[發明專利]基于托管密鑰授權簽名方法、裝置、系統及存儲介質

在審

• 申請號: 202110084764.3
• 申請日: 2021-01-21
• 公開（公告）號: CN112765626A
• 公開（公告）日: 2021-05-07
• 發明（設計）人: 郭井龍;李向鋒;張永強;劉偉;馬銀濤
• 申請（專利權）人: 北京數字認證股份有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/62;G06F21/64
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 余菲

1.一種基于托管密鑰授權簽名方法，其特征在于，所述方法應用于托管密鑰簽名系統中，其中，所述托管密鑰簽名系統包括硬件密碼模塊，所述方法包括:

獲取用戶終端發送的密鑰申請信息，其中，所述密鑰申請信息包括密鑰算法信息、用戶聯系信息、第一PIN碼；

計算所述第一PIN碼的摘要值并保存所述第一PIN碼的摘要值；

調用所述硬件密碼模塊生成公私鑰對并為所述公私鑰對分配密鑰標識，其中，所述公私鑰對包括私鑰密文、公鑰明文，所述私鑰密文由所述硬件密碼模塊中的保護密鑰加密；

根據所述第一PIN碼、所述密鑰標識構建第一加密密鑰；

根據所述第一加密密鑰、密鑰算法信息對所述私鑰密文進行加密，并得到托管密鑰；

將所述托管密鑰、所述密鑰標識、所述公鑰明文、所述用戶聯系信息、所述第一PIN碼的摘要值存儲在托管密鑰庫中。

2.如權利要求1所述的方法，其特征在于，所述根據所述第一PIN碼、所述密鑰標識構建第一加密密鑰，包括：

將所述第一PIN碼、所述密鑰標識進行拼接得到拼接數據；

計算得到所述拼接數據的摘要；

從所述拼接數據的摘要中截取預設長度的數據作為所述第一加密密鑰。

3.如權利要求1所述的方法，其特征在于，在所述將所述托管密鑰、所述密鑰標識、所述公鑰明文、所述用戶聯系信息、所述第一PIN碼的摘要值存儲在托管密鑰庫中之后，所述方法還包括：

接收用戶終端發送的簽名授權申請并向所述用戶終端返回簽名授權數據；

接收所述用戶終端發送的數據簽名申請，所述數據簽名申請包括：待申請密鑰標識、待簽名數據摘要、所述簽名授權數據；

對所述簽名授權數據、所述待簽名數據摘要進行驗證；

當所述簽名授權數據、所述待簽名數據摘要驗證通過，獲取預先緩存的第三PIN碼；

根據所述硬件密碼模塊的所述第一加密密鑰對所述第三PIN碼進行解密，以得到PIN碼明文；

根據所述PIN碼明文、所述待申請密鑰標識構建第二加密密鑰；

根據所述第二加密密鑰對預先存儲的所述托管密鑰進行解密，以得到私鑰密文；

根據所述私鑰密文對所述待簽名數據摘要進行簽名，并向所述用戶終端返回簽名結果。

4.如權利要求1所述的方法，其特征在于，所述對所述簽名授權數據、待簽名數據摘要進行驗證，包括：

判斷所述簽名授權數據是否超期，若未超期則確定所述簽名授權數據驗證通過；

判斷所述待簽名數據摘要是否被篡改，若否則確定所述待簽名數據摘要驗證通過。

5.如權利要求3所述的方法，其特征在于，所述接收用戶終端發送的簽名授權申請并向所述用戶終端返回所述簽名授權數據，包括：

接收用戶終端發送的所述簽名授權申請，其中，所述簽名授權申請包括所述待申請密鑰標識、OTP碼、所述待簽名數據摘要及第二PIN碼；

對所述第二PIN碼、所述OTP碼進行驗證；

當所述第二PIN碼、所述OTP碼驗證通過時，根據所述硬件密碼模塊的所述保護密鑰對所述第二PIN碼進行加密，并得到第三PIN碼；

根據所述待申請密鑰標識、所述待簽名數據摘要、第一系統當前時間、所述硬件密碼模塊的所述保護密鑰構建簽名授權數據；

向所述用戶終端返回所述簽名授權數據。

6.如權利要求5所述的方法，其特征在于，所述對所述第二PIN碼、所述OTP碼進行驗證，包括：

計算得到所述第二PIN碼的摘要值；

將所述第二PIN碼的摘要值與存儲于所述托管密鑰庫中的所述第一PIN碼的摘要值進行比較，若相同則確定所述第二PIN碼驗證通過；

判斷所述OTP碼的有效期是否超期，若否則確定所述OTP碼驗證通過。