往USBKey里面导入双证书专题：概念介绍、执行逻辑

相关概念

国密证书

• 国密的双证书体系，将证书按照使用目的的不同划分为加密证书和签名证书两种，也就是两对公私钥，二者本质一致，均为SM2密钥对，区别仅体现在用法
• 国密CA体系中，加密密钥对由CA产生，签名密钥对由用户自己产生，那么加密密钥涉及到的 私钥是如何通过安全的方式由CA传递到用户侧呢？使用数字信封的机理；
• 从道理上来说两个密钥具有不同的属性，逻辑上应该分开处理。其实最主要的原因是国家要保证必要的时候有能力对某些通讯进行监控，如果采用单证书，除了自己谁也无法解密（理论上如此），不利于国家安全。因此某些国家法律规定使用双证书。如果拥有加密证书的私钥，可以进行实时监控。

加密证书和私钥的生成过程

• 用户产生签名密钥对，生成签名证书的请求（p10数据），发送签名证书给CA
• CA验证用户的签名密钥对，产生加密证书和private.data（加密私钥的密文）
• private.data的生成过程
  • CA生成对称密钥，使用用户的签名公钥加密对称密钥，生成对称秘钥的密文
  • CA使用对称密钥对称加密 与加密证书所对应的私钥，输出加密私钥的密文
  • CA将加密证书、对称密钥密文和加密私钥的密文 返还给 用户，其中一般将对称密钥密文和加密私钥的密文混合在一起，形成单一文件，统称为P10数据
• 用户使用签名私钥解密对称密钥的密文得到对称密钥
• 用户使用对称密钥解密加密私钥密文，得到加密私钥的明文