CN109245893A - 一种用于替代u盾的身份构建及签名方法 - Google Patents

Abstract

本发明提供的用于替代U盾的身份构建及签名方法，根据用户身份构建请求生成账户激活码并存储用户身份信息；根据用户电子设备发送的用户身份信息及账户激活码分发私钥，存储用户电子设备的身份信息，将用户身份信息、用户电子设备身份信息、私钥进行绑定；将用户身份信息、用户电子设备的身份信息与已经存储的用户身份信息、用户电子设备的身份信息进行比较，如果一致，则授权用户电子设备进行签名操作；接收用户电子设备发送的利用其私钥进行签名的签名数据，利用公钥对签名数据进行验证。本发明将用户身份信息、用户电子设备身份信息、私钥绑定，私钥保存在电子设备中，由电子设备实现U盾功能，无需分发U盾，节约了成本，简化了业务流程。

Description

一种用于替代U盾的身份构建及签名方法

技术领域

本发明涉及通过提供一种结合线上线下的一套分发、认证、签名及核销的技术机制来保证在使用类似于认证签名业务的安全性及便捷性，可以在互联网上替代类似于利用U盾及其他认证硬件进行签名的方法，尤其涉及一种用于替代U盾的身份构建及签名方法。

背景技术

传统的U盾，在发行主管方传统手段耗时耗力，整个业务的发行、更换、注销周期过长，可能让当事人错失投标时机。各个地方的主管部门发行的U盾不能互通，使得当事人根据不同的业务持有U盾数量较多，给当事人带来不便和可能遗失的风险，同时还需支付一部分经济成本。从源头开始，多地数据难以打通，如果不能通过技术手段来统一U盾这个验证签名体系，那么数据互通，业务互连的愿景也很难实现。

发明内容

为了解决现有技术中多种U盾多方不统一、日常持有不边便捷、经济成本较高且U盾的遗失会造成业务处理不及时的问题，本发明提供一种用于替代U盾的身份构建及签名方法，通过建立统一完善的认证机制和签发制度标准，借助日常手机等设备，利用系统平台统一信息互通体系架构，实现数据互联，业务互通。

本发明提供的用于替代U盾的身份构建及签名方法，包括以下步骤：

身份构建及私钥分发：根据用户身份构建请求生成账户激活码并存储用户身份信息；根据用户电子设备发送的用户身份信息及账户激活码分发私钥，存储用户电子设备的身份信息，将用户身份信息、用户电子设备身份信息、私钥进行绑定；

签名验证：将用户身份信息、用户电子设备的身份信息与已经存储的用户身份信息、用户电子设备的身份信息进行比较，如果一致，则用户电子设备具有签名操作权限；接收用户电子设备发送的利用其私钥进行签名的签名数据，利用公钥对签名数据进行验证。

本发明根据用户请求生成账户激活码，根据账户激活码、用户电子设备的身份信息，如手机IMEI信息等，分发私钥，将用户身份信息、用户电子设备身份信息、私钥进行绑定，私钥保存在用户电子设备中，由用户电子设备实现U盾的功能。在签名验证时，由用户电子设备利用其存储的私钥进行签名，无需另外分发U盾，大大节约了成本，简化了业务流程，各U盾提供方无需再自行提供U盾设备。

本发明还包括解除身份信息绑定的步骤，根据用户解除绑定请求，核实用户身份信息，如果用户身份信息与已经存储的用户身份信息一致，则解除已经绑定的用户身份信息、用户电子设备身份信息、私钥。当用户电子设备丢失或需要更换的，将用户身份信息、用户电子设备身份信息与私钥解除绑定，再重新进行身份构建及私钥分发，将用户身份信息与新的电子设备、私钥进行绑定。

本发明在签名验证前还包括登录的步骤，根据用户的登录请求，核实用户身份信息，如果用户身份信息与已经存储的用户身份信息一致，则生成校验码，接收用户电子设备根据校验码生成的登录码，如果该登录码与服务器自身根据校验码生成的登录码一致，则登录成功。可以采用随机数生成算法等算法来得出登录码。

为避免相关信息被篡改，用户身份信息、用户电子设备身份信息、私钥存储在区块链中，能更好规避人工中心化对进行签名作业等文件的篡改，提高了公信力。而且通过区块链的最基本特性，利用其存证功能来打造整个信息数据无法篡改，永久保存，让各地域登录，签名信息平台互联互通、资源共享的目标。用户电子设备发送的利用其私钥进行签名的签名数据也可存储在区块链中。

可以进行一次签名验证，也可以进行多次签名验证，提高安全性，接收用户电子设备发送的利用其私钥进行签名的签名数据后，由服务器利用其自身的私钥对该签名数据进行二次签名，并将二次签名后的签名数据发送给区块链，由区块链利用其自身的私钥对二次签名后的签名数据进行第三次签名，并将第三次签名后的签名数据存储在区块链中。当需要验证签名时，根据签名验证请求，利用公钥对存储在区块链中的签名数据进行验证。

本发明签名验证步骤中，将用户身份信息、用户电子设备的身份信息进行哈希运算，将运算后的散列哈希值与预先存储的散列哈希值进行对比，如果一致，则用户电子设备具有签名操作权限。参与哈希运算的还包括时间戳。

本发明提出的利用手机等用户自有电子设备来替代U盾，通过软件来实现的电子证书进行认证和签名，结合区块链智能合约，对信息进行无可篡改的签名作业，并实时共识到内部区块链联盟中，作为存证的一种方式来为后续追踪回溯提供可信证明，能更好的规避了人工中心化对进行签名作业文件的篡改，提高了公信力。而且通过区块链的最基本特性，利用其存证功能来打造整个信息数据无法篡改，永久保存，让各地域登录，签名信息平台互联互通、资源共享的目标。区块链作为一种底层技术，通过提供不可篡改，公开透明的可信数据生态，为后续建立可信生态环境提供技术支持。通过结合线上线下的一套分发、认证、签名及核销的技术机制来保证在使用类似于认证签名业务的安全性及便捷性。

附图说明

图1为现有系统与本发明流程对比示意图；

图2为本发明构建用户注册过程流程示意图；

图3为本发明用户登录过程流程示意图；

图4为本发明签名过程流程示意图一；

图5为本发明签名过程流程示意图二；

图6为本发明更换签名信息过程流程示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本说明书(包括摘要和附图)中公开的任一特征，除非特别叙述，均可被其他等效或者具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

如图1所示，现有系统采用分发U盾硬件设备的方式分发私钥，利用U盾进行业务操作签名，当U盾丢失后，需要到主管部门申请重新分发U盾。本发明采用软件结合用户自有电子设备(如手机)的方式实现对U盾的替代，根据用户的请求生成账户激活码，利用账户激活码激活电子设备实现私钥分发，当用户自有电子设备丢失或更换时，解除原有绑定，重新分发账户激活码即可。

涉及参与方：

1、基于区块链智能合约技术的设备：即合约设备，该设备可以是一台物理服务器，也可以是使用ARM处理器(Acorn RISC Machine，ARM处理器是Acorn计算机有限公司面向低预算市场设计的第一款RISC微处理器)物联网设备，也可以是区块链部署节点。

2、区块链节点：用于存储区块信息、合约、共识确认、执行合约内容等功能。

3、服务器：即图2到图5中提到的认证/加密服务器，对互联网提供服务的设备，提供对应加密，认证及一部分签名功能。其本身可以承担合约设备的功能，也可以是区块链节点之一。

4、网站：任何可以提供信息处理和显示的信息系统(可以且不限于微软操作系统、linux操作系统、IOS操作系统及安卓操作系统等等)，用来对整个交互过程进行处理，网站由服务器提供技术支撑。网站服务器与认证/加密服务器可以是同一个服务器，也可以是不同的服务器。

5、系统使用者：主要是需要利用该系统进行各种签名或认证业务的主体，可以是用户(申请者)，也可以是银行等机构。

6、线下发行证书机构，主要是通过线下接收及验证系统申请者的申请信息，审核并线下分发激活码，给系统使用者用以激活设备。

部署流程：

1、搭建区块链网络，该网络需要若干区块链节点组成。

2、在互联网上部署基于区块链智能合约技术的设备。

3、一台能够接收服务器传递过来信息和呈现数据的设备。在本发明实施例中以手机为例，进行线下激活码的输入验证以及对一部分信息进行签名处理。

如图2所示，用户注册登记过程，包括：

1、申请者提供审核信息如纸质信息，身份证信息等等，提交给相关机构进行柜台登记备案，用于申请认证及签名设备的账户激活码。

2、线下窗口员工接受信息，并于线上提交资料。

3、认证/加密服务器根据相关注册信息自动生成账户激活码(一次性)，打印并交与申请者。

4、申请者下载手机U盾app。

5、申请者输入注册信息(注册账号、密码等)及账户激活码，根据申请者的注册信息及账号激活码生成个人私钥。

6、申请者使用手机下载个人私钥，进行激活操作。

7、手机U盾App后续作为现有的U盾来进行使用。

在用户注册登记过程中，服务器将用户身份信息(如注册账号、密码等)与手机身份信息(如IMEI码)、个人私钥进行绑定并存储在服务器上，服务器可以作为区块链节点之一，也就是说可以存储在区块链上。

如图3所示，用户登录过程包括：

1、用户登录网站。

2、用户在网站上输入用户名、密码。

3、认证/加密服务器核实用户名和密码，如无误，网站显示校验码。

4、用户在手机上打开app软件输入校验码，自动生成网站登录码，可以采用随机数生成算法等根据校验码生成网站登录码。

5、将用户的手机通过校验码生成的登陆码输入到网站上。

6、用户点击确认后，手机上显示“是否确认登录”。

7、用户确认，认证/加密服务器验证通过，登陆系统成功。

如图4所示，结合图5，签名过程包括：

1、用户登录系统。

2、用户填写和业务相关的表单。

3、表单发送网站服务器，网站服务器发起签名请求，网站服务器通过网页输出请求验证码，要求用户提供时间戳、请求验证码、用户身份信息(如用户账户ID)、手机身份信息(如IMEI码)。

4、用户手机将请求验证码连同时间戳、用户身份信息、手机身份信息发送给网站服务器，网站服务器将时间戳、请求验证码、用户身份信息及设手机身份信息数据进行哈希运算，运算后的散列哈希值与认证/加密服务器中存储的散列哈希值进行对比，来确认手机是否具有的签名权限，如果一致，则手机具有签名权限。

5、网站服务器会对对应表单内容及附件进行散列计算，实现加密，散列计算后的数据由用户进行签名。

6、提示用户打开手机以进行签名。

7、用户打开手机，打开签名功能。

8、用户在手机上输入签名信息后点击确认，利用个人私钥进行签名。

9、认证/加密服务器利用公钥对用户的签名进行验证。

10、签名通过后对网站服务器会对表单及附件进行二次签名。

11、认证/加密服务器对网站签名进行网站公钥的验证。

12、签名完成。

特别注意的是，在这里可以进行不仅仅只是二次的签名，也可以只使用一次或者多次签名。如图5所示，如网站服务器二次签名后，再由区块链进行第三次签名，可采用RSA椭圆签名算法等。前面描述的签名过程中，每一次签名之后进行一次验证，也可以由手机、网站服务器、区块链依次进行签名，将三次签名后的数据存储到区块链中，当需要进行验证时，再利用公钥进行验证。

如图6所示，挂失更换手机过程包括：

1、用户在柜台提出更改/挂失手机申请。

2、线下窗口人员通过受理用户的申请，进行信息核对，如身份证信息、账户信息等。

3、核对无误后，在系统中注销当前激活个人私钥。

4、原有设备解除绑定，原有设备与用户身份信息、私钥不再关联，让该设备的服务不能正常提供。

5、执行用户注册登记过程中第2步及后续的过程，重新绑定电子设备。

由于相关信息存储在区块链中，可以不将原信息删除，而是生成一条新的用户身份信息、电子设备身份信息及个人私钥的绑定的数据，在签名验证等过程中，直接使用最新的一条数据，提高可追溯性。

Claims (9)

1.一种用于替代U盾的身份构建及签名方法，其特征在于，包括以下步骤：

身份构建及私钥分发：根据用户身份构建请求生成账户激活码并存储用户身份信息；根据用户电子设备发送的用户身份信息及账户激活码分发私钥，存储用户电子设备的身份信息，将用户身份信息、用户电子设备身份信息、私钥进行绑定；

签名验证：将用户身份信息、用户电子设备的身份信息与已经存储的用户身份信息、用户电子设备的身份信息进行比较，如果一致，则用户电子设备具有签名操作权限；接收用户电子设备发送的利用其私钥进行签名的签名数据，利用公钥对签名数据进行验证。

2.如权利要求1所述的用于替代U盾的身份构建及签名方法，其特征在于，还包括解除身份信息绑定的步骤，根据用户解除绑定请求，核实用户身份信息，如果用户身份信息与已经存储的用户身份信息一致，则解除已经绑定的用户身份信息、用户电子设备身份信息、私钥。

3.如权利要求1所述的用于替代U盾的身份构建及签名方法，其特征在于，在签名验证前还包括登录的步骤，根据用户的登录请求，核实用户身份信息，如果用户身份信息与已经存储的用户身份信息一致，则生成校验码，接收用户电子设备根据校验码生成的登录码，如果该登录码与服务器自身根据校验码生成的登录码一致，则登录成功。

4.如权利要求1、2或3所述的用于替代U盾的身份构建及签名方法，其特征在于，用户身份信息、用户电子设备身份信息、私钥存储在区块链中。

5.如权利要求1、2或3所述的用于替代U盾的身份构建及签名方法，其特征在于，用户电子设备发送的利用其私钥进行签名的签名数据存储在区块链中。

6.如权利要求1、2或3所述的用于替代U盾的身份构建及签名方法，其特征在于，接收用户电子设备发送的利用其私钥进行签名的签名数据后，由服务器利用其自身的私钥对该签名数据进行二次签名，并将二次签名后的签名数据发送给区块链，由区块链利用其自身的私钥对二次签名后的签名数据进行第三次签名，并将第三次签名后的签名数据存储在区块链中。

7.如权利要求6所述的用于替代U盾的身份构建及签名方法，其特征在于，根据签名验证请求，利用公钥对存储在区块链中的签名数据进行验证。

8.如权利要求1、2或3所述的用于替代U盾的身份构建及签名方法，其特征在于，签名验证步骤中，将用户身份信息、用户电子设备的身份信息进行哈希运算，将运算后的散列哈希值与预先存储的散列哈希值进行对比，如果一致，则用户电子设备具有签名操作权限。

9.如权利要求8所述的用于替代U盾的身份构建及签名方法，其特征在于，参与哈希运算的还包括时间戳。