不同实体间的系统安全对接方法及其系统技术方案

本发明专利技术提供了一种不同实体间的系统安全对接方法及其系统，涉及计算机系统领域。具体的方法包括建立不同实体系统间多个HTTPS安全传输的通道，并采用自签CA证书机制进行双向通讯验证，同时在不同实体系统应用层之间的数据传输采用密码加密、解密、签名及验证，本发明专利技术通过互联网模式对接，使用自签证书建立实体间https通道，不再使用专线，不再从第三方安全公司厂商购买证书，对于中小企业实体对接节省费用。系统应用层安全采用自主设计的安全方案，遵循商密安全的规范要求，安全传输方面三个重要的技术指标都已满足。要的技术指标都已满足。要的技术指标都已满足。

【技术实现步骤摘要】
不同实体间的系统安全对接方法及其系统


[0001]本专利技术涉及计算机系统领域，具体而言，涉及一种不同实体间的系统安全对接方法、系统。

技术介绍

[0002]近年，在信息系统上不同实体系统间数据信息的传输需要满足身份鉴别、数据传输的机密性、数据传输的完整性、数据原发抗抵赖和数据接收抗抵赖等安全指标。
[0003]数据传输的机密性方面，首先，建立双方安全传输的通道十分重要，业界一般采用运营商专线连接、https、VPN等建立数据加密传输的通道。https基于CA证书机制，一般使用第三方公司为不同实体颁发的CA证书实现，CA证书由认证机构服务者签发，网上实体身份的证明，能够证明某一实体的身份及其公钥的合法性。https超文本传输安全协议则是在HTTP协议的基础上加入SSL，保证数据传输的安全性。
[0004]VPN一般也会采用第三方产品。此外，在建立安全通道的基础上，系统应用处理上一般采用3DES、AES等国际对称算法通过第三方厂商的硬件设备(密码机/密码卡)实现加解密，发送方对源数据加密后得到密文，接收方收到密文后解密还原源数据。
[0005]数据的完整性上，早期系统主要采用MD5、SHA等国际算法通过调用第三方厂商的硬件设备(密码机/密码卡)接口实现，发送方对传输源数据生成MAC值，连同源数据一起发送，接收方收到后对收到的数据再计算MAC值，与发送方比对。
[0006]数据的抗抵赖方面，业内系统一般通过数字签名与验证实现，算法上使用RSA、SHA等国际算法。发送方对源数据使用自身私钥计算签名，源数据和签名一起发送，接收方收到后再使用发送方的公钥验证签名是否发送方签发。
[0007]目前现有的信息系统在安全密码方面的现状，存在如下问题：
[0008]1)在安全通道的建立方面，专线使用成本高，第三方CA证书及VPN产品的使用都存在额外费用问题，对于中小实体间对接交互成本相对较高。
[0009]2)在应用层满足数据安全传输的三要素方面，早期系统或存量系统间仍使用国际算法，或仅满足部分要素，如：未使用数字签名，缺乏系统间的互信认证，极端情况下可能导致一方对业务交易抵赖现象，甚至某些早期系统间数据传输使用明文交互等等，这些都不满足商用密码的要求，存在改造需求。
[0010]3)系统在互联网安全通讯过程中仅使用单向认证，如：浏览器—服务器模式，只需要客户端浏览器验证服务端证书，服务端不需要验证客户端证书。

技术实现思路

[0011]针对上述
技术介绍
中存在的问题，本专利技术实施例提供一种不同实体间的系统安全对接方法、系统、终端设备、存储介质及产品，旨在针对两个或多个不同实体通过互联网对接的需求，采用自签的CA证书建立实体间数据安全传输的通道，并使用SM4、SM2等算法实现传输数据的加解密、MAC生成与校验、签名与验证，满足人行对系统间数据传输机密性、完整
性和抗抵赖要求。
[0012]一种不同实体间的系统安全对接方法，具体步骤包括：
[0013]建立不同实体系统间多个HTTPS安全传输的通道，并采用自签CA证书机制进行双向通讯验证，同时在不同实体系统应用层之间的数据传输采用密码加密、解密、签名及验证；
[0014]所述采用自签CA证书机制进行双向通讯验证的步骤包括证书的生成与颁发，以及双向通讯验证；
[0015]证书的生成与颁发：具体的选取一台与互联网隔离的服务器作为证书服务器，使用OpenSSL工具生成CA根证书，包含CA的公钥证书ca.crt和私钥ca.key，在A系统服务器上使用OpenSSL工具生成A的私钥a.key和证书请求文件a.csr，并在证书服务器上签发出实体A的证书文件a.crt，随后在与A系统进行对接的B1系统服务器上使用OpenSSL工具生成B1的私钥b1.key和证书请求文件b1.csr，并在证书服务器上签发出实体B1的证书文件b1.crt；将CA公钥证书、A的私钥及证书安装到A系统，将信任证书、B1的私钥及证书文件安装到B1系统；
[0016]双向验证：在交互通讯时，A作为客户端，不仅要验证B1服务器是否可靠，而且B1服务器需要验证A证书是否可信；
[0017]在不同实体系统应用层之间的数据传输采用密码加密、解密、签名及验证的步骤包括：秘钥的生成与管理、业务交易过程中的加解密、MAC生成与校验、签名及验证。
[0018]进一步的：所述的秘钥的生成与管理使用ECC椭圆算法生成各个实体的公钥和私钥，具体的生成A的秘钥对a.prv、a.pub，将公钥a.pub发送A的对接实体B1；生成B1的秘钥对b1.prv、b1.pub，将B1公钥b1.pub发送给A并导入系统。
[0019]进一步的：所述的秘钥对采用SM4算法随机生成，在使用接收方的公钥加密后，连同业务交易报文发送到接收方，接收方使用自己的私钥解密得到对称秘钥，具体的当A请求B1时，A生成秘钥K，并使用b1.pub对K加密得到Kc，B1在收到请求后，使用b1.prv对Kc解密得到明文K
’
(K
’
＝K)；同理，B1在同步返回应答给A时，B1生成新的随机秘钥K1，使用a.pub对K1加密得到K1c，A在收到应答后，使用a.prv对K1c解密得到K1
’
(K1
’
＝K1)。
[0020]进一步的：所述业务交易过程中的加解密过程，具体的当A请求B1时，A使用上述的秘钥K对全量请求数据D加密得到密文Dc，B1使用秘钥K
’
对请求数据密文Dc解密得到D
’
(D＝D
’
)；B1在同步返回应答给A时，B1使用上述的随机秘钥K1对应答数据D1加密得到密文D1c，A使用秘钥K1
’
对D1c解密得到D1
’
(D1＝D1
’
)。
[0021]进一步的：所述业务交易过程中MAC生成与校验过程，具体的当A请求B1时，A对全量请求数据D采用SM3算法计算出hash值作为生成的MAC值M，同样B1对请求数据D
’
计算出MAC值M
’
，然后判断M与M
’
是否相等，如果不等，则认为请求数据D在传输过程中数据丢失或被篡改；B1在同步返回应答给A时，B1对D1计算出M1，A对D1
’
计算出M1
’
,然后判断M1与M1
’
是否相等。
[0022]进一步的：所述业务交易过程中的签名及验证过程，具体的当A请求B1时，A对全量请求数据D使用自身私钥a.prv采用SM2算法计算出签名值S，B1会对D
’
使用A的公钥a.pub解密，以验证签名值S是A签发；B1在同步返回应答给A时，B1使用b1.prv对D1计算得到S1，A对D1
’
使用b1.pub验证签名值S1。
[0023]进一步的：一种不同实体间的系统安全对接系统，包括：证书的生成与颁发模块本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种不同实体间的系统安全对接方法，其特征在于，具体步骤包括：建立不同实体系统间多个HTTPS安全传输的通道，并采用自签CA证书机制进行双向通讯验证，同时在不同实体系统应用层之间的数据传输采用密码加密、解密、签名及验证；所述采用自签CA证书机制进行双向通讯验证的步骤包括证书的生成与颁发，以及双向通讯验证；证书的生成与颁发：具体的选取一台与互联网隔离的服务器作为证书服务器，使用OpenSSL工具生成CA根证书，包含CA的公钥证书ca.crt和私钥ca.key，在A系统服务器上使用OpenSSL工具生成A的私钥a.key和证书请求文件a.csr，并在证书服务器上签发出实体A的证书文件a.crt，随后在与A系统进行对接的B1系统服务器上使用OpenSSL工具生成B1的私钥b1.key和证书请求文件b1.csr，并在证书服务器上签发出实体B1的证书文件b1.crt；将CA公钥证书、A的私钥及证书安装到A系统，将信任证书、B1的私钥及证书文件安装到B1系统；双向验证：在交互通讯时，A作为客户端，不仅要验证B1服务器是否可靠，而且B1服务器需要验证A证书是否可信；在不同实体系统应用层之间的数据传输采用密码加密、解密、签名及验证的步骤包括：秘钥的生成与管理、业务交易过程中的加解密、MAC生成与校验、签名及验证；所述业务交易过程中的加解密过程，具体的当A请求B1时，A使用上述的秘钥K对全量请求数据D加密得到密文Dc，B1使用秘钥K
’
对请求数据密文Dc解密得到D
’
(D＝D
’
)；B1在同步返回应答给A时，B1使用上述的随机秘钥K1对应答数据D1加密得到密文D1c，A使用秘钥K1
’
对D1c解密得到D1
’
(D1＝D1
’
)。2.根据权利要求1所述的方法，其特征在于，所述的秘钥的生成与管理使用ECC椭圆算法生成各个实体的公钥和私钥，具体的生成A的秘钥对a.prv、a.pub，将公钥a.pub发送A的对接实体B1；生成B1的秘钥对b1.prv、b1.pub，将B1公钥b1.pub发送给A并导入系统。3.根据权利要求2所述的方法，其特征在于，所述的秘钥对采用SM4算法随机生成，在使用接收方的公钥加密后，连同业务交易报文发送到接收方，接收方使用自己的私钥解密得到对称秘钥，具体的当A请求B1时，A生成秘钥K，并使用b1.pub对K加密得到Kc，B1在收到请求后，使用b1.prv对Kc解密得到明文K
’
(K
’
＝K)；同理，B1在同步返回应答给A时，B1生成新的随机秘钥K1，使用a.pub对K1加密...

【专利技术属性】
技术研发人员：陈增伟，
申请(专利权)人：建信金融科技有限责任公司，
类型：发明
国别省市：