本发明涉及一种能够通过标识代替公钥进行密钥管理与认证的安全体系，实现基于标识的安全认证与管理系统。
背景技术：
专用安全存储硬件一直是安全行业端到端加密依赖的模型，如果能够通过联网设备的优势，通过标识与组合密钥系统结合，解决海量用户和分级安全管理的难题，这将使安全业务的灵活度有更大的发展，方便用户的使用。
技术实现要素：
本发明公开了一种标识认证安全管理系统，包括密钥生成装置和安全终端，密钥生成装置具备唯一的密钥对，包括管理私钥和管理公钥，密钥生成装置通过硬件内置的种子矩阵生成基于标识的密钥对；安全终端具备内置的唯一密钥对，包括设备私钥和设备公钥，安全终端将自己的设备公钥，标识和随机数一起形成申请数据，并用自己的设备私钥对申请数据进行数字签名，经过数据接口或网络送入密钥生成装置，密钥生成装置验证申请数据的数字签名后，根据申请数据中的标识生成标识私钥，与有效期、功能和随机数一起形成发行数据，用安全终端的设备公钥加密，并用自己的管理私钥签名，经过数据接口或网络接口送至安全终端，安全终端验证发行数据的数字签名后，把密文的标识私钥在安全终端内部解密并存储，外部无法读取。
所述的标识认证安全管理系统，其特征在于，所述种子矩阵是指以椭圆曲线加密算法为基础，对多随机数或特定数据进行运算，生成同运算模型下的若干对不同的私钥和公钥，分别形成私钥种子矩阵和公钥种子矩阵，通过对用户的唯一标识做摘要映射，把摘要值换算成若干位置坐标，私钥种子矩阵中对应位置取出的多个私钥模加的结果组成的新私钥和对应的公钥种子矩阵中同样位 置取出的多个公钥点加的结果组成的新公钥仍然是一对密钥对，公钥种子矩阵和公钥运算算法公开，私钥种子矩阵在密钥生成装置中安全保存，这样任何用户只要有对方的唯一标识，就可以计算对方的公钥，安全的给对方发信息，以及验证对方的签名，任何用户只要有自己的私钥，就能解开发来的加密数据，以及对自己发出的数据做签名。
所述的标识认证安全管理系统，其特征在于，所述安全终端具有唯一识别号，是由生产厂商保障的每个设备有唯一的不重复的序列号，并且能够通过底层安全函数直接从系统内部获取，这样的安全终端就具备了基本的安全条件，类似于智能卡和电子标签的唯一序列号，通常提前由后台主服务管理系统进行设定，只有业务类型、有效期及相关执行条件都允许，后台主服务管理系统才会根据业务操作需要，加密用户的业务私钥给具有特定唯一识别号的安全终端。
所述的标识认证安全管理系统，其特征在于，所述后台主服务管理系统根据客户信息、客户端设备的唯一识别号、业务范围、交易序号、前几次安全记录和关键特征数据生成与用户的唯一标识及客户端设备唯一序列号绑定的同步因子，所述同步因子根据预先设定的条件不断进行变化。
所述的标识认证安全管理系统，其特征在于，所述安全终端具有个人密码，能够由用户自行设定的，不同的设备、不同的业务都有独立的个人密码用来约束执行条件，通常提前由用户通过安全终端登录后台主服务管理系统，根据设备和业务类型进行设定。
所述的标识认证安全管理系统，其特征在于，所述发行数据包含额外的数据保护密钥，先计算唯一序列号和个人密码组合数据的摘要值，再用摘要值和服务端生成的同步因子继续做摘要映射，生成数据保护密钥，用数据保护密钥加密标识私钥，再用设备公钥加密传送给安全终端。
所述的标识认证安全管理系统，其特征在于，当用户需要更换安全终端或修改个人密码时，通过安全信道登录后台主服务管理系统，重新设定自己将要使用的包含唯一识别号的安全终端及其有效期、使用次数、使用条件和用途，以及用户自行设定的新个人密码与唯一序列号的摘要值，那么后台主服务管理系统将根据这些数据产生一个初始同步因子，以短信或其它网络信道发给用户。
所述的标识认证安全管理系统，其特征在于，所述标识认证安全管理系统 采用主标识作为管理，管理若干附属的子标识，用户通过审核后，将拥有一个存储有用户主标识私钥、各子标识私钥以及具备安全认证与加解密算法的安全终端，所有安全认证都依赖安全终端通过各私钥组合运算实现完成，达到端到端的安全加密。
标识认证的基本原理是，以椭圆曲线加密算法为例，首先生成一个私钥矩阵，以及一个和这个私钥矩阵对应的公钥矩阵，即私钥矩阵中特定位置的私钥和公钥矩阵中同样位置的公钥是一对公钥对，通过对客户的唯一标识做摘要，能够把摘要值换算成若干位置坐标，从公钥矩阵对应位置取出多个公钥做点加，生成用户公钥，由于公钥矩阵和计算用户公钥的算法公开，任何人都能通过用户标识计算出用户公钥来验证签名，或用用户公钥加密数据发给该用户，而该用户也只能用自己的用户私钥进行签名或解开其他人发来的用该用户公钥加密的数据。在椭圆曲线加密算法限定的同一个域内，私钥矩阵中同样位置的私钥模加的结果组成的用户私钥和对应的公钥矩阵中同样位置的公钥点加的结果组成的用户公钥仍然是一对公钥对，因此公钥矩阵和公钥运算算法公开，而私钥矩阵由发行方秘密保存，生成的用户私钥密文交由用户安全终端秘密保存。这样任何用户只要有对方的唯一标识，就可以用对方的用户公钥安全的给对方发信息，以及验证对方的签名，任何用户只要有自己的用户私钥，就能解开发来的加密数据，以及对自己承诺的数据做签名。作为扩展应用，还有基于此运算基础上的多子标识密钥组合，和共享随机密钥生成，一次一密等多种安全应用。
具体实施方式
本发明的标识认证安全管理系统的具体实现流程为，采用唯真标识RID的编码及其验证方法，唯真标识采用主标识作为管理，管理若干附属的子标识，用户通过审核后，将拥有一个存储有与用户主标识U_RID对应的私钥SK以及安全认证与加解密算法的安全硬件UK，所有安全认证都依赖安全硬件UK完成，达到端到端的安全加密，非常完备。同时为了保障其它非包含安全硬件的客户端设备，用户需要用自己的安全硬件UK登录后台主安全管理系统CAM，通过端到端的硬件安全认证后，用户可以设定自己将要使用的包含唯一识别号SN的设备及其有效期、使用次数、使用条件和用途，以及用户自行设定的PIN与SN 的摘要值，那么CAM将根据这些数据产生一个初始同步码SF，以短信或其它网络信道发给用户。SF分为两部分，SFH为同步因子，SFL为验证同步因子运算结果的识别码。
用户在指定的设备上通过安装客户端软件或浏览器登录特定业务系统时，如果业务服务系统AP判别此设备是否登记且在有效范围内的，AP会返回一个随机数RND和自己的主标识AP_RID、业务内容及签名，操作界面将提示用户输入正确的PIN和SF，然后PIN、SN、SF以及RND的摘要值会被用与AP_RID对应的公钥加密发送给AP，AP通过安全硬件解出数据后，通过取得CAM中已有的用户PIN与SN的摘要值，再和SFH和RND做摘要运算，核对无误并批准用户通过该设备进行业务操作后，AP将会把AP_RID附加上U_RID和SN做为新标识N_RID，发送给CAM，CAM验证无误，将把和该新标识N_RID对应的私钥SK用由U_RID、APvRID、SN与PIN的摘要值和SFH共同运算的结果生成的保护密钥KP进行加密，连同私钥SK对SFH运算的结果SFL一起密文传送给客户端设备，每次客户端设备需要使用私钥SK时，将提示用户输入PIN，然后根据U_RID、AP_RID、SN与PIN的摘要值和SFH共同运算的结果生成的保护密钥KP解密私钥SK，并用私钥SK对SFH运算，判断结果与SFL是否相符，从而判断私钥SK是否被正确解密。
AP为了保障安全，KP的生成过程中可以要求加入由AP管理的AC，使得多一个动态因子，能进一步保障安全。如果AC是由安全硬件生成的，则安全强度会更高。
其中多个SN与PIN的摘要值的存储，SF的生成与管理以及N_RID的生成与管理，在CAM配合下，可以灵活分配给不同的AP，以AP为主，在CAM配合下完成。其核心目的是，CAM通过硬件系统保障安全应用与管理，在能够使用安全硬件的条件下，尽量使用安全硬件。在没有条件使用安全硬件的环境下，AP通过信任CAM和UK，在用户设定的由SN、PIN、AP或CAM管理的SF以及AP管理的AC一起进行运算，用动态安全密钥KP保护用户的业务私钥SK，达到安全交易的目的。