CN106372531B - 一种授权获取终端攻击报警信息日志方法和系统 - Google Patents

一种授权获取终端攻击报警信息日志方法和系统 Download PDF

Info

Publication number
CN106372531B
CN106372531B CN201610768537.1A CN201610768537A CN106372531B CN 106372531 B CN106372531 B CN 106372531B CN 201610768537 A CN201610768537 A CN 201610768537A CN 106372531 B CN106372531 B CN 106372531B
Authority
CN
China
Prior art keywords
server
terminal
warning message
data
certified
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610768537.1A
Other languages
English (en)
Other versions
CN106372531A (zh
Inventor
陈菲菲
林晖
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujian Landi Commercial Equipment Co Ltd
Original Assignee
Fujian Landi Commercial Equipment Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujian Landi Commercial Equipment Co Ltd filed Critical Fujian Landi Commercial Equipment Co Ltd
Priority to CN201610768537.1A priority Critical patent/CN106372531B/zh
Publication of CN106372531A publication Critical patent/CN106372531A/zh
Priority to JP2019531509A priority patent/JP6911122B2/ja
Priority to PCT/CN2017/096826 priority patent/WO2018040880A1/zh
Priority to US16/327,861 priority patent/US11163867B2/en
Priority to EP17845182.9A priority patent/EP3509005B1/en
Application granted granted Critical
Publication of CN106372531B publication Critical patent/CN106372531B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/107—License processing; Key processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication

Abstract

本发明一种授权获取终端攻击报警信息的日志方法和系统，属于通信技术领域。一种授权获取终端攻击报警信息日志方法包括：服务端获取到有获取攻击报警信息日志权限的认证账号后，服务端对客户端工具的合法性进行认证，其合法性通过认证后，终端发送第二待认证数据给客户端工具，客户端工具再发给服务端；服务端若对第二待认证数据认证通过，对其进行加密生成第二认证数据，并发送第二认证数据给终端；终端若对第二认证数据认证通过，终端获取攻击报警信息日志，并对其进行加密，加密后发送给客户端工具。整个过程采用双因素认证，确保了安全性，并且对终端获取攻击报警信息日志的指令是经过服务端认可的合法行为，确保了获取操作指令的合法性。

Description

一种授权获取终端攻击报警信息日志方法和系统
技术领域
本发明涉及通信技术领域，特别涉及一种授权获取终端攻击报警信息日志方法和系统。
背景技术
金融支付领域，为保证终端设备的安全，在终端设备受到攻击之后，终端设备会进入受攻击态，会不断显示攻击报警提示，并且设备无法进行正常支付交易。为分析攻击报警的原因，需要从终端获取攻击报警信息的日志，而其中攻击报警信息又属于敏感数据，如果被随意获取分析，将对终端设备安全造成很大的威胁。
发明内容
为此，需要提供一种授权获取终端攻击报警信息日志方法，用以解决终端设备受到攻击后，无法知晓攻击报警的原因，以及终端设备攻击报警信息被随意恶意窃取分析的问题。
为实现上述目的，发明人提供了一种授权获取终端攻击报警信息日志的方法，技术方案如下：
一种授权获取终端攻击报警信息日志的方法，包括步骤：
服务端获取认证账号，服务端判断所述认证账号是否有获取攻击报警信息日志权限；若有，服务端发送第一待认证数据给客户端工具，所述客户端工具从U-KEY获取操作员证书，所述U-KEY包括：操作员私钥；客户端工具使用所述操作员私钥对所述第一待认证数据进行加密，生成第一认证数据，客户端工具发送所述操作员证书和所述第一认证数据给服务端；服务端对第一认证数据进行认证；若认证通过，终端发送第二待认证数据给客户端工具，客户端工具发送所述第二待认证数据给服务端；服务端接收所述第二待认证数据，服务端对所述第二待认证数据进行认证，若认证通过，服务端使用第一私钥对所述第二待认证数据进行加密生成第二认证数据，服务端发送所述第二认证数据给终端；终端使用第一公钥对所述第二认证数据进行认证，若认证通过，所述客户端工具发送指令给终端，终端接收所述指令，终端使用第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；所述客户端工具接收所述攻击报警信息日志，所述客户端工具使用第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
进一步的，在服务端获取认证账号前，还包括步骤：服务端生成第一公私钥对和第二公私钥对，所述第一公私钥对包括：第一公钥和第一私钥，所述第二公私钥对包括：第二公钥和第二私钥，服务端存储第一私钥，服务端发送所述第一公钥和所述第二公钥到终端，服务端发送所述第二私钥到U-KEY；终端接收所述第一公钥和所述第二公钥。
进一步的，终端对所述第二认证数据进行认证，包括步骤：终端使用所述第一公钥对所述第二认证数据进行解密，获取所述第二认证数据中的待认证数据明文，比对所述第二认证数据中的待认证数据明文与所述第二待认证数据是否一致，若一致，认证通过。
进一步的，终端对攻击报警信息日志进行加密和所述客户端工具对所述攻击报警信息日志进行解密，包括步骤：所述客户端工具从U-KEY获取所述第二私钥；终端使用所述第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；所述客户端工具接收所述攻击报警信息日志，所述客户端工具使用所述第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
进一步的，服务端对第一认证数据进行认证，包括步骤：服务端接收所述操作员证书，服务端提取所述操作员证书中的公钥，服务端使用所述公钥对所述第一认证数据进行解密，获取所述第一认证数据中的待认证数据明文，比对所述第一认证数据中的待认证数据明文与所述第一待认证数据是否一致，若一致，认证通过。
为实现上述目的，发明人还提供了一种授权获取终端攻击报警信息日志系统，技术方案如下：
一种授权获取终端攻击报警信息日志系统，包括：服务端、终端和客户端工具；所述服务端用于：服务端获取认证账号，服务端判断所述认证账号是否有获取攻击报警信息日志权限，若有，服务端发送第一待认证数据给客户端工具；所述客户端工具用于：从U-KEY获取操作员证书，所述U-KEY包括：操作员私钥，及使用所述操作员私钥对所述第一待认证数据进行加密，生成第一认证数据，客户端工具发送所述操作员证书和所述第一认证数据给服务端；所述服务端还用于：对第一认证数据进行认证；若认证通过，所述终端用于：发送第二待认证数据给客户端工具；所述客户端工具还用于：发送所述第二待认证数据给服务端；所述服务端还用于：服务端接收所述第二待认证数据，服务端对所述第二待认证数据进行认证，若认证通过，服务端使用第一私钥对所述第二待认证数据进行加密生成第二认证数据，服务端发送所述第二认证数据给终端；所述终端还用于：终端使用第一公钥对所述第二认证数据进行认证；若认证通过，所述客户端工具还用于：发送指令给终端；所述终端还用于：终端接收所述指令，终端使用第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；所述客户端工具还用于：接收所述攻击报警信息日志，及使用第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
进一步的，所述服务端还用于：在服务端获取认证账号前，服务端生成第一公私钥对和第二公私钥对，所述第一公私钥对包括：第一公钥和第一私钥，所述第二公私钥对包括：第二公钥和第二私钥，服务端存储第一私钥，服务端发送所述第一公钥和所述第二公钥到终端，服务端发送所述第二私钥到U-KEY；所述终端还用于：终端接收所述第一公钥和所述第二公钥。
进一步的，所述终端还用于：终端使用所述第一公钥对所述第二认证数据进行解密，获取所述第二认证数据中的待认证数据明文，比对所述第二认证数据中的待认证数据明文与所述第二待认证数据是否一致，若一致，认证通过。
进一步的，所述客户端工具还用于：从U-KEY获取所述第二私钥；所述终端还用于：使用所述第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；所述客户端工具还用于：接收所述攻击报警信息日志，所述客户端工具使用所述第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
进一步的，所述服务端还用于：服务端接收所述操作员证书，服务端提取所述操作员证书中的公钥，服务端使用所述公钥对所述第一认证数据进行解密，获取所述第一认证数据中的待认证数据明文，比对所述第一认证数据中的待认证数据明文与所述第一待认证数据是否一致，若一致，认证通过。
本发明的有益效果是：维修人员通过使用账号登录认证，服务端判断该账号是否有权限获取攻击报警信息日志，如果有权限获取攻击报警信息日志。则使用操作员使用U-KEY，服务端认证该U-KEY的合法性，如果认证U-KEY是合法的，则服务端根据从终端获取第二待认证数据，生成第二认证数据，终端对第二认证数据通过后，才允许对终端进行获取攻击报警信息日志操作，整个过程采用双因素认证，大大确保了安全性，并且对终端获取攻击报警信息日志的指令是经过服务端认可的合法行为，确保了获取攻击报警信息日志操作的合法性，并且获取到的攻击报警信息日志是经过加密的，需要使用特定的私钥才能解密，进一步加强了攻击报警信息日志的安全保密性。
附图说明
图1为本发明一种授权获取终端攻击报警信息日志方法的流程图；
图2为本发明一种授权获取终端攻击报警信息日志系统的模块图。
附图标记说明：
10、服务端，
20、终端，
30、客户端工具，
40、U-KEY，
401、操作员证书，
402、操作员私钥。
具体实施方式
为详细说明技术方案的技术内容、构造特征、所实现目的及效果，以下结合具体实施例并配合附图详予说明。
请参阅图1，在本实施例中，U-KEY是插在客户端工具上，本实施例中，客户端工具为PC，其中U-KEY中存储有操作员证书及操作员私钥，当U-KEY插在客户端工具上后，客户端工具上安装有交互软件，使得客户端工具可以从U-KEY上获取操作员证书和直接使用操作员私钥。其次本实施例中在PC上安装有特定的APP，在APP登录界面，需要维修人员输入账号密码登录系统；通过账号密码登录系统，服务端会对账号密码做权限判断，确保了账户的合法性。
在其他实施例中，也可以通过浏览器直接输入特定的网址，同样也是需要维修人员输入账号密码登录系统。
具体实施步骤如下：步骤S101：生成第一公私钥对Pr1，Pu1和第二公私钥对Pr2，Pu2。首先我们确保终端、服务端和客户端工具要联网，联网后，服务端会生成第一公私钥对Pr1，Pu1和第二公私钥对Pr2，Pu2，并且把所述第一公钥Pu1和第二公钥Pu2发送给终端，既步骤S102：预置第一公钥Pu1、第二公钥Pu2在终端上。同时在颁发U-KEY时，会把第二私钥Pr2由服务端存储到U-KEY中，客户端工具通过所安装的交互软件可从U-KEY中获取到第二私钥Pr2，既步骤S102：预置第二私钥Pr2到U-KEY。
通过预先设置好第一公钥Pu1在终端上，是为了步骤S103-步骤S106账号权限和U-KEY合法性认证都通过后，进入步骤S107服务端从终端获取第二待认证数据，服务端判断第二待认证数据的合法性，确认合法后，服务端会使用所述第一私钥Pr1对第二待认证数据进行加密，生成第二认证数据，步骤S108服务端返回所述第二认证数据给终端，步骤S109终端认证第二认证数据是否通过，既终端就可以使用预先预置好的第一公钥Pu1来对第二认证数据进行解密，获取到第二认证数据的明文，比对所述第二认证数据的明文与第二待认证数据是否一致，如果一致，则认证通过。认证通过后，步骤S110：发送获取报警信息日志的指令，既客户端工具发送获取报警信息日志指令给终端，终端接收所述指令获取报警信息日志，并且在步骤S111中：对攻击报警信息日志进行加密，既终端使用预先设置好的第二公钥Pu2对攻击报警信息日志进行加密，确保了攻击报警信息日志在传输过程中的安全性，加密好后，终端发送攻击报警信息日志给客户端工具。步骤S112所述客户端工具使用预先设置好的第二私钥Pr2对攻击报警信息日志进行解密，获取明文。
整个过程中，先判断维修人员的账号是否有获取攻击报警信息日志权限，若有，再判断操作员的U-KEY的合法性，账号和U-KEY双因素的认证，大大保证了获取攻击报警信息日志指令的安全性，并且对终端获取攻击报警信息日志指令是经过服务端认可的合法行为，确保了获取攻击报警信息日志操作的合法性，并且获取到的攻击报警信息日志是经过第二公钥加密的，需要使用特定的第二私钥才能解密，进一步加强了攻击报警信息日志的安全保密性，解决了一些不法分子可轻易获取到攻击报警信息日志的问题。
步骤S103具体如下：账号登录认证。本实施例中客户端工具上安装有特定的APP，在APP登录界面，维修人员输入账号密码登录系统。
其中服务端存储有所有合法的账号密码，也包括这些账号所对应的权限。步骤S104账号是否有权限获取攻击报警信息日志，具体步骤如下：维修人员输入账号密码，服务端获取维修人员输入的账号密码，判断该账号密码是否存储在服务端中，如果存储在服务端中，维修人员成功登陆系统，同时服务端也会进一步去获取该账号的权限，判断该账号是否有权限获取攻击报警信息日志。通过服务端对账号密码的权限认证，确保了后续操作的合法性。
服务端验证账号拥有权限获取攻击报警信息日志后，进入步骤S105：认证操作员U-KEY合法性。具体步骤如下：
客户端工具从服务端获取第一待认证数据；首先服务端自己生成第一待认证数据，本实施例中第一待认证数据是16字节随机数，客户端工具再去从服务端获取第一待认证数据。
在其它实施例中，第一待认证数据也可以是其它字节的随机数，可以是32字节的字母、数字和特殊符号等等的组合，本实施例中通过每次生成16字节随机数，确保了每次产生的随机数不一样。
客户端工具使用U-KEY生成第一认证数据；客户端工具收到第一待认证数据后，客户端工具使用U-KEY中存储的操作员私钥对第一待认证数据进行加密，加密后生成第一认证数据。通过使用U-KEY中存储的操作员私钥对第一待认证数据进行加密，确保了生成的第一认证数据在数据传输的过程中不会被其它非法的U-KEY截取，去冒充真正合法的U-KEY，引发安全性问题。
生成第一认证数据后，客户端工具将第一认证数据和操作员证书发给服务端进行认证，既步骤S106：U-KEY是否合法；这边的认证是指服务端通过对接收到的第一认证数据进行解密，获取明文，比对明文是否与服务端的第一待认证数据相同，如果相同，则U-KEY通过了服务端的认证，获得了服务端的认可，既U-KEY取得了可以从服务端获取信息并且给服务端发送信息的权限。其中这边所发送的操作员证书里面含有可以解密第一认证数据的公钥，是为了方便服务端收到以后可以提取里面的公钥，再去解密第一认证数据。比如第一待认证数据是：D1，使用操作员私钥S对其进行加密，生成第一认证数据：D2，操作员私钥S对应的公钥是G，清除攻击工具把D2和含有G的证书发送给了服务端，服务端从证书中提取G，再用G去解密D2，获取到D2的明文信息，比对D1与D2的明文信息是否一致，如果一致，U-KEY通过了服务端的认证；如果不一致，U-KEY不通过服务端的认证。
服务端确认U-KEY合法以后，进入步骤S107：获取第二待认证数据，具体步骤如下：
客户端工具从终端获取第二待认证数据；同样地，终端生成第二待认证数据，本实施例中第二待认证数据是终端序列号、主板特征码和随机数的组合，这边的终端序列号和主板特征码具有唯一性，可以唯一标识一个终端。在本实施例中随机数为16字节随机数，在其他实施例中，随机数可以为其他位数的字母或者字符都可以。通过使用具有唯一标识终端的终端序列号、主板特征码与随机数的组合，确保了第二待认证数据的唯一性。
终端生成第二待认证数据后，客户端工具就去获取第二待认证数据。
客户端工具获取第二待认证数据后，发送所述第二待认证数据给服务端，服务端通过对第二待认证数据进行认证，来判断终端设备信息是否合法，如果合法。服务端使用第一私钥Pr1对第二待认证数据进行加密，生成第二认证数据。
在本实施例中，出于安全性要求较高的考虑，因为每个终端使用的公钥都是不一样的，因此在服务端判断终端信息的时候，不仅仅判断其合法性，同时也根据该终端信息，使用与该终端对应的私钥对待认证数据进行加密。通过使用私钥对待认证数据进行加密，确保了生成的认证数据在数据传输的过程中不会被其它非法者截取，去冒充真正合法的服务端，对终端进行欺骗，引发安全性问题。
而在一些其他的实施例中，出于方便性和通用性的考虑，每个终端使用的公钥是一样的，因此服务端只需判断终端信息的合法性，并且服务端用通用的私钥对待认证数据进行加密。
步骤S108：返回第二认证数据，具体如下：服务端通过客户端工具把第二认证数据发送给终端，终端对其进行认证，既步骤S109：认证第二认证数据是否通过，具体如下：终端使用步骤S102中预置好的第一公钥Pu1对第二认证数据进行解密，获得第二认证数据的明文，比对所述第二认证数据的明文与第二待认证数据是否一致，如果一致，则认证通过。
若认证通过，既意味着服务端也通过了终端的认可，那么通过服务端认可的U-KEY的持有者便有权限可以使用客户端工具对终端发送获取攻击报警信息日志的指令(即步骤S110)，其中所述指令至少包括：对终端获取攻击报警信息日志的指令提示操作，避免了非法操作。另外为了确保攻击报警信息日志在传输过程中的安全性，步骤S111中对攻击报警信息日志进行加密操作，这边终端使用的是预先设置好的第二公钥Pu2对攻击报警信息日志进行加密，加密好后，发送所述攻击报警信息日志给客户端工具。
步骤S112：解密攻击报警信息日志，获取对应明文。客户端工具接收所述攻击报警信息日志，并利用预先设置好的第二私钥Pr2对攻击报警信息日志进行解密，获取明文。在U-KEY通过服务端认证以后，后续的步骤都可以自动完成，大大提高了获取攻击报警信息日志的速度。
请参阅图2，在某些实施例中，本发明一种授权获取终端攻击报警信息日志系统的方案如下：
系统包括：服务端10、终端20和客户端工具30，其中U-KEY40是插在客户端工具30上，本实施例中，客户端工具30为PC，其中U-KEY40中存储有操作员证书401及操作员私钥402，当U-KEY40插在客户端工具30上后，客户端工具30上安装有交互软件，使得客户端工具30通过交互软件可以获取到操作员证书401及操作员私钥402。
具体如下：
服务端10用于：生成第一公私钥对Pr1，Pu1和第二公私钥对Pr2，Pu2，并且把第一公钥Pu1和第二公钥Pu2发送给终端20。同时在颁发U-KEY40时，会把第二私钥Pr2由服务端10存储到U-KEY40中。
客户端工具30用于：通过所安装的交互软件可从U-KEY40中获取到第二私钥Pr2，
本实施例中客户端工具30上安装有特定的APP，在APP登录界面，维修人员输入账号密码登录系统。
其中服务端10存储有所有合法的账号密码，也包括这些账号所对应的权限。维修人员输入账号密码，服务端10获取维修人员输入的账号密码，判断该账号密码是否存储在服务端10中，如果存储在服务端10中，维修人员成功登陆系统，同时服务端10也会进一步去获取该账号的权限，判断该账号是否有权限获取攻击报警信息日志。通过服务端10对账号密码的权限认证，确保了后续操作的合法性。
服务端10验证账号拥有权限获取攻击报警信息日志后，认证操作员U-KEY40合法性。具体如下：
客户端工具30从服务端10获取第一待认证数据；首先服务端10自己生成第一待认证数据，本实施例中第一待认证数据是16字节随机数，客户端工具30再去从服务端10获取第一待认证数据。
客户端工具30使用U-KEY生成第一认证数据；客户端工具30收到第一待认证数据后，客户端工具30使用U-KEY中存储的操作员私钥402对第一待认证数据进行加密，加密后生成第一认证数据。通过使用U-KEY中存储的操作员私钥402对第一待认证数据进行加密，确保了生成的第一认证数据在数据传输的过程中不会被其它非法的U-KEY40截取，去冒充真正合法的U-KEY40，引发安全性问题。
生成第一认证数据后，客户端工具30将第一认证数据和操作员证书401发给服务端10进行认证；这边的认证是指服务端10通过对接收到的第一认证数据进行解密，获取明文，比对明文是否与服务端10的第一待认证数据相同，如果相同，则U-KEY40通过了服务端10的认证，获得了服务端10的认可，既U-KEY40取得了可以从服务端10获取信息并且给服务端10发送信息的权限。
服务端10确认U-KEY40合法以后，客户端工具30从终端获20取第二待认证数据；同样地，终端20生成第二待认证数据，本实施例中第二待认证数据是终端序列号、主板特征码和随机数的组合，这边的终端序列号和主板特征码具有唯一性，可以唯一标识一个终端20。通过使用具有唯一标识终端的终端序列号、主板特征码与随机数的组合，确保了第二待认证数据的唯一性。
终端20生成第二待认证数据后，客户端工具30就去获取第二待认证数据。
客户端工具30获取第二待认证数据后，发送所述第二待认证数据和终端信息给服务端10，服务端10通过对第二待认证数据进行认证，来判断终端设备信息是否合法，如果合法。服务端10使用第一认证私钥Pr1对第二待认证数据进行加密，生成第二认证数据。
服务端10通过客户端工具30把第二认证数据发送给终端20，终端20对其进行认证，具体如下：终端20使用预置好的第一公钥Pu1对第二认证数据进行解密，获得第二认证数据的明文，比对所述第二认证数据的明文与第二待认证数据是否一致，如果一致，则认证通过。
若认证通过，既意味着服务端10也通过了终端20的认可，那么通过服务端10认可的U-KEY40的持有者便有权限可以使用客户端工具30对终端20发送获取攻击报警信息日志的指令，其中所述指令至少包括：对终端20获取攻击报警信息日志的指令提示操作，避免了非法操作。另外为了确保攻击报警信息日志在传输过程中的安全性，终端20还用于：使用预先设置好的第二公钥Pu2对攻击报警信息日志进行加密，加密好后，发送所述攻击报警信息日志给客户端工具30。
客户端工具30还用于：接收所述攻击报警信息日志，并利用预先设置好的第二私钥Pr2对攻击报警信息日志进行解密，获取明文。在U-KEY40通过服务端10认证以后，后续的步骤都可以自动完成，大大提高了获取攻击报警信息日志的速度。
本发明所有实施例中，如果认证不合法或者账号没有相应的权限，则方法提前结束，系统中的数据流也就不会流向下一个模块。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括……”或“包含……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的要素。此外，在本文中，“大于”、“小于”、“超过”等理解为不包括本数；“以上”、“以下”、“以内”等理解为包括本数。
本领域内的技术人员应明白，上述各实施例可提供为方法、装置、或计算机程序产品。这些实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。上述各实施例涉及的方法中的全部或部分步骤可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机设备可读取的存储介质中，用于执行上述各实施例方法所述的全部或部分步骤。所述计算机设备，包括但不限于：个人计算机、服务器、通用计算机、专用计算机、网络设备、嵌入式设备、可编程设备、智能移动终端、智能家居设备、穿戴式智能设备、车载智能设备等；所述的存储介质，包括但不限于：RAM、ROM、磁碟、磁带、光盘、闪存、U盘、移动硬盘、存储卡、记忆棒、网络服务器存储、网络云存储等。
上述各实施例是参照根据实施例所述的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到计算机设备的处理器以产生一个机器，使得通过计算机设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机设备以特定方式工作的计算机设备可读存储器中，使得存储在该计算机设备可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机设备上，使得在计算机设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已经对上述各实施例进行了描述，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改，所以以上所述仅为本发明的实施例，并非因此限制本发明的专利保护范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围之内。

Claims (10)

1.一种授权获取终端攻击报警信息日志的方法，其特征在于，包括步骤：
服务端获取认证账号，服务端判断所述认证账号是否有获取攻击报警信息日志权限；
若有，服务端发送第一待认证数据给客户端工具，所述客户端工具从U-KEY获取操作员证书，所述U-KEY包括：操作员私钥；
客户端工具使用所述操作员私钥对所述第一待认证数据进行加密，生成第一认证数据，客户端工具发送所述操作员证书和所述第一认证数据给服务端；
服务端对第一认证数据进行认证；
若认证通过，终端发送第二待认证数据给客户端工具，客户端工具发送所述第二待认证数据给服务端；
服务端接收所述第二待认证数据，服务端对所述第二待认证数据进行认证，若认证通过，服务端使用第一私钥对所述第二待认证数据进行加密生成第二认证数据，服务端发送所述第二认证数据给终端；
终端使用第一公钥对所述第二认证数据进行认证，若认证通过，所述客户端工具发送指令给终端，终端接收所述指令，终端使用第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；
所述客户端工具接收所述攻击报警信息日志，所述客户端工具使用第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
2.根据权利要求1所述的一种授权获取终端攻击报警信息日志的方法，其特征在于，服务端获取认证账号前，还包括步骤：
服务端生成第一公私钥对和第二公私钥对，所述第一公私钥对包括：第一公钥和第一私钥，所述第二公私钥对包括：第二公钥和第二私钥，服务端存储第一私钥，服务端发送所述第一公钥和所述第二公钥到终端，服务端发送所述第二私钥到U-KEY；
终端接收所述第一公钥和所述第二公钥。
3.根据权利要求2所述的一种授权获取终端攻击报警信息日志的方法，其特征在于，终端对所述第二认证数据进行认证，包括步骤：
终端使用所述第一公钥对所述第二认证数据进行解密，获取所述第二认证数据中的待认证数据明文，比对所述第二认证数据中的待认证数据明文与所述第二待认证数据是否一致，若一致，认证通过。
4.根据权利要求2所述的一种授权获取终端攻击报警信息日志的方法，其特征在于，终端对攻击报警信息日志进行加密和所述客户端工具对所述攻击报警信息日志进行解密，包括步骤：
所述客户端工具从U-KEY获取所述第二私钥；
终端使用所述第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；
所述客户端工具接收所述攻击报警信息日志，所述客户端工具使用所述第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
5.根据权利要求1所述的一种授权获取终端攻击报警信息日志的方法，其特征在于，
服务端对第一认证数据进行认证，包括步骤：
服务端接收所述操作员证书，服务端提取所述操作员证书中的公钥，服务端使用所述公钥对所述第一认证数据进行解密，获取所述第一认证数据中的待认证数据明文，比对所述第一认证数据中的待认证数据明文与所述第一待认证数据是否一致，若一致，认证通过。
6.一种授权获取终端攻击报警信息日志系统，其特征在于，包括：服务端、终端和客户端工具；
所述服务端用于：服务端获取认证账号，服务端判断所述认证账号是否有获取攻击报警信息日志权限，若有，服务端发送第一待认证数据给客户端工具；
所述客户端工具用于：从U-KEY获取操作员证书，所述U-KEY包括：操作员私钥，及使用所述操作员私钥对所述第一待认证数据进行加密，生成第一认证数据，客户端工具发送所述操作员证书和所述第一认证数据给服务端；
所述服务端还用于：对第一认证数据进行认证；
若认证通过，所述终端用于：发送第二待认证数据给客户端工具；
所述客户端工具还用于：发送所述第二待认证数据给服务端；
所述服务端还用于：服务端接收所述第二待认证数据，服务端对所述第二待认证数据进行认证，若认证通过，服务端使用第一私钥对所述第二待认证数据进行加密生成第二认证数据，服务端发送所述第二认证数据给终端；
所述终端还用于：终端使用第一公钥对所述第二认证数据进行认证；
若认证通过，所述客户端工具还用于：发送指令给终端；
所述终端还用于：终端接收所述指令，终端使用第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；
所述客户端工具还用于：接收所述攻击报警信息日志，及使用第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
7.根据权利要求6所述的一种授权获取终端攻击报警信息日志系统，其特征在于，
所述服务端还用于：在服务端获取认证账号前，服务端生成第一公私钥对和第二公私钥对，所述第一公私钥对包括：第一公钥和第一私钥，所述第二公私钥对包括：第二公钥和第二私钥，服务端存储第一私钥，服务端发送所述第一公钥和所述第二公钥到终端，服务端发送所述第二私钥到U-KEY；
所述终端还用于：终端接收所述第一公钥和所述第二公钥。
8.根据权利要求7所述的一种授权获取终端攻击报警信息日志系统，其特征在于，
所述终端还用于：终端使用所述第一公钥对所述第二认证数据进行解密，获取所述第二认证数据中的待认证数据明文，比对所述第二认证数据中的待认证数据明文与所述第二待认证数据是否一致，若一致，认证通过。
9.根据权利要求7所述的一种授权获取终端攻击报警信息日志系统，其特征在于，
所述客户端工具还用于：从U-KEY获取所述第二私钥；
所述终端还用于：使用所述第二公钥对攻击报警信息日志进行加密，终端发送所述攻击报警信息日志给所述客户端工具；
所述客户端工具还用于：接收所述攻击报警信息日志，所述客户端工具使用所述第二私钥对所述攻击报警信息日志进行解密，获取所述攻击报警信息日志的明文信息。
10.根据权利要求6所述的一种授权获取终端攻击报警信息日志系统，其特征在于，
所述服务端还用于：服务端接收所述操作员证书，服务端提取所述操作员证书中的公钥，服务端使用所述公钥对所述第一认证数据进行解密，获取所述第一认证数据中的待认证数据明文，比对所述第一认证数据中的待认证数据明文与所述第一待认证数据是否一致，若一致，认证通过。
CN201610768537.1A 2016-08-30 2016-08-30 一种授权获取终端攻击报警信息日志方法和系统 Active CN106372531B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201610768537.1A CN106372531B (zh) 2016-08-30 2016-08-30 一种授权获取终端攻击报警信息日志方法和系统
JP2019531509A JP6911122B2 (ja) 2016-08-30 2017-08-10 端末の攻撃警告メッセージログを取得する権限付与方法およびシステム
PCT/CN2017/096826 WO2018040880A1 (zh) 2016-08-30 2017-08-10 一种授权获取终端攻击报警信息日志方法和系统
US16/327,861 US11163867B2 (en) 2016-08-30 2017-08-10 Method and system for authorizing acquisition of attack alarm information log of terminal
EP17845182.9A EP3509005B1 (en) 2016-08-30 2017-08-10 Method and system for granting authority to acquire terminal attack alarm information log

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610768537.1A CN106372531B (zh) 2016-08-30 2016-08-30 一种授权获取终端攻击报警信息日志方法和系统

Publications (2)

Publication Number Publication Date
CN106372531A CN106372531A (zh) 2017-02-01
CN106372531B true CN106372531B (zh) 2018-11-02

Family

ID=57901119

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610768537.1A Active CN106372531B (zh) 2016-08-30 2016-08-30 一种授权获取终端攻击报警信息日志方法和系统

Country Status (5)

Country Link
US (1) US11163867B2 (zh)
EP (1) EP3509005B1 (zh)
JP (1) JP6911122B2 (zh)
CN (1) CN106372531B (zh)
WO (1) WO2018040880A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106372531B (zh) * 2016-08-30 2018-11-02 福建联迪商用设备有限公司 一种授权获取终端攻击报警信息日志方法和系统
CN107133512B (zh) * 2017-03-14 2020-07-28 万达百汇科技（深圳）有限公司 Pos终端控制方法和装置
CN108416952B (zh) * 2018-03-09 2020-07-24 上海商米科技集团股份有限公司 Pos终端的报警解除方法及应用其的pos终端、服务器和系统
CN108833091B (zh) * 2018-05-28 2021-03-12 武汉斗鱼网络科技有限公司 一种日志文件的加密方法、解密方法及装置
US11271755B2 (en) * 2019-03-25 2022-03-08 Micron Technology, Inc. Verifying vehicular identity
CN111147296B (zh) * 2019-12-24 2023-04-18 北京奇艺世纪科技有限公司 一种信息获取方法及装置
CN113312650B (zh) * 2021-06-23 2023-07-04 中国农业银行股份有限公司 交易日志隐私保护方法及装置
CN113949513B (zh) * 2021-09-17 2024-03-01 北京蓝色星际科技股份有限公司 一种报警系统和报警方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102013141A (zh) * 2009-08-10 2011-04-13 北京多思科技发展有限公司 一种认证方法以及认证系统
CN102271042A (zh) * 2011-08-25 2011-12-07 北京神州绿盟信息安全科技股份有限公司 数字证书认证方法、系统、USB Key设备和服务器
CN103944728A (zh) * 2014-04-25 2014-07-23 天地融科技股份有限公司 数据安全交互系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7475247B2 (en) * 2004-12-16 2009-01-06 International Business Machines Corporation Method for using a portable computing device as a smart key device
US7627125B2 (en) * 2005-06-23 2009-12-01 Efunds Corporation Key loading systems and methods
KR20120057734A (ko) * 2010-11-22 2012-06-07 삼성전자주식회사 서버, 서버에 접속하는 디바이스 및 그 제어방법
US9998438B2 (en) * 2013-10-23 2018-06-12 Microsoft Technology Licensing, Llc Verifying the security of a remote server
CN106372531B (zh) 2016-08-30 2018-11-02 福建联迪商用设备有限公司 一种授权获取终端攻击报警信息日志方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102013141A (zh) * 2009-08-10 2011-04-13 北京多思科技发展有限公司 一种认证方法以及认证系统
CN102271042A (zh) * 2011-08-25 2011-12-07 北京神州绿盟信息安全科技股份有限公司 数字证书认证方法、系统、USB Key设备和服务器
CN103944728A (zh) * 2014-04-25 2014-07-23 天地融科技股份有限公司 数据安全交互系统

Also Published As

Publication number Publication date
CN106372531A (zh) 2017-02-01
US11163867B2 (en) 2021-11-02
US20190278899A1 (en) 2019-09-12
JP2019525691A (ja) 2019-09-05
WO2018040880A1 (zh) 2018-03-08
JP6911122B2 (ja) 2021-07-28
EP3509005A1 (en) 2019-07-10
EP3509005A4 (en) 2020-05-27
EP3509005B1 (en) 2023-10-18

Similar Documents

Publication Publication Date Title
CN106372531B (zh) 一种授权获取终端攻击报警信息日志方法和系统
RU2560810C2 (ru) Способ и система защиты информации от несанкционированного использования (ее варианты)
CN101340285A (zh) 利用指纹USBkey进行身份验证的方法及系统
CN104464048B (zh) 一种电子密码锁开锁方法及装置
CN102800141A (zh) 一种基于双向认证的门禁控制方法及系统
CN102333072B (zh) 一种基于智能终端的网络银行可信交易系统与方法
CN103390124A (zh) 安全输入和处理口令的设备、系统和方法
CN104322003A (zh) 借助实时加密进行的密码认证和识别方法
CN101656748A (zh) 基于安全网络的二代身份证在线查询系统及方法
CN101140605A (zh) 数据安全读取方法及其安全存储装置
CN104852913A (zh) 动态口令电子密码锁
CN102238193A (zh) 数据认证方法及使用该方法的系统
CN101420302A (zh) 安全认证方法和设备
CN105656862A (zh) 认证方法及装置
CN107295024A (zh) 一种实现Web前端安全登陆和访问的方法
CN106789024A (zh) 一种远程解锁方法、装置和系统
CN1447269A (zh) 基于硬件特征的证书认证系统和方法
CN108667801A (zh) 一种物联网接入身份安全认证方法及系统
CN105243305B (zh) 基于生物识别特征的访问控制方法及系统
Gulsezim et al. Two factor authentication using twofish encryption and visual cryptography algorithms for secure data communication
CN106408298A (zh) 一种授权对终端清除攻击报警方法和系统
CN106330877B (zh) 一种授权对终端状态进行转换的方法和系统
CN106357624B (zh) 一种安全设置终端系统时间方法和系统
CN102314566A (zh) 应用于云计算的机机认证与人机认证方法
CN105205667A (zh) 一种安全支付的验证方法、装置及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant