PKI域内的用户访问IBC域内的资源的认证密钥协商方法与流程

技术特征：

1.一种PKI域内的用户访问IBC域内的资源的认证密钥协商方法，其操作步骤是：

A、申请访问

PKI域的用户U向PKI域的认证服务器CA发出访问IBC域的资源S的请求，PKI域认证服务器CA对PKI域的用户U的身份合法性进行认证；若认证未通过，则跳转至步骤E；否则，向IBC域认证服务器TA转发PKI域的用户U的访问请求；

B、生成用户索引并发送

IBC域认证服务器TA对PKI域认证服务器CA进行身份认证，若认证未通过，则跳转至步骤E；否则，IBC域认证服务器TA生成PKI域的用户U访问IBC域内资源S的会话密钥K的认证服务器部分k₁，并生成会话密钥K的认证服务器部分k₁对应的用户索引Na；且该用户索引Na为随机产生并与已有用户索引不相同；

IBC域认证服务器TA利用自身私钥SK_TA对IBC域认证服务器TA的身份标识ID_TA、用户索引Na及会话密钥K的认证服务器部分k₁，进行签名得到已签名消息M_sign，再利用PKI域的用户U的公钥PK_U对已签名消息M_sign进行加密，得到用户接收消息M_A2TA->U，并将用户接收消息M_A2TA->U发送给PKI域的用户U；

同时，IBC域认证服务器TA利用IBC域内资源S的公钥Q_S对已签名消息M_sign进行加密，得到资源接收信息M_A2TA->S，并将资源接收信息M_A2TA->S发送给IBC域内的资源S；

C、双向身份认证以及协商会话密钥

C1、PKI域的用户U利用自身私钥SK_U对IBC域认证服务器TA发来的用户接收消息M_A2TA->U进行解密，得到IBC域认证服务器TA的身份标识ID_TA、用户索引Na及会话密钥K的认证服务器部分k₁；再利用IBC域认证服务器TA的身份标识ID_TA，计算出IBC域认证服务器TA的公钥Q_TA，并用IBC域认证服务器TA的公钥Q_TA来验证签名的有效性，若验证未通过，则跳转至步骤E；否则，PKI域的用户U生成会话密钥K的用户部分k₂，并将会话密钥K的用户部分k₂首位处进行填充，使其与会话密钥K的认证服务器部分k₁的位数相同，然后对会话密钥K的认证服务器部分k₁和填充后的用户部分k₂进行异或处理得到完整的会话密钥K；

C2、IBC域内的资源S用自身私钥S_S对B步骤中IBC域内认证服务器TA发送来的资源接收消息M_A2TA->S进行解密，得到解密会话密钥K’的认证服务器部分K₁＇以及对应的资源端用户索引Na'；

C3、PKI域的用户U再利用IBC域内的资源S的身份标识ID_S，计算出IBC域内的资源S的公钥Q_S，对会话密钥K的用户部分K₂和用户索引Na进行加密，得到用户密文S-k₂；同时,利用会话密钥K对IBC域内的资源S的身份标识ID_S进行加密，得到身份标识密文S-ID；再将用户密文S-k₂和身份标识密文S-ID一起发送给IBC域内的资源S；

C4、IBC域内的资源S对收到的用户密文S-k₂进行解密，得到资源端会话密钥K″的用户部分K₂″以及用户端用户索引Na″；再搜索出与用户端用户索引Na″对应的检出解密会话密钥K″′的认证服务器部分K₁″′；再将资源端会话密钥K″的用户部分K₂″首位处进行填充，使其与检出解密会话密钥K″′的认证服务器部分K₁″′的位数相同，然后对检出解密会话密钥K″′的认证服务器部分K₁″′和填充后的用户部分K₂″进行异或处理得到完整的资源端会话密钥K″；再用资源端会话密钥K″解密收到的身份标识密文S-ID，得到IBC域内资源S的提取身份标识ID_S'，将提取身份标识ID_S'和IBC域的资源S的身份标识ID_S进行验证，若二者不一致，则跳转至步骤E；否则，IBC域内的资源S用资源端会话密钥K″对其身份标识ID_S进行加密，得到IBC域内的资源S的资源端身份标识密文M_A3S->U，并将其发送给PKI域的用户U；

C5、PKI域的用户U用会话密钥K对收到的资源端身份标识密文M_A3S->U进行解密，得到IBC域内的资源S的用户端身份标识ID_S”，并验证IBC域内的资源S的用户端身份标识ID_S”的有效性，若验证未通过，则跳转至步骤E；否则PKI域的用户U与IBC域的资源S的认证密钥协商完成，PKI域的用户U利用会话密钥K对IBC域的资源S进行安全访问；

D、重认证

当会话密钥K的认证服务器部分k₁超出其生命周期时，IBC域认证服务器TA销毁B步骤中生成的与会话密钥K的认证服务器部分k₁对应的用户索引Na；IBC域内的资源S销毁C2步骤中得到的与会话密钥K的认证服务器部分K₁对应的用户索引Na；若PKI域的用户U不再访问IBC域的资源S，则跳转至步骤E；若PKI域的用户U仍需访问IBC域的资源S，则跳转至步骤A；

当会话密钥K的用户部分k₂超出其生命周期，但会话密钥K的认证服务器部分k₁仍在其生命周期中，若PKI域的用户U不再访问IBC域的资源S时，则跳转至步骤E；若PKI域的用户U仍需访问IBC域的资源S，则跳转至步骤A或者进行快速重认证；

E、中止会话。

2.根据权利要求1所述的一种PKI域内的用户访问IBC域内的资源的认证密钥协商方法，其特征在于，所述的B步骤中的会话密钥K的认证服务器部分k₁的位数为128位；所述的C1步骤中，PKI域的用户U生成会话密钥K的用户部分k₂的长度为80位。

3.根据权利要求1所述的一种PKI域内的用户访问IBC域内的资源的认证密钥协商方法，其特征在于，所述D步骤中的快速重认证的具体做法是：

PKI域内的用户U生成重认证会话密钥K_R的用户部分K_R2，并将重认证会话密钥K_R的用户部分K_R2首位处进行填充，使其与重认证会话密钥K_R的认证服务器部分k₁的位数相同，然后对重认证会话密钥K_R的认证服务器部分k₁和填充后的用户部分K_R2进行异或处理得到完整的重认证会话密钥K_R；转至C3步骤。