專利名稱：一種授權(quán)認(rèn)證方法、裝置以及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種能夠在存在多個授權(quán)中心的情況下保證合法終端之間的通信的 授權(quán)認(rèn)證方法、裝置以及系統(tǒng)。
背景技術(shù)：
在終端與終端之間進(jìn)行通信時，為了確保通信的安全性，終端之間需要互相認(rèn)證 對方是否為合法設(shè)備。一般情況下，終端的合法性借助第三方機(jī)構(gòu)來證明，即終端首先需要 向第三方機(jī)構(gòu)登記授權(quán)，當(dāng)該終端被第三方機(jī)構(gòu)授權(quán)之后，可以與其它被該第三方機(jī)構(gòu)授 權(quán)的終端之間進(jìn)行通信。在此，通信雙方可以通過驗證對方是否為被同一個第三方機(jī)構(gòu)授 權(quán)的終端這樣的認(rèn)證過程來證實對方是否為合法終端，如果證實了對方是合法終端則進(jìn)行 通信，否則結(jié)束通信。在如上所述的現(xiàn)有的授權(quán)認(rèn)證方式中，被同一個第三方機(jī)構(gòu)授權(quán)的終端之間可以 互相通信，而這些終端不能與沒有被該第三方機(jī)構(gòu)授權(quán)的終端之間進(jìn)行通信。這樣，能夠有 效地避免非法終端的侵入。然而，在現(xiàn)有的授權(quán)認(rèn)證方式中，即使是合法終端也有無法通信的問題。例如，當(dāng) 存在多個第三方機(jī)構(gòu)時，如果每一個第三方機(jī)構(gòu)分別管理屬于各自的終端，則屬于同一個 第三方機(jī)構(gòu)的終端之間可以互相進(jìn)行通信，但不屬于同一個第三方機(jī)構(gòu)的合法終端之間則 無法進(jìn)行通信。因此，需要改變現(xiàn)有的授權(quán)認(rèn)證方式，以方便更多合法終端之間的通信。在本發(fā)明中，這種第三方機(jī)構(gòu)稱為授權(quán)中心。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明的目的在于提供一種授權(quán)認(rèn)證方法、裝置以及系統(tǒng)，能夠在存在 多個授權(quán)中心的情況下保證合法終端之間的通信。為了實現(xiàn)上述目的，本發(fā)明提供一種授權(quán)認(rèn)證方法，包括m個授權(quán)中心，第一裝置 通過向所述m個授權(quán)中心中的每一個授權(quán)中心分別申請授權(quán)，從每一個授權(quán)中心分別得到 授權(quán)信息，所述第一裝置利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一裝置認(rèn)證 信息，并將該生成的第一裝置認(rèn)證信息發(fā)送給第二裝置，所述第二裝置根據(jù)來自所述第一 裝置的第一裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn)證，其中，所述m為大于等于2的自然 數(shù)。較佳地，所述第一裝置利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一裝 置認(rèn)證信息的步驟包括所述第一裝置分別利用從所述m個授權(quán)中心得到的m個授權(quán)信息 一一對應(yīng)地生成m個認(rèn)證信息，所述m個認(rèn)證信息構(gòu)成所述第一裝置認(rèn)證信息，所述第二裝 置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn)證的步驟包括所 述第二裝置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息中的m個認(rèn)證信息一一對應(yīng)地進(jìn) 行m次認(rèn)證，當(dāng)m次認(rèn)證都通過時，對所述第一裝置的認(rèn)證通過，當(dāng)至少一次認(rèn)證沒有通過時，對所述第一裝置的認(rèn)證失敗。較佳地，對于所述m次認(rèn)證中的任一次認(rèn)證來說，第二裝置根據(jù)認(rèn)證信息進(jìn)行認(rèn) 證的步驟包括所述第二裝置根據(jù)認(rèn)證信息計算得到授權(quán)驗證信息，利用所計算得到的授 權(quán)驗證信息驗證所述第一裝置是否被相應(yīng)的授權(quán)中心授權(quán)，如果上述驗證結(jié)果為是則認(rèn)證 通過，否則認(rèn)證失敗。較佳地，所述授權(quán)信息是由授權(quán)中心對授權(quán)給所述第一裝置的授權(quán)公鑰證書進(jìn)行 簽名生成的用戶私鑰，所述第二裝置根據(jù)認(rèn)證信息計算得到授權(quán)驗證信息，利用所計算得 到的授權(quán)驗證信息驗證所述第一裝置是否被相應(yīng)的授權(quán)中心授權(quán)的步驟包括所述第二裝 置根據(jù)認(rèn)證信息計算得到公鑰證書，比較所計算得到的公鑰證書和相應(yīng)的授權(quán)中心授權(quán)給 所述第一裝置的授權(quán)公鑰證書是否一致，如果一致則認(rèn)證通過，否則認(rèn)證失敗。較佳地，所述授權(quán)信息是由授權(quán)中心對授權(quán)給所述第一裝置的授權(quán)公鑰證書進(jìn)行 簽名生成的用戶私鑰。較佳地，所述第一裝置利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一裝 置認(rèn)證信息的步驟包括所述第一裝置利用從所述m個授權(quán)中心中的第i授權(quán)中心得到的 第i用戶私鑰Si生成第i認(rèn)證信息，其中，i的值分別取1至m，所生成的第1認(rèn)證信息至 第m認(rèn)證信息構(gòu)成所述第一裝置認(rèn)證信息，其中，所述第一裝置利用從所述m個授權(quán)中心中 的第i授權(quán)中心得到的第i用戶私鑰Si生成第i認(rèn)證信息的步驟包括所述第一裝置產(chǎn)生 第一隨機(jī)數(shù)Ri和安全熵參數(shù)CTi，所述第一裝置基于安全熵參數(shù)CTi，利用可重組邏輯電路 生成安全熵混合數(shù)STi，所述第一裝置基于第一隨機(jī)數(shù)Ri、安全熵混合數(shù)STi、第i用戶私鑰 Si、以及安全熵參數(shù)CTi來產(chǎn)生第i認(rèn)證信息，所述第二裝置根據(jù)來自所述第一裝置的第一 裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn)證的步驟包括第二裝置從所接收到的第一裝置認(rèn) 證信息中提取第一裝置的第1認(rèn)證信息至第m認(rèn)證信息，根據(jù)第一裝置的第j認(rèn)證信息計 算出第一裝置的第j公鑰證書GCj ’，并利用計算出的第j公鑰證書GCj ’來認(rèn)證第一裝置， 其中j的值分別取1至m。較佳地，所述第一裝置基于第一隨機(jī)數(shù)Ri、安全熵混合數(shù)STi、第i用戶私鑰Si、 以及安全熵參數(shù)CTi來產(chǎn)生第i認(rèn)證信息的步驟包括基于第一隨機(jī)數(shù)Ri、安全熵混合數(shù) STi，第i用戶私鑰Si，按照下式產(chǎn)生Xi、Yi Xi = giei *Ei mod niYi = Si *gisTi * Eimod ni其中，ei、ni、gi是第i授權(quán)中心的公鑰相關(guān)的參數(shù)，將Xi、Yi、CTi作為第i認(rèn)證信息。較佳地，所述第二裝置根據(jù)第一裝置的第j認(rèn)證信息計算出第一裝置的公鑰證書 GCj ’的步驟包括第二裝置從第一裝置的第j認(rèn)證信息中提取第一裝置的安全熵參數(shù)CTj ； 基于安全熵參數(shù)CTj，利用可重組邏輯電路計算出第一裝置的安全熵指數(shù)CKj ；利用第一裝置的第j認(rèn)證信息中包含的Xj、Yj、以及上述計算出的安全熵指數(shù) CKj，按照下式計算第一裝置的公鑰證書GCj’ XjCKJ/YjeJmod nj = GCj，，其中ej、nj是第j授權(quán)中心的公鑰相關(guān)的參數(shù)。較佳地，所述安全熵參數(shù)CTi包括第二隨機(jī)數(shù)Rsi、用戶安全熵CSTi、系統(tǒng)安全熵CSKi，所述可重組邏輯電路包括第一可重組邏輯電路和第二可重組邏輯電路，所述基于安 全熵參數(shù)CTi，利用可重組邏輯電路生成安全熵混合數(shù)STi的步驟包括將所述隨機(jī)數(shù)Rsi 作為所述第一可重組邏輯電路的輸入，利用所述用戶安全熵CSTi控制所述第一可重組邏 輯電路得到第一輸出，將所述第一輸出作為所述第二可重組邏輯電路的輸入，利用所述系 統(tǒng)安全熵CSKi控制所述第二可重組邏輯電路，得到安全熵混合數(shù)STi。較佳地，所述第一裝置在生成第一裝置認(rèn)證信息之后，對所述第一裝置認(rèn)證信息 進(jìn)行加密得到加密的第一裝置認(rèn)證信息，并將該加密的第一裝置認(rèn)證信息發(fā)送給所述第二 裝置，所述第二裝置對所接收到的加密的第一裝置認(rèn)證信息進(jìn)行解密得到第一裝置認(rèn)證信 肩、ο較佳地，所述第一裝置對所述第一裝置認(rèn)證信息進(jìn)行加密時使用的加密密鑰是ρ 個加密密鑰參數(shù)的組合，所述第二裝置對加密的第一裝置認(rèn)證信息進(jìn)行解密時使用的解密 密鑰是P個解密密鑰參數(shù)的組合，其中，P是大于等于ι的自然數(shù)。較佳地，所述ρ個加密密鑰參數(shù)是第一裝置生成的參數(shù)，所述ρ個解密密鑰參數(shù)是 第二裝置生成的參數(shù)。較佳地，所述ρ個加密密鑰參數(shù)是第一裝置從所述m個授權(quán)中心中的ρ個授權(quán)中 心分別得到的參數(shù)，所述P個解密密鑰參數(shù)是第二裝置從所述m個授權(quán)中心中的P個授權(quán) 中心分別得到的參數(shù)，其中，P是大于等于1且小于等于m的自然數(shù)。較佳地，所述ρ個加密密鑰參數(shù)是第一裝置生成的r個參數(shù)和從所述m個授權(quán)中 心中的S個授權(quán)中心分別得到的參數(shù)，所述P個解密密鑰參數(shù)是第二裝置生成的r個參數(shù) 和從所述m個授權(quán)中心中的s個授權(quán)中心分別得到的參數(shù)，其中，r是大于等于1且小于ρ 的自然數(shù)，s是大于等于1且小于等于m的自然數(shù)，且r與s之和等于ρ。較佳地，所述ρ個加密密鑰參數(shù)的組合是ρ個加密密鑰參數(shù)之積，所述P個解密密 鑰參數(shù)的組合是P個解密密鑰參數(shù)之積。較佳地，所述第一裝置對所述第一裝置認(rèn)證信息進(jìn)行加密時使用的加密算法是對 稱密碼體制的加密算法，所述P個加密密鑰參數(shù)分別與所述P個解密密鑰參數(shù)相同。 為了實現(xiàn)上述目的，本發(fā)明提供一種授權(quán)認(rèn)證方法，包括m個授權(quán)中心，第一用戶 卡與第一裝置進(jìn)行連接，所述第一用戶卡通過所述第一裝置向所述m個授權(quán)中心中的每一 個授權(quán)中心分別申請授權(quán)得到m個授權(quán)信息，所述第一用戶卡利用從所述m個授權(quán)中心得 到的m個授權(quán)信息生成第一用戶卡認(rèn)證信息，并將該生成的第一用戶卡認(rèn)證信息通過所述 第一裝置發(fā)送給第二裝置，以便進(jìn)行對所述第一用戶卡的認(rèn)證，其中，所述m為大于等于2 的自然數(shù)。為了實現(xiàn)上述目的，本發(fā)明提供一種授權(quán)認(rèn)證方法，包括m個授權(quán)中心，第一裝置 向所述m個授權(quán)中心中的每一個授權(quán)中心分別申請授權(quán)得到m個授權(quán)信息，第一用戶卡與 所述第一裝置進(jìn)行連接，所述第一裝置將從所述m個授權(quán)中心得到的m個授權(quán)信息發(fā)送給 所述第一用戶卡，所述第一用戶卡利用所述m個授權(quán)信息生成第一用戶卡認(rèn)證信息，并將 該生成的第一用戶卡認(rèn)證信息通過所述第一裝置發(fā)送給第二裝置，以便進(jìn)行對所述第一用 戶卡的認(rèn)證，其中，所述m為大于等于2的自然數(shù)。較佳地，第二用戶卡與所述第二裝置進(jìn)行連接，所述第二裝置將通過所述第一裝 置發(fā)送來的第一用戶卡認(rèn)證信息發(fā)送給所述第二用戶卡，所述第二用戶卡根據(jù)所述第一用戶卡認(rèn)證信息進(jìn)行對所述第一用戶卡的認(rèn)證。為了實現(xiàn)上述目的，本發(fā)明提供一種裝置，包括收發(fā)單元，用于接收和發(fā)送信息； 授權(quán)申請單元，用于通過收發(fā)單元向m個授權(quán)中心中的每一個授權(quán)中心分別發(fā)送授權(quán)申請 請求；授權(quán)信息保存單元，用于通過收發(fā)單元從每一個授權(quán)中心分別接收授權(quán)信息，并進(jìn)行 保存；認(rèn)證信息生成單元，用于利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成認(rèn)證信 息，將所生成的認(rèn)證信息經(jīng)過收發(fā)單元發(fā)送給對方裝置；以及認(rèn)證單元，用于經(jīng)過收發(fā)單元 從所述對方裝置接收對方裝置的認(rèn)證信息，并利用對方裝置的認(rèn)證信息對對方裝置進(jìn)行認(rèn) 證，其中m為大于等于2的自然數(shù)。較佳地，所述的裝置還包括參數(shù)保存單元，用于將f個參數(shù)進(jìn)行保存，加密單元， 用于利用所述參數(shù)保存單元保存的所述f個參數(shù)的組合作為加密密鑰，對所述認(rèn)證信息生 成單元生成的認(rèn)證信息進(jìn)行加密得到加密認(rèn)證信息，經(jīng)過收發(fā)單元將該加密認(rèn)證信息發(fā)送 給對方裝置，其中f為大于等于1的自然數(shù)。較佳地，所述裝置還包括參數(shù)生成單元，用于生成f個參數(shù)，所述參數(shù)保存單元將 所述參數(shù)生成單元生成的f個參數(shù)進(jìn)行保存。較佳地，所述的裝置還包括參數(shù)接收單元，用于經(jīng)過收發(fā)單元從所述m個授權(quán)中 心中的f個授權(quán)中心分別得到參數(shù)，所述參數(shù)保存單元將所述參數(shù)接收單元接收到的f個 參數(shù)進(jìn)行保存，其中f是大于等于1且小于等于m的自然數(shù)。較佳地，所述裝置還包括參數(shù)生成單元，用于生成r個參數(shù)；參數(shù)接收單元，用于 經(jīng)過收發(fā)單元從所述m個授權(quán)中心中的s個授權(quán)中心分別得到參數(shù)，所述參數(shù)保存單元將 所述參數(shù)生成單元生成的r個參數(shù)和所述參數(shù)接收單元接收到的s個參數(shù)進(jìn)行保存，其中， 所述r是大于等于1且小于f的自然數(shù)，所述s是大于等于1且小于等于m的自然數(shù)，且r 與s之和等于f。較佳地，所述裝置還包括解密單元，用于利用所述參數(shù)保存單元保存的f個參數(shù) 的組合作為解密密鑰，對從經(jīng)過所述收發(fā)單元接收的來自對方裝置的加密認(rèn)證信息進(jìn)行解 密得到認(rèn)證信息，將認(rèn)證信息發(fā)送給所述認(rèn)證單元。較佳地，所述認(rèn)證信息生成單元包括第一隨機(jī)數(shù)產(chǎn)生單元，用于產(chǎn)生第一隨機(jī)數(shù) Ri，安全熵參數(shù)生成單元，用于產(chǎn)生安全熵參數(shù)CTi，可重組邏輯電路，用于利用安全熵參數(shù) CTi生成安全熵混合數(shù)STi，參數(shù)計算單元，用于基于第一隨機(jī)數(shù)Ri、安全熵混合數(shù)STi、第 i用戶私鑰Si，按照下式計算Xi、Yi，Xi = giei * Eimod niYi = Si * giSTi *Ei mod ni其中，ei、ni、gi是第i授權(quán)中心的公鑰相關(guān)的參數(shù)，認(rèn)證信息構(gòu)成單元，用于將所述參數(shù)計算單元計算出的Xi、Yi以及所述安全熵參 數(shù)生成單元生成的安全熵參數(shù)CTi構(gòu)成為第i認(rèn)證信息，其中，i的值分別取1至m。較佳地，所述安全熵參數(shù)生成單元包括第二隨機(jī)數(shù)產(chǎn)生單元，用于產(chǎn)生第二隨 機(jī)數(shù)Rsi ；用戶安全熵生成單元，用于生成用戶安全熵CSTi ；系統(tǒng)安全熵生成單元，用于生 成系統(tǒng)安全熵CSKi，所述可重組邏輯電路包括用戶可重組邏輯電路和系統(tǒng)可重組邏輯電 路，所述用戶可重組邏輯電路將所述第二隨機(jī)數(shù)RSi作為輸入信號，將用戶安全熵CSTi作 為控制信號，輸出用戶安全熵混合數(shù)UTi，所述系統(tǒng)可重組邏輯電路將所述用戶安全熵混合數(shù)UTi作為輸入信號，將所述系統(tǒng)安全熵CSKi作為控制信號，輸出安全熵混合數(shù)STi。較佳地，所述認(rèn)證單元包括參數(shù)提取單元，用于從來自對方裝置的認(rèn)證信息中的 第j認(rèn)證信息中提取Xj、Yj以及安全熵參數(shù)CTj，可重組邏輯電路，用于利用所述安全熵參 數(shù)CTj計算出安全熵指數(shù)CKj，公鑰證書計算單元，利用Xj、Yj以及安全熵指數(shù)CKj，按照下 式計算公鑰證書GCj ’ XjCKJ/YjeJmod nj = GCj，，其中ej、nj是第j授權(quán)中心的公鑰相關(guān)的參數(shù)，驗證單元，用于利用所述公鑰證書GCj’驗證對方裝置是否是第j授權(quán)中心的授權(quán) 用戶，其中，j的值分別取1至m。較佳地，所述安全熵參數(shù)CTj中包括第二隨機(jī)數(shù)Rsj、用戶安全熵CSTj、系統(tǒng)安全 熵CSKj，所述可重組邏輯電路包括用戶可重組邏輯電路和系統(tǒng)可重組邏輯電路，所述用 戶可重組邏輯電路將所述第二隨機(jī)數(shù)Rsj作為輸入信號，將用戶安全熵CSTj作為控制信 號，輸出用戶安全熵混合數(shù)UTj，所述系統(tǒng)可重組邏輯電路將所述用戶安全熵混合數(shù)UTj作 為輸入信號，將所述系統(tǒng)安全熵CSKj作為控制信號，輸出安全熵指數(shù)CKj。為了實現(xiàn)上述目的，本發(fā)明提供一種系統(tǒng)，包括多個權(quán)利要求20所述的裝置和m 個授權(quán)中心，所述授權(quán)中心包括授權(quán)單元，用于根據(jù)來自所述裝置的授權(quán)申請請求，將授權(quán) 信息發(fā)送給所述裝置，其中，m為大于等于2的自然數(shù)。根據(jù)本發(fā)明，當(dāng)存在多個授權(quán)中心時，用戶設(shè)備通過向所述多個授權(quán)中心分別申 請授權(quán)得到多個授權(quán)信息之后，在與對方用戶設(shè)備之間進(jìn)行通信等之前，利用多個授權(quán)信 息產(chǎn)生的認(rèn)證信息來互相進(jìn)行認(rèn)證，認(rèn)證通過則可以進(jìn)行通信，否則認(rèn)為對方是非法設(shè)備 而拒絕通信。由此，能夠在存在多個授權(quán)中心的情況下保證了合法終端之間的通信。另外， 當(dāng)合法終端被攻擊等而授權(quán)信息被篡改等時，由于無法通過上述認(rèn)證，所以也無法進(jìn)行通 信，從而保證了通信的安全性。另外，沒有被上述多個授權(quán)中心授權(quán)的非法設(shè)備等也不能通 過上述認(rèn)證，所以有效地防止了非法終端的侵入等，保證了通信的安全性。另外，本發(fā)明中，上述授權(quán)信息可以是由授權(quán)中心對用戶授權(quán)公鑰證書簽名生成 的用戶私鑰，在進(jìn)行認(rèn)證時，雙方分別利用自身的用戶私鑰生成認(rèn)證信息，但又沒有泄露各 自的用戶私鑰，而是以各自的用戶私鑰和隨機(jī)數(shù)在指數(shù)上擴(kuò)展的計算模型生成的，因此，由 于用戶私鑰的保密性和隨機(jī)數(shù)的隨機(jī)性和不可預(yù)測性，共同保證了身份認(rèn)證信息交互的安 全性，從而提高了通信的安全性。


圖1是本發(fā)明的授權(quán)系統(tǒng)示意圖。圖2是本發(fā)明實施方式一中以雙授權(quán)體制為例說明認(rèn)證的流程圖。圖3是本發(fā)明實施方式二中以雙授權(quán)體制為例說明認(rèn)證的流程圖。圖4是本發(fā)明實施方式四的授權(quán)系統(tǒng)示意圖。圖5是本發(fā)明實施方式五中用戶設(shè)備的結(jié)構(gòu)圖。圖6是本發(fā)明實施方式六中用戶設(shè)備的另一結(jié)構(gòu)圖。圖7是本發(fā)明實施方式七中用戶設(shè)備UEi生成身份認(rèn)證信息的流程圖。圖8是本發(fā)明實施方式七中計算安全熵混合數(shù)的示意圖。
圖9是本發(fā)明實施方式七中用戶設(shè)備UEj對用戶設(shè)備UEi進(jìn)行認(rèn)證的流程圖。圖10是本發(fā)明本實施方式十的用戶設(shè)備的結(jié)構(gòu)圖。圖Ila是實現(xiàn)不同邏輯函數(shù)的可重組邏輯電路的示意圖。圖lib是表示在上述圖Ila所示的電路中當(dāng)CTRLl和CTRL2取不同的值的時候所 實現(xiàn)的函數(shù)關(guān)系的表。圖12a是實現(xiàn)不同連接關(guān)系的可重組邏輯電路示意圖。圖12b是表示圖12a的可重組邏輯電路實現(xiàn)的一種連接關(guān)系的圖。圖12c是表示圖12a的可重組邏輯電路實現(xiàn)的另一種連接關(guān)系的圖。圖13是以寄存器間接連接的方式構(gòu)成連接網(wǎng)絡(luò)時的可重組邏輯電路示意圖。圖14是以開關(guān)網(wǎng)絡(luò)直接連接的方式構(gòu)成連接網(wǎng)絡(luò)時的可重組邏輯電路示意圖。圖15是部分以寄存器間接連接、部分以開關(guān)網(wǎng)絡(luò)直接連接的方式構(gòu)成連接網(wǎng)絡(luò) 時的可重組邏輯電路示意圖。
具體實施例方式下面結(jié)合附圖，對本發(fā)明的具體實施方式
進(jìn)行說明。本發(fā)明提供的授權(quán)體制是多授權(quán)體制，所謂的多授權(quán)體制是由多個授權(quán)中心共同 授權(quán)的體制。例如，雙授權(quán)體制是由兩個授權(quán)中心共同授權(quán)的體制，三授權(quán)體制是由三個授 權(quán)中心共同授權(quán)的體制，依此類推。圖1所示為本發(fā)明的授權(quán)系統(tǒng)示意圖。假設(shè)在m授權(quán)體制下的m個授權(quán)中心分別
為授權(quán)中心CA1、CA2.......CAm(m為大于等于2的自然數(shù))。假設(shè)在該m授權(quán)體制下包括
η個用戶設(shè)備，這些η個用戶設(shè)備之間需要互相進(jìn)行通信。為了說明的方便，將η個用戶設(shè) 備用UE1、UE2、......、UEn (η為自然數(shù))表示。這些η個用戶設(shè)備UEi (i = 1、2........η)之間為了能夠互相進(jìn)行通信，分別向
m個授權(quán)中心CA1、CA2.......CAm申請授權(quán)，用戶設(shè)備UEi (i = 1、2........η)通過分別
向授權(quán)中心CAk(k= 1、2........m)申請授權(quán)而得到k個授權(quán)信息AIik(AIik表示用戶設(shè)
備UEi從授權(quán)中心CAk授權(quán)得到的授權(quán)信息)。在此，授權(quán)信息AI只要是與授權(quán)相關(guān)的信 息則可以是任何形式，例如可以是由授權(quán)中心對用戶授權(quán)公鑰證書簽名生成的用戶私鑰。被m個授權(quán)中心CAl、CA2.......CAm授權(quán)的用戶設(shè)備UEi與用戶設(shè)備UEj (i，j
=1、2........n，其中i Φ j)進(jìn)行通信時，需要進(jìn)行身份認(rèn)證，以驗證通信雙方的用戶設(shè)
備是否是合法設(shè)備。在進(jìn)行認(rèn)證時，通信雙方的用戶設(shè)備各自利用從m個授權(quán)中心得到的 m個授權(quán)信息生成認(rèn)證信息，并將所生成的認(rèn)證信息發(fā)送給對方，通信雙方的用戶設(shè)備根據(jù) 來自對方用戶設(shè)備的認(rèn)證信息來進(jìn)行認(rèn)證。實施方式一在本實施方式一中，用戶設(shè)備在生成認(rèn)證信息時，分別利用自身從m個授權(quán)中心
授權(quán)得到的m個授權(quán)信息生成m個認(rèn)證信息，其中第k(k= 1，2，......m)個認(rèn)證信息是由
第k(k= 1，2，......m)個授權(quán)信息生成的；在對對方用戶設(shè)備進(jìn)行認(rèn)證時，根據(jù)每一個認(rèn)
證信息分別進(jìn)行認(rèn)證，即認(rèn)證m次，當(dāng)m次認(rèn)證都通過時，對對方用戶設(shè)備的認(rèn)證通過，當(dāng)至 少1次認(rèn)證沒有通過時，對對方用戶設(shè)備的認(rèn)證失敗。下面結(jié)合圖2，以雙授權(quán)體制為例說明用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行認(rèn)證的過程。用戶設(shè)備UEi利用從授權(quán)中心CAl授權(quán)得到的授權(quán)信息AIil生成認(rèn)證 信息ATi 1 (ST2101)，利用從授權(quán)中心CA2授權(quán)得到的授權(quán)信息AIi2生成認(rèn)證信息 ATi2(ST2103)。在此，利用授權(quán)信息AIil生成認(rèn)證信息ATil的方式可以是任意形式。例如，可以 利用將授權(quán)信息AIil作為參數(shù)的函數(shù)關(guān)系Fi來生成認(rèn)證信息ATil，即ATil = Fi(AIil)其中，用于生成認(rèn)證信息ATil的函數(shù)Fi例如可以是線性函數(shù)、二次函數(shù)、指數(shù)函 數(shù)等各種函數(shù)，但不限于此，還包括任意形式的函數(shù)。利用授權(quán)信息AIi2生成認(rèn)證信息ATi2的方式也可以采用如上方式。用戶設(shè)備UE j利用從授權(quán)中心CA1授權(quán)得到的授權(quán)信息AI j 1生成認(rèn)證 信息ATj 1 (ST2201)，利用從授權(quán)中心CA2授權(quán)得到的授權(quán)信息AI j2生成認(rèn)證信息 ATj2(ST2203)。同前，認(rèn)證信息ATjl、認(rèn)證信息ATj2也可以通過如上所述的函數(shù)關(guān)系來生成。用戶設(shè)備UEi與用戶設(shè)備UEj交互各自的認(rèn)證信息，即用戶設(shè)備UEi將認(rèn)證信息 ATil和認(rèn)證信息ATi2發(fā)送給用戶設(shè)備UEj (ST2105)，用戶設(shè)備UEj將認(rèn)證信息ATjl和認(rèn) 證信息AT j2發(fā)送給用戶設(shè)備UEi (ST2205)。用戶設(shè)備UEi利用來自用戶設(shè)備UEj的認(rèn)證信息ATjl對用戶設(shè)備UEj進(jìn)行第一 次認(rèn)證(ST2107)，利用認(rèn)證信息ATj2對用戶設(shè)備UEj進(jìn)行第二次認(rèn)證(ST2109)。判斷第 一次認(rèn)證和第二次認(rèn)證是否都通過(ST2111)，當(dāng)?shù)谝淮握J(rèn)證和第二次認(rèn)證都通過時，認(rèn)為 對用戶設(shè)備UEj的認(rèn)證通過，當(dāng)其中任何一次認(rèn)證沒有通過時，認(rèn)為對用戶設(shè)備UEj的認(rèn)證 失敗，中斷通信(ST2113)。在步驟ST2107的第一次認(rèn)證中，用戶設(shè)備UEi根據(jù)認(rèn)證信息ATjl計算得到授權(quán) 驗證信息GCjl’，利用所計算出的授權(quán)驗證信息GCjl’驗證用戶設(shè)備UEj是否被授權(quán)中心 CAl授權(quán)，如果驗證結(jié)果為是，則第一次認(rèn)證通過。在此，在利用授權(quán)驗證信息GCjl’驗證用 戶設(shè)備UEj是否被授權(quán)中心CAl授權(quán)時，用戶設(shè)備UEi可以借助授權(quán)中心CAl來完成。例 如，用戶設(shè)備UEi將授權(quán)驗證信息GCjl’發(fā)送給授權(quán)中心CAl并要求授權(quán)中心CAl驗證該 用戶設(shè)備UEj是否是授權(quán)中心CAl的授權(quán)用戶，授權(quán)中心CAl將驗證結(jié)果返回給用戶設(shè)備 UEi，用戶設(shè)備UEi根據(jù)所返回的驗證結(jié)果來確定認(rèn)證是否通過，當(dāng)所返回的驗證結(jié)果表示 用戶設(shè)備UEj是授權(quán)中心CAl的授權(quán)用戶時，認(rèn)證通過。再如，當(dāng)授權(quán)中心CAl已公布了用 戶設(shè)備UEj的授權(quán)證書時，用戶設(shè)備UEi比較授權(quán)驗證信息GCjl’與已公布的用戶設(shè)備UEj 的授權(quán)證書，當(dāng)比較結(jié)果一致時，認(rèn)證通過。在步驟ST2109的第二次認(rèn)證中，用戶設(shè)備UEi根據(jù)認(rèn)證信息ATj2計算得到授權(quán) 驗證信息GCj2’，利用所計算出的授權(quán)驗證信息GCj2’驗證用戶設(shè)備UEj是否被授權(quán)中心 CA2授權(quán)，如果驗證結(jié)果為是，則第二次認(rèn)證通過。在此，在利用授權(quán)驗證信息GCj2’驗證用 戶設(shè)備UEj是否被授權(quán)中心CA2授權(quán)時，用戶設(shè)備UEi可以借助授權(quán)中心CA2來完成。例 如，用戶設(shè)備UEi將授權(quán)驗證信息GCj2’發(fā)送給授權(quán)中心CA2并要求授權(quán)中心CA2驗證該 用戶設(shè)備UEj是否是授權(quán)中心CA2的授權(quán)用戶，授權(quán)中心CA2將驗證結(jié)果返回給用戶設(shè)備 UEi，用戶設(shè)備UEi根據(jù)所返回的驗證結(jié)果來確定認(rèn)證是否通過，具體為，當(dāng)所返回的驗證結(jié)果表示用戶設(shè)備UEj是授權(quán)中心CA2的授權(quán)用戶時，認(rèn)證通過。再如，當(dāng)授權(quán)中心CA2已 公布了用戶設(shè)備UEj的授權(quán)證書時，用戶設(shè)備UEi比較授權(quán)驗證信息GCj2’與已公布的用 戶設(shè)備UEj的授權(quán)證書，當(dāng)比較結(jié)果一致時，認(rèn)證通過。用戶設(shè)備UEj利用來自用戶設(shè)備UEi的認(rèn)證信息ATil進(jìn)行第一次認(rèn)證(ST2207)， 利用認(rèn)證信息ATi2進(jìn)行第二次認(rèn)證(ST2209)。判斷兩次認(rèn)證是否都通過(ST2211)，當(dāng)?shù)?一次認(rèn)證和第二次認(rèn)證都通過時，對用戶設(shè)備UEi的認(rèn)證通過，當(dāng)其中任何一次認(rèn)證沒有 通過時，對用戶設(shè)備UEi的認(rèn)證失敗，中斷通信(ST2213)。在步驟ST2207的第一次認(rèn)證中，用戶設(shè)備UEj根據(jù)認(rèn)證信息ATil計算得到授權(quán) 驗證信息GCil’，利用所計算出的授權(quán)驗證信息GCil’驗證用戶設(shè)備UEi是否被授權(quán)中心 CAl授權(quán)，如果驗證結(jié)果為是，則第一次認(rèn)證通過。在此，在利用授權(quán)驗證信息GCil’驗證用 戶設(shè)備UEi是否被授權(quán)中心CAl授權(quán)時，用戶設(shè)備UEj可以借助授權(quán)中心CAl來完成。例 如，用戶設(shè)備UEj將授權(quán)驗證信息GCil’發(fā)送給授權(quán)中心CAl并要求授權(quán)中心CAl驗證該 用戶設(shè)備UEi是否是授權(quán)中心CAl的授權(quán)用戶，授權(quán)中心CAl將驗證結(jié)果返回給用戶設(shè)備 UEj，用戶設(shè)備UEj根據(jù)所返回的驗證結(jié)果來確定認(rèn)證是否通過，具體為，當(dāng)所返回的驗證 結(jié)果表示用戶設(shè)備UEi是授權(quán)中心CAl的授權(quán)用戶時，認(rèn)證通過。再如，當(dāng)授權(quán)中心CAl已 公布了用戶設(shè)備UEi的授權(quán)證書時，用戶設(shè)備UEj比較授權(quán)驗證信息GCil’與已公布的用 戶設(shè)備UEi的授權(quán)證書，當(dāng)比較結(jié)果一致時，認(rèn)證通過。在步驟ST2209的第二次認(rèn)證中，用戶設(shè)備UEj根據(jù)認(rèn)證信息ATi2計算得到授權(quán) 驗證信息GCi2’，利用所計算出的授權(quán)驗證信息GCi2’驗證用戶設(shè)備UEi是否被授權(quán)中心 CA2授權(quán)，如果驗證結(jié)果為是，則第二次認(rèn)證通過。在此，在利用授權(quán)驗證信息GCi2’驗證用 戶設(shè)備UEi是否被授權(quán)CA2授權(quán)時，用戶設(shè)備UEj可以借助授權(quán)中心CA2來完成。例如，用 戶設(shè)備UEj將授權(quán)驗證信息GCi2’發(fā)送給授權(quán)中心CA2并要求授權(quán)中心CA2驗證該用戶設(shè) 備UEi是否是授權(quán)中心CA2的授權(quán)用戶，授權(quán)中心CA2將驗證結(jié)果返回給用戶設(shè)備UEi，用 戶設(shè)備UEj根據(jù)所返回的驗證結(jié)果來確定認(rèn)證是否通過，具體為，當(dāng)所返回的驗證結(jié)果表 示該用戶設(shè)備UEi是授權(quán)中心CA2的授權(quán)用戶時，認(rèn)證通過。再如，當(dāng)授權(quán)中心CA2已公布 了用戶設(shè)備UEi的授權(quán)證書時，用戶設(shè)備UEj比較授權(quán)驗證信息GCi2’與已公布的用戶設(shè) 備UEi的授權(quán)證書，當(dāng)比較結(jié)果一致時，認(rèn)證通過。通過如上步驟，在用戶設(shè)備UEi和用戶設(shè)備UEj之間的認(rèn)證通過時，用戶設(shè)備UEi 與用戶設(shè)備UEj進(jìn)行通信(ST2015)，例如密鑰協(xié)商或傳輸數(shù)據(jù)等。如果任何一方?jīng)]有通過 認(rèn)證，則中斷雙方通信(ST2113、ST2213)，并控制系統(tǒng)提示非法用戶。在本實施方式中，授權(quán)信息可以是由授權(quán)中心對授權(quán)給用戶設(shè)備的授權(quán)公鑰證書 進(jìn)行簽名生成的用戶私鑰，根據(jù)認(rèn)證信息計算得到的授權(quán)驗證信息可以是公鑰證書。此時， 在上述圖2所示的認(rèn)證過程中，例如在步驟ST2107中，用戶設(shè)備UEi根據(jù)認(rèn)證信息計算得 到公鑰證書，然后比較所計算得到的公鑰證書和相應(yīng)的授權(quán)中心CAl授權(quán)給所述用戶設(shè)備 UEj的授權(quán)公鑰證書是否一致，如果一致則認(rèn)證通過，否則認(rèn)證失敗。其它步驟也同樣，在此 省略。在三授權(quán)體制下，用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行認(rèn)證時，用戶設(shè)備UEi利 用從授權(quán)中心CAl授權(quán)得到的授權(quán)信息AIil生成認(rèn)證信息ATil，利用從授權(quán)中心CA2授權(quán) 得到的授權(quán)信息AIi2生成認(rèn)證信息ATi2，利用從授權(quán)中心CA3授權(quán)得到的授權(quán)信息AIi3
12生成認(rèn)證信息ATi3，并將認(rèn)證信息ATil、ATi2、ATi3發(fā)送給用戶設(shè)備UEj ；用戶設(shè)備UEj也 按照同樣方式生成認(rèn)證信息ATjl、ATj2、ATj3并將其發(fā)送給用戶設(shè)備UEi ；用戶設(shè)備UEi根 據(jù)認(rèn)證信息ATj 1對用戶設(shè)備UEj進(jìn)行第一次認(rèn)證，根據(jù)認(rèn)證信息ATj2對用戶設(shè)備UEj進(jìn) 行第二次認(rèn)證，根據(jù)認(rèn)證信息ATj3對用戶設(shè)備UEj進(jìn)行第三次認(rèn)證，如果三次認(rèn)證都通過， 則對用戶設(shè)備UEj的認(rèn)證通過，如果其中任何一次認(rèn)證沒有通過，則對用戶設(shè)備UEj的認(rèn)證 失??；同樣，用戶設(shè)備UEj也對用戶設(shè)備UEi進(jìn)行三次認(rèn)證，如果三次認(rèn)證都通過，則對用戶 設(shè)備UEi的認(rèn)證通過，如果其中任何一次認(rèn)證沒有通過，則對用戶設(shè)備UEi的認(rèn)證失敗。當(dāng) 在用戶設(shè)備UEi和用戶設(shè)備UEj之間的認(rèn)證通過時，用戶設(shè)備UEi與用戶設(shè)備UEj可以進(jìn) 行通信。根據(jù)本實施方式，通信雙方用戶設(shè)備只有被共同的多個授權(quán)中心授權(quán)才能夠認(rèn)證 通過，由此能夠有效地防止非法設(shè)備的侵入。另外，由于針對每一個授權(quán)中心的授權(quán)信息分 別生成認(rèn)證信息，并分別進(jìn)行認(rèn)證，所以在該授權(quán)系統(tǒng)中增加新的授權(quán)中心時，用戶設(shè)備只 需要向該新的授權(quán)中心授權(quán)得到授權(quán)信息之后，在生成認(rèn)證信息時利用從該新的授權(quán)中心 授權(quán)得到的授權(quán)信息再產(chǎn)生一個相應(yīng)的認(rèn)證信息，在用戶設(shè)備之間進(jìn)行認(rèn)證時，再增加一 次相應(yīng)的認(rèn)證過程即可。因此，即使增加了新的授權(quán)中心，也不需要改變認(rèn)證方式，能夠簡 單地進(jìn)行擴(kuò)展。實施方式二 在上述實施方式一中，雙方生成認(rèn)證信息后，直接將所生成的認(rèn)證信息發(fā)送給對 方。在本實施方式二中，雙方生成認(rèn)證信息后，對所生成的認(rèn)證信息進(jìn)行加密得到加密認(rèn)證 信息，將加密認(rèn)證信息發(fā)送給對方，對方對該加密認(rèn)證信息進(jìn)行解密得到認(rèn)證信息，并根據(jù) 認(rèn)證信息進(jìn)行認(rèn)證。下面結(jié)合圖3，以雙授權(quán)體制為例說明用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行認(rèn)證 的過程。其中，圖3的認(rèn)證流程與圖2的認(rèn)證流程的區(qū)別點在于圖3中增加了用于對認(rèn)證 信息進(jìn)行加密的步驟ST2104和步驟ST2204、用于對加密認(rèn)證信息進(jìn)行解密的步驟ST2106 和ST2206，以及變更了用于交互加密認(rèn)證信息的步驟ST2105和ST2205。下面僅對區(qū)別步 驟進(jìn)行說明。在步驟ST2104中，用戶設(shè)備UEi利用參數(shù)K作為加密密鑰對認(rèn)證信息ATil和ATi2 進(jìn)行加密得到加密認(rèn)證信息CATi。CATi = [Am]K(ATil, ΑΤ 2)在步驟ST2204中，用戶設(shè)備UEj利用參數(shù)K作為加密密鑰對認(rèn)證信息AT j 1和AT j2 進(jìn)行加密得到加密認(rèn)證信息CATj。CATj = [Am]K(ATjl, ATj2)在步驟ST2105中，用戶設(shè)備UEi將加密認(rèn)證信息CATi發(fā)送給用戶設(shè)備UEj。在步驟ST2205中，用戶設(shè)備UEj將加密認(rèn)證信息CATj發(fā)送給用戶設(shè)備UEi。在步驟ST2106中，用戶設(shè)備UEi利用參數(shù)K作為解密密鑰對加密認(rèn)證信息CATj 進(jìn)行解密得到認(rèn)證信息ATjl和ATj2。ATjl, ATj2 = [Am]K(CATj)在步驟ST2206中，用戶設(shè)備UEj利用參數(shù)K作為解密密鑰對加密認(rèn)證信息CATi 進(jìn)行解密得到認(rèn)證信息ATil和ATi2。
ATil, ΑΤ 2 = [Am]K (CATi)在本實施方式中，作為對認(rèn)證信息進(jìn)行加密時的加密密鑰和對認(rèn)證信息進(jìn)行解密 時的解密密鑰的參數(shù)K，例如可以是如下參數(shù)(1)由授權(quán)中心CAI提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)Kl，S卩，K = Kl(2)由授權(quán)中心CA2提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)Κ2，S卩，K = Κ2(3)由授權(quán)中心CAl提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)Kl和由授權(quán)中心 CA2提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)Κ2的組合，即，K = (Kl，Κ2)其中，作為參數(shù)Kl和參數(shù)Κ2的組合，可以是多種形式，例如是K = Κ1ΧΚ2，K = Κ1+Κ2 等(4)用戶設(shè)備生成的參數(shù)例如，用戶設(shè)備可以根據(jù)授權(quán)信息計算出作為加密密鑰和解密密鑰的參數(shù)K。在本實施方式中，作為對認(rèn)證信息進(jìn)行加密時的加密算法Am，可以由用戶設(shè)備 UEi和用戶設(shè)備UEj預(yù)先協(xié)商確定，也可以由授權(quán)中心指定。另外，該加密算法可以采用對 稱密碼體制的加密算法?；谏鲜隽鞒?，如果用戶設(shè)備UEi和用戶設(shè)備UEj沒有正確持有參數(shù)K，則無法對 來自對方的加密認(rèn)證信息進(jìn)行解密得到認(rèn)證信息，導(dǎo)致認(rèn)證失敗。下面以三授權(quán)體制為例說明用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行認(rèn)證的過程。用戶設(shè)備UEi利用自身用戶設(shè)備UEi從授權(quán)中心CAl授權(quán)得到的授權(quán)信息AIil 生成認(rèn)證信息ATil，利用從授權(quán)中心CA2授權(quán)得到的授權(quán)信息AIi2生成認(rèn)證信息ATi2，利 用從授權(quán)中心CA3授權(quán)得到的授權(quán)信息AIi3生成認(rèn)證信息ATi3，利用參數(shù)Km Kn對認(rèn)證 信息ATil、ATi2、ATi3進(jìn)行加密得到認(rèn)證信息CATi。CATi= [Am]10,1 * 1(11 (ATil, ΑΤ 2, ΑΤ 3)用戶設(shè)備UEj利用自身用戶設(shè)備UEj從授權(quán)中心CAl授權(quán)得到的授權(quán)信息AIjl 生成認(rèn)證信息ATjl，利用從授權(quán)中心CA2授權(quán)得到的授權(quán)信息AI j2生成認(rèn)證信息ATj2，利 用從授權(quán)中心CA3授權(quán)得到的授權(quán)信息AIj3生成認(rèn)證信息ATj3，利用參數(shù)Km女Kn對認(rèn)證 信息ATj 1、ATj2, ATj3進(jìn)行加密得到認(rèn)證信息CATj。CATj= [Am]Km*Kn(ATjl, ATj2, ATj3)用戶設(shè)備UEi和用戶設(shè)備UEj交互各自的加密認(rèn)證信息。用戶設(shè)備UEi利用參數(shù)Km Kn作為解密密鑰對加密認(rèn)證信息CATj進(jìn)行解密得 到認(rèn)證信息ATjl、ATj2和ATj3。ATjl, ATj2, ATj3 = [Am]Km * Kn(CATj)用戶設(shè)備UEj利用參數(shù)Km Kn作為解密密鑰對加密認(rèn)證信息CATi進(jìn)行解密得 到認(rèn)證信息ATil、ATi2和ATi3。ATil, ΑΤ 2, ΑΤ 3 = [Am]Km * Kn(CATi)其中，參數(shù)Km可以是由授權(quán)中心CA2提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)， 參數(shù)Kn可以是由授權(quán)中心CA3提供給用戶設(shè)備UEi和用戶設(shè)備UEj的參數(shù)。另外，參數(shù)Km 和參數(shù)Kn中的至少任一個可以是由用戶設(shè)備UEi和用戶設(shè)備UEj按照規(guī)定策略生成的參數(shù)?；谏鲜鼍唧w例子，在m授權(quán)體制下用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行認(rèn)證
14的方式可以是在用戶設(shè)備UEi在生成認(rèn)證信息時，利用從m個授權(quán)中心得到的m個授權(quán)信 息生成相應(yīng)的m個認(rèn)證信息，利用參數(shù)K作為加密密鑰對所述m個認(rèn)證信息進(jìn)行加密得到 加密認(rèn)證信息，并將該加密認(rèn)證信息發(fā)送給用戶設(shè)備UEj ；用戶設(shè)備UEj接收到加密認(rèn)證信 息之后，先利用參數(shù)K作為解密密鑰對該加密認(rèn)證信息進(jìn)行解密得到用戶設(shè)備UEi的m個 認(rèn)證信息，利用該m個認(rèn)證信息分別進(jìn)行認(rèn)證，當(dāng)所有認(rèn)證都通過時，認(rèn)為對用戶設(shè)備UEi 的認(rèn)證通過。在此，加密密鑰和解密密鑰K可以是q(q ^ 1)個參數(shù)的組合。當(dāng)q < m時，該q個參數(shù)可以都是由m個授權(quán)中心中的q個授權(quán)中心分別提供給 用戶設(shè)備的參數(shù)；或者是，q個參數(shù)中的s個參數(shù)是由m個授權(quán)中心中的s (m > s > 1)個 授權(quán)中心分別提供的參數(shù)，另外r (q > r > 1)個參數(shù)是由用戶設(shè)備生成的參數(shù)，r+s = q。當(dāng)q > m時，q個參數(shù)中的m個參數(shù)是由m個授權(quán)中心分別提供給用戶設(shè)備的參 數(shù)，另外q-m個參數(shù)可以是由用戶設(shè)備按照規(guī)定策略產(chǎn)生的參數(shù)；或者是，q個參數(shù)中的s(m >s^l)個參數(shù)是由m個授權(quán)中心中的s個授權(quán)中心分別提供的參數(shù)，另外r(q>r彡1) 個參數(shù)是由用戶設(shè)備生成的參數(shù)，此時r+s = q。作為q個參數(shù)的組合，可以是任意組合方式，例如，q個參數(shù)之積、q個參數(shù)之和等。另外，在本實施方式中，在進(jìn)行加密時的加密算法可以由用戶設(shè)備UEi和用戶設(shè) 備UEj預(yù)先協(xié)商確定，也可以由授權(quán)中心指定，只要能夠使用戶設(shè)備UEi和用戶設(shè)備UEj采 用相同的加解密算法即可。另外，該加密算法可以采用對稱密碼體制的加密算法。根據(jù)本實施方式，由于對認(rèn)證信息進(jìn)行加密之后發(fā)送給對方，因此通信雙方的認(rèn) 證信息的傳輸安全性得到了保證。實施方式三實施方式三與實施方式二的區(qū)別點在于，在實施方式二中對認(rèn)證信息只加密了一 次，但在本實施方式三中，可以利用不同的加密算法對認(rèn)證信息加密多次。例如，利用加密密鑰Kl和加密算法Aml對認(rèn)證信息進(jìn)行加密，然后利用加密密鑰 K2和加密算法Am2對上一個加密信息再進(jìn)行加密，以此類推，利用加密密鑰Kk和加密算法 Amk對上一個加密信息再進(jìn)行加密，得到加密認(rèn)證信息CAT。 CAT = [Amk]Kk. · · [Am2]K2 ([Ami]K1 (AT))接收到上述加密認(rèn)證信息CAT之后，先利用解密密鑰Kk和解密算法Amk對CAT進(jìn) 行解密，以此類推，最后利用解密密鑰Kl和解密算法Aml對上一個解密結(jié)果進(jìn)行解密，得到 認(rèn)證信息AT。其中，加密算法和加密密鑰的使用策略可以由用戶設(shè)備UEi和用戶設(shè)備UEj預(yù)先 協(xié)商確定，也可以由授權(quán)中心指定。實施方式四在以上實施方式中，為了讓用戶利用用戶設(shè)備來進(jìn)行與其它用戶設(shè)備之間的通信 而進(jìn)行了授權(quán)和認(rèn)證，即用戶設(shè)備直接被授權(quán)中心授權(quán)，用戶設(shè)備與用戶設(shè)備之間進(jìn)行認(rèn) 證。在本實施方式四中，為了讓用戶可以利用用戶卡來完成與其它用戶卡或其它用戶設(shè)備 的通信而進(jìn)行授權(quán)和認(rèn)證。本實施方式四的授權(quán)系統(tǒng)框圖如圖4所示。在本實施方式四中，用戶卡的授權(quán)方式包括直接授權(quán)和間接授權(quán)兩種方式。用戶卡直接授權(quán)方式是，該用戶卡向授權(quán)中心申請授權(quán)，授權(quán)中心直接授權(quán)用戶卡。在用戶卡直接授權(quán)方式下，用戶卡相當(dāng)于上述實施方式中的用戶設(shè)備，用戶卡與授權(quán)中 心的授權(quán)過程、和用戶卡與用戶卡或用戶設(shè)備的認(rèn)證過程同上述實施方式。不同的是，用戶 卡與授權(quán)中心的交互、和用戶卡與其它用戶卡或其它用戶設(shè)備的交互均是通過與該用戶卡 連接的用戶設(shè)備來完成。即，用戶設(shè)備只是作為用戶卡的通信模塊來起作用。例如，用戶卡 i與用戶設(shè)備UEi連接后，該用戶卡i通過所述用戶設(shè)備UEi向m個授權(quán)中心中的每一個授 權(quán)中心分別申請授權(quán)得到m個授權(quán)信息，所述用戶卡i利用該m個授權(quán)信息生成用戶卡認(rèn) 證信息，并將該生成的用戶卡認(rèn)證信息通過所述用戶設(shè)備UEi發(fā)送給對方用戶設(shè)備UEj,以 便進(jìn)行認(rèn)證。用戶卡間接授權(quán)方式是，授權(quán)中心授權(quán)用戶設(shè)備，該被授權(quán)的用戶設(shè)備授權(quán)該用 戶卡。即在該用戶卡間接授權(quán)方式下，授權(quán)中心是通過用戶設(shè)備間接授權(quán)用戶卡。在用戶卡 間接授權(quán)方式下，用戶卡與其它用戶卡或其它用戶設(shè)備之間的認(rèn)證過程同上述實施方式。 即在認(rèn)證過程中，由用戶卡根據(jù)授權(quán)信息生成認(rèn)證信息并通過用戶設(shè)備發(fā)送給對方，該用 戶卡通過用戶設(shè)備接收來自對方的認(rèn)證信息并進(jìn)行認(rèn)證。例如，首先，用戶設(shè)備UEi向m個 授權(quán)中心申請授權(quán)得到m個授權(quán)信息，當(dāng)用戶卡i與用戶設(shè)備UEi連接時，該用戶設(shè)備UEi 將從m個授權(quán)中心得到的m個授權(quán)信息發(fā)送給所述用戶卡i，所述用戶卡i利用所述m個授 權(quán)信息生成用戶卡認(rèn)證信息，并將該生成的用戶卡認(rèn)證信息通過所述用戶設(shè)備UEi發(fā)送給 對方用戶設(shè)備UEj,以便進(jìn)行認(rèn)證。當(dāng)用戶設(shè)備UEj與用戶卡j進(jìn)行連接時，該用戶設(shè)備UEj將接收到的用戶卡i的 用戶卡認(rèn)證信息發(fā)送給與自身連接的用戶卡j，該用戶卡j根據(jù)用戶卡i的用戶卡認(rèn)證信息 進(jìn)行對該用戶卡i的認(rèn)證。由于在利用用戶卡時，授權(quán)過程和認(rèn)證過程均可采用上述實施方式一 三，所以 在此省略用戶卡的授權(quán)和認(rèn)證方法。 用戶卡可以是密鑰卡，也可以是安全卡。在本實施方式中，通過使用用戶卡來提高了通信的便利性。而在使用用戶卡時，也 通過上述授權(quán)和認(rèn)證方式來提高了通信的安全性。實施方式五在本實施方式五中，提供用于實現(xiàn)上述實施方式一的用戶設(shè)備。圖5所示為在本實施方式五的用戶設(shè)備的結(jié)構(gòu)圖。如圖5所示，用戶設(shè)備包括收 發(fā)單元501，用于接收和發(fā)送信息；授權(quán)申請單元502，用于通過收發(fā)單元501向m個授權(quán)中 心中的每一個授權(quán)中心分別發(fā)送授權(quán)申請請求；授權(quán)信息保存單元503，用于通過收發(fā)單 元501從每一個授權(quán)中心分別接收授權(quán)信息，并進(jìn)行保存；認(rèn)證信息生成單元504，用于利 用從所述m個授權(quán)中心得到的m個授權(quán)信息生成認(rèn)證信息，將所生成的認(rèn)證信息經(jīng)過收發(fā) 單元501發(fā)送給對方用戶設(shè)備；以及認(rèn)證單元505，用于經(jīng)過收發(fā)單元501從所述對方用戶 設(shè)備接收對方用戶設(shè)備的認(rèn)證信息，并利用對方用戶設(shè)備的認(rèn)證信息對對方用戶設(shè)備進(jìn)行 認(rèn)證。其中m為大于等于2的自然數(shù)。本實施方式中的用戶設(shè)備內(nèi)的各單元所執(zhí)行的操作均可采用上述實施方式一至 三的方法，在此省略。另外，實施方式四中的用戶卡的內(nèi)部結(jié)構(gòu)也可以與上述圖5所示的結(jié) 構(gòu)相同，在此省略。實施方式六
在本實施方式六中，提供用于實現(xiàn)上述實施方式二的用戶設(shè)備。圖6所示為在本實施方式六的用戶設(shè)備的結(jié)構(gòu)圖。如圖6所示，用戶設(shè)備在圖5所 示的結(jié)構(gòu)基礎(chǔ)上還包括參數(shù)生成單元506，用于生成參數(shù)，作為加密密鑰或解密密鑰；參 數(shù)保存單元507，用于保存所述參數(shù)生成單元生成的q個參數(shù)；加密單元508，用于將所述參 數(shù)保存單元所保存的q個參數(shù)作為加密密鑰對認(rèn)證信息進(jìn)行加密得到加密認(rèn)證信息，并經(jīng) 過收發(fā)單元501發(fā)送給對方用戶設(shè)備。另外，還可以包括解密單元509，用于將所述參數(shù)保 存單元所保存的q個參數(shù)作為解密密鑰，對通過所述收發(fā)單元501接收的加密認(rèn)證信息進(jìn) 行解密，將解密得到的認(rèn)證信息發(fā)送給認(rèn)證單元505。其中，q為大于等于1的自然數(shù)。作為本實施方式六的替換實施方式，代替圖6中的參數(shù)生成單元506，可以包括參 數(shù)接收單元(未圖示)，該參數(shù)接收單元經(jīng)過所述收發(fā)單元501從m個授權(quán)中心中的q個授 權(quán)中心分別接收q個參數(shù)。此時，參數(shù)保存單元507保存所述參數(shù)接收單元接收到的q個 參數(shù)。其中，q為大于等于1的自然數(shù)。作為本實施方式六的另一替換實施方式，在圖6所示的用戶設(shè)備中還可以包括參 數(shù)接收單元(未圖示)，該參數(shù)接收單元經(jīng)過所述收發(fā)單元501從m個授權(quán)中心中的s個 授權(quán)中心接收s個參數(shù)。此時，參數(shù)保存單元507保存所述參數(shù)接收單元接收到的s個參 數(shù)和所述參數(shù)生成單元506生成的q個參數(shù)。在該情況下，加密單元508將所述參數(shù)保存 單元所保存的q+s個參數(shù)的組合作為加密密鑰對認(rèn)證信息進(jìn)行加密得到加密認(rèn)證信息，并 經(jīng)過收發(fā)單元501發(fā)送給對方用戶設(shè)備。解密單元509將所述參數(shù)保存單元所保存的q+s 個參數(shù)的組合作為解密密鑰，對通過所述收發(fā)單元501接收的加密認(rèn)證信息進(jìn)行解密，將 解密得到的認(rèn)證信息發(fā)送給認(rèn)證單元505。其中，q為大于等于1的自然數(shù)，s為大于等于 1且小于等于m的自然數(shù)。本實施方式中的用戶設(shè)備內(nèi)的各單元所執(zhí)行的操作均可采用上述實施方式一至 三的方法，在此省略。另外，實施方式四中的用戶卡的內(nèi)部結(jié)構(gòu)也可以與上述圖5所示的結(jié) 構(gòu)相同，在此省略。實施方式七本實施方式七說明用戶設(shè)備UEi與用戶設(shè)備UEj之間進(jìn)行身份認(rèn)證的認(rèn)證流程。 本實施方式七的認(rèn)證流程可以適用于上述實施方式一 六。需要說明的是，上述實施方式 一 六中的認(rèn)證方式并不限于本實施方式七中的方法，可以采用任意現(xiàn)有的認(rèn)證方式。下面以用戶設(shè)備UEi利用從第k個授權(quán)中心CAk(k= 1，......，m)得到的用戶私
鑰Sik生成身份認(rèn)證信息ATik為例，說明生成身份認(rèn)證信息的步驟，如圖7所示，包括如下 步驟步驟ST801 用戶設(shè)備UEi產(chǎn)生一個隨機(jī)數(shù)Rik。步驟ST802 用戶設(shè)備UEi確定用戶安全熵CSTik，系統(tǒng)安全熵CSKik和隨機(jī)數(shù) Rsik,建立安全熵信息參數(shù)CTik。CTik = CSTik, CSKik, Rsik隨機(jī)數(shù)Rsik是可重組邏輯電路的輸入數(shù)據(jù)。用戶安全熵CSTik和系統(tǒng)安全熵 CSKik分別是可重組邏輯電路的靜態(tài)編碼和動態(tài)編碼。步驟ST803 用戶設(shè)備UEi根據(jù)安全熵信息參數(shù)CTik和可重組邏輯電路計算安全 熵混合數(shù)STik
STik = CTik(RELOG)STik的產(chǎn)生參見圖8。用戶安全熵混合數(shù)UTik是用戶安全熵CSTik與隨機(jī)數(shù)Rsik通過用戶可重組邏輯 電路Sa產(chǎn)生的混合數(shù)。其中，用戶安全熵CSTik是用于控制用戶可重組邏輯電路Sa的可 控節(jié)點的控制信號，隨機(jī)數(shù)Rsik是用戶可重組邏輯電路Sa的輸入，用戶安全熵混合數(shù)UTik 是用戶可重組邏輯電路Sa的輸出。安全熵混合數(shù)STik是系統(tǒng)安全熵CSKik與用戶安全熵混合數(shù)UTik通過系統(tǒng)可重 組邏輯電路Pa產(chǎn)生的混合數(shù)。安全熵混合數(shù)STik參與身份認(rèn)證信息模型計算。其中，系 統(tǒng)安全熵CSKik是用于系統(tǒng)可重組邏輯電路Pa的可控節(jié)點的控制信號，用戶安全熵混合數(shù) UTik是系統(tǒng)可重組邏輯電路Pa的輸入，安全熵混合數(shù)STik是系統(tǒng)可重組邏輯電路Pa的輸
出ο關(guān)于可重組邏輯電路的構(gòu)成以及實現(xiàn)，在本文的最后進(jìn)行描述。步驟ST804 用戶設(shè)備UEi計算Xik、YikXik = gkek * Eik mod nkYik = Sik * gkSTik * Eik mod nk其中，ek, nk, gk是授權(quán)中心CAk的公鑰信息。用戶設(shè)備UEi將Xik、Yik、CTik作為認(rèn)證信息ATik。通過如上步驟，用戶設(shè)備UEi能夠利用從m個授權(quán)中心得到的m個用戶私鑰得到 m個認(rèn)證信息ATil ATim。下面以用戶設(shè)備UEj利用來自用戶設(shè)備UEi的認(rèn)證信息ATik (k =1，......，m)
進(jìn)行認(rèn)證為例，說明進(jìn)行身份認(rèn)證信息的步驟，如圖9所示，包括如下步驟步驟ST1001 用戶設(shè)備UEj從來自用戶設(shè)備UEi的認(rèn)證信息ATik中提取用戶設(shè) 備UEi的安全熵信息參數(shù)CTik。CTik = CSTik, CSKik, Rsik步驟ST1002 用戶設(shè)備UEj基于可重組邏輯電路，利用用戶設(shè)備UEi的安全熵信 息參數(shù)CTik計算安全熵指數(shù)CKik。CKik = CTik(RELOG)計算安全熵指數(shù)CKik的方法可參見圖8，不同點在于系統(tǒng)可重組邏輯電路Pa的輸 出是安全熵指數(shù)CKik。在此，用戶設(shè)備UEi和用戶設(shè)備UEj中的可重組邏輯電路具有相同構(gòu)成，即用戶設(shè) 備UEi和用戶設(shè)備UEj中的用戶可重組邏輯電路Sa相同，用戶設(shè)備UEi和用戶設(shè)備UEj中 的系統(tǒng)可重組邏輯電路Pa相同。這樣，利用相同的控制信號控制可重組邏輯電路構(gòu)成的邏 輯電路一樣。若在認(rèn)證信息傳輸過程中安全熵信息參數(shù)CTik沒有被篡改，則用戶設(shè)備UEj利用 從認(rèn)證信息中提取出的用戶安全熵CSTik控制用戶可重組邏輯電路Sa構(gòu)成的邏輯電路和 利用從認(rèn)證信息中提取出的系統(tǒng)安全熵CSKik控制系統(tǒng)可重組邏輯電路Pa構(gòu)成的邏輯電 路將會與在用戶設(shè)備UEi中構(gòu)成的邏輯電路相同，這樣在用戶設(shè)備UEj中基于從認(rèn)證信息 中提取出的安全熵信息參數(shù)CTik得到的安全熵指數(shù)CKik等于在用戶設(shè)備UEi中生成的安 全熵混合數(shù)STik。若在認(rèn)證信息傳輸過程中安全熵信息參數(shù)CTik被篡改，則用戶設(shè)備UEj
18得到的安全熵指數(shù)CKik不同于在用戶設(shè)備UEi中生成的安全熵混合數(shù)STik。步驟ST1003 用戶設(shè)備UEj計算用戶設(shè)備UEi的授權(quán)公鑰證書GCik，。XikCKik/Yikek mod nk = GCik，其中，Xik和Yik是從認(rèn)證信息ATik中提取得到的，ek和nk是第k個授權(quán)中心 CAk的公鑰相關(guān)的參數(shù)。若在上述步驟ST1002中得到的安全熵指數(shù)CKik等于在用戶設(shè)備UEi中生成的安 全熵混合數(shù)STik，則能正確得到GCik’，否則不能正確得到GCik’。步驟ST1004 用戶設(shè)備UEj利用計算出的用戶設(shè)備UEi的授權(quán)公鑰證書GCik，來 驗證用戶設(shè)備UEi是否為合法。例如，用戶設(shè)備UEj對計算出的用戶設(shè)備UEi的授權(quán)公鑰證書GCik’和已知的用 戶設(shè)備UEi的授權(quán)公鑰證書GCik進(jìn)行比較，根據(jù)比較結(jié)果驗證用戶設(shè)備UEi是否為合法。例如，由于用戶設(shè)備UEi授權(quán)公鑰證書GCik中可以包括idi參數(shù)，該idi包含用 戶設(shè)備UEi的信息，例如網(wǎng)址、電話號碼、身份等，所以通過比較這些信息即可驗證用戶設(shè) 備UEi的合法性。若有另一個不具有從第k個授權(quán)中心授權(quán)得到的用戶私鑰Sik的用戶設(shè)備假冒用 戶設(shè)備UEi則無法通過上述認(rèn)證過程。用戶設(shè)備UEi對用戶設(shè)備UEj的認(rèn)證過程與上述過程相同，在此省略。用戶設(shè)備UEj與用戶設(shè)備UEi之間的雙方身份認(rèn)證通過后，進(jìn)入雙方密鑰協(xié)商的 協(xié)議階段，否則中斷雙方通信，控制系統(tǒng)提示非法用戶。實施方式八本實施方式八的身份認(rèn)證過程中，通過圖7所示流程得到認(rèn)證信息ATik(包括 Xik, Yik, CTik)之后，還進(jìn)一步計算認(rèn)證信息ATik的摘要，即用戶設(shè)備UEi計算Xik、Yik、 安全熵信息參數(shù)CTik的摘要，得到Xikm、Yikm、CTikm。用戶設(shè)備UEi將認(rèn)證信息ATik(包 括Xik、Yik、CTik)以及認(rèn)證信息的摘要ATikm(包括Xikm、Yikm, CTikm)發(fā)送給用戶設(shè)備 UEj。用戶設(shè)備UEj從用戶設(shè)備UEi接收到認(rèn)證信息ATik (包括Xik、Yik、CTik)以及認(rèn) 證信息的摘要ATikm(包括Xikm、Yikm、CTikm)之后，在對用戶設(shè)備UEi進(jìn)行認(rèn)證時，在上述 圖9所示的步驟ST1001之前，執(zhí)行如下步驟用戶設(shè)備UEj利用所接收的摘要Xikm、Yikm、 CTikm來核對認(rèn)證信息Xik、Yik、CTik。具體而言，用戶設(shè)備UEj使用與用戶設(shè)備UEi同樣的摘要算法來計算身份認(rèn)證信 息Xik、Yik、CTik的摘要信息Xikm’、Yikm’、CTikm'。如果計算得出的摘要信息Xikm’、 Yikm，、CTikm'和接收的摘要信息Xikm、Yikm、CTikm 一致，則說明Xik、Yik、CTik沒有被篡 改，進(jìn)入步驟ST1001。如果核對結(jié)果不一致，則說明Xik、Yik、CTik信息被篡改，用戶設(shè)備 UEi未通過身份認(rèn)證，并結(jié)束認(rèn)證過程。實施方式九在對身份認(rèn)證信息進(jìn)行加密時，可以采用本實施方式九的身份認(rèn)證過程。在本實施方式九的身份認(rèn)證過程中，通過圖7所示流程得到認(rèn)證信息ATik(包括 Xik、Yik、CTik)之后，對認(rèn)證信息ATik進(jìn)行加密得到加密認(rèn)證信息Cil%。例如，在雙授權(quán)體制下，用戶設(shè)備UEi將Km作為加密密鑰，用加密算法Am對ATik(k = 1,2,......，m)執(zhí)行加密后得到 CikxyGi = 1,2,......，m)。Cikxy = [Am]& (ATik) = [Am]Km(Xik，Yik, CTik)或者，用戶設(shè)備UEi將Km作為加密密鑰，用加密算法Am對ATil、ATi2，......，
ATim執(zhí)行加密后得到CixyCixy = ^!""(ATil, ΑΤ 2,......，ATim)其中，Km是用戶設(shè)備UEi從第二授權(quán)中心CA2得到的參數(shù)，也可以是用戶設(shè)備UEi 按照規(guī)定策略生成的參數(shù)。用戶設(shè)備UEi計算出CiMk = 1,2,......，m)或者Cixy之后，將該CikXY (k = 1，
2，......，m)或者CiXY發(fā)送給用戶設(shè)備UEj。用戶設(shè)備UEj接收到CikXY(k= 1,2,......，m)或者CiXY之后，將Km作為解密密
鑰，用解密算法Am對身份認(rèn)證信息CikXY(k = 1,2,......，m)或者Cixy執(zhí)行解密后得到
Xik, Yik, CTik(k = 1,2,......，m)。其中，Km是用戶設(shè)備UEj從第二授權(quán)中心CA2得到的參數(shù)，也可以是用戶設(shè)備UEj 按照規(guī)定策略生成的參數(shù)。再如，在三授權(quán)體制下，用戶設(shè)備UEi將Km和Kn的乘積作為加密密鑰，用加密算 法 Am 對 ATik (k = 1,2,......，m)執(zhí)行加密后得到 CikXY(k = 1,2,......，m)或者 CixytlCikxy = [AJ&XKn(ATik) = [Am]MXKn(Xlk, Yik, CTik)Cixy = [Am]KmXKn(ATil, ATi2,......，ATim)其中，Km的定義同上，Kn是用戶設(shè)備UEi從第三授權(quán)中心CA3得到的參數(shù)，也可以 是用戶設(shè)備UEi按照規(guī)定策略生成的參數(shù)。在此，若多個參數(shù)作為加密密鑰時，不限于上述提到的Km和Kn的乘積這樣的形 式，還可以采用其它組合形式，例如多個參數(shù)之和等。用戶設(shè)備UEj由Km和Kn作為解密密鑰，用解密算法Am對身份認(rèn)證信息CikXY(k =1,2,......，m)或者 Cixy 執(zhí)行解密后得到 Xik，Yik, CTik(k = 1,2,......，m)。其中，Km的定義同上，Kn是用戶設(shè)備UEj從第三授權(quán)中心得到的參數(shù)，也可以是用 戶設(shè)備UEj按照規(guī)定策略生成的參數(shù)。在此，若多個參數(shù)作為解密密鑰時，不限于上述提到的Km和Kn的乘積這樣的形 式，還可以采用其它組合形式，例如多個參數(shù)之和等。當(dāng)然，不管采用何種組合形式的加密 密鑰和解密密鑰，都需要保證互成為一對密鑰。另外，關(guān)于Km和Kn，例如，Km是第二授權(quán)中心(管理中心)授權(quán)給用戶設(shè)備的安 全熵密鑰，Kn是第三授權(quán)中心(網(wǎng)管中心)授權(quán)給用戶設(shè)備的輔助密鑰，其形式如下管理中心授權(quán)安全熵私鑰證書[e，η, g，Km]；網(wǎng)管中心授權(quán)輔助私鑰證書[e，η, g，Kn, STi]。其中，e, η 授權(quán)機(jī)關(guān)公鑰g 授權(quán)機(jī)關(guān)密鑰體系本原元Km 安全熵密鑰Kn 輔助密鑰STi 安全熵混合數(shù)
實施方式十在本實施方式十中，提供用于實現(xiàn)上述實施方式七 九的用戶設(shè)備。圖10所示為在本實施方式十的用戶設(shè)備的結(jié)構(gòu)圖。如圖10所示，用戶設(shè)備與圖 5或6所示的不同點在于認(rèn)證信息生成單元504和認(rèn)證單元505以及可重組邏輯電路510。認(rèn)證信息生成單元504包括第一隨機(jī)數(shù)產(chǎn)生單元5041、安全熵參數(shù)生成單元 5042、參數(shù)計算單元5043、認(rèn)證信息構(gòu)成單元5044。認(rèn)證單元505包括參數(shù)提取單元5051、公鑰證書計算單元5052、驗證單元5053。如圖8所示，所述可重組邏輯電路510包括用戶可重組邏輯電路和系統(tǒng)可重組邏 輯電路。在生成認(rèn)證信息時，相關(guān)的單元執(zhí)行如下操作第一隨機(jī)數(shù)產(chǎn)生單元5041產(chǎn)生第一隨機(jī)數(shù)Ri ；安全熵參數(shù)生成單元5042產(chǎn)生安 全熵參數(shù)CTi ；可重組邏輯電路510基于安全熵參數(shù)CTi生成安全熵混合數(shù)STi，輸出給參 數(shù)計算單元5043 ；參數(shù)計算單元5043基于第一隨機(jī)數(shù)Ri、安全熵混合數(shù)STi、保存在授權(quán) 信息保存單元503中的第i用戶私鑰Si，按照下式產(chǎn)生Xi、Yi ；認(rèn)證信息構(gòu)成單元5044將 所述參數(shù)計算單元計算出的Xi、Yi以及所述安全熵參數(shù)生成單元5042生成的安全熵參數(shù) CTi構(gòu)成為第i認(rèn)證信息。Xi = giei *Ei mod niYi = Si * giSTi *Ei mod ni其中，ei、ni、gi是第i授權(quán)中心的公鑰相關(guān)的參數(shù)，i的值分別取1至m。所述安全熵參數(shù)生成單元5042可以包括第二隨機(jī)數(shù)產(chǎn)生單元，用于產(chǎn)生第二隨 機(jī)數(shù)Rsi ；用戶安全熵生成單元，用于生成用戶安全熵CSTi ；系統(tǒng)安全熵生成單元，用于生 成系統(tǒng)安全熵CSKi。第二隨機(jī)數(shù)Rsi、用戶安全熵CSTi、系統(tǒng)安全熵CSKi構(gòu)成安全熵參數(shù) CTi。在生成安全熵混合數(shù)STi時，所述可重組邏輯電路510中的用戶可重組邏輯電路 Sa將用戶安全熵CSTi作為控制信號，將所述第二隨機(jī)數(shù)RSi作為輸入信號，輸出用戶安全 熵混合數(shù)UTi，所述系統(tǒng)可重組邏輯電路Pa將所述系統(tǒng)安全熵CSKi作為控制信號，將所述 用戶可重組邏輯電路Sa的輸出即用戶安全熵混合數(shù)UTi作為輸入信號，輸出安全熵混合數(shù) STi0在進(jìn)行認(rèn)證時，相關(guān)的單元執(zhí)行如下操作參數(shù)提取單元5051從來自對方裝置的認(rèn)證信息中的第j認(rèn)證信息中提取Xj、Yj 以及安全熵參數(shù)CTj ；可重組邏輯電路510利用所述安全熵參數(shù)CTj計算出安全熵指數(shù) CKj ；公鑰證書計算單元5052利用Xj、Yj以及安全熵指數(shù)CKj，按照下式計算公鑰證書GCj ’； 驗證單元5053利用所述公鑰證書GCj’驗證對方裝置是否是第j授權(quán)中心的授權(quán)用戶。XjCKJ/YjeJmod nj = GCj，其中ej、nj是第j授權(quán)中心的公鑰相關(guān)的參數(shù)，j的值分別取1至m。所述安全熵參數(shù)CTj中包括第二隨機(jī)數(shù)Rsj、用戶安全熵CSTj、系統(tǒng)安全熵CSKj。 在得到安全熵指數(shù)CKj時，所述可重組邏輯電路510中的用戶可重組邏輯電路Sa將用戶 安全熵CSTj作為控制信號，將所述第二隨機(jī)數(shù)Rsj作為輸入信號，輸出用戶安全熵混合數(shù) UTj，所述系統(tǒng)可重組邏輯電路Pa將所述系統(tǒng)安全熵CSKj作為控制信號，將所述用戶可重組邏輯電路Sa的輸出即用戶安全熵混合數(shù)UTj作為輸入信號，輸出安全熵指數(shù)CKj。本實施方式中的用戶設(shè)備內(nèi)的各單元所執(zhí)行的操作均可采用上述實施方式七至 九的方法，在此省略。另外，實施方式四中的用戶卡的內(nèi)部結(jié)構(gòu)也可以與上述圖10所示的 結(jié)構(gòu)相同，在此省略。下面介紹可重組邏輯電路的原理以及實現(xiàn)方法。任何一個算法都是由一系列的基本操作按照一定順序連接而成。設(shè)OP表示構(gòu)成 不同算法操作的操作和控制關(guān)系的集合，則OF可以表示成OP= (op1,1+opl,2+. . . +OPl,ml) * (op2,1＋op2，2+. ··+op2, m2) * ... * (ορη>1+ορη> 2+· · · +OPn.mn)其中，0Pi,j(j = 1，2，...，m pi = 1，2，...，n)表示基本算法操作，“ + ”表示并行 操作關(guān)系、“ * ”表示串行操作關(guān)系。通過對不同算法進(jìn)行分析和研究，我們發(fā)現(xiàn)算法具有一個顯著的特征很多不同 的算法具有相同或相似的基本操作成分，或者說同一基本操作成分在不同算法中出現(xiàn)的頻 度很高。由于不同算法往往具有很多相同或相似的基本操作成分，這些基本操作成分所對 應(yīng)的硬件資源就可以被多種不同算法所共用，因此我們就能夠以較少的電路規(guī)模構(gòu)造一套 邏輯電路來實現(xiàn)多種算法。這就是可重組邏輯電路的設(shè)計依據(jù)。首先定義可重組邏輯電路中的一些術(shù)語。設(shè)E表示某些可被不同算法重復(fù)使用的功能部件所構(gòu)成的集合，E = {el,e2,...， em} (m e自然數(shù))，CNode表示某些指令界面可見、可控的部件所構(gòu)成的集合，CNode = Icnodel，cnode2, ... , cnoden} (η e自然數(shù))，C表示上述功能部件或可控部件之間的連接 關(guān)系所構(gòu)成的集合，C = {R<a, b>|R<a, b>是a到b的連接關(guān)系，a, b e E U CNode}，則由 E、CNode、C所確定的邏輯電路就稱為可重組邏輯電路，記為RELOG = {E，CNode, C}。其中 ei e E(i = 1,2,. . . ,m)稱為重組元素，cnodei e CNode (i = 1，2，. . .，n)稱為可控節(jié)點?？芍亟M邏輯電路的功能將隨著可控節(jié)點的控制信號的改變而改變，設(shè)可重組邏輯 電路RELOG = {E，CNode, C}所能實現(xiàn)的功能用FUNC_REL0G表示，其可控節(jié)點對應(yīng)的控制信 號的集合用CTRL表示，則FUNC_REL0G是CTRL的函數(shù)，表示為FUNC_REL0G = f (CTRL)CTRL = {ctrll, ctrl2, · · ·，ctrln} (n e 自然數(shù))如上所述，可重組邏輯電路由三部分組成多個可控節(jié)點、多個重組元素、以及可 控節(jié)點和重組元素之間的連線網(wǎng)絡(luò)。重組元素是用于實現(xiàn)各種算法的基本操作成分，是可重組邏輯電路用于構(gòu)建各種 算法的基本元素。重組元素之間的連接網(wǎng)絡(luò)用于為各種算法建立所需的數(shù)據(jù)傳輸通路。重 組元素及其連接網(wǎng)絡(luò)在可控節(jié)點的控制下實現(xiàn)不同的算法?？芍亟M邏輯電路中的可控節(jié)點主要有兩類功能可控節(jié)點和通路可控節(jié)點。控 制功能可控節(jié)點能夠使重組元素的功能改變，以適應(yīng)不同算法的不同的操作功能需求；控 制通路可控節(jié)點能夠使重組元素之間的數(shù)據(jù)傳輸路徑改變，以適應(yīng)不同算法的數(shù)據(jù)傳輸需 求。下面給出實現(xiàn)不同邏輯函數(shù)的可重組邏輯電路的例子，以方便理解可重組邏輯電 路的構(gòu)成。
圖Ila是實現(xiàn)不同邏輯函數(shù)的可重組邏輯電路的示意圖。在圖Ila所示的電路中，AND2_1、AND2_2表示2輸入與門，AND3表示3輸入與門， 0R2表示2輸入或門，NOT表示非門，A、B、C、D是4個輸入變量，F(xiàn)是輸出變量。在上述電 路中設(shè)置有2個可控節(jié)點AND2_1和AND2_2，其控制信號分別記為CTRLl和CTRL2。通過對 CTRLl和CTRL2賦以不同的值，就可以改變上述電路的邏輯功能，實現(xiàn)不同的邏輯函數(shù)。圖 lib所示的表給出了當(dāng)CTRLl和CTRL2取不同的值的時候，上述圖Ila所示的電路所實現(xiàn)的 函數(shù)關(guān)系。上述圖Ila所示的可重組邏輯電路可以描述為RELOG = {E, CNode，C}其中，重組元素集合E = {AND3，NOT, 0R2}；可控節(jié)點集合CNode= {AND2_1, AND2_2}；連接網(wǎng)絡(luò)C = {AND3 — AND2—1，NOT — AND2—2，AND2—1 — 0R2, AND2—1 — 0R2}。該可重組邏輯電路實現(xiàn)的函數(shù)可表示為FUNC_REL0G = f (CTRL) = CTRLl · ABC+CTRL2 · D其中，控制信號CTRL = {CTRL1，CTRL2}。圖12a是實現(xiàn)不同連接關(guān)系的可重組邏輯電路示意圖。圖12a所示的可重組邏輯 電路中共有3個重組元素A、B、C。A和B的輸出經(jīng)過MUX選通后進(jìn)入C部件，作為C部件的 輸入。其中MUX就是一個可控節(jié)點，該可控節(jié)點通過控制信號M進(jìn)行控制。通過對這個可 控節(jié)點的控制就可以實現(xiàn)兩種不同的連接關(guān)系，分別如圖12b和圖12c所示。將多個重組元素組合起來真正實現(xiàn)某種算法，還必須在這些重組元素之間建立該 算法所要求的數(shù)據(jù)傳輸路徑。不同的算法所要求的數(shù)據(jù)傳輸路徑不同，實現(xiàn)多種不同的算 法，就必須使重組元素之間的連接關(guān)系可變。實現(xiàn)重組元素之間的連接關(guān)系可變，就必須 在重組元素之間的連接網(wǎng)絡(luò)中設(shè)置可控節(jié)點，通過對可控節(jié)點的控制來實現(xiàn)不同的連接關(guān) 系。如圖13所示的連接網(wǎng)絡(luò)是以寄存器間接連接的方式；其中每個重組元素B、C、D的 輸出先保存在作為連接網(wǎng)絡(luò)的寄存器中，然后再在可控節(jié)點的控制下輸入到重組元素B、C、 D的一個的輸入中。如圖14所示的連接網(wǎng)絡(luò)是以開關(guān)網(wǎng)絡(luò)直接連接的方式；其中每個重組元素B、C、 D的輸出直接通過選通網(wǎng)絡(luò)MUX連接到一個合適的輸入中。如圖15所示的連接網(wǎng)絡(luò)是部分以寄存器間接連接、部分以開關(guān)網(wǎng)絡(luò)直接連接的 方式；其中重組元素B的輸出通過選通網(wǎng)絡(luò)MUX直接與自己的輸入端相連，而重組元素C、D 的輸出先通過寄存器緩存，然后直接進(jìn)入到C、D或通過選通網(wǎng)絡(luò)B的輸入端。本領(lǐng)域的普通技術(shù)人員將會明白，在有多條線都要與一條線相連的情況下，利用 選通網(wǎng)絡(luò)來動態(tài)選擇多條線中的哪一條是一種優(yōu)選方式。另外，本領(lǐng)域的技術(shù)將會明白，雖然圖13 15的電路原理圖中都沒有整個電路的 輸入端和輸出端，但顯然可以把整個電路的輸入和輸出分別看做是特殊的重組元素而連接 在電路中。例如，可以在圖13的連接網(wǎng)絡(luò)上分別加一個輸入端和一個輸出端，分別作為整 個電路的輸入端和輸出端。
本發(fā)明的描述是為了示例和描述起見而給出的，而并不是無遺漏的或者將本發(fā)明 限于所公開的形式。很多修改和變化對于本領(lǐng)域的普通技術(shù)人員而言是顯然的。選擇和描 述實施例是為了更好說明本發(fā)明的原理和實際應(yīng)用，并且使本領(lǐng)域的普通技術(shù)人員能夠理 解本發(fā)明從而設(shè)計適于特定用途的帶有各種修改的各種實施例。
權(quán)利要求
1.一種授權(quán)認(rèn)證方法，其特征在于，包括m個授權(quán)中心，第一裝置通過向所述m個授權(quán)中心中的每一個授權(quán)中心分別申請授權(quán)，從每一個授權(quán) 中心分別得到授權(quán)信息，所述第一裝置利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一裝置認(rèn)證信息， 并將該生成的第一裝置認(rèn)證信息發(fā)送給第二裝置，所述第二裝置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn)證，其中，所述m為大于等于2的自然數(shù)。
2.根據(jù)權(quán)利要求1所述的授權(quán)認(rèn)證方法，其特征在于，所述第一裝置利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一裝置認(rèn)證信息的 步驟包括所述第一裝置分別利用從所述m個授權(quán)中心得到的m個授權(quán)信息一一對應(yīng)地生 成m個認(rèn)證信息，所述m個認(rèn)證信息構(gòu)成所述第一裝置認(rèn)證信息，所述第二裝置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn) 證的步驟包括所述第二裝置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息中的m個認(rèn)證信 息一一對應(yīng)地進(jìn)行m次認(rèn)證，當(dāng)m次認(rèn)證都通過時，對所述第一裝置的認(rèn)證通過，當(dāng)至少一 次認(rèn)證沒有通過時，對所述第一裝置的認(rèn)證失敗。
3.根據(jù)權(quán)利要求2所述的授權(quán)認(rèn)證方法，其特征在于，對于所述m次認(rèn)證中的任一次認(rèn)證來說，第二裝置根據(jù)認(rèn)證信息進(jìn)行認(rèn)證的步驟包 括所述第二裝置根據(jù)認(rèn)證信息計算得到授權(quán)驗證信息，利用所計算得到的授權(quán)驗證信息 驗證所述第一裝置是否被相應(yīng)的授權(quán)中心授權(quán)，如果上述驗證結(jié)果為是則認(rèn)證通過，否則 認(rèn)證失敗。
4.根據(jù)權(quán)利要求3所述的授權(quán)認(rèn)證方法，其特征在于，所述授權(quán)信息是由授權(quán)中心對授權(quán)給所述第一裝置的授權(quán)公鑰證書進(jìn)行簽名生成的 用戶私鑰，所述第二裝置根據(jù)認(rèn)證信息計算得到授權(quán)驗證信息，利用所計算得到的授權(quán)驗證信息 驗證所述第一裝置是否被相應(yīng)的授權(quán)中心授權(quán)的步驟包括所述第二裝置根據(jù)認(rèn)證信息計 算得到公鑰證書，比較所計算得到的公鑰證書和相應(yīng)的授權(quán)中心授權(quán)給所述第一裝置的授 權(quán)公鑰證書是否一致，如果一致則認(rèn)證通過，否則認(rèn)證失敗。
5.根據(jù)權(quán)利要求1至4中的任一項所述的授權(quán)認(rèn)證方法，其特征在于，所述第一裝置在生成第一裝置認(rèn)證信息之后，對所述第一裝置認(rèn)證信息進(jìn)行加密得到 加密的第一裝置認(rèn)證信息，并將該加密的第一裝置認(rèn)證信息發(fā)送給所述第二裝置，所述第二裝置對所接收到的加密的第一裝置認(rèn)證信息進(jìn)行解密得到第一裝置認(rèn)證信息ο
6.根據(jù)權(quán)利要求5所述的授權(quán)認(rèn)證方法，其特征在于，所述第一裝置對所述第一裝置認(rèn)證信息進(jìn)行加密時使用的加密密鑰是P個加密密鑰 參數(shù)的組合，所述第二裝置對加密的第一裝置認(rèn)證信息進(jìn)行解密時使用的解密密鑰是P個解密密 鑰參數(shù)的組合，其中，ρ是大于等于1的自然數(shù)。
7.根據(jù)權(quán)利要求6所述的授權(quán)認(rèn)證方法，其特征在于，所述P個加密密鑰參數(shù)是第一裝置從所述m個授權(quán)中心中的P個授權(quán)中心分別得到的 參數(shù)，所述P個解密密鑰參數(shù)是第二裝置從所述m個授權(quán)中心中的ρ個授權(quán)中心分別得到 的參數(shù)，其中，P是大于等于1且小于等于m的自然數(shù)， 或者，所述P個加密密鑰參數(shù)是第一裝置生成的r個參數(shù)和從所述m個授權(quán)中心中的s個授 權(quán)中心分別得到的參數(shù)，所述P個解密密鑰參數(shù)是第二裝置生成的r個參數(shù)和從所述m個 授權(quán)中心中的s個授權(quán)中心分別得到的參數(shù)，其中，r是大于等于1且小于ρ的自然數(shù)，s是 大于等于1且小于等于m的自然數(shù)，且r與s之和等于ρ。
8.一種授權(quán)認(rèn)證方法，其特征在于，包括m個授權(quán)中心， 第一用戶卡與第一裝置進(jìn)行連接，所述第一用戶卡通過所述第一裝置向所述m個授權(quán)中心中的每一個授權(quán)中心分別申 請授權(quán)得到m個授權(quán)信息，所述第一用戶卡利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成第一用戶卡認(rèn)證信 息，并將該生成的第一用戶卡認(rèn)證信息通過所述第一裝置發(fā)送給第二裝置，以便進(jìn)行對所 述第一用戶卡的認(rèn)證，其中，所述m為大于等于2的自然數(shù)。
9.一種授權(quán)認(rèn)證方法，其特征在于，包括m個授權(quán)中心，第一裝置向所述m個授權(quán)中心中的每一個授權(quán)中心分別申請授權(quán)得到m個授權(quán)信息，第一用戶卡與所述第一裝置進(jìn)行連接，所述第一裝置將從所述m個授權(quán)中心得到的m個授權(quán)信息發(fā)送給所述第一用戶卡， 所述第一用戶卡利用所述m個授權(quán)信息生成第一用戶卡認(rèn)證信息，并將該生成的第一 用戶卡認(rèn)證信息通過所述第一裝置發(fā)送給第二裝置，以便進(jìn)行對所述第一用戶卡的認(rèn)證， 其中，所述m為大于等于2的自然數(shù)。
10.一種裝置，其特征在于包括 收發(fā)單元，用于接收和發(fā)送信息；授權(quán)申請單元，用于通過收發(fā)單元向m個授權(quán)中心中的每一個授權(quán)中心分別發(fā)送授權(quán) 申請請求；授權(quán)信息保存單元，用于通過收發(fā)單元從每一個授權(quán)中心分別接收授權(quán)信息，并進(jìn)行 保存；認(rèn)證信息生成單元，用于利用從所述m個授權(quán)中心得到的m個授權(quán)信息生成認(rèn)證信息， 將所生成的認(rèn)證信息經(jīng)過收發(fā)單元發(fā)送給對方裝置；以及認(rèn)證單元，用于經(jīng)過收發(fā)單元從所述對方裝置接收對方裝置的認(rèn)證信息，并利用對方 裝置的認(rèn)證信息對對方裝置進(jìn)行認(rèn)證， 其中m為大于等于2的自然數(shù)。
11.根據(jù)權(quán)利要求10所述的裝置，其特征在于還包括 參數(shù)保存單元，用于將f個參數(shù)進(jìn)行保存，加密單元，用于利用所述參數(shù)保存單元保存的所述f個參數(shù)的組合作為加密密鑰，對 所述認(rèn)證信息生成單元生成的認(rèn)證信息進(jìn)行加密得到加密認(rèn)證信息，經(jīng)過收發(fā)單元將該加密認(rèn)證信息發(fā)送給對方裝置，解密單元，用于利用所述參數(shù)保存單元保存的f個參數(shù)的組合作為解密密鑰，對從經(jīng) 過所述收發(fā)單元接收的來自對方裝置的加密認(rèn)證信息進(jìn)行解密得到認(rèn)證信息，將認(rèn)證信息 發(fā)送給所述認(rèn)證單元，其中f為大于等于1的自然數(shù)。
12. —種系統(tǒng)，其特征在于包括多個權(quán)利要求10所述的裝置和m個授權(quán)中心， 所述授權(quán)中心包括授權(quán)單元，用于根據(jù)來自所述裝置的授權(quán)申請請求，將授權(quán)信息發(fā) 送給所述裝置，其中，m為大于等于2的自然數(shù)。
全文摘要
本發(fā)明提供一種授權(quán)認(rèn)證方法，包括m個授權(quán)中心，第一裝置通過向所述m個授權(quán)中心分別申請授權(quán)得到m個授權(quán)信息，所述第一裝置利用所述m個授權(quán)信息生成第一裝置認(rèn)證信息，并將該生成的第一裝置認(rèn)證信息發(fā)送給第二裝置，所述第二裝置根據(jù)來自所述第一裝置的第一裝置認(rèn)證信息進(jìn)行對所述第一裝置的認(rèn)證，其中，m為大于等于2的自然數(shù)。本發(fā)明還提供了一種系統(tǒng)。根據(jù)上述授權(quán)認(rèn)證方法、裝置和系統(tǒng)，能夠在存在多個授權(quán)中心的情況下保證合法終端之間的通信。
文檔編號H04L29/06GK101997684SQ20091016137
公開日2011年3月30日 申請日期2009年8月10日 優(yōu)先權(quán)日2009年8月10日
發(fā)明者劉大力, 曹春春 申請人:北京多思科技發(fā)展有限公司