[发明专利]一种密钥分发方法、装置和计算机可读介质

权利要求书

1.一种密钥分发方法(600)，其特征在于，包括：

-一个供应商的证书颁发机构(22)为所述供应商的一个工业设备(23)配置(S601)为所述工业设备(23)分发的第一密钥对(101)以及为所述工业设备(23)欲加入网络中的密钥服务器(21)分发的第二密钥对(102)中的第二证书(102b)，其中，所述第一密钥对(101)中包括第一私钥(101a)和第一证书(101b)；

-所述证书颁发机构(22)为所述密钥服务器(21)配置(S602)所述第二密钥对(102)中的第二私钥(102a)以及所述证书颁发机构(22)的第三证书(103b)；

-所述工业设备(23)向所述密钥服务器(21)发送(S603)所述第一证书(101b)，以请求所述密钥服务器(21)分发所述工业设备(23)的分发密钥；

-所述密钥服务器(21)使用所述第三证书(103b)对所述第一证书(101b)进行验证(S604)，以确定所述第一证书(101b)是所述证书颁发机构(22)颁发的，进而确定所述工业设备(23)是所述供应商的工业设备；

-所述密钥服务器(21)生成(S605)所述工业设备(23)的分发密钥；

-所述密钥服务器(21)生成(S606)携带所述工业设备(23)的分发密钥的第一消息；

-所述密钥服务器(21)使用所述第二私钥(102a)对所述第一消息的内容进行签名(S607)；

-所述密钥服务器(21)使用所述第一证书(101b)中的公钥对所述第一消息的内容加密(S608)；

-所述密钥服务器(21)向所述工业设备(23)发送(S609)所述第一消息；

-所述工业设备(23)使用所述第一私钥(101a)对所述第一消息的内容进行解密(S610)；

-所述工业设备(23)使用所述第二证书(102b)中的公钥对所述第一消息内容的签名进行验证(S611)；

-所述工业设备(23)从所述第一消息中获取(S612)所述分发密钥。

2.如权利要求1所述的方法，其特征在于，所述工业设备(23)欲加入的网络为BACnet网络，

-所述工业设备(23)向所述密钥服务器(21)发送(S603)所述第一证书(101b)，包括：所述工业设备(23)向所述密钥服务器(21)发送请求主密钥消息，其中携带所述第一证书(101b)；

-在所述密钥服务器(21)使用所述第三证书(103b)对所述第一证书(101b)进行验证(S604)之后，所述密钥服务器(21)生成(S605)所述工业设备(23)的分发密钥之前，还包括；

-所述密钥服务器(21)向所述工业设备(23)发送(S604’)设置主密钥消息，其中不携带所述工业设备(23)的设备主密钥；

-所述工业设备(23)响应于所述设置主密钥消息发送(S604”)请求密钥更新消息；

-所述密钥服务器(21)生成(S605)所述工业设备(23)的分发密钥，包括：

-所述密钥服务器(21)在收到所述请求密钥更新消息后，生成(S605)所述工业设备(23)的分发密钥。

3.如权利要求1所述的方法，其特征在于，

-在所述工业设备(23)向所述密钥服务器(21)发送(S603)所述第一证书(101b)之前，还包括：所述工业设备(23)使用所述第一私钥(101a)对携带所述第一证书(101b)的第二消息的内容进行签名(S602’)；

-所述工业设备(23)向所述密钥服务器(21)发送(S603)所述第一证书(101b)，包括：所述工业设备(23)向所述密钥服务器(21)发送(S603)消息内容经签名后的所述第二消息；

-在所述密钥服务器(21)使用所述第三证书(103b)对所述第一证书(101b)进行验证(S604)之后，还包括：

-所述密钥服务器(21)从所述第一证书(101b)中提取(S6041)公钥；

-所述密钥服务器(21)用从所述第一证书(101b)中提取的公钥对所述工业设备(23)对所述第二消息中的签名进行验证(S6042)，以确定所述第一证书(101b)是属于所述工业设备(23)的。