CN106533692A - 一种基于tpm的数字证书申请方法 - Google Patents

一种基于tpm的数字证书申请方法 Download PDF

Info

Publication number
CN106533692A
CN106533692A CN201610935882.XA CN201610935882A CN106533692A CN 106533692 A CN106533692 A CN 106533692A CN 201610935882 A CN201610935882 A CN 201610935882A CN 106533692 A CN106533692 A CN 106533692A
Authority
CN
China
Prior art keywords
chip
certificate
tpm
random number
pkey
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610935882.XA
Other languages
English (en)
Inventor
郝虹
戴鸿君
于治楼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jinan Inspur Hi Tech Investment and Development Co Ltd
Original Assignee
Jinan Inspur Hi Tech Investment and Development Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jinan Inspur Hi Tech Investment and Development Co Ltd filed Critical Jinan Inspur Hi Tech Investment and Development Co Ltd
Priority to CN201610935882.XA priority Critical patent/CN106533692A/zh
Publication of CN106533692A publication Critical patent/CN106533692A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明特别涉及一种基于TPM的数字证书申请方法。该基于TPM的数字证书申请方法，一方面申请方使用TPM硬件芯片生成一对非对称密钥，其中芯片公钥PKey_R导出申请证书，芯片私钥SKey_R存在芯片内部进行保护，以防止芯片私钥SKey_R泄露；另一方面申请方与CA中心的通信过程全部采用非对称加密，保证数据传输过程中的机密性；同时增加随机数验证，确保申请方能够得到权威机构颁发的证书。该基于TPM的数字证书申请方法，CA中心密匙对与通过TPM硬件芯片使用内部算法及密钥种子产生的密钥对结合使用，极大地提高了安全性，能够避免黑客攻击泄露密钥；同时通信过程采用非对称加密，保证了数据传输过程的机密性，能够确保申请方得到的数字证书的安全性。

Description

一种基于TPM的数字证书申请方法
技术领域
本发明涉及信息安全与可信计算技术领域，特别涉及一种基于TPM的数字证书申请方法。
背景技术
数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印(或者说加在数字身份证上的一个签名)。它是由权威CA认证中心颁发的用于标识通讯各方身份的数据，相当于现实中的身份证。
目前数字证书已广泛应用于电子商务、电子支付、网上银行等领域。使用数字证书安全通信依赖于一对非对称密钥：私钥和公钥。其中，私钥用来签名和解密，公钥用来制作数字证书标识身份。
数字证书申请时该密钥对有两种生成方法：一是由申请方生成密钥对，将公钥及身份相关信息发送给CA中心，CA据此颁发证书；二是由CA中心产生密钥对，使用公钥制作证书，然后将私钥和证书一并发给证书申请方。方法一中，密钥对由申请方生成，其安全性较低，容易受到黑客攻击泄露密钥；方法二虽然能保证密钥生成的安全，但在通过网络将私钥和证书发送的过程中容易受到网络攻击。
基于上述问题，本发明提出了一种基于TPM的数字证书申请方法。可信计算技术的核心主要依赖作为整个平台可信根的TPM/TCM芯片。作为片上系统，芯片内部存在密钥生成部件，同时其密钥存储体系保证了密钥的安全存储。
发明内容
本发明为了弥补现有技术的缺陷，提供了一种简单高效的基于TPM的数字证书申请方法。
本发明是通过如下技术方案实现的：
一种基于TPM的数字证书申请方法，其特征在于：一方面申请方使用TPM硬件芯片生成一对非对称密钥，其中芯片公钥PKey_R导出申请证书，芯片私钥SKey_R存在芯片内部进行保护，以防止芯片私钥SKey_R泄露；另一方面申请方与CA中心的通信过程全部采用非对称加密，保证数据传输过程中的机密性；同时增加随机数验证，确保申请方能够得到权威机构颁发的证书。
本发明基于TPM的数字证书申请方法，包括以下步骤：
（1）申请方获取安装CA中心的CA根证书，根证书中包含CA中心公钥PKey_C；
（2）申请方使用TPM芯片生成一个随机数N和一对非对称密钥，包括芯片私钥SKey_R和芯片公钥PKey_R，其中芯片私钥SKey_R存在TPM芯片内部，不允许导出，芯片公钥PKey_R可导出；
（3）申请方使用CA中心公钥PKey_C加密身份信息，芯片公钥PKey_R及随机数N，向CA中心提交证书申请请求；
（4）CA中心使用CA中心私钥SKey_C解密请求信息，得到芯片公钥PKey_R及身份信息，审核身份信息，通过审核后使用芯片公钥PKey_R及部分身份信息制作证书；
（5）CA中心用芯片公钥PKey_R加密证书，并使用CA中心私钥SKey_C签名随机数N，一并发送给申请方；
（6）申请方首先使用本地根证书中的CA中心公钥PKey_C验证签名，将得到的随机数M与原随机数N比较，若M与N相匹配，则使用芯片私钥SKey_R解密得到证书。
所述步骤（6）中，若得到的随机数M与原随机数N不匹配，则返回步骤（3），重新向CA中心提交证书申请请求。
本发明的有益效果是：该基于TPM的数字证书申请方法，CA中心密匙对与通过TPM硬件芯片使用内部算法及密钥种子产生的密钥对结合使用，极大地提高了安全性，能够避免黑客攻击泄露密钥；同时通信过程采用非对称加密，保证了数据传输过程的机密性，能够确保申请方得到的数字证书的安全性。
附图说明
附图1为本发明基于TPM的数字证书申请方法示意图。
具体实施方式
为了使本发明所要解决的技术问题、技术方案及有益效果更加清楚明白，以下结合附图和实施例，对本发明进行详细的说明。应当说明的是，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。
该基于TPM的数字证书申请方法，一方面申请方使用TPM硬件芯片生成一对非对称密钥，其中芯片公钥PKey_R导出申请证书，芯片私钥SKey_R存在芯片内部进行保护，以防止芯片私钥SKey_R泄露；另一方面申请方与CA中心的通信过程全部采用非对称加密，保证数据传输过程中的机密性；同时增加随机数验证，确保申请方能够得到权威机构颁发的证书。
该基于TPM的数字证书申请方法，包括以下步骤：
（1）申请方获取安装CA中心的CA根证书，根证书中包含CA中心公钥PKey_C；
（2）申请方使用TPM芯片生成一个随机数N和一对非对称密钥，包括芯片私钥SKey_R和芯片公钥PKey_R，其中芯片私钥SKey_R存在TPM芯片内部，不允许导出，芯片公钥PKey_R可导出；
（3）申请方使用CA中心公钥PKey_C加密身份信息，芯片公钥PKey_R及随机数N，向CA中心提交证书申请请求；
（4）CA中心使用CA中心私钥SKey_C解密请求信息，得到芯片公钥PKey_R及身份信息，审核身份信息，通过审核后使用芯片公钥PKey_R及部分身份信息制作证书；
（5）CA中心用芯片公钥PKey_R加密证书，并使用CA中心私钥SKey_C签名随机数N，一并发送给申请方；
（6）申请方首先使用本地根证书中的CA中心公钥PKey_C验证签名，将得到的随机数M与原随机数N比较，若M与N相匹配，则使用芯片私钥SKey_R解密得到证书。
若得到的随机数M与原随机数N不匹配，则返回步骤（3），重新向CA中心提交证书申请请求。

Claims (3)

1.一种基于TPM的数字证书申请方法，其特征在于：一方面申请方使用TPM硬件芯片生成一对非对称密钥，其中芯片公钥PKey_R导出申请证书，芯片私钥SKey_R存在芯片内部进行保护，以防止芯片私钥SKey_R泄露；另一方面申请方与CA中心的通信过程全部采用非对称加密，保证数据传输过程中的机密性；同时增加随机数验证，确保申请方能够得到权威机构颁发的证书。
2.根据权利要求1所述的基于TPM的数字证书申请方法，其特征在于包括以下步骤：
（1）申请方获取安装CA中心的CA根证书，根证书中包含CA中心公钥PKey_C；
（2）申请方使用TPM芯片生成一个随机数N和一对非对称密钥，包括芯片私钥SKey_R和芯片公钥PKey_R，其中芯片私钥SKey_R存在TPM芯片内部，不允许导出，芯片公钥PKey_R可导出；
（3）申请方使用CA中心公钥PKey_C加密身份信息，芯片公钥PKey_R及随机数N，向CA中心提交证书申请请求；
（4）CA中心使用CA中心私钥SKey_C解密请求信息，得到芯片公钥PKey_R及身份信息，审核身份信息，通过审核后使用芯片公钥PKey_R及部分身份信息制作证书；
（5）CA中心用芯片公钥PKey_R加密证书，并使用CA中心私钥SKey_C签名随机数N，一并发送给申请方；
（6）申请方首先使用本地根证书中的CA中心公钥PKey_C验证签名，将得到的随机数M与原随机数N比较，若M与N相匹配，则使用芯片私钥SKey_R解密得到证书。
3.根据权利要求2所述的基于TPM的数字证书申请方法，其特征在于：所述步骤（6）中，若得到的随机数M与原随机数N不匹配，则返回步骤（3），重新向CA中心提交证书申请请求。
CN201610935882.XA 2016-11-01 2016-11-01 一种基于tpm的数字证书申请方法 Pending CN106533692A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610935882.XA CN106533692A (zh) 2016-11-01 2016-11-01 一种基于tpm的数字证书申请方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610935882.XA CN106533692A (zh) 2016-11-01 2016-11-01 一种基于tpm的数字证书申请方法

Publications (1)

Publication Number Publication Date
CN106533692A true CN106533692A (zh) 2017-03-22

Family

ID=58292507

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610935882.XA Pending CN106533692A (zh) 2016-11-01 2016-11-01 一种基于tpm的数字证书申请方法

Country Status (1)

Country Link
CN (1) CN106533692A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108111507A (zh) * 2017-12-19 2018-06-01 恒宝股份有限公司 一种设备远程升级的方法及系统
CN108667781A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
CN110365486A (zh) * 2019-06-28 2019-10-22 东软集团股份有限公司 一种证书申请方法、装置及设备
CN113810411A (zh) * 2021-09-17 2021-12-17 公安部交通管理科学研究所 一种交通管控设施数字证书管理方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101739623A (zh) * 2008-11-06 2010-06-16 同方股份有限公司 一种可信支付计算机系统
CN102355351A (zh) * 2011-07-21 2012-02-15 华为技术有限公司 一种基于可信计算的密钥生成、备份和迁移方法及系统
CN106031086A (zh) * 2014-02-20 2016-10-12 菲尼克斯电气公司 用于生成设备证书和检验设备证书的有效性的方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101739623A (zh) * 2008-11-06 2010-06-16 同方股份有限公司 一种可信支付计算机系统
CN102355351A (zh) * 2011-07-21 2012-02-15 华为技术有限公司 一种基于可信计算的密钥生成、备份和迁移方法及系统
CN106031086A (zh) * 2014-02-20 2016-10-12 菲尼克斯电气公司 用于生成设备证书和检验设备证书的有效性的方法和系统

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108667781A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
CN108111507A (zh) * 2017-12-19 2018-06-01 恒宝股份有限公司 一种设备远程升级的方法及系统
CN110365486A (zh) * 2019-06-28 2019-10-22 东软集团股份有限公司 一种证书申请方法、装置及设备
CN110365486B (zh) * 2019-06-28 2022-08-16 东软集团股份有限公司 一种证书申请方法、装置及设备
CN113810411A (zh) * 2021-09-17 2021-12-17 公安部交通管理科学研究所 一种交通管控设施数字证书管理方法及系统
CN113810411B (zh) * 2021-09-17 2023-02-14 公安部交通管理科学研究所 一种交通管控设施数字证书管理方法及系统

Similar Documents

Publication Publication Date Title
US11757662B2 (en) Confidential authentication and provisioning
EP3642997B1 (en) Secure communications providing forward secrecy
JP6151402B2 (ja) データセンタへのプラットフォームの内包検証
CN110138799A (zh) 一种基于sgx的安全云存储方法
CA2838675A1 (en) Implicitly certified digital signatures
CN107454077A (zh) 一种基于iki标识认证的单点登录方法
CN106533692A (zh) 一种基于tpm的数字证书申请方法
CN103414559B (zh) 一种云计算环境下的基于类ibe系统的身份认证方法
CN114049121B (zh) 基于区块链的账户重置方法和设备
CN114692218A (zh) 一种面向个人用户的电子签章方法、设备和系统
CN103701787A (zh) 一种基于公开密钥算法实现的用户名口令认证方法
CN107911221A (zh) 固态盘数据安全存储的密钥管理方法
CN113159774B (zh) 一种区块链中可监管零知识证明验证方法及系统
CN103139218A (zh) 分离机制网络中可信域间映射更新认证方法
CN113726503A (zh) 一种保护web交互信息的方法及系统
CN112671729A (zh) 面向车联网的匿名的抗密钥泄露的认证方法、系统及介质
RU2771928C2 (ru) Безопасный обмен данными, обеспечивающий прямую секретность
WO2023198036A1 (zh) 一种密钥生成方法、装置及设备
WO2024045677A1 (zh) 电子装置及电子装置间的身份识别方法
Wu et al. Enhancing Cloud Data Integrity Verification Scheme with User Legitimacy Check
CN118487776A (zh) 一种基于国密sm9算法的零信任spa业务访问方法
CN118862127A (zh) 一种用于软件开发的计算机系统加密方法
CN117238430A (zh) 基于rfid和区块链的健康大数据共享平台、方法及应用
CN113726523A (zh) 一种基于Cookie和DR身份密码体制的多重身份认证方法及装置
CN112738130A (zh) 基于身份的命名数据网络通信方法和通信系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20170322