智能卡CSP加密體系的設(shè)計(jì)與實(shí)現(xiàn)方法

文章出處：http://m.botanicstilllife.com 作者： 人氣： 發(fā)表時(shí)間：2011年12月11日

    摘要：CSP 是Windows 操作系統(tǒng)加密體系的重要組成部分，智能卡作為一種硬件級加密設(shè)備要和Windows 操作系統(tǒng)加密體系無縫連接需要為其開發(fā)CSP 加密服務(wù)提供者程序。為智能卡開發(fā)一個(gè)穩(wěn)定、高效的CSP 是一件復(fù)雜的事情，其中如何為CSP 設(shè)計(jì)一個(gè)簡潔而又實(shí)用的軟件架構(gòu)體系和密鑰存貯結(jié)構(gòu)至為重要。該文將探討這方面的設(shè)計(jì)思路。

    隨著智能卡功能的不斷完善，卡片運(yùn)算速度和存貯功能的不斷加強(qiáng)，在對安全性要求較高的領(lǐng)域，智能卡的應(yīng)用開始越來越廣泛。其中作為硬件數(shù)字證書使用，也是智能卡的一項(xiàng)重要功能。智能卡作為硬件級的加密設(shè)備，如何同當(dāng)前使用最為廣泛的windows操作系統(tǒng)進(jìn)行無縫連接，需要開發(fā)智能卡讀卡器硬件、讀卡器驅(qū)動(dòng)程序、智能卡CSP 等一系列軟硬件設(shè)施，本文將主要針對其中的智能卡CSP 開發(fā)。

    1 CSP 簡介

    加密服務(wù)提供者Cryptographic Service Provider（簡稱CSP）是Windows 操作系統(tǒng)加密體系的重要組成部分，它提供了一組標(biāo)準(zhǔn)API 函數(shù)（CryptoAPI）供應(yīng)用程序調(diào)用，如IE 使用SSL 訪問網(wǎng)站、Outlook 發(fā)送加密郵件等，均會(huì)調(diào)用到CryptoAPI 函數(shù)。智能卡作為一種硬件級的加密設(shè)備，要實(shí)現(xiàn)和windows 操作系統(tǒng)的無縫連接，使應(yīng)用程序能夠通過CryptoAPI 這套標(biāo)準(zhǔn)函數(shù)使用智能卡設(shè)備， 就必定要針對該種設(shè)備開發(fā)CSP 服務(wù)程序。智能卡設(shè)備CSP 在系統(tǒng)中的位置如圖1 所示。

    2 CSP 中的容器

    CSP 使用容器來管理密鑰，以RSA 密鑰為例，一個(gè)容器中可以存在一對RSA 交換密鑰和一對RSA 簽名密鑰。一個(gè)智能卡中可以有多個(gè)容器。結(jié)構(gòu)如圖2 所示。Windows 系統(tǒng)中一般會(huì)存在多個(gè)CSP，既有微軟自己的純軟件型CSP，也可能有數(shù)個(gè)不同廠商的軟硬件加密設(shè)備的CSP。應(yīng)用程序可以通過CryptoAPI 函數(shù)的來指定使用哪個(gè)CSP 以及該CSP 中的哪個(gè)容器。

    3 CSP 在智能卡中的密鑰存貯結(jié)構(gòu)

    3.1 智能卡中私鑰的特點(diǎn)

    在CSP 中私鑰的作用主要是用來做解密或簽名。智能卡這種設(shè)備的一個(gè)重要特點(diǎn)是私鑰可以設(shè)定為讀禁止，私鑰不能被從智能卡中讀出。當(dāng)需要用私鑰進(jìn)行解密或者簽名時(shí)，被解密或簽名的數(shù)據(jù)必須先送入智能卡，由智能卡中的處理器對數(shù)據(jù)做解密或簽名，解密或簽名后的數(shù)據(jù)再出智能卡返回計(jì)算機(jī)中。整個(gè)過程中私鑰不能被計(jì)算機(jī)讀出，解密或簽名的過程是在智能卡中進(jìn)行的，保證了私鑰的不可復(fù)制特性，避免了黑客攻入計(jì)算機(jī)，將私鑰遠(yuǎn)程拷貝走的可能。

    3.2 私鑰、公鑰和證書的不同保護(hù)級別

    使用私鑰時(shí)，智能卡需要驗(yàn)證保護(hù)該私鑰的PIN 碼，只有PIN 碼驗(yàn)證正確的情況下才能使用私鑰。但智能卡中的證書和公鑰則一般不需要PIN 碼保護(hù)，以保證使用過程中的靈活性。在CryptoAPI 的SILENT 模式中，公鑰可以隨時(shí)被讀出。另外當(dāng)智能卡插入到連接計(jì)算機(jī)的讀卡器中時(shí)，一般都需要將智能卡中的證書導(dǎo)入到windows 系統(tǒng)的證書庫中，因IE 瀏覽器不能直接識別智能卡中的證書，它需要從windows 系統(tǒng)的證書庫中去讀證書。這些情況下均需要讓智能卡不經(jīng)過PIN 碼驗(yàn)證，就能使智能卡中的公鑰和證書被讀出。

    3.3 CSP 密鑰容器的存貯結(jié)構(gòu)設(shè)計(jì)

    3.3.1 CSP 密鑰容器存貯結(jié)構(gòu)圖

    圖3 為CSP 密鑰容器存貯結(jié)構(gòu)圖。

    3.3.2 公開目錄(DDF)：如圖3 所示，公開目錄(DDF)下的ADF 子目錄下存放RSA 加密公鑰及相應(yīng)證書、RSA 簽名公鑰及相應(yīng)證書，容器名稱為ADF 目錄的名稱，可以同時(shí)存在多個(gè)容器。公開目錄(DDF)、容器目錄（ADF）、公鑰、證書都不設(shè)置PIN 碼保護(hù)，公鑰和證書可以隨時(shí)可以被從智能卡中讀出。

    3.3.3 私鑰目錄（DDF）：如圖3 所示，私鑰目錄(DDF)下的ADF 子目錄下存放RSA 加密密鑰對中的私鑰和RSA 簽名密鑰對中的私鑰，ADF 目錄名稱與對應(yīng)公鑰所在的ADF 目錄名稱相同。私鑰目錄(DDF)設(shè)置PIN 碼保護(hù)，要使用該目錄的子目錄下的私鑰，必須首先通過私鑰目錄(DDF)的PIN 碼驗(yàn)證。

    3.3.4 容器名稱：圖3 中的私鑰目錄(DDF)下的容器目錄(ADF)名稱必須和公開目錄(DDF)下的容器目錄(ADF)名稱對應(yīng)，比如私鑰目錄(DDF)下的
容器目錄1 和公開目錄(DDF)下的容器目錄1 的名稱必須相同，因?yàn)樗鼈儗?shí)際上是代表著同一個(gè)容器名。

    3.3.5 容器索引文件：容器索引文件存放著智能卡中的所有容器名稱， 并且指明容器名稱和容器目錄(ADF) 之間的關(guān)系。每次調(diào)用CSP 的CPAcquireContext函數(shù)時(shí)，該函數(shù)都需要從這個(gè)文件中獲取智能卡中已有的所有容器名稱。容器索引文件的結(jié)構(gòu)可以用如下方式表示：

    ## 容器名稱1# 容器目錄1(ADF)## 容器名稱2# 容器目錄2(ADF)##......#......##

    4 CSP 軟件架構(gòu)的設(shè)計(jì)與實(shí)現(xiàn)

    4.1 CSP 軟件架構(gòu)的種類

    CSP 從整體上看主要有上下文環(huán)境對象、密鑰對象、哈希對象三種數(shù)據(jù)結(jié)構(gòu)。在開發(fā)CSP 的過程有幾種方法來實(shí)現(xiàn)對這三種數(shù)據(jù)結(jié)構(gòu)對象的管理，具體如下：

    結(jié)構(gòu)對象的管理，具體如下：
    1) 上下文環(huán)境對象在CSP 中實(shí)現(xiàn)，密鑰對象和哈希對象交給微軟的純軟件型CSP 來管理。
    2) 上下文環(huán)境對象和密鑰對象在CSP 中實(shí)現(xiàn)，哈希對象交給微軟的純軟件型CSP 來管理。
    3) 上下文環(huán)境對象、密鑰對象和哈希對象都在CSP 中實(shí)現(xiàn)。

    其中第3 種方法實(shí)現(xiàn)CSP 的復(fù)雜性最高，但也最為靈活，本文主要探討這種方法。由于在CSP 開發(fā)中一般都用C 語言或C++語言來實(shí)現(xiàn)，因此約定以下用到的數(shù)據(jù)結(jié)構(gòu)定義均使用C++語言來表述。

    4.2 CSP 中幾個(gè)基本的對象類型分析

    通過分析微軟定義的CSP 25 個(gè)基本函數(shù)，可以發(fā)現(xiàn)CSP 的上下文環(huán)境對象、密鑰對象、哈希對象是以HCRYPTPROV、HCRYPTKEY和HCRYPTHASH 三種類型存在的。

    HCRYPTPROV 對象類型的作用是串聯(lián)起整個(gè)CSP 的上下文環(huán)境。該對象一般由CPAcquireContext 函數(shù)產(chǎn)生，由CPReleaseContext函數(shù)終止。

    HCRYPTKEY 對象類型起到密鑰句柄的作用。其存在周期一般是從密鑰的產(chǎn)生或者密鑰導(dǎo)入開始，經(jīng)歷密鑰的使用，最后到密鑰句柄被釋放的過程。

    HCRYPTHASH 對象類型起到哈希句柄的作用。其存在周期一般是從哈希的產(chǎn)生，到哈希的使用，最后是哈希句柄被釋放的過程。