數(shù)字簽名操作，得到簽名信息，轉步驟S3 ；
[0083]步驟S3，客戶端410將報文和簽名信息傳輸?shù)桨鏅喙芾砥脚_服務器240，轉步驟S4 ；
[0084]步驟S4，版權管理平臺服務器240將報文和簽名信息轉發(fā)到KGC 210，KGC 210根據(jù)數(shù)據(jù)庫220里存儲的相關信息以及設定的密鑰機制得到用戶公鑰，然后利用用戶公鑰對所接收的簽名信息進行驗簽操作，驗簽通過后再根據(jù)用戶權限在線播放或在線下載媒體作品文件。
[0085]標識密碼算法(IBC) 100包括系統(tǒng)參數(shù)生成模塊(Setup) 110，用戶標識密碼密鑰生成模塊(Extract) 120，加密模塊(Encrypt) 130，解密模塊(Decrypt) 140，簽名模塊(Signature) 150 和驗簽模塊(Verify) 160。
[0086]Setup 110的主要步驟為:生成附合安全要求的橢圓曲線E，G1是一個加法群，G2是一個乘法群，LG1XG1^ G2為一個雙線性配對，P是G1的生成元，定義四種雜湊哈希算法:H1, H2, H3，和H4，產(chǎn)生域上隨機的大數(shù)s作為系統(tǒng)主密鑰，如圖2所示，s秘密存儲在用戶密鑰管理系統(tǒng)200的加密機230中，從不出加密機230。將(E，G1, G2, e, H1, H2, H3, H4, P，sP)公開。
[0087]EXtractl20實現(xiàn)計算用戶的標識公私鑰對，步驟為:通過用戶的唯一身份標識ID、用戶申請日期、標識密碼USBKEY序列號以及密鑰有效期拼接成用戶的公鑰字串PKS (Public Key String)，則用戶標識密碼公鑰Q = H1 (PKS);用戶標識密碼私鑰dID = sQ。
[0088]Encryptl30實現(xiàn)利用接收方的標識密碼公鑰Q對報文m加密得到密文C，步驟為:。e R{0，1}% 為一隨機數(shù)；r = Η3( σ，m) ；gID = g (Q，sP);密文 C = (U, V, ff)=(rP, σ ? H2 ((gID)r), m ? H4 ( σ ))。
[0089]Decryptl40即是信息接收方利用自己的私鑰解密密文C恢復出報文m，步驟為:σ=V ffi H2 (e (sQ, U)) ；m = ff ? H4 ( σ )) ；r = H3 ( σ , m);如果 U = rP,返回報文 m,否則返回錯誤。
[0090]標識密碼的簽名驗簽算法的方案如下:
[0091]Signature 150實現(xiàn)信息發(fā)送方利用自己的標識密碼私鑰對報文消息m進行數(shù)字簽名，步驟為:k e RZ； ；T = e(sQ, P)k ；h = H2 (m, T) ；S = (k_h) sQ，針對 m 的簽名為(h，S)。
[0092]Verify 160實現(xiàn)利用簽名者的公鑰對簽名的信息進行驗簽，步驟為:T = g (S，P)e(Q, sP)h ;判斷h是否等于H2 (m, T),若相等,驗簽通過,若不等,則驗簽失敗。
[0093]如圖2所示，密鑰生成中心KGC 210包含標識密碼算法IBC 100的全部六個模塊，其中 Extract 120 在加密機 230 內(nèi)進行。USBKEY 500 只包含 IBC 100 的 Encrypt 130、Decryptl40、Signature 150、和Verify 160四個模塊,如圖4所示,這四個模塊分別對應USBKEY500中的標識密碼運算子模塊540中的數(shù)字加密實現(xiàn)單元541、數(shù)字解密實現(xiàn)單元542、數(shù)據(jù)簽名實現(xiàn)單元543和數(shù)據(jù)驗簽實現(xiàn)單元544。
[0094]密鑰更新機制即為密鑰更新的周期，具體可設定為“月”、“年”、“三年”等時間有效期?，F(xiàn)舉例說明，如若設定密鑰更新周期為“年”，版權管理平臺服務器240為用戶“張三”分配的唯一標識ID為:1101009082467，申請標識密碼的日期為2014年5月4日，為其分配的USBKEY 500的唯一序列號為:6147538699，則該用戶包含唯一標識ID的公鑰字串PKS (Public Key String)為:1101009082467 | 6147538699 20140504 | 20150503，然后通過Extract 120在加密機230中計算得到用戶的標識密碼私鑰，用戶標識密碼私鑰存儲在USBKEY 500 當中。
[0095]如圖4所示，所述USBKEY 500包括硬件設備管理子模塊510、標識密碼密鑰管理子模塊520、算法管理子模塊530和標識密碼運算子模塊540。下面對USBKEY 500內(nèi)的各組成部分進行詳細說明。
[0096]所述硬件設備管理子模塊510包括PIN碼鑒別CPU單元511、USB識別控制單元512、和加密保護的EPROM 513。所述USB識別控制單元512用于識別USBKEY 500插入或拔出客戶端(用戶PC機)410的操作，在識別出USBKEY 500插入操作時控制客戶端410的CPU(CentralProcessing Unit,中央處理器)讀取用戶輸入的PIN碼口令。所述PIN碼鑒別CPU單元511用于判斷CPU讀取的PIN碼口令的正誤以及判斷輸入PIN碼的次數(shù)。所述EPROM單元513用于存儲用戶密鑰等秘密數(shù)據(jù)，對該EPROM單元513的讀寫操作通過程序實現(xiàn)，用戶無法直接讀取，其中用戶標識密碼私鑰不可導出。
[0097]所述標識密碼密鑰管理子模塊520用于將KGC 210計算生成的用戶標識密鑰公私鑰對存儲在加密保護的EPROM單元；密鑰分為對稱密鑰和非對稱密鑰，并且均有有效期(密鑰不能無限期使用，因為密鑰使用時間越長，它泄露的機會就越大，引起的損失將越大)。在密鑰有效期內(nèi)，用戶利用標識密碼公私鑰對中的標識密碼公鑰加密報文，接收方利用標識密碼私鑰解密恢復出報文，當密鑰有效期滿時，利用EPROM單元的標識密碼公私鑰對進行身份認證，重新通過版權管理平臺服務器230向KGC210申請新一期的標識密碼公私鑰對，根據(jù)重新生成的標識密碼公私鑰對更新密鑰。具體地，所述標識密碼密鑰管理子模塊520包括密鑰下載安裝單元521、密鑰使用更新單元522、以及密鑰存儲撤銷單元523。密鑰下載安裝單元521用于將KGC 210計算生成的用戶標識密碼公私鑰對存儲在加密保護的EPROM單元513中；密鑰使用更新單元522用于讀取EPROM單元513中的標識密碼公私鑰對以及更新失效的標識密碼公私鑰對；密鑰存儲撤銷單元523用于將生成的標識密碼公私鑰對保存到EPROM單元513中或刪除EPROM單元513中的標識密碼公私鑰對。
[0098]所述算法管理子模塊530用于對每個算法標注一個ID進而存儲和識別各個算法，在各個算法中選擇進行加密的算法。其中，算法有ECC和標識密碼IBC等非對稱密碼算法，3DES、RC6、AES、SMl和SMS4等對稱密鑰算法，SHA-U MD5和SM3等雜湊哈希算法，標注ID進行算法存儲的方式能實現(xiàn)算法的合理存儲，更好地解決USBKEY空間存儲問題。具體地，所述算法管理子模塊530包括算法庫管理單元531、加密算法選擇單元532、以及隨機數(shù)發(fā)生器533。算法庫管理單元531負責管理非對稱密碼算法、對稱密鑰算法、雜湊哈希算法；加密算法選擇單元532負責根據(jù)任務要求調(diào)度每個算法；隨機數(shù)發(fā)生器533負責產(chǎn)生隨機數(shù)序列。
[0099]所述標識密碼運算子模塊540用于根據(jù)算法管理子模塊530選擇的加密算法進行數(shù)據(jù)的加密簽名操作，并根據(jù)算法管理子模塊530選擇的加密算法進行數(shù)據(jù)的解密驗簽操作。具體地，所述標識密碼運算子模塊540包括數(shù)據(jù)加密實現(xiàn)單元541、數(shù)據(jù)解密實現(xiàn)單元542、數(shù)據(jù)簽名實現(xiàn)單元543、以及數(shù)字驗簽實現(xiàn)單元544。數(shù)據(jù)加密實現(xiàn)單元541負責Encrypt 130加密模塊的運算；數(shù)據(jù)解密單元542負責Decrypt 140解密模塊的運算；數(shù)據(jù)簽名實現(xiàn)單元543負責Signature 150簽名模塊的運算；數(shù)字驗簽實現(xiàn)單元544負責Verifyl60驗簽模塊的運算。
[0100]參照圖4，加密機230與USBKEY 500在功能上僅有微小變動，只要將圖4中的PIN碼鑒別CPU單元511去掉，即為加密機230的功能模塊圖，另外一個不同點就是:針對標識密碼密鑰管理子模塊，USBKEY500管理的是用戶標識密碼公私鑰對，而加密機230管理的是系統(tǒng)主密鑰，其他二者在功能上是雷同的，這里不再贅述。
[0101]如圖5，并結合圖2和圖4，所述步驟S2具體為:
[0102]步驟S21，在用戶登錄后，USBKEY 500的硬件設備管理子模塊510的USB識別控制單元512識別出USBKEY 500插入客戶端(用戶PC機)410操作時，PIN碼鑒別CPU單元511判斷輸入的PIN碼口令次數(shù)是否超過規(guī)定次數(shù)，若是，結束(封鎖用戶口令，防止了非本人使用)，若否，繼續(xù)下一步；
[0103]步驟S22，待用戶輸入P IN碼口令后，USB識別控制單元512控制客戶端410的CPU讀取用戶輸入的PIN碼口令，PIN碼鑒別CPU單元511判斷輸入的PIN碼口令是否正確，若是，繼續(xù)下一步，若否，轉步驟S21 ；
[0104]步驟S23，客戶端410初步判斷USBKEY 500中是否存在有效的標識密碼公私鑰對，如若存在，判斷標識密碼公私鑰對是否在有效期內(nèi)，如若存在有效期內(nèi)的標識密碼公私鑰對，繼續(xù)下一步，若否，結束。
[0105]步驟S24，USBKEY 500的隨機數(shù)發(fā)生器533產(chǎn)生隨機數(shù)序列，客戶端410將隨機數(shù)序列、存儲在EPROM單元513中的標識密碼公鑰，以及媒體播放或下載的相關信息打包成報文，利用數(shù)據(jù)簽名實現(xiàn)單元543和EPROM單元513中的用戶標識密碼私鑰，對該報文實施數(shù)字簽名操作得到簽名信息，客戶端410將簽名信息和報文一同發(fā)送至服務器端，繼續(xù)下一止/J/ O
[0106]較佳的，客戶端和服務器端的通訊可以采用單向SSL(Secure Sockets Layer,安全套接層)的方式，即服務器端安裝有服務器證書，而客戶端采用標識密碼公私鑰對，不用數(shù)字證書，這種PKI+IBC的融合機制，既發(fā)揮了 IBC輕量級密碼的優(yōu)勢，同時也能保證簽名信息和報文以密文方式在互聯(lián)網(wǎng)上傳輸，最大限度地保證了網(wǎng)絡安全。
[0107]步驟S25，服務器端(版權管理平臺服務器240)接收到簽名信息和報文后，提取報文中的用戶的標識密碼公鑰a，判斷標識密碼公鑰a是否在有效期內(nèi)，若在有效期內(nèi)，則進而獲得系統(tǒng)為用戶分配的唯一身份標識，通過查詢后臺數(shù)據(jù)庫220，得到為用戶頒發(fā)的USBKEY500的唯一序列號，用戶申請日期，以及系統(tǒng)設定的密鑰更新周期，通過這些拼接得到用戶的標識密碼公鑰b，比較標識密碼公鑰a和標識密碼公鑰b是否一致，如若標識密碼公鑰a與標識密碼公鑰b相一致，并在有效期內(nèi)，則標識密碼公鑰a有效，繼續(xù)下一步，若否，結束。
[0108