终端凭证获取方法、装置、设备、介质和程序产品与流程

本申请涉及计算机安全，特别是涉及一种终端凭证获取方法、装置、设备、介质和程序产品。

背景技术：

1、随着企业数字化转型的深入推进，数字身份管理系统已成为保障企业信息安全的核心基础设施。同时，基于快速身份在线认证标准和通行密钥技术的无密码认证方案，已逐步被主流操作系统和浏览器原生支持，为消除传统密码认证方式提供了技术基础。

2、传统技术中，系统普遍采用以云端账户作为身份基本锚点的架构设计。用户需要通过注册流程在云端建立账户记录，并维护与账户绑定的密码或多因素认证凭据；根私钥或用户签名密钥集中托管于服务器端的密钥管理系统中；所有身份验证请求均通过云端账户体系进行集中鉴权。在这种架构下，企业数字凭证的派发流程通常依赖于员工预先注册的云端账户，由服务端生成凭证后通过安全通道推送到员工终端。

3、然而，上述方案至少存在以下问题：账户凭据面临钓鱼、撞库等攻击风险；私钥集中存储于服务器，一旦被突破将导致大规模凭证伪造。

技术实现思路

1、基于此，有必要针对上述技术问题，提供一种能够在无需创建云端账户的前提下，安全获取数字凭证的终端凭证获取方法、装置、设备、介质和程序产品。

2、第一方面，本申请提供了一种终端凭证获取方法，应用于移动终端，所述方法包括：

3、响应于触发目标链接，通过目标应用程序从所述目标链接中提取激活令牌，所述目标链接为服务端发送的携带有所述激活令牌的链接；

4、调用可信执行环境，在所述可信执行环境内生成非对称密钥对；

5、将所述非对称密钥对中的硬件公钥与所述激活令牌组装为激活请求包，将所述激活请求包发送至所述服务端；

6、在所述服务端验证所述激活请求包有效的情况下，接收并存储所述服务端根据所述激活请求包返回的结构化数字凭证。

7、在所述方法的一些实施例中，所述方法还包括：

8、在所述服务端验证所述激活请求包失效的情况下，接收所述服务端返回的激活失败响应，并输出用于提示所述目标链接已失效的第一提示信息；

9、和/或，在所述服务端验证所述激活请求包超过预设验证时间阈值的情况下，接收所述服务端返回的激活过期响应，并输出用于提示所述目标链接已过期的第二提示信息。

10、在所述方法的一些实施例中，所述激活令牌被配置为与用户信息、有效期信息中的至少一种相关联，所述响应于触发目标链接，通过目标应用程序从所述目标链接中提取激活令牌，包括：

11、响应于触发目标链接，通过操作系统识别路由，唤起目标应用程序；

12、通过所述目标应用程序从所述目标链接中提取激活令牌的用户信息、有效期信息中的至少一种。

13、在所述方法的一些实施例中，所述激活令牌被配置为单次有效，所述方法还包括：

14、在所述服务端验证所述激活请求包有效的情况下，所述激活令牌被所述服务端标记为已销毁状态，所述目标应用程序在使用同一激活令牌再次发起激活请求时，接收所述服务端返回的激活令牌无效响应。

15、在所述方法的一些实施例中，所述调用可信执行环境，在所述可信执行环境内生成非对称密钥对，包括：

16、调用硬件安全芯片的可信执行环境，在所述可信执行环境内生成具有物理隔离且不可导出的非对称密钥对。

17、在所述方法的一些实施例中，所述接收并存储所述服务端根据所述激活请求包返回的结构化数字凭证，包括：

18、接收所述服务端返回的加密后的结构化数字凭证，所述结构化数字凭证由所述服务端通过凭证根私钥对包括所述硬件公钥的主体信息进行数字签证得到；

19、将所述加密后的结构化数字凭证解密后，持久化存储至本地隔离安全存储数据库。

20、根据本公开实施例的第二方面，提供一种终端凭证获取装置。所述装置包括：

21、令牌提取模块，用于响应于触发目标链接，通过目标应用程序从所述目标链接中提取激活令牌，所述目标链接为服务端发送的携带有所述激活令牌的链接；

22、密钥生成模块，用于调用可信执行环境，在所述可信执行环境内生成非对称密钥对；

23、发送模块，用于将所述非对称密钥对中的硬件公钥与所述激活令牌组装为激活请求包，将所述激活请求包发送至所述服务端；

24、接收模块，用于在所述服务端验证所述激活请求包有效的情况下，接收并存储所述服务端根据所述激活请求包返回的结构化数字凭证。

25、根据本公开实施例的第三方面，提供一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述终端凭证获取方法。

26、根据本公开实施例的第四方面，提供一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述终端凭证获取方法。

27、根据本公开实施例的第五方面，提供一种计算机程序产品。所述计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述终端凭证获取方法。

28、本申请实施例提供的终端凭证获取方案，通过响应于触发目标链接，从目标链接中提取激活令牌，调用可信执行环境生成非对称密钥对，将硬件公钥与激活令牌组装为激活请求包发送至服务端，在服务端验证有效的情况下接收并存储结构化数字凭证这样的技术方案，能够在无需创建云端用户账户的前提下完成终端凭证的信任锚定，从系统架构层面同时消除了传统云端账户体系面临的账户凭据被盗和私钥集中托管引发的系统性风险，实现了真正意义上的服务端零私钥的凭证派发方式。

29、应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

1.一种终端凭证获取方法，其特征在于，应用于移动终端，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

3.根据权利要求1所述的方法，其特征在于，所述激活令牌被配置为与用户信息、有效期信息中的至少一种相关联，所述响应于触发目标链接，通过目标应用程序从所述目标链接中提取激活令牌，包括：

4.根据权利要求3所述的方法，其特征在于，所述激活令牌被配置为单次有效，所述方法还包括：

5.根据权利要求1所述的方法，其特征在于，所述调用可信执行环境，在所述可信执行环境内生成非对称密钥对，包括：

6.根据权利要求1所述的方法，其特征在于，所述接收并存储所述服务端根据所述激活请求包返回的结构化数字凭证，包括：

7.一种终端凭证获取装置，其特征在于，所述装置包括：

8.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述的方法的步骤。

9.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。

10.一种计算机程序产品，其特征在于，包括计算机程序，该计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。