專利名稱：用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法和用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，尤其涉及其中的在基于標(biāo)識的密碼 體制下的數(shù)字證書管理方法；本發(fā)明還涉及用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端。
背景技術(shù)：
一、關(guān)于基于標(biāo)識的密碼體制
基于標(biāo)識的密碼體制(IBE: Identity Based Encryption)的特點(diǎn)是以一個用戶的身份標(biāo)識信 息作為該用戶的公鑰，例如以用戶的電話號碼或電子郵箱地址作為公鑰，這樣可以簡化密鑰 信息管理?；跇?biāo)識的密碼體制通過一種橢圓曲線算法實(shí)現(xiàn)，在該算法中，公鑰以對例如電 話號碼經(jīng)散列運(yùn)算后的狀態(tài)參與到運(yùn)算中，記為ID。該算法需首先在橢圓上選取一個點(diǎn)p和 設(shè)置一個主密鑰s;然后。生成密鑰參數(shù)&p和制作私鑰&ID，使得對于被用公鑰(經(jīng)散列運(yùn)算 之前或之后的狀態(tài)皆可)和密鑰參數(shù)S1p加密的數(shù)據(jù)，僅有用與該公鑰配對的私鑰s，ID才能解 密。在該算法中，主密鑰s無法憑密鑰參數(shù)s，p和在橢圓上所選取的點(diǎn)p逆推得出，也無法憑 成對的公鑰和私鑰sJD逆推得出。證書頒發(fā)機(jī)構(gòu)憑主密鑰s和各個用戶的公鑰分別制作配對 的私鑰，然后向各個用戶分別頒發(fā)其私鑰。各個用戶均知悉p以及其它相關(guān)的系數(shù)和運(yùn)算規(guī) 貝廿。私鑰的頒發(fā)最好是離線進(jìn)行，以免被網(wǎng)絡(luò)中的第三方截獲。每個用戶的私鑰不允許被其 它用戶知悉，而公鑰、密鑰參數(shù)s^則允許被所有用戶知悉。主密鑰s不允許被用戶知悉，否 則用戶將有能力偽造其它用戶的私鑰。允許被所有用戶知悉的參數(shù)既可以預(yù)先離線頒發(fā)給各 個用戶，也可以應(yīng)用戶在需建立連接之前發(fā)出的請求再發(fā)放。
在上述橢圓曲線算法中，發(fā)送方在需加密數(shù)據(jù)時為本次數(shù)據(jù)傳輸生成一個隨機(jī)數(shù)記為r 作為臨時加密參數(shù)參與加密運(yùn)算，使得解密運(yùn)算與該隨機(jī)數(shù)有關(guān)，則有
Pair(rID， s'p)=Pair(s、ID， rp)。
發(fā)送方將解密運(yùn)算所需的由該隨機(jī)數(shù)生成的臨時解密參數(shù)i"或rp —并發(fā)給接收者，接 收者用臨時解密參數(shù)和配對的私鑰解密。在有些情況下，隨機(jī)數(shù)本身即被作為臨時解密參數(shù)?；跇?biāo)識的密碼體制也被應(yīng)用到數(shù)字簽名技術(shù)中——如果發(fā)送方用私鑰對一個文件簽 名，那么接收方就可以用發(fā)送方的公鑰和密鑰參數(shù)驗(yàn)證該文件的發(fā)送方。
二、關(guān)于用戶分組通信網(wǎng)絡(luò)
現(xiàn)有用戶分組通信網(wǎng)絡(luò)，要求一個網(wǎng)絡(luò)中的各個用戶進(jìn)行分組通信，網(wǎng)絡(luò)中的一個用戶 只允許跟同組的用戶通信而不允許跟其它組的用戶通信。兩個用戶之間的通信權(quán)限需由一個 在線的第三方進(jìn)行判％，這對網(wǎng)絡(luò)運(yùn)行和維護(hù)帶來了額外的負(fù)擔(dān)?，F(xiàn)有采用基于標(biāo)識的密碼 體制的用戶分組通信網(wǎng)絡(luò)，其中的基于標(biāo)識的密碼體制僅用于滿足保密通信的需要，與分組 通信的實(shí)現(xiàn)無關(guān)。

發(fā)明內(nèi)容
本發(fā)明的目的是在一個用戶分組通信網(wǎng)絡(luò)中，實(shí)現(xiàn)網(wǎng)絡(luò)中的一個用戶只允許跟同組的 用戶通信而不允許跟其它組的用戶通信；而且對兩個用戶之間的通信權(quán)限無需由一個在線的 第三方進(jìn)行判斷，以免對網(wǎng)絡(luò)運(yùn)行和維護(hù)帶來額外的負(fù)擔(dān)。
為解決上述問題，本發(fā)明給出用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，其將網(wǎng)絡(luò)中的所 有用戶按組劃分，向用戶頒發(fā)基于標(biāo)識的密碼體制的數(shù)字證書， 其特征是
對每個組，生成一個與其它組不同的主密鑰，由該組的主密鑰生成該組的密鑰參數(shù)，讓 每個用戶知悉其所屬組的密鑰參數(shù)；
對每個用戶，讓每個用戶知悉其所屬組其它成員用戶的公鑰；憑該用戶的公鑰和其所屬 組的主密鑰制作該用戶的私鑰，向該用戶離線頒發(fā)該用戶的私鑰。
本發(fā)明為不同的組生成不同的主密鑰和密鑰參數(shù)，然后對每個用戶，憑其所屬組的主密 鑰為其生成私鑰，就使得對同組成員之間的通信，發(fā)送方能夠用接收方的公鑰和由該組的 主密鑰生成的密鑰參數(shù)加密所傳輸?shù)臄?shù)據(jù)，接收方能夠用憑該組的主密鑰所生成的私鑰來解 密。雙方通信時，對其中一方而言，加密所發(fā)送的數(shù)據(jù)時需要用到的是所屬組的密鑰參數(shù)和 對方的公鑰，解密所接收的數(shù)據(jù)時需要用到的是自己對應(yīng)該所屬組的私鑰，均無需用到與非 所屬組有關(guān)的密鑰參數(shù)和私鑰，因此只需向該用戶發(fā)放其所屬組的密鑰參數(shù)和相關(guān)的私鑰， 而無需向其發(fā)放非其所屬組的密鑰參數(shù)和相關(guān)的私鑰，如此則不同組的兩個用戶之間，發(fā)送方所用的密鑰參數(shù)和接收方的私鑰并不源于同一個主密鑰，故接收方就無法解密發(fā)送方傳過 來的數(shù)據(jù)，使得不同組的兩個用戶之間不能夠進(jìn)行通信。那么，通信權(quán)限就由基于標(biāo)識的密 碼體制中的相關(guān)參數(shù)自動實(shí)現(xiàn)區(qū)分，而無需由一個在線的第三方來判斷兩個用戶之間的通信 權(quán)限。用戶在加密和解密所傳輸?shù)臄?shù)據(jù)的同時，還可以用同一套參數(shù)進(jìn)行數(shù)字簽名和驗(yàn)證， 即發(fā)送方用對應(yīng)該所屬組的私鑰對數(shù)據(jù)進(jìn)行簽名，接收方用發(fā)送方的公鑰和該所屬組的密鑰 參數(shù)驗(yàn)證該簽名。
作為對本發(fā)明用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法的改進(jìn)，其中有至少一個用戶，其 所屬組有至少兩個，對該特殊用戶，所述的"憑該用戶的公鑰和其所屬組的主密鑰制作該用戶 的私鑰"具體為"對其每個所屬組，憑該用戶的公鑰和該所屬組的主密鑰制作該用戶對應(yīng)該所 屬組的私鑰"。
本發(fā)明方法的改進(jìn)因?yàn)樽屩辽僖粋€用戶的所屬組有至少兩個，既能夠獲悉多個密鑰參 數(shù)，每個密鑰參數(shù)對應(yīng)一個所屬組；該用戶又被頒發(fā)多把私鑰，每把私鑰對應(yīng)一個所屬組， 所以當(dāng)該用戶需要跟其中一個所屬組的用戶通信時，能夠采用自己對應(yīng)該所屬組的密鑰參數(shù) 和對方的公鑰加密所發(fā)送的數(shù)據(jù)，并采用自己對應(yīng)該所屬組的私鑰解密所接收的數(shù)據(jù)，這樣 就實(shí)現(xiàn)了對某些用戶的特別授權(quán)，使其可以跟多個組的用戶進(jìn)行通信。
實(shí)施本發(fā)明方法的改進(jìn)之后，按所存有私鑰的數(shù)量劃分，可以得到兩類用于接入用戶分 組通信網(wǎng)絡(luò)中的用戶終端。第一類用戶終端與現(xiàn)有的用戶終端一樣，只存有一把私鑰。第二 類用戶終端存有至少兩把私鑰，其作為本發(fā)明給出的用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終 端本用戶屬于網(wǎng)絡(luò)中某個組的成員，具有用于與網(wǎng)絡(luò)中的其它用戶通信的收發(fā)模塊；在基 于標(biāo)識的密碼體制下，本用戶的身份被本用戶的公鑰標(biāo)識，
其特征是
本用戶所屬組有至少兩個，所述的每個所屬組具有一個與其它組不同的主密鑰； 具有獲悉模塊，其對每個所屬組，用于獲悉由該所屬組的主密鑰生成的密鑰參數(shù)，獲 悉該所屬組其它成員用戶的公鑰；
對每個所屬組，存有憑本用戶的公鑰和該所屬組的主密鑰制作的本用戶對應(yīng)該所屬組的
私鑰；具有密鑰處理模塊，其對每個具有與本用戶終端相同的所屬組的用戶，用于用該用戶 的公鑰和該所屬組的密鑰參數(shù)加密發(fā)往該用戶的數(shù)據(jù)，用本用戶對應(yīng)該所屬組的私鑰解密來 自該用戶的數(shù)據(jù)。
因?yàn)樵撚糜诮尤胗脩舴纸M通信網(wǎng)絡(luò)中的用戶終端能夠解決上述問題，所以它也作為本發(fā) 明的技術(shù)方案給出。它能夠解決上述問題的原因如下一段所述。
本發(fā)明把基于標(biāo)識的密碼體制引入到用戶分組通信網(wǎng)絡(luò)系統(tǒng)中，且不同的組具有不同的 主密鑰和由不同的主密鑰生成的不同的密鑰參數(shù)。本發(fā)明的用戶終端和
現(xiàn)有在基于標(biāo)識的密碼體制或其它基于標(biāo)識的密碼體制下進(jìn)行保密通信的用戶分組通 信網(wǎng)絡(luò)中的用戶終端
的區(qū)別要點(diǎn)在于因?yàn)楝F(xiàn)有網(wǎng)絡(luò)采用的基于標(biāo)識的密碼體制只涉及保密通信，不涉及分 組通信，所以現(xiàn)有網(wǎng)絡(luò)中分屬不同組的所有用戶均采用由同一主密鑰生成的同一密鑰參數(shù)， 因此，每個用戶所存有的憑該主密鑰和自己的公鑰制作的私鑰的數(shù)量只有一把；而本發(fā)明的 一臺用戶終端能夠獲悉對應(yīng)于不同所屬組的多個用戶參數(shù)，并且存有對應(yīng)于不同所屬組的多 把私鑰，因此其能夠跟多臺本發(fā)明的用戶終端或只存有一把私鑰的現(xiàn)有用戶終端組成用戶分 組通信網(wǎng)絡(luò)系統(tǒng)，實(shí)現(xiàn)各個用戶只允許跟同組的用戶通信而不允許跟其它組的用戶通信， 其中，網(wǎng)絡(luò)中的現(xiàn)有用戶終端只能跟一個組的用戶進(jìn)行通信，網(wǎng)絡(luò)中的本發(fā)明用戶終端用戶 則可以跟多個所屬組的用戶進(jìn)行通信，而且對兩個用戶之間的通信權(quán)限無需由一個在線的第 三方進(jìn)行判斷。
作為對本發(fā)明用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端的改進(jìn)，所述的密鑰處理模塊對 每個具有與本用戶終端相同的所屬組的用戶，也用于用本用戶對應(yīng)該所屬組的私鑰對發(fā)往 該用戶的數(shù)據(jù)進(jìn)行簽名，用該用戶的公鑰和該所屬組的密鑰參數(shù)驗(yàn)證該用戶的簽名。
本發(fā)明的用戶終端改進(jìn)之后，其能夠跟多臺本發(fā)明的用戶終端或現(xiàn)有的用戶終端組成用 戶分組通信網(wǎng)絡(luò)系統(tǒng)，使得該網(wǎng)絡(luò)中兩個同組的用戶在進(jìn)行保密通信和自動驗(yàn)證通信權(quán)限的 同時，還能夠利用同一套參數(shù)一并進(jìn)行數(shù)字簽名和對簽名的驗(yàn)證。
作為對本發(fā)明用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端的另一改進(jìn)，所述的數(shù)據(jù)是指在建立連接時為協(xié)商得出一個
用于在建立連接之后用對所傳輸?shù)臄?shù)據(jù)進(jìn)行加密和解密的通信密碼 .
而傳輸?shù)倪^渡密碼，本用戶終端包括密碼協(xié)商模塊，用于隨機(jī)產(chǎn)生所述的過渡密碼和 接收來自所述的該用戶的過渡密碼，采用這兩段過渡密碼參與預(yù)先約定的運(yùn)算生成所述的通 信密碼。


圖1是本發(fā)明用戶分組通信網(wǎng)絡(luò)系統(tǒng)拓?fù)鋱D。
圖2是分組通信網(wǎng)絡(luò)系統(tǒng)內(nèi)各參數(shù)與組和用戶的對應(yīng)關(guān)系示意圖。
具體實(shí)施例方式
用戶分組通信網(wǎng)絡(luò)系統(tǒng)如圖1，網(wǎng)絡(luò)中的所有用戶被按組劃分，用戶A、 B被劃分為組 Gl的成員，用戶A、 C被劃分為組G2的成員，可見用戶A兼具組Gl成員身份和組G2成 員身份。證書頒發(fā)機(jī)構(gòu)負(fù)責(zé)為各個用戶頒發(fā)基于標(biāo)識的密碼體制的數(shù)字證書首先選取橢圓 上的一點(diǎn)p，為組Gl生成主密鑰sl，為組G2生成主密鑰s2;對每個用戶，取用戶的身份標(biāo) 識信息例如電話號碼作為公鑰，其中用戶A、 B、 C的公鑰的經(jīng)散列運(yùn)算之后的狀態(tài)分別記為 IDA、 IDb、 IDc;由此生成組Gl的密鑰參數(shù)sl'p和組G2的密鑰參數(shù)s2T，為用戶A生成兩 把私鑰sHDa和s2'ida分別對應(yīng)組Gl和組G2,為用戶B生成私鑰sHDB，為用戶C生成私 鑰s2'IDc;然后在離線狀態(tài)下向用戶A頒發(fā)私鑰sHDa和s2'IDa，向用戶B頒發(fā)私鑰sHDB， 向用戶C頒發(fā)私鑰s2，IDc。讓用戶A、 B獲悉密鑰參數(shù)sl.p、公鑰IDa和公朗IDB，允許用戶 A、 C獲悉密鑰參數(shù)s2'p、公鑰IDA和公鑰IDc。讓用戶獲悉有關(guān)參數(shù)的方式，既可以是在向 用戶離線頒發(fā)私鑰時一并發(fā)放，也可以將其存儲到一個聯(lián)網(wǎng)的設(shè)備，讓該聯(lián)網(wǎng)設(shè)備向各個用 戶在線發(fā)放。用戶終端具有獲悉模塊用于獲悉相關(guān)參數(shù)。'在基于標(biāo)識的密碼體制下，各個用 戶均知悉p以及其它相關(guān)的系數(shù)和運(yùn)算規(guī)則，此乃現(xiàn)有技術(shù)。
用戶A的終端設(shè)備具有用于與網(wǎng)絡(luò)中的其它用戶通信的收發(fā)模塊。在證書頒發(fā)機(jī)構(gòu)完成 上述步驟之后分組通信網(wǎng)絡(luò)系統(tǒng)內(nèi)各參數(shù)與組和用戶的對應(yīng)關(guān)系如圖2所示，其中用戶A作 為組Gl、 G2的成員，其終端設(shè)備就存有兩把私鑰sHDa和s2JDa，且用戶A能夠獲悉證書 頒發(fā)機(jī)構(gòu)允許用戶A獲悉的密鑰參數(shù)slT和s2T，以及用戶B、 C的公明IDb、 IDc。根據(jù)實(shí)際的需要，證書頒發(fā)機(jī)構(gòu)也可以讓每個用戶均獲悉所有組的密鑰參數(shù)和所有用戶 的公鑰，但作為基于標(biāo)識的密碼體制的一般原則，不應(yīng)當(dāng)允許任何用戶獲悉主密鑰和其它用 戶的私鑰。
該網(wǎng)絡(luò)中兩個用戶之間的通信是指
(l)在建立連接時為了協(xié)商得出一個通信密碼而進(jìn)行的數(shù)據(jù)互傳，協(xié)商方式可以是，兩個 用戶各自隨機(jī)產(chǎn)生一段過渡密碼(其并非橢圓曲線算法中作為臨時加密參數(shù)的隨機(jī)數(shù))作為 互傳的數(shù)據(jù)發(fā)給對方，然后雙方采用這兩段過渡密碼參與預(yù)先約定的運(yùn)算生成通信密碼—— 該步驟可由一個密碼協(xié)商模塊完成，該通信密碼在建立連接之后用于對所傳輸?shù)臄?shù)據(jù)進(jìn)行加 密和解密；
或(2)連接建立之后，雙方進(jìn)行的諸如媒體流等數(shù)據(jù)的傳輸。 通信過程例一
由用戶B發(fā)起的跟同屬Gl的用戶A進(jìn)行通信的過程如下
對從用戶B發(fā)往用戶A的數(shù)據(jù)，用戶B為本次傳輸生成隨機(jī)數(shù)r并將其與公鑰IDa結(jié)合 生成HDa，然后用rIDA和密鑰參數(shù)sl.p加密該數(shù)據(jù)，用私鑰Sl.IDB對該數(shù)據(jù)進(jìn)行簽名，將 隨機(jī)數(shù)r或?qū)⑵渑c參數(shù)p結(jié)合生成的r，p連同該數(shù)據(jù)一并發(fā)給用戶A;用戶A接到該數(shù)據(jù)之后， 用公鑰IDb和密朗參數(shù)sl'p驗(yàn)證用戶B的簽名，用rp和私鑰sHDA解密該數(shù)據(jù)；
對從用戶A發(fā)往用戶B的數(shù)據(jù)，用戶A為本次傳輸生成隨機(jī)數(shù)r'并將其與公鑰IDB結(jié)合 生成r'.IDB，然后用r，' IDB和密鑰參數(shù)sl.p加密該數(shù)據(jù)，用私鑰sl.IDA對該數(shù)據(jù)進(jìn)^亍簽名， 將隨機(jī)數(shù)r'或?qū)⑵渑c參數(shù)p結(jié)合生成的r'T連同該數(shù)據(jù)一并發(fā)給用戶B;用戶B接到該數(shù)據(jù) 之后，用公鑰IDA和密鑰參數(shù)sl，驗(yàn)證用戶A的簽名，用r，.p和私鑰sl.IDs解密該數(shù)據(jù)。
加密、解密、簽名和驗(yàn)證簽名的操作可由一個密鑰處理模塊完成，如果其中的簽名驗(yàn)證 不能通過，驗(yàn)證方可以拒絕與簽名方進(jìn)行通信。
通信過程例二該例中用戶為本次傳輸生成的隨機(jī)數(shù)與例一中的隨機(jī)數(shù)無關(guān)。 由用戶A發(fā)起的跟同屬組G2的用戶C進(jìn)行通信的過程如下-
對從用戶A發(fā)往用戶C的數(shù)據(jù)，用戶A為本次傳輸生成隨機(jī)數(shù)r并將其與公鑰IDc結(jié)合 生成rIDc，然后用flDc和密鑰參數(shù)s2T加密該數(shù)據(jù)，用私鑰s2JDA對該數(shù)據(jù)進(jìn)行簽名，將 隨機(jī)數(shù)r或?qū)⑵渑c參數(shù)p結(jié)合生成的rp連同該數(shù)據(jù)一并發(fā)給用戶C;用戶C接到該數(shù)據(jù)之后， 用公鑰IDa和密明參數(shù)s2T驗(yàn)證用戶A的簽名，用rp和私鑰s2JDc解密該數(shù)據(jù)；
對從用戶C發(fā)往用戶A的數(shù)據(jù)，用戶C為本次傳輸生成隨機(jī)數(shù)r'并將其與公鑰IDa結(jié)合 生成,IDa，然后用r"ida和密鑰參數(shù)s2'p加密該數(shù)據(jù)，用私鑰s2JDc對該數(shù)據(jù)進(jìn)行簽名，將 隨機(jī)數(shù)f或?qū)⑵渑c參數(shù)p結(jié)合生成的r"p連同該數(shù)據(jù)一并發(fā)給用戶A;用戶A接到該數(shù)據(jù)之后， 用公鑰IDc和密鑰參數(shù)s2p.驗(yàn)證用戶C的簽名，用r"p和私鑰s2'IDA解密該數(shù)據(jù)。
加密、解密、簽名和驗(yàn)證簽名的操作可由一個密鑰處理模塊完成，如果其中的簽名驗(yàn)證 不能通過，驗(yàn)證方可以拒絕與簽名方進(jìn)行通信。
當(dāng)作為管理者的權(quán)力機(jī)構(gòu)需要監(jiān)聽兩個用戶之間的通信內(nèi)容時，可以從證書頒發(fā)機(jī)構(gòu)獲 取兩個用戶的私鑰和其它相關(guān)參數(shù)，用以解密所監(jiān)聽的數(shù)據(jù)，即可獲知在兩個用戶之間傳輸 的數(shù)據(jù)內(nèi)容。
所述的獲悉模塊、密鑰處理模塊和密碼協(xié)商模塊優(yōu)選采用功能模塊構(gòu)架實(shí)現(xiàn)。
10
權(quán)利要求
1.用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，其將網(wǎng)絡(luò)中的所有用戶按組劃分，向用戶頒發(fā)基于標(biāo)識的密碼體制的數(shù)字證書，其特征是對每個組，生成一個與其它組不同的主密鑰，由該組的主密鑰生成該組的密鑰參數(shù)，讓每個用戶知悉其所屬組的密鑰參數(shù)；對每個用戶，讓每個用戶知悉其所屬組其它成員用戶的公鑰；憑該用戶的公鑰和其所屬組的主密鑰制作該用戶的私鑰，向該用戶離線頒發(fā)該用戶的私鑰。
2. 根據(jù)權(quán)利要求l的用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，其中有至少一個 用戶，其所屬組有至少兩個，對該特殊用戶，所述的"憑該用戶的公鑰和其所屬組 的主密鑰制作該用戶的私鑰"具體為"對其每個所屬組，憑該用戶的公鑰和該所屬 組的主密鑰制作該用戶對應(yīng)該所屬組的私鑰"。
3.用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端，本用戶屬于網(wǎng)絡(luò)中某個組的成員， 具有用于與網(wǎng)絡(luò)中的其它用戶通信的收發(fā)模塊；在基于標(biāo)識的密碼體制下，本用 戶的身份被本用戶的公鑰標(biāo)識， 其特征是本用戶所屬組有至少兩個，所述的每個所屬組具有一個與其它組不同的主密鑰；具有獲悉模塊，其對每個所屬組，用于獲悉由該所屬組的主密鑰生成的密 鑰參數(shù)，獲悉該所屬組其它成員用戶的公鑰；對每個所屬組，存有憑本用戶的公鑰和該所屬組的主密鑰制作的本用戶對應(yīng) 該所屬組的私鑰；具有密鑰處理模塊，其對每個具有與本用戶終端相同的所屬組的用戶，用于 用該用戶的公鑰和該所屬組的密鑰參數(shù)加密發(fā)往該用戶的數(shù)據(jù)，用本用戶對應(yīng)該 所屬組的私鑰解密來自該用戶的數(shù)據(jù)。
4. 根據(jù)權(quán)利要求3的用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端，所述的密鑰處理 模塊對每個具有與本用戶終端相同的所屬組的用戶，也用于用本用戶對應(yīng)該所 屬組的私鑰對發(fā)往該用戶的數(shù)據(jù)進(jìn)行簽名，用該用戶的公鑰和該所屬組的密鑰參 數(shù)驗(yàn)證該用戶的簽名。
5. 根據(jù)權(quán)利要求3的用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端，所述的數(shù)據(jù)是指 在建立連接時為協(xié)商得出一個用于在建立連接之后用對所傳輸?shù)臄?shù)據(jù)進(jìn)行加密和解密的通信密碼 而傳輸?shù)倪^渡密碼，本用戶終端包括密碼協(xié)商模塊，用于隨機(jī)產(chǎn)生所述的過渡密碼和接收來自所述的該用戶的過渡密碼，釆用這兩段過渡密碼參與預(yù)先約定的運(yùn)算生成所述的通信密碼。
全文摘要
本發(fā)明涉及用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，本發(fā)明還涉及用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端。本發(fā)明的目的是在一個用戶分組通信網(wǎng)絡(luò)中，實(shí)現(xiàn)網(wǎng)絡(luò)中的一個用戶只允許跟同組的用戶通信而不允許跟其它組的用戶通信；而且對兩個用戶之間的通信權(quán)限無需由一個在線的第三方進(jìn)行判斷，以免對網(wǎng)絡(luò)運(yùn)行和維護(hù)帶來額外的負(fù)擔(dān)。本發(fā)明給出用戶分組通信網(wǎng)絡(luò)的數(shù)字證書管理方法，對每個組，生成一個與其它組不同的主密鑰，由該組的主密鑰生成該組的密鑰參數(shù)，讓每個用戶知悉其所屬組的密鑰參數(shù)；對每個用戶，憑該用戶的公鑰和其所屬組的主密鑰制作該用戶的私鑰。本發(fā)明還給出用于接入用戶分組通信網(wǎng)絡(luò)中的用戶終端。
文檔編號H04L29/06GK101562519SQ20091003983
公開日2009年10月21日 申請日期2009年5月27日 優(yōu)先權(quán)日2009年5月27日
發(fā)明者吳月輝, 周紹午, 趙志紅 申請人:廣州杰賽科技股份有限公司