[發明專利]客戶端證書認證方法、服務器和客戶端

有效

• 申請號: 201310311726.2
• 申請日: 2013-07-23
• 公開（公告）號: CN103414699B
• 公開（公告）日: 2017-04-26
• 發明（設計）人: 劉桂源
• 申請（專利權）人: 北京星網銳捷網絡技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京同立鈞成知識產權代理有限公司11205
• 代理人: 馬爽

技術領域

本發明涉及通信技術，尤其涉及一種客戶端證書認證方法、服務器和客戶端。

背景技術

隨著互聯網技術的發展，身份認證問題成為互聯網應用需要解決的問題之一。根據安全等級的不同要求和所配備的外部認證設施，用戶可以通過多種方式進行身份認證，其中安全性較高的方式是數字證書認證。

數字證書中包含公鑰和證書持有者、頒發者的信息，證書持有者有對應的私鑰和公鑰，證書認證中心（Certification Authority，簡稱CA）證書為可以簽發子證書的證書，頂級CA證書稱為根證書，下面有二級CA證書等。客戶端證書認證過程中，服務端如果擁有客戶端證書的頒發者頒發的CA證書，那么就能驗證客戶端CA證書的有效期。

傳統的客戶端證書認證方式，如果數字證書和密碼被盜會引起泄密，給客戶帶來不可估量的損失。

發明內容

本發明提供一種客戶端證書認證方法、服務器和客戶端，通過將數字證書和客戶端硬件特征綁定，防止數字證書被盜引起的泄密。

本發明第一方面提供一種客戶端證書認證方法，包括：

服務器接收客戶端發送的證書鏈，所述證書鏈包括二級證書認證中心CA證書、客戶端臨時證書，所述二級CA證書中包含所述客戶端的硬件特征碼對應的第一信息摘要算法MD5值，所述客戶端臨時證書中包含所述硬件特征碼；

所述服務器驗證所述證書鏈是否合法，若所述證書鏈合法，則根據所述客戶端臨時證書中所包含的硬件特征碼生成對應的第二MD5值，比較所述第一MD5值與所述第二MD5值是否相同，若相同，則確定所述客戶端身份有效。

如上所述的方法，所述客戶端臨時證書由所述二級CA證書簽發。

如上所述的方法，所述服務器接收客戶端發送的證書鏈包括：

所述服務器在安全套接字層SSL重協商的加密通道中接收所述客戶端發送的所述證書鏈。

本發明第二方面提供一種客戶端證書認證方法，包括：

客戶端采集自身的硬件特征碼；

所述客戶端向服務器發送證書鏈，所述證書鏈包括二級證書認證中心CA證書、客戶端臨時證書，所述二級CA證書中包含所述客戶端的硬件特征碼對應的第一信息摘要算法MD5值，所述客戶端臨時證書中包含所述硬件特征碼。

如上所述的方法，所述客戶端向服務器發送證書鏈之前，還包括：

所述客戶端向所述服務器申請所述二級CA證書；

所述客戶端通過所述二級CA證書簽發所述客戶端臨時證書。

如上所述的方法，所述客戶端向服務器發送證書鏈，包括：

所述客戶端在安全套接字層SSL重協商的加密通道中向所述服務器發送所述證書鏈。

本發明第三方面提供一種服務器，包括：

接收模塊，用于接收客戶端發送的證書鏈，所述證書鏈包括二級證書認證中心CA證書、客戶端臨時證書，所述二級CA證書中包含所述客戶端的硬件特征碼對應的第一信息摘要算法MD5值，所述客戶端臨時證書中包含所述硬件特征碼；

驗證模塊，用于驗證所述證書鏈是否合法，若所述證書鏈合法，則根據所述客戶端臨時證書中所包含的硬件特征碼生成對應的第二MD5值，比較所述第一MD5值與所述第二MD5值是否相同，若相同，則確定所述客戶端身份有效。

如上所述的服務器，所述客戶端臨時證書由所述二級CA證書簽發。

如上所述的服務器，所述接收模塊具體用于：

在安全套接字層SSL重協商的加密通道中接收所述客戶端發送的所述證書鏈。

本發明第四方面提供一種客戶端，包括：

硬件特征碼采集模塊，用于采集所述客戶端的硬件特征碼；

發送模塊，用于向服務器發送證書鏈，所述證書鏈包括二級證書認證中心CA證書、客戶端臨時證書，所述二級CA證書中包含所述客戶端的硬件特征碼對應的第一信息摘要算法MD5值，所述客戶端臨時證書中包含所述硬件特征碼。

如上所述的客戶端，還包括：

證書申請模塊，用于向所述服務器申請所述二級CA證書；

證書簽發模塊，用于通過所述二級CA證書簽發所述客戶端臨時證書。

如上所述的客戶端，所述發送模塊具體用于：在安全套接字層SSL重協商的加密通道中向所述服務器發送所述證書鏈。