CN103036854B - 业务订购方法及系统、业务权限认证方法、终端设备 - Google Patents

Abstract

本发明公开了一种业务订购方法及系统、业务权限认证方法、终端设备，业务订购方法包括：终端针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；以及获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；所述终端将获得的鉴权证书存储在自身的虚拟机中。采用本发明技术方案，解决了现有技术对终端使用业务的权限进行认证时，认证的安全性较低的问题。

Description

业务订购方法及系统、业务权限认证方法、终端设备

技术领域

本发明涉及通信技术领域，尤其涉及一种业务订购方法及系统、业务权限认证方法、终端设备。

背景技术

现有技术中，业务提供商为了限制业务的使用，会对终端使用业务的权限进行设置，终端只有通过了权限认证才能使用业务，进行相应的业务处理。对终端使用业务的权限进行认证的方法主要包括下述三种：

1、传统终端认证方法，用户预先设置静态密码，在使用业务时，输入设置的静态密码，终端将用户输入的密码发送到网络侧，网络侧对输入的密码进行鉴权，若鉴权通过，则认为该用户是合法的，即具有使用业务的权限。

采用上述第1种方式进行权限认证时，由于密码的每次输入都由用户手工进行，因此会导致密码泄露，且在用户输入密码的过程中，密码也可能被终端中的木马程序截获，因此安全性较差。

2、基于认证硬件的终端认证方法，这种方法需要使用独立的认证硬件，例如通用串行总线锁(USBKey，UniversalSerialBUSKey)和智能卡，其中：

USBKey是一种USB接口的硬件设备，它内置有单片机或智能卡芯片，具备一定的存储空间，可以存储用户的鉴权证书，后续利用该鉴权证书实现权限的认证，USBKey由用户随身携带，使用它进行权限认证时，必须将USBKey连接到终端中，由终端中的驱动软件来进行驱动；

智能卡是一种内置集成电路的芯片，芯片中存有与用户的相关信息，后续利用存储的相关信息进行权限认证，智能卡由用户随身携带，使用它进行权限认证时，必须将智能卡插入与终端相连的专用读卡器中，终端通过读卡器来读取用户相关信息，然而由于每次从智能卡中读取的信息是静态的，终端中的木马程序通过内存扫描或网络监听等技术，很容易截获用户的相关信息，因此存在较大的安全隐患。

采用上述第2种方式进行权限认证时，用户除了要具备终端外，还需要具备认证硬件(USBKey或智能卡)、识别硬件(读卡器)以及相应的驱动软件，部署和操作相当复杂，且认证硬件和识别硬件容易遗失，从而造成人为的安全隐患。

发明内容

本发明实施例提供一种业务订购方法及系统、业务权限认证方法、终端设备，用以解决现有技术对终端使用业务的权限进行认证时，认证的安全性较低的问题。

一种业务订购方法，包括：终端针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；以及获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；所述终端将获得的鉴权证书存储在自身的虚拟机中。

一种终端设备，包括：虚拟机；订购请求发送模块，用于针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；鉴权证书获得模块，用于获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端设备分配的、用于对终端设备使用所述业务的权限进行认证的鉴权证书，并将获得的鉴权证书存储在所述虚拟机中。

一种业务订购系统，包括终端设备和鉴权证书生成服务器，其中：终端设备，用于针对要订购的业务，向所述鉴权证书生成服务器发送业务订购请求，在获得所述鉴权证书生成服务器分配的鉴权证书后，将获得的鉴权证书存储在自身的虚拟机中；鉴权证书生成服务器，用于接收到所述业务订购请求后，为所述终端设备分配用于对终端设备使用所述业务的权限进行认证的鉴权证书，并将分配的鉴权证书发送给所述终端设备。

一种业务权限认证方法，包括：终端要使用业务时，在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；并在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证。

一种终端设备，包括：虚拟机，存储有所述终端使用各业务时的鉴权证书；鉴权证书查找模块，用于在使用业务时，在所述虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；认证模块，用于在所述虚拟机中，根据鉴权证书查找模块查找到的鉴权证书对使用所述业务的权限进行认证。

本发明实施例技术方案中，终端要订购业务时，针对要订购的业务，向鉴权证书生成服务器发送业务订购请求，鉴权证书生成服务器在接收到所述业务订购请求后，为所述终端分配用于对终端使用所述业务的权限进行认证的鉴权证书，终端获得该鉴权证书后，存储在自身的虚拟机中，由于虚拟机是通过软件模拟的、具有完整硬件系统功能、运行在一个完全隔离环境中的完整计算机系统，因此终端中的木马程序就不能窃取存储在虚拟机中的鉴权证书，后续终端要使用业务时，先在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书，然后在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证，也就是说，根据鉴权证书进行权限认证的过程在虚拟机中执行，那么终端中的木马程序就无法通过内存扫描或网络监听的方式窃取到鉴权证书，因此有效地提高了权限认证的安全性，此外，进行权限认证时，用户无需具备认证硬件(USBKey或智能卡)、识别硬件(读卡器)以及相应的驱动软件，只要具备终端即可，因此简化了认证操作流程，避免了认证硬件和识别硬件遗失造成的安全隐患。

附图说明

图1为本发明实施例一中，业务订购系统结构示意图；

图2为本发明实施例二中，业务订购方法流程示意图；

图3为本发明实施例三中，终端设备结构示意图；

图4为本发明实施例四中，业务权限认证方法流程示意图；

图5为本发明实施例五中，终端设备结构示意图；

图6为本发明实施例六中，业务订购及权限认证方法具体实现流程示意图。

具体实施方式

为了提高对终端使用业务的权限进行认证的安全性，本发明实施例提出一种业务订购方法以及业务权限认证方法，终端要订购业务时，针对要订购的业务，向鉴权证书生成服务器发送业务订购请求，鉴权证书生成服务器在接收到所述业务订购请求后，为所述终端分配用于对终端使用所述业务的权限进行认证的鉴权证书，终端获得该鉴权证书后，存储在自身的虚拟机中，由于虚拟机是通过软件模拟的、具有完整硬件系统功能、运行在一个完全隔离环境中的完整计算机系统，因此终端中的木马程序就不能窃取存储在虚拟机中的鉴权证书，后续终端要使用业务时，先在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书，然后在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证，也就是说，根据鉴权证书进行权限认证的过程在虚拟机中执行，那么终端中的木马程序就无法通过内存扫描或网络监听的方式窃取到鉴权证书，因此有效地提高了权限认证的安全性，此外，进行权限认证时，用户无需具备认证硬件(USBKey或智能卡)、识别硬件(读卡器)以及相应的驱动软件，只要具备终端即可，因此简化了认证操作流程，避免了认证硬件和识别硬件遗失造成的安全隐患。

下面结合各个附图对本发明实施例技术方案的主要实现原理、具体实施方式及其对应能够达到的有益效果进行详细地阐述。

实施例一

本发明实施例一提出一种业务订购系统，如图1所示，包括终端设备11、鉴权证书生成服务器12、认证服务器(AuS，AuthenticationServer)13、密钥数据库14、密钥管理中心15，其中：

终端设备11，用于针对要订购的业务，向鉴权证书生成服务器12发送业务订购请求，在获得所述鉴权证书生成服务器12分配的鉴权证书后，将获得的鉴权证书存储在自身的虚拟机中；

鉴权证书生成服务器12，用于接收到所述业务订购请求后，为所述终端设备11分配用于对终端设备11使用所述业务的权限进行认证的鉴权证书，并将分配的鉴权证书发送给所述终端设备11。

其中，所述鉴权证书生成服务器可以但不限于为数据/业务服务器(DS/AS，DataServer/ApplicationServer)。

鉴权证书生成服务器12在接收到业务订购请求之后，可以直接为终端设备11分配用于对终端设备11使用所述业务的权限进行认证的鉴权证书，然后将分配的鉴权证书发送给终端设备11；此外，鉴权证书生成服务器12也可以存储为各终端设备11分配的鉴权证书，若鉴权证书生成服务器12已经为终端设备11分配了鉴权证书，则表明该业务针对该终端设备11的业务开通状态为已开通，为了节省处理资源，鉴权证书生成服务器12可以直接将该鉴权证书发送给终端设备11，而无需重新分配，因此鉴权证书生成服务器12在为终端设备11分配鉴权证书之前，可以先在自身存储的该终端设备11的各鉴权证书中，查找所述业务对应的鉴权证书，若查找结果为查找到，则将查找到的鉴权证书发送给所述终端设备11，若查找结果为未查找到，则执行为所述终端设备分配鉴权证书的操作。

终端设备11接收到鉴权证书生成服务器12发送的鉴权证书后，将鉴权证书存储到自身的虚拟机中，本发明实施例一中，终端设备11中的虚拟机是通过软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统，虚拟机的运行空间与终端操作系统相互独立，终端中的木马程序无法通过内存扫描或网络监听等方式窃取虚拟机中存储的数据以及虚拟机运行时的数据，因此终端中的木马程序就不能窃取存储在虚拟机中的鉴权证书，从而有效提高了权限认证的安全性。

为了提高鉴权证书在传输过程中的安全性，本发明实施例一提出，将鉴权证书进行加密后发送给终端设备11，具体的：鉴权证书生成服务器12为终端设备11分配鉴权证书之后，将分配的鉴权证书发送给AuS13，AuS13从密钥数据库14中提取出该终端设备11的第一加密密钥，其中，密钥数据库14中存储有各终端设备11预先设置的第一加密密钥，AuS13根据提取出的第一加密密钥，对接收到的鉴权证书进行加密处理，得到对应的业务密码，然后将得到的业务密码发送给鉴权证书生成服务器12，鉴权证书生成服务器12将接收到的业务密码发送给终端设备11，终端设备11在自身的虚拟机中，根据预先存储在所述虚拟机中的第二加密密钥，对接收到的业务密码进行解密，得到对应的鉴权证书，并将解密得到的鉴权证书存储在上述虚拟机中。

鉴权证书生成服务器12在接收到AuS13发送的业务密码后，在转发给终端设备11的同时，自身也可以进行存储，若鉴权证书生成服务器12中存储有为终端设备11分配的鉴权证书对应的业务密码，则表明该业务针对该终端设备11的业务开通状态为已开通，为了节省处理资源，鉴权证书生成服务器12可以直接将存储的该业务密码发送给终端设备11，而无需重新分配鉴权证书，也无需AuS13重新对鉴权证书进行加密，因此鉴权证书生成服务器12在接收到业务订购请求之后，在为终端设备11分配鉴权证书之前，可以先在自身存储的该终端设备11的各业务密码中，查找所述业务对应的业务密码，若查找结果为查找到，则将查找到的业务密码发送给所述终端设备11，若查找结果为未查找到，则执行为所述终端设备分配鉴权证书的操作。

采用现有技术的基于认证硬件的终端认证方法进行权限认证时，每个终端都可以使用同一认证硬件进行权限认证，例如用户可以在终端1上使用USBKey进行权限认证来使用相应的业务，还可以在终端2上使用该USBKey进行权限认证来使用相同的业务，因此该方法不适合只能在某些终端上使用某业务的情况，从而导致对权限进行控制的灵活性较低。而本发明实施例一中，由于终端设备11接收到的不再是鉴权证书，而是根据该终端设备11预设的第一加密密钥进行加密后得到的业务密码，要想获得对应的鉴权证书，就必须使用对应的第二加密密钥进行解密，而第二加密密钥是存储在终端设备11的虚拟机中的，他人无法窃取，因此该业务密码只能被该终端设备11识别，即使他人窃取到该业务密码，也无法解密出鉴权证书，从而无法使用业务，因此适用于只能在某些终端上使用某业务的情况，能够灵活的对终端设备11使用业务的权限进行控制。

其中，上述第一加密密钥可以但不限于为终端设备11预先设置的公钥，那么第二加密密钥就为对应的私钥。

本发明实施例一中，密钥管理中心15主要用于维护密钥数据库，负责用户密钥的签发、更新，作废等管理。

实施例二

基于上述业务订购系统，本发明实施例二提出一种业务订购方法，如图2所示，其具体处理流程如下：

步骤21，终端针对要订购的业务，向鉴权证书生成服务器发送业务订购请求，所述鉴权证书生成服务器可以但不限于为DS/AS；

本发明实施例二中提到的业务可以但不限于为数据文件或业务应用，当为数据文件时，终端通过网络或其它途径获得数据文件，由于数据文件提供商为了获得盈利或限制流通，可能对数据文件进行加密，因此终端需要通过权限认证对数据文件进行解密，才能顺利使用该数据文件；当为业务应用时，该业务应用的提供商可能会对使用该业务应用的终端设置相应的权限，终端需要通过权限认证才能合法使用该业务应用。

当终端要使用业务时，先在自身的虚拟机存储的各业务对应的鉴权证书中，查找要处理的业务对应的鉴权证书，若未查找到，则表明终端并未订购此业务，那么终端可以向鉴权证书生成服务器发送业务订购请求，若查找到，则表明终端已订购此业务，因此终端可以直接根据查找到的鉴权证书进行认证。

具体的：

当终端要使用业务时，先将要使用的业务的业务标识发送给自身的虚拟机，虚拟机中存储有终端已订购的各业务的业务标识与鉴权证书之间的对应关系，如表1所示：

表1：

业务标识	鉴权证书
		业务1	鉴权证书1
业务2	鉴权证书2
		业务3	鉴权证书3

虚拟机根据终端要使用的业务的业务标识，在表1中查找对应的鉴权证书，并将查找结果返回给该终端，若查找结果为查找到，则该终端后续可以直接根据查找到的鉴权证书进行认证，若查找结果为未查找到，则终端认为未订购该业务，因此终端需要向鉴权证书生成服务器发送业务订购请求，该业务订购请求中携带有要使用的业务的业务标识以及该终端的终端标识。

步骤22，获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；

本发明实施例二中，终端获得鉴权证书的方式可以但不限于包括下述四种：

第一种方式，鉴权证书生成服务器在接收到业务订购请求之后，直接为该终端分配用于对该终端使用所述业务的权限进行认证的鉴权证书，然后将分配的鉴权证书发送给该终端。

第二种方式，鉴权证书生成服务器中存储有为各终端分配的鉴权证书，其中鉴权证书与业务标识和终端标识对应存储，即鉴权证书生成服务器中存储有终端标识、业务标识和鉴权证书之间的对应关系，如表2所示：

表2：

终端标识	业务标识	鉴权证书
			终端1	业务1	鉴权证书1
终端2	业务2	鉴权证书2
			终端3	业务3	鉴权证书3

若鉴权证书生成服务器已经为终端分配了鉴权证书，则表明该业务针对该终端的业务开通状态为已开通，为了节省处理资源，鉴权证书生成服务器接收到业务订购请求之后，先根据业务订购请求中携带的业务标识和终端标识，在自身存储的如表2所示的对应关系中，查找对应的鉴权证书，若查找结果为查找到，则表明该业务针对该终端的业务开通状态为已开通，此时鉴权证书生成服务器将查找到的鉴权证书发送给该终端，若查找结果为未查找到，则表明该业务针对该终端的业务开通状态为未开通，此时鉴权证书生成服务器执行为所述终端分配鉴权证书的操作。

第三种方式，为了提高鉴权证书在传输过程中的安全性，鉴权证书生成服务器不再直接将鉴权证书发送给终端，而是在分配鉴权证书后，将分配的鉴权证书和该终端的终端标识发送给AuS，AuS根据该终端的终端标识，从密钥数据库中提取出该终端的第一加密密钥，其中，密钥数据库中存储有各终端预先设置的第一加密密钥，即存储有各终端的终端标识和第一加密密钥之间的对应关系，AuS根据提取出的第一加密密钥，对接收到的鉴权证书进行加密处理，得到对应的业务密码，然后将得到的业务密码发送给鉴权证书生成服务器，鉴权证书生成服务器将接收到的业务密码转发给该终端，终端将接收到的业务密码发送给自身的虚拟机，该虚拟机根据存储在所述虚拟机中的第二加密密钥，对接收到的业务密码进行解密，得到对应的鉴权证书，并将解密得到的鉴权证书与该业务的业务标识对应存储。

第四种方式，鉴权证书生成服务器在接收到AuS发送的业务密码后，在转发给该终端的同时，自身也将业务密码和终端标识、业务标识对应存储，可以但不限于如表3所示：

表3：

终端标识	业务标识	业务密码
			终端1	业务1	业务密码1
终端2	业务2	业务密码2
			终端3	业务3	业务密码3

若鉴权证书生成服务器中存储有为该终端使用该业务分配的鉴权证书对应业务密码，则表明该业务针对该终端的业务开通状态为已开通，为了节省处理资源，鉴权证书生成服务器接收到业务订购请求之后，先根据业务订购请求中携带的业务标识和终端标识，在自身存储的如表3所示的对应关系中，查找对应的业务密码，若查找结果为查找到，则表明该业务针对该终端的业务开通状态为已开通，此时鉴权证书生成服务器直接将查找到的业务密码发送给该终端，若查找结果为未查找到，则表明该业务针对该终端的业务开通状态为未开通，此时鉴权证书生成服务器执行为所述终端分配鉴权证书的操作。

其中，终端和AuS对鉴权证书进行加解密操作时，可以使用对称加解密算法，此时上述第一加密密钥和第二加密密钥相同，也可以使用非对称加解密算法，此时上述第一加密密钥为终端预设的公钥，上述第二加密密钥就为与公钥对应的私钥。

步骤23，所述终端将获得的鉴权证书存储在自身的虚拟机中。

虚拟机将鉴权证书和业务标识对应存储后，可以向终端反馈存储成功通知消息，终端接收到该通知消息之后，启动权限认证的流程。

本发明实施例二中，终端中的虚拟机是通过软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统，虚拟机的运行空间与终端操作系统相互独立，终端中的木马程序无法通过内存扫描或网络监听等方式窃取虚拟机中存储的数据以及虚拟机运行时的数据，因此终端中的木马程序就不能窃取存储在虚拟机中的鉴权证书，从而有效提高了权限认证的安全性。

此外，若终端采用上述第三种方式或第四种方式来获得鉴权证书，则由于终端接收到的不再是鉴权证书，而是根据该终端预设的第一加密密钥进行加密后得到的业务密码，要想获得对应的鉴权证书，就必须使用对应的第二加密密钥进行解密，而第二加密密钥是存储在终端的虚拟机中的，他人无法窃取，因此该业务密码只能被该终端识别，即使他人窃取到该业务密码，也无法解密出鉴权证书，从而无法使用业务，因此适用于只能在某些终端上使用某业务的情况，能够灵活的对终端使用业务的权限进行控制。

实施例三

与上述业务订购方法对应，本发明实施例三提出一种终端设备，其结构如图3所述，包括：

虚拟机31；

订购请求发送模块32，用于针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；

鉴权证书获得模块33，用于获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端设备分配的、用于对终端设备使用所述业务的权限进行认证的鉴权证书，并将获得的鉴权证书存储在所述终端设备的虚拟机31中。

其中，鉴权证书获得模块33可以但不限于置于虚拟机31中。

较佳地，所述终端设备还包括：

鉴权证书查找模块，用于在订购请求发送模块32向鉴权证书生成服务器发送业务订购请求之前，在所述虚拟机31存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；

查找结果确认模块，用于确认鉴权证书查找模块的查找结果为未查找到。

其中，鉴权证书查找模块和查找结果确认模块可以但不限于置于虚拟机31中。

较佳地，鉴权证书获得模块33具体包括：

业务密码接收子模块，用于接收所述鉴权证书生成服务器发送的业务密码，所述业务密码为AuS根据所述终端设备的第一加密密钥，对鉴权证书生成服务器为所述终端设备分配的鉴权证书进行加密处理后生成的，并通过所述鉴权证书生成服务器发送的；

解密子模块，用于在所述虚拟机31中，根据存储在所述虚拟机31中的第二加密密钥，对业务密码接收子模块接收到的业务密码进行解密，得到用于对所述终端设备使用所述业务的权限进行认证的鉴权证书。

实施例四

基于上述业务订购方法，本发明实施例四提出一种业务权限认证方法，如图4所示，其具体处理流程如下：

步骤41，终端要使用业务时，在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；

当终端要使用业务时，先将要使用的业务的业务标识发送给自身的虚拟机，虚拟机中存储有终端已订购的各业务的业务标识与鉴权证书之间的对应关系，虚拟机根据接收到的业务标识，在业务标识与鉴权证书之间的对应关系中查找对应的鉴权证书，并将查找结果返回给该终端。

步骤42，在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证。

若虚拟机向终端返回的查找结果为未查找到，则终端认为未订购该业务，因此启动业务订购流程，若虚拟机向终端返回的查找结果为查找到，则该终端根据查找到的鉴权证书对终端使用所述业务的权限进行认证，具体的：

当终端要处理的业务为数据文件时，由于数据文件提供商为了获得盈利或限制流通，可能对数据文件进行加密，因此终端需要通过权限认证对数据文件进行解密，才能顺利使用该数据文件，终端将要处理的业务的业务标识以及该业务经加密处理后的业务数据发送给虚拟机，虚拟机根据业务标识查找对应的鉴权证书，并根据查找到的鉴权证书，对接收到的业务数据进行解密处理，得到解密后的业务数据，并将得到的解密后的业务数据反馈给终端，终端根据得到的业务数据进行相应处理；

当终端要处理的业务为业务应用时，业务应用的提供商可能会对使用该业务应用的终端设置相应的权限，终端需要通过权限认证才能合法使用该业务应用，终端进行权限认证的方式可以但不限于为：终端将要处理的业务的业务标识以及该终端的终端标识发送给虚拟机，虚拟机根据业务标识查找对应的鉴权证书，虚拟机生成随机数，并使用查找到的鉴权证书对生成的随机数进行加密，虚拟机将业务标识、终端标识、生成的随机数和加密后的鉴权证书发送给AuS，AuS根据业务标识和终端标识，查找对应的鉴权证书，然后使用查找到的鉴权证书对接收到的随机数进行加密，比较加密得到的鉴权证书和虚拟机发送的鉴权证书，若比较结果为一致，则确认终端具有使用该业务的权限，允许终端使用该业务，若比较结果为不一致，则确认终端不具有使用该业务的权限，不允许终端使用该业务。

在本发明实施例四中，根据鉴权证书进行权限认证的过程在虚拟机中执行，那么终端中的木马程序就无法通过内存扫描或网络监听的方式窃取到鉴权证书，因此有效地提高了权限认证的安全性，此外，进行权限认证时，用户无需具备认证硬件(USBKey或智能卡)、识别硬件(读卡器)以及相应的驱动软件，只要具备终端即可，因此简化了认证操作流程，避免了认证硬件和识别硬件遗失造成的安全隐患。

实施例五

与上述业务权限认证方法对应，本发明实施例五提出一种终端设备，其结构如图5所示，包括：

虚拟机51，存储有所述终端使用各业务时的鉴权证书；

鉴权证书查找模块52，用于在使用业务时，在所述虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；

认证模块53，用于在所述虚拟机中，根据鉴权证书查找模块52查找到的鉴权证书对使用所述业务的权限进行认证。

其中，鉴权证书查找模块52和认证模块53可以但不限于置于虚拟机51中。

较佳地，认证模块53，具体用于在所述虚拟机中，根据鉴权证书查找模块52查找到的鉴权证书，对所述业务的业务数据进行解密，得到解密后的业务数据。

下面给出更为详细的实施方式。

实施例六

如图6所示，为本发明实施例六提出的业务订购及权限认证方法具体实现流程图，其具体处理流程如下：

步骤61，当终端要使用业务时，先将要使用的业务的业务标识发送给自身的虚拟机；

步骤62，虚拟机根据接收到的业务标识，在已订购的各业务的业务标识与鉴权证书之间的对应关系中，查找对应的鉴权证书；

步骤63，虚拟机将查找结果发送给终端，若查找结果为未查找到，则转至步骤64，若查找结果为查找到，则转至步骤615；

步骤64，终端向鉴权证书生成服务器发送业务订购请求，该业务订购请求中携带有要使用的业务的业务标识以及该终端的终端标识；

步骤65，鉴权证书生成服务器接收到业务订购请求之后，先根据业务订购请求中携带的业务标识和终端标识，在自身存储的终端标识、业务标识和业务密码之间的对应关系中，查找对应的业务密码，若查找结果为查找到，则转至步骤610，若查找结果为未查找到，则转至步骤66；

步骤66，鉴权证书生成服务器为该终端分配鉴权证书；

步骤67，鉴权证书生成服务器将分配的鉴权证书和该终端的终端标识发送给AuS；

步骤68，AuS根据该终端的终端标识，从密钥数据库中提取出该终端的公钥，并根据提取出的公钥，对接收到的鉴权证书进行加密处理，得到对应的业务密码；

步骤69，AuS将得到的业务密码发送给鉴权证书生成服务器；

步骤610，鉴权证书生成服务器将业务密码转发给终端；

若鉴权证书生成服务器接收到AuS发送的业务密码，则鉴权证书生成服务器同时将业务密码和终端标识、业务标识对应存储。

步骤611，终端将接收到的业务密码发送给自身的虚拟机；

步骤612，虚拟机根据存储在所述虚拟机中的第二加密密钥，对接收到的业务密码进行解密，得到对应的鉴权证书，并将解密得到的鉴权证书与该业务的业务标识对应存储；

步骤613，虚拟机向终端反馈存储成功通知消息；

步骤614，终端接收到该通知消息之后，将该业务的业务标识发送给虚拟机，然后转至步骤62；

步骤615，终端将该业务的业务标识和该业务经加密处理后的业务数据发送给虚拟机；

在本发明实施例六中，终端要处理的业务为数据文件，因此需要根据鉴权证书对加密后的业务数据进行加密，从而实现对终端使用该业务的权限进行认证。

步骤616，虚拟机根据查找到的鉴权证书，对接收到的业务数据进行解密处理，得到解密后的业务数据；

步骤617，虚拟机将得到的解密后的业务数据反馈给终端；

步骤618，终端根据得到的业务数据进行相应处理。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (16)

1.一种业务订购方法，其特征在于，包括：

终端针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；以及

获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；其中，所述鉴权证书是鉴权证书生成服务器根据业务订购请求中携带的业务标识和终端标识，在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中查找到的对应的鉴权证书，或者，所述鉴权证书是所述鉴权证书生成服务器在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中未查找到对应的鉴权证书时，通过执行为所述终端分配鉴权证书的操作所得到的鉴权证书；

所述终端将获得的鉴权证书存储在自身的虚拟机中；

其中，所述虚拟机是由软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。

2.如权利要求1所述的方法，其特征在于，终端向鉴权证书生成服务器发送业务订购请求之前，还包括：

终端要使用业务时，在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；并

确认查找结果为未查找到。

3.如权利要求1所述的方法，其特征在于，获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书，具体包括：

所述终端接收所述鉴权证书生成服务器发送的业务密码，所述业务密码为认证服务器AuS根据所述终端的第一加密密钥，对鉴权证书生成服务器为所述终端分配的鉴权证书进行加密处理后生成的，并通过所述鉴权证书生成服务器发送的；

所述终端在自身的虚拟机中，根据虚拟机中存储的第二加密密钥，对接收到的业务密码进行解密，得到用于对所述终端使用所述业务的权限进行认证的鉴权证书。

4.如权利要求3所述的方法，其特征在于，所述第一加密密钥为所述终端预设的公钥，所述第二加密密钥为与所述公钥对应的私钥。

5.一种终端设备，其特征在于，包括：

虚拟机，其中，所述虚拟机是由软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统；

订购请求发送模块，用于针对要订购的业务，向鉴权证书生成服务器发送业务订购请求；

鉴权证书获得模块，用于获得所述鉴权证书生成服务器在接收到所述业务订购请求后为所述终端设备分配的、用于对终端设备使用所述业务的权限进行认证的鉴权证书，并将获得的鉴权证书存储在所述虚拟机中；其中，所述鉴权证书是鉴权证书生成服务器根据业务订购请求中携带的业务标识和终端标识，在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中查找到的对应的鉴权证书，或者，所述鉴权证书是所述鉴权证书生成服务器在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中未查找到对应的鉴权证书时，通过执行为所述终端分配鉴权证书的操作所得到的鉴权证书。

6.如权利要求5所述的终端设备，其特征在于，还包括：

鉴权证书查找模块，用于在订购请求发送模块向鉴权证书生成服务器发送业务订购请求之前，在所述虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；

查找结果确认模块，用于确认鉴权证书查找模块的查找结果为未查找到。

7.如权利要求5所述的终端设备，其特征在于，鉴权证书获得模块具体包括：接收所述鉴权证书生成服务器发送的业务密码，所述业务密码为认证服务器AuS根据所述终端设备的第一加密密钥，对鉴权证书生成服务器为所述终端设备分配的鉴权证书进行加密处理后生成的，并通过所述鉴权证书生成服务器发送的；

解密子模块，用于在所述虚拟机中，根据所述虚拟机中存储的第二加密密钥，对业务密码接收子模块接收到的业务密码进行解密，得到用于对所述终端设备使用所述业务的权限进行认证的鉴权证书。

8.一种业务订购系统，其特征在于，包括终端设备和鉴权证书生成服务器，其中：

终端设备，用于针对要订购的业务，向所述鉴权证书生成服务器发送业务订购请求，在获得所述鉴权证书生成服务器分配的鉴权证书后，将获得的鉴权证书存储在自身的虚拟机中，其中，所述虚拟机是由软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统；

鉴权证书生成服务器，用于接收到所述业务订购请求后，为所述终端设备分配用于对终端设备使用所述业务的权限进行认证的鉴权证书，并将分配的鉴权证书发送给所述终端设备；其中，所述鉴权证书是鉴权证书生成服务器根据业务订购请求中携带的业务标识和终端标识，在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中查找到的对应的鉴权证书，或者，所述鉴权证书是所述鉴权证书生成服务器在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中未查找到对应的鉴权证书时，通过执行为所述终端分配鉴权证书的操作所得到的鉴权证书。

9.如权利要求8所述的系统，其特征在于，还包括认证服务器AuS；

所述鉴权证书生成服务器，具体用于将分配的鉴权证书发送给所述AuS，以及将所述AuS发送的业务密码发送给所述终端设备；

所述AuS，用于根据所述终端设备的第一加密密钥，对所述鉴权证书生成服务器发送的鉴权证书进行加密处理，得到对应的业务密码，并将得到的业务密码发送给所述鉴权证书生成服务器；

所述终端设备，具体用于接收到所述鉴权证书生成服务器发送的业务密码后，在自身的虚拟机中，根据所述虚拟机中存储的第二加密密钥，对接收到的业务密码进行解密，得到用于对所述终端设备使用所述业务的权限进行认证的鉴权证书。

10.如权利要求9所述的系统，其特征在于，所述第一加密密钥为所述终端设备预设的公钥，所述第二加密密钥为与所述公钥对应的私钥。

11.如权利要求9所述的系统，其特征在于，所述鉴权证书生成服务器，还用于存储所述AuS发送的业务密码。

12.如权利要求11所述的系统，其特征在于，所述鉴权证书生成服务器，还用于在为所述终端设备分配用于对终端设备使用所述业务的权限进行认证的鉴权证书之前，在自身存储的该终端设备的各业务密码中，查找所述业务对应的业务密码，若查找结果为查找到，则将查找到的业务密码发送给所述终端设备，若查找结果为未查找到，则执行为所述终端设备分配用于对终端设备使用所述业务的权限进行认证的鉴权证书的操作。

13.一种业务权限认证方法，其特征在于，包括：

终端要使用业务时，在自身的虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；并

在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证；其中，所述业务对应的鉴权证书是鉴权证书生成服务器在接收到终端针对所述业务，向鉴权证书生成服务器发送的业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；且，所述业务对应的鉴权证书是鉴权证书生成服务器根据业务订购请求中携带的业务标识和终端标识，在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中查找到的对应的鉴权证书，或者，所述鉴权证书是所述鉴权证书生成服务器在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中未查找到对应的鉴权证书时，通过执行为所述终端分配鉴权证书的操作所得到的鉴权证书；

其中，所述虚拟机是由软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。

14.如权利要求13所述的方法，其特征在于，在所述虚拟机中，根据查找到的鉴权证书对使用所述业务的权限进行认证，具体包括：

在所述虚拟机中，根据查找到的鉴权证书，对所述业务的业务数据进行解密，得到解密后的业务数据。

15.一种终端设备，其特征在于，包括：

虚拟机，存储有所述终端使用各业务时的鉴权证书，其中，所述虚拟机是由软件模拟的、具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统；

鉴权证书查找模块，用于在使用业务时，在所述虚拟机存储的各业务对应的鉴权证书中，查找所述业务对应的鉴权证书；

认证模块，用于在所述虚拟机中，根据鉴权证书查找模块查找到的鉴权证书对使用所述业务的权限进行认证；其中，所述业务对应的鉴权证书是鉴权证书生成服务器在接收到终端针对所述业务，向鉴权证书生成服务器发送的业务订购请求后为所述终端分配的、用于对终端使用所述业务的权限进行认证的鉴权证书；且，所述业务对应的鉴权证书是鉴权证书生成服务器根据业务订购请求中携带的业务标识和终端标识，在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中查找到的对应的鉴权证书，或者，所述鉴权证书是所述鉴权证书生成服务器在所述鉴权证书生成服务器中存储的终端标识、业务标识和鉴权证书之间的对应关系中未查找到对应的鉴权证书时，通过执行为所述终端分配鉴权证书的操作所得到的鉴权证书。

16.如权利要求15所述的终端设备，其特征在于，认证模块，具体用于在所述虚拟机中，根据鉴权证书查找模块查找到的鉴权证书，对所述业务的业务数据进行解密，得到解密后的业务数据。