[發明專利]一種基于數字證書的軟件多層簽名方法及系統

有效

• 申請號: 202210159085.2
• 申請日: 2022-02-22
• 公開（公告）號: CN114239080B
• 公開（公告）日: 2022-07-08
• 發明（設計）人: 蔣杏松;王玉成;康昱;孟圓;姬一文;楊詔鈞;魏立峰;孔金珠;諶志華
• 申請（專利權）人: 麒麟軟件有限公司
• 主分類號: G06F21/64
• 分類號: G06F21/64;H04L9/32
• 代理公司: 北京匯智英財專利代理事務所(普通合伙) 11301
• 代理人: 張瑋瑋

本發明公開了一種基于數字證書的軟件多層簽名方法及系統，包括在軟件包內設置證書分區和簽名分區，所述證書分區用于存儲數字證書，所述簽名分區用于存儲數字簽名，所述數字證書和所述數字簽名一一配套；對待簽名數字證書進行簽名后，在所述證書分區已有的數字證書末尾添加新的數字證書，在所述簽名分區已有的數字簽名末尾添加新的數字簽名。實現過程簡單，簽名穩定速度快，實施成本低；能支持不同組織的證書多層簽名，解決了因本次簽名導致的上層簽名失效的問題；能有效的保證軟件包來源的可靠性；能有效的保證軟件包在安裝之前的完整性和一致性。

技術領域

本申請涉及計算機安全技術領域，尤其涉及一種基于數字證書的軟件多層簽名方法及系統。

背景技術

軟件包在傳輸過程中，容易受到攻擊而使軟件包內容被替換、篡改或者損壞，因此有必要確保軟件包從發布到安裝過程中的信息完整性，及軟件包開發者與軟件包之間不可抵賴的對應關系，常用且較成熟的軟件包安全防護措施是利用數字證書簽名技術對軟件包進行簽名驗簽。在實際的操作過程中，經常需要軟件開發者對軟件簽一次名，軟件廠商簽一次名，發布到軟件商店前軟件商店開發廠商再簽一次名，這種多層次的簽名需求非常常見。

為了滿足這種多層的軟件簽名需求，CN100505621提出了一種數字簽名鎖定域的方法，該方法將數字證書簽名對象的一部分內容與用戶指定的數字簽名控件進行綁定。用戶的簽名只針對鎖定域的部分，第二個用戶可以在同一個數字證書簽名對象中非鎖定域內操作，且不影響第一個人的簽名的有效性，依此該數字證書簽名對象可以支持多層簽名；CN111523889A提出一種基于交易秘鑰對和多簽模板的方式，首先生成參與交易秘鑰對，創建多簽模板，返回多簽模板地址，根據多簽模板創建交易，并返回待簽名數據，對待簽名數據進行簽名，返回簽名后的簽名數據和布爾值。如果布爾值不滿足權重條件，則將簽名后的簽名數據作為新的簽名對象，并使用參與多簽模板立定的公鑰對應的私鑰繼續簽名判斷，直到布爾值滿足權重條件，以實現多層簽名；CN107632932A提出了一種針對軟件倉庫的可靠性檢測方法，該方法基于多層簽名和加密的多級校驗技術，支持對軟件倉庫涉及的源代碼軟件包、二進制軟件包目錄、軟件倉庫摘要文件、軟件倉庫摘要文件進行可靠性檢測。

但是現有技術仍然存在一些缺點。CN100505621提出的鎖定域的實現方式非常的復雜，只有處理好了鎖定域的內容、鎖定域之間的關系和算法、鎖定域與整個數字證書簽名對象之間的關系和算法問題，才能解決多層簽名的功能。這么苛刻的實現條件，導致開發成本較高，不利于該方法的普及化，且該方法只能保證鎖定域內數據的完整性，不能保證整個簽名對象的完整性；CN111523889A提出的方法需要人為的定義布爾值滿足的條件，主觀性較強，且出現了迭代性的簽名過程，簽名效果不穩定；CN107632932A提出的多層證書簽名是對源代碼軟件包、二進制軟件包目錄、軟件倉庫摘要文件、軟件倉庫摘要文件進行逐級簽名，并不支持不同組織對同一對象的多層證書簽名。

發明內容

為解決上述現有技術所存在的問題，本發明提出了一種基于數字證書的軟件多層簽名方法及系統，支持兩層及兩層以上不同組織的證書簽名，該技術實現簡單、安全、成本低。

為實現上述目的，本發明提供了一種基于數字證書的軟件多層簽名方法，包括如下步驟：

在軟件包內設置證書分區和簽名分區，所述證書分區用于存儲數字證書，所述簽名分區用于存儲數字簽名，所述數字證書和所述數字簽名一一配套；

對待簽名數字證書進行簽名后，在所述證書分區已有的數字證書末尾添加新的數字證書，在所述簽名分區已有的數字簽名末尾添加新的數字簽名。

可選地，在添加新的數字證書和數字簽名之前，先在所述證書分區已有的數字證書末尾和所述簽名分區已有的數字簽名末尾添加分隔符。

可選地，對待簽名數字證書進行簽名時還包括：判斷待簽名數字證書的組織是否已簽名，若已簽名則阻止簽名，若未簽名則進行簽名。