一种数字证书认证方法与流程

1.本发明涉及信息安全技术领域，特别是涉及一种适用于移动终端且具有自主可控性的数字证书认证方法。


背景技术：

2.信息安全认证系统是通过对生存周期内的数字证书进行全过程管理，以保证信息传输的安全系统，目前，信息安全认证系统主要包括签发服务器、注册服务器、密钥管理服务器以及证书管理终端，其中，签发服务器是用于对生存周期内的数字证书进行全过程管理的控制模块，负责系统的初始化、用户资料管理、用户证书管理、签发服务器配置管理以及签发服务器策略信息管理等；注册服务器作为身份认证系统的注册模块，负责用户信息的录入、用户信息的审核、证书申请、证书注销以及证书更新等；密钥管理服务器主要是实现对密钥信息的管理，包括密钥管理服务器的初始化以及密钥监控服务；证书管理终端主要是对系统进行管理，包括系统的初始化、用户申请的审核上传等。
3.然而，上述信息安全认证系统主要采用第三方认证的方式来进行数字证书的认证，安全性通过第三方证书以及签发服务器来完成，数字证书的使用必须通过第三方授权才能实现，其往往涉及到从终端pc到第三方认证服务器的交互，不具有自主可控性，系统的可靠性相对不足。


技术实现要素：

4.基于此，有必要针对现有技术的不足，提供一种适用于移动终端且具有自主可控性的数字证书认证方法。
5.一种数字证书认证方法，该方法基于加载在移动终端的数字证书app、证书接口以及认证服务器，所述证书接口用于封装基于证书和私钥的加密、解密、加签以及解签接口；所述方法包括以下步骤：s1：判断数字证书app是否为初次启动，若是，则进入步骤s2；若否，则进入步骤s4；s2：数字证书app与认证服务器进行单向挑战应答，并在认证成功时，向认证服务器发送消息，以请求下载证书和私钥；s3：数字证书app解密证书和私钥并进行保存；s4：数字证书app与认证服务器进行双向挑战应答，若认证成功，则进行心跳检测。
6.在其中一个实施例中，步骤s2中，若认证失败，认证服务器提示非法证书app，且数字证书app定时向认证服务器发起单向挑战应答。
7.在其中一个实施例中，步骤s2中，所述认证服务器接收数字证书app发送的请求后，使用认证通过的随机串和aes加密证书和私钥，并将加密后的证书和私钥传输至数字证书app。
8.在其中一个实施例中，步骤s3中，数字证书app使用随机串和aes对认证服务器传输的证书和私钥解密，并将解密信息写入目录。
9.在其中一个实施例中，步骤s4之前，还包括数字证书app与认证服务器进行单向挑战应答，在认证成功后，进入步骤s4。
10.在其中一个实施例中，步骤s4中，若认证失败，则结束认证流程并退出。
11.在其中一个实施例中，步骤s4中，所述心跳检测包括：数字证书app将自身硬件信息、证书app版本以及摘要信息发送至认证服务器进行应答认证，若认证失败，则认证服务器提示非法证书app。
12.在其中一个实施例中，在数字证书app与认证服务器进行单向挑战应答后，还包括对证书接口的验证和数字证书信息的输入，证书接口的验证包括：s11：数字证书app向认证服务器发送的密钥申请；s12：认证服务器生成新密钥并将新密钥和初始密钥发送至数字证书app；s13：数字证书app通过初始密钥解密私钥，并采用新密钥加密私钥，将加密后的私钥写入本地，认证服务器将新密钥覆盖初始密钥。
13.实施本发明的数字证书认证方法，其基于加载在移动终端的数字证书app和认证服务器，通过初次启动时的单向挑战应答，从认证服务器加载证书和私钥，并保存在本地，在数字证书app后续启动时，仅需将输入的数字证书信息与本地保存的证书信息进行双向应答，即可验证数字证书的安全性，无需通过第三方授权即可实现数字证书的认证，用户可以自主操控移动终端进行认证作业，使得网络信息安全认证系统的认证自主可控，提高了系统的可靠性和安全性。
附图说明
14.图1为本发明的一个实施例中数字证书认证方法的流程图；图2为本发明的一个实施例中数字证书认证方法的逻辑图；图3为本发明的一个实施例中证书接口验证的流程图；图4为本发明的一个实施例中证书接口验证的逻辑图。
具体实施方式
15.为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细的说明。在下面的描述中阐述了很多具体细节以便于充分理解本发明。但是本发明能够以很多不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似改进，因此本发明不受下面公开的具体实施例的限制。
16.本发明提供了一种适用于移动终端且具有自主可控性的数字证书认证方法，该认证方法基于加载在移动终端上的数字证书app、证书接口以及认证服务器，数字证书app包括证书查验模块、验证授权模块、制证模块以及目录，其中，证书查验模块用于查验目录中是否存在数字证书，以便于判断数字证书app是否为初次启动，并根据启动的次序执行不同的认证程序；验证授权模块用于接收用户从移动终端的app界面上发送的信息，并根据信息与认证服务器进行单向或双向挑战应答，使得用户输入的信息与认证服务器内的信息匹配；制证模块用于在挑战应答成功的情况下从认证服务器将证书和私钥加载至目录进行保存，以便数字证书app后续启动时直接调用数字证书；或在目录已下载证书的情况下，将用户输入的信息与已加载的数字证书进行对比，以保证系统的安全性。如此，在数字证书app
的使用过程中，无需借助第三方认证服务器，即可实现对数字证书的认证，提高了证书认证的自主可控性。证书接口用于封装基于证书和私钥的加密、解密、加签以及解签接口，具体的，在数字证书app的使用过程中，用户通过app的输入界面填写用户名及密码，并进入app主页，随后通过调用证书接口来实现对证书和私钥的加密、解密、加签以及解签，本实施例中，证书接口用于数字证书app与认证服务器之间信息的加密解密，以保证信息传递的安全性。认证服务器包括存储器和处理器，存储器中存储有数字证书信息并与外部的存储有合法用户数据信息的用户数据库连接，处理器用于与数字证书app进行交互，并在数字证书app的用户拥有合法身份时，将数字证书发送至数字证书app进行保存。
17.请结合图1与图2，本实施例的数字证书认证方法包括以下步骤：s1：判断数字证书app是否为初次启动，若是，则进入步骤s2；若否，则进入步骤s4。
18.需要说明的是，本实施例中，默认数字证书app初次启动时，数字证书app的目录（即移动终端本地）未存储数字证书，因此，在判断数字证书app初次启动的情况下，需要从认证服务器下载数字证书进行保存，即将数字证书保存至加载数字证书app的移动终端上，以便后续调用。数字证书app是否为初次启动的判断标准为，检测移动终端的数字证书app目录下是否存在数字证书。
19.s2：数字证书app与认证服务器进行单向挑战应答，并在认证成功时，向认证服务器发送消息，以请求下载证书和私钥。
20.挑战应答是一种身份认证方式，是在每次认证时由认证服务器向客户端（即加载app的移动终端）发送一个不同的挑战字串，客户端程序收到这个挑战字串后，做出相应的应答，其认证过程为：1) 客户端向认证服务器发出请求，要求进行身份认证；2) 认证服务器从用户数据库中查询用户是否是合法的用户，若不是，则不做进一步处理；若是，则进入下一步；3) 认证服务器内部产生一个随机数，作为“提问”，发送给客户端；4) 客户端将用户名字和随机数合并，使用单向hash函数（例如md5算法）生成一个字节串作为应答；5) 认证服务器将应答串与自己的计算结果比较，若二者相同，则通过一次认证；否则，认证失败；6) 认证服务器通知客户端认证成功或失败。
21.本实施例中，在判断数字证书app为初次启动的情况下，需要向数字证书app中加载数字证书，以便为后续的认证作业提供基础。当用户通过app的输入界面填写用户名、密码信息及身份信息后，数字证书app向认证服务器发送用户名及其身份信息，由认证服务器在用户数据库中进行查询，并在用户身份合法的情况下，生成随机数作为挑战发送至数字证书app，数字证书app将用户名和随机数合并后，采用hash函数生成字符串并发送至认证服务器进行应答，若认证成功，则数字证书app可以进一步向认证服务器发出请求，以便于从认证服务器的存储器中下载数字证书。
22.本实施例中，若步骤s2中认证失败，认证服务器提示非法证书app，且数字证书app定时向认证服务器发起单向挑战应答，直至用户认证成功。约定数字证书app每1-2min向认证服务器发起一次单向挑战应答。优选的，数字证书app每1min向认证服务器发起一次单向
挑战应答。
23.需要说明的是，步骤s2中，认证服务器接收数字证书app发送的请求后，使用认证通过的随机串和aes加密证书和私钥，并将加密后的证书和私钥传输至数字证书app。具体的，证书和私钥通过证书接口传输至数字证书app。aes（advanced encryption standard，又称高级加密标准）是对称密钥加密的主要算法之一，具有速度快、编码紧凑以及设计简单等特点，能够抵抗的攻击种类较多。本实施例中，通过加密证书和私钥，避免信息被攻击和泄漏，提高了证书和私钥传递过程的安全性。
24.s3：数字证书app解密证书和私钥并进行保存。
25.步骤s3中，数字证书app使用随机串和aes对认证服务器传输的证书和私钥解密，并将解密信息写入目录。需要说明的是，本实施例中，数字证书app对证书和私钥解密所采用的随机串和aes标准与认证服务器对证书和私钥进行加密所采用的随机串和aes标准相同，以使得解密后的证书和私钥与加密前的证书和私钥一致，从而保证信息传输的完整性。
26.s4：数字证书app与认证服务器进行双向挑战应答，若认证成功，则进行心跳检测。
27.当判断数字证书app并非为初次启动，即为第二次或后续启动时，数字证书app的目录中已存储有数字证书，因此，在数字证书app第二次或在后续启动时，仅需要从数字证书app中调用存储的数字证书，并将数字证书与认证服务器中存储的数字证书进行认证即可。
28.需要说明的是，步骤s4之前，还包括数字证书app与认证服务器进行单向挑战应答，在认证成功后，进入步骤s4。也就是说，在初次启动数字证书app并保存数字证书后，后续启动数字证书app时，需要数字证书app与认证服务器进行单向挑战应答，用户通过app的输入界面填写用户名、密码信息及身份信息后，数字证书app向认证服务器发送用户名及其身份信息，由认证服务器在用户数据库中进行查询，以保证用户身份合法。随后，认证服务器生成随机数作为挑战发送至数字证书app，数字证书app对随机数进行处理后生成字符串并发送至认证服务器进行应答；若应答成功，则数字证书app生成随机数作为挑战发送至认证服务器，认证服务器将存储的数字证书信息与随机数合并，并使用hash函数生成字符串作为应答，数字证书app的验证授权模块将应答串与自身计算的目录中数字证书相关的计算结果进行比较，若二者相同，则认证成功一次双向挑战应答，并在数字证书app与认证服务器之间发起心跳，以保证数字证书app与认证服务器的实时连接。本实施例中，步骤s4中若认证失败，则结束认证流程并退出。
29.心跳检测技术是一种检测网络连接故障的技术，根据服务端和客户端各自的心跳检测软件，相互之间发送消息即心跳报文来检测故障，判断网络连接是否正常，系统是否工作，从而保证服务端和客户端的可靠连接。本实施例中，步骤s4中心跳检测包括：数字证书app将自身硬件信息、证书app版本以及摘要信息发送至认证服务器进行应答认证，若认证失败，则认证服务器提示非法证书app。本实施例的心跳检测仅用于检出数字证书app与认证服务器验证失败的情况，二者验证成功并不进行提示。在数字证书app与认证服务器进行心跳检测的过程中，认证服务器内部产生一个随机数并发送至数字证书app，数字证书app将该随机数与自身硬件信息、证书app版本以及摘要信息进行合并，并使用hash函数生成字符串进行应答，随后由认证服务器将应答串与其内存储的数字证书app的自身硬件信息、证书app版本以及摘要信息处理后的结果进行比较。需要说明的是，在心跳检测发起前，数字
证书app向认证服务器发送其自身硬件信息、证书app版本以及摘要信息，并将上述信息存储在认证服务器内，以便为后续的心跳检测提供依据。
30.本实施例的数字证书app可以应用于考勤和门禁控制业务中，以避免个人信息泄漏和非法人员进入门禁管理区域，其中，使用考勤业务时，用户从电脑登陆，使用门禁业务时，用户单点登陆，例如，采用手机或平板登陆，用户个人信息登陆成功后，在数字证书app内统一认证，并通过证书接口接入认证服务器。一实施例中，在数字证书app与认证服务器进行单向挑战应答后，还包括对证书接口的验证和数字证书信息的输入。具体的，请结合图3与图4，证书接口的验证包括：s11：数字证书app向认证服务器发送的密钥申请；s12：认证服务器生成新密钥并将新密钥和初始密钥发送至数字证书app；s13：数字证书app通过初始密钥解密私钥，并采用新密钥加密私钥，将加密后的私钥写入本地，认证服务器将新密钥覆盖初始密钥。
31.需要说明的是，本实施例中，证书接口的调用采用一次一密安全机制，即采用动态密码的形式，来避免因密码泄漏造成的信息安全问题。具体的，在数字证书app的使用过程中，当数字证书app与认证服务器进行用户认证后，在需要进行单向挑战应答或双向挑战应答前，用户通过数字证书app的输入界面向认证服务器发送密钥申请请求，认证服务器随机生成一个新密钥，并将新密钥和初始密钥回传到数字证书app，数字证书app利用初始密钥解开与数字证书关联的私钥，随后通过新密钥加密私钥，将加密后的私钥写入数字证书app的目录，与此同时，认证服务器将新密钥覆盖初始密钥，随后结束证书接口验证流程，使得密钥动态变化，以提高信息的安全性。本实施例中，初始密钥为数字证书app前一次使用时认证服务器随机生成的密钥，在数字证书app初期启动时，初始密钥由用户设定。
32.实施本发明的数字证书认证方法，其基于加载在移动终端的数字证书app和认证服务器，通过初次启动时的单向挑战应答，从认证服务器加载证书和私钥，并保存在本地，在数字证书app后续启动时，仅需将输入的数字证书信息与本地保存的证书信息进行双向应答，即可验证数字证书的安全性，无需通过第三方授权即可实现数字证书的认证，用户可以自主操控移动终端进行认证作业，使得网络信息安全认证系统的认证自主可控，提高了系统的可靠性和安全性。
33.以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
34.以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。