CN117156440A

CN117156440A - 一种证书认证方法、系统、存储介质和电子设备

Info

Publication number: CN117156440A
Application number: CN202311408305.1A
Authority: CN
Inventors: 郭磊; 许晓帆; 岳小阳
Original assignee: China Electronics Technology Network Security Technology Co ltd
Current assignee: China Electronics Technology Network Security Technology Co ltd
Priority date: 2023-10-27
Filing date: 2023-10-27
Publication date: 2023-12-01
Anticipated expiration: 2043-10-27
Also published as: CN117156440B

Abstract

本发明提供一种证书认证方法、系统、存储介质和电子设备，涉及车联网安全领域，该方法包括：获取目标设备的待认证证书；判断所述待认证证书的签发者证书是否加入互信互认机构；若是，从所述互信互认机构获取所述待认证证书的验证信息，并对所述待认证证书进行认证；若所述待认证证书认证通过，确认所述目标设备可信。本发明通过互信互认机构使得不同证书域的证书均可以向同一机构进行注册认证，也通过互信互认机构，可以实现设备合法性和唯一性的验证，实现了跨证书体系、跨证书域的多证书体系互信互认，能够实现不同证书体系之间的统一验证。

Description

一种证书认证方法、系统、存储介质和电子设备

技术领域

本发明涉及车联网安全领域，特别涉及一种证书认证方法、系统、存储介质和电子设备。

背景技术

随着车联网的高速发展，车联网的安全受到很大程度的关注，车联网V2X（vehicleto everything，车路协同）的PKI（Public Key Infrastructure，公开密钥基础设施）体系作为车联网安全的基础设施，针对V2X车联网应用提供安全认证服务，确保V2X应用中消息及消息的来源都可以得到及时有效的验证、消息的机密性能够得到保护，为汽车智能网联、智慧交通、自动驾驶等提供安全支撑，其建设的完整性要求逐渐提高。V2X的证书体系主要运用在车联网安全方面，而车联网安全属于汽车产业中的一部分，并没有全面覆盖整个产业的安全设施，而对于一些汽车产业中V2X的证书体系覆盖不到的盲区，则仍然使用X509（一种密码学里公钥证书的格式标准）的证书体系。

可见，不同证书域成为不同车联网设备之间的交互障碍，影响车联网设备之间的交互。

发明内容

本发明的目的是提供一种证书认证方法、系统、计算机可读存储介质和电子设备，能够实现不同证书领域的证书相互信任。

为解决上述技术问题，本发明提供一种证书认证方法，具体技术方案如下：

获取目标设备的待认证证书；

判断所述待认证证书的签发者证书是否加入互信互认机构；

若是，从所述互信互认机构获取所述待认证证书的验证信息，并对所述待认证证书进行认证；

若所述待认证证书认证通过，确认所述目标设备可信。

可选的，判断所述待认证证书的签发者证书是否加入互信互认机构包括：

检测所述互信互认机构中是否存在所述待认证证书的证书认证地址；

若是，确认所述待认证证书加入所述互信互认机构。

可选的，检测所述互信互认机构中是否存在所述待认证证书的证书认证地址之前，还包括：

接收申请方提交的加入所述互信互认机构的申请信息；所述申请方为任意证书域的车联网设备；

对所述申请信息的内容和格式进行检测；

若检测通过，允许所述申请方加入所述互信互认机构，并配置所述申请方对应的证书认证地址；向所述申请方返回所述申请信息的申请结果；所述证书认证地址用于供所述申请方应用。

可选的，允许所述申请方加入所述互信互认机构，并配置所述申请方对应的证书认证地址之后，还包括：

接收所述申请方对所述申请信息的结果查询请求；

响应于所述结果查询请求，并向所述申请方返回包含所述证书认证地址的申请结果。

可选的，若所述申请方接收到所述申请结果，还包括：

根据所述证书认证地址下载机构证书，并预置于所述申请方的应用端。

可选的，配置所述申请方对应的证书认证地址之后，还包括：

在所述申请方与其他申请方通信，获取所述其他申请方的证书，并将所述其他申请方的证书组装为待验证数据后，所述互信互认机构接收所述申请方提交的所述待验证数据；

所述互信互认机构根据所述待验证数据中的待验证证书的类型执行相应的证书认证过程；

所述互信互认机构根据所述待验证证书的签发者查找所述签发者审核通过的机构证书；

若存在所述待验证证书的签发者，验证所述待验证证书的签名是否有效；若签名有效则所述待验证证书的验证结果为通过，否则所述待验证证书的验证结果不通过；

互信互认机构将所述验证结果进行签名组装后，返回至所述申请方。

可选的，若所述待验证数据包括车联网设备信息和加密数字信封，还包括：

所述互信互认机构确认所述车联网设备信息对应的车联网设备；

对所述待验证数据验证，根据所述车联网设备信息对所述车联网设备进行合法性验证；

若确认所述车联网设备合法，验证所述加密数字信封，并在验证通过后制作所述车联网设备的注册证书；所述注册证书用于与所述车联网设备绑定。

本发明还提供一种证书认证系统，包括：

证书获取模块，用于获取目标设备的待认证证书；

判断模块，用于判断所述待认证证书的签发者证书是否加入互信互认机构；

证书认证模块，用于所述判断模块的判断结果为是时，从所述互信互认机构获取所述待认证证书的验证信息，并对所述待认证证书进行认证；以及用于所述待认证证书认证通过时，确认所述目标设备可信。

本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的方法的步骤。

本发明还提供一种电子设备，包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如上所述的方法的步骤。

本发明提供一种证书认证方法，包括：获取目标设备的待认证证书；判断所述待认证证书的签发者证书是否加入互信互认机构；若是，从所述互信互认机构获取所述待认证证书的验证信息，并对所述待认证证书进行认证；若所述待认证证书认证通过，确认所述目标设备可信。

本发明通过对待认证证书进行双重认证，先确认该待认证证书的签发者证书是否加入互信互认机构，若已加入互信互认机构，则可以进一步对待认证证书进行认证，一方面解决了传统注册证书申请的安全漏洞，通过互信互认机构使得不同证书域的证书均可以向同一机构进行注册认证，也通过互信互认机构，可以实现设备合法性和唯一性的验证，实现了跨证书体系、跨证书域的多证书体系互信互认，能够实现不同证书体系之间的统一验证。

本发明还提供一种证书认证系统、计算机可读存储介质和电子设备，具有上述有益效果，此处不再赘述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例所提供的一种证书认证方法的流程图；

图2为本发明实施例所提供的一种证书认证系统结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

目前针对X509证书体系有不同证书域的信任机构与产品，针对V2X证书体系也有不同证书域的信任机制的相关规范与落地产品。但是，缺乏V2X证书体系与X509证书体系之间、且不同证书域的相互信任机制与具体产品。

为解决上述问题，请参考图1，图1为本发明实施例所提供的一种证书认证方法的流程图

S101：获取目标设备的待认证证书；

S102：判断所述待认证证书的签发者证书是否加入互信互认机构；

S103：若是，从所述互信互认机构获取所述待认证证书的验证信息，并对所述待认证证书进行认证；

S104：若所述待认证证书认证通过，确认所述目标设备可信。

首先获取目标设备的待认证证书，该目标设备为包含任意证书域的设备，例如车联网设备等。

此后判断该待认证证书的签发者证书是否加入互信互认机构，即该目标设备上的待认证证书的签发者证书是否在互信互认机构上注册，若确认该签发者证书已注册，则对待认证证书进行认证，以确保待认证证书与目标设备的一致性，防止其他设备上的合格证书被冒用。

具体的，可以通过检测所述互信互认机构中是否存在所述待认证证书的证书认证地址，以判断待认证证书的签发者证书是否加入互信互认机构。若存在，可确认待认证证书加入互信互认机构。

目标设备可以向互信互认机构提交申请，以加入互信互认机构，具体过程可以如下，对于互信互认机构而言：

步骤一、接收申请方提交的加入所述互信互认机构的申请信息；

步骤二、对所述申请信息的内容和格式进行检测；

步骤三、若检测通过，允许所述申请方加入所述互信互认机构，并配置所述申请方对应的证书认证地址；向所述申请方返回所述申请信息的申请结果；所述证书认证地址用于供所述申请方应用。

该申请方可以为任意证书域的车联网设备，通过向互信互认机构提交申请信息，由互信互认机构对申请信息进行检测，具体包含内容和格式的检测。内容主要包含证书内容以及申请方的设备信息，格式可以包含证书格式，以及申请信息的格式等。

在检测通过后，允许申请方加入互信互认机构，并为其配置证书认证地址。该地址可供申请方下载机构证书，以表明该车联网设备已经通过了互信互认机构的检测。

此后申请方也可以查询申请结果，互信互认机构接收所述申请方对所述申请信息的结果查询请求，并响应于所述结果查询请求，向所述申请方返回包含所述证书认证地址的申请结果。而申请方接收到所述申请结果后，可以根据所述证书认证地址下载机构证书，并预置于所述申请方的应用端。

本发明实施例通过对待认证证书进行双重认证，先确认该待认证证书的签发者证书是否加入互信互认机构，若已加入互信互认机构，则可以进一步对待认证证书进行认证，一方面解决了传统注册证书申请的安全漏洞，通过互信互认机构使得不同证书域的证书均可以向同一机构进行注册认证，也通过互信互认机构，可以实现设备合法性和唯一性的验证，实现了跨证书体系、跨证书域的多证书体系互信互认，能够实现不同证书体系之间的统一验证。

下文对于对待认证证书进行认证进行说明，可以包括如下步骤：

第一步、在所述申请方与其他申请方通信，获取所述其他申请方的证书，并将所述其他申请方的证书组装为待验证数据后，所述互信互认机构接收所述申请方提交的所述待验证数据；

第二步、所述互信互认机构根据所述待验证数据中的待验证证书的类型执行相应的证书认证过程；

第三步、所述互信互认机构根据所述待验证证书的签发者查找所述签发者审核通过的机构证书；

第四步、若存在所述待验证证书的签发者，验证所述待验证证书的签名是否有效；若签名有效则所述待验证证书的验证结果为通过，否则所述待验证证书的验证结果不通过；

第五步、互信互认机构将所述验证结果进行签名组装后，返回至所述申请方。

该其他申请方可以为一个，也可以为多个，在此不作具体限定。同时该申请方和其他申请方仅为车联网设备时才包含相应的证书。

此外，若所述待验证数据包括车联网设备信息和加密数字信封，还可以对待验证数据进行合法性验证，具体过程如下：

互信互认机构确认车联网设备信息对应的车联网设备；

对待验证数据验证，根据车联网设备信息对车联网设备进行合法性验证；

若确认车联网设备合法，验证加密数字信封，并在验证通过后制作车联网设备的注册证书。该注册证书用于与车联网设备绑定，相当于车联网设备的身份证明。

以X509证书为例，互信互认机构从车联网设备平台离线或者在线批量同步设备信息（包括设备编码，设备的企业等），其验证过程可以如下：

第一步、车联网设备向互信互认机构在线申请机构证书；

第二步、车联网设备产生注册证书的公私钥对；

第三步、车联网设备产生公私钥对，自签名产生X509证书；

第四步、车联网设备本地产生一个注册证书申请结构；

第五步、车联网设备随机生成一个对称加密算法密钥对注册证书申请结构进行加密；

第六步、车联网设备用互信互认机构的证书公钥加密对称密钥；

第七步、车联网设备组装互信互认机构证书、对称密钥密文、注册证书申请结构密文成一个加密数字信封；

第八步、车联网设备用X509对应的证书私钥对加密数字信封做签名；

第九步、车联网设备组装签名原文（加密的数字信封）、签名数据、车联网设备X509证书、车联网设备信息组装成一个数据结构发送到互信互认机构；

第十步、互信互认机构验证签名，根据设备信息验证车联网设备的合法性和唯一性，解密注册证书申请结构；

第十一步、互信互认机构将注册证书申请结构转发至注册证书签发机构；

第十二步、注册证书签发机构验证注册证书申请结构，验证成功制作并返回注册证书；

第十三步、互信互认机构将返回的证书与对应的设备绑定，并将注册证书返回至车联网设备；

第十四步、车联网设备保存注册证书。

下面对本发明实施例提供的证书认证系统进行介绍，下文描述的证书认证系统与上文描述的证书认证方法可相互对应参照。

参见图2，图2为本发明实施例所提供的一种证书认证系统结构示意图，本发明还提供一种证书认证系统，包括：

证书获取模块，用于获取目标设备的待认证证书；

基于上述实施例，作为优选的实施例，判断模块为用于检测所述互信互认机构中是否存在所述待认证证书的证书认证地址的模块，并用于在判断结果为是时，确认所述待认证证书加入所述互信互认机构。

基于上述实施例，作为优选的实施例，还包括：

申请审核模块，用于接收申请方提交的加入所述互信互认机构的申请信息；所述申请方为任意证书域的车联网设备；对所述申请信息的内容和格式进行检测；若检测通过，允许所述申请方加入所述互信互认机构，并配置所述申请方对应的证书认证地址；向所述申请方返回所述申请信息的申请结果；所述证书认证地址用于供所述申请方应用。

基于上述实施例，作为优选的实施例，还包括：

查询响应模块，用于接收所述申请方对所述申请信息的结果查询请求；响应于所述结果查询请求，并向所述申请方返回包含所述证书认证地址的申请结果。

基于上述实施例，作为优选的实施例，所述申请方还包括：

机构证书下载模块，用于根据所述证书认证地址下载机构证书，并预置于所述申请方的应用端。

基于上述实施例，作为优选的实施例，所述互信互认机构还包括：

证书认证模块，用于接收所述申请方提交的所述待验证数据；根据所述待验证数据中的待验证证书的类型执行相应的证书认证过程；根据所述待验证证书的签发者查找所述签发者内部审核通过的机构证书；若存在所述待验证证书的签发者，验证所述待验证证书的签名是否有效；若签名有效则所述待验证证书的验证结果为通过，否则所述待验证证书的验证结果不通过；将所述验证结果进行签名组装后，返回至所述申请方。

基于上述实施例，作为优选的实施例，还包括：

合法验证模块，用于确认所述车联网设备信息对应的车联网设备；对所述待验证数据验证，根据所述车联网设备信息对所述车联网设备进行合法性验证；若确认所述车联网设备合法，验证所述加密数字信封，并在验证通过后制作所述车联网设备的注册证书；所述注册证书用于与所述车联网设备绑定。

本发明还提供了一种计算机可读存储介质，其上存有计算机程序，该计算机程序被执行时可以实现上述实施例所提供的步骤。该存储介质可以包括：U盘、移动硬盘、只读存储器（Read-Only Memory ，ROM）、随机存取存储器（Random Access Memory ，RAM）、磁碟或者光盘等各种可以存储程序代码的介质。

本发明还提供了一种电子设备，可以包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时，可以实现上述实施例所提供的步骤。当然所述电子设备还可以包括各种网络接口，电源等组件。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例提供的系统而言，由于其与实施例提供的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种证书认证方法，其特征在于，包括：

获取目标设备的待认证证书；

判断所述待认证证书的签发者证书是否加入互信互认机构；

若所述待认证证书认证通过，确认所述目标设备可信。

2.根据权利要求1所述的证书认证方法，其特征在于，判断所述待认证证书的签发者证书是否加入互信互认机构包括：

若是，确认所述待认证证书加入所述互信互认机构。

3.根据权利要求2所述的证书认证方法，其特征在于，检测所述互信互认机构中是否存在所述待认证证书的证书认证地址之前，还包括：

对所述申请信息的内容和格式进行检测；

4.根据权利要求3所述的证书认证方法，其特征在于，允许所述申请方加入所述互信互认机构，并配置所述申请方对应的证书认证地址之后，还包括：

接收所述申请方对所述申请信息的结果查询请求；

5.根据权利要求4所述的证书认证方法，其特征在于，若所述申请方接收到所述申请结果，还包括：

6.根据权利要求4所述的证书认证方法，其特征在于，配置所述申请方对应的证书认证地址之后，还包括：

所述互信互认机构将所述验证结果进行签名组装后，返回至所述申请方。

7.根据权利要求6所述的证书认证方法，其特征在于，若所述待验证数据包括车联网设备信息和加密数字信封，还包括：

8.一种证书认证系统，其特征在于，包括：

证书获取模块，用于获取目标设备的待认证证书；

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7任一项所述的证书认证方法的步骤。

10.一种电子设备，其特征在于，包括存储器和处理器，所述存储器中存有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1-7任一项所述的证书认证方法的步骤。