CN105337735B - 数字证书处理及校验的方法和装置 - Google Patents

数字证书处理及校验的方法和装置 Download PDF

Info

Publication number
CN105337735B
CN105337735B CN201410225581.9A CN201410225581A CN105337735B CN 105337735 B CN105337735 B CN 105337735B CN 201410225581 A CN201410225581 A CN 201410225581A CN 105337735 B CN105337735 B CN 105337735B
Authority
CN
China
Prior art keywords
digital certificate
user
service server
service
abstract
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201410225581.9A
Other languages
English (en)
Other versions
CN105337735A (zh
Inventor
周志章
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Advanced New Technologies Co Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to CN201410225581.9A priority Critical patent/CN105337735B/zh
Priority to TW103133271A priority patent/TWI670622B/zh
Priority to US14/721,484 priority patent/US10362020B2/en
Priority to JP2016566252A priority patent/JP6533236B2/ja
Priority to PCT/US2015/032396 priority patent/WO2015183790A1/en
Priority to EP15799786.7A priority patent/EP3149888B1/en
Publication of CN105337735A publication Critical patent/CN105337735A/zh
Application granted granted Critical
Publication of CN105337735B publication Critical patent/CN105337735B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/568—Storing data temporarily at an intermediate stage, e.g. caching

Abstract

本申请提供一种数字证书处理及校验的方法和装置，包括：采集用户的数字证书；对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；将所述数字证书摘要进行缓存；响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。采用本申请的技术方案，能够把数字证书的校验操作与具体的业务操作放在一起执行，减少了证书校验次数，并且减少了执行具体业务的请求数量。

Description

数字证书处理及校验的方法和装置
技术领域
本申请涉及互联网技术领域，尤其涉及一种数字证书处理及校验的方法和装置。
背景技术
目前，很多安全性要求较高的网站都要求用户使用数字证书产品。数字证书按存储方式可以分为两类，一类是存储在硬件介质中的数字证书，例如USB Key,通常被称为“硬证书”；还有一类是存储(安装)在客户端本地(如台式电脑、笔记本电脑等)的数字证书，通常被称为“软证书”。对于安全性要求比较高的操作，都会采用数字证书进行二次校验的方式来确保用户操作的安全性。然而，对于安装在客户端本地的数字证书，由于证书的校验和处理逻辑在服务端，因此，在进行高安全性操作之前，都需要先采集安装在客户端本地的证书，再提交到服务器端进行证书的匹配校验。采用这种方式不仅会有大量数据在网络中传输，导致网络流量浪费,并且在进行每个高安全性操作前都需要多加载一个证书采集提交步骤。
对于这一问题，现有的解决方案是在用户登录之后进行证书采集及提交，再对证书进行校验，并将校验结果缓存下来，具体可以如图1所示，图1为现有的数字证书校验方案中浏览器和相应的服务器进行交互的示意图，由于需要进行数字证书校验，因此，要完成用户登录需要执行的步骤包括：在步骤S110处请求登录、在步骤S120处采集证书信息、在步骤S130处提交证书信息、在步骤S140处校验证书并缓存证书校验结果、在步骤S150处响应用户的操作发起相应的业务请求以及在步骤S160处执行业务。
图1所示方案的缺陷显而易见：1、每次用户登录，客户端都需要执行证书采集和证书提交操作，假如在登录的用户中，只有20％的用户由于进行安全性要求较高的操作而需要进行证书校验的话，就意味着有80％的证书提交和证书校验操作是浪费掉的。2、数字证书的容量较大，将采集到的证书内容提交到服务器端进行校验时，一般需要将证书放到表单项里边用POST的方式提交到服务器。
发明内容
本申请的主要目的在于提供一种数字证书处理以及校验的方法和装置，以解决现有技术存在的证书提交和证书校验操作浪费问题以及数字证书容量较大的问题，其中：
本申请的一个方面提供一种数字证书处理方法，包括：采集用户的数字证书；对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；将所述数字证书摘要进行缓存；响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。
本申请一个方面还提供一种数字证书处理装置，包括：采集模块，用于采集用户的数字证书；摘要模块，用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；缓存模块，用于将所述数字证书摘要进行缓存；发送模块，用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。
本申请的另一方面提供一种数字证书校验方法，包括：客户端采集用户的数字证书；客户端对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；客户端将所述数字证书摘要进行缓存；客户端响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求；业务服务器接收所述业务请求；当所述业务请求所对应的业务为需要进行数字证书校验的业务时，业务服务器对所述数字证书摘要进行校验。
本申请的另一方面还提供一种数字证书校验系统，包括：客户端，包括：采集模块，用于采集用户的数字证书；摘要模块，用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；缓存模块，用于将所述数字证书摘要进行缓存；发送模块，用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求；业务服务器，包括：接收模块，用于接收所述业务请求；校验模块，用于当所述业务请求所对应的业务为需要进行数字证书校验的业务时，对所述数字证书摘要进行校验。
与现有技术相比，根据本申请的技术方案存在以下有益效果：
1、把数字证书的校验操作与具体的业务操作放在一起执行，减少了证书校验次数。
2、不再需要通过POST页面来提交证书信息，减少了执行具体业务的请求数量。
3、将数字证书摘要进行缓存，使用户登录后进行的每次操作都会附带证书摘要，以便在需要的时候可以随时进行证书校验。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1是现有的数字证书校验方案中客户端的浏览器与服务器进行交互的示意图；
图2是根据本申请一个实施例的数字证书处理方法的流程图；
图3是根据本申请一个实施例的数字证书校验方法的流程图；
图4是根据本申请另一实施例的数字证书校验方法中浏览器与服务器进行交互的示意图；
图5是根据本申请实施例的数字证书处理装置的结构图；以及
图6是根据本申请实施例的数字证书校验系统的结构图。
具体实施方式
本申请的主要思想在于，将数字证书的采集结果进行摘要计算，并对计算生成的数字证书摘要进行缓存，从而用户每进行一个操作，浏览器都会向相应的服务器发送附带该数字证书摘要的请求，进而当用户的操作为需要进行数字证书校验的操作时，服务器能够获取该数字证书摘要，并进行数字证书校验。
为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
根据本申请的实施例，提供了一种数字证书处理方法。
参考图2，图2是根据本申请一个实施例的数字证书处理方法的流程图。本申请的技术方案可以应用于安全性要求较高的网站或网页应用(例如，数据交互应用)中，对用户的数字证书进行校验，例如，通过浏览器使用某一网页应用时，对该用户进行的特定操作进行数字证书校验，即，验证该用户的数字证书。
在步骤S210处，采集用户的数字证书。
具体地，当用户在客户端(例如，台式电脑、笔记本电脑等)上通过浏览器访问某一网站时，可以通过浏览器控件采集安装在客户端本地的数字证书。
根据本申请的一个实施例，当用户进行登录操作时，可以向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器可以是同一服务器或者是不同的服务器。
在步骤S220处，对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要。也即是说，利用特定摘要算法对数字证书的采集结果进行摘要计算，以生成该用户的数字证书摘要。
通过摘要计算可以将容量较大的数字证书内容运算成容量较小的内容。例如，可以利用MD5(Message-Digest Algorithm5，消息摘要算法第五版)算法将数字证书的采集结果运算为一固定长度的消息摘要(例如，一固定长度的字符串)，即数字证书摘要。
应当注意，本申请不限于此，而是还可以采用任意适用于本申请的摘要算法对数字证书的采集结果进行摘要计算，例如，除了MD5算法外，还可以采用SHA(Secure HashAlgorithm，安全散列算法)等算法。
在步骤S230处，将所述数字证书摘要进行缓存。具体地，可以将生成的数字证书摘要缓存到Cookie文件中。
在步骤S240处，响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。
具体地，用户通过浏览器在网页上每进行一个操作，浏览器都可以响应该用户的操作，向业务服务器发送相应于该操作的业务请求，浏览器可以将生成的该用户的数字证书摘要放在该请求中一起发送给业务服务器。由于浏览器的每一次请求都可以伴随Cookie传递，因此，可以将生成的数字证书摘要缓存至Cookie文件中，当浏览器响应于该用户的操作，向业务服务器发送与该操作相应业务请求时，就可以将包含该数字证书摘要的Cookie伴随该业务请求中一起发送给业务服务器。当业务服务器接收到该业务请求时，可以判断该业务请求所对应的业务是否为需要进行数字证书校验的业务，如果该业务请求所对应的业务不是需要进行数字证书校验的业务，则业务服务器可以直接执行该业务，如果所述业务请求所对应的业务为需要进行数字证书校验的安全性要求较高的业务(例如，支付应用的支付、转账、提现等)，则业务服务器可以获取该用户的数字证书摘要进行校验，以确定是否可以执行该业务，如果校验通过，则该业务服务器执行该业务；如果校验失败，则可以返回相关提示。
其中，业务服务器对所述数字证书摘要进行校验可以进一步包括：利用生成所述数字证书摘要所采用的摘要算法对保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定校验失败。例如，生成该用户的数字证书摘要所采用的算法为MD5，则利用MD5算法对该数字证书进行摘要计算，再将进行摘要计算的结果与从该请求中获取到的该用户的数字证书摘要进行比对，如果二者相同，则确定校验通过，如果二者不同，则确定数字证书校验失败。
根据本申请的实施例，还可以在用户进行登录操作(即，用户利用账号和密码登录该网站)时，再采集安装在该客户端本地的数字证书。也就是说，当用户登录时，再执行步骤S210，进而再依次执行步骤S220～240。
具体而言，当用户通过客户端的浏览器登录网站或网页应用时，浏览器可以向该网站的登录服务器发送登录请求，登录服务器接收到该请求，可以在进行验证用户账号、密码等操作并执行用户登录时，向浏览器回传一个脚本，以使浏览器通过执行该脚本进行采集用户的数字证书、生成数字证书摘要并将生成的数字证书摘要以及缓存该数字证书摘要操作。该脚本可以为利用脚本语言编写的执行代码，登录服务器可以将该脚本放在向该客户端返回的网页数据中，回传给该客户端的浏览器，浏览器接收到业务服务器回传的网页数据(例如，登录后的页面的数据)时执行该脚本，就会对安装在客户端的数字证书进行采集以及对证书采集结果进行摘要计算生成证书摘要，并将该证书摘要缓存到Cookie中。由于已对数字证书的摘要进行缓存，因此，在以后的登录过程中，无需再对数字证书进行采集，只需从缓存中读取所述数字证书的摘要。
本申请还提供了一种数字证书的校验方法。
参考图3，图3是根据本申请一个实施例的数字证书校验方法的流程图。
在步骤S310处，客户端采集用户的数字证书。
具体地，当用户通过客户端上的浏览器访问某一网站时，可以通过浏览器控件采集安装在客户端本地的数字证书。并且其中，可以在用户进行登录操作(即，用户利用账号和密码登录该网站)时，再采集安装在该客户端本地的数字证书。
在步骤S320处，客户端对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要。
具体而言，客户端可以利用特定摘要算法对数字证书的采集结果进行摘要计算，以生成该用户的数字证书摘要。例如，可以利用MD5(Message-DigestAlgorithm5，消息摘要算法第五版)算法将数字证书的采集结果运算为一固定长度的消息摘要，即数字证书摘要。
在步骤S330处，客户端将所述数字证书摘要进行缓存。
根据本申请的实施例，可以将生成的数字证书摘要缓存到Cookie文件中。
在步骤S340处，客户端响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求。
用户通过浏览器每进行一个操作，客户端的浏览器都可以响应该用户的操作，向业务服务器发送相应于该操作的业务请求，浏览器可以将生成的该用户的数字证书摘要放在该请求中一起发送给业务服务器。具体而言，浏览器的每一次请求都可以伴随Cookie传递，因此，可以将生成的数字证书摘要缓存至Cookie文件中，当浏览器响应于该用户的操作向业务服务器发送与该操作相应的业务请求时，可以将包含该数字证书摘要的Cookie放在该业务请求中一起发送给业务服务器。
在步骤S350处，业务服务器接收所述业务请求。
在步骤S360处，当所述业务请求所对应的业务为需要进行数字证书校验的业务时，业务服务器对所述数字证书摘要进行校验。
具体而言，当业务服务器接收到该业务请求时，判断该业务请求所对应的业务是否为需要进行数字证书校验的业务，如果该业务请求所对应的业务不是需要进行数字证书校验的业务，则业务服务器可以直接执行该业务，如果所述业务请求所对应的业务为需要进行数字证书校验的业务，例如，支付、转账、提现等安全性要求较高的业务，则业务服务器可以从该请求中(例如，从该请求携带的Cookie中)提取该用户的数字证书摘要进行校验，以确定是否可以执行该业务。
其中，业务服务器对所述数字证书摘要进行校验可以进一步包括：利用生成所述数字证书摘要所采用的摘要算法对保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则可以确定校验通过，如果不同，则确定数字证书校验失败。
在步骤S370处，如果校验通过，则业务服务器可以执行该业务。如果数字证书校验失败，则可以向客户端返回相关提示。
下面结合图4对本申请的数字证书校验方法进行详细描述。图4是根据本申请另一实施例的数字证书校验方法中浏览器与服务器进行交互的示意图。其中，登录服务器和业务服务器可以是同一服务器或者可以是不同的服务器，在图4中将二者示为两个服务器。其中，登录服务器可以为执行用户登录的服务器，业务服务器可以为执行特定业务的服务器。
如图4所示，在步骤S410处，当用户进行登录操作时，浏览器可以发送登录请求到登录服务器，请求登录服务器执行用户的登录。登录服务器验证用户的账号、密码等是否匹配，如果匹配，则执行用户的登录，并且还可以向该浏览器返回登录成功后的页面内容，浏览器可以根据登录服务器返回的数据进行页面渲染和显示。
在步骤S420处，客户端的浏览器采集安装在客户端本地的数字证书、对数字证书的采集结果进行摘要计算生成数字证书摘要，并将该数字证书摘要进行缓存。其中，浏览器可以将生成的数字证书摘要缓存到Cookie文件中。
根据本申请的实施例，可以如图3所示，在步骤S410′处，当用户通过客户端的浏览器登录网站或网页应用时，浏览器可以向该网站的登录服务器发送登录请求，登录服务器可以接收该登录请求，并根据该登录请求执行所述用户的登录。登录服务器可以再进行验证用户账号、密码等操作，从而在验证通过的情况下执行所述用户的登录时，向该客户端的浏览器回传一个脚本，以使该浏览器通过执行该脚本进行采集用户的数字证书、生成数字证书摘要以及缓存该数字证书摘要的操作(参考图4中的步骤S410′)。其中，该脚本可以为利用脚本语言编写的执行代码，可以将该脚本放在向该客户端返回的网页数据中，回传给该客户端的浏览器，浏览器接收到服务器回传的网页数据(例如，登录后的页面的数据)时执行该脚本，就会对安装在客户端的数字证书进行采集以及对证书采集结果进行摘要计算生成证书摘要，并将该证书摘要缓存到Cookie中。
以下是根据本申请的一个实施例的缓存证书摘要的脚本的示例：
document.cookie＝”certDigest＝”+certDigest
在步骤S430处，客户端的浏览器响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。
根据本申请的一个实施例，该业务服务器可以为执行所述用户进行的操作的相应的业务服务器，例如，如果用户进行的操作为转账，则该业务服务器可以为执行转账业务的服务器，即，转账服务器，如果用户进行的操作为支付，则该业务服务器可以为执行支付业务的服务器，即，支付服务器。浏览器可以根据用户所进行的操作，向相应的业务服务器发送包含该数字证书摘要的业务请求，所述业务请求所请求的业务可以为与该用户所进行的操作相应的业务，例如，该用户进行的操作为转账，则浏览器向转账服务器发送转账请求，浏览器可以将包含该用户的数字证书摘要的Cookie文件放在该请求中一起发送给转账服务器。
在步骤S440处，业务服务器接收所述业务请求，当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。也就是说，当业务服务器接收到该业务请求时，判断该业务请求所对应的业务是否为需要进行数字证书校验的业务，如果该业务请求所对应的业务不是需要进行数字证书校验的业务，则业务服务器可以直接执行该业务，如果该业务请求所对应的业务为需要进行数字证书校验的业务，例如支付、转账、提现等安全性要求较高的业务时，该业务服务器可以从该请求中获取该用户的数字证书摘要进行校验，以确定是否可以执行该业务。例如，用户进行的操作为转账时，转账服务器可以从浏览器发送的转账请求所包含的Cookie中获取该用户的数字证书摘要，并对该数字证书摘要进行校验。
其中，业务服务器对所述数字证书摘要进行校验可以进一步包括：利用生成所述数字证书摘要所采用的摘要算法对保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定校验失败。
例如，生成该用户的数字证书摘要所采用的算法为MD5，则利用MD5算法对该数字证书进行摘要计算，再将进行摘要计算的结果与从该请求中获取到的该用户的数字证书摘要进行比对，如果二者相同，则确定校验通过，如果二者不同，则确定数字证书校验失败。
在步骤S450处，如果校验通过，则业务服务器执行所述业务。即，如果数字证书校验通过，则业务服务器可以根据浏览器发送的业务请求，执行与该用户进行的操作相应的业务。如果校验失败，则可以向该浏览器返回相应的提示，如，校验失败提示。
将图4与图1进行对比可见，对于客户端的浏览器，只需要采集证书、生成证书摘要并缓存，不再需要通过POST页面提交证书信息，减少了向服务器请求的次数；对于登录服务器，只需要执行用户登录，无需再做登录之外的校验证书以及缓存证书校验结果的操作。
图5示意性地示出了根据本申请一个实施例的数字证书处理装置的结构框图。如图5所示，该装置500可以包括：采集模块510、摘要模块520、缓存模块530以及发送模块540。
其中，采集模块510可以用于采集用户的数字证书。
摘要模块520可以用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要。
缓存模块530可以用于将所述数字证书摘要进行缓存。
发送模块540可以用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便当所述业务请求所对应的业务为需要进行数字证书校验的业务时，所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务。
根据本申请的一个实施例，所述发送模块540可以进一步用于当用户进行登录操作时，向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器可以是同一服务器或者可以是不同的服务器。
根据本申请的一个实施例，所述采集模块510可以进一步用于当用户进行登录操作时，采集用户的数字证书，并且其中，所述缓存模块530可以进一步用于：将所述数字证书摘要缓存至Cookie中。
根据本申请的一个实施例，对数字证书的采集结果进行摘要计算所采用的摘要算法可以包括：MD5。并且其中，所述业务服务器可以进一步被配置成：利用生成所述数字证书摘要所采用的摘要算法将保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定数字证书校验失败。
图6示意性地示出了根据本申请一个实施例的数字证书校验系统的结构框图。如图6所示，该系统600可以包括：客户端610和业务服务器620。
客户端610可以包括：采集模块611、摘要模块612、缓存模块613以及发送模块614。
其中，采集模块611可以用于采集用户的数字证书。
摘要模块612可以用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要。
缓存模块613可以用于将所述数字证书摘要进行缓存。
发送模块614可以用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求。
业务服务器620可以包括：接收模块621和校验模块622。
其中，接收模块621可以用于接收所述业务请求。
校验模块622可以用于当所述业务请求所对应的业务为需要进行数字证书校验的业务时，对所述数字证书摘要进行校验。
根据本申请的一个实施例，所述发送模块614可以进一步用于当所述用户进行登录操作时，向登录服务器发送登录请求。并且其中，系统600还可以包括登录服务器，该登录服务器可以进一步被配置成：接收所述登录请求，并根据所述登录请求执行所述用户的登录。
根据本申请的一个实施例，所述采集模块611可以进一步用于当用户进行登录操作时，采集用户的数字证书。
根据本申请的一个实施例，所述业务服务器620可以进一步包括：执行模块，该模块可以用于在校验通过的情况下执行所述业务。
根据本申请的一个实施例，所述校验模块622可以进一步被配置成：利用生成所述数字证书摘要所采用的摘要算法将保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定书证书校验失败。
由于本实施例的装置所实现的功能基本相应于前述图1至图4所示的方法实施例，故本实施例的描述中未详尽之处，可以参见前述实施例中的相关说明，在此不做赘述。
在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flashRAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括非暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
以上所述仅为本申请的实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (18)

1.一种数字证书处理方法，其特征在于，所述方法应用于客户端，包括：
采集用户的数字证书；
对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；
将所述数字证书摘要进行缓存；
响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务请求对应的业务。
2.根据权利要求1所述的方法，其特征在于，当用户进行登录操作时，向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器是同一服务器或者是不同的服务器。
3.根据权利要求1或2所述的方法，其特征在于，当用户进行登录操作时，采集用户的数字证书，并且其中，将所述数字证书摘要进行缓存进一步包括：将所述数字证书摘要缓存至Cookie中。
4.根据权利要求1所述的方法，其特征在于，对数字证书的采集结果进行摘要计算所采用的摘要算法包括：MD5，并且其中，所述业务服务器对所述数字证书摘要进行校验进一步包括：
利用生成所述数字证书摘要所采用的摘要算法对保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；
如果不同，则确定数字证书校验失败。
5.一种数字证书处理装置，其特征在于，包括：
采集模块，用于采集用户的数字证书；
摘要模块，用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；
缓存模块，用于将所述数字证书摘要进行缓存；
发送模块，用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求，以便所述业务服务器通过对所述数字证书摘要进行校验，从而在校验通过的情况下执行所述业务请求对应的业务。
6.根据权利要求5所述的装置，其特征在于，所述发送模块进一步用于：当用户进行登录操作时，向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器是同一服务器或者是不同的服务器。
7.根据权利要求5或6所述的装置，其特征在于，所述采集模块，进一步用于当用户进行登录操作时，采集用户的数字证书，并且其中，所述缓存模块进一步用于：将所述数字证书摘要缓存至Cookie中。
8.根据权利要求5所述的装置，其特征在于，对数字证书的采集结果进行摘要计算所采用的摘要算法包括：MD5，并且其中，所述业务服务器进一步被配置成：
利用生成所述数字证书摘要所采用的摘要算法将保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；
如果不同，则确定数字证书校验失败。
9.一种数字证书校验方法，其特征在于，包括：
客户端采集用户的数字证书；
客户端对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；
客户端将所述数字证书摘要进行缓存；
客户端响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求；
业务服务器接收所述业务请求；
业务服务器对所述数字证书摘要进行校验。
10.根据权利要求9所述的方法，其特征在于，还包括：
当所述用户进行登录操作时，客户端向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器是同一服务器或者是不同的服务器；
所述登录服务器接收所述登录请求，并根据所述登录请求执行所述用户的登录。
11.根据权利要求9或10任一项所述的方法，其特征在于，当用户进行登录操作时，客户端采集用户的数字证书。
12.根据权利要求9所述的方法，其特征在于，业务服务器在校验通过的情况下执行所述业务请求对应的业务。
13.根据权利要求9所述的方法，其特征在于，业务服务器对所述数字证书摘要进行校验进一步包括：
业务服务器利用生成所述数字证书摘要所采用的摘要算法将保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定数字证书校验失败。
14.一种数字证书校验系统，其特征在于，包括：
客户端，包括：
采集模块，用于采集用户的数字证书；
摘要模块，用于对数字证书的采集结果进行摘要计算，以生成所述用户的数字证书摘要；
缓存模块，用于将所述数字证书摘要进行缓存；
发送模块，用于响应于来自所述用户的操作，向业务服务器发送包含所述缓存的数字证书摘要的业务请求；
业务服务器，包括：
接收模块，用于接收所述业务请求；
校验模块，用于对所述数字证书摘要进行校验。
15.根据权利要求14所述的系统，其特征在于，
所述发送模块，进一步用于当所述用户进行登录操作时，向登录服务器发送登录请求，其中，所述登录服务器和所述业务服务器是同一服务器或者是不同的服务器；
并且其中，所述系统还包括登录服务器，所述登录服务器进一步被配置成：接收所述登录请求，并根据所述登录请求执行所述用户的登录。
16.根据权利要求14或15任一项所述的系统，其特征在于，所述采集模块，进一步用于当用户进行登录操作时，采集用户的数字证书。
17.根据权利要求14所述的系统，其特征在于，所述业务服务器进一步包括：执行模块，用于在校验通过的情况下执行所述业务请求对应的业务。
18.根据权利要求14所述的系统，其特征在于，所述校验模块进一步被配置成：
利用生成所述数字证书摘要所采用的摘要算法将保存在所述业务服务器的所述用户的数字证书进行摘要计算，并将进行摘要计算得到的结果与所述数字证书摘要进行比对，如果相同，则确定校验通过；如果不同，则确定数字证书校验失败。
CN201410225581.9A 2014-05-26 2014-05-26 数字证书处理及校验的方法和装置 Active CN105337735B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201410225581.9A CN105337735B (zh) 2014-05-26 2014-05-26 数字证书处理及校验的方法和装置
TW103133271A TWI670622B (zh) 2014-05-26 2014-09-25 數位憑證處理及校驗的方法和裝置
US14/721,484 US10362020B2 (en) 2014-05-26 2015-05-26 Processing and verifying digital certificate
JP2016566252A JP6533236B2 (ja) 2014-05-26 2015-05-26 デジタル証明書の処理及び検証
PCT/US2015/032396 WO2015183790A1 (en) 2014-05-26 2015-05-26 Processing and verifying digital certificate
EP15799786.7A EP3149888B1 (en) 2014-05-26 2015-05-26 Processing and verifying digital certificate

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410225581.9A CN105337735B (zh) 2014-05-26 2014-05-26 数字证书处理及校验的方法和装置

Publications (2)

Publication Number Publication Date
CN105337735A CN105337735A (zh) 2016-02-17
CN105337735B true CN105337735B (zh) 2019-06-07

Family

ID=54556905

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410225581.9A Active CN105337735B (zh) 2014-05-26 2014-05-26 数字证书处理及校验的方法和装置

Country Status (6)

Country Link
US (1) US10362020B2 (zh)
EP (1) EP3149888B1 (zh)
JP (1) JP6533236B2 (zh)
CN (1) CN105337735B (zh)
TW (1) TWI670622B (zh)
WO (1) WO2015183790A1 (zh)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101642223B1 (ko) * 2015-05-12 2016-07-22 주식회사 수산아이앤티 사설 인증서의 설치를 유도하는 방법
CN106302308B (zh) * 2015-05-12 2019-12-24 阿里巴巴集团控股有限公司 一种信任登录方法和装置
US10771260B2 (en) * 2015-06-16 2020-09-08 Vellitas Llc Systems and methods for digital certificate security
JP6728706B2 (ja) * 2016-01-21 2020-07-22 富士ゼロックス株式会社 情報処理システム、情報処理装置及び情報処理プログラム
US10769267B1 (en) * 2016-09-14 2020-09-08 Ca, Inc. Systems and methods for controlling access to credentials
EP3461073A1 (en) 2017-09-21 2019-03-27 Lleidanetworks Serveis Telemàtics S.A. Platform and method of certification of an electronic notice for electronic identification and trust services (eidas)
US10841305B2 (en) * 2017-10-02 2020-11-17 Blackberry Limited Authenticating for a software service
CN110069729B (zh) * 2017-11-15 2022-07-01 上海优扬新媒信息技术有限公司 一种应用的离线缓存方法和系统
TWI697802B (zh) * 2018-11-12 2020-07-01 臺灣網路認證股份有限公司 依客戶環境選擇資料傳遞方式以進行憑證作業之系統及方法
CN109493098A (zh) * 2018-11-28 2019-03-19 上海中信信息发展股份有限公司 禽类产品数字证书校验方法及装置
CN112291067B (zh) * 2020-11-02 2023-02-07 路玉太 一种业务操作记录及操作验证方法、装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101437228A (zh) * 2008-12-17 2009-05-20 北京握奇数据系统有限公司 基于智能卡的无线业务的实现方法、装置和系统
CN102024102A (zh) * 2010-06-07 2011-04-20 无敌科技(西安)有限公司 一种嵌入式设备中离线drm证书管控的方法
CN102026180A (zh) * 2009-09-15 2011-04-20 中国移动通信集团公司 M2m传输控制方法、装置及系统

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU3712300A (en) * 1999-06-11 2001-01-02 Liberate Technologies Hierarchical open security information delegation and acquisition
AU6620000A (en) * 1999-08-06 2001-03-05 Frank W Sudia Blocked tree authorization and status systems
US7073055B1 (en) 2001-02-22 2006-07-04 3Com Corporation System and method for providing distributed and dynamic network services for remote access server users
JP2003304240A (ja) * 2002-04-10 2003-10-24 Hitachi Ltd 電子データ署名方法及び情報処理システム
US20040030887A1 (en) 2002-08-07 2004-02-12 Harrisville-Wolff Carol L. System and method for providing secure communications between clients and service providers
US7461260B2 (en) * 2002-12-31 2008-12-02 Intel Corporation Methods and apparatus for finding a shared secret without compromising non-shared secrets
US7389530B2 (en) * 2003-09-12 2008-06-17 International Business Machines Corporation Portable electronic door opener device and method for secure door opening
US7546373B2 (en) * 2003-11-14 2009-06-09 Microsoft Corporation Secure dynamic credential distribution over a network
US20060059346A1 (en) * 2004-09-14 2006-03-16 Andrew Sherman Authentication with expiring binding digital certificates
US8701168B2 (en) * 2005-11-21 2014-04-15 Oracle International Corporation Method and apparatus for associating a digital certificate with an enterprise profile
JP2007274403A (ja) * 2006-03-31 2007-10-18 Canon Inc 画像処理装置におけるユーザ証明書登録方法及びユーザ署名付き送信方法
US20090292599A1 (en) * 2006-07-28 2009-11-26 Alastair Rampell Transactional advertising
US20080046739A1 (en) * 2006-08-16 2008-02-21 Research In Motion Limited Hash of a Certificate Imported from a Smart Card
JP2008079091A (ja) * 2006-09-22 2008-04-03 Fujitsu Ltd 電子証明書を用いる認証システム
ATE552685T1 (de) * 2006-11-15 2012-04-15 Research In Motion Ltd Sicheres, auf kundenberechtigungsnachweis basierendes sitzungsauthentifizierungsverfahren und vorrichtung
US10015158B2 (en) 2008-02-29 2018-07-03 Blackberry Limited Methods and apparatus for use in enabling a mobile communication device with a digital certificate
US8386785B2 (en) * 2008-06-18 2013-02-26 Igt Gaming machine certificate creation and management
US10270602B2 (en) * 2008-10-01 2019-04-23 International Business Machines Corporation Verifying and enforcing certificate use
JP2010283575A (ja) * 2009-06-04 2010-12-16 Konica Minolta Business Technologies Inc 認証用プログラム、認証用装置および認証方法
US8237457B2 (en) * 2009-07-15 2012-08-07 International Business Machines Corporation Replacement-gate-compatible programmable electrical antifuse
JP5644770B2 (ja) * 2009-11-09 2014-12-24 日本電気株式会社 アクセス制御システム、サーバ、およびアクセス制御方法
US8613067B2 (en) * 2009-11-17 2013-12-17 Secureauth Corporation Single sign on with multiple authentication factors
US8819848B2 (en) * 2009-11-24 2014-08-26 Comcast Interactive Media, Llc Method for scalable access control decisions
US8645699B2 (en) 2010-03-15 2014-02-04 Blackberry Limited Use of certificate authority to control a device's access to services
US8499155B2 (en) * 2010-03-24 2013-07-30 GM Global Technology Operations LLC Adaptive certificate distribution mechanism in vehicular networks using variable inter-certificate refresh period
US9369458B2 (en) 2012-05-18 2016-06-14 Red Hat, Inc. Web-centric authentication protocol
US9276749B2 (en) * 2012-07-31 2016-03-01 Adobe Systems Incorporated Distributed validation of digitally signed electronic documents
US9332002B1 (en) * 2013-03-14 2016-05-03 Amazon Technologies, Inc. Authenticating and authorizing a user by way of a digital certificate

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101437228A (zh) * 2008-12-17 2009-05-20 北京握奇数据系统有限公司 基于智能卡的无线业务的实现方法、装置和系统
CN102026180A (zh) * 2009-09-15 2011-04-20 中国移动通信集团公司 M2m传输控制方法、装置及系统
CN102024102A (zh) * 2010-06-07 2011-04-20 无敌科技(西安)有限公司 一种嵌入式设备中离线drm证书管控的方法

Also Published As

Publication number Publication date
EP3149888B1 (en) 2019-07-24
US20150341353A1 (en) 2015-11-26
TW201544987A (zh) 2015-12-01
JP2017517956A (ja) 2017-06-29
TWI670622B (zh) 2019-09-01
US10362020B2 (en) 2019-07-23
WO2015183790A1 (en) 2015-12-03
EP3149888A4 (en) 2018-01-10
JP6533236B2 (ja) 2019-06-19
CN105337735A (zh) 2016-02-17
EP3149888A1 (en) 2017-04-05

Similar Documents

Publication Publication Date Title
CN105337735B (zh) 数字证书处理及校验的方法和装置
US10747828B2 (en) Systems and methods for single page application server side renderer
US10567407B2 (en) Method and system for detecting malicious web addresses
US8332952B2 (en) Time window based canary solutions for browser security
US11120107B2 (en) Managing content delivery to client devices
US9459888B2 (en) Implementing browser based hypertext transfer protocol session storage
US20110161825A1 (en) Systems and methods for testing multiple page versions across multiple applications
US9147067B2 (en) Security method and apparatus
CN104714965B (zh) 静态资源去重方法、静态资源管理方法及装置
US8935480B1 (en) Efficiently caching data at a client device
US9954880B2 (en) Protection via webpage manipulation
CN106897053A (zh) 一种代码发布方法与装置
US9787521B1 (en) Concurrent loading of session-based information
US10305760B2 (en) Identifying an analysis reporting message in network traffic
US20230336589A1 (en) Detection of User Interface Imitation
CN109450844B (zh) 触发漏洞检测的方法及装置
CN113411404A (zh) 一种文件下载方法、装置、服务器及存储介质
CN113362173A (zh) 防重机制验证方法、验证系统、电子设备及存储介质
Pan et al. Gray computing: A framework for computing with background javascript tasks
CN104253835A (zh) 用户行为数据采集方法及其系统
US10380217B2 (en) Web service request verification
CN111756744B (zh) H5用户的识别方法、装置、设备及存储介质
CN111368231B (zh) 一种异构冗余架构网站的测试方法及装置
CN114637508A (zh) 基于vue的标签参数传递方法、装置、设备及存储介质
CN108737133A (zh) 用于cdn静态网络修复的方法及装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1219005

Country of ref document: HK

GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20191206

Address after: P.O. Box 31119, grand exhibition hall, hibiscus street, 802 West Bay Road, Grand Cayman, Cayman Islands

Patentee after: Innovative advanced technology Co., Ltd

Address before: A four-storey 847 mailbox in Grand Cayman Capital Building, British Cayman Islands

Patentee before: Alibaba Group Holding Co., Ltd.