專利名稱：數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種信息技術(shù)領(lǐng)域的電子產(chǎn)品服務(wù)方法。尤旨在異構(gòu) 系統(tǒng)之間數(shù)據(jù)交換傳輸過程中基于數(shù)字簽名的加密技術(shù)的實現(xiàn)，主要應(yīng)用于網(wǎng)絡(luò)服務(wù)中，使用簡單物件存取協(xié)定SOAP (SIMPLE OBJECT ACCESS PROTOCOL)來進(jìn)行數(shù)據(jù)交換時，可擴(kuò)展標(biāo)記語言XML (EXTENSIBLE MARKUP LANGUAGE)在默認(rèn)情況下是明文編碼，這樣 使信息在傳輸過程中保密性受到威脅，因此采取基于數(shù)字簽名的加密 技術(shù)，可以確保信息傳遞過程中機(jī)密性、完整性以及一致性。
背景技術(shù)：
安全的網(wǎng)絡(luò)服務(wù)是網(wǎng)絡(luò)服務(wù)成功的必要保證。但眾所周知的是， 網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP(SIMPLE OBJECT ACCESS PROTOCOL),基于可擴(kuò)展標(biāo)記語言XML( EXTENSIBLE MARKUP LANGUAGE) 來進(jìn)行數(shù)據(jù)交換，而XML在默認(rèn)情況下是明文編碼的；同時，大部分 網(wǎng)絡(luò)服務(wù)使用傳輸協(xié)議HTTP (HYPERTEXT TRANSPORT PROTOCOL)協(xié)議作為傳輸協(xié)議，同樣，傳輸協(xié)議HTTP也是使用明文方式來傳輸數(shù)據(jù)的。這樣使信息傳輸?shù)谋Ｃ苄允艿酵{，不能滿足安全性基本要求。機(jī)密性，確保數(shù)據(jù)的保密性。通常是使用加密實現(xiàn)的，使用 加密算法將明文轉(zhuǎn)換為密文，并使用相應(yīng)的解密算法將密文 轉(zhuǎn)換回明文。。數(shù)據(jù)完整性，確保數(shù)據(jù)免受意外或者故意(惡意)的篡改。 完整性通常是由消息身份驗證代碼或哈希值提供的。□身份驗證，確定數(shù)據(jù)的來源。數(shù)字證書用于提供身份驗證。 數(shù)字簽名通常應(yīng)用于哈希值，因為這些值比它們所代表的源 數(shù)據(jù)小得多。2002年12月份IBM、Microsoft和Verisign聯(lián)合發(fā)布了一個關(guān)于網(wǎng) 絡(luò)服務(wù)安全性網(wǎng)絡(luò)服務(wù)(WS-Security)的規(guī)范，該規(guī)范描述如何向 簡單物件存取協(xié)定SOAP (SIMPLE OBJECT ACCESS PROTOCOL)消息附 加簽名和加密報頭，提供了 一套網(wǎng)絡(luò)服務(wù)開發(fā)者保護(hù)簡單物件存取協(xié) 定SOAP消息交換的機(jī)制。目前有兩類不同的加密技術(shù)一類是對稱加密，雙方具有共享的密鑰，只有在雙方都知道密鑰 的情況下才能使用，通常應(yīng)用于孤立的環(huán)境之中，如果用戶數(shù)目多， 這種機(jī)制并不可靠。常用的算法數(shù)據(jù)加密標(biāo)準(zhǔn)DES(DATAENCRYPTION STANDARD) 、 TripleDES (三重DES) 、 Rijndael、 RC2等。另一類是非對稱加密，也稱為公開密鑰加密PKI(Public Key Infrastructure),密鑰是由公開密鑰/私有密鑰組成的密鑰對，用私有密鑰進(jìn)行加密，利用公開密鑰可以進(jìn)行解密，但是由于公開密鑰無 法推算出私有密鑰，所以公開的密鑰并不會損害私有密鑰的安全，公 開密鑰無須保密，可以公開傳播，而私有密鑰必須保密。常用算法數(shù)字簽名算法DSA(Digital Signature Algorithm) 、 RSA等。數(shù)字簽名是一種新興的用來保證信息完整性的安全技術(shù)，它保證 信息的安全不受侵犯，可以解決否認(rèn)、偽造、篡改及冒充等問題。它 實際使用了信息發(fā)送者的私有密鑰變換所需傳輸?shù)男畔?。常用算?哈希Hash、 DSS、 RSA等。通常公鑰信息、用戶信息都是保存在數(shù)字證書中。數(shù)字證書是一 段包含用戶身份信息、用戶公鑰信息以及身份驗證機(jī)構(gòu)數(shù)字簽名的數(shù) 據(jù)。身份驗證機(jī)構(gòu)的數(shù)字簽名可以確保證書信息的真實性，用戶公鑰 信息可以保證數(shù)字信息傳輸?shù)耐暾?，用戶的?shù)字簽名可以保證數(shù)字 信息的不可否認(rèn)性。X. 509 V3標(biāo)準(zhǔn)在編排公共密鑰密碼格式方面已被 廣為接受并應(yīng)用于許多網(wǎng)絡(luò)安全。由于近年來我國信息技術(shù)的蓬勃發(fā)展，異構(gòu)子系統(tǒng)之間數(shù)據(jù)集成 要求越來越高，因此在數(shù)據(jù)交換共享時如何保障數(shù)據(jù)內(nèi)容的機(jī)密性、 完整性、安全性以及一致性，就成為必須要思考的問題。發(fā)明內(nèi)容為了克服上述不足之處，本發(fā)明的主要目的旨在提供一種可以根 據(jù)國際網(wǎng)絡(luò)服務(wù)安全性的規(guī)范在數(shù)據(jù)交換過程中實現(xiàn)基于數(shù)字簽名的加密技術(shù)；通過網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP進(jìn)行網(wǎng)絡(luò)服 務(wù)過濾和數(shù)據(jù)交換，通過數(shù)據(jù)加密、數(shù)字證書和數(shù)據(jù)共享交換過程中 安全網(wǎng)絡(luò)服務(wù)，采用Verisign公司傳輸協(xié)議HTTP的信任服務(wù)集成 工具箱，支持完成簡單物件存取協(xié)定SOAP包的數(shù)字簽名、驗證、加 密與解密工作的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法。本發(fā)明另一目的旨在使用數(shù)據(jù)加密和數(shù)字證書滿足數(shù)據(jù)共享交 換時網(wǎng)絡(luò)安全性服務(wù)要求；當(dāng)使用數(shù)字證書方法時，網(wǎng)絡(luò)服務(wù)請求者 必須有一個由可信認(rèn)證中心簽署的數(shù)字證書；請求者使用這個證書來 表明它們的身份，并對簡單物件存取協(xié)定SOAP(SIMPLE OBJECT ACCESS PROTOCOL)消息進(jìn)行數(shù)字簽名；對方系統(tǒng)接收到消息后，就可對消息 做時間戳記并進(jìn)行日志記錄，驗證。驗證過程將確保消息來自發(fā)送方， 并且還要驗證消息內(nèi)容在傳輸過程中沒有被篡改。信息被簽名后再加密，然后把加密后的信息網(wǎng)絡(luò)上傳播，這樣， 即使第三方獲得加密后的傳輸信息，也不能解密。本發(fā)明要解決的技術(shù)問題是主要解決在異構(gòu)系統(tǒng)之間數(shù)據(jù)交換 傳輸過程中，如何確保信息傳遞過程中機(jī)密性、完整性以及一致性問 題；要解決如何通過網(wǎng)絡(luò)服務(wù)獲得端到端的消息級安全問題；要解決 如何完成簡單物件存取協(xié)定SOAP包的數(shù)字簽名、驗證、加密與解密 工作等有關(guān)技術(shù)問題。本發(fā)明解決其技術(shù)問題所采用的技術(shù)方案是該方法運行于異構(gòu) 系統(tǒng)之間數(shù)據(jù)交換傳輸過程，通過網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP進(jìn)行網(wǎng)絡(luò)服務(wù)過濾和數(shù)據(jù)交換，獲得端到端的消息級安全；通過 數(shù)據(jù)加密、數(shù)字證書和數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)，對可擴(kuò)展 標(biāo)記語言XML進(jìn)行數(shù)字簽名與加密工作，實現(xiàn)數(shù)據(jù)的安全性；采用 Verisign公司傳輸協(xié)議HTTP的信任服務(wù)集成工具箱，支持完成簡單 物件存取協(xié)定SOAP包的數(shù)字簽名、驗證、加密與解密工作；該數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)的工作流程，具體包括以下步驟 步驟1:編寫證書腳本用Verisign公司的信任服務(wù)集成工具箱的使用標(biāo)準(zhǔn)，編寫數(shù)據(jù) 證書生成腳本，為編寫證書腳本模塊；步驟2:執(zhí)行腳本執(zhí)行完編寫證書腳本模塊后，編寫證書腳本模塊的輸出信號傳 遞到執(zhí)行腳本模塊；步驟3:生成證書執(zhí)行完執(zhí)行腳本模塊后，執(zhí)行腳本模塊的輸出信號傳遞到生成 證書模塊；通過數(shù)字證書腳本生成四個文件服務(wù)器端文件bms. key store;代理端文件bmc. key store ;服務(wù)器信任文件 bms. truststore禾口代理端信任文件- bmc. truststore;步驟4:客戶端部署代理端文件和服務(wù)器端信任文件執(zhí)行完生成證書模塊后，生成證書模塊的輸出信號分為兩路， 一路傳遞到客戶端部署代理端文件和服務(wù)器端信任文件模塊，為網(wǎng)絡(luò) 客戶端部署代理端文件bmc.keystore與服務(wù)器信任文件 bms. truststore兩個文件；步驟5:服務(wù)端部署服務(wù)端文件和代理端信任文件執(zhí)行完生成證書模塊后，生成證書模塊的輸出信號的另一路傳 遞到服務(wù)端部署服務(wù)端文件和代理端信任文件模塊，為服務(wù)端部署服務(wù)器端文件bms. keystore與代理端信任文件bmc. truststore兩個文 件；步驟6:使用代理端文件獲取數(shù)字簽名執(zhí)行完客戶端部署代理端文件和服務(wù)器端信任文件模塊后，則 進(jìn)入使用代理端文件獲取數(shù)字簽名模塊，客戶端調(diào)用接口時用代理端 文件bmc. keystore的私鑰數(shù)字簽名；步驟7:使用服務(wù)器端信任文件進(jìn)行加密執(zhí)行完使用代理端文件獲取數(shù)字簽名模塊后，則進(jìn)入使用服務(wù)器端信任文件進(jìn)行加密模塊，使用服務(wù)器端信任文件進(jìn)行加密模塊的輸出信號傳遞到服務(wù)端部署服務(wù)端文件和代理端信任文件模塊；用服務(wù)器信任文件bms.truststore的公鑰對簡單物件存取協(xié)定SOAP包做加密；步驟8:使用代理端信任文件解密 執(zhí)行完服務(wù)端部署服務(wù)端文件和代理端信任文件模塊后，則進(jìn) 入使用代理端信任文件解密模塊，處理響應(yīng)時用代理端文件 bmc. keystore的私鑰對簡單物件存取協(xié)定SOAP包做解密； 步驟9:使用服務(wù)端文件進(jìn)行數(shù)字簽名驗證 執(zhí)行完使用代理端信任文件解密模塊后，則進(jìn)入使用服務(wù)端文 件進(jìn)行數(shù)字簽名驗證模塊，用服務(wù)器信任文件bms. truststore的公鑰 驗證數(shù)字簽名。所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法的數(shù)字簽名與加密工作為基于阿帕奇擴(kuò)展網(wǎng)際系統(tǒng)AXIS,通過客戶端和服務(wù) 端A之間的發(fā)送和接收完成，客戶端和服務(wù)端A之間為加密SOAP包 模塊和傳輸協(xié)議HTTP的電連接，其中客戶端包括對SOAP消息使用數(shù)字證書進(jìn)行簽名模塊、對SOAP 消息進(jìn)行加密模塊和加密函數(shù)模塊，對SOAP消息使用數(shù)字證書進(jìn)行 簽名模塊的輸出信號傳遞到對SOAP消息進(jìn)行加密模塊的輸入端；加 密函數(shù)模塊的輸出信號傳遞到對SOAP消息進(jìn)行加密模塊的輸入端；服務(wù)端A包括對數(shù)字證書進(jìn)行驗證模塊，對SOAP消息進(jìn)行解密模塊和解密函數(shù)模塊，對數(shù)字證書進(jìn)行驗證模塊的輸出信號傳遞到 對SOAP消息進(jìn)行解密模塊的輸入端；解密函數(shù)模塊的輸出信號傳遞 到對SOAP消息進(jìn)行解密模塊的輸入端；該數(shù)字簽名與加密工作包括 以下步驟步驟1:客戶端 在客戶端通過簽名函數(shù)對簡單物件存取協(xié)定SOAP信息進(jìn)行加密；步驟2:加密過程 加密時，首先獲得私有鑰匙和相關(guān)證書，然后對簡單物件存取 協(xié)定SOAP消息進(jìn)行簽名，最后將簽名后的文件通過傳輸協(xié)議HTTP協(xié) 議發(fā)送到服務(wù)端；步驟3:服務(wù)端A 服務(wù)端A通過數(shù)據(jù)驗證函數(shù)驗證已經(jīng)簽名的簡單物件存取協(xié)定SOAP消息；步驟4:解密過程驗證后根據(jù)私有key和相關(guān)證書對文檔進(jìn)行解密。所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法的網(wǎng)絡(luò)服 務(wù)過濾包括代理端和服務(wù)端B，代理端和服務(wù)端B之間通過請求和響應(yīng)信號的電連接完成，其中代理端包括數(shù)字證書認(rèn)證、數(shù)字證書授權(quán)、內(nèi)容加密和日志記 錄模塊，各模塊之間為平行的電連接；服務(wù)端B包括數(shù)字證書驗證、內(nèi)容解密和網(wǎng)絡(luò)服務(wù)緩存模塊， 各模塊之間為平行的電連接；該網(wǎng)絡(luò)服務(wù)過濾工作包括以下步驟a) 、對客戶端進(jìn)行認(rèn)證、授權(quán)；b) 、把用戶的訪問寫入系統(tǒng)日志；c) 、對請求的簡單物件存取協(xié)定SOAP消息進(jìn)行加密，解密；d) 、為網(wǎng)絡(luò)服務(wù)對象做緩存。一種數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)的裝置，該裝置有 業(yè)務(wù)系統(tǒng)、中心數(shù)據(jù)庫和業(yè)務(wù)數(shù)據(jù)庫，還包括業(yè)務(wù)系統(tǒng)A、數(shù)據(jù)中 心和業(yè)務(wù)系統(tǒng)B;業(yè)務(wù)系統(tǒng)A中的共享文件夾A與業(yè)務(wù)系統(tǒng)B中的共 享文件夾B之間相互電連接；業(yè)務(wù)系統(tǒng)A中的數(shù)據(jù)代理A與數(shù)據(jù)中心中的數(shù)據(jù)交換中心之間相互電連接；數(shù)據(jù)中心中的數(shù)據(jù)交換中心與業(yè) 務(wù)系統(tǒng)B中的數(shù)據(jù)代理B之間相互電連接；其中業(yè)務(wù)系統(tǒng)A中依次順序連接有共享文件夾A、數(shù)據(jù)代理A和業(yè)務(wù)數(shù)據(jù)庫A;共享文件夾A、數(shù)據(jù)代理A和業(yè)務(wù)數(shù)據(jù)庫A之間為相互電連接，共享文件夾A與共享文件夾B之間相互電連接；數(shù)據(jù)中心中依次順序連接有中心數(shù)據(jù)庫和數(shù)據(jù)交換中心；中心數(shù) 據(jù)庫和數(shù)據(jù)交換中心之間相互電連接；業(yè)務(wù)系統(tǒng)B中依次順序連接有共享文件夾B、數(shù)據(jù)代理B和業(yè)務(wù) 數(shù)據(jù)庫B;共享文件夾B、數(shù)據(jù)代理B和業(yè)務(wù)數(shù)據(jù)庫B之間為相互電 連接，數(shù)據(jù)代理B與數(shù)據(jù)交換中心之間相互電連接。本發(fā)明的有益效果是該方法提供了 一種在數(shù)據(jù)共享交換的過程 中安全網(wǎng)絡(luò)服務(wù)實現(xiàn)，使應(yīng)用程序能夠構(gòu)建安全的簡單物件存取協(xié)定 SOAP消息交換、獲得端到端的消息級安全；可擴(kuò)展標(biāo)記語言XML 簽名用于認(rèn)證發(fā)送者的身份、確保簡單物件存取協(xié)定SOAP消息的 完整性，并對可擴(kuò)展標(biāo)記語言XML加密提高了數(shù)據(jù)的安全性；采取 基于數(shù)字簽名的加密技術(shù)，可以確保信息傳遞過程中機(jī)密性、完整性 以及一致性；具有方便了用戶，提升了服務(wù)質(zhì)量等優(yōu)點。


下面結(jié)合附圖和實施例對本發(fā)明進(jìn)一步說明。 附圖1為本發(fā)明硬件環(huán)境結(jié)構(gòu)方框示意圖；附圖2為本發(fā)明數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)的總工作流 程示意圖；附圖3為本發(fā)明的數(shù)字簽名與加密工作流程示意圖；附圖4為本發(fā)明的網(wǎng)絡(luò)服務(wù)過濾流程示意圖；附圖5為本發(fā)明實施例之一的應(yīng)用系統(tǒng)實現(xiàn)流程示意圖；附圖中標(biāo)號說明 l一編寫證書腳本；2— 執(zhí)行腳本；3— 生成證書；4一客戶端部署代理端文件和服務(wù)器端信任文件;5— 服務(wù)端部署服務(wù)端文件和代理端信任文件；6— 使用代理端文件獲取數(shù)字簽名；7— 使用服務(wù)器端信任文件進(jìn)行加密；8— 使用代理端信任文件解密；9— 使用服務(wù)端文件進(jìn)行數(shù)字簽名驗證；10— 業(yè)務(wù)數(shù)據(jù)庫B; ll一業(yè)務(wù)系統(tǒng)A;12— 共享文件夾A;13— 業(yè)務(wù)數(shù)據(jù)庫A; "一數(shù)據(jù)代理A;15— 數(shù)據(jù)中心；16— 中心數(shù)據(jù)庫；17— 數(shù)據(jù)交換中心；18— 業(yè)務(wù)系統(tǒng)B; 19一共享文件夾B; 20—數(shù)據(jù)代理B;21— 客戶端；22— 服務(wù)端A;23— 加密S0AP包；24— 傳輸協(xié)議HTTP;25— 對SOAP消息使用數(shù)字證書進(jìn)行簽名;26— 對S0AP消息進(jìn)行加密；27— 加密函數(shù)；28— 對數(shù)字證書進(jìn)行驗證；29— 對SOAP消息進(jìn)行解密；30— 解密函數(shù)；31— 代理端；32— 服務(wù)端B;33— 請求；34— 響應(yīng)；35— 數(shù)字證書認(rèn)證；36— 數(shù)字證書授權(quán)；37— 內(nèi)容加密；38— 日志記錄；39— 數(shù)字證書驗證；40— 內(nèi)容解密； 41一網(wǎng)絡(luò)服務(wù)緩存；51— 發(fā)送方A數(shù)據(jù)打包；52— 數(shù)字簽名并加密；53— 發(fā)送結(jié)果到中間庫；54— 中間庫C驗證并保存數(shù)據(jù)；55— 向發(fā)送方返回歷史記錄；56— 接收方B從中間庫獲取XML;57— 解密XML，驗證數(shù)字證書；58— 向中間庫數(shù)據(jù)置位；59— 解析XML入庫；60— 向接收方返回歷史記錄。
具體實施方式
請參閱附圖l、 2、 3、 4所示，該方法運行于異構(gòu)系統(tǒng)之間數(shù)據(jù)交換傳輸過程，通過網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP進(jìn)行網(wǎng)絡(luò) 服務(wù)過濾和數(shù)據(jù)交換，獲得端到端的消息級安全；通過數(shù)據(jù)加密、數(shù) 字證書和數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)，對可擴(kuò)展標(biāo)記語言XML 進(jìn)行數(shù)字簽名與加密工作，實現(xiàn)數(shù)據(jù)的安全性；采用Verisign公司 傳輸協(xié)議HTTP的信任服務(wù)集成工具箱，支持完成簡單物件存取協(xié)定 SOAP包的數(shù)字簽名、驗證、加密與解密工作；該數(shù)據(jù)共享交換過程 中安全網(wǎng)絡(luò)服務(wù)的工作流程，具體包括以下步驟 步驟1:編寫證書腳本l用Verisign公司的信任服務(wù)集成工具箱的使用標(biāo)準(zhǔn)，編寫數(shù)據(jù)證書生成腳本，為編寫證書腳本l模塊；步驟2:執(zhí)行腳本2執(zhí)行完編寫證書腳本1模塊后，編寫證書腳本1模塊的輸出信 號傳遞到執(zhí)行腳本2模塊；步驟3:生成證書3執(zhí)行完執(zhí)行腳本2模塊后，執(zhí)行腳本2模塊的輸出信號傳遞到 生成證書3模塊；通過數(shù)字證書腳本生成四個文件服務(wù)器端文件 bms. keystore;代理端文件bmc. keystore;服務(wù)器信任文件 bms. truststore禾口代理端信任文件bmc. trust store;步驟4:客戶端部署代理端文件和服務(wù)器端信任文件4執(zhí)行完生成證書3模塊后，生成證書3模塊的輸出信號分為兩 路， 一路傳遞到客戶端部署代理端文件和服務(wù)器端信任文件4模塊， 為網(wǎng)絡(luò)客戶端部署代理端文件bmc. keystore與服務(wù)器信任文件 bms. truststore兩個文件；步驟5:服務(wù)端部署服務(wù)端文件和代理端信任文件5執(zhí)行完生成證書3模塊后，生成證書3模塊的輸出信號的另一 路傳遞到服務(wù)端部署服務(wù)端文件和代理端信任文件5模塊，為服務(wù) 端部署服務(wù)器端文件bms. keystore與代理端信任文件 bmc. truststore兩個文件；步驟6:使用代理端文件獲取數(shù)字簽名6執(zhí)行完客戶端部署代理端文件和服務(wù)器端信任文件4模塊后， 則進(jìn)入使用代理端文件獲取數(shù)字簽名6模塊，客戶端調(diào)用接口時用 代理端文件bmc. keystore的私鑰數(shù)字簽名；步驟7:使用服務(wù)器端信任文件進(jìn)行加密7 執(zhí)行完使用代理端文件獲取數(shù)字簽名6模塊后，則進(jìn)入使用服 務(wù)器端信任文件進(jìn)行加密7模塊，使用服務(wù)器端信任文件進(jìn)行加密 7模塊的輸出信號傳遞到服務(wù)端部署服務(wù)端文件和代理端信任文件 5模塊；用服務(wù)器信任文件bms. truststore的公鑰對簡單物件存取協(xié) 定SOAP包做加密；步驟8:使用代理端信任文件解密8 執(zhí)行完服務(wù)端部署服務(wù)端文件和代理端信任文件5模塊后，則 進(jìn)入使用代理端信任文件解密8模塊，處理響應(yīng)時用代理端文件 bmc.keystore的私鑰對簡單物件存取協(xié)定SOAP包做解密； 步驟9:使用服務(wù)端文件進(jìn)行數(shù)字簽名驗證9 執(zhí)行完使用代理端信任文件解密8模塊后，則進(jìn)入使用服務(wù)端 文件進(jìn)行數(shù)字簽名驗證9模塊，用服務(wù)器信任文件bms. truststore的公鑰驗證數(shù)字簽名。請參閱附圖3所示，所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加 密技術(shù)方法的數(shù)字簽名與加密工作為基于阿帕奇擴(kuò)展網(wǎng)際系統(tǒng)AXIS， 通過客戶端21和服務(wù)端A22之間的發(fā)送和接收完成，客戶端21和 服務(wù)端A 22之間為加密SOAP包23模塊和傳輸協(xié)議HTTP 24的電連 接，其中客戶端21包括對SOAP消息使用數(shù)字證書進(jìn)行簽名25模塊、 對SOAP消息進(jìn)行加密26模塊和加密函數(shù)27模塊，對S0AP消息使 用數(shù)字證書進(jìn)行簽名25模塊的輸出信號傳遞到對SOAP消息進(jìn)行加 密26模塊的輸入端；加密函數(shù)27模塊的輸出信號傳遞到對SOAP 消息進(jìn)行加密26模塊的輸入端；服務(wù)端A 22包括對數(shù)字證書進(jìn)行驗證28模塊，對SOAP消 息進(jìn)行解密29模塊和解密函數(shù)30模塊，對數(shù)字證書進(jìn)行驗證28 模塊的輸出信號傳遞到對SOAP消息進(jìn)行解密29模塊的輸入端；解 密函數(shù)30模塊的輸出信號傳遞到對S0AP消息進(jìn)行解密29模塊的輸 入端；該數(shù)字簽名與加密工作包括以下步驟步驟1:客戶端21 在客戶端21通過簽名函數(shù)對簡單物件存取協(xié)定S0AP信息進(jìn) 行加密；步驟2:加密過程 加密時，首先獲得私有鑰匙和相關(guān)證書，然后對簡單物件存取協(xié)定S0AP消息進(jìn)行簽名，最后將簽名后的文件通過傳輸協(xié)議HTTP 24 協(xié)議發(fā)送到服務(wù)端；步驟3:服務(wù)端A 22 服務(wù)端A 22通過數(shù)據(jù)驗證函數(shù)驗證己經(jīng)簽名的簡單物件存取 協(xié)定S0AP消息；步驟4:解密過程驗證后根據(jù)私有key和相關(guān)證書對文檔進(jìn)行解密。 本發(fā)明數(shù)字簽名與加密工作的實施方式O)在客戶端通過簽名函數(shù)對簡單物件存取協(xié)定SOAP (SIMPLE OBJECT ACCESS PROTOCOL)信息進(jìn)行加密；② 加密時，首先獲得私有鑰匙和相關(guān)證書，然后對簡單物件存取 協(xié)定SOAP (SIMPLE OBJECT ACCESS PROTOCOL)消息進(jìn)行簽名，最后將簽名后的文件通過傳輸協(xié)議HTTP ( HYPERTEXT TRANSPORT PROTOCOL)協(xié)議發(fā)送到服務(wù)端；③服務(wù)端通過數(shù)據(jù)驗證函數(shù)驗證已經(jīng)簽名的簡單物件存取協(xié)定 (SOAP,全寫為SIMPLE OBJECT ACCESS PROTOCOL)消息；③ 驗證后根據(jù)私有key和相關(guān)證書對文檔進(jìn)行解密。 請參閱附圖4所示，所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法的網(wǎng)絡(luò)服務(wù)過濾包括代理端31和服務(wù)端B32，代理端31 和服務(wù)端B 32之間通過請求33和響應(yīng)34信號的電連接完成，其中 代理端31包括數(shù)字證書認(rèn)證35、數(shù)字證書授權(quán)36、內(nèi)容加密37和日志記錄38模塊，各模塊之間為平行的電連接；服務(wù)端B 32包括數(shù)字證書驗證39、內(nèi)容解密40和網(wǎng)絡(luò)服務(wù) 緩存41模塊，各模塊之間為平行的電連接；該網(wǎng)絡(luò)服務(wù)過濾工作包括以下步驟a)、對客戶端進(jìn)行認(rèn)證、授權(quán)； b)、把用戶的訪問寫入系統(tǒng)日志；c)、對請求的簡單物件存取協(xié)定SOAP消息進(jìn)行加密，解密；d)、為網(wǎng)絡(luò)服務(wù)對象做緩存。請參閱附圖1所示， 一種數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技 術(shù)的裝置，該裝置由業(yè)務(wù)系統(tǒng)、中心數(shù)據(jù)庫和業(yè)務(wù)數(shù)據(jù)庫等模塊，還包括業(yè)務(wù)系統(tǒng)All、數(shù)據(jù)中心15和業(yè)務(wù)系統(tǒng)B18;業(yè)務(wù)系統(tǒng)All 中的共享文件夾A 12與業(yè)務(wù)系統(tǒng)B 18中的共享文件夾B 19之間相 互電連接；業(yè)務(wù)系統(tǒng)A ll中的數(shù)據(jù)代理A 14與數(shù)據(jù)中心15中的數(shù) 據(jù)交換中心17之間相互電連接；數(shù)據(jù)中心15中的數(shù)據(jù)交換中心17 與業(yè)務(wù)系統(tǒng)B 18中的數(shù)據(jù)代理B 20之間相互電連接；其中業(yè)務(wù)系統(tǒng)A 11中依次順序連接有共享文件夾A 12、數(shù)據(jù)代理A 14 和業(yè)務(wù)數(shù)據(jù)庫A 13;共享文件夾A 12、數(shù)據(jù)代理A 14和業(yè)務(wù)數(shù)據(jù)庫 A 13之間為相互電連接，共享文件夾A 12與共享文件夾B 19之間 相互電連接；數(shù)據(jù)中心15中依次順序連接有中心數(shù)據(jù)庫16和數(shù)據(jù)交換中心 17;中心數(shù)據(jù)庫16和數(shù)據(jù)交換中心17之間相互電連接業(yè)務(wù)系統(tǒng)B 18中依次順序連接有共享文件夾B 19、數(shù)據(jù)代理B 20和業(yè)務(wù)數(shù)據(jù)庫B 10;共享文件夾B 19、數(shù)據(jù)代理B 20和業(yè)務(wù)數(shù) 據(jù)庫B 10之間為相互電連接，數(shù)據(jù)代理B 20與數(shù)據(jù)交換中心17之 間相互電連接。本發(fā)明硬件環(huán)境的實施方式(D數(shù)據(jù)中心包括數(shù)據(jù)項管理、網(wǎng)絡(luò)服務(wù)以及簡單物件存取協(xié)定 SOAP (SIMPLE OBJECT ACCESS PROTOCOL)信息的加密、解密功能； 網(wǎng)絡(luò)服務(wù)處理來自數(shù)據(jù)代理端的接口調(diào)用。②數(shù)據(jù)代理主要完成數(shù)據(jù)提供和數(shù)據(jù)接收兩部分功能。每個數(shù)據(jù) 庫運行一個數(shù)據(jù)代理端，也可多個數(shù)據(jù)庫運行一個代理端，代理段也 提供網(wǎng)絡(luò)服務(wù)以及簡單物件存取協(xié)定SOAP (SIMPLE OBJECT ACCESS PROTOCOL)信息的加密、解密功能。請參閱附圖5所示，為本發(fā)明實施例之一的應(yīng)用系統(tǒng)實現(xiàn)流程圖，具體包括以下步驟-步驟l.發(fā)送方A數(shù)據(jù)打包(51)設(shè)業(yè)務(wù)系統(tǒng)A ll為發(fā)送方A，即數(shù)據(jù)提供方A，準(zhǔn)備發(fā)送方A數(shù)據(jù)打包(51)工作；步驟2.數(shù)字簽名并加密(52)執(zhí)行完發(fā)送方A數(shù)據(jù)打包(51)模塊后，則進(jìn)入數(shù)字簽名并加密(52)模塊；步驟3.發(fā)送結(jié)果到中間庫(53)執(zhí)行完數(shù)字簽名并加密(52)模塊后，則進(jìn)入發(fā)送結(jié)果到中間庫(53)模塊；步驟4.中間庫C驗證并保存數(shù)據(jù)(54)執(zhí)行完發(fā)送結(jié)果到中間庫(53)模塊后，則進(jìn)入中間庫C驗證并保存數(shù)據(jù)(54)模塊，中間庫C驗證并保存數(shù)據(jù)(54)的輸出信號分為三路，第一路傳遞到向發(fā)送方返回歷史記錄(55)模塊，第二路傳遞到接收方B從中間庫獲取XML (56)模塊，第三路傳遞到向接收方返回歷史記錄(60)模塊；步驟5.解密XML，驗證數(shù)字證書(57)執(zhí)行完接收方B從中間庫獲取XML (56)模塊后，則進(jìn)入解密XML，驗證數(shù)字證書(57);步驟6.向中間庫數(shù)據(jù)置位(58)執(zhí)行完解密XML，驗證數(shù)字證書(57)模塊后，則進(jìn)入向中間庫數(shù)據(jù)置位(58);步驟7.解析XML入庫(59)執(zhí)行完向中間庫數(shù)據(jù)置位(58)模塊后，則進(jìn)入解析XML入庫(59)模塊。本發(fā)明實施例之一的應(yīng)用系統(tǒng)實施方式-現(xiàn)業(yè)務(wù)系統(tǒng)A ll為發(fā)送方即數(shù)據(jù)提供方A，業(yè)務(wù)系統(tǒng)B 12為獲 取方即數(shù)據(jù)獲取方B，數(shù)據(jù)中心即中間庫為C, A通過C共享數(shù)據(jù)給B:O由A定義要共享的關(guān)系型數(shù)據(jù)表描述，提交給C及B;各代理端在自己系統(tǒng)中建立相應(yīng)的提供項，根據(jù)A提供的描述形成自己的導(dǎo) 入項；② C根據(jù)A提供的數(shù)據(jù)表描述，在系統(tǒng)中建立相應(yīng)的共享數(shù)據(jù)目 錄、定義共享時的數(shù)據(jù)格式可擴(kuò)展標(biāo)記語言XML( EXTENSIBLE MARKUP LANGUAGE) Schema (保存于網(wǎng)絡(luò)服務(wù)器)。B也可在本系統(tǒng)內(nèi)建立數(shù) 據(jù)接收項及可擴(kuò)展標(biāo)記語言XML ( EXTENSIBLE MARKUP LANGUAGE) Element/字段對應(yīng)關(guān)系，便于B接收數(shù)據(jù)。B方相應(yīng)的數(shù)據(jù)庫表結(jié)構(gòu) 自行定義，但要與數(shù)據(jù)接收項目的相關(guān)元素吻合；③ A定時啟動數(shù)據(jù)提供進(jìn)程，把上一次沒有共享(新增的或修改 過)的記錄根據(jù)規(guī)則打成可擴(kuò)展標(biāo)記語言XML ( EXTENSIBLE MARKUP LANGUAGE)包，此XML文件必須遵循上面定義的XML ( EXTENSIBLE MARKUP LANGUAGE) Schema。經(jīng)過安全處理后通過C提供的接口保存 至中心數(shù)據(jù)庫，如果C確認(rèn)接收則修改相應(yīng)記錄的標(biāo)志位標(biāo)識已經(jīng)發(fā) 送。如果數(shù)據(jù)要求的優(yōu)先級較高，要求通知B;⑨B定時啟動數(shù)據(jù)接收進(jìn)程。通過C提供的査詢接口知曉是否有 向自己共享的數(shù)據(jù)，有則從中心數(shù)據(jù)庫獲取可擴(kuò)展標(biāo)記語言XML (EXTENSIBLE MARKUP LANGUAGE)數(shù)據(jù)，收到數(shù)據(jù)后，經(jīng)過XML (EXTENSIBLE MARKUP LANGUAGE) -to-Table轉(zhuǎn)換到數(shù)據(jù)庫中，并 修改C中的接收標(biāo)志；A構(gòu)建的可擴(kuò)展標(biāo)記語言XML ( EXTENSIBLE MARKUP LANGUAGE)包中包括附件信息，則B在解析時將提取相應(yīng)的 FTP地址或傳輸協(xié)議HTTP (HYPERTEXT TRANSPORT PROTOCOL)地址， 加入到附件獲取列表,從A的共享文件夾中下載到B的共享文件夾中。
權(quán)利要求
1、一種數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法，其特征在于該方法運行于異構(gòu)系統(tǒng)之間數(shù)據(jù)交換傳輸過程，通過網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP進(jìn)行網(wǎng)絡(luò)服務(wù)過濾和數(shù)據(jù)交換，獲得端到端的消息級安全；通過數(shù)據(jù)加密、數(shù)字證書和數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)，對可擴(kuò)展標(biāo)記語言XML進(jìn)行數(shù)字簽名與加密工作，實現(xiàn)數(shù)據(jù)的安全性；采用Verisign公司傳輸協(xié)議HTTP的信任服務(wù)集成工具箱，支持完成簡單物件存取協(xié)定SOAP包的數(shù)字簽名、驗證、加密與解密工作；該數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)的工作流程，具體包括以下步驟步驟1編寫證書腳本(1)用Verisign公司的信任服務(wù)集成工具箱的使用標(biāo)準(zhǔn)，編寫數(shù)據(jù)證書生成腳本，為編寫證書腳本(1)模塊；步驟2執(zhí)行腳本(2)執(zhí)行完編寫證書腳本(1)模塊后，編寫證書腳本(1)模塊的輸出信號傳遞到執(zhí)行腳本(2)模塊；步驟3生成證書(3)執(zhí)行完執(zhí)行腳本(2)模塊后，執(zhí)行腳本(2)模塊的輸出信號傳遞到生成證書(3)模塊；通過數(shù)字證書腳本生成四個文件服務(wù)器端文件bms.keystore；代理端文件bmc.keystore；服務(wù)器信任文件bms.trust store和代理端信任文件bmc.trust store；步驟4客戶端部署代理端文件和服務(wù)器端信任文件(4)執(zhí)行完生成證書(3)模塊后，生成證書(3)模塊的輸出信號分為兩路，一路傳遞到客戶端部署代理端文件和服務(wù)器端信任文件(4)模塊，為網(wǎng)絡(luò)客戶端部署代理端文件bmc.keystore與服務(wù)器信任文件bms.truststore兩個文件；步驟5服務(wù)端部署服務(wù)端文件和代理端信任文件(5)執(zhí)行完生成證書(3)模塊后，生成證書(3)模塊的輸出信號的另一路傳遞到服務(wù)端部署服務(wù)端文件和代理端信任文件(5)模塊，為服務(wù)端部署服務(wù)器端文件bms.keystore與代理端信任文件bmc.truststore兩個文件；步驟6使用代理端文件獲取數(shù)字簽名(6)執(zhí)行完客戶端部署代理端文件和服務(wù)器端信任文件(4)模塊后，則進(jìn)入使用代理端文件獲取數(shù)字簽名(6)模塊，客戶端調(diào)用接口時用代理端文件bmc.keystore的私鑰數(shù)字簽名；步驟7使用服務(wù)器端信任文件進(jìn)行加密(7)執(zhí)行完使用代理端文件獲取數(shù)字簽名(6)模塊后，則進(jìn)入使用服務(wù)器端信任文件進(jìn)行加密(7)模塊，使用服務(wù)器端信任文件進(jìn)行加密(7)模塊的輸出信號傳遞到服務(wù)端部署服務(wù)端文件和代理端信任文件(5)模塊；用服務(wù)器信任文件bms.truststore的公鑰對簡單物件存取協(xié)定SOAP包做加密；步驟8使用代理端信任文件解密(8)執(zhí)行完服務(wù)端部署服務(wù)端文件和代理端信任文件(5)模塊后，則進(jìn)入使用代理端信任文件解密(8)模塊，處理響應(yīng)時用代理端文件bmc.keystore的私鑰對簡單物件存取協(xié)定SOAP包做解密；步驟9使用服務(wù)端文件進(jìn)行數(shù)字簽名驗證(9)執(zhí)行完使用代理端信任文件解密(8)模塊后，則進(jìn)入使用服務(wù)端文件進(jìn)行數(shù)字簽名驗證(9)模塊，用服務(wù)器信任文件bms.truststore的公鑰驗證數(shù)字簽名。
2、根據(jù)權(quán)利要求1所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密 技術(shù)方法，其特征在于所述的數(shù)字簽名與加密工作為基于阿帕奇擴(kuò) 展網(wǎng)際系統(tǒng)AXIS，通過客戶端(21)和服務(wù)端A (22)之間的發(fā)送和 接收完成，客戶端(21)和服務(wù)端A (22)之間為加密SOAP包(23) 模塊和傳輸協(xié)議HTTP (24)的電連接，其中-客戶端(21)包括對SOAP消息使用數(shù)字證書進(jìn)行簽名(25) 模塊、對SOAP消息進(jìn)行加密(26)模塊和加密函數(shù)(27)模塊，對 SOAP消息使用數(shù)字證書進(jìn)行簽名(25)模塊的輸出信號傳遞到對SOAP 消息進(jìn)行加密(26)模塊的輸入端；加密函數(shù)(27)模塊的輸出信號 傳遞到對SOAP消息進(jìn)行加密(26)模塊的輸入端；服務(wù)端A (22)包括對數(shù)字證書進(jìn)行驗證(28)模塊，對S0AP 消息進(jìn)行解密(29)模塊和解密函數(shù)(30)模塊，對數(shù)字證書進(jìn)行驗 證(28)模塊的輸出信號傳遞到對SOAP消息進(jìn)行解密(29)模塊的 輸入端；解密函數(shù)(30)模塊的輸出信號傳遞到對SOAP消息進(jìn)行解 密(29)模塊的輸入端；該數(shù)字簽名與加密工作包括以下步驟步驟1:客戶端(21) 在客戶端(21)通過簽名函數(shù)對簡單物件存取協(xié)定S0AP信息 進(jìn)行加密；步驟2:加密過程 加密時，首先獲得私有鑰匙和相關(guān)證書，然后對簡單物件存取 協(xié)定S0AP消息進(jìn)行簽名，最后將簽名后的文件通過傳輸協(xié)議HTTP (24)協(xié)議發(fā)送到服務(wù)端； 步驟3:服務(wù)端A (22) 服務(wù)端A (22)通過數(shù)據(jù)驗證函數(shù)驗證已經(jīng)簽名的簡單物件存 取協(xié)定S0AP消息；步驟4:解密過程驗證后根據(jù)私有key和相關(guān)證書對文檔進(jìn)行解密。
3、根據(jù)權(quán)利要求1所述的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密 技術(shù)方法，其特征在于所述的網(wǎng)絡(luò)服務(wù)過濾包括代理端(31)和 服務(wù)端B (32)，代理端(31)和服務(wù)端B (32)之間通過請求(33) 和響應(yīng)(34)信號的電連接完成，其中代理端(31)包括數(shù)字證書認(rèn)證(35)、數(shù)字證書授權(quán)(36)、 內(nèi)容加密(37)和日志記錄(38)模塊，各模塊之間為平行的電連接； 服務(wù)端B (32)包括數(shù)字證書驗證(39)、內(nèi)容解密(40)和 網(wǎng)絡(luò)服務(wù)緩存(41)模塊，各模塊之間為平行的電連接；該網(wǎng)絡(luò)服務(wù)a)、對客戶端進(jìn)行認(rèn)證、授權(quán)； b)、把用戶的訪問寫入系統(tǒng)日志；C)、對請求的簡單物件存取協(xié)定SOAP消息進(jìn)行加密，解密；d)、為網(wǎng)絡(luò)服務(wù)對象做緩存。
4、 一種數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)的裝置，該裝置有業(yè)務(wù)系統(tǒng)、中心數(shù)據(jù)庫和業(yè)務(wù)數(shù)據(jù)庫，其特征在于還包括業(yè)務(wù)系統(tǒng)A (11)、數(shù)據(jù)中心(15)和業(yè)務(wù)系統(tǒng)B (18);業(yè)務(wù)系統(tǒng)A (11) 中的共享文件夾A (12)與業(yè)務(wù)系統(tǒng)B (18)中的共享文件夾B (19) 之間相互電連接；業(yè)務(wù)系統(tǒng)A (11)中的數(shù)據(jù)代理A (14)與數(shù)據(jù)中 心(15)中的數(shù)據(jù)交換中心(17)之間相互電連接；數(shù)據(jù)中心(15) 中的數(shù)據(jù)交換中心(17)與業(yè)務(wù)系統(tǒng)B (18)中的數(shù)據(jù)代理B (20) 之間相互電連接；其中業(yè)務(wù)系統(tǒng)A (11)中依次順序連接有共享文件夾A (12)、數(shù)據(jù)代 理A (14)和業(yè)務(wù)數(shù)據(jù)庫A (13);共享文件夾A (12)、數(shù)據(jù)代理A (14)和業(yè)務(wù)數(shù)據(jù)庫A (13)之間為相互電連接，共享文件夾A (12) 與共享文件夾B (19)之間相互電連接；數(shù)據(jù)中心(15)中依次順序連接有中心數(shù)據(jù)庫(16)和數(shù)據(jù)交換 中心(17);中心數(shù)據(jù)庫(16)和數(shù)據(jù)交換中心(17)之間相互電連 接；業(yè)務(wù)系統(tǒng)B (18)中依次順序連接有共享文件夾B (19)、數(shù)據(jù)代理B (20)和業(yè)務(wù)數(shù)據(jù)庫B (10);共享文件夾B (19)、數(shù)據(jù)代理B(20)和業(yè)務(wù)數(shù)據(jù)庫B (10)之間為相互電連接，數(shù)據(jù)代理B (20) 與數(shù)據(jù)交換中心(17)之間相互電連接。
全文摘要
一種涉及信息技術(shù)領(lǐng)域的電子產(chǎn)品服務(wù)方法，尤旨在異構(gòu)系統(tǒng)之間數(shù)據(jù)交換傳輸過程中基于數(shù)字簽名的加密技術(shù)的實現(xiàn)，主要應(yīng)用于網(wǎng)絡(luò)服務(wù)中的數(shù)據(jù)交換傳輸中基于數(shù)字簽名的加密技術(shù)方法。該方法通過網(wǎng)絡(luò)服務(wù)使用簡單物件存取協(xié)定SOAP進(jìn)行網(wǎng)絡(luò)服務(wù)過濾和數(shù)據(jù)交換，獲得端到端的消息級安全；通過數(shù)據(jù)加密、數(shù)字證書和數(shù)據(jù)共享交換過程中安全網(wǎng)絡(luò)服務(wù)，對可擴(kuò)展標(biāo)記語言XML進(jìn)行數(shù)字簽名與加密工作，實現(xiàn)數(shù)據(jù)的安全性；主要解決如何確保信息傳遞過程中機(jī)密性、完整性以及一致性等有關(guān)技術(shù)問題。本發(fā)明的積極效果是采取基于數(shù)字簽名的加密技術(shù)，可以確保信息傳遞過程中機(jī)密性、完整性以及一致性；具有方便了用戶，提升了服務(wù)質(zhì)量等優(yōu)點。
文檔編號H04L9/14GK101247232SQ20081003527
公開日2008年8月20日 申請日期2008年3月27日 優(yōu)先權(quán)日2008年3月27日
發(fā)明者彬 張, 李曉丹, 茵 童, 袁文聰, 計巖平, 任 陳, 銘 陳 申請人:上海金鑫計算機(jī)系統(tǒng)工程有限公司