CN103475485A - 基于数字证书互联互通的身份认证支撑平台及认证方法 - Google Patents

Abstract

本发明公开了一种基于数字证书互联互通的身份认证支撑平台以及身份认证方法，以解决现有数字证书应用中重复发证、重复认证、用户的使用成本高与、使用繁琐的问题，并将虚拟网络的身份与现实世界的身份关联起来。本发明将各应用系统需要进行数字证书认证的请求统一集中到基于数字证书互联互通的身份认证支撑平台处理，应用系统对接效率高，身份认证流程简单、可靠。本发明采用基于数字证书互联互通的身份认证信息可以进行共享，不需要每个应用系统自行进行数字证书认证，提高了身份认证效率。

Description

基于数字证书互联互通的身份认证支撑平台及认证方法

 

技术领域

本发明涉及一种数字证书的身份认证支撑平台及身份认证方法。

背景技术

近年来，数字证书在电子商务、电子金融、电子政务等领域的应用取得了较大的发展。但是不同证书颁发机构所颁发的数字证书独立分散、各自为政，无法实现真正的互联互通。各种重复发证、重复认证增加了用户的使用成本与使用繁琐度，更是限制了数字证书在发行、应用上的拓展，弱化了数字证书在信息传输中的保密性、数据交换的完整性、发送信息的不可抵赖性和交易者身份信息的确认等方面的优势。打破证书间各自为政的僵局，实现信息的共享，降低用户使用成本，突出证书优势，进而推动我国证书应用发展，形成集中效应已经刻不容缓。

以下说明现有应用系统中的CA电子认证存在的缺陷。

请参阅图1，其为现有的应用系统CA电子认证原理结构示意图。应用系统11包括电子商务、金融、电子政务等系统。用户包括企业用户12和个人用户11。用户再使用数字证书登录应用系统时，应用系统11会根据证书网关获取证书中包含的证书序列号等信息，证书网关一般还会到对接的证书服务机构验证证书的有效性，应用系统11根据证书序列号再去应用系统11对应的用户信息库中比对已经绑定的证书序列号和身份信息，比对符合则登录验证通过，用户进入应用系统11。这种数字证书身份认证方式存在以下缺陷：

首先，以上操作仅适用于应用系统11已经对特定的数字证书做过对接开发，不同行业的数字证书中证书的标准也不一致，每对接一种数字证书都要做定制开发，所以应用系统11一般对接的CA数字证书非常有限。

其次，数字证书都有有效性验证的要求，证书服务机构都会提供验证接口，应用系统可供使用的数字证书种类越多，系统需要对接验证接口也会越多。

最后，由于不同行业证书信息格式不一致，且大部分企业用户12、个人用户13数字证书中只有证书序列号，欠缺相应的身份信息，所以用户并不能在众多已经做过CA电子认证对接的系统直接应用自己的数字证书，用户在使用之前，需要向应用系统管理员提供自己的数字证书序列号和身份信息，并且需要证明数字证书和身份信息是一致的。

发明内容

本发明的第一目的在于提供一种基于数字证书互联互通的身份认证支撑平台，以解决现有数字证书应用中重复发证、重复认证、用户的使用成本高与、使用繁琐的问题，并将虚拟网络的身份与现实世界的身份关联起来。

本申请的第二目的在于提供一种基于数字证书互联互通的身份认证方法，以解决现有数字证书应用中重复发证、重复认证、用户的使用成本高与、使用繁琐的问题，并将虚拟网络的身份与现实世界的身份关联起来。

本发明的技术方案为：

基于数字证书互联互通的身份认证支撑平台，包括以下部分：

证书服务机构存储单元311，用于存储证书服务机构信息；证书服务机构信息包括证书服务机构标识、证书服务机构接口；

认证记录存储单元312，用于存储用户每一次数字证书身份认证记录，包括每一次使用数字证书进行身份认证涉及到的用户身份信息、身份认证请求时间、应用平台标识； 

证书信息存储单元313，用于存储用户用来进行数字证书身份认证的数字证书信息，包括数字证书的序列号、有效期限、颁发单位、证书是否有效、是否有在支撑平台完成证书信息绑定，平台每完成一次数字证书身份认证，即会更新一次数字证书信息；

电子证照信息存储单元314，用来存储进行过数字证书身份认证的企业、个人的证照信息，平台每完成一次数字证书身份认证，如果用户身份信息不在电子证照信息存储单元中，即会做更新信息；

授权记录存储单元315，用来存储用户的第三方应用系统登录授权记录、身份信息授权记录，第三方应用系统登录授权记录用户被授权的证书序列号、被授权的第三方应用系统信息、授权时间，身份信息授权记录用户被授权身份证照信息、授权时间；

认证请求接收单元321，用于接收和处理来自于应用平台的数字证书用户的身份认证请求，如果数字证书的用户身份信息在数据库中存在，认证请求接受单元连接证书服务机构，确认数字证书的有效性，如数字证书有效，则返回数据库中已经存储的用户身份信息，如数字证书无效，则向用户返回数字证书异常信息，如果数字证书的用户身份信息在数据库中不存在，则转向到身份授权单元；

认证转发单元322，用户的数字证书认证通过后，认证转发单元将用户身份信息一并发送至应用系统；

身份授权单元323，用户的数字证书认证时，用户进入身份认证支撑平台中，在身份授权单元中，完成授权登录第三方应用系统、授权用户身份信息使用；

身份验证单元324，身份验证单元与证书服务机构交互，完成用户数字证书信息有效性验证，并在用户授权的前提下，获取用户数字证书对应的用户身份信息。

基于数字证书互联互通的身份认证方法，包括以下步骤：

S11：数字证书用户在应用系统中进行数字证书登陆；

S12：应用系统调用身份认证支撑平台数字证书登录接口；

S13：身份认证支撑平台转向相应的证书颁发机构认证授权系统；

S14：用户进行登录应用系统以及身份信息使用的授权；

S15：证书服务机构将证书有效性及用户身份信息返回给支撑平台；

S16：支撑平台将证书有效性及用户身份信息发送给应用系统；

S17：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

基于数字证书互联互通的身份认证方法，包括以下步骤：

S21：数字证书用户在应用系统中进行数字证书登陆；

S22：应用系统调用身份认证支撑平台数字证书登录接口；

S23：身份认证支撑平台判断该用户数字证书是授权绑定数字证书，还是非授权绑定数字证书，如果是授权绑定数字证书，进行步骤S27，如果是非授权绑定数字证书，提醒进行授权绑定步骤S24；

S24：用户进入授权绑定界面，完成登录应用系统和用户身份信息授权；

S25：平台向证书服务机构发送证书有效性及获取身份信息请求；

S26：证书服务机构将证书及用户身份信息返回给平台；

S27：身份认证支撑平台通过证书服务机构接口，验证证书及身份信息有效性；

S28：支撑平台将证书有效性及用户身份信息发送给应用系统；

S29：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

与现有技术相比，本发明具有如下优点; 

本发明申请将各应用系统需要进行数字证书认证的请求统一集中到基于数字证书互联互通的身份认证支撑平台处理，应用系统对接效率高，身份认证流程简单、可靠。

本发明申请采用基于数字证书互联互通的身份认证信息可以进行共享，不需要每个应用系统自行进行数字证书认证，提高了身份认证效率。

附图说明

   图1是现有的数字证书身份认证原理结构示意图。

图2是本发明数字证书互联互通身份认证支撑平台的原理结构示意图。

图3是本发明基于数字证书互联互通的身份认证支撑平台的系统框图。

图4是本发明身份过程流程示意图一。

图5是本发明身份过程流程示意图二。

具体实施方式

下面结合图示，对本发明作详细介绍。

如图2，基于数字证书互联互通的身份认证支撑平台21，若干应用系统22，若干证书服务机构23，基于数字证书互联互通的身份认证支撑平台21、证书服务机构23之间通过网络连接，数据通信都采用加密和签名保证信息安全。在本实例中，将应用系统22中数字证书用户的身份认证通过专门的基于数字证书互联互通的身份认证支撑平台21完成，基于数字证书互联互通的身份认证支撑平台21可以实现资源共享，将证书服务机构23认证的身份信息组成身份认证信息数据库库。身份认证信息库可以以证书序列号、企业营业执照上的注册号、个人身份证号作为关键字，存储对应的认证记录。由于本实例主要考虑企业，可以建立一个关于企业身份认证信息数据库。基于数字证书互联互通的身份认证支撑平台21在每次进行数字证书身份验证时会查看该身份认证信息数据库，可以调用该库中的资料，方便支撑平台使用，在每次身份认证结束后，也可以将认证结果保存在身份认证信息数据中。这样，当某一应用系统22使用基于数字证书互联互通的身份认证支撑平台21的身份认证时，支撑平台查阅保存在身份认证数据库中证书序列号对应的身份信息，再从证书服务机构23认证证书的有效性即可，不必重复从证书服务机构获取用户身份信息。通过上述设置，可以提高身份认证的安全性，实现身份信息共享，提高资源利用率，同时也提高了身份认证的效率。

以下具体介绍各个部件。

参阅图3，基于数字证书互联互通的身份认证支撑平台包括数据库31和服务器32。

数据库31进一步包括：

证书服务机构存储单元311，用于存储证书服务机构信息。证书服务机构信息包括证书服务机构标识、证书服务机构接口等用户表示证书服务机构属性的信息。

认证记录存储单元312，用于存储用户每一次数字证书身份认证记录，包括每一次使用数字证书进行身份认证涉及到的用户身份信息（比如，用户数字证书序列号、企业名称、工商注册号）、身份认证请求时间、应用平台标识。 

证书信息存储单元313，用于存储用户用来进行数字证书身份认证的数字证书信息，包括数字证书的序列号、有效期限、颁发单位、证书是否有效、是否有在支撑平台完成证书信息绑定，身份认证支撑平台每完成一次数字证书身份认证，即会更新一次数字证书信息。

电子证照信息存储单元314，用来存储进行过数字证书身份认证的企业、个人的证照信息（身份信息），企业信息包括企业名称、注册号、法人、成立日期、经营起始日期、经营截至日期、经营状态等，个人信息包括用户姓名、身份证号信息。身份认证支撑平台每完成一次数字证书身份认证，如果用户身份信息不在电子证照信息存储单元中，即会做更新信息。

授权记录存储单元315：用来存储用户的第三方应用系统登录授权记录、身份信息授权记录。第三方应用系统登录授权记录用户被授权的证书序列号、被授权的第三方应用系统信息、授权时间。身份信息授权记录用户被授权身份证照信息、授权时间。

服务器32进一步包括： 

认证请求接收单元321：用于接收和处理来自于应用平台的数字证书用户的身份认证请求。如果数字证书的用户身份信息在数据库中存在，认证请求接受单元连接证书服务机构，确认数字证书的有效性，如数字证书有效，则返回数据库中已经存储的用户身份信息，如数字证书无效，则向用户返回数字证书异常信息。如果数字证书的用户身份信息在数据库中不存在，则转向到身份授权单元。

认证转发单元322：用户的数字证书认证通过后，认证转发单元将用户身份信息一并发送至应用系统，用户的身份信息包含数字证书序列号、企业名称、工商注册号，或个人身份证号、姓名。

身份授权单元323：用户的数字证书认证时，用户进入身份认证支撑平台中，在身份授权单元中，完成授权登录第三方应用系统、授权用户身份信息使用。

    身份验证单元324：身份验证单元与证书服务机构交互，完成用户数字证书信息有效性验证，并在用户授权的前提下，获取用户数字证书对应的用户身份信息。

基于数字证书互联互通的身份认证方法包括两种方式：

方式一：

每一次来源于应用系统的数字证书用户身份认证请求，均需要进行证书服务机构的登录授权。

请参阅图4，本申请用户的身份认证方法流程如下：

S11：数字证书用户在应用系统中进行数字证书登陆；

S12：应用系统调用身份认证支撑平台数字证书登录接口；

S13：身份认证支撑平台转向相应的证书颁发机构认证授权系统；

S14：用户进行登录应用系统以及身份信息使用的授权；

S15：证书服务机构将证书有效性及用户身份信息返回给支撑平台；

S16：支撑平台将证书有效性及用户身份信息发送给应用系统；

S17：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

方式二：

与方式一相比，对于数字证书用户的身份认证请求，本方式进一步将用户的数字证书身份认证授权方式分为授权绑定数字证书和非授权绑定数字证书。授权绑定数字证书是指该用户的证书向基于数字证书互联互通的身份认证支撑平台进行身份认证请求，用户选择在支撑平台中绑定数字证书及用户身份信息，支撑平台将通过标准接口向证书服务机构验证并获取相应的用户身份信息，该数字证书再次进行身份认证请求时，用户只需进行授权登录操作即可。

对于非授权绑定的用户数字证书，身份认证过程将提醒用户可以进行授权绑定操作。

由于证书的身份认证请求具有重复性，当收到数字证书的身份认证请求后，与证授权记录存储单元315中的授权记录进行比对，如果存在有授权记录则是授权绑定数字证书，否则就是非授权绑定数字证书，授权绑定数字证书，则可进一步查询证书信息存储单元313，电子证照存储单元314，支撑平台后续验证证书信息和身份信息的有效性即可。

数字证书的身份认证方法如下：

S21：数字证书用户在应用系统中进行数字证书登陆；

S22：应用系统调用身份认证支撑平台数字证书登录接口；

S23：身份认证支撑平台判断该用户数字证书是授权绑定数字证书，还是非授权绑定数字证书，如果是授权绑定数字证书，进行步骤S27，如果是非授权绑定数字证书，提醒进行授权绑定步骤S24；

S24：用户进入授权绑定界面，完成登录应用系统和用户身份信息授权；

S25：平台向证书服务机构发送证书有效性及获取身份信息请求；

S26：证书服务机构将证书及用户身份信息返回给平台；

S27：身份认证支撑平台通过证书服务机构接口，验证证书及身份信息有效性；

S28：支撑平台将证书有效性及用户身份信息发送给应用系统；

S29：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

Claims (3)

1.基于数字证书互联互通的身份认证支撑平台，其特征在于，包括以下部分：

证书服务机构存储单元311，用于存储证书服务机构信息；证书服务机构信息包括证书服务机构标识、证书服务机构接口；

认证记录存储单元312，用于存储用户每一次数字证书身份认证记录，包括每一次使用数字证书进行身份认证涉及到的用户身份信息、身份认证请求时间、应用平台标识； 

证书信息存储单元313，用于存储用户用来进行数字证书身份认证的数字证书信息，包括数字证书的序列号、有效期限、颁发单位、证书是否有效、是否有在支撑平台完成证书信息绑定，平台每完成一次数字证书身份认证，即会更新一次数字证书信息；

电子证照信息存储单元314，用来存储进行过数字证书身份认证的企业、个人的证照信息，平台每完成一次数字证书身份认证，如果用户身份信息不在电子证照信息存储单元中，即会做更新信息；

授权记录存储单元315，用来存储用户的第三方应用系统登录授权记录、身份信息授权记录，第三方应用系统登录授权记录用户被授权的证书序列号、被授权的第三方应用系统信息、授权时间，身份信息授权记录用户被授权身份证照信息、授权时间；

认证请求接收单元321，用于接收和处理来自于应用平台的数字证书用户的身份认证请求，如果数字证书的用户身份信息在数据库中存在，认证请求接受单元连接证书服务机构，确认数字证书的有效性，如数字证书有效，则返回数据库中已经存储的用户身份信息，如数字证书无效，则向用户返回数字证书异常信息，如果数字证书的用户身份信息在数据库中不存在，则转向到身份授权单元；

认证转发单元322，用户的数字证书认证通过后，认证转发单元将用户身份信息一并发送至应用系统；

身份授权单元323，用户的数字证书认证时，用户进入身份认证支撑平台中，在身份授权单元中，完成授权登录第三方应用系统、授权用户身份信息使用；

身份验证单元324，身份验证单元与证书服务机构交互，完成用户数字证书信息有效性验证，并在用户授权的前提下，获取用户数字证书对应的用户身份信息。

2.基于数字证书互联互通的身份认证方法，其特征在于，包括以下步骤：

S11：数字证书用户在应用系统中进行数字证书登陆；

S12：应用系统调用身份认证支撑平台数字证书登录接口；

S13：身份认证支撑平台转向相应的证书颁发机构认证授权系统；

S14：用户进行登录应用系统以及身份信息使用的授权；

S15：证书服务机构将证书有效性及用户身份信息返回给支撑平台；

S16：支撑平台将证书有效性及用户身份信息发送给应用系统；

S17：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

3.基于数字证书互联互通的身份认证方法，其特征在于，包括以下步骤：

S21：数字证书用户在应用系统中进行数字证书登陆；

S22：应用系统调用身份认证支撑平台数字证书登录接口；

S23：身份认证支撑平台判断该用户数字证书是授权绑定数字证书，还是非授权绑定数字证书，如果是授权绑定数字证书，进行步骤S27，如果是非授权绑定数字证书，提醒进行授权绑定步骤S24；

S24：用户进入授权绑定界面，完成登录应用系统和用户身份信息授权；

S25：平台向证书服务机构发送证书有效性及获取身份信息请求；

S26：证书服务机构将证书及用户身份信息返回给平台；

S27：身份认证支撑平台通过证书服务机构接口，验证证书及身份信息有效性；

S28：支撑平台将证书有效性及用户身份信息发送给应用系统；

S29：应用系统接收到身份认证信息，完成用户身份比对与建立，登录认证成功。

Images