CN113676330A - 一种基于二级密钥的数字证书申请系统及方法 - Google Patents

一种基于二级密钥的数字证书申请系统及方法 Download PDF

Info

Publication number
CN113676330A
CN113676330A CN202110912920.0A CN202110912920A CN113676330A CN 113676330 A CN113676330 A CN 113676330A CN 202110912920 A CN202110912920 A CN 202110912920A CN 113676330 A CN113676330 A CN 113676330A
Authority
CN
China
Prior art keywords
key
root
intelligent device
management system
service
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110912920.0A
Other languages
English (en)
Other versions
CN113676330B (zh
Inventor
邹飞
李子男
利文浩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Trustkernel Information Technology Co ltd
Original Assignee
Shanghai Trustkernel Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Trustkernel Information Technology Co ltd filed Critical Shanghai Trustkernel Information Technology Co ltd
Priority to CN202110912920.0A priority Critical patent/CN113676330B/zh
Publication of CN113676330A publication Critical patent/CN113676330A/zh
Application granted granted Critical
Publication of CN113676330B publication Critical patent/CN113676330B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/30—Computing systems specially adapted for manufacturing

Abstract

本发明涉及一种基于二级密钥的数字证书申请系统及方法，系统包括智能设备、根密钥上传系统、密钥管理系统和数字证书服务器；智能设备用于生成根密钥对{Pub1，Pri1}和业务密钥对{Pub2，Pri2}，各个智能设备具有唯一标识的设备SN号；密钥管理系统用于管理智能设备的根公钥Pub1，并在智能设备上传业务公钥Pub2后对智能设备进行身份验证。与现有技术相比，本发明在智能设备生产过程中将设备的根公钥Pub1和设备SN号上传到密钥管理系统，建立了合法设备白名单，智能设备用于申请数字业务证书的业务公钥Pub2均通过根密钥Pri1进行签名保护，密钥管理系统通过合法设备白名单内的根公钥Pub1验证签名，从而保证了证书申请者的身份是合法的，且保证了数据传输过程中的不被篡改。

Description

一种基于二级密钥的数字证书申请系统及方法
技术领域
本发明涉及网络安全技术领域，尤其是涉及一种基于二级密钥的数字证书申请系统及方法。
背景技术
信息加密主要是为了避免信息在传输的过程中被第三方窃取从而引起的安全问题。传统的对称加密算法是指解密和加密的密钥为同一个，通信双方使用相同的密钥，对信息加密和解密，它的特点是加密速度快、使用简单，缺点是需要双方事先约定好密钥，对于互不相识的双方，无法事先约定加密规则，势必要先通过网络发送密钥，这显然是不可取的，于是出现了非对称加密。
非对称加密的密钥是成对的(公钥和密钥)，用公钥加密的文件只能用对应的私钥解密，用私钥加密的文件只能用对应的公钥解密，根据公钥是无法推导出私钥的。这样，对于设备A和设备B来说，它们相互交换公钥，私钥由自己存储，发送信息时使用对方的公钥将信息加密并发送，使用自己的私钥对接收的信息解密，攻击者即使拦截了信息，但是由于没有对应的私钥，也无法获取信息。
为了保证信息的真实性，引入了数字签名的概念。设备A向设备B发送信息时，要在信息后附加一个数字签名，数字签名是对信息计算hash值再使用设备A的私钥加密得到的，这样，设备B收到信息后，使用设备A的公钥解密数字签名得到信息的hash值，自己再对信息计算hash，如果两个hash值一致，就认为信息是完整的，没有被篡改。
但是，如果用户拿到的是伪造的公钥，那么签名就形同虚设。如果在公钥交换阶段，攻击者伪装成设备B，将自己的公钥发送给设备A，设备A实际收到的公钥是攻击者的公钥，但却认为是设备B的公钥，攻击者再使用自己的私钥进行数字签名，这样就导致了信息泄露。因此，需要解决公钥的信任问题，数字证书应运而生。引入可信的第三方机构，称为数字证书服务器，也称CA。设备A向数字证书服务器上传自己的公钥来申请证书，CA用自己的私钥对设备A的公钥等信息进行加密，得到数字证书并下发给设备A。这样，设备A与其他设备通信时，将自己的数字证书发送给其他设备，其他设备拿到数字证书后使用CA的公钥进行解密，从而确定设备A的合法身份。通过非对称加密算法和数字证书技术，保证了通信双方身份的合法性和数据的保密性。
但是，在现有的通信技术领域，对于数字证书服务器来说，它无法分辨接收的公钥是来自于一个合法设备，还是由一个攻击者伪装生成的，如果有批量非法设备向数字证书服务器申请数字证书，而CA无法识别申请者的合法性，则CA会产生大量的无效证书，从而消耗了数字证书服务器的存储和运算资源，而且，合法设备向CA上传公钥申请证书时，如果传输过程中信息被篡改，CA也无法识别数据是否被篡改。
发明内容
本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种基于二级密钥的数字证书申请系统及方法。
本发明的目的可以通过以下技术方案来实现：
一种基于二级密钥的数字证书申请系统，包括智能设备、根密钥上传系统、密钥管理系统和数字证书服务器；
所述根密钥上传系统布置在智能设备的本地生产线，所述密钥管理系统和数字证书服务器布置在云端；所述智能设备与根密钥上传系统本地通信连接，所述密钥管理系统分别与智能设备和数字证书服务器通信连接；
所述智能设备用于生成根密钥对{Pub1，Pri1}和业务密钥对{Pub2，Pri2}，各个智能设备具有唯一标识的设备SN号；所述根密钥上传系统用于将智能设备的根公钥Pub1上传至密钥管理系统；所述密钥管理系统用于管理智能设备的根公钥Pub1，并在智能设备上传业务公钥Pub2后对智能设备进行身份验证；所述数字证书服务器用于为智能设备签发数字业务证书。
进一步的，密钥管理系统的密钥对为{Pubserver，Priserver}，数字证书服务器的密钥对为{Pubroot，Priroot}，数字证书服务器有基于{Pubroot，Priroot}生成的根证书CAroot，所述智能设备内存储有数字证书服务器的根证书CAroot和密钥管理系统的公钥Pubserver。
进一步的，根密钥上传系统的密钥对为{Pubclient，Priclient}，所述密钥管理系统内存储有根密钥上传系统的公钥Pubclient。
进一步的，多个智能设备共用一个根密钥上传系统，所述智能设备内集成有用于通信的通信模块。
一种基于二级密钥的数字证书申请方法，用于为智能设备申请数字证书，使用如上所述的数字证书申请系统，包括智能设备生产过程中的根密钥生成与上传、智能设备业务开通过程中的业务密钥生成与上传以及智能设备业务开通过程中的证书签发。
进一步的，智能设备生产过程中的根密钥生成与上传包括以下步骤：
S1、在智能设备的生产过程中，智能设备生成根密钥对{Pub1，Pri1}并保存根私钥Pri1，在智能设备内写入数字证书服务器的根证书CAroot和密钥管理系统的公钥Pubserver；
S2、将根公钥Pub1和设备SN号作为智能设备根信息，将智能设备根信息本地导出至根密钥上传系统，所述设备SN号用于唯一标识智能设备；
S3、根密钥上传系统基于根密钥上传系统的密钥对{Pubclient，Priclient}将智能设备信息上传至密钥管理系统，在密钥管理系统中进行数据安全性验证，若验证通过则执行步骤S4，否则发出报错信息；
S4、密钥管理系统存储接收的的智能设备根信息，并建立根公钥Pub1和智能设备的设备SN号的对应关系。
进一步的，步骤S3具体为：
S301、根密钥上传系统对智能设备根信息计算hash值，对hash值使用私钥Priclient进行签名，将智能设备根信息和签名上传至密钥管理系统；
S302、密钥管理系统内存储有根密钥上传系统的公钥Pubclient，接收到智能设备根信息和签名后，对智能设备根信息计算hash值，使用Pubclient对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S303；
S303、对比解密签名得到的hash值和基于智能设备根信息计算得到的hash值，如果二者相同，则认为数据未被篡改，执行步骤S4，否则发出报错信息。
进一步的，智能设备业务开通过程中的业务密钥生成与上传包括以下步骤：
S5、在智能设备的业务开通过程中，智能设备生成业务密钥对{Pub2，Pri2}并保存业务私钥Pri2；
S6、将业务公钥Pub2和设备SN号作为智能设备业务信息，基于智能设备的根密钥对{Pub1，Pri1}和密钥管理系统的密钥对{Pubserver，Priserver}将智能设备业务信息上传至密钥管理系统，在密钥管理系统中进行身份验证，若验证通过则进入证书签发流程，否则发出报错信息。
进一步的，步骤S6具体为：
S601、智能设备使用密钥管理系统的公钥Pubserver对智能设备业务信息进行加密，得到密文；
S602、智能设备对密文计算hash值，对hash值使用根私钥Pri1进行签名，将密文、hash值和签名上传至密钥管理系统；
S603、密钥管理系统接收到密文、hash值和签名后，对密文计算hash值，对比计算得到的hash值和接收到的hash值，如果二者相同，则执行步骤S604，否则，发出报错信息；
S604、密钥管理系统使用密钥管理系统的私钥Priserver对密文进行解密，如果解密成功则得到智能设备业务信息，执行步骤S605，否则发出报错信息；
S605、密钥管理系统根据智能设备业务信息中的设备SN号查找该智能设备所对应的根公钥Pub1，使用Pub1对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S606；
S606、对比解密签名得到的hash值和基于密文计算得到的hash值，如果二者相同，则进入证书签发流程，否则发出报错信息。
进一步的，智能设备业务开通过程中的证书签发包括以下步骤：
S7、密钥管理系统将智能设备的业务公钥Pub2上传至数字证书服务器；
S8、数字证书服务器基于业务公钥Pub2，使用数字证书服务器的私钥Priroot签发智能设备的数字业务证书，所述数字业务证书通过密钥管理系统下发至智能设备。
进一步的，智能设备、根密钥上传系统和密钥管理系统使用的hash算法相同，是预先集成在智能设备、根密钥上传系统和密钥管理系统内的。
进一步的，设备A和设备B为接收到数字业务证书的两个智能设备，设备A和设备B之间的身份验证过程如下：
T1、设备A和设备B建立连接；
T2、设备A和设备B互换数字业务证书，设备A得到设备B的数字业务证书，设备B得到设备A的数字业务证书；
T3、设备A使用设备A内存储的根证书CAroot校验设备B的数字业务证书，设备B使用设备B内存储的根证书CAroot校验设备A的数字业务证书，所述根证书是数字证书服务器基于数字证书服务器的密钥对{Pubroot，Priroot}生成的，如果校验通过，则执行步骤T4，否则发出报错信息；
T4、双方互换身份认证数据，设备A的身份认证数据是使用设备A的业务密钥Pri2进行签名的，设备B的身份认证数据是使用设备B的业务密钥Pri2进行签名的；
T5、设备A使用设备B的数字业务证书对设备B的身份认证数据进行签名验证，设备B使用设备A的数字业务证书对设备A的身份认证数据进行签名验证，如果验证通过，则设备A和设备B的身份验证成功，否则发出报错信息。
与现有技术相比，本发明具有以下有益效果：
(1)在智能设备生产过程中将设备的根公钥Pub1和设备SN号上传到密钥管理系统，建立了合法设备白名单，在智能设备业务开通申请数字业务证书时，智能设备用于申请数字业务证书的业务公钥Pub2均通过根密钥Pri1进行签名保护，密钥管理系统通过合法设备白名单内的根公钥Pub1验证签名，从而保证了数字业务证书申请者的身份是合法的，且保证了申请时中数据传输过程中的不被篡改。
(2)根公钥Pub1和设备SN号是在设备生产过程中导入根密钥管理系统的，确保是合法设备所拥有的，根密钥管理系统将智能设备根信息使用自己的私钥签名，密钥管理系统使用根密钥管理系统的公钥验证签名，能保证密钥管理系统存储的根公钥Pub1和设备SN号是来自合法设备的。
(3)业务公钥Pub2和设备SN号使用密钥管理系统的公钥Pubserver加密，并使用根私钥Pri1签名，密钥管理系统使用自己的私钥Priserver解密后得到设备SN号和业务公钥Pub2，并用密钥管理系统内存储的设备SN号所对应的根公钥Pub1验证签名，由于根公钥Pub1是确定合法的，因此能找到设备SN号对应的根公钥Pub1并成功验证签名，则保证了业务公钥Pub2也来自合法设备，从而验证了数字业务证书申请者的身份合法性，再进行证书签发。
附图说明
图1为数字证书申请系统的系统架构图；
附图标记：1、智能设备，2、根密钥上传系统，3、密钥管理系统，4、数字证书服务器。
具体实施方式
下面结合附图和具体实施例对本发明进行详细说明。本实施例以本发明技术方案为前提进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。
在附图中，结构相同的部件以相同数字标号表示，各处结构或功能相似的组件以相似数字标号表示。附图所示的每一组件的尺寸和厚度是任意示出的，本发明并没有限定每个组件的尺寸和厚度。为了使图示更清晰，附图中有些地方适当夸大了部件。
实施例1：
一种基于二级密钥的数字证书申请系统，如图1所示，包括智能设备1、根密钥上传系统2、密钥管理系统3和数字证书服务器4。对于数字证书申请系统中的各个模块进行说明如下：
1)智能设备1用于生成根密钥对{Pub1，Pri1}和业务密钥对{Pub2，Pri2}，各个智能设备1具有唯一标识的设备SN号；
2)根密钥上传系统2用于将智能设备1的根公钥Pub1上传至密钥管理系统3；
3)密钥管理系统3用于管理智能设备1的根公钥Pub1，并在智能设备1上传业务公钥Pub2后对智能设备1进行身份验证；
4)数字证书服务器4用于为智能设备签发数字业务证书。
其中，根密钥上传系统2布置在智能设备1的本地生产线，密钥管理系统3和数字证书服务器4布置在云端；智能设备1与根密钥上传系统2本地通信连接，密钥管理系统3分别与智能设备1和数字证书服务器4通信连接；
根密钥上传系统2的密钥对为{Pubclient，Priclient}，密钥管理系统3的密钥对为{Pubserver，Priserver}，数字证书服务器4的密钥对为{Pubroot，Priroot}，数字证书服务器4有基于{Pubroot，Priroot}生成的根证书CAroot。在智能设备1内存储有数字证书服务器4的根证书CAroot和密钥管理系统3的公钥Pubserver，在密钥管理系统3内存储有根密钥上传系统2的公钥Pubclient。
实际应用时，可以由多个智能设备1共用一个根密钥上传系统2，智能设备1内集成有用于通信的通信模块。如本实施例中，智能设备1应用于汽车的数字钥匙领域，分为两类，一类是汽车端的硬件模块，一类是用户使用的智能钥匙，一般为手机、智能卡片、智能穿戴设备等，这两类设备的生产线上均设有根密钥上传系统2。
一种基于二级密钥的数字证书申请方法，用于为智能设备申请数字证书，使用数字证书申请系统，包括智能设备1生产过程中的根密钥生成与上传、智能设备1业务开通过程中的业务密钥生成与上传以及智能设备1业务开通过程中的证书签发。
(一)智能设备1生产过程中的根密钥生成与上传包括以下步骤：
S1、在智能设备1的生产过程中，智能设备1生成根密钥对{Pub1，Pri1}并保存根私钥Pri1，在智能设备1内写入数字证书服务器4的根证书CAroot和密钥管理系统3的公钥Pubserver；
S2、将根公钥Pub1和设备SN号作为智能设备根信息，将智能设备根信息本地导出至根密钥上传系统2，设备SN号用于唯一标识智能设备1；
S3、根密钥上传系统2基于根密钥上传系统2的密钥对{Pubclient，Priclient}将智能设备信息上传至密钥管理系统3，在密钥管理系统3中进行数据安全性验证，若验证通过则执行步骤S4，否则发出报错信息；
步骤S3具体为：
S301、根密钥上传系统2对智能设备根信息计算hash值，对hash值使用私钥Priclient进行签名，将智能设备根信息和签名上传至密钥管理系统3；
S302、密钥管理系统3内存储有根密钥上传系统2的公钥Pubclient，接收到智能设备根信息和签名后，对智能设备根信息计算hash值，使用Pubclient对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S303；
S303、对比解密签名得到的hash值和基于智能设备根信息计算得到的hash值，如果二者相同，则认为数据未被篡改，执行步骤S4，否则，认为数据存在异常，发出报错信息。
S4、密钥管理系统3存储接收的的智能设备根信息，并建立根公钥Pub1和智能设备1的设备SN号的对应关系。
在智能设备1的生产过程中，直接将智能设备1的根公钥Pub1和设备SN号收集并绑定，由于是本地导入根密钥上传系统2的，可以保证根密钥上传系统2中的根密钥Pub1和设备SN号是合法设备所拥有的。
在根密钥上传系统2将智能设备根信息上传到密钥管理系统3的过程中，由于使用了根密钥上传系统2的私钥Priclient对智能设备根信息进行了签名，在密钥管理系统3内可以保证签名验证成功的智能设备根信息是未被篡改的、由根密钥上传系统2上传的合法设备的信息。这样，在密钥管理系统3内存储了合法设备的设备SN号和根公钥Pub1的对应关系，从而建立了合法设备的白名单。
(二)智能设备1业务开通过程中的业务密钥生成与上传包括以下步骤：
S5、在智能设备1的业务开通过程中，智能设备1生成业务密钥对{Pub2，Pri2}并保存业务私钥Pri2；
S6、将业务公钥Pub2和设备SN号作为智能设备业务信息，基于智能设备1的根密钥对{Pub1，Pri1}和密钥管理系统3的密钥对{Pubserver，Priserver}将智能设备业务信息上传至密钥管理系统3，在密钥管理系统3中进行身份验证，若验证通过则进入证书签发流程，否则发出报错信息。
步骤S6具体为：
S601、智能设备1使用密钥管理系统3的公钥Pubserver对智能设备业务信息进行加密，得到密文；
S602、智能设备1对密文计算hash值，对hash值使用根私钥Pri1进行签名，将密文、hash值和签名上传至密钥管理系统3；
S603、密钥管理系统3接收到密文、hash值和签名后，对密文计算hash值，对比计算得到的hash值和接收到的hash值，如果二者相同，则执行步骤S604，否则，发出报错信息；
S604、密钥管理系统3使用密钥管理系统3的私钥Priserver对密文进行解密，如果解密成功则得到智能设备业务信息，执行步骤S605，否则发出报错信息；
S605、密钥管理系统3根据智能设备业务信息中的设备SN号查找该智能设备1所对应的根公钥Pub1，使用Pub1对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S606；
S606、对比解密签名得到的hash值和基于密文计算得到的hash值，如果二者相同，则进入证书签发流程，否则发出报错信息。
在智能设备1生成业务秘钥对并上传智能设备业务信息时，使用密钥管理系统3的公钥Pubserver对智能设备业务信息进行加密，使用根私钥Pri1对密文进行签名，密钥管理系统3一方面对密文计算hash值，与接收的hash值对比来确保数据未被篡改，一方面使用密钥管理系统3的私钥Priserver对密文进行解密，再次确保数据传输的安全性，密文解密后得到智能设备业务信息，就可以对比密钥管理系统3内存储的设备SN号和根公钥Pub1，最后再使用根公钥Pub1验证签名的可靠性，通过多方面验证保证了申请者的身份合法性。
智能设备业务信息使用了根密钥Pri1签名，在秘钥管理系统3中使用了根公钥Pub1验证签名，由于密钥管理系统1中的Pub1是确定合法的，则所有由Pub1验证签名成功的Pub2也能确定是合法设备生成并上传的(三)智能设备1业务开通过程中的证书签发包括以下步骤：
S7、密钥管理系统3将智能设备1的业务公钥Pub2上传至数字证书服务器4；
S8、数字证书服务器4基于业务公钥Pub2，使用数字证书服务器4的私钥Priroot签发智能设备1的数字业务证书，数字业务证书通过密钥管理系统3下发至智能设备1。
智能设备1、根密钥上传系统2和密钥管理系统3使用的hash算法相同，是预先集成在智能设备1、根密钥上传系统2和密钥管理系统3内的。
(四)设备A和设备B为接收到数字业务证书的两个智能设备1，设备A和设备B之间的身份验证过程如下：
T1、设备A和设备B建立连接，不限于蓝牙、4G/5G、NFC等连接方式；
T2、设备A和设备B互换数字业务证书，设备A得到设备B的数字业务证书，设备B得到设备A的数字业务证书；
T3、由于设备A和设备B在生产过程中就写入了数字证书服务器4的根证书CAroot，这样设备A使用设备A内存储的根证书CAroot校验设备B的数字业务证书，设备B使用设备B内存储的根证书CAroot校验设备A的数字业务证书，如果校验通过，则执行步骤T4，否则发出报错信息；
T4、双方互换身份认证数据，设备A的身份认证数据是使用设备A的业务密钥Pri2进行签名的，设备B的身份认证数据是使用设备B的业务密钥Pri2进行签名的；
T5、设备A使用设备B的数字业务证书对设备B的身份认证数据进行签名验证，设备B使用设备A的数字业务证书对设备A的身份认证数据进行签名验证，如果验证通过，则设备A和设备B的身份验证成功，否则发出报错信息。
本申请主要解决数字业务证书申请过程中，数字证书服务器4无法识别申请者身份的合法性的问题。
要解决这一问题，第一点，需要建立合法设备的白名单。本申请在设备生产过程中，由智能设备1生成根密钥对，将根密钥Pub1和设备SN号上传到密钥管理系统3，相当于在密钥管理系统3中建立了合法设备的白名单。第二点，使用根密钥来验证申请者身份的合法性。当有申请者进行数字业务证书申请时，申请者将业务公钥Pub2、设备SN号和由根密钥Pri1计算的签名上传到密钥管理系统3，如果能找到对应的设备SN号，且使用密钥管理系统3中存储的根公钥Pub1验证签名成功，则证明了申请者的身份合法性。第三点，申请过程中的安全性保护，防止申请过程中出现信息被篡改的问题。本申请在上传智能设备根信息和智能设备业务信息时，在传输过程中使用非对称加密算法加密，并通过签名验证进一步保证了数据的完整性和未篡改性。
以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术人员无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims (10)

1.一种基于二级密钥的数字证书申请系统，其特征在于，包括智能设备(1)、根密钥上传系统(2)、密钥管理系统(3)和数字证书服务器(4)；
所述根密钥上传系统(2)布置在智能设备(1)的本地生产线，所述密钥管理系统(3)和数字证书服务器(4)布置在云端；所述智能设备(1)与根密钥上传系统(2)本地通信连接，所述密钥管理系统(3)分别与智能设备(1)和数字证书服务器(4)通信连接；
所述智能设备(1)用于生成根密钥对{Pub1，Pri1}和业务密钥对{Pub2，Pri2}，各个智能设备(1)具有唯一标识的设备SN号；所述根密钥上传系统(2)用于将智能设备(1)的根公钥Pub1上传至密钥管理系统(3)；所述密钥管理系统(3)用于管理智能设备(1)的根公钥Pub1，并在智能设备(1)上传业务公钥Pub2后对智能设备(1)进行身份验证；所述数字证书服务器(4)用于为智能设备签发数字业务证书。
2.根据权利要求1所述的一种基于二级密钥的数字证书申请系统，其特征在于，密钥管理系统(3)的密钥对为{Pubserver，Priserver}，数字证书服务器(4)的密钥对为{Pubroot，Priroot}，数字证书服务器(4)有基于{Pubroot，Priroot}生成的根证书CAroot，所述智能设备(1)内存储有数字证书服务器(4)的根证书CAroot和密钥管理系统(3)的公钥Pubserver。
3.根据权利要求1所述的一种基于二级密钥的数字证书申请系统，其特征在于，根密钥上传系统(2)的密钥对为{Pubclient，Priclient}，所述密钥管理系统(3)内存储有根密钥上传系统(2)的公钥Pubclient。
4.根据权利要求1所述的一种基于二级密钥的数字证书申请系统，其特征在于，多个智能设备(1)共用一个根密钥上传系统(2)，所述智能设备(1)内集成有用于通信的通信模块。
5.一种基于二级密钥的数字证书申请方法，用于为智能设备申请数字证书，其特征在于，使用如权利要求1-4中任一所述的数字证书申请系统，包括智能设备(1)生产过程中的根密钥生成与上传、智能设备(1)业务开通过程中的业务密钥生成与上传以及智能设备(1)业务开通过程中的证书签发。
6.根据权利要求5所述的一种基于二级密钥的数字证书申请方法，其特征在于，智能设备(1)生产过程中的根密钥生成与上传包括以下步骤：
S1、在智能设备(1)的生产过程中，智能设备(1)生成根密钥对{Pub1，Pri1}并保存根私钥Pri1，在智能设备(1)内写入数字证书服务器(4)的根证书CAroot和密钥管理系统(3)的公钥Pubserver；
S2、将根公钥Pub1和设备SN号作为智能设备根信息，将智能设备根信息本地导出至根密钥上传系统(2)，所述设备SN号用于唯一标识智能设备(1)；
S3、根密钥上传系统(2)基于根密钥上传系统(2)的密钥对{Pubclient，Priclient}将智能设备信息上传至密钥管理系统(3)，在密钥管理系统(3)中进行数据安全性验证，若验证通过则执行步骤S4，否则发出报错信息；
S4、密钥管理系统(3)存储接收的的智能设备根信息，并建立根公钥Pub1和智能设备(1)的设备SN号的对应关系。
7.根据权利要求6所述的一种基于二级密钥的数字证书申请方法，其特征在于，步骤S3具体为：
S301、根密钥上传系统(2)对智能设备根信息计算hash值，对hash值使用私钥Priclient进行签名，将智能设备根信息和签名上传至密钥管理系统(3)；
S302、密钥管理系统(3)内存储有根密钥上传系统(2)的公钥Pubclient，接收到智能设备根信息和签名后，对智能设备根信息计算hash值，使用Pubclient对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S303；
S303、对比解密签名得到的hash值和基于智能设备根信息计算得到的hash值，如果二者相同，则认为数据未被篡改，执行步骤S4，否则发出报错信息。
8.根据权利要求5所述的一种基于二级密钥的数字证书申请方法，其特征在于，智能设备(1)业务开通过程中的业务密钥生成与上传包括以下步骤：
S5、在智能设备(1)的业务开通过程中，智能设备(1)生成业务密钥对{Pub2，Pri2}并保存业务私钥Pri2；
S6、将业务公钥Pub2和设备SN号作为智能设备业务信息，基于智能设备(1)的根密钥对{Pub1，Pri1}和密钥管理系统(3)的密钥对{Pubserver，Priserver}将智能设备业务信息上传至密钥管理系统(3)，在密钥管理系统(3)中进行身份验证，若验证通过则进入证书签发流程，否则发出报错信息。
9.根据权利要求8所述的一种基于二级密钥的数字证书申请方法，其特征在于，步骤S6具体为：
S601、智能设备(1)使用密钥管理系统(3)的公钥Pubserver对智能设备业务信息进行加密，得到密文；
S602、智能设备(1)对密文计算hash值，对hash值使用根私钥Pri1进行签名，将密文、hash值和签名上传至密钥管理系统(3)；
S603、密钥管理系统(3)接收到密文、hash值和签名后，对密文计算hash值，对比计算得到的hash值和接收到的hash值，如果二者相同，则执行步骤S604，否则，发出报错信息；
S604、密钥管理系统(3)使用密钥管理系统(3)的私钥Priserver对密文进行解密，如果解密成功则得到智能设备业务信息，执行步骤S605，否则发出报错信息；
S605、密钥管理系统(3)根据智能设备业务信息中的设备SN号查找该智能设备(1)所对应的根公钥Pub1，使用Pub1对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S606；
S606、对比解密签名得到的hash值和基于密文计算得到的hash值，如果二者相同，则进入证书签发流程，否则发出报错信息。
10.根据权利要求5所述的一种基于二级密钥的数字证书申请方法，其特征在于，智能设备(1)业务开通过程中的证书签发包括以下步骤：
S7、密钥管理系统(3)将智能设备(1)的业务公钥Pub2上传至数字证书服务器(4)；
S8、数字证书服务器(4)基于业务公钥Pub2，使用数字证书服务器(4)的私钥Priroot签发智能设备(1)的数字业务证书，所述数字业务证书通过密钥管理系统(3)下发至智能设备(1)。
CN202110912920.0A 2021-08-10 2021-08-10 一种基于二级密钥的数字证书申请系统及方法 Active CN113676330B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110912920.0A CN113676330B (zh) 2021-08-10 2021-08-10 一种基于二级密钥的数字证书申请系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110912920.0A CN113676330B (zh) 2021-08-10 2021-08-10 一种基于二级密钥的数字证书申请系统及方法

Publications (2)

Publication Number Publication Date
CN113676330A true CN113676330A (zh) 2021-11-19
CN113676330B CN113676330B (zh) 2023-08-01

Family

ID=78542059

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110912920.0A Active CN113676330B (zh) 2021-08-10 2021-08-10 一种基于二级密钥的数字证书申请系统及方法

Country Status (1)

Country Link
CN (1) CN113676330B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114826620A (zh) * 2022-05-16 2022-07-29 深圳指芯物联技术有限公司 一种安全的绑定智能门锁的方法、系统及智能门锁

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101729244A (zh) * 2008-10-24 2010-06-09 中兴通讯股份有限公司 密钥分发方法和系统
CN101977193A (zh) * 2010-10-28 2011-02-16 北京飞天诚信科技有限公司 安全下载证书的方法及系统
CN104091230A (zh) * 2014-06-20 2014-10-08 安徽云盾信息技术有限公司 一种产品跟踪方法
WO2014195293A2 (en) * 2013-06-03 2014-12-11 Intel Mobile Communications GmbH Authentication devices, key generator devices, methods for controlling an authentication device, and methods for controlling a key generator
CN105678179A (zh) * 2014-11-20 2016-06-15 广东华大互联网股份有限公司 一种ic卡互联网终端发行方法及管理系统
CN107135070A (zh) * 2017-04-25 2017-09-05 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统
CN107171805A (zh) * 2017-05-17 2017-09-15 济南浪潮高新科技投资发展有限公司 一种物联网终端数字证书签发系统和方法
CN107888381A (zh) * 2017-11-09 2018-04-06 飞天诚信科技股份有限公司 一种密钥导入的实现方法、装置及系统
CN109962784A (zh) * 2019-03-22 2019-07-02 西安电子科技大学 一种基于数字信封多证书的数据加解密及恢复方法
US20190289006A1 (en) * 2016-12-02 2019-09-19 Alibaba Group Holding Limited Recording and Verification Method and Apparatus of Internet of Things Device, and Identity Authentication Method and Apparatus
CN111031061A (zh) * 2019-12-24 2020-04-17 北京深思数盾科技股份有限公司 一种验证方法及网关设备

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101729244A (zh) * 2008-10-24 2010-06-09 中兴通讯股份有限公司 密钥分发方法和系统
CN101977193A (zh) * 2010-10-28 2011-02-16 北京飞天诚信科技有限公司 安全下载证书的方法及系统
WO2014195293A2 (en) * 2013-06-03 2014-12-11 Intel Mobile Communications GmbH Authentication devices, key generator devices, methods for controlling an authentication device, and methods for controlling a key generator
CN104091230A (zh) * 2014-06-20 2014-10-08 安徽云盾信息技术有限公司 一种产品跟踪方法
CN105678179A (zh) * 2014-11-20 2016-06-15 广东华大互联网股份有限公司 一种ic卡互联网终端发行方法及管理系统
US20190289006A1 (en) * 2016-12-02 2019-09-19 Alibaba Group Holding Limited Recording and Verification Method and Apparatus of Internet of Things Device, and Identity Authentication Method and Apparatus
CN107135070A (zh) * 2017-04-25 2017-09-05 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统
CN107171805A (zh) * 2017-05-17 2017-09-15 济南浪潮高新科技投资发展有限公司 一种物联网终端数字证书签发系统和方法
CN107888381A (zh) * 2017-11-09 2018-04-06 飞天诚信科技股份有限公司 一种密钥导入的实现方法、装置及系统
CN109962784A (zh) * 2019-03-22 2019-07-02 西安电子科技大学 一种基于数字信封多证书的数据加解密及恢复方法
CN111031061A (zh) * 2019-12-24 2020-04-17 北京深思数盾科技股份有限公司 一种验证方法及网关设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
刘牧洲;仇剑书;张云勇;严斌峰;张思遥;汤雅妃;: "基于标识密钥技术的证书集成管理平台", 通信学报, no. 1 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114826620A (zh) * 2022-05-16 2022-07-29 深圳指芯物联技术有限公司 一种安全的绑定智能门锁的方法、系统及智能门锁
CN114826620B (zh) * 2022-05-16 2024-02-06 深圳指芯物联技术有限公司 一种安全的绑定智能门锁的方法、系统及智能门锁

Also Published As

Publication number Publication date
CN113676330B (zh) 2023-08-01

Similar Documents

Publication Publication Date Title
CN111083131B (zh) 一种用于电力物联网感知终端轻量级身份认证的方法
CN107196966B (zh) 基于区块链的多方信任的身份认证方法和系统
CN112887338B (zh) 一种基于ibc标识密码的身份认证方法和系统
US8171527B2 (en) Method and apparatus for securing unlock password generation and distribution
CN103532713B (zh) 传感器认证和共享密钥产生方法和系统以及传感器
CN106790064B (zh) 可信根服务器-云计算服务器模型中双方进行通信的方法
CN112350826A (zh) 一种工业控制系统数字证书签发管理方法和加密通信方法
CN112766962A (zh) 证书的接收、发送方法及交易系统、存储介质、电子装置
CN103905384A (zh) 基于安全数字证书的嵌入式终端间会话握手的实现方法
CN113612610B (zh) 一种会话密钥协商方法
CN116614599B (zh) 一种安全加密的视频监控方法、装置及存储介质
WO2023071751A1 (zh) 一种认证方法和通信装置
CN113872760A (zh) 一种sm9秘钥基础设施及安全系统
CN114697040A (zh) 一种基于对称密钥的电子签章方法和系统
CN111224784B (zh) 一种基于硬件可信根的角色分离的分布式认证授权方法
CN113221136B (zh) Ais数据传输方法、装置、电子设备和存储介质
WO2021170049A1 (zh) 一种访问行为的记录方法、装置
CN113676330B (zh) 一种基于二级密钥的数字证书申请系统及方法
CN108600240A (zh) 一种通信系统及其通信方法
US11570008B2 (en) Pseudonym credential configuration method and apparatus
CN116633530A (zh) 量子密钥传输方法、装置及系统
CN112069487B (zh) 一种基于物联网的智能设备网络通讯安全实现方法
CN114091009A (zh) 利用分布式身份标识建立安全链接的方法
WO2017109058A1 (en) Security management system for securing a communication between a remote server and an electronic device
CN112866240A (zh) 一种车联网的安全通信方法和设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant