CN101547095A - 基于数字证书的应用服务管理系统及管理方法 - Google Patents

Abstract

一种基于数字证书的应用服务管理系统及管理方法，其由鉴别服务器为各用户端、应用服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书可以访问不同的应用服务器，无需在每次访问一个新的应用服务器时都进行注册，此外，在用户端与应用服务器通过鉴别服务器验证了双方的身份之后，由应用服务器向用户端分发主密钥，并通过主密钥等元素协商二者之间通信的业务密钥，建立应用服务数据传输的安全通道，通过该业务密钥实现应用服务器数据在安全通道中的加密传输，本发明方案中，用户端、应用服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，是管理以及运营模式上的改进和突破。

Description

基于数字证书的应用服务管理系统及管理方法

技术领域

本发明涉及数字信息网络技术领域，特别涉及一种基于数字证书的应用服务管理系统及管理方法。

背景技术

随着网络技术的日新月异，类型越来越多的应用服务日益被开发和应用，同时，还在不断持续高速地增长。应用服务器作为应用服务网络中的一种实体，根据用户的业务需求，为用户提供可访问的途径，使用户能享受到相应的应用服务：即用户可以通过应用服务器，访问存放在各种系统中的各种类型的信息以及享受相关的服务。例如，应用服务器可以用于多媒体新闻发布、在线直播、网络广告、电子商务、视频点播、远程教育、远程医疗、网络电台、实时视频会议等网络应用服务的方方面面。

随着网络规模和复杂度的不断提高，网络逐渐具有更大的开放性，其安全问题也正日益引起广大使用者的重视，为了实现应用服务网络的安全性，现有技术中的其中一种实现方式是在用户向应用服务器发起访问申请时，采用常用的“用户名+密码”的身份验证方式，然而，根据这种方式，用户的个人信息，例如用户的用户名跟密码等信息传输于网上，极易被人窃取，容易泄露；同时，应用服务器无法保证所收到的用户的访问信息没被篡改过，这种安全性问题在传统的网络运行模式下，很难得以解决；现有技术中的另外一种实现方式是采用PKI(公钥基础设施)的相关技术进行解决，由应用服务器负责给通过认证的用户提供访问权限，在这种方式中，相对于上述“用户名+密码”的身份验证方式，安全性得以改进，但是，对于用户来说，大多数情况下并没有给用户提供一个验证应用服务器合法性的途径，这将导致一个问题，即可以通过伪造应用服务器的方法欺骗用户接入，实现骗取用户的资费、泄露用户信息、提供低劣服务等等目的，从而严重影响应用服务器服务提供商的形象和声誉，导致市场占用率的下降，此外，在这种方式中，为了实现安全性问题，各种不同应用服务器服务提供商通常都建立自己的应用服务网络，对于用户来说，每次接入到一个不同的应用服务网络都需要进行用户信息的注册和身份的验证等的工作，随着所提供的应用服务的内容的增多，用户所进行的注册次数也相应增多，使得用户可能要拥有大量证书；另外，对于监管机构来说，网络上的服务和数据应该是可管理和可控制的，而在现有技术中，尚未有一个统一的监管机构实现对网络上的各种服务和数据实现统一的管理。

发明内容

针对上述现有技术中存在的问题，本发明的目的在于提供一种基于数字证书的应用服务管理系统以及管理方法，其可以实现用户端与应用服务器之间的相互、双向的认证鉴别，提高用户端与应用服务器之间的应用服务的安全性，且可以实现对用户端与应用服务器的统一认证过程。

为达到上述目的，本发明采用以下技术方案：

一种基于数字证书的应用服务管理系统，包括鉴别服务器、与所述鉴别服务器连接的应用服务器、以及与所述应用服务器连接的用户端：

所述鉴别服务器，用于为所述应用服务器颁发应用服务器证书及对应的应用服务器证书私钥，为所述用户端颁发用户端证书及对应的用户端证书私钥，并将对应的应用服务器身份信息、用户端身份信息予以储存，并根据所述鉴别服务器证书私钥、所述应用服务器证书、所述用户端证书对所述应用服务器所发送的鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述应用服务器发送，所述应用服务器证书包括应用服务器证书公钥和所述应用服务器身份信息，所述用户端证书包括用户端证书公钥和所述用户端身份信息；

所述用户端，用于生成第一用户端新鲜性标识，根据用户端信息、所述用户端证书、所述第一用户端新鲜性标识构建接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述应用服务器发送，接收所述应用服务器发送的接入响应消息，根据鉴别服务器证书公钥、所述应用服务器证书公钥以及所述第一用户端新鲜性标识判断所述接入响应消息的有效性，根据所述应用服务器产生的主密钥、所述第一用户端新鲜性标识、第一应用服务器新鲜性标识产生消息鉴别密钥，根据所述用户端身份信息、所述应用服务器身份信息、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述接入响应消息中的主密钥信息生成接入确认消息，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向所述应用服务器发送；

所述应用服务器，用于接收并解析所述接入请求消息，根据所述用户端证书公钥、所述鉴别服务器证书公钥验证所述接入请求消息签名的有效性，生成第一应用服务器新鲜性标识，并根据所述用户端证书、所述应用服务器证书、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识构建鉴别请求消息，并用所述应用服务器证书私钥对该鉴别请求消息签名后向所述鉴别服务器发送，接收所述鉴别服务器发送的所述鉴别响应消息，根据所述鉴别服务器证书公钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识验证所述鉴别响应消息的有效性，根据所述鉴别响应消息、所述应用服务器证书、所述应用服务器产生的主密钥、所述主密钥信息构建接入响应消息、并用所述应用服务器证书私钥对该接入响应消息签名后向所述用户端发送，接收所述接入确认消息，并根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述主密钥信息验证所述接入确认消息的有效性。

一种基于数字证书的应用服务管理系统的管理方法，所述应用服务管理系统包括鉴别服务器、应用服务器以及用户端，所述管理方法包括步骤：

所述鉴别服务器为所述应用服务器颁发应用服务器证书、应用服务器证书私钥，为所述用户端颁发用户端证书、用户端证书私钥；

所述用户端产生第一用户端新鲜性标识并予以储存，并根据用户端信息、所述用户端证书、所述第一用户端新鲜性标识生成接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述应用服务器发送；

所述应用服务器接收用所述用户端证书私钥签名的所述接入请求消息，根据所述用户端证书公钥、鉴别服务器证书公钥验证所述接入请求消息签名的有效性，产生第一应用服务器新鲜性标识并予以储存，根据所述用户端证书、所述应用服务器证书、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识组成鉴别请求消息，并用所述应用服务器证书私钥对所述鉴别请求消息签名后向所述鉴别服务器发送；

所述鉴别服务器接收用所述服务器证书私钥签名的所述鉴别请求消息，根据所述应用服务器证书公钥、鉴别服务器证书私钥验证所述鉴别请求消息的有效性，根据验证结果构建鉴别响应消息，并用所述鉴别服务器证书私钥对该鉴别响应消息签名后向所述应用服务器发送；

所述应用服务器接收所述用所述鉴别服务器证书私钥签名的所述鉴别响应消息，使用所述鉴别服务器证书公钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识判断所述鉴别响应消息的有效性，产生随机数主密钥，使用所述用户端证书公钥对所述主密钥加密生成主密钥密文，并使用所述鉴别响应消息、所述应用服务器证书、所述主密钥密文、主密钥信息构造接入响应消息，并用所述应用服务器证书私钥对该接入响应消息签名后向所述用户端发送；

所述用户端接收所述用所述应用服务器证书私钥签名的所述接入响应消息，应用所述鉴别服务器证书公钥、所述应用服务器证书公钥、所述第一用户端新鲜性标识判断所述接入响应消息的有效性，使用所述用户端私钥解密所述主密钥密文，获得所述主密钥，并根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识推导消息鉴别密钥，并根据所述用户端身份信息、所述应用服务器身份信息、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、以及主密钥信息构建接入确认消息，使用所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附于所述接入确认消息后向所述应用服务器发送；

所述应用服务器接收所述附加了所述接入确认消息的消息鉴别码的接入确认消息，根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识推导生成所述消息鉴别密钥，并根据所述消息鉴别密钥、第一用户端新鲜性标识、第一应用服务器标识、主密钥信息判断所述接入确认消息的有效性。

根据上述本发明的方案，其由第三方机构鉴别服务器统一为各用户端、应用服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书可以访问不同的应用服务器，无需在每次访问一个新的应用服务器时都进行注册，因此，用户可以在不进行多余的注册操作的情况下即可享受不同的应用服务器所提供的应用服务，此外，在用户端接入网络时，由鉴别服务器对用户端与应用服务器的身份进行认证，实现统一认证过程，使得用户端、应用服务器二者的身份均得到了认证，提高了用户端与应用服务器之间的应用服务的安全性，另外，根据本发明的方案，应用服务器具有独立的身份，从而使得应用服务器的身份可被区分，方便管理机构的监管，同时，用户端、应用服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，这相对于日益广泛的应用服务领域来说，是管理以及运营模式上的改进和突破。

附图说明

图1是本发明的应用服务管理系统实施例一的总体结构示意图；

图2是本发明的应用服务管理系统实施例二的总体结构示意图；

图3是本发明具体实施例一中的应用服务管理系统的结构示意图；

图4是本发明具体实施例二中的应用服务管理系统的结构示意图。

具体实施方式

本发明的基于数字证书的应用服务管理系统，通过鉴别服务器统一实现对用户端、应用服务器的证书以及与该证书对应的证书私钥的颁发，实现对用户端、应用服务器的身份状态维护、证书验证以及用户端和应用服务器的身份有效性的管理。

参见图1所示，是本发明的应用服务管理系统实施例一中的总体结构示意图，其包括有鉴别服务器、与该鉴别服务器连接的应用服务器以及与该应用服务器连接的用户端，其中，应用服务器可通过互联网或者专用网络接入鉴别服务器，该应用服务器主要用于为用户端提供相关应用服务并进行控制，用户端可通过有线或者无线网络方式连接到应用服务器，该用户端可以是手机、PC机、笔记本电脑等设备或者软件。

参见图2所示，是本发明的应用服务管理系统实施例二的总体结构示意图，其包括有鉴别服务器，与该鉴别服务器相连接的多个应用服务器、以及与各应用服务器连接的至少一个用户端，其中，应用服务器可通过互联网或者专用网络接入鉴别服务器，该应用服务器主要用于为用户端提供相关应用服务并进行控制，用户端可通过有线或者无线网络方式连接到应用服务器，且用户端可以接入多个不同的应用服务器，该用户端可以是手机、PC机、笔记本电脑等设备或者软件。

根据本发明的应用服务管理系统，其中：

鉴别服务器，用于为应用服务器颁发用鉴别服务器证书私钥签名的应用服务器证书及对应的应用服务器证书私钥，为用户端颁发用鉴别服务器证书私钥签名的用户端证书及对应的用户端证书私钥，并将该应用服务器证书对应的应用服务器身份信息、该用户端证书对应的用户端身份信息予以储存，身份信息中可以包括有证书颁发者、证书持有者、证书编号等信息，并根据鉴别服务器证书私钥、应用服务器证书、用户端证书对应用服务器所发送的鉴别请求消息进行有效性验证，生成鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向应用服务器发送，其中，应用服务器证书中包括有应用服务器证书公钥以及上述应用服务器身份信息，用户端证书中包括有用户端证书公钥以及上述用户端身份信息；

用户端，用于产生第一用户端新鲜性标识信息，该第一用户端新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该第一用户端新鲜性标识，并根据用户端信息、用户端证书、该第一用户端新鲜性标识生成接入请求信息，并使用用户端证书私钥对该接入请求消息签名后向应用服务器发送，同时，该用户端还接收应用服务器发送的接入响应消息，根据鉴别服务器证书公钥、应用服务器证书公钥以及上述第一用户端新鲜性标识判断该接入响应消息的有效性，并根据应用服务器产生的主密钥、第一用户端新鲜性标识、接入响应消息中的第一应用服务器新鲜性标识产生消息鉴别密钥，根据用户端身份信息、应用服务器身份信息、第一用户端新鲜性标识、第一应用服务器新鲜性标识、接入响应消息中的主密钥信息生成接入确认消息，根据所述消息鉴别密钥、该接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向所述应用服务器发送；

应用服务器，用于接收并解析用户端发送的所述接入请求消息，根据用户端证书公钥、鉴别服务器证书公钥验证该接入请求消息签名的有效性，生成第一应用服务器新鲜性标识，该第一应用服务器新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该第一应用服务器新鲜性标识，并根据用户端证书、应用服务器证书、第一用户端新鲜性标识、该第一应用服务器新鲜性标识构建鉴别请求消息，并用应用服务器证书私钥对该鉴别请求消息签名后向鉴别服务器发送，同时，该应用服务器还接收鉴别服务器发送的鉴别响应消息，根据鉴别服务器证书公钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识验证鉴别服务器所发送的该鉴别响应消息的有效性，产生主密钥，使用用户端证书公钥对该主密钥加密形成主密钥密文，根据该鉴别响应消息、应用服务器证书、该主密钥密文、相关主密钥信息构建接入响应消息，并使用应用服务器证书私钥对该接入响应消息签名后向用户端发送，接收用户端发送的接入确认消息，并根据主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识、主密钥信息验证该接入确认消息的有效性；

该应用服务器还用于：生成业务密钥通告消息，所述业务密钥通告消息包括业务密钥信息，所述业务密钥信息包括所述主密钥信息，根据所述消息鉴别密钥、所述业务密钥通告消息计算业务密钥通告消息的消息鉴别码，向用户端发送附加了所述业务密钥通告消息的消息鉴别码的业务密钥通告消息，接收并解析用户端发送的业务密钥请求消息，并根据消息鉴别密钥判断该业务密钥请求消息的有效性，产生第二应用服务器新鲜性标识，该第二应用服务器新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该第二应用服务器新鲜性标识，并根据所述主密钥、该第二应用服务器新鲜性标识、所述业务密钥请求信息中用户端产生的第二用户端新鲜性标识生成新的业务密钥，构造业务密钥响应消息，根据所述消息鉴别密钥、所述业务密钥响应消息计算业务密钥响应消息的消息鉴别码，并在将该业务密钥响应消息的消息鉴别码附加于所述业务密钥响应消息后向所述用户端发送；

所述用户端还用于：接收应用服务器发送的业务密钥通告消息，根据所述消息鉴别密钥判断该业务密钥通告消息的有效性，生成第二用户端新鲜性标识，该第二用户端新鲜性标识可以是时戳、随机数或顺序号等可以用来标识是新发起的请求的标识性信息，通常可以将随机数作为该第二用户端新鲜性标识，并根据所述业务密钥信息以及该第二用户端新鲜性标识构造业务密钥请求消息，根据所述消息鉴别密钥、所述业务密钥请求消息计算业务密钥请求消息的消息鉴别码，并在将该业务密钥请求消息的消息鉴别码附加于所述业务密钥请求消息后向所述应用服务器发送，接收应用服务器发送的业务密钥响应消息，根据上述消息鉴别密钥判断该业务密钥响应消息的有效性，并根据主密钥、第二应用服务器新鲜性标识、第二用户端新鲜性标识生成所述新的业务密钥，并启用该新的业务密钥。

参见图3所示，是本发明具体实施例一中的基于数字证书的应用服务管理系统的具体结构示意图，如图所示，在本实施例中：

本实施例中的鉴别服务器具体包括：

注册模块，用于接收所述应用服务器、所述用户端的注册请求消息，为所述应用服务器颁发所述应用服务器证书以及对应的所述应用服务器证书私钥，为所述用户端颁发所述用户端证书以及对应的所述用户端证书私钥；

与所述注册模块连接的鉴别服务器存储模块，用于储存所述鉴别服务器证书、所述鉴别服务器证书私钥、所述应用服务器身份信息、所述用户端身份信息，这些身份信息可以包括证书颁发者、证书持有者、证书编号等信息；

与所述鉴别服务器存储模块、所述应用服务器连接的有效性验证模块，用于接收所述应用服务器发送的所述鉴别请求消息，根据所述鉴别服务器证书私钥、所述应用服务器证书、所述用户端证书对所述鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述应用服务器发送；

本实施例中的应用服务器具体包括：

应用服务器存储模块，用于储存所述鉴别服务器证书、所述应用服务器证书、所述应用服务器证书私钥、所述用户端证书、所述主密钥、所述消息鉴别密钥、所述第一用户端新鲜性标识、所述第二用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述第二应用服务器新鲜性标识、业务密钥、应用服务资源等信息；

与所述鉴别服务器、所述用户端、所述应用服务器存储模块连接的应用服务器接入处理模块，用于接收并解析所述用户端发送的所述接入请求消息，构建鉴别请求消息并向所述鉴别服务器发送，接收并解析所述鉴别服务器发送的所述鉴别响应消息，构建接入响应消息，接收并解析所述用户端发送的所述接入确认消息，根据所述主密钥生成所述消息鉴别密钥，并向应用服务器密钥管理模块发送协商业务密钥的消息；

与所述用户端、所述应用服务器存储模块、所述应用服务器接入处理模块连接的应用服务器密钥管理模块，用于接收所述协商业务密钥的消息，向所述用户端发送所述业务密钥通告消息，接收并解析所述用户端发送的所述业务密钥请求消息，向所述用户端发送所述业务密钥响应消息，并向应用服务器应用管理模块发送打开应用服务界面的消息；

与所述用户端、所述应用服务器接入处理模块、所述应用服务器密钥管理模块连接的应用服务器应用管理模块，用于接收所述打开应用服务界面的消息，向所述用户端打开应用服务界面，接收并处理所述用户端发送的应用服务请求消息，并向应用服务器数据传输模块发送向用户端发送应用服务数据包的消息；

与所述用户端、所述应用服务器存储模块、所述应用服务器应用管理模块连接的应用服务器数据传输模块，用于接收所述向用户端发送应用服务数据包的消息，从所述应用服务器存储模块中读取应用服务资源，并对所述应用服务资源加密后向所述用户端发送。

本实施例中的用户端具体包括：

用户端存储模块，用于储存所述鉴别服务器证书、所述应用服务器证书、所述用户端证书、所述用户端证书私钥、所述主密钥、所述消息鉴别密钥、业务密钥、所述第一用户端新鲜性标识、所述第二用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述第二应用服务器新鲜性标识等信息；

与所述应用服务器、所述用户端存储模块连接的用户端接入处理模块，用于向所述应用服务器发送所述接入请求消息，接收并解析所述应用服务器发送的所述接入响应消息，根据接入响应消息构建接入确认消息，根据所述主密钥推导所述消息鉴别密钥，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加于所述接入确认消息后向应用服务器发送；

与所述应用服务器、所述用户端存储模块连接的用户端密钥管理模块，用于接收并解析所述应用服务器发送的所述业务密钥通告消息，构建业务密钥请求消息向所述应用服务器发送，接收并解析所述应用服务器发送的所述业务密钥响应消息，根据所述业务密钥响应消息生成业务密钥，并向用户端应用管理模块发送发起应用业务请求的消息；

与所述应用服务器、所述用户端密钥管理模块连接的用户端应用管理模块，用于接收所述发起应用业务请求的消息，选择应用服务类型，向所述应用服务器发送应用服务请求消息，并向用户端数据传输模块发送接收应用服务数据包的消息；

与所述应用服务器、所述用户端存储模块、所述用户端应用管理模块连接的用户端数据传输模块，用于接收所述应用服务器发送的所述加密的服务资源，并对该加密的服务资源进行解密。

参见图4所示，是本发明具体实施例二中的基于数字证书的应用服务管理系统的具体结构示意图。

在本实施例中，考虑到对于不同的应用服务，所选择的注册方式可能有所不同，例如：对于某些安全性要求很高的应用服务，例如金融行业等等，可能需要用户人工到相应的注册机构进行注册，获得相关的证书，例如银行卡业务需要到相应的银行柜台进行办理等等，而对于其他的一些应用服务，对安全性的要求可能相对较低，因此，可以直接通过网络进行相关的注册即可，因此，本实施例中，在应用服务器中增加了应用服务器注册模块，在用户端增加了用户端注册模块，以满足这类应用服务的注册需求。

基于上述考虑，如图所示，在本实施例中，与上述实施例一中的不同之处主要在于：

本实施例中的应用服务器还包括：

与所述用户端、所述鉴别服务器、所述应用服务器存储模块连接的应用服务器注册模块，用于向所述鉴别服务器发送应用服务器注册请求消息，向所述鉴别服务器申请应用服务器证书、应用服务器证书私钥；

所述应用服务器还用于将接收到的所述用户端发送的用户端注册请求消息向所述鉴别服务器转发；

本实施例中的用户端还包括：

与所述应用服务器、所述用户端存储模块连接的用户端注册模块，用于通过所述应用服务器向所述鉴别服务器发送用户端注册请求消息，向所述鉴别服务器申请用户端证书、用户端证书私钥。

本实施例中的其他技术特征与上述实施例一中的相同，在此不予赘述。

以下针对本发明的基于数字证书的应用服务管理系统的管理流程进行详细描述。

在具体应用本发明的应用服务管理系统进行管理时，各应用服务器、各用户端应首先向鉴别服务器申请颁发证书及对应的证书私钥。其中，该鉴别服务器本地持有一个鉴别服务器证书，该鉴别服务器证书的私钥用于对颁发给应用服务器、用户端的证书进行签名，并维护证书有效性的相关信息，例如吊销列表等等。

在进行具体注册时，如上所述，出于对不同的应用服务所需要的安全程度高低不同的考虑，或者是具体应用策略的选择方式，可以采用不同的注册方式，例如：对于某些安全性要求很高的应用服务，例如金融行业等等，可能需要用户人工到相应的注册机构进行注册，获得相关的证书以及对应的证书私钥，例如银行金融类业务需要到相应的银行柜台进行办理等等，对于这一类型的注册方式在此不予多加赘述，而对于其他的一些应用服务，对安全性的要求可能相对较低，或者是，出于对应用便利性的考虑，可以直接通过网络进行相关的注册即可。

下面以上述实施例二中、附图4中所示的本发明的基于数字证书的应用服务管理系统为例对通过网络进行注册的流程进行说明。

在应用服务器向鉴别服务器申请注册获得应用服务器证书及对应的私钥时：

应用服务器通过应用服务器注册模块向鉴别服务器发送应用服务器注册请求消息，该应用服务器注册请求消息中可包括有应用服务器身份信息等信息；

鉴别服务器的注册模块接收到该应用服务器注册请求消息后，为该应用服务器颁发用鉴别服务器证书私钥签名的应用服务器证书及对应的应用服务器证书私钥，该应用服务器证书中包括有应用服务器证书公钥以及应用服务器身份信息，该应用服务器身份信息包括有证书颁发者信息、该应用服务器证书持有者信息、该应用服务器证书编号等信息，并将应用服务器注册请求消息中的相关注册信息、以及该应用服务器身份信息发送至鉴别服务器存储模块予以储存，并将上述的应用服务器证书以及对应的应用服务器证书私钥、鉴别服务器证书等信息向应用服务器发送；

应用服务器的应用服务器注册模块接收鉴别服务器发送的上述应用服务器证书、应用服务器证书私钥以及鉴别服务器证书等信息，并发送至应用服务器存储模块予以储存。

在用户端向鉴别服务器申请注册获得用户端证书及对应的私钥时：

用户端的用户端注册模块向应用服务器发送用户端注册请求消息，该用户端注册请求消息中可包括有用户端身份信息等信息；

应用服务器的应用服务器注册模块接收到所述用户端注册请求消息后，将该用户端注册请求消息向鉴别服务器转发；

鉴别服务器的注册模块接收到该用户端注册请求消息后，为该用户端颁发用鉴别服务器证书私钥签名的用户端证书及对应的用户端证书私钥，该用户端证书中包括有用户端证书公钥以及用户端身份信息，该用户端身份信息包括有证书颁发者信息、该用户端证书持有者信息、该用户端证书编号等信息，并将用户端注册请求消息中的相关注册信息、以及该用户端身份信息等发送至鉴别服务器存储模块予以储存，并将上述用户端证书以及对应的用户端证书私钥、鉴别服务器证书等信息向应用服务器发送；

应用服务器的应用服务器注册模块接收到上述用户端证书、用户端证书私钥、鉴别服务器证书等信息后，向用户端转发，用户端接收后发送至用户端存储模块予以储存。

在各应用服务器、用户端已向鉴别服务器申请获得了相应的证书及对应的证书私钥之后，即可进行后续的接入鉴别、身份验证、协商业务密钥等过程。

以下以上述实施例一中、附图3中所示的本发明的基于数字证书的应用服务管理系统为例对后续过程中的接入鉴别、身份验证、业务密钥协商等管理流程进行详细举例说明。

在用户端与应用服务器之间进行应用服务数据的传输之前，用户端需要接入到应用服务器，用户端接入应用服务器的过程是一个应用服务器、用户端以及鉴别服务器之间进行消息交互的过程，其主要过程为：

用户端接入应用服务器网络，用户端的用户端接入处理模块产生一个第一用户端新鲜性标识，该第一用户端新鲜性标识可用于标识当前所发送的请求是新发起的请求，该第一用户端新鲜性标识可以是时戳、随机数、或者是顺序号等信息，通常可以选用随机数来表示，并根据用户端信息、用户端证书、该第一用户端新鲜性标识等信息生成接入请求消息，并用用户端证书私钥对该接入请求消息签名后发送给需要向其提供应用服务的应用服务器；

应用服务器的应用服务器接入处理模块接收到用户端发送的上述接入请求消息后：

使用用户端证书公钥验证该接入请求消息签名的有效性，并从应用服务器存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证该接入请求消息中用户端证书签名的有效性，若任意一个验证失败，则该用户端的接入过程失败；

若上述验证均通过，则应用服务器根据用户端信息确定该用户端的业务权限以及使用规则，确定用户端的相关信息有效，并将第一用户端新鲜性标识发送至应用服务器存储模块予以储存，产生第一应用服务器新鲜性标识并将该第一应用服务器新鲜性标识发送至应用服务器存储模块予以储存，该第一应用服务器新鲜性标识可用于标识当前所发送的消息是新发起的消息，该第一应用服务器新鲜性标识可以是时戳、随机数或顺序号等信息，通常可以选用随机数来进行表示，并根据用户端证书、应用服务器证书、第一用户端新鲜性标识、第一应用服务器新鲜性标识生成鉴别请求消息，并用应用服务器证书私钥对该鉴别请求消息签名后向鉴别服务器发送；

鉴别服务器接收到上述应用服务器发送的上述鉴别请求消息后：

鉴别服务器的有效性验证模块使用应用服务器证书公钥验证该鉴别请求消息的签名的有效性，从鉴别服务器存储模块中读取鉴别服务器证书私钥，使用鉴别服务器证书私钥验证应用服务器证书以及用户端证书的签名的有效性，并通过判断应用服务器证书以及用户端证书的有效期、吊销信息、使用用途、使用策略等信息，判断对应的证书的有效性；

鉴别服务器的有效性验证模块根据上述的验证结果，构造应用服务器证书验证结果、用户端证书验证结果，并使用应用服务器证书验证结果、用户端证书验证结果、第一应用服务器新鲜性标识、第一用户端新鲜性标识、用户端身份信息、应用服务器身份信息等信息构建鉴别响应消息，并用鉴别服务器证书私钥对该鉴别响应消息签名后向应用服务器发送；

应用服务器的应用服务器接入处理模块接收到上述鉴别服务器发送的鉴别响应消息后：

从应用服务器存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证鉴别响应消息的签名的有效性，判断鉴别响应消息中应用服务器证书、用户端证书的验证结果是否有效，从应用服务器存储模块中读取所存储的第一用户端新鲜性标识、第一应用服务器新鲜性标识，并与鉴别响应消息中的第一用户端新鲜性标识、第一应用服务器新鲜性标识进行比较，判断一致性，并判断鉴别响应消息中的应用服务器身份信息、用户端身份信息与所储存的应用服务器身份信息、用户端身份信息是否相同，若上述任意一项验证未通过，则用户端的接入过程失败；

若上述验证均通过，该应用服务器接入处理模块产生随机数主密钥，使用用户端证书公钥对该主密钥进行加密得到主密钥密文，并将该主密钥或者主密钥密文与主密钥信息进行绑定，主密钥信息包括有主密钥的索引等信息，并使用鉴别响应消息、应用服务器证书、主密钥密文、主密钥信息构造接入响应消息，并用应用服务器证书私钥对该接入响应消息签名后向用户端发送；

用户端的用户端接入处理模块在接收到上述应用服务器发送的上述接入响应消息后：

从用户端存储模块中读取鉴别服务器证书，使用鉴别服务器证书公钥验证该接入响应消息中鉴别响应消息的签名的有效性，使用应用服务器证书公钥验证该接入响应消息的签名的有效性，其中，在该步骤中，在不要求较高的验证效率的情况下，也可以先验证接入响应消息的签名的有效性，再验证鉴别响应消息的签名的有效性，该用户端接入处理模块还判断鉴别响应消息中用户端证书、应用服务器证书的验证结果是否有效，从用户端存储模块中读取第一用户端新鲜性标识，判断其与鉴别响应消息中的第一用户端新鲜性标识是否一致，判断鉴别响应消息中的用户端身份信息、应用服务器身份信息与所存储的用户端身份信息、应用服务器身份信息是否一致，是上述任意一项的验证未通过，则接入过程失败；

若上述验证均通过，则用户端接入处理模块从用户端存储模块中读取用户端证书私钥，使用用户端证书私钥对所述主密钥密文进行解密，获得所述主密钥，并将对应的主密钥信息发送至用户端存储模块予以储存，用户端接入处理模块根据主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识推导出消息鉴别密钥，使用用户端身份信息、应用服务器身份信息、第一用户端新鲜性标识、第一应用服务器新鲜性标识以及主密钥信息等信息构建接入确认消息，并使用上述消息鉴别密钥、该接入确认消息计算得出接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向应用服务器发送；

其中，上述根据主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识推导出消息鉴别密钥的过程可以是通过预先设定的函数来进行，根据所选用的函数的不同，可以有不同的推导方式，此外，该所选用的函数应当是不可逆(单向)函数，使得推导出消息鉴别密钥的过程是不可逆(单向)的，以避免非法侵入用户根据消息鉴别密钥反推导出对应的相关信息；

应用服务器的应用服务器接入处理模块接收到上述用户端发送的上述接入确认消息后：

利用主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识推导出消息鉴别密钥，根据该消息鉴别密钥、所接收的上述接入确认消息计算得出接入确认消息的消息鉴别码，并比较该计算出的接入确认消息的消息鉴别码与附加于接入确认消息中的接入确认消息的消息鉴别码的一致性，若不一致，则接入过程失败，若一致，应用服务器处理模块从应用服务器存储模块读取所存储的第一用户端新鲜性标识、第一应用服务器新鲜性标识，并将其分别与接入确认消息中的第一用户端新鲜性标识、第一应用服务器新鲜性标识进行比较，确定一致性，并判断应用服务器的身份信息、用户端的身份信息与应用服务器存储模块所存储的是否一致、主密钥信息与应用服务器存储模块中所存储的是否相同，若上述任意一项验证未通过，则接入过程失败；

若上述验证均通过，则应用服务器接入模块向应用服务器应用管理模块发送打开应用服务资源平台的消息。

至此，用户端成功接入至应用服务器，完成了用户端与应用服务器二者之间的双向的身份鉴别，同时也完成了用户端与应用服务器之间的主密钥的同步，进入后续的协商业务密钥的过程。

在上述用户端接入应用服务器的过程完成之后，应用服务器接入处理模块即可向应用服务器密钥管理模块发送协商业务密钥的消息，或者也可以是，在用户端与应用服务器进行应用服务业务的交互期间，应用服务器密钥管理模块可周期性的发起业务密钥更新的消息，避免过长时间的使用同一个密钥不更新而被破解的可能性，提高应用服务的安全性。

以下针对其中的一个业务密钥协商的过程进行说明，其主要步骤包括：

应用服务器密钥管理模块搜索应用服务器存储模块中的业务密钥索引，其中，若该用户端是初次接入，则为未占用的密钥索引，若是上述周期性发起的业务密钥更新，则为需要更新的密钥索引，应用服务器密钥管理模块生成业务密钥通告消息，该业务密钥通告消息中包括有上述主密钥信息、业务密钥索引、业务密钥生存周期等信息，应用服务器密钥管理模块使用上述主密钥推导出的消息鉴别密钥、该业务密钥通告消息计算业务密钥通告消息的消息鉴别码，并将该业务密钥通告消息的消息鉴别码附于所述业务密钥通告消息后向用户端发送，以通知用户端开始向应用服务器请求新的业务密钥；

用户端的用户端密钥管理模块接收到上述应用服务器发送的上述业务密钥通告消息后，用户端使用上述主密钥推导出的消息鉴别密钥、所接收的业务密钥通告消息计算业务密钥通告消息的消息鉴别码，并判断该计算得到的业务密钥通告消息的消息鉴别码与附加于上述业务密钥通告消息的业务密钥通告消息的消息鉴别码的一致性，若不一致，则丢弃该业务密钥通告消息，若一致，该用户端产生第二用户端新鲜性标识并将该第二用户端新鲜性标识发送至用户端存储模块予以储存，该第二用户端新鲜性标识可以是时戳、随机数或顺序号等信息，以标识当前所发送的消息是新发起的消息，根据该第二用户端新鲜性标识、以及所述业务密钥信息构造业务密钥请求消息，使用上述主密钥推导出的消息鉴别密钥、该业务密钥请求消息计算业务密钥请求消息的消息鉴别码，并将该业务密钥请求消息的消息鉴别码附加在所述业务密钥请求消息后向应用服务器发送；

应用服务器的应用服务器密钥管理模块接收到上述用户端发送的上述业务密钥请求消息后，使用上述主密钥推导出的消息鉴别密钥、所接收的该业务密钥请求消息计算业务密钥请求消息的消息鉴别码，判断该计算得到的业务密钥请求消息的消息鉴别码与附加于所述业务密钥请求消息的业务密钥请求消息的消息鉴别码的一致性，若不一致，则丢弃该业务密钥请求消息，不进行任何处理，若一致，则根据业务密钥信息检查主密钥是否在激活状态，若不是在激活状态，则丢弃该业务密钥请求消息，不进行任何处理；

若上述判断过程均通过，则生成第二应用服务器新鲜性标识并将该第二应用服务器新鲜性标识发送至应用服务器存储模块予以储存，使用所述主密钥、该第二应用服务器新鲜性标识、第二用户端新鲜性标识推导生成新的业务密钥，使用该新的业务密钥、第二应用服务器新鲜性标识、第二用户端新鲜性标识构造业务密钥响应消息，使用主密钥推导出的消息鉴别密钥以及该业务密钥响应消息计算业务密钥响应消息的消息鉴别码，并将该业务密钥响应消息的消息鉴别码附加于上述业务密钥响应消息后向用户端发送；

用户端的用户端密钥管理模块接收到上述应用服务器发送的附加了上述业务密钥响应消息的消息鉴别码的上述业务密钥响应消息后，使用主密钥推导出的消息鉴别密钥、所接收的该业务密钥响应消息计算业务密钥响应消息的消息鉴别码，判断该计算所得的业务密钥响应消息的消息鉴别码与附加于所述业务密钥响应消息的业务密钥响应消息的消息鉴别码的一致性，若不一致，则丢弃该业务密钥响应消息，若一致，则根据业务密钥信息判断主密钥是否在激活状态，若未在激活状态，则丢弃该业务密钥响应消息；

判断业务密钥响应消息中的第二用户端新鲜性标识与发送业务密钥请求消息时的第二用户端新鲜性标识是否一致，若不一致，则丢弃该业务密钥响应消息，若一致，根据所述主密钥、第二用户端新鲜性标识、第二应用服务器新鲜性标识推导生成所述新的业务密钥，并将更新的业务密钥映射至业务密钥信息，在旧的业务密钥失效之前，再启用该新的业务密钥。

至此，用户端与应用服务器之间建立了基于业务密钥的安全的数据传输通道，使得可以使用该建立的业务密钥对传输的应用服务数据进行保护，此外，在协商业务密钥时，每次发送的消息传输都附加了生成的对应的消息鉴别码，使得用户端及应用服务器可以根据消息鉴别码判断该消息在传输过程中是否被篡改过，且使得每次所发送的消息都具有抗抵赖性和完整性的保证。

在完成了上述的协商密钥的过程之后，应用服务器的应用服务器密钥管理模块向应用服务器应用管理模块发送打开应用服务界面的消息，使应用服务器应用管理模块允许与用户端进行应用服务的交互，同时，用户端的用户端密钥管理模块向用户端应用管理模块发送应用操作选择的消息，通知用户端应用管理模块进行应用操作以及资源的选择。

应用服务器应用管理模块接收到应用服务器密钥管理模块的消息后，向用户端打开应用服务界面；

用户端应用管理模块接收到用户端密钥管理模块的消息后，根据应用服务器打开的应用服务界面，选择相应的应用服务业务，向应用服务器应用管理模块发送应用服务请求消息，并向用户端数据传输模块发送接收应用服务数据包的消息；

应用服务器应用管理模块接收并处理用户端应用管理模块发送的上述应用服务请求消息，并向应用服务器数据传输模块发送向用户端发送应用服务数据包的消息；

应用服务器数据传输模块接收到应用服务器管理模块发送的上述消息后，从应用服务器存储模块中读取相应的应用服务资源，并使用上述业务密钥对该应用服务资源加密后向用户端发送；

用户端数据传输模块接收上述所述应用服务器数据传输模块发送的上述加密的服务资源，对该加密的服务资源进行解密后，提供给用户进行使用。

其中，用户端数据传输模块接收到上述加密的服务资源后，还可以将该加密的服务资源发送至用户端存储模块予以储存，或者是将该加密的服务资源进行解密后发送至用户端存储模块予以储存。

根据以上阐述，本发明的基于数字证书的应用服务管理系统，其由鉴别服务器统一为各用户端、应用服务器颁发证书及对应的证书私钥，用户端根据鉴别服务器为其颁发的证书可以访问不同的应用服务器，无需在每次访问一个新的应用服务器时都进行注册，因此，用户可以在不进行多余的注册操作即可享受不同的应用服务器所提供的应用服务，此外，在用户端与应用服务器通过鉴别服务器验证了双方的身份之后，由应用服务器向用户端分发主密钥，并通过主密钥等元素协商二者之间通信的业务密钥，建立应用服务数据传输的安全通道，通过该业务密钥实现应用服务器数据在安全通道中的加密传输，避免了应用服务数据被网络的非法入侵者截获并使用，且在建立业务密钥的过程中，在每次发送消息时均生成对应的消息鉴别码，使得所发送的消息具备抗抵赖性和完整性的保证。

另外，根据本发明的基于数字证书的应用服务管理系统，应用服务器具有独立的身份，从而使得应用服务器的身份可被区分，方便管理机构的监管，同时，用户端、应用服务器、鉴别服务器之间在接入和鉴别过程中的通信无需经过额外的安全信道，这相对于日益广泛的应用服务领域来说，在管理以及运营模式上进行了改进和突破。

此外，根据上述本发明的基于数字证书的应用服务管理系统，本发明还提供一种基于数字证书的应用服务管理方法，该应用服务管理方法的具体实施方式可如上所述的应用服务管理系统的管理流程所述，在此不予多加赘述。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (11)

1、一种基于数字证书的应用服务管理系统，包括鉴别服务器、与所述鉴别服务器连接的应用服务器、以及与所述应用服务器连接的用户端：

所述鉴别服务器，用于为所述应用服务器颁发应用服务器证书及对应的应用服务器证书私钥，为所述用户端颁发用户端证书及对应的用户端证书私钥，并将对应的应用服务器身份信息、用户端身份信息予以储存，并根据所述鉴别服务器证书私钥、所述应用服务器证书、所述用户端证书对所述应用服务器所发送的鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述应用服务器发送，所述应用服务器证书包括应用服务器证书公钥和所述应用服务器身份信息，所述用户端证书包括用户端证书公钥和所述用户端身份信息；

所述用户端，用于生成第一用户端新鲜性标识，根据用户端信息、所述用户端证书、所述第一用户端新鲜性标识构建接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述应用服务器发送，接收所述应用服务器发送的接入响应消息，根据鉴别服务器证书公钥、所述应用服务器证书公钥以及所述第一用户端新鲜性标识判断所述接入响应消息的有效性，根据所述应用服务器产生的主密钥、所述第一用户端新鲜性标识、第一应用服务器新鲜性标识产生消息鉴别密钥，根据所述用户端身份信息、所述应用服务器身份信息、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述接入响应消息中的主密钥信息生成接入确认消息，根据所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附加在所述接入确认消息后向所述应用服务器发送；

所述应用服务器，用于接收并解析所述接入请求消息，根据所述用户端证书公钥、所述鉴别服务器证书公钥验证所述接入请求消息签名的有效性，生成第一应用服务器新鲜性标识，并根据所述用户端证书、所述应用服务器证书、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识构建鉴别请求消息，并用所述应用服务器证书私钥对该鉴别请求消息签名后向所述鉴别服务器发送，接收所述鉴别服务器发送的所述鉴别响应消息，根据所述鉴别服务器证书公钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识验证所述鉴别响应消息的有效性，根据所述鉴别响应消息、所述应用服务器证书、所述应用服务器产生的主密钥、所述主密钥信息构建接入响应消息、并用所述应用服务器证书私钥对该接入响应消息签名后向所述用户端发送，接收所述接入确认消息，并根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述主密钥信息验证所述接入确认消息的有效性。

2、根据权利要求1所述的基于数字证书的应用服务管理系统，其特征在于：

所述应用服务器，还用于生成业务密钥通告消息，所述业务密钥通告消息包括业务密钥信息，所述业务密钥信息包括所述主密钥信息，根据所述消息鉴别密钥、所述业务密钥通告消息计算业务密钥通告消息的消息鉴别码，并将该业务密钥通告消息的消息鉴别码附加于所述业务密钥通告消息后向所述用户端发送，接收并解析所述用户端发送的业务密钥请求消息，根据所述消息鉴别密钥判断所述业务密钥请求消息的有效性，产生第二应用服务器新鲜性标识，根据所述主密钥、所述第二应用服务器新鲜性标识、所述用户端产生的第二用户端新鲜性标识生成新的业务密钥，构造业务密钥响应消息，根据所述消息鉴别密钥、所述业务密钥响应消息计算业务密钥响应消息的消息鉴别码，并在将该业务密钥响应消息的消息鉴别码附加于所述业务密钥响应消息后向所述用户端发送；

所述用户端，还用于接收所述业务密钥通告消息，根据所述消息鉴别密钥判断所述业务密钥通告消息的有效性，生成第二用户端新鲜性标识，根据所述业务密钥信息以及所述第二用户端新鲜性标识构造业务密钥请求消息，根据所述消息鉴别密钥、所述业务密钥请求消息计算业务密钥请求消息的消息鉴别码，并在将该业务密钥请求消息的消息鉴别码附加于所述业务密钥请求消息后向所述应用服务器发送，接收所述业务密钥响应消息，根据所述消息鉴别密钥判断所述业务密钥响应消息的有效性，并根据所述主密钥、所述第二应用服务器新鲜性标识、所述第二用户端新鲜性标识生成所述新的业务密钥，并启用该新的业务密钥。

3、根据权利要求2所述的基于数字证书的应用服务管理系统，其特征在于，所述鉴别服务器具体包括：

注册模块，用于为所述应用服务器颁发所述应用服务器证书以及对应的所述应用服务器证书私钥，为所述用户端颁发所述用户端证书以及对应的所述用户端证书私钥；

与所述注册模块连接的鉴别服务器存储模块，用于储存所述鉴别服务器证书、所述鉴别服务器证书私钥、所述应用服务器身份信息、所述用户端身份信息；

与所述鉴别服务器存储模块、所述应用服务器连接的有效性验证模块，用于接收所述应用服务器发送的所述鉴别请求消息，根据所述鉴别服务器证书私钥、所述应用服务器证书、所述用户端证书对所述鉴别请求消息进行有效性验证，生成鉴别响应消息，并用所述鉴别服务器证书私钥对所述鉴别响应消息签名后向所述应用服务器发送。

4、根据权利要求2所述的基于数字证书的应用服务管理系统，其特征在于，所述应用服务器具体包括：

应用服务器存储模块，用于储存所述鉴别服务器证书、所述应用服务器证书、所述应用服务器证书私钥、所述用户端证书、所述主密钥、所述消息鉴别密钥、所述第一用户端新鲜性标识、所述第二用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述第二应用服务器新鲜性标识、业务密钥、应用服务资源；

与所述鉴别服务器、所述用户端、所述应用服务器存储模块连接的应用服务器接入处理模块，用于接收并解析所述用户端发送的所述接入请求消息，构建鉴别请求消息并向所述鉴别服务器发送，接收并解析所述鉴别响应消息，构建接入响应消息，接收并解析所述接入确认消息，根据所述主密钥生成所述消息鉴别密钥，并向应用服务器密钥管理模块发送协商业务密钥的消息；

与所述用户端、所述应用服务器存储模块、所述应用服务器接入处理模块连接的应用服务器密钥管理模块，用于接收所述协商业务密钥的消息，向所述用户端发送所述业务密钥通告消息，接收并解析所述业务密钥请求消息，向所述用户端发送所述业务密钥响应消息，并向应用服务器应用管理模块发送打开应用服务界面的消息；

与所述用户端、所述应用服务器接入处理模块、所述应用服务器密钥管理模块连接的应用服务器应用管理模块，用于接收所述打开应用服务界面的消息，向所述用户端打开应用服务界面，接收并处理所述用户端发送的应用服务请求消息，并向应用服务器数据传输模块发送向用户端发送应用服务数据包的消息；

与所述用户端、所述应用服务器存储模块、所述应用服务器应用管理模块连接的应用服务器数据传输模块，用于接收所述向用户端发送应用服务数据包的消息，从所述应用服务器存储模块中读取应用服务资源，并对所述应用服务资源加密后向所述用户端发送。

5、根据权利要求2或4所述的应用服务管理系统，其特征在于，所述用户端具体包括：

用户端存储模块，用于储存所述鉴别服务器证书、所述应用服务器证书、所述用户端证书、所述用户端证书私钥、所述主密钥、所述消息鉴别密钥、业务密钥、所述第一用户端新鲜性标识、所述第二用户端新鲜性标识、所述第一应用服务器新鲜性标识、所述第二应用服务器新鲜性标识；

与所述应用服务器、所述用户端存储模块连接的用户端接入处理模块，用于向所述应用服务器发送所述接入请求消息，接收并解析所述应用服务器发送的所述接入响应消息，构建接入确认消息并将该接入确认消息向所述应用服务器发送，根据所述主密钥推导所述消息鉴别密钥；

与所述应用服务器、所述用户端存储模块连接的用户端密钥管理模块，用于接收并解析所述应用服务器发送的所述业务密钥通告消息，构建业务密钥请求消息向所述应用服务器发送，接收并解析所述应用服务器发送的所述业务密钥响应消息，根据所述业务密钥响应消息生成业务密钥，并向用户端应用管理模块发送发起应用业务请求的消息；

与所述应用服务器、所述用户端密钥管理模块连接的用户端应用管理模块，用于接收所述发起应用业务请求的消息，选择应用服务类型，向所述应用服务器发送服务请求消息，并向用户端数据传输模块发送接收应用服务数据包的消息；

与所述应用服务器、所述用户端存储模块、所述用户端应用管理模块连接的用户端数据传输模块，用于接收所述应用服务器发送的所述加密的服务资源，并对该加密的服务资源进行解密。

6、根据权利要求5所述的基于数字证书的应用服务管理系统，其特征在于：

所述应用服务器还包括：

与所述用户端、所述鉴别服务器、所述应用服务器存储模块连接的应用服务器注册模块，用于向所述鉴别服务器发送应用服务器注册请求消息，向所述鉴别服务器申请应用服务器证书、应用服务器证书私钥；

所述应用服务器还用于将接收到的所述用户端发送的用户端注册请求消息向所述鉴别服务器转发；

所述用户端还包括：

与所述应用服务器、所述用户端存储模块连接的用户端注册模块，用于通过所述应用服务器向所述鉴别服务器发送用户端注册请求消息。

7、根据权利要求1或2所述的基于数字证书的应用服务管理系统，其特征在于：

所述第一应用服务器新鲜性标识、和/或第一用户端新鲜性标识、和/或第二应用服务器新鲜性标识、和/或第二用户端新鲜性标识为标识、随机数或顺序号；

和/或

所述根据主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识产生消息鉴别密钥的过程为不可逆操作。

8、一种基于数字证书的应用服务管理系统的管理方法，所述应用服务管理系统包括鉴别服务器、应用服务器以及用户端，所述管理方法包括步骤：

所述鉴别服务器为所述应用服务器颁发应用服务器证书、应用服务器证书私钥，为所述用户端颁发用户端证书、用户端证书私钥；

所述用户端产生第一用户端新鲜性标识并予以储存，并根据用户端信息、所述用户端证书、所述第一用户端新鲜性标识生成接入请求消息，并用所述用户端证书私钥对该接入请求消息签名后向所述应用服务器发送；

所述应用服务器接收用所述用户端证书私钥签名的所述接入请求消息，根据所述用户端证书公钥、鉴别服务器证书公钥验证所述接入请求消息签名的有效性，产生第一应用服务器新鲜性标识并予以储存，根据所述用户端证书、所述应用服务器证书、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识组成鉴别请求消息，并用所述应用服务器证书私钥对所述鉴别请求消息签名后向所述鉴别服务器发送；

所述鉴别服务器接收用所述服务器证书私钥签名的所述鉴别请求消息，根据所述应用服务器证书公钥、鉴别服务器证书私钥验证所述鉴别请求消息的有效性，根据验证结果构建鉴别响应消息，并用所述鉴别服务器证书私钥对该鉴别响应消息签名后向所述应用服务器发送；

所述应用服务器接收所述用所述鉴别服务器证书私钥签名的所述鉴别响应消息，使用所述鉴别服务器证书公钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识判断所述鉴别响应消息的有效性，产生随机数主密钥，使用所述用户端证书公钥对所述主密钥加密生成主密钥密文，并使用所述鉴别响应消息、所述应用服务器证书、所述主密钥密文、主密钥信息构造接入响应消息，并用所述应用服务器证书私钥对该接入响应消息签名后向所述用户端发送；

所述用户端接收所述用所述应用服务器证书私钥签名的所述接入响应消息，应用所述鉴别服务器证书公钥、所述应用服务器证书公钥、所述第一用户端新鲜性标识判断所述接入响应消息的有效性，使用所述用户端私钥解密所述主密钥密文，获得所述主密钥，并根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识推导消息鉴别密钥，并根据所述用户端身份信息、所述应用服务器身份信息、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识、以及主密钥信息构建接入确认消息，使用所述消息鉴别密钥、所述接入确认消息计算接入确认消息的消息鉴别码，并将该接入确认消息的消息鉴别码附于所述接入确认消息后向所述应用服务器发送；

所述应用服务器接收所述附加了所述接入确认消息的消息鉴别码的接入确认消息，根据所述主密钥、所述第一用户端新鲜性标识、所述第一应用服务器新鲜性标识推导生成所述消息鉴别密钥，并根据所述消息鉴别密钥、第一用户端新鲜性标识、第一应用服务器标识、主密钥信息判断所述接入确认消息的有效性。

9、根据权利要求8所述的基于数字证书的应用服务管理方法，其特征在于，还包括步骤：

所述应用服务器生成业务密钥通告消息，所述业务密钥通告消息包括业务密钥信息，所述业务密钥信息包括所述主密钥信息，使用所述消息鉴别密钥、所述业务密钥通告消息生成业务密钥通告消息的消息鉴别码，将该业务密钥通告消息的消息鉴别码附加于所述业务密钥通告消息后向所述用户端发送；

所述用户端根据所述消息鉴别密钥判断所述业务密钥通告消息的有效性，生成第二用户端新鲜性标识并予以储存，使用所述第二用户端新鲜性标识以及所述业务密钥信息构造业务密钥请求消息，使用所述消息鉴别密钥、所述业务密钥请求消息计算业务密钥请求消息的消息鉴别码，并将该业务密钥请求消息的消息鉴别码附加于所述业务密钥请求消息后向所述应用服务器发送；

所述应用服务器根据所述消息鉴别密钥判断所述业务密钥请求消息的有效性，生成第二应用服务器新鲜性标识并予以储存，使用所述主密钥、所述第二应用服务器新鲜性标识、所述第二用户端新鲜性标识推导生成新的业务密钥，使用所述新的业务密钥、所述第二应用服务器新鲜性标识、所述第二用户端新鲜性标识构造业务密钥响应消息，使用所述消息鉴别密钥、所述业务密钥响应消息计算业务密钥响应消息的消息鉴别码，并将该业务密钥响应消息的消息鉴别码附加于所述业务密钥响应消息后向所述用户端发送；

所述用户端根据所述消息鉴别密钥、所述第二用户端新鲜性标识判断所述业务密钥响应消息的有效性，根据所述主密钥、所述第二用户端新鲜性标识、所述第二应用服务器新鲜性标识推导生成所述新的业务密钥，并启用该新的业务密钥。

10、根据权利要求9所述的基于数字证书的应用服务管理方法，其特征在于，还包括步骤：

所述应用服务器向所述鉴别服务器发送应用服务器注册请求消息，所述鉴别服务器根据所述应用服务器注册请求消息为所述应用服务器颁发所述应用服务器证书、所述应用服务器证书私钥；

所述用户端向所述应用服务器发送用户端注册请求消息，所述应用服务器接收所述用户端注册请求消息并向所述鉴别服务器转发，所述鉴别服务器根据所述用户端注册请求消息为所述用户端颁发所述用户端证书、所述用户端证书私钥。

11、根据权利要求8或9或10所述的基于数字证书的应用服务管理方法，其特征在于，所述第一应用服务器新鲜性标识、和/或第一用户端新鲜性标识、和/或第二应用服务器新鲜性标识、和/或第二用户端新鲜性标识为标识、随机数或顺序号；

和/或

所述根据主密钥、第一用户端新鲜性标识、第一应用服务器新鲜性标识产生消息鉴别密钥的过程为不可逆操作。

Images