本發(fā)明涉及電子支付領(lǐng)域，尤其涉及一種rsa密鑰對(duì)和證書(shū)的注入方法、架構(gòu)及系統(tǒng)。

背景技術(shù)：

隨著電子支付產(chǎn)業(yè)的迅速發(fā)展，比如銀行卡支付、消費(fèi)卡支付、行業(yè)卡支付以及其它借由網(wǎng)絡(luò)的電子支付技術(shù)，電子支付以其快捷方便的特點(diǎn)，越來(lái)越受到人們的歡迎。電子支付系統(tǒng)包括供消費(fèi)者使用的終端設(shè)備以及支付平臺(tái)和密鑰管理等設(shè)備。為了確保消費(fèi)的安全性，消費(fèi)者通過(guò)專(zhuān)用的支付終端輸入消費(fèi)信息(比如帳號(hào)密碼等)，然后由支付終端傳輸?shù)街Ц镀脚_(tái)。

支付終端，以pos(pointofsale，pos)為例，保護(hù)消費(fèi)者賬戶(hù)安全的原理如下：pos終端能夠接受銀行卡信息，具有通訊功能，并接受柜員的指令完成金融交易信息和有關(guān)信息交換的設(shè)備，pos中對(duì)敏感信息處理的模塊稱(chēng)為密碼鍵盤(pán)(pinpad)，對(duì)各種金融交易相關(guān)的密鑰進(jìn)行安全存儲(chǔ)保護(hù)，以及對(duì)pin進(jìn)行加密保護(hù)的安全設(shè)備，持卡人的個(gè)人識(shí)別碼(personalidentificationnumber，pin)通過(guò)密碼鍵盤(pán)輸入。為防止pin泄露或者被破解，以保護(hù)持卡人的財(cái)產(chǎn)安全，整個(gè)支付過(guò)程中對(duì)pin必須進(jìn)行加密保護(hù)，避免其以明文形式出現(xiàn)。為此，接受pin輸入的pos終端需配備相應(yīng)的密鑰管理體系。

pos終端中常用的密鑰管理體系有兩類(lèi)，不論是分級(jí)的密鑰體系，主密鑰/工作密鑰(masterkey/sessionkey，mk/sk)還是每筆交易衍生單鑰管理方法(deriveduniquekeypertransaction，dukpt)，都需要將一個(gè)初始密鑰(initiailkey，ik)下載到終端，如何下載初始密鑰到終端，目前主流的方向是采用遠(yuǎn)程密鑰下載方式，要求支付終端在出廠前預(yù)置非對(duì)稱(chēng)rsa密鑰和證書(shū)，終端出廠后使用rsa密鑰和證書(shū)與kms系統(tǒng)進(jìn)行雙向認(rèn)證，通過(guò)kms安全下載終端主密鑰(tmk)?？紤]到終端的運(yùn)算性能差異較大，而當(dāng)前標(biāo)準(zhǔn)的rsa密鑰需要達(dá)到2048比特的安全強(qiáng)度，rsa密鑰對(duì)的生成速度一直是低性能終端的瓶頸。那么如何在生產(chǎn)階段安全高效地注入非對(duì)稱(chēng)rsa密鑰和證書(shū)呢，目前通常有以下幾種方式：

方式一：將支付終端放到安全房?jī)?nèi)，物理連接硬件加密機(jī)(hardwaresecuritymodule，hsm)注入密鑰對(duì)和證書(shū)；

方式二：由支付終端內(nèi)部生成密鑰對(duì)，生成證書(shū)請(qǐng)求文件導(dǎo)出，請(qǐng)求認(rèn)證中心(certificationauthority，ca)簽發(fā)證書(shū)。

方式三：支付終端和認(rèn)證中心ca共享一個(gè)秘密信息，ca中心生成密鑰對(duì)和證書(shū)之后使用該秘密信息加密后傳遞給支付終端。

但上述方式存在以下缺點(diǎn)：

缺點(diǎn)1：證書(shū)的注入工作需要在一個(gè)高安全管控的安全機(jī)房?jī)?nèi)進(jìn)行，通過(guò)人工方式集中注入，增加了安全房的構(gòu)建及維護(hù)成本。

缺點(diǎn)2：終端性能差異較大，且對(duì)大多數(shù)終端來(lái)說(shuō)，rsa密鑰對(duì)的生成時(shí)間隨機(jī)性大，最長(zhǎng)時(shí)間可達(dá)到十幾分鐘左右，極大影響生產(chǎn)效率。

缺點(diǎn)3：為了在支付終端和認(rèn)證中心預(yù)置一個(gè)共享秘密信息，通常采用人工方式，而且終端數(shù)量龐大，要保證該秘密信息每臺(tái)設(shè)備唯一，需要大量的人力資源開(kāi)銷(xiāo)，且對(duì)該秘密進(jìn)行的管控要達(dá)到極高的安全級(jí)別，否則一旦該秘密信息泄露，終端的私鑰也泄露了。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明所要解決的技術(shù)問(wèn)題是：提供一種rsa密鑰對(duì)和證書(shū)的注入方法、架構(gòu)及系統(tǒng)，可在生產(chǎn)階段安全高效地注入rsa密鑰對(duì)和證書(shū)。

為了解決上述技術(shù)問(wèn)題，本發(fā)明采用的技術(shù)方案為：一種rsa密鑰對(duì)和證書(shū)的注入方法，包括：

支付終端生成對(duì)稱(chēng)密鑰；

密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

本發(fā)明還涉及一種rsa密鑰對(duì)和證書(shū)的注入架構(gòu)，包括依次通信連接的支付終端、密鑰管理系統(tǒng)和ca中心；

所述支付終端用于生成對(duì)稱(chēng)密鑰；

所述密鑰管理系統(tǒng)用于獲取所述對(duì)稱(chēng)密鑰；

所述支付終端還用于發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

所述密鑰管理系統(tǒng)還用于將所述請(qǐng)求提交至ca中心；

所述ca中心用于根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

所述密鑰管理系統(tǒng)還用于使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

所述支付終端還用于使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

本發(fā)明還涉及一種rsa密鑰對(duì)和證書(shū)的注入系統(tǒng)，包括：

第一生成模塊，用于支付終端生成對(duì)稱(chēng)密鑰；

獲取模塊，用于密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

發(fā)起模塊，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

提交模塊，用于密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

第二生成模塊，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

加密模塊，用于密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

解密模塊，用于支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

本發(fā)明的有益效果在于：采用ca中心集中生成rsa密鑰對(duì)和證書(shū)的方式，由于其生成速度相比支付終端更優(yōu)異，有效解決了支付終端性能不足造成的產(chǎn)能低效問(wèn)題；通過(guò)安全鏈路傳輸以及對(duì)稱(chēng)密鑰加密的方式，有效保證了數(shù)據(jù)傳輸過(guò)程中的安全性和機(jī)密性；本發(fā)明適用于所有類(lèi)型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)采用自動(dòng)安全注入的方式，減少了人工操作和維護(hù)產(chǎn)線安全機(jī)房的成本，且保證安全。

附圖說(shuō)明

圖1為本發(fā)明實(shí)施例一中rsa密鑰對(duì)和證書(shū)的注入方法的流程圖；

圖2為本發(fā)明實(shí)施例一中rsa密鑰對(duì)和證書(shū)的注入架構(gòu)的結(jié)構(gòu)示意圖；

圖3為本發(fā)明實(shí)施例二的方法流程圖；

圖4為本發(fā)明實(shí)施例二中rsa密鑰對(duì)和證書(shū)的注入架構(gòu)的結(jié)構(gòu)示意圖；

圖5為本發(fā)明實(shí)施例三的方法流程圖；

圖6為本發(fā)明實(shí)施例四的方法流程圖；

圖7為本發(fā)明一種rsa密鑰對(duì)和證書(shū)的注入系統(tǒng)的結(jié)構(gòu)示意圖；

圖8為本發(fā)明實(shí)施例五的系統(tǒng)結(jié)構(gòu)示意圖。

標(biāo)號(hào)說(shuō)明：

100、支付終端；200、密鑰管理系統(tǒng)；300、ca中心；400、硬件加密機(jī)；

1、第一生成模塊；2、獲取模塊；3、發(fā)起模塊；4、提交模塊；5、第二生成模塊；6、加密模塊；7、解密模塊；

21、第一生成單元；22、簽發(fā)單元；23、第一驗(yàn)證單元；24、提取單元；25、第一加密單元；26、第一解密單元；

31、第二生成單元；32、第二加密單元；33、第一發(fā)送單元；34、第一計(jì)算單元；35、第三發(fā)送單元；

41、第二解密單元；42、第二發(fā)送單元；43、第二驗(yàn)證單元；44、執(zhí)行單元；

61、第三加密單元；62、第二計(jì)算單元；63、第四發(fā)送單元；

71、第三解密單元；72、第三驗(yàn)證單元；73、第四驗(yàn)證單元；74、存儲(chǔ)單元。

具體實(shí)施方式

為詳細(xì)說(shuō)明本發(fā)明的技術(shù)內(nèi)容、所實(shí)現(xiàn)目的及效果，以下結(jié)合實(shí)施方式并配合附圖詳予說(shuō)明。

本發(fā)明最關(guān)鍵的構(gòu)思在于：基于對(duì)稱(chēng)密鑰技術(shù)，將rsa密鑰對(duì)和證書(shū)安全注入到支付終端。

縮略語(yǔ)和關(guān)鍵術(shù)語(yǔ)定義：

lkms：localkeymanagementsystem本地密鑰管理系統(tǒng)；

ca：certificationauthority，認(rèn)證中心；它是采用pki(publickeyinfrastructure)公開(kāi)密鑰基礎(chǔ)架構(gòu)技術(shù)，專(zhuān)門(mén)提供網(wǎng)絡(luò)身份認(rèn)證服務(wù)，負(fù)責(zé)簽發(fā)和管理數(shù)字證書(shū)；

hsm：highsecuritymachine，高安全設(shè)備，在本發(fā)明中為硬件加密機(jī)；

hsmwcrt：hsmworkcertificate，加密機(jī)工作證書(shū)；

pu：publickey，hsmwcrt中的公鑰，用于加密對(duì)稱(chēng)密鑰；

tk：transmissionkey，傳輸密鑰；在本發(fā)明中，對(duì)稱(chēng)密鑰即為tk，用于保護(hù)rsa密鑰和證書(shū)的傳輸，tk包含2個(gè)密鑰：一個(gè)為傳輸加密密鑰，另外一個(gè)是用于完整性校驗(yàn)的mac密鑰；

mac：messageauthenticationcheckvalue，消息認(rèn)證碼，一種數(shù)據(jù)完整性校驗(yàn)算法；

安全房：具有較高安全級(jí)別，用于存放hsm(高安全設(shè)備，硬件加密機(jī))、服務(wù)器、數(shù)據(jù)庫(kù)的房間，該房間需要訪問(wèn)控制，通常需要雙重控制認(rèn)證后才能進(jìn)去；

對(duì)稱(chēng)密鑰：加密和解密操作必須使用相同的密鑰對(duì)明文進(jìn)行運(yùn)算；對(duì)稱(chēng)密鑰加密算法主要包括：des、tdes、aes，idea、等；

非對(duì)稱(chēng)密鑰：加密密鑰和解密密鑰是不同的，其中一個(gè)密鑰可以公開(kāi)，另外一個(gè)密鑰需要保密存儲(chǔ)。公開(kāi)的密鑰通常稱(chēng)為公鑰(publickey)，需要秘密存儲(chǔ)的密鑰稱(chēng)為私鑰(privatekey)。常用的非對(duì)稱(chēng)密鑰算法有：rsa、ecc、國(guó)密sm2、rabin等。

請(qǐng)參閱圖1，一種rsa密鑰對(duì)和證書(shū)的注入方法，包括：

支付終端生成對(duì)稱(chēng)密鑰；

密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

從上述描述可知，本發(fā)明的有益效果在于：有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)采用自動(dòng)安全注入的方式，減少了人工操作和維護(hù)產(chǎn)線安全機(jī)房的成本，且保證安全。

進(jìn)一步地，所述“密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰”具體為：

密鑰管理系統(tǒng)的硬件加密機(jī)生成非對(duì)稱(chēng)密鑰對(duì)，所述非對(duì)稱(chēng)密鑰對(duì)包括公鑰pu和私鑰pr，并將所述公鑰pu提交到ca中心；

ca中心根據(jù)所述公鑰pu簽發(fā)公鑰證書(shū)；

支付終端獲取所述公鑰證書(shū)，并對(duì)所述公鑰證書(shū)進(jìn)行合法性驗(yàn)證；

若驗(yàn)證通過(guò)，則從所述公鑰證書(shū)中提取公鑰pu；

支付終端使用所述公鑰pu加密所述對(duì)稱(chēng)密鑰，得到第二加密數(shù)據(jù)，并將所述第二加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)；

密鑰管理系統(tǒng)使用私鑰pr解密所述第二加密數(shù)據(jù)，得到對(duì)稱(chēng)密鑰。

由上述描述可知，通過(guò)一對(duì)非對(duì)稱(chēng)密鑰對(duì)將對(duì)稱(chēng)密鑰安全地傳輸給密鑰管理系統(tǒng)，進(jìn)一步保證了rsa密鑰對(duì)和證書(shū)注入的安全性。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰；所述“支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)”具體為：

支付終端生成請(qǐng)求數(shù)據(jù)；

使用第一對(duì)稱(chēng)密鑰加密所述請(qǐng)求數(shù)據(jù)，得到第三加密數(shù)據(jù)；

將所述第三加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述“密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心”具體為：

密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰解密第三加密數(shù)據(jù)，得到請(qǐng)求數(shù)據(jù)；

將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

由上述描述可知，通過(guò)第一對(duì)稱(chēng)密鑰加解密請(qǐng)求數(shù)據(jù)，在驗(yàn)證支付終端合法性的同時(shí)還可保證請(qǐng)求數(shù)據(jù)在傳輸過(guò)程中的安全性。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰還包括第二對(duì)稱(chēng)密鑰；所述“支付終端生成請(qǐng)求數(shù)據(jù)”之后，進(jìn)一步包括：

使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述請(qǐng)求數(shù)據(jù)的第一消息認(rèn)證碼；

將所述第一消息認(rèn)證碼發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述“將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心”之前，進(jìn)一步包括：

根據(jù)所述第二對(duì)稱(chēng)密鑰和第一消息認(rèn)證碼，驗(yàn)證所述請(qǐng)求數(shù)據(jù)的合法性；

若驗(yàn)證通過(guò)，則執(zhí)行所述將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心的步驟。

由上述描述可知，通過(guò)第二對(duì)稱(chēng)密鑰進(jìn)行mac校驗(yàn)，保證傳輸?shù)臄?shù)據(jù)不可篡改和可認(rèn)證性，進(jìn)一步保證了安全性。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰和第二對(duì)稱(chēng)密鑰；所述“密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端”具體為：

密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述rsa私鑰和證書(shū)的第二消息認(rèn)證碼；

將所述第一加密數(shù)據(jù)和第二消息認(rèn)證碼發(fā)送至支付終端。

進(jìn)一步地，所述“支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)”具體為：

支付終端使用第一對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)；

根據(jù)所述第二對(duì)稱(chēng)密鑰和第二消息認(rèn)證碼，驗(yàn)證所述rsa私鑰和證書(shū)的完整性；

使用預(yù)置的根證書(shū)驗(yàn)證所述證書(shū)的合法性；

若驗(yàn)證通過(guò)，則將所述rsa私鑰和證書(shū)存儲(chǔ)至支付終端的安全區(qū)域中。

由上述描述可知，采用mac校驗(yàn)的方法，發(fā)送方和接收方使用特定的mac密鑰，先對(duì)數(shù)據(jù)的合法性、完整性進(jìn)行檢查后再進(jìn)行后續(xù)操作，保證傳輸?shù)臄?shù)據(jù)不可篡改和可認(rèn)證性，進(jìn)一步保證了安全性。

請(qǐng)參照?qǐng)D7，本發(fā)明還提出了一種rsa密鑰對(duì)和證書(shū)的注入系統(tǒng)，包括：

第一生成模塊，用于支付終端生成對(duì)稱(chēng)密鑰；

獲取模塊，用于密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

發(fā)起模塊，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

提交模塊，用于密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

第二生成模塊，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

加密模塊，用于密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

解密模塊，用于支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

進(jìn)一步地，所述獲取模塊包括：

第一生成單元，用于密鑰管理系統(tǒng)的硬件加密機(jī)生成非對(duì)稱(chēng)密鑰對(duì)，所述非對(duì)稱(chēng)密鑰對(duì)包括公鑰pu和私鑰pr，并將所述公鑰pu提交到ca中心；

簽發(fā)單元，用于ca中心根據(jù)所述公鑰pu簽發(fā)公鑰證書(shū)；

第一驗(yàn)證單元，用于支付終端獲取所述公鑰證書(shū)，并對(duì)所述公鑰證書(shū)進(jìn)行合法性驗(yàn)證；

提取單元，用于若驗(yàn)證通過(guò)，則從所述公鑰證書(shū)中提取公鑰pu；

第一加密單元，用于支付終端使用所述公鑰pu加密所述對(duì)稱(chēng)密鑰，得到第二加密數(shù)據(jù)，并將所述第二加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)；

第一解密單元，用于密鑰管理系統(tǒng)使用私鑰pr解密所述第二加密數(shù)據(jù)，得到對(duì)稱(chēng)密鑰。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰；所述發(fā)起模塊包括：

第二生成單元，用于支付終端生成請(qǐng)求數(shù)據(jù)；

第二加密單元，用于使用第一對(duì)稱(chēng)密鑰加密所述請(qǐng)求數(shù)據(jù)，得到第三加密數(shù)據(jù)；

第一發(fā)送單元，用于將所述第三加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述提交模塊包括：

第二解密單元，用于密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰解密第三加密數(shù)據(jù)，得到請(qǐng)求數(shù)據(jù)；

第二發(fā)送單元，用于將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰還包括第二對(duì)稱(chēng)密鑰；所述發(fā)起模塊還包括：

第一計(jì)算單元，用于使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述請(qǐng)求數(shù)據(jù)的第一消息認(rèn)證碼；

第三發(fā)送單元，用于將所述第一消息認(rèn)證碼發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述提交模塊還包括：

第二驗(yàn)證單元，用于根據(jù)所述第二對(duì)稱(chēng)密鑰和第一消息認(rèn)證碼，驗(yàn)證所述請(qǐng)求數(shù)據(jù)的合法性；

執(zhí)行單元，用于若驗(yàn)證通過(guò)，則執(zhí)行所述將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心的步驟。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰和第二對(duì)稱(chēng)密鑰；所述加密模塊包括：

第三加密單元，用于密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

第二計(jì)算單元，用于使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述rsa私鑰和證書(shū)的第二消息認(rèn)證碼；

第四發(fā)送單元，用于將所述第一加密數(shù)據(jù)和第二消息認(rèn)證碼發(fā)送至支付終端。

進(jìn)一步地，所述解密模塊包括：

第三解密單元，用于支付終端使用第一對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)；

第三驗(yàn)證單元，用于根據(jù)所述第二對(duì)稱(chēng)密鑰和第二消息認(rèn)證碼，驗(yàn)證所述rsa私鑰和證書(shū)的完整性；

第四驗(yàn)證單元，用于使用預(yù)置的根證書(shū)驗(yàn)證所述證書(shū)的合法性；

存儲(chǔ)單元，用于若驗(yàn)證通過(guò)，則將所述rsa私鑰和證書(shū)存儲(chǔ)至支付終端的安全區(qū)域中。

實(shí)施例一

請(qǐng)參照?qǐng)D1，本發(fā)明的實(shí)施例一為：一種rsa密鑰對(duì)和證書(shū)的注入方法，可遠(yuǎn)程安全注入rsa密鑰對(duì)和證書(shū)到支付終端；所述方法基于如圖2所示的rsa密鑰對(duì)和證書(shū)的注入架構(gòu)，包括依次通信連接的支付終端100、密鑰管理系統(tǒng)200和ca中心300。

由于需要從ca中心獲取rsa密鑰對(duì)和證書(shū)，因此需部署ca中心，搭建自己的kpi體系，有以下兩種可選的做法，一是掛靠一個(gè)“可信的第三方ca機(jī)構(gòu)”，成為其附屬機(jī)構(gòu)，所謂“第三方ca機(jī)構(gòu)”也即商用ca，比如cfca(中國(guó)金融認(rèn)證中心)，ctca(中信安全認(rèn)證中心)等；二是廠家建立自己的ca中心，涉及到本方案中，ca中心的主要任務(wù)是給設(shè)備頒發(fā)中心，可建立自有ca(in-houseca)。

同時(shí)，需將ca根證書(shū)導(dǎo)出，預(yù)置到支付終端，可通過(guò)燒片包實(shí)現(xiàn)。這里的根證書(shū)，可依照信任等級(jí)選擇。比如若作為可信第三方ca機(jī)構(gòu)的附屬機(jī)構(gòu)，信任的是自己所屬機(jī)構(gòu)的ca，只需要預(yù)置該附屬機(jī)構(gòu)的根證書(shū)即可；若建立的是自有ca，則預(yù)置的是自有ca的頂級(jí)根證書(shū)。

還需建立密鑰管理系統(tǒng)(lkms)和ca中心的安全通信鏈路，根據(jù)建立ca屬性的不同，安全通信鏈路采用不同的方式。以建立自有ca中心為例，ca中心和lkms部署于同一個(gè)安全房中，ca中心位于安全房里間，安全等級(jí)最高；lkms部署于安全房外間，二者通過(guò)專(zhuān)用線路和端口進(jìn)行通信。

如圖1所示，所述方法包括如下步驟：

s1：支付終端生成對(duì)稱(chēng)密鑰；進(jìn)一步地，每臺(tái)支付終端生成的對(duì)稱(chēng)密鑰是唯一的，滿足一機(jī)一密。

s2：密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

s3：支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

s4：密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

s5：ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

s6：密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

s7：支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

加密后的rsa私鑰和證書(shū)在到達(dá)支付終端之前，只有請(qǐng)求發(fā)起的支付終端可以解密，且該過(guò)程是在終端的安全區(qū)域進(jìn)行的。解密完成之后采用支付終端的頂級(jí)加密密鑰加密存儲(chǔ)，遭受攻擊報(bào)警之后，該安全區(qū)域中的數(shù)據(jù)會(huì)攻擊自毀。

通過(guò)上述步驟安全注入rsa私鑰和證書(shū)后，支付終端即可根據(jù)該rsa私鑰和證書(shū)下載初始密鑰。

優(yōu)選地，可將支付終端通過(guò)usb或串口連接到一臺(tái)pc機(jī)上，支付終端與密鑰管理系統(tǒng)之間的通信通過(guò)該pc機(jī)進(jìn)行，當(dāng)支付終端的性能較低時(shí)，可提高生產(chǎn)效率。

本實(shí)施例采用ca中心集中生成rsa密鑰對(duì)和證書(shū)的方式，ca中心生成密鑰對(duì)的模塊是經(jīng)過(guò)nist和fips認(rèn)證的硬件安全模塊，其生成速度相比支付終端更優(yōu)異，有效解決了支付終端性能不足造成的產(chǎn)能低效問(wèn)題；通過(guò)安全鏈路傳輸以及對(duì)稱(chēng)密鑰加密的方式，有效保證了數(shù)據(jù)傳輸過(guò)程中的安全性和機(jī)密性；本發(fā)明適用于所有類(lèi)型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)采用自動(dòng)安全注入的方式，減少了人工操作和維護(hù)產(chǎn)線安全機(jī)房的成本，且保證安全。

實(shí)施例二

請(qǐng)參照?qǐng)D3，本實(shí)施例是實(shí)施例一中步驟s2的進(jìn)一步拓展。本實(shí)施例的方法基于如圖4所示的rsa密鑰對(duì)和證書(shū)的注入架構(gòu)，包括依次通信連接的支付終端100、密鑰管理系統(tǒng)200和ca中心300，所述密鑰管理系統(tǒng)200中設(shè)有硬件加密機(jī)400。

所述步驟s2包括如下步驟：

s201：密鑰管理系統(tǒng)的硬件加密機(jī)生成非對(duì)稱(chēng)密鑰對(duì)，所述非對(duì)稱(chēng)密鑰對(duì)包括公鑰pu和私鑰pr，并將所述公鑰pu提交到ca中心；進(jìn)一步地，將公鑰pu導(dǎo)出為pkcs10格式；并將該格式的公鑰請(qǐng)求數(shù)據(jù)提交到ca中心簽發(fā)公鑰證書(shū)hsmwcrt。

s202：ca中心根據(jù)所述公鑰pu簽發(fā)公鑰證書(shū)；

s203：支付終端獲取所述公鑰證書(shū)，并對(duì)所述公鑰證書(shū)進(jìn)行合法性驗(yàn)證；

s204：若驗(yàn)證通過(guò)，則從所述公鑰證書(shū)中提取公鑰pu；

s205：支付終端使用所述公鑰pu加密所述對(duì)稱(chēng)密鑰，得到第二加密數(shù)據(jù)，并將所述第二加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)；

s206：密鑰管理系統(tǒng)使用私鑰pr解密所述第二加密數(shù)據(jù)，得到對(duì)稱(chēng)密鑰。由于硬件加密機(jī)設(shè)置在密鑰管理系統(tǒng)中，因此密鑰管理系統(tǒng)可直接獲得私鑰pr。

本實(shí)施例通過(guò)一對(duì)非對(duì)稱(chēng)密鑰對(duì)將對(duì)稱(chēng)密鑰安全地傳輸給密鑰管理系統(tǒng)，進(jìn)一步保證了rsa密鑰對(duì)和證書(shū)注入的安全性；同時(shí)，該非對(duì)稱(chēng)密鑰對(duì)由密鑰管理系統(tǒng)的硬件加密機(jī)生成，其公鑰通過(guò)ca中心簽發(fā)的公鑰證書(shū)傳給支付終端，有效保證了公鑰傳輸?shù)陌踩裕铱沈?yàn)證公鑰來(lái)源的可靠性。

實(shí)施例三

請(qǐng)參照?qǐng)D5，本實(shí)施例是實(shí)施例一或?qū)嵤├襟Es3-s4的進(jìn)一步拓展。本實(shí)施例中，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰和第二對(duì)稱(chēng)密鑰。

所述步驟s3包括如下步驟：

s301：支付終端生成請(qǐng)求數(shù)據(jù)；

s302：使用第一對(duì)稱(chēng)密鑰加密所述請(qǐng)求數(shù)據(jù)，得到第三加密數(shù)據(jù)；

s303：使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述請(qǐng)求數(shù)據(jù)的第一消息認(rèn)證碼；

s304：將所述第三加密數(shù)據(jù)和第一消息認(rèn)證碼發(fā)送至密鑰管理系統(tǒng)。

所述步驟s4包括如下步驟：

s401：密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰解密第三加密數(shù)據(jù)，得到請(qǐng)求數(shù)據(jù)；

s402：根據(jù)所述第二對(duì)稱(chēng)密鑰和第一消息認(rèn)證碼，驗(yàn)證所述請(qǐng)求數(shù)據(jù)的合法性；具體地，密鑰管理系統(tǒng)也使用第二對(duì)稱(chēng)密鑰計(jì)算解密后的數(shù)據(jù)，即所述請(qǐng)求數(shù)據(jù)的消息認(rèn)證碼，若該消息認(rèn)證碼與支付終端傳過(guò)來(lái)的第一消息認(rèn)證碼一致，則所述請(qǐng)求數(shù)據(jù)合法。

s403：若驗(yàn)證通過(guò)，則將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

本實(shí)施例通過(guò)第一對(duì)稱(chēng)密鑰加解密請(qǐng)求數(shù)據(jù)，在驗(yàn)證支付終端合法性的同時(shí)還可保證請(qǐng)求數(shù)據(jù)在傳輸過(guò)程中的安全性；同時(shí)，通過(guò)第二對(duì)稱(chēng)密鑰進(jìn)行mac校驗(yàn)，保證傳輸?shù)臄?shù)據(jù)不可篡改和可認(rèn)證性，進(jìn)一步保證了安全性。

實(shí)施例四

請(qǐng)參照?qǐng)D6，本實(shí)施例是實(shí)施例一、實(shí)施例二或?qū)嵤├襟Es6-s7的進(jìn)一步拓展。本實(shí)施例中，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰和第二對(duì)稱(chēng)密鑰。

所述步驟s6包括如下步驟：

s601：密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

s602：使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述rsa私鑰和證書(shū)的第二消息認(rèn)證碼；

s603：將所述第一加密數(shù)據(jù)和第二消息認(rèn)證碼發(fā)送至支付終端。

所述步驟s7包括如下步驟：

s701：支付終端使用第一對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)；

s702：根據(jù)所述第二對(duì)稱(chēng)密鑰和第二消息認(rèn)證碼，驗(yàn)證所述rsa私鑰和證書(shū)的完整性；具體地，支付終端也使用第二對(duì)稱(chēng)密鑰計(jì)算解密后的數(shù)據(jù)，即所述rsa私鑰和證書(shū)的消息認(rèn)證碼，若該消息認(rèn)證碼與密鑰管理系統(tǒng)傳過(guò)來(lái)的第二消息認(rèn)證碼一致，則所述rsa私鑰和證書(shū)完整。

s703：使用預(yù)置的根證書(shū)驗(yàn)證所述證書(shū)的合法性；

s704：若驗(yàn)證通過(guò)，則將所述rsa私鑰和證書(shū)存儲(chǔ)至支付終端的安全區(qū)域中。

本實(shí)施例采用mac校驗(yàn)的方法，發(fā)送方和接收方使用特定的mac密鑰，先對(duì)數(shù)據(jù)的合法性、完整性進(jìn)行檢查后再進(jìn)行后續(xù)操作，保證傳輸?shù)臄?shù)據(jù)不可篡改和可認(rèn)證性，進(jìn)一步保證了安全性。

實(shí)施例五

請(qǐng)參照?qǐng)D8，本實(shí)施例為對(duì)應(yīng)上述實(shí)施例的一種rsa密鑰對(duì)和證書(shū)的注入系統(tǒng)，包括：

第一生成模塊1，用于支付終端生成對(duì)稱(chēng)密鑰；

獲取模塊2，用于密鑰管理系統(tǒng)獲取所述對(duì)稱(chēng)密鑰；

發(fā)起模塊3，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求發(fā)送至密鑰管理系統(tǒng)；

提交模塊4，用于密鑰管理系統(tǒng)將所述請(qǐng)求提交至ca中心；

第二生成模塊5，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書(shū)，并將所述rsa私鑰和證書(shū)通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書(shū)中包括rsa公鑰；

加密模塊6，用于密鑰管理系統(tǒng)使用所述對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

解密模塊7，用于支付終端使用對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)。

進(jìn)一步地，所述獲取模塊2包括：

第一生成單元21，用于密鑰管理系統(tǒng)的硬件加密機(jī)生成非對(duì)稱(chēng)密鑰對(duì)，所述非對(duì)稱(chēng)密鑰對(duì)包括公鑰pu和私鑰pr，并將所述公鑰pu提交到ca中心；

簽發(fā)單元22，用于ca中心根據(jù)所述公鑰pu簽發(fā)公鑰證書(shū)；

第一驗(yàn)證單元23，用于支付終端獲取所述公鑰證書(shū)，并對(duì)所述公鑰證書(shū)進(jìn)行合法性驗(yàn)證；

提取單元24，用于若驗(yàn)證通過(guò)，則從所述公鑰證書(shū)中提取公鑰pu；

第一加密單元25，用于支付終端使用所述公鑰pu加密所述對(duì)稱(chēng)密鑰，得到第二加密數(shù)據(jù)，并將所述第二加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)；

第一解密單元26，用于密鑰管理系統(tǒng)使用私鑰pr解密所述第二加密數(shù)據(jù)，得到對(duì)稱(chēng)密鑰。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰；所述發(fā)起模塊3包括：

第二生成單元31，用于支付終端生成請(qǐng)求數(shù)據(jù)；

第二加密單元32，用于使用第一對(duì)稱(chēng)密鑰加密所述請(qǐng)求數(shù)據(jù)，得到第三加密數(shù)據(jù)；

第一發(fā)送單元33，用于將所述第三加密數(shù)據(jù)發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述提交模塊4包括：

第二解密單元41，用于密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰解密第三加密數(shù)據(jù)，得到請(qǐng)求數(shù)據(jù)；

第二發(fā)送單元42，用于將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰還包括第二對(duì)稱(chēng)密鑰；所述發(fā)起模塊3還包括：

第一計(jì)算單元34，用于使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述請(qǐng)求數(shù)據(jù)的第一消息認(rèn)證碼；

第三發(fā)送單元35，用于將所述第一消息認(rèn)證碼發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述提交模塊4還包括：

第二驗(yàn)證單元43，用于根據(jù)所述第二對(duì)稱(chēng)密鑰和第一消息認(rèn)證碼，驗(yàn)證所述請(qǐng)求數(shù)據(jù)的合法性；

執(zhí)行單元44，用于若驗(yàn)證通過(guò)，則執(zhí)行所述將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心的步驟。

進(jìn)一步地，所述對(duì)稱(chēng)密鑰包括第一對(duì)稱(chēng)密鑰和第二對(duì)稱(chēng)密鑰；所述加密模塊6包括：

第三加密單元61，用于密鑰管理系統(tǒng)使用第一對(duì)稱(chēng)密鑰加密所述rsa私鑰和證書(shū)，得到第一加密數(shù)據(jù)，并將所述第一加密數(shù)據(jù)發(fā)送至支付終端；

第二計(jì)算單元62，用于使用第二對(duì)稱(chēng)密鑰計(jì)算得到所述rsa私鑰和證書(shū)的第二消息認(rèn)證碼；

第四發(fā)送單元63，用于將所述第一加密數(shù)據(jù)和第二消息認(rèn)證碼發(fā)送至支付終端。

進(jìn)一步地，所述解密模塊7包括：

第三解密單元71，用于支付終端使用第一對(duì)稱(chēng)密鑰對(duì)所述第一加密數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書(shū)；

第三驗(yàn)證單元72，用于根據(jù)所述第二對(duì)稱(chēng)密鑰和第二消息認(rèn)證碼，驗(yàn)證所述rsa私鑰和證書(shū)的完整性；

第四驗(yàn)證單元73，用于使用預(yù)置的根證書(shū)驗(yàn)證所述證書(shū)的合法性；

存儲(chǔ)單元74，用于若驗(yàn)證通過(guò)，則將所述rsa私鑰和證書(shū)存儲(chǔ)至支付終端的安全區(qū)域中。

綜上所述，本發(fā)明提供的一種rsa密鑰對(duì)和證書(shū)的注入方法、架構(gòu)及系統(tǒng)，采用ca中心集中生成rsa密鑰對(duì)和證書(shū)的方式，由于其生成速度相比支付終端更優(yōu)異，有效解決了支付終端性能不足造成的產(chǎn)能低效問(wèn)題；通過(guò)安全鏈路傳輸以及對(duì)稱(chēng)密鑰加密的方式，有效保證了數(shù)據(jù)傳輸過(guò)程中的安全性和機(jī)密性；本發(fā)明適用于所有類(lèi)型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)采用自動(dòng)安全注入的方式，減少了人工操作和維護(hù)產(chǎn)線安全機(jī)房的成本，且保證安全。

以上所述僅為本發(fā)明的實(shí)施例，并非因此限制本發(fā)明的專(zhuān)利范圍，凡是利用本發(fā)明說(shuō)明書(shū)及附圖內(nèi)容所作的等同變換，或直接或間接運(yùn)用在相關(guān)的技術(shù)領(lǐng)域，均同理包括在本發(fā)明的專(zhuān)利保護(hù)范圍內(nèi)。