[發明專利]一種密鑰擴散及校驗方法和系統

有效

• 申請號: 201210591472.X
• 申請日: 2012-12-30
• 公開（公告）號: CN103916358B
• 公開（公告）日: 2017-06-30
• 發明（設計）人: 周珅珅;金端峰;郭向國;馬海;王申
• 申請（專利權）人: 航天信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 北京工信聯合知識產權代理有限公司11266
• 代理人: 姜麗輝

1.一種密鑰擴散及校驗方法，其特征在于，包括：

可信服務端接收簽名提供方發送的密鑰申請；

所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發送給所述簽名提供方；

所述簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰；

所述簽名提供方對需校驗的數據Hash或者MAC后經過簽名子密鑰運算獲得簽名種子，將所述簽名種子變換成一組由阿拉伯數字組成的簽名碼，將所述簽名碼、需校驗的數據原文發送給認證方，

所述認證方將校驗要素發送給所述可信服務端，所述校驗要素包含簽名碼、需校驗的數據原文以及簽名提供方身份信息，請求可信服務端對所述簽名碼進行校驗；

所述可信服務端根據所述校驗要素計算出簽名子密鑰驗證簽名碼，并向所述認證方返回驗證結果。

2.根據權利要求1所述的方法，其特征在于，在所述簽名提供方向可信服務端提出密鑰申請之前，還包括：

可信服務端使用密碼設備內部生成對稱主密鑰，使用安全密碼設備存儲所述主密鑰。

3.根據權利要求2所述的方法，其特征在于，所述主密鑰定期更新，有固定的密鑰時間周期，且過期主密鑰不提供認證功能。

4.根據權利要求1所述的方法，其特征在于，所述可信服務端認證簽名提供方申請，包括：

所述簽名提供方使用所述可信服務端的數字證書將身份信息或唯一可識別信息、可信CA簽發的自有數字證書打包為密鑰申請信封；

將所述密鑰申請信封發送給所述可信服務端。

5.根據權利要求4所述的方法，其特征在于，所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發送給所述簽名提供方，包括：

所述可信服務端使用自有私鑰打開所述密鑰申請信封；

所述可信服務端驗證所述密鑰申請信封中的數字證書以及擴展信息是否與簽名提供方的身份信息相匹配，驗證所述密鑰申請信封的簽名是否與申請信封中數字證書公鑰驗簽結果匹配；

在所述驗證通過后，所述可信服務端根據所述密鑰申請信封中提供的所述簽名提供方的身份信息，與設定的簽名子密鑰時間周期，以及簽名子密鑰時間周期內掛失、注銷情況生成簽名子密鑰種子，將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰；

所述可信服務端通過簽名提供方的證書公鑰加密導出所述簽名子密鑰，利用所述簽名提供方的數字證書將所述簽名子密鑰與子密鑰周期一起生成密鑰信封，將所述密鑰信封發回簽名提供方。

6.根據權利要求5所述的方法，其特征在于，所述簽名子密鑰具有時間周期并定期更新，且所述簽名子密鑰的時間周期小于所述主密鑰的周期。

7.根據權利要求1所述的方法，其特征在于，所述的簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰，包括：所述簽名提供方驗證所述密鑰信封中的數字證書是否與已獲得的可信服務端證書相匹配，驗證所述密鑰信封中的簽名是否與可信服務端證書公鑰驗簽結果匹配；

在所述驗證通過后，所述簽名提供方使用自身私鑰將簽名密鑰導入安全密碼設備。

8.根據權利要求1所述的方法，其特征在于，所述可信服務端根據所述校驗要素計算出簽名子密鑰驗證簽名碼，并向認證方返回驗證結果，包括：

所述可信服務端獲得認證方提供的所述校驗要素；

所述可信服務端通過所述簽名提供方的身份信息，需校驗的數據原文中的時間信息，簽名子密鑰時間周期內掛失及注銷情況生成簽名子密鑰種子；

所述可信服務端將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰；

所述可信服務端對所述需校驗的數據原文Hash或者MAC后經過所述簽名子密鑰運算獲得簽名種子；

所述可信服務端將所述簽名種子變換成一組由阿拉伯數字組成的數串得到簽名碼，將該變換得到的簽名碼與所述校驗要素中的簽名碼進行比較，當比較結果為一致時，則向所述認證方返回驗證簽名碼通過消息；否則，向所述認證方返回驗證簽名碼失敗消息。