分布式公共证书服务网络的统一身份管理系统的制作方法

本发明涉及网络安全技术，特别涉及一种分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统。

背景技术：

传统有线电话网中用户认证是基于物理连接，电话线连接用户座机到电信局是用户认证的依据。在无线网络世界，用户的认证是基于存储于用户识别卡(sim)内部的数字密钥。在互联网世界，用户的认证是通过代理服务器，也就是说用户向服务器提供用户名、口令，当用户名和口令符合数据库中存储的信息一致时，代理服务器完成了对用户的认证。基于网站技术的pki(publickeyinfrastructure，公钥基础设施)服务器为用户提供认证和证书服务也获得了很大成功。

互联网本身并不具备身份认证能力，因为ip包的地址非常容易作假。

通过代理服务器对一个文件的数字签名无法保证签名的法律有效性，因为理论上代理服务器的系统管理员也可以完成同样的签名。

代理服务器认证方法是通过中心秘密结构来实现的。因为所有的用户名和口令都存储在代理服务器中，所以任何泄露都将是灾难性的。历史上这样的事件已发生了很多次，最大的一次曾经造成了数千亿美元的经济损失。

当同一个用户进入不同的网站需要口令和用户名时，因为安全的原因，正确的做法是使用不同的口令。但是，随做数字经济的发展，一个用户需要经常访问的网站越来越多，需要使用的口令也越来越多，这对很多用户造成了巨大的困扰。

数字证书是解决网络安全问题的一个绕不开的办法，不管是activex插件还是https都需要用到数字证书。

ca(certificateauthority)被称为证书授权中心，是数字证书发放和管理的机构。

根证书是ca认证中心给自己颁发的证书,是信任链的起始点。安装根证书意味着对这个ca认证中心的信任。

数字证书颁发过程一般为：用户首先产生自己的密钥对，将私钥自己留着，将公钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发送而来，然后，并用ca自己的私钥对用户公钥进行签名生成数字证书并发给该用户，该数字证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。

在https建立连接时，客户用ca的公钥(根证书)对数字证书进行验证，比对一致，说明该数字证书确实是ca颁发的。

公钥(publickey)与私钥(privatekey)是通过一种算法得到的一个密钥对(即一个公钥和一个私钥)，公钥是密钥对中公开的部分，私钥则是非公开的部分。公钥通常用于加密会话密钥、验证数字签名，或加密可以用相应的私钥解密的数据。通过这种算法得到的密钥对能保证在世界范围内是独一的。使用这个密钥对的时候，如果用其中一个密钥加密一段数据，必须用另一个密钥解密。比如用公钥加密数据就必须用私钥解密，如果用私钥加密也必须用公钥解密，否则解密将不会成功。

从技术上讲，证书其实包含三部分，用户的信息，用户的公钥，还有ca中心对该证书里面的信息的签名。验证一份证书的真伪(即验证ca中心对该证书信息的签名是否有效)，需要用ca中心的公钥验证，而ca中心的公钥存在于对这份证书进行签名的证书内，故需要下载该证书，但使用该证书验证又需先验证该证书本身的真伪，故又要用签发该证书的证书来验证，这样一来就构成一条证书链的关系，这条证书链在哪里终结呢？答案就是根证书，根证书是一份特殊的证书，它的签发者是它本身，下载根证书就表明您对该根证书以下所签发的证书都表示信任，而技术上则是建立起一个验证证书信息的链条，证书的验证追溯至根证书即为结束。所以说用户在使用自己的数字证书之前必须先下载根证书。

使用基于公钥和私钥为基础的公共证书用户认证方法有很多优势。最重要的是安全性。当密钥长度达到4096bits时，在一定的时间之内即使使用量子计算机也几乎无法破解。私钥的唯一性保证了数字签名的可靠性。同时由于私钥是各人分开保存，这就避免了中心秘密结构的系统泄露后灾难性的后果。由于私钥是各人保存，所以发生安全泄露时至多影响到个人而不会发生全网络规模的灾难。

使用基于公钥和私钥为基础的公共证书用户认证方法的最大挑战是证书的管理方法。每个国家有不同的法律、每个地区有不同的文化、甚至用户所在的时区都会有所不同，这都使传统的中心服务器用户证书认证服务产生了困扰。对一个终端而言，要保证私钥的唯一性，私钥和公共证书申请书的产生应该在该终端内完成。公共证书申请书由证书管理员依据申请人提供的认证证据进行签署。依靠单台、或者几台服务器是不可能完成统一的身份认证体系的。

公共证书体系在不同的国家、不同的文化需要不同的管理方法。例如：挂失、设备初始化、证书到期、政府法律或规定变化、以及很多不可预见的情形出现，不同的国家和不同的地区都需要不同的处理方法。所以一个分布式的证书管理体系势在必行。

在分布式证书管理体系中，每一个管理员的权利都受限于地理覆盖率，所以这样从最大限度上限制了系统发生不可约束的事件的机会。

在分布式证书管理体系中，会有很多机构、很多公司参与管理。这些公司和机构在不同的国家必须遵守当地的法律，所以管理流程会有很大差异。

分布式证书管理体系应对自然灾害的能力也会比较强悍，例如骨干光纤被切断等情形。

当一个证书出现问题时，管理员需要迅速找出问题所在并且在短时间内解决问题。当管理员人数很多时，并且分布在不同的国家和地区，一个高度自动化的有效的管理体系才能保证服务的有效性。现有的电话系统在一定程度上已经做到了这一点，虽然电话号码不能用作数字签名和安全数据通信，但是在一定程度上电话号码是一个人身份认证的一种方式。

我们需要一个世界范围内分布式证书管理方法和相应网络，如同移动通讯管理管理手机号码一样，在不同的国家、不同的地区，电话永远可以打通一样，数字证书、签名和签名认证、数据安全通讯随时在手边。

技术实现要素：

本发明要解决的技术问题是提供一种分布式公共证书服务网络的统一身份管理系统，能自动有效管理网络用户统一身份(uid)，便于终端用户安全便利申请其用户公共证书，便于公共证书服务中心(lcs)对终端用户签名进行认证、对用户公共证书进行管理，便于终端用户获取网络中的其他证书，并能确保网络中的用户及设备间的数据通讯的安全。

为解决上述技术问题，本发明提供的分布式公共证书服务网络的统一身份管理系统，其包括骨干网、用户终端、公共证书服务中心；

公共证书服务中心包括至少一个根公共证书服务中心及至少一个区域公共证书服务中心；

根公共证书服务中心、区域公共证书服务中心接入到骨干网；

用户终端上的骨干网应用程序通过骨干网注册接入点接入骨干网进行注册；注册完成后能通过骨干网接入点接入骨干网；

区域公共证书服务中心具有区域公共证书服务器和区域管理员；

骨干网是一个基于统一身份地址，即uid地址的数据通信网络；

骨干网中的不同终端用户有唯一且不同的uid地址，骨干网中的设备有uid地址；

uid地址格式为c_r_x，其中c代表国家，r代表区域，x代表设备或终端用户；

公共证书服务中心、骨干网注册接入点、骨干网接入点具有设备uid地址；

终端用户具有用户uid地址；

每一个用户uid地址都与至少一个用户公共证书绑定，并在用户公共证书中标明该用户uid地址；

终端用户向区域公共证书服务中心申请获得其用户uid地址及对应的用户公共证书；

为终端用户签发用户公共证书的区域公共证书服务中心为该终端用户的所属区域公共证书服务中心；

终端用户的用户uid地址同其所属区域公共证书服务中心的设备uid地址具有相同的c及r。

较佳的，每一个网上设备及终端对应至少一个设备uid地址以及对应密钥。

较佳的，骨干网应用程序和骨干网注册接入点建立临时注册连接，用以传送申请信息和接收答复；

终端用户通过用户终端上的骨干网应用程序注册用户uid地址的过程如下：

用户终端上安装的骨干网应用程序第一次被启动时，生成一对终端用户公钥私钥及一启动临时通信密钥，用户通过应用程序交互界面选定区域公共证书服务中心，并输入用户注册信息后，生成申请表包；用户注册信息包括用户地理地址、通讯方式和身份信息；所述申请表包包含启动临时通信密钥、用户注册信息，并且用所选区域公共证书服务中心的公共证书的公钥加密；

骨干网注册接入点将申请表包以所选区域公共证书服务中心的设备uid地址为目标地址发送骨干网，并附上终端用户通过骨干网应用程序同骨干网注册接入点建立临时注册连接的注册临时连接信息或连接进程标识；

所选区域公共证书服务中心接收到所述申请表包后，使用其私钥解密，发送一uid地址包到骨干网注册接入点uid地址，并通过临时注册连接送回骨干网应用程序；uid地址包通过启动临时通信密钥加密；uid地址包包括一组用户uid地址，该组用户uid地址中的c_r与所选区域公共证书服务中心的设备uid地址的c_r相同；该组用户uid地址根据用户申请表中地理地址选定；

用户终端接收到uid地址包后，其上的骨干网应用程序通过启动临时通信密钥解密uid地址包；

用户通过应用程序交互界面选定该组用户uid地址中的一个用户uid地址后，骨干网应用程序生成证书申请包，并通过骨干网注册接入点uid地址和临时注册连接以所选区域公共证书服务中心的设备uid地址为目标地址发送到骨干网；证书申请包用所选区域公共证书服务中心的公共证书的公钥加密；证书申请包包括选定的用户uid地址、终端用户公钥及证书用户信息，证书用户信息包括姓名、证书认证等级；

所选区域公共证书服务中心接收到该证书申请包后，使用其私钥解密，发往其区域公共证书服务器，由相应区域管理员根据证书申请包中的证书用户信息判断终端用户的真实身份，确定认证等级；

如果身份经过证实并且等级得到确认，所选区域公共证书服务中心通过户终端与骨干网注册接入点uid地址和临时注册连接将用户公共证书包送回用户终端上的骨干网应用程序；用户公共证书包包括用户公共证书、证书链；用户公共证书包通过启动临时通信密钥加密；用户公共证书包括唯一证书序列号、选定用户uid地址、终端用户公钥及姓名，并由所选本地公共证书服务中心签名私钥数字签名；

用户终端上的骨干网应用程序接收到用户公共证书包后，通过启动临时通信密钥解密用户公共证书包；然后使用根证书认证用户公共证书，使用链路证书c_r认证证书链；

只有用户公共证书、证书链均通过认证，骨干网应用程序才能将用户公共证书进行安装；

注册完成。

较佳的，骨干网应用程序在用户终端安装用户公共证书后，骨干网应用程序发送启用新证书消息到所选区域公共证书服务中心；启用新证书消息包括指令权限；

所选区域公共证书服务中心收到启用新证书消息后，发往其区域公共证书服务器，由相应区域管理员将对指令权限进行认证，指令权限认证通过后，启动所选区域公共证书服务中心的区域公共证书服务器的用户公共证书启用流程；

所选区域公共证书服务中心的区域公共证书服务器的该终端用户的用户公共证书启用流程完成后，发送一个证书启用消息到骨干网；证书启用消息包括用户公共证书中的用户uid地址；

注册完成。

较佳的，所述区域公共证书服务中心还包括终端用户证书缓存器、链路证书缓存器、管理员服务器；

所述区域公共证书服务中心的区域公共证书服务器存储有所辖终端用户的用户公共证书，以及所辖终端用户的用户uid地址指针表；

所辖终端用户的用户uid地址指针表包括其他区域公共证书服务中心使用所辖终端用户的用户公共证书的使用记录；

只要其他区域公共证书服务中心引用所辖终端用户的用户公共证书，用户uid地址指针表就指向该其他区域公共证书服务中心；

用户证书缓存器用于保存其他区域公共证书服务中心签署的公共证书；

用户证书缓存器存有一个证书用户使用指针表；

证书用户使用指针表记录所辖终端用户使用其他区域用户服务中心所辖用户的用户公共证书的使用记录；

链路证书缓存器存有所辖用户使用过的其他本地用户服务中心所辖用户的链路证书，并存有一个链路用户使用指针表；

链路用户使用指针表存储所辖用户使用其他本地用户服务中心所辖用户的链路证书的使用记录。

较佳的，一个终端用户申请更新其用户公共证书的过程如下：

终端用户通过用户终端上的骨干网应用程序以所属区域公共证书服务中心的设备uid地址为目标地址，以用户终端的设备uid地址为源地址发送更新证书数据包到骨干网；

更新证书数据包的更新证书消息文本包括终端用户要更新的用户公共证书的证书序列号；

更新证书消息文本由终端用户私钥数字签名，并附有终端用户的用户公共证书；

所属区域公共证书服务中心收到更新证书数据包后，首先认证该终端用户的用户公共证书的有效性，用终端用户公钥解密更新证书消息文本，然后根据证书序列号发送新用户公共证书并且给该用户终端；

更新证书数据包的更新证书消息文本包括终端用户绑定的用户公共证书的证书序列号；

更新证书消息文本由终端用户私钥数字签名，并附有终端用户的用户公共证书；

所属区域公共证书服务中心收到更新证书数据包后，首先根据证书序列号认证该终端用户的用户公共证书的有效性，用终端用户公钥解密更新证书消息文本，然后生成该终端用户的新用户公共证书并且发送给该用户终端；

终端用户通过用户终端上的骨干网应用程序接收并安装新用户公共证书后，发送启用新证书消息到所属区域公共证书服务中心；

所属区域公共证书服务中心收到启用新证书消息后，启用该终端用户的新用户公共证书，向该终端用户的用户终端发送一个新用户公共证书启用的消息，并根据所辖用户的用户uid地址指针表，向记录的使用该终端用户的用户公共证书的的其他区域公共证书服务中心发送该终端用户的用户公共证书更新通知，更新通知包括更新时间；

其他区域公共证书服务中心在收到该终端用户的用户公共证书更新通知后，在更新时间更新该终端用户的用户公共证书，并通知其所辖相关终端用户。

较佳的，当主动终端用户uida:c1_r1_xa加被动终端用户uidb:c2_r2_xb为他的联系人时:

如果c1＝c2和r1＝r2，那么主动终端用户uida通过用户终端上的骨干网应用程序直接从所属区域证书服务中心下载被动终端用户uidb的用户公共证书，经过根证书和链路证书验证后自动安装；

如果c1！＝c2或者r1！＝r2，主动终端用户uida所属区域证书服务中心会首先查询其终端用户证书缓存器是否存有被动终端用户uidb的用户公共证书，是否有被动终端用户uidb的用户公共证书的使用记录；如果没有，主动终端用户uida所属区域证书服务中心将向被动终端用户uidb所属区域证书服务中心提取被动终端用户uidb的用户公共证书；

主动终端用户uida所属区域证书服务中心收到被动终端用户uidb的用户公共证书，将其发往主动终端用户uida的用户终端，用户证书缓存器保存被动终端用户uidb的用户公共证书并更新证书用户使用指针表。

较佳的，主动终端用户uida的客户终端将不属于其所属区域证书服务中心的被动终端用户uidb:c2_r2_xb加入他的联系人名单时：

首先检查客户终端是已否存在被动终端用户uidb的链路证书，如果被动终端用户uidb的链路证书不存在，主动终端用户uida通过客户终端向其所属区域证书服务中心请求下载被动终端用户uidb的链路证书；下载完成后，使用根证书验证被动终端用户uidb的链路证书的有效性；如果有效，主动终端用户uida的客户终端自动完成被动终端用户uidb的链路证书的安装；

然后，通过其所属区域证书服务中心获得被动终端用户uidb:c2_r2_xb的用户公共证书，通过根证书及被动终端用户uidb的链路证书验证后，进行被动终端用户uidb:c2_r2_xb的用户公共证书安装。

较佳的，所属区域证书服务中心收到其所辖主动终端用户uida的下载被动终端用户uidb:c2_r2_xb的用户公共证书请求后，如果所属区域证书服务中心的用户证书缓存器的证书用户使用指针表没有记录相应用户公共证书，所属区域证书服务中心自动根据下载请求向被动终端用户uidb:c2_r2_xb的相应区域证书服务中心索要其用户公共证书；

被动终端用户uidb:c2_r2_xb的相应区域证书服务中心将主动终端用户uida所属区域证书服务中心的信息写入其用户证书缓存器的证书用户使用指针表；

所属区域证书服务中心收到其所辖主动终端用户uida的下载被动终端用户uidb:c2_r2_xb的用户链路证书请求后，如果所属区域证书服务中心的链路证书缓存器的链路用户使用指针表没有记录相应链路证书，所属区域证书服务中心自动根据下载请求向被动终端用户uidb:c2_r2_xb的相应区域证书服务中心索要其链路证书；

被动终端用户uidb:c2_r2_xb的相应区域证书服务中心将主动终端用户uida所属区域证书服务中心的信息写入其链路证书缓存器的链路用户使用指针表。

较佳的，当一个网站接入骨干网并集成uid地址功能；

终端用户进入该网站的过程如下：

终端用户利用用户终端的骨干网应用程序以网站uid地址为目标地址发送网站登录申请包；

网站接收到网站登录申请包后，生成临时网站登录密码，生成网站链接消息文本，网站链接消息文本包括临时网站登录密码及网页链接；网站链接消息文本使用终端用户的用户公共证书的公钥加密发送给终端用户；

终端用户通过其私钥解密网站链接消息文本，根据临时密码登录网站的网页链接。

较佳的，每一个区域证书服务中心的区域证书服务器都有自己的设备私钥和设备公共证书；

每一个区域证书服务器同时还有一个签发证书专用私钥和对应签发专用公共证书；

区域公共证书服务中心的区域公共证书服务器有至少一个区域管理员；

每一个区域管理员都有自己的用户uid地址、私钥与用户公共证书；

区域证书服务器存储有一个签发证书专用私钥的使用授权表，使用授权表记录有可以使用该签发证书专用私钥的区域管理员的用户uid地址；

当一个区域管理员需要使用签发证书专用私钥签署一个用户公共证书时，该区域管理员必须在使用授权表上，并且有该区域管理员的用户uid地址对应的私钥签名的证书签署指令，签发证书专用私钥才能起用。

较佳的，骨干网应用程序和骨干网接入点建立连接的过程如下：

终端用户通过用户终端上的骨干网应用程序向骨干网接入点发送登录请求消息，并使用骨干网接入点的公钥进行加密；登录请求消息包括登录uid、时间标签、事件序列号；

骨干网接入点使用其私钥解密登录请求消息，向用户终端发送登录响应消息，登录响应消息使用用户终端的公钥加密；登录响应消息包括会话id、会话密钥、事件序列号；

用户终端使用其私钥解密登录响应消息，获得会话id、会话密钥，完成登录过程；

登录完成后，骨干网应用程序和骨干网接入点在后续正常通信过程中将使用登录时获得的会话id和会话密钥作为链路标记和密钥。

本发明的分布式公共证书服务网络的统一身份管理系统，区域公共证书服务中心(lcs)管理用户uid地址同其设备uid地址中的c_r相同的终端用户，能自动有效管理网络用户统一身份(uid)，便于终端用户安全便利申请其用户公共证书，便于公共证书服务中心(lcs)对终端用户签名进行认证、对用户公共证书进行管理，便于终端用户获取网络中的其他证书，并能确保网络中的用户及设备间的数据通讯的安全。

附图说明

为了更清楚地说明本发明的技术方案，下面对本发明所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的分布式公共证书服务网络的统一身份管理系统一实施例方框图示意图；

图2是本发明的分布式公共证书服务网络的统一身份管理系统一实施例根证书、区域证书、用户证书之间的树形关系；

图3是本发明的分布式公共证书服务网络的统一身份管理系统一实施例区域证书和服务分为三层；

图4是本发明的分布式公共证书服务网络的统一身份管理系统一实施例根证书、区域证书、用户证书之间的逻辑关系；

图5是本发明的分布式公共证书服务网络的统一身份管理系统一实施例lcs结构示意图；

图6是本发明的分布式公共证书服务网络的统一身份管理系统一实施例密钥、证书在网络上的位置示意。

具体实施方式

下面将结合附图，对本发明中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其它实施例，都属于本发明保护的范围。

实施例一

如图1到图6所示，分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统包括骨干网(bnet)、用户终端、公共证书服务中心；

公共证书服务中心包括至少一个根公共证书服务中心(rcs)及至少一个区域公共证书服务中心(lcs)；

根公共证书服务中心(rcs)、区域公共证书服务中心(lcs)接入到骨干网(bnet)；

用户终端上的骨干网应用程序(bnetapp)通过骨干网注册接入点接入骨干网注册；注册完成后能通过骨干网接入点(ap)接入骨干网；

区域公共证书服务中心(lcs)具有区域公共证书服务器(hcs)和区域管理员；

骨干网是一个基于统一身份地址(uid地址)的数据通信网络；

骨干网中的不同终端用户有唯一且不同的uid地址，骨干网中的设备有uid地址；

uid地址格式为c_r_x，其中c代表国家，r代表区域，x代表设备或终端用户；

公共证书服务中心、骨干网注册接入点、骨干网接入点(ap)具有设备uid地址；

终端用户具有用户uid地址；

每一个用户uid地址都与至少一个用户公共证书绑定，并在用户公共证书中标明该用户uid地址；

终端用户向区域公共证书服务中心(lcs)申请获得其用户uid地址及对应的用户公共证书；

为终端用户签发用户公共证书的区域公共证书服务中心(lcs)为该终端用户的所属区域公共证书服务中心(lcs)

终端用户的用户uid地址同其所属区域公共证书服务中心(lcs)的设备uid地址具有相同的c及r。

较佳的，每一个网上设备及终端对应至少一个设备uid地址以及对应密钥。

实施例一的分布式公共证书服务网络的统一身份管理系统，区域公共证书服务中心(lcs)管理用户uid地址同其设备uid地址中的c_r相同的终端用户，能自动有效管理网络用户统一身份(uid)，便于终端用户安全便利申请其用户公共证书，便于公共证书服务中心(lcs)对终端用户签名进行认证、对用户公共证书进行管理，便于终端用户获取网络中的其他证书，并能确保网络中的用户及设备间的数据通讯的安全。

实施例二

基于实施例一的分布式公共证书服务网络的统一身份管理系统，骨干网应用程序自己具有链路层，骨干网应用程序(bnetapp)和骨干网注册接入点之间，基于tcp(transmissioncontrolprotocol)、udp(userdatagramprotocol)或http(hypertexttransferprotocol,超文本传输协议)，建立临时注册连接，用以传送申请信息和接收答复；

终端用户(client)通过用户终端上的骨干网应用程序(bnetapp)注册用户uid地址的过程如下：

用户终端上安装的骨干网应用程序(bnetapp)第一次被启动时，生成一对终端用户公钥私钥及一启动临时通信密钥，用户通过应用程序交互界面选定区域公共证书服务中心(lcs)，并输入用户注册信息后，生成申请表包；用户注册信息包括用户地理地址、通讯方式和身份信息；所述申请表包包含启动临时通信密钥、用户注册信息，并且用所选区域公共证书服务中心(lcs)的公共证书的公钥加密；

骨干网注册接入点将申请表包以所选区域公共证书服务中心(lcs)的设备uid地址为目标地址发送骨干网(bnet)，并附上骨干网注册接入点uid地址，以及终端用户通过骨干网应用程序(bnetapp)同骨干网注册接入点建立临时注册连接的注册临时连接信息或连接进程标识；

所选区域公共证书服务中心(lcs)接收到所述申请表包后，使用其私钥解密，发送一uid地址包到骨干网注册接入点uid地址，并通过临时注册连接送回骨干网应用程序(bnetapp)；uid地址包通过启动临时通信密钥加密；uid地址包包括一组用户uid地址，该组用户uid地址中的c_r与所选区域公共证书服务中心(lcs)的设备uid地址的c_r相同；该组用户uid地址根据用户申请表中地理地址选定；

用户终端接收到uid地址包后，其上的骨干网应用程序(bnetapp)通过启动临时通信密钥解密uid地址包；

用户通过应用程序交互界面选定该组用户uid地址中的一个用户uid地址后，骨干网应用程序(bnetapp)生成证书申请包，并通过骨干网注册接入点(ap)uid地址和临时注册连接以所选区域公共证书服务中心(lcs)的设备uid地址为目标地址发送到骨干网；证书申请包用所选区域公共证书服务中心(lcs)的公共证书的公钥加密；证书申请包包括选定的用户uid地址、终端用户公钥及证书用户信息，证书用户信息包括姓名、证书认证等级等；

所选区域公共证书服务中心(lcs)接收到该证书申请包后，使用其私钥解密，发往其区域公共证书服务器(hcs)，由相应区域管理员根据证书申请包中的证书用户信息判断终端用户的真实身份，确定认证等级；

如果身份经过证实并且等级得到确认，所选区域公共证书服务中心(lcs)通过户终端的骨干网注册接入点uid地址和临时注册连接将用户公共证书包送回用户终端上的骨干网应用程序(bnetapp)；用户公共证书包包括用户公共证书、证书链；用户公共证书包通过启动临时通信密钥加密；用户公共证书包括唯一证书序列号、选定用户uid地址、终端用户公钥及姓名，并由所选本地公共证书服务中心(lcs)签名私钥数字签名；

用户终端上的骨干网应用程序(bnetapp)通过启动临时通信密钥解密用户公共证书包；然后使用根证书认证用户公共证书，使用链路证书c_r认证证书链；

只有用户公共证书、证书链均通过认证，骨干网应用程序(bnetapp)才能将用户公共证书(certificate)进行安装；

注册完成。

骨干网注册接入点和骨干网接入点(ap)具有自己的设备uid地址，通常共享同一个uid；骨干网注册接入点和骨干网接入点的区别是前者不要求骨干网应用程序有自己的uid，后者要求骨干网应用程序必须有自己的uid。

骨干网应用程序完成注册前，骨干网应用程序没有自己的证书，所以骨干网应用程序和骨干网注册接入点之间的通信只能依赖骨干网注册接入点的公钥和注册时产生的启动临时通信密钥。

完成注册后，骨干网应用程序和骨干网接入点(ap)之间的通信将通过双方的证书来完成。

骨干网应用程序连接骨干网注册接入点时仅能完成注册过程。

骨干网应用程序连接骨干网接入点(ap)时，骨干网应用程序可以和所有其它网上的使用设备uid地址的设备之间进行通信。

实施例二的分布式公共证书服务网络的统一身份管理系统，当终端用户第一次启动用户终端上的骨干网应用程序(bnetapp)时，会自动生成终端用户的一对公钥和私钥，骨干网应用程序(bnetapp)安装时将进行终端用户的数字签名认证，所选区域公共证书服务中心(lcs)将会根据用户地理地址提供一组uid地址供其挑选，一旦终端用户选定一个uid地址，其他终端用户将无法获得该uid地址的选择权。所选区域公共证书服务中心(lcs)将根据终端用户提供的证书用户信息认证终端用户的真实身份，一旦身份经过证实，所选区域公共证书服务中心(lcs)将依据终端用户的证书申请颁发用户公共证书，并将新的用户公共证书传送给终端用户。终端用户自己的私钥是世界上唯一的密钥，可以用来签署文件、解密用自己的公钥加密的文件。区域证书服务中心(lcs)的区域管理员使用区域证书服务器(hcs)来管理所辖终端用户，区域证书服务器(hcs)的uid地址就是区域证书服务中心(lcs)的uid地址。

用户公共证书的认证分可以为多个等级，一个终端用户的认证等级将根据终端用户向所选区域公共证书服务中心(lcs)提供的证明材料或者证明方法(电子邮件、电话短消息、银行转帐、实时视频面谈、面谈、第三方证实、邮寄信件等任何证明其信誉的方式)而决定，认证等级越高代表认证要求也越高。最低认证等级l0的认证只需要终端用户提供电话号码或者电子邮件地址，并经过验证码验证；l1需要和银行帐户绑定，并且经过支付证实；l2需要有视频面谈及提供相关材料。

实施例二的分布式公共证书服务网络的统一身份管理系统，终端用户的用户公共证书的申请在用户终端及其所选区域公共证书服务中心(lcs)内完成，保证了终端用户信息的保密，并且便于实现网络的统一身份认证体系。

实施例三

基于实施例二的分布式公共证书服务网络的统一身份管理系统，骨干网应用程序(bnetapp)在用户终端安装用户公共证书后，骨干网应用程序(bnetapp)发送启用新证书消息到所选区域公共证书服务中心(lcs)；启用新证书消息包括指令权限；

所选区域公共证书服务中心(lcs)收到启用新证书消息后，发往其区域公共证书服务器(hcs)，由相应区域管理员将对指令权限进行认证，指令权限认证通过后，启动所选区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)的用户公共证书启用流程；

所选区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)的该骨干网应用程序的用户公共证书启用流程完成后，发送一个证书启用消息到骨干网；证书启用消息包括用户公共证书中的姓名、用户uid地址；

注册完成。

较佳的，各区域公共证书服务中心(lcs)的设备uid地址及公共证书预先安装在用户终端或同骨干网应用程序捆绑在一起。

较佳的，根证书和骨干网应用程序(bnetapp)捆绑在一起，用户安装骨干网应用程序(bnetapp)时根证书共同安装。

较佳的，根证书和链路证书c_r从骨干网网站下载，或者从区块链下载。根证书可以通过网站、区块链记录得以证实。出于安全考虑，根证书无法通过骨干网应用程序(bnetapp)进行自动升级或者更改。

较佳的，终端用户收到的链路证书，由根证书认证其有效性后进行自动安装。

较佳的，所选区域公共证书服务中心(lcs)发送的uid地址包中对应有一区域公共证书服务中心(lcs)的链路证书c_r，并且当用户选定uid地址包中一组uid地址中的一个用户uid地址时，自动下载uid地址包中的链路证书c_r。

较佳的，所述用户终端是具有操作系统并能进行网络连接的硬件设备，例如可以是智能手机、pc机、笔记本电脑或服务器等。

较佳的，所述用户终端通过下载、预装、或者通过其他媒介安装骨干网应用程序(bnetapp)，或者直接从区域公共证书服务中心(lcs)获得并安装骨干网应用程序(bnetapp)。当一个终端用户从区域公共证书服务中心(lcs)下载骨干网应用程序(bnetapp)时，下载的骨干网应用程序(bnetapp)的数字签名要通过根证书和链路证书进行验证。

较佳的，终端用户能通过用户终端上的骨干网应用程序(bnetapp)选择终端用户私钥是否使用密码进行保护；

如果选择终端用户私钥受密码保护，每次启动用户终端上的骨干网应用程序(bnetapp)时，用户必须提供正确密码，否则禁止使用骨干网应用程序(bnetapp)，禁止登陆骨干网。

较佳的，uid地址总长度为16位数字或字符，c为5位数字或字符，r为5位数字或字符，x为6位数字或字符。uid地址的结构可根据未来应用的发展做进一步的调整，如调整c，r，和x的长度，并不影响正常运行。调整标记使用如总长度，或者c的扩展标识，但保证原uid继续使用。例如，当骨干网发现一个uid地址长度为17时，骨干网将使用不同的结构来解释uid。又例如，c不是一个国家代码时，骨干网将理解uid具有扩展结构。

较佳的，用户uid地址、设备uid地址在编号上区分开来。例如，可以用uid地址c_r_x中的c或者r的第一位字母用以区分用户uid地址和设备uid地址。

较佳的，一个用户公共证书包含有下列信息：统一身份(uid)地址、名称、简称、证书签署人、序列号、认证等级、过期时间以及部分管理信息。

实施例四

基于实施例一的分布式公共证书服务网络的统一身份管理系统，如图2、图3、图4所示，每一个国家有一个或多个根公共证书服务中心(rcs)，不同的根公共证书服务中心有不同的根证书及相应根秘钥；

根公共证书服务中心(rcs)具有根公共证书服务器及根管理员；

根公共证书服务中心(rcs)保存根证书和对应根密钥；

一个根公共证书服务中心(rcs)及其之下的各区域公共证书服务中心(lcs)为以根公共证书服务中心(rcs)为根的树形结构；

根公共证书服务中心(rcs)向其之下的区域公共证书服务中心(lcs)签发他们的公共证书，同时建立证书链路。

较佳的，根密钥长度大于8192bits。

根证书更新后，所有相关的链路证书、用户公共证书都必须进行更新。

一个国家的根证书作废只能通过公众通知或者重新安装骨干网应用程序(bnetapp)。出于安全考虑，骨干网应用程序(bnetapp)不支持对根证书的任何更改操作，根密钥的存储和使用必须实行一套最严格的管理机制。

公共证书采用树形链路结构，如图2所示，树主干为根证书服务c，树干为区域证书和服务c_r，终端用户为树叶c_r_x。每一个国家可以有一个根公共证书服务中心(rcs)、或者多个根公共证书服务中心(rcs1，rcs2……rcsi)。根公共证书服务中心(rcs)向区域公共证书服务中心(lcs)授予他们的公共证书，同时建立证书链路。区域公共证书服务中心(lcs)向终端用户授予用户公共证书。

区域公共证书服务中心(lcs)可以分成多层，图3为将一个区域公共证书服务中心(lcs)分为三层的示意图。对链路证书而言，当一个区域公共证书服务中心(lcs)分为若干个子区域公共证书服务中心(lcs)时，区域公共证书服务中心(lcs)和链路证书需要增加相对应的层次和链路。当分成多层次时，底层区域公共证书服务中心(lcs)将对应上层区域公共证书服务中心(lcs)。同样，底层区域公共证书服务中心(lcs)的公共证书放在链路证书的第一位，然后是上层区域公共证书服务中心(lcs)的公共证书，最后是根证书。

实施例五

基于实施例二的分布式公共证书服务网络的统一身份管理系统，用户公共证书包通过启动临时通信密钥及通过验证码加密；

所选区域公共证书服务中心(lcs)并通过用户联系信息中的通讯方式发送验证码；

用户终端接收到用户公共证书包后，其上的骨干网应用程序(bnetapp)通过启动临时通信密钥，以及用户通过应用程序交互界面提交的验证码，解密用户公共证书包。

较佳的，骨干网应用程序(bnetapp)在用户终端安装用户公共证书后，骨干网应用程序(bnetapp)发送启用新证书消息到所选区域公共证书服务中心(lcs)；启用新证书消息包括指令权限及验证码。

实施例五的分布式公共证书服务网络的统一身份管理系统，所选区域认证中心(lcs)将向终端用户通过手机短消息或者电子邮件发送一个验证码，用户必须使用该验证码才能完成用户公共证书申请。骨干网应用程序(bnetapp)起用其新用户公共证书时需要向其区域公共证书服务中心(lcs)发出新证书起用指令，在使用验证码时，这一新证书起用指令必须包含验证码，否则其他用户无法获得该用户新证书。

实施例六

基于实施例一的分布式公共证书服务网络的统一身份管理系统，如图5所示，所选区域公共证书服务中心(lcs)还包括终端用户证书缓存器(ccs)、链路证书缓存器(cccs)、管理员服务器；

所述区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)存储有所辖终端用户的用户公共证书，以及所辖终端用户的用户uid地址指针表(rlpt)；

所辖终端用户的用户uid地址指针表(rlpt)包括其他区域公共证书服务中心(lcs)使用所辖终端用户的用户公共证书的使用记录；如表1所示，uid1被三个lcs引用:uid:uid_lcs1,uid_lcs2,和uid_lcs3，而uid2仅被uid_lcs2引用。

表1

只要其他区域公共证书服务中心(lcs)引用所辖终端用户的用户公共证书，用户uid地址指针表(rlpt)就指向该其他区域公共证书服务中心(lcs)。

用户证书缓存器(ccs)用于保存其他区域公共证书服务中心(lcs)签署的公共证书；

用户证书缓存器(ccs)有一个证书用户使用指针表(rcptc)；

证书用户使用指针表(rcptc)包括所辖终端用户使用其他区域用户服务中心(lcs)所辖用户的用户公共证书的使用记录；如表2所示，uid1被三个终端用户加入联系人：uid_client1,uid_client2,和uid_client3；uid2仅有uid_client2。

表2

链路证书缓存器(cccs)存有所辖用户使用过的其他本地用户服务中心所辖用户的链路证书，并存有一个链路用户使用指针表(rcptl)；

链路用户使用指针表(rcptl)存储所辖用户使用其他本地用户服务中心所辖用户的链路证书的使用记录。

用户证书缓存器(ccs)中的证书用户使用指针表(rcptc)更新时，区域公共证书服务中心(lcs)的将通知所有的使用该更新的用户公共证书的用户；同样，当一个用户公共证书作废时，区域公共证书服务中心(lcs)也将通知所有使用该作废的用户公共证书的用户。

链路证书连接根证书和区域公共证书服务中心(lcs)的公共证书。当一个用户终端上的骨干网应用程序(bnetapp)从区域公共证书服务中心(lcs)自动下载链路证书后，通过根证书进行验证。

链路证书需要更新时，会通知相关终端用户，通知更新的消息必须由更新链路证书的签发者发布。

较佳的，终端用户的用户终端上的骨干网应用程序(bnetapp)定期向其所属区域公共证书服务中心(lcs)查询关联证书的更新情况，已备其所属区域公共证书服务中心(lcs)发出更新通知时骨干网应用程序(bnetapp)正在离线中。如果所属区域公共证书服务中心(lcs)中不存在证书更新标示，终端用户的用户终端上的骨干网应用程序(bnetapp)会强制证书与所属区域公共证书服务中心(lcs)中记录的最新证书同步。

较佳的，区域公共证书服务中心(lcs)存储公共证书时，以公共证书的uid地址为文件名称或者为数据库中的索引名index。

实施例七的分布式公共证书服务网络的统一身份管理系统，区域公共证书服务中心(lcs)存储并管理其所辖终端用户的用户公共证书，并且缓存外地终端用户的用户公共证书和链路证书。

实施例七

基于实施例六的分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统，一个终端用户申请更新其用户公共证书的过程如下：

终端用户通过用户终端上的骨干网应用程序(bnetapp)以所属区域公共证书服务中心(lcs)的设备uid地址为目标地址，以用户终端的设备uid地址为源地址发送更新证书数据包到骨干网；

更新证书数据包的更新证书消息文本包括终端用户要更新的用户公共证书的证书序列号sn：02；

更新证书消息文本由终端用户私钥数字签名，并附有终端用户的用户公共证书；

所属区域公共证书服务中心(lcs)收到更新证书数据包后，首先认证该终端用户的用户公共证书的有效性，用终端用户公钥解密更新证书消息文本，然后根据证书序列号sn：02发送新用户公共证书并且给该用户终端；

终端用户通过用户终端上的骨干网应用程序(bnetapp)接收并安装新用户公共证书后，骨干网应用程序(bnetapp)发送启用新证书消息到所属区域公共证书服务中心(lcs)；

所属区域公共证书服务中心(lcs)收到启用新证书消息后，启用该终端用户的新用户公共证书(序列号sn：02)，向该终端用户的用户终端发送一个新用户公共证书启用的消息，并根据所辖用户的用户uid地址指针表(rlpt)，向记录的使用该终端用户的用户公共证书的的其他区域公共证书服务中心(lcs)发送该终端用户的用户公共证书更新通知，更新通知包括更新时间；

其他区域公共证书服务中心(lcs)在收到该终端用户的用户公共证书更新通知后，在更新时间更新该终端用户的用户公共证书，并通知其所辖相关终端用户。

所属区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)安装终端用户的用户公共证书后，它将通知该终端用户其新的用户公共证书的启用时间，在启用时间之前，其旧的用户公共证书继续有效，在启用时间之后，其旧的用户公共证书将被作废。

较佳的，当一个终端用户更新用户公共证书时，旧的用户公共证书将会被终端用户通过用户终端上的骨干网应用程序(bnetapp)和其所属区域公共证书服务中心(lcs)保存，以供证书更新失败后恢复，一旦其新的用户公共证书安装失败，终端用户和系统都可以恢复继续使用其旧的用户公共证书。

终端用户申请更新其用户公共证书时，所有相关记录将被同时更新。

终端用户进行证书更新时，其私钥和公钥保持不变。出于安全考虑，如果需要更新其私钥和公钥，需所属区域公共证书服务中心(lcs)的区域管理员进行干预。这种情形主要发生在终端用户遗失了用户终端，并且没有对私钥和公钥进行备份。当使用新的私钥和公钥时，所有使用旧的公钥加密的文件将无法解密，但旧的私钥签字的文件继续可以使用旧的用户公共证书进行认证。

实施例九

基于实施例七的分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统，当主动终端用户uida:c1_r1_xa加被动终端用户uidb:c2_r2_xb为他的联系人时:

如果c1＝c2和r1＝r2，那么主动终端用户uida通过用户终端上的骨干网应用程序(bnetapp)直接从所属区域证书服务中心(lcs)下载被动终端用户uidb的用户公共证书，经过根证书和链路证书验证后自动安装；

如果c1！＝c2或者r1！＝r2，主动终端用户uida所属区域证书服务中心(lcs)会首先查询其终端用户证书缓存器(ccs)是否存有被动终端用户uidb的用户公共证书，是否有被动终端用户uidb的用户公共证书的使用记录；如果没有，主动终端用户uida所属区域证书服务中心(lcs)将向被动终端用户uidb所属区域证书服务中心(lcs)提取被动终端用户uidb的用户公共证书；

主动终端用户uida所属区域证书服务中心(lcs)收到被动终端用户uidb的用户公共证书，将其发往主动终端用户uida的用户终端，用户证书缓存器(ccs)保存被动终端用户uidb的用户公共证书并更新证书用户使用指针表(rcptc)。

较佳的，主动终端用户uida的客户终端将不属于其所属区域证书服务中心(lcs)的被动终端用户uidb:c2_r2_xb加入他的联系人名单时：

首先检查客户终端是已否存在被动终端用户uidb的链路证书c2_r2，如果被动终端用户uidb的链路证书c2_r2不存在，主动终端用户uida通过客户终端向其所属区域证书服务中心(lcs)请求下载被动终端用户uidb的链路证书c2_r2；下载完成后，使用根证书验证被动终端用户uidb的链路证书c2_r2的有效性；如果有效，主动终端用户uida的客户终端自动完成被动终端用户uidb的链路证书c2_r2的安装；

然后，通过其所属区域证书服务中心(lcs)获得被动终端用户uidb:c2_r2_xb的用户公共证书，通过根证书及被动终端用户uidb的链路证书c2_r2验证后，进行被动终端用户uidb:c2_r2_xb的用户公共证书安装。

较佳的，所属区域证书服务中心(lcs)收到其所辖主动终端用户uida的下载被动终端用户uidb:c2_r2_xb的用户公共证书请求后，如果所属区域证书服务中心(lcs)的用户证书缓存器(ccs)中的证书用户使用指针表(rcptc)没有记录相应用户公共证书，所属区域证书服务中心(lcs)自动根据下载请求向被动终端用户uidb:c2_r2_xb的相应区域证书服务中心(lcs)索要其用户公共证书；

被动终端用户uidb:c2_r2_xb的相应区域证书服务中心(lcs)将主动终端用户uida所属区域证书服务中心(lcs)的信息写入其用户证书缓存器(ccs)的证书用户使用指针表(rcptc)；

所属区域证书服务中心(lcs)收到其所辖主动终端用户uida的下载被动终端用户uidb:c2_r2_xb的用户链路证书请求后，如果所属区域证书服务中心(lcs)的链路证书缓存器(cccs)的链路用户使用指针表(rcptl)没有记录相应链路证书，所属区域证书服务中心(lcs)自动根据下载请求向被动终端用户uidb:c2_r2_xb的相应区域证书服务中心(lcs)索要其链路证书；

被动终端用户uidb:c2_r2_xb的相应区域证书服务中心(lcs)将主动终端用户uida所属区域证书服务中心(lcs)的信息写入其链路证书缓存器(cccs)的链路用户使用指针表(rcptl)。

被动终端用户uidb:c2_r2_xb收到主动终端用户uida消息，并且被动终端用户uidb没有主动终端用户uida的用户公共证书时，被动终端用户uidb获得主动终端用户uida的证书的过程与主动终端用户uida获得被动终端用户uidb的证书的过程相同，只是a->b互调。

较佳的，如果用户证书缓存器(ccs)的证书用户使用指针表(rcptc)记录的一终端用户的最后使用时间距离当前大于设定时间，区域证书服务中心(lcs)则删除该终端用户的用户公共证书记录；

如果链路证书缓存器(cccs)的链路用户使用指针表(rcptl)记录的一终端用户的最后使用时间距离当前大于设定时间，区域证书服务中心(lcs)则删除该终端用户的链路证书记录。

较佳的，当一个终端用户或者一个区域证书服务中心(lcs)的区域管理员作废一个用户公共证书时，需要将用户公共证书的uid地址和序列号送往所属区域证书服务中心(lcs)；

所述区域证书服务中心(lcs)的判断指令的权限，如果满足权限要求，使该用户公共证书作废；

所述区域证书服务中心(lcs)并且将通过区域公共证书服务器(hcs)中的该终端用户的用户uid地址指针表(rlpt)和用户证书缓存器(ccs)的证书用户使用指针表(rcptc)通知所有的使用该终端用户的用户公共证书的区域证书服务中心(lcs)和终端用户。

所述区域证书服务中心(lcs)发出的用户公共证书作废通知，附有该用户公共证书的uid地址、序列号、作废时间、通知发出时间、作废原因、批准作废的区域管理员信息等，如果有新的替代证书，新用户公共证书的信息也将附上，区域证书服务中心保存一个其签发的未到期证书作废清单，供用户使用。

当一个用户公共证书被作废时，用户证书缓存器(ccs)的证书用户使用指针表(rcptc)中该用户公共证书的状态将会标注为作废状态，并标明作废时间。当使用该作废用户公共证书验证数字签名时，验证结果将继续显示未被作废时的验证结果，但会标注该用户公共证书从什么时间开始已经作废。作废用户公共证书将会继续保存终端用户的用户终端上的骨干网应用程序(bnetapp)及所属区域证书服务中心(lcs)上。

较佳的，一个链路证书的作废必须经过上一层管理员来进行，和一个用户公共证书作废相似，链路证书作废时间之前签署的用户公共证书继续有效；

作废链路证书将会继续保存在区域证书服务中心(lcs)的链路证书缓存器(cccs)，但链路用户使用指针表(rcptl)的状态将被修改为作废，并且记录作废时间。一个链路证书的更新并不影响之前签署的相关用户公共证书，但会在相关用户用户证书验证时被标记该链路证书目前已作废。在实际操作中，相关用户公共证书有效期限应该在链路证书有效期限之前。

实施例九

基于实施例一的分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统，当一个网站接入骨干网并集成统一身份(uid)地址功能；

终端用户进入该网站的过程如下：

终端用户利用用户终端的骨干网应用程序(bnetapp)以网站uid地址为目标地址发送网站登录申请包；

网站接收到网站登录申请包后，生成临时网站登录密码，生成网站链接消息文本，网站链接消息文本包括临时网站登录密码及网页链接；网站链接消息文本使用终端用户的用户公共证书的公钥加密发送给终端用户；

终端用户通过其私钥解密网站链接消息文本，根据临时密码登录网站的网页链接。

一个网站需要用户名和用户口令主要是因为该网站需要对用户身份进行识别。因为分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统的骨干网已经具备证实用户身份的能力，所以当一个网站集成骨干网身份识别的功能后，只要用户安装了骨干网应用程序(bnetapp)，那么该用户进入网站将不再需要用户名和口令。网站也可以向用户提供一个连接，这个连接中包含了网站自己的设备uid地址，这样骨干网应用程序(bnetapp)可以读取网站的设备uid地址，用户只需直接点击该连接就可自动获得进入网站的包含口令的连接。

实施例十

基于实施例一的分布式公共证书服务网络的统一身份管理系统，两个终端用户之间可以相互使用对方用户公共证书进行信息安全通讯，两个终端用户之间建立安全通信通道的过程如下：

主动终端用户将送给被动终端用户的消息通过被动终端用户的用户公共证书中的公钥进行加密；

被动终端用户使用自己的私钥解密消息。

实施例十一

基于实施例一的分布式公共证书服务网络的统一身份管理系统，两个终端用户之间可以相互使用对方用户公共证书进行信息安全通讯，两个终端用户之间建立安全通信通道的过程如下：

主动终端用户将临时密钥用被动终端用户的用户公共证书的公钥加密发送给被动终端用户；

被动终端用户使用自己的私钥解密消息得到临时密钥，将文件用临时密钥加密后发送给主动终端用户。

由于对称加密解密的计算速度远远超过非对称加密的方法，所以该两个终端用户之间建立安全通信通道的过程，通常在传递大文件时使用。

实施例十二

基于实施例一的分布式公共证书(digitalpubliccertificate)服务网络的统一身份(uid)管理系统，两个终端用户之间可以相互使用对方用户公共证书进行信息安全通讯，两个终端用户之间建立安全通信通道的过程如下：

主动终端用户直接将临时密钥用被动终端用户的用户公共证书的公钥加密后，附在通过临时密钥加密的文件本体之前和之后，使用约定格式发送到被动终端用户；

被动终端用户使用自己的私钥解密得到临时密钥，通过临时密钥解密得到文件本体。

由于对称加密解密的计算速度远远超过非对称加密的方法，所以该两个终端用户之间建立安全通信通道的过程，通常在传递大文件时使用。

实施例十三

基于实施例一的分布式公共证书服务网络的统一身份管理系统，每一个区域证书服务中心(lcs)的区域证书服务器(hcs)都有自己的设备私钥和设备公共证书；

每一个区域证书服务器(hcs)同时还有一个签发证书专用私钥和对应签发专用公共证书；

区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)有至少一个区域管理员；

每一个区域管理员都有自己的用户uid地址、私钥与用户公共证书；

区域证书服务器(hcs)存储有一个签发证书专用私钥的使用授权表，使用授权表记录有可以使用该签发证书专用私钥的区域管理员的用户uid地址；

当一个区域管理员需要使用签发证书专用私钥签署一个用户公共证书时，该区域管理员必须在使用授权表上，并且有该区域管理员的用户uid地址对应的私钥签名的证书签署指令，签发证书专用私钥才能起用。

区域证书服务器(hcs)对所有用户公共证书申请、区域管理员签署的文件、区域管理员操作都将自动备案。

考虑到签发证书专用私钥的安全，区域管理员可以使用离线、批签发的方式，保持签发证书专用私钥不会在在线模式。

较佳的，区域管理员是一个自然人或者是一个计算机程序。

实施例十三的分布式公共证书服务网络的统一身份管理系统，同一个区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)的各个区域管理员，使用同一个签发证书专用私钥，为本区域终端用户提供服务。当一个区域管理员使用区域证书服务器(hcs)的签发证书专用私钥签署用户公共证书时，证书签署指令必须经过该区域管理员的用户uid地址对应的私钥签名，并且区域证书服务器(hcs)将认证该该区域管理员的用户uid地址的权限。当一个区域公共证书服务中心(lcs)进行安装时，如同终端用户的安装过程一样，需要进行相关认证过程，只不过在这时区域公共证书服务中心(lcs)将变为根公共证书服务中心(rcs)。

实施例十四

基于实施例一的分布式公共证书服务网络的统一身份管理系统，如图6所示，终端用户的用户终端存储有该终端用户的私钥(privkey_client)、用户公共证书(cert_client)、根证书(cert_root)、骨干网接入点公共证书(cert_ap)、联系人用户公共证书(cert_contacts)、lcs证书链(chainroot→lcs)、联系人用户证书链(chainroots→contacts)；

骨干网接入点(ap)存储有骨干网接入点私钥(privkey_ap)、骨干网接入点公共证书(cert_ap)、根证书(cert_root)、lcs证书链(chainroot→lcs)、接入用户(client_1……client_m)、访问用户(visitor_clients)、访问用户的证书链(chainroots→visitors)；

区域公共证书服务中心(lcs)存储有lcs私钥(privkey_lcs)、lcs公共证书(cert_lcs)、根证书(cert_root)、签发用户公共证书(officialcertforclient_1……client_m)、访问用户公共证书(certsvisiting_clients)、访问用户的证书链(chainroots→visiting_clients)；

区域管理者服务器存储有区域管理者私钥(privkey_admin)、区域管理者公共证书(cert_admin)、签发证书专用私钥(signingkey)、签发专用公共证书(certofsign)、根证书(cert_root)、lcs公共证书(cert_lcs)、签发用户公共证书(officialcertforclient_1……client_m)。

要使用骨干网服务，终端客户必须拥有其私钥、根证书、从根到其所属区域公共证书服务中心(lcs)的证书链、由其所属区域公共证书服务中心(lcs)的区域管理员正式签发的用户公共证书、以及骨干网接入点(ap)的ip地址和公共证书。

如果用户终端需要与联系人联系，则用户终端可能还需要联系人的用户公共证书。

骨干网接入点(ap)是骨干网的一部分，它本身有一个私钥和一个公共证书，它有所有的根证书和证书链，用于验证用户终端的终端用户和访问用户终端的终端用户的用户公共证书。

骨干网是一个基于uid地址转发数据的网络，骨干网接入点(ap)是为用户终端登录到骨干网并提供安全链接而设计的，而骨干网是为骨干网接入点(ap)之间的链接而设计的。

骨干网应用程序(bnetapp)和骨干网接入点(ap)建立连接的过程如下：

终端用户通过用户终端上的骨干网应用程序(bnetapp)向骨干网接入点(ap)发送登录请求消息，并使用骨干网接入点(ap)的公钥进行加密；登录请求消息包括uid、时间标签、事件序列号；

骨干网接入点(ap)使用其私钥解密登录请求消息，向用户终端发送登录响应消息，登录响应消息使用用户终端的公钥加密；登录响应消息包括会话id、会话密钥、事件序列号；

用户终端使用其私钥解密登录响应消息，获得会话id、会话密钥，完成登录过程。

登录完成后，骨干网应用程序和骨干网接入点在后续正常通信过程中将使用登录时获得的会话id和会话密钥作为链路标记和密钥。

建立连接的用户终端上的骨干网应用程序(bnetapp)基于会话id和会话密钥进一步连接骨干网，使用会话密钥对消息进行加密和解密，用户终端的会话id和用户终端的uid地址是一一对应的。

终端用户使用自己的私钥对一个消息文件进行数字签名，数字签名、终端用户的uid地址、消息文件本身将组成一个数据包，该数据包包含一段文本解释其包的性质。当另一个终端用户收到该数据包时，另一个终端用户的用户终端上的骨干网应用程序(bnetapp)发现该数据包为数字签名文件，会自动使用该发送数据包的终端用户的uid地址寻找到相应的证书对数字签名进验证；如果验证通过，该数据包将会被标注为通过签名认证。

一个消息文件可以经过多方进行数字签名。在这种情况下收到该签名文件的一方会对每一个签名进行验证，并将验证结果标明。

终端用户的相关信息保存在其所属区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)中。当这个终端用户在异地使用骨干网服务时，该终端用户可以使用当地的骨干网注册接入点(ap)、区域公共证书服务中心(lcs)及其区域公共证书服务器(hcs)，异地区域公共证书服务器(hcs)不保存该终端用户的认证信息，出于对隐私的保护，终端用户的认证信息只保存在其所属区域公共证书服务中心(lcs)的区域公共证书服务器(hcs)中。

终端用户的数字签名和认证可以用以支持电子支票、电子合同、公众信息发布、通知和消息、网站自动登录、设备遥控、门禁、有价证券、电子车票、机票、个人身份认证等。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。