一種基于參數(shù)的動態(tài)生成密鑰的pki私鑰保護方法
【專利摘要】本發(fā)明涉及一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法,為此本發(fā)明采用動態(tài)根據(jù)終端唯一標識、終端信息、密鑰因子三個參數(shù)組合運算每次使用都動態(tài)生成得到私鑰，即私鑰不保存在本地，而是結(jié)合用戶唯一的物理設(shè)備信息以及其他因子動態(tài)生成PKI私鑰，使私鑰不可竊取，私鑰的安全性得到很大的提高，從而解決了的私鑰的存儲安全和訪問安全問題。此外進一步的，密鑰因子還是需要提供終端信息、終端唯一標識及圖形驗證碼的答案才能獲取的，防止了密鑰因子數(shù)被外部黑客程序攻擊而獲取，密鑰因子的保護進一步增強了私鑰的安全。
【專利說明】一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及移動設(shè)備數(shù)據(jù)交互安全領(lǐng)域，尤其是指一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法。
【背景技術(shù)】
[0002]眾所周知，現(xiàn)有移動設(shè)備中涉及數(shù)據(jù)加密時，私鑰的保護是基于PKI體系加解密及簽名運算有效性的基礎(chǔ)保證。而對于手機用戶軟證書來說，由于密鑰是以文件的方式保存在手機設(shè)備端的存儲介質(zhì)上，所以私鑰的安全問題則尤為突出。目前移動設(shè)備上的用戶軟證書私鑰加密存儲通常采用以下方法:
1、以密鑰文件的形式保存在存儲器中，以一個固定的加密密鑰進行加密存儲，需要訪問私鑰時則使用加密密鑰對該密鑰文件進行解密后得到私鑰；
2、根據(jù)用戶設(shè)置的PIN碼為因子計算后得到加密密鑰，該密鑰作為軟證書私鑰文件的加密密鑰，解密時也要求用戶輸入正確的PIN碼，通過運算后得到與加密密鑰相同的解密密鑰后對軟證書私鑰文件進行解密，最終得到用戶的私鑰。
[0003]然而上述現(xiàn)有私鑰的加密存儲方法存在的不足:
1、對于采用固定加密密鑰進行軟證書密鑰文件加密的方式，一旦攻擊者獲得存儲設(shè)備上的用戶密鑰文件后可以拷貝該密鑰文件到其他手機終端上進行使用，同時固定加密密鑰容易被破解；
2、私鑰靠單一因子作為加密密鑰加密存儲在手機終端上，比如通過用戶PIN碼對私鑰文件進行加密，這樣攻擊者只要獲取了用戶PIN碼，就可以轉(zhuǎn)移密鑰文件到其他手機終端上使用，在安全上存在風(fēng)險。
[0004]綜上可見，在私鑰保護中，若僅單純采用基于單口令密碼的方式對手機終端上的私鑰進行加密存儲的方法雖然較另一種方法來說更為可靠，但依然存在安全上的脆弱性。

【發(fā)明內(nèi)容】

[0005]本發(fā)明的目的在于克服了上述缺陷，提供一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法。
[0006]本發(fā)明的目的是這樣實現(xiàn)的:一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，包括:
私鑰動態(tài)生成；
響應(yīng)包含終端唯一標識的密鑰因子獲取請求，根據(jù)該終端唯一標識查詢保存的終端信息，至少以終端信息對密鑰因子進行加密后返回加密的密鑰因子；以及，至少以獲取的自身的終端信息對接收的加密的密鑰因子進行解密，再根據(jù)終端唯一標識、自身的終端信息及解密的密鑰因子動態(tài)生成私鑰；其中密鑰因子是隨機生成，生成后固定保存的數(shù)值；
用戶密鑰對初始化；
隨機生成密鑰因子，根據(jù)該密鑰因子、終端唯一標識及終端信息生成包括公鑰、私鑰的密鑰對，將公鑰保存；
私鑰安全訪問；
根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)通過算法進行簽名形成簽名數(shù)據(jù)，發(fā)送至少終端唯一標識與簽名數(shù)據(jù)進行驗證；
上述步驟中，至少以終端信息及圖形驗證碼的答案對密鑰因子進行加密后返回圖形校驗碼的答案相對應(yīng)的圖形數(shù)據(jù)和加密的密鑰因子；以及，至少以獲取的自身的終端信息及根據(jù)展示圖形校驗碼的圖形數(shù)據(jù)后獲取的用戶圖形校驗碼的答案的輸入對接收的加密的密鑰因子進行解密；
上述步驟中，所述終端信息包括用戶PIN碼；所述獲取的自身的終端信息包括響應(yīng)用戶PIN碼的輸入后將其作為當(dāng)下自身的終端信息的用戶PIN碼；所述終端唯一標識包括終端的MSI號或MEI號。
[0007]上述步驟中，所述響應(yīng)包含終端唯一標識的密鑰因子獲取請求與生成私鑰分別由終端外與終端自身執(zhí)行。
[0008]上述步驟中，私鑰動態(tài)生成具體包括步驟，
A)、于移動終端上獲取終端唯一標識；
B)、于移動終端上發(fā)送終端唯一標識至移動終端外并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)；
上述步驟B中，于移動終端上進行數(shù)據(jù)加密后發(fā)送終端唯一標識至移動終端外并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)，移動終端外在收到后對移動終端身份進行驗證，驗證若不通過則返回錯誤，通過方繼續(xù)步驟；
C )、于移動終端外根據(jù)傳送來的終端唯一標識查找保存的對應(yīng)移動終端信息,若無法查到則返回錯誤信息，查找到則選擇一組圖形驗證碼的答案及圖形數(shù)據(jù)并根據(jù)移動終端信息中的用戶PIN碼和選擇的圖形驗證碼的答案加密隨機數(shù)，然后將該圖形驗證碼的圖形數(shù)據(jù)及上述加密后的隨機數(shù)一并返回至移動終端上；
D)、于移動終端上提示用戶進行用戶PIN碼的輸入并展示圖形校驗碼的圖形數(shù)據(jù)提示用戶進行圖形校驗碼的答案的輸入；
E)、于移動終端上根據(jù)用戶輸入的PIN碼及圖形驗證碼的答案對加密后的隨機數(shù)進行解密，解密不成功則返回錯誤信息，成功則繼續(xù)步驟；
F)、于移動終端上根據(jù)終端唯一標識，用戶PIN碼，解密出的隨機數(shù)動態(tài)生成私鑰；
G)、于移動終端上根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)進行簽名后保存簽名數(shù)據(jù)；
H)、于移動終端上將終端唯一標識、圖形驗證碼圖形數(shù)據(jù)的答案及簽名數(shù)據(jù)傳送至移動終端外；
I)、于移動終端外根據(jù)終端唯一標識，圖形驗證碼的答案及簽名數(shù)據(jù)驗證是否正確；
上述步驟A前還包括用戶密鑰對初始化，包括步驟，
A)、于移動終端上獲取終端的唯一標識；
B)、于移動終端上生成隨機數(shù)；
C)、于移動終端上提示用戶設(shè)定用戶PIN碼；
D)、于移動終端上根據(jù)上述三步獲取到的終端的唯一標識、用戶隨機數(shù)及用戶PIN碼作為因子，利用算法生成公鑰、私鑰的密鑰對；E)、于移動終端將密鑰對中的公鑰、終端唯一標識、隨機數(shù)、用戶PIN碼進行數(shù)據(jù)加密后上傳，移動終端外在收到后對移動終端身份進行驗證，驗證若不通過則返回錯誤，通過執(zhí)行保存。
[0009]總所周知，終端的私鑰是用戶身份認證的關(guān)鍵信息，要確保不被非法訪問、竊取、拷貝使用和破解，為此本發(fā)明綜合采用終端唯一標識aMSI號或IMEI號)、終端信息(用戶PIN碼)、密鑰因子(隨機數(shù))這三個參數(shù)組合運算動態(tài)得到私鑰，即私鑰不保存在本地，而是結(jié)合手機終端SM卡等用戶唯一的物理設(shè)備信息以及安全平臺的隨機數(shù)等因子動態(tài)生成PKI私鑰，私鑰的安全性會得到很大的提高，從而解決了的私鑰的存儲安全和訪問安全問題。此外，本實施例方法中執(zhí)行分為運行在移動終端上的安全套件和移動終端外的后臺的安全平臺兩部分，兩者工作獨立，更難同時收到外界干擾，進一步增加了安全可靠度。
[0010]【【專利附圖】

【附圖說明】】
下面結(jié)合附圖詳述本發(fā)明的具體結(jié)構(gòu) 圖1為本發(fā)明的具體實施例初始化流程圖；
圖2為本發(fā)明的具體實施例流程圖。
[0011]【【具體實施方式】】
下面結(jié)合附圖對本發(fā)明具體實施例進行詳細闡述。
[0012]本發(fā)明涉及一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，包括:
私鑰動態(tài)生成；
響應(yīng)包含終端唯一標識的密鑰因子獲取請求，根據(jù)該終端唯一標識查詢保存的終端信息，至少以終端信息對密鑰因子進行加密后返回加密的密鑰因子；以及，
至少以獲取的自身的終端信息對接收的加密的密鑰因子進行解密，再根據(jù)終端唯一標識、自身的終端信息及解密的密鑰因子動態(tài)生成私鑰。
[0013]上述的密鑰因子是隨機生成，生成后固定保存的數(shù)值。
[0014]借由以上方法，在私鑰并非靜態(tài)生成后保存，而是根據(jù)每次需要使用時方動態(tài)生成，這有效避免了以往靜態(tài)保存私鑰有被破解的危險性。另外，私鑰的生成是基于至少包括終端信息、終端唯一標識及密鑰因子三個參數(shù)的，且終端信息內(nèi)容并非直接在密鑰因子獲取請求中發(fā)送，而是通過終端唯一標識來獲取，由此即使在獲取請求過程中數(shù)據(jù)被截獲第三人也無法通過該請求數(shù)據(jù)獲取，加上參數(shù)中密鑰因子更是通過基于至少包括終端信息的參數(shù)進行加密后傳輸，在動態(tài)生成私鑰前進一步需要解密方可獲得的，因此在整個方法中實現(xiàn)了對私鑰從“存在”到“生成”過程的全階段高可靠性的保護。
[0015]在上述方法中，作為可選的，終端唯一標識包括終端的MSI號或MEI號。而終端信息可包括用戶PIN碼，該用戶PIN碼為初始時用戶自行設(shè)定的一個密碼，方法中所述獲取的自身的終端信息包括響應(yīng)用戶PIN碼的輸入后將其作為當(dāng)下自身的終端信息的用戶PIN碼；
在上述方法中，作為可選的，可至少以終端信息及圖形驗證碼的答案對密鑰因子進行加密后返回圖形校驗碼的答案相對應(yīng)的圖形數(shù)據(jù)和加密的密鑰因子。對應(yīng)的，至少以獲取的自身的終端信息及根據(jù)展示圖形校驗碼的圖形數(shù)據(jù)后獲取的用戶圖形校驗碼的答案的輸入對接收的加密的密鑰因子進行解密。在密鑰因子加密中加入圖形驗證碼可有效引入一個變量，從而加強密鑰因子的加密強度。[0016]通常的，在上述方法執(zhí)行前，需要進行用戶密鑰對初始化，即隨機生成密鑰因子，根據(jù)該密鑰因子、終端唯一標識及終端信息生成包括公鑰、私鑰的密鑰對，將公鑰保存。
[0017]在上述動態(tài)生成私鑰后，可實現(xiàn)私鑰安全訪問，過程為，根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)通過算法進行簽名形成簽名數(shù)據(jù)，發(fā)送至少終端唯一標識與簽名數(shù)據(jù)進行驗證。
[0018]
上述方法中的，響應(yīng)包含終端唯一標識的密鑰因子獲取請求與生成私鑰即可由終端中兩個獨立的部分來執(zhí)行，也可分別由終端外與終端自身執(zhí)行，其中后者由于部分數(shù)據(jù)離機設(shè)置，因此安全系數(shù)更高。
[0019]
參見圖1、2為本發(fā)明方法的一個具體實施例，該實施例是以移動終端為例，
其中圖1為用戶密鑰對初始化，包括步驟:
1)、于移動終端(圖中表示為運行在移動終端上的安全套件)上獲取終端的唯一標識；
2)、于移動終端上生成隨機數(shù)(即密鑰因子)；
3)、于移動終端上提示用戶設(shè)定用戶PIN碼；
4)、于移動終端上根據(jù)上述三步獲取到的終端的唯一標識、用戶隨機數(shù)及用戶PIN碼作為因子，利用諸如RSA或SM2算法生成公鑰、私鑰的密鑰對；
5)、于移動終端將密鑰對中的公鑰、終端唯一標識、隨機數(shù)、用戶PIN碼進行數(shù)據(jù)加密后上傳，移動終端外(圖中表示為運行在移動終端外的安全平臺)在收到后對移動終端身份進行驗證，驗證若不通過則返回錯誤，通過執(zhí)行保存。
[0020]較佳的，在上述初始化完成后，根據(jù)需求進行私鑰動態(tài)生成，參見圖2，包括步驟:
A)、于移動終端(圖中表示為運行在移動終端上的安全套件)上獲取終端唯一標識；
B)、于移動終端h發(fā)送終端唯一標識至移動終端外(圖中表示為運行在移動終端外的安全平臺)并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)(即密鑰因子)；
最佳的，本步驟中，于移動終端上進行數(shù)據(jù)加密后發(fā)送終端唯一標識至移動終端外并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)，移動終端外在收到后對移動終端身份進行驗證，驗證若不通過則返回錯誤，通過方繼續(xù)步驟；
C)、于移動終端外根據(jù)傳送來的終端唯一標識查找保存的對應(yīng)移動終端信息，若無法查到則返回錯誤信息，查找到則選擇一組圖形驗證碼的答案及圖形數(shù)據(jù)并根據(jù)移動終端信息中的用戶PIN碼和選擇的圖形驗證碼的答案加密隨機數(shù)，然后將該圖形驗證碼的圖形數(shù)據(jù)及上述加密后的隨機數(shù)一并返回至移動終端上；
D)、于移動終端上提示用戶進行用戶PIN碼的輸入并展示圖形校驗碼的圖形數(shù)據(jù)提示用戶進行圖形校驗碼的答案的輸入；
E)、于移動終端上根據(jù)用戶輸入的PIN碼及圖形驗證碼的答案對加密后的隨機數(shù)進行解密，解密不成功則返回錯誤信息，成功則繼續(xù)步驟；
F)、于移動終端上根據(jù)終端唯一標識，用戶PIN碼，解密出的隨機數(shù)動態(tài)生成私鑰；
G)、于移動終端上根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)進行簽名后保存簽名數(shù)據(jù)，算法為RSA 或 SM2 ；
H)、于移動終端上將終端唯一標識、圖形驗證碼圖形數(shù)據(jù)的答案及簽名數(shù)據(jù)傳送至移動終端外；I)、于移動終端外根據(jù)終端唯一標識，圖形驗證碼的答案及簽名數(shù)據(jù)驗證是否正確。
[0021]綜上可見，本專利方法的優(yōu)勢在于:
1、用戶的PKI私鑰每次使用都動態(tài)生成，不保存在移動終端側(cè)，由此通過私鑰動態(tài)生成，不保存在移動終端本地的特性，使私鑰不可竊取。
[0022]2、用戶的PKI私鑰是根據(jù)終端信息(用戶的PIN碼)，終端的唯一標識(IMSI號或IMEI號)和初始化生成后保存在安全平臺的密鑰因子(隨機數(shù))作為因子而生成的，且私鑰的生成需要用戶輸入PIN碼，而后結(jié)合終端硬件標識，以及解密來自平臺保存的隨機數(shù)，三者同時獲得的難度非常大。
[0023]3、需要提供用戶圖形驗證碼答案，用戶PIN碼，和終端唯一標識才能獲取平臺保存的密鑰因子(隨機數(shù))，防止平臺保存的隨機數(shù)被外部黑客程序攻擊，保證了平臺保存的隨機數(shù)的安全。
[0024]需要指出的是，本發(fā)明不限于上述實施方式，任何熟悉本專業(yè)的技術(shù)人員在基于本發(fā)明技術(shù)方案內(nèi)對上述實施例所作的任何簡單修改、等同變化與修飾，均屬于本發(fā)明的保護范圍內(nèi)。
【權(quán)利要求】
1.一種基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，包括: 私鑰動態(tài)生成； 響應(yīng)包含終端唯一標識的密鑰因子獲取請求，根據(jù)該終端唯一標識查詢保存的終端信息，至少以終端信息對密鑰因子進行加密后返回加密的密鑰因子；以及， 至少以獲取的自身的終端信息對接收的加密的密鑰因子進行解密，再根據(jù)終端唯一標識、自身的終端信息及解密的密鑰因子動態(tài)生成私鑰； 其中密鑰因子是隨機生成，生成后固定保存的數(shù)值。
2.如權(quán)利要求1所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:還包括，用戶密鑰對初始化； 隨機生成密鑰因子，根據(jù)該密鑰因子、終端唯一標識及終端信息生成包括公鑰、私鑰的密鑰對，將公鑰保存。
3.如權(quán)利要求1所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:還包括，私鑰安全訪問； 根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)通過算法進行簽名形成簽名數(shù)據(jù)，發(fā)送至少終端唯一標識與簽名數(shù)據(jù)進行驗證。
4.如權(quán)利要求1-3所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述中，至少以終端信息及圖形驗證碼的答案對密鑰因子進行加密后返回圖形校驗碼的答案相對應(yīng)的圖形數(shù)據(jù)和加密的密鑰因子；以及，至少以獲取的自身的終端信息及根據(jù)展示圖形校驗碼的圖形數(shù)據(jù)后獲取 的用戶圖形校驗碼的答案的輸入對接收的加密的密鑰因子進行解密。
5.如權(quán)利要求4任意一項所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述終端信息包括用戶PIN碼；所述獲取的自身的終端信息包括響應(yīng)用戶PIN碼的輸入后將其作為當(dāng)下自身的終端信息的用戶PIN碼；所述終端唯一標識包括終端的IMSI號或IMEI號。
6.如權(quán)利要求5任意一項所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述響應(yīng)包含終端唯一標識的密鑰因子獲取請求與生成私鑰分別由終端外與終端自身執(zhí)行。
7.如權(quán)利要求6任意一項所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:私鑰動態(tài)生成具體包括步驟， A)、于移動終端上獲取終端唯一標識； B)、于移動終端上發(fā)送終端唯一標識至移動終端外并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)； C )、于移動終端外根據(jù)傳送來的終端唯一標識查找保存的對應(yīng)移動終端信息,若無法查到則返回錯誤信息，查找到則選擇一組圖形驗證碼的答案及圖形數(shù)據(jù)并根據(jù)移動終端信息中的用戶PIN碼和選擇的圖形驗證碼的答案加密隨機數(shù)，然后將該圖形驗證碼的圖形數(shù)據(jù)及上述加密后的隨機數(shù)一并返回至移動終端上； D)、于移動終端上提示用戶進行用戶PIN碼的輸入并展示圖形校驗碼的圖形數(shù)據(jù)提示用戶進行圖形校驗碼的答案的輸入； E)、于移動終端上根據(jù)用戶輸入 的PIN碼及圖形驗證碼的答案對加密后的隨機數(shù)進行解密，解密不成功則返回錯誤信息，成功則繼續(xù)步驟； F)、于移動終端上根據(jù)終端唯一標識，用戶PIN碼，解密出的隨機數(shù)動態(tài)生成私鑰。
8.如權(quán)利要求7所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述步驟A前還包括用戶密鑰對初始化，包括步驟， A)、于移動終端上獲取終端的唯一標識； B)、于移動終端上生成隨機數(shù)； C)、于移動終端上提示用戶設(shè)定用戶PIN碼； D)、于移動終端上根據(jù)上述三步獲取到的終端的唯一標識、用戶隨機數(shù)及用戶PIN碼作為因子，利用算法生成公鑰、私鑰的密鑰對； E)、于移動終端將密鑰對中的公鑰、終端唯一標識、隨機數(shù)、用戶PIN碼進行數(shù)據(jù)加密后上傳，移動終端外在收到后對移動終端身份進行驗證，驗證若不通過則返回錯誤，通過執(zhí)行保存。
9.如權(quán)利要求7或8所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述步驟F后還包括， G)、于移動終端上根據(jù)動態(tài)生成的私鑰對交易數(shù)據(jù)進行簽名后保存簽名數(shù)據(jù)； H)、于移動終端上將終端唯一標識、圖形驗證碼圖形數(shù)據(jù)的答案及簽名數(shù)據(jù)傳送至移動終端外； I)、于移動終端外根據(jù)終端唯一標識，圖形驗證碼的答案及簽名數(shù)據(jù)驗證是否正確。
10.如要求7或8所述的基于參數(shù)的動態(tài)生成密鑰的PKI私鑰保護方法，其特征在于:所述私鑰動態(tài)生成步驟B中，于移動終端上進行數(shù)據(jù)加密后發(fā)送終端唯一標識至移動終端外并請求獲取圖形驗證碼的圖形數(shù)據(jù)和隨機數(shù)，移動終端外在收到后對移動終端身份進行驗證，驗證若不通過則返回錯 誤，通過方繼續(xù)步驟。
【文檔編號】H04W12/02GK103888938SQ201210553333
【公開日】2014年6月25日 申請日期:2012年12月19日 優(yōu)先權(quán)日:2012年12月19日
【發(fā)明者】顏志超 申請人:深圳市華營數(shù)字商業(yè)有限公司