一種安全認證和傳輸的方法和系統的制作方法
【專利摘要】本發明提供了一種安全認證和傳輸的方法和系統，該方法包括：對要發送的原始數據用對稱密鑰進行加密，生成對稱密鑰加密后的原始數據；將所述對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去；接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名；通過驗證后，將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。本發明提供的方法中，先對要發送的數據采用對稱密鑰加密，確保原始數據的安全，再對用對稱密鑰加密后的數據采用非對稱密鑰中的私鑰進行數字簽名，保證數據在傳輸中的安全。
【專利說明】一種安全認證和傳輸的方法和系統

【技術領域】
[0001]本發明涉及信息安全領域，尤其涉及一種安全認證和傳輸的方法和系統。

【背景技術】
[0002]隨著智能卡技術的快速發展，智能卡的應用領域十分廣泛。智能卡作為關系國計民生的物質載體，其安全關系到人民的財產安全。因此，為進一步保證信息安全，需要改進現有技術方式。
[0003]在現有技術中，對數據的加密主要用對稱密鑰技術加密方法。在對稱加密技術中，數據發信方將明文和加密密鑰一起經過特殊加密算法處理后，將其變成密文發送出去。收信方收到密文后，使用與加密過程相同的密鑰和算法對密文進行解密。在對稱密鑰技術中，使用的密鑰只有一個，發信和收信雙方都使用這個密鑰對數據進行加密和解密。
[0004]根據上述描述可以看出，一旦對稱密鑰被攻破，整套安全體系的根基將不復存在。為了保證密鑰的安全，為避免因網絡攻擊等可能引起的密鑰泄露，對稱密鑰技術中的密碼機一般與公網隔離，放置于內網或局域網中。


【發明內容】

[0005]本發明實施例提供了一種安全認證和傳輸的方法和系統，能夠解決密碼機放在公用網絡上的身份認證問題和密鑰安全問題。
[0006]一方面，本發明實施例提供了一種安全認證和傳輸的方法，所述方法包括:
[0007]對要發送的原始數據用對稱密鑰進行加密，生成對稱密鑰加密后的原始數據；
[0008]將所述對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去；
[0009]接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0010]通過驗證后，將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
[0011 ] 進一步地，所述對需要發送的原始數據用對稱密鑰進行加密之前，進一步包括:
[0012]獲取CPU卡安全認證識別碼，并對CPU卡安全認證識別碼進行驗證；
[0013]所述CPU卡安全認證識別碼進行驗證之后，進一步包括:
[0014]如果CPU卡安全認證識別碼通過驗證，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據；
[0015]如果CPU卡安全認證識別碼沒有通過驗證,屏蔽CPU卡。
[0016]進一步地，所述獲取CPU卡的數據作為所述原始數據之前，進一步包括:
[0017]向CPU卡發送操作指令，CPU卡根據操作指令發送所述原始數據。
[0018]進一步地，所述獲取原始數據之后，還包括:
[0019]對原始數據進行處理生成響應數據，將響應數據用對稱密鑰進行加密，生成對稱密鑰加密后的響應數據；
[0020]將對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去；
[0021]接收所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0022]通過驗證后，將對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
[0023]進一步地，所述將響應數據用對稱密鑰進行加密之前，還包括:
[0024]根據以下條件判斷是否需要對響應數據進行加密:
[0025]當需要將對稱密鑰導出或變相實現密鑰導出時，需要對所述響應數據進行加密；
[0026]當不需要將對稱密鑰導出或變相實現密鑰導出時，不需要對所述響應數據進行加
LU O
[0027]另一方面，本發明實施例提供了一種安全認證和傳輸的系統，其特征在于，所述系統包括:
[0028]第一對稱加密模塊，用于對要發送的原始數據用對稱密鑰進行加密，輸出對稱密鑰加密后的原始數據；
[0029]第一數字簽名模塊，用于將所述第一對稱加密模塊輸出的對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名；
[0030]第一發送模塊，用于將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去;
[0031]第一接收模塊，用于接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書;
[0032]第一驗證模塊，用于用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名，驗證通過后，解析獲得對稱密鑰加密后的原始數據；
[0033]第一對稱解密模塊，用于將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
[0034]進一步地,所述系統進一步包括:
[0035]識別碼獲取模塊，用于所述在所述第一對稱加密模塊對發送的原始數據用對稱密鑰進行加密之前，獲取CPU卡安全認證識別碼；
[0036]CPU卡驗證模塊，用于對所述獲取模塊獲取的CPU卡安全認證識別碼進行驗證，輸出驗證結果；
[0037]原始數據獲取模塊，用于當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為通過驗證時，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據，當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為沒有通過驗證時,屏蔽CPU卡。
[0038]進一步地，所述系統進一步包括:
[0039]操作指令發送模塊，用于向CPU卡發送操作指令。
[0040]進一步地,所述系統還包括:
[0041]處理模塊，用于對原始數據進行處理輸出響應數據；
[0042]第二對稱加密模塊，用于將所述處理模塊輸出的響應數據用對稱密鑰進行加密，輸出對稱密鑰加密后的響應數據；
[0043]第二數字簽名模塊，用于將所述第二對稱加密模塊輸出的對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名；
[0044]第二發送模塊，用于將所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去；
[0045]第二接收模塊，用于接收所述第二發送模塊發送的對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書；
[0046]第二驗證模塊，用于用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名，驗證通過后，解析獲得對稱密鑰加密后的原始數據；
[0047]第二對稱解密模塊，用于將所述對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
[0048]進一步地,所述系統還包括:
[0049]判斷模塊，用于在將響應數據用對稱密鑰進行加密之前，根據以下條件判斷是否需要對響應數據進行加密:
[0050]當需要將對稱密鑰導出或變相實現密鑰導出時，需要對所述響應數據進行加密；
[0051]當不需要將對稱密鑰導出或變相實現密鑰導出時，不需要對所述響應數據進行加
LU O
[0052]本發明實施例提出了一種安全認證和傳輸的方法和系統，在加密過程中采用了數字認證技術，使用非對稱密鑰技術和對稱密鑰技術雙層加密。其中，先對要發送的數據采用對稱密鑰加密，確保原始數據的安全，然后，對用對稱密鑰加密后的數據采用非對稱密鑰中的私鑰進行數字簽名，保證數據在通訊鏈路中的安全。當數據在公網中傳輸時，對加密數據進行攻擊，由于傳輸數據采用了非對稱密鑰進行加密，保證了加密數據能夠安全的在公網中傳輸。

【專利附圖】

【附圖說明】
[0053]圖1是本發明實施例提供的一種安全認證和傳輸的方法流程圖；
[0054]圖2是本發明實施例提供的一種安全認證和傳輸的方法中響應數據需要加密時的流程圖；
[0055]圖3是本發明實施例中城市一卡通系統中數據加密傳輸的流程圖；
[0056]圖4是本發明實施例提供的一種安全認證和傳輸的系統示意圖；
[0057]圖5是本發明實施例提供的一種安全認證和傳輸的系統示意圖；
[0058]圖6是本發明實施例提供的一種安全認證和傳輸的系統示意圖。

【具體實施方式】
[0059]為了使本發明實施例的目的、技術方案和優點更加清楚，下面將結合本發明實施例中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例是本發明一部分實施例，而不是全部的實施例。基于本發明中的實施例，本領域普通技術人員在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬于本發明保護的范圍。
[0060]隨著對數據安全的要求越來越高，對加密技術也有更高的要求。現有技術中，主要采用對稱加密技術對數據進行加密，這種加密方法中，發信和收信雙方使用同一個密鑰進行加密和解密，一旦密鑰泄露后，數據的安全將受到嚴重威脅。
[0061]因此，本發明實施例提供了一種安全認證和傳輸的方法，可以使加密數據在公網中傳輸，并能保證數據的安全，參見圖1，該方法包括:
[0062]步驟101:對要發送的原始數據用對稱密鑰進行加密，生成對稱密鑰加密后的原始數據；
[0063]步驟102:將對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去；
[0064]步驟103:接收對稱密鑰加密后的原始數據、數字簽名和數字證書，用數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0065]步驟104:通過驗證后，將對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
[0066]可見，本發明實施例提出的一種安全認證和傳輸的方法中，在加密過程中采用了數字認證技術，使用非對稱密鑰技術和對稱密鑰技術雙層加密。其中，先對要發送的數據采用對稱密鑰加密，確保原始數據的安全，然后，對用對稱密鑰加密后的數據采用非對稱密鑰中的私鑰進行數字簽名，保證數據在通訊鏈路中的安全。當數據在公網中傳輸時，對加密數據進行攻擊，由于傳輸數據采用了非對稱密鑰進行加密，保證了數據的安全性。
[0067]為了進一步提高數據的安全性，在對要發送的原始數據用對稱密鑰進行加密之前，還要確保數據來源的安全性，要對提供數據的CPU卡是否是標準CPU卡進行識別。通過獲取CPU卡安全認證識別碼，并對CPU卡安全認證識別碼進行驗證，如果CPU卡安全認證識別碼通過驗證，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據，如果CPU卡安全認證識別碼沒有通過驗證，屏蔽CPU卡。當要獲取通過驗證的CPU卡的數據作為原始數據時，要先向CPU卡發送操作指令，CPU卡根據操作指令發送原始數據。
[0068]獲得原始數據后，對原始數據進行處理，并返回響應數據。在返回響應數據前要判斷是否需要對響應數據進行加密:當不需要將對稱密鑰導出或變相實現密鑰導出時，不對響應數據進行加密，直接發送響應數據；當需要將對稱密鑰導出或變相實現密鑰導出時，要對響應數據進行加密。
[0069]當響應數據需要進行加密時，參見圖2，具體步驟如下:
[0070]步驟201:對原始數據進行處理生成響應數據，將響應數據用對稱密鑰進行加密，生成對稱密鑰加密后的響應數據；
[0071]步驟202:將對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去；
[0072]步驟203:接收所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0073]步驟204:通過驗證后，將對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
[0074]下面以城市一卡通系統中的數據加密傳輸過程來詳細說明本發明實施例的實現過程。
[0075]城市一^^通系統主要包括三個部分:
[0076]1、讀寫終端
[0077]讀寫終端需要裝載相應的數字證書，除了實現CPU卡指令操作功能外，還承擔身份認證和安全通信的相關功能。
[0078]其中，在讀寫終端中內嵌了集RF(Rad1 Frequency,射頻)與SAM (SecurityAccount Manager,安全賬號管理器)功能于一身的專用安全芯片，由安全芯片統一接管安全處理和RF通訊，芯片內部處理完畢收到數據后，直接交由RF轉發，提高了被攻擊的難度，也加快了處理速度。另外，專用安全芯片對外提供統一的調用接口，擴大了產品的選型范圍。
[0079]2、業務平臺
[0080]業務平臺是系統的操作平臺，且為前臺和后臺連接的橋梁。
[0081]3、后臺系統
[0082]后臺系統為業務平臺提供密鑰應用服務，且實現身份認證和安全通信的相關功倉泛。
[0083]其中，后臺系統主要包括三個組成部分:
[0084]a、CA/RA (Certificat1n Authority/Registrat1n Authority,認證中心 / 注冊審批機構):主要用于提供非對稱密鑰技術中數字證書合法性驗證服務；
[0085]b、CA (Certificat1n Authority,認證中心)功能密碼機:主要用于提供對稱密鑰技術中密鑰應用服務；
[0086]C、中間件:是后臺系統的出入口，主要用于對外提供統一的業務服務接口，并實現CA/RA與CA功能密碼機的交接。
[0087]在對CPU卡進行操作之前，要對CPU卡進行上電復位:業務平臺發送CPU卡上電復位指令給讀寫終端,讀寫終端執行指令,對CPU卡進行上電復位，復位成功后將CPU卡上電復位成功的信息發給業務平臺。上電復位成功后，讀寫終端開始對CPU卡進行操作。
[0088]參見圖3，城市一卡通系統中數據加密傳輸的步驟如下:
[0089]步驟301:讀寫終端獲取CPU卡安全認證識別碼，并對CPU卡安全認證識別碼進行驗證；
[0090]具體地，如果CPU卡安全認證識別碼通過驗證，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據；
[0091]如果CPU卡安全認證識別碼沒有通過驗證,屏蔽CPU卡。
[0092]步驟302 =CPU卡通過安全認證識別碼驗證后，業務平臺調用指令透傳功能，執行明文/密文CPU卡操作指令，讀寫終端向CPU卡發送操作指令，CPU卡根據操作指令發送原始數據給讀寫終端；
[0093]步驟303:讀寫終端接收CPU卡發送的原始數據并對原始數據用對稱密碼進行加密，生成對稱密鑰加密后的原始數據；
[0094]步驟304:讀寫終端將對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的原始數據、數字簽名和數字證書發送給業務平臺；
[0095]具體地，讀寫終端在收到CPU卡發送的原始數據后，內部對數據進行數字簽名，最終將原始數據和數字簽名結果返回給業務平臺；
[0096]步驟305:業務平臺接收到讀寫終端發送的對稱密鑰加密后的原始數據、數字簽名和數字證書后，將處理請求、對稱密鑰加密后的原始數據、數字簽名和數字證書發送給后臺系統；
[0097]步驟306:后臺系統接收業務平臺發送的處理請求、對稱密鑰加密后的原始數據、數字簽名和數字證書，通過CA/RA用數字證書中的非對稱密鑰中的公鑰對數字簽名后的原始數據進行驗證數字簽名；
[0098]步驟307:后臺系統通過CA功能密碼機將驗證數字簽名后的原始數據用對稱密鑰進行解密，獲取原始數據；
[0099]步驟308:后臺系統根據處理請求對原始數據進行處理，生成響應數據，判斷是否需要對響應數據進行加密；
[0100]具體地，當業務平臺需要將對稱密鑰導出或變相實現密鑰導出時，對響應數據進行加密，發送加密后的響應數據；
[0101]當業務平臺不需要將對稱密鑰導出或變相實現密鑰導出時，不對響應數據進行加密，直接發送響應數據。
[0102]步驟309:當需要對響應數據進行加密時，后臺系統通過CA功能密碼機將響應數據用對稱密鑰進行加密，生成對稱密鑰加密后的響應數據；
[0103]步驟310:后臺系統將對稱密鑰加密后的響應數據通過CA/RA用數字證書中的非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去；
[0104]步驟311:業務平臺接收后臺系統發送的對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書，用非對稱密鑰中的公鑰對簽名進行驗證，得到對稱密鑰加密后的響應數據；
[0105]步驟312:業務平臺將對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
[0106]其中，業務平臺依據響應數據確定讀寫終端透傳功能明文/密文調用，讀寫終端依據指令形態的不同，在指令發送時，區分了兩種模式:
[0107]模式一、明文轉發
[0108]直接發送。讀寫終端的安全芯片依據指令格式獲取指令數據域后，直接交由RF轉發。
[0109]模式二、密文轉發
[0110]由數字證書解密后轉發。讀寫終端的安全芯片依據指令格式，獲取指令數據域后，內部先用數字證書的私鑰解密，再交由RF轉發。
[0111]另外，在后臺系統中，由中間件對外提供標準的接口服務，業務平臺無需關心后臺系統的相關內容，只需按照接口要求向中間件發送請求即可。
[0112]本發明一個實施例中還提出了一種安全認證和傳輸的系統，參見圖4,該系統包括:
[0113]第一對稱加密模塊401，用于對要發送的原始數據用對稱密鑰進行加密，輸出對稱密鑰加密后的原始數據；
[0114]第一數字簽名模塊402，用于將所述第一對稱加密模塊輸出的對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名；
[0115]第一發送模塊403，用于將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去；
[0116]第一接收模塊404，用于接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書;
[0117]第一驗證模塊405，用于用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0118]第一對稱解密模塊406，用于將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
[0119]為了進一步提高數據的安全性，在對發送的原始數據用對稱密鑰進行加密之前，還要確保數據來源的安全性，增加了下面的模塊來對提供數據的CPU卡是否是標準CPU卡進行識別，參見圖5:
[0120]識別碼獲取模塊501，用于所述在所述第一對稱加密模塊對發送的原始數據用對稱密鑰進行加密之前，獲取CPU卡安全認證識別碼；
[0121]CPU卡驗證模塊502，用于對所述獲取模塊獲取的CPU卡安全認證識別碼進行驗證，輸出驗證結果；
[0122]原始數據獲取模塊502，用于當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為通過驗證時，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據，當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為沒有通過驗證時,屏蔽CPU卡。
[0123]當要獲取通過驗證的CPU卡的數據作為原始數據時，要先向CPU卡發送操作指令，CPU卡根據操作指令發送原始數據，進而增加了操作指令發送模塊503，用于向CPU卡發送操作指令。
[0124]參見圖6，獲得原始數據后，對原始數據進行處理，并返回響應數據。處理模塊601，用于對原始數據進行處理輸出響應數據。為了判斷返回的響應數據是否需要加密，增加了判斷模塊602，用于在將響應數據用對稱密鑰進行加密之前，根據以下條件判斷是否需要對響應數據進行加密:當不需要將對稱密鑰導出或變相實現密鑰導出時，不對響應數據進行加密，直接發送響應數據；當需要將對稱密鑰導出或變相實現密鑰導出時，要對響應數據進行加密。
[0125]對于需要加密的響應數據，用下面的模塊完成:
[0126]第二對稱加密模塊603，用于將所述處理模塊輸出的響應數據用對稱密鑰進行加密，輸出對稱密鑰加密后的響應數據；
[0127]第二數字簽名模塊604，用于將所述第二對稱加密模塊輸出的對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名；
[0128]第二發送模塊605，用于將所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去；
[0129]第二接收模塊606，用于接收所述第二發送模塊發送的對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書；
[0130]第二驗證模塊607，用于用數字證書中的非對稱密鑰中的公鑰驗證數字簽名；
[0131]第二對稱解密模塊608，用于將對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
[0132]可見，本發明實施例具有如下的有益效果:
[0133]1、本發明實施例提出的一種安全認證和傳輸的方法中，在加密過程中采用了數字認證技術，使用非對稱密鑰技術和對稱密鑰技術雙層加密。其中，先對要發送的數據采用對稱密鑰加密，確保原始數據的安全，然后，對用對稱密鑰加密后的數據采用非對稱密鑰中的私鑰進行數字簽名，保證數據在通訊鏈路中的安全。當數據在公網中傳輸時，對加密數據進行攻擊，由于傳輸數據采用了非對稱密鑰進行加密，公鑰和私鑰是不同的，保證了加密數據能夠安全的在公網中傳輸。
[0134]2、本發明實施例提供的一種安全認證和傳輸的方法中，采用非對稱密鑰技術和對稱密鑰技術雙層加密，不僅能夠兼容現有的應用，更超前使用了符合國家安全要求的安全機制，增加了數據的安全性。
[0135]3、本發明實施例提供的一種安全認證和傳輸的方法中，在獲取CPU卡的數據之前，對CPU卡是否是標準卡進行驗證，將沒有通過驗證的CPU卡屏蔽與系統之外，確保了 CPU卡的合法性，進而提高了數據的安全性。
[0136]4、本發明實施例提供的一種安全認證和傳輸的方法中，統一規范了產品的調用接口，前端的讀寫終端中的專用安全芯片與后臺系統的專用密碼機，對外提供統一的調用接口，不再區分廠家和型號。對產品的調用統一且規范，擴大了對產品的選型范圍。
[0137]需要說明的是，在本文中，諸如第一和第二之類的關系術語僅僅用來將一個實體或者操作與另一個實體或操作區分開來，而不一定要求或者暗示這些實體或操作之間存在任何這種實際的關系或者順序。而且，術語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要素的過程、方法、物品或者設備不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者設備所固有的要素。在沒有更多限制的情況下，由語句“包括一個……”限定的要素，并不排除在包括所述要素的過程、方法、物品或者設備中還存在另外的相同因素。
[0138]本領域普通技術人員可以理解:實現上述方法實施例的全部或部分步驟可以通過程序指令相關的硬件來完成，前述的程序可以存儲在計算機可讀取的存儲介質中，該程序在執行時，執行包括上述方法實施例的步驟；而前述的存儲介質包括:R0M、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質中。
[0139]最后需要說明的是:以上所述僅為本發明的較佳實施例，僅用于說明本發明的技術方案，并非用于限定本發明的保護范圍。凡在本發明的精神和原則之內所做的任何修改、等同替換、改進等，均包含在本發明的保護范圍內。
【權利要求】
1.一種安全認證和傳輸的方法，其特征在于，所述方法包括: 對要發送的原始數據用對稱密鑰進行加密，生成對稱密鑰加密后的原始數據； 將所述對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去； 接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名； 通過驗證后，將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
2.根據權利要求1所述的方法，其特征在于，所述對要發送的原始數據用對稱密鑰進行加密之前，進一步包括: 獲取CPU卡安全認證識別碼，并對CPU卡安全認證識別碼進行驗證； 所述CPU卡安全認證識別碼進行驗證之后，進一步包括: 如果CPU卡安全認證識別碼通過驗證，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據； 如果CPU卡安全認證識別碼沒有通過驗證，屏蔽CPU卡。
3.根據權利要求2所述的方法，其特征在于，所述獲取CPU卡的數據作為所述原始數據之前，進一步包括: 向CPU卡發送操作指令，CPU卡根據操作指令發送所述原始數據。
4.根據權利要求1所述的方法，其特征在于，所述獲取原始數據之后，還包括: 對原始數據進行處理生成響應數據，將響應數據用對稱密鑰進行加密，生成對稱密鑰加密后的響應數據； 將對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名，將對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去； 接收所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書，用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名； 通過驗證后，將對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
5.根據權利要求4所述的方法，其特征在于，所述將響應數據用對稱密鑰進行加密之前，還包括: 根據以下條件判斷是否需要對響應數據進行加密: 當需要將對稱密鑰導出或變相實現密鑰導出時，需要對所述響應數據進行加密； 當不需要將對稱密鑰導出或變相實現密鑰導出時，不需要對所述響應數據進行加密。
6.一種安全認證和傳輸的系統，其特征在于，所述系統包括: 第一對稱加密模塊，用于對要發送的原始數據用對稱密鑰進行加密，輸出對稱密鑰加密后的原始數據； 第一數字簽名模塊，用于將所述第一對稱加密模塊輸出的對稱密鑰加密后的原始數據用非對稱密鑰中的私鑰進行數字簽名； 第一發送模塊，用于將對稱密鑰加密后的原始數據、數字簽名和數字證書發送出去； 第一接收模塊，用于接收所述對稱密鑰加密后的原始數據、數字簽名和數字證書； 第一驗證模塊，用于用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名； 第一對稱解密模塊，用于將所述對稱密鑰加密后的原始數據用對稱密鑰進行解密，獲取原始數據。
7.根據權利要求6所述的系統，其特征在于，所述系統進一步包括: 識別碼獲取模塊，用于所述在所述第一對稱加密模塊對發送的原始數據用對稱密鑰進行加密之前，獲取CPU卡安全認證識別碼； CPU卡驗證模塊，用于對所述獲取模塊獲取的CPU卡安全認證識別碼進行驗證，輸出驗證結果； 原始數據獲取模塊，用于當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為通過驗證時，開啟指令透傳功能，獲取CPU卡的數據作為所述原始數據，當所述CPU卡驗證模塊對CPU卡安全認證識別碼的驗證結果為沒有通過驗證時，屏蔽CPU卡。
8.根據權利要求6所述的系統，其特征在于，所述系統進一步包括: 操作指令發送模塊，用于向CPU卡發送操作指令。
9.根據權利要求6所述的系統，其特征在于，所述系統還包括: 處理模塊，用于對原始數據進行處理輸出響應數據； 第二對稱加密模塊，用于將所述處理模塊輸出的響應數據用對稱密鑰進行加密，輸出對稱密鑰加密后的響應數據； 第二數字簽名模塊，用于將所述第二對稱加密模塊輸出的對稱密鑰加密后的響應數據用數字證書中的非對稱密鑰中的私鑰進行數字簽名； 第二發送模塊，用于將所述對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書發送出去； 第二接收模塊，用于接收所述第二發送模塊發送的對稱密鑰加密后的響應數據、響應數據的數字簽名和數字證書； 第二驗證模塊，用于用所述數字證書中的非對稱密鑰中的公鑰驗證數字簽名，如果通過驗證，解析獲取對稱密鑰加密后的響應數據； 第二對稱解密模塊，用于將所述對稱密鑰加密后的響應數據用對稱密鑰進行解密，獲取響應數據。
10.根據權利要求9所述的系統，其特征在于，所述系統還包括: 判斷模塊，用于在將響應數據用對稱密鑰進行加密之前，根據以下條件判斷是否需要對響應數據進行加密: 當需要將對稱密鑰導出或變相實現密鑰導出時，需要對所述響應數據進行加密； 當不需要將對稱密鑰導出或變相實現密鑰導出時，不需要對所述響應數據進行加密。
【文檔編號】H04L29/06GK104424446SQ201310367733
【公開日】2015年3月18日 申請日期:2013年8月21日 優先權日:2013年8月21日
【發明者】王輝, 周欣, 馬虹, 申緋斐, 曹子新, 楊輝, 苑朋朋, 樊靜靜 申請人:中外建設信息有限責任公司