CN102957534A - 一种多终端统一身份认证的方法及系统 - Google Patents

Abstract

本发明公开一种多终端统一身份认证的方法及系统，该方法包括：多终端中的任一待认证的终端获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；所述待认证的终端利用所述M个私钥段恢复得到所述用户私钥；所述待认证的终端根据恢复得到的所述用户私钥进行身份认证。本发明通过以上技术方案，解决现有技术中多终端无法统一身份认证的技术问题。

Description

一种多终端统一身份认证的方法及系统

技术领域

本发明涉及电子身份认证领域，尤其涉及一种多终端统一身份认证的方法及系统。

背景技术

计算机硬件设备飞速发展，处理能力不断增强，随着硬件处理速度的增强，智能手机、平板电脑(Tablet Personal Computer，简称Tablet PC、Flat Pc、Tablet、Slates)等设备开始普及，但这些设备由于接口、软件兼容性等问题，无法使用网银、电子证书(USBKEY)这类在PC上已经广泛使用的电子身份认证方案，现有技术解决这一问题的方法是，给这类设备再颁发其它形式的电子证书，然而，这必将引发一个用户多个身份的问题，对应用系统不利。

发明内容

本发明提供一种多终端统一身份认证的方法及系统，解决现有技术中多终端无法统一身份认证的技术问题。

为解决上述技术问题，本发明采用以下技术方案：

一种多终端统一身份认证的方法，包括：

多终端中的任一待认证终端获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；

所述待认证终端利用所述M个私钥段恢复得到所述用户私钥；

所述待认证终端根据恢复得到的所述用户私钥进行身份认证。

待认证终端获取所述M个私钥段的方法具体为：从所述待认证终端的安全芯片内读取所述待认证终端预先获取的X个私钥段，0＜X＜M；从预设的密钥管理服务器获取M-X个私钥段，或者从所述待认证终端之外的其他一个或一个以上的终端中获取M-X个私钥段。

所述待认证终端预先获取X个私钥段的过程包括：在所述待认证终端首次使用时，从所述密钥管理服务器获取X个私钥段，并保存在所述待认证终端的安全芯片内。

所述待认证终端预先从所述密钥管理服务器获取X个私钥段的过程包括：

所述多终端中的任一终端生成用户密钥对，生成用户密钥对的终端将所述密钥对中的用户私钥拆分成所述N个私钥段，并将所述N个私钥段中的Y个私钥段保存在安全芯片内，其中0＜Y＜M，将N-Y个私钥段发送至所述密钥管理服务器，如果所述待认证终端是所述生成用户密钥对的终端本身，则Y＝X；

所述密钥管理服务器保存所接收的所述N-Y个私钥段中的Z个私钥段，其中0＜Z＜M，将所述N-Y个私钥段中的N-Y-Z个私钥段分发给所述多终端中除了所述生成用户密钥对的终端之外的其他终端，每个终端预先获取的私钥段不超过M个。

所述待认证终端根据恢复得到的所述用户私钥进行认证的过程包括：

所述待认证终端获取利用所述密钥对中的用户公钥签发的电子证书；

所述待认证终端根据所述电子证书和恢复得到的所述用户私钥进行身份认证。

所述密钥管理服务器为CA中心服务器；所述终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端。

所述密钥管理服务器与各终端之间通过远程漫游的方式进行通信。

一种多终端统一身份认证的系统，包括多个终端和密钥管理服务器，待认证终端为所述多个终端中的任意终端，其中，

所述待认证终端用于获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；还用于利用所述M个私钥段恢复得到所述用户私钥；还用于根据恢复得到的所述用户私钥进行身份认证。

所述待认证终端具体用于在首次使用时，从预设的密钥管理服务器获取X个私钥段，0＜X＜M，并保存在自身的安全芯片内；在认证过程中，用于从自身安全芯片内读取预先获取的X个私钥段，还用于从预设的密钥管理服务器获取M-X个私钥段，或者从所述待认证终端之外的其他一个或一个以上的终端中获取M-X个私钥段。

所述密钥管理服务器为CA中心服务器；所述终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端。

本发明提供一种多终端统一身份认证的方法及系统，该方法中多终端中的任一待认证终端获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；

利用所述M个私钥段恢复得到所述用户私钥，待认证终端是该多个终端中的任意终端，这样便实现了对用户多个终端进行统一身份认证，实现了用户在个人计算机PC、移动终端等多种平台以相同的身份登录应用系统，避免了现有技术引发的一个用户多个身份的问题。

附图说明

图1为本发明实施例一种多终端统一身份认证方法的流程图；

图2为本发明实施例一种多终端统一身份认证系统的框架图。

具体实施方式

下面通过具体实施方式结合附图对本发明作进一步详细说明。

多终端中的任一待认证终端获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；

所述待认证终端利用所述M个私钥段恢复得到所述用户私钥；

所述待认证终端根据恢复得到的所述用户私钥进行身份认证。

图1为本发明实施例一种多终端统一身份认证方法的流程图，请参考图1：

本实施例待认证的终端按照MOFN算法利用M个私钥段恢复得到用户私钥，但是不局限于MOFN算法这一种方式，只要是使用N个私钥段中的M个私钥段可以合成用户私钥的规则都可行，本实施例2≤N，2≤M≤N：

S11、由多个终端中的任一终端产生用户密钥对。

优选的，用户的多个终端中包括USBKEY设备，用户在银行的业务受理点提交书面申请，管理员审核通过后，将授权码打印成密码信封与USBKEY设备一同交给用户，用户申请电子证书时，在USBKEY设备中产生密钥对。如果是其他终端，可以在其他终端的安全芯片中产生密钥对，如在手机的安全芯片中产生密钥对，安全芯片包括TCM芯片等。

S12、由产生密钥对的终端将密钥对中的私钥拆分成N个私钥段，并将其中Y个私钥段保存在产生密钥对的终端本身；同时利用密钥对中的公钥向CA中心(Certificate Authority，证书授权中心或称证书授权机构)请求签发电子证书。

优选的，N个私钥段为不同的私钥段，0＜Y＜M，优选的，Y＝1，优选的拆分规则为拉格朗日中值定理。

S13、产生密钥对的终端将其他N-Y个私钥段分别使用用户授权码(证书申请时由CA中心颁发)加密，产生相应的私钥段密文。

S14、产生密钥对的终端将各个私钥段密文与授权码的Hash值通过SSL协议上传到密钥管理服务器。

S15、在待认证终端首次使用时，待认证终端从CA中心下载电子证书，并保存；从密钥管理服务器预先下载X个私钥段，并保存在安全芯片内的安全空间，如不可读或受保护读不出的存储空间，0＜X＜M。

优选的，X＝1，本实施例中待认证终端是所述多个终端中除了用于生成用户密钥对的终端之外的其他任意终端。如果用于生成用户密钥对的终端就是所述待认证终端，则所述待认证终端便可省去步骤S15中重新从CA中心下载电子证书、从密钥管理服务器下载私钥段的过程。优选的，为了提高安全性，密钥管理服务器每分发一个私钥段，便删除密钥管理服务器中对应的私钥段。如果待认证终端是USBKEY设备，用户在银行的业务受理点领取USBKEY设备，并首次使用时，可就地通过银行的安全网络下载这X个私钥段，如果待认证终端是移动终端，当用户办理SIM卡后，将SIM插入移动终端首次使用时，可通过办理SIM卡地点的安全网络下载这X个私钥段到移动终端，这样可避免通过公共网路下载这X个私钥段，提高了安全性。

S16、在待认证终端认证过程中，待认证的终端从安全芯片中读取授权码HASH与电子证书，并从密钥管理服务器中通过漫游的方式获取N个私钥段中的M-X个私钥段。

实际应用中，也可以从其他终端中通过任意通信方式获取N个私钥段中的M-X个私钥段。

优选的，M＝2，X＝1，M-X＝1，该步骤中，从密钥管理服务器获取的M-X个私钥段可以是密钥管理服务器还未分发给其他终端的私钥段，也可以是该密钥管理服务器预先保存的Z个私钥段中的一部分或全部，0＜Z＜M，本实施例，由于待认证的终端获取的M-X各私钥段都来自密钥管理服务器，因此，本实施例中M-X≤Z，如果待认证的终端是生成用户密钥对的终端，那么X＝Y。

S17、待认证终端在安全芯片中解密密钥管理服务器漫游发送的M-X个私钥段，并从安全芯片中读取预先获取的X个私钥段(在步骤S15中获取并保存的)，在安全芯片内合成用户私钥。优选的合成规则为拉格朗日中值定理。

S18、待认证终端登录应用系统。

步骤S14中，为了方便数据传输，优选的，将各个私钥段加密后形成的多个私钥段密文一起打包后上传到密钥管理服务器，本实施例中密钥管理服务器无法得到完整的用户私钥，可以进一步提高身份认证的安全性。

步骤S15中，包括以下步骤：

S151、用户输入授权码登录CA中心，请求下载电子证书；

S152、CA中心验证授权码，将电子证书发送到待认证的终端，电子证书写入待认证的终端的TCM芯片中；

S153、待认证终端的TCM芯片对授权码做HASH，向密钥管理服务器请求下载私钥段；

S154、密钥管理服务器验证授权码HASH，将X个私钥段发送到待认证的终端，私钥段采用授权码加密。

S155、待认证终端的TCM芯片使用授权码解密私钥段，并存储到TCM芯片的安全空间；将授权码写入TCM安全空间，如不可读或受保护读不出的存储空间。

步骤S16中，包括以下步骤：

S161、待认证终端在TCM芯片中读取授权码HASH与电子证书。

S162、将电子证书序列号与授权码HASH值传到密钥管理服务器，申请私钥段漫游，其中电子证书序列号可以理解为私钥的索引，是PKI系统的通用的方式。

S163、密钥管理服务器验证授权码通过后，将服务器保存的M-X个私钥段(如Rm密钥段)传输给该终端，私钥段采用授权码加密保护，并且通过SSL协议完成网络传输。

本实施例是基于密钥分享与密钥漫游技术的统一身份认证方法，任何一个终端可合成用户私钥，其中N可以根据用户需要同一身份认证的终端的个数确定，假如有G个终端需要同一身份认证，则G≤N，若N＝G，优选的，各终端在认证前向密钥服务器请求下载一个私钥段，并保存，在认证时，各终端再从其他终端中获取另一私钥段，便可合成用户私钥；若N＝M+1，优选的，各终端在认证前向密钥服务器请求下载一个私钥段，并保存，剩余一个私钥段保存在密钥管理服务器上，在认证时，各终端可以从密钥管理服务器中获取另一私钥段，便可合成用户私钥。

本实施例的密钥管理服务器优选的为CA中心服务器，用户的终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端中的一种，其中个人计算机包括了平板电脑，移动终端包括普通手机、智能手机以及其他类型的移动终端。

本实施例优选的，密钥管理服务器与各终端之间通过远程漫游的方式进行通信，这样便可实现移动设备的远程认证。

本实施例实现了利用同一电子证书与私钥在个人计算机、移动终端等不同平台的跨平台使用，解决了平板电脑、智能手机等设备无法接入USBKEY设备的问题，解决了平板电脑、智能手机等设备需要二次颁发电子证书，同一用户对应多个电子身份的问题，解决了在不同终端设备中支持统一电子认证的技术难度，提高了电子认证的通用性。

本实施例还包括一种多终端统一身份认证的系统，包括多个终端和密钥管理服务器，待认证的终端为所述多个终端中的任意终端，其中，

所述待认证终端用于获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；还用于利用所述M个私钥段恢复得到所述用户私钥；还用于根据恢复得到的所述用户私钥进行身份认证。

图2为本发明实施例一种多终端统一身份认证系统的框架图，请参考图2：

一种多终端统一身份认证的系统，包括多个终端211、212......21n，还包括密钥管理服务器22和CA中心23，其中，

多终端中的任一终端211用于生成用户密钥对，将所述密钥对中的用户私钥拆分成所述N个私钥段，并将所述N个私钥段中的Y个私钥段保存在本身，其中0＜Y＜M，将其他N-Y个私钥段发送至所述密钥管理服务器，并利用所述密钥对中的用户公钥向CA中心23申请电子证书；如果所述待认证的终端是生成用户的密钥对的终端，则Y＝X；

CA中心23用于向所述多终端中的各终端发出电子证书；

所述密钥管理服务器22用于保存所接收的所述N-Y个私钥段中的Z个私钥段，其中0＜Z＜M，还用于将所述N-Y个私钥段中的N-Y-Z个私钥段分发给所述多终端中的其他终端212......21n，每个终端获取的私钥段不超过M个；

待认证终端为所述多个终端中的任意终端，待认证的终端具体用于在首次使用时，从密钥管理服务器22获取X个私钥段，0＜X＜M，并保存在自身的安全芯片内；在认证过程中，用于从自身安全芯片内读取预先获取的X个私钥段，还用于从密钥管理服务器22获取M-X个私钥段，或者从所述待认证终端之外的其他一个或一个以上的终端中获取M-X个私钥段。

待认证终端还用于从CA中心23获取电子证书，根据所述电子证书和恢复得到的所述用户私钥进行身份认证。

所述密钥管理服务器22为CA中心服务器；所述终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端。

以上内容是结合具体的实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (10)

1.一种多终端统一身份认证的方法，其特征在于，包括：

多终端中的任一待认证终端获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；

所述待认证终端利用所述M个私钥段恢复得到所述用户私钥；

所述待认证终端根据恢复得到的所述用户私钥进行身份认证。

2.如权利要求1所述的方法，其特征在于，待认证终端获取所述M个私钥段的方法具体为：从所述待认证终端的安全芯片内读取所述待认证终端预先获取的X个私钥段，0＜X＜M；从预设的密钥管理服务器获取M-X个私钥段，或者从所述待认证终端之外的其他一个或一个以上的终端中获取M-X个私钥段。

3.如权利要求2所述的方法，其特征在于，所述待认证终端预先获取X个私钥段的过程包括：在所述待认证终端首次使用时，从所述密钥管理服务器获取X个私钥段，并保存在所述待认证终端的安全芯片内。

4.如权利要求3所述的方法，其特征在于，所述待认证终端预先从所述密钥管理服务器获取X个私钥段的过程包括：

所述多终端中的任一终端生成用户密钥对，生成用户密钥对的终端将所述密钥对中的用户私钥拆分成所述N个私钥段，并将所述N个私钥段中的Y个私钥段保存在安全芯片内，其中0＜Y＜M，将N-Y个私钥段发送至所述密钥管理服务器，如果所述待认证终端是所述生成用户密钥对的终端本身，则Y＝X；

所述密钥管理服务器保存所接收的所述N-Y个私钥段中的Z个私钥段，其中0＜Z＜M，将所述N-Y个私钥段中的N-Y-Z个私钥段分发给所述多终端中除了所述生成用户密钥对的终端之外的其他终端，每个终端预先获取的私钥段不超过M个。

5.如权利要求4所述的方法，其特征在于，所述待认证终端根据恢复得到的所述用户私钥进行认证的过程包括：

所述待认证终端获取利用所述密钥对中的用户公钥签发的电子证书；

所述待认证终端根据所述电子证书和恢复得到的所述用户私钥进行身份认证。

6.如权利要求2至5任一项所述的方法，其特征在于，所述密钥管理服务器为CA中心服务器；所述终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端。

7.如权利要求1至5任一项所述的方法，其特征在于，所述密钥管理服务器与各终端之间通过远程漫游的方式进行通信。

8.一种多终端统一身份认证的系统，其特征在于，包括多个终端和密钥管理服务器，待认证终端为所述多个终端中的任意终端，其中，

所述待认证终端用于获取由用户私钥拆分成的N个私钥段中的M个私钥段，其中2≤N，2≤M≤N；还用于利用所述M个私钥段恢复得到所述用户私钥；还用于根据恢复得到的所述用户私钥进行身份认证。

9.如权利要求8所述的系统，其特征在于，所述待认证终端具体用于在首次使用时，从预设的密钥管理服务器获取X个私钥段，0＜X＜M，并保存在自身的安全芯片内；在认证过程中，用于从自身安全芯片内读取预先获取的X个私钥段，还用于从预设的密钥管理服务器获取M-X个私钥段，或者从所述待认证终端之外的其他一个或一个以上的终端中获取M-X个私钥段。

10.如权利要求8或9所述的系统，其特征在于，所述密钥管理服务器为CA中心服务器；所述终端为USBKEY设备、设有安全芯片的个人计算机或设有安全芯片的移动终端。

Images