一种对客户端进行认证方法及装置

摘要

本发明公开了一种对客户端进行认证方法及装置，通过两次验证完成对客户端的认证，避免了被类似SQL攻击从而绕过用户身份验证的可能性；再有，由于验证密码只出现在验证模块中，避免了由于存放在用户表中被猜中、被嗅探的可能。

主权项

一种对客户端身份进行认证的方法，其特征在于，包括：第一验证模块接收来自客户端的包含第一用户名和第一验证密码的验证请求；所述第一验证模块对所述第一用户名及所述第一验证密码进行第一次验证，获得第一验证结果；当所述第一验证结果表明所述第一次验证通过时，所述第一验证模块接收来自所述客户端的第二验证密码；所述第一验证模块将所述第一用户名和所述第二验证密码发送给第二验证模块；所述第一验证模块接收来自所述第二验证模块的第二验证结果，所述第二验证结果是所述第二验证模块对所述第一用户名和所述第二验证密码进行第二次验证后获得的；所述第一验证模块将所述第二验证结果发送给所述客户端;其中，第一验证模块将接收到的所述第一用户名和第二验证密码发送给第二验证模块的步骤包括：所述客户端用自身的公钥对第二验证密码进行加密，生成加密后的第二验证密码，将所述第一用户名和加密后的第二验证密码发送至第一验证模块；所述第一验证模块使用第一平台密钥对所述加密后的第二验证密码进行签名，生成签名后的第二验证密码，将所述第一用户名、加密后的第二验证密码和签名后的第二验证密码发送给第二验证模块；其中，对所述第二验证密码进行第二次验证的步骤包括：第二验证模块使用第一平台证书验证签名后的第二验证密码，若验证通过，则应用从所述第一验证模块获取的所述用户端的私钥解密加密后的第二验证密码，得到所述客户端的第一用户名和第二验证密码；第二验证模块向数据库系统请求第一用户名对应的已加密第三验证密码；所述数据库系统在本地查找已记录的与所述第一用户名对应的已加密第三验证密码，将所述已加密第三验证密码发送至第二验证模块；所述第二验证模块应用所述客户端的对称密钥对所述已加密第三验证密码进行解密，获得第三验证密码；判断所述第二验证密码与第三验证密码是否相同，若相同则生成认证通过的认证结果，否则生成认证未通过的认证结果。