CN108964883A

CN108964883A - 一种以智能手机为介质的数字证书存储与签名方法

Info

Publication number: CN108964883A
Application number: CN201710371490.XA
Authority: CN
Inventors: 赵治国; 肖贺
Original assignee: Beijing Security Technology Co Ltd
Current assignee: Beijing Security Technology Co Ltd
Priority date: 2017-05-27
Filing date: 2017-05-27
Publication date: 2018-12-07
Anticipated expiration: 2037-05-27
Also published as: CN108964883B

Abstract

本发明涉及用户数字证书与密钥的存储与使用方法，公开了一种以智能手机为介质的数字证书存储与签名方法。目前采用智能密码钥匙硬件存储证书与密钥或者采用文件形式存储证书和密钥的方式要么成本高昂、灵活性不足，要么安全性不足。本发明在智能手机和计算机上安装数字证书安全服务软件模块，为计算机提供安全的密钥与数字证书管理及服务功能，具体实现包括两个组成部分：智能手机数字证书安全服务组件和计算机本地数字证书安全服务组件。其主要优点在于：与现有的以智能密码钥匙等设备为介质的方式相比，成本更低，操作更灵活；与现有的软证书方式相比，安全性更高；对于私钥的访问授权可以通过指纹授权、扫码授权或智能授权多种方式灵活完成。

Description

一种以智能手机为介质的数字证书存储与签名方法

技术领域

本发明涉及用户数字证书与密钥的存储与使用方法，尤其涉及一种以智能手机为介质的数字证书存储与签名方法。

背景技术

现有的数字证书存储方式通常分为智能密码钥匙和软证书两类。智能密码钥匙通常为具有CPU的USB设备，通过USB接口与计算机连接。软证书一般以文件的形式存储在计算机存储设备或者操作系统指定的位置。智能密码钥匙虽然安全性高，但具有一定的设备成本，且需要随身携带，经常发生丢失或用户PIN遗忘的问题。软证书则安全程度不足、容易出现被复制后非法使用的问题，以微软的Windows操作系统为例，存储在浏览器安全存储区中的密钥及证书(软证书的一种实现方式)能够轻易地被非法导出计算机。

数字证书及与其对应的私钥(公开密钥对的个人部分)作为网络业务和通讯安全的保障，其自身安全性必须得到保证、且保持足够的易用性和灵活性。目前采用智能密码钥匙硬件存储证书与密钥或者采用文件形式存储证书和密钥的方式要么成本高昂、灵活性不足，要么安全性不足，影响到了数字证书的使用和推广，不利于构建安全的互联网通信及业务环境。

发明内容

本发明的目的是克服现有方法的不足，提供一种使用智能手机代替智能密码钥匙的方法，利用绝大多数人员已经具有的智能手机，在智能手机和计算机上安装数字证书安全服务软件模块，为计算机提供安全的密钥与数字证书管理及服务功能，从而达到证书及密码使用简单、灵活易用、安全可靠、高效管理、降低成本的目的。

其具体实现包括两个组成部分：智能手机数字证书安全服务组件和计算机本地数字证书安全服务组件。

智能手机数字证书安全服务组件负责密钥安全存储及管理、数字证书安全存储及管理、私钥访问认证授权，为计算机本地数字证书安全服务组件提供密码运算服务。计算机本地数字证书安全服务组件负责与CA系统及应用系统通信及交互，并为应用系统提供给密码服务统一接口。智能手机端与计算机端相互进行认证并绑定，认证及绑定过程需要证书拥有者核实绑定关系并确认执行绑定操作。

以智能手机为介质的数字证书存储与签名方法包括如下步骤：

1)在用户智能手机上安装智能手机数字证书安全服务组件，在计算机上部署安装计算机本地数字证书安全服务组件，完成智能手机与计算机的绑定操作；

2)在申请用户数字证书时，计算机本地数字证书安全服务组件向智能手机数字证书安全服务组件发起用户密钥生成请求，并提交用户个人身份信息；

3)智能手机数字证书安全服务组件与用户交互，确定密钥访问授权，然后生成用户密钥值，并将其加密后存储到智能手机文件系统；

4)智能手机数字证书安全服务组件利用密钥及计算机本地数字证书安全服务组件提交的用户个人身份信息生成证书签发请求，并将证书签发请求返回给计算机本地数字证书安全服务组件；

5)计算机本地数字证书安全服务组件将接收的用户证书签发请求文件通过证书申请通道发送到CA系统，请求CA系统进行证书签发操作；在收到CA系统签发的用户证书文件后，进行证书文件安装操作，并将被安装的证书文件提交到智能手机数字证书安全服务组件；

6)智能手机数字证书安全服务组件对证书的合法性进行验证，如果被安装的证书验证合法，则进行证书存储操作，否则不进行证书安装操作，并将安装结果返回给计算机本地数字证书安全服务组件；

7)在用户使用数字证书进行签名操作时，计算机本地数字证书安全服务组件向需要进行数字签名的应用系统提供数字签名接口，并转发到智能手机数字证书安全服务组件；

8)智能手机数字证书安全服务组件与用户交互进行私钥操作授权，如果用户授权成功，则进行数字签名操作并返回签名结果，否则返回签名操作失败；计算机本地数字证书安全服务组件接收签名结果，并将签名结果返回调用数字签名的应用系统。

所述的步骤1)中，智能手机与计算机进行绑定操作时，它们之间采用SSL协议通信，通讯通道包括移动网络、WiFi网络、蓝牙接口：

所述的步骤1)中，智能手机与计算机进行绑定操作的步骤包括：

1)在用户发起设备绑定请求时，由计算机本地数字证书安全服务组件根据自身硬件特征产生设备识别二维码，该二维码对于不同计算机是唯一的且固定的；

2)用户使用智能手机扫描计算机识别二维码，并在界面上确认设备绑定。

所述的步骤1)中，智能手机与计算机的绑定关系可以是永久的，也可以是临时的，需要时可以重新绑定；智能手机可以与多台计算机绑定。

所述的步骤2)中，计算机本地数字证书安全服务组件所提交的用户个人身份信息，可以由用户输入，也可以从应用系统数据库中提取；

所述的步骤3)中，用户密钥可以通过智能手机内置的安全装置生成并存储，如果智能手机不具有内置的安全装置，则通过软件计算生成密钥值，生成的密钥值被加密后存储在计算机的文件存储区；

所述的步骤3)中，对密码值加密的密钥通过智能手机的设备识别码、用户PIN、以及预制密钥计算生成；

所述的步骤3)中，对于私钥的访问授权可以通过指纹授权、扫码授权或智能授权多种方式灵活完成；

所述的步骤7)中，在用户使用数字证书进行签名操作时，可以在申请数字证书的计算机A上完成，也可以在其它已绑定的计算机B上完成。

本发明的优点在于：

1)与现有的以智能密码钥匙等设备为介质的方式相比，成本更低；与现有的软证书方式相比，安全性更高；

2)通信过程全程采用SSL加密保护，能够保证敏感数据及管理操作的安全性；

3)计算机与智能手机的绑定操作可通过扫描二维码完成，快捷方便；

4)智能手机存储的私钥安全性通过复合多种安全技术来保证，对于私钥的访问授权可以通过指纹授权、扫码授权或智能授权多种方式灵活完成。

附图说明

下面结合附图及实施方式对本发明作进一步详细的说明：

图1为智能手机与计算机绑定过程；101节点表示，计算机根据自身硬件特征产生设备识别二维码，每台计算机产生的设备识别二维码是唯一的、固定的。

图2为数字证书申请过程，201节点表示，输入的用户身份信息可以由用户输入提供，也可以通过应用系统接口从应用系统的用户数据库获取。202节点表示，用户密钥可以通过智能手机内置的安全装置生成并存储，如果智能手机不具有内置的安全装置，则通过软件计算生成密钥值，生成的密钥值被加密后存储在计算机的文件存储区。对密码值加密的密钥通过智能手机的设备识别码、用户PIN、以及预制密钥计算生成。203 节点表示，向CA系统提交证书申请文件的过程符合CA系统管理要求。

具体实施方式

分别为智能手机和计算机部署安装智能手机数字证书安全服务组件和计算机本地数字证书安全服务组件，智能手机通过密码算法加密存储密钥及对应的数字证书，且存储的密钥与数字证书仅能由智能手机的拥有者使用，计算机负责与CA系统交互以申请数字证书，与应用系统通讯交互提供密码统一服务接口。

首先需要将智能手机与计算机绑定，其流程如图1所示，步骤如下：

1)用户发起设备绑定请求，由计算机本地数字证书安全服务组件根据自身硬件特征产生设备识别二维码，该二维码对于不同计算机是唯一的且固定的；

然后进行数字证书的安装，其流程如图2所示，步骤如下：

1)用户发起证书申请请求，输入用户个人身份信息，或从应用系统用户数据库提取个人身份信息。

2)计算机本地数字证书安全服务组件向智能手机数字证书安全服务组件发起用户密钥生成请求。智能手机数字证书安全服务组件与用户交互，确定密钥访问授权方式，然后利用智能手机内置安全装置或软件随机生成用户密钥值。智能手机数字证书安全服务组件通过智能手机的设备识别码、用户PIN、以及预制密钥计算生成加密密钥对用户密钥值进行加密，并将加密后的密钥密文值存储到智能手机文件系统。

3)智能手机数字证书安全服务组件用上一步骤生成的密钥及计算机本地数字证书安全服务组件提交的用户个人身份信息生成证书签发请求，并将证书签发请求返回给计算机本地数字证书安全服务组件。

4)计算机本地数字证书安全服务组件将接收的用户证书签发请求文件通过证书申请通道发送到CA系统，请求CA系统进行证书签发操作。证书签发过程可以实时在线完成，也可离线非实时完成。

5)计算机本地数字证书安全服务组件接收CA系统签发的用户证书文件。

6)计算机本地数字证书安全服务组件进行证书文件安装操作，被安装的证书文件提交到智能手机数字证书安全服务组件。

7)智能手机数字证书安全服务组件对证书的合法性进行验证，验证过程包括：被安装的证书是否为信任的CA结构签发；被安装的证书所包含的公钥是否与自己所拥有的私钥匹配。

8)如果被安装的证书验证合法，则进行证书存储操作，否则不进行证书安装操作。

9)智能手机数字证书安全服务组件向计算机本地数字证书安全服务组件返回证书安全结果。

10)计算机本地数字证书安全服务组件接收安装结果信息，并进行结果处理。

11)证书安装过程结束。

最后，在应用系统需要使用数字证书签名时，使用智能手机进行数字签名操作，其步骤如下：

1)应用系统在业务需要进行数字签名操作时，调用计算机本地数字证书安全服务组件提供的数字签名接口。

2)计算机本地数字证书安全服务组件对签名操作进行预处理，并转发到智能手机数字证书安全服务组件。

3)智能手机数字证书安全服务组件与用户交互进行私钥操作授权，如果用户授权成功，则进行数字签名操作并返回签名结果，否则返回签名操作失败；

4)计算机本地数字证书安全服务组件接收签名结果，预处理后将签名结果返回调用数字签名的应用系统。

5)应用系统处理签名结果，根据签名操作结果执行后续操作。

Claims

1.一种以智能手机为介质的数字证书存储与签名方法，其特征在于包括如下步骤：

2.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤1)中，智能手机与计算机进行绑定操作时，它们之间采用SSL协议通信，通讯通道包括移动网络、WiFi网络、蓝牙接口。

3.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤1)中，智能手机与计算机进行绑定操作的步骤包括：

4.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤1)中，智能手机与计算机的绑定关系可以是永久的，也可以是临时的，需要时可以重新绑定；一部智能手机可以与多台计算机绑定。

5.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤2)中，计算机本地数字证书安全服务组件所提交的用户个人身份信息，可以由用户输入，也可以从应用系统数据库中提取。

6.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤3)中，用户密钥可以通过智能手机内置的安全装置生成并存储，如果智能手机不具有内置的安全装置，则通过软件计算生成密钥值，生成的密钥值被加密后存储在计算机的文件存储区。

7.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤3)中，对密码值加密的密钥通过智能手机的设备识别码、用户PIN、以及预制密钥计算生成。

8.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤3)中，对于私钥的访问授权可以通过指纹授权、扫码授权或智能授权多种方式灵活完成。

9.根据权利要求1所述的一种以智能手机为介质的数字证书存储与签名方法，其特征在于所述的步骤7)中，在用户使用数字证书进行签名操作时，可以在申请数字证书的计算机A上完成，也可以在其它已绑定的计算机B上完成。