CN104301113A - 一种基于多证书多用途的数字签名方法和系统 - Google Patents
一种基于多证书多用途的数字签名方法和系统 Download PDFInfo
- Publication number
- CN104301113A CN104301113A CN201410551211.4A CN201410551211A CN104301113A CN 104301113 A CN104301113 A CN 104301113A CN 201410551211 A CN201410551211 A CN 201410551211A CN 104301113 A CN104301113 A CN 104301113A
- Authority
- CN
- China
- Prior art keywords
- certificate
- key
- pki
- module
- safe control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Abstract
本发明公开一种基于多证书多用途的数字签名方法和系统，应用于包括上层应用、安全控件、中间件和智能密钥设备的系统中，智能密钥设备中存储有通用证书、专用证书和混用证书中的至少两种数字证书，通过将多张数字证书下载到智能密钥设备中，将通用证书或混用证书注册到浏览器的证书存储区中，并使用专用证书或混用证书进行数字签名，在支持非交互式签名的同时，还能够进行交互式签名，提高了数字签名的安全性和通用性。
Description
技术领域
本发明涉及信息安全领域，特别是涉及一种基于多证书多用途的数字签名方法和系统。
背景技术
随着网络银行的快速发展，智能密钥设备作为身份认证的有效设备，也已被推广应用。智能密钥设备通常使用自身保存的数字证书进行身份认证，数字证书可按照类型分为通用证书、专用证书和混用证书。其中，通用证书仅能用于非交互式签名，支持RSA算法和SM2算法；专用证书仅能用于交互式签名，支持RSA算法和SM2算法；混用证书可用于交互式签名和非交互式签名，支持RSA算法。交互式签名是指在智能密钥设备上对部分待签数据进行显示、并需要由用户进行人工复核的签名方式，而非交互式签名不会对在智能密钥设备上对待签数据进行显示，也不需要由用户进行人工复核。
发明人在实现本发明的过程中，发现现有技术至少存在以下缺陷：
对于仅保存有专用证书的智能密钥设备而言，由于专用证书无法进行非交互式签名，该智能密钥设备将无法进行双向SSL(Secure Socket Layer，安全套接层)认证。
发明内容
本发明提供了一种基于多证书多用途的数字签名方法和系统，以解决现有技术中仅保存有专用证书的智能密钥设备无法进行双向SSL认证的缺陷。
本发明提供了一种基于多证书多用途的数字签名方法，应用于包括上层应用、安全控件、中间件和智能密钥设备的系统中，所述智能密钥设备中存储有通用证书、专用证书和混用证书中的至少两种数字证书，所述中间件将所述智能密钥设备中的通用证书或混用证书注册到浏览器的证书存储区中，并使用注册的证书进行非交互式签名，所述方法还包括以下步骤：
S1、所述安全控件接收来自所述上层应用的证书标识、哈希名和报文数据；
S2、所述安全控件判断所述证书标识是否有效，如果是，则执行步骤S3；否则，向所述上层应用返回异常信息，结束流程；
S3、所述安全控件判断与所述证书标识对应的证书是否为专用证书或混用证书，如果是，则获取与所述证书标识对应的密钥标识，并执行步骤S4；否则，向所述上层应用返回异常信息；
S4、所述安全控件向所述中间件发送所述报文数据、所述哈希名和所述密钥标识；
S5、所述中间件向所述智能密钥设备发送所述报文数据、所述密钥标识以及与所述哈希名对应的哈希标识；
S6、所述智能密钥设备对所述报文数据中的显示数据进行显示，并在检测到预设按键被触发后，使用与所述密钥标识对应的私钥，按照与所述哈希标识对应的签名机制，对所述报文数据进行签名，得到第一签名结果，将所述第一签名结果发送给所述中间件；
S7、所述中间件将所述第一签名结果发送给所述安全控件；
S8、所述安全控件根据所述第一签名结果、所述报文数据以及与所述证书标识对应的证书生成签名数据，将所述签名数据发送给所述上层应用。
本发明还提供了一种基于多证书多用途的数字签名系统，包括上层应用、安全控件、中间件和智能密钥设备；
所述安全控件，包括：
第一接收模块，用于接收来自所述上层应用的证书标识、哈希名和报文数据；接收来自所述中间件的第一签名结果；
第一判断模块，用于判断所述第一接收模块接收到的所述证书标识是否有效；
第二判断模块，用于在所述第一判断模块判断出所述证书标识有效时，判断与所述证书标识对应的证书是否为专用证书或混用证书；
第一获取模块，用于在所述第二判断模块判断出与所述证书标识对应的证书是专用证书或混用证书时，获取与所述证书标识对应的密钥标识；
第一生成模块，用于根据所述报文数据、与所述证书标识对应的证书和所述第一接收模块接收到的所述第一签名结果生成签名数据；
第一发送模块，用于向所述中间件发送所述报文数据、所述哈希名和所述第一获取模块获取到的所述密钥标识，将所述第一生成模块生成的所述签名数据发送给所述上层应用；
在所述第一判断模块判断出所述证书标识无效时，向所述上层应用返回异常信息；在所述第二判断模块判断出与所述证书标识对应的证书不是专用证书或混用证书时，向所述上层应用返回异常信息；
所述中间件，包括：
注册模块，用于将所述智能密钥设备中的通用证书或混用证书注册到浏览器的证书存储区中；
第一签名模块，用于使用所述注册模块注册的证书进行非交互式签名；
第二接收模块，用于接收来自所述安全控件的所述报文数据、所述哈希名和所述密钥标识；接收来自所述智能密钥设备的第一签名结果；
第二发送模块，用于向所述智能密钥设备发送所述报文数据、所述密钥标识以及与所述哈希名对应的哈希标识；将所述第二接收模块接收到的所述第一签名结果发送给所述安全控件；
所述智能密钥设备，包括：
存储模块，用于存储通用证书、专用证书和混用证书中的至少两种数字证书；
第三接收模块，用于接收来自所述中间件的所述报文数据、所述密钥标识和所述哈希标识；
显示模块，用于对所述第三接收模块接收到的所述报文数据中的显示数据进行显示；
检测模块，用于检测按键；
第二签名模块，用于在所述检测模块检测到预设按键被触发后，使用与所述密钥标识对应的私钥，按照与所述哈希标识对应的签名机制，对所述报文数据进行签名，得到第一签名结果；
第三发送模块，用于将所述第二签名模块得到的所述第一签名结果发送给所述中间件；
所述上层应用，包括：
第四发送模块，用于向所述安全控件发送证书标识、哈希名和报文数据；
第四接收模块，用于接收来自所述安全控件的签名数据和异常信息。
本发明将多张数字证书下载到智能密钥设备中，将通用证书或混用证书注册到浏览器的证书存储区中，并使用专用证书或混用证书进行数字签名，在支持非交互式签名的同时，还能够进行交互式签名，提高了数字签名的安全性和通用性。
附图说明
图1和2为本发明实施例中的一种基于多证书多用途的证书下载方法流程图；
图3为本发明实施例中的一种基于多证书多用途的数字签名方法流程图；
图4为本发明实施例中的一种基于多证书多用途的数字签名系统的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例提出了一种基于多证书多用途的数字签名方法，应用于包括证书服务器、上层应用、安全控件、中间件和智能密钥设备的系统中，上层应用通过调用安全控件的接口将多张数字证书下载到智能密钥设备中，相应地，中间件将智能密钥设备中的通用证书或混用证书注册到浏览器的证书存储区中，并使用注册的证书进行非交互式签名，如，双向SSL认证；上层应用通过调用安全控件的接口，使用智能密钥设备中的专用证书或混用证书进行数字签名。
需要说明的是，智能密钥设备中的专用证书仅能被安全控件调用，且不需要被注册到操作系统中。
如图1和2所示，为本发明实施例中一种基于多证书多用途的证书下载方法流程图，包括以下步骤：
步骤101，上层应用向安全控件发送证书请求信息。
具体地，上层应用可以通过调用安全控件的第一接口，将证书请求信息发送给安全控件。
其中，证书请求信息可以包含一个或多个证书信息单元，每个证书信息单元包括与一张证书对应的证书标识、摘要算法、证书用途、密钥类型和密钥长度，上述证书标识可以为证书DN(Distinguished Name，甄别名)，也可以是其他标识。
优选地，本实施例中的证书请求信息包含两个证书信息单元，其中一个证书信息单元与专用证书对应，另一个证书信息单元与通用证书或混用证书对应。
例如，证书请求信息为：“DN(CN＝TEST1)HASH(SHA1)KEYTYPE(RSA1024)CERTTYPE(03)||DN(CN＝TEST2)HASH(SM3)KEYTYPE(SM2256)CERTTYPE(01)”，证书用途的数据字典为：“01”表示专用证书，“02”表示混用证书，“03”表示通用证书。
上述证书请求信息包含2个证书信息单元，一个证书信息单元与证书标识为“CN＝TEST1”的通用证书相对应，该证书支持的密钥类型为“RSA”，密钥长度为“1024”，摘要算法为“SHA1”；另一个证书信息单元与证书标识为“CN＝TEST2”的专用证书相对应，该证书支持的密钥类型为“SM2”，密钥长度为“256”，摘要算法为“SM3”。
步骤102，安全控件判断接收到的证书请求信息是否有效，如果是，则执行步骤103；否则，向上层应用返回异常信息。
具体地，安全控件判断证书请求信息中包含的证书信息单元是否都有效，如果是，则确定证书请求信息有效；否则，确定证书请求信息无效。
其中，安全控件判断证书信息单元是否有效，具体包括以下操作中的一项或多项：
安全控件判断证书信息单元中的证书标识是否合法、安全控件判断证书信息单元中的摘要算法是否包含在预设算法列表中、安全控件判断证书信息单元中的证书用途是否包含在预设用途列表中，以及，安全控件判断证书信息单元中的密钥类型和密钥长度是否包含在预设密钥列表中。
其中，预设算法列表中包含一个或多个摘要算法，预设用途列表中包含一个或多个证书用途，预设密钥列表中包含一组或多组密钥属性，密钥属性包括密钥类型和密钥长度。安全控件可以通过判断证书标识是否符合预设结构的方式，来判断证书信息单元中的证书标识是否合法，预设结构可以是以第一预设字符串作为开始。
例如，预设算法列表为(SM3，MD5，SHA1，SHA256，SHA512)，预设用途列表为(01，02，03)，预设密钥列表为(RSA1024，RSA2048，SM2256)。证书用途的数据字典为：“01”表示专用证书，“02”表示混用证书，“03”表示通用证书。第一预设字符串为“CN＝”。安全控件获取的证书请求信息为：“DN(CN＝TEST1)HASH(SHA1)KEYTYPE(RSA1024)CERTTYPE(03)||DN(CN＝TEST2)HASH(SM3)KEYTYPE(SM2256)CERTTYPE(01)”。
相应地，安全控件判断出证书信息单元中的证书标识“CN＝TEST1”和“CN＝TEST2”均是以第一预设字符串“CN＝”作为开始，则确定证书信息单元中的证书标识符合预设结构，即证书信息单元中的证书标识合法；安全控件还判断出证书信息单元中的摘要算法“SHA1”和“SM3”均包含在预设算法列表中，判断出证书信息单元中的证书用途“03”和“01”均包含在预设用途列表中，判断出证书信息单元中的密钥类型和密钥长度，即“RSA1024”和“SM2256”均包含在预设密钥列表中，进而确定上述证书请求信息有效。
步骤103，安全控件向中间件发送证书请求信息。
例如，安全控件证书请求信息“DN(CN＝TEST1)HASH(SHA1)KEYTYPE(RSA1024)CERTTYPE(03)||DN(CN＝TEST2)HASH(SM3)KEYTYPE(SM2256)CERTTYPE(01)”发送给中间件。
步骤104，中间件根据接收到的证书请求信息生成密钥对，为该密钥对分配密钥标识，并对密钥对中的公钥和私钥进行设置。
具体地，中间件根据证书请求信息中的密钥类型和密钥长度生成密钥对，为该密钥对分配密钥标识，将证书请求信息中的证书用途添加为上述密钥对中的公钥和私钥的属性。
例如，证书请求信息为“DN(CN＝TEST1)HASH(SHA1)KEYTYPE(RSA1024)CERTTYPE(03)||DN(CN＝TEST2)HASH(SM3)KEYTYPE(SM2256)CERTTYPE(01)”时，中间件根据密钥类型和密钥长度“RSA1024”生成RSA密钥对，为该RSA密钥对分配密钥标识“02”，并将证书用途“03”添加为上述RSA密钥对中的公钥和私钥的属性，上述RSA密钥对中的RSA公钥为：
0x30,0x81,0x89,0x02,0x81,0x81,0x00,0xb8,0xf7,0x38,0x84,0x35,0xcd,0x3e,0x4a,0xc3,0x34,0x2d,0xbb,0xe8,0x8d,0x26,0x54,0xe4,0xd9,0x25,0x43,0x5c,0x6b,0x02,0x4d,0x5d,0x8f,0x63,0x0e,0xf7,0x9a,0xfe,0x10,0x93,0x0b,0x87,0x2e,0x9c,0x33,0x56,0xa6,0x5c,0xd5,0x3d,0x04,0x7f,0xfa,0xee,0x9f,0x84,0x72,0x3e,0x75,0x89,0x80,0x5b,0x32,0x1b,0xb5,0x16,0xa7,0x4d,0xe1,0x65,0x0c,0x50,0x19,0xc9,0x86,0xc9,0x37,0x8f,0x50,0x8b,0xd7,0x41,0x70,0x83,0x62,0x66,0x91,0x49,0xce,0x1c,0x85,0xd3,0x99,0x4b,0xf9,0xab,0xe4,0x50,0x6c,0x36,0xe2,0x8c,0xf7,0x02,0x62,0x6c,0x4c,0x0f,0x5c,0xfc,0xda,0x1c,0xc7,0xbb,0x52,0xfc,0x32,0xcd,0x87,0x95,0x51,0xc9,0xee,0xac,0xa8,0x57,0x11,0x75,0xfd,0x21,0x37,0x0f,0xa1,0xb9,0x31,0x02,0x03,0x01,0x00,0x01；
此外，中间件根据密钥类型和密钥长度“SM2256”生成SM2密钥对，为该SM2密钥对分配密钥标识“11”，并将证书用途“01”添加为上述SM2密钥对中的公钥和私钥的属性，上述SM2密钥对中的SM2公钥为：
0x04,0xab,0xc8,0x2c,0x9c,0xff,0x68,0xd0,0xcd,0x46,0x8f,0x09,0x32,0x86,0xc0,0x5a,0xdb,0x4e,0x8f,0x91,0x79,0x26,0xcd,0xc4,0x02,0x7c,0xe7,0x0a,0xc6,0x40,0x45,0xc3,0x94,0xdb,0x96,0xc8,0x4d,0x78,0x46,0x42,0x03,0x8a,0xb6,0x22,0xdd,0x4b,0x78,0x8e,0xdd,0x50,0x30,0xb8,0xa0,0x17,0x83,0x61,0xd0,0x40,0x7f,0x68,0xb8,0x36,0x9f,0x0f,0xee。
步骤105，中间件向安全控件发送密钥标识和公钥。
例如，中间件将密钥标识“02”和对应的RSA公钥，以及密钥标识“11”和对应的SM2公钥发送给安全控件。
步骤106，安全控件根据接收到的公钥和证书请求信息，生成待签数据。
具体地，安全控件可以将公钥、证书请求信息中的证书标识、摘要算法、密钥类型和密钥长度封装成待签数据。
例如，安全控件将RSA公钥、证书标识“CN＝TEST1”、摘要算法“SHA1”、密钥类型和密钥长度“RSA1024”封装成的待签数据为：
0x30,0x81,0xb8,0x02,0x01,0x00,0x30,0x0f,0x31,0x0d,0x30,0x0b,0x06,0x03,0x55,0x04,0x03,0x0c,0x04,0x74,0x65,0x73,0x74,0x30,0x81,0x9f,0x30,0x0d,0x06,0x09,0x2a,0x86,0x48,0x86,0xf7,0x0d,0x01,0x01,0x01,0x05,0x00,0x03,0x81,0x8d,0x00,
0x30,0x81,0x89,0x02,0x81,0x81,0x00,0xb8,0xf7,0x38,0x84,0x35,0xcd,0x3e,0x4a,0xc3,0x34,0x2d,0xbb,0xe8,0x8d,0x26,0x54,0xe4,0xd9,0x25,0x43,0x5c,0x6b,0x02,0x4d,0x5d,0x8f,0x63,0x0e,0xf7,0x9a,0xfe,0x10,0x93,0x0b,0x87,0x2e,0x9c,0x33,0x56,0xa6,0x5c,0xd5,0x3d,0x04,0x7f,0xfa,0xee,0x9f,0x84,0x72,0x3e,0x75,0x89,0x80,0x5b,0x32,0x1b,0xb5,0x16,0xa7,0x4d,0xe1,0x65,0x0c,0x50,0x19,0xc9,0x86,0xc9,0x37,0x8f,0x50,0x8b,0xd7,0x41,0x70,0x83,0x62,0x66,0x91,0x49,0xce,0x1c,0x85,0xd3,0x99,0x4b,0xf9,0xab,0xe4,0x50,0x6c,0x36,0xe2,0x8c,0xf7,0x02,0x62,0x6c,0x4c,0x0f,0x5c,0xfc,0xda,0x1c,0xc7,0xbb,0x52,0xfc,0x32,0xcd,0x87,0x95,0x51,0xc9,0xee,0xac,0xa8,0x57,0x11,0x75,0xfd,0x21,0x37,0x0f,0xa1,0xb9,0x31,0x02,0x03,0x01,0x00,0x01,0xa0,0x00；
安全控件将SM2公钥、证书标识“CN＝TEST2”、摘要算法“SM3”、密钥类型和密钥长度“SM2256”封装成的待签数据为：
0xb9,0x59,0x8e,0x0f,0xb8,0xea,0xe0,0x67,0xa1,0x47,0x1f,0x85,0x2d,0xff,0xbc,0x73,0xb2,0x4a,0xd3,0x2d,0xb3,0xca,0x86,0x6f,0x90,0x1f,0x3f,0x68,0x51,0x93,0x74,0xf8,0x30,0x7f,0x02,0x01,0x00,0x30,0x1d,0x31,0x0e,0x30,0x0c,0x06,0x03,0x55,0x04,0x03,0x0c,0x05,0x71,0x75,0x62,0x6f,0x31,0x31,0x0b,0x30,0x09,0x06,0x03,0x55,0x04,0x06,0x0c,0x02,0x43,0x4e,0x30,0x59,0x30,0x13,0x06,0x07,0x2a,0x86,0x48,0xce,0x3d,0x02,0x01,0x06,0x08,0x2a,0x81,0x1c,0xcf,0x55,0x01,0x82,0x2d,0x03,0x42,0x00,
0x04,0xab,0xc8,0x2c,0x9c,0xff,0x68,0xd0,0xcd,0x46,0x8f,0x09,0x32,0x86,0xc0,0x5a,0xdb,0x4e,0x8f,0x91,0x79,0x26,0xcd,0xc4,0x02,0x7c,0xe7,0x0a,0xc6,0x40,0x45,0xc3,0x94,0xdb,0x96,0xc8,0x4d,0x78,0x46,0x42,0x03,0x8a,0xb6,0x22,0xdd,0x4b,0x78,0x8e,0xdd,0x50,0x30,0xb8,0xa0,0x17,0x83,0x61,0xd0,0x40,0x7f,0x68,0xb8,0x36,0x9f,0x0f,0xee,0xa0,0x00。
步骤107，安全控件向中间件发送待签数据、密钥标识以及证书请求信息中的摘要算法。
步骤108，中间件向智能密钥设备发送待签数据、密钥标识以及与摘要算法对应的摘要标识。
步骤109，智能密钥设备使用与密钥标识对应的私钥，按照与摘要标识对应的签名机制，对待签数据进行签名，得到第二签名结果。
具体地，智能密钥设备根据接收到的密钥标识检索对应的私钥，根据检索到的私钥以及与摘要标识对应的签名机制，对接收到的待签数据进行签名，得到第二签名结果。
例如，智能密钥设备根据接收到的密钥标识“02”检索对应的私钥，根据检索到的私钥以及与接收到的摘要标识“01”对应的摘要算法“SHA1”，对接收到的待签数据进行签名，得到的第二签名结果为：
0x14,0xb7,0x0a,0x5e,0xc0,0xb0,0xf1,0x89,0x2b,0x0e,0x0a,0xbe,0x3f,0x41,0xd2,0x2a,0xc3,0xb8,0x57,0xf3,0x2d,0xfd,0xee,0xdb,0x6e,0x67,0x4c,0xc3,0xaf,0x56,0x52,0x4e,0x9b,0x5b,0xd1,0x3e,0xe5,0x3e,0xe6,0x05,0x07,0x95,0x9d,0x83,0x05,0xfb,0xc1,0x89,0x81,0x3b,0x48,0xac,0x61,0x0f,0x6b,0x6e,0xc9,0x3f,0x9d,0xd8,0x83,0x20,0x28,0x1d,0x97,0xa8,0xe8,0xb2,0xa1,0x00,0xf1,0x73,0x05,0x38,0xbc,0xba,0x0d,0xfc,0xb3,0xef,0x85,0x62,0x2a,0x04,0x20,0x10,0x1e,0xa4,0x40,0x1d,0xda,0x05,0x2d,0xa6,0x14,0xd6,0x6f,0x0e,0x50,0x4f,0xde,0x8a,0xa1,0x0d,0x84,0x14,0xa4,0x71,0xae,0x9d,0x0c,0xf8,0xdb,0x24,0x4c,0xf4,0x2f,0x36,0xdc,0x31,0x35,0xaf,0xcc,0x20,0x5a,0x9e,0xd7,0xb0；
智能密钥设备根据接收到的密钥标识“11”检索对应的私钥，根据检索到的私钥以及与接收到的摘要标识“02”对应的摘要算法“SM3”，对接收到的待签数据进行签名，得到的第二签名结果为：
0x55,0xb6,0x57,0xfa,0x64,0x71,0xbe,0x94,0x29,0x2b,0xde,0xc5,0xd1,0x3b,0x66,0x51,0xb6,0x32,0xc5,0x35,0xee,0xb5,0xe6,0x41,0x4c,0xf6,0x9c,0x58,0x92,0x96,0xd2,0x77,0xab,0x8e,0x8b,0xb4,0xf3,0xef,0x22,0x1c,0x9b,0x86,0x3a,0xac,0xd8,0x1b,0x3c,0xc9,0xef,0x66,0x9b,0x49,0x7a,0x9b,0x60,0x92,0xf8,0x07,0x1a,0xc7,0x1f,0xc7,0x8e,0x60。
步骤110，智能密钥设备向中间件发送第二签名结果。
步骤111，中间件向安全控件发送第二签名结果。
步骤112，安全控件根据待签数据和接收到的第二签名结果生成PKCS#10数据。
具体地，安全控件可以按照PKCS#10结构，将第二签名结果和待签数据封装成PKCS#10数据。
例如，安全控件封装成的PKCS#10数据为：
0x30,0x82,0x01,0x4e,0x30,0x81,0xb8,0x02,0x01,0x00,0x30,0x0f,0x31,0x0d,0x30,0x0b,0x06,0x03,0x55,0x04,0x03,0x0c,0x04,0x74,0x65,0x73,0x74,0x30,0x81,0x9f,0x30,0x0d,0x06,0x09,0x2a,0x86,0x48,0x86,0xf7,0x0d,0x01,0x01,0x01,0x05,0x00,0x03,0x81,0x8d,0x00,0x30,0x81,0x89,0x02,0x81,0x81,0x00,0xb8,0xf7,0x38,0x84,0x35,0xcd,0x3e,0x4a,0xc3,0x34,0x2d,0xbb,0xe8,0x8d,0x26,0x54,0xe4,0xd9,0x25,0x43,0x5c,0x6b,0x02,0x4d,0x5d,0x8f,0x63,0x0e,0xf7,0x9a,0xfe,0x10,0x93,0x0b,0x87,0x2e,0x9c,0x33,0x56,0xa6,0x5c,0xd5,0x3d,0x04,0x7f,0xfa,0xee,0x9f,0x84,0x72,0x3e,0x75,0x89,0x80,0x5b,0x32,0x1b,0xb5,0x16,0xa7,0x4d,0xe1,0x65,0x0c,0x50,0x19,0xc9,0x86,0xc9,0x37,0x8f,0x50,0x8b,0xd7,0x41,0x70,0x83,0x62,0x66,0x91,0x49,0xce,0x1c,0x85,0xd3,0x99,0x4b,0xf9,0xab,0xe4,0x50,0x6c,0x36,0xe2,0x8c,0xf7,0x02,0x62,0x6c,0x4c,0x0f,0x5c,0xfc,0xda,0x1c,0xc7,0xbb,0x52,0xfc,0x32,0xcd,0x87,0x95,0x51,0xc9,0xee,0xac,0xa8,0x57,0x11,0x75,0xfd,0x21,0x37,0x0f,0xa1,0xb9,0x31,0x02,0x03,0x01,0x00,0x01,0xa0,0x00,0x30,0x0d,0x06,0x09,0x2a,0x86,0x48,0x86,0xf7,0x0d,0x01,0x01,0x05,0x05,0x00,0x03,0x81,0x81,0x00,
0x14,0xb7,0x0a,0x5e,0xc0,0xb0,0xf1,0x89,0x2b,0x0e,0x0a,0xbe,0x3f,0x41,0xd2,0x2a,0xc3,0xb8,0x57,0xf3,0x2d,0xfd,0xee,0xdb,0x6e,0x67,0x4c,0xc3,0xaf,0x56,0x52,0x4e,0x9b,0x5b,0xd1,0x3e,0xe5,0x3e,0xe6,0x05,0x07,0x95,0x9d,0x83,0x05,0xfb,0xc1,0x89,0x81,0x3b,0x48,0xac,0x61,0x0f,0x6b,0x6e,0xc9,0x3f,0x9d,0xd8,0x83,0x20,0x28,0x1d,0x97,0xa8,0xe8,0xb2,0xa1,0x00,0xf1,0x73,0x05,0x38,0xbc,0xba,0x0d,0xfc,0xb3,0xef,0x85,0x62,0x2a,0x04,0x20,0x10,0x1e,0xa4,0x40,0x1d,0xda,0x05,0x2d,0xa6,0x14,0xd6,0x6f,0x0e,0x50,0x4f,0xde,0x8a,0xa1,0x0d,0x84,0x14,0xa4,0x71,0xae,0x9d,0x0c,0xf8,0xdb,0x24,0x4c,0xf4,0x2f,0x36,0xdc,0x31,0x35,0xaf,0xcc,0x20,0x5a,0x9e,0xd7,0xb0，
以及，
0x30,0x81,0xd7,0x30,0x7f,0x02,0x01,0x00,0x30,0x1d,0x31,0x0e,0x30,0x0c,0x06,0x03,0x55,0x04,0x03,0x0c,0x05,0x71,0x75,0x62,0x6f,0x31,0x31,0x0b,0x30,0x09,0x06,0x03,0x55,0x04,0x06,0x0c,0x02,0x43,0x4e,0x30,0x59,0x30,0x13,0x06,0x07,0x2a,0x86,0x48,0xce,0x3d,0x02,0x01,0x06,0x08,0x2a,0x81,0x1c,0xcf,0x55,0x01,0x82,0x2d,0x03,0x42,0x00,0x04,0xab,0xc8,0x2c,0x9c,0xff,0x68,0xd0,0xcd,0x46,0x8f,0x09,0x32,0x86,0xc0,0x5a,0xdb,0x4e,0x8f,0x91,0x79,0x26,0xcd,0xc4,0x02,0x7c,0xe7,0x0a,0xc6,0x40,0x45,0xc3,0x94,0xdb,0x96,0xc8,0x4d,0x78,0x46,0x42,0x03,0x8a,0xb6,0x22,0xdd,0x4b,0x78,0x8e,0xdd,0x50,0x30,0xb8,0xa0,0x17,0x83,0x61,0xd0,0x40,0x7f,0x68,0xb8,0x36,0x9f,0x0f,0xee,0xa0,0x00,0x30,0x0a,0x06,0x08,0x2a,0x81,0x1c,0xcf,0x55,0x01,0x83,0x75,0x03,0x48,0x00,0x30,0x45,0x02,0x20,
0x55,0xb6,0x57,0xfa,0x64,0x71,0xbe,0x94,0x29,0x2b,0xde,0xc5,0xd1,0x3b,0x66,0x51,0xb6,0x32,0xc5,0x35,0xee,0xb5,0xe6,0x41,0x4c,0xf6,0x9c,0x58,0x92,0x96,0xd2,0x77,0x02,0x21,0x00,0xab,0x8e,0x8b,0xb4,0xf3,0xef,0x22,0x1c,0x9b,0x86,0x3a,0xac,0xd8,0x1b,0x3c,0xc9,0xef,0x66,0x9b,0x49,0x7a,0x9b,0x60,0x92,0xf8,0x07,0x1a,0xc7,0x1f,0xc7,0x8e,0x60。
步骤113，安全控件向上层应用发送PKCS#10数据。
步骤114，上层应用对接收到的PKCS#10数据进行保存。
步骤115，上层应用向安全控件发送第一公钥类型信息。
具体地，上层应用可以通过调用安全控件的第五接口，将第一公钥类型信息发送给安全控件。
本实施例中，第一公钥类型信息为“NoCertPubKey”，表示无证书公钥。
步骤116，安全控件判断智能密钥设备中是否存在与获取到的第一公钥类型信息匹配的公钥，如果是，则执行步骤118；否则，执行步骤117。
具体地，安全控件可以将第一公钥类型信息作为参数，调用中间件的接口，对智能密钥设备中的对象进行枚举，判断智能密钥设备中是否存在与上述第一公钥类型信息关联的对象，如果存在，则确定智能密钥设备中存在与该第一公钥类型信息匹配的公钥；否则，确定智能密钥设备中不存在与该第一公钥类型信息匹配的公钥。
步骤117，安全控件向上层应用返回空字符串。
步骤118，安全控件从智能密钥设备中获取与第一公钥类型信息匹配的密钥标识。
例如，安全控件从智能密钥设备中获取与第一公钥类型信息“NoCertPubKey”匹配的密钥标识为：“02”和“11”
步骤119，安全控件向上层应用发送密钥标识。
步骤120，上层应用向安全控件发送包含密钥标识的密文公钥请求信息。
具体地，上层应用可以通过调用安全控件的第二接口，向安全控件发送密文公钥请求信息。
其中，密文公钥请求信息包括保护密钥用途、密钥标识和随机数。
例如，上层应用向安全控件发送的密文公钥请求信息包括保护密钥用途“01”、密钥标识“02”和随机数“MTIzNDU2Nzg5MDEyMzQ1”，以及保护密钥用途“01”、密钥标识“11”和随机数“MTIzNDU2Nzg5MDEyMzQ1”。
步骤121，安全控件判断智能密钥设备中是否存在与接收到的密文公钥请求信息中的密钥标识匹配的公钥，如果是，则执行步骤123；否则，执行步骤122。
具体地，安全控件可以将与智能密钥设备对应的槽位号以及密文公钥请求信息中的密钥标识作为参数，调用中间件的接口，对智能密钥设备中的对象进行枚举，判断智能密钥设备中是否存在于上述密钥标识关联的对象，如果存在，则确定智能密钥设备中存在与该密钥标识匹配的公钥；否则，确定智能密钥设备中不存在与该密钥标识匹配的公钥。
步骤122，安全控件向上层应用返回空字符串。
步骤123，安全控件向中间件发送与智能密钥设备对应的槽位号和密文公钥请求信息。
例如，安全控件向中间件发送槽位号“1”、保护密钥用途“01”、密钥标识“02”和随机数“MTIzNDU2Nzg5MDEyMzQ1”，以及槽位号“1”、保护密钥用途“01”、密钥标识“11”和随机数“MTIzNDU2Nzg5MDEyMzQ1”。
步骤124，中间件根据接收到的密文公钥请求信息，生成密文公钥获取指令。
例如，中间件生成的密文公钥获取指令为：
0x80,0x49,0x00,0x01,0x13,0x30,0x32,0x31,0x32,0x33,0x34,0x35,0x36,0x37,0x38,0x39,0x30,0x31,0x32,0x33,0x34,0x35,0x2B,0x02；
以及，
0x80,0x49,0x00,0x01,0x13,0x30,0x32,0x31,0x32,0x33,0x34,0x35,0x36,0x37,0x38,0x39,0x30,0x31,0x32,0x33,0x34,0x35,0x1B,0x01。
步骤125，中间件向与接收得到的槽位号对应的智能密钥设备发送密文公钥获取指令。
步骤126，智能密钥设备从密文公钥获取指令中获取密钥标识、保护密钥用途和随机数，根据获取到的密钥标识检索对应的公钥，根据获取到的保护密钥用途和随机数生成工作密钥，使用该工作密钥对检索到的公钥进行加密，生成密文公钥。
例如，智能密钥设备生成的密文公钥为：
0x77,0xE5,0x5A,0x0D,0x3B,0x72,0x72,0x80,0xB0,0x7F,0xEF,0x97,0x5D,0x63,0x7E,0x69,0xE5,0x1C,0xFD,0xAC,0x15,0xBE,0xBA,0x9B,0x22,0x74,0x2D,0x85,0x1A,0x53,0x6D,0x94,0x30,0x63,0x9B,0xA9,0x16,0xEF,0x84,0x7E,0x46,0x53,0x6F,0x85,0xF3,0x9A,0xBF,0x78,0xC5,0xDF,0x49,0x13,0x47,0xFC,0xC3,0x4B,0x97,0x96,0x11,0xF4,0xB9,0x61,0xC3,0x4B,0x7E,0x5E,0xB6,0xF7,0x3E,0x4C,0x04,0xB3,0x19,0x77,0x67,0xE3,0xBB,0x54,0xC3,0x65,0x8F,0x7A,0xDE,0x6F,0x6C,0x5B,0x20,0x45,0xC2,0x19,0xFC,0x91,0xF8,0xD5,0x8A,0xC3,0xE9,0x7D,0x1C,0xAF,0x2D,0x9B,0x41,0xE4,0x59,0x5A,0x9D,0xE2,0x08,0x8F,0xA8,0x6D,0xCA,0xCB,0xC2,0x2A,0xEB,0x24,0x19,0x90,0x43,0x11,0x12,0x36,0x85,0x8F,0xDF,0x04,0x05,0x3A,0xDB,0x60,0xE5,0x20,0x89,0x62,0x98,0xAC,0x83,0x70,0x80,0x01,0x1F,0x25,0x45,0x3D,0xEA,0x17,0x43,0x06,0x6D,0xE2,0xC5,0x47,0xD7,0x3A,0x89,0xAA,0x9E,0xD0,0x8E,0xA0,0x13,0x2F,0xC0,0xA4,0xC1,0xFB,0xCF,0x9B,0xC5,0xFF,0x4D,0x87,0x41,0xE9,0xA2,0x24,0x9C；
以及，
0x52,0x8F,0xE3,0x66,0xF3,0x0B,0xE4,0xEC,0xEC,0x62,0x8A,0x4C,0x1E,0x1D,0xB4,0xFE,0x87,0xA1,0xEC,0x0B,0x47,0x23,0x64,0x2D,0x4D,0x21,0xB7,0x40,0x84,0xEE,0x2A,0x5B,0xBD,0xD7,0xCC,0x54,0xF9,0xF0,0x64,0x01,0x82,0xCC,0x73,0x3E,0xEC,0x3A,0x53,0xF3,0x4E,0x96,0x45,0x8B,0xB3,0x05,0x73,0x34,0x95,0x87,0xC8,0xAE,0x6D,0x73,0xD5,0x55,0x48,0x70,0xC7,0x28,0x63,0x28,0x35,0x5B,0xF7,0xF5,0xAD,0x1B,0xC2,0x82,0x74,0x6A,0x55,0x0F,0x40,0xDF,0x10,0x21,0x15,0x7D,0xE3,0xF2,0xAD,0x65,0x65,0x79,0x7F,0x14,0xA2,0x0F,0x1D。
步骤127，智能密钥设备向中间件发送密文公钥。
步骤128，中间件向安全控件发送密文公钥。
步骤129，安全控件向上层应用发送密文公钥。
步骤130，上层应用根据接收到的密文公钥判断自身保存的PKCS#10数据是否正确，如果不正确，则结束流程；如果正确，则执行步骤131。
具体地，上层应用接收到来自安全控件的密文公钥后，对该密文公钥进行保存，并将自身保存的PKCS#10数据中的明文公钥发送给证书服务器，通过证书服务器对该明文公钥进行加密，接收该证书服务器返回的密文公钥，并判断证书服务器返回的密文公钥是否与来自安全控件的密文公钥相同，如果相同，则确定自身保存的PKCS#10数据正确；否则，确定自身保存的PKCS#10数据不正确。
步骤131，上层应用向证书服务器发送证书生成请求。
步骤132，证书服务器向上层应用返回证书。
步骤133，上层应用向安全控件发送证书。
具体地，上层应用可以通过调用安全控件的第三接口，向安全控件发送证书。
步骤134，安全控件判断接收到的证书是否正确，如果是，则执行步骤135；否则，向上层应用返回异常信息。
具体地，安全控件可以判断证书是否符合PKCS#7结构，如果符合，则确定证书正确；否则，确定证书错误。
步骤135，安全控件向中间件发送证书。
步骤136，中间件对接收到的证书进行安装和设置。
具体地，中间件可以根据证书中的公钥，对智能密钥设备中的对象进行枚举，从智能密钥设备中获取与证书中的公钥匹配的公钥，将获取到的公钥对应的密钥标识和证书用途添加为上述证书的属性。
例如，中间件从智能密钥设备中获取与证书中的公钥匹配的公钥后，将该公钥对应的密钥标识“02”和证书用途“03”添加为证书的属性。
步骤137，中间件判断当前安装的证书是否为通用证书或混用证书，如果是，则执行步骤138；否则，结束流程。
步骤138，中间将当前安装的通用证书或混用证书注册到浏览器的证书存储区中，并使用注册的证书进行双向SSL认证。
基于上述证书下载方法，本发明实施例还提供了一种基于多证书多用途的数字签名方法，如图3所示，包括以下步骤：
步骤201，上层应用向安全控件发送证书标识、哈希名和报文数据。
具体地，上层应用可以通过调用安全控件的第四接口，向安全控件发送证书标识、哈希名和报文数据。
例如，上层应用向安全控件发送证书标识“TEST2”、哈希名“SM3”和报文数据。
步骤202，安全控件判断证书标识是否有效，如果是，则执行步骤203；否则，向上层应用返回异常信息。
具体地，安全控件可以将证书标识作为参数，调用中间件的接口，对智能密钥设备中的证书进行枚举，判断智能密钥设备中是否存在与上述证书标识对应的证书，如果存在，则确定证书标识有效；否则，确定证书标识无效。
步骤203，安全控件判断与证书标识对应的证书是否为专用证书或混用证书，如果是，则获取与证书标识对应的密钥标识，并执行步骤204；否则，向上层应用返回异常信息。
具体地，安全控件可以获取与证书标识对应的证书用途，根据获取到的证书用途，判断证书标识对应的证书是否为专用证书或混用证书。
例如，安全控件获取与证书标识“TEST2”对应的证书用途“01”，确定对应的证书为专用证书，并获取与证书标识“TEST2”对应的密钥标识“11”。
步骤204，安全控件向中间件发送报文数据、哈希名和证书标识对应的密钥标识。
例如，安全控件向中间件发送报文数据、哈希名“SM3”和密钥标识“11”。
步骤205，中间件向智能密钥设备发送报文数据、密钥标识以及与哈希名对应的哈希标识；
步骤206，智能密钥设备对报文数据中的显示数据进行显示。
步骤207，智能密钥设备检测到预设按键被触发后，使用与密钥标识对应的私钥，按照与哈希标识对应的签名机制，对报文数据进行签名，得到第一签名结果。
例如，中间件得到的第一签名结果为：
0xb5,0x41,0x1c,0xf6,0x72,0x7e,0xa4,0xdf,0xb7,0x09,0x50,0x4b,0x6a,0x65,0xb0,0x8f,0xe5,0x93,0x69,0x50,0xb8,0x6e,0x4f,0xf7,0xcd,0xbf,0xe2,0x68,0x24,0x82,0xea,0x3d,0xcf,0xb1,0xb1,0xcb,0x5b,0x1c,0x73,0x43,0x34,0xc3,0x68,0xdb,0x76,0xe6,0x01,0xd8,0x5d,0x91,0x46,0x3f,0x00,0x2c,0xea,0xd3,0x5d,0x5e,0xc5,0x45,0xf3,0x37,0x77,0x76。
步骤208，智能密钥设备将第一签名结果发送给中间件。
步骤209，中间件向安全控件发送第一签名结果。
步骤210，安全控件根据第一签名结果、报文数据、与证书标识对应的证书生成签名数据。
具体地，安全控件可以按照PKCS#7结构，对第一签名结果、报文数据、与证书标识对应的证书进行封装，生成签名数据。
步骤211，安全控件向上层应用发送签名数据。
步骤212，上层应用对接收到的签名数据进行保存。
本发明实施例将多张数字证书下载到智能密钥设备中，将通用证书或混用证书注册到浏览器的证书存储区中，并使用专用证书或混用证书进行数字签名，在支持非交互式签名的同时，还能够进行交互式签名，提高了数字签名的安全性和通用性。
基于上述数字签名方法，本发明实施例还提供了一种基于多证书多用途的数字签名系统，如图4所示，包括上层应用300、安全控件400、中间件500和智能密钥设备600；
其中，安全控件400，包括：
第一接收模块401，用于接收来自上层应用300的证书标识、哈希名和报文数据；接收来自中间件500的第一签名结果；
第一判断模块402，用于判断第一接收模块401接收到的证书标识是否有效；
具体地，上述第一判断模块402，具体用于将证书标识作为参数，调用中间件500的接口，对智能密钥设备600中的证书进行枚举，判断智能密钥设备600中是否存在与证书标识对应的证书，如果存在，则确定证书标识有效；否则，确定证书标识无效。
第二判断模块403，用于在第一判断模块402判断出证书标识有效时，判断与证书标识对应的证书是否为专用证书或混用证书；
第一获取模块404，用于在第二判断模块403判断出与证书标识对应的证书是专用证书或混用证书时，获取与证书标识对应的密钥标识；
第一生成模块405，用于根据报文数据、与证书标识对应的证书和第一接收模块401接收到的第一签名结果生成签名数据；
第一发送模块406，用于向中间件500发送报文数据、哈希名和第一获取模块404获取到的密钥标识，将第一生成模块405生成的签名数据发送给上层应用300；
在第一判断模块402判断出证书标识无效时，向上层应用300返回异常信息；在第二判断模块403判断出与证书标识对应的证书不是专用证书或混用证书时，向上层应用300返回异常信息；
中间件500，包括：
注册模块501，用于将智能密钥设备600中的通用证书或混用证书注册到浏览器的证书存储区中；
第一签名模块502，用于使用注册模块501注册的证书进行非交互式签名；
第二接收模块503，用于接收来自安全控件400的报文数据、哈希名和密钥标识；接收来自智能密钥设备600的第一签名结果；
第二发送模块504，用于向智能密钥设备600发送报文数据、密钥标识以及与哈希名对应的哈希标识；将第二接收模块503接收到的第一签名结果发送给安全控件400；
智能密钥设备600，包括：
存储模块601，用于存储通用证书、专用证书和混用证书中的至少两种数字证书；
第三接收模块602，用于接收来自中间件500的报文数据、密钥标识和哈希标识；
显示模块603，用于对第三接收模块602接收到的报文数据中的显示数据进行显示；
检测模块604，用于检测按键；
第二签名模块605，用于在检测模块604检测到预设按键被触发后，使用与密钥标识对应的私钥，按照与哈希标识对应的签名机制，对第三接收模块602接收到的报文数据进行签名，得到第一签名结果；
第三发送模块606，用于将第二签名模块605得到的第一签名结果发送给中间件500；
上层应用300，包括：
第四发送模块301，用于向安全控件400发送证书标识、哈希名和报文数据；
第四接收模块302，用于接收来自安全控件400的签名数据和异常信息。
进一步地，上述第一接收模块401，还用于接收来自上层应用300的证书；
相应地，安全控件400，还包括：
第三判断模块407，用于判断第一接收模块401接收到的证书是否正确；
上述第一发送模块406，还用于在第三判断模块407判断出证书不正确时，向上层应用300返回异常信息；在第三判断模块407判断出证书正确时，向中间件500发送证书；
上述第二接收模块503，还用于接收来自安全控件400的证书；
中间件500，还包括：
安装模块505，用于对第二接收模块503接收到的证书进行安装和设置；
具体地，上述安装模块505，具体用于对证书进行安装，根据证书中的公钥，对智能密钥设备600中的对象进行枚举，从智能密钥设备600中获取与证书中的公钥匹配的公钥，将获取到的公钥对应的密钥标识和证书用途添加为证书的属性。
第四判断模块506，用于判断安装模块505当前安装的证书是否为通用证书或混用证书；
相应地，上述注册模块501，具体用于在第四判断模块506判断出当前安装的证书为通用证书或混用证书时，将当前安装的通用证书或混用证书注册到浏览器的证书存储区中。
进一步地，上述第一接收模块401，还用于接收来自上层应用300的第一公钥类型信息；
相应地，安全控件400，还包括：
第五判断模块408，用于判断智能密钥设备600中是否存在与第一接收模块401接收到的第一公钥类型信息匹配的公钥；
具体地，上述第五判断模块408，具体用于将第一公钥类型信息作为参数，调用中间件500的接口，对智能密钥设备600中的对象进行枚举，判断智能密钥设备600中是否存在与第一公钥类型信息关联的对象，如果存在，则确定智能密钥设备600中存在与第一公钥类型信息匹配的公钥；否则，确定智能密钥设备600中不存在与第一公钥类型信息匹配的公钥。
第二获取模块409，用于在第五判断模块408判断出智能密钥设备600中存在与第一公钥类型信息匹配的公钥时，从智能密钥设备600中获取与第一公钥类型信息匹配的密钥标识；
上述第一发送模块406，还用于将第二获取模块409获取到的密钥标识发送给上层应用300；在第五判断模块408判断出智能密钥设备600中不存在与第一公钥类型信息匹配的公钥时，向上层应用300返回空字符串；
上述第四接收模块302，还用于接收来自安全控件400的密钥标识；
上述第四发送模块301，还用于向安全控件400发送包含密钥标识、保护密钥用途和随机数的密文公钥请求信息；
上述第一接收模块401，还用于接收来自上层应用300的密文公钥请求信息；
安全控件400，还包括：
第六判断模块410，用于判断智能密钥设备600中是否存在与第一接收模块401接收到的密文公钥请求信息中的密钥标识匹配的公钥；
上述第一发送模块406，还用于在第六判断模块410判断出智能密钥设备600中不存在与密文公钥请求信息中的密钥标识匹配的公钥时，向上层应用300返回空字符串；在第六判断模块410判断出智能密钥设备600中存在与密文公钥请求信息中的密钥标识匹配的公钥时，向中间件500发送与智能密钥设备600对应的槽位号和密文公钥请求信息；
上述第二接收模块503，还用于接收来自安全控件400的槽位号和密文公钥请求信息；
中间件500，还包括：
第二生成模块507，用于根据第二接收模块503接收到的密文公钥请求信息生成密文公钥获取指令；
上述第二发送模块504，还用于将第二生成模块507生成的密文公钥获取指令发送给与槽位号对应的智能密钥设备600；
上述第三接收模块602，还用于接收来自中间件500的密文公钥获取指令；
智能密钥设备600，还包括：
第三获取模块607，用于从第三接收模块602接收到的密文公钥获取指令中获取密钥标识、保护密钥用途和随机数；
检索模块608，用于根据第三获取模块607获取到的密钥标识检索对应的公钥；
第三生成模块609，用于根据第三获取模块607获取到的保护密钥用途和随机数生成工作密钥，使用工作密钥对检索模块608检索到的公钥进行加密，生成密文公钥；
上述第三发送模块606，还用于将第三生成模块609生成的密文公钥发送给中间件500；
上述第二接收模块503，还用于接收来自智能密钥设备600的密文公钥；
上述第二发送模块504，还用于向安全控件400发送第二接收模块503接收到的密文公钥；
上述第一接收模块401，还用于接收来自中间件500的密文公钥；
上述第一发送模块406，还用于向上层应用300发送第一接收模块401接收到的密文公钥；
上述第四接收模块302，还用于接收来自安全控件400的密文公钥；
上层应用300，还包括：
第七判断模块303，还用于根据第四接收模块302接收到的密文公钥判断上层应用300保存的PKCS#10数据是否正确；
具体地，上述第七判断模块303，具体用于对来自安全控件400的密文公钥进行保存，将PKCS#10数据中的明文公钥发送给证书服务器，通过证书服务器对明文公钥进行加密，接收证书服务器返回的密文公钥，并判断证书服务器返回的密文公钥是否与来自安全控件400的密文公钥相同，如果相同，则确定PKCS#10数据正确；否则，确定PKCS#10数据不正确。
上述第四发送模块301，还用于在第七判断模块303判断出PKCS#10数据正确时，向证书服务器发送证书生成请求；
上述第四接收模块302，还用于接收证书服务器返回的证书。
进一步地，上述第一接收模块401，还用于接收来自上层应用300的证书请求信息；
相应地，安全控件400，还包括：
第八判断模块411，用于判断第一接收模块401接收到的证书请求信息是否有效；
其中，证书请求信息包含一个或多个证书信息单元，每个证书信息单元包括与一张证书对应的证书标识、摘要算法、证书用途、密钥类型和密钥长度。
优选地，证书请求信息包含两个证书信息单元，其中一个证书信息单元与专用证书对应，另一个证书信息单元与通用证书或混用证书对应。
相应地，上述第八判断模块411，具体用于判断证书请求信息中包含的证书信息单元是否都有效，如果是，则确定证书请求信息有效；否则，确定证书请求信息无效。
具体地，第八判断模块411判断证书信息单元是否有效，具体包括以下操作中的一项或多项：
第八判断模块411判断证书信息单元中的证书标识是否合法；
第八判断模块411判断证书信息单元中的摘要算法是否包含在预设算法列表中；
第八判断模块411判断证书信息单元中的证书用途是否包含在预设用途列表中；
第八判断模块411判断证书信息单元中的密钥类型和密钥长度是否包含在预设密钥列表中；
其中，预设算法列表中包含一个或多个摘要算法，预设用途列表中包含一个或多个证书用途，预设密钥列表中包含一组或多组密钥属性，密钥属性包括密钥类型和密钥长度。
上述第一发送模块406，还用于在第八判断模块411判断出证书请求信息有效时，向中间件500发送证书请求信息；在第八判断模块411判断出证书请求信息无效时，向上层应用300返回异常信息；
上述第二接收模块503，还用于接收来自安全控件400的证书请求信息；
中间件500，还包括：
第四生成模块508，用于根据第二接收模块503接收到的证书请求信息生成密钥对，为密钥对分配密钥标识；
设置模块509，用于对第四生成模块508生成的密钥对中的公钥和私钥进行设置；
具体地，上述设置模块509，具体用于将证书请求信息中的证书用途添加为公钥和私钥的属性。
上述第二发送模块504，还用于向安全控件400发送密钥标识和公钥；
上述第一接收模块401，还用于接收来自中间件500的密钥标识和公钥；
安全控件400，还包括：
第五生成模块412，用于根据第一接收模块401接收到的公钥和证书请求信息，生成待签数据；
上述第一发送模块406，还用于向中间件500发送第五生成模块412生成的待签数据、密钥标识以及证书请求信息中的摘要算法；
上述第二接收模块503，还用于接收来自安全控件400的待签数据、密钥标识以及证书请求信息中的摘要算法；
上述第二发送模块504，还用于向智能密钥设备600发送待签数据、密钥标识以及与摘要算法对应的摘要标识；
上述第三接收模块602，还用于接收来自中间件500的待签数据、密钥标识以及与摘要算法对应的摘要标识；
智能密钥设备600，还包括：
第三签名模块610，用于使用与第三接收模块602接收到的密钥标识对应的私钥，按照与摘要标识对应的签名机制，对待签数据进行签名，得到第二签名结果；
上述第三发送模块606，还用于将第三签名模块610得到的第二签名结果发送给中间件500；
上述第二接收模块503，还用于接收来自智能密钥设备600的第二签名结果；
上述第二发送模块504，还用于向安全控件400发送第二签名结果；
上述第一接收模块401，还用于接收来自中间件500的第二签名结果；
安全控件400，还包括：
第六生成模块413，用于根据待签数据和第一接收模块401接收到的第二签名结果生成PKCS#10数据；
上述第一发送模块406，还用于将第六生成模块413生成的PKCS#10数据发送给上层应用300；
上述第四接收模块302，还用于接收来自安全控件400的PKCS#10数据；
上层应用300，还包括：
保存模块304，用于对第四接收模块302接收到的PKCS#10数据进行保存。
本发明实施例将多张数字证书下载到智能密钥设备中，将通用证书或混用证书注册到浏览器的证书存储区中，并使用专用证书或混用证书进行数字签名，在支持非交互式签名的同时，还能够进行交互式签名，提高了数字签名的安全性和通用性。
结合本文中所公开的实施例描述的方法中的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。
Claims (26)
1.一种基于多证书多用途的数字签名方法，其特征在于，应用于包括上层应用、安全控件、中间件和智能密钥设备的系统中，所述智能密钥设备中存储有通用证书、专用证书和混用证书中的至少两种数字证书，所述中间件将所述智能密钥设备中的通用证书或混用证书注册到浏览器的证书存储区中，并使用注册的证书进行非交互式签名，所述方法还包括以下步骤：
S1、所述安全控件接收来自所述上层应用的证书标识、哈希名和报文数据；
S2、所述安全控件判断所述证书标识是否有效，如果是，则执行步骤S3；否则，向所述上层应用返回异常信息，结束流程；
S3、所述安全控件判断与所述证书标识对应的证书是否为专用证书或混用证书，如果是，则获取与所述证书标识对应的密钥标识，并执行步骤S4；否则，向所述上层应用返回异常信息；
S4、所述安全控件向所述中间件发送所述报文数据、所述哈希名和所述密钥标识；
S5、所述中间件向所述智能密钥设备发送所述报文数据、所述密钥标识以及与所述哈希名对应的哈希标识；
S6、所述智能密钥设备对所述报文数据中的显示数据进行显示，并在检测到预设按键被触发后，使用与所述密钥标识对应的私钥，按照与所述哈希标识对应的签名机制，对所述报文数据进行签名，得到第一签名结果，将所述第一签名结果发送给所述中间件；
S7、所述中间件将所述第一签名结果发送给所述安全控件；
S8、所述安全控件根据所述第一签名结果、所述报文数据以及与所述证书标识对应的证书生成签名数据，将所述签名数据发送给所述上层应用。
2.如权利要求1所述的方法，其特征在于，所述安全控件判断所述证书标识是否有效，具体为：
所述安全控件将所述证书标识作为参数，调用所述中间件的接口，对所述智能密钥设备中的证书进行枚举，判断所述智能密钥设备中是否存在与所述证书标识对应的证书，如果存在，则确定所述证书标识有效；否则，确定所述证书标识无效。
3.如权利要求1所述的方法，其特征在于，还包括：
A1、所述安全控件接收来自所述上层应用的证书；
A2、所述安全控件判断所述证书是否正确，如果是，则执行步骤A3；否则，向所述上层应用返回异常信息；
A3、所述安全控件向所述中间件发送所述证书；
A4、所述中间件对所述证书进行安装和设置；
A5、所述中间件判断当前安装的证书是否为通用证书或混用证书，如果是，则执行步骤A6；否则，结束流程；
A6、所述中间将当前安装的通用证书或混用证书注册到浏览器的证书存储区中，并使用注册的证书进行非交互式签名。
4.如权利要求3所述的方法，其特征在于，所述中间件对所述证书进行设置，具体为：
所述中间件根据所述证书中的公钥，对所述智能密钥设备中的对象进行枚举，从所述智能密钥设备中获取与所述证书中的公钥匹配的公钥，将获取到的公钥对应的密钥标识和证书用途添加为所述证书的属性。
5.如权利要求3所述的方法，其特征在于，所述步骤A1之前，还包括：
B1、所述安全控件接收来自所述上层应用的第一公钥类型信息；
B2、所述安全控件判断所述智能密钥设备中是否存在与所述第一公钥类型信息匹配的公钥，如果是，则执行步骤B4；否则，执行步骤B3；
B3、所述安全控件向所述上层应用返回空字符串，结束流程；
B4、所述安全控件从所述智能密钥设备中获取与所述第一公钥类型信息匹配的密钥标识，将所述密钥标识发送给所述上层应用；
B5、所述上层应用向所述安全控件发送包含所述密钥标识、保护密钥用途和随机数的密文公钥请求信息；
B6、所述安全控件判断所述智能密钥设备中是否存在与所述密文公钥请求信息中的所述密钥标识匹配的公钥，如果是，则执行步骤121；否则，执行步骤B7；
B7、所述安全控件向所述上层应用返回空字符串，结束流程；
B8、所述安全控件向所述中间件发送与所述智能密钥设备对应的槽位号和所述密文公钥请求信息；
B9、所述中间件根据所述密文公钥请求信息生成密文公钥获取指令，将所述密文公钥获取指令发送给与所述槽位号对应的智能密钥设备；
B10、所述智能密钥设备从所述密文公钥获取指令中获取所述密钥标识、所述保护密钥用途和所述随机数，根据所述密钥标识检索对应的公钥，根据所述保护密钥用途和所述随机数生成工作密钥，使用所述工作密钥对检索到的公钥进行加密，生成密文公钥，将所述密文公钥发送给所述中间件；
B11、所述中间件向所述安全控件发送所述密文公钥；
B12、所述安全控件向所述上层应用发送所述密文公钥；
B13、所述上层应用根据所述密文公钥判断自身保存的PKCS#10数据是否正确，如果不正确，则结束流程；如果正确，则执行步骤B14；
B14、所述上层应用向证书服务器发送证书生成请求，接收所述证书服务器返回的所述证书，并执行所述步骤A1。
6.如权利要求5所述的方法，其特征在于，所述安全控件判断所述智能密钥设备中是否存在与所述第一公钥类型信息匹配的公钥，具体为：
所述安全控件将所述第一公钥类型信息作为参数，调用中间件的接口，对所述智能密钥设备中的对象进行枚举，判断所述智能密钥设备中是否存在与所述第一公钥类型信息关联的对象，如果存在，则确定所述智能密钥设备中存在与所述第一公钥类型信息匹配的公钥；否则，确定所述智能密钥设备中不存在与所述第一公钥类型信息匹配的公钥。
7.如权利要求5所述的方法，其特征在于，所述上层应用根据所述密文公钥判断自身保存的PKCS#10数据是否正确，具体为：
所述上层应用对来自所述安全控件的密文公钥进行保存，将自身保存的PKCS#10数据中的明文公钥发送给所述证书服务器，通过所述证书服务器对所述明文公钥进行加密，接收所述证书服务器返回的密文公钥，并判断所述证书服务器返回的密文公钥是否与来自所述安全控件的密文公钥相同，如果相同，则确定自身保存的PKCS#10数据正确；否则，确定自身保存的PKCS#10数据不正确。
8.如权利要求5所述的方法，其特征在于，所述步骤B1之前，还包括：
C1、所述安全控件接收来自所述上层应用的证书请求信息；
C2、所述安全控件判断所述证书请求信息是否有效，如果是，则执行步骤C3；否则，向所述上层应用返回异常信息，结束流程；
C3、所述安全控件向所述中间件发送所述证书请求信息；
C4、所述中间件根据所述证书请求信息生成密钥对，为所述密钥对分配密钥标识，并对所述密钥对中的公钥和私钥进行设置；
C5、所述中间件向所述安全控件发送所述密钥标识和所述公钥；
C6、所述安全控件根据所述公钥和所述证书请求信息，生成待签数据；
C7、所述安全控件向所述中间件发送所述待签数据、所述密钥标识以及所述证书请求信息中的摘要算法；
C8、所述中间件向所述智能密钥设备发送所述待签数据、所述密钥标识以及与所述摘要算法对应的摘要标识；
C9、所述智能密钥设备使用与所述密钥标识对应的私钥，按照与所述摘要标识对应的签名机制，对所述待签数据进行签名，得到第二签名结果，将所述第二签名结果发送给所述中间件；
C10、所述中间件向所述安全控件发送所述第二签名结果；
C11、所述安全控件根据所述待签数据和所述第二签名结果生成PKCS#10数据，将所述PKCS#10数据发送给所述上层应用；
C12、所述上层应用对所述PKCS#10数据进行保存。
9.如权利要求8所述的方法，其特征在于，所述证书请求信息包含一个或多个证书信息单元，每个证书信息单元包括与一张证书对应的证书标识、摘要算法、证书用途、密钥类型和密钥长度。
10.如权利要求9所述的方法，其特征在于，所述证书请求信息包含两个证书信息单元，其中一个证书信息单元与专用证书对应，另一个证书信息单元与通用证书或混用证书对应。
11.如权利要求9所述的方法，其特征在于，所述安全控件判断所述证书请求信息是否有效，具体为：
所述安全控件判断所述证书请求信息中包含的证书信息单元是否都有效，如果是，则确定所述证书请求信息有效；否则，确定所述证书请求信息无效。
12.如权利要求11所述的方法，其特征在于，所述安全控件判断证书信息单元是否有效，具体包括以下操作中的一项或多项：
所述安全控件判断所述证书信息单元中的证书标识是否合法；
所述安全控件判断所述证书信息单元中的摘要算法是否包含在预设算法列表中；
所述安全控件判断所述证书信息单元中的证书用途是否包含在预设用途列表中；
所述安全控件判断所述证书信息单元中的密钥类型和密钥长度是否包含在预设密钥列表中；
其中，所述预设算法列表中包含一个或多个摘要算法，所述预设用途列表中包含一个或多个证书用途，所述预设密钥列表中包含一组或多组密钥属性，所述密钥属性包括密钥类型和密钥长度。
13.如权利要求8所述的方法，其特征在于，所述中间件对所述密钥对中的公钥和私钥进行设置，具体为：
所述中间件将所述证书请求信息中的证书用途添加为所述公钥和所述私钥的属性。
14.一种基于多证书多用途的数字签名系统，其特征在于，包括上层应用、安全控件、中间件和智能密钥设备；
所述安全控件，包括：
第一接收模块，用于接收来自所述上层应用的证书标识、哈希名和报文数据；接收来自所述中间件的第一签名结果；
第一判断模块，用于判断所述第一接收模块接收到的所述证书标识是否有效；
第二判断模块，用于在所述第一判断模块判断出所述证书标识有效时，判断与所述证书标识对应的证书是否为专用证书或混用证书；
第一获取模块，用于在所述第二判断模块判断出与所述证书标识对应的证书是专用证书或混用证书时，获取与所述证书标识对应的密钥标识；
第一生成模块，用于根据所述报文数据、与所述证书标识对应的证书和所述第一接收模块接收到的所述第一签名结果生成签名数据；
第一发送模块，用于向所述中间件发送所述报文数据、所述哈希名和所述第一获取模块获取到的所述密钥标识，将所述第一生成模块生成的所述签名数据发送给所述上层应用；
在所述第一判断模块判断出所述证书标识无效时，向所述上层应用返回异常信息；在所述第二判断模块判断出与所述证书标识对应的证书不是专用证书或混用证书时，向所述上层应用返回异常信息；
所述中间件，包括：
注册模块，用于将所述智能密钥设备中的通用证书或混用证书注册到浏览器的证书存储区中；
第一签名模块，用于使用所述注册模块注册的证书进行非交互式签名；
第二接收模块，用于接收来自所述安全控件的所述报文数据、所述哈希名和所述密钥标识；接收来自所述智能密钥设备的第一签名结果；
第二发送模块，用于向所述智能密钥设备发送所述报文数据、所述密钥标识以及与所述哈希名对应的哈希标识；将所述第二接收模块接收到的所述第一签名结果发送给所述安全控件；
所述智能密钥设备，包括：
存储模块，用于存储通用证书、专用证书和混用证书中的至少两种数字证书；
第三接收模块，用于接收来自所述中间件的所述报文数据、所述密钥标识和所述哈希标识；
显示模块，用于对所述第三接收模块接收到的所述报文数据中的显示数据进行显示；
检测模块，用于检测按键；
第二签名模块，用于在所述检测模块检测到预设按键被触发后，使用与所述密钥标识对应的私钥，按照与所述哈希标识对应的签名机制，对所述报文数据进行签名，得到第一签名结果；
第三发送模块，用于将所述第二签名模块得到的所述第一签名结果发送给所述中间件；
所述上层应用，包括：
第四发送模块，用于向所述安全控件发送证书标识、哈希名和报文数据；
第四接收模块，用于接收来自所述安全控件的签名数据和异常信息。
15.如权利要求14所述的系统，其特征在于，
所述第一判断模块，具体用于将所述证书标识作为参数，调用所述中间件的接口，对所述智能密钥设备中的证书进行枚举，判断所述智能密钥设备中是否存在与所述证书标识对应的证书，如果存在，则确定所述证书标识有效；否则，确定所述证书标识无效。
16.如权利要求14所述的系统，其特征在于，
所述第一接收模块，还用于接收来自所述上层应用的证书；
所述安全控件，还包括：
第三判断模块，用于判断所述第一接收模块接收到的所述证书是否正确；
所述第一发送模块，还用于在所述第三判断模块判断出所述证书不正确时，向所述上层应用返回异常信息；在所述第三判断模块判断出所述证书正确时，向所述中间件发送所述证书；
所述第二接收模块，还用于接收来自所述安全控件的证书；
所述中间件，还包括：
安装模块，用于对所述第二接收模块接收到的所述证书进行安装和设置；
第四判断模块，用于判断所述安装模块当前安装的证书是否为通用证书或混用证书；
所述注册模块，具体用于在所述第四判断模块判断出当前安装的证书为通用证书或混用证书时，将当前安装的通用证书或混用证书注册到浏览器的证书存储区中。
17.如权利要求16所述的系统，其特征在于，
所述安装模块，具体用于对所述证书进行安装，根据所述证书中的公钥，对所述智能密钥设备中的对象进行枚举，从所述智能密钥设备中获取与所述证书中的公钥匹配的公钥，将获取到的公钥对应的密钥标识和证书用途添加为所述证书的属性。
18.如权利要求16所述的系统，其特征在于，
所述第一接收模块，还用于接收来自所述上层应用的第一公钥类型信息；
所述安全控件，还包括：
第五判断模块，用于判断所述智能密钥设备中是否存在与所述第一接收模块接收到的所述第一公钥类型信息匹配的公钥；
第二获取模块，用于在所述第五判断模块判断出所述智能密钥设备中存在与所述第一公钥类型信息匹配的公钥时，从所述智能密钥设备中获取与所述第一公钥类型信息匹配的密钥标识；
所述第一发送模块，还用于将所述第二获取模块获取到的所述密钥标识发送给所述上层应用；在所述第五判断模块判断出所述智能密钥设备中不存在与所述第一公钥类型信息匹配的公钥时，向所述上层应用返回空字符串；
所述第四接收模块，还用于接收来自所述安全控件的所述密钥标识；
所述第四发送模块，还用于向所述安全控件发送包含所述密钥标识、保护密钥用途和随机数的密文公钥请求信息；
所述第一接收模块，还用于接收来自所述上层应用的密文公钥请求信息；
所述安全控件，还包括：
第六判断模块，用于判断所述智能密钥设备中是否存在与所述第一接收模块接收到的所述密文公钥请求信息中的所述密钥标识匹配的公钥；
所述第一发送模块，还用于在所述第六判断模块判断出所述智能密钥设备中不存在与所述密文公钥请求信息中的所述密钥标识匹配的公钥时，向所述上层应用返回空字符串；在所述第六判断模块判断出所述智能密钥设备中存在与所述密文公钥请求信息中的所述密钥标识匹配的公钥时，向所述中间件发送与所述智能密钥设备对应的槽位号和所述密文公钥请求信息；
所述第二接收模块，还用于接收来自所述安全控件的所述槽位号和所述密文公钥请求信息；
所述中间件，还包括：
第二生成模块，用于根据所述第二接收模块接收到的所述密文公钥请求信息生成密文公钥获取指令；
所述第二发送模块，还用于将所述第二生成模块生成的所述密文公钥获取指令发送给与所述槽位号对应的智能密钥设备；
所述第三接收模块，还用于接收来自所述中间件的所述密文公钥获取指令；
所述智能密钥设备，还包括：
第三获取模块，用于从所述第三接收模块接收到的所述密文公钥获取指令中获取所述密钥标识、所述保护密钥用途和所述随机数；
检索模块，用于根据所述第三获取模块获取到的所述密钥标识检索对应的公钥；
第三生成模块，用于根据所述第三获取模块获取到的所述保护密钥用途和所述随机数生成工作密钥，使用所述工作密钥对所述检索模块检索到的公钥进行加密，生成密文公钥；
所述第三发送模块，还用于将所述密文公钥发送给所述中间件；
所述第二接收模块，还用于接收来自所述智能密钥设备的所述密文公钥；
所述第二发送模块，还用于向所述安全控件发送所述第二接收模块接收到的所述密文公钥；
所述第一接收模块，还用于接收来自所述中间件的所述密文公钥；
所述第一发送模块，还用于向所述上层应用发送所述第一接收模块接收到的所述密文公钥；
所述第四接收模块，还用于接收来自所述安全控件的所述密文公钥；
所述上层应用，还包括：
第七判断模块，还用于根据所述第四接收模块接收到的所述密文公钥判断所述上层应用保存的PKCS#10数据是否正确；
所述第四发送模块，还用于在所述第七判断模块判断出所述PKCS#10数据正确时，向证书服务器发送证书生成请求；
所述第四接收模块，还用于接收所述证书服务器返回的所述证书。
19.如权利要求18所述的系统，其特征在于，
所述第五判断模块，具体用于将所述第一公钥类型信息作为参数，调用中间件的接口，对所述智能密钥设备中的对象进行枚举，判断所述智能密钥设备中是否存在与所述第一公钥类型信息关联的对象，如果存在，则确定所述智能密钥设备中存在与所述第一公钥类型信息匹配的公钥；否则，确定所述智能密钥设备中不存在与所述第一公钥类型信息匹配的公钥。
20.如权利要求18所述的系统，其特征在于，
所述第七判断模块，具体用于对来自所述安全控件的密文公钥进行保存，将所述PKCS#10数据中的明文公钥发送给所述证书服务器，通过所述证书服务器对所述明文公钥进行加密，接收所述证书服务器返回的密文公钥，并判断所述证书服务器返回的密文公钥是否与来自所述安全控件的密文公钥相同，如果相同，则确定所述PKCS#10数据正确；否则，确定所述PKCS#10数据不正确。
21.如权利要求18所述的系统，其特征在于，
所述第一接收模块，还用于接收来自所述上层应用的证书请求信息；
所述安全控件，还包括：
第八判断模块，用于判断所述第一接收模块接收到的所述证书请求信息是否有效；
所述第一发送模块，还用于在所述第八判断模块判断出所述证书请求信息有效时，向所述中间件发送所述证书请求信息；在所述第八判断模块判断出所述证书请求信息无效时，向所述上层应用返回异常信息；
所述第二接收模块，还用于接收来自所述安全控件的所述证书请求信息；
所述中间件，还包括：
第四生成模块，用于根据所述第二接收模块接收到的所述证书请求信息生成密钥对，为所述密钥对分配密钥标识；
设置模块，用于对所述第四生成模块生成的所述密钥对中的公钥和私钥进行设置；
所述第二发送模块，还用于向所述安全控件发送所述密钥标识和所述公钥；
所述第一接收模块，还用于接收来自所述中间件的所述密钥标识和所述公钥；
所述安全控件，还包括：
第五生成模块，用于根据所述第一接收模块接收到的所述公钥和所述证书请求信息，生成待签数据；
所述第一发送模块，还用于向所述中间件发送所述待签数据、所述密钥标识以及所述证书请求信息中的摘要算法；
所述第二接收模块，还用于接收来自所述安全控件的所述待签数据、所述密钥标识以及所述证书请求信息中的摘要算法；
所述第二发送模块，还用于向所述智能密钥设备发送所述待签数据、所述密钥标识以及与所述摘要算法对应的摘要标识；
所述第三接收模块，还用于接收来自所述中间件的所述待签数据、所述密钥标识以及与所述摘要算法对应的摘要标识；
所述智能密钥设备，还包括：
第三签名模块，用于使用与所述第三接收模块接收到的所述密钥标识对应的私钥，按照与所述摘要标识对应的签名机制，对所述待签数据进行签名，得到第二签名结果；
所述第三发送模块，还用于将所述第三签名模块得到的所述第二签名结果发送给所述中间件；
所述第二接收模块，还用于接收来自所述智能密钥设备的所述第二签名结果；
所述第二发送模块，还用于向所述安全控件发送所述第二签名结果；
所述第一接收模块，还用于接收来自所述中间件的所述第二签名结果；
所述安全控件，还包括：
第六生成模块，用于根据所述待签数据和所述第一接收模块接收到的所述第二签名结果生成PKCS#10数据；
所述第一发送模块，还用于将所述第六生成模块生成的所述PKCS#10数据发送给所述上层应用；
所述第四接收模块，还用于接收来自所述安全控件的所述PKCS#10数据；
所述上层应用，还包括：
保存模块，用于对所述第四接收模块接收到的所述PKCS#10数据进行保存。
22.如权利要求21所述的系统，其特征在于，所述证书请求信息包含一个或多个证书信息单元，每个证书信息单元包括与一张证书对应的证书标识、摘要算法、证书用途、密钥类型和密钥长度。
23.如权利要求22所述的系统，其特征在于，所述证书请求信息包含两个证书信息单元，其中一个证书信息单元与专用证书对应，另一个证书信息单元与通用证书或混用证书对应。
24.如权利要求22所述的系统，其特征在于，
所述第八判断模块，具体用于判断所述证书请求信息中包含的证书信息单元是否都有效，如果是，则确定所述证书请求信息有效；否则，确定所述证书请求信息无效。
25.如权利要求24所述的系统，其特征在于，所述第八判断模块判断证书信息单元是否有效，具体包括以下操作中的一项或多项：
所述第八判断模块判断所述证书信息单元中的证书标识是否合法；
所述第八判断模块判断所述证书信息单元中的摘要算法是否包含在预设算法列表中；
所述第八判断模块判断所述证书信息单元中的证书用途是否包含在预设用途列表中；
所述第八判断模块判断所述证书信息单元中的密钥类型和密钥长度是否包含在预设密钥列表中；
其中，所述预设算法列表中包含一个或多个摘要算法，所述预设用途列表中包含一个或多个证书用途，所述预设密钥列表中包含一组或多组密钥属性，所述密钥属性包括密钥类型和密钥长度。
26.如权利要求21所述的系统，其特征在于，
所述设置模块，具体用于将所述证书请求信息中的证书用途添加为所述公钥和所述私钥的属性。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410551211.4A CN104301113B (zh) | 2014-10-17 | 2014-10-17 | 一种基于多证书多用途的数字签名方法和系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410551211.4A CN104301113B (zh) | 2014-10-17 | 2014-10-17 | 一种基于多证书多用途的数字签名方法和系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104301113A true CN104301113A (zh) | 2015-01-21 |
| CN104301113B CN104301113B (zh) | 2017-07-14 |
Family
ID=52320693
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201410551211.4A Active CN104301113B (zh) | 2014-10-17 | 2014-10-17 | 一种基于多证书多用途的数字签名方法和系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN104301113B (zh) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104992329A (zh) * | 2015-05-14 | 2015-10-21 | 飞天诚信科技股份有限公司 | 一种安全下发交易报文的方法 |
| CN105827655A (zh) * | 2016-05-27 | 2016-08-03 | 飞天诚信科技股份有限公司 | 一种智能密钥设备及其工作方法 |
| CN106603238A (zh) * | 2015-10-20 | 2017-04-26 | 飞天诚信科技股份有限公司 | 一种多数字证书的签发系统、设备及其工作方法 |
| CN107888381A (zh) * | 2017-11-09 | 2018-04-06 | 飞天诚信科技股份有限公司 | 一种密钥导入的实现方法、装置及系统 |
| CN108604988A (zh) * | 2016-05-03 | 2018-09-28 | 华为技术有限公司 | 一种证书通知方法及装置 |
| CN110061848A (zh) * | 2019-04-17 | 2019-07-26 | 飞天诚信科技股份有限公司 | 一种安全导入支付终端密钥的方法、支付终端及系统 |
| CN111193748A (zh) * | 2020-01-06 | 2020-05-22 | 惠州市德赛西威汽车电子股份有限公司 | 一种交互式密钥安全认证方法及系统 |
| CN112118105A (zh) * | 2019-06-19 | 2020-12-22 | 深圳法大大网络科技有限公司 | 电子文件签名的方法、装置及终端设备 |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101820346A (zh) * | 2010-05-04 | 2010-09-01 | 北京飞天诚信科技有限公司 | 一种安全数字签名方法 |
| CN102223237A (zh) * | 2011-07-15 | 2011-10-19 | 飞天诚信科技股份有限公司 | 一种数据签名认证方法及系统 |
| CN102271042A (zh) * | 2011-08-25 | 2011-12-07 | 北京神州绿盟信息安全科技股份有限公司 | 数字证书认证方法、系统、USB Key设备和服务器 |
| US20120125997A1 (en) * | 2010-11-22 | 2012-05-24 | International Business Machines Corporation | System and method for providing and verifying a passport |
| CN102904865A (zh) * | 2011-07-29 | 2013-01-30 | 中国移动通信集团公司 | 一种基于移动终端的多个数字证书的管理方法、系统和设备 |
| CN103138938A (zh) * | 2013-03-22 | 2013-06-05 | 中金金融认证中心有限公司 | 基于csp的sm2证书申请及应用方法 |
| US20140019764A1 (en) * | 2012-07-11 | 2014-01-16 | Vinodh Gopal | Method for signing and verifying data using multiple hash algorithms and digests in pkcs |
-
2014
- 2014-10-17 CN CN201410551211.4A patent/CN104301113B/zh active Active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101820346A (zh) * | 2010-05-04 | 2010-09-01 | 北京飞天诚信科技有限公司 | 一种安全数字签名方法 |
| US20120125997A1 (en) * | 2010-11-22 | 2012-05-24 | International Business Machines Corporation | System and method for providing and verifying a passport |
| CN102223237A (zh) * | 2011-07-15 | 2011-10-19 | 飞天诚信科技股份有限公司 | 一种数据签名认证方法及系统 |
| CN102904865A (zh) * | 2011-07-29 | 2013-01-30 | 中国移动通信集团公司 | 一种基于移动终端的多个数字证书的管理方法、系统和设备 |
| CN102271042A (zh) * | 2011-08-25 | 2011-12-07 | 北京神州绿盟信息安全科技股份有限公司 | 数字证书认证方法、系统、USB Key设备和服务器 |
| US20140019764A1 (en) * | 2012-07-11 | 2014-01-16 | Vinodh Gopal | Method for signing and verifying data using multiple hash algorithms and digests in pkcs |
| CN103138938A (zh) * | 2013-03-22 | 2013-06-05 | 中金金融认证中心有限公司 | 基于csp的sm2证书申请及应用方法 |
Cited By (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104992329B (zh) * | 2015-05-14 | 2018-05-11 | 飞天诚信科技股份有限公司 | 一种安全下发交易报文的方法 |
| CN104992329A (zh) * | 2015-05-14 | 2015-10-21 | 飞天诚信科技股份有限公司 | 一种安全下发交易报文的方法 |
| CN106603238A (zh) * | 2015-10-20 | 2017-04-26 | 飞天诚信科技股份有限公司 | 一种多数字证书的签发系统、设备及其工作方法 |
| CN106603238B (zh) * | 2015-10-20 | 2019-06-18 | 飞天诚信科技股份有限公司 | 一种多数字证书的签发系统、证书管理端、签发装置及其工作方法 |
| US10833874B2 (en) | 2016-05-03 | 2020-11-10 | Huawei Technologies Co., Ltd. | Certificate notification method and apparatus |
| CN108604988A (zh) * | 2016-05-03 | 2018-09-28 | 华为技术有限公司 | 一种证书通知方法及装置 |
| CN105827655A (zh) * | 2016-05-27 | 2016-08-03 | 飞天诚信科技股份有限公司 | 一种智能密钥设备及其工作方法 |
| WO2017202058A1 (zh) * | 2016-05-27 | 2017-11-30 | 飞天诚信科技股份有限公司 | 一种智能密钥设备及其工作方法 |
| US10637654B2 (en) | 2016-05-27 | 2020-04-28 | Feitian Technologies Co., Ltd. | Smart key device and working method thereof |
| CN107888381A (zh) * | 2017-11-09 | 2018-04-06 | 飞天诚信科技股份有限公司 | 一种密钥导入的实现方法、装置及系统 |
| CN110061848A (zh) * | 2019-04-17 | 2019-07-26 | 飞天诚信科技股份有限公司 | 一种安全导入支付终端密钥的方法、支付终端及系统 |
| CN110061848B (zh) * | 2019-04-17 | 2021-09-14 | 飞天诚信科技股份有限公司 | 一种安全导入支付终端密钥的方法、支付终端及系统 |
| CN112118105A (zh) * | 2019-06-19 | 2020-12-22 | 深圳法大大网络科技有限公司 | 电子文件签名的方法、装置及终端设备 |
| CN112118105B (zh) * | 2019-06-19 | 2024-03-01 | 深圳法大大网络科技有限公司 | 电子文件签名的方法、装置及终端设备 |
| CN111193748A (zh) * | 2020-01-06 | 2020-05-22 | 惠州市德赛西威汽车电子股份有限公司 | 一种交互式密钥安全认证方法及系统 |
| CN111193748B (zh) * | 2020-01-06 | 2021-12-03 | 惠州市德赛西威汽车电子股份有限公司 | 一种交互式密钥安全认证方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN104301113B (zh) | 2017-07-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN104301113B (zh) | 一种基于多证书多用途的数字签名方法和系统 | |
| US20100172501A1 (en) | Secure key system | |
| CN110198214B (zh) | 身份标识生成方法、验证方法及装置 | |
| US5724427A (en) | Method and apparatus for autokey rotor encryption | |
| EP2442482B1 (en) | Method and device for implementing stream cipher | |
| WO2023020110A1 (zh) | 一种数据处理方法、装置及计算机可读存储介质 | |
| CN103051682B (zh) | 车载终端的无线交互方法 | |
| CN110909316B (zh) | 一种单片机软件的加密保护方法及存储介质 | |
| CN110061848B (zh) | 一种安全导入支付终端密钥的方法、支付终端及系统 | |
| CN101625653A (zh) | 一种多媒体产品本地数据处理校验方法 | |
| WO2022052859A1 (zh) | 一种数据传输方法及数据传输设备 | |
| WO2022078078A1 (zh) | 一种外接设备模拟键盘的实现方法、装置及系统 | |
| US20100040226A1 (en) | Device, program and method for generating hash values | |
| CN115348101A (zh) | 基于混沌分组密码的数据加密方法及系统 | |
| Smyshlyaev et al. | The security evaluated standardized password-authenticated key exchange (SESPAKE) protocol | |
| EP0928526B1 (en) | Method and apparatus for enhanced cmea employing enhanced transformations | |
| CN114189324B (zh) | 一种消息安全签名方法、系统、设备及存储介质 | |
| CN112528349A (zh) | 一种数据处理方法、装置、电子设备及可读存储介质 | |
| CN1607764A (zh) | 计算暂时密钥集成协议s盒值的装置及其方法 | |
| Gutmann et al. | RFC 9500 Standard Public Key Cryptography (PKC) Test Keys | |
| Ding et al. | Cryptanalysis of Loiss stream cipher | |
| Isobe et al. | Key Committing Security Analysis of AEGIS | |
| CN202979031U (zh) | 车载终端的无线交互系统 | |
| CN117499018A (zh) | 一种基于拉丁方的8比特s盒构造方法及应用 | |
| Shao-Hui et al. | Security analysis of lightweight authentication protocol from wistp 2013 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |