一种智能设备的数字证书管理方法及系统与流程

1.本发明涉及安全通信技术领域，特别是一种智能设备的数字证书管理方法及系统。


背景技术：

2.随着智能设备终端的发展普及，对智能设备终端的数据认证与安全的需求日益升高，传统保护数据安全的方法是采用数字证书，配合sm2密钥算法，对数据进行加密与签名，从而保护数据安全。sm2是我国公钥密码算法标准（gm/t0003-2012）。
3.由于智能设备终端的环境存在众多不可控因素，如间谍程序、系统漏洞等，可能造成密钥信息的泄露；同时通讯环境也存在不可控因素，通讯过程中也存在泄密的可能。上述各种因素导致智能设备上数字证书应用存在诸多安全隐患。


技术实现要素：

4.本发明的目的在于提供一种智能设备的数字证书管理方法及系统，以保障智能设备数字证书应用的安全性。
5.实现本发明目的的技术解决方案为：一种智能设备的数字证书管理方法，具体如下：设置智能设备终端、证书服务端和外置密码硬件，所述证书服务端采用应用服务器，且连接外置密码硬件；所述外置密码硬件采用符合国家商用密码标准的密码机硬件；证书服务端通过智能设备终端的唯一标识为智能设备终端颁发通讯用设备数字证书，利用通讯用设备数字证书对智能设备终端与证书服务端之间的通讯进行加密保护；用户通过智能设备终端向证书服务端申请用户数字证书；证书服务端根据用户数字证书申请请求向ca机构申请用户数字证书，利用密钥分离算法，在外置密码硬件及智能设备终端中分别存储部分密钥信息；证书服务端通过外置密码硬件，利用密钥分离算法，进行用户数字证书的协同签名及加解密；在智能设备终端输出最终签名和解密结果。
6.一种智能设备的数字证书管理系统，该系统用于实现所述的智能设备的数字证书管理方法，所述系统包括智能设备终端、证书服务端、外置密码硬件，其中：所述智能设备终端为搭载移动os的智能设备；所述证书服务端采用应用服务器，且连接外置密码硬件；证书服务端通过外置密码硬件，利用密钥分离算法，进行用户数字证书的协同签名及加解密；所述外置密码硬件采用符合国家商用密码标准的密码机硬件。
7.本发明与现有技术相比，其显著优点为：（1）为智能设备终端颁发通讯用设备数字证书，保证通讯数据的安全，攻击者即使窃取到通讯数据也无法进行解密；
（2）为用户申请用户数字证书，在外置密码硬件及智能设备终端中分别存储部分密钥信息，在签名和解密过程中需要外置密钥硬件辅助完成少量运算，形成协同签名/解密，在智能设备终端输出最终签名和解密结果，单一设备终端或者单一服务端都无法完成相应操作，攻击者即使获得了智能设备终端的本地密钥信息，也无法进行数据的签名与解密，从而使智能设备终端的用户数字证书应用得到了安全性保障；（3）利用通讯用设备数字证书进行通讯的加密处理，也保证了智能设备终端与服务端之间的通讯安全，从而为智能设备终端的用户数字证书应用提供了完整保障；（4）外置密码硬件提供少量运算，满足系统负荷要求；智能设备终端与外置密码硬件的通讯进行加密，满足通讯安全需求。
附图说明
8.图1是本发明智能设备的通讯用数字证书管理方法的通讯流程图。
9.图2是用户数字证书的签名应用流程图。
10.图3是用户数字证书的解密应用流程图。
具体实施方式
11.容易理解，依据本发明的技术方案，在不变更本发明的实质精神的情况下，本领域的一般技术人员可以想象出本发明的多种实施方式。因此，以下具体实施方式和附图仅是对本发明的技术方案的示例性说明，而不应当视为本发明的全部或者视为对本发明技术方案的限制或限定。
12.现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。
13.以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。
14.对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。
15.在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。
16.本发明涉及一种智能设备终端的数字证书管理方法，应用于智能设备终端，可有效保护用户数字证书的密钥应用及通讯安全。具体地，首先为智能设备终端颁发通讯用设备数字证书，保证通讯数据的安全，攻击者即使窃取到通讯数据也无法进行解密；其次为用户申请用户数字证书，在外置密码硬件及智能设备终端中分别存储部分密钥信息，在签名和解密过程中需要外置密码硬件辅助完成少量运算，形成协同签名/解密，在智能设备终端输出最终签名和解密结果，攻击者即使获得了智能设备的本地密钥信息，也无法进行数据的签名与解密。整个过程中外置密码硬件提供少量运算，满足系统负荷要求。智能终端设备与外置密码硬件的通讯进行加密，满足通讯安全需求。下面对本发明智能设备的数字证书管理方法及系统进行详细介绍。
17.本发明一种智能设备的数字证书管理方法，具体如下：
设置智能设备终端、证书服务端和外置密码硬件，所述证书服务端采用应用服务器，且连接外置密码硬件；所述外置密码硬件采用符合国家商用密码标准的密码机硬件；证书服务端通过智能设备终端的唯一标识为智能设备终端颁发通讯用设备数字证书，利用通讯用设备数字证书对智能设备终端与证书服务端之间的通讯进行加密保护；用户通过智能设备终端向证书服务端申请用户数字证书；证书服务端根据用户数字证书申请请求向ca机构申请用户数字证书，利用密钥分离算法，在外置密码硬件及智能设备终端中分别存储部分密钥信息；证书服务端通过外置密码硬件，利用密钥分离算法，进行用户数字证书的协同签名及加解密；在智能设备终端输出最终签名和解密结果。
18.作为一种具体示例，所述智能设备终端、证书服务端、外置密码硬件的通讯流程具体如下：（1.1）为了保障智能设备终端的通讯安全，在首次建立通讯时，由智能设备终端向证书服务端发起接入请求；（1.2）证书服务端通过智能设备终端的唯一标识对智能设备终端进行标记，并以该唯一标识为基础，为智能设备终端颁发通讯用设备数字证书，所述设备数字证书用于智能设备终端与证书服务端之间的通信加密与认证，以保护数据的安全有效性；（1.3）智能设备终端将通讯用设备数字证书保存至本地；（1.4）智能设备终端与证书服务端进行通讯时，首先在智能设备终端生成随机加密对称密钥，将通讯数据加密；使用通讯用设备数字证书对加密对称密钥进行加密，将加密后通讯数据及加密后对称密钥进行数字信封并附上签名，发送至证书服务端；（1.5）证书服务端在获取智能设备终端的请求后，通过通讯用设备数字证书将通讯数字信封解密，得到随机加密对称密钥，使用所得随机加密对称密钥对加密的通讯信息进行解密，得到原始业务数据；（1.6）证书服务端进行业务处理，包括用户数字证书的签名应用，以及用户数字证书的解密应用；（1.7）在业务处理完成后，将返回值使用加密对称密钥进行加密，并对加密内容进行数字签名，将数据返回至智能设备终端；（1.8）智能设备终端先验证数字签名，在签名无误后，用加密对称密钥进行数据解密，获得业务处理结果数据，完成整个通讯交互流程。
19.作为一种具体示例，所述智能设备终端为搭载移动os的智能设备，包括智能手机、车载智能中控终端。
20.作为一种具体示例，所述用户数字证书根据gm/t 0034《基于sm2密码算法的证书认证系统密码及其相关安全技术规范》，分为签名证书和加密证书；所述签名证书用于对数据的数字签名及验签，所述加密证书用于对数据的加密及解密。
21.作为一种具体示例，用户数字证书的签名应用流程使用签名证书来实现，用户数字证书的签名应用是基于sm2多方协同签名方法，在外置密码硬件中保存部分密钥，利用智能设备终端内的用户签名证书密钥及外置密码硬件保存的部分密钥，实现智能终端设备的签名与证书服务端的签名组合为协同签名。
22.作为一种具体示例，用户数字证书中的加密证书，基于公钥密码算法标准gm/t0003-2012，采用标准的公钥加密算法对数据加密。
23.作为一种具体示例，设备数字证书的签名应用流程如下：（2.1）由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码硬件生成部分密钥，并将该部分密钥与用户数字证书进行配对标识；所述配对标识是将外置密码硬件生成的部分密钥和用户数字证书在服务器数据库进行一对一绑定保存，即每个用户数字证书都生成一个部分密钥，并在服务器数据库进行保存；根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥；（2.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回设备数字证书，用户数字证书包含签名证书，如果完成则进入下一步，否则异常结束；（2.3）智能终端设备获得用户数字证书的签名证书及密钥，进行本地化保存；（2.4）智能终端设备根据业务需要对数据执行数字签名；（2.5）由智能终端设备根据签名证书密钥因子a，在同一椭圆曲线上阶为n的基点g生成第一随机数t1，由点乘法得到第一变量q1=t1
·
g；其中n是根据签名证书密钥因子a确定出的椭圆曲线的阶，随机数t1满足t1∈[1,n-1]；（2.6）智能终端设备将q1和消息摘要e发送给证书服务端执行协同签名，证书服务端利用外置密码硬件的部分密钥因子为a2进行计算，得到两个随机数t2、t3，随机数t2满足t2∈[1,n-1]，随机数t3满足t3∈[1,n-1]；根据点乘法计算得到协同签名半径r及协同签名分量s2、s3，具体为：计算t2*q1+t3*g=(x1,y1)，得到r=(x1+e) mod n，其中，mod n为模n运算，r满足r不为0，否则异常结束；计算得到s2= a2*t2和s3= a2* (r+t3)；（2.7）证书服务端将r、s2、s3返回至智能设备终端，智能设备终端根据r、s2、s3计算第二签名分量s，其中s=(a*t1)*s2＋a*s3－r，将协同签名半径r、第二签名分量s组合得到完整签名分量(r,s)，完成协同签名；s满足(r+s) mod n不为0，否则异常结束。
[0024]
作为一种具体示例，用户数字证书中的加密证书对数据的解密流程如下：（3.1）由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码硬件生成部分密钥，并将该部分密钥与用户数字证书进行配对标识；所述配对标识是将外置密码硬件生成的部分密钥和用户数字证书在服务器数据库进行一对一绑定保存，即每个用户数字证书都生成一个部分密钥，并在服务器数据库进行保存；根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥；（3.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回用户数字证书，用户数字证书包含加密证书及加密证书密钥，如果完成则进入下一步，否则异常结束；（3.3）智能终端设备生成加密随机数η，所述加密随机数η使用符合国密要求的sm2密钥随机数生成算法生成，η满足η∈[1,n
’‑
1]，n’为加密证书密钥因子椭圆曲线上的阶，不满足η∈[1,n
’‑
1]则重新生成η；
（3.4）智能终端设备对加密证书密钥进行加密保存，原始密钥为k，加密后密钥为k’，根据加密随机数η确定k’=k
·
η-1
，随后加密随机数η通过证书服务端使用外置密码硬件的部分密钥，得到加密后数据p；（3.5）智能终端设备将加密后数据p保存，并根据加密后执行解密；（3.6）智能设备终端先将加密后数据p传输至证书服务端，通过外置密码硬件的部分密钥，解出加密随机数η，返回至智能设备终端；（3.7）智能设备终端利用公式k’=k
·
η-1
，从保存的k’得到原始密钥k；（3.8）利用原始密钥k完成解密。
[0025]
本发明一种智能设备的数字证书管理系统，该系统用于实现所述的智能设备的数字证书管理方法，所述系统包括智能设备终端、证书服务端、外置密码硬件，其中：所述智能设备终端为搭载移动os的智能设备；所述证书服务端采用应用服务器，且连接外置密码硬件；证书服务端通过外置密码硬件，利用密钥分离算法，进行用户数字证书的协同签名及加解密；所述外置密码硬件采用符合国家商用密码标准的密码机硬件。
[0026]
作为一种具体示例，所述智能设备终端包括智能手机、车载智能中控终端。
[0027]
下面结合附图及具体实施例对本发明做进一步详细说明。
实施例
[0028]
本实施例提供一种智能设备的数字证书管理系统，该系统包括智能设备终端、证书服务端和外置密码硬件，其中：智能设备终端包括智能手机、车载智能中控终端等搭载移动os的智能设备；证书服务端可采用标准应用服务器，连接外置密码硬件，证书服务端通过外置密码硬件，利用密钥分离算法，进行用户的证书处理协同签名及加解密；外置密码硬件可采用符合国家商用密码标准的密码机硬件，保证系统的合规性与安全性。
[0029]
结合图1，本实施例智能设备的数字证书管理方法的通讯流程包括以下步骤：（1.1）为了保障智能设备终端的通讯安全，在首次建立通讯时，由智能设备终端向证书服务端发起接入请求。
[0030]
（1.2）证书服务端通过智能设备终端的唯一标识对设备进行标记，并以该唯一标识为基础，为智能设备终端颁发通讯用设备数字证书。
[0031]
通讯用设备数字证书用于智能设备终端与证书服务端之间的通信加密与认证，以保护数据的安全有效性。证书服务端不生成唯一标识，而是使用智能设备终端自身的唯一标识制作通讯用设备数字证书。
[0032]
（1.3）智能设备终端将通讯用设备数字证书保存至本地。
[0033]
（1.4）智能设备终端与证书服务端进行通讯时，首先在智能设备终端生成随机加密对称密钥，将通讯数据加密；使用通讯用设备数字证书对加密对称密钥进行加密，将加密后通讯数据及加密后对称密钥进行数字信封并附上签名，发送至证书服务端；（1.5）证书服务端在获取智能设备终端的请求后，通过设备数字证书将通讯数字信封解密，得到随机加密对称密钥。使用该加密对称密钥对加密的通讯信息进行解密，得到
原始业务数据。
[0034]
（1.6）证书服务端进行业务处理。如用户数字证书的签名及解密应用等具体业务应用处理。
[0035]
（1.7）在业务处理完成后，将返回值使用加密对称密钥进行加密，并对加密内容进行数字签名，将数据返回至智能设备终端。
[0036]
（1.8）智能设备终端先验证数字签名，在签名无误后，用加密对称密钥进行数据解密，获得业务处理结果数据，完成整个通讯交互流程。
[0037]
为了实现智能设备的用户数据的应用安全，需要使用用户数字证书进行数字签名来实现相关的安全应用。本发明适用于sm2类型的设备数字证书的相关应用。在加密通讯的前提下，证书服务端为智能设备终端提供设备数字证书申请服务，用户数字证书根据gm/t 0034《基于sm2密码算法的证书认证系统密码及其相关安全技术规范》，分为签名证书和加密证书。签名证书用于对数据的数字签名及验签。加密证书用于对数据的加密及解密。设备数字证书的签名应用流程使用其中的签名证书来实现数字签名应用。根据上述gm/t 0034规范标准，证书及密钥及应用需要使用外置密码设备进行保密处理。因此用户数字证书的签名应用是基于sm2多方协同签名方法，在外置密码设备中保存部分密钥，利用智能设备终端内的签名证书密钥及外置密码设备中保存的部分密钥，实现智能终端设备的签名与证书服务端的签名组合为协同签名，从而保证整个数字签名应用的安全有效性。
[0038]
结合图2，用户数字证书的签名应用流程如下：（2.1）在通讯加密流程支撑下，进行用户的数字证书申请处理。由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码设备生成部分密钥，并将该部分密钥与用户数字证书的进行配对标识。
[0039]
这里配对标识的意思是将外置密码硬件生成的部分密钥和用户数字证书在数据库进行一对一绑定保存，即每个用户数字证书都要生成一个部分密钥，并在数据库进行保存。之后可以根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥。
[0040]
（2.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回用户数字证书，用户数字证书应包含签名证书；如果完成则进入下一步，否则异常结束；（2.3）智能终端设备获得用户数字证书的签名证书及密钥，进行本地化保存。
[0041]
（2.4）智能终端设备根据业务需要对数据执行数字签名。
[0042]
（2.5）由智能终端设备根据签名证书密钥因子a，在同一椭圆曲线上阶为n的基点g生成第一随机数t1，由点乘法得到第一变量q1=t1
·
g；其中n是根据签名证书密钥因子a确定出的椭圆曲线的阶，随机数t1满足t1∈[1,n-1]；n是指椭圆曲线上的阶，是一个数学概念，sm2国密标准是基于椭圆曲线加密。
[0043]
（2.6）智能终端设备将q1和消息摘要e发送给证书服务端执行协同签名，证书服务端利用外置密码硬件的部分密钥因子为a2进行计算，得到两个随机数t2、t3，随机数t2满足t2∈[1,n-1]，随机数t3满足t3∈[1,n-1]；根据点乘法计算得到协同签名半径r及协同签名分量s2、s3，具体为：计算t2*q1+t3*g=(x1,y1)，得到r=(x1+e) mod n，其中，mod n为模n运算，r满足r不为0，否则异常结束；计算得到s2= a2*t2和s3= a2* (r+t3)；
（2.7）证书服务端将r、s2、s3返回至智能设备终端，智能设备终端根据r、s2、s3计算第二签名分量s，其中s=(a*t1)*s2＋a*s3－r，将协同签名半径r、第二签名分量s组合得到完整签名分量(r,s)，完成协同签名；s满足(r+s) mod n不为0，否则异常结束。
[0044]
完整签名分量(r,s)是国密sm2数字签名标准的签名分量，根据国密标准可以计算得到数字签名结果，是本次处理的最终输出数据。
[0045]
为了实现智能设备的用户的数据安全，可以使用用户数字证书中的加密证书进行数据加解密来实现相关的数据安全。基于我国公钥密码算法标准（gm/t0003-2012），数据加密采用标准的公钥加密算法标准，不再赘述。
[0046]
结合图3，用户数字证书的解密应用流程具体如下：（3.1）在本公开的通讯加密流程支撑下，进行用户的数字证书申请处理。由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码设备生成部分密钥，并将该部分密钥与用户数字证书的进行配对标识。
[0047]
这里配对标识的意思是将外置密码硬件生成的部分密钥和用户数字证书在数据库进行一对一绑定保存，即每个用户数字证书都要生成一个部分密钥，并在数据库进行保存。之后可以根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥。
[0048]
（3.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回用户数字证书，用户数字证书包含加密证书及加密证书密钥，如果完成则进入下一步，否则异常结束；（3.3）智能终端设备生成加密随机数η，所述加密随机数η使用符合国密要求的sm2密钥随机数生成算法生成，η满足η∈[1,n
’‑
1]，n’为加密证书密钥因子椭圆曲线上的阶，不满足η∈[1,n
’‑
1]则重新生成η；（3.4）智能终端设备对加密证书密钥进行加密保存，原始密钥为k，加密后密钥为k’，根据加密随机数η确定k’=k
·
η-1
，随后加密随机数η通过证书服务端使用外置密码硬件的部分密钥，得到加密后数据p；（3.5）智能终端设备将加密后数据p保存，并根据加密后执行解密；（3.6）智能设备终端先将加密后数据p传输至证书服务端，通过外置密码硬件的部分密钥，解出加密随机数η，返回至智能设备终端；（3.7）智能设备终端利用公式k’=k
·
η-1
，从保存的k’得到原始密钥k；（3.8）利用原始密钥k完成解密。
[0049]
综上所述，智能设备终端的用户数字证书的签名与解密应用都必须通过服务端的外置密码设备进行协同输出，单一设备终端或者单一服务端都无法完成相应操作，从而使智能设备终端的用户数字证书应用得到了安全性保障。同时利用通讯用设备数字证书进行通讯的加密处理，也保证了智能设备终端与服务端之间的通讯安全，从而为智能设备终端的设备数字证书应用提供了完整保障。
[0050]
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。
[0051]
应当理解，为了精简本发明并帮助本领域的技术人员理解本发明的各个方面，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时在单个实施例中进行描
述，或者参照单个图进行描述。但是，不应将本发明解释成示例性实施例中包括的特征均为本专利权利要求的必要技术特征。

技术特征：
1.一种智能设备的数字证书管理方法，其特征在于，具体如下：设置智能设备终端、证书服务端和外置密码硬件，所述证书服务端采用应用服务器，且连接外置密码硬件；所述外置密码硬件采用符合国家商用密码标准的密码机硬件；证书服务端通过智能设备终端的唯一标识为智能设备终端颁发通讯用设备数字证书，利用通讯用设备数字证书对智能设备终端与证书服务端之间的通讯进行加密保护；用户通过智能设备终端向证书服务端申请用户数字证书；证书服务端根据用户数字证书申请，请求向ca机构申请用户数字证书，利用密钥分离算法，在外置密码硬件及智能设备终端中分别存储部分密钥信息；证书服务端通过外置密码硬件，利用密钥分离算法，进行用户数字证书的协同签名及加解密；在智能设备终端输出最终签名和解密结果。2.根据权利要求1所述的智能设备的数字证书管理方法，其特征在于，所述智能设备终端、证书服务端、外置密码硬件的通讯流程具体如下：（1.1）在首次建立通讯时，由智能设备终端向证书服务端发起接入请求；（1.2）证书服务端通过智能设备终端的唯一标识对智能设备终端进行标记，并以该唯一标识为基础，为智能设备终端颁发通讯用设备数字证书，所述通讯用设备数字证书用于智能设备终端与证书服务端之间的通信加密与认证；（1.3）智能设备终端将通讯用设备数字证书保存至本地；（1.4）智能设备终端与证书服务端进行通讯时，首先在智能设备终端生成随机加密对称密钥，将通讯数据加密；使用通讯用设备数字证书对加密对称密钥进行加密，将加密后通讯数据及加密后对称密钥进行数字信封并附上签名，发送至证书服务端；（1.5）证书服务端在获取智能设备终端的请求后，通过通讯用设备数字证书将通讯数字信封解密，得到随机加密对称密钥，使用所得随机加密对称密钥对加密的通讯信息进行解密，得到原始业务数据；（1.6）证书服务端进行业务处理，包括用户数字证书的签名应用，以及用户数字证书的解密应用；（1.7）在业务处理完成后，将返回值使用加密对称密钥进行加密，并对加密内容进行数字签名，将数据返回至智能设备终端；（1.8）智能设备终端先验证数字签名，在签名无误后，用加密对称密钥进行数据解密，获得业务处理结果数据，完成整个通讯交互流程。3.根据权利要求2所述的智能设备的数字证书管理方法，其特征在于，所述智能设备终端为搭载移动os的智能设备，包括智能手机、车载智能中控终端。4.根据权利要求2所述的智能设备的数字证书管理方法，其特征在于，所述用户数字证书根据gm/t 0034《基于sm2密码算法的证书认证系统密码及其相关安全技术规范》，分为签名证书和加密证书；所述签名证书用于对数据的数字签名及验签，所述加密证书用于对数据的加密及解密。5.根据权利要求4所述的智能设备的数字证书管理方法，其特征在于，用户数字证书的签名应用流程使用签名证书来实现，用户数字证书的签名应用是基于sm2多方协同签名方法，在外置密码硬件中保存部分密钥，利用智能设备终端内的签名证书密钥及外置密码硬
件保存的部分密钥，实现智能终端设备的签名与证书服务端的签名组合为协同签名。6.根据权利要求4所述的智能设备的数字证书管理方法，其特征在于，用户数字证书中的加密证书，基于公钥密码算法标准gm/t0003-2012，采用标准的公钥加密算法对数据加密。7.根据权利要求5所述的智能设备的数字证书管理方法，其特征在于，用户数字证书的签名应用流程如下：（2.1）由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码硬件生成部分密钥，并将该部分密钥与设备用户数字证书进行配对标识；所述配对标识是将外置密码硬件生成的部分密钥和用户数字证书在服务器数据库进行一对一绑定保存，即每个用户数字证书都生成一个部分密钥，并在服务器数据库进行保存；根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥；（2.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回用户数字证书，用户数字证书包含签名证书，如果完成则进入下一步，否则异常结束；（2.3）智能终端设备获得用户数字证书的签名证书及密钥，进行本地化保存；（2.4）智能终端设备根据业务需要对数据执行数字签名；（2.5）由智能终端设备根据签名证书密钥因子a，在同一椭圆曲线上阶为n的基点g生成第一随机数t1，由点乘法得到第一变量q1=t1
·
g；其中n是根据签名证书密钥因子a确定出的椭圆曲线的阶，随机数t1满足t1∈[1,n-1]；（2.6）智能终端设备将q1和消息摘要e发送给证书服务端执行协同签名，证书服务端利用外置密码硬件的部分密钥因子为a2进行计算，得到两个随机数t2、t3，随机数t2满足t2∈[1,n-1]，随机数t3满足t3∈[1,n-1]；根据点乘法计算得到协同签名半径r及协同签名分量s2、s3，具体为：计算t2*q1+t3*g=(x1,y1)，得到r=(x1+e) mod n，其中，mod n为模n运算，r满足r不为0，否则异常结束；计算得到s2= a2*t2和s3= a2* (r+t3)；（2.7）证书服务端将r、s2、s3返回至智能设备终端，智能设备终端根据r、s2、s3计算第二签名分量s，其中s=(a*t1)*s2＋a*s3－r，将协同签名半径r、第二签名分量s组合得到完整签名分量(r,s)，完成协同签名；s满足(r+s) mod n不为0，否则异常结束。8.根据权利要求6所述的智能设备的数字证书管理方法，其特征在于，用户数字证书中的加密证书对数据的解密流程如下：（3.1）由智能终端设备向证书服务端发起用户数字证书申请请求，证书服务端在向ca机构申请用户数字证书后，调用外置密码硬件生成部分密钥，并将该部分密钥与用户数字证书进行配对标识；所述配对标识是将外置密码硬件生成的部分密钥和用户数字证书在服务器数据库进行一对一绑定保存，即每个用户数字证书都生成一个部分密钥，并在服务器数据库进行保存；根据用户数字证书，作为标识在服务器数据库内找到对应的部分密钥；（3.2）用户数字证书的申请及生成部分密钥完成后向智能终端设备返回用户数字证书，用户数字证书包含加密证书及加密证书密钥，如果完成则进入下一步，否则异常结束；
（3.3）智能终端设备生成加密随机数η，所述加密随机数η使用符合国密要求的sm2密钥随机数生成算法生成，η满足η∈[1,n
’‑
1]，n’为加密证书密钥因子椭圆曲线上的阶，不满足η∈[1,n
’‑
1]则重新生成η；（3.4）智能终端设备对加密证书密钥进行加密保存，原始密钥为k，加密后密钥为k’，根据加密随机数η确定k’=k
·
η-1
，随后加密随机数η通过证书服务端使用外置密码硬件的部分密钥，得到加密后数据p；（3.5）智能终端设备将加密后数据p保存，并根据加密后执行解密；（3.6）智能设备终端先将加密后数据p传输至证书服务端，通过外置密码硬件的部分密钥，解出加密随机数η，返回至智能设备终端；（3.7）智能设备终端利用公式k’=k
·
η-1
，从保存的k’得到原始密钥k；（3.8）利用原始密钥k完成解密。9.一种智能设备的数字证书管理系统，其特征在于，该系统用于实现权利要求1~8中任一项所述的智能设备的数字证书管理方法，所述系统包括智能设备终端、证书服务端、外置密码硬件，其中：所述智能设备终端为搭载移动os的智能设备；所述证书服务端采用应用服务器，且连接外置密码硬件；证书服务端通过外置密码硬件，利用密钥分离算法，进行通讯用设备数字证书的协同签名及加解密；所述外置密码硬件采用符合国家商用密码标准的密码机硬件。10.根据权利要求9所述的智能设备的数字证书管理系统，其特征在于，所述智能设备终端包括智能手机、车载智能中控终端。

技术总结
本发明公开了一种智能设备的数字证书管理方法及系统，具体为：系统设有智能设备终端、证书服务端和外置密码硬件；证书服务端采用应用服务器，且连接外置密码硬件；外置密码硬件采用符合国家商用密码标准的密码机硬件；证书服务端通过智能设备终端的唯一标识为智能设备终端颁发通讯用设备数字证书，用于对智能设备终端和证书服务端之间的通讯进行加密保护；证书服务端根据用户数字证书申请向CA机构申请用户数字证书，在外置密码硬件及智能设备终端中分别存储部分密钥信息；证书服务端通过外置密码硬件，进行用户数字证书的协同签名及加解密；在智能设备终端输出最终签名和解密结果。本发明使智能设备终端的设备数字证书应用得到了安全性保障。得到了安全性保障。得到了安全性保障。


技术研发人员：何丹 王玮 卢正华 吴晓舟
受保护的技术使用者：江苏省国信数字科技有限公司
技术研发日：2023.08.29
技术公布日：2023/10/5