[发明专利]一种基于二级密钥的数字证书申请系统及方法

权利要求书

1.一种基于二级密钥的数字证书申请系统，其特征在于，包括智能设备(1)、根密钥上传系统(2)、密钥管理系统(3)和数字证书服务器(4)；

所述根密钥上传系统(2)布置在智能设备(1)的本地生产线，所述密钥管理系统(3)和数字证书服务器(4)布置在云端；所述智能设备(1)与根密钥上传系统(2)本地通信连接，所述密钥管理系统(3)分别与智能设备(1)和数字证书服务器(4)通信连接；

所述智能设备(1)用于生成根密钥对{Pub1，Pri1}和业务密钥对{Pub2，Pri2}，各个智能设备(1)具有唯一标识的设备SN号；所述根密钥上传系统(2)用于将智能设备(1)的根公钥Pub1上传至密钥管理系统(3)；所述密钥管理系统(3)用于管理智能设备(1)的根公钥Pub1，并在智能设备(1)上传业务公钥Pub2后对智能设备(1)进行身份验证；所述数字证书服务器(4)用于为智能设备签发数字业务证书；

密钥管理系统(3)的密钥对为{Pubserver，Priserver}，数字证书服务器(4)的密钥对为{Pubroot，Priroot}，数字证书服务器(4)有基于{Pubroot，Priroot}生成的根证书CAroot，所述智能设备(1)内存储有数字证书服务器(4)的根证书CAroot和密钥管理系统(3)的公钥Pubserver；

根密钥上传系统(2)的密钥对为{Pubclient，Priclient}，所述密钥管理系统(3)内存储有根密钥上传系统(2)的公钥Pubclient。

2.根据权利要求1所述的一种基于二级密钥的数字证书申请系统，其特征在于，多个智能设备(1)共用一个根密钥上传系统(2)，所述智能设备(1)内集成有用于通信的通信模块。

3.一种基于二级密钥的数字证书申请方法，用于为智能设备申请数字证书，其特征在于，使用如权利要求1或2所述的数字证书申请系统，包括智能设备(1)生产过程中的根密钥生成与上传、智能设备(1)业务开通过程中的业务密钥生成与上传以及智能设备(1)业务开通过程中的证书签发。

4.根据权利要求3所述的一种基于二级密钥的数字证书申请方法，其特征在于，智能设备(1)生产过程中的根密钥生成与上传包括以下步骤：

S1、在智能设备(1)的生产过程中，智能设备(1)生成根密钥对{Pub1，Pri1}并保存根私钥Pri1，在智能设备(1)内写入数字证书服务器(4)的根证书CAroot和密钥管理系统(3)的公钥Pubserver；

S2、将根公钥Pub1和设备SN号作为智能设备根信息，将智能设备根信息本地导出至根密钥上传系统(2)，所述设备SN号用于唯一标识智能设备(1)；

S3、根密钥上传系统(2)基于根密钥上传系统(2)的密钥对{Pubclient，Priclient}将智能设备信息上传至密钥管理系统(3)，在密钥管理系统(3)中进行数据安全性验证，若验证通过则执行步骤S4，否则发出报错信息；

S4、密钥管理系统(3)存储接收的智能设备根信息，并建立根公钥Pub1和智能设备(1)的设备SN号的对应关系。

5.根据权利要求4所述的一种基于二级密钥的数字证书申请方法，其特征在于，步骤S3具体为：

S301、根密钥上传系统(2)对智能设备根信息计算hash值，对hash值使用私钥Priclient进行签名，将智能设备根信息和签名上传至密钥管理系统(3)；

S302、密钥管理系统(3)内存储有根密钥上传系统(2)的公钥Pubclient，接收到智能设备根信息和签名后，对智能设备根信息计算hash值，使用Pubclient对签名进行解密，如果对签名解密失败，则发出报错信息，否则，执行步骤S303；

S303、对比解密签名得到的hash值和基于智能设备根信息计算得到的hash值，如果二者相同，则认为数据未被篡改，执行步骤S4，否则发出报错信息。