[發(fā)明專利]一種證書(shū)預(yù)植系統(tǒng)及其方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202011364933.0
• 申請(qǐng)日: 2020-11-27
• 公開(kāi)（公告）號(hào): CN112487391A
• 公開(kāi)（公告）日: 2021-03-12
• 發(fā)明（設(shè)計(jì)）人: 戴凱宇;李佳瑤
• 申請(qǐng)（專利權(quán)）人: 交通銀行股份有限公司
• 主分類號(hào): G06F21/33
• 分類號(hào): G06F21/33;G06F21/64;G06F21/73
• 代理公司: 上海科盛知識(shí)產(chǎn)權(quán)代理有限公司 31225
• 代理人: 林君如

本發(fā)明涉及一種證書(shū)預(yù)植系統(tǒng)及其方法，該系統(tǒng)包括key廠商、證書(shū)預(yù)植機(jī)構(gòu)和銀行CA機(jī)構(gòu)，銀行CA機(jī)構(gòu)頒發(fā)設(shè)備證書(shū)的根證書(shū)給key廠商；key廠商生產(chǎn)預(yù)植有設(shè)備證書(shū)的key設(shè)備，并將該key設(shè)備發(fā)送到證書(shū)預(yù)植機(jī)構(gòu)；證書(shū)預(yù)植機(jī)構(gòu)向銀行CA機(jī)構(gòu)發(fā)送包含簽名的用戶證書(shū)請(qǐng)求，由銀行CA機(jī)構(gòu)簽發(fā)用戶證書(shū)給證書(shū)預(yù)植機(jī)構(gòu)，并由key設(shè)備將用戶證書(shū)及設(shè)備證書(shū)進(jìn)行比對(duì)，以完成用戶證書(shū)預(yù)植過(guò)程。與現(xiàn)有技術(shù)相比，本發(fā)明通過(guò)在key設(shè)備中預(yù)植設(shè)備證書(shū)，在生成證書(shū)請(qǐng)求時(shí)將申請(qǐng)的證書(shū)的序列號(hào)與設(shè)備序列號(hào)進(jìn)行比對(duì)、在簽發(fā)證書(shū)時(shí)將申請(qǐng)的證書(shū)的序列號(hào)與設(shè)備序列號(hào)進(jìn)行比對(duì)、在下載證書(shū)時(shí)將用戶證書(shū)的序列號(hào)再次與設(shè)備序列號(hào)進(jìn)行比對(duì)，以此有效防止非法下載用戶證書(shū)的行為。

技術(shù)領(lǐng)域

本發(fā)明涉及數(shù)字證書(shū)安全技術(shù)領(lǐng)域，尤其是涉及一種證書(shū)預(yù)植系統(tǒng)及其方法。

背景技術(shù)

銀行給客戶發(fā)放證書(shū)用于電子銀行交易在線認(rèn)證，一般會(huì)使用USB key等設(shè) 備存放證書(shū)。為方便客戶使用，銀行需要在key設(shè)備中預(yù)植證書(shū)，并將攜帶用戶證 書(shū)的key設(shè)備發(fā)放給客戶，銀行在發(fā)放key設(shè)備時(shí)，會(huì)預(yù)先將證書(shū)DN中的序列號(hào) 與客戶號(hào)在銀行系統(tǒng)中進(jìn)行綁定。

簽發(fā)證書(shū)的CA(Certificated Authority，認(rèn)證機(jī)構(gòu))系統(tǒng)一般部署在銀行內(nèi)部，由銀行自建，key廠商生產(chǎn)key設(shè)備，但是生產(chǎn)的key設(shè)備中不包含用戶證書(shū)。銀 行出于成本考慮，通常會(huì)委托證書(shū)預(yù)植機(jī)構(gòu)做證書(shū)預(yù)植，即設(shè)備廠商將生產(chǎn)出來(lái)的 key設(shè)備發(fā)送給證書(shū)預(yù)植機(jī)構(gòu)，證書(shū)預(yù)植機(jī)構(gòu)再調(diào)用銀行的接口將用戶證書(shū)下載到 key設(shè)備中。

由于證書(shū)預(yù)植機(jī)構(gòu)調(diào)用銀行接口下載證書(shū)(key設(shè)備中生成公私鑰對(duì)，將公鑰 放在證書(shū)請(qǐng)求P10中導(dǎo)出，證書(shū)預(yù)植機(jī)構(gòu)將證書(shū)請(qǐng)求P10提交給銀行做簽發(fā)證書(shū)， 然后將銀行簽發(fā)的公鑰證書(shū)導(dǎo)入對(duì)應(yīng)的key設(shè)備中)，在下載證書(shū)的過(guò)程中，一方 面，證書(shū)預(yù)植機(jī)構(gòu)可能調(diào)用銀行接口隨意下載獲取未經(jīng)銀行授權(quán)的用戶證書(shū)，另一 方面，證書(shū)預(yù)植機(jī)構(gòu)可能使用未經(jīng)銀行確認(rèn)的key設(shè)備下載用戶證書(shū)，為防止上述 現(xiàn)象的發(fā)生，目前大多通過(guò)商業(yè)協(xié)議約束證書(shū)預(yù)植機(jī)構(gòu)的行為，但這種方式的約束 力較低，并不能真正有效防止證書(shū)預(yù)植機(jī)構(gòu)非法下載用戶證書(shū)的行為。

發(fā)明內(nèi)容

本發(fā)明的目的就是為了克服上述現(xiàn)有技術(shù)存在的缺陷而提供一種證書(shū)預(yù)植系 統(tǒng)及其方法，以有效防止證書(shū)預(yù)植機(jī)構(gòu)非法下載用戶證書(shū)的行為。

本發(fā)明的目的可以通過(guò)以下技術(shù)方案來(lái)實(shí)現(xiàn)：一種證書(shū)預(yù)植系統(tǒng)，包括key 廠商、證書(shū)預(yù)植機(jī)構(gòu)和銀行CA機(jī)構(gòu)，所述銀行CA機(jī)構(gòu)用于頒發(fā)設(shè)備證書(shū)的根證 書(shū)給key廠商；

所述key廠商與證書(shū)預(yù)植機(jī)構(gòu)連接，用于生產(chǎn)預(yù)植有設(shè)備證書(shū)的key設(shè)備，并 將該key設(shè)備發(fā)送到證書(shū)預(yù)植機(jī)構(gòu)；

所述證書(shū)預(yù)植機(jī)構(gòu)與銀行CA機(jī)構(gòu)雙向連接，用于向銀行CA機(jī)構(gòu)發(fā)送包含簽 名的證書(shū)請(qǐng)求，由銀行CA機(jī)構(gòu)簽發(fā)用戶證書(shū)給證書(shū)預(yù)植機(jī)構(gòu)，并由key設(shè)備將用 戶證書(shū)及設(shè)備證書(shū)進(jìn)行比對(duì)，以完成用戶證書(shū)預(yù)植過(guò)程。

進(jìn)一步地，所述key設(shè)備包括USB key和藍(lán)牙key。

一種證書(shū)預(yù)植方法，包括以下步驟：

S1、銀行CA機(jī)構(gòu)頒發(fā)設(shè)備證書(shū)的根證書(shū)給key廠商；

S2、key廠商根據(jù)設(shè)備證書(shū)的根證書(shū)，生產(chǎn)預(yù)植有設(shè)備證書(shū)的key設(shè)備，并將 生產(chǎn)的key設(shè)備發(fā)送到證書(shū)預(yù)植機(jī)構(gòu)；

S3、證書(shū)預(yù)植機(jī)構(gòu)從key設(shè)備中獲取包含簽名的用戶證書(shū)請(qǐng)求，并將該包含簽 名的證書(shū)請(qǐng)求發(fā)送給銀行CA機(jī)構(gòu)；

S4、銀行CA機(jī)構(gòu)對(duì)證書(shū)請(qǐng)求進(jìn)行驗(yàn)簽，并進(jìn)行序列號(hào)比對(duì)操作，若驗(yàn)簽通過(guò)， 且序列號(hào)比對(duì)成功，則銀行CA機(jī)構(gòu)簽發(fā)用戶證書(shū)給證書(shū)預(yù)植機(jī)構(gòu)，否則結(jié)束證書(shū) 預(yù)植過(guò)程；