[发明专利]基于非对称算法的证书介质在线格式化与解锁方法

说明书

技术领域

本发明涉及PKI领域的证书介质管理技术，具体涉及一种证书介质在线格式化方法以及解锁方法。

背景技术

随着PKI/PMI技术的推广，数字证书的应用已逐渐融入到日常生活，公钥基础设施管理机构所签发的证书容量逐渐扩展，证书应用的范围也越来越广，由此引发对证书介质管理口令进行管理问题。

目前对介质的管理口令进行管理的方式包括以下两种：

1、采用厂商自有的管理工具，通过厂商管理的默认管理口令进行管理，厂商提供一个统一解锁工具进行管理，其弱点在于该工具可从多渠道获取，只要获得该工具即可进行解锁，介质的使用安全性得不到保障。

2、由CA中心制定统一的管理口令，在发证前，通过一个格式化工具将管理口令修改为统一的管理口令，然后在管理员内部下发可进行解锁的客户端，其弱点在于管理员可以进行跨域解锁，且由于管理员离职或解锁工具流失，均会影响介质的使用安全性。

从以上方法可以看出，目前的证书介质口令管理存在安全弱点，当证书介质被窃取后，存在明确的伪造使用漏洞。

发明内容

本发明针对现有证书介质口令管理不安全的问题，而提供一种基于非对称算法的证书介质在线格式化的方法，通过该方法保障证书介质的口令安全。

作为本发明的第二目的，本发明还提供一种基于非对称算法的证书介质在线解锁的方法，通过该方法保障证书介质在线解锁的安全性。

为了达到上述目的，本发明采用如下的技术方案：

基于非对称算法的证书介质在线格式化方法，该方法中涉及的服务端提供一个管理口令生成器；同时在介质管理接口内置管理证书；据此实施的格式化方法包括如下步骤：

（1.1）在线格式化时控件首先调用介质管理接口产生一次性随机码R1，同时获取介质序列号KSN，并将R1和KSN提交到服务端；

（2.1）服务端使用KSN获取介质对应管理口令SOPIN1，使用R1对SOPIN1加密，得到ESOPIN1，同时使用管理证书对应私钥对R1进行签名，得到SIG1，将ESOPIN1和SIG1发送到客户端；

（3.1）控件调用介质管理接口中的格式化函数，传入ESOPIN1和SIG1；

（4.1）介质管理接口使用内置管理证书对SIG1进行签名验证，验证通过，使用R1对ESOPIN1进行解密得到SOPIN1，对介质进行格式化操作，并将其管理口令设置为SOPIN1，重置随机码为R2。

基于上述方案，本发明提供的基于非对称算法的证书介质在线解锁方法，包括如下步骤：

（1.2）在线解锁时控件首先通过介质管理接口从介质读取签名证书序列号SN，获取介质序列号KSN，产生一次性随机码R3，汇同管理员证书序列号ASN一起发送到服务端；

（2.2）服务端通过ASN检查管理员权限，确认是否有权对该介质进行解锁；

（3.2）服务端使用KSN获取介质对应管理口令SOPIN1，使用SN获取用户加密证书ECER，使用ECER中的公钥对R3进行加密得到ER3，使用R3对SOPIN1进行加密得到ESOPIN2，使用管理证书对应私钥对R3进行签名，得到SIG3，将ER3，ESOPIN2和SIG3发送到客户端；

（4.2）控件调用介质管理接口中的解锁函数，传入ER3，ESOPIN2和SIG3；

（5.2）介质管理接口使用内置管理证书对SIG3进行签名验证，验证通过，使用R3对ESOPIN1进行解密得到SOPIN1，使用SOPIN1将用户口令修改为默认口令PIN1，使用PIN1对介质进行操作，调用介质管理接口使用加密私钥对ER3进行解密，得到DR3，将DR3与R3进行对比，若不同，则保持介质锁定状态，若相同，则重置用户口令为默认口令。

根据上述方案本发明能够保障证书介质在线格式化和解锁的安全性，能够在大规范的公钥基础设施中保障证书介质的口令安全，为数字证书的推广和使用铺平道路。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明流程图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。