CN111404696B - 协同签名方法、安全服务中间件、相关平台及系统 - Google Patents

协同签名方法、安全服务中间件、相关平台及系统 Download PDF

Info

Publication number
CN111404696B
CN111404696B CN202010245388.7A CN202010245388A CN111404696B CN 111404696 B CN111404696 B CN 111404696B CN 202010245388 A CN202010245388 A CN 202010245388A CN 111404696 B CN111404696 B CN 111404696B
Authority
CN
China
Prior art keywords
private key
management platform
password management
factor
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010245388.7A
Other languages
English (en)
Other versions
CN111404696A (zh
Inventor
梁伟韬
廖敏飞
吴孟晴
谭世殊
梁智扬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Construction Bank Corp
Original Assignee
China Construction Bank Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Construction Bank Corp filed Critical China Construction Bank Corp
Priority to CN202010245388.7A priority Critical patent/CN111404696B/zh
Publication of CN111404696A publication Critical patent/CN111404696A/zh
Application granted granted Critical
Publication of CN111404696B publication Critical patent/CN111404696B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN

Abstract

本申请实施例提供一种协同签名方法、安全服务中间件、相关平台及系统，方法包括：接收针对交易业务信息的数字签名请求；基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证。本申请能够使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性。

Description

协同签名方法、安全服务中间件、相关平台及系统
技术领域
本申请涉及数字证书认证技术领域，具体涉及协同签名方法、安全服务中间件、相关平台及系统。
背景技术
随着云计算、移动互联网技术的飞速发展和广泛应用，手机作为智能移动终端逐步取代传统PC，加速渗透传统应用的范围和深度，成为各类应用的主要入口。金融业的移动应用从传统网银应用的补充，也逐步转向移动化转变的趋势。移动端的交易安全问题成为了业务发展的-问题和挑战。虽然近几年来手机银行市场得到了很大的发展，积累的相当数量的客户群体，但由于发展时间相对较短、网络安全等方面的原因，手机银行业务仍然存在一些问题亟需解决。
目前，部分金融机构或手机制造厂商，会有一些基于密钥下载，类似于文件证书的软证书产品，或者通过将证书下载至SE芯片，模拟硬件介质保存的证书存放方式。但以上的技术应用，该证书的存放方式均与需要调用或进行签名认证的应用存放在同一设备。
发明内容
针对现有技术中的问题，本申请提供一种协同签名方法、安全服务中间件、相关平台及系统，能够使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性。
为解决上述技术问题，本申请提供以下技术方案：
第一方面，本申请提供一种协同签名方法，包括：
接收针对交易业务信息的数字签名请求；
基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；
将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证。
进一步地，所述第一私钥因子包括：设备因子、随机因子和PIN码因子；
相对应的，所述基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，包括：
基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算。
进一步地，在所述基于存储在移动应用中的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算之前，还包括：
向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
进一步地，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；
相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
第二方面，本申请提供一种安全服务中间件，该安全服务中间件运行在移动应用中，所述安全服务中间件包括：
请求接收模块，用于接收针对交易业务信息的数字签名请求；
协同签名模块，用于基于存储在移动应用中的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；
签名发送模块，用于将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证。
进一步地，所述第一私钥因子包括：设备因子、随机因子和PIN码因子；
相对应的，所述协同签名模块包括：
分段运算单元，用于基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算。
进一步地，还包括：
调用请求发送模块，用于向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
进一步地，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；
相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
第三方面，本申请提供一种密码管理平台，该密码管理平台与所述的安全服务中间件通信连接；
所述密码管理平台用于存储所述第二私钥因子，且该密码管理平台还与一CA证书系统通信连接。
进一步地，所述密码管理平台还用于在获知移动终端变更或丢失后，销毁预存储在该移动终端的移动应用中所述安全服务中间件内的用户密钥数据以及该安全服务中间件。
进一步地，所述密码管理平台还用于在获知所述移动应用遭受非法事件时，根据预设的风险控制规则将该移动应用对应的移动终端加入预设的黑名单中，以及该移动终端对应的第二私钥因子无法被访问或调用。
第四方面，本申请提供一种数字签名及认证系统，包括：移动应用、交易业务系统、CA证书系统、所述的安全服务中间件以及所述的密码管理平台；
所述移动应用安装在移动终端内，且所述安全服务中间件运行在所述移动应用中；
所述交易业务系统分别与所述移动应用和所述密码管理平台通信连接；
所述密码管理平台分别与所述移动应用和所述CA证书系统通信连接。
由上述技术方案可知，本申请提供的一种协同签名方法、安全服务中间件、相关平台及系统，方法包括：接收针对交易业务信息的数字签名请求；基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证，能够使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例中的协同签名方法的第一种流程示意图。
图2为本申请实施例中的协同签名方法的第二种流程示意图。
图3为本申请实施例中的协同签名方法的第三种流程示意图。
图4为本申请实施例中的安全服务中间件的结构示意图。
图5为本申请实施例中的安全服务中间件中协同签名模块20的结构示意图。
图6为本申请实施例中的包含有调用请求发送模块11的安全服务中间件的结构示意图。
图7为本申请实施例中的密码管理平台的结构示意图。
图8为本申请实施例中的电子设备的结构示意图。
图9为本申请实施例中的数字签名及认证系统的结构示意图。
图10为本申请应用实例中的数字签名及认证系统的总体结构图。
图11为本申请应用实例中的安全服务中间件和密码管理平台之间的关系示意图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
移动应用系统需要一款可以解决移动端安全及后台服务安全的产品，需要符合国密局相关要求，移动终端不依赖硬件密码芯片，用软件实现密码设备、密码运算和CA数字证书等全部功能，密码管理平台同时可为手机银行后台服务提供密码运算支撑，实现数据前端后台的全方位防护。
数字签名是一种鉴别数字信息的方法，主要原理是将摘要信息用发送者的私钥加密，与原文一起传送给接受者。接受者只有用发送者的公钥才能解密被加密的摘要信息，然后用哈希函数对收到的原文产生一个摘要信息，与解密的摘要信息对比，如果相同则说明收到的信息是完整的，在传输过程中没有被修改，否则说明信息被修改过，因此数字签名能够验证信息的完整性。而数字签名技术是一般是通过USB KEY安全硬件来实现。USB KEY安全硬件是一种USB接口的硬件设备，内置硬件密码芯片，可存储用户的私钥和数字证书，由于私钥被保存在密码锁中，外部无法读取私钥信息，广泛应用于网上银行等应用中。数字证书是经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。
虽然目前移动终端也存在类似USB KEY的安全硬件，但对客户来说需要额外携带一个硬件，每生产一个USB KEY都会产生硬件成本，从而增加用户的使用负担，对用户体验产生较大影响。
也就是说，当用户在移动设备上进行数字签名时往往需要借助安全硬件来完成操作。用户对数字信息进行签名一般都在移动端USB KEY内执行：将摘要信息用客户USB KEY内的私钥加密，与信息原文一起传送给服务端。服务端使用客户的公钥解密被加密的摘要信息，然后用哈希函数对收到的原文产生一个摘要信息，与解密的摘要信息对比。目前存放私钥证书的介质，均为专用硬件或应用设备中的SE芯片。
本申请实现了一种不依赖于硬件密码芯片、基于软件保护数字签名的方法，同时将支持在独立设备的独立应用存在，通过模拟专用硬件的形式存在，为应用提供签名认证服务，确保其安全性与可靠性。
在本申请的一个或多个实施例中，SDK是指：Software Development Kit软件开发工具包；API是指：Application Programming Interface应用程序编程接口；PIN是指：Personal Identification Number个人识别密码；CA是指：Certificate Authority数字证书认证中心；DS是指：Digital Signature数字签名；APP是指：Application手机软件。
本申请是将该证书存放的介质，通过其它设备保存与进行签名的方式实现。通过面向移动互联网应用开发的基于密码和CA数字证书的安全中间件产品，为第三方移动互联网应用客户端以及系统平台提供用户身份认证、应用认证以及密码服务。本申请所要解决的技术问题，是从移动端发起的基于软件实现安全可靠的数字签名技术、在移动终端环境下保护用户签名私钥的存储安全和密钥运算安全的基础上，实现密钥不依赖于专用硬件外设并能与应用设备分离存放，同时采用密钥拆分技术，通过服务端、客户端(APP中的SDK)保存拆分的私钥，实现安全保护。
为了使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性，本申请提供一种执行主体为安全服务中间件的协同签名方法的实施例，参见图1，所述协同签名方法具体包含有如下内容：
步骤100：接收针对交易业务信息的数字签名请求。
步骤200：基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥。
步骤300：将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证。
为了有效提高协同运算的准确性和可靠性，在本申请提供的协同签名方法的实施例中，所述协同签名方法中的所述第一私钥因子具体包含有：设备因子、随机因子和PIN码因子；相对应的，参见图2，所述协同签名方法中的步骤200具体包含有如下内容：
步骤201：基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算。
可以理解的是，设备因子、随机因子和PIN码因子的具体应用如下：
(1)设备因子：由客户端安全SDK根据移动终端硬件相关特征值产生并保存，该因子派生部分私钥。
(2)随机因子：由客户端安全SDK生成并保存，该因子派生部分私钥。
(3)PIN码因子：由客户端安全SDK弹出对话框用户输入，客户端安全SDK不保存该因子，只是存储PIN码特征值用于验证，该因子派生部分私钥。
在进行私钥相关运算时采用分段计算的方法，三个因子分别运算，最后组合各段运算结果，没有完整的私钥出现；在密码运算过程中，需要安全服务平台模块参与认证。
为了进一步提高协同签名过程的可靠性及安全性，在本申请提供的协同签名方法的实施例中，参见图3，在所述协同签名方法中的步骤100及步骤200(步骤201)之间还具体包含有如下内容：
步骤101：向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
在一种步骤101的具体举例中，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
从软件层面来说，为了使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性，本申请提供一种用于执行前述的协同签名方法中的部分或全部内容的安全服务中间件的实施例，该安全服务中间件运行在移动应用中，参见图4，所述安全服务中间件具体包含有如下内容：
请求接收模块10，用于接收针对交易业务信息的数字签名请求；
协同签名模块20，用于基于存储在移动应用中的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；
签名发送模块30，用于将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证。
为了有效提高协同运算的准确性和可靠性，在本申请提供的安全服务中间件的实施例中，所述安全服务中间件中的所述第一私钥因子具体包含有：设备因子、随机因子和PIN码因子；相对应的，参见图5，所述安全服务中间件中的协同签名模块20具体包含有如下内容：
分段运算单元21，用于基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算。
为了进一步提高协同签名过程的可靠性及安全性，在本申请提供的安全服务中间件的实施例中，参见图6，所述安全服务中间件还具体包含有如下内容：
调用请求发送模块11，用于向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
在一种调用请求发送模块11的具体举例中，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
基于上述的安全服务中间件实施例，为了使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性，本申请提供一种密码管理平台的实施例，参见图7，所述密码管理平台具体包含有如下内容：
该密码管理平台与所述的安全服务中间件通信连接；所述密码管理平台用于存储所述第二私钥因子，且该密码管理平台还与一CA证书系统通信连接。
在一种密码管理平台的具体实施方式中，所述密码管理平台还用于在获知移动终端变更或丢失后，销毁预存储在该移动终端的移动应用中所述安全服务中间件内的用户密钥数据以及该安全服务中间件。
在另一种密码管理平台的具体实施方式中，所述密码管理平台还用于在获知所述移动应用遭受非法事件时，根据预设的风险控制规则将该移动应用对应的移动终端加入预设的黑名单中，以及该移动终端对应的第二私钥因子无法被访问或调用。
从硬件层面来说，为了使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性，本申请提供一种用于实现密码管理平台中的全部或部分功能的电子设备的实施例，所述电子设备具体包含有如下内容：
处理器(processor)、存储器(memory)、通信接口(Communications Interface)和总线；其中，所述处理器、存储器、通信接口通过所述总线完成相互间的通信；所述通信接口用于实现电子设备与移动应用、交易业务系统、CA证书系统、所述的安全服务中间件、相关用户终端以及相关数据库等相关设备之间的信息传输；该电子设备可以是台式计算机、平板电脑及移动终端等，本实施例不限于此。在本实施例中，该电子设备可以参照实施例中的密码管理平台的实施例进行实施，其内容被合并于此，重复之处不再赘述。
图8为本申请实施例的电子设备9600的系统构成的示意框图。如图8所示，该电子设备9600可以包括中央处理器9100和存储器9140；存储器9140耦合到中央处理器9100。值得注意的是，该图8是示例性的；还可以使用其他类型的结构，来补充或代替该结构，以实现电信功能或其他功能。
在一实施例中，密码管理平台功能可以被集成到中央处理器9100中。其中，中央处理器9100可以被配置为进行如下控制：
所述密码管理平台还用于在获知移动终端变更或丢失后，销毁预存储在该移动终端的移动应用中所述安全服务中间件内的用户密钥数据以及该安全服务中间件；所述密码管理平台还用于在获知所述移动应用遭受非法事件时，根据预设的风险控制规则将该移动应用对应的移动终端加入预设的黑名单中，以及该移动终端对应的第二私钥因子无法被访问或调用。
从上述描述可知，本申请实施例提供的电子设备，能够使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性。
在另一个实施方式中，密码管理平台可以与中央处理器9100分开配置，例如可以将协同签名装置配置为与中央处理器9100连接的芯片，通过中央处理器的控制来实现协同签名功能。
如图8所示，该电子设备9600还可以包括：通信模块9110、输入单元9120、音频处理器9130、显示器9160、电源9170。值得注意的是，电子设备9600也并不是必须要包括图8中所示的所有部件；此外，电子设备9600还可以包括图8中没有示出的部件，可以参考现有技术。
如图8所示，中央处理器9100有时也称为控制器或操作控件，可以包括微处理器或其他处理器装置和/或逻辑装置，该中央处理器9100接收输入并控制电子设备9600的各个部件的操作。
其中，存储器9140，例如可以是缓存器、闪存、硬驱、可移动介质、易失性存储器、非易失性存储器或其它合适装置中的一种或更多种。可储存上述与失败有关的信息，此外还可存储执行有关信息的程序。并且中央处理器9100可执行该存储器9140存储的该程序，以实现信息存储或处理等。
输入单元9120向中央处理器9100提供输入。该输入单元9120例如为按键或触摸输入装置。电源9170用于向电子设备9600提供电力。显示器9160用于进行图像和文字等显示对象的显示。该显示器例如可为LCD显示器，但并不限于此。
该存储器9140可以是固态存储器，例如，只读存储器(ROM)、随机存取存储器(RAM)、SIM卡等。还可以是这样的存储器，其即使在断电时也保存信息，可被选择性地擦除且设有更多数据，该存储器的示例有时被称为EPROM等。存储器9140还可以是某种其它类型的装置。存储器9140包括缓冲存储器9141(有时被称为缓冲器)。存储器9140可以包括应用/功能存储部9142，该应用/功能存储部9142用于存储应用程序和功能程序或用于通过中央处理器9100执行电子设备9600的操作的流程。
存储器9140还可以包括数据存储部9143，该数据存储部9143用于存储数据，例如联系人、数字数据、图片、声音和/或任何其他由电子设备使用的数据。存储器9140的驱动程序存储部9144可以包括电子设备的用于通信功能和/或用于执行电子设备的其他功能(如消息传送应用、通讯录应用等)的各种驱动程序。
通信模块9110即为经由天线9111发送和接收信号的发送机/接收机9110。通信模块(发送机/接收机)9110耦合到中央处理器9100，以提供输入信号和接收输出信号，这可以和常规移动通信终端的情况相同。
基于不同的通信技术，在同一电子设备中，可以设置有多个通信模块9110，如蜂窝网络模块、蓝牙模块和/或无线局域网模块等。通信模块(发送机/接收机)9110还经由音频处理器9130耦合到扬声器9131和麦克风9132，以经由扬声器9131提供音频输出，并接收来自麦克风9132的音频输入，从而实现通常的电信功能。音频处理器9130可以包括任何合适的缓冲器、解码器、放大器等。另外，音频处理器9130还耦合到中央处理器9100，从而使得可以通过麦克风9132能够在本机上录音，且使得可以通过扬声器9131来播放本机上存储的声音。
本申请的实施例还提供能够实现上述实施例中的密码管理平台中全部功能骤的一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的密码管理平台中全部功能，例如，所述处理器执行所述计算机程序时实现下述步骤：
所述密码管理平台还用于在获知移动终端变更或丢失后，销毁预存储在该移动终端的移动应用中所述安全服务中间件内的用户密钥数据以及该安全服务中间件；所述密码管理平台还用于在获知所述移动应用遭受非法事件时，根据预设的风险控制规则将该移动应用对应的移动终端加入预设的黑名单中，以及该移动终端对应的第二私钥因子无法被访问或调用。
从上述描述可知，本申请实施例提供的计算机可读存储介质，能够使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性。
基于上述的安全服务中间件实施例以及密码管理平台实施例，为了使得密钥不依赖于专用硬件外设并能够能与应用设备分离存放，同时采用密钥拆分技术，能够有效提高密钥的应用安全性及可靠性，本申请提供一种数字签名及认证系统的实施例，参见图9，所述数字签名及认证系统具体包含有如下内容：
移动应用、交易业务系统、CA证书系统、所述的安全服务中间件以及所述的密码管理平台；所述移动应用安装在移动终端内，且所述安全服务中间件运行在所述移动应用中；所述交易业务系统分别与所述移动应用和所述密码管理平台通信连接；所述密码管理平台分别与所述移动应用和所述CA证书系统通信连接。
为了进一步说明本方案，本申请还提供一种数字签名及认证系统的具体应用实例，参见图10，安全服务中间件也可以被称之为移动终端安全组件，所述移动终端安全组件安装在银行移动APP中，移动终端安全组件和密码管理平台组成一手机盾认证平台，所述数字签名及认证系统基于移动端的软件保护数字签名技术以密码运算和数字证书为核心，为移动互联网业务应用建立起底层安全执行环境，并以服务的形式向移动互联网业务应用提供公共的密码服务，构建移动互联网环境的可信安全服务体系。
参见图11所示的安全服务中间件和密码管理平台之间的关系示意图，具体来说：
所述安全服务中间件具体可以为一种安全SDK，安全SDK集成运行在业务系统的客户端应用APP中，通过API接口为业务系统的应用APP提供包括：证书服务、密钥存储服务、国产密码算法服务、国际密码算法服务等。
密码管理平台功能包括：供应商/应用管理、证书服务、终端设备管理、密码设备管理、风险监控、黑名单管理、系统管理，该部分功能提供WEB界面供后台操作管理员使用。
基于上述安全服务中间件和密码管理平台功能，本申请提供的协同签名过程具体包含有如下内容：
(一)密钥安全存储和运算
本申请软件算法模块是通过国家密码管理局认证的SM2算法软件实现模块。通过多重安全技术手段保证用户密钥以及安全SDK自身的安全性，保证用户密钥的运算和存储安全。
对于移动终端操作系统环境不安全的情况，在客户端安全SDK存储由服务端拆分的部分私钥，另外部分私钥由服务端保管；在客户端安全SDK私钥由三部分数据因子组成，如下：
设备因子：由客户端安全SDK根据移动终端硬件相关特征值产生并保存，该因子派生部分私钥；
随机因子：由客户端安全SDK生成并保存，该因子派生部分私钥；
PIN码因子：由客户端安全SDK弹出对话框用户输入，客户端安全SDK不保存该因子，只是存储PIN码特征值用于验证，该因子派生部分私钥；
在进行私钥相关运算时采用分段计算的方法，三个因子分别运算，最后组合各段运算结果，没有完整的私钥出现；在密码运算过程中，需要安全服务平台模块参与认证。
(二)密钥的访问控制
调用私钥运算需要满足一定的权限，可防止未经授权的客户端(包括后台木马、病毒程序)调用服务平台SDK开发包。非法篡改或者反编译后的业务客户端应用程序将不能完成对用户密钥的访问，从而保证用户密钥的安全。任何使用客户端安全SDK的业务应用在发布后受到的任何的非授权修改，都将导致安全SDK的访问、调用失败。
用户密钥存储在客户端安全SDK中，一旦遭遇用户设备变更或丢失，本申请可以远程销毁保存在客户端安全SDK的用户密钥数据，并注销客户端安全SDK，防止用户密钥信息被非法使用。
同时安全服务平台可设置风险控制规则，当集成安全SDK的APP应用遭受篡改、用户密钥遭受试错攻击、通信消息被篡改等事件发生时，会触发平台设置的风险控制规则，平台会自动将触发风险规则的终端加入到黑名单当中，此时用户的密钥将不可访问和使用。通过风险监控功能，能够大幅度的降低用户密钥被非法调用，从而保障用户的信息安全。
支持国际、国产通用密码算法；
应用认证模式完全遵循移动终端平台应用发布以及认证的标准模式，支持RSA1024以及2048算法的应用代码签名以及认证；
SM1、SM2、SM3、SM4算法实现以及安全要求遵循国家密码管理局的相关标准规定；国产密码算法实现以及使用均符合国家密码管理局的相关规范。
客户端与平台数据交互以及数据加解密模式等遵循PKCS系列标准。
综上所述，本申请实施例提供的协同签名方法、安全服务中间件、密码管理平台和数字签名及认证系统，安全SDK集成证书服务、密钥存储服务、国产密码算法服务、国际密码算法服务等；安全服务平台实现供应商/应用管理、证书服务、终端设备管理、密码设备管理、风险监控、黑名单管理、系统管理等功能；密钥不需专用硬件外设或物理芯片载体存放证书，可通过其它移动设备实现保存；该密钥是可通过国密算法SM2实现，通过国密钥拆分技术，将密钥分段分别存放于服务端与客户端SDK，防止密钥泄露引致的风险。也就是说，本申请提出的基于密钥拆分的数字证书认证移动终端应用，无需通过专用外设或硬件芯片对数字证书保护，通过密钥拆分技术，将密钥分别安全地保护在客户端与服务端，通过客户端与服务端进行签名认证，同时支持客户端密钥应用与实际需验签的应用分离，提高安全性和可靠性。减少客户携带硬件介质的麻烦，提高易用性和体验性，彻底打破传统软件“隐藏”密钥的常规思维，反其道而行之，利用密钥拆分算法等核心专利技术，使得在移动终端根本不存在所谓的“密钥”，攻击者也就失去了攻击的对象，彻底解决了移动终端密钥存储和运算的核心安全问题。
本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(装置)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
本发明中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种协同签名方法，其特征在于，包括：
接收针对交易业务信息的数字签名请求；
基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；
将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证；
所述第一私钥因子包括：设备因子、随机因子和PIN码因子；
相对应的，所述基于存储在移动终端中的移动应用内的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，包括：
基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算：四个因子分别运算，最后组合各段运算结果。
2.根据权利要求1所述的协同签名方法，其特征在于，在所述基于存储在移动应用中的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算之前，还包括：
向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
3.根据权利要求2所述的协同签名方法，其特征在于，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；
相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
4.一种安全服务中间件，其特征在于，该安全服务中间件运行在移动应用中，所述安全服务中间件包括：
请求接收模块，用于接收针对交易业务信息的数字签名请求；
协同签名模块，用于基于存储在移动应用中的第一私钥因子，以及自对应的密码管理平台中获取的第二私钥因子对所述数字签名请求对应的目标摘要信息进行协同运算，得到对应的数字签名结果，其中，所述第一私钥因子与所述第二私钥因子共同组成用户签名私钥；
签名发送模块，用于将所述数字签名结果发送至所述密码管理平台，以使该密码管理平台对所述数字签名结果进行认证；
所述第一私钥因子包括：设备因子、随机因子和PIN码因子；
相对应的，所述协同签名模块包括：
分段运算单元，用于基于所述设备因子、随机因子、PIN码因子以及自对应的密码管理平台中获取的第二私钥因子对所述目标摘要信息进行分段运算：四个因子分别运算，最后组合各段运算结果。
5.根据权利要求4所述的安全服务中间件，其特征在于，还包括：
调用请求发送模块，用于向所述密码管理平台发送私钥运算调用请求，以使所述密码管理平台基于预设验证规则判断所述私钥运算调用请求对应的用户是否为合法用户，若否，则向所述移动应用发送拒绝调用信息，若是，则向所述移动应用发送所述私钥运算调用请求对应的开发包。
6.根据权利要求5所述的安全服务中间件，其特征在于，所述预设验证规则为预先存储所述密码管理平台中的用于判断用户是否为授权用户、非法篡改用户以及反编译用户的规则；
相对应的，所述合法用户为经授权、未进行非法篡改及未进行反编译的用户。
7.一种密码管理平台，其特征在于，该密码管理平台与权利要求4至6任一项所述的安全服务中间件通信连接；
所述密码管理平台用于存储所述第二私钥因子，且该密码管理平台还与一CA证书系统通信连接。
8.根据权利要求7所述的密码管理平台，其特征在于，所述密码管理平台还用于在获知移动终端变更或丢失后，销毁预存储在该移动终端的移动应用中所述安全服务中间件内的用户密钥数据以及该安全服务中间件。
9.根据权利要求8所述的密码管理平台，其特征在于，所述密码管理平台还用于在获知所述移动应用遭受非法事件时，根据预设的风险控制规则将该移动应用对应的移动终端加入预设的黑名单中，以及该移动终端对应的第二私钥因子无法被访问或调用。
10.一种数字签名及认证系统，其特征在于，包括：移动应用、交易业务系统、CA证书系统、如权利要求4至6任一项所述的安全服务中间件以及如权利要求7至9任一项所述的密码管理平台；
所述移动应用安装在移动终端内，且所述安全服务中间件运行在所述移动应用中；
所述交易业务系统分别与所述移动应用和所述密码管理平台通信连接；
所述密码管理平台分别与所述移动应用和所述CA证书系统通信连接。
CN202010245388.7A 2020-03-31 2020-03-31 协同签名方法、安全服务中间件、相关平台及系统 Active CN111404696B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010245388.7A CN111404696B (zh) 2020-03-31 2020-03-31 协同签名方法、安全服务中间件、相关平台及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010245388.7A CN111404696B (zh) 2020-03-31 2020-03-31 协同签名方法、安全服务中间件、相关平台及系统

Publications (2)

Publication Number Publication Date
CN111404696A CN111404696A (zh) 2020-07-10
CN111404696B true CN111404696B (zh) 2022-11-04

Family

ID=71431417

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010245388.7A Active CN111404696B (zh) 2020-03-31 2020-03-31 协同签名方法、安全服务中间件、相关平台及系统

Country Status (1)

Country Link
CN (1) CN111404696B (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022116175A1 (zh) * 2020-12-04 2022-06-09 上海阵方科技有限公司 数字签名的生成方法、装置和服务器
CN112615719B (zh) * 2020-12-15 2023-07-25 平安消费金融有限公司 一种去中心化线上合同签署方法、装置、设备及介质
CN112804560A (zh) * 2020-12-29 2021-05-14 湖南大学 视频加密传输方法、中间件及计算机可读存储介质
CN112651036B (zh) * 2020-12-31 2022-05-27 厦门亿力吉奥信息科技有限公司 基于协同签名的身份认证方法及计算机可读存储介质
CN114567470B (zh) * 2022-02-21 2024-01-30 北京创原天地科技有限公司 一种基于sdk的多系统下密钥拆分验证系统及方法
CN114650136B (zh) * 2022-05-18 2022-10-04 杭州天谷信息科技有限公司 一种基于混合云的电子签名方法及装置
CN114760072B (zh) * 2022-06-13 2022-09-02 南京易科腾信息技术有限公司 签名及验签方法、装置及存储介质
CN115549929B (zh) * 2022-11-30 2023-03-10 北京时代亿信科技股份有限公司 基于零信任网络隐身的spa单包认证方法及装置

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109600224A (zh) * 2018-11-06 2019-04-09 卓望数码技术（深圳）有限公司 一种sm2密钥生成、签名方法、终端、服务器和存储介质

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002063825A2 (en) * 2001-02-05 2002-08-15 Asiansign Co., Ltd An optical storage medium for storing a public key infrastructure (pki)-based private key and certificate, a method and system for issuing the same and a method for using such

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109600224A (zh) * 2018-11-06 2019-04-09 卓望数码技术（深圳）有限公司 一种sm2密钥生成、签名方法、终端、服务器和存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
一种基于USB Key的双私钥安全因子身份认证方案;齐锋等;《信息安全研究》;20190605(第06期);全文 *

Also Published As

Publication number Publication date
CN111404696A (zh) 2020-07-10

Similar Documents

Publication Publication Date Title
CN111404696B (zh) 协同签名方法、安全服务中间件、相关平台及系统
CN110677418B (zh) 可信声纹认证方法、装置、电子设备及存储介质
US9838205B2 (en) Network authentication method for secure electronic transactions
EP2999189B1 (en) Network authentication method for secure electronic transactions
US9325708B2 (en) Secure access to data in a device
CN109412812B (zh) 数据安全处理系统、方法、装置和存储介质
US20180082050A1 (en) Method and a system for secure login to a computer, computer network, and computer website using biometrics and a mobile computing wireless electronic communication device
US10432600B2 (en) Network-based key distribution system, method, and apparatus
CN107145769B (zh) 一种数字版权管理drm方法、设备及系统
CN107733636B (zh) 认证方法以及认证系统
EP2728908B1 (en) Telecommunications chip card
CN109831311B (zh) 一种服务器验证方法、系统、用户终端及可读存储介质
CN107566413B (zh) 一种基于数据短信技术的智能卡安全认证方法及系统
CN112580017B (zh) 认证方法及装置、电子设备、存储介质
CN108768941B (zh) 一种远程解锁安全设备的方法及装置
CN113614720A (zh) 一种动态配置可信应用程序访问控制的装置和方法
CN111130798A (zh) 一种请求鉴权方法及相关设备
CN113378119A (zh) 一种软件授权方法、装置、设备及存储介质
CN101938563B (zh) 一种sim卡信息的保护方法、系统及移动终端
KR20070059891A (ko) 어플리케이션 인증 보안 시스템 및 그 인증 보안 방법
CN105873043B (zh) 一种用于移动终端的网络私匙的生成及应用方法及其系统
CN108900595B (zh) 访问云存储服务器数据的方法、装置、设备及计算介质
US20240113898A1 (en) Secure Module and Method for App-to-App Mutual Trust Through App-Based Identity
KR20130100032A (ko) 코드 서명 기법을 이용한 스마트폰 어플리케이션 배포 방법
CN112384913A (zh) 终端硬件配置系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20220923

Address after: 25 Financial Street, Xicheng District, Beijing 100033

Applicant after: CHINA CONSTRUCTION BANK Corp.

Address before: 25 Financial Street, Xicheng District, Beijing 100033

Applicant before: CHINA CONSTRUCTION BANK Corp.

Applicant before: Jianxin Financial Science and Technology Co.,Ltd.

GR01 Patent grant
GR01 Patent grant