CN1536807A - 文件安全传送系统及其方法 - Google Patents

Abstract

本发明是一种文件安全传送系统，包括一个文档安全存储和交换服务中心和多个安全认证客户终端；各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪、打印机、用户身份验证装置等；各个安全认证客户终端都通过互连网、局域网或广域网与文档安全存储和交换服务中心联接；用户通过用户身份验证装置进行身份认证；纸质文件被扫描成图像文件后被压缩、加密和签名；用户必须通过各自所在的安全认证客户终端与文档安全存储和交换服务中心进行双向身份认证；在传送图像文件的同时，还传送关于此文件的授权访问控制表，用于说明访问此文件的授权状况；接收方的用户只能根据授权访问控制表进行下载/打印操作。

Description

文件安全传送系统及其方法

技术领域

本发明涉及数据网络传输领域，更具体地，本发明涉及一种文件安全传送系统及其方法。所述文件主要是指纸质性文件，比如，官方的红头文件、高价值的技术资料等。当然，利用本发明的文件安全传送系统及其方法也能提供电子文档的安全传输。

背景技术

目前，很多机构的纸质文件，例如官方发布的红头文件，尤其是机密文件，都是用邮寄、人工投递的方法来传送。其传送的时间、份数以及传输过程的保密性都有严格的规定，传送/接收人员必须指定专人负责，而且每次文件的传送/接收都必须签字。因此，这种方法既费时费钱，手续又麻烦，而且泄密的可能性大。

另一方面，现代网络发展迅速，数据传输方便快捷。例如，中国专利CN1049946号公开了一种“数据的传递方法和系统”，它从第一计算机系统经由数据传输线(例如公用数据传输线)将数据、电子文件等传递到第二计算机系统时，采用了包括第一电子卡片的第一输出和输入站和包括第二电子卡片的第二输出和输入站。第一和第二电子卡片构成彼此相关的一套卡片，卡片中包含输入到卡片内部存储器中彼此相关的加密/解密关键码。

但是，由于大多数机密性数据的网络传输存在着用户认证、数据保密、数字签名等问题。因此，很多情况下这种方式并不能满足应用的需求。

发明内容

因此，本发明的目的就是要提供一种适合传送机密文件(特别是纸质文件)的安全传送系统及其方法。它可以彻底改变现有的机密文件(特别是纸质文件)的传送方法，大大提高文件的传送效率，提高安全性。

按照本发明的文件安全传送系统，包括一个文档安全存储和交换服务中心和多个安全认证客户终端；其特征在于：各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪、打印机、用户身份验证装置，比如：指纹/CPU卡、USB令牌（USB Token)等等；各个安全认证客户终端都通过互连网、局域网或广域网与文档安全存储和交换服务中心联接；用户必须通过用户身份验证装置的认证，才可以登陆到相应的安全认证客户终端的操作系统；纸质文件通过扫描仪扫描成图像文件，然后对图像文件进行压缩加密，再对文件进行签名；在安全认证客户终端与文档安全存储和交换服务中心之间进行数据传输之前，用户必须通过各自所在的安全认证客户终端与文档安全存储和交换服务中心进行双向身份认证；在将图像文件传给文档安全存储和交换服务中心的同时，还传送关于此文件的授权访问控制表，此表用于说明访问此文件的授权状况；接收方的用户只能根据授权访问控制表进行下载/打印操作。

按照上述的文件安全传送系统，进一步的特征在于：与安全认证客户终端联接的还有远程连接设备。所述的用户身份验证装置比如是指纹/CPU卡或USB令牌等等。所述的文档安全存储和交换服务中心包括加密卡密码服务接口(CSP)模块、密码开发包(Crypto Toolkit)模块、证书/密钥管理模块、安全通信模块、压缩模块、内容管理模块、邮件通知模块、用户/管理员登录模块、数据库接口模块、系统管理模块等等。所述安全认证客户终端包括：指纹/CPU卡、令牌密码服务接口(TokenCSP)模块、密码开发包模块、证书/密钥管理模块、安全通信模块、压缩模块、扫描/打印模块等等。所述远程连接设备是通过互连网、局域网或广域网与安全认证客户终端联接的，包括：密码开发包模块、Activex/com(微软公司的一种控件技术)接口模块、指纹/CPU卡、令牌密码服务接口模块等等。

按照本发明的一种文件安全传送系统的文件安全传送方法，所述系统包括一个文档安全存储和交换服务中心和多个安全认证客户终端；各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪、打印机、用户身份验证装置；各个安全认证客户终端都通过互连网、局域网或广域网与文档安全存储和交换服务中心联接；其特征在于所述方法包括下列步骤：第一用户登陆步骤：用户A首先通过第一用户身份验证装置的认证，登陆第一安全认证客户终端的操作系统；文件扫描/加工步骤：将纸质文件通过第一扫描仪扫描成图像文件，然后对图像文件进行压缩和加密，再对文件进行签名；第一双向身份认证步骤：用户A通过第一安全认证客户终端与文档安全存储和交换服务中心进行双向身份认证；文件/授权表传送步骤：把文件通过安全通道传给文档安全存储和交换服务中心，同时传给文档安全存储和交换服务中心的还有关于此文件的授权访问控制表，此表说明了访问此文件的授权状况；存储/通知步骤：文档安全存储和交换服务中心接收到文件后，验证用户A的签名，然后把文件保存到数据库，并以邮件形式通知用户B；第二用户登陆步骤：用户B通过第二用户身份验证装置的认证，登陆到第二安全认证客户终端的操作系统；第二双向身份认证步骤：用户B与文档安全存储和交换服务中心建立安全通道，进行双向身份认证，查看自己的接收列表，发现有文件需要接收；下载/打印步骤：用户B下载文件，并进行解密和验证签名，根据授权访问控制表进行下载/打印操作。

按照上述的文件安全传送方法，其特征在于进一步包括日志记录步骤：文档安全存储和交换服务中心(3)记录用户A和用户B的所有接收和发送记录，并对文件发送者和接受者的发送和接收电子证据进行备案，作为不可抵赖的证据。在文件扫描/加工步骤中，还包括，图像文件压缩步骤：对扫描后的图像文件进行高比例压缩。

按照本发明文件安全传送系统的另一种文件安全传送方法，所述系统包括一个文档安全存储和交换服务中心和多个安全认证客户终端；各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪、打印机、用户身份验证装置等；各个安全认证客户终端都通过互连网、局域网或广域网与文档安全存储和交换服务中心联接；远程连接设备通过互连网、局域网或广域网与安全认证客户终端联接；其特征在于所述方法包括下列步骤：第一用户联接步骤：用户A在自己的计算机上采用指纹/CPU卡或其他用户身份验证装置，通过浏览器与第一安全认证客户终端建立连接，进行双向身份认证；第一用户双向身份认证步骤：第一安全认证客户终端与文档安全存储和交换服务中心建立连接，进行双向身份认证；文件/授权表传送步骤：用户A把电子文档签名，并填写授权访问列表，加密后通过第一安全认证客户终端传给文档安全存储和交换服务中心；文件存储步骤：文档安全存储和交换服务中心对所述电子文档进行验证签名后存入数据库；并以邮件形式通知用户B；第二用户联接步骤：用户B在自己的计算机上使用用户身份验证装置，通过浏览器与第二安全认证客户终端建立连接，进行双向身份认证；第二双向身份认证步骤：第二安全认证客户终端与文档安全存储和交换服务中心建立连接，进行双向身份认证；下载步骤：用户B根据授权访问列表把所述电子文档经解密验证签名下载到本地。

附图说明

图1为按照本发明的文件安全传送系统的网络连接示意图；

图2为按照本发明的文件安全传送系统的基本系统方框图；

图3为按照本发明的文件安全传送系统的增加型系统方框图；

图4为按照本发明的文件安全传送系统中的文档安全存储和交换服务中心的结构方框图；

图5进一步显示了图4结构中的安全通信模块的子模块结构；

图6为按照本发明的文件安全传送系统中的各个安全认证客户终端的结构方框图；

图7为按照本发明的文件安全传送系统中的远程连接设备的结构方框图。

下面将结合附图对本发明的实施例进行详细说明。

具体实施方式

图1显示了按照本发明的文件安全传送系统的网络连接状况。系统主要由文档安全存储和交换服务中心(Archive & exchange Center，简称A&X Center)、安全认证客户终端(SECOM Security Badge Box，简称SSBB)及其外围专用设备和远程连接设备(笔记本电脑或PC机)组成。安全认证客户终端的外围专用设备有打印机、扫描仪、用户身份验证装置等外设。用户身份验证装置可以是指纹/CPU卡、USB令牌等等，远程连接设备也有用户身份验证装置作为外设，比如：指纹/CPU卡、USB令牌等等。

文档安全存储和交换服务中心主要目的是提供信息安全传输服务，确保客户信息在安全、高效、可跟踪的前提下，发送给指定的接收者，以达到在现实生活中亲手提交文档的情景。文档安全存储和交换服务中心主要功能是保证信息在传输过程中和存储时信息的机密性和完整性。防止被传递的信息在中途被泄密、假造和篡改。发送者可以指定接收者和接收者使用的安全认证客户终端，已达到确保发送者和接收者的身份的正确性。并且信息的存储和下载，可以限定时间和次数，超过时间和次数，不能再使用该信息(例如，超过信息指定的时间和下载次数后，系统将禁止打印该信息)。

其中，安全认证客户终端通过Internet、LAN或WAN与文档安全存储和交换服务中心的服务器连接。安全认证客户终端上连接扫描仪和打印机。远程的计算机或笔记本计算机，通过Internet/WAN/LAN连接安全认证客户终端。他们使用浏览器可以发送和接收电子文件，例如Word。文件通过安全认证客户终端发送到文档安全存储和交换服务中心。本地用户和远程用户，都使用浏览器进行操作。

文档安全存储和交换服务中心主要包括一个服务器，配置有相应的操作系统和数据库。其中，使用硬件加密卡提供高强度非对称和对称密码运算。并且使用用户身份认证设备比如USB令牌或指纹/CPU卡或其他进行身份确认。

安全认证客户终端为一台专用计算机，配置了相应的操作系统和浏览器。其中，使用用户身份认证设备进行用户的身份确认。例如，使用USB令牌保存非对称(RSA)和对称密钥并提供密码运算，从而进行身份确认，或者使用指纹/CPU卡保存非对称(RSA)和对称密钥并提供密码运算，从而进行身份确认。也可只用指纹/CPU卡保存非对称和对称密码(RSA密钥)，密码运算由软件实现。

远程连接设备可以是一台笔记本电脑或PC机，配置有相应的操作系统和浏览器。其中，使用用户身份认证设备进行用户身份确认。例如，使用指纹/CPU卡保存非对称(RSA)和对称密钥并提供密码运算，从而进行身份确认。密码运算由软件实现。

下面将结合图2对按照本发明的文件安全传送系统的一个实施例的系统结构进行说明。如图2所示，按照本发明的文件安全传送系统包括一个文档安全存储和交换服务中心3和多个安全认证客户终端，比如：第一安全认证客户终端1、第二安全认证客户终端2、等等。每个安全认证客户终端都有各自外围专用设备。所述安全认证客户终端的外围专用设备有扫描仪、打印机、用户身份验证装置等。所述用户身份验证装置比如是指纹/CPU卡、USB令牌等等。具体地，连接到第一安全认证客户终端1的外围专用设备包括第一扫描仪11、第一打印机12和第一用户身份验证装置13；连接到第二安全认证客户终端2的外围专用设备包括第二扫描仪21、第二打印机22和第二用户身份验证装置23。所述第一和第二用户身份验证装置13、23可以是指纹/CPU卡、USB令牌等等。

第一和第二安全认证客户终端1、2都通过互连网(Internet)、局域网(LAN)或广域网(WAN)与文档安全存储和交换服务中心3联接。

本系统主要为文件(特别是纸质文件)提供一种安全快捷的传送方法。下面将说明使用该系统传送纸质文件的具体步骤。

首先，用户A在第一安全认证客户终端1上进行了注册，可以合法使用第一安全认证客户终端1提供的服务；同样，用户B在第二安全认证客户终端2上进行了注册，可以合法使用第二安全认证客户终端2提供的服务。

当用户A有纸质文件要传给B时：

1、第一用户登陆步骤：用户A首先通过第一用户身份验证装置13，比如指纹/CPU卡、USB令牌等等的认证，登陆到第一安全认证客户终端1的操作系统(即：用户A直接在本地操作第一安全认证客户终端1)；用户登录到操作系统之后，作为一个专用设备，用户只能使用本系统提供的服务，不能利用操作系统进行本系统不允许的操作；

2、文件扫描/加工步骤：将纸质文件通过第一扫描仪11扫描成图像文件，然后对图像文件进行压缩和加密，再对文件进行签名；

3、第一双向身份认证步骤：用户A通过第一安全认证客户终端1与文档安全存储和交换服务中心3进行双向身份认证(通过现代密码学提供的技术)；

4、文件/授权表传送步骤：把文件传给文档安全存储和交换服务中心3，同时传给文档安全存储和交换服务中心3的还有关于此文件的授权访问控制表，此表说明了访问此文件的授权状况，例如：此文件只打印的次数等等；

5、存储/通知步骤：文档安全存储和交换服务中心3接收到文件后，验证用户A的签名，然后把文件保存到数据库，并以邮件形式通知B；

6、第二用户登陆步骤：用户B通过第二用户身份验证装置23，比如指纹/CPU卡、USB令牌等等的认证，登陆到第二安全认证客户终端2的操作系统(即用户B直接在本地操作第二安全认证客户终端2)；

7、第二双向身份认证步骤：用户B与文档安全存储和交换服务中心3建立安全通道，进行双向身份认证，查看自己的接收列表，发现有文件需要接收；

8、下载/打印步骤：用户B下载文件(不能保存)，并进行解密和验证签名，根据授权访问控制表进行操作(例如打印一次等等)。

9、日志记录步骤：文档安全存储和交换服务中心3记录用户A和用户B的所有接收和发送记录，同时存储用户对这些行为的数字签名，作为不可抵赖的证据。

需要说明的是：在一个安全认证客户终端本地通过安全认证客户终端发送的(扫描后形成的)文档只能通过另一台安全认证客户终端在本地接收、打印。

下面将结合图3对本发明的另一实施例进行详细说明。参见图3，它显示了本发明的文件安全传送系统的增强型系统的方框图。该增强型系统是在图2所示基本系统基础上进行了功能扩展，即在传送纸质文件基础上增加了传送电子文档的功能。该增强型系统与图2所示基本系统的主要区别是在第一安全认证客户终端1和第二安全认证客户终端2端分别联接有第一远程连接设备14和第二远程连接设备24。第一远程连接设备14通过互连网、局域网或广域网与第一安全认证客户终端1联接。第二远程连接设备24也通过互连网、局域网或广域网与第二安全认证客户终端2联接。在各个远程连接设备14、24中，还设置有用户身份验证装置(未示出)，比如：指纹/CPU卡、USB令牌等等。

下面将说明使用该系统进行电子文档传送的具体步骤：

假设用户A要给用户B传输电子文档。

1、第一用户联接步骤：用户A在自己的计算机上采用用户身份验证装置，比如：指纹/CPU卡、USB令牌等等，通过浏览器与第一安全认证客户终端1建立连接，进行双向身份认证；

2、第一用户双向身份认证步骤：第一安全认证客户终端1与文档安全存储和交换服务中心3建立连接，进行双向身份认证；

3、文件/授权表传送步骤：用户A把电子文档签名，并填写授权访问列表(主要是下载的次数)，加密后通过第一安全认证客户终端1传给文档安全存储和交换服务中心3；

4、文件存储步骤：文档安全存储和交换服务中心3对该电子文档进行解密，验证签名后存入数据库，在库中以密文形式存在；

5、第二用户联接步骤：用户B在自己的计算机上采用用户身份验证装置，比如：指纹/CPU卡、USB令牌等等，通过浏览器与第二安全认证客户终端2建立连接，进行双向身份认证；

6、第二双向身份认证步骤：第二安全认证客户终端2与文档安全存储和交换服务中心3建立连接，进行双向身份认证；

7、下载步骤：用户B根据授权访问列表把该电子文档下载到本地。

需要说明的是：利用一台PC机的浏览器，通过一个安全认证客户终端发送的电子文档，只能利用另一台或多台PC机的浏览器，通过另一个或多个安全认证客户终端接收电子文档。

图4显示了按照本发明的文件安全传送系统中的文档安全存储和交换服务中心的一种模块结构。

加密卡CSP模块可将密码设备嵌入到其操作系统中，从而可以替换其操作系统中的密码算法。该加密卡CSP模块可以通过软件或硬件形式实现。具体地，该加密卡CSP模块可以把加密卡嵌入到微软的Windows操作系统中，替换微软的软件CSP，使SSL协议使用加密卡提供的密码运算，以达到特定商业密码政策的要求。

密码开发包模块屏蔽不同密码开发工具包和不同认证中心(CA)系统开发工具包的差异性，提供满足本系统需求的高层密码接口，从而使本系统可以容易兼容多个认证中心(CA)系统。密码模块开发包需要封装密码运算、X.509证书验证、证书取消列表(黑名单)(CRL)验证等。

证书/密钥管理模块负责管理文档安全存储和交换服务中心的加密卡的密钥，管理文档安全存储和交换服务中心的证书，主要功能包括证书申请、证书导入、证书取消列表(黑名单)管理等，支持PKCS7格式。文档安全存储和交换服务中心的证书/密钥管理模块同时还负责为安全认证客户终端管理员生成密钥和申请、安装证书。安全认证客户终端管理员可以使用USB令牌，或者使用指纹/CPU卡。文档安全存储和交换服务中心的证书/密钥管理模块主要通过信息服务中心(IIS)的管理配置界面进行操作，并通过底层CSP对加密卡进行管理。

文档安全存储和交换服务中心的服务以Web服务方式实现，采用SOAP协议，XML封装数据。在安全认证客户终端和文档安全存储和交换服务中心之间传输数据时，需要签名和验证、加密和解密、压缩和解压缩、权限验证等功能。安全通信模块提供安全认证客户终端与文档安全存储和交换服务中心之间通信需要的这些功能。文档安全存储和交换服务中心的服务模块在收到请求时，调用安全通信模块的功能实现权限认证(是否可以发送或接收文件等权限)、签名验证和解密等操作。然后进行各自的处理。文档安全存储和交换服务中心的服务模块发送响应时，调用安全通信模块的功能实现签名、加密等操作。然后通过信息服务中心(IIS)发送给安全认证客户终端。

安全通信模块将传输的数据分为文件数据和非文件数据两类。文件数据指扫描的结果数据、需要下载打印的文件数据和通过浏览器传输的电子文件。这些信息需要签名和加密，所以，安全通信模块在发送时负责签名、加密，接收时负责解密、验证签名。非文件数据指一些查询和通知等类型的数据，他们的安全依靠底层的安全通道(SSL)的安全性保证，数据本身不再签名和加密。文件数据和非文件数据通信均要验证身份和权限。图5显示了该安全通信模块的一种子模块结构图。

文档安全存储和交换服务中心收到安全认证客户终端的SOAP消息后，Web服务需要调用安全通行模块的文件数据接收模块或非文件数据接收模块，安全通信模块将根据用户信息和操作信息，进行权限的验证，确认安全认证客户终端用户具有申请的操作的权限。如果通过，则进行相应的签名验证、解密等操作。最后，返回结果，并记录日志。

文档安全存储和交换服务中心向安全认证客户终端的返回响应数据之前，Web服务需要调用安全通行模块的文件数据发送服务或非文件数据发送模块，安全通信模块将根据用户信息和操作信息，则进行相应的数字签名验证、加密等操作。最后，返回结果，并记录日志。

身份认证模块负责验证权限。

文件数据接收模块负责安全认证客户终端发给文档安全存储和交换服务中心的文件数据的处理，完成文件解密和验证发送者签名等功能。

文件数据发送模块负责将文件数据下载给安全认证客户终端的处理。完成文档安全存储和交换服务中心的私钥签名和接收者公钥加密等功能。

非文件数据接收模块负责安全认证客户终端发给文档安全存储和交换服务中心的非文件数据的处理，将接收的数据返回给相应的模块处理。

非文件数据发送模块负责将非文件数据发送给安全认证客户终端的处理。

安全通信模块的日志处理是日志管理模块与安全通信模块间的接口，负责生成日志数据，送日志管理模块记录。

安全认证客户终端与文档安全存储和交换服务中心之间采用XML/SOAP技术，所以，所有数据采用XML表示。

安全认证客户终端与文档安全存储和交换服务中心之间传输的数据包括安全通信数据、文档存储和交换服务中心服务的数据。

安全通信数据只由安全通信模块处理，对于文档安全存储和交换服务中心的服务数据，安全通信模块不做任何处理，而是由各文档安全存储和交换服务中心服务模块负责处理。

安全通信数据包括：

■安全认证客户终端(SSBB)已经认证的标识码

■安全认证客户终端(SSBB)设备标识符(Device ID)

■用户身份标识(User ID)

■数据类型标识：文件数据、非文件数据

■操作类型标识：发送、接收

■时间信息：发送时间

文档安全存储和交换服务中心服务数据不同的服务内容不同，但都采用XML表示。

下面将说明安全认证客户终端与文档安全存储和交换服务中心之间数据传输的过程。

安全认证客户终端根据使用的文档安全存储和交换服务中心服务，将数据用XML表示，然后调用文档安全存储和交换服务中心的Web服务。根据需要使用HTTP或HTTPS。安全认证客户终端的SOAP组件启动HTTP连接，发送SOAP消息到文档安全存储和交换服务中心的信息服务中心(IIS)。文档安全存储和交换服务中心的信息服务中心(IIS)接收后，调用相应的Web服务。Web服务模块进行相应的处理，返回结果数据。安全认证客户终端收到结果数据后，再进行自己的处理。

所有错误状态和处理，记录到日志中。文件的签名和验证处理和结果，记录日志。文件的加密和解密处理和结果，记录日志。所有压缩和解压缩处理和记过，记录日志。权限检查处理和结果，记录日志。数据包的接收、发送操作以及数据包长度信息，可以选择记录或不记录日志。

回到图4，对于压缩模块，需要选择高效、便宜的压缩软件，考虑系统的适应性，需要支持不同的压缩软件。压缩模块的作用就是为文档安全存储和交换服务中心和安全认证客户终端提供一个标准接口，在替换压缩软件时，不会影响系统的其他软件模块，只需修改压缩模块。

内容管理模块负责内容和标签(Tag)的接收、存储、删除、查询、下载，负责将收到的文件记录到接收者的标签(Tag)列表中，并用邮件通知接收者。使用一个数据表统一存放加密的文件数据。加密的文件数据内容包括文件和发送者的签名。每个用户有一个接收信息列表，保存这个用户可以读取的文件信息。

邮件通知模块的功能是通知文件接收者，收到新的文件，可以从文档安全存储和交换服务中心服务器下载。发送邮件通知时，根据接收用户身份标识(ID)，从用户信息库中读取邮件地址，从邮件模版信息中读取模版，然后生成一个通知邮件，通过邮件服务器发送给接收者。需要配置邮件服务器地址、账号、密码。这些信息存放在邮件模版文件中。

文档安全存储和交换服务中心用户/管理员登录模块：当安全认证客户终端管理员、用户和文档安全存储和交换服务中心用户登录到系统时，统一有文档安全存储和交换服务中心的用户/管理员登录模块负责用户的认证。由于用户/管理使用浏览器作为操作平台，使用安全通道(SSL)作为连接协议。所以，安全通道(SSL)将验证用户/管理员的证书。只有持有合法证书，才能进入系统。安全认证客户终端通过安全通道(SSL)获得登录者的证书和用户身份标识。然后将安全认证客户终端的设备标识符(Device ID)和登录者信息提交文档安全存储和交换服务中心。文档安全存储和交换服务中心的用户/管理员登录模块负责验证其身份是否合法，非法用户/管理员不能登录系统。用户管理员登录的相关信息包括：设备标识符、用户身份标识(User ID)、登录日期时间、证书信息。用户信息库中将存放用户身份标识与设备标识符的关系信息，用户身份标识是否激活信息，证书信息。

数据库接口模块的功能是将与数据库访问有关的函数集中封装在此模块中，把该模块作为数据访问的“中间件”，提供对接口函数的支持。这样，在别的应用模块中访问数据库时，只调用这些接口函数即可，避免了直接调用数据库系统提供的数据库访问函数时接口不一致的问题。

软件更新模块将安全认证客户终端需要更新的所有软件(包括网页、执行程序)模块打成一个数据包，并使用文档安全存储和交换服务中心私钥进行签名，然后将数据包和数字签名压缩成一个文件后发布到文档安全存储和交换服务中心服务器上，由合法的安全认证客户终端下载并自动安装。

地址本管理模块为文档安全存储和交换服务中心用户提供管理各自地址本的功能，包括维护联系人和群组的功能。地址本管理模块为安全认证客户终端模块提供选取地址的功能

用户管理模块为文档安全存储和交换服务中心管理员提供维护文档安全存储和交换服务中心用户信息的功能。

日志管理模块：文档安全存储和交换服务中心模块在运行中将运行中的信息、警告和错误记入日志。文档安全存储和交换服务中心管理员通过查询系统日志来了解系统的运行状况

系统管理模块为文档安全存储和交换服务中心管理员提供一个集成管理的界面。管理员通过系统管理模块，对文档安全存储和交换服务中心系统日志、系统用户、公共地址本、文档安全存储和交换服务中心系统配置和安全认证客户终端初始进行管理和对文档安全存储和交换服务中心系统的运行状态监控。

图6显示了按照本发明的文件安全传送系统中的各个安全认证客户终端的模块结构。

指纹/CPU卡或其他用户身份认证设备可以把其他厂商的密码设备嵌入到Windows系统中，从而可以替换Windows系统中的密码算法，CSP模块可以通过软件或硬件形式实现，指纹/CPU卡或其他用户身份认证设备可以嵌入到Windows系统中，替换微软的软件CSP，使https协议使用系统提供的密码运算，达到中国商业密码政策的要求。

令牌密码服务接口模块可以把其他厂商的密码设备嵌入到Windows系统中，从而可以替换Windows系统中的密码算法，CSP模块可以通过软件或硬件形式实现，令牌密码服务接口模块可以把USB钥匙(USB Key)嵌入到Windows系统中，替换微软的软件CSP，使https协议使用令牌(Token)提供的密码运算，达到中国商业密码政策的要求。

密码开发包模块屏蔽不同密码开发工具包和不同认证中心(CA)系统开发工具包的差异性，提供满足本系统需求的高层密码接口，从而使本系统可以容易兼容多个认证中心(CA)系统。密码模块开发包需要封装密码运算、X.509证书验证、证书取消列表(黑名单)验证等。

证书/密钥管理模块用于管理用户的密钥和证书以及安全认证客户终端(SSBB)的信息服务中心(HS)证书，主要功能包括证书申请、证书导入、证书取消列表(黑名单)管理等，证书支持PKCS7格式。用户的证书管理和信息服务中心(IIS)证书管理采用不同的方式进行。

具体的密钥管理和证书管理功能通过调用密码模块开发包完成。

安全认证客户终端安全通信模块：相对本地和远程浏览器而言，安全认证客户终端是服务器，相对文档安全存储和交换服务中心而言，安全认证客户终端是客户端。安全认证客户终端使用信息服务中心(IIS)接收本地和远程浏览器的服务请求，使用SOAP客户机(client)向文件安全存储和交换服务中心(A&X)发送服务请求。安全通信模块负责浏览器与安全认证客户终端之间，安全认证客户终端与文档安全存储和交换服务中心之间的数据的传输的安全处理。使用XML/SOAP/SSL。

安全通信模块将传输的数据分为文件数据和非文件数据两类。文件数据指扫描的结果数据、需要下载打印的文件数据和通过浏览器传输的电子文件。这些信息需要签名和加密，所以，安全通信模块在发送时负责签名、加密，接收时负责解密、验证签名。非文件数据指一些查询和通知等类型的数据，他们的安全依靠底层的安全通道(SSL)的安全性保证，数据本身不再签名和加密。文件数据和非文件数据通信均要验证身份和权限。

安全认证客户终端向文档安全存储和交换服务中心发送SOAP请求之前，Web服务需要调用安全通行模块的文件数据发送服务或非文件数据发送模块，安全通信模块将根据用户信息和操作信息，则进行相应的数字签名验证、加密等操作。最后，返回结果，并记录日志。

安全认证客户终端收到文档安全存储和交换服务中心返回的SOAP响应，Web服务需要调用安全通行模块的文件数据接收模块或非文件数据接收模块，安全通信模块将根据用户信息和操作信息，进行权限的验证，确认安全认证客户终端用户具有申请的操作的权限。如果通过，则进行相应的签名验证、解密等操作。最后，返回结果，并记录日志。

身份认证模块负责验证权限。

文件数据发送模块负责安全认证客户终端发给文档安全存储和交换服务中心的文件数据的处理，完成文件加密和签名等功能。

文件数据接收模块负责安全认证客户终端下载的文件数据的处理。完成签名验证和解密等功能。

非文件数据发送模块负责安全认证客户终端发给文档安全存储和交换服务中心的非文件数据的处理。

非文件数据接收模块负责安全认证客户终端接收到的非文件数据的处理。

安全通信模块的日志处理是日志管理模块与安全通信模块间的接口，负责生成日志数据，送日志管理模块记录。

所有错误状态和处理，记录到日志中。文件的签名和验证处理和结果，记录日志。文件的加密和解密处理和结果，记录日志。所有压缩和解压缩处理和记过，记录日志。权限检查处理和结果，记录日志。数据包的接收、发送操作以及数据包长度信息，可以选择记录或不记录日志。

压缩模块：需要选择高效、便宜的压缩软件，考虑系统的适应性，需要支持不同的压缩软件。压缩模块的作用就是为文档安全存储和交换服务中心和安全认证客户终端提供一个标准接口，在替换压缩软件时，不会影响系统的其他软件模块，只需修改压缩模块。

软件更新模块：在安全认证客户终端启动时，自动检查文档安全存储和交换服务中心服务器上是否有最新版本的软件，如果有，则将新软件包下载、解压缩、使用文档安全存储和交换服务中心公钥验证签名、拆包并安装使用。

日志管理模块：安全认证客户终端模块在运行中将运行中的信息、警告和错误记入日志。安全认证客户终端管理员通过查询系统日志来了解系统的运行状况

安全认证客户终端的扫描/打印模块将根据安全认证客户终端系统的功能需要，重新封装TWAIN接口和Windows打印接口，使得对不同扫描仪和打印机的支持更加方便，程序改动较小。

将扫描仪和打印机封装成Web服务可以调用的组件。

图7显示了按照本发明的文件安全传送系统中的远程连接设备的模块结构。

远端使用浏览器实现电子文件的上传和下载。在浏览器中使用控件实现签名和验证、加密和解密。远端用户使用指纹方式实现身份认证，非对称(RSA)和对称密钥以及证书存放在用户身份认证设备，比如指纹/CPU卡、USB令牌中。

密码开发包模块屏蔽不同密码开发工具包和不同认证中心(CA)系统开发工具包的差异性，提供满足本系统需求的高层密码接口，从而使本系统可以容易兼容多个认证中心(CA)系统。密码模块开发包需要封装密码运算、X.509证书验证、证书取消列表(黑名单)验证等。

在远程计算机的浏览器中，通过一个Activex的控件，完成文件的签名、解密和验证，控件调用密码模块开发包的功能。

按照本发明的文件安全传送系统及其方法具有如下特点：

●数据机密性：所有敏感数据加密传输

●数据完整性：可以察觉数据在传输过程中的非恶意更改

●不可抵赖性和真实性：数据发送者对发送的数据进行数字签名

●身分认证：通过数字证书验证对方的合法身份

●高效图像压缩：大大增加传输效率

●指纹识别：大大便利用户对CPU卡的使用，方便对机密信息的

  存储。

●操作系统登陆控制：使用专门设备控制用户登陆操作系统的权

  限。

●操作系统专门化处理：合法用户登陆操作系统之后，只能使用本

  系统的服务，不能进行别的操作。

●审计跟踪：用户的文件传输的行为被记录在日志中，已备事后审

  计。

上面结合附图，对本发明的具体实施例进行了描述，但应理解：在不脱离本发明的精神情况下，本专业的普通技术人员可做出各种改型和修改，它们都应包括在本发明的范围内。本发明的保护范围由权利要求书确定。

Claims (12)

1.一种文件安全传送系统，包括一个文档安全存储和交换服务中心(3)和多个安全认证客户终端(1、2)；其特征在于：

各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪(11、21)、打印机(12、22)、用户身份验证装置(13、23)；各个安全认证客户终端(1、2)都通过互连网、局域网或广域网与文档安全存储和交换服务中心(3)联接；

用户必须通过用户身份验证装置(13、23)的认证，才可以登陆到相应的安全认证客户终端(1、2)的操作系统；

纸质文件通过扫描仪(11、21)扫描成图像文件，然后对图像文件进行压缩和加密，再对文件进行签名；

在安全认证客户终端(1、2)与文档安全存储和交换服务中心(3)之间进行数据传输之前，用户必须通过各自所在的安全认证客户终端(1、2)与文档安全存储和交换服务中心(3)进行双向身份认证；

在将图像文件传给文档安全存储和交换服务中心(3)的同时，还传送关于此文件的授权访问控制表，此表用于说明访问此文件的授权状况；

接收方的用户只能根据授权访问控制表进行下载/打印操作。

2.按照权利要求1的文件安全传送系统，其特征在于：所述的用户身份验证装置(13、23)为指纹/CPU卡。

3.按照权利要求1的文件安全传送系统，其特征在于：所述的用户身份验证装置(13、23)为USB令牌。

4.按照权利要求1的文件安全传送系统，其特征在于：与安全认证客户终端联接的还有远程连接设备(14、24)，所述远程连接设备(14、24)是通过互连网、局域网或广域网与安全认证客户终端联接的。

5.按照权利要求1、4的文件安全传送系统，其特征在于：所述文档安全存储和交换服务中心(3)包括：加密卡CSP模块、密码开发包模块、证书/密钥管理模块、安全通信模块、压缩模块、内容管理模块、邮件通知模块、用户/管理员登录模块、数据库接口模块、系统管理模块等等。

6.按照权利要求1、4的文件安全传送系统，其特征在于：所述安全认证客户终端包括：指纹/CPU卡、CSP模块、令牌密码服务接口模块、密码开发包模块、证书/密钥管理模块、安全通信模块、压缩模块、扫描/打印模块等等。

7.按照权利要求4的文件安全传送系统，其特征在于：所述远程连接设备包括：密码开发包模块、Activex/com接口模块、指纹/CPU卡、令牌密码服务接口模块等等。

8.一种文件安全传送系统的文件安全传送方法，所述系统包括一个文档安全存储和交换服务中心(3)和多个安全认证客户终端(1、2)；各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪(11、21)、打印机(12、22)、用户身份验证装置(13、23)等；各个安全认证客户终端(1、2)都通过互连网、局域网或广域网与文档安全存储和交换服务中心(3)联接；其特征在于所述方法包括下列步骤：

第一用户登陆步骤：用户A首先通过第一用户身份验证装置(13)的认证，登陆到第一安全认证客户终端(1)的操作系统；

文件扫描/加工步骤：将纸质文件通过第一扫描仪(11)扫描成图像文件，然后对图像文件进行压缩加密，再对文件进行签名；

第一双向身份认证步骤：用户A通过第一安全认证客户终端(1)与文档安全存储和交换服务中心(3)进行双向身份认证；

文件/授权表传送步骤：把文件传给文档安全存储和交换服务中心(3)，同时传给文档安全存储和交换服务中心(3)的还有关于此文件的授权访问控制表，此表说明了访问此文件的授权状况；

存储/通知步骤：文档安全存储和交换服务中心(3)接收到文件后，验证用户A的签名，然后把文件保存到数据库，并以邮件形式通知用户B；

第二用户登陆步骤：用户B通过第二用户身份验证装置(23)的认证，登陆到第二安全认证客户终端(2)的操作系统；

第二双向身份认证步骤：用户B与文档安全存储和交换服务中心(3)建立安全通道，进行双向身份认证，查看自己的接收列表，发现有文件需要接收；

下载/打印步骤：用户B下载文件，并进行解密和验证签名，根据授权访问控制表进行下载/打印操作。

9.按照权利要求8的文件安全传送方法，其特征在于进一步包括，日志记录步骤：文档安全存储和交换服务中心(3)记录用户A和用户B的所有接收和发送记录。

10.按照权利要求8的文件安全传送方法，其特征在于进一步包括，日志记录步骤：文档安全存储和交换服务中心(3)记录用户A和用户B的所有接收和发送记录，并对文件发送者和接受者的发送和接收电子证据进行备案，作为不可抵赖的证据。

11.按照权利要求8至10的文件安全传送方法，其特征在于：在文件扫描/加工步骤中，还包括，图像文件压缩步骤：对扫描后的图像文件进行高比例压缩。

12.一种文件安全传送系统的文件安全传送方法，所述系统包括一个文档安全存储和交换服务中心(3)和多个安全认证客户终端(1、2)；各个安全认证客户终端各自都有与之连接的外围专用设备：扫描仪(11、21)、打印机(12、22)、用户身份验证装置(13、23)等；各个安全认证客户终端(1、2)都通过互连网、局域网或广域网与文档安全存储和交换服务中心(3)联接；远程连接设备(14、24)通过互连网、局域网或广域网与安全认证客户终端(1、2)联接；其特征在于所述方法包括下列步骤：

第一用户联接步骤：用户A在自己的计算机上采用用户身份验证装置，通过浏览器与第一安全认证客户终端(1)建立连接，进行双向身份认证；

第一用户双向身份认证步骤：第一安全认证客户终端(1)与文档安全存储和交换服务中心(3)建立连接，进行双向身份认证；

文件/授权表传送步骤：用户A把电子文档签名，并填写授权访问列表，加密后通过第一安全认证客户终端(1)传给文档安全存储和交换服务中心(3)；

文件存储步骤：文档安全存储和交换服务中心(3)对所述电子文档进行解密，验证签名后存入数据库；

第二用户联接步骤：用户B在自己的计算机上使用用户身份验证装置，通过浏览器与第二安全认证客户终端(2)建立连接，进行双向身份认证；

第二双向身份认证步骤：第二安全认证客户终端(2)与文档安全存储和交换服务中心(3)建立连接，进行双向身份认证；

下载步骤：用户B根据授权访问列表把所述电子文档下载到本地。

Images