本發(fā)明涉及網(wǎng)絡安全領域，尤其涉及一種基于零信任架構的數(shù)字化身份驗證方法、裝置、終端設備及存儲介質。
背景技術：
1、隨著信息技術的飛速發(fā)展，網(wǎng)絡安全面臨著越來越復雜的挑戰(zhàn)。傳統(tǒng)的網(wǎng)絡安全架構往往依賴于基于邊界的安全模型，即假設內部網(wǎng)絡是可信任的，而外部網(wǎng)絡則需要進行嚴格的防護。這種模型在現(xiàn)代網(wǎng)絡環(huán)境中，尤其是在云計算和移動設備廣泛應用的情況下，逐漸暴露出諸多弊端。邊界不再清晰，用戶和設備的多樣性增加，企業(yè)的網(wǎng)絡和數(shù)據(jù)正不斷地跨越企業(yè)邊界，導致傳統(tǒng)的網(wǎng)絡安全策略難以應對復雜的安全威脅。為了應對這一挑戰(zhàn)，零信任架構(zero?trust?architecture,zta)應運而生。零信任架構提出了“永不信任、始終驗證”的原則，要求無論用戶或設備位于網(wǎng)絡的哪個位置，都必須進行身份驗證和訪問控制，不再依賴傳統(tǒng)的信任邊界。這一架構已被廣泛認為是應對現(xiàn)代網(wǎng)絡安全威脅的有效策略，尤其在多云環(huán)境、遠程辦公和移動設備廣泛應用的場景中展現(xiàn)出極大的潛力。
2、然而，零信任架構的有效實施，離不開強大而靈活的數(shù)字化身份管理系統(tǒng)。當前的數(shù)字化身份管理系統(tǒng)存在著以下不足：第一，傳統(tǒng)的身份驗證方式(如密碼、otp、單一生物特征識別)存在被攻擊或被破解的風險，無法有效應對日益復雜的網(wǎng)絡攻擊手段。密碼是最常見的身份驗證方式，但其本質缺陷在于用戶通常使用容易記住的密碼，這使得密碼容易被攻擊者猜測或破解；同時，用戶可能在多個平臺使用相同的密碼，這增加了密碼泄露的風險；密碼保護措施(如密碼強度要求和定期更改密碼)雖然能增加安全性，但仍然難以徹底消除密碼泄漏的威脅。一次性密碼(otp)在大多數(shù)身份驗證系統(tǒng)中作為第二因素驗證被廣泛使用，然而otp存在時間限制，在超時的情況下，用戶必須重新請求驗證碼，這不僅增加了用戶的不便，還在某些場景下可能被攻擊者通過惡意手段劫持或截獲otp，從而繞過身份驗證。生物特征(如指紋、面部識別、虹膜掃描等)雖然被認為是較為安全的身份驗證方式，但它們也存在不少問題，例如，指紋和面部識別可以被高仿技術模仿，且某些生物特征可能由于環(huán)境因素(如光線、設備質量等)導致識別不準確；此外，生物識別數(shù)據(jù)一旦泄露，可能被濫用，嚴重威脅用戶隱私。第二，零信任架構要求始終不信任任何用戶或設備，即使是內部網(wǎng)絡中的用戶，也需要進行動態(tài)、持續(xù)的身份驗證。然而，現(xiàn)有技術大多依賴于一次性的身份驗證，而忽視了會話期間的身份驗證。這導致了在身份信息被盜用或喪失控制的情況下，攻擊者能夠利用初次驗證成功的會話權限，持續(xù)訪問系統(tǒng)。第三，零信任架構下的身份驗證要求多因素認證與其他身份驗證技術(如行為分析、設備指紋識別、地理位置分析等)有機集成，現(xiàn)有技術在這方面缺乏有效的整合機制，如何將這些技術高效集成，并保證它們之間的協(xié)同工作是技術實現(xiàn)中的難點。
技術實現(xiàn)思路
1、本發(fā)明提供了一種基于零信任架構的數(shù)字化身份驗證方法、裝置、終端設備及存儲介質，與現(xiàn)有技術相比，本技術能夠有機集成多種身份驗證技術，實現(xiàn)零信任架構下的持續(xù)身份驗證，提高數(shù)字化身份驗證的安全性。
2、第一方面，本發(fā)明實施例提供了一種基于零信任架構的數(shù)字化身份驗證方法，其特征在于，適用于基于零信任架構的數(shù)字化身份驗證系統(tǒng)，其中，所述數(shù)字化身份驗證系統(tǒng)包括客戶端和服務器，客戶端通過零信任架構網(wǎng)關訪問服務器；
3、所述數(shù)字化身份驗證方法包括：
4、根據(jù)用戶信息和多因素身份驗證信息，得到身份驗證結果；
5、根據(jù)所述身份驗證結果，生成會話令牌并創(chuàng)建會話；其中，所述會話令牌加密存儲所述用戶信息、多因素身份驗證信息、初始的訪問權限以及會話狀態(tài)；
6、實時收集會話期間用戶的行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，并根據(jù)所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，動態(tài)調整所述會話令牌存儲的訪問權限；
7、在每次接收由客戶端發(fā)送的請求時，零信任架構網(wǎng)關通過驗證當前的會話令牌，確定服務器的當前會話狀態(tài)。
8、本發(fā)明實施例通過用戶信息以及多因素身份驗證信息，得到身份驗證結果，增強身份驗證的抗攻擊能力；通過生成會話令牌，管理用戶的身份信息和會話狀態(tài)，避免會話劫持和信息泄露；通過實時收集會話期間用戶的行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，并根據(jù)所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，動態(tài)調整會話令牌存儲的訪問權限，實現(xiàn)零信任架構下持續(xù)的安全監(jiān)控；通過驗證會話令牌，確保每次訪問請求都得到驗證。與現(xiàn)有技術相比，本技術能夠有機集成多種身份驗證技術，實現(xiàn)零信任架構下的持續(xù)身份驗證，提高數(shù)字化身份管理的安全性。
9、進一步地，所述根據(jù)用戶信息和多因素身份驗證信息，得到身份驗證結果，由客戶端執(zhí)行，包括：
10、根據(jù)用戶信息，得到初始身份驗證結果；
11、基于所述初始身份驗證結果，根據(jù)多因素身份驗證信息，得到身份驗證結果；其中，所述多因素身份驗證信息包括動態(tài)認證信息和生物特征信息。
12、本發(fā)明實施例通過多因素驗證用戶的身份信息，增強了身份驗證的抗攻擊能力。
13、進一步地，所述實時收集會話期間用戶的行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，并根據(jù)所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，動態(tài)調整所述會話令牌存儲的訪問權限，由服務器執(zhí)行，包括：
14、通過預設的模型分析所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，得到實時更新的風險評分；其中，所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)加密存儲于所述會話令牌；
15、根據(jù)所述風險評分，動態(tài)調整所述會話令牌存儲的訪問權限。
16、本發(fā)明實施例通過預設的模型生成實時更新的風險評分，為后續(xù)的驗證步驟以及權限調整提供數(shù)據(jù)支持；通過風險評分，動態(tài)調整用戶的訪問權限，判斷會話期間用戶身份是否發(fā)生變化。
17、進一步地，所述通過預設的模型分析所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，得到實時更新的風險評分，由服務器執(zhí)行，包括：
18、通過預設的行為模型分析行為數(shù)據(jù)，得到第一風險評分；
19、通過預設的設備模型分析設備指紋數(shù)據(jù)，得到第二風險評分；
20、通過預設的位置模型分析地理位置數(shù)據(jù)，得到第三風險評分；
21、根據(jù)所述第一風險評分、第二風險評分、第三風險評分以及預設的評分規(guī)則，得到最終的風險評分。
22、本發(fā)明實施例通過預設的模型對用戶當前的行為、設備以及地理位置進行對比分析，生成實時更新的風險評分，多方面評估用戶的訪問風險。
23、進一步地，所述根據(jù)所述風險評分，動態(tài)調整所述會話令牌存儲的訪問權限，由服務器執(zhí)行，包括：
24、若所述風險評分大于或等于高風險評分閾值，則訪問權限為禁止訪問敏感數(shù)據(jù)和高敏感數(shù)據(jù)，并要求進行高風險附加身份驗證；
25、若所述風險評分大于或等于中風險評分閾值且小于高風險評分閾值，則訪問權限為禁止訪問敏感數(shù)據(jù)，并要求進行中風險附加身份驗證；
26、若所述風險評分小于中風險評分閾值，則訪問權限為初始的訪問權限。
27、本發(fā)明實施例通過風險評分，動態(tài)調整用戶的訪問權限，判斷會話期間用戶身份是否發(fā)生變化。
28、進一步地，所述若所述風險評分大于或等于高風險評分閾值，則訪問權限為禁止訪問敏感數(shù)據(jù)和高敏感數(shù)據(jù)，并要求進行高風險附加身份驗證，包括：
29、根據(jù)動態(tài)認證信息和生物特征信息，得到高風險附加身份驗證結果；其中，所述動態(tài)認證信息和生物特征信息由客戶端重新提供；
30、根據(jù)所述高風險附加身份驗證結果，將訪問權限調整為初始的訪問權限。
31、本發(fā)明實施例通過動態(tài)認證信息和生物特征信息進行高風險附加身份驗證，增強身份驗證的安全性。
32、進一步地，所述若所述風險評分大于或等于中風險評分閾值且小于高風險評分閾值，則訪問權限為禁止訪問敏感數(shù)據(jù)，并要求進行中風險附加身份驗證，包括：
33、根據(jù)動態(tài)認證信息，得到中風險附加身份驗證結果；其中，所述動態(tài)認證信息由客戶端重新提供；
34、根據(jù)所述中風險附加身份驗證結果，將訪問權限調整為初始的訪問權限。
35、本發(fā)明實施例通過動態(tài)認證信息進行中風險附加身份驗證，增強身份驗證的安全性。
36、第二方面，本發(fā)明實施例提供了一種基于零信任架構的數(shù)字化身份驗證裝置，包括：身份驗證模塊、會話創(chuàng)建模塊、權限調整模塊以及令牌驗證模塊；
37、所述身份驗證模塊，用于根據(jù)用戶信息和多因素身份驗證信息，得到身份驗證結果；
38、所述會話創(chuàng)建模塊，用于根據(jù)所述身份驗證結果，生成會話令牌并創(chuàng)建會話；其中，所述會話令牌加密存儲所述用戶信息、多因素身份驗證信息、初始的訪問權限以及會話狀態(tài)；
39、所述權限調整模塊，用于實時收集會話期間用戶的行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，并根據(jù)所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，動態(tài)調整所述會話令牌存儲的訪問權限；
40、所述令牌驗證模塊，用于在每次接收由客戶端發(fā)送的請求時，零信任架構網(wǎng)關通過驗證當前的會話令牌，確定服務器的當前會話狀態(tài)。
41、本發(fā)明實施例通過身份驗證模塊，得到身份驗證結果，增強身份驗證的抗攻擊能力；通過會話創(chuàng)建模塊生成會話令牌，管理用戶的身份信息和會話狀態(tài)，避免會話劫持和信息泄露；通過權限調整模塊實時收集會話期間用戶的行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，并根據(jù)所述行為數(shù)據(jù)、設備指紋數(shù)據(jù)以及地理位置數(shù)據(jù)，動態(tài)調整會話令牌存儲的訪問權限，實現(xiàn)零信任架構下持續(xù)的安全監(jiān)控；通過令牌驗證模塊驗證會話令牌，確保每次訪問請求都得到驗證。
42、本發(fā)明另一實施例還提供了一種終端設備，包括：處理器、存儲器以及存儲在所述存儲器中且被配置為由所述處理器執(zhí)行的計算機程序，處理器執(zhí)行所述計算機程序時，實現(xiàn)如本發(fā)明一種基于零信任架構的數(shù)字化身份驗證方法的步驟。
43、本發(fā)明另一實施例還提供了一種計算機可讀存儲介質項，包括：存儲的計算機程序，在計算機程序運行時，控制計算機可讀存儲介質所在的設備執(zhí)行如本發(fā)明一種基于零信任架構的數(shù)字化身份驗證方法的步驟。