WO2010072086A1 - 用于家庭网关的密钥证书生成方法和系统 - Google Patents

用于家庭网关的密钥证书生成方法和系统 Download PDF

Info

Publication number
WO2010072086A1
WO2010072086A1 PCT/CN2009/073959 CN2009073959W WO2010072086A1 WO 2010072086 A1 WO2010072086 A1 WO 2010072086A1 CN 2009073959 W CN2009073959 W CN 2009073959W WO 2010072086 A1 WO2010072086 A1 WO 2010072086A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
certificate
request
home gateway
data
Prior art date
Application number
PCT/CN2009/073959
Other languages
English (en)
French (fr)
Inventor
嵇盛育
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP09834039.1A priority Critical patent/EP2372946B1/en
Publication of WO2010072086A1 publication Critical patent/WO2010072086A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H04L12/283—Processing of data at an internetworking point of a home automation network
    • H04L12/2834—Switching of information between an external network and a home network
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to a key certificate generation method and system for a home gateway.
  • BACKGROUND With the rapid development of the Internet, various network services are rapidly expanding. In addition to the traditional Internet browsing services, the network services include other services such as IPTV (Internet Protocol Television) and IP telephony.
  • IPTV Internet Protocol Television
  • IP telephony IP telephony
  • users need to use a variety of devices such as modems, broadband routers, and home gateways.
  • the device configuration required by users is also increasing.
  • the configuration and software upgrade of the home gateways are required through the carrier server. Achieve the purpose of adding new business.
  • the main object of the present invention is to provide a method and system for generating a key certificate for a home gateway to ensure communication security between the home gateway and the operator's server.
  • a key certificate generation system for a home gateway is first provided.
  • the key certificate generation system for a home gateway includes: a management terminal, a productized data acquisition terminal, a key certificate management server, and an encryption machine.
  • the management terminal is configured to submit a request for generating a certificate key and a certificate, submit a key request for generating a version signature, submit a certificate export request, and obtain an exported root certificate; Submit the version data and version signature request, and obtain the signed version data; submit the personality data of the home gateway, submit the generated home gateway key and certificate a request, and a request for exporting the signature private key corresponding to the public key data; obtaining a key and a certificate of the home gateway, and public key data corresponding to the version signature private key; and a key certificate management server for receiving the management terminal and the product Responding to the request of the data acquisition terminal and responding, informing the encryption machine to perform the generation key and the signature operation according to the above request, performing the certificate generation operation according to the above request; the secret machine is used to generate the key and the signature, and the key is saved, And the management terminal
  • the management terminal further includes: a first request submission module, configured to submit a request for generating a root key and a root certificate to the key certificate management server, submit a key request for generating a version signature, and submit a root certificate export request; the root certificate export module , used to obtain the root certificate exported by the key certificate management server.
  • a first request submission module configured to submit a request for generating a root key and a root certificate to the key certificate management server, submit a key request for generating a version signature, and submit a root certificate export request
  • the root certificate export module used to obtain the root certificate exported by the key certificate management server.
  • the product data obtaining terminal further includes: a second request submitting module, configured to submit the personal data of the home gateway to the key certificate management server, submit a request for generating a home gateway key and a certificate, and derive a public key corresponding to the version signature private key The data request, the submission version data and the version signature request; the data acquisition module, configured to obtain the key and certificate of the home gateway, obtain the signed version data, and the public key corresponding to the version signature private key.
  • the key certificate management server further includes: a request receiving module, configured to receive a request from the management terminal and the productized data acquiring terminal; and a key certificate generating module, configured to interact with the encrypting machine according to the request, to obtain the generated root key And the public key data of the home gateway, the public key data corresponding to the root public key and the version signature private key according to the public key identifier, and the signed data is obtained; the certificate is generated according to the request; the response module, And responding to the foregoing request, providing the generated certificate to the management terminal, providing the generated home gateway key and certificate, the public key corresponding to the version signature private key, and the signed version data to the productized data acquisition terminal.
  • a request receiving module configured to receive a request from the management terminal and the productized data acquiring terminal
  • a key certificate generating module configured to interact with the encrypting machine according to the request, to obtain the generated root key And the public key data of the home gateway, the public key data corresponding to the root public key and the version signature private key according
  • the management module is configured to manage the identifier corresponding to the generated key, and the foregoing certificate, carrier configuration information, user authority, and operation log.
  • the encryption machine further includes: an encryption module, configured to perform an operation of generating a key and a signature, and storing the key; an interaction module, configured to interact with the key certificate management server, and sign the key and the version The identifier corresponding to the key, and the signature is returned to the key certificate management server; and the key of the home gateway is directly returned to the key certificate management server.
  • a key certificate generation method for a home gateway is also provided.
  • the key certificate generation method for the home gateway of the present invention includes: the key certificate management server interacts with the encryption machine according to the request for generating the root key and the root certificate submitted by the management terminal, and generates the key and the talent. ⁇ certificate, and export the certificate to the management terminal; the key certificate management server interacts with the encryption machine according to the key request generated by the management terminal to generate the version signature, and generates a key for version signature; The certificate management server obtains the version data and the version signature request submitted by the terminal according to the product data, and interacts with the encryption machine to generate the signed version data. The key certificate management server acquires the personality of the home gateway submitted by the terminal according to the product data.
  • the public key data is returned to the productized data acquisition terminal.
  • the request for generating the root key and the root certificate carries the operator identifier; the request for generating the version signature key, the version signature request, and the request for generating the home gateway key and the certificate carry the operator identifier and the area identifier.
  • the method further includes: when the encryption machine generates the root key and the key for version signature, only the identifier corresponding to the key is returned to the key certificate management server.
  • the method further includes: the key certificate management server manages the identifier corresponding to the generated key, and the certificate, the operator configuration information, the user authority, and the operation log.
  • the key certificate management server manages the identifier corresponding to the generated key, and the certificate, the operator configuration information, the user authority, and the operation log.
  • the key certificate generation system for a home gateway includes: a management terminal, a productized data acquisition terminal, a key certificate management server, and an encryption machine, wherein the management terminal is configured to submit a generated key and The request for the certificate, and the certificate export request, and the obtained certificate; the product data acquisition terminal is used to submit the personality data of the home gateway, and the request for generating the home gateway key and the certificate, and obtain the home gateway
  • the key certificate and the certificate the key certificate server is configured to receive the request from the management terminal and the product data acquisition terminal, and respond to the request to notify the encryption machine to perform the generation key and certificate operation;
  • the encryption machine is used to generate keys and signatures, key generation will be saved and generated only ⁇ 1 Gen key corresponding to the key identifier returned to the aforesaid certificate server, the above-mentioned key home gateway directly back to the above-mentioned key certificate management tasks month Device.
  • a method for generating a key certificate of a home gateway includes: 1) the key certificate management server interacts with the encryption machine according to the request for generating the root key and the root certificate submitted by the management terminal, and generates a root key and a root certificate, and Exporting the root certificate to the management terminal; 2) the key certificate management server acquires the personality data of the home gateway submitted by the terminal according to the product data, and the submitted request for generating the key and certificate of the home gateway, and interacts with the encryption machine.
  • the key and certificate of the home gateway are generated, and the generated home gateway key and certificate are returned to the above-mentioned product data terminal.
  • the method and system for generating a key certificate for a home gateway provided by the present invention, the process of generating a key and a certificate, completely shielding direct interaction with the outside world, ensuring absolute security of generating a key and a certificate; capable of generating a home gateway in batches
  • the key and certificate, the submitted personal data is directly imported in the form of a table, only need to select the operator and the region, without any configuration, which makes the operation of the order, which greatly reduces the difficulty of generating the key and certificate, and managing it.
  • the operator server and the home gateway use a key and certificate-based authentication mechanism to communicate to ensure the security of the communication; encrypt the transmitted data to ensure the confidentiality and integrity of the information transmission; The data is signed to ensure the authenticity of the identity.
  • FIG. 1 is a schematic structural diagram of a key certificate generation system for a home gateway according to the present invention
  • FIG. 2 is a flowchart of a method for generating a key certificate for a home gateway according to the present invention.
  • DETAILED DESCRIPTION OF THE PREFERRED EMBODIMENTS In the embodiment of the present invention, a new type of key certificate generation method and system for a home gateway is used.
  • a key certificate management server In the process of generating a key and a certificate, a key certificate management server The key certificate management server interacts with the encryption machine, and obtains a root key and a root certificate, a root certificate export, a version signature key, a version data signature, and a signature generated by the terminal according to the management terminal and the productized data acquisition terminal.
  • Generating a key and a certificate of the home gateway exporting the generated root certificate to the management terminal, returning the signed version data to the productized data acquisition terminal, and returning the generated home gateway key and certificate to the productized data
  • the acquiring terminal returns the public key corresponding to the version signature private key to the product acquisition terminal. This avoids the security risk of communication between the carrier server and the home gateway.
  • a key certificate generation system for a home gateway is first provided.
  • a key certificate generation system for a home gateway according to an embodiment of the present invention as shown in the figure As shown in FIG. 1, the system is composed of a management terminal 10, a productized data acquisition terminal 20, a key certificate management server 30, and a hard disk machine 40.
  • the management terminal 10 is configured to submit a request for generating a root key and a root certificate to the key certificate management server 30, and request the key certificate management server 30 to generate a certificate key and a certificate, the request carrying the operator identifier.
  • the key certificate management server 30 reads out the parameter information such as the number, type, and format of the root key from the database in the request, and the serial number, expiration date, name item information, and extension of the root certificate. Item information and the like, and the key certificate management server 30 interacts with the encryption machine to generate a certificate key and a certificate.
  • the management terminal 10 can submit a root certificate export request to the key certificate management server 30, requesting the key certificate management server 30 to derive the generated book.
  • the management terminal 10 is further configured to submit a key request for generating a version signature to the key certificate management server 30, requesting the key certificate management server 30 to generate a key for version signature.
  • the product data obtaining terminal 20 is configured to submit a version data and a version signature request to the key certificate management server 30 when the signature of the version data is required, and obtain the signature from the key certificate management server 30 after the signature is completed.
  • the version data is also used to submit the personal data of the home gateway to the key certificate management server 30, submit the request for generating the home gateway key and the certificate, and output the version signature private key correspondingly when the key and certificate of the home gateway need to be generated.
  • the request for the public key, and the key and certificate of the home gateway, and the public key corresponding to the version signature private key are obtained from the key certificate management server 30.
  • the submitted request includes the operator identifier and the area identifier, and the key certificate management server reads the personality data of the home gateway from the database according to the operator identifier and the area identifier, including the number of digits of the home gateway key, Parameters such as type and format, name and extension of the product certificate, and the public key identifier corresponding to the version signature private key to be exported.
  • the key certificate server 30 is configured to receive various responses from the management terminal 10 and the productized data acquisition terminal 20 and respond to perform interaction with the encryption machine 40 according to various requests, to perform various operations, including
  • the key certificate management server 30 receives the request for generating the authentication key from the management terminal 10, it reads the parameter information such as the number of bits, the type, and the format of the key in the database according to the request, and generates a new one.
  • the request information is sent to the encryption machine 40, and the encryption machine 40 performs an operation of generating a certificate key according to information such as the number, type, and format of the root key carried in the new request information, and the generated key includes And the public key and the private key; and the generated certificate key is saved after the operation is completed, and the identifier corresponding to the generated certificate key is returned to the key certificate management server 30, and the key certificate management server 30
  • the identity is stored in its own database and managed; it should be noted that for security reasons, The encryptor 40 returns the identifier corresponding to the key to the key certificate manager 30 instead of directly returning the generated key to the key certificate manager 30; the key certificate management server 30 receives the When the request for generating the certificate from the management terminal 10 is obtained, the root public key identifier, the serial number of the root certificate, the validity period, the name item information, and the extension item information are read out from the database according to the request, and the operation of generating the root certificate is performed; The operation of generating the root certificate requires obtaining the public
  • the secret machine 40 uses the private key to sign the certificate; the generated certificate is stored in the database of the key certificate management server 30, and the key certificate management server 30 can manage the root certificate stored in the database; Upon receiving the certificate export request from the management terminal 10, the key certificate management server 30 exports the certificate in the database to the management terminal 10; the key certificate manager 30 receives the generation from the management terminal 10.
  • the version signature key request is made, the database is read according to the request to generate new request information and the encryption machine 40 is notified, and the encryption machine 40 performs the information according to the number, type and format of the key carried in the new request.
  • the key certificate management server 30 receives the productization According to the version data and the version signature request of the terminal 20, the identifier of the version signature private key is read from the database and notified to the encryption machine 40, and the signature operation is performed by the encryption machine 40 with the version signature private key, and the operation is completed.
  • the signed version data is returned to the key certificate management server 30, and the key certificate management server 30 returns the signed version data to the productized data acquisition terminal 20; the key certificate manager 30 receives the product from the product.
  • the data acquisition terminal 20 generates the home gateway key and the certificate request, and the personality data of the home gateway
  • the database is read according to the request to generate new request information and the encryption machine 40 is notified, and the encryption machine 40 requests the new request.
  • the information such as the number of bits, the type, and the format carried in the home performs the key generation operation of the home gateway; the key certificate management server 30 refers to the name item information and the extension item information, the certificate, and the private key carried in the new request.
  • the encryption machine 40 is configured to perform a signature operation for generating a key and a data, where the signature operation includes a signature when the certificate is generated and a signature of the version data; and is also used to generate the generated key and the version signature.
  • the name key is saved, and the identifier corresponding to the key and the version signature key, and the signed version data are returned to the key certificate management server 30; and the generated key and certificate of the home gateway are also returned.
  • the key certificate management server 30 is given.
  • the management terminal 10 further includes: a first request submission module 11 and a root certificate export module 12 that are connected to each other.
  • the first request submitting module 11 is configured to submit a request for generating a root key and a root certificate to the key certificate management server 30, submit a key request for generating a version signature, and submit a root certificate export request.
  • the root certificate exporting module 12 is configured to obtain a root certificate exported by the key certificate management server 30.
  • the productized data acquisition terminal 20 further includes: a second request submission module 21 and a data acquisition module 22 that are connected to each other.
  • the second request submission module 21 is configured to submit the personality data of the home gateway to the key certificate management device 30, and generate a request for the home gateway key and the certificate, and submit the version data and the version signature request.
  • the data obtaining module 22 is configured to obtain a key and a certificate of the home gateway, and obtain the signed version data.
  • the key certificate management server 30 further includes: a request receiving module 31, a key certificate generating module 32, a response module 33, and a management module 34.
  • the request receiving module 31 is configured to receive various requests from the management terminal 10 and the productized data acquisition terminal 20.
  • the key certificate generation module 32, the connection request receiving module 31, is configured to interact with the encryption machine 40 according to the request to obtain the key identification and the signed data; and is further configured to generate the certificate according to the request.
  • the response module 33, the connection key certificate generation module 32 is configured to respond to the request, provide the generated certificate to the management terminal 10, provide the generated home gateway key and certificate, and the signature to the product data acquisition terminal 20.
  • the management module 34, the connection key certificate generation module 32, is configured to manage the target corresponding to the generated key, and the certificate, the operator configuration information, the user authority, and the operation log.
  • the encryption machine 40 further includes: an encryption module 41 and an interaction module 42 that are connected to each other.
  • the encryption module 41 is configured to perform an operation of generating a key and a signature, and save the generated key.
  • the interaction module 42 is configured to interact with the key certificate management server 30, and return the identifier corresponding to the root key and the version signature key, and the signature to the key certificate management server 30; return the key of the home gateway directly to the key Key certificate management server 30.
  • a method for generating a key certificate for a home gateway is also provided.
  • the key certificate management server may import configuration data customized by each operator into the database, and the configuration data includes: the number, type, and format of the root key, and the name of the root certificate. Information and extension information, etc. Therefore, when submitting the request for generating the root key and the root certificate, the management terminal only needs to select the operator identifier; correspondingly, the key certificate management server reads from the database according to the operator identifier in the request. The operator identifies the corresponding configuration data, so that the generation operation of the key and the certificate is performed according to the configuration data.
  • the encryption machine performs the encryption operation and generates the root key
  • only the identifier corresponding to the root key is returned to the key certificate management server instead of returning the root key directly to the key certificate management ⁇
  • the database of the key certificate management server stores the identifier corresponding to the key and the certificate, and the key certificate management server can manage the identifier and the certificate in the database.
  • the root certificate is the basis for issuing other certificates. If there is no certificate, the other certificates cannot be generated and signed.
  • the management terminal may submit a root certificate export request to the key certificate management server, where the request carries the operator identifier; the key certificate management server searches for the corresponding certificate according to the operator identifier in the request, and The root certificate is exported to the management terminal, and the management terminal provides the root certificate to the operator.
  • the management terminal only needs to select an operator identifier and a region identifier when submitting a key request for generating a version signature; correspondingly, the key certificate management server is based on the operator identifier in the request and The area identifier reads the corresponding configuration data from its own database to interact with the encryption machine to implement the key generation operation. For security reasons, after the encryption machine performs the encryption operation and generates the key for the version signature, only the identifier corresponding to the key is returned to the key certificate management server instead of directly returning the key to the key certificate.
  • the server of the key certificate server stores the identifier corresponding to the key, and the key certificate manager can manage the identifier in the database.
  • Step 203 The key certificate management server acquires the version data and the version signature request submitted by the terminal according to the productized data, and interacts with the encryption machine to generate the signed version data.
  • the version data needs to be signed each time a new version of the data is released.
  • the product data obtaining terminal may select the operator identifier and the area identifier, and submit the version data and the version signature request to the key certificate management server;
  • the key certificate management server reads the version signature private key identifier in the database according to the request and notifies the encryption machine to execute the version.
  • the encryption machine returns the signed version data to the key certificate management server, and the key certificate management server returns the signed version data to the productized data acquisition terminal.
  • the product data acquisition terminal may log out of the operation page after submitting the version signature request; view the signature status of the version data through the operation page, and if the status display signature is completed, the operation is performed. Clicking Download on the page will get the signed version data from the key certificate management server.
  • the present invention supports the generation of the home gateway key and the certificate.
  • the product data acquisition terminal can store the submitted personality data in the form of a table, and the submitted personality data includes the serial number of the home gateway.
  • the product data acquisition terminal selects the operator identification and the regional identification, and submits the form containing the personality data, and can log out of the operation page;
  • the key certificate management server reads the key identification, the certificate, and the version signature from the database.
  • the public key identifier corresponding to the private key, the type and format of the product key, and the name and extension information of the certificate.
  • the product data acquisition terminal checks the operation status of the generated key and the certificate through the operation page. If the status display is generated, click the download from the operation page, that is, it can be obtained from the key certificate management server.
  • the product data terminal After obtaining the form containing the home gateway key and the certificate and the signed version data, the product data terminal provides the form and the signed version data to the production line of the home gateway, and then the signed version data on the production line, and The keys and certificates of each home gateway are burned into each corresponding home gateway. It should be noted that, in an actual application, if the version cannot be verified, it is not required to generate a key for the version signature, the version data, the version signature private key, and the public key. Therefore, according to the embodiment of the present invention, Another key certificate generation system and method for a home gateway is provided.
  • Another key certificate generation system for a home gateway includes: a management terminal, configured to submit a request for generating a certificate key and a certificate, and a certificate export request, and obtain the derived a root certificate; a productized data acquisition terminal, configured to submit personal data of the home gateway, and a request for generating a home gateway key and a certificate, and obtain a key and a certificate of the home gateway; a key certificate manager for receiving from The management terminal and the productized data acquisition terminal request and respond, and notify the encryption machine to perform the generation key and certificate operation according to the request;
  • the secret machine is configured to generate a key and a signature, save the generated key, and return the identifier corresponding to the generated key to the key certificate management server, and directly return the key of the home gateway to the key certificate.
  • Another method for generating a key certificate for a home gateway includes: Step 1, the key certificate management server, according to the request for generating the talent key and the certificate submitted by the management terminal, and the encryption The machine interacts to generate a root key and a root certificate, and exports the root certificate to the management terminal.
  • Step 2 The key certificate management server obtains the personality data of the home gateway submitted by the terminal according to the productized data, and submits the generated home gateway secret.
  • the key and the certificate request interact with the encryption machine to generate a key and certificate of the home gateway, and the key and certificate of the home gateway generated by the ⁇ 1 are returned to the productized data acquisition terminal.
  • each home gateway is burned into its corresponding key and certificate, and the public key data corresponding to the version signature private key, and the signed version data, the carrier's server and the home gateway perform When communicating, it is possible to use the existing key and certificate-based security authentication mechanism to implement secure communication according to the key and certificate of the home gateway, thereby avoiding the malicious control of the home gateway and the illegal home gateway access.
  • a safety hazard It should be understood that those skilled in the art can modify or change according to the description of the above scheme, for example, the method of demarcation using other user attributes, and all of these improvements and transformations belong to the present invention. The scope of protection of the claims.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Automation & Control Theory (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

用于家庭网关的密钥证书生成方法和系统 技术领域 本发明涉及网络安全技术领域，尤其涉及一种用于家庭网关的密钥证书 生成方法和系统。 背景技术 随着互联网的飞速发展， 各种网络业务迅速展开， 网络业务除了传统的 互联网浏览业务外， 还包括网络电视（ IPTV , Internet Protocol Television )、 IP电话等其他业务。 目前， 用户上网需要借助调制解调器、 宽带路由器和家 庭网关（Home Gateway )等多种设备。 而在实际应用中， 由于网络业务的不 断扩张， 用户所需的设备配置工作也越来越多， 对设备的运营商来说， 则需 要通过运营商服务器对家庭网关进行配置和软件升级， 以达到增加新业务的 目的。 但是， 由于现有技术还无法提供一种运营商服务器和家庭网关之间的 安全认证机制 , 从而造成运营商服务器和家庭网关之间进行通信时存在安全 隐患 , 例如： 家庭网关被恶意控制以及非法的家庭网关接入等等。 发明内容 有鉴于此，本发明的主要目的在于提供一种用于家庭网关的密钥证书生 成方法和系统 , 以保证家庭网关与运营商月 务器之间的通信安全。 为达到上述目的， 本发明的技术方案是这样实现的： 根据本发明的一个方面，首先提供了一种用于家庭网关的密钥证书生成 系统。 才艮据本发明的用于家庭网关的密钥证书生成系统， 包括： 管理终端、 产 品化数据获取终端、 密钥证书管理服务器和加密机。 其中， 管理终端 , 用于提交生成才艮密钥和才艮证书的请求 , 提交生成版本签名的 密钥请求， 提交才艮证书导出请求， 并获取导出的根证书； 产品化数据获取终端， 用于提交版本数据和版本签名请求， 并获取签名 后的版本数据； 提交家庭网关的个性数据， 提交生成家庭网关密钥和证书的 请求 , 以及导出签名私钥对应公钥数据的请求； 获取家庭网关的密钥和证书， 以及版本签名私钥对应的公钥数据； 密钥证书管理 ^务器，用于接收来自管理终端和产品化数据获取终端的 请求并响应， 根据上述请求通知加密机执行生成密钥和签名操作， 根据上述 请求执行生成证书操作； 力口密机， 用于生成密钥和签名， 对密钥进行保存， 并将上述根密钥和版 本签名密钥对应的标识， 以及上述签名返回给密钥证书管理服务器； 将家庭 网关的密钥直接返回给密钥证书管理服务器。 上述管理终端进一步包括： 第一请求提交模块，用于向密钥证书管理服务器提交生成根密钥和根证 书的请求 , 提交生成版本签名的密钥请求 , 提交根证书导出请求； 根证书导出模块 , 用于获取密钥证书管理服务器导出的根证书。 产品化数据获取终端进一步包括： 第二请求提交模块 ,用于向密钥证书管理服务器提交家庭网关的个性数 据， 提交生成家庭网关密钥和证书的请求， 以及导出版本签名私钥对应的公 钥数据的请求， 提交版本数据和版本签名请求； 数据获取模块 , 用于获取家庭网关的密钥和证书 , 获取签名后的版本数 据 , 以及版本签名私钥对应的公钥。 密钥证书管理服务器进一步包括： 请求接收模块 , 用于接收来自管理终端和产品化数据获取终端的请求； 密钥证书生成模块， 用于根据上述请求与加密机进行交互， 得到生成的 根密钥和版本密钥的标识、 家庭网关的公私钥数据， 根据公钥标识得到根公 钥和版本签名私钥对应的公钥数据， 得到签名后的数据； 才艮据上述请求生成 证书； 响应模块， 用于对上述请求进行响应， 向管理终端提供生成的才艮证书， 向上述产品化数据获取终端提供生成的家庭网关的密钥和证书 , 版本签名私 钥对应的公钥以及签名后的版本数据； 管理模块， 用于对生成的密钥所对应的标识、 以及上述证书、 运营商配 置信息、 用户权限、 操作日志进行管理。 上述加密机进一步包括： 加密模块， 用于执行生成密钥和签名的操作， 并对密钥进行保存； 交互模块， 用于与密钥证书管理服务器进行交互， 并将才艮密钥和版本签 名密钥对应的标识， 以及上述签名返回给密钥证书管理服务器； 将该家庭网 关的密钥直接返回给密钥证书管理服务器。 根据本发明的另一个方面，还提供了一种用于家庭网关的密钥证书生成 方法。 居本发明的用于家庭网关的密钥证书生成方法， 包括： 密钥证书管理服务器根据管理终端提交的生成根密钥和根证书的请求 , 与加密机进行交互， 生成才艮密钥和才艮证书， 并将才艮证书导出给管理终端； 密钥证书管理服务器才艮据管理终端提交的生成版本签名的密钥请求，与 加密机进行交互， 生成用于版本签名的密钥； 密钥证书管理服务器根据上述产品化数据获取终端提交的版本数据和 版本签名请求， 与加密机进行交互， 生成签名后的版本数据； 密钥证书管理服务器根据上述产品化数据获取终端提交的家庭网关的 个性数据， 提交的生成家庭网关密钥和证书的请求， 和导出版本签名私钥对 应的公钥的请求， 与加密机进行交互， 生成家庭网关的密钥和证书， 导出版 本签名的私钥对应的公钥数据， 并返回给产品化数据获取终端。 上述生成根密钥和根证书的请求中携带运营商标识；生成版本签名密钥 的请求， 版本签名请求， 以及生成家庭网关密钥和证书的请求中携带运营商 标识和地区标识。 该方法进一步包括： 加密机生成根密钥和用于版本签名的密钥时， 仅将 上述密钥对应的标识返回给密钥证书管理月 务器。 该方法进一步包括： 密钥证书管理服务器对生成的密钥所对应的标识， 以及上述证书、 运营商配置信息、 用户权限、 操作日志进行管理。 根据本发明的另一个方面，还提供了一种用于家庭网关的密钥证书生成 系统。 才艮据本发明的用于家庭网关的密钥证书生成系统， 包括： 管理终端、 产 品化数据获取终端、 密钥证书管理服务器和加密机， 其中， 管理终端用于提交生成才艮密钥和才艮证书的请求， 以及才艮证书导出请求， 并获取导出的才艮证书； 产品化数据获取终端用于提交家庭网关的个性数据， 以及生成家庭网关密钥和证书的请求， 并获取家庭网关的密钥和证书； 密钥 证书管理 务器用于接收来自上述管理终端和产品化数据获取终端的请求并 响应， 才艮据上述请求通知加密机执行生成密钥和证书操作； 加密机用于生成 密钥和签名， 对生成的密钥进行保存， 并^1生成的才艮密钥对应的标识返回给 上述密钥证书服务器， 将上述家庭网关的密钥直接返回给上述密钥证书管理 月 务器。 根据本发明的再一个方面， 还提供了一种家庭网关的密钥证书生成方 法。 根据本发明的家庭网关密钥生成方法， 包括： 1 ) 密钥证书管理服务器 根据管理终端提交的生成根密钥和根证书的请求， 与加密机进行交互， 生成 根密钥和根证书， 并将根证书导出给管理终端； 2 ) 密钥证书管理服务器根 据上述产品化数据获取终端提交的家庭网关的个性数据， 以及提交的生成家 庭网关的密钥和证书的请求， 与加密机进行交互， 生成家庭网关的密钥和证 书， 并将生成的家庭网关的密钥和证书返回给上述产品化数据终端。 本发明所提供的用于家庭网关的密钥证书生成方法和系统，其生成密钥 和证书的过程， 完全屏蔽直接与外界交互， 保证了生成密钥和证书的绝对安 全； 能够批量生成家庭网关的密钥和证书， 提交的个性数据通过表格形式直 接导入， 只需要选择运营商和地区， 无需任何配置， 使得操作筒单， 也大大 降低了生成密钥和证书， 以及对其进行管理的难度； 运营商服务器与家庭网 关之间采用基于密钥和证书的认证机制进行通信， 从而确保通信的安全性； 将传输的数据进行加密， 保证了信息传输的保密性和完整性； 对要传输的数 据进行签名， 保证了身份的真实性。 本发明的其它特征和优点将在随后的说明书中阐述， 并且， 部分地从说 明书中变得显而易见， 或者通过实施本发明而了解。 本发明的目的和其他优 点可通过在所写的说明书、 权利要求书、 以及附图中所特别指出的结构来实 现和获得。 附图说明 附图用来提供对本发明的进一步理解， 并且构成说明书的一部分， 与本 发明的实施例一起用于解释本发明， 并不构成对本发明的限制。 在附图中： 图 1 为本发明一种用于家庭网关的密钥证书生成系统的组成结构示意 图； 图 2为本发明一种用于家庭网关的密钥证书生成方法的流程图。 具体实施方式 功能相无述 在本发明实施例中，通过一种新型的用于家庭网关的密钥证书生成方法 和系统， 在其生成密钥和证书的过程中， 密钥证书管理月 务器密钥证书管理 月 务器与加密机进行交互 ,根据管理终端和产品化数据获取终端提交的请求 , 执行生成根密钥和根证书、 根证书导出、 生成版本签名的密钥、 版本数据签 名、 生成家庭网关的密钥和证书等操作； 将生成的根证书导出给管理终端， 将签名后的版本数据返回给产品化数据获取终端 , 将生成的家庭网关的密钥 和证书返回给产品化数据获取终端 , 将版本签名私钥对应的公钥导出返回给 产品化获取终端。 这样就避免了运营商服务器和家庭网关之间进行通信时所 存在的安全隐患问题的发生。 为了更好地理解本发明，下面结合附图和具体实施例对关于基于区域策 略的位置广告业务分众的具体实施方式和实施例加以详细说明。 应当理解， 此处所描述的优选实施例仅用于说明和解释本发明， 并不用于限定本发明。 在不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互组 合。 根据本发明实施例， 首先提供了一种用于家庭网关的密钥证书生成系 统。 根据本发明实施例提供的一种用于家庭网关的密钥证书生成系统，如图 1所示， 该系统由管理终端 10、 产品化数据获取终端 20、 密钥证书管理服务 器 30和力口密机 40组成。 管理终端 10 , 用于向密钥证书管理服务器 30提交生成根密钥和根证书 的请求， 请求密钥证书管理服务器 30 生成才艮密钥和才艮证书， 该请求携带运 营商标识。 密钥证书管理服务器 30 才艮据请求中的运营商标识从自身的数据 库中读出根密钥的位数、 类型和格式等参数信息， 以及根证书的序列号、 有 效期、 名字项信息和扩展项信息等， 由密钥证书管理服务器 30 与加密机进 行交互， 生成才艮密钥和才艮证书。 在生成才艮密钥和才艮证书之后， 管理终端 10 可以向密钥证书管理服务器 30 提交根证书导出请求， 请求密钥证书管理服 务器 30导出所生成的 正书。管理终端 10还用于向密钥证书管理服务器 30 提交生成版本签名的密钥请求， 请求密钥证书管理服务器 30 生成用于版本 签名的密钥。 产品化数据获取终端 20 , 用于在需要进行版本数据的签名时， 向密钥 证书管理服务器 30 提交版本数据和版本签名请求， 并在签名完毕后， 从密 钥证书管理服务器 30 获取签名后的版本数据； 还用于在需要生成家庭网关 的密钥和证书时， 向密钥证书管理服务器 30 提交家庭网关的个性数据， 提 交生成家庭网关密钥和证书的请求， 以及导出版本签名私钥对应的公钥的请 求， 并从密钥证书管理服务器 30 获取家庭网关的密钥和证书， 以及版本签 名私钥对应的公钥。 提交的请求中包括运营商标识和地区标识， 密钥证书管 理月 务器才艮据运营商标识和地区标识从自身的数据库中读出家庭网关的个性 数据， 包括家庭网关密钥的位数、 类型和格式等参数， 产品证书的名字项和 扩展项等信息， 以及需要导出的版本签名私钥对应的公钥标识。 密钥证书管理 务器 30, 用于接收来自管理终端 10和产品化数据获取 终端 20的各种请求并响应 , 才艮据各种请求与加密机 40进行交互， 以执行各 项操作， 具体包括： 密钥证书管理服务器 30在接收到来自管理终端 10的生成才艮密钥的请求 时， 才艮据请求读取数据库中的才艮密钥的位数、 类型和格式等参数信息， 生成 新的请求信息并通知加密机 40, 由加密机 40根据新的请求信息中携带的根 密钥的位数、 类型和格式等信息， 执行生成才艮密钥的操作， 生成的才艮密钥包 括才艮的公钥和私钥； 并在操作完成后保存生成的才艮密钥， 将生成的才艮密钥所 对应的标识返回给密钥证书管理服务器 30, 由密钥证书管理服务器 30将标 识存储在自身的数据库中并进行管理； 需要指出的是， 出于安全性的考虑， 加密机 40向密钥证书管理 务器 30返回才艮密钥对应的标识， 而不是直接向 密钥证书管理^ ^务器 30返回生成的才艮密钥； 密钥证书管理服务器 30在接收到来自管理终端 10的生成才艮证书的请求 时， 根据请求从数据库中读出根的公私钥标识， 根证书的序列号、 有效期、 名字项信息和扩展项信息等， 执行生成根证书的操作； 生成根证书的操作需 要从加密机 40中获取才艮的公私钥数据 , 并通知力。密机 40利用才艮私钥对才艮证 书进行签名； 生成的才艮证书存储在密钥证书管理服务器 30 自身的数据库中， 密钥证书管理服务器 30可以对数据库中存储的根证书进行管理； 密钥证书管理服务器 30在接收到来自管理终端 10 的才艮证书导出请求 时， 将数据库中的才艮证书导出给管理终端 10; 密钥证书管理 务器 30在接收到来自管理终端 10的生成版本签名的密 钥请求时 , 才艮据请求读取数据库生成新的请求信息并通知加密机 40 , 由加密 机 40 根据新的请求中携带的密钥的位数、 类型和格式等信息， 执行生成版 本签名的密钥操作 , 并在操作完成后保存生成的密钥 , 将生成的密钥所对应 的标识返回给密钥证书管理 务器 30 , 密钥证书管理 务器 30 夺标识存储 在自身的数据库中并进行管理 , 生成的版本签名的密钥包括公钥和私钥； 密钥证书管理服务器 30在接收到来自产品化数据获取终端 20的版本数 据和版本签名请求时 , 从数据库中读取版本签名私钥的标识并通知加密机 40, 由加密机 40 用版本签名私钥对版本数据执行签名操作， 并在操作完成 后， 将签名后的版本数据返回给密钥证书管理服务器 30, 密钥证书管理服务 器 30将签名后的版本数据返回给产品化数据获取终端 20; 密钥证书管理 务器 30在接收到来自产品化数据获取终端 20的生成家 庭网关密钥和证书的请求， 以及家庭网关的个性数据时， 根据请求读取数据 库生成新的请求信息并通知加密机 40 , 由加密机 40才艮据新的请求中携带的 位数、 类型和格式等信息执行家庭网关的密钥生成操作； 密钥证书管理服务 器 30 才艮据新的请求中携带的名字项信息和扩展项信息、 才艮证书、 ^私钥标 识， 证书有效期等， 执行家庭网关的证书生成操作； 密钥证书管理服务器 30 将生成的家庭网关的密钥和证书返回给产品化数据获取终端 20。 加密机 40 , 用于执行生成密钥和数据的签名操作， 其中， 签名操作包 括生成证书时的签名和对版本数据的签名； 还用于对生成的才艮密钥和版本签 名密钥进行保存， 并将才艮密钥和版本签名密钥对应的标识， 以及签名后的版 本数据返回给密钥证书管理服务器 30; 还用于将生成的家庭网关的密钥和证 书返回给密钥证书管理服务器 30。 其中， 管理终端 10进一步包括： 相互连接的第一请求提交模块 11和根 证书导出模块 12。 第一请求提交模块 11 , 用于向密钥证书管理服务器 30提 交生成根密钥和根证书的请求， 提交生成版本签名的密钥请求， 提交根证书 导出请求。 根证书导出模块 12, 用于获取密钥证书管理服务器 30导出的根 证书。 产品化数据获取终端 20进一步包括： 相互连接的第二请求提交模块 21 和数据获取模块 22。 第二请求提交模块 21 , 用于向密钥证书管理^^务器 30 提交家庭网关的个性数据， 以及生成家庭网关密钥和证书的请求， 提交版本 数据和版本签名请求。 数据获取模块 22, 用于获取家庭网关的密钥和证书 , 获取签名后的版本数据。 密钥证书管理服务器 30进一步包括： 请求接收模块 31、 密钥证书生成 模块 32、 响应模块 33和管理模块 34。 请求接收模块 31 , 用于接收来自管理 终端 10和产品化数据获取终端 20的各种请求。 密钥证书生成模块 32, 连接 请求接收模块 31 , 用于根据请求与加密机 40进行交互 , 得到密钥标识和签 名后的数据； 还用于才艮据请求生成证书。 响应模块 33 , 连接密钥证书生成模 块 32, 用于对请求进行响应， 向管理终端 10提供生成的才艮证书， 向产品化 数据获取终端 20 提供生成的家庭网关的密钥和证书， 以及签名后的版本数 据、 版本签名私钥对应的公钥数据。 管理模块 34 , 连接密钥证书生成模块 32, 用于对生成的密钥所对应的标只、 以及所述证书、 运营商配置信息、 用 户权限、 操作日志进行管理。 加密机 40进一步包括： 相互连接的加密模块 41和交互模块 42。 加密 模块 41 , 用于执行生成密钥和签名的操作， 并对生成的密钥进行保存。 交互 模块 42 , 用于与密钥证书管理服务器 30进行交互， 并将根密钥和版本签名 密钥对应的标识， 以及签名返回给密钥证书管理服务器 30； 将家庭网关的密 钥直接返回给密钥证书管理服务器 30。 根据本发明实施例， 还提供了一种用于家庭网关的密钥证书生成方法。 居本发明实施例的用于家庭网关的密钥证书生成方法， 如图 2所示, 该方法包括以下步骤 （步骤 201 - 步骤 204 ): 步骤 201 , 密钥证书管理 ^^务器才艮据管理终端提交的生成才艮密钥和才艮证 书的请求， 与加密机进行交互， 生成根密钥和根证书， 并将根证书导出给管 理终端。 需要指出的是， 由于实际应用中对于不同的运营商而言， 其根密钥和根 证书是不同的， 即才艮密钥和才艮证书是按照不同的运营商对应生成的； 因此， 作为本发明的一种较佳实施例 , 密钥证书管理服务器可以将各个运营商定制 的配置数据导入数据库中， 这些配置数据包括： 根密钥的位数、 类型和格式， 以及根证书的名字项信息和扩展项信息等。 从而， 管理终端在提交生成根密 钥和根证书的请求时， 只需要选择运营商标识； 相应的， 密钥证书管理服务 器才艮据请求中的运营商标识， 从自身的数据库中读取与该运营商标识相对应 的配置数据 , 从而才艮据配置数据执行才艮密钥和才艮证书的生成操作。 出于安全性的考虑， 加密机执行加密操作并生成根密钥后， 仅仅将根密 钥对应的标识返回给密钥证书管理服务器， 而不是将根密钥直接返回给密钥 证书管理^^务器； 密钥证书管理 ^^务器的数据库对才艮密钥对应的标识， 以及 证书进行存储， 且密钥证书管理服务器可以对数据库中的标识和证书进行管 理。 此外， 根证书是用于签发其他证书的基础， 如果没有才艮证书， 则不能实 现其他证书的生成和签发。 根证书生成以后，管理终端可以向密钥证书管理服务器提交根证书导出 请求， 请求中携带运营商标识； 密钥证书管理服务器才艮据请求中的运营商标 识查找对应的才艮证书， 并将根证书导出给管理终端， 并由管理终端将根证书 提供给运营商。 步骤 202, 密钥证书管理服务器才艮据管理终端提交的生成版本签名的密 钥请求， 与加密机进行交互， 生成用于版本签名的密钥。 需要指出的是，由于实际应用中运营商在每一个地区所使用的版本签名 的密钥都是不同的， 因此需要才艮据不同地区的需要产生不同的密钥。 作为本 发明的一种较佳实施例， 管理终端在提交生成版本签名的密钥请求时， 只需 要选择运营商标识和地区标识； 相应的， 密钥证书管理服务器根据请求中的 运营商标识和地区标识， 从自身的数据库中读取相应的配置数据， 从而与加 密机进行交互， 以实现密钥的生成操作。 出于安全性的考虑， 加密机执行加密操作并生成用于版本签名的密钥 后， 仅仅将密钥对应的标识返回给密钥证书管理服务器， 而不是将该密钥直 接返回给密钥证书管理 务器； 密钥证书管理 务器的数据库对该密钥对应 的标识进行存储 , 且密钥证书管理 务器可以对数据库中的标识进行管理。 步骤 203 , 密钥证书管理服务器根据产品化数据获取终端提交的版本数 据和版本签名请求， 与加密机进行交互， 生成签名后的版本数据。 实际应用中， 每次发布新的版本数据时 , 都需要对版本数据进行签名。 产品化数据获取终端可以选择运营商标识和地区标识， 向密钥证书管理服务 器提交版本数据和版本签名请求； 密钥证书管理服务器根据请求读取数据库 中版本签名私钥标识并通知加密机执行版本数据的签名操作， 操作完成后， 加密机将签名后的版本数据返回给密钥证书管理服务器， 由密钥证书管理服 务器再将签名后的版本数据返回给产品化数据获取终端。 需要指出的是， 在版本数据的签名操作中 , 产品化数据获取终端在提交 版本签名请求后， 可以登出操作页面； 通过操作页面查看版本数据的签名状 态， 如果状态显示签名完毕， 则从操作页面上点击下载， 即可以从密钥证书 管理服务器上获取签名后的版本数据。 步骤 204, 密钥证书管理服务器根据产品化数据获取终端提交的家庭网 关的个性数据， 提交的生成家庭网关密钥和证书的请求， 以及导出版本签名 私钥对应的公钥的请求， 与加密机进行交互， 生成家庭网关的密钥和证书， 导出版本签名私钥对应的公钥， 并返回给产品化数据获取终端。 本发明支持家庭网关密钥和证书的 4比量生成，产品化数据获取终端可以 将提交的个性数据以表格的形式进行排列存储， 提交的个性数据中包括家庭 网关的序列号等。 产品化数据获取终端选择营运商标识和地区标识， 并提交 含有个性数据的表格后， 可以登出操作页面； 密钥证书管理服务器从数据库 中读取才艮密钥标识、 才艮证书、 版本签名私钥对应的公钥标识、 产品密钥的类 型和格式等信息以及证书的名字项和扩展项信息。 并与加密机进行交互， 实 现生成家庭网关的密钥和证书操作， 导出版本签名私钥对应的公钥， 并将生 成的密钥和证书， 以及版本签名私钥对应的公钥数据填入表格的对应项中； 产品化数据获取终端通过操作页面查看生成密钥和证书的操作状态 , 如果状 态显示生成完毕， 则从操作页面上点击下载， 即可以从密钥证书管理^^务器 上获取含有家庭网关密钥和证书，以及版本签名私钥对应的公钥数据的表格。 产品化数据终端在获取含有家庭网关密钥和证书的表格以及签名后的 版本数据之后 , 将表格和签名后的版本数据提供给家庭网关的生产线， 进而 在生产线上将签名后的版本数据， 以及各个家庭网关的密钥和证书烧入各个 对应的家庭网关中。 需要说明的是， 在实际应用中， 如果不需要能版本进行验证， 则不需要 生成用于版本签名的密钥、 版本数据、 版本签名私钥和公钥， 因此， 根据本 发明实施例， 还提供了另一种用于家庭网关的密钥证书生成系统及方法。 根据本发明实施例的另一种用于家庭网关的密钥证书生成系统包括：管 理终端， 用于提交生成才艮密钥和才艮证书的请求， 以及才艮证书导出请求， 并获 取导出的根证书； 产品化数据获取终端， 用于提交家庭网关的个性数据， 以 及生成家庭网关密钥和证书的请求， 并获取家庭网关的密钥和证书； 密钥证 书管理 务器，用于接收来自管理终端和产品化数据获取终端的请求并响应 , 才艮据请求通知加密机执行生成密钥和证书操作； 力。密机， 用于生成密钥和签 名， 对生成的密钥进行保存， 并将生成的才艮密钥对应的标识返回给密钥证书 管理服务器， 将家庭网关的密钥直接返回给密钥证书管理服务器。 居本发明实施例的另一种用于家庭网关的密钥证书生成方法包括：步 骤 1 , 密钥证书管理服务器才艮据管理终端提交的生成才艮密钥和才艮证书的请求 , 与加密机进行交互， 生成根密钥和根证书， 并将根证书导出给管理终端； 步 骤 2, 密钥证书管理服务器根据产品化数据获取终端提交的家庭网关的个性 数据， 以及提交的生成家庭网关密钥和证书的请求， 与加密机进行交互， 生 成家庭网关的密钥和证书， 并^1生成的家庭网关的密钥和证书返回给产品化 数据获取终端。 综上所述， 由于各个家庭网关都被烧入各自对应的密钥和证书， 以及版 本签名私钥对应的公钥数据， 以及签名后的版本数据， 因此， 运营商的 务 器与家庭网关进行通信时， 可以才艮据家庭网关的密钥和证书， 利用现有的基 于密钥和证书的安全认证机制， 实现安全通信， 从而避免出现家庭网关被恶 意控制以及非法的家庭网关接入等各种安全隐患。 应当理解的是， 对本领域普通技术人员来说， 可以根据上述方案的说明 加以改进或变换， 例如利用其他的用户属性进行的分众细化方法， 而所有这 些改进和变换都本应属于本发明所附权利要求的保护范围。

Claims

权 利 要 求 书
1. 一种用于家庭网关的密钥证书生成系统， 其特征在于， 包括： 管理终端， 用于提交生成根密钥和根证书的请求， 提交生成版本 签名的密钥请求， 提交才艮证书导出请求， 并获取导出的根证书； 产品化数据获取终端， 用于提交版本数据和版本签名请求， 并获 取签名后的版本数据； 提交家庭网关的个性数据， 提交生成家庭网关 密钥和证书的请求， 以及导出签名私钥对应公钥数据的请求； 获取家 庭网关的密钥和证书， 以及版本签名私钥对应的公钥数据； 密钥证书管理服务器 , 用于接收来自所述管理终端和产品化数据 获取终端的请求并响应， 根据所述请求通知加密机执行生成密钥和签 名操作， 才艮据所述请求执行生成证书操作； 加密机， 用于生成密钥和签名， 对密钥进行保存， 并将所述才艮密 钥和版本签名密钥对应的标识 , 以及所述签名返回给所述密钥证书管 理服务器； 将所述家庭网关的密钥直接返回给所述密钥证书管理服务 器。
2. 根据权利要求 1所述用于家庭网关的密钥证书生成系统，其特征在于， 所述管理终端进一步包括： 第一请求提交模块， 用于向所述密钥证书管理服务器提交生成根 密钥和根证书的请求 , 提交生成版本签名的密钥请求 , 提交根证书导 出请求； 根证书导出模块 , 用于获取所述密钥证书管理服务器导出的根证 书。
3. 根据权利要求 1所述用于家庭网关的密钥证书生成系统，其特征在于， 所述产品化数据获取终端进一步包括： 第二请求提交模块， 用于向所述密钥证书管理服务器提交家庭网 关的个性数据， 提交生成家庭网关密钥和证书的请求， 以及导出版本 签名私钥对应的公钥数据的请求 , 提交版本数据和版本签名请求； 数据获取模块， 用于获取家庭网关的密钥和证书， 获取签名后的 版本数据 , 以及版本签名私钥对应的公钥。 根据权利要求 1所述用于家庭网关的密钥证书生成系统，其特征在于， 所述密钥证书管理 务器进一步包括： 请求接收模块 , 用于接收来自所述管理终端和产品化数据获取终 端的请求； 密钥证书生成模块， 用于根据所述请求与所述加密机进行交互， 得到生成的根密钥和版本密钥的标识、 家庭网关的公私钥数据， 根据 公钥标识得到才艮公钥和版本签名私钥对应的公钥数据 , 得到签名后的 数据； 才艮据所述请求生成证书； 响应模块， 用于对所述请求进行响应， 向所述管理终端提供生成 的根证书 , 向所述产品化数据获取终端提供生成的家庭网关的密钥和 证书 , 版本签名私钥对应的公钥以及签名后的版本数据； 管理模块， 用于对生成的密钥所对应的标识、 以及所述证书、 运 营商配置信息、 用户权限、 操作日志进行管理。 根据权利要求 1所述用于家庭网关的密钥证书生成系统，其特征在于， 所述加密机进一步包括： 加密模块，用于执行生成密钥和签名的操作，并对密钥进行保存； 交互模块， 用于与所述密钥证书管理服务器进行交互， 并将所述 才艮密钥和版本签名密钥对应的标识， 以及所述签名返回给所述密钥证 书管理服务器； 将所述家庭网关的密钥直接返回给所述密钥证书管理 服务器。
6. 一种用于家庭网关的密钥证书生成方法， 其特征在于， 该方法包括： 密钥证书管理 ^务器才艮据管理终端提交的生成才艮密钥和才艮证书 的请求， 与加密机进行交互， 生成根密钥和根证书， 并将根证书导出 给所述管理终端； 所述密钥证书管理服务器根据所述管理终端提交的生成版本签 名的密钥请求， 与加密机进行交互， 生成用于版本签名的密钥； 所述密钥证书管理服务器根据所述产品化数据获取终端提交的 版本数据和版本签名请求， 与加密机进行交互， 生成签名后的版本数 据； 所述密钥证书管理服务器根据所述产品化数据获取终端提交的 家庭网关的个性数据， 提交的生成家庭网关密钥和证书的请求， 和导 出版本签名私钥对应的公钥的请求， 与加密机进行交互 , 生成家庭网 关的密钥和证书， 导出版本签名的私钥对应的公钥数据， 并返回给所 述产品化数据获取终端。
7. 根据权利要求 6所述用于家庭网关的密钥证书生成方法，其特征在于， 所述生成根密钥和根证书的请求中携带运营商标识； 所述生成版本签 名密钥的请求， 版本签名请求， 以及生成家庭网关密钥和证书的请求 中携带运营商标识和地区标识。
8. 根据权利要求 6所述用于家庭网关的密钥证书生成方法，其特征在于， 该方法进一步包括： 所述加密机生成根密钥和用于版本签名的密钥时， 仅将所述密钥对应的标识返回给所述密钥证书管理服务器。
9. 根据权利要求 6、 或 7、 或 8所述用于家庭网关的密钥证书生成方法， 其特征在于， 该方法进一步包括： 所述密钥证书管理^^务器对生成的 密钥所对应的标只， 以及所述证书、 运营商配置信息、 用户权限、 操 作日志进行管理。
10. 一种用于家庭网关的密钥证书生成系统， 其特征在于， 包括： 管理终端， 用于提交生成根密钥和根证书的请求， 以及根证书导 出请求， 并获取导出的根证书； 产品化数据获取终端 , 用于提交家庭网关的个性数据 , 以及生成 家庭网关密钥和证书的请求， 并获取家庭网关的密钥和证书； 密钥证书管理 务器 , 用于接收来自所述管理终端和所述产品化 数据获取终端的请求并响应， 根据所述请求通知加密机执行生成密钥 和证书操作； 加密机， 用于生成密钥和签名， 对生成的密钥进行保存， 并将生 成的才艮密钥对应的标识返回给所述密钥证书管理服务器， 将所述家庭 网关的密钥直接返回给所述密钥证书管理服务器。
11. 一种用于家庭网关的密钥证书生成方法， 其特征在于， 所述方法包括： 密钥证书管理 ^务器才艮据管理终端提交的生成才艮密钥和才艮证书 的请求， 与加密机进行交互， 生成根密钥和根证书， 并将根证书导出 给所述管理终端； 所述密钥证书管理服务器根据所述产品化数据获取终端提交的 家庭网关的个性数据， 以及提交的生成家庭网关密钥和证书的请求， 与加密机进行交互， 生成家庭网关的密钥和证书， 并将生成的家庭网 关的密钥和证书返回给所述产品化数据获取终端。
PCT/CN2009/073959 2008-12-26 2009-09-16 用于家庭网关的密钥证书生成方法和系统 WO2010072086A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP09834039.1A EP2372946B1 (en) 2008-12-26 2009-09-16 Key certificate generation method and system used for home gateway

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008102468716A CN101771541B (zh) 2008-12-26 2008-12-26 一种用于家庭网关的密钥证书生成方法和系统
CN200810246871.6 2008-12-26

Publications (1)

Publication Number Publication Date
WO2010072086A1 true WO2010072086A1 (zh) 2010-07-01

Family

ID=42286872

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/073959 WO2010072086A1 (zh) 2008-12-26 2009-09-16 用于家庭网关的密钥证书生成方法和系统

Country Status (3)

Country Link
EP (1) EP2372946B1 (zh)
CN (1) CN101771541B (zh)
WO (1) WO2010072086A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113472783A (zh) * 2021-06-30 2021-10-01 杭州云象网络技术有限公司 区块链密码证书服务方法、系统、存储介质及装置
CN114301597A (zh) * 2021-12-13 2022-04-08 零信技术(深圳)有限公司 密钥验证方法、设备及可读存储介质
CN114499851A (zh) * 2022-01-30 2022-05-13 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106375265A (zh) * 2015-07-22 2017-02-01 中兴通讯股份有限公司 家庭网关及其通信管理方法、通信系统
CN106230784B (zh) * 2016-07-20 2020-09-18 新华三技术有限公司 一种设备验证方法及装置
CN106302475B (zh) * 2016-08-18 2019-09-10 中国联合网络通信集团有限公司 家庭互联网业务授权方法及服务器
CN107070667B (zh) * 2017-06-07 2020-08-04 国民认证科技（北京）有限公司 身份认证方法
CN109962781B (zh) * 2017-12-26 2022-05-10 浙江宇视科技有限公司 一种数字证书分发装置
CN110879879B (zh) * 2018-09-05 2023-08-22 航天信息股份有限公司 物联网身份认证方法、装置、电子设备、系统及存储介质
CN110635900B (zh) * 2019-09-10 2022-05-20 北京中电华大电子设计有限责任公司 一种适用于物联网系统的密钥管理方法及系统
CN111556064B (zh) * 2020-05-06 2022-03-11 广东纬德信息科技股份有限公司 基于电力网关的密钥管理方法、装置、介质及终端设备
CN113890778B (zh) * 2021-11-04 2023-08-25 深圳海智创科技有限公司 一种基于局域网的智能家居认证及加密方法及系统
CN114428947B (zh) * 2021-12-16 2024-08-09 北京握奇数据股份有限公司 一种USBKey设备生产过程批量灌装其设备证书的方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006013757A (ja) * 2004-06-24 2006-01-12 Matsushita Electric Ind Co Ltd ホームネットワーク遠隔管理システム
CN1788460A (zh) * 2004-06-07 2006-06-14 日本电信电话株式会社 住宅网络设置方法、家庭网关装置、家庭网关程序和记录介质
WO2007142566A1 (en) * 2006-06-09 2007-12-13 Telefonaktiebolaget Lm Ericsson (Publ) Access to services in a telecommunications network
WO2008002081A1 (en) * 2006-06-29 2008-01-03 Electronics And Telecommunications Research Institute Method and apparatus for authenticating device in multi domain home network environment

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1788460A (zh) * 2004-06-07 2006-06-14 日本电信电话株式会社 住宅网络设置方法、家庭网关装置、家庭网关程序和记录介质
JP2006013757A (ja) * 2004-06-24 2006-01-12 Matsushita Electric Ind Co Ltd ホームネットワーク遠隔管理システム
WO2007142566A1 (en) * 2006-06-09 2007-12-13 Telefonaktiebolaget Lm Ericsson (Publ) Access to services in a telecommunications network
WO2008002081A1 (en) * 2006-06-29 2008-01-03 Electronics And Telecommunications Research Institute Method and apparatus for authenticating device in multi domain home network environment

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Proceedings of the 4th WSEAS Int. Conf. on Information Security, Communications and Computers. December 16-18, 2005", article BAEHYO PARK ET AL.: "Research on Issuing a certificate and Generating a private key of a Home-gateway.", pages: 169 - 172, XP002694068 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113472783A (zh) * 2021-06-30 2021-10-01 杭州云象网络技术有限公司 区块链密码证书服务方法、系统、存储介质及装置
CN114301597A (zh) * 2021-12-13 2022-04-08 零信技术(深圳)有限公司 密钥验证方法、设备及可读存储介质
CN114301597B (zh) * 2021-12-13 2024-02-09 零信技术(深圳)有限公司 密钥验证方法、设备及可读存储介质
CN114499851A (zh) * 2022-01-30 2022-05-13 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法
CN114499851B (zh) * 2022-01-30 2023-05-26 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法

Also Published As

Publication number Publication date
EP2372946A4 (en) 2013-05-15
CN101771541B (zh) 2012-11-28
EP2372946B1 (en) 2019-01-16
EP2372946A1 (en) 2011-10-05
CN101771541A (zh) 2010-07-07

Similar Documents

Publication Publication Date Title
WO2010072086A1 (zh) 用于家庭网关的密钥证书生成方法和系统
WO2020143470A1 (zh) 发放数字证书的方法、数字证书颁发中心和介质
JP5021215B2 (ja) Ｗｅｂサービス用の信頼できる第三者認証
TW201909614A (zh) 入網認證方法、裝置及系統
EP1817687B1 (en) Apparatus and method for supporting content exchange between different drm domains
EP3017582B1 (en) Method to enroll a certificate to a device using scep and respective management application
WO2019094611A1 (en) Identity-linked authentication through a user certificate system
US20100257370A1 (en) Apparatus And Method for Supporting Content Exchange Between Different DRM Domains
EP1749389A1 (en) Method and system for authentication in a computer network
KR20090068183A (ko) 자기통제 강화형 디지털 아이덴터티 공유 장치 및 그 방법
CN110336718A (zh) 一种物联网设备安全快速接入管理平台的方法
MX2012011584A (es) Localizacion de recursos de red para una entidad con base en su certificado digital.
CN112187470A (zh) 物联网证书分发方法及装置、系统、存储介质、电子装置
WO2008095382A1 (fr) Procédé, système et appareil pour établir une connexion de sécurité de couche de transport
CN105791294B (zh) 一种实现用户数据完整性和机密性的方法
CN114760070A (zh) 数字证书颁发方法、数字证书颁发中心和可读存储介质
JP2012181662A (ja) アカウント情報連携システム
JP6240102B2 (ja) 認証システム、認証鍵管理装置、認証鍵管理方法および認証鍵管理プログラム
JP5391756B2 (ja) 画像形成装置、情報管理方法、及びプログラム
EP1854260B1 (en) Access rights control in a device management system
CN114531242A (zh) 证书升级方法、装置、设备及存储介质
JP6319006B2 (ja) 認証サービス方法、認証サービスサーバ、及び認証サービスシステム
CN114258006B (zh) 获取凭据的方法、装置及系统
JP7516798B2 (ja) ドキュメント管理システム、処理端末装置及び制御装置
JP2012138729A (ja) データ処理装置、プログラム、およびデータ処理システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09834039

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009834039

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE