CN104683107A - 数字证书保管方法和装置、数字签名方法和装置 - Google Patents

Abstract

一种数字证书保管方法，所述方法包括：接收用户的申请数字证书请求；根据所述申请数字证书请求生成数字证书请求文件，以使得CA中心对所述数字证书请求文件进行数字签名后生成对应的数字证书；对所述数字证书进行加密，得到数字证书密文；对所述数字证书密文进行存储。采用本方法在不安装数字证书控件的情况下申请数字证书并且让申请到的数字证书能够在多台终端之间共用。此外还提供一种数字证书保管装置、数字签名方法和装置。

Description

数字证书保管方法和装置、数字签名方法和装置

技术领域

本发明涉及数字证书技术领域，特别是涉及一种数字证书保管方法和装置、数字签名方法和装置

。

背景技术

数字证书又称“网络身份证”、“数字身份证”，它是由第三方机构CA(Certificate Authority)中心签发的包含公开密钥拥有者信息以及公开密钥的电子文件，是一种能够在互联网上进行身份验证的权威性电子文档。人们在互联网交往中可以用它来证明自己的身份和识别对方的身份。随着互联网的高速发展，数字证书已经被广泛应用到电子化商务和政务活动等领域。

普通的个人数字证书申请，首先需要在浏览器上安装数字证书控件。然后通过控件生成密钥对和数字证书请求文件，并通过控件将数字证书请求文件发送至CA中心来申请数字证书。在申请到数字证书后需要通过数字证书控件将数字证书进行安装。用户需要使用数字证书进行数字签名时，还是要通过数字证书控件才能完成。数字证书从申请到使用每一步都需要用到数字证书控件。虽然数字证书采用的PKI(Public Key Infrastructure，公钥基础设施)已经发展的比较成熟，但数字证书控件的使用对客户端环境的要求比较苛刻。而且数字证书控件还存在兼容性的问题。客户端环境中的操作系统不同、浏览器不同、浏览器版本不同，这些都可能会令数字证书控件安装失败，由此导致用户无法申请数字证书，从而无法进行相关的业务。而且，随着互联网的发展，越来越多的商业营销活动转移到新媒体平台，例如支付宝平台、微信平台等，但是这些新媒体平台会限制第三方控件的安装，从而导致通过数字证书控件的方式来申请数字证书在新媒体平台受到严重的制约，给用户带来不便。

如果同一个用户拥有多台终端，通过PC(personal computer，个人计算机)终端申请到的数字证书与通过移动终端申请到的数字证书是不能共用的。而且通过移动终端申请到的数字证书无法从移动终端中导出，尤其是通过苹果手机申请到的数字证书不能在其他终端上使用。必须要对其他终端重新申请数字证书，给用户带来不便。

如何在不安装数字证书控件的情况下申请数字证书并且让申请到的数字证书能够在多台终端之间共用，目前还是一个技术难题。

发明内容

基于此，有必要针对上述技术问题，提供一种在不安装数字证书控件的情况下申请数字证书并且让申请到的数字证书能够在多台终端之间共用的数字证书保管方法和装置、数字签名方法和装置

一种数字证书保管方法，所述方法包括：

接收用户的申请数字证书请求；

根据所述申请数字证书请求生成数字证书请求文件，以使得CA中心对所述数字证书请求文件进行数字签名后生成对应的数字证书；

对所述数字证书进行加密，得到数字证书密文；

对所述数字证书密文进行存储。

在其中一个实施例中，在所述接收用户的申请数字证书请求的步骤之前，还包括：

获取用户输入的数字证书使用密码；

对所述数字证书使用密码进行加密，得到对应的密文。

在其中一个实施例中，所述对所述数字证书进行加密，得到数字证书密文的步骤包括：

将所述数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；

利用数字证书使用密码密文对所述含私钥的数字证书进行加密，并得到数字证书密文。

在其中一个实施例中，在所述对所述数字证书密文进行存储并向用户进行提示的步骤之后，还包括：

接收用户通过移动终端发送的验证码进行验证；

验证通过之后，接收用户输入的数字证书使用密码进行再次验证；

再次验证通过之后，利用所述数字证书进行相应的操作。

一种数字证书保管装置，所述装置包括：

第一请求接收模块，用于接收用户的申请数字证书请求；

证书申请模块，用于根据所述申请数字证书请求生成数字证书请求文件，以使得CA中心对所述数字证书请求文件进行数字签名后生成对应的数字证书；

第一加密模块，用于对所述数字证书进行加密，得到数字证书密文；

密文存储模块，用于对所述数字证书密文进行存储。

在其中一个实施例中，所述装置还包括：

密码获取模块，用于获取用户输入的数字证书使用密码；

所述第一加密模块还用于对所述数字证书使用密码进行加密，得到对应的密文。

在其中一个实施例中，所述第一加密模块包括：

转化单元，用于将所述数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；

加密单元，用于利用数字证书使用密码密文对所述含私钥的数字证书进行加密，并得到数字证书密文。

在其中一个实施例中，所述装置还包括：

验证模块，用于接收用户通过移动终端发送的验证码进行验证；

所述验证模块还用于验证通过之后，接收用户输入的数字证书使用密码进行再次验证；

操作模块，用于再次验证通过之后，利用所述数字证书进行相应的操作。

上述数字证书保管方法和装置，接收用户的申请数字证书请求；根据申请数字证书请求生成数字证书请求文件，以使得CA中心对数字证书请求文件进行数字签名后生成对应的数字证书；对数字证书进行加密，得到数字证书密文；对数字证书密文进行存储。在接收到用户的申请数字证书请求后，无需安装数字证书控件即可生成数字证书请求文件，并向CA中心申请数字证书。由此实现了在不安装数字证书控件的情况下申请数字证书。通过对数字证书进行加密后，对数字证书密文进行存储，克服了由于数字证书存储在某一终端无法共用的问题。由此使得数字证书能够在多个终端之间共用，避免了在多个终端重复申请数字证书的麻烦，为用户提供了方便。

一种数字签名方法，所述方法包括：

接收用户的数字签名请求，所述数字签名请求中包括用户标识、原文和数字证书使用密码；

根据所述数字签名请求获取数字证书密文；

将所述数字证书使用密码进行加密得到数字证书使用密码密文；

利用数字证书使用密码密文对所述数字证书密文进行解密，得到与用户标识对应的数字证书；

利用所述与用户标识对应的数字证书对所述原文进行数字签名得到对应的签名值。

一种数字签名装置，所述装置包括：

第二请求接收模块，用于接收用户的数字签名请求，所述数字签名请求中包括用户标识、原文和数字证书使用密码；

密文获取模块，用于根据所述数字签名请求获取数字证书密文；

第二加密模块，用于将所述数字证书使用密码进行加密得到数字证书使用密码密文；

解密模块，用于利用数字证书使用密码密文对所述数字证书密文进行解密，得到与用户标识对应的数字证书；

签名模块，用于利用所述与用户标识对应的数字证书对所述原文进行数字签名得到对应的签名值。

上述数字签名方法和装置，通过利用数字证书使用密码密文对数字证书密文进行解密，得到与用户标识对应的数字证书，利用与用户标识对应的数字证书对原文进行数字签名得到对应的签名值，由此实现了安全的数字签名。既不需要在终端安装数字证书控件，也不需要终端安装证书，即可进行数字签名操作，从而进一步提高了数字证书在多个终端之间的通用性，为用户提供了方便。

附图说明

图1为一个实施例中数字证书保管方法的应用环境图；

图2为一个实施例中数字证书保管方法的流程图；

图3为一个实施例中数字签名方法的流程图；

图4为一个实施例中数字证书保管装置的结构示意图；

图5为一个实施例中第一加密模块的结构示意图；

图6为又一个实施例中数字证书保管装置的结构示意图；

图7为另一个实施例中数字证书保管装置的结构示意图；

图8为一个实施例中数字签名装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提供的方法可应用于如图1所示的应用环境中。终端102与服务器104通过网络106进行通信。终端102包括但不限于个人计算机、智能手机、平板电脑、个人数字助理等。网络106包括但不限于互联网、3G(3rd-Generation)/4G(the 4th Generation mobile communication technology)等移动网络。服务器104中包括服务组件、密码组件和存储组件等多个组件。服务组件为基于SOA(Service-Oriented Architecture，面向服务的体系结构)业务中间件软件，提供数字证书申请、数字签名等功能接口。密码组件为独立的加密服务器，用于生成密钥对、进行加密、解密，生成数字证书申请文件等。存储组件为数据库，用于存储数字证书密文、数字签名的签名值等。每个组件之间彼此独立，通过相应的接口互相关联。服务器104在接收到终端102发送的申请数字证书请求之后，服务器104通过服务组件和密码组件生成数字证书请求文件，通过网络108并向CA中心110申请数字证书。由此实现了在不安装数字证书控件的情况下申请数字证书。服务器104将从CA中心申请到的数字证书通过密码组件进行加密，并通过存储组件进行存储，对数字证书进行加密，并对数字证书密文进行保管。如果用户需要使用该数字证书，可通过终端102向服务器104发送验证码和数字证书使用密码，服务器104分别对验证码和数字证书使用密码验证通过之后，为终端102提供证书签名、数字签名验证等操作，由此克服了由于数字证书存储在某一终端无法共用的问题，从而使得数字证书能够在多个终端之间共用，避免了在多个终端重复安装数字证书控件、申请数字证书的麻烦，为用户提供了方便。

在一个实施例中，如图2所示，提供了一种数字证书保管方法，该方法以应用于服务器进行举例说明，具体包括：

步骤202，接收用户的申请数字证书请求。

用户通过终端发送申请数字证书请求。具体的，通过终端上的HTTP(HyperText Transfer Protocol，超文本传输协议)接口访问服务器，并向服务器发送申请数字证书请求。利用服务器中的服务组件来接收申请数字证书请求。

步骤204，根据申请数字证书请求生成数字证书请求文件，以使得CA中心对数字证书请求文件进行数字签名后生成对应的数字证书。

服务组件接收到申请数字证书请求后，调用密码组件的接口，向密码组件发送获取数字证书请求文件的请求，密码组件根据该请求随机生成密钥对，其中密钥对中包括公钥和私钥。优选的，密码组件生成的密钥对为RSA(一种加密算法)密钥对。密码组件再利用公钥与用户信息(如用户的姓名、身份证号码等)生成数字证书请求文件，并将密钥对和数字证书请求文件返回至服务组件。优选的，数字证书请求文件为P10格式。服务组件将数字证书请求文件发送至CA中心，CA中心对该数字证书请求文件进行数字签名后生成对应的数字证书，并将数字证书返回至服务组件。

步骤206，对数字证书进行加密，得到数字证书密文。

密码组件通过RSA加密算法对数字证书进行加密，得到数字证书密文。密码组件采用独立的服务器来执行，由此能够进一步提高加密的安全性。

在其中一个实施例中，对数字证书进行加密，得到数字证书密文的步骤包括：将数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；利用数字证书使用密码密文对含私钥的数字证书进行加密，并得到数字证书密文。

数字证书对应的私钥也就是上述为了申请数字证书而生成的密钥对中的私钥。加密组件将数字证书与对应的私钥进行合并，转化为含有私钥的数字证书。具体的，加密组件可利用openssl(Open Secure Sockets Layer，开放式安全套接层协议)、Java keytool(一个Java数据证书的管理工具)等开发包对数字证书与对应的私钥进行合并，转化为含有私钥的数字证书。优选的，含有私钥的数字证书为P12格式。加密组件利用数字证书使用密码密文对含有私钥的数字证书进行加密，得到数字证书密文。

步骤208，对数字证书密文进行存储。

将数字证书密文存储到存储组件中。存储完成之后，向用户提示“数字证书申请成功，已存储”。如果未能从CA中心申请到数字证书，则无需进行对数字证书进行加密的步骤。可直接向用户提示“数字证书申请失败”。

本实施例中，接收用户的申请数字证书请求；根据申请数字证书请求生成数字证书请求文件，以使得CA中心对数字证书请求文件进行数字签名后生成对应的数字证书；对数字证书进行加密，得到数字证书密文；对数字证书密文进行存储。在接收到用户的申请数字证书请求后，无需安装数字证书控件即可生成数字证书请求文件，并向CA中心申请数字证书。由此实现了在不安装数字证书控件的情况下申请数字证书。通过对数字证书进行加密后，对数字证书密文进行存储，克服了由于数字证书存储在某一终端无法共用的问题。由此使得数字证书能够在多个终端之间共用，避免了在多个终端重复申请数字证书的麻烦，为用户提供了方便。

在一个实施例中，在接收用户的申请数字证书请求的步骤之前，还包括：获取用户输入的数字证书使用密码；对数字证书使用密码进行加密，得到对应的密文。

本实施例中，用户预先对数字证书设置数字证书使用密码。具体的，用户利用终端通过HTTP接口在相应的设置页面输入数字证书使用密码。由于用户输入的数字证书使用密码为明文密码，需要对明文密码进行加密，作为预设的数字证书使用密码密文。服务组件在接收到数字证书使用密码之后，调用密码组件接口，密码组件对数字证书使用密码进行加密。从而提高了数字证书使用密码的安全性。

在一个实施例中，在对数字证书密文进行存储并向用户进行提示的步骤之后，还包括：接收用户通过移动终端发送的验证码进行验证；验证通过之后，接收用户输入的数字证书使用密码进行再次验证；再次验证通过之后，利用数字证书进行相应的操作。

本实施例中，服务组件接收用户通过移动终端发送的验证码，并进行验证，校验通过之后，再次接收用户输入的数字证书使用密码。服务组件调用密码组件接口，对用户输入的数字证书使用密码进行加密，得到对应的密文，再次调用密码组件接口获取预设的数字证书使用密码密文，并将这两个密文进行比较验证，若两者相同，则再次验证通过。再次验证通过之后，即可通过服务组件调用数字证书，进行相应的操作，包括数字签名、数字签名验证等。由此无需在终端安装数字证书，即可使得数字证书能够在多个终端之间共用，避免了在多个终端重复申请数字证书的麻烦，为用户提供了方便。

在一个实施例中，如图3所示，提供了一种数字签名方法，该方法包括：

步骤302，接收用户的数字签名请求，数字签名请求中包括用户标识、原文和数字证书使用密码。

步骤304，根据数字签名请求获取数字证书密文。

步骤306，将数字证书使用密码进行加密得到数字证书使用密码密文。

步骤308，利用数字证书使用密码密文对数字证书密文进行解密，得到与用户标识对应的数字证书。

步骤310，利用与用户标识对应的数字证书对原文进行数字签名得到对应的签名值。

本实施例中，原文是指用户想要传送的信息的原文，数字证书使用密码为上述实施例中用户预设的数字证书使用密码。步骤304中的数字证书密文为上述各实施例提供的数字证书保管方法所保管的数字证书密文。服务组件在接收到用户的数字签名请求后，获取存储组件之前存储的数字证书密文。密码组件对数字证书使用密码进行加密，得到数字证书使用密码密文。密码组件利用数字证书使用密码密文对数字证书密文进行解密，得到与用户标识对应的数字证书。如果用户输入的数字证书使用密码有误，则不能对数字证书密文进行解密。服务组件利用数字证书对原文进行签名，并得到对应的签名值，存储组件将签名值进行存储，并向用户提示数字签名成功。通过利用数字证书使用密码密文对数字证书密文进行解密，得到与用户标识对应的数字证书，利用与用户标识对应的数字证书对原文进行数字签名得到对应的签名值，由此实现了安全的数字签名。既不需要在终端安装数字证书控件，也不需要终端安装证书，即可进行数字签名操作，从而进一步提高了数字证书在多个终端之间的通用性，为用户提供了方便。

如图4所示，在一个实施例中，提供了一种数字证书保管装置，该装置包括：第一请求接收模块402、证书申请模块404、第一加密模块406和密文存储模块408，其中：

第一请求接收模块402，用于接收用户的申请数字证书请求。

证书申请模块404，用于根据申请数字证书请求生成数字证书请求文件，以使得CA中心对数字证书请求文件进行数字签名后生成对应的数字证书。

第一加密模块406，用于对数字证书进行加密，得到数字证书密文。在其中一个实施例中，如图5所示，第一加密模块包括：转化单元406a和加密单元406b，其中：转化单元406a，用于将数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；加密单元406b，用于利用数字证书使用密码密文对含私钥的数字证书进行加密，并得到数字证书密文。

密文存储模块408，用于对数字证书密文进行存储。

本实施例中，在接收到用户的申请数字证书请求后，无需安装数字证书控件即可生成数字证书请求文件，并向CA中心申请数字证书。由此实现了在不安装数字证书控件的情况下申请数字证书。通过对数字证书进行加密后，对数字证书密文进行存储，克服了由于数字证书存储在某一终端无法共用的问题。由此使得数字证书能够在多个终端之间共用，避免了在多个终端重复申请数字证书的麻烦，为用户提供了方便。

在一个实施例中，如图6所示，该装置还包括：密码获取模块410，用于获取用户输入的第一数字证书使用密码；第一加密模块406还用于对第一数字证书使用密码进行加密，得到对应的密文。

本实施例中，由于用户输入的第一数字证书使用密码为明文密码，需要对明文密码进行加密。从而提高了第一数字证书使用密码的安全性。

在一个实施例中，如图7所示，该装置还包括：验证模块412和证书操作模块414，其中：

验证模块412，用于接收用户通过移动终端发送的验证码进行验证；验证模块412还用于验证通过之后，接收用户输入的数字证书使用密码进行再次验证。

证书操作模块414，用于再次验证通过之后，利用所述数字证书进行相应的操作。

本实施例中，通过对移动终端发送的验证码进行验证并且再次对用户输入的数字证书使用密码进行验证，数字证书使用密码为上述实施例中用户预设的数字证书使用密码。双重验证进一步提高了数字证书保管的安全性。双重验证通过之后，证书操作模块可直接利用已保管的数字证书进行相应的操作。用户无需导出的数字证书安装在终端，通过双重验证后，服务器可直接对已保管的数字证书进行操作，由此使得数字证书能够在多个终端之间共用，避免了在多个终端重复申请数字证书的麻烦，为用户提供了方便。

在一个实施例中，如图8所示，提供了一种数字签名装置，该装置包括：第二接收模块802、密文获取模块804、第二加密模块806、解密模块808和签名模块810，其中：

第二请求接收模块802，用于接收用户的数字签名请求，数字签名请求中包括用户标识、原文和数字证书使用密码。

密文获取模块804，用于根据所述数字签名请求获取数字证书密文。

第二加密模块806，用于将数字证书使用密码进行加密得到数字证书使用密码密文。

解密模块808，用于利用数字证书使用密码密文对数字证书密文进行解密，得到与用户标识对应的数字证书。

签名模块810，用于利用与用户标识对应的数字证书对原文进行数字签名得到对应的签名值。

本实施例中，数字证书密文为根据上述实施例提供的数字证书保管装置所保管的数字证书密文。通过有且仅有客户自己拥有的证书使用密码，来对数字证书密文进行解密获取用户数字证书的使用权限，用户证书使用密码校验通过，即可利用已保管的数字证书进行签名操作。由此实现了安全的数字签名。既不需要在终端安装数字证书控件，也不需要终端安装证书，即可进行数字签名操作，从而进一步提高了数字证书在多个终端之间的通用性，为用户提供了方便。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种数字证书保管方法，所述方法包括：

接收用户的申请数字证书请求；

根据所述申请数字证书请求生成数字证书请求文件，以使得CA中心对所述数字证书请求文件进行数字签名后生成对应的数字证书；

对所述数字证书进行加密，得到数字证书密文；

对所述数字证书密文进行存储。

2.根据权利要求1所述的方法，其特征在于，在所述接收用户的申请数字证书请求的步骤之前，还包括：

获取用户输入的数字证书使用密码；

对所述数字证书使用密码进行加密，得到对应的密文。

3.根据权利要求2所述的方法，其特征在于，所述对所述数字证书进行加密，得到数字证书密文的步骤包括：

将所述数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；

利用数字证书使用密码密文对所述含私钥的数字证书进行加密，并得到数字证书密文。

4.根据权利要求1所述的方法，其特征在于，在所述对所述数字证书密文进行存储并向用户进行提示的步骤之后，还包括：

接收用户通过移动终端发送的验证码进行验证；

验证通过之后，接收用户输入的数字证书使用密码进行再次验证；

再次验证通过之后，利用所述数字证书进行相应的操作。

5.一种数字签名方法，所述方法包括：

接收用户的数字签名请求，所述数字签名请求中包括用户标识、原文和数字证书使用密码；

根据所述数字签名请求获取数字证书密文，所述数字证书密文为根据权利要求1-4任一项所述的方法保管的数字证书密文；

将所述数字证书使用密码进行加密得到数字证书使用密码密文；

利用数字证书使用密码密文对所述数字证书密文进行解密，得到与用户标识对应的数字证书；

利用所述与用户标识对应的数字证书对所述原文进行数字签名得到对应的签名值。

6.一种数字证书保管装置，其特征在于，所述装置包括：

第一请求接收模块，用于接收用户的申请数字证书请求；

证书申请模块，用于根据所述申请数字证书请求生成数字证书请求文件，以使得CA中心对所述数字证书请求文件进行数字签名后生成对应的数字证书；

第一加密模块，用于对所述数字证书进行加密，得到数字证书密文；

密文存储模块，用于对所述数字证书密文进行存储。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

密码获取模块，用于获取用户输入的数字证书使用密码；

所述第一加密模块还用于对所述数字证书使用密码进行加密，得到对应的密文。

8.根据权利要求7所述的装置，其特征在于，所述第一加密模块包括：

转化单元，用于将所述数字证书和与对应的私钥进行合并，转化为含私钥的数字证书；

加密单元，用于利用数字证书使用密码密文对所述含私钥的数字证书进行加密，并得到数字证书密文。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

验证模块，用于接收用户通过移动终端发送的验证码进行验证；

所述验证模块还用于验证通过之后，接收用户输入的数字证书使用密码进行再次验证；

操作模块，用于再次验证通过之后，利用所述数字证书进行相应的操作。

10.一种数字签名装置，其特征在于，所述装置包括：

第二请求接收模块，用于接收用户的数字签名请求，所述数字签名请求中包括用户标识、原文和数字证书使用密码；

密文获取模块，用于根据所述数字签名请求获取数字证书密文，所述数字证书密文为根据权利要求6-9任一项所述的装置保管的数字证书密文；

第二加密模块，用于将所述数字证书使用密码进行加密得到数字证书使用密码密文；

解密模块，用于利用数字证书使用密码密文对所述数字证书密文进行解密，得到与用户标识对应的数字证书；

签名模块，用于利用所述与用户标识对应的数字证书对所述原文进行数字签名得到对应的签名值。