CN104158662A - 基于XAdES的多人电子凭证及实现方法 - Google Patents

Abstract

本发明涉及数字证书的技术领域，公开了一种基于XAdFs的多人电子凭证及实现方法，电子凭证包括电子凭证创建模块和电子凭证验证模块。其中电子凭证创建模块又包括配置模块、文件添加模块、数字证书添加模块、判断模块、凭证备注信息添加模块、设置模块及创建模块，用来根据不同需求，配置选择签名的级别和使用的签名算法，使用添加的签名证书对要签名的文件进行签名，并产生凭证文件的过程。而电子凭证验证模块又包括凭证文件添加模块、凭证内容文件存放模块及验证模块，用来验证凭证文件的完整性、确认签署者的身份及信息。本发明可以提供更安全和更人性化的信息安全服务，可以针对不同的需求来使用不同的签名级别，并且支持SM2椭圆曲线公钥算法。

Description

基于XAdES的多人电子凭证及实现方法

技术领域

本发明涉及数字证书的技术领域，特别涉及一种基于XAdES的多人电子凭证及实现方法。

背景技术

在互联网、云计算、云存储越来越多的应用环境下，信息安全越发重要，尤其是日常我们使用很多的电子文件。对电子文件的安全管理和传输，是每个企业、每个人都必须面对的问题。随着办公自动化在行政机关和企事业单位的广泛应用，电子文件的审批和归档也至关重要。使用基于公钥加密技术的数字签名技术，可以确认电子文件作者的身份，并保证在传输过程中的完整性，为其作为身份认证的凭据提供了技术支持。同时，相关的法规政策对于数字签名的法律效力的认定，为其提供了法律依据。

与本发明最相近的实现方案就是网上办公的签名系统或者电子公文电子凭证系统，这些是基于WEB的系统，采取XML-DSig(Extensible MarkupLanguage Digital signature)的电子签名标准，支持多种签名算法，如SHA1、SHA256、SHA512等算法。

目前的数字签名技术，一旦数字证书过期，其他人将不会相信用户的签名证书，对文件的签名也会随之失效。随着密码技术和计算技术的发展，目前常用的1024位RSA算法面临严重的安全威胁，我们国家密码管理部门经过研究，决定采用SM2椭圆曲线算法替换RSA算法。SM2算法在安全性、性能上都具有优势，上述现有技术目前不支持SM2椭圆曲线公钥算法。

发明内容

本发明的目的在于克服现有技术的缺点与不足，提供一种基于XAdES(XML高级数字签名)的多人电子凭证。

本发明的另一目的在于，提供一种基于XAdES的多人电子凭证的实现方法。

本发明的目的通过下述技术方案实现：

基于XAdES的多人电子凭证，包括电子凭证创建模块和电子凭证验证模块，

所述电子凭证创建模块，用于根据不同需求，配置选择签名的级别和使用的签名算法，使用添加的签名证书对要签名的文件进行签名，并产生凭证文件的过程，电子凭证使用基于公钥加密技术的数字签名技术来确认电子文件作者的身份，并保证在传输过程中的完整性；

所述电子凭证验证模块，用于验证所添加的凭证文件的内容，首先检查凭证文件的格式，然后解压凭证文件，解析得到的签名文件，并对xml文档的所有签名进行验证，之后检查凭证签名文件的格式，最后显示签名者得信息、签名时间以及签名备注，验证模块主要用来验证凭证文件的完整性、确认签署者的身份和签署者的信息。

优选的，所述电子凭证创建模块包括配置模块、文件添加模块、数字证书添加模块、判断模块、凭证备注信息添加模块、设置模块以及创建模块；

所述配置模块，用于根据不同的需求，配置选择签名的级别和使用的签名算法；

所述文件添加模块，用于从本地中添加需要签名的一个或者多个文件或者文件夹；

所述数字证书添加模块，用于从电子密匙设备中添加使用的签名证书；

所述判断模块，用于依据添加文件的类型来判断是对凭证内容文件签名还是对凭证文件签名；

所述凭证备注信息添加模块，用于添加签名时的备注；

所述设置模块，用于设置生成的凭证文件的存放路径；

所述创建模块，用于根据配置中选择的签名算法和签名级别，使用添加的签名证书对添加的文件进行签名，首先在XML签名中，每个签名为一个XMLSignature元素,而待签名的凭证内容作为一个引用，根据每个<Reference>元素中指定的资源引用方式，摘要算法，数据转换方法等信息，对引用资源进行转换，然后对转换后的结果计算出摘要值，接着根据<SignedInfo>元素中指定的XML数据的规范化方法对<SignedInfo>元素规则化，对规范化之后的数据生成摘要值，并使用私钥对摘要值进行加密，将生成的加密摘要值存放在<SignatureValue>元素中，根据配置中选择的签名算法和签名级别，在<Object>元素中添加<QualifyingProperties>元素，并根据需要生成SignedProperties、UnsignedProperties属性，生成签名文件，最后将签名文件和凭证内容文件压缩为凭证文件。

优选的，所述凭证文件为要签名的电子文件和XML签名文件压缩后的文件。

优选的，所述电子凭证验证模块包括：凭证文件添加模块、凭证内容文件存放模块以及验证模块，

所述凭证文件添加模块，用于添加要验证的凭证文件；

所述文件存放模块，用于设置得到的凭证内容文件存放的路径；

所述验证模块，用于验证在传输的过程中凭证内容文件的完整性以及凭证内容文件是否经过改动，首先对凭证文件进行解压，得到凭证内容文件和签名文件，然后对签名文件内<Signature>元素中包含的数据引用部分进行验证，然后对整个<SignedInfo>元素的签名值进行验证，在这个过程中任何一步验证失败则代表整XML数字签名验证失败，如果有时间戳，则还要验证时间戳。

一种基于XAdES的多人电子凭证的实现方法，包括下述步骤：

S1、创建电子凭证，根据配置，使用选择的签名证书对凭证内容文件进行签名，然后将签名文件与凭证内容文件压缩封装为凭证文件的过程；

S2、验证电子凭证，首先将待验证的凭证文件解压，然后检查凭证文件格式和签名文件格式之后验证签名文件，不仅要验证签名文件中<Signature>元素中的签名值进行验证，还要验证<SignedInfo>的数据引用部分，验证成功之后获得凭证内容文件和签名者信息。

优选的，步骤S1具体为：

S11、根据不同的需求，配置选择签名的级别和使用的签名算法，首先默认使用XAdES高级签名的XAdES-BES签名格式，如果有符合RFC3161的时间戳服务器，则使用XAdES-T格式，如果有时间戳服务器和全面的证书撤销信息，则使用XAdES-C签名格式；

S12、添加待签名的文件或者目录文件，可以为多个文件和多个目录文件；

S13、添加用于签名的数字证书；

S14、判断是否添加凭证备注信息，如果是执行步骤S15，否执行步骤S16；

S15、添加凭证备注信息，可以为签名的原因或者一些特定的内容；

S16、设置凭证文件存放路径；

S17、创建电子凭证，根据配置，使用选择的签名证书对凭证内容文件进行签名，在签名之前进行判断是单人凭证还是多人凭证，若添加的待签名文件为凭证文件，则为多人凭证，需要先对凭证文件进行验证，验证成功之后，则再进行签名，将产生的签名文件与原凭证内容文件压缩封装为凭证文件，若添加的待签名文件为单人凭证，则直接签名，将产生的签名文件与凭证内容文件压缩为凭证文件；

S18、结束。

优选的，步骤S2具体为：

S21、添加待验证凭证文件；

S22、设置凭证内容文件存放路径；

S23、验证凭证文件，对待验证的凭证文件，首先解压凭证文件，验证签名文件的格式，并对<SignedInfo>元素的引用部分和<SignatureValue>签名值进行验证，最后显示内容文件信息与签署者信息；

S24、结束。

本发明相对于现有技术具有如下的优点及效果：

1、与现有技术比较，本发明可以提供更安全和更人性化的服务。可以针对不同的需求来使用不同的签名级别，并且支持SM2椭圆曲线公钥算法。其中，SM2椭圆曲线公钥算法，相对于RSA算法来说，具有安全性高、存储空间小、签名速度快等优点。随着全球范围内的计算能力的提高和密码技术的发展，现有基于RSA1024的密码体系已经不能满足当前和今后的安全需求，而目前使用的RSA算法，大多数的密钥长度还是1024位，很少使用2048位或者更长的密钥，而192位的SM2密码强度已经比RSA 2048位的密码强度要高。

2、本发明基于XAdES的签名文件格式以及依据不同的需求进行配置不同的签名级别和选择使用的签名算法，XAdES(XML高级数字签名)是ETSI的标准，它在XML签名标准之上，增加了自己的很多属性，用来支持签名者绑定，签名策略，长期签名等功能。XML签名可以对XML内容和非XML内容进行签名，签名可以保护电子文件，如果在签名之后对原内容文件做任何修改，则数字签名将变成无效。

附图说明

图1是本发明创建电子凭证的流程图；

图2是本发明验证电子凭证的流程图。

具体实施方式

下面结合实施例及附图对本发明作进一步详细的描述，但本发明的实施方式不限于此。

实施例

本发明电子凭证即是对一组电子文件，使用XAdES标准进行签名，将要签名的电子文件与XML签名文件压缩为一个文件，称之为凭证文件。并且支持多种签名算法，尤其SM2椭圆曲线算法。根据不同的需求进行不同级别的签名。本发明默认使用XAdES高级签名的XAdES-BES签名格式，如果有符合RFC3161的时间戳服务器，则使用XAdES-T格式，如果有时间戳服务器和全面的证书撤销信息，则使用XAdES-C签名格式。同时在上述格式的基础上添加凭证的属性信息。其中多人即是支持并联签名和串联签名。其中并联签名即同级别之间的签名，不分先后，而串联签名是指有先后的签名，例如公文审批。

本发明有两大模块，电子凭证创建模块和电子凭证验证模块。其中电子凭证创建模块，用于根据不同需求，配置选择签名的级别和使用的签名算法，使用添加的签名证书对要签名的文件进行签名，并产生凭证文件的过程，电子凭证使用基于公钥加密技术的数字签名技术来确认电子文件作者的身份，并保证在传输过程中的完整性。而电子凭证验证模块，用于验证所添加的凭证文件的内容，首先检查凭证文件的格式，然后解压凭证文件，解析得到的签名文件，并对xml文档的所有签名进行验证，之后检查凭证签名文件的格式，最后显示签名者得信息、签名时间以及签名备注，验证模块主要用来验证凭证文件的完整性、确认签署者的身份和签署者的信息。其中，凭证文件为要签名的电子文件和XML签名文件压缩后的文件。

进一步细化，电子凭证创建模块又包括配置模块、文件添加模块、数字证书添加模块、判断模块、凭证备注信息添加模块、设置模块以及创建模块。各个模块前后配合发挥不同的功能，其中配置模块，用于根据不同的需求，配置选择签名的级别和使用的签名算法。其中文件添加模块，用于从本地中添加需要签名的一个或者多个文件或者文件夹。其中数字证书添加模块，用于从电子密匙设备中添加使用的签名证书。其中判断模块，用于依据添加文件的类型来判断是对凭证内容文件签名还是对凭证文件签名。其中凭证备注信息添加模块，用于添加签名时的备注。其中设置模块，用于设置生成的凭证文件的存放路径。其中创建模块，用于根据配置中选择的签名算法和签名级别，使用添加的签名证书对添加的文件进行签名，具体创建过程是首先在XML签名中，每个签名为一个XML Signature元素,而待签名的凭证内容作为作为一个引用，根据每个Reference元素中指定的资源引用方式，摘要算法，数据转换方法等信息，对引用资源进行转换，然后对转换后的结果计算出摘要值，接着根据<SignedInfo>元素中指定的XML数据的规范化方法对<SignedInfo>元素规则化，对规范化之后的数据生成摘要值，并使用私钥对摘要值进行加密，将生成的加密摘要值存放在<SignatureValue>元素中，根据配置中选择的签名算法和签名级别，在<Object>元素中添加<QualifyingProperties>元素，并根据需要生成SignedProperties、UnsignedProperties属性，生成签名文件，最后将签名文件和凭证内容文件压缩为凭证文件。

电子凭证验证模块又包括凭证文件添加模块、凭证内容文件存放模块以及验证模块，其中凭证文件添加模块用于添加要验证的凭证文件，其中文件存放模块用于设置得到的凭证内容文件存放的路径，其中验证模块用于验证在传输的过程中凭证内容文件的完整性以及凭证内容文件是否经过改动，具体验证过程为首先对凭证文件进行解压，得到凭证内容文件和签名文件，然后对签名文件内<Signature>元素中包含的数据引用部分进行验证，然后对整个<SignedInfo>元素的签名值进行验证，在这个过程中任何一步验证失败则代表整XML数字签名验证失败，如果有时间戳，则还要验证时间戳。

下面具体阐述基于XAdES的多人电子凭证的实现方法，包括创建电子凭证和验证电子凭证两个步骤，首先，创建电子凭证是根据配置，使用选择的签名证书对凭证内容文件进行签名，然后将签名文件与凭证内容文件压缩封装为凭证文件的过程。其次，验证电子凭证是先将待验证的凭证文件解压，然后检查凭证文件格式和签名文件格式之后验证签名文件，不仅要验证签名文件中<Signature>元素中的签名值进行验证，还要验证<SignedInfo>的数据引用部分，验证成功之后获得凭证内容文件和签名者信息。

如图1所示，其中创建电子凭证的步骤具体为：

第一步、根据不同的需求，配置选择签名的级别和使用的签名算法，首先默认使用XAdES高级签名的XAdES-BES签名格式，如果有符合RFC3161的时间戳服务器，则使用XAdES-T格式，如果有时间戳服务器和全面的证书撤销信息，则使用XAdES-C签名格式；

第二步、添加待签名的文件或者目录文件，可以为多个文件和多个目录文件；

第三步、添加用于签名的数字证书；

第四步、判断是否添加凭证备注信息，如果是执行第五步骤，否则执行第六步骤；

第五步、添加凭证备注信息，可以为签名的原因或者一些特定的内容；

第六步、设置凭证文件存放路径；

第七步、创建电子凭证，根据配置，使用选择的签名证书对凭证内容文件进行签名，在签名之前进行判断是单人凭证还是多人凭证，若添加的待签名文件为凭证文件，则为多人凭证，需要先对凭证文件进行验证，验证成功之后，则再进行签名，将产生的签名文件与原凭证内容文件压缩封装为凭证文件，若添加的待签名文件为单人凭证，则直接签名，将产生的签名文件与凭证内容文件压缩为凭证文件；

第八步、结束。

如图2所示，其中，验证电子凭证的步骤具体为：

第一步、添加待验证凭证文件；

第二步、设置凭证内容文件存放路径；

第三步、验证凭证文件，对待验证的凭证文件，首先解压凭证文件，验证签名文件的格式，并对<SignedInfo>元素的引用部分和<SignatureValue>签名值进行验证，最后显示内容文件信息与签署者信息；

第四步、结束。

本发明使用的签名格式，以XAdES-C为例，因为XAdES-C是三种签名格式中最高级别的签名格式。

XML签名文件的结构如下：

其中(X)？表示X出现0-1次

其中(X)+表示X出现1-n次

其中(X)*表示X出现0-n次

AppSignature元素为签名文件的根元素，包含有一个MasterInfo元素和一个或多个XML Signature元素。MasterInfo元素包含凭证的相关信息，每个签名为一个XML Signature元素。

当为多人凭证时，签名文件中就会出现多个签名元素。

其中对MasterInfo元素的定义为：

MasterInfo元素包含一个Version元素、一个Name元素和一个或多个Template元素，Version表示版本号，Name为凭证类型的名称。Template元素表示凭证内容使用的模板。Parameter为与模板相关的参数，如文件后缀名等，AppliedTo元素的值是个相对文件路径名，用/分隔目录，表示文件内容是和模板相关的。

对Signature元素的定义为：

一个Signature元素包含有一个SignedInfo元素、一个SignatureValue元素、零个或一个KeyInfo元素和零个或多个Object元素。SignedInfo元素是要签名的内容，SignatureValue元素是签名值，KeyInfo元素包含签名相关的密钥信息，可以是密钥本，Object元素包含签名相关的一些属性信息。XAdES(XML高级数字签名)就是在XML签名标准之上，在XML签名的Object元素下，增加QualifyingProperties子元素，增加了自己的很多属性，用来支持签名者绑定，长期签名等功能。其中Comment元素为签名备注。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (7)

1.基于XAdES的多人电子凭证，其特征在于，包括电子凭证创建模块和电子凭证验证模块，

所述电子凭证创建模块，用于根据不同需求，配置选择签名的级别和使用的签名算法，使用添加的签名证书对要签名的文件进行签名，并产生凭证文件的过程，电子凭证使用基于公钥加密技术的数字签名技术来确认电子文件作者的身份，并保证在传输过程中的完整性；

所述电子凭证验证模块，用于验证所添加的凭证文件的内容，首先检查凭证文件的格式，然后解压凭证文件，解析得到的签名文件，并对xml文档的所有签名进行验证，之后检查凭证签名文件的格式，最后显示签名者得信息、签名时间以及签名备注，验证模块主要用来验证凭证文件的完整性、确认签署者的身份和签署者的信息。

2.根据权利要求1所述的基于XAdES的多人电子凭证，其特征在于，所述电子凭证创建模块包括配置模块、文件添加模块、数字证书添加模块、判断模块、凭证备注信息添加模块、设置模块以及创建模块；

所述配置模块，用于根据不同的需求，配置选择签名的级别和使用的签名算法；

所述文件添加模块，用于从本地中添加需要签名的一个或者多个文件或者文件夹；

所述数字证书添加模块，用于从电子密匙设备中添加使用的签名证书；

所述判断模块，用于依据添加文件的类型来判断是对凭证内容文件签名还是对凭证文件签名；

所述凭证备注信息添加模块，用于添加签名时的备注；

所述设置模块，用于设置生成的凭证文件的存放路径；

所述创建模块，用于根据配置中选择的签名算法和签名级别，使用添加的签名证书对添加的文件进行签名，首先在XML签名中，每个签名为一个XMLSignature元素,而待签名的凭证内容作为一个引用，根据每个<Reference>元素中指定的资源引用方式，摘要算法，数据转换方法等信息，对引用资源进行转换，然后对转换后的结果计算出摘要值，接着根据<SignedInfo>元素中指定的XML数据的规范化方法对<SignedInfo>元素规则化，对规范化之后的数据生成摘要值，并使用私钥对摘要值进行加密，将生成的加密摘要值存放在<SignatureValue>元素中，根据配置中选择的签名算法和签名级别，在<Object>元素中添加<QualifyingProperties>元素，并根据需要生成SignedProperties、UnsignedProperties属性，生成签名文件，最后将签名文件和凭证内容文件压缩为凭证文件。

3.根据权利要求1所述的基于XAdES的多人电子凭证，其特征在于，所述凭证文件为要签名的电子文件和XML签名文件压缩后的文件。

4.根据权利要求1-3中任一项所述的基于XAdES的多人电子凭证，其特征在于，所述电子凭证验证模块包括：凭证文件添加模块、凭证内容文件存放模块以及验证模块，

所述凭证文件添加模块，用于添加要验证的凭证文件；

所述文件存放模块，用于设置得到的凭证内容文件存放的路径；

所述验证模块，用于验证在传输的过程中凭证内容文件的完整性以及凭证内容文件是否经过改动，首先对凭证文件进行解压，得到凭证内容文件和签名文件，然后对签名文件内<Signature>元素中包含的数据引用部分进行验证，然后对整个<SignedInfo>元素的签名值进行验证，在这个过程中任何一步验证失败则代表整XML数字签名验证失败，如果有时间戳，则还要验证时间戳。

5.一种基于XAdES的多人电子凭证的实现方法，其特征在于，包括下述步骤：

S1、创建电子凭证，根据配置，使用选择的签名证书对凭证内容文件进行签名，然后将签名文件与凭证内容文件压缩封装为凭证文件的过程；

S2、验证电子凭证，首先将待验证的凭证文件解压，然后检查凭证文件格式和签名文件格式之后验证签名文件，不仅要验证签名文件中<Signature>元素中的签名值进行验证，还要验证<SignedInfo>的数据引用部分，验证成功之后获得凭证内容文件和签名者信息。

6.根据权利要求5所述的基于XAdES的多人电子凭证的实现方法，其特征在于，步骤S1具体为：

S11、根据不同的需求，配置选择签名的级别和使用的签名算法，首先默认使用XAdES高级签名的XAdES-BES签名格式，如果有符合RFC3161的时间戳服务器，则使用XAdES-T格式，如果有时间戳服务器和全面的证书撤销信息，则使用XAdES-C签名格式；

S12、添加待签名的文件或者目录文件，可以为多个文件和多个目录文件；

S13、添加用于签名的数字证书；

S14、判断是否添加凭证备注信息，如果是执行步骤S15，否执行步骤S16；

S15、添加凭证备注信息，可以为签名的原因或者一些特定的内容；

S16、设置凭证文件存放路径；

S17、创建电子凭证，根据配置，使用选择的签名证书对凭证内容文件进行签名，在签名之前进行判断是单人凭证还是多人凭证，若添加的待签名文件为凭证文件，则为多人凭证，需要先对凭证文件进行验证，验证成功之后，则再进行签名，将产生的签名文件与原凭证内容文件压缩封装为凭证文件，若添加的待签名文件为单人凭证，则直接签名，将产生的签名文件与凭证内容文件压缩为凭证文件；

S18、结束。

7.根据权利要求5所述的基于XAdES的多人电子凭证的实现方法，其特征在于，步骤S2具体为：

S21、添加待验证凭证文件；

S22、设置凭证内容文件存放路径；

S23、验证凭证文件，对待验证的凭证文件，首先解压凭证文件，验证签名文件的格式，并对<SignedInfo>元素的引用部分和<SignatureValue>签名值进行验证，最后显示内容文件信息与签署者信息；

S24、结束。