CN101588239A - 一种基于简单对象访问协议消息的数字签名方法和装置 - Google Patents

Abstract

本发明公开了一种基于简单对象访问协议消息的数字签名方法，该方法包括步骤：生成SOAP消息；对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；对所述总字符串进行求散列值操作，求得信息摘要；通过求散列值操作对所述信息摘要加密，求得数字签名；将所求得的数字签名写入所述SOAP消息的头字段中，得到带数字签名的SOAP消息并发送。本发明还公开了一种基于简单对象访问协议消息的数字签名装置，该装置通过连接模块、计算模块、加密模块生成数字签名，并通过验证模块验证带数字签名的SOAP消息。采用本发明所述的方法，可保证SOAP消息的安全，且所需时间短、占用系统资源少。

Description

一种基于简单对象访问协议消息的数字签名方法和装置

技术领域

本发明涉及信息安全技术，尤其涉及一种基于简单对象访问协议(SOAP，Simple Object Access Protocol)消息的数字签名方法和装置。

背景技术

SOAP是一种应用程序之间的通信数据编码传输协议，具有简便、跨平台、可穿透防火墙等特点。SOAP消息使用基于超文本传输协议(HTTP，HypertextTransfer Protocol)和可扩展标识语言(XML，eXtensible Markup Language)的透明文本传输，处理效率较高，但很容易被窃取、篡改或伪造。

因此，当传输重要SOAP消息时需要加密，以防止被窃取、篡改或伪造。目前最常用、安全性较高的加密算法是基于加密套接字协议层(SSL，SecureSocket Layer)的加密算法，但这种加密算法高度复杂，使得进行SSL处理效率较低，在相同的应用场景下，在SOAP消息中使用SSL的响应时间是不使用SSL的十倍以上，这对高负荷、高实时的应用系统是一个非常大的负担。

发明内容

有鉴于此，本发明的主要目的在于提供一种基于简单对象访问协议消息的数字签名方法和装置，保证了SOAP消息的安全，且所需时间短、占用系统资源少。

为达到上述目的，本发明的技术方案是这样实现的：

一种基于简单对象访问协议消息的数字签名方法，该方法包括以下步骤：

生成SOAP消息；

对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；对所述总字符串进行求散列值操作，求得信息摘要；通过求散列值操作对所述信息摘要加密，求得数字签名；

将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息并发送。

进一步地，所述得到带数字签名的SOAP消息并发送之后还包括：接收所述带数字签名的SOAP消息，并验证所接收到的带数字签名的SOAP消息。

进一步地，所述通过求散列值操作对所述信息摘要加密，求得数字签名包括：

对所述信息摘要与预先给定的密钥的和进行求散列值操作，求得数字签名；或，

对所述信息摘要与预先给定的数字证书的和进行求散列值操作，求得数字签名。

进一步地，所述将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息具体包括：

在所述SOAP消息的soap:Envelope节点下添加soap:Header子节点；

在所添加的soap:Header子节点下添加数字签名字段子节点；

将所述数字签名赋值给所述数字签名字段子节点。

进一步地，所述验证所接收到的带数字签名的SOAP消息包括以下步骤：

对所述带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；对所述验证总字符串进行求散列值操作，求得验证信息摘要；通过求散列值操作对所述信息摘要加密，求得验证数字签名；

比较所述带数字签名的SOAP消息的数字签名与所述验证数字签名是否相符，如果相符，则结束验证流程，并对所述带数字签名的SOAP消息进行相应的业务逻辑处理；如果不相符，则结束验证流程，并拒绝对所述带数字签名的SOAP消息进行相应的业务逻辑处理。

进一步地，所述验证所接收到的带数字签名的SOAP消息进一步包括以下步骤：

a、找出所述带数字签名的SOAP消息的soap:Envelope节点下的soap:Header子节点；

b、找出soap:Header子节点下的数字签名字段子节点，取出数字签名字段子节点的值，该值为所述带数字签名的SOAP消息的数字签名。

本发明还提供一种基于简单对象访问协议消息的数字签名装置，该装置包括：

消息生成模块，用于生成SOAP消息；

连接模块，用于对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；

计算模块，用于对所述总字符串进行求散列值操作，求得信息摘要；

加密模块，用于通过求散列值操作对所述信息摘要加密，求得数字签名；

签名模块，用于将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息并发送。

进一步地，该装置还包括：

验证模块，用于接收所述带数字签名的SOAP消息，并验证所接收到的带数字签名的SOAP消息。

进一步地，所述验证模块包括：

接收模块，用于接收所述带数字签名的SOAP消息；

验证签名模块，用于对所述带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；用于对所述验证总字符串进行求散列值操作，求得验证信息摘要；并用于通过求散列值操作对所述信息摘要加密，求得验证数字签名；

比较模块，用于比较所述带数字签名的SOAP消息的数字签名与所述验证数字签名是否相符，并将比较结果发送给业务逻辑处理模块；

业务逻辑处理模块，所接收到的比较结果为相符，用于对所述带数字签名的SOAP消息进行相应的业务逻辑处理。

本发明所提供的基于简单对象访问协议消息的数字签名方法和装置，具有以下的优点和特点：

1、采用了对文本字段进行连接操作和求散列值操作，使得本发明数字签名的方法运算简单、速度快，且占用系统资源少；

2、由于求散列值操作所具有不可逆性，使得除发送方外的其他人无法从数字签名中推导出密钥或数字证书，进而无法对窃取、篡改或伪造后的SOAP消息加密，重新生成可以通过接收方验证的数字签名，保证了SOAP消息的安全；

3、在生成SOAP消息的数字签名的过程中，两次采用求散列值操作，加快了信息摘要加密的速度，减少了信息摘要加密所占用的系统资源，进而加快了产生和验证数字签名的速度，减少了产生和验证数字签名所占用的系统资源。

附图说明

图1为本发明实施例基于SOAP消息的数字签名方法的实现流程图；

图2为本发明实施例基于SOAP消息的数字签名装置的结构示意图。

具体实施方式

本发明的基本思想是：

1、在生成数字签名的过程中，对文本字段进行连接操作和求散列值操作，具有运算简单、速度快，且占用资源少等特点，使得本发明数字签名的方法运算简单、速度快，且占用系统资源少；由于所述求散列值操作还具有不可逆性，使得除发送方外的其他人无法从数字签名中推导出密钥或数字证书，进而无法对窃取、篡改或伪造后的SOAP消息加密，重新生成可以通过接收方验证的数字签名，保证了SOAP消息的安全；

2、两次采用求散列值操作，第一次求散列值操作得到的信息摘要的长度，远小于总字符串的长度，使得对信息摘要加密的第二次求散列值操作，所需要处理的字符串长度较短，加快了信息摘要加密的速度，减少了信息摘要加密所占用的系统资源，进而加快了产生和验证数字签名的速度，减少了产生和验证数字签名所占用的系统资源；所述总字符串为对SOAP消息的消息体中各文本字段进行连接操作所得到的字符串。

本发明实施例的提供基于SOAP消息的数字签名方法的实现流程如图1所示，该方法包括以下步骤：

步骤101：发送方生成SOAP消息。

步骤102：发送方对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；所述对文本字段进行连接操作运算简单、速度快，且占用资源少，可通过递归解析XML文本的所述SOAP消息来实现。

步骤103：发送方对所述总字符串进行求散列值操作，求得信息摘要；所述求散列值操作可通过安全散列算法(SHA-1)或信息-摘要算法(MD5)实现，具备运算简单、速度快和不可逆的特点；

步骤104：发送方对所述信息摘要与预先给定的密钥的和进行求散列值操作、或对所述信息摘要与预先给定的数字证书的和进行求散列值操作，求得数字签名；所述求散列值操作可通过安全散列算法或信息-摘要算法实现；

步骤103中，通过对所述总字符串进行求散列值的操作，得到了长度远小于所述总字符串的长度的信息摘要，使得步骤104对信息摘要加密时，需要处理的所述信息摘要与预先给定的密钥的和、或所述信息摘要与预先给定的数字证书的和的字符串长度较短，加快了信息摘要加密的速度，减少了信息摘要加密所占用的系统资源。

步骤105：发送方将所求得的数字签名写入所述SOAP消息的头字段中，得到带数字签名的SOAP消息并发送；

将数字签名写入SOAP消息的头字段，不仅可以避免破坏SOAP消息主体内容结构，还能将生成数字签名和验证数字签名的操作独立于实现SOAP的业务逻辑处理，使系统的耦合度、可维护性，以及代码可读性均较高，且不需要针对信息安全对发送通道做专门的操作。

将数字签名写入头字段具体包括步骤：

A、在所述SOAP消息的soap:Envelope节点下添加soap:Header子节点；

B、在所添加的soap:Header子节点下添加数字签名字段子节点；

C、将所述数字签名赋值给所述数字签名字段子节点。

也可将数字签名写入SOAP消息的尾字段，其具体操作与将数字签名写入SOAP消息的头字段相似。

步骤106：接收方接收所述SOAP消息，并验证所接收到的SOAP消息；

验证所接收到的SOAP消息具体包括步骤：

a、确定所述SOAP消息的soap:Envelope节点下是否有soap:Header子节点，如果有，执行步骤b；否则，所述SOAP消息不是带数字签名的SOAP消息，视为消息来源不合法或不可信任，结束验证流程，并拒绝对所述SOAP消息进行相应的业务逻辑处理；

b、确定soap:Header子节点下是否有数字签名字段子节点，如果有，执行步骤c；否则，所述SOAP消息不是带数字签名的SOAP消息，视为该SOAP消息来源不合法或不可信任，结束验证流程，并拒绝对所述SOAP消息进行相应的业务逻辑处理；

c、确定数字签名字段子节点是否有值；如果有，则所述SOAP消息是带数字签名的SOAP消息，取出数字签名字段子节点的值，执行步骤d；否则，所述SOAP消息不是带数字签名的SOAP消息，视为消息来源不合法或不可信任，结束验证流程，并拒绝对所述SOAP消息进行相应的业务逻辑处理；

d、对所接收到的带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；对所述验证总字符串进行求散列值操作，求得验证信息摘要；对所述验证信息摘要与预先给定的密钥的和进行求散列值操作、或对所述验证信息摘要与预先给定的数字证书的和进行求散列值操作，求得验证数字签名；

e、比较所取出的数字签名字段子节点的值与所述验证数字签名是否相符，如果相符，则结束验证流程，并对所述带数字签名的SOAP消息进行相应的业务逻辑处理；如果不相符，则视为带数字签名的SOAP消息来源不合法或不可信任，结束验证流程，并拒绝对所述带数字签名的SOAP消息进行相应的业务逻辑处理。

步骤a～c确定所接收到的SOAP消息是否是带数字签名的SOAP消息，如果是，执行步骤d、e，进一步确定该带数字签名的SOAP消息来源是否合法或可信任，即比较该带数字签名的SOAP消息的数字签名与接收方所生成的验证数字签名是否相符。

下面通过将本发明实施例用于统一支付应用系统中，服务提供商(SP)与支付平台之间的SOAP消息传输的实现流程为例，具体说明本发明实施例。

支付平台针对Query请求的处理过程包括以下步骤：

生成Query请求的SOAP消息，该SOAP消息如下：

    <？xml version＝″1.0″encoding＝″UTF-8″？>

    <soapenv:Envelope

xmlns:soapenv＝″http://schemas.xmlsoap.org/soap/envelope/″

xmlns:xsd＝″http://www.w3.org/2001/XMLSchema″

xmlns:xsi＝″http://www.w3.org/2001/XMLSchema-instance″>

      <soapenv:Body>

         <QueryReq xmlns＝″http://www.zte.com.cn/mpss/up″>

           <SessionHead>

              <ns1:SNID

xmlns:ns1＝″http://www.zte.com.cn/mpss/comm″>000000100120070802160709009

031</ns1:SNID>

                    <ns2:SPID

xnlns:ns2＝″http://www.zte.com.cn/mpss/comm″>1001</ns2:SPID>

                    <ns3:S erviceID

xmlns:ns3＝″http://www.zte.com.cn/mpss/comm″>1001</ns3:ServiceID>

                </SessionHead>

                <ns4:Param xmlns:ns4＝″http://www.zte.com.cn/mpss/comm″>

                   <ns4:ParamName>phoneno</ns4:ParamName>

                   <ns4:ParamValue>02586588084</ns4:ParamValue>

                </ns4:Param>

             </QueryReq>

         </soapenv:Body>

</soapenv:Envelope>

可见，所述SOAP消息的消息体中各文本字段为：

000000100120070802160709009031，1001，1001，phoneno，02586588084。

生成数字签名的步骤如下：

对上述各文本字段进行连接操作，得到总字符串。设总字符串为S1，则有：

S1＝00000010012007080216070900903110011001phoneno02586588084

对S1做求散列值操作，求得信息摘要。本例使用MD5算法，设求得的信息摘要为S2，则有：

S2＝MD5(S1)＝c2446afc5126a9d8c185a41491802490

将S2与预先设定的密钥key相加。本例为编号为1001的SP设定的密钥为123456，设求得的结果为S3，则有：

S3＝S2+key＝c2446afc5126a9d8c185a41491802490123456

对S3做求散列值操作，求得数字签名。本例使用MD5算法，设求得的数字签名为S4，则有：

S4＝MD5(S3)＝43502d6aa54e88ba8629c08580ffcd00

在所述Query请求的SOAP消息的soap:Envelope节点下添加soap:Header子节点，在soapenv:Header子节点下添加数字签名字段子节点，并将该数字签名字段命名为Digest，将S4赋值给该Digest子节点，得到带数字签名的SOAP消息如下：

    <？xml version＝″1.0″encoding＝″UTF-8″？>

    <soapenv:Envelope

xmlns:soapenv＝″http://schemas.xmlsoap.org/soap/envelope/″

xmlns:xsd＝″http://www.w3.org/2001/XMLSchema″

xmlns:xsi＝″http://www.w3.org/2001/XMLSchema-instance″>

       <soapenv:Header>

          <mpss_comm:Digest

soapenv:actor＝″http://schemas.xmlsoap.org/soap/actor/next″

soapenv:mustUnderstand＝″0″

xmlns:mpss_comm＝″http://www.zte.com/mpss/comm″>43502d6aa54e88ba8629c08

580ffcd00</mpss_comm:Digest>

       </soapenv:Header>

       <soapenv:Body>

          <QueryReq xmlns＝″http；//www.zte.com.cn/mpss/up″>

            <SessionHead>

               <ns1:SNID

xmlns:ns1＝″http://www.zte.com.cn/mpss/comm″>000000100120070802160709009

031</ns1:SNID>

                    <ns2:SPID

xmlns:ns2＝″http://www.zte.com.cn/mpss/comm″>1001</ns2:SPID>

                    <ns3:ServiceID

xmlns:ns3＝″http://www.zte.com.cn/mpss/comm″>1001</ns3:ServiceID>

                </SessionHead>

                <ns4:Param xmlns:ns4＝″http://www.zte.com.cn/mpss/comm″>

                   <ns4:ParamName>phoneno</ns4:ParamName>

                   <ns4:ParamValue>02586588084</ns4:ParamValue>

                </ns4:Param>

             </QueryReq>

         </soapenv:Body>

      </soapenv:Envelope>

将该带数字签名的SOAP消息发送给SP。

相应的，SP在收到支付平台的Query请求SOAP消息以后，处理步骤如下：

在接收到的SOAP消息的s oapenv:Envelope节点的下找soapenv:Header子节点，在soapenv:Header子节点下找Digest子节点，并取得Digest子节点的值，设取得的值为s1，则有：

s1＝43502d6aa54e88ba8629c08580ffcd00

如果出现没有找到soapenv:Header子节点，或者没有找到Digest子节点，或者Digest子节点的值s1为空，则认为此SOAP消息的来源不可靠，不予处理，直接返回。

按照支付平台生成数字签名的相同方法，求得所接收到的SOAP消息的数字签名，设结果为s2，则有：

s2＝43502d6aa54e88ba8629c08580ffcd00

验证数字签名，即检查s1与s2是否相等。在本例中，s1显示等于s2。如果不相等，认为此SOAP消息的来源不可靠，不予处理，直接返回。

最后，按照预先设定的业务逻辑，做业务处理操作。本例中的操作是查询数据库并生成回复SOAP消息，按照支付平台生成数字签名的相同方法，求得数字签名并写入回复SOAP消息，得到的带数字签名的SOAP消息并回复给支付平台。

本例中，支付平台请求SP时，所述带数字签名的SOAP消息的发送方为支付平台，接收方为SP；SP回复SOAP消息给支付平台时，所述带数字签名的SOAP消息的发送方是SP，接收方是支付平台。

本发明实施例提供的基于SOAP消息的数字签名装置的结构如图2所示，该装置包括：

消息生成模块，用于生成SOAP消息；

连接模块，用于对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；

计算模块，用于对所述总字符串进行求散列值操作，求得信息摘要；

加密模块，用于通过求散列值操作对所述信息摘要加密，求得数字签名；

签名模块，用于将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息并发送。

该装置还包括：验证模块，用于接收所述签名模块发送的带数字签名的SOAP消息，并验证所接收到的带数字签名的SOAP消息。

所述验证模块包括：

接收模块，用于接收所述签名模块发送的带数字签名的SOAP消息；

验证签名模块，用于对所述带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；用于对所述验证总字符串进行求散列值操作，求得验证信息摘要；并用于通过求散列值操作对所述信息摘要加密，求得验证数字签名；

比较模块，用于比较所述带数字签名的SOAP消息的数字签名与所述验证数字签名是否相符，并将比较结果发送给业务逻辑处理模块；

业务逻辑处理模块，所接收到的比较结果为相符，用于对所述带数字签名的SOAP消息进行相应的业务逻辑处理；所接收到的比较结果为不相符，不对所述带数字签名的SOAP消息做业务逻辑处理。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (9)

1、一种基于简单对象访问协议消息的数字签名方法，其特征在于，该方法包括以下步骤：

生成SOAP消息；

对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；对所述总字符串进行求散列值操作，求得信息摘要；通过求散列值操作对所述信息摘要加密，求得数字签名；

将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息并发送。

2、根据权利要求1所述基于简单对象访问协议消息的数字签名方法，其特征在于，所述得到带数字签名的SOAP消息并发送之后还包括：接收所述带数字签名的SOAP消息，并验证所接收到的带数字签名的SOAP消息。

3、根据权利要求1或2所述基于简单对象访问协议消息的数字签名方法，其特征在于，所述通过求散列值操作对所述信息摘要加密，求得数字签名包括：

对所述信息摘要与预先给定的密钥的和进行求散列值操作，求得数字签名；或，

对所述信息摘要与预先给定的数字证书的和进行求散列值操作，求得数字签名。

4、根据权利要求1或2所述基于简单对象访问协议消息的数字签名方法，其特征在于，所述将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息具体包括：

在所述SOAP消息的soap:Envelope节点下添加soap:Header子节点；

在所添加的soap:Header子节点下添加数字签名字段子节点；

将所述数字签名赋值给所述数字签名字段子节点。

5、根据权利要求2所述基于简单对象访问协议消息的数字签名方法，其特征在于，所述验证所接收到的带数字签名的SOAP消息包括以下步骤：

对所述带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；对所述验证总字符串进行求散列值操作，求得验证信息摘要；通过求散列值操作对所述信息摘要加密，求得验证数字签名；

比较所述带数字签名的SOAP消息的数字签名与所述验证数字签名是否相符，如果相符，则结束验证流程，并对所述带数字签名的SOAP消息进行相应的业务逻辑处理；如果不相符，则结束验证流程，并拒绝对所述带数字签名的SOAP消息进行相应的业务逻辑处理。

6、根据权利要求5所述基于简单对象访问协议消息的数字签名方法，其特征在于，所述验证所接收到的带数字签名的SOAP消息进一步包括以下步骤：

a、找出所述带数字签名的SOAP消息的soap:Envelope节点下的soap:Header子节点；

b、找出soap:Header子节点下的数字签名字段子节点，取出数字签名字段子节点的值，该值为所述带数字签名的SOAP消息的数字签名。

7、一种基于简单对象访问协议消息的数字签名装置，其特征在于，该装置包括：

消息生成模块，用于生成SOAP消息；

连接模块，用于对所述SOAP消息的消息体中各文本字段进行连接操作，得到总字符串；

计算模块，用于对所述总字符串进行求散列值操作，求得信息摘要；

加密模块，用于通过求散列值操作对所述信息摘要加密，求得数字签名；

签名模块，用于将所求得的数字签名写入所述SOAP消息中，得到带数字签名的SOAP消息并发送。

8、根据权利要求7所述的基于简单对象访问协议消息的数字签名装置，其特征在于，该装置还包括：

验证模块，用于接收所述带数字签名的SOAP消息，并验证所接收到的带数字签名的SOAP消息。

9、根据权利要求8所述的基于简单对象访问协议消息的数字签名装置，其特征在于，所述验证模块包括：

接收模块，用于接收所述带数字签名的SOAP消息；

验证签名模块，用于对所述带数字签名的SOAP消息的消息体中各文本字段进行连接操作，得到验证总字符串；用于对所述验证总字符串进行求散列值操作，求得验证信息摘要；并用于通过求散列值操作对所述信息摘要加密，求得验证数字签名；

比较模块，用于比较所述带数字签名的SOAP消息的数字签名与所述验证数字签名是否相符，并将比较结果发送给业务逻辑处理模块；

业务逻辑处理模块，所接收到的比较结果为相符，用于对所述带数字签名的SOAP消息进行相应的业务逻辑处理。

Images