CN114692218A

CN114692218A - 一种面向个人用户的电子签章方法、设备和系统

Info

Publication number: CN114692218A
Application number: CN202011639704.5A
Authority: CN
Inventors: 不公告发明人
Original assignee: Shandong Institute Of Quantum Science And Technology Co ltd; Quantumctek Co Ltd
Current assignee: Shandong Institute Of Quantum Science And Technology Co ltd; Quantumctek Co Ltd
Priority date: 2020-12-31
Filing date: 2020-12-31
Publication date: 2022-07-01

Abstract

本发明提供了一种面向个人用户的电子签章方法、设备及系统，终端设备读入需要签章的文档，将电子印章信息、电子签章者信息打包成电子签章数据，加盖到文档，生成电子签章文档信息；将电子签章文档信息使用与第三方机构共享的密钥加密，并使用共享密钥生成身份认证码，发送身份认证码、加密后的密文、电子签章者信息和涉及的共享密钥序号，请求数字签名；接收第三方机构的信息验证结果，以及加密后的已签名文档，对已签名文档进行解密；本发明能够在简便计算的基础上，保证个人用户电子印章文件的安全性，防止了非法用户对电子印章文件的盗用、伪造。

Description

一种面向个人用户的电子签章方法、设备和系统

技术领域

本发明属于电子签章技术领域，具体涉及一种面向个人用户的电子签章方法、设备和系统。

背景技术

本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。

电子签章泛指所有以电子形式存在，依附在电子文件，可以辨识电子文件签署者身份，保证文件的完整性，并表示签署者同意电子文件所陈述事项的内容，其主要解决电子文件的签字盖章问题，用于辨识电子文件签署者的身份，保证文档的完整性，确保文件的真实性、可靠性和不可抵赖性。电子签章并非是书面签字盖章的数字图像化，它以一种电子代码的形式存在。利用电子签章，收件人能够通过网络传输文件并可以轻松验证发件人的身份和签章，它还能验证出文件的原文在传输过程中有无变动。

从用户角度，电子签章可分为个人用户电子签章和单位用户电子签章两类。个人用户电子签章的使用权限仅归个人所有，电子印章信息可由个人确定。单位用户电子签章所使用的电子印章由单位统一确定，使用者权限可以是不同的单位个人，需要提前指定申请签章者。个人用户电子签章相当于现实中个人在文档上的签名或个人印章的使用。

对于单位用户来说，因为会预先统一确定所使用的电子印章，且需要指定，还可以在签章过程中设置其他安全措施来保证其信息安全。但对于个人用户来说，很容易出现伪造、冒用、盗用电子签名的情况出现，具有较低的安全性。

发明内容

本发明为了解决上述问题，提出了一种面向个人用户的电子签章方法、设备和系统，本发明能够在简便计算的基础上，保证个人用户电子印章文件的安全性，防止了非法用户对电子印章文件的盗用、伪造。

根据一些实施例，本发明采用如下技术方案：

一种面向个人用户的电子签章方法，从终端进行描述，包括以下步骤：

读入需要签章的文档，将电子印章信息、电子签章者信息打包成电子签章数据，加盖到文档，生成电子签章文档信息；

将电子签章文档信息使用与第三方机构共享的密钥加密，并使用共享密钥生成身份认证码，发送身份认证码、加密后的密文、电子签章者信息和涉及的共享密钥序号至第三方机构，请求数字签名；

接收第三方机构的信息验证结果，以及加密后的已签名文档，对已签名文档进行解密；

在上述过程中，对已经使用过的共享密钥标注为已使用，且每次加密使用新的、从未使用过的共享密钥。

作为可选择的实施方式，在进行电子签章前，先进行注册，向第三方机构提供电子印章信息，具体包括电子印章ID和电子印章文件信息，接收到第三方机构的身份验证结果，和分发的一定数量共享密钥，共享密钥用于和第三方机构进行通信时的身份认证和加密通信。

作为可选择的实施方式，在进行电子签章前，和第三方机构将共享密钥按照每次使用的密钥长度进行密钥划分并同步顺序编号。

作为可选择的实施方式，使用共享密钥生成身份认证码的具体过程包括：

将使用共享密钥对称加密电子签章文档信息的密文、电子签章者ID以及共享密钥序号进行数据连接运算得到的数据进行对称签名，其中，电子签章文档信息为需要电子签章的电子文档信息、电子印章信息和电子签章者ID进行数据连接运算得到。

作为可选择的实施方式，还包括以下步骤：

将解密后的已签名文档加密发送给第三方机构，验证电子签章的合法性，第三方机构提取与签名密钥序号相同的对应密钥，计算有关于签名时间、电子签章文档信息、签名密钥序号和对应密钥的消息认证码，比较其值是否等于数字签名时计算的密钥相关的消息认证码，如果等于则电子签章正确，否则不正确。

一种面向个人用户的电子签章方法，从第三方机构端进行描述，包括以下步骤：

接收电子签章者发送的数字签名请求，以及身份认证码、加密后的密文、电子签章者信息和涉及的共享密钥序号，所述密文由电子印章信息、电子签章者信息打包成电子签章数据，加盖到文档，生成电子签章文档信息，再加密生成；

读取相同序号的共享密钥，如果该密钥已经使用，则放弃身份验证，否则验证身份认证码的正确性，如果正确，解密密文，获取电子签章文档信息，并验证其正确性，如果正确对其进行数字签名，并使用共享密钥加密发送给电子签章者，否则拒绝签名；

作为可选择的实施方式，验证身份认证码的正确性的具体过程包括：使用共享密钥计算密文的密钥相关的消息认证码，得到的密钥相关的消息认证码与使用共享密钥生成的身份认证码的值相等则验证正确，所述使用共享密钥生成的身份认证码，与需要电子签章的电子文档信息、电子印章信息、电子签章者ID、相关的密文和共享密钥相关。

作为可选择的实施方式，进行数字签名的过程包括：计算数字签名时与密钥相关的消息认证码：Ds＝HMAC(I||T||SN，K_SN)，其中：I为电子签章文档信息，T为当时的时间，SN为签名密钥序号，K_SN为未使用的序号为SN的签名密钥库密钥，签名完成后将密钥K_SN标注为已使用，将I||T||Ds||SN作为电子签章信息，使用共享密钥加密发送给电子签章者，将加密密钥标注为已使用。

作为可选择的实施方式，当共享密钥剩余数量少于设定值时，重新对电子签章者进行身份认证，对电子签章者身份认证成功后，向电子签章者发送一定数量的新密钥，双方使用相同的上次未使用的共享密钥加密新密钥，生成新的相同的共享密钥，对新的共享密钥进行相同的密钥划分和同步顺序编号，并存储。

一种面向个人用户的电子签章系统，包括：

终端设备，被配置为读入需要签章的文档，将电子印章信息、电子签章者信息打包成电子签章数据，加盖到文档，生成电子签章文档信息；将电子签章文档信息使用与第三方机构共享的密钥加密，并使用共享密钥生成身份认证码，发送身份认证码、加密后的密文、电子签章者信息和涉及的共享密钥序号至第三方机构，请求数字签名；接收第三方机构的信息验证结果，以及加密后的已签名文档，对已签名文档进行解密；

可信中心，作为第三方机构，被配置为接收数字签名请求和相关信息，验证身份认证码的正确性，解密密文，获取电子签章文档信息，并验证其正确性，如果正确对其进行数字签名，否则拒绝签名，使用共享密钥加密，将已签名文档发送给终端设备。

作为可选择的实施方式，所述可信中心包括数字签名密钥库，用于电子签章数据的数字签名，数字签名密钥库中的密钥数据为真随机数数据，所述数字签名密钥库的密钥按照每次数字签名所使用的密钥长度进行划分，并对划分的密钥进行顺序编号。

作为可选择的实施方式，所述终端设备能够连接电子签章者的安全存储设备，通过量子密码网络终端向可信中心提供相关信息。

一种终端设备，包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种面向个人用户的电子签章方法中的步骤。

与现有技术相比，本发明的有益效果为：

本发明使用安全存储设备保存电子印章文件，保证了电子印章文件的安全性，防止了非法用户对电子印章文件的盗用；同时个人用户在向可信中心进行注册时，可信中心数据库保存了电子印章文件和个人用户信息，这进一步保证了合法用户对合法电子印章文件的使用。

本发明通过构建可信中心，在用户之间分发的量子密钥防止了攻击者对用户和可信中心之间通信信息的攻击，保证了用户签章信息的安全性。

本发明使用基于HMAC的加密绑定技术，实现了签章文档、电子文档和签章用户信息的绑定，用于HMAC运算的密钥信息保证了绑定信息的不可破解性、文档的完整性，确保文件的真实性、可靠性和不可抵赖性；具有抗量子攻击特性，从根本上消除了基于PKI的传统电子签章算法其安全性基于计算安全的缺陷，同时降低当前抗量子计算的电子签章方法的计算复杂度。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1为本实施例的系统示意图；

图2为本实施例的电子签章的流程图；

图3为本实施例的电子签章文档信息生成流程图。

具体实施方式：

下面结合附图与实施例对本发明作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

如图1所示，一种面向个人用户的电子签章系统，包括可信中心和终端设备，其中：

可信中心为可信第三方机构，可信中心建有真随机数数字签名密钥库(以下简称签名密钥库)，用于电子签章数据的数字签名。将密钥库的密钥按照每次数字签名所使用的长度进行划分，并对划分的密钥进行顺序编号。可信中心保存每一个用于签名的密钥及其编号，一直到使用该密钥的数字签名有效期到期为止。可信中心可根据签名需求增加密钥库的签名密钥数量。

电子签章者(电子签章的个人用户)携带安全存储设备通过量子密码网络终端向可信中心提供身份信息，进行注册，同时向可信中心提供存储于安全存储设备的电子印章信息包括电子印章ID和电子印章文件信息。可信中心验证电子签章者的身份信息成功后，通过量子加密信道向电子签章者分发真随机数，将分发的真随机数作为共享密钥，共享密钥用于向电子签章者与可信中心进行通信时的身份认证和与可信中心进行加密通信。

可信中心将电子签章者的注册ID、身份信息、电子印章信息和共享密钥保存于数据库。电子签章者将共享密钥保存于安全存储设备中，同时将电子印章信息也一同保存于安全存储设备中。可信中心和电子签章者的安全存储设备将共享密钥按照每次使用的密钥长度进行密钥划分并同步顺序编号。

可信中心将电子签章者的注册ID、身份信息、电子印章信息和共享密钥保存于数据库。电子签章者将共享密钥保存于安全存储设备。

可信中心和电子签章者的安全存储设备将共享密钥按照每次使用的密钥长度进行密钥划分并同步顺序编号。

在本实施例中，量子加密信道是指有共享量子密钥的通信信道，可以对通信数据使用量子密钥加密传输。

电子签章者通过计算机终端进行电子签章，签章时需要在计算机终端上插接自己的安全存储设备。安全存储设备存储有电子签章者与可信中心的共享密钥和电子签章所需要的电子印章信息。

当电子签章者和可信中心或安全存储设备中的共享密钥快要使用完毕时，电子签章者携带安全存储设备，将安全存储设备插接于量子密码网络终端，使用剩余的未使用的共享密钥向可信中心进行身份认证，身份认证成功后，可信中心通过量子密码网络向电子签章者分发一定数量的新密钥，可信中心和安全存储设备使用上次未使用的共享密钥加密新密钥，生成新的共享密钥，并对其进行密钥划分和同步顺序编号和存储。使用旧密钥加密新密钥便于将旧密钥携带的身份消息转移到新的加密密钥上。

在本实施例中，安全存储设备选用USBKey。USBKey是一种USB接口的硬件设备，可以将其称为“安全电子钥匙"。它内置了单片机或智能卡芯片。它有一定的存储空间，可以存储用户密钥和密码算法。所有密钥运算由USBKey内部实现，用户密钥不出卡，即不会出现在计算机内存中，也不会在网络中传播，从而很好地保障密钥不会被攻击者获取。USBKey具有安全可靠，使用方便，便于携带，成本低廉的优点。USBKey采用双因子认证机制，用户PIN码和USBKey硬件本身，即使用户不小心弄丢了USBKey，只要PIN码没有泄露，然后及时的将USBKey进行注销即可。USBKey内部安全存储和密码算法等功能，是由内嵌芯片和芯片操作系统(COS)所提供的。

基于上述系统的进行电子签章的流程，具体包括：

1、电子签章者生成电子签章文档信息，将其加密，并生成身份认证码，将电子签章文档信息的密文和身份认证码发送给可信中心。

当需要进行电子签章时，电子签章者将安全存储设备接入计算机终端，将需要签章的文档读入安全存储设备，将电子印章信息、电子签章者信息打包成电子签章数据，加盖到文档，生成电子签章文档信息(如图3所示)。安全存储设备将电子签章文档信息使用与可信中心共享的密钥加密，并使用共享密钥生成身份认证码，计算过程如下式所示：

HMAC(E(I，K_n1)||SID||n1||n2；K_n2)，

其中||表示数据连接运算，I为电子签章文档信息，I＝I_f||I_s||SID(I_f为需要电子签章的电子文档信息，I_s为电子印章信息，SID为电子签章者ID)，E(I，K_n1)为使用密钥K_n1对称加密I的密文，K_n1为序号为n1的未使用的共享密钥，K_n2为序号为n2的未使用的共享密钥。

电子签章者的安全存储设备通过计算机终端将SID、n1、n2、E(I，K_n1)和HMAC(E(I，K_n1)||SID||n1||n2；K_n2)发送到可信中心，请求数字签名，安全存储设备将共享密钥K_n1和K_n2标注为已使用密钥。

2、可信中心收到电子签章者发送的信息，首先验证电子签章者身份，验证成功后解密获得电子签章文档信息，验证电子签章文档信息的正确性，如果正确，则对其进行数字签名，生成文档的电子签章信息。

可信中心收到电子签章者发送的数据，首先到数据库读取ID为SID的电子签章者的序号为n2的共享密钥K_n2，如果已使用，则放弃对电子签章者身份的验证，否则验证HMAC(E(I，K_n1)||SID||n1||n2；K_n2)的正确性，如果正确，电子签章者身份认证成功，将K_n2标注为已使用。可信中心读取序号为n1的可信中心与电子签章者的共享密钥K_n1，使用K_n1解密E(I，K_n1)获得电子签章文档信息I，将K_n1标注为已使用。

验证HMAC(E(I，K_n1)||SID||n1||n2；K_n2)的正确性的方法为：使用密钥K_n2计算E(I，K_n1)||SID||n1||n2的HMAC码(密钥相关的消息认证码)，得到的HMAC码与HMAC(E(I，K_n1)||SID||n1||n2；K_n2)的值相等则验证正确。

可信中心使用数据库数据验证电子签章文档信息I中电子印章信息I_s和电子签章者ID的正确性，如果不正确则可信中心拒绝对其进行数字签名，否则对其进行数字签名，计算公式如下：

Ds＝HMAC(I||T||SN，K_SN)

其中T为当时的时间，SN为可信中心签名密钥库的签名密钥序号，K_SN为未使用的序号为SN的签名密钥库密钥，签名完成后将密钥K_SN标注为已使用。

3、可信中心将文档的电子签章信息加密发送给电子签章者，电子签章者解密获得文档的电子签章信息。

可信中心将I||T||Ds||SN作为文档的电子签章信息使用共享密钥加密发送给电子签章者，将加密密钥标注为已使用。电子签章者的安全存储设备解密获得文档的电子签章信息，电子签章者的安全存储设备将解密密钥标注为已使用。

任何一个拥有文档的电子签章信息I||T||Ds||SN的接收方，均可以将其加密发送给可信中心，验证电子签章的合法性。可信中心在密钥库中提取序号为SN的密钥K_SN，计算HMAC(I||T||SN，K_SN)，比较其值是否等于Ds，如果等于则电子签章正确，否则不正确。

当然，在上述实施例中，执行电子签章者操作步骤，以及执行可信中心处操作步骤的设备，也属于实施例，理应属于本发明的保护范围。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims

1.一种面向个人用户的电子签章方法，其特征是：包括以下步骤：

2.如权利要求1所述的一种面向个人用户的电子签章方法，其特征是：在进行电子签章前，先进行注册，向第三方机构提供电子印章信息，具体包括电子印章ID和电子印章文件信息，接收到第三方机构的身份验证结果，和分发的一定数量共享密钥，共享密钥用于和第三方机构进行通信时的身份认证和加密通信。

3.如权利要求1所述的一种面向个人用户的电子签章方法，其特征是：在进行电子签章前，和第三方机构将共享密钥按照每次使用的密钥长度进行密钥划分并同步顺序编号。

4.如权利要求1所述的一种面向个人用户的电子签章方法，其特征是：使用共享密钥生成身份认证码的具体过程包括：

5.如权利要求1-4中任一项所述的一种面向个人用户的电子签章方法，其特征是：还包括以下步骤：

6.一种面向个人用户的电子签章方法，其特征是：包括以下步骤：

7.如权利要求6所述的一种面向个人用户的电子签章方法，其特征是：验证身份认证码的正确性的具体过程包括：使用共享密钥计算密文的密钥相关的消息认证码，得到的密钥相关的消息认证码与使用共享密钥生成的身份认证码的值相等则验证正确，所述使用共享密钥生成的身份认证码，与需要电子签章的电子文档信息、电子印章信息、电子签章者ID、相关的密文和共享密钥相关。

8.如权利要求6所述的一种面向个人用户的电子签章方法，其特征是：进行数字签名的过程包括：计算数字签名时与密钥相关的消息认证码：Ds＝HMAC(I||T||SN，K_SN)，其中：I为电子签章文档信息，T为当时的时间，SN为签名密钥序号，K_SN为未使用的序号为SN的签名密钥库密钥，签名完成后将密钥K_SN标注为已使用，将I||T||Ds||SN作为电子签章信息，使用共享密钥加密发送给电子签章者，将加密密钥标注为已使用。

9.如权利要求6所述的一种面向个人用户的电子签章方法，其特征是：当共享密钥剩余数量少于设定值时，重新对电子签章者进行身份认证，对电子签章者身份认证成功后，向电子签章者发送一定数量的新密钥，双方使用相同的上次未使用的共享密钥加密新密钥，生成新的相同的共享密钥，对新的共享密钥进行相同的密钥划分和同步顺序编号，并存储。

10.一种面向个人用户的电子签章系统，其特征是：包括：

11.如权利要求10所述的一种面向个人用户的电子签章系统，其特征是：所述可信中心包括数字签名密钥库，用于电子签章数据的数字签名，数字签名密钥库中的密钥数据为真随机数数据，所述数字签名密钥库的密钥按照每次数字签名所使用的密钥长度进行划分，并对划分的密钥进行顺序编号。

12.如权利要求10所述的一种面向个人用户的电子签章系统，其特征是：所述终端设备能够连接电子签章者的安全存储设备，通过量子密码网络终端向可信中心提供相关信息。

13.一种终端设备，包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行权利要求1-9中任一项所述的一种面向个人用户的电子签章方法中的步骤。