專利名稱：用智能卡實現(xiàn)的安全一卡通系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及的是一種一卡通系統(tǒng)，特別是一種用智能卡實現(xiàn)的安全一卡通系統(tǒng)，屬于信息安全技術領域。
背景技術：
隨著網(wǎng)絡技術的發(fā)展，企事單位信息化建設程度的不斷提高，企業(yè)中的應用系統(tǒng)也越來越多。這些應用系統(tǒng)大多基于網(wǎng)絡而實現(xiàn)，因而也面臨著信息安全的問題。北京理工大學學報2002年4月出版的“基于公開密鑰基礎設施的單點登錄系統(tǒng)的設計”(作者李小平)公開了一種采用傳統(tǒng)安全策略的系統(tǒng)，各應用系統(tǒng)需各自維護自己的安全策略，包括組織結(jié)構(gòu)定義，安全角色定義，用戶身份驗證，資源訪問控制等。由于各應用系統(tǒng)互相獨立，用戶在使用每一應用系統(tǒng)之前，都必須按照相應的系統(tǒng)身份進行系統(tǒng)登陸。這樣應用系統(tǒng)安全性提高了，但同時也給用戶帶來了不小的麻煩。用戶必須要記住不同應用系統(tǒng)登陸所需要的用戶名及其對應的口令，系統(tǒng)越多用戶名和口令越多。若用戶將所有系統(tǒng)的帳號統(tǒng)一為同一個用戶名和口令，勢必帶來很大的安全隱患，一旦用戶將用戶名和口令忘記，就不能登陸任何應用系統(tǒng)；同時若某一應用系統(tǒng)的口令被攻破，則用戶所有應用系統(tǒng)中的信息都會受到威脅。相反，若各個應用系統(tǒng)都采用不同的用戶名和口令，記憶多組用戶名和口令又會給用戶帶來很大的困難。有的用戶將各個用戶名和口令記錄在紙上的方法來幫助記憶，但由于保管不善，經(jīng)常造成嚴重的泄密事故。“單點登陸”技術可以使用戶在特定的邏輯安全區(qū)域中，只需進行一次登陸即可在訪問在此邏輯安全區(qū)域中不同應用系統(tǒng)中的被授權的資源，只有超越了安全區(qū)域邊緣時才要求再次登陸。但特定的邏輯安全區(qū)域范圍有限，有的在產(chǎn)品自身環(huán)境范圍內(nèi)，有的只限于特定系統(tǒng)環(huán)境之間。對于跨多個產(chǎn)品，多個系統(tǒng)環(huán)境則無法實現(xiàn)?！皢吸c登陸”技術也不能將企事業(yè)單位原有各種的應用系統(tǒng)將其集成起來。另外，“單點登陸”技術僅僅解決應用系統(tǒng)的登陸問題，對于應用系統(tǒng)中文件的加解密問題也無法解決。

發(fā)明內(nèi)容
本發(fā)明的目的在于克服現(xiàn)有技術中的不足，提供一種用智能卡實現(xiàn)的安全一卡通系統(tǒng)，不僅免除了用戶記憶多個用戶名、口令和密碼的麻煩。同時減少了由于機密信息的流動而造成的不安全性。
本發(fā)明是通過以下技術方案實現(xiàn)的，本發(fā)明主要包括智能卡發(fā)卡子系統(tǒng)、智能卡、智能卡帳號子系統(tǒng)、智能卡密碼子系統(tǒng)、智能卡加解密子系統(tǒng)、智能卡簽名驗證子系統(tǒng)、智能卡管理子系統(tǒng)。智能卡發(fā)卡子系統(tǒng)根據(jù)用戶的信息和需求對智能卡進行定制，將用戶的身份信息、登陸帳號和加密解密密鑰等信息寫入智能卡。當用戶需登陸操作系統(tǒng)或應用系統(tǒng)時，智能卡與智能卡帳號子系統(tǒng)相連，用戶輸入正確的用戶名和口令到智能卡后，若用戶通過智能卡的身份認證，智能卡將用戶對應的帳號信息輸出到智能卡帳號子系統(tǒng)。智能卡帳號子系統(tǒng)對用戶帳號信息進行驗證，若該用戶帳號有效，允許該用戶登陸系統(tǒng)。當用戶需要使用應用系統(tǒng)的加密和解密功能時，智能卡與智能卡帳號子系統(tǒng)相連，用戶輸入正確的用戶名和口令到智能卡后，若用戶通過智能卡的身份認證，智能卡將用戶對應的密鑰輸出到智能卡帳號子系統(tǒng)。智能卡帳號子系統(tǒng)將密鑰輸出到應用系統(tǒng)相應的接口完成加密和解密功能。智能卡加解密子系統(tǒng)和智能卡簽名驗證子系統(tǒng)與智能卡相連，智能卡加解密子系統(tǒng)和智能卡簽名驗證子系統(tǒng)將需加解密和簽名驗證的數(shù)據(jù)輸入智能卡，智能卡將處理后的結(jié)果輸出到智能卡加解密子系統(tǒng)和智能卡簽名驗證子系統(tǒng)。智能卡管理子系統(tǒng)與智能卡帳號子系統(tǒng)、智能卡密碼子系統(tǒng)、智能卡加解密子系統(tǒng)、智能卡簽名驗證子系統(tǒng)相連，將智能卡與智能卡帳號子系統(tǒng)、智能卡密碼子系統(tǒng)相應的帳號和口令分別輸出到智能卡與智能卡帳號子系統(tǒng)、智能卡密碼子系統(tǒng)完成設置。智能卡加解密子系統(tǒng)、智能卡簽名驗證子系統(tǒng)輸出密鑰到智能卡管理子系統(tǒng)進行備份，根據(jù)需要智能卡管理子系統(tǒng)將密鑰輸入到智能卡加解密子系統(tǒng)、智能卡簽名驗證子系統(tǒng)進行恢復。
智能卡發(fā)卡子系統(tǒng)負責初始化卡，將系統(tǒng)的每一個用戶的姓名、身份證號等個人信息和用戶私秘信息、登陸帳號、初始口令加密、解密密碼寫入智能卡中，同時生成公開密鑰算法的秘鑰對，并設定每一智能卡可連續(xù)輸錯口令的次數(shù)。智能卡發(fā)卡子系統(tǒng)同時還負責使智能卡中的用戶帳號與操作系統(tǒng)的登陸帳號保持一致，并根據(jù)需要進行更新和維護。在合法用戶的智能卡被鎖定時，智能卡發(fā)卡子系統(tǒng)負責智能卡的解鎖。在合法用戶的智能卡丟失時，智能卡發(fā)卡子系統(tǒng)負責被遺失卡注銷，并為合法用戶發(fā)放新的智能卡。
智能卡帳號子系統(tǒng)負責實現(xiàn)相應應用系統(tǒng)的帳號映射功能。在用戶需要登陸任一應用系統(tǒng)時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，子系統(tǒng)自動將智能卡中對應的登陸帳號提供給應用系統(tǒng)進行身份驗證。身份驗證成功，用戶就可登陸應用系統(tǒng)。智能卡帳號子系統(tǒng)可以對任意應用系統(tǒng)進行封裝，而不是限制在有限的安全區(qū)域內(nèi)。
智能卡密碼子系統(tǒng)負責實現(xiàn)相應應用系統(tǒng)的密碼映射功能。在用戶使用任一可加密應用系統(tǒng)時，若需要加密時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，子系統(tǒng)自動將智能卡中對應的密碼提供給應用系統(tǒng)文件加密；同理在需要解密時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，子系統(tǒng)自動將智能卡中對應的密碼提供給應用系統(tǒng)文件解密。在本子系統(tǒng)中密碼不需要用戶自己設定，而是由子系統(tǒng)自動生成的。它是相當長度的一段毫無意義的隨機碼，要進行猜測攻擊是不可能的。
智能卡加解密子系統(tǒng)利用智能卡自身的運算能力完成數(shù)據(jù)流的加解密功能。它針對某些安全性要求較高的應用需求，在智能卡內(nèi)完成數(shù)據(jù)的加密和解密，避免秘鑰移動所帶來的不安全性。
智能卡簽名驗證子系統(tǒng)利用公開密鑰算法的秘鑰對實現(xiàn)現(xiàn)代安全系統(tǒng)的身份驗證和不可否認性的安全需求。
智能卡管理子系統(tǒng)負責管理智能卡中所存儲的大量的各個應用系統(tǒng)中所需要的各種帳號和密碼，負責對它們進行定期更新、備份和特殊情況下的恢復。
本發(fā)明具有實質(zhì)性特點和顯著進步，本發(fā)明可以將多個應用系統(tǒng)的安全應用集成，包括用戶身份認證、授權及加密和解密。用戶只需使用一個智能卡，就可以使用所有的預先設定應用系統(tǒng)。本發(fā)明可以在保證應用系統(tǒng)的安全性的條件下，給用戶帶來極大的方便性和易用性。特別適用于存在多種IT應用系統(tǒng)的企業(yè)。具有非對稱加密能力的智能卡，不僅能夠保存用戶的各種私秘信息和數(shù)據(jù)，而且能夠有效地保證密鑰的安全生成、存儲和使用。智能卡使用自己的操作系統(tǒng)——芯片卡操作系統(tǒng)COS(Chip Operating System)，具有自己的安全體系，能夠有效保障存儲在智能卡中信息的安全，利用智能卡的安全性實現(xiàn)一卡通系統(tǒng)。本發(fā)明采用智能卡以更安全的方式把各種私密信息包括用戶的身份信息、帳號信息以及各種應用系統(tǒng)中用到的加密秘碼和解密密碼，存儲在智能卡中(而非易于受到黑客攻擊的PC機中)，并使各個應用系統(tǒng)的用戶名、口令和密碼等各不相同。不僅免除了用戶記憶多個用戶名、口令和密碼的麻煩。同時減少了由于機密信息的流動而造成的不安全性。用戶只需記住PIN(個人識別碼或口令)，即可訪問存儲在智能卡中的數(shù)據(jù)和信息。PIN可以保證智能卡對持卡人的身份認證，防止智能卡丟失后客戶私密信息的非法使用，從而實現(xiàn)雙重安全功能。通過限制PIN或密鑰的錯誤嘗試次數(shù)，當錯誤的嘗試超過一定的次數(shù)，卡片就自鎖，可以阻止黑客的算法攻擊。


圖1是本發(fā)明的系統(tǒng)組成結(jié)構(gòu)2是本發(fā)明的應用范圍示意3是本發(fā)明的應用封裝結(jié)構(gòu)示意4是本發(fā)明中智能卡所需存儲主要信息的示意圖具體實施方式
如圖1所示，智能卡發(fā)卡子系統(tǒng)2、智能卡3、智能卡帳號子系統(tǒng)4、智能卡密碼子系統(tǒng)5、智能卡加解密子系統(tǒng)6、智能卡簽名驗證子系統(tǒng)7、智能卡管理子系統(tǒng)8，智能卡發(fā)卡子系統(tǒng)2根據(jù)用戶的信息和需求對智能卡3進行定制，將用戶的身份信息、登陸帳號和加密解密密鑰信息寫入智能卡3，當用戶需登陸操作系統(tǒng)或應用系統(tǒng)時，智能卡3與智能卡帳號子系統(tǒng)4相連，用戶輸入正確的用戶名和口令到智能卡3后，若用戶通過智能卡3的身份認證，智能卡3將用戶對應的帳號信息輸出到智能卡帳號子系統(tǒng)4，智能卡帳號子系統(tǒng)4對用戶帳號信息進行驗證，若該用戶帳號有效，允許該用戶登陸系統(tǒng)，當用戶需要使用應用系統(tǒng)的加密和解密功能時，智能卡3與智能卡帳號子系統(tǒng)4相連，用戶輸入正確的用戶名和口令到智能卡3后，若用戶通過智能卡3的身份認證，智能卡3將用戶對應的密鑰輸出到智能卡帳號子系統(tǒng)4，智能卡帳號子系統(tǒng)4將密鑰輸出到應用系統(tǒng)相應的接口完成加密和解密功能，智能卡加解密子系統(tǒng)6和智能卡簽名驗證子系統(tǒng)7與智能卡3相連，智能卡加解密子系統(tǒng)6和智能卡簽名驗證子系統(tǒng)7將需加解密和簽名驗證的數(shù)據(jù)輸入智能卡3，智能卡3將處理后的結(jié)果輸出到智能卡加解密子系統(tǒng)6和智能卡簽名驗證子系統(tǒng)7，智能卡管理子系統(tǒng)8與智能卡帳號子系統(tǒng)4、智能卡密碼子系統(tǒng)5、智能卡加解密子系統(tǒng)6和智能卡簽名驗證子系統(tǒng)7相連，將智能卡3與智能卡帳號子系統(tǒng)4、智能卡密碼子系統(tǒng)5相應的帳號和口令分別輸出到智能卡3、智能卡帳號子系統(tǒng)4和智能卡密碼子系統(tǒng)5，智能卡加解密子系統(tǒng)6、智能卡簽名驗證子系統(tǒng)7輸出密鑰到智能卡管理子系統(tǒng)8進行備份，根據(jù)需要智能卡管理子系統(tǒng)8將密鑰輸入到智能卡加解密子系統(tǒng)6、智能卡簽名驗證子系統(tǒng)7進行恢復。
如圖2和圖3所示，本發(fā)明將各個需要進行身份認證的應用軟件系統(tǒng)通過智能卡集成起來。如圖2所示，信息10表示用戶輸入的智能卡9用戶口令。消息11表示用戶輸入正確的智能卡9口令后，智能卡系統(tǒng)與相關應用軟件系統(tǒng)之間的通信。智能卡系統(tǒng)將卡內(nèi)所存儲的帳號和密碼發(fā)送到相關應用軟件系統(tǒng)的帳號密碼的接收接口，相關應用軟件系統(tǒng)驗證帳號和密碼是否正確。如果正確，用戶將以所驗證的身份登陸該應用軟件系統(tǒng)，并獲得相應的權限；如果不正確，應用軟件系統(tǒng)將發(fā)送出錯信息到智能卡系統(tǒng)。圖3顯示了本發(fā)明的層次結(jié)構(gòu)。層次13表示智能卡所處的硬件層；層次15表示本發(fā)明所針對的各種應用軟件系統(tǒng)所處的應用層。層次14表示處于硬件層和應用層之間的各種應用軟件系統(tǒng)的封裝層。封裝層由封裝軟件構(gòu)成，對相關應用軟件系統(tǒng)的身份認證接口進行封裝。向上接受硬件層中智能卡發(fā)送的帳號和口令，向下將得到的帳號和口令送入應用層中應用軟件系統(tǒng)的身份認證接口，并獲取反饋，并調(diào)用硬件層的智能卡硬件。
如圖1所示，先由智能卡發(fā)卡子系統(tǒng)2將智能卡3初始化，在智能卡內(nèi)生成如圖4所示的智能卡所需存儲的信息，并相應地在操作系統(tǒng)及應用系統(tǒng)內(nèi)設置相應的帳號。用戶更改初始化所生成的用戶口令。在計算機上安裝智能卡帳號子系統(tǒng)4、智能卡密碼子系統(tǒng)5、智能卡加解密子系統(tǒng)6、智能卡簽名驗證子系統(tǒng)7和智能卡管理子系統(tǒng)8后，即可開始使用安全一卡通系統(tǒng)。在登陸操作系統(tǒng)或應用系統(tǒng)時，用戶只需將智能卡與計算機正確地連接，并按系統(tǒng)的提示輸入正確的智能卡口令，即可登陸操作系統(tǒng)或應用系統(tǒng)。在實現(xiàn)應用系統(tǒng)文件加密和解密時，按應用系統(tǒng)原有的加密方式進行加密，即會彈出智能卡口令輸入框，在用戶輸入正確的口令之后，由智能卡密碼子系統(tǒng)5自動完成相應加解密秘鑰的輸入。底層的過程對用戶是透明的。若需增加由智能卡控制的新的應用系統(tǒng)，只需用封裝層的應用程序?qū)ζ鋵崿F(xiàn)封裝即可。
權利要求
1.一種用智能卡實現(xiàn)的安全一卡通系統(tǒng)，主要包括智能卡發(fā)卡子系統(tǒng)(2)、智能卡(3)，其特征在于還包括智能卡帳號子系統(tǒng)(4)、智能卡密碼子系統(tǒng)(5)、智能卡加解密子系統(tǒng)(6)、智能卡簽名驗證子系統(tǒng)(7)、智能卡管理子系統(tǒng)(8)，智能卡發(fā)卡子系統(tǒng)(2)根據(jù)用戶的信息和需求對智能卡(3)進行定制，將用戶的身份信息、登陸帳號和加密解密密鑰信息寫入智能卡(3)，當用戶需登陸操作系統(tǒng)或應用系統(tǒng)時，智能卡(3)與智能卡帳號子系統(tǒng)(4)相連，用戶輸入正確的用戶名和口令到智能卡(3)后，若用戶通過智能卡(3)的身份認證，智能卡(3)將用戶對應的帳號信息輸出到智能卡帳號子系統(tǒng)(4)，智能卡帳號子系統(tǒng)(4)對用戶帳號信息進行驗證，若該用戶帳號有效，允許該用戶登陸系統(tǒng)，當用戶需要使用應用系統(tǒng)的加密和解密功能時，智能卡(3)與智能卡帳號子系統(tǒng)(4)相連，用戶輸入正確的用戶名和口令到智能卡(3)后，若用戶通過智能卡(3)的身份認證，智能卡(3)將用戶對應的密鑰輸出到智能卡帳號子系統(tǒng)(4)，智能卡帳號子系統(tǒng)(4)將密鑰輸出到應用系統(tǒng)相應的接口完成加密和解密功能，智能卡加解密子系統(tǒng)(6)和智能卡簽名驗證子系統(tǒng)(7)與智能卡(3)相連，智能卡加解密子系統(tǒng)(6)和智能卡簽名驗證子系統(tǒng)(7)將需加解密和簽名驗證的數(shù)據(jù)輸入智能卡(3)，智能卡(3)將處理后的結(jié)果輸出到智能卡加解密子系統(tǒng)(6)和智能卡簽名驗證子系統(tǒng)(7)，智能卡管理子系統(tǒng)(8)與智能卡帳號子系統(tǒng)(4)、智能卡密碼子系統(tǒng)(5)、智能卡加解密子系統(tǒng)(6)和智能卡簽名驗證子系統(tǒng)(7)相連，并將智能卡(3)與智能卡帳號子系統(tǒng)(4)、智能卡密碼子系統(tǒng)(7)相應的帳號和口令分別輸出到智能卡(3)、智能卡帳號子系統(tǒng)(4)和智能卡密碼子系統(tǒng)(5)，智能卡加解密子系統(tǒng)(6)、智能卡簽名驗證子系統(tǒng)(7)輸出密鑰到智能卡管理子系統(tǒng)(8)進行備份，根據(jù)需要智能卡管理子系統(tǒng)(8)將密鑰輸入到智能卡加解密子系統(tǒng)(6)、智能卡簽名驗證子系統(tǒng)(7)進行恢復。
2.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡發(fā)卡子系統(tǒng)(2)將每一個用戶信息、登陸帳號、初始口令加密、解密密碼寫入智能卡(3)中，同時生成公開密鑰算法的秘鑰對，并設定每一智能卡可連續(xù)輸錯口令的次數(shù)，智能卡發(fā)卡子系統(tǒng)(2)同時還使智能卡中的用戶帳號與操作系統(tǒng)的登陸帳號保持一致，并根據(jù)需要進行更新和維護。
3.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡帳號子系統(tǒng)(4)實現(xiàn)相應應用系統(tǒng)的帳號映射功能，在用戶需要登陸任一應用系統(tǒng)時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，子系統(tǒng)自動將智能卡中對應的登陸帳號提供給應用系統(tǒng)進行身份驗證。
4.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡加解密子系統(tǒng)(6)利用智能卡自身的運算能力完成數(shù)據(jù)流的加解密功能。
5.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡密碼子系統(tǒng)(5)實現(xiàn)相應應用系統(tǒng)的密碼映射功能。在用戶使用任一可加密應用系統(tǒng)若需要加密時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，子系統(tǒng)自動將智能卡中對應的密碼提供給應用系統(tǒng)文件加密；同理在需要解密時，子系統(tǒng)提示輸入用戶的PIN，在用戶輸入正確的PIN之后，智能卡密碼子系統(tǒng)(5)自動將智能卡中對應的密碼提供給應用系統(tǒng)文件解密。
6.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡簽名驗證子系統(tǒng)(7)利用公開密鑰算法的秘鑰對實現(xiàn)現(xiàn)代安全系統(tǒng)的身份驗證。
7.根據(jù)權利要求1所述的用智能卡實現(xiàn)的安全一卡通系統(tǒng)，其特征是，智能卡管理子系統(tǒng)(8)管理智能卡(3)中所存儲的大量的各個應用系統(tǒng)中所需要的各種帳號和密碼，并對它們進行定期更新、備份和特殊情況下的恢復。
全文摘要
一種用智能卡實現(xiàn)的安全一卡通系統(tǒng)，屬于網(wǎng)絡信息安全技術領域。主要包括智能卡發(fā)卡子系統(tǒng)、智能卡、智能卡帳號子系統(tǒng)、智能卡密碼子系統(tǒng)、智能卡加解密子系統(tǒng)、智能卡簽名驗證子系統(tǒng)、智能卡管理子系統(tǒng)，本發(fā)明可以將多個應用系統(tǒng)的安全應用集成，包括用戶身份認證、授權及加密和解密。用戶只需使用一個智能卡，就可以使用所有的預先設定應用系統(tǒng)。本發(fā)明可以在保證應用系統(tǒng)的安全性的條件下，給用戶帶來極大的方便性和易用性。特別適用于存在多種IT應用系統(tǒng)的企業(yè)。具有非對稱加密能力的智能卡，不僅能夠保存用戶的各種私秘信息和數(shù)據(jù)，而且能夠有效地保證密鑰的安全生成、存儲和使用。
文檔編號H04L9/00GK1434598SQ0311567
公開日2003年8月6日 申請日期2003年3月6日 優(yōu)先權日2003年3月6日
發(fā)明者張申生, 唐業(yè), 肖少君, 戴偉, 張帆 申請人:上海交通大學