CN104717070A - 一种利用单向哈希函数关联数字证书的方法 - Google Patents

Abstract

本发明涉及一种利用单向哈希函数关联数字证书的方法，证书持有者基于单向哈希树生成并关联数字证书，证书与树的节点一一对应，一张证书的单向哈希值嵌入在对应父节点证书中公钥N的指定部分。验证某一节点的证书时，沿从该节点到根节点的路径，依次验证路径上每张证书的单向哈希值与路径上低一层节点对应证书中公钥N的特定部分是否相同，并验证根节点证书是否合法，若验证全部通过则判定待验证证书合法，否则判定非法。本发明以高效的方式使得即使单个用户也能拥有多张相互关联的数字证书，且能在预计的N被分解之时前就先行更换证书，具有能够避免使用长N造成的高通信与计算开销，以及能为用户提供灵活可控的匿名性等多方面的优势。

Description

一种利用单向哈希函数关联数字证书的方法

技术领域

本发明涉及数字证书领域，尤其涉及一种利用单向哈希函数关联数字证书的方法。

背景技术

公钥基础设施(Public Key Infrastructure，PKI)以数字证书授权机构(Certificate Authority，CA)签发数字证书的方式，将用户个人身份与公钥绑定在一起，以解决密钥属于谁也即密钥认证的问题。

PKI体系中的CA作为法定的数字证书授权机构，负责签发数字证书，是通信双方都信任的第三方实体。每张数字证书都包含了公钥数据、相应密钥拥有者的身份、证书有效期等信息，并应带有CA的数字签名以作为证书合法性的证明；证书中同时还应包含CA的名称，以便验证者找到CA的公钥从而验证证书上的数字签名。

公钥密码技术是数字签名的理论基石，其中，RSA算法作为一个成熟的公钥密码算法，被广泛应用于PKI体系中。多数密码学家认为该算法的安全性建立在大整数分解的困难性之上，即分解两个大素数的乘积在计算上是困难的。在实际使用的RSA算法中，公钥之一的N作为两个大素数的乘积，长度(记作|N|)至少应是1024比特。若N被成功分解为它的两个素因子(这通常需要耗费很长的时间)，则相应签名用的密钥一定会被破解。

然而，随着计算机硬件性能的快速提升，用户的密钥面临越来越容易被破解的威胁。有鉴于此，一方面可以增加数字证书中公钥N的长度(如增加至2048、3072、甚至4096比特)以加大分解难度，另一方面则可以让CA定期或按需为用户更换证书以保证数字签名的不可否认性。然而，增加|N|会造成通信双方通信与计算开销的显著增加，而让CA定期或按需为用户更换数字证书则会给CA和用户都带来额外的负担。

此外，在某些应用场景如无线自组织网络中，通常不存在CA这样的可信第三方，证书(无CA签名)的更换完全由各网络节点自行处理，节点间的信任只基于彼此离线交换的证书而建立。一旦某个公钥N被分解，网络无法像PKI中那样通过CA颁布证书撤销列表来撤销相应证书，故需引入灵活自主的更换机制来应对用户密钥越来越容易被破解的威胁。

发明内容

为解决上述问题，本发明利用单向哈希树这种数据结构，结合RSA算法中公钥N可以部分指定(例如预先选定其前缀)的特性，为用户提供一种利用单向哈希函数来关联数字证书的方法。其中哈希函数也称散列函数、杂凑函数等，其特点是输入任意但输出长度固定。单向哈希函数是特殊的哈希函数，其特点是从输出反推输入在实际计算上不可行。

与传统网络中每个用户拥有一张证书不同，本发明以一种高效的方式使得即使单个用户也能拥有多张相互关联的数字证书，且能在预计的N被分解之时前就先行更换证书。该方法较传统的数字证书管理有多方面优势，例如避免了使用长N造成的高通信与计算开销，以及能为用户提供灵活可控的匿名性等。

本发明提出的利用单向哈希函数关联数字证书的方法，其中的用户涉及两种角色：一种是证书持有者，另一种是其通信对端，称为证书验证者。例如，证书持有者可以是一个提供HTTPS服务的网站，而证书验证者可以是一个浏览器。再如，在对等网络中，任何参与通信的实体往往同时扮演证书持有者和验证者的角色。本发明对传统的数字证书进行了扩展，从而使得证书持有者可以选择性的向验证者揭示证书的合法性(因而确定密钥的归属性)。例如，不知晓特定秘密信息的验证者将认为待验证的证书是非法的，而证书持有者恰好可利用此特性来隐藏其真实身份。

本发明采用的技术方案如下：

证书持有者基于单向哈希树这种数据结构生成并关联数字证书，证书与树的节点一一对应。证书间的关联依赖密码学上的单向哈希函数；函数可以是公开的，也可以是受密钥保护的。下面以高度为h的全满二叉树为例进行说明，假定各证书中公钥N等长且每张证书的寿命均为T。如图1所示，将二叉树第l层左起第m个节点编号为(l,m)，对应的证书记为C_(l,m)。基于上述二叉树生成及验证n＝(2^h-1)张证书的步骤为：

一、生成过程

1)证书持有者首先生成(n+1)/2＝2^h-1张独立的证书，对应于二叉树的叶子节点即第h层节点；

2)如图2所示，从第h层开始，将每两张相邻证书的单向哈希值以特定方式组合作为低一层即对应父节点证书中N的指定(或称给定)部分；持有者基于它们再构造各个公钥N，并结合有效期等信息生成相应的证书(但无需拥有CA的正确签名)，直至得到最低层也即根节点证书；因此，该步骤中，除叶子节点证书外，其余所有证书中的公钥N均包含指定部分；

3)证书持有者以提交给CA检查并签名(或面对面离线交换)的方式建立根节点证书的合法性，即根节点证书对通信对端是可信赖的；在CA签名的方式中，CA不对根节点以外的证书进行处理，甚至不知晓根节点以外各证书的存在；这些证书可以是未经签名的，也可以是带有不合法签名(例如自签名)的。

二、验证过程

验证者为验证证书持有者对应于单向哈希树某一节点的证书(假定当前时间在其有效期内)，只需沿从该节点到根节点的路径，依次验证路径上每张证书的单向哈希值与路径上低一层节点对应证书中公钥N的特定部分是否相同，并验证根节点证书是否合法。若上述验证全部通过则判定待验证证书合法，否则判定非法。关于上述“特定部分”，由于以子节点证书哈希值的组合作为其父节点证书公钥N的“指定部分”，在验证某一子节点证书时，其哈希值是“指定部分”的一部分，故称为“特定部分”。

进一步的，所述单向哈希树可能是对称的也可能是不对称的，即有的叶子节点可能并不位于树的最高层，这样的不对称哈希树同样也适用于本发明。上述证书生成过程以全满二叉树为例仅为了更加简洁直观的说明。

进一步的，各证书中声明的身份可灵活指定；证书中可能使用的是持有者的真名，也可能是持有者的假名。

进一步的，所述证书生成过程也可由多个证书持有者协同完成(尽管这种情况可能较少发生)。此时，基于单向哈希函数关联的数字证书各自归相应生成者持有；若相关联的两张证书分别由不同的用户生成，则这两个证书持有者之间应存在一种特殊关系(例如隶属关系或信任关系)。

进一步的，所述节点(l,m)对应的证书C_(l,m)可以为按时间顺序启用的第(2^l-1+m-1)张证书，其有效期为(2^l-1+m-2)T至(2^l-1+m-1)T(这里仍假定各证书中公钥N等长且各证书寿命均为T)。

进一步的，所述各证书的寿命T取决于证书持有者所处的环境，证书有效期彼此可以不重叠(如上述顺序启用从而恰好衔接的例子)也可以重叠，但为安全起见，任何一张证书的寿命T都应小于在可预见的未来分解掉相应长度的N的最短所需时间，以保证任何一张证书启用后，在签名用的密钥被破解之前，该证书就能自动作废(并被其他新启用的证书所替代)。

进一步的，相应的数字签名需结合证书的编号来生成/验证。

进一步的，所述对证书进行关联而采用的单向哈希函数，可以是公开的(如SHA-224)，也可以是受密钥保护的(如HMAC_SHA256)。在后一种情况下，受密钥保护的单向哈希函数可以依赖于同一个密钥，也可以依赖不同的密钥；密钥可以预先分发，也可以在相关证书启用之后才分发；具体策略由证书持有者根据实际需要来制定，从而实现特定的需求(典型的如可控的匿名性)。

进一步的，所述将子节点证书单向哈希值以特定方式组合，可采用复杂的处理方式，如拆分后随机排序的方式，即将对应于同一个父节点的所有子节点证书单向哈希值拆分后进行随机排序并拼接，作为低一层即对应父节点证书中公钥N的指定部分；也可采用简单的按序拼接方式，即将对应于同一个父节点的所有子节点证书的单向哈希值按序拼接，作为低一层即对应父节点证书中公钥N的指定部分。组合方式的不同对应验证过程中验证证书公钥N特定部分的不同。

进一步的，所述公钥N的指定部分可为公钥的前面部分、后面部分或中间部分，指定部分位置不同则采用不同的构造算法，但指定部分的长度通常至多为|N|的一半。构造N的各相应算法可以从公开的密码学文献中找到。

进一步的，所述证书验证过程中，从证书对应节点到根节点的路径存在且唯一；根节点证书是信任的根源。实际操作中，只要证书验证者已经验证并缓存了证书持有者的某一张证书C_(l,m)，则以节点(l,m)为根的子树中所有节点对应的证书的信任源均可为C_(l,m)，即所有这些证书的合法性均归结至C_(l,m)。因此，缓存已验证过的证书可以简化后续的证书验证，以省去总是归结至根节点证书的麻烦。

进一步的，所述证书生成过程所用的数据结构包括但不限于二叉树。单向哈希树中非叶子节点的度数相同或者不同，且度数通常较小，一般不超过10。例如，当单向哈希树度数为1时，退化为单向哈希链，并且即使是这种退化的哈希树也能正常应用，此时直接将上一层证书的单向哈希值作为对应父节点证书中N的指定部分，无需组合过程。

本发明提出的利用单向哈希函数关联数字证书的方法，具有如下特点：

第一，即使单个证书持有者也可拥有多张相互关联的数字证书，且这些数字证书可以使用不同的身份，例如，证书中可能使用的是持有者的真名，也可能是持有者的假名；

第二，证书基于RSA公钥算法和树型数据结构生成，叶子节点证书中的公钥N可自由构造，但其余所有证书中的公钥N均包含预先选定的部分也即给定的单向哈希计算结果；

第三，证书持有者在生成数字证书的过程中，总是先生成子节点对应的证书，之后再基于单向哈希函数生成其父节点对应的证书；从整体数据结构的角度来看是从叶子节点向根节点逐层下降来构造单向哈希树；

第四，证书之间的关联在数学上体现为单向哈希函数关系，即一张证书的单向哈希值嵌入在另一张证书(对应于更低一层的父节点)中N的指定部分，所用函数可以是公开的(如SHA-224)，也可以是受密钥保护的(如HMAC_SHA256)；证书持有者可自行控制证书间的关联关系是否公开以及向哪些通信对端公开，从而达到可控的匿名性；

第五，证书的合法性依赖于其父节点(从而最终依赖于根节点)证书的合法性，例如，在二叉树中证书C_(l,3)和C_(l,4)的合法性(哪怕它们并不拥有CA的正确签名)依赖于C_(l-1,2)的合法性；因此，证书验证者对证书持有者某一证书进行验证，至多只需要获取从该证书对应节点到信任源路径上的所有证书；最初的信任源为根节点证书(有CA的正确签名，或者，事先离线交换的)，之后则可以是已验证并缓存的证书；

第六，各证书的寿命都应小于在可预见的未来分解指定长度N的最短所需时间；任何一张尚未启用的证书都应妥善保管而不能提前泄露，一经启用就应按时更换而不能在其有效期过后还继续使用；相应的数字签名需结合证书的编号来生成/验证。

与现有技术相比，本发明提出一种利用单向哈希函数关联数字证书的方法，其有益效果为：

a)本发明中根节点证书持有者只要保证了根节点证书的合法性，就等效于保证了全体n张证书的合法性；CA(若存在)只对根节点证书进行签发，签发过程不会给CA增加任何额外的负担；证书验证者验证一张证书的通信和计算开销均至多为O(log n)；

b)本发明中证书持有者可以分别规定每一张证书的有效期(彼此可以不重叠也可以重叠)，使得作为通信双方的证书持有者及验证者可以自行且同步更换证书；相应的数字签名需结合证书的编号来生成/验证；因此，即便整个系统中有多达n张合法证书，在实际使用中它们也不至引起混乱；

c)若根节点证书合法，则与其关联的证书均合法；即使某一张证书中的N被分解掉也不会导致严重后果(因为持有者及验证者在此之前就应已更换至其他的证书)，这使得各证书中使用的公钥N可以选得相对较短，如1024、768、甚至512比特，从而显著降低各网络节点的通信和计算开销；

d)本发明中证书持有者任一证书C_(l,m)的合法性依赖于其父节点证书的合法性；证书验证者只要验证并缓存了证书持有者的某张C_(l,m)，就可以完成对相应子节点证书的验证，并以此类推；这样做可以提高证书验证的效率；

e)由于每张证书中声明的身份(真名或假名)可灵活指定，故证书持有者在不同时间(甚至同一时间，取决于多张证书的有效期是否重叠)可使用不同的身份进行通信，且可通过控制保护单向函数的密钥的分发来决定哪些通信对端可以辨识证书之间的关联性。

附图说明

图1为本发明中采用的树形结构的示例图。

图2为关联过程中以子节点证书的单向哈希值生成父节点证书的示意图。

图3为基于二叉树来批量生成数字证书的示意图。

图4为验证基于二叉树批量生成的数字证书的示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清晰明白，以下将结合具体实施例，并参照附图对本发明做详细的说明。

本实施例中以PKI中一个证书持有者利用单向哈希函数关联多张数字证书并请求CA对根证书进行签发加以说明。其中，证书持有者基于高度为h的全满二叉树生成并关联(2^h-1)张证书，且总是指定公钥N的前面部分。记采用的单向哈希函数为f，其输出长度为L比特且4L≤|N|，采用的证书单向哈希值组合方式为简单的按序拼接。具体流程如下：

1)证书持有者首先生成2^h-1张独立的数字证书，对应于二叉树的叶子节点，记为C_(h,1)，C_(h,2)，…，C_(h,2 ^h-1 ₎；

2)初始化l＝h；

3)证书持有者对二叉树第l层证书各自应用f，将运算结果按序两两拼接得到2^l-2个长度为2L的比特串：f(C_(l,1))||f(C_(l,2))，f(C_(l,3))||f(C_(l,4))，…，f(C_(l,2 ^l-1 _-1))||f(C_(l,2 ^l-1 ₎)；

4)证书持有者以上述比特串分别作为第l-1层证书中公钥N的前面部分，并基于它们构造新的公钥N，结合有效期等信息生成相应的数字证书，记为C_(l-1,1)，C_(l-1,2)，…，C_(l-1,2 ^l-2 ₎；

5)令l＝l-1，若此时l不等于1则转至步骤3)；

6)CA对且仅对二叉树根节点证书C_(1,1)进行检查，若合法则签名。

验证者验证证书持有者的C_(i,j)的流程如下，其中e(x)系“是否偶数”函数(x为偶数时其值为1，x为奇数时则为0)：

1)判断当前时间是否在证书中声明的有效期内，若不是则判定证书非法；

2)初始化l＝i，m＝j；

3)依次令H＝f(C_(l,m))，l＝l-1，p＝e(m)，m＝(m+1-p)/2；

4)验证者检查证书C_(l,m)公钥N的第pL+1到(p+1)L比特与H是否相同，若不同则判定证书非法；

5)若l不等于1则转至步骤3)；

6)验证者检查C_(1,1)中CA的签名，若签名合法则判定证书合法，否则非法。

在本实施例中证书持有者基于深度为4的全满二叉树生成(2⁴-1)张数字证书并请求CA对根证书进行签发，其中统一指定|N|＝1024比特，采用的f为SHA-256算法。如图3所示，其中虚线框表示对应证书中公钥N的指定部分，具体流程如下：

一、生成过程

1)证书持有者首先生成8张独立的数字证书，对应于二叉树的叶子节点，记为C_(4,1)，C_(4,2)，…，C_(4,8)；

2)证书持有者对叶子节点证书各自应用f，将运算结果按序两两拼接得到4个长度为512比特的串：f(C_(4,1))||f(C_(4,2)),f(C_(4,3))||f(C_(4,4)),f(C_(4,5))||f(C_(4,6))和f(C_(4,7))||f(C_(4,8))；

3)证书持有者以上述比特串分别作为第3层证书中公钥N的前512比特，并基于它们构造新的公钥N，结合有效期等信息生成相应的数字证书，记为C_(3,1)，C_(3,2)，C_(3,3)和C_(3,4)；

4)证书持有者对第3层证书各自应用f，将运算结果按序两两拼接得到2个长度为512比特的串：f(C_(3,1))||f(C_(3,2))和f(C_(3,3))||f(C_(3,4))；

5)证书持有者以上述比特串分别作为第2层证书中公钥N的前512比特，并基于它们构造新的公钥N，结合有效期等信息生成相应的数字证书，记为C_(2,1)和C_(2,2)；

6)证书持有者对第2层证书各自应用f，将运算结果按序拼接得到1个长度为512比特的串：f(C_(2,1))||f(C_(2,2))；

7)证书持有者以上述比特串作为根节点证书中公钥N的前512比特，基于它构造新的公钥N，结合有效期等信息生成相应的数字证书，记为C_(1,1)；

8)CA对证书持有者最后生成的C_(1,1)进行检查和签名，这等效于一次性签发了证书持有者的(2⁴-1)张证书，尽管证书持有者批量生成证书的过程对CA而言不可见。

二、验证过程

假设证书持有者按上述过程生成并关联了自己的(2⁴-1)张证书，而验证者在没有任何历史知识的情况下希望验证其中的C_(4,6)。依图4所示，C_(4,6)的验证路径为图中加粗有向线段之组合，具体流程如下：

1)证书验证者判断当前时间是否在C_(4,6)中声明的有效期内，若不是则验证失败；

2)证书验证者依次验证：

a)C_(3,3)公钥N的第257到第512比特与f(C_(4,6))是否相同；

b)C_(2,2)公钥N的第1到第256比特与f(C_(3,3))是否相同；

c)C_(1,1)公钥N的第257到第512比特与f(C_(2,2))是否相同；

3)证书验证者验证C_(1,1)中CA的签名是否合法。

如果C_(4,6)确实是证书持有者(2⁴-1)张合法证书中的一张，则上述验证会全部通过，证书验证者判定C_(4,6)是合法的。

综上所述，本发明提出了一种利用单向哈希函数关联数字证书的方法，使得证书持有者只需要保证自己根节点证书的合法性，就等效于保证了n张关联证书的合法性。CA充其量只对持有者的根节点证书进行签发，签发过程不会给CA增加任何额外的负担。证书验证者验证一张证书的通信和计算开销均至多为O(log n)。本发明可以规定每一张证书的有效期，使得证书持有者及其通信对端可以自行且同步更换证书。即使某一张证书中的N被分解掉也不会导致严重后果，这使得各证书中的公钥N可以相对较短，从而显著降低各网络节点的通信和计算开销。证书验证者验证某一张证书时，只需要获取从该证书对应节点到信任源的路径上的各证书就能完成验证。本发明中各证书中声明的身份可灵活指定，故证书持有者在不同(甚至相同)时间可使用不同的身份进行通信。本发明具有相当大的灵活性，所用数据结构包括但不限于二叉树，例如，当单向哈希树度数为1时，单向哈希树将退化成单向哈希链；所用单向哈希函数甚至可以是受密钥保护的函数，此时，证书持有者可通过控制保护单向函数的密钥的分发来决定哪些通信对端可以辨识证书之间的关联性。

以上所述实施例仅为更好的说明本发明的目的、技术方案和有益效果。所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种利用单向哈希函数关联数字证书的方法，其特征在于，包括如下步骤：

1)证书持有者生成对应于单向哈希树的叶子节点的数字证书；

2)设单向哈希树的高度为h，从第h层开始，证书持有者将对应于同一个父节点的所有子节点证书的单向哈希值以特定方式组合，并将该组合作为低一层即对应父节点证书中公钥N的指定部分，然后基于指定部分再构造各个公钥N，并结合数字证书所需的其它信息生成相应的数字证书，直至得到最低层也即根节点的数字证书；

3)证书持有者以提交给CA检查并签名的方式或面对面离线交换的方式，建立根节点证书的合法性，即保证根节点证书对通信对端是可信赖的。

2.如权利要求1所述的方法，其特征在于，证书验证者验证证书持有者对应于单向哈希树某一节点的数字证书的方法是：判定当前时间是否在在该证书声明的有效期内，若不是则判定证书非法，若是则沿从该节点到根节点的路径，依次验证路径上每张证书的单向哈希值与路径上低一层节点对应证书中公钥N的特定部分是否相同，并验证根节点证书是否合法，若上述验证全部通过则判定待验证证书合法，否则判定待验证证书非法。

3.如权利要求1或2所述的方法，其特征在于：各数字证书中声明的身份灵活指定，证书中使用证书持有者的真名或者假名。

4.如权利要求1或2所述的方法，其特征在于：数字证书生成过程由单个证书持有者完成，或者由多个证书持有者协同完成，此时基于单向哈希函数关联的数字证书各自归相应生成者持有。

5.如权利要求1或2所述的方法，其特征在于：各数字证书的有效期彼此重叠或者不重叠；任何一张数字证书的寿命T都小于在可预见的未来分解掉相应长度的N的最短所需时间，以保证任何一张证书启用后，在签名用的密钥被破解之前，该证书能够自动作废并被其他新启用的证书所替代。

6.如权利要求1或2所述的方法，其特征在于：与数字证书相应的数字签名，需结合证书的编号来生成或验证；证书验证者对已验证过的数字证书进行缓存，以简化后续的证书验证过程。

7.如权利要求1或2所述的方法，其特征在于：对数字证书进行关联而采用的单向哈希函数是公开的，或者是受密钥保护的；证书持有者自行控制证书间的关联关系是否公开以及向哪些通信对端公开，从而达到可控的匿名性。

8.如权利要求1或2所述的方法，其特征在于：所述公钥N的指定部分为公钥的前面部分、后面部分或中间部分，指定部分的长度至多为|N|的一半。

9.如权利要求1或2所述的方法，其特征在于，所述证书持有者将对应于同一个父节点的所有子节点证书的单向哈希值以特定方式组合，包括：拆分后随机排序方式，按序拼接方式；组合方式的不同对应于验证过程验证证书公钥N特定部分的不同。

10.如权利要求1或2所述的方法，其特征在于：所述单向哈希树是对称的或者不对称的；所述单向哈希树中非叶子节点的度数相同或者不同，且度数不超过10，当哈希树度数为1时退化为单向哈希链。