[发明专利]用于用户认证的方法和系统

说明书

用于电信网络中的用户认证的本发明的方法包括具有认证服务的认证服务器，并且包括有用户请求时的初始身份检查。本方法主要特征在于如由认证服务器执行的以下步骤，在所述步骤中，认证服务器接收用于用户的进一步认证的具有用户行为数据的请求，存储用户行为数据，通过使用算法来将初始身份与用户的先前信息匹配，如果用户的初始身份和用户的先前信息并未以预定方式匹配则执行用户的身份的进一步检查，以及报告该进一步认证的结果作为对请求的答复。本发明的系统具有用于执行本发明的方法的步骤的部件。本发明还涉及一种当在计算机可读介质中运行时执行本发明的方法的步骤的计算机程序产品。

技术领域

本发明涉及一种用于在包括具有认证服务的认证服务器的电信网络中的用户认证的方法和系统。本方法涉及到在用户请求用户服务时的用户的初始身份检查。

背景技术

由于互联网很容易被任何人访问，所以其使用涉及到不同种类的风险。在没有任何安全动作的情况下，所应对的人是未知的，并且个人信息可能被散播并利用。

互联网风险的示例是身份窃贼，他们使用其在线找到的信息来消耗银行账户或毁坏信用评级。一般地，关于例如受欢迎社交联网站点中的人们的信息可能被滥用或以对于用户而言不期望的方式被使用，甚至导致人们的金钱损失。

用于数据隐私的认证和动作因此被用作用以增加安全的方法。在互联网上控制一个人揭露出的关于其自己的信息和谁能够访问该信息的能力已经变成增长的忧虑。另一忧虑是收集、存储以及可能地共享关于用户的个人可识别信息的网站。

信息隐私或数据隐私（或数据保护）是数据的收集和传播、技术、隐私的公共期望以及围绕它们的法律和政治问题之间的关系。关于保护人们的隐私的立法在全世界变得越来越严格，并且连同例如关于使用互联网的风险一起，人们对其自己的隐私的保护变得越来越感兴趣。

隐私忧虑在个人可识别信息被收集和存储——以数字形式或其它方式——的任何地方都存在。不适当或不存在的公开控制可能是数据及其它隐私问题的根本原因。

并且授权（其是指定对资源的访问权限的功能）一般而言与信息安全和计算机安全并且特别是与访问控制有关。更正式地，“授权”是定义访问策略。在操作期间，系统使用访问控制规则来判定来自（已认证）消费者的访问请求应被批准（许可）还是不批准（拒绝）。

认证被用作针对对由服务提供商或者向通信网络提供的服务的未授权访问的防御。交换信息以验证用户的身份。该信息可以在两端处被加密。通过网络的认证是用于当远程客户端被允许访问网络服务器时启用安全的尤其重要的部分。

通过数据网络、尤其是比如互联网的公共数据网络的认证是困难的，因为客户端与服务器之间的通信易受到许多不同类型的攻击。

基本认证方案是用于使服务器从客户端请求口令。口令是用于用户认证的秘密的字或字符串。客户键入口令并将其发送到服务器。这种技术针对可以通过拦截客户端与服务器之间的通信来获悉秘密信息的窃听者而言是脆弱的。所捕捉的信息还可以被黑客在所谓的“重放攻击”中用来非法登录到系统上。

另一种攻击是欺骗攻击，其中，敌方假冒服务器，使得客户端相信其正在与合法服务器通信，然而其实际上正在与敌方通信。此外，在任何基于口令的认证协议中，存在口令将很弱且甚至很容易被猜到、使得其易受到字典攻击的可能性。字典攻击是通过测试大量的可能口令来执行的对口令的暴力攻击。

避免通过重放所捕捉的可再使用口令进行的攻击的一个解决方案是使用一次性口令（OTP）。一次性口令可以是例如一组口令中的一个口令，这样被构造使得极其难以计算该组中的下一口令或许可访客在有限时间（例如，一天）内访问的一次性口令系统。