移动手持设备的识别和通信认证制造技术

提供一种用于认证与用户（7）相关联的移动手持设备（5）和应用服务器（9）之间的通信通道（3），用于唯一识别移动手持设备（5）以及用于加密在通信通道（3）上的移动手持设备（5）和应用服务器（9）之间的通信的系统（1）和方法。系统（1）包括构造为向手持设备（5）和应用服务器（9）颁发数字证书（17、45）的证书机构（11），以及在手持设备（5）和应用服务器（9）上运行的软件应用程序（13、15）。数字证书（17、45）可被手持设备（5）和应用服务器（9）用于彼此间的唯一识别以及交换加密密钥（33、47），通过交换加密密钥（33、47）可进一步加密手持设备（5）和应用服务器（9）之间的通信。

【技术实现步骤摘要】
【国外来华专利技术】移动手持设备的识别和通信认证
本专利技术涉及移动手持设备的识别和认证以及确保移动手持设备和应用服务器之间的通信通道的安全。具体而言，本专利技术涉及用于以允许应用服务器验证移动手持设备的身份的方式（反之亦然）来认证和确保移动手持设备和在线应用服务器之间的在线通信通道的安全的系统和方法。
技术介绍
在现代商业中，越来越多的交易通过在网络（例如，最常见的因特网）上的通信的手段，经由在线应用服务器以电子的方式进行。虽传统上是由通常具有很强处理能力的个人计算机和其它设备进行，但是交易正越来越多地由不必具有相同处理能力的连网移动电话和其它移动手持设备进行。在本说明书的其余部分，术语“移动手持设备”应当被解释为包括任何能够在通信网络（例如，蜂窝式移动网络）上通信并且至少具有有限量的处理能力的移动通信设备。该术语应当被解释为具体包括所有的移动电话或蜂窝式移动电话，但也可以包括例如笔记本电脑、掌上个人电脑等的便携式计算机。然而，使用传统的在线交易的问题在于与在线通信相关联的固有的安全风险。不法经营者不断开发新技术来拦截用户和交易信息并且利用这些信息来欺骗参与者。这种安全威胁的示例包括身份盗窃、中间人（MITM）攻击、网址嫁接、网络钓鱼、空中下载SMS/数据嗅探、第三方基础设施劫持、木马、键盘记录器以及各种这些威胁的组合。为了使在线交易更加安全，已开发了多种安全技术。一种这样的技术（该技术的一个示例被称为双因素认证）利用用户的移动电话作为脱离交易的设备以提供额外的一层安全性。由于假设在用户和他或她的移动电话之间存在着一对一的关系，因此为了使用这种技术，假设用户总是持有电话。短消息服务（SMS）消息是当前优选的用于安全消息的传送机制并且一般以文本消息的形式由服务提供者（例如金融机构）发送至用户的移动电话。消息通常包括单独的、唯一的一次性个人识别码（OTP），之后用户必须手动地将该一次性个人识别码输入它希望访问的安全环境，或在进行安全交易之前连同他或她的正常登陆详细信息。虽然这种技术增加了额外的一层安全性，但其仍然是容易被滥用的，如可以通过例如像SIM卡复制这样的技术来拦截SMS消息。这种技术仍然需要用户将来自手机的8位（或更长）密码输入到网站或它希望进行的其他的安全交易中。这种技术的另一缺点在于，托管安全交易的机构所涉及的成本比较高，因为每次用户需要被认证时，该机构必须通过GSM网络供应商发送SMS消息。在任何特定的会话期间，可能发生多次认证并且每个这样的消息通常将由GSM网络供应商单独计费。本质上，这种类型的双因素认证不完全是真正意义上的“带外”。虽然OTP可能“带外”到达用户的电话上，但是用户必须再次将其输入并在相同的通信频带上传输它，因此使OPT容易被再次拦截。如果正在使用的浏览器或其他通信通道已受到危害，则OTP的传输将同样受到危害。由于移动手持设备越来越多地被用作用于浏览因特网和用于在线交易的设备，因此这种技术的另一个主要缺点才变得明显。大量的移动手持设备不允许用户同时具有多个运行的应用程序。因此，当用户正在手持设备上通过网络浏览器应用程序浏览因特网时，他或她不能接收具有OTP的SMS。这使用户需要在读取SMS和OTP之前关闭浏览器，之后却需要重新启动浏览器以在网站中输入OPT。即使在给定时间可以具有多个活动的应用程序的情况下，应用程序之间的切换也可能是困难且不便的。除了以上所说的之外，已经开发的大多数的安全协议需要大量的处理能力以具有可行性。现今在在线交易中所使用的一种最常见的安全措施是传输层安全（TLS）或它的前身，安全套接层（SSL）。TLS和SSL都被称为密码协议并且用于在应用层加密网络连接的段以确保在传输层上安全的端对端传输。然而，由于各种原因，SSL对于移动手持设备是有问题的，其中一个原因是手持设备一般不具有计算能够用于安全通信的它们自身的私有和公共加密密钥对的处理能力的现象。除了移动手持设备在一些情况下可能无法请求证书之外，在其他情况下处理仍然是复杂且冗长的。此外，大多数移动手持设备根本没有足够的根证书，该根证书预安装在移动手持设备上，以使移动手持设备能够接受由传统的证书机构（CAs）颁发的任何正规的证书子集。由于采用移动手持设备的上述限制和困难，在线应用服务器的运营商（例如银行）通常选择通过彻底地限制能够从用户的移动手持设备进行的在线交易的数量和范围来避免复杂化。这极大地抑制了技术的使用，因为用户仍必须访问个人计算机以利用由大多数在线应用服务器提供的完整的主机服务。
技术实现思路
根据本专利技术，提供了一种用于认证与用户相关联的移动手持设备和应用服务器之间的通信通道，用于唯一识别移动手持设备以及用于加密在通信通道上的用户和应用服务器之间的通信的系统，该系统包括证书机构、安装在移动手持设备上的用户端软件应用程序，以及安装在应用服务器上的服务器端软件应用程序，该系统的特征在于用户端软件应用程序利用由证书机构提供的用户端加密模块并且构造为每当用户端加密模块证实移动手持设备不具有有效的用户证书时（例如，当移动手持设备第一次尝试与应用服务器进行交易时），优选自动地从证书机构请求数字用户证书；证书机构适用于在接收到请求时创建并颁发用户证书给移动手持设备，用户证书包括至少一个与移动手持设备唯一相关联的标识符；服务器端软件应用程序利用由证书机构提供的服务器端加密模块并且构造为从移动手持设备请求并接收用户证书，以利用服务器端加密模块来验证该用户证书源自证书机构，根据在用户证书中的标识符来唯一识别移动手持设备，并且将由证书机构颁发给服务器端软件应用程序的数字服务器证书传输至移动手持设备，在移动手持设备处数字服务器证书被用户端软件应用程序接收并利用用户端加密模块验证数字服务器证书源自证书机构；其中在由服务器端软件应用程序成功验证用户证书以及由用户端软件应用程序成功验证服务器证书时，用户端软件应用程序和服务器端软件应用程序进一步构造为利用它们各自的证书来共享加密密钥（更具体地说，与各自证书相关联的公共和私有密钥对）以提供加密，所述加密密钥对移动手持设备和应用服务器之间的进一步数据加密是有用的。本专利技术的进一步特征为规定数字用户证书和数字服务器证书为X.509证书；规定标识符为由证书机构颁发并分配给移动手持设备的唯一数字密钥；规定服务器证书为包括与应用服务器唯一相关联的服务器标识符，并且通过该标识符移动手持设备可唯一识别应用服务器；以及规定用户和服务器证书为包括利用证书机构私有密钥产生的证书机构签名、相应的证书机构公共密钥，通过该公共密钥签名可被验证为对用户端和服务器端加密模块和/或软件应用程序两者已知。本专利技术的进一步特征为规定用户端和服务器端加密模块为由证书机构提供的集成模块，所述证书机构包含用户和服务器两者的功能；并且规定用户和服务器端加密模块为分别被编译成用户端和服务器端软件应用程序，从而提供附加的加密功能。本专利技术的仍进一步特征为规定证书机构进一步构造为当向移动手持设备颁发用户证书时，为移动手持设备计算用户私有和公共密钥对；通过Diffie-Hellman密钥交换或类似的协议确保证书机构和移动手持设备之间的通信通道的安全；如果Diffie-Hellman密钥交换是成功的，则将用户私有密钥传输至移动手持设备；以及包括在用户本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】2010.09.30 ZA 2010/06995;2011.01.07 ZA 2011/001981.一种用于认证与用户相关联的移动手持设备和应用服务器之间的通信通道、用于唯一识别所述移动手持设备以及用于加密在所述通信通道上的所述移动手持设备和所述应用服务器之间的通信的系统，所述系统包括证书机构、安装在所述移动手持设备上的用户端软件应用程序，以及安装在所述应用服务器上的服务器端软件应用程序，其中所述用户端软件应用程序利用由所述证书机构提供的用户端加密模块并且构造为从所述证书机构请求数字用户证书；所述证书机构适用于在接收到请求时创建并颁发所述用户证书给所述移动手持设备，并且如果所述移动手持设备不具有足够的处理能力来自己计算用户私有和公共密钥对，则为所述移动手持设备计算用户私有和公共密钥对，所述用户证书包括至少一个与所述移动手持设备和用户公共密钥唯一相关联的标识符；所述服务器端软件应用程序利用由所述证书机构提供的服务器端加密模块并且构造为从所述移动手持设备请求并接收所述用户证书，以利用所述服务器端加密模块来验证所述用户证书源自所述证书机构，根据在所述用户证书中的所述标识符来唯一识别所述移动手持设备，并且将由所述证书机构颁发给所述服务器端软件应用程序的数字服务器证书传输至所述移动手持设备，在所述移动手持设备处所述数字服务器证书被所述用户端软件应用程序接收并利用所述用户端加密模块验证所述数字服务器证书源自所述证书机构；以及在由所述服务器端软件应用程序成功验证所述用户证书以及由所述用户端软件应用程序成功验证所述服务器证书时，所述用户端软件应用程序和所述服务器端软件应用程序进一步构造为利用它们各自的证书来共享加密密钥以提供加密，所述加密密钥对所述移动手持设备和所述应用服务器之间的进一步数据加密是有用的。2.根据权利要求1所述的系统，其中，当所述移动手持设备第一次尝试与所述应用服务器进行交易时，所述用户端软件应用程序自动地从所述证书机构请求所述数字用户证书。3.根据权利要求1所述的系统，其中，所述用户端软件应用程序和所述服务器端软件应用程序进一步构造为利用与它们各自的证书相关联的公共和私有密钥对共享加密密钥。4.根据权利要求1所述的系统，其中，所述标识符为由所述证书机构颁发并分配给所述移动手持设备的唯一数字密钥。5.根据权利要求1所述的系统，其中，所述服务器证书包括与所述应用服务器唯一相关联的服务器标识符，并且通过所述服务器标识符所述移动手持设备能够唯一识别所述应用服务器。6.根据权利要求1所述的系统，其中，所述用户和服务器证书包括利用证书机构私...

【专利技术属性】
技术研发人员：C·J·P·布兰德，A·S·范托德，D·J·穆勒，
申请(专利权)人：因特塞克特国际有限公司，
类型：
国别省市：