解密处理模块，对数据进行加密/解密处理；通信模块，具有建立通信协议连接功能。本发明的另一方面，提供一种云网络准入鉴别方法，该方法包括移动终端与接入服务器建立通信协议连接；移动终端发送注册申请消息，申请移动终端设备注册；准入服务系统为移动终端分配移动终端网络代码；移动终端向准入服务系统发送终端接入请求消息，申请访问云网络；准入服务系统运算产生鉴权参数序列，并将鉴权参数序列发至移动终端；移动终端利用终端鉴权密钥解析鉴权参数序列；移动终端通过网络验证运算，判断云网络的合法性；移动终端通过终端验证运算，产生鉴别反馈结果信息；移动终端发送鉴别结果信息至准入服务系统；准入服务系统通过校验鉴别结果信息，判断移动终端访问权限的合法性；若移动终端具有合法的访问权限，准入服务系统发送云端通信密钥至接入服务器；接入服务器启用云端通信密钥；移动终端利用鉴权参数序列计算产生终端通信密钥，并启用终端通信密钥；本发明提供的云网络准入鉴别系统和准入鉴别技术方法，能够有效的对云网络访问者的身份做出鉴别。同时，访问者也能够对云网络的合法性进行鉴别。
图1所示是本发明云网络准入鉴别系统示意图；图2所示是本发明移动终端应用模块结构示意图；图3所示是本发明接入服务器结构示意图；图4所示是本发明准入服务系统结构示意图；图5所示是本发明移动终端注册过程示意图；图6所示是本发明准入服务系统处理注册请求消息过程示意图；图7所示是本发明移动终端访问云网络过程示意图。
具体实施例方式本发明所涉及的移动终端包括各种便携式电子设备，个人电子设备和移动电子设备等。本发明所涉及的通信协议连接是通信双方或者多方基于网络通信协议或者无线通信协议建立的，可用于数据传输的连接。所述通信协议可以是业界标准通信协议，也可是非标准通信协议。本发明所涉及的移动终端标识是可以唯一标识移动终端设备的识别信息，它可以是移动终端硬件的标识信息，如移动终端硬件设备序列号、中央处理器产品序列号、通信网卡硬件序列号、网卡 MAC (Media Access Control)地址信息、SIM 卡(Subscriber Identity Module客户识别模块)卡号；或者是移动终端所安装软件的软件证书信息，如软件使用许可证信息、软件产品序列号、软件所拥有的数字证书信息；或者是移动终端所拥有的，经过授权使用的数字证书信息。本发明所涉及的移动终端网络代码是在云网络中，可唯一标识移动终端设备的识别信息。它由云网络准入服务系统为移动终端分配。每个移动终端仅拥有一个网络代码， 且任意移动终端间的网络代码均不相同。本发明所涉及的接入服务器代码是云网络接入系统中，可唯一标识接入服务器设备的识别信息。每个接入服务器仅拥有一个代码，且任意接入服务器间的代码均不相同。本发明所涉及的算法是数学和逻辑的运算公式，运算过程和运算方法。图1所示是本发明云网络准入鉴别系统示意图。云网络101是广义范围的云网络， 可为移动终端提供多种信息和服务。若干个接入服务器102构成云网络接入系统。接入服务器与云网络相连接，可与移动终端建立通信协议连接107。每个接入服务器均可作为移动终端接入云网络的连接节点。接入服务器通常分部在不同地区，可为所在区域内的多个移动终端提供云网络接入服务。移动终端103、104和105安装有移动终端应用模块，可与接入服务器建立通信协议连接。准入服务系统106与接入服务器相连接，可为云网络接入系统提供访问权限准入鉴别服务。当移动终端访问云网络时，移动终端向准入服务系统发送接入请求，准入服务系统将对移动终端进行访问权限准入鉴别。只有准入鉴别通过，移动终端才能继续访问云网络。否则，移动终端将被拒绝访问云网络。图2所示是本发明移动终端应用模块结构示意图。移动终端应用模块200安装于移动终端。移动终端应用模块可由软件或者硬件构成，以适应不同性能及类型的移动终端。 每个移动终端仅能安装一个移动终端应用模块。每个移动终端应用模块有且仅有唯一的数字证书，此数字证书可唯一标识该移动终端应用模块。每个移动终端应用模块均拥有一个终端鉴权密钥，不同移动终端应用模块间的终端鉴权密钥均不相同。该终端鉴权密钥与准入服务系统的准入端鉴权密钥相互唯一匹配，进行加密/解密。每个移动终端应用模块都存储有特定的网络验证算法、终端验证算法和终端通信密钥算法。移动终端可以将参数输入网络验证算法进行计算，来验证所驻留网络的合法性。移动终端可以将参数输入终端验证算法进行计算，产生反馈结果，并将反馈结果发送给准入服务系统。移动终端可将参数输入终端通信密钥算法进行计算，产生终端通信密钥。所示移动终端应用模块结构中，逻辑处理单元201，负责处理应用模块内部的各种进程和逻辑状态。运算处理单元202，具有数学和逻辑运算功能。加密/解密处理单元203，可对移动终端发送/接收的数据进行加密/解密处理。数据存储单元204，存储移动终端相关的数据和记录信息。通信单元205，具有建立通信协议连接功能当移动终端具有建立通信协议连接功能时，通信单元与移动终端通信协议接口衔接，建立通信协议连接；当移动终端不具有建立通信协议连接功能时，通信单元可建立通信协议连接。图3所示是本发明接入服务器结构示意图。接入服务器102是移动终端与云网络间的连接节点。每个接入服务器都具有一个可以唯一识别本设备的接入服务器代码。中央处理模块301负责处理接入服务器内部的各种进程和逻辑状态。运算处理模块302，具有数学和逻辑运算功能。数据存储模块303，具有数据存储功能，可存储相关数据和记录信息。 加密/解密处理模块304，对接入服务器发送/接收的数据进行加密/解密处理。通信模块 305具有建立通信协议连接功能。图4所示是本发明准入服务系统结构示意图。准入服务系统106用于对访问云网络的移动终端用户进行访问权限准入鉴别。中央处理模块401控制处理准入服务系统的各种进程和逻辑状态。运算处理模块402具有数学和逻辑运算功能。数据存储模块403可存储数据和记录信息。加密/解密处理模块404对准入服务系统发送/接收的数据进行加密 /解密处理。通信模块405具有建立通信协议连接功能。
准入服务系统的数据存储模块中，记录所有已知移动终端应用模块数字证书信息，以及与该数字证书相对应的准入端鉴权密钥、网络验证算法信息、准入端验证算法信息和云端通信密钥算法信息。所述的准入端鉴权密钥和移动终端应用模块的终端鉴权密钥相互唯一匹配，进行加密/解密。且准入端鉴权密钥的加密过程具有不可逆性，只有使用与之唯一匹配的终端鉴权密钥才能解密。同理，终端鉴权密钥的加密过程具有不可逆性，只有使用与之唯一匹配的准入端鉴权密钥才能解密。所述准入端验证算法用于校验来自移动终端的反馈结果。反馈结果由该移动终端应用模块的终端验证算法运算产生。所述云端通信密钥与该移动终端应用模块的终端通信密钥相互唯一匹配，对数据进行加密/解密处理，且其过程具有不可逆性。准入服务系统可以根据移动终端应用模块数字证书，查询数据记录，获取准入端鉴权密钥、网络验证算法信息、准入端验证算法信息和云端通信密钥算法信息。图5所示是本发明移动终端注册过程示意图。安装有移动终端应用模块的移动终端103与云网络接入服务器102间建立通信协议连接107。移动终端向接入服务器发送注册申请消息501。注册申请消息的内容包括时间戳、移动终端标识、移动终端应用模块数字证书等信息。接入服务器收到注册申请消息后，向准入服务系统106发送注册请求消息 502，消息内容包括时间戳，接入服务器代码、移动终端标识、移动终端应用模块数字证书等信息。步骤503准入服务系统根据注册请求消息内容，判断是否允许该移动终端注册。若准入服务系统拒绝该移动终端的注册申请请求，准入服务系统向接入服务器发送注册反馈消息504，消息内容为注册失败。否则，准入服务系统分配移动终端网络代码，并向接入服务器发送注册反馈消息504，消息内容包括注册成功信息和移动终端网络代码。接入服务器根据注册反馈消息内容填充注册答复消息505，并发至移动终端。步骤 506移动终端收到注册答复消息后，如果注册答复消息内容为注册失败，则停止后续操作。 如果注册答复消息内容为注册成功，则移动终端保存移动终端网络代码。
图6所示是本发明准入服务系统处理注册请求消息过程示意图。步骤601准入服务系统收到注册请求消息502。步骤602准入服务系统根据注册请求消息内容中移动终端标识，查询注册记录，判断该移动终端是否已经注册。步骤603若该移动终端已经注册， 准入服务系统检验注册请求消息中，携带的移动终端标识和移动终端应用模块数字证书信息，是否与注册关联关系记录中移动终端标识和移动终端应用模块数字证书信息相匹配。 若不匹配，步骤604准入服务系统拒绝该移动终端的注册请求，并向接入服务器发送注册反馈消息504，消息内容为注册失败。若移动终端标识和移动终端应用模块数字证书信息与注册关联关系记录匹配，步骤605准入服务系统查询注册关联关系记录，获得已为该移动终端分配的移动终端网络代码，并进入步骤607。步骤606若查询注册记录，发现该移动终端尚未注册，准入服务系统为移动终端分配移动终端网络代码。移动终端网络代码可以唯一标识移动终端设备。准入服务系统建立注册关联关系记录。注册关联关系记录中，移动终端标识和移动终端应用模块数字证书之间，具有相互唯一对应关系，并且移动终端标识和移动终端网络代码之间，具有相互唯一对应关系。步骤607准入服务系统将移动终端网络代码，注册成功信息填入注册反馈消息 504，并发至接入服务器。图7所示是本发明移动终端访问云网络过程示意图。当移动终端103访问云网络 101时，首先移动终端与云网络接入服务器102建立通信协议连接107。移动终端向接入服务器发送终端接入请求消息701。终端接入请求消息内容包括时间戳、移动终端标识等信息。接入服务器收到消息后，向准入服务系统发送接入请求消息702。接入请求消息内容包括时间戳、接入服务器代码、移动终端标识等信息。步骤703准入服务系统根据接入请求消息内容中移动终端标识信息，查询数据记录，获取与该移动终端相对应的准入端鉴权密钥、 网络验证算法信息、准入端验证算法信息和云端通信密钥算法信息。步骤704准入服务系统根据网络验证算法信息、准入端验证算法信息和云端通信密钥算法信息，运算生成一组鉴权参数，包括鉴权参数序号、鉴权参数、验证令牌、校验码和云端通信密钥。这些参数具有以下特性移动终端可以将验证令牌输入移动终端应用模块的网络验证算法进行校验运算，用以检验所驻留云网络的合法性；移动终端可以将鉴权参数和验证令牌输入移动终端应用模块的终端验证算法进行运算，得到鉴别反馈结果，并将鉴别反馈结果发送至准入服务系统。准入服务系统通过校验码来校验鉴别反馈结果，以此来检验移动终端访问权限的合法性；移动终端可以将终端鉴权密钥、鉴权参数、验证令牌输入移动终端应用模块的终端通信密钥算法进行运算，得到终端通信密钥。终端通信密钥与准入服务系统的云端通信密钥相互唯一匹配，对移动终端和接入服务器间交互的数据进行加密/解密，且其加密/解密过程具有不可逆性。步骤705准入服务系统利用准入端鉴权密钥，将鉴权参数序号、鉴权参数和验证令牌加密，产生鉴权参数序列。准入服务系统将接入服务器代码、移动终端网络代码和鉴权参数序列填入鉴别请求消息706中，并将消息发送给接入服务器。接入服务器收到鉴别请求消息后，将移动终端网络代码和鉴权参数序列填入终端鉴别请求消息707中，发送给移动终端。步骤708移动终端收到终端鉴别请求消息后，利用终端鉴权密钥解析鉴权参数序列，获得原始的鉴权参数序号、鉴权参数和验证令牌。步骤709移动终端将验证令牌输入网络验证算法进行校验运算，以此判断所驻留云网络的合法性。步骤710，网络验证通过后，移动终端将鉴权参数和验证令牌输入终端验证算法进行运算，得到鉴别反馈结果，并将移动终端网络代码和鉴别反馈结果填入终端鉴别反馈消息711中，发给接入服务器。接入服务器收到终端鉴别反馈消息后，将接入服务器代码和终端鉴别反馈消息内容填入鉴别反馈消息712中，发给准入服务系统。步骤713准入服务系统收到鉴别反馈消息后，根据消息内容中移动终端网络代码，利用之前运算生成的校验码，来对消息中鉴别反馈结果进行校验运算。如果校验失败， 则认为该移动终端不具有访问云网络的权利，准入服务系统将移动终端网络代码和拒绝接入信息填入鉴别结果反馈消息714中，发给接入服务器。如果校验通过，则认为该移动终端具有访问云网络的权利。准入服务系统将移动终端网络代码、云端通信密钥和允许接入信息填入鉴别结果反馈消息714中，发给接入服务器。步骤715接入服务器收到鉴别结果反馈消息后，如果消息内容为拒绝接入，则接入服务器将移动终端网络代码和拒绝接入信息填入终端接入答复消息716中，发送给移动终端。如果鉴别结果反馈消息内容为允许接入，则接入服务器将移动终端网络代码、允许接入信息填入终端答复消息716中，发送给移动终端，并保存鉴别结果反馈消息中移动终端网络代码和云端通信密钥信息。接入服务器启用云端通信密钥。步骤717移动终端收到终端接入答复消息后，如果消息内容为拒绝接入，移动终端删除相关的鉴权参数序号、鉴权参数和验证令牌，停止对云网络的访问。如果消息内容为允许接入，则移动终端将鉴权参数和验证令牌输入移动终端应用模块的终端通信密钥算法进行运算，获得终端通信密钥。移动终端启用终端通信密钥，可以顺利访问云网络。移动终端访问云网络的准入鉴别过程结束。以上对本发明所涉及的系统和技术方法做了详细阐述。本文采用递进形式描述， 各实例间相同相似的部分可相互参见。以上阐述用于帮助理解本发明的系统和方法，对于本领域技术人员，依据本发名的思想，在具体实施方式
和应用范围可有所改变。综上所述， 本说明书内容不应理解为对本发明的限制。
权利要求
1.一种云网络准入鉴别技术方法，其特征在于，包括 移动终端安装移动终端应用模块；移动终端可与接入服务器建立通信协议连接；移动终端发送注册申请消息，申请移动终端设备注册；准入服务系统为移动终端分配移动终端网络代码，建立注册关联关系记录；移动终端发送终端接入请求消息，申请访问云网络；准入服务系统运算产生鉴权参数序列；移动终端利用终端鉴权密钥解析鉴权参数序列；移动终端通过网络验证算法判断云网络的合法性；移动终端通过终端验证算法运算产生鉴别反馈结果；移动终端发送鉴别反馈结果信息至准入服务系统；准入服务系统通过校验鉴别反馈结果信息，判断移动终端访问权限的合法性； 若移动终端具有合法访问身份，准入服务系统发送云端通信密钥至接入服务器； 接入服务器启用云端通信密钥； 移动终端计算产生终端通信密钥，并启用终端通信密钥。
2.根据权利要求1所述的方法，其特征在于所述注册申请消息内容包括时间戳、移动终端标识、移动终端应用模块数字证书； 所述注册关联关系是，移动终端标识和移动终端应用模块数字证书具有相互唯一对应关系、移动终端标识和移动终端网络代码具有相互唯一对应关系； 所述终端接入请求消息内容包括时间戳、移动终端标识；所述鉴权参数序列由鉴权参数序号、鉴权参数和验证令牌通过准入端鉴权密钥加密计算得到；所述网络验证算法使用验证令牌进行运算，用以检验所驻留云网络的合法性； 所述终端验证算法使用鉴权参数和验证令牌进行运算，生成鉴别反馈结果。
3.根据权利要求1所述的方法，其特征在于所述终端鉴权密钥由移动终端所拥有，与准入服务系统的准入端鉴权密钥相互唯一匹配，进行加密/解密，且其过程具有不可逆性；所述鉴别反馈结果由准入服务系统根据相应的校验码对其进行校验运算，以及检验移动终端访问权限的合法性；所述鉴权参数序号、鉴权参数、验证令牌和校验码均由准入服务系统运算产生； 所述云端通信密钥由准入服务系统运算产生；所述终端通信密钥由移动终端使用鉴权参数和验证令牌，根据终端通信密钥算法运算产生；所述云端通信密钥与终端通信密钥相互唯一匹配，对接入服务器和移动终端间交互的数据进行加密/解密处理，且其加密/解密过程具有不可逆性。
4.根据权利要求3所述的方法，其特征在于所述准入服务系统为每个移动终端仅分配一个移动终端网络代码； 所述每个移动终端应用模块拥有唯一的终端鉴权密钥，不同移动终端应用模块间的终端鉴权密钥均不相同；所述准入服务系统，记录所有已知移动终端应用模块数字证书信息，以及与该数字证书相对应的准入端鉴权密钥、网络验证算法信息、准入端验证算法信息和云端通信密钥算法{曰息。
5.根据权利要求4所述的方法，其特征在于所述移动终端应用模块仅拥有一个移动终端数字证书，任意两个移动终端应用模块所拥有的数字证书均不相同；所述每个移动终端仅安装一个移动终端应用模块； 所述每个移动终端应用模块仅安装于一个移动终端；所述移动终端网络代码，由准入服务系统分配，能够唯一标识移动终端，任意两个移动终端的移动终端网络代码均不相同；所述算法包括数学和逻辑的运算公式，运算过程和运算方法。
6.根据权利要求1至5任一项所述的方法，其特征在于所述云网络，包括互联网、广域网、局域网、有线网络、无线网络等可提供云计算和云服务的网络；所述通信协议连接，由通信双方或者多方，基于网络通信协议或者无线通信协议建立的，可用于数据传输的连接；所述通信协议可以是业界标准通信协议，也可是非标准通信协议；所述移动终端包括便携式电子设备，个人电子设备和移动电子设备；所述移动终端网络代码，由准入服务系统分配，能够唯一标识移动终端设备的标识信息；所述移动终端标识，移动终端标识是可以唯一标识移动终端设备的识别信息，可包括 移动终端内部硬件设备的标识信息、移动终端所安装软件的软件证书信息、移动终端所拥有的经过授权使用的数字证书信息；所述移动终端内部硬件设备的标识信息可以唯一的标记移动终端内部硬件设备，可包括中央处理器产品序列号、NFC(Near Field Communication)卡标识、通信网卡硬件序列号、网卡 MAC (Media Access Control)地址信息、SIM 卡号(Subscriber Identity Module 客户识别模块)等硬件识别信息；所述软件证书信息包括软件使用许可证信息、软件所拥有的数字证书等信息； 所述经授权使用的数字证书信息是经过合法授权的，移动终端所拥有的数字证书信肩、ο
7.一种云网络准入鉴别系统，其特征在于，包括移动终端应用模块、云网络接入系统、准入服务系统；所述移动终端应用模块包括逻辑处理单元，处理移动终端应用模块内部的各种进程和逻辑状态； 运算处理单元，具有数学和逻辑运算功能； 数据存储单元，存储移动终端相关数据和记录信息； 加密/解密处理单元，对数据进行加密/解密处理； 通信单元，具有建立通信协议连接功能； 所述云网络接入系统由若干接入服务器组成；所述接入服务器包括 所涉及的接入服务器包括中央处理模块，处理接入服务器内部的各种进程和逻辑状态；运算处理模块，具有数学和逻辑运算功能；数据存储模块，存储数据信息和历史记录；加密/解密处理模块，对数据进行加密/解密处理；通信模块，具有建立通信协议连接功能；所述准入服务系统包括中央处理模块，处理准入服务系统的各种进程和逻辑状态； 运算处理模块，具有数学和逻辑运算功能； 数据存储模块，存储数据信息和历史记录； 加密/解密处理模块，对数据进行加密/解密处理； 通信模块，具有建立通信协议连接功能。
8.根据权利要求7所述的移动终端应用模块，其特征在于 所述移动终端只能安装一个移动终端应用模块；当移动终端具有建立通信协议连接功能时，所述移动终端应用模块与移动终端通信协议接口衔接；当移动终端不具有建立通信协议连接功能时，所述移动终端应用模块可建立通信协议连接。
9.根据权利要求7所述接入服务器，其特征在于 所述多个接入服务器相互连接，组成云网络接入系统； 所述接入服务器可与移动终端建立通信协议连接；所述接入服务器可同时为多个移动终端提供云网络接入服务； 所述接入服务器可与准入服务系统相连接。
10.根据权利要求7所述准入服务系统，其特征在于 所述准入服务系统可与多个接入服务器连接；所述准入服务系统可用于部分或者全部云网络的准入鉴别应用； 所述准入服务系统可记录移动终端的注册信息和访问记录信息。
全文摘要
本发明涉及云网络访问准入技术领域，公开了一种云网络准入鉴别系统和云网络准入鉴别技术方法。所述系统包括移动终端应用模块，云网络接入系统和准入服务系统。所述方法包括移动终端申请终端设备注册；准入服务系统分配移动终端网络代码；移动终端申请访问云网络；准入服务系统运算产生鉴权参数序列；移动终端验证云网络的合法性；移动终端运算产生鉴别反馈结果信息；准入服务系统校验判断移动终端访问权限的合法性；接入服务器启用云端通信密钥；移动终端启用终端通信密钥。利用本发明所涉及的系统和方法，云网络可以有效的鉴别移动终端访问权限的合法性，并且移动终端可以验证鉴别其所驻留云网络的合法性。
文档编号H04L29/06GK102347957SQ20111036928
公开日2012年2月8日 申请日期2011年11月18日 优先权日2011年11月18日
发明者王鑫 申请人:王鑫