CN103888442A

CN103888442A - 集成可视化生物特征及一次性数字签名的系统与方法

Info

Publication number: CN103888442A
Application number: CN201410012458.9A
Authority: CN
Inventors: 黄晓芳; 宋鲁华
Original assignee: Individual
Current assignee: Individual
Priority date: 2014-01-13
Filing date: 2014-01-13
Publication date: 2014-06-25

Abstract

本发明涉及集成签名人生物特征信息(通常是手写签名和指纹等信息)和一次性数字签名实现在网络环境下的数字签名。系统（6）在无需预先发放安全USBKey的情况下在网络上执行数字签名，包括数字签名终端（10），DigiSign安全密码模块（20），数字签名系统（30），生物信息认证管理（40）以及开放的外部应用接口（50）。DigiSign安全密码模块（20）可以实现在安全产生用户签名密钥，并生成数字证书请求，数字签名系统（30）可以实现集成可视化生物特征信息执行一次性数字签名，并可选的生成一次性签名数字证书，一次性数字签名和数字证书只对当前文档的本次数字签名有效。

Description

集成可视化生物特征及一次性数字签名的系统与方法

技术领域

本发明涉及网络与信息安全技术领域。尤其是涉及到采用生物特征和非对称密钥执行一次性签名的系统与方法。具体来说，是一种基于SaaS（Software as a Service）模式的用户在任何时间、任何终端、对任意格式的文档数据进行基于生物特征和数字签名的可信在线电子文档签批系统。

背景技术

政务、商务、社会公共服务活动电子化是不可逆转的趋势，这些业务活动正在从“纸为媒”向“无纸化”方向演进，演进过程中，对于关键文档如政府发文、合同、协议、电子病历等可信验证及法律遵从性，提出了紧迫的需求，我国的《电子签名法》颁布实施后，数字签名技术作为一种文档可信签名、验证技术被广泛的使用。本发明设计的系统实现了系统用户在任何时候、任何地方、使用任何终端都能够安全、方便、快捷的进行文档签名、验证。

手写签名作为签名人固有的生物特征信息，被广泛应用于网络签批应用中，这种方法部署简单，成本低，用户使用方便，但是由于手写签名的安全传输与存储存在风险，因此不被法律认可。

数字签名是采用密码学技术进行文档可信签名的技术手段，被电子签名法赋予了法律效力，通常是使用存储在USBKEY中的签名人的私钥进行数字签名，虽然具有很高的安全性，但部署成本高，使用不方便，导致应用推广难度较大。

传统的纸质文档签署通常具有可视化的效果，数字签名是附在文档后的一段数据，难以以可视化的方式展示，与传统上用户的使用习惯不一致，导致用户应用的积极性不高。

虽然在有些系统中，采用了手写签名和数字签名结合的手段实现电子文档的签名验证，但这些系统存在着手写签名与签名人的一致性难以保证，部署困难、成本高等弊端。

传统签章系统应用需要用户体现申请USBKEY存储的密钥和数字证书，这种方式成本高，用户体验差，尤其在云计算及移动互联的计算环境下，更加难以满足用户的需求。

发明内容

本发明通过发放符合x.509标准、带有生物特征信息扩展项的签名人资格证书（Qualified Certificate），实现可以使签名人在任何地方、任何时间、任何终端上都能够安全、方便、快捷使用即符合用户传统签名习惯又符合法律要求的签名服务的系统。

为达到上述目的，本实施例提供一种发放带有生物特征信息扩展项的签名人资格证书进行一次性签名的方法，该方法包括如下步骤：

a) 以适合于各种终端浏览的方式将系统文档中心的PDF文档渲染到用户终端；

b) 执行文档签名时，文档中心生成用户签名文档的Hash值，并通过网络传递到用户本地终端；

c) 在用户本地终端按需生成签名人签名密钥对，签名密钥对包括公钥和私钥，用签名私钥对文档Hash值执行一次性签名，执行完签名后销毁用户签名私钥；

d) 在用户本地终端获取签名人生物特征信息（指纹、虹膜、手写签名等），通过网络上传至系统用户中心。根据用户终端和生物特征信息的不同，可能需要配置指纹仪，手写笔等辅助设备；

e) 在用户本地终端生成签名人资格证书请求，发送到系统内置签名人资格证书中心CA（Certificate Authority），内置CA为用户签发资格证书；

f) 签名值安全传递到文档中心，从内置时间戳服务器获得时间戳信息，执行最终具有生物特征信息和数字签名的PDF签名文档。

另外，为了实现签名人在任何地方、任何时间、任何终端上都能够安全、方便、快捷的使用数字签名服务，本实施例提供了发放带有生物特征信息扩展项的签名人资格证书进行一次性签名的系统：

如附图1所示，该系统包括数字签名终端10，一般情况下，数字签名终端10可以是PC，Pad或者智能手机等具备网络连接及网页浏览能力的终端设备。同时，终端设备需要配备生物特征处理模块101，可以是虹膜扫描仪，指纹扫描仪，手写签名笔等内置或外置设备模块。

Digisign安全密码模块20通常是运行于数字签名终端的软件模块，按需生成用户密钥和执行数字签名。为了保证密钥与签名人身份的一致性， DigiSign模块在执行数字签名时，按需生成密钥，DigiSign模块执行期间采用安全进程监控技术进行保护，在密钥生成及签名运算期间，保证用户密钥的安全性。

数字签名系统30包括用户管理模块301，内置CA模块302，签名验签模块303以及文档处理模块304。用户管理模块301管理系统注册用户信息以及与生物信息认证管理40交互进行签名人生物特征认证及生物特征信息管理。内置CA模块302具有验证签名人资格证书请求，为签名人生成具有生物特征信息扩展项的签名人资格证书。签名验签模块对PDF文档执行基于签名人生物特征的电子签名及数字签名，并可实现PDF文档的在线数字签名验证。文档处理模块执行doc、docx、xlsc、xls、ppt、pptx、html等文档格式转换成PDF版式文档，同时具备PDF文档转换为png文档的功能，实现PDF文档在前端浏览器中的渲染。

生物信息认证管理40具有生物认证功能，对用户的虹膜、指纹、手写签名等信息进行认证，并对签名人的生物特征信息安全存储，数字签名系统中内置CA模块在生成签名人资格证书时，从生物特征信息库中获取签名人生物特征信息。

其他应用50具有PDF处理能力，比如email，oa等系统，在这些外部应用中可以通过应用间通讯实现其他应用中PDF文档在数字签名系统30打开并执行数字签名，以及在其他应用50间流转。

对于本系统的实施例而言，签名终端10可以是PC、Pad、手机等任意具有网络连接及网页浏览能力的智能终端。通常情况下，如果使用手写签名作为签名人生物特征信息，PC则需要配备手写板，而Pad和手机等具备手写功能的终端，只需要嵌入手写签名软件模块即可。如果是用虹膜、指纹等作为签名人生物特征信息，则需要配置虹膜采集仪、指纹采集仪等外置设备。

在本实施例中，DigiSign安全密码模块，根据数字签名的需要，为签名人生成密钥和执行数字签名功能，生成的签名密钥只用于本次针对本文档的签名，执行完签名后，密钥即被销毁。在签名终端10中，DigiSign安全密码模块可以是嵌入移动APP中的密码模块、 PKCS#11标准密码库，还可以是ActiveX控件等浏览器客户端插件。

为了进一步描述本实施例的技术方案，下面结合附图2对系统的工作方法和流程进行说明：

步骤201：签名人可以在任意连接网络的终端上登录签名系统，认证通过后进入签名人账户页面。用户登录可以通过直接访问签名系统服务URL地址，也可以通过在其他如email、OA、云存储平台等支持签名系统的SaaS（Software as a Service）应用中通过选择在签名系统中打开文档的方式跳转到签名系统中。

步骤202：签名人登录帐户后，会在文档面板显示待签名文档、已签名文档、归档文档等文档缩略图，系统会提示签名人当前需要签名的文档状态，用户点击为签名文档缩略图，系统将文档以png图片的方式将存储在服务器文档处理中心的PDF文档渲染到客户端，PDF文档不传输至客户端。

步骤203：签名人通过查看待签名文档，确定是否执行签名操作，若不执行签名操作，针对该文档的签名操作终止。

步骤204：签名人执行文档签名操作，首先签名系统计算文档内容哈希值Hash（Msg），签名终端接收Hash（Msg）。

步骤205：签名终端使用生物特征信息处理模块生成签名人生物特征信息，生物特征信息处理模块可以是指纹仪，虹膜扫描仪，手写签名面板等设备，也可以是签名终端内置的指纹扫描，虹膜扫描，手写签名应用。

步骤206：签名终端根据本次签名需要，调用Digisign安全密码模块生成签名密钥，签名密钥生成环境采用可信进程认证机制进行保护。签名密钥生成算法可以为RSA算法和SM2算法，签名密钥包括签名私钥和签名公钥，签名终端用签名私钥执行签名操作Sig（Hash（Msg）），生成签名值，安全删除用户此次生成的私钥。签名终端用签名公钥和签名人资格信息生成CRMF格式签名人资格证书请求信息CertReq。

步骤207：签名终端将文档签名值Sig（Hash（Msg））、签名人资格证书请求信息CertReq和签名人生物特征信息发送至签名系统服务器，签名系统服务器将签名人证书请求信息分发给内置CA模块，用于签发签名人资格证书。将文档签名值Sig（Hash（Msg））和签名人生物特征信息分发给签名验签模块，用于生成可视化文档签名。

步骤208：签名系统内置CA模块验证签名人资格证书请求信息，通过验证后为签名人生成一次性签名资格证书QC（Qualified Certificate），将生成的一次性签名证书QC发送给签名验签模块用于生成文档可视化签名。

步骤209：签名系统签名验签模块使用文档签名值Sig（Hash（Msg））、签名人生物特征信息和一次性签名资格证书QC，依照PadES格式执行文档服务器签名，生成可视化文档签名。

步骤210：根据文档创建、流转和应用场景，判断该文档是否为外部应用文档，如果为外部应用文档，转向步骤211，如果是内部应用文档，则转向步骤212。

步骤211：将文档发往其他应用，完成文档可视化签名操作。

步骤212：将签名文档在系统内部归档，签名流程结束。

附图说明

图1是本发明系统总体架构图

图2是本发明系统流程图。

Claims

1. 一种发放带有生物特征信息扩展项的签名人资格证书进行一次性签名的方法，该方法包括如下步骤：

A．以适合于各种终端浏览的方式将系统文档中心的PDF文档渲染到用户终端；

B．执行文档签名时，文档中心生成用户签名文档的Hash值，并通过网络传递到用户本地终端；

C．在用户本地终端按需生成签名人签名密钥对，签名密钥对包括公钥和私钥，用签名私钥对文档Hash值执行一次性签名，执行完签名后销毁用户签名私钥；

D．在用户本地终端获取签名人生物特征信息（指纹、虹膜、手写签名等），通过网络上传至系统用户中心；

E．根据用户终端和生物特征信息的不同，可能需要配置指纹仪，手写笔等辅助设备；

F．在用户本地终端生成签名人资格证书请求，发送到系统内置签名人资格证书中心CA（Certificate Authority），内置CA为用户签发资格证书；

G．签名值安全传递到文档中心，从内置时间戳服务器获得时间戳信息，执行最终具有生物特征信息和数字签名的PDF签名文档。

2. 一种使用带有生物特征信息扩展项的签名人资格证书进行一次性签名的系统，其特征在于包括数字签名终端，运行于数字签名终端的安全密码模块，运行于服务器端的数字签名系统和生物信息认证管理系统。

3. 根据权利要求2所述的系统，其特征在于，所述数字签名终端，一般情况下，数字签名终端可以是PC，Pad或者智能手机等具备网络连接及网页浏览能力的终端设备，同时，终端设备需要配备生物特征处理模块，可以是虹膜扫描仪，指纹扫描仪，手写签名笔等内置或外置设备模块。

4. 根据权利要求2所述的系统，其特征在于，所述运行于数字签名终端的安全密码模块，通常是运行于数字签名终端的软件模块，按需生成用户密钥和执行数字签名，为了保证密钥与签名人身份的一致性，安全密码模块在执行数字签名时，按需生成密钥，安全密码模块执行期间采用安全进程监控技术进行保护，在密钥生成及签名运算期间，保证用户密钥的安全性。

5. 根据权利要求2所述的系统，其特征在于，所述数字签名系统包括用户管理模块，内置CA模块，签名验签模块以及文档处理模块，用户管理模块管理系统注册用户信息以及与生物信息认证管理交互进行签名人生物特征认证及生物特征信息管理，内置CA模块具有验证签名人资格证书请求，为签名人生成具有生物特征信息扩展项的签名人资格证书，签名验签模块对PDF文档执行基于签名人生物特征的电子签名及数字签名，并可实现PDF文档的在线数字签名验证，文档处理模块执行doc、docx、xlsc、xls、ppt、pptx、html等文档格式转换成PDF版式文档，同时具备PDF文档转换为png文档的功能，实现PDF文档在前端浏览器中的渲染。

6. 根据权利要求2所述的系统，其特征在于，所述生物信息认证管理系统具有生物认证功能，对用户的虹膜、指纹、手写签名等信息进行认证，并对签名人的生物特征信息安全存储，数字签名系统中内置CA模块在生成签名人资格证书时，从生物特征信息库中获取签名人生物特征信息。