CN105516180A - 基于公钥算法的云密钥认证系统 - Google Patents

Abstract

本发明提出了一种基于公钥算法的云密钥认证系统，包括：终端设备对用户进行身份认证，在认证通过后转发业务请求；密钥及证书管理子系统位于云服务器上，存储用户密钥和数字证书；业务子系统将用户鉴别结果和风险鉴别结果，对用户鉴别结果和风险鉴别结果进行分析；密钥及证书管理子系统在接收到响应指令时，向终端设备提供该用户对应的用户密钥和数字证书；终端设备接收并存储用户密钥和数字证书，并利用用户密钥和数字证书与业务系统进行支付交易。本发明使用生物识别模块鉴别用户身份，采用业务服务方的风险鉴定和生物信息鉴别，可根据业务服务方的风险判定和生物信息鉴别结果终止高风险交易，避免损失。

Description

基于公钥算法的云密钥认证系统

技术领域

本发明涉及移动互联网和云计算技术领域，特别涉及一种基于公钥算法的云密钥认证系统。

背景技术

随着智能手机、平板电脑等移动互联网设备的普及，当前消费者需要频繁在移动智能设备上进行消费支付、转账(如微信红包)、理财等个人金融交易。手机上进行支付、转账等金融交易时，缺少使用数字签名技术的身份认证和抗抵赖的有效手段。蓝牙、音码和NFC等智能密码钥匙、智能IC卡设备，虽然理论上可用于上述场景，但是受限于手机型号种类繁多，兼容性差，个人携带和使用繁琐，导致用户体验很差，并没有推广开。将PKI技术和商用密码芯片与可穿戴设备结合，虽然可以减少个人携带的不便性，但是在使用时，仍然会面临和手机兼容适配，以及操作步骤繁多的问题。

目前在手机、平板电脑等个人设备上使用公钥算法和数字认证技术有以下四种方式：

(1)使用文件方式保存数字证书和密钥。使用文件证书可以采用本地加密存储，或者分割之后，在手机和应用系统后台服务器分散加密存储，并在手机端或者服务器合成进行运算。该方案的缺点是用户的私钥以密文的方式保存在手机和后台数据中，被复制之后，可以无法限制攻击者对私钥密文进行破解。集中存储在密钥管理系统的用户私钥，会因密钥数据库被拖库，将所有用户的私钥置于被窃取盗用的风险。

(2)使用音码型、USBOTG和Dock/Lightning等接触式通讯方式，或者使用蓝牙型和NFC等非接触通讯方式，与智能手机对接的传统可视按键型智能密码钥匙。该方案的安全性最高，便利性和兼容性最差。智能密码钥匙产品本身的使用寿命在5年以上，而手机与附件通讯技术的迭代升级周期远远小于3年，各品牌智能手机本身对采用的通讯协议也有一定取舍，所以智能密码钥匙要达到适配和兼容市场上智能手机，需要配置通讯硬件成本已经大大超出了智能密码钥匙本身的成本。

(3)使用NFC和智能IC卡贴卡认证。带有NFC模块的手机，可以通过14443协议与支持NFC的金融IC卡通讯，利用IC卡内置的芯片模块进行身份认证。没有NFC模块的手机不能采用该方案，同时使用起来的便利性也差，因此国内商业银行也在使用HCE技术来代替金融IC卡，应用在消费支付等高频率小额度低风险业务。

(4)使用手机自带安全模块(SE)。支持TrustZone/TEE(trustedexecutionenvironment)技术的手机，可以利用TrustZone作为本机的SE(SecurityElement)，存储用户私钥。该技术方案的安全风险在于智能手机本身被劫持之后，获得Root权限的恶意程序，可以盗用TrustZone里的用户私钥。

发明内容

本发明的目的旨在至少解决所述技术缺陷之一。

为此，本发明的目的在于提出一种基于公钥算法的云密钥认证系统，使用生物识别模块鉴别用户身份，采用业务服务方的风险鉴定和生物信息鉴别，可根据业务服务方的风险判定和生物信息鉴别结果终止高风险交易，避免损失。

为了实现上述目的，本发明的实施例提供一种基于公钥算法的云密钥认证系统，包括：终端设备、密钥及证书管理子系统和业务子系统，所述终端设备用于接收用户的业务请求时，对所述用户进行身份认证，在认证通过后，转发所述业务请求；所述密钥及证书管理子系统位于云服务器上，用于存储用户密钥和数字证书，并在接收到所述业务请求后，向所述业务系统发送针对所述用户的用户鉴别请求和风险鉴别请求；所述业务子系统用于在接收到所述用户鉴别请求和风险鉴别请求后，采集用户的生物识别信息，并将所述生物识别信息与预设信息进行比对以生成用户鉴别结果，以及根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果，将所述用户鉴别结果和风险鉴别结果，对所述用户鉴别结果和风险鉴别结果进行分析，如果判断所述用户鉴别结果和风险鉴别结果所述用户均符合预设标准，则向所述密钥及证书管理子系统发送响应指令，否则发送拒绝指令；所述密钥及证书管理子系统在接收到所述响应指令时，向所述终端设备提供该用户对应的用户密钥和数字证书，在接收到所述拒绝指令时，终止向所述终端设备提供该用户对应的用户密钥和数字证书；所述终端设备还用于接收并存储所述用户密钥和数字证书，并利用所述用户密钥和数字证书与所述业务系统进行支付交易。

进一步，所述终端设备包括：生物识别模块，用于采用指纹认证方式或虹膜认证方式对所述用户进行身份认证。

进一步，所述业务子系统包括：生物信息识别单元和风险控制单元，其中，生物信息识别单元用于采集用户的生物识别信息，并将所述生物识别信息与预设信息进行比对以生成用户鉴别结果；

所述风险控制单元用于根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果。

进一步，所述生物信息识别单元采用人脸识别和/或声纹识别方式，采用所述用户的人脸信息和/或声纹信息进行识别。

进一步，所述终端设备采用可信执行环境TEE模块存储所述用户密钥和数字证书。

进一步，所述密钥及证书管理子系统采用椭圆曲线公钥密码SM2算法或非对称加密RSA算法生成所述用户密钥。

进一步，所述密钥及证书管理子系统包括密码芯片集群，所述密码芯片集群包括多个密码芯片，每个所述密码芯片用于存储一个或多个用户的密钥。

进一步，所述终端设备为手机或平板电脑。

根据本发明实施例的基于公钥算法的云密钥认证系统，采用云端设备取代传统USBKEY等设备，实现云KEY认证系统，将用于数字签名的用户私钥采用商用密码芯片作为载体，私钥在密码芯片内产生、存储和运算，可以确保在密钥生命周期内私钥不可复制，防止用户私钥泄漏；使用集群技术集中管理装载了用户密钥的商密芯片，确保系统的高可用、高冗余、高负载、高并发和高扩展，满足面向移动互联网的海量用户需求；交易签名时，使用手机的生物识别模块鉴别用户身份，采用业务服务方的风险鉴定和生物信息鉴别，可根据业务服务方的风险判定和生物信息鉴别结果终止高风险交易，避免损失；统一管理可直接对第三方接数字认证服务，或通过注册代理服务机构对接，支持2048RSA算法和SM2/3/4算法。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明实施例的基于公钥算法的云密钥认证系统的结构图；

图2为根据本发明实施例的基于公钥算法的云密钥认证系统的示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

本发明提出一种基于公钥算法的云密钥认证系统，该系统提出了一种新的基于商用密码芯片和云计算技术的公钥认证技术模式，以及对应的证书和密钥管理系统，提供身份认证和交易签名。

如图1所示，本发明实施例的基于公钥算法的云密钥认证系统，包括：终端设备1、密钥及证书管理子系统2和业务子系统3。

具体地，终端设备1用于接收用户的业务请求时，对用户进行身份认证，在认证通过后，转发业务请求。在本发明的一个实施例中，终端设备1为手机或平板电脑。

在本发明的一个实施例中，如图2所示，终端设备1包括：生物识别模块11和可信执行环境TEE模块12。具体地，用户需要使用密钥进行身份认证时，通过手机上的接口软件发起调用请求，接口软件调用手机或业务应用方的生物识别接口生物识别模块11对当前使用者进行身份认证。运行在用户手机上的软件接口，该软件接口由密钥及证书管理子系统2签发，运行时通过验证数字签名防止被篡改。该软件接口使用自带生物识别模块11对用户本人进行鉴别，并使用手机自带TEE模块12存储密钥，进行私钥签名、数据加密等密码运算。

生物识别模块11用于采用指纹认证方式或虹膜认证方式对用户进行身份认证。软件接口调用该模块认证手机使用者身份。

可信执行环境TEE模块12存储用户密钥和数字证书。例如：ARMCPU的TrustZone模块。软件接口的软件发行证书和密钥调存储在该模块，并在该模块内进行运算。

接口软件由密钥及证书管理子系统2签发，定期更新证书和密钥，接口软件向云端平台发起业务请求时，需要进行双向身份认证，并对通讯线路进行加密，密钥动态协商，一次一密。手机端提供接口软件和用户管理程序软件，两者都云端平台进行数字签名，防止软件被篡改，接口和管理软件运行前需进行自校验。

密钥及证书管理子系统2位于云服务器上，用于存储用户密钥和数字证书，并在接收到业务请求后，向业务子系统3发送针对用户的用户鉴别请求和风险鉴别请求。

需要说明的是，密钥及证书管理子系统2包括密码芯片集群，密码芯片集群包括多个密码芯片，每个密码芯片用于存储一个或多个用户的密钥。

用户的公私钥在商用密码芯片中产生、存储和计算，在密钥的整个生命周期中，私钥都在密码芯片中。本发明使用国产商用密码芯片组建的密码硬件服务集群设备。通过使用国产商密芯片，确保用户私钥的唯一性和保密性。通过集群技术保证系统的高可用、高冗余、高负载、高并发和高扩展。

在本发明的一个实施例中，密钥及证书管理子系统2采用椭圆曲线公钥密码SM2算法或非对称加密RSA算法生成用户密钥。该密钥为非对称密钥(公私钥对)。

由密钥及证书管理子系统2签发的密钥，用于:(1)鉴别软件接口身份，防止软件接口程序被篡改；(2)软件接口与密钥证书管理系统通讯进行双向身份认证。

数字证书由密钥及证书管理子系统2签发，用于:鉴别软件接口身份，防止软件接口程序被篡改；软件接口与密钥及证书管理子系统2通讯进行双向身份认证。

在本发明的一个实施例中，该数字证书采用X.509标准格式。

业务子系统3为用户提供具体业务服务的一个或多个系统，例如：支付系统、理财系统等等。用户通过手机在业务子系统3进行交易。业务子系统3一般包括多个系统，例如：支付交易，业务子系统3至少包括电商和第三方支付公司。

具体地，业务子系统3在接收到用户鉴别请求和风险鉴别请求后，采集用户的生物识别信息，并将生物识别信息与预设信息进行比对以生成用户鉴别结果，以及根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果，将用户鉴别结果和风险鉴别结果，对用户鉴别结果和风险鉴别结果进行分析，如果判断用户鉴别结果和风险鉴别结果用户均符合预设标准，则向密钥及证书管理子系统2发送响应指令，否则发送拒绝指令。

业务子系统3包括：生物信息识别单元31和风险控制单元32，其中，生物信息识别单元31用于采集用户的生物识别信息，并将生物识别信息与预设信息进行比对以生成用户鉴别结果。其中，生物信息识别单元31采用人脸识别和/或声纹识别方式，采用用户的人脸信息和/或声纹信息进行识别。

生物信息识别单元31为基于大数据的网络生物信息识别系统，例如：人脸识别系统和声纹识别系统。生物信息识别单元与手机自带的生物识别模块11区别在于：在鉴别用户身份时，需要将采集的用户生物识别信息与系统自身存储的数据进行比对，并通过接口将鉴别结果直接提供给密钥及证书管理子系统2。

风险控制单元32用于根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果。

云端平台的密钥及证书管理子系统2接收到请求时，调用业务子系统3的风险控制单元32进行风险评估，确认安全后调用户私钥进行身份认证和签名操作。风险控制单元32

是基于大数据的风险控制系统，例如：电商交易平台、征信平台等。风险控制单元32通过自身数据对交易进行风险评估鉴定，并将鉴定结果直接发送给密钥及证书管理子系统2。

密钥及证书管理子系统2在接收到响应指令时，向终端设备1提供该用户对应的用户密钥和数字证书，在接收到拒绝指令时，终止向终端设备1提供该用户对应的用户密钥和数字证书。

密钥及证书管理子系统2用于对用户密钥的管理和维护，为用户提供：密钥产生和更新服务；向第三方CA申请、撤销、更新数字证书的服务；用户密钥的签名、加解密服务；业务平台的交易验证服务等。该系统支持介入第三方生物信息识别服务和风险控制服务，并根据用户鉴别和风险鉴别结果，提供或终止用户的签名服务。业务子系统3可通过向该系统提供风险警告，来冻结、废止用户的数字证书和密钥，从而防止由攻击用户手机导致的损失。

密钥及证书管理子系统2用于管理用户的密钥和数字证书，并为用户提供数字签名/认证，数据加密解密服务。该服务程序支持接入生物信息识别系统和风险控制系统，并更根据生物信息识别系统和风险控制系统提供结果，响应、拒绝用户手机中软件接口发送的签名请求。业务子系统3可通过向该服务程序发送风险警告，终止签名服务，从而终止交易，防止处于风险失控状态的用户及其手机，造成损失。

该服务程序支持符合国家密码管理局颁布的证书服务接口，支持X.509数字证书，支持PKCS#1、PKCS#3、PKCS#5、PKCS#7、PKCS#8、PKCS#9、PKCS#10、PKCS#11、PKCS#12、PKCS#15标准；支持GM/T0002、GM/T0003、GM/T0004、GM/T0005、GM/T0006、、GM/T0008、GM/T0009、GM/T0010、GM/T0014、GM/T0015、GM/T0016、GM/T0017、GM/T0018、GM/T0019、GM/T0020、GM/T0021、GM/T0027、GM/T0028、GM/T0029、GM/T0030、GM/T0032、GM/T0033、GM/T0034标准。

终端设备1还用于接收并存储用户密钥和数字证书，并利用用户密钥和数字证书与业务子系统3进行支付交易。

在本发明的一个实施例中，终端设备1通过业务交易单元33进行具体交易操作。用户通过终端设备1与业务交易单元33进行交易时，需要通过软件接口调用密钥和证书管理系统进行签名，以提供交易所需的身份认证和抗抵赖凭证。

本发明实施例的基于公钥算法的云密钥认证系统，以商用密码芯片作为用户密钥的唯一载体，并将数字签名作为交易的必备要素，通过统集群技术建设一个的高可用、高冗余、高负载、高并发和高扩展的数字签名加密服务系统，并提供对风险失控的用户和手机等设备的管理控制手段，通过终止签名服务防止风险交易发生，对于多方联动配合的交易，可以提供交易源发控制。当多方交易，数字签名可作为交易各方对风险评估认定的不可抵赖凭证，可以用于事故责任追溯和认定。

根据本发明实施例的基于公钥算法的云密钥认证系统，采用云端设备取代传统USBKEY等设备，实现云KEY认证系统，将用于数字签名的用户私钥采用商用密码芯片作为载体，私钥在密码芯片内产生、存储和运算，可以确保在密钥生命周期内私钥不可复制，防止用户私钥泄漏；使用集群技术集中管理装载了用户密钥的商密芯片，确保系统的高可用、高冗余、高负载、高并发和高扩展，满足面向移动互联网的海量用户需求；交易签名时，使用手机的生物识别模块鉴别用户身份，采用业务服务方的风险鉴定和生物信息鉴别，可根据业务服务方的风险判定和生物信息鉴别结果终止高风险交易，避免损失；统一管理可直接对第三方接数字认证服务，或通过注册代理服务机构对接，支持2048RSA算法和SM2/3/4算法。

本发明实施例的基于公钥算法的云密钥认证系统，具有以下有益效果：

1、用户私钥载体采用商用密码芯片产生、存储和运算，可以确保在密钥生命周期内私钥不可复制；

2、商用密码芯片托管在云端，使用、支持接入业务系统的生物识别和风控系统，降低交易风险；

3、交易过程中采用RSA和SM2算法进行强身份认证，并对交易本身进行数字签名，符合《电子签名法》，并可以达到《网上银行信息系统安全通用规范》与《中国银联移动支付技术规范》的要求；

4、安全级别达到《网上银行信息系统安全通用规范》规定的基本型要求；

5、通过该系统，可以防止用户密钥被复制盗取，通过终止对用户签名服务，达到防止失控状态下的用户手机造成损失。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求极其等同限定。

Claims (8)

1.一种基于公钥算法的云密钥认证系统，其特征在于，包括：终端设备、密钥及证书管理子系统和业务子系统，

所述终端设备用于接收用户的业务请求时，对所述用户进行身份认证，在认证通过后，转发所述业务请求；

所述密钥及证书管理子系统位于云服务器上，用于存储用户密钥和数字证书，并在接收到所述业务请求后，向所述业务系统发送针对所述用户的用户鉴别请求和风险鉴别请求；

所述业务子系统用于在接收到所述用户鉴别请求和风险鉴别请求后，采集用户的生物识别信息，并将所述生物识别信息与预设信息进行比对以生成用户鉴别结果，以及根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果，将所述用户鉴别结果和风险鉴别结果，对所述用户鉴别结果和风险鉴别结果进行分析，如果判断所述用户鉴别结果和风险鉴别结果所述用户均符合预设标准，则向所述密钥及证书管理子系统发送响应指令，否则发送拒绝指令；

所述密钥及证书管理子系统在接收到所述响应指令时，向所述终端设备提供该用户对应的用户密钥和数字证书，在接收到所述拒绝指令时，终止向所述终端设备提供该用户对应的用户密钥和数字证书；

所述终端设备还用于接收并存储所述用户密钥和数字证书，并利用所述用户密钥和数字证书与所述业务系统进行支付交易。

2.如权利要求1所述的基于公钥算法的云密钥认证系统，其特征在于，所述终端设备包括：生物识别模块，用于采用指纹认证方式或虹膜认证方式对所述用户进行身份认证。

3.如权利要求1所述的基于公钥算法的云密钥认证系统，其特征在于，所述业务子系统包括：生物信息识别单元和风险控制单元，其中，生物信息识别单元用于采集用户的生物识别信息，并将所述生物识别信息与预设信息进行比对以生成用户鉴别结果；

所述风险控制单元用于根据当前系统数据对本次交易进行风险评估鉴定以生成风险鉴别结果。

4.如权利要求3所述的基于公钥算法的云密钥认证系统，其特征在于，所述生物信息识别单元采用人脸识别和/或声纹识别方式，采用所述用户的人脸信息和/或声纹信息进行识别。

5.如权利要求1所述的基于公钥算法的云密钥认证系统，其特征在于，所述终端设备采用可信执行环境TEE模块存储所述用户密钥和数字证书。

6.如权利要求1所述的基于公钥算法的云密钥认证系统，其特征在于，所述密钥及证书管理子系统采用椭圆曲线公钥密码SM2算法或非对称加密RSA算法生成所述用户密钥。

7.如权利要求1或6所述的基于公钥算法的云密钥认证系统，其特征在于，所述密钥及证书管理子系统包括密码芯片集群，所述密码芯片集群包括多个密码芯片，每个所述密码芯片用于存储一个或多个用户的密钥。

8.如权利要求1所述的基于公钥算法的云密钥认证系统，其特征在于，所述终端设备为手机或平板电脑。