CN106161017A - 标识认证安全管理系统 - Google Patents
标识认证安全管理系统 Download PDFInfo
- Publication number
- CN106161017A CN106161017A CN201510124138.7A CN201510124138A CN106161017A CN 106161017 A CN106161017 A CN 106161017A CN 201510124138 A CN201510124138 A CN 201510124138A CN 106161017 A CN106161017 A CN 106161017A
- Authority
- CN
- China
- Prior art keywords
- key
- management system
- private key
- data
- security terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Storage Device Security (AREA)
Abstract
本发明提供了一种标识认证安全管理系统，包括密钥生成装置和安全终端，密钥生成装置通过硬件内置的种子矩阵生成基于标识的密钥对，安全终端具备内置的唯一密钥对，安全终端将设备公钥，标识，随机数送出，并用设备私钥签名，经过数据接口或网络送入密钥生成装置，密钥生成装置根据标识生成标识私钥，用安全终端的设备公钥加密，并用管理私钥签名，经过数据接口或网络接口送至安全终端，标识私钥在安全设备内部解密并存储，外部无法读取。
Description
技术领域
本发明涉及一种能够通过标识代替公钥进行密钥管理与认证的安全体系，实现基于标识的安全认证与管理系统。
背景技术
专用安全存储硬件一直是安全行业端到端加密依赖的模型，如果能够通过联网设备的优势，通过标识与组合密钥系统结合，解决海量用户和分级安全管理的难题，这将使安全业务的灵活度有更大的发展，方便用户的使用。
发明内容
本发明公开了一种标识认证安全管理系统，包括密钥生成装置和安全终端，密钥生成装置具备唯一的密钥对，包括管理私钥和管理公钥，密钥生成装置通过硬件内置的种子矩阵生成基于标识的密钥对；安全终端具备内置的唯一密钥对，包括设备私钥和设备公钥，安全终端将自己的设备公钥，标识和随机数一起形成申请数据，并用自己的设备私钥对申请数据进行数字签名，经过数据接口或网络送入密钥生成装置，密钥生成装置验证申请数据的数字签名后，根据申请数据中的标识生成标识私钥，与有效期、功能和随机数一起形成发行数据，用安全终端的设备公钥加密，并用自己的管理私钥签名，经过数据接口或网络接口送至安全终端，安全终端验证发行数据的数字签名后，把密文的标识私钥在安全终端内部解密并存储，外部无法读取。
所述的标识认证安全管理系统，其特征在于，所述种子矩阵是指以椭圆曲线加密算法为基础，对多随机数或特定数据进行运算，生成同运算模型下的若干对不同的私钥和公钥，分别形成私钥种子矩阵和公钥种子矩阵，通过对用户的唯一标识做摘要映射，把摘要值换算成若干位置坐标，私钥种子矩阵中对应位置取出的多个私钥模加的结果组成的新私钥和对应的公钥种子矩阵中同样位置取出的多个公钥点加的结果组成的新公钥仍然是一对密钥对，公钥种子矩阵和公钥运算算法公开，私钥种子矩阵在密钥生成装置中安全保存，这样任何用户只要有对方的唯一标识，就可以计算对方的公钥，安全的给对方发信息，以及验证对方的签名，任何用户只要有自己的私钥，就能解开发来的加密数据，以及对自己发出的数据做签名。
所述的标识认证安全管理系统，其特征在于，所述安全终端具有唯一识别号，是由生产厂商保障的每个设备有唯一的不重复的序列号，并且能够通过底层安全函数直接从系统内部获取，这样的安全终端就具备了基本的安全条件，类似于智能卡和电子标签的唯一序列号，通常提前由后台主服务管理系统进行设定，只有业务类型、有效期及相关执行条件都允许，后台主服务管理系统才会根据业务操作需要，加密用户的业务私钥给具有特定唯一识别号的安全终端。
所述的标识认证安全管理系统，其特征在于，所述后台主服务管理系统根据客户信息、客户端设备的唯一识别号、业务范围、交易序号、前几次安全记录和关键特征数据生成与用户的唯一标识及客户端设备唯一序列号绑定的同步因子，所述同步因子根据预先设定的条件不断进行变化。
所述的标识认证安全管理系统，其特征在于，所述安全终端具有个人密码，能够由用户自行设定的，不同的设备、不同的业务都有独立的个人密码用来约束执行条件，通常提前由用户通过安全终端登录后台主服务管理系统，根据设备和业务类型进行设定。
所述的标识认证安全管理系统，其特征在于，所述发行数据包含额外的数据保护密钥，先计算唯一序列号和个人密码组合数据的摘要值，再用摘要值和服务端生成的同步因子继续做摘要映射，生成数据保护密钥，用数据保护密钥加密标识私钥，再用设备公钥加密传送给安全终端。
所述的标识认证安全管理系统，其特征在于，当用户需要更换安全终端或修改个人密码时，通过安全信道登录后台主服务管理系统，重新设定自己将要使用的包含唯一识别号的安全终端及其有效期、使用次数、使用条件和用途，以及用户自行设定的新个人密码与唯一序列号的摘要值，那么后台主服务管理系统将根据这些数据产生一个初始同步因子，以短信或其它网络信道发给用户。
所述的标识认证安全管理系统，其特征在于，所述标识认证安全管理系统采用主标识作为管理，管理若干附属的子标识，用户通过审核后，将拥有一个存储有用户主标识私钥、各子标识私钥以及具备安全认证与加解密算法的安全终端，所有安全认证都依赖安全终端通过各私钥组合运算实现完成，达到端到端的安全加密。
标识认证的基本原理是，以椭圆曲线加密算法为例，首先生成一个私钥矩阵，以及一个和这个私钥矩阵对应的公钥矩阵，即私钥矩阵中特定位置的私钥和公钥矩阵中同样位置的公钥是一对公钥对，通过对客户的唯一标识做摘要，能够把摘要值换算成若干位置坐标，从公钥矩阵对应位置取出多个公钥做点加，生成用户公钥，由于公钥矩阵和计算用户公钥的算法公开，任何人都能通过用户标识计算出用户公钥来验证签名，或用用户公钥加密数据发给该用户，而该用户也只能用自己的用户私钥进行签名或解开其他人发来的用该用户公钥加密的数据。在椭圆曲线加密算法限定的同一个域内，私钥矩阵中同样位置的私钥模加的结果组成的用户私钥和对应的公钥矩阵中同样位置的公钥点加的结果组成的用户公钥仍然是一对公钥对，因此公钥矩阵和公钥运算算法公开，而私钥矩阵由发行方秘密保存，生成的用户私钥密文交由用户安全终端秘密保存。这样任何用户只要有对方的唯一标识，就可以用对方的用户公钥安全的给对方发信息，以及验证对方的签名，任何用户只要有自己的用户私钥，就能解开发来的加密数据，以及对自己承诺的数据做签名。作为扩展应用，还有基于此运算基础上的多子标识密钥组合，和共享随机密钥生成，一次一密等多种安全应用。
具体实施方式
本发明的标识认证安全管理系统的具体实现流程为，采用唯真标识RID的编码及其验证方法，唯真标识采用主标识作为管理，管理若干附属的子标识，用户通过审核后，将拥有一个存储有与用户主标识U_RID对应的私钥SK以及安全认证与加解密算法的安全硬件UK，所有安全认证都依赖安全硬件UK完成，达到端到端的安全加密，非常完备。同时为了保障其它非包含安全硬件的客户端设备，用户需要用自己的安全硬件UK登录后台主安全管理系统CAM，通过端到端的硬件安全认证后，用户可以设定自己将要使用的包含唯一识别号SN的设备及其有效期、使用次数、使用条件和用途，以及用户自行设定的PIN与SN的摘要值，那么CAM将根据这些数据产生一个初始同步码SF，以短信或其它网络信道发给用户。SF分为两部分，SFH为同步因子，SFL为验证同步因子运算结果的识别码。
用户在指定的设备上通过安装客户端软件或浏览器登录特定业务系统时，如果业务服务系统AP判别此设备是否登记且在有效范围内的，AP会返回一个随机数RND和自己的主标识AP_RID、业务内容及签名，操作界面将提示用户输入正确的PIN和SF，然后PIN、SN、SF以及RND的摘要值会被用与AP_RID对应的公钥加密发送给AP，AP通过安全硬件解出数据后，通过取得CAM中已有的用户PIN与SN的摘要值，再和SFH和RND做摘要运算，核对无误并批准用户通过该设备进行业务操作后，AP将会把AP_RID附加上U_RID和SN做为新标识N_RID，发送给CAM，CAM验证无误，将把和该新标识N_RID对应的私钥SK用由U_RID、APvRID、SN与PIN的摘要值和SFH共同运算的结果生成的保护密钥KP进行加密，连同私钥SK对SFH运算的结果SFL一起密文传送给客户端设备，每次客户端设备需要使用私钥SK时，将提示用户输入PIN，然后根据U_RID、AP_RID、SN与PIN的摘要值和SFH共同运算的结果生成的保护密钥KP解密私钥SK，并用私钥SK对SFH运算，判断结果与SFL是否相符，从而判断私钥SK是否被正确解密。
AP为了保障安全，KP的生成过程中可以要求加入由AP管理的AC，使得多一个动态因子，能进一步保障安全。如果AC是由安全硬件生成的，则安全强度会更高。
其中多个SN与PIN的摘要值的存储，SF的生成与管理以及N_RID的生成与管理，在CAM配合下，可以灵活分配给不同的AP，以AP为主，在CAM配合下完成。其核心目的是，CAM通过硬件系统保障安全应用与管理，在能够使用安全硬件的条件下，尽量使用安全硬件。在没有条件使用安全硬件的环境下，AP通过信任CAM和UK，在用户设定的由SN、PIN、AP或CAM管理的SF以及AP管理的AC一起进行运算，用动态安全密钥KP保护用户的业务私钥SK，达到安全交易的目的。
Claims (8)
1.一种标识认证安全管理系统，包括密钥生成装置和安全终端，密钥生成装置具备唯一的密钥对，包括管理私钥和管理公钥，密钥生成装置通过硬件内置的种子矩阵生成基于标识的密钥对；安全终端具备内置的唯一密钥对，包括设备私钥和设备公钥，安全终端将自己的设备公钥，标识和随机数一起形成申请数据，并用自己的设备私钥对申请数据进行数字签名，经过数据接口或网络送入密钥生成装置，密钥生成装置验证申请数据的数字签名后，根据申请数据中的标识生成标识私钥，与有效期、功能和随机数一起形成发行数据，用安全终端的设备公钥加密，并用自己的管理私钥签名，经过数据接口或网络接口送至安全终端，安全终端验证发行数据的数字签名后，把密文的标识私钥在安全终端内部解密并存储，外部无法读取。
2.根据权利要求1中所述的标识认证安全管理系统，其特征在于，所述种子矩阵是指以椭圆曲线加密算法为基础，对多随机数或特定数据进行运算，生成同运算模型下的若干对不同的私钥和公钥，分别形成私钥种子矩阵和公钥种子矩阵，通过对用户的唯一标识做摘要映射，把摘要值换算成若干位置坐标，私钥种子矩阵中对应位置取出的多个私钥模加的结果组成的新私钥和对应的公钥种子矩阵中同样位置取出的多个公钥点加的结果组成的新公钥仍然是一对密钥对，公钥种子矩阵和公钥运算算法公开，私钥种子矩阵在密钥生成装置中安全保存，这样任何用户只要有对方的唯一标识，就可以计算对方的公钥，安全的给对方发信息，以及验证对方的签名，任何用户只要有自己的私钥，就能解开发来的加密数据，以及对自己发出的数据做签名。
3.根据权利要求2中所述的标识认证安全管理系统，其特征在于，所述安全终端具有唯一识别号，是由生产厂商保障的每个设备有唯一的不重复的序列号，并且能够通过底层安全函数直接从系统内部获取，这样的安全终端就具备了基本的安全条件，类似于智能卡和电子标签的唯一序列号，通常提前由后台主服务管理系统进行设定，只有业务类型、有效期及相关执行条件都允许，后台主服务管理系统才会根据业务操作需要，加密用户的业务私钥给具有特定唯一识别号的安全终端。
4.根据权利要求3中所述的标识认证安全管理系统，其特征在于，所述后台主服务管理系统根据客户信息、客户端设备的唯一识别号、业务范围、交易序号、前几次安全记录和关键特征数据生成与用户的唯一标识及客户端设备唯一序列号绑定的同步因子，所述同步因子根据预先设定的条件不断进行变化。
5.根据权利要求4中所述的标识认证安全管理系统，其特征在于，所述安全终端具有个人密码，能够由用户自行设定的，不同的设备、不同的业务都有独立的个人密码用来约束执行条件，通常提前由用户通过安全终端登录后台主服务管理系统，根据设备和业务类型进行设定。
6.根据权利要求5中所述的标识认证安全管理系统，其特征在于，所述发行数据包含额外的数据保护密钥，先计算唯一序列号和个人密码组合数据的摘要值，再用摘要值和服务端生成的同步因子继续做摘要映射，生成数据保护密钥，用数据保护密钥加密标识私钥，再用设备公钥加密传送给安全终端。
7.根据权利要求6中所述的标识认证安全管理系统，其特征在于，当用户需要更换安全终端或修改个人密码时，通过安全信道登录后台主服务管理系统，重新设定自己将要使用的包含唯一识别号的安全终端及其有效期、使用次数、使用条件和用途，以及用户自行设定的新个人密码与唯一序列号的摘要值，那么后台主服务管理系统将根据这些数据产生一个初始同步因子，以短信或其它网络信道发给用户。
8.根据权利要求7中所述的标识认证安全管理系统，其特征在于，所述标识认证安全管理系统采用主标识作为管理，管理若干附属的子标识，用户通过审核后，将拥有一个存储有用户主标识私钥、各子标识私钥以及具备安全认证与加解密算法的安全终端，所有安全认证都依赖安全终端通过各私钥组合运算实现完成，达到端到端的安全加密。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510124138.7A CN106161017A (zh) | 2015-03-20 | 2015-03-20 | 标识认证安全管理系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510124138.7A CN106161017A (zh) | 2015-03-20 | 2015-03-20 | 标识认证安全管理系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN106161017A true CN106161017A (zh) | 2016-11-23 |
Family
ID=58063628
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510124138.7A Pending CN106161017A (zh) | 2015-03-20 | 2015-03-20 | 标识认证安全管理系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106161017A (zh) |
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107124274A (zh) * | 2017-05-18 | 2017-09-01 | 深圳奥联信息安全技术有限公司 | 基于sm2的数字签名方法和装置 |
| CN108243190A (zh) * | 2018-01-09 | 2018-07-03 | 北京信息科技大学 | 一种网络标识的可信管理方法和系统 |
| CN109687959A (zh) * | 2018-12-29 | 2019-04-26 | 上海唯链信息科技有限公司 | 密钥安全管理系统和方法、介质和计算机程序 |
| CN109997119A (zh) * | 2016-09-27 | 2019-07-09 | 维萨国际服务协会 | 安全元件安装和设置 |
| CN109992932A (zh) * | 2017-12-27 | 2019-07-09 | 中城智慧科技有限公司 | 一种基于标识认证的软件安全容垒的实现方法 |
| WO2020073314A1 (zh) * | 2018-10-12 | 2020-04-16 | 深圳市汇顶科技股份有限公司 | 密钥生成方法、获取方法、私钥更新方法、芯片和服务器 |
| CN111027089A (zh) * | 2019-12-31 | 2020-04-17 | 深圳前海智安信息科技有限公司 | 一种基于安全边缘计算的密钥管理通信方法 |
| CN112187466A (zh) * | 2020-09-01 | 2021-01-05 | 深信服科技股份有限公司 | 一种身份管理方法、装置、设备及存储介质 |
| CN113132099A (zh) * | 2021-04-06 | 2021-07-16 | 鼎铉商用密码测评技术(深圳)有限公司 | 一种基于硬件密码设备的传输文件加解密方法及装置 |
| CN115001717A (zh) * | 2022-08-03 | 2022-09-02 | 中国电力科学研究院有限公司 | 一种基于标识公钥的终端设备认证方法及系统 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101674304A (zh) * | 2009-10-15 | 2010-03-17 | 浙江师范大学 | 一种网络身份认证系统及方法 |
| CN101741555A (zh) * | 2008-11-12 | 2010-06-16 | 中兴通讯股份有限公司 | 身份认证和密钥协商方法及系统 |
| CN101964786A (zh) * | 2010-09-17 | 2011-02-02 | 中山大学 | 一种基于机顶盒的信息安全传输系统及方法 |
| CN102170357A (zh) * | 2011-05-31 | 2011-08-31 | 北京虎符科技有限公司 | 组合密钥动态安全管理系统 |
| CN102752112A (zh) * | 2011-04-22 | 2012-10-24 | 航天信息股份有限公司 | 基于sm1/sm2算法的权限控制方法及装置 |
| CN103546284A (zh) * | 2012-07-10 | 2014-01-29 | 北京虎符科技有限公司 | 虎符令牌认证系统 |
-
2015
- 2015-03-20 CN CN201510124138.7A patent/CN106161017A/zh active Pending
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101741555A (zh) * | 2008-11-12 | 2010-06-16 | 中兴通讯股份有限公司 | 身份认证和密钥协商方法及系统 |
| CN101674304A (zh) * | 2009-10-15 | 2010-03-17 | 浙江师范大学 | 一种网络身份认证系统及方法 |
| CN101964786A (zh) * | 2010-09-17 | 2011-02-02 | 中山大学 | 一种基于机顶盒的信息安全传输系统及方法 |
| CN102752112A (zh) * | 2011-04-22 | 2012-10-24 | 航天信息股份有限公司 | 基于sm1/sm2算法的权限控制方法及装置 |
| CN102170357A (zh) * | 2011-05-31 | 2011-08-31 | 北京虎符科技有限公司 | 组合密钥动态安全管理系统 |
| CN103546284A (zh) * | 2012-07-10 | 2014-01-29 | 北京虎符科技有限公司 | 虎符令牌认证系统 |
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109997119B (zh) * | 2016-09-27 | 2022-11-04 | 维萨国际服务协会 | 安全元件安装和设置 |
| CN109997119A (zh) * | 2016-09-27 | 2019-07-09 | 维萨国际服务协会 | 安全元件安装和设置 |
| CN107124274A (zh) * | 2017-05-18 | 2017-09-01 | 深圳奥联信息安全技术有限公司 | 基于sm2的数字签名方法和装置 |
| CN109992932A (zh) * | 2017-12-27 | 2019-07-09 | 中城智慧科技有限公司 | 一种基于标识认证的软件安全容垒的实现方法 |
| CN108243190A (zh) * | 2018-01-09 | 2018-07-03 | 北京信息科技大学 | 一种网络标识的可信管理方法和系统 |
| US11190351B2 (en) | 2018-10-12 | 2021-11-30 | Shenzhen GOODIX Technology Co., Ltd. | Key generation method and acquisition method, private key update method, chip, and server |
| WO2020073314A1 (zh) * | 2018-10-12 | 2020-04-16 | 深圳市汇顶科技股份有限公司 | 密钥生成方法、获取方法、私钥更新方法、芯片和服务器 |
| CN109687959A (zh) * | 2018-12-29 | 2019-04-26 | 上海唯链信息科技有限公司 | 密钥安全管理系统和方法、介质和计算机程序 |
| CN111027089A (zh) * | 2019-12-31 | 2020-04-17 | 深圳前海智安信息科技有限公司 | 一种基于安全边缘计算的密钥管理通信方法 |
| CN112187466A (zh) * | 2020-09-01 | 2021-01-05 | 深信服科技股份有限公司 | 一种身份管理方法、装置、设备及存储介质 |
| CN112187466B (zh) * | 2020-09-01 | 2023-05-12 | 深信服科技股份有限公司 | 一种身份管理方法、装置、设备及存储介质 |
| CN113132099A (zh) * | 2021-04-06 | 2021-07-16 | 鼎铉商用密码测评技术(深圳)有限公司 | 一种基于硬件密码设备的传输文件加解密方法及装置 |
| CN115001717A (zh) * | 2022-08-03 | 2022-09-02 | 中国电力科学研究院有限公司 | 一种基于标识公钥的终端设备认证方法及系统 |
| CN115001717B (zh) * | 2022-08-03 | 2022-10-25 | 中国电力科学研究院有限公司 | 一种基于标识公钥的终端设备认证方法及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN106161017A (zh) | 标识认证安全管理系统 | |
| CN102170357B (zh) | 组合密钥动态安全管理系统 | |
| TWI803726B (zh) | 準備並執行物體驗證的方法及系統 | |
| WO2018046008A1 (zh) | 一种区块链加密射频芯片存储设计方法 | |
| CN103078841B (zh) | 一种预防性电子数据保全的方法及系统 | |
| CN105100083B (zh) | 一种隐私保护且支持用户撤销的基于属性加密方法和系统 | |
| CN102025503B (zh) | 一种集群环境下数据安全实现方法和一种高安全性的集群 | |
| CN107257350B (zh) | 一种“可穿戴”设备的离线认证或支付方法 | |
| CN106603246A (zh) | 一种sm2数字签名分割生成方法及系统 | |
| CN104219228A (zh) | 一种用户注册、用户识别方法及系统 | |
| CN106060078B (zh) | 应用于云平台的用户信息加密方法、注册方法及验证方法 | |
| CN106850229B (zh) | 基于乘积秘密分割的sm2数字签名生成方法及系统 | |
| CN106161350A (zh) | 一种管理应用标识的方法及装置 | |
| CN103152362B (zh) | 基于云计算的大数据文件加密传输方法 | |
| CN107070660A (zh) | 一种区块链加密射频芯片的存储设计方法 | |
| CN107733654A (zh) | 一种基于组合密钥的智能设备、密钥分发方法 | |
| KR101862279B1 (ko) | 인터넷 정보 안전을 보장하는 아키텍처 및 방법 | |
| TW201141172A (en) | Methods, circuits, devices, and systems for provisioning of cryptographic data to one or more electronic devices | |
| CN104717232A (zh) | 一种面向群组的密码系统 | |
| CN104200154A (zh) | 一种基于标识的安装包签名方法及其装置 | |
| CN103237302B (zh) | 一种物联网电子标签的传感信息安全防护方法 | |
| CN109218307A (zh) | 一种客户端身份认证的方法 | |
| CN107104793A (zh) | 一种数字签名生成方法及系统 | |
| CN106209730A (zh) | 一种管理应用标识的方法及装置 | |
| CN104734847B (zh) | 面向公钥密码应用的共享对称密钥数据加密和解密方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| WD01 | Invention patent application deemed withdrawn after publication | ||
| WD01 | Invention patent application deemed withdrawn after publication |
Application publication date: 20161123 |