[發明專利]一種基于多證書應用的服務端安全認證方法及系統

在審

• 申請號: 201811027897.1
• 申請日: 2018-09-04
• 公開（公告）號: CN109409041A
• 公開（公告）日: 2019-03-01
• 發明（設計）人: 黃和石;繆云青;李繼
• 申請（專利權）人: 航天信息股份有限公司
• 主分類號: G06F21/30
• 分類號: G06F21/30;G06F21/33;G06F21/45
• 代理公司: 北京工信聯合知識產權代理有限公司 11266
• 代理人: 商琛

1.一種基于多證書應用的服務端安全認證方法，其特征在于，所述方法包括：

位于服務器端的安全通訊服務器與位于客戶端的USB key進行認證，生成與業務操作類型對應的CA根證書，并分別導入至安全通訊服務器和USB key；其中，多證書應用時支持導入多個CA根證書；

根據業務操作需求，所述安全通訊服務器接收所述USB key發送的與業務操作類型對應的CA根證書和客戶端證書，并利用所述USB key發送的與業務操作類型對應的CA根證書和客戶端證書與所述安全通訊服務器存儲的CA根證書進行比較，對客戶端的身份進行驗證；

所述客戶端接收所述安全通訊服務器的CA根證書，并利用所述安全通訊服務器的CA根證書和所述USB key寫入的服務器的CA根證書進行比較，驗證所述安全通訊服務器的真偽；

當所述安全通訊服務器和客戶端的USB key驗證通過后，根據所述業務操作需求進行數據的傳輸。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

根據所述業務操作需求確定數據加密方式和數據傳輸接口，并附加客戶端證書，以使得數據業務操作數據安全快速的傳輸。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在業務操作處理階段，對客戶端用戶的身份信息進行采集，以對客戶端用戶的身份進行認證；其中，認證方式包括：指紋認證、虹膜認證、密碼和數字身份認證、手機和數字證書認證、電子認證以及刷臉認證。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在所述安全通訊服務器中設置準入列表，并當所述客戶端通過所述安全通訊服務器的驗證后，更新準入列表中當前客戶端對應的屬性信息；其中，所述準入列表中的屬性包括：操作權限、訪問控制和活躍指數；不同的業務操作類型對應的CA根證書對應不同的操作權限。

5.根據權利要求4所述的方法，其特征在于，所述方法還包括：

當所述客戶端通過所述安全通訊服務器的驗證后，增加所述客戶端的證書序列號的活躍指數，并在所述證書序列號的活躍指數達到預設活躍閾值時，設置所述客戶端的證書序列號的有效期限。

6.根據權利要求4所述的方法，其特征在于，所述方法還包括：

根據預設的審計周期對所述準入列表進行審計，刪除在預設時間段內未使用或者未達到預設活躍指數閾值的客戶端證書序列號，并對對應的客戶端進行降低權限處理。

7.根據權利要求4所述的方法，其特征在于，所述方法還包括：記錄客戶端的證書序列號，并將所述證書序列號的導入和刪除操作均記錄于日志用于審計；其中，所述日志采用不能修改且循環覆蓋的方式。

8.一種基于多證書應用的服務端安全認證系統，其特征在于，所述系統包括：

發行制證模塊，用于位于服務器端的安全通訊服務器與位于客戶端的USB key進行認證，生成與業務操作類型對應的CA根證書，并分別導入至安全通訊服務器和USB key；其中，多證書應用時支持導入多個CA根證書；

客戶端身份認證模塊，用于根據業務操作需求，所述安全通訊服務器接收所述USB key發送的與業務操作類型對應的CA根證書和客戶端證書，并利用所述USB key發送的與業務操作類型對應的CA根證書和客戶端證書與所述安全通訊服務器存儲的CA根證書進行比較，對客戶端的身份進行驗證；

安全通訊服務器身份認證模塊，用于所述客戶端接收所述安全通訊服務器的CA根證書，并利用所述安全通訊服務器的CA根證書和所述USB key寫入的服務器的CA根證書進行比較，驗證所述安全通訊服務器的真偽；

數據傳輸模塊，用于當所述安全通訊服務器和客戶端的USB key驗證通過后，根據所述業務操作需求進行數據的傳輸。

9.根據權利要求8所述的系統，其特征在于，所述數據傳輸模塊，還包括：

根據所述業務操作需求確定數據加密方式和數據傳輸接口，并附加客戶端證書，以使得數據業務操作數據安全快速的傳輸。