CN103036682A - 一种支持sm2算法的数字证书系统 - Google Patents

Abstract

本发明实施例提供一种支持SM2算法的数字证书系统，所述系统包括：证书服务模块，用于接收第一方的证书签发申请，对第一方进行信息认证，当信息认证通过则发出签发请求；并用于将签发的数字证书的私钥部分反馈给所述第一方；证书签发模块，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并保存数字证书的公钥部分；身份认证模块，用于对所述第一方进行身份认证。

Description

一种支持SM2算法的数字证书系统

技术领域

本发明信息安全技术领域，特别涉及一种支持SM2算法的数字证书系统。

背景技术

随着国家电网公司具有信息化、自动化、互动化等特征的统一智能电网的建设，相应的信息化管理和控制也相对从前发生了变革。在智能电网下的信息管理系统中，网络的接入更加复杂，信息集成度更高，用户交互程度更强；既需要面对电网业务系统中存储了大量关键信息，又必须满足跨系统、跨区域资源共享的需求；在这种情况下，如何保障用户、终端、基础网络、业务应用各组成部分的信息安全成为了一项重要的课题。

目前阶段，数字证书系统作为一种建立在密码技术基础上的信息安全技术和安全体系架构，也是目前唯一能够同时解决身份认证、访问控制、信息保密和抗抵赖的安全技术。数字证书系统也是现阶段最适用于智能电网中信息系统或类似的信息系统中的信息安全技术。现阶段在该类型的信息系统当中也已经存在利用数字证书系统实现全网统一的认证与访问的技术方案。

传统的数字证书系统中，生成密钥的安全算法广泛的采用RSA算法。相应的在整个数字证书系统中，软硬件设备均对应RSA算法。但实际上，现阶段RSA算法已经不再是最优的一种安全算法。经过本领域长期的研究和验证，国产的SM2算法相对于RSA算法存在着很明显的优势，SM2算法生成的密钥安全性更好。

但是，由于目前的数字证书系统在软硬件上，均是匹配世界范围内通行的RSA算法的，所以无法直接的和SM2算法兼容。服务器、浏览器及其他的中间环节无法解析SM2算法生成的密钥。所以现阶段的数字证书系统中，无法应用SM2算法，安全性在一些特殊情况下不能够满足智能电网中信息系统或类似的信息系统中的使用需要。

发明内容

有鉴于此，本发明的目的在于提供一种支持SM2算法的数字证书系统，本发明所述系统中能够为第一方签发利用SM2算法生成的数字证书，并利用SM2数字证书对用户进行身份认证。

为实现上述目的，本发明有如下技术方案：

一种支持SM2算法的数字证书系统，所述系统包括：

证书服务模块，用于接收第一方的证书签发申请，对第一方进行信息认证，当信息认证通过则发出签发请求；并用于将签发的数字证书的私钥部分反馈给所述第一方；

证书签发模块，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并保存数字证书的公钥部分；

身份认证模块，用于对所述第一方进行身份认证。

所述系统包括：

信息认证单元，用于对提出证书签发申请的第一方进行信息认证；

请求执行单元，用于在第一方通过信息认证的情况下，生成并发送证书签发申请；

操作反馈单元，用于签发的数字证书的私钥部分反馈给所述第一方。

所述信息认证单元包括：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

所述证书签发模块包括：

根管理单元，用于保存和管理利用SM2算法生成的数字证书的公钥部分；

SM2签发单元，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元。

所述证书签发模块还包括：

RSA签发单元，用于接收所述签发请求，利用RSA算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元；

则所述根管理单元还用于保存和管理利用RSA算法生成的数字证书的公钥部分。

所述身份认证模块包括：

目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向认证单元同步；所述数字证书目录记录签发过的数字证书的公钥部分；

认证单元，用于保存数字证书目录，并从目录单元中同步更新数字证书目录，通过数字证书目录中记录的数字证书的公钥部分与所述第一方持有的数字证书的私钥进行匹配来对第一方进行身份认证。

所述目录单元包括：

SM2目录子单元，用于保存SM2数字证书的数字证书目录，在利用签发新的SM2数字证书时更新SM2数字证书目录并向认证单元同步；

RSA目录子单元，用于保存RSA数字证书的数字证书目录，在利用签发新的RSA数字证书时更新RSA数字证书目录并向认证单元同步。

所述认证单元包括：

SM2认证子单元，用于保存SM2数字证书目录，并从SM2目录子单元中同步更新SM2数字证书目录，通过SM2数字证书目录中记录的SM2数字证书的公钥部分与所述第一方持有的SM2数字证书的私钥进行匹配来对第一方进行身份认证；

RSA认证子单元，用于保存RSA数字证书目录，并从RSA目录子单元中同步更新RSA数字证书目录，通过RSA数字证书目录中记录的RSA数字证书的公钥部分与所述第一方持有的RSA数字证书的私钥进行匹配来对第一方进行身份认证。根据以上技术方案可知，本发明存在的有益效果是：所述系统在传统数字证书系统的架构之下，实现了利用SM2算法生成数字证书，并通过SM2数字证书进行认证；该系统能够适用于安全性更优异的SM2安全算法，相对于传统数字证书系统仅适用于RSA算法的结构而言，本实施例所述系统安全性能更强；所述系统还可以同时支持SM2与RSA两种安全算法生成的数字证书，不仅能够与传统的数字证书系统相兼容，还能够同时实现SM2算法在整个系统中的运用，使得所述系统的安全性和适用性都得到提高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例所述系统结构示意图；

图2为本发明另一实施例所述系统结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1所示，为本发明所述系统的一个具体实施例，本实施例中所述系统具体如下：

证书服务模块，用于接收第一方的证书签发申请，对第一方进行信息认证，当信息认证通过则发出签发请求；并用于将签发的数字证书的私钥部分反馈给所述第一方；

本实施例中所述证书服务模块直接面对第一方，为第一方提供数字证书签发服务。针对信息系统，在本实施例中，所述第一方泛指需要接受数字证书服务的一方，所述第一方具体可能是用户、设备管理者、服务器以及其他。

由于数字证书系统应用在信息系统中，而本发明实施例所涉及的信息系统的可能覆盖范围广泛，所述第一方可能来自于不同的地域，所以本实施例中存在至少1个（图1中仅示出1个）证书服务模块，多个证书服务模块可以分别设置在不同的区域，为分布在各地的第一方提供数字证书签发的服务。

证书签发模块，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并保存数字证书的公钥部分；

本实施例中，所述证书签发模块为通过认证的第一方签发数字证书。所述数字证书是利用安全算法加密计算而生成的；在现阶段本领域中，数字证书由公钥与私钥两部分组成，证书签发模块签发了数字证书之后，将数字证书的私钥部分反馈至第一方持有，而数字证书的公钥部分由证书签发模块本身保存。

本实施例中利用安全算法进行加密计算而生成数字证书的过程不同于传统的数字证书系统。传统的数字证书系统一般采用RSA算法进行加密计算，而本实施例中，所述系统采用了SM2算法进行加密计算。从硬件的角度来讲，为实现利用SM2算法生成数字证书，本实施例所述证书签发模块当中集成了针对SM2算法的加密机和加密卡。

身份认证模块，用于对所述第一方进行身份认证。

所述数字证书系统最重要的功能就是通过数字证书对第一方进行身份认证。第一方需要访问业务系统的时候，需将自身持有的数字证书私钥部分与数字证书系统中保存的公钥部分向匹配，匹配成功则第一方通过数字证书认证，获得访问或操作业务系统的一定权限。以上数字证书认证过程均属于现有技术，在此只作简单说明。

本实施例中，所述系统利用身份认证模块实现对于第一方的身份认证，其原理也同样是通过匹配所述第一方持有的数字证书私钥部分和系统内保存的数字证书公钥部分。并且，由于本实施例中所述数字证书是由SM2算法生成的，所以在硬件层面上，所述身份认证模块同样需要针对SM2算法进行相应的改进，从而实现对SM2数字证书的公私钥进行匹配；其硬件上的改进方法同样是集成针对SM2算法的加密机和加密卡。

可见本实施例存在的有益效果是，所述系统在传统数字证书系统的架构之下，实现了利用SM2算法生成数字证书，并通过SM2数字证书进行认证；该系统能够适用于安全性更优异的SM2安全算法，相对于传统数字证书系统仅适用于RSA算法的结构而言，本实施例所述系统安全性能更强。

参见图2所示，为本发明所述数字证书系统的另一个具体实施例。本实施例中，所述系统包括：

证书服务模块，用于接收第一方的证书签发申请，对第一方进行信息认证，当信息认证通过则发出签发请求；并用于将签发的数字证书的私钥部分反馈给所述第一方；

证书服务模块包括：

信息认证单元，用于对提出证书签发申请的第一方进行信息认证；

在传统的数字证书系统中，均采用第三方进行第一方的信息认证，但是在于第三方进行信息交互的过程中，往往存在信息泄露的隐患；所以本实施例所述的数字证书系统中省略了第三方，直接由信息认证单元进行信息认证，提高安全性的同时，更简化了信息认证的流程，提高了认证效率；

本实施例中所述信息认证单元具体可分为：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

本实施例中所述信息认证单元可以通过在认证第一方信息之后，增加一个二次认证的检验与鉴别过程；进一步的避免了认证错误的情况发生。

请求执行单元，用于在第一方通过信息认证的情况下，生成并发送证书签发申请；

操作反馈单元，用于签发的数字证书的私钥部分反馈给所述第一方。

证书签发模块，用于接收所述签发请求，利用SM2或RSA算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并保存数字证书的公钥部分；

本实施例中，所述证书签发模块包括：

根管理单元，用于保存和管理利用SM2算法生成的数字证书的公钥部分；或保存和管理利用RSA算法生成的数字证书的公钥部分。

SM2签发单元，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元；

RSA签发单元，用于接收所述签发请求，利用RSA算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元；

本实施例中，所述证书签发模块并不仅限于利用SM2算法生成数字证书，其同样能够实现利用传统的RSA算法生成数字证书。所述SM2签发单元和RSA签发单元分别实现两种数字证书的签发。

身份认证模块，用于对所述第一方进行身份认证；

本实施例中，所述身份认证单元包括：

目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向认证单元同步；所述数字证书目录记录签发过的数字证书的公钥部分；

本实施例中利用所述数字证书目录实现第一方的身份认证，目录单元保存的数字证书目录中，记录了所有证书签发模块签发过的数字证书的公钥部分，并随着证书签发模块签发新的数字证书而对该目录进行同步更新。

而针对本实施例中兼容的SM2和RSA两种安全算法，所述目录单元具体包括以下：

SM2目录子单元，用于保存SM2数字证书的数字证书目录，在利用签发新的SM2数字证书时更新SM2数字证书目录并向认证单元同步；

RSA目录子单元，用于保存RSA数字证书的数字证书目录，在利用签发新的RSA数字证书时更新RSA数字证书目录并向认证单元同步。

本实施例中两种算法生成的不同数字证书分别对应专门的数字证书目录，SM2目录子单元和RSA目录子单元各自保存和管理其对应的数字证书目录。

所述目录单元在系统中保存一份完整的数字证书目录，并且该份目录一般不会针对外界进行任何操作，能够保障数字证书目录的完整和安全。

目录单元中保存的数字证书目录同样是认证单元数字证书目录的来源。目录单元跟随证书签发模块签发数字证书实时的更新自身保存的数字证书目录，并向认证单元同步。

认证单元，用于保存数字证书目录，并从目录单元中同步更新数字证书目录，通过数字证书目录中记录的数字证书的公钥部分与所述第一方持有的数字证书的私钥进行匹配来对第一方进行身份认证；

认证单元利用数字证书目录实际的对第一方进行身份认证，避免了目录单元中的数字证书目录直接的对外操作。在第一方请求数字证书认证的时候，认证单元以数字证书目录中记载的数字证书公钥部分对应的匹配第一方提供的数字证书私钥部分，从而完成第一方的数字证书认证过程，当目录中有记载能与第一方提供的私钥匹配的公钥时，说明该第一方持有本系统签发的合法的数字证书，则授予该第一方相应的访问业务系统的权限。

为支持SM2和RSA两种算法，所述认证单元同样包括以下两部分：

SM2认证子单元，用于保存SM2数字证书目录，并从SM2目录子单元中同步更新SM2数字证书目录，通过SM2数字证书目录中记录的SM2数字证书的公钥部分与所述第一方持有的SM2数字证书的私钥进行匹配来对第一方进行身份认证；

RSA认证子单元，用于保存RSA数字证书目录，并从RSA目录子单元中同步更新RSA数字证书目录，通过RSA数字证书目录中记录的RSA数字证书的公钥部分与所述第一方持有的RSA数字证书的私钥进行匹配来对第一方进行身份认证。

也就是说，SM2认证子单元专门认证持有SM2数字证书私钥部分的第一方，相反RSA认证子单元专门认证持有RSA数字证书私钥部分的第一方。

可见，本实施例在图1所示实施例的基础之上，进一步实现的有益效果是：本实施例中所述系统同时支持SM2与RSA两种安全算法生成的数字证书，不仅能够与传统的数字证书系统相兼容，还能够同时实现SM2算法在整个系统中的运用，使得所述系统的安全性和适用性都得到提高；本实施例所述系统整体技术方案更加完整，公开更充分，使得所述系统的性能有了进一步的优化。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1.一种支持SM2算法的数字证书系统，其特征在于，所述系统包括：

证书服务模块，用于接收第一方的证书签发申请，对第一方进行信息认证，当信息认证通过则发出签发请求；并用于将签发的数字证书的私钥部分反馈给所述第一方；

证书签发模块，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并保存数字证书的公钥部分；

身份认证模块，用于对所述第一方进行身份认证。

2.根据权利要求1所述系统，其特征在于，所述系统包括：

信息认证单元，用于对提出证书签发申请的第一方进行信息认证；

请求执行单元，用于在第一方通过信息认证的情况下，生成并发送证书签发申请；

操作反馈单元，用于签发的数字证书的私钥部分反馈给所述第一方。

3.根据权利要求2所示系统，其特征在于，所述信息认证单元包括：

一次认证子单元，用于认证第一方信息；

二次认证子单元，用于鉴别一次认证子单元的认证结果。

4.根据权利要求1所述系统，其特征在于，所述证书签发模块包括：

根管理单元，用于保存和管理利用SM2算法生成的数字证书的公钥部分；

SM2签发单元，用于接收所述签发请求，利用SM2算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元。

5.根据权利要求4所述系统，其特征在于，所述证书签发模块还包括：

RSA签发单元，用于接收所述签发请求，利用RSA算法生成数字证书，将数字证书的私钥部分返回证书服务模块；并将数字证书的公钥部分发送至根管理单元；

则所述根管理单元还用于保存和管理利用RSA算法生成的数字证书的公钥部分。

6.根据权利要求1所述系统，其特征在于，所述身份认证模块包括：

目录单元，用于保存数字证书目录，在签发新的数字证书时更新数字证书目录并向认证单元同步；所述数字证书目录记录签发过的数字证书的公钥部分；

认证单元，用于保存数字证书目录，并从目录单元中同步更新数字证书目录，通过数字证书目录中记录的数字证书的公钥部分与所述第一方持有的数字证书的私钥进行匹配来对第一方进行身份认证。

7.根据权利要求6所述系统，其特征在于，所述目录单元包括：

SM2目录子单元，用于保存SM2数字证书的数字证书目录，在利用签发新的SM2数字证书时更新SM2数字证书目录并向认证单元同步；

RSA目录子单元，用于保存RSA数字证书的数字证书目录，在利用签发新的RSA数字证书时更新RSA数字证书目录并向认证单元同步。

8.根据权利要求7所述系统，其特征在于，所述认证单元包括：

SM2认证子单元，用于保存SM2数字证书目录，并从SM2目录子单元中同步更新SM2数字证书目录，通过SM2数字证书目录中记录的SM2数字证书的公钥部分与所述第一方持有的SM2数字证书的私钥进行匹配来对第一方进行身份认证；

RSA认证子单元，用于保存RSA数字证书目录，并从RSA目录子单元中同步更新RSA数字证书目录，通过RSA数字证书目录中记录的RSA数字证书的公钥部分与所述第一方持有的RSA数字证书的私钥进行匹配来对第一方进行身份认证。

Images