一种汽车PKI系统技术方案.pdfVIP

一种汽车PKI系统技术方案

摘要：信息安全是汽车智能化和网联化所面临的必然问题。随着网络通信技

术的不断发展，人们借助各种终端设备对汽车实现了更多的智能控制，给日常生

活带来了便利的同时，也暴露了汽车容易被远程控制，恶意攻击的安全隐患，汽

车企业更是面临遭受重大社会性事件的安全风险。

本方案拟通过PKI体系建设，为汽车车联网平台、终端提供信息安全认证防

护能力。

关键字：信息安全数字证书密钥加密解密

1技术方案

1.1总体技术架构

基于数字证书的身份标识，通过建立严谨的证书管理和使用规范，为车联网

解决的应用和终端颁发数字证书，虚拟身份和真实身份进行绑定，解决身份标识

和唯一性问题。

通过服务平台面向车联网业务平台提供获取根证书和用户证书等API接口，

并提供Web管理端实现证书全生命周期的管理，以及配合线上发证实现对TBOX

灌装数字证书。

面对TBOX，终端安全SDK除了提供相应配合灌装密钥和证书的功能外，还提

供必要的安全算法，支持数字签名/验签及加密/解密等功能。

1.2PKI/CA系统建设

PKI/CA系统支持多种安全的加密算法，包括SM1、SM4等对称密码算法，SM2、

ECC、RSA等非对称密码算法，SM3、SHA-256等杂凑密码算法。采用先进的设计

模式并具有完善的功能，系统支持分布式部署和管理，设计的证书容量为亿级，

可根据需要进行灵活扩展，以满足不同规模用户自主建立CA平台的需求。

系统主要包括CA认证中心、RA注册中心、OCSP、LDAP、KMS密钥管理中心

等，PKI的硬设备还包括密码模块。PKI中最基本的元素就是数字证书，所有安

全的操作主要通过证书来实现。CA架构图具体如下：

1.3PKI系统组成

1.3.1CA系统

CA系统是数字证书认证系统的主要服务系统，用于初始化用户数字证书认证

系统，配置数字证书策略模板，编辑设置可签发证书的种类、数量，包括单密钥

对数字证书、双密钥对数字证书、文件数字证书、USBKey数字证书、移动数字证

书等，规范数字证书注册内容，发布数字证书到LDAP服务上，签发和管理用户

数字证书，签发和管理CRL发布，提供OCSP服务接口等。此外，二级CA根证书

由CA系统保存和管理，CA系统还将对RA系统进行注册和授权管理，只有授权的

RA才能向CA系统申请和签发证书，同时对RA所能签发的证书种类、数量进行控

制，是数字证书认证系统中除密钥外最核心的主要功能系统。

1.3.2RA系统

RA系统是数字证书认证系统针对用户进行注册和审核管理的系统，是用户和

CA系统之间的重要桥梁，主要负责对用户进行信息录入、注册、审核，并将结果

提交给CA系统，由CA系统签发数字证书后，再通过RA系统将数字证书传递给

最终用户，提供下载。此外，还提供多种证书的申请和下载方式，包括在线申请、

离线申请和手机申请等功能，支持多种接口申请、下载数字证书，是面对用户和

应用最前端的数字证书认证系统，可进行扩展。

1.3.3密钥管理

密钥管理系统用于整个安全体系中对数据加解密的密钥从生成、使用、存储

和备份恢复整个过程的管理，保证密钥的全生命周期的安全，也就是最大限度保

证数据内容的安全（算法破解难度远比攻击密钥要高很多）。密钥管理系统中各

类密钥的管理应根据密钥标识、密钥版本号和密钥类型唯一确定相应密钥进行处

理。密钥的传输必须使用安全报文的方式。

密钥产生：利用内在的物理噪声源（如WNG4）产生硬件随机数，通过15项

检验（频数检验、序列检验、自相关检验、扑克检验和游程检验等检验）后的随

机数作为密钥素材。密钥是在密钥素材库中选取的一段数据。

密钥存储：密钥必须进行安全存储。密钥的传输过程、密钥管理系统数据库

等环境，密钥以密文状态存在。密钥的存储载体可以是移动存储设备、硬盘、软

盘、光盘等等。

密钥更新：所有应用密钥均具有一定的属性，包括类型、版本、索引、有效

期等。并赋予每个版本的密钥一定的有效期，当密钥有效期结束后，可方便启用

下一个版本的密钥。

密钥备份/恢复:密钥的备份和恢复在密钥生命周期中具有重要意义。对各

种密钥进行备份是必须要做的密钥管理工作。密钥管理系统必须提供密钥的备份

/恢复操作手段。在系统密钥丢失或者