[发明专利]一种IKI可信数字标识的生成方法及使用方法

摘要

本发明公开了一种IKI可信数字标识的生成方法，可信数字标识是基于IKI技术通过IKI标识管理中心产生并封装，可应用于信息安全领域的各认证系统中。IKI标识管理中心通过将用户上传的部分参数和由用户实体身份ID计算得出的数据组合，并用用户实体ID计算出的私钥对用户上传参数和IMC产生的数据进行签名得到可信数字标识。本发明中可信数字标识是用用户实体ID计算出的私钥进行签名，解决了无需第三方机构介入用户可进行可信数字标识认证的问题，同时本发明可信数字标识中签名公钥由用户端组合产生，加密公钥由IKI标识管理中心产生，保证了用户签名私钥的私有性，也满足解密私钥司法恢复的需求。

主权项

一种IKI可信数字标识的生成方法，其特征在于，包括以下步骤：S11标识管理中心IMC公开以下参数：公钥矩阵PKMS，标识管理中心公钥PKIDorg，ECC曲线参数，基点G，其中，利用标识管理中心私钥SKIDorg对包括公钥种子矩阵pkm、标识管理中心IDorg在内的参数进行签名，得到公钥矩阵PKMS；S12 用户实体ID和相关参数生成，包括用户填写实体ID，并利用软件或者UKey随机产生秘密值xID，则秘密值公钥PKx=xID*G，且xID长度为 比特，利用ECC算法随机产生非对称密钥对SKh、PKh；S13 加密需上传的部分参数，包括使用标识管理中心公钥PKIDorg对秘密值公钥PKx和随机非对称密钥公钥PKh加密：E（PKIDorg，PKx||PKh），其中PKx||PKh表示PKx和PKh的拼接；S14 上传用户实体ID、E（PKIDorg，PKx||PKh）和有效日期至标识管理中心IMC；S15 标识管理中心进行实体ID查重，产生实体部分私钥，包括IMC核实用户实体ID组合有效期是否唯一，若存在相同组合则不产生该实体相关密钥，驳回上传数据，否则产生用户加解密公私钥，利用PKMS和用户实体ID、有效期，计算该实体ID公钥PKID，利用私钥种子矩阵skm和实体ID、有效期计算实体ID私钥SKID、实体解密私钥SKE和将SKE变换后得到部分签名私钥SKS1；S16 标识管理中心IMC封装可信数字标识，包括使用标识管理机构私钥SKIDorg解密E（PKIDorg，PKx||PKh）得到PKx和PKh，组合实体验签名公钥：PKS=SKS1*G+PKx；计算加密公钥PKE=SKE*G，产生可信数字标识的相关数据，包括版本号、序列号数据，用SKID对（版本号||可信数字标识序列号||签名算法||颁发者||生效日期||失效日期||主题|| PKS|| PKE ||扩展域）签名，得到可信数字标识：SKID [版本号||可信数字标识序列号||签名算法||颁发者||生效日期||失效日期||主题|| PKS|| PKE||扩展域]。