一种基于RPK的网络认证体制方法技术

一种基于RPK的网络认证体制方法，是采用加密用户公钥的安全策略，建立可信用户公钥体制，通过设置统一时间戳控制的安全策略，以及密钥初始化智能协议，建立能达到PKI的密钥管理安全等级，可解决繁琐的证书管理难题；能实现IBC的简单标识认证效果，可解决IBC密钥托管存在的密钥管理安全问题；也可解决PKI和IBC都存在的用户公钥不可信的安全隐患；同时，能解决CLA存在基点G数据外泄，造成较大安全隐患问题。从而，建立一种基于RPK的网络认证体制，其中：RPK，为real Public Key的缩写，即：可信公钥，保证RPK认证体制具有结构简单、安全高效、建设和维护成本较低廉，且易操作等优势。且易操作等优势。

【技术实现步骤摘要】
一种基于RPK的网络认证体制方法

：
[0001]本专利技术涉及网络密码认证体制领域。

技术介绍
：
[0002]目前，在网络密码认证体制中，PKI为主流产品，IBC也受到市场的重视，CLA开始兴起，虽然，PKI密钥管理安全等级较高；IBC标识认证体制结构简单，且公钥可读性好；CLA能实现密钥对自主生成，实现密钥的存储安全，通过计算和验证公钥来保证用户公钥真实，可信；
[0003]但是，PKI存在证书繁琐管理成本高，证书签名链也不能保证用户公钥是否可信等问题，他人可能通过篡改，如：增添记录或替代记录，CA认证中心端的用户证书数据库记录，对用户实施“张冠李戴”式攻击；
[0004]IBC的密钥托管方式，造成密钥管理存在一定的安全隐患；同时，IBC并发认证或签验过程，用户也须从密钥生成中心KGC(key generation center)端并发获取私钥，为保证用户私钥传输安全，KGC须并发加密用户私钥传输给各个客户端，造成IBC并发认证或签验效率低；另外，也无法保证公钥可信，如：用户A的标识为：张三@sina.com/20230616，他人过3个多月后，将自己的标识创立为：张三@sina.com/20230916，再通过密钥生成中心KGC产生对应的私钥，对用户A实施“张冠李戴”式攻击；
[0005]CLA的安全隐患稍微大些，CLA是将用户的密钥分成两部分，即：部分公钥和部分私钥，在客户端合成完整私钥，在密钥管理中心端计算合成完整公钥，尤其是将私密数据基点G存储在客户端，其中：公钥＝私钥G；若他人是一个组织，他们想获得用户客户端智能卡是一个简单的事情，利用其强大的人力资源，经费和情报能力，解剖一个用户客户端智能卡芯片，获取机密数据如：G数据，也不是一个不可以完成的任务；一旦，不法组织获得基点G，就可攻克CLA认证体制，CLA是一款学术上的优秀科研成果，但是，该成果在工程实践上不可行；因此，现有的网络密码认证体制的技术和产品都存在一定的安全隐患，不能满足网络密码认证技术市场的需求。

技术实现思路
：
[0006]一种基于RPK的网络认证体制方法，是采用加密用户公钥的安全策略，建立可信用户公钥体制，通过设置统一时间戳控制的安全策略，以及密钥初始化智能协议，建立能达到PKI的密钥管理安全等级，可解决繁琐的证书管理难题；能实现IBC的简单标识认证效果，可解决IBC密钥托管存在的密钥管理安全问题；也可解决PKI和IBC都存在的用户公钥不可信的安全隐患；同时，能解决CLA存在基点G数据外泄，造成较大安全隐患问题。从而，建立一种基于RPK的网络认证体制，其中：RPK，为real Public Key的缩写，中文为可信公钥，保证RPK认证体制具有结构简单、安全高效、建设和维护成本较低廉，且易操作等优势，其方法的技术特征在于：
[0007]RPK认证架构采用SM2公钥算法、SM3摘要算法和SM4(或SM1、祖冲之)对称算法，建
立密钥生成中心(KGC)，采用的安全措施是：RPK的密钥管理采用类似PKI的用户密钥生成、灌装、分发、更新和销毁的方式，在认证中心端部署加密设备如：加密机或加密卡，在用户的客户端部署加密设备如：智能卡，任何一种认证体制的结构决定了其性能，RPK认证架构如下：
[0008]在认证中心端加密设备的芯片里，存储认证中心端的私钥Ks和公钥P，以及一组“密钥种子”K，以及组合密钥生成算法，用户的重要密钥数据不出芯片，从而，保证认证中心端密钥数据的生成和运行安全；
[0009]在认证中心端部署全体用户公钥和“密钥种子”密文数据库，保证认证中心端全体用户的公钥可信，且防止他人篡改认证中心端用户公钥；同时，保证认证中心端全体用户对应“密钥种子”i的存储安全；
[0010]在用户的客户端部署用户A“朋友圈”用户的公钥密文数据库，用户A“朋友圈”用户指：拟与用户A进行交易的其他用户，从而，保证“朋友圈”其他用户公钥在用户A端真实，可信；
[0011]总之，本专利技术基于RPK网络认证体制的安全策略，是在客户端包括：PC机或手机端和认证中心端，都部署加密硬件设备，在加密硬件设备芯片里，建立“芯片级”签名协议、签验和加密传输协议；每个用户Ai对应的“密钥种子”i的元素，两两不同；由组合密钥生成算法，保证基于对称算法的加密密钥实时生成，一次一变；事先，将全体用户对应的两两不同的公钥Pi和“密钥种子”i元素，加密成密文存储在认证中心端的用户公钥和“密钥种子”密文数据库中；在用户客户端，建立“朋友圈”用户的公钥密文数据库，采用用户Ai客户端加密芯片里对应用户Ai的“密钥种子”，根据组合密钥生成算法，产生一次一变的加密密钥，分别将与用户Ai交易的其他用户的公钥Pj、Pj＝1、......、Pm，加密成密文，存储在用户Ai客户端“朋友圈”用户的公钥密文数据库记录中；
[0012]任何一种系统的架构决定其性能，RPK的系统架构十分简单，是在客户端和认证中心端都部署加密设备，建立芯片对芯片的认证、签名和加密协议，保证两端的密钥存储和运行安全，实现认证、签名和加密协议核心部分都在加密设备芯片里完成，保证认证、签名和加密协议可信；通过设置统一时间戳控制的安全策略，以及密钥初始化智能协议，来提高网络认证体制的安全等级；在认证中心端建立用户公钥和“密钥种子”密文数据库，保证全体用户的公钥和“密钥种子”安全，可信；在客户端建立的“朋友圈”用户公钥密文数据库，保证两用户之间“点对点”的认证或签名协议，用户可直接获得对方用户的可信公钥，从而，实现RPK用户的公钥真实，可信；因此，RPK采用的系统架构对比PKI、IBC和CLA，不繁琐，十分简单，且环节少，且整个过程由软件和硬件结合方式实现，具体方法如下：
[0013]1、在认证中心端部署加密硬件设备，建立认证中心端加密系统，在加密硬件设备的加密芯片里，写入对称算法、摘要算法、组合密钥生成算法、一套“密钥种子”K，时间戳年月日；在认证中心端，建立用户公钥和“密钥种子”密文数据库。
[0014]2、用户的客户端即：手机或PC机端，在客户端部署智能卡，在智能卡芯片里建立手机端加密系统，在加密芯片里，写入对称算法、公钥算法、摘要算法、组合密钥生成算法、一组私钥Si、一组公钥Pi、用户标识Ai、一组“密钥种子”i；在客户端部署“朋友圈”用户公钥密文数据库，其中：客户端的“密钥种子”i的元素，两两不同，i＝1～n，n≤20亿，n为全体数字货币用户总数。
[0015]3、RPK密钥初始化
[0016]建立KGC并设置密钥初始化智能协议，并设置密钥初始化智能协议，负责密钥初始化过程中对各种协议的控制；
[0017](1)由加密芯片自主产生用户的密钥
[0018]KGC通过密钥初始化智能协议，由用户自己在客户端加密芯片控制生成并存储密钥，通过设备分发密钥，且通过认证中心端销毁密钥，实现用户自主管理自己的密钥；
[0019]在认证中心端加密设备芯片里，生成认证中心端的密钥对即：私钥Ks和公钥P，一组“密钥种子”K；
[002本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于RPK的网络认证体制方法，是采用加密用户公钥的安全策略，建立可信用户公钥体制，通过设置统一时间戳控制的安全策略，以及密钥初始化智能协议，建立能达到PKI的密钥管理安全等级，可解决繁琐的证书管理难题；能实现IBC的简单标识认证效果，可解决IBC密钥托管存在的密钥管理安全问题；也可解决PKI和IBC都存在的用户公钥不可信的安全隐患；同时，能解决CLA存在基点G数据外泄，造成较大安全隐患问题。从而，建立一种基于RPK的网络认证体制，其中：RPK，为real Public Key的缩写，中文为可信公钥，保证RPK认证体制具有结构简单、安全高效、建设和维护成本较低廉，且易操作等优势，其方法的技术特征在于：RPK认证架构采用SM2公钥算法、SM3摘要算法和SM4(或SM1、祖冲之)对称算法，建立密钥生成中心(KGC、key generation center的缩写)，采用的安全措施是：RPK的密钥管理采用类似PKI的用户密钥生成、灌装、分发、更新和销毁的方式；在认证中心端部署加密设备如：加密机或加密卡，在用户的客户端部署加密设备如：智能卡，任何一种认证体制的结构决定了其性能；RPK认证架构如下：在认证中心端加密设备的芯片里，存储认证中心端的私钥Ks和公钥P，以及一组“密钥种子”K，以及组合密钥生成算法，用户的重要密钥数据不出芯片；从而，保证认证中心端密钥数据的生成和运行安全；在认证中心端部署全体用户公钥和“密钥种子”密文数据库，保证认证中心端全体用户的公钥可信，且防止他人篡改认证中心端用户公钥；同时，保证认证中心端全体用户对应“密钥种子”i的存储安全；在用户的客户端部署用户A“朋友圈”用户的公钥密文数据库；用户A“朋友圈”用户指：拟与用户A进行交易的其他用户；从而，保证“朋友圈”其他用户公钥在用户A端真实，可信；总之，本发明基于RPK网络认证体制的安全策略，是在客户端包括：PC机或手机端和认证中心端，都部署加密硬件设备，在加密硬件设备芯片里，建立“芯片级”签名协议、签验和加密传输协议；每个用户Ai对应的“密钥种子”i的元素，两两不同；由组合密钥生成算法，保证基于对称算法的加密密钥实时生成，一次一变；事先，将全体用户对应的两两不同的公钥Pi和“密钥种子”i元素，加密成密文存储在认证中心端的用户公钥和“密钥种子”密文数据库中；在用户客户端，建立“朋友圈”用户的公钥密文数据库，采用用户Ai客户端加密芯片里对应用户Ai的“密钥种子”，根据组合密钥生成算法，产生一次一变的加密密钥，分别将与用户Ai交易的其他用户的公钥Pj、Pj＝1、......、Pm，加密成密文，存储在用户Ai客户端“朋友圈”用户的公钥密文数据库记录中；任何一种系统的架构决定其性能，RPK的系统架构十分简单，是在客户端和认证中心端都部署加密设备，建立芯片对芯片的认证、签名和加密协议，保证两端的密钥存储和运行安全，实现认证、签名和加密协议核心部分都在加密设备芯片里完成，保证认证、签名和加密协议可信；通过设置统一时间戳控制的安全策略，以及密钥初始化智能协议，来提高网络认证体制的安全等级；在认证中心端建立用户公钥和“密钥种子”密文数据库，保证全体用户的公钥和“密钥种子”安全，可信；在客户端建立的“朋友圈”用户公钥密文数据库，保证两用户之间“点对点”的认证或签名协议，用户可直接获得对方用户的可信公钥，从而，实现RPK用户的公钥真实，可信；因此，RPK采用的系统架构对比PKI、IBC和CLA，不繁琐，十分简单，且环节少。
2.根据权利要求1的方法，其特征在于：RPK密钥初始化：建立KGC并设置密钥初始化智能协议，负责密钥初始化过程中对各种协议的控制；(1)由加密芯片自主产生用户的密钥KGC通过密钥初始化智能协议，由用户自己在客户端加密芯片控制生成并存储密钥，通过设备分发密钥，且通过认证中心端销毁密钥，实现用户自主管理自己的密钥；在认证中心端加密设备芯片里，生成认证中心端的密钥对即：私钥Ks和公钥P，一组“密钥种子”K；在用户Ai的客户端加密芯片里，生成用户的密钥对即：私钥sKi和公钥Pi，一组“密钥种子”i；(2)由KGC在一个封闭的环境下，将认证中心端公钥P发送给用户Ai端加密芯片里；用户Ai在客户端加密芯片里，通过DH(Diffie
‑
Hellman)协议，将用户的公钥Pi和一组“密钥种子”i，加密传输给认证中心端加密设备芯片里。3.根据权利要求1的方法，其特征在于：RPK数据库初始化：在认证中心端加密设备芯片里，采用“密钥种子”K，产生一次一变的加密密钥，将对应用户Ai的公钥Pi和一组“密钥种子”i加密成密文，存储到认证中心端的用户公钥和“密钥种子”密文数据库记录里，其字段为：用户Ai的标识、公钥Pi、公钥Pi和“密钥种子”i的密文，以及时间戳i和随机数i；其中：i＝1～n，n为全体用户数量的总和；在认证中心端，建立用户的公钥和“密钥种子”密文数据库，这是对公钥和“密钥种子”的静态加密，可保证用户是“密钥种子”存储和运行安全，保证RPK的全体用户的公钥可信。4.根据权利要求1的方法，其特征在于：RPK设置统一时间戳控制安全策略：在认证中心端取用户公钥和“密钥种子”密文数据库记录里，时间戳：年月日存储到认证设备的加密芯片里，用于更新用户的密钥后，控制过期的用户密钥不能再用；当更新部分用户的密钥后，必须将对应认证设备端全体用户的公钥和“密钥种子”，采用新的时间戳和随机数产生一次一变加密密钥，重新再加密一次，保证用户公钥和“密钥种子”密文数据库记录中，时间戳(年月日)基本统一；将新时间戳存储在认证中心端加密设备芯片里，用于每次认证或签验时，与客户端发送来的用于产生加密密钥的时间戳进行比对，小于新时间戳被视为过期时间戳，从而，保证时间戳基本统一；在认证设备端加密芯片里，设置统一时间戳控制安全策略，可防止过期的用户密钥被盗用；认证中心端建立全体用户公钥和“密钥种子”密文数据库，能为用户提供可信公钥服务。5.根据权利要求1的方...

【专利技术属性】
技术研发人员：胡祥义，郭建伟，徐冠宁，
申请(专利权)人：胡祥义，
类型：发明
国别省市：