[發(fā)明專利]一種支持短距離無線通信技術(shù)的電子簽名裝置和應(yīng)用該裝置保證電子交易安全的方法

無效

• 申請?zhí)枺?/td>: 201010123473.2
• 申請日: 2010-03-12
• 公開（公告）號: CN101841417A
• 公開（公告）日: 2010-09-22
• 發(fā)明（設(shè)計）人: 李勇
• 申請（專利權(quán)）人: 李勇
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04B5/00;G06Q30/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術(shù)領(lǐng)域

本發(fā)明涉及一種用于確保手機銀行、網(wǎng)絡(luò)銀行等電子交易數(shù)據(jù)安全性的、支持短距離無線通信的電子簽名裝置和應(yīng)用該裝置保證電子交易安全的方法，屬于信息安全技術(shù)領(lǐng)域。

背景技術(shù)

網(wǎng)絡(luò)電子交易，通常指由用戶和后臺服務(wù)程序之間傳遞一組交易數(shù)據(jù)(如：購買某些物品，或者從自己帳戶向某個帳戶劃轉(zhuǎn)一定的金額)的交互過程，在這個過程中必須確保網(wǎng)絡(luò)電子交易數(shù)據(jù)的安全性。網(wǎng)絡(luò)電子交易的安全性包括：交易數(shù)據(jù)是用戶真實輸入，而不是被偽造或修改，以及交易過程的不可抵賴和交易數(shù)據(jù)的不可修改。

根據(jù)《電子簽名法》的要求，目前基于PKI技術(shù)的電子簽名技術(shù)廣泛應(yīng)用于電子交易過程，電子簽名裝置通常是一個帶有USB接口的獨立硬件，如USBkey，在該硬件中完成電子交易數(shù)據(jù)的加密、摘要、簽名等全部或部分運算的過程。應(yīng)用電子簽名技術(shù)，可以保證經(jīng)過電子簽名的內(nèi)容不可更改、不可抵賴等。目前上述電子簽名裝置得到了廣泛的應(yīng)用，如：銀行發(fā)給網(wǎng)上銀行用戶的此類裝置，目前全國的發(fā)行量數(shù)以千萬計算。成為了保證涉及大量資金轉(zhuǎn)移的安全技術(shù)。

但是，由于電子簽名裝置進(jìn)行電子簽名的交易數(shù)據(jù)，是用戶通過，通常是Windows操作系統(tǒng)的計算機交互產(chǎn)生的，對用戶而言，其內(nèi)容是顯示在計算機屏幕上的，然后由程序?qū)⑸鲜鰯?shù)據(jù)通過上述通信端口送往電子簽名裝置中。而在上述電子交易數(shù)據(jù)的傳遞過程中，用戶進(jìn)行交互的環(huán)境(通常是Windows系統(tǒng))是不安全的，可以存在獨立的非交易方的觀察者，如黑客程序。黑客程序可以在數(shù)據(jù)通過通信端口送往電子簽名裝置前，修改上述電子交易的信息，導(dǎo)致電子交易數(shù)據(jù)被修改或者偽造，從而無法保證實際由簽名裝置簽名的電子交易內(nèi)容，是否為用戶真實輸入或在計算機屏幕上見到內(nèi)容。即無法真正防止惡意程序在將數(shù)據(jù)送往電子簽名裝置的過程中，對將要進(jìn)行電子簽名的內(nèi)容進(jìn)行篡改，改變用戶期望中的電子交易的對象、金額、受益人等，給用戶帶來損失。上述方法通常稱為“交易劫持”、“交易偽造”等，即無法保證交易數(shù)據(jù)的真實性。

在用戶通過網(wǎng)絡(luò)購買物品時，同樣也存在交易劫持、交易偽造，如惡意程序?qū)μ峤唤o后臺服務(wù)程序的用戶購買的物品清單進(jìn)行增加或者刪減，或者修改用戶購買物品為用戶沒有購買的物品，這也需要用戶對電子交易數(shù)據(jù)進(jìn)行真實性確認(rèn)。

目前的解決的方案，是在電子簽名裝置中另外增加一個顯示裝置和必要的按鍵等控制裝置，對送入電子簽名裝置中的數(shù)據(jù)進(jìn)行顯示，并由用戶確認(rèn)數(shù)據(jù)的真實性，如果確認(rèn)真實，則用戶觸動必要的按鍵表示確認(rèn)，電子簽名裝置從而對確認(rèn)真實的電子交易數(shù)據(jù)執(zhí)行簽名運算。但是上述帶有顯示、按鍵的電子簽名裝置，限于成本和便攜性，顯示屏幕通常較小，連接在電腦上操作非常不方便。

此外，隨著手機的普及、功能逐漸強大和3G時代的到來，手機因其用戶隨身攜帶、隨時在線等特性，可以為用戶提供更便利的支付服務(wù)，因此手機銀行迎來了新的大發(fā)展的機遇。作為電子交易的安全保障，USBkey在推動網(wǎng)上銀行發(fā)展的過程中，起到了保駕護(hù)航的作用。在手機銀行中，根據(jù)電子簽名法的要求，也同樣需要一個支持電子簽名的裝置，實現(xiàn)對手機銀行等手機電子交易數(shù)據(jù)進(jìn)行簽名。傳統(tǒng)的解決方案包括李勇SIM卡、SD卡來實現(xiàn)USBKey的功能，或者更簡單的將數(shù)字簽名算法和密鑰存儲在手機當(dāng)中。

但是，與計算機上的應(yīng)用尚算成功的USBKey相比，上述方案的安全性顯得更加薄弱。USBKey是隨身攜帶，只在使用時由用戶連接到計算機，連接時間較短，而上述方案中的電子簽名裝置或方法則是隨時在線，用戶物理拆除的操作非常不方便或根本不可行，隨著智能手機的普及和手機病毒木馬的出現(xiàn)，上述惡意程序可以在用戶不知情的情況下，任意惡意使用上述裝置，上述方案的安全性甚至比計算機的USBKey更差，從而帶來比USBKey更嚴(yán)重的安全威脅。

藍(lán)牙(BlueTooth)技術(shù)作為一種常見的近距離通信方式，能夠有效地簡化掌上電腦、筆記本電腦和移動電話手機等移動通信終端設(shè)備之間的通信，也能夠成功地簡化以上這些設(shè)備與因特網(wǎng)Internet之間的通信，從而使這些現(xiàn)代通信設(shè)備與因特網(wǎng)之間的數(shù)據(jù)傳輸變得更加迅速高效，為無線通信拓寬道路。目前獲得了多數(shù)手機和筆記本電腦的支持，由此，設(shè)計一種支持藍(lán)牙的電子簽名裝置，可以使手機銀行獲得與計算機相等甚至更好的安全性，便利性更超過了傳統(tǒng)的USBKey，更使得一個簽名設(shè)備可以通用于手機和計算機，將為以網(wǎng)絡(luò)銀行、手機銀行為代表的電子銀行的更大規(guī)模的普及起到重要的安全保障作用。