CN1841410A

CN1841410A - 一种数字证件防伪方法以及数字防伪证件系统

Info

Publication number: CN1841410A
Application number: CN 200510059354
Authority: CN
Inventors: 李明妮
Original assignee: Yonghua Hexun Information Technology Co Ltd Beijing
Current assignee: Yonghua Hexun Information Technology Co Ltd Beijing
Priority date: 2005-03-28
Filing date: 2005-03-28
Publication date: 2006-10-04

Abstract

本发明公开了一种数字证件防伪方法以及数字防伪证件系统。本发明为证书管理单位和发证单位分别提供非对称密钥对，证书管理单位用其私钥加密发证单位的数字证书，发证单位的数字证书包含该发证单位的公钥，发证单位用其私钥加密其所发证件的数字证件信息，最后将数字证书以及数字证件信息存储在一存储介质中形成发证单位所发放的数字证件。进行证件识别时，从数字证件中读取数字证书和数字证件信息；用证书管理单位的公钥解密数字证书，读取数字证书中发证单位的公钥，并用发证单位的公钥解密数字证件信息。本发明的数字证件的内容不可篡改，假证件无法被正确识别，而且在本发明中，不同发证单位发的证件可通过同一台证件识别设备进行验证。

Description

一种数字证件防伪方法以及数字防伪证件系统

技术领域

本发明涉及证件防伪领域，具体地说，涉及数字证件的防伪方法以及防伪证件系统。

背景技术

当前我国发行的大部分证件都是直接打印或手写加贴照片的方式，几乎没有任何坚固的防护措施，都很容易被仿制。我国的证件种类又很多，如毕业证、准考证、营业执照、税务登记证、护照等，假证使得国家蒙受巨大损失。假证泛滥成了社会的一个顽症。

已经有人提出一些对证件的防伪技术，其中一种是用加密的射频IC卡保存数字证件信息。这种技术依赖于IC卡的安全性，如采用逻辑加密卡或cpu卡，由于证件中的信息本身不加密，因此有被截获或破解的可能性，即使采用cpu卡，也依赖于操作系统的安全性，只要破解了IC卡的读写密码，就可以对证件进行任意仿制。

另一种证件防伪技术是基于网络识别，需要将数字证件信息或特征码上传到网络，通过网络上的认证系统对数字证件信息或特征码进行认证才能识别。但是，当前网络总有许多假冒的认证网站，这些网站通过认证界面的以假乱真，使得客户无法准确判断，影响判断准确性。即使是合法的认证网站，也可能由于网络故障而出现无法访问的情形，而起不到验证的作用，从而影响信息认证的稳定性。

还有一种证件防伪技术是对数字证件信息进行加密，而采用硬件验证设备对证件中的信息进行验证，但是这些验证设备通常只能对某一种证件进行验证，而不能验证不同种类的证件。例如对于学校颁发的毕业证，每个学校都对自己的发放的毕业证独立进行加密，每一个学校的证件都分别需要用一个专用的验证设备进行解密识别、这样，当在需要能对不同学校的毕业证都能进行验证的场合，就需要准备很多验证设备来对不同的毕业证进行验证，这是显然是非常不方便以至于不能实施的。

发明内容

本发明的目的在于解决证件的仿制问题，并且可以用同一验证设备对多个不同单位发出的证件进行验证。

为了实现上述目的，本发明提供一种数字证件防伪方法，所述数字证件包括数字证书以及数字证件信息；该防伪方法包括证件制作步骤以及证件识别步骤，其中所述证件制作步骤包括：

a1)提供第一非对称密钥对，包括可相互解密的私钥S1和公钥P1，其中私钥S1保密存放；

a2)提供第二非对称密钥对，包括可相互解密的私钥S2和公钥P2，其中私钥S2保密存放；

a3)提供数字证书，该数字证书中包含第二非对称密钥对的公钥P2，该数字证书用第一非对称密钥对的私钥S1加密；

a4)用第二非对称密钥对的私钥S2加密数字证件信息；

a5)提供一存储介质作为证件的载体，将加密后的数字证书以及加密后的数字证件信息存储在所述存储介质中；

所述证件识别步骤包括：

b1)从所述数字证件中读取加密后的数字证书以及加密后的数字证件信息；

b2)用第一非对称密钥对的公钥P1解密数字证书，并读取数字证书中的第二非对称密钥对的公钥P2；

b3)用第二非对称密钥对的公钥P2解密数字证件信息。

本发明还提供一种数字证件防伪方法，用于由一个证书管理单位和至少一个发证单位组成的证件发放系统中的证件防伪，所述数字证件包括数字证书以及数字证件信息，该防伪方法包括证件制作步骤以及证件识别步骤；其中，所述证件制作步骤包括：

a1)为所述证书管理单位提供第一非对称密钥对，包括可相互解密的私钥S1和公钥P1，其中私钥S1保密存放；

a2)为所述至少一个发证单位中的每一个发证单位分别提供第二非对称密钥对，包括可相互解密的私钥S2和公钥P2，其中私钥S2保密存放；最好是不同的发证单位拥有不同的第二非对称密钥对；

a3)为所述至少一个发证单位中的每一个发证单位分别提供一数字证书，发证单位的数字证书中包含该发证单位拥有的第二非对称密钥对的公钥P2，该数字证书由所述证书管理单位用第一非对称密钥对的私钥S1加密；

a4)所述发证单位用其拥有的第二非对称密钥对的私钥S2加密该发证单位所发证件的数字证件信息；

a5)提供一存储介质作为所述数字证件的载体，所述发证单位将与该发证单位对应的加密后的数字证书以及加密后的数字证件信息存储在所述存储介质中，以形成本发证单位所发放的数字证件；

所述证件识别步骤包括：

b3)用第二非对称密钥对的公钥P2解密数字证件信息。

本发明还提供一种数字防伪证件系统，包括数字证件以及证件识别设备，所述数字证件包括一存储介质，所述证件识别设备可读取该存储介质上所存储的内容；其特征在于，所述数字证件包括：

证件信息区，用于存储数字证件信息，所述数字证件信息用非对称加密算法加密；

数字证书区，用于存储数字证书，所述数字证书包含用于解密数字证件信息的公钥，并且所述数字证书用非对称加密算法加密；

所述证件识别设备包括：

读取模块，用于读取所述数字证件上存储的加密后的数字证件信息和数字证书；

数字证书解密模块，该模块存储有用于解密数字证书的公钥，并用该公钥对所述数字证书进行解密；

证件信息解密模块，该模块读取解密后的数字证书中所包含的用于解密数字证件信息的公钥，并用该公钥对所述数字证件信息进行解密。

本发明具有如下有益效果：

1)本发明的数字证件中的数字证件信息和数字证书采用非对称加密算法加密，加密后的数字证件信息和数字证书可以任意复制，但是只要确保证书管理单位和发证单位所拥有的非对称加密算法中的私钥不泄漏，则该数字证件信息和数字证书不可篡改。由于证书造假者无法获得非对称加密算法中的私钥，因此其制作的证件无法被证件识别设备识别，从而彻底避免了证件的造假。

2)在本发明中，不同的发证单位所颁发的证件可以通过同一台证件识别设备进行验证，应用非常方便。

附图说明

图1是本发明的数字证件防伪方法和数字防伪证件系统的应用场景示意图；

图2是本发明的数字防伪证件系统中数字防伪证件的组成示意图；

图3是本发明的数字证件防伪方法流程图；

图4是本发明的数字防伪证件系统中证件识别设备的组成示意图。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细描述。

本发明的一个典型的应用场景如图1所示的证件发放系统，包括有一个证书管理单位以及至少一个发证单位，可以理解，发证单位通常为多个。在一个示例性的实施例中，证书管理单位可以为CA(Certificate Authority)中心，而发证单位为多个大学，发证单位所发放的证件为该校毕业生的毕业证。

在本发明中，如前述示例性实施例中的毕业证等数字证件包括有数字证书和数字证件信息。该数字证件以一个带有存储介质的设备作为信息载体，如IC卡或者诸如U盘等移动存储设备，而数字证书和数字证件信息存储在该设备的存储介质上。如图2所示，用于存储数字证书和数字证件信息的存储介质可包括两个区域：证件信息区和数字证书区。其中，证件信息区用于用于存储数字证件信息，如前述实施例中毕业证中所应当包括的毕业生的各种毕业信息，例如毕业生的姓名、毕业时间和毕业证号等重要信息，证件信息区的数字证件信息用非对称加密算法进行加密。数字证书区用于用于存储一个数字证书，如下文所述，该数字证书中包含有用于解密证件信息区中的数字证件信息的密钥，并且该数字证书用非对称加密算法加密。众所周知，非对称加密算法在加密时包括一对可相互解密的公钥和私钥。

结合图3，以CA中心作为证书管理单位，学校A和学校B作为发证单位为具体的示例性实施例来描述本发明。

步骤a1：为诸如CA中心的证书管理单位提供第一非对称密钥对，包括可相互解密的私钥S1和公钥P1，其中私钥S1由证书管理单位保密存放。证书管理单位的公钥P1可以以根证书形式存在，以确认P1是属于某CA中心的。

步骤a2：为每一个发证单位都分别提供一对第二非对称密钥对，包括可相互解密的私钥S2和公钥P2，其中私钥S2保密存放。例如在一个实施例中，学校A拥有一对第二非对称密钥对，包括可相互解密的私钥S2_A和公钥P2_A，私钥S2_A由学校A保密存放；学校B拥有另一对第二非对称密钥对，包括可相互解密的私钥S2_B和公钥P2_B，私钥S2_B由学校B保密存放。

步骤a3：为每一个发证单位分别提供一数字证书，发证单位的数字证书中包含该发证单位拥有的第二非对称密钥对中的公钥P2，该数字证书由证书管理单位用私钥S1加密，例如在一个实施例中，由CA中心为学校A和学校B分别提供一个数字证书。为了描述的方便，将学校A的数字证书称为数字证书A，将学校B的数字证书称为数字证书B。学校A的数字证书A中包含有学校A所拥有的公钥P2_A，学校B的数字证书B中包含有学校B所拥有的公钥P2_B。数字证书A和数字证书B都由CA中心用其第一非对称密钥对的私钥S1加密。

步骤a4：发证单位用其拥有的第二非对称密钥对中的私钥S2加密该发证单位所发证件的数字证件信息。例如在一个实施例中，学校A用其私钥S2_A加密其要颁发的毕业证的数字证件信息，学校B用其私钥S2_B加密其要颁发的毕业证的数字证件信息。

步骤a5：提供一存储介质作为数字证件的载体，发证单位将与该发证单位对应的加密后的数字证书以及加密后的数字证件信息存储在该存储介质中，以形成本发证单位所发放的数字证件。例如在一个实施例中，用带有存储介质的IC卡作为学校所颁发的毕业证的信息载体。学校A将毕业证的加密数字证件信息以及数字证书A存储到IC卡中，形成学校A发放的数字证件，如毕业证；学校B将毕业证的加密数字证件信息以及数字证书B存储到IC卡中，形成学校B发放的数字证件。

通过上述步骤a1～a5，诸如学校A和学校B的发证单位就完成了其数字证件，如毕业证的制作。此外，数字证件的一些明码信息，如前述毕业证的毕业生姓名、毕业时间和毕业证号还可以印制在IC卡的表面上。由于本发明涉及数字证件，证件信息以数字信息的形式来表现，因此，在本发明中，只要带有可读存储介质的设备都可以作为数字证件的信息载体。这样，很容易理解，现有技术中的一些存储设备，特别时例如U盘等便携式移动存储设备都适合与作为本发明的数字证件的载体，只要将前述的数字证件信息和数字证书存储在这些存储设备中即可形成本发明的数字证件。

数字证件制作完成后需要采用一定的方法和设备对证件进行识别，这是证件防伪的一个重要步骤。在本发明中，如图4所示，证件识别设备包括读取模块、数字证书解密模块和证件信息解密模块，并按照图3中步骤b1～b3的流程对数字证件进行识别。

步骤b1：从数字证件中读取加密后的数字证书以及加密后的数字证件信息。证件识别设备中的读取模块即用于读取数字证件的存储介质上所存储的内容，包括数字证件信息和数字证书。根据数字证件的不同载体，读取模块相应有不同的实现方式。例如当数字证件采用IC卡作为载体时，该读取模块可用现有技术中的IC卡读卡器来实现，当数字证件采用U盘作为载体时，该读取模块通常可用标准的USB接口来实现，这都是普通的技术人员很容易理解的。

步骤b2：用第一非对称密钥对的公钥P1解密数字证书，并读取数字证书中的第二非对称密钥对的公钥P2。如前所述，数字证书中包含发放该证件的发证单位所拥有的第二非对称密钥对中的公钥P2，且该数字证书被证书管理单位用其第一非对称密钥对的私钥S1加密。证件识别设备的数字证书解密模块中存储有用于解密数字证书的公钥，即诸如CA中心的证书管理单位所拥有的第一非对称密钥对的公钥P1。数字证书解密模块用该公钥P1解密出数字证书，并读取出其中包含的第二非对称密钥对的公钥P2。在一个实施例中，当该数字证件是学校A颁发时，则数字证书解密模块解密数字证书A并读取出其中包含的学校A的第二非对称密钥对的公钥P2_A；当该数字证件是学校B颁发时，则数字证书解密模块解密数字证书B并读取出其中包含的学校B的第二非对称密钥对的公钥P2_B。

步骤b3：用第二非对称密钥对的公钥P2解密数字证件信息。证件识别设备的证件信息解密模块用第二非对称密钥对的公钥P2解密数字证件中存储的数字证件信息。在一个实施例中，当该数字证件是学校A颁发时，证件信息解密模块用在步骤b2得到的学校A的公钥P2_A解密数字证件信息；当该数字证件是学校B颁发时，证件信息解密模块用在步骤b2得到的学校B的公钥P2_B解密数字证件信息。

从步骤b1～b3可见，在本发明中，由于不同发证单位的数字证书，如学校A的数字证书A和学校B的数字证书B都是用证书管理单位所拥有的第一非对称密钥对的私钥S1加密的，而证件识别设备中包含了第一非对称密钥对的公钥P1，因此用一套证件识别设备可以识别不同发证单位，如学校A和学校B所发放的数字证件。

在本发明中，由于发证单位的数字证书都与数字证件信息同时保存在数字证件中，因此在识别数字证件时不需要再与发证单位联系，去取得证书信息，也不需要知道是谁发的证件，只要读出数字证书就可以拿到打开真实数字证件信息的钥匙，因此不需要联网，也不需要远程认证。

在本发明中，每个发证单位都可以拥有自己的第二非对称密钥对：私钥S2和公钥P2，使得每一个发证单位都可以自己发行自己的证件，其它单位不可能发出相同的证件。

在本发明中，对数字证件信息以及数字证书都采用非对称加密技术，并且非对称密钥对中的私钥S1和私钥S2都是保密存放的，证件造假者由于得不到私钥S1和私钥S2，所以就不可能制作出假证来，从而有效地防止了作假的可能。

在本发明中，各发证单位的数字证书除了包含该发证单位所拥有的第二非对称密钥对的公钥P2外，还可以包含其它一些标准信息，如发证单位的名称、发放日期等有用信息，还可以包括其它辅助信息，如证件管理单位譬如教育部的审批号、审批日期等，以方便于证件的使用。

虽然在上述实施例中仅以两个发证单位来描述本发明，但是很容易理解，本发明可以适用于一个发证单位或者更多发证单位的情况。而且，本发明中，数字证件的载体也可以为cpu卡、射频卡或电子标签。进一步的，数字证件的种类也可以为准考证、营业执照、税务登记证、护照、行驶证、驾驶证、入场券、学生证等各种证件，而且不同种类的证件也可以在本发明的系统中同时共存。

Claims

1、一种数字证件防伪方法，所述数字证件包括数字证书以及数字证件信息；该防伪方法包括证件制作步骤以及证件识别步骤，其中所述证件制作步骤包括：

a4)用第二非对称密钥对的私钥S2加密数字证件信息；

所述证件识别步骤包括：

b3)用第二非对称密钥对的公钥P2解密数字证件信息。

2、一种数字证件防伪方法，用于由一个证书管理单位和至少一个发证单位组成的证件发放系统中的证件防伪，所述数字证件包括数字证书以及数字证件信息，该防伪方法包括证件制作步骤以及证件识别步骤；其中，所述证件制作步骤包括：

a2)为所述至少一个发证单位中的每一个发证单位分别提供第二非对称密钥对，包括可相互解密的私钥S2和公钥P2，其中私钥S2保密存放；

所述证件识别步骤包括：

b3)用第二非对称密钥对的公钥P2解密数字证件信息。

3、根据权利要求2所述的数字证件防伪方法，其特征在于，为所述至少一个发证单位中的每一个发证单位提供不同的第二非对称密钥对。

4、一种数字防伪证件系统，包括数字证件以及证件识别设备，所述数字证件包括一存储介质，所述证件识别设备可读取该存储介质上所存储的内容；其特征在于，所述数字证件包括：

所述证件识别设备包括：

5、根据权利要求4所述的数字防伪证件系统，其特征在于，所述数字证件为IC卡或电子标签。

6、根据权利要求4所述的数字防伪证件系统，其特征在于，所述数字证件为数字存储设备。

7、根据权利要求6所述的数字防伪证件系统，其特征在于、所述数字证件为便携式移动存储设备。

8、根据权利要求7所述的数字防伪证件系统，其特征在于、所述数字证件为U盘。