專利名稱：用于構(gòu)造數(shù)字證書的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及電子商務(wù)領(lǐng)域。更具體地說，本發(fā)明涉及用于長時間存儲數(shù)字合同和數(shù)字證書的方法和裝置。
背景技術(shù)：
在線交易(電子商務(wù))是一種可以接受的商業(yè)方法。但是，現(xiàn)在這種結(jié)構(gòu)的互聯(lián)網(wǎng)可能是不安全的通信渠道。為了促進(jìn)電子商務(wù)，安全加密方法對于傳送諸如家庭地址、社會保險號和信用卡信息等個人信息是可用的。公鑰基礎(chǔ)設(shè)施(PKI)在本領(lǐng)域是公知的，它包括能夠使商業(yè)實體和個人保護(hù)他們在互聯(lián)網(wǎng)上的通信和商業(yè)事務(wù)的隱私的軟件、加密技術(shù)和服務(wù)的結(jié)合。PKI將數(shù)字證書、公鑰密碼技術(shù)和認(rèn)證機(jī)構(gòu)結(jié)合到網(wǎng)絡(luò)安全體系結(jié)構(gòu)中。典型的PKI體系結(jié)構(gòu)包含對個人用戶和服務(wù)器的數(shù)字證書的發(fā)放、終端用戶登記軟件、與公司證書目錄的結(jié)合以及用于管理、更新和吊銷證書的工具。
Rivest-Shamir-Adleman(RSA)是互聯(lián)網(wǎng)加密和認(rèn)證系統(tǒng)，它廣泛地用于加密和認(rèn)證個人和實體。該方法使用私鑰和公鑰二者。每個接收者具有保密的私鑰和公開的公鑰。發(fā)送者使用接收者的公鑰來加密消息。接收者使用他自己的私鑰來解密該消息。為了發(fā)送加密的簽名，發(fā)送者使用他的私鑰來加密簽名，并且接收者使用發(fā)送者的公鑰來解密該簽名并且認(rèn)證發(fā)送者。這樣，私鑰不傳輸，從而是安全的。
數(shù)字證書是例如在互聯(lián)網(wǎng)上交易時，建立個體的真實性的電子證書。數(shù)字證書由數(shù)字證書發(fā)放機(jī)構(gòu)發(fā)放。數(shù)字證書中包含的信息包括數(shù)字證書持有者的標(biāo)識信息，例如數(shù)字證書擁有者的名稱、社會保險號或生物標(biāo)識(bio-identity)信息。生物標(biāo)識信息的例子包括數(shù)字化的虹膜掃描或數(shù)字化的指紋。數(shù)字證書可以包括序列號、證書的有效期、證書持有者的公鑰和數(shù)字證書的擁有者所使用的加密算法的標(biāo)識。數(shù)字證書還包括數(shù)字證書發(fā)放機(jī)構(gòu)對數(shù)字證書簽名時所使用的加密算法的標(biāo)識以及數(shù)字證書發(fā)放結(jié)構(gòu)的數(shù)字簽名，使得接收者可以檢驗數(shù)字證書的真實性。當(dāng)對數(shù)字證書簽名時，數(shù)字證書發(fā)放機(jī)構(gòu)基于包含在數(shù)字證書中的信息來計算哈希值，并且使用數(shù)字證書發(fā)放結(jié)構(gòu)的私鑰來加密該哈希值。然后將加密后的哈希值包含在數(shù)字證書中。這允許檢驗數(shù)字證書擁有者的身份。
為了檢驗數(shù)字證書擁有者的身份，感興趣的組織從例如數(shù)字證書發(fā)放機(jī)構(gòu)的網(wǎng)站獲得數(shù)字證書發(fā)放機(jī)構(gòu)的公鑰，并且使用該公鑰解密發(fā)放機(jī)構(gòu)的數(shù)字簽名。通過解密數(shù)字證書發(fā)放機(jī)構(gòu)的數(shù)字簽名，獲得哈希值。接下來，通過將數(shù)字證書的內(nèi)容插入數(shù)字證書規(guī)定的哈希算法，獲得數(shù)字證書的內(nèi)容的哈希值。如果所獲得的哈希值等于前面獲得的哈希值，則證實了數(shù)字證書擁有者的身份。
數(shù)字證書可以由根數(shù)字證書發(fā)放機(jī)構(gòu)的分支機(jī)構(gòu)來發(fā)放。但是，如果分支數(shù)字證書發(fā)放機(jī)構(gòu)在未來的某時停止存在，則可能事實上無法驗證數(shù)字證書以證實數(shù)字證書擁有者的身份。從而，需要一種構(gòu)造數(shù)字證書的方法和裝置，使得在數(shù)字證書發(fā)放機(jī)構(gòu)不存在的情況下，數(shù)字證書也可以被驗證。


本發(fā)明的示例以附圖來舉例說明。但是，附圖不限制本發(fā)明的范圍。
附圖中類似的標(biāo)號指示類似的元素。
圖1圖示了數(shù)字證書的視圖。
圖2圖示了根據(jù)本發(fā)明的一個實施例構(gòu)造數(shù)字證書的流程圖，其中電子文檔被分支數(shù)字證書發(fā)放機(jī)構(gòu)簽名后又被根數(shù)字證書發(fā)放機(jī)構(gòu)簽名。
圖3圖示了根據(jù)本發(fā)明的一個實施例的數(shù)字證書的視圖。
圖4圖示了根據(jù)本發(fā)明的一個實施例用于構(gòu)造數(shù)字證書的流程圖，其中電子文檔被根數(shù)字證書發(fā)放機(jī)構(gòu)簽名后又被分支數(shù)字證書發(fā)放機(jī)構(gòu)簽名。
圖5圖示了根據(jù)本發(fā)明的一個實施例生成數(shù)字證書的裝置的方框圖。
圖6圖示了根據(jù)本發(fā)明的一個實施例的機(jī)器可訪問介質(zhì)的方框圖。
具體實施例方式
所描述的是用于構(gòu)造數(shù)字證書的一個或多個方法的實施例。在下面的描述中，舉出了許多細(xì)節(jié)是為了提供對本發(fā)明的透徹的理解。但是，本領(lǐng)域技術(shù)人員應(yīng)該清楚，沒有這些具體細(xì)節(jié)也可以實現(xiàn)本發(fā)明。在其他實例中，沒有示出公知的體系結(jié)構(gòu)、步驟和技術(shù)，以免模糊本發(fā)明。例如，未提供關(guān)于方法是否作為軟件例程、硬件電路或它們的結(jié)合在路由器、服務(wù)器或網(wǎng)關(guān)中實現(xiàn)的具體細(xì)節(jié)。
說明書的一部分將使用本領(lǐng)域技術(shù)人員普遍使用的術(shù)語來介紹以向其他本領(lǐng)域技術(shù)人員傳達(dá)它們的工作的實質(zhì)。另外，說明書的一部分也將按照通過程序指令的執(zhí)行而進(jìn)行的操作來介紹。如本領(lǐng)域技術(shù)人員所理解的，這些操作經(jīng)常采用電、磁或光信號的形式，它們能夠通過例如電子元件被存儲、傳送、結(jié)合或被施加其他操作。
本發(fā)明可以利用分布式計算環(huán)境。在分布式計算環(huán)境中，程序模塊在物理上可以位于不同的本地或遠(yuǎn)程存儲器存儲設(shè)備中。程序模塊的執(zhí)行可以在本地以單機(jī)方式出現(xiàn)或者在遠(yuǎn)程以客戶/服務(wù)器方式出現(xiàn)。該分布式計算環(huán)境的示例包括局域網(wǎng)、企業(yè)計算機(jī)網(wǎng)絡(luò)和互聯(lián)網(wǎng)。
圖1描述了根據(jù)現(xiàn)有技術(shù)實施例的數(shù)字證書的視圖。如圖1所示，數(shù)字證書100包括數(shù)字證書版本號105、數(shù)字證書序列號110和有效期115。數(shù)字證書中包括數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息120，例如數(shù)字證書發(fā)放機(jī)構(gòu)的名稱、地址和數(shù)字證書發(fā)放機(jī)構(gòu)用來對數(shù)字證書簽名的哈希算法的標(biāo)識。數(shù)字證書還包括數(shù)字證書擁有者的認(rèn)證信息125，即擁有者的名稱、地址、社會保險號、生物標(biāo)識信息等，以及擁有者例如對電子文檔簽名時所使用的哈希算法的標(biāo)識。此外，數(shù)字證書可以包括數(shù)字證書擁有者的公鑰130和數(shù)字證書發(fā)放機(jī)構(gòu)的簽名135。
如果數(shù)字證書由分支數(shù)字證書發(fā)放機(jī)構(gòu)(例如，子公司，其中母公司是根數(shù)字證書發(fā)放機(jī)構(gòu)，或者政府部門，其中中央政府是根數(shù)字證書發(fā)放機(jī)構(gòu))發(fā)放并且在未來的某時分支數(shù)字證書發(fā)放機(jī)構(gòu)停止存在，則根據(jù)現(xiàn)有技術(shù)實施例構(gòu)造的數(shù)字證書的驗證可能實質(zhì)上是不可能的。一個原因是分支數(shù)字證書發(fā)放機(jī)構(gòu)的公鑰可能是不可用的。但是，如果分支數(shù)字證書發(fā)放機(jī)構(gòu)具有授予該分支數(shù)字證書發(fā)放機(jī)構(gòu)發(fā)放數(shù)字證書的權(quán)力的授權(quán)人或根數(shù)字證書發(fā)放機(jī)構(gòu)，則盡管分支數(shù)字證書發(fā)放機(jī)構(gòu)停止存在，也有可能驗證所發(fā)放的數(shù)字證書。認(rèn)證所發(fā)放的數(shù)字證書的一個方法是在數(shù)字證書形成的過程中，將根數(shù)字證書發(fā)放機(jī)構(gòu)的數(shù)字簽名包括在數(shù)字證書中關(guān)于數(shù)字證書的形成，將以有助于理解本發(fā)明的方式，將各種操作描述描述為按照次序執(zhí)行的多個離散的步驟。但是，描述的順序不應(yīng)該被解釋為暗示這些操作必須以它們被介紹的順序執(zhí)行，或者甚至它們是順序相關(guān)的。最后，短語“在一個實施例中”的重復(fù)使用不必指同一個實施例，盡管它可能是。
圖2圖示了根據(jù)本發(fā)明的一個實施例構(gòu)造數(shù)字證書的流程圖，其中電子文檔被分支數(shù)字證書發(fā)放機(jī)構(gòu)簽名后又被根數(shù)字證書發(fā)放機(jī)構(gòu)簽名。如圖2所示，在205，請求數(shù)字證書的組織或個人發(fā)送諸如它的名稱、地址、社會保險號、生物標(biāo)識信息等的它的認(rèn)證信息到數(shù)字證書發(fā)放機(jī)構(gòu)，例如分支數(shù)字證書發(fā)放機(jī)構(gòu)。數(shù)字證書形成過程中的數(shù)據(jù)傳輸可以經(jīng)由安全連接來完成。經(jīng)由安全連接的數(shù)據(jù)的傳輸是本領(lǐng)域公知的，這里將不描述。在210，分支數(shù)字證書發(fā)放機(jī)構(gòu)將該組織的認(rèn)證信息與它自己的認(rèn)證信息一起寫入電子文檔，例如文本文件。在一個實施例中，數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息包括它的名稱、它的地址、稅務(wù)標(biāo)識號、來自它的公司證書的營業(yè)執(zhí)照號、公鑰和用于它的數(shù)字簽名的哈希算法的標(biāo)識。數(shù)字證書發(fā)放機(jī)構(gòu)還可以將諸如數(shù)字證書版本號、數(shù)字證書序列號、數(shù)字證書的有效期和數(shù)字證書擁有者的公鑰的其他基本信息包括在電子文檔中。數(shù)字證書發(fā)放機(jī)構(gòu)接著對電子文檔簽名。對電子文檔簽名包括數(shù)字證書發(fā)放機(jī)構(gòu)將前面提到的信息插入哈希算法以獲得哈希值。接著使用數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰對該哈希值加密，并且將被加密的哈希值包括在電子文檔中。電子文檔接著被傳輸?shù)礁鶖?shù)字證書發(fā)放機(jī)構(gòu)。
在一個實施例中，在根數(shù)字證書發(fā)放機(jī)構(gòu)下面的數(shù)字證書發(fā)放機(jī)構(gòu)鏈中可以有一個或多個具有發(fā)放數(shù)字證書的權(quán)力的分支數(shù)字證書發(fā)放機(jī)構(gòu)。在將電子文檔傳輸?shù)礁鶖?shù)字證書發(fā)放機(jī)構(gòu)之前，該電子文檔可以被一個或多個分支數(shù)字證書發(fā)放機(jī)構(gòu)簽名。例如，在具有多個子公司的公司中，其中每個子公司具有多個部門，并且所述公司、子公司和部門具有數(shù)字證書發(fā)放權(quán)力，部門在對電子文檔簽名之后可以將電子文檔發(fā)送到子公司簽名，并且子公司在對電子文檔簽名之后可以將電子文檔發(fā)送到公司簽名。接收具有分支數(shù)字證書發(fā)放機(jī)構(gòu)的數(shù)字簽名的電子文檔后，在215，根數(shù)字證書發(fā)放機(jī)構(gòu)將它的認(rèn)證信息，例如它的名稱、地址、稅務(wù)標(biāo)識號、來自它的公司證書的營業(yè)執(zhí)照號、和它用于對數(shù)字證書簽名的哈希算法的標(biāo)識包括在電子文檔中。根數(shù)字證書發(fā)放機(jī)構(gòu)接著對電子文檔簽名以形成數(shù)字證書。包括在根數(shù)字證書發(fā)放機(jī)構(gòu)的簽名中的是從分支數(shù)字證書發(fā)放機(jī)構(gòu)接收的信息的部分或全部以及根數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息。對數(shù)字證書簽名之后，根數(shù)字證書發(fā)放機(jī)構(gòu)傳輸數(shù)字證書。在一個實施例中，根數(shù)字證書發(fā)放機(jī)構(gòu)可以將數(shù)字證書傳輸?shù)剿鼋M織以及分支數(shù)字證書發(fā)放機(jī)構(gòu)。接收數(shù)字證書之后，在220，分支數(shù)字證書發(fā)放機(jī)構(gòu)可以在225在將數(shù)字證書傳輸?shù)秸埱蠼M織之前，保存數(shù)字證書的拷貝。
圖3圖示了根據(jù)本發(fā)明的一個實施例的數(shù)字證書的方框圖300。如圖3所示，在305-315，數(shù)字證書包括數(shù)字證書版本號、數(shù)字證書序列號和數(shù)字證書的有效期(如果有的話)。在320，數(shù)字證書包含分支數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息，例如，它的名稱、它的地址、稅務(wù)標(biāo)識號、來自它的公司證書的營業(yè)執(zhí)照號和它在它的數(shù)字簽名中使用的哈希算法的標(biāo)識。在325，數(shù)字證書包含數(shù)字證書擁有者的認(rèn)證信息，例如，名稱、地址、社會保險號、生物識別信息等，包括擁有者的數(shù)字簽名中使用的哈希算法的標(biāo)識。在330，數(shù)字證書擁有者(即請求數(shù)字證書的組織)的公鑰可以被包括在數(shù)字證書中。在335，分支數(shù)字證書發(fā)放機(jī)構(gòu)的簽名被包括在數(shù)字證書中。在340，如果在數(shù)字證書發(fā)放機(jī)構(gòu)鏈中存在多個分支數(shù)字證書發(fā)放機(jī)構(gòu)，則一個或多個分支數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息和簽名可以被包括在數(shù)字證書中。在345中，數(shù)字證書包括根數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息，例如根數(shù)字證書發(fā)放機(jī)構(gòu)的名稱和地址以及根數(shù)字證書發(fā)放機(jī)構(gòu)在它的數(shù)字簽名中使用的哈希算法的標(biāo)識等，在350，數(shù)字證書包括根數(shù)字證書發(fā)放機(jī)構(gòu)的簽名。
在上面公開的數(shù)字證書中，如果分支數(shù)字證書發(fā)放機(jī)構(gòu)在未來的某時停止存在，則在數(shù)字證書中可獲得根數(shù)字證書發(fā)放機(jī)構(gòu)的簽名和認(rèn)證信息，并且可以用于驗證數(shù)字證書。例如，使用在根數(shù)字證書認(rèn)證信息中標(biāo)識的哈希算法，在數(shù)字證書的創(chuàng)建過程中由根數(shù)字證書發(fā)放機(jī)構(gòu)接收的電子文檔的內(nèi)容可以被輸入到該哈希算法中以獲得哈希值。然后，例如從根數(shù)字證書發(fā)放機(jī)構(gòu)的的網(wǎng)站獲得根數(shù)字證書發(fā)放機(jī)構(gòu)的公鑰，并用于解密包括在數(shù)字證書中的根數(shù)字證書發(fā)放機(jī)構(gòu)的被加密的簽名。如果兩個哈希值匹配，則數(shù)字證書被驗證。
圖4圖示了根據(jù)本發(fā)明的一個實施例用于構(gòu)造數(shù)字證書的流程圖，其中電子文檔被根數(shù)字證書發(fā)放機(jī)構(gòu)簽名后又被分支數(shù)字證書發(fā)放機(jī)構(gòu)簽名。如圖4所示，在405，請求數(shù)字證書的組織或個人發(fā)送諸如它的名稱、地址、社會保險號、生物標(biāo)識信息等的它的認(rèn)證信息到根數(shù)字證書發(fā)放機(jī)構(gòu)?；蛘?，該組織可以在電子文檔(例如，文本文件或數(shù)字證書模板)中包括它的認(rèn)證信息，并且將該文檔發(fā)送到根數(shù)字證書發(fā)放機(jī)構(gòu)。在410，根數(shù)字證書發(fā)放機(jī)構(gòu)將該組織的認(rèn)證信息寫入所接收的電子文檔，或者可以生成它自己的電子文檔，并且將它自己的認(rèn)證信息寫入該電子文檔。在一個實施例中，根數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息包括它的名稱、它的地址、稅務(wù)標(biāo)識號、來自它的公司證書的營業(yè)執(zhí)照號、公鑰和用于它的數(shù)字簽名的哈希算法的標(biāo)識。根數(shù)字證書發(fā)放機(jī)構(gòu)還可以將諸如數(shù)字證書版本號、數(shù)字證書序列號、數(shù)字證書的有效期和數(shù)字證書擁有者的公鑰的其他基本信息包括在電子文檔中。根數(shù)字證書發(fā)放機(jī)構(gòu)接著對電子文檔簽名。
對電子文檔簽名后，根數(shù)字證書發(fā)放機(jī)構(gòu)將電子文檔傳輸?shù)椒种?shù)字證書發(fā)放機(jī)構(gòu)和/或請求數(shù)字證書的組織。從根數(shù)字證書發(fā)放機(jī)構(gòu)或從請求數(shù)字證書的組織接收到電子文檔之后，在415，分支數(shù)字證書發(fā)放機(jī)構(gòu)在電子文檔中包括它自己的認(rèn)證信息，例如，它的名稱、地址、稅務(wù)標(biāo)識號、來自它的公司證書的營業(yè)執(zhí)照號、公鑰和它用于對數(shù)字證書簽名的哈希算法的標(biāo)識。分支數(shù)字證書發(fā)放機(jī)構(gòu)接著對電子文檔簽名以形成數(shù)字證書。形成數(shù)字證書之后，分支數(shù)字證書發(fā)放機(jī)構(gòu)可以保存數(shù)字證書的拷貝，并且將其傳輸?shù)秸埱蠼M織?；蛘?，分支數(shù)字證書發(fā)放機(jī)構(gòu)可以在對電子文檔簽名之后，將被簽名的電子文檔傳輸?shù)綌?shù)字證書發(fā)放機(jī)構(gòu)鏈中其他分支數(shù)字證書發(fā)放機(jī)構(gòu)以進(jìn)行其他輔助簽名。該組織從輔助機(jī)構(gòu)接收被簽名的電子文檔之后可以進(jìn)行相同的處理。
在根據(jù)圖4形成的數(shù)字證書中，如果分支數(shù)字證書發(fā)放機(jī)構(gòu)在未來的某時停止存在，則根數(shù)字證書發(fā)放機(jī)構(gòu)的簽名和認(rèn)證信息在數(shù)字證書中可用并且可以用于驗證數(shù)字證書。
應(yīng)該理解，這里所描述的程序、處理、方法等不是有關(guān)或局限于任何特定的計算機(jī)或裝置，它們也不是有關(guān)或局限于任何特定的通信網(wǎng)絡(luò)體系結(jié)構(gòu)。相反地，各種類型的通用機(jī)器可以與根據(jù)這里所描述的教導(dǎo)而構(gòu)造的程序模塊一起使用。類似地，通過具有硬連線邏輯或存儲在諸如只讀存儲器的非易失存儲器中的程序的具有特定網(wǎng)絡(luò)體系結(jié)構(gòu)的專用計算機(jī)系統(tǒng)，來構(gòu)建專用的裝置以執(zhí)行這里所描述的方法步驟可以證明是有利的。
圖5圖示了本發(fā)明在其中操作的一般的計算機(jī)系統(tǒng)500。該計算機(jī)系統(tǒng)用于創(chuàng)建數(shù)字證書。本發(fā)明的一個實施例使用個人計算機(jī)(PC)體系結(jié)構(gòu)來實現(xiàn)。本領(lǐng)域的技術(shù)人員應(yīng)該清楚，也可以使用其他的計算機(jī)系統(tǒng)體系結(jié)構(gòu)或其他的處理器、可編程的或基于電子的設(shè)備。
一般地，圖5所示的計算機(jī)系統(tǒng)包括通過總線501被耦合到系統(tǒng)存儲器513的處理單元502。系統(tǒng)存儲器513包括只讀存儲器(ROM)504和隨機(jī)存取存儲器(RAM)503。ROM 504包括基本輸入輸出系統(tǒng)(BIOS)516，RAM 503包括操作系統(tǒng)518、應(yīng)用程序520、代理(agent)522和程序數(shù)據(jù)524。代理522包括生成數(shù)字證書的可執(zhí)行程序。具體地說，代理522包括生成和接收對于數(shù)字證書的請求的軟件程序。在一個實施例中，代理522在電子文檔中包括必需的數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息(例如，名稱、地址、稅務(wù)標(biāo)識號、營業(yè)執(zhí)照號、公鑰和用于數(shù)字簽名的哈希算法的標(biāo)識)并對電子文檔簽名。當(dāng)對電子文檔簽名時，代理522將認(rèn)證信息插入在電子文檔中標(biāo)識的哈希算法中以獲得哈希值。接著使用例如數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密哈希值，并且被加密的哈希值被包括在電子文檔中。
計算機(jī)系統(tǒng)500包括經(jīng)由總線501被耦合到處理單元502的大容量存儲設(shè)備507、輸入設(shè)備506和顯示設(shè)備505。大容量存儲設(shè)備507表示持久性數(shù)據(jù)存儲設(shè)備，例如軟盤驅(qū)動器、固定盤驅(qū)動器(例如，磁、光、磁光等)或流式磁帶驅(qū)動器。大容量存儲設(shè)備存儲程序數(shù)據(jù)530、應(yīng)用程序528和操作系統(tǒng)526。應(yīng)用程序528可以包括代理軟件522。處理單元502可以是各種通用處理器或微處理器(例如由Intel公司制造的Pentium處理器)、專用處理器或者甚至專用編程邏輯設(shè)備的任何一種。在一個實施例中，處理單元502可操作以接收指令，當(dāng)所述指令被處理單元執(zhí)行時，引起處理單元從第一數(shù)字證書發(fā)放機(jī)構(gòu)(例如根或分支數(shù)字證書發(fā)放機(jī)構(gòu))接收一次簽名電子文檔、將第二數(shù)字證書發(fā)放機(jī)構(gòu)(例如根或分支數(shù)字證書發(fā)放機(jī)構(gòu))的認(rèn)證信息寫入一次簽名電子文檔，并且對一次簽名電子文檔簽名以形成二次簽名電子文檔。處理單元502可以接著傳輸二次簽名電子文檔(例如傳輸?shù)礁蚍种?shù)字證書發(fā)放機(jī)構(gòu))。
顯示設(shè)備505為計算機(jī)系統(tǒng)500提供圖形輸出。諸如鍵盤或鼠標(biāo)的輸入設(shè)備506被耦合到總線501用于向處理器502傳遞信息和命令選擇。一個或多個網(wǎng)絡(luò)設(shè)備508也可以通過總線501被耦合到處理器502，所述網(wǎng)絡(luò)設(shè)備508可以用于控制和傳遞數(shù)據(jù)到連接到計算機(jī)500的電子設(shè)備(打印機(jī)、其他計算機(jī)等)。網(wǎng)絡(luò)設(shè)備508還將計算機(jī)系統(tǒng)500連接到網(wǎng)絡(luò)，并且可以包括以太網(wǎng)設(shè)備、電話插口(phonejack)和衛(wèi)星鏈路。本領(lǐng)域技術(shù)人員應(yīng)該清楚，也可以使用其他網(wǎng)絡(luò)設(shè)備。
本發(fā)明的一個實施例可以作為軟件產(chǎn)品整個被存儲在大容量存儲器507上。本發(fā)明的另一個實施例可以被嵌入可通信地被耦合到總線501的硬件產(chǎn)品(未示出)中，例如印刷電路板中、專用處理器中或?qū)Ｓ镁幊踢壿嬙O(shè)備中。本發(fā)明的另一個實施例可以部分被實現(xiàn)為軟件，部分被實現(xiàn)為硬件。
圖6圖示了存儲在機(jī)器可訪問介質(zhì)上的本發(fā)明的一個實施例。本發(fā)明的實施例可以被表示為存儲在機(jī)器可訪問介質(zhì)600(也被稱為計算機(jī)可訪問介質(zhì)或處理器可訪問介質(zhì))上的軟件產(chǎn)品。機(jī)器可訪問介質(zhì)600可以是任何類型的磁、光或電存儲介質(zhì)，包括硬盤、CD-ROM、存儲器設(shè)備(易失或非易失)或類似的存儲機(jī)構(gòu)。機(jī)器可訪問介質(zhì)可以包含指令602、代碼序列、配置信息和其他數(shù)據(jù)的各種集合。本領(lǐng)域技術(shù)人員將意識到實現(xiàn)所描述的發(fā)明所需的其他指令和操作也可以被存儲在機(jī)器可訪問介質(zhì)上。
機(jī)器可訪問介質(zhì)包括結(jié)合在代理622中的指令，當(dāng)所述指令被機(jī)器執(zhí)行時引起機(jī)器執(zhí)行如下操作，包括將一個組織的認(rèn)證信息和第一數(shù)字證書發(fā)放機(jī)構(gòu)認(rèn)證信息寫入電子文檔；對電子文檔簽名以獲得一次簽名電子文檔；以及傳輸一次簽名電子文檔到第二數(shù)字證書發(fā)放機(jī)構(gòu)以獲得二次簽名電子文檔。機(jī)器可訪問介質(zhì)包括其他指令以對電子文檔簽名以獲得一次簽名電子文檔，其中對電子文檔簽名包括通過將電子文檔的內(nèi)容插入哈希算法而獲得哈希值以及使用第一數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密該哈希值。機(jī)器可訪問介質(zhì)還包括用于在電子文檔中存儲被加密的哈希值的指令。
這樣已經(jīng)公開了用于構(gòu)造數(shù)字證書的方法和裝置，使得即使數(shù)字證書發(fā)放機(jī)構(gòu)停止存在，數(shù)字證書也可以被驗證。雖然已經(jīng)描述了目前被認(rèn)為是本發(fā)明的示例實施例的內(nèi)容，但是本領(lǐng)域技術(shù)人員應(yīng)該理解可以做出各種其他修改，可以用等同物替代而不脫離本發(fā)明的真實范圍。另外，可以做出許多修改以使特定情形適應(yīng)本發(fā)明的教導(dǎo)，而不偏離專利所描述的中心發(fā)明概念。從而，本發(fā)明不限于所公開的具體的實施例，本發(fā)明包括落在權(quán)利要求范圍內(nèi)的所有的實施例。
權(quán)利要求
1.一種方法，包括將一個組織的認(rèn)證信息和第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入電子文檔；對所述電子文檔簽名以獲得一次簽名電子文檔；以及傳輸所述一次簽名電子文檔到第二數(shù)字證書發(fā)放機(jī)構(gòu)以獲得二次簽名電子文檔。
2.如權(quán)利要求1所述的方法，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
3.如權(quán)利要求2所述的方法，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
4.如權(quán)利要求1所述的方法，其中對所述電子文檔簽名以獲得一次簽名電子文檔包括使用所述電子文檔的內(nèi)容作為哈希算法的輸入而獲得哈希值；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
5.如權(quán)利要求1所述的方法，其中獲得二次簽名電子文檔包括從所述第二數(shù)字證書發(fā)放機(jī)構(gòu)接收所述二次簽名電子文檔。
6.如權(quán)利要求5所述的方法，其中獲得所述二次簽名電子文檔包括將所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息插入所述一次簽名電子文檔，使用所述電子文檔的內(nèi)容作為哈希算法的輸入獲得哈希值；使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
7.如權(quán)利要求6所述的方法，其中使用所述電子文檔作為哈希算法的輸入獲得哈希值包括使用所述組織的認(rèn)證信息；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的所述數(shù)字簽名；以及使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息作為哈希算法的輸入。
8.一種計算機(jī)系統(tǒng)，包括總線；耦合到所述總線的數(shù)據(jù)存儲設(shè)備；和耦合到所述數(shù)據(jù)存儲設(shè)備的處理器，所述處理器可操作來接收指令，當(dāng)所述指令被所述處理器執(zhí)行時，引起所述處理器將一個組織的認(rèn)證信息和第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入電子文檔；對所述電子文檔簽名以獲得一次簽名電子文檔；以及傳輸所述一次加密電子文檔到第二數(shù)字證書發(fā)放機(jī)構(gòu)以獲得二次簽名電子文檔。
9.如權(quán)利要求8所述的計算機(jī)系統(tǒng)，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
10.如權(quán)利要求8所述的計算機(jī)系統(tǒng)，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
11.如權(quán)利要求8所述的計算機(jī)系統(tǒng)，其中當(dāng)所述指令被所述處理器執(zhí)行時，引起所述處理器對所述電子文檔簽名以獲得一次簽名電子文檔包括所述處理器使用所述電子文檔的內(nèi)容作為哈希算法的輸入而獲得哈希值；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
12.如權(quán)利要求8所述的計算機(jī)系統(tǒng)，其中當(dāng)所述指令被所述處理器執(zhí)行時，引起所述處理器獲得二次簽名電子文檔包括所述處理器從所述第二數(shù)字證書發(fā)放機(jī)構(gòu)接收所述二次簽名電子文檔。
13.一種制品，包括包括指令的機(jī)器可訪問介質(zhì)，當(dāng)所述指令被機(jī)器執(zhí)行時，引起所述機(jī)器執(zhí)行操作，所述操作包括將一個組織的認(rèn)證信息和第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入電子文檔；對所述電子文檔簽名以獲得一次簽名電子文檔；以及傳輸所述一次加密電子文檔到第二數(shù)字證書發(fā)放機(jī)構(gòu)以獲得二次簽名電子文檔。
14.如權(quán)利要求13所述的制品，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
15.如權(quán)利要求13所述的制品，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
16.如權(quán)利要求13所述的制品，其中用于對所述電子文檔簽名以獲得一次簽名電子文檔的所述指令包括其他指令，所述其他指令用于使用所述電子文檔的內(nèi)容作為哈希算法的輸入而獲得哈希值；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
17.如權(quán)利要求13所述的制品，其中用于獲得二次簽名電子文檔的所述指令包括其他指令，所述其他指令用于將所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息插入所述一次簽名電子文檔；使用所述電子文檔的內(nèi)容作為哈希算法的輸入獲得哈希值；使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
18.如權(quán)利要求13所述的制品，其中用于使用所述電子文檔作為哈希算法的輸入獲得哈希值的所述指令包括其他指令，所述其他指令用于使用所述組織的認(rèn)證信息；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息；使用所述第一數(shù)字證書發(fā)放機(jī)構(gòu)的數(shù)字簽名；以及使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息作為哈希算法的輸入。
19.一種方法，包括從第一數(shù)字證書發(fā)放機(jī)構(gòu)接收一次簽名電子文檔；將第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入所述一次簽名電子文檔；對所述一次簽名電子文檔簽名以形成二次簽名電子文檔；以及傳輸所述二次簽名電子文檔。
20.如權(quán)利要求19所述的方法，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
21.如權(quán)利要求19所述的方法，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
22.如權(quán)利要求19所述的方法，其中對所述一次簽名電子文檔簽名以形成二次簽名電子文檔包括使用所述一次簽名電子文檔的內(nèi)容并且使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息作為哈希算法的輸入而獲得哈希值；使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
23.一種計算機(jī)系統(tǒng)，包括總線；耦合到所述總線的數(shù)據(jù)存儲設(shè)備；和耦合到所述數(shù)據(jù)存儲設(shè)備的處理器，所述處理器可操作來接收指令，當(dāng)所述指令被所述處理器執(zhí)行時，引起所述處理器從第一數(shù)字證書發(fā)放機(jī)構(gòu)接收一次簽名電子文檔；將第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入所述一次簽名電子文檔；對所述一次簽名電子文檔簽名以形成二次簽名電子文檔；以及傳輸所述二次簽名電子文檔。
24.如權(quán)利要求23所述的計算機(jī)系統(tǒng)，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
25.如權(quán)利要求23所述的計算機(jī)系統(tǒng)，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
26.如權(quán)利要求23所述的計算機(jī)系統(tǒng)，其中當(dāng)所述指令被所述處理器執(zhí)行時，引起所述處理器對所述一次簽名電子文檔簽名以形成二次簽名電子文檔包括所述處理器使用所述一次簽名電子文檔的內(nèi)容并且使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息作為哈希算法的輸入而獲得哈希值；使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
27.一種制品，包括包括指令的機(jī)器可訪問介質(zhì)，當(dāng)所述指令被機(jī)器執(zhí)行時，引起所述機(jī)器執(zhí)行一些操作，所述操作包括從第一數(shù)字證書發(fā)放機(jī)構(gòu)接收一次簽名電子文檔；將第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入所述一次簽名電子文檔；對所述一次簽名電子文檔簽名以形成二次簽名電子文檔；以及傳輸所述二次簽名電子文檔。
28.如權(quán)利要求27所述的制品，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)。
29.如權(quán)利要求27所述的制品，其中所述第一數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且所述第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
30.如權(quán)利要求27所述的制品，其中用于對所述一次簽名電子文檔簽名以形成二次簽名電子文檔的所述指令包括其他指令，所述其他指令用于使用所述一次簽名電子文檔的內(nèi)容并且使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息作為哈希算法的輸入而獲得哈希值；使用所述第二數(shù)字證書發(fā)放機(jī)構(gòu)的私鑰加密所述哈希值；以及將所述被加密的哈希值寫入所述電子文檔。
全文摘要
本發(fā)明公開了一種構(gòu)造數(shù)字證書的方法，包括將一個組織的認(rèn)證信息和第一數(shù)字證書發(fā)放機(jī)構(gòu)的認(rèn)證信息寫入電子文檔；對該電子文檔簽名以獲得一次簽名電子文檔；以及傳輸一次加密電子文檔到第二數(shù)字證書發(fā)放機(jī)構(gòu)以獲得二次簽名電子文檔。第一數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)，并且第二數(shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)?；蛘叩谝粩?shù)字證書發(fā)放機(jī)構(gòu)是分支數(shù)字證書發(fā)放機(jī)構(gòu)，并且第二數(shù)字證書發(fā)放機(jī)構(gòu)是根數(shù)字證書發(fā)放機(jī)構(gòu)。
文檔編號H04L9/32GK1552138SQ02817351
公開日2004年12月1日 申請日期2002年8月22日 優(yōu)先權(quán)日2001年9月4日
發(fā)明者拉馬納坦·拉馬納坦, 拉馬納坦 拉馬納坦 申請人:英特爾公司