[發明專利]一種基于操作系統軟件包的簽名認證方法和系統

在審

• 申請號: 202110622053.7
• 申請日: 2021-06-03
• 公開（公告）號: CN113204798A
• 公開（公告）日: 2021-08-03
• 發明（設計）人: 宗澎;王超;黃勇;江淋;馬驥
• 申請（專利權）人: 鄭州信大捷安信息技術股份有限公司
• 主分類號: G06F21/64
• 分類號: G06F21/64;G06F21/60;G06F21/45
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 張立強

本發明公開一種基于操作系統軟件包的簽名認證方法和系統，所述方法包括：由開發者通過開發平臺生成RPM軟件包；待RPM軟件包生成后，由開發者生成對應的公私鑰對，并基于公鑰向CA中心請求簽發數字證書；待簽發數字證書完成后，采用私鑰對RPM軟件包進行簽名，并將已簽名的RPM軟件包發布出去；使用者從發布平臺獲取已簽名的RPM軟件包，并將與該RPM軟件包簽名相關的所有數字證書導入本地操作系統中；本地操作系統遍歷所有數字證書以實現該RPM軟件包的驗簽工作；待數字證書T₁能夠成功驗簽RPM軟件包時，借助根證書T₀驗證該數字證書T₁是否有效，如果驗證有效，即可基于RPM軟件包實施安裝作業。本發明可以確保RPM軟件包來源的可靠性。

技術領域

本發明涉及計算機操作系統技術領域，尤其涉及一種基于操作系統軟件包的簽名認證方法和系統。

背景技術

操作系統多使用RPM管理軟件包。RPM(Red-Hat Package Manager)是一款開源的軟件包管理工具，包括RedHat、OpenLinux、S.u.S.E.以及Turbo Linux等Linux的分發版本都有采用，可以算是公認的行業標準了。

RPM軟件包管理框架支持數字證書驗證功能，開源的RPM軟件包管理方式相對寬松，任何單位或個人都能通過GPG工具生成自己的秘鑰對，并對RPM軟件包進行簽名驗簽，存在RPM軟件包被肆意簽名的風險；其次，GPG是國際規范，采用加密算法都是國際算法，在自主可控性和安全性上存在隱患；最后，GPG規范中使用的加密秘鑰存儲在文件系統中，存在重大安全隱患。對于一款主打安全的操作系統而言，使用上述RPM軟件包管理框架管理軟件包無疑存在巨大風險，首先，軟件包來源不可靠；其次，系統安全體系可能被破壞。

發明內容

本發明針對現有RPM軟件包管理框架存在較大安全隱患的問題，提出一種基于操作系統軟件包的簽名認證方法和系統。

為了實現上述目的，本發明采用以下技術方案：

本發明一方面提出一種基于操作系統軟件包的簽名認證方法，包括：

步驟1，由開發者通過開發平臺生成RPM軟件包；

步驟2，待RPM軟件包生成后，由開發者生成對應的公私鑰對，并基于公鑰向CA中心請求簽發數字證書；

步驟3，待簽發數字證書完成后，采用私鑰對RPM軟件包進行簽名，并將已簽名的RPM軟件包發布出去；

步驟4，使用者從發布平臺獲取已簽名的RPM軟件包，并將與該RPM軟件包簽名相關的所有數字證書導入本地操作系統中；

步驟5，本地操作系統遍歷所有數字證書以實現該RPM軟件包的驗簽工作；

步驟6，待數字證書T₁能夠成功驗簽RPM軟件包時，借助根證書T₀驗證該數字證書T₁是否有效，如果驗證有效，即可基于RPM軟件包實施安裝作業。

進一步地，所述步驟2還包括：

由開發者生成對應的公私鑰對，將私鑰導入到簽名硬件密碼鑰匙中，且導入后的私鑰不能從簽名硬件密碼鑰匙讀取出。

進一步地，所述簽名硬件密碼鑰匙內部集成多種國密的加解密算法，將開發者生成的私鑰使用SM1算法加密后存儲在簽名硬件密碼鑰匙中。

進一步地，所述步驟3包括：

步驟3-1，使用SM3算法對RPM軟件包計算哈希值，并將哈希值寫入文件頭相應的字段中；

步驟3-2，使用SM2算法對上述步驟3-1計算得到的哈希值進行私鑰簽名，將簽名值寫入文件頭相應的字段中。

進一步地，所述步驟5包括：