CN104618108A - 安全通信*** - Google Patents
安全通信*** Download PDFInfo
- Publication number
- CN104618108A CN104618108A CN201410851101.XA CN201410851101A CN104618108A CN 104618108 A CN104618108 A CN 104618108A CN 201410851101 A CN201410851101 A CN 201410851101A CN 104618108 A CN104618108 A CN 104618108A
- Authority
- CN
- China
- Prior art keywords
- user
- certificate
- key storage
- storage hardware
- secure key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- General Health & Medical Sciences (AREA)
- Bioethics (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Storage Device Security (AREA)
- Information Transfer Between Computers (AREA)
Abstract
本发明提供了一种安全通信***,所述的***包括:浏览器客户端装置、安全密钥存储硬件和网络服务器,所述浏览器客户端装置,包括:连接模块、读取模块、身份验证模块和加载模块。能够确认用户身份的情况下,加载安全密钥存储硬件中存储的用户证书的内容,可以防止安全密钥存储硬件中存储的用户证书被泄露,提高加载安全密钥存储硬件的安全性。
Description
技术领域
本发明涉及通信技术领域,特别是涉及一种安全通信***。
背景技术
随着网络技术的不断发展,越来越多的用户通过浏览器访问网页获取信息,并进行各种操作,其中,浏览器是指可以显示网页服务器或者文件***的HTML(HyperText Mark-up Language,标准通用标记语言)文件内容,并让用户与这些文件交互的一种软件。
如在购物网站中购物,在视频网站中观看视频,在银行网站中进行金融业务,在游戏网站中玩游戏等。对于不同网站的网页请求,浏览器会执行不同的访问操作,从而访问该网页。在访问一些网站,如银行网站、支付宝网站等涉及金融业务的网站时,需要加载安全密钥存储硬件,但是加载安全密钥存储硬件中存在安全密钥存储硬件中存储的信息泄露、无法保证加载安全密钥存储硬件的安全性的等问题,给访问涉及金融业务的网站造成阻碍。
发明内容
鉴于上述问题,提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的加安全通信***。
依据本发明的一个方面,提供了一种安全通信***,包括:浏览器客户端装置、安全密钥存储硬件和网络服务器,所述网络服务器,用于通过握手过程与所述浏览器客户端装置进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;所述浏览器客户端装置,用于通过握手过程与所述网络服务器进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;以及与所述安全密钥存储硬件连接,获取在安全认证过程中需要的用户证书;所述安全密钥存储硬件,用于通过终端的接口连接所述浏览器,提供安全认证过程中需要的用户证书;所述浏览器客户端装置,包括:连接模块,用于自动识别并连接所述浏览器客户端装置所在终端的接口***的安全密钥存储硬件;读取模块,用于读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;身份验证模块,用于当接收到用户对所述用户证书的选择信息时,对用户进行身份验证;加载模块,用于所述身份验证通过后,加载所述选择信息对应的用户证书内容。
根据本发明的安全通信***可以在加载安全密钥存储硬件中存储的用户证书时,先对用户进行了身份验证,在身份验证通过,能够确认用户身份的情况下,加载安全密钥存储硬件中存储的用户证书的内容,由此解决了加载安全密钥存储硬件过程中存在的信息泄露、加载安全密钥存储硬件存在安全隐患等问题,取得了防止安全密钥存储硬件中存储的用户证书被泄露,从而提高加载安全密钥存储硬件的安全性的有益效果。
上述说明仅是本发明技术方案的概述,为了能够更清楚了解本发明的技术手段,而可依照说明书的内容予以实施,并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂,以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述,各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的,而并不认为是对本发明的限制。而且在整个附图中,用相同的参考符号表示相同的部件。在附图中:
图1示出了根据本发明一个实施例的一种加载安全密钥存储硬件的方法的流程图;
图2示出了根据本发明一个实施例的一种加载安全密钥存储硬件的方法的流程图;
图3示出了根据本发明一个实施例的加密子进程的一种代理机制示意图;
图4示出了根据本发明一个实施例的加密子进程和网络服务器的握手过程示意图;
图5示出了根据本发明一个实施例的在浏览器客户端中提示用户***USBKey的示意图;
图6示出了根据本发明一个实施例的在浏览器客户端中弹窗证书选择对话框的示意图;
图7示出了根据本发明一个实施例的在浏览器客户端中提示用户输入保护口令的示意图;
图8A示出了根据本发明一个实施例的在浏览器客户端中加载用户证书中常规信息的示意图;
图8B示出了根据本发明一个实施例的在浏览器客户端中加载用户证书中详细信息的示意图;
图9示出了根据本发明一个实施例的一种安全通信***的结构框图;
图10示出了根据本发明一个实施例的一种浏览器客户端装置的结构框图;
图11示出了根据本发明一个实施例一种浏览器客户端装置的可选结构框图;
图12A示出了根据本发明一个实施例的读取模块的第一种结构框图;
图12B示出了根据本发明一个实施例的读取模块的第二种结构框图;
图13示出了根据本发明一个实施例的加密子进程的结构框图;以及
图14示出了根据本发明一个实施例的主业务进程的结构框图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例,然而应当理解,可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反,提供这些实施例是为了能够更透彻地理解本公开,并且能够将本公开的范围完整的传达给本领域的技术人员。
实施例一:
参照图1,示出了根据本发明一个实施例的一种加载安全密钥存储硬件的方法实施例的步骤流程图,具体可以包括如下步骤:
步骤102,自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件。
用户使用浏览器客户端登陆网上银行或支付宝等网上支付平台时,为了保证数据传输的安全性,需要用户***安全密钥存储硬件。即用户在浏览器客户端的地址栏中输入上述网站的地址以请求对该网站地址对应网页进行访问时,浏览器客户端会提示用户***安全密钥存储硬件。浏览器客户端的地址栏所接收的网站地址可能是用户直接输入的,也可以能是用户通过搜索点击搜索结果后输入的,本实施例对此不作限定。
安全密钥存储硬件,即USBKey,安全密钥存储硬件中存储有用户证书,用户可以选择所述用户证书。需要说明的是,一个安全密钥存储硬件中通常存储有一个用户证书,各大银行有自己对应的安全密钥存储硬件。例如,北京银行的网上银行的安全密钥存储硬件中存储有北京银行下发用户证书;建设银行的网上银行的安全密钥存储硬件中存储有建设银行下发的用户证书。
需要说明的是,安全密钥存储硬件通常设置为与USB接口匹配的形式,可以通过USB接口***到电脑等终端上。当所述安全密钥存储硬件通过USB接口***终端后,本实施例中浏览器客户端可以自动识别浏览器客户端所在终端的接口***的安全密钥存储硬件,可以将所述安全密钥存储硬件与其他USB连接硬件区分开来。当识别出是有安全密钥存储硬件***终端后,自动与所述安全密钥存储硬件建立连接,这里所述建立连接,是下载驱动与所述安全密钥存储硬件建立通信连接,可以读取所述安全密钥存储硬件中存储的用户证书,而不限于物理上的连接。
步骤104,浏览器客户端读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择。
浏览器客户端与所述安全密钥存储硬件建立通信连接之后,可以读取所述安全密钥存储硬件中存储的用户证书,并将所述用户证书显示出来供用户进行选择。具体实现时,浏览器客户端可以通过弹窗的形式显示所述用户证书,也可以通过其他方式显示所述用户证书,本实施例对具体的显示方式不做限制,能够将用户证书显示数来,让用户直观看到用户证书以方便用户选择所述用户证书即可。
步骤106,当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证。
浏览器客户端之所以需要自动识别安全密钥存储硬件,是因为访问网上银行等支付平台时,需要进行安全验证。本实施例中具体需要对用户的身份进行验证,在用户选择用户证书之后,对用户进行身份验证。需要说明的是,身份验证虽然在浏览器客户端进行,其实是银行的网络服务器要求对用户进行身份验证,以确认用户的身份。
需要说明的是,本实施例中对用户进行身份验证可以采取多种方式来实现。对于登录网上银行的情景,可以采用让用户输入银行卡的密码,或网上银行的单独密码的方式,对用户进行身份验证。因为银行的网络服务器中存储有用户设置的银行的密码或是网上银行的单独密码,浏览器客户端可以将用户输入的银行卡密码等身份信息发送到网络服务器,与网络服务器中存储的用户身份信息进行匹配,如果能够成功匹配,则用户的身份验证通过;如果匹配不成功,则身份验证失败。需要说明的是,对用户进行身份验证时,用户输入的身份信息可以是上述银行卡密码,也可以是保护口令,还可以是用户的身份证号等能够代表用户身份的信息,本实施例对身份信息的具体内容不做限制,对进行身份验证的具体过程也不做限制,只要能够确认用户身份即可。
步骤108,所述身份验证通过后,加载所述选择信息对应的用户证书内容。
在身份验证通过后,浏览器客户端可以确认该用户是安全的,不是黑客等恶意攻击的用户,此时加载所述选择信息对应的用户证书的具体内容。步骤104中显示出来的用户证书仅仅为了供用户进行选择,因此步骤104中显示出来的不是用户证书的具体内容,可以只是用户证书的名称。在身份验证通过后,浏览器客户端确认用户安全的情况下,加载所述选择信息对应的用户证书的具体内容。
综上所述,本实施例浏览器客户端在加载安全密钥存储硬件时,首先自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件;然后浏览器客户端读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;接着当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证;最后所述身份验证通过后,加载所述选择信息对应的用户证书内容。本实施例在加载安全密钥存储硬件中存储的用户证书时,先对用户进行了身份验证,在身份验证通过,能够确认用户身份的情况下,加载安全密钥存储硬件中存储的用户证书的内容,可以防止安全密钥存储硬件中存储的用户证书被泄露,提高加载安全密钥存储硬件的安全性。
实施例二:
在上述实施例的基础上,本实施例继续加载安全密钥存储硬件的方法。
参照图2,示出了根据本发明一个实施例的一种加载安全密钥存储硬件的方法实施例的步骤流程图,具体可以包括如下步骤:
步骤202,在浏览器客户端中启动与主业务进程进行通信的加密子进程,其中,所述加密子进程用于作为连接代理实现第一加密通道到第二加密通道的转换,以及数据转发。
对于一些网站,如银行网站、支付宝网站等涉及金融业务的网站需要通过以安全为目标的HTTP(HTTP-Hypertext transfer protocol,超文本传送协议)通道进行加密数据的传输,但是有时浏览器主业务进程与网络服务器采用不同的加密协议或算法,导致两者无法直接通信,无法对该网络服务器的网页进行访问。
本实施例中,提供了一种安全浏览器客户端,其在浏览器中还设置了与浏览器主业务进程进行通信的加密子进程。为了使得安全浏览器能够实现,需要首先在浏览器客户端中启动与浏览器主业务进程进行通信的加密子进程。所述加密子进程的主要功能是作为连接代理实现第一加密通道到第二加密通道的转换,以及数据转发。即采用加密子进程作为主业务进程的代理,其既能与浏览器主业务进程进行加密的安全通行,也能够与网络服务器进行加密的安全通信,如对于浏览器主业务进程的业务数据通过第一加密通道发送给加密子进程,该加密子进程将业务数据通过第二加密通道传输给网络服务器,实现数据转发以及两个加密通道的连通。
需要说明的是,通常情况下,浏览器的主业务进程与网络服务器直接进行通信,但是,在以安全为目标的HTTP通道进行通信时,若主业务进程无法对网络服务器反馈的数据信息进行解析,启动所述加密子进程作为代理连接,即所述加密子进程作为所述主业务进程与所述网络服务器之间的代理。本实施例中上述第一加密通道为所述浏览器主业务进程和所述加密子进程的安全通信通道;所述第二加密通道为所述加密子进程和网络服务器的安全通信通道。因此所述加密子进程通过将加密子进程与所述主业务进程的第一加密通道,转换为加密子进程与网络服务器的第二加密通道,来实现所述主业务进程与所述网络服务器之间的连接代理。当然对于主业务进程通过所述第一加密通道发送给加密子进程的业务数据,加密子进程可以将所述业务数据通过第二加密通道发送给网络服务器。具体地,可以将在第二加密通道中进行通信的数据采用对称加密算法SM4对业务数据进行加密。
本实施例中,浏览器主业务进程与加密子进程采用代理及IPC两种通信方式,从而加密子进程可以作为连接代理,负责和浏览器主业务进程第一加密通道,到和网络服务器的第二加密通道的通道转换及数据转发,而IPC通信方式负责进程间数据传递。本实施例中,加密子进程代理实现机制如图3所示,具体可以包括如下结构:
主线程:读取各类配置,创建监听线程、主业务线程,以及浏览器主进程IPC通。
侦听线程:用于监听服务端口,当有主业务进程存在连接请求并接收(accept)成功执行相应的代理操作。
业务处理线程:与主业务进程和网络服务器两端分别建立相应加密通道连接并维持,从而作为桥梁进行两端的数据交换。
需要说明的是,业务处理线程的具体流程如下:(1)接收代理数据,具体接收代理连接的http request数据。(2)与网络服务器进行SSL连接,具体包括SSL连接的建立,SSL协议协商,算法协商,客户端证书验证(CRL检查或OCSP认证)(3)与web服务器交互。具体将代理连接httprequest数据经由国密SSL通道发给Web服务器,获取Web服务器的httpresponse。(4)发送网络服务器返回数据给代理连接。具体将网络服务器的http response转给代理连接。(5)关闭连接。业务处理流程中如果发生错误,则关闭连接,同时给代理连接返回错误页面。需要说明的是,所述第二对称算法具体可以是国密算法。
需要说明的是,采用SSL的安全技术解决网络应用身份认证以及数据保密性得到广泛的认可,主流的浏览器和网络服务器中也内置了SSL模块,专业的SSL硬件产品也广泛使用。但当前SSL产品还都存在一定局限性:
(1)当前SSL产品普遍采用单证书机制。而双证书机制是当前PKI公钥基础设施(Public Key Infrastructure体系建设的主流模式。本实施例使用签名证书进行身份认证,使用加密证书进行密钥的交换和保护,发挥了PKI技术非对称密钥的优势。
(2)当前的SSL产品中普遍采用国外公开的对称算法,不符合保密要求,具有一定风险性。本实施例中密码产品对称算法采用SM1算法或SM4算法。
(3)当前的证书非对称算法采用RSA算法,而本实施例采用的椭圆曲线密码(ECC)是一种比RSA具有更高安全性、更高效率的公钥密码,具有加密/解密、数字签名和密钥协商等重要的密码功能,可以安全且方便地满足各种信息网络中的用户身份识别、电子信息的真伪鉴别和保密传输等重要的信息安全需求,是信息安全领域的核心技术,并已逐渐被诸多国际和国家标准组织采纳为公钥密码标准(IEEE P1363、ANSI X9、ISO/IEC和IETF等),将会成为信息安全产业界使用的主流密码技术之一。我国将国产的ECC(ECDSA+ECDH)算法命名为SM2。
本实施例提供的加载安全密钥存储硬件的方法,符合我国PKI机制和密码产品管理政策的要求,对国内安全产品的管理的规范性和网络应用的快速增长都起到积极的推动作用。
步骤204,所述加密子进程通过握手过程与所述网络服务器进行数字证书双向认证。
本实施例中,双向认证是对所访问网站的网络服务器和浏览器客户端彼此均要进行认证,确认访问的网络服务器的数字证书以及浏览器客户端所加载的数字证书是安全有效的,因此双向认证时需要认证的证书包括访问的网站的站点证书以及浏览器客户端所加载的用户证书。本实施例中所述加密子进程通过握手过程与所述网络服务器进行数字证书的双向认证的步骤,具体可以通过以下方式来实现:所述加密子进程通过握手过程与所述网络服务器依次执行以下安全认证操作:加密数据协商、证书认证、密钥交换和签名认证。
需要说明的是,上述双向认证的过程同样是在浏览器客户端和网站所属网络服务器的握手过程中完成的,该握手过程至少可以通过以下方式来实现:
首先,浏览器客户端向所述网络服务器发送客户端问候消息ClientHello,所述网络服务器向所述浏览器客户端反馈服务端问候消息SeverHello,协商加密数据。
然后,网络服务器向所述浏览器客户端发送服务端证书消息SeverCertificate,由于要进行双向认证,网络服务器向浏览器客户端依次发送服务端密钥交换消息SeverKeyExchange、证书认证请求消息SeverRequest和服务端问候完结消息SeverHelloDone。其中。所述证书认证请求消息用于指示进行客户端的证书认证。
然后,浏览器客户端采用非对称算法SM2对所述网络服务器的站点证书进行认证,在认证通过后,浏览器客户端向所述网络服务器发送客户端证书消息ClientCertificate,该客户端证书消息包括浏览器客户端加载的用户证书,从而网络服务器基于非对称算法SM2对所述浏览器客户端加载的用户证书进行认证。
后续的握手过程中,浏览器客户端还可以向网络服务器发送客户密钥交换消息ClientKeyExchange和客户端问候完结消息ClientHelloDone,以及密钥交换和签名认证所需的其他握手消息,本实施例不一一论述。
需要说明的是,上述客户端问候消息(ClientHello消息)作为浏览器客户端和网络服务器握手协议的第一条消息,所述加密子进程向所述网络服务器发送客户端问候消息之后,等待网络服务器返回服务器问候消息。客户端问题消息结构定义:
1、Clien_vision表示客户端在这个会话中使用的协议版本。如协议版本号是1.1。
2、Radom是客户端产生的随机信息,其内容包括始终和随机数。
3、session_id是客户端在连接中使用的会话标识。session_id是一个可变长字段,其值由服务器决定。如果没有可重用的会话标识或希望协商安全参数,该字段为空,否则表示客户端希望重用该会话。这个会话标识可能是之前的连接标识,当前连接标识,或其他处于连接状态的连接标识。会话标识生成后应一致保持到被超时删除或与这个会话相关的连接遇到致命错误被关闭。一个会话失效或被关闭时则与其相关的连接都应被强制关闭。
4、cipher_suites是客户端所支持的密码套件列表,客户端应按照密码套件使用的优先级顺序排列,优先级最高的密码套件应排在首位。如果会话标识字段不为空,本字段应至少包含将重用的会话所使用的密码套件。每个密码套件包括一个密钥交换算法,一个加密算法和一个校验算法。服务器将在密码套件列表中选择一个与之匹配的密码套件,如果没有可匹配的密码套件,应返回握手失败报警消息并且关闭连接。
5、compression_methods是客户端所支持的压缩算法列表,客户端应该按照压缩算法使用的优先级顺序排列,优先级最高的压缩算法排在首位。服务器将在压缩算法列表中选择一个与之匹配的压缩算法,列表中必须包含空压缩算法,这样客户端和服务器总能协商出一致的压缩算法。
需要说明的是,服务器如果能从客户端问候消息中找到匹配的密码套件,服务器发送所述服务端问候消息(Server Hello消息)作为对客户端问候消息的回复。如果找不到匹配的密码套件,服务器将回应报警消息。
本实施例中,数字证书的认证过程中采用非对称算法进行认证,即发送者采用接收者的公钥对数据进行加密,对应接收者采用自己的私钥对数据进行解密。其中,证书的非对称算法采用SM2算法,使用签名证书基于ECDSA签名实现身份认证,使用加密证书基于ECDH实现密钥协商。
在本发明实施例的一种可选示例中,所述加密子进程和所述网络服务器进行双向证书认证,具体可以通过以下方式来实现:
1)所述加密子进程接收所述网络服务器发送的服务端证书消息,所述服务端证书消息包括所述网络服务器的站点签名证书;
2)所述加密子进程接收所述网络服务器发送的证书认证请求消息,所述证书认证请求消息用于指示进行客户端的证书认证;
3)所述加密子进程接收所述网络服务器发送的服务端密钥交换消息,包括密钥交换参数;
4)所述加密子进程接收所述网络服务器发送的服务端问候完结消息;
5)所述加密子进程对所述站点签名证书进行认证;
6)当所述站点签名证书认证通过后,所述加密子进程向所述网络服务器发送客户端证书消息,所述客户端证书消息包括所述浏览器客户端的签名证书,以使所述网络服务器对所述签名证书进行认证。
本实施例中,上述加密数据协商、证书认证、密钥交换以及签名认证都是在安全浏览器客户端的加密子进程和网络服务器的握手过程中执行的。本实施例中,双向认证采用了双证书机制,证书的非对称算法采用SM2算法,使用签名证书基于ECDSA签名实现身份认证,使用加密证书基于ECDH实现密钥协商。使用的SM4算法对数据进行加密,使用SM3算法对数据进行摘要。
其中,SM2算法(SM2algorithm)是一种椭圆曲线公钥密码算法,其密钥长度为256比特。SM3算法(SM3algorithm)是一种密码杂凑算法,其密钥长度为128比特,SM4算法(SM4algorithm)是一种分组密码算法,分组长度为128比特,密钥长度为128比特。
如图4所示,加密子进程和网络服务器的握手过程包括:
4.02、加密子进程发送客户端问候消息ClientHello给网络服务器。
4.04、网络服务器发送服务端问候消息SeverHello给所述安全安全浏览器客户端的加密子进程。
其中,网络服务器从ClientHello消息中找到匹配的密码套件,发送SeverHello作为回复,若找不到匹配的密码套件,则发送报警消息。该SeverHello中,Sever_vision,表示服务器支持的版本号,如1.1;Radom服务器端产生的随机数;session_id服务端使用的会话标识;cipher_suites服务端从ClientHello消息中选取的密码套件;compression_methods服务端从ClientHello消息中选取的压缩算法。
4.06、网络服务器发送服务端证书消息Certificate给加密子进程。
即SeverCertificate本消息内容为签名证书和加密证书。如服务端的站点签名证书(X.509序列)
4.08、网络服务器发送证书认证请求消息SeverRequest给加密子进程。
通过SeverRequest消息要求客户端提供证书。同时指明了认证类型(ECDSA)
4.10、网络服务器发送服务端密钥交换消息SeverKeyExchange给加密子进程。
SeverKeyExchange用于客户端计算产生48字节的预主密钥。公钥可以直接从服务器端的加密证书中获取。如客户端随机产生预主密钥pre_master_seceret密钥,并使用服务器证书的公钥进行ECDH运算
4.12、网络服务器发送问候完结消息SeverHelloDone给加密子进程。
SeverHelloDone表征握手过程的hello消息阶段完成,然后等待客户端的响应消息。
4.14、加密子进程发送客户密钥交换消息Certificate给网络服务器。
即ClientCertificate消息是hello消息阶段完成后的第一条消息,如包括客户的签名证书(X.509序列)。
4.16、加密子进程发送客户密钥交换消息ClientKeyExchange给网络服务器。
ClientKeyExchange消息中网络服务器的公钥加密预主密钥。
4.18、加密子进程发送证书校验消息CertificateVerify给网络服务器。
CertificateVerify消息用于鉴别客户端是够为证书的合法持有者。本实施例中,提示用户***USBKey后可以提示用户输入保护口令,该保护口令即携带在该消息中验证用户是否合法。
如,客户端使用签名证书的ECC私钥对握手信息的摘要进行ESDSA签名
4.20、加密子进程发送客户端密码规格变更消息ChangeCipherSpec给网络服务器。
即ClientChangeCipherSpec消息向服务端表明算法及密钥协商完成。
4.22、加密子进程发送客户端握手结束消息Finished给网络服务器。
本实施例中,加密子进程根据客户端的随机数、服务端的随机数、pre_master_seceret使用密钥算法计算master_seceret,然后再使用随机数和master_seceret计算真正的数据加密密钥,然后将所有握手消息摘要后加密形成ClientFinished消息向服务端发送。
4.24、网络服务器发送服务端密码规格变更消息ChangeCipherSpec给加密子进程。
4.26、网络服务器发送服务端握手结束消息Finished给加密子进程。
服务端验证客户端证书,使用客户端的签名证书验证客户端的签名。服务使用自身的加密私钥和进行ECDH运算,获得pre_master_seceret,采用客户端同样的算法计算master_seceret和数据加密密钥,验证SeverFinished消息的正确性,向客户端发送SeverChangeCipherSpec消息,表示认可算法及密钥协商。
通过上述握手过程完成了浏览器客户端和网络服务器双方的认证、密钥协商等过程,从而加密子进程和网络服可以务端分别使用协商计算出的密钥加密应用数据。
步骤206,自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件。
本实施例以所访问的网站需要进行双向认证为例进行说明,当浏览器客户端的地址栏接收到用户输入的需要双向认证的网站地址时,浏览器客户端弹出对话框提示用户***安全密钥存储硬件,即提示用户***USBKey,如图5所示。双向认证是对所访问网站的网络服务器和浏览器客户端彼此均要进行认证,确认访问的网络服务器的数字证书以及浏览器客户端所加载的数字证书是安全有效的,因此双向认证时需要认证的证书包括访问的网站的站点证书以及浏览器客户端所加载的用户证书。因此,本实施例中所述自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件,具体可以包括以下两个子步骤:
子步骤一,在进行数字证书的双向认证时,所述加密子进程通过所述安全密钥存储硬件的供应方标识和产品编号关联到对应的驱动位置和驱动接口。需要说明的是,进行双向认证时所述数字证书具体包括访问的网站的站点证书以及浏览器客户端所加载的存储在安全密钥存储硬件中的用户证书。浏览器的加密子进程可以通过所述安全密钥存储硬件的供应方标识和产品编号关联到对应的驱动位置和驱动接口。
子步骤二,通过所述驱动位置和驱动接口与所述安全密钥存储硬件建立连接通道。获知所述安全密钥存储硬件的驱动位置和驱动接口之后,可以根据所述驱动位置和驱动接口与所述安全密钥存储硬件建立通信通道。
需要说明的是,在本发明实施例的一种可选示例中,所述步骤206自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件之前,还包括:所述加密子进程在握手过程中确定是否接收所述网络服务器发送的证书认证请求消息;当接收到所述网络服务器发送的证书认证请求消息时,监测浏览器客户端所在终端的接口是否有安全密钥存储硬件***;当监测到有安全密钥存储硬件***时,执行所述步骤206自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件。
步骤208,浏览器客户端读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择。
本实施例中所述浏览器客户端读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择,具体可以通过以下子步骤:
子步骤一,所述加密子进程通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书。所述加密子进程根据所述驱动位置和驱动接口与所述安全密钥存储硬件建立了连接通道,可以通过所述连接通道读取安全密钥存储硬件中存储用户证书。需要说明的是,此时加密子进程读取到的只是用户证书的名称等不包含用户证书具体内容的信息。在本发明实施例的一种可选示例中,所述加密子进程通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书,具体可以包括:所述加密子进程通过所述连接通道读取所述安全密钥存储硬件中存储的应用,显示所述应用以供用户进行选择,其中每个应用包括容器和容器中存储的用户证书;打开用户选择的应用,加载所述用户选择的应用下的容器和容器中存储的用户证书。
子步骤二,弹出证书选择对话框,在所述证书选择对话框中加载所述用户证书以提示用户选择所述用户证书。需要说明的是,如图6所示,本实施例在浏览器客户端中弹窗证书选择对话框,证书选择对话框中具体可以包括以下任意一种或几种:当前设备、应用名称、容器名称、证书CN、颁发者、生效日期、失效时间、用户证书的名称等信息,能够提示用户选择所述用户证书即可,本实施例并非对证书选择对话框具体形式或具体内容的限制。
本实施例中,为了保证访问网站和用户的安全,CA机构为不同的网站颁布不同的站点证书,同时为不同网站的不同用户颁布不同的用户证书。其中,数字证书中包括站点或用户的公钥,站点或用户的信息,以及数字签名等内容。
因此,在进行数字证书认证之前,优选的,在双向认证过程中,可以在浏览器客户端中弹出证书选择框,在该证书选择框中加载浏览器所在终端当前所具有的用户证书,用户在对用户证书进行选择后,提示用户输入保护口令,如图7所示,输入个人识别码(Personal Identification Number,PIN),从而在保护口令通过验证后说明该用户对该用户证书具有权项。并且,上述用户证书和保护口令可以作为用户证书认证过程中的认证数据发送给网络服务器。
在本发明实施例的一种可选示例中,所述子步骤一加密子进程通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书之后,还包括:所述加密子进程对所述安全密钥存储硬件中存储的用户证书进行证书站点识别,以证书站点为单位对所述用户证书进行分类;相应地,所述子步骤二弹出证书选择对话框,在所述证书选择对话框中加载所述用户证书以提示用户选择所述用户证书,具体可以包括:弹出证书选择对话框,在所述证书选择对话框中以证书站点为索引显示所述用户证书。需要说明的是,证书站点即该证书对应的银行站点,证书站点具体可以是:建行、工行、农行等。换句话说,在本实施例中,具体可以在证书选择对话框中显示用户证书具体是哪个银行的,直观地显示所述安全密钥存储硬件是哪个银行的,方便用户根据银行判断是否是需要的用户证书,即根据所述证书站点判断是否是需要的用户证书。
步骤210,当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证。
本实施例中所述当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证,具体可以通过以下方式来实现:当接收到用户对所述用户证书的选择信息时,所述加密子进程弹出口令输入框,并通过所述口令输入框接收用户输入的保护口令。依据所述用户输入的保护口令对用户进行身份验证。需要说明的是,本实施例中选用保护口令作为用户的身份信息进行身份验证,具体实现时,也可以采用其他方式进行身份验证,本实施例并非对身份验证具体方式的限定。
在本发明实施例的一种可选示例中,所述当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证,具体还包括:若所述身份验证未通过,则在所述口令输入框中显示口令错误并提示用户重新输入保护口令,依据所述重新输入的保护口令进行身份验证。由于用户在输入保护口令时键盘误操作等原因,用户存储输错保护口令的情况时有发生,因此本可选示例在身份验证未通过时,不是直接断开与安全密钥存储硬件的连接,而是允许用户重新输入保护口令,当然不能允许用户无限次的输入保护口令,需要对输入保护口令的次数进行限制。即在本发明实施例的一种可选示例中,所述当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证,还包括:所述加密子进程设置所述口令输入框的最大输入次数,当所述口令输入框中用户输入的保护口令的次数达到所述最大输入次数时,关闭所述个人密码输入框,并断开与所述安全密钥存储硬件的连接。这样既可以避免用户一次输错保护口令就断开与所述安全密钥存储硬件的连接,所造成的用户需要重新***所述安全密钥存储硬件进行用户验证的操作繁琐且加载安全密钥存储硬件效率不高的问题,也避免了无限次输入密保口令造成的资源占用或死循环问题,提高了加载安全密钥存储硬件的效率。
步骤212,所述身份验证通过后,加载所述选择信息对应的用户证书内容。
本实施例中所述身份验证通过后,加载所述选择信息对应的用户证书内容,具体可以包括以下子步骤:
子步骤一,所述身份验证通过后,所述加密子进程获取所述用户证书中的认证信息,并将所述认证信息加载到证书查看器中。
子步骤二,所述加密子进程依据触发指示启动所述证书查看器,在所述证书查看器中显示所述用户证书的认证信息。需要说明的是,在所述证书查看器中显示所述用户证书的认证信息,具体可以通过以下方式来实现:在所述证书查看器中分别设置常规选项卡和详细选项卡;在所述常规选项卡中显示所述选择信息对应的用户证书的常规信息;在所述详细选项卡中显示所述选择信息对应的用户证书的详细信息。即根据触发指示启动所述证书查看器,该证书查看器中分别设置由常规选项卡和详细选项卡,在常规选项卡中加载所述用户证书的常规信息,如图8A所示,在所述详细选项卡中加载所述用户证书的详细信息,如图8B所示,通过对不同选项卡的选择可以查看用户证书的不同内容。
需要说明的是,在本发明实施例的一种可选示例中,所述加载所述选择信息对应的用户证书内容之后,还包括:所述加密子进程断开与所述安全密钥存储硬件的连接。
在本发明实施例的一种可选示例中,浏览器客户端加载用户证书时,首先可以弹出证书选择框提示用户***安全密钥存储硬件,该安全密钥存储硬件即USB Key,它是一种USB接口的硬件设备,内置单片机或智能卡芯片,有一定的存储空间,可以存储用户的私钥以及数字证书,利用USBKey内置的公钥算法实现对用户身份的认证。由于用户私钥保存在密码锁中,理论上使用任何方式都无法读取,因此保证了用户认证的安全性。
在用户***安全密钥存储硬件后,调用所述安全密钥存储硬件的驱动程序在所述通过所述证书选择框中加载安全密钥存储硬件中的证书信息,然后接收用户选择的证书信息;在所述证书选择框中弹出保护口令输入窗口,再接收用户输入的保护口令。
其中,浏览器自动识别USBKey需要依赖CSP注册表项中的两个关键信息:SKFImagePath:指定SKF动态库的路径。TokenVidPid:字符串格式。KEY设备的VendorID和ProductID,采用的格式类似HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB中的格式,也即VID_XXXX&PID_XXXX。
浏览器会通过USBKey设备的供应方标识vendorid、产品编号productid关联到相应驱动,完成相关操作。浏览器不会存储用户输入的pin密码,也不会存储USBKey中的私钥信息。对USBKey的操作流程如下:连接到USBKey设备;打开相应的应用Application,Application由用户选择决定;打开相应的容器Container,Container由用户选择决定,然后输入校验PIN码,验证错误后会提示重新输入,然后获取签名证书信息,获取加密证书信息,进行数字证书的认证,后续在与网络服务器进行数据交互的过程中,对数据的加、解密过程也是在USBKey中完成的,从而在对该网站访问完成后关闭设备并断开连接。
本发明一个可选实施例中,接收所述网络服务器返回的允许连接消息,建立所述浏览器和所述网站对应网络服务器之间进行加密数据传输的安全连接通道,所述允许连接消息是由所述网络服务器对所述用户证书的安全认证通过后发送的。
上述证书认证通过后,网络服务器返回允许连接消息,此时建立所述浏览器和所述网站对应网络服务器之间进行加密数据传输的安全连接通道。在该安全连接通道中传输数据,本实施例中,采用对称算法SM4算法对数据进行加、解密,其中SM4算法即SM4algorithm,是一种分组密码算法,分组长度为128比特,密钥长度为128比特。
对于方法实施例,为了简单描述,故将其都表述为一系列的动作组合,但是本领域技术人员应该知悉,本发明实施例并不受所描述的动作顺序的限制,因为依据本发明实施例,某些步骤可以采用其他顺序或者同时进行。其次,本领域技术人员也应该知悉,说明书中所描述的实施例均属于优选实施例,所涉及的动作并不一定是本发明实施例所必须的。
实施例三
在上述实施例的基础上,本实施例还公开了一种安全通信***。
参照图9,示出了根据本发明一个实施例的安全通信***实施例的结构框图。
参照图10,示出了根据本发明一个实施例的安全通信***中浏览器客户端装置实施例的结构框图。
该安全通信***,包括:浏览器客户端装置902、安全密钥存储硬件904和网络服务器906。
其中,所述网络服务器906,用于通过握手过程与所述浏览器客户端装置902进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;
所述浏览器客户端装置902,用于通过握手过程与所述网络服务器906进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;以及与所述安全密钥存储硬件连接,获取在安全认证过程中需要的用户证书;
所述安全密钥存储硬件904,用于通过终端的接口连接所述浏览器,提供安全认证过程中需要的用户证书;
所述浏览器客户端装置902,包括:
连接模块90202,用于自动识别并连接所述浏览器客户端装置所在终端的接口***的安全密钥存储硬件;
读取模块90204,用于读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;
身份验证模块90206,用于当接收到用户对所述用户证书的选择信息时,对用户进行身份验证;
加载模块90208,用于所述身份验证通过后,加载所述选择信息对应的用户证书内容。
用户使用浏览器客户端装置登陆网上银行或支付宝等网上支付平台时,为了保证数据传输的安全性,需要用户***安全密钥存储硬件。即用户在浏览器客户端装置的地址栏中输入上述网站的地址以请求对该网站地址对应网页进行访问时,浏览器客户端装置会提示用户***安全密钥存储硬件。浏览器客户端装置的地址栏所接收的网站地址可能是用户直接输入的,也可以能是用户通过搜索点击搜索结果后输入的,本实施例对此不作限定。
安全密钥存储硬件,即USBKey,安全密钥存储硬件中存储有用户证书,用户可以选择所述用户证书。需要说明的是,一个安全密钥存储硬件中通常存储有一个用户证书,各大银行有自己对应的安全密钥存储硬件。例如,北京银行的网上银行的安全密钥存储硬件中存储有北京银行下发用户证书;建设银行的网上银行的安全密钥存储硬件中存储有建设银行下发的用户证书。
需要说明的是,安全密钥存储硬件通常设置为与USB接口匹配的形式,可以通过USB接口***到电脑等终端上。当所述安全密钥存储硬件通过USB接口***终端后,本实施例中浏览器客户端可以自动识别浏览器客户端装置所在终端的接口***的安全密钥存储硬件,可以将所述安全密钥存储硬件与其他USB连接硬件区分开来。当识别出是有安全密钥存储硬件***终端后,自动与所述安全密钥存储硬件建立连接,这里所述建立连接,是下载驱动与所述安全密钥存储硬件建立通信连接,可以读取所述安全密钥存储硬件中存储的用户证书,而不限于物理上的连接。
其中,浏览器客户端装置与所述安全密钥存储硬件建立通信连接之后,可以读取所述安全密钥存储硬件中存储的用户证书,并将所述用户证书显示出来供用户进行选择。具体实现时,浏览器客户端可以通过弹窗的形式显示所述用户证书,也可以通过其他方式显示所述用户证书,本实施例对具体的显示方式不做限制,能够将用户证书显示数来,让用户直观看到用户证书以方便用户选择所述用户证书即可。
浏览器客户端装置之所以需要自动识别安全密钥存储硬件,是因为访问网上银行等支付平台时,需要进行安全验证。本实施例中具体需要对用户的身份进行验证,在用户选择用户证书之后,对用户进行身份验证。需要说明的是,身份验证虽然在浏览器客户端装置进行,其实是银行的网络服务器要求对用户进行身份验证,以确认用户的身份。
需要说明的是,本实施例中对用户进行身份验证可以采取多种方式来实现。对于登录网上银行的情景,可以采用让用户输入银行卡的密码,或网上银行的单独密码的方式,对用户进行身份验证。因为银行的网络服务器中存储有用户设置的银行的密码或是网上银行的单独密码,浏览器客户端装置可以将用户输入的银行卡密码等身份信息发送到网络服务器,与网络服务器中存储的用户身份信息进行匹配,如果能够成功匹配,则用户的身份验证通过;如果匹配不成功,则身份验证失败。需要说明的是,对用户进行身份验证时,用户输入的身份信息可以是上述银行卡密码,也可以是保护口令,还可以是用户的身份证号等能够代表用户身份的信息,本实施例对身份信息的具体内容不做限制,对进行身份验证的具体过程也不做限制,只要能够确认用户身份即可。
综上所述,本实施例浏览器客户端装置在加载安全密钥存储硬件时,首先自动识别并连接浏览器客户端装置所在终端的接口***的安全密钥存储硬件;然后浏览器客户端装置读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;接着当浏览器客户端接收到用户对所述用户证书的选择信息时,对用户进行身份验证;最后所述身份验证通过后,加载所述选择信息对应的用户证书内容。本实施例在加载安全密钥存储硬件中存储的用户证书时,先对用户进行了身份验证,在身份验证通过,能够确认用户身份的情况下,加载安全密钥存储硬件中存储的用户证书的内容,可以防止安全密钥存储硬件中存储的用户证书被泄露,提高加载安全密钥存储硬件的安全性
本发明一个如图11所示的可选实施例中,所述浏览器客户端装置,还包括:
主业务进程模块90210,用于在浏览器客户端装置中启动与主业务进程模块进行通信的加密子进程,其中,所述加密子进程用于作为连接代理实现第一加密通道到第二加密通道的转换,以及数据转发;
加密子进程模块90212,用于通过握手过程与所述网络服务器906进行数字证书双向认证。
本发明一个可选实施例中,所述加密子进程模块90212,用于通过握手过程与所述网络服务器906依次执行以下安全认证操作:加密数据协商、证书认证、密钥交换和签名认证。
本实施例中,浏览器客户端装置902采用加密子进程模块90212代理浏览器主业务进程模块90210,与网络服务器906通过握手过程进行加密数据协商、证书认证、密钥交换和签名认证等SSL加密通信过程,具体握手过程如图4所示,相关握手信息和加密算法请参见实施例二部分的论述。
本发明一个可选实施例中,所述安全密钥存储硬件904,具体用于通过所述终端的驱动位置和驱动接口与浏览器客户端装置建立连接通道;
所述浏览器客户端装置的连接模块90202,具体用于在进行数字证书的双向认证时,所述加密子进程模块90212通过所述安全密钥存储硬件的供应方标识和产品编号关联到对应的驱动位置和驱动接口;通过所述驱动位置和驱动接口与所述安全密钥存储硬件建立连接通道。
参照图12A,示出了根据本发明一个实施例的读取模块的第一种结构框图。
本发明一个可选实施例中,所述浏览器客户端装置的读取模块90204,包括:
读取子模块9020402,用于通过所述连接通道读取所述安全密钥存储硬件中存储用户证书;
加载子模块9020404,用于弹出证书选择对话框,在所述证书选择对话框中加载所述用户证书以提示用户选择所述用户证书。
浏览器客户端装置与所述安全密钥存储硬件建立通信连接之后,可以读取所述安全密钥存储硬件中存储的用户证书,并将所述用户证书显示出来供用户进行选择。具体实现时,浏览器客户端装置可以通过弹窗的形式显示所述用户证书,也可以通过其他方式显示所述用户证书,本实施例对具体的显示方式不做限制,能够将用户证书显示数来,让用户直观看到用户证书以方便用户选择所述用户证书即可。
参照图12B,示出了根据本发明一个实施例的读取模块的第二种结构框图。
本发明一个可选实施例中,所述浏览器客户端装置的读取模块90204,还包括:
识别子模块9020406,用于通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书之后,对所述安全密钥存储硬件中存储的用户证书进行证书站点识别,以证书站点为单位对所述用户证书进行分类;
所述加载子模块9020404,具体用于弹出证书选择对话框,在所述证书选择对话框中以证书站点为索引显示所述用户证书。
本发明一个可选实施例中,所述安全密钥存储硬件904,具体用于为所述浏览器客户端装置提供存储的应用,其中,每个应用包括容器和容器中存储的用户证书;
所述读取子模块9020404,具体用于通过所述连接通道读取所述安全密钥存储硬件中存储的应用,显示所述应用以供用户进行选择;打开用户选择的应用,加载所述用户选择的应用下的容器和容器中存储的用户证书。
本发明一个可选实施例中,所述身份验证模块90206,具体用于当接收到用户对所述用户证书的选择信息时,弹出个人密码输入框,并通过所述个人密码输入框接收用户输入的个人密码;依据所述用户输入的个人密码对用户进行身份验证。
本发明一个可选实施例中,所述身份验证模块90206,还用于在所述身份验证未通过时,在所述个人密码输入框中显示密码错误并提示用户重新输入个人密码,依据所述重新输入的个人密码进行身份验证。
本发明一个可选实施例中,所述身份验证模块90206,还用于对所述个人密码输入框设置最大输入次数,当所述个人密码输入框中用户输入的个人密码达到最大输入次数时,关闭所述个人密码输入框,并断开与所述安全密钥存储硬件的连接。
本发明一个可选实施例中,所述加载模块90208,具体用于所述身份验证通过后,获取所述用户证书中的认证信息,并将所述认证信息加载到证书查看器中;
所述加密子进程模块90212,用于依据触发指示启动所述证书查看器,在所述证书查看器中显示所述用户证书的认证信息。
本发明一个可选实施例中,所述加密子进程模块90212,用于在所述证书查看器中分别设置常规选项卡和详细选项卡;在所述常规选项卡中显示所述选择信息对应的用户证书的常规信息;在所述详细选项卡中显示所述选择信息对应的用户证书的详细信息。
本发明一个可选实施例中,所述加密子进程模块90212,还用于在握手过程中确定是否接收所述网络服务器发送的证书认证请求消息;
所述浏览器客户端装置的连接模块90202,还用于当所述加密子进程模块90212接收到所述网络服务器发送的证书认证请求消息时,监测浏览器客户端所在终端的接口是否有安全密钥存储硬件***;当监测到有安全密钥存储硬件***时,自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件。
本发明一个可选实施例中,所述加密子进程模块90212,还用于所述加载模块加载所述选择信息对应的用户证书内容之后,断开与所述安全密钥存储硬件的连接。
需要说明的是,可以参照图13所示的加密子进程模块的结构框图对加密子进程模块进行理解,如图13所示,加密子进程模块包括:配置模块1302、代理模块1304、CTL管理模块1306、CRL管理模块1308、Session管理模块1310、证书验证模块1312、SSL连接模块1314、USBKey操作模块1316。其中,代理模块接受浏览器主业务进程连接,根据浏览器主业务进程连接的类型进行相应处理,形成浏览器主业务进程的连接代理。CTL模块用于管理信任根证书列表。CRL管理模块用于获取CRL列表,管理本地CRL列表。Session管理模块管理代理进程与web服务器的session连接。SSL连接模块负责建立与web服务器的安全连接。USBKey管理模块负责操作USBKey设备。配置模块负责读取、存储客户端的相关配置。
其中,对于CTL管理模块1306,其工作原理如下:CTL描述的是浏览器信任根证书列表,用于验证服务器端证书。360安全浏览器中,支持的信任根证书为PEM编码方式,同时支持两种证书添加方式:1)程序内部添加信任根证书;2)配置文件添加信任根证书,配置文件采用des加密保存。其中,CTL可以配置为不支持导入导出功能。
对于CRL管理模块1308,其工作原理如下:CRL描述的是证书颁发机构CA的证书撤销列表,其本质是证书序列号,证书序列号以ASN.1编码的Integer表示。X509v3证书中的一个扩展项(OID为2.5.29.31)用于指定该证书的CRL发布点。本实施例的安全浏览器中装置对CRL进行了本地缓存,同时CRL查找根据CA进行一级索引。对CRL的验证操作的步骤如下:(1)获取证书中的Issuer项,定位对应的CA节点,如果Issuer项不存在或者找不到对应的CA项,则认为是非法证书。((2)使用二分法搜索该CA下所有的CRL项。
对于Session管理模块1310,SSL连接需要在TCP 3次握手的基础上增加4次握手,连接建立过程是比较耗时的,因此保存Session、复用之前的连接可以有效优化连接性能。本实施例的安全浏览器装置中在一次SSL连接建立完成之后,会建立host+port到session的内存索引,后续操作会复用之前的session,如session有效期为1小时。浏览器关闭、USBKey设备拔出时会清空之前的session。
对于证书验证模块1312,SSL连接建立过程中如果需要双向认证,所述加密子进程模块会提示用户***安全密钥存储硬件,即USBKey设备。在用户***安全密钥存储硬件后能够自动识别并弹出证书选择对话框,提示用户选择证书。所述加密子进程模块自动识别安全密钥存储硬件需要依赖CSP注册表项中的两个关键信息:SKFImagePath:指定SKF动态库的路径和TokenVidPid:字符串格式。KEY设备的VendorID和ProductID,采用的格式类似HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB中的格式,也即VID_XXXX&PID_XXXX。浏览器会通过USBKey设备的vendorid、productid关联到相应驱动,完成相关操作。浏览器不会存储用户输入的pin密码,也不会存储USBKey中的私钥信息。具体流程如下:首先连接到USBKey设备;然后打开相应应用(Application),Application由用户选择决定;然后打开相应容器(Container),Container由用户选择决定;接着校验PIN码(个人身份识别码),验证错误后会提示重新输入;然后获取签名证书信息;接着获取加密证书信息;最后关闭设备、断开连接。
本实施例中,针对上述方法实施例的证书验证过程,对服务器端的证书验证发生在握手协议过程中,浏览器收到ServerHelloDone消息之后,发送Certificate消息之前。证书验证主要确保服务器的合理性,验证过程依赖于CTL,CRL模块,具体过程在子进程证书验证线程池中进行。检查步骤如下:初始化受信任根证书列表;检查是否是自签名证书;检查证书扩展信息;检查证书信任关系;检查CRL列表;检查证书签名;检查证书时间有效性;检查证书是否在黑名单中。
需要说明的是,可以参照图14所示的主业务进程的结构框图对主业务进程进行理解,如图14所示,主业务进程包括:证书显示模块1402、白名单管理模块1404、网络服务器证书存储模块1406、代理设置模块14014。其中证书显示模块1402负责显示数字证书。白名单管理模块1404负责管理支持本实施例的加密算法的web服务器列表。网络服务器证书存储模块1406用于存储负责管理网络服务器的证书。代理设置模块14014代理设置负责设置与加密子进程模块的代理。
对于装置实施例而言,由于其与方法实施例基本相似,所以描述的比较简单,相关之处参见方法实施例的部分说明即可。
在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述,构造这类***所要求的结构是显而易见的。此外,本发明也不针对任何特定编程语言。应当明白,可以利用各种编程语言实现在此描述的本发明的内容,并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中,说明了大量具体细节。然而,能够理解,本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中,并未详细示出公知的方法、结构和技术,以便不模糊对本说明书的理解。
类似地,应当理解,为了精简本公开并帮助理解各个发明方面中的一个或多个,在上面对本发明的示例性实施例的描述中,本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而,并不应将该公开的方法解释成反映如下意图:即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说,如下面的权利要求书所反映的那样,发明方面在于少于前面公开的单个实施例的所有特征。因此,遵循具体实施方式的权利要求书由此明确地并入该具体实施方式,其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解,可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件,以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外,可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述,本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外,本领域的技术人员能够理解,尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征,但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如,在下面的权利要求书中,所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现,或者以在一个或者多个处理器上运行的软件模块实现,或者以它们的组合实现。本领域的技术人员应当理解,可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的安全通信***中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如,计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上,或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到,或者在载体信号上提供,或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制,并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中,不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中,这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
本发明公开了A1、一种安全通信***,包括:浏览器客户端装置、安全密钥存储硬件和网络服务器,所述网络服务器,用于通过握手过程与所述浏览器客户端装置进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;所述浏览器客户端装置,用于通过握手过程与所述网络服务器进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;以及与所述安全密钥存储硬件连接,获取在安全认证过程中需要的用户证书;所述安全密钥存储硬件,用于通过终端的接口连接所述浏览器,提供安全认证过程中需要的用户证书;所述浏览器客户端装置,包括:连接模块,用于自动识别并连接所述浏览器客户端装置所在终端的接口***的安全密钥存储硬件;读取模块,用于读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;身份验证模块,用于当接收到用户对所述用户证书的选择信息时,对用户进行身份验证;加载模块,用于所述身份验证通过后,加载所述选择信息对应的用户证书内容。
A2、如A1所述的***,所述浏览器客户端装置,还包括:主业务进程模块,用于在浏览器客户端中启动与主业务进程进行通信的加密子进程,其中,所述加密子进程用于作为连接代理实现第一加密通道到第二加密通道的转换,以及数据转发;加密子进程模块,用于通过握手过程与所述网络服务器进行数字证书双向认证。
A3、如A2所述的***,所述加密子进程模块,用于通过握手过程与所述网络服务器依次执行以下安全认证操作:加密数据协商、证书认证、密钥交换和签名认证。
A4、如A3所述的***,所述安全密钥存储硬件,具体用于通过所述终端的驱动位置和驱动接口与浏览器客户端装置建立连接通道;所述浏览器客户端装置的连接模块,具体用于在进行数字证书的双向认证时,所述加密子进程模块通过所述安全密钥存储硬件的供应方标识和产品编号关联到对应的驱动位置和驱动接口;通过所述驱动位置和驱动接口与所述安全密钥存储硬件建立连接通道。
A5、如A4所述的***,所述浏览器客户端装置的读取模块,包括:读取子模块,用于通过所述连接通道读取所述安全密钥存储硬件中存储用户证书;加载子模块,用于弹出证书选择对话框,在所述证书选择对话框中加载所述用户证书以提示用户选择所述用户证书。
A6、如A5所述的***,所述浏览器客户端装置的读取模块,还包括:识别子模块,用于通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书之后,对所述安全密钥存储硬件中存储的用户证书进行证书站点识别,以证书站点为单位对所述用户证书进行分类;所述加载子模块,具体用于弹出证书选择对话框,在所述证书选择对话框中以证书站点为索引显示所述用户证书。
A7、如A3所述的***,所述安全密钥存储硬件,具体用于为所述浏览器客户端装置提供存储的应用,其中,每个应用包括容器和容器中存储的用户证书;所述读取子模块,具体用于通过所述连接通道读取所述安全密钥存储硬件中存储的应用,显示所述应用以供用户进行选择;打开用户选择的应用,加载所述用户选择的应用下的容器和容器中存储的用户证书。
A8、如A1所述的***,所述身份验证模块,具体用于当接收到用户对所述用户证书的选择信息时,弹出个人密码输入框,并通过所述个人密码输入框接收用户输入的个人密码;依据所述用户输入的个人密码对用户进行身份验证。
A9、如A8所述的***,所述身份验证模块,还用于在所述身份验证未通过时,在所述个人密码输入框中显示密码错误并提示用户重新输入个人密码,依据所述重新输入的个人密码进行身份验证。
A10、如A9所述的***,所述身份验证模块,还用于对所述个人密码输入框设置最大输入次数,当所述个人密码输入框中用户输入的个人密码达到最大输入次数时,关闭所述个人密码输入框,并断开与所述安全密钥存储硬件的连接。
A11、如A1所述的***,所述加载模块,具体用于所述身份验证通过后,获取所述用户证书中的认证信息,并将所述认证信息加载到证书查看器中;所述加密子进程模块,用于依据触发指示启动所述证书查看器,在所述证书查看器中显示所述用户证书的认证信息。
A12、如A11所述的***,所述加密子进程模块,用于在所述证书查看器中分别设置常规选项卡和详细选项卡;在所述常规选项卡中显示所述选择信息对应的用户证书的常规信息;在所述详细选项卡中显示所述选择信息对应的用户证书的详细信息。
A13、如A3所述的***,所述加密子进程模块,还用于在握手过程中确定是否接收所述网络服务器发送的证书认证请求消息;所述浏览器客户端装置的连接模块,还用于当所述加密子进程模块接收到所述网络服务器发送的证书认证请求消息时,监测浏览器客户端所在终端的接口是否有安全密钥存储硬件***;当监测到有安全密钥存储硬件***时,自动识别并连接浏览器客户端所在终端的接口***的安全密钥存储硬件。
A14、如A2所述的***,所述加密子进程模块,还用于所述加载模块加载所述选择信息对应的用户证书内容之后,断开与所述安全密钥存储硬件的连接。
Claims (10)
1.一种安全通信***,包括:浏览器客户端装置、安全密钥存储硬件和网络服务器,
所述网络服务器,用于通过握手过程与所述浏览器客户端装置进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;
所述浏览器客户端装置,用于通过握手过程与所述网络服务器进行安全认证,并在安全认证通过后建立安全通道,在所述安全通道中传输加密数据;以及与所述安全密钥存储硬件连接,获取在安全认证过程中需要的用户证书;
所述安全密钥存储硬件,用于通过终端的接口连接所述浏览器,提供安全认证过程中需要的用户证书;
所述浏览器客户端装置,包括:
连接模块,用于自动识别并连接所述浏览器客户端装置所在终端的接口***的安全密钥存储硬件;
读取模块,用于读取并显示所述安全密钥存储硬件中存储的用户证书以供用户进行选择;
身份验证模块,用于当接收到用户对所述用户证书的选择信息时,对用户进行身份验证;
加载模块,用于所述身份验证通过后,加载所述选择信息对应的用户证书内容。
2.根据权利要求1所述的***,其特征在于,所述浏览器客户端装置,还包括:
主业务进程模块,用于在浏览器客户端中启动与主业务进程进行通信的加密子进程,其中,所述加密子进程用于作为连接代理实现第一加密通道到第二加密通道的转换,以及数据转发;
加密子进程模块,用于通过握手过程与所述网络服务器进行数字证书双向认证。
3.根据权利要求2所述的***,其特征在于,
所述加密子进程模块,用于通过握手过程与所述网络服务器依次执行以下安全认证操作:加密数据协商、证书认证、密钥交换和签名认证。
4.根据权利要求3所述的***,其特征在于:
所述安全密钥存储硬件,具体用于通过所述终端的驱动位置和驱动接口与浏览器客户端装置建立连接通道;
所述浏览器客户端装置的连接模块,具体用于在进行数字证书的双向认证时,所述加密子进程模块通过所述安全密钥存储硬件的供应方标识和产品编号关联到对应的驱动位置和驱动接口;通过所述驱动位置和驱动接口与所述安全密钥存储硬件建立连接通道。
5.根据权利要求4所述的***,其特征在于,所述浏览器客户端装置的读取模块,包括:
读取子模块,用于通过所述连接通道读取所述安全密钥存储硬件中存储用户证书;
加载子模块,用于弹出证书选择对话框,在所述证书选择对话框中加载所述用户证书以提示用户选择所述用户证书。
6.根据权利要求5所述的***,其特征在于,所述浏览器客户端装置的读取模块,还包括:
识别子模块,用于通过所述连接通道读取所述安全密钥存储硬件中存储的用户证书之后,对所述安全密钥存储硬件中存储的用户证书进行证书站点识别,以证书站点为单位对所述用户证书进行分类;
所述加载子模块,具体用于弹出证书选择对话框,在所述证书选择对话框中以证书站点为索引显示所述用户证书。
7.根据权利要求3所述的***,其特征在于:
所述安全密钥存储硬件,具体用于为所述浏览器客户端装置提供存储的应用,其中,每个应用包括容器和容器中存储的用户证书;
所述读取子模块,具体用于通过所述连接通道读取所述安全密钥存储硬件中存储的应用,显示所述应用以供用户进行选择;打开用户选择的应用,加载所述用户选择的应用下的容器和容器中存储的用户证书。
8.根据权利要求1所述的***,其特征在于:
所述身份验证模块,具体用于当接收到用户对所述用户证书的选择信息时,弹出个人密码输入框,并通过所述个人密码输入框接收用户输入的个人密码;依据所述用户输入的个人密码对用户进行身份验证。
9.根据权利要求8所述的***,其特征在于:
所述身份验证模块,还用于在所述身份验证未通过时,在所述个人密码输入框中显示密码错误并提示用户重新输入个人密码,依据所述重新输入的个人密码进行身份验证。
10.根据权利要求9所述的***,其特征在于:
所述身份验证模块,还用于对所述个人密码输入框设置最大输入次数,当所述个人密码输入框中用户输入的个人密码达到最大输入次数时,关闭所述个人密码输入框,并断开与所述安全密钥存储硬件的连接。
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201410851101.XA CN104618108B (zh) | 2014-12-30 | 2014-12-30 | 安全通信*** |
PCT/CN2015/094850 WO2016107321A1 (zh) | 2014-12-30 | 2015-11-17 | 安全通信*** |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201410851101.XA CN104618108B (zh) | 2014-12-30 | 2014-12-30 | 安全通信*** |
Publications (2)
Publication Number | Publication Date |
---|---|
CN104618108A true CN104618108A (zh) | 2015-05-13 |
CN104618108B CN104618108B (zh) | 2018-07-27 |
Family
ID=53152402
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201410851101.XA Expired - Fee Related CN104618108B (zh) | 2014-12-30 | 2014-12-30 | 安全通信*** |
Country Status (2)
Country | Link |
---|---|
CN (1) | CN104618108B (zh) |
WO (1) | WO2016107321A1 (zh) |
Cited By (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2016107321A1 (zh) * | 2014-12-30 | 2016-07-07 | 北京奇虎科技有限公司 | 安全通信*** |
CN106127016A (zh) * | 2016-07-18 | 2016-11-16 | 浪潮集团有限公司 | 一种操作***用户登录可信认证的***及实现方法 |
CN107784223A (zh) * | 2016-08-26 | 2018-03-09 | 西门子瑞士有限公司 | 用于将证书传输到设备中的仪器的计算机装置 |
CN108111469A (zh) * | 2016-11-24 | 2018-06-01 | 阿里巴巴集团控股有限公司 | 一种在集群中建立安全通道的方法和装置 |
CN108205616A (zh) * | 2016-12-16 | 2018-06-26 | 北京小米移动软件有限公司 | 身份信息校验方法及装置 |
CN109274663A (zh) * | 2018-09-07 | 2019-01-25 | 西安莫贝克半导体科技有限公司 | 基于sm2动态密钥交换与sm4数据加密的通信方法 |
CN111159684A (zh) * | 2019-12-31 | 2020-05-15 | 郑州信大捷安信息技术股份有限公司 | 一种基于浏览器的安全防护***和方法 |
CN111464317A (zh) * | 2020-04-14 | 2020-07-28 | 淮北师范大学 | 基于数字证书的密码学操作方法及装置 |
CN112149097A (zh) * | 2020-09-22 | 2020-12-29 | 龙芯中科(合肥)技术有限公司 | 身份认证方法、装置、设备及存储介质 |
Families Citing this family (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN110838917B (zh) * | 2019-10-16 | 2022-03-18 | 郑州地铁集团有限公司 | 一种基于sm9密码身份认证的地铁综合监控*** |
CN111327634B (zh) * | 2020-03-09 | 2023-02-03 | 深信服科技股份有限公司 | 网站访问监管方法、安全套接层代理装置、终端及*** |
CN111901301B (zh) * | 2020-06-24 | 2023-08-08 | 乾讯信息技术(无锡)有限公司 | 一种基于网络多媒体设备数据传输的安全防护方法 |
CN112401477A (zh) * | 2020-09-01 | 2021-02-26 | 深圳中时利和科技有限公司 | 一种基于计算机的电子信息智能化管理装置及使用方法 |
CN115085949A (zh) * | 2021-03-10 | 2022-09-20 | 航天信息股份有限公司 | 一种基于国密ssl透明代理的数据通信方法和装置 |
CN113992702B (zh) * | 2021-09-16 | 2023-11-03 | 深圳市证通电子股份有限公司 | 一种ceph分布式文件***存储国密加固方法及*** |
CN114357423A (zh) * | 2021-12-20 | 2022-04-15 | 国家电网有限公司 | 一种基于透明加密的数据安全管理***、计算机设备及终端 |
CN114760143A (zh) * | 2022-04-26 | 2022-07-15 | 中国邮政储蓄银行股份有限公司 | 通信数据的解密方法、解密装置和解密*** |
CN115022057A (zh) * | 2022-06-13 | 2022-09-06 | 中信百信银行股份有限公司 | 安全认证方法、装置和设备及存储介质 |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030014629A1 (en) * | 2001-07-16 | 2003-01-16 | Zuccherato Robert J. | Root certificate management system and method |
CN2667807Y (zh) * | 2004-01-08 | 2004-12-29 | 中国工商银行 | 网上银行利用USBKey加密、认证的装置 |
CN101340285A (zh) * | 2007-07-05 | 2009-01-07 | 杭州中正生物认证技术有限公司 | 利用指纹USBkey进行身份验证的方法及*** |
CN101587458A (zh) * | 2009-06-30 | 2009-11-25 | 北京握奇数据***有限公司 | 智能存储卡的操作方法及装置 |
CN102882857A (zh) * | 2012-09-10 | 2013-01-16 | 福建伊时代信息科技股份有限公司 | 客户端装置、加密存储装置、远程访问方法及*** |
CN103188074A (zh) * | 2011-12-28 | 2013-07-03 | 上海格尔软件股份有限公司 | 一种增强浏览器ssl算法强度的代理方法 |
Family Cites Families (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101674304B (zh) * | 2009-10-15 | 2013-07-10 | 浙江师范大学 | 一种网络身份认证***及方法 |
CN103391197B (zh) * | 2013-07-19 | 2016-06-08 | 武汉大学 | 一种基于手机令牌和NFC技术的Web身份认证方法 |
CN104184743B (zh) * | 2014-09-10 | 2017-06-16 | 西安电子科技大学 | 面向云计算平台的三层认证***及认证方法 |
CN104580189B (zh) * | 2014-12-30 | 2019-02-12 | 北京奇虎科技有限公司 | 一种安全通信*** |
CN104618108B (zh) * | 2014-12-30 | 2018-07-27 | 北京奇虎科技有限公司 | 安全通信*** |
CN104573554A (zh) * | 2014-12-30 | 2015-04-29 | 北京奇虎科技有限公司 | 加载安全密钥存储硬件的方法和浏览器客户端装置 |
-
2014
- 2014-12-30 CN CN201410851101.XA patent/CN104618108B/zh not_active Expired - Fee Related
-
2015
- 2015-11-17 WO PCT/CN2015/094850 patent/WO2016107321A1/zh active Application Filing
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030014629A1 (en) * | 2001-07-16 | 2003-01-16 | Zuccherato Robert J. | Root certificate management system and method |
CN2667807Y (zh) * | 2004-01-08 | 2004-12-29 | 中国工商银行 | 网上银行利用USBKey加密、认证的装置 |
CN101340285A (zh) * | 2007-07-05 | 2009-01-07 | 杭州中正生物认证技术有限公司 | 利用指纹USBkey进行身份验证的方法及*** |
CN101587458A (zh) * | 2009-06-30 | 2009-11-25 | 北京握奇数据***有限公司 | 智能存储卡的操作方法及装置 |
CN103188074A (zh) * | 2011-12-28 | 2013-07-03 | 上海格尔软件股份有限公司 | 一种增强浏览器ssl算法强度的代理方法 |
CN102882857A (zh) * | 2012-09-10 | 2013-01-16 | 福建伊时代信息科技股份有限公司 | 客户端装置、加密存储装置、远程访问方法及*** |
Cited By (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2016107321A1 (zh) * | 2014-12-30 | 2016-07-07 | 北京奇虎科技有限公司 | 安全通信*** |
CN106127016A (zh) * | 2016-07-18 | 2016-11-16 | 浪潮集团有限公司 | 一种操作***用户登录可信认证的***及实现方法 |
CN106127016B (zh) * | 2016-07-18 | 2018-08-17 | 浪潮集团有限公司 | 一种操作***用户登录可信认证的***及实现方法 |
CN107784223A (zh) * | 2016-08-26 | 2018-03-09 | 西门子瑞士有限公司 | 用于将证书传输到设备中的仪器的计算机装置 |
CN108111469B (zh) * | 2016-11-24 | 2020-06-02 | 阿里巴巴集团控股有限公司 | 一种在集群中建立安全通道的方法和装置 |
CN108111469A (zh) * | 2016-11-24 | 2018-06-01 | 阿里巴巴集团控股有限公司 | 一种在集群中建立安全通道的方法和装置 |
CN108205616A (zh) * | 2016-12-16 | 2018-06-26 | 北京小米移动软件有限公司 | 身份信息校验方法及装置 |
CN109274663A (zh) * | 2018-09-07 | 2019-01-25 | 西安莫贝克半导体科技有限公司 | 基于sm2动态密钥交换与sm4数据加密的通信方法 |
CN111159684A (zh) * | 2019-12-31 | 2020-05-15 | 郑州信大捷安信息技术股份有限公司 | 一种基于浏览器的安全防护***和方法 |
CN111464317A (zh) * | 2020-04-14 | 2020-07-28 | 淮北师范大学 | 基于数字证书的密码学操作方法及装置 |
CN111464317B (zh) * | 2020-04-14 | 2022-08-19 | 淮北师范大学 | 基于数字证书的密码学操作方法 |
CN112149097A (zh) * | 2020-09-22 | 2020-12-29 | 龙芯中科(合肥)技术有限公司 | 身份认证方法、装置、设备及存储介质 |
CN112149097B (zh) * | 2020-09-22 | 2023-02-28 | 龙芯中科(合肥)技术有限公司 | 身份认证方法、装置、设备及存储介质 |
Also Published As
Publication number | Publication date |
---|---|
WO2016107321A1 (zh) | 2016-07-07 |
CN104618108B (zh) | 2018-07-27 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN104573554A (zh) | 加载安全密钥存储硬件的方法和浏览器客户端装置 | |
CN104618108A (zh) | 安全通信*** | |
CN104639534B (zh) | 网站安全信息的加载方法和浏览器装置 | |
CN104580189B (zh) | 一种安全通信*** | |
CN104580190B (zh) | 安全浏览器的实现方法和安全浏览器装置 | |
CN106533689B (zh) | 一种在ssl/tls通信中加载数字证书的方法和装置 | |
CN108512846B (zh) | 一种终端与服务器之间的双向认证方法和装置 | |
US9565180B2 (en) | Exchange of digital certificates in a client-proxy-server network configuration | |
US7296160B2 (en) | Secure user authentication over a communication network | |
KR101744747B1 (ko) | 휴대 단말기, 단말기 및 보안쿠키를 이용한 인증 방법 | |
CN102201915A (zh) | 一种基于单点登录的终端认证方法和装置 | |
CN107800675A (zh) | 一种数据传输方法、终端以及服务器 | |
US9398024B2 (en) | System and method for reliably authenticating an appliance | |
CN111131416A (zh) | 业务服务的提供方法和装置、存储介质、电子装置 | |
AU2020336124A1 (en) | Decentralized techniques for verification of data in transport layer security and other contexts | |
CN102694782A (zh) | 基于互联网的安全性信息交互设备及方法 | |
CN112733129B (zh) | 一种服务器带外管理的可信接入方法 | |
CN113411187A (zh) | 身份认证方法和***、存储介质及处理器 | |
CN114553590A (zh) | 数据传输方法及相关设备 | |
CN109218334A (zh) | 数据处理方法、装置、接入控制设备、认证服务器及*** | |
CN110166471A (zh) | 一种Portal认证方法及装置 | |
CN109302425A (zh) | 身份认证方法及终端设备 | |
Chikomo et al. | Security of mobile banking | |
EP2741461A1 (en) | Method of allowing communication between a secure element and a server | |
Drhová | Autentizace, autorizace a session management v protokolu HTTP |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant | ||
CF01 | Termination of patent right due to non-payment of annual fee | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20180727 Termination date: 20211230 |