[发明专利]终端申请证书的方法

说明书

技术领域

本发明涉及DRM(数字版权管理，Digital Right Management)技术。

背景技术

DRM系统可以提供端到端的数字权限管理，是一种安全、灵活、有效的系统。DRM系统中终端的主要功能是：向证书颁发中心发起授权证书流程，用证书颁发中心的公钥验证证书的数字签名，确认证书的正确完整性和一致性而获得授权信息，并用私钥解密证书的内容密钥，访问内容服务系统，建立RTSP/RTP连接，获得加密内容的加密描述信息和RTP数据包，对RTP进行解密并按获得的授权信息播放解密后的数字解密内容。

DRM系统中证书和私钥是非常重要的，私钥必须安全保存，证书必须由证书颁发中心签发。因此如何安全、高效的获取私钥和证书是一个必须解决的问题。现有技术中一种做法是由证书颁发中心生成私钥和证书，再将私钥和证书写入终端。这样做虽然安全，但是非常不灵活，终端数目非常多，如果每个终端都要到证书颁发中心去写入私钥和证书的话将是非常麻烦的。另一种做法是通过网络将私钥和证书传给终端，虽然比较灵活，但是私钥在网络上传输将是非常危险的事，即使传输通道经过加密。

发明内容

本发明所要解决的技术问题是，提供一种既安全又灵活的申请证书的方法。

本发明为解决上述技术问题所采用的技术方案是，终端申请证书的方法，包括以下步骤：

a、终端生成公钥/私钥对，并保存私钥；

b、终端使用用户信息和公钥生成证书请求文件，将证书请求文件发送至证书颁发中心；

c、证书颁发中心验证用户信息合法后签发用户证书；产生并保存随机数，再将随机数用所述公钥加密；

d、证书颁发中心发送用户证书与加密后的随机数至终端；

e、终端使用私钥解密随机数，将解密后的随机书发送至证书颁发中心；并检测私钥与证书是否匹配，如是，保存证书；如否，证书申请失败；

f、证书颁发中心比较收到的随机数与保存的随机数，判断是否相同，如是，保存证书；如否，证书申请失败。

本发明的有益效果是，综合了现有技术两种方法的优点，终端既能方便地得到并更新私钥，又能确保私钥的安全，防止网络传输过程中数据被修改。本方法不仅可以用在DRM系统中的证书申请，也可以应用于其它系统的证书申请。

具体实施方式

下面将描述终端证书申请流程：

1、终端使用一定的算法生成公钥和私钥，并将私钥安全保存；

密钥对的产生是证书申请过程中重要的一步，应该由密钥生成系统产生强度大的密钥，其中产生的私钥应被加密后写入终端，公钥则留着下一步使用。

在一个安全的系统中，维护密钥对的备份至关重要，如果没有这种措施，当密钥丢失后，对于一些重要数据，这将是灾难性的。所以，密钥的备份和恢复也是DRM系统中的重要一环，在密钥产生系统写入私钥后，同时应该将私钥加密备份，这样即使私钥丢失，受公钥加密保护的重要信息也能够恢复。

另外，DRM终端也应该考虑所使用密钥的生命周期，它包括私钥和证书的有效时间，当过期后应该重新产生密钥对。

2、终端使用用户信息和公钥生成证书请求文件，并将证书请求文件发送给CA端(证书颁发中心)；

证书请求文件由证书请求(certReq)、一个可选的检验项(POP)，以及一个可选的登记信息项(regInfo)组成。

证书请求构成的步骤如下：

(1)产生certReq，其值包括：公钥、所有或部分的终端实体的名字、用户信息等其它所要求的证书值域，以及与登记过程相联系的控制信息；

(2)通过certReq计算出POP来证明终端拥有与所请求的证书的公钥相联系的私钥；

(3)填入所需要的其它登记信息，这些信息和POP，certReq组成证书请求信息。

POP用来证明证书请求者确实拥有所对应的私钥，这是为了防止某些攻击以及允许CA端检验终端实体和密钥对之间对应的有效性。此项可由certReq计算出来，其内容和结构随公钥算法的类型和运作模式的改变而改变。CA端在证书交换中可自由选择如何实施POP。regInfo项仅包括与证书请求有关的补充信息。它还可包括请求者的联系信息，布告信息，或对证书请求有用的辅助信息。直接与证书内容有关的信息应该包括在certReq中。