專利名稱：一種電子護(hù)照pki功能測(cè)試系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種智能卡的測(cè)試系統(tǒng)及方法，尤其涉及一種電子護(hù)照PKI功能測(cè)試系統(tǒng)及方法。
背景技術(shù)：
隨著Mifare (采用荷蘭飛利浦半導(dǎo)體公司Mifare卡技術(shù)的非接觸式IC卡)邏輯卡安全算法遭到破解，安全性較高的CPU卡開(kāi)始走入舞臺(tái)。僅支持加密邏輯和EEPROM存儲(chǔ)數(shù)據(jù)讀寫的邏輯卡逐漸被支持CPU、EERP0M、RAM、R0M及各種加密算法的CPU智能卡取而代之?；赑KI算法的CPU智能卡由于其不僅支持對(duì)稱算法也支持非對(duì)稱算法而成為高端智能卡和若干高端應(yīng)用的首選，如金融智能卡、電子護(hù)照等。金融智能卡要實(shí)現(xiàn)EMV遷移從SDA (靜態(tài)數(shù)據(jù)認(rèn)證)升級(jí)到DDA (動(dòng)態(tài)數(shù)據(jù)認(rèn)證)或CDA (復(fù)合數(shù)據(jù)認(rèn)證)，需要PKI特性的支持。電子護(hù)照從BAC (基本訪問(wèn)控制)升級(jí)到需要證書(shū)鏈驗(yàn)證的EAC (擴(kuò)展訪問(wèn)控制)， 需要PKI特性的支持。為支持PKI功能，安全芯片需要具有隨機(jī)數(shù)發(fā)生器(符合FIPS140-2 和NIST SP800-22)、RSA協(xié)處理器、移位協(xié)處理器、流加密功能及相應(yīng)的算法模塊，有時(shí)不只需要RSA單一一種非對(duì)稱密鑰算法，還可能需要引入ECC橢圓曲線算法或國(guó)密非對(duì)稱算法 SM2，甚至有多算法切換或算法長(zhǎng)度的切換功能。在PKI進(jìn)入到智能卡里面之前，已經(jīng)在很多領(lǐng)域?qū)崿F(xiàn)了成熟的應(yīng)用，目前被視為一種非常安全的架構(gòu)體系。在智能卡中實(shí)現(xiàn)此功能， 可實(shí)現(xiàn)卡內(nèi)和卡外PKI基礎(chǔ)實(shí)施中的互連互用。目前各個(gè)應(yīng)用領(lǐng)域?qū)KI建設(shè)都非常關(guān)注，也產(chǎn)生了相應(yīng)的測(cè)試規(guī)范，但作為提供PKI功能的高端安全智能卡尤其是電子護(hù)照，仍需要從測(cè)試方法學(xué)上來(lái)對(duì)系統(tǒng)進(jìn)行全面準(zhǔn)確的測(cè)試。ICAO (國(guó)際民用航空組織)規(guī)定電子護(hù)照支持非接觸式IS0/IEC 14443 Type A和Type B國(guó)際標(biāo)準(zhǔn)，相應(yīng)的讀卡機(jī)具為非接觸式、支持USB接口、支持PCSC驅(qū)動(dòng)模式。

發(fā)明內(nèi)容
本發(fā)明目的提供一種電子護(hù)照PKI功能測(cè)試系統(tǒng)及方法，支持PKI應(yīng)用的電子護(hù)照測(cè)試。通過(guò)分層提取電子護(hù)照PKI測(cè)試特征，完成電子護(hù)照PKI功能的測(cè)試，提高測(cè)試覆蓋率。一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，包含電子護(hù)照PKI功能測(cè)試套件模塊、算法支撐模塊、PKI基礎(chǔ)設(shè)施仿真模塊、測(cè)試管理模塊、設(shè)備控制模塊以及讀寫機(jī)具。電子護(hù)照PKI功能測(cè)試套件基于EAC Versionl. 11及EAC Versionl. 12的電子護(hù)照國(guó)際標(biāo)準(zhǔn)構(gòu)建，實(shí)現(xiàn)PKI指令集測(cè)試、證書(shū)體測(cè)試、證書(shū)鏈驗(yàn)證測(cè)試、證書(shū)生命期測(cè)試、訪問(wèn)控制策略測(cè)試、交叉認(rèn)證測(cè)試、簽名驗(yàn)證功能測(cè)試、密鑰及算法測(cè)試。證書(shū)體測(cè)試中的證書(shū)格式以電子護(hù)照支持的卡片可驗(yàn)證格式的證書(shū)格式為主，也可采用X. 509格式證書(shū)(一種通用的證書(shū)格式，符合ITU-T X. 509國(guó)際標(biāo)準(zhǔn))。設(shè)備控制模塊連接外部讀卡機(jī)具，測(cè)試管理模塊單步或全速運(yùn)行電子護(hù)照PKI功能測(cè)試套件中的測(cè)試腳本，在執(zhí)行中調(diào)用算法支撐模塊進(jìn)行密鑰運(yùn)算，調(diào)用PKI基礎(chǔ)設(shè)施仿真模塊來(lái)仿真和外部πα的功能交互完成測(cè)試，并自動(dòng)生成測(cè)試日志和測(cè)試報(bào)告。本發(fā)明還涉及一種電子護(hù)照PKI功能測(cè)試方法，包含以下步驟
(1)將PKI功能測(cè)試套件導(dǎo)入到測(cè)試管理模塊；
(2)測(cè)試管理模塊運(yùn)行PKI測(cè)試腳本；
(3)測(cè)試中的算法運(yùn)算通過(guò)算法支撐模塊實(shí)現(xiàn)，并通過(guò)PKI基礎(chǔ)設(shè)施仿真模塊實(shí)現(xiàn)與外部的PKI交互；
(4)測(cè)試管理模塊將腳本中交互指令發(fā)送到設(shè)備控制模塊與電子護(hù)照進(jìn)行通訊；
(5)電子護(hù)照響應(yīng)數(shù)據(jù)回傳至測(cè)試管理模塊；
(6)分析響應(yīng)數(shù)據(jù)，生成測(cè)試日志及測(cè)試報(bào)告。在腳本管理模塊中選擇一個(gè)腳本運(yùn)行，腳本先調(diào)用PKI基礎(chǔ)設(shè)施仿真模塊生成相關(guān)證書(shū)并放置到指定路徑，執(zhí)行時(shí)通過(guò)設(shè)置認(rèn)證模板指令導(dǎo)入證書(shū)鏈中的證書(shū)，再執(zhí)行驗(yàn)證證書(shū)簽名的指令來(lái)驗(yàn)證證書(shū)簽名的正確性。證書(shū)和證書(shū)鏈驗(yàn)證成功后，通過(guò)設(shè)置認(rèn)證模板指令設(shè)置證書(shū)鏈最低端證書(shū)為認(rèn)證模板，此時(shí)測(cè)試腳本調(diào)用算法支撐模塊的私鑰簽名算法通過(guò)證書(shū)鏈私鑰生成簽名數(shù)據(jù)，簽名數(shù)據(jù)通過(guò)外部認(rèn)證指令發(fā)送給電子護(hù)照，電子護(hù)照通過(guò)導(dǎo)入的證書(shū)鏈公鑰進(jìn)行驗(yàn)證，完成終端認(rèn)證的測(cè)試執(zhí)行流程。測(cè)試過(guò)程記錄在測(cè)試日志中，執(zhí)行結(jié)束自動(dòng)生成測(cè)試報(bào)告。采用本發(fā)明所提供的電子護(hù)照測(cè)試系統(tǒng)及方法，能夠通過(guò)提取PKI功能測(cè)試特征，達(dá)到對(duì)PKI系統(tǒng)測(cè)試的優(yōu)化，提高測(cè)試覆蓋率，滿足高端智能卡產(chǎn)品在PKI測(cè)試中的需求。


圖1電子護(hù)照PKI功能測(cè)試系統(tǒng)結(jié)構(gòu)2電子護(hù)照PKI功能測(cè)試方法流程圖。
具體實(shí)施方案以下結(jié)合各附圖對(duì)本發(fā)明提出的內(nèi)容進(jìn)行詳細(xì)的描述。圖1為本發(fā)明提供的電子護(hù)照PKI功能測(cè)試系統(tǒng)的結(jié)構(gòu)圖，包括電子護(hù)照PKI功能測(cè)試套件、PKI基礎(chǔ)設(shè)施仿真模塊、 算法支撐模塊、測(cè)試管理模塊、設(shè)備控制模塊及電子護(hù)照讀寫機(jī)具以及被測(cè)對(duì)象電子護(hù)照。智能卡PKI實(shí)現(xiàn)可以分層為PKI芯片硬件實(shí)現(xiàn)支撐層、PKI技術(shù)服務(wù)層、PKI應(yīng)用支撐層，該分層劃分有助于對(duì)電子護(hù)照πα內(nèi)部功能的實(shí)現(xiàn)。進(jìn)一步地智能卡外部PKI基礎(chǔ)設(shè)施仿真模塊用于測(cè)試電子護(hù)照內(nèi)部PKI功能，其功能包括認(rèn)證中心CA證書(shū)功能仿真模塊(證書(shū)生成、證書(shū)簽發(fā)、證書(shū)更新、證書(shū)撤銷CRL)、密鑰及算法管理模塊(包括密鑰生成、密鑰更新、密鑰銷毀、密鑰交換、密鑰運(yùn)算、密鑰存儲(chǔ)、算法設(shè)置)、安全認(rèn)證管理模塊(包括單向/雙向認(rèn)證、內(nèi)部/外部認(rèn)證、數(shù)字簽名)，證書(shū)格式為電子護(hù)照支持的卡片可驗(yàn)證格式的證書(shū)格式。算法支撐庫(kù)由OpenSSL開(kāi)源庫(kù)以DLL形式提供，可為PKI基礎(chǔ)設(shè)施仿真模塊和測(cè)試管理模塊提供算法服務(wù)。測(cè)試管理模塊執(zhí)行PKI測(cè)試套件中的腳本，通過(guò)設(shè)備控制模塊與讀卡機(jī)具和被測(cè)電子護(hù)照交互。設(shè)備控制模塊主要由測(cè)試設(shè)備驅(qū)動(dòng)模塊構(gòu)成。電子護(hù)照PKI功能測(cè)試套件基于EAC Versionl. 11及EAC Versionl. 12的電子護(hù)照國(guó)際標(biāo)準(zhǔn)構(gòu)建，包括PKI指令集測(cè)試、證書(shū)體測(cè)試、證書(shū)鏈驗(yàn)證測(cè)試、證書(shū)生命期測(cè)試、訪問(wèn)控制策略測(cè)試、交叉認(rèn)證測(cè)試、簽名驗(yàn)證功能測(cè)試、密鑰及算法測(cè)試。證書(shū)體測(cè)試、證書(shū)鏈驗(yàn)證測(cè)試、證書(shū)生命期測(cè)試、訪問(wèn)控制策略測(cè)試、交叉認(rèn)證測(cè)試等完成與EAC認(rèn)證流程相關(guān)的測(cè)試，其中證書(shū)生成由PKI基礎(chǔ)設(shè)施仿真模塊完成，該模塊具有CA (認(rèn)證中心)、RA (注冊(cè)中心)jser (證書(shū)用戶)三級(jí)證書(shū)鏈的生成能力，三級(jí)證書(shū)鏈對(duì)應(yīng)為ICAO標(biāo)準(zhǔn)定義的國(guó)家CA、護(hù)照簽發(fā)驗(yàn)證機(jī)構(gòu)(RA)、檢查系統(tǒng)IS (終端)。下面以DV (旅行證件驗(yàn)證機(jī)構(gòu))證書(shū)驗(yàn)證為例，進(jìn)行詳細(xì)的說(shuō)明在測(cè)試管理模塊中選擇電子護(hù)照PKI測(cè)試套件中的DV證書(shū)驗(yàn)證腳本，執(zhí)行腳本，執(zhí)行中調(diào)用PKI基礎(chǔ)設(shè)施仿真模塊生成DV證書(shū)，執(zhí)行設(shè)置驗(yàn)證公鑰證書(shū)指令及證書(shū)驗(yàn)證指令，指令通過(guò)設(shè)備控制模塊發(fā)送到讀卡機(jī)具，讀寫機(jī)具將指令發(fā)送到電子護(hù)照并接收響應(yīng)，對(duì)指令結(jié)果進(jìn)行判斷，得出報(bào)告結(jié)論，自動(dòng)寫入測(cè)試報(bào)告并進(jìn)行日志記錄。
權(quán)利要求
1.一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，其特征在于該系統(tǒng)包含電子護(hù)照PKI功能測(cè)試套件模塊、算法支撐模塊、PKI基礎(chǔ)設(shè)施仿真模塊、測(cè)試管理模塊、設(shè)備控制模塊以及讀寫機(jī)具。
2.如權(quán)利要求1所述的一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，其特征在于所述電子護(hù)照 PKI功能測(cè)試套件模塊基于EAC Versionl. 11及EAC Versionl. 12的電子護(hù)照國(guó)際標(biāo)準(zhǔn)構(gòu)建。
3.如權(quán)利要求1所述的一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，其特征在于所述電子護(hù)照 PKI功能測(cè)試套件實(shí)現(xiàn)PKI指令集測(cè)試、證書(shū)體測(cè)試、證書(shū)鏈驗(yàn)證測(cè)試、證書(shū)生命期測(cè)試、訪問(wèn)控制策略測(cè)試、交叉認(rèn)證測(cè)試、簽名驗(yàn)證功能測(cè)試、密鑰及算法測(cè)試。
4.如權(quán)利要求1或3所述的一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，其特征在于所述證書(shū)體的證書(shū)格式為電子護(hù)照支持卡片可驗(yàn)證的證書(shū)格式，或符合X. 509證書(shū)格式。
5.如權(quán)利要求1所述的一種電子護(hù)照PKI功能測(cè)試系統(tǒng)，其特征在于所述PKI基礎(chǔ)設(shè)施仿真模塊實(shí)現(xiàn)認(rèn)證中心CA功能仿真、密鑰及算法管理和安全認(rèn)證管理。
6.一種電子護(hù)照PKI功能測(cè)試方法，包含以下步驟(1)將PKI功能測(cè)試套件導(dǎo)入到測(cè)試管理模塊；(2)測(cè)試管理模塊運(yùn)行PKI測(cè)試腳本；(3)測(cè)試中的算法運(yùn)算通過(guò)算法支撐模塊實(shí)現(xiàn)，并通過(guò)PKI基礎(chǔ)設(shè)施仿真模塊實(shí)現(xiàn)與外部的PKI交互；(4)測(cè)試管理模塊將腳本中交互指令發(fā)送到設(shè)備控制模塊與電子護(hù)照進(jìn)行通訊；(5)電子護(hù)照響應(yīng)數(shù)據(jù)回傳至測(cè)試管理模塊；(6)分析響應(yīng)數(shù)據(jù)，生成測(cè)試日志及測(cè)試報(bào)告。
全文摘要
本發(fā)明提供一種電子護(hù)照PKI功能測(cè)試系統(tǒng)及方法。該系統(tǒng)包含電子護(hù)照PKI功能測(cè)試套件模塊、算法支撐模塊、PKI基礎(chǔ)設(shè)施仿真模塊、測(cè)試管理模塊、設(shè)備控制模塊以及讀寫機(jī)具。設(shè)備控制模塊連接外部讀卡機(jī)具，測(cè)試管理模塊單步或全速運(yùn)行電子護(hù)照PKI功能測(cè)試套件中的測(cè)試腳本，在執(zhí)行中調(diào)用算法支撐模塊進(jìn)行密鑰運(yùn)算，調(diào)用PKI基礎(chǔ)設(shè)施仿真模塊來(lái)仿真和外部PKI的功能交互完成測(cè)試，并自動(dòng)生成測(cè)試日志和測(cè)試報(bào)告。本發(fā)明還涉及一種電子護(hù)照PKI功能測(cè)試方法。通過(guò)本發(fā)明內(nèi)容能夠達(dá)到對(duì)PKI系統(tǒng)測(cè)試的優(yōu)化，提高測(cè)試覆蓋率，滿足高端智能卡產(chǎn)品在PKI測(cè)試中的需求。
文檔編號(hào)G06F11/22GK102486744SQ201010572278
公開(kāi)日2012年6月6日 申請(qǐng)日期2010年12月3日 優(yōu)先權(quán)日2010年12月3日
發(fā)明者劉玉軍 申請(qǐng)人:上海華虹集成電路有限責(zé)任公司