CN105743855B - 一种互联网应用设备的安全控制系统及其发行、应用方法 - Google Patents

Abstract

本发明人公开了一种互联网应用设备的安全控制系统及其发行、应用方法，系统包括：一客户端层模块；一插件模块；一终端模块；一应用层模块；一平台层模块；一专网层模块；其中，所述的平台证书由所述行业数字证书签发，所述应用证书由所述平台证书签发，所述终端证书由平台证书签发，所述通信证书由平台证书签发。本发明的一种互联网应用设备的安全控制系统及其发行、应用方法，实现了对社保卡个人终端这种互联网应用设备完整的安全控制，这个控制以插件为中心，保障可信网络应用环境；保障行业智能卡网络应用环境的建设、管理、运营；实现了以智能卡和终端设备等硬件为基础的可信应用环境中的智能卡远程读写应用，具有较好的可实施性，安全性较高。

Description

一种互联网应用设备的安全控制系统及其发行、应用方法

技术领域

本发明涉及互联网智能卡技术领域，尤其涉及一种互联网应用设备的安全控制系统及其发行、应用方法。

背景技术

社会保障卡，是由人力资源和社会保障部统一规划，由各地人力资源和社会保障部门面向社会发放的集成电路卡，采用对称密钥模式，读写设备需装载PSAM进行安全控制管理，PSAM具有严格的发行和管理制度、流程，以保障机构单位、商业应用的安全。社保卡个人终端，是针对社会保障卡互联网应用专门开发的便携式设备(又称IC卡互联网支付终端、迷你付)，面向个人大量发行，宜采用适合于互联网的非对称密钥模式，不带PSAM卡，依靠远程方式完成桌面读写器的各项功能。

社保卡个人终端在不带PSAM卡的前提下要实现安全的互联网智能卡应用，需要设计专门的信息安全控制体系，以符合社会保障卡应用规范并保证安全。智能卡安全技术，适用于卡片和设备，满足线下脱机应用的安全；数字证书技术，发行证书并对证书进行网络验证，可以用各种介质和格式对证书进行存储，适用于保障在线的应用或通信安全；银联迷你付方案只关注于支付环节，作为通用功能对应用系统不进行管理，对于社会保障卡行业应用来说，除支付以外，还有身份认证、业务办理等大量涉卡业务需要支持，同时由于个人信息的敏感性和社会保障的民生基础性质，对应用系统需要进行管理。

社保卡个人终端的互联网应用，就是在互联网安全体系的基础上实现智能卡的安全应用，需要独立将智能卡和数字证书安全技术进行融合，将金融迷你付模式和行业应用的需求进行融合，设计出完善的规则和流程，实现应用的安全。

发明内容

本发明要解决的技术问题是解决了设备的安全控制；应用的安全控制；卡应用的安全控制；卡支付的安全控制，要使卡片既能用于人社、卫生等行业应用，还能用于金融支付，并且是安全的，符合金融行业规范的问题。

为实现上述目的，本发明采用以下技术方案：一种互联网应用设备的安全控制系统，其包括：

一客户端层模块，所述的客户端层模块包括：一客户程序模块，所述客户程序模块是基于B/S模式；一插件模块，所述的插件模块加载有数字签名；一终端模块，所述的终端模块加载有终端证书和通信证书；

一应用层模块，所述的应用层模块加载有应用证书，在通信平台的支撑下，能够动态的生成或发布客户程序，使终端模块与PSAM卡进行应用操作；

一平台层模块，所述的平台层模块包括一证书注册管理系统模块和一认证系统模块，所述的认证系统模块加载有平台证书和通信证书；

一专网层模块，所述的专网层模块包括一证书签发系统模块和一加密机，所述的证书签发系统模块加载有行业数字证书；

其中，所述的平台证书由所述行业数字证书签发，所述应用证书由所述平台证书签发，所述终端证书由平台证书签发，所述通信证书由平台证书签发。

其中，证书签发系统模块采用PKI公钥密码体制的标准化信息系统。

其中，所述的加密机加载有PSAM。

其中，所述的插件模块上的数字签名包括插件地址，插件程序，和应用配置信息。

一种互联网应用设备的安全控制系统安全发行方法，其包括如下步骤：

第一步，安全层次管理，系统首先在专网层完成证书签发系统和加密机的初始化，然后对注册管理系统初始化，最后对认证系统初始化；

第二步，应用注册，应用系统在应用平台中进行注册，获取应用证书；

第三步，终端发行，在生产和物流环节，由平台证书对终端设备签发临时证书；

第四步，终端注册，用终端证书替换临时证书，并在认证系统中激活终端设备。

一种互联网应用设备的安全控制系统安全发行方法，其中，所述第四步的终端注册，若终端设备具备金融功能，插件模块激活后，自动检查终端模块中的应用环境。

一种互联网应用设备的安全控制系统安全应用方法，其包括如下步骤：

第一步，平台认证，运行客户程序，插件模块初始化，通过私有握手协议确认平台可信；

第二步，应用认证，插件模块寻找应用证书，并将应用证书提交给平台，平台对应用证书进行认证；

第三步，终端认证，在平台中对终端证书进行认证；

第四步，插件认证，平台通过数字签名进行插件认证，完成认证之后，建立通信；

第五步，建立平台与终端安全通道，平台与重点设备进行密钥交换和信息传递；

第六步，卡片与PSAM安全交互，对智能卡进行读写操作；

第七步，金融拓展，如卡片需要进行金融操作，直接切换至金融系统。

其中，所述的第四步插件认证过程，平台证书，应用证书和终端证书采用非对称算法的签名和验签。

其中，所述第六步卡片与PSAM安全交互中，双方采用MAC码验证技术。

本发明的一种互联网应用设备的安全控制系统，实现了对社保卡个人终端这种互联网应用设备完整的安全控制，这个控制以插件为中心，包含设备、应用和平台，保障可信网络应用环境；实现了对社保卡个人终端这种互联网应用设备、应用系统的安全管理，这些管理以平台为中心，由RA和认证系统协同工作实现，保障行业智能卡网络应用环境的建设、管理、运营；实现了以智能卡和终端设备等硬件为基础的可信应用环境中的智能卡远程读写应用；方法和系统符合现有技术规范和管理体制，具有较好的可实施性，安全性较高。

附图说明

图1为本发明互联网应用设备的安全控制系统的结构图；

图2为本发明互联网应用设备的安全控制系统的安全发行方法的流程图；

图3为本发明互联网应用设备的安全控制系统的安全应用方法的流程图。

具体实施方式

为了更充分理解本发明的技术内容，下面结合具体实施例对本发明的技术方案作进一步介绍和说明。

请参阅附图1，一种互联网应用设备的安全控制系统，其包括：一客户端层模块1，一引用层模块2，一平台层模块3以及一专网层模块4。

其中，所述客户端层模块1，所述的客户端层模块1包括：一客户程序模块11，所述客户程序模块是基于B/S模式；一插件模块12，所述的插件模块12加载有数字签名；一终端模块13，所述的终端模块13加载有终端证书和通信证书。其中，所述的客户端层模块1，包含应用系统的客户程序(一般是B/S模式的网页代码)、插件和终端，其中插件加载有数字签名，终端加载有终端证书和通信证书，能受理智能卡并提供各种读写与辅助功能。

所述应用层模块2，所述的应用层模块2加载有应用证书，在通信平台的支撑下，能够动态的生成或发布客户程序，使终端模块与PSAM卡进行应用操作。所述的应用层，包含各种应用系统，应用系统加载有应用证书，在平台的支撑下，能够动态生成或发布客户程序使用客户端层的终端和卡片进行相关应用。

所述平台层模块3，所述的平台层模块3包括一证书注册管理系统模块31和一认证系统模块32，所述的认证系统模块32加载有平台证书和通信证书。所述的平台层模块3，包含证书注册管理系统(RA)模块31和认证系统模块32，其中RA是符合PKI公钥密码体制的标准化信息系统，认证系统是本发明设计的应用系统，RA和认证系统模块32协同工作，认证系统加载平台证书和通信证书。

所述专网层模块4，所述的专网层模块4包括一证书签发系统模块41和一加密机42，所述的证书签发系统模块41加载有行业数字证书。所述的专网层模块4，处于平台层模块3的内网或更安全的网络环境，包含证书签发系统(CA)模块41和加密机42，其中CA是符合PKI公钥密码体制的标准化信息系统，加载有行业数字证书，加密机42是符合信息安全规范的标准化设备，加载有PSAM。

该互联网应用设备的安全控制系统，所述系统的基础包括：终端，不具备传统意义的PSAM卡，有安全模块，安全模块分为金融应用环境和行业应用环境，两者之间互相独立，均可安全存储数字证书，并提供通用的密钥运算接口，比如智能卡。插件，本发明针对终端应用开发的中间件程序，驱动终端，联系平台，为应用提供开发接口。平台，本发明针对终端应用开发的平台系统，对终端、应用及插件工作提供支持。行业数字证书，平台通过行业应用认证后，获得行业数字证书，作为平台的根证书，使平台连接到行业信任的证书链中，平台以此证书为基础，为终端和应用颁发下级证书。

其中，所述的平台证书由所述行业数字证书签发，所述应用证书由所述平台证书签发，所述终端证书由平台证书签发，所述通信证书由平台证书签发。

其中，证书签发系统模块采用PKI公钥密码体制的标准化信息系统。

其中，所述的加密机加载有PSAM。

其中，所述的插件模块上的数字签名包括插件地址，插件程序，和应用配置信息。

其中，所述的PSAM是由行业应用管理机构颁发的行业智能卡安全模块，平台证书，由行业数字证书签发；应用证书，是由平台证书签发；终端证书，由平台证书签发；通信证书，是由平台证书签发；终端证书的签发数量远远大于应用证书，所有证书的签发都在认证系统的协同下，由RA受理，由CA完成；

其中，在插件发布时，会随同程序体加载一个数字签名，这个数字签名的信息内容包含插件地址、插件程序代码的HASH值和应用配置信息，由平台私钥(平台证书对应的私钥)签署，用平台公钥(平台证书对应的公钥)即可解密，插件有没有被篡改、有没有被变更地址和应用配置，均可以被各方检查。

一种互联网应用设备的安全控制系统安全发行方法，其包括如下步骤：

第一步S11，安全层次管理，系统首先在专网层完成证书签发系统和加密机的初始化，然后对注册管理系统初始化，最后对认证系统初始化；即系统首先在专网层完成CA和加密机的初始化，然后进行RA的初始化，完成上述步骤之后，初始化认证系统，将平台向互联网开放。

第二步S12，应用注册，应用系统在应用平台中进行注册，获取应用证书；应用系统需要到平台进行注册，才能得到平台的支持。应用注册过程的实质是领取应用证书，平台开通相应权限并记录应用证书的相关信息。

第三步S13，终端发行，在生产和物流环节，由平台证书对终端设备签发临时证书；终端发行主要在生产和物流环节进行控制，确保消费者拿到手中的终端设备，根据发行批次加载有该批次的临时证书，临时证书由平台证书签发。

第四步S14，终端注册，用终端证书替换临时证书，并在认证系统中激活终端设备。即，消费者将终端联网首次使用时，在插件的控制下，将自动启动终端注册过程，其核心是用终端证书替换临时证书，终端证书的密钥对在终端内生成，私钥保留于安全模块内，并在认证系统激活该终端，自此，该终端可以在行业应用中正常使用。考虑到行业智能卡同时加载有金融功能，插件在终端激活后，会检查终端安全模块中的金融应用环境，如果需要，会启动标准的金融激活流程，前往中国银联迷你付平台进行独立激活。

一种互联网应用设备的安全控制系统安全发行方法，其中，所述第四步的终端注册，若终端设备具备金融功能，插件模块激活后，自动检查终端模块中的应用环境。

一种互联网应用设备的安全控制系统安全应用方法，其包括如下步骤：

第一步S21，平台认证，运行客户程序，插件模块初始化，通过私有握手协议确认平台可信；每一个客户程序运行时，通常是在浏览器中，插件首先会进行初始化过程，其核心是插件首先与平台(以认证系统为实际代表)，通过私有握手协议确认平台可信(验证在约定的地址有约定的服务，并采取一致的运算规则)，否则，插件将终止。

第二步S22，应用认证，插件模块寻找应用证书，并将应用证书提交给平台，平台对应用证书进行认证；插件在所处的应用根目录寻找应用证书，将应用证书提交给平台，平台对应用证书进认证，确认应用可信后指示插件可以继续工作，否则，插件将终止。

第三步S23，终端认证，在平台中对终端证书进行认证；插件完成初始化，即证明了以插件为中介的应用可信、平台可信，插件随即发起终端认证，核心利用平台完成终端证书的认证工作，完成后，证明终端可信，否则，插件将终止。

第四步S24，插件认证，平台通过数字签名进行插件认证，完成认证之后，建立通信；通过前两步，通过平台证书，应用证书，终端证书基于非对称算法的签名验签过程，证明了平台、应用和终端的可信，即证明了插件的工作环境的可信，现在需要证明插件是可信的。本发明规定平台发起插件认证过程，平台通过前述认证过程，获得应用系统向平台提交插件的数字签名，平台对数字签名用平台证书的公钥解密，取得插件URL、插件程序体HASH值、应用配置三项信息，以URL为索引，到后台数据库进行程序体HASH值、应用配置的比对，通过后，证明应用提交的信息无误；然后平台通过URL实时调取程序体，重新计算HASH值进行比对，通过后，证明程序体确实没有篡改；然后，平台和插件进行通信，确认应用配置信息无误，通过后，证明插件安全，否则，插件将终止。

第五步S25，建立平台与终端安全通道，平台与重点设备进行密钥交换和信息传递；平台利用通信证书、终端利用另一通信证书，采用非对称算法，利用数字信封技术，一次一密地进行密钥交换和信息传递。

第六步S26，卡片与PSAM安全交互，对智能卡进行读写操作；卡片与PSAM的交互过程在数字信封的外层通信保护下进行，交互的信息作为数字信封内信息体，双方均基于MAC码和MAC码验证技术，实现无需密钥传递的安全运算与确认，共同在APDU层面完成智能卡读写操作，行业应用中的敏感性应用数据传输也采用数字信封保护模式。

第七步S27，金融拓展，如卡片需要进行金融操作，直接切换至金融系统。本发明将金融支付和行业应用分离开，原则上金融支付在插件的控制下，转接到银联标准的插件或页面，采用独立的通道进行标准、规范的金融支付,采用独立的金融数字证书体系。

其中，所述的第四步插件认证过程，平台证书，应用证书和终端证书采用非对称算法的签名和验签。

其中，所述第六步卡片与PSAM安全交互中，双方采用MAC码验证技术。

以上所述仅以实施例来进一步说明本发明的技术内容，以便于读者更容易理解，但不代表本发明的实施方式仅限于此，任何依本发明所做的技术延伸或再创造，均受本发明的保护。

Claims (7)

1.一种互联网应用设备的安全控制系统，其特征在于，包括：

一客户端层模块，所述的客户端层模块包括：一客户程序模块，所述客户程序模块是基于B/S模式；一插件模块，所述的插件模块加载有数字签名；一终端模块，所述的终端模块加载有终端证书和通信证书；

一应用层模块，所述的应用层模块加载有应用证书，在通信平台的支撑下，能够动态的生成或发布客户程序，使终端模块与PSAM卡进行应用操作；

一平台层模块，所述的平台层模块包括一证书注册管理系统模块和一认证系统模块，所述的认证系统模块加载有平台证书和通信证书；

一专网层模块，所述的专网层模块包括一证书签发系统模块和一加密机，所述的证书签发系统模块加载有行业数字证书；

其中，所述的平台证书由所述行业数字证书签发，所述应用证书由所述平台证书签发，所述终端证书由平台证书签发，所述通信证书由平台证书签发；其中，证书签发系统模块采用PKI公钥密码体制的标准化信息系统，所述的加密机加载有PSAM。

2.如权利要求1所述一种互联网应用设备的安全控制系统，其特征在于，所述的插件模块上的数字签名包括插件地址，插件程序，和应用配置信息。

3.采用如权利要求1或2所述互联网应用设备的安全控制系统安全发行方法，其特征在于，包括如下步骤：

第一步，安全层次管理，系统首先在专网层完成证书签发系统和加密机的初始化，然后对注册管理系统初始化，最后对认证系统初始化；

第二步，应用注册，应用系统在应用平台中进行注册，获取应用证书；

第三步，终端发行，在生产和物流环节，由平台证书对终端设备签发临时证书；

第四步，终端注册，用终端证书替换临时证书，并在认证系统中激活终端设备。

4.如权利要求3所述的互联网应用设备的安全控制系统安全发行方法，其特征在于，所述第四步，若终端设备具备金融功能，插件模块激活后，自动检查终端模块中的应用环境。

5.一种采用如权利要求1或2所述的互联网应用设备的安全控制系统安全应用方法，其特征在于，包括如下步骤：

第一步，平台认证，运行客户程序，插件模块初始化，通过私有握手协议确认平台可信；

第二步，应用认证，插件模块寻找应用证书，并将应用证书提交给平台，平台对应用证书进行认证；

第三步，终端认证，在平台中对终端证书进行认证；

第四步，插件认证，平台通过数字签名进行插件认证，完成认证之后，建立通信；

第五步，建立平台与终端安全通道，平台与重点设备进行密钥交换和信息传递；

第六步，卡片与PSAM安全交互，对智能卡进行读写操作；

第七步，金融拓展，如卡片需要进行金融操作，直接切换至金融系统。

6.如权利要求5所述的一种互联网应用设备的安全控制系统安全应用方法，其特征在于，所述的第四步，插件认证过程，平台证书，应用证书和终端证书采用非对称算法的签名和验签。

7.如权利要求5所述的一种互联网应用设备的安全控制系统安全应用方法，其特征在于，所述第六步卡片与PSAM安全交互中，双方采用MAC码验证技术。