本發(fā)明屬于信息安全技術(shù)領(lǐng)域，涉及網(wǎng)絡(luò)安全。

背景技術(shù)：

由于PKI證書認(rèn)證方法在傳統(tǒng)應(yīng)用中都是基于CA中心的，也就是說，PKI證書的傳統(tǒng)應(yīng)用都是沒有去中心化的。這種傳統(tǒng)的應(yīng)用方式，雖然能夠解決證書的掛失問題帶來的信息安全風(fēng)險(xiǎn)，但是這種每次證書應(yīng)用都由CA中心完成的應(yīng)用方式，使得面向進(jìn)程認(rèn)證時(shí)，因進(jìn)程延遲而無法應(yīng)用，這限制了傳統(tǒng)PKI認(rèn)證方法的應(yīng)用的深度以及廣度，例如操作系統(tǒng)進(jìn)程認(rèn)證、數(shù)據(jù)庫(kù)訪問進(jìn)程認(rèn)證。同時(shí)，也因?yàn)樗械恼J(rèn)證都依賴CA中心，這需要CA必須具有超算能力，及時(shí)完成大量的認(rèn)證需求，因此這種PKI證書傳統(tǒng)認(rèn)證方式，能耗大，建設(shè)投資大，運(yùn)維管理費(fèi)用高。為此，研究去中心化的直接認(rèn)證方法，具有著重要的理論價(jià)值和實(shí)踐價(jià)值。

在基于標(biāo)識(shí)的證書認(rèn)證技術(shù)CFL的基礎(chǔ)上，本發(fā)明給出了CFL去中心化的認(rèn)證方法，按照本方法，同樣可以給出PKI證書認(rèn)證體制去中心化的認(rèn)證方法，改進(jìn)了傳統(tǒng)的PKI證書的應(yīng)用依賴CA中心的認(rèn)證方法。

技術(shù)實(shí)現(xiàn)要素：

在基于標(biāo)識(shí)的證書認(rèn)證技術(shù)CFL的基礎(chǔ)上，本發(fā)明給出了CFL去中心化應(yīng)用方法。通過二代以上Ukey(含二代Ukey，下同)的工作私鑰安全輸入，基于時(shí)間戳或者隨機(jī)數(shù)動(dòng)態(tài)簽名，構(gòu)成CFL動(dòng)態(tài)證書，在Ukey使用完畢后，刪除工作私鑰。該方法不怕Ukey被盜或者丟失，且認(rèn)證時(shí)是去中心化的。該方法同樣可以應(yīng)用于PKI證書認(rèn)證體制的去中心化應(yīng)用，改進(jìn)了傳統(tǒng)的PKI證書的應(yīng)用依賴CA中心的認(rèn)證方法。

具體實(shí)施方式

CFL去中心化應(yīng)用方法流程：

(1)CFL證書生成中心基于二代以上Ukey的標(biāo)識(shí)ID_Ukey生成每個(gè)二代以上Ukey的臨時(shí)工作公私鑰對(duì)；

(2)用戶到CFL注冊(cè)中心填寫自己的基本信息，核實(shí)后，領(lǐng)取帶有臨時(shí)工作公私鑰對(duì)的二代以上Ukey；

(3)用戶領(lǐng)取二代以上Ukey，選定自己的工作私鑰(保密字或者用戶的生物信息)SK_u，利用二代以上Ukey，安全生成對(duì)應(yīng)的工作公鑰PK_u，構(gòu)成如下信息ID_u||PK_u，以自己的工作私鑰對(duì)ID_u||PK_u進(jìn)行簽名生成SIGN₁；

(4)用戶以CFL證書生成中心的工作公鑰對(duì)ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′進(jìn)行加密發(fā)送給CFL證書生成中心，其中SIGN′是用戶用Ukey臨時(shí)工作私鑰對(duì)ID_u||PK_u||SIGN₁||ID_Ukey進(jìn)行的簽名；

(5)CFL證書生成中心收到ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′的加密信息后，解密得ID_u||PK_u||SIGN₁||ID_Ukey||SIGN′，根據(jù)ID_Ukey生成相應(yīng)的臨時(shí)公私鑰對(duì)，利用臨時(shí)公鑰對(duì)SIGN′進(jìn)行驗(yàn)證，驗(yàn)證通過后，生成靜態(tài)CFL證書即C_u＝ID_u||PK_u||SIGN₁||ID_C||SIGN₂，其中ID_C是CFL證書生成中心的為用戶證書的管理信息，SIGN₂是CFL證書生成中心為用戶的CFL證書的CFL認(rèn)證算法簽名；

(6)CFL證書生成中心以用戶的工作公鑰加密靜態(tài)CFL證書并簽名發(fā)送給用戶，用戶驗(yàn)證CFL證書生成中心的簽名，通過后，解密得用戶自己的靜態(tài)CFL證書。

(7)用戶將工作私鑰備份，將二代以上Ukey中的工作私鑰以及臨時(shí)工作私鑰刪除，并將靜態(tài)CFL證書存儲(chǔ)在二代以上Ukey內(nèi)；

(8)用戶在每次使用二代以上Ukey時(shí)，通過二代以上Ukey中的安全輸入設(shè)備，輸入自己的工作私鑰，在使用CFL證書時(shí)，由靜態(tài)CFL證書變成動(dòng)態(tài)CFL證書，即C_D＝C_u||T||SIGN₃＝ID_u||PK_u||SIGN₁||ID_C||SIGN₂||T||SIGN₃，其中T是用戶使用時(shí)的時(shí)間戳或者是隨機(jī)數(shù)，SIGN₃是用戶利用自己的工作私鑰對(duì)ID_u||PK_u||ID_C||T的簽名；

(9)第三方在驗(yàn)證用戶的動(dòng)態(tài)證書時(shí)，利用PK_u驗(yàn)證SIGN₁，SIGN₃，利用CFL認(rèn)證算法驗(yàn)證SIGN₂；

(10)用戶使用完畢CFL證書后，在Ukey中刪除用戶自己的工作私鑰。

CFL去中心化應(yīng)用方法安全性分析：

PKI證書的傳統(tǒng)的應(yīng)用方式是指Ukey中一直含有用戶的工作私鑰的，我們有下面的結(jié)論：

命題1在PKI證書的傳統(tǒng)的應(yīng)用方式中，若該用戶的Ukey丟失，則該用戶必須對(duì)該Ukey進(jìn)行掛失，否則存在信息安全問題。

證明因?yàn)樵揢key中含有該用戶的工作私鑰，PKI證書信息，因此該Ukey的撿到者可以冒充該用戶與驗(yàn)證方進(jìn)行證書交換，且證書的驗(yàn)證是通過的，因此存在信息安全問題。

命題2在PKI證書的傳統(tǒng)的應(yīng)用方式中，驗(yàn)證方只有在用戶的證書在CA中心被證明沒有掛失登記后，才可能效性。

證明若該P(yáng)KI證書沒有在CA中心證明掛失登記，說明該用戶的Ukey可能沒有丟失，因此才可能有效。

顯然我們易得：

命題3若用戶Ukey丟失了，而驗(yàn)證方不知道用戶已經(jīng)掛失該Ukey，直接對(duì)用戶的PKI證書進(jìn)行驗(yàn)證，因此存在信息安全問題。

命題1、命題2、命題3說明了傳統(tǒng)的PKI證書使用方法必須依靠CA中心。從而不適應(yīng)當(dāng)前實(shí)踐中迫切需要的直接進(jìn)程認(rèn)證。

本發(fā)明給出的CFL去中心化應(yīng)用方法可以在實(shí)際中去中心化。我們有下述命題：

命題4本發(fā)明給出的CFL去中心化應(yīng)用方法是安全的。

證明在二代以上Ukey丟失后，由于撿到者并不知道用戶的工作私鑰，因此撿到者無法冒充該用戶，所以本發(fā)明應(yīng)用去中心化是安全的。

顯然我們有如下推論：

命題5本發(fā)明給出的CFL去中心化方法，同樣可以適用于PKI證書的使用，從而可以改進(jìn)PKI證書的傳統(tǒng)應(yīng)用方法，進(jìn)而可以達(dá)到應(yīng)用去中心化。

由命題1至命題5可知，本發(fā)明可以應(yīng)用去中心化，因此可以做到直接進(jìn)程認(rèn)證，從而可以基于本發(fā)明支持安全操作系統(tǒng)、安全數(shù)據(jù)庫(kù)、安全軟件、安全計(jì)算機(jī)、安全網(wǎng)絡(luò)的建設(shè)。