基于商密SM2算法的輕型PKI系統設計與實現.pdf

1、PKI體系作為信息安全領域成熟的解決方案，在國際上被廣泛采用。然而，隨著計算機技術的飛速發(fā)展，曾經PKI體系中采用的公鑰密碼RSA算法在安全性上與密鑰位數成正比，RSA算法需要密鑰位數達到1024位以上才能滿足我國信息安全的要求，ECC算法作為更安全高效的公鑰密碼算法，在PKI應用中比RSA算法更有優(yōu)勢，同時我國基于ECC技術自主設計研發(fā)了國家商用密碼算法 SM2算法，伴隨著SM2算法的公開，我國的商用密碼產品將步入由RSA向SM2更新

2、的浪潮。PKI體系作為信息安全領域基礎設施，將我國的PKI體系中的公鑰RSA算法升級為SM2算法刻不容緩。
　　本文采用OpenSSL開源庫實現了商密 SM算法的擴展，并通過OpenSSL的X509接口實現了基于SM2證書的PKI系統，PKI系統主要包括一套PKI安全管理策略、CA認證中心和目錄服務器LDAP。
　　其中，PKI安全管理策略主要涉及管理員的分權機制、KMC密鑰管理中心和安全審計。本文通過 shamir門限機制

3、實現管理員分權方案，同時，通過分權USBKey管理員機制、密態(tài)存儲密鑰、校驗密鑰文件、安全的備份/恢復機制等，實現了一套安全有效的密鑰管理方案。最后，為了保證管理日志安全，本文設計實現了一套安全審計模塊。
　　CA認證中心是PKI系統的核心部分，主要負責證書頒發(fā)和證書有效性驗證等功能。本文CA認證中心采用三層體系結構，同時為了簡化PKI系統的設計，將RA的設計融合在CA認證中心部分。最后，為了加強在線頒發(fā)證書時CA認證中心的安全，