專利名稱：基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種安全認證的技術(shù)領(lǐng)域，尤其涉及一種基于移動終端的安全認證服
務平臺系統(tǒng)、裝置和方法。
背景技術(shù)：
隨著計算機與網(wǎng)絡通信技術(shù)的發(fā)展，網(wǎng)絡化應用已經(jīng)滲透到社會生活的各個領(lǐng) 域，包括網(wǎng)上銀行、網(wǎng)上購物、網(wǎng)絡游戲、網(wǎng)上電子政務等等，不一而足。然后，網(wǎng)絡的發(fā)展， 以及網(wǎng)絡應用的深入，帶來最突出的問題就是安全問題，現(xiàn)實生活中，比較突出的問題有銀 行卡上的錢被盜、冒充他人進行交易、網(wǎng)絡身份被盜用等，這些問題給用戶和應用提供商都 帶來不少的麻煩和直接的經(jīng)濟損失。 現(xiàn)有技術(shù)中，通常采用通過安全認證，包括嚴格的身份鑒別和數(shù)字簽名技術(shù)解決 這些現(xiàn)實中存在的問題。 目前安全認證方法和系統(tǒng)有很多，包括有PIN/TAN、硬件令牌(硬件Token)安全認 證方法和系統(tǒng)等，安全認證的途徑主要是通過計算機來實現(xiàn)的，但是這種途徑的安全認證 方法和系統(tǒng)存在諸多問題，主要是 1)通過計算機系統(tǒng)實現(xiàn)數(shù)字簽名時，需要將個人私鑰存放在計算機中，或者智能
卡中，或者USBkey中。然而，私鑰存放在計算機中，并不安全，很容易被別人偷走；而存放在
智能卡上和USBkey上均需要額外的硬件設備支持，增加了額外的費用和開銷； 2)通過計算機系統(tǒng)實現(xiàn)安全認證時，需要通過計算機鍵盤輸入私鑰密碼即#PIN
碼，很容易被網(wǎng)絡上的釣魚軟件截獲，存在很大的安全隱患。 為解決通過計算機實現(xiàn)所存在的缺陷，現(xiàn)有技術(shù)又提供通過移動電話的安全認證 方法和系統(tǒng)，如基于短信的0TP。 這種方法和系統(tǒng)主要的硬件設備是GSM移動電話等，其能夠支持多種應用和服 務，在使用中，只需攜帶移動電話，通過移動電話通信網(wǎng)絡和計算機網(wǎng)絡即可完成安全認證 過程，而不需要額外支持，也不會產(chǎn)生更多的額外費用。 中國專利公開號CN101163011A的發(fā)明專利申請公開了一種網(wǎng)上銀行系統(tǒng)的安全 認證方法，其采用手機動態(tài)認證和數(shù)字證書的雙認證安全模式，其中手機動態(tài)認證是通過 用戶開戶時綁定的手機號碼，系統(tǒng)將隨機生成的動態(tài)認證碼通過短信的形式發(fā)送給客戶實 現(xiàn)客戶身份的識別，數(shù)字證書是由權(quán)威公正的第三方機構(gòu)簽發(fā)的，以數(shù)字證書為核心的加 密技術(shù)，其可以對網(wǎng)絡上傳輸?shù)男畔⑦M行加密和解密、數(shù)字簽名和簽名驗證。該發(fā)明的網(wǎng)上 銀行系統(tǒng)安全認證方法提高了網(wǎng)上銀行安全級別，有效降低風險，為用戶提供了一個安全 高效的網(wǎng)上銀行系統(tǒng)。 但現(xiàn)有技術(shù)中的安全認證方法和系統(tǒng)，都有較大的計算開銷和不方便性，存在著 一定的局限性。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法，
其為網(wǎng)絡應用系統(tǒng)提供安全認證，確保網(wǎng)絡身份簽別的可靠性和網(wǎng)絡交易的不可否認性。 為實現(xiàn)本發(fā)明目的而提供的一種基于移動終端的安全認證服務平臺系統(tǒng)，其包括 移動終端和網(wǎng)絡應用系統(tǒng)，還包括安全認證服務平臺裝置，用于接收來自網(wǎng)絡應用系統(tǒng)的 安全認證請求，對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗證；在校驗和 驗證通過后將安全認證請求提交給移動終端進行數(shù)字簽名，并對移動終端數(shù)字簽名進行驗 證；在驗證通過后將數(shù)字簽名結(jié)果和時間戳返回給網(wǎng)絡應用系統(tǒng)。 較佳地，所述移動終端包括至少一簽名服務客戶端，用于根據(jù)安全認證服務平臺
裝置的請求，利用安全認證請求的內(nèi)容，在通過移動終端輸入私鑰密碼并判斷私鑰密碼無
誤后，利用其存儲的私鑰進行數(shù)字簽名，并將簽名結(jié)果提交給安全認證服務平臺裝置。 較佳地，所述網(wǎng)絡應用系統(tǒng)包括至少一個接口模塊，用于向安全認證服務裝置觸
發(fā)安全認證服務請求獲取任務號，根據(jù)任務號向安全認證服務裝置提交安全認證服務請求
并偵測得到數(shù)字簽名的結(jié)果和時間戳，通知網(wǎng)絡應用系統(tǒng)相應的業(yè)務操作。 為實現(xiàn)本發(fā)明目的，還提供一種安全認證服務裝置，包括簽名服務器，簽名服務應
用網(wǎng)關(guān)，月艮務手機網(wǎng)關(guān)和CA認證中心，其中 所述簽名服務器，用于對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進 行驗證，以及對移動終端的數(shù)字簽名進行驗證； 所述簽名服務應用網(wǎng)關(guān)，是面向網(wǎng)絡應用系統(tǒng)的接入網(wǎng)關(guān)，用于接收來自網(wǎng)絡應
用系統(tǒng)的安全認證請求，以及向網(wǎng)絡應用系統(tǒng)提供數(shù)字簽名的結(jié)果和時間戳； 所述服務手機網(wǎng)關(guān)，是面向移動終端的接入網(wǎng)關(guān)，用于在簽名服務器通過安全認
證請求者的身份校驗后，將安全認證請求提交給移動終端進行數(shù)字簽名，并接收來自移動
終端的數(shù)字簽名結(jié)果； 所述CA認證中心，用于根據(jù)簽名服務器的請求對用戶的證書有效性和合法性進
行驗證，并在簽名服務器驗證數(shù)字簽名通過后，向該簽名服務器提供時間戳。 較佳地，所述的安全認證服務裝置，還包括注冊服務器，用于提供移動終端安全認
證服務業(yè)務的用戶注冊及應用注冊服務，進行用戶登記、注冊、確認、開通所述服務平臺系統(tǒng)。 更進一步地，為實現(xiàn)本發(fā)明目的，還提供一種基于移動終端的安全認證方法，包括 如下步驟 步驟A，在網(wǎng)絡應用系統(tǒng)中，在進行安全認證時，網(wǎng)絡應用系統(tǒng)的接口模塊向安全 認證服務裝置的簽名服務應用網(wǎng)關(guān)觸發(fā)安全認證服務請求，獲得相應任務號；
步驟B，接口模塊根據(jù)相應任務號，通過簽名應用服務網(wǎng)關(guān)向安全認證服務裝置中 的簽名服務器提交安全認證信息，并等待取回安全認證的反饋結(jié)果； 步驟C，簽名服務器提取用戶的注冊信息，對網(wǎng)絡應用系統(tǒng)的用戶身份進行校驗， 并請求所述安全認證服務裝置中的CA認證中心對其證書的有效性和合法性進行驗證；如 果獲得通過，則通過所述安全認證服務裝置中的服務手機網(wǎng)關(guān)提交給用戶的移動終端中的 客戶端進行數(shù)字簽名； 步驟D，移動終端中的客戶端在接到安全認證請求后，根據(jù)安全認證信息的內(nèi)容，輸入私鑰密碼，取出存放在移動終端中的的私鑰并進行數(shù)字簽名，將簽名的結(jié)果通過服務 手機網(wǎng)關(guān)提交給簽名服務器； 步驟E，簽名服務器對返回的數(shù)字簽名進行驗證，如果驗證通過，則從CA認證中心 獲取時間戳，將時間戳、數(shù)字簽名的結(jié)果提交給簽名服務應用網(wǎng)關(guān)； 步驟F，接口模塊偵測到所返回的時間戳和數(shù)字簽名的結(jié)果后，從簽名服務應用網(wǎng) 關(guān)中取回數(shù)字簽名的結(jié)果和時間戳，并在獲得數(shù)字簽名結(jié)果和時間戳后向簽名服務應用網(wǎng) 關(guān)返回回執(zhí)； 步驟G，接口模塊取回簽名服務結(jié)果和時間戳后，通知網(wǎng)絡應用系統(tǒng)可執(zhí)行交易或
通過身份鑒別，并將數(shù)字簽名和時間戳留存； 步驟H，網(wǎng)絡應用系統(tǒng)的安全認證過程結(jié)束。 較佳地，所述基于移動終端的安全認證方法，在步驟A之前，還包括如下步驟
步驟A'，通過注冊服務器，在用戶的移動終端上開通基于移動終端的安全認證服 務業(yè)務，并與需要提供安全認證的網(wǎng)絡應用系統(tǒng)通過安全認證服務平臺裝置進行捆綁綁 定。 本發(fā)明的有益效果本發(fā)明的基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方 法，以移動終端為簽名載體，通過構(gòu)建一系列的安全組件形成安全認證的服務平臺系統(tǒng)，徹 底消除利用計算機進行安全認證，包括身份鑒別和數(shù)字簽名服務所帶來的安全隱患，同時， 盡可能的減少身份鑒別和數(shù)字簽名服務帶來的額外開銷，可以為計算機網(wǎng)絡應用系統(tǒng)提供 商提供基于移動終端的安全認證，包括數(shù)字簽名和身份鑒別服務，確保計算機網(wǎng)絡應用系 統(tǒng)身份鑒別的安全性和交易的不可否認性，是一種全新的安全認證系統(tǒng)和方法，既方便快 捷、成本低廉，又安全有效。


圖1是本發(fā)明實施例基于移動終端的安全認證服務平臺系統(tǒng)結(jié)構(gòu)示意圖；
圖2是本發(fā)明實施例基于移動終端的安全認證方法流程圖； 圖3是本發(fā)明實施例網(wǎng)上銀行系統(tǒng)的基于移動終端的安全認證方法中用戶注冊 過程流程圖； 圖4是本發(fā)明實施例網(wǎng)上銀行系統(tǒng)的基于移動終端的安全認證方法中密鑰生成 過程流程圖； 圖5是本發(fā)明實施例網(wǎng)上銀行系統(tǒng)的基于移動終端的安全認證方法中簽名過程 流程圖。
具體實施例方式
為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點更加清楚明白，以下結(jié)合附圖及實施例，對
本發(fā)明的一種基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法進行進一步詳細說明。
應當理解，此處所描述的具體實施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。 本發(fā)明的基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法以現(xiàn)有的密碼技術(shù)
和公鑰基礎(chǔ)設施(Public Key Infrastructure, PKI)技術(shù)為基礎(chǔ)，以移動終端3為安全認
證包括數(shù)字簽名和身份鑒別的載體和工具，通過一系列的安全組件分工協(xié)作形成的安全認
6證服務平臺系統(tǒng)，對現(xiàn)有的網(wǎng)絡應用系統(tǒng)的業(yè)務操作，根據(jù)請求而進行安全認證服務。
在本發(fā)明實施例中，如圖l所示，本發(fā)明的基于移動終端的安全認證服務平臺系 統(tǒng)，包括移動終端3，安全認證服務平臺裝置2(Mobile Sure Service System, MSSS)，以及 網(wǎng)絡應用系統(tǒng)1 : 所述移動終端3包括至少一簽名服務客戶端31(Mobile Signature Agent，MSA)， 所述簽名服務客戶端31 (MSA)，用于根據(jù)安全認證服務平臺裝置2(MSSS)的請求，利用安全 認證請求的內(nèi)容，在通過移動終端3輸入私鑰密碼即ftPIN并判斷私鑰密碼無誤后，利用其 存儲的私鑰進行數(shù)字簽名，并將簽名結(jié)果提交給安全認證服務平臺裝置2(MSSS)。
簽名服務客戶端31 (MSA)根據(jù)安全認證的請求，通過安全認證請求中包含的認證 請求的內(nèi)容，再通過移動終端3的顯示屏，在移動終端3上顯示出要求用戶輸入私鑰密碼 即ftPIN，在用戶根據(jù)顯示屏的要求，利用移動終端3輸入了私鑰密碼即ftPIN并接收后，與 簽名服務客戶端31(MSA)中已經(jīng)存儲的私鑰密碼進行對比判斷，如果輸入私鑰密碼即#PIN 正確，則從簽名服務客戶端31 (MSA)中取出私鑰進行安全認證；如果輸入的私鑰密碼#PIN 不正確，則返回顯示屏顯示要求用戶再次輸入；如果輸入私鑰密碼不正確的次數(shù)已經(jīng)超過 3次，則直接向安全認證服務裝置(MSSS)返回認證失敗的結(jié)果。 所述簽名服務客戶端31 (MSA)可以內(nèi)置多種對稱、非對稱、哈希(HASH)、隨機數(shù)安 全認證算法；并在用戶注冊時，進行相關(guān)算法的密鑰對產(chǎn)生、向安全認證服務裝置提交證書 簽發(fā)申請、私鑰密碼即ftPIN生成等服務，并管理私鑰密碼的生命周期。
較佳地，所述簽名服務客戶端31 (MSA)，依據(jù)"所見及所簽"進行數(shù)字簽名。
所述安全認證服務裝置(MSSS)，用于接收來自網(wǎng)絡應用系統(tǒng)1的安全認證請求， 對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗證；在校驗和驗證通過后將 安全認證請求提交給移動終端3進行數(shù)字簽名，并對移動終端3數(shù)字簽名進行驗證；在驗證 通過后將數(shù)字簽名結(jié)果和時間戳返回給網(wǎng)絡應用系統(tǒng)1。 所述網(wǎng)絡應用系統(tǒng)1包括至少一個接口模塊ll，用于向安全認證服務裝置(MSSS)
觸發(fā)安全認證服務請求獲取任務號，根據(jù)任務號向安全認證服務裝置提交安全認證服務請
求并偵測得到數(shù)字簽名的結(jié)果和時間戳，通知網(wǎng)絡應用系統(tǒng)1相應的業(yè)務操作。 所述接口模塊11是在網(wǎng)絡應用系統(tǒng)1中嵌入移動終端安全認證服務接口程序模
塊，使得網(wǎng)絡應用系統(tǒng)1能夠與安全認證服務裝置(MSSS)，獲得移動終端3安全認證服務。 所述移動終端3可以是各種移動通信終端，如GSM手機、CDMA手機、3G手機等，也
可以是各種手持終端，如PDA終端等。 較佳地，所述安全認證服務裝置(MSSS)包括簽名服務器21 (Signature ServiceServer， SSS)，簽名服務應用網(wǎng)關(guān)22 (Signature Service Gateway, SSG)，服務手機 網(wǎng)關(guān)23 (Signature Service Connector, SSC)禾口 CA認證中心24 (Certif icateAuthority， CA)。 所述簽名服務器21 (SSS)，是本發(fā)明實施例中安全認證服務裝置(MSSS)的核心部 件，用于對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗證，以及對移動終端 3的數(shù)字簽名進行驗證。 所述簽名服務應用網(wǎng)關(guān)22(SSG)，是面向網(wǎng)絡應用系統(tǒng)1的接入網(wǎng)關(guān)，用于接收來 自網(wǎng)絡應用系統(tǒng)1的安全認證請求，以及向網(wǎng)絡應用系統(tǒng)1提供數(shù)字簽名的結(jié)果和時間戳。
7
簽名服務應用網(wǎng)關(guān)22(SSG)接受來自不同提供商的不同網(wǎng)絡應用系統(tǒng)1的安全認 證請求服務，可根據(jù)網(wǎng)絡應用系統(tǒng)1的不同采取不同的接入方式，其功能包括網(wǎng)絡應用系 統(tǒng)1的數(shù)字簽名服務接入，接受來自應用系統(tǒng)的數(shù)字簽名服務請求，提供數(shù)字簽名服務結(jié) 果。 所述服務手機網(wǎng)關(guān)23(SSC)，是面向移動終端3的接入網(wǎng)關(guān)，用于在簽名服務器 21(SSS)通過安全認證請求者的身份校驗后，將安全認證請求提交給移動終端3進行數(shù)字 簽名，并接收來自移動終端3的數(shù)字簽名結(jié)果。 服務手機網(wǎng)關(guān)23(SSC)提供簽名服務器21(SSS)與移動終端3的簽名服務客戶 端31 (MSA)之間的安全通信管理，其可以根據(jù)不同的情況提供多種通信模式，如SMS、 WAP、 USSD等，并在用戶注冊時向簽名服務客戶端31提供注冊認證服務。 所述CA認證中心24 (CA)，用于根據(jù)簽名服務器21的請求對用戶的證書有效性和 合法性進行驗證，并在簽名服務器21驗證數(shù)字簽名通過后，向該簽名服務器21提供時間 戳。 所述CA認證中心24是安全認證服務平臺系統(tǒng)的支撐性基礎(chǔ)設施，其還在用戶注 冊時提供證書簽發(fā)與證書管理服務，提供加密密鑰生成服務等。 較佳地，所述安全認證服務平臺裝置2(MSSS)，還包括注冊服務器 25(MobileRegistration Server, MRS)，用于提供移動終端安全認證服務業(yè)務的用戶注冊 及應用注冊服務，進行用戶登記、注冊、確認、開通服務平臺系統(tǒng)。 其提供移動終端3的用戶信息的登記、審核與錄入；并提交注冊信息給簽名服務 器21 (SSS)及移動終端3進行密鑰生成和證書生產(chǎn)；提供證書的生命周期管理；提供網(wǎng)絡 應用系統(tǒng)1數(shù)字簽名與身份鑒別服務業(yè)務的開通綁定與管理。 本發(fā)明實施例的基于移動終端的安全認證服務平臺系統(tǒng)，以移動終端3為簽名載
體，通過構(gòu)建一系列的安全組件形成安全認證的服務平臺系統(tǒng)，徹底消除利用計算機進行
安全認證所帶來的安全隱患，同時，盡可能的減少身份鑒別和數(shù)字簽名服務帶來的額外開
銷，并確保計算機網(wǎng)絡應用系統(tǒng)1身份鑒別的安全性和交易的不可否認性。 下面詳細說明與該安全認證服務平臺相對應的一種基于移動終端的安全認證方
法的具體實施方式
。 對使用網(wǎng)絡應用系統(tǒng)l的用戶而言，在進行網(wǎng)絡應用系統(tǒng)l的業(yè)務操作，進行身份 鑒別或者敏感交易等而需要進行安全認證時，可以利用基于移動終端的安全認證服務平臺 系統(tǒng)，通過移動終端3進行安全認證。 本發(fā)明實施例的基于移動終端的安全認證方法，如圖2所示，包括如下步驟
步驟S1，在網(wǎng)絡應用系統(tǒng)1中，進行身份鑒別或者敏感交易而需要進行安全認證 時，網(wǎng)絡應用系統(tǒng)l中的接口模塊ll向安全認證服務裝置(MSSS)的簽名服務應用網(wǎng)關(guān) 22(SSG)觸發(fā)安全認證服務請求，獲得相應任務號； 步驟S2，接口模塊11根據(jù)相應任務號，通過簽名應用服務網(wǎng)關(guān)(SSG)向安全認證 服務裝置(MSSS)中的簽名服務器21(SSS)提交安全認證信息，并等待取回安全認證的反饋 結(jié)果。 步驟S3，簽名服務器21 (SSS)從注冊服務器25中提取用戶的注冊信息，對網(wǎng)絡 應用系統(tǒng)1的用戶身份進行校驗，并請求CA認證中心24對其證書的有效性和合法性進行驗證；如果獲得通過，則通過服務手機網(wǎng)關(guān)23(SSC)提交給用戶的移動終端3中的客戶端 (MSA)進行數(shù)字簽名； 步驟S4，如果不能通過，則安全認證失敗，向網(wǎng)絡應用系統(tǒng)1返回判斷失敗的結(jié) 果，安全認證結(jié)束； 步驟S5，移動終端3中的客戶端(MSA)在接到安全認證請求后，根據(jù)安全認證信息 的內(nèi)容，依據(jù)"所見即所簽"，輸入私鑰密碼即ftPIN，取出存放在移動終端3中的私鑰并進行 數(shù)字簽名，將簽名的結(jié)果通過服務手機網(wǎng)關(guān)23(SSC)提交給簽名服務器21(SSS);
步驟S6，簽名服務器21(SSS)對返回的數(shù)字簽名進行驗證，如果驗證通過，則從CA 認證中心24獲取時間戳，將時間戳、數(shù)字簽名的結(jié)果提交給簽名服務應用網(wǎng)關(guān)22(SSG);
步驟S7，如果驗證沒有通過，則向網(wǎng)絡應用系統(tǒng)1返回驗證失敗的結(jié)果，安全認證 結(jié)束； 步驟S8，網(wǎng)絡應用系統(tǒng)1中的接口模塊11偵測到所返回的時間戳和數(shù)字簽名的結(jié) 果后，從簽名服務應用網(wǎng)關(guān)22 (SSG)中取回數(shù)字簽名的結(jié)果和時間戳，并在獲得數(shù)字簽名 結(jié)果和時間戳后向簽名服務應用網(wǎng)關(guān)22(SSG)返回回執(zhí)； 步驟S9，接口模塊11取回簽名服務結(jié)果和時間戳后，通知網(wǎng)絡應用系統(tǒng)1可執(zhí)行 交易或通過身份鑒別，并將數(shù)字簽名和時間戳留存；
步驟SIO，網(wǎng)絡應用系統(tǒng)1的安全認證過程結(jié)束。
較佳地，所述步驟Sl之前，還包括下列步驟 步驟S0，通過注冊服務器25 (MRS)，在用戶的移動終端3上開通基于移動終端的安 全認證服務業(yè)務，并與需要提供安全認證的網(wǎng)絡應用系統(tǒng)1通過安全認證服務平臺裝置2 進行捆綁綁定。 首先，在用戶的移動終端3中配置具有相應密碼算法、密鑰生成、數(shù)字簽名等安全 認證的客戶端； 然后，通過移動終端3中的客戶端，注冊服務器25請求登記用戶信息，包括用戶名 和相應的號碼(如手機號碼)，并請求客戶端根據(jù)這些用戶信息進行密鑰對生成；
其次，在密鑰生成時，注冊服務器25要求用戶輸入私鑰密碼即ftPIN碼并保存在客 戶端，以保護所生成的私鑰， 而后，與網(wǎng)絡應用系統(tǒng)1進行捆綁，客戶端將私鑰保存在客戶端，并將公鑰傳遞給 網(wǎng)絡應用系統(tǒng)1的接口模塊11，以便能夠進行安全認證；
最后，在捆綁成功后，網(wǎng)絡系統(tǒng)返回注冊成功信息。 下面以移動通信終端(手機)為銀行的網(wǎng)上銀行網(wǎng)絡應用系統(tǒng)1 (eBanking)提供 交易確認的數(shù)字簽名服務為例進行具體實施例的說明 作為一種可實施方式，在通信運行商的通信網(wǎng)絡中部署安全認證服務裝置(MSSS) 的注冊服務器25 (MRS)、簽名服務器21 (SSS)、服務應用網(wǎng)關(guān)(SSG)、服務手機網(wǎng)關(guān)23 (SSC)、 以及CA認證中心24，與網(wǎng)絡應用系統(tǒng)1即網(wǎng)上銀行系統(tǒng)連接，和通信運營商的移動通信終 端組成一基于移動終端的安全認證服務平臺系統(tǒng)。 作為一種可實施方式，可將上述五個組件分別安裝在五臺獨立的計算機服務器 上，該計算機上運行支撐的操作系統(tǒng)可以是MS Windows、UNIX、LINUX，也可以是其他操作系 統(tǒng)，分別安裝五個組件的五臺獨立計算機服務器間，采用TCP/IP+SSL安全通信協(xié)議進行通信和傳遞數(shù)據(jù)； 步驟S100，部署基于移動通信終端的安全認證服務平臺系統(tǒng)； 所述步驟S100包括如下步驟 步驟SllO，用通信運營商的根證書初始化CA認證中心24 ; 步驟S120，從通信運營商的通信系統(tǒng)中獲取準確時間，提供時間戳服務； 步驟S130，為簽名服務器21 (SSS)、注冊服務器25 (MRS)和CA認證中心24分配內(nèi)
部IP地址；為服務應用網(wǎng)關(guān)(SSG)、服務手機網(wǎng)關(guān)23(SSC)分配IP地址； 步驟S140，將服務手機網(wǎng)關(guān)23(SSC)與運營商的ISMG、USSDC、WAPGW進行連接，分
別建立與手機的三條通信通道SMS、 WAP、 USSD，并分配相應的服務號碼。 步驟S200，設置接口模塊ll，在網(wǎng)絡應用系統(tǒng)1進行相應操作，如轉(zhuǎn)賬交易、代繳
費交易、身份鑒別等環(huán)節(jié)，進行安全信息認證時，通過移動通信終端進行安全認證； 作為一種可實施方式，可設置接口模塊11的接口程序模塊為 (SigFlag， SignID， StartTimeStamp) = MSS(AppID， AppUID， NeedSignTxt); ToMSSPFlag = Save(SignID， SigFlag， SignedTxt， SignedTimeStamp，
endTimeSt咖p); 該程序模塊執(zhí)行的過程為 提交參數(shù)AppID， AppUID， NeedSignTxt ; 獲得SSG分配的簽名服務任務號SignID ; 簽名結(jié)果偵測輪詢定期向SSG查詢?nèi)蝿仗枮镾ignID的簽名服務結(jié)果情況； 如果失敗則返回失敗標記SigFlag = 1，結(jié)束交易或者流程； 如果簽名成功，則從SSG獲取SignedTxt， SignedTimeStamp ; 繼續(xù)處理業(yè)務流程，存儲簽名結(jié)果(SignedTxt, SignedTimeStamp); 給SSG發(fā)送簽名成功標記Flag = 8 ; 其中， SignID :應用請求簽名服務的任務號； AppID :應用系統(tǒng)的ID，由MRS定義； A卯UID :應用系統(tǒng)中的用戶ID，在MRS進行登記綁定； NeedSignTxt :應用系統(tǒng)提交的需要簽名的文本內(nèi)容； StartTimeStamp :應用系統(tǒng)提交簽名服務起始時間； SigFlag :SSG處理簽名服務的狀態(tài)標記，9-簽名服務尚未結(jié)束；l-簽名服務結(jié)束，
簽名失敗；0-簽名服務結(jié)束，簽名成功；8-應用存儲簽名成功； SignedTxt :簽名結(jié)果數(shù)據(jù)； SignedTimeStamp :CA提供的簽名時間戳； endTimeStamp :簽名結(jié)束時間。 步驟S300，擁有網(wǎng)上銀行業(yè)務帳號的客戶，利用其移動通信終端，在注冊服務器 25 (MRS)中進行用戶注冊； 所述步驟S300，如圖3所示，包括如下步驟 步驟S310，填寫用戶信息等、錄入、審核、批準； 作為一種可實施方式，首先用戶填寫申請表，包括0115: 0116: o"7: om: o"9: 0120: 0121:
0122: 0123: 0124: 0125: 0126: 0127: 0128: 0129:
0130: 0131:
0132: 0133: 0134: 0135: 0136: 0137: 0138'
身份信息國家，省市，區(qū)縣、地址； 姓名，性別； 手機電話； 郵件地址；
開通應用信息應用名稱，使用的ID， 私鑰備份選項備份/不備份 然后進行注冊信息錄入； 身份信息國家，省市，區(qū)縣、地址； 姓名，性別； 手機電話； 郵件地址；
開通應用信息應用名稱，使用的ID， 私鑰備份選項備份/不備份 審核員對注冊信息進行審核； 身份信息國家，省市，區(qū)縣、地址； 姓名，性別； 手機電話； 郵件地址；
開通應用信息應用名稱，使用的ID，......
私鑰備份選項備份/不備份 審核通過，則批準。
步驟S320，在通過用戶審核后，進行移動通信終端的號碼測試，在測試成功后，提
交注冊信息給移動通信終端，進行密鑰對生成；
0139, 0140: 0141: 0142'
作為一種可實施方式，如圖4所示，所述密鑰對生成包括如下步驟 步驟S321，檢查用戶信息有效性；
步驟S322，確定非對稱算法生成密鑰對，隨機生成原始密鑰對(SKO，PKO);
步驟S323，將PkO提交給CA用根證書私鑰進行簽名SignedPK = Sign (PkO，
Skroot)，用CA根證書的公鑰進行簽名驗證res = VA(SignedPK， Pkroot);
步驟S324，用#PIN碼保護SKO形成SK ; 步驟S325，將PKO， Userlnfo， SignedPK進行封裝成PK ; 步驟S326，將SK提交給CA備份；將PK提交給LDAP及OCSP數(shù)據(jù)庫； 步驟S327，回復SSS及MRS密鑰生成成功。
步驟S330，移動通信終端在接到注冊信息(如注冊短信)后，確認是否注冊安全認 正服務業(yè)務；在確認需要注冊后，注冊服務器25 (MRS)要求用戶輸入ftPIN碼； 0148] 較佳地，要求用戶輸入#PIN碼兩遍并確認。
0149] 步驟S340，移動通信終端中的客戶端將私鑰保存在客戶端，并將公鑰傳遞給網(wǎng)絡 應用系統(tǒng)1的接口模塊11，向移動通信終端返回確認注冊成功的信息，則可以通過移動通
0143: 0144: 0145: 0146: 0147'服務業(yè)務。 作為一種可實施方式，如果申請私鑰備份標記為備份，則將私鑰托管保存在KMC 數(shù)據(jù)庫中，將公鑰證書發(fā)布到網(wǎng)絡應用系統(tǒng)1的LDAP/0CSP數(shù)據(jù)庫； 在SSP/SSC/SSG/MRS上均保存工作記錄，向注冊服務器25返回注冊成功標記，注 冊成功。 步驟S400，在用戶進行網(wǎng)上銀行業(yè)務操作，進行身份鑒別時，通過網(wǎng)上銀行系統(tǒng)，
利用移動通信終端，進行身份鑒別。 所述步驟S400包括下列步驟 步驟S410，進入網(wǎng)上銀行網(wǎng)頁，鍵入網(wǎng)上銀行帳號或者信用卡號碼； 步驟S420，網(wǎng)上銀行系統(tǒng)要求進行身份鑒別等安全認證，在輸入傳統(tǒng)的密碼后，利
用移動通信終端，進行安全認證； 步驟S430，網(wǎng)上銀行系統(tǒng)通過接口模塊ll，將網(wǎng)上銀行系統(tǒng)的ID、用戶的帳號信 息等用戶信息發(fā)送給服務應用網(wǎng)關(guān)(SSG)，請求觸發(fā)移動通信終端進行安全認證，獲取任務 號； 步驟S440，接口模塊11根據(jù)任務號，通過簽名應用服務網(wǎng)關(guān)(SSG)向安全認證服 務裝置(MSSS)中的簽名服務器21(SSS)提交安全認證信息，簽名服務器21(SSS)利用注冊 服務器25(MRS)中用戶注冊信息，對網(wǎng)上銀行系統(tǒng)的用戶身份進行校驗，并將網(wǎng)上銀行系 統(tǒng)用戶名轉(zhuǎn)換成相對應的用戶手機號碼，要求CA認證中心24對該號碼所有者的證書進行 有效性和合法性進行驗證；校驗和驗證通過后，通過服務手機網(wǎng)關(guān)23(SSC)提交給用戶移 動通信終端進行數(shù)字簽名認證； 如果不能通過，則判斷失敗，向網(wǎng)絡應用系統(tǒng)1返回判斷失敗的結(jié)果，安全認證結(jié) 束； 步驟S450，移動通信終端接到網(wǎng)上銀行系統(tǒng)通過服務手機網(wǎng)關(guān)23(SSC)發(fā)送來的
用戶信息后，對該信息進行數(shù)字簽名，輸入私鑰密碼即ftPIN碼，解開私鑰，完成數(shù)字簽名，
將數(shù)字簽名的結(jié)果通過服務手機網(wǎng)關(guān)23(SSC)提交給簽名服務器21(SSS); 步驟S460，簽名服務器21對該數(shù)字簽名進行有效性驗證，在驗證通過后，從CA認
證中心24獲取時間戳，將簽名結(jié)果和時間戳提交給服務應用網(wǎng)關(guān)(SSG); 如果驗證沒有通過，則向網(wǎng)絡應用系統(tǒng)1返回驗證失敗的結(jié)果，安全認證結(jié)束； 步驟S470，服務應用網(wǎng)關(guān)(SSG)通知接口模塊11取回數(shù)字簽名和時間戳，接口模
塊11在收到數(shù)字簽名和時間戳后，返回接收成功的確認信息； 步驟S480，接口模塊ll取回數(shù)字簽名和時間戳后，確認身份鑒別通過，用戶進入
網(wǎng)上銀行系統(tǒng)，可進行網(wǎng)上銀行操作，同時，接口模塊11將數(shù)字簽名存儲。 步驟S500，在用戶進行網(wǎng)上銀行業(yè)務操作，利用數(shù)字簽名進行交易時，通過網(wǎng)上銀
行系統(tǒng)，利用移動通信終端，進行數(shù)字簽名。 所述步驟S500，如圖5所示，包括如下步驟 步驟S510，用戶在進入網(wǎng)上銀行系統(tǒng)的業(yè)務操作系統(tǒng)后，進行相應的業(yè)務操作，如
進入轉(zhuǎn)帳業(yè)務系統(tǒng)，進行轉(zhuǎn)帳操作，則用戶鍵入轉(zhuǎn)出帳號XXXX XXXXX XXXXX XX;轉(zhuǎn)入帳
號-yyyy yyyyy yyyyy yy 金額-2500元； 步驟S520，網(wǎng)上銀行系統(tǒng)要求進行移動通信終端的數(shù)字簽名確認，觸發(fā)一個數(shù)
12字簽名服務請求，要求對相應業(yè)務操作信息進行數(shù)字簽名，如對上述"轉(zhuǎn)出帳號xxxx xxxxxxxxxx xx ;轉(zhuǎn)入帳號yyyy yyyyy yyyyy yy ;金額2500元"進行移動通信終端數(shù)字 簽名； 步驟S530，網(wǎng)上銀行系統(tǒng)通過接口模塊ll，將相應業(yè)務操作信息，如上述"轉(zhuǎn)出帳 號xxxx xxxxx xxxxx xx ;轉(zhuǎn)入帳號yyyy yyyyy yyyyy yy ;金額2500元"轉(zhuǎn)帳業(yè)務操作 信息發(fā)送給服務應用網(wǎng)關(guān)(SSG)請求進行數(shù)字簽名服務； 步驟S540，服務應用網(wǎng)關(guān)(SSG)將相應業(yè)務操作信息提交給簽名服務器 21(SSS); 步驟S550，簽名服務器21(SSS)利用注冊服務器25 (MRS)中用戶注冊信息對用戶
身份進行校驗，并將進行本次網(wǎng)上銀行業(yè)務操作的用戶名轉(zhuǎn)換成相對應的用戶手機號碼，
要求CA認證中心24對該號碼所有者的證書進行有效性和合法性進行驗證，在校驗和驗證
通過后，通過服務手機網(wǎng)關(guān)23(SSC)提交給用戶移動通信終端進行數(shù)字簽名； 步驟S560，用戶移動通信終端接到相應業(yè)務操作信息后，依據(jù)"所見即所簽"的原
則，對該信息進行數(shù)字簽名，輸入#PIN碼，解開私鑰，完成數(shù)字簽名過程，將數(shù)字簽名結(jié)果
通過服務手機網(wǎng)關(guān)23(SSC)提交給簽名服務器21(SSS); 步驟S570，簽名服務器21(SSS)對該數(shù)字簽名進行有效性驗證，驗證通過后，從CA 認證中心24獲取時間戳，將數(shù)字簽名結(jié)果和時間戳提交給服務應用網(wǎng)關(guān)(SSG);
步驟S580，服務應用網(wǎng)關(guān)(SSG)通過接口模塊11取回數(shù)字簽名和時間戳，接口模 塊11在收到數(shù)字簽名和時間戳后，返回接收成功信息； 步驟S590，接口模塊ll取回數(shù)字簽名和時間戳后，確認可以進行網(wǎng)上銀行交易操 作，并將數(shù)字簽名和時間戳存儲備查。 本發(fā)明實施例中的基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法，以密碼 技術(shù)和PKI技術(shù)為基礎(chǔ)，以移動終端3為簽名載體，通過構(gòu)建一系列的安全組件形成安全 認證的服務平臺系統(tǒng)，徹底消除利用計算機進行安全認證，包括身份鑒別和數(shù)字簽名服務 所帶來的安全隱患，同時，盡可能的減少身份鑒別和數(shù)字簽名服務帶來的額外開銷，可以為 計算機網(wǎng)絡應用系統(tǒng)1提供商提供基于移動終端的安全認證，包括數(shù)字簽名和身份鑒別服 務，確保計算機網(wǎng)絡應用系統(tǒng)1身份鑒別的安全性和交易的不可否認性，是一種全新的安 全認證系統(tǒng)和方法，既方便快捷、成本低廉，又安全有效。 最后應當說明的是，很顯然，本領(lǐng)域的技術(shù)人員可以對本發(fā)明進行各種改動和變 型而不脫離本發(fā)明的精神和范圍。這樣，倘若本發(fā)明的這些修改和變型屬于本發(fā)明權(quán)利要 求及其等同技術(shù)的范圍之內(nèi)，則本發(fā)明也意圖包含這些改動和變型。
權(quán)利要求
一種基于移動終端的安全認證服務平臺系統(tǒng)，包括移動終端和網(wǎng)絡應用系統(tǒng)，其特征在于，還包括安全認證服務平臺裝置，用于接收來自所述網(wǎng)絡應用系統(tǒng)的安全認證請求，對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗證；在校驗和驗證通過后將所述安全認證請求提交給所述移動終端進行數(shù)字簽名，并對所獲得的移動終端數(shù)字簽名進行驗證；在驗證通過后將數(shù)字簽名結(jié)果和時間戳返回給所述網(wǎng)絡應用系統(tǒng)。
2. 根據(jù)權(quán)利要求1所述的基于移動終端的安全認證服務平臺系統(tǒng)，其特征在于，所述 移動終端包括至少一簽名服務客戶端，用于根據(jù)安全認證服務平臺裝置的請求，利用安全 認證請求的內(nèi)容，在通過所述移動終端輸入私鑰密碼并判斷私鑰密碼無誤后，利用其存儲 的私鑰進行數(shù)字簽名，并將簽名結(jié)果提交給所述安全認證服務平臺裝置。
3. 根據(jù)權(quán)利要求1或2所述的基于移動終端的安全認證服務平臺系統(tǒng)，其特征在于，所 述網(wǎng)絡應用系統(tǒng)包括至少一個接口模塊，用于向所述安全認證服務裝置觸發(fā)安全認證服務 請求獲取任務號，根據(jù)所獲得的任務號向所述安全認證服務裝置提交安全認證服務請求并 偵測得到數(shù)字簽名的結(jié)果和時間戳，通知所述網(wǎng)絡應用系統(tǒng)相應的業(yè)務操作。
4. 根據(jù)權(quán)利要求3所述的基于移動終端的安全認證服務平臺系統(tǒng)，其特征在于，所述 安全認證服務裝置包括簽名服務器，簽名服務應用網(wǎng)關(guān)，服務手機網(wǎng)關(guān)和CA認證中心，其 中所述簽名服務器用于對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗 證，以及對移動終端的數(shù)字簽名進行驗證；所述簽名服務應用網(wǎng)關(guān)是面向網(wǎng)絡應用系統(tǒng)的接入網(wǎng)關(guān)，用于接收來自網(wǎng)絡應用系統(tǒng) 的安全認證請求，以及向網(wǎng)絡應用系統(tǒng)提供數(shù)字簽名的結(jié)果和時間戳；所述服務手機網(wǎng)關(guān)是面向所述移動終端的接入網(wǎng)關(guān)，用于在所述簽名服務器通過安全 認證請求者的身份校驗后，將安全認證請求提交給所述移動終端進行數(shù)字簽名，并接收來 自所述移動終端的數(shù)字簽名結(jié)果；所述CA認證中心用于根據(jù)所述簽名服務器的請求對用戶的證書有效性和合法性進行 驗證，并在所述簽名服務器驗證數(shù)字簽名通過后，向所述簽名服務器提供時間戳。
5. 根據(jù)權(quán)利要求4所述的基于移動終端的安全認證服務平臺系統(tǒng)，其特征在于，所述 安全認證服務裝置還包括注冊服務器，用于提供移動終端安全認證服務業(yè)務的用戶注冊及 應用注冊服務，進行用戶登記、注冊、確認、開通所述服務平臺系統(tǒng)。
6. —種安全認證服務裝置，其特征在于，包括簽名服務器，簽名服務應用網(wǎng)關(guān)，服務手 機網(wǎng)關(guān)和CA認證中心，其中所述簽名服務器用于對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗 證，以及對移動終端的數(shù)字簽名進行驗證；所述簽名服務應用網(wǎng)關(guān)是面向網(wǎng)絡應用系統(tǒng)的接入網(wǎng)關(guān)，用于接收來自網(wǎng)絡應用系統(tǒng) 的安全認證請求，以及向網(wǎng)絡應用系統(tǒng)提供數(shù)字簽名的結(jié)果和時間戳；所述服務手機網(wǎng)關(guān)是面向所述移動終端的接入網(wǎng)關(guān)，用于在所述簽名服務器通過安全 認證請求者的身份校驗后，將安全認證請求提交給所述移動終端進行數(shù)字簽名，并接收來 自所述移動終端的數(shù)字簽名結(jié)果；所述CA認證中心用于根據(jù)所述簽名服務器的請求對用戶的證書有效性和合法性進行 驗證，并在所述簽名服務器驗證數(shù)字簽名通過后，向所述簽名服務器提供時間戳。
7. 根據(jù)權(quán)利要求6所述的安全認證服務裝置，其特征在于，還包括注冊服務器，所述 注冊服務器用于提供移動終端安全認證服務業(yè)務的用戶注冊及應用注冊服務，進行用戶登 記、注冊、確認、開通所述服務平臺系統(tǒng)。
8. —種基于移動終端的安全認證方法，其特征在于，包括如下步驟步驟A，在網(wǎng)絡應用系統(tǒng)中，在進行安全認證時，網(wǎng)絡應用系統(tǒng)的接口模塊向安全認證 服務裝置的簽名服務應用網(wǎng)關(guān)觸發(fā)安全認證服務請求，獲得相應任務號；步驟B，所述接口模塊根據(jù)相應任務號，通過所述簽名應用服務網(wǎng)關(guān)向所述安全認證服 務裝置中的簽名服務器提交安全認證信息，并等待取回安全認證的反饋結(jié)果；步驟C，所述簽名服務器提取用戶的注冊信息，對所述網(wǎng)絡應用系統(tǒng)的用戶身份進行校 驗，并請求所述安全認證服務裝置中的CA認證中心對其證書的有效性和合法性進行驗證； 如果獲得通過，則通過所述安全認證服務裝置中的服務手機網(wǎng)關(guān)提交給用戶的移動終端中 的客戶端進行數(shù)字簽名；步驟D，所述客戶端在接到安全認證請求后，根據(jù)安全認證信息的內(nèi)容，輸入私鑰密碼， 取出存放在所述移動終端中的的私鑰并進行數(shù)字簽名，將簽名的結(jié)果通過所述服務手機網(wǎng) 關(guān)提交給所述簽名服務器；步驟E，所述簽名服務器對返回的數(shù)字簽名進行驗證，如果驗證通過，則從所述CA認證 中心獲取時間戳，將時間戳、數(shù)字簽名的結(jié)果提交給所述簽名服務應用網(wǎng)關(guān)；步驟F，所述接口模塊偵測到所返回的時間戳和數(shù)字簽名的結(jié)果后，從所述簽名服務應 用網(wǎng)關(guān)中取回數(shù)字簽名的結(jié)果和時間戳，并在獲得數(shù)字簽名結(jié)果和時間戳后向所述簽名服 務應用網(wǎng)關(guān)返回回執(zhí)；步驟G，所述接口模塊取回簽名服務結(jié)果和時間戳后，通知所述網(wǎng)絡應用系統(tǒng)可執(zhí)行交 易或通過身份鑒別，并將數(shù)字簽名和時間戳留存；步驟H，所述網(wǎng)絡應用系統(tǒng)的安全認證過程結(jié)束。
9. 根據(jù)權(quán)利要求8所述的基于移動終端的安全認證方法，其特征在于 在步驟C和步驟D之間，還包括如下步驟步驟C'，如果不能通過，則安全認證失敗，向網(wǎng)絡應用系統(tǒng)返回判斷失敗的結(jié)果，安全 認證結(jié)束；在步驟E和步驟F之間，還包括下列步驟步驟E'，如果驗證沒有通過，則向網(wǎng)絡應用系統(tǒng)返回驗證失敗的結(jié)果，安全認證結(jié)束。
10. 根據(jù)權(quán)利要求8或9所述的基于移動終端的安全認證方法，其特征在于，在步驟A 之前，還包括如下步驟步驟A'，通過注冊服務器，在用戶的移動終端上開通基于移動終端的安全認證服務業(yè) 務，并與需要提供安全認證的網(wǎng)絡應用系統(tǒng)通過所述安全認證服務平臺裝置進行捆綁綁 定。
全文摘要
本發(fā)明公開一種基于移動終端的安全認證服務平臺系統(tǒng)、裝置和方法。該系統(tǒng)包括移動終端和網(wǎng)絡應用系統(tǒng)，還包括安全認證服務平臺裝置，用于接收來自網(wǎng)絡應用系統(tǒng)的安全認證請求，對安全認證請求者的身份進行校驗，并對安全認證內(nèi)容進行驗證；在校驗和驗證通過后將安全認證請求提交給移動終端進行數(shù)字簽名，并對移動終端數(shù)字簽名進行驗證；在驗證通過后將數(shù)字簽名結(jié)果和時間戳返回給網(wǎng)絡應用系統(tǒng)。其是一種全新的安全認證系統(tǒng)和方法，既方便快捷、成本低廉，又安全有效。
文檔編號H04L29/06GK101765108SQ200910087630
公開日2010年6月30日 申請日期2009年7月1日 優(yōu)先權(quán)日2009年7月1日
發(fā)明者馬東平 申請人:北京華勝天成科技股份有限公司