[发明专利]用于基于PKI的认证的方法和系统

说明书

提供了使用基于PKI的认证技术来认证API消息的方法、系统和设备。客户端系统可以生成与所述客户端系统相关联的私钥/公钥对，并使用所述私钥/公钥对的私钥和基于PKI的密码算法来对API消息进行签名，然后将经签名的API消息发送给服务器系统。所述服务器系统(例如，由服务提供商运营)可以使用位于所述服务器系统的不太可信区(例如，外围网络)的代理认证器来认证传入的经签名的API消息。具体而言，代理认证器可以被配置为使用对应于私钥的公钥和相同的密码算法来验证经签名的API消息的签名。然后，可以将经认证的API消息转发到所述服务器系统的较可信的区(例如，内部网络)以供进一步处理。

相关申请的交叉引用

本申请是2015年11月13日提交的第14/941,364号美国临时申请的国际申请并要求其提交日期的权益，该临时申请的全部内容以引用方式并入本文以用于所有目的。

背景技术

客户端认证对于维护电子交易和通信的完整性和安全性至关重要。但是，现有的认证技术可能会存在某些缺陷。例如，密钥散列消息认证码(HMAC)经由密码散列函数结合秘密密码密钥来保护消息的完整性和真实性。但是，密钥必须在消息的发送方和接收方之间共享，从而增加了密钥泄漏的风险。而且，基于公钥基础结构(PKI)的解决方案(例如相互SSL)的建立和维护通常很昂贵，因为这样的解决方案通常需要在相对不安全的环境(例如外围网络)中维护私钥和公钥。此外，诸如相互SSL之类的解决方案在低于应用程序级别的级别实施认证，使得较高级别的应用程序难以将此类解决方案中的使用者映射到需要认证的主体。

本发明的实施方案个别地和共同地解决了这些和其他问题。

发明内容

提供了使用基于PKI的认证技术来认证API消息的实施方案。根据一些实施方案，提供了一种计算机实现的方法。所述方法包括：由位于第一系统的第一低安全区中的第一计算机接收来自第二系统的针对由第一系统提供的第一服务的第一应用程序编程接口(API)消息，所述第一系统包括位于第一防火墙之后的第一高安全区和位于所述第一防火墙之前的所述第一低安全区，所述第二系统包括位于第二防火墙之后的第二高安全区和位于所述第二防火墙之前的第二低安全区，所述第一API消息是由位于所述第二系统的所述第二高安全区中的第二计算机使用密码算法和与所述第二系统相关联的私钥生成的；由位于所述第一系统的所述第一低安全区中的所述第一计算机使用所述密码算法和对应于与所述第二系统相关联的所述私钥的所述公钥来认证所述第一API消息；以及将经认证的第一API消息发送给位于第一网络的所述第一高安全区中的第三计算机。

在一些实施方案中，第一API消息可以包括与公钥相关联的密钥标识符，并且认证第一API消息可以包括使用密钥标识符来检索公钥。密码算法可以包括RSA-SHA2或椭圆曲线数字签名算法(ECDSA)。

密码算法可以包括散列函数和解密函数，并且认证第一API消息可以包括：从第一API消息获得签名令牌；基于第一API消息生成要签名的数据；将散列函数应用于要签名的数据以获得散列；将解密函数应用于签名令牌和公钥的至少一部分以获得经解密的签名数据；以及确定散列是否与经解密的签名数据相匹配。

第一API消息可以包括方法、资源标识符、消息标头和消息正文，并且基于第一API消息生成要签名的数据可以包括：从签名令牌获得时间戳；获得消息标头的至少一部分的标头散列；获得消息正文的至少一部分的正文散列；以及组合时间戳、标头散列、正文散列、方法和资源标识符以生成要签名的数据。

认证第一API消息可以包括验证与第一API消息相关联的时间戳，以确保在从由时间戳指示的时间起的预定阈值时间量内接收到第一API消息。

第一API消息可以包括密钥标识符，并且认证第一API消息可以包括：使用密钥标识符来检索一个或多个许可的网络地址；以及验证与第一API消息相关联的网络地址被包括在一个或多个许可的网络地址中。