一种基于可信密码模块电网网站身份认证的方法及系统的制作方法
【专利摘要】本发明公开了一种基于可信密码模块电网网站身份认证的方法及系统，该方法为：网站服务端通过第一可信密码模块所提供的PIK功能生成身份证书请求并发送至数字认证中心单元；数字认证中心单元向网站服务端下发数字证书；网站服务端将自身的身份证书发送给客户端，客户端鉴别网站服务端的身份证书；客户端在接收到网站服务端发送的身份证书后，由第二可信密码模块负责对网站服务端的身份证书进行鉴别，该系统为：数字认证中心单元、网站服务端、第一可信密码模块、客户端、第二可信密码模块。本发明通过在实现电网网站和客户端用户的双向身份认证的同时，提供了可靠的用户证书发布及身份认证方法，实现了对网站的身份认证以及对用户敏感信息的保护。
【专利说明】 —种基于可信密码模块电网网站身份认证的方法及系统
【技术领域】
[0001]本发明属于信息安全【技术领域】，尤其涉及一种基于可信密码模块电网网站身份认证的方法及系统。
【背景技术】
[0002]95598电网互动网站的服务用户主要是社会公众，社会公众通过互联网接入95598电网互动网站了解电网企业发布的相关信息、进行网上购电、智能家居控制等互动操作，95598电网互动网站主要由客户终端、传输网络和主站系统组成,95598电网互动网站客户终端主要包括电脑终端、PDA、手机等；95598电网互动网站主站系统用于提供应用服务和核心业务处理；95598电网互动网站借助互联网技术向社会公众提供电网服务。
[0003]在95598电网网站的日常使用中，首先要做的就是对用户身份进行鉴别，而进行身份鉴别的第一步，则是需要就用户身份等敏感信息存储在网站的存储设备中；当用户访问网站申请相关服务时，网站首先会对用户的身份进行鉴权，只有当鉴权通过后，用户才能在自己的权限范围内进行操作，网站为用户提供相应的服务，这两个步骤也就是用户与网站交互活动中的注册和登陆行为。
[0004]然而目前在网站用户的注册与登陆操作过程中，尚存有诸多不安全因素，大致可以总结为以下几点:(I)用户身份证书颁发的过程中，通常只是由网站服务端去鉴定客户端用户的身份，而没有向客户端提供自身的身份证明，客户端不能证明网站服务端的身份是否有效合法，容易出现恶意人员伪装成网站服务端并窃取客户端用户身份信息的情况，造成客户端权益的损害；(2)进行用户身份认证操作时，用户的相关敏感信息在网络上的传输未经加密，恶意人员很容易就能截获数据；(3)用户的敏感数据存储于网站服务端提供的存储设备之中，若不使用加密存储，也存在主动泄密或被恶意人员窃取的风险。
【发明内容】
[0005]本发明实施例的目的在于提供一种基于可信密码模块电网网站身份认证的方法及系统，旨在解决现有的电网网站用户的注册与登陆操作存在的网站对用户身份进行认证，防止攻击者窃取网站身份信息并冒充合法网站以及用户敏感数据不安全传输及存储的问题。
[0006]本发明实施例是这样实现的，一种基于可信密码模块电网网站身份认证的方法，该基于可信密码模块电网网站身份认证的方法包括以下步骤:
[0007]网站服务端通过第一可信密码模块所提供的PIK功能生成身份证书请求并发送至数字认证中心单元；
[0008]数字认证中心单元向网站服务端下发数字证书；
[0009]网站服务端将自身的身份证书发送给客户端，客户端鉴别网站服务端的身份证书;
[0010]客户端在接收到网站服务端发送的身份证书后，将证书交至第二可信密码模块，由第二可信密码模块负责对网站服务端的身份证书进行鉴别。
[0011]进一步，网站服务端的身份认证方法包括以下步骤:
[0012]步骤一，网站服务端通过第一可信密码模块提供的PIK功能生成身份证书请求并发送至数字认证中心单元；
[0013]步骤二，数字认证中心单元向网站服务端下发数字证书；
[0014]步骤三，网站服务端向客户端提供自身的身份证书；
[0015]步骤四，客户端通过第二可信密码模块鉴别网站服务端的身份证书，从而实网站身份认证。
[0016]进一步，客户端对网站服务端所发送的身份证书进行鉴别，确定网站身份的步骤为:
[0017]步骤一，客户端将从网站服务端处所接收到的服务端身份证书提交给第二可信密码模块；
[0018]步骤二，第二可信密码模块对服务端身份证书进行鉴别，实现网站身份认证。
[0019]进一步，第二可信密码模块对客户端用户身份证书进行发布的步骤为:
[0020]步骤一，第二可信密码模块使用PEK的公钥将用户所输入的敏感数据信息进行加密，生成客户端用户身份信息；
[0021]步骤二，第二可信密码模块将客户端用户身份信息发送给第一可信密码模块；
[0022]步骤三，第一可信密码模块对接收到的客户端用户身份信息进行处理，生成客户端用户的身份证书；
[0023]步骤四，第一可信密码模块使用自身的存储密钥加密用户证书，并存储在本地，然后将客户端用户的身份证书返回至第二可信密码模块，完成发布。
[0024]进一步，在步骤一中，客户端用户的敏感数据信息包括:用户名，用户姓名，身份证号，账户编号，银行账号，密码信息。
[0025]进一步，在步骤二中，第二可信密码模块将客户端用户的身份信息发送至第一可信密码模块的步骤包括:
[0026]第一步，第二可信密码模块将客户端用户的身份信息通过客户端发送至网站服务端;
[0027]第二步，网站服务端将接收到的客户端用户身份信息提交至第一可信密码模块。
[0028]进一步，在步骤三中，第一可信密码模块对客户端用户身份证书进行鉴别的步骤包括:
[0029]第一步，第一可信密码模块使用PEK私钥对客户端用户的身份证书进行解密；
[0030]第二步，第一可信密码模块使用存储密钥对解密得到的客户端用户的身份证书进行加密；
[0031]第三步，第一可信密码模块将加密后的客户端用户身份证书与本地存储的进行比对，如果一样,则完成鉴权,通过验证。
[0032]进一步，在步骤四中，第二可信密码模块对客户端用户身份证书进行发布的具体步骤包括:
[0033]第一步，第一可信密码模块通过网站服务端将客户端用户身份证书返回至客户端;[0034]第二步，客户端存储客户端用户身份证书。
[0035]本发明实施例的另一目的在于提供一种基于可信密码模块电网网站身份认证的系统，该基于可信密码模块电网网站身份认证的系统包括:数字认证中心单元、网站服务端、第一可信密码模块、客户端、第二可信密码模块；
[0036]数字认证中心单元，用于下发身份证书，接收网站服务端通过第一可信密码模块的PIK功能提交身份证书请求；
[0037]网站服务端，与数字认证中心单元连接，接收数字认证中心单元下发的身份证书，用于向客户端可信密码模块提供身份证书；
[0038]第一可信密码模块，与网站服务端连接，用于通过PIK功能生成提交身份证书的请求；
[0039]客户端，与网站服务端连接，用于接收网站服务端的身份证书；
[0040]第二可信密码模块，安装在客户端上，用于对网站服务端的身份证书进行鉴定。
[0041]本发明提供的基于可信密码模块电网网站身份认证的方法及系统，通过在实现电网网站和客户端用户的双向身份认证的同时，对敏感信息进行了加密传输和存储，增强了网站和用户之间交互过程中的安全性；在业务过程中使用的密钥采用硬件存储，杜绝了密钥失窃后，信息被窃取的隐患，解决了网站对用户身份进行认证，防止攻击者窃取网站身份信息并冒充合法网站以及用户敏感数据不安全传输及存储的问题。本发明提高了电网网站的安全性，保护了用户的身份信息等隐私不被侵犯，提供了可靠的基于可信密码模块芯片的用户证书发布方法以及身份认证方法，实现了对网站的身份认证以及对用户敏感信息的保护。
【专利附图】
【附图说明】
[0042]图1是本发明实施例提供的基于可信密码模块电网网站身份认证的方法流程图；
[0043]图2是本发明实施例提供的基于可信密码模块电网网站身份认证的系统的结构示意图；
[0044]图中:1、数字认证中心单元；2、网站服务端；2_1、第一可信密码模块；3、客户端；3-1、第二可信密码模块。
【具体实施方式】
[0045]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
[0046]作为本发明实施例的一优化方案，
[0047]下面结合附图及具体实施例对本发明的应用原理作进一步描述。
[0048]如图1所示，本发明实施例的基于可信密码模块电网网站身份认证的方法包括以下步骤:
[0049]SlOl:网站服务端通过第一可信密码模块所提供的PIK功能生成身份证书请求并发送至数字认证中心单元；
[0050]S102:数字认证中心单元向网站服务端下发数字证书；[0051]S103:网站服务端将自身的身份证书发送给客户端，客户端鉴别网站服务端的身份证书；
[0052]S104:客户端在接收到网站服务端发送的身份证书后，将证书交至第二可信密码模块，由第二可信密码模块负责对网站服务端的身份证书进行鉴别；
[0053]本发明实施例的网站服务端的身份认证方法包含以下步骤:
[0054]步骤一，网站服务端通过第一可信密码模块提供的PIK功能生成身份证书请求并发送至数字认证中心单元；
[0055]步骤二，数字认证中心单元向网站服务端下发数字证书；
[0056]步骤三，网站服务端向客户端提供自身的身份证书；
[0057]步骤四，客户端鉴别网站服务端的身份证书，从而实网站身份认证；
[0058]本发明实施例的客户端对网站服务端所发送的身份证书进行鉴别，确定网站身份的步骤为:
[0059]步骤一，客户端将从网站服务端处所接收到的服务端身份证书提交给第二可信密码模块；
[0060]步骤二，第二可信密码模块对服务端身份证书进行鉴别，实现网站身份认证；
[0061]本发明的第二可信密码模块对客户端用户身份证书进行发布；
[0062]第二可信密码模块对客户端用户身份证书进行发布的步骤包括:客户端接收用户所输入的敏感数据信息，具体步骤为:
[0063]步骤一，第二可信密码模块使用PEK的公钥将用户所输入的敏感数据信息进行加密，生成客户端用户身份信息；
[0064]步骤二，第二可信密码模块将客户端用户身份信息发送给第一可信密码模块；
[0065]步骤三，第一可信密码模块对接收到的客户端用户身份信息进行处理，生成客户端用户的身份证书；
[0066]步骤四，第一可信密码模块使用自身的存储密钥加密用户证书，并存储在本地，然后将客户端用户的身份证书返回至第二可信密码模块，完成发布；
[0067]在步骤二中，第二可信密码模块将客户端用户的身份信息发送至第一可信密码模块的步骤包括:
[0068]第一步，，第二可信密码模块将客户端用户的身份信息通过客户端发送至网站服务端；
[0069]第二步，网站服务端将接收到的客户端用户身份信息提交至第一可信密码模块；
[0070]在步骤三中，第一可信密码模块对客户端用户身份证书进行鉴别的步骤包括:
[0071]第一步，第一可信密码模块使用PEK私钥对客户端用户的身份证书进行解密；
[0072]第二步，第一可信密码模块使用存储密钥对解密得到的客户端用户的身份证书进行加密；
[0073]第三步，第一可信密码模块将加密后的客户端用户身份证书与本地存储的进行比对，如果一样，则完成鉴权，通过验证；
[0074]在步骤四中，第二可信密码模块对客户端用户身份证书进行发布的具体步骤包括:
[0075]第一步，第一可信密码模块通过网站服务端将客户端用户身份证书返回至客户端;
[0076]第二步，客户端存储客户端用户身份证书，客户端用户的敏感数据信息包括:用户名，用户姓名，身份证号，账户编号，银行账号，密码信息等；
[0077]如图2所示，本发明实施例的基于可信密码模块电网网站身份认证的系统主要由数字认证中心单元1、网站服务端2、第一可信密码模块2-1、客户端3、第二可信密码模块3-1组成；
[0078]数字认证中心单元1，用于下发身份证书，接收网站服务端2通过第一可信密码模块的PIK功能提交身份证书请求；
[0079]网站服务端2，与数字认证中心单元I连接，接收数字认证中心单元I下发的身份证书，用于向客户端可信密码模块提供身份证书；
[0080]第一可信密码模块2-1，与网站服务端2连接，用于通过PIK功能生成提交身份证书的请求；
[0081]客户端3，与网站服务端2连接，用于接收网站服务端2的身份证书；
[0082]第二可信密码模块3-1，安装在客户端3上，用于对网站服务端2的身份证书进行鉴定。
[0083]本发明的工作原理:
[0084]可信密码模块TCM (Trusted Cryptography Module)芯片的主要功能包括:平台度量、平台身份认证以及密码运算等，在基于可信密码模块的电网95598网站身份认证方法中，使用可信密码模块TCM芯片提供的PIK功能进行网站服务端身份证明，使用PEK公钥进行客户端用户敏感数据信息加密传输，使用PEK私钥对客户端用户敏感数据进行解密，进行有效性判断，使用可信密码模块TCM提供的存储密钥对通过有效性判断的客户端用户敏感数据进行加密存储。
[0085]结合具体实施例对本发明做进一步的说明:
[0086]本发明实施例的电网网站身份认证系统包括:数字证书认证中心单元CA(Certificate Authority)，安装有第一可信密码模块的网站服务端以及安装有第二可信密码模块的客户端，网站服务端通过第一可信密码模块提供的PIK功能向数字认证中心单元提交身份证书请求，数字认证中心单元向网站服务端下发身份证书；网站服务端将自身的身份证书提供给客户端，客户端所安装的第二可信密码模块负责对网站服务端的身份证书进行鉴定，实现了客户端对网站服务端身份的鉴别认证；
[0087]本发明实施例的客户端对网站服务端身份进行认证的具体步骤如下:
[0088]1.网站服务端通过第一可信密码模块所提供的PIK功能生成身份证书请求，并将这个请求发送到数字认证中心单元；
[0089]2.数字认证中心单元向网站服务端下发身份证书；
[0090]3.网站服务端将自身身份证书发送给客户端；
[0091]4.客户端之中的第二可信密码模块对网站服务端的身份证书进行鉴别，完成对网站服务端身份的认证，
[0092]本发明实施例的基于可信计算模块的客户端用户身份证书发布流程:
[0093]1.客户端对网站服务端的身份进行鉴别；
[0094]2.客户端用户填写注册信息；[0095]3.客户端提交用户的敏感数据信息；
[0096]4.与客户端相连的第二可信密码模块将客户端用户的敏感数据信息用PEK公钥进行加密，并发送给网站服务端的第一可信密码模块，第一可信密码模块对客户端用户的身份信息进行处理，生成客户端身份证书；
[0097]5.网站服务端的第一可信密码模块使用PEK私钥对客户端用户的身份证书进行解密；
[0098]6.网站服务端的第一可信密码模块使用存储密钥对解密后的客户端用户的身份证书进行加密并输出；
[0099]7.网站客户端将加密后的客户端用户身份证书进行存储；
[0100]8.返回客户端注册成功信息，
[0101]本发明实施例的网站服务端对客户端用户身份进行认证的流程:
[0102]1.客户端用户输入用户名与密码等敏感数据，进行登录；
[0103]2.客户端用户输入的用户名、密码等敏感数据通过客户端的第二可信密码模块的PEK公钥进行加密，生成用户的身份信息，发送给网站服务端的第一可信密码模块；
[0104]3.网站服务端的第一可信密码模块对客户端用户身份信息进行处理，生成客户端用户身份证书；第一可信密码模块对客户端用户的身份证书进行解密，并使用自己的存储密钥进行加密；
[0105]4.网站服务端的第一可信密码模块对加密后的客户端用户身份证书进行鉴权；
[0106]5.鉴权通过，则客户端用户身份认证成功，客户端用户可进行相应的操作，
[0107]本发明实施例的基于可信密码模块的客户端用户身份证书发布的具体方法:
[0108]1.客户端向网站服务端发送Tspi_TCM_ActiVate命令将客户端加密密钥PEKl激活；
[0109]2.网站服务端向客户端返回加密密钥的公钥Pub_PEKl，客户端将其存储；
[0110]3.客户端用户填写注册信息，如:用户名，用户姓名，身份证号，账户编号，密码等信息，客户端的第二可信密码模块使用Tspi_Data_Encrypt命令，使用公钥Pub_PEKl进行加密，生成用户身份信息发送至网站服务端的第一可信密码模块；
[0111]4.网站服务端的第一可信密码模块对接收到的用户身份信息进行处理，生成用户身份证书，第一可信密码模块发送命令Tsp_TCM_Decrypt使用私钥Pri_PEKl进行解密，生成客户端用户身份证书，并使用自身的存储密钥StorKeyl,发送命令Tspi_Data_Encrypt通过存储密钥StorKeyl对客户端用户的身份证书进行加密，并存储在本地，返回客户端用户注册成功消息，
[0112]本发明实施例的基于可信密码模块的客户端用户身份认证的具体方法:
[0113]1.用户在客户端上输入用户名，密码等敏感信息，第二可信密码模块通过Tspi_Data_Encrypt命令，使用公钥Pub_PEKl进行加密，生成客户端用户身份信息，将身份信息发送给网站服务端的第二可信密码模块；
[0114]2.网站服务端的第一可信密码模块对接收到的用户身份信息进行处理，生成用户身份证书，第一可信密码模块发送命令Tsp_TCM_Decrypt使用私钥Pri_PEKl进行解密，生成客户端用户身份证书；
[0115]3.网站服务端的的第一可信密码模块使用自身的存储密钥StorKeyl，通过Tspi_Data_Encrypt命令对客户端用户的身份证书进行加密；
[0116]4.第一可信密码模块将加密后的客户端用户身份证书与本地存储值进行比对，如果一致，则通过鉴权，返回客户端用户登录成功信息，如果不一致，则鉴权失败，
[0117]以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
【权利要求】
1.一种基于可信密码模块电网网站身份认证的方法，其特征在于，该基于可信密码模块电网网站身份认证的方法包括以下步骤: 网站服务端通过第一可信密码模块所提供的PIK功能生成身份证书请求并发送至数字认证中心单元； 数字认证中心单元向网站服务端下发数字证书； 网站服务端将自身的身份证书发送给客户端，客户端鉴别网站服务端的身份证书；客户端在接收到网站服务端发送的身份证书后，将证书交至第二可信密码模块，由第二可信密码模块负责对网站服务端的身份证书进行鉴别。
2.如权利要求1所述的基于可信密码模块电网网站身份认证的方法，其特征在于，网站服务端的身份认证方法包括以下步骤: 步骤一，网站服务端通过第一可信密码模块提供的PIK功能生成身份证书请求并发送至数字认证中心单元； 步骤二，数字认证中心单元向网站服务端下发数字证书； 步骤三，网站服务端向客户端提供自身的身份证书； 步骤四，客户端通过第二可信密码模块鉴别网站服务端的身份证书，从而实网站身份认证。
3.如权利要求1所述的基于可信密码模块电网网站身份认证的方法，其特征在于，客户端对网站服务端所发送的身份证书进行鉴别，确定网站身份的步骤为: 步骤一， 客户端将从网站服务端处所接收到的服务端身份证书提交给第二可信密码模块； 步骤二，第二可信密码模块对服务端身份证书进行鉴别，实现网站身份认证。
4.如权利要求1所述的基于可信密码模块电网网站身份认证的方法，其特征在于，第二可信密码模块对客户端用户身份证书进行发布的步骤为: 步骤一，第二可信密码模块使用PEK的公钥将用户所输入的敏感数据信息进行加密，生成客户端用户身份信息； 步骤二，第二可信密码模块将客户端用户身份信息发送给第一可信密码模块； 步骤三，第一可信密码模块对接收到的客户端用户身份信息进行处理，生成客户端用户的身份证书； 步骤四，第一可信密码模块使用自身的存储密钥加密用户证书，并存储在本地，然后将客户端用户的身份证书返回至第二可信密码模块，完成发布。
5.如权利要求4所述的基于可信密码模块电网网站身份认证的方法，其特征在于，在步骤一中，客户端用户的敏感数据信息包括:用户名，用户姓名，身份证号，账户编号，银行账号，密码信息。
6.如权利要求4所述的基于可信密码模块电网网站身份认证的方法，其特征在于，在步骤二中，第二可信密码模块将客户端用户的身份信息发送至第一可信密码模块的步骤包括: 第一步，第二可信密码模块将客户端用户的身份信息通过客户端发送至网站服务端； 第二步，网站服务端将接收到的客户端用户身份信息提交至第一可信密码模块。
7.如权利要求4所述的基于可信密码模块电网网站身份认证的方法，其特征在于，在步骤三中，第一可信密码模块对客户端用户身份证书进行鉴别的步骤包括: 第一步，第一可信密码模块使用PEK私钥对客户端用户的身份证书进行解密； 第二步，第一可信密码模块使用存储密钥对解密得到的客户端用户的身份证书进行加密； 第三步，第一可信密码模块将加密后的客户端用户身份证书与本地存储的进行比对，如果一样，则完成鉴权，通过验证。
8.如权利要求4所述的基于可信密码模块电网网站身份认证的方法，其特征在于，在步骤四中，第二可信密码模块对客户端用户身份证书进行发布的具体步骤包括: 第一步，第一可信密码模块通过网站服务端将客户端用户身份证书返回至客户端； 第二步，客户端存储客户端用户身份证书。
9.一种基于可信密码模块电网网站身份认证的系统，其特征在于，该基于可信密码模块电网网站身份认证的系统包括:数字认证中心单元、网站服务端、第一可信密码模块、客户端、第二可信密码模块； 数字认证中心单元，用于下发身份证书，接收网站服务端通过第一可信密码模块的PIK功能提交身份证书请求； 网站服务端，与数字认证中心单元连接，接收数字认证中心单元下发的身份证书，用于向客户端可信密码模块提供身份证书； 第一可信密码模块，与网站服务端连接，用于通过PIK功能生成提交身份证书的请求； 客户端，与网站服务端连接，用于接收网站服务端的身份证书； 第二可信密码模块，安装在客户端上，用于对网站服务端的身份证书进行鉴定。
【文档编号】H04L9/32GK103532961SQ201310494975
【公开日】2014年1月22日 申请日期:2013年10月21日 优先权日:2013年10月21日
【发明者】陈亮, 林永峰, 张国强, 李琳, 华晔 申请人:国家电网公司, 国网天津市电力公司, 中国电力科学研究院