专利名称：用智能卡实现的安全一卡通系统的制作方法
技术领域：
本发明涉及的是一种一卡通系统，特别是一种用智能卡实现的安全一卡通系统，属于信息安全技术领域。
背景技术：
随着网络技术的发展，企事单位信息化建设程度的不断提高，企业中的应用系统也越来越多。这些应用系统大多基于网络而实现，因而也面临着信息安全的问题。北京理工大学学报2002年4月出版的“基于公开密钥基础设施的单点登录系统的设计”(作者李小平)公开了一种采用传统安全策略的系统，各应用系统需各自维护自己的安全策略，包括组织结构定义，安全角色定义，用户身份验证，资源访问控制等。由于各应用系统互相独立，用户在使用每一应用系统之前，都必须按照相应的系统身份进行系统登陆。这样应用系统安全性提高了，但同时也给用户带来了不小的麻烦。用户必须要记住不同应用系统登陆所需要的用户名及其对应的口令，系统越多用户名和口令越多。若用户将所有系统的帐号统一为同一个用户名和口令，势必带来很大的安全隐患，一旦用户将用户名和口令忘记，就不能登陆任何应用系统；同时若某一应用系统的口令被攻破，则用户所有应用系统中的信息都会受到威胁。相反，若各个应用系统都采用不同的用户名和口令，记忆多组用户名和口令又会给用户带来很大的困难。有的用户将各个用户名和口令记录在纸上的方法来帮助记忆，但由于保管不善，经常造成严重的泄密事故。“单点登陆”技术可以使用户在特定的逻辑安全区域中，只需进行一次登陆即可在访问在此逻辑安全区域中不同应用系统中的被授权的资源，只有超越了安全区域边缘时才要求再次登陆。但特定的逻辑安全区域范围有限，有的在产品自身环境范围内，有的只限于特定系统环境之间。对于跨多个产品，多个系统环境则无法实现。“单点登陆”技术也不能将企事业单位原有各种的应用系统将其集成起来。另外，“单点登陆”技术仅仅解决应用系统的登陆问题，对于应用系统中文件的加解密问题也无法解决。
发明内容
本发明的目的在于克服现有技术中的不足，提供一种用智能卡实现的安全一卡通系统，不仅免除了用户记忆多个用户名、口令和密码的麻烦。同时减少了由于机密信息的流动而造成的不安全性。
本发明是通过以下技术方案实现的，本发明主要包括智能卡发卡子系统、智能卡、智能卡帐号子系统、智能卡密码子系统、智能卡加解密子系统、智能卡签名验证子系统、智能卡管理子系统。智能卡发卡子系统根据用户的信息和需求对智能卡进行定制，将用户的身份信息、登陆帐号和加密解密密钥等信息写入智能卡。当用户需登陆操作系统或应用系统时，智能卡与智能卡帐号子系统相连，用户输入正确的用户名和口令到智能卡后，若用户通过智能卡的身份认证，智能卡将用户对应的帐号信息输出到智能卡帐号子系统。智能卡帐号子系统对用户帐号信息进行验证，若该用户帐号有效，允许该用户登陆系统。当用户需要使用应用系统的加密和解密功能时，智能卡与智能卡帐号子系统相连，用户输入正确的用户名和口令到智能卡后，若用户通过智能卡的身份认证，智能卡将用户对应的密钥输出到智能卡帐号子系统。智能卡帐号子系统将密钥输出到应用系统相应的接口完成加密和解密功能。智能卡加解密子系统和智能卡签名验证子系统与智能卡相连，智能卡加解密子系统和智能卡签名验证子系统将需加解密和签名验证的数据输入智能卡，智能卡将处理后的结果输出到智能卡加解密子系统和智能卡签名验证子系统。智能卡管理子系统与智能卡帐号子系统、智能卡密码子系统、智能卡加解密子系统、智能卡签名验证子系统相连，将智能卡与智能卡帐号子系统、智能卡密码子系统相应的帐号和口令分别输出到智能卡与智能卡帐号子系统、智能卡密码子系统完成设置。智能卡加解密子系统、智能卡签名验证子系统输出密钥到智能卡管理子系统进行备份，根据需要智能卡管理子系统将密钥输入到智能卡加解密子系统、智能卡签名验证子系统进行恢复。
智能卡发卡子系统负责初始化卡，将系统的每一个用户的姓名、身份证号等个人信息和用户私秘信息、登陆帐号、初始口令加密、解密密码写入智能卡中，同时生成公开密钥算法的秘钥对，并设定每一智能卡可连续输错口令的次数。智能卡发卡子系统同时还负责使智能卡中的用户帐号与操作系统的登陆帐号保持一致，并根据需要进行更新和维护。在合法用户的智能卡被锁定时，智能卡发卡子系统负责智能卡的解锁。在合法用户的智能卡丢失时，智能卡发卡子系统负责被遗失卡注销，并为合法用户发放新的智能卡。
智能卡帐号子系统负责实现相应应用系统的帐号映射功能。在用户需要登陆任一应用系统时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，子系统自动将智能卡中对应的登陆帐号提供给应用系统进行身份验证。身份验证成功，用户就可登陆应用系统。智能卡帐号子系统可以对任意应用系统进行封装，而不是限制在有限的安全区域内。
智能卡密码子系统负责实现相应应用系统的密码映射功能。在用户使用任一可加密应用系统时，若需要加密时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，子系统自动将智能卡中对应的密码提供给应用系统文件加密；同理在需要解密时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，子系统自动将智能卡中对应的密码提供给应用系统文件解密。在本子系统中密码不需要用户自己设定，而是由子系统自动生成的。它是相当长度的一段毫无意义的随机码，要进行猜测攻击是不可能的。
智能卡加解密子系统利用智能卡自身的运算能力完成数据流的加解密功能。它针对某些安全性要求较高的应用需求，在智能卡内完成数据的加密和解密，避免秘钥移动所带来的不安全性。
智能卡签名验证子系统利用公开密钥算法的秘钥对实现现代安全系统的身份验证和不可否认性的安全需求。
智能卡管理子系统负责管理智能卡中所存储的大量的各个应用系统中所需要的各种帐号和密码，负责对它们进行定期更新、备份和特殊情况下的恢复。
本发明具有实质性特点和显著进步，本发明可以将多个应用系统的安全应用集成，包括用户身份认证、授权及加密和解密。用户只需使用一个智能卡，就可以使用所有的预先设定应用系统。本发明可以在保证应用系统的安全性的条件下，给用户带来极大的方便性和易用性。特别适用于存在多种IT应用系统的企业。具有非对称加密能力的智能卡，不仅能够保存用户的各种私秘信息和数据，而且能够有效地保证密钥的安全生成、存储和使用。智能卡使用自己的操作系统——芯片卡操作系统COS(Chip Operating System)，具有自己的安全体系，能够有效保障存储在智能卡中信息的安全，利用智能卡的安全性实现一卡通系统。本发明采用智能卡以更安全的方式把各种私密信息包括用户的身份信息、帐号信息以及各种应用系统中用到的加密秘码和解密密码，存储在智能卡中(而非易于受到黑客攻击的PC机中)，并使各个应用系统的用户名、口令和密码等各不相同。不仅免除了用户记忆多个用户名、口令和密码的麻烦。同时减少了由于机密信息的流动而造成的不安全性。用户只需记住PIN(个人识别码或口令)，即可访问存储在智能卡中的数据和信息。PIN可以保证智能卡对持卡人的身份认证，防止智能卡丢失后客户私密信息的非法使用，从而实现双重安全功能。通过限制PIN或密钥的错误尝试次数，当错误的尝试超过一定的次数，卡片就自锁，可以阻止黑客的算法攻击。
图1是本发明的系统组成结构2是本发明的应用范围示意3是本发明的应用封装结构示意4是本发明中智能卡所需存储主要信息的示意图具体实施方式
如图1所示，智能卡发卡子系统2、智能卡3、智能卡帐号子系统4、智能卡密码子系统5、智能卡加解密子系统6、智能卡签名验证子系统7、智能卡管理子系统8，智能卡发卡子系统2根据用户的信息和需求对智能卡3进行定制，将用户的身份信息、登陆帐号和加密解密密钥信息写入智能卡3，当用户需登陆操作系统或应用系统时，智能卡3与智能卡帐号子系统4相连，用户输入正确的用户名和口令到智能卡3后，若用户通过智能卡3的身份认证，智能卡3将用户对应的帐号信息输出到智能卡帐号子系统4，智能卡帐号子系统4对用户帐号信息进行验证，若该用户帐号有效，允许该用户登陆系统，当用户需要使用应用系统的加密和解密功能时，智能卡3与智能卡帐号子系统4相连，用户输入正确的用户名和口令到智能卡3后，若用户通过智能卡3的身份认证，智能卡3将用户对应的密钥输出到智能卡帐号子系统4，智能卡帐号子系统4将密钥输出到应用系统相应的接口完成加密和解密功能，智能卡加解密子系统6和智能卡签名验证子系统7与智能卡3相连，智能卡加解密子系统6和智能卡签名验证子系统7将需加解密和签名验证的数据输入智能卡3，智能卡3将处理后的结果输出到智能卡加解密子系统6和智能卡签名验证子系统7，智能卡管理子系统8与智能卡帐号子系统4、智能卡密码子系统5、智能卡加解密子系统6和智能卡签名验证子系统7相连，将智能卡3与智能卡帐号子系统4、智能卡密码子系统5相应的帐号和口令分别输出到智能卡3、智能卡帐号子系统4和智能卡密码子系统5，智能卡加解密子系统6、智能卡签名验证子系统7输出密钥到智能卡管理子系统8进行备份，根据需要智能卡管理子系统8将密钥输入到智能卡加解密子系统6、智能卡签名验证子系统7进行恢复。
如图2和图3所示，本发明将各个需要进行身份认证的应用软件系统通过智能卡集成起来。如图2所示，信息10表示用户输入的智能卡9用户口令。消息11表示用户输入正确的智能卡9口令后，智能卡系统与相关应用软件系统之间的通信。智能卡系统将卡内所存储的帐号和密码发送到相关应用软件系统的帐号密码的接收接口，相关应用软件系统验证帐号和密码是否正确。如果正确，用户将以所验证的身份登陆该应用软件系统，并获得相应的权限；如果不正确，应用软件系统将发送出错信息到智能卡系统。图3显示了本发明的层次结构。层次13表示智能卡所处的硬件层；层次15表示本发明所针对的各种应用软件系统所处的应用层。层次14表示处于硬件层和应用层之间的各种应用软件系统的封装层。封装层由封装软件构成，对相关应用软件系统的身份认证接口进行封装。向上接受硬件层中智能卡发送的帐号和口令，向下将得到的帐号和口令送入应用层中应用软件系统的身份认证接口，并获取反馈，并调用硬件层的智能卡硬件。
如图1所示，先由智能卡发卡子系统2将智能卡3初始化，在智能卡内生成如图4所示的智能卡所需存储的信息，并相应地在操作系统及应用系统内设置相应的帐号。用户更改初始化所生成的用户口令。在计算机上安装智能卡帐号子系统4、智能卡密码子系统5、智能卡加解密子系统6、智能卡签名验证子系统7和智能卡管理子系统8后，即可开始使用安全一卡通系统。在登陆操作系统或应用系统时，用户只需将智能卡与计算机正确地连接，并按系统的提示输入正确的智能卡口令，即可登陆操作系统或应用系统。在实现应用系统文件加密和解密时，按应用系统原有的加密方式进行加密，即会弹出智能卡口令输入框，在用户输入正确的口令之后，由智能卡密码子系统5自动完成相应加解密秘钥的输入。底层的过程对用户是透明的。若需增加由智能卡控制的新的应用系统，只需用封装层的应用程序对其实现封装即可。
权利要求
1.一种用智能卡实现的安全一卡通系统，主要包括智能卡发卡子系统(2)、智能卡(3)，其特征在于还包括智能卡帐号子系统(4)、智能卡密码子系统(5)、智能卡加解密子系统(6)、智能卡签名验证子系统(7)、智能卡管理子系统(8)，智能卡发卡子系统(2)根据用户的信息和需求对智能卡(3)进行定制，将用户的身份信息、登陆帐号和加密解密密钥信息写入智能卡(3)，当用户需登陆操作系统或应用系统时，智能卡(3)与智能卡帐号子系统(4)相连，用户输入正确的用户名和口令到智能卡(3)后，若用户通过智能卡(3)的身份认证，智能卡(3)将用户对应的帐号信息输出到智能卡帐号子系统(4)，智能卡帐号子系统(4)对用户帐号信息进行验证，若该用户帐号有效，允许该用户登陆系统，当用户需要使用应用系统的加密和解密功能时，智能卡(3)与智能卡帐号子系统(4)相连，用户输入正确的用户名和口令到智能卡(3)后，若用户通过智能卡(3)的身份认证，智能卡(3)将用户对应的密钥输出到智能卡帐号子系统(4)，智能卡帐号子系统(4)将密钥输出到应用系统相应的接口完成加密和解密功能，智能卡加解密子系统(6)和智能卡签名验证子系统(7)与智能卡(3)相连，智能卡加解密子系统(6)和智能卡签名验证子系统(7)将需加解密和签名验证的数据输入智能卡(3)，智能卡(3)将处理后的结果输出到智能卡加解密子系统(6)和智能卡签名验证子系统(7)，智能卡管理子系统(8)与智能卡帐号子系统(4)、智能卡密码子系统(5)、智能卡加解密子系统(6)和智能卡签名验证子系统(7)相连，并将智能卡(3)与智能卡帐号子系统(4)、智能卡密码子系统(7)相应的帐号和口令分别输出到智能卡(3)、智能卡帐号子系统(4)和智能卡密码子系统(5)，智能卡加解密子系统(6)、智能卡签名验证子系统(7)输出密钥到智能卡管理子系统(8)进行备份，根据需要智能卡管理子系统(8)将密钥输入到智能卡加解密子系统(6)、智能卡签名验证子系统(7)进行恢复。
2.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡发卡子系统(2)将每一个用户信息、登陆帐号、初始口令加密、解密密码写入智能卡(3)中，同时生成公开密钥算法的秘钥对，并设定每一智能卡可连续输错口令的次数，智能卡发卡子系统(2)同时还使智能卡中的用户帐号与操作系统的登陆帐号保持一致，并根据需要进行更新和维护。
3.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡帐号子系统(4)实现相应应用系统的帐号映射功能，在用户需要登陆任一应用系统时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，子系统自动将智能卡中对应的登陆帐号提供给应用系统进行身份验证。
4.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡加解密子系统(6)利用智能卡自身的运算能力完成数据流的加解密功能。
5.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡密码子系统(5)实现相应应用系统的密码映射功能。在用户使用任一可加密应用系统若需要加密时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，子系统自动将智能卡中对应的密码提供给应用系统文件加密；同理在需要解密时，子系统提示输入用户的PIN，在用户输入正确的PIN之后，智能卡密码子系统(5)自动将智能卡中对应的密码提供给应用系统文件解密。
6.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡签名验证子系统(7)利用公开密钥算法的秘钥对实现现代安全系统的身份验证。
7.根据权利要求1所述的用智能卡实现的安全一卡通系统，其特征是，智能卡管理子系统(8)管理智能卡(3)中所存储的大量的各个应用系统中所需要的各种帐号和密码，并对它们进行定期更新、备份和特殊情况下的恢复。
全文摘要
一种用智能卡实现的安全一卡通系统，属于网络信息安全技术领域。主要包括智能卡发卡子系统、智能卡、智能卡帐号子系统、智能卡密码子系统、智能卡加解密子系统、智能卡签名验证子系统、智能卡管理子系统，本发明可以将多个应用系统的安全应用集成，包括用户身份认证、授权及加密和解密。用户只需使用一个智能卡，就可以使用所有的预先设定应用系统。本发明可以在保证应用系统的安全性的条件下，给用户带来极大的方便性和易用性。特别适用于存在多种IT应用系统的企业。具有非对称加密能力的智能卡，不仅能够保存用户的各种私秘信息和数据，而且能够有效地保证密钥的安全生成、存储和使用。
文档编号H04L9/00GK1434598SQ0311567
公开日2003年8月6日 申请日期2003年3月6日 优先权日2003年3月6日
发明者张申生, 唐业, 肖少君, 戴伟, 张帆 申请人:上海交通大学