基于标识密码技术的电子护照扩展访问控制系统及鉴权方法技术方案

本发明专利技术公开了一种基于标识密码技术的电子护照扩展访问控制系统及 鉴权方法。密钥服务中心提供密钥服务；护照验证中心提出阅读敏感生物 特征信息权限的申请，密钥服务中心颁发授权智能卡进行授权，护照验证 中心将授权智能卡分发给所管辖的验证终端；护照发放中心向密钥服务中 心申请鉴权的认证密钥及公开参数，并将认证密钥及公开参数写入到电子 护照的护照智能卡中。在验证护照时，授权智能卡和护照智能卡之间进行 基于标识密码算法的鉴权协议，判断验证终端是否有权阅读敏感生物特征 数据。本发明专利技术能克服欧盟方案中授权信任传递的漏洞，不需建设复杂的PKI 体系，系统建设成本低。与新加坡EAC相比，本发明专利技术对验证机构的授权是 灵活的，护照发行后仍可向验证机构授权。

【技术实现步骤摘要】

本专利技术属于电子证件防伪领域，具体为电子护照扩展访问控制机制设计一种基于标识密码技术的实现系统和鉴权方法。
技术介绍
2003年，国际民用航空组织(简称ICAO)在蒙特利尔通过了一项将生物特征信息集成到电子护照的全球统一计划。为了保障电子护照安全，ICAO为其设计了四种安全机制，其中扩展访问控制(Extended AccessControl,简称EAC)旨在进一步保护护照中存储的敏感生物特征信息。持证人的指纹和虹膜数据被人们认为是敏感生物特征数据，ICAO将其作为电子护照可选的生物特征数据，但是目前基于指纹和虹膜的特征识别技术验证准确率高于基于人脸的特征识别技术，所以，基于指纹或虹膜的生物特征识别技术被多数国家的电子护照所采用。ICAO描述了扩展访问控制机制的安全目的(即阻止对敏感信息的非授权访问)，但是采取何种技术手段来实现这个目的，迄今ICAO没有给出全球统一的技术方案。如果各国各自定义不同的技术方案，那么，电子护照验证终端将会面临着为每种技术方案分别准备一套系统的需求，这将会大大降低电子护照的互操作性。因此，为扩展访问控制提出高效安全的实现方案进而形成全球统一的标准方案，是完善电子护照安全体系亟待解决的问题之一。扩展访问控制要解决的两个主要问题是如何高效地授予护照验证终端阅读敏感信息的权力(即设计合理的授权机制)；验证护照时，如何判断护照验证终端是否有权阅读敏感生物信息(即设计安全的鉴权协议)。目前，新加坡和欧盟分别提出了各自的技术方案。对于护照验证终端和护照芯片之间的鉴权协议来讲，新加坡EAC采用的是对称密码技术，欧盟EAC采用的非对称密码技术，但都是基于挑战一一响应机制设计的，二者的最大 不同在于它们的授权机制的差别，但二者的授权机制都存在明显的缺陷。 新加坡EAC授权机制希望读取敏感生物特征信息的验证机构生成一对扩展访问控制公私密钥对，将自己的公钥通过安全方式传递给护照发行方；发行方用这个公钥对扩展访问控制密钥EAC-KEY进行加密，并将 EAC-KEY的密文信息存储在护照芯片的DG13数据组中，就完成了相应的 授权。该方案的最大缺点是其授权是静态的，即某个验证机构希望获取护 照芯片中的敏感信息，它必须在护照个人化前向发行方申请并将自己的公 钥信息传递给发行方，只有当发行方利用其公钥将EAC-KEY的加密信息写 入到芯片后，该验证机构才能获得授权。欧盟EAC采用基于证书的公钥密码技术，通过CA证书来授权，需要 建设相应的PKI体系。对护照发行国要建立两个层次的PKI体系，最高层 是国家护照验证CA (简称CVCA),生成自签名证书CVCA证书；第二层 护照验证机构DV建立CA (简称DVCA)，由CVCA颁发DVCA证书向其 授权；DVCA向护照验证终端颁发授权IS证书。欧盟的EAC方案存在以 下缺点。l)证书验证任务繁重。在进行扩展访问控制验证时要求验证终端提 供证书链，芯片要使用其有限的计算资源对证书链进行真实性和有效性验 证，验证工作繁重。2)证书分发和管理复杂，系统建设的成本高。EAC方 案中涉及三类证书(即CVCA证书、DV证书和IS证书)。这些证书的生产 者和存储者，都必须管理好这些证书及其对应的私钥，以及安排好安全信 道颁发这些证书。随着时间的推移，证书管理将更为复杂。3)其授权信任链 不可靠。欧盟EAC的这种通过证书证明链来传递信任是不可靠的。因为， 证书证明链的传递关系是成立的，比如A-B， B=C，则可以推出A-C;但 在信任链上，如果A信任B， B信任C， A却不一定会信任C。即当发行国 CVCA通过给护照验证机构DV颁发DVCA证书后，无法有效控制该DV 向哪些验证终端授权，DV有可能向该CVCA并不信任的验证终端授权。 这是欧盟EAC方案的最大缺陷。1984年以色列科学家Shamir提出了基于标识的密码体制的概念，可简化传统公钥密码系统的密钥管理问题。在2001年Boneh和Franklin利用双线性映射数学工具第一次实现基于标识的加密体制之后， 一些基于标识的密码签名体制相继被提出。与基于证书的密码体制相比，基于标识的密码体制具有不需要CA证书，不需要公钥目录服务和证书撤销列表等优点。本专利技术将基于标识的密码技术引入到电子护照扩展访问控制实现方案中，为扩展访问控制设计了基于标识密码技术的授权机制和鉴权协议。有关基于标识的密码系统所依赖的数学难题、椭圆曲线的参数和双线性映射的性质及其选取等，请参考Boneh和Franklin发表的文献IdentityBased Encryption from The Weil Pairing (In: Cryptology-Crypto 2001， LNCS2139. Berlin: Springer-Verlag, 2001.213-229)。本专利技术的鉴权协议采用的签名算法和验证Fw砂算法，参考了 Hess发表的文献Efficient identity basedsignature schemes based on pairings ( In: SAC2002, LNCS2595,Springer-Verlag. Berlin, 2003.310~324)。
技术实现思路
本专利技术的目的在于提供一种基于标识密码技术的电子护照扩展访问控制系统，该系统能够克服上述现有技术的缺陷，提供了更高效、更合理的授权机制以及相应的鉴权协议，具有高效安全的特点；本专利技术还提供了该系统所使用的鉴权方法。本专利技术提供基于标识密码技术的电子护照扩展访问控制系统，包括密钥服务中心、护照发放中心和护照验证中心，其特征在于密钥服务中心通过基于标识的密码技术的密钥服务器，产生系统主密钥和公开参数，为护照发放中心和护照验证中心提供密钥服务；护照验证中心向密钥服务中心提出阅读敏感生物特征信息权限的申请，密钥服务中心通过颁发存储有ID证书的授权智能卡进行授权，护照验证中心分别将获得的授权智能卡分发给所管辖的验证终端，各验证终端获得体现其身份特征的带有其ID证书的授权智能卡；护照发放中心向密钥服务中心申请鉴权的认证密钥及公开参数，并将 获得的认证密钥及公开参数写入到申请者的电子护照的护照智能卡中；在验证护照时，验证终端拥有的授权智能卡和电子护照中的护照智能 卡之间进行基于标识密码算法的鉴权协议，根据协议执行的结果来判断该 验证终端是否有权阅读敏感生物特征数据，当有权阅读时，对电子护照中 护照智能卡内的敏感生物特征信息进行进一步的身份核实。上述基于标识密码技术的电子护照扩展访问控制系统的鉴权方法，其 步骤包括1) 验证终端向电子护照提出阅读敏感生物特征的请求，护照智能卡生 成一个随机数n并把随机数r和护照发放中心的身份标识/￡>2发送给验证 终端；2) 验证终端将随机数r和身份标识/D2转发给授权智能卡，授权智能 卡计算待签名的值《《=—卿2)，S为双线性映射函数，//为哈希函数，&为授权智能卡中的私钥信息，户pub分别为密钥服务中心(l)的一个公开参数；3) 授权智能卡利用其ID证书中的私钥信息&对值X进行签名运算， 得到签名值(5;4) 授权智能卡将签名值3以及其ID证书中验证终端的身份标识/I), 返回给护照智能卡；5) 护照智能卡利用其认本文档来自技高网...

【技术保护点】
一种基于标识密码技术的电子护照扩展访问控制系统，它包括密钥服务中心（１）、护照发放中心（２．１、…、２．Ｎ）和护照验证中心（３．１、…、３．Ｍ），其特征在于：　密钥服务中心（１）通过基于标识的密码技术的密钥服务器，产生系统主密钥和公开参数，为护照发放中心（２．１、…、２．Ｎ）和护照验证中心（３．１、…、３．Ｍ）提供基于标识公钥密码的密钥服务；　护照验证中心（３．　１、…、３．Ｍ）向密钥服务中心（１）提出阅读敏感生物特征信息权限的申请，密钥服务中心（１）通过颁发存储有ＩＤ证书的授权智能卡进行授权，护照验证中心（３．１、…、３．Ｍ）分别将获得的授权智能卡分发给所管辖的验证终端，各验证终端获得体现其身份特征的带有其ＩＤ证书的授权智能卡；　护照发放中心（２．　１、…、２．Ｎ）向密钥服务中心（１）申请鉴权的认证密钥及公开参数，并将获得的认证密钥及公开参数写入到申请者的电子护照的护照智能卡中；　在验证护照时，验证终端拥有的授权智能卡和电子护照中的护照智能卡之间进行基于标识密码算法的鉴权协议，根据协议执行的结果来判断该验证终端是否有权阅读敏感生物特征数据，当有权阅读时，对电子护照中护照智能卡内的敏感生物特征信息进行进一步的身份核实。...

【技术特征摘要】
1、一种基于标识密码技术的电子护照扩展访问控制系统，它包括密钥服务中心(1)、护照发放中心(2.1、...、2.N)和护照验证中心(3.1、...、3.M)，其特征在于密钥服务中心(1)通过基于标识的密码技术的密钥服务器，产生系统主密钥和公开参数，为护照发放中心(2.1、...、2.N)和护照验证中心(3.1、...、3.M)提供基于标识公钥密码的密钥服务；护照验证中心(3. 1、...、3.M)向密钥服务中心(1)提出阅读敏感生物特征信息权限的申请，密钥服务中心(1)通过颁发存储有ID证书的授权智能卡进行授权，护照验证中心(3.1、...、3.M)分别将获得的授权智能卡分发给所管辖的验证终端，各验证终端获得体现其身份特征的带有其ID证书的授权智能卡；护照发放中心(2. 1、...、2.N)向密钥服务中心(1)申请鉴权的认证密钥及公开参数，并将获得的认证密钥及公开参数写入到申请者的电子护照的护照智能卡中；在验证护照时，验证终端拥有的授权智能卡和电子护照中的护照智能卡之间进行基于标识密码算法的鉴权协议，根据协议执行的结果来判断该验证终端是否有权阅读敏感生物特征数据，当有权阅读时，对电子护照中护照智能卡内的敏感生物特征信息进行进一步的身份核实。2、 根据权利要求l所述的电子护照扩展访问控制系统，其特征在于 密钥服务中心(l)产生主密钥和公开参数的过程为输入一个大于2的整数 作为安全参数h运行双线性Di伍e-Hdlman困难问题参数生成器，得到一 个长度为A:比特的素数《，确定下述条件的最小的素数p.'pE2mod3， g能 整除; +l， ^不能整除p+l;得到有限域GF(p)上方程y2=x3+l确定的点构 成的椭圆曲线E，群G是椭圆曲线E上的阶为《的加法子群，群G2是有限域GF(p2)上的阶为《的乘法子群，双线性映射函数^ G7xG74G2;在加法群G上任意选择一点户，在整数域Z/上任意选择一个数计算尸pub^ X尸;将s作为系统主密钥，并秘密保存；将参数iMi^= < G, G2, 尸，...

【专利技术属性】
技术研发人员：张新访，李成华，朱建新，吴俊军，向文，欧阳由，
申请(专利权)人：张新访，李成华，朱建新，吴俊军，向文，欧阳由，
类型：发明
国别省市：83