[發明專利]一種基于無證書公鑰的句柄訪問保護方法和系統

有效

• 申請號: 202010581216.7
• 申請日: 2020-06-23
• 公開（公告）號: CN111917551B
• 公開（公告）日: 2021-10-01
• 發明（設計）人: 程朝輝;盛莉;譚澤順
• 申請（專利權）人: 深圳奧聯信息安全技術有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08
• 代理公司: 深圳市智勝聯合知識產權代理有限公司 44368
• 代理人: 齊文劍

1.一種基于無證書公鑰的句柄訪問保護方法，其特征在于，所述方法涉及全局句柄注冊機構、本地句柄服務機構和句柄客戶端；

所述方法包括：

所述全局句柄注冊機構接收所述句柄客戶端發送的句柄查詢請求信息，所述句柄查詢請求信息包括句柄標識前綴；

所述全局句柄注冊機構依據所述句柄標識前綴查找到句柄對應的本地句柄服務機構的服務信息，并利用所述服務信息根據預設句柄服務協議生成響應數據，采用預設全局句柄注冊機構的無證書私鑰對所述響應數據簽名，并返回至所述句柄客戶端，所述服務信息包括本地句柄服務機構的無證書公鑰信息；

所述本地句柄服務機構接收所述句柄客戶端對所述簽名后的響應數據進行驗簽后，發出句柄查詢請求信息，具體地，所述句柄客戶端使用預設全局句柄注冊機構的無證書公鑰信息與預設全局句柄注冊機構標識驗證所述全局句柄注冊機構對響應數據的簽名，驗證成功后，根據所述響應數據中的本地句柄服務機構的服務信息獲得本地句柄服務機構的地址信息、本地句柄服務機構的無證書公鑰信息和本地句柄服務機構標識；

所述本地句柄服務機構利用所述句柄查詢請求信息根據句柄服務協議生成查詢響應，并使用預設本地句柄服務機構的無證書私鑰對所述查詢響應的響應數據簽名，并返回至所述句柄客戶端；所述句柄客戶端利用所述本地句柄服務機構的無證書公鑰信息和本地句柄服務機構標識驗證所述本地句柄服務機構對所述響應數據的簽名，驗證成功則接受所述響應數據，否則拒絕所述響應數據；

其中，所述全局句柄注冊機構生成第一私鑰和第一公鑰；

所述全局句柄注冊機構利用所述第一公鑰和預設全局句柄注冊機構標識在預置密鑰生成中心生成第二私鑰和第二公鑰，利用所述第二私鑰和第一私鑰生成全局句柄注冊機構的無證書私鑰，利用所述第二公鑰和第一公鑰生成公鑰還原數據，并利用所述預設全局句柄注冊機構標識、所述公鑰還原數據和預設系統參數生成全局句柄注冊機構的無證書公鑰；

其中，所述本地句柄服務機構生成第三私鑰和第三公鑰；

所述本地句柄服務機構利用所述第三公鑰和預設本地句柄服務機構標識在預置密鑰生成中心生成第四私鑰和第四公鑰，利用所述第四私鑰和第三私鑰生成本地句柄服務機構的無證書私鑰，利用所述第四公鑰和第三公鑰生成公鑰還原數據，并利用所述預設本地句柄服務機構標識、所述公鑰還原數據和預設系統參數生成本地句柄服務機構的無證書公鑰；

所述預置密鑰生成中心為無證書的公鑰密碼系統中的第三方密鑰生成中心。

2.根據權利要求1所述的方法，其特征在于，所述句柄客戶端利用所述本地句柄服務機構的無證書公鑰信息和本地句柄服務機構標識驗證所述本地句柄服務機構對所述響應數據的簽名的步驟之前，包括：

根據所述服務信息查詢到所述本地句柄服務機構的站點信息，并將所述站點信息的記錄中的標識值作為所述本地句柄服務機構標識；

若所述站點信息的記錄中沒有所述本地句柄服務機構標識，則將所述本地句柄服務機構的句柄前綴作為所述本地句柄服務機構標識。

3.根據權利要求1所述的方法，其特征在于，所述全局句柄注冊機構接收所述句柄客戶端發送的句柄查詢請求信息的步驟，包括：

所述句柄客戶端向所述全局句柄注冊機構發出的句柄查詢請求信息攜帶本地句柄服務機構擁有的HS_SITE信息的版本號，所述全局句柄注冊機構在返回響應時應使用句柄客戶端發送HS_SITE信息的版本對應的無證書私鑰對所述響應數據進行簽名。

4.根據權利要求1所述的方法，其特征在于，所述句柄客戶端使用預設全局句柄注冊機構的無證書公鑰信息與預設全局句柄注冊機構標識驗證所述全局句柄注冊機構對響應數據的簽名的步驟之前，包括：

所述句柄客戶端從公開可信任的網絡地址獲取所述全局句柄注冊機構標識。

5.根據權利要求1所述的方法，其特征在于，所述句柄客戶端使用預設全局句柄注冊機構的無證書公鑰信息與預設全局句柄注冊機構標識驗證所述全局句柄注冊機構對響應數據的簽名的步驟之前，包括：

通過所述句柄客戶端的軟件的配置數據發布全局句柄注冊機構標識；

或，所述全局句柄注冊機構以初始版本發布全局注冊機構無證書公鑰信息和全局句柄注冊機構標識。