[发明专利]一种基于多证书应用的服务端安全认证方法及系统

权利要求书

1.一种基于多证书应用的服务端安全认证方法，其特征在于，所述方法包括：

位于服务器端的安全通讯服务器与位于客户端的USB key进行认证，生成与业务操作类型对应的CA根证书，并分别导入至安全通讯服务器和USB key；其中，多证书应用时支持导入多个CA根证书；

根据业务操作需求，所述安全通讯服务器接收所述USB key发送的与业务操作类型对应的CA根证书和客户端证书，并利用所述USB key发送的与业务操作类型对应的CA根证书和客户端证书与所述安全通讯服务器存储的CA根证书进行比较，对客户端的身份进行验证；

所述客户端接收所述安全通讯服务器的CA根证书，并利用所述安全通讯服务器的CA根证书和所述USB key写入的服务器的CA根证书进行比较，验证所述安全通讯服务器的真伪；

当所述安全通讯服务器和客户端的USB key验证通过后，根据所述业务操作需求进行数据的传输。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据所述业务操作需求确定数据加密方式和数据传输接口，并附加客户端证书，以使得数据业务操作数据安全快速的传输。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在业务操作处理阶段，对客户端用户的身份信息进行采集，以对客户端用户的身份进行认证；其中，认证方式包括：指纹认证、虹膜认证、密码和数字身份认证、手机和数字证书认证、电子认证以及刷脸认证。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述安全通讯服务器中设置准入列表，并当所述客户端通过所述安全通讯服务器的验证后，更新准入列表中当前客户端对应的属性信息；其中，所述准入列表中的属性包括：操作权限、访问控制和活跃指数；不同的业务操作类型对应的CA根证书对应不同的操作权限。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

当所述客户端通过所述安全通讯服务器的验证后，增加所述客户端的证书序列号的活跃指数，并在所述证书序列号的活跃指数达到预设活跃阈值时，设置所述客户端的证书序列号的有效期限。

6.根据权利要求4所述的方法，其特征在于，所述方法还包括：

根据预设的审计周期对所述准入列表进行审计，删除在预设时间段内未使用或者未达到预设活跃指数阈值的客户端证书序列号，并对对应的客户端进行降低权限处理。

7.根据权利要求4所述的方法，其特征在于，所述方法还包括：记录客户端的证书序列号，并将所述证书序列号的导入和删除操作均记录于日志用于审计；其中，所述日志采用不能修改且循环覆盖的方式。

8.一种基于多证书应用的服务端安全认证系统，其特征在于，所述系统包括：

发行制证模块，用于位于服务器端的安全通讯服务器与位于客户端的USB key进行认证，生成与业务操作类型对应的CA根证书，并分别导入至安全通讯服务器和USB key；其中，多证书应用时支持导入多个CA根证书；

客户端身份认证模块，用于根据业务操作需求，所述安全通讯服务器接收所述USB key发送的与业务操作类型对应的CA根证书和客户端证书，并利用所述USB key发送的与业务操作类型对应的CA根证书和客户端证书与所述安全通讯服务器存储的CA根证书进行比较，对客户端的身份进行验证；

安全通讯服务器身份认证模块，用于所述客户端接收所述安全通讯服务器的CA根证书，并利用所述安全通讯服务器的CA根证书和所述USB key写入的服务器的CA根证书进行比较，验证所述安全通讯服务器的真伪；

数据传输模块，用于当所述安全通讯服务器和客户端的USB key验证通过后，根据所述业务操作需求进行数据的传输。

9.根据权利要求8所述的系统，其特征在于，所述数据传输模块，还包括：

根据所述业务操作需求确定数据加密方式和数据传输接口，并附加客户端证书，以使得数据业务操作数据安全快速的传输。