CN114218548B - 身份验证证书生成方法、认证方法、装置、设备及介质 - Google Patents

Abstract

一种身份验证证书生成方法、身份认证方法、装置、设备及介质，涉及数据安全技术领域，解决了同一账户不同终端在验签过程调用多份数字证书的问题，该方法包括：接收账户所在终端发送的签名证书申请消息；根据账户所在终端发送的签名证书申请消息，生成账户所在终端对应的数字证书，保存数字证书；若账户首次申请签名证书，则根据数字证书生成账户身份验证证书；若账户非首次申请签名证书，则根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书。本发明的实施例，在进行身份验证时，服务器不需要逐个调用同一账户的多份数字证书一一进行验签，只需调用身份验证证书一份文件并使用身份验证证书中的公钥字段验签即可。

Description

身份验证证书生成方法、认证方法、装置、设备及介质

技术领域

本发明涉及数据安全技术领域，尤其涉及一种身份验证证书生成方法、身份认证方法、装置、设备及介质。

背景技术

随着社会的发展，数据安全的重要性也逐渐显露，为了确保数据的安全性，接收者通常会对发送者的身份进行认证而采用数字签名技术。

数字签名技术方案之一是发送者生成一对公钥和私钥，私钥只有发送者本人知道，公钥是公开的，发送者将接收者发来的指定信息用发送者的私钥加密，将加密后的信息传送给接收者，接收者用发送者的公钥解密被加密的信息，若解密后的信息与指定信息一致，则可确认签名的合法性，由于发送者的私钥只有发送者本人知道，因此，可用于识别发送者的身份，该过程也可以称为验签过程。

在实际应用过程中，同一用户的同一账户往往会有多个不同的使用终端，如PC端，安卓端等，出于安全性考虑在访问服务器的过程中需要对账户的身份进行验证，需要不同的使用终端向服务器申请数字证书以便于证实身份，但现有的技术方案是：服务端会针对同一账户的不同终端分别生成相应的不同数字证书，数字证书中包含公钥，在验签过程中服务器需要分别解析同一账户的每个数字证书中的公钥并进行验证，该种方式会使得验签过程的时间相对较长，且同一账户拥有不同的终端现象很普遍，因此，当群体数量较大时，服务器的验签过程会较长。

发明内容

本申请的目的在于提供一种身份验证证书生成方法、身份认证方法、装置、设备及介质，通过在服务器端生成身份验证证书用于对账户身份进行验证，用以解决同一账户不同终端在验签过程调用多份数字证书的问题，可加快验签速度，缩短服务器验签时间。

第一方面，本发明实施例提供了一种身份验证证书生成方法，应用于证书颁发机构CA服务端，所述方法包括：

接收账户所在终端发送的签名证书申请消息，所述签名证书申请消息至少包含所述账户的身份标识信息和公钥，所述身份标识信息用于标识所述账户，所述公钥由所述账户所在终端生成；

根据所述账户所在终端发送的签名证书申请消息，生成所述账户所在终端对应的数字证书，所述数字证书至少包含证书有效期和所述公钥，保存所述数字证书；

若所述账户首次申请签名证书，则根据所述数字证书生成所述账户身份验证证书；若所述账户非首次申请签名证书，则根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，所述账户身份验证证书包含所述账户位于不同终端的所有公钥，对所述身份验证证书重新签名。

本发明实施例提供的技术方案，账户所在的终端向服务器端申请签名证书时，服务器端除了生成相应的数字证书外，还生成有身份验证证书，身份验证证书的公钥字段包含有同一账户不同终端的所有公钥信息，在进行身份验证时，服务器不需要逐个调用同一账户的多份数字证书文件一一验签，只需调用身份验证证书一份文件并使用身份验证证书中的公钥字段验签即可，可加快验签的速度，相对的缩短了验签时间，提高验签的效率。

在一些实施例中，所述根据所述数字证书生成所述账户身份验证证书，具体包括：所述账户身份验证证书与所述数字证书相同。

本发明的实施例，为如何生成账户身份验证证书提供了一种技术方案，在账户首次向服务器端申请数字证书时，即生成相应的账户身份验证证书，且生成的账户身份验证证书与账户的数字证书为两个相互独立的文件，在使用过程中互不干涉，不影响传送事件的加密解密过程。

在一些实施例中，所述根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，具体包括：提取最近一次生成的所述数字证书的公钥，将所述公钥添加至保存的账户身份验证证书的公钥字段中。

本发明的实施例，当账户所在的不同终端向服务器申请证书时，通过向账户身份验证证书的公钥字段中追加新申请的终端的公钥的方式，使账户身份验证证书的公钥字段中的公钥信息包含当前账户所有的终端的公钥，为如何使账户身份验证证书的公钥字段中的公钥信息包含当前账户所有的终端的公钥，提供了一种新的技术方案。

在一些实施例中，在更新保存的账户身份验证证书之后，对所述身份验证证书重新签名之前，还包括，更新所述账户身份验证证书的证书有效期。

本发明的实施例，通过对账户身份验证证书的证书有效期进行限定及更新，以确保身份验证证书在有效期范围内可正常使用，提高了账户身份验证证书的安全性。在使用的过程中，需验证身份验证证书的有效期，若当前时间在身份验证证书的有效期范围内，才进行验签操作，若当前时间不位于身份验证证书的有效期范围内则无法验签，提高了账户身份验证证书的安全性，且对账户身份验证证书的任何的更改都会更新证书有效期，使证书有效期处于最新状态。

在一些实施例中，所述更新所述账户身份验证证书的证书有效期，具体包括：将所述账户身份验证证书的证书有效期更改为最近一次生成的所述数字证书的证书有效期；或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；其中，所述M为大于等于1的正整数。

本发明的实施例，提供了多种更新账户身份验证证书的证书有效期的方式，可以将证书有效期更改为最近一次生成的数字证书的证书有效期，也可以根据该账户所有数字证书的有效期进行比较，确定最短有效期或确定最长有效期并替换成相应的有效期，以确保账户的身份验证证书的证书有效期处于合理的时间范围内，本领域技术人员可以根据实际的需要，合理的设置账户身份验证证书的证书有效期。

在一些实施例中，提取保存的所述账户所有数字证书中的有效期并比较，确认第M个数字证书有效期最短，具体包括：提取保存的所述账户所有数字证书中证书有效期字段中的证书起始日期和证书终止日期；根据所述起始日期和所述终止日期之间的时长确定最短时间，或根据所述证书终止日期与当前日期最近的日期确定最短时间；将确定为最短时间的数字证书确认为第M个数字证书。

在一些实施例中，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，具体包括：提取保存的所述账户所有数字证书中证书有效期字段中的证书起始日期和证书终止日期；根据所述起始日期和所述终止日期之间的时长确定最长时间，或根据所述证书终止日期与当前日期最远的日期确定最长时间；将确定为最长时间的数字证书确认为第M个数字证书。

本发明的技术方案，为如何确认第M个数字证书有效期最短，或确认第M个数字证书有效期最长提供了一种新的技术方案，本领域技术人员可以根据该方案，根据确定的日期来调整账户身份验证证书的证书有效期，以确保账身份验证证书的证书有效期在合理的时间范围内。

在一些实施例中，还包括：定期对所述数字证书的证书有效期进行判断，若确定当前日期不位于所述数字证书的证书有效期范围内，根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，使当前日期所述账户身份验证证书的所有公钥在对应的所述数字证书的证书有效期范围内。

本发明的技术方案，通过定期判断数字证书的有效性来判断对应公钥是否可用，若数字证书已过有效期，则更新该账户对应的身份验证证书，使账户身份验证证书中的公钥一直处于最新的状态，避免了因数字证书失效而对应的账户身份验证证书公钥还能使用的问题，提高了身份验证证书的安全性。

在一些实施例中，所述根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，具体包括：根据所述数字证书的所述账户身份标识信息确定所述账户身份验证证书；查找所述账户身份验证证书中与所述数字证书相同的公钥；删除所述账户身份验证证书中与所述数字证书相同的公钥。

本发明的技术方案，为如何根据数字证书的账户身份标识信息更新账户身份验证证书提供了一种新的技术方案，通过数字证书的账户身份标识信息确定账户身份验证证书并确定与数字证书相同的公钥，删除对应的公钥，以使得账户身份验证证书处于最新的状态。

第二方面，本发明实施例提供了一种身份认证方法，应用于证书颁发机构CA服务端，所述方法包括：接收账户终端发来的请求消息，所述请求消息用于申请身份认证，产生随机信息并发送至所述账户终端；接收账户终端发来的身份认证请求消息，所述身份认证请求消息中包含所述账户的身份标识信息和签名值信息，所述身份标识信息用于标识所述账户，所述签名值信息由所述账户终端的私钥对所述随机信息签名生成；根据所述账户的身份标识信息获取所述账户的身份验证证书，并获取所述账户身份验证证书公钥字段中的公钥信息，所述公钥信息包含所述账户的所有公钥；逐一使用所述公钥信息中的公钥验证所述签名值信息，若其中之一的验证结果与所述随机信息相同，则身份认证通过，若所有验证结果与所述随机信息均不相同，则身份认证不通过，将认证结果发送至所述账户终端。

本发明的实施例，在验证身份的过程中，通过账户身份验证证书进行验证，由于账户身份验证证书中包含有该账户的所有公钥信息，只需调用账户身份验证证书即可完成验签过程，因此，不需要逐个调用同一账户的多份数字证书进行验签，加快了服务器验签的速度，相对的缩短了验签时间，提高验签的效率。

第三方面，本发明实施例提供了一种身份验证证书生成装置，所述装置包括：

接收模块，用于接收账户所在终端发送的签名证书申请消息，所述签名证书申请消息至少包含所述账户的身份标识信息和公钥，所述身份标识信息用于标识所述账户，所述公钥由所述账户所在终端生成；生成模块，用于根据接收模块接收到的所述签名证书申请消息，生成所述账户所在终端对应的数字证书，所述数字证书至少包含证书有效期和所述公钥，保存所述数字证书；所述生成模块，还用于，若所述账户首次申请签名证书，则根据所述数字证书生成所述账户身份验证证书；若所述账户非首次申请签名证书，则根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，所述账户身份验证证书包含所述账户的所有公钥，对所述身份验证证书重新签名。

在一些实施例中，所述生成模块，根据所述数字证书生成所述账户身份验证证书，具体包括：所述账户身份验证证书与所述数字证书相同。在一些实施例中，所述生成模块，根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，具体包括：提取最近一次生成的所述数字证书的公钥，将所述公钥添加至保存的账户身份验证证书的公钥字段中。

在一些实施例中，所述生成模块，还用于，更新所述账户身份验证证书的证书有效期。

在一些实施例中，所述更新所述账户身份验证证书的证书有效期，具体包括：将所述账户身份验证证书的证书有效期更改为最近一次生成的所述数字证书的证书有效期；或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；其中，所述M为大于等于1的正整数。

在一些实施例中，所述生成模块，还用于：定期对所述数字证书的证书有效期进行判断，若确定当前日期不位于所述数字证书的证书有效期范围内，根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，使当前日期所述账户身份验证证书的所有公钥在对应的所述数字证书的证书有效期范围内。

在一些实施例中，所述根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，具体包括：根据所述数字证书的所述账户身份标识信息确定所述账户身份验证证书；查找所述账户身份验证证书中与所述数字证书相同的公钥；删除所述账户身份验证证书中与所述数字证书相同的公钥。

第四方面，本发明实施例提供了一种身份认证装置，所述装置包括：接收模块、交互模块、验证模块；

所述接收模块，用于接收账户终端发来的身份认证请求消息，所述身份认证请求消息中包含所述账户的身份标识信息和签名值信息，所述身份标识信息用于标识所述账户，所述签名值信息由所述账户终端的私钥对所述装置产生的随机信息签名生成；所述获取模块，用于根据接收模块接收到的所述账户的身份认证请求消息中的身份标识信息，获取所述账户的身份验证证书，并获取所述账户身份验证证书公钥字段中的公钥信息，所述公钥信息包含所述账户位于不同终端的所有公钥；所述验证模块，用于根据获取模块的公钥信息，逐一使用所述公钥信息中的公钥验证所述签名值信息，若其中之一的公钥验证结果与所述随机信息相同，则身份认证通过，若所有的公钥验证结果与所述随机信息均不相同，则认证不通过。

第五方面，本发明实施例提供了一种电子设备，所述电子设备至少包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序时执行上述第一方面中任一种所述身份验证证书生成方法及上述第二方面中所述身份认证方法。

第六方面，本发明实施例提供了一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时执行上述第一方面中任一种所述身份验证证书生成方法及上述第二方面所述身份认证方法。

第三方面至第六方面的有益效果，可参见上述第一方面、第二方面对应的有益效果，此处不再赘述。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种X.509V3版公钥证书的结构；

图2为本发明实施例提供的一种身份验证证书生成方法流程图；

图3为本发明实施例提供的与图2对应的身份验证证书生成方法信令流程图；

图4为本发明实施例提供的另一种身份验证证书生成方法流程图；

图5为本发明实施例提供的另一种身份验证证书生成方法流程图；

图6为本发明实施例提供的一种身份认证方法信令流程图；

图7为本发明实施例提供的一种身份验证证书生成装置示意图；

图8为本发明实施例提供的一种身份认证装置示意图；

图9为本发明实施例提供的一种电子设备示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

下面对本发明的应用场景进行简要介绍。

信息传输过程中，出于安全性考虑，需要对发送及接收的信息进行加密及解密，而非对称加密算法便是一种。

利用一对互相匹配的密钥进行加密、解密即公钥体制(PKI——PublicKeyInfrastructure)，数字证书即采用该体制。每个用户自己设定一把特定的仅为本人所有的私有密钥，简称私钥，用它进行解密和签名；同时设定一把公共密钥，简称公钥，由用户本人公开，为一组用户所共享，用于加密和验证签名，通过数字的手段保证加密过程是一个不可逆过程。

当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，由于私钥只有接收方自己独有，其它人没有，即使信息被他人所截获，由于无私钥也无法破译加密后的文件，这样信息就可以安全无误地到达目的地了，即只有用私钥、公钥才能解密，而验证签名则是相反的过程，用私钥加密，用公钥解密。

验证签名时，发送方用自己的私钥将接收方发来的信息加密处理后发送至接收方，接收方接收到信息后，通过发送方的公钥对信息进行解密，获得原文，若原文与接收方发送的信息一致，可证明该信息是发送方发来的。

由于私钥仅为发送方所有,在加密过程中产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点，一是保证信息是由发送方自己签名发送的，发送方不能否认或难以否认；二是保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。

验签过程由于是用发送者的公钥进行验证的，因此，需要权威性机构对发送者的身份进行认证。证书管理中心(CertificationAuthority)，简称“认证机构”或CA，它是一个被用户所信任的、为用户生成和分配数字证书的可信的第三方管理机构，它的职责之一是向用户签发数字证书以及确认用户身份的管理机构。

本发明的实施例是以CA认证服务器为例进行表述的、以X.509V3版公钥证书的结构为例进行的说明，证书结构如图1所示，CA服务器向用户发送的用以证明身份的数字证书即符合这一标准。

该数字证书的字段中，包含有用户主体名称字段(即账户ID)，用以标识账户的主体身份，还包含有主体公钥字段，即公钥字段，用以标识公钥本身。

一种身份验证证书生成方法，应用于证书颁发机构CA服务端，该方法包括：

接收账户所在终端发送的签名证书申请消息，签名证书申请消息至少包含账户的身份标识信息和公钥，身份标识信息用于标识账户，公钥由账户所在终端生成；

根据账户所在终端发送的签名证书申请消息，生成账户所在终端对应的数字证书，数字证书至少包含证书有效期和公钥，保存数字证书；

若账户首次申请签名证书，则根据数字证书生成账户身份验证证书；若账户非首次申请签名证书，则根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书，账户身份验证证书包含账户的所有公钥，对身份验证证书重新签名。

以下通过具体实施例说明，见附图2、附图3所示。

S201/S302：接收账户所在终端发送的签名证书申请消息；

账户所在终端在向CA服务器申请签名证书之前需要生成公私钥对，见图3中步骤S301，生成公私钥对所采用的算法及工具在此处不进行限定，本领域技术人员可以根据现有技术生成公私钥对。

账户所在终端生成公私钥对后，私钥由账户所在终端保留，公钥作为申请信息的一部分发送至服务端，可选的，签名证书申请文件的后缀名以.csr定义。

签名证书申请中至少包含账户的身份标识信息和公钥，身份标识信息用于标识账户，公钥由账户所在终端生成；通常，签名证书申请中还包含有算法信息，用于标识公钥使用的算法，以便于服务端采用对应的算法用公钥加密及验签，签名证书申请以消息的形式向服务器发送。

S202/S303:根据账户所在终端发送的签名证书申请消息，生成账户所在终端对应的数字证书并保存；

服务器接收到账户所在终端发送签名证书申请消息后，生成账户所在终端对应的数字证书；数字证书中包含有公钥，该公钥是由账户所在终端发送签名证书申请消息时所携带的，服务端生成的数字证书的格式字段如图1所示，在生成对应的数字证书后，服务端对数字证书进行保存。

S203:该账户是否首次申请？

通过用户主体名称字段(即账户ID)来判断该账户是否是首次申请，可参见图1中证书结构，若是首次申请，执行步骤S204，若不是首次申请，则执行步骤S205。

S204/S304：根据数字证书生成账户身份验证证书；

根据数字证书生成账户身份验证证书的方式不限制，可以通过对数字证书拷贝生成，也可以在生成数字证书过程中直接生成两份数字证书，其中之一做为账户身份验证证书即可。

S205/S304：根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书，账户身份验证证书包含账户位于不同终端的所有公钥，对身份验证证书重新签名。

若该账户非第一次申请数字证书，则说明该账户已有身份验证证书，只需对已生成的保存的账户身份验证证书进行更新即可，更新账户身份验证证书的方式不限定，账户身份验证证书包含账户位于不同终端的所有公钥即可，更新结束以后，需对身份验证证书重新签名，即服务器用私钥对当前的账户身份验证证书进行加密。

本发明实施例提供的技术方案，账户所在的终端向服务器端申请签名证书时，服务器端除了生成相应的数字证书外，还生成有身份验证证书，身份验证证书的公钥字段包含有同一账户的所有公钥信息，在进行身份验证时，服务器不需要逐个调用同一账户的多份数字证书文件一一验签，只需调用身份验证证书一份文件并使用身份验证证书中的公钥字段验签即可，可加快验签的速度，相对的缩短了验签时间，提高验签的效率。

可选的，作为其中一种实施例，根据数字证书生成账户身份验证证书，具体包括：账户身份验证证书与数字证书相同。

身份验证证书包含有该账户位于不同终端的所有公钥，若账户是首次申请数字证书，服务器端只有该账户的一个终端申请的公钥，因此，对于首次申请数字证书的账户而言，身份验证证书与数字证书是相同的，若账户为首次申请数字证书，可以通过对已生成的数字证书进行拷贝复制，得到一个与生成数字证书相同的身份验证证书，也可以在生成数字证书过程中直接生成两份数字证书，其中之一做为账户身份验证证书，在生成账户身份验证证书的过程中，确认与数字证书相同即可。

本发明的实施例，为如何生成账户身份验证证书提供了一种技术方案，在账户首次向服务器端申请数字证书时，即生成相应的账户身份验证证书，且生成的账户身份验证证书与账户的数字证书为两个相互独立的文件，在使用过程中互不干涉，不影响传送事件的加密解密过程。

可选的，作为其中一种实施例，根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书，具体包括：

提取最近一次生成的数字证书的公钥，将公钥添加至保存的账户身份验证证书的公钥字段中。

若该账户非首次申请数字证书，说明该账户已有另一个终端申请过数字证书，且服务器中已存在该账户的身份验证证书，该账户的身份验证证书中已包含此前该账户所有终端申请的公钥，因此，只需将该账户此次申请的数字证书中的公钥添加至已保存的账户身份验证证书的公钥字段中即可，添加后，账户的身份验证证书的公钥字段包含了此次申请的公钥，即通过提取最近一次生成的数字证书的公钥，将公钥添加至保存的账户身份验证证书的公钥字段中后，该账户的身份验证证书的公钥字段包含了该账户在不同终端的所有公钥。

本发明的实施例，当账户所在的不同终端向服务器申请证书时，通过向账户身份验证证书的公钥字段中追加新申请的终端的公钥的方式，使账户身份验证证书的公钥字段中的公钥信息包含当前账户所有的终端的公钥，为如何使账户身份验证证书的公钥字段中的公钥信息包含当前账户所有的终端的公钥，提供了一种新的技术方案。

可选的，作为其中一种实施例，在更新保存的账户身份验证证书之后，对所述身份验证证书重新签名之前，还包括，更新所述账户身份验证证书的证书有效期。

以下通过具体实施例进行说明。

见图4所示，该方法与图2的方法相比，差异之处为步骤S405-S407，其余步骤与图2的相同，因此，此处仅对差异之处进行说明，对于相同的步骤，此处不再赘述。

S405：根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书；

若该账户非第一次申请数字证书，则说明该账户已有身份验证证书，只需对已生成的保存的账户身份验证证书进行更新即可，更新账户身份验证证书的方式不限定，账户身份验证证书包含账户位于不同终端的所有公钥即可。

S406：更新所述账户身份验证证书的证书有效期；

出于安全性考虑，账户的身份验证证书设置有证书的有效期，在验签过程中，需要确认当前的验签时间是否在身份验证证书的有效期范围内的，若不在身份验证证书的有效期范围内，说明该身份验证证书已失效，无法验签，因此，若对帐户的身份验证证书的公钥进行了更新，也需要对账户的身份验证证书进行更新，以确保更新后的身份验证证书的证书有效期是最新的。

S407：对身份验证证书重新签名；

在对账户的身份验证证书更新结束后，需对身份验证证书重新签名，即服务器用私钥对账户身份验证证书进行加密。

本发明的实施例，通过对账户身份验证证书的证书有效期进行限定及更新，以确保身份验证证书在有效期范围内可正常使用，提高了账户身份验证证书的安全性。在使用的过程中，需验证身份验证证书的有效期，若当前时间在身份验证证书的有效期范围内，才进行验签操作，若当前时间不位于身份验证证书的有效期范围内则无法验签，提高了账户身份验证证书的安全性，且对账户身份验证证书的任何的更改都会更新证书有效期，使证书有效期处于最新状态。

可选的，作为其中一种实施例，更新账户身份验证证书的证书有效期，具体包括：

将账户身份验证证书的证书有效期更改为最近一次生成的数字证书的证书有效期；或，提取保存的账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将账户身份验证证书的证书有效期更改为第M个数字证书的证书有效期；或，提取保存的账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将账户身份验证证书的证书有效期更改为第M个数字证书的证书有效期；其中，M为大于等于1的正整数。

本发明的实施例，提供了多种更新账户身份验证证书的证书有效期的方式，可以将证书有效期更改为最近一次生成的数字证书的证书有效期，也可以根据该账户所有数字证书的有效期进行比较，确定最短有效期或确定最长有效期并替换成相应的有效期，以确保账户的身份验证证书的证书有效期处于合理的时间范围内，本领域技术人员可以根据实际的需要，合理的设置账户身份验证证书的证书有效期。

可选的，作为其中一种实施例，提取保存的账户所有数字证书中的有效期并比较，确认第M个数字证书有效期最短，具体包括：提取保存的账户所有数字证书中证书有效期字段中的证书起始日期和证书终止日期；根据起始日期和终止日期之间的时长确定最短时间，或根据证书终止日期与当前日期最近的日期确定最短时间；将确定为最短时间的数字证书确认为第M个数字证书。

可选的，作为其中一种实施例，提取保存的账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，具体包括：提取保存的账户所有数字证书中证书有效期字段中的证书起始日期和证书终止日期；根据起始日期和终止日期之间的时长确定最长时间，或根据证书终止日期与当前日期最远的日期确定最长时间；将确定为最长时间的数字证书确认为第M个数字证书。

本发明的技术方案，为如何确认第M个数字证书有效期最短，或确认第M个数字证书有效期最长提供了一种新的技术方案，本领域技术人员可以根据该方案，根据确定的日期来调整账户身份验证证书的证书有效期，以确保账身份验证证书的证书有效期在合理的时间范围内。

可选的，作为其中一种实施例，定期对数字证书的证书有效期进行判断，若确定当前日期不位于数字证书的证书效期范围内，根据数字证书的账户身份标识信息更新账户身份验证证书，使当前日期账户身份验证证书的所有公钥在对应的数字证书的证书效期范围内。

以下通过具体实施例进行说明，可参见附图5。本实施例的方法与图2的实施例相比，差异之处为增加有步骤S506-S507，其余步骤与图2的相同，因此，此处仅对差异之处进行说明，对于相同的步骤，此处不再赘述。

S506：定期判断当前日期是否位于数字证书的证书有效期范围内，若否，执行步骤S507。

可设定间隔时长对数字证书的有效期进行判定，可选的，间隔时间可以设置为24h；若当前的时间不位于数字证书的证书有效期范围内，说明数字证书为失效的状态，即该数字证书不可用，那么，该数字证书也同样不能用于加密解密及身份的认证等，该数字证书的公钥同样不能用于身份验证，因此，需要定期的判断数字证书的有效性。

S507：根据数字证书的账户身份标识信息更新账户身份验证证书。

若当前日期不位于数字证书的证书有效期范围，说明数字证书中对应的公钥已不可用了，需要根据数字证书的账户身份标识信息查找该账户对应的账户身份验证证书，对身份验证证书更新，使当前日期账户身份验证证书的所有公钥在对应的数字证书的证书效期范围内，对账户身份验证证书重新签名。

本发明的技术方案，通过定期判断数字证书的有效性来判断对应公钥是否可用，若数字证书已过有效期，则更新该账户对应的身份验证证书并重新签名，使账户身份验证证书中的公钥一直处于最新的状态，避免了因数字证书失效而对应的账户身份验证证书公钥还能使用的问题，提高了身份验证证书的安全性。

可选的，作为其中一种实施例，根据数字证书的账户身份标识信息更新账户身份验证证书，具体包括：根据数字证书的账户身份标识信息确定账户身份验证证书；查找账户身份验证证书中与数字证书相同的公钥；删除账户身份验证证书中与数字证书相同的公钥。

本发明的技术方案，为如何根据数字证书的账户身份标识信息更新账户身份验证证书提供了一种新的技术方案，通过数字证书的账户身份标识信息确定账户身份验证证书并确定与数字证书相同的公钥，删除对应的公钥，以使得账户身份验证证书处于最新的状态，确保当前日期账户身份验证证书的所有公钥在对应的数字证书的证书效期范围内，提高账户身份验证证书的安全性。

可选的，作为其中一种实施例，本发明还提供了一种身份认证方法，应用于证书颁发机构CA服务端，该方法包括：

接收账户终端发来的请求消息，请求消息用于申请身份认证，产生随机信息并发送至账户终端；

接收账户终端发来的身份认证请求消息，身份认证请求消息中包含账户的身份标识信息和签名值信息，身份标识信息用于标识账户，签名值信息由账户终端的私钥对随机信息签名生成；

根据账户的身份标识信息获取账户的身份验证证书，并获取账户身份验证证书公钥字段中的公钥信息，公钥信息包含账户的所有公钥；

逐一使用公钥信息中的公钥验证签名值信息，若其中之一的验证结果与随机信息相同，则身份认证通过；若所有验证结果与随机信息均不相同，则身份认证不通过；将认证结果发送至账户终端。

以下通过实施例进行说明，具体见附图6所示。

S601：账户所在的终端向服务端发送请求消息；

若需要身份认证，则需账户所在的终端向服务端发送请求，以消息的形式发送，用于申请身份认证。

S602：服务器产生随机数；

当服务器接收到终端发来的请求消息时，产生随机信息，随机信息的形式不限定，此处以随机数的形式体现。

S603：服务器向终端发送随机数；

服务器向待认证的终端发送产生的随机信息，此处以随机数的形式体现。

S604：终端用私钥对随机数签名，产生签名值；

终端接收到随机信息后，用此前向服务器端申请的数字证书时的公私钥对中的私钥对随机数签名，产生签名值，由于该签名值是用终端的私钥对服务器端产生的随机数的签名生成，因此产生的签名值是独一无二的信息。

S605：发送身份认证请求消息，携带签名数值及身份标识信息；

终端产生签名值后，将签名值及身份标识信息一起发送至服务器，即份认证请求消息中包含账户的身份标识信息和签名值信息，身份标识信息用于标识账户，签名值信息由账户终端的私钥对服务端产生的随机数签名生成。

S606：服务器根据接收到的账户身份标识信息获取账户的身份验证证书，并获取账户身份验证证书公钥字段中的公钥信息；

服务器接收到签名值及身份标识信息后，根据身份标识信息确认账户的身份验证证书，并提取账户身份验证证书公钥字段中的公钥信息，该账户身份验证证书公钥字段中包含当前账户位于不同终端的所有公钥，因此，不需要调用该账户不同终端的数字证书进行验证，只需调用该账户身份验证证书即可。

S607：逐一使用公钥信息中的公钥验证签名值信息是否与随机数相同；

签名值是账户的终端用私钥对服务器发送的随机信息签名产生的独一无二的信息，若该账户的公钥解密后获得的数值与发送的随机数值相同，说明该账户的私钥与公钥为匹配的关系，即可证明账户所在终端的身份。

因此，逐一使用公钥信息中的公钥验证签名值信息是否与随机数相同，若其中之一的验证结果与随机数相同，则身份认证通过，可确认账户所在终端的身份，若所有验证结果与随机信息均不相同，则身份认证不通过，无法确认账户所在终端的身份。

S608：发送身份认证结果。

服务器端根据验证的结果，向账户所在终端发送认证结果。

本发明的实施例，在验证身份的过程中，通过账户身份验证证书进行验证，由于账户身份验证证书中包含有该账户不同终端的所有公钥信息，只需调用账户身份验证证书一份文件即可完成验签过程，因此，不需要逐个调用同一账户的多份数字证书文件一一进行验签，加快了服务器验签的速度，相对的缩短了验签时间，提高验签的效率。

基于同一发明构思，本发明实施例还提供了一种身份验证证书生成装置，见附图7所示，该装置包括：

接收模块701，用于接收账户所在终端发送的签名证书申请消息，签名证书申请消息至少包含账户的身份标识信息和公钥，身份标识信息用于标识账户，公钥由账户所在终端生成；

生成模块702，用于根据接收模块接收到的签名证书申请消息，生成账户所在终端对应的数字证书，数字证书包含公钥，保存数字证书并发送至账户所在终端；

生成模块702，还用于，若账户首次申请签名证书，则根据数字证书生成账户身份验证证书；若账户非首次申请签名证书，则根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书，使账户身份验证证书包含账户位于不同终端的所有公钥，对身份验证证书重新签名。

生成模块702，根据数字证书生成账户身份验证证书，具体包括：账户身份验证证书与数字证书相同。

生成模块702，根据最近一次生成的数字证书的公钥更新保存的账户身份验证证书，具体包括：提取最近一次生成的数字证书的公钥，将公钥添加至保存的账户身份验证证书的公钥字段中。

生成模块702，还用于，更新账户身份验证证书的证书有效期。

更新账户身份验证证书的证书有效期，具体包括：将账户身份验证证书的证书有效期更改为最近一次生成的数字证书的证书有效期；或，提取保存的账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将账户身份验证证书的证书有效期更改为第M个数字证书的证书有效期；或，提取保存的账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将账户身份验证证书的证书有效期更改为第M个数字证书的证书有效期；其中，M为大于等于1的正整数。

生成模块702，还用于：定期对数字证书的证书有效期进行判断，若确定当前日期不位于数字证书的证书有效期范围内，根据数字证书的账户身份标识信息更新账户身份验证证书，使当前日期账户身份验证证书的所有公钥在对应的数字证书的证书有效期范围内。

根据数字证书的账户身份标识信息更新账户身份验证证书，具体包括：根据数字证书的账户身份标识信息确定账户身份验证证书；查找账户身份验证证书中与数字证书相同的公钥；删除账户身份验证证书中与数字证书相同的公钥。

基于同一发明构思，本发明实施例还提供了一种身份认证装置，见附图8所示，该装置包括：接收模块、交互模块、验证模块；

接收模块801，用于接收账户终端发来的请求消息及身份认证请求消息，请求消息用于申请身份认证，身份认证请求消息中包含账户的身份标识信息和签名值信息，身份标识信息用于标识账户，签名值信息由账户终端的私钥对装置产生的随机信息签名生成；

交互模块802，用于根据接收模块801接收到的请求消息产生随机信息并发送至账户终端，还用于根据接收模块接收到的账户的身份认证请求消息中的身份标识信息，获取账户的身份验证证书，并获取账户身份验证证书公钥字段中的公钥信息，公钥信息包含账户的所有公钥；还用于，将验证模块803的验证结果发送至账户终端；

验证模块803，用于根据交互模块802的公钥信息，逐一使用公钥信息中的公钥验证签名值信息，若其中之一的公钥验证结果与随机信息相同，则身份认证通过，若所有的公钥验证结果与随机信息均不相同，则认证不通过，将验证结果传输至交互模块802。

基于同一发明构思，本发明实施例还提供一种电子设备，如图9所示，电子设备至少包括处理器901和存储器902，处理器用于执行存储器中存储的计算机程序时执行上述实施例中任一身份验证证书生成方法及上述实施例中身份认证方法。

基于同一发明构思，本发明实施例还提供一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时执行上述实施例中任一所述身份验证证书生成方法及上述实施例中所述身份认证方法。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (16)

1.一种身份认证方法，其特征在于，应用于证书颁发机构CA服务端，所述方法包括：

接收账户终端发来的请求消息，所述请求消息用于申请身份认证，产生随机信息并发送至所述账户终端；

接收账户终端发来的身份认证请求消息，所述身份认证请求消息中包含所述账户的身份标识信息和签名值信息，所述身份标识信息用于标识所述账户，所述签名值信息由所述账户终端的私钥对所述随机信息签名生成；

根据所述账户的身份标识信息获取所述账户的身份验证证书，并获取所述账户身份验证证书公钥字段中的公钥信息，所述公钥信息包含所述账户位于不同终端的所有公钥；

逐一使用所述公钥信息中的公钥验证所述签名值信息，若其中之一的验证结果与所述随机信息相同，则身份认证通过；若所有验证结果与所述随机信息均不相同，则身份认证不通过；将认证结果发送至所述账户终端；

其中，所述身份验证证书的生成方法，包括：

接收所述账户所在终端发送的签名证书申请消息，所述签名证书申请消息至少包含所述账户的身份标识信息和公钥，所述身份标识信息用于标识所述账户，所述公钥由所述账户所在终端生成；

根据所述账户所在终端发送的签名证书申请消息，生成所述账户所在终端对应的数字证书，所述数字证书至少包含证书有效期和所述公钥，保存所述数字证书；

若所述账户首次申请签名证书，则根据所述数字证书生成所述账户身份验证证书；若所述账户非首次申请签名证书，则根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，所述账户身份验证证书包含所述账户位于不同终端的所有公钥，对所述身份验证证书重新签名。

2.根据权利要求1所述的方法，其特征在于，所述根据所述数字证书生成所述账户身份验证证书，具体包括：

所述账户身份验证证书与所述数字证书相同。

3.根据权利要求1所述的方法，其特征在于，所述根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，具体包括：

提取最近一次生成的所述数字证书的公钥，将所述公钥添加至保存的账户身份验证证书的公钥字段中。

4.根据权利要求1所述的方法，其特征在于，在更新保存的账户身份验证证书之后，对所述身份验证证书重新签名之前，还包括，更新所述账户身份验证证书的证书有效期。

5.根据权利要求4所述的方法，其特征在于，所述更新所述账户身份验证证书的证书有效期，具体包括：

将所述账户身份验证证书的证书有效期更改为最近一次生成的所述数字证书的证书有效期；

或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；

或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；

其中，所述M为大于等于1的正整数。

6.根据权利要求1所述的方法，其特征在于，还包括：定期对所述数字证书的证书有效期进行判断，若确定当前日期不位于所述数字证书的证书有效期范围内，根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，使当前日期所述账户身份验证证书的所有公钥在对应的所述数字证书的证书有效期范围内。

7.根据权利要求6所述的方法，其特征在于，所述根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，具体包括：

根据所述数字证书的所述账户身份标识信息确定所述账户身份验证证书；

查找所述账户身份验证证书中与所述数字证书相同的公钥；

删除所述账户身份验证证书中与所述数字证书相同的公钥。

8.一种身份验证证书生成及身份认证装置，其特征在于，身份验证证书生成模块包括：

第一接收子模块，用于接收账户所在终端发送的签名证书申请消息，所述签名证书申请消息至少包含所述账户的身份标识信息和公钥，所述身份标识信息用于标识所述账户，所述公钥由所述账户所在终端生成；

生成子模块，用于根据所述第一接收子模块接收到的所述签名证书申请消息，生成所述账户所在终端对应的数字证书，所述数字证书至少包含证书有效期和所述公钥，保存所述数字证书；

所述生成子模块，还用于，若所述账户首次申请签名证书，则根据所述数字证书生成所述账户身份验证证书；若所述账户非首次申请签名证书，则根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，所述账户身份验证证书包含所述账户位于不同终端的所有公钥，对所述身份验证证书重新签名；

身份认证模块，包括：第二接收子模块、交互子模块、验证子模块；

所述第二接收子模块，用于接收账户终端发来的请求消息及身份认证请求消息，所述请求消息用于申请身份认证，所述身份认证请求消息中包含所述账户的身份标识信息和签名值信息，所述身份标识信息用于标识所述账户，所述签名值信息由所述账户终端的私钥对所述身份认证装置产生的随机信息签名生成；

所述交互子模块，用于根据所述第二接收子模块接收到的请求消息产生所述随机信息并发送至所述账户终端，还用于根据所述第二接收子模块接收到的所述账户的身份认证请求消息中的身份标识信息，获取所述账户的身份验证证书，并获取所述账户身份验证证书公钥字段中的公钥信息，所述公钥信息包含所述账户位于不同终端的所有公钥；还用于，将所述验证子模块的验证结果发送至所述账户终端；

所述验证子模块，用于根据所述交互子模块的公钥信息，逐一使用所述公钥信息中的公钥验证所述签名值信息，若其中之一的公钥验证结果与所述随机信息相同，则身份认证通过，若所有的公钥验证结果与所述随机信息均不相同，则认证不通过，将验证结果传输至所述交互子模块。

9.根据权利要求8所述的装置，其特征在于，所述生成子模块，根据所述数字证书生成所述账户身份验证证书，具体包括：所述账户身份验证证书与所述数字证书相同。

10.根据权利要求8所述的装置，其特征在于，所述生成子模块，根据最近一次生成的所述数字证书的公钥更新保存的账户身份验证证书，具体包括：

提取最近一次生成的所述数字证书的公钥，将所述公钥添加至保存的账户身份验证证书的公钥字段中。

11.根据权利要求8所述的装置，其特征在于，所述生成子模块，还用于，更新所述账户身份验证证书的证书有效期。

12.根据权利要求11所述的装置，其特征在于，所述更新所述账户身份验证证书的证书有效期，具体包括：

将所述账户身份验证证书的证书有效期更改为最近一次生成的所述数字证书的证书有效期；

或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最短，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；

或，提取保存的所述账户所有数字证书的有效期并比较，确认第M个数字证书有效期最长，将所述账户身份验证证书的证书有效期更改为所述第M个数字证书的证书有效期；

其中，所述M为大于等于1的正整数。

13.根据权利要求8所述的装置，其特征在于，所述生成子模块，还用于：定期对所述数字证书的证书有效期进行判断，若确定当前日期不位于所述数字证书的证书有效期范围内，根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，使当前日期所述账户身份验证证书的所有公钥在对应的所述数字证书的证书有效期范围内。

14.根据权利要求13所述的装置，其特征在于，所述根据所述数字证书的所述账户身份标识信息更新所述账户身份验证证书，具体包括：

根据所述数字证书的所述账户身份标识信息确定所述账户身份验证证书；

查找所述账户身份验证证书中与所述数字证书相同的公钥；

删除所述账户身份验证证书中与所述数字证书相同的公钥。

15.一种电子设备，所述电子设备至少包括处理器和存储器，其特征在于，所述处理器用于执行存储器中存储的计算机程序时执行上述权利要求1-7中任一所述的方法。

16.一种计算机可读存储介质，其存储有计算机程序，其特征在于，所述计算机程序被处理器执行时执行上述权利要求1-7中任一所述的方法。

Images