本發(fā)明涉及電子支付領(lǐng)域，尤其涉及一種rsa密鑰對(duì)和證書的注入方法、架構(gòu)及系統(tǒng)。

背景技術(shù)：

隨著電子支付產(chǎn)業(yè)的迅速發(fā)展，比如銀行卡支付、消費(fèi)卡支付、行業(yè)卡支付以及其它借由網(wǎng)絡(luò)的電子支付技術(shù)，電子支付以其快捷方便的特點(diǎn)，越來(lái)越受到人們的歡迎。電子支付系統(tǒng)包括供消費(fèi)者使用的終端設(shè)備以及支付平臺(tái)和密鑰管理等設(shè)備。為了確保消費(fèi)的安全性，消費(fèi)者通過(guò)專用的支付終端輸入消費(fèi)信息(比如帳號(hào)密碼等)，然后由支付終端傳輸?shù)街Ц镀脚_(tái)。

支付終端，以pos(pointofsale，pos)為例，保護(hù)消費(fèi)者賬戶安全的原理如下：pos終端能夠接受銀行卡信息，具有通訊功能，并接受柜員的指令完成金融交易信息和有關(guān)信息交換的設(shè)備，pos中對(duì)敏感信息處理的模塊稱為密碼鍵盤(pinpad)，對(duì)各種金融交易相關(guān)的密鑰進(jìn)行安全存儲(chǔ)保護(hù)，以及對(duì)pin進(jìn)行加密保護(hù)的安全設(shè)備，持卡人的個(gè)人識(shí)別碼(personalidentificationnumber，pin)通過(guò)密碼鍵盤輸入。為防止pin泄露或者被破解，以保護(hù)持卡人的財(cái)產(chǎn)安全，整個(gè)支付過(guò)程中對(duì)pin必須進(jìn)行加密保護(hù)，避免其以明文形式出現(xiàn)。為此，接受pin輸入的pos終端需配備相應(yīng)的密鑰管理體系。

pos終端中常用的密鑰管理體系有兩類，不論是分級(jí)的密鑰體系，主密鑰/工作密鑰(masterkey/sessionkey，mk/sk)還是每筆交易衍生單鑰管理方法(deriveduniquekeypertransaction，dukpt)，都需要將一個(gè)初始密鑰(initiailkey，ik)下載到終端，如何下載初始密鑰到終端，目前主流的方向是采用遠(yuǎn)程密鑰下載方式，要求支付終端在出廠前預(yù)置非對(duì)稱rsa密鑰和證書，終端出廠后使用rsa密鑰和證書與kms系統(tǒng)進(jìn)行雙向認(rèn)證，通過(guò)kms安全下載終端主密鑰(tmk)?？紤]到終端的運(yùn)算性能差異較大，而當(dāng)前標(biāo)準(zhǔn)的rsa密鑰需要達(dá)到2048比特的安全強(qiáng)度，rsa密鑰對(duì)的生成速度一直是低性能終端的瓶頸。那么如何在生產(chǎn)階段安全高效地注入非對(duì)稱rsa密鑰和證書呢，目前通常有以下幾種方式：

方式一：將支付終端放到安全房?jī)?nèi)，物理連接硬件加密機(jī)(hardwaresecuritymodule，hsm)注入密鑰對(duì)和證書；

方式二：由支付終端內(nèi)部生成密鑰對(duì)，生成證書請(qǐng)求文件導(dǎo)出，請(qǐng)求認(rèn)證中心(certificationauthority，ca)簽發(fā)證書。

方式三：支付終端和認(rèn)證中心ca共享一個(gè)秘密信息，ca中心生成密鑰對(duì)和證書之后使用該秘密信息加密后傳遞給支付終端。

但上述方式存在以下缺點(diǎn)：

缺點(diǎn)1：證書的注入工作需要在一個(gè)高安全管控的安全機(jī)房?jī)?nèi)進(jìn)行，通過(guò)人工方式集中注入，增加了安全房的構(gòu)建及維護(hù)成本。

缺點(diǎn)2：終端性能差異較大，且對(duì)大多數(shù)終端來(lái)說(shuō)，rsa密鑰對(duì)的生成時(shí)間隨機(jī)性大，最長(zhǎng)時(shí)間可達(dá)到十幾分鐘左右，極大影響生產(chǎn)效率。

缺點(diǎn)3：為了在支付終端和認(rèn)證中心預(yù)置一個(gè)共享秘密信息，通常采用人工方式，而且終端數(shù)量龐大，要保證該秘密信息每臺(tái)設(shè)備唯一，需要大量的人力資源開銷，且對(duì)該秘密進(jìn)行的管控要達(dá)到極高的安全級(jí)別，否則一旦該秘密信息泄露，終端的私鑰也泄露了。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明所要解決的技術(shù)問(wèn)題是：提供一種rsa密鑰對(duì)和證書的注入方法、架構(gòu)及系統(tǒng)，可在生產(chǎn)階段安全高效地注入rsa密鑰對(duì)和證書。

為了解決上述技術(shù)問(wèn)題，本發(fā)明采用的技術(shù)方案為：一種rsa密鑰對(duì)和證書的注入方法，包括：

支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

本發(fā)明還涉及一種rsa密鑰對(duì)和證書的注入架構(gòu)，包括依次通信連接的支付終端、密鑰管理系統(tǒng)和ca中心；

所述支付終端用于生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

所述支付終端還用于發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

所述密鑰管理系統(tǒng)用于接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

所述ca中心用于根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

所述密鑰管理系統(tǒng)還用于使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

所述支付終端還用于使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

本發(fā)明還涉及一種rsa密鑰對(duì)和證書的注入系統(tǒng)，包括：

第一生成模塊，用于支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

第一發(fā)送模塊，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

第二發(fā)送模塊，用于密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

第二生成模塊，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

加密模塊，用于密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

解密模塊，用于支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

本發(fā)明的有益效果在于：首先支付終端生成一組非對(duì)稱密鑰對(duì)，該非對(duì)稱密鑰對(duì)的密鑰尺寸和系統(tǒng)參數(shù)均小于rsa密鑰對(duì)，因此即便是對(duì)于低性能的支付終端，生成該非對(duì)稱密鑰對(duì)的時(shí)間和加解密速度也很快；然后支付終端將公鑰傳輸給密鑰管理系統(tǒng)，密鑰管理系統(tǒng)通過(guò)公鑰加密要下載的敏感數(shù)據(jù)，包括rsa密鑰對(duì)和證書等，即便其他人截獲傳給支付終端的數(shù)據(jù)，由于沒(méi)有私鑰也無(wú)法正確解密，從而保證了數(shù)據(jù)的機(jī)密性和完整性；同時(shí)，支付終端將請(qǐng)求通過(guò)密鑰管理系統(tǒng)發(fā)送給ca中心，由ca中心集中生成rsa密鑰對(duì)和證書，提高了rsa密鑰對(duì)和證書的生成速度，從而提高了生產(chǎn)效率。本發(fā)明適用于所有類型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)借助非對(duì)稱密鑰技術(shù)，無(wú)需提前與ca中心共享秘密信息，減少了人工操作，節(jié)約了成本且保證安全。

附圖說(shuō)明

圖1為本發(fā)明一種rsa密鑰對(duì)和證書的注入方法的流程圖；

圖2為本發(fā)明一種rsa密鑰對(duì)和證書的注入架構(gòu)的結(jié)構(gòu)示意圖；

圖3為本發(fā)明實(shí)施例一的方法流程圖；

圖4為本發(fā)明實(shí)施例二的方法流程圖；

圖5為本發(fā)明一種rsa密鑰對(duì)和證書的注入系統(tǒng)的結(jié)構(gòu)示意圖；

圖6為本發(fā)明實(shí)施例三的系統(tǒng)結(jié)構(gòu)示意圖。

標(biāo)號(hào)說(shuō)明：

100、支付終端；200、密鑰管理系統(tǒng)；300、ca中心；

1、第一生成模塊；2、第一發(fā)送模塊；3、第二發(fā)送模塊；4、第二生成模塊；5、加密模塊；6、解密模塊；7、存儲(chǔ)模塊；

21、生成單元；22、簽名單元；

31、驗(yàn)證單元；32、發(fā)送單元。

具體實(shí)施方式

為詳細(xì)說(shuō)明本發(fā)明的技術(shù)內(nèi)容、所實(shí)現(xiàn)目的及效果，以下結(jié)合實(shí)施方式并配合附圖詳予說(shuō)明。

本發(fā)明最關(guān)鍵的構(gòu)思在于：基于非對(duì)稱密鑰技術(shù)，將rsa密鑰對(duì)和證書安全注入到支付終端。

縮略語(yǔ)和關(guān)鍵術(shù)語(yǔ)定義：

lkms：localkeymanagementsystem本地密鑰管理系統(tǒng)；

ca：certificationauthority，認(rèn)證中心；它是采用pki(publickeyinfrastructure)公開密鑰基礎(chǔ)架構(gòu)技術(shù)，專門提供網(wǎng)絡(luò)身份認(rèn)證服務(wù)，負(fù)責(zé)簽發(fā)和管理數(shù)字證書；

安全房：具有較高安全級(jí)別，用于存放hsm(高安全設(shè)備，硬件加密機(jī))、服務(wù)器、數(shù)據(jù)庫(kù)的房間，該房間需要訪問(wèn)控制，通常需要雙重控制認(rèn)證后才能進(jìn)去；

對(duì)稱密鑰：加密和解密操作必須使用相同的密鑰對(duì)明文進(jìn)行運(yùn)算；對(duì)稱密鑰加密算法主要包括：des、tdes、aes，idea、等；

非對(duì)稱密鑰：加密密鑰和解密密鑰是不同的，其中一個(gè)密鑰可以公開，另外一個(gè)密鑰需要保密存儲(chǔ)。公開的密鑰通常稱為公鑰(publickey)，需要秘密存儲(chǔ)的密鑰稱為私鑰(privatekey)。常用的非對(duì)稱密鑰算法有：rsa、ecc、國(guó)密sm2、rabin等。

請(qǐng)參閱圖1，一種rsa密鑰對(duì)和證書的注入方法，包括：

支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

從上述描述可知，本發(fā)明的有益效果在于：有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)借助非對(duì)稱密鑰技術(shù)，無(wú)需提前與ca中心共享秘密信息，減少了人工操作，節(jié)約了成本且保證安全。

進(jìn)一步地，所述“支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)”具體為：

支付終端生成請(qǐng)求數(shù)據(jù)，并將所述請(qǐng)求數(shù)據(jù)與第一公鑰進(jìn)行打包，得到請(qǐng)求數(shù)據(jù)包；

使用第一私鑰對(duì)所述請(qǐng)求數(shù)據(jù)包進(jìn)行簽名，并將所述請(qǐng)求數(shù)據(jù)包及其簽名發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述“密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心”具體為：

密鑰管理系統(tǒng)接收所述請(qǐng)求數(shù)據(jù)包及其簽名，并使用所述第一公鑰對(duì)所述請(qǐng)求數(shù)據(jù)包的簽名進(jìn)行合法性驗(yàn)證；

若驗(yàn)證通過(guò)，則將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

由上述描述可知，通過(guò)使用非對(duì)稱密鑰對(duì)中的私鑰對(duì)請(qǐng)求與公鑰進(jìn)行數(shù)字簽名，密鑰管理系統(tǒng)使用公鑰驗(yàn)證支付終端的合法性，保證rsa密鑰和證書的下載請(qǐng)求是由合法的支付終端發(fā)送過(guò)來(lái)的，進(jìn)一步保證了安全性。

進(jìn)一步地，所述“得到所述rsa私鑰和證書”之后，進(jìn)一步包括：

支付終端將所述rsa私鑰和證書存儲(chǔ)至安全區(qū)域中。

由上述描述可知，保證rsa私鑰和證書存儲(chǔ)的安全性。

進(jìn)一步地，所述非對(duì)稱密鑰對(duì)為ecc密鑰對(duì)、sm2密鑰對(duì)或rabin密鑰對(duì)。

由上述描述可知，通過(guò)采用密鑰尺寸和系統(tǒng)參數(shù)均小于rsa密鑰對(duì)的非對(duì)稱密鑰對(duì)，因此即便是對(duì)于低性能的支付終端，生成該非對(duì)稱密鑰對(duì)的時(shí)間和加解密速度也很快。

請(qǐng)參照?qǐng)D5，本發(fā)明還提出一種rsa密鑰對(duì)和證書的注入系統(tǒng)，包括：

第一生成模塊，用于支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

第一發(fā)送模塊，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

第二發(fā)送模塊，用于密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

第二生成模塊，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

加密模塊，用于密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

解密模塊，用于支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

進(jìn)一步地，所述第一發(fā)送模塊包括：

生成單元，用于支付終端生成請(qǐng)求數(shù)據(jù)，并將所述請(qǐng)求數(shù)據(jù)與第一公鑰進(jìn)行打包，得到請(qǐng)求數(shù)據(jù)包；

簽名單元，用于使用第一私鑰對(duì)所述請(qǐng)求數(shù)據(jù)包進(jìn)行簽名，并將所述請(qǐng)求數(shù)據(jù)包及其簽名發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述第二發(fā)送模塊包括：

驗(yàn)證單元，用于密鑰管理系統(tǒng)接收所述請(qǐng)求數(shù)據(jù)包及其簽名，并使用所述第一公鑰對(duì)所述請(qǐng)求數(shù)據(jù)包的簽名進(jìn)行合法性驗(yàn)證；

發(fā)送單元，用于若驗(yàn)證通過(guò)，則將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

進(jìn)一步地，還包括：

存儲(chǔ)模塊7，用于支付終端將所述rsa私鑰和證書存儲(chǔ)至安全區(qū)域中。

進(jìn)一步地，所述非對(duì)稱密鑰對(duì)為ecc密鑰對(duì)、sm2密鑰對(duì)或rabin密鑰對(duì)。

實(shí)施例一

本發(fā)明的實(shí)施例一為：一種rsa密鑰對(duì)和證書的注入方法，可遠(yuǎn)程安全注入rsa密鑰對(duì)和證書到支付終端；所述方法基于非對(duì)稱密鑰技術(shù)，并基于如圖2所示的rsa密鑰對(duì)和證書的注入架構(gòu)，包括依次通信連接的支付終端100、密鑰管理系統(tǒng)200和ca中心300。

由于需要從ca中心獲取rsa密鑰對(duì)和證書，因此需部署ca中心，搭建自己的kpi體系，有以下兩種可選的做法，一是掛靠一個(gè)“可信的第三方ca機(jī)構(gòu)”，成為其附屬機(jī)構(gòu)，所謂“第三方ca機(jī)構(gòu)”也即商用ca，比如cfca(中國(guó)金融認(rèn)證中心)，ctca(中信安全認(rèn)證中心)等；二是廠家建立自己的ca中心，涉及到本方案中，ca中心的主要任務(wù)是給設(shè)備頒發(fā)中心，可建立自有ca(in-houseca)。

同時(shí)，還需建立密鑰管理系統(tǒng)(lkms)和ca中心的安全通信鏈路，根據(jù)建立ca屬性的不同，安全通信鏈路采用不同的方式。以建立自有ca中心為例，ca中心和lkms部署于同一個(gè)安全房中，ca中心位于安全房里間，安全等級(jí)最高；lkms部署于安全房外間，二者通過(guò)專用線路和端口進(jìn)行通信。

如圖3所示，所述方法包括如下步驟：

s1：支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；其中，采用密鑰尺寸和系統(tǒng)參數(shù)均小于rsa密鑰對(duì)的密鑰對(duì)作為所述非對(duì)稱密鑰對(duì)，如ecc密鑰對(duì)、sm2密鑰對(duì)或rabin密鑰對(duì)；優(yōu)選地，所述非對(duì)稱密鑰對(duì)為ecc密鑰對(duì)。

s2：支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

s3：密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；第一公鑰不是敏感數(shù)據(jù)，傳遞過(guò)程中只需要保證完整性即可；

s4：ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

s5：密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

s6：支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書；

s7：支付終端將所述rsa私鑰和證書存儲(chǔ)至安全區(qū)域中，即保存到支付終端的安全存儲(chǔ)區(qū)。

通過(guò)上述步驟安全注入rsa私鑰和證書后，支付終端即可根據(jù)該rsa私鑰和證書下載初始密鑰。

本實(shí)施例先由支付終端生成一對(duì)較簡(jiǎn)短的非對(duì)稱密鑰對(duì)，因此即便是對(duì)于低性能的支付終端，生成該非對(duì)稱密鑰對(duì)的時(shí)間和加解密速度也很快；然后支付終端將公鑰傳輸給密鑰管理系統(tǒng)，密鑰管理系統(tǒng)通過(guò)公鑰加密要下載的敏感數(shù)據(jù)，即便其他人截獲傳給支付終端的數(shù)據(jù)，由于沒(méi)有私鑰也無(wú)法正確解密，從而保證了數(shù)據(jù)的機(jī)密性和完整性；同時(shí)，支付終端將請(qǐng)求通過(guò)密鑰管理系統(tǒng)發(fā)送給ca中心，由ca中心集中生成rsa密鑰對(duì)和證書，提高了rsa密鑰對(duì)和證書的生成速度，從而提高了生產(chǎn)效率。

本發(fā)明適用于所有類型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)借助非對(duì)稱密鑰技術(shù)，無(wú)需提前與ca中心共享秘密信息，減少了人工操作，節(jié)約了成本且保證安全。

實(shí)施例二

請(qǐng)參照?qǐng)D4，本實(shí)施例是實(shí)施例一中步驟s2-s3的進(jìn)一步拓展。

所述步驟s2包括：

s201：支付終端生成請(qǐng)求數(shù)據(jù)，并將所述請(qǐng)求數(shù)據(jù)與第一公鑰進(jìn)行打包，得到請(qǐng)求數(shù)據(jù)包；

s202：使用第一私鑰對(duì)所述請(qǐng)求數(shù)據(jù)包進(jìn)行簽名，并將所述請(qǐng)求數(shù)據(jù)包及其簽名發(fā)送至密鑰管理系統(tǒng)。

所述步驟s3包括：

s301：密鑰管理系統(tǒng)接收所述請(qǐng)求數(shù)據(jù)包及其簽名，并使用所述第一公鑰對(duì)所述請(qǐng)求數(shù)據(jù)包的簽名進(jìn)行合法性驗(yàn)證；

s302：若驗(yàn)證通過(guò)，則將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

本實(shí)施例通過(guò)使用非對(duì)稱密鑰對(duì)中的私鑰對(duì)請(qǐng)求與公鑰進(jìn)行數(shù)字簽名，密鑰管理系統(tǒng)使用公鑰驗(yàn)證支付終端的合法性，保證rsa密鑰和證書的下載請(qǐng)求是由合法的支付終端發(fā)送過(guò)來(lái)的，進(jìn)一步保證了安全性。同時(shí)，通過(guò)采用數(shù)字簽名的方法，保證傳輸?shù)臄?shù)據(jù)不可篡改和可認(rèn)證性。

實(shí)施例三

請(qǐng)參照?qǐng)D6，本實(shí)施例是對(duì)應(yīng)上述實(shí)施例的一種rsa密鑰對(duì)和證書的注入系統(tǒng)，包括：

第一生成模塊1，用于支付終端生成非對(duì)稱密鑰對(duì)，所述非對(duì)稱密鑰對(duì)包括第一公鑰和第一私鑰；

第一發(fā)送模塊2，用于支付終端發(fā)起請(qǐng)求，并將所述請(qǐng)求與所述第一公鑰發(fā)送至密鑰管理系統(tǒng)；

第二發(fā)送模塊3，用于密鑰管理系統(tǒng)接收所述請(qǐng)求與所述第一公鑰，并將所述請(qǐng)求發(fā)送至ca中心；

第二生成模塊4，用于ca中心根據(jù)所述請(qǐng)求生成rsa私鑰和證書，并將所述rsa私鑰和證書通過(guò)安全鏈路發(fā)送至密鑰管理系統(tǒng)，所述證書中包括rsa公鑰；

加密模塊5，用于密鑰管理系統(tǒng)使用所述第一公鑰加密所述rsa私鑰和證書，并將加密后的數(shù)據(jù)發(fā)送至支付終端；

解密模塊6，用于支付終端使用第一私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述rsa私鑰和證書。

進(jìn)一步地，所述第一發(fā)送模塊2包括：

生成單元21，用于支付終端生成請(qǐng)求數(shù)據(jù)，并將所述請(qǐng)求數(shù)據(jù)與第一公鑰進(jìn)行打包，得到請(qǐng)求數(shù)據(jù)包；

簽名單元22，用于使用第一私鑰對(duì)所述請(qǐng)求數(shù)據(jù)包進(jìn)行簽名，并將所述請(qǐng)求數(shù)據(jù)包及其簽名發(fā)送至密鑰管理系統(tǒng)。

進(jìn)一步地，所述第二發(fā)送模塊3包括：

驗(yàn)證單元31，用于密鑰管理系統(tǒng)接收所述請(qǐng)求數(shù)據(jù)包及其簽名，并使用所述第一公鑰對(duì)所述請(qǐng)求數(shù)據(jù)包的簽名進(jìn)行合法性驗(yàn)證；

發(fā)送單元32，用于若驗(yàn)證通過(guò)，則將所述請(qǐng)求數(shù)據(jù)發(fā)送至ca中心。

進(jìn)一步地，還包括：

存儲(chǔ)模塊7，用于支付終端將所述rsa私鑰和證書存儲(chǔ)至安全區(qū)域中。

進(jìn)一步地，所述非對(duì)稱密鑰對(duì)為ecc密鑰對(duì)、sm2密鑰對(duì)或rabin密鑰對(duì)。

綜上所述，本發(fā)明提供的一種rsa密鑰對(duì)和證書的注入方法、架構(gòu)及系統(tǒng)，首先支付終端生成一組非對(duì)稱密鑰對(duì)，該非對(duì)稱密鑰對(duì)的密鑰尺寸和系統(tǒng)參數(shù)均小于rsa密鑰對(duì)，因此即便是對(duì)于低性能的支付終端，生成該非對(duì)稱密鑰對(duì)的時(shí)間和加解密速度也很快；然后支付終端將公鑰傳輸給密鑰管理系統(tǒng)，密鑰管理系統(tǒng)通過(guò)公鑰加密要下載的敏感數(shù)據(jù)，包括rsa密鑰對(duì)和證書等，即便其他人截獲傳給支付終端的數(shù)據(jù)，由于沒(méi)有私鑰也無(wú)法正確解密，從而保證了數(shù)據(jù)的機(jī)密性和完整性；同時(shí)，支付終端將請(qǐng)求通過(guò)密鑰管理系統(tǒng)發(fā)送給ca中心，由ca中心集中生成rsa密鑰對(duì)和證書，提高了rsa密鑰對(duì)和證書的生成速度，從而提高了生產(chǎn)效率。本發(fā)明適用于所有類型的支付終端，有效解決了支付終端自己產(chǎn)生rsa密鑰對(duì)效率低下的問(wèn)題，通過(guò)借助非對(duì)稱密鑰技術(shù)，無(wú)需提前與ca中心共享秘密信息，減少了人工操作，節(jié)約了成本且保證安全。

以上所述僅為本發(fā)明的實(shí)施例，并非因此限制本發(fā)明的專利范圍，凡是利用本發(fā)明說(shuō)明書及附圖內(nèi)容所作的等同變換，或直接或間接運(yùn)用在相關(guān)的技術(shù)領(lǐng)域，均同理包括在本發(fā)明的專利保護(hù)范圍內(nèi)。