[发明专利]一种基于IBC与PKI混合体系的跨域密钥管理方法

说明书

本发明提出了一种基于IBC与PKI混合体系的跨域密钥管理方法，发挥两种体系各自的优势，解决跨域环境下的KGC公共参数的互信问题。所述的密钥管理方法，基于IBC体系建立多个独立的KGC系统，基于PKI体系建立一个CA系统，CA系统为每个KGC系统的公共参数签发数字证书，并根据跨域权限管控策略，为每个KGC系统生成跨域授权列表，并通过各KGC系统下发到节点用户。当节点用户之间进行跨域认证时，交换对方的ID及其所在KGC系统的索引信息，从跨域授权列表提取公共参数并采用IBC相关算法，即可完成认证与通信过程。本发明省去了接入PPS或其他转接系统所带来的时间和经济成本，且支持灵活的跨域权限管控策略，特别适用于物联网、电子货币等具有海量节点用户的新兴领域。

技术领域

本发明涉及信息安全及密钥体系，具体来说，涉及一种基于IBC与PKI混合体系的跨域密钥管理方法。

背景技术

传统的PKI(公钥基础设施)体系是基于数字证书实现身份认证，广泛应用于加密邮件、网上银行、电子政务等领域，目前国内主要使用的是国家商用密码管理局发布的SM2非对称密码算法。在新兴的物联网、电子货币等领域，面对动辄千万级别的节点用户，对PKI系统内的CA中心服务端的硬件部署、负载均衡、灾备等能力都有着严苛的要求。为解决证书管理上的诸多问题，IBC(基于标识的密码技术)体系得到越来越广泛的应用，可有效的降低整个运营系统的负载。IBC体系的基本特性是将用户实体的唯一标识(ID)，如可识别名称、电子邮箱、身份证号、电话号码等，与密钥对直接绑定，密钥生成中心(简称KGC)根据用户的标识ID，生成并下发各用户实体的私钥之后，无需参与后续的认证过程，用户实体间直接交互双方的ID，即可完成身份认证与安全通信。目前国内主要使用的是国家商用密码管理局发布的SM9标识密码算法。

在IBC体系中，用户私钥由KGC生成并下发给用户，其密钥托管、密钥撤销以及密钥传输等机制，都要求用户必须信任KGC，即IBC体系只适用于用户无条件信任KGC的环境。如果不同运营方的用户处于不同的KGC域中，在跨域环境下的身份认证和安全通信，则面临更高要求的信任关系。目前解决跨域认证的主流解决方案是采用公共参数服务(PPS)，PPS负责发布不同KGC域的公共参数，节点用户需实时接入PPS才能完成跨域交易，需要耗费一定的系统建设成本以及每次的交互时间，并且，在此种方式下，PPS的权利至高，攻击者可在链路上凭空伪造出一个非法的域，而节点用户缺乏强有力的手段确认收到的参数是否合法，容易产生安全风险。

因此，需要设计一套高效、灵活、安全的密钥管理方法，解决跨域环境下不同的KGC公共参数的互信问题，从而实现身份认证与安全通信。

发明内容

针对相关技术的上述问题，本发明提出一种结合了PKI与IBC体系的密钥管理方法，发挥各自的优势，可高效、灵活的管理各KGC公共参数，并保证其合法性，解决跨域环境下的身份认证和安全通信。

为实现上述技术目的，本发明公布了一种基于IBC与PKI混合体系的跨域密钥管理方法，在多个IBC体系之上建立一个PKI体系，IBC体系用于管理海量节点用户及其间的认证和交互，PKI体系用于管理IBC体系的公共参数证书以及跨域授权列表。具体包含以下步骤：

S1：基于IBC体系，建立n个独立的KGC系统。生成主公钥PK_KGCi和主私钥SK_KGCi，将KGC系统的公共参数记为SYS_PARA_KGCi；

S2：基于PKI体系，建立一个CA系统。生成CA根公钥PK_CA和根私钥SK_CA；

S3：各KGC系统向CA系统上送SYS_PARA_KGCi，CA系统生成其公共参数证书CERT_KGCi，并向KGC系统下发PK_CA和跨域授权列表AUTH_LIST_KGCi；