专利名称：基于移动终端的安全认证服务平台系统、装置和方法
技术领域：
本发明涉及一种安全认证的技术领域，尤其涉及一种基于移动终端的安全认证服
务平台系统、装置和方法。
背景技术：
随着计算机与网络通信技术的发展，网络化应用已经渗透到社会生活的各个领 域，包括网上银行、网上购物、网络游戏、网上电子政务等等，不一而足。然后，网络的发展， 以及网络应用的深入，带来最突出的问题就是安全问题，现实生活中，比较突出的问题有银 行卡上的钱被盗、冒充他人进行交易、网络身份被盗用等，这些问题给用户和应用提供商都 带来不少的麻烦和直接的经济损失。 现有技术中，通常采用通过安全认证，包括严格的身份鉴别和数字签名技术解决 这些现实中存在的问题。 目前安全认证方法和系统有很多，包括有PIN/TAN、硬件令牌(硬件Token)安全认 证方法和系统等，安全认证的途径主要是通过计算机来实现的，但是这种途径的安全认证 方法和系统存在诸多问题，主要是 1)通过计算机系统实现数字签名时，需要将个人私钥存放在计算机中，或者智能
卡中，或者USBkey中。然而，私钥存放在计算机中，并不安全，很容易被别人偷走；而存放在
智能卡上和USBkey上均需要额外的硬件设备支持，增加了额外的费用和开销； 2)通过计算机系统实现安全认证时，需要通过计算机键盘输入私钥密码即#PIN
码，很容易被网络上的钓鱼软件截获，存在很大的安全隐患。 为解决通过计算机实现所存在的缺陷，现有技术又提供通过移动电话的安全认证 方法和系统，如基于短信的0TP。 这种方法和系统主要的硬件设备是GSM移动电话等，其能够支持多种应用和服 务，在使用中，只需携带移动电话，通过移动电话通信网络和计算机网络即可完成安全认证 过程，而不需要额外支持，也不会产生更多的额外费用。 中国专利公开号CN101163011A的发明专利申请公开了一种网上银行系统的安全 认证方法，其采用手机动态认证和数字证书的双认证安全模式，其中手机动态认证是通过 用户开户时绑定的手机号码，系统将随机生成的动态认证码通过短信的形式发送给客户实 现客户身份的识别，数字证书是由权威公正的第三方机构签发的，以数字证书为核心的加 密技术，其可以对网络上传输的信息进行加密和解密、数字签名和签名验证。该发明的网上 银行系统安全认证方法提高了网上银行安全级别，有效降低风险，为用户提供了一个安全 高效的网上银行系统。 但现有技术中的安全认证方法和系统，都有较大的计算开销和不方便性，存在着 一定的局限性。
发明内容
本发明的目的在于提供一种基于移动终端的安全认证服务平台系统、装置和方法，
其为网络应用系统提供安全认证，确保网络身份签别的可靠性和网络交易的不可否认性。 为实现本发明目的而提供的一种基于移动终端的安全认证服务平台系统，其包括 移动终端和网络应用系统，还包括安全认证服务平台装置，用于接收来自网络应用系统的 安全认证请求，对安全认证请求者的身份进行校验，并对安全认证内容进行验证；在校验和 验证通过后将安全认证请求提交给移动终端进行数字签名，并对移动终端数字签名进行验 证；在验证通过后将数字签名结果和时间戳返回给网络应用系统。 较佳地，所述移动终端包括至少一签名服务客户端，用于根据安全认证服务平台
装置的请求，利用安全认证请求的内容，在通过移动终端输入私钥密码并判断私钥密码无
误后，利用其存储的私钥进行数字签名，并将签名结果提交给安全认证服务平台装置。 较佳地，所述网络应用系统包括至少一个接口模块，用于向安全认证服务装置触
发安全认证服务请求获取任务号，根据任务号向安全认证服务装置提交安全认证服务请求
并侦测得到数字签名的结果和时间戳，通知网络应用系统相应的业务操作。 为实现本发明目的，还提供一种安全认证服务装置，包括签名服务器，签名服务应
用网关，月艮务手机网关和CA认证中心，其中 所述签名服务器，用于对安全认证请求者的身份进行校验，并对安全认证内容进 行验证，以及对移动终端的数字签名进行验证； 所述签名服务应用网关，是面向网络应用系统的接入网关，用于接收来自网络应
用系统的安全认证请求，以及向网络应用系统提供数字签名的结果和时间戳； 所述服务手机网关，是面向移动终端的接入网关，用于在签名服务器通过安全认
证请求者的身份校验后，将安全认证请求提交给移动终端进行数字签名，并接收来自移动
终端的数字签名结果； 所述CA认证中心，用于根据签名服务器的请求对用户的证书有效性和合法性进
行验证，并在签名服务器验证数字签名通过后，向该签名服务器提供时间戳。 较佳地，所述的安全认证服务装置，还包括注册服务器，用于提供移动终端安全认
证服务业务的用户注册及应用注册服务，进行用户登记、注册、确认、开通所述服务平台系统。 更进一步地，为实现本发明目的，还提供一种基于移动终端的安全认证方法，包括 如下步骤 步骤A，在网络应用系统中，在进行安全认证时，网络应用系统的接口模块向安全 认证服务装置的签名服务应用网关触发安全认证服务请求，获得相应任务号；
步骤B，接口模块根据相应任务号，通过签名应用服务网关向安全认证服务装置中 的签名服务器提交安全认证信息，并等待取回安全认证的反馈结果； 步骤C，签名服务器提取用户的注册信息，对网络应用系统的用户身份进行校验， 并请求所述安全认证服务装置中的CA认证中心对其证书的有效性和合法性进行验证；如 果获得通过，则通过所述安全认证服务装置中的服务手机网关提交给用户的移动终端中的 客户端进行数字签名； 步骤D，移动终端中的客户端在接到安全认证请求后，根据安全认证信息的内容，输入私钥密码，取出存放在移动终端中的的私钥并进行数字签名，将签名的结果通过服务 手机网关提交给签名服务器； 步骤E，签名服务器对返回的数字签名进行验证，如果验证通过，则从CA认证中心 获取时间戳，将时间戳、数字签名的结果提交给签名服务应用网关； 步骤F，接口模块侦测到所返回的时间戳和数字签名的结果后，从签名服务应用网 关中取回数字签名的结果和时间戳，并在获得数字签名结果和时间戳后向签名服务应用网 关返回回执； 步骤G，接口模块取回签名服务结果和时间戳后，通知网络应用系统可执行交易或
通过身份鉴别，并将数字签名和时间戳留存； 步骤H，网络应用系统的安全认证过程结束。 较佳地，所述基于移动终端的安全认证方法，在步骤A之前，还包括如下步骤
步骤A'，通过注册服务器，在用户的移动终端上开通基于移动终端的安全认证服 务业务，并与需要提供安全认证的网络应用系统通过安全认证服务平台装置进行捆绑绑 定。 本发明的有益效果本发明的基于移动终端的安全认证服务平台系统、装置和方 法，以移动终端为签名载体，通过构建一系列的安全组件形成安全认证的服务平台系统，彻 底消除利用计算机进行安全认证，包括身份鉴别和数字签名服务所带来的安全隐患，同时， 尽可能的减少身份鉴别和数字签名服务带来的额外开销，可以为计算机网络应用系统提供 商提供基于移动终端的安全认证，包括数字签名和身份鉴别服务，确保计算机网络应用系 统身份鉴别的安全性和交易的不可否认性，是一种全新的安全认证系统和方法，既方便快 捷、成本低廉，又安全有效。
图1是本发明实施例基于移动终端的安全认证服务平台系统结构示意图；
图2是本发明实施例基于移动终端的安全认证方法流程图； 图3是本发明实施例网上银行系统的基于移动终端的安全认证方法中用户注册 过程流程图； 图4是本发明实施例网上银行系统的基于移动终端的安全认证方法中密钥生成 过程流程图； 图5是本发明实施例网上银行系统的基于移动终端的安全认证方法中签名过程 流程图。
具体实施例方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对
本发明的一种基于移动终端的安全认证服务平台系统、装置和方法进行进一步详细说明。
应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。 本发明的基于移动终端的安全认证服务平台系统、装置和方法以现有的密码技术
和公钥基础设施(Public Key Infrastructure, PKI)技术为基础，以移动终端3为安全认
证包括数字签名和身份鉴别的载体和工具，通过一系列的安全组件分工协作形成的安全认
6证服务平台系统，对现有的网络应用系统的业务操作，根据请求而进行安全认证服务。
在本发明实施例中，如图l所示，本发明的基于移动终端的安全认证服务平台系 统，包括移动终端3，安全认证服务平台装置2(Mobile Sure Service System, MSSS)，以及 网络应用系统1 : 所述移动终端3包括至少一签名服务客户端31(Mobile Signature Agent，MSA)， 所述签名服务客户端31 (MSA)，用于根据安全认证服务平台装置2(MSSS)的请求，利用安全 认证请求的内容，在通过移动终端3输入私钥密码即ftPIN并判断私钥密码无误后，利用其 存储的私钥进行数字签名，并将签名结果提交给安全认证服务平台装置2(MSSS)。
签名服务客户端31 (MSA)根据安全认证的请求，通过安全认证请求中包含的认证 请求的内容，再通过移动终端3的显示屏，在移动终端3上显示出要求用户输入私钥密码 即ftPIN，在用户根据显示屏的要求，利用移动终端3输入了私钥密码即ftPIN并接收后，与 签名服务客户端31(MSA)中已经存储的私钥密码进行对比判断，如果输入私钥密码即#PIN 正确，则从签名服务客户端31 (MSA)中取出私钥进行安全认证；如果输入的私钥密码#PIN 不正确，则返回显示屏显示要求用户再次输入；如果输入私钥密码不正确的次数已经超过 3次，则直接向安全认证服务装置(MSSS)返回认证失败的结果。 所述签名服务客户端31 (MSA)可以内置多种对称、非对称、哈希(HASH)、随机数安 全认证算法；并在用户注册时，进行相关算法的密钥对产生、向安全认证服务装置提交证书 签发申请、私钥密码即ftPIN生成等服务，并管理私钥密码的生命周期。
较佳地，所述签名服务客户端31 (MSA)，依据"所见及所签"进行数字签名。
所述安全认证服务装置(MSSS)，用于接收来自网络应用系统1的安全认证请求， 对安全认证请求者的身份进行校验，并对安全认证内容进行验证；在校验和验证通过后将 安全认证请求提交给移动终端3进行数字签名，并对移动终端3数字签名进行验证；在验证 通过后将数字签名结果和时间戳返回给网络应用系统1。 所述网络应用系统1包括至少一个接口模块ll，用于向安全认证服务装置(MSSS)
触发安全认证服务请求获取任务号，根据任务号向安全认证服务装置提交安全认证服务请
求并侦测得到数字签名的结果和时间戳，通知网络应用系统1相应的业务操作。 所述接口模块11是在网络应用系统1中嵌入移动终端安全认证服务接口程序模
块，使得网络应用系统1能够与安全认证服务装置(MSSS)，获得移动终端3安全认证服务。 所述移动终端3可以是各种移动通信终端，如GSM手机、CDMA手机、3G手机等，也
可以是各种手持终端，如PDA终端等。 较佳地，所述安全认证服务装置(MSSS)包括签名服务器21 (Signature ServiceServer， SSS)，签名服务应用网关22 (Signature Service Gateway, SSG)，服务手机 网关23 (Signature Service Connector, SSC)禾口 CA认证中心24 (Certif icateAuthority， CA)。 所述签名服务器21 (SSS)，是本发明实施例中安全认证服务装置(MSSS)的核心部 件，用于对安全认证请求者的身份进行校验，并对安全认证内容进行验证，以及对移动终端 3的数字签名进行验证。 所述签名服务应用网关22(SSG)，是面向网络应用系统1的接入网关，用于接收来 自网络应用系统1的安全认证请求，以及向网络应用系统1提供数字签名的结果和时间戳。
7
签名服务应用网关22(SSG)接受来自不同提供商的不同网络应用系统1的安全认 证请求服务，可根据网络应用系统1的不同采取不同的接入方式，其功能包括网络应用系 统1的数字签名服务接入，接受来自应用系统的数字签名服务请求，提供数字签名服务结 果。 所述服务手机网关23(SSC)，是面向移动终端3的接入网关，用于在签名服务器 21(SSS)通过安全认证请求者的身份校验后，将安全认证请求提交给移动终端3进行数字 签名，并接收来自移动终端3的数字签名结果。 服务手机网关23(SSC)提供签名服务器21(SSS)与移动终端3的签名服务客户 端31 (MSA)之间的安全通信管理，其可以根据不同的情况提供多种通信模式，如SMS、 WAP、 USSD等，并在用户注册时向签名服务客户端31提供注册认证服务。 所述CA认证中心24 (CA)，用于根据签名服务器21的请求对用户的证书有效性和 合法性进行验证，并在签名服务器21验证数字签名通过后，向该签名服务器21提供时间 戳。 所述CA认证中心24是安全认证服务平台系统的支撑性基础设施，其还在用户注 册时提供证书签发与证书管理服务，提供加密密钥生成服务等。 较佳地，所述安全认证服务平台装置2(MSSS)，还包括注册服务器 25(MobileRegistration Server, MRS)，用于提供移动终端安全认证服务业务的用户注册 及应用注册服务，进行用户登记、注册、确认、开通服务平台系统。 其提供移动终端3的用户信息的登记、审核与录入；并提交注册信息给签名服务 器21 (SSS)及移动终端3进行密钥生成和证书生产；提供证书的生命周期管理；提供网络 应用系统1数字签名与身份鉴别服务业务的开通绑定与管理。 本发明实施例的基于移动终端的安全认证服务平台系统，以移动终端3为签名载
体，通过构建一系列的安全组件形成安全认证的服务平台系统，彻底消除利用计算机进行
安全认证所带来的安全隐患，同时，尽可能的减少身份鉴别和数字签名服务带来的额外开
销，并确保计算机网络应用系统1身份鉴别的安全性和交易的不可否认性。 下面详细说明与该安全认证服务平台相对应的一种基于移动终端的安全认证方
法的具体实施方式
。 对使用网络应用系统l的用户而言，在进行网络应用系统l的业务操作，进行身份 鉴别或者敏感交易等而需要进行安全认证时，可以利用基于移动终端的安全认证服务平台 系统，通过移动终端3进行安全认证。 本发明实施例的基于移动终端的安全认证方法，如图2所示，包括如下步骤
步骤S1，在网络应用系统1中，进行身份鉴别或者敏感交易而需要进行安全认证 时，网络应用系统l中的接口模块ll向安全认证服务装置(MSSS)的签名服务应用网关 22(SSG)触发安全认证服务请求，获得相应任务号； 步骤S2，接口模块11根据相应任务号，通过签名应用服务网关(SSG)向安全认证 服务装置(MSSS)中的签名服务器21(SSS)提交安全认证信息，并等待取回安全认证的反馈 结果。 步骤S3，签名服务器21 (SSS)从注册服务器25中提取用户的注册信息，对网络 应用系统1的用户身份进行校验，并请求CA认证中心24对其证书的有效性和合法性进行验证；如果获得通过，则通过服务手机网关23(SSC)提交给用户的移动终端3中的客户端 (MSA)进行数字签名； 步骤S4，如果不能通过，则安全认证失败，向网络应用系统1返回判断失败的结 果，安全认证结束； 步骤S5，移动终端3中的客户端(MSA)在接到安全认证请求后，根据安全认证信息 的内容，依据"所见即所签"，输入私钥密码即ftPIN，取出存放在移动终端3中的私钥并进行 数字签名，将签名的结果通过服务手机网关23(SSC)提交给签名服务器21(SSS);
步骤S6，签名服务器21(SSS)对返回的数字签名进行验证，如果验证通过，则从CA 认证中心24获取时间戳，将时间戳、数字签名的结果提交给签名服务应用网关22(SSG);
步骤S7，如果验证没有通过，则向网络应用系统1返回验证失败的结果，安全认证 结束； 步骤S8，网络应用系统1中的接口模块11侦测到所返回的时间戳和数字签名的结 果后，从签名服务应用网关22 (SSG)中取回数字签名的结果和时间戳，并在获得数字签名 结果和时间戳后向签名服务应用网关22(SSG)返回回执； 步骤S9，接口模块11取回签名服务结果和时间戳后，通知网络应用系统1可执行 交易或通过身份鉴别，并将数字签名和时间戳留存；
步骤SIO，网络应用系统1的安全认证过程结束。
较佳地，所述步骤Sl之前，还包括下列步骤 步骤S0，通过注册服务器25 (MRS)，在用户的移动终端3上开通基于移动终端的安 全认证服务业务，并与需要提供安全认证的网络应用系统1通过安全认证服务平台装置2 进行捆绑绑定。 首先，在用户的移动终端3中配置具有相应密码算法、密钥生成、数字签名等安全 认证的客户端； 然后，通过移动终端3中的客户端，注册服务器25请求登记用户信息，包括用户名 和相应的号码(如手机号码)，并请求客户端根据这些用户信息进行密钥对生成；
其次，在密钥生成时，注册服务器25要求用户输入私钥密码即ftPIN码并保存在客 户端，以保护所生成的私钥， 而后，与网络应用系统1进行捆绑，客户端将私钥保存在客户端，并将公钥传递给 网络应用系统1的接口模块11，以便能够进行安全认证；
最后，在捆绑成功后，网络系统返回注册成功信息。 下面以移动通信终端(手机)为银行的网上银行网络应用系统1 (eBanking)提供 交易确认的数字签名服务为例进行具体实施例的说明 作为一种可实施方式，在通信运行商的通信网络中部署安全认证服务装置(MSSS) 的注册服务器25 (MRS)、签名服务器21 (SSS)、服务应用网关(SSG)、服务手机网关23 (SSC)、 以及CA认证中心24，与网络应用系统1即网上银行系统连接，和通信运营商的移动通信终 端组成一基于移动终端的安全认证服务平台系统。 作为一种可实施方式，可将上述五个组件分别安装在五台独立的计算机服务器 上，该计算机上运行支撑的操作系统可以是MS Windows、UNIX、LINUX，也可以是其他操作系 统，分别安装五个组件的五台独立计算机服务器间，采用TCP/IP+SSL安全通信协议进行通信和传递数据； 步骤S100，部署基于移动通信终端的安全认证服务平台系统； 所述步骤S100包括如下步骤 步骤SllO，用通信运营商的根证书初始化CA认证中心24 ; 步骤S120，从通信运营商的通信系统中获取准确时间，提供时间戳服务； 步骤S130，为签名服务器21 (SSS)、注册服务器25 (MRS)和CA认证中心24分配内
部IP地址；为服务应用网关(SSG)、服务手机网关23(SSC)分配IP地址； 步骤S140，将服务手机网关23(SSC)与运营商的ISMG、USSDC、WAPGW进行连接，分
别建立与手机的三条通信通道SMS、 WAP、 USSD，并分配相应的服务号码。 步骤S200，设置接口模块ll，在网络应用系统1进行相应操作，如转账交易、代缴
费交易、身份鉴别等环节，进行安全信息认证时，通过移动通信终端进行安全认证； 作为一种可实施方式，可设置接口模块11的接口程序模块为 (SigFlag， SignID， StartTimeStamp) = MSS(AppID， AppUID， NeedSignTxt); ToMSSPFlag = Save(SignID， SigFlag， SignedTxt， SignedTimeStamp，
endTimeSt咖p); 该程序模块执行的过程为 提交参数AppID， AppUID， NeedSignTxt ; 获得SSG分配的签名服务任务号SignID ; 签名结果侦测轮询定期向SSG查询任务号为SignID的签名服务结果情况； 如果失败则返回失败标记SigFlag = 1，结束交易或者流程； 如果签名成功，则从SSG获取SignedTxt， SignedTimeStamp ; 继续处理业务流程，存储签名结果(SignedTxt, SignedTimeStamp); 给SSG发送签名成功标记Flag = 8 ; 其中， SignID :应用请求签名服务的任务号； AppID :应用系统的ID，由MRS定义； A卯UID :应用系统中的用户ID，在MRS进行登记绑定； NeedSignTxt :应用系统提交的需要签名的文本内容； StartTimeStamp :应用系统提交签名服务起始时间； SigFlag :SSG处理签名服务的状态标记，9-签名服务尚未结束；l-签名服务结束，
签名失败；0-签名服务结束，签名成功；8-应用存储签名成功； SignedTxt :签名结果数据； SignedTimeStamp :CA提供的签名时间戳； endTimeStamp :签名结束时间。 步骤S300，拥有网上银行业务帐号的客户，利用其移动通信终端，在注册服务器 25 (MRS)中进行用户注册； 所述步骤S300，如图3所示，包括如下步骤 步骤S310，填写用户信息等、录入、审核、批准； 作为一种可实施方式，首先用户填写申请表，包括0115: 0116: o"7: om: o"9: 0120: 0121:
0122: 0123: 0124: 0125: 0126: 0127: 0128: 0129:
0130: 0131:
0132: 0133: 0134: 0135: 0136: 0137: 0138'
身份信息国家，省市，区县、地址； 姓名，性别； 手机电话； 邮件地址；
开通应用信息应用名称，使用的ID， 私钥备份选项备份/不备份 然后进行注册信息录入； 身份信息国家，省市，区县、地址； 姓名，性别； 手机电话； 邮件地址；
开通应用信息应用名称，使用的ID， 私钥备份选项备份/不备份 审核员对注册信息进行审核； 身份信息国家，省市，区县、地址； 姓名，性别； 手机电话； 邮件地址；
开通应用信息应用名称，使用的ID，......
私钥备份选项备份/不备份 审核通过，则批准。
步骤S320，在通过用户审核后，进行移动通信终端的号码测试，在测试成功后，提
交注册信息给移动通信终端，进行密钥对生成；
0139, 0140: 0141: 0142'
作为一种可实施方式，如图4所示，所述密钥对生成包括如下步骤 步骤S321，检查用户信息有效性；
步骤S322，确定非对称算法生成密钥对，随机生成原始密钥对(SKO，PKO);
步骤S323，将PkO提交给CA用根证书私钥进行签名SignedPK = Sign (PkO，
Skroot)，用CA根证书的公钥进行签名验证res = VA(SignedPK， Pkroot);
步骤S324，用#PIN码保护SKO形成SK ; 步骤S325，将PKO， Userlnfo， SignedPK进行封装成PK ; 步骤S326，将SK提交给CA备份；将PK提交给LDAP及OCSP数据库； 步骤S327，回复SSS及MRS密钥生成成功。
步骤S330，移动通信终端在接到注册信息(如注册短信)后，确认是否注册安全认 正服务业务；在确认需要注册后，注册服务器25 (MRS)要求用户输入ftPIN码； 0148] 较佳地，要求用户输入#PIN码两遍并确认。
0149] 步骤S340，移动通信终端中的客户端将私钥保存在客户端，并将公钥传递给网络 应用系统1的接口模块11，向移动通信终端返回确认注册成功的信息，则可以通过移动通
0143: 0144: 0145: 0146: 0147'服务业务。 作为一种可实施方式，如果申请私钥备份标记为备份，则将私钥托管保存在KMC 数据库中，将公钥证书发布到网络应用系统1的LDAP/0CSP数据库； 在SSP/SSC/SSG/MRS上均保存工作记录，向注册服务器25返回注册成功标记，注 册成功。 步骤S400，在用户进行网上银行业务操作，进行身份鉴别时，通过网上银行系统，
利用移动通信终端，进行身份鉴别。 所述步骤S400包括下列步骤 步骤S410，进入网上银行网页，键入网上银行帐号或者信用卡号码； 步骤S420，网上银行系统要求进行身份鉴别等安全认证，在输入传统的密码后，利
用移动通信终端，进行安全认证； 步骤S430，网上银行系统通过接口模块ll，将网上银行系统的ID、用户的帐号信 息等用户信息发送给服务应用网关(SSG)，请求触发移动通信终端进行安全认证，获取任务 号； 步骤S440，接口模块11根据任务号，通过签名应用服务网关(SSG)向安全认证服 务装置(MSSS)中的签名服务器21(SSS)提交安全认证信息，签名服务器21(SSS)利用注册 服务器25(MRS)中用户注册信息，对网上银行系统的用户身份进行校验，并将网上银行系 统用户名转换成相对应的用户手机号码，要求CA认证中心24对该号码所有者的证书进行 有效性和合法性进行验证；校验和验证通过后，通过服务手机网关23(SSC)提交给用户移 动通信终端进行数字签名认证； 如果不能通过，则判断失败，向网络应用系统1返回判断失败的结果，安全认证结 束； 步骤S450，移动通信终端接到网上银行系统通过服务手机网关23(SSC)发送来的
用户信息后，对该信息进行数字签名，输入私钥密码即ftPIN码，解开私钥，完成数字签名，
将数字签名的结果通过服务手机网关23(SSC)提交给签名服务器21(SSS); 步骤S460，签名服务器21对该数字签名进行有效性验证，在验证通过后，从CA认
证中心24获取时间戳，将签名结果和时间戳提交给服务应用网关(SSG); 如果验证没有通过，则向网络应用系统1返回验证失败的结果，安全认证结束； 步骤S470，服务应用网关(SSG)通知接口模块11取回数字签名和时间戳，接口模
块11在收到数字签名和时间戳后，返回接收成功的确认信息； 步骤S480，接口模块ll取回数字签名和时间戳后，确认身份鉴别通过，用户进入
网上银行系统，可进行网上银行操作，同时，接口模块11将数字签名存储。 步骤S500，在用户进行网上银行业务操作，利用数字签名进行交易时，通过网上银
行系统，利用移动通信终端，进行数字签名。 所述步骤S500，如图5所示，包括如下步骤 步骤S510，用户在进入网上银行系统的业务操作系统后，进行相应的业务操作，如
进入转帐业务系统，进行转帐操作，则用户键入转出帐号XXXX XXXXX XXXXX XX;转入帐
号-yyyy yyyyy yyyyy yy 金额-2500元； 步骤S520，网上银行系统要求进行移动通信终端的数字签名确认，触发一个数
12字签名服务请求，要求对相应业务操作信息进行数字签名，如对上述"转出帐号xxxx xxxxxxxxxx xx ;转入帐号yyyy yyyyy yyyyy yy ;金额2500元"进行移动通信终端数字 签名； 步骤S530，网上银行系统通过接口模块ll，将相应业务操作信息，如上述"转出帐 号xxxx xxxxx xxxxx xx ;转入帐号yyyy yyyyy yyyyy yy ;金额2500元"转帐业务操作 信息发送给服务应用网关(SSG)请求进行数字签名服务； 步骤S540，服务应用网关(SSG)将相应业务操作信息提交给签名服务器 21(SSS); 步骤S550，签名服务器21(SSS)利用注册服务器25 (MRS)中用户注册信息对用户
身份进行校验，并将进行本次网上银行业务操作的用户名转换成相对应的用户手机号码，
要求CA认证中心24对该号码所有者的证书进行有效性和合法性进行验证，在校验和验证
通过后，通过服务手机网关23(SSC)提交给用户移动通信终端进行数字签名； 步骤S560，用户移动通信终端接到相应业务操作信息后，依据"所见即所签"的原
则，对该信息进行数字签名，输入#PIN码，解开私钥，完成数字签名过程，将数字签名结果
通过服务手机网关23(SSC)提交给签名服务器21(SSS); 步骤S570，签名服务器21(SSS)对该数字签名进行有效性验证，验证通过后，从CA 认证中心24获取时间戳，将数字签名结果和时间戳提交给服务应用网关(SSG);
步骤S580，服务应用网关(SSG)通过接口模块11取回数字签名和时间戳，接口模 块11在收到数字签名和时间戳后，返回接收成功信息； 步骤S590，接口模块ll取回数字签名和时间戳后，确认可以进行网上银行交易操 作，并将数字签名和时间戳存储备查。 本发明实施例中的基于移动终端的安全认证服务平台系统、装置和方法，以密码 技术和PKI技术为基础，以移动终端3为签名载体，通过构建一系列的安全组件形成安全 认证的服务平台系统，彻底消除利用计算机进行安全认证，包括身份鉴别和数字签名服务 所带来的安全隐患，同时，尽可能的减少身份鉴别和数字签名服务带来的额外开销，可以为 计算机网络应用系统1提供商提供基于移动终端的安全认证，包括数字签名和身份鉴别服 务，确保计算机网络应用系统1身份鉴别的安全性和交易的不可否认性，是一种全新的安 全认证系统和方法，既方便快捷、成本低廉，又安全有效。 最后应当说明的是，很显然，本领域的技术人员可以对本发明进行各种改动和变 型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要 求及其等同技术的范围之内，则本发明也意图包含这些改动和变型。
权利要求
一种基于移动终端的安全认证服务平台系统，包括移动终端和网络应用系统，其特征在于，还包括安全认证服务平台装置，用于接收来自所述网络应用系统的安全认证请求，对安全认证请求者的身份进行校验，并对安全认证内容进行验证；在校验和验证通过后将所述安全认证请求提交给所述移动终端进行数字签名，并对所获得的移动终端数字签名进行验证；在验证通过后将数字签名结果和时间戳返回给所述网络应用系统。
2. 根据权利要求1所述的基于移动终端的安全认证服务平台系统，其特征在于，所述 移动终端包括至少一签名服务客户端，用于根据安全认证服务平台装置的请求，利用安全 认证请求的内容，在通过所述移动终端输入私钥密码并判断私钥密码无误后，利用其存储 的私钥进行数字签名，并将签名结果提交给所述安全认证服务平台装置。
3. 根据权利要求1或2所述的基于移动终端的安全认证服务平台系统，其特征在于，所 述网络应用系统包括至少一个接口模块，用于向所述安全认证服务装置触发安全认证服务 请求获取任务号，根据所获得的任务号向所述安全认证服务装置提交安全认证服务请求并 侦测得到数字签名的结果和时间戳，通知所述网络应用系统相应的业务操作。
4. 根据权利要求3所述的基于移动终端的安全认证服务平台系统，其特征在于，所述 安全认证服务装置包括签名服务器，签名服务应用网关，服务手机网关和CA认证中心，其 中所述签名服务器用于对安全认证请求者的身份进行校验，并对安全认证内容进行验 证，以及对移动终端的数字签名进行验证；所述签名服务应用网关是面向网络应用系统的接入网关，用于接收来自网络应用系统 的安全认证请求，以及向网络应用系统提供数字签名的结果和时间戳；所述服务手机网关是面向所述移动终端的接入网关，用于在所述签名服务器通过安全 认证请求者的身份校验后，将安全认证请求提交给所述移动终端进行数字签名，并接收来 自所述移动终端的数字签名结果；所述CA认证中心用于根据所述签名服务器的请求对用户的证书有效性和合法性进行 验证，并在所述签名服务器验证数字签名通过后，向所述签名服务器提供时间戳。
5. 根据权利要求4所述的基于移动终端的安全认证服务平台系统，其特征在于，所述 安全认证服务装置还包括注册服务器，用于提供移动终端安全认证服务业务的用户注册及 应用注册服务，进行用户登记、注册、确认、开通所述服务平台系统。
6. —种安全认证服务装置，其特征在于，包括签名服务器，签名服务应用网关，服务手 机网关和CA认证中心，其中所述签名服务器用于对安全认证请求者的身份进行校验，并对安全认证内容进行验 证，以及对移动终端的数字签名进行验证；所述签名服务应用网关是面向网络应用系统的接入网关，用于接收来自网络应用系统 的安全认证请求，以及向网络应用系统提供数字签名的结果和时间戳；所述服务手机网关是面向所述移动终端的接入网关，用于在所述签名服务器通过安全 认证请求者的身份校验后，将安全认证请求提交给所述移动终端进行数字签名，并接收来 自所述移动终端的数字签名结果；所述CA认证中心用于根据所述签名服务器的请求对用户的证书有效性和合法性进行 验证，并在所述签名服务器验证数字签名通过后，向所述签名服务器提供时间戳。
7. 根据权利要求6所述的安全认证服务装置，其特征在于，还包括注册服务器，所述 注册服务器用于提供移动终端安全认证服务业务的用户注册及应用注册服务，进行用户登 记、注册、确认、开通所述服务平台系统。
8. —种基于移动终端的安全认证方法，其特征在于，包括如下步骤步骤A，在网络应用系统中，在进行安全认证时，网络应用系统的接口模块向安全认证 服务装置的签名服务应用网关触发安全认证服务请求，获得相应任务号；步骤B，所述接口模块根据相应任务号，通过所述签名应用服务网关向所述安全认证服 务装置中的签名服务器提交安全认证信息，并等待取回安全认证的反馈结果；步骤C，所述签名服务器提取用户的注册信息，对所述网络应用系统的用户身份进行校 验，并请求所述安全认证服务装置中的CA认证中心对其证书的有效性和合法性进行验证； 如果获得通过，则通过所述安全认证服务装置中的服务手机网关提交给用户的移动终端中 的客户端进行数字签名；步骤D，所述客户端在接到安全认证请求后，根据安全认证信息的内容，输入私钥密码， 取出存放在所述移动终端中的的私钥并进行数字签名，将签名的结果通过所述服务手机网 关提交给所述签名服务器；步骤E，所述签名服务器对返回的数字签名进行验证，如果验证通过，则从所述CA认证 中心获取时间戳，将时间戳、数字签名的结果提交给所述签名服务应用网关；步骤F，所述接口模块侦测到所返回的时间戳和数字签名的结果后，从所述签名服务应 用网关中取回数字签名的结果和时间戳，并在获得数字签名结果和时间戳后向所述签名服 务应用网关返回回执；步骤G，所述接口模块取回签名服务结果和时间戳后，通知所述网络应用系统可执行交 易或通过身份鉴别，并将数字签名和时间戳留存；步骤H，所述网络应用系统的安全认证过程结束。
9. 根据权利要求8所述的基于移动终端的安全认证方法，其特征在于 在步骤C和步骤D之间，还包括如下步骤步骤C'，如果不能通过，则安全认证失败，向网络应用系统返回判断失败的结果，安全 认证结束；在步骤E和步骤F之间，还包括下列步骤步骤E'，如果验证没有通过，则向网络应用系统返回验证失败的结果，安全认证结束。
10. 根据权利要求8或9所述的基于移动终端的安全认证方法，其特征在于，在步骤A 之前，还包括如下步骤步骤A'，通过注册服务器，在用户的移动终端上开通基于移动终端的安全认证服务业 务，并与需要提供安全认证的网络应用系统通过所述安全认证服务平台装置进行捆绑绑 定。
全文摘要
本发明公开一种基于移动终端的安全认证服务平台系统、装置和方法。该系统包括移动终端和网络应用系统，还包括安全认证服务平台装置，用于接收来自网络应用系统的安全认证请求，对安全认证请求者的身份进行校验，并对安全认证内容进行验证；在校验和验证通过后将安全认证请求提交给移动终端进行数字签名，并对移动终端数字签名进行验证；在验证通过后将数字签名结果和时间戳返回给网络应用系统。其是一种全新的安全认证系统和方法，既方便快捷、成本低廉，又安全有效。
文档编号H04L29/06GK101765108SQ200910087630
公开日2010年6月30日 申请日期2009年7月1日 优先权日2009年7月1日
发明者马东平 申请人:北京华胜天成科技股份有限公司