基于云端安全的数字签名技术研究与应用

2020-11-10郭国智郭湘杰

无线互联科技 2020年15期

郭国智，郭湘杰

(交通工程学院电信学院，衡阳湖南 421001)

1 传统数字签名技术存在的问题

信息技术及“互联网+”使得单位和个人下线交易、业务办理、文件传送等事务处理越来越多地转接到了网上，无须双方见面。传统数字签名技术[1]确保了网上用户身份的认证及数据传输中的完整、保密、真实，交易不可抵赖，但双方的运行系统环境、终端设备及文件格式(签名文件往往不兼容)等因素都制约着签名文件的发展。架设于云服务器的云端数字签名技术开发的应用系统，既实现双方数字签名，又解决了双方环境、终端及文件的差异，同时共享及交互服务器现有资源和文本，解决传统签名技术存在的上述问题等，实现了数字签名的方便快捷及签名文件的跨平台操作。

2 云端数字签名

2.1 数字签名技术

数字签名即电子签名，对待发数据运用加密算法生成一串数据(即密钥)与现实中文件的手写签名加印章相同，与原文件一并发送给对方，待接收方收到原文件后，用密钥验证发送方发来的原文件的真伪。

传统数字签名过程是发送者用hash对原文件运算，运算结果是128位散列值(即信息摘要)，通过公钥和私钥对其进行加密得到密文，即进行了数字签名操作，将密文与原文一起发送给接收者。接收者利用公钥算法和公钥解密收到的签名文件，得到消息摘要一，再用hash对收到的文件进行一次运算，运算结果与发送者发送时用hash对原文件运算的结果不同，是一串新的128位的散列值(即信息摘要二)。然后接收者对比信息摘要一与信息摘要二的差异，若一致，文件未被篡改，反之被篡改过。

2.2 云端签名技术

云提供新兴的网络服务需求和动态、易扩展及虚拟化的网络资源。基于云端安全的数字签名技术是一种基础设施，包含以下功能：(1)提供的签名资源是可靠、便捷及有可塑性。(2)执行加解密操作是申请式数字签名模式。(3)用户的签名私钥既可存储，也可恢复。

架设云端服务器的签名系统是一种服务的形态，托管用户的签名私钥，向外提供服务。云端签名服务系统的具体实施方案标准化的问题，是借鉴效率、安全性、成本等方面都比较有优势的成熟数字签名标准去实施，并结合具体的资源和环境进行适当改进。

2.3 云端安全的签名技术的优势及其实现

(1)统一性。搭建在网上云端签名系统，用户先注册，再以户名及密码登录，最后云端签名，解决了用户间的文件不兼容及传输环境和设备的差异等问题。

(2)灵活快捷性。云端的数字签名系统架构为B/S模式，保证原有安全性以及签名操作跨平台性和不受终端设备限制的便捷性。

(3)扩展性。传统签名技术受制文件格式，而云端签名系统支持主流的doc，pdf，xls等文件格式，采取二进制签名以获取密钥。将待签名的文件生成PDF格式，通过云端服务器上的组件和程序实现加载，编辑PDF文件及文件的签章操作，全程操作既可视化又权威公正，现在各个领域广泛应用[2]。

3 云端安全的数字签名协议

3.1 云端数字签名的基本协议实体构成

依据云端签名技术[3]的应用要求，可以定义4个基本的协议实体：(1)签名者。提前将其私钥存储在云端加密机中，加密机是云端签名系统中加解密及管理密钥的装置，内部由安全加密处理器组成，确保系统安全可靠。在实际应用系统常用软件来模拟加密机。(2)视云端数字签名系统中的签名者和签名发起人为同一实体。签名者或发起人通过B/S模式架构进行交互，加密机则通过外设连接服务器或作为独立的加密服务器驻留于服务器端进行加解密操作及管理密匙。(3)代理服务器。代理服务器由支持HTTP协议的软件、数据库管理系统及各种应用程序构成，负责管理，监控用户对云端加密机的安全访问，用户身份的验证，收集及规范用户发送给加密机的数据格式等功能，是云端签名系统的操作接口。

3.2 云端签名技术的签名协议

签名过程中，用户注册后，都会被分配一个非对称的公私钥对(Kuser公，Kuser私)作为数字签名密钥，其中Kuser私来进行数字签名，它的保密性关系着整个服务的安全。加密机存储自己的公私钥对(Kuser公，Kuser私)、对称密钥K和生成动态口令算法的密码值OTPsecret，在签名服务过程中负责OTP值的生成与验证，口令解密，文档解密及私钥解密等多种工作(见表1)。

表1 标识符

代理服务器进行用户的身份验证，Kuser存储在加密机中作为用户的签名私钥。其中：

Kuser= SYMenc{SYMenc(Kuser私)}

(1)

OTP= GenOTP(Kuser+OTPsecret)

(2)

doc= SYMenc(doc)

(3)

Pass= ASYMKhsm(pass)

(4)

云端数字签名的整体流程，如图1所示。解密验证Pass，doc和Kuser私：

doc= SYMdec(doc)

(5)

Pass= ASYMKhsm(pass)

(6)

Kuser私= SYMenc{SYMenc(Kuser)}

(7)

验证通过则加密机调用Kuser私进行文件签名：

doc=SIGNKuser私(doc)

(8)

在整个签名服务系统中，文档、口令都是加密传输。用户注册口令Pass和加密机发送给签名者OTP两者都通过系统验证后方可调用私钥进行签名，而口令和移动设备的拥有者只有签名者本人，如此，签名服务确保了签名的唯一性和签名操作的可控性。

图1 云端数字签名的整体流程

4 云端数字签名技术在电子商务中的应用

4.1 构建云签系统

云签系统[4]以基础设施即服务(Infrastructure as a Service，IaaS)或软件即服务(Service as a Service，SaaS)模式构建。加密机购买或者用软件实现，通过外设接口连接到服务器或再配置服务器一起作业，数据安全又实现数据备份，同时又缓解了云签系统的运营压力。

兼顾云架构硬件成本，线路布设的灵活性和扩展性，选用性能稳定、功能强大、安全便利的多用户多任务Linux操作系统，利用系统自带的Apache，并整合Tomcat来搭建Web服务器，作为签名实体中的后台服务器。利用B/S模式实现用户身份的认证和用户原文件的签名及下载操作[5]。