CN106209373B - 密钥生成系统、数据签章与加密系统及方法 - Google Patents

Abstract

本发明提供一种数据签章与加密方法，包括：接受客户端的注册；根据注册客户端的身份标识信息生成初始密钥，并每隔一预定周期生成一时间更新密钥，其中该时间更新密钥至少包括客户端身份标识信息及一时间间隔，该预定周期的长度与时间更新密钥中时间间隔的长度相等；客户端可利用该初始密钥、时间更新密钥及客户端生成的私钥组成私有密钥组，该私有密钥组与一公钥被作为一对密钥被用来对数据进行签章加密等。当该时间更新密钥中的时间间隔过期后该时间更新密钥不能继续被使用。本发明还提供一种密钥生成系统和数据签章与加密系统。本发明通过时间更新密钥能够撤销客户端的使用权限，节省密钥资源及存储空间，也降低了数据安全隐患。

Description

密钥生成系统、数据签章与加密系统及方法

技术领域

本发明涉及数据安全保护，特别涉及一种可撤销式密钥生成系统、可撤销式无证书公钥数据签章与加密系统及方法。

背景技术

现有的无证书式公开密钥签加方法中，当密钥生成中心(Key GenerationCenter,KGC)生成的初始密钥一经分发给用户端后便无法撤销，如此，使用者可以一直使用该初始密钥，从而造成数据安全隐患，此外，当使用者不再需要该初始密钥时，对于使用者而言，不能被撤销的初始密钥也会造成密钥资源以及存储空间的浪费。

发明内容

有鉴于此，有必要提供一种新型的密钥生成系统、数据签章与加密系统和方法，以解决上述问题。

一种密钥生成系统，应用于一密钥生成中心，该密钥生成中心与若干客户端相互通信，其中每个客户端均对应唯一的身份标识信息。该密钥生成系统包括：初始密钥生成模块，用于根据客户端的身份标识信息生成与该客户端唯一对应的初始密钥；该初始密钥生成模块还用于根据该客户端的身份标识信息每隔一预定周期生成一时间更新密钥，该时间更新密钥至少包括该客户端的身份标识信息和一预定的时间间隔，其中该时间间隔的时间长度与该预定周期的时间长度相等，当客户端注销时，该初始密钥生成模块停止生成和发送时间更新密钥；该初始密钥生成模块还用于将该初始密钥和时间更新密钥发送至该客户端，使得客户端根据该初始密钥、时间更新密钥以及该客户端生成的私钥组成私有密钥组，该私有密钥组和客户端生成的公钥被作为一个密钥对，该客户端能够利用该私有密钥组对待发送的数据进行签章，并利用接收方的公钥对待传送数据进行加密；当该客户端接收到签章并加密的数据后，能够利用该私有密钥组对接收到的数据进行解密，并使用发送方的公钥进行签章的认证。

一种数据签章与加密系统，应用于一客户端中，该客户端至少包括一处理器和一通信单元，该客户端通过该通信单元向一密钥生成中心注册并与该密钥生成中心相互通信并，其中该客户端向密钥生成中心注册的信息中包含该客户端的唯一身份标识信息。该数据签章与加密系统包括：获取模块，用于获取由密钥生成中心向该客户端发送的初始密钥和时间更新密钥，其中该初始密钥和时间更新密钥由该密钥生成中心根据该客户端的唯一身份标识信息生成，其中时间更新密钥由该密钥生成中心每隔一预定周期发送一次，每个时间更新密钥中均包含用户的身份标识信息和一预定时间间隔，该时间间隔的时间长度值与该预定周期的时间长度值相等，当客户端注销时，该初始密钥生成模块停止生成和发送时间更新密钥；密钥生成模块，用于利用一秘密值生成该客户端对应的公钥和私钥，还利用接收到的初始密钥、时间更新密钥与该私钥生成私有密钥组，该私有密钥组和客户端生成的公钥被作为一个密钥对；以及数据签章与加密模块用于在该客户端发送数据时，利用该私有密钥组对待发送的数据进行签章，并利用接收方的公钥对待传送数据进行加密；并在该客户端由其他客户端接收到签章并加密的数据后，利用该私有密钥组对接收到的数据进行解密，并使用发送方的公钥进行签章的认证。

本发明还提供一种数据签章与加密方法，包括：接收至少一客户端的注册，其中该客户端对应唯一的的身份标识信息；根据注册客户端的身份标识信息生成一与该注册客户端唯一对应的初始密钥，还根据该注册客户端的身份标识信息每隔一预定周期生成一时间更新密钥，其中时间更新密钥至少包括该客户端的身份标识信息及一预定的时间间隔，该预定周期的时间长度与该时间更新密钥中时间间隔的时间长度相等；将该初始密钥和该时间更新密钥发送至该注册的客户端，该初始密钥和时间更新密钥能够被客户端利用，与该客户端生成的一私钥组成私有密钥组；当该客户端向其他客户端发送数据时，该客户端利用该私有密钥组对待发送的数据进行签章，并利用接收方的公钥对待传送数据进行加密；当该客户端由其他客户端接收到签章并加密的数据后，利用该私有密钥组对接收到的数据进行解密，并使用发送方的公钥进行签章的认证。当该时间更新密钥中的时间间隔过期后该时间更新密钥不能继续被使用。

本发明中的密钥生成系统、数据签章与加密系统及方法，在密钥生成中心生成初始密钥的同时还周期性的生成时间更新密钥，并将该时间更新密钥发送至客户端中，使得该客户端利用该时间更新密钥、初始密钥以及客户端生成的私钥组成一私有密钥组，从而完成对数据的加密解密。当需要撤销客户端使用初始密钥的权限时，该密钥生成中心停止向该客户端发送时间更新密钥，则该客户端无法利用时间更新密钥生成私有密钥组，从而无法完成数据的加密解密。如此，通过时间更新密钥撤销客户端的使用权限，不但节省了密钥资源以及存储空间的浪费，也减少了数据安全隐患。

附图说明

图1为本发明一实施方式中密钥生成中心和客户端组成的通信系统框架示意图。

图2为本发明一实施方式中密钥生成中心的框架示意图。

图3为本发明一实施方式中客户端的框架示意图。

图4为本发明一实施方式中数据签章与加密方法的流程图。

主要元件符号说明

如下具体实施方式将结合上述附图进一步说明本发明。

具体实施方式

下面结合附图，对本发明中的密钥生成系统、数据签章与加密系统及方法作进一步的详细描述。

请参阅图1，本发明一实施方式中密钥生成中心(Key Generation Center,KGC)10与多个客户端20互相通信从而组成一个通信系统。在本实施方式中，该密钥生成中心10可以是服务器、个人电脑等电子装置，客户端20可以是手机、笔记本电脑、平板电脑等便携式电子设备、也可以是智能手表等穿戴式设备。该密钥生成中心10与该多个客户端20之间以及每个客户端20之间均可以利用蓝牙(Bluetooth)通信协定，Zigbee通信协定、WIFI通信协定等进行无线通信，也可以利用有线方式进行通信。

如图2所示，该密钥生成中心10至少包括处理器11和通信单元12。在本实施方式中，一密钥生成系统100运行于该处理器11中。该密钥生成系统100至少包括客户端管理模块101和初始密钥生成模块102。其中该客户端管理模块101和该初始密钥生成模块102可以是固化于该处理器11中的可程序化模块，也可以是存储于该密钥生成中心10中的能够被该处理器11调用执行的程序代码。

该客户端管理模块101用于对该些客户端20进行注册/注销操作，其中在该密钥生成中心10注册的每一客户端20均对应一唯一身份标识信息，该客户端20的身份标识信息可以是该客户端20的IP地址、媒体存取控制位址(MAC address)等，也可以是客户端20使用者的员工号、手机号、邮箱账号、身份证号等。在本实施方式中，该客户端管理模块101响应用户在该密钥生成中心10中的键盘等输入装置(图未示)中输入的指令而对客户端20进行注册/注销操作。在本发明另一实施方式中，该客户端管理模块101响应客户端20发送的注册/注销请求而对该客户端20进行注册/注销操作。

该初始密钥生成模块102用于在客户端20注册成功后，根据该注册的客户端20的身份标识信息生成一与该客户端20唯一对应的初始密钥(Initial Secret Key,ISK)和时间更新密钥(Time update key，TUK)。其中，密钥生成中心10根据客户端20的身份标识信息生成该客户端20对应的初始密钥ISK可利用现有的密钥生成算法和技术来完成，在此不再赘述。在本实施方式中，该时间更新密钥TUK至少包括该客户端20的身份标识信息及一预定的时间间隔。其中，该预定的时间间隔为一固定时间长度值，例如该预定的时间间隔可以是由2015年1月1日0时至2015年2月1日0时，共30天；或者该预定的时间间隔也可以是由生成该时间更新密钥TUK起20天等。进一步地，该时间间隔可以由该初始密钥生成模块102自动设定，也可以由用户手动设定。在本实施方式中，该初始密钥生成模块102可以根据现有密钥生成算法和技术，利用该客户端的身份标识信息和时间间隔生成该时间更新密钥TUK。

在本实施方式中，该密钥生成中心10每隔一预定周期便重新生成时间更新密钥TUK并将重新生成的时间更新密钥TUK发送至该客户端20，其中该预定周期的时间长度与该时间更新密钥TUK中时间间隔的时间长度相等，也就是说，该时间更新密钥TUK发送完成的时间达到该时间更新密钥TUK中时间间隔的时间长度后，该密钥生成中心10便重新生成一时间更新密钥TUK并将该新生成的时间更新密钥TUK发送至该客户端20。例如，当一第一时间更新密钥TUK中的时间间隔2015年1月1日0时至2015年2月1日0时过期后，该密钥生成中心10重新生成一第二时间更新密钥TUK并发送至客户端20，且该第二时间更新密钥TUK中的时间间隔为2015年2月1日0时至2015年3月1日0时，以此类推，直至该客户端20由该密钥生成中心10中注销或该密钥生成中心10接收到停止向客户端20发送时间更新密钥TUK的指令为止。

该初始密钥生成模块102还通过该通信单元12将该初始密钥ISK和该时间更新密钥TUK发送至该注册的客户端20。在本实施方式中，该通信单元12将初始密钥ISK通过加密通道的方式发送至客户端20中，该时间更新密钥TUK可以通过邮件、短信等非加密的公开通道发送至客户端20。在本发明另一实施方式中，该密钥生成中心10也可以将该时间更新密钥TUK发布在网站上，由客户端20直接在该网站上下载该时间更新密钥TUK。在其他实施方式中，该时间更新密钥TUK也可以通过加密的方式发送至该客户端20中。

如图3所示，在本实施方式中，每一客户端20至少包括通信单元21和处理器22。一数据签章与加密系统200运行于该客户端20的处理器22中。在本实施方式中，该数据签章与加密系统200至少包括获取模块201、密钥生成模块202和数据签章与加密模块203。其中该获取模块201、密钥生成模块202和数据签章与加密模块203可以是固化于该处理器22中的可程序化模块，也可以是存储于该客户端20内的能够被该处理器22调用执行的程序代码。

该通信单元21用于与该密钥生成中心10中的通信单元12进行通信，并接收由该密钥生成中心10发送的初始密钥ISK和时间更新密钥TUK。

该获取模块201用于获取该通信单元21接收的初始密钥ISK和时间更新密钥TUK。

该密钥生成模块202用于利用一预先设置的秘密值生成该客户端20的公钥(public key,PK)和私钥(user secret key,USK)，该密钥生成模块202还利用由该密钥生成中心10接收到的初始密钥ISK和时间更新密钥TUK以及该私钥USK组合生成该客户端20的私有密钥组。

该数据签章与加密模块203将该公钥PK和该私有密钥组作为一对密钥，并利用该公钥PK、该私有密钥组以及作为接收方的客户端20的公钥对发送和接收的数据进行加密、解密、数字签章以及验证签章等操作。

具体地，每一客户端20中的通信单元21还与其他客户端20进行通信，获取其他客户端20的公钥并将该客户端20的公钥发送至其他客户端20。在其他实施方式中，每一客户端20也可以将自己的公钥上传至密钥生成中心10并由该密钥生成中心10将该客户端20的公钥广播至其他客户端20。

当至少两个客户端20之间需要进行数据传输时，作为发送方的客户端20中的数据签章与加密模块203，利用该发送方客户端20的私有密钥组对该待传输的数据进行数字签章，然后利用接收方客户端20的公钥对待传输的数据进行加密。

当作为接收方的客户端20接收到该签章并加密的数据后，该接收方客户端20的数据签章与加密模块203利用该接收方客户端20的私有密钥组对该接收到的数据进行解密，并使用发送方客户端20的公钥进行签章认证。

在本实施方式中，该数据签章与加密系统200还包括一时间判断模块204，用于判断该时间更新密钥TUK中的时间间隔是否过期。当一客户端20在该密钥生成中心10注销后，该密钥生成中心10则不再向该注销的客户端20发送新的时间更新密钥TUK，因此该注销的客户端20在判断时间更新密钥TUK中的时间间隔过期后便不能够再利用该时间更新密钥TUK与初始密钥和私钥USK生成私有密钥组，从而无法对数据进行加密和数字签章操作。

如图4所示，本发明还提供一种数据签章与加密方法，应用于密钥生成中心与若干客户端组成的通信系统中。该数据签章与加密方法包括步骤：

S401：密钥生成中心10接收客户端20的注册，其中该客户端20对应唯一的的身份标识信息。

S402：该密钥生成中心10在客户端20注册完成后，根据该注册客户端20的身份标识信息生成一与该客户端20唯一对应的初始密钥ISK，还根据该注册客户端20的身份标识信息周期性的生成时间更新密钥TUK。其中，该时间更新密钥TUK至少包括该客户端20的身份标识信息及一预定的时间间隔，其中该预定周期的时间长度与该时间更新密钥TUK中时间间隔的时间长度相等。

S403：该密钥生成中心10通过通信单元12将该初始密钥ISK和该时间更新密钥TUK发送至该客户端20。其中，该初始密钥ISK通过加密通道发送至客户端20中，该时间更新密钥TUK可以通过邮件、短信等非加密的公开通道发送至客户端20。

S404：该客户端20利用一秘密值生成该客户端20的公钥(public key,PK)和私钥(user secret key,USK)。

S405：该客户端20利用由该密钥生成中心10接收到的初始密钥ISK和时间更新密钥TUK以及该私钥USK生成该客户端20的私有密钥组。

S406：该客户端20将该公钥PK和该私有密钥组作为一对密钥，并利用该公钥PK、该私有密钥组以及作为接收方的客户端20的公钥对发送和接收的数据进行加密、解密、数字签章以及验证签章的操作。具体地，当至少两个客户端20之间需要进行数据传输时，作为发送方的客户端20中的数据签章与加密模块203利用该发送方客户端20的私有密钥组对该待传输的数据进行数字签章，然后利用接收方客户端20的公钥对待传输的数据进行加密。当作为接收方的客户端20接收到该签章并加密的数据后，该接收方客户端20的数据签章与加密模块203利用该接收方客户端20的私有密钥组对该接收到的数据进行解密，并使用发送方客户端20的公钥进行签章认证。

本发明中的数据签章与加密系统，通过密钥生成中心10周期性地向客户端的发送时间更新密钥，当客户端注销后密钥中心停止向客户端发送时间更新密钥即可撤销该客户端的密钥，不但节省了密钥资源和存储空间，也提高了数据安全性。

尽管对本发明的优选实施方式进行了说明和描述，但是本领域的技术人员将领悟到，可以作出各种不同的变化和改进，这些都不超出本发明的真正范围。因此期望，本发明并不局限于所公开的作为实现本发明所设想的最佳模式的具体实施方式，本发明包括的所有实施方式都有所附权利要求书的保护范围内。

Claims (12)

1.一种密钥生成系统，应用于一密钥生成中心，该密钥生成中心与若干客户端相互通信，其中每个客户端均对应唯一的身份标识信息，其特征在于，该密钥生成系统包括：

初始密钥生成模块，用于根据客户端的身份标识信息生成与该客户端唯一对应的初始密钥；该初始密钥生成模块还用于根据该客户端的身份标识信息每隔一预定周期生成一时间更新密钥，该时间更新密钥至少包括该客户端的身份标识信息和一预定的时间间隔，其中该时间间隔的时间长度与该预定周期的时间长度相等，当客户端注销时，该初始密钥生成模块停止生成和发送时间更新密钥；

该初始密钥生成模块还用于将该初始密钥和时间更新密钥发送至该客户端，使得客户端根据该初始密钥、时间更新密钥以及该客户端生成的私钥组成私有密钥组，该私有密钥组和客户端生成的公钥被作为一个密钥对，使得该客户端能够利用该私有密钥组对待发送的数据进行签章，并利用接收方客户端的公钥对待传送数据进行加密；当该客户端接收到签章并加密的数据后，客户端能够利用该私有密钥组对接收到的数据进行解密，并使用发送方客户端的公钥进行签章的认证。

2.如权利要求1所述的密钥生成系统，其特征在于，该客户端的身份标识信息是客户端的IP地址、媒体存取控制位址或该客户端使用者的员工号、手机号、邮箱账号、身份证号中的一种。

3.如权利要求1所述的密钥生成系统，其特征在于，该密钥生成系统还包括一客户端管理模块，用于接收该若干客户端进行注册和注销操作，其中每个客户端的注册信息中包含该客户端对应的身份标识信息。

4.如权利要求1所述的密钥生成系统，其特征在于，该时间更新密钥通过非加密的公开通道方式发送至该客户端。

5.一种数据签章与加密系统，应用于一客户端中，该客户端至少包括一处理器和一通信单元，该客户端通过该通信单元向一密钥生成中心注册并与该密钥生成中心交互通信，其中该客户端向密钥生成中心注册的信息中包含该客户端的唯一身份标识信息，其特征在于，该数据签章与加密系统包括：

获取模块，用于获取由密钥生成中心向该客户端发送的初始密钥和时间更新密钥，其中该初始密钥和时间更新密钥由该密钥生成中心的初始密钥生成模块根据该客户端的唯一身份标识信息生成，其中时间更新密钥由该密钥生成中心每隔一预定周期发送一次，每个时间更新密钥中均包含用户的身份标识信息和一预定时间间隔，该时间间隔的时间长度值与该预定周期的时间长度值相等，当客户端注销时，该初始密钥生成模块停止生成和发送时间更新密钥；

密钥生成模块，用于利用一秘密值生成该客户端对应的公钥和私钥，还利用接收到的初始密钥、时间更新密钥与该私钥生成私有密钥组；以及

数据签章与加密模块用于在该客户端发送数据时，利用该私有密钥组对待发送的数据进行签章，并利用接收方客户端的公钥对待传送数据进行加密；并在该客户端从其他客户端接收到签章并加密的数据后，利用该私有密钥组对接收到的数据进行解密，并使用发送方客户端的公钥进行签章的认证。

6.如权利要求5所述的数据签章与加密系统，其特征在于，该客户端的身份标识信息时客户端的IP地址、媒体存取控制位址或该客户端使用者的员工号、手机号、邮箱账号、身份证号中的一种。

7.如权利要求5所述的数据签章与加密系统，其特征在于，该时间更新密钥通过非加密的公开通道方式发送至该客户端。

8.如权利要求5所述的数据签章与加密系统，其特征在于，该数据签章与加密系统还包括一时间判断模块，用于判断时间更新密钥中的时间间隔是否过期，当该客户端没有接收到新的时间更新密钥且时间更新密钥中的时间间隔过期后，则该密钥生成模块不能继续利用该时间更新密钥生成私有密钥组。

9.如权利要求5所述的数据签章与加密系统，其特征在于，当至少两个客户端之间需要进行数据传输时，发送方客户端中的数据签章与加密模块利用接收方客户端的公钥对待传输的数据进行加密，并利用该发送方客户端的私有密钥组对该待传输的数据进行数字签章；当接收方客户端接收到该签章并加密的数据后，该接收方客户端的数据签章与加密模块利用该接收方客户端的私有密钥组对该接收到的数据进行解密，并使用发送方客户端的公钥进行签章认证。

10.一种数据签章与加密方法，应用于由密钥生成中心和若干客户端组成的通信系统中，其特征在于，该数据签章与加密方法包括：

接收至少一客户端的注册，其中该客户端对应唯一的的身份标识信息；

根据注册客户端的身份标识信息生成一与该注册客户端唯一对应的初始密钥，还根据该注册客户端的身份标识信息每隔一预定周期生成一时间更新密钥，其中时间更新密钥至少包括该客户端的身份标识信息及一预定的时间间隔，该预定周期的时间长度与该时间更新密钥中时间间隔的时间长度相等，当客户端注销时，停止生成和发送时间更新密钥；

将该初始密钥和该时间更新密钥发送至该注册的客户端，该初始密钥和时间更新密钥能够被客户端利用，与该客户端生成的一私钥组成私有密钥组，在该客户端发送数据时，利用该私有密钥组对待发送的数据进行签章，并利用接收方客户端的公钥对待传送数据进行加密；并在该客户端从其他客户端接收到签章并加密的数据后，利用该私有密钥组对接收到的数据进行解密，并使用发送方客户端的公钥进行签章的认证。

11.如权利要求10所述的数据签章与加密方法，其特征在于，该时间更新密钥通过非加密的公开通道方式发送至该客户端。

12.如权利要求10所述的数据签章与加密方法，其特征在于，该客户端的身份标识信息是客户端的IP地址、媒体存取控制位址或该客户端使用者的员工号、手机号、邮箱账号、身份证号中的一种。