一种基于ukey证书的协同签名跨渠道开通方法及系统与流程

本说明书实施例涉及信息安全，尤其涉及一种基于ukey证书的协同签名跨渠道开通方法及系统。

背景技术：

1、协同签名作为一种新型的安全且使用便捷的文件证书产品，已逐步应用于手机银行、网银、银企直连等网银渠道，满足用户安全交易转账、电子合同签署、报文加密等需求。相比于传统的ukey，协同签名使用时无需额外携带设备，无需安装额外软件，手机端无需开启手机系统的定位、蓝牙或者音频权限，使用便捷，客户体验好。

2、协同签名的开通流程主要涉及业务系统、协同签名产品以及自身ca证书服务，业务系统分为客户端和服务器两部分，如柜面系统、手机银行、网银、银企直连等系统，可认证用户持有的协同签名产品中证书签名和电子签名结果，提供转账交易、电子合同签署等服务。协同签名产品包括客户端sdk与服务器两部分，协同签名产品证书对应私钥拆分为两部分，分别在客户端sdk和服务器中生成和存储，签名结果由两部分私钥分量加签并合成，其中客户端sdk集成于业务系统的客户端中，如手机银行app、网银浏览器端、银企直连客户端，ca证书服务器提供证书管理(如证书申请、下载、注销、更新等)服务。

3、但目前协同签名需要客户自身持有设备(例如手机银行app客户端)中开通并下载客户证书，开通流程包括两个步骤：(1)认证客户身份；(2)证书下载(客户端和服务器分别生成私钥分量并加签，组织pkcs10证书签名请求，申请证书)。

4、这两个步骤存在一定的独立性。

5、目前协同签名在认证客户身份时，协同签名系统仅对设备进行验证，业务系统仅对客户身份进行验证，目前无法验证设备和客户身份之间的绑定关系，攻击者可以利用开通流程步骤的独立性和为全过程未认证设备和客户身份之间的绑定关系的技术缺陷，将协同签名产品的证书下载到非客户设备或非授权设备上，从而在后续业务流程中冒用客户身份进行签名(例如转账交易、电子合同加签等)，造成客户资产的丢失。

6、如何避免攻击者利用开通流程步骤的独立性和为全过程未认证设备和客户身份之间的绑定关系的技术缺陷，将协同签名产品的证书下载到非客户设备或非授权设备上，从而在后续业务流程中冒用客户身份进行签名(例如转账交易、电子合同加签等)，造成客户资产的丢失是目前亟待解决的技术问题。

技术实现思路

1、为解决因目前协同签名开通流程步骤的独立性和全过程未认证设备和客户身份之间的绑定关系，导致攻击者盗用协同签名产品的证书，冒用客户身份进行签名，造成客户资产丢失的问题，本说明书实施例提供了一种基于ukey证书的协同签名跨渠道开通方法及系统，在协同签名的开通过程中，通过银行客户端上ukey证书加签的方式取得客户对发送设备信息和客户信息的授权，将设备信息和客户信息发送给协同签名系统，协同签名系统记录设备信息和客户信息之间的绑定关系，从而在协同签名过程中，验证设备信息和客户信息，保证客户资产的安全性。

2、为了解决上述技术问题中的任意一种，本说明书实施例的具体技术方案如下：

3、一方面，本说明书实施例提供了一种基于ukey证书的协同签名跨渠道开通方法，包括：

4、协同签名银行端接收到银行客户端发送的协同签名开通请求后，生成识别码，并将所述识别码发送给所述银行客户端，所述协同签名开通请求中包括客户信息；

5、所述协同签名客户端通过所述银行客户端接收到的所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端；

6、所述协同签名银行端生成包括所述设备信息和客户信息的认证报文，并将所述认证报文发送给所述银行客户端；

7、所述银行客户端调用已授权的ukey驱动接口对所述认证报文进行加签，并将加签的认证报文发送给所述协同签名银行端；

8、所述协同签名银行端对加签的认证报文进行验证通过后，将所述设备信息和客户信息发送给协同签名服务端；

9、所述协同签名服务端存储所述设备信息和客户信息的绑定关系，并生成协同签名证书，以便于所述协同签名服务端在处理所述协同签名证书对应的协同签名业务时，利用记录的所述绑定关系对所述协同签名业务中的目标客户信息和目标设备信息进行验证，验证通过后，完成所述协同签名业务。

10、进一步地，所述协同签名客户端通过所述银行客户端接收到的所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端之前，所述方法还包括：

11、所述协同签名客户端通过所述客户信息登录所述协同签名银行端。

12、进一步地，所述协同签名客户端通过所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端之前，所述方法还包括：

13、所述协同签名银行端比对所述协同签名客户端登录的客户信息和所述协同签名开通请求中的客户信息是否一致，若一致，则允许所述协同签名客户端通过所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端。

14、进一步地，所述方法还包括：

15、所述协同签名客户端与所述协同签名服务端之间协商会话密钥；

16、所述协同签名客户端通过所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端进一步包括：

17、所述协同签名客户端通过协商的所述会话密钥对所述设备信息进行加密，并将设备信息密文通过所述识别码发送给所述协同签名银行端；

18、所述协同签名银行端生成包括所述设备信息和客户信息的认证报文进一步包括：

19、所述协同签名银行端生成包括所述设备信息密文和客户信息的所述认证报文；

20、所述协同签名银行端对加签的认证报文进行验证通过后，将所述设备信息和客户信息发送给协同签名服务端进一步包括：

21、所述协同签名银行端对加签的认证报文进行验证通过后，将所述设备信息密文和客户信息发送给协同签名服务端；

22、所述协同签名服务端存储所述设备信息和客户信息的绑定关系进一步包括：

23、所述协同签名服务端利用所述会话密钥对所述设备信息密文进行解密，并存储所述客户信息与解密后的设备信息之间的绑定关系。

24、进一步地，所述协同签名银行端生成包括所述设备信息和客户信息的认证报文进一步包括：

25、所述协同签名银行端对所述客户信息进行加密，得到客户信息密文，并生成包括所述设备信息和客户信息密文的认证报文；

26、所述协同签名银行端对加签的认证报文进行验证通过后，将所述设备信息和客户信息发送给协同签名银行端进一步包括：

27、所述协同签名银行端对加签的认证报文进行验证通过后，将所述设备信息和客户信息密文发送给协同签名服务端；

28、所述协同签名服务端存储所述设备信息和客户信息的绑定关系进一步包括：

29、所述协同签名服务端存储所述设备信息和客户信息密文的绑定关系；

30、所述方法还包括：

31、所述协同签名银行端处理所述协同签名业务时，将所述协同签名证书对应的目标客户信息进行加密，得到目标客户信息密文，并基于所述目标客户信息密文向所述协同签名服务端发送所述协同签名业务，以便于所述协同签名服务端在处理所述协同签名业务时，利用记录的所述绑定关系对所述协同签名业务中的目标客户信息密文和目标设备信息进行验证。

32、进一步地，所述协同签名银行端对加签的认证报文进行验证的步骤包括：

33、所述协同签名银行端比较加签的认证报文中的设备信息和客户信息是否与生成的所述认证报文中的设备信息和客户信息一致。

34、进一步地，所述协同签名客户端通过所述识别码将所述协同签名客户端的设备信息发送给所述协同签名银行端之前，所述方法还包括：

35、所述协同签名客户端调用所述协同签名银行端下发的客户端sdk获取所述设备信息。

36、进一步地，所述协同签名银行端对加签的认证报文进行验证通过后，所述方法还包括：

37、所述协同签名银行端保存所述加签的认证报文，以便于后续利用所述加签的认证报文对客户授权在所述协同签名客户端上开通协同签名的行为进行举证。

38、另一方面，本说明书实施例还提供了一种基于ukey证书的协同签名跨渠道开通系统，所述系统包括：协同签名银行端、银行客户端、协同签名客户端以及协同签名服务端；

39、当所述协同签名银行端、银行客户端、协同签名客户端以及协同签名服务端开通协同签名时，执行上述的方法。

40、另一方面，本说明书实施例还提供了一种计算机设备，包括存储器、处理器、以及存储在存储器上的计算机程序，处理器执行所述计算机程序时实现上述的方法。

41、另一方面，本说明书实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法。

42、最后，本说明书实施例还提供了一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时实现上述的方法。

43、利用本说明书实施例，在面对ukey无法与开通协同签名的协同签名客户端通信的场景(例如功能限制的ukey或业务限制的ukey)，本说明书实施例通过能够与ukey通信的银行客户端向协同签名银行端发起协同签名开通请求，由于开通协同签名需要获取协同签名客户端的设备信息，因此本说明书实施例协同签名银行端生成接收设备信息的识别码，将识别码发送给发起协同签名开通请求的银行客户端，银行客户端将该识别码提供给需要开通协同签名的协同签名客户端，系统签名客户端通过该识别码将自身的设备信息发送给协同签名银行端。

44、协同签名银行端为了得到客户授权，根据设备信息和客户信息生成认证报文，将认证报文发送给银行客户端，客户在银行客户端上授权后，银行客户端调用已授权的ukey驱动接口对认证报文进行加签，表示客户已授权协同签名银行端将设备信息和客户信息发送给协同签名服务端，最后协同签名服务端记录设备信息和客户信息的绑定关系即可，从而在处理协同签名业务时，协同签名服务端能够对设备信息和客户信息的绑定关系进行验证。

45、本说明书实施例实现了协同签名银行端仅认证客户身份和协同签名服务端仅认证设备信息之间的有机结合，打破了二者的认证壁垒，能够让协同签名服务端处理协同签名业务时，对设备信息和客户信息之间的绑定关系进行验证，即便攻击者将协同签名产品的证书下载到非客户设备或非授权设备上，也无法通过协同签名服务端的绑定关系验证，从而避免攻击者冒用客户身份进行签名(例如转账交易、电子合同加签等)，避免客户资产的丢失。