專利名稱：一種網(wǎng)絡(luò)平臺身份認證系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及采用TCM(Trusted Cryptography Module)芯片提供的密鑰管理、數(shù)據(jù)加解密、數(shù)據(jù)審計以及關(guān)鍵數(shù)據(jù)存儲等基礎(chǔ)功能，提出一種基于TCM芯片的應(yīng)用系統(tǒng)客戶端敏感數(shù)據(jù)保護方法，特別是涉及一種基于TCM芯片的網(wǎng)絡(luò)平臺身份認證系統(tǒng)和方法。
背景技術(shù)：
在與網(wǎng)絡(luò)平臺的交互中，第一步就是進行客戶端身份的鑒別，而進行身份鑒別的首要條件，則是首先需要把客戶端的身份等敏感信息存儲在對方存儲設(shè)備中；當客戶端訪問某網(wǎng)絡(luò)平臺進行活動時，被訪問網(wǎng)絡(luò)平臺會要求對客戶端的身份進行鑒權(quán)，鑒權(quán)通過后才會允許客戶端進行權(quán)利范圍內(nèi)的操作；以上描述的兩個步驟也就是與網(wǎng)絡(luò)平臺交互活動中常見的注冊與登錄操作。
在這兩個操作過程中存在如下弊病I、客戶端身份證書發(fā)布流程中，服務(wù)端沒有為客戶端提供自身的身份證明，證明其有效身份，這樣很容易出現(xiàn)客戶端客戶端身份信息被違法人員盜取，進行非法活動，損害客戶端的權(quán)益；2、進行客戶端身份認證操作時，客戶端敏感信息是進行裸數(shù)據(jù)網(wǎng)絡(luò)傳輸，容易被第三方截獲；3、客戶端敏感數(shù)據(jù)存儲在服務(wù)端提供方的存儲設(shè)備中如采用裸數(shù)據(jù)存儲，同樣存在被人主動泄密以及被他人盜取的危險。

發(fā)明內(nèi)容
本發(fā)明提供一種基于TCM芯片的網(wǎng)絡(luò)平臺身份認證以及客戶端敏感數(shù)據(jù)的數(shù)據(jù)加密，解決目前與網(wǎng)絡(luò)平臺交互活動中身份信息易被第三方冒充以及客戶端敏感數(shù)據(jù)裸數(shù)據(jù)傳輸以及存儲的問題。本發(fā)明解決上述技術(shù)問題的技術(shù)方案如下一種網(wǎng)絡(luò)平臺身份認證系統(tǒng)，其特征在于，所述認證系統(tǒng)包括服務(wù)端、與服務(wù)端連接的第一可信計算密碼模塊TCM，數(shù)字認證中心CA以及客戶端；所述服務(wù)端通過所述第一可信計算密碼模塊TCM提供的PIK功能生成身份證書請求并輸出到所述數(shù)字認證中心CA ；所述數(shù)字認證中心CA下發(fā)身份證書給服務(wù)端；所述客戶端接收所述服務(wù)端輸出的服務(wù)端身份證書，并進行鑒別。所述認證系統(tǒng)包括與所述客戶端連接的第二可信計算密碼模塊TCM，所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，第二可信計算密碼模塊TCM對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。一種根據(jù)上述系統(tǒng)采用的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述網(wǎng)絡(luò)平臺身份認證方法包括如下步驟
所述服務(wù)端通過所述第一可信計算密碼模塊TCM提供的PIK功能生成身份證書請求并輸出到所述數(shù)字認證中心CA ；所述數(shù)字認證中心CA下發(fā)身份證書給服務(wù)端；服務(wù)端向客戶端提供服務(wù)端身份證書；所述客戶端對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。所述客戶端對所述服務(wù)端輸出的身份證書進行鑒別而實現(xiàn)平臺身份認證的步驟具體為所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，第二可信計算密碼模塊TCM對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。所述網(wǎng)絡(luò)平臺身份認證方法進一步包括如下步驟
所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布。所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布的步驟具體包括所述客戶端接收外部輸入的客戶端敏感數(shù)據(jù)信息；所述第二可信計算密碼模塊TCM使用PEK的公鑰加密所述客戶端敏感數(shù)據(jù)信息，生成客戶端身份信息；所述第二可信計算密碼模塊TCM將客戶端身份信息傳輸至所述第一可信計算密碼模塊TCM ；所述第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書；所述第一可信計算密碼模塊TCM返回所述客戶端身份證書到所述第二可信計算密碼模塊TCM，完成發(fā)布。所述第二可信計算密碼模塊TCM將客戶端身份信息傳輸至所述第一可信計算密碼模塊TCM的步驟具體包括所述第二可信計算密碼模塊TCM將所述客戶端身份信息通過所述客戶端傳輸至所述服務(wù)端，所述服務(wù)端將所述客戶端身份信息提供給所述第一可信計算密碼模塊TCM。所述第一可信計算密碼模塊TCM對所述客戶端身份證書進行鑒別的步驟具體包括所述第一可信計算密碼模塊TCM使用PEK私鑰對所述客戶端身份證書進行解密；所述第一可信計算密碼模塊TCM使用存儲密鑰對解密的所述客戶端身份證書進行加密；所述第一可信計算密碼模塊TCM將加密后的所述客戶端身份證書輸出到所述服務(wù)端，所述服務(wù)端存儲該加密后的所述客戶端身份證書。所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布的步驟具體包括所述第一可信計算密碼模塊TCM通過所述服務(wù)端返回所述客戶端身份證書到所述客戶端，所述客戶端存儲客戶端身份證書；所述客戶端將所述客戶端身份證書提供給所述第二可信計算密碼模塊TCM，完成發(fā)布?？蛻舳嗣舾袛?shù)據(jù)信息包括客戶端名稱信息、密碼信息以及銀行賬戶信息。
本發(fā)明的有益效果是結(jié)合TCM芯片技術(shù)，對敏感信息進行加密傳輸及存儲，加強了傳輸過程與使用過程中的信息安全，同時業(yè)務(wù)過程中使用的密鑰采用硬件存儲，解決了密鑰丟失后信息被竊取的問題。


圖I為本發(fā)明基于TCM芯片PIK功能的網(wǎng)絡(luò)平臺身份認證結(jié)構(gòu)圖。圖2為基于TCM芯片的發(fā)布客戶端身份證書流程。圖3為基于TCM芯片的客戶端身份認證流程。圖4為基于TCM芯片的發(fā)布客戶端身份證書具體方法。圖5為TCM芯片的客戶端身份認證具體方法。
具體實施例方式以下結(jié)合附圖對本發(fā)明的原理和特征進行描述，所舉實例只用于解釋本發(fā)明，并非用于限定本發(fā)明的范圍。可信計算密碼模塊TCM(Trusted Cryptography Module)芯片的基礎(chǔ)功能包括平臺度量、平臺身份認證以及密碼運算等功能。本發(fā)明使用標準TCM芯片功能提供的PIK功能進行平臺身份證明，使用PEK進行客戶端敏感數(shù)據(jù)加密傳輸，使用PEK私鑰解密客戶端敏感數(shù)據(jù)并進行有效性判斷，使用TCM提供的存儲密鑰對有效性辨別通過的客戶端敏感數(shù)據(jù)進行加密存儲。圖I所示為基于TCM芯片PIK功能的網(wǎng)絡(luò)平臺身份認證系統(tǒng)結(jié)構(gòu)圖其中，網(wǎng)絡(luò)平臺身份認證系統(tǒng)包括CA(英文全稱Certificate Authority,是數(shù)字證書認證中心的簡稱)，網(wǎng)絡(luò)平臺(安裝有第一可信計算密碼模塊TCM芯片的服務(wù)端)以及客戶端PC (安裝第二可信計算密碼模塊TCM芯片)。網(wǎng)絡(luò)平臺服務(wù)端通過第一可信計算密碼模塊TCM提供的PIK功能提交身份證書請求給CA，CA下發(fā)身份證書給網(wǎng)絡(luò)平臺服務(wù)端；網(wǎng)絡(luò)平臺服務(wù)端向客戶端提供證書，所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，客戶端通過第二可信計算密碼模塊TCM進行證書的鑒別，從而實現(xiàn)進行網(wǎng)絡(luò)平臺身份認證。所述網(wǎng)絡(luò)平臺身份認證方法主要包括如下步驟所述服務(wù)端通過所述第一可信計算密碼模塊TCM提供的PIK功能生成身份證書請求并輸出到所述數(shù)字認證中心CA ；所述數(shù)字認證中心CA下發(fā)身份證書給服務(wù)端；服務(wù)端向客戶端提供服務(wù)端身份證書；所述客戶端對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證；所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布。其中，所述客戶端對所述服務(wù)端輸出的身份證書進行鑒別而實現(xiàn)平臺身份認證的步驟具體為所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，第二可信計算密碼模塊TCM對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。圖2所示基于TCM芯片的發(fā)布客戶端身份證書流程步驟1，客戶端鑒別網(wǎng)絡(luò)平臺的身份；
步驟2，填寫客戶端注冊信息；步驟3，客戶端提交客戶端敏感數(shù)據(jù)；步驟4，客戶端使用第二可信計算密碼模塊TCM將客戶端敏感數(shù)據(jù)被PEK公鑰加密，生成客戶端身份信息，并傳輸?shù)椒?wù)端的第一可信計算密碼模塊TCM，第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書；步驟5，網(wǎng)絡(luò)平臺服務(wù)端的第一可信計算密碼模塊TCM使用PEK私鑰對客戶端身份證書進行解密；步驟6，對解密后的客戶端身份證書在本地使用第一可信計算密碼模塊TCM生成的存儲密鑰進行數(shù)據(jù)加密并吐出；步驟7，網(wǎng)絡(luò)平臺服務(wù)端存儲被第一可信計算密碼模塊TCM存儲密鑰加密的客戶端身份證書； 步驟8，返回客戶端注冊成功信息。圖3為基于TCM芯片的網(wǎng)絡(luò)平臺客戶端身份認證流程步驟1，客戶端輸入客戶端名稱信息與密碼信息等客戶端敏感數(shù)據(jù)進行登錄；步驟2，客戶端名稱信息與密碼信息等客戶端敏感數(shù)據(jù)通過第二可信計算密碼模塊TCM使用PEK公鑰進行加密后，生成客戶端身份信息在線上進行傳輸；步驟3，網(wǎng)絡(luò)平臺服務(wù)端第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書；通過第一可信計算密碼模塊TCM對客戶端身份證書進行解密并使用存儲公鑰進行加密；步驟4，網(wǎng)絡(luò)平臺服務(wù)端使用存儲公鑰加密后的客戶端身份證書進行鑒權(quán)；步驟5，鑒權(quán)通過完成登錄操作。具體實施例圖4所示為基于TCM芯片的發(fā)布客戶端身份證書的方法步驟1，客戶端向網(wǎng)絡(luò)平臺發(fā)送Tspi_TCM_Activate命令激活客戶端加密密鑰PEKl ；步驟2，網(wǎng)絡(luò)平臺返回客戶端加密秘鑰公鑰Pub_PEKl，并存儲在客戶端；步驟3，客戶端填寫注冊信息(客戶端名稱信息，密碼信息，銀行賬戶信息等)，其中客戶端對客戶的敏感信息通過第二可信計算密碼模塊TCM使用Tspi_Data_Encrypt命令通過公鑰Pub_PEKl進行加密后，生成客戶端身份信息發(fā)送給網(wǎng)絡(luò)平臺的服務(wù)端的第一可信計算密碼模塊TCM ；步驟4，服務(wù)端的第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書，第一可信計算密碼模塊TCM發(fā)送命令Tspi_Data_Decrypt通過Pri_PEKl解密客戶端客戶端身份證書，并使用本地存儲的密鑰3如1'1(#1，發(fā)送命令1'鄧1_0&七&_Encryp通過密鑰StorKeyl對客戶端身份證書進行加密,加密結(jié)果進行本地存儲,返回客戶端注冊成功消息。圖5所示為基于TCM芯片的客戶端身份認證方法步驟1，客戶端輸入客戶端名稱信息，密碼信息等客戶端敏感數(shù)據(jù)提交給網(wǎng)絡(luò)平臺服務(wù)端，客戶端的第二可信計算密碼模塊TCM使用Tspi_Data_Encrypt命令通過公鑰Pub_PEKl對客戶端敏感數(shù)據(jù)進行加密后，生成客戶端身份信息發(fā)送給網(wǎng)絡(luò)平臺的服務(wù)端的第一可信計算密碼模塊TCM ；步驟2，服務(wù)端的第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書，第一可信計算密碼模塊TCM發(fā)送命令Tspi_Data_Decrypt通過Pri_PEK解密客戶端身份證書；步驟3，服務(wù)端的第一可信計算密碼模塊TCM使用本地存儲密鑰StorKeyl發(fā)送命令Tspi_Data_Encryp通過StorKeyl對客戶端身份證書進行加密；步驟4,比較步驟3中通過StorKeyl加密的客戶端身份證書與本地存儲值,如果一致，則返回客戶端登錄成功消息。結(jié)合TCM芯片技術(shù)，對敏感信息進行加密傳輸及存儲，加強了傳輸過程與使用過程中的信息安全，同時業(yè)務(wù)過程中使用的密鑰采用硬件存儲，解決了密鑰丟失后信息被竊取的問題。
本發(fā)明思想和方法同樣適用于利用TCM技術(shù)對其他應(yīng)用環(huán)境中的客戶端敏感數(shù)據(jù)進行加密傳輸、存儲、校驗。以上所述僅為本發(fā)明的較佳實施例，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進等，均應(yīng)包含在本發(fā)明的保護范圍之內(nèi)。
權(quán)利要求
1.一種網(wǎng)絡(luò)平臺身份認證系統(tǒng)，其特征在于，所述認證系統(tǒng)包括服務(wù)端、與服務(wù)端連接的第一可信計算密碼模塊TCM，數(shù)字認證中心CA以及客戶端； 所述服務(wù)端通過所述第一可信計算密碼模塊TCM提供的PIK功能生成身份證書請求并輸出到所述數(shù)字認證中心CA ； 所述數(shù)字認證中心CA下發(fā)身份證書給服務(wù)端； 所述客戶端接收所述服務(wù)端輸出的服務(wù)端身份證書，并進行鑒別。
2.根據(jù)權(quán)利要求I所述的網(wǎng)絡(luò)平臺身份認證系統(tǒng)，其特征在于，所述認證系統(tǒng)包括與所述客戶端連接的第二可信計算密碼模塊TCM，所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，第二可信計算密碼模塊TCM對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。
3.一種根據(jù)權(quán)利要求I或2所述的系統(tǒng)中網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述網(wǎng)絡(luò)平臺身份認證方法包括如下步驟 所述服務(wù)端通過所述第一可信計算密碼模塊TCM提供的PIK功能生成身份證書請求并輸出到所述數(shù)字認證中心CA ； 所述數(shù)字認證中心CA下發(fā)身份證書給服務(wù)端； 服務(wù)端向客戶端提供服務(wù)端身份證書； 所述客戶端對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。
4.根據(jù)權(quán)利要求3所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述客戶端對所述服務(wù)端輸出的身份證書進行鑒別而實現(xiàn)平臺身份認證的步驟具體為所述客戶端將所述服務(wù)端身份證書提供給所述第二可信計算密碼模塊TCM，第二可信計算密碼模塊TCM對所述服務(wù)端身份證書進行鑒別而實現(xiàn)平臺身份認證。
5.根據(jù)權(quán)利要求4所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述網(wǎng)絡(luò)平臺身份認證方法進一步包括如下步驟 所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布。
6.根據(jù)權(quán)利要求5所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布的步驟具體包括 所述客戶端接收外部輸入的客戶端敏感數(shù)據(jù)信息； 所述第二可信計算密碼模塊TCM使用PEK的公鑰加密所述客戶端敏感數(shù)據(jù)信息，生成客戶端身份信息； 所述第二可信計算密碼模塊TCM將客戶端身份信息傳輸至所述第一可信計算密碼模塊 TCM ； 所述第一可信計算密碼模塊TCM對所述客戶端身份信息進行處理，生成客戶端身份證書; 所述第一可信計算密碼模塊TCM返回所述客戶端身份證書到所述第二可信計算密碼模塊TCM，完成發(fā)布。
7.根據(jù)權(quán)利要求6所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述第二可信計算密碼模塊TCM將客戶端身份信息傳輸至所述第一可信計算密碼模塊TCM的步驟具體包括 所述第二可信計算密碼模塊TCM將所述客戶端身份信息通過所述客戶端傳輸至所述服務(wù)端，所述服務(wù)端將所述客戶端身份信息提供給所述第一可信計算密碼模塊TCM。
8.根據(jù)權(quán)利要求6所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述第一可信計算密碼模塊TCM對所述客戶端身份證書進行鑒別的步驟具體包括 所述第一可信計算密碼模塊TCM使用PEK私鑰對所述客戶端身份證書進行解密； 所述第一可信計算密碼模塊TCM使用存儲密鑰對解密的所述客戶端身份證書進行加密； 所述第一可信計算密碼模塊TCM將加密后的所述客戶端身份證書輸出到所述服務(wù)端，所述服務(wù)端存儲該加密后的所述客戶端身份證書。
9.根據(jù)權(quán)利要求6所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于，所述第二可信計算密碼模塊TCM對所述客戶端身份證書進行發(fā)布的步驟具體包括 所述第一可信計算密碼模塊TCM通過所述服務(wù)端返回所述客戶端身份證書到所述客戶端，所述客戶端存儲客戶端身份證書； 所述客戶端將所述客戶端身份證書提供給所述第二可信計算密碼模塊TCM，完成發(fā)布。
10.根據(jù)權(quán)利要求6所述的網(wǎng)絡(luò)平臺身份認證方法，其特征在于客戶端敏感數(shù)據(jù)信息包括客戶端名稱信息、密碼信息以及銀行賬戶信息。
全文摘要
本發(fā)明公開一種基于TCM芯片的網(wǎng)絡(luò)平臺身份認證系統(tǒng)及方法，并且提供了一種基于TCM芯片的發(fā)布客戶端身份證書以及客戶端身份認證方法。通過上述方法，將TCM芯片置于網(wǎng)絡(luò)平臺的服務(wù)端中，實現(xiàn)網(wǎng)絡(luò)平臺身份認證以及客戶端敏感數(shù)據(jù)的數(shù)據(jù)加密。本發(fā)明解決目前網(wǎng)絡(luò)平臺中身份信息易被第三方冒充以及客戶端敏感數(shù)據(jù)裸數(shù)據(jù)傳輸以及存儲的問題。
文檔編號H04L9/32GK102685126SQ20121014012
公開日2012年9月19日 申請日期2012年5月8日 優(yōu)先權(quán)日2012年5月8日
發(fā)明者范琴 申請人:國民技術(shù)股份有限公司