[发明专利]基于PKI的并行签名系统和方法

权利要求书

1.一种基于PKI的并行签名系统，其特征在于，包括：

根密钥管理模块，用于对可拓展签名模块的进行注册处理和注销处理，其中，所述根密钥管理模块在处理所述可拓展签名模块的注册时，利用根私钥对所述可拓展签名模块的公钥证书进行签名；

可拓展签名模块，用于向所述根私钥模块请求注册以及请求注销，以及利用自身的私钥对数据进行签名，不同的可拓展签名模块具有不同的私钥和不同的公钥证书；

签名请求网关，用于接收外部系统的签名请求，并根据签名请求选择一个可拓展签名模块对签名请求中的数据进行签名，将所述可拓展签名模块签名后的数据返回到外部系统。

2.根据权利要求1所述的基于PKI的并行签名系统，其特征在于，当所述根密钥管理模块对所述可拓展签名模块进行注册处理时，包括：

所述根密钥管理模块接收所述可拓展签名模块的私钥派生请求；

所述根密钥管理模块从所述私钥派生请求中获得所述可拓展签名模块的公钥证书和标志；

所述根密钥管理模块使用根私钥对所述可拓展签名模块的公钥证书进行签名；

所述根密钥管理模块将经过根私钥签名的公钥证书发送给所述可拓展签名模块；

所述根密钥管理模块将所述可拓展签名模块的公钥证书和标志记录在可拓展签名模块列表中。

3.根据权利要求2所述的基于PKI的并行签名系统，其特征在于，当所述根密钥管理模块对所述可拓展签名模块进行注销处理时，包括：

所述根密钥管理模块接收所述可拓展签名模块的销毁请求；

所述根密钥管理模块从所述销毁请求中获取可拓展签名模块的公钥证书；

所述根密钥管理模块根据从销毁请求中获取的公钥证书和可拓展签名模块列表验证该可扩展签名模块的有效性；

当该发送销毁请求的可拓展签名模块有效时，所述根密钥管理模块根据所述销毁请求生成吊销证书；

所述根密钥管理模块利用根私钥对所述吊销证书进行签名并返回到发送销毁请求的可拓展签名模块；

所述根密钥管理模块将发送销毁请求的可拓展签名模块在可拓展签名模块列表移除或者标记为无效。

4.根据权利要求1所述的基于PKI的并行签名系统，其特征在于，所述可拓展签名模块向所述根私钥模块请求注册时，包括：

所述可拓展签名模块生成一个唯一的标志、随机生成一个私钥和所述私钥对应的公钥证书；

所述可拓展签名模块向所述根密钥管理模块发送私钥派生请求，所述注册请求中携带公钥证书和所述标志；

所述可拓展签名模块将所述根密钥管理模块利用根私钥签名后的公钥证书保存；

所述可拓展签名模块将经过根私钥签名后的公钥证书发送给签名请求网关进行注册；

所述可拓展签名模块监听签名请求网关的签名请求，并利用自身的私钥进行签名处理。

5.根据权利要求4所述的基于PKI的并行签名系统，其特征在于，所述可拓展签名模块向所述根私钥模块请求注销时，包括：

所述可拓展签名模块根据自身的标志和公钥证书生成销毁请求；

所述可拓展签名模块使用自身的私钥对销毁请求进行签名后发送到根密钥管理模块；

所述可拓展签名模块接收所述根密钥管理模块的吊销证书；

所述可拓展签名模块将所述吊销证书发送给签名请求网关，以销毁存储在签名请求网关中的公钥证书；

所述可拓展签名模块停止服务。

6.根据权利要求1所述的基于PKI的并行签名系统，其特征在于，所述签名请求网关存储有一个可拓展签名模块的映射表，所述映射表中记录了所有可扩展签名模块的标志和每个可扩展签名模块对应的公钥证书。

7.根据权利要求6所述的基于PKI的并行签名系统，其特征在于，所述根据签名请求选择一个可拓展签名模块对签名请求中的数据进行签名，具体为：

从签名请求中获取需要签名的数据，并转换成哈希值；

选择一个可拓展签名模块对所述哈希值进行签名。

8.根据权利要求1所述的基于PKI的并行签名系统，其特征在于，所述根密钥管理模块基于SE芯片运行。