對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)的制作方法
【專利摘要】本發(fā)明實(shí)施例提供了一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)。該方法包括：認(rèn)證中心接收到證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，認(rèn)證中心在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求；密鑰管理中心對(duì)密鑰恢復(fù)請(qǐng)求信息進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)用戶信息恢復(fù)出用戶的加密密鑰對(duì)，將恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將加密密鑰對(duì)返回給認(rèn)證中心。本發(fā)明實(shí)施例通過將用戶密鑰恢復(fù)信息引入到用戶證書的擴(kuò)展選項(xiàng)中，可以實(shí)現(xiàn)讓密鑰管理中心獲取更完善的密鑰恢復(fù)申請(qǐng)信息，實(shí)現(xiàn)了密鑰管理中心對(duì)用戶加密密鑰恢復(fù)進(jìn)行有效管理、識(shí)別。
【專利說明】對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及密鑰管理【技術(shù)領(lǐng)域】，尤其涉及一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)。
【背景技術(shù)】
[0002]基于PKI (Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)技術(shù)的數(shù)字證書在電子商務(wù)、電子政務(wù)、網(wǎng)上銀行等應(yīng)用中使用越來越廣泛，用戶急劇增長(zhǎng)。PKI是通過使用公開密鑰技術(shù)和數(shù)字證書來確保系統(tǒng)信息安全，并負(fù)責(zé)驗(yàn)證數(shù)字證書持有者身份的一種體系。一個(gè)完整地PKI系統(tǒng)是由認(rèn)證機(jī)構(gòu)、密鑰管理中心、注冊(cè)機(jī)構(gòu)、目錄服務(wù)、以及安全認(rèn)證應(yīng)用軟件、證書應(yīng)用服務(wù)等部分組成。
[0003]CA (certificate authority,認(rèn)證中心)作為電子商務(wù)交易中受信任的第三方,專門解決公鑰體系中公鑰的合法性問題。CA為每個(gè)使用公開密鑰的用戶發(fā)放一個(gè)數(shù)字證書，數(shù)字證書的作用是證實(shí)證書中列出的用戶名稱和證書中列出的公開密鑰相對(duì)應(yīng)。CA的數(shù)字簽名使得攻擊者不能偽造和篡改數(shù)字證書。
[0004]KM (Key Management，密鑰管理)系統(tǒng)負(fù)責(zé)為CA系統(tǒng)提供密鑰的生成、保存、備份、更新、恢復(fù)、查詢等密鑰服務(wù)，KM系統(tǒng)除了可以提供加密密鑰的通用密鑰管理服務(wù)，還可以為司法人員提供司法取證的服務(wù)，可以解決分布式企業(yè)應(yīng)用環(huán)境中大規(guī)模密碼技術(shù)應(yīng)用所帶來的密鑰管理問題。它應(yīng)該支持SM2算法和RSA算法，密鑰對(duì)的存儲(chǔ)也都基于國(guó)家規(guī)范，與CA系統(tǒng)的接口規(guī)范完全符合國(guó)家規(guī)范的要求，滿足作為一個(gè)高規(guī)格的密鑰管理中心應(yīng)有的安全、功能、性能需求。
[0005]密鑰的管理是PKI體系中最為關(guān)鍵的安全問題，CA系統(tǒng)簽發(fā)用戶雙證書后，對(duì)于簽名證書，私鑰由用戶自身保存，并對(duì)外發(fā)布公鑰證書。如果用戶的私鑰泄漏，則攻擊者可以利用該私鑰偽造用戶簽名信息，也可以解密該用戶的加密信息，因此保證用戶私鑰的安全性是密鑰管理中核心的內(nèi)容。而對(duì)于加密證書而言，公私鑰均由KM產(chǎn)生和管理，私鑰的分發(fā)也是密鑰管理的核心問題，用戶如果將USBKEY毀壞，需要提交密鑰恢復(fù)申請(qǐng)，重新獲得加密證書，才能對(duì)前加密證書加密過的密文進(jìn)行解密，滿足日常需要。
[0006]PKI系統(tǒng)安全問題的關(guān)鍵是密鑰管理。簽名證書中的公鑰通過公鑰證書公開發(fā)布，由證書權(quán)威機(jī)構(gòu)CA的簽名來保證它的完整性。私鑰由用戶秘密保存，一旦泄漏，攻擊者就有可能解密發(fā)給私鑰用戶的加密信息，或者偽造密鑰用戶的簽名。因此，密鑰管理的關(guān)鍵問題就是確保私鑰的安全性。當(dāng)前主要采用硬件設(shè)備的物理特性來保護(hù)私鑰的絕對(duì)安全性。用戶的私鑰由硬件設(shè)備生成而且只保存在存儲(chǔ)介質(zhì)中無法導(dǎo)出。要訪問該用戶私鑰只能通過用戶自身設(shè)定的密碼來訪問，這就確保了除用戶本人外，其他任何人均無法使用該私鑰信息。
[0007]而在使用加密證書的時(shí)候，用戶出現(xiàn)丟失或者損壞自身設(shè)備的情況時(shí)，用戶可以及時(shí)掛失等方式停止對(duì)該密鑰對(duì)的使用。但是用戶已有的加密文件將無法解密讀取，因此在PKI管理體系中提供了加密密鑰對(duì)的恢復(fù)管理，同時(shí)這也可以為司法取證提供支持。[0008]現(xiàn)有的密鑰恢復(fù)機(jī)制中，由密鑰管理中心來實(shí)現(xiàn)加密密鑰的產(chǎn)生和恢復(fù)。除了司法取證時(shí)在KM端恢復(fù)的情況外,其他情況均為用戶在RA (Register Authority,證書注冊(cè)中心)端提出申請(qǐng)的方式。當(dāng)用戶需要恢復(fù)密鑰時(shí)，首先由用戶通過RA受理點(diǎn)提出申請(qǐng)，經(jīng)過管理員審核通過后，RA才向CA發(fā)送申請(qǐng)，CA調(diào)用密鑰管理中心的密鑰恢復(fù)接口發(fā)送請(qǐng)求，密鑰管理中心通過數(shù)字信封將該用戶的加密密鑰返回給CA，CA通過該密鑰對(duì)簽發(fā)用戶證書返回給RA，最后下載到用戶證書的存儲(chǔ)介質(zhì)中。在整個(gè)過程中，只有RA管理員進(jìn)行申請(qǐng)，其余環(huán)節(jié)均為系統(tǒng)自動(dòng)完成，CA和密鑰管理中心均沒有進(jìn)行恢復(fù)控制和限制，缺乏完善的管理，不利于KM系統(tǒng)為多個(gè)CA服務(wù)，無法對(duì)用戶的密鑰恢復(fù)事件進(jìn)行記錄和管理。

【發(fā)明內(nèi)容】

[0009]本發(fā)明的實(shí)施例提供了一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法和系統(tǒng)，以實(shí)現(xiàn)對(duì)用戶加密密鑰恢復(fù)進(jìn)行有效管理、識(shí)別。
[0010]一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，包括:
[0011]認(rèn)證中心接收到證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，所述認(rèn)證中心在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求；
[0012]所述密鑰管理中心對(duì)所述密鑰恢復(fù)請(qǐng)求信息進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)所述用戶信息恢復(fù)出用戶的加密密鑰對(duì)，將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心。
[0013]一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，包括:
[0014]認(rèn)證中心，用于接收證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求；
[0015]密鑰管理中心，用于對(duì)所述認(rèn)證中心發(fā)送過來的密鑰恢復(fù)請(qǐng)求進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)所述用戶信息恢復(fù)出用戶的加密密鑰對(duì)，將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心。
[0016]由上述本發(fā)明的實(shí)施例提供的技術(shù)方案可以看出，本發(fā)明實(shí)施例通過CA將用戶密鑰恢復(fù)信息(包括用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息)引入到用戶證書的擴(kuò)展選項(xiàng)中，可以實(shí)現(xiàn)讓密鑰管理中心獲取更完善的密鑰恢復(fù)申請(qǐng)信息，實(shí)現(xiàn)了密鑰管理中心對(duì)用戶加密密鑰恢復(fù)進(jìn)行有效管理、識(shí)別，并可以根據(jù)用戶證書信息對(duì)密鑰恢復(fù)事件進(jìn)行追溯，保障用戶密鑰恢復(fù)流程的安全性和高效的可管理性。
【專利附圖】

【附圖說明】
[0017]為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)實(shí)施例描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)性的前提下，還可以根據(jù)這些附圖獲得其他的附圖。
[0018]圖1為本發(fā)明實(shí)施例一提供的一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法的處理流程示意圖；[0019]圖2為本發(fā)明實(shí)施例二提供的一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)的結(jié)構(gòu)示意圖。
【具體實(shí)施方式】
[0020]為便于對(duì)本發(fā)明實(shí)施例的理解，下面將結(jié)合附圖以幾個(gè)具體實(shí)施例為例做進(jìn)一步的解釋說明，且各個(gè)實(shí)施例并不構(gòu)成對(duì)本發(fā)明實(shí)施例的限定。
[0021]實(shí)施例一
[0022]本發(fā)明實(shí)施例提供的一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法的處理流程示意圖如圖1所示，包括如下的處理步驟:
[0023]步驟1、用戶的用戶終端向RA受理點(diǎn)提交密鑰恢復(fù)申請(qǐng)，該密鑰恢復(fù)申請(qǐng)中包含密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息，上述密鑰恢復(fù)申請(qǐng)表中包含用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息；
[0024]步驟2、RA受理點(diǎn)的管理員對(duì)上述密鑰恢復(fù)申請(qǐng)請(qǐng)求進(jìn)行初審，該初審主要驗(yàn)證用戶個(gè)人身份信息，包括用戶名字、用戶證件，并驗(yàn)證所請(qǐng)求恢復(fù)的密鑰的使用者是否是上述用戶。
[0025]步驟3、當(dāng)上述用戶終端的密鑰恢復(fù)申請(qǐng)符合條件，初審合格后，RA受理點(diǎn)將上述用戶終端的密鑰恢復(fù)申請(qǐng)發(fā)送到RA中心；如果上述用戶終端的密鑰恢復(fù)申請(qǐng)初審不合格，則給予拒絕；
[0026]步驟4、RA中心對(duì)上述用戶終端的密鑰恢復(fù)申請(qǐng)進(jìn)行審核，該審核主要審核上述用戶是否是合法用戶，以及該RA受理點(diǎn)是否有權(quán)限提交該用戶的密鑰恢復(fù)申請(qǐng)請(qǐng)求，即該用戶是否歸該RA受理點(diǎn)管理。
[0027]步驟5、當(dāng)上述用戶終端的密鑰恢復(fù)申請(qǐng)符合條件，審核合格后，RA中心的管理員根據(jù)上述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息向CA發(fā)送上述用戶的證書密鑰恢復(fù)請(qǐng)求；如果上述用戶終端的密鑰恢復(fù)申請(qǐng)審核不合格，則給予拒絕；
[0028]步驟6、CA收到上述用戶的證書密鑰恢復(fù)請(qǐng)求后，存儲(chǔ)上述用戶的證書密鑰恢復(fù)申請(qǐng)的相關(guān)信息，其中包括上述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息；
[0029]步驟7、CA根據(jù)存儲(chǔ)的上述用戶的證書密鑰恢復(fù)申請(qǐng)的相關(guān)信息組織密鑰恢復(fù)服務(wù)請(qǐng)求，并對(duì)上述用戶的數(shù)字證書進(jìn)行擴(kuò)展。
[0030]數(shù)字證書的擴(kuò)展選項(xiàng)主要用于寫入該數(shù)字證書在實(shí)際應(yīng)用時(shí)所需要的數(shù)據(jù)信息，它具有很好的靈活性，在實(shí)際應(yīng)用中，數(shù)字證書使用的具體業(yè)務(wù)可以根據(jù)需要向CA簽發(fā)機(jī)構(gòu)注冊(cè)擴(kuò)展選項(xiàng)。每一種擴(kuò)展選項(xiàng)包括三個(gè)字段:類型、可否缺省、值，其中，類型字段定義了擴(kuò)展值字段中的數(shù)據(jù)類型，這個(gè)類型可以是簡(jiǎn)單的字符串，數(shù)值，日期，圖片或一個(gè)復(fù)雜的數(shù)據(jù)類型；可否缺省字段是一比特標(biāo)識(shí)位。當(dāng)擴(kuò)展標(biāo)識(shí)為不可缺省時(shí)，說明相應(yīng)的擴(kuò)展值非常重要，應(yīng)用程序不能忽略這個(gè)信息。如果使用數(shù)字證書的應(yīng)用程序不能處理該字段的內(nèi)容，就應(yīng)該拒絕此數(shù)字證書；擴(kuò)展值字段包含了這個(gè)擴(kuò)展實(shí)際的數(shù)據(jù)，由使用數(shù)字證書的應(yīng)用程序來讀取使用。
[0031]上述密鑰恢復(fù)服務(wù)請(qǐng)求中包括協(xié)議版本、服務(wù)請(qǐng)求標(biāo)識(shí)符、CA標(biāo)識(shí)符、數(shù)字證書的擴(kuò)展選項(xiàng)和請(qǐng)求信息的簽名，在數(shù)字證書的擴(kuò)展選項(xiàng)中加入用戶密鑰恢復(fù)信息，該用戶密鑰恢復(fù)信息中包括用戶恢復(fù)時(shí)間requestTime、恢復(fù)申請(qǐng)事由requestReason、恢復(fù)次數(shù)requestList 等信息。
[0032]上述數(shù)字證書的擴(kuò)展選項(xiàng)的格式如下:
[0033]ReqProofValue = Sign{reqType| |requestList| |requestTime | |requestReasoη}；
[0034]步驟8、CA將上述密鑰恢復(fù)服務(wù)請(qǐng)求發(fā)送到密鑰管理中心；
[0035]步驟9、密鑰管理中心接收CA發(fā)送的上述密鑰恢復(fù)服務(wù)請(qǐng)求，檢查確定該密鑰恢復(fù)服務(wù)請(qǐng)求的合法性；
[0036]步驟10、若檢查上述密鑰恢復(fù)服務(wù)請(qǐng)求不合法，則密鑰管理中心對(duì)該密鑰恢復(fù)服務(wù)請(qǐng)求給予拒絕；若檢查上述密鑰恢復(fù)服務(wù)請(qǐng)求合法，則密鑰管理中心執(zhí)行下一個(gè)步驟。
[0037]步驟11、密鑰管理中心接著解析上述密鑰恢復(fù)服務(wù)請(qǐng)求，獲取用戶信息和用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)等信息。根據(jù)解析得到的用戶信息通過密鑰恢復(fù)模塊恢復(fù)該用戶的加密密鑰對(duì)，其中包括私鑰和公鑰，對(duì)私鑰進(jìn)行數(shù)字信封處理并返回給CA，同時(shí)，還返回用戶公鑰等信息給CA中心。
[0038]密鑰管理中心將上述用戶密鑰恢復(fù)信息(包括用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù))和用戶密鑰對(duì)信息關(guān)聯(lián)存入數(shù)據(jù)庫(kù)，為后續(xù)管理員查詢、審計(jì)、司法取證等業(yè)務(wù)提供服務(wù)。
[0039]步驟12、CA對(duì)上述密鑰管理中心返回的數(shù)字信封解封，獲取上述密鑰管理中心返回的用戶的加密密鑰對(duì)中的私鑰和公鑰信息，根據(jù)該加密密鑰對(duì)中的私鑰和公鑰信息組織并簽發(fā)用戶證書，在用戶證書的擴(kuò)展選項(xiàng)中加入本次密鑰恢復(fù)的相關(guān)記錄信息，其中包括:用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息。
[0040]同時(shí)CA將簽發(fā)的用戶證書信息與之前存儲(chǔ)的上述用戶的證書密鑰恢復(fù)申請(qǐng)的相關(guān)信息關(guān)聯(lián)，存入數(shù)據(jù)庫(kù)，為日志審計(jì)、證書管理、司法取證等業(yè)務(wù)提供服務(wù)。
[0041]步驟13、CA對(duì)簽發(fā)的用戶證書信息進(jìn)行數(shù)字信封處理后，通過SSL (SecureSockets Layer,安全套接層)安全加密通道發(fā)送到RA中心；
[0042]步驟14、RA中心通過對(duì)數(shù)字信封解封恢復(fù)出上述用戶證書，將該恢復(fù)的用戶證書信息下載到用戶的密鑰存儲(chǔ)介質(zhì)中，完成一次用戶密鑰恢復(fù)流程。
[0043]實(shí)施例二
[0044]該實(shí)施例提供的一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)的結(jié)構(gòu)示意圖如圖2所示，包括:
[0045]認(rèn)證中心21，用于接收證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求；
[0046]密鑰管理中心22，用于對(duì)所述認(rèn)證中心發(fā)送過來的密鑰恢復(fù)請(qǐng)求進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)所述用戶信息恢復(fù)用戶的加密密鑰對(duì)，將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心。
[0047]進(jìn)一步地，所述系統(tǒng)還可以包括:
[0048]證書注冊(cè)中心受理點(diǎn)23，用于接收用戶的用戶終端發(fā)送的密鑰恢復(fù)申請(qǐng)，該密鑰恢復(fù)申請(qǐng)中包含密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息，所述密鑰恢復(fù)申請(qǐng)表中包含用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息，對(duì)所述密鑰恢復(fù)申請(qǐng)請(qǐng)求進(jìn)行初審，在初審合格后，將所述密鑰恢復(fù)申請(qǐng)發(fā)送到證書注冊(cè)中心；
[0049]證書注冊(cè)中心24，用于對(duì)所述證書注冊(cè)中心受理點(diǎn)發(fā)送的密鑰恢復(fù)申請(qǐng)進(jìn)行審核，在審核合格后，根據(jù)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息向認(rèn)證中心發(fā)送所述用戶的證書密鑰恢復(fù)請(qǐng)求。
[0050]具體的，所述的認(rèn)證中心21，還用于收到所述證書密鑰恢復(fù)請(qǐng)求后，存儲(chǔ)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息；
[0051]根據(jù)存儲(chǔ)的所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息組織密鑰恢復(fù)服務(wù)請(qǐng)求，該密鑰恢復(fù)服務(wù)請(qǐng)求中包括協(xié)議版本、服務(wù)請(qǐng)求標(biāo)識(shí)符、認(rèn)證中心標(biāo)識(shí)符、數(shù)字證書的擴(kuò)展選項(xiàng)和請(qǐng)求信息的簽名，在所述數(shù)字證書的擴(kuò)展選項(xiàng)中加入用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息；
[0052]將所述密鑰恢復(fù)服務(wù)請(qǐng)求發(fā)送到密鑰管理中心。
[0053]具體的，所述的密鑰管理中心22，還用于接收到所述密鑰恢復(fù)服務(wù)請(qǐng)求后，檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求的合法性，在檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求合法后，解析所述密鑰恢復(fù)服務(wù)請(qǐng)求，獲取用戶信息和用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息；
[0054]根據(jù)解析得到的用戶信息恢復(fù)出所述用戶的包括私鑰和公鑰的加密密鑰對(duì)，將所述用戶的加密密鑰對(duì)和所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)存儲(chǔ)；
[0055]對(duì)所述私鑰進(jìn)行數(shù)字信封處理后，將所述私鑰和公鑰發(fā)送給所述認(rèn)證中心。
[0056]具體的，所述的認(rèn)證中心21，還用于對(duì)所述密鑰管理中心返回的數(shù)字信封解封，獲取所述密鑰管理中心返回的用戶的加密密鑰對(duì)，根據(jù)該加密密鑰對(duì)組織并簽發(fā)用戶證書，在用戶證書的擴(kuò)展選項(xiàng)中加入本次密鑰恢復(fù)的相關(guān)記錄信息，該相關(guān)記錄信息包括:用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息；
[0057]將簽發(fā)的用戶證書信息與之前存儲(chǔ)的所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)；
[0058]對(duì)簽發(fā)的用戶證書信息進(jìn)行數(shù)字信封處理后，通過安全加密通道發(fā)送到證書注冊(cè)中心；
[0059]具體的，所述的證書注冊(cè)中心24，還用于對(duì)所述認(rèn)證中心返回的數(shù)字信封解封，恢復(fù)出所述用戶證書，將恢復(fù)的用戶證書信息下載到用戶的密鑰存儲(chǔ)介質(zhì)中，完成一次用戶密鑰恢復(fù)流程。
[0060]用本發(fā)明實(shí)施例的系統(tǒng)進(jìn)行對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的具體過程與前述方法實(shí)施例類似，此處不再贅述。
[0061]本領(lǐng)域普通技術(shù)人員可以理解:附圖只是一個(gè)實(shí)施例的示意圖，附圖中的模塊或流程并不一定是實(shí)施本發(fā)明所必須的。
[0062]本領(lǐng)域普通技術(shù)人員可以理解:實(shí)施例中的設(shè)備中的模塊可以按照實(shí)施例描述分布于實(shí)施例的設(shè)備中，也可以進(jìn)行相應(yīng)變化位于不同于本實(shí)施例的一個(gè)或多個(gè)設(shè)備中。上述實(shí)施例的模塊可以合并為一個(gè)模塊，也可以進(jìn)一步拆分成多個(gè)子模塊。
[0063]綜上所述，本發(fā)明實(shí)施例通過CA將用戶密鑰恢復(fù)信息(包括用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息)引入到用戶證書的擴(kuò)展選項(xiàng)中，擴(kuò)展CA與密鑰管理中心的通信協(xié)議，可以實(shí)現(xiàn)讓密鑰管理中心獲取更完善的密鑰恢復(fù)申請(qǐng)信息，并在密鑰管理中心的數(shù)據(jù)庫(kù)中增加密鑰恢復(fù)日志記錄。實(shí)現(xiàn)了密鑰管理中心對(duì)用戶加密密鑰恢復(fù)進(jìn)行有效管理、識(shí)另|J，并可以根據(jù)用戶證書信息對(duì)密鑰恢復(fù)事件進(jìn)行追溯，保障用戶密鑰恢復(fù)流程的安全性和高效的可管理性，對(duì)PKI體系的安全管理進(jìn)行有效的補(bǔ)充和優(yōu)化。同時(shí)也可以為后續(xù)的日志審計(jì)、證書管理、司法取證等業(yè)務(wù)提供服務(wù)。
[0064]本發(fā)明實(shí)施例中，在CA數(shù)據(jù)庫(kù)中對(duì)恢復(fù)的用戶證書與用戶密鑰恢復(fù)信息相關(guān)聯(lián)，并存儲(chǔ)用戶密鑰恢復(fù)相關(guān)日志信息，可以實(shí)現(xiàn)CA對(duì)于用戶密鑰恢復(fù)流程均沒有進(jìn)行恢復(fù)控制和限制，有利于KM系統(tǒng)為多個(gè)CA提供服務(wù)。
[0065]以上所述，僅為本發(fā)明較佳的【具體實(shí)施方式】，但本發(fā)明的保護(hù)范圍并不局限于此，任何熟悉本【技術(shù)領(lǐng)域】的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。因此，本發(fā)明的保護(hù)范圍應(yīng)該以權(quán)利要求的保護(hù)范圍為準(zhǔn)。
【權(quán)利要求】
1.一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，其特征在于，包括: 認(rèn)證中心接收到證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，所述認(rèn)證中心在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求； 所述密鑰管理中心對(duì)所述密鑰恢復(fù)請(qǐng)求信息進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)所述用戶信息恢復(fù)出用戶的加密密鑰對(duì)，將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心。
2.根據(jù)權(quán)利要求1所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，其特征在于，所述認(rèn)證中心接收到證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求之前，還包括: 用戶的用戶終端向證書注冊(cè)中心受理點(diǎn)提交密鑰恢復(fù)申請(qǐng)，該密鑰恢復(fù)申請(qǐng)中包含密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息，上述密鑰恢復(fù)申請(qǐng)表中包含用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 所述證書注冊(cè)中心受理點(diǎn)對(duì)所述密鑰恢復(fù)申請(qǐng)請(qǐng)求進(jìn)行初審，在初審合格后，所述證書注冊(cè)中心受理點(diǎn)將所述密鑰恢復(fù)申請(qǐng)發(fā)送到證書注冊(cè)中心，該證書注冊(cè)中心對(duì)所述密鑰恢復(fù)申請(qǐng)進(jìn)行審核； 在審核合格后，所述證書注冊(cè)中心根據(jù)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息向認(rèn)證中心發(fā)送所述用戶的證書密鑰恢復(fù)請(qǐng)求。
3.根據(jù)權(quán)利要求1所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，其特征在于，所述的認(rèn)證中心在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求，包括: 認(rèn)證中心收到所述證書密鑰恢復(fù)請(qǐng)求后，存儲(chǔ)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息； 所述認(rèn)證中心根據(jù)存儲(chǔ)的所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息組織密鑰恢復(fù)服務(wù)請(qǐng)求，該密鑰恢復(fù)服務(wù)請(qǐng)求中包括協(xié)議版本、服務(wù)請(qǐng)求標(biāo)識(shí)符、認(rèn)證中心標(biāo)識(shí)符、數(shù)字證書的擴(kuò)展選項(xiàng)和請(qǐng)求信息的簽名，在所述數(shù)字證書的擴(kuò)展選項(xiàng)中加入用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 所述認(rèn)證中心將所述密鑰恢復(fù)服務(wù)請(qǐng)求發(fā)送到密鑰管理中心。
4.根據(jù)權(quán)利要求1或2或3所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，其特征在于，所述的將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心，包括: 所述密鑰管理中心接收到所述密鑰恢復(fù)服務(wù)請(qǐng)求后，檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求的合法性，在檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求合法后，所述密鑰管理中心解析所述密鑰恢復(fù)服務(wù)請(qǐng)求，獲取用戶信息和用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 所述密鑰管理中心根據(jù)解析得到的用戶信息恢復(fù)出所述用戶的包括私鑰和公鑰的加密密鑰對(duì)，將所述用戶的加密密鑰對(duì)和所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)存儲(chǔ)； 所述密鑰管理中心對(duì)所述私鑰進(jìn)行數(shù)字信封處理后，將所述私鑰和公鑰發(fā)送給所述認(rèn)證中心。
5.根據(jù)權(quán)利要求4所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的方法，其特征在于，所述的方法還包括:認(rèn)證中心對(duì)所述密鑰管理中心返回的數(shù)字信封解封，獲取所述密鑰管理中心返回的用戶的加密密鑰對(duì)，根據(jù)該加密密鑰對(duì)組織并簽發(fā)用戶證書，在用戶證書的擴(kuò)展選項(xiàng)中加入本次密鑰恢復(fù)的相關(guān)記錄信息，該相關(guān)記錄信息包括:用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 所述認(rèn)證中心將簽發(fā)的用戶證書信息與之前存儲(chǔ)的所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)； 所述認(rèn)證中心對(duì)簽發(fā)的用戶證書信息進(jìn)行數(shù)字信封處理后，通過安全加密通道發(fā)送到證書注冊(cè)中心，所述證書注冊(cè)中心對(duì)所述認(rèn)證中心返回的數(shù)字信封解封，恢復(fù)出所述用戶證書，將恢復(fù)的用戶證書信息下載到用戶的密鑰存儲(chǔ)介質(zhì)中，完成一次用戶密鑰恢復(fù)流程。
6.一種對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，其特征在于，包括: 認(rèn)證中心，用于接收證書注冊(cè)中心發(fā)送的用戶證書密鑰恢復(fù)請(qǐng)求，在用戶證書的擴(kuò)展選項(xiàng)中加入恢復(fù)申請(qǐng)事由信息，向密鑰管理中心發(fā)送包含所述用戶證書的擴(kuò)展選項(xiàng)的密鑰恢復(fù)服務(wù)請(qǐng)求； 密鑰管理中心，用于對(duì)所述認(rèn)證中心發(fā)送過來的密鑰恢復(fù)請(qǐng)求進(jìn)行解析，獲取用戶信息和恢復(fù)申請(qǐng)事由，根據(jù)所述用戶信息恢復(fù)出用戶的加密密鑰對(duì)，將所述恢復(fù)申請(qǐng)事由和加密密鑰對(duì)進(jìn)行關(guān)聯(lián)保存，并將所述加密密鑰對(duì)返回給所述認(rèn)證中心。
7.根據(jù)權(quán)利要求6所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，其特征在于，所述系統(tǒng)還包括: 證書注冊(cè)中心受理點(diǎn)，用于接收用戶的用戶終端發(fā)送的密鑰恢復(fù)申請(qǐng)，該密鑰恢復(fù)申請(qǐng)中包含密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息，所述密鑰恢復(fù)申請(qǐng)表中包含用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息，對(duì)所述密鑰恢復(fù)申請(qǐng)請(qǐng)求進(jìn)行初審，在初審合格后，將所述密鑰恢復(fù)申請(qǐng)發(fā)送到證書注冊(cè)中心； 證書注冊(cè)中心，用于對(duì)所述證書注冊(cè)中心受理點(diǎn)發(fā)送的密鑰恢復(fù)申請(qǐng)進(jìn)行審核，在審核合格后，根據(jù)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息向認(rèn)證中心發(fā)送所述用戶的證書密鑰恢復(fù)請(qǐng)求。
8.根據(jù)權(quán)利要求6所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，其特征在于: 所述的認(rèn)證中心，還用于收到所述證書密鑰恢復(fù)請(qǐng)求后，存儲(chǔ)所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息； 根據(jù)存儲(chǔ)的所述密鑰恢復(fù)申請(qǐng)表和用戶相關(guān)信息組織密鑰恢復(fù)服務(wù)請(qǐng)求，該密鑰恢復(fù)服務(wù)請(qǐng)求中包括協(xié)議版本、服務(wù)請(qǐng)求標(biāo)識(shí)符、認(rèn)證中心標(biāo)識(shí)符、數(shù)字證書的擴(kuò)展選項(xiàng)和請(qǐng)求信息的簽名，在所述數(shù)字證書的擴(kuò)展選項(xiàng)中加入用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 將所述密鑰恢復(fù)服務(wù)請(qǐng)求發(fā)送到密鑰管理中心。
9.根據(jù)權(quán)利要求6或7或8所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，其特征在于: 所述的密鑰管理中心，還用于接收到所述密鑰恢復(fù)服務(wù)請(qǐng)求后，檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求的合法性，在檢查確定所述密鑰恢復(fù)服務(wù)請(qǐng)求合法后，解析所述密鑰恢復(fù)服務(wù)請(qǐng)求，獲取用戶信息和用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 根據(jù)解析得到的用戶信息恢復(fù)出所述用戶的包括私鑰和公鑰的加密密鑰對(duì)，將所述用戶的加密密鑰對(duì)和所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)存儲(chǔ)；對(duì)所述私鑰進(jìn)行數(shù)字信封處理后，將所述私鑰和公鑰發(fā)送給所述認(rèn)證中心。
10.根據(jù)權(quán)利要求9所述的對(duì)用戶加密密鑰恢復(fù)進(jìn)行管理的系統(tǒng)，其特征在于: 所述的認(rèn)證中心，還用于對(duì)所述密鑰管理中心返回的數(shù)字信封解封，獲取所述密鑰管理中心返回的用戶的加密密鑰對(duì)，根據(jù)該加密密鑰對(duì)組織并簽發(fā)用戶證書，在用戶證書的擴(kuò)展選項(xiàng)中加入本次密鑰恢復(fù)的相關(guān)記錄信息，該相關(guān)記錄信息包括:用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息； 將簽發(fā)的用戶證書信息與之前存儲(chǔ)的所述用戶恢復(fù)時(shí)間、恢復(fù)申請(qǐng)事由、恢復(fù)次數(shù)信息進(jìn)行關(guān)聯(lián)； 對(duì)簽發(fā)的用戶證書信息進(jìn)行數(shù)字信封處理后，通過安全加密通道發(fā)送到證書注冊(cè)中心； 所述證書注冊(cè)中心，還用于對(duì)所述認(rèn)證中心返回的數(shù)字信封解封，恢復(fù)出所述用戶證書，將恢復(fù)的 用戶證書信息下載到用戶的密鑰存儲(chǔ)介質(zhì)中，完成一次用戶密鑰恢復(fù)流程。
【文檔編號(hào)】H04L29/06GK103916237SQ201210591471
【公開日】2014年7月9日 申請(qǐng)日期:2012年12月30日 優(yōu)先權(quán)日:2012年12月30日
【發(fā)明者】林文輝, 耿方, 郭向國(guó), 杜悅琨 申請(qǐng)人:航天信息股份有限公司