CN103514391A - 一种数字证书到期提醒方法及装置 - Google Patents

Abstract

本申请涉及一种数字证书到期提醒方法及装置，所述方法包括：KEY对应的主设备根据预先配置启动证书到期查询；所述主设备读取自身预先记录的证书到期时间，根据读取的证书到期时间离线判断KEY中保存的证书是否已到期，如果证书已到期，则提醒用户进行证书更新。本发明中，主设备自身预先记录了证书到期时间，并根据预先查询证书是否到期的配置，检测证书是否到期，如果证书已到期，则提示用户证书即将到期。本发明可以实现在不插入KEY的情况下也能实现证书的到期提醒，既离线提醒，以避免证书到期没有及时更新，导致客户无法正常使用的问题。

Description

一种数字证书到期提醒方法及装置

技术领域

本发明涉及安全认证技术领域，尤其涉及一种数字证书到期提醒方法及装置。

背景技术

USB Key（通用串行总线钥匙）设备是一种带有USB接口的硬件设备。它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用USB Key内置的公钥算法实现对用户身份的认证。二代KEY是具备人机交互功能的USB KEY，比如，在二代key中增加了按键和显示屏，显示屏幕用来显示用户的交易信息，而按键可以确认当前交易信息和输入用户密码等信息。

在KEY中保存有用户使用的证书（以下简称证书）和密钥对。证书和密钥对具有一一对应的关系。证书一般分为两种，一种只包含证书公钥，另一种是同时包含证书公钥和证书私钥。

通常情况下，为了保证安全，数字证书的使用有一定的时间限制，时间到期之后证书就作废，无法继续使用。而现在通用的KEY并不包含对证书到期的检测提醒，或者有少部分KEY虽然有到期提醒的功能，但在用户不使用KEY的情况下，不能做到提醒用户，需要用户插入KEY要正常使用的时候才能发现证书到期，甚至有的需要用户登录网银进行交易的时候才能发现，证书到期提醒的不及时。这种情形导致在实际使用过程中，在用户准备使用证书进行身份认证的时候却发现证书已经到期，无法继续使用，对客户造成不便。

发明内容

本发明要解决的技术问题是提供一种数字证书到期提醒方法及装置，能够在用户不使用KEY的情况下，进行数字证书的到期提醒。

为解决上述技术问题，本发明的一种数字证书到期提醒方法，包括：

KEY对应的主设备根据预先配置启动证书到期查询；

所述主设备读取自身预先记录的证书到期时间，根据读取的证书到期时间离线判断KEY中保存的证书是否已到期，如果证书已到期，则提醒用户进行证书更新。

进一步地，所述主设备采用以下方式预先记录证书到期时间，包括：

所述主设备在检测到所述KEY与所述主设备首次通讯时，从所述KEY中保存的证书中解析出所述证书的设定到期时间；

根据从所述KEY中保存的证书中解析出所述证书的设定到期时间，保存或更新所述主设备上预先记录的证书到期时间。

进一步地，所述方法还包括：

所述主设备在从所述KEY中保存的证书中解析出所述证书的设定到期时间前执行如下步骤：

从所述证书中解析出证书公钥，并获取所述KEY中保存的密钥对的公钥；

判断所述证书公钥与密钥对的公钥是否一致，如果不一致，判定证书不合法，提醒用户更新证书或更换KEY；如果一致，则判定所述证书合法，执行所述解析操作。

进一步地，所述方法还包括：

所述主设备在证书未到期的情况下，判断证书的剩余有效时间是否满足预先设定的预提醒时间点，如果满足，则按照满足的预提醒时间点对应的提醒方式提醒用户证书即将到期。

进一步地，所述主设备在预先记录所述证书到期时间时，还记录KEY的序列号以及发放者名称；

所述主设备对应多个KEY，通过不同KEY对应的不同序列号/不同发放者名称识别不同的KEY。

进一步地，一种数字证书到期提醒装置，包括：控制单元、读取单元、判断单元和提示单元，其中：

所述控制单元，用于根据预先配置启动证书到期查询；

所述读取单元，用于在所述控制单元启动证书到期查询后，读取预先记录的证书到期时间；

所述判断单元，用于根据所述读取单元读取的证书到期时间离线判断KEY中保存的证书是否已到期；

所述提示单元，用于在所述判断单元判断证书已到期时，提醒用户进行证书更新。

进一步地，所述装置还包括记录单元，其中：

所述记录单元，用于在检测到所述KEY与所述主设备首次通讯时，从所述KEY中保存的证书中解析出所述证书的设定到期时间，根据从所述KEY中保存的证书中解析出所述证书的设定到期时间，保存或更新所述主设备上预先记录的证书到期时间。

进一步地，所述装置还包括认证单元，其中：

所述认证单元，用于在所述记录单元解析出所述证书到期时间前，从所述证书中解析出证书公钥，并获取所述KEY中保存的密钥对的公钥，判断所述证书公钥与密钥对的公钥是否一致，如果不一致，判定证书不合法，提醒用户更新证书或更换KEY；如果一致，则判定所述证书合法。

进一步地，所述判断单元，还用于在判断证书未到期的情况下，判断证书的剩余有效时间是否满足预先设定的预提醒时间点；

所述提示单元，还用于在所述判断单元判断证书的剩余有效时间满足预提醒时间点时，按照满足的预提醒时间点对应的提醒方式提醒用户证书即将到期。

进一步地，所述记录单元，还用于在预先记录所述证书到期时间时，还记录对应KEY设备的序列号以及发放者名称；

所述读取单元、判断单元、提示单元和记录单元通过不同KEY对应的不同序列号/不同发放者名称识别不同的KEY。

综上所述，本发明中，主设备自身预先记录了证书到期时间，并根据预先查询证书是否到期的配置，检测证书是否到期，如果证书已到期，则提示用户证书即将到期。本发明可以实现在不插入KEY的情况下也能实现证书的到期提醒，既离线提醒，以避免证书到期没有及时更新，导致客户无法正常使用的问题。

附图说明

图1为本申请的数字证书到期提醒方法中主设备记录证书到期时间的流程图；

图2为本申请的数字证书到期提醒方法中主设备检测证书是否合法及到期进行提醒的流程图；

图3为本申请中KEY的使用流程图；

图4为本申请的数字证书到期提醒装置的架构图。

具体实施方式

本申请中，对于用户使用的USB KEY（如二代KEY），通过KEY对应的主设备记录并检测证书到期时间，并通过一些方法提前提醒用户更新KEY内的证书，还可以增加检测KEY内证书的流程，如检测证书的证书公钥是否与KEY内密钥对的公钥一致。本申请中的二代KEY包含但不仅限于以下KEY，比如在PC端使用的KEY，在手机端使用的KEY，在平板电脑端使用的KEY等。PC、手机和平板电脑等为KEY对应的主设备。

为使本申请的目的、技术方案和优点更加清楚明白，下文中将结合附图对本申请的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

本发明的下述实施例中，主设备自身预先记录了证书到期时间，并根据预先查询证书是否到期的配置，检测证书是否到期，如果证书已到期，则提示用户证书即将到期。本发明可以实现在不插入KEY的情况下也能实现证书的到期提醒，既离线提醒，以避免证书到期没有及时更新，导致客户无法正常使用的问题。还可以进一步对证书合法性进行检查，如检查证书公钥是否与KEY内密钥对的公钥匹配增加安全性。

如图1所示，本申请的数字证书到期提醒方法中，KEY对应的主设备记录或更新证书到期时间的过程，包括：

步骤101：主设备判断证书的合法性，如果证书合法，则执行步骤102；否则，执行步骤103；

主设备可以是PC、手机和平板电脑等任何支持KEY设备的平台。

主设备判断证书的合法性包括：KEY与主设备首次通讯时，从证书内解析出证书公钥，并获取KEY中保存的密钥对的公钥，判断证书公钥与密钥对的公钥是否一致，如果不一致，说明KEY遭到了人为或者其他情况的破坏，判定证书不合法，此时应该更新证书或者更换KEY；如果证书公钥与密钥对的公钥一致，则判定证书合法。

步骤102：主设备记录或更新证书到期时间；

KEY与主设备首次通讯时，则记录更新证书到期时间。

而如果用户通过发行机构的柜台已经更新了KEY中的到期时间，则从新的到期时间来说，KEY再次与主设备连接，对于主设备来说，也算是首次通讯。此时，需要更新主设备保存的证书到期时间。

数字证书包括：基本证书域、签名算法域和签名值域，证书到期时间包含在基本证书域中，主设备记录证书到期时间，包括：定位证书的基本证书域，从基本证书域中解析出到期时间，保存或更新解析出的到期时间。

比如，对于证书来说，其16～20位为validity字段表示有效期，根据有效期可以得到证书到期时间。

步骤103：主设备向用户提示证书公钥不匹配，结束；

步骤104：结束记录或更新证书到期时间。

如图2所示，本申请的数字证书到期提醒方法中，KEY对应的主设备检测证书是否到期的过程，包括：

步骤201：主设备根据预先配置启动证书到期查询，读取预先记录的证书到期时间，该到期时间可能是本次插入KEY之后更新的时间，也可能是以前记录的时间（如果本次没有插入KEY）；

比如，配置每次电脑（或者手机或者平板电脑等）开机的时候都会启动证书到期查询。

步骤202：主设备根据证书到期时间判断证书是否到期，如果是，则执行步骤204；否则，执行步骤203；

由于目前的银行都定制了各自的APP，因此，主设备通过该APP，可以完成证书到期时间的记录/更新，以及判断。

这样即使在用户长期没有使用KEY的情况下，也可以及时提醒用户更新证书。

根据预先记录的证书到期时间判断证书是否到期，包括：将当前时间与证书到期时间进行比较，确定证书是否到期。

步骤203：主设备在证书未到期的情况下，判断剩余有效时间是否满足预先设定的预提醒时间点，在满足任一预提醒时间点时，按照所满足的预提醒时间点对应的提醒方式向用户提醒进行证书更新；

例如，如果发现剩余有效时间满足第一个预提醒时间点（比如半个月），这时候就主动提示用户需要更新证书了，注意这时候并不需要插入KEY，因为上次使用KEY的时候已经获取到了证书到期时间。

如果发现剩余有效时间满足第二个预提醒时间点（比如十天），那么增加提醒的频率（比如每隔半个小时进行一次提醒）提示用户更新证书。

如果发现剩余有效时间满足第三个预提醒时间点（比如五天），可以采用更加明显或频繁的方式进行提醒。

具体的提醒方式很多，在没插入KEY时，可以通过弹出对话框、邮件、短信等方式提醒；在插入KEY的时候，还可以在KEY上进行文字显示，甚至屏幕闪烁，声音长鸣等方式提醒，但不仅限于以上几种方式。

预提醒时间点的设置可以根据实际需要改变，不同预提醒时间点的提醒方式也可根据实际需要改变。还可以向用户提供设置证书提醒的界面，由用户自定义预提醒时间点和进行提醒的方式。

由于现在银行都支持网上自动更新证书或者柜台更新，在任何时间，只要用户更新了证书，就不会再对用户进行提醒。如是在主设备（PC、手机和平板电脑等）上自助更新，那么主设备会自动更新证书到期时间；如是在柜台更新，那么只需要插入一次KEY，主设备也会自动更新证书到期时间。

步骤204：主设备在证书已到期的情况下，向用户提醒证书已到期需要立即进行证书更新，结束；

步骤205：结束证书过期检查。

本申请主设备并不仅限于对应单独一个KEY，对于同一主设备上同时使用多个KEY的时候，需要保存KEY的序列号以及发放者名称（银行名称），由于同一银行的KEY序列号必然不会重复，因此可以唯一确定某个KEY，主设备通过KEY设备的序列号以及发放者名称识别KEY设备，保存该KEY中证书的过期时间，从而可以实现对多个KEY也能正常执行以上流程。

如图3所示，本申请的KEY的正常使用流程如下：

步骤301：KEY对应的主设备检测KEY是否插入，从而确定用户是否使用证书进行认证，如果KEY插入，则执行步骤302；否则执行步骤303；

步骤302：主设备记录或更新证书到期时间，包含步骤101～步骤104；

步骤303：主设备进行证书过期检查，包含步骤201～步骤205；

步骤304：如果有KEY，主设备与服务器进行交互，使用KEY进行用户的认证；如果无KEY，跳过此步骤；

步骤305：结束。

如图4所示，本申请还提供了一种数字证书到期提醒装置，包括：控制单元、读取单元、判断单元和提示单元，其中：

控制单元，用于根据预先配置启动证书到期查询；

读取单元，用于在控制单元启动证书到期查询后，读取预先记录的证书到期时间；

判断单元，用于根据读取单元读取的证书到期时间离线判断KEY中保存的证书是否已到期；

提示单元，用于在判断单元判断证书已到期时，提醒用户进行证书更新。

装置还包括记录单元，其中：

记录单元，用于在检测到KEY与主设备首次通讯时，从KEY中保存的证书中解析出证书的设定到期时间，根据从KEY中保存的证书中解析出证书的设定到期时间，保存或更新主设备上预先记录的证书到期时间。

装置还包括认证单元，其中：

认证单元，用于在记录单元解析出证书到期时间前，从证书中解析出证书公钥，并获取KEY中保存的密钥对的公钥，判断证书公钥与密钥对的公钥是否一致，如果不一致，判定证书不合法，提醒用户更新证书或更换KEY；如果一致，则判定证书合法。

判断单元，还用于在判断证书未到期的情况下，判断证书的剩余有效时间是否满足预先设定的预提醒时间点；

提示单元，还用于在判断单元判断证书的剩余有效时间满足预提醒时间点时，按照满足的预提醒时间点对应的提醒方式提醒用户证书即将到期。

记录单元，还用于在预先记录证书到期时间时，还记录对应KEY设备的序列号以及发放者名称；

读取单元、判断单元、提示单元和记录单元通过不同KEY对应的不同序列号/不同发放者名称识别不同的KEY。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本申请不限制于任何特定形式的硬件和软件的结合。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种数字证书到期提醒方法，包括：

KEY对应的主设备根据预先配置启动证书到期查询；

所述主设备读取自身预先记录的证书到期时间，根据读取的证书到期时间离线判断KEY中保存的证书是否已到期，如果证书已到期，则提醒用户进行证书更新。

2.如权利要求1所述的方法，其特征在于，所述主设备采用以下方式预先记录证书到期时间，包括：

所述主设备在检测到所述KEY与所述主设备首次通讯时，从所述KEY中保存的证书中解析出所述证书的设定到期时间；

根据从所述KEY中保存的证书中解析出所述证书的设定到期时间，保存或更新所述主设备上预先记录的证书到期时间。

3.如权利要求2所述的方法，其特征在于，所述方法还包括：

所述主设备在从所述KEY中保存的证书中解析出所述证书的设定到期时间前执行如下步骤：

从所述证书中解析出证书公钥，并获取所述KEY中保存的密钥对的公钥；

判断所述证书公钥与密钥对的公钥是否一致，如果不一致，判定证书不合法，提醒用户更新证书或更换KEY；如果一致，则判定所述证书合法，执行所述解析操作。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述主设备在证书未到期的情况下，判断证书的剩余有效时间是否满足预先设定的预提醒时间点，如果满足，则按照满足的预提醒时间点对应的提醒方式提醒用户证书即将到期。

5.如权利要求1～4任意之一所述的方法，其特征在于：

所述主设备在预先记录所述证书到期时间时，还记录KEY的序列号以及发放者名称；

所述主设备对应多个KEY，通过不同KEY对应的不同序列号/不同发放者名称识别不同的KEY。

6.一种数字证书到期提醒装置，包括：控制单元、读取单元、判断单元和提示单元，其中：

所述控制单元，用于根据预先配置启动证书到期查询；

所述读取单元，用于在所述控制单元启动证书到期查询后，读取预先记录的证书到期时间；

所述判断单元，用于根据所述读取单元读取的证书到期时间离线判断KEY中保存的证书是否已到期；

所述提示单元，用于在所述判断单元判断证书已到期时，提醒用户进行证书更新。

7.如权利要求6所述的装置，其特征在于，所述装置还包括记录单元，其中：

所述记录单元，用于在检测到所述KEY与所述主设备首次通讯时，从所述KEY中保存的证书中解析出所述证书的设定到期时间，根据从所述KEY中保存的证书中解析出所述证书的设定到期时间，保存或更新所述主设备上预先记录的证书到期时间。

8.如权利要求7所述的装置，其特征在于，所述装置还包括认证单元，其中：

所述认证单元，用于在所述记录单元解析出所述证书到期时间前，从所述证书中解析出证书公钥，并获取所述KEY中保存的密钥对的公钥，判断所述证书公钥与密钥对的公钥是否一致，如果不一致，判定证书不合法，提醒用户更新证书或更换KEY；如果一致，则判定所述证书合法。

9.如权利要求6所述的装置，其特征在于：

所述判断单元，还用于在判断证书未到期的情况下，判断证书的剩余有效时间是否满足预先设定的预提醒时间点；

所述提示单元，还用于在所述判断单元判断证书的剩余有效时间满足预提醒时间点时，按照满足的预提醒时间点对应的提醒方式提醒用户证书即将到期。

10.如权利要求7所述的装置，其特征在于：

所述记录单元，还用于在预先记录所述证书到期时间时，还记录对应KEY设备的序列号以及发放者名称；

所述读取单元、判断单元、提示单元和记录单元通过不同KEY对应的不同序列号/不同发放者名称识别不同的KEY。

Images