[發(fā)明專利]一種基于指紋識(shí)別的公鑰密碼集中服務(wù)的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202010216292.8
• 申請(qǐng)日: 2020-03-25
• 公開(kāi)（公告）號(hào): CN111447214B
• 公開(kāi)（公告）日: 2022-07-05
• 發(fā)明（設(shè)計(jì)）人: 趙瑞;甄鵬
• 申請(qǐng)（專利權(quán)）人: 北京左江科技股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 中國(guó)兵器工業(yè)集團(tuán)公司專利中心 11011
• 代理人: 張然

1.一種基于指紋識(shí)別的公鑰密碼集中服務(wù)的方法，其特征在于，包括：

進(jìn)行登錄認(rèn)證，包括：

客戶端連接登錄服務(wù)進(jìn)行對(duì)時(shí)，將采集到的用戶指紋通過(guò)一次一密算法保護(hù)后發(fā)送到登錄服務(wù)進(jìn)行驗(yàn)證；

登錄服務(wù)將采集的用戶指紋信息，與存儲(chǔ)在數(shù)據(jù)庫(kù)服務(wù)器中的用戶指紋信息進(jìn)行比對(duì)驗(yàn)證，驗(yàn)證失敗，則返回錯(cuò)誤消息；

登錄服務(wù)將采集的用戶指紋信息，與存儲(chǔ)在數(shù)據(jù)庫(kù)服務(wù)器中的用戶指紋信息進(jìn)行比對(duì)驗(yàn)證；驗(yàn)證通過(guò)，登錄服務(wù)生成一個(gè)TOKEN令牌，并為客戶端選擇一個(gè)密碼服務(wù)節(jié)點(diǎn)，將TOKEN令牌和密碼服務(wù)節(jié)點(diǎn)的IP地址和端口號(hào)返回給客戶端，用戶訪問(wèn)密碼服務(wù)時(shí)，進(jìn)行TOKEN令牌認(rèn)證；以及

當(dāng)用戶訪問(wèn)密碼服務(wù)通過(guò)TOKEN令牌認(rèn)證；如登錄認(rèn)證通過(guò)，則繼續(xù)，否則，結(jié)束；以及

判斷是否為第一次登陸系統(tǒng)，如果是，調(diào)用密碼服務(wù)生成簽名公私鑰對(duì)和簽名證書(shū)CSR申請(qǐng)文件，然后用戶將CSR文件提交到CA申請(qǐng)簽名證書(shū)和加密證書(shū)，當(dāng)CA返回簽名和加密證書(shū)及加密私鑰后，使用CA根證書(shū)驗(yàn)證用戶導(dǎo)入證書(shū)是否為同CA簽發(fā)給該用戶的有效合法證書(shū)，驗(yàn)證通過(guò)后將用戶公私鑰證書(shū)及相關(guān)文件解密轉(zhuǎn)換后，使用用戶指紋模板產(chǎn)生的PIN碼加密存儲(chǔ)在數(shù)據(jù)庫(kù)中；

當(dāng)在客戶端導(dǎo)入用戶加密和簽名證書(shū)后，基于加密證書(shū)中的公私鑰進(jìn)行數(shù)據(jù)的加解密服務(wù)，或者基于簽名公私鑰進(jìn)行簽名驗(yàn)簽服務(wù)；

一次一密算法保護(hù)包括：登錄時(shí)用戶輸入口令，客戶端把用戶口令和時(shí)間因子數(shù)據(jù)使用HMAC算法計(jì)算得到一次性口令作為HMAC算法的密鑰，使用一次性口令對(duì)指紋采集信息進(jìn)行傳輸保護(hù)；

解密私鑰和簽名私鑰由用戶指紋模板信息雜湊產(chǎn)生的PIN碼進(jìn)行加密保護(hù)；簽名私鑰和驗(yàn)證公鑰證書(shū)用于對(duì)用戶數(shù)據(jù)進(jìn)行數(shù)字簽名與驗(yàn)簽；用戶文件/數(shù)據(jù)密鑰用來(lái)對(duì)用戶請(qǐng)求加密的文件或數(shù)據(jù)進(jìn)行對(duì)稱算法加密，由用戶加密公鑰對(duì)用戶文件/數(shù)據(jù)密鑰進(jìn)行加密保護(hù)，用戶解密私鑰對(duì)用戶文件/數(shù)據(jù)密鑰進(jìn)行解密；

各用戶證書(shū)的申請(qǐng)流程包括：

在客戶端上調(diào)用密碼服務(wù)接口，生成簽名密鑰對(duì)；

在客戶端上調(diào)用密碼服務(wù)接口，生成簽名證書(shū)CSR申請(qǐng)文件；

將CSR申請(qǐng)文件提交到RA；

RA向CA提交CSR申請(qǐng)文件和用戶信息；

CA獲取用戶信息和CSR申請(qǐng)文件，向KMC申請(qǐng)密鑰；

KMC生成一個(gè)對(duì)稱加密密鑰和一對(duì)非對(duì)稱加密密鑰對(duì)，非對(duì)稱加密密鑰對(duì)為加密公鑰和解密私鑰；

使用對(duì)稱加密密鑰，加密解密私鑰；

使用用戶提供的驗(yàn)證公鑰加密對(duì)稱密鑰；

KMC將加密公鑰、已加密的解密私鑰以及已加密的對(duì)稱密鑰發(fā)給CA；

CA根據(jù)用戶驗(yàn)證公鑰和用戶信息生成簽名證書(shū)；

CA根據(jù)加密公鑰和用戶信息生成加密證書(shū)；

RA下載加密證書(shū)、簽名證書(shū)、已加密的解密私鑰以及已加密的對(duì)稱加密密鑰；

用戶下載加密證書(shū)、簽名證書(shū)、已加密的解密私鑰以及已加密的對(duì)稱加密密鑰；

在客戶端上調(diào)用密碼服務(wù)接口，將簽名證書(shū)導(dǎo)入到密碼服務(wù)；

密碼服務(wù)驗(yàn)證用戶導(dǎo)入簽名證書(shū)的合法性、有效期以及CN是否與用戶本人ID號(hào)一致；

在客戶端上調(diào)用密碼服務(wù)接口，將加密證書(shū)及私鑰口令的密文導(dǎo)入到密碼服務(wù)；

密碼服務(wù)驗(yàn)證用戶導(dǎo)入加密證書(shū)的合法性、有效期以及CN是否與用戶本人ID號(hào)一致；

密碼服務(wù)使用簽名私鑰解密得到對(duì)稱加密密鑰；

密碼服務(wù)使用對(duì)稱加密密鑰解密得到解密私鑰；

將用戶的簽名私鑰和解密私鑰使用用戶模板信息雜湊生成的PIN碼進(jìn)行對(duì)稱加密保存在數(shù)據(jù)庫(kù)中。

2.如權(quán)利要求1所述的基于指紋識(shí)別的公鑰密碼集中服務(wù)的方法，其特征在于，用戶每次進(jìn)行數(shù)據(jù)加密時(shí)，先調(diào)用初始化接口，根據(jù)對(duì)稱算法及模式，生成一個(gè)對(duì)稱加密密鑰，由用戶加密公鑰加密保護(hù)，使得用戶文件和數(shù)據(jù)加密一次一密。

3.如權(quán)利要求1所述的基于指紋識(shí)別的公鑰密碼集中服務(wù)的方法，其特征在于，使用用戶指紋模板PIN碼作密鑰對(duì)TOKEN明文進(jìn)行對(duì)稱加密；

客戶端攜帶TOKEN令牌訪問(wèn)密碼服務(wù)，調(diào)用密碼服務(wù)提供的密碼服務(wù)，密碼服務(wù)根據(jù)用戶ID號(hào)查找用戶信息，使用指紋模板PIN碼對(duì)TOKEN令牌解密，對(duì)TOKEN數(shù)據(jù)明文進(jìn)行驗(yàn)證。