CFL去中心化應用方法與流程

本發明屬于信息安全技術領域，涉及網絡安全。

背景技術：

由于PKI證書認證方法在傳統應用中都是基于CA中心的，也就是說，PKI證書的傳統應用都是沒有去中心化的。這種傳統的應用方式，雖然能夠解決證書的掛失問題帶來的信息安全風險，但是這種每次證書應用都由CA中心完成的應用方式，使得面向進程認證時，因進程延遲而無法應用，這限制了傳統PKI認證方法的應用的深度以及廣度，例如操作系統進程認證、數據庫訪問進程認證。同時，也因為所有的認證都依賴CA中心，這需要CA必須具有超算能力，及時完成大量的認證需求，因此這種PKI證書傳統認證方式，能耗大，建設投資大，運維管理費用高。為此，研究去中心化的直接認證方法，具有著重要的理論價值和實踐價值。

在基于標識的證書認證技術CFL的基礎上，本發明給出了CFL去中心化的認證方法，按照本方法，同樣可以給出PKI證書認證體制去中心化的認證方法，改進了傳統的PKI證書的應用依賴CA中心的認證方法。

技術實現要素：

在基于標識的證書認證技術CFL的基礎上，本發明給出了CFL去中心化應用方法。通過二代以上Ukey(含二代Ukey，下同)的工作私鑰安全輸入，基于時間戳或者隨機數動態簽名，構成CFL動態證書，在Ukey使用完畢后，刪除工作私鑰。該方法不怕Ukey被盜或者丟失，且認證時是去中心化的。該方法同樣可以應用于PKI證書認證體制的去中心化應用，改進了傳統的PKI證書的應用依賴CA中心的認證方法。

具體實施方式

CFL去中心化應用方法流程：

(1)CFL證書生成中心基于二代以上Ukey的標識ID_Ukey生成每個二代以上Ukey的臨時工作公私鑰對；

(2)用戶到CFL注冊中心填寫自己的基本信息，核實后，領取帶有臨時工作公私鑰對的二代以上Ukey；

(3)用戶領取二代以上Ukey，選定自己的工作私鑰(保密字或者用戶的生物信息)SK_u，利用二代以上Ukey，安全生成對應的工作公鑰PK_u，構成如下信息ID_u||PK_u，以自己的工作私鑰對ID_u||PK_u進行簽名生成SIGN₁；

(4)用戶以CFL證書生成中心的工作公鑰對ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′進行加密發送給CFL證書生成中心，其中SIGN′是用戶用Ukey臨時工作私鑰對ID_u||PK_u||SIGN₁||ID_Ukey進行的簽名；

(5)CFL證書生成中心收到ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′的加密信息后，解密得ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′，根據ID_Ukey生成相應的臨時公私鑰對，利用臨時公鑰對SIGN′進行驗證，驗證通過后，生成靜態CFL證書即C_u＝ID_u||PK_u||SIGN₁||ID_C||SIGN₂，其中ID_C是CFL證書生成中心的為用戶證書的管理信息，SIGN₂是CFL證書生成中心為用戶的CFL證書的CFL認證算法簽名；

(6)CFL證書生成中心以用戶的工作公鑰加密靜態CFL證書并簽名發送給用戶，用戶驗證CFL證書生成中心的簽名，通過后，解密得用戶自己的靜態CFL證書。

(7)用戶將工作私鑰備份，將二代以上Ukey中的工作私鑰以及臨時工作私鑰刪除，并將靜態CFL證書存儲在二代以上Ukey內；

(8)用戶在每次使用二代以上Ukey時，通過二代以上Ukey中的安全輸入設備，輸入自己的工作私鑰，在使用CFL證書時，由靜態CFL證書變成動態CFL證書，即C_D＝C_u||T||SIGN₃＝ID_u||PK_u||SIGN₁||ID_C||SIGN₂||T||SIGN₃，其中T是用戶使用時的時間戳或者是隨機數，SIGN₃是用戶利用自己的工作私鑰對ID_u||PK_u||ID_C||T的簽名；

(9)第三方在驗證用戶的動態證書時，利用PK_u驗證SIGN₁，SIGN₃，利用CFL認證算法驗證SIGN₂；

(10)用戶使用完畢CFL證書后，在Ukey中刪除用戶自己的工作私鑰。

CFL去中心化應用方法安全性分析：

PKI證書的傳統的應用方式是指Ukey中一直含有用戶的工作私鑰的，我們有下面的結論：

命題1在PKI證書的傳統的應用方式中，若該用戶的Ukey丟失，則該用戶必須對該Ukey進行掛失，否則存在信息安全問題。

證明因為該Ukey中含有該用戶的工作私鑰，PKI證書信息，因此該Ukey的撿到者可以冒充該用戶與驗證方進行證書交換，且證書的驗證是通過的，因此存在信息安全問題。

命題2在PKI證書的傳統的應用方式中，驗證方只有在用戶的證書在CA中心被證明沒有掛失登記后，才可能效性。

證明若該PKI證書沒有在CA中心證明掛失登記，說明該用戶的Ukey可能沒有丟失，因此才可能有效。

顯然我們易得：

命題3若用戶Ukey丟失了，而驗證方不知道用戶已經掛失該Ukey，直接對用戶的PKI證書進行驗證，因此存在信息安全問題。

命題1、命題2、命題3說明了傳統的PKI證書使用方法必須依靠CA中心。從而不適應當前實踐中迫切需要的直接進程認證。

本發明給出的CFL去中心化應用方法可以在實際中去中心化。我們有下述命題：

命題4本發明給出的CFL去中心化應用方法是安全的。

證明在二代以上Ukey丟失后，由于撿到者并不知道用戶的工作私鑰，因此撿到者無法冒充該用戶，所以本發明應用去中心化是安全的。

顯然我們有如下推論：

命題5本發明給出的CFL去中心化方法，同樣可以適用于PKI證書的使用，從而可以改進PKI證書的傳統應用方法，進而可以達到應用去中心化。

由命題1至命題5可知，本發明可以應用去中心化，因此可以做到直接進程認證，從而可以基于本發明支持安全操作系統、安全數據庫、安全軟件、安全計算機、安全網絡的建設。