具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

本发明的Windows平台登录认证方法应用于Windows平台操作系统上。参见图1，Windows平台操作系统具体包括以下模块：

过滤凭证模块：当Windows平台操作系统登录时，Windows平台操作系统会自动加载该模块，在该模块内部实现过滤了系统默认账号密码凭证。

自定义认证模块：当Windows平台操作系统登录时，Windows平台操作系统自动加载该模块，在该模块内部实现用户账户和数字证书进行绑定，并且控制登录认证流程。

Windows平台服务端：Windows平台服务端一方面用来与Windows平台桌面终端进行通信，鉴别Windows平台桌面终端登录用户身份的合法性，另一方面用来来校验证书的合法性和有效性。

LogonUI.exe程序：改程序操作系统自带进程，作用是与凭据提供程序进行通信，完成系统账户有效性验证。

参见图2，图中给出的是一种Windows平台登录认证方法，包括以下步骤：

步骤S10，当应用程序在Windows平台操作系统内进行部署后，重启Windows平台桌面终端，使得部署在Windows平台操作系统内的过滤凭证模块和自定义认证模块自动生效，此步骤S10只保留自定义的凭证。

步骤S20，过滤凭证模块查询当前登录用户是否已经与数字证书绑定，若已经绑定，则向Windows平台桌面终端返回加密数据，并进入步骤S30，若没有绑定，则进入步骤S50。在本实施例中，过滤凭证模块通过调用IsBind接口查询当前登录用户是否已经与数字证书绑定。加密数据为数字信封。

步骤S30，Windows平台桌面终端进行证书介质认证，认证通过后，使用KEY中的数字证书中的密钥进行数据解密。在本实施例中，Windows平台桌面终端通过调用VrifyPin程序进行证书介质认证；Windows平台桌面终端通过调用UnCodeUserData接口使用KEY中的数字证书中的密钥进行数据解密。

步骤S40，Windows平台桌面终端将解密后的账号和密码信息传递给Windows平台操作系统，Windows平台操作系统对解密后的账号和密码信息进行认证，认证通过后，允许进入Windows平台操作系统，结束。在本实施例中，Windows平台桌面终端通过调用VerifyAccount接口将解密后的账号和密码信息传递给Windows平台操作系统。

步骤S50，Windows平台桌面终端调用SelectCert接口枚举KEY中的证书，弹出证书选择页面，供用户进行选择绑定的证书。在本实施例中，Windows平台桌面终端通过调用SelectCert接口枚举KEY中的证书。

步骤S60，Windows平台桌面终端进行证书介质认证，认证通过后，调用EnCodeUserData接口对用户账号和密码以及主机唯一标识等信息使用证书中的密钥进行加密。在本实施例中，Windows平台桌面终端通过调用VrifyPin程序进行证书介质认证；Windows平台桌面终端通过调用EnCodeUserData接口对用户账号和密码以及主机唯一标识等信息使用证书中的密钥进行加密。其中，主机唯一标识为可使用MAC和硬盘ID。

步骤S70，Windows平台桌面终端将加密后的数据通过ReportUserData接口上报给Windows平台服务端。在本实施例中，Windows平台桌面终端将加密后的数据通过ReportUserData接口上报给Windows平台服务端。

步骤S80，Windows平台服务端调用SaveDataDB接口对加密后的数据进行数据持久化保存，并对加密后的数据进行验证处理，验证通过后，允许进入Windows平台操作系统，结束。在本实施例中，Windows平台服务端通过调用SaveDataDB接口对加密后的数据进行数据持久化保存。

本发明对终端用户数字证书和操作系统用户账号进行绑定，当用户登录时，对USBKEY(数字证书载体)进行PIN认证，服务端用来对数字证书进行有效性验证以及登录用户身份合法性进行验证，确保用户身份合法、有效，允许登录并访问系统，有效地解决弱口令验证/单因子认证存在的安全性低、终端数据容易泄露的威胁、传统的安全登录软件在实际应用中的缺陷等问题。本发明的登录系统的证书可以复用企业内部应用系统统一认证使用的证书，能够避免企业内部用户使用多把USBKEY带来的工作不便。

以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。