網上私鑰的在線分發方法及系統的製作方法
2023-05-02 04:43:51 4
專利名稱：網上私鑰的在線分發方法及系統的製作方法
技術領域：
本發明涉及密鑰管理領域，特別涉及一種密鑰的生成及分發的密鑰管理方法及系統。
背景技術：
在安全保密系統中，密鑰管理是核心問題。公開密鑰體制，只解決了密鑰的生成問題。1984年Shamir的Identity-based Crypto scheme第一次解決了將密鑰生成與密鑰分發作為整體管理的技術，但只解決了數字籤名中的密鑰管理，沒有能解決密鑰傳遞中的密鑰管理，2001年F/W兩人提出了 Identity-based Encryption,解決了數據加密中的密鑰管理，沒有能解決數字籤名中的密鑰管理。以上兩個體制只能採用私鑰的離線分發體制，不能採用在線分發機制。因此，私鑰的在線分發成為密鑰管理的一大難題。 在線密鑰分發體制，最早由Diffie和Helman提出，這就是有名的D-H密鑰交換協議，以雙向密鑰交換的方式建立會話密鑰(session key),迴避了建立秘密通道的難題，但是易受 「man-in-the-middle」 攻擊。新型網絡技術的發展，特別是超大型網絡的發展，如網際網路，物聯網，視聯網，數字家庭，智慧城市等，規模越大，系統越複雜，對密鑰管理的自動化要求就越高。在手機系統中SM卡提供電話號碼，電話號碼就是手機的標識，一旦有了標識就可以生成對應的公私鑰對。如果SM卡和CPK卡結合在一起，那麼當SM卡定義電話號碼(電話標識)吋，同時生成對應於本標識的私鑰，本可以將密鑰生成與分發同時完成，使密鑰管理變得很簡單，但是在目前的體制下，分別由兩個不同的經營商管理，很難統一起來同時完成。又如銀行信用卡、借貸卡系統中，如果用CPK卡實現信用卡或借貸卡，那麼在定義帳號(帳號標識)時，同時生成對應的私鑰。這樣當用戶買到信用卡時，就已具備了相應的私鑰，使密鑰管理變得非常方便。但是在目前的體制下，還沒有實現統一。因此急需一種能適應網上的在線分發的私鑰管理方法和ー種生成及分發私鑰的系統。
發明內容
有鑑於此，本發明所要解決的技術問題是提供一種能適應網上的在線分發的私鑰管理方法和生成私鑰的系統。本發明的目的之ー是提出一種網上私鑰的在線分發方法；本發明的目的之ニ是提出一種網上私鑰的在線分發系統。本發明的目的之一是通過以下技術方案來實現的本發明提供的網上私鑰的在線分發方法，包括以下步驟SI :密鑰管理中心KMC設置並公布相應的私鑰分發的途徑；S2:用戶定義ロ令PW;S3 :用戶的功能模塊向密鑰管理中心KMC設置的伺服器提出私鑰申請信息；
S4 :密鑰管理伺服器生產並分發私鑰信息；S5 :用戶的功能模塊接收並記錄私鑰信息。進ー步，所述私鑰申請信息包括申請私鑰的標識和WD號，所述WD號是CPK晶片的唯一號，申請信息包括WD對標識的籤名，通過以下方式自動發送到密鑰管理伺服器發送msg:= {UID, sign, ID}；其中，sign通過以下方式獲取SIGuid(ID) = sign= (s, c) ;uid(小寫，斜體)是UID號的私鑰，WD (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識。進ー步，所述密鑰管理中心KMC生產並分發私鑰信息包括以下步驟
S41 :密鑰管理中心KMC通過以下方式檢查標識的真實性VERuid (s) =C，，S42 :如果c=c 』，則生成私鑰sk ；S43 :將私鑰sk用UID的公鑰加密生產私鑰消息msg井向用戶發送。進ー步，所述用戶接收並記錄私鑰信息具體包括以下步驟S51 :用戶接收並採用以下方式自動脫密私鑰消息msg DECuid ( β ) =key ；Dkey (code) =sk ；其中，DEC是非對稱脫密，D是對稱脫密；S52 :記錄脫密後的私鑰sk。進ー步，所述將私鑰sk加密是採用以下方式進行的rG = key ；Ekey (sk) =code ；ENCuid (key) = β ；發送:msg={code, β }；其中，E是對稱加密，ENC是非對稱加密，r是選擇的一個隨機數。進ー步，所述用戶從向密鑰管理中心KMC提出私鑰申請信息到密鑰管理中心KMC生產並分發私鑰信息以及用戶接收並記錄私鑰信息的整個過程在晶片內部自動進行，所述晶片內部設置有CPK公鑰體制運行所需程序。進ー步，所述晶片設置有作為UID號的唯一標識，並配有用於構建秘密通道的公私鑰對，所述標識通過自動掃描的方式或離線分發方式獲取，所述標識與私鑰唯一對應。進ー步，所述私鑰分發的途徑通過設置私鑰分發的網站進行統ー管理密鑰。本發明的目的之ニ是通過以下技術方案來實現的本發明提供的網上私鑰的在線分發晶片，包括用戶ロ令模塊、私鑰申請模塊、私鑰分發模塊、私鑰記錄模塊、標識模塊和CPK公鑰模塊；所述用戶ロ令模塊，用於用戶定義ロ令PW;所述私鑰申請模塊，用於用戶向密鑰管理中心KMC提出私鑰申請信息；所述私鑰分發模塊，用於密鑰管理中心KMC生產並分發私鑰信息；所述私鑰記錄模塊，用於用戶接收並記錄私鑰信息；所述標識模塊，用於獲取晶片作為UID號的卩隹ー標識；
所述CPK公鑰模塊，用於存儲CPK公鑰體制運行所需程序。進ー步，所述私鑰申請模塊、私鑰分發模塊和私鑰記錄模塊具體包括如下所述私鑰申請模塊具體包括申請私鑰的標識和UID號，所述WD號是CPK晶片的唯一號，所述申請信息包括WD對標識的籤名，通過以下方式自動發送到密鑰管理中心KMC 發送msg:= {UID, sign, ID}；其中，sign通過以下方式獲取SIGuid(ID) = sign= (s, c) ;uid(小寫，斜體)是UID號的私鑰，WD (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識； 所述私鑰分發模塊具體包括如下過程首先密鑰管理中心KMC通過以下方式檢查標識的真實性=VERuid (s)=c』，判斷是否滿足條件如果c=c』，則生成私鑰sk;然後採用以下方式將私鑰sk用UID的公鑰加密生產私鑰消息msg rG = key ；Ekey(sk) =code ；ENCuid (key) = β ;發送消息msg={code, β};其中，E是對稱加密,ENC是非對稱加密,r是選擇的ー個隨機數；最後將私鑰消息msg向用戶發送；所述私鑰記錄模塊具體包括如下過程首先用戶接收並採用以下方式自動脫密私鑰消息msg DECuid(^)=key ；Dkey(code) =sk ;其中，DEC是非對稱脫密，D是對稱脫密；然後記錄脫密後的私鑰sk。本發明的優點在於本發明採用基於標識的CPK公鑰體制，將密鑰生成與密鑰分發可以統一起來作為ー個整體管理，既解決了數字籤名的密鑰管理，又解決了數據加密的密鑰管理；不僅能離線管理，也能在線管理，大大方便了密鑰管理的複雜性；將有公鑰矩陣和運算公鑰所需的支持軟體包含在CPK晶片中，每個CPK晶片只設置有ー個UID號，並配有公私鑰對，將用於構建秘密通道，以UID解決了建立秘密通道的難題。本發明提供的在線私鑰的分發和控制協議，標識不僅能以自動掃描的方式獲取，不能自行定義，如電話號碼、銀行帳號，用戶名，通信地址碼等。還能在設備不能自動提供標識的場合採用離線分發方式獲取，如人名做標識的場合。本發明提供的在線私鑰分發方法只有第一次定義新標識時調用一次，已具有私鑰的標識，不能再次申請。本發明提供的CPK鑑別系統的密鑰分發，除設置離線私鑰分發協議之外，還設置網上在線分發私鑰的協議，使CPK鑑別系統均能適應脫線分發，也能適應網上的在線分發，也能適應在標識和密鑰互相脫節的情況下，實現「先買到沒有私鑰的「空」CPK卡，後配私鑰」的商務模式。本發明的其它優點、目標和特徵在某種程度上將在隨後的說明書中進行闡述，並且在某種程度上，基於對下文的考察研究對本領域技術人員而言將是顯而易見的，或者可以從本發明的實踐中得到教導。本發明的目標和其它優點可以通過下面的說明書，權利要求書，以及附圖中所特別指出的結構來實現和獲得。
為了使本發明的目的、技術方案和優點更加清楚，下面將結合附圖對本發明作進一步的詳細描述，其中圖I為本發明實施例提供的網上私鑰的在線分發方法流程圖2為本發明實施例提供的網上私鑰的在線分發系統結構示意圖。
具體實施例方式以下將結合附圖，對本發明的優選實施例進行詳細的描述；應當理解，優選實施例僅為了說明本發明，而不是為了限制本發明的保護範圍。圖I為本發明實施例提供的網上私鑰的在線分發方法流程圖，如圖所示本發明提供的網上私鑰的在線分發方法，採用C基於標識的體制的PK公鑰體制，因此可以將密鑰 生成與密鑰分發可以統一起來作為ー個整體管理。密鑰統一由密鑰管理中心管理、如果網絡分為公網和專網，那麼公網密鑰的管理由公網KMC負責，專網密鑰的管理由各專網KMC負責。沒有私鑰的CPK卡，仍具有公鑰矩陣和運算公鑰所需所有支持軟體，因此仍具有數據加密和籤名驗證功能，只是沒有籤名和脫密功能。為了私鑰的在線分發，CPK卡為每一個晶片都定義了ー個WD號，UID號是CPK晶片的唯一標識號，並配有公私鑰對，將用於構建秘密通道，以UID解決了建立秘密通道的難題。包括以下步驟SI :密鑰管理中心KMC設置服務中心並公布相應的私鑰分發的途徑；所述私鑰分發的途徑通過設置私鑰分發的網站進行統ー管理密鑰。密鑰管理中心KMC設置相應的私鑰分發的網站，網站名公布(網際網路))和密鑰服務中心，(電話網)，公布電話號碼。S2 :用戶定義ロ令PW，根據CPK鑑別系統啟用程序，用戶定義自己的ロ令PW，改變廠家定義的ロ令。S3 :用戶私鑰申請模塊向密鑰管理服務中心提出私鑰申請信息；所述私鑰申請信息包括申請私鑰的標識和UID號以及UID號對標識的籤名，通過以下方式自動發送到密鑰管理中心KMC 發送msg:= {UID, sign, ID}；其中，sign通過以下方式獲取SIGuid(ID) = sign= (s, c) ;uid (小寫，斜體)是UID號的私鑰，WD (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識。S4 :密鑰管理中心KMC生產並分發私鑰信息；所述密鑰管理中心KMC生產並分發私鑰信息包括以下步驟S41 :密鑰管理中心KMC通過以下方式檢查標識的真實性VERuid (s) =C』，S42 :如果c=c 』，則生成私鑰sk ；S43 :將私鑰sk用UID的公鑰加密生產私鑰消息msg並向用戶發送。所述將私鑰sk加密是採用以下方式進行的rG = key ；Ekey (sk) =code ；ENCuid (key) = β ；發送:msg={code, β }；其中，E是對稱加密，ENC是非對稱加密，r是選擇的一個隨機數。
S5 :用戶接收並記錄私鑰信息。所述用戶接收並記錄私鑰信息具體包括以下步驟S51 :用戶接收並採用以下方式自動脫密私鑰消息msg DECuid ( β ) =key ；Dkey (code) =sk ；其中，DEC是非對稱脫密，D是對稱脫密；S52 :記錄脫密後的私鑰sk。所述用戶從向密鑰管理中心KMC提出私鑰申請信息到密鑰管理中心KMC生產並分 發私鑰信息以及用戶接收並記錄私鑰信息的整個過程在晶片內部自動進行，所述晶片內部設置有CPK公鑰體制運行所需程序。所述晶片設置有作為UID號的唯一標識，並配有用於構建秘密通道的公私鑰對，所述標識通過自動掃描的方式或離線分發方式獲取，所述標識與私鑰唯一對應。本發明提供在線私鑰分發方法形成在線私鑰分發協議，該協議主要用於私鑰的在線分發和控制。在線分發的協議中，標識均以自動掃描的方式獲取，不能自行定義，如電話號碼、銀行帳號，用戶名，通信地址碼等。在設備不能自動提供標識的場合，只能採用離線分發方式，如人名做標識的場合。本協議只有第一次定義新標識時調用一次，已具有私鑰的標識，不能再次申請。CPK鑑別系統提倡實名制，定義的標識至少要在各自的系統(公網和專網)內具有公認性。圖2為本發明實施例提供的網上私鑰的在線分發系統結構示意圖，如圖所示本發明實施例還提供了一種網上私鑰的在線分發晶片，該晶片是根據上述網上私鑰的在線分發方法來設置的晶片，包括用戶ロ令模塊、私鑰申請模塊、私鑰分發模塊、私鑰記錄模塊、標識模塊和CPK公鑰模塊；所述用戶ロ令模塊，用於用戶定義ロ令PW;所述私鑰申請模塊，用於用戶向密鑰管理中心KMC提出私鑰申請信息；所述私鑰申請模塊具體包括申請私鑰的標識和UID號，所述UID號為對標識的籤名，通過以下方式自動發送到密鑰管理中心KMC 發送msg:= {UID, sign, ID}；其中，sign通過以下方式獲取SIGuid(I D) = sign= (s, c) ;uid(小寫，斜體)是UID號的私鑰，WD (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識；所述私鑰分發模塊，用於密鑰管理中心KMC生產並分發私鑰信息；所述私鑰分發模塊具體包括如下過程首先密鑰管理中心KMC通過以下方式檢查標識的真實性VERUID(s)=c』，判斷是否滿足條件如果c=c』，則生成私鑰sk ;然後採用以下方式將私鑰sk用UID的公鑰加密生產私鑰消息msg rG = key ；Ekey(sk) =code ;ENCuid(key) = β ;發送消息mSg={COde，β };其中，E是對稱加密，ENC是非對稱加密，r是選擇的一個隨機數；最後將私鑰消息msg向用戶發送；所述私鑰記錄模塊，用於用戶接收並記錄私鑰信息；所述私鑰記錄模塊具體包括如下過程首先用戶接收並採用以下方式自動脫密私鑰消息mSg:DECuid(i3)=key;Dkey(code)=sk ;其中，DEC是非對稱脫密，D是對稱脫密；然後記錄脫密後的私鑰sk。
所述標識模塊，用於獲取晶片作為UID號的卩隹ー標識；所述CPK公鑰模塊，用於存儲CPK公鑰體制運行所需程序。以上所述僅為本發明的優選實施例，並不用於 限制本發明，顯然，本領域的技術人員可以對本發明進行各種改動和變型而不脫離本發明的精神和範圍。這樣，倘若本發明的這些修改和變型屬於本發明權利要求及其等同技術的範圍之內，則本發明也意圖包含這些改動和變型在內。
權利要求
1.網上私鑰的在線分發方法，其特徵在幹包括以下步驟 51:密鑰管理中心KMC設置伺服器，並公布相應的私鑰分發的途徑； 52:用戶定義ロ令PW; 53:用戶向密鑰管理伺服器提出私鑰申請信息； 54:密鑰管理伺服器生產並分發私鑰信息； 55:用戶接收並記錄私鑰信息。
2.根據權利要求I所述的網上私鑰的在線分發方法，其特徵在於所述私鑰申請信息包括申請私鑰的標識和UID號，所述UID號是為每一 CPK心片設計的唯一號，所述申請信息包括UID對標識的籤名，通過以下方式自動發送到密鑰管理伺服器發送msg: = {UID, sign, ID}； 其中，sign通過以下方式獲取SIGuid(I D) = sign= (s, c) ;uid(小寫，斜體)是UID號的私鑰，UID (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識。
3.根據權利要求I所述的網上私鑰的在線分發方法，其特徵在於所述密鑰管理中心KMC生產並分發私鑰信息包括以下步驟 541:密鑰管理中心KMC通過以下方式檢查標識的真實性 VERuid (s) =C，， 542:如果c=c』，則生成私鑰sk ； 543:將私鑰sk用UID的公鑰加密生產私鑰消息msg井向用戶發送。
4.根據權利要求I所述的網上私鑰的在線分發方法，其特徵在於所述用戶接收並記錄私鑰信息具體包括以下步驟 551:用戶接收並採用以下方式自動脫密私鑰消息msg DECuid ( β ) =key ； Dkey (code； =sk ； 其中，DEC是非對稱脫密，D是對稱脫密； 552:記錄脫密後的私鑰sk。
5.根據權利要求3所述的網上私鑰的在線分發方法，其特徵在幹所述將私鑰sk加密是採用以下方式進行的rG = key ； Ekey (skノ =code ； ENCuid (key) = β ；發送:msg= {code, β }； 其中，E是對稱加密，ENC是非對稱加密，r是選擇的一個隨機數。
6.根據權利要求1-5任一項所述的網上私鑰的在線分發方法，其特徵在於所述用戶從向密鑰管理中心KMC提出私鑰申請信息到密鑰管理中心KMC生產並分發私鑰信息以及用戶接收並記錄私鑰信息的整個過程在晶片內部自動進行，所述晶片內部設置有CPK公鑰體制運行所需程序。
7.根據權利要求6所述的網上私鑰的在線分發方法，其特徵在於所述晶片設置有作為UID號的唯一標識，並配有用於構建秘密通道的公私鑰對，所述標識通過自動掃描的方式或離線分發方式獲取，所述標識與私鑰唯一對應。
8.根據權利要求7所述的網上私鑰的在線分發方法，其特徵在於所述私鑰分發的途徑通過設置私鑰分發的網站進行統ー管理密鑰。
9.網上私鑰的在線分發系統，其特徵在於包括用戶ロ令模塊、私鑰申請模塊、私鑰分發模塊、私鑰記錄模塊、標識模塊和CPK公鑰模塊； 所述用戶ロ令模塊，用於用戶定義ロ令PW ; 所述私鑰申請模塊，用於用戶向密鑰管理中心KMC提出私鑰申請信息； 所述私鑰分發模塊，用於密鑰管理中心KMC生產並分發私鑰信息； 所述私鑰記錄模塊，用於用戶接收並記錄私鑰信息； 所述標識模塊，用於獲取晶片作為UID號的唯一標識； 所述CPK公鑰模塊，用於存儲CPK公鑰體制運行所需程序。
10.根據權利要求9所述的網上私鑰的在線分發系統，其特徵在於所述私鑰申請模塊、私鑰分發模塊和私鑰記錄模塊具體包括如下 所述私鑰申請模塊具體包括申請私鑰的標識和UID號，所述UID號為對標識的籤名，通過以下方式自動發送到密鑰管理中心KMC 發送msg: = {UID, sign, ID}； 其中，sign通過以下方式獲取SIGuid(ID) = sign= Cs, c)；uid(小寫，斜體)是UID號的私鑰，WD (大寫，斜體)是WD的公鑰，s是籤名碼，c是核對碼，ID是申請私鑰的標識；所述私鑰分發模塊具體包括如下過程首先密鑰管理中心KMC通過以下方式檢查標識的真實性=VERuid (s)=c』，判斷是否滿足條件如果c = c』，則生成私鑰sk;然後採用以下方式將私鑰sk用UID的公鑰加密生產私鑰消息msg rG = key ；Ekey(sk) =code ；ENCuid (key) = β ;發送消息msg={code, β};其中，E是對稱加密,ENC是非對稱加密,r是選擇的ー個隨機數；最後將私鑰消息msg向用戶發送； 所述私鑰記錄模塊具體包括如下過程首先用戶接收並採用以下方式自動脫密私鑰消息msg DECuid(^ )=key ；Dkey(code) =sk ;其中,DEC是非對稱脫密,D是對稱脫密；然後記錄脫密後的私鑰sk。
全文摘要
本發明公開了一種網上私鑰的在線分發方法及系統。用戶向密鑰管理中心KMC提出私鑰申請信息，密鑰管理中心KMC生產並分發私鑰信息；最後用戶接收並記錄私鑰信息；本發明採用基於標識的CPK公鑰體制，將密鑰生成與密鑰分發可以統一起來作為一個整體管理，既解決了數字籤名的密鑰管理，又解決了數據加密的密鑰管理；不僅能離線管理，也能在線管理，大大方便了密鑰管理的複雜性；還能適應在標識和密鑰互相脫節的情況下，實現「先買到沒有私鑰的「空」CPK卡，後配私鑰」的商務模式。
文檔編號H04L9/08GK102694818SQ20121019037
公開日2012年9月26日 申請日期2012年6月8日 優先權日2012年6月8日
發明者南相浩 申請人:南相浩