專利名稱：基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法
技術(shù)領(lǐng)域：
本發(fā)明屬于數(shù)字安全認(rèn)證技術(shù)領(lǐng)域，尤其涉及一種基于數(shù)字證書和生物信息識別雙重認(rèn)證的安全認(rèn)證方法，其可以應(yīng)用于對身份認(rèn)證要求比較嚴(yán)格的會計(jì)憑證管理系統(tǒng)。
背景技術(shù)：
計(jì)算機(jī)網(wǎng)絡(luò)和信息技術(shù)的迅速發(fā)展在促進(jìn)了信息化快速發(fā)展的同時也帶來了諸多新的安全問題和風(fēng)險(xiǎn)。身份認(rèn)證系統(tǒng)作為信息系統(tǒng)的第一道安全關(guān)卡，是保證只有合法用戶才能訪問信息系統(tǒng)，進(jìn)行信息讀寫的重要措施。傳統(tǒng)的用戶名口令認(rèn)證方式實(shí)現(xiàn)簡單、成本低，但由于密碼是靜態(tài)的數(shù)據(jù)，在驗(yàn)證過程中需要在計(jì)算機(jī)內(nèi)存中和網(wǎng)絡(luò)中傳輸，而每次驗(yàn)證使用的驗(yàn)證信息都是相同的，很容易被駐留在計(jì)算機(jī)內(nèi)存中的木馬程序或網(wǎng)絡(luò)中的 監(jiān)聽設(shè)備截獲。因此用戶名口令認(rèn)證方式一種是極不安全的身份認(rèn)證方式，已無法滿足當(dāng)前復(fù)雜網(wǎng)絡(luò)環(huán)境下身份認(rèn)證的安全需求。隨著技術(shù)的發(fā)展，又涌現(xiàn)出數(shù)字證書、動態(tài)口令、智能卡、生物識別等新的身份認(rèn)證技術(shù)。目前，數(shù)字證書技術(shù)是最成熟、最安全的身份認(rèn)證解決方法?！峨娮雍灻ā返念C布實(shí)施也表明了國家對數(shù)字證書技術(shù)的大力支持。此外，數(shù)字證書具有保密性、完整性、真實(shí)性、不可否認(rèn)性等特點(diǎn)，使得數(shù)字證書身份認(rèn)證正在被廣泛采用。然而，雖然數(shù)字證書能夠保證交易雙方的不可抵賴性，但是仍然無法保證交易的絕對安全性，例如，數(shù)字證書仍然存在丟失或被盜之后，例如安裝了數(shù)字證書的筆記本或手機(jī)丟失之后被別人使用的問題。上述問題在會計(jì)憑證管理系統(tǒng)中尤為突出，這是因?yàn)椋瑢τ跁?jì)公司來講，其受企業(yè)客戶的委托，為企業(yè)管理財(cái)務(wù)；同時其也要受到國家稅務(wù)部門的監(jiān)督和管理，在使用計(jì)算機(jī)系統(tǒng)所構(gòu)成的會計(jì)憑證管理系統(tǒng)時，對于操作人員的身份有著嚴(yán)格的要求，每一筆交易的會計(jì)憑證都需要企業(yè)相關(guān)部門領(lǐng)導(dǎo)的簽字或授權(quán)，在計(jì)通過算機(jī)網(wǎng)絡(luò)應(yīng)用會計(jì)憑證管理系統(tǒng)時，對于會計(jì)公司而言，如果僅僅要求企業(yè)客戶相關(guān)領(lǐng)導(dǎo)采用數(shù)字證書(通常為數(shù)字認(rèn)證客戶端應(yīng)用插件)進(jìn)行身份認(rèn)證，無法確保使用該數(shù)字證書的領(lǐng)導(dǎo)是否是其本人，如果出現(xiàn)被人盜用，那么出現(xiàn)的損失或者出現(xiàn)交易不真實(shí)性，一方面會給企業(yè)帶來損失，另一方面在進(jìn)行將來責(zé)任追究時也沒法理清責(zé)任所在。

發(fā)明內(nèi)容
鑒于現(xiàn)有技術(shù)中存在的問題，本發(fā)明的目的在于提供一種基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于包括如下步驟SI、用戶向服務(wù)器端發(fā)起注冊請求，將自己的公共密鑰及部分個人身份信息傳送給服務(wù)器端或第三方權(quán)威認(rèn)證中心進(jìn)行注冊；S2、服務(wù)器端或第三方權(quán)威認(rèn)證中心在核實(shí)用戶身份的過程中，請求輸入生物識別信息，并將生物識別信息存儲在服務(wù)器端；S3、在服務(wù)器端或第三方權(quán)威認(rèn)證中心對用戶身份進(jìn)行核實(shí)之后，向用戶的手機(jī)或PC終端下發(fā)CA數(shù)字證書，數(shù)字證書內(nèi)容包括服務(wù)器端的公共密鑰；
S4、用戶登陸服務(wù)器時，再次輸入生物識別信息進(jìn)行驗(yàn)證登陸，并在數(shù)據(jù)傳輸?shù)倪^程中，使用服務(wù)器端的公共密鑰對數(shù)據(jù)進(jìn)行加密傳輸，而將自己的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用；S5、服務(wù)器端通過比較所存儲的生物識別信息和用戶登陸時輸入的生物識別信息是否匹配來對用戶進(jìn)行驗(yàn)證，并在驗(yàn)證通過后，將所存儲的用戶的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用。進(jìn)一步，本發(fā)明所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述服務(wù)器端為會計(jì)憑證管理系統(tǒng)的服務(wù)器；所述用戶為使用會計(jì)憑證管理系統(tǒng)的客戶端。進(jìn)一步，本發(fā)明所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述步驟S2中生物識別信息是用戶的虹膜或指紋信息。本發(fā)明在服務(wù)器端(例如，會計(jì)憑證管理系統(tǒng)的服務(wù)器)向用戶(普通用戶或財(cái)務(wù)審批領(lǐng)導(dǎo))的手機(jī)或PC終端下發(fā)CA數(shù)字證書，通過數(shù)字證書驗(yàn)證用戶的合法性，并在數(shù) 字證書的認(rèn)證過程中使用生物識別信息作為服務(wù)器端和客戶端共同使用的數(shù)字證書密鑰對中的私有密鑰來進(jìn)一步保證認(rèn)證的安全性，由于生物信息例如虹膜信息、指紋信息等信息是身份的固有信息，無法復(fù)制或被盜，因此，可以保證認(rèn)證的絕對安全性。


圖I是本發(fā)明所述基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法的流程圖。
具體實(shí)施例方式為使本發(fā)明的上述目的、特征和優(yōu)點(diǎn)更加明顯易懂，下面對本發(fā)明的實(shí)現(xiàn)原理進(jìn)行詳細(xì)描述，并結(jié)合附圖對本發(fā)明作進(jìn)一步詳細(xì)的說明1976年，美國學(xué)者Dime和Henman為解決信息公開傳送和密鑰管理問題，提出一種新的密鑰交換協(xié)議，允許在不安全的媒體上的通訊雙方交換信息，安全地達(dá)成一致的密鑰，這就是“公開密鑰系統(tǒng)”。相對于“對稱加密算法”這種方法也叫做“非對稱加密算法”。與對稱加密算法不同，非對稱加密算法需要兩個密鑰公開密鑰(publickey)和私有密鑰(privatekey)。公開密鑰與私有密鑰是一對，如果用公開密鑰對數(shù)據(jù)進(jìn)行加密，只有用對應(yīng)的私有密鑰才能解密；如果用私有密鑰對數(shù)據(jù)進(jìn)行加密，那么只有用對應(yīng)的公開密鑰才能解密。因?yàn)榧用芎徒饷苁褂玫氖莾蓚€不同的密鑰，所以這種算法叫作非對稱加密算法。在微軟的Window NT的安全性體系結(jié)構(gòu)中，公開密鑰系統(tǒng)主要用于對私有密鑰的加密過程。每個用戶如果想要對數(shù)據(jù)進(jìn)行加密,都需要生成一對自己的密鑰對(keypair)。密鑰對中的公開密鑰和非對稱加密解密算法是公開的，但私有密鑰則應(yīng)該由密鑰的主人妥
善保管。使用公開密鑰對文件進(jìn)行加密傳輸?shù)膶?shí)際過程包括四步(I)發(fā)送方生成一個會話密鑰(對稱密鑰)并用接收方的公開密鑰對會話密鑰進(jìn)行加密，然后通過網(wǎng)絡(luò)傳輸?shù)浇邮辗剑?2)發(fā)送方對需要傳輸?shù)奈募脮捗荑€進(jìn)行加密，然后通過網(wǎng)絡(luò)把加密后的文件傳輸?shù)浇邮辗剑?3)接收方用自己的私有密鑰進(jìn)行解密后得到會話密鑰；(4)接收方用會話密鑰對文件進(jìn)行解密得到文件的明文形式。因?yàn)橹挥薪邮辗讲艙碛凶约旱乃接忻荑€，所以即使其他人得到了經(jīng)過加密的會話密鑰，也因?yàn)闊o法進(jìn)行解密而保證了會話密鑰的安全性，從而也保證了傳輸文件的安全性。實(shí)際上，上述在文件傳輸過程中實(shí)現(xiàn)了兩個加密解密過程文件本身的加密解密與會話密鑰的加密解密，這分別通過對稱加密解密和非對稱加密解密來實(shí)現(xiàn)。數(shù)字證書是網(wǎng)絡(luò)通訊中標(biāo)志通訊各方身份信息的一系列數(shù)據(jù)，其作用類似于現(xiàn)實(shí)生活中的身份證。它是由權(quán)威機(jī)構(gòu)發(fā)行的，人們可以在交往中用它來識別對方的身份。

最簡單的證書包含一個公開密鑰、名稱以及證書授權(quán)中心的數(shù)字簽名。一般情況下證書中還包括密鑰的有效時間，發(fā)證機(jī)關(guān)(證書授權(quán)中心)的名稱，該證書的序列號等信息，證書的格式遵循ITUT X. 509國際標(biāo)準(zhǔn)。一個標(biāo)準(zhǔn)的X. 509數(shù)字證書包含以下一些內(nèi)容 證書的版本信息； 證書的序列號，每個證書都有一個唯一的證書序列號； 證書所使用的簽名算法； 證書的發(fā)行機(jī)構(gòu)名稱，命名規(guī)則一般采用X. 500格式； 證書的有效期，現(xiàn)在通用的證書一般采用UTC時間格式，它的計(jì)時范圍為1950-2049 ； 證書所有人的名稱，命名規(guī)則一般采用X. 500格式； 證書所有人的公開密鑰； 證書發(fā)行者對證書的簽名。數(shù)字證書即是采用了非對稱算法的公鑰體制，即利用一對互相匹配的密鑰進(jìn)行加密、解密。每個用戶自己設(shè)定一把特定的僅為本人所知的私有密鑰(私鑰)，用它進(jìn)行解密和簽名；同時設(shè)定一把公共密鑰(公鑰)并由本人公開，為一組用戶所共享，用于加密和驗(yàn)證簽名。當(dāng)發(fā)送一份保密文件時，發(fā)送方使用接收方的公鑰對數(shù)據(jù)加密，而接收方則使用自己的私鑰解密，這樣信息就可以安全無誤地到達(dá)目的地了。通過數(shù)字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。本發(fā)明通過在數(shù)字證書的使用過程中加入人類生物識別信息，例如，虹膜或指紋信息來進(jìn)一步保證數(shù)字認(rèn)證的安全性，由于虹膜或指紋屬于人類固有的生物信息，并且由生物識別信息所產(chǎn)生的數(shù)字序列信息與一般的用戶密碼也不相同，其比用戶設(shè)置的口令密碼要復(fù)雜的多，所以很難被竊取，由此可以保證身份的絕對性。本發(fā)明具體實(shí)現(xiàn)過程是，首先在服務(wù)器端(例如，會計(jì)憑證管理系統(tǒng)的服務(wù)器)向客戶(例如，普通用戶或企業(yè)用戶領(lǐng)導(dǎo))頒布標(biāo)準(zhǔn)數(shù)字證書，數(shù)字證書頒發(fā)過程如下用戶設(shè)置自己的公共密鑰，并將公共密鑰及部分個人身份信息傳送給會計(jì)憑證管理系統(tǒng)進(jìn)行注冊(該數(shù)字證書可以由第三方權(quán)威認(rèn)證中心來頒布)。服務(wù)器端或認(rèn)證中心在核實(shí)身份的過程中，要求用戶輸入生物識別信息，例如，虹膜或指紋，這一點(diǎn)要求用戶客戶端或者服務(wù)器端設(shè)備具備虹膜或指紋采集設(shè)備，這些設(shè)備是現(xiàn)有設(shè)備中已經(jīng)能夠?qū)崿F(xiàn)的，這些設(shè)備可以將人類的虹膜或指紋信息識別為一串?dāng)?shù)字信息，服務(wù)器端與客戶端之間經(jīng)由專線網(wǎng)絡(luò)或者通過人與人之間當(dāng)面設(shè)置的方式，將生物識別信息保存在服務(wù)器端。當(dāng)然這個過程可以結(jié)合用戶的其他個人信息來執(zhí)行一些必要的步驟，以確信請求確實(shí)由用戶發(fā)送而來，然后，會計(jì)公司或第三方權(quán)威認(rèn)證中心將發(fā)給用戶一個數(shù)字證書，該證書內(nèi)包括了服務(wù)器端的公共密鑰，同時還附有對認(rèn)證中心公共密鑰加以確認(rèn)的數(shù)字證書。當(dāng)用戶想證明其公開密鑰的合法性時，就可以提供這一數(shù)字證書。數(shù)字證書的公鑰體制利用一對互相匹配的密鑰進(jìn)行加密、解密，每個用戶自己設(shè)定一把特定的僅為本人所知的私有密鑰(私鑰)。本發(fā)明基于此，對于企業(yè)客戶將自己的生物識別信息，例如，虹膜或指紋信息作為私密鑰使用，而對于會計(jì)公司的會計(jì)憑證管理系統(tǒng)，相應(yīng)地將企業(yè)客戶注冊時所保留的生物識別信息作為會計(jì)公司的私有密鑰。在數(shù)字證書的公鑰體制中，私有密鑰僅為本人所知，但是本發(fā)明在基于企業(yè)用戶和會計(jì)公司之間的契約關(guān)系，將企業(yè)用戶的操作人員的生物識別信息作為產(chǎn)生私有密鑰的基礎(chǔ)，在注冊過程中雙方確定由企業(yè)中哪一位管理人員的生物識別信息作為私有密鑰，本發(fā)明使用生物識別信息的數(shù)字認(rèn)證過程已經(jīng)結(jié)束，那么對于數(shù)字認(rèn)證雙方的身份，主要是企業(yè)登陸會計(jì)憑證管理系統(tǒng)的用戶的身份是如何保證的呢？下面結(jié)合圖I來描述本發(fā)明基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的過程。

圖I是本發(fā)明所述基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法的流程圖，如圖所示，本發(fā)明方法包括如下步驟SI、用戶向服務(wù)器端發(fā)起注冊請求，將自己的公共密鑰及部分個人身份信息傳送給服務(wù)器端或第三方權(quán)威認(rèn)證中心進(jìn)行注冊；S2、服務(wù)器端或第三方權(quán)威認(rèn)證中心在核實(shí)用戶身份的過程中，請求輸入生物識別信息，并將生物識別信息存儲在服務(wù)器端；S3、在服務(wù)器端或第三方權(quán)威認(rèn)證中心對用戶身份進(jìn)行核實(shí)之后，向用戶的手機(jī)或PC終端下發(fā)CA數(shù)字證書，數(shù)字證書內(nèi)容包括服務(wù)器端的公共密鑰；S4、用戶登陸服務(wù)器時，再次輸入生物識別信息進(jìn)行驗(yàn)證登陸，并在數(shù)據(jù)傳輸?shù)倪^程中，使用服務(wù)器端的公共密鑰對數(shù)據(jù)進(jìn)行加密傳輸，而將自己的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用；S5、服務(wù)器端通過比較所存儲的生物識別信息和用戶登陸時輸入的生物識別信息是否匹配來對用戶進(jìn)行驗(yàn)證，并在驗(yàn)證通過后，將所存儲的用戶的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用。進(jìn)一步，本發(fā)明所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述服務(wù)器端為會計(jì)憑證管理系統(tǒng)的服務(wù)器；所述用戶為使用會計(jì)憑證管理系統(tǒng)的客戶端。由于服務(wù)器端對用戶傳輸來的數(shù)據(jù)仍然使用用戶的生物識別信息作為服務(wù)器端的私有密鑰進(jìn)行解密，所以會計(jì)公司服務(wù)器端的操作人員無法修改自己的私有密鑰，只能使用用戶的生物識別信息，所以能夠保證會計(jì)公司對數(shù)據(jù)操作行為的唯一性，如果出現(xiàn)會計(jì)問題，在后續(xù)問題查找的過程中，用戶可以通過自己的生物識別信息登錄會計(jì)公司的會計(jì)憑證管理系統(tǒng)查看相關(guān)內(nèi)容，從而可以明確責(zé)任所在。進(jìn)一步，本發(fā)明所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述步驟S2中生物識別信息是用戶的虹膜或指紋信息。
本發(fā)明在服務(wù)器端(例如，會計(jì)憑證管理系統(tǒng)的服務(wù)器)向用戶(普通用戶或財(cái)務(wù)審批領(lǐng)導(dǎo))的手機(jī)或PC終端下發(fā)CA數(shù)字證書，通過數(shù)字證書驗(yàn)證用戶的合法性，并在數(shù)字證書的認(rèn)證過程中使用生物識別信息作為服務(wù)器端和客戶端共同使用的數(shù)字證書密鑰對中的私有密鑰來進(jìn)一步保證認(rèn)證的安全性，由于生物信息例如虹膜信息、指紋信息等信息是身份的固有信息，無法復(fù)制或被盜，因此，可以保證認(rèn)證的絕對安全性。以上是對本發(fā)明的優(yōu)選實(shí)施例進(jìn)行的詳細(xì)描述，但本領(lǐng) 域的普通技術(shù)人員應(yīng)該意識到，在本發(fā)明的范圍內(nèi)和精神指導(dǎo)下，各種改進(jìn)、添加和替換都是可能的，例如調(diào)整接口調(diào)用順序、改變消息格式和內(nèi)容、使用不同的編程語言(如C、C++、Java等)實(shí)現(xiàn)等。這些都在本發(fā)明的權(quán)利要求所限定的保護(hù)范圍內(nèi)。
權(quán)利要求
1.一種基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于包括如下步驟 51、用戶向服務(wù)器端發(fā)起注冊請求，將自己的公共密鑰及部分個人身份信息傳送給服務(wù)器端或第三方權(quán)威認(rèn)證中心進(jìn)行注冊； 52、服務(wù)器端或第三方權(quán)威認(rèn)證中心在核實(shí)用戶身份的過程中，請求輸入生物識別信息，并將生物識別信息存儲在服務(wù)器端； 53、在服務(wù)器端或第三方權(quán)威認(rèn)證中心對用戶身份進(jìn)行核實(shí)之后，向用戶的手機(jī)或PC終端下發(fā)CA數(shù)字證書，數(shù)字證書內(nèi)容包括服務(wù)器端的公共密鑰； 54、用戶登陸服務(wù)器時，再次輸入生物識別信息進(jìn)行驗(yàn)證登陸，并在數(shù)據(jù)傳輸?shù)倪^程中，使用服務(wù)器端的公共密鑰對數(shù)據(jù)進(jìn)行加密傳輸，而將自己的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用； 55、服務(wù)器端通過比較所存儲的生物識別信息和用戶登陸時輸入的生物識別信息是否匹配來對用戶進(jìn)行驗(yàn)證，并在驗(yàn)證通過后，將所存儲的用戶的生物識別信息作為數(shù)字證書密鑰對中的私有密鑰使用。
2.根據(jù)權(quán)利要求I所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述服務(wù)器端為會計(jì)憑證管理系統(tǒng)的服務(wù)器；所述用戶為使用會計(jì)憑證管理系統(tǒng)的客戶端。
3.根據(jù)權(quán)利要求I或2所述的基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其特征在于所述步驟S2中生物識別信息是用戶的虹膜或指紋信息。
全文摘要
一種基于數(shù)字證書和生物識別信息進(jìn)行雙重認(rèn)證的方法，其主要構(gòu)思在于在服務(wù)器端(例如，會計(jì)憑證管理系統(tǒng)的服務(wù)器)向用戶(普通用戶或財(cái)務(wù)審批領(lǐng)導(dǎo))的手機(jī)或PC終端下發(fā)CA數(shù)字證書，該數(shù)字證書可以經(jīng)過第三方權(quán)威電子認(rèn)證中心的認(rèn)證，通過數(shù)字證書驗(yàn)證用戶的合法性，并在數(shù)字證書的認(rèn)證過程中使用生物識別信息作為服務(wù)器端和客戶端使用的數(shù)字證書密鑰對中的各自的私有密鑰來進(jìn)一步保證認(rèn)證的安全性，由于生物信息例如虹膜信息、指紋信息等信息是身份的固有信息，無法復(fù)制或被盜，因此，可以保證認(rèn)證的絕對安全性。
文檔編號H04L29/06GK102769623SQ201210256168
公開日2012年11月7日 申請日期2012年7月24日 優(yōu)先權(quán)日2012年7月24日
發(fā)明者孫麗梅, 潘瑜青, 王久立 申請人:北京華財(cái)理賬顧問有限公司