本实用新型涉及数字证书技术领域，具体涉及一种数字证书远程在线管理装置。
背景技术：
服务器通常需要在提供服务之前对用户的身份进行认证，并可能对后续的通信数据进行加密保护，以控制只有合法的用户才能使用相关资源、服务或功能。而随着系统的不断丰富，如果众多的应用服务都各自使用一套自有的身份认证和通信保护机制，将带来操作上的不便和安全上的隐患，使用数字证书是目前解决该问题的一种常用安全机制。通过使用与用户绑定的数字证书，利用PKI体系、VPN技术等，可简化用户使用时的复杂度，提高身份认证的安全性。而实现证书的有效安全管理是使用证书实现各类安全功能的基础，因此需要确保证书管理的安全性。
为实现证书的申请和发放等证书管理功能，如图1所示，传统的数字证书管理方案中的实现过程如下：用户使用终端证书应用程序申请证书时，首先调用安全模块生成公私密钥对和证书申请请求，并将证书申请请求通发送至证书管理服务器；证书管理服务器颁发证书给终端证书应用；终端证书应用接收到证书后将证书下发至安全模块，完成证书的申请和发放流程。为了提高安全性，普通的数字证书管理方案实施时通常会将终端中的外置安全模块取出后，人工连接到安全的管理终端进行证书发放，或通过终端标识比对等方式实现对终端的简单认证后，发放证书。
居民身份证是我国公民的法定身份证件，国内所有年满十六周岁的中国公民都应申领居民身份证，而当前的居民身份证已经内置安全芯片，安全芯片使用国密算法，具备与外界通信的能力，与外界通信的所有信息都经过加密处理，避免了身份证被伪造、信息篡改或泄漏等安全威胁。而人手一张、有通信接口和加密安全的特性，结合目前公安部正在推行的居民身份证挂失系统，为居民身份证参与远程认证提供了有利条件。
人像、虹膜、视网膜、声纹及指纹等各类生物特征识别技术日益成熟，当前对人像、指纹等多种生物特征的识别准确率已经可以到达商用的水平，并开始逐步大规模在各类服务中使用，如支付宝、券商和运营商等的开户服务等。而公安机关已建设的人口库有已覆盖全国公民的人像、指纹等信息，为实施生物特征识别业务提供了良好的基础环境，在此之上可提供可靠的生物特征识别服务，确认用户本人的真身身份。
现有数字证书管理装置及方法仅使用简单标识对比等方式确认请求合法性，未涉及对用户本人自身真实身份的识别内容，因此在实现远程证书管理时，存在严重的用户身份伪造的安全问题。特别是在面对用户量大、身份复杂和证书远程发放等情况时，因身份认证不完善导致的各类安全性问题时有发生，在很大程度上限制了证书管理方法及装置的使用。
技术实现要素：
针对现有技术的不足，本实用新型旨在提供一种数字证书远程在线管理装置，基于居民身份证核验和生物特征识别等多种身份识别技术，对证书申请下发过程中的用户身份识别不再完全依靠简单标识信息比对等方式进行，而是通过综合对用户居民身份证的核验和对用户各类生物特征的识别等多种身份识别技术，来完成识别认证的核心功能，防止出现用户、终端、安全模块或应用服务被伪造篡改，也不会出现证书被发放给非法用户或证书未能与用户进行有效关联等现象，将有效保证证书管理的安全性，减少证书被冒用等安全隐患出现的可能性。
为了实现上述目的，本实用新型采用如下技术方案：
一种数字证书远程在线管理装置，包括：终端密码模块、终端证书应用、证书管理服务器、识别认证服务器、证书授权中心和终端设备；
终端密码模块，用于密钥生成、证书请求组装、数字签名、验签、加解密、密钥和证书的存储；
终端证书应用，包括具备获取用户居民身份证信息以及生物特征信息的功能的装置、与证书管理服务器通信的装置、与终端密码模块通信的装置、收集终端设备的信息的装置；
证书管理服务器，包括与终端证书应用通信的装置、判定证书请求合法性和与用户身份一致性的装置、存储及关联管理终端设备软硬件和证书信息的装置、与识别认证服务器通信的装置、与证书授权中心通信的装置；
识别认证服务器，包括与证书管理服务器通信的装置，存储用户身份证信息、生物特征信息和属性认证信息的装置，综合身份证信息、生物特征信息和属性认证信息识别认证用户身份信息的装置；
证书授权中心，用于颁发管理用户数字证书；
终端设备，为具备读取用户居民身份证和生物特征信息的功能，以及可运行终端证书应用和使用终端密码模块的终端设备。
进一步地，所述终端设备为可穿戴式终端、手持式终端、便携式终端、车载终端或计算机终端。
进一步地，所述终端设备通过近场通信获取用户居民身份证信息。
进一步地，所述生物特征信息包括人像、虹膜、视网膜、声纹及指纹，所述终端设备通过摄像头、麦克风、指纹识别模块获取用户的生物特征信息。
利用上述数字证书远程在线管理装置进行证书管理的方法，包括如下步骤：
S1管理人员将用户居民身份证信息和生物特征信息导入识别认证服务器；
S2用户通过终端证书应用进行证书管理，终端证书应用与证书管理服务器建立安全访问连接，确认证书管理服务器的身份合法性和保证后续通信的安全性；
S3终端证书应用获取用户的居民身份证信息和生物特征信息，包括用户居民身份证安全芯片中的信息和用户活体检测信息，在进行信息收集过程中，如需识别认证服务器参与交互，则终端证书应用通过证书管理服务器连接识别认证服务器；
S4终端证书应用将居民身份证信息、生物特征信息发送至证书管理服务器；
S5证书管理服务器调用识别认证服务器，对识别认证信息进行验证；
S6识别认证服务器对收到的用户的居民身份证信息和用户的生物特征信息结合预导入信息进行识别认证，确认用户居民身份证信息的正确性，识别用户的生物特征信息，判断识别生物特征信息与用户身份证信息是否一致，如果用户居民身份证信息不正确或与生物特征信息识别结果不一致，表示识别认证的结果为错误，则跳转至步骤 S15；如果用户的居民身份证信息正确且与生物特征信息识别结果一致，表示识别认证的结果为正确，并得到用户真实身份等信息，则继续步骤S7；
S7证书管理服务器存储识别认证服务器识别到的用户身份信息，并返回用户身份信息至终端证书应用；
S8终端证书应用获取终端设备、终端密码模块中生成证书申请所需的用户身份信息；
S9终端证书应用调用终端密码模块，生成公私密钥对并保存在终端密码模块中，输入用户身份信息，生成用户证书申请请求；
S10终端证书应用将用户证书申请请求消息发送至证书管理服务器；
S11证书管理服务器解析证书申请请求消息，从证书申请中获取公钥和用户居民身份证信息，使用该公钥对用户证书申请的正确性进行校验，并将用户证书申请中携带的用户身份信息与步骤S7中存储的用户身份信息进行一致性的比对校验，如果校验错误，则跳转至步骤S15；如果校验正确，则继续步骤S12；
S12证书管理服务器调用证书授权中心，输入从终端证书应用接收到的用户证书申请请求，生成得到用户证书；
S13证书管理服务器从证书授权中心获得的用户证书，并将证书发送至终端证书应用；
S14终端证书应用收到证书后，将证书下发至终端密码模块存储，并向用户提示证书操作成功信息，证书管理操作正常结束；
S15证书管理服务器将拒绝该次证书操作请求，返回错误信息至终端证书应用；
S16终端证书应用收到证书管理服务器返回的错误信息后，调用终端密码模块，清除终端密码模块中的密钥对，并向用户提示证书操作错误信息，证书管理操作异常结束。
本实用新型的有益效果在于：将数字证书的管理与居民身份证认证和生物特征识别等多种身份识别认证技术结合在一起，通过近场通信、摄像头、麦克风、指纹采集模块等设备获取的用户居民身份证信息和人像、虹膜、视网膜、声纹及指纹等生物特征信息，综合使用身份证信息验证和生物特征识别等多种身份识别认证技术来确定使用终端进行证书操作的用户本人的真实身份，以保证只有合法的用户本人使用合法的终端才能进行证书操作，确立证书与用户的对应和绑定的正确性，杜绝证书管理过程中用户身份被冒充等问题，实现安全的证书远程在线管理，具备高安全性、实现灵活方便等优点。
附图说明
图1为现有的数字证书管理方案中的实现过程示意图；
图2为本实用新型的系统结构示意图；
图3为本实用新型的方法流程示意图；
图4为本实用新型实施例1的实施流程示意图；
图5为本实用新型实施例2的实施流程示意图；
图6为本实用新型实施例3的实施流程示意图。
具体实施方式
以下将结合附图对本实用新型作进一步的描述，需要说明的是，以下实施例以本技术方案为前提，给出了详细的实施方式和具体的操作过程，但本实用新型的保护范围并不限于本实施例。
如图2所示，一种数字证书远程在线管理装置，包括：终端密码模块、终端证书应用、证书管理服务器、识别认证服务器、证书授权中心和终端设备；
终端密码模块，用于密钥生成、证书请求组装、数字签名、验签、加解密、密钥和证书的存储；
终端证书应用，包括具备通过近场通信、摄像头、麦克风、指纹识别模块获取用户居民身份证信息、人像、虹膜、视网膜、声纹及指纹等人体生理特征的功能的装置、与证书管理服务器通信的装置、与终端密码模块通信的装置、收集终端设备软硬件信息和用户信息的装置；
证书管理服务器，与逻辑结构中的证书管理模块对应，包括与终端证书应用通信的装置、判定证书请求合法性和与用户身份一致性的装置、存储及关联管理终端设备软硬件和证书信息的装置、与识别认证服务器通信的装置、与证书授权中心通信的装置；
识别认证服务器，与逻辑结构中的识别认证模块相对应，包括与证书管理服务器通信的装置、存储身份证和人像、虹膜、视网膜、声纹及指纹等用户生物特征和其他用户各类属性认证信息的装置、综合身份证信息、生物特征信息和属性认证信息识别认证用户身份信息的装置。
证书授权中心，用于颁发管理用户数字证书；
终端设备，具备通过近场通信、摄像头、麦克风、指纹识别模块的方式读取居民身份证、用户人像、虹膜、视网膜、声纹及指纹等人体生理特征信息，以及可运行终端证书应用和使用终端密码模块的终端设备。
如图3所示，利用上述数字证书远程在线管理装置进行证书管理的方法，包括如下步骤：
S1管理人员将用户居民身份证、用户人像、虹膜、视网膜、声纹及指纹等人体生理特征信息导入识别认证服务器；
S2用户通过终端证书应用进行证书管理，终端证书应用与后台的证书管理服务器建立安全访问连接，确认证书管理服务器的身份合法性和保证后续通信的安全性；
S3终端证书应用获取用户居民身份证和各类生物特征信息，包括用户居民身份证安全芯片中的信息和用户活体检测，在进行信息收集过程中，如需识别认证服务器参与交互，则终端证书应用应直接连接或间接通过证书管理服务器连接后台认证服务器；
S4终端证书应用将用户的居民身份证信息、各类生物特征信息等识别认证信息发送至证书管理服务器；
S5证书管理服务器调用后台识别认证服务器，对识别认证信息进行验证；
S6识别认证服务器对收到的用户的居民身份证信息和各类生物特征信息结合预导入信息进行识别认证，确认用户居民身份证信息的正确性，识别各类生物特征信息，判断识别生物特征信息与用户身份证信息是否一致，如果用户居民身份证信息不正确或与生物特征识别结果不一致，表示识别认证的结果为错误，则跳转至步骤S15；如果用户居民身份证信息正确且与生物特征识别结果一致，表示识别认证的结果为正确，并得到用户真实身份等信息，则继续步骤S7；
S7证书管理服务器存储识别认证服务器识别到的用户身份信息，并返回用户身份识别结果至终端证书应用；
S8终端证书应用获取终端设备、终端密码模块、用户及其他生成证书申请所需的信息；
S9终端证书应用调用终端密码模块，生成公私密钥对并保存在密码模块中，输入用户身份信息等，生成用户证书申请请求；
S10终端证书应用将用户证书申请请求消息发送至后台证书管理服务器；
S11证书管理服务器解析用户证书申请请求消息，从用户证书申请请求中获取公钥和用户身份信息，使用该公钥对用户证书申请请求的正确性进行校验，并将用户证书申请请求中携带的用户身份信息与步骤S7中存储的用户身份信息进行一致性的比对校验，如果校验错误，则跳转至步骤S15；如果校验正确，则继续步骤S12；
S12证书管理服务器调用证书授权中心，输入从终端证书应用接收到的用户证书申请请求，生成得到用户证书；
S13证书管理服务器从证书授权中心获得的用户证书，并将证书发送至终端证书应用；
S14终端证书应用收到的证书后，将证书下发至终端密码模块存储，并向用户提示证书操作成功信息，证书管理操作正常结束；
S15证书管理服务器将拒绝该次证书操作请求，返回错误信息至终端证书应用；
S16终端证书应用收到证书管理服务器返回的错误信息后，调用终端密码模块，清除终端密码模块中的密钥对，并向用户提示证书操作错误信息，证书管理操作异常结束。
实施例1
本实施例的设备和环境如下：
一台手机终端，具备NFC、摄像头，终端内置加密芯片，已安装终端证书APP，APP内预置证书管理服务器用于建立HTTPS的公钥证书或对应根证书，具备移动无线网数据通信能力；
一台证书管理服务器，服务器具备外网和内网环境，可与手机终端和证书授权中CA系统通信服务器中预置用于建立HTTPS连接的公私密钥对；
一台识别认证服务器，具备身份识别能力和与证书管理服务器的通信能力；
一套证书授权中心CA系统，具备颁发用户数字证书的能力和与证书管理服务器的通信能力。
本实施例的实现详细步骤如下，如图4所示：
1、管理人员将加密后的用户居民身份证信息、用户人像信息和用户属性信息导入证书管理服务器；
2、用户通过终端证书APP进行证书管理，终端证书应用建立与证书管理服务器的HTTPS访问连接，通过证书管理服务器的证书确认服务器身份合法并保证后续通信的安全性；
3、终端证书APP使用NFC获取用户居民身份证芯片中的加密信息，使用摄像头获取用户活体人像信息；
4、终端证书APP将用户居民身份证信息、人像等识别认证信息发送到证书管理服务器；
5、证书管理服务器调用识别认证服务器，对识别认证信息进行验证；
6、识别认证服务器利用预导入的用户信息，对收到的信息进行识别认证，确认用户居民身份证信息的正确性、用户人像与居民身份证信息的一致性以及用户属性信息是否已经登记：
6.1)如果用户居民身份证信息不正确，或用户人像与居民身份证信息不一致或用户属性信息未登记，则执行步骤S14；
6.2)如果用户居民身份证信息正确，用户人像与居民身份证信息一致且用户属性信息已登记，则继续执行步骤S7。
7、证书管理服务器存储识别到的用户真实身份信息，并返回用户信息给终端证书APP；
8、终端证书APP调用加密芯片，由加密芯片生成公私密钥对，并将公钥和用户身份信息封装得到P10(PKCS#10)格式的用户证书申请请求；
9、终端证书APP将证书申请请求发送至证书管理服务器；
10、证书管理服务器判断收到的证书申请请求是否正确，包括请求是否完整和请求的签名是否正确等，证书申请中的用户信息是否与步骤7种存储的用户身份信息一致：
10.1)如果证书申请请求不正确，或证书申请中的用户信息与步骤7中存储的用户身份信息不一致，则执行步骤14；
10.2)如果证书申请请求正确，且证书申请中的用户信息与步骤 7中存储的用户身份信息一致，则继续执行步骤11。
10.3)证书管理服务器调用证书授权(CA)中心，根据请求生成用户证书；
11、证书管理服务器发送用户证书至终端证书APP；
12、终端证书APP收到用户证书后，将证书下发至加密芯片，由加密芯片存储证书，并向用户提示证书操作成功信息，实施例1的证书管理操作正常结束。
13、证书管理服务器拒绝该次证书操作请求，返回错误信息至终端证书APP；
14、终端证书APP收到错误信息后，调用加密芯片，清除加密芯片中的密钥对，并向用户提示证书操作错误信息，本实施例的证书管理操作异常结束。
实施例2
本实施例的设备和环境如下：
一台计算机终端，通过外接USB等方式与NFC设备、摄像头、指纹采集模块和USB key形态的加密芯片相连，已安装终端证书应用软件，软件内预置证书管理云主机用于建立HTTPS的公钥证书或对应根证书，具备数据通信能力；
在企业私有云中创建两台虚拟云主机，以实现证书管理服务器和识别认证服务器的云化部署，标记为证书管理云主机和身份识别云主机，分别署证书管理模块和身份识别模块，两台云主机都具备网络通信环境，其中证书管理云主机预置用于建立HTTPS连接的公私密钥对，；
一套证书授权中心CA系统，具备与证书管理云主机通信的能力。
本实施例的实现详细步骤如下，如图5所示：
1、管理人员将用户加密后的居民身份证信息、用户人像、指纹信息和用户属性信息导入识别认证云主机；
2、用户通过终端证书应用软件进行证书管理，终端证书应用软件建立与证书管理云主机的HTTPS访问连接，通过证书管理云主机的证书确认云主机身份合法，并保证后续通信的安全性；
3、终端证书应用软件使用NFC获取用户居民身份证信息，使用摄像头、指纹采集模块获取用户活体人像、指纹信息；
4、终端证书应用软件将用户居民身份证信息、用户人像、指纹等识别认证信息发送到证书管理云主机；
5、证书管理云主机调用识别认证云主机，对识别认证信息进行验证；
6、识别认证云主机对信息进行识别认证，确认用户居民身份证信息的正确性、用户人像、指纹的识别结果是否与居民身份证信息一致以及用户属性信息是否已经登记；
6.1)如果用户居民身份证信息不正确，或用户人像、指纹的识别结果与居民身份证信息不一致或用户属性信息未登记，则执行步骤 14；
6.2)如果用户居民身份证信息正确，用户人像、指纹的识别结果与居民身份证信息一致且用户属性信息已登记，则继续执行步骤7；
7、证书管理云主机存储识别认证云主机识别到的用户身份信息，并将用户身份信息发送给终端证书应用；
8、终端证书应用软件调用加密芯片，由加密芯片生成公私密钥对，并将公钥和用户身份信息以PKCS#10格式封装得到用户证书申请请求；
9、终端证书应用软件将证书申请请求发送至证书管理云主机；
10、证书管理云主机判断收到的证书申请请求是否正确，证书申请中的用户信息是否与步骤7种存储的用户身份信息一致；
11、如果证书申请请求不正确，或证书申请中的用户信息与步骤 7中存储的用户身份信息不一致，则执行步骤14；
12、如果证书申请请求正确，且证书申请中的用户信息与步骤7 中存储的用户身份信息一致，则继续执行步骤11
13、证书管理云主机调用证书授权(CA)中心，根据证书申请请求生成用户证书；
14、证书管理云主机发送用户证书至终端证书应用软件；
15、终端证书应用软件将收到的证书下发至加密芯片，由加密芯片存储证书，完成证书的远程在线管理，实施例2的证书管理操作流程结束。
16、证书管理服务器拒绝该次证书操作请求，返回错误信息至终端证书应用软件；
17、终端证书应用软件收到错误信息后，调用加密卡，清除加密卡中的密钥对，并向用户提示证书操作错误信息，实施例2的证书管理操作异常结束。
实施例3
本实施例的设备和环境如下：
一台手机终端，具备NFC、摄像头，已插入TF卡形式的加密卡，已安装终端证书APP，APP内预置证书管理服务器的公钥证书或对应根证书，具备移动无线网数据通信能力；
一台证书管理服务器，服务器具备外网和内网环境，可与手机终端和证书授权中CA系统通信，服务器中已部署具备证书管理和身份识别两个模块的服务，服务器中预置用于建立VPN隧道的公私密钥对；
一套证书授权中心CA系统，具备颁发用户数字证书的能力和与证书管理服务器的通信能力。
本实施例的实现详细步骤如下，如图6所示：
1、管理人员将加密后的用户居民身份证信息、用户人像信息和用户属性信息导入证书管理服务器；
2、用户通过终端证书APP进行证书管理，终端证书应用建立与证书管理服务器的SSL VPN访问连接，通过证书管理服务器的证书确认服务器身份合法并保证后续通信的安全性；
3、终端证书APP使用NFC获取用户居民身份证芯片中的加密信息，使用摄像头获取用户活体人像信息；
4、终端证书APP将用户居民身份证信息、人像等识别认证信息发送到证书管理服务器；
5、证书管理服务器的识别认证模块利用预导入的用户信息，对收到的信息进行识别认证，确认用户居民身份证信息的正确性、用户人像与居民身份证信息的一致性以及用户属性信息是否已经登记：
5.1)如果用户居民身份证信息不正确，或用户人像与居民身份证信息不一致或用户属性信息未登记，则执行步骤13；
5.2)如果用户居民身份证信息正确，用户人像与居民身份证信息一致且用户属性信息已登记，则继续执行步骤6。
6、证书管理服务器的证书管理模块存储识别到的用户真实身份信息，并返回用户信息给终端证书APP；
7、终端证书APP调用加密卡，由加密卡生成公私密钥对，并将公钥和用户身份信息封装得到P10(PKCS#10)格式的用户证书申请请求；
8、终端证书APP将证书申请请求发送至证书管理服务器；
9、证书管理服务器的证书管理模块判断收到的证书申请请求是否正确，包括请求是否完整和请求的签名是否正确等，证书申请中的用户信息是否与步骤6种存储的用户身份信息一致；
9.1)如果证书申请请求不正确，或证书申请中的用户信息与步骤6中存储的用户身份信息不一致，则执行步骤13；
9.2)如果证书申请请求正确，且证书申请中的用户信息与步骤 6中存储的用户身份信息一致，则继续执行步骤10。
10、证书管理服务器的证书管理模块调用证书授权(CA)中心，根据请求生成用户证书；
11、证书管理服务器发送证书至终端证书APP；
12、终端证书APP将收到的证书下发至加密卡，由加密卡存储证书，并向用户提示证书操作成功信息，实施例3的证书管理操作正常结束。
13、证书管理服务器拒绝该次证书操作请求，返回错误信息至终端证书APP；
14、终端证书APP收到错误信息后，调用加密卡，清除加密卡中的密钥对，并向用户提示证书操作错误信息，实施例3的证书管理操作异常结束。
对于本领域的技术人员来说，可以根据以上的技术方案和构思，给出各种相应的改变和变形，而所有的这些改变和变形，都应该包括在本实用新型权利要求的保护范围之内。