CN101662469A - 基于USBKey网上银行交易信息认证的方法和系统 - Google Patents

Abstract

基于USBKey网上银行交易信息认证的方法，首次使用时系统软件被自动安装到操作系统当中，固化密钥被同时装入，用户完成按下交易指纹确认交易时，应用软件产生一个随机数，并用固化密钥进行加密发送给USBKey，应用软件同时将接收到的交易数据用随机数进行插入打乱，并用固化密钥进行加密发送给USBKey，USBKey用共享的固化密钥解密获得一个随机数和一串用随机数打乱的交易数据，利用共享密钥将插入在交易数据中的随机数取出，与直接解密所得的随机数做比较，结果相同则确认真实有效，本发明通过建立数据真实性认证机制，可以确保交易信息在网络链路中的安全传递，杜绝被恶意篡改，保护用户交易的安全、有效执行。

Description

基于USBKey网上银行交易信息认证的方法和系统

技术领域

本发明涉及网络数据认证方法和系统，特别涉及对应用系统发送的信息数据进行真实性认证的方法。

背景技术

随着网络技术的飞速发展，网上交易以其使用的方便性、使用成本的低廉逐步为大众所接受，网上交易的用户也正逐步增多。然而，网上交易的安全问题也逐渐成为用户关注的焦点，因“木马”或“肉鸡”程序造成的网上交易安全事件的报道也越来越多，大量用户对于网上交易的忧虑也日渐强烈。

网上交易现有的客户端身份认证体系是以U盾为技术核心的，例如工商银行的网上银行，在交易的安全性上面，工行使用U盾来保护每一笔交易。当前，随着对于安全问题的更多关注，U盾工作各环节中的安全隐患正逐个被解决，在整个PKI体系内，U盾工作的安全性已经到达一个高的层次。但是，在交易过程中，除要保证U盾的合法性外，网络链路里面的安全性也是非常重要的。交易过程中，用户在软件系统中输入交易信息，一旦交易信息在网络链路中被恶意篡改，将导致用户对非法交易信息进行确认而未被发觉。

使用网上银行交易，客户端身份认证设备(例说USBKey)在与业务系统、CA认证中心交互过程中是完全遵循公钥基础设施(PKI)体系标准的。现有技术网上银行交易由以下四个步骤：

1).用户通过应用浏览器在网络银行界面中输入交易数据；

2).在应用浏览器中的输入的交易数据被控件接收，由控件进行处理；

3).交易数据从控件传送到CSP(加密服务提供程序，Cryptographic ServiceProvider)处理；

4).CSP传送交易数据到USBKEY进行加密；

5).USBKEY输出加密后的交易数据，送入业务系统进行处理。

通过PKI体系，可以保证交易数据被传入USBKEY加密并送入业务系统过程的安全性。但是在交易过程中，从用户输入数据，到输入数据被送入设备进行数字签名的过程中，对用户输入数据是缺乏必要的保护措施的。此过程中用户输入的数据可能会被窃取或篡改。为防止交易过程中被篡改。

发明内容

鉴于现有技术网上银行存在的安全风险，本发明旨在提供一种对交易数据进行防篡改认证的方法，针对网上银行系统开发要求，屏蔽CSP的原有标准接口，致使黑客无法通过标准接口的接入来进行攻击；从根本上解决交易数据由控件到CSP传输过程中交易数据被非法篡改，篡改后的非法数据被误接受和误确认的风险。

为达到发明目的本发明采用的技术方案是：

基于USBKey网上银行交易信息认证的方法，其特征在于

出厂前将用于用户交易数据进行签名认证的组件写入无驱无软型USBkey，USBkey写入与组件相适配的固化密钥；在初次使用系统软件被自动安装到操作系统当中；

交易信息认证方法包括如下步骤：

(1)、用户确认输入的交易信息并提交，组件产生一个随机数，并用固化密钥加密；加密后的随机数发送给USBKey；

(2)、USBKey保存加密的随机数，以备比对时解密使用；

(3)、组件接收来自上层应用的交易数据以随机数加密混淆，用固化密钥加密；

(4)、加密后的交易数据发送给USBKey；

(5)、USBKey用同一固化密钥解密交易数据，同时用同一混淆算法解密提取随机数；

(6)、解密步骤(2)中得到的加密随机数与步骤(5)得到的随机数进行比较，如果比对成功，则数据真实验证通过；如果比对失败，则数据真实性验证未通过；

(7)、如果交易数据真实性验证通过，则USBKEY用私钥进行数据加密，进入已经被论证为安全的PKI体系的交易系统。

进一步，本发明增加对签名组件合法性认证的机制，即在用户进行指纹交易确认时，首先进行对组件合法性验证，如果合法性不能通过，则拒绝交易，在组件合法性验证通过情况下，继续后续流程。

上述USBKEY和组件共享密钥或者共享加密算法，所述加密算法为指纹算法和随机数混淆/解混淆算法。

所述合法性验证包括步骤：

a、用户输入交易确认指纹；

b、USBKEY进行指纹识别，获取指纹数据，并用指纹算法运算得到指纹特征值1；

c、USBKEY产生一个随机数，并用随机数混淆加密指纹数据，传送给系统软件；

d、系统软件以相应的解混淆算法解出指纹数据，并用指纹算法运行得到指纹特征值2；。

e、系统软件将特征值2传送给USBKEY；

f、将两个特征值在USBKEY内进行比对，成功则一体化组件的合法性通过，失败则合法性未通过。

本发明另一目的是提供一种基于USBKey网上银行交易信息认证系统，其特征在于包括会话端、用于将用户交易数据进行签名认证的组件，和USBkey，并且出厂前将用于用户交易数据进行签名认证的组件写入无驱无软型USBkey，USBkey写入与组件相适配的固化密钥；在初次使用系统软件被自动安装到操作系统当中；

所述会话端，用于用户登录，接受交易数据的输入、提交和与USBKey设备及其组件通讯；

所述组件，用于从网银获取当前帐户的基本信息、采集用户输入的业务数据、业务数据提交前二次确认界面、用户需要提交的业务信息组包；从USBKey中获取当前客户端证书信息、，用USBkey中私钥对信息包签名、产生对称会话密钥、用服务器证书对会话密钥加密、传递加密后的信息和加密会话密钥以及数据的传输；

所述USBkey，用于指纹图像的采集与应用，存储驱动程序和应用软件安装包，建立COS文件系统和生成RSA密钥对

相比现有技术，本发明有益效果在于以签名认证组件替代原系统中的控件和CSP，屏蔽CSP的原有标准接口，致使黑客无法通过标准接口的接入来进行攻击；从根本上解决交易数据由控件到CSP传输过程中被篡改的安全风险。

附图说明

图1为本发明交易信息认证的方法的流程图。

图2为对组件合法性认证的流程图。

具体实施方式

下面结合具体实施例来对本发明进行进一步说明，但并不将本发明局限于这些具体实施方式。本领域技术人员应该认识到，本发明涵盖了权利要求书范围内所可能包括的所有备选方案、改进方案和等效方案。

本专利利用系统设备实现的无驱无软的特性，在出厂时，设备内部即存有签名认证组件，利用组件与设备的绑定，使用共享密钥的方法，对系统软件在发送交易数据后进行数据真实性的认证，从而确保设备所接收的数据在网络链路中未被非法篡改。

首先，设备在出厂时，系统软件已经被存放在设备的安全存储空间当中，并且系统软件一个固化密钥，所有的共享内容均能够在软件安装或移动过程中携带，但是，其数据结构无法被第三方直接读出，以保护其私密性；

被首次使用时，系统软件被自动安装到操作系统当中，此时，固化密钥被同时装入操作系统。在用户输入信息完成，并且按下交易指纹确认交易时，应用软件产生一个随机数，并用固化密钥将这个随机数进行加密，然后将加密后的随机数发送给USBKey。应用软件同时将接收到的交易数据用随机数进行插入打乱，并且用固化密钥进行加密，然后将加密后的交易数据发送给USBKey。

USBKey在接收到的加密随机数和加密交易数据分别用共享的固化密钥解密，获得一个随机数和一串用随机数打乱的交易数据，利用共享密钥将插入在交易数据中的随机数取出，与直接解密所得的随机数做比较，如果比较结果相同，则确认该段交易数据的真实性有效，该交易被确认。

如图1所示，本发明基于USBKey网上银行交易信息认证系统，包括会话端、用于将用户交易数据进行签名认证的组件，和USBkey，并且出厂前将用于用户交易数据进行签名认证的组件写入无驱无软型USBkey，USBkey写入与组件相适配的固化密钥；在初次使用系统软件被自动安装到操作系统当中；

所述会话端，用于用户登录，接受交易数据的输入、提交和与USBKey设备及其组件通讯；

所述组件，用于从网银获取当前帐户的基本信息；采集用户输入的业务数据；业务数据提交前二次确认界面；用户需要提交的业务信息组包；从USBKey中获取当前客户端证书信息，用USBkey中私钥对信息包签名，产生对称会话密钥，用服务器证书对会话密钥加密，传递加密后的信息和加密会话密钥以及数据的传输；

所述USBkey，用于指纹图像的采集与应用，存储驱动程序和应用软件安装包，建立COS文件系统和生成RSA密钥对。

交易信息认证方法包括如下步骤：

(1)、用户确认输入的交易信息并提交，组件产生一个随机数，并用固化密钥加密；加密后的随机数发送给USBKey；

(2)、USBKey保存加密的随机数，以备比对时解密使用；

(3)、组件接收来自上层应用的交易数据以随机数加密混淆，用固化密钥加密；

(4)、加密后的交易数据发送给USBKey；

(5)、USBKey用同一固化密钥解密交易数据，同时用同一混淆算法解密提取随机数；

(6)、解密步骤(2)中得到的加密随机数与步骤(5)得到的随机数进行比较，如果比对成功，则数据真实验证通过；如果比对失败，则数据真实性验证未通过；

(7)、如果交易数据真实性验证通过，则USBKEY用私钥进行数据加密，进入已经被论证为安全的PKI体系的交易系统。

本发明通过建立数据真实性认证机制，可以确保交易信息在网络链路中的安全传递，杜绝被恶意篡改，保护用户交易的安全、有效执行。

图2为在用户进行指纹交易确认时，首先进行组件合法性验证，如果合法性不能通过，则拒绝交易。在一体化组件合法性验证通过情况下，继续后续流程。

所述合法性认证包括步骤：

a、用户输入交易确认指纹；

b、USBKEY进行指纹识别，获取指纹数据，并用指纹算法运算得到指纹特征值1；

c、USBKEY产生一个随机数，并用随机数混淆加密指纹数据，传送给系统软件；

d、系统软件以相应的解混淆算法解出指纹数据，并用指纹算法运行得到指纹特征值2；。

e、系统软件将特征值2传送给USBKEY；

f、将两个特征值在USBKEY内进行比对，成功则一体化组件的合法性通过，失败则合法性未通过。

Claims (5)

1.基于USBKey网上银行交易信息认证的方法，其特征在于：

出厂前将用于用户交易数据进行签名认证的组件写入无驱无软型USBkey，USBkey写入与组件相适配的固化密钥；在初次使用系统软件被自动安装到操作系统当中；

交易信息认证方法包括如下步骤：

(1)、用户确认输入的交易信息并提交，组件产生一个随机数，并用固化密钥加密；加密后的随机数发送给USBKey；

(2)、USBKey保存加密的随机数，以备比对时解密使用；

(3)、组件接收来自上层应用的交易数据以随机数加密混淆，用固化密钥加密；

(4)、加密后的交易数据发送给USBKey；

(5)、USBKey用同一固化密钥解密交易数据，同时用同一混淆算法解密提取随机数；

(6)、解密步骤(2)中得到的加密随机数与步骤(5)得到的随机数进行比较，如果比对成功，则数据真实验证通过；如果比对失败，则数据真实性验证未通过；

(7)、如果交易数据真实性验证通过，则USBKEY用私钥进行数据加密，进入已经被论证为安全的PKI体系的交易系统。

2.如权利要求1所述基于USBKey网上银行交易信息认证的方法，其特征在于在用户进行指纹交易确认时，首先进行对组件合法性验证，如果合法性不能通过，则拒绝交易，在组件合法性验证通过情况下，继续后续流程。

3、如权利要求2所述基于USBKey网上银行交易信息认证的方法，其特征在于USBKEY和组件共享密钥或者共享加密算法，所述加密算法为指纹算法和随机数混淆/解混淆算法。

4、如权利要求3所述基于USBKey网上银行交易信息认证的方法，其特征在于合法性验证包括步骤：

a、用户输入交易确认指纹；

b、USBKEY进行指纹识别，获取指纹数据，并用指纹算法运算得到指纹特征值1；

c、USBKEY产生一个随机数，并用随机数混淆加密指纹数据，传送给系统软件；

d、系统软件以相应的解混淆算法解出指纹数据，并用指纹算法运行得到指纹特征值2；。

e、系统软件将特征值2传送给USBKEY；

f、将两个特征值在USBKEY内进行比对，成功则一体化组件的合法性通过，失败则合法性未通过。

5、一种基于USBKey网上银行交易信息认证系统，其特征在于包括会话端、用于将用户交易数据进行签名认证的组件，和USBkey，并且出厂前将用于用户交易数据进行签名认证的组件写入无驱无软型USBkey，USBkey写入与组件相适配的固化密钥；在初次使用系统软件被自动安装到操作系统当中；

所述会话端，用于用户登录，接受交易数据的输入、提交和与USBKey设备及其组件通讯；

所述组件，用于从网银获取当前帐户的基本信息、采集用户输入的业务数据；业务数据提交前二次确认界面；用户需要提交的业务信息组包；从USBKey中获取当前客户端证书信息、用USBkey中私钥对信息包签名、产生对称会话密钥、用服务器证书对会话密钥加密、传递加密后的信息和加密会话密钥以及数据的传输；

所述USBkey，用于指纹图像的采集与应用，存储驱动程序和应用软件安装包，建立COS文件系统和生成RSA密钥对。

Images