专利名称：电力云系统中基于社交特性的统一身份认证方法
技术领域：
本发明涉及移动通信技术领域，尤其涉及电力云系统中的信息加密和认证技术。
背景技术：
近年来发展智能电网已在世界范围内形成共识，随着以信息化、自动化、互动化为特征的智能电网建设的全面展开，如何满足智能电网快速、可靠、安全的计算要求以及新型控制技术与控制策略和措施的需要是电网企业新形势下面临的挑战。面对这些海量、分布式、多源异构的信息，常规的数据存储与管理方法难以满足智能电网的要求。云计算技术以其超大规模、高弹性计算和存储能力、高数据安全性以及高性价比等特点，较好地适应了智能电网发展的需求，因此通过建立基于云计算平台的智能电网(简称电力云)，将为解决电力系统各种复杂的计算问题提供新的途径，有助于实现电力系统在线运行分析与优化控制。云计算的巨大优势在IT行业获得了充分的认可，并有大量商业云已经开始提供云服务。但是在电力系统中的应用和研究还停留在初级阶段。其主要问题是电力属于公共基础设施，对数据安全性、系统稳定性及业务的复杂性等方面有较高的要求。庞大的电力系统中由于业务的不同往往需要多种业务系统，目前主要的业务系统有电力办公自动化信息系统(0A)、电力ERP系统、电力生产管理系统(PMS)、电力营销管理信息系统(CIS)、电力MAIL系统、电力电量交易系统等，而且在不同业务系统间存在大量的跨系统操作。将这些种类繁多，任务复杂的业务系统放在私有电力云中，能够在提高运行效率和增强安全性和可靠性的情况下降低运行成本。由于各业务系统中的用户账号都是相对独立的，相同的账号在不同的系统中的权限也的相对独立的，如果简单的将业务系统全部移植到电力云中，将会导致的问题有(I)用户需要在各不同业务系统中登记注册，由于系统较多，用户账号或密码遗忘现象时有发生，或者一套简单用户名和密码多系统使用，造成保密强度降低；(2)用户账号和使用权限随着业务系统的不同而不同，对系统管理员要求较高。(3)跨业务系统的操作需要多次身份认证，操作复杂且效率低下。用户对于便捷且安全的接入各业务系统的需求十分迫切。由Justin Zhan提出的一种基于PKI (公钥基础设施)的手机社交认证协议，只能应用于用户通过手机接入网络时的身份认证，而不能应用于其它终端接入网络时的身份认证，这就给用户接入电力云系统的身份认证带来一定的局限性。
发明内容
本发明针对电力云系统中跨业务系统的操作仅需要一次身份认证，通过统一身份认证平台获取等级不同的令牌，可以在各不同业务系统之间实现应用漫游，操作简单且效率高。本发明是基于用户行为的社交认证，基于用户行为的社交认证协议提供了一种部署在电力云各业务系统便捷且安全的统一身份认证机制，利用用户手机具有的社交特性，通过传递用户和好友之间的信任，达到认证用户身份的目的。通过建立用户名与用户手机的映射关系，达到当用户使用其它终端接入业务系统时，利用票据认证用户身份的合法性。
该身份认证系统包括用户群、电力云系统、统一认证平台，其中用户端包括接入终端、用户手机；电力云系统包括各业务系统和其对应的认证接口 ；统一认证平台包括认证服务器PKI (公钥基础设施)和业务系统的应用服务器。本发明电力云系统中身份认证具体步骤如下用户在统一认证平台的认证中心注册，登记用户名、用户手机号码、好友的电话列表。认证中心通过PKI服务为用户和好友分配密钥。用户和好友手机端权重计算模块根据用户的交互事件信息(如通话，短信，蓝牙及红外接入信息等)判断是否达到认证要求并计算出认证权重，认证票据生成模块通过认证票据与密钥安全管理模块获得密钥，通过权重计算模块获得认证权重后，生成认证票据，并发送给对方。用户通过相互的通信行为不断收集好友的认证票据。当用户通过终端接入电力云中的业务系统时，只须提交用户名。业务系统检查其是否拥有认证中心发放的令牌，若有令牌则进行令牌有效性判定；若没有，则将接入请求的身份认证工作转发给统一认证平台的认证中心,认证中心根据接入请求中的用 户名，向关联的用户手机发出身份认证请求，用户手机收到请求且当用户点击确认后，将收集到的所有认证票据发送给认证中心。认证中心根据认证票据审核用户的身份是否合法以及生成令牌的等级，若合法，则向其发放一个令牌；若不合法，则阻止用户访问该业务系统。用户携带该令牌重新访问该业务系统，业务系统获取用户携带的令牌，提交到认证中心进行有效性检查和身份信息获取，若令牌通过有效性检查，则认证中心允许用户以此身份信息进行业务系统的各种操作；若令牌未通过有效性检查，则阻止用户访问该业务系统。通过统一身份认证平台用户获取到有相应的有等级令牌，进而用户可以在其权限范围内实现各个业务系统之间的应用漫游。所述生成认证票据具体为用户注册时建立用户名和用户手机映射关系，好友Bob的手机Bphrare通过权重计算模块获得交互事件的认证权重Iba，添加用户标识A和认证票据的有效期Tvalid,并用Bob的私钥Ksb加密，生成认证票据{A，Iba, TvalidIKsb,在认证票据中添加时间戳Tab，用户Alice的手机Aph_获得好友手机Bphrare发来的认证票据信息为{{A, Iba, TvalidI Ksb, TaJ Kpa0用户手机Aptone向认证中心发送的认证消息添加了好友手机Bphme的认证票据消息{{A，Iba, TvalidIKsb, {Tas, MjKsJKps0认证中心收到用户Alice的认证消息后，步骤SI :使用认证中心的私钥Kss和用户Alice的公钥Kpa解密认证消息后获得时间戳Tas、用户Alice的用户认证标KA1的原始散列值M和好友Bob对Alice的认证票据；步骤S2:使用好友Bob的公钥Kpb解密认证票据，得到各张票据中的用户标识，并对认证对象的用户标识进行Hash运算产生散列值D，检验各张票据中的D与M是否一致，随后检验各票据中的认证票据有效期Tvalid是否有效，累计合法的认证票据的总张数。当合法票据超过一定数量时，认证中心则认为用户的身份合法，并根据认证票据中的认证权重Ixb生成不同等级的令牌。认证中心根据用户访问电力云业务系统的权限等级Wba生成含有用户Alice身份信息的等级令牌{{A，Wba，TsJKsJKpa，发送到接入用户关联的手机，用户手机令牌管理模块用自己的私钥Ksa解密得到{A, Wba，TsJ Kss,在对其进行加密得到{{A, Wba，TsJ Kss, {M, TaJ KsJKps,用户携带{{A, Wba，TsJKss, {M, TJKJKps再次访问电力云业务系统。本发明利用手机通讯网络中对通信对方身份确认的特征，提供了一种便捷且安全的统一身份认证方法。首先，该方法通过单点登录就可以根据相关的规则去访问电力云中不同的业务系统，有效降低了用户接入电力云中不同业务系统时操作的复杂度，提高资源的利用率，增强系统的稳定性。其次，该方法取代了传统的帐号/密码的认证方式，能够有效的抵御现有的各种木马、病毒及黑客攻击。攻击者通过监视、盗取等方式是无法成功进行身份认证，由此提高了认证的安全性。同时，用户手机与认证服务器之间的认证过程在手机后台完成，只需要用户点击确认，无记忆负担，用户参与度低，方便了用户的使用。说明书附I是本发明的实施结构示意图；图2是本发明的手机端结构图；图3是本发明的主要认证消息示意图；图4是本发明的认证中心认证流程图。
具体实施例方式下面结合附图
对本发明的具体实施作进一步的详细阐明。如图I所示为本发明的系统结构图。其中包括用户Alice和用户的手机好友群，用户Alice包括用户使用的接入终端(如PC)和用户手机Aph·，用户好友群如Bob同样包含这两部分；电力云系统包括不同业务系统和其相应的认证接口 ；统一认证平台包括PKI服务器和应用服务器。如图2所示为手机端(包括用户手机和好友手机)原理示意图，包括数据通信模块(Ml)、票据与密钥安全管理模块(M2)、认证票据生成模块(M3)、令牌管理模块(皿4)、权重计算模块(厘5)。以下针对图I所示，具体说明本发明通过智能手机安全认证过程。认证中心通过PKI服务为用户和好友分配密钥。用户接入终端和好友手机端权重计算模块根据用户的交互事件信息计算认证权重，认证票据生成模块通过认证票据与密钥安全管理模块获得密钥，通过权重计算模块获得认证权重后，生成认证票据，并发送给对方；当用户终端接入电力云业务系统，电力云业务系统检查其是否拥有认证中心发放的令牌，若有令牌则进行令牌有效性判定，若没有，将用户终端接入请求转发至认证中心，认证中心向关联的用户手机发出身份认证请求，用户手机确认并将收集到的所有认证票据发送给认证中心，认证中心根据认证票据审核用户的身份并生成令牌等级，如身份合法，则向用户发放一个令牌；用户携带该令牌访问电力云中各业务系统，业务系统获取用户携带的令牌，提交到认证中心进行有效性检查和身份信息获取，若令牌通过有效性检查，则认证中心允许用户以此身份信息进行业务系统的各种操作；若令牌未通过有效性检查，则阻止用户访问该业务系统。通过统一身份认证平台用户获取到相应等级令牌，进而用户可以在其权限范围内实现各个业务系统之间的应用漫游。上述技术方案具体实现步骤如下步骤I :当用户手机和好友手机端检测到符合认证要求的交互事件发生时，用户和好友的手机端均生成认证票据并发送给对方；步骤2 :用户手机通过其他终端登陆接入电力云业务系统；步骤3 :电力云业务系统服务器检查其是否拥有令牌，若有令牌则进入步骤6，若没有，则向认证中心发生身份认证请求，由认证中心进行身份认证；步骤4 :认证中心收到身份认证请求后，向关联的用户手机确认，当确认用户后，用户手机将收集到的全部认证票据发送到认证中心；步骤5 :认证中心根据认证票据包含的信任信息审核用户的身份，若用户身份合法则向其发送生成的含有等级的令牌，若用户身份不合法，则拒绝访问业务系统；步骤6 :用户携带获取的等级令牌访问相关业务系统；步骤7，业务系统获取用户携带的令牌，提交到认证平台进行有效性检查和身份信息获取；步骤8 :若令牌通过有效性检查，认证中心允许用户进行其权限范围内不同电力云业务系统的相关操作，若令牌未通过有效性检查，则会拒绝用户访问电力云的业务系统。下面分别对新用户加入、认证票据分发、身份认证三个阶段进行阐述。I.新用户加入系统过程，具体步骤为当有新用户加入申请进入电力云系统，用户手机向认证中心提交用户名、手机号码、用户相关信息，及欲建立好友关系的联系人手机号码列表。认证中心根据好友列表通知联系人建立好友请求，当联系人手机回复确认信息后，建立好友关系列表。认证中心通过公钥基础设施PKI服务器为用户和用户好友分配密钥。2.认证票据分发过程，具体步骤为
用户手机和联系人发生通信行为时，认证票据生成模块(M3)检测通信对象是否为好友。若为好友，认证权重计算模块(M5)检测交互事件是否达到交互事件判断门限。当交互事件达到判断门限时，根据交互事件信息计算出认证权重。认证票据生成模块(M3)通过认证权重计算模块(M5)获得认证权重，通过票据与密钥安全管理模块(M2)获得加密密钥后生成认证票据，并通过数据通信模块(Ml)发送给好友。如图3所示本发明主要认证消息的构成示意图，用户和其好友各自收、发对方的认证票据信息。用户好友手机Bph■发送给用户手机Aph■的认证票据的信息即LI的构成为{{A，Iba, TvalidIKsb, TaJKpa0其中认证票据生成具体包括Bph_首先通过权重计算模块(M5)获得此次交互事件的认证权重Iba，然后添加Alice用户标识A和此认证票据的有效期Tvalid,最后Bob使用自己的私钥Ksb对用户标识A、Iba和票据有效期Tvalid进行签名，获得认证票据{A，Iba, TvalidIKsbo由于Ksb只有用户Bob知道，这样保证了认证中心能够确信这张认证票据是由Bob发出的。为了保证消息只有用户手机Aphrare能够解密获得认证票据，在发送认证票据的消息中添加时间戳Tab，最后使用用户Alice的公钥Kpa加密认证票据和Tab，形成发送认证票据信息，由于此消息只能使用用户Alice的私钥Ksa才能解密，且只有用户Alice拥有Ksa，所以只有用户手机Aphrare能够获得认证票据。当用户手机Aphrare收到好友手机Bptone发来的认证消息时，使用Ksa解密消息，验证消息中时间戳Tab的及时性并检查认证票据{A，Iba, TvalidIKsb的有效性。当认证票据有效时，将认证票据交由用户手机Aptone的认证票据与密钥安全管理模块保存。其中认证票据与密钥安全管理模块标记所有认证票据的接收时间，定时删除超期的认证票据。3.用户身份认证过程，具体步骤为图4是本发明的认证中心认证流程图。用户通过终端接入电力云各业务系统时，由认证中心完成身份认证功能。认证中心利用请求中的用户联系对应的用户手机，要求身份认证，用户手机将收集到的认证票据发送到认证中心，认证中心根据用户手机发来的认证票据进行身份认证，若合法，则生成相应的等级令牌。用户携带该令牌重新访问业务系统，认证服务器对令牌进行有效检查，若令牌通过有效性检查，则认证中心允许用户以此身份信息进行权限范围内各业务系统的不同操作；若令牌未通过有效性检查，则会拒绝用户访问业务系统。如图3中用户Alice向认证中心发送的添加了好友Bob的认证票据的认证消息为{{A，Iba, TvalidIKsb, {Tas, M}KsJKps，其中M是用户认证标识A1经过Hash算法后产生的原始散列值。参照图3，认证中心收到用户Alice的认证消息后处理流程为步骤SI :使用认证中心的私钥Kss和用户Alice的公钥Kpa解密认证消息后获得时间戳Tas、用户认证标识A1的散列值M和好友Bob对Alice的认证票据，通过Tas验证消息的及时性,从而抵御重放攻击。由此认证中心获得好友Bob对Alice的认证票据。步骤S2 :使用好友Bob的公钥Kpb解密认证票据，得到各张票据中的用户标识A，并对用户标识A进行Hash运算产生散列值D，检验各张票据中的D与M是否一致，随后检验各票据中的认证票据有效期Tvalid是否有效。步骤S3 :累计合法的认证票据的总张数。当合法票据超过一定数量时，认证中心则认为用户的身份合法，并根据认证票据中的认证权重Ixb生成不同等级的令牌。认证中 心进行身份认证时生成令牌的等级根据业务系统对安全性的需求确定。当业务系统的安全性要求高时，则设定的需要的令牌的等级就高。对安全性要求低时，则要求的令牌的等级就低。由于Kss是认证中心的私钥，所以只有认证中心能够成功进行第一次解密。然后，当用Alice的公钥Kpa解密后，认证中心可以确信此消息是由用户Alice发送的。最后，使用Bob的公钥Kpb成功解密认证票据后，认证中心相信这张认证票据是用户好友手机Bph■生成的，且确信好友Bob相信用户Alice的身份是合法的。当认证中心收集到多张合法的认证票据时，相当于获得了多人对用户Alice的身份确认，由此认证中心则可以审核用户的身份是否可信，若可信则生成含有用户Alice身份信息的等级令牌{{A, Wba, TsJ KsJ Kpa,并发送到用户手机，其中Wba代表用户Alice访问电力云业务系统的权限等级。用户手机令牌管理模块用自己的私钥Ksa解密得到{A，Wba, TsJ Kss,在对其进行加密得到{{A, Wba, TsJ Kss, {M, TaJKsJKps,用户携带{{A，Wba，Tsa}Kss，{M，TJKps再次访问业务系统，认证中心用其自身私钥Kss和Alice的公钥Kpa对其解密得到用户认证标识A1的散列值M，再用认证中心的公钥Kps解密得到用户标识A，并对其进行Hash运算得到其散列值D，检查认证二者是否一致，若一致则说明用户Alice合法，认证中心允许用户Alice在不同的业务系统之间访问，即实现单点登录跨业务系统访问的功能。通过以上消息传递实现了社交网络中用户间的信任，并将信任信息传递给认证服务器，并以此作为依据对用户的身份进行认证。本发明利用手机通讯网络中对通信对方身份确认的特征，提供了一种便捷且安全的统一身份认证机制，该机制可以有效的降低用户接入电力云中不同业务系统时操作的复杂度，提高资源的使用率，增强系统的稳定性。该机制取代了传统的帐号/密码的认证方式，能够有效的抵御现有的各种木马、病毒及黑客攻击。攻击者通过监视、盗取等方式是无法成功进行身份认证，由此提高了认证的安全性。同时，用户手机与认证服务器之间的认证过程在手机后台完成，只需要用户的确认操作，无记忆负担。认证过程用户参与度低，方便了用户的使用。
权利要求
1.电力云业务系统中基于社交特性的统一身份认证方法，其特征在于，所述方法包括认证中心为用户手机和好友手机分配密钥，权重计算模块根据用户的交互事件信息计算认证权重，认证票据生成模块获得密钥，根据认证权重生成认证票据，并发送给对方；与用户手机关联的终端向认证中心发送接入请求，认证中心向用户手机发出身份认证请求，用户手机确认并将收集到的所有认证票据发送给认证中心，认证中心根据认证票据审核用户的身份并生成等级令牌，用户携带该等级令牌访问电力云中各业务系统，业务系统获取用户携带的令牌，提交到认证中心进行有效性检查和身份信息获取，若令牌通过有效性检查，则认证中心允许用户以此身份信息进行业务系统的各种操作；若令牌未通过有效性检查，则阻止用户访问该业务系统。
2.根据权利要求I所述的安全认证方法，其特征在于，所述生成认证票据具体为用户注册时建立用户名和用户手机映射关系，好友手机Bph ■通过权重计算模块获得交互事件的认证权重Iba，添加用户标识A和认证票据的有效期Tvalid,并用Bob的私钥Kab加密，生成认证票据{A, Iba, Tvalid} Ksb,在认证票据中添加时间戳Tab,用户手机Aphme获得好友手机Bptone发来的认证票据信息为{{A, Iba, Tvalidl Ksb，Ta^} Kpa ο
3.根据权利要求I所述的安全认证方法，其特征在于，用户手机Aph·向认证中心发送的认证消息添加了好友手机Bph■的认证票据消息，其构成为{{A，Iba, TvalidIKsb, {Tas, M}KsJKps，其中M为用户手机Aph_的用户认证标识的原始散列值。
4.根据权利要求3所述的安全认证方法，其特征在于，认证中心收到用户Alice的认证消息后，步骤SI :使用认证中心的私钥Kss和用户Alice的公钥Kpa解密认证消息后获得时间戳Tas、用户认证标识A1的原始散列值M和好友Bob对Alice的认证票据；步骤S2 :使用好友Bob的公钥Kpb解密认证票据，得到各张票据中认证对象的用户标识，并对认证对象标识进行Hash运算产生散列值D，检验各张票据中的D与M是否一致，随后检验各票据中的认证票据有效期Tvaild是否有效，累计合法的认证票据的总张数，当合法票据超过预定数量时，认证中心认为用户的身份合法，并根据认证票据中的认证权重Ixb生成不同等级的令牌。
5.根据权利要求1-4其中之一所述的安全认证方法，其特征在于，认证中心根据用户访问电力云业务系统的权限等级Wba生成含有用户Alice身份信息的等级令牌{{A, Wba, TsJKss}Kpa，发送到接入用户关联的手机，用户手机令牌管理模块用自己的私钥Ksa解密得到{A，Wba，Tsa}Kss，在对其进行加密得到{{A，Wba，Tsa}Kss，{M, TaJKps,用户携带{{A，Wba，TjKjKps再次访问电力云业务系统。
全文摘要
本发明请求保护一种电力云中的统一身份认证机制，涉及网络终端的用户身份认证方式，利用用户的手机具有的社交特性，通过传递用户和好友之间的信任，达到认证用户身份的目的。通过建立用户名与用户手机的映射关系，达到当用户使用其它终端接入业务系统时，利用手机票据认证用户身份的合法性，利用认证中心颁发的等级令牌实现用户在其权限范围内对电力云不同业务系统的相关操作。有效的提高了电力云的运行效率，改善了用户的使用体验，增强了业务系统的稳定性和可靠性，同时降低维护的复杂性。本机制可以广泛用于电力系统及相关领域。
文档编号H04W12/06GK102946603SQ201210427900
公开日2013年2月27日 申请日期2012年10月31日 优先权日2012年10月31日
发明者杨云, 徐焜耀, 白云庆, 聂静 申请人:重庆市电力公司