CN102255730A - 数字证书安全锁装置、数字证书认证***及方法 - Google Patents

Abstract

本发明涉及数字证书安全锁装置、数字证书认证***及方法。其中数字证书安全锁装置包括：通用加密及数字签名微控制器，其上设置有加密及数字签名模块和用于存储数字证书及其密钥和加解密算法的存储器；还包括音频插头及第一调制解调模块，后者用于对来自加密及数字签名模块的数据信息进行调制以通过音频插头的MIC极传出，并用于对接收自音频插头的第一声道极的信号进行解调后传送至所述加密及数字签名模块。本发明的数字证书安全锁装置具有通用音频接口插头，其通用性和适用性强，可以支持带有音频接口的通信终端，如手机、平板电脑、PDA或PC机等。独立硬件签名、数字证书加密等功能，能最大程度确保网络银行或企业应用登录和交易的安全。

Description

数字证书安全锁装置、数字证书认证***及方法

技术领域

本发明涉及安全接入认证，更具体地说，涉及一种带音频接口的数字证书安全锁装置、数字证书认证***及方法。

背景技术

目前手机、平板电脑、PDA等通信终端产品缺少通用的USB接口，因此在个人电脑(PC机)上普遍使用的U-KEY或U盾等使用USB接口硬件独立的数字证书及签名算法技术，无法在此类通信终端上使用。

已经普及的安装于部分通信终端上的网络银行软件没有硬件独立的安全钥匙，使得其交易安全性降低，功能减少。随着通信终端功能的增强，它们已经面临PC机相似的黑客入侵、文件证书丢失等安全风险，独立的、通用的硬件数字证书设备及加密算法变得尤为重要。同样的问题也出现在对安全登录存在较强需求的应用环境中，如企业VPN、支付宝、网银在线等。

目前上述应用中，如PC机上的网上银行查询及交易软件，为了安全原因普遍采用的USB KEY作为独立的硬件装置进行数字证书存储、签名及摘要运算。随着移动通信终端用户普及率迅速提高，移动终端用户总量将远远超过拥有PC机的用户数量。各银行和企业为移动通信终端用户开发了专用的移动通信终端软件，但是移动通信终端上面没有USB KEY等独立数字证书硬件，安全性仍然得不到保证。

网上银行目前普遍采用的USB KEY，需要主设备(PC机等)具有USB接口，并能够安装驱动程序，或者所谓免驱USB KEY实际上共享了WINDOWS XP以上操作***HID接口驱动。智能通信终端或者其他个人手持通信终端一般没有USB接口，更不可能有适合USB KEY的“免驱”前提的内置驱动。但是无论PC机、通信终端或者个人手持通信终端都有带有耳机和MIC的音频接口，因此需要发明一种通用音频接口设备(KEY)，其采用音频接口并且具有USB KEY的数字证书和签名算法等硬件功能。

发明内容

本发明要解决的技术问题在于，针对现有技术的许多通信终端未设置USB接口，且USB接口不通用，无法使用现有的USB KEY进行数字证书验证的缺陷，提供一种带有音频插头的数字证书安全锁装置，其可通过通用音频接口与通信终端通信连接。

本发明要解决的技术问题在于，针对现有技术的许多通信终端未设置USB接口，无法使用U-KEY进行数字证书验证的缺陷，提供一种数字证书认证***，其中包括带有音频插头的数字证书安全锁装置，可通过音频接口与通信终端通信连接。

本发明要解决的技术问题在于，针对现有技术的许多通信终端未设置USB接口，无法使用U-KEY进行数字证书验证的缺陷，提供一种数字证书认证方法，其中带有音频插头的数字证书安全锁装置可通过音频接口与通信终端通信连接。

本发明解决其技术问题所采用的技术方案是：构造一种数字证书安全锁装置，包括通用加密及数字签名微控制器，其上设置有加密及数字签名模块和用于存储数字证书及其密钥和加解密算法的存储器；其特征在于，还包括：

音频插头，其具有MIC极和第一声道极；及

第一调制解调模块，用于对来自所述加密及数字签名模块的数据信息进行调制以通过所述音频插头的MIC极传出，并用于对接收自所述音频插头的第一声道极的信号进行解调以获取数据信息后传送至所述加密及数字签名模块。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块包括与所述通用加密及数字签名微控制器通信相连、用于进行音频信号的编码和解码处理的第一通讯微控制器，以及交流耦合电路和低通滤波电路，其中，所述第一通讯微控制器的输出端通过低通滤波电路连接于所述音频插头的麦克(MIC)极，所述第一通讯微控制器的输入端通过交流耦合电路连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块包括与所述通用加密及数字签名微控制器通信相连、用于进行音频信号的编码和解码处理的第一通讯微控制器、和第一数模转换器，其中，所述第一通讯微控制器的输出端通过所述第一数模转换器连接于所述音频插头的MIC极，所述第一通讯微控制器的输入端连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块还包括第一模数转换器，所述第一通讯微控制器的输入端通过所述第一模数转换器连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块包括交流耦合电路、低通滤波电路以及集成在所述通用加密及数字签名微控制器上的第一音频信号编解码模块，其中，所述通用加密及数字签名微控制器的输出端通过低通滤波电路连接于所述音频插头的麦克(MIC)极，所述通用加密及数字签名微控制器的输入端通过交流耦合电路连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块包括第一数模转换器以及集成在所述通用加密及数字签名微控制器上的第一音频信号编解码模块，其中，所述通用加密及数字签名微控制器的输出端通过所述第一数模转换器连接于所述音频插头的MIC极，所述通用加密及数字签名微控制器的输入端连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，所述第一调制解调模块还包括第一模数转换器，所述通用加密及数字签名微控制器的输入端通过所述第一模数转换器连接于所述音频插头的第一声道极。

在本发明所述的数字证书安全锁装置中，还包括用于为所述加密锁装置供电的供电装置；且所述音频插头还具有第二声道极；所述供电装置包括内置于所述数字证书安全锁装置并连接于所述第二声道极的电量收集器，或者所述供电装置包括内置于所述数字证书安全锁装置中的电池。

在本发明所述的数字证书安全锁装置中，所述通用加密及数字签名微控制器和所述第一通讯微控制器通过UART接口或USB接口或I²C接口通信连接。

本发明解决其技术问题所采用的另一技术方案是：构造一种数字证书认证***，包括：

如上所述的数字证书安全锁装置；

带有音频接口及通信模块的通信终端，所述通信终端上设置有用于进行音频信号的调制解调的第二调制解调模块；

认证服务器；

其中，所述数字证书安全锁装置的音频插头与所述通信终端的音频接口通信连接，所述通信终端经由所述通信模块通过通信网络与所述认证服务器通信连接。

在本发明所述的数字证书认证***中，所述第二调制解调模块包括：设置在所述通信终端上的用于进行音频信号的编码和解码处理的第二通讯微控制器；或者集成在所述通信终端上的第二音频信号编解码模块。

在本发明所述的数字证书认证***中，所述通信终端包括安装有网络银行软件的手机、计算机或个人数字助理，所述认证服务器包括网络银行web服务器及与其通信相连的应用服务器，所述应用服务器与数据库通信连接。

本发明解决其技术问题所采用的另一技术方案是：提供一种数字证书认证方法，包括以下步骤：

认证服务器接收通信终端通过通信网络发送的登录请求并返回包含一个数据串的响应信号；

所述通信终端将接收到的所述响应信号调制后，并通过音频接口传送给数字证书安全锁装置；

所述数字证书安全锁装置对接收到的信号进行解调后重新获取所述数据串，并对所述数据串进行加密签名得到加密签名结果串；

所述数字证书安全锁装置将所述加密签名结果串进行调制后，通过音频接口返回给所述通信终端；

所述通信终端对接收到的信号解调后重新获取所述加密签名结果串，并通过通信网络将所述加密签名结果串发送至所述认证服务器进行验证。

实施本发明，具有以下有益效果：由于本发明的数字证书安全锁装置具有通用音频接口插头，其通用性和适用性强，可以支持带有音频接口的通信终端，如手机、平板电脑、PDA或PC机等。独立硬件签名、数字证书加密等功能，能最大程度确保网络银行或企业应用登录和交易的安全。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明数字证书安全锁装置的结构示意图；

图2A是本发明数字证书安全锁装置的第一实施例的结构示意图；

图2B是本发明数字证书安全锁装置的第二实施例的结构示意图；

图3A是本发明数字证书安全锁装置的第三实施例的结构示意图；

图3B是本发明数字证书安全锁装置的第四实施例的结构示意图；

图4A是本发明数字证书安全锁装置的第五实施例的结构示意图；

图4B是本发明数字证书安全锁装置的第六实施例的结构示意图；

图5是本发明数字证书认证***的结构示意图；

图6A是本发明数字证书认证***的第一实施例的结构示意图；

图6B是本发明数字证书认证***的第二实施例的结构示意图；

图7是本发明数字证书认证方法的流程图。

具体实施方式

本发明构思一种带有音频插头的数字证书安全锁装置(亦可称为通用音频接口KEY，简称A-KEY)，以便与带有音频接口的通信终端配合，对用户身份进行认证，以安全接入服务或应用***，例如网络银行业务***。

如图1所示，本发明的数字证书安全锁装置100包括通用加密及数字签名微控制器10、第一调制解调模块20和音频插头30。其中，通用加密及数字签名微控制器10上设置有加密及数字签名模块12和用于存储数字证书及其密钥和加解密算法的存储器(图中未示出)。音频插头30包括麦克(MIC)极32和第一声道极(例如左或右声道极)34。在本发明中，作为选择，音频插头30可以是耳麦一体式插头。作为另一选择，音频插头30也可以是耳机插头和麦克(MIC)插头分离的分体式插头。在耳麦一体式插头上MIC极32和左和/或右声道极都设置在同一插针上，彼此之间由绝缘材料隔离。在分体式插头上，MIC极32设置在MIC插头上；左和/或右声道极设置在耳机插头上，彼此之间由绝缘材料隔离。

在操作中，第一调制解调模块20用于对来自所述加密及数字签名模块12的数据信息进行调制以通过音频插头的MIC极32传出，并用于对接收自所述音频插头的第一声道极34的信号进行解调以获取数据信息后传送至所述加密及数字签名模块12。

图2A是本发明第一实施例的数字证书安全锁装置100A的结构示意图。如图1所示，数字证书安全锁装置100A包括通用加密及数字签名微控制器10、第一调制解调模块20、音频插头30和电量收集器52。其中上设置有加密及数字签名模块12和存储器(图中未示出)，该存储器中存储有数字证书及其密钥和加解密算法。第一调制解调模块20包括第一通讯微控制器22、低通滤波电路24、交流耦合电路26。第一通讯微控制器22中设置有音频编码模块22a和音频解码模块22b，用于进行音频信号的编码和解码处理。音频插头30包括麦克MIC极32、右声道极34a、左声道极34b。

通用加密及数字签名微控制器10与第一通讯微控制器22通信连接，例如通过UART接口、USB接口或I²C接口或其他适用的通信接口进行通信。第一通讯微控制器22的输出端通过低通滤波电路24连接于音频插头的MIC极32，第一通讯微控制器的20输入端通过交流耦合电路26连接于音频插头30的右声道极34a。电量收集器52连接于音频插头30的左声道极34b，用于从所连接的通信终端获取电能，以便为数字证书安全锁装置供电。

需要说明的是，虽然图2A中示出交流耦合电路26与右声道极34a连接，电量收集器52与左声道极34b连接，但本发明不限于此，作为替代，也可以将交流耦合电路26与左声道极34b连接，电量收集器52与右声道极34a连接。因此可以将右声道极34a和左声道极34b之一用第一声道极表示，而另一个声道用第二声道极表示。

图2B，是根据本发明第二实施例的数字证书安全锁装置100B的结构示意图。图2B中除了采用电池54替代电量收集器52为数字证书安全锁装置供电外，其余部分与图2A所示的数字证书安全锁装置100A的结构相同。另外，图2B所示的实施例中，交流耦合电路44可以连接于右声道极，或者可以连接于左声道极，图2B中将右声道极34a或左声道极34b统称为右或左声道极34。

图3A是本发明第三实施例的数字证书安全锁装置100C的结构示意图。与图2A所示实施例不同的是，图3A所示实施例中，音频编解码模块被集成在通用加密及数字签名微控制器10中，即与图2A所示实施例相比，省了一个微控制器。如图3A所示，在数字证书安全锁装置100C中，通用加密及数字签名微控制器10除了包括加密及数字签名模块12外，还集成有第一音频信号编解码模块28。第一音频信号编解码模块28的输出信号经由通用加密及数字签名微控制器10的输出端通过低通滤波电路24传送至音频插头30的麦MIC极32，并且，第一音频信号编解码模块28可经由通用加密及数字签名微控制器10的输入端通过交流耦合电路26和音频插头30的右声道极34a接收信号。电量收集器52连接于音频插头30的左声道极34b，用于从所连接的通信终端获取电能，以便为数字证书安全锁装置供电。

需要说明的是，虽然图3A中示出交流耦合电路26与右声道极34a连接，电量收集器52与左声道极34b连接，但本发明不限于此，作为替代，也可以将交流耦合电路26与左声道极34b连接，电量收集器52与右声道极34a连接。因此可以将右声道极34a和左声道极34b之一用第一声道极表示，而另一个声道用第二声道极表示。

图3B是本发明第四实施例的数字证书安全锁装置100D的结构示意图。图3B中除了采用电池54替代电量收集器52为数字证书安全锁装置供电外，其余部分与图3A所示的数字证书安全锁装置100C的结构相同。另外，图3B所示的实施例中，交流耦合电路44可以连接于右声道极，或者可以连接于左声道极，图3B中将右声道极34a或左声道极34b统称为右或左声道极34。

图4A是本发明第五实施例的数字证书安全锁装置100E的结构示意图。与图2A所示实施例不同的是，图4A所示实施例中，低通滤波电路24由数模转换器(DAC)23a替代，交流耦合电路26由模数转换器(ADC)23b替代。而其余部分与图2A所示的数字证书安全锁装置100A的结构相同。

图4A中ADC 23b用虚线框表示该部件是可选部件，在其他实施例中也可以不使用ADC 23b，而将第一通讯微控制器22的输入端直接连接于音频插头30的右声道极34a。

图4B是本发明第六实施例的数字证书安全锁装置100F的结构示意图。与图3B所示实施例不同的是，图4B所示实施例中，低通滤波电路24由数模转换器(DAC)23a替代，交流耦合电路26由模数转换器(ADC)23b替代。而其余部分与图2A所示的数字证书安全锁装置100A的结构相同。

图4A中ADC 23b用虚线框表示该部件是可选部件，在其他实施例中也可以不使用ADC 23b，而将第一通讯微控制器22的输入端直接连接于音频插头30的右声道极34a。

需要说明的是，虽然图2A、2B、3A、3B、4A和4B所示的实施例中都包括内置电量收集器52或电池54，但是，如本领域技术人员所知悉，数字证书安全锁装置也可以由外接电源供电，而无需内置电量收集器52或电池54。

在操作过程中，将上述实施例的数字证书安全锁装置的音频插头***相应的通信终端的音频接口中，调制后的数据信息即可传送给通信终端(例如手机、平板电脑、个人数字助理或台式计算机等)，通过通信终端中配置的第二调制解调模块的处理，得到还原的数据信息。有关这一点儿，将在后面结合图5、图6A、图6B及图7进行详细说明。

图5是本发明数字证书认证***的结构示意图。如图5所示，数字证书认证***包括数字证书安全锁装置100(例如图1-4B中所示的数字证书安全锁装置100、100A、100B、100C、100D、100E和100F)、移动通信终端200、认证服务器300和通信网络400。其中，移动通信终端200包括音频接口202、第二调制解调模块204和通信模块206，以及图中未示出但常规移动通信终端所具有的功能模块或器件例如处理器、存储器、输入输出装置等。

在操作过程中，数字证书安全锁装置100的音频插头30与移动通信终端200的音频接口202通信连接(即音频插头30***音频接口202中)，移动通信终端200经由通信模块206通过通信网络400与认证服务器300通信连接。第二调制解调模块204用于对音频接口202接收到的音频信号解调处理后传送给通信模块206，并用于将从通信模块206接收到的信号进行调制处理以得到调制后的音频信号，再通过音频接口202传送给数字证书安全锁装置100。

图6A是本发明数字证书认证***的第一实施例的结构示意图。如图6A所示，数字证书认证***包括数字证书安全锁装置100(例如图1-4B中所示的数字证书安全锁装置100、100A、100B、100C、100D、100E和100F)、移动通信终端200、认证服务器300和通信网络400。其中，移动通信终端200包括音频接口202、用于进行音频信号的编码和解码处理的第二通讯微控制器204a和通信模块206，以及图中未示出但常规移动通信终端所具有的功能模块或器件例如处理器、存储器、输入输出装置等。

在操作过程中，数字证书安全锁装置100的音频插头30与移动通信终端200的音频接口202通信连接(即音频插头30***音频接口202中)，移动通信终端200经由通信模块206通过通信网络400与认证服务器300通信连接。第二通讯微控制器204a用于对音频接口202接收到的音频信号解码处理后传送给通信模块206，并用于将从通信模块206接收到的信号进行编码处理以得到编码后的音频信号，再通过音频接口202传送给数字证书安全锁装置100。

图6B是本发明数字证书认证***的第二实施例的结构示意图。如图6所示，数字证书认证***包括数字证书安全锁装置100(例如图1-4B中所示的数字证书安全锁装置100、100A、100B、100C、100D、100E和100F)、台式计算机200’、认证服务器300和通信网络400。其中，台式计算机200’包括音频接口即MIC接口202a和耳机接口202b、用于进行音频信号的编码和解码处理的第二音频信号编解码模块204b和通信模块206，以及图中未示出但常规计算机所具有的功能模块或器件例如处理器、存储器、输入输出装置等。本实施例中，数字证书安全锁装置100的音频插头包括分离的MIC插头32’和耳机插头34’。

在操作过程中，数字证书安全锁装置100的音频插头与台式计算机200’的音频接口通信连接(即MIC插头32’***MIC接口202a中、耳机插头34’***耳机接口202b中)，台式计算机200’经由通信模块206通过通信网络400与认证服务器300通信连接。第二音频信号编解码模块204’用于对从MIC接口202a接收到的音频信号解码处理后传送给通信模块206，并用于将从通信模块206接收到的信号进行编码处理以得到编码后的音频信号，再通过耳机接口202b传送给数字证书安全锁装置100。

在上述实施例中，认证服务器300是用于网络银行业务的服务器，其包括网络银行web服务器302及与其通信相连的应用服务器304，应用服务器304与数据库306通信连接。在网络银行的应用中，通信终端设备(例如台式计算机200’或移动通信终端200)上需要安装相应的网络银行软件。

认证服务器300也可以是其他用途的认证服务器，例如跨国或地区集团公司的分公司人员远程登录总公司数据库时进行身份验证使用的认证服务器、应用软件的用户登录软件提供商的网站进行软件升级或数据上报时进行身份验证所使用的认证服务器、企业VPN服务器、金融中间件服务器、电子商务网站登录认证服务器等等。

需要说明的是，图5、图6A所示实施例中的移动通信终端200可以是手机、平板电脑或个人数字助理等便携式通信终端。在图6A的实施例中，第二通讯微控制器204a也可由第二音频信号编解码模块204b来替代。在图6B的实施例中，第二音频信号编解码模块204b也可由第二通讯微控制器204a来替代。

另外，在各个实施例中，音频插头是选择一体式耳麦插头或是分体式MIC插头和耳机插头需要视所连接的通信终端的音频接口类型来确定。音频插头的规格(例如2.5mm或3.5mm)的选择也需要视所连接的通信终端的音频接口类型来确定。

还需要说明的是，上述音频编码模块22a、音频解码模块22b、第一音频信号编解码模块28和第二音频信号编解码模块204b均可由软件、硬件、固件或软硬件的结合实现。

例如，驻留在数字证书安全锁装置上面的编解码程序用微控制器编程语言实现，同其它的控制流程一起驻留在微控制器的代码存储器中。也可以设计独立的编解码芯片实现编解码算法。音频编解码可以采用TI MSP430系列超低功耗微控制器实现。利用微控制器的G PIO、定时器和比较器，可以控制GPIO输出特定波形信号，通过低通滤波后得到适合音频通道的信号，传送给MIC极。左声道极传送过来的音频信号通过交流耦合后到达MSP430的G PIO和比较器，通过比较器判断波形的上行或者下降，通过Vcc/2电压比对从而解码得到0或1。

同样位于通信终端的第二通讯控制器的功能也可以用软件实现，运行在手机软件进程里面。也可以通信终端操作***模块或驱动的形式存在，驻留在通信终端的操作***固件存储区域。例如使用Android操作***的智能手机通过AudioRecord类从MIC极录音获取音频采样值，通过判断音频采样值的正负以及音频波形的上升或者下降解码获得0或者1。通过判断需要输出的位是1或者0选择不同的频率，利用正弦波函数计算出相应频率对应的PCM值；利用Android平台提供的AudioTrack类，指定左声道播放该PCM数据。

另外，通信模块206可以是有线通信模块或无线通信模块，通信网络可以是有线通信网络、无线通信网络，或者是有线通信网络和无线通信网络的结合。

图7是本发明数字证书认证方法的流程图。如图7所示，在步骤702，通信终端发送登录请求并通过通信网络传送至认证服务器。在步骤704，认证服务器接收通信终端通过通信网络发送的登录请求后，返回包含一个数据串的响应信号。在步骤编码706，通信终端中的第二调制解调模块对接收到的数据串进行调制。在步骤708，通信终端通过音频接口将包含该数据串信息的调制信号传送给数字证书安全锁装置。在步骤710，数字证书安全锁装置中的第一调制解调模块对接收到的调制信号进行解调处理后重新获取该数据串。在步骤712，数字证书安全锁装置中的加密及数字签名模块对数据串进行加密签名得到加密签名结果串。在步骤714，数字证书安全锁装置中的第一调制解调模块将该加密签名结果串编码转换为调制信号。在步骤716，数字证书安全锁装置将包含有该加密签名结果串信息的调制信号通过音频接口返回给所述通信终端。在步骤718，通信终端中的第二调制解调模块对接收到的调制信号进行解调后重新获取加密签名结果串，并通过通信网络将所述加密签名结果串发送至所述认证服务器进行验证。认证服务器对加密签名结果串进行认证处理后，在步骤720，将登录验证结果返回给通信终端。

在本发明中，数字证书安全锁装置中的加密签名处理及认证服务器中的验证处理均兼容现有技术中的处理过程和方法，因而此处不再赘述。

为帮助理解本发明，以下举例说明。

本发明数字证书安全锁装置(亦可称为通用音频接口KEY，简称A-KEY)设有数字证书加密签名等算法微控制器，音频接口KEY通过音频接口连接通信终端。提供给通信终端银行软件开发商软件开发工具包(SoftwareDevelopment Kit，简称SDK)。通信终端软件开发者通过调用SDK中的函数，此函数将传入的数据加上命令字形成位流，然后将位流信号发送到耳机输出音频接口。通讯微控制器(MCU)从音频的左声道(可选右声道)读取曼彻斯特编码的信号(可选的MODEM调制信号)，根据中间电压比对判断0或1，然后作为UART RX输入信号，传送给通用加密签名微控制器。通讯MCU将通用加密签名微控制器的输出信号同样编码为曼彻斯特信号(可选MODEM调制信号)通过低通滤波输出到麦克(MIC)接口。

由于本发明数字证书安全锁装置通过音频接口连接到了通信终端的耳机输出音频接口，因此可以读取信号，将信号解码后获得命令字及命令数据，根据命令字对命令数据进行采用公知的消息摘要算法(例如MD5或者SHA1)进行摘要运算、签名运算或者3-DES加密运算等。然后将运算结果形成位流，然后将位流信号发送给音频接口的MIC接口。通信终端上面的SDK软件将MIC输入接口上面的结果位流数据，提供给通信终端上安装的银行软件使用。通信终端银行软件就可以将经过外部独立加密硬件(即本发明数字证书安全锁装置)签名后的数据发送给银行的通讯服务器处理交易要求的转账、汇款、查询等功能。

具体地说，数字证书安全锁装置上面有音频接口插头，可以***通信终端的音频接口。使用时将音频插头***通信终端的音频接口，然后在通信终端应用软件上面选择登录，通信终端银行软件将向认证服务器发送认证请求，然后获得数据串响应信号，通过对数据串响应信号编码后，将数据串响应信号发送给数字证书安全锁装置，数字证书安全锁装置对接收到的音频解码后用银行公钥加密和用户私钥签名，再将加密签名结果编码后，传送给通信终端银行软件，软件读取解码后的数字证书安全锁装置的运算结果，然后发送给银行的认证服务器。银行认证服务器利用私钥解密，并使用用户的公钥验证签名后确定是否为合法用户，至此安全登录完成。其他转账、汇款、查询等功能同样可以做类似的安全验证和签名。

在本发明中，通讯微控制器的主要作用有两点：a)完成音频信号到数字信号的调制解调；b)将数字信号通过UART/USB/i2C/接口转发给通用加密及数字签名微控制器。例如通信终端上面发送过来的要求对一段数据进行MD5运算，通讯微控制器从左声道获取音频信号，根据信号的电平比对，得到01bit流，然后按通用数字签名及加密微控制器的要求，发送到其USB端口。通用数字签名及加密微控制器就从USB输入上面获取MD5请求指令及要运算的数据，通过内部固化的MD5算法对数据求出MD5摘要值。

通用加密及数字签名微控制器实际上包含一个智能卡芯片和一个FLASH存储器。智能卡芯片硬件固化了MD5或SHA1摘要算法，同时也固化有公钥私钥体系(PKI)的签名、验证签名、数据加密和数据解密的硬件算法。为了安全起见，用户的数字证书(公钥)、私钥等是保存在通用加密及数字签名微控制器的FLASH存储器里面的。这样PKI所需的算法程序和证书、私钥等数据都是独立保存在此硬件中，可以防止黑客攻击。

例如，音频编码器要将0、1的数字信号编码成能通过音频线路传输的音频频率的信号(20～20000赫兹)，数字信号可以被编码成曼彻斯特编码的音频信号，也可以被编码成Bell 202 MODEM(http:∥en.wikipedia.org/wiki/ Bell_202_modem)信号。音频解码器的过程相反。这个功能也可由通讯微控制器实现。例如，音频编码器和音频解码器可以是在通讯微控制器上面运行的音频编码程序和音频解码程序，也可以是固化在通讯微控制器上的音频编解码程序，还可以是做成硬件的音频编解码器。编码解码算法可以很多，如曼彻斯特码、莫尔斯码、以及拨号上网的MODEM调制解调所使用的编码解码方法。

在通信终端上面也设置有相应的音频编码器和音频解码器。例如，音频编码器和音频解码器可以是在通信终端上面运行的音频编码程序和音频解码程序，也可以是固化在通信终端上的音频编解码程序，还可以是做成硬件的音频编解码器音频。此编码器将0变成10，将1变成01，然后将10、01之类的数据发送给数模转换器，从而通过左声道到达数字证书安全锁装置。

以下给出用户登录必要过程的一个例子：

a)通信终端向登录服务器发送登录请求；

b)服务器返回一个随机数字“123456789”；

c)通信终端得到该随机数字后将其交给通信终端端的音频编码器，音频编码器将其编码，并播放到左声道；

d)A-KEY的通讯微控制器从左声道得到音频信号，解码得到数字信号，并将数字信号传送到通用加密及数字签名微控制器的USB输入上；

e)A-KEY的通用加密及数字签名微控制器对随机数字“123456789”进行私钥加密运算，将运算结果“25d55ad283aa400af464c76d713c07ad”输出到接口；

f)A-KEY的通讯微控制器从USB上面获取签名结果，将结果编码，并发送到MIC接口；

g)通信终端中运行的音频解码软件从MIC上面获取音频信号，解码为数字数据“25d55ad283aa400af464c76d713c07ad”，并将此数据发送给登录服务器；

h)登录服务器得到数据“25d55ad283aa400af464c76d713c07ad”，使用用户的公钥进行解密，如果解密成功，那么表示此用户就是公钥证书中声明的用户，登录成功。

综上，本发明涉及一种通信终端外接部件(即数字证书安全锁装置)，能够通过通用音频接口实现硬件数字签名，成为通信终端进行登录、支付、购物等操作时独立的硬件安全钥匙，使通信终端达到和PC个人电脑类似的安全级别。本发明主要解决目前USB KEY的适用范围限制问题。另外，本发明还涉及一种包括该数字证书安全锁装置的数字证书认证***，和利用该数字证书安全锁装置进行数字证书认证的方法。

Claims (10)

1.一种数字证书安全锁装置，包括通用加密及数字签名微控制器，其上设置有加密及数字签名模块和用于存储数字证书及其密钥和加解密算法的存储器；其特征在于，还包括：

音频插头，其具有MIC极和第一声道极；及

第一调制解调模块，用于对来自所述加密及数字签名模块的数据信息进行调制以通过所述音频插头的MIC极传出，并用于对接收自所述音频插头的第一声道极的信号进行解调以获取数据信息后传送至所述加密及数字签名模块。

2.根据权利要求1所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块包括与所述通用加密及数字签名微控制器通信相连、用于进行音频信号的编码和解码处理的第一通讯微控制器，以及交流耦合电路和低通滤波电路，其中，所述第一通讯微控制器的输出端通过低通滤波电路连接于所述音频插头的MIC极，所述第一通讯微控制器的输入端通过交流耦合电路连接于所述音频插头的第一声道极。

3.根据权利要求1所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块包括与所述通用加密及数字签名微控制器通信相连、用于进行音频信号的编码和解码处理的第一通讯微控制器、和第一数模转换器，其中，所述第一通讯微控制器的输出端通过所述第一数模转换器连接于所述音频插头的MIC极，所述第一通讯微控制器的输入端连接于所述音频插头的第一声道极。

4.根据权利要求3所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块还包括第一模数转换器，所述第一通讯微控制器的输入端通过所述第一模数转换器连接于所述音频插头的第一声道极。

5.根据权利要求1所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块包括交流耦合电路、低通滤波电路以及集成在所述通用加密及数字签名微控制器上的第一音频信号编解码模块，其中，所述通用加密及数字签名微控制器的输出端通过低通滤波电路连接于所述音频插头的MIC极，所述通用加密及数字签名微控制器的输入端通过交流耦合电路连接于所述音频插头的第一声道极。

6.根据权利要求1所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块包括第一数模转换器以及集成在所述通用加密及数字签名微控制器上的第一音频信号编解码模块，其中，所述通用加密及数字签名微控制器的输出端通过所述第一数模转换器连接于所述音频插头的MIC极，所述通用加密及数字签名微控制器的输入端连接于所述音频插头的第一声道极。

7.根据权利要求6所述的数字证书安全锁装置，其特征在于，所述第一调制解调模块还包括第一模数转换器，所述通用加密及数字签名微控制器的输入端通过所述第一模数转换器连接于所述音频插头的第一声道极。

8.一种数字证书认证***，其特征在于，包括：

如权利要求1至7中任一项所述的数字证书安全锁装置；

带有音频接口及通信模块的通信终端，所述通信终端上设置有用于进行音频信号的调制解调的第二调制解调模块；

认证服务器；

其中，所述数字证书安全锁装置的音频插头与所述通信终端的音频接口通信连接，所述通信终端经由所述通信模块通过通信网络与所述认证服务器通信连接。

9.根据权利要求8所述的数字证书认证***，其特征在于，所述通信终端包括安装有网络银行软件的手机、计算机或个人数字助理，所述认证服务器包括网络银行web服务器及与其通信相连的应用服务器，所述应用服务器与数据库通信连接。

10.一种数字证书认证方法，其特征在于，包括以下步骤：

认证服务器接收通信终端通过通信网络发送的登录请求并返回包含一个数据串的响应信号；

所述通信终端将接收到的所述响应信号调制后，并通过音频接口传送给数字证书安全锁装置；

所述数字证书安全锁装置对接收到的信号进行解调后重新获取所述数据串，并对所述数据串进行加密签名得到加密签名结果串；

所述数字证书安全锁装置将所述加密签名结果串进行调制后，通过音频接口返回给所述通信终端；

所述通信终端对接收到的信号解调后重新获取所述加密签名结果串，并通过通信网络将所述加密签名结果串发送至所述认证服务器进行验证。

Images