CN112073967B - 一种手机盾设备身份证书下载的方法、装置和电子设备 - Google Patents

Abstract

本申请提供一种手机盾设备身份证书下载的方法，该方法包括：对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；若通过，则向所述客户端发送设备身份证书下载指令；对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端。

Description

一种手机盾设备身份证书下载的方法、装置和电子设备

技术领域

本申请涉及信息安全技术领域，具体而言，涉及一种手机盾设备身份证书下载的方法、装置和电子设备。

背景技术

随着智能手机普及，手机银行越来越受到用户欢迎。基于富执行环境(REE)、可信执行环境(TEE)、安全单元(SE)的不同安全实现形式的手机盾，内嵌于手机中，是一种新型的安全且使用便捷的认证设备，逐步应用于手机银行，满足用户安全交易转账的诉求。相比于传统安全设备(比如一代USBKey、二代USBKey、蓝牙USBKey、音频USBKey、SIM Key)，手机盾是一种新型在线安全设备，其生命周期管理及业务使用均为在线操作，安全要求更高。

由于手机盾在线开通时无身份凭证(比如设备身份证书)写入环节，在重要业务场景下无法认证手机盾身份，也无法对手机盾所有者(即用户)与手机盾的绑定关系进行认证，存在非法软件、非授权手机盾、非当前所有者手机盾冒用当前用户手机盾的安全风险。

发明内容

本申请的目的在于，针对上述现有技术中的不足，提供一种手机盾设备身份证书下载的方法、装置和电子设备，以解决现有技术中手机盾在线开通时无身份凭证(比如设备身份证书)写入环节，在重要业务场景下无法认证手机盾身份，也无法对手机盾所有者(即用户)与手机盾的绑定关系进行认证，存在非法软件、非授权手机盾、非当前所有者手机盾冒用当前用户手机盾的安全风险的问题。

为实现上述目的，本申请实施例采用的技术方案如下：

第一方面，本申请提供了一种手机盾设备身份证书下载的方法，应用于服务器侧，所述方法包括：

对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

若通过，则向所述客户端发送设备身份证书下载指令；

对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端。

可选地，客户端在发送客户端所在手机的软硬件信息时还发送了所述客户端的运行环境信息，如所述手机具备证书下载条件，则根据所述客户端的运行环境信息进行风险识别，如通过，才能向所述客户端发送用户身份信息认证指令。

可选地，所述设备身份证书中包含如下信息：所述手机盾的信息、所述手机盾与所述设备身份证书的绑定关系、所述设备身份证书与所述用户的绑定关系、所述手机盾的业务使用范围。

第二方面，本申请提供了一种手机盾设备身份证书下载的方法，应用于客户端侧，其特征在于，所述方法包括：

将所在手机的软硬件信息发送至服务器，并获取验证结果；

若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾。

可选地，若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求的步骤中，包括：

根据所述服务器发送的设备身份证书下载指令，向所述手机盾发送证书请求指令；

获取所述手机盾返回的证书请求；

将所述手机盾返回的证书请求发送至所述服务器；

其中，所述证书请求由所述手机盾通过生成所述设备身份证书的密钥对，认证用户权限并签名证书请求信息的步骤产生。

可选地，使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验时，所述合法性校验包括：所述设备身份证书中公钥是否与所述手机盾中密钥对的公钥一致、所述设备身份证书是否为业务系统根证书颁发、所述设备身份证书是否与手机盾唯一标识信息一致。

第三方面，本申请提供了一种手机盾设备身份证书下载的装置，应用于服务器侧，其特征在于，所述装置包括：验证模块、判断模块、发送模块和颁发模块，其中：

所述验证模块，用于：对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

所述判断模块，用于：若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

所述发送模块，用于：若通过，则向所述客户端发送设备身份证书下载指令；

所述颁发模块，用于：对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端。

第四方面，本申请提供了一种手机盾设备身份证书下载的装置，应用于客户端侧，其特征在于，所述装置包括：获取模块、发送模块和颁发模块，其中：

所述获取模块，用于：将所在手机的软硬件信息发送至服务器，并获取验证结果；

所述发送模块，用于：若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

所述发送模块，还用于：若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

所述颁发模块，用于：获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾。

第五方面，本申请提供了一种手机盾设备身份证书下载的电子设备，其包括：处理器、存储介质和总线，所述存储介质存储有所述处理器可执行的机器可读指令，当证书下载设备运行时，所述处理器与所述存储介质之间通过总线通信，所述处理器执行所述机器可读指令，以执行上述第一方面或第二方面任一项所述的方法。

第六方面，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行上述第一方面或第二方面任一项所述的方法。

本申请的有益效果是：提供下载并安全存储手机盾设备身份证书的方法，设备身份证书有别于手机盾业务场景中的用户证书，每个手机盾的设备身份证书都是唯一的，它包含手机盾信息、手机盾与用户绑定关系的信息、业务使用范围(关联业务)等，可以作为手机盾重要的身份凭证。在重要业务场景中，通过验证设备身份证书对业务数据(如证书下载中的证书请求数据)的签名结果，从而解决业务场景的手机盾身份认证以及用户与手机盾绑定关系的认证问题，避免非法软件、非授权手机盾、非当前用户手机盾冒用合法用户手机盾开展相关业务。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的手机盾设备身份证书下载装置的交互示意图；

图2为本申请一实施例提供的手机盾设备身份证书下载方法的流程示意图；

图3为本申请一实施例提供的手机盾设备身份证书下载装置的结构示意图；

图4为本申请另一实施例提供的手机盾设备身份证书下载方法的流程示意图；

图5为本申请另一实施例提供的手机盾设备身份证书下载装置的结构示意图。

具体实施方式

下面详细描述本申请的实施例，各实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本申请，而不能解释为对本申请的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”和“该”也可包括复数形式。应该进一步理解的是，本申请的说明书中使用的措辞“包括”是指存在特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。

本申请提供了一种手机盾设备身份证书下载的方法、装置和电子设备，如图1所示，该手机盾设备身份证书下载的过程如下。

在已有业务系统(包括手机盾、手机银行客户端、服务器)中，手机盾开通流程中，新增支持手机盾设备身份证书下载步骤。其中业务系统服务器包括业务应用服务器、数据库服务器、CA服务器、手机盾管理服务器等。

手机盾设备身份证书由业务系统授权的根证书颁发，设备身份证书信息中包含手机盾信息、手机盾与用户绑定关系的信息、业务使用范围(关联业务)等，可用于后续业务场景的手机盾身份认证和用户与手机盾绑定关系的认证，比如用户证书下载(更新)业务场景中，手机盾设备身份证书加签用户证书请求，手机盾客户端提交用户证书请求和设备身份证书加签证书请求结果至业务系统，业务系统通过验签设备身份证书加签用户证书请求结果(PKCS7格式)和设备身份证书的合法性(设备身份证书为合法根证书及证书链颁发，包括用户与手机盾绑定关系信息)，通过后再验签用户证书请求并颁发用户证书，从而认证用户证书下载(更新)业务场景中手机盾身份认证和用户与手机盾绑定关系，避免非法软件、非授权手机盾、非当前所有者设备手机盾下载证书的问题。

设备身份证书根证书及证书链可以由业务系统或手机盾服务厂商制作。由业务系统制作时的情况下，业务系统管理人员将根证书线下安全方式提供给手机盾服务厂商，手机盾服务厂商以安全形式将根证书集成手机盾软件中(比如SE、TEE、REE手机盾对应的软件分别为安全应用(Applet)、可信应用(TA)、SDK中)，用于设备身份证书下载流程中证书写入环节中手机盾对业务系统身份的认证。若设备身份证书根证书由手机盾服务厂商制作，手机盾服务厂商将设备身份证书根证书及证书链提供给业务系统管理人员，业务系统管理人员将设备身份证书根证书及证书链导入业务系统。业务系统只认证合法根证书颁发的手机盾设备身份证书，从而避免存在非法软件、非授权手机盾冒用风险。

现对手机盾设备身份证书下载的流程说明如下。需要说明的是，本证书下载流程同样适用于证书更新流程(比如设备身份证书快过期，业务系统发起的手机盾设备身份证书更新)。

手机银行客户端(App)采集手机软硬件和运行环境信息并提交至服务器：手机软硬件信息包括手机品牌、型号、操作系统版本、芯片信息等；运行环境信息包括设备是否root、手机银行客户端权限信息、手机已安装客户端(App)信息等。

业务系统根据手机软硬件信息判断用户手机是否具备设备证书下载条件；若满足则根据手机银行客户端(App)运行环境信息进行风险识别。

若手机盾具备设备证书下载条件且无运行风险，业务系统发起用户身份认证，下发指令至手机银行客户端；手机银行客户端引导用户进行身份认证(用户输入身份认证信息)，采集并提交身份认证信息至服务器。其中，用户身份信息可以为：用户名密码、用户人脸图像信息、用户语音信息或用户指纹信息等，只需可以证明用户唯一身份的信息即可，可以根据用户需要灵活调整，并不以本实施例给出的为限。

业务系统认证用户身份通过后，则下发设备身份证书下载指令。

手机银行客户端接收到设备身份证书下载指令，下发生成证书请求指令至手机盾。

手机盾生成设备身份证书的密钥对，认证用户权限并签名证书请求信息，组织为证书请求结果(即PKCS10)。其中，用户权限是指认证手机盾的密码(手机盾密码只有手机盾用户知道)。

手机银行客户端上传手机盾生成的证书请求结果至业务系统。

业务系统校验证书请求，通过后颁发手机盾设备身份证书并下发写入设备身份证书指令至手机客户端。设备身份证书中包含手机盾信息、与用户绑定关系的唯一标识、业务使用范围(关联业务)等，业务系统根据业务场景要求，存储手机盾设备身份证书、手机盾与设备身份证书绑定关系、设备身份证书与用户绑定关系等(用于后续业务场景中手机盾身份、手机盾与用户绑定关系的认证，避免非当前用户手机盾冒用合法用户手机盾开展相关业务)。

手机银行客户端发起设备身份证书写入指令，手机盾校验设备身份证书合法性，校验通过并写入设备身份证书。设备合法性校验包括设备身份证书中公钥是否与手机盾中密钥对的公钥一致、设备身份证书是否为业务系统根证书颁发(只写入存储合法业务系统颁发的设备身份证书，即手机盾认证业务系统的合法性)、是否与手机盾唯一标识信息一致等，确保设备身份证书为授权的业务系统颁发给当前用户的手机盾。

本申请一实施例提供了一种手机盾设备身份证书下载方法，其应用于服务器侧，如图2所示，该方法包括：

对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

若通过，则向所述客户端发送设备身份证书下载指令；

对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端。

本申请一实施例提供了手机盾设备身份证书下载装置，其应用于服务器侧，如图3所示，所述装置包括：验证模块、判断模块、发送模块和颁发模块，其中：

所述验证模块，用于：对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

所述判断模块，用于：若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

所述发送模块，用于：若通过，则向所述客户端发送设备身份证书下载指令；

所述颁发模块，用于：对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端。

本申请另一实施例提供了一种手机盾设备身份证书下载方法，其应用于客户端侧，如图4所示，所述方法包括：

将所在手机的软硬件信息发送至服务器，并获取验证结果；

若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾。

本申请另一实施例提供了一种手机盾设备身份证书下载装置，应用于客户端侧，如图5所示，所述装置包括：获取模块、发送模块和颁发模块，其中：

所述获取模块，用于：将所在手机的软硬件信息发送至服务器，并获取验证结果；

所述发送模块，用于：若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

所述发送模块，还用于：若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

所述颁发模块，用于：获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾。

本申请还提供了一种手机盾设备身份证书下载的电子设备，其包括：处理器、存储介质和总线，所述存储介质存储有所述处理器可执行的机器可读指令，当证书下载设备运行时，所述处理器与所述存储介质之间通过总线通信，所述处理器执行所述机器可读指令，以执行前述实施例中所述的手机盾设备身份证书下载方法。

本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行前述实施例中所述的手机盾设备身份证书下载方法。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(英文：processor)执行本申请各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(英文：Read-Only Memory，简称：ROM)、随机存取存储器(英文：Random Access Memory，简称：RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

Claims (9)

1.一种手机盾设备身份证书下载的方法，应用于服务器侧，其特征在于，所述方法包括：

对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

若通过，则向所述客户端发送设备身份证书下载指令；

对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端；

所述设备身份证书中包含如下信息：所述手机盾的信息、所述手机盾与所述设备身份证书的绑定关系、所述设备身份证书与所述用户的绑定关系、所述手机盾的业务使用范围。

2.如权利要求1所述的方法，其特征在于，客户端在发送客户端所在手机的软硬件信息时还发送了所述客户端的运行环境信息，如所述手机具备证书下载条件，则根据所述客户端的运行环境信息进行风险识别，如通过，才能向所述客户端发送用户身份信息认证指令。

3.一种手机盾设备身份证书下载的方法，应用于客户端侧，其特征在于，所述方法包括：

将所在手机的软硬件信息发送至服务器，并获取验证结果；

若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾；

所述设备身份证书中包含如下信息：所述手机盾的信息、所述手机盾与所述设备身份证书的绑定关系、所述设备身份证书与所述用户的绑定关系、所述手机盾的业务使用范围。

4.如权利要求3所述的方法，其特征在于，若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求的步骤中，包括：

根据所述服务器发送的设备身份证书下载指令，向所述手机盾发送证书请求指令；

获取所述手机盾返回的证书请求；

将所述手机盾返回的证书请求发送至所述服务器；

其中，所述证书请求由所述手机盾通过生成所述设备身份证书的密钥对，认证用户权限并签名证书请求信息的步骤产生。

5.如权利要求3所述的方法，其特征在于，使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验时，所述合法性校验包括：所述设备身份证书中公钥是否与所述手机盾中密钥对的公钥一致、所述设备身份证书是否为业务系统根证书颁发、所述设备身份证书是否与手机盾唯一标识信息一致。

6.一种手机盾设备身份证书下载的装置，应用于服务器侧，其特征在于，所述装置包括：验证模块、判断模块、发送模块和颁发模块，其中：

所述验证模块，用于：对客户端发送的客户端所在手机的软硬件信息进行验证，确定所述手机是否具备证书下载条件；

所述判断模块，用于：若满足，则向所述客户端发送用户身份信息认证指令；获取并判断所述客户端返回的所述用户身份信息是否通过验证；

所述发送模块，用于：若通过，则向所述客户端发送设备身份证书下载指令；

所述颁发模块，用于：对所述客户端上传的证书请求进行验证，如通过，颁发所述设备身份证书并下发设备身份证书写入指令至手机客户端；

所述设备身份证书中包含如下信息：所述手机盾的信息、所述手机盾与所述设备身份证书的绑定关系、所述设备身份证书与所述用户的绑定关系、所述手机盾的业务使用范围。

7.一种手机盾设备身份证书下载的装置，应用于客户端侧，其特征在于，所述装置包括：获取模块、发送模块和颁发模块，其中：

所述获取模块，用于：将所在手机的软硬件信息发送至服务器，并获取验证结果；

所述发送模块，用于：若验证通过，则将用户身份信息发送至所述服务器，并获取认证结果；

所述发送模块，还用于：若认证通过，则根据所述服务器发送的设备身份证书下载指令，向所述服务器发送证书请求；

所述颁发模块，用于：获取所述证书请求的验证结果，若所述证书请求通过所述服务器的验证，则根据服务器颁发的设备身份证书，向手机盾发送设备身份证书写入指令；

其中，所述写入指令用于使所述手机盾对所述服务器发送的设备身份证书的进行合法性校验，并在校验通过的情况下，将所述设备身份证书写入所述手机盾；

所述设备身份证书中包含如下信息：所述手机盾的信息、所述手机盾与所述设备身份证书的绑定关系、所述设备身份证书与所述用户的绑定关系、所述手机盾的业务使用范围。

8.一种手机盾设备身份证书下载的电子设备，其特征在于，包括：处理器、存储介质和总线，所述存储介质存储有所述处理器可执行的机器可读指令，当证书下载设备运行时，所述处理器与所述存储介质之间通过总线通信，所述处理器执行所述机器可读指令，以执行上述权利要求1-5任一项所述的方法。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行权利要求1-5任一项所述的方法。

Images