[发明专利]一种基于国密算法的SDP认证协议实现方法

权利要求书

1.一种基于国密算法的SDP认证协议实现方法，其特征在于，包括如下步骤：

步骤1，将一个或多个SDP控制器服务上线并连接至适当的可选认证和授权服务；

步骤2，将一个或多个SDP连接接受主机上线，将接受主机连接到控制器并由其进行身份验证；

步骤3，将每个上线的SDP连接发起主机都与SDP控制器连接并进行身份验证；

步骤4，在验证SDP连接发起主机之后，通过SDP控制器确定可授权给SDP连接发起主机与之通信的SDP连接接受主机列表；

步骤5，通过SDP控制器通知SDP连接接受主机接受来自SDP连接发起主机的通信以及加密通信所需的所有可选安全策略；

步骤6，通过SDP控制器向SDP连接发起主机发送可接受连接的SDP连接接主机列表以及可选安全策略；

步骤7，通过SDP连接发起主机向每个可接受连接的SDP连接接受主机发起单包授权，并创建与所述SDP连接接受主机的双向TLS连接；在授权认证过程中，使用SM2进行证书签名验证，采用SM3进行数据摘要计算，以证明请求访问SDP的设备具有一个未过期且未被吊销的私钥，并且设备上运行的软件是可信的；

2.根据权利要求1所述的基于国密算法的SDP认证协议实现方法，其特征在于，步骤7中所述TLS连接的创建过程，用A端与B端两方简化代替SDP控制器、SDP连接接受主机、SDP连接发起主机三方的具体方法包括：

1)握手请求阶段：B发起握手请求消息、A收到后发送A握手消息作为回应，或A直接发起A握手链接消息；B端收到所述A握手链接消息后，发送B端握手链接消息作为回应；

2)B端认证阶段：B端向A发送B端SM2证书，随后发送握手链接建立完成消息；

3)A认证阶段：A收到所述握手链接建立完成消息后，发送密钥交换消息；

4)完成握手阶段：A发送更换密码套件消息和结束消息，B端收到A结束消息后，发送更换密码套件消息和结束消息；双方均收到对方的结束消息并通过验证后，以约定的安全参数进行数据安全传输；

5)在握手请求阶段，所述A的握手建立消息中包含双方建立安全通道的相关安全参数，B端收到所述A的握手建立消息后，如果能从消息的安全参数中找到匹配的密码套件，则将所述匹配的密码套件包含在回应的B端的握手建立消息中；如果找不到匹配的密码套件，则回应致命报警消息；

6)在B端认证阶段，所述B端SM2证书为包含SM2公钥的SM2加密证书；

7)在A认证阶段，所述密钥交换消息中包含预主密钥，该预主密钥由A产生，采用B端的SM2公钥进行加密；

8)在B端认证阶段，A接收到所述握手链接建立完成消息之后，应验证B端SM2证书是否有效，并检验B端的握手建立消息中的安全参数是否可以接受；如果可以接受，A继续握手过程，否则回应致命报警消息；

9)若需要进行A身份验证，所述方法还包括步骤:

10)在B端认证阶段，紧随B端SM2证书之后还发送A证书请求；

11)在A认证阶段，若A曾收到B发送的证书请求，则首先向B端发送A的SM2证书，在发送完密钥交换消息后，还发送A的SM2证书签名；B端利用收到的A的SM2证书签名对A进行验证；

12)在完成握手阶段，所述结束消息内容是使用更换后的密码套件和密钥进行加密的12字节的伪随机数，所述伪随机数根据对已发握手信息的摘要值的计算而得到；

13)如果握手请求阶段匹配的密码套件使用的摘要算法是SM3算法，则在已发握手信息的摘要原文前加入由B端SM2证书中公钥计算得出的杂凑值，并在此基础上再计算所述摘要值；

14)在发送A的SM2证书签名时，签名原文送入安全硬件中使用SM3算法做摘要并在所述安全硬件中对所述摘要进行签名；其中，所述摘要及所述签名的计算均是在所述安全硬件中进行；

15)所述SM2公钥进行加密后的预主密钥包括加密公钥、所加密数据的摘要和加密后的密文；

16)在发送A的SM2证书签名时，在签名原文中加入由所述B端SM2证书中公钥计算得出的杂凑值。