专利名称：一种新型的USBKey外部认证方法和USBKey装置的制作方法
一种新型的Usbkey外部认证方法和Usbkey装置
所属技术领域
本发明涉及一种基于公钥密码技术实现USBKey对外部调用者进行身份认证和鉴权，从而实现 USBKey访问控制的方法，以及支持该方法的新型USBKey装置，具体来说，本方法和装置涉及解决USBKey 的安全调用问题。技术背景
USBKey作为一种安全外设，只是其本身安全是不够的，必须同时保证对其调用也是安全的，USBKey 才能真正成为一种安全外设。
USBKey面世后，极大地丰富和提升了各类电子应用的安全解决方案，但是USBKey在系统整体结构 中是一个被调用者的角色，因此在USBKey的实际应用中，调用者身份认证和鉴权成为整个USBKey应用 安全体系中的基础环节，尤其是基于电脑和互联网这种开放环境的安全应用，如果USBKey本身访问控制 机制不具备或者不完善，那么其自身的所有安全设计就失去意义。
现有的一种解决措施是基于对称密钥的USBKey外部认证方法。对称密钥外部认证方法的实现方式为 通过在USBKey和调用者之间维护一对相同的主密钥，每次调用的时候，USBKey和调用者都通过该主密 钥，弁以具体调用者标识为参数产生具体调用者对应的于密钥，调用者通过该子密钥对USBKey生成并传 递给调用者的随机数加密；USBKey内部使用自身内部运算得到的相同子密钥对调用者提交的随机数加密 结果进行解密，并与原始随机数进行比较。如果匹配则继续访问，否则拒绝访问。上述实现方式是比较完 整的基于对称密钥认证方式，目前实际应用中解决方案较之更加简化。即便如此，这种方法存在一个根本 安全隐患鉴于对称密码技术本身的局限性而无法解决那就是主密钥的安全问题， 一旦主密钥泄漏，整个 安全体系就会彻底失效，而且主密钥还分散在大量的调用者和USBKey处，由此产生的安全风险和安全管 理成本很高。
与上述方法不同的是，本发明采用PKI非对称公钥密码技术，该技术产生的目的之一就是为了解决身 份认证和鉴权，不需要调用者和USBKey维护共同的主密钥，USBKey对调用者的验证是基于调用者自身 的证书私钥，整个验证体系的信任源证书是CA中心的根证书私钥，该私钥在CA中心离线保存，从来不 需要分布到USBKey和调用者处，不存在上述方法的主密钥安全保管风险和成本，而调用者本身的证书私 钥即使出现泄密，其损失也只限于该调用者白身，而不是整个基于USBKey的安全体系；而且单个调用者 证书私钥的更换也非常快捷方便， 一旦发现泄密，可以即时申请更换，可以有效降低泄密风险。发明目的
本发明的目的在于采用公钥密码技术中的数字证书机制，经济便捷可靠地实现USBKey对调用者的访 问控制，从而解决USBKey在应用环节的安全问题。
发明内容
基于公钥密码技术实现USBKey对外部调用者进行身份认证，从而实现USBKey访问控制的方法， 以及支持该方法的新型USBKey装置。具体内容如下
调用者需要调用USBKey时，首先向USBKey请求一个随机数并提交调用者证书；USBKey验证证书有效 性及其对应的USBKey操作权限，通过后产生一个随机数，本地保存调用者证书公钥和随机数；然后，调用 者用自己的证书私钥解密，得到返回的随机数，并对调用命令和得到的随机数签名，然后将签名值连同调 用命令一起传递给USBKey;最后，USBKey通过验证签名值即可验证调用者以及调用的合法性，根据调 用者需要，USBKey还可以对返回的敏感信息通过调用者证书公辨加密后返回，从而实现基于公钥密码技 术的USBKey访问控制和敏感信息的加密传输，通过随机数机制可以防止非法重复调用。
在USBKey内部独立验证证书有效性，包括验证证书颁发机构根证书签名的有效性、验证证书时效性、 验证证书黑名单，在USBKey内预置颁发机构根证书，从而验证证书颁发机构根证书签名的有效性；通过 第三方授权的系统、按照特定安全接口下载时间戳到USBKey，并在本地管理，籍此实现证书时效性验证， 第三方系统可以是具有时间戳服务的任何机构，包括CA中心、或者其他服务机构；在USBKey内保存调用 者证书黑名单，并接受特定授权机构或者个人按照特定安全接口进行更新维护，籍此实现证书是否在黑名
3单的验证。
在普通USBKey功能的基础上，增加对上述方法对应的新增功能即可形成一种新型的USBKey装置。 本方法中，USBKey是一种集成密码安全芯片，支持USB接口方式的计算机安全外设，密码安全芯片
集成有主流的对称和非对称算法，并支持敏感信息的安全保存；USBKey调用者是指需要调用USBKey接
口的一切系统、设备和操作员，比如网上银行系统、网上报税系统、USBKey的管理者及其对应的管理系
统；USBKey附接设备是指USBKey所连接的电脑、机顶盒等智能设备；
本发明的方法和装置也可以扩展到除USBKey外的其他密码安全芯片设备，不仅是针对USBKey，也
包括各类IC卡、手机卡、支付卡等、或者其他智能设备的安全芯片模块。有益效果
本发明的目的在于提供一种新型的USBKey安全调用方法和一种新型的USBKey装置，从而促进 USBKey广泛用于解决互联网上存在的身份仿冒、数据泄密和篡改等安全问题。
USBKey实现外部调用访问控制的过程。实现过程
USBKey实现外部调用访问控制的过程
1、 调用者通过USBKey附接设备向USBKey请求随机数，并携带调用者证书；
2、 USBKey附接设备向USBKey转发对应请求；
3、 USBKey验证调用者证书的有效性及其对应的USBKey操作权限，通过后产生一个随机数，并用调用者证 书公钥对随机数加密，本地保存调用者证书公钥和随机数。
4、 USBKey通过其附接设备向调用者转发响应的加密随机数。
5、 USBKey附接设备向调用者转发对应响应；
6、 调用者用自己的证书私钥解密得到随机数，并对调用命令和随机数签名，连同调用命令一起发给 USBKey;
7、 调用者通过USBKey附接设备向USBKey转发请求；
8、 USBKey附接设备转发对应请求；
9、 USBKey验证签名值，验证通过后执行调用命令，并返回结果，根据调用需要，USBKey可以对返回的敏 感信息通过调用者证书公钥加密后返回； '
10、 USBKey通过其附接设备向调用者转发响应；
11、 USBKey附接设备向调用者转发对应响应；
12、 调用者获取响应结果，如果是加密结果，调用者需要解密。 本发明这样便实施了基于公钥密码技术实现USBKey对外部调用者进行身份认证和鉴权，从而实现
USBKey访问控制的方法和新型USBKey装置。
权利要求
1.一种新型的USBkey外部认证方法，其特征在于一种以公钥密码技术为基础，不依赖于外部环境安全的USBkey外部认证方法，USBkey在接到调用请求时，首先通过公钥技术对调用者进行强身份认证，并根据USBkey本地保存的访问策略对调用者进行权限控制，验证通过后才接受调用，否则拒绝；调 用者每次调用都需要整个认证鉴权过程直接发生在USBkey和调用者之间，屏蔽所有外部环节，包括USBkey附接的电脑和网络。
2. 如权利要求l所述的方法，其特征在于调用者需要调用USBkey时，首先向USBkey请求一个随机数并 提交调用者证书；USBkey验证证书有效性及其对应的USBkey操作权限，通过后产生一个随机数，本地 保存调用者证书公钥和随机数；然后，调用者用自己的证书私钥解密，得到返回的随机数，并对调用 命令和得到的随机数签名，然后将签名值连同调用命令一起传递给USBkey;最后，USBkey通过验证 签名值即可验证调用者以及调用的合法性，验证通过后，执行调用命令，根据调用者需要，USBkey 还可以对返回的敏感信息通过调用者证书公钥加密后返回，从而实现基于公钥密码技术的USBkey访问 控制和敏感信息的加密传输。
3. —种新型的USBkey装置，其特征在于新型的USBkey装置在普通USBkey功能的基础上，实现了 权利要求1所述方法要求的逻辑功能和接口，包括在USBkey内部实现对调用者证书有效性验证； 并在内部对调用者的访问权限实现分级控制；在此基础上，USBkey在接到调用请求时，首先通过公 钥技术对调用者进行强身份认证，并根据USBkey本地保存的访问策略对调用者进行权限控制，验证 通过后才接受调用，否则拒绝；整个认证鉴权过程直接发生在USBkey和调用者之间，屏蔽所有外部 环节，包括USBkey附接的电脑和网络。
4. 如权利3所述方法，在USBkey内部独立验证证书有效性，其特征在于验证证书颁发机构根证书签 名的有效性、验证证书时效性、验证证书黑名单，在USBkey内预置颁发机构根证书，从而验证证书 颁发机构根证书签名的有效性；通过第三方系统下载时间戳到USBkey,并在本地管理，实现证书时 效性验证；在USBkey内保存调用者证书的黑名单，并接受特定授权机构或者个人按照特定安全接口 进行更新维护。
5. 如权利要求4所述方法，在USBkey内部独立验证证书根签名有效性，其特征在于在USBkey内预 置颁发机构根证书，从而验证证书颁发机构根证书签名的有效性。
6. 如权利要求4所述方法，在USBkey内部独立验证证书时效性，其特征在于通过第三方授权的系统、 按照特定安全接口下载时间戳到USBkey，并在本地管理，籍此实现证书时效性验证，，第三方系统可 以是具有时间戳服务的任何机构，包括CA中心、或者其他服务机构。
7. 如权利要求4所述方法，在USBkey内部独立验证证书是否在黑名单，其特征在于在USBkey内保 存调证书黑名单，并接受特定授权机构或者个人按照特定安全接口进行更新维护，籍此实现证书是否 在黑名单的验证。
8. 如如权利要求1和3所述方法和装置中，对USBkey内部对象实现分级管理，并分别进行访问控制的 方法，其特征在于控制不同的调用者只能针对其有权限的对象进行有权限的调用，即使对有权限的 对象，调用者也不能进行无限制的访问，USBkey本地保存内部对象的访问控制策略，并据此实现分 级访问控制，访问策略受特定授权机构或者用户按照特定的将安全接口进行管理与维护。
9. 如权利要求1和3所述，其特征在于数字证书是指各种公钥数字证书，无论由何种机构签发。
10. —种兼容普通USBkey功能的方法，其特征在于为了兼容普通USBkey的功能，新型的USBkey支 持强安全模式和普通模式之间的转换，转换操作本身需要进行严格的安全控制，只能由特定的授权机 构或者个人按照特定安全接口进行调用。
11. 一种包含权利要求1所述方法的扩展方法，其特征在于权利l所述方法可以扩展到除USBKey外的 其他密码安全芯片设备，也就是权利1所述的方法不仅是针对USBkey，也包括各类IC卡、手机卡、 支付卡等、或者其他智能设备的安全芯片模块。
12. —种包含权利要求3所述装置的扩展装置，其特征在于其他密码安全芯片设备也可以通过增加权利 3所述的功能而形成对应的新型密码安全芯片装置，也就是权利3所述的装置不仅是针对USBkey，也 包括各类IC卡、手机卡、支付卡等、或者其他智能设备的安全芯片模块。
全文摘要
当前的USBKey都是被动提供安全服务，缺乏对调用的访问控制机制，并且依赖外部环境的安全性，如所接设备和网络中存在病毒、木马以及黑客攻击时，其调用就可能完全失控。本发明提供了一种以公钥密码技术为基础，不依赖于外部环境安全的USBKey外部认证方法和一种新型的USBKey装置，USBKey在接到调用请求时，首先通过公钥技术对调用者进行强身份认证和权限控制，验证通过后才接受调用，否则拒绝；整个认证鉴权过程直接发生在USBKey和调用者之间，屏蔽所有外部环节，包括USBkey附接的电脑和网络。该方法可广泛用于解决诸如私服、帐号盗用、钓鱼、交易欺诈等安全问题。
文档编号H04L9/32GK101686128SQ20081021136
公开日2010年3月31日 申请日期2008年9月24日 优先权日2008年9月24日
发明者刘辛越, 华 李 申请人:北京创原天地科技有限公司