SM9 用户私钥在线分发技术

SM9 密码算法属于基于标识的密码（Identity Based Crytograph，IBC）体系，它利用用户终端的标识替代或将其演化为公钥，无须公钥证书授权（Certificate Authority，CA），降低了密钥资源管理和部署难度，适用于有较高安全需求的物联网应用场景。但用户私钥分发需将用户终端集中于密钥管理系统并以离线方式写入用户终端的密码载体，不能通过网络在线方式写入，因此存在工作量大、管理效率低的不足。基于 SM9 密钥管理技术体制，通过相关安全性设计，提出了一种用户私钥在线分发方法，可有效推进 SM9 在物联网领域的应用。

物联网应用包括感知层、传输层和应用层 。在安全性要求较高的特种领域，需要采取认证加密手段处理感知层的用户终端采集和传输的信息，确保应用信息的安全。而分布在感知层的用户终端具有分布广、数量大、终端设备轻量化等特点，传统公钥基础设施（Public Key Infrastructure，PKI）的证书管理比较复杂，很难满足拥有海量连接的物联网应用的要求。

Shamir 在 1984 年提出了基于标识的密码系统（Identity Base Cryptography，IBC）概念，在 IBC 中用户身份与其公钥以最自然的方式进行绑定，用户身份信息作为公钥，用户私钥则由密钥生成中心（Key Generation Center，KGC）通过主密钥和用户标识计算得出。IBC 使得任意两个用户可以直接通信，不需要交换公钥证书，不必保存公钥证书列表和使用在线的第三方证书签发机构证书授权（Certificate Authority，CA）， 大 大 简 化 了 公 钥分发过程和证书管理过程。因此，IBC 可以作为PKI 的一个很好的替代，尤其是在具有海量连接的物联网应用环境。

SM9 密码算法作为身份标识密码算法 的一种，遵循 IBC 密码体制，用于解决物联网用户终端数据的安全防护问题，得到了业界的广泛关注。在 SM9 技术体系中，规定户的私钥不能在终端自身的密码设备中产生，而是由密钥管理基础设施（Key Management System，KMS）统一产生并下载给用户，因此推广 SM9 应用的关键在于解决好用户私钥分发的问题。

我国密码行业标准 GM/T 0086—2020《基于 SM9 标识密码算法的密钥管理系统技术规范》提出了一种用户私钥离线分发方案，该方案安全性高，但需要耗费大量人力和时间开销，对密钥管理系统会造成较大压力和负担。业界也对SM9 用户私钥在线分发技术进行了相关研究 ，提出了一些相关用户密钥在线分发方案，但存在用户身份被假冒以及数据传输保护不完善等问题。

本文基于 SM9 密钥管理技术体制，提出了一种新的用户私钥分发机制，通过建立安全传输通道实现了用户私钥在线产生和分发，可以显著提升 SM9 密钥管理的能力和效率，从而有效推进 SM9 在物联网领域的应用。

1.1　密钥管理系统组成及架构

SM9 的 KMS 由 私 钥 生 成 系 统（Private Key Generator，PKG）、 注 册 服 务 机 构（Registration Agency，RA）、公开参数服务器（Public Parameter Server，PPS）和用户终端实体（User/Client）组成，系统架构如图 1 所示。各实体功能如下文所述。

图 1 SM9 密钥管理系统组成及架构

（1）PKG 利用系统主密钥和相关参数为用户生成私钥，并提供相关管理及查询服务。

（2）RA 承担用户密钥申请注册、认证、管理以及与 PKG 进行业务交流的任务，提供对称、非对称及杂凑等密码服务，并接收 PKG 返回的密钥数据写入终端实体的密钥载体中。

（3）PPS 面向用户信息服务系统，提供公开的可访问地址，进行公开参数和策略的安全查询与分发。公开参数包括可公开共享的密码参数和用户标识状态目录。

（4）User/Client 是用户信息服务系统的终端应用系统，直接或通过本地代理向 PKG 申请密钥，并实现对自身私钥的存储和使用。

从 SM9 密钥管理系统架构分析可知，用户密钥的产生和分发主要涉及 PKG、RA 和 User/Client等 实 体， 可 通 过 在 PKG 与 RA 之 间、RA 与 User/Client 之间建立安全通道，实现密钥的传输和下载。

1.2　用户密钥产生和分发机制分析

SM9 密码系统的用户密钥包括用户公钥和私钥，用户公钥为公开信息，可根据用户身份标识产生，无须专门管理和分发；用户私钥为秘密信息，由 PKG 统一生成后，通过安全渠道传递给 User/Client。因此，SM9 用户私钥能否安全、快捷地传递给 User/Client 直接关系到 SM9 密码应用能否推广。SM9 的用户私钥离线分发方法包括以下关键步骤：

（1）用户注册：用户通过 RA 完成注册，用于密钥申请时对用户信息的验证。

（2）密钥申请：用户向 RA 发送私钥分发请求，RA 先对申请信息进行认证，审核用户标识的唯一性以及用户数据的真实性和完整性，如审核通过，RA 依据用户申请内容，向 PKG 发送密钥申请。

（3）密钥产生：PKG 验证 RA 的申请，利用系统参数生成用户私钥，并将用户标识状态信息发布到 PPS。

（4）密钥分发：PKG 将用户私钥密文和相关信息组成相应数据包，并进行数字签名，回送给RA，RA 验证收到的数据，验证通过后，把私钥密文数据下载到用户密钥载体中。

从上述流程可看出，在离线方式下用户私钥通过 RA 直接下载写入 User/Client（密钥载体）。对于海量终端接入的物联网应用部署，如果需要集中User/Client 并送到 RA 完成私钥的下载写入工作，必然耗费大量时间及成本，导致密钥管理效率不高，不利于应用系统的密码应用部署。此外，该种用户私钥分发方式不利于用户密钥后续的更换工作。因此，需要设计一种用户私钥的在线分发机制，以适应具有海量终端接入的物联网应用系统的要求。

用户私钥在线分发是基于 User/Client 与 KMS之间互联互通的情况下，实时在线地从 KMS 下载用户私钥到 User/Client。而信息在交互过程中，面临着身份假冒、信息被窃听、信息被篡改和重放等安全威胁。因此，从 User/Client 与 KMS 之间的信息交互的安全性出发，基于 SM9 KMS 架构提出一种新型的用户私钥分发方案。本方案设计要点如下：

（1）User/Client 标识设计。User/Client 采用两个用户标识：一个为公开标识（UID），可以公开，用于生成用户公钥；另一个为私有标识（SID），不对外公开，保存在用户终端的密钥载体中，第三方不能对 SID 进行读写，用于身份识别。UID 和SID 均由 PKG 统一产生，具有唯一性的特点，设备出厂前由生产厂家写入，二者形成一一对应关系，并保存在 PKG 中。由于 UID 和 SID 两个用户标识的功能相互独立，不会在 SM9 密码管理体系架构中造成任何冲突。

（2）密钥分发流程设计。与密钥离线分发流程相比较，增加 User/Client 与 KMS 的双向认证过程，保证 User/Client 身份的合法性，同时保证 User/Client 不会被假冒的 KMS 欺骗。在身份认证通过后，再完成用户信息的注册，最后进行密钥产生及下发。

（3）信息传输安全防护设计。通过身份认证进行密钥协商，产生数据传输加密密钥和完整性检验密钥，实现 User/Client 与 RA、PKG 之间信息传输的机密性、完整性、认证性和不可否认性保护，同时采用时间戳机制实现抗重放攻击。为适应轻量化终端的物联网应用场景，信息传输安全防护机制可基于轻量级对称密码算法 SM7 实现，即对用户私钥进行机密性保护的密钥由 User/Client 密钥载体的随机数发生器产生，并满足随机数检验的相关标准。

为了描述用户私钥分发流程，本文定义 User/Client 的公开标识为 UID、私有标识为 SID，RA 的标识为 RAID；RA 公钥为 RAPK、私钥为 RASK，PKG 公钥为 PKGPK、私钥为 PKGASK；SM9 非对称加密算法（PK 为公钥）表示为，SM9 非 对 称 解 密 算 法（SK 为私钥）表示为（DATA）, 签 名 结 果 为 sign；对 称 加 密 算 法（K为密钥）表示为 对 称 解 密 算 法（K 为密钥）表示为；杂凑结果为HMAC；User/Client 能够通过 PPS 获得 RA 的标识和 RA、PKG 的公钥等参数 。

以下内容通过用户终端认证及注册和用户私钥在线分发两个步骤对方案的具体实现机制和过程进行描述。

2.1　用户终端认证及注册

2.1.1　实施方案

用户终端认证及注册的实施方案如下：

（1）User/Client 通 过 RA 与 PKG 进 行 双 向 身份 认 证。User/Client 采 用 PKG 对 SID 信息加密后上报 RA，RA 再请求 PKG 验证 User/Client 的合法性，PKG 完成验证后把结果告知 RA，实现对 User/Client 的认证；User/Client 通过随机数挑战—应答方式实现对 RA 的合法性判定。

（2）用户注册。User/Client 与 RA 认证成功后进行用户注册，注册信息在 User/Client 与 RA 之间传输，采用数据加密、哈希计算、签名验证等安全防护设计，确保信息的机密性、完整性和可认证性。

2.1.2　流程设计

认证及注册流程如图 2 所示，其具体的流程如下文所述。

图 2 用户认证及注册流程

2.2　用户私钥在线分发

2.2.1　实施方案

用户注册成功后，User/Client 向 PKG 申请私钥，PKG 产生并分发用户私钥。用户私钥信息在 PKG与 RA 之间、RA 与 User/Client 之间传输采用数据加密、完整性校验、签名验签等安全防护设计，确保信息的机密性、完整性和可认证性，同时采用时间戳实现抗重放攻击。

2.2.2　流程设计

用户私钥生成和下发流程如图 3 所示，对流程的具体描述如下文所述。

图 3 用户私钥生成和下发流程

3.1　安全性分析

用户私钥的安全直接关系到应用系统的安全运行，用户私钥安全分发是确保用户私钥安全的关键环节之一，因此需要提供完备的安全防护体系和安全的密钥分发协议，确保用户私钥在线分发安全。

3.1.1　防护体系方面

本方案遵循 SM9 密钥管理架构，基于现有 SM9私钥离线分发规范标准，在实现 RA 与 PKG 之间的安全防护的同时，增加了 User/Client 与 RA、User/Client 与 PKG 之间的安全防护设计，具体采用了双向身份认证、数据加密传输、数据完整性验证、数据合法性验证、时间戳防重放等安全防护技术，在User/Client、RA 和 PKG 三者之间构建完备的安全防护体系，有效保障用户私钥在线分发的安全。

3.1.2　密钥分发协议方面

首先，本文基于 SID 的私密性和唯一性，利用 SM9 算法的加解密和签名验签机制实现 User/Client 与 KMS（RA、PKG）之间的双向身份认证，确保 User/Client 和 KMS 身份的合法性；

其次，利用身份认证过程中派生的加密密钥和完整性密钥，保护 User/Client 向 KMS 上传用户注册数据、私钥请求数据时，以及 KMS 生成私钥数据下传给 User/Client 时 的 机 密 性 和 完 整 性， 确 保 User/Client 和KMS 之间数据传输通道安全，防止数据被泄密、伪造和篡改；

再次，利用身份认证时生成的认证令牌TOKEN对下发的私钥数据进行来源和合法性验证，实现密钥数据的可认证性和不可否认性；

最后，采用时间戳设计，规避数据重放攻击。综上，所提方案为密钥在线安全分发实现提供了有效支撑。

3.2　实用性分析

海量的终端接入和有限的终端资源之间的矛盾一直是物联网应用推广的难点，而现实需求对密码应用部署和密码轻量化应用也提出了更高的要求。

3.2.1　密码应用部署方面

本方案从物联网海量终端接入的实际部署需求出发，提出了一种利用物联网基础网络对终端设备进行用户密钥在线实时分发的方法，简化了密钥管理流程，减轻了密钥管理系统压力，可有效缩短应用部署时间和节省管理成本，有效满足海量终端接入的物联网应用场景的需要。

3.2.2　对应用系统的影响方面

本方案从物联网终端资源有限的实际出发，对密钥数据的加密保护采用轻量级对称密码算法（如SM7），能较好地满足物联网应用场景的要求。此外，考虑到物联网终端密钥在线初装后密钥更换的频次要求较低，用户密钥在线分发协议增加的资源开销对应用系统和 User/Client 的影响不大。因此本方案具有较好的实用性和推广价值。

物联网应用采用 SM9 密码系统进行信息安全防护已成为业界研究热点。本文基于 GM/T 0086—2020《基于 SM9 标识密码算法的密钥管理系统技术规范标准》提出了 SM9 用户私钥在线分发新技术，解决了用户终端与密钥管理中心之间信息交换的安全防护问题。

本文在机密性、合法性、完整性、可认证性和抗重放攻击等方面进行了安全设计，确保用户终端在线下载用户私钥的安全。所提方案相较于用户密钥离线分发具有较大优势，特别适用于5G 网络物联网场景的应用，为进一步推动 SM9 在物联网的实用化进程提供了一种新的思路和方法。