基于可信计算平台的网银交易认证系统技术方案

本发明专利技术实施例提供了一种基于可信计算平台的网银交易认证系统。该系统主要包括：可信计算平台、认证中心CA、网银认证服务器、网银WEB端、金融IC卡和金融IC卡读卡器；可信计算平台基于可信启动利用CA对网银认证服务器进行验证；网银认证服务器产生依赖于传输层数据的冲击，利用冲击对登录网银WEB端的用户、用户的金融IC卡读卡器进行身份认证；金融IC卡读卡器和网银WEB端连接，对金融IC卡进行信息读取，作为所述金融IC卡和网银WEB端之间的信息传输中介。本发明专利技术实施例使用PKI系统和金融IC卡对银行、持卡人、金融IC卡读卡器进行了全部的身份认证，实现了安全可信的认证过程，能够满足网上银行随时随地提供服务的需求，又能防御非信道攻击和信道攻击。

【技术实现步骤摘要】
基于可信计算平台的网银交易认证系统
本专利技术涉及网络安全
，尤其涉及一种基于可信计算平台的网银交易认证系统。
技术介绍
现如今，网上银行已成为一种便捷的金融服务工具吸引着越来越多的客户。但网络的开放性使得网上银行所涉及的敏感信息极易受到恶意攻击，且攻击方式多样。根据攻击者是否与用户和银行之间的会话分离，可以把常见的几种攻击分为两类：非信道攻击和信道攻击。非信道攻击就是攻击者与客户、银行之间的对话信道相分离，主要通过安装恶意程序等入侵手段攻击用户电脑，获取用户的账号、密码、私钥等安全信息或是通过恶意程序控制用户电脑进行资金交易等。信道攻击通常是基于SSL（SecureSocketsLayer，安全套接层）/TLS（TransportLayerSecurity，概况安全传输层协议）信道的攻击，攻击者通过地址伪装介入到用户和网银认证服务器之间的SSL/TLS信道中，伪装成网银认证服务器与用户会话，同时又伪装成合法用户与网银认证服务器会话，截获并篡改信息，从而控制整个交易，使得用户和银行都无法察觉。目前，网上环境变得更加复杂，存在着各种潜在的危险，因此对网上银行也在安全性方面也提出了挑战。因此，开发一种能够防止遭受信道以及非信道方面的攻击，有效地保证网上银行的安全的方法是一个亟待解决的问题。
技术实现思路
本专利技术的实施例提供了一种基于可信计算平台的网银交易认证系统，以实现保证用户网上银行使用中的安全性。本专利技术提供了如下方案：一种基于可信计算平台的网银交易认证系统，包括：可信计算平台、认证中心CA、网银认证服务器、网银WEB端、金融IC卡和金融IC卡读卡器；所述的可信计算平台，用于基于可信启动利用所述CA对所述网银认证服务器进行验证；所述的CA，用于采用公钥基础设施PKI技术对所述金融IC卡、网银认证服务器进行认证；所述的网银认证服务器，用于建立和网银WEB端之间的安全传输通道，产生依赖于传输层数据的冲击，利用所述冲击对登录网银WEB端的用户、所述用户的金融IC卡读卡器进行身份认证；所述的网银WEB端，用于用户登录网银web网页，处理金融交易；所述的金融IC卡，用于作为金融交易的用户卡片，内部存储用户的密钥对和卡片主密钥，对所述网银认证服务器进行认证；所述的金融IC卡读卡器，用于通过USB接口和所述网银WEB端连接，对所述金融IC卡进行信息读取，作为所述金融IC卡和网银WEB端之间的信息传输中介。所述的可信平台，用于通过基于可信启动的启动链实现，所述启动链包括主引导记录、引导加载程序、OS内核、OS驱动程序，用可信平台模块TPM中的特定的平台配置寄存器PCR值封装所述网银认证服务器的密钥对、所述金融IC卡读卡器的密钥对，当所述可信启动保证了所述网银认证服务器的整个启动链的完整性和所有启动期间用到的或者执行的文件是完整的后，则确定所述网银认证服务器的验证通过，将所述TPM中的特定的PCR值传输给所述网银认证服务器。优选地，在传输层认证过程中，所述的网银WEB端，用于接收用户通过WEB浏览器输入的用户的金融IC卡的PAN号码，使用金融IC卡内部预存的持卡人证书将所述金融IC卡的PAN号码传输给网银认证服务器，建立和网银认证服务器之间的安全传输通道，通过所述安全传输通道将金融IC读卡器传输过来的签名后的r1传输给网银认证服务器；所述的网银认证服务器，具体用于用TPM中的特定的PCR值对网银认证服务器的密钥对进行解封，建立和网银WEB端之间的安全传输通道，在可信启动的条件下，产生依赖于传输层数据的冲击r1，将签名后的冲击r1和网银认证服务器的数字证书通过网银WEB端、金融IC卡读卡器传输给金融IC卡，根据金融IC卡读卡器返回的用用户的私钥签名后的冲击r1通过Kailar逻辑形式化分析协议对所述用户进行身份认证；所述的金融IC卡，用于通过TMP读卡器认证所述网银认证服务器的身份，并验证冲击r1为所述网银认证服务器所发且没有修改过后，要求用户通过金融IC读卡器输入金融IC卡的PIN码，对该PIN码进行校验；所述的金融IC读卡器，用于在所述的金融IC卡对所述PIN码进行校验通过后，读取存储在金融IC卡中的用户的签名公钥、私钥，使用用户私钥对冲击r1进行签名，通过所述网银WEB端将签名后的冲击r1传输给所述的网银认证服务器。优选地，在传输层认证过程中，所述的网银认证服务器，具体用于设R为参与协议的金融IC卡读卡器；C为参与协议的金融IC卡的用户即金融IC卡；S为参与协议的网银认证服务器；EOO为发送方不可否认的证据；EOR为接收方不可否认的证据；为主体P开始会话的初始集合；为协议进行到第i步骤的集合；OP为P最终的集合；为P的私钥签名；为P用私钥对消息X进行加密；(X,Y)为公式X和Y的级联；Cert(P)为P的电子证书；Sign(P,X)为P对X的签名；AccountNumber为明文方式传送的用户金融IC卡卡号；设双方的初始拥有集与假设条件分别为：双方的初始拥有集与假设条件分别为：金融IC卡读卡器使用密钥KCA验证CA身份；网银认证服务器使用密钥KCA验证CA身份；列举发送方不可否认证据和接收方不可否认证据为：EOO＝Sign(S,r1)Cert(S)；EOR＝Sign(C,r1)Cert(C)现假设EOO∈OR，EOR∈OS成立，则有Cert(S)∈R，Sign(S,r1)∈R，即根据数字签名规则有：因为使用CA私钥对金融IC卡读卡器签名，并且金融IC卡读卡器使用密钥KCA能够验证CA是合法的CA，所以证明CA对网银认证服务器及密钥的真伪负责，完成数字签名；根据电子证书规则有：由金融IC卡读卡器验证了CA的合法性，同时CA对网银认证服务器及密钥负责，所以证明金融IC卡读卡器使用密钥KS完成对网银认证服务器的认证，此时完成金融IC卡读卡器对网银认证服务器的认证。优选地，在应用层认证过程中，所述的网银认证服务器，具体用于在应用层上发起一个随机的冲击r2，将该冲击r2通过所述安全传输通道传输给网银WEB端；所述的网银WEB端，用于将所述冲击r2通过金融IC读卡器传输给所述金融IC卡，所述的金融IC卡，用于使用金融IC卡中存储的用户私钥对所述冲击r2进行签名，将签名后的冲击r2传输给所述金融IC卡读卡器，所述的金融IC卡读卡器，用于用TMP中的特定PCR值解封金融IC卡读卡器的密钥对，用金融IC卡读卡器的私钥对所述金融IC卡传输过来的签名后的冲击r2进行双重签名，将双重签名后的冲击r2传输给网银认证服务器；所述的网银认证服务器，用于利用所述双重签名后的冲击r2通过Kailar逻辑形式化分析协议对所述金融IC卡读卡器进行身份认证。优选地，所述的网银认证服务器，双方的初始拥有集和假设条件为：金融IC卡读卡器使用密钥KCA验证CA身份；网银认证服务器使用密钥KCA验证CA身份，由于在传输层认证阶段已经完成了对网银认证服务器、用户身份的认证，所以在应用层认证阶段只需要完成网银认证服务器对金融IC卡身份的认证，只需要列举第二次认证时接收方的不可否认证据；EOR＝Sign(C,r2),Sign(R,Sign(C,r2)),Cert(R)假设EOR∈OS成立，则Sign(R,Sign(C,r2))∈S，Cert(R)∈S，即根据本文档来自技高网...

【技术保护点】
一种基于可信计算平台的网银交易认证系统，其特征在于，包括：可信计算平台、认证中心CA、网银认证服务器、网银WEB端、金融IC卡和金融IC卡读卡器；所述的可信计算平台，用于基于可信启动利用所述CA对所述网银认证服务器进行验证；所述的CA，用于采用公钥基础设施PKI技术对所述金融IC卡、网银认证服务器进行认证；所述的网银认证服务器，用于建立和网银WEB端之间的安全传输通道，产生依赖于传输层数据的冲击，利用所述冲击对登录网银WEB端的用户、所述用户的金融IC卡读卡器进行身份认证；所述的网银WEB端，用于用户登录网银web网页，处理金融交易；所述的金融IC卡，用于作为金融交易的用户卡片，内部存储用户的密钥对和卡片主密钥，对所述网银认证服务器进行认证；所述的金融IC卡读卡器，用于通过USB接口和所述网银WEB端连接，对所述金融IC卡进行信息读取，作为所述金融IC卡和网银WEB端之间的信息传输中介。

【技术特征摘要】
1.一种基于可信计算平台的网银交易认证系统，其特征在于，包括：可信计算平台、认证中心CA、网银认证服务器、网银WEB端、金融IC卡和金融IC卡读卡器；所述的可信计算平台，用于基于可信启动利用所述CA对所述网银认证服务器进行验证；所述可信计算平台，用可信平台模块TPM中的特定的平台配置寄存器PCR值封装所述网银认证服务器的密钥对、所述金融IC卡读卡器的密钥对，将所述TPM中的特定的PCR值传输给所述网银认证服务器；所述的CA，用于采用公钥基础设施PKI技术对所述金融IC卡、网银认证服务器进行认证；所述的网银认证服务器，用于建立和网银WEB端之间的安全传输通道，产生依赖于传输层数据的冲击，利用所述冲击对登录网银WEB端的用户、所述用户的金融IC卡读卡器进行身份认证；在传输层认证过程中，所述网银认证服务器，具体用于用TPM中的特定的PCR值对网银认证服务器的密钥对进行解封，建立和网银WEB端之间的安全传输通道；在可信启动的条件下，产生依赖于传输层数据的冲击r1，将签名后的冲击r1和网银认证服务器的数字证书通过网银WEB端、金融IC卡读卡器传输给金融IC卡，根据金融IC卡读卡器返回的用用户的私钥签名后的冲击r1通过Kailar逻辑形式化分析协议对所述用户进行身份认证；所述的网银WEB端，用于用户登录网银web网页，处理金融交易；所述的金融IC卡，用于作为金融交易的用户卡片，内部存储用户的密钥对和卡片主密钥，对所述网银认证服务器进行认证；所述的金融IC卡读卡器，用于通过USB接口和所述网银WEB端连接，对所述金融IC卡进行信息读取，作为所述金融IC卡和网银WEB端之间的信息传输中介。2.根据权利要求1所述的基于可信计算平台的网银交易认证系统，其特征在于：所述的可信计算平台，用于通过基于可信启动的启动链实现，所述启动链包括主引导记录、引导加载程序、OS内核、OS驱动程序，当所述可信启动保证了所述网银认证服务器的整个启动链的完整性和所有启动期间用到的或者执行的文件是完整的后，则确定所述网银认证服务器的验证通过，将所述TPM中的特定的PCR值传输给所述网银认证服务器。3.根据权利要求2所述的基于可信计算平台的网银交易认证系统，其特征在于，在传输层认证过程中，所述的网银WEB端，用于接收用户通过WEB浏览器输入的用户的金融IC卡的PAN号码，使用金融IC卡内部预存的持卡人证书将所述金融IC卡的PAN号码传输给网银认证服务器，建立和网银认证服务器之间的安全传输通道，通过所述安全传输通道将金融IC读卡器传输过来的签名后的r1传输给网银认证服务器；所述的金融IC卡，用于通过TMP读卡器认证所述网银认证服务器的身份，并验证冲击r1为所述网银认证服务器所发且没有修改过后，要求用户通过金融IC读卡器输入金融IC卡的PIN码，对该PIN码进行校验；所述的金融IC读卡器，用于在所述的金融IC卡对所述PIN码进行校验通过后，读取存储在金融IC卡中的用户的签名公钥、私钥，使用用户私钥对冲击r1进行签名，通过所述网银WEB端将签名后的冲击r1传输给所述的网银认证服务器。4.根据权利要求3所述的基于可信计算平台的网银交易认证系统，其特征在于，在传输层认证过程中，所述的网银认证服务器，具体用于设R为参与协议的金融IC卡读卡器；C为参与协议的金融IC卡的用户即金融IC卡；S为参与协议的网银认证服务器；EO...

【专利技术属性】
技术研发人员：王国文，罗世新，何丽，尹刚，袁松龙，
申请(专利权)人：航天信息股份有限公司，
类型：发明
国别省市：北京;11