[发明专利]基于国密SM9的安全认证方法及系统

说明书

本公开涉及一种基于国密SM9的安全认证方法及系统，其中方法包括：响应于接收到第二终端发起的第一数据请求获取第一数据并生成签名私钥请求；将签名私钥请求发送至秘钥生成中心KGC，接收KGC响应签名私钥请求而返回的签名主公钥和多个私钥片段数据，多个私钥片段数据组合构成签名私钥，签名私钥由KGC基于第一终端的终端标识以及签名主私钥生成，签名主私钥由KGC生成的第一随机数确定，签名主公钥由KGC基于签名主私钥和系统参数生成；基于多个私钥片段数据生成签名私钥，基于签名私钥和签名主公钥对第一数据进行签名处理得到签名数据发送至第二终端，以使第二终端基于第一终端的终端标识进行签名验证以认证第一数据的来源。

技术领域

本公开实施例涉及信息网络安全技术领域，尤其涉及一种基于国密SM9的安全认证方法及系统。

背景技术

目前，基于公钥基础设施(Public Key Infrastructure，PKI)的传统的身份认证需要依赖第三方证书颁发机构(Certificate Authority，简称CA)，并且需要为每个终端用户创建数字证书，存在大量复杂的证书交换、验证的过程，使得证书颁发和管理非常复杂。

在传统的PKI基础上发展而来的基于标识的密码体系(Identity-BasedCryptograph，简称IBC)具有协议简单、无需证书、部署与管理简易等特点，除了保有PKI的技术优点外，主要解决了PKI需要大量交换、验证数字证书的问题。例如基于IBC的国密SM9是一种非对称的密码体制，基于SM9构建的安全认证系统，具有高效运行、简易部署、方便运维的优势。

然而基于SM9的安全认证系统虽然无需复杂的证书交换、验证的过程，但其自身依然存在一些安全问题，例如秘钥生成中心(Key Generate Center，简称KGC)生成的用户私钥如用户签名私钥等可能在传输过程中被泄漏，会严重危及用户信息安全。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开实施例提供了一种基于国密SM9的安全认证方法及系统。

第一方面，本公开实施例提供了一种基于国密SM9的安全认证方法，应用于第一终端，该方法包括：

响应于接收到第二终端发起的第一数据请求，获取第一数据并生成签名私钥请求，所述签名私钥请求和所述第一数据至少携带所述第一终端的终端标识；

将所述签名私钥请求发送至秘钥生成中心KGC，接收所述KGC响应所述签名私钥请求而返回的签名主公钥和多个私钥片段数据；其中，所述多个私钥片段数据用于组合构成签名私钥，所述签名私钥由所述KGC基于所述第一终端的终端标识以及签名主私钥生成，所述签名主私钥由所述KGC生成的第一随机数确定，所述签名主公钥由所述KGC基于所述签名主私钥和系统参数生成；

基于所述多个私钥片段数据生成签名私钥，基于所述签名私钥和所述签名主公钥对所述第一数据进行签名处理得到签名数据；

将所述签名数据发送至所述第二终端，以使所述第二终端基于所述第一终端的终端标识进行签名验证从而认证所述第一数据的来源。

在一个实施例中，所述多个私钥片段数据均携带指定数据标识且被存储于所述KGC的数据库中的不同存储位置，各所述指定数据标识与各所述存储位置一一对应关联，且与所述第一终端的终端标识唯一映射关联。

在一个实施例中，该方法还包括：

重新发送所述签名私钥请求至所述KGC；

接收所述KGC响应重新发送的所述签名私钥请求而从所述KGC的数据库中的不同存储位置获取并返回的所述多个私钥片段数据。

在一个实施例中，该方法还包括：

确定当前接收到的加密数据请求的数量大于预设数值时，生成第一指示消息，将所述第一指示消息发送至所述KGC，所述第一指示消息指示所述KGC生成指定秘钥；