CN112532390B - 加载数字证书认证机构证书的方法及装置 - Google Patents

Abstract

本申请提供了一种用于商用设备的加载CA证书的方法，包括：在待加载的CA证书校验失败，且导致CA证书校验失败的原因是目标证书的公钥校验失败的情况下，电子设备调用授权证书，授权证书用于确定CA证书是否可以加载，CA证书包括根证书、二级证书以及三级证书，目标证书为根证书、二级证书以及三级证书中的任一种；在授权证书校验成功的情况下，电子设备加载CA证书。本申请还提供一种用于研发设备的加载CA证书的方法，包括：电子设备判断CA证书校验是否成功，CA证书包括三级证书；在CA证书校验失败，且导致CA证书校验失败的原因是三级证书的公钥校验失败，电子设备加载CA证书。本申请的目的是减小CA证书泄露的后果。

Description

加载数字证书认证机构证书的方法及装置

技术领域

本申请涉及信息安全领域，尤其涉及一种加载数字证书认证机构证书的方法及装置。

背景技术

数字证书认证机构(certificate authority，CA)证书是一种权威性的电子文档，由CA中心签发。CA证书中包含用户的个人信息、公钥信息以及CA中心的签名信息。芯片厂商发布商用CA证书，并在该商用CA证书上使用私钥签名。在芯片加载CA证书时，可以启动CA证书校验，确保在芯片上启动的CA证书是该芯片厂商签发的CA证书，不是该芯片厂商签发的CA证书无法加载在芯片上。

电子设备通常可以分为商用设备和研发设备，其中，商用设备为用于商业用途的设备，可以被投入市场，由用户购买或使用。研发设备则用于研发人员研发调试。通常情况下，一个CA证书仅被加载在一个电子设备上，例如商用设备可以加载商用版本的CA证书，研发设备可以加载研发版本的CA证书。在一些特殊的场景下，一个CA证书可以被加载在多个电子设备上。一种可能的情况，研发人员在完成研发版本的CA证书的调试后，希望加载在商用设备上，此时研发版本的CA证书可以被加载在商用设备上。另一种可能的情况，研发人员希望在研发设备上对商用版本的CA证书进行调试，此时商用版本的CA证书可以被加载在研发设备上。如果研发版本的CA证书泄露，由于CA证书可以被加载在商用设备上，会引发一系列的信息安全问题，例如篡改商用手机原装系统、在商用手机上恶意安装应用程序等。

发明内容

本申请提供一种加载数字证书认证机构证书的方法及装置，目的在于减小数字证书认证机构(certificate authority，CA)证书泄露的后果。

第一方面，提供了一种加载数字证书认证机构CA证书的方法，包括：在待加载的CA证书校验失败的情况下，电子设备调用授权证书，所述授权证书用于确定所述CA证书是否可以加载；

在所述授权证书校验成功的情况下，所述电子设备加载所述CA证书。

CA证书包括电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等。

根证书包括根公钥、二级公钥的哈希值、根证书签名。

二级证书包括二级公钥、三级公钥的哈希值、二级证书签名。

三级证书包括三级公钥、三级公钥的哈希值、三级证书签名。

根公钥的哈希值可以通过熔断熔丝寄存器内的物理熔丝的方式记录在芯片内部。

在本申请实施例中，当CA证书校验失败时，可以引用由CA中心签发的授权证书，当授权证书满足校验条件时，可以认为CA证书虽然校验失败但仍可以获得加载权限。此时即使CA证书泄露，也不会泄露可用于商用设备的完整证书信息，因此信息泄露的后果较小。

结合第一方面，在第一方面的某些实现方式中，所述CA证书包括根证书、二级证书以及三级证书，导致所述CA证书校验失败的原因是目标证书的公钥校验失败，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种。

根公钥校验成功，意味着根证书内的根公钥的哈希值与熔丝寄存器中记录的根公钥哈希值匹配。

二级公钥校验成功，意味着二级证书内的二级公钥的哈希值与一级证书中记录的二级公钥哈希值匹配。

三级公钥校验成功，意味着三级证书内的三级公钥的哈希值与二级证书中记录的三级公钥哈希值匹配。

在本申请实施例中，导致CA证书校验失败原因只有目标证书的公钥校验失败时才引用授权证书，有利于提高CA证书加载的安全性。

结合第一方面，在第一方面的某些实现方式中，所述授权证书校验成功，包括：所述授权证书包含所述电子设备的硬件序列号，和/或所述授权证书的公钥校验成功。

当授权证书包含硬件序列号时，如果授权证书也被泄露，由于该授权证书只能用于某一特定的硬件设备，因此信息泄露的后果较小。

如果授权证书的公钥校验成功，且授权证书也被泄露，由于不同设备的证书不同，并且不是所有的设备均可以调用授权证书继续CA证书校验，因此信息泄露的后果较小。

结合第一方面，在第一方面的某些实现方式中，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

申请地址例如可以是申请授权证书所使用的互联网协议(internet protocol，IP)地址，还可以是申请授权证书的研发人员或单位所在的城市或地区。

申请用户名例如可以是申请授权证书的研发人员的用户名，还可以是申请授权证书的单位的用户名。

申请时间例如可以是研发人员申请授权证书的时间。

在本申请实施例中，在授权证书中存储申请地址、申请用户名、申请时间中的一个或多个，提高授权证书的可追溯性。当授权证书发生泄露时，可以追溯到申请该授权证书的用户、地址或时间，甚至可以统计该授权证书的使用率，有利于及时制止信息泄露的后果。

结合第一方面，在第一方面的某些实现方式中，所述目标证书为三级证书，所述授权证书的公钥校验成功，包括：所述授权证书中的公钥与所述二级证书中的公钥哈希值匹配，且所述三级证书的公钥与所述授权证书中的公钥哈希值匹配。

在本申请实施例中，在导致CA证书校验失败的原因是三级公钥校验失败的情况下，授权证书可以为CA证书提供正确的三级公钥，且按照证据链顺序，根证书、授权证书、二级证书、三级证书可以形成完整的证书链，既能够使满足条件的CA证书完成校验，又能够保证授权证书的验证难度。

结合第一方面，在第一方面的某些实现方式中，所述CA证书包含所述授权证书。

在本申请实施例中，在加载CA证书时无需在其他存储介质中搜索授权证书，提高证书加载效率。

结合第一方面，在第一方面的某些实现方式中，所述电子设备为是商用设备。

商用设备为用于商业用途的设备，可以被投入市场，由用户购买或使用。

例如，在研发人员希望将研发版本的CA证书加载在商用手机时，由于研发版本的CA证书与商用版本的CA证书不同，研发版本的CA证书在商用手机上的校验是失败的。如果CA证书校验时发现只有目标证书的公钥校验失败，因此可以调用授权证书继续校验。如果授权证书校验成功，商用设备上就可以加载研发版本的CA证书，提高了商用设备调试的灵活性。

结合第一方面，在第一方面的某些实现方式中，所述电子设备包括用于指示所述电子设备为研发设备的熔丝位。

在本申请实施例中，由于熔丝位仅可烧写一次，不容易被人篡改，因此通过熔丝寄存器内的熔丝表示设备类型的方式具有高的安全系数。

第二方面，提供了一种加载数字证书认证机构CA证书的方法，包括：电子设备判断待加载的CA证书校验是否成功，所述CA证书包括三级证书；在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，所述电子设备加载所述CA证书。

在本申请实施例中，由于研发手机流入市场的可能性较小，并且通常商用版本的CA证书与研发版本的CA证书共用根证书和二级证书，此时将CA证书加载在研发手机，且该CA证书的校验失败原因只有三级公钥校验失败，为了提高调试研发手机的灵活性，可以减弱对CA证书的验证，忽略三级公钥校验失败，授权加载该CA证书。即使CA证书泄露，也不会泄露可用于研发设备的完整证书信息，因此信息泄露的后果较小。

结合第二方面，在第二方面的某些实现方式中，所述电子设备为研发设备。

研发设备则用于研发人员研发调试。

例如，在研发人员希望将商用版本的CA证书加载在研发手机时，由于研发版本的CA证书与商用版本的CA证书不同，商用版本的CA证书在研发手机上的校验是失败的。如果CA证书校验时发现只有三级证书的公钥校验失败，因此可以忽略三级公钥校验失败，授权加载该CA证书，研发设备上就可以加载商用版本的CA证书，提高了研发设备调试的灵活性。

结合第二方面，在第二方面的某些实现方式中，所述电子设备包括用于指示所述电子设备为研发设备的熔丝位。

在本申请实施例中，由于熔丝位仅可烧写一次，不容易被人篡改，因此通过熔丝寄存器内的熔丝表示设备类型的方式具有高的安全系数。

第三方面，提供了一种加载数字证书认证机构CA证书的装置，所述装置包括：处理模块，用于在待加载的CA证书校验失败的情况下，调用授权证书，所述授权证书用于确定所述CA证书是否可以加载；所述处理模块还用于，在所述授权证书校验成功的情况下，加载所述CA证书。

结合第三方面，在第三方面的某些实现方式中，所述CA证书包括根证书、二级证书以及三级证书，导致所述CA证书校验失败的原因是目标证书的公钥校验失败，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种。

结合第三方面，在第三方面的某些实现方式中，所述处理模块具体用于，在所述授权证书包含所述装置的硬件序列号，和/或所述授权证书的公钥校验成功的情况下，确定所述授权证书校验成功。

结合第三方面，在第三方面的某些实现方式中，所述目标证书为所述三级证书，所述处理模块具体用于，在所述授权证书中的公钥与所述二级证书中的公钥哈希值匹配，且所述三级证书的公钥与所述授权证书中的公钥哈希值匹配的情况下，确定所述授权证书的公钥校验成功。

结合第三方面，在第三方面的某些实现方式中，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

结合第三方面，在第三方面的某些实现方式中，所述CA证书包含所述授权证书。

结合第三方面，在第三方面的某些实现方式中，所述装置用于商用。

可选的，所述装置为商用设备或商用设备内的芯片。

结合第三方面，在第三方面的某些实现方式中，所述装置包括用于指示商用的熔丝位。

第四方面，提供了一种加载数字证书认证机构CA证书的装置，包括：处理模块，用于判断待加载的CA证书校验是否成功，所述CA证书包括三级证书；所述处理模块还用于，在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，加载所述CA证书。

结合第四方面，在第四方面的某些实现方式中，所述装置用于研发。

可选的，所述装置为研发设备或研发设备内的芯片。

结合第四方面，在第四方面的某些实现方式中，所述装置包括用于指示研发的熔丝位。

第五方面，提供了一种电子设备，所述电子设备包括用于执行上述第一方面至第二方面的任一种可能的实现方式的模块。

第六方面，提供了一种电子设备，所述电子设备包括：至少一个处理器和通信接口，所述通信接口用于所述电子设备与其它电子设备进行信息交互，当程序指令在所述至少一个处理器中执行时，使得所述电子设备实现上述第一方面至第二方面的任一种可能的实现方式的模块。

第七方面，提供了一种电子设备，所述电子设备包括：处理器、存储器和收发器，所述存储器，用于存储计算机程序，所述处理器，用于执行所述存储器中存储的计算机程序，以使得所述电子设备实现上述第一方面至第二方面的任一种可能的实现方式的模块。

第八方面，提供了一种电子设备，所述电子设备包括：处理器和存储器，所述处理器与存储器耦合，所述存储器用于存储计算机程序，处理器，用于执行所述存储器中存储的计算机程序，以使得所述电子设备实现上述第一方面至第二方面的任一种可能的实现方式的模块。

第九方面，提供了一种可读存储介质，包括程序或指令，当所述程序或指令在计算机上运行时，使得计算机执行第一方面至第二方面的任一种可能的实现方式的指令。

第十方面，提供了一种包含指令的计算机程序产品，当该计算机程序产品在计算机上运行时，使得计算机执行上述第一方面至第二方面的任一种可能的实现方式所述的方法。

第十一方面，提供了一种芯片系统，所述芯片系统包括至少一个处理器，当程序指令在所述至少一个处理器中执行时，使得所述芯片系统实现上述第一方面至第二方面的任一种可能的实现方式所述的方法。

附图说明

图1是一种数字证书认证机构(certificate authority，CA)证书的示意图。

图2是本申请实施例的一种加载CA证书的方法的示意性流程图。

图3是本申请实施例的一种加载CA证书的方法的示意性流程图。

图4是本申请实施例的一种CA证书和授权证书的示意图。

图5是本申请实施例的一种CA证书和授权证书的示意图。

图6是本申请实施例的一种CA证书和授权证书的示意图。

图7是本申请实施例的一种CA证书和授权证书的示意图。

图8是本申请实施例的一种CA证书和授权证书的示意图。

图9是本申请实施例的一种CA证书和授权证书的示意图。

图10是本申请实施例的一种CA证书和授权证书的示意图。

图11是本申请实施例的一种CA证书和授权证书的示意图。

图12是本申请实施例的一种CA证书和授权证书的示意图。

图13是本申请实施例的一种加载CA证书的方法的示意性流程图。

图14是本申请实施例的一种加载CA证书的方法的示意性流程图。

图15是本申请实施例的一种加载CA证书的装置示意性结构图。

图16是本申请实施例的一种加载CA证书的装置示意性结构图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

在本申请实施例中，电子设备包括硬件层、运行在硬件层之上的操作系统层，以及运行在操作系统层上的应用层。该硬件层包括中央处理器(central processing unit，CPU)、内存管理单元(memory management unit，MMU)和内存(也称为主存)等硬件。该操作系统可以是任意一种或多种通过进程(process)实现业务处理的计算机操作系统，例如，Linux操作系统、Unix操作系统、Android操作系统、iOS操作系统或windows操作系统等。该应用层包含浏览器、通讯录、文字处理软件、即时通信软件等应用。并且，本申请实施例并未对本申请实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本申请实施例的提供的方法的代码的程序，以执行本申请实施例提供的方法即可，例如，本申请实施例提供的方法的执行主体可以是手机、平板电脑、具备无线通讯功能的可穿戴电子设备(如智能手表)等。便携式电子设备的示例性实施例包括但不限于搭载

或者其它操作系统的便携式电子设备。上述便携式电子设备也可以是其它便携式电子设备，诸如膝上型计算机(Laptop)等。还应当理解的是，在其他一些实施例中，上述电子设备也可以不是便携式电子设备，而是台式计算机。本申请实施例提供的方法的执行主体还可以是手机、平板电脑、具备无线通讯功能的可穿戴电子设备(如智能手表)等中能够调用程序并执行程序的功能模块。

另外，本申请的各个方面或特征可以实现成方法、装置或使用标准编程和/或工程技术的制品。本申请中使用的术语“制品”涵盖可从任何计算机可读器件、载体或介质访问的计算机程序。例如，计算机可读介质可以包括，但不限于：磁存储器件(例如，硬盘、软盘或磁带等)，光盘(例如，压缩盘(compact disc，CD)、数字通用盘(digital versatile disc，DVD)等)，智能卡和闪存器件(例如，可擦写可编程只读存储器(erasable programmableread-only memory，EPROM)、卡、棒或钥匙驱动器等)。另外，本文描述的各种存储介质可代表用于存储信息的一个或多个设备和/或其它机器可读介质。术语“机器可读介质”可包括但不限于，无线信道和能够存储、包含和/或承载指令和/或数据的各种其它介质。

首先介绍一下数字证书认证机构(certificate authority，CA)证书。

CA证书包括电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等。图1所示为一种CA证书，该CA证书包括根证书、二级证书、三级证书。其中，根证书包括根公钥、二级公钥的哈希值、根证书签名。二级证书包括二级公钥、三级公钥的哈希值、二级证书签名。三级证书包括三级公钥、三级公钥的哈希值、三级证书签名。其中，CA中心存储有根证书密钥、二级证书密钥、三级证书密钥。CA中心使用根证书密钥为根证书签名，使用二级证书密钥为二级证书签名，使用三级证书密钥为三级证书签名。根公钥的哈希值可以通过熔断熔丝寄存器内的物理熔丝的方式记录在芯片内部。

CA证书的公钥校验过程可以包括：根公钥校验、二级公钥校验、三级公钥校验。

根公钥校验用于检测CA证书中的根公钥是否正确。根公钥校验的过程可以包括：获取根证书内的根公钥，通过哈希算法获得根公钥的哈希值，并与芯片内熔丝寄存器中记录的根公钥的哈希值进行匹配，如果匹配成功，则根公钥校验成功。

二级公钥校验用于检测CA证书中的二级公钥是否正确。二级公钥校验的过程可以包括：获取二级证书内的二级公钥，通过哈希算法获得二级公钥的哈希值，并与一级证书内记录的二级公钥的哈希值进行匹配，如果匹配成功，则二级公钥校验成功。

三级公钥校验用于检测CA证书中的三级公钥是否正确。三级公钥校验的过程可以包括：获取三级证书内的三级公钥，通过哈希算法获得三级公钥的哈希值，并与二级证书内记录的三级公钥的哈希值进行匹配，如果匹配成功，则三级公钥校验成功。

如果CA证书的公钥校验成功，并且CA证书的其他校验也成功，电子设备或电子设备内的模块(例如芯片)可以执行CA证书的加载。

电子设备通常可以分为商用设备和研发设备，其中，商用设备为用于商业用途的设备，可以被投入市场，由用户购买或使用。研发设备则用于研发人员研发调试。通常情况下，一个CA证书仅被加载在一个电子设备上，例如商用设备可以加载商用版本的CA证书，研发设备可以加载研发版本的CA证书。在一些特殊的场景下，一个CA证书可以被加载在多个电子设备上。一种可能的情况，研发人员在完成研发版本的CA证书的调试后，希望加载在商用设备上，此时研发版本的CA证书可以被加载在商用设备上。另一种可能的情况，研发人员希望在研发设备上对商用版本的CA证书进行调试，此时商用版本的CA证书可以被加载在研发设备上。如果研发版本的CA证书泄露，由于CA证书可以被加载在商用设备上，会引发一系列的信息安全问题，例如篡改商用手机原装系统、在商用手机上恶意安装应用程序等。

为了降低研发版本的CA证书泄露而引发的后果，可以向CA中心分别申请研发版本的CA证书与商用版本的CA证书，并且研发版本的CA证书与商用版本的CA证书不同。在当研发版本的CA证书被应用于商用设备时，由于研发版本的CA证书与商用版本的CA证书不同，那么研发版本的CA证书无法在商用设备上校验成功。类似地，商用版本的CA证书无法在研发设备上校验成功。

在一些特殊情况下，需要在商用设备上加载研发版本的CA证书，或者在研发设备上加载商用版本的CA证书。为了减小CA证书泄露的后果，本申请实施例提供了一种加载CA证书的方法及装置。

图2为本申请实施例提供的一种加载CA证书的方法。

101，在待加载的CA证书校验失败的情况下，电子设备调用授权证书，所述授权证书用于确定所述CA证书是否可以加载。

CA证书校验失败包括合法性校验失败、完整性校验失败、有效性校验失败中的一个或多个。合法性校验即确认CA证书是否由一个可信的CA颁发的。这项校验可以通过校验CA证书中的数字签名而完成。完整性校验即确认CA证书是否被人篡改过。为此校验者必须校验证书链，例如完成上文中的根公钥校验、二级公钥校验、三级公钥校验。有效性校验即验证CA证书是否有效，例如是否在有效期内。

如果电子设备判断待加载的CA证书校验失败，则执行步骤102。

可选的，所述CA证书包括根证书、二级证书以及三级证书，导致所述CA证书校验失败的原因是目标证书的公钥校验失败，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种。

也就是说，导致该CA证书校验失败的原因是根公钥校验失败、二级公钥校验失败、三级公钥校验失败中的一种，且导致该CA证书校验失败的原因只有一个。其中，只存在目标证书的公钥校验失败，说明该CA证书的全部信息中只有一个公钥校验失败，该CA证书的其他信息则都校验成功，即说明在该CA证书中只有一个公钥出现了错误或匹配失败。

102，在所述授权证书校验成功的情况下，所述电子设备加载所述CA证书。

可选的，授权证书校验成功，可以是授权证书的合法性校验、完整性校验、有效性校验成功。

也就是说，授权证书可以是一种CA证书。

可选的，授权证书中包含电子设备的硬件序列号。

也就是说，如果授权证书中的硬件序列号与待加载的CA证书的电子设备的序列号是相同，在只存在目标证书的公钥校验失败的情况下，可以忽略该CA证书的校验失败并加载该CA证书。图4所示为根公钥校验失败的情况，在授权证书中包含电子设备序列号的情况下，可以授权加载该CA证书。应理解，除根公钥校验失败的情况以外，在二级公钥校验失败或三级公钥校验失败的情况下，如果授权证书中的硬件序列号与待加载的CA证书的电子设备的序列号是相同，则可以忽略该CA证书的校验失败并加载该CA证书。

授权证书中包含电子设备的硬件序列号，可以是包含该硬件序列号本身，也可以是包含该硬件序列号的转换结果，例如硬件序列号的哈希值。

可选的，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

当研发人员希望将研发版本的CA证书加载在商用手机时，研发人员应当向CA中心申请授权证书。为了提高授权证书的可追溯性，可以将研发人员申请授权证书的时间、申请授权证书的地址、申请授权证书所使用的用户名中的一个或多个存储在授权证书中。当研发版本的CA证书和/或授权证书出现泄漏、恶意篡改等信息安全问题时，可以根据授权证书中的信息追溯至申请证书的用户。

申请地址例如可以是申请授权证书所使用的互联网协议(internet protocol，IP)地址，还可以是申请授权证书的研发人员或单位所在的城市或地区。

申请用户名例如可以是申请授权证书的研发人员的用户名，还可以是申请授权证书的单位的用户名。

可选的，该CA证书包含所述授权证书。

也就是说，授权证书是包含在该CA证书内的。因此在加载该CA证书时无需在其他存储介质中搜索授权证书，提高证书加载效率。

在其他的示例中，该CA证书与授权证书是两个独立的证书，因此在加载该CA证书时需要从其他的存储介质中调取授权证书。

下面通过图3详细介绍本申请实施例提供的一种加载CA证书的方法。

201，电子设备判断待加载的CA证书校验是否成功，所述CA证书包括根证书、二级证书以及三级证书。

CA证书校验包括合法性校验、完整性校验、有效性校验。合法性校验即确认CA证书是否由一个可信的CA颁发的。这项校验可以通过校验CA证书中的数字签名而完成。完整性校验即确认CA证书是否被人篡改过。为此校验者必须校验证书链，例如完成上文中的根公钥校验、二级公钥校验、三级公钥校验。有效性校验即验证CA证书是否有效，例如是否在有效期内。

如果CA证书校验成功，则执行步骤204，即加载该CA证书。如果CA证书校验失败，则执行步骤202。

可选的，所述电子设备为商用设备。

可选的，所述电子设备包括用于指示所述电子设备为商用设备的熔丝位。

电子设备包括熔丝寄存器，通过熔断熔丝寄存器内的物理熔丝，可以将寄存器的值从“0”变更为“1”。熔丝寄存器仅可以烧写一次。也就是说，熔丝寄存器中存在固定的熔丝位，在该熔丝位的值为特定值时，表示电子设备为商用设备。例如，熔丝寄存器中表示设备类型的熔丝位的值为“01”，则该电子设备可以确定其自身为商用设备；如果熔丝寄存器中表示设备类型的熔丝位的值为“00”，则该电子设备可以确定其自身为研发设备。由于熔丝位仅可烧写一次，不容易被人篡改，因此通过熔丝寄存器内的熔丝表示设备类型的方式具有高的安全系数。

202，在所述CA证书校验失败的情况下，所述电子设备判断是否只存在目标证书的公钥校验失败，所述目标证书为根证书、二级证书以及三级证书中的任一种。

也就是说，如果电子设备判断待加载的CA证书校验失败，需要判断导致该CA证书校验失败的原因。如果导致该CA证书校验失败的原因是根公钥校验失败、二级公钥校验失败、三级公钥校验失败中的一种，且导致该CA证书校验失败的原因只有一个，则执行步骤203，否则执行步骤205，即拒绝加载该CA证书。其中，只存在目标证书的公钥校验失败，说明该CA证书的全部信息中只有一个公钥校验失败，该CA证书的其他信息则都校验成功，即说明在该CA证书中只有一个公钥出现了错误或匹配失败。

在一个示例中，导致待加载的CA证书校验失败的原因是根公钥校验失败。

例如，电子设备内的熔丝寄存器存储有根公钥哈希值h1。待加载的CA证书中的根证书存储有根公钥，对该根公钥使用哈希算法，得到的根公钥哈希值h2。如果h1与h2不匹配，那么根公钥校验失败，因此根证书中的根公钥错误或不匹配。

在一个示例中，导致待加载的CA证书校验失败的原因是二级公钥校验失败。

例如，待加载的CA证书中的根证书存储有二级公钥哈希值h3。待加载的CA证书中的二级证书存储有二级公钥，对该二级公钥使用哈希算法，得到的二级公钥哈希值h4。如果h3与h4不匹配，那么二级公钥校验失败，因此二级证书中的二级公钥错误或不匹配。

在一个示例中，导致待加载的CA证书校验失败的原因是三级公钥校验失败。

例如，待加载的CA证书中的二级证书存储有三级公钥哈希值h5。待加载的CA证书中的三级证书存储有三级公钥，对该三级公钥使用哈希算法，得到的三级公钥哈希值h6。如果h5与h6不匹配，那么三级公钥校验失败，因此三级证书中的三级公钥错误或不匹配。

203，如果只存在目标证书的公钥校验失败，则调用授权证书，该授权证书用于确定是否加载该CA证书，判断所述授权证书是否校验成功。

由于目标证书的公钥校验失败，需要额外获取授权证书。如果成功验证授权证书，则可以执行步骤204，即获取加载该CA证书的权限。如果不存在授权证书，或者授权证书验证不成功，则执行步骤205，即拒绝加载该CA证书。

授权证书可以是由CA中心颁发的证书。授权证书可以包含签名。该签名可以是通过密钥签名得到。密钥例如是加密狗密钥。通过授权证书的签名可以辨认申请该授权证书的厂家。

示例一授权证书中包含电子设备的硬件序列号

也就是说，如果授权证书中的硬件序列号与待加载的CA证书的电子设备的序列号是相同，在只存在目标证书的公钥校验失败的情况下，可以忽略该CA证书的校验失败并加载该CA证书。图4所示为根公钥校验失败的情况，在授权证书中包含电子设备序列号的情况下，可以授权加载该CA证书。应理解，除根公钥校验失败的情况以外，在二级公钥校验失败或三级公钥校验失败的情况下，如果授权证书中的硬件序列号与待加载的CA证书的电子设备的序列号是相同，则可以忽略该CA证书的校验失败并加载该CA证书。

授权证书中包含电子设备的硬件序列号，可以是包含该硬件序列号本身，也可以是包含该硬件序列号的转换结果，例如硬件序列号的哈希值。

可选的，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

当研发人员希望将研发版本的CA证书加载在商用手机时，研发人员应当向CA中心申请授权证书。为了提高授权证书的可追溯性，可以将研发人员申请授权证书的时间、申请授权证书的地址、申请授权证书所使用的用户名中的一个或多个存储在授权证书中。当研发版本的CA证书和/或授权证书出现泄漏、恶意篡改等信息安全问题时，可以根据授权证书中的信息追溯至申请证书的用户。

申请地址例如可以是申请授权证书所使用的互联网协议(internet protocol，IP)地址，还可以是申请授权证书的研发人员或单位所在的城市或地区。

申请用户名例如可以是申请授权证书的研发人员的用户名，还可以是申请授权证书的单位的用户名。

可选的，该CA证书包含所述授权证书。

也就是说，授权证书是包含在该CA证书内的。因此在加载该CA证书时无需在其他存储介质中搜索授权证书，提高证书加载效率。

在其他的示例中，该CA证书与授权证书是两个独立的证书，因此在加载该CA证书时需要从其他的存储介质中调取授权证书。

示例二所述授权证书的公钥校验成功

情况1导致待加载的CA证书校验失败的原因是根公钥校验失败。那么，授权证书的公钥校验成功可以指：授权证书包含与熔丝寄存器中存储的根公钥哈希值匹配的根公钥。可选的，所述授权证书包含与根证书中的根公钥匹配的根公钥哈希值，或者包含与二级证书中的二级公钥匹配的二级公钥哈希值。

例如，如图5-7所示，电子设备内的熔丝寄存器存储有根公钥哈希值h1。待加载的CA证书中的根证书包含根公钥Key1，以及二级公钥哈希值h2；该CA证书中的二级证书包含二级公钥Key2，以及三级公钥哈希值h3；该CA证书中的三级证书包含三级公钥Key3，以及三级公钥哈希值h4。授权证书中的公钥为授权公钥Key4。电子设备对该CA证书进行校验，判断根公钥Key1的哈希值为h5≠h1。那么该CA证书校验失败且校验失败原因为根公钥校验失败。其中图中的“×”用于表示公钥检验链断裂，即公钥校验失败。图5-7所示为根公钥校验失败。

一种可能的实现方式，电子设备中止对根证书的公钥、二级证书的公钥、三级证书中的公钥的验证。

图5所示为一种包括授权公钥Key4的授权证书，其中，授权公钥Key4的哈希值等于根公钥哈希值h1。因此，授权证书可以为该CA证书提供正确的根公钥。为了保证该CA证书链校验完整，二级公钥Key2的哈希值可以与根证书中的二级公钥哈希值h2相同。

图6所示为一种包括授权公钥Key4的授权证书，该授权证书进一步包括授权公钥哈希值h6，其中二级公钥Key2的哈希值等于授权公钥哈希值h6，且授权公钥Key4的哈希值等于熔丝寄存器存储的根公钥哈希值h1。可选的，h6＝h2。因此，授权证书可以为该CA证书提供正确的根公钥，且授权证书与该CA证书中的二级证书、三级证书形成完整的证书链。在图6的示例中，授权证书可以视为该CA证书中根证书的替换。

图7所示为一种包括授权公钥Key4的授权证书，该授权证书进一步包括授权公钥哈希值h6，其中根公钥Key1的哈希值等于授权公钥哈希值h6，且授权公钥Key4的哈希值等于熔丝寄存器存储的根公钥哈希值h1。为了保证该CA证书链校验完整，二级公钥Key2的哈希值可以与根证书中的二级公钥哈希值h2相同。因此，授权证书可以为该CA证书提供正确的根公钥，且按照证据链顺序，根证书、授权证书、二级证书、三级证书可以形成完整的证书链。

一种可能的实现方式，电子设备继续验证该CA证书。由于该CA证书中根公钥校验失败，因此其他证书的公钥校验应当成功。此时，二级公钥Key2的哈希值应等于根证书中的二级公钥哈希值h2，二级证书中的三级公钥哈希值h3应与三级证书中的三级公钥Key3的哈希值相同。在此情况下，授权证书可以是图5-7所示的授权证书，在此就不必赘述。

情况2导致待加载的CA证书校验失败的原因是二级公钥校验失败。那么，授权证书的公钥校验成功可以指：授权证书包含与根证书中的二级公钥哈希值匹配的二级公钥。可选的，所述授权证书包含与二级证书中的二级公钥匹配的二级公钥哈希值，或者包含与三级证书中的三级公钥匹配的三级公钥哈希值。

例如，如图8-10所示，电子设备内的熔丝寄存器存储有根公钥哈希值h1。待加载的CA证书中的根证书包含根公钥Key1，以及二级公钥哈希值h2；该CA证书中的二级证书包含二级公钥Key2，以及三级公钥哈希值h3；该CA证书中的三级证书包含三级公钥Key3，以及三级公钥哈希值h4。授权证书中的公钥为授权公钥Key4。电子设备对该CA证书进行校验，判断根公钥Key1的哈希值为熔丝寄存器存储的根公钥哈希值h1，二级公钥Key2的哈希值为h5≠h2。那么该CA证书校验失败且校验失败原因为二级公钥校验失败。其中图中的“×”用于表示公钥检验链断裂，即公钥校验失败。图8-10所示为二级公钥校验失败。

一种可能的实现方式，电子设备中止对二级证书的公钥、三级证书中的公钥的验证。

图8所示为一种包括授权公钥Key4的授权证书，其中，授权公钥Key4的哈希值等于根证书中的二级公钥哈希值h2。因此，授权证书可以为该CA证书提供正确的二级公钥。为了保证该CA证书链校验完整，三级公钥Key3的哈希值可以与二级证书中的三级公钥哈希值h3相同。

图9所示为一种包括授权公钥Key4的授权证书，该授权证书进一步包括授权公钥哈希值h6，其中三级公钥Key3的哈希值等于授权公钥哈希值h6，且授权公钥Key4的哈希值等于根证书中的二级公钥哈希值h2。可选的，h6＝h3。因此，授权证书可以为该CA证书提供正确的二级公钥，且按照证据链顺序，根证书、授权证书、三级证书可以形成完整的证书链。在图9的示例中，授权证书可以视为该CA证书中二级证书的替换。

图10所示为一种包括授权公钥Key4的授权证书，该授权证书进一步包括授权公钥哈希值h6，其中二级公钥Key2的哈希值等于授权公钥哈希值h6，且授权公钥Key4的哈希值等于根证书中的二级公钥哈希值h2。为了保证该CA证书链校验完整，三级公钥Key3的哈希值可以与二级证书中的三级公钥哈希值h3相同。因此，授权证书可以为该CA证书提供正确的二级公钥，且按照证据链顺序，根证书、授权证书、二级证书、三级证书可以形成完整的证书链。

一种可能的实现方式，电子设备继续验证该CA证书。由于该CA证书中二级公钥校验失败，因此其他证书的公钥校验应当成功。此时，二级证书中的三级公钥哈希值h3应与三级证书中的三级公钥Key3的哈希值相同。在此情况下，授权证书可以是图8-10所示的授权证书，在此就不必赘述。

情况3导致待加载的CA证书校验失败的原因是三级公钥校验失败。那么，授权证书的公钥校验成功可以指：授权证书包含与根证书中的二级公钥哈希值匹配的二级公钥。可选的，所述授权证书包含与二级证书中的二级公钥匹配的二级公钥哈希值，或者包含与三级证书中的三级公钥匹配的三级公钥哈希值。

例如，如图8-10所示，电子设备内的熔丝寄存器存储有根公钥哈希值h1。待加载的CA证书中的根证书包含根公钥Key1，以及二级公钥哈希值h2；该CA证书中的二级证书包含二级公钥Key2，以及三级公钥哈希值h3；该CA证书中的三级证书包含三级公钥Key3，以及三级公钥哈希值h4。授权证书中的公钥为授权公钥Key4。电子设备对该CA证书进行校验，判断根公钥Key1的哈希值为熔丝寄存器存储的根公钥哈希值h1，二级公钥Key2的哈希值为等于根证书中的二级公钥哈希值h2，三级公钥Key3的哈希值为h5≠h3。那么该CA证书校验失败且校验失败原因为三级公钥校验失败。其中图中的“×”用于表示公钥检验链断裂，即公钥校验失败。图11所示为三级公钥校验失败。

图11所示为一种包括授权公钥Key4的授权证书，该授权证书进一步包括授权公钥哈希值h6，其中三级公钥Key3的哈希值等于授权公钥哈希值h6，且授权公钥Key4的哈希值等于二级证书中的三级公钥哈希值h3。因此，授权证书可以为该CA证书提供正确的三级公钥，且按照证据链顺序，根证书、授权证书、二级证书、三级证书可以形成完整的证书链。

可选的，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

当研发人员希望将研发版本的该CA证书加载在商用手机时，研发人员应当向CA中心申请授权证书。为了提高授权证书的可追溯性，可以将研发人员申请授权证书的时间、申请授权证书的地址、申请授权证书所使用的用户名中的一个或多个存储在授权证书中。当研发版本的该CA证书和/或授权证书出现泄漏、恶意篡改等信息安全问题时，可以根据授权证书中的信息追溯至申请证书的用户。

申请地址例如可以是申请授权证书所使用的互联网协议(internet protocol，IP)地址，还可以是申请授权证书的研发人员或单位所在的城市或地区。

申请用户名例如可以是申请授权证书的研发人员的用户名，还可以是申请授权证书的单位的用户名。

可选的，该CA证书包含所述授权证书。

也就是说，授权证书是包含在该CA证书内的。因此在加载该CA证书时无需在其他存储介质中搜索授权证书，提高证书加载效率。

在其他的示例中，该CA证书与授权证书是两个独立的证书，因此在加载该CA证书时需要从其他的存储介质中调取授权证书。因此当该CA证书泄露时授权证书未必会泄露，有利于减少信息泄露的风险。

示例三授权证书中包含电子设备的硬件序列号且所述授权证书的公钥校验成功。

如图12所示，导致待加载的CA证书校验失败的原因是三级公钥校验失败。其中，电子设备内的熔丝寄存器存储有根公钥哈希值h1。该CA证书中的根证书包含根公钥Key1，以及二级公钥哈希值h2；该CA证书中的二级证书包含二级公钥Key2，以及三级公钥哈希值h3；该CA证书中的三级证书包含三级公钥Key3，以及三级公钥哈希值h4。授权证书中包含电子设备的硬件序列号，授权证书中的公钥为授权公钥Key4，该授权证书进一步包括授权公钥哈希值h6。

电子设备对该CA证书进行校验，判断根公钥Key1的哈希值为熔丝寄存器存储的根公钥哈希值h1，二级公钥Key2的哈希值为等于根证书中的二级公钥哈希值h2，三级公钥Key3的哈希值为h5≠h3。因此导致该CA证书校验失败的原因是三级公钥校验失败。其中图中的“×”用于表示公钥检验链断裂，即公钥校验失败。图12所示为三级公钥校验失败。

在授权公钥Key4的哈希值等于二级证书中的三级公钥哈希值h3，且三级公钥Key3的哈希值等于授权公钥哈希值h6的情况下，授权证书的公钥校验成功。又由于授权证书中包含电子设备的硬件序列号，因此可以授权加载该CA证书。

可以理解的是，图12所示的实施例仅是为了帮助本领域技术人员更好地理解本申请的技术方案，而并非是对本申请技术方案的限制。在受益于前述描述和相关附图中呈现的指导启示下，本领域技术人员将会想到本申请的许多改进和其他实施例。例如，可以参照图6-11，并结合图12所示的例子，得到在根公钥校验失败或二级公钥校验失败的情况下设计授权证书的实施例。因此，应理解，本申请不限于所公开的特定实施例。

可选的，所述授权证书还包括申请地址、申请用户名、申请时间中的一个或多个。

当研发人员希望将研发版本的该CA证书加载在商用手机时，研发人员应当向CA中心申请授权证书。为了提高授权证书的可追溯性，可以将研发人员申请授权证书的时间、申请授权证书的地址、申请授权证书所使用的用户名中的一个或多个存储在授权证书中。当研发版本的该CA证书和/或授权证书出现泄漏、恶意篡改等信息安全问题时，可以根据授权证书中的信息追溯至申请证书的用户。

申请地址例如可以是申请授权证书所使用的互联网协议(internet protocol，IP)地址，还可以是申请授权证书的研发人员或单位所在的城市或地区。

申请用户名例如可以是申请授权证书的研发人员的用户名，还可以是申请授权证书的单位的用户名。

可选的，该CA证书包含所述授权证书。

也就是说，授权证书是包含在该CA证书内的。因此在加载该CA证书时无需在其他存储介质中搜索授权证书，提高证书加载效率。

在其他的示例中，该CA证书与授权证书是两个独立的证书，因此在加载该CA证书时需要从其他的存储介质中调取授权证书。

204，所述电子设备加载所述CA证书。

也就是说，如果该CA证书校验成功，可以加载该CA证书。或者，如果只有目标证书的公钥校验失败，且所述授权证书包含所述电子设备的硬件序列号，那么，可以加载该CA证书。或者，如果只有目标证书的公钥校验失败，且授权证书的公钥校验成功，那么，可以加载该CA证书。或者，如果只有目标证书的公钥校验失败，授权证书包含所述电子设备的硬件序列号，且授权证书的公钥校验成功，那么，可以加载该CA证书。

205，所述电子设备拒绝加载所述CA证书。

也就是说，如果存在多个原因导致该CA证书校验失败，则不加载该CA证书。或者，如果只有目标证书的公钥校验失败，但授权证书中不包含所述电子设备的硬件序列号，则不加载该CA证书。或者，如果只有目标证书的公钥校验失败，但授权证书的公钥校验失败，则不加载该CA证书。

在本申请实施例中，当待加载的CA证书校验失败，且失败原因只有目标证书的公钥校验失败，可以引用由CA中心签发的授权证书，当授权证书满足校验条件时，可以认为该CA证书虽然校验失败但仍可以获得加载权限。此时即使该CA证书泄露，也不会泄露可用于商用设备的完整证书信息，因此信息泄露的后果较小。

当授权证书包含硬件序列号时，如果授权证书也被泄露，由于该授权证书只能用于某一特定的硬件设备，因此信息泄露的后果较小。

如果授权证书的公钥校验成功，且授权证书也被泄露，由于不同设备的证书不同，并且不是所有的设备均可以调用授权证书继续CA证书校验，因此信息泄露的后果较小。

例如，在研发人员希望将研发版本的CA证书加载在商用手机时，由于研发版本的CA证书与商用版本的CA证书不同，研发版本的CA证书的校验是失败的。如果CA证书校验时发现只有目标证书的公钥校验失败，因此可以调用授权证书继续校验。如果授权证书校验成功，商用设备上就可以加载研发版本的CA证书，提高了商用设备调试的灵活性。

图13为本申请实施例提供的一种加载CA证书的方法。

1101，电子设备判断待加载的CA证书校验是否成功，所述CA证书包括三级证书。

CA证书校验失败包括合法性校验失败、完整性校验失败、有效性校验失败中的一个或多个。合法性校验即确认CA证书是否由一个可信的CA颁发的。这项校验可以通过校验CA证书中的数字签名而完成。完整性校验即确认CA证书是否被人篡改过。为此校验者必须校验证书链，例如完成上文中的根公钥校验、二级公钥校验、三级公钥校验。有效性校验即验证CA证书是否有效，例如是否在有效期内。

如果电子设备判断待加载的CA证书校验失败，需要判断导致该CA证书校验失败的原因。如果导致该CA证书校验失败的原因是三级公钥校验失败，且导致该CA证书校验失败的原因只有一个，则执行步骤1102，即忽略三级公钥校验失败，授权加载该CA证书。其中，只存在三级证书的公钥校验失败，说明该CA证书的全部信息中只有三级公钥校验失败，该CA证书的其他信息则都校验成功，即说明在该CA证书中只有三级公钥出现了错误或匹配失败。

1102，在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，所述电子设备加载所述CA证书。

下面通过图14详细介绍本申请实施例提供的一种加载CA证书的方法。

1201，电子设备判断待加载的CA证书校验是否成功，所述CA证书包括三级证书。

CA证书校验包括合法性校验、完整性校验、有效性校验。合法性校验即确认CA证书是否由一个可信的CA颁发的。这项校验可以通过校验CA证书中的数字签名而完成。完整性校验即确认CA证书是否被人篡改过。为此校验者必须校验证书链，例如完成上文中的根公钥校验、二级公钥校验、三级公钥校验。有效性校验即验证CA证书是否有效，例如是否在有效期内。

如果CA证书校验成功，则执行步骤1203，即加载该CA证书。如果CA证书校验失败，则执行步骤1202。

可选的，所述电子设备为研发设备。

可选的，所述电子设备包括用于指示所述电子设备为研发设备的熔丝位。

电子设备包括熔丝寄存器，通过熔断熔丝寄存器内的物理熔丝，可以将寄存器的值从“0”变更为“1”。熔丝寄存器仅可以烧写一次。也就是说，熔丝寄存器中存在固定的熔丝位，在该熔丝位的值为特定值时，表示电子设备为研发设备。例如，熔丝寄存器中表示设备类型的熔丝位的值为“01”，则该电子设备可以确定其自身为商用设备；如果熔丝寄存器中表示设备类型的熔丝位的值为“00”，则该电子设备可以确定其自身为研发设备。由于熔丝位仅可烧写一次，不容易被人篡改，因此通过熔丝寄存器内的熔丝表示设备类型的方式具有高的安全系数。

1202，在所述CA证书校验失败的情况下，所述电子设备判断是否只存在所述三级证书的公钥校验失败。

也就是说，如果电子设备判断待加载的CA证书校验失败，需要判断导致该CA证书校验失败的原因。如果导致该CA证书校验失败的原因是三级公钥校验失败，且导致该CA证书校验失败的原因只有一个，则执行步骤1203，即忽略三级公钥校验失败，授权加载该CA证书；否则执行步骤1204，即拒绝加载该CA证书。其中，只存在三级证书的公钥校验失败，说明该CA证书的全部信息中只有三级公钥校验失败，该CA证书的其他信息则都校验成功，即说明在该CA证书中只有三级公钥出现了错误或匹配失败。

例如，待加载的CA证书中的二级证书存储有三级公钥哈希值h7。该CA证书中的三级证书存储有三级公钥，对该三级公钥使用哈希算法，得到的三级公钥哈希值h8。如果h7与h8不匹配，那么三级公钥校验失败，因此三级证书中的三级公钥错误或不匹配。

1203，所述电子设备加载所述CA证书。

也就是说，如果待加载的CA证书校验成功，可以加载该CA证书。或者，如果只有三级证书的公钥校验失败那么，可以加载该CA证书。

1204，所述电子设备拒绝加载所述CA证书。

也就是说，如果存在多个原因导致待加载的CA证书校验失败，则不加载该CA证书。

图2、3、13、14所示的方法可以用于电子设备加载CA证书。例如用于芯片存储(onchip-rom)、加载(Xloader)、快速启动(Fastboot)、运行环境初始化(例如高级简化指令集计算机可信固件(advanced reduced instruction set computing machines trustedfirmware，ATF)、可信执行环境(Trusted Execution Environment，TEE)、参数化模块库(Library of Parameterized Modules，LPM))的CA证书校验过程。

图15是本申请实施例的加载CA证书的装置的示意性框图。图15所示的装置1300包括：

处理模块1301，用于在待加载的CA证书校验失败，且导致所述CA证书校验失败的原因是目标证书的公钥校验失败的情况下，调用授权证书，所述授权证书用于确定所述CA证书是否可以加载，所述CA证书包括根证书、二级证书以及三级证书，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种。

所述处理模块1301还用于，在所述授权证书校验成功的情况下，所述电子设备加载所述CA证书。

上述处理模块1301可以由处理器实现。

装置1300可以用于商用，例如图15所示的装置1300可以是商用设备，也可以是商用设备内的模块(如芯片等)。

一种可能的实施例中，还提供了一种电子设备，该电子设备可以为手机、平板电脑、具备无线通讯功能的可穿戴电子设备(如智能手表)等，或者可以为用于电子设备的部件(例如芯片或者电路等)。该电子设备可以包括处理器，可选的，还可以包括存储器。其中处理器可以用于实现上述处理模块的相应功能和操作。存储器可以用于存储执行指令或者应用程序代码，并由处理器来控制执行，实现本申请上述实施例提供的加载CA证书的方法；和/或，也可以用于暂存一些数据和指令信息等。存储器可以独立于处理器存在，此时，存储器可以通过通信线路与处理器相连接。又一种可能的设计中，存储器也可以和处理器集成在一起，本申请实施例对此不作限定。

本申请实施例还提供一种芯片，该芯片包括处理单元。其中，处理单元为该芯片上集成的处理器或者微处理器或者集成电路。该芯片可以执行上述方法实施例中加载CA证书的方法。

本申请实施例还提供一种计算机可读存储介质，其上存储有指令，该指令被执行时执行上述方法实施例中加载CA证书的方法。

本申请实施例还提供一种包含指令的计算机程序产品，该指令被执行时执行上述方法实施例中加载CA证书的方法。

图16是本申请实施例的加载CA证书的装置的示意性框图。图16所示的装置1400包括：

处理模块1401，用于判断待加载的CA证书校验是否成功，所述CA证书包括三级证书。

所述处理模块1401还用于，在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，加载所述CA证书。

上述处理模块1401可以由处理器实现。

装置1400可以用于研发，例如图16所示的装置1400可以是研发设备，也可以是研发设备内的模块(如芯片等)。

一种可能的实施例中，还提供了一种电子设备，该电子设备可以为手机、平板电脑、具备无线通讯功能的可穿戴电子设备(如智能手表)等，或者可以为用于电子设备的部件(例如芯片或者电路等)。该电子设备可以包括处理器，可选的，还可以包括存储器。其中处理器可以用于实现上述处理模块的相应功能和操作。存储器可以用于存储执行指令或者应用程序代码，并由处理器来控制执行，实现本申请上述实施例提供的加载CA证书的方法；和/或，也可以用于暂存一些数据和指令信息等。存储器可以独立于处理器存在，此时，存储器可以通过通信线路与处理器相连接。又一种可能的设计中，存储器也可以和处理器集成在一起，本申请实施例对此不作限定。

本申请实施例还提供一种芯片，该芯片包括处理单元。其中，处理单元为该芯片上集成的处理器或者微处理器或者集成电路。该芯片可以执行上述方法实施例中加载CA证书的方法。

本申请实施例还提供一种计算机可读存储介质，其上存储有指令，该指令被执行时执行上述方法实施例中加载CA证书的方法。

本申请实施例还提供一种包含指令的计算机程序产品，该指令被执行时执行上述方法实施例中加载CA证书的方法。

在一个或一个以上实例中，所描述功能可以硬件、软件、固件或其任何组合来实施。如果在软件中实施，那么所述功能可作为一或多个指令或代码在计算机可读介质上存储或传输，并且由基于硬件的处理单元执行。计算机可读介质可以包含计算机可读存储介质，其对应于例如数据存储介质或通信介质的有形介质，通信介质例如根据通信协议包含有助于将计算机程序从一处传送到另一处的任何介质。以此方式，计算机可读介质通常可对应于(1)非暂时性的有形计算机可读存储介质，或(2)通信介质，例如，信号或载波。数据存储介质可以是可由一或多个计算机或一或多个处理器存取以检索用于实施本申请中描述的技术的指令、代码和/或数据结构的任何可用介质。计算机程序产品可包含计算机可读介质。

借助于实例而非限制，此类计算机可读存储介质可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储器、磁盘存储器或其它磁性存储设备、闪存，或可用以存储呈指令或数据结构形式的所需程序代码且可由计算机存取的任何其它介质。并且，任何连接可适当地称为计算机可读介质。举例来说，如果使用同轴电缆、光纤缆线、双绞线、数字订户线(digitalsubscriber line，DSL)或例如红外线、无线电及微波等无线技术从网站、服务器或其它远程源传输指令，则同轴电缆、光纤缆线、双绞线、DSL或例如红外线、无线电及微波等无线技术包含在介质的定义中。但是，应理解，所述计算机可读存储介质及数据存储介质并不包括连接、载波、信号或其它暂时性介质，而是实际上针对于非暂时性有形存储介质。如本文中所使用，磁盘和光盘包含压缩光盘(compact disc，CD)、激光光盘、光学光盘、数字多功能光盘(digital versatile disc，DVD)、软性磁盘及蓝光光盘，其中磁盘通常以磁性方式再现数据，而光盘用激光以光学方式再现数据。以上各项的组合也应包含于计算机可读介质的范围内。

指令可以由一或多个处理器执行，所述一或多个处理器例如是一或多个数字信号处理器(digital signal processor，DSP)、通用微处理器、专用集成电路(applicationspecific integrated circuit，ASIC)、现场可编程逻辑阵列(field programmable logicarrays，FPGA)或其它等效的集成或离散逻辑电路。因此，如本文中所使用的术语“处理器”可指代上述结构或适用于实施本文中所描述的技术的任何其它结构中的任一者。另外，在一些方面中，本文中所描述的功能性可在用于编码和解码的专用硬件和/或软件模块内提供，或并入在合成编解码器中。并且，所述技术可完全实施于一或多个电路或逻辑元件中。

本申请的技术可以在包含无线手持机、集成电路(integrated circuit，IC)或IC集合(例如，芯片组)的多种设备或装置中实施。本申请描述各种组件、模块或单元是为了强调用于执行所揭示的技术的设备的功能方面，但未必需要通过不同硬件单元实现。确切地，如上文所描述，各种单元可结合合适的软件和/或固件组合在编解码器硬件单元中，或由互操作硬件单元的集合来提供，所述硬件单元包含如上文所描述的一或多个处理器。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (22)

1.一种加载数字证书认证机构CA证书的方法，其特征在于，所述方法包括：

在待加载的CA证书校验失败的情况下，电子设备调用授权证书，所述CA证书包括根证书、二级证书以及三级证书，导致所述CA证书校验失败的原因包括目标证书的公钥校验失败，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种，所述授权证书用于确定所述CA证书是否可以加载；

在所述授权证书校验成功的情况下，所述电子设备加载所述CA证书。

2.根据权利要求1所述的方法，其特征在于，所述授权证书校验成功，包括：所述授权证书包含所述电子设备的硬件序列号，和/或所述授权证书的公钥校验成功。

3.根据权利要求2所述的方法，其特征在于，所述目标证书为所述三级证书，所述授权证书的公钥校验成功，包括：所述授权证书中的公钥与所述二级证书中的公钥哈希值匹配，且所述三级证书的公钥与所述授权证书中的公钥哈希值匹配。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述授权证书包括申请地址、申请用户名、申请时间中的一个或多个。

5.根据权利要求1至3中任一项所述的方法，其特征在于，所述CA证书包含所述授权证书。

6.根据权利要求1至3中任一项所述的方法，其特征在于，所述电子设备为是商用设备。

7.根据权利要求6所述的方法，其特征在于，所述电子设备包括用于指示所述电子设备为商用设备的熔丝位。

8.一种加载数字证书认证机构CA证书的方法，其特征在于，所述方法包括：

电子设备判断待加载的CA证书校验是否成功，所述CA证书包括三级证书，所述电子设备为研发设备；

在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，所述电子设备加载所述CA证书。

9.根据权利要求8所述的方法，其特征在于，所述电子设备包括用于指示所述电子设备为研发设备的熔丝位。

10.一种加载数字证书认证机构CA证书的装置，其特征在于，所述装置包括：

处理模块，用于在待加载的CA证书校验失败的情况下，调用授权证书，所述CA证书包括根证书、二级证书以及三级证书，导致所述CA证书校验失败的原因包括目标证书的公钥校验失败，所述目标证书为所述根证书、所述二级证书以及所述三级证书中的任一种，所述授权证书用于确定所述CA证书是否可以加载；

所述处理模块还用于，在所述授权证书校验成功的情况下，加载所述CA证书。

11.根据权利要求10所述的装置，其特征在于，所述处理模块具体用于，在所述授权证书包含所述装置的硬件序列号，和/或所述授权证书的公钥校验成功的情况下，确定所述授权证书校验成功。

12.根据权利要求11所述的装置，其特征在于，所述目标证书为所述三级证书，所述处理模块具体用于，在所述授权证书中的公钥与所述二级证书中的公钥哈希值匹配，且所述三级证书的公钥与所述授权证书中的公钥哈希值匹配的情况下，确定所述授权证书的公钥校验成功。

13.根据权利要求10至12中任一项所述的装置，其特征在于，所述授权证书包括申请地址、申请用户名、申请时间中的一个或多个。

14.根据权利要求10至12中任一项所述的装置，其特征在于，所述CA证书包含所述授权证书。

15.根据权利要求10至12中任一项所述的装置，其特征在于，所述装置用于商用。

16.根据权利要求15所述的装置，其特征在于，所述装置包括用于指示商用的熔丝位。

17.一种加载数字证书认证机构CA证书的装置，其特征在于，包括：

处理模块，用于判断待加载的CA证书校验是否成功，所述装置用于研发，所述CA证书包括三级证书；

所述处理模块还用于，在所述CA证书校验失败，且导致所述CA证书校验失败的原因是所述三级证书的公钥校验失败，加载所述CA证书。

18.根据权利要求17所述的装置，其特征在于，所述装置包括用于指示研发的熔丝位。

19.一种电子设备，其特征在于，所述电子设备包括用于执行如权利要求1-9中任一项所述方法的模块。

20.一种电子设备，其特征在于，所述电子设备包括：处理器和存储器，所述处理器与存储器耦合，所述存储器用于存储计算机程序，处理器，用于执行所述存储器中存储的计算机程序，以使得所述电子设备执行如权利要求1-9中任一项所述的方法。

21.一种可读存储介质，包括程序或指令，当所述程序或指令在计算机上运行时，如权利要求1-9中任意一项所述的方法被执行。

22.一种芯片系统，其特征在于，包括：处理器，用于从存储器中调用并运行计算机程序，使得安装有所述芯片系统的电子设备执行如权利要求1-9中任意一项所述的方法。

Images