TWI732458B

TWI732458B - 憑證申請方法、裝置、終端設備、閘道設備和伺服器

Info

Publication number: TWI732458B
Application number: TW109104704A
Authority: TW
Inventors: 魏亞文
Original assignee: 開曼群島商創新先進技術有限公司
Priority date: 2019-07-05
Filing date: 2020-02-14
Publication date: 2021-07-01
Also published as: WO2021004054A1; CN110445614A; CN110445614B; TW202103471A

Abstract

本說明書實施例提供了一種憑證申請方法、裝置、終端設備、閘道設備和伺服器。該憑證申請方法包括：透過終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道；根據憑證下發指令產生用戶憑證請求，發送用戶憑證請求至憑證伺服器；透過資料傳輸通道接收伺服器下發的用戶憑證。

Description

憑證申請方法、裝置、終端設備、閘道設備和伺服器

本說明書涉及電腦技術領域，尤其涉及一種憑證申請方法、裝置、終端設備、閘道設備和伺服器。

隨著電腦技術的發展，網際網路滲入到社會生活的各個方面。數位憑證作為一種權威性的電子文檔，可以用於證明在網路環境中進行資訊交流及商務活動的各主體(如人、伺服器等)的身份。由於數位憑證具有不可更改性和不可抵賴性，可以廣泛應用於資料加密、網路金融、網路政務等資料業務的應用場景中參與各方之間的互動資訊有效性的檢驗。數位憑證本身儲存在本地設備，在使用瀏覽器處理資料業務並需要進行互動資訊的檢驗時，透過瀏覽器調用儲存在本地的數位憑證。由於瀏覽器技術的不斷升級，以及瀏覽器的多樣化和作業系統的多樣性，對本地與瀏覽器之間通訊通道的穩定性提出更高的要求。因此需要提供一種更可靠的申請數位憑證的方案。

本說明書實施例提供一種憑證申請方法、裝置、終端設備、閘道設備和伺服器，伺服器可以透過閘道與設備之間的資料傳輸通道向設備傳輸資料，資料傳輸過程與瀏覽器使用的控制項無關，實現與瀏覽器相容性的解耦。第一態樣，本說明書實施例提供一種憑證申請方法，包括：透過終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道；根據憑證下發指令產生用戶憑證請求，發送用戶憑證請求至憑證伺服器；透過資料傳輸通道接收憑證伺服器下發的用戶憑證。第二態樣，本說明書實施例提供一種憑證申請裝置，包括：憑證下發指令接收模組，用於透過終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道；用戶憑證請求發送模組，用於根據憑證下發指令產生用戶憑證請求，發送用戶憑證請求至憑證伺服器；用戶憑證接收模組，用於透過資料傳輸通道接收憑證伺服器下發的用戶憑證。第三態樣，本說明書實施例提供一種終端設備，包括：記憶體和處理器；該記憶體用於儲存程式；該處理器用於讀取記憶體中儲存的可執行程式碼以執行上述第一態樣的憑證申請方法。第四態樣，本說明書實施例提供一種憑證申請方法，包括：接收來自憑證伺服器的消息資料，消息資料包括憑證下發指令、用戶憑證或用戶憑證簽章指令；判定與消息資料對應的訂閱主題名稱，選擇與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道；利用資料傳輸通道發送消息資料。第五態樣，本說明書實施例提供一種憑證申請裝置，包括，消息資料接收模組，用於接收來自憑證伺服器的消息資料，，消息資料包括憑證下發指令、用戶憑證或用戶憑證簽章指令；資料傳輸通道選擇模組，用於判定與消息資料對應的訂閱主題名稱，以及與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道；消息資料發送模組，用於利用資料傳輸通道發送消息資料。第六態樣，本說明書實施例提供一種閘道設備，包括：記憶體和處理器；該記憶體用於儲存程式；該處理器用於讀取記憶體中儲存的可執行程式碼以執行上述第四態樣的憑證申請方法。第七態樣，本說明書實施例提供一種憑證申請方法，包括：向預先建立連結的閘道發送憑證下發指令，以使閘道透過與終端設備的之間資料傳輸通道，向終端設備發送憑證下發指令，其中，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道，訂閱主題名稱對應的消息資料包括憑證下發指令；接收與憑證下發指令對應的用戶憑證註冊請求，根據用戶憑證註冊請求申請用戶憑證；向閘道發送申請到的用戶憑證，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證。第八態樣，本說明書實施例提供一種憑證申請裝置，包括：憑證下發指令發送模組，用於向預先建立連結的閘道發送憑證下發指令，以使閘道透過與終端設備的之間資料傳輸通道，向終端設備發送憑證下發指令，其中，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道，訂閱主題名稱對應的消息資料包括憑證下發指令；用戶憑證申請模組，用於接收與憑證下發指令對應的用戶憑證註冊請求，根據用戶憑證註冊請求申請用戶憑證；用戶憑證發送模組，用於向閘道發送申請到的用戶憑證，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證。第九態樣，本說明書實施例提供一種憑證伺服器，包括：記憶體和處理器；該記憶體用於儲存程式；該處理器用於讀取記憶體中儲存的可執行程式碼以執行上述第七態樣的憑證申請方法。根據本說明書實施例中的憑證申請方法、裝置、終端設備、閘道設備和伺服器，憑證伺服器透過閘道與終端設備之間的資料傳輸通道，向終端設備推送指令以及申請到的數位憑證，資料傳輸過程與瀏覽器使用的控制項無關，從而實現與瀏覽器相容性的解耦。

下面將詳細描述本說明書的各個方面的特徵和示例性實施例，為了使本說明書的目的、技術方案及優點更加清楚明白，以下結合圖式及實施例，對本說明書進行進一步詳細描述。應理解，此處所描述的具體實施例僅被配置為解釋本說明書，並不被配置為限定本說明書。對於本領域技術人員來說，本說明書可以在不需要這些具體細節中的一些細節的情況下實施。下面對實施例的描述僅僅是為了透過示出本說明書的示例來提供對本說明書更好的理解。需要說明的是，在本文中，諸如第一和第二等之類的關係術語僅僅用來將一個實體或者操作與另一個實體或操作區分開來，而不一定要求或者暗示這些實體或操作之間存在任何這種實際的關係或者順序。而且，術語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要素的過程、方法、物品或者設備不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者設備所固有的要素。在沒有更多限制的情況下，由語句“包括……”限定的要素，並不排除在包括要素的過程、方法、物品或者設備中還存在另外的相同要素。在本說明的一個或多個實施例中，數位憑證是經第三方憑證授權(Certificate Authority，CA)機構進行數位簽章的包含公鑰擁有者資訊以及公鑰的檔。本說明書實施例中的第三方CA機構，是指數位憑證簽發機構和用戶憑證簽發機構。第三方CA機構可以根據憑證伺服器13提交的憑證頒發請求簽發憑證，以防憑證被偽造或篡改，以及對憑證和金鑰進行管理。本說明書描述的實施例中，數位憑證在需要進行互動資訊有效性檢驗的數位業務場景中，可以實現非對稱加密、金融合規性驗證以及電子簽章等功能。物聯網(Internet of Things，IoT)系統、行動終端和個人電腦(Personal Computer，PC)等網際網路環境中的資訊載體均可以服務於需要進行資訊有效性驗證的資料業務場景。在本說明書的實施例中，用戶可以包括透過瀏覽器處理數位業務的B類用戶或C類用戶。B類用戶例如可以是透過瀏覽器處理數位業務的企業用戶、簽約用戶等以組織形態存在的用戶，C類用戶可以是透過瀏覽器處理數位業務的個人。在本說明書的實施例中，大量用戶由於工作性質，需要使用終端設備上運行的瀏覽器，基於瀏覽器的網際網路(World Wide Web，WEB)模式在網路環境中進行資訊交流及商務活動。由於數位憑證本身需要安裝在終端設備本地，而瀏覽器與終端設備本地的資料傳輸通道的複雜度與穩定性被瀏覽器的多樣化與作業系統的多樣性所影響。隨著瀏覽器技術不斷的升級以及不同瀏覽器中的許可權控制，用戶需要使用瀏覽器的控制項與憑證伺服器端進行通訊，以實現資料業務的應用場景中參與各方之間的互動資訊有效性的檢驗。這些瀏覽器的控制項例如可以包括但不限於：網景外掛程式應用程式設計發展介面(Netscape Plugin Application Programming Interface，NPAPI)、本地用戶端(Native Client)外掛程式、物件導向程式技術和工具ActiveX控制項、以及透過單個傳輸層通訊控制協定(Transmission Control Protocol，TCP)連接提供瀏覽器和憑證伺服器之間進行全雙工通訊(例如雙向通訊)通道的電腦通訊協定WebSocket協定控制項。本說明書的至少一個實施例中，提供一種憑證申請方法、裝置、終端設備、閘道設備和伺服器，透過與瀏覽器的解耦，實現作業系統中數位憑證的申請與使用與瀏覽器無關，使得用戶在進行基於瀏覽器的WEB模式在網路環境中進行參與各方之間的互動資訊有效性檢驗時，解除對瀏覽器及對瀏覽器控制項的依賴的同時，保證資料業務場景中資料互動資訊的可靠性。本說明書實施例的描述中，數位憑證可以包括設備憑證和用戶憑證。其中，設備憑證可以理解為用於標識指定的設備，對需要進行資料互動資訊驗證時使用的設備進行安全驗證；用戶憑證可以理解為用於標識網際網路資料業務中用戶的身份，以及用於用戶身份驗證和用戶簽章。下面首先透過圖1和圖2，描述本說明至少一個實施例的設備註冊、憑證驅動安裝以及設備啟動的具體流程。圖1示出本說明書一個實施例的數位憑證管理系統的架構示意圖；圖2示出本說明書一個實施例的設備註冊、憑證驅動安裝以及設備啟動過程中的信令流程示意圖。如圖1所示，在一個實施例中，資料憑證管理系統10可以包括終端設備12、憑證伺服器13和第三方憑證授權中心14。其中，終端設備12可以是個人電腦(Personal Computer，PC)，例如手機終端、桌上型電腦、桌面電腦、筆記型電腦、上網本、平板電腦以及超級本等屬於個人電腦的範疇。憑證伺服器13是可以對設備和用戶進行身份認證的伺服器、伺服器集群以及雲平臺。在本說明書下述實施例的描述中，終端設備12例如可以是PC設備。用戶11，可以包括透過瀏覽器處理數位業務的B類用戶或C類用戶。B類用戶例如可以是透過瀏覽器處理數位業務的企業用戶、簽約用戶等以組織形態存在的用戶，C類用戶可以是透過瀏覽器處理數位業務的個人。如圖2所示，在一個實施例中，設備註冊的步驟具體可以包括：步驟S101，如圖2中“1.1設備註冊，設定PIN碼”所示，用戶在處理數位業務需要使用數位憑證時，在數位業務處理的WEB頁面上提交設備名稱和用戶識別碼(Personal Identification Number，PIN)。由於PIN碼由用戶設定，只有當前使用設備的用戶才知道該PIN碼，因此PIN碼可以視為用戶在本地設置的用戶密碼，用於標識當前進行設備登錄的用戶。作為示例，PIN碼可以是用戶設定的指定位元數的數字。步驟S103，如圖2中“1.2身份核身”所示，憑證伺服器13收到用戶的設備註冊請求時，觸發對用戶身份進行核實校驗。本說明書實施例中，對用戶身份進行核實校驗的方式可以有多種，作為示例，身份核身資訊可以包括但不限於簡訊驗證碼、人臉圖像和指紋資訊等資訊。步驟S105，如圖2中“1.3產生公私鑰對”所示，憑證伺服器13可以透過設備憑證的公私鑰對。在該步驟中，產生設備憑證的演算法包括但不限於非對稱加密演算法RSA加密演算法、橢圓曲線公鑰密碼演算法SM2加密演算法等。設備憑證的公私鑰對可以包括設備憑證的公鑰和設備憑證的私鑰。步驟S107，如圖2中“1.4申請設備憑證”所示，憑證伺服器13可以將設備憑證的公鑰、設備名稱和身份核身資訊進行封裝，產生設備憑證註冊請求，向第三方CA請求產生設備憑證。步驟S109，如圖2中“1.5產生金鑰圖片”所示，憑證伺服器13可以基於白盒加密的方式，利用上述步驟S101中上傳的PIN碼作為加密金鑰，將設備憑證的私鑰儲存在經加密的指定格式的檔中。作為示例，該經加密的指定格式的檔例如可以是加密的圖片。在該步驟中，白盒加密作為一種可以抵禦白盒攻擊的加密演算法技術，可以將設備憑證的金鑰進行檔混淆，並可以在檔混淆後統一提供加密介面、解密介面、添加設備憑證簽章的介面以及驗證設備憑證簽章的介面。步驟S111，如圖2中“1.6壓縮產生可執行檔”所示，憑證伺服器13可以根據經加密儲存的設備憑證的私鑰的加密檔，壓縮產生憑證驅動的安裝檔包。該憑證驅動的安裝包為可執行檔。步驟S113，如圖2中“1.7返回安裝驅動位址”所示，憑證伺服器13向終端設備12返回安裝驅動位址。繼續參考圖2，憑證驅動安裝的步驟具體可以包括：步驟S115，如圖2中“2.1安裝驅動包”所示，終端設備12根據安裝驅動位址獲取憑證驅動的安裝包，利用憑證驅動的安裝包安裝憑證驅動，以將設備憑證保存在設備本地。步驟S117，如圖2中“2.2初始化設備憑證”所示，用戶11在終端設備12安裝憑證驅動後，開始初始化設備憑證。在該步驟中，初始化設備憑證時，用戶11輸入PIN碼，終端設備12將該PIN碼作為解密金鑰，透過特定的數學公式還原出設備憑證的私鑰。步驟S119，如圖1中“2.3採集本地設備資訊”所示，終端設備12可以利用設備憑證的私鑰對採集的設備資訊進行設備憑證簽章。在該步驟中，設備資訊例如可以包括如下資訊項的一項或多項：設備的實體位址MAC位址(Media Access Control Address)、設備標識碼DeviceID、設備IP位址(Internet Protocol Address)、設備所在的作業系統的作業系統資訊、設備所使用網路的網路資訊、中央處理器(Central Processing Unit，CPU)資訊以及設備簽章亂數。其中，DeviceID時憑證驅動安裝完成後自動產生的設備標識碼，設備簽章亂數是進行設備憑證簽章時隨機產生的數字，用於使經本次設備憑證簽章的原文難以再現，保證設備憑證簽章的唯一性和資料安全性。繼續參考圖2，在一個實施例中，設備啟動的步驟具體可以包括：如圖2中“2.4設備啟動”所示，終端設備12根據設備憑證簽章的設備資訊，產生設備啟動請求，並發送設備啟動請求至伺服器13。如圖2中“2.5校驗設備憑證簽章”所示，伺服器13根據設備啟動請求，利用設備憑證的公鑰對設備憑證簽章進行驗證，如果驗證設備簽章正確，獲取透過設備啟動請求上報的設備資訊。如圖2中“2.6綁定設備憑證和用戶”所示，驗證設備簽章正確時，綁定用戶與設備憑證。其中，設備憑證可以標識設備資訊所屬的設備，用戶為輸入PIN碼的登錄當前設備的用戶。如圖2中“2.7設備啟動”所示，憑證伺服器13向終端設備12返回啟動完成資訊；以及如圖2中“2.8設備啟動”所示，終端設備12產生提示資訊以提示終端設備啟動完成。透過上述實施例的描述，透過設備註冊、憑證驅動安裝以及以及設備啟動的具體流程，實現用戶與設備憑證的綁定。下面透過圖3和圖4，描述本說明至少一個實施例的用戶憑證申請、用戶憑證安裝和用戶憑證校驗的具體流程。圖3示出本說明書一個實施例的數位憑證管理系統的架構示意圖；圖4示出本說明書一個實施例的用戶憑證申請、用戶憑證安裝和用戶憑證校驗的信令流程示意圖。圖3、圖4與圖1和圖2中相同或等同的結構使用相同的標號。如圖3所示，數位憑證管理系統10還可以包括閘道15。本說明書實施例中閘道15包括實現網路互聯的電腦系統或設備。如圖4所示，在一個實施例中，用戶憑證申請的步驟具體可以包括：步驟S201，如圖4中“1.1啟動憑證驅動”所示，用戶11在終端設備12啟動憑證驅動。首次啟動憑證驅動時，在終端設備12提示用戶11輸入PIN碼，利用PIN碼判定登錄設備的用戶。步驟S203，如圖4中“1.2登錄設備”所示，憑證驅動調用設備憑證對包括設備標識ID的設備標識資訊進行設備憑證簽章，將經設備憑證簽章的設備標識資訊上報到憑證伺服器。在該步驟中，設備標識資訊中還可以包括設備簽章亂數。步驟S205，如圖4中“校驗設備憑證”所示，憑證伺服器13調用設備憑證驗證憑證簽章。在該步驟中，憑證伺服器13在驗證設備憑證簽章時，可以利用設備憑證與用戶的綁定關係，透過使用的設備憑證關聯到登錄設備的用戶。步驟S207，如圖4中“1.4返回閘道與配置”所示，憑證伺服器13驗證設備憑證簽章通過時，可以基於設備標識資訊中的設備標識ID獲取與設備憑證綁定的用戶的資訊，並向該用戶登錄的設備下發終端設備連結閘道的配置資訊。在該步驟中，閘道的配置資訊可以包括設備標識資訊例如設備標識碼、閘道金鑰、閘道位址以及閘道訂閱主題Topic名稱。設備標識碼用於標識需要建立與閘道資料傳輸通道的設備；閘道金鑰用於對設備對閘道的資料鏈接請求進行校驗，若校驗通過，則允許建立該資料傳輸通道；閘道訂閱主題名稱，用於指示終端設備12需要訂閱指定的主題，閘道15作為消息生產者，憑證伺服器13將消息推送到該主題，訂閱該主題的終端設備12將收到該消息。步驟S209，如圖4中“1.5長連結和訂閱主題”所示，終端設備12向閘道15訂閱消息主題，以建立閘道15與終端設備12之間的資料傳輸通道。在一個實施例中，終端設備12與閘道15之間的發生資料互動時建立的資料傳輸通道為基於長連結的資料傳輸通道，從而避免頻繁建立與閘道的資料傳輸通道而造成網路資源的浪費，節約網路資源。在一個實施例中，閘道15支援基於發佈主題和/或訂閱主題的設備通訊協定，包括訊息佇列遙測傳輸協定(Message Queuing Telemetry Transport，MQTT)。MQTT協定是屬於物聯網的資料傳輸協定，適用於網路受限環境，使用傳輸控制協定/網際網路互聯協定(Transmission Control Protocol/Internet Protocol，TCP/IP)提供網路連接，並可以提供訂閱消息模式和發送消息模式，在透過閘道提供一對多(例如不同設備)的消息發佈時，解除與其他應用程式例如與瀏覽器控制項的耦合。在本說明書實施例中，基於MQTT協定,終端設備和閘道建立資料傳輸通道後，憑證伺服器可以作為消息發送方，終端設備可以作為消息訂閱方，閘道可以作為消息代理方。具體地，當消息發送方發送一個主題對應的消息給消息代理方，消息代理方會將主題對應的消息發送給所有訂閱了該主題的消息訂閱方。在本說明書實施例中，可以預先建立憑證伺服器與閘道之間的連接，將閘道作為消息代理方，負責接收所有來自憑證伺服器的消息資料，判定獲取的消息資料對應的主題，然後將消息資料發送給訂閱該主題的終端設備。在一個實施例中，消息的主題可以理解為是消息類型，且該消息類型對應一個閘道與終端設備之間的資料傳輸通道，終端設備訂閱了主題，就會收到閘道轉發的該主題的消息內容。由於MQTT協定採用發佈/訂閱的消息通訊模式，發佈/訂閱的消息通訊模式具有服務自發現的特點，透過消息主題的訂閱模式，可以將伺服器端(消息生產者)和終端設備(消息訂閱者)更好的解耦，在利用MQTT進行消息傳輸的過程中，在終端設備與閘道之間建立基於MQTT協定的資料連接通道，憑證伺服器透過閘道向終端設備推送訂閱主題對應的消息資料，通訊過程不需要其他設定檔或者是第三方外掛程式支援，從而可以解除通訊雙方對瀏覽器控制項的依賴。在一個實施例中，終端設備12安裝憑證驅動後，每次啟動終端設備12時，可以基於MQTT協定建立終端設備12與閘道15之間的長連結。在下述說明書實施例的描述中，可以將使用MQTT協定的閘道簡稱為MQTT閘道；以及將閘道向設備傳輸資料的通道，簡稱為MQTT閘道與設備的下行通道。在一個實施例中，透過MQTT閘道與多個設備進行資料傳輸時，下行通道進行的資料通訊可以是非同步通訊方式。憑證伺服器將指令發送到MQTT閘道，MQTT閘道可以透過與設備的雙向通訊連接，透過非同步調用機制與設備進行資料交換。在一個實施例中，遠端程序呼叫是使用遠端程序呼叫協定(Remote Procedure Call Protocol，RPC)的方式，透過網路從遠端電腦上請求服務，而不需要瞭解底層網路技術的技術。在該實施例中，憑證伺服器13可以透過閘道15與終端設備12之間基於MQTT協定建立的資料傳輸通道，對設備本地進行遠端程序呼叫，直接向設備推送指令或申請到的憑證，從而實現與瀏覽器相容性的解耦。步驟S211，如圖4中“1.6啟動成功”所示，終端設備12與閘道15產生建立資料傳輸通道後，可以向用戶11發送憑證驅動啟動成功的提示資訊。繼續參考圖4，在一個實施例中，安裝用戶憑證的步驟具體可以包括：步驟S213，如圖4中“2.1業務觸發安裝用戶憑證”所示，用戶11在使用瀏覽器處理資料業務時，根據處理的資料業務觸發安裝用戶憑證的步驟和校驗用戶憑證的步驟。步驟S215，如圖4中“2.2身份核實”所示，憑證伺服器13可以透過核身的方式驗證需要申請用戶憑證的用戶的主體資訊。在該步驟中，憑證伺服器13透過上述步驟S201中用戶11輸入的PIN碼判定登錄設備的用戶11，以獲取用戶11的主體資訊對該主體資訊進行驗證。用戶的主體資訊驗證通過時，憑證伺服器13可以建立設備憑證與用戶的關聯。步驟S217，如圖4中“2.3推送憑證下發指令”所示，透過終端設備12與閘道15之間建立的資料傳輸通道，向終端設備12推送用戶憑證安裝指令。在該步驟中，憑證伺服器13下達用戶憑證安裝指令時，可以根據登錄設備的用戶關聯到設備，並向該設備下發用戶憑證安裝指令。在一個實施例中，用戶憑證安裝指令中包括如下推送內容：推送內容挑戰碼、經核實的憑證主體資訊和演算法資訊。其中，挑戰碼可以用於對用戶憑證下發指令中的推送內容進行加密驗證，保證用戶憑證下發指令的傳輸過程用戶的真實資訊不會被洩露，演算法資訊用於產生用戶憑證的金鑰對。步驟S219，如圖4中“2.4觸發指令”所示，閘道15透過與終端設備12之間的資料傳輸通道，向終端設備12發送該用戶憑證安裝指令。步驟S221，如圖4中“2.5產生用戶憑證產生請求”所示，終端設備12基於演算法資訊產生用戶憑證的公私鑰對，用戶憑證的公私鑰對包括用戶憑證的公鑰和用戶憑證的私鑰；終端設備12將用戶憑證的公鑰、經核實的憑證主體資訊以及用戶憑證的私鑰對用戶憑證的公鑰的簽章資訊進行封裝，得到用戶憑證產生請求。步驟S223，如圖4中“2.6申請用戶憑證”所示，憑證伺服器13接收到用戶憑證產生請求，將用戶憑證產生請求轉發給第三方CA機構14，請求第三方CA機構14產生用戶憑證。步驟S225，如圖4中“2.7下發用戶憑證”所示，憑證伺服器13將申請到的用戶憑證下發至終端設備12。步驟S227，如圖4中“2.8本地寫入用戶憑證”所示，終端設備12將接收到的用戶憑證資訊寫入設備本地，以完成用戶憑證安裝流程。繼續參考圖4，在一個實施例中，校驗用戶憑證的步驟具體可以包括：步驟S229，如圖4中“3.1業務觸發校驗用戶憑證”所示，用戶11在使用瀏覽器處理資料業務時，根據處理的資料業務需要憑證伺服器13對用戶憑證進行校驗。步驟S231，如圖4中“3.2產生憑證簽章指令”所示，憑證伺服器13產生用戶憑證簽章指令，用戶憑證簽章指令中的封裝資訊包括根據處理的資料業務產生的待簽章原文、用戶簽章亂數、用戶簽章挑戰碼、設備標識碼和用戶憑證編碼等資訊。在該步驟中，憑證伺服器13下發用戶憑證簽章指令時，是基於用戶11所登錄的設備進行的資訊推送。步驟S233，如圖4中“3.3推送簽章指令”所示，憑證伺服器13將用戶憑證簽章指令下發到閘道15。步驟S235，如圖4中“3.4觸發簽章指令”所示，閘道15透過與終端設備12之間的資料傳輸通道，將用戶憑證簽章指令發送到終端設備12。步驟S237，如圖4中“3.5用戶憑證簽章”所示，終端設備12收到用戶憑證簽章指令，基於用戶憑證編碼選擇對應的用戶憑證，以利用用戶憑證的私鑰對待簽章原文進行用戶憑證簽章。步驟S239，如圖4中“3.6上報簽章資訊”所示，終端設備12將經用戶憑證簽章的上報憑證伺服器13。步驟S241，如圖4中“3.7校驗用戶簽章”所示，憑證伺服器13利用用戶憑證的公鑰對用戶簽章進行驗證，以驗證用戶憑證。步驟S243，如圖4中“3.8業務校驗憑證完成”所示，憑證伺服器13驗證用戶憑證成功時，向終端設備12返回校驗用戶憑證成功的提示資訊。在本說明上述實施例描述的用戶憑證申請、用戶憑證安裝和用戶憑證校驗中，可以透過基於發佈/訂閱主題的設備通訊協定例如MQTT協定的閘道與設備的下行資料傳輸通道，將資訊推送至設備本地，從而實現用戶憑證與瀏覽器的相容性解耦。圖5是示出根據本說明書一個實施例的憑證申請方法的流程圖。如圖5所示，本說明書實施例中的憑證申請方法500包括以下步驟：步驟S510，透過終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道。步驟S520，根據憑證下發指令產生用戶憑證請求，發送用戶憑證請求至憑證伺服器。步驟S530，透過資料傳輸通道接收憑證伺服器下發的用戶憑證。根據本說明書實施例的憑證申請方法，設備可以根據與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令和用戶憑證，從而提供一種更可靠的使用用戶數位憑證的方案，實現作業系統維度下數位憑證的使用與瀏覽器的相容。在一個實施例中，憑證下發指令，是憑證伺服器根據接收瀏覽器所請求業務的業務類型產生的，瀏覽器運行於終端設備。在一個實施例中，憑證申請方法500還可以包括：步驟S540，接收憑證伺服器發送的閘道配置資訊，閘道配置資訊包括：設備標識碼、閘道金鑰、閘道位址和訂閱主題名稱，設備標識碼用於標識終端設備。步驟S542，根據閘道金鑰和閘道位址，建立終端設備與閘道的連結。步驟S544，向閘道發送設備標識碼和訂閱主題名稱，以建立與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道用於向終端設備傳輸與訂閱主題名稱對應的消息資料。在該實施例中，終端設備可以透過接收的閘道配置資訊，建立與閘道的資料傳輸通道，其中，閘道支援基於發佈主題和/或訂閱主題的設備通訊協定。在一個實施例中，設備通訊協定包括訊息佇列遙測傳輸協定。在一個實施例中，步驟S520具體可以包括：步驟S521，獲取憑證下發指令中的推送內容，推送內容包括推送內容挑戰碼、經核實的憑證主體資訊和演算法資訊。步驟S523，透過演算法資訊產生用戶憑證金鑰對，利用用戶憑證金鑰對中的私鑰，對用戶憑證金鑰對中的公鑰進行數位簽章，得到具有用戶憑證簽章的公鑰。步驟S525，封裝具有用戶憑證簽章的公鑰和經核實的憑證主體資訊，得到用戶憑證請求。在該實施例中，終端設備根據憑證伺服器推送的憑證下發指令中的推送內容，產生用戶憑證的金鑰對，並利用用戶憑證的私鑰對用戶憑證的公鑰進行簽章後，產生用戶憑證請求，以使憑證伺服器根據該用戶憑證請求向第三方CA申請簽發用戶憑證。在一個實施例中，憑證申請方法500還可以包括：步驟S550，透過該資料傳輸通道接收用戶憑證簽章指令，獲取用戶憑證簽章指令中的簽章校驗原文、設備標識碼以及用戶憑證編號。步驟S552，在具有設備標識碼的終端設備，選擇用戶憑證編碼對應的用戶憑證，利用所選擇的用戶憑證的金鑰對中的私鑰，對簽章校驗原文進行簽章，得到具有用戶憑證簽章的簽章校驗原文。步驟S554，向憑證伺服器發送具有用戶憑證簽章的簽章校驗原文，以用於校驗用戶憑證。在該實施例中，終端設備使用用戶憑證對簽章校驗原文進行簽章後，請求憑證伺服器校驗用戶憑證簽章。在一個實施例中，憑證申請方法500還可以包括：步驟S560，向憑證伺服器提交設備名稱和輸入的用戶識別碼，輸入的用戶識別碼用於申請設備憑證時的用戶身份校驗，設備名稱用於標識申請的設備憑證所屬的終端設備。步驟S562，透過接收的驅動安裝位址以獲取驅動安裝檔，利用驅動安裝檔安裝憑證驅動，得到驅動安裝檔中壓縮的設備憑證和經加密的金鑰檔。步驟S564，根據再次提交的用戶標識碼，對經加密的金鑰檔進行解密，得到設備憑證的金鑰對中的私鑰。在該實施例中，終端設備向憑證伺服器請求安裝設備憑證，獲取設備憑證的金鑰檔。在一個實施例中，憑證申請方法500還可以包括：步驟S570，利用設備憑證的金鑰對中的私鑰對獲取的設備資訊進行數位簽章，得到具有設備憑證簽章的設備啟動資訊。步驟S572，向憑證伺服器發送設備啟動資訊，以進行設備憑證啟動。步驟S574，建立用戶識別碼所標識的用戶與設備憑證的映射關係。在一個實施例中，設備名稱和輸入的用戶識別碼，是憑證伺服器透過瀏覽器的資訊採集頁面提交的資訊，資訊採集頁面是憑證伺服器在瀏覽器處理的業務需要使用設備憑證時產生的。在該實施例中，終端設備向伺服器請求設備憑證啟動，設備憑證啟動後，進行用戶與設備憑證的綁定，形成用戶與設備憑證之間的映射關係。圖6是示出根據本說明書一個實施例的憑證申請方法的流程圖。如圖6所示，本說明書實施例中的憑證申請方法600包括以下步驟：步驟S610，接收來自憑證伺服器的消息資料，消息資料包括憑證下發指令、用戶憑證或用戶憑證簽章指令。步驟S620，判定與消息資料對應的訂閱主題名稱，選擇與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道。步驟S630，利用資料傳輸通道發送消息資料。作為一個示例，閘道接收來自憑證伺服器的憑證下發指令；判定與憑證下發指令對應的訂閱主題名稱，選擇與訂閱主題名稱對應的資料傳輸通道，利用閘道與終端設備的資料傳輸通道，將憑證下發指令發送至終端設備。根據本說明書實施例的憑證申請方法，閘道將接收到的來自憑證伺服器的指令，透過與終端設備之間的據傳輸通道推送到終端設備，資料傳輸過程不使用瀏覽器控制項，實現與瀏覽器相容性的解耦。在一個實施例中，憑證申請方法600還可以包括：步驟S650，接收來自終端設備的閘道金鑰。步驟S652，對閘道金鑰驗證通過時，建立終端設備與閘道之間的連結。步驟S654，接收設備標識碼和訂閱主題名稱，建立與訂閱主題名稱對應的資料傳輸通道，設備標識碼用於標識終端設備。在該實施例中，驗證閘道金鑰無誤後，透過訂閱主題的方式，建立閘道向終端設備的下行資料傳輸通道，將憑證伺服器下發的指令傳輸到終端設備。在一個實施例中，憑證申請方法600還可以包括：步驟S660，閘道接收來自憑證伺服器的用戶憑證簽章指令，用戶憑證簽章指令用於校驗用戶憑證。步驟S662，利用與終端設備的資料傳輸通道，將用戶憑證簽章指令發送至終端設備。在一個實施例中，閘道支援基於發佈主題和/或訂閱主題的設備通訊協定，設備通訊協定包括訊息佇列遙測傳輸協定。在一個實施例中，資料傳輸通道是基於訊息佇列遙測傳輸協定建立的資料傳輸通道。圖7示出了根據本說明書另一實施例的憑證申請方法的流程圖。如圖7所示，本說明書實施例中的憑證申請方法700包括以下步驟：步驟S710，向預先建立連結的閘道發送憑證下發指令，以使閘道透過與終端設備的之間資料傳輸通道，向終端設備發送憑證下發指令，其中，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道，訂閱主題名稱對應的消息資料包括憑證下發指令。步驟S720，接收與憑證下發指令對應的用戶憑證註冊請求，根據用戶憑證註冊請求申請用戶憑證。步驟S730，向閘道發送申請到的用戶憑證，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證。根據本說明書實施例的憑證申請方法，憑證伺服器向閘道推送指令，以使閘道透過與終端設備的資料傳輸通道，向終端設備傳輸該指令，資料傳輸過程不使用瀏覽器控制項，實現與瀏覽器相容性的解耦。在一個實施例中，步驟S710具體可以包括：步驟S711，判定接收的用戶識別碼所標識的設備登錄用戶。步驟S713，接收具有設備憑證簽章的設備標識資訊，獲取設備標識資訊對應的設備憑證的金鑰對。步驟S715，利用設備憑證的金鑰對中的公鑰，驗證設備憑證簽章。步驟S717，如果設備憑證簽章的驗證結果為通過，從與設備憑證具有映射關係的用戶的身份資訊中，獲取設備登錄用戶的身份資訊。步驟S719，在設備登錄用戶的身份資訊核實成功的情況下，向閘道發送憑證下發指令。在該實施例中，憑證伺服器核實用戶身份資訊後，透過閘道向終端設備推送憑證下發指令，以使終端設備根據該憑證下發指令產生用戶憑證請求。在一個實施例中，憑證申請方法700還可以包括：步驟S740，如果設備憑證簽章的驗證結果為通過，向終端設備下發閘道配置資訊，以使終端設備基於閘道配置資訊與閘道建立資料傳輸通道。在一個實施例中，憑證申請方法700還可以包括：步驟S750，根據接收的用戶憑證校驗請求，判定用戶憑證的簽章校驗原文。步驟S752，判定接收的用戶識別碼所標識的設備登錄用戶，獲取設備登錄用戶所登錄設備的設備標識資訊和設備登錄用戶的用戶憑證編號。步驟S754，封裝簽章校驗原文、所登錄設備的設備標識資訊以及用戶憑證編碼，得到用戶憑證簽章指令，用戶憑證簽章指令用於對用戶憑證進行校驗。步驟S756，向閘道發送用戶憑證簽章指令，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證簽章指令。在該實施例中，憑證伺服器透過閘道與終端設備之間的資料傳輸通道，向終端設備推送用戶憑證簽章指令。在一個實施例中，憑證申請方法700還可以包括：步驟S760，接收具有用戶憑證簽章的簽章校驗原文，根據用戶憑證的金鑰對中的公鑰，驗證用戶憑證簽章。在一個實施例中，憑證申請方法700還包括：步驟S770，基於接收的設備名稱和用戶識別碼，為設備名稱對應的終端設備申請設備憑證，判定設備憑證的金鑰對。步驟S772，利用設備憑證的金鑰對中的私鑰，產生設備憑證的驅動安裝檔，向終端設備發送驅動安裝檔。步驟S774，接收具有設備憑證簽章的設備啟動資訊，利用設備憑證的金鑰對中的公鑰，驗證設備憑證簽章。步驟S776，設備憑證簽章驗證通過時，根據設備啟動資訊，判定透過用戶識別碼識別的登錄用戶為與設備憑證綁定的用戶。在該實施例中，憑證伺服器可以申請設備憑證後，可以向終端設備發送憑證驅動，並對設備憑證進行啟動。在一個實施例中，步驟S770具體可以包括：步驟S770-01，判定接收的用戶識別碼所標識的設備登錄用戶，核實設備登錄用戶的身份資訊。步驟S770-03，設備登錄用戶的身份資訊核實成功時，產生用於申請設備憑證的金鑰對。步驟S770-05，根據用於申請設備憑證的金鑰對中的公鑰、設備名稱、以及設備登錄用戶的身份資訊，產生設備憑證請求，以根據設備憑證請求申請設備憑證。步驟S770-07，將申請到的設備憑證的金鑰對作為設備憑證的金鑰對。在一個實施例中，憑證伺服器對用戶身份資訊進行核實後，申請設備憑證並判定設備憑證的公私鑰對。在一個實施例中，步驟S772具體可以包括：步驟S772-01，透過指定的金鑰加密方法，對設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔。在該步驟中，可以利用白盒加密技術，使用用戶識別碼作為靜態加密金鑰，對設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔。步驟S772-03，壓縮設備憑證和經加密的金鑰檔，得到設備憑證的驅動安裝檔。根據本說明書實施例的憑證申請方法，憑證伺服器可以訊息佇列遙測傳輸協定向閘道推送消息，以利用閘道與終端設備本地建立的資料傳輸通道進行通訊，降低瀏覽器控制項的資訊互動收到瀏覽器相容性影響的問題，實現數位憑證與瀏覽器解耦。圖8示出了根據本說明書一實施例的憑證申請裝置的結構示意圖。如圖8所示，在一個實施例中，憑證申請裝置800可以包括：憑證下發指令接收模組810，用於透過終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道。用戶憑證請求發送模組820，用於根據憑證下發指令產生用戶憑證請求，發送用戶憑證請求至憑證伺服器。用戶憑證接收模組830，用於透過資料傳輸通道接收憑證伺服器下發的用戶憑證。在一個實施例中，憑證下發指令，是憑證伺服器根據接收瀏覽器所請求業務的業務類型產生的，瀏覽器運行於終端設備。在一個實施例中，憑證申請裝置800還可以包括：閘道配置接收模組，用於接收憑證伺服器發送的閘道配置資訊，閘道配置資訊包括：設備標識碼、閘道金鑰、閘道位址和訂閱主題名稱，設備標識碼用於標識終端設備。閘道位址登錄模組，用於根據閘道金鑰和閘道位址，建立終端設備與閘道的連結。資料通道建立模組，用於向閘道發送設備標識碼和訂閱主題名稱，以建立與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道用於向終端設備傳輸與訂閱主題名稱對應的消息資料。在一個實施例中，憑證申請裝置800，其中，設備通訊協定包括訊息佇列遙測傳輸協定，資料傳輸通道是基於訊息佇列遙測傳輸協定建立的資料傳輸通道。在一個實施例中，用戶憑證請求發送模組820包括：推送內容獲取單元，用於獲取憑證下發指令中的推送內容，推送內容包括推送內容挑戰碼、經核實的憑證主體資訊和演算法資訊。用戶金鑰對產生單元，用於透過演算法資訊產生用戶憑證金鑰對，利用用戶憑證金鑰對中的私鑰，對用戶憑證金鑰對中的公鑰進行數位簽章，得到具有用戶憑證簽章的公鑰。用戶憑證請求單元，用於封裝具有用戶憑證簽章的公鑰和經核實的憑證主體資訊，得到用戶憑證請求。在一個實施例中，憑證申請裝置800還可以包括：用戶簽章指令接收模組，用於透過資料傳輸通道接收用戶憑證簽章指令，獲取用戶憑證簽章指令中的簽章校驗原文、設備標識碼以及用戶憑證編號。用戶憑證簽章模組，用於在具有設備標識碼的終端設備，選擇用戶憑證編碼對應的用戶憑證，利用所選擇的用戶憑證的金鑰對中的私鑰，對簽章校驗原文進行簽章，得到具有用戶憑證簽章的簽章校驗原文。用戶簽章原文發送模組，用於向憑證伺服器發送具有用戶憑證簽章的簽章校驗原文，以用於校驗用戶憑證。在一個實施例中，憑證申請裝置800還可以包括：用戶輸入資訊提交模組，用於向憑證伺服器提交設備名稱和輸入的用戶識別碼，輸入的用戶識別碼用於申請設備憑證時的用戶身份校驗，設備名稱用於標識申請的設備憑證所屬的終端設備。憑證驅動安裝模組，用於透過接收的驅動安裝位址以獲取驅動安裝檔，利用驅動安裝檔安裝憑證驅動，得到驅動安裝檔中壓縮的設備憑證和經加密的金鑰檔。設備憑證私鑰獲取模組，用於根據再次提交的用戶標識碼，對經加密的金鑰檔進行解密，得到設備憑證的金鑰對中的私鑰。在一個實施例中，憑證申請裝置800還可以包括：設備憑證簽章模組，用於利用設備憑證的金鑰對中的私鑰對獲取的設備資訊進行數位簽章，得到具有設備憑證簽章的設備啟動資訊。設備啟動資訊發送模組，用於向憑證伺服器發送設備啟動資訊，以進行設備憑證啟動。映射關係建立模組，用於建立用戶識別碼所標識的用戶與設備憑證的映射關係。在一個實施例中，設備名稱和輸入的用戶識別碼，是憑證伺服器透過瀏覽器的資訊採集頁面提交的資訊，資訊採集頁面是憑證伺服器在瀏覽器處理的業務需要使用設備憑證時產生的。圖9示出了根據本說明書一實施例的憑證申請裝置的結構示意圖。如圖9所示，在一個實施例中，憑證申請裝置900可以包括：消息資料接收模組910，用於接收來自憑證伺服器的消息資料，消息資料包括憑證下發指令、用戶憑證或用戶憑證簽章指令。資料傳輸通道選擇模組920，用於判定與消息資料對應的訂閱主題名稱，以及與訂閱主題名稱對應的資料傳輸通道，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道。消息資料發送模組930，用於利用資料傳輸通道發送消息資料。在一個實施例中，憑證申請裝置900還可以包括：金鑰接收模組，用於接收來自終端設備的閘道金鑰。金鑰驗證模組，用於對閘道金鑰驗證通過時，建立終端設備與閘道之間的連結。主題訂閱模組，用於接收設備標識碼和訂閱主題名稱，建立與訂閱主題名稱對應的資料傳輸通道，設備標識碼用於標識終端設備。在一個實施例中，閘道支援基於發佈主題和/或訂閱主題的設備通訊協定，設備通訊協定包括訊息佇列遙測傳輸協定。在一個實施例中，資料傳輸通道是基於訊息佇列遙測傳輸協定建立的資料傳輸通道。圖10示出了根據本說明書另一實施例的憑證申請裝置的結構示意圖。如圖10所示，在一個實施例中，憑證申請裝置1000可以包括：憑證下發指令發送模組1010，用於向預先建立連結的閘道發送憑證下發指令，以使閘道透過與終端設備的之間資料傳輸通道，向終端設備發送憑證下發指令，其中，資料傳輸通道是根據終端設備發送至閘道的訂閱主題名稱建立的通道，訂閱主題名稱對應的消息資料包括憑證下發指令。用戶憑證申請模組1020，用於接收與憑證下發指令對應的用戶憑證註冊請求，根據用戶憑證註冊請求申請用戶憑證。用戶憑證發送模組1030，用於向閘道發送申請到的用戶憑證，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證。在一個實施例中，憑證下發指令發送模組1010具體可以包括：登錄用戶識別單元，用於判定接收的用戶識別碼所標識的設備登錄用戶。設備憑證金鑰對獲取單元，用於接收具有設備憑證簽章的設備標識資訊，獲取設備標識資訊對應的設備憑證的金鑰對。設備憑證簽章驗證單元，用於利用設備憑證的金鑰對中的公鑰，驗證設備憑證簽章。用戶身份資訊獲取單元，用於如果設備憑證簽章的驗證結果為通過，從與設備憑證具有映射關係的用戶的身份資訊中，獲取設備登錄用戶的身份資訊。第一用戶身份核實單元，用於在設備登錄用戶的身份資訊核實成功的情況下，向閘道發送憑證下發指令。在一個實施例中，憑證申請裝置1000還可以包括：閘道配置資訊發送單元，用於如果設備憑證簽章的驗證結果為通過，向終端設備下發閘道配置資訊，以使終端設備基於閘道配置資訊與閘道建立資料傳輸通道。在一個實施例中，憑證申請裝置1000還可以包括：用戶簽章原文判定模組，用於根據接收的用戶憑證校驗請求，判定用戶憑證的簽章校驗原文。用戶簽章封裝內容判定模組，用於判定接收的用戶識別碼所標識的設備登錄用戶，獲取設備登錄用戶所登錄設備的設備標識資訊和設備登錄用戶的用戶憑證編號。用戶簽章指令產生模組，用於封裝簽章校驗原文、所登錄設備的設備標識資訊以及用戶憑證編碼，得到用戶憑證簽章指令，用戶憑證簽章指令用於對用戶憑證進行校驗。用戶簽章指令發送模組，用於向閘道發送用戶憑證簽章指令，以使閘道透過資料傳輸通道，向終端設備發送用戶憑證簽章指令。在一個實施例中，憑證申請裝置1000還可以包括：用戶憑證簽章驗證模組，用於接收具有用戶憑證簽章的簽章校驗原文，根據用戶憑證的金鑰對中的公鑰，驗證用戶憑證簽章。在一個實施例中，憑證申請裝置1000還可以包括：設備憑證申請模組，用於基於接收的設備名稱和用戶識別碼，為設備名稱對應的終端設備申請設備憑證，判定設備憑證的金鑰對。憑證驅動產生模組，用於利用設備憑證的金鑰對中的私鑰，產生設備憑證的驅動安裝檔，向終端設備發送驅動安裝檔。設備簽章驗證模組，用於接收具有設備憑證簽章的設備啟動資訊，利用設備憑證的金鑰對中的公鑰，驗證設備憑證簽章。用戶與設備綁定模組，用於設備憑證簽章驗證通過時，根據設備啟動資訊，判定透過用戶識別碼識別的登錄用戶為與設備憑證綁定的用戶。在一個實施例中，設備憑證申請模組具體可以包括：第二用戶身份核實單元，用於判定接收的用戶識別碼所標識的設備登錄用戶，核實設備登錄用戶的身份資訊。設備憑證金鑰對產生單元，用於設備登錄用戶的身份資訊核實成功時，產生用於申請設備憑證的金鑰對。設備憑證請求單元，用於根據用於申請設備憑證的金鑰對中的公鑰、設備名稱、以及設備登錄用戶的身份資訊，產生設備憑證請求，以根據設備憑證請求申請設備憑證。設備憑證金鑰對判定單元，用於將申請到的設備憑證的金鑰對作為設備憑證的金鑰對。在一個實施例中，憑證驅動產生模組具體可以包括：設備憑證私鑰加密單元，用於透過指定的金鑰加密方法，對設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔。憑證驅動檔壓縮單元，用於壓縮設備憑證和經加密的金鑰檔，得到設備憑證的驅動安裝檔。在一個實施例中，設備憑證私鑰加密單元具體還可以用於：利用白盒加密技術，使用用戶識別碼作為靜態加密金鑰，對設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔。需要明確的是，本說明書並不局限於上文實施例中所描述並在圖中示出的特定配置和處理。為了描述的方便和簡潔，這裡省略了對已知方法的詳細描述，並且上述描述的系統、模組和單元的具體工作過程，可以參考前述方法實施例中的對應過程，在此不再贅述。圖11是示出能夠實現根據本說明書實施例的計算設備的示例性硬體架構的結構圖。如圖11所示，計算設備1100包括輸入裝置1101、輸入介面1102、中央處理器1103、記憶體1104、輸出介面1105、以及輸出設備1106。其中，輸入介面1102、中央處理器1103、記憶體1104、以及輸出介面1105透過匯流排1110相互連接，輸入裝置1101和輸出設備1106分別透過輸入介面1102和輸出介面1105與匯流排1110連接，進而與計算設備1100的其他元件連接。具體地，輸入裝置1101接收來自外部的輸入資訊，並透過輸入介面1102將輸入資訊傳送到中央處理器1103；中央處理器1103基於記憶體1104中儲存的電腦可執行指令對輸入資訊進行處理以產生輸出資訊，將輸出資訊臨時或者永久地儲存在記憶體1104中，然後透過輸出介面1105將輸出資訊傳送到輸出設備1106；輸出設備1106將輸出資訊輸出到計算設備1100的外部供用戶使用。在一個實施例中，圖11所示的計算設備1100可以被實現為一種終端設備，該終端設備可以包括記憶體，被配置為儲存程式；處理器，被配置為運行記憶體中儲存的程式，以執行上述實施例描述的應用於終端設備的憑證申請方法。在一個實施例中，圖11所示的計算設備1100可以被實現為一種閘道設備，該閘道可以包括記憶體，被配置為儲存程式；處理器，被配置為運行記憶體中儲存的程式，以執行上述實施例描述的應用於閘道的憑證申請方法。在一個實施例中，圖11所示的計算設備1100可以被實現為一種憑證伺服器，該憑證伺服器可以包括記憶體，被配置為儲存程式；處理器，被配置為運行記憶體中儲存的程式，以執行上述實施例描述的應用於憑證伺服器的憑證申請方法。以上所描述的裝置實施例僅僅是示意性的，其中所述作為分離部件說明的單元可以是或者也可以不是實體上分開的，作為單元顯示的部件可以是或者也可以不是實體單元，即可以位於一個地方，或者也可以分佈到多個網路單元上。可以根據實際的需要選擇其中的部分或者全部模組來實現本實施例方案的目的。本領域普通技術人員在不付出創造性的勞動的情況下，即可以理解並實施。上述對本說明書特定實施例進行了描述。其它實施例在所附申請專利範圍的範圍內。在一些情況下，在申請專利範圍中記載的動作或步驟可以按照不同於實施例中的順序來執行並且仍然可以實現期望的結果。另外，在圖式中描繪的過程不一定要求示出的特定順序或者連續順序才能實現期望的結果。在某些實施方式中，多工處理和並行處理也是可以的或者可能是有利的。

10:資料憑證管理系統 11:用戶 12:終端設備 13:憑證伺服器 14:第三方憑證授權中心 15:閘道 500,600,700:憑證申請方法 800,900,1000:憑證申請裝置 810:憑證下發指令接收模組 820:用戶憑證請求發送模組 830:用戶憑證接收模組 910:消息資料接收模組 920:資料傳輸通道選擇模組 930:消息資料發送模組 1010:憑證下發指令發送模組 1020:用戶憑證申請模組 1030:用戶憑證發送模組 1100:計算設備 1101:輸入裝置 1102:輸入介面 1103:中央處理器 1104:記憶體 1105:輸出介面 1106:輸出設備 1110:匯流排 S101,S103,S105,S107,S109,S111,S113,S115,S117,S119,S201,S203,S205,S207,S209,S211,S213,S215,S217,S219,S221,S223,S225,S227,S229,S231,S233,S235,S237,S239,S241,S243,S510,S520,S521,S523,S525,S530,S540,S542,S544,S550,S552,S554,S560,S562,S564,S570,S572,S574,S610,S620,S630,S650,S652,S654,S660,S662,S710,S711,S713,S715,S717,S719,S720,S730,S750,S752,S754,S756,S760,S770,S772,S774,S776,S770,S770-02,S770-03,S770-05,S770-07,S772,S772-01,S772-03:步驟

為了更清楚地說明本說明書實施例的技術方案，下面將對本說明書實施例中所需要使用的圖式作簡單地介紹，對於本領域普通技術人員來講，在不付出創造性勞動的前提下，還可以根據這些圖式獲得其他的圖式。 [圖1]示出本說明書一個實施例的數位憑證管理系統的架構示意圖； [圖2]示出本說明書一個實施例的設備註冊、憑證驅動安裝以及設備啟動過程中的信令流程示意圖； [圖3]示出本說明書一個實施例的數位憑證管理系統的架構示意圖； [圖4]示出本說明書一個實施例的用戶憑證申請、用戶憑證安裝和用戶憑證校驗的信令流程示意圖； [圖5]示出本說明書一個實施例的憑證申請方法的流程圖； [圖6]示出本說明書一個實施例的憑證申請方法的流程圖； [圖7]示出本說明書另一實施例的憑證申請方法的流程圖； [圖8]示出本說明書一實施例的憑證申請裝置的結構示意圖； [圖9]示出本說明書一實施例的憑證申請裝置的結構示意圖； [圖10]示出本說明書另一實施例的憑證申請裝置的結構示意圖； [圖11]示出能夠實現根據本說明書實施例的計算設備的示例性硬體架構的結構圖。

11:用戶

12:終端設備

13:憑證伺服器

14:第三方憑證授權中心

Claims

一種憑證申請方法，應用於終端設備，包括：透過所述終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，所述資料傳輸通道是根據所述終端設備發送至所述閘道的訂閱主題名稱建立的通道；根據所述憑證下發指令產生用戶憑證請求，發送所述用戶憑證請求至所述憑證伺服器；透過所述資料傳輸通道接收所述伺服器下發的用戶憑證；接收所述憑證伺服器發送的閘道配置資訊，所述閘道配置資訊包括：設備標識碼、閘道金鑰、閘道位址和訂閱主題名稱，所述設備標識碼用於標識所述終端設備；根據所述閘道金鑰和所述閘道位址，建立所述終端設備與所述閘道的連結；向所述閘道發送所述設備標識碼和所述訂閱主題名稱，以建立與所述訂閱主題名稱對應的資料傳輸通道，所述資料傳輸通道用於向所述終端設備傳輸與所述訂閱主題名稱對應的消息資料。
根據請求項1所述的憑證申請方法，其中，所述憑證下發指令，是所述憑證伺服器根據接收瀏覽器所請求業務的業務類型產生的，所述瀏覽器運行於所述終端設備。
根據請求項1所述的憑證申請方法，其中，所述資料傳輸通道是基於訊息佇列遙測傳輸協定建立的資料傳輸通道。
根據請求項1所述的憑證申請方法，其中，所述根據所述憑證下發指令產生用戶憑證請求，包括：獲取所述憑證下發指令中的推送內容，所述推送內容包括推送內容挑戰碼、經核實的憑證主體資訊和演算法資訊；透過所述演算法資訊產生用戶憑證金鑰對，利用所述用戶憑證金鑰對中的私鑰，對所述用戶憑證金鑰對中的公鑰進行數位簽章，得到具有用戶憑證簽章的公鑰；封裝具有所述用戶憑證簽章的公鑰和所述經核實的憑證主體資訊，得到所述用戶憑證請求。
根據請求項1所述的憑證申請方法，還包括：透過所述資料傳輸通道接收用戶憑證簽章指令，獲取所述用戶憑證簽章指令中的簽章校驗原文、設備標識碼以及用戶憑證編號；在具有所述設備標識碼的終端設備，選擇所述用戶憑證編碼對應的用戶憑證，利用所選擇的用戶憑證的金鑰對中的私鑰，對所述簽章校驗原文進行簽章，得到具有用戶憑證簽章的簽章校驗原文；向所述憑證伺服器發送所述具有用戶憑證簽章的簽章校驗原文，以用於校驗所述用戶憑證。
根據請求項1所述的憑證申請方法，還包括：向所述憑證伺服器提交設備名稱和用戶識別碼，所述用戶識別碼用於申請設備憑證時的用戶身份校驗，所述設備名稱用於標識申請的設備憑證所屬的終端設備；透過接收的驅動安裝位址以獲取驅動安裝檔，利用所述驅動安裝檔安裝憑證驅動，得到所述驅動安裝檔中壓縮的設備憑證和經加密的金鑰檔；根據再次提交的用戶標識碼，對所述經加密的金鑰檔進行解密，得到所述設備憑證的金鑰對中的私鑰。
根據請求項6所述的憑證申請方法，還包括：利用所述設備憑證的金鑰對中的私鑰對獲取的設備資訊進行數位簽章，得到具有設備憑證簽章的設備啟動資訊；向所述憑證伺服器發送所述設備啟動資訊，以進行設備憑證啟動；建立所述用戶識別碼所標識的用戶與所述設備憑證的映射關係。
根據請求項6所述的憑證申請方法，其中，所述設備名稱和所述輸入的用戶識別碼，是所述憑證伺服器透過瀏覽器的資訊採集頁面提交的資訊，所述資訊採集頁面是伺服器在所述瀏覽器處理的業務需要使用設備憑證時產生的。
一種憑證申請方法，應用於憑證伺服器，包括：向預先建立連結的閘道發送憑證下發指令，以使所述閘道透過與終端設備的之間資料傳輸通道，向所述終端設備發送所述憑證下發指令，其中，所述資料傳輸通道是根據所述終端設備發送至所述閘道的訂閱主題名稱建立的通道，所述訂閱主題名稱對應的消息資料包括所述憑證下發指令；接收與所述憑證下發指令對應的用戶憑證註冊請求，根據所述用戶憑證註冊請求申請用戶憑證；向所述閘道發送申請到的用戶憑證，以使所述閘道透過所述資料傳輸通道，向所述終端設備發送所述用戶憑證；其中，所述預先建立連結的閘道發送憑證下發指令，包括：判定接收的用戶識別碼所標識的設備登錄用戶；接收具有設備憑證簽章的設備標識資訊，獲取所述設備標識資訊對應的設備憑證的金鑰對；利用所述設備憑證的金鑰對中的公鑰，驗證所述設備憑證簽章；如果所述設備憑證簽章的驗證結果為通過，從與所述設備憑證具有映射關係的用戶的身份資訊中，獲取所述設備登錄用戶的身份資訊；在所述設備登錄用戶的身份資訊核實成功的情況下，向所述閘道發送所述憑證下發指令。
根據請求項9所述的憑證申請方法，還包括：如果所述設備憑證簽章的驗證結果為通過，向所述終端設備下發閘道配置資訊，以使所述終端設備基於所述閘道配置資訊與所述閘道建立所述資料傳輸通道。
根據請求項9所述的憑證申請方法，還包括：根據接收的用戶憑證校驗請求，判定所述用戶憑證的簽章校驗原文；判定接收的用戶識別碼所標識的設備登錄用戶，獲取所述設備登錄用戶所登錄設備的設備標識資訊和所述設備登錄用戶的用戶憑證編號；封裝所述簽章校驗原文、所述所登錄設備的設備標識資訊以及所述用戶憑證編碼，得到用戶憑證簽章指令，所述用戶憑證簽章指令用於對所述用戶憑證進行校驗；向所述閘道發送所述用戶憑證簽章指令，以使所述閘道透過所述資料傳輸通道，向所述終端設備發送所述用戶憑證簽章指令。
根據請求項9所述的憑證申請方法，還包括：接收具有用戶憑證簽章的簽章校驗原文，根據所述用戶憑證的金鑰對中的公鑰，驗證所述用戶憑證簽章。
根據請求項9所述的憑證申請方法，還包括：基於接收的設備名稱和用戶識別碼，為所述設備名稱對應的終端設備申請設備憑證，判定所述設備憑證的金鑰對；利用所述設備憑證的金鑰對中的私鑰，產生所述設備憑證的驅動安裝檔，向所述終端設備發送所述驅動安裝檔；接收具有設備憑證簽章的設備啟動資訊，利用所述設備憑證的金鑰對中的公鑰，驗證所述設備憑證簽章；所述設備憑證簽章驗證通過時，根據所述設備啟動資訊，判定透過所述用戶識別碼識別的登錄用戶為與所述設備憑證綁定的用戶。
根據請求項13所述的憑證申請方法，其中，所述基於接收的設備名稱和用戶識別碼，為所述設備名稱對應的終端設備申請設備憑證，判定所述設備憑證的金鑰對，包括：判定接收的用戶識別碼所標識的設備登錄用戶，核實所述設備登錄用戶的身份資訊；所述設備登錄用戶的身份資訊核實成功時，產生用於申請所述設備憑證的金鑰對；根據用於申請所述設備憑證的金鑰對中的公鑰、所述設備名稱、以及所述設備登錄用戶的身份資訊，產生設備憑證請求，以根據所述設備憑證請求申請設備憑證；將申請到的所述設備憑證的金鑰對作為所述設備憑證的金鑰對。
根據請求項13所述的憑證申請方法，其中，所述根據所述設備憑證的金鑰對中的私鑰，產生所述設備憑證的驅動安裝檔，包括：透過指定的金鑰加密方法，對所述設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔；壓縮所述設備憑證和所述經加密的金鑰檔，得到所述設備憑證的驅動安裝檔。
根據請求項15所述的憑證申請方法，其中，所述透過指定的金鑰加密方法，對所述設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔，包括：利用白盒加密技術，使用所述用戶識別碼作為靜態加密金鑰，對所述設備憑證的金鑰對中的私鑰進行加密，得到經加密的金鑰檔。
一種憑證申請裝置，包括：憑證下發指令接收模組，用於透過所述終端設備與閘道之間的資料傳輸通道，接收來自憑證伺服器的憑證下發指令，所述資料傳輸通道是根據所述終端設備發送至所述閘道的訂閱主題名稱建立的通道；用戶憑證請求發送模組，用於根據所述憑證下發指令產生用戶憑證請求，發送所述用戶憑證請求至所述憑證伺服器；用戶憑證接收模組，用於透過所述資料傳輸通道接收所述憑證伺服器下發的用戶憑證；閘道配置接收模組，用於接收所述憑證伺服器發送的閘道配置資訊，所述閘道配置資訊包括：設備標識碼、閘道金鑰、閘道位址和訂閱主題名稱，所述設備標識碼用於標識所述終端設備；閘道位址登錄模組，用於根據所述閘道金鑰和所述閘道位址，建立所述終端設備與所述閘道的連結；資料通道建立模組，用於向所述閘道發送所述設備標識碼和所述訂閱主題名稱，以建立與所述訂閱主題名稱對應的資料傳輸通道，所述資料傳輸通道用於向所述終端設備傳輸與所述訂閱主題名稱對應的消息資料。
一種終端設備，其包括記憶體和處理器；所述記憶體用於儲存有可執行程式碼；所述處理器用於讀取所述記憶體中儲存的可執行程式碼以執行根據請求項1至8中任一項所述的憑證申請方法。
一種憑證伺服器，其特徵在於，包括記憶體和處理器；所述記憶體用於儲存有可執行程式碼；所述處理器用於讀取所述記憶體中儲存的可執行程式碼以執行根據請求項9至16中任一項所述的憑證申請方法。