CN1527530A - 网络连接系统 - Google Patents

Abstract

一种网络连接系统，包括客户机设备、鉴权服务器以及连接服务器。鉴权服务器对客户机设备的用户进行验证并且将客户机设备的网络地址发送到连接服务器。当从连接服务器接收到指示转变到连接等待状态的信息时，连接服务器的网络地址被发送到客户机。客户机设备将加密的用户名及口令发送到该网络地址。连接服务器11使用加密的用户名及口令来实施鉴权。

Description

网络连接系统

技术领域

本发明涉及一种可以从一个远端位置连接到本地网络等的网络连接系统。

背景技术

近年来，在与互联网连接环境的广泛应用相互协作的情况下，工作者的工作形式的种类正在不断增加。举例来说，由于远程接入服务(RAS)技术的发展，对于在家工作并同时属于一个企业的工作者而言，所谓的远程办公的工作形式是非常容易接受的，其中所述远程接入服务技术是用于从用户住宅等远端位置经由不同用户共享的网络来访问企业局域网，其中所述共享网络可以是互联网以及公共电话网。

在这种远程接入服务中，一般惯例是根据先前在本地网络中登记的用户名及口令而在本地网络侧执行鉴权，并且在鉴权之后，在远端位置与所接入的本地网络之间的网络(中间网络)上加密业务，以免企业使用的信息受到随意查阅。

日本专利申请特开平8-235114公开了一种技术，用于使每个终端从中间服务器获取连接到一个服务器所需要的信息，以便提供一种系统，所述系统能使一个甚至不保持多个服务器的用户鉴权信息的终端访问这些服务器，并且所述系统集总地管理这些服务器的收费。

然而，在如上所述的相关技术的远程接入服务中，业务是在鉴权之后才进行加密的，而用户名等鉴权信息则是按其原样分发的。因此，如果在中途网络中非法得到用户名，那么有可能进行未经授权的访问，其中非法获取的用户名被发送到本地网络侧，以便作为口令来进行任意攻击。

发明内容

因此本发明的一个目的是提供一种网络连接系统，该系统可以提高远程接入的安全性。

为了解决相关技术实例中的问题，根据本发明的第一个方面，网络连接系统包括一个客户机设备、一个鉴权服务器以及一个连接服务器。鉴权服务器包括：一个保持单元，用于保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一个连接服务器地址相关联；一个第一单元，在第一单元从客户机设备接收到连接请求的时候，用于获取来自客户机设备的用户标识信息并且获取客户机地址；以及一个第二单元，用于向具有与第二连接鉴权信息相关联的连接服务器地址的连接服务器发送所获取的客户机地址，并将连接服务器地址发送到已经发送了连接请求的客户机设备。客户机设备包括：一个第三单元，用于把第二连接鉴权信息作为用户标识信息，连同连接请求一起发送到鉴权服务器：一个第四单元，用于从鉴权服务器接收连接服务器地址；以及一个第五单元，用于将第一连接鉴权信息发送到具有所接收的连接服务器地址的连接服务器。连接服务器包括：第六单元，用于接收来自从鉴权服务器接收的客户机地址的连接；以及一个第七单元，用于使用从客户机地址发送的第一连接鉴权信息来执行鉴权处理。

第二连接鉴权信息可以是一个第一连接验证信息的消息摘要(message digest)。

为了解决相关技术实例中的问题，根据本发明的第二个方面，鉴权服务器与客户机设备以及连接服务器相连。鉴权服务器包括：一个保持单元，用于保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一个连接服务器地址相关联；一个第一单元，用于在第一单元从客户机设备接收到一个连接请求的时候，获取来自客户机识别的用户标识信息，并且获取客户机地址；以及一个第二单元，用于向具有与第二连接鉴权信息相关联的连接服务器地址的连接服务器发送所获取的客户机地址，并将连接服务器地址发送到已经发送了连接请求的客户机设备。

为了解决相关技术实例中的问题，根据本发明的第三个方面，一个客户机设备与一个鉴权服务器以及一个连接服务器相连。客户机设备包括：一个连接请求单元，用于把一个连接请求以及基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息发送到鉴权服务器；和一个单元，用于从鉴权服务器接收一个连接服务器地址，以便将第一连接鉴权信息发送到该连接服务器地址。

为了解决相关技术实例中的问题，根据本发明的第四个方面，一个连接服务器与一个鉴权服务器以及一个客户机设备相连。连接服务器包括：一个控制单元，用于从鉴权服务器接收客户机地址并且准许来自客户机地址的连接；以及一个鉴权单元，用于从具有被允许连接的客户机地址的客户机设备接收鉴权信息，以便使用鉴权信息来执行鉴权处理。

在包含客户机的网络连接系统中，根据本发明的第五个方面，网络连接系统包括一个客户机设备、一个鉴权服务器以及一个连接服务器。鉴权服务器包括：一个保持单元，用于保存使用第一加密方法进行加密的第一加密用户名和第一加密口令，同时将连接服务器地址与第一加密用户名及第一加密口令相关联；一个第一单元，用于在第一单元从客户机设备接收一个连接请求的时候，获取第一加密用户名以及第一加密口令，作为用于标识客户机设备的用户的标识信息，并且获取一个客户机地址；以及一个第二单元，用于在保持单元保存了用户标识信息的时候，将所获取的客户机地址发送到与用户标识信息相关联的连接服务器地址，并且从该连接服务器接收指示该连接服务器转变到连接等待状态的信息，以及将连接服务器地址发送到发出连接请求的客户机设备。客户机设备包括：一个第三单元，用于把经过第一加密方法加密的第一加密用户名以及第一加密口令连同连接请求一起发送到鉴权服务器；以及一个第四单元。用于从鉴权服务器接收连接服务器地址，并把使用第二加密方法对由用户输入的用户名及口令进行加密而产生的第二加密用户名以及第二加密口令发送到所接收的连接服务器地址。

因此，在鉴权服务器中对用户进行验证之前，客户机的用户是无法了解到连接服务器的网络地址的。此外，发送到鉴权服务器以及连接服务器的用户名等信息是使用第一和第二加密方法来加密的，所述加密方法例如可以是基于散列函数的加密以及以用户名及其他信息作为密钥给出随机信息的加密，由此可以防止用户名及其他信息泄漏并提高安全性。第一和第二加密方法可以互不相同，也可以是相同的。

为了解决相关技术实例中的问题，根据本发明的第六个方面，鉴权服务器与客户机设备以及连接服务器相连。鉴权服务器包括：一个保持单元，用于保存通过预定方法来进行加密的用户名及口令，同时将用户名及口令与一个连接服务器地址相关联；一个第一单元，用于在第一单元从客户机设备接收到一个连接请求的时候，获取加密用户名及加密口令，作为用于标识客户机设备的用户的标识信息，并且获取一个客户机地址；以及一个第二单元，用于在保持单元保存用户标识信息的时候，将所获取的客户机地址发送到与用户标识信息相关联的连接服务器地址，并且从该连接服务器接收指示该连接服务器转变到连接等待状态的信息，以及将连接服务器地址发送到发布连接请求的客户机设备。

为了解决相关技术实例中的问题，根据本发明的第七个方面，一个客户机设备与一个鉴权服务器以及一个连接服务器相连。客户机设备包括：一个连接请求单元，用于把经过第一加密方法加密的用户名以及口令连同一个连接请求一起发送到鉴权服务器；以及一个单元，用于从鉴权服务器接收一个连接服务器地址，并且使用第二加密方法来对用户输入的用户名和口令进行加密，以及把经过第二加密方法加密的用户名和口令发送到所接收的连接服务器地址。

在这里，客户机设备可以进一步包括：一个保持单元，用于保存本地鉴权信息，所述信息是先前从连接服务器提供的信息，该信息把客户机设备的特有信息与用户名和口令中的至少一个相关联；以及一个本地鉴权单元，用于在接收到用户输入的用户名和口令的时候产生所述特有信息，并且参考本地鉴权信息以及通过判定所接收用户名和所接收口令中的至少一个是否与所产生的特有信息相关联来对用户进行鉴权。只有当本地鉴权单元鉴权为用户有效的时候，连接请求单元才将用户名及口令与连接请求一起发送到鉴权服务器，其中所述用户名和口令是使用第一方法来加密的。

为了解决相关技术实例中的问题，根据本发明的第八个方面，连接服务器与一个客户机设备以及一个鉴权服务器相连。连接服务器包括一个单元，用于从鉴权服务器接收将要连接的客户机设备的地址，并且在一个预定时期允许来自所述地址的通信，此外还将指示连接服务器转变到连接等待状态的信息发送到鉴权服务器。

此外，为了解决现有技术实例中的问题，根据本发明的第九个方面，网络连接系统包括：一个客户机设备，一个用于把指导连接目的地的信息提供到客户机设备的鉴权服务器，以及一个连接服务器。客户机设备对客户机设备特有的第一鉴权信息进行计算，以便将第一鉴权信息预先登记到连接服务器，并从连接服务器获取将第一鉴权信息与预定的第二鉴权信息相关联的本地鉴权信息，以便保存本地鉴权信息。当用户指示一个针对连接服务器的连接请求时，客户机设备接收第二鉴权信息的输入，再次计算客户机设备特有的第一鉴权信息，通过使用所存储的本地鉴权信息来对所输入的第二鉴权信息与再次计算的第一鉴权信息之间的关联进行观察，并且使用第一加密方法来对第二鉴权信息进行加密，以便在断定关联成立的时候把使用第一加密方法加密的第二鉴权信息发送到鉴权服务器。客户机设备从鉴权服务器接收连接服务器地址，以此作为指导连接目的地的信息，并且将使用第二加密方法加密的第二鉴权信息发送到一个连接服务器地址，以及开始与连接服务器进行通信。

根据本发明的第十个方面，网络连接方法使用一个网络连接系统，所述系统包括一个客户机设备、一个鉴权服务器以及一个连接服务器。该方法包括：鉴权服务器保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一个连接服务器地址相关联，客户机设备将第二连接鉴权信息作为用户标识信息，连同一个连接请求一起发送到鉴权服务器，当鉴权服务器从客户机设备接收到连接请求的时候，从客户机设备获取用户标识信息并获取客户机地址，当用户标识信息符合第二连接鉴权信息时，将所获取的客户机地址发送到与第二连接鉴权信息相关联的连接服务器地址所标识的连接服务器，把连接服务器地址发送到发出连接请求的客户机设备，客户机设备从鉴权服务器接收连接服务器地址，并且将第一连接鉴权信息发送到所接收的连接服务器地址，连接服务器接收来自于从鉴权服务器接收的客户机地址的连接，以及使用从客户机地址发送的第一连接鉴权信息来执行一个鉴权处理。

此外，根据本发明的第十一个方面，网络连接方法使用一个网络连接系统，所述系统包括一个客户机设备、一个鉴权服务器以及一个连接服务器。该方法包括：鉴权服务器对使用第一加密方法加密的用户名和口令加以保存，同时把加密用户名及加密口令与连接服务器地址相关联，客户机设备把经过第一加密方法加密的用户名及口令连同一个连接请求一起发送到鉴权服务器，鉴权服务器从客户机设备接收连接请求，获取经过第一加密方法加密的用户名及口令，以此作为标识客户机设备的用户的信息，并且还获取一个客户机地址，当鉴权服务器保存了用于标识用户的信息时，将所获取的客户机地址发送到与标识用户的信息相关联的连接服务器地址，连接服务器从鉴权服务器接收将要连接的客户机设备的客户机地址，允许来自客户机设备的通信，将指示连接服务器转变到连接等待状态的信息发送到鉴权服务器，使用第二加密方法来对用户输入的用户名及口令进行加密，将使用第二加密方法加密的用户名及口令发送到由客户机服务器从鉴权服务器接收的连接服务器地址，以及使用经过第二加密方法加密并由连接服务器从客户机设备接收的用户名及口令来执行一个鉴权处理。

为了解决相关技术实例中的问题，根据本发明，提供了一种由连接到客户机及连接服务器的鉴权服务器执行的程序，用于使鉴权服务器执行以下步骤：保持基于连接服务器中使用的第一连接鉴权信息而产生的第二连接鉴权信息，其中第二连接鉴权信息与用于标识连接服务器的信息相关联；一旦从客户机接收到连接请求，则从客户机获取标识用户的信息，并且获取客户机使用的当前网络地址，以此作为客户机地址；如果用户标识信息匹配于第二连接鉴权信息，则把所获取的客户机地址发送到与第二连接鉴权信息相关联的信息所标识的连接服务器，并把连接服务器的网络地址发送到所述发送连接请求的客户机。

为了解决现有技术中的问题，根据本发明，提供了一种由连接到鉴权服务器以及连接服务器的客户机执行的程序，用于使客户机执行以下步骤：将一个连接请求连同基于连接服务器中使用的第一连接鉴权信息而产生的第二连接鉴权信息一起发送到鉴权服务器；以及从鉴权服务器接收连接服务器的地址，并且将第一连接鉴权信息发送到所接收的连接服务器地址。

为了解决现有技术中的问题，根据本发明，提供了一种由连接到鉴权服务器以及客户机的连接服务器所执行的程序，用于使连接服务器执行以下步骤：从鉴权服务器接收客户机的客户机地址并且进行控制，以使来自客户机地址的连接可以接受；以及使用可接受的客户机地址来从客户机接收鉴权信息并且使用鉴权信息来进行鉴权。

为了解决相关技术实例中的问题，根据本发明，使与客户机以及连接服务器相连的鉴权服务器执行以下步骤：将通过预定方法加密的用户名及口令与连接服务器的网络地址相关联地保持；一旦从客户机接收到连接请求，则获取加密的用户名及口令，以此作为标识客户机的用户的信息，并且获取客户机使用的当前网络地址，以此作为客户机地址；如果在保持装置中保持了用户标识信息，则将所获取的客户机地址发送到与所述用户标识信息相关联的连接服务器的网络地址，从连接服务器接收指示转换到连接等待状态的信息，并且把连接服务器的网络地址发送到产生连接请求的客户机。

此外，为了解决相关技术实例中的问题，根据本发明，使一个与鉴权服务器以及连接服务器相连的客户机执行以下步骤：将一个连接请求连同经过第一加密方法加密的用户名及口令一起发送到鉴权服务器；从鉴权服务器接收该连接服务器的网络地址，使用第二加密方法来对用户输入的用户名及口令进行加密，并把经过第二加密方法加密的用户名及口令发送到所接收的网络地址。

此外，为了解决相关技术实例中的问题，根据本发明，使连接到客户机以及鉴权服务器的连接服务器执行以下步骤，其中所述连接服务器与客户机进行加密通信，所述步骤包括：接收一个表示要连接的客户机的地址的客户机地址通知，进行设置，以使来自客户机地址的通信仅仅在一个预定时间内可以接受，并且将一个指示转换到连接等待状态的信息发送到鉴权服务器。

附图说明

图1是描述根据本发明一个实施例的网络连接系统实例的框图。

图2是对保存在鉴权服务器中的数据的一个实例进行描述的示意图。

图3是对根据本发明实施例的网络连接的前半部分流程的一个实例进行描述的流程图。

图4是对根据本发明实施例的网络连接的后半部分流程的一个实例进行描述的流程图。

具体实施方式

现在参考附图来描述本发明的优选实施例。根据本发明一个实施例的网络连接系统包括本地网络1、公共网络2、连接到公共网络2的客户机3以及鉴权服务器4。本地网络1经由连接服务器11而与公共网络2相连。公共网络2是一个由互联网和公用交换电话网等所构成的网络系统。尽管图1仅仅显示了一个鉴权服务器4，但是也可包含两个或两个以上的鉴权服务器4。

客户机3是一个通用计算机，它包括控制部分31、存储部分32、通信控制部分33、显示部分34以及操作部分35。控制部分31根据存储部分32中保存的程序(客户机程序)而运行。控制部分31对本地网络1执行RAS连接处理。稍后将会特别详细地描述RAS连接处理。存储部分32是一种用于保存程序及其他信息的计算机可读的存储介质。存储部分32还作为控制部分31的工作存储器来运行。

通信控制部分33根据由控制部分31输入的命令而把信息发送到一个目的地，所述目的地由命令中所包含的网络地址来指定。通信控制部分33接收经由网络到来的信息并且把这些信息输入到控制部分31。显示部分34是一个根据控制部分31输入的命令来显示信息的显示器等。操作部分35包括键盘、鼠标及其他装置，并把用户的命令操作的详细资料输出到控制部分31。

鉴权服务器4是一个通用服务器计算机，它包括控制部分41、存储部分42以及通信控制部分43。控制部分41根据存储部分42中保存的程序(鉴权服务器程序)来运行及执行鉴权处理。而稍后将对鉴权处理进行特别详细地描述。

存储部分42是一种用于保存程序及其他信息的计算机可读存储介质。存储部分42还作为控制部分41的工作存储器运行。通信控制部分43根据从控制部分41输入的命令而把信息发送到一个目的地，其中所述目的地是由命令所包含的网络地址指定的。通信控制部分43接收经由该网络到来的信息并把该信息输出到控制部分41。

本地网络1的连接服务器11也可以是通用的服务器计算机，它包括控制部分15、存储部分16、第一通信控制部分17以及第二通信控制部分18。控制部分15根据存储部分16中保存的程序(连接服务器程序)来进行操作并且执行验证处理、连接处理及其他处理。稍后将对鉴权处理和连接处理进行特别详细地描述。

存储部分16是一种用于保存程序及其他信息的计算机可读存储介质。存储部分16还充当控制部分15的工作存储器。第一通信控制部分17根据由控制部分15输入的命令而把信息经由公共网络2发送到一个目的地，其中所述目的地是由命令所包含的网络地址来指定的。第一通信控制部分17接收经由公共网络2到来的信息并把该信息输出到控制部分15。第二通信控制部分18根据由控制部分15输入的命令而把信息经由本地网络1发送到一个目的地，其中所述目的地是由命令中包含的网络地址来指定的。第二通信控制部分18接收经由本地网络1到来的信息并把该信息输出到控制部分15。

连接服务器11的控制部分15把一个数据请求等经由第二通信控制部分18发送到本地网络1，所述请求等是经由第一通信控制部分17而从客户机3接收的，其中客户机3使用稍后描述的方法被鉴权。控制部分15经由第二通信控制部分18接收那些将要从本地网络1发送到客户机3的数据等，并且经由第一通信控制部分17来发送这些数据等。

【设置】

在这里将对客户机3、鉴权服务器4以及连接服务器11之间执行的鉴权处理加以讨论。首先对在使客户机3有可能经由连接服务器11来进行RAS连接之前的设置过程进行讨论。在以下描述中，可以使用公知的SSL(安全套接字层)方法等来对客户机3与鉴权服务器4之间的通信进行加密。

本实施例的一个特征在于：专用于RAS连接的应用软件安装在客户机3上。专用应用软件保持鉴权服务器4的加密网络地址，并使客户机3执行一个对已加密鉴权服务器4的网络地址进行解密的过程。实际上，客户机3仅仅使用专用的应用软件就可以访问鉴权服务器4。

接下来讨论专用应用软件的设置过程。当专用的应用软件被安装在客户机3上时，客户机3会基于那些通常随客户机3的不同而发生变化的信息来计算客户机3特有的信息，以此作为客户机3特有的第一鉴权信息，所述变化的信息可以是例如构造客户机3的硬盘的序列号的硬件相关信息，也可以是涉及诸如操作系统版本这类软件环境的信息。

用户将特有信息以及用户名、口令等信息传递到连接服务器11的管理员。举例来说，信息传递方法可以是加密的电子邮件，也可以使用那些应用了磁盘等的传递手段。连接服务器11的管理员在连接服务器11中登记特有信息、用户名及口令。当在连接服务器11中登记了这些信息时，连接服务器11选择鉴权服务器4来验证用户，并且加密所选鉴权服务器4的网络地址来产生一个加密地址，还使用特有信息作为密钥来加密预定信息(所述信息可以是任何希望的字符串，也可以是RAS连接的终止日期等等的有意义信息)，由此产生第一信息，并且使用用户名作为密钥来加密预定信息，以便产生第二信息。连接服务器11输出一个包含加密地址、第一信息以及第二信息的信息作为定义信息。第一信息与第二信息相当于本地鉴权信息，用于将第一鉴权信息以及第二鉴权信息相互关联。定义信息可以包含至少一部分加密口令，所述加密口令是根据稍后描述的第一加密方法对口令进行加密来提供的。

定义信息通过任何希望的方法递送到客户机3，所述方法可以是发送到客户机3的用户的电子邮件，并且定义信息被保存在客户机3的存储部分32。客户机3根据专用应用软件使用该定义信息来检查是否已经正确登记了特有信息。具体地说，客户机3计算并产生特有信息，它要求用户输入用户名并且使用所产生的特有信息来解密第一信息，此外还使用所输入的用户名来解密第二信息。客户机3察看解密结果是否匹配(如果恰当解密了第一信息和第二信息，那么解密结果将是如上所述的预定信息)。如果它们匹配，那么客户机3判定已经正确登记了特有信息。

另一方面，连接服务器11将分配给第一通信控制部分17的网络地址(公共网络地址)及使用第一加密方法加密的客户机3的用户名和口令发送到鉴权服务器4。用于加密用户名及口令的方法(第一加密方法)可以是一种无法解密的方法；在使用用户名及口令的MD5散列值等的方式下，可以使用消息摘要。鉴权服务器4将从连接服务器1接收的网络地址与通过第一加密方法加密的用户名及口令相互关联，并且将它们保存在存储部分42中，如图2所示，所述存储部分是一个保持单元。现在结束了设置序列。

【鉴权处理】

接下来参考图3和图4来描述产生实际连接请求时执行的鉴权处理。在尝试进行到本地网络1的RAS连接时，用户启动安装在客户机3上的专用应用软件。首先如图3所示，客户机3的控制部分31根据专用应用软件在显示部分34上显示一个要求用户输入用户名及口令的消息(S1)。当用户操作操作部分35以输入作为第二鉴权信息(并且还相当于本发明的第一连接鉴权信息)的用户名及口令时(S2)，控制部分31计算并产生特有信息，以此作为第一鉴权信息(S3)，并且使用所产生的特有信息来解密第一信息，以及使用所输入的用户名来解密第二信息。控制部分31察看解密结果是否匹配(S4)。当它们匹配时，控制部分31使用第一加密方法来对步骤S2输入的用户名及口令进行加密(S5)。借助第一加密方法加密的用户名及口令相当于本发明的第二连接鉴权信息。这时，如果定义信息包含至少一部分加密口令，那么将会判定在步骤S5加密的口令的至少相应部分是否与定义信息中包含的至少该部分加密口令相匹配。当它们不匹配时，该处理将会中断。由于并未在一个加密口令及另一个口令之间进行整体比较，因此进一步提高了安全性。

控制部分31对鉴权服务器4的网络地址进行解密(S6)并将一个连接请求与在步骤S5中通过第一加密方法加密的第一加密用户名与第一加密口令一起发送到所述加密步骤提供的网络地址(S7)。如果在步骤S4，解密结果不匹配，那么此时将会中断鉴权处理。

本实施例的一个特征在于：每当尝试进行RAS连接，那么将会如步骤S3所示来对作为第一鉴权信息的特有信息进行计算，以此作为专用应用软件所进行的处理。因此，一般来说，如果使用不同的计算机，那么，即使泄漏了任何其他鉴权信息，不同的第一鉴权信息也被计算并且RAS连接处理将会中断。

鉴权服务器4从客户机3接收加密的用户名、口令以及连接请求，并且参考存储部分42来搜索加密的用户名及口令(S11)。如果加密的用户名及口令被保存在存储部分42，那么鉴权服务器4获取与加密的用户名及口令相关联的连接服务器11的网络地址(S12)。顺便提及，当存储部分42没有存储在S11中所加密的用户名和口令时(当利用这些加密的用户名和口令所进行的鉴权失败时)，鉴权服务器4跳过在S12之后的处理并终止该处理。

鉴权服务器4还获取发送该连接请求的客户机3的网络地址(客户机地址)(S13)。鉴权服务器4把在步骤S13获取的客户机地址发送到在步骤S12获取的连接服务器11的网络地址(S14)，并且会在从连接服务器11接收到一个指示转换为连接等待状态的信息之前一直等待(S15)。这个流程将会延续到图4。

如图4所示，一旦从鉴权服务器4接收到客户机地址，那么连接服务器11只在一个预定时间内允许接受来自所述网络地址的访问(S21)。鉴权服务器4与连接服务器11之间的通信可以使用租用线或加密通信线这样的安全线路来进行。具体地说，为了使用pptp(点到点隧穿协议(point-to-point tunneling protocol)来与客户机3建立RAS连接，将会在连接服务器11中设定一个防火墙，并且当从鉴权服务器4接收到客户机3的网络地址时，仅仅在一个给定时间(例如60秒)内打开一个pptp端口(TCP端口)。连接服务器11将一个指示转换到连接等待状态的消息发送到鉴权服务器4(S22)。

一旦从连接服务器11接收到所述指示转换到连接等待状态的信息，那么鉴权服务器4会向客户机3发送一个连接命令(S31)。一旦接收到连接命令，客户机3将会使用第二加密方法来对用户名与口令进行加密，以此作为第二鉴权信息(S41)，并且把借助于第二加密方法加密的第二加密用户名及第二加密口令发送到连接服务器11，以此作为pptp中的用户名及口令(S42)。

其中，处理S31中的连接命令可以包括连接服务器的网络地址。在此情况下，不必预先在客户机3中设置连接服务器11的网络地址。而且，在这种情况下，客户机3将第二加密方法所加密的第二加密用户名和第二加密口令发送到由所接收的连接命令中包含的网络地址所指定的连接服务器11。这样，直到鉴权服务器鉴权时，客户机的用户才知晓连接服务器的网络地址。因此，可以提高安全性。

在这个实施例中，连接服务器11将一个指示转换到连接等待状态的消息发送到鉴权服务器4。然而，所述消息的传输并不是必定需要的。如果没有发送这个消息，那么鉴权服务器4会将客户机地址发送到连接服务器11，并将连接命令发送到客户机3(S31)。

连接服务器11检查加密的用户名及口令是否匹配于所登记的用户名及口令(S51)。如果它们匹配，那么开始进行pptp通信(S52)。如果在步骤S51中它们并不匹配，那么鉴权处理将会中断。通过第二加密方法进行的加密不需要一定能够经受解密；举例来说，可以使用用户名的散列值以及口令的散列值(也就是说，第二加密方法可以与第一加密方法相同)，或者使用用户名及口令作为密钥来对预定信息(每次产生连接请求的时候产生的信息，例如特有信息，或者从连接服务器11获取的询问信息(包含每次产生连接请求时产生的随机值的信息))进行加密。

如果把用户名加密为MD5散列值，那么连接服务器11会对这个散列值以及所登记的用户名散列值进行比较，以便检查它们是否匹配，从而对用户名进行验证。如果特有信息是使用用户名作为密钥来进行加密的，那么连接服务器11会使用所登记的用户名以及特有信息来进行加密，以便产生第二加密用户名，并且检查所产生的信息是否匹配于所接收的信息，由此对用户名进行验证。

此外，为了使用询问信息，连接服务器11会发布包含随机信息的询问信息，并将所发布的询问信息递送到客户机3，连接服务器11还接收那些以用户名作为密钥来进行加密的询问信息，使用所登记的用户名以及所发布的询问信息来进行加密，从而产生第二加密用户名，并且还检查所产生的信息是否匹配于所接收的信息，由此对用户名进行验证。

【连接处理】

由于是以这种方式来进行鉴权的，因此，即使在一个中间点泄漏了加密的用户名和口令，要想知道原始用户名也是非常困难的，由此也就无法操作专用的应用软件。为了打开连接服务器11的端口，对鉴权服务器4进行攻击是必不可少，因此降低了攻击连接服务器11的频率。由于最初是在鉴权服务器4中进行基本鉴权的，因此将会减少连接服务器11上的处理负载。此外，即使打开了端口，并且有可能通过发送大量口令来实施黑客行为(hacking)，但是，由于要在打开端口的这60秒之内发现用户名及口令，因此实际上是不可能进行非法访问的。此外，当结束连接处理时，可以关闭用于连接的端口。如果在打开连接服务器11的端口的情况下，基于口令的鉴权以失败而结束的次数达到了预定数目(举例来说，所述次数可以设定为一次)，那么该端口可以关闭。

此外，本实施例的一个特征在于：尽管用户名及口令是使用每次产生连接请求时产生的信息来进行加密的，但是用户可以由加密的用户名来进行标识。因此在本地网络中，有可能以这样一种方式来完成对应于每个用户的处理，即，为每个用户都设定了一个访问权限。

连接服务器11可以为每个用户产生关于上次访问日期与时间的用户记录，并将该记录存入存储部分16。在这种情况下，每次当用户访问连接服务器11的时候，连接服务器11都会搜索存储部分16来寻找所述指示用户先前访问日期与时间的信息并且为用户提供这个信息。因此，如果进行非法访问，那么用户就可以发现这个事实，而安全性也得到了进一步的提高。

由于可以用这种方式来标识用户，因此最好为每个用户都设定一个终止日期。具体地说，连接服务器11保持与每个用户相关联的终止日期信息，并且对在步骤S51鉴权的用户终止日期信息以及日历信息(未示出)进行参考，以便在开始pptp通信之前检查是否达到了终止日期。如果达到终止日期，那么连接服务器11将会中断鉴权处理并且拒绝连接；如果并未到达终止日期，那么连接服务器11将会转到步骤S52，以便开始进行pptp通信。可以允许连接服务器11的管理员来更新及登记终止日期信息。

在迄今为止所进行的描述中，在步骤S5到S7，客户机3发送一个连接请求以及第一加密用户名和第一加密口令。然而，就口令而论，使用询问响应的鉴权可以用这样一种方式来进行，其中客户机3首先发送一个连接请求和第一加密用户名，并对接收该连接请求的鉴权服务器4所发布的询问信息(包含随机信息)进行接收，以及使用第一加密口令作为密钥来加密询问信息，并且发送经过加密的询问信息。

所述操作还应用在客户机3与连接服务器11之间。在迄今为止所进行的描述中，客户机3产生了使用第二加密方法加密的第二加密用户名以及第二加密口令，并把它们发送到连接服务器11。然而，就口令而言，在不使用第二加密方法加密口令的情况下，也可以实施鉴权，所述鉴权使用了安装在某些pptp中的询问响应。

连接服务器11的第一通信控制部分17的网络地址可以固定设置，也可以随时间而变化。也就是说，如果这里提到的网络地址是一个IP地址，那么它可以是静态的，也可以是动态的。当分配给连接服务器11的第一通信控制部分17的网络地址发生变化时，连接服务器11会将一个新的网络地址发送到鉴权服务器4，由此将所登记的网络地址更新成一个新的网络地址。

此外，在本文所述的情况中，将pptp作为与客户机3进行RAS连接时的通信协议使用。然而，本发明并不限于这种情况。也可以使用其他的安全通信协议，诸如IPSEC或者VPN-HTTPS。

Claims (13)

1.一种网络连接系统，包括：

客户机设备；

鉴权服务器；以及

连接服务器，其中：

鉴权服务器包括：

保持单元，用于保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一连接服务器地址相关联；

第一单元，在从客户机设备接收到连接请求的时候，用于获取来自客户机设备的用户标识信息，并且获取客户机地址；以及

第二单元，用于将所获取的客户机地址发送到具有与第二连接鉴权信息相关联的连接服务器地址的连接服务器，并且将连接服务器地址发送到已经发送了连接请求的客户机设备；

客户机设备包括：

第三单元，用于将第二连接鉴权信息作为用户标识信息并连同连接请求一起发送到鉴权服务器；

第四单元，用于从鉴权服务器接收连接服务器地址；以及

第五单元，用于将第一连接鉴权信息发送到具有所接收的连接服务器地址的连接服务器；以及

连接服务器包括：

第六单元，用于接收来自从鉴权服务器接收的客户机地址的连接；以及

第七单元，用于使用从客户机地址发送的第一连接鉴权信息来执行鉴权处理。

2.根据权利要求1的网络连接系统，其中第二连接鉴权信息是第一连接鉴权信息的信息摘要。

3.一种用于与客户机设备以及连接服务器相连的鉴权服务器，该鉴权服务器包括：

保持单元，用于保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一连接服务器地址相关联；

第一单元，用于在从客户机设备接收到连接请求的时候，获取来自客户机设备的用户标识信息，并且获取客户机地址；以及

第二单元，用于将所获取的客户机地址发送到具有与第二连接鉴权信息相关联的连接服务器地址的连接服务器，并且将连接服务器地址发送到已经发送了连接请求的客户机设备。

4.一种用于与鉴权服务器以及连接服务器相连的客户机设备，该客户机设备包括：

连接请求单元，用于将连接请求以及第二连接鉴权信息发送到鉴权服务器，其中第二连接鉴权信息是基于连接服务器中使用的第一连接鉴权信息而准备的；以及

一单元，用于从鉴权服务器接收一连接服务器地址，以便将第一连接鉴权信息发送到该连接服务器地址。

5.一种用于与鉴权服务器以及客户机设备相连的连接服务器，该连接服务器包括：

控制单元，用于从鉴权服务器接收客户机地址，并且允许来自客户机地址的连接；以及

鉴权单元，用于从具有被允许连接的客户机地址的客户机设备接收鉴权信息，以便使用鉴权信息来执行鉴权处理。

6.一种网络连接系统，包括：

客户机设备；

鉴权服务器；以及

连接服务器，其中：

鉴权服务器包括：

保持单元，用于保存使用第一加密方法加密的第一加密用户名以及第一加密口令，同时将一连接服务器地址与第一加密用户名及第一加密口令相关联；

第一单元，在第一单元从客户机设备接收到连接请求的时候，用于获取第一加密用户名以及第一加密口令，以此作为标识信息来识别客户机设备的用户，并且还获取客户机地址；以及

第二单元，用于在保持单元保存了用户标识信息的时候，将所获取的客户机地址发送到与用户标识信息相关联的连接服务器地址，并且从该连接服务器接收指示该连接服务器转变成连接等待状态的信息，以及将连接服务器地址发送到发出连接请求的客户机设备；以及

客户机设备包括：

第三单元，用于把使用第一加密方法加密的第一加密用户名及第一加密口令连同连接请求一起发送到鉴权服务器；以及

第四单元，用于从鉴权服务器接收连接服务器地址，并且将第二加密用户名及第二加密口令发送到所接收的连接服务器地址，其中第二加密用户名和第二加密口令是通过使用第二加密方法来对用户输入的用户名及口令进行加密而产生的。

7.一种用于与客户机设备以及连接服务器相连的鉴权服务器，该鉴权服务器包括：

保持单元，用于保存使用预定方法加密的用户名以及口令，同时将用户名及口令与连接服务器地址相关联；

第一单元，在第一单元从客户机设备接收到连接请求的时候，用于获取加密用户名以及加密口令，以此作为标识信息来识别客户机设备的用户，并且还获取客户机地址；以及

第二单元，用于在保持单元保存了用户标识信息的时候，将所获取的客户机地址发送到与用户标识信息相关联的连接服务器地址，并且从该连接服务器接收指示该连接服务器转变成连接等待状态的信息，以及将连接服务器地址发送到发出连接请求的客户机设备。

8.一种用于与鉴权服务器以及连接服务器相连的客户机设备，该客户机设备包括：

连接请求单元，用于把经过第一加密方法加密的用户名及口令连同连接请求一起发送到鉴权服务器；以及

一单元，用于从鉴权服务器接收连接服务器地址，使用第二加密方法来对用户输入的用户名和口令进行加密，并且把经过第二加密方法加密的用户名和口令发送到所接收的连接服务器地址。

9.根据权利要求8的客户机设备，还包括：

保持单元，用于保存本地鉴权信息，所述信息是先前从连接服务器提供的信息，该信息把客户机设备的特有信息与用户名和口令中的至少一个相关联；以及

本地鉴权单元，用于在接收到用户输入的用户名和口令的时候产生该特有信息，并且参考本地鉴权信息以及通过判定所接收用户名和所接收口令中的至少一个是否与所产生的特有信息相关联来对用户进行验证，其中：

只有当本地鉴权单元验证了用户的时候，连接请求单元才将用户名及口令与连接请求一起发送到鉴权服务器，所述用户名和口令是使用第一方法来加密的。

10.一种用于与客户机设备以及鉴权服务器相连的连接服务器，该连接服务器包括：

一单元，用于从鉴权服务器接收将要连接的客户机设备的地址，并且在预定时期允许来自所述地址的通信，此外还将指示该连接服务器转变到连接等待状态的信息发送到鉴权服务器。

11.一种网络连接系统，包括：

客户机设备；

鉴权服务器，用于将指导连接目的地的信息提供给客户机设备；以及

连接服务器，其中：

客户机设备计算客户机设备所特有的第一鉴权信息，以便预先在连接服务器中登记第一鉴权信息，并且从连接服务器获取将第一鉴权信息与预定的第二鉴权信息相关联的本地鉴权信息，以便保存本地鉴权信息；

当用户指示一个针对连接服务器的连接请求时，客户机设备接收第二鉴权信息的输入，再次计算客户机设备特有的第一鉴权信息，通过使用所存储的本地鉴权信息来对所输入的第二鉴权信息以及再次计算的第一鉴权信息之间的关联进行观察，并且使用第一加密方法来加密第二鉴权信息，以便在断定关联成立的时候把使用第一加密方法加密的第二鉴权信息发送到鉴权服务器；以及

客户机设备从鉴权服务器接收连接服务器地址，以此作为指导连接目的地的信息，并且将使用第二加密方法加密的第二鉴权信息发送到连接服务器地址，以及开始与连接服务器进行通信。

12.一种使用包含了客户机设备、鉴权服务器以及连接服务器的网络连接系统的连接方法，该方法包括：

鉴权服务器保存基于连接服务器中使用的第一连接鉴权信息而准备的第二连接鉴权信息，同时将第二连接鉴权信息与一个连接服务器地址相关联；

客户机设备将第二连接鉴权信息作为用户标识信息，连同一个连接请求一起发送到鉴权服务器；

当鉴权服务器从客户机设备接收到连接请求的时候，从客户机设备获取用户标识信息并获取客户机地址；

当用户标识信息符合第二连接鉴权信息时，将所获取的客户机地址发送到与第二连接鉴权信息相关联的连接服务器地址所标识的连接服务器；

把连接服务器地址发送到发出连接请求的客户机设备；

客户机设备从鉴权服务器接收连接服务器地址；

客户机设备将第一连接鉴权信息发送到所接收的连接服务器地址；

连接服务器接收来自于从鉴权服务器接收的客户机地址的连接；以及

使用从客户机地址发送的第一连接鉴权信息来执行一个鉴权处理。

13.一种使用包含了客户机设备、鉴权服务器以及连接服务器的网络连接系统的连接方法，该方法包括：

鉴权服务器对使用第一加密方法加密的用户名和口令加以保存，同时把加密用户名及加密口令与连接服务器地址相关联；

客户机设备把经过第一加密方法加密的用户名及口令连同一个连接请求一起发送到鉴权服务器；

鉴权服务器从客户机设备接收连接请求；

获取经过第一加密方法加密的用户名及口令，以此作为标识客户机设备的用户的信息，并且还获取一个客户机地址；

当鉴权服务器保存了用于标识用户的信息时，将所获取的客户机地址发送到与标识用户的信息相关联的连接服务器地址；

连接服务器从鉴权服务器接收将要连接的客户机设备的客户机地址；

允许来自客户机设备的通信；

将指示连接服务器转变到连接等待状态的信息发送到鉴权服务器；

使用第二加密方法来对用户输入的用户名及口令进行加密；

将使用第二加密方法加密的用户名及口令发送到由客户机服务器从鉴权服务器接收的连接服务器地址；以及

使用经过第二加密方法加密并由连接服务器从客户机设备接收的用户名及口令来执行一个鉴权处理。

Images