基于非對稱算法的證書介質(zhì)在線格式化與解鎖方法
【專利摘要】本發(fā)明公開了基于非對稱算法的證書介質(zhì)在線格式化與解鎖方法，在格式化方法時，由介質(zhì)管理接口產(chǎn)生一次性隨機(jī)碼R1和介質(zhì)序列號KSN，服務(wù)端根據(jù)KSN獲取介質(zhì)對應(yīng)管理口令SOPIN1，并進(jìn)行加密和簽名，并將結(jié)果發(fā)至客服端，客戶端對結(jié)果進(jìn)行驗證和解密后，完成格式化。解鎖方法時，由介質(zhì)管理接口獲取簽名證書序列號SN和介質(zhì)序列號KSN，產(chǎn)生一次性隨機(jī)碼R3；服務(wù)端使用KSN獲取管理口令SOPIN1，并對接收到的數(shù)據(jù)進(jìn)行加密和簽名，并發(fā)送到客戶端；介質(zhì)管理接口進(jìn)行簽名驗證和解密，并對解密結(jié)果進(jìn)行對比，相同，則重置用戶口令為默認(rèn)口令。本發(fā)明能夠在大規(guī)范的公鑰基礎(chǔ)設(shè)施中保障證書介質(zhì)的口令安全。
【專利說明】基于非對稱算法的證書介質(zhì)在線格式化與解鎖方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及PKI領(lǐng)域的證書介質(zhì)管理技術(shù)，具體涉及一種證書介質(zhì)在線格式化方法以及解鎖方法。
【背景技術(shù)】
[0002]隨著PKI/PMI技術(shù)的推廣，數(shù)字證書的應(yīng)用已逐漸融入到日常生活，公鑰基礎(chǔ)設(shè)施管理機(jī)構(gòu)所簽發(fā)的證書容量逐漸擴(kuò)展，證書應(yīng)用的范圍也越來越廣，由此引發(fā)對證書介質(zhì)管理口令進(jìn)行管理問題。
[0003]目前對介質(zhì)的管理口令進(jìn)行管理的方式包括以下兩種:
[0004]1、采用廠商自有的管理工具，通過廠商管理的默認(rèn)管理口令進(jìn)行管理，廠商提供一個統(tǒng)一解鎖工具進(jìn)行管理，其弱點在于該工具可從多渠道獲取，只要獲得該工具即可進(jìn)行解鎖，介質(zhì)的使用安全性得不到保障。
[0005]2、由CA中心制定統(tǒng)一的管理口令，在發(fā)證前，通過一個格式化工具將管理口令修改為統(tǒng)一的管理口令，然后在管理員內(nèi)部下發(fā)可進(jìn)行解鎖的客戶端，其弱點在于管理員可以進(jìn)行跨域解鎖，且由于管理員離職或解鎖工具流失，均會影響介質(zhì)的使用安全性。
[0006]從以上方法可以看出，目前的證書介質(zhì)口令管理存在安全弱點，當(dāng)證書介質(zhì)被竊取后，存在明確的偽造使用漏洞。
【發(fā)明內(nèi)容】
[0007]本發(fā)明針對現(xiàn)有證書介質(zhì)口令管理不安全的問題，而提供一種基于非對稱算法的證書介質(zhì)在線格式化的方法，通過該方法保障證書介質(zhì)的口令安全。
[0008]作為本發(fā)明的第二目的，本發(fā)明還提供一種基于非對稱算法的證書介質(zhì)在線解鎖的方法，通過該方法保障證書介質(zhì)在線解鎖的安全性。
[0009]為了達(dá)到上述目的，本發(fā)明采用如下的技術(shù)方案:
[0010]基于非對稱算法的證書介質(zhì)在線格式化方法，該方法中涉及的服務(wù)端提供一個管理口令生成器；同時在介質(zhì)管理接口內(nèi)置管理證書；據(jù)此實施的格式化方法包括如下步驟:
[0011](1.1)在線格式化時控件首先調(diào)用介質(zhì)管理接口產(chǎn)生一次性隨機(jī)碼R1，同時獲取介質(zhì)序列號KSN，并將Rl和KSN提交到服務(wù)端；
[0012](2.1)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令SOPINl，使用Rl對SOPINl加密，得到ES0PIN1，同時使用管理證書對應(yīng)私鑰對Rl進(jìn)行簽名，得到SIGlJf ES0PIN1和SIGl發(fā)送到客戶端；
[0013](3.1)控件調(diào)用介質(zhì)管理接口中的格式化函數(shù)，傳入ES0PIN1和SIGl ；
[0014](4.1)介質(zhì)管理接口使用內(nèi)置管理證書對SIGl進(jìn)行簽名驗證，驗證通過，使用Rl對ES0PIN1進(jìn)行解密得到SOPINl，對介質(zhì)進(jìn)行格式化操作，并將其管理口令設(shè)置為SOPINl，重置隨機(jī)碼為R2。[0015]基于上述方案，本發(fā)明提供的基于非對稱算法的證書介質(zhì)在線解鎖方法，包括如下步驟:
[0016](1.2)在線解鎖時控件首先通過介質(zhì)管理接口從介質(zhì)讀取簽名證書序列號SN，獲取介質(zhì)序列號KSN，產(chǎn)生一次性隨機(jī)碼R3，匯同管理員證書序列號ASN —起發(fā)送到服務(wù)端；
[0017](2.2)服務(wù)端通過ASN檢查管理員權(quán)限，確認(rèn)是否有權(quán)對該介質(zhì)進(jìn)行解鎖；
[0018](3.2)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令SOPINl，使用SN獲取用戶加密證書ECER，使用ECER中的公鑰對R3進(jìn)行加密得到ER3，使用R3對SOPINl進(jìn)行加密得到ES0PIN2,使用管理證書對應(yīng)私鑰對R3進(jìn)行簽名，得到SIG3，將ER3，ES0PIN2和SIG3發(fā)送到客戶端；
[0019](4.2)控件調(diào)用介質(zhì)管理接口中的解鎖函數(shù)，傳入ER3，ES0PIN2和SIG3 ；
[0020](5.2)介質(zhì)管理接口使用內(nèi)置管理證書對SIG3進(jìn)行簽名驗證，驗證通過，使用R3對ES0PIN1進(jìn)行解密得到SOPINl，使用SOPINl將用戶口令修改為默認(rèn)口令PINl，使用PINl對介質(zhì)進(jìn)行操作，調(diào)用介質(zhì)管理接口使用加密私鑰對ER3進(jìn)行解密，得到DR3，將DR3與R3進(jìn)行對比，若不同，則保持介質(zhì)鎖定狀態(tài)，若相同，則重置用戶口令為默認(rèn)口令。
[0021]根據(jù)上述方案本發(fā)明能夠保障證書介質(zhì)在線格式化和解鎖的安全性，能夠在大規(guī)范的公鑰基礎(chǔ)設(shè)施中保障證書介質(zhì)的口令安全，為數(shù)字證書的推廣和使用鋪平道路。
【專利附圖】
【附圖說明】
[0022]以下結(jié)合附圖和【具體實施方式】來進(jìn)一步說明本發(fā)明。
[0023]圖1為本發(fā)明流程圖。
【具體實施方式】
[0024]為了使本發(fā)明實現(xiàn)的技術(shù)手段、創(chuàng)作特征、達(dá)成目的與功效易于明白了解，下面結(jié)合具體圖示，進(jìn)一步闡述本發(fā)明。
[0025]參見圖1，所示為基于非對稱算法的證書介質(zhì)在線格式化與解鎖方法的實施流程圖。由圖可知該方法的實施涉及到相應(yīng)的服務(wù)端和證書介質(zhì)管理接口，在本發(fā)明中的服務(wù)端能夠進(jìn)行私鑰管理，并提供一個管理口令生成器(密鑰生成器)；對于介質(zhì)管理接口在其內(nèi)內(nèi)置管理證書和隨機(jī)數(shù)管理器。
[0026]基于上述的服務(wù)端和證書介質(zhì)管理接口，本發(fā)明提供的在線格式化與解鎖方法，具體步驟如下:
[0027](I)在線格式化進(jìn)控件首先調(diào)用介質(zhì)管理接口中隨機(jī)數(shù)管理產(chǎn)生一次性隨機(jī)碼Rl，同時獲取介質(zhì)的唯一序列號KSN，并將Rl和KSN —起作為格式化請求提交到服務(wù)端；
[0028](2)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令SOPINl，使用Rl對SOPINl加密，得到ES0PIN1，同時使用管理證書對應(yīng)私鑰對Rl進(jìn)行簽名，得到SIGl，將ES0PIN1和SIGl發(fā)送到客戶端；
[0029](3)控件調(diào)用介質(zhì)管理接口中的格式化函數(shù)，傳入ES0PIN1和SIGl ；
[0030](4)介質(zhì)管理接口使用內(nèi)置管理證書對SIGl進(jìn)行簽名驗證，驗證通過，使用Rl對ES0PIN1解密進(jìn)行得到SOPINl，對介質(zhì)進(jìn)行格式化操作，并將其管理口令設(shè)置為SOPINl，重置隨機(jī)碼為R2。[0031]據(jù)此完成證書介質(zhì)在線格式化操作，通過上述步驟的操作能夠保證證書介質(zhì)在線格式化的安全性。上述步驟中證書介質(zhì)管理口令根據(jù)證書介質(zhì)的唯一介質(zhì)序列號生成；同時進(jìn)行格式化時，會生成一個一次性隨機(jī)數(shù)，并對此隨機(jī)數(shù)據(jù)進(jìn)行簽名和驗證，以防止重放攻擊；再者，介質(zhì)管理接口中內(nèi)置了表明服務(wù)端身份的管理證書，并對在服務(wù)端使用私鑰簽名的隨機(jī)數(shù)據(jù)進(jìn)行驗證簽名，防止了對介質(zhì)管理接口的不當(dāng)使用。
[0032]對于介質(zhì)的在線解鎖同樣涉及到上述的服務(wù)端和證書介質(zhì)管理接口，其具體過程如下:
[0033](5)在線解鎖時控件首先通過介質(zhì)管理接口從介質(zhì)讀取簽名證書序列號SN，獲取介質(zhì)唯一序列號KSN，產(chǎn)生一次性隨機(jī)碼R3，匯同管理員證書序列號ASN —起作為解鎖請求發(fā)送到服務(wù)端；
[0034](6)服務(wù)端通過ASN檢查管理員權(quán)限，確認(rèn)是否有權(quán)對該介質(zhì)進(jìn)行解鎖；
[0035](7)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令S0PIN1，使用SN獲取用戶加密證書ECER，使用ECER中的公鑰對R3進(jìn)行加密得到ER3，使用R3對SOPINl進(jìn)行加密得到ES0PIN2,使用管理證書對應(yīng)私鑰對R3進(jìn)行簽名，得到SIG3，將ER3，ES0PIN2和SIG3發(fā)送到客戶端；
[0036](8)控件調(diào)用介質(zhì)管理接口中的解鎖函數(shù)，傳入ER3，ES0PIN2和SIG3 ；
[0037](9)介質(zhì)管理接口使用內(nèi)置管理證書對SIG3進(jìn)行簽名驗證，驗證通過，使用R3對ES0PIN1解密進(jìn)行得到SOPINl，使用SOPINl將用戶口令修改為默認(rèn)口令PINl，使用PINl對介質(zhì)進(jìn)行操作，調(diào)用介質(zhì)接口使用加密私鑰對ER3進(jìn)行解密，得到DR3，將DR3與R3進(jìn)行對t匕，若不同，則保持介質(zhì)鎖定狀態(tài)，若相同，則重置用戶口令為默認(rèn)口令。
[0038]本發(fā)明提供的方案在進(jìn)行介質(zhì)解鎖時，證書介質(zhì)管理口令同樣根據(jù)證書介質(zhì)的唯一介質(zhì)序列號生成；并且在解鎖過程中會生成一個一次性隨機(jī)數(shù)，并對此隨機(jī)數(shù)據(jù)進(jìn)行簽名和驗證，以防止重放攻擊；本方案還對在服務(wù)端使用私鑰簽名的隨機(jī)數(shù)據(jù)進(jìn)行驗證簽名，能夠有效防止對介質(zhì)管理接口的不當(dāng)使用；最后在進(jìn)行解鎖時會使用用戶的加密證書對隨機(jī)數(shù)進(jìn)行加密，若程序解鎖過程中時發(fā)現(xiàn)使用內(nèi)部加密私鑰解密得到的隨機(jī)數(shù)與當(dāng)前會話隨機(jī)數(shù)不一致，將保持介質(zhì)鎖定狀態(tài)，防止偽造數(shù)據(jù)攻擊。
[0039]以上顯示和描述了本發(fā)明的基本原理、主要特征和本發(fā)明的優(yōu)點。本行業(yè)的技術(shù)人員應(yīng)該了解，本發(fā)明不受上述實施例的限制，上述實施例和說明書中描述的只是說明本發(fā)明的原理，在不脫離本發(fā)明精神和范圍的前提下，本發(fā)明還會有各種變化和改進(jìn)，這些變化和改進(jìn)都落入要求保護(hù)的本發(fā)明范圍內(nèi)。本發(fā)明要求保護(hù)范圍由所附的權(quán)利要求書及其等效物界定。
【權(quán)利要求】
1.基于非對稱算法的證書介質(zhì)在線格式化方法，其特征在于，所述方法中涉及的服務(wù)端提供一個管理口令生成器；同時在介質(zhì)管理接口內(nèi)置管理證書；據(jù)此實施的格式化方法包括如下步驟: (1.1)在線格式化時控件首先調(diào)用介質(zhì)管理接口產(chǎn)生一次性隨機(jī)碼R1，同時獲取介質(zhì)序列號KSN，并將Rl和KSN提交到服務(wù)端； (2.1)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令SOPINl，使用Rl對SOPINl加密，得到ES0PIN1，同時使用管理證書對應(yīng)私鑰對Rl進(jìn)行簽名，得到SIGl，將ES0PIN1和SIGl發(fā)送到客戶端； (3.1)控件調(diào)用介質(zhì)管理接口中的格式化函數(shù)，傳入ES0PIN1和SIGl ； (4.1)介質(zhì)管理接口使用內(nèi)置管理證書對SIGl進(jìn)行簽名驗證，驗證通過，使用Rl對ES0PIN1進(jìn)行解密得到SOPINl，對介質(zhì)進(jìn)行格式化操作，并將其管理口令設(shè)置為SOPINl，重置隨機(jī)碼為R2。
2.基于非對稱算法的證書介質(zhì)在線解鎖方法，所述解鎖方法包括如下步驟: (1.2)在線解鎖時控件首先通過介質(zhì)管理接口從介質(zhì)讀取簽名證書序列號SN，獲取介質(zhì)序列號KSN，產(chǎn)生一次性隨機(jī)碼R3，匯同管理員證書序列號ASN —起發(fā)送到服務(wù)端； (2.2)服務(wù)端通過ASN檢查管理員權(quán)限，確認(rèn)是否有權(quán)對該介質(zhì)進(jìn)行解鎖； (3.2)服務(wù)端使用KSN獲取介質(zhì)對應(yīng)管理口令S0PIN1，使用SN獲取用戶加密證書ECER，使用ECER中的公鑰對R3進(jìn)行加密得到ER3，使用R3對SOPINl進(jìn)行加密得到ES0PIN2,使用管理證書對應(yīng)私鑰對R3進(jìn)行簽名，得到SIG3，將ER3，ES0PIN2和SIG3發(fā)送到客戶端； (4.2)控件調(diào)用介質(zhì)管理接口中的解鎖函數(shù)，傳入ER3，ES0PIN2和SIG3 ； (5.2)介質(zhì)管理接口使用內(nèi)置管理證書對SIG3進(jìn)行簽名驗證，驗證通過，使用R3對ES0PIN1進(jìn)行解密得到S0PIN1，使用SOPINl將用戶口令修改為默認(rèn)口令PIN1，使用PINl對介質(zhì)進(jìn)行操作，調(diào)用介質(zhì)管理接口使用加密私鑰對ER3進(jìn)行解密，得到DR3，將DR3與R3進(jìn)行對比，若不同，則保持介質(zhì)鎖定狀態(tài)，若相同，則重置用戶口令為默認(rèn)口令。
【文檔編號】H04L9/30GK103873249SQ201210548197
【公開日】2014年6月18日 申請日期:2012年12月17日 優(yōu)先權(quán)日:2012年12月17日
【發(fā)明者】許俊, 任偉, 衛(wèi)杰, 范峰 申請人:上海格爾軟件股份有限公司