[发明专利]一种基于虚拟机技术安全管理使用密钥证书的方法和系统

说明书

技术领域

本发明一般的涉及通过凭证(如PKI证书)实现网络上的安全交易。更具体的说，本发明涉及增强在计算机上使用软证书进行网络身份认证安全性的方法和系统。

背景技术

随着因特网的出现，在线交易的数量也迅猛增加。随着这种交易的增加，也带来了诸如交易安全性、交易各方的认证、不可否认交易以及此类交易中所用设备的认证和验证等问题。针对这些问题，已经开发了一种公钥基础设施(PKI)，其中，认证机构(CA)向通过开放网络(如因特网)参与电子商务的个人和机构发放数字证书和一对相关的密钥。这些证书起到认证交易参与双方的身份，实现不可否认交易的作用，并与密钥对相关联，据此可以完成通过因特网执行交易加密。PKI基础结构型交易的在过去几年已经取得了显著的发展。

PKI基础结构型交易在电子商务领域的应用最为广泛。以网上银行为例，归结起来有两种类型，一种是软证书类型，一种是USB Key证书类型。

这两类证书的应用，通常构建在Windows所集成的证书服务接口之上。目前，在国际上有两种比较通用的对加密设备进行管理的接口。一种是PKCS#11标准接口，另一种是由Microsoft制定的CSP(Cryptographic Service Provider)标准接口——CryptoAPI接口。其中CSP是微软专为Windows系列操作系统制定的底层加密接口，用于管理硬件或软件形式的加密设备，实现数据加密、解密，数字签名、验证和数据摘要(即HASH)等。

CSP是Windows安全应用的基础，在Windows操作系统上实现https安全浏览(即SSL安全数据通信)和实现安全隧道(如Ipsec)功能，都必需有CSP参与密码运算。其中，微软基本CSP包括RSABase，DssBase等，还有提供128位以上加密密钥的增强型CSP。基本CSP只提供40位对称加密和512位RSA非对称加密，这样的密钥长度恰在可破密码的范围内，是不安全的。第三方CSP可由加密设备厂商按照微软制定的标准接口开发，通过微软签名后安装到系统中使用。

所谓软证书，是指用户请求并下载与个人身份绑定的PKI证书至个人计算机(或者由银行或其他类似机构代办)，然后可将其与相关的密钥对结合用于安全认证的因特网交易。

软证书使用的是Windows操作系统中自带的基本CSP程序，而且IE内置了对此内置CSP程序的支持，因此用户无需安装驱动程序或附加软件，下载证书的过程普通用户一般可按页面提示完成。因此，软证书在易用性方面具备较大的优势。

软证书的缺点是，个人计算机上的操作系统有能力获知PKI证书、密钥对等信息中国金融认证中心提示，“软证书”存在安全隐患。它不强制用户设置证书使用口令， 其他人登录同一台电脑就能直接使用。“软证书”的私钥可以导出，从而给木马程序以可乘之机，将证书复制到其他电脑上使用。此前，曾有银行发生“软证书”被攻破的案例，个别银行2008年干脆取消了“软证书”的网上支付功能。

除此之外，“软证书”被下载至用户操作系统，一旦用户重新安装操作系统，就会丢失软证书，不得不去银行补办，而补办证书通常需要产生额外的费用。这也是“软证书”不如USB Key证书的一个地方。

所谓USB Key证书，是指用户请求并下载与个人身份绑定的PKI证书至USB Key硬件装置(或者由银行或其他类似机构代办)，此USB Key与普通的U盘是完全不同的，其主体是一块安全芯片，私钥和数字证书(或对数字证书的引用)存储在此安全芯片硬件装置中。并且，此安全芯片具备计算能力，支持生成密钥对、数字签名和加解密等计算任务。USB Key证书的优点是，个人计算机上的操作系统无法获知PKI证书、密钥对等信息。

但是，目前USB Key证书又分为一代和二代两种，一代USB Key证书，在接入到计算机上时，可以通过远程直接操作，这使得远程遥控类的木马有机可乘。二代USB Key证书，有一个液晶显示屏，可以回显待签名数据(如金额等)，并且USB Key上有一个确认按钮，必须按下确认按钮，安全芯片才会完成数字签名计算，这样可进一步防范远程遥控类木马，并且利用回显功能，防止用户签名的数据在用户操作系统中被木马篡改而用户一无所知。

因为安全性高，各大银行对于采用USB Key证书进行的网上支付、转账的限制是最小的。但是USBKey证书中安全芯片的存储容量非常有限，通常只有32KB，这限制了USB Key证书作为通用的解决方案。目前，各家银行均独立发布USB Key，增大了用户的拥有成本和妥善保管的难度。