[发明专利]一种标识私钥获取与发放方法

说明书

技术领域

本发明属于信息安全技术领域，特别是一种针对用户管理（包括标识管理）功能和标识私钥生成功能分离部署的标识密钥服务系统的标识私钥获取与发放方法。

背景技术

基于标识的密码技术（Identity Based Cryptography，IBC）属于公开密钥密码技术。在基于标识的密码技术中，用户的一个唯一标识就是一个公钥，如电子邮箱地址、手机号码等（电子通信标识），称为IBC公钥（实际上是一组IBC系统参数加上一个标识构成了一个IBC公钥），可用于数据加密和签名验证；每个标识对应一个私钥，称为IBC私钥（实际上是一组IBC系统参数加上一个私密数据构成了一个IBC私钥），可用于数据解密和数字签名。

在IBC中，用户的身份标识对应的私钥由一个专门的标识密钥服务系统产生。当用户或用户应用程序从标识密钥服务系统在线获取标识私钥时，为了保证私钥获取与发放的安全，除了采用安全的密钥传输通道外（如SSL加密通道），标识密钥服务系统还需要通过一定的技术手段和流程确保在线请求获取标识私钥的用户（或运行应用程序的用户）就是标识的真正拥有者（而不是假冒者）。

目前的标识密钥服务系统通常是将用户管理（包括标识管理）功能和标识私钥生成功能集成在同一系统并部署在同一位置（位于同一个安全网络中）。对于这样的标识密钥服务系统，要确认在线请求获取标识私钥的用户（或运行应用程序的用户）确实是要生成私钥的标识的真正拥有者是比较容易的，有多种技术方案可供选择，包括采用数字证书等高安全的身份鉴别手段。

但在实际应用中，人们可能需要将标识密钥服务系统中的用户管理（包括标识管理）功能和标识私钥生成功能分离，分别部署在两个不同的系统、不同的位置，比如，在面向公众的标识密钥服务中，提供用户管理（包括标识管理）功能的系统有可能是互联网应用服务提供商的用户管理系统（如云存储服务的用户管理系统），并由互联网应用服务提供商负责运行和维护，而提供标识私钥生成功能的系统又由一个获得国家相关主管部门授权的专业机构负责运行和维护（提供公共密钥服务需要具备专门的资质）；再比如，为了保障标识私钥生成的安全性，可能需要采用标识私钥分割生成的方案，即由两个或两个以上的标识私钥生成系统分别生成标识私钥，然后将它们分别生成的标识私钥在用户端通过组合运算形成最终的标识私钥，这时要求多个标识私钥生成系统中至少有一个要与负责用户管理（包括标识管理）的系统分离部署在不同的位置。在用户管理（包括标识管理）功能和标识私钥生成功能分离部署的情形下，负责标识私钥生成的系统通常是不保存用户的信息的（包括用户帐户信息和标识信息），否则的话，维护并保持保存在不同位置的用户信息的一致将是非常麻烦和困难的事情。因此，对于这种用户管理（包括标识管理）功能和标识私钥生成功能分离部署的标识密钥服务系统，通常的用户管理（包括标识管理）功能和标识私钥生成功能集成在同一系统并部署在同一位置情形下的标识私钥获取与发放方案显然不再适用，需要有不一样的标识私钥获取与发放方案，以保证用户标识私钥在线获取与发放的安全。

对于用户管理（包括标识管理）功能和标识私钥生成功能分离部署的标识密钥服务系统，本发明申请人曾在其发明专利申请“一种集成IBE数据加密系统”（申请号：201210427464.1）中提出一种使用数字证书对用户进行在线身份鉴别以保证在线标识私钥获取与发放过程安全的方案，但数字证书在实际应用中包括在数字证书申请、使用过程中都存在比较麻烦的问题（这也是数字证书目前并未获得广泛应用的重要原因），因此，从易用性的角度，在标识私钥获取与发放过程中使用数字证书进行用户在线身份鉴别未必是合适的方案，特别是在面向公众提供密钥服务时，需要一种既安全又便捷的方案；还有，专利申请201210427464.1中的标识私钥在线获取与发放方案的另一个问题是不能防止负责用户管理（包括标识管理）的机构假冒用户从标识私钥生成系统获取用户标识私钥，而这是用户非常关心的一个问题；再有，专利申请201210427464.1中的标识私钥在线获取与发放方案没有考虑生成与发放的标识私钥具有不同的安全等级的情况（不同等级的标识私钥对应不同的密钥强度和/或系统参数）。

本发明针对的是用户管理（包括标识管理）功能和标识私钥生成功能分离部署的面向电子通信标识的标识密钥服务系统，其中，电子通信标识是指电子通信设施（如电子邮件系统、移动通信系统）中用于标识用户或通信终端的通信地址或号码，包括电子邮箱地址以及移动通信终端号码。本发明针对的所述用户管理（包括标识管理）功能和标识私钥生成功能分离部署的标识密钥服务系统包括如下构件：