CN104283893A - 一种安全信息上收方法和服务器 - Google Patents

Abstract

本发明实施例公开了一种安全信息上收方法和服务器，所述方法包括：总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；将所述硬加密客户信息部署在本地的硬加密设备中；以及，将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。与现有技术相比，本发明的安全信息上收方法不需要客户配合修改，提升客户体验，同时，批量上收的方法提升了上收效率。

Description

一种安全信息上收方法和服务器

技术领域

本发明涉及集群部署技术领域，具体涉及一种安全信息上收方法和服务器。

背景技术

目前，客户是通过各地方服务器(也称分中心)的安全模块(如加密机、cssp软加密服务)实现总系统接入，也就是说，客户只需要与地方服务器通信，而并不需要与总部服务器进行交互。随着新一代系统的建设，存在将原有系统模式调整为客户直接连入总部服务器的系统模式的需求，将原有通过分中心接入客户的方式调整为总部服务器安全统一接入和管理的模式，，实现安全模块的统一部署和管理。要实现上述需求，将重客老系统直连客户迁移至新一代现金系统，必须先实现分中心的安全信息的上收工作，即需要将各分中心的安全模块中客户的安全信息统一上收至总部服务器。

由于各地方服务器的客户的加密方式不同，通常包括硬加密客户和软加密客户。所以需要根据加密方式的不同，使用不同的安全信息上收方式完成安全信息的上收。

目前各地方服务器的客户安全信息上收方法需客户配合调整程序。也就是说，如果总部服务器的加密机型号与地方服务器的不兼容，则需要更换总部服务器的加密机，并重新分发密钥，进行密钥的同步和交换等操作。而针对各个客户安全信息的上收，需根据每个客户的情况，制定不同的上收步骤和策略，并不能实现批量化的安全信息上收操作。可见，现有的安全信息上收方法不仅需要客户配合修改，使得客户体验较差，而且需要更换安全设备，实施难度大。同时，逐个针对客户进行安全信息的上收，实施周期长，上收效率低。

发明内容

有鉴于此，本发明提供了一种程序生成方法和装置。

本发明提供了一种安全信息上收方法，所述方法包括：

总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；

将所述硬加密客户信息部署在本地的硬加密设备中；以及，

将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

优选地，所述总部服务器部署加密机，所述将所述硬加密客户信息部署在本地的硬加密设备中，具体包括：

将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；

将所述硬加密客户信息中的硬加密客户公钥存储于所述总部服务器；

所述总部服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。

优选地，所述总部服务器安装有CSSP软加密服务，所述将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的，具体包括：

地方服务器获取软加密客户信息，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系；

所述地方服务器将所述预转换为软加密客户的硬加密客户信息删除；

总部服务器将接收的所述软加密客户信息部署在本地的CSSP软加密服务中。

本发明还提供了一种安全信息上收服务器，所述服务器包括：

接收模块，用于接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；

第一部署模块，用于将所述硬加密客户信息部署在本地的硬加密设备中；以及，

第二部署模块，用于将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

优选地，所述服务器部署加密机，所述第一部署模块，包括：

第一存储子模块，用于将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；

第二存储子模块，用于将所述硬加密客户信息中的硬加密客户公钥存储于所述总部服务器；

第三存储子模块，用于在所述服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。

优选地，所述服务器安装有CSSP软加密服务，所述第二部署服务器，包括：

接收子模块，用于将接收的所述软加密客户信息部署在本地的CSSP软加密服务中，其中，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系。

本发明中总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；将所述硬加密客户信息部署在本地的硬加密设备中；以及，将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。与现有技术相比，本发明的安全信息上收方法不需要客户配合修改，提升客户体验，同时，批量上收的方法提升了上收效率。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的安全信息上收方法流程图；

图2为本发明实施例提供的安全信息上收服务器示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参考图1，为本发明实施例提供的安全信息安全上收方法流程图，所述方法可以包括：

S101：总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系。

S102：所述总部服务器将所述硬加密客户信息部署在本地的硬加密设备中。

实际应用中，总部服务器可以部署加密机，所述加密机的型号部署与地方服务器的硬加密客户信息相匹配。具体的，将接收的硬加密客户信息中的地方服务器私钥存储在所属加密机。将接收的硬加密客户信息中的硬加密客户公钥存储在所述总部服务器中。同时在所述总部服务器中存储所述地方服务器私钥与所述硬加密客户公钥的对应关系，也就是说，通过硬加密客户公钥可以确定其对应的地方服务器私钥。

S103：将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

实际应用中，总部服务器可以安装有CSSP软加密服务。其中，在硬加密客户信息传送至总部服务器之前，地方服务器可以预先确定预转换为软加密客户的原硬加密客户，分别为这些原硬加密客户发布密钥证书，并建立所述地方服务器密钥证书和新软加密客户密钥证书的对应关系。其次，所述地方服务器可以将包括所述对应关系的新软加密客户信息传送至总部服务器，以便所述总部服务器将所述新软加密客户信息部署在本地的CSSP软加密服务中。另外，地方服务器将原硬加密客户信息删除。

本发明实施例以银行金融系统为例，在银行分中心(地方服务器)安全上收用户安全信息的过程中，首先需要加密机厂商到各分中心获取各分中心私钥信息以及客户的公钥信息，并进行密钥的迁移。具体的，安全信息迁移的过程可以涉及到以下三种场景：

一、重客使用加密机的客户迁移到新一代现金的加密机，也就是说，地方服务器的硬加密客户迁移为总部服务器的硬加密客户。

二、重客使用加密机的客户迁移到新一代现金的cssp软加密，即地方服务器的硬加密客户迁移为总部服务器的软加密客户。

三、重客使用cssp软加密的客户迁移到新一代现金的cssp软加密，即地方服务器的软加密客户迁移为总部服务器的软加密客户。

下文以一家分中心的安全信息上收过程(即重客用户迁移工作)为例，对安全信息上收过程中的各项工作，以及其执行先后顺序，分别进行简单描述。

一、重客使用加密机的客户迁移到新一代现金的加密机：

实际应用中，首先获取重客分中心加密机的密钥信息，以及获取客户的公钥信息。

具体的，可以由重客分中心技术人员导出并获取分中心服务器中保存的客户公钥信息。分中心技术人员可以将客户公钥信息形成的文件提供给迁移组，由迁移组指派专人将分中心上送的文件整理为“分中心编号|客户编号|客户公钥”为样式，每行一条数据的生成文件，处理完成后提交给总部服务器进行分中心信息数据的预埋处理。

一种优选的实施方式中，分中心服务器也可以将客户的文件传输模式、数据块模式等传送至总部服务器。具体的，重客分行技术人员可以获取分中心服务器保存的客户文件传输模式、数据块模式信息。

另外，重客分中心加密机的密钥信息还需要导入到总部服务器。具体的，加密机厂商事先到重客分中心的私钥信息导出并获取重客分中心的私钥信息。其次，加密机厂商将事先获取的重客分中心密钥信息导入到总部服务器的加密机内。

二、重客使用加密机的客户迁移到新一代现金的cssp软加密：

实际操作中，首先，重客分中心给客户提供cssp版winbridge、cssp密钥协商服务程序，并提供相关安装手册。其次，重客客户申请密钥证书。再次，重客分中心向cssp项目组申请密钥证书，并将其提供给重客客户，在迁移日由客户进行密钥证书的更换。

另外，总部服务器可以在事前先准备好新安全的环境：安装部署cssp版winbridge，安装完成后启动cssp密钥协商服务程序。

以上方案是重客分中心部署了cssp版本服务，并已经申请对应的密钥证书。如果重客分中心客户没有部署cssp版本，但是要申请由使用加密机修改为使用cssp版本，那么需要这部分客户提前做好准备。例如，需加密机厂商人员在Winbridge层面处理，不涉及用户具体应用修改，并发布给客户密钥证书。

三、重客使用cssp软加密的客户迁移到新一代现金的cssp软加密：

实际应用中，由重客分中心技术人员导出并获取分中心保存的分中心软加密客户的密钥证书。分行技术人员将该证书提供给迁移组，由迁移组指派专人将分中心上送文件整理为“分中心编号|客户编号|客户CSSP密钥编号”为样式，每行一条数据，生成文件，并在处理完成后提交给总部服务器进行分中心安全信息数据的预埋处理。

本发明实施例中总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；将所述硬加密客户信息部署在本地的硬加密设备中；以及，将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。与现有技术相比，本发明实施例的安全信息上收方法不需要客户配合修改，提升客户体验，同时，批量上收的方法提升了上收效率。

参考图2，为本发明实施例提供的一种安全信息上收服务器，所述服务器具体包括：

接收模块201，用于接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系。

第一部署模块202，用于将所述硬加密客户信息部署在本地的硬加密设备中；以及，

第二部署模块203，用于将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

一种优选实施方式中，所述服务器部署加密机，所述第一部署模块202，包括：

第一存储子模块，用于将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；

第二存储子模块，用于将所述硬加密客户信息中的硬加密客户公钥存储于所述总部服务器；

第三存储子模块，用于在所述服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。

在另一种优选实施方式中，所述服务器安装有CSSP软加密服务，所述第二部署服务器203，包括：

接收子模块，用于将接收的所述软加密客户信息部署在本地的CSSP软加密服务中，其中，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系。

具体的，所述安全信息上收服务器的工作原理为：首先，接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；其次，将所述硬加密客户信息部署在本地的硬加密设备中；以及，将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。优选地，所述总部服务器部署加密机，所述将所述硬加密客户信息部署在本地的硬加密设备中，具体包括：将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；将所述硬加密客户信息中的硬加密客户公钥存储于所述服务器；所述服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。优选地，所述服务器安装有CSSP软加密服务，将接收的所述软加密客户信息部署在本地的CSSP软加密服务中，其中，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系。

本发明实施例中总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；将所述硬加密客户信息部署在本地的硬加密设备中；以及，将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。与现有技术相比，本发明实施例的安全信息上收方法不需要客户配合修改，提升客户体验，同时，批量上收的方法提升了上收效率。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明实施例所提供的安全信息上收方法和服务器进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (6)

1.一种安全信息上收方法，其特征在于，所述方法包括：

总部服务器接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；

将所述硬加密客户信息部署在本地的硬加密设备中；以及，

将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

2.根据权利要求1所述的方法，其特征在于，所述总部服务器部署加密机，所述将所述硬加密客户信息部署在本地的硬加密设备中，具体包括：

将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；

将所述硬加密客户信息中的硬加密客户公钥存储于所述总部服务器；

所述总部服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。

3.根据权利要求1所述的方法，其特征在于，所述总部服务器安装有CSSP软加密服务，所述将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的，具体包括：

地方服务器获取软加密客户信息，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系；

所述地方服务器将所述预转换为软加密客户的硬加密客户信息删除；

总部服务器将接收的所述软加密客户信息部署在本地的CSSP软加密服务中。

4.一种安全信息上收服务器，其特征在于，所述服务器包括：

接收模块，用于接收来自地方服务器的安全信息，所述安全信息包括硬加密客户信息和\或软加密客户信息，所述硬加密客户信息包括地方服务器私钥和硬加密客户公钥的对应关系，所述软加密客户信息包括地方服务器密钥证书和软加密客户密钥证书的对应关系；

第一部署模块，用于将所述硬加密客户信息部署在本地的硬加密设备中；以及，

第二部署模块，用于将所述软加密客户信息部署在本地的软加密模块中，所述软加密客户信息包括由硬加密客户信息转换的。

5.根据权利要求4所述的服务器，其特征在于，所述服务器部署加密机，所述第一部署模块，包括：

第一存储子模块，用于将所述硬加密客户信息中的地方服务器私钥存储于所述加密机；

第二存储子模块，用于将所述硬加密客户信息中的硬加密客户公钥存储于所述总部服务器；

第三存储子模块，用于在所述服务器存储所述地方服务器私钥与所述硬加密客户公钥的对应关系。

6.根据权利要求4所述的服务器，其特征在于，所述服务器安装有CSSP软加密服务，所述第二部署服务器，包括：

接收子模块，用于将接收的所述软加密客户信息部署在本地的CSSP软加密服务中，其中，所述软加密客户信息包括发布给预转换为软加密客户的硬加密客户的密钥证书和所述地方服务器密钥证书的对应关系。