一种基于硬件可信信任链的License安全代理方法和平台与流程

一种基于硬件可信信任链的license安全代理方法和平台
技术领域
1.本发明涉及license代理技术领域，尤其涉及一种基于硬件可信信任链的license安全代理方法和平台。


背景技术：

2.对于大型复杂的业务系统或者存在众多客户端的业务集群，license分发通常需要使用授权代理机制，即授权中心将整个业务系统或者众多应用终端组成的配额集合签发给license授权代理，再由授权代理将配额分发给具体的业务模块或应用终端。
3.典型场景如：1.某大型业务系统有a/b/c/d等多个业务子系统，对于每个具体的市场项目，每个业务子系统有自己的授权规格需求，为了方便管理，由license授权中心统一执行授权管理。2.某大型企业办公环境有大量的软硬件终端需要授权(如桌面版软件)，如果每套软硬件分别执行独立的license管理会非常麻烦，因此通常会在企业内部环境部署license代理，全量授权一次性下发给代理，单个终端向license代理申请授权。
4.在实际应用中，代理模式下，license代理服务器与业务模块或者应用终端之间需要有安全的双向认证机制。代理服务需要验证申请终端的合法性，避免授权被滥用；终端应用要验证代理服务的合法性，避免中间人伪造代理假冒授权。但是由于很多大型业务系统部署在隔离的局域网或者封闭环境内，不具备互联网认证的条件。常见的授权管理方案只对授权导入license代理服务时执行安全校验，对于业务模块或者软硬件终端的授权行为未做严格的安全认证。导致现有的license授权代理机制存在以下缺陷和不足：1.伪造终端申请授权时，代理无法识别；2.假冒代理提供授权能力时，终端应用无法识别；3.证书和私钥通过软件存储的方案存在泄露和被篡改的风险。
5.因此，如何提供进一步提高license授权代理的安全性，成为亟待解决的技术问题。


技术实现要素：

6.有鉴于此，本发明主要解决的是在加强license代理安全性的同时简化了代理和终端之间的认证复杂度。
7.一方面，本发明提供一种基于硬件可信信任链的license安全代理方法，包括：
8.步骤s1：通过硬件加密机生成license校验需要的证书和私钥，将生成的证书和私钥进行预置；
9.步骤s2：向license授权签发系统申请license授权文件；
10.步骤s3：将申请获得的license授权文件导入至license授权代理模块；
11.步骤s4：通过业务终端模块向license授权代理模块申请授权配额，在license授权代理模块与业务终端模块完成双向校验后，license授权代理模块为业务终端模块分配授权资源。
12.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s1，包括：
13.步骤s11：通过硬件加密机生成根证书/根私钥，将根私钥保存至硬件加密机；
14.步骤s12：通过硬件加密机为license授权代理模块生成二级证书/私钥，在生成的二级证书cn字段中记录license授权代理模块的身份信息，将所述二级证书/私钥和步骤s11生成的根证书保存至license授权代理模块中的可信硬件环境单元；
15.步骤s13：通过硬件加密机为业务终端模块生成二级证书/私钥，在生成的二级证书cn字段中记录业务终端模块的身份信息，将所述二级证书/私钥以及步骤s11生成的根证书保存至业务终端模块的可信硬件环境单元。
16.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s2，包括：
17.步骤s21：从license授权代理模块获取客户环境信息，向license签发系统的授权签发服务模块申请license授权文件；
18.步骤s22：授权签发服务模块根据项目订单信息获取授权项内容，向授权项内容中添加客户环境信息，生成license授权文件内容；
19.步骤s23：授权签发服务模块通过硬件加密机使用根私钥生成签名私钥/签名证书，使用签名私钥对license授权文件内容执行签名，并对签名后的license授权文件内容执行加密，在加密得到的license授权文件内容中添加签名证书，生成license授权文件。
20.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s3，包括：
21.步骤s31：登录客户业务环境系统的license授权代理模块，通过license管理服务单元导入license授权签发系统生成的license授权文件；
22.步骤s32：从导入的license授权文件中读取加密license文件内容和签名证书，对加密的license授权文件内容执行解密，得到明文license文件内容；
23.步骤s33：通过license管理服务单元在本地可信硬件环境单元中校验明文license文件内容和签名证书的合法性；
24.步骤s34：通过license管理服务单元校验明文license文件内容中的授权项内容的合法性，将通过校验的授权项内容添加到可分配的授权资源中。
25.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s33，包括：利用可信硬件环境单元中内置的根证书校验签名证书的证书链的合法性，并利用签名证书验证license授权文件内容的签名是否正确。
26.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s4，包括：
27.步骤s41：通过业务终端模块的授权管理服务单元向license授权代理模块的终端管理服务单元建立连接，发起授权分配申请；
28.步骤s42：通过license授权代理模块的终端管理服务单元在本地可信硬件环境单元中利用内置的根证书校验业务终端模块二级证书的合法性；
29.步骤s43：通过业务终端模块的授权管理服务单元在本地可信硬件环境单元中利用内置的根证书校验license授权代理模块二级证书的合法性；
30.步骤s44：通过license授权代理模块的终端管理服务单元确认双向校验通过后，license管理服务单元为业务终端模块分配授权资源，并更新剩余可授权资源。
31.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s42中，校验业务终端模块二级证书的合法性，包括：校验二级证书信任链合法性和二级证书cn字段中记录的终端模块的身份信息的合法性。
32.进一步地，本发明基于硬件可信信任链的license安全代理方法的步骤s43中，校验license授权代理模块二级证书的合法性，包括：校验二级证书信任链合法性和二级证书cn字段中记录的license授权代理模块的身份信息的合法性。
33.另一方面，本发明提供一种基于硬件可信信任链的license安全代理平台，包括：
34.客户业务环境系统，包括license授权代理模块和业务终端模块，用于从license授权签发系统导入license授权文件并校验license授权文件的合法性，校验license授权代理模块和业务终端模块的合法性，并从导入成功的可授权资源中为业务终端分配资源；
35.license授权签发系统，包括授权签发服务模块和硬件加密机，其中，授权签发服务模块用于接收申请license授权文件的请求，根据项目订单信息获取授权项内容，向授权项内容中添加客户环境信息，生成license授权文件内容，通过硬件加密机使用根私钥生成签名私钥/签名证书，使用签名私钥对license授权文件内容执行签名，并对签名后的license授权文件内容执行加密，在加密得到的license授权文件内容中添加签名证书，生成license授权文件。
36.进一步地，本发明基于可信信任链的license安全代理平台中，license授权代理模块包括license管理服务单元、终端管理服务单元和可信硬件环境单元，其中，license管理服务单元用于导入license授权签发系统生成的license授权文件，在本地可信硬件环境单元中校验明文license文件内容和签名证书的合法性，校验明文license文件内容中的授权项内容的合法性，将通过校验的授权项内容添加到可分配的授权资源中，为业务终端模块分配授权资源，并更新剩余可授权资源；终端管理服务单元用于与授权管理服务单元建立连接，接收授权管理服务单元发起的授权分配申请，在本地可信硬件环境单元中利用内置的根证书校验业务终端模块二级证书的合法性；业务终端模块包括授权管理服务单元和可信硬件环境单元，其中，授权管理服务单元用于向license授权代理模块的终端管理服务单元建立连接，发起授权分配申请，在本地可信硬件环境单元中利用内置的根证书校验license授权代理模块二级证书的合法性。
37.本发明基于硬件可信信任链的license安全代理方法和平台，具有以下有益效果：
38.1.通过内置根证书，采用证书信任链管理的方式，校验证书信任链即可验证合法性，降低了代理和终端之间双向认证的复杂度；
39.2.通过统一的硬件加密机为代理和终端分配二级证书，二级证书分别携带代理和终端的身份信息，根私钥不出加密机，保证绝对机密性。二级证书携带的终端信息可保证终端证书泄露会被立即识别，并且泄露证书无法被滥用，从而提高安全性；
40.3.代理和终端使用的二级证书保存在服务器可信硬件中，加解密运算由可信硬件完成，二级证书和私钥安全存储，不会被程序窃取，进一步提高安全性。
附图说明
41.为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
42.图1为本发明示例性第一实施例基于硬件可信信任链的license安全代理方法的流程图。
43.图2为本发明示例性第二实施例基于硬件可信信任链的license安全代理方法的流程图。
44.图3为本发明示例性第三实施例基于硬件可信信任链的license安全代理方法的流程图。
45.图4为本发明示例性第四实施例基于硬件可信信任链的license安全代理方法的流程图。
46.图5为本发明示例性第五实施例基于硬件可信信任链的license安全代理方法的流程图。
47.图6为本发明示例性第六实施例基于硬件可信信任链的license安全代理平台的架构图。
具体实施方式
48.下面结合附图对本发明实施例进行详细描述。
49.需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合；并且，基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。
50.需要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目个方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。
51.图1为根据本发明示例性第一实施例的一种基于硬件可信信任链的license安全代理方法的流程图，如图1所示，本实施例的方法，包括：
52.步骤s1：通过硬件加密机生成license校验需要的证书和私钥，将生成的证书和私钥进行预置；
53.步骤s2：向license授权签发系统申请license授权文件；
54.步骤s3：将申请获得的license授权文件导入至license授权代理模块；
55.步骤s4：通过业务终端模块向license授权代理模块申请授权配额，在license授权代理模块与业务终端模块完成双向校验后，license授权代理模块为业务终端模块分配授权资源。
56.图2为根据本发明示例性第二实施例的一种基于硬件可信信任链的license安全代理方法的流程图，本实施例是图1所示方法的优选实施例，如图2所示，本实施例方法的步骤s1，包括：
57.步骤s11：通过硬件加密机生成根证书/根私钥，将根私钥保存至硬件加密机；
58.步骤s12：通过硬件加密机为license授权代理模块生成二级证书/私钥，将所述二级证书/私钥和步骤s11生成的根证书保存至license授权代理模块中的可信硬件环境单元；
59.步骤s13：通过硬件加密机为业务终端模块生成二级证书/私钥，将所述二级证书/私钥以及步骤s11生成的根证书保存至业务终端模块的可信硬件环境单元。
60.本实施例方法的步骤s12中，通过硬件加密机为license授权代理模块生成二级证书/私钥，包括：在生成的二级证书cn字段中记录license授权代理模块的身份信息。
61.本实施例方法的步骤s13中，通过硬件加密机为业务终端模块生成二级证书/私钥，包括：在生成的二级证书cn字段中记录业务终端模块的身份信息。
62.图3为根据本发明示例性第三实施例的一种基于硬件可信信任链的license安全代理方法的流程图，本实施例是图1所示方法的优选实施例，如图3所示，本实施例方法的步骤s2，包括：
63.步骤s21：从license授权代理模块获取客户环境信息，向license签发系统的授权签发服务模块申请license授权文件；
64.步骤s22：授权签发服务模块根据项目订单信息获取授权项内容，向授权项内容中添加客户环境信息，生成license授权文件内容；
65.步骤s23：授权签发服务模块通过硬件加密机使用根私钥生成签名私钥/签名证书，使用签名私钥对license授权文件内容执行签名，并对签名后的license授权文件内容执行加密，在加密得到的license授权文件内容中添加签名证书，生成license授权文件。
66.图4为根据本发明示例性第四实施例的一种基于硬件可信信任链的license安全代理方法的流程图，本实施例是图1所示方法的优选实施例，如图4所示，本实施例方法的步骤s3，包括：
67.步骤s31：登录客户业务环境系统的license授权代理模块，通过license管理服务单元导入license授权签发系统生成的license授权文件；
68.步骤s32：从导入的license授权文件中读取加密license文件内容和签名证书，对加密的license授权文件内容执行解密，得到明文license文件内容；
69.步骤s33：通过license管理服务单元在本地可信硬件环境单元中校验明文license文件内容和签名证书的合法性；
70.步骤s34：通过license管理服务单元校验明文license文件内容中的授权项内容的合法性，将通过校验的授权项内容添加到可分配的授权资源中。
71.本实施例方法的步骤s33，包括：利用可信硬件环境单元中内置的根证书校验签名证书的证书链的合法性，并利用签名证书验证license授权文件内容的签名是否正确。
72.图5为根据本发明示例性第五实施例的一种基于硬件可信信任链的license安全代理方法的流程图，本实施例是图1所示方法的优选实施例，如图5所示，本实施例方法的步骤s4，包括：
73.步骤s41：通过业务终端模块的授权管理服务单元向license授权代理模块的终端管理服务单元建立连接，发起授权分配申请；
74.步骤s42：通过license授权代理模块的终端管理服务单元在本地可信硬件环境单元中利用内置的根证书校验业务终端模块二级证书的合法性；
75.步骤s43：通过业务终端模块的授权管理服务单元在本地可信硬件环境单元中利用内置的根证书校验license授权代理模块二级证书的合法性；
76.步骤s44：通过license授权代理模块的终端管理服务单元确认双向校验通过后，
license管理服务单元为业务终端模块分配授权资源，并更新剩余可授权资源。
77.本实施例方法的步骤s42中，校验业务终端模块二级证书的合法性，包括：校验二级证书信任链合法性和二级证书cn字段中记录的终端模块的身份信息的合法性。
78.本实施例方法的步骤s43中，校验license授权代理模块二级证书的合法性，包括：校验二级证书信任链合法性和二级证书cn字段中记录的license授权代理模块的身份信息的合法性。
79.图6为根据本发明示例性第六实施例的一种基于硬件可信信任链的license安全代理平台的架构图，如图6所示，本实施例的平台，包括：
80.客户业务环境系统，包括license授权代理模块和业务终端模块，用于从license授权签发系统导入license授权文件并校验license授权文件的合法性，校验license授权代理模块和业务终端模块的合法性，并从导入成功的可授权资源中为业务终端分配资源；
81.license授权签发系统，包括授权签发服务模块和硬件加密机，其中，授权签发服务模块用于接收申请license授权文件的请求，根据项目订单信息获取授权项内容，向授权项内容中添加客户环境信息，生成license授权文件内容，通过硬件加密机使用根私钥生成签名私钥/签名证书，使用签名私钥对license授权文件内容执行签名，并对签名后的license授权文件内容执行加密，在加密得到的license授权文件内容中添加签名证书，生成license授权文件。
82.在实际应用中，本实施例基于可信信任链的license安全代理平台中，license授权代理模块包括license管理服务单元、终端管理服务单元和可信硬件环境单元，其中，license管理服务单元用于导入license授权签发系统生成的license授权文件，在本地可信硬件环境单元中校验明文license文件内容和签名证书的合法性，校验明文license文件内容中的授权项内容的合法性，将通过校验的授权项内容添加到可分配的授权资源中，为业务终端模块分配授权资源，并更新剩余可授权资源；终端管理服务单元用于与授权管理服务单元建立连接，接收授权管理服务单元发起的授权分配申请，在本地可信硬件环境单元中利用内置的根证书校验业务终端模块二级证书的合法性；业务终端模块包括授权管理服务单元和可信硬件环境单元，其中，授权管理服务单元用于向license授权代理模块的终端管理服务单元建立连接，发起授权分配申请，在本地可信硬件环境单元中利用内置的根证书校验license授权代理模块二级证书的合法性。
83.以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。