CN103986573A

CN103986573A - 一种支持ibc系统的信息安全设备

Info

Publication number: CN103986573A
Application number: CN201410207861.7A
Authority: CN
Inventors: 孙吉平; 韩勇
Original assignee: Beijing Senseshield Technology Co Ltd
Current assignee: Beijing Senseshield Technology Co Ltd
Priority date: 2014-05-17
Filing date: 2014-05-17
Publication date: 2014-08-13

Abstract

本发明提供一种带有IBC系统的信息安全设备。利用内置的IBC系统，用户可以使用该信息设备进行IBC解密，从而进行安全的数据交换。IBCKey通过通讯接口模块接收来自外部的解密请求，然后调用IBC解密模块完成IBC解密操作。IBC解密模块使用保存在信息安全设备内的IBC私钥对请求的数据进行IBC解密，通过本发明提供的方法，可以降低信息泄露的风险，提高安全性。

Description

一种支持IBC系统的信息安全设备

技术领域

本发明涉及信息安全领域，特别是一种建立在信息安全设备上基于身份信息的密码学体系。

背景技术

目前，公钥基础设施（public key infrastructure，简称PKI）已经成为信息安全的基础和核心。PKI体系结构采用证书管理公钥，通过第三方的可信机构CA，把用户的公钥和用户的其他标识信息捆绑在一起，CA是证书的签发机构，它是PKI体系的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。

基于PKI体系，用户可以对信息进行加密，签名以保证信息的安全性、完整性和合法性。可以说PKI体系已经基本上解决了信息安全问题。

然而PKI体系存在几个问题，影响其大规模推广。

1）发送方在发送信息前总需要先获取接收方的证书。

2）在每收到一个证书后，实体都需要验证证书的有效性。

3）证书颁发和管理系统(PKI)非常复杂，难以部署。

为了解决证书管理问题，基于标识的密码系统（Identity-Based Cryptograph，简称IBC）应运而生了。IBC是在传统的PKI(公开密钥基础设施)基础上发展而来的，除了保有PKI的技术优点外，主要解决了在具体安全应用中PKI需要大量交换数字证书的问题，使安全应用更加易于部署和使用。IBC密码技术使用的是非对称密码体系，加密与解密使用两套不同的密钥，每个人的公钥就是他的身份标识，比如email地址，并通过可信的中央服务器（私钥生成服务器，private key generator, 简称PKG）接受到自己的私钥，由于公钥是简单的身份标识，所以不存在证书和密钥管理问题。

PKG作为IBC系统的核心，它的功能作用是：在IBC系统应用前，初始化PKG参数，主要包括产生系统主密钥（Master Key）和PKG公开参数（Public Params），主密钥由且仅由PKG安全保管，公开参数则由PKG公开发布，其实现流程为：

1. 用户客户端在初始化IBC应用时，首先向PKG请求系统公告参数；

2. 发送者（用户）可根据系统公共参数及接受者的身份信息（用户ID公钥），利用IBC加密明文信息，将密文发送给接受者；

3. 接受者收到密文，必须首先向PKG请求解密私钥；PKG接收用户私钥请求，并验证客户端参数信息（如IBC客户端版本信息等）、用户信息（身份认证）、公钥信息（ID）等，若认证成功，PKG根据系统主密钥和用户ID产生和ID相对应的私钥，通过SSL协议安全返回给用户，否则返回相应的错误信息；

4. 接收者成功获得私钥后，即可解密获得明文。之后私钥可临时安全保存在接收方，也可解密后彻底销毁，每次需要解密时再向PKG请求。

但IBC系统的用户需要从可信的中央服务器获取自己私钥，而获取私钥的过程很容易受到攻击。并且系统还需要防范有人冒名以获取别人的私钥。

发明内容

有鉴于此，本发明提供了一种带有IBC解密模块的信息安全设备，每个设备对应着一个唯一ID，通过信息安全设备内的IBC解密模块，可以使用信息安全设备内部的IBC私钥对使用该ID加密的密文解密。

附图说明

图1是本发明的一个实施例的结构图；

图2是本发明的另一个实施例的结构图；

图3是本发明的另一个实施例的结构图；

图4是本发明的具体实施案例1的结构图；

图5是本发明的具体实施案例2的结构图。

图6为按照本发明的一种支持IBC系统的信息安全设备的具体实施例1的流程示意图。

图7为按照本发明的一种支持IBC系统的信息安全设备的具体实施例2的流程示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明进行进一步详细说明。

图1 为本发明的信息安全设备的结构图。如图1所示，本发明所提供的信息安全设备，包括三个模块。分别是IBC解密模块、IBC私钥和通讯接口模块。

其中，IBC解密模块，用于通过通讯接口模块接收外部的解密数据的命令，并处理解密命令，使用IBC私钥解密命令中携带的密文，并通过通讯接口模块把解密得到的明文数据返回。

IBC私钥，是存储在信息安全设备中的用户的IBC私钥。每个信息安全设备内的IBC私钥都不同，这个私钥与上述唯一ID相对应，所以每个信息安全设备中的IBC私钥都不一样。

通讯接口模块，用于接收外部的解密数据命令，并把解密得到的明文数据返回给外部。

上述的IBC私钥是由PKG根据ID计算之后固化在信息安全设备内部，只能被信息安全内部的模块调用并用于计算，不能被读取。

根据本发明的一个实施方式，该信息安全设备还包括控制模块，所述控制模块，用于从通讯接口模块接收命令，并解析命令的请求，并调用相应命令处理模块来处理命令。

当存在控制模块时，IBC解密模块，用于接收控制模块调用，使用IBC私钥完成对密文进行数据解密的功能。

如图2所示，上述的信息安全设备中还包括IBC签名模块和控制模块，使得信息安全设备支持IBC签名。

图2所述的信息安全设备的模块包括：控制模块、IBC解密模块、IBC签名模块、IBC私钥、通讯接口模块。

控制模块，用于从通讯接口模块接收命令，并解析命令的请求，调用相应命令处理模块来处理命令。

IBC解密模块，用于接收控制模块调用，使用IBC私钥完成对密文进行数据解密的功能。

IBC签名模块，用于接收控制模块调用，使用IBC私钥完成对数据进行数字签名的功能。本发明中所使用的PKG中使用IBC私钥进行数据签名均使用本领域公知的现有技术，这不是本发明的重点，在此不再赘述。

通讯接口模块，用于负责接收外部的解密数据命令，并把解密得到的明文数据返回给外部。

如图3所示，该信息安全设备还包含一个IBC私钥设置模块。

图3所述的信息安全设备的模块包括：控制模块、IBC解密模块、IBC签名模块、IBC私钥、通讯接口模块、IBC私钥设置模块。

IBC签名模块，用于接收控制模块调用，使用IBC私钥完成对数据进行数字签名的功能。

IBC私钥设置模块，用于PKG设置IBC私钥。其具体设置过程为：PKG根据主密钥（Master Key）和该信息安全设备的唯一ID生成用户的私钥。

PKG的功能作用是：在IBC系统初始化时，产生主密钥（Master Key）和公开参数（public Params），主密钥由PKG安全保管，公共参数（Public Params;）则由PKG公开发布，PKG根据主密钥和用户提供的标识ID(可标识用户身份的信息，如Email等)，为用户生成相应的私钥。本发明中通过PKG设置IBC私钥均使用本领域公知的现有技术，这不是本发明的重点，在此不再赘述。

上述的IBC私钥设置模块，还用于接受用户的IBC私钥信息，解密IBC私钥信息并保存IBC私钥。

上述的IBC私钥信息中还包含PKG的参数信息。信息安全设备可以保存这些参数，供IBC解密或者IBC签名时使用。

上述的IBC私钥信息包括使用PKG和信息安全设备之间共享密钥加密的私钥信息。

根据本发明的一个方面，当上述IBC私钥信息为使用PKG和信息安全设备之间共享密钥加密的私钥信息时，该信息安全设备还包括：PKG和信息安全设备之间的共享密钥、IBC私钥数据解密模块，其中，

所述PKG和信息安全设备之间的共享密钥，用于实现PKG和信息安全设备之间加密传输的IBC私钥；

所述IBC私钥数据解密模块，用于使用PKG和信息安全设备之间的共享密码来解密IBC私钥信息，获取IBC私钥。

具体实施案例1：

本实施案例的信息安全设备只支持IBC解密，使用的IBC算法是基于离散椭圆曲线的双线性映射关系算法。

如图4所示，本实施案例包含6个模块：控制模块、通讯接口模块、IBC解密模块、ECC双线性对算法模块、PKG参数、IBC私钥。

此实施例与图1的方案区别在于多了控制模块、ECC双线性对算法模块和PKG参数这三个模块，其中，

图1的IBC解密模块包括了从通讯接口模块接收命令并解析和对密文解密两部分功能，此实施例增加的控制模块主要是从通讯接口模块接收命令并解析请求，调用处理模块来处理命令，即分解了图1解密模块的工作，使解密模块专用于解密。这个控制模块相当于个中转模块。

ECC双线性对算法模块和PKG参数这两个模块只是为了作为实施例更详细的说明解密部分所增加的模块，ECC双线性对算法模块是本实施例解密时采用的IBC算法，PKG参数也是解密时所使用的。

控制模块：从通讯接口模块接收命令，并解析命令的请求，并调用相应命令处理模块来处理命令。

IBC解密模块，用于接收控制模块调用，并调用ECC双线性对算法模块，使用IBC私钥和PKG参数，完成对密文进行数据解密的功能。

ECC双线性对算法模块，用于实现ECC双线性对算法的计算功能。ECC双线性对算法是本实施案例的IBC算法的基础，其算法原理由D. Boneh和M. Franklin在2001年提出。

PKG参数，包括ECC曲线方程的参数，曲线上的基础点G，PKG的公钥P。

通讯接口模块，负责接收外部的解密数据命令，并把解密得到的明文数据返回给外部。

参见图6，图6为按照本发明的一种支持IBC系统的信息安全设备的具体实施例1的流程示意图。

本实施例中，IBC解密方法具体步骤包括：

1、通讯接口模块接收外部的解密数据命令；

2、控制模块从通讯接口模块接收命令，并解析命令的请求，并调用IBC解密模块来处理解密命令；

3、 IBC解密模块接收控制模块的处理命令，并调用ECC双线性对算法模块，使用IBC私钥和PKG参数，对密文进行数据解密；

4、通讯接口模块将解密得到的明文数据返回给外部。

具体实施案例2：

本实施案例，利用PKG和信息安全设备之间共享密钥，用加密的方式设置IBC信息安全设备内的IBC私钥。

如图5所示，本实施案例的包含6个模块：控制模块、通讯接口模块、IBC解密模块、IBC私钥设置模块、IBC私钥数据解密模块、和PKG之间的共享密钥、IBC私钥。

IBC解密模块：接收控制模块调用，并使用IBC私钥和PKG参数，完成对密文进行数据解密的功能。

IBC私钥：是存储在信息安全设备中的用户的IBC私钥。每个信息安全设备内的IBC私钥都不同，这个私钥与上述唯一ID相对应，所以每个信息安全设备中的IBC私钥都不一样。

IBC私钥设置模块：接受加密的用户IBC私钥信息，并调用IBC私钥数据解密模块，解密IBC私钥数据并保存IBC私钥。

IBC私钥数据解密模块：使用和PKG之间的共享密码解密IBC私钥数据。

和PKG之间的共享密钥，用于实现PKG和信息安全设备之间加密传输IBC私钥。

参见图7，本实施例的具体实施流程为：

1. 通讯接口模块接收外部的解密数据命令，并将请求发送给控制模块；

2. 控制模块接收通讯接口发来的命令，并解析，当解析为解密命令时，向IBC解密模块发出处理命令；

3. IBC解密模块接收控制模块发来的处理命令，向IBC私钥设置模块发出获取IBC私钥的请求；

4. IBC私钥设置模块接收请求，获取设备中存储的加密的IBC私钥信息；

5. IBC私钥设置模块调用IBC私钥数据解密模块解密IBC私钥信息；

6. IBC私钥数据解密模块获取PKG和信息安全设备之间的共享密钥，通过该共享密钥解密IBC私钥信息，获取IBC私钥；

7. IBC私钥设置模块保存IBC私钥；

8. IBC解密模块获取并使用IBC私钥和PKG参数，对密文进行数据解密；

9. 通讯接口模块将解密后的明文数据返回给外部。

本发明将用户的IBC私钥存储在信息安全设备中，当有解密需求时，由信息安全设备内部的IBC解密模块使用保存在信息安全设备内部的IBC私钥对请求的数据进行解密，由于IBC私钥是经过PKG根据信息安全设备唯一ID计算后固化在信息安全设备内部，且IBC解密过程也是在信息安全设备内部完成的，因此具有极高的安全性，可以避免用户从中央服务器获取私钥而遭受攻击，以及被冒名获取私钥的风险，可以提高安全性。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims

1.一种带有IBC解密模块的信息安全设备，包括IBC解密模块、IBC私钥和通讯接口模块，其中，

IBC解密模块，用于通过通讯接口模块接收外部的解密数据的命令，并处理解密命令，使用IBC私钥解密命令中携带的密文，并通过通讯接口模块把解密得到的明文数据返回；

IBC私钥，是存储在信息安全设备中的用户的IBC私钥；

2.如权利要求1所述的信息安全设备，其中每个信息安全设备内的IBC私钥都不同，这个私钥与信息安全设备的唯一ID相对应。

3.如权利要求1或2所述的信息安全设备，其中上述的IBC私钥是由PKG根据ID计算之后固化在信息安全设备内部，只能被信息安全内部的模块调用并用于计算，不能被读取。

4.一种带有IBC解密模块的信息安全设备，包括控制模块、IBC解密模块、IBC私钥和通讯接口模块，其中，

所述控制模块，用于从通讯接口模块接收命令，并解析命令的请求、调用相应命令处理模块来处理命令，以及通过通讯接口模块把解密得到的明文数据返回；

IBC解密模块，用于接收控制模块调用，使用IBC私钥对密文进行数据解密；

IBC私钥，是存储在信息安全设备中的用户的IBC私钥；

5.如权利要求4所述的信息安全设备，其中每个信息安全设备内的IBC私钥都不同，这个私钥与信息安全设备的唯一ID相对应。

6.如权利要求4或5所述的信息安全设备，其中上述的IBC私钥是由PKG根据ID计算之后固化在信息安全设备内部，只能被信息安全内部的模块调用并用于计算，不能被读取。

7.如权利要求4-6之一所述的信息安全设备，其中所述的信息安全设备还包括IBC签名模块，用于接收控制模块的调用，使用IBC私钥对数据进行数字签名。

8.如权利要求7所述的信息安全设备，其中该信息安全设备还包含IBC私钥设置模块，用于PKG设置IBC私钥。

9.如权利要求8所述的信息安全设备，其中具体设置过程为：PKG根据主密钥（Master Key）和该信息安全设备的唯一ID生成用户的私钥。

10.如权利要求8或9所述的信息安全设备，其中上述的IBC私钥设置模块，还用于接受用户的IBC私钥信息，解密IBC私钥信息并保存IBC私钥。

11.如权利要求10所述的信息安全设备，其中上述的IBC私钥信息中还包含PKG的参数信息，信息安全设备可以保存这些参数，供IBC解密或者IBC签名时使用。

12.如权利要求10所述的信息安全设备，其中上述的IBC私钥信息包括使用PKG和信息安全设备之间共享密钥加密的私钥信息。

13.如权利要求12所述的信息安全设备，其中该信息安全设备还包括：PKG和信息安全设备之间的共享密钥、IBC私钥数据解密模块，其中，

所述PKG和信息安全设备之间的共享密钥，用于实现PKG和信息安全设备之间加密传输IBC私钥；

14.如权利要求4-13之一所述的信息安全设备，其中信息安全设备还包括：ECC双线性对算法模块，用于实现ECC双线性对算法的计算功能。

15.如权利要求14所述的信息安全设备，其中该信息安全设备还包括PKG参数，该参数包括ECC曲线方程的参数、曲线上的基础点G、PKG的公钥P，信息安全设备可以保存这些参数，供IBC解密或者IBC签名时使用。

16.一种带有IBC解密模块的信息安全设备的解密方法，方法步骤为：

1）通讯接口模块接收外部的解密数据命令；

2）控制模块从通讯接口模块接收命令，并解析命令的请求，调用IBC解密模块来处理解密命令；

3）IBC解密模块接收控制模块的处理命令，并调用ECC双线性对算法模块，使用IBC私钥和PKG参数，对密文进行数据解密；

4）通讯接口模块将解密得到的明文数据返回给外部。

17.一种带有IBC解密模块的信息安全设备的解密方法，方法步骤为：

1）通讯接口模块接收外部的解密数据命令，并将请求发送给控制模块；

2）控制模块接收通讯接口发来的命令，并解析，当解析为解密命令时，向IBC解密模块发出处理命令；

3）IBC解密模块接收控制模块发来的处理命令，向IBC私钥设置模块发出获取IBC私钥的请求；

4）IBC私钥设置模块接收请求，获取设备中存储的加密的IBC私钥信息；

5）IBC私钥设置模块调用IBC私钥数据解密模块解密IBC私钥信息；

6）IBC私钥数据解密模块获取PKG和信息安全设备之间的共享密钥，通过该共享密钥解密IBC私钥信息，获取IBC私钥；

7）IBC私钥设置模块保存IBC私钥；

8）IBC解密模块获取并使用IBC私钥和PKG参数，对密文进行数据解密；

9）通讯接口模块将解密后的明文数据返回给外部。