[發明專利]一種身份認證方法及用于保證加密裝置安全的保護方法

有效

• 申請號: 202011125907.2
• 申請日: 2020-10-20
• 公開（公告）號: CN112257119B
• 公開（公告）日: 2022-10-28
• 發明（設計）人: 李耀龍;朱劍;王建承;劉琦
• 申請（專利權）人: 河北素數信息安全有限公司
• 主分類號: G06F21/72
• 分類號: G06F21/72;G06F21/34
• 代理公司: 石家莊中和昇知識產權代理事務所(特殊普通合伙) 13145
• 代理人: 付會平

1.一種身份認證方法，其特征在于，包括以下步驟：

S1、本地管理控制模塊輸入PIN碼；本地管理服務模塊接收并驗證PIN碼；再由智能密碼鑰匙驗證PIN碼；

S2、本地管理服務模塊讀取R2密文數據并傳輸至智能密碼鑰匙，智能密碼鑰匙返回R2密文數據至本地管理服務模塊，本地管理服務模塊產生挑戰數據并傳輸至安全芯片；

S3、安全芯片返回挑戰數據至本地管理服務模塊，本地管理服務模塊對挑戰數據進行雜湊運算；

S4、智能密碼鑰匙返回雜湊運算結果至本地管理服務模塊，本地管理服務模塊對雜湊運算進行簽名運算；

S5、智能密碼鑰匙對數據進行簽名運算，返回挑戰簽名結果至本地管理服務模塊；

S6、本地管理服務模塊將挑戰簽名結果傳輸至安全芯片，安全芯片使用UK公鑰、掩碼進行異或運算，獲取R2明文；將R1+R2合成DPK；

S7、安全芯片對合成的DPK進行雜湊運算，并與預留的DPK雜湊結果進行對比，核對數據；

S8、安全芯片使用UK對應的公鑰進行驗證運算；解密靜態密鑰，并刪除DPK明文；

S9、安全芯片進行工作狀態，返回身份認證結果至本地管理服務模塊，本地管理服務模塊返回身份認證結果至本地管理控制模塊，由本地管理控制模塊提示通過身份認證。

2.一種用于保證加密裝置安全的保護方法，其特征在于，包括以下步驟：

S10、構建3層密鑰體系，設定各層密鑰體系之間的保護關系；所述密鑰體系包括：設備保護密鑰，用于加密加密裝置內部的其它靜態密鑰；DPK產生后，將明文DPK進行雜湊運算，將雜湊運算結果存儲于安全芯片內部的Flash；由設備保護密鑰進行保護的設備管理密鑰和設備應用密鑰；以及由設備管理密鑰及設備應用密鑰的公鑰加密導出的數據加密密鑰和數據完整性密鑰；

各密鑰之間的保護關系如下所示：

1）DPK_P=R1_P⊕R2_P，R1_P和R2_P為16字節隨機數；

2）H_DPK=H(DPK_P)，H_DPK是對DPK_P進行摘要運算的結果，在安全芯片Flash中明文存儲，H為摘要運算；

3）DMK_C=E(DPK_P,DMK_P)，其中E代表對稱加密算法；DMK_P為明文設備管理密鑰對，DMK_C為密文設備管理密鑰對；

4）DAK_C=E(DPK_P,DAK_P)，其中E代表對稱加密算法，DAK_P為設備應用密鑰對明文，DAK_C為設備應用密鑰對密文；

5）R2_C= Rx⊕R2_P⊕UAK_pub，⊕為二進制數據異或運算，UAK_pub為智能密碼鑰匙對應鑒別密鑰的公鑰數據，Rx為安全芯片隨機產生的掩碼，Rx在安全芯片內部Flash中明文存儲，R2_C存儲于不同智能密碼鑰匙的安全存儲區中，智能密碼鑰匙由PIN碼進行訪問控制；

S20、設定加密裝置的安全狀態轉換方法；安全狀態包括出廠態、就緒態、管理態、工作態；

S30、依據步驟S10構建的密鑰體系，對加密裝置進行初裝；

S40、對智能密碼鑰匙進行如權利要求1所述的身份認證。

3.根據權利要求2所述的一種用于保證加密裝置安全的保護方法，其特征在于，所述設備保護密鑰由R1和R2分量異或得到，其中R1在安全芯片內部Flash明文存儲，R2分量在用戶所屬的UK中加密存儲，每個UK中存儲的R2密文數值不同，UK使用PIN碼進行訪問控制。