CN106845275B - 一种隐私保护的电子票据管理系统与方法 - Google Patents

Abstract

一种隐私保护的电子票据管理系统与方法。采用单向函数对原始票据中用户指定的敏感信息进行处理，操作简单易实现，并能保证商业交易中的敏感信息仅被出票人、持票人和验票人所获知；视交易双方的需求而定，本发明可保护关于交易的一则或多则敏感信息；通过对敏感信息和辅助码进行单向函数计算得到电子票据中的掩码，保证了不知晓辅助码的攻击者无法通过尝试穷举来发现有关原始交易的敏感信息，掩码由辅助码及原始票据中的敏感信息共同且唯一确定，若敏感信息不同则掩码不同，保证了持票人无法向验票人捏造有关交易内容的敏感信息；出票人、验票人、服务器等参与方各司其职，实现了电子票据流转过程中产生、验证、存储等功能的隔离，并为各自的升级扩展和整体的运维管理提供了方便。

Description

一种隐私保护的电子票据管理系统与方法

技术领域

本发明涉及信息安全领域，尤其涉及一种可保护用户隐私的电子票据管理系统与方法。

背景技术

不断发展的信息技术在商业交易中得到了越来越多和越来越重要的应用。以电子发票、电子收据为代表的电子票据正在逐步取代传统的纸质票据。作为对交易的一种记录，电子票据通常采用集中存储方式以便于管理，而存储电子票据的服务器(如国内外各种云存储服务提供商)往往是诚实但好奇的，管理者可能会通过对服务器上存储的电子票据进行各种分析来窥探买家或卖家的隐私(如买家的身份信息或卖家的盈利状况)；若服务器受到外来攻击，其上集中存储的电子票据也存在被泄露从而被加以利用的风险。另一方面，电子票据确实有可能包含一些敏感信息，而作为电子票据用户的买卖双方(或一方)有可能不希望这类信息被公开；例如，卖家认为交易的商品名称和/或交易金额不应被存储票据的服务器获知，再如，个人(或团体)买家不希望暴露其真实姓名(或团体名称)。为迎合此类需求，有必要在电子票据管理中引入恰当的技术手段，帮助用户也即交易双方(或一方)保护其隐私。

发明内容

本发明技术解决问题：克服现有技术的不足，提供一种隐私保护的电子票据管理系统与方法，可用于保护与原始交易有关的用户指定的敏感信息。视交易双方的需求而定，所述敏感信息可以是交易信息中的一项或多项条目。

本发明利用单向函数来保护商业交易中的敏感信息。具体地说，敏感信息以掩码方式被载入电子票据，不持有特定辅助信息的任何人都无法从电子票据中的掩码恢复出被保护的敏感信息。所述的单向函数是一类特殊的函数，其特点是从输入值计算输出值很容易，但从输出反推输入不可行；实际应用当中大多采用抗碰撞的单向哈希函数，其特点是输入值的长度任意但输出值的长度固定，且找到具有相同输出的两个不同输入值在计算上不可行。此类单向函数通常由密码标准化组织制定且由系统使用者选定。

本系统包含以下参与方：出票人、持票人、验票人、服务器。出票人是交易卖方，是电子票据的产生者，负责生成电子票据并将其上传至服务器；持票人是交易买方，是电子票据的持有者；验票人是交易验证方(例如受理报销/审计业务的组织)，是电子票据的验证者；服务器负责存储出票人上传的电子票据，并允许持票人和验票人(以及出票人)读取电子票据。所述电子票据为对交易的电子记录，其内容分为两部分：公开信息和掩码。公开信息是指交易中无需保护的信息，票据生成时不做特殊处理；特别地，每张电子票据都具有公开的唯一标识符(类似于发票的编号)，用于检索电子票据。掩码是指交易信息中需要保护的敏感信息经单向函数处理后的结果，这相当于将敏感信息以掩码方式载入电子票据。在服务器中存储和读取电子票据时有可能要用到电子签名生成和校验等技术以保证电子票据的完整性，服务器也可能需要对持票人等进行必要的访问控制，但本发明关注的是隐私保护，完整性保护及访问控制不是本发明的核心内容。

本发明采用的技术方案如下：

一种隐私保护的电子票据管理系统与方法，如图1所示，涉及电子票据在各参与方之间的流转，包括电子票据的生成和验证。具体如下。

一、电子票据的生成过程

1)出票人为电子票据选取辅助码并本地保存；辅助码不应重复使用，也即为不同的电子票据应选取不同的辅助码。

2)如图2所示，出票人将辅助码以及原始票据中关于交易的一则或多则敏感信息代入选定的单向函数进行计算得到掩码，利用掩码和公开信息构造电子票据，并上传至服务器，其中，掩码由辅助码和原始票据中的敏感信息共同且唯一确定。

3)出票人通过离线方式告知持票人此电子票据所对应的辅助码，持票人可根据此辅助码核实出票人存储在服务器中的电子票据。

所述步骤1)中，辅助码应该足够长，建议为112比特或更长的随机数或者伪随机数，这样既使得不同的电子票据得以对应不同的辅助码，也使得敌手通过穷举法从掩码猜测出敏感信息变得不可行。出票人可以随机选取辅助码，也可以基于其私有密钥对电子票据的唯一标识符等条目进行密码学运算来生成辅助码。辅助码也可由持票人类似选取并离线告知出票人，或者由出票人和持票人共同选取。

所述步骤3)中，离线方式是指消息不会被票据存储服务器或其他无关方获知的通信方式，例如出票人通过纸质打印传递给持票人、出票人通过近场通信(NFC)或二维码方式传递给持票人等。

所述步骤3)中，核实电子票据是指持票人自己根据原始票据中的敏感信息和辅助码计算单向函数的输出值，并检查该输出值是否与电子票据中的掩码一致。

二、电子票据的验证过程

1)验票人根据电子票据的唯一标识符从服务器中在线获取需验证的电子票据，同时通过离线方式从持票人处获取该电子票据对应的辅助码和敏感信息。

2)验票人将获得的辅助码和敏感信息代入单向函数进行计算。

3)验票人将计算结果与电子票据中的掩码进行比较，若相同则验证通过，否则不通过。

与现有技术相比，本发明提出了一种隐私保护的电子票据管理系统与方法，其有益效果为：

1)本发明采用单向函数对原始票据中用户指定的敏感信息进行处理，操作简单易实现，敏感信息以掩码形式被载入电子票据，不会被攻击者(例如票据存储服务器的管理者，或者成功入侵了该服务器的黑客)获知。

2)视交易双方的需求而定，本发明可保护关于交易的一则或多则敏感信息，灵活性好。

3)本发明中电子票据中的掩码通过对敏感信息和辅助码进行单向函数计算而得到，因此，不知晓辅助码的攻击者无法通过尝试穷举来发现有关原始交易的敏感信息。掩码由辅助码和原始票据中的敏感信息共同且唯一确定，若敏感信息不同则掩码不同，故持票人无法向验票人捏造有关交易内容的敏感信息。

4)本发明中出票人、验票人、服务器等参与方各司其职，实现了电子票据流转过程中产生、验证、存储等功能的隔离，并为各自的升级扩展和整体的运维管理提供了方便。

附图说明

图1为电子票据管理系统框架示意图；

图2为电子票据组成及构造过程示意图；

图3为电子票据验证过程的流程图。

具体实施方式

为使本发明的目的、原理、技术方案和优点更加清晰明白，以下将结合具体实施例，并参照附图对本发明做详细的说明。

本实施例以基于单向哈希函数的隐私保护的电子发票管理系统为例对本发明的系统设计方法进行说明。假定某单位员工O(持票人)从经销商G(出票人)处完成了一笔采购，G向O开具了电子发票e，O需要找其单位财务处V(验票人)进行核销。指定对称加密算法E_x为国际通用的分组密码AES-128，其中，x是G选取的长度为128比特的对称密钥。指定单向哈希函数h为RFC 6234中的SHA-224算法。具体实现步骤为：

一、电子发票生成过程

1)出票人G根据需生成的电子发票e的唯一标识符i计算a＝E_x(i)作为电子发票e的辅助码，i对电子发票而言通常为发票代码和发票号码的组合。

2)G和O根据双方的需求进行协商后，将付款日期和付款单位名称作为敏感信息s，把辅助码a和敏感信息s代入单向哈希函数h计算得到电子发票e的掩码x＝h(a||s)，其中||表示二进制比特串的拼接。G利用掩码和公开信息构造电子发票e，经必要操作(如电子签名)后将其上传至某公有云，其中，公开信息指原始发票中除敏感信息之外的信息。

3)G将a以Base64编码格式打印在纸条上交付持票人O；O可据此核实存储在服务器中的电子发票e。

二、电子发票验证过程，如图3所示：

1)验票人V根据电子发票e的唯一标识符i从前述公有云在线获取e并进行必要(如电子签名)验证。持票人O通过口头方式将付款日期和付款单位名称也即所属交易的敏感信息s'告知V，并将打印有辅助码a'的纸条出示给V。

2)V将辅助码a'和敏感信息s'代入单向哈希函数h计算得到x'＝h(a'||s')。

3)V将x'与e中掩码x进行比较，若相同则验证通过(并进行财务核销)，否则不通过。

综上所述，本发明提出了一种隐私保护的电子票据管理系统与方法。本发明采用单向函数对原始票据中用户指定的敏感信息进行处理，操作简单易实现，并能保证商业交易中的敏感信息仅被出票人、持票人和验票人所获知；视交易双方的需求而定，本发明可保护关于交易的一则或多则敏感信息，灵活性好；本发明通过对敏感信息和辅助码进行单向函数计算得到电子票据中的掩码，保证了不知晓辅助码的攻击者无法通过尝试穷举来发现有关原始交易的敏感信息，掩码由敏感信息和辅助码共同唯一决定，若敏感信息不同则掩码不同，保证了持票人无法向验票人捏造有关交易内容的敏感信息；本发明中出票人、验票人、服务器等参与方各司其职，实现了电子票据流转过程中产生、验证、存储等功能的隔离，并为各自的升级扩展和整体的运维管理提供了方便。

以上所述实施例仅为更好的说明本发明的目的、原理、技术方案和有益效果。所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种隐私保护的电子票据管理系统，其特征在于包括：出票人、持票人、验票人和服务器；出票人是交易卖方，是电子票据的产生者，负责生成电子票据并将其上传至服务器；持票人是交易买方，是电子票据的持有者；验票人是交易验证方，是电子票据的验证者；服务器负责存储出票人上传的电子票据，并允许持票人和验票人及出票人读取电子票据；所述电子票据为对交易的电子记录，内容分为两部分：公开信息和掩码，公开信息是指交易中无需保护的信息；每张电子票据均具有公开的唯一标识符，用于检索电子票据；掩码是指交易信息中需要保护的敏感信息经单向函数处理后的结果，相当于将敏感信息以掩码方式载入电子票据；

所述电子票据生成模块的过程如下：

(11)出票人为电子票据选取辅助码并本地保存；辅助码不重复使用，也即为不同的电子票据应选取不同的辅助码；

(12)出票人将辅助码及原始票据中的敏感信息代入单向函数计算得到掩码，利用掩码和公开信息构造电子票据，并上传至服务器，其中，掩码由辅助码和原始票据中的敏感信息共同且唯一确定；

(13)出票人通过离线方式告知持票人此电子票据所对应的辅助码，持票人根据此辅助码核实出票人存储在服务器中的电子票据；

所述电子票据验证模块的过程如下：

(21)验票人根据电子票据的唯一标识符从服务器中在线获取需验证的电子票据，同时通过离线方式从持票人处获取该电子票据对应的敏感信息和辅助码；

(22)验票人将获得的敏感信息和辅助码代入单向函数计算，得到计算结果；

(23)验票人将计算结果与电子票据中的掩码进行比较，若相同则验证通过，否则不通过。

2.根据权利要求1所述的隐私保护的电子票据管理系统，其特征在于：所述步骤(11)中，辅助码不重复使用且长为112比特或更长的随机数或者伪随机数。

3.根据权利要求1所述的隐私保护的电子票据管理系统，其特征在于：所述步骤(13)中，离线方式是指消息不会被票据存储服务器或其他无关方获知的通信方式，包括出票人通过纸质打印传递给持票人、出票人通过近场通信(NFC)或二维码方式传递给持票人。

4.根据权利要求1所述的隐私保护的电子票据管理系统，其特征在于：所述步骤(13)中，核实电子票据是指持票人自己根据原始票据中的敏感信息和辅助码计算单向函数的输出值，并检查该输出值是否与电子票据中的掩码一致。

5.一种隐私保护的电子票据管理方法，其特征在于：包括电子票据的生成和验证步骤，具体如下：

所述电子票据生成的过程如下：

(11)出票人为电子票据选取辅助码并本地保存；辅助码不重复使用，也即为不同的电子票据应选取不同的辅助码；

(12)出票人将原始票据中的敏感信息及辅助码代入单向函数计算得到掩码，利用掩码和公开信息构造电子票据，并上传至服务器，其中，掩码由辅助码和原始票据中的敏感信息共同且唯一确定；

(13)出票人通过离线方式告知持票人此电子票据所对应的辅助码，持票人根据此辅助码核实出票人存储在服务器中的电子票据；

所述电子票据验证的过程如下：

(21)验票人根据电子票据的唯一标识符从服务器中在线获取需验证的电子票据，同时通过离线方式从持票人处获取该电子票据对应的敏感信息和辅助码；

(22)验票人将获得的敏感信息和辅助码代入单向函数计算，得到计算结果；

(23)验票人将计算结果与电子票据中的掩码进行比较，若相同则验证通过，否则不通过。