專利名稱：用戶終端、登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法和綁定/解綁定方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種網(wǎng)絡(luò)服務(wù)安全技術(shù)，特別是涉及一種用戶終端及其登錄網(wǎng)
絡(luò)服務(wù)系統(tǒng)的方法，以及在用戶終端上綁定USB Key和解除USB Key綁定的方法。
背景技術(shù)：
隨著IT技術(shù)和互聯(lián)網(wǎng)的普及，金融機(jī)構(gòu)的電子化程度也越來越高。自全 球第一家網(wǎng)絡(luò)銀行誕生至今，此類銀行業(yè)務(wù)得到用戶高度認(rèn)可，發(fā)展非常迅速。 目前，幾乎所有的商業(yè)銀行都提供了網(wǎng)上銀行業(yè)務(wù)。在一些歐美國家，銀行的 幾乎全部業(yè)務(wù)都可以通過網(wǎng)上銀行客戶端完成，用戶在家就可以完成個(gè)人大部
分金融業(yè)務(wù)?？梢?，網(wǎng)上銀行業(yè)務(wù)可以替換大量的銀行業(yè)務(wù)網(wǎng)點(diǎn)，并能通過網(wǎng) 絡(luò)向客戶推送大量的產(chǎn)品消息達(dá)到更好的產(chǎn)品營銷目的。
隨著網(wǎng)上銀行的部署，安全性問題也成為網(wǎng)上銀行的關(guān)鍵問題。網(wǎng)上銀行 系統(tǒng)要求客戶使用瀏覽器作為客戶端，并且需要客戶在計(jì)算機(jī)上進(jìn)行操作，因 此可以認(rèn)為客戶的計(jì)算機(jī)和瀏覽器是個(gè)人網(wǎng)上銀行系統(tǒng)的邊界部分。但是由于 無法控制客戶的計(jì)算機(jī)并對(duì)其進(jìn)行安全檢查，因此如果客戶的計(jì)算機(jī)存在安全 問題，客戶敏感信息在提交給網(wǎng)上銀行系統(tǒng)之前被非法訪問，可能會(huì)威脅到網(wǎng) 上銀行系統(tǒng)的安全性。
為了提升網(wǎng)上銀行的安全性問題，各商業(yè)銀行也提出了非常多的解決方 案。典型的，比如基于USBKey的安全登錄方案，基于IC卡的安全方案，基 于磁條卡刷卡機(jī)具的安全方案，以及基于一次密碼設(shè)備的安全方案等等。
在現(xiàn)有的解決方案中，由于USB Key的安全登錄方案相對(duì)于其他解決方 案具有較高安全性、用戶使用方便的特點(diǎn)，因而發(fā)展最為迅速。然而，由于基 于USBKey的安全登錄方案中需要采用USBKey,因而增加了成本，從而真 正使用此設(shè)備的用戶數(shù)量遠(yuǎn)低于預(yù)期。
另夕卜，由于USB Key為用戶隨身攜帶的設(shè)備，在USB Key遺失的情況下，如果沒有進(jìn)一步的安全措施，則他人可以利用USB Key登錄網(wǎng)上銀行系統(tǒng)，
進(jìn)行網(wǎng)上銀行服務(wù)，給用戶造成損失。

發(fā)明內(nèi)容
本發(fā)明的目的在于，提供一種用戶終端。
本發(fā)明的另一目的在于，提供一種用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法。 本發(fā)明的再一 目的在于，提供一種在用戶終端上綁定USB Key的方法。 本發(fā)明的又一目的在于，提供一種驗(yàn)證用戶終端上信息安全設(shè)備和USB Key之間的綁定關(guān)系的方法。
本發(fā)明的又一目的在于，提供一種在用戶終端上解除USB Key綁定的方法。
根據(jù)本發(fā)明第一方面，提供一種用戶終端，用于與網(wǎng)絡(luò)服務(wù)系統(tǒng)通信，進(jìn) 行網(wǎng)絡(luò)服務(wù)，該用戶終端具有客戶端和信息安全設(shè)備，客戶端包括信息獲取單 元、設(shè)備訪問單元和網(wǎng)絡(luò)通信單元，信息安全設(shè)備包括信息生成模塊、信息存 儲(chǔ)模塊、以及安全訪問模塊。其中，信息獲取單元，用于確定用戶終端中是否 存在信息安全設(shè)備，并獲取用戶文件證書的認(rèn)證信息以及信息安全設(shè)備的設(shè)備 標(biāo)識(shí)；網(wǎng)絡(luò)通信單元，用于通過網(wǎng)絡(luò)，將用戶文件證書的認(rèn)證信息和信息安全 設(shè)備的設(shè)備標(biāo)識(shí)發(fā)送給與網(wǎng)絡(luò)服務(wù)系統(tǒng)，并從網(wǎng)絡(luò)服務(wù)系統(tǒng)接收認(rèn)證結(jié)果；設(shè) 備訪問單元，用于初始化信息安全設(shè)備，并進(jìn)行與信息安全設(shè)備之間的雙端認(rèn) 證；信息生成模塊，用于生成數(shù)據(jù)加密密鑰和訪問用戶文件證書的訪問標(biāo)識(shí)， 將用戶文件證書存儲(chǔ)在預(yù)定的存儲(chǔ)空間，以及將用戶文件證書的訪問標(biāo)識(shí)發(fā)送 給客戶端；信息存儲(chǔ)模塊，用于存儲(chǔ)數(shù)據(jù)加密密鑰和信息安全設(shè)備的設(shè)備標(biāo)識(shí)； 以及，安全訪問模塊，用于與設(shè)備訪問單元通信，進(jìn)行信息安全設(shè)備與客戶端 之間的雙端iU正。
根據(jù)本發(fā)明第二方面，提供一種用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法，其中， 所述用戶終端包括信息安全設(shè)備和網(wǎng)絡(luò)服務(wù)系統(tǒng)的客戶端，信息安全設(shè)備中存 儲(chǔ)有設(shè)備標(biāo)識(shí)，并將用戶文件證書存儲(chǔ)在預(yù)定的存儲(chǔ)空間，客戶端將用于訪問 用戶文件證書的訪問標(biāo)識(shí)存儲(chǔ)在用戶終端中。該方法包括以下步驟
a.客戶端利用訪問標(biāo)識(shí)訪問預(yù)定的存儲(chǔ)空間，獲取用戶文件證書，并將 用戶文件證書的認(rèn)證信息發(fā)送到網(wǎng)絡(luò)安全系統(tǒng)；b. 網(wǎng)絡(luò)服務(wù)系統(tǒng)對(duì)認(rèn)證信息進(jìn)行認(rèn)證，返回認(rèn)證結(jié)果；
c. 客戶端在b)中返回的認(rèn)證結(jié)果為通過認(rèn)證時(shí)，從信息安全設(shè)備獲取信 息安全設(shè)備的設(shè)備標(biāo)識(shí)，并將設(shè)備標(biāo)識(shí)發(fā)送到網(wǎng)絡(luò)安全系統(tǒng)，在b)中返回的 認(rèn)證結(jié)果為認(rèn)證失敗時(shí)，結(jié)束登錄操作；
d. 網(wǎng)絡(luò)安全系統(tǒng)對(duì)設(shè)備標(biāo)識(shí)進(jìn)4亍認(rèn)證，返回認(rèn)證結(jié)果，如果認(rèn)證結(jié)果為 通過認(rèn)證，則進(jìn)行網(wǎng)絡(luò)服務(wù)，否則結(jié)束登錄操作。
根據(jù)本發(fā)明第三方面，提供一種在用戶終端上綁定USB Key的方法，該 用戶終端具有客戶端和信息安全設(shè)備，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安全 設(shè)備中存儲(chǔ)有信息安全設(shè)備的設(shè)備標(biāo)識(shí)，USB Key中存儲(chǔ)有用戶文件證書和 USBKey的設(shè)備標(biāo)識(shí)。該方法包括步驟
A. 客戶端從USB Key獲得USB Key的設(shè)備標(biāo)識(shí)，并從信息安全設(shè)備獲 得信息安全設(shè)備的設(shè)備標(biāo)識(shí)，將USB Key的設(shè)備標(biāo)識(shí)和信息安全設(shè)備的設(shè)備 標(biāo)識(shí)通過網(wǎng)絡(luò)發(fā)送到網(wǎng)絡(luò)服務(wù)系統(tǒng)；
B. 網(wǎng)絡(luò)服務(wù)系統(tǒng)對(duì)USBKey和信息安全設(shè)備進(jìn)行認(rèn)證，向客戶端返回認(rèn) 證結(jié)果；
C. 在USB Key和信息安全設(shè)備認(rèn)證通過后，客戶端分別向USB Key和 信息安全設(shè)備發(fā)送命令，要求USB Key和信息安全設(shè)備生成各自的消息加密 密鑰和簽名密鑰；
D. 客戶端獲取USBKey和信息安全設(shè)備各自生成的消息加密密鑰和簽名 密鑰，制作USB Key的設(shè)備綁定消息和信息安全設(shè)備的設(shè)備綁定消息，將USB Key的設(shè)備綁定消息保存在信息安全設(shè)備中，并將信息安全設(shè)備的設(shè)備綁定消 息保存在USB Key中。
根據(jù)本發(fā)明第四方面，提供一種驗(yàn)證用戶終端上信息安全設(shè)備和USB Key 之間的綁定關(guān)系的方法，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安全設(shè)備中存儲(chǔ)有 USB Key的設(shè)備綁定消息，USB Key中存儲(chǔ)有信息安全設(shè)備的設(shè)備綁定消息， 該方法包括步驟
步驟A，， 客戶端分別訪問信息安全設(shè)備和USBKey,分別與安全訪問模 塊和USB Key進(jìn)行雙端認(rèn)證，確定信息安全設(shè)備和USB Key的有效性；
步驟B，，在信息安全設(shè)備和USBKey均有效時(shí)，客戶端向信息安全設(shè)備和USB Key分別發(fā)送隨機(jī)消息，要求信息安全設(shè)備或USB Key制作綁定認(rèn)證 消息；
步驟C，，信息安全設(shè)備/USB Key根據(jù)USB Key/信息安全設(shè)備的設(shè)備綁定 消息中的消息加密密鑰和簽名密鑰制作綁定認(rèn)證消息，并將綁定認(rèn)證消息返回 客戶端；
步驟D，，客戶端將綁定認(rèn)證消息發(fā)送給USBKey/信息安全設(shè)備，由USB key/信息安全設(shè)備根據(jù)其保存的消息加密密鑰和簽名密鑰認(rèn)證綁定認(rèn)證消息 的有效性，并向客戶端300返回認(rèn)證結(jié)果。
根據(jù)本發(fā)明第五方面，提供一種在用戶終端上解除USB Key綁定的方法， 該用戶終端具有客戶端和信息安全設(shè)備，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安 全設(shè)備中存儲(chǔ)有USB Key的設(shè)備綁定消息，USB Key中存儲(chǔ)有信息安全設(shè)備 的設(shè)備綁定消息，該方法包括步驟
步驟A"，客戶端分別訪問信息安全設(shè)備和USBKey，分別與安全訪問模 塊和進(jìn)行雙端認(rèn)-i正，確定信息安全設(shè)和USB Key的有效性；
步驟B"，客戶端向信息安全設(shè)備/USBKey發(fā)送消息，要求信息安全設(shè)備 /USB Key制作綁定解除消息；
步驟C",信息安全設(shè)備/USB Key根據(jù)USB Key/信息安全設(shè)備的設(shè)備綁 定消息中的消息加密密鑰和簽名密鑰制作綁定解除消息，并將綁定解除消息返 回客戶端；
步驟D"，客戶端將綁定解除消息發(fā)送給USBKey/信息安全設(shè)備，由USB key/信息安全設(shè)備根據(jù)其保存的消息加密密鑰和簽名密鑰驗(yàn)證綁定解除消息 的有效性，向客戶端驗(yàn)證結(jié)果，在驗(yàn)證通過時(shí)，則客戶端解除信息安全設(shè)備與 USB Key之間的綁定關(guān)系。
根據(jù)本發(fā)明第六方面，提供一種用戶終端，其利用USB Key登錄網(wǎng)絡(luò)服 務(wù)系統(tǒng)，該用戶終端具有客戶端和信息安全設(shè)備，客戶端包括信息獲取單元、 設(shè)備訪問單元和網(wǎng)絡(luò)通信單元，信息安全設(shè)備包括信息生成模塊、信息存儲(chǔ)模 塊、以及安全訪問模塊。其中，信息獲取單元，用于從USB Key獲取用戶文 件證書的認(rèn)證信息和USB Key的設(shè)備標(biāo)識(shí)，以及從信息安全設(shè)備獲取信息安 全設(shè)備的設(shè)備標(biāo)識(shí)，并且，獲取USB Key和信息安全設(shè)備各自生成的消息加密密鑰和簽名密鑰，制作USB Key的設(shè)備綁定消息和信息安全設(shè)備的設(shè)備綁 定消息，將USB Key的設(shè)備綁定消息存儲(chǔ)在信息存儲(chǔ)模塊中，并將信息安全 設(shè)備的設(shè)備綁定消息存儲(chǔ)在USB Key中；網(wǎng)絡(luò)通信單元，用于通過網(wǎng)絡(luò)，將 用戶文件證書的認(rèn)i正信息、以及USB Key和信息安全設(shè)備的設(shè)備標(biāo)識(shí)發(fā)送給 與網(wǎng)絡(luò)服務(wù)系統(tǒng)，并從網(wǎng)絡(luò)服務(wù)系統(tǒng)接收認(rèn)證結(jié)果；設(shè)備訪問單元，用于初始 化信息安全設(shè)備，并進(jìn)行與信息安全設(shè)備之間的雙端認(rèn)證，以及向信息安全設(shè) 備以及USB Key發(fā)出命令，要求USB Key和信息安全設(shè)備生成各自的消息加 密密鑰和簽名密鑰；信息生成才莫塊，用于生成消息加密密鑰和簽名密鑰；信息 存儲(chǔ)模塊，用于存儲(chǔ)信息安全設(shè)備的設(shè)備標(biāo)識(shí)以及USB Key的設(shè)備綁定消息； 以及，安全訪問模塊，用于與設(shè)備訪問單元通信，進(jìn)行與客戶端之間的雙端認(rèn) 證。
根據(jù)本發(fā)明第七方面，提供一種用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法，其利 用USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)，該用戶終端包括網(wǎng)路服務(wù)客戶端和信息安全 設(shè)備，信息安全設(shè)備中存儲(chǔ)有USBKey的設(shè)備綁定消息，USB Key中存儲(chǔ)有 信息安全設(shè)備的設(shè)備綁定消息。其中，在利用USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)之 前，客戶端向信息安全設(shè)備或USBKey發(fā)送隨機(jī)消息，信息安全設(shè)備或USB Key根據(jù)其中存儲(chǔ)的設(shè)備綁定消息制作綁定認(rèn)證消息；客戶端從信息安全設(shè)備 或USB Key獲取綁定認(rèn)證消息和用戶終端進(jìn)行綁定，將綁定認(rèn)證消息發(fā)送到 USB Key或信息安全設(shè)備USB Key或信息安全設(shè)備根據(jù)其中存儲(chǔ)的綁定消 息認(rèn)證綁定認(rèn)證消息的有效性。
在本發(fā)明中，通過在用戶終端上設(shè)置客戶端以及信息安全設(shè)備，可以代替 USBKey安全登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)，降低成本。另外，通過將USBKey與用戶 終端上的信息安全設(shè)備進(jìn)行綁定，在利用USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)之前進(jìn) 行USBKey的驗(yàn)證，可以保證在用戶客戶端或USB Key設(shè)備遺失時(shí)，不會(huì)造 成關(guān)鍵數(shù)據(jù)丟失，進(jìn)一步確保USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的安全性。


圖1為依據(jù)本發(fā)明第一實(shí)施例的用戶終端的示意圖； 圖2為依據(jù)本發(fā)明第一實(shí)施例的用戶終端安全登錄網(wǎng)上銀行系統(tǒng)的方法 的流程圖；圖3為依據(jù)本發(fā)明第二實(shí)施例的用戶終端的示意圖； 圖4為在用戶終端上綁定USB Key的方法的流程圖； 圖5為驗(yàn)證用戶終端上信息安全設(shè)備和USB Key之間的綁定關(guān)系的方法 的流程；
圖6為在用戶終端上解除USB Key綁定的方法的流程圖。
具體實(shí)施例方式
以下結(jié)合附圖和具體實(shí)施例詳細(xì)描述本發(fā)明。 第一實(shí)施例
在本發(fā)明第一實(shí)施例中，在例如臺(tái)式電腦、筆記本電腦、移動(dòng)電話等具有 信息處理能力的用戶終端上增加進(jìn)行網(wǎng)絡(luò)服務(wù)(例如，網(wǎng)上銀行服務(wù)等)的客 戶端、以及用于管理用戶關(guān)鍵數(shù)據(jù)且與客戶端通信的信息安全設(shè)備，通過客戶 端與信息安全設(shè)備之間的通信以及客戶端與網(wǎng)絡(luò)服務(wù)系統(tǒng)之間的通信，以增強(qiáng) 用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的安全性。為了便于說明和理解本發(fā)明，以下僅以 網(wǎng)上銀行服務(wù)為例進(jìn)行說明，但是，對(duì)于本領(lǐng)域普通技術(shù)人員而言，可以理解 的是，本發(fā)明并不僅限于網(wǎng)上銀行服務(wù)。
圖1為本發(fā)明第一實(shí)施例的用戶終端的示意圖。如圖l所示，本發(fā)明的用 戶終端上安裝有客戶端100和信息安全設(shè)備200。其中，該客戶端100例如為 網(wǎng)上銀行客戶端，其預(yù)先設(shè)置在用戶終端上，用于與網(wǎng)上銀行系統(tǒng)、以及信息 安全設(shè)備200進(jìn)行通信，引導(dǎo)用戶完成網(wǎng)上銀行的相關(guān)服務(wù)。該客戶端100 包括信息獲取單元101、設(shè)備訪問單元102和網(wǎng)絡(luò)通信單元103。
信息獲if又單元101，用于通過搜索用戶終端的設(shè)備信息列表，確定用戶終 端中是否存在信息安全設(shè)備200。進(jìn)一步，在利用信息安全設(shè)備200將用戶文 件證書存儲(chǔ)在預(yù)定的存儲(chǔ)空間(例如信息安全設(shè)備200、或移動(dòng)存儲(chǔ)設(shè)備等存 儲(chǔ)介質(zhì))中并且客戶端100將信息安全設(shè)備200返回的訪問標(biāo)識(shí)存儲(chǔ)在用戶終 端的本地存儲(chǔ)空間時(shí)，信息獲取單元101檢索用戶終端的本地存儲(chǔ)空間，獲取 用于訪問用戶文件證書的訪問標(biāo)識(shí)。
網(wǎng)絡(luò)通信單元103用于通過網(wǎng)絡(luò)與網(wǎng)上銀行系統(tǒng)的服務(wù)器通信，將認(rèn)證數(shù) 據(jù)發(fā)送給服務(wù)器，并從服務(wù)器接收認(rèn)證結(jié)果。其中，認(rèn)證數(shù)據(jù)包括用戶文件證 書的認(rèn)證信息、信息安全設(shè)備200的設(shè)備標(biāo)識(shí)等。設(shè)備訪問單元102用于初始化信息安全設(shè)備200,并在初始化信息安全設(shè) 備后，進(jìn)行與信息安全設(shè)備200之間的雙端認(rèn)證。
信息安全設(shè)備200用于生成和管理用戶關(guān)鍵數(shù)據(jù)，并與客戶端100進(jìn)行通 信， 一方面接收來自客戶端100的命令和數(shù)據(jù)，另一方面，將用戶關(guān)鍵數(shù)據(jù)發(fā) 送給客戶端100。用戶關(guān)鍵數(shù)據(jù)包括但不限于數(shù)據(jù)加密密鑰、設(shè)備標(biāo)識(shí)、訪問 密鑰、用戶文件證書及其加密密鑰等。信息安全設(shè)備200可以是TPM/TCM安 全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。該信息安全設(shè)備200包括 信息生成模塊201、信息存儲(chǔ)模塊202、以及安全訪問模塊203。
其中，信息生成模塊201用于生成數(shù)據(jù)加密密鑰，包括用于加密數(shù)據(jù)的對(duì) 稱密鑰、以及用于簽名和加密的非對(duì)稱密鑰，并生成用于訪問用戶文件證書的 訪問標(biāo)識(shí)。例如，信息生成模塊201生成用于加密和解密用戶文件證書的公私 鑰對(duì)以及訪問用戶文件證書的訪問標(biāo)識(shí)，利用公私鑰對(duì)對(duì)用戶文件證書加密后 存儲(chǔ)在預(yù)定的存儲(chǔ)空間(例如信息存儲(chǔ)模塊202,或者其他存儲(chǔ)空間)，并將 公私鑰對(duì)存儲(chǔ)在信息存儲(chǔ)模塊202中，以及將用戶文件證書的訪問標(biāo)識(shí)發(fā)送給 客戶端IOO。進(jìn)一步，信息生成模塊201還可以生成信息安全設(shè)備200的唯一 性標(biāo)識(shí)，即信息安全設(shè)備200的設(shè)備標(biāo)識(shí)，該設(shè)備標(biāo)識(shí)可以是UUID形式，也 可以是一個(gè)隨機(jī)數(shù)的形式。當(dāng)然，如果在信息安全設(shè)備200出廠時(shí)預(yù)先設(shè)定了 設(shè)備標(biāo)識(shí)，則可以不需要信息生成模塊201生成設(shè)備標(biāo)識(shí)。該設(shè)備標(biāo)識(shí)也可以 存儲(chǔ)在信息存儲(chǔ)模塊202中。
信息存儲(chǔ)模塊202用于存儲(chǔ)信息生成模塊201生成的數(shù)據(jù)加密密鑰。以及， 如果必要，信息存儲(chǔ)模塊202可以作為存儲(chǔ)用戶文件證書和設(shè)備標(biāo)識(shí)的預(yù)定的 存儲(chǔ)空間。
安全訪問模塊203用于在客戶端100訪問信息安全設(shè)備200時(shí)，進(jìn)行與客 戶端100之間的雙端iU正。
圖2為本發(fā)明用戶終端安全登錄網(wǎng)上銀行系統(tǒng)的方法的流程圖。如圖2 所示，該方法包括以下步驟
步驟S201,客戶端IOO登錄網(wǎng)上銀行系統(tǒng)，網(wǎng)上銀行系統(tǒng)根據(jù)業(yè)務(wù)需要， 提示用戶輸入用戶證件號(hào)碼或預(yù)設(shè)的密碼提示問題，在用戶正確確認(rèn)之后，完 成用戶身份驗(yàn)證工作。在客戶端IOO登錄驗(yàn)證后，信息獲取單元101檢索用戶終端中是否包含信息安全設(shè)備200,如果檢索到信息安全設(shè)備200，則流程進(jìn) 行到步驟S202，如果沒有檢索到信息安全設(shè)備200，則認(rèn)為信息安全設(shè)備200 異常，從而結(jié)束認(rèn)證流程。
步驟S202,設(shè)備訪問單元102通過標(biāo)準(zhǔn)接口 ，例如ISO 7816-4或微軟的 CryptoAPI相關(guān)函數(shù)初始化信息安全設(shè)備200，并在初始化信息安全設(shè)備200 后，訪問信息安全設(shè)備200，與信息安全設(shè)備200的安全訪問模塊203進(jìn)行雙 端認(rèn)證。如果認(rèn)證通過，則流程進(jìn)行到步驟S203,如果認(rèn)證不通過，則結(jié)束 認(rèn)證流程。
步驟S203,信息獲取單元101檢索用戶終端獲取訪問標(biāo)識(shí)，利用訪問標(biāo) 識(shí)訪問預(yù)定的存儲(chǔ)空間，從預(yù)定的存儲(chǔ)空間獲取用戶文件證書中的認(rèn)證信息。
在步驟S203中，如果用戶文件證書是加密后存儲(chǔ)在預(yù)定的存儲(chǔ)空間中， 則，信息獲取單元101在獲取訪問標(biāo)識(shí)同時(shí)，獲得用于加解密用戶文件證書的 公私鑰對(duì)，利用訪問標(biāo)識(shí)和公私鑰對(duì)訪問預(yù)定的存儲(chǔ)空間，在對(duì)加密的用戶文 件證書解密后獲得用戶文件證書的認(rèn)證信息。
步驟S204，網(wǎng)絡(luò)通信單元103通過網(wǎng)絡(luò)將用戶文件證書中的認(rèn)證信息發(fā) 送到網(wǎng)上銀行系統(tǒng)的服務(wù)器。
步驟S205，服務(wù)器對(duì)認(rèn)證信息進(jìn)行認(rèn)證，以確定用戶是否有效，如果用 戶有效，服務(wù)器向用戶終端返回表示認(rèn)證通過的消息，否則，服務(wù)器向用戶終 端返回表示認(rèn)證失敗的消息。
步驟S206，在接收到認(rèn)證通過的消息后，信息獲取單元101訪問信息安 全設(shè)備200的信息存儲(chǔ)模塊202,從信息存儲(chǔ)模塊202中獲得設(shè)備標(biāo)識(shí)。
步驟S207,客戶端100的網(wǎng)絡(luò)通信單元103通過網(wǎng)絡(luò)將設(shè)備標(biāo)識(shí)發(fā)送到 網(wǎng)上銀行系統(tǒng)的服務(wù)器，由服務(wù)器對(duì)設(shè)備標(biāo)識(shí)進(jìn)行認(rèn)證，以確定信息安全設(shè)備 200是否有效，如果有效，服務(wù)器向用戶終端返回表示認(rèn)證通過的消息，否則， 服務(wù)器向用戶終端返回表示認(rèn)證失敗的消息。其中，在認(rèn)證時(shí)，如果網(wǎng)上銀行 系統(tǒng)的數(shù)據(jù)庫中預(yù)先存儲(chǔ)了設(shè)備標(biāo)識(shí)，則服務(wù)器將接收的設(shè)備標(biāo)識(shí)與數(shù)據(jù)庫中 的標(biāo)識(shí)進(jìn)行比較，如果二者一致，則認(rèn)證通過，否則認(rèn)證失??；在認(rèn)證時(shí)，月良 務(wù)器也可以依照雙方協(xié)定的算法來解密設(shè)備標(biāo)識(shí)，根據(jù)解密后的設(shè)備標(biāo)識(shí)確定 認(rèn)證通過或認(rèn)證失敗。步驟S208，用戶終端安全登錄網(wǎng)上銀行系統(tǒng)的流程結(jié)束，如果認(rèn)證通過， 則可以安全登錄，從而進(jìn)行后續(xù)的操作，如果認(rèn)證失敗，則不能進(jìn)行后續(xù)的操 作。
在本實(shí)施例中，使用用戶終端上的信息安全設(shè)備取代USB Key，增加用 戶的易用性，降低銀行采購USB Key的服務(wù)成本；以及，在用戶終端包含信 息安全設(shè)備時(shí)，網(wǎng)上銀行系統(tǒng)的文件證書用戶可以利用信息安全設(shè)備將數(shù)據(jù)加 密后方便的遷移到預(yù)定的存儲(chǔ)空間(例如信息安全設(shè)備的信息存儲(chǔ)模塊)上， 增強(qiáng)用戶終端的安全性。
第二實(shí)施例
在第二實(shí)施例中，在現(xiàn)有客戶端和USB Key交互的基礎(chǔ)上，通過在用戶 終端上增加信息安全設(shè)備且將信息安全設(shè)備與USB Key相互綁定，在用戶通 過USB Key登錄網(wǎng)上銀行服務(wù)前，利用信息安全設(shè)備對(duì)USB Key進(jìn)行驗(yàn)證， 可以進(jìn)一步保證用戶登錄的安全性，并且，在USB Key遺失的情況下，得到 USB Key的他人也由于不能得到信息安全設(shè)備的驗(yàn)證而不能登錄網(wǎng)上銀行系 統(tǒng)，利用USB Key進(jìn)行網(wǎng)上銀行業(yè)務(wù)。
圖3為依據(jù)本發(fā)明第二實(shí)施例的用戶終端的示意圖。該用戶終端中包括客 戶端300和信息安全設(shè)備400，其中，客戶端300可以通過USB端口與USB Key 通信。USB Key中存儲(chǔ)有USB Key的設(shè)備標(biāo)識(shí)以及用戶文件證書。
其中，該客戶端300例如為網(wǎng)上銀行客戶端，其預(yù)先設(shè)置在用戶終端上， 用于與網(wǎng)上銀行系統(tǒng)、USB Key以及信息安全設(shè)備400進(jìn)行通信，引導(dǎo)用戶 完成網(wǎng)上銀行的相關(guān)服務(wù)。該客戶端300包括信息獲取單元301、設(shè)備訪問單 元302和網(wǎng)絡(luò)通信單元303。
信息獲取單元301，用于通過搜索用戶終端的設(shè)備信息列表，確定用戶終 端中是否存在信息安全設(shè)備400和USB Key,在用戶終端中存在信息安全設(shè) 備400和USB Key的情況下，獲取信息安全設(shè)備400和USB Key的設(shè)備標(biāo)識(shí)。
另外，信息獲取單元301獲取USB Key和信息安全設(shè)備400各自生成的 消息加密密鑰和簽名密鑰，制作USBKey的設(shè)備綁定消息和信息安全設(shè)備400 的設(shè)備綁定消息，將USB Key的設(shè)備綁定信息存儲(chǔ)在信息安全設(shè)備400中， 并將信息安全設(shè)備的設(shè)備綁定信息存儲(chǔ)在USB Key中。并且，在對(duì)USB Key進(jìn)行驗(yàn)證時(shí)，從USB Key或信息安全設(shè)備400中獲取綁定認(rèn)證消息，將綁定 認(rèn)證消息發(fā)送到信息安全設(shè)備400或USB Key中進(jìn)行綁定認(rèn)證消息有效性的
認(rèn)證o
進(jìn)一步，在用戶文件證書存儲(chǔ)在USB Key中并且客戶端300將用于訪問
301檢索用戶終端的本地存儲(chǔ)空間，獲取用于訪問用戶文件證書的訪問標(biāo)識(shí)。
網(wǎng)絡(luò)通信單元303用于通過網(wǎng)絡(luò)與網(wǎng)上銀行系統(tǒng)的服務(wù)器通信，將認(rèn)證數(shù) 據(jù)發(fā)送給服務(wù)器，并從服務(wù)器接收認(rèn)證結(jié)果。其中，認(rèn)證數(shù)據(jù)包括用戶文件證 書的認(rèn)證信息、以及USB Key和信息安全設(shè)備400的設(shè)備標(biāo)識(shí)等。關(guān)于用戶 文件證書的認(rèn)證信息的認(rèn)證以及USBKey的認(rèn)證方法，由于與現(xiàn)有采用USB Key登錄網(wǎng)上銀行系統(tǒng)的認(rèn)證方法相同，因此，在此不再贅述。 設(shè)備訪問單元302與信息安全設(shè)備400通信，進(jìn)行雙端認(rèn)證。 信息安全設(shè)備400用于管理用戶關(guān)鍵數(shù)據(jù)，并與客戶端300進(jìn)行通信，一 方面接收來自客戶端300的命令和數(shù)據(jù)，另 一方面，將用戶關(guān)鍵數(shù)據(jù)發(fā)送給客 戶端300。信息安全設(shè)備400可以是TPM或TCM安全芯片、授信的BIOS訪 問區(qū)或授信的硬盤訪問區(qū)。該信息安全設(shè)備400包括信息生成模塊401、信息 存儲(chǔ)模塊402 、以及安全訪問模塊403 。
其中，信息生成模塊401用于生成數(shù)據(jù)加密密鑰，包括消息加密密鑰和簽 名密鑰。進(jìn)一步，信息生成模塊401還可以生成信息安全設(shè)備400的唯一性標(biāo) 識(shí)，即信息安全設(shè)備400的設(shè)備標(biāo)識(shí)，該設(shè)備標(biāo)識(shí)可以是UIJID形式，也可以 是一個(gè)隨機(jī)數(shù)的形式。當(dāng)然，如果在信息安全設(shè)備400出廠時(shí)預(yù)先設(shè)定了設(shè)備 標(biāo)識(shí)，則可以不需要信息生成模塊401生成設(shè)備標(biāo)識(shí)。另外，在對(duì)信息安全設(shè) 備400與USB Key的綁定關(guān)系進(jìn)行驗(yàn)證時(shí)，信息生成模塊401還根據(jù)信息存 儲(chǔ)模塊402中存儲(chǔ)的USB設(shè)備綁定消息中的消息加密密鑰和簽名密鑰制作綁 定認(rèn)i正消息。
信息存儲(chǔ)模塊402用于存儲(chǔ)信息生成模塊401生成的數(shù)據(jù)加密密鑰和設(shè)備 標(biāo)識(shí)，以及USBKey的設(shè)備綁定信息。
安全訪問模塊403與客戶端300通信，進(jìn)行信息安全設(shè)備400和客戶端之 間的雙端iU正。圖4為在用戶終端上綁定USB Key的方法的流程圖。
步驟S401,客戶端300登錄網(wǎng)上銀行系統(tǒng)，網(wǎng)上銀行系統(tǒng)根據(jù)業(yè)務(wù)需要， 提示用戶輸入用戶證件號(hào)碼或預(yù)設(shè)的密碼提示問題，在用戶正確確認(rèn)之后，完 成用戶身份驗(yàn)證工作。在客戶端300登錄驗(yàn)證后，信息獲取單元301從USB Key 獲得USB Key的設(shè)備標(biāo)識(shí)，并從信息安全設(shè)備400獲得信息安全設(shè)備400的 設(shè)備標(biāo)識(shí)。
在步驟S401中，由于客戶端300從USB Key中獲取USB Key的設(shè)備標(biāo) 識(shí)的方法與現(xiàn)有技術(shù)相同，在此不贅述。在客戶端300從信息安全設(shè)備400 中獲取信息安全設(shè)備400的設(shè)備標(biāo)識(shí)的過程中，包括以下步驟
步驟A，在客戶端300登錄驗(yàn)證后，信息獲取單元301檢索用戶終端中是 否包含信息安全設(shè)備400,如果檢索到信息安全設(shè)備400,則進(jìn)行步驟B的操 作，如果沒有檢索到信息安全設(shè)備400,則認(rèn)為信息安全設(shè)備200異常，從而 結(jié)束i人^正流程；
步驟B,設(shè)備訪問單元302通過標(biāo)準(zhǔn)接口，例如ISO 7816-4或微軟的 CryptoAPI相關(guān)函數(shù)初始化信息安全設(shè)備400。
步驟C，設(shè)備訪問單元302訪問信息安全設(shè)備400，信息安全設(shè)備400的 安全訪問模塊403與設(shè)備訪問單元302之間進(jìn)行雙端認(rèn)證。如果認(rèn)證通過，貝'J 進(jìn)行步驟D的操作，如果認(rèn)證不通過，則結(jié)束認(rèn)證流程。
步驟D，信息獲取單元301訪問信息安全設(shè)備400的信息存儲(chǔ)模塊402， 從信息存儲(chǔ)模塊402中獲得設(shè)備標(biāo)識(shí)。
步驟S402,網(wǎng)絡(luò)通信單元303將USB Key的設(shè)備標(biāo)識(shí)和信息安全設(shè)備400 的設(shè)備標(biāo)識(shí)通過網(wǎng)絡(luò)發(fā)送到網(wǎng)上銀行系統(tǒng)的服務(wù)器。
步驟S403,網(wǎng)上銀行系統(tǒng)的服務(wù)器根據(jù)設(shè)備標(biāo)識(shí)對(duì)USB Key和信息安全 設(shè)備400進(jìn)行認(rèn)證，在認(rèn)證通過的情況下，向客戶端300返回表示認(rèn)證通過的 認(rèn)證結(jié)果，否則，返回表示認(rèn)證失敗的認(rèn)證結(jié)果。
在步驟S403中，網(wǎng)上銀行系統(tǒng)的服務(wù)器對(duì)USBKey的認(rèn)證可以采用現(xiàn)有 的方式進(jìn)行，網(wǎng)上銀行系統(tǒng)對(duì)信息安全設(shè)備400的認(rèn)證同本發(fā)明第一實(shí)施例中 網(wǎng)上銀行系統(tǒng)對(duì)信息安全i殳備200的認(rèn)證方式相同。
步驟S404，在USB Key和信息安全設(shè)備400的認(rèn)證通過后，客戶端300的設(shè)備訪問單元302分別向USB Key和信息安全設(shè)備400發(fā)送命令，要求USB Key和信息安全設(shè)備400生成各自的消息加密密鑰和簽名密鑰。
步驟S405,信息安全設(shè)備400的信息生成模塊401根據(jù)設(shè)備訪問單元302 發(fā)出的命令，生成消息加密密鑰和簽名密鑰，同時(shí)，USB Key根據(jù)設(shè)備訪問 單元302發(fā)出的命令，生成消息加密密鑰和簽名密鑰。消息加密密鑰可以是非 對(duì)稱密鑰的公鑰，也可以使一個(gè)對(duì)稱密鑰，簽名密鑰可以是非對(duì)稱密鑰的公鑰， 也可以是對(duì)稱密鑰。在使用非對(duì)稱密鑰時(shí)，消息解密密鑰和簽名認(rèn)證密鑰，作 為非對(duì)稱密鑰的私鑰而保存在USB Key和信息安全設(shè)備400內(nèi)部(對(duì)于信息 安全設(shè)備400而言，保存在信息存儲(chǔ)模塊402中)。
步驟S406,信息獲取單元301獲取USB Key和信息安全設(shè)備400各自生 成的消息加密密鑰和簽名密鑰，制作USB Key的設(shè)備綁定消息和信息安全設(shè) 備400的設(shè)備綁定消息。
USB Key的設(shè)備綁定消息至少包含USB Key的設(shè)備標(biāo)識(shí)，USB Key生成 的消息加密密鑰和簽名密鑰。信息安全設(shè)備400的i殳備綁定消息至少包含信息 安全設(shè)備400的設(shè)備標(biāo)識(shí)、信息安全單元生成的消息加密密鑰和簽名密鑰。另 外，設(shè)備綁定消息還可以包含消息加密算法、消息簽名算法、消息簽名加密算 法、綁定有效期、時(shí)間戳、銀行服務(wù)標(biāo)識(shí)、服務(wù)版本標(biāo)識(shí)等。消息加密算法可 以為摘要加密算法、對(duì)稱加密算法和非對(duì)稱加密算法等，其中，摘要加密算法 包括安全散列算法SHA-1、哈希信息驗(yàn)證碼HMAC、信息摘要算法MD4和 MD5等，對(duì)稱加密算法包括數(shù)據(jù)加密算法DES、 3DES、 RC4算法、RC5算法 和高級(jí)加密標(biāo)準(zhǔn)AES等，非對(duì)稱加密算法包括橢圓曲線密碼算法(ECC)和 RSA加密算法等。
步驟S407，信息獲取單元301將USB Key的設(shè)備綁定消息保存在信息安 全設(shè)備400的信息存儲(chǔ)模塊402中，并將信息安全設(shè)備400的設(shè)備綁定消息保 存在USB Key中，從而實(shí)現(xiàn)USB Key和信息安全設(shè)備400的綁定。
在需要的情況下，客戶端300、 USBKey以及信息安全設(shè)備400可以重復(fù) 上述步驟S404至407的操作，在USB Key和信息安全設(shè)備400中保存多組對(duì) 應(yīng)的設(shè)備綁定消息。
在綁定USBKey和信息安全設(shè)備的基礎(chǔ)上，在用戶使用USBKey登錄網(wǎng)上銀行系統(tǒng)之前，需要客戶端驗(yàn)證信息安全設(shè)備和USB Key的有效性，并在 二者有效的情況下進(jìn)一步驗(yàn)證信息安全設(shè)備和USB Key之間的綁定關(guān)系的有 效性，如圖5所示，該過程具體包括以下步驟
步驟S501，客戶端300的設(shè)備訪問單元302分別訪問信息安全設(shè)備400 的安全訪問才莫塊403以及USB Key,分別與安全訪問;溪塊403和USB Key進(jìn) 行雙端認(rèn)證，確定信息安全設(shè)備400和USB Key的有效性，只要信息安全設(shè) 備400和USB Key中有一個(gè)設(shè)備不能通過雙端認(rèn)證，則結(jié)束信息安全設(shè)備和 USB Key之間的綁定關(guān)系的有效性的驗(yàn)證流程，如果二者均通過雙端認(rèn)證， 則繼續(xù)步驟S502。
步驟S502,客戶端300的信息獲取單元301向信息安全設(shè)備400和USB Key分別發(fā)送一個(gè)隨機(jī)消息，要求信息安全設(shè)備400制作綁定認(rèn)證消息，該隨 機(jī)消息可以包含一個(gè)隨機(jī)數(shù)和預(yù)先設(shè)定的內(nèi)容。
步驟S503,信息安全設(shè)備400中的信息生成模塊401根據(jù)信息存儲(chǔ)模塊 402中存儲(chǔ)的USB設(shè)備綁定消息中的消息加密密鑰和簽名密鑰制作綁定認(rèn)證 消息，并將綁定認(rèn)證消息返回客戶端300的信息獲耳又單元301 。綁定認(rèn)證消息 包含信息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)，消息標(biāo)識(shí)，時(shí)間戳，收到的隨機(jī) 消息和消息簽名構(gòu)成，使用保存的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰 進(jìn)行加密。
步驟S504，信息獲取單元301將綁定認(rèn)證消息發(fā)送給USBKey，由USB key根據(jù)內(nèi)部保存的消息加密密鑰和簽名密鑰認(rèn)證綁定認(rèn)證消息的有效性，并 向客戶端300返回認(rèn)證結(jié)果。如果認(rèn)證通過，USB Key向客戶端300返回認(rèn) 證通過的信息，從而實(shí)現(xiàn)USB Key和信息安全設(shè)備之間的認(rèn)證。如果認(rèn)證不 通過，USB Key則返回認(rèn)證失敗的消息。
步驟S505，結(jié)束信息安全設(shè)備400與USB Key的綁定關(guān)系的有效性的驗(yàn) 證。在認(rèn)證通過的情況下，用戶可以利用USBKey進(jìn)行后續(xù)的操作。
當(dāng)然，對(duì)于USBKey和信息安全設(shè)備400之間綁定關(guān)系的有效性的驗(yàn)證， 也可以是，在確認(rèn)USB Key和信息安全設(shè)備400均有效后，客戶端300的信 息獲取單元301向信息安全設(shè)備400和USB Key分別發(fā)送一個(gè)隨機(jī)消息，此 隨機(jī)消息可以包含一個(gè)隨機(jī)數(shù)和預(yù)先設(shè)定的內(nèi)容，USB Key根據(jù)信息安全設(shè)
20備的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰制作綁定認(rèn)證消息，并將綁定
認(rèn)證消息返回客戶端300的信息獲取單元301。信息獲耳又單元301將綁定認(rèn)證 消息發(fā)送給信息安全設(shè)備400,由安全訪問模塊403 4艮據(jù)信息存儲(chǔ)模塊中保存 的消息加密密鑰和簽名密鑰認(rèn)證綁定認(rèn)證消息的有效性。在認(rèn)證通過后，才允 許用戶利用USB Key進(jìn)行后續(xù)的網(wǎng)上銀行操作。
另外，用戶也可以才艮據(jù)需要在綁定了 USB Key的用戶終端上解除信息安 全設(shè)備與USBKey之間的綁定關(guān)系，如圖6所示，該過程包括以下步驟
步驟S601，客戶端300的設(shè)備訪問單元302分別訪問信息安全設(shè)備400 的安全訪問模塊403以及USB Key,分別與安全訪問模塊403和USB Key進(jìn) 行雙端認(rèn)證，確定信息安全設(shè)備400和USB Key的有效性，只要信息安全設(shè) 備400和USB Key中有一個(gè)設(shè)備不能通過雙端認(rèn)證，則結(jié)束信息安全設(shè)備和 USB Key之間的綁定關(guān)系的有效性的驗(yàn)證流程，如果二者均通過雙端認(rèn)證， 則繼續(xù)步驟S602。
步驟S602,客戶端300的信息獲取單元301向信息安全設(shè)備400發(fā)送消 息，要求信息安全設(shè)備400制作綁定解除消息。
步驟S603，信息安全設(shè)備400中的信息生成模塊401根據(jù)信息存儲(chǔ)模塊 402中存儲(chǔ)的USB設(shè)備綁定消息中的消息加密密鑰和簽名密鑰制作綁定解除 消息，并將綁定解除消息返回客戶端300的信息獲取單元301。綁定解除消息 包含消息標(biāo)識(shí)，時(shí)間戳，信息安全設(shè)備或USBKey的設(shè)備標(biāo)識(shí)和消息簽名等。
步驟S604，信息獲取單元301將綁定解除消息發(fā)送給USB Key,由USB key才艮據(jù)內(nèi)部保存的消息加密密鑰和簽名密鑰-險(xiǎn)證綁定解除消息的有效性，并 向客戶端300返回認(rèn)證結(jié)果。如果認(rèn)證通過，USB Key向客戶端300返回認(rèn) 證通過的信息，從而實(shí)現(xiàn)USB Key和信息安全設(shè)備之間的認(rèn)證。如果認(rèn)證不 通過，USBKey則返回認(rèn)證失敗的消息。
步驟S605，結(jié)束信息安全設(shè)備400與USB Key的綁定關(guān)系的解除流程。
當(dāng)然，對(duì)于USB Key和信息安全設(shè)備400之間綁定關(guān)系的解除，也可以 是，在確認(rèn)USB Key和信息安全設(shè)備400均有效后，客戶端300的信息獲取 單元301向USBKey發(fā)送消息，要求USB Key制作綁定解除消息，USBKey 根據(jù)信息安全設(shè)備的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰制作綁定解除消息，并將綁定解除消息返回客戶端300的信息獲取單元301。信息獲取單 元301將綁定解除消息發(fā)送給信息安全設(shè)備400，由安全訪問模塊403根據(jù)信 息存儲(chǔ)模塊中保存的消息加密密鑰和簽名密鑰認(rèn)證綁定取消消息的有效性，并 向客戶端300返回認(rèn)證結(jié)杲。如果認(rèn)證通過，信息安全設(shè)備400向客戶端300 返回認(rèn)證通過的信息，由客戶端300解除USB Key和信息安全設(shè)備之間的綁 定關(guān)系的解除。如果認(rèn)證不通過，信息安全設(shè)備400則返回認(rèn)證失敗的消息。 這樣，在用戶遺失USBKey后，如果拾遺者利用USB Key在拾遺者的用戶終 端上進(jìn)行網(wǎng)上銀行服務(wù)時(shí)，由于USB Key和該用戶終端上的信息安全設(shè)備400 (如果拾遺者的用戶終端上具有信息安全設(shè)備400)的綁定關(guān)系不一致，將促 使網(wǎng)上客戶端300啟動(dòng)用戶重新開通流程。因此，通過USB Key和信息安全 設(shè)備400的綁定，可以進(jìn)一步保證USB Key在使用上的安全性，減少用戶因 遺失USB Key造成的安全性問題。
以上給出了兩種利用信息安全設(shè)備增強(qiáng)網(wǎng)上銀行服務(wù)的安全性的實(shí)施例， 也通過其他方式利用信息安全設(shè)備實(shí)現(xiàn)上述安全性的增強(qiáng)。例如，在信息安全 設(shè)備出廠時(shí)將信息安全設(shè)備的設(shè)備標(biāo)識(shí)記入銀行后臺(tái)數(shù)據(jù)庫，用戶首次開通網(wǎng) 上銀行服務(wù)時(shí)，由客戶端將用戶信息提交銀行后臺(tái)數(shù)據(jù)庫，認(rèn)證用戶身份。在 用戶認(rèn)證通過后，信息安全設(shè)備生成動(dòng)態(tài)公私密鑰，由客戶端將公鑰通過SSL 鏈路傳輸?shù)姐y行后臺(tái)數(shù)據(jù)庫保存。在網(wǎng)上銀行登錄時(shí)將綁定此用戶終端的信息 安全設(shè)備。
以上實(shí)施例僅用以說明本發(fā)明的技術(shù)方案而非限制，本領(lǐng)域的普通技術(shù)人 員應(yīng)當(dāng)理解，那些對(duì)本發(fā)明的技術(shù)方案進(jìn)行修改或者等同替換所獲得的技術(shù)方 案，在不脫離本發(fā)明技術(shù)方案的精神范圍的情況下，均應(yīng)涵蓋在本發(fā)明的權(quán)利 要求范圍當(dāng)中。
權(quán)利要求
1. 一種用戶終端，用于與網(wǎng)絡(luò)服務(wù)系統(tǒng)通信，進(jìn)行網(wǎng)絡(luò)服務(wù)，該用戶終 端具有客戶端和信息安全設(shè)備，客戶端包括信息獲取單元、設(shè)備訪問單元和網(wǎng) 絡(luò)通信單元，信息安全設(shè)備包括信息生成模塊、信息存儲(chǔ)沖莫塊、以及安全訪問模塊，其中，信息獲取單元，用于確定用戶終端中是否存在信息安全設(shè)備，并獲取用戶文件證書的認(rèn)證信息以及信息安全設(shè)備的設(shè)備標(biāo)識(shí)；網(wǎng)絡(luò)通信單元，用于通過網(wǎng)絡(luò)，將用戶文件證書的認(rèn)證信息和信息安全設(shè) 備的設(shè)備標(biāo)識(shí)發(fā)送給與網(wǎng)絡(luò)服務(wù)系統(tǒng)，并從網(wǎng)絡(luò)服務(wù)系統(tǒng)接收認(rèn)證結(jié)果；設(shè)備訪問單元，用于初始化信息安全設(shè)備，并進(jìn)行與信息安全設(shè)備之間的 雙端認(rèn)證j信息生成模塊，用于生成數(shù)據(jù)加密密鑰和訪問用戶文件證書的訪問標(biāo)識(shí)， 將用戶文件證書存儲(chǔ)在預(yù)定的存儲(chǔ)空間，以及將用戶文件證書的訪問標(biāo)識(shí)發(fā)送給客戶端；信息存儲(chǔ)模塊，用于存儲(chǔ)數(shù)據(jù)加密密鑰和信息安全設(shè)備的設(shè)備標(biāo)識(shí)；安全訪問模塊，用于與設(shè)備訪問單元通信，進(jìn)行信息安全設(shè)備與客戶端之間的雙端i人i正。
2. 如權(quán)利要求1所述的用戶終端，其特征在于，信息安全設(shè)備的設(shè)備標(biāo) 識(shí)由信息生成模塊生成或預(yù)先設(shè)定。
3. 如權(quán)利要求1或2所述的用戶終端，其特征在于，信息存儲(chǔ)模塊進(jìn)一 步存儲(chǔ)客戶端的訪問密鑰，客戶端在訪問安全設(shè)備之前從信息存儲(chǔ)模塊中獲取 訪問密鑰，使用訪問密鑰訪問信息安全設(shè)備。
4. 如權(quán)利要求1所述的用戶終端，其特征在于，預(yù)定的存儲(chǔ)空間為信息 存儲(chǔ)模塊。
5. 如權(quán)利要求1所述的用戶終端，其特征在于，信息安全設(shè)備為 TPM/TCM安全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。
6. —種用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法，其特征在于，所述用戶終端 包括信息安全設(shè)備和網(wǎng)絡(luò)服務(wù)系統(tǒng)的客戶端，信息安全設(shè)備中存儲(chǔ)有設(shè)備標(biāo)識(shí)，并將用戶文件證書存儲(chǔ)在預(yù)定的存儲(chǔ)空間，客戶端將用于訪問用戶文件證書的訪問標(biāo)識(shí)存儲(chǔ)在用戶終端中，該方法包括以下步驟a. 客戶端利用訪問標(biāo)識(shí)訪問預(yù)定的存儲(chǔ)空間，獲iF又用戶文件證書，并將 用戶文件證書的認(rèn)證信息發(fā)送到網(wǎng)絡(luò)安全系統(tǒng)；b. 網(wǎng)絡(luò)服務(wù)系統(tǒng)對(duì)認(rèn)證信息進(jìn)行認(rèn)證，返回認(rèn)證結(jié)果；c. 客戶端在b)中返回的認(rèn)證結(jié)果為通過認(rèn)證時(shí)，從信息安全設(shè)備獲取信 息安全設(shè)備的設(shè)備標(biāo)識(shí)，并將設(shè)備標(biāo)識(shí)發(fā)送到網(wǎng).絡(luò)安全系統(tǒng)，在b)中返回的 認(rèn)證結(jié)果為認(rèn)證失敗時(shí)，結(jié)束登錄操作；d. 網(wǎng)絡(luò)安全系統(tǒng)對(duì)設(shè)備標(biāo)識(shí)進(jìn)行認(rèn)證，返回認(rèn)證結(jié)果，如果認(rèn)證結(jié)果為 通過認(rèn)證，則進(jìn)行網(wǎng)絡(luò)服務(wù)，否則結(jié)束登錄操作。
7. 如權(quán)利要求6所述的方法，其特征在于，信息安全設(shè)備為TPM/TCM 安全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。
8. —種在用戶終端上綁定USBKey的方法，該用戶終端具有客戶端和信 息安全設(shè)備，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安全設(shè)備中存儲(chǔ)有信息安全設(shè) 備的設(shè)備標(biāo)識(shí)，USB Key中存4渚有用戶文件i正書和USB Key的設(shè)備標(biāo)識(shí)，該 方法包括步驟A. 客戶端從USB Key獲得USB Key的設(shè)備標(biāo)識(shí)，并從信息安全設(shè)備獲 得信息安全設(shè)備的設(shè)備標(biāo)識(shí)，將USB Key的設(shè)備標(biāo)識(shí)和信息安全設(shè)備的設(shè)備 標(biāo)識(shí)通過網(wǎng)絡(luò)發(fā)送到網(wǎng)絡(luò)服務(wù)系統(tǒng)；B. 網(wǎng)絡(luò)服務(wù)系統(tǒng)對(duì)USBKey和信息安全設(shè)備進(jìn)行認(rèn)證，向客戶端返回認(rèn) 證結(jié)果；C. 在USB Key和信息安全設(shè)備認(rèn)證通過后，客戶端分別向USB Key和 信息安全設(shè)備發(fā)送命令，要求USB Key和信息安全設(shè)備生成各自的消息加密 密鑰和簽名密鑰；D. 客戶端獲取USB Key和信息安全設(shè)備各自生成的消息加密密鑰和簽名 密鑰，制作USB Key的設(shè)備綁定消息和信息安全設(shè)備的設(shè)備綁定消息，將USB Key的設(shè)備綁定消息保存在信息安全設(shè)備中，并將信息安全設(shè)備的設(shè)備綁定消 息保存在USB Key中。
9. 如權(quán)利要求8所述的方法，其特征在于，在步驟A中，客戶端從信息安全設(shè)備獲取信息安全設(shè)備的設(shè)備標(biāo)識(shí)的步驟包括客戶端通過檢索確定用戶終端中包含信息安全設(shè)備，通過標(biāo)準(zhǔn)接口初始化 信息安全設(shè)備；客戶端與信息安全設(shè)備之間進(jìn)4亍雙端認(rèn)證；在認(rèn)證通過的情況下，客戶端訪問信息安全設(shè)備，獲得信息安全設(shè)備的設(shè) 備標(biāo)識(shí)。
10. 如權(quán)利要求8所述的方法，其特征在于，信息安全設(shè)備為TPM/TCM 安全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。
11. 如權(quán)利要求8所述的方法，其特征在于，信息安全設(shè)備的設(shè)備綁定消 息至少包含信息安全設(shè)備的設(shè)備標(biāo)識(shí)、信息安全單元生成的消息加密密鑰和簽 名密鑰，USB Key的設(shè)備綁定信息至少包括USB Key的設(shè)備標(biāo)識(shí)、USB Key 生成的消息加密密鑰和簽名密鑰。
12. —種驗(yàn)證用戶終端上信息安全設(shè)備和USB Key之間的綁定關(guān)系的方 法，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安全設(shè)備中存儲(chǔ)有USB Key的設(shè)備綁 定消息，USBKey中存儲(chǔ)有信息安全設(shè)備的設(shè)備綁定消息，該方法包括步驟步驟A，，客戶端分別訪問信息安全設(shè)備和USBKey，分別與安全訪問模 塊和USB Key進(jìn)行雙端認(rèn)證，確定信息安全設(shè)備和USB Key的有效性；步驟B，，在信息安全設(shè)備和USBKey均有效時(shí)，客戶端向信息安全設(shè)備 和USB Key分別發(fā)送隨機(jī)消息，要求信息安全設(shè)備或USB Key制作綁定認(rèn)證 消息；步驟C，，信息安全設(shè)備/USB Key根據(jù)USB Key/信息安全設(shè)備的設(shè)備綁定 消息中的消息加密密鑰和簽名密鑰制作綁定認(rèn)證消息，并將綁定認(rèn)證消息返回 客戶端；步驟D，，客戶端將綁定認(rèn)證消息發(fā)送給USBKey/信息安全設(shè)備，由USB key/信息安全設(shè)備根據(jù)其保存的消息加密密鑰和簽名密鑰認(rèn)證綁定認(rèn)證消息 的有效性，并向客戶端返回認(rèn)證結(jié)果。
13. 如權(quán)利要求12所述的方法，其特征在于，信息安全設(shè)備為TPM/TCM 安全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。
14. 如權(quán)利要求12所述的方法，其特征在于，綁定認(rèn)證消息包含信息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)，時(shí)間戳，收到的隨機(jī)消息和消息簽名構(gòu)成， 使用保存的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰進(jìn)行加密。
15. —種在用戶終端上解除USB Key綁定的方法，該用戶終端具有客戶 端和信息安全設(shè)備，該客戶端為網(wǎng)絡(luò)服務(wù)客戶端，信息安全設(shè)備中存儲(chǔ)有USB Key的設(shè)備綁定消息，USBKey中存儲(chǔ)有信息安全設(shè)備的設(shè)備綁定消息，該方 法包括步驟步驟A"，客戶端分別訪問信息安全設(shè)備和USBKey,分別與安全訪問模 塊和進(jìn)行雙端認(rèn)-〖正，確定信息安全設(shè)備和USB Key的有效性；步驟B",客戶端向信息安全設(shè)備/USBKey發(fā)送消息，要求信息安全設(shè)備 /USB Key制作綁定解除消息；步驟C"，信息安全設(shè)備/USB Key根據(jù)USB Key/信息安全設(shè)備的設(shè)備綁 定消息中的消息加密密鑰和簽名密鑰制作綁定解除消息，并將綁定解除消息返 回客戶端；步驟D"，客戶端將綁定解除消息發(fā)送給USBKey/信息安全設(shè)備，由USB key/信息安全設(shè)備根據(jù)其保存的消息加密密鑰和簽名密鑰驗(yàn)證綁定解除消息 的有效性，向客戶端驗(yàn)證結(jié)果，在驗(yàn)證通過時(shí)，則客戶端解除信息安全設(shè)備與 USB Key之間的綁定關(guān)系。
16. 如權(quán)利要求15所述的方法，其特征在于，綁定認(rèn)證消息包含信息安 全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)，時(shí)間戳，收到的隨機(jī)消息和消息簽名構(gòu)成， 使用保存的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰進(jìn)行加密。
17. 如權(quán)利要求15所述的方法，其特征在于，綁定解除消息包含消息標(biāo) 識(shí)，時(shí)間戳，信息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)和消息簽名。
18. —種用戶終端，其利用USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)，該用戶終端具 有客戶端和信息安全設(shè)備，客戶端包括信息獲取單元、設(shè)備訪問單元和網(wǎng)絡(luò)通 信單元，信息安全設(shè)備包括信息生成模塊、信息存儲(chǔ)模塊、以及安全訪問模塊， 其中，信息獲取單元，用于從USB Key獲取用戶文件證書的認(rèn)證信息和USB Key 的設(shè)備標(biāo)識(shí)，以及從信息安全設(shè)備獲取信息安全設(shè)備的設(shè)備標(biāo)識(shí)，并且，獲取 USB Key和信息安全設(shè)備各自生成的消息加密密鑰和簽名密鑰，制作USB Key的設(shè)備綁定消息和信息安全設(shè)備的設(shè)備綁定消息，將USB Key的設(shè)備綁定消 息存儲(chǔ)在信息存儲(chǔ)模塊中，并將信息安全設(shè)備的設(shè)備綁定消息存儲(chǔ)在USB Key 中；網(wǎng)絡(luò)通信單元，用于通過網(wǎng)絡(luò)，將用戶文件證書的認(rèn)證信息、以及USB Key 和信息安全設(shè)備的設(shè)備標(biāo)識(shí)發(fā)送給與網(wǎng)絡(luò)服務(wù)系統(tǒng)，并從網(wǎng)絡(luò)服務(wù)系統(tǒng)接收認(rèn) 證結(jié)果；設(shè)備訪問單元，用于初始化信息安全設(shè)備，并進(jìn)行與信息安全設(shè)備之間的 雙端認(rèn)證，以及向信息安全設(shè)備以及USB Key發(fā)出命令，要求USB Key和信 息安全設(shè)備生成各自的消息加密密鑰和簽名密鑰；信息生成模塊，用于生成消息加密密鑰和簽名密鑰；信息存儲(chǔ)模塊，用于存儲(chǔ)信息安全設(shè)備的設(shè)備標(biāo)識(shí)以及USB Key的設(shè)備 綁定消息；安全訪問模塊，用于與設(shè)備訪問單元通信，進(jìn)行與客戶端之間的雙端認(rèn)證。
19. 如權(quán)利要求18所述的用戶終端，其特征在于，信息生成模塊進(jìn)一步 根據(jù)信息存儲(chǔ)模塊中存儲(chǔ)的USB Key的設(shè)備綁定消息生成綁定認(rèn)證消息，信 息獲取單元從信息安全設(shè)備中獲取綁定認(rèn)證消息，將綁定認(rèn)證消息發(fā)送到USB Key中進(jìn)行綁定認(rèn)證消息有效性的認(rèn)證。
20. 如權(quán)利要求19所述的用戶終端，其特征在于，綁定認(rèn)證消息包含信 息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)，時(shí)間戳，收到的隨機(jī)消息和消息簽名構(gòu)成，使用保存的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰進(jìn)行加密。
21. 如權(quán)利要求18、 19或20所述的用戶終端，其特征在于，信息生成模 塊進(jìn)一步根據(jù)信息存儲(chǔ)模塊中存儲(chǔ)的USB Key的設(shè)備綁定消息生成綁定解除 消息，信息獲取單元從信息安全設(shè)備中獲取綁定解除消息，將綁定解除消息發(fā) 送到USB Key中進(jìn)行綁定解除消息有效性的認(rèn)證。
22. 如權(quán)利要求21所述的用戶終端，其特征在于，綁定解除消息包含消 息標(biāo)識(shí)，時(shí)間戳，信息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)和消息簽名。
23. —種用戶終端登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法，其利用USB Key登錄網(wǎng)絡(luò) 服務(wù)系統(tǒng)，該用戶終端包括網(wǎng)路服務(wù)客戶端和信息安全設(shè)備，信息安全設(shè)備中 存儲(chǔ)有USB Key的設(shè)備綁定消息，USB Key中存儲(chǔ)有信息安全設(shè)備的設(shè)備綁定消息，其特征在于，在利用USBKey登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)之前，客戶端向信息安全設(shè)備或USB Key發(fā)送隨機(jī)消息，信息安全設(shè)備或USB Key根據(jù)其中存儲(chǔ)的設(shè)備綁定消息 制作綁定認(rèn)證消息；客戶端從信息安全設(shè)備或USB Key獲取綁定認(rèn)證消息和用戶終端進(jìn)行綁 定，將綁定認(rèn)證消息發(fā)送到USB Key或信息安全設(shè)備USB Key或信息安全設(shè)備根據(jù)其中存儲(chǔ)的設(shè)備綁定消息認(rèn)證綁定認(rèn)證消 息的有效性。
24. 如權(quán)利要求23所述的方法，其特征在于，信息安全設(shè)備為TPM/TCM 安全芯片、授信的BIOS訪問區(qū)或授信的硬盤訪問區(qū)。
25. 如權(quán)利要求23或24所述的方法，其特征在于，綁定認(rèn)證消息包含信 息安全設(shè)備或USB Key的設(shè)備標(biāo)識(shí)，消息標(biāo)識(shí)，時(shí)間戳，收到的隨機(jī)消息和 消息簽名構(gòu)成，使用保存的設(shè)備綁定消息中的消息加密密鑰和簽名密鑰進(jìn)行加 密。
全文摘要
本發(fā)明提供一種用戶終端及其登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的方法，以及在用戶終端上綁定USB Key的方法。其中，用戶終端具有客戶端和信息安全設(shè)備，客戶端包括信息獲取單元、設(shè)備訪問單元和網(wǎng)絡(luò)通信單元，信息安全設(shè)備包括信息生成模塊、信息存儲(chǔ)模塊、以及安全訪問模塊。在本發(fā)明中，通過在用戶終端上設(shè)置客戶端以及信息安全設(shè)備，可以代替USB Key安全登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)，降低成本。另外，通過將USB Key與用戶終端上的信息安全設(shè)備進(jìn)行綁定，在利用USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)之前進(jìn)行USB Key的驗(yàn)證，可以進(jìn)一步確保USB Key登錄網(wǎng)絡(luò)服務(wù)系統(tǒng)的安全性。
文檔編號(hào)H04L29/06GK101312453SQ20071009946
公開日2008年11月26日 申請(qǐng)日期2007年5月21日 優(yōu)先權(quán)日2007年5月21日
發(fā)明者于辰濤 申請(qǐng)人:聯(lián)想(北京)有限公司