[發(fā)明專利]對用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201210591471.5
• 申請日: 2012-12-30
• 公開（公告）號: CN103916237B
• 公開（公告）日: 2017-02-15
• 發(fā)明（設(shè)計）人: 林文輝;耿方;郭向國;杜悅琨
• 申請（專利權(quán)）人: 航天信息股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 北京工信聯(lián)合知識產(chǎn)權(quán)代理事務(wù)所(普通合伙)11266
• 代理人: 黃曉軍

技術(shù)領(lǐng)域

本發(fā)明涉及密鑰管理技術(shù)領(lǐng)域，尤其涉及一種對用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)。

背景技術(shù)

基于PKI（Public?Key?Infrastructure，公鑰基礎(chǔ)設(shè)施）技術(shù)的數(shù)字證書在電子商務(wù)、電子政務(wù)、網(wǎng)上銀行等應(yīng)用中使用越來越廣泛，用戶急劇增長。PKI是通過使用公開密鑰技術(shù)和數(shù)字證書來確保系統(tǒng)信息安全，并負(fù)責(zé)驗證數(shù)字證書持有者身份的一種體系。一個完整地PKI系統(tǒng)是由認(rèn)證機(jī)構(gòu)、密鑰管理中心、注冊機(jī)構(gòu)、目錄服務(wù)、以及安全認(rèn)證應(yīng)用軟件、證書應(yīng)用服務(wù)等部分組成。

CA（certificate?authority，認(rèn)證中心）作為電子商務(wù)交易中受信任的第三方，專門解決公鑰體系中公鑰的合法性問題。CA為每個使用公開密鑰的用戶發(fā)放一個數(shù)字證書，數(shù)字證書的作用是證實(shí)證書中列出的用戶名稱和證書中列出的公開密鑰相對應(yīng)。CA的數(shù)字簽名使得攻擊者不能偽造和篡改數(shù)字證書。

KM（Key?Management，密鑰管理）系統(tǒng)負(fù)責(zé)為CA系統(tǒng)提供密鑰的生成、保存、備份、更新、恢復(fù)、查詢等密鑰服務(wù)，KM系統(tǒng)除了可以提供加密密鑰的通用密鑰管理服務(wù)，還可以為司法人員提供司法取證的服務(wù)，可以解決分布式企業(yè)應(yīng)用環(huán)境中大規(guī)模密碼技術(shù)應(yīng)用所帶來的密鑰管理問題。它應(yīng)該支持SM2算法和RSA算法，密鑰對的存儲也都基于國家規(guī)范，與CA系統(tǒng)的接口規(guī)范完全符合國家規(guī)范的要求，滿足作為一個高規(guī)格的密鑰管理中心應(yīng)有的安全、功能、性能需求。

密鑰的管理是PKI體系中最為關(guān)鍵的安全問題，CA系統(tǒng)簽發(fā)用戶雙證書后，對于簽名證書，私鑰由用戶自身保存，并對外發(fā)布公鑰證書。如果用戶的私鑰泄漏，則攻擊者可以利用該私鑰偽造用戶簽名信息，也可以解密該用戶的加密信息，因此保證用戶私鑰的安全性是密鑰管理中核心的內(nèi)容。而對于加密證書而言，公私鑰均由KM產(chǎn)生和管理，私鑰的分發(fā)也是密鑰管理的核心問題，用戶如果將USBKEY毀壞，需要提交密鑰恢復(fù)申請，重新獲得加密證書，才能對前加密證書加密過的密文進(jìn)行解密，滿足日常需要。

PKI系統(tǒng)安全問題的關(guān)鍵是密鑰管理。簽名證書中的公鑰通過公鑰證書公開發(fā)布，由證書權(quán)威機(jī)構(gòu)CA的簽名來保證它的完整性。私鑰由用戶秘密保存，一旦泄漏，攻擊者就有可能解密發(fā)給私鑰用戶的加密信息，或者偽造密鑰用戶的簽名。因此，密鑰管理的關(guān)鍵問題就是確保私鑰的安全性。當(dāng)前主要采用硬件設(shè)備的物理特性來保護(hù)私鑰的絕對安全性。用戶的私鑰由硬件設(shè)備生成而且只保存在存儲介質(zhì)中無法導(dǎo)出。要訪問該用戶私鑰只能通過用戶自身設(shè)定的密碼來訪問，這就確保了除用戶本人外，其他任何人均無法使用該私鑰信息。

而在使用加密證書的時候，用戶出現(xiàn)丟失或者損壞自身設(shè)備的情況時，用戶可以及時掛失等方式停止對該密鑰對的使用。但是用戶已有的加密文件將無法解密讀取，因此在PKI管理體系中提供了加密密鑰對的恢復(fù)管理，同時這也可以為司法取證提供支持。

現(xiàn)有的密鑰恢復(fù)機(jī)制中，由密鑰管理中心來實(shí)現(xiàn)加密密鑰的產(chǎn)生和恢復(fù)。除了司法取證時在KM端恢復(fù)的情況外，其他情況均為用戶在RA（Register?Authority，證書注冊中心）端提出申請的方式。當(dāng)用戶需要恢復(fù)密鑰時，首先由用戶通過RA受理點(diǎn)提出申請，經(jīng)過管理員審核通過后，RA才向CA發(fā)送申請，CA調(diào)用密鑰管理中心的密鑰恢復(fù)接口發(fā)送請求，密鑰管理中心通過數(shù)字信封將該用戶的加密密鑰返回給CA，CA通過該密鑰對簽發(fā)用戶證書返回給RA，最后下載到用戶證書的存儲介質(zhì)中。在整個過程中，只有RA管理員進(jìn)行申請，其余環(huán)節(jié)均為系統(tǒng)自動完成，CA和密鑰管理中心均沒有進(jìn)行恢復(fù)控制和限制，缺乏完善的管理，不利于KM系統(tǒng)為多個CA服務(wù)，無法對用戶的密鑰恢復(fù)事件進(jìn)行記錄和管理。

發(fā)明內(nèi)容

本發(fā)明的實(shí)施例提供了一種對用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)，以實(shí)現(xiàn)對用戶加密密鑰恢復(fù)進(jìn)行有效管理、識別。

一種對用戶加密密鑰恢復(fù)進(jìn)行管理的方法，包括：

認(rèn)證中心接收到證書注冊中心發(fā)送的用戶證書密鑰恢復(fù)請求，所述認(rèn)證中心在用戶證書的擴(kuò)展選項中加入恢復(fù)申請事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項的密鑰恢復(fù)服務(wù)請求；

所述密鑰管理中心對所述密鑰恢復(fù)請求信息進(jìn)行解析，獲取用戶信息和恢復(fù)申請事由，根據(jù)所述用戶信息恢復(fù)出用戶的加密密鑰對，將所述恢復(fù)申請事由和加密密鑰對進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對返回給所述認(rèn)證中心。

一種對用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，包括：