一種終端用戶的私鑰保護(hù)方法和系統(tǒng)的制作方法
【專利摘要】本發(fā)明公開了一種終端用戶的私鑰保護(hù)方法和系統(tǒng)。該終端用戶的私鑰保護(hù)方法包括初始化步驟及訪問步驟；其中，初始化步驟包括：終端根據(jù)終端標(biāo)識、PIN碼及隨機(jī)數(shù)生成密鑰對，并將公鑰、終端標(biāo)識、PIN碼及隨機(jī)數(shù)發(fā)送至服務(wù)端；訪問步驟包括：終端向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)；服務(wù)端查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并抽取一圖形驗(yàn)證碼及其答案，然后加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)；終端對隨機(jī)數(shù)進(jìn)行解密，并生成密鑰對；終端對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)；服務(wù)端對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。實(shí)施本發(fā)明的技術(shù)方案，使得私鑰不容易被竊取和破解。
【專利說明】一種終端用戶的私鑰保護(hù)方法和系統(tǒng)
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及互聯(lián)網(wǎng)信息安全領(lǐng)域，尤其涉及一種終端用戶的私鑰保護(hù)方法和系統(tǒng)。
【背景技術(shù)】
[0002]眾所周知,用戶私鑰的保護(hù)是基于PKKPublic Key Infrastructure,公鑰基礎(chǔ)設(shè)施)體系加解密及簽名運(yùn)算有效性的基礎(chǔ)保證。而對于終端用戶軟證書來說，由于密鑰是以文件的方式保存在設(shè)備端的存儲介質(zhì)上，所以用戶私鑰的安全問題則尤為突出。目前用戶軟證書私鑰加密存儲通常采用以下方法:
1、以密鑰文件的形式保存在存儲器中，以一個(gè)固定的加密密鑰進(jìn)行加密存儲，需要訪問私鑰時(shí)則使用加密密鑰對該密鑰文件進(jìn)行解密后得到用戶私鑰；
2、將用戶設(shè)置的PIN碼作為因子計(jì)算后得到加密密鑰，該密鑰作為軟證書私鑰文件的加密密鑰，解密時(shí)也要求用戶輸入正確的PIN碼，通過運(yùn)算后得到與加密密鑰相同的解密密鑰后對軟證書私鑰文件進(jìn)行解密，最終得到用戶的私鑰。
[0003]然而,現(xiàn)有私鑰加密存儲方法存在的不足:
對于上述第一種方式，采用固定加密密鑰進(jìn)行軟證書密鑰文件加密，一旦攻擊者獲得存儲設(shè)備上的用戶密鑰文件后可以拷貝該密鑰文件到其它終端上進(jìn)行使用，同時(shí)固定加密密鑰容易被破解；
對于上述第二種方式，私鑰靠單一因子作為加密密鑰加密存儲在終端上，比如通過用戶PIN碼對用戶私鑰文件進(jìn)行加密，這樣攻擊者只要獲取了用戶PIN碼，就可以轉(zhuǎn)移密鑰文件到其它終端上使用，在安全上存在風(fēng)險(xiǎn)。
[0004]總之，單純采用基于單口令密碼的方式對終端上的用戶私鑰進(jìn)行加密存儲的方法存在安全上的脆弱性。

【發(fā)明內(nèi)容】

[0005]本發(fā)明要解決的技術(shù)問題在于，針對現(xiàn)有技術(shù)的上述用戶私鑰具有存儲安全和訪問安全上的脆弱性的缺陷，提供一種終端用戶的私鑰保護(hù)方法，使得私鑰不容易被竊取、破解。
[0006]本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是:構(gòu)造一種終端用戶的私鑰保護(hù)方法，包括:
初始化步驟；及 訪問步驟；其中，
所述初始化步驟包括:
Al.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所述密鑰對包括私鑰和公鑰，并將所述公鑰、所述終端標(biāo)識、所述PIN碼及所述隨機(jī)數(shù)發(fā)送至服務(wù)端；
A2.服務(wù)端保存所述公鑰、所述終端標(biāo)識、所述PIN碼、所述隨機(jī)數(shù)及其對應(yīng)關(guān)系； 所述訪問步驟包括:
B1.終端向服務(wù)端發(fā)送終端標(biāo)識，并向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)；
B2.服務(wù)端根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)；
B3.終端接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密；
B4.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對；
B5.終端根據(jù)步驟B4中所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)；
B6.服務(wù)端根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
[0007]在本發(fā)明所述的終端用戶的私鑰保護(hù)方法中，在所述步驟B2中，通過對稱加密算法加密所查到的隨機(jī)數(shù)。
[0008]在本發(fā)明所述的終端用戶的私鑰保護(hù)方法中，在所述步驟Al及步驟B4中，通過RSA算法或SM2算法生成密鑰對。
[0009]在本發(fā)明所述的終端用戶的私鑰保護(hù)方法中，終端與服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸。
[0010]在本發(fā)明所述的終端用戶的私鑰保護(hù)方法中，所述保護(hù)方法還包括:
掛失步驟:服務(wù)端接收掛失請求，并根據(jù)所述掛失請求停止訪問步驟。
[0011]本發(fā)明還構(gòu)造一種終端用戶的私鑰保護(hù)系統(tǒng)，包括終端和服務(wù)端，且所述終端包括密鑰對生成單元、請求單元、隨機(jī)數(shù)解密單元及簽名單元；所述服務(wù)端包括保存單元、隨機(jī)數(shù)加密單元及驗(yàn)證單元；其中，
在初始化時(shí)，
所述密鑰對生成單元，用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所述密鑰對包括私鑰和公鑰，并將所述公鑰、所述終端標(biāo)識、所述PIN碼及所述隨機(jī)數(shù)發(fā)送至服務(wù)端；
所述保存單元，用于保存所述公鑰、所述終端標(biāo)識、所述PIN碼、所述隨機(jī)數(shù)及其對應(yīng)關(guān)系;
在訪問時(shí)，
所述請求單元，用于向服務(wù)端發(fā)送終端標(biāo)識，并向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)；所述隨機(jī)數(shù)加密單元，用于根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)；
所述隨機(jī)數(shù)解密單元，用于接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密；
所述密鑰對生成單元，還用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對；
所述簽名單元，還用于根據(jù)所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)；
所述驗(yàn)證單元，用于根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
[0012]在本發(fā)明所述的終端用戶的私鑰保護(hù)系統(tǒng)中，所述隨機(jī)數(shù)加密單元通過對稱加密算法加密所查到的隨機(jī)數(shù)。
[0013]在本發(fā)明所述的終端用戶的私鑰保護(hù)系統(tǒng)中，所述密鑰對生成單元通過RSA算法或SM2算法生成密鑰對。
[0014]在本發(fā)明所述的終端用戶的私鑰保護(hù)系統(tǒng)中，所述終端與所述服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸。
[0015]在本發(fā)明所述的終端用戶的私鑰保護(hù)系統(tǒng)中，所述服務(wù)端還包括:
掛失單元，用于接收掛失請求，并根據(jù)所述掛失請求停止終端的訪問。
[0016]實(shí)施本發(fā)明的技術(shù)方案，由于用戶的私鑰每次使用都是動態(tài)生成的，而不是保存在終端側(cè)的，這樣便使得用戶私鑰不可能從終端竊取；而且，私鑰是根據(jù)PIN碼、終端標(biāo)識和保存在服務(wù)端的隨機(jī)數(shù)作為因子而生成的，而這三者同時(shí)獲取的難度非常大，因此用戶私鑰的破解難度非常大；另外，需要用戶提供圖形驗(yàn)證碼的答案、用戶PIN碼和終端標(biāo)識才能獲取服務(wù)端保存的隨機(jī)數(shù)，從而保證了服務(wù)端保存的隨機(jī)數(shù)的安全，進(jìn)而可防止服務(wù)端保存的隨機(jī)數(shù)被外部黑客程序通過模擬人的行為而對服務(wù)端的安全平臺進(jìn)行攻擊。
【專利附圖】

【附圖說明】
[0017]下面將結(jié)合附圖及實(shí)施例對本發(fā)明作進(jìn)一步說明，附圖中:
圖1是本發(fā)明終端用戶的私鑰保護(hù)方法實(shí)施例一的流程圖；
圖2是本發(fā)明終端用戶的私鑰保護(hù)方法中初始化步驟實(shí)施例一的流程圖；
圖3是本發(fā)明終端用戶的私鑰保護(hù)方法中訪問步驟實(shí)施例一的流程圖；
圖4是本發(fā)明終端用戶的私鑰保護(hù)系統(tǒng)實(shí)施例一的邏輯圖。
【具體實(shí)施方式】
[0018]如圖1所示，在本發(fā)明終端用戶的私鑰保護(hù)方法實(shí)施例一的流程圖中，該私鑰保護(hù)方法包括:
A.初始化步驟；及
B.訪問步驟，其中，
步驟A進(jìn)一步包括:
Al.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所述密鑰對包括私鑰和公鑰，并將所述公鑰、所述終端標(biāo)識、所述PIN碼及所述隨機(jī)數(shù)發(fā)送至服務(wù)端，在該步驟中，應(yīng)當(dāng)說明的是，在初始化時(shí)，終端可首先獲取終端標(biāo)識，例如，頂SI號或IMEI號，然后隨機(jī)生成一個(gè)用戶隨機(jī)數(shù)，最后提示用戶輸入PIN碼，經(jīng)用戶確認(rèn)后，終端根據(jù)所獲取的終端標(biāo)識、生成的隨機(jī)數(shù)與輸入的PIN碼生成密鑰對，優(yōu)選地，終端可通過采用RSA算法或SM2算法來生成密鑰對；
A2.服務(wù)端保存所述公鑰、所述終端標(biāo)識、所述PIN碼、所述隨機(jī)數(shù)及其對應(yīng)關(guān)系，以備后面訪問時(shí)用；步驟B進(jìn)一步包括:
B1.終端向服務(wù)端發(fā)送終端標(biāo)識，并向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)；
B2.服務(wù)端根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)，在該步驟中，優(yōu)選地，服務(wù)端可通過采用對稱加密算法來加密隨機(jī)數(shù)，例如，DES算法.另外，所抽取的圖形驗(yàn)證碼例如為“1+1= ? ”的圖形數(shù)據(jù)，該圖形驗(yàn)證碼的答案為2 ；
B3.終端接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密，應(yīng)當(dāng)說明的是，該步驟中的解密算法應(yīng)與步驟B2中的加密算法相對應(yīng)；
B4.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對，應(yīng)當(dāng)說明的是，該步驟中的加密算法應(yīng)與初始化時(shí)的步驟Al所采用的加密算法相同；
B5.終端根據(jù)步驟B4中所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)，應(yīng)當(dāng)說明的是，該步驟通過采用RSA算法或SM2算法進(jìn)行數(shù)字簽名；
B6.服務(wù)端根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證，在該步驟中，應(yīng)當(dāng)說明的是，簽名驗(yàn)證的算法與步驟B5的簽名的算法相對應(yīng)。
[0019]實(shí)施該實(shí)施例的技術(shù)方案，由于用戶的私鑰每次使用都是動態(tài)生成的，而不是保存在終端側(cè)的，這樣便使得用戶私鑰不可能從終端竊?。欢?，私鑰是根據(jù)PIN碼、終端標(biāo)識和保存在服務(wù)端的隨機(jī)數(shù)作為因子而生成的，而這三者同時(shí)獲取的難度非常大，因此用戶私鑰的破解難度非常大；另外`，需要用戶提供圖形驗(yàn)證碼的答案、用戶PIN碼和終端標(biāo)識才能獲取服務(wù)端保存的隨機(jī)數(shù)，從而保證了服務(wù)端保存的隨機(jī)數(shù)的安全，進(jìn)而可防止服務(wù)端保存的隨機(jī)數(shù)被外部黑客程序通過模擬人的行為而對服務(wù)端的安全平臺進(jìn)行攻擊。
[0020]在私鑰保護(hù)方法的一個(gè)優(yōu)選實(shí)施例中，終端與服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸，例如，采用SSL協(xié)議或HTTPS協(xié)議。
[0021]在私鑰保護(hù)方法的另一個(gè)優(yōu)選實(shí)施例中，該私鑰保護(hù)方法還包括掛失步驟，該掛失步驟具體為:服務(wù)端接收掛失請求，并根據(jù)所述掛失請求停止訪問步驟，例如，在用戶的終端及口令丟失時(shí)，可向營業(yè)廳掛失，營業(yè)廳的工作人員進(jìn)而將該用戶的掛失請求發(fā)送至服務(wù)端，這樣就保護(hù)了用戶的交易安全，從而為用戶基于終端的互聯(lián)網(wǎng)業(yè)務(wù)提供了必要的安全保障。
[0022]圖2是本發(fā)明終端用戶的私鑰保護(hù)方法中初始化步驟實(shí)施例一的流程圖，在初始化的步驟中，在終端側(cè):首先獲取該終端的終端標(biāo)識，然后隨機(jī)生成一隨機(jī)數(shù)，接著接收用戶輸入的PIN碼，最后，終端根據(jù)以上所獲得的終端標(biāo)識、隨機(jī)數(shù)及PIN碼生成密鑰對，例如根據(jù)RSA算法或SM2算法，所生成的密鑰對包括公鑰(公開密鑰)和私鑰(秘密密鑰)。在生成密鑰對后，終端將公鑰、終端標(biāo)識、PIN碼及隨機(jī)數(shù)發(fā)送至服務(wù)端。在服務(wù)端側(cè):對所接收的公鑰、終端標(biāo)識、PIN碼、隨機(jī)數(shù)及其對應(yīng)關(guān)系進(jìn)行保存，以備后面終端訪問服務(wù)端時(shí)使用。
[0023]圖3是本發(fā)明終端用戶的私鑰保護(hù)方法中訪問步驟實(shí)施例一的流程圖，在訪問的步驟中，在終端側(cè)，終端首先獲取終端標(biāo)識，然后向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)。在服務(wù)端側(cè):根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)。在對隨機(jī)數(shù)加密時(shí)可采用對稱密鑰算法，例如，DES算法。在終端側(cè):接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密，應(yīng)說明的是，隨機(jī)數(shù)的解密算法應(yīng)與服務(wù)端側(cè)的隨機(jī)數(shù)的加密算法相對應(yīng)。在獲得解密后的隨機(jī)數(shù)后，終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對，生成密鑰對的算法與初始化時(shí)生成密鑰對的算法相同；接著，利用密鑰對中的私鑰對終端與服務(wù)端之間的交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)。在服務(wù)端側(cè):根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
[0024]圖4是本發(fā)明終端用戶的私鑰保護(hù)系統(tǒng)實(shí)施例一的邏輯圖，該私鑰保護(hù)系統(tǒng)包括終端10和服務(wù)端20，而且，終端10包括密鑰對生成單元11、請求單元12、隨機(jī)數(shù)解密單元13及簽名單元14 ;服務(wù)端20包括保存單元21、隨機(jī)數(shù)加密單元22及驗(yàn)證單元23。在初始化時(shí)，密鑰對生成單元11用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所生成的密鑰對包括私鑰和公鑰，并將公鑰、終端標(biāo)識、PIN碼及隨機(jī)數(shù)發(fā)送至服務(wù)端20，優(yōu)選地，通過RSA算法或SM2算法生成密鑰對；保存單元21用于保存公鑰、終端標(biāo)識、PIN碼、隨機(jī)數(shù)及其對應(yīng)關(guān)系；在終端訪問服務(wù)端時(shí)，請求單元12用于向服務(wù)端20發(fā)送終端標(biāo)識，并向服務(wù)端20請求圖形驗(yàn)證碼和隨機(jī)數(shù)；隨機(jī)數(shù)加密單元22用于根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端10返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)，優(yōu)選地，通過對稱加密算法對隨機(jī)數(shù)進(jìn)行加密；隨機(jī)數(shù)解密單元13用于接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密；密鑰對生成單元11還用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對；簽名單元14還用于根據(jù)所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)；驗(yàn)證單元23用于根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
[0025]在本發(fā)明終端用戶的私鑰保護(hù)系統(tǒng)的一個(gè)優(yōu)選實(shí)施例中，終端與所述服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸，例如采用SSL協(xié)議或HTTPS協(xié)議。
[0026]在本發(fā)明終端用戶的私鑰保護(hù)系統(tǒng)的另一個(gè)優(yōu)選實(shí)施例中，服務(wù)端20還包括掛失單元，用于接收掛失請求，并根據(jù)所述掛失請求停止終端的訪問。
[0027]以上所述僅為本發(fā)明的優(yōu)選實(shí)施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的權(quán)利要求范圍之內(nèi)。
【權(quán)利要求】
1.一種終端用戶的私鑰保護(hù)方法，其特征在于，包括: 初始化步驟；及 訪問步驟；其中， 所述初始化步驟包括: Al.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所述密鑰對包括私鑰和公鑰，并將所述公鑰、所述終端標(biāo)識、所述PIN碼及所述隨機(jī)數(shù)發(fā)送至服務(wù)端； A2.服務(wù)端保存所述公鑰、所述終端標(biāo)識、所述PIN碼、所述隨機(jī)數(shù)及其對應(yīng)關(guān)系； 所述訪問步驟包括: B1.終端向服務(wù)端發(fā)送終端標(biāo)識，并向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)； B2.服務(wù)端根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)； B3.終端接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密； B4.終端根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對； B5.終端根據(jù)步驟B4中所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)； B6.服務(wù)端根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
2.根據(jù)權(quán)利要求1所述的終端用戶的私鑰保護(hù)方法，其特征在于，在所述步驟B2中，通過對稱加密算法加密所查到的隨機(jī)數(shù)。
3.根據(jù)權(quán)利要求1所述的終端用戶的私鑰保護(hù)方法，其特征在于，在所述步驟Al及步驟B4中，通過RSA算法或SM2算法生成密鑰對。
4.根據(jù)權(quán)利要求1所述的終端用戶的私鑰保護(hù)方法，其特征在于，終端與服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸。
5.根據(jù)權(quán)利要求1所述的終端用戶的私鑰保護(hù)方法，其特征在于，所述保護(hù)方法還包括: 掛失步驟:服務(wù)端接收掛失請求，并根據(jù)所述掛失請求停止訪問步驟。
6.一種終端用戶的私鑰保護(hù)系統(tǒng)，其特征在于，包括終端和服務(wù)端，且所述終端包括密鑰對生成單元、請求單元、隨機(jī)數(shù)解密單元及簽名單元；所述服務(wù)端包括保存單元、隨機(jī)數(shù)加密單元及驗(yàn)證單元；其中， 在初始化時(shí)， 所述密鑰對生成單元，用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及生成的隨機(jī)數(shù)生成密鑰對，所述密鑰對包括私鑰和公鑰，并將所述公鑰、所述終端標(biāo)識、所述PIN碼及所述隨機(jī)數(shù)發(fā)送至服務(wù)端； 所述保存單元，用于保存所述公鑰、所述終端標(biāo)識、所述PIN碼、所述隨機(jī)數(shù)及其對應(yīng)關(guān)系; 在訪問時(shí)， 所述請求單元，用于向服務(wù)端發(fā)送終端標(biāo)識，并向服務(wù)端請求圖形驗(yàn)證碼和隨機(jī)數(shù)；所述隨機(jī)數(shù)加密單元，用于根據(jù)所接收的終端標(biāo)識查詢所對應(yīng)的PIN碼和隨機(jī)數(shù)，并從圖形驗(yàn)證數(shù)據(jù)庫中抽取一圖形驗(yàn)證碼及其答案，然后使用所查到的PIN碼和所抽取的圖形驗(yàn)證碼的答案加密所查到的隨機(jī)數(shù)，并向終端返回圖形驗(yàn)證碼和加密后的隨機(jī)數(shù)； 所述隨機(jī)數(shù)解密單元，用于接收用戶輸入的PIN碼及圖形驗(yàn)證碼的答案，并根據(jù)所接收的PIN碼及圖形驗(yàn)證碼的答案對所接收的隨機(jī)數(shù)進(jìn)行解密； 所述密鑰對生成單元，還用于根據(jù)終端標(biāo)識、用戶輸入的PIN碼及解密后的隨機(jī)數(shù)生成密鑰對； 所述簽名單元，還用于根據(jù)所生成的密鑰對中的私鑰對交易數(shù)據(jù)進(jìn)行簽名，并向服務(wù)端發(fā)送終端標(biāo)識、圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)； 所述驗(yàn)證單元，用于根據(jù)所接收的終端標(biāo)識及所存儲的公鑰，對圖形驗(yàn)證碼的答案及簽名數(shù)據(jù)進(jìn)行驗(yàn)證。
7.根據(jù)權(quán)利要求6所述的終端用戶的私鑰保護(hù)系統(tǒng)，其特征在于，所述隨機(jī)數(shù)加密單元通過對稱加密算法加密所查到的隨機(jī)數(shù)。
8.根據(jù)權(quán)利要求6所述的終端用戶的私鑰保護(hù)系統(tǒng)，其特征在于，所述密鑰對生成單元通過RSA算法或SM2算法生成密鑰對。
9.根據(jù)權(quán)利要求6所述的終端用戶的私鑰保護(hù)系統(tǒng)，其特征在于，所述終端與所述服務(wù)端之間通過安全通道加密且雙向認(rèn)證的方式實(shí)現(xiàn)數(shù)據(jù)傳輸。
10.根據(jù)權(quán)利要求6所述的終端用戶的私鑰保護(hù)系統(tǒng)，其特征在于，所述服務(wù)端還包括: 掛失單元，用于接收掛失請求，并根據(jù)所述掛失請求停止終端的訪問。
【文檔編號】H04L9/32GK103684766SQ201210315015
【公開日】2014年3月26日 申請日期:2012年8月30日 優(yōu)先權(quán)日:2012年8月30日
【發(fā)明者】劉瓊玉, 劉志誠, 吳勇, 王有為, 袁勝 申請人:卓望數(shù)碼技術(shù)（深圳）有限公司