一种基于XKMS的电子商务密钥管理方法和系统与流程

本发明涉及通信技术领域，尤其涉及一种基于XKMS的电子商务密钥管理方法和系统。

背景技术：

目前，随着网络信息技术的飞速发展，信息技术安全问题成为了人们高度关注的社会问题，PKI(Public Key Infrastructure)公钥基础设施作为信息技术安全的核心它是解决电子商务和电子政务信息安全的基础设施和关键技术，它能够提供公开密钥和对称密钥技术进行相结合的技术方案确保在网上传输的信息数据不被窃取和破坏。虽然从安全性的角度来说PKI可以很好的解决网络安全性问题，但是在PKI仍存在很多不足之处如：(1)在PKI大框架下面存在着很多不同的格式技术标准，这些标准的差异性导致PKI在实际执行中存在很多障碍；(2)PKI是基于ASN.1描述、采用BER/DER进行编码的，因此在部署方面存在着难度大、成本高、交互性差等问题；(3)客户端工具多种多样，计算量庞大复杂，用户需要跟PKI多种产品进行交互，需要安装很多不同的程序安装包这就造成了用户部署困难，增加了应用程序的复杂度。这些不足增大了PKI技术推广的难度和企业的相关成本，为了解决上述问题，W3C发布了XML密钥管理规范XKMS(XML Key Management Specification)，利用它可以建立轻量级PKI安全系统，降低PKI安全部署和相关应用程序获取PKI服务的难度和复杂度。

技术实现要素：

本发明的实施例提供了一种基于XKMS的电子商务密钥管理方法和系统，本发提供如下方案：

接收根据采购方客户端确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；

由所述XKMS密钥信息服务器根据所述访问请求在本地密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；

若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态记录。

根据本发明的上述方法，预先接收电子商务平台的各采购方客户端发送的密钥注册请求；其中，所述密钥注册请求使用XKMS密钥信息服务器所提供的共享的公钥PassPhrase进行加密后再经过SOAP发送至XKMS密钥信息服务器；

由所述XKMS密钥信息服务器产生密钥对，并向所述采购方客户端返回私钥。

根据本发明的上述方法，若所述公钥通过验证，则由所述XKMS密钥信息服务器访问LDAP目录服务器验证所述采购方客户端的用户注册信息，其中，所述LDAP目录服务还用于存储采购方客户端用户的注册信息。

根据本发明的上述方法，若未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述XKMS密钥信息服务器与CA认证中心证书吊销状态获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单。

根据本发明的上述方法，预先在LDAP目录服务器中建立多个LDAP连接，放置在连接池中，由所述XKMS密钥信息服务器访问LDAP目录服务器时，从连接池中取出空闲状态的LDAP连接，当访问结束时，再将LDAP连接放回连接池。

根据本发明的另一方面，还提供一种基于XKMS的电子商务密钥管理系统，包括：

接收模块，其用于接收根据采购方客户端确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；

验证模块：其用于由所述XKMS密钥信息服务器根据所述访问请求在本地密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；

执行模块：其用于若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态记录。

根据本发明的另一方面，包括：

注册模块：其用于预先接收电子商务平台的各采购方客户端发送的密钥注册请求；其中，所述密钥注册请求使用XKMS密钥信息服务器所提供的共享的公钥PassPhrase进行加密后再经过SOAP发送至XKMS密钥信息服务器；

由所述XKMS密钥信息服务器产生密钥对，并向所述采购方客户端返回私钥。

根据本发明的另一方面，所述执行模块还用于：

若所述公钥通过验证，则由所述XKMS密钥信息服务器访问LDAP目录服务器验证所述采购方客户端的用户注册信息，其中，所述LDAP目录服务还用于存储采购方客户端用户的注册信息。

根据本发明的另一方面，所述执行模块具体用于：

若未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述XKMS密钥信息服务器与CA认证中心证书吊销状态获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单。

根据本发明的另一方面，包括：

建立模块：其用于预先在LDAP目录服务器中建立多个LDAP连接，放置在连接池中，由所述XKMS密钥信息服务器访问LDAP目录服务器时，从连接池中取出空闲状态的LDAP连接，当访问结束时，再将LDAP连接放回连接池。由上述本发明的实施例提供的技术方案可以看出，本发明实施例接收根据采购方客户端确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；由所述XKMS密钥信息服务器根据所述访问请求在本地密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态记录。。XKMS密钥信息服务器采用将传统PKI生成的证书备份到独立的安全数据库中的策略，因此只要在客户端安装相应的软件程序即可，客户不需要多次与PKI进行交互。保证业务数据在XKMS服务存储、处理及传输过程中的一致性，防止信息被非授权修改。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中应用场景图；

图2为本发明实施例一提供的一种基于XKMS的电子商务密钥管理方法的处理流程图；

图3为LDAP中存储用户证书信息的条目结构类XKMStore；

图4为本发明实施例二提供的一种基于XKMS的电子商务密钥管理系统的系统模块图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

该实施例提供了一种基于XKMS的电子商务密钥管理方法的处理流程如图1所示，本实施例中，包括XKMS密钥信息服务器、LDAP目录服务器，以及XKMS的客户端，

预先接收电子商务平台的各采购方客户端发送的密钥注册请求；

其中，所述密钥注册请求使用XKMS密钥信息服务器所提供的共享的公钥PassPhrase进行加密后再经过SOAP发送至XKMS密钥信息服务器；

注册密钥之前，首先要产生密钥对，这项工作可以由客户产生，也可以由服务器产生。本实施例中，由所述XKMS密钥信息服务器产生密钥对，并向所述采购方客户端返回私钥。

对于服务器产生的密钥对，注册请求和响应格式保持不变，但所交换的数据却有所不同。尽管请求者可以为KeyID和KeyName元素指定值，但请求并不包括任何形式的公钥值。此外，所有权证据也不再需要。通常情况下，响应包括一个私钥的一个加密形式。客户也可以利用<Respond>Private<Respond元素专门请求私钥信息。为安全起见，服务将以加密的形式返回私钥。

在本系统中使用myWebService.XkrssAdd(XkrssAddprocedure,Xtest)在客户端向服务器端发送一个密钥注册请求。此密钥注册请求使用了信任服务所提供的共享的公钥对PassPhrase进行加密后再经过SOAP传送至信任服务。

信任服务接受到客户端传送来的请求后首先使用信任服务的私钥对PassPhrase进行解密。由于是XKMS密钥信息服务器端所产生的密钥所以在信任服务使用.RSAKey(out m_strKeyPrivate,out m_strKeyPublic)函数产生私钥和公钥，本系统采用的是混合的XKMS形式，所以将数据存储在XKMS密钥信息后台数据/证书库中

db.ExecSPwithParaRetInt(XkrssAddprocedure1,ParaName,ParaType,Pa raLength,ParaValue)；然后信任服务需要将客户端的私钥传送回客户端，在传送回客户端之前先要使用信任服务的私钥进行加密然后再传送。

如附图2所示，在XKMS密钥信息服务器执行如下操作：其处理步骤如下：

步骤11、接收根据采购方确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；

步骤12、由所述XKMS密钥信息服务器根据所述访问请求在密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；

步骤13、若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态。

本实施例中，对于采用LDAP目录服务器仅用于存储证书吊销状态而在LDAP目录服务中取消了证书撤销列表CRL的存储，在LDAP目录服务的每个存储证书信息的条目中都设置一个Boolean属性用于记录证书撤销状态。在CA签发证书后，向LDAP目录服务发布证书，并将此状态属性值设置为True；

当用户提出撤销申请经RA审核后，CA将此证书所在条目的状态属性值改为False。在证书状态验证中验证证书撤销状态时，XKMS服务器无需检索CRL，只需读取该证书所对应的状态属性值，这样就能大大提高证书验证的速度。并且通过严格的访问控制及SSL连接来保护LDAP目录的安全：CA对LDAP目录服务有读写权限，XKMS服务器对LDAP目录只有读权限，CA和XKMS服务与LDAP目录的连接都基于SSL协议。

由于取消了CRL，原有的LDAP目录结构将不适用于新的应用，LDAP预定义了一些可供PKI系统使用的标准数据结构，但是这些对象类和相关属性都是按照面向组织的结构进行设计的，以inetOrgPerson对象类为例，它以通用名(cn)为命名属性来保存用户信息，数字证书属性设置为多值，允许一个条目可以放置多个证书，对于原有的基于CRL的证书撤销验证机制而言，这样并不会带来问题。然而在新设计的证书撤销状态验证方法中，证书撤销状态是通过条目中的一个状态属性值来判断的，如果仍允许一个条目放置多个证书，就无法判断该属性代表哪个证书状态。因此在LDAP结构设计上，通过新定义若干LDAP属性和一个对象类，用于存储用户证书及相关信息，以支持XKMS服务。定义了一个结构类XKMStore和支持这个类的若干属性，用于实例化存储用户证书信息的条目，如附图3所示。其中所有属性都是单值，以保证每一个条目只存储一个证书，所有属性都是必须存在的，以保证用户信息的完整，方便查询。所有的String类型的属性都是大小写不敏感的。其中XKeyName为命名属性。

公钥是密钥对中公开的部分，本实施例中公钥包含：如数字证书的颁发机构，过期时间等等。本实施例的公钥是通过XKMS密钥信息服务器用私钥解密后，首先会验证公钥是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题；若未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述XKMS密钥信息服务器与CA认证中心证书吊销状态记录获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单。

步骤14、若所述公钥通过验证，则由所述XKMS密钥信息服务器访问LDAP目录服务器验证所述采购方客户端的用户注册信息，其中，所述LDAP目录服务还用于存储采购方客户端用户的注册信息。如果证书没有问题，那么就生成一个随即值；然后用证书对该随机值进行加密，再由所述XKMS密钥信息服务器访问LDAP目录服务器验证所述采购方客户端的用户注册信息。用户的注册信息本实施例中指用户的登录名和密码。

XKMS密钥信息服务器与LDAP目录服务器交互时，每次操作都要建立一个连接，绑定DN名，查询完毕后需要释放绑定和连接，这样大量的时间都浪费在建立连接上，使LDAP目录服务器消耗了大量的资源；为了加快XKMS服务器访问LDAP目录服务器的速度，优选地，

本实施例中，预先在LDAP目录服务器中建立多个LDAP连接，放置在连接池中，由所述XKMS密钥信息服务器访问LDAP目录服务器时，从连接池中取出空闲状态的LDAP连接，当访问结束时，再将LDAP连接放回连接池。

实施例二

该实施例提供了一种基于XKMS的电子商务密钥管理系统，其具体实现结构如图4所示，具体可以包括如下的模块：

接收模块41，其用于接收根据采购方客户端确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；

验证模块42：其用于由所述XKMS密钥信息服务器根据所述访问请求在本地密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；

执行模块43：其用于若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态记录。

本实施例的一种基于XKMS的电子商务密钥管理系统，还包括：

注册模块40：其用于预先接收电子商务平台的各采购方客户端发送的密钥注册请求；其中，所述密钥注册请求使用XKMS密钥信息服务器所提供的共享的公钥PassPhrase进行加密后再经过SOAP发送至XKMS密钥信息服务器；

由所述XKMS密钥信息服务器产生密钥对，并向所述采购方客户端返回私钥。

所述执行模块43还用于：

若所述公钥通过验证，则由所述XKMS密钥信息服务器访问LDAP目录服务器验证所述采购方客户端的用户注册信息，其中，所述LDAP目录服务还用于存储采购方客户端用户的注册信息。

所述执行模块43具体用于：

若未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述XKMS密钥信息服务器与CA认证中心证书吊销状态获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单。

本实施例的一种基于XKMS的电子商务密钥管理系统，还包括：

建立模块44：其用于预先在LDAP目录服务器中建立多个LDAP连接，放置在连接池中，由所述XKMS密钥信息服务器访问LDAP目录服务器时，从连接池中取出空闲状态的LDAP连接，当访问结束时，再将LDAP连接放回连接池。

用本发明实施例的系统进行基于XKMS的电子商务密钥管理的具体过程与前述方法实施例类似，此处不再赘述。

综上所述，本发明实施例通过接收根据采购方客户端确定的采购订单中绑定的公钥向XKMS密钥信息服务器所发送访问请求；由所述XKMS密钥信息服务器根据所述访问请求在本地密钥库中查询所述采购订单所绑定的公钥并验证所述公钥的有效性；若所述公钥未通过验证，由所述XKMS密钥信息服务器访问LDAP目录服务器获取所述订单的有效密钥信息并用所述订单的有效密钥信息绑定所述订单后，对采购方签发证书，使所述采购方公钥通过验证，其中，所述LDAP目录服务用于存储可公开的采购方注册信息、数字证书和证书吊销状态记录。。XKMS密钥信息服务器采用将传统PKI生成的证书备份到独立的安全数据库中的策略，因此只要在客户端安装相应的软件程序即可，客户不需要多次与PKI进行交互。保证业务数据在XKMS服务存储、处理及传输过程中的一致性，防止信息被非授权修改。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。