[发明专利]一种适用于物联网系统的密钥管理方法及系统

权利要求书

1.一种适用于物联网系统的密钥管理方法，其特征在于，该方法包括：

使用随机数方式生成至少两个根密钥分量；

使用至少两个根密钥分量，采取两两异或的方式生成根密钥；

使用业务代码对根密钥进行分散计算，合成业务主密钥；

按照自定义格式，使用业务主密钥生成适用于物联网应用的自签名根证书；

按照自定义格式，使用业务主密钥签发生成适用于物联网应用的子证书；

所述按照自定义格式，使用业务主密钥生成适用于物联网应用的自签名根证书包括：使用业务主密钥生成非对称算法根密钥对；按照自定义格式，对证书数据进行明文编码；然后对证书数据明文编码进行哈希计算；然后使用非对称算法根密钥对的私钥对哈希数据进行签名计算得到签名数据，将证书明文数据和签名数据组织在一起生成适用于物联网应用的自签名根证书；

所述按照自定义格式，使用业务主密钥签发生成适用于物联网应用的子证书包括：使用物联网设备随机生成一对非对称算法密钥对，其中私钥保存在物联网设备中不可导出，公钥可以导出给外部使用；按照自定义格式，对证书数据进行明文编码；然后对证书数据明文编码进行哈希计算；然后使用非对称算法根密钥对的私钥对哈希数据进行签名计算得到签名数据，将证书明文数据和签名数据组织在一起生成适用于物联网应用的子证书。

2.一种适用于物联网系统的密钥管理系统，其特征在于，该系统包括：

随机密钥生成子系统，用于生成至少两个密钥分量，提供给证书生成子系统使用；

证书生成子系统，用于根密钥的生成、业务主密钥的生成、适用于物联网应用的自签名根证书的生成和适用于物联网应用的子证书生成；

用户管理子系统，用于证书生成子系统操作者的身份认证，确保证书生成子系统的安全可靠；

所述证书生成子系统进一步的用于适用于物联网应用的自签名根证书的生成，通过操作界面人工输入自定义证书数据，系统调用硬件安全模块使用业务主密钥生成非对称算法根密钥对，系统按照自定义格式，对证书数据进行明文编码；然后对证书数据明文编码进行哈希计算；然后使用非对称算法根密钥对的私钥对哈希数据进行签名计算得到签名数据，将证书明文数据和签名数据组织在一起生成适用于物联网应用的自签名根证书；

所述证书生成子系统进一步的用于适用于物联网应用的子证书生成，通过操作界面人工输入自定义证书数据，系统自动连接并打开物联网设备通信接口，调用物联网设备生成非对称算法密钥对，获取到物联网设备返回的非对称算法密钥对的公钥数据后，系统按照自定义格式，对证书数据进行明文编码；然后对证书数据明文编码进行哈希计算；然后使用非对称算法根密钥对的私钥对哈希数据进行签名计算得到签名数据，将证书明文数据和签名数据组织在一起生成适用于物联网应用的子证书。