CN109412811A - 下发认证证书及获取认证证书的方法 - Google Patents

Abstract

本发明涉及一种下发认证证书的方法，包括：后台系统建立第一证书链；其中，第一证书链至少包括用于智能终端的第一证书和用于后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书；后台系统使用第一证书链建立后台系统第二入口并部署第二证书；以及、响应于接收到证书签发请求，后台系统在检验证书签发请求之后向智能终端下发第一证书和后台系统第二入口的标识信息，以供智能终端与后台系统第二入口建立通信连接。这种方式实施简单，为用户提供了良好的使用体验。

Description

下发认证证书及获取认证证书的方法

技术领域

本发明涉及基于双向认证的通信技术领域，更具体地说，涉及一种下发认证证书的方法以及一种获取认证证书的方法。

背景技术

移动互联网环境下，联网的智能终端设备日益增多，设备之间的通信以及设备与后台系统间的通信量越来越大。为了保证通信信息的安全，通常通过https单向认证或双向认证的方式对通信数据进行加密以确保数据的安全，在对安全性要求较高的场合通常采用双向认证的方式。

双向认证方式下，通常通过SSL证书链进行双向认证，然而由于证书存在过期或泄露等风险，为保证系统的安全性，需要定期对SSL证书链进行更新，以确保通信过程的安全。

现有技术中，证书链的更新往往需要人工操作，步骤繁琐、耗时较长，此外，证书链更新与现有功能的使用可能难以兼顾，因而这种更新方式给用户产生了较差的使用体验。

发明内容

本发明的目的在于提供一种更高效的认证证书更新方法。

为实现上述目的，本发明提供一种技术方案如下：

一种下发认证证书的方法，其中认证证书用于在后台系统第一入口和智能终端之间进行双向认证，方法包括如下步骤：a)、后台系统建立第一证书链；其中，第一证书链至少包括用于智能终端的第一证书和用于后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书；b)、后台系统使用第一证书链建立后台系统第二入口并部署第二证书；以及c)、响应于接收到证书签发请求，后台系统在检验证书签发请求之后向智能终端下发第一证书和后台系统第二入口的标识信息，以供智能终端与后台系统第二入口建立通信连接。

优选地，接收到证书签发请求包括：后台系统向智能终端发出证书更新通知；后台系统从智能终端接收证书签发请求；其中，证书签发请求由智能终端基于私钥信息、终端标识信息和证书更新通知生成。

优选地，后台系统检验证书签发请求包括：后台系统检验证书签发请求所包含的终端标识信息的合法性和/或证书签发请求的合规性；后台系统利用终端CA证书对证书签发请求签名。

优选地，智能终端利用第一证书与后台系统第二入口建立通信连接包括：智能终端接收第一证书和后台系统第二入口的标识信息；智能终端利用私钥信息检验第一证书的正确性；智能终端使用第一证书来替换智能终端中存储的第三证书；其中，第三证书为智能终端之前使用的认证证书；智能终端利用标识信息与后台系统第二入口建立双向认证安全通道。

优选地，第一证书链还包括智能终端私钥和后台系统私钥。

本发明还公开一种获取认证证书的方法，其中认证证书用于在后台系统第一入口和智能终端之间进行双向认证，方法包括如下步骤：a)、智能终端生成证书签发请求并向后台系统第一入口发出证书签发请求；b)、智能终端从后台系统接收第一证书和后台系统第二入口的标识信息；其中，第一证书包括在后台系统所建立的第一证书链内，第一证书链还包括用于后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书，后台系统第二入口由后台系统使用第一证书链所建立；以及c)、智能终端基于第一证书来更新第三证书，并且利用后台系统第二入口的标识信息来与后台系统第二入口建立通信连接；其中，第三证书为智能终端之前使用的认证证书。

优选地，智能终端生成证书签发请求包括：智能终端检测基于确定需要进行终端证书更新而生成证书更新请求；智能终端接收后台系统对证书更新请求的响应；智能终端基于私钥信息、终端标识信息和响应生成证书签发请求。

优选地，该方法还包括：智能终端停止与后台系统第一入口之间的通信。

本发明提供的下发认证证书的方法以及获取认证证书的方法，以一种及时且高效的方式实现了双向认证证书链的更新过程，这种方式不仅实施简单，而且适合为多个智能终端同步更新证书。此外，证书更新过程不影响现有功能的使用，不容易为用户所察觉，从而本发明提供了良好的用户使用体验。

附图说明

图1示出本发明第一实施例提供的下发认证证书的方法的流程示意图。

图2示出根据本发明一实施例的后台系统与智能终端之间的连接关系图。

图3示出本发明第二实施例提供的获取认证证书的方法的流程示意图。

具体实施方式

在以下描述中提出具体细节，以便提供对本发明的透彻理解。然而，本领域的技术人员将清楚地知道，即使没有这些具体细节也可实施本发明的实施例。在本发明中，可进行具体的数字引用，例如“第一元件”、“第二装置”等。但是，具体数字引用不应当被理解为必须服从于其字面顺序，而是应被理解为“第一元件”与“第二元件”不同。

本发明所提出的具体细节只是示范性的，具体细节可以变化，但仍然落入本发明的精神和范围之内。术语“耦合”定义为表示直接连接到组件或者经由另一个组件而间接连接到组件。

以下通过参照附图来描述适于实现本发明的方法、系统和装置的优选实施例。虽然各实施例是针对元件的单个组合来描述，但是应理解，本发明包括所公开元件的所有可能组合。因此，如果一个实施例包括元件A、B和C，而第二实施例包括元件B和D，则本发明也应被认为包括A、B、C或D的其他剩余组合，即使没有明确公开。

需要说明的是，在本发明各实施例中，为实现在后台系统与智能终端之间进行双向认证，智能终端持有第一证书，而后台系统持有第二证书，本文所述的证书更新不仅涉及对第一证书的更新，也可以涉及对第二证书的更新。

如图1所示，本发明第一实施例提供一种下发认证证书的方法，该方法包括如下步骤S10-S12-S14。

步骤S10、后台系统建立第一证书链。

具体来说，智能终端在出厂或使用前，需要进行双向认证证书链中终端证书信息的初始化，将证书、私钥等信息进行安全保存（例如，通过硬件/系统级软件安全保护模块）。智能终端利用初始化的证书信息与后台系统入口建立双向认证安全通道，并通过该安全通道进行业务通信。

当需要进行证书链更新时，后台系统将基于当前使用的双向认证协议来重新构建证书链体系。证书链至少包括：根CA证书、终端CA证书、后台系统CA证书、用于智能终端的第一证书、及用于后台系统的第二证书；此外，智能终端私钥信息以及后台系统私钥信息也是优选的内容。证书链还可以进一步包括其他附加的证书链信息。其中，第一证书是用来对智能终端的现有证书进行更新或替换的证书。

步骤S12、后台系统使用第一证书链建立后台系统第二入口并部署第二证书。

在该步骤中，后台系统使用新的证书链搭建另一个后台系统入口（后台系统第二入口），并对其部署双向认证证书链中后台系统端的证书信息（即，第二证书），从而实现对其参数的配置。

根据本发明的实施例，第一证书与第二证书可分别基于认证机构的终端CA证书、后台系统CA证书来产生，而终端CA证书、后台系统CA证书又基于共同的根CA证书来产生。

步骤S14、后台系统在检验证书签发请求之后向智能终端下发第一证书和后台系统第二入口的标识信息。

其中，步骤S14可以响应于后台系统接收到证书签发请求而执行。作为一种示例，证书签发请求可由智能终端生成；作为另一种示例，证书签发请求是由后台系统内部的一种证书签发机制（在确定有新的认证证书需要更新时）生成，其可启动下发认证证书的方法流程。

优选情况下，后台系统确定需要进行认证证书更新时，通过后台系统第一入口向智能终端发出证书更新通知；收到通知后，智能终端基于其所持的私钥信息、自身的终端标识信息和证书更新通知来生成证书签发请求；后台系统再通过第一入口从智能终端处接收到该证书签发请求。

作为进一步的改进，在检验智能终端所生成的证书签发请求时，后台系统执行如下动作：后台系统检验证书签发请求所包含的终端标识信息的合法性，还可以检验证书签发请求的合规性（例如，在短期内不允许频繁地更新证书）。上述检验完成后，后台系统利用终端CA证书对证书签发请求进行签名。

作为更进一步的改进，获取到新的认证证书（即第一证书）后，智能终端与后台系统第二入口建立通信连接。具体来说，智能终端在接收到第一证书和后台系统第二入口的标识信息之后，利用私钥信息来检验第一证书的正确性（适用于该智能终端），在确定其为正确的之后就使用第一证书来替换自身所存储的第三证书。这里的第三证书为智能终端之前使用的认证证书。最后，智能终端利用获得的后台系统第二入口的标识信息来与第二入口建立双向认证安全通道。智能终端还可以选择停止与后台系统第一入口之间的通信。

经上述证书更新过程，智能终端能够及时地对可能过期或失效的用于双向认证的证书进行更新。一旦后台系统确定需要进行认证证书更新，智能终端就能够立即得到通知来自动地启动证书更新流程，而不必等到发现自身的证书已接近过期或甚至已失效的情况下才进行。

如图2所示，根据本发明一个实施例，同一后台系统200可以为多个不同的智能终端101、102、103提供认证证书更新服务。

具体来说，后台系统200通常通过第一入口210经由Internet网或移动通信网络与智能终端101、102、103通信。在例如，后台系统200确定需要对例如，第二终端102进行证书更新时，后台系统200首先生成第一证书链，例如SSL证书链，利用SSL证书链来构建第二入口220，并利用SSL证书链来配置第二入口220。

后台系统200还同步地通过第一入口210来通知第二终端102，收到通知的第二终端102经由Internet网向后台系统200第一入口210发出证书签发请求。后台系统200检验并认可该证书签发请求之后，将第一证书链的部分信息（至少包括第二终端102的终端证书）连同第二入口220的标识信息（例如域名及IP端口信息）一起下发至第二终端102，从而第二终端102获得了最新的认证证书。

随后，第二终端102可利用新的认证证书通过后台系统第二入口220与后台系统200通信，从而实现了对证书的一种“软”更新方式，这种证书更新过程不影响智能终端的现有功能，而且能够不为用户所察觉到。

如图3所示，本发明第二实施例提供一种获取认证证书的方法，其在智能终端处执行，具体包括如下步骤S31-S33-S35。

步骤S31、智能终端生成证书签发请求并向后台系统第一入口发出证书签发请求。

作为示例，智能终端在启动时或进行定期检查时，通过后台系统第一入口发起请求，请求后台系统检测是否需要有新的终端证书来提供更新。在确定需要进行终端证书更新的情况下，智能终端生成证书更新请求（不同于证书签发请求），并将其发送到后台系统第一入口。后台系统若同意，将反馈一个表示同意的响应，智能终端接收到后台系统对证书更新请求的响应后，基于自身的私钥信息、终端标识信息和该响应来生成证书签发请求。

步骤S33、智能终端从后台系统接收第一证书和后台系统第二入口的标识信息。

其中，第一证书是包括在后台系统所建立的第一证书链内，第一证书链还包括用于后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书。视情况而定，第一证书链还包括私钥信息及其他适合的附加信息。

根据本发明各实施例，后台系统第二入口是由后台系统使用第一证书链所建立，但其不同于第一入口。作为示例，其具备不同的配置参数，包括端口、网络地址以及可能采用不同的通信协议。可以理解，与第一入口相并列的第二入口的提供有利于实现证书的软更新方式。

步骤S35、智能终端基于第一证书来更新第三证书，并且与后台系统第二入口建立通信连接。

其中，第三证书为智能终端之前使用的认证证书。智能终端利用接收到的后台系统第二入口的标识信息、新的第一证书来与后台系统第二入口建立安全的通信连接。优选情况下，智能终端还停止与后台系统第一入口之间的通信。

本发明还一并提供机器可读存储介质的实现方式，机器可读存储介质上存储有一批计算机可执行程序指令，这些计算机可执行程序指令在由处理器执行时，能够实现上述第一实施例或第二实施例提供的方法。

上述说明仅针对于本发明的优选实施例，并不在于限制本发明的保护范围。本领域技术人员可能作出各种变形设计，而不脱离本发明的思想及附随的权利要求。

Claims (10)

1.一种下发认证证书的方法，其中所述认证证书用于在后台系统第一入口和智能终端之间进行双向认证，所述方法包括如下步骤：

a)、所述后台系统建立第一证书链；其中，所述第一证书链至少包括用于所述智能终端的第一证书和用于所述后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书；

b)、所述后台系统使用所述第一证书链建立后台系统第二入口并部署所述第二证书；以及

c)、响应于接收到证书签发请求，所述后台系统在检验所述证书签发请求之后向所述智能终端下发所述第一证书和所述后台系统第二入口的标识信息，以供所述智能终端与所述后台系统第二入口建立通信连接。

2.根据权利要求1所述的方法，其特征在于，所述接收到证书签发请求包括：

所述后台系统向所述智能终端发出证书更新通知；

所述后台系统从所述智能终端接收所述证书签发请求；

其中，所述证书签发请求由所述智能终端基于私钥信息、终端标识信息和所述证书更新通知生成。

3.根据权利要求2所述的方法，其特征在于，所述后台系统检验所述证书签发请求包括：

所述后台系统检验所述证书签发请求所包含的所述终端标识信息的合法性和/或所述证书签发请求的合规性；

所述后台系统利用所述终端CA证书对所述证书签发请求签名。

4.根据权利要求3所述的方法，其特征在于，所述智能终端利用所述第一证书与所述后台系统第二入口建立通信连接包括：

所述智能终端接收所述第一证书和所述后台系统第二入口的标识信息；

所述智能终端利用私钥信息检验所述第一证书的正确性；

所述智能终端使用所述第一证书来替换所述智能终端中存储的第三证书；其中，所述第三证书为所述智能终端之前使用的认证证书；

所述智能终端利用所述标识信息与所述后台系统第二入口建立双向认证安全通道。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述第一证书链还包括智能终端私钥和后台系统私钥。

6.一种获取认证证书的方法，其中所述认证证书用于在后台系统第一入口和智能终端之间进行双向认证，所述方法包括如下步骤：

a)、所述智能终端生成证书签发请求并向所述后台系统第一入口发出所述证书签发请求；

b)、所述智能终端从所述后台系统接收第一证书和后台系统第二入口的标识信息；其中，所述第一证书包括在所述后台系统所建立的第一证书链内，所述第一证书链还包括用于所述后台系统的第二证书以及根CA证书、终端CA证书、后台系统CA证书，所述后台系统第二入口由所述后台系统使用所述第一证书链所建立；以及

c)、所述智能终端基于所述第一证书来更新第三证书，并且利用所述后台系统第二入口的标识信息来与所述后台系统第二入口建立通信连接；其中，所述第三证书为所述智能终端之前使用的认证证书。

7.根据权利要求6所述的方法，其特征在于，所述智能终端生成证书签发请求包括：

所述智能终端检测基于确定需要进行终端证书更新而生成证书更新请求；

所述智能终端接收所述后台系统对所述证书更新请求的响应；

所述智能终端基于私钥信息、终端标识信息和所述响应生成所述证书签发请求。

8.根据权利要求6或7所述的方法，还包括：

所述智能终端停止与所述后台系统第一入口之间的通信。

9.根据权利要求8所述的方法，其特征在于，所述第一证书链还包括智能终端私钥和后台系统私钥。

10.一种机器可读存储介质，其上存储有计算机可执行程序指令，其特征在于，所述计算机可执行程序指令在由处理器执行时，实现如权利要求1至9中任一项所述的方法。