一種密鑰擴散及校驗方法和系統(tǒng)的制作方法
【專利摘要】本發(fā)明實施例提供了一種密鑰擴散及校驗方法，該方法主要包括：簽名提供方向可信服務端提出密鑰申請；所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方；所述簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。本發(fā)明大大降低了密鑰的維護與保管工作。認證過程無需進行復雜的非對稱運算以及CRL交互，在保障安全性的同時簡化了整個身份認證流程，提高了響應速度。
【專利說明】一種密鑰擴散及校驗方法和系統(tǒng)
【技術領域】
[0001]本發(fā)明涉及網(wǎng)絡與信息安全領域，尤其涉及一種密鑰擴散及利用該擴散密鑰的校驗方法。
【背景技術】
[0002]公鑰基礎設施(Public Key Infrastructure, PKI)是目前為解決網(wǎng)絡安全問題而經(jīng)常采用的技術，是一個采用非對稱密碼算法原理和技術來實現(xiàn)并提供安全服務的、具有通用性的安全基礎設施。PKI技術采用證書管理公鑰，通過第三方的可信任機構認證中心(certificate authority, CA)簽發(fā),在Internet上驗證用戶的身份。從而保證傳輸數(shù)據(jù)的保密性、完整性、不可抵賴性。
[0003]其中CA作為可信第三方，是整個PKI體系的核心，負責為PKI體系中簽發(fā)證書、更新證書和作廢證書等功能。數(shù)字證書是由CA簽發(fā)的用于標明用戶身份的電子文檔，其中包含用戶公鑰、可識別用戶身份的證書主題以及CA簽名等。非對稱密碼算法做為PKI體系的關鍵技術主要用于傳遞會話密鑰，驗證雙方身份等。
[0004]PKI體系的簽名校驗主要是依靠數(shù)字證書實現(xiàn)。需認證方將自身的數(shù)字證書以及簽名發(fā)給對方，認證方校驗簽名的有效性，如果簽名有效則認證通過，若無效則認證終止。而簽名的有效性由多方面因素決定，包括簽名認證、證書CA簽名、證書CRL校驗、證書有效期檢查等。
[0005]這就要求認證方需要有包含非對稱算法的加密設備，在認證過程中需要進行復雜的非對稱運算，還需要記錄CA證書以及實時獲得CRL列表。其中證書作廢表(CRL，Certificate Revocation List)的有效更新是具有時效性的，如果沒有實時更新,則那么驗證出的證書有效于否就不準確，簽名認證也就得不到可靠保證。整個認證過程較為復雜，同時受多方因素影響，對認證方提出了較高的要求，由此可見PKI體系常規(guī)認證方式雖然安全有效，但是具體實施過程中有一定難度。

【發(fā)明內容】

[0006]本發(fā)明所要解決的技術問題是提供一種密鑰擴散及簽名碼校驗方法，認證方可以不需要持有運算設備，只需要通過網(wǎng)絡、手機等傳輸媒介即可方便實現(xiàn)簽名校驗。
[0007]為達到上述目的，本發(fā)明提供的技術方案如下:
[0008]一種密鑰擴散及校驗方法，包括:
[0009]可信服務端接收簽名提供方發(fā)送的密鑰申請；
[0010]所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方；
[0011]所述簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。
[0012]一種密鑰擴散及校驗系統(tǒng)，包括可信服務端和簽名提供方，[0013]所述的簽名提供方，用于向可信服務端提出密鑰申請；
[0014]所述的可信服務端，用于認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方；
[0015]所述簽名提供方，還用于校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。
[0016]與現(xiàn)有技術相比，本發(fā)明通過可信管理端的遠程認證方式解放了對認證方的密碼技術要求。通過主密鑰擴散簽名子密鑰的方式，使得可信管理端只需要通過主密鑰即可對所有擴散出的子密鑰簽名進行校驗，而不是記錄每個簽名子密鑰，大大降低了密鑰的維護與保管工作。子密鑰無法反運算獲得主密鑰，保障了主密鑰的安全性。而且認證過程無需進行復雜的非對稱運算以及CRL交互，在保障安全性的同時簡化了整個身份認證流程，提高了響應速度。
【專利附圖】

【附圖說明】
[0017]此處所說明的附圖用來提供對本發(fā)明的進一步理解，構成本申請的一部分，本發(fā)明的示意性實施例及其說明用于解釋本發(fā)明，并不構成對本發(fā)明的不當限定。在附圖中:
[0018]圖1為本發(fā)明實施例一提供的一種密鑰擴散及校驗方法的流程圖。
[0019]圖2為本發(fā)明實施例一提供的一種密鑰擴散及校驗方法詳細方案的結構過程示意圖；
[0020]圖3為本發(fā)明實施例二提供的一種密鑰擴散及校驗系統(tǒng)的具體結構示意圖?！揪唧w實施方式】
[0021]為使本發(fā)明的目的、技術方案和優(yōu)點更加清楚，以下結合附圖及具體實施例，對本發(fā)明作進一步地詳細說明。
[0022]實施例一
[0023]該實施例提供的一種密鑰擴散及校驗方法的具體處理流程示意圖如圖1所示，包括如下的處理步驟:
[0024]步驟SlOl:簽名提供方向可信服務端提出密鑰申請。
[0025]步驟S102:可信服務端認證簽名提供方申請，認證通過后，使用主密鑰計算出簽名子密鑰，將其發(fā)送給簽名提供方。
[0026]步驟S103:簽名提供方校驗密鑰信封，通過后使用安全密碼設備存儲獲得的簽名子密鑰。
[0027]步驟S104:簽名提供方向認證方提供需校驗數(shù)據(jù)的簽名碼。
[0028]步驟S105:認證方向可信服務端提出認證請求，可信服務端計算出簽名子密鑰驗證簽名碼，并向認證方返回驗證結果。
[0029]下面結合圖2詳細描述上述各處理的過程。圖2是本發(fā)明實施例的密鑰擴散及校驗方法詳細方案的結構過程示意圖。在圖2所示的實施例中，密鑰擴散及校驗系統(tǒng)中對象包括:可信服務端、簽名提供方、認證方。該方法具體包括:
[0030]步驟S201:可信服務端使用密碼設備如加密卡、加密機等內部生成對稱主密鑰，主密鑰為保證安全最好定期更新。主密鑰有固定的密鑰時間周期，過期主密鑰不提供認證功能。
[0031]步驟S202:簽名提供方使用可信服務端證書將身份信息(包含唯一可識別信息)、可信CA簽發(fā)的自有數(shù)字證書等打包為密鑰申請信封發(fā)送給可信服務端，向可信服務端提出密鑰請求和/或密鑰更新請求。
[0032]步驟S201和S202為簽名子密鑰的申請過程。服務端主密鑰是整個系統(tǒng)的關鍵，需要做好主密鑰的加密備份更新工作。如需定期更新，則主密鑰需要包含時間周期信息以區(qū)別不同周期的主密鑰，保證校驗時可生成正確的簽名子密鑰。
[0033]步驟S203:可信服務端使用自有私鑰打開密鑰申請信封獲得申請信息，并校驗信封數(shù)據(jù)，校驗通過后還需繼續(xù)認證密鑰申請信封中的數(shù)字證書。
[0034]步驟S204:信封認證通過后，可信服務端根據(jù)密鑰申請信封中提供的身份信息，與設定的簽名子密鑰時間周期，以及簽名子密鑰時間周期內掛失、注銷情況生成簽名子密鑰種子，簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰。最后通過簽名提供方的證書公鑰加密導出，與子密鑰周期一起由簽名提供方的證書生成數(shù)字信封發(fā)回簽名提供方。
[0035]為了保證安全簽名子密鑰也應該定期更新，由于步驟S201中主密鑰也存在時間周期，且過期主密鑰無法提供認證，步驟S204中的簽名子密鑰時間周期需要小于主密鑰周期才能獲得可信服務端的簽名認證服務。
[0036]步驟S203和S204為發(fā)放簽名子密鑰過程。簽名子密鑰是簽名提供方簽名認證時使用的唯一密鑰，應該定期更新。由于簽名提供方的安全穩(wěn)定性不如可信服務端，在簽名子密鑰時間周期中可能存在設備丟失或不在需要提供簽名認證等情況，系統(tǒng)也應有相應的掛失、注銷機制。同樣簽名子密鑰的生成因素除了包括申請方信息、主密鑰外，還應包括密鑰時間周期和時間周期內掛失注銷信息等。
[0037]步驟S205:簽名提供方使用自有私鑰打開并校驗數(shù)字信封，校驗通過后使用自有私鑰獲得簽名子密鑰并將簽名子密鑰導入安全密碼設備，如USBKey。該步驟為簽名子密鑰的獲得及存儲過程。簽名子密鑰不應該以明文的方式出現(xiàn)在密碼設備外的任何地方，因此為保證簽名子密鑰安全，應采用密文導入的方式。即步驟204中可信服務端打包的信封中簽名子密鑰需由簽名提供方證書公鑰加密導出。
[0038]步驟S201至步驟S205完成了主密鑰擴散即簽名子密鑰申請簽發(fā)過程。由于簽名子密鑰存在時間周期，可重復此步驟實現(xiàn)簽名子密鑰更新。
[0039]步驟S206:對需認證數(shù)據(jù)生成簽名碼提供給認證方。簽名提供方對需校驗的數(shù)據(jù)Hash或者MAC后經(jīng)過簽名子密鑰運算獲得簽名種子。為便于查驗簽名種子變換成一組由阿拉伯數(shù)字組成的數(shù)串，即為簽名碼。其中需校驗數(shù)據(jù)必須包含時間信息，以使主密鑰可以根據(jù)其相應的時間周期計算出簽名子密鑰。該步驟為簽名過程。簽名查驗過程為網(wǎng)絡、手機等傳輸媒介，簽名種子可能存在非可譯字符。為保證查驗，需將其變換成認證方可提供的可輸入的字符，為方便查驗，將其變換成更易輸入的阿拉伯數(shù)串。
[0040]步驟S207:認證方將簽名提供方提供的簽名碼，需校驗的數(shù)據(jù)原文以及簽名提供方身份信息通過網(wǎng)絡、手機等傳輸媒介發(fā)送給可信服務端，請求可信服務端對簽名碼進行校驗。[0041]步驟S208:可信服務端獲得認證方提供的校驗要素，包含簽名碼，需校驗的數(shù)據(jù)原文以及簽名提供方身份信息。通過簽名提供方身份信息，需校驗的數(shù)據(jù)原文中的時間信息，簽名子密鑰時間周期內掛失及注銷情況生成簽名子密鑰種子。經(jīng)過如步驟S204中相同的方法獲得簽名子密鑰。再根據(jù)需校驗的數(shù)據(jù)原文，經(jīng)過如步驟S206中的方法生成簽名碼。
[0042]步驟209:將生成的簽名碼與認證方提供的簽名碼進行比較，當比較結果為一致時，則向所述認證方返回驗證簽名碼通過消息；否則，向所述認證方返回驗證簽名碼失敗消
肩、O
[0043]簽名校驗流程結束。
[0044]步驟206到209為認證過程。如果步驟204中的子密鑰存在掛失注銷機制，則主密鑰還需根據(jù)簽名時間信息查詢簽名提供方在該時間周期內的掛失時間及次數(shù)，并與簽名提供方信息、簽名時間信息等共同運算生成簽名子密鑰。
[0045]實施例二
[0046]該實施例提供的一種密鑰擴散及校驗系統(tǒng)的具體結構示意圖如圖3所示，包括:可信服務端31、簽名提供方32和認證方33，
[0047]所述的簽名提供方32，用于向可信服務端提出密鑰申請；
[0048]所述的可信服務端31，用于認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方；
[0049]所述簽名提供方32，還用于校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。
[0050]具體的，所述的簽名提供方32，包括:
[0051]密鑰申請信封發(fā)送模塊321，用于使用所述可信服務端的數(shù)字證書將述簽名提供方的身份信息或唯一可識別信息、可信CA簽發(fā)的自有數(shù)字證書打包為密鑰申請信封；將所述密鑰申請信封發(fā)送給所述可信服務端；
[0052]簽名子密鑰獲取模塊322，用于驗證所述可信服務端發(fā)送過來的密鑰信封中的數(shù)字證書是否與已獲得的可信服務端證書相匹配，驗證所述密鑰信封中的簽名是否與可信服務端證書公鑰驗簽結果匹配；在所述驗證通過后，使用自身私鑰將簽名密鑰導入安全密碼設備；
[0053]校驗數(shù)據(jù)發(fā)送模塊323，用于對需校驗的數(shù)據(jù)Hash或者MAC后經(jīng)過簽名子密鑰運算獲得簽名種子，將所述簽名種子變換成一組由阿拉伯數(shù)字組成的簽名碼，將所述簽名碼、需校驗的數(shù)據(jù)原文發(fā)送給認證方。
[0054]所述的認證方33，用于將校驗要素發(fā)送給所述可信服務端，所述檢索要素包含簽名碼、需校驗的數(shù)據(jù)原文以及簽名提供方身份信息，請求可信服務端對所述簽名碼進行校驗。
[0055]具體的，所述的可信服務端31，包括:
[0056]主密鑰管理模塊311，用于使用密碼設備內部生成對稱主密鑰，使用安全密碼設備存儲所述主密鑰；
[0057]簽名子密鑰生成和下發(fā)模塊312，具體用于使用自有私鑰打開所述簽名提供方發(fā)送過來的密鑰申請信封；驗證所述密鑰申請信封中的數(shù)字證書以及擴展信息是否與簽名提供方的身份信息相匹配，驗證所述密鑰申請信封的簽名是否與申請信封中數(shù)字證書公鑰驗簽結果匹配；
[0058]在所述驗證通過后，根據(jù)所述密鑰申請信封中提供的所述簽名提供方的身份信息，與設定的簽名子密鑰時間周期，以及簽名子密鑰時間周期內掛失、注銷情況生成簽名子密鑰種子，將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰；
[0059]通過簽名提供方的證書公鑰加密導出所述簽名子密鑰，利用所述簽名提供方的數(shù)字證書將所述簽名子密鑰與子密鑰周期一起生成密鑰信封，將所述密鑰信封發(fā)回簽名提供方。
[0060]簽名子密鑰驗證模塊313，用于獲得所述認證方提供的所述校驗要素；
[0061]通過所述簽名提供方的身份信息，需校驗的數(shù)據(jù)原文中的時間信息，簽名子密鑰時間周期內掛失及注銷情況生成簽名子密鑰種子；
[0062]將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰；
[0063]對所述需校驗的數(shù)據(jù)原文Hash或者MAC后經(jīng)過所述簽名子密鑰運算獲得簽名種子;
[0064]將所述簽名種子變換成一組由阿拉伯數(shù)字組成的數(shù)串得到簽名碼，將該變換得到的簽名碼與所述校驗要素中的簽名碼進行比較，當比較結果為一致時，則向所述認證方返回驗證簽名碼通過消息；否則，向所述認證方返回驗證簽名碼失敗消息。
[0065]綜上所述，根據(jù)本發(fā)明的上述技術方案，本發(fā)明通過可信管理端的遠程認證方式解放了對認證方的密碼技術要求。通過主密鑰即可對所有擴散出的子密鑰簽名進行校驗，而不是記錄每個簽名子密鑰的方式，大大降低了密鑰的維護與保管工作。認證過程無需進行復雜的非對稱運算以及CRL交互，在保障安全性的同時簡化了整個身份認證流程，提高了響應速度。
[0066]以上所述僅為本發(fā)明的實施例而已，并不用于限制本發(fā)明，對于本領域的技術人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內，所作的任何修改、等同替換、改進等，均應包含在本發(fā)明的權利要求范圍之內。
【權利要求】
1.一種密鑰擴散及校驗方法，其特征在于，包括: 可信服務端接收簽名提供方發(fā)送的密鑰申請； 所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方； 所述簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。
2.根據(jù)權利要求1所述的方法，其特征在于，在所述簽名提供方向可信服務端提出密鑰申請之前，還包括: 可信服務端使用密碼設備內部生成對稱主密鑰，使用安全密碼設備存儲所述主密鑰。
3.根據(jù)權利要求2所述的方法，其特征在于，所述主密鑰定期更新，有固定的密鑰時間周期，且過期主密鑰不提供認證功能。
4.根據(jù)權利要求1所述的方法，其特征在于，所述可信服務端認證簽名提供方申請，包括: 所述簽名提供方使用所述可信服務端的數(shù)字證書將身份信息或唯一可識別信息、可信CA簽發(fā)的自有數(shù)字證書打包為密鑰申請信封； 將所述密鑰申請信封發(fā)送給所述可信服務端。
5.根據(jù)權利要求4所述的方法，其特征在于，所述可信服務端認證所述簽名提供方的密鑰申請，認證通過后，使用主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方，包括: 所述可信服務端使用自有私鑰打開所述密鑰申請信封； 所述可信服務端驗證所述密鑰申請信封中的數(shù)字證書以及擴展信息是否與簽名提供方的身份信息相匹配，驗證所述密鑰申請信封的簽名是否與申請信封中數(shù)字證書公鑰驗簽結果匹配； 在所述驗證通過后，所述可信服務端根據(jù)所述密鑰申請信封中提供的所述簽名提供方的身份信息，與設定的簽名子密鑰時間周期，以及簽名子密鑰時間周期內掛失、注銷情況生成簽名子密鑰種子，將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰； 所述可信服務端通過簽名提供方的證書公鑰加密導出所述簽名子密鑰，利用所述簽名提供方的數(shù)字證書將所述簽名子密鑰與子密鑰周期一起生成密鑰信封，將所述密鑰信封發(fā)回簽名提供方。
6.根據(jù)權利要求5所述的方法，其特征在于，所述簽名子密鑰具有時間周期并定期更新，且所述簽名子密鑰的時間周期小于所述主密鑰的周期。
7.根據(jù)權利要求1所述的方法，其特征在于，所述的簽名提供方校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰，包括: 所述簽名提供方驗證所述密鑰信封中的數(shù)字證書是否與已獲得的可信服務端證書相匹配，驗證所述密鑰信封中的簽名是否與可信服務端證書公鑰驗簽結果匹配； 在所述驗證通過后，所述簽名提供方使用自身私鑰將簽名密鑰導入安全密碼設備。
8.根據(jù)權利要求1至7任一項所述的方法，其特征在于，所述方法還包括: 所述簽名提供方對需校驗的數(shù)據(jù)Hash或者MAC后經(jīng)過簽名子密鑰運算獲得簽名種子，將所述簽名種子變換成一組由阿拉伯數(shù)字組成的簽名碼，將所述簽名碼、需校驗的數(shù)據(jù)原文發(fā)送給所述認證方， 所述認證方將校驗要素發(fā)送給所述可信服務端，所述檢索要素包含簽名碼、需校驗的數(shù)據(jù)原文以及簽名提供方身份信息，請求可信服務端對所述簽名碼進行校驗； 所述可信服務端根據(jù)所述校驗要素計算出簽名子密鑰驗證簽名碼，并向認證方返回驗證結果。
9.根據(jù)權利要求8所述的方法，其特征在于，所述可信服務端根據(jù)所述校驗要素計算出簽名子密鑰驗證簽名碼，并向認證方返回驗證結果，包括: 所述可信服務端獲得認證方提供的所述校驗要素； 所述可信服務端通過所述簽名提供方的身份信息，需校驗的數(shù)據(jù)原文中的時間信息，簽名子密鑰時間周期內掛失及注銷情況生成簽名子密鑰種子； 所述可信服務端將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰； 所述可信服務端對所述需校驗的數(shù)據(jù)原文Hash或者MAC后經(jīng)過所述簽名子密鑰運算獲得簽名種子； 所述可信服務端將所述簽名種子變換成一組由阿拉伯數(shù)字組成的數(shù)串得到簽名碼，將該變換得到的簽名碼與所述校驗要素中的簽名碼進行比較，當比較結果為一致時，則向所述認證方返回驗證簽名碼通過消息；否則，向所述認證方返回驗證簽名碼失敗消息。
10.一種密鑰擴散及校驗系統(tǒng)，包括可信服務端和簽名提供方，其特征在于: 所述的簽名提供方，用于向可信服務端提出密鑰申請； 所述的可信服務端，用于認證所述簽名提供方的密鑰申請，認證通過后，使用預先設定的主密鑰計算出簽名子密鑰，通過密鑰信封將所述簽名子密鑰發(fā)送給所述簽名提供方；所述簽名提供方，還用于校驗密鑰信封，校驗通過后獲得所述簽名子密鑰，使用安全密碼設備存儲所述簽名子密鑰。
11.根據(jù)權利要求10所述的系統(tǒng)，其特征在于，所述的簽名提供方，包括: 密鑰申請信封發(fā)送模塊，用于使用所述可信服務端的數(shù)字證書將述簽名提供方的身份信息或唯一可識別信息、可信CA簽發(fā)的自有數(shù)字證書打包為密鑰申請信封；將所述密鑰申請信封發(fā)送給所述可信服務端； 簽名子密鑰獲取模塊，用于驗證所述可信服務端發(fā)送過來的密鑰信封中的數(shù)字證書是否與已獲得的可信服務端證書相匹配，驗證所述密鑰信封中的簽名是否與可信服務端證書公鑰驗簽結果匹配；在所述驗證通過后，使用自身私鑰將簽名密鑰導入安全密碼設備；校驗數(shù)據(jù)發(fā)送模塊，用于對需校驗的數(shù)據(jù)Hash或者MAC后經(jīng)過簽名子密鑰運算獲得簽名種子，將所述簽名種子變換成一組由阿拉伯數(shù)字組成的簽名碼，將所述簽名碼、需校驗的數(shù)據(jù)原文發(fā)送給認證方。
12.根據(jù)權利要求11所述的系統(tǒng)，其特征在于: 所述的認證方，用于將校驗要素發(fā)送給所述可信服務端，所述檢索要素包含簽名碼、需校驗的數(shù)據(jù)原文以及簽名提供方身份信息，請求可信服務端對所述簽名碼進行校驗。
13.根據(jù)權利要求12所述的系統(tǒng)，其特征在于，所述的可信服務端，包括: 主密鑰管理模塊，用于使用密碼設備內部生成對稱主密鑰，使用安全密碼設備存儲所述主密鑰； 簽名子密鑰生成和下發(fā)模塊，具體用于使用自有私鑰打開所述簽名提供方發(fā)送過來的密鑰申請信封；驗證所述密鑰申請信封中的數(shù)字證書以及擴展信息是否與簽名提供方的身份信息相匹配，驗證所述密鑰申請信封的簽名是否與申請信封中數(shù)字證書公鑰驗簽結果匹配； 在所述驗證通過后，根據(jù)所述密鑰申請信封中提供的所述簽名提供方的身份信息，與設定的簽名子密鑰時間周期，以及簽名子密鑰時間周期內掛失、注銷情況生成簽名子密鑰種子，將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰； 通過簽名提供方的證書公鑰加密導出所述簽名子密鑰，利用所述簽名提供方的數(shù)字證書將所述簽名子密鑰與子密鑰周期一起生成密鑰信封，將所述密鑰信封發(fā)回簽名提供方。簽名子密鑰驗證模塊，用于獲得所述認證方提供的所述校驗要素； 通過所述簽名提供方的身份信息，需校驗的數(shù)據(jù)原文中的時間信息，簽名子密鑰時間周期內掛失及注銷情況生成簽名子密鑰種子； 將所述簽名子密鑰種子Hash或者MAC后與主密鑰運算生成簽名子密鑰； 對所述需校驗的數(shù)據(jù)原文Hash或者MAC后經(jīng)過所述簽名子密鑰運算獲得簽名種子；將所述簽名種子變換成一組由阿拉伯數(shù)字組成的數(shù)串得到簽名碼，將該變換得到的簽名碼與所述校驗要素中的簽名碼進行比較，當比較結果為一致時，則向所述認證方返回驗證簽名碼通過消息；否則，向所述認證方返回驗證簽名碼失敗消息。
【文檔編號】H04L9/32GK103916358SQ201210591472
【公開日】2014年7月9日 申請日期:2012年12月30日 優(yōu)先權日:2012年12月30日
【發(fā)明者】周珅珅, 金端峰, 郭向國, 馬海, 王申 申請人:航天信息股份有限公司