CN103581907B - 移动电子签名方法、服务平台、设备和系统 - Google Patents

Abstract

一种移动电子签名方法、服务平台、设备和系统，该方法包括：通过业务终端输入移动设备识别码和设备口令，并且业务终端将移动设备识别码和设备口令作为签名请求提交给应用服务器；应用服务器根据签名请求生成待签名消息，并且把待签名消息、移动设备识别码和设备口令发送给移动签名服务平台；以及移动签名服务平台用平台口令验证设备口令，若设备口令验证通过，则进行正常的电子签名操作；若设备口令验证失败，则执行抗骚扰操作，该抗骚扰操作包括终止步骤，在该终止步骤中，移动签名服务平台终止向对应于移动设备识别码的移动签名设备发送待签名消息、移动设备识别码或者设备口令，从而有效地防止了骚扰签名请求的攻击。

Description

移动电子签名方法、服务平台、设备和系统

技术领域

本发明涉及移动电子签名方法、服务平台、设备和系统，尤其涉及能够防骚扰的移动电子签名方法、服务平台、设备和系统。

背景技术

在已有的移动签名实现技术中，欧洲电信标准化协会(EuropeanTelecommunicationsStandardsInstitute,简称ETSI)的标准(含ETSITR102203、TS102204、TR102206、TS102207等)给出了移动签名的基本实现方式，其基本实现过程是：用户在诸如个人计算机(以下可简称“PC机”)或者POS机之类业务终端的业务应用界面中输入自己的移动设备识别码(也可简称为“设备ID”)，例如手机号码，就会触发应用服务器(以下可简称“APP”)将待签名消息通过移动签名服务平台(MobileSignatureServicePlatformorProvider，以下可简称“MSSP”)发送给用户的移动设备，例如手机或者移动签名设备，用户在自己的移动设备中浏览该消息并进行确认，移动设备就会产生针对该消息的签名，并将签名通过MSSP返回给APP，APP验证签名，若验证通过，则可判断当前消息得到了用户的认可，执行消息所请求的业务处理。

图1是一种已有的移动电子签名系统的结构示意图。如图1所示，这种已有的移动电子签名系统由业务终端101、应用服务器102、移动签名服务平台103和移动签名设备(MobileSignatureDevice，以下可简称“MSD”)104构成。业务终端101通过互联网对应用服务器102进行访问。移动签名设备104包括移动网络通信单元1041、输入输出单元1042、存储单元1043、安全单元1044和身份验证单元1045。移动网络通信单元1041用于移动签名设备104与MSSP103之间的通信。输入输出单元1042包括：按键单元，用于用户执行口令输入、上下翻页、确认和取消等动作；传输单元，用于接收并发送待签名消息和签名等数据；和显示单元，用于显示待签名消息、签名和口令等数据(图中未示)。存储单元1043用于存储待签名消息、签名和身份验证用的识别码(ID)等数据。安全单元1044用于处理待签名消息、进行加解密、进行电子签名等。身份验证单元1045用于在启用私钥进行电子签名之前对用户身份进行验证。

图2是移动签名服务平台(MSSP)103的结构图。如图2所示，移动签名服务平台(MSSP)103包括第一网络通信单元1031、第二网络通信单元1032、第一平台安全单元1033、第二平台安全单元1034、平台存储单元1039和平台输入输出单元103A。至于移动签名服务平台(MSSP)可包括的本领域已知的其他单元，为简便起见，在此不予赘述。第一网络通信单元1031用于与应用服务器102进行通信。第一平台安全单元1033用于保护经第一网络通信单元1031传输的数据。第二网络通信单元1032用于与移动签名设备104进行移动通信。第二平台安全单元1034用于保护经第二网络通信单元1032传输的数据。平台存储单元1039可用于存储移动签名设备104的移动设备识别码。平台输入输出单元103A用于与第一平台安全单元1033、第二平台安全单元1034和平台存储单元1039进行通信。

图3是图1所示移动电子签名系统的执行移动电子签名的基本操作流程图。如图3所示，该移动电子签名系统的基本操作流程包括：

在步骤S306，业务终端101把用户输入的设备ID作为签名请求提交给应用服务器102；

在步骤S307，应用服务器102根据签名请求生成待签名消息；

在步骤S308，应用服务器102把待签名消息和设备ID发送给移动签名服务平台(MSSP)103的第一网络通信单元1031；

在步骤S309，移动签名服务平台(MSSP)103把待签名消息经第二平台安全单元1034和第二网络通信单元1032发送给设备ID对应的移动签名设备(MSD)104的移动网络通信单元1041，例如，根据平台存储单元1039中存储的设备ID来查找诸如IP地址之类的设备的通信地址，再将待签名消息发送给通信地址，在该设备ID是手机号码的情况下，例如可以通过短信网关向该手机号码发送该待签名消息。

在步骤S310，移动签名设备(MSD)104通过输入输出单元1042的显示单元把待签名消息显示给用户，提示用户输入签名口令；然后，通过身份验证单元1045对用户利用输入输出单元1042的按键单元输入的口令进行验证，若验证没有通过，则此项业务操作结束，若验证通过，则移动签名设备(MSD)104通过安全单元1044对待签名消息进行运算而生成电子签名；

在步骤S311，移动签名设备(MSD)104将签名经输入输出单元1042和移动网络通信单元1041提交给移动签名服务平台(MSSP)103的第二网络通信单元1032；

在步骤S312，移动签名服务平台(MSSP)103将签名经平台输入输出单元103A、第一平台安全单元1033和第一网络通信单元1031发送给应用服务器102；

在步骤S313，应用服务器102对接收到的签名进行验证，并根据验证结果进行相应的业务处理；以及

在步骤S314，应用服务器102将业务处理结果发送给业务终端101。

最后，业务终端101显示业务处理结果。

在上述步骤S313中，验证结果和相应的业务处理可以例如具体实现为：应用服务器102对接收到的签名的验证结果是验证通过，则认为当前请求得到用户的合法授权，应用服务器102提供满足签名请求的业务信息给业务终端101；否则，验证结果是验证未通过，则认为当前签名请求未得到用户的合法授权，应用服务器102终止提供业务信息给业务终端101。

然而，已有的移动签名实现技术无法抵抗恶意骚扰。例如，许多用户的设备ID例如手机号都是公开的，那么，攻击者只需在业务终端的业务应用界面填入作为签名请求的用户的设备ID，就可以触发APP向MSSP发送一个根据签名请求生成的待签名消息，MSSP将按照正常的处理程序将该消息发送给用户。这样，用户就会收到一个冒充的待签名消息，显然，由于用户并未在业务终端提交签名请求，所以用户会立刻发现该消息不是自己提交的签名请求所涉及的待签名消息，要么采取取消操作的动作，要么置之不理。尽管这不会影响业务应用的安全性，但是，用户会觉得这是一种不应发生的骚扰行为。如果这种骚扰经常发生，就会干扰用户正常的业务操作，降低了正常业务操作的效率。

另外，还可能因用户对这些骚扰签名请求的误操作而导致用户的业务受损，例如，将“取消”的动作误操作为“确认”，使得骚扰签名请求的业务得以完成，从而导致用户的业务受损。

再有，如果这种骚扰频繁发生，将大大降低用户对该技术的信任度，会导致用户拒绝或者选择放弃使用这种移动签名方式，导致这种移动签名技术的开发方在人力和工作时间等成本方面受损。

发明内容

本发明能够解决现有技术存在的上述一个或者多个缺点。

根据本发明的一个方面，提供一种移动电子签名方法，这种方法可以包括输入并提交步骤、生成并发送步骤和验证步骤。输入并提交步骤可以是：通过业务终端输入移动设备识别码和设备口令，并且业务终端将移动设备识别码和设备口令作为签名请求提交给应用服务器。生成并发送步骤可以是：应用服务器根据签名请求生成待签名消息，并且把待签名消息、移动设备识别码和设备口令发送给移动签名服务平台。验证步骤可以是：移动签名服务平台用平台口令验证设备口令，若设备口令验证通过，则进行正常的移动电子签名操作；若设备口令验证失败，则执行抗骚扰操作。平台口令可以是与对应于移动设备识别码的移动电子签名设备的动态口令相对应的动态口令。抗骚扰操作可以包括终止步骤。终止步骤可以是：移动签名服务平台终止向对应于移动设备识别码的移动电子签名设备发送待签名消息、移动设备识别码或者设备口令。

进一步地，在上述移动电子签名方法中，抗骚扰操作还可以包括在终止步骤的同时或者之后的以下步骤：移动签名服务平台把业务终止消息发送给应用服务器；应用服务器将业务终止消息发送给业务终端；以及业务终端显示业务终止消息。

另外，在上述移动电子签名方法中，正常的移动电子签名操作可以包括以下步骤：移动签名服务平台把待签名消息发送给对应于移动设备识别码的移动电子签名设备；移动电子签名设备把待签名消息显示给用户以提示用户输入签名口令，然后，对签名口令进行验证，若验证没有通过，则此项业务操作结束，若验证通过，则对待签名消息进行运算而生成电子签名；以及在验证通过的情况下，移动电子签名设备将电子签名提交给移动签名服务平台，然后移动签名服务平台将电子签名发送给应用服务器，之后应用服务器对接收到的电子签名进行验证、根据验证结果进行相应的业务处理、并将业务处理结果发送给业务终端，业务终端显示业务处理结果。

再有，在上述移动电子签名方法中，根据验证结果进行相应的业务处理可以包括以下步骤：应用服务器对接收到的电子签名的验证结果是验证通过，则认为当前请求得到用户的合法授权，应用服务器提供满足签名请求的业务信息给业务终端；否则，验证结果是验证未通过，则认为当前的签名请求未得到用户的合法授权，应用服务器终止提供业务信息给业务终端。

还有，在上述移动电子签名方法中，验证步骤中的验证所述设备口令可以包括：移动签名服务平台验证输入的设备口令是否与移动签名服务平台的平台口令相同，若相同，则设备口令验证通过；若不相同，则设备口令验证失败。

另外，在上述移动电子签名方法中，动态口令可以是数字和字母任一种，或者是数字与字母的任意组合。

再有，在上述移动电子签名方法中，动态口令可以是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

还有，在上述移动电子签名方法中，随机码可以是两位或者多于两位的随机码。

另外，在上述移动电子签名方法中，输入并提交步骤中的输入的方式可以是手工输入方式、光学扫描输入方式、无线近距离通信输入方式或者有线通信输入方式。

再有，在上述移动电子签名方法中，光学扫描输入方式可以是二维码扫描输入方式。

还有，在上述移动电子签名方法中，无线近距离通信输入方式可以是近场通信输入方式、红外通信输入方式、蓝牙通信输入方式或者无线射频识别输入方式。

另外，在上述移动电子签名方法中，有线通信输入方式可以是USB接口输入方式、串口输入方式或者音频接口输入方式。

再有，在上述移动电子签名方法中，签名口令可以是以下任意一种方式的口令或者它们的组合：数字、字母、指纹信息码、脸纹信息码、虹膜信息码和脉搏跳动信息码。

根据本发明的另一个方面，提供一种移动签名服务平台，该移动签名服务平台可以包括：第一网络通信单元，用于与外部的应用服务器进行通信；第一平台安全单元，用于保护经第一网络通信单元传输的数据；第二网络通信单元，用于与外部的移动电子签名设备进行移动通信；第二平台安全单元，用于保护经第二网络通信单元传输的数据；第三平台安全单元，用于生成平台口令，并且用平台口令验证来自应用服务器的设备口令，其中平台口令是与对应于移动设备识别码的移动电子签名设备的动态口令相对应的动态口令；平台存储单元，用于存储移动设备识别码和平台口令生成用的种子信息；平台输入输出单元，用于与第一平台安全单元、第二平台安全单元、第三平台安全单元和平台存储单元进行通信。其中，第三平台安全单元还可以用于在设备口令验证通过时，向平台输入输出单元传输进行正常的移动电子签名操作的指令，并且在设备口令验证失败时，向平台输入输出单元传输以下终止指令：终止向与来自应用服务器的移动设备识别码对应的移动电子签名设备发送来自应用服务器的待签名消息、移动设备识别码或者设备口令。平台输入输出单元还可以用于在接收到终止指令时，终止把来自应用服务器的待签名消息、移动设备识别码或者设备口令经第二网络通信单元发送给与来自应用服务器的移动设备识别码对应的移动电子签名设备。

另外，在上述移动签名服务平台中，平台输入输出安全单元还可以用于在终止把来自应用服务器的待签名消息、移动设备识别码或者设备口令经第二网络通信单元发送给与来自应用服务器的移动设备识别码对应的移动电子签名设备的同时或者之后，把业务终止消息发送给应用服务器。

再有，在上述移动签名服务平台中，用平台口令验证来自应用服务器的设备口令可以为：验证设备口令是否与平台口令相同，若相同，则设备口令验证通过；若不相同，则设备口令验证失败。

还有，在上述移动签名服务平台中，动态口令可以是数字和字母任一种，或者是数字与字母的任意组合。

另外，在上述移动签名服务平台中，动态口令可以是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

再有，在上述移动签名服务平台中，随机码可以是两位或者多于两位的随机码。

还有，在上述移动签名服务平台中，平台口令生成用的种子信息可以包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。

根据本发明的再一个方面，提供一种移动电子签名设备，该移动电子签名设备可以包括：移动网络通信单元，用于与外部的移动签名服务平台进行通信；身份验证单元，用于在启用私钥进行电子签名之前通过身份验证用的识别码来验证用户输入的签名口令，以对用户身份进行验证；第一安全单元，用于计算生成动态口令；第二安全单元，用于处理来自移动签名服务平台的待签名消息、对待签名消息进行加解密、对待签名消息进行电子签名；存储单元，用于存储身份验证用的识别码和动态口令生成用的种子信息；以及包括按键单元、传输单元和显示单元的输入输出单元，与移动网络通信单元、身份验证单元、第一安全单元和第二安全单元进行通信，其中按键单元用于用户执行确认和取消动作、或者执行签名口令的输入动作，传输单元用于接收并发送待签名消息、签名和动态口令，以及显示单元用于显示待签名消息、签名、动态口令和签名口令。

还有，在上述移动电子签名设备中，第二安全单元还可以用于验证签名。

另外，在上述移动电子签名设备中，动态口令可以是数字和字母任一种，或者是数字与字母的任意组合。

再有，在上述移动电子签名设备中，动态口令可以是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

还有，在上述移动电子签名设备中，随机码可以是两位或者多于两位的随机码。

另外，上述移动电子签名设备还可以包括以下任一单元或者它们的组合：光学码生成单元、无线近距离通信单元和有线通信单元。

再有，在上述移动电子签名设备中，光学码生成单元可以是二维码生成单元。

还有，在上述移动电子签名设备中，无线近距离通信单元可以包括以下任一单元或者它们的组合：近场通信单元、红外通信单元、蓝牙通信单元和无线射频通信单元。

另外，在上述移动电子签名设备中，有线通信单元可以包括以下任一或者它们的组合：USB接口、串口和音频接口。

再有，在上述移动电子签名设备中，签名口令可以是以下任意一种方式的口令或者它们的组合：数字、字母、指纹信息码、脸纹信息码、虹膜信息码和脉搏跳动信息码。

还有，在上述移动电子签名设备中，动态口令生成用的种子信息可以包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。

另外，在上述移动电子签名设备中，存储单元还可以用于存储所述移动电子签名设备的移动设备识别码。

根据本发明的又一个方面，提供一种移动电子签名系统，该移动电子签名系统可以包括：业务终端，用于输入移动设备识别码和设备口令，并且将移动设备识别码和设备口令作为签名请求提交；应用服务器，用于根据业务终端提交的签名请求生成待签名消息，并且发送待签名消息、移动设备识别码和设备口令；以上任意一种移动签名服务平台，用于接收应用服务器发送的待签名消息、移动设备识别码和设备口令，并且用平台口令验证设备口令；以及以上任意一种移动电子签名设备，用于接收来自移动签名服务平台的待签名消息以进行电子签名。

通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，从而提高了正常业务操作的效率。

另外，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，从而避免用户对骚扰签名请求的误操作而导致的业务受损，提高了业务操作的可靠性。

再有，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，从而提高了用户对该技术的信任度。

对本领域的技术人员来说很显然的是，在上述内容的基础上可对它们做各种修改、变换或任意组合。

根据下面附图和详细描述，本发明的移动电子签名方法、服务平台、设备和系统以及相应的其他特征和优点对于本领域技术人员来说将变得显而易见。本申请意在使所有这些和其他方法、服务平台、设备、系统、特征和优点都包含在该描述中。应当理解，本文前面的一般性描述和下面的详细描述都是示例性的和解释性的，意在提供如对所要求保护的技术方案的进一步的理解，但没有任何东西应被视为是对所要求保护的技术方案的限制。

附图说明

以下，为更好地理解本发明，将结合附图详细描述本发明的各示例性的具体实施方式。

图1是一种已有的移动电子签名系统的结构示意图；

图2是图1所示移动电子签名系统中移动签名服务平台的结构示意图；

图3是图1所示移动电子签名系统执行移动电子签名的基本操作方法流程图；

图4是根据本发明一个示例性具体实施方式的一种移动电子签名系统实例的整体结构示意图；

图5是图4所示移动电子签名系统中移动签名服务平台的结构示意图；

图6是图4所示移动电子签名系统执行正常的移动电子签名操作方法的示例流程图；

图7是图4所示移动电子签名系统执行抗骚扰操作的示例流程图；以及

图8是根据本发明一个示例性具体实施方式的一种移动电子签名系统另一实例的整体结构示意图。

具体实施方式

现在将参照本文的各实施方式进行详细描述，附图中图解了其实例。为了将其思想传达给本领域普通技术人员，提供此后引入的这些实施方式作为实例。因此，这些实施方式可以以不同的形式实施，从而并不限于这里所述的这些实施方式。而且，在任何可能的地方，在整个说明书和附图中将使用相同的附图标记表示相同或相似的部件。

图4是根据本发明一个示例性具体实施方式的一种移动电子签名系统实例的整体结构示意图，如图4所示，该电子签名系统包括业务终端401、应用服务器(APP)402、移动签名服务平台(MSSP)403和移动签名设备404。

业务终端401可以是台式PC机、便携式笔记本电脑、POS机、或者个人数字助理(以下可简称“PDA”)等，但并不限于此，还可以是本领域技术人员能够想到的其他业务终端。业务终端401可以通过互联网对应用服务器402进行访问。当然，业务终端401还可以通过其他方式对应用服务器402进行访问，例如通过专用通信线路进行访问，还可以是本领域技术人员能够想到的其他访问方式，本领域的技术人员在阅读和理解本发明后，可对其做各种修改和变换。

移动签名设备404可以是带有移动签名功能的手机，或者是单独的手持移动签名装置，还可以是本领域技术人员能够想到的其他装置，本领域的技术人员在阅读和理解本发明后，可对其做各种修改和变换。移动签名设备404包括移动网络通信单元4041、输入输出单元4042、存储单元4043、第一安全单元4046、身份验证单元4045和第二安全单元4044。移动网络通信单元4041用于移动签名设备404与MSSP403之间的通信。

输入输出单元4042与移动网络通信单元4041、身份验证单元4045、第一安全单元4046和第二安全单元4044进行通信。输入输出单元4042可以包括：按键单元，能用于用户执行确认和取消动作、或者执行签名口令的输入等动作，可选的是，还可以用于用户执行上下翻页动作以便于查询比较多的显示内容；传输单元，能用于接收并发送待签名消息、签名和动态口令等数据；和显示单元，能用于显示待签名消息、签名、动态口令和签名口令等数据(图中未示)。当然，本领域的技术人员在阅读和理解本发明后，可对输入输出单元的上述功能和组成部分做各种修改和变换。存储单元4043能用于存储身份验证用的识别码(ID)和生成动态口令的种子信息如密钥、初始值、时间和事件因子。可选的是，存储单元4043还能用于存储以下数据至少之一：待签名消息和签名等，以便于查询。进一步可选的是，存储单元4043还能用于存储设备ID，以便用于无需手工输入设备ID的情形(下文详述)。第二安全单元4044用于处理来自移动签名服务平台(MSSP)403的待签名消息，即，对该待签名消息进行加解密、对该待签名消息进行电子签名，可选的是，还可以验证签名，例如，当移动签名服务平台403与移动签名设备404之间采用非对称密钥安全机制时，为保证消息的完整性，移动签名服务平台403会将发给移动签名设备404的消息包进行签名，这样移动签名设备404在接到该消息包后，就需要首先对移动签名服务平台403的签名进行验证，以保证接收到的消息确实来自移动签名服务平台403。身份验证单元4045用于在启用私钥进行电子签名之前通过身份验证用的识别码来验证用户输入的签名口令，以对用户身份进行验证。第一安全单元4046用于计算生成动态口令，其中计算生成动态口令的方式可以是基于事件的计算生成方式，或者是基于时间的计算生成方式。基于时间计算生成动态口令是指，动态口令的计算生成是依赖于密钥和时间初始值的，在MSD与MSSP之间进行时间同步，使得二者具有相同的密钥和时间初始值，那么在相同的时间内，MSD上计算生成的动态口令与MSSP上计算生成的动态口令是一致的，之后MSSP可由此判断签名请求是否来自MSD的持有者(用户)。基于事件计算生成动态口令是指，动态口令的计算生成是依赖于密钥和事件初始值的，在MSD上有个按键，用户每按一次，就形成一次N+1事件，MSD就可以用事件初始值计算生成一个动态口令；而在MSSP也具有相同的事件初始值和密钥，故也可根据N+1事件来计算生成动态口令，那么对于相同的事件，MSD上计算生成的动态口令与MSSP上计算生成的动态口令是一致的，之后MSSP可由此判断签名请求是否来自MSD的持有者(用户)。相应地，存储单元4043所存储的生成动态口令的种子信息可以包括对应的信息，例如，包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。当然，计算生成动态口令的方式还可以是本领域技术人员能够想到的其他方式，例如，还可以基于挑战响应来计算生成动态口令。本领域的技术人员在阅读和理解本发明后，可对动态口令的计算生成方式做各种修改和变换。

另外，签名口令可以是数字或者字母。可选的是，签名口令还可以是用户的生物指征信息代码，例如指纹信息码、脸纹信息码、虹膜信息码和脉搏跳动信息码，以进一步提高用户签名的安全性。当然，本领域的技术人员在阅读和理解本发明后，可对这些方式口令做变换或者任意组合。

图5是移动签名服务平台(MSSP)403的结构图。如图5所示，移动签名服务平台(MSSP)403包括第一网络通信单元4031、第二网络通信单元4032、第一平台安全单元4033、第二平台安全单元4034、平台存储单元4039、平台输入输出单元403A和第三平台安全单元403B。至于移动签名服务平台(MSSP)可包括的本领域已知的其他单元，为简便起见，在此不予赘述。第一网络通信单元4031用于与应用服务器402进行通信。第一平台安全单元4033用于保护经第一网络通信单元4031传输的数据。第二网络通信单元4032用于与移动签名设备404进行移动通信。第二平台安全单元4034用于保护经第二网络通信单元4032传输的数据。第三平台安全单元403B用于生成平台口令，并且用平台口令验证来自应用服务器402的设备口令，这里，平台口令是与对应于设备ID的移动签名设备404的动态口令相对应的动态口令。平台存储单元4039可用于存储移动签名设备404的移动设备识别码(设备ID)和平台口令生成用的种子信息。可选的是，平台存储单元4039还可用于存储来自第一平台安全单元4033与第二平台单元4034任一的数据，以便于查询。平台输入输出单元403A用于与第一平台安全单元4033、第二平台安全单元4034、第三平台安全单元4034和平台存储单元4039进行通信。

图6是图4所示移动电子签名系统执行正常的移动电子签名操作方法的示例流程图。如图6所示，该正常的移动电子签名操作流程包括：

在步骤S606，业务终端401把用户输入的设备ID和动态口令作为签名请求提交给应用服务器402，其中动态口令由移动签名设备404的第一安全单元4046计算生成；

在步骤S607，应用服务器402根据签名请求生成待签名消息；

在步骤S608，应用服务器402把待签名消息、设备ID和动态口令发送给移动签名服务平台(MSSP)403的第一网络通信单元4031；

在步骤S609，移动签名服务平台(MSSP)403的第三平台安全单元403B用平台口令验证来自应用服务器402的动态口令，若动态口令验证通过，则向平台输入输出单元403A传输进行正常的移动电子签名操作的指令，从而进到步骤S610以进行正常的移动电子签名操作；若动态口令验证失败，则执行抗骚扰操作(见图7)；

在步骤S610，移动签名服务平台(MSSP)403把待签名消息经第二平台安全单元4034和第二网络通信单元4032发送给设备ID对应的移动签名设备(MSD)404的移动网络通信单元4041，例如，根据平台存储单元4039中存储的设备ID来查找诸如IP地址之类的设备的通信地址，再将待签名消息发送给通信地址，在该设备ID是手机号码的情况下，例如可以通过短信网关向该手机号码发送该待签名消息。

在步骤S611，移动签名设备(MSD)404通过输入输出单元4042的显示单元把待签名消息显示给用户，提示用户输入签名口令；然后，通过身份验证单元4045对用户通过输入输出单元4042的按键单元输入的口令进行验证，若验证没有通过，则此项业务操作结束，若验证通过，则移动签名设备(MSD)404通过第二安全单元4044对待签名消息进行运算而生成电子签名；

在步骤S612，移动签名设备(MSD)404将电子签名经输入输出单元4042和移动网络通信单元4041提交给移动签名服务平台(MSSP)403的第二网络通信单元4032；

在步骤S613，移动签名服务平台(MSSP)403将电子签名经平台输入输出单元403A、第一平台安全单元4033和第一网络通信单元4031发送给应用服务器402；

在步骤S614，应用服务器402对接收到的电子签名进行验证，并根据验证结果进行相应的业务处理；以及

在步骤S615，应用服务器402将业务处理结果发送给业务终端401。

最后，业务终端401显示业务处理结果。

在上述步骤S609中，验证动态口令可以例如具体实现为：基于与设备ID对应的移动签名设备404的第一安全单元4046相对应的计算方式，例如，第一安全单元4046与第三平台安全单元403B都基于时间进行计算，平台安全单元403B计算生成平台口令，并验证用户输入的动态口令是否与平台口令相同，若相同，则验证通过；若不相同，则验证失败。可选的是，第一安全单元4046与平台安全单元403B还可以都基于事件计算生成动态口令。相应地，平台存储单元4039所存储的平台口令生成用的种子信息可以包括对应的信息，例如，包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。当然，计算生成方式还可以是本领域技术人员能够想到的其他方式，例如，二者还可以都基于挑战响应来计算生成动态口令。本领域的技术人员在阅读和理解本发明后，可对口令的计算生成方式做各种修改和变换。

另外，这里，验证两口令是否相同仅仅是一个例子，这可以简化口令的验证过程，而本领域的技术人员在阅读和理解本发明后，可对两口令的验证做各种修改和变换，例如，还可验证动态口令在做某些运算后得到的结果是否与平台口令相同，或者存在某一对应关系，以实现两口令的验证。

在上述步骤S614中，验证结果和相应的业务处理可以例如具体实现为：应用服务器402对接收到的电子签名的验证结果是验证通过，则认为当前请求得到用户的合法授权，应用服务器402提供满足签名请求的业务信息给业务终端401；否则，验证结果是验证未通过，则认为当前签名请求未得到用户的合法授权，应用服务器402终止提供业务信息给业务终端401。

当攻击者提交骚扰签名请求时，本发明的移动电子签名系统能执行抗骚扰操作。图7是图4所示移动电子签名系统执行抗骚扰操作的示例流程图。如图7所示，该抗骚扰操作的流程包括：

在步骤S706，业务终端401把攻击者输入的设备ID和设备口令作为签名请求提交给应用服务器402，其中设备口令由攻击者随意输入；

在步骤S707，应用服务器402根据签名请求生成待签名消息；

在步骤S708，应用服务器402把待签名消息、设备ID和攻击者输入的设备口令发送给移动签名服务平台(MSSP)403的第一网络通信单元4031；

在步骤S709，移动签名服务平台(MSSP)403的第三平台安全单元403B用平台口令验证攻击者输入的设备口令；

在设备口令验证失败的情况下，移动签名服务平台(MSSP)403的第三平台安全单元403B向平台输入输出单元403A传输以下终止指令：终止向与来自应用服务器402的设备ID对应的移动签名设备(MSD)404发送来自应用服务器402的待签名消息、设备ID或者设备口令，而平台输入输出单元403A在接收到终止指令时，终止把来自应用服务器402的待签名消息、设备ID或者设备口令经第二平台安全单元4034和第二网络通信单元4032发送给与来自应用服务器的设备ID对应的移动签名设备(MSD)404。

在上述步骤S709中，验证动态口令的方式与上述步骤S609的相同，在此不再赘述。

由此可见，通过采用本发明的移动电子签名方法、平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，从而提高了正常业务操作的效率。

另外，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，用户无需对骚扰签名请求进行确认或者取消操作，从而避免了误操作而导致的业务受损，提高了业务操作的可靠性。

再有，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，从而提高了用户对该技术的信任度。

可选的是，在上述终止步骤的同时或者之后，可以在步骤S710，移动签名服务平台(MSSP)403把业务终止消息经第一网络通信单元4031发送给应用服务器402；在步骤S711，应用服务器402将业务终止消息发送给业务终端401。最后，业务终端401显示业务终止消息。这样，如果上述骚扰签名请求实际上是合法用户错填设备口令而导致产生的，那么，这些步骤可以使该合法用户在业务终端看到终止消息，意识到错误原因，能够通过再次输入正确的动态口令而重新发起正常的签名请求。

在本发明中，在业务终端输入设备ID和设备口令方式可以是用户手工输入。可选的是，也可以采用一部分或者全部免于用户手工输入(例如，免于手工输入设备口令，或者全部免于手工输入设备ID和设备口令)、又可进一步提高登录和进行业务操作的安全性的方式输入设备ID和设备口令，例如通过光学扫描的方式或者无线近距离通信的方式来输入设备口令，或者输入设备ID和设备口令。

在采用光学扫描的方式的情况下，例如，可以通过二维码扫描的方式输入设备口令，或者一起输入设备ID和设备口令。具体而言，例如，本发明的移动签名设备可以进一步包括光学码生成单元，例如是二维码生成单元，用于仅将设备口令、或者将用户的设备ID和设备口令二者打包到二维码中。该二维码可以在MSD上显示出来。当需要使用时，用户出示自己的MSD，然后用业务终端的扫描装置扫描该二维码，完成设备口令的输入操作、或者完成设备ID和设备口令二者的输入操作。

如果业务终端具备无线近距离通信装置，那么本发明的移动签名设备也可以进一步包括近场通信(NearFieldCommunication，以下可简称为“NFC”)单元、红外通信单元、蓝牙通信单元和无线射频识别通信单元这些无线近距离通信单元之一或者它们的任意组合。例如，图8是根据本发明一个示例性具体实施方式的一种移动电子签名系统另一实例的整体结构示意图。如图8所示，该电子签名系统包括业务终端801、应用服务器(APP)802、移动签名服务平台(MSSP)803和移动签名设备804。移动签名设备804包括移动网络通信单元8041、输入输出单元8042、存储单元8043、第一安全单元8046、身份验证单元8045、第二安全单元8044和无线近距离通信单元8047。除了业务终端801比图4所示的业务终端401多出无线近距离通信装置(图中未示)、而且移动签名设备804比图4所示的移动签名设备404多出无线近距离通信单元8047之外，图8所示的移动签名系统的其他结构与图4的相同，基本的业务操作方法流程也相同，在此不再赘述。在需要使用移动签名设备804时，用户将移动签名设备804放到无线近距离通信有效的位置，将设备口令、或者将操作设备ID和设备口令二者通过无线近距离通信单元8047传送给业务终端801的无线近距离通信装置，完成设备ID和设备口令的输入操作。

可选的是，本发明的移动签名设备还可以进一步包括有线通信单元，例如有线传输接口单元，例如USB接口、串口和音频接口之一或者它们的任意组合，以方便与包括有线传输接口的业务终端进行设备ID和设备口令的传输。

另外，在本发明中，动态口令(或称“一次性口令”，OneTimePassword，以下可简称“OTP”)动态口令可以数字和字母任一，或者是数字与字母的任意组合。可选的是，动态口令可以是随机码，从而提高动态口令的安全性，进而提高移动签名设备使用的安全性。更进一步可选的是，随机码可以是两位或者多于两位的随机码，从而降低动态口令被猜到的可能性，进一步提高移动签名设备使用的安全性，能使得系统的安全性更高。

前面已经结合本发明的各实施方式详细例举说明了本发明的移动电子签名方法、服务平台、设备和系统。通过采用本发明的移动电子签名方法、平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，从而提高了正常业务操作的效率。

另外，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，用户无需对骚扰签名请求进行确认或者取消操作，从而避免了误操作而导致的业务受损，提高了业务操作的可靠性。

再有，通过采用本发明的移动电子签名方法、服务平台、设备和系统，能够有效地防止骚扰签名请求的攻击，使得用户感受不到攻击者随意输入的设备ID和口令所提交的签名请求的骚扰，从而提高了用户对该技术的信任度。

前面结合本发明的典型实施方式详细描述了本发明，但本领域的技术人员可以理解，这些典型实施方式和实例并不应作为对本发明的保护范围的限制，那些对本领域的技术人员来说很明显的修改、变换和替换都应落在本发明的保护范围内。

Claims (43)

1.一种移动电子签名方法，包括以下步骤：

输入并提交步骤：通过业务终端输入移动设备识别码和设备口令，并且所述业务终端将所述移动设备识别码和所述设备口令作为签名请求提交给应用服务器；

生成并发送步骤：所述应用服务器根据所述签名请求生成待签名消息，并且把所述待签名消息、所述移动设备识别码和所述设备口令发送给移动签名服务平台；以及

验证步骤：所述移动签名服务平台用平台口令验证所述设备口令，若所述设备口令验证通过，则进行正常的移动电子签名操作；若所述设备口令验证失败，则执行抗骚扰操作，

其中所述平台口令是与对应于所述移动设备识别码的移动电子签名设备的动态口令相对应的动态口令，并且

其中所述抗骚扰操作包括以下步骤：

终止步骤：所述移动签名服务平台终止向对应于所述移动设备识别码的移动电子签名设备发送所述待签名消息、所述移动设备识别码或者所述设备口令。

2.如权利要求1所述的移动电子签名方法，其中所述抗骚扰操作还包括在所述终止步骤的同时或者之后的以下步骤：

所述移动签名服务平台把业务终止消息发送给所述应用服务器；

所述应用服务器将所述业务终止消息发送给所述业务终端；以及

所述业务终端显示所述业务终止消息。

3.如权利要求1所述的移动电子签名方法，并且其中所述验证步骤中的验证所述设备口令包括：

所述移动签名服务平台验证输入的设备口令是否与所述移动签名服务平台的平台口令相同，若相同，则所述设备口令验证通过；若不相同，则所述设备口令验证失败。

4.如权利要求1至3任一所述的移动电子签名方法，其中所述动态口令是数字和字母任一种，或者是数字与字母的任意组合。

5.如权利要求1至3任一所述的移动电子签名方法，其中所述动态口令是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

6.如权利要求5所述的移动电子签名方法，其中所述随机码是两位或者多于两位的随机码。

7.如权利要求1所述的移动电子签名方法，其中所述输入并提交步骤中的所述输入的方式是手工输入方式、光学扫描输入方式、无线近距离通信输入方式或者有线通信输入方式。

8.如权利要求7所述的移动电子签名方法，其中所述光学扫描输入方式是二维码扫描输入方式。

9.如权利要求7所述的移动电子签名方法，其中所述无线近距离通信输入方式是近场通信输入方式、红外通信输入方式、蓝牙通信输入方式或者无线射频识别输入方式。

10.如权利要求7所述的移动电子签名方法，其中所述有线通信输入方式是USB接口输入方式、串口输入方式或者音频接口输入方式。

11.一种移动签名服务平台，包括：

第一网络通信单元，用于与外部的应用服务器进行通信；

第一平台安全单元，用于保护经所述第一网络通信单元传输的数据；

第二网络通信单元，用于与外部的移动电子签名设备进行移动通信；

第二平台安全单元，用于保护经所述第二网络通信单元传输的数据；

第三平台安全单元，用于生成平台口令，并且用所述平台口令验证来自所述应用服务器的设备口令，其中所述平台口令是与对应于移动设备识别码的移动电子签名设备的动态口令相对应的动态口令；

平台存储单元，用于存储所述移动设备识别码和所述平台口令生成用的种子信息；

平台输入输出单元，用于与所述第一平台安全单元、所述第二平台安全单元、所述第三平台安全单元和所述平台存储单元进行通信，

其中所述第三平台安全单元还用于在所述设备口令验证通过时，向所述平台输入输出单元传输进行正常的移动电子签名操作的指令，并且在所述设备口令验证失败时，向所述平台输入输出单元传输以下终止指令：终止向与来自所述应用服务器的移动设备识别码对应的移动电子签名设备发送来自所述应用服务器的待签名消息、移动设备识别码或者所述设备口令，并且

其中所述平台输入输出单元还用于在接收到所述终止指令时，终止把来自所述应用服务器的待签名消息、移动设备识别码或者所述设备口令经所述第二网络通信单元发送给与来自所述应用服务器的移动设备识别码对应的移动电子签名设备。

12.如权利要求11所述的移动签名服务平台，其中所述平台输入输出安全单元还用于在终止把来自所述应用服务器的待签名消息、移动设备识别码或者所述设备口令经所述第二网络通信单元发送给与来自所述应用服务器的移动设备识别码对应的移动电子签名设备的同时或者之后，把业务终止消息发送给所述应用服务器。

13.如权利要求11所述的移动签名服务平台，其中，用所述平台口令验证来自所述应用服务器的设备口令为：验证所述设备口令是否与所述平台口令相同，若相同，则所述设备口令验证通过；若不相同，则所述设备口令验证失败。

14.如权利要求11至13任一所述的移动签名服务平台，其中所述动态口令是数字和字母任一种，或者是数字与字母的任意组合。

15.如权利要求11至13任一所述的移动签名服务平台，其中所述动态口令是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

16.如权利要求15所述的移动签名服务平台，其中所述随机码是两位或者多于两位的随机码。

17.如权利要求11所述的移动签名服务平台，其中所述平台口令生成用的种子信息包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。

18.一种移动电子签名设备，包括：

移动网络通信单元，用于与外部的移动签名服务平台进行通信；

身份验证单元，用于在启用私钥进行电子签名之前通过身份验证用的识别码来验证用户输入的签名口令，以对用户身份进行验证；

第一安全单元，用于计算生成动态口令；

第二安全单元，用于处理来自所述移动签名服务平台的待签名消息、对所述待签名消息进行加解密、对所述待签名消息进行电子签名；

存储单元，用于存储所述身份验证用的识别码和所述动态口令生成用的种子信息；以及

输入输出单元，与所述移动网络通信单元、所述身份验证单元、所述第一安全单元和所述第二安全单元进行通信，并且包括按键单元、传输单元和显示单元，其中所述按键单元用于用户执行确认和取消动作、或者执行签名口令的输入动作，所述传输单元用于接收并发送所述待签名消息、所述签名和所述动态口令，以及所述显示单元用于显示所述待签名消息、所述签名、所述动态口令和所述签名口令。

19.如权利要求18所述的移动电子签名设备，其中所述第二安全单元还用于对所述待签名消息进行验证签名。

20.如权利要求18或者19所述的移动电子签名设备，其中所述动态口令是数字和字母任一种，或者是数字与字母的任意组合。

21.如权利要求18或者19所述的移动电子签名设备，其中所述动态口令是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

22.如权利要求21所述的移动电子签名设备，其中所述随机码是两位或者多于两位的随机码。

23.如权利要求18所述的移动电子签名设备，还包括以下任一单元或者它们的组合：光学码生成单元、无线近距离通信单元和有线通信单元。

24.如权利要求23所述的移动电子签名设备，其中所述光学码生成单元是二维码生成单元。

25.如权利要求23所述的移动电子签名设备，其中所述无线近距离通信单元包括以下任一单元或者它们的组合：近场通信单元、红外通信单元、蓝牙通信单元和无线射频通信单元。

26.如权利要求23所述的移动电子签名设备，其中所述有线通信单元包括以下任一或者它们的组合：USB接口、串口和音频接口。

27.如权利要求18所述的移动电子签名设备，其中所述签名口令是以下任意一种方式的口令或者它们的组合：数字、字母、指纹信息码、脸纹信息码、虹膜信息码和脉搏跳动信息码。

28.如权利要求18所述的移动电子签名设备，其中所述动态口令生成用的种子信息包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。

29.如权利要求18所述的移动电子签名设备，其中所述存储单元还用于存储所述移动电子签名设备的移动设备识别码。

30.一种移动电子签名系统，包括：

业务终端，用于输入移动设备识别码和设备口令，并且将所述移动设备识别码和所述设备口令作为签名请求提交；

应用服务器，用于根据所述业务终端提交的所述签名请求生成待签名消息，并且发送所述待签名消息、所述移动设备识别码和所述设备口令；

移动签名服务平台，用于接收所述应用服务器发送的所述待签名消息、所述移动设备识别码和所述设备口令，并且用平台口令验证所述设备口令；以及

移动电子签名设备，用于接收来自所述移动签名服务平台的所述待签名消息以进行电子签名，所述移动电子签名设备包括：

移动网络通信单元，用于与外部的移动签名服务平台进行通信；

身份验证单元，用于在启用私钥进行电子签名之前通过身份验证用的识别码来验证用户输入的签名口令，以对用户身份进行验证；

第一安全单元，用于计算生成动态口令；

第二安全单元，用于处理来自所述移动签名服务平台的待签名消息、对所述待签名消息进行加解密、对所述待签名消息进行电子签名；

存储单元，用于存储所述身份验证用的识别码和所述动态口令生成用的种子信息；和

输入输出单元，与所述移动网络通信单元、所述身份验证单元、所述第一安全单元和所述第二安全单元进行通信，并且包括按键单元、传输单元和显示单元，其中所述按键单元用于用户执行确认和取消动作、或者执行签名口令的输入动作，所述传输单元用于接收并发送所述待签名消息、所述签名和所述动态口令，以及所述显示单元用于显示所述待签名消息、所述签名、所述动态口令和所述签名口令，并且

其中所述移动签名服务平台包括：

第一网络通信单元，用于与所述应用服务器进行通信；

第一平台安全单元，用于保护经所述第一网络通信单元传输的数据；

第二网络通信单元，用于与所述移动电子签名设备进行移动通信；

第二平台安全单元，用于保护经所述第二网络通信单元传输的数据；

第三平台安全单元，用于生成所述平台口令，并且用所述平台口令验证来自所述应用服务器的设备口令，其中所述平台口令是与对应于移动设备识别码的移动电子签名设备的动态口令相对应的动态口令；

平台存储单元，用于存储所述移动设备识别码和所述平台口令生成用的种子信息；

平台输入输出单元，用于与所述第一平台安全单元、所述第二平台单元、所述第三平台安全单元和所述平台存储单元进行通信，

其中所述第三平台安全单元还用于在所述设备口令验证通过时，向所述平台输入输出单元传输进行正常的移动电子签名操作的指令，并且在所述设备口令验证失败时，向所述平台输入输出单元传输以下终止指令：终止向与所述移动设备识别码对应的移动电子签名设备发送所述待签名消息、所述移动设备识别码或者所述设备口令，并且

其中所述平台输入输出单元还用于在接收到所述终止指令时，终止把所述待签名消息、所述移动设备识别码或者所述设备口令经所述第二网络通信单元发送给与所述移动设备识别码对应的移动电子签名设备。

31.如权利要求30所述的移动电子签名系统，其中所述第二安全单元还用于对所述待签名消息进行验证签名。

32.如权利要求30所述的移动电子签名系统，其中所述移动电子签名设备还包括以下任一单元或者它们的组合：光学码生成单元、无线近距离通信单元和有线通信单元。

33.如权利要求32所述的移动电子签名系统，其中所述光学码生成单元包括二维码生成单元。

34.如权利要求32所述的移动电子签名系统，其中所述无线近距离通信单元包括以下任一单元或者它们的组合：近场通信单元、红外通信单元、蓝牙通信单元和无线射频通信单元。

35.如权利要求32所述的移动电子签名系统，其中所述有线通信单元包括以下任一或者它们的组合：USB接口、串口和音频接口。

36.如权利要求30所述的移动电子签名系统，其中所述签名口令是以下任意一种方式的口令或者它们的组合：数字、字母、指纹信息码、脸纹信息码、虹膜信息码和脉搏跳动信息码。

37.如权利要求30所述的移动电子签名系统，其中所述动态口令生成用的种子信息包括密钥、时间初始值和时间因子，或者包括密钥、事件初始值和事件因子，或者包括密钥、时间初始值、事件初始值、时间因子和事件因子。

38.如权利要求30所述的移动电子签名系统，其中所述平台输入输出安全单元还用于在终止把所述待签名消息、移动设备识别码或者所述设备口令经所述第二网络通信单元发送给与所述移动设备识别码对应的移动电子签名设备的同时或者之后，把业务终止消息发送给所述应用服务器，所述应用服务器还用于将所述业务终止消息发送给所述业务终端，以及所述业务终端还用于显示所述业务终止消息。

39.如权利要求30所述的移动电子签名系统，其中，用所述平台口令验证所述设备口令为：验证所述设备口令是否与所述平台口令相同，若相同，则所述设备口令验证通过；若不相同，则所述设备口令验证失败。

40.如权利要求30至39任一所述的移动电子签名系统，其中所述动态口令是数字和字母任一种，或者是数字与字母的任意组合。

41.如权利要求30至39任一所述的移动电子签名系统，其中所述动态口令是基于事件、基于时间或者基于挑战响应而计算生成的随机码。

42.如权利要求41所述的移动电子签名系统，其中所述随机码是两位或者多于两位的随机码。

43.如权利要求30所述的移动电子签名系统，其中所述存储单元还用于存储所述移动电子签名设备的移动设备识别码。