CN114615046A - 一种基于国密证书的管理员双因子认证方法 - Google Patents

一种基于国密证书的管理员双因子认证方法 Download PDF

Info

Publication number
CN114615046A
CN114615046A CN202210223946.9A CN202210223946A CN114615046A CN 114615046 A CN114615046 A CN 114615046A CN 202210223946 A CN202210223946 A CN 202210223946A CN 114615046 A CN114615046 A CN 114615046A
Authority
CN
China
Prior art keywords
administrator
certificate
encryption
equipment
encryption device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210223946.9A
Other languages
English (en)
Other versions
CN114615046B (zh
Inventor
郭卫霞
车业蒙
崔冬
尚雄
邢博涵
黄冠杰
齐英俊
王路杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inner Mongolia Datang International Tuoketuo Power Generation Co Ltd
China Datang Corp Science and Technology Research Institute Co Ltd
Original Assignee
Inner Mongolia Datang International Tuoketuo Power Generation Co Ltd
China Datang Corp Science and Technology Research Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inner Mongolia Datang International Tuoketuo Power Generation Co Ltd, China Datang Corp Science and Technology Research Institute Co Ltd filed Critical Inner Mongolia Datang International Tuoketuo Power Generation Co Ltd
Priority to CN202210223946.9A priority Critical patent/CN114615046B/zh
Priority claimed from CN202210223946.9A external-priority patent/CN114615046B/zh
Publication of CN114615046A publication Critical patent/CN114615046A/zh
Application granted granted Critical
Publication of CN114615046B publication Critical patent/CN114615046B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Abstract

本发明涉及一种基于国密证书的管理员双因子认证方法，包括：对设备进行初始化，生成国密证书，包括安全加密设备的加密证书CertB和管理员A的签名证书CertA；管理员A使用国密证书登录安全加密设备：管理员A和安全加密设备B建立SSL连接后，管理员A发送请求，请求登录安全加密设备B；安全加密设备B生成随机数RB,并将安全加密设备B的加密证书CertB发送给管理员A；管理员A收到加密证书CertB后，对TokenAB,即RA||sSA，进行加密；安全加密设备B收到加密后的TokenAB后，执行解密，签名验签，用户名、口令一致性比对操作。本发明实现了管理员通过标准浏览器使用国密证书登录安全加密设备，既实现了双因子认证，又使用国密证书，提高了管理员登录设备的安全强度。

Description

一种基于国密证书的管理员双因子认证方法
技术领域
本发明涉及信息安全技术领域，尤其涉及一种基于国密证书的管理员双因子认证方法。
背景技术
在网络攻击威胁日盛的当下，企业要想确保自身网络环境的安全防护，安全加密设备是必不可少的网安设备之一。安全加密设备主要是作用在内部和外部网络的环境间产生一种保护的屏障，从而实现对计算机不安全网络因素的阻断，但是安全加密设备也是网络攻击的对象。
企业部署安全加密设备，需要专职管理员对设备进行管理和配置。管理员登录安全加密设备，大多数情况下使用用户名和密码的方式认证。网络攻击者通过暴力破解管理员密码登录安全加密设备，篡改配置实施更深入的破坏。为了增强管理员认证的安全性，不再使用用户名/密码单一的认证方式，而是采用双因子认证的方式。双因子认证的方式有证书认证、OTP令牌、短信认证等。
管理员登录安全加密设备，采用HTTPS方式，使用SSL协议对数据加密保护。SSL协议本身可以进行证书认证，属于双因子认证的一种方式。
SSL证书认证的方式有两种：国际证书认证和国密证书认证。其中国际证书认证采用国际协议，SSL连接过程中采用国际算法完成认证。国密证书认证采用国密协议，SSL连接过程采用国密算法(SM1/SM2/SM3/SM4)的一套标准。
标准浏览器仅支持SSL国际协议，支持基于国际证书的SSL证书认证，不支持基于国密证书的国密SSL协议，也就是说，在标准浏览器无法支持管理员使用国密证书进行SSL双因子认证登录安全加密设备。国际证书通常是RSA算法(2048位)，国密证书现阶段采用的是ECC算法，ECC算法由国家密码管理局于2010年12月发布，是我国自主设计的公钥密码算法，在椭圆曲线密码理论基础改进而来，其加密强度比RSA算法(2048位)更高。
发明内容
本发明的目的是一种基于国密证书的管理员双因子认证方法，实现管理员通过标准浏览器使用国密证书登录安全加密设备，既实现双因子认证，又使用国密证书，提高管理员登录设备的安全强度。
本发明提供了一种基于国密证书的管理员双因子认证方法，包括如下步骤：
对设备进行初始化，生成国密证书，包括安全加密设备的加密证书CertB和管理员A的签名证书CertA；
管理员A使用国密证书登录安全加密设备的流程包括：
步骤1，管理员A和安全加密设备B建立SSL连接后，管理员A发送请求，请求登录安全加密设备B；
步骤2，安全加密设备B生成随机数RB,并将安全加密设备B的加密证书CertB发送给管理员A；
步骤3，管理员A收到加密证书CertB后，执行以下操作：
1)生成随机数RA；
2)管理员A用管理员签名证书CertA对随机数RA、随机数RB、用户名、口令、进行签名，得到sSA；
3)管理员A用安全加密设备B的CertB加密密钥对中的公钥，对TokenAB,即RA||sSA，进行加密；
4)将加密后的TokenAB发送给安全加密设备B；
步骤4，安全加密设备B收到加密后的TokenAB后，执行以下操作：
(1)安全加密设备B用加密密钥对的私钥解密TokenAB，获得RA||sSA；
(2)安全加密设备B用设备中保存的管理员A的签名密钥对公钥对sSA进行签名验签；成功将得到随机数RA、随机数Rb、用户名、口令；
(3)安全加密设备B将获得的RA与验签中得到的RA进行比较，同时将自己生成的RB与验签获得的RB进行比较，均一致则通过，否则失败报错；
(4)安全加密设备B将验签中得到的用户名、口令与保存在设备中的用户名、口令进行一致性比对，一致则登录成功，否则登录失败；
(5)安全加密设备B将登录成功/失败的消息返回给管理员A。
进一步地，该方法还包括：管理员A登录成功后，更新管理员的签名证书。
借由上述方案，通过基于国密证书的管理员双因子认证方法，具有如下技术效果：
1)实现管理员使用国密证书依赖国际SSL协议进行双因子认证登录安全加密设备，SSL连接依然使用国际协议，支持标准浏览器使用国密证书访问安全加密设备。
2)管理员使用国密签名证书，保证管理员认证数据的完整性、防伪造和不可抵赖性，国密签名证书使用ECC算法，加密强度比国际证书使用的RSA算法更高。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，并可依照说明书的内容予以实施，以下以本发明的较佳实施例并配合附图详细说明如后。
附图说明
图1是本发明基于国密证书的管理员双因子认证方法的流程图。
具体实施方式
下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。
参图1所示，本实施例提供了一种基于国密证书的管理员双因子认证方法，
首先设备初始化，会生成国密证书即安全加密设备的加密证书CertB和管理员A的签名证书CertA，下面是管理员A使用国密证书登录安全加密设备的流程：
1.管理员A和安全加密设备建立SSL连接后，管理员A发送请求，请求登录安全加密设备B。
2.安全加密设备B生成随机数RB,并将安全加密设备的加密证书CertB发送给管理员A。
3.管理员A收到后，执行以下操作：
1)生成随机数RA。
2)管理员A用管理员签名证书CertA对随机数RA、随机数RB、用户名、
口令、进行签名，得到sSA。
3)管理员A用安全加密设备B的CertB加密密钥对中的公钥，对TokenAB,即RA||sSA，进行加密。
4)将加密后的TokenAB发送给安全加密设备B。
4.安全加密设备B收到后，执行以下操作：
1)安全加密设备B用加密密钥对的私钥解密TokenAB，获得RA||sSA。
2)安全加密设备B用设备中保存的管理员A的签名密钥对公钥对sSA进行签名验签。成功将得到随机数RA、随机数Rb、用户名、口令。
3)安全加密设备B将获得的RA与验签中得到的RA进行比较，同时将自己生成的RB与验签获得RB进行比较，均一致则通过，否则失败报错。
4)安全加密设备B将验签中得到的用户名、口令与保存在设备中的进行一致性比对，一致则登录成功，否则登录失败。
安全加密设备B将登录成功/失败的消息返回给管理员A。管理员A登录成功后，可以更新管理员的签名证书。
该基于国密证书的管理员双因子认证方法，具有如下技术效果：
1)实现管理员使用国密证书依赖国际SSL协议进行双因子认证登录安全加密设备，SSL连接依然使用国际协议，支持标准浏览器使用国密证书访问安全加密设备。
2)管理员使用国密签名证书，保证管理员认证数据的完整性、防伪造和不可抵赖性，国密签名证书使用ECC算法，加密强度比国际证书使用的RSA算法更高。
以上所述仅是本发明的优选实施方式，并不用于限制本发明，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。

Claims (2)

1.一种基于国密证书的管理员双因子认证方法，其特征在于，包括如下步骤：
对设备进行初始化，生成国密证书，包括安全加密设备的加密证书CertB和管理员A的签名证书CertA；
管理员A使用国密证书登录安全加密设备的流程包括：
步骤1，管理员A和安全加密设备B建立SSL连接后，管理员A发送请求，请求登录安全加密设备B；
步骤2，安全加密设备B生成随机数RB,并将安全加密设备B的加密证书CertB发送给管理员A；
步骤3，管理员A收到加密证书CertB后，执行以下操作：
1)生成随机数RA；
2)管理员A用管理员签名证书CertA对随机数RA、随机数RB、用户名、口令、进行签名，得到sSA；
3)管理员A用安全加密设备B的CertB加密密钥对中的公钥，对TokenAB,即RA||sSA，进行加密；
4)将加密后的TokenAB发送给安全加密设备B；
步骤4，安全加密设备B收到加密后的TokenAB后，执行以下操作：
(1)安全加密设备B用加密密钥对的私钥解密TokenAB，获得RA||sSA；
(2)安全加密设备B用设备中保存的管理员A的签名密钥对公钥对sSA进行签名验签；成功将得到随机数RA、随机数Rb、用户名、口令；
(3)安全加密设备B将获得的RA与验签中得到的RA进行比较，同时将自己生成的RB与验签获得的RB进行比较，均一致则通过，否则失败报错；
(4)安全加密设备B将验签中得到的用户名、口令与保存在设备中的用户名、口令进行一致性比对，一致则登录成功，否则登录失败；
(5)安全加密设备B将登录成功/失败的消息返回给管理员A。
2.根据权利要求1所述的基于国密证书的管理员双因子认证方法，其特征在于，还包括：管理员A登录成功后，更新管理员的签名证书。
CN202210223946.9A 2022-03-07 一种基于国密证书的管理员双因子认证方法 Active CN114615046B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210223946.9A CN114615046B (zh) 2022-03-07 一种基于国密证书的管理员双因子认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210223946.9A CN114615046B (zh) 2022-03-07 一种基于国密证书的管理员双因子认证方法

Publications (2)

Publication Number Publication Date
CN114615046A true CN114615046A (zh) 2022-06-10
CN114615046B CN114615046B (zh) 2024-04-30

Family

ID=

Citations (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101115060A (zh) * 2007-08-09 2008-01-30 上海格尔软件股份有限公司 用户密钥管理体系中的非对称密钥传输过程中用户加密密钥的保护方法
WO2009143713A1 (zh) * 2008-05-28 2009-12-03 北京易恒信认证科技有限公司 双因子组合公钥生成和认证方法
CN102036238A (zh) * 2010-12-27 2011-04-27 中国科学院软件研究所 一种基于公钥实现用户与网络认证和密钥分发的方法
US20120159169A1 (en) * 2009-08-28 2012-06-21 China Iwncomm Co., Ltd. Bidirectional entity authentication method with introduction of online third party
CN102710605A (zh) * 2012-05-08 2012-10-03 重庆大学 一种云制造环境下的信息安全管控方法
CN103391194A (zh) * 2012-05-10 2013-11-13 航天信息股份有限公司 对用户的安全设备进行解锁的方法和系统
CN104901935A (zh) * 2014-09-26 2015-09-09 易兴旺 一种基于cpk的双向认证及数据交互安全保护方法
WO2015158172A1 (zh) * 2014-04-18 2015-10-22 天地融科技股份有限公司 一种用户身份识别卡
CN109361681A (zh) * 2018-11-12 2019-02-19 北京天融信网络安全技术有限公司 国密证书认证方法、装置及设备
CN110650160A (zh) * 2019-10-29 2020-01-03 北京天威诚信电子商务服务有限公司 一种身份认证方法及系统
CN110708304A (zh) * 2019-09-27 2020-01-17 苏州浪潮智能科技有限公司 信息处理方法和装置
CA3050487A1 (en) * 2018-07-24 2020-01-24 Royal Bank Of Canada System and method for storing and distributing consumer information
CN112235235A (zh) * 2020-08-28 2021-01-15 中国大唐集团科学技术研究院有限公司 一种基于国密算法的sdp认证协议实现方法
CN113987537A (zh) * 2021-10-28 2022-01-28 中国电影科学技术研究所 一种基于国密算法的kdm制作方法及系统
CN113992702A (zh) * 2021-09-16 2022-01-28 深圳市证通电子股份有限公司 一种ceph分布式文件系统存储国密加固方法及系统

Patent Citations (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101115060A (zh) * 2007-08-09 2008-01-30 上海格尔软件股份有限公司 用户密钥管理体系中的非对称密钥传输过程中用户加密密钥的保护方法
WO2009143713A1 (zh) * 2008-05-28 2009-12-03 北京易恒信认证科技有限公司 双因子组合公钥生成和认证方法
US20120159169A1 (en) * 2009-08-28 2012-06-21 China Iwncomm Co., Ltd. Bidirectional entity authentication method with introduction of online third party
CN102036238A (zh) * 2010-12-27 2011-04-27 中国科学院软件研究所 一种基于公钥实现用户与网络认证和密钥分发的方法
CN102710605A (zh) * 2012-05-08 2012-10-03 重庆大学 一种云制造环境下的信息安全管控方法
CN103391194A (zh) * 2012-05-10 2013-11-13 航天信息股份有限公司 对用户的安全设备进行解锁的方法和系统
WO2015158172A1 (zh) * 2014-04-18 2015-10-22 天地融科技股份有限公司 一种用户身份识别卡
CN104901935A (zh) * 2014-09-26 2015-09-09 易兴旺 一种基于cpk的双向认证及数据交互安全保护方法
CA3050487A1 (en) * 2018-07-24 2020-01-24 Royal Bank Of Canada System and method for storing and distributing consumer information
CN109361681A (zh) * 2018-11-12 2019-02-19 北京天融信网络安全技术有限公司 国密证书认证方法、装置及设备
CN110708304A (zh) * 2019-09-27 2020-01-17 苏州浪潮智能科技有限公司 信息处理方法和装置
CN110650160A (zh) * 2019-10-29 2020-01-03 北京天威诚信电子商务服务有限公司 一种身份认证方法及系统
CN112235235A (zh) * 2020-08-28 2021-01-15 中国大唐集团科学技术研究院有限公司 一种基于国密算法的sdp认证协议实现方法
CN113992702A (zh) * 2021-09-16 2022-01-28 深圳市证通电子股份有限公司 一种ceph分布式文件系统存储国密加固方法及系统
CN113987537A (zh) * 2021-10-28 2022-01-28 中国电影科学技术研究所 一种基于国密算法的kdm制作方法及系统

Non-Patent Citations (7)

* Cited by examiner, † Cited by third party
Title
ZAHOOR AHMED ALIZAI等: "Key-Based Cookie-Less Session Management Framework for Application Layer Security", 《 IEEE ACCESS ( VOLUME: 7)》, 11 September 2019 (2019-09-11) *
何伟: "基于改进Kerberos认证协议的远程访问VPN密码系统研究", 《博士电子期刊出版信息》, 15 March 2003 (2003-03-15) *
孙钰;韩庆同;刘建伟;: "基于短群签名的密钥交换协议设计", 计算机研究与发展, no. 12, 15 December 2012 (2012-12-15) *
崔永祯, 卿斯汉, 高微: "安全操作系统中证书认证模型的设计与实现", 计算机应用与软件, no. 04, 12 April 2005 (2005-04-12) *
汪海明;: "基于数字证书企业应用单点登录的研究与实现", 计算机安全, no. 03, 15 March 2010 (2010-03-15) *
郭卫霞, 胡雪梅: "电子商务网站的安全防范技术", 山西电子技术, no. 01, 31 December 2005 (2005-12-31) *
陈木来;: "基于SSL证书认证登录的研究与实现", 电脑与电信, no. 12, 10 December 2015 (2015-12-10) *

Similar Documents

Publication Publication Date Title
WO2020087805A1 (zh) 基于双密值和混沌加密的可信测控网络认证方法
US9847882B2 (en) Multiple factor authentication in an identity certificate service
CN111740844A (zh) 基于硬件的国密算法的ssl通信方法及装置
US10250396B2 (en) Secure key storage systems, methods and apparatuses
US8332921B2 (en) Enhanced security for user instructions
US8130961B2 (en) Method and system for client-server mutual authentication using event-based OTP
US7840993B2 (en) Protecting one-time-passwords against man-in-the-middle attacks
JP5845393B2 (ja) 暗号通信装置および暗号通信システム
US20030204724A1 (en) Methods for remotely changing a communications password
WO2014026518A1 (zh) 软件密钥更新方法和装置
JP2011515961A (ja) クライアント側証明書認証情報の認証保存方法と認証保存システム
EP1374474A2 (en) Method and apparatus for cryptographic key storage wherein key servers are authenticated by possession and secure distribution of stored keys
US10701070B2 (en) Personalized security system
CN105162808A (zh) 一种基于国密算法的安全登录方法
Han et al. A survey on MITM and its countermeasures in the TLS handshake protocol
US10211992B1 (en) Secure certificate pinning in user provisioned networks
US8393001B1 (en) Secure signature server system and associated method
CN108551391B (zh) 一种基于USB-key的认证方法
CN112487380A (zh) 一种数据交互方法、装置、设备及介质
CN114615046B (zh) 一种基于国密证书的管理员双因子认证方法
CN114615046A (zh) 一种基于国密证书的管理员双因子认证方法
CN116633530A (zh) 量子密钥传输方法、装置及系统
US20210306306A1 (en) Method and system for secure communication
KR100883442B1 (ko) 온라인 서비스를 사용하여 직접 증명 비밀키를 디바이스에전달하는 방법
WO2023151427A1 (zh) 量子密钥传输方法、装置及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant