一种高安全性的私钥保护方案  

A High-Security Scheme of Private Key Protection

作　　者：朱建东[1,2] 祝智庭[1] 

机构地区：[1]华东师范大学教育信息技术系,上海200062 [2]南通农业学院信息工程系,江苏南通226007

出　　处：《计算机工程与科学》2010年第11期55-57,共3页Computer Engineering & Science

摘　　要：CA私钥的安全是数字证书可信性及签名有效性的保证。为了增强CA私钥的安全保护,采用基于RSA的(t,n)秘密共享将CA私钥安全分发到t个签名服务器,每个签名服务器拥有不同的私钥份额,并使用先应式秘密技术周期性更新私钥份额,避免长期攻击可能带来的危险性;同时,对私钥份额进行恢复和有效性验证;签名时,使用基于RSA的分步签名机制,每个签名服务器先计算出部分签名,最后由签名代理合成最终签名。整个过程都无需对CA私钥进行重构,增强了CA私钥和签名过程的安全性。最后,对存储私钥份额的服务器采用异构平台。方案通过VC和OPENSSL进行了实现。理论上的分析和实验结果表明,本方案有较高的安全性和效率。The security of the CA private key guarantees the credibility of a digital certificate and the validity of the signature. In order to enhance the security protection of the CA private key, we distribute the CA private key to t signature servers with （t,n） secret sharing, each having a different private key sharing, and the private key sharing is periodically updated using the proactive secret scheme. A phase-based RSA signature mechanism is used, each server calculating part of the signature, and then the signed proxy gets the final signature. In the whole process, the CA private key never reconstructs, so it strengthens the safety of the CA private key and the signature. Finally, heterogeneous platforms are used to store the CA secret. VC and OPENSSL are adopted to realize it.

关 键 词：数字证书 私钥安全 秘密共享 分步签名 私钥更新 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]