CN105281908A

CN105281908A - USB Key、USB Key数字证书写入方法和装置

Info

Publication number: CN105281908A
Application number: CN201410353939.6A
Authority: CN
Inventors: 夏巨鹏
Original assignee: Alibaba Group Holding Ltd
Current assignee: Advanced New Technologies Co Ltd; Advantageous New Technologies Co Ltd
Priority date: 2014-07-23
Filing date: 2014-07-23
Publication date: 2016-01-27
Anticipated expiration: 2034-07-23
Also published as: CN105281908B; HK1215905A1

Abstract

本申请提供一种USB？Key、USB？Key数字证书写入方法和装置。该方法包括：接收客户端发送的第一签名证书请求，所述第一签名证书请求由客户端使用USB？Key内置的标识数字证书及其对应的第一私钥签名数字证书请求而生成；根据所述第一签名证书请求校验所述USB？Key是否合法；在校验所述USB？Key合法时，颁发数字证书，以供客户端将所述数字证书写入所述USB？Key。通过本申请的技术方案能够确保颁发的数字证书能够写入到合法的USB？Key中。

Description

USB Key、USB Key数字证书写入方法和装置

技术领域

本申请涉及信息安全领域，尤其涉及一种USBKey、USBKey数字证书写入方法和装置。

背景技术

随着互联网技术的广泛发展，信息安全问题尤为突出，USBKey应运而生。USBKey是一种USB接口的硬件设备，它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥和数字证书。数字证书由第三方权威机构CA机构(CertificateAuthority，证书授权中心)发行，使用USBKey设备的用户通过数字证书来表明用户的身份。

其中，将数字证书写入USBKey的过程如下：

1.客户端请求USBKey生成非对称的密钥对；

2.客户端使用该非对称的密钥对生成CSR(CertificateSigningRequest，证书请求文件)，并发送给服务端；

3.服务端在校验USBKey合法时，颁发数字证书；

4.客户端将所述数字证书写入USBKey，并将其与私钥进行关联。

上述步骤中，服务端通过USBKey的序列号校验USBKey是否合法。然而，USBKey的序列号是一个字符串，极易被伪造并提交到服务端，故难以保证用户的数字证书被写入到合法的USBKey中。

针对序列号极易被仿造的问题，还可以在USBKey中内置一个外界无法获取到的共享密钥对，由服务端存储USBKey序列号和所述共享密钥对的对应关系。客户端在生成CSR时，使用所述共享密钥对的私钥加密CSR，如果服务端解密成功，则认为所述USBKey合法。

然而，在这样的实现方式中，攻击者可以自行生成共享密钥对和CSR，然后随机生成的一个序列号，发送给服务端进行校验，也难以保证用户的数字证书被写入到合法的USBKey中。

发明内容

有鉴于此，本申请提供一种USBKey、USBKey数字证书写入方法和装置。

具体地，本申请是通过如下技术方案实现的：

一种USBKey数字证书写入方法，所述方法包括：

接收客户端发送的第一签名证书请求，所述第一签名证书请求由客户端使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求而生成；

根据所述第一签名证书请求校验所述USBKey是否合法；

在校验所述USBKey合法时，颁发数字证书，以供客户端将所述数字证书写入所述USBKey。

进一步地，所述根据所述第一签名证书请求校验所述USBKey的合法性包括：

校验所述第一签名证书请求；

如果校验所述第一签名证书请求成功，则校验所述标识证书的合法性；

如果校验所述标识证书合法，则校验所述数字证书请求；

如果校验所述数字证书请求成功，则确认所述USBKey合法。

进一步地，所述校验所述第一签名证书请求包括：

获取所述第一签名证书请求中携带的所述标识数字证书对应的第一公钥；

使用所述第一公钥校验所述第一签名证书请求。

进一步地，所述校验所述标识证书的合法性包括：

从所述标识证书中获取所述标识证书的发行者；

查找所述发行者对应的子CA证书；

使用所述子CA证书中携带的第二公钥校验所述标识证书是否合法。

进一步地，所述校验所述标识证书的合法性包括：

从所述标识证书中获取所述USBKey的序列号；

查看本设备上是否存储有所述序列号与所述第一公钥的对应关系；

如果是，则校验所述标识证书合法。

一种USBKey数字证书写入方法，所述方法包括：

使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求，以生成第一签名证书请求；

将所述第一签名证书请求发送给服务端，以供服务端校验所述USBKey是否合法；

将服务端在校验所述USBKey合法时颁发的数字证书写入所述USBKey。

一种USBKey数字证书写入装置，所述装置包括：

接收单元，接收客户端发送的第一签名证书请求，所述第一签名证书请求由客户端使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求而生成；

校验单元，根据所述第一签名证书请求校验所述USBKey是否合法；

颁发单元，在校验所述USBKey合法时，颁发数字证书，以供客户端将所述数字证书写入所述USBKey。

进一步地，所述校验单元，具体校验所述第一签名证书请求；

在校验所述第一签名证书请求成功时，校验所述标识证书的合法性；

在校验所述标识证书合法时，校验所述数字证书请求；

在校验所述数字证书请求成功时，确认所述USBKey合法。

进一步地，所述校验单元校验所述第一签名证书请求包括：获取所述第一签名证书请求中携带的所述标识数字证书对应的第一公钥；

使用所述第一公钥校验所述第一签名证书请求。

进一步地，所述校验单元校验所述标识证书的合法性包括：

从所述标识证书中获取所述标识证书的发行者；

查找所述发行者对应的子CA证书；

进一步地，所述校验单元校验所述标识证书的合法性包括：

从所述标识证书中获取所述USBKey的序列号；

在本设备上存储有所述序列号与所述第一公钥的对应关系时，确认校验所述标识证书合法。

一种USBKey数字证书写入装置，所述装置包括：

签名单元，使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求，以生成第一签名证书请求；

发送单元，将所述第一签名证书请求发送给服务端，以供服务端校验所述USBKey是否合法；

写入单元，将服务端在校验所述USBKey合法时颁发的数字证书写入所述USBKey。

一种USBKey，包括：USBKey接口、USBKey芯片以及存储模块，

所述USBKey的存储模块中内置有标识数字证书以其对应的第一私钥，以供客户端根据所述标识数字证书以及对应的第一私钥生成第一签名证书请求；

所述客户端通过所述USBKey接口与USBKey连接。

进一步地，所述USBKey芯片根据客户端的请求生成第三私钥和对应的第三公钥，以供客户端根据所述第三私钥和第三公钥生成数字证书请求；以供客户端根据所述标识数字证书以及对应的第一私钥，签名所述数字证书请求生成所述第一签名证书请求。

进一步地，所述USBKey芯片根据客户端的指令，将服务端在根据所述第一签名证书请求验证所述USBKey合法时颁发的数字证书存储在所述存储模块中。

进一步地，所述标识数字证书是USBKey生产厂商或第三方CA颁发的。

由以上描述可以看出，本申请利用标准的USBKey证书写入流程，为USBKey预置标识证书，服务端在颁发数字证书时，通过校验所述标识证书的合法性来校验USBKey的合法性，进而确保颁发的数字证书能够写入到合法的USBKey中。

附图说明

图1是本申请一实施例中USBKey数字证书写入方法的流程示意图。

图2是本申请另一实施例中USBKey数字证书写入方法的流程示意图。

图3是本申请另一实施例中USBKey数字证书写入方法的流程示意图。

图4是本申请一实施例中服务端的结构示意图。

图5是本申请一实施例中USBKey数字证书写入装置的结构示意图。

图6是本申请一实施例中客户端的结构示意图。

图7是本申请另一实施例中USBKey数字证书写入装置的结构示意图。

图8是本申请一实施例中USBKey的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

针对上述问题，本申请提供一种USBKey数字证书写入方案，通过在USBKey内预先存储一张标识证书，在服务端验证所述标识证书的合法性以验证所述USBKey的合法性。

下面结合具体的实施例来描述本申请的实现过程。

本申请提供一种USBKey数字证书写入方法，分别应用在客户端和服务端上。请参考图1，应用在客户端的数字证书写入方法包括以下步骤：

步骤101，使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求，以生成第一签名证书请求。

步骤102，将所述第一签名证书请求发送给服务端，以供服务端校验所述USBKey是否合法。

步骤103，将服务端在校验所述USBKey合法时颁发的数字证书写入所述USBKey。

请参考图2，应用在服务端的数字证书写入方法包括以下步骤：

步骤201，接收客户端发送的第一签名证书请求，所述第一签名证书请求由客户端使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求而生成。

步骤202，根据所述第一签名证书请求校验所述USBKey是否合法。

步骤203，在校验所述USBKey合法时，颁发数字证书，以供客户端将所述数字证书写入所述USBKey。

在本申请中，服务端在接收到客户端发送的第一签名证书请求后，可以通过验证USBKey标识证书的合法性来判断USBKey的合法性。所述标识证书通常是在所述USBKey售卖前写入的，可以是USBKey的生产厂商写入的，也可以是第三方CA的服务在USBKey出厂售卖前写入的，比如：银行在将USBKey售卖给用户前在所述USBKey中写入标识证书。具体地，所述标识证书的写入过程可以使用背景技术中描述的标准的USBKey证书写入流程：

1.在连接USBKey后，客户端请求USBKey生成非对称的密钥对：第一私钥和第一公钥。

2.客户端根据所述第一公钥和第一私钥生成CSR，并发送给服务端。

3.服务端使用所述第一公钥校验所述CSR，如果校验成功，则将标识证书颁发给客户端。

4.客户端将所述标识证书写入USBKey，并将所述标识证书与所述第一私钥关联。

在这个过程中，由于是在售卖前向所述USBKey写入标识证书，客户端和服务端可以使用内网通信，进而可以确保将合法的标识证书写入到USBKey中。

将标识证书写入USBKey之后，就可以将所述USBKey售卖给用户。用户在购买到所述USBKey之后，首次使用所述USBKey时，需要向CA请求数字证书，然后将CA颁发的数字证书写入USBKey中，以后在使用所述USBKey时，就可以直接使用所述数字证书来证明自己是身份。当然，在实际应用中也可以由USBKey售卖方协助用户将其数字证书写入USBKey中。所述CA可以是独立的CA服务器，也可以将CA功能集成到商家的服务端上，本申请对此不作限制。以下以服务端集成CA功能模块为例进行描述。

请参考图3，在获取用户数字证书的过程中，依据标准的USBKey证书写入流程，包括以下步骤：

步骤301，客户端请求USBKey生成非对称密钥对。

为了进行区分，在本步骤中，将USBKey生成的非对称密钥对称为第三公钥和第三私钥。

步骤302，客户端根据所述第三公钥和第三私钥生成用户的数字证书请求。

在本步骤中，使用所述第三私钥签名用户提交申请的内容和所述第三公钥，以生成第三签名。所述数字证书请求通常包括：用户提交申请的内容、第三公钥以及所述第三签名。其中，所述用户提交申请的内容包括有用户的信息，比如：用户名、密码、Email地址等等。所述数字证书请求可以使用PKCS10标准。

步骤303，客户端使用USBKey内置的标识证书以及其对应的第一私钥签名所述数字证书请求，以生成第一签名证书请求。

在本步骤中，可以使用PKCS7标准签名所述数字证书请求，生成的所述第一签名证书请求中携带有所述标识证书。

步骤304，客户端将所述第一签名证书请求发送给服务端。

步骤305，服务端接收客户端发送的所述第一签名证书请求。

步骤306，服务端校验所述第一签名证书请求。

本步骤中，服务端从所述第一签名证书请求中携带的标识证书中获取所述标识证书对应的第一公钥，然后使用所述第一公钥校验所述第一签名证书的签名，如果校验成功，则转步骤307，如果校验不成功，则结束流程。

步骤307，服务端校验所述标识证书的合法性。

本步骤中，服务端从是标识证书中获取所述标识证书的发行者。具体地，以所述标识证书是USBKey生产厂商颁发的为例，所述标识证书的发行者为所述USBKey生产厂商。服务端进而根据所述USBKey生产厂商查找对应的子CA证书，即查找所述USBKey生产厂商的证书。具体地，可以在服务端上预先存储各个USBKey生产厂商的证书。如果根据标识证书的发行者没有查找到所述USBKey生产厂商的证书，则结束流程。如果根据所述标识证书查找到所述USBKey生产厂商的证书，则从所述USBKey生产厂商的证书中获取USBKey生产厂商的公钥，本申请中称之为第二公钥，然后使用所述第二公钥验证所述标识证书是否合法。具体地，合法的标识证书会带有USBKey生产厂商签名，所以可以使用USBKey生产厂商的公钥，即所述第二公钥验证所述标识证书的合法性，如果所述标识证书合法，则转步骤308。如果所述标识证书不合法，则结束流程。

在本申请的另一种实施方式中，也可以使用USBKey的序列号来验证所述标识证书的合法性。具体地，USBKey生产厂商可以将USBKey的序列号存在所述标识证书中，比如将所述标识证书的主题设为USBKey的序列号。然后将所述序列号和标识证书对应的第一公钥的对应关系记录下来，并让服务端预先存储。在校验标识证书的合法性时，服务端从所述标识证书中获取USBKey的序列号，然后查看本设备上是否存储有所述序列号和第一公钥的对应关系，如果有，则确认所述标识证书合法，转步骤308。如果没有，则结束流程。使用序列号来验证标识证书的合法性，在USBKey生产厂商的私钥泄露时，攻击者仍无法伪造序列号以及所述第一公钥的对应关系，可以进一步提高USBKey的安全性。

步骤308，服务端校验所述数字证书请求。

本步骤中，服务端使用所述数字证书请求中携带的所述第三公钥校验所述第三签名，如果校验成功，则确认所述USBKey合法，转步骤309。如果校验失败，则结束流程。

步骤309，服务端颁发数字证书。

步骤310，客户端将所述数字证书写入所述USBKey。

与上述USBKey数字证书写入方法相对应，在本申请另一实施例中，提供一种USBKey数字证书写入装置400。请参考图4和图5，所述装置400应用在服务端上，包括有：接收单元401、校验单元402以及颁发单元403。

其中，所述接收单元401，接收客户端发送的第一签名证书请求，所述第一签名证书请求由客户端使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求而生成。

所述校验单元402，根据所述第一签名证书请求校验所述USBKey是否合法。

所述颁发单元403，在校验所述USBKey合法时，颁发数字证书，以供客户端将所述数字证书写入所述USBKey。

进一步地，所述校验单元402，具体校验所述第一签名证书请求；

在校验所述标识证书合法时，校验所述数字证书请求；

在校验所述数字证书请求成功时，确认所述USBKey合法。

进一步地，所述校验单元402校验所述第一签名证书请求包括：获取所述第一签名证书请求中携带的所述标识数字证书对应的第一公钥；

使用所述第一公钥校验所述第一签名证书请求。

进一步地，所述校验单元402校验所述标识证书的合法性包括：

从所述标识证书中获取所述标识证书的发行者；

查找所述发行者对应的子CA证书；

从所述标识证书中获取所述USBKey的序列号；

在本申请另一实施例中，提供一种USBKey数字证书写入装置500。请参考图6和图7，所述装置应用在客户端上，包括有：签名单元501、发送单元502以及写入单元503。

其中，所述签名单元501，使用USBKey内置的标识数字证书及其对应的第一私钥签名数字证书请求，以生成第一签名证书请求。

所述发送单元502，将所述第一签名证书请求发送给服务端，以供服务端校验所述USBKey是否合法。

所述写入单元503，将服务端在校验所述USBKey合法时颁发的数字证书写入所述USBKey。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本公开方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

请参考图8，本申请还提供一种USBKey。所述USBKey包括有：USBKey接口、USBKey芯片以及存储模块，当然，所述USBKey内还可能包括有硬件电路等。所述存储模块通常可以设置在USBKey芯片上，用于存储各种数字证书。

具体地，所述USBKey的存储模块中内置有标识数字证书以其对应的第一私钥，以供客户端根据所述标识数字证书以及对应的第一私钥生成第一签名证书请求；

所述客户端通过所述USBKey接口与USBKey连接。

所述USBKey的上述具体实现可以参照本申请方法实施例中的描述，在此不再赘述。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种USBKey数字证书写入方法，其特征在于，所述方法包括：

根据所述第一签名证书请求校验所述USBKey是否合法；

2.根据权利要求1所述的方法，其特征在于，

所述根据所述第一签名证书请求校验所述USBKey的合法性包括：

校验所述第一签名证书请求；

如果校验所述标识证书合法，则校验所述数字证书请求；

如果校验所述数字证书请求成功，则确认所述USBKey合法。

3.根据权利要求2所述的方法，其特征在于，

所述校验所述第一签名证书请求包括：

使用所述第一公钥校验所述第一签名证书请求。

4.根据权利要求2所述的方法，其特征在于，

所述校验所述标识证书的合法性包括：

从所述标识证书中获取所述标识证书的发行者；

查找所述发行者对应的子CA证书；

5.根据权利要求3所述的方法，其特征在于，

所述校验所述标识证书的合法性包括：

从所述标识证书中获取所述USBKey的序列号；

如果是，则校验所述标识证书合法。

6.一种USBKey数字证书写入方法，其特征在于，所述方法包括：

7.一种USBKey数字证书写入装置，其特征在于，所述装置包括：

8.根据权利要求7所述的装置，其特征在于，

所述校验单元，具体校验所述第一签名证书请求；

在校验所述标识证书合法时，校验所述数字证书请求；

在校验所述数字证书请求成功时，确认所述USBKey合法。

9.根据权利要求8所述的装置，其特征在于，

所述校验单元校验所述第一签名证书请求包括：获取所述第一签名证书请求中携带的所述标识数字证书对应的第一公钥；

使用所述第一公钥校验所述第一签名证书请求。

10.根据权利要求8所述的装置，其特征在于，

所述校验单元校验所述标识证书的合法性包括：

从所述标识证书中获取所述标识证书的发行者；

查找所述发行者对应的子CA证书；

11.根据权利要求6所述的装置，其特征在于，

所述校验单元校验所述标识证书的合法性包括：

从所述标识证书中获取所述USBKey的序列号；

12.一种USBKey数字证书写入装置，其特征在于，所述装置包括：

13.一种USBKey，包括：USBKey接口、USBKey芯片以及存储模块，其特征在于，

所述客户端通过所述USBKey接口与USBKey连接。

14.根据权利要求13所述的USBKey，其特征在于，

所述USBKey芯片根据客户端的请求生成第三私钥和对应的第三公钥，以供客户端根据所述第三私钥和第三公钥生成数字证书请求；以供客户端根据所述标识数字证书以及对应的第一私钥，签名所述数字证书请求生成所述第一签名证书请求。

15.根据权利要求13所述的USBKey，其特征在于，

所述USBKey芯片根据客户端的指令，将服务端在根据所述第一签名证书请求验证所述USBKey合法时颁发的数字证书存储在所述存储模块中。

16.根据权利要求13所述的USBKey，其特征在于，

所述标识数字证书是USBKey生产厂商或第三方CA颁发的。