一种电子签名混合云场景下无私钥签署方法技术

本发明专利技术提供一种电子签名混合云场景下无私钥签署方法，包括以下步骤：业务方向本地服务发起创建流程的申请；本地服务创建签署流程时，同时在云端签署服务创建云端流程，所述云端签署服务确保状态同步；本地服务直接访问云端签署服务，按照签名域循环签署；本地服务在每次签署时，需要请求云端签署服务进行校验流程、文档信息，在校验通过的情况下才继续签署；本地服务在签署时会调用云端签署服务，将文档和印章图片进行合并；完成本次签署后，本地服务、云端签署服务更新文档信息以及流程信息，完成整个文档的签署。所述电子签名混合云场景下无私钥签署方法具有以下优点：签署全流程，私钥无需透出；满足pkcs11接口可以集成各种加密硬件；厂商无需存储密钥；异步签署解决性能瓶颈。

【技术实现步骤摘要】
一种电子签名混合云场景下无私钥签署方法
本专利技术涉及一种电子签名方法，尤其是涉及一种电子签名混合云场景下无私钥签署方法。
技术介绍
电子签名的签署是基于PKI的数字签名技术，PKI是保证不安全的公共网络用户安全可靠的利用公钥和私钥来交换数据的信息技术模式。这种技术模式可以从信任中心来获得。公钥和私钥是一个整体，PKI加密是利用公钥来加密信息，并且只有相匹配的私钥才可以解密信息。电子签章利用图像处理技术将电子签名操作转化为与纸质文件盖章操作相同的可视效果，同时利用电子签名技术保障电子信息的真实性和完整性以及签名人的不可否认性，这里面对私钥的保护至关重要，现在电子签名平台保护私钥主要是以下方式：1、数据库，数据库加密存储密钥，如示例图1；2、ueky，私钥不出ueky，对个人用户使用不方便，ukey泄漏；3、kms，密钥管理平台，统一管理密钥，还是基于软件保存密钥，存在泄漏风险，如图2；4、加密机，加密机存储密钥，成本较高；5、sgx等硬件加密，依赖相关硬件支持，且硬件容量有限；不管哪种实现方式，密钥都存储在电子签名厂商的计算中心，客户仍然会担心自己的私钥安全性，所以最安全的方式就是私钥客户自己存储，又能解决签名问题。目前无私钥签署方式一些其他实现方式：(1)使用https、rpc接口等方式实现无私钥签名，存在很多安全和鉴权问题；(2)根据cloudfaressl握手协议实现远程无私钥签名，使用复杂，落地困难。
技术实现思路
本专利技术提供了一种电子签名混合云场景下无私钥签署方法，用于解决以下存在问题：(1)解决私钥不出客户环境，就可以签名；(2)解决私钥泄露，被黑客攻击；(3)解决私钥存储安全问题，以往私钥都保存在签名厂商，私钥存储一直是一个大问题；(4)签署过程异步获取私钥进行签署。其技术方案如下所述：一种电子签名混合云场景下无私钥签署方法，包括下列步骤：S1：创建流程：业务方向本地服务发起创建流程的申请；S2：本地服务创建签署流程时，同时在云端签署服务创建云端流程；所述云端签署服务返回一个唯一的云端流程ID，确保状态同步，返回签署链接，保证签署流程当前处于可签署状态；S3：云端流程校验：本地服务直接访问云端签署服务，根据文档中的多个签署位置进行循环签署，即按照签名域循环签署；S4：本地服务在每次签署时，需要请求云端签署服务进行校验流程、文档信息，在校验通过的情况下才继续签署，此时云端签署服务向本地服务返回是否可以签署的信息；S5：合并印章图片：本地服务在签署时会请求云端签署服务发送随机句柄，签署后将文档和印章图片进行合并；S6：完成本次签署后，本地服务向云端签署服务请求确认签署接口、更新文档信息；S7：云端签署服务请求更新文档信息，保存最新的文档hash，对此次签署进行存证；S8：本地服务更新本地服务的流程信息，完成整个文档的签署。进一步的，步骤S2中，本地服务保存全部的流程信息，包括文档原文、用户信息；云端签署服务记录签署流程的基本信息，包括文档hash、实名和签署意愿。进一步的，步骤S5中，印章图片的获取包括如下几个步骤：S51：本地服务向云端签署服务请求添加证书信息；S52：云端签署服务会根据创建流程时，向客户密钥管理服务请求密钥句柄，该句柄为随机的32位的数值；S53：客户密钥管理服务向云端签署服务返回随机句柄；S54：云端签署服务拿到随机句柄后，调用OpenSSLEngine的签名算法并通过随机句柄进行签署；S55：云端签署服务向本地服务返回签署结果以及印章图片；S56：本地服务将文档和印章图片进行合并。进一步的，步骤S3中，对多个文档进行签署时，则步骤S3采用多文档的并发签署；或者通过循环步骤S3-S8，实现多文档的循环签署。所述云端签署服务和客户密钥管理服务之间采用PKCS11接口，两者间的数据交互采用TLS双向认证。所述客户密钥管理服务设置的物理加速器的组件，包括InterQAT、HSM模块、vHSM接口。所述电子签名混合云场景下无私钥签署方法具有以下优点：签署全流程，私钥无需透出；满足pkcs11接口可以集成各种加密硬件；厂商无需存储密钥；异步签署解决性能瓶颈。附图说明图1是所述数据库加密存储密钥的示意图；图2是所述密钥管理平台的示意图；图3是纯私有云场景的示意图；图4是混合云场景的示意图；图5是本专利技术的物理架构图；图6是专利技术的业务流程示意图。具体实施方式如示例图3和示例图4，展示了纯本地模式和混合云模式的区别。所述纯本地模式中，外部用户是需要通过防火墙进入本地系统中，不能进行其他操作。其需求进过代理转发后，通过内部用户操作用章子系统，并由管理员通过管理子系统对整体系统进行管理。所述混合云的服务模式中，利用了云端的强大服务体系，为用户提供包括实名认证、签署、意愿认证等可靠电子签名服务；保存用户的证书、印章、签署记录，以及相应的存证数据，保证数据不会被任何一方篡改，提供更加可靠、公平的签署服务。混合云可以解决企业外部用户的数据存留在企业内部，外部用户对数据保存公平性的疑虑；解决外部用户的签署需要在H5、微信小程序、支付宝小程序等多端签署的需求；减少外部用户的签署成本。如图5所示的物理架构图，本专利技术提供了一种电子签名混合云场景下无私钥签署方法，利用的系统包括云端签署服务和客户密钥管理服务。所述云端签署服务可以采用多种应用程序进行开发，但是其和客户密钥管理服务是通过PKCS11接口进行实现的。图中展示的为不同应用程序实现的方案，这里以JAVA程序为例；部分名词解释：OpenSSLPKSC11Engine:OpenSSLengine机制是为了使OpenSSL能够透明地使用第三方提供的软件加密库；要使特定加密库或者加密设备与OpenSSL协调工作需要少量的开发代码；而OpenSSLPKSC11Engine就是支持PKCS11接口的Engine接口；PKCS11：定义了与密码令牌的独立于平台的API，主要应用于智能卡和HSM，需要提供符合PKCS11接口的实现；双向TLS：指的是TLS双向认证，server和client需要相互校验；InterQAT：硬件加解密卡，用于把加密解密，数据压缩等从CPU卸载到加速卡上；HSM：硬件安全模块，是一种物理计算设备，可保护和管理数字密钥，执行针对数字签名的加密和解密功能，强身份验证和其他加密功能；vHSM：是通过PKCS11的加密存储访问接口，实现的软件安全模块，使用vHSM无需硬件的安全模块。所述系统的数据交互具体包括以下内容：S1：云端签署服务开发OpenSSLEngine，使调用OpenSSL的程序支持PKCS11服务，支持异步实现接口，提升本文档来自技高网...

【技术保护点】
1.一种电子签名混合云场景下无私钥签署方法，包括下列步骤：/nS1：创建流程：业务方向本地服务发起创建流程的申请；/nS2：本地服务创建签署流程时，同时在云端签署服务创建云端流程；所述云端签署服务返回一个唯一的云端流程ID，确保状态同步，返回签署链接，保证签署流程当前处于可签署状态；/nS3：云端流程校验：本地服务直接访问云端签署服务，根据文档中的多个签署位置进行循环签署，即按照签名域循环签署；/nS4：本地服务在每次签署时，需要请求云端签署服务进行校验流程、文档信息，在校验通过的情况下才继续签署，此时云端签署服务向本地服务返回是否可以签署的信息；/nS5：合并印章图片：本地服务在签署时会请求云端签署服务发送随机句柄，签署后将文档和印章图片进行合并；/nS6：完成本次签署后，本地服务向云端签署服务请求确认签署接口、更新文档信息；/nS7：云端签署服务请求更新文档信息，保存最新的文档hash，对此次签署进行存证；/nS8：本地服务更新本地服务的流程信息，完成整个文档的签署。/n

【技术特征摘要】
1.一种电子签名混合云场景下无私钥签署方法，包括下列步骤：
S1：创建流程：业务方向本地服务发起创建流程的申请；
S2：本地服务创建签署流程时，同时在云端签署服务创建云端流程；所述云端签署服务返回一个唯一的云端流程ID，确保状态同步，返回签署链接，保证签署流程当前处于可签署状态；
S3：云端流程校验：本地服务直接访问云端签署服务，根据文档中的多个签署位置进行循环签署，即按照签名域循环签署；
S4：本地服务在每次签署时，需要请求云端签署服务进行校验流程、文档信息，在校验通过的情况下才继续签署，此时云端签署服务向本地服务返回是否可以签署的信息；
S5：合并印章图片：本地服务在签署时会请求云端签署服务发送随机句柄，签署后将文档和印章图片进行合并；
S6：完成本次签署后，本地服务向云端签署服务请求确认签署接口、更新文档信息；
S7：云端签署服务请求更新文档信息，保存最新的文档hash，对此次签署进行存证；
S8：本地服务更新本地服务的流程信息，完成整个文档的签署。


2.根据权利要求1所述的电子签名混合云场景下无私钥签署方法，其特征在于：步骤S2中，本地服务保存全部的流程信息，包括文档原文、用户信息；云端签署服务记录签署流程的基本信息，包括文档hash、实名和签署意愿。

【专利技术属性】
技术研发人员：刘庆，杜雄飞，汤启鑫，蒋洋，李程，
申请(专利权)人：杭州天谷信息科技有限公司，
类型：发明
国别省市：浙江;33