CN102201919A - 基于数字证书的移动终端实名信息传输系统与方法 - Google Patents

Abstract

本发明涉及一种基于数字证书的移动终端实名信息传输系统与方法，包括实名信息认证中心、移动终端以及证书订户系统，实名信息认证中心包括证书申请单元、CA证书管理单元以及认证服务单元，CA证书管理单元包括对外信息库，移动终端包括终端证书管理单元、实名发送单元、实名认证单元以及结果展示单元，证书订户系统包括订户证书管理单元、订户实名发送单元以及订户实名认证单元。本发明解决了移动互联网环境下因缺乏针对移动终端认证机制而无法传输实名信息的技术问题，本发明支持真实发信人变更发送号码，接收方通过实名确认发信人身份。

Description

基于数字证书的移动终端实名信息传输系统与方法

技术领域

本发明涉及移动互联网的身份认证技术，更具体地涉及一种通过数字证书实现移动终端信息实名传输的方法和系统。

背景技术

随着无线通讯技术的发展，以手机为代表的移动终端被广泛应用于电子商务领域。在使用移动终端传输交易信息的过程中，必须保证信息传输的保密性、数据交换的完整性、发送信息的不可抵赖性和交易者身份的确定性。

现有的无线数据传输协议缺乏对移动终端的身份认证机制，信息接收方只能通过手机号码等标识识别移动终端，但无法确定移动终端持有人身份的真实性。这一问题的存在导致基于移动终端的交易活动面临信息被篡改、交易主体身份被冒用等多种潜在风险，极大地阻碍移动电子商务正常发展。

目前由运营商提供的“实名短信”电信增值服务，主要通过在短信到达接收方前，由运营商将发送方号码解析为预留的发送方名称后，转发给接收方的方法实现。这种方式并不能解决确认短信发送方作为交易主体的身份合法性问题，因而无法满足移动电子商务领域对交易服务载体和交易凭证的基本要求。

发明内容

本发明目的在于提供一种基于数字证书的移动终端实名信息传输方法与系统，以解决移动互联网环境下因缺乏针对移动终端认证机制而无法传输实名信息的技术问题。

本发明的技术解决方案：

一种基于数字证书的移动终端实名信息传输系统，其特殊之处在于：包括实名信息认证中心、移动终端以及证书订户系统，

所述实名信息认证中心包括证书申请单元、CA证书管理单元以及认证服务单元，

所述证书申请单元包括用于接收移动终端的终端身份证明材料、受理移动终端数字证书申请、生成终端身份标识信息、接收证书订户系统的订户身份证明材料、受理订户数字证书申请、生成订户身份标识信息的申请受理单元和接收移动终端上传的移动终端数字证书公钥文件、接收证书订户系统上传的订户数字证书公钥文件、使用CA根证书私钥对移动终端数字证书公钥文件和订户数字证书公钥文件验证、验证后存入对外信息库的证书签发单元；

所述CA证书管理单元包括存放订户数字证书公钥、订户身份标识信息、移动终端数字证书公钥文件、终端身份标识信息，供移动终端下载的对外信息库，

所述认证服务单元用于提供对移动终端发送的待认证终端实名信息认证、并将认证结果发送给请求实名认证的证书订户系统、提供对证书订户系统发送的待认证订户实名信息认证、并将认证结果发送给请求实名认证的移动终端；

所述移动终端包括终端证书管理单元、实名发送单元、实名认证单元以及结果展示单元，

所述终端证书管理单元包括用于根据证书生成控件生成移动终端数字证书、将移动终端数字证书的公钥文件上传至实名信息认证中心的终端证书生成单元和用于存放移动终端数字证书私钥文件、CA根证书公钥文件、证书订户公钥文件的终端数字证书库，

所述终端实名发送单元包括用移动终端数字证书私钥文件对待发送内容和终端身份标识信息进行数字签名得到实名信息的数字签名单元和将实名信息按照传输协议进行格式转换后发送至实名信息认证中心的信息发送单元；

所述终端实名认证单元包括接收实名信息认证中心发送的待认证订户实名信息并按传输协议解析信息内容，根据待认证订户实名信息中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件的信息接收单元和分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证数字签名的签名验证单元；

所述结果展示单元用于根据需要显示通过认证的实名信息发送方身份信息和实名；

所述证书订户系统包括订户证书管理单元、订户实名发送单元以及订户实名认证单元，所述订户证书管理单元包括生成订户数字证书、上传订户数字证书公钥文件至实名信息认证中心对外信息库的订户证书生成单元和用于存放订户数字证书私钥文件、订户身份标识信息、CA根证书公钥文件的订户数字证书库；

所述订户实名发送单元用订户数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，待发送订户实名信息按照传输协议进行格式转换后发送至目标移动终端，

订户实名认证单元接收由实名信息认证中心发来的已认证终端实名信息、从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名。

上述CA证书管理单元还包括向证书订户系统提供订户数字证书吊销查询的证书吊销列表。

上述终端证书管理单元还包括用于向实名信息认证中心对外信息库查询并完成终端数字证书库中证书更新的终端证书更新单元；所述订户证书管理单元还包括用于向实名信息认证中心的对外信息库查询并完成订户数字证书库中证书更新的订户证书更新单元。

一种基于数字证书的移动终端实名信息传输方法，其特殊之处在于：包括以下步骤：

1】生成数字证书：

1.1】证书订户系统向实名信息认证中心提交身份证明材料并发送数字证书申请；

1.2】实名信息认证中心成功受理申请后，实名信息认证中心生成订户身份标识信息，所述订户身份标识信息包含实名信息；所述订户身份标识信息是手机号码、IMEI或IMSI；

1.3】证书订户系统从实名信息认证中心下载带有唯一订户身份标识信息的证书生成控件，所述证书生成控件包含有CA根证书公钥文件；

1.4】证书订户系统的证书生成单元根据证书生成控件产生订户数字证书密钥对，并将订户数字证书的私钥文件存入订户数字证书库中；

1.5】用预先植入证书生成控件的CA根证书公钥文件对订户身份标识和订户数字证书公钥文件进行加密，将加密后的订户数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到的加密的订户数字证书公钥文件后，使用CA根证书私钥文件进行解密，解密后将订户数字证书公钥文件存入对外信息库；

2】移动终端下载订户数字证书：

2.1】移动终端定期向实名信息认证中心的对外信息库请求下载订户数字证书公钥文件；

2.2】将下载成功的订户数字证书公钥文件存入终端数字证书库中；

3】发送方发出实名信息：

3.1】证书订户系统用数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，所述待发送订户信息包括待发送订户信息内容和目标移动终端地址；

3.2】将待认证订户实名信息按照预定协议格式发送到目标移动终端；

4】移动终端接收待认证订户实名信息：

4.1】移动终端的终端实名认证单元收到待认证订户实名信息，由终端实名认证单元根据待认证订户实名信息发中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件；

4.2】由终端实名认证单元分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证签名；

若待认证订户实名信息的数字签名验证成功，则可确定待发送订户信息由发该待发送订户信息所对应的证书订户系统发出；

若待认证订户实名信息的数字签名验证失败，则可确定待发送订户信息不是由该待发送订户信息所对应的证书订户系统发出；

5】验证后的实名信息处理：

如果验证成功，从待认证订户实名信息中的订户身份标识信息中提取证书订户的实名信息，在结果展示单元中使用实名信息替代证书订户系统的地址；

如果验证失败，将验证失败的待认证订户实名信息与验证成功信息分开存放，并分别展示。

还包括证书更新步骤：证书订户系统中安装的证书控件定期向实名信息认证中心查询根CA证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

上述订户身份标识信息是手机号码、IMEI或IMSI.。

一种基于数字证书的移动终端实名信息传输方法，其特殊之处在于：包括以下步骤：

1】生成移动终端数字证书：

1.1】由移动终端向实名信息认证中心提交身份证明材料和移动终端数字证书申请；

1.2】实名信息认证中心成功受理申请后，生成移动终端的唯一终端身份标识信息，所述终端身份标识信息包含终端实名信息；

1.3】移动终端从实名信息认证中心下载带有唯一终端身份标识信息和终端实名信息的移动终端证书控件并安装，所述移动终端证书控件包括CA根证书公钥文件；

1.4】证书生成单元根据证书生成控件产生移动终端数字证书的密钥对，并将移动终端数字证书私钥文件存入终端数字证书库中；

1.5】终端证书生成单元用预先植入终端证书控件中的CA根证书公钥文件对终端身份标识和移动终端数字证书公钥文件进行加密，将加密后的移动终端数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到移动终端数字证书公钥文件后，使用CA根证书私钥文件解密，解密成功后将移动终端数字证书公钥文件存入对外信息库；

2】证书订户系统从对外信息库中下载CA根证书公钥文件：

证书订户系统请求从实名信息认证中心的对外信息库下载CA根证书公钥文件，并将下载的CA根证书公钥文件存入订户数字证书库中；

3】移动终端发送实名信息：

3.1】终端实名发送单元用移动终端数字证书私钥文件对待发送终端信息和对应终端身份标识信息进行数字签名形成待认证终端实名信息，所述待发送终端信息包括待发送终端信息内容和目标证书订户系统地址；

3.2】将待认证终端实名信息按照协议格式发送到实名信息认证中心的认证服务单元；

3.3】认证服务单元收到移动终端发送的待认证终端实名信息后，根据终端身份标识信息在对外信息库中提取对应的数字证书公钥文件进行签名验证；

如果待认证终端实名信息的数字签名验证成功，则认证服务单元用CA根证书私钥文件对待发送终端信息和终端身份标识信息进行数字签名；

如果待认证终端实名信息的数字签名验证失败，则认证服务单元对该待认证终端实名信息不做处理；

3.4】将CA根证书私钥文件的数字签名附于待发送终端信息上构成已认证终端实名信息，按照目标证书订户系统地址将已认证终端实名信息发送至目标证书订户系统；

4】目标证书订户系统接收已认证终端实名信息：

4.1】目标证书订户系统收到由实名信息认证中心发来的已认证实名信息，由订户实名认证单元从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名；

如果已认证终端实名信息的数字签名验证成功，则可确定该已认证终端实名信息进行过实名信息认证中心认证；

如果已认证终端实名信息的数字签名验证失败，则可确定该已认证终端实名信息没有通过过实名信息认证中心认证；

5】验证后的已认证终端实名信息的处理：

成功验证已认证终端实名信息后，从该已认证终端实名信息的对应的终端身份标识信息中提取终端实名信息，在应显示发送人号码位置，使用发送人的实名替代发送号码；如果验证发送方数字签名失败，将未通过验证的信息单独存放；在应当显示发送人号码的位置，仍然显示发送人所使用的号码。

还包括证书更新步骤：移动终端中安装的证书控件定期向实名信息认证中心查询根CA根证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

本发明所具有的优点在于：

1、本发明适用于包括智能手机、平板电脑在内的各种带有无线通讯功能的移动终端设备；

2、本发明支持SMS、MMS、GMS、GPRS、WAP等多种无线通讯协议

3、本发明支持真实发信人变更发送号码，接收方通过实名确认发信人身份；以短信为例：验证签名成功时在短信收件箱的“发送人”处显示实名；验证失败，则在“发送人”处显示发送号码。如果不采用本发明方案，则只能根据发送号码在手机预存通讯录中对应的联系人名称显示“发送人”，而此时发送人的身份并未通过实名信息认证中心进行认证，遇到可更改显示号码的特殊技术时，容易被冒用。

4、无论接收终端内或运营商的业务系统中是否预留发送方名称与发送号码的对应信息，发送方均可通过短信证书发送实名短信，无需以标识身份为目的开通特殊服务号码，节约运营维护开支。

附图说明

图1为本发明的系统结构示意图；

图2为生成移动终端数字证书的过程示意图；

图3为移动终端接收实名信息的过程示意图；

图4移动终端发送实名信息的过程示意图

具体实现方式

一种基于数字证书的移动终端实名信息传输系统，包括实名信息认证中心、移动终端以及证书订户系统，

实名信息认证中心包括证书申请单元、CA证书管理单元以及认证服务单元，

证书申请单元包括用于接收移动终端的终端身份证明材料、受理移动终端数字证书申请、生成终端身份标识信息、接收证书订户系统的订户身份证明材料、受理订户数字证书申请、生成订户身份标识信息的申请受理单元和接收移动终端上传的移动终端数字证书公钥文件、接收证书订户系统上传的订户数字证书公钥文件、使用CA根证书私钥对移动终端数字证书公钥文件和订户数字证书公钥文件验证、验证后存入对外信息库的证书签发单元；

CA证书管理单元包括存放订户数字证书公钥、订户身份标识信息、移动终端数字证书公钥文件、终端身份标识信息，供移动终端下载的对外信息库，

认证服务单元用于提供对移动终端发送的待认证终端实名信息认证、并将认证结果发送给请求实名认证的证书订户系统、提供对证书订户系统发送的待认证订户实名信息认证、并将认证结果发送给请求实名认证的移动终端；

移动终端包括终端证书管理单元、实名发送单元、实名认证单元以及结果展示单元，

终端证书管理单元包括用于根据证书生成控件生成移动终端数字证书、将移动终端数字证书的公钥文件上传至实名信息认证中心的终端证书生成单元和用于存放移动终端数字证书私钥文件、CA根证书公钥文件、证书订户公钥文件的终端数字证书库，

终端实名发送单元包括用移动终端数字证书私钥文件对待发送内容和终端身份标识信息进行数字签名得到实名信息的数字签名单元和将实名信息按照传输协议进行格式转换后发送至实名信息认证中心的信息发送单元；

终端实名认证单元包括接收实名信息认证中心发送的待认证订户实名信息并按传输协议解析信息内容，根据待认证订户实名信息中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件的信息接收单元和分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证数字签名的签名验证单元；

结果展示单元用于根据需要显示通过认证的实名信息发送方身份信息和实名；

证书订户系统包括订户证书管理单元、订户实名发送单元以及订户实名认证单元，所述订户证书管理单元包括生成订户数字证书、上传订户数字证书公钥文件至实名信息认证中心对外信息库的订户证书生成单元和用于存放订户数字证书私钥文件、订户身份标识信息、CA根证书公钥文件的订户数字证书库；

订户实名发送单元用订户数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，待发送订户实名信息按照传输协议进行格式转换后发送至目标移动终端，

订户实名认证单元接收由实名信息认证中心发来的已认证终端实名信息、从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名。

CA证书管理单元还包括向证书订户系统提供订户数字证书吊销查询的证书吊销列表。

终端证书管理单元还包括用于向实名信息认证中心对外信息库查询并完成终端数字证书库中证书更新的终端证书更新单元；所述订户证书管理单元还包括用于向实名信息认证中心的对外信息库查询并完成订户数字证书库中证书更新的订户证书更新单元。

一种基于数字证书的移动终端实名信息传输方法，包括以下步骤：

1】生成数字证书：

1.1】证书订户系统向实名信息认证中心提交身份证明材料并发送数字证书申请；

1.2】实名信息认证中心成功受理申请后，实名信息认证中心生成订户身份标识信息，所述订户身份标识信息包含实名信息；所述订户身份标识信息是手机号码、IMEI或IMSI；

1.3】证书订户系统从实名信息认证中心下载带有唯一订户身份标识信息的证书生成控件，所述证书生成控件包含有CA根证书公钥文件；

1.4】证书订户系统的证书生成单元根据证书生成控件产生订户数字证书密钥对，并将订户数字证书的私钥文件存入订户数字证书库中；

1.5】用预先植入证书生成控件的CA根证书公钥文件对订户身份标识和订户数字证书公钥文件进行加密，将加密后的订户数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到的加密的订户数字证书公钥文件后，使用CA根证书私钥文件进行解密，解密后将订户数字证书公钥文件存入对外信息库；

2】移动终端下载订户数字证书：

2.1】移动终端定期向实名信息认证中心的对外信息库请求下载订户数字证书公钥文件；

2.2】将下载成功的订户数字证书公钥文件存入终端数字证书库中；

3】发送方发出实名信息：

3.1】证书订户系统用数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，所述待发送订户信息包括待发送订户信息内容和目标移动终端地址；

3.2】将待认证订户实名信息按照预定协议格式发送到目标移动终端；

4】移动终端接收待认证订户实名信息：

4.1】移动终端的终端实名认证单元收到待认证订户实名信息，由终端实名认证单元根据待认证订户实名信息发中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件；

4.2】由终端实名认证单元分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证签名；

若待认证订户实名信息的数字签名验证成功，则可确定待发送订户信息由发该待发送订户信息所对应的证书订户系统发出；

若待认证订户实名信息的数字签名验证失败，则可确定待发送订户信息不是由该待发送订户信息所对应的证书订户系统发出；

5】验证后的实名信息处理：

如果验证成功，从待认证订户实名信息中的订户身份标识信息中提取证书订户的实名信息，在结果展示单元中使用实名信息替代证书订户系统的地址；

如果验证失败，将验证失败的待认证订户实名信息与验证成功信息分开存放，并分别展示。

还包括证书更新步骤：证书订户系统中安装的证书控件定期向实名信息认证中心查询根CA证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

上述订户身份标识信息是手机号码、IMEI或IMSI.。

一种基于数字证书的移动终端实名信息传输方法，包括以下步骤：

1】生成移动终端数字证书：

1.1】由移动终端向实名信息认证中心提交身份证明材料和移动终端数字证书申请；

1.2】实名信息认证中心成功受理申请后，生成移动终端的唯一终端身份标识信息，所述终端身份标识信息包含终端实名信息；

1.3】移动终端从实名信息认证中心下载带有唯一终端身份标识信息和终端实名信息的移动终端证书控件并安装，所述移动终端证书控件包括CA根证书公钥文件；

1.4】证书生成单元根据证书生成控件产生移动终端数字证书的密钥对，并将移动终端数字证书私钥文件存入终端数字证书库中；

1.5】终端证书生成单元用预先植入终端证书控件中的CA根证书公钥文件对终端身份标识和移动终端数字证书公钥文件进行加密，将加密后的移动终端数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到移动终端数字证书公钥文件后，使用CA根证书私钥文件解密，解密成功后将移动终端数字证书公钥文件存入对外信息库；

2】证书订户系统从对外信息库中下载CA根证书公钥文件：

证书订户系统请求从实名信息认证中心的对外信息库下载CA根证书公钥文件，并将下载的CA根证书公钥文件存入订户数字证书库中；

3】移动终端发送实名信息：

3.1】终端实名发送单元用移动终端数字证书私钥文件对待发送终端信息和对应终端身份标识信息进行数字签名形成待认证终端实名信息，所述待发送终端信息包括待发送终端信息内容和目标证书订户系统地址；

3.2】将待认证终端实名信息按照协议格式发送到实名信息认证中心的认证服务单元；

3.3】认证服务单元收到移动终端发送的待认证终端实名信息后，根据终端身份标识信息在对外信息库中提取对应的数字证书公钥文件进行签名验证；

如果待认证终端实名信息的数字签名验证成功，则认证服务单元用CA根证书私钥文件对待发送终端信息和终端身份标识信息进行数字签名；

如果待认证终端实名信息的数字签名验证失败，则认证服务单元对该待认证终端实名信息不做处理；

3.4】将CA根证书私钥文件的数字签名附于待发送终端信息上构成已认证终端实名信息，按照目标证书订户系统地址将已认证终端实名信息发送至目标证书订户系统；

4】目标证书订户系统接收已认证终端实名信息：

4.1】目标证书订户系统收到由实名信息认证中心发来的已认证实名信息，由订户实名认证单元从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名；

如果已认证终端实名信息的数字签名验证成功，则可确定该已认证终端实名信息进行过实名信息认证中心认证；

如果已认证终端实名信息的数字签名验证失败，则可确定该已认证终端实名信息没有通过过实名信息认证中心认证；

5】验证后的已认证终端实名信息的处理：

成功验证已认证终端实名信息后，从该已认证终端实名信息的对应的终端身份标识信息中提取终端实名信息，在应显示发送人号码位置，使用发送人的实名替代发送号码；如果验证发送方数字签名失败，将未通过验证的信息单独存放；在应当显示发送人号码的位置，仍然显示发送人所使用的号码。

还包括证书更新步骤：移动终端中安装的证书控件定期向实名信息认证中心查询根CA根证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

移动终端订户数量庞大，依赖方下载、存储、管理数量庞大的全部移动终端订户证书公钥文件会造成资源浪费。为此提出本发明的方案，将原本应由证书依赖方自行完成的移动终端订户身份认证和实名信息接收操作转移到实名信息认证中心执行。

1、证书订户有两类：分别为数量有限的普通机构订户和数量庞大的移动终端订户，二者对移动终端传输实名信息的流程存在差异。

2、机构订户发起的信息传输流程，即机构订户发送实名信息，移动终端接收信息

2.1机构订户申请证书，生成签名加密密钥对后，用CA根证书公钥文件对机构证书公钥文件加密，上传至实名信息认证中心，认证中心收到公钥文件后用CA根证书私钥解密，保存证书文件并通过对外信息库提供下载；

2.2移动终端从CA对外信息库中下载所有机构订户的证书公钥，存储在证书库

2.3机构订户向移动终端依赖方发送带有订户身份标识、数字签名、信息内容、接收方地址(如，手机号码)的待认证实名信息(如，短信、数据包等)。订户身份标识信息是手机号码、IMEI或IMSI。

2.4移动终端收到待认证实名信息后，根据信息中包含的机构订户身份标识从证书库中提取对应的机构证书公钥文件对机构签名进行验证。

2.5验证通过后，结果展示单元将发送机构实名和发送内容展示给持有移动终端的证书依赖方。

3、移动终端订户发起的信息传输流程，即移动终端订户发送实名信息，移动终端接收信息。

3.1移动终端订户申请证书，下载预装CA根证书公钥文件的证书控件，通过证书生成单元生成密钥对，用CA根证书公钥文件对移动证书公钥文件加密，上传至实名信息认证中心，认证中心收到移动证书公钥文件后，用CA根证书私钥解密，保存证书文件并通过对外信息库；证书依赖方不需要下载移动终端证书的公钥文件；

3.2移动终端在发送实名信息时，使用移动证书私钥文件对订户识别标识，信息内容(如，短信)和接收方地址进行签名，生成包含订户身份标识、信息内容、接收方地址(如，手机号码)和移动终端订户数字签名的待认证实名信息，发送至实名信息认证中心请求认证；

3.3实名信息中心收到移动终端发来的待认证实名信息后，根据订户身份标识从对外信息库中提取移动证书公钥文件，对待认证实名信息中的数字签名进行验证。

3.4如果签名验证成功，则使用CA根证书私钥文件对订户身份标识、信息内容和接收方地址重新签名，生成包含订户身份标识、信息内容、接收方地址(如，手机号码)和CA数字签名的已认证实名信息；

3.5移动终端收到已认证实名信息后，从证书库中提取CA根证书公钥文件对CA数字签名进行验证，验证通过后，结果展示单元将发送机构实名和发送内容展示给持有移动终端的证书依赖方。

4、移动终端证书的更新：CA根证书公钥更新时需要重新下载安装证书控件、机构订户证书公钥由证书更新单元定期向实名信息认证中心对外信息库查询并完成数字证书库中证书更新。

移动终端证书控件的各项功能可分别采用软件、硬件两种方式实现：

基于硬件的实施方案。

通过由大容量存储单元和高速CPU为主要组成部分的手机智能SIM卡实现证书控件全部功能，其特征如下：

1)将实名信息认证中心的根证书文件写入SIM卡存储空间；

2)通过SIM卡的高速CPU完成移动终端数字证书密钥对生成和公钥文件上传；

3)通过SIM卡的高速CPU完成移动终端发送信息加密签名和接收信息解密验签。

基于软件的实施方案。

通过由证书生成单元、证书管理单元、数字签名单元、信息认证单元组成的应用软件完成证书控件全部功能，其特征如下：

1)将实名信息认证中心的根证书文件写入数字证书库，与证书控件应用程序一同以预装激活或下载安装方式在移动终端运行；

2)通过证书生成单元完成移动终端数字证书密钥对生成和证书公钥上传

3)通过数字签名单元完成发送信息的添加签名；

4)通过信息认证单元完成接收信息的签名认证；

一种应用是：实名短信信箱

采用短信实名信箱方式呈现实名短信，其特征如下：

1)使用移动终端证书控件完成认证签名短信发送方身份验证；

2)在短信实名信箱中以实名方式显示通过身份验证短信的发送方信息；

3)在短信实名信箱中以号码方式显示未通过身份验证短信的发送方信息。

Claims (10)

1.一种基于数字证书的移动终端实名信息传输系统，其特征在于：包括实名信息认证中心、移动终端以及证书订户系统，

所述实名信息认证中心包括证书申请单元、CA证书管理单元以及认证服务单元，

所述证书申请单元包括用于接收移动终端的终端身份证明材料、受理移动终端数字证书申请、生成终端身份标识信息、接收证书订户系统的订户身份证明材料、受理订户数字证书申请、生成订户身份标识信息的申请受理单元和接收移动终端上传的移动终端数字证书公钥文件、接收证书订户系统上传的订户数字证书公钥文件、使用CA根证书私钥对移动终端数字证书公钥文件和订户数字证书公钥文件验证、验证后存入对外信息库的证书签发单元；

所述CA证书管理单元包括存放订户数字证书公钥、订户身份标识信息、移动终端数字证书公钥文件、终端身份标识信息，供移动终端下载的对外信息库，

所述认证服务单元用于提供对移动终端发送的待认证终端实名信息认证、并将认证结果发送给请求实名认证的证书订户系统、提供对证书订户系统发送的待认证订户实名信息认证、并将认证结果发送给请求实名认证的移动终端；

所述移动终端包括终端证书管理单元、实名发送单元、实名认证单元以及结果展示单元，

所述终端证书管理单元包括用于根据证书生成控件生成移动终端数字证书、将移动终端数字证书的公钥文件上传至实名信息认证中心的终端证书生成单元和用于存放移动终端数字证书私钥文件、CA根证书公钥文件、证书订户公钥文件的终端数字证书库，

所述终端实名发送单元包括用移动终端数字证书私钥文件对待发送内容和终端身份标识信息进行数字签名得到实名信息的数字签名单元和将实名信息按照传输协议进行格式转换后发送至实名信息认证中心的信息发送单元；

所述终端实名认证单元包括接收实名信息认证中心发送的待认证订户实名信息并按传输协议解析信息内容，根据待认证订户实名信息中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件的信息接收单元和分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证数字签名的签名验证单元；

所述结果展示单元用于根据需要显示通过认证的实名信息发送方身份信息和实名；

所述证书订户系统包括订户证书管理单元、订户实名发送单元以及订户实名认证单元，所述订户证书管理单元包括生成订户数字证书、上传订户数字证书公钥文件至实名信息认证中心对外信息库的订户证书生成单元和用于存放订户数字证书私钥文件、订户身份标识信息、CA根证书公钥文件的订户数字证书库；

所述订户实名发送单元用订户数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，待发送订户实名信息按照传输协议进行格式转换后发送至目标移动终端，

订户实名认证单元接收由实名信息认证中心发来的已认证终端实名信息、从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名。

2.根据权利要求1所述的基于数字证书的移动终端实名信息传输系统，其特征在于：所述CA证书管理单元还包括向证书订户系统提供订户数字证书吊销查询的证书吊销列表。

3.根据权利要求1或2所述的基于数字证书的移动终端实名信息传输系统，其特征在于：所述终端证书管理单元还包括用于向实名信息认证中心对外信息库查询并完成终端数字证书库中证书更新的终端证书更新单元；所述订户证书管理单元还包括用于向实名信息认证中心的对外信息库查询并完成订户数字证书库中证书更新的订户证书更新单元。

4.一种基于数字证书的移动终端实名信息传输方法，其特征在于：包括以下步骤：

1】生成数字证书：

1.1】证书订户系统向实名信息认证中心提交身份证明材料并发送数字证书申请；

1.2】实名信息认证中心成功受理申请后，实名信息认证中心生成订户身份标识信息，所述订户身份标识信息包含实名信息；所述订户身份标识信息是手机号码、IMEI或IMSI；

1.3】证书订户系统从实名信息认证中心下载带有唯一订户身份标识信息的证书生成控件，所述证书生成控件包含有CA根证书公钥文件；

1.4】证书订户系统的证书生成单元根据证书生成控件产生订户数字证书密钥对，并将订户数字证书的私钥文件存入订户数字证书库中；

1.5】用预先植入证书生成控件的CA根证书公钥文件对订户身份标识和订户数字证书公钥文件进行加密，将加密后的订户数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到的加密的订户数字证书公钥文件后，使用CA根证书私钥文件进行解密，解密后将订户数字证书公钥文件存入对外信息库；

2】移动终端下载订户数字证书：

2.1】移动终端定期向实名信息认证中心的对外信息库请求下载订户数字证书公钥文件；

2.2】将下载成功的订户数字证书公钥文件存入终端数字证书库中；

3】发送方发出实名信息：

3.1】证书订户系统用数字证书私钥文件对待发送订户信息和订户身份标识信息进行数字签名形成待认证订户实名信息，所述待发送订户信息包括待发送订户信息内容和目标移动终端地址；

3.2】将待认证订户实名信息按照预定协议格式发送到目标移动终端；

4】移动终端接收待认证订户实名信息：

4.1】移动终端的终端实名认证单元收到待认证订户实名信息，由终端实名认证单元根据待认证订户实名信息发中的订户身份标识信息从终端数字证书库中查找相应的订户数字证书公钥文件；

4.2】由终端实名认证单元分离待认证订户实名信息中的数字签名和待发送订户信息并用查找到的相应数字证书公钥文件验证签名；

若待认证订户实名信息的数字签名验证成功，则可确定待发送订户信息由发该待发送订户信息所对应的证书订户系统发出；

若待认证订户实名信息的数字签名验证失败，则可确定待发送订户信息不是由该待发送订户信息所对应的证书订户系统发出；

5】验证后的实名信息处理：

如果验证成功，从待认证订户实名信息中的订户身份标识信息中提取证书订户的实名信息，在结果展示单元中使用实名信息替代证书订户系统的地址；

如果验证失败，将验证失败的待认证订户实名信息与验证成功信息分开存放，并分别展示。

5.根据权利要求4所述的基于数字证书的移动终端实名信息传输方法，其特征在于：还包括证书更新步骤：证书订户系统中安装的证书控件定期向实名信息认证中心查询根CA证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

6.根据权利要求4或5所述的基于数字证书的移动终端实名信息传输方法，其特征在于：还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

7.根据权利要求6所述的基于数字证书的移动终端实名信息传输方法，其特征在于：所述订户身份标识信息是手机号码、IMEI或IMSI.。

8.一种基于数字证书的移动终端实名信息传输方法，其特征在于：包括以下步骤：

1】生成移动终端数字证书：

1.1】由移动终端向实名信息认证中心提交身份证明材料和移动终端数字证书申请；

1.2】实名信息认证中心成功受理申请后，生成移动终端的唯一终端身份标识信息，所述终端身份标识信息包含终端实名信息；

1.3】移动终端从实名信息认证中心下载带有唯一终端身份标识信息和终端实名信息的移动终端证书控件并安装，所述移动终端证书控件包括CA根证书公钥文件；

1.4】证书生成单元根据证书生成控件产生移动终端数字证书的密钥对，并将移动终端数字证书私钥文件存入终端数字证书库中；

1.5】终端证书生成单元用预先植入终端证书控件中的CA根证书公钥文件对终端身份标识和移动终端数字证书公钥文件进行加密，将加密后的移动终端数字证书公钥文件发送到实名信息认证中心；

1.6】实名信息认证中心的证书申请单元在收到移动终端数字证书公钥文件后，使用CA根证书私钥文件解密，解密成功后将移动终端数字证书公钥文件存入对外信息库；

2】证书订户系统从对外信息库中下载CA根证书公钥文件：

证书订户系统请求从实名信息认证中心的对外信息库下载CA根证书公钥文件，并将下载的CA根证书公钥文件存入订户数字证书库中；

3】移动终端发送实名信息：

3.1】终端实名发送单元用移动终端数字证书私钥文件对待发送终端信息和对应终端身份标识信息进行数字签名形成待认证终端实名信息，所述待发送终端信息包括待发送终端信息内容和目标证书订户系统地址；

3.2】将待认证终端实名信息按照协议格式发送到实名信息认证中心的认证服务单元；

3.3】认证服务单元收到移动终端发送的待认证终端实名信息后，根据终端身份标识信息在对外信息库中提取对应的数字证书公钥文件进行签名验证；

如果待认证终端实名信息的数字签名验证成功，则认证服务单元用CA根证书私钥文件对待发送终端信息和终端身份标识信息进行数字签名；

如果待认证终端实名信息的数字签名验证失败，则认证服务单元对该待认证终端实名信息不做处理；

3.4】将CA根证书私钥文件的数字签名附于待发送终端信息上构成已认证终端实名信息，按照目标证书订户系统地址将已认证终端实名信息发送至目标证书订户系统；

4】目标证书订户系统接收已认证终端实名信息：

4.1】目标证书订户系统收到由实名信息认证中心发来的已认证实名信息，由订户实名认证单元从订户数字证书库中查找CA根证书公钥文件，用CA根证书公钥文件验证已认证终端实名信息的数字签名；

如果已认证终端实名信息的数字签名验证成功，则可确定该已认证终端实名信息进行过实名信息认证中心认证；

如果已认证终端实名信息的数字签名验证失败，则可确定该已认证终端实名信息没有通过过实名信息认证中心认证；

5】验证后的已认证终端实名信息的处理：

成功验证已认证终端实名信息后，从该已认证终端实名信息的对应的终端身份标识信息中提取终端实名信息，在应显示发送人号码位置，使用发送人的实名替代发送号码；如果验证发送方数字签名失败，将未通过验证的信息单独存放；在应当显示发送人号码的位置，仍然显示发送人所使用的号码。

9.根据权利要求8所述的基于数字证书的移动终端实名信息传输方法，其特征在于：还包括证书更新步骤：移动终端中安装的证书控件定期向实名信息认证中心查询根CA根证书版本信息，如果根证书需要更新，则实名信息认证中心将通知订户重新下载安装证书控件。

10.根据权利要求8或9所述的基于数字证书的移动终端实名信息传输方法，其特征在于：还包括证书吊销步骤：如果实名信息认证中心确认订户符合证书吊销条件，则将被吊销的数字证书添加至证书吊销列表，并通知订户其数字证书被吊销；如果依赖方请求验证的数字签名对应证书已经被吊销，则提示依赖方签名验证失败。

Images