账户信息与证书绑定的系统和方法

1.一种账户信息与证书绑定的系统，其特征在于，包括：
绑定设备，分别与所述绑定设备相连接的信息安全设备和应用终端；其中，所述信息安全设备，用于存储证书和密钥对，并执行智能密钥运算；
所述绑定设备，用于生成账户信息、将所述账户信息与所述信息安全设备的证书的标识信息进行绑定生成第一数据包，接收所述信息安全设备利用私钥对所述第一数据包进行签名后生成的第二数据包，并将所述第一数据包和所述第二数据包及所述信息安全设备的证书信息发送到应用终端；
所述应用终端，用于接收所述绑定设备发送的信息，验证所述第二数据包的有效性。
2.根据权利要求1所述的账户信息与证书绑定的系统，其特征在于，
所述绑定设备包括：
网络接口控制单元，用于与所述应用终端进行连接；
USB接口单元，用于与所述信息安全设备进行连接；
绑定单元，用于将所述账户信息与所述信息安全设备的证书的标识信息进行绑定。
3.根据权利要求2所述的账户信息与证书绑定的系统，其特征在于，
所述网络接口控制单元包括：
网络接口模块，用于与所述应用终端进行连接；
网络控制模块，用于控制所述绑定设备执行网络操作。
4.根据权利要求2所述的账户信息与证书绑定的系统，其特征在于，
所述绑定单元包括：
查找模块，用于查找所述信息安全设备的证书的标识信息和所述信息安全设备中的密钥对；
生成模块，用于根据初始用户信息生成账户信息，并根据所述账户信息、所述信息安全设备的证书的标识信息生成第一数据包。
存储模块，用于存储所述信息安全设备的证书信息、所述信息安全设备的证书的标识信息、所述信息安全设备的私钥对所述第一数据包进行签名后生成的第二数据包。
5.根据权利要求4所述的账户信息与证书绑定的系统，其特征在于，
所述生成模块具体包括：
账户信息生成子模块，用于根据初始用户信息生成账户信息；
第一数据包生成子模块，用于根据所述账户信息、所述信息安全设备的证书的标识信息生成第一数据包。
6.根据权利要求1所述的账户信息与证书绑定的系统，其特征在于，
所述信息安全设备包括：
第一接口单元，用于与所述绑定设备连接；
第一存储单元，用于存储密钥对、密钥生成算法、所述信息安全设备的证书的标识信息和证书信息；
生成单元，用于根据密钥生成算法生成密钥对；
签名单元，用于利用所述信息安全设备的私钥对所述绑定设备生成的第一数据包进行签名，生成第二数据包，并将所述第二数据包发送给所述绑定设备。
7.根据权利要求1所述的账户信息与证书绑定的系统，其特征在于，
所述应用终端包括：
第二接口单元，用于与所述绑定设备连接；
第二存储单元，用于存储所述绑定设备发送的第一数据包、第二数据包和所述信息安全设备的证书信息；
解析验证单元，用于解析和处理所述绑定设备发送的第二数据包，并验证所述第二数据包的有效性。
8.根据权利要求7所述的账户信息与证书绑定的系统，其特征在于，所述解析验证单元验证所述第二数据包的有效性具体为：利用所述信息安全设备的公钥验证所述第二数据包的签名的有效性，当验证所述第二数据包的签名有效时，通知所述第二存储单元存储所述第二数据包；当验证所述第二数据包的签名无效时，则提示出错信息。
9.根据权利要求8所述的账户信息与证书绑定的系统，其特征在于，当所述解析验证单元验证所述第二数据包的签名有效时，所述应用终端向所述绑定设备发送验证通过消息，所述绑定设备接收到所述验证通过消息后，将所述第二数据包存储到所述信息安全设备中。
10.根据权利要求1所述的账户信息与证书绑定的系统，其特征在于，
所述信息安全设备的证书的标识信息为证书序列号，所述证书序列号与所述信息安全设备的序列号一致。
11.根据权利要求1所述的账户信息与证书绑定的系统，其特征在于，所述信息安全设备的证书信息包括：所述密钥对中的公钥、证书全文。
12.一种账户信息与证书绑定的方法，其特征在于，包括：
绑定设备将用户的账户信息与信息安全设备的证书的标识信息绑定后生成第一数据包，接收所述信息安全设备利用密钥对中的私钥对所述第一数据包进行签名后生成的第二数据包，并将所述第一数据包和所述第二数据包及所述信息安全设备的证书信息发送到应用终端；
所述应用终端接收所述绑定设备发送的信息，验证所述第二数据包的有效性。
13.根据权利要求12所述的账户信息与证书绑定的方法，其特征在于，所述信息安全设备的证书信息包括：所述密钥对中的公钥、证书全文。
14.根据权利要求12所述的账户信息与证书绑定的方法，其特征在于，在所述绑定设备将用户的账户信息与信息安全设备的证书的标识信息绑定后生成第一数据包之前还包括：所述绑定设备生成账户信息，具体为：所述绑定设备根据用户提交的初始用户信息生成账户信息，或所述绑定设备调取存储在所述绑定设备内的账户信息。
15.根据权利要求12所述的账户信息与证书绑定的方法，其特征在于，所述应用终端接收所述绑定设备发送的信息，验证所述第二数据包的有效性的过程具体为：
所述应用终端从所述信息安全设备的证书信息中获取所述信息安全设备的公钥，利用所述信息安全设备的公钥验证所述第二数据包的签名的有效性，若验证所述第二数据包的签名有效，则存储所述绑定设备发送的信息，否则提示出错信息。
16.根据权利要求12所述的账户信息与证书绑定的方法，其特征在于，
当所述应用终端验证所述第二数据包的签名有效时，所述应用终端向所述绑定设备发送验证通过消息，所述绑定设备接收到所述验证通过消息后，将所述第二数据包存储到所述信息安全设备中；当所述应用终端验证所述第二数据包的签名无效时，则提示出错信息。
17.根据权利要求12所述的账户信息与证书绑定的方法，其特征在于，
所述信息安全设备的证书的标识信息为证书序列号，所述证书序列号与所述信息安全设备的序列号一致。

账户信息与证书绑定的系统和方法\n技术领域\n[0001] 本发明涉及信息安全领域，尤其涉及账户信息与证书绑定的系统和方法。\n背景技术\n[0002] 随着信息网络技术的高速发展，网络安全问题已经成为目前最大的网络安全隐患，网上银行、网络游戏、支付平台、网上证券交易等各方面，密码无处不在，带给人们更多的安全。但是密码在给人们必要的安全保障的同时，也存在一些问题，一旦密码丢失或被盗，则带来很多的麻烦。现有技术中时常发生的网络密码被盗，木马病毒，自我保护意识差被网络钓鱼，或者密码被暴力破解等都是造成密码安全问题的因素，为此有必要采取一些密码安全的保障措施，为保护网上密码增设一道屏障。信息安全设备(也称智能密钥装置)是一种通过标准的个人主机接口，如通用串行总线(Universal Serial Bus，以下简称USB)接口等，提供信息加密处理的便携式设备，利用它能够提高身份认证强度，它内置单片机或智能卡芯片，可以存储密钥或数字证书，利用其内置的密码算法可以对信息加密或进行身份识别等。信息安全设备具有公钥基础设施(PublicKey Infrastructure，PKI)应用、数字签名、信息加密、安全网络登录和访问安全套接层(Secure Sockets Layer，以下简称SSL)安全网络等功能，并且具有保证用户的私钥永远不离开硬件的特征，同时信息安全设备还具有物理上防止非法获取其内部敏感信息等特性。\n[0003] PKI是利用公钥理论和技术建立的提供安全服务的基础设施。用户可利用PKI平台提供的服务进行安全的电子交易、通信和互联网上的各种活动。PKI技术采用证书管理公钥，通过第三方的可信任机构认证中心把用户的公钥和用户的其他标识信息捆绑在一起，在互联网上验证用户的身份。目前，通用的办法是采用建立在PKI基础之上的数字证书，通过把要传输的数字信息进行加密和签名，保证信息传输的机密性、真实性、完整性和不可否认性，从而保证信息的安全传输。PKI是基于公钥算法和技术，为网上通信提供安全服务的基础设施。是创建、颁发、管理、注销公钥证书所涉及到的所有软件、硬件的集合体。其核心元素是数字证书，核心执行者是认证机构。认证中心是一个负责发放和管理数字证书的权威机构。认证中心通常采用多层次的分级结构，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。认证中心的主要功能：证书的颁发、证书的更新、证书的查询、证书的作废、证书的归档。\n[0004] 现有技术中，用户信息安全设备的持有者通常执行如下步骤来获得合法的数字证书：首先向认证中心提出申请，将用户身份信息和信息安全设备的硬件信息发送给认证中心；认证中心判明申请者的身份之后，便为他分配一个公钥，并且认证中心将该公钥与申请者的身份信息及信息安全设备的硬件信息绑在一起，并为之签字后，便形成证书发给信息安全设备的持有者。这样一来，该智能密钥装置中便保存了认证中心颁发的证书。\n[0005] 由认证中心签发证书，将公钥和账户绑定，以网银服务为例，在这样的过程中往往是用户在银行的营业网点开通一个网银账户，先向安全中心登记这个网银账户，安全终端为这个网银账户分配一个账户号和一个验证码，用户获得信息安全设备、用户账号和验证码后，通过互联网自己下载证书，用户在下载证书的过程中，如出现如网络通信故障、计算环境故障、未遵守使用方针等因素，就将导致证书下载失败。一旦失败，就将通知安全中心来重新审核这个网银账户，或者要这个申请失效。在实现上述用户获得证书的过程中，发明人发现现有技术中至少存在如下问题：一方面，用户在拿到信息安全设备后，必须通过计算机网络执行证书下载的过程，这种操作易出错，且用户无法在第一时间获取合法的数字证书，增加了用户的操作繁琐性；另一方面，用户因通过不安全的网络下载证书，从而产生了个人私密信息被截获的安全隐患。\n发明内容\n[0006] 本发明提供一种账户信息与证书绑定的系统和方法，用户无需通过互联网即可直接获取将用户的账户信息与证书绑定的信息安全设备，保障了用户私密信息的安全性。\n[0007] 为达到上述目的，本发明的实施例采用如下技术方案：\n[0008] 一种账户信息与证书绑定的系统，包括：\n[0009] 绑定设备，分别与所述绑定设备相连接的信息安全设备和应用终端；其中，[0010] 所述信息安全设备，用于存储证书和密钥对，并执行智能密钥运算；\n[0011] 所述绑定设备，用于生成账户信息、将所述账户信息与所述信息安全设备的证书的标识信息进行绑定生成第一数据包，接收所述信息安全设备利用私钥对所述第一数据包进行签名后生成的第二数据包，并将所述第一数据包和所述第二数据包及所述信息安全设备的证书信息发送到应用终端；\n[0012] 所述应用终端，用于接收所述绑定设备发送的信息，验证所述第二数据包的有效性。\n[0013] 进一步地，所述绑定设备包括：\n[0014] 网络接口控制单元，用于与所述应用终端进行连接；\n[0015] USB接口单元，用于与所述信息安全设备进行连接；\n[0016] 绑定单元，用于将所述账户信息与所述信息安全设备的证书的标识信息进行绑定。\n[0017] 进一步地，所述网络接口控制单元包括：\n[0018] 网络接口模块，用于与所述应用终端进行连接；\n[0019] 网络控制模块，用于控制所述绑定设备执行网络操作。\n[0020] 所述绑定单元包括：\n[0021] 查找模块，用于查找所述信息安全设备的证书的标识信息和所述信息安全设备中的密钥对；\n[0022] 生成模块，用于根据初始用户信息生成账户信息，并根据所述账户信息、所述信息安全设备的证书的标识信息生成第一数据包；\n[0023] 存储模块，用于存储所述信息安全设备的证书信息、所述信息安全设备的证书的标识信息、所述信息安全设备的私钥对所述第一数据包进行签名后生成的第二数据包；\n[0024] 进一步地，所述生成模块具体包括：\n[0025] 账户信息生成子模块，用于根据初始用户信息生成账户信息；\n[0026] 第一数据包生成子模块，用于根据所述账户信息、所述信息安全设备的证书的标识信息生成第一数据包。\n[0027] 进一步地，所述信息安全设备包括：\n[0028] 第一接口单元，用于与所述绑定设备连接；\n[0029] 第一存储单元，用于存储密钥对、密钥生成算法、所述信息安全设备的证书的标识信息和证书信息；\n[0030] 生成单元，用于根据密钥生成算法生成密钥对；\n[0031] 签名单元，用于利用所述信息安全设备的私钥对所述绑定设备生成的第一数据包进行签名，生成第二数据包，并将所述第二数据包发送给所述绑定设备。\n[0032] 进一步地，所述应用终端包括：\n[0033] 第二接口单元，用于与所述绑定设备连接；\n[0034] 第二存储单元，用于存储所述绑定设备发送的第一数据包、第二数据包和所述信息安全设备的证书信息；\n[0035] 解析验证单元，用于解析和处理所述绑定设备发送的第二数据包，并验证所述第二数据包的有效性。\n[0036] 进一步地，所述解析验证单元验证所述第二数据包的有效性具体为：利用所述信息安全设备的公钥验证所述第二数据包的签名的有效性，当验证所述第二数据包的签名有效时，通知所述第二存储单元存储所述第二数据包；当验证所述第二数据包的签名无效时，则提示出错信息。\n[0037] 进一步地，当所述解析验证单元验证所述第二数据包的签名有效时，所述应用终端向所述绑定设备发送验证通过消息，所述绑定设备接收到所述验证通过消息后，将所述第二数据包存储到所述信息安全设备中。\n[0038] 进一步地，所述信息安全设备的证书的标识信息为证书序列号，所述证书序列号与所述信息安全设备的序列号一致。\n[0039] 进一步地，所述信息安全设备的证书信息包括：所述密钥对中的公钥、证书全文。\n[0040] 本发明提供一种账户信息与证书绑定的系统，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，保障了用户私密信息的安全性。\n[0041] 一种账户信息与证书绑定的方法，包括：\n[0042] 绑定设备将用户的账户信息与信息安全设备的证书的标识信息绑定后生成第一数据包，接收所述信息安全设备利用密钥对中的私钥对所述第一数据包进行签名后生成的第二数据包，并将所述第一数据包和所述第二数据包及所述信息安全设备的证书信息发送到应用终端；\n[0043] 所述应用终端接收所述绑定设备发送的信息，验证所述第二数据包的有效性。\n[0044] 进一步地，所述信息安全设备的证书信息包括：所述密钥对中的公钥、证书全文。\n[0045] 进一步地，在所述绑定设备将用户的账户信息与信息安全设备的证书的标识信息绑定后生成第一数据包之前还包括：所述绑定设备生成账户信息，为：所述绑定设备根据用户提交的初始用户信息生成账户信息，或所述绑定设备调取存储在所述绑定设备内的账户信息。\n[0046] 进一步地，所述应用终端接收所述绑定设备发送的信息，验证所述第二数据包的有效性的过程具体为：\n[0047] 所述应用终端从所述信息安全设备的证书信息中获取所述信息安全设备的公钥，利用所述信息安全设备的公钥验证所述第二数据包的签名的有效性，若验证所述第二数据包的签名有效，则存储所述绑定设备发送的信息，否则提示出错信息。\n[0048] 进一步地，当所述应用终端验证所述第二数据包的签名有效时，则所述应用终端向所述绑定设备发送验证通过消息，所述绑定设备接收到所述验证通过消息后，将所述第二数据包存储到所述信息安全设备中；当所述应用终端验证所述第二数据包的签名无效时，则提示出错信息。\n[0049] 进一步地，所述信息安全设备的证书的标识信息为证书序列号，所述证书序列号与所述信息安全设备的序列号一致。\n[0050] 本发明实施例提供一种账户信息与证书绑定的方法，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，操作简单，保障了用户私密信息的安全性。\n附图说明\n[0051] 图1为本发明实施例一提供的账户信息与证书绑定的系统结构示意图；\n[0052] 图2为本发明实施例二提供的账户信息与证书绑定的系统结构示意图；\n[0053] 图3为本发明实施例三提供的账户信息与证书绑定的方法流程图；\n[0054] 图4为本发明实施例四提供的账户信息与证书绑定的方法流程图。\n具体实施方式\n[0055] 本发明提供一种账户信息与证书绑定的系统和方法，用户不通过网络就可以直接获取将账户信息和证书绑定的信息安全设备，操作安全简单。下面结合附图对本发明实施例的账户信息与证书绑定的系统和方法进行详细描述。\n[0056] 实施例一：\n[0057] 如图1所示，本发明实施例提供的账户信息与证书绑定的系统包括：绑定设备1，分别与绑定设备1相连的信息安全设备2和应用终端3；其中，信息安全设备2，用于存储证书和密钥对，并执行智能密钥运算；绑定设备1用于生成账户信息、将账户信息与信息安全设备2的证书的标识信息进行绑定生成第一数据包，接收信息安全设备2利用私钥对第一数据包进行签名后生成的第二数据包，并将第一数据包和第二数据包及信息安全设备2的证书信息发送到应用终端3；应用终端3，用于接收绑定设备1发送的信息，验证第二数据包的有效性。\n[0058] 本发明实施例提供一种账户信息与证书绑定的系统，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，保障了用户私密信息的安全性。\n[0059] 实施例二：\n[0060] 在实施例一的基础上，进一步地，绑定设备1包括：网络接口控制单元11，用于与应用终端3进行连接；USB接口单元12，用于与信息安全设备2进行连接；绑定单元13，用于将用户的账户信息与信息安全设备2的证书的标识信息进行绑定。\n[0061] 进一步地，网络接口控制单元11包括：网络接口模块111，用于与应用终端3进行连接；网络控制模块112，用于控制绑定设备1执行网络操作。\n[0062] 进一步地，绑定单元13包括：查找模块131，用于查找信息安全设备2的证书的标识信息和信息安全设备2中的密钥对；生成模块132，用于根据初始用户信息生成账户信息，并根据账户信息、信息安全设备2的证书的标识信息生成第一数据包；存储模块133，用于存储信息安全设备2的证书信息、信息安全设备2的证书的标识信息、信息安全设备2的私钥对第一数据包进行签名后生成的第二数据包。\n[0063] 进一步地，生成模块132包括：账户信息生成子模块1321，用于根据初始用户信息生成账户信息；第一数据包生成子模块1322，用于根据账户信息、信息安全设备2的证书的标识信息生成第一数据包。\n[0064] 进一步地，信息安全设备2包括：第一接口单元21，用于与绑定设备1连接；第一存储单元22，用于存储密钥对、密钥生成算法，信息安全设备2的证书的标识信息和证书信息；生成单元23，用于根据密钥生成算法生成密钥对；签名单元24，用于利用信息安全设备\n2的私钥对绑定设备1生成的第一数据包进行签名，生成第二数据包，并将第二数据包发送给绑定设备1。\n[0065] 进一步地，应用终端3包括：第二接口单元31，用于与绑定设备1连接；第二存储单元32，用于存储绑定设备1发送的第一数据包、第二数据包和信息安全设备2的证书信息；解析验证单元33，用于解析和处理绑定设备1发送的第二数据包，并验证所述第二数据包的有效性。其中，解析验证单元33验证第二数据包的有效性具体为：利用信息安全设备\n2的公钥验证第二数据包的签名的有效性，当验证第二数据包的签名有效时，则通知第二存储单元存储第二数据包；当验证第二数据包的签名无效时，则提示出错信息。\n[0066] 或者，当解析验证单元33验证第二数据包的签名有效时，应用终端3向绑定设备\n1发送验证通过消息，绑定设备1接收到验证通过消息后，将第二数据包存储到信息安全设备2中。需要说明的是，信息安全设备2的证书的标识信息为证书序列号，该证书序列号与信息安全设备2的序列号一致。信息安全设备2的证书信息包括：密钥对中的公钥、证书全文。\n[0067] 本发明实施例提供一种账户信息与证书绑定的系统，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，操作简单，且保障了用户私密信息的安全性。\n[0068] 实施例三：\n[0069] 如图3所示，本实施例提供一种账户信息与证书绑定的方法，包括：\n[0070] 步骤1001、绑定设备将用户的账户信息与信息安全设备的证书的标识信息绑定后生成第一数据包，接收信息安全设备利用密钥对中的私钥对第一数据包进行签名后生成的第二数据包，并将第一数据包和第二数据包及信息安全设备的证书信息发送到应用终端；\n[0071] 步骤1002、应用终端接收所述绑定设备发送的信息，验证第二数据包的有效性。\n[0072] 本实施例提供一种账户信息与证书绑定的方法，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，操作简单，保障了用户私密信息的安全性。\n[0073] 实施例四：\n[0074] 如图4所示，本实施例提供一种账户信息与证书绑定的方法，在本实施例中，信息安全设备为USB Key，应用终端为网络银行应用终端，该系统应用在网络银行环境中，来进行具体说明网络银行的信息安全设备如何实现将用户的账户信息和USB Key的证书进行绑定的流程，即一种账户信息与证书绑定的方法，具体实现步骤如下：\n[0075] 步骤2001、用户向绑定设备提交用户的初始用户信息；\n[0076] 步骤2002、绑定设备根据初始用户信息生成包括用户ID、用户密码在内的账户信息；\n[0077] 在本实施例中，账户信息还可以预先存储在绑定设备内部的数据库中，则本步骤为绑定设备调取存储在绑定设备内的账户信息。\n[0078] 步骤2003、绑定设备利用账户信息和USB Key的证书的标识信息生成第一数据包，并将第一数据包发送给USB Key；\n[0079] 进一步地，第一数据包还包括USB Key的证书的标识信息、USB Key的密钥对中的公钥。USB Key的证书的标识信息具体为序列号，该序列号与USB Key的序列号一致，该序列号可以为：字母信息、数字信息、自带校验位的信息及字母信息、数字信息、自带校验位的信息集合，在本实施例中，USB Key的序列号具体为数字信息。\n[0080] 步骤2004、USB Key利用密钥对中的私钥对第一数据包进行签名生成第二数据包，并将第二数据包发送给绑定设备；\n[0081] 步骤2005、绑定设备将第一数据包和第二数据包及USB Key的证书信息发送到网络银行应用终端；\n[0082] USB Key的证书信息包括：密钥对中的公钥、证书全文。\n[0083] 步骤2006、网络银行应用终端从USB Key的证书信息中获取USB Key的公钥，并利用USB Key的公钥验证第二数据包的签名是否有效；若是，则执行步骤2007，若否，则执行步骤2009；\n[0084] 在本步骤中，当网络银行应用终端验证第二数据包的签名有效时，还可以是，应用终端向绑定设备发送验证通过消息，绑定设备接收到验证通过消息后，将第二数据包存储到信息安全设备中。\n[0085] 步骤2007、网络银行应用终端将绑定设备发送的信息存储到数据库中；\n[0086] 在本实施例中，本步骤还可以为：网络银行应用终端向绑定设备发送验证通过消息，绑定设备接收到验证通过消息后，将第二数据包存储到USB Key中。\n[0087] 步骤2008、用户通过绑定设备获取绑定账户信息及证书的USB Key，执行安全操作；\n[0088] 步骤2009、网络银行应用终端提示出错信息。\n[0089] 本发明实施例提供了一种账户信息与证书绑定的方法，通过绑定设备将账户信息与证书绑定，用户可以直接获取绑定了账户信息与证书的信息安全设备，操作简单，保障了用户私密信息的安全性。\n[0090] 以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。