CN1556449A - 对网上银行数据进行加密、认证的装置和方法 - Google Patents

Abstract

本发明公开的一种利用USB KEY对网上银行数据进行加密、认证的方法。其特征在于，包括如下步骤：a)根据用户信息生成针对该用户的数字证书；b)将所述数字证书存入将要分配给该用户的USB KEY中；c)用户登陆网上银行用户进行数据处理时，通过所述USB KEY确认用户身份或数字签名。本发明还公开了一种利用USB KEY实现上述对网上银行数据进行加密、认证的装置。由于每一个USB KEY有一个唯一的序列号，并且私钥不能出内存，在确认用户身份后才进行网上交易，因此本发明具有高度的保密性和安全性。

Description

对网上银行数据进行加密、认证的装置和方法

技术领域

本发明涉及一种信息加密的装置和方法，尤其涉及一种利用USBKey对网上银行数据进行加密、认证的装置和方法。

背景技术

随着网上银行业务的蓬勃发展，数据安全和用户的身份认证已经成为越来越重要的课题。对于数据安全传输而言，现有技术主要采用SSL(Secure Socket Layer)协议进行，加密强度已经基本达到了“满意”的程度，而对于如何确认“网络人”的身份就有着各种各样的方法。对于网上银行而言，身份认证尤为重要。只有确认了银行用户的合法身份，才能为用户提供安全、优质、高效的服务以及更多、更全面的服务功能。否则无法保证用户和银行自身的资金安全，为用户服务更是无从谈起。如今常见的身份认证方式有口令验证方式、动态密码方式、基于PKI体系的数字证书验证方式。

关于数字证书：

数字证书是网络通讯中标志通讯各方身份信息的一系列数据，其作用类似于现实生活中的身份证。它是由一个权威机构(即CA中心)发行的，人们可以在交往中用它来识别对方的身份。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。一般情况下证书中还包括密钥的有效时间，发证机关(证书授权中心)的名称，该证书的序列号等信息，证书的格式遵循ITUT X.509国际标准。

一个标准的X.509数字证书包含以下一些内容：

￠  证书的版本信息；

￠  证书的序列号，每个证书都有一个唯一的证书序列号；

￠  证书所使用的签名算法；

￠  证书的发行机构名称，命名规则一般采用X.500格式；

￠  证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围为1950-2049；

￠  证书所有人的名称，命名规则一般采用X.500格式；

￠  证书所有人的公开密钥；

￠  证书发行者对证书的签名。

而由于银行的用户不仅要用证书登录网上银行，还要做一些交易，比如转账和支付等，为保证安全性和不可抵赖性，还需要用用户证书做签名。因此，工行的企业用户证书中还包括CA中心提供的该用户的私钥。

使用数字证书，通过运用对称和非对称密码体制等密码技术建立起一套严密的身份认证系统，从而保证：信息除发送方和接收方外不被其它人窃取；信息在传输过程中不被篡改；发送方能够通过数字证书来确认接收方的身份；发送方对于自己的信息不能抵赖。

关于加密技术

非对称加密技术是1976年美国学者Dime和Henman为解决信息公开传送和密钥管理问题，提出的一种新的密钥交换协议，允许在不安全的媒体上的通讯双方交换信息，安全地达成一致的密钥，这就是″公开密钥系统″，也叫做″非对称加密算法″。

与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥(publickey)和私有密钥(privatekey)。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

利用非对称加密算法实现机密信息交换的基本过程是：甲生成一对密钥并将其中的一把作为公用密钥向外公开；得到该公用密钥的乙使用该密钥对机密信息进行加密后再发送给甲；甲再用自己保存的另一把专用密钥对加密后的信息进行解密。甲只能用其专用密钥解密由其公用密钥加密后的任何信息。

非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要，但加密和解密花费时间长、速度慢，它不适合于对文件加密而只适用于对少量数据进行加密。

在微软的Window NT的安全性体系结构中，公开密钥系统主要用于对私有密钥的加密过程。每个用户如果想要对数据进行加密，都需要生成一对自己的密钥对(keypair)。密钥对中的公开密钥和非对称加密解密算法是公开的，但私有密钥则应该由密钥的主人妥善保管。

非对称加密技术的具体应用在后面介绍登录过程时会介绍。

关于数字签名

对文件进行加密只解决了传送信息的保密问题，而防止他人对传输的文件进行破坏，以及如何确定发信人的身份还需要采取其它的手段，这一手段就是数字签名。在安全保密系统中，数字签名技术有着特别重要的地位，在安全服务中的源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术。完善的数字签名应具备签字方不能抵赖、他人不能伪造、在公证人面前能够验证真伪的能力。

目前的数字签名是建立在公共密钥体制基础上，它是公用密钥加密技术的另一类应用。它的主要方式是，报文的发送方从报文文本中生成一个128位的散列值(或报文摘要)。发送方用自己的私人密钥对这个散列值进行加密来形成发送方的数字签名。然后，这个数字签名将作为报文的附件和报文一起发送给报文的接收方。报文的接收方首先从接收到的原始报文中计算出128位的散列值(或报文摘要)，接着再用发送方的公用密钥来对报文附加的数字签名进行解密。如果两个散列值相同、那么接收方就能确认该数字签名是发送方的。通过数字签名能够实现对原始报文的鉴别。

应用广泛的数字签名方法主要有三种，即：RSA签名、DSS签名和Hash签名。这三种算法可单独使用，也可综合在一起使用。数字签名是通过密码算法对数据进行加、解密变换实现的。

RSA算法中数字签名技术实际上是通过一个哈希函数来实现的。数字签名的特点是它代表了文件的特征，文件如果发生改变，数字签名的值也将发生变化。不同的文件将得到不同的数字签名。一个最简单的哈希函数是把文件的二进制码相累加，取最后的若干位。哈希函数对发送数据的双方都是公开的。

Hash签名是最主要的数字签名方法，也称之为数字摘要法(Digital Digest)或数字指纹法(Digital Finger Print)。它与RSA数字签名是单独的签名不同，该数字签名方法是将数字签名与要发送的信息紧密联系在一起，它更适合于电子商务活动。数字摘要(Digital Digest)加密方法亦称安全Hash编码法(SHA：Secure Hash Algorithm)。该编码法采用单向Hash函数将需加密的明文″摘要″成一串128bit的密文，这一串密文亦称为数字指纹(Fi nger Pri nt)，它有固定的长度，且不同的明文摘要必定一致。这样这串摘要使可成为验证明文是否是″真身″的″指纹″了。

只有加入数字签名及验证才能真正实现在公开网络上的安全传输。加入数字签名和验证的文件传输过程如下：

￠  发送方首先用哈希函数从原文得到数字签名，然后采用公开密钥体系用发送方的私有密钥对数字签名进行加密，并把加密后的数字签名附加在要发送的原文后面；

￠  发送一方选择一个秘密密钥对文件进行加密，并把加密后的文件通过网络传输到接收方；

￠  发送方用接收方的公开密钥对密秘密钥进行加密，并通过网络把加密后的秘密密钥传输到接收方；

￠  接受方使用自己的私有密钥对密钥信息进行解密，得到秘密密钥的明文；

￠  接收方用秘密密钥对文件进行解密，得到经过加密的数字签名；

￠  接收方用发送方的公开密钥对数字签名进行解密，得到数字签名的明文；

￠  接收方用得到的明文和哈希函数重新计算数字签名，并与解密后的数字签名进行对比。如果两个数字签名是相同的，说明文件在传输过程中没有被破坏。

如果第三方冒充发送方发出了一个文件，因为接收方在对数字签名进行解密时使用的是发送方的公开密钥，只要第三方不知道发送方的私有密钥，解密出来的数字签名和经过计算的数字签名必然是不相同的。这就提供了一个安全的确认发送方身份的方法。

安全的数字签名使接收方可以得到保证：文件确实来自声称的发送方。鉴于签名私钥只有发送方自己保存，他人无法做一样的数字签名，因此他不能否认他参与了交易。这种方式提供了更高的安全性。

密钥长度一般为二进制的40位，或者56位。为了您敏感信息的安全，要求用户同我们建立128位的通讯加密通道。这种加密通道的加密强度比一般浏览器所缺省的40位或者56位加密强度要高得多，在目前几乎是不可破译的。

目前，个人网上银行系统强制要求用户使用基于128位的加密密钥的SSL协议，保证用户的信息在传输过程中不会被非法访问、篡改和伪造。同时，主要采用了卡号/密码的身份认证方式，并辅助以相应的应用措施来保证这种方式的安全，说明如下：

用户密码

网上银行用户共有2个密码：登录密码和支付密码。密码可以使用数字和字母，最大长度可达到30字节。设置合适的密码可以有效地防止强力破解。

错误登录次数

系统设置每日最大连续错误登录次数为6次，可以有效防止恶意用户的强力攻击。

密码加密存放

在网上银行数据库中，用户的密码是加密存放的。即使部分内部用户可以操作数据库，也无法获得用户的口令。

外部转帐限额

对于用户的转帐交易，如果转入帐号为他人帐号，用户提交请求后，必须输入支付密码，且转帐金额必须在单笔转帐限额和当日转帐总限额之内。

通过以上安全措施，个人网上银行系统可以保证用户个人敏感信息和用户帐户信息在提交到系统后的安全性。

由于网上银行系统要求用户使用浏览器做为用户端，并且需要用户在计算机上进行操作，因此可以认为用户的计算机和浏览器是个人网上银行系统的边界部分。但是由于无法控制用户的计算机并对其进行安全检查，因此如果用户的计算机存在安全问题，用户敏感信息在提交给网上银行系统之前被非法访问，可能会威胁到网上银行系统的安全性。据此，提出本发明。

发明内容

本发明的目的在于提供一种网上银行利用USBKey加密、认证的装置和方法，使网上银行交易具有更高的保密性，和安全性。

为实现上述目的，本发明提供一种网上银行利用USBKey认证、加密的方法，其特征在于，包括如下步骤：

a)根据用户信息生成针对该用户的数字证书；

b)将所述数字证书存入将要分配给该用户的USBKey中；

c)用户登陆网上银行用户进行数据处理时，通过所述USBKey确认用户身份或数字签名。

为实现上述目的，本发明提供的一种实现上述网上银行利用USBKey加密、认证的方法的装置，其特征在于，包括：

一个位于银行业务网点的主机，用于在申请数字证书时将USBKey的序列号等用户关键信息写入数据库中，并下载数字证书到USBKey中；

一个用户联网计算机，具有一USB接口，用于登陆网上银行和连接网上银行web服务器；一个USBKey，在下载数字证书后在内存内产生密钥，并保存识别用户身份的数字证书和私人密钥，连接用户联网计算机后用于读入、分析由网上银行输入的查询数字证书的信息并反馈一个数字证书信息；

一个网上银行web服务器，用于供用户联网计算机登陆，并连接网上银行内部的应用服务器；

一个网上银行应用服务器，用于连接到数据库，用以完成验证数字证书工作。

本发明的优点在于：

1、USBKEY的序列号和数字证书本身的ID号一一对应，而数字证书的ID号和用户编号一一对应，每一个用户编号可以对应该用户的多张卡，因此，可以做到一个用户的多张卡可以用一个KEY做交易。

2、每次使用数字证书时都需要输入PIN码，并且规定连续输错PIN码后会自动将数字证书锁住，用户只能到柜员处对数字证书解锁。从而进一步保证了用户交易的安全，因为必须拥有该用户的USBKEY数字证书和KEY的PIN码才可以进行支付。

3、可以实现在用户端自助下载数字证书。

4、可以实现在用户端自助缴纳年费并延长数字证书有效期。

5、在对外转帐、汇款、B2C支付、添加注册卡和贷款业务等这些敏感业务时，使用USBKEY做数字签名，以保证交易的安全性、保密性和不可抵赖性。而在进行账户查询、本人注册账户之间的转帐等低风险业务时，不须使用数字证书，从而兼顾了方便性与安全性。

6、个人网银让用户设置登录密码和支付密码，这样做既能防止外人做案，也能防止工行内部人员做案，因为向作案的人必须同时知道用户的卡号、登录密码、支付密码、拥有该用户的有效的USBKEY和KEY的PIN码才可以。

由上可知，由于每一个USBKEY有一个唯一的序列号，并且私钥不能出内存，在确认用户身份后才进行网上交易，因此本发明具有高度的保密性和安全性。

附图说明

图1是根据本发明的USBKey的示意图；

图2是根据本发明的利用USBKey对网上银行数据进行加密、认证系统的方框图；

图3是根据本发明的利用USBKey对网上银行数据进行加密、认证方法的流程图；

图4是本发明请求一个网上银行数字证书并取得USBKey的流程图；

图5是通过银行内部柜员帮助用户下载数字证书的流程图；

图6是用户自助下载数字证书流程图；

图7是使用数字证书访问网上银行的流程图；

图8是网上银行交易数字签名验证流程图；

图9是网上银行交易数字签名验证原理图；

图10是用户自助展期流程图。

具体实施方式

由于当前计算机的USB接口已经相当普及，USBKey提供了基于USB接口的即插即用的解决方案，只要将USBKey插入电脑的标准USB接口立刻就可以开始工作。USBKey的形状如图1所示。它的大小与普通钥匙的大小类似，非常便于携带与使用。通过USB接口1(A型插头)插入计算机上A型USB插座与计算机连接，指示灯2指示其工作状态。USBKey内置一个含有CPU和内存的芯片，每一个USBKEY在出厂时必须有一个唯一的序列号，网上银行用户在申请数字证书时将此序列号(识别码)写入用户信息中，用户在下载数字证书时系统必须判定识别码无误后才能下载，在内存内产生密钥，私钥不能出内存。该芯片中存放网上银行用于识别用户身份的数字证书和私人密钥，芯片中的CPU还可以完成加密和数字签名算法。USBKey中的安全算法和标准均是基于国际标准的PKI体系结构和X.509标准设计、开发与制造的，使用的芯片通过国家相关安全认证标准。

图2是根据本发明的利用USBKey对网上银行数据进行加密、认证系统的方框图。如图2所示，个人证书用户：个人证书用户是指拥有USBKEY证书的个人网上银行用户。个人证书用户可以通过用户端浏览器访问Internet网络连接网上银行系统，进行网上银行交易或下载数字证书。Web服务器(使用微软公司IIS产品)：Web服务器在现有网上银行系统实现功能为，接收用户Http请求并通过IIS插件程序(WebSphere插件)把请求转发到网上银行系统应用服务器。应用服务器(使用IBM公司WebSphere4.0产品)：应用服务器功能为实现与用户交互，并可对用户数据库中的数据进行操作，还可以通过MQ(IBM公司产品，实现消息异步传输功能)和银行内部

Intranet网络连接主机系统。数据库，网关：图中网关功能是将网上银行XML格式的数据信息转换成主机数据，并提交主机。主机：银行主机系统。内部管理服务器：内部管理服务器是为银行内部管理人员使用的，可对数据库中的用户数据进行操作。储蓄网点：银行储蓄网点，可实现申请数字证书功能。集中证书网点：可连接内部管理服务器，为用户下载数字证书。

用户先到柜员处申请开户，然后是请求数字证书服务，为用户去柜员端制做数字证书。用户可以在用户端进行自助下载数字证书。图中NetSign组件为用户需要用数字证书进行数字签名时的服务器。

首先由网上银行根据用户信息向用户发放存放数字证书的USBKey，需要先申请一个网上银行数字证书开户，取得USBKey。

图3是根据本发明的利用USBKey对网上银行数据进行加密、认证方法的流程图。如图3所示，客户申请数字证书，根据用户信息生成数字证书；客户下载数字证书，将所述生成的数字证书用户存储在分配给所述用户的USBKey中；客户使用USBKEY数字证书加密功能实现网上银行登录身份认，网上银行用户进行网上银行数据处理时，通过USBKey确认用户身份或数字签名；客户使用USBKEY数字证书签名功能实现关键数据书；数字证书定期自助更新。

图4是本发明请求一个网上银行数字证书并取得USBKey的流程图。其中，用户申请数字证书具体包括如下几个步骤，如图4所示：

a11)输入USBKEY序列号，该序列号是每个USBKEY所唯一的；

a12)系统判断是否有输入序列号错误；如果有错，则要求重新输入；

a13)将序列号与用户编号对应，将对应关系存入数据库；

a14)开户成功。

在图4的流程中，用户可以去一般储蓄网点申请数字证书。首先，系统提示用户输入身份认证数据并验证身份数据(步骤A00-A10)：在该步骤中，用户输入基本信息(证件号、证件类型)，系统检索用户基本信息是否有误，如果有误则修改输入数据。基本信息无误系统提示划卡验密：注册卡卡号(用户已注册的任何一张注册卡)及密码，根据证件类型、证件号码、卡号上送主机检验用户信息，并根据用户类型回显对应的数字证书种类，柜员继续输入数字证书序列号，并补录Emai l等数字证书相关信息。在步骤A11-A12，用户输入usbkey序列号数据并检验输入数据是否正确：柜员根据用户申请表输入数字证书种类(自动回显)、新数字证书的序列号，系统将序列号送主机数据库，检索输入的证书序列号是否已用(重复使用)，如已存在，则退出，如不重复，则以数据算法检查输入序列号校验位是否正确，不正确则修改输入数据，正确则将序列号与用户编号对应并将对应关系存入数据库。在步骤A13，系统将序列号与用户编号对应并将对应关系存入数据库：步骤A14，系统提示用户开户成功。

申请成功后，用户数字证书信息通过主机系统存入数据库中，用户可以通过Internet网络连接个人网上银行系统(包括个人网上银行Web服务器、应用服务器、数据库)进行自助下载数字证书，或用户去集中证书网点，由网点系统连接内部管理服务器及数据库下载数字证书。

随后再下载数字证书。这里有两个方法可以实现，一是通过银行内部柜员帮助用户下载数字证书，如图5所示；二是用户自助下载数字证书，如图6所示。

图5中包括如下步骤：

a21)输入设备读入用户登录卡号、USBkey序列号；

a22)判断用户卡号、编号与序列号是否对应，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a23)检查所要下载的数字证书状态是否正确，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a24)连接CA服务器调用申请数字证书接口程序；

a25)根据接口程序返回值判断申请是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a26)初始化USBKEY，选择CSP，输入PIN码；

a27)连接CA服务器调用下载数字证书接口程序

a28)根据接口程序返回值判断下载是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a29)修改数据库数字证书状态标志位。

在图5中，用户去集中证书网点下载数字证书包括：步骤A21，输入设备读入用户登录卡号、USBkey序列号：步骤A22，系统判断用户卡号、编号与序列号是否对应，如果对应则进入下一步，不对应则系统禁止下载数字证书，以便保证用户与数字证书及usbkey一一对应。在步骤A23，系统检查所要下载的数字证书状态是否正确，具体而言就是，系统检查数据库中数字证书状态标志位是否正常，如果正常则进行下一步，即步骤A24，如果不正常则禁止下载数据证书。在步骤A24，连接CA服务器调用申请数字证书接口程序：

接口程序输入数字证书关键信息(用户所在组、中文名称、英文名称、电话、住址、国家、地区、email、邮政编码、证件类型、证件号码等)。在步骤A25，根据接口程序返回值判断申请是否成功：接口程序输出成功信息返回数字证书参考号授权码并存入数据库中，则申请数字证书成功进行下一步；接口程序输出错误信息(用户已经存在、email错误等)，则申请数字证书失败，禁止下载数字证书。在步骤A26，初始化USBKEY，选择CSP，输入PIN码：其中初始化USBKEY：清空USBKEY内容并更新USBKEY的PIN码(用户输入)。在步骤A27，连接CA服务器调用下载数字证书接口程序：接口程序输入数字证书关键信息参考号授权码。在步骤A28，根据接口程序返回值判断下载是否成功：接口程序输出成功信息并把数字证书写入USBKEY中，则下载数字证书成功进行下一步；接口程序输出错误信息(参考号授权码输入错误、参考号授权码已经过期等)则下载数字证书失败，禁止下载数字证书。在步骤A29，修改数据库证书状态标志位。

图6是用户自助下载数字证书流程图；如图6所示，其中包括如下步骤：

a21’)输入卡号和密码登录网上银行，自助下载数字证书；

a22’)输入USBKEY的序列号；

a23’)判断用户编号与序列号是否对应，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a24’)检查所要下载的数字证书状态是否正确，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a25’)连接CA服务器调用申请数字证书接口程序

a26’)判断申请是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a27’)选择CSP，输入PIN码；

a28’)输入设备读入USBKEY序列号并与用户标号比对，如果不对应，则禁止下载数字证书；如果对应，则进入下一步；

a29’连接CA服务器调用下载数字证书接口程序

a30’)根据接口程序返回值判断下载是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a31’)修改数据库数字证书状态标志位。

其中用户通过Internet网络连接个人网上银行系统(包括个人网上银行Web服务器、应用服务器、数据库)进行自助下载数字证书包括(图6)：在步骤a21’，用户输入卡号和密码登录网上银行，自助下载数字证书：当用户输入了卡号和密码登录网上银行时，系统提示用户可以自助下载数字证书，用户选择下载数字证书。在步骤a22’，输入USBKEY的序列号。在步骤a23’，系统判断用户卡号、编号与序列号是否对应：系统判断用户卡号、编号与输入的序列号在数据库中是否对应，对应则进入下一步，不对应则系统禁止下载数字证书，以便保证用户与数字证书及usbkey一一对应。在步骤a24’，系统检查所要下载的数字证书状态是否正确：系统检查数据库中数字证书状态标志位是否正常，如果正常则进行下一步，如果不正常则禁止下载数据证书。在步骤a25’，连接CA服务器调用申请数字证书的接口程序，接口程序输入数字证书关键信息(用户所在组、中文名称、英文名称、电话、住址、国家、地区、email、邮政编码、证件类型、证件号码等)。在步骤a26’，根据接口程序返回值判断申请是否成功，系统案如下方式来根据接口程序返回值判断申请是否成功，若接口程序输出成功信息返回数字证书参考号授权码并存入数据库中，则申请数字证书成功进行下一步；若接口程序输出错误信息(用户已经存在、email错误等)，则申请数字证书失败，禁止下载数字证书。在步骤a27’，用户选择CSP，并输入PIN码，系统判断用户输入PIN码是否正确。在步骤a28’，输入设备读入USBKEY序列号并与用户标号比对是否对应：系统判断用户卡号、编号与输入设备读入的序列号是否对应。对应则进入下一步，不对应则系统禁止下载数字证书，以便保证用户与数字证书及usbkey一一对应。在步骤a29’，系统连接CA服务器调用下载数字证书接口程序：接口程序输入数字证书关键信息参考号授权码。在步骤a30’，根据接口程序返回值判断下载是否成功：接口程序输出成功信息并把数字证书写入USBKEY中，则下载数字证书成功进行下一步；接口程序输出错误信息(参考号授权码输入错误、参考号授权码已经过期等)则下载数字证书失败，禁止下载数字证书。在步骤a31’，修改数据库证书状态标志位。

用户在下载数字证书成功后，可以使用USBKEY数字证书实现登录网上银行时的身份认证功能，以及用户需要处理关键数据时使用USBKEY数字证书实现签名功能，保证用户关键数据的安全性。

网上银行用户进行网上银行业务时，通过USBKey确认用户身份。

这里有两种方式，一是在用户登陆网上银行时就确认用户身份，只有身份正确才能顺利登陆，如图7所示；一是在用户用帐号和密码登陆网上银行，发生预先设定的风险业务或者转帐业务时才确认用户身份，只有身份正确，进行电子数字签名才能顺利进行业务，如图8所示。

图7是使用数字证书访问网上银行的流程图；如图7所示包括如下步骤：

b1)用户登陆网上银行，准备进行数据交换，系统需要对用户的身份进行验证，只有合法用户才能进行数据交换；

b2)用户选择数字证书，并输入PIN码；用户选择能代表自己身份的数字证书(该数字证书以其ID号作为唯一凭证)，并输入数字证书的PIN码

b3)用户端CSP程序校验PIN码是否与usbkey中的PIN码一致，如果错误，终止登陆；如果正确，则进入下一步；

b4)在安全代理服务器(Netsafe)上验证数字证书是否有效，如果错误，终止登陆；如果正确，则进入下一步；

b5)用户通过身份验证，登录成功，可以进行数据交换。

下面结合图7具体描述使用数字证书访问网上银行的的过程。其中在步骤b1)，用户登录网上银行包括：用户登录网上银行，准备进行数据交换，系统需要对用户的身份进行验证，只有合法用户才能进行数据交换。在其中在步骤b2)，用户选择数字证书，输入PIN码：用户点击网上银行链接后，浏览器发送一个连接请求给网上银行NetSafe安全服务器，NetSafe服务器将自己的数字证书，以及同数字证书相关的信息发送给用户浏览器。用户检查NetSafe服务器送过来的证书是否是自己信赖的。如果是，就继续执行协议；如果不是，协议中断。NetSafe服务器要求用户发送用户自己的数字证书。浏览器提示用户选择数字证书，并输入PIN码。用户选择相应的USBKEY数字证书，并输入PIN码。在步骤b3)，CSP程序校验PIN码是否正确：CSP会验证PIN码输入是否正确，如果输入不正确，系统会认为用户不是被选择数字证书的真正持有者，拒绝使用USBKEY数字证书，协议中断，终止登录。输入正确，进行下一步。在步骤b4)，验证数字证书是否有效：NetSafe服务器收到用户浏览器发送的数字证书后，NetSafe服务器验证用户的证书，如果没有通过验证，拒绝连接；如果通过验证，服务器获得用户的公钥。用户浏览器与NetSafe服务器交换信息产生通话密钥，以对称密钥加密保护传输数据的安全性。在步骤b1)，用户通过身份验证，可以进行数据交换。

图8是网上银行交易数字签名验证流程图。其中包括如下步骤：

b1’)用户需要处理关键数据；

b1’a)判断用户是否为有数字证书用户；

b1’b)判断累计数据是否大于预存数据；

b2’)使用数字证书进行数字签名，插入USBKEY，并选择做数字签名的数字证书；

b3’)输入数字证书的PIN码

b4’)判断PIN码是否正确，如果错误，则拒绝交易，如果正确，则进入下一步；

b5’)判断该数字证书的ID号是否与用户编号一一对应，如果错误，则拒绝交易，如果正确，则进入下一步；

b6’)根据数字证书ID判断其状态是否正确，如果错误，则拒绝交易，如果正确，则进入下一步；

b7’)开始处理数据，并做数字签名；

b8’)开始验证数字签名，提示用户是否确认数字签名数据，如果不确认，验签不通过，则拒绝交易；如果确认并通过验签，则进入下一步；

b9’)数字签名成功，数据处理成功。

下面结合图8具体描述网上银行交易数字签名验证流程。如图8所示，其中处理关键数据包括：步骤b1’)，需要处理关键数据：用户成功登录网上银行后，进行处理关键数据的操作。在步骤b1’a)，系统判断用户是否为有数字证书用户：需要对用户的某些关键数据进行处理的时候，系统首先会判断用户是否拥有USBKEY数字证书，如果用户没有数字证书，则系统根据数据的关键程度判断是否允许做处理。如果用户有USBKEY数字证书，系统会根据用户数据的关键程度来判断是否需要使用数字证书做签名。在步骤b1’b)，判断累计数据是否大于预存数据：系统会判断该关键数据是否大于数据库中预存的数据，如果不大于预存数据(一般指小金额转账、汇款、网上购物等交易)，则不需要使用数字证书做签名。如果大于预存数据(一般指大金额转账、汇款、网上购物等交易)，则必须使用数字证书做签名。在步骤b2’)，使用数字证书签名，插入USBKEY，并选择做签名的数字证书：用户使用数字证书签名功能时，插入USBKEY，并选择做签名的数字证书。在步骤b3’)，输入数字证书的PIN码：用户选择做签名的数字证书后，CSP程序要求用户输入PIN码。在步骤b4’)，判断PIN码是否正确：输入数字证书的PIN码后，CSP判断PIN码是否正确，如果不正确，系统会认为该用户不是需要做签名的数字证书的真正持有者，不允许做签名。在步骤b5’)， 判断该数字证书的ID号是否与用户编号一一对应：如果PIN码正确，系统会判断数字证书的ID号与该用户编号是否一一对应，如果不对应，不允许做签名。在步骤b6’)，根据数字证书ID判断其状态是否正确：如果是一一对应，系统首先会判断用户USBKEY数字证书状态是否正常，如果用户数字证书状态不正常，系统拒绝操作。如果用户数字证书状态正常，进行下一步。在步骤b7’)，开始处理数据，并做数字签名：用户使用USBKEY数字证书进行数字签名，首先用哈希函数从数字签名原文得到数字签名，然后采用公开密钥体系用发送方的私有密钥对数字签名进行加密，并把加密后的数字签名附加在要发送的原文后面；通过网络传输到网上银行系统(包括Web服务器、应用服务器、数据库)，其中传输数据是通过SSL协议加密过的。在步骤b8’)，开始验证签名，用户是否确认签名数据：用户确认签名数据后，网上银行系统的应用服务器上的NetSign组件开始验证数字签名，NetSign组件用用户的公开密钥对数字签名进行解密，得到数字签名的明文；NetSign组件用得到的明文和哈希函数重新计算数字签名，并与解密后的数字签名进行对比。如果两个数字签名是相同的，说明文件在传输过程中没有被破坏。验证签名成功，应用服务器对用户关键数据进行处理，并把结果写入数据库中。在步骤b9’)，签名成功，数据处理成功。

如图9为网上银行交易网上银行内部数字签名验证流程图。比较步骤中应用服务器调用NetSign组件提供的接口进行验数字签名操作，访问LDAP获得数字签名作废列表(CRL)，以拒绝“黑名单用户”的交易请求；验证通过的交易请求将数字签名数据存储后，把交易请求通过MQ发往后台主机；而LDAP服务器的CRL从CA服务器获得。

如果经过上述确认，网上银行用户的身份得以证实，网上交易继续进行。如果网上银行用户的身份没有得以证实，网上交易立即停止。

用户使用的USBKEY数字证书到期后(为防止用户私钥泄漏，一般使用期限为一年，即每年更换数字证书)，用户可通过Internet网络连接个人网上银行系统(包括个人网上银行Web服务器、应用服务器、数据库)进行自助更新数字证书。

可以对数字证书设定有效期，此时可以由用户自助展期。图10是用户自助展期流程图。如图10所示：

c1)有数字证书用户登录网上银行；

c2)程序判断数字证书状态是否为到期，如果不是待展期，则拒绝延长数字证书的有效期，继续交易；如果是待展期，则进入下一步；

c3)用户输入USBKEY的序列号；

c4)判断数字证书序列号与数据库中存储序列号是否一致，如果错误拒绝延长数字证书的有效期，如果正确，则进入下一步；

c5)连接CA服务器调用更新数字证书接口程序

c6)根据接口程序返回值判断更新是否成功，如果不成功，则拒绝延长数字证书的有效期；如果成功，则进入下一步；

c7)根据序列号将数据库该数字证书的有效期延长一年，并更新数字证书数据库状态；

c8)用户选择CSP，并输入数字证书的PIN码；

c9)利用ActiveX控件读出USBKEY设备中的序列号

c10)判断读出序列号与数据库中的存储序列号是否一致，如果不对应，则拒绝下载数字证书(保证用户与usbkey一一对应)；如果对应，则进入下一步；

c11)判断PIN码是否正确，如果不正确，则拒绝下载数字证书；如果正确，则进入下一步；

c12)连接CA服务器调用下载数字证书接口程序；

c13)根据接口程序返回值判断下载是否成功，如果不成功，则拒绝下载数字证书；如果成功，则进入下一步；

c14)已将数字证书的有效期延长，并更新usbkey设备中的数字证书。

下面结合图10具体描述用户自助展期的流程。如图10所示，其中自助更新数字证书包括：在步骤c1)，有数字证书用户登录网上银行，有USBKEY数字证书用户登录网上银行。在步骤c2)，程序判断数字证书是否快到期：系统根据用户编号从数据库中可以查出对应的数字证书的到期日(数字证书的有效期是一年，从申请之日算起)，如果系统当前时间为数字证书的到期日前一个月内，系统会向用户返回提示页面，提醒用户对数字证书做延长有效期的操作。在步骤c3)，用户输入USBKEY的序列号：用户对数字证书做延长有效期的操作，需要输入USBKEY的序列号。在步骤c4)，判断数字证书序列号与数据库中存储序列号是否一致：系统判断用户输入序列号与用户申请用户证书时存储在网上银行数据库中的序列号是否一致，如果不一致，则拒绝延长数字证书的有效期。在步骤c5)，连接CA服务器调用更新数字证书接口程序：系统按如下方式连接CA服务器调用更新数字证书的接口程序，接口程序输入数字证书更新关键信息(证书ID、证书有效期等)。在步骤c6)，根据接口程序返回值判断申请是否成功：系统根据接口程序返回值判断更新是否成功，首先接口程序输出成功信息返回数字证书参考号授权码并存入数据库中，则更新数字证书成功进行下一步；若接口程序输出错误信息(有效期错误等)，则更新数字证书失败，拒绝延长数字证书的有效期。在步骤c7)，根据序列号将数据库该数字证书的有效期延长一年：系统根据序列号从数据库中将数字证书的到期日延长一年，并准备将更新后的数字证书下载到USBKEY中。在步骤c8)，用户选择CSP，并输入数字证书的PIN码：系统提示用户选择CSP，并输入数字证书的PIN码，用户选择CSP，并输入PIN码。在步骤c9)，利用ActiveX读出USBKEY序列号。在步骤c10)，判断读出序列号与数据库中的存储序列号是否一致：系统调用一个ActiveX控件自动获取插在用户端计算机上的USBKEY的序列号，并将此序列号与用户申请证书时存储在数据库中的序列号进行对比，如果不一致，则拒绝将数字证书下载到USBKEY中。如果一致则进行下一步。在步骤c11)，PIN码是否正确：输入数字证书的PIN码后，CSP判断PIN码是否正确，如果不正确，系统会认为该用户不是USBKEY数字证书的真正持有者，不允许做使用USBKEY数字证书。在步骤c12)，连接CA服务器调用下载数字证书接口程序：系统连接CA服务器调用下载数字证书接口程序，接口程序输入数字证书关键信息参考号授权码。在步骤c13)，根据接口程序返回值判断下载是否成功：系统根据接口程序返回值判断下载是否成功，接口程序输出成功信息并把数字证书写入USBKEY中，则下载数字证书成功进行下一步；接口程序输出错误信息(参考号授权码输入错误、参考号授权码已经过期等)则下载数字证书失败，禁止下载数字证书。在步骤c14)，已将数字证书的有效期延长。

Claims (12)

1、一种利用USBKey对网上银行数据进行认证、加密的方法，包括如下步骤：

a)根据用户信息生成数字证书；

b)将所述生成的数字证书用户存储在分配给所述用户的USBKey中；

c)网上银行用户进行网上银行数据处理时，通过USBKey确认用户身份或数字签名。

2、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其中步骤a1)包括以下步骤：

a11)输入USBKEY序列号，该序列号是每个USBKEY所唯一的；

a12)系统判断是否有错误；如果有错，则要求重新输入；

a13)将序列号与用户编号对应，将对应关系存入数据库。

3、根据权利要求2所述的网上银行利用USBKey加密、认证的方法，其特征在于，其中所述步骤b)可以通过银行内部柜员帮助用户下载数字证书并将其存储在所述USBKEY中，步骤如下：

a21)输入设备读入用户登录卡号、USBkey序列号；

a22)判断用户卡号、编号与序列号是否对应，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a23)检查所要下载的数字证书状态是否正确，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a24)连接CA服务器调用申请数字证书接口程序；

a25)根据接口程序返回值判断申请是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a26)初始化USBKEY，选择CSP，输入PIN码；

a27)连接CA服务器调用下载数字证书接口程序

a28)根据接口程序返回值判断下载是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a29)修改数据库数字证书状态标志位。

4、根据权利要求2所述的网上银行利用USBKey加密、认证的方法，其特征在于，其中步骤a2)中可以通过用户自助下载数字证书并将其存储在所述USBKEY中，用户包括如下步骤：

a21’)输入卡号和密码登录网上银行，自助下载数字证书；

a22’)输入USBKEY的序列号；

a23’)判断用户编号与序列号是否对应，当用户编号与序列号不对应时，则禁止下载数字证书；如果正确，则进入下一步；

a24’)检查所要下载的数字证书状态是否正确，如果不正确，则禁止下载数字证书；如果正确，则进入下一步；

a25’)连接CA服务器调用申请数字证书接口程序

a26’)判断申请是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a27’)选择CSP，输入PIN码；

a28’)输入设备读入USBKEY序列号并与用户标号比对，如果不对应，则禁止下载数字证书；如果对应，则进入下一步；

a29’连接CA服务器调用下载数字证书接口程序

a30’)根据接口程序返回值判断下载是否成功，如果不成功，则禁止下载数字证书；如果成功，则进入下一步；

a31’)修改数据库数字证书状态标志位。

5、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其特征在于，步骤c)包括如下步骤：

b1)用户登陆网上银行，准备进行数据交换，系统验证用户的身份；只有合法用户才能进行数据交换；

b2)用户选择数字证书，并输入PIN码；用户选择能代表自己身份的数字证书(该数字证书以其ID号作为唯一凭证)，并输入数字证书的PIN码

b3)用户端CSP校验PIN码是否与usbkey中的PIN码一致，如果错误，终止登陆；如果正确，则进入下一步；

b4)在安全代理服务器(Netsafe)上验证数字证书是否有效，如果错误，终止登陆；如果正确，则进入下一步；

b5)用户通过身份验证，可以进行数据交换。

6、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其特征在于，所述步骤b)包括如下步骤：

b1’)用户需要处理关键数据；

b2’)使用数字证书进行数字签名，插入USBKEY，并选择做数字签名的数字证书；

b3’)输入数字证书的PIN码

b4’)判断PIN码是否正确，如果错误，则拒绝访问，如果正确，则进入下一步；

b5’)判断该数字证书的ID号是否与用户编号一一对应，如果错误，则拒绝访问，如果正确，则进入下一步；

b6’)根据数字证书ID判断其状态是否正确，如果错误，则拒绝交易，如果正确，则进入下一步；

b7’)开始处理数据，并做数字签名；

b8’)开始验证数字签名，提示用户是否确认数字签名数据，如果不确认，验签不通过，则拒绝访问；如果确认并通过验签，则进入下一步；

b9’)完成数字签名，可以进行数据处理。

7、据权利要求6所述的网上银行利用USBKey加密、认证的方法，其特征在于，步骤b1’)和b2’)之间进一步包括步骤：

b11’)判断用户是否为有数字证书用户，如果不是，则限制用户对关键数据的操作，其中当交易额小于无数字证书用户当日累计最高限额时进入下一步b12’)；

b12’)判断累计数据是否大于预存数据用户；当所述累计数据不大于所述预存数据时，用户则不需要用数字证书，直接交易；如果所述累计数据大于所述预存数据时，则进入下一步b2’)。

8、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其特征在于，对USBKey的有效期可以自助作展期，步骤如下：

c1)有数字证书用户登录网上银行；

c2)判断数字证书状态是否为到期，如果不是待展期，则拒绝延长数字证书的有效期，继续交易；如果是待展期，则进入下一步；

c3)用户输入USBKEY的序列号；

c4)判断数字证书序列号与数据库中存储序列号是否一致，如果错误拒绝延长数字证书的有效期，如果正确，则进入下一步；

c5)连接CA服务器调用更新数字证书接口程序

c6)根据接口程序返回值判断更新是否成功，如果不成功，则拒绝延长数字证书的有效期；如果成功，则进入下一步；

c7)根据序列号将数据库该数字证书的有效期延长一年，并更新数字证书数据库状态；

c8)用户选择CSP，并输入数字证书的PIN码；

c9)利用ActiveX控件读出USBKEY设备中的序列号

c10)判断读出序列号与数据库中的存储序列号是否一致，如果不对应，则拒绝下载数字证书(保证用户与usbkey一一对应)；如果对应，则进入下一步；

c11)判断PIN码是否正确，如果不正确，则拒绝下载数字证书；如果正确，则进入下一步；

c12)连接CA服务器调用下载数字证书接口程序；

c13)根据接口程序返回值判断下载是否成功，如果不成功，则拒绝下载数字证书；如果成功，则进入下一步；

c14)已将数字证书的有效期延长，并更新usbkey设备中的数字证书。

9、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其特征在于，USBKEY的序列号、数字证书本身的ID号和用户编号三者之间一一对应，每一个用户编号可以对应该用户的多张卡。

10、根据权利要求1所述的网上银行利用USBKey加密、认证的方法，其特征在于，每笔需要由USBKey确认用户身份的网上银行业务使用数字数字证书时都需要输入PIN码，如果连续输错PIN码后会自动将数字证书锁住，网上银行数据处理业务终止。

11、根据权利要求5所述的网上银行利用USBKey加密、认证的方法，其特征在于，需要由USBKey确认用户身份的网上银行数据交换业务是指对外转帐、汇款、B2C支付、添加注册卡和贷款业务。

12、一种利用USBKey对网上银行数据进行加密、认证的装置，包括：

一个主机，位于银行业务网点，用于在申请数字证书时将USBKey的序列号写入用户信息中，根据用户信息生成数字证书，并将所述生成的数字证书存储在分配给所述用户的USBKey中；

一个用户联网计算机，具有一USB接口，用于登陆网上银行和连接网上银行web服务器；

一个USBKey，在下载数字证书后在内存内产生密钥，并保存识别用户身份的数字证书和私人密钥，连接用户联网计算机后用于读入、分析由网上银行输入的查询数字证书的信息并反馈一个数字证书信息，网上银行用户进行网上银行数据处理时，通过USBKey确认用户身份或数字签名；

一个网上银行web服务器，用于供用户联网计算机登陆，并连接网上银行内部的应用服务器；

一应用服务器连接到数据库，用以完成验证数字证书工作。

Images