CN109981264B - 一种应用密钥生成方法及密码机设备组件 - Google Patents

一种应用密钥生成方法及密码机设备组件 Download PDF

Info

Publication number
CN109981264B
CN109981264B CN201910180771.6A CN201910180771A CN109981264B CN 109981264 B CN109981264 B CN 109981264B CN 201910180771 A CN201910180771 A CN 201910180771A CN 109981264 B CN109981264 B CN 109981264B
Authority
CN
China
Prior art keywords
seed code
key
administrator
cryptographic
seed
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910180771.6A
Other languages
English (en)
Other versions
CN109981264A (zh
Inventor
孙吉平
陈文静
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Wikipedia Technology Co ltd
Original Assignee
Beijing Wikipedia Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Wikipedia Technology Co ltd filed Critical Beijing Wikipedia Technology Co ltd
Priority to CN201910180771.6A priority Critical patent/CN109981264B/zh
Publication of CN109981264A publication Critical patent/CN109981264A/zh
Application granted granted Critical
Publication of CN109981264B publication Critical patent/CN109981264B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例公开了一种生成应用密钥的方法和密码机设备组件，所述方法包括：管理员密码设备生成第一种子码和第二种子码，并将第一种子码发送给密码机设备；管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；密码机设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。本发明实施例的方法提供了一种方便快捷又安全可靠的应用密钥管理方案。

Description

一种应用密钥生成方法及密码机设备组件
技术领域
本发明涉及信息安全技术领域，特别涉及一种应用密钥生成方法及密码机设备组件。
背景技术
为了保证服务端密码机设备的安全，通常密码机设备在开始启用之前没有与管理员密码设备进行过绑定，密码机设备中也没有应用密钥，在这种状态下密码机设备不能面向应用提供服务，用户要使用密码机设备，需要对密码机设备进行操作以生成向应用提供密码服务所需的各个密钥。
而如何提供一种既方便快捷又安全可靠的密钥生成机制使得用户能够快速配置密码机设备并上线提供密码服务，是各个安全厂商都在研究的一个问题。
发明内容
有鉴于此，本发明实施例提供了一种应用密钥的生成方法及密码机设备组件，以实现方便快捷且安全可靠的应用密钥生成机制。
为此，本发明实施例提供了一种生成应用密钥的方法，包括：管理员密码设备生成第一种子码和第二种子码，并将第一种子码发送给密码机设备；管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；密码机设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
可选地，本发明实施例的方法还包括：密码机设备获得用户标识并存储，其中，基于第二种子码生成应用密钥包括：对包括第二种子码和用户标识的数据进行运算生成应用密钥。
可选地，密码机设备内存储有第一密钥因子，其中，基于第二种子码生成应用密钥包括：对包括第二种子码、第一密钥因子和用户标识的数据进行运算生成应用密钥。
可选地，本发明实施例的方法还包括：密码机设备获得用户标识并存储；管理员密码设备获得用户标识并存储，其中，根据第一规则基于第一种子码生成共享密钥包括：根据第一规则对包括第一种子码和用户标识的数据生成共享密钥。
可选地，本发明实施例的方法还包括：管理员密码设备从密码机设备获得设备标识，其中，根据第一规则基于第一种子码生成共享密钥包括：根据第一规则对包括第一种子码和所述设备标识的数据生成共享密钥。
可选地，管理员密码设备将第一种子码发送给密码机设备包括：管理员密码设备利用管理员密码设备私钥生成第一种子码的数字签名，利用密码机设备的公钥对第一种子码及其数字签名进行加密处理，并将加密得到的第一种子码密文发送给密码机设备。
可选地，本发明实施例的方法还包括：管理员密码设备将管理员密码设备证书发送给密码机设备；密码机设备使用根证书校验管理员密码设备证书，如校验通过，在对所述第一种子码密文进行解密时，利用管理员密码设备证书中的管理员密码设备公钥对解密得到的数字签名进行验证。
可选地，根据第一规则基于第一种子码生成共享密钥包括：对包括第一种子码和第二密钥因子的数据生成第一密钥，对包括第一种子码和第三密钥因子的数据生成第二密钥。
可选地，基于共享密钥和第二种子码生成第二种子码的密文包括：基于第一密钥和第二种子码生成校验码，并利用第二密钥对第二种子码及其校验码进行加密得到第二种子码的密文，则密码机设备基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥，包括：密码机设备利用第二密钥对第二种子码的密文解密，并利用第一密钥对解密得到的校验码进行校验，如校验通过，则基于解密得到的第二种子码生成应用密钥。
本发明实施例还提供了一种密码机设备组件，包括：管理员密码设备，其配置为生成第一种子码和第二种子码，并将第一种子码发送给密码机设备，以及根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；密码机设备，其配置为根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
本发明实施例同时提供了一种密码机设备组件，包括管理员密码设备和密码机设备。管理员密码设备包括：第一存储装置，其配置为存储第一计算机程序；第一处理器，其配置为当运行第一计算机程序时实现前述任一实施例中的管理员密码设备所实现的功能。密码机设备包括：第二存储装置，其配置为存储第二计算机程序；第二处理器，其配置为运行第二计算机程序时实现前述任一实施例中的密码机设备所实现的功能。
通过本发明实施例，管理员密码设备和密码机设备之间先进行共享密钥种子码的传输，根据共享密钥种子码生成共享密钥，再使用共享密钥对应用密钥种子码进行加密传输，密码机设备获得应用密钥种子码后使用应用密钥种子码生成应用密钥，配置过程对于用于而言十分简便快捷，同时具有很强的安全性。
附图说明
图1为本发明一个实施例的应用密钥生成方法的示例性流程图；
图2为本发明另一个实施例的应用密钥生成方法的示例性流程图；
图3为本发明再一个实施例的应用密钥生成方法的示例性流程图；
图4为本发明一个实施例的密码机设备组件的架构示意图。
具体实施方式
下面参照具体实施例对本发明进行具体说明。
图1为本发明一个实施例的应用密钥生成方法的示例性流程图。如图1所示，本发明实施例的生成应用密钥的方法包括：
S11、管理员密码设备生成第一种子码和第二种子码，并将第一种子码发送给密码机设备；
本发明实施例中，密码机设备是具有加解密、数字签名、身份认证、随机数生成等密码学处理功能的设备，可以用来对应用系统的敏感业务数据进行上述的加密和解密等密码学处理。管理员密码设备是与密码机设备配套使用的管理设备，分配给密码机设备的管理员使用。密码机设备在需要进行管理操作时可以使用管理员密码设备进行管理，比如在需要进行管理员身份认证或者利用管理员密码设备来完成设备的初始化等操作时，密码机设备的管理员将管理员密码设备接入密码机设备进行管理。
本发明实施例中，种子码可以作为用于生成密钥的密钥因子，种子码可以是随机数或者约定的固定数值。第一种子码用于生成共享密钥，第二种子码用于生成应用密钥。管理员密码设备在生成第一种子码和第二种子码后，先将用于生成共享密钥的第一种子码发送给密码机设备。
S12、管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；
本发明实施例中，在将用于生成共享密钥的第一种子码发送给密码机设备后，管理员密码设备根据第一规则基于第一种子码生成共享密钥。这里的共享密钥是对称密钥，第一规则可以包括各种能够用于生成对称密钥的密码学算法，例如MD5、SHA等算法。第一规则还可以是使用加密算法对种子码进行运算后取运算结果的预定部分，例如使用SHA512算法对种子码进行运算后，取运算结果的前32字节作为共享密钥。本发明实施例中对第一规则并无特殊限定，只要是管理员密码设备与密码机设备预先协商一致的即可。
在生成共享密钥后，管理员密码设备基于共享密钥对第二种子码进行加密处理，生成第二种子码的密文。对第二种子码进行加密时可采用各种对称加密算法，例如可以包括但不限于AES、DES、RC2、RC4、RC5和Blowfish等算法。在生成第二种子码的密文后，管理员密码设备将第二种子码的密文发送给密码机设备。
S13、密码机设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
本发明实施例中，密码机设备与管理员密码设备预先约定第一规则的具体内容，以便能够生成相同的共享密钥。密码机设备在接收到第二种子码的密文之前或者之后，可根据与管理员密码设备约定的第一规则并以第一种子码作为参数生成共享密钥，并使用共享密钥对从管理员密码设备接收到的第二种子码的密文进行解密得到第二种子码。
在得到第二种子码后，密码机设备基于第二种子码生成应用密钥。基于第二种子码生成应用密钥的密码学算法也可以是MD5、SHA等算法。
通过本发明实施例，管理员密码设备和密码机设备之间先进行共享密钥种子码的传输，根据共享密钥种子码生成共享密钥，再使用共享密钥对应用密钥种子码进行加密传输，密码机设备获得应用密钥种子码后使用应用密钥种子码生成应用密钥，配置过程对于用于而言十分简便快捷，同时具有很强的安全性。
需要说明的是，本发明实施例的应用密钥生成算法不仅可应用于新密码机设备的初始化操作，还可以用于其他情形。例如，为了适应业务扩展需求，当密码机设备需要横向扩展时，可以利用一台已有的密码机设备作为模板，利用与该密码机设备匹配的管理员密码设备使用本发明实施例的方法对其他的密码机设备进行操作，也即，将已有密码机的管理员密码设备内的第二种子码复制到新的密码机设备，使得新的密码机设备内部的安全芯片能够以第二种子码为密钥因子生成跟已有密码机设备相同的应用密钥，从而复制出具备相同应用密钥的密码机设备群组，以实现负载均衡或分布式部署。
在本发明实施例中，密码机设备在生成应用密钥时使用的参数除了第二种子码之外还可以包括其他参数或参数组合，参见以下的具体实施例。
在本发明一个实施例中，密码机设备在生成应用密钥时使用的参数除了第二种子码之外还可以包括用户标识。具体而言，密码机设备需要获取到密码机设备的用户标识，用来生成应用密钥。例如，可以在密码机设备出厂前或者销售前由操作人员将用户标识预先配置到密码机设备中，或者可以通过工程控制锁将用户标识写入密码机设备中，还可以在用户购置密码机设备后对密码机设备进行注册时从服务器获得并写入密码机设备中。进而，密码机设备在获得第二种子码后，可以以第二种子码和存储的用户标识为参数进行密码学运算生成应用密钥。
在本发明一些实施例中，密码机设备在进行密码学运算生成应用密钥时使用的参数除了第二种子码和存储的用户标识之前还可以包括其他参数。例如，该其他参数可以包括存储在密码机设备中的诸如随机数等的第一密钥因子，则密码机设备在获得第二种子码后，可以对第二种子码、第一密钥因子和用户标识进行密码学运算生成应用密钥。此外，密码机设备还可以在获得第二种子码后，临时生成一个随机数作为第二密钥因子，并对第二种子码、第一密钥因子、第二密钥因子和用户标识进行密码学运算生成应用密钥。在另一实施方式中，密码机设备还可以在获得第二种子码后，对第二种子码、第一密钥因子、密码机设备的设备标识和用户标识进行密码学运算生成应用密钥。
在一个具体实施方式中，密码机设备生成应用密钥(Kappkey)的规则例如可以是：Kappkey＝H(用户标识||第二种子码||固定种子1)，其中，H为SHA512算法，取运算结果的前32字节作为密钥；“||”表示数据拼接；固定种子1作为第一密钥因子，为固化在密码机设备的安全芯片中的固定32字节随机数。
在本发明一个实施例中，密码机设备和管理员密码设备在根据第一规则基于第一种子码生成共享密钥时，除了使用第一种子码作为参数之外，还可以使用用户标识作为另一参数。具体而言，密码机设备和管理员密码设备需要获取到密码机设备的用户标识。密码机设备可以通过上述方式获取到用户标识，管理员密码设备也可以通过类似的方式获取到用户标识，例如可以在管理员密码设备出厂前或者销售前由操作人员将用户标识预先配置到管理员密码设备中，或者可以通过工程控制锁将用户标识写入管理员密码设备中，还可以在用户购置管理员密码设备后对管理员设备进行初始化时从服务器获得并写入管理员密码设备中。在本发明实施例中，密码机设备和管理员密码设备可以根据第一规则对第一种子码和用户标识生成共享密钥。此外，在生成共享密钥时，所使用的参数除了第一种子码和用户标识之外还可以包括密码机设备和管理员密码设备之前共有的或可共享的其他数据，诸如密码机设备的设备标识，则密码机设备和管理员密码设备可以根据第一规则对第一种子码、密码机设备的设备标识和用户标识生成共享密钥。
如前述实施例所述，密码机设备的设备标识可用于生成共享密钥。在本发明实施例中，密码机设备可以将密码机设备的设备标识发送给管理员密码设备，使得管理员密码设备与密码机设备共有该设备标识。进而，在本发明一个实施例中，密码机设备和管理员密码设备还可以根据第一规则对第一种子码和设备标识进行运算生成共享密钥。
图2为本发明另一个实施例的应用密钥生成方法的示例性流程图。
如图2所示，在本发明实施例的应用密钥生成方法包括：
S21、管理员密码设备生成第一种子码和第二种子码，利用管理员密码设备私钥生成第一种子码的数字签名，利用密码机设备的公钥对第一种子码及其数字签名进行加密处理，并将加密得到的第一种子码密文发送给密码机设备；
S22、管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；
S23、密码机设备使用自身私钥对第一种子码密文解密得到第一种子码和数字签名，使用管理员密码设备公钥对解密得到的数字签名进行验证，如验证通过则根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
在本发明实施例中，管理员密码设备将第一种子码发送给密码机设备时，使用管理员密码设备私钥根据数字签名算法对第一种子码进行签名运算，得到第一种子码的数字签名，然后再用密码机设备的公钥对第一种子码及其数字签名进行加密生成第一种子码密文发送给密码机设备。
密码机设备在接收到第一种子码密文后，使用密码机设备私钥对第一种子码密文进行解密运算得到第一种子码和一数字签名，使用管理员密码设备公钥基于第一种子码对该数字签名进行验签，如验证通过，则认为收到的第一种子码未经篡改，可以使用第一种子码来生成共享密钥，后续步骤可参见前述实施例。
图3为本发明再一个实施例的应用密钥生成方法的示例性流程图。
如图3所示，本发明实施例的应用密钥生成方法包括：
S31、管理员密码设备生成第一种子码和第二种子码，利用管理员密码设备私钥生成第一种子码的数字签名，利用密码机设备的公钥对第一种子码及其数字签名进行加密处理，并将加密得到的第一种子码密文和管理员密码设备证书发送给密码机设备；
S32、管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；
S33、密码机设备使用自身私钥对第一种子码密文解密得到第一种子码和数字签名；
S34、密码机设备使用根证书校验管理员密码设备证书，如校验通过进行S35，否则结束流程；
S35、密码机设备利用管理员密码设备证书中的管理员密码设备公钥对S33中解密得到的数字签名进行验证，如验证通过进行S36，否则结束流程；
S36、密码机设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
在本发明实施例中，管理员密码设备在对第一种子码生成数字签名，并对第一种子码及其数字签名加密后将加密得到的第一种子码密文发送给密码机设备时，还将管理员密码设备证书发送给密码机设备。
密码机设备使用预先存储的根证书对管理员密码设备证书进行验证，具体而言，管理员密码设备证书中包括有基于根设备私钥生成的数字签名，密码机设备在进行验证时，使用密码机设备预先存储的根证书中的根设备公钥对该数字签名进行验签，如验证通过，则表明该管理员密码设备证书为合法证书，证书中的公钥为可信公钥。因此，密码机设备在使用自身私钥对从管理员密码设备接收到的第一种子码密文解密得到第一种子码和数字签名后，可以使用管理员密码设备证书中的管理员密码设备公钥对从第一种子码密文解密得到的数字签名进行验证，如验证通过，则密码机设备可确定从第一种子码密文解密得到的第一种子码为可信数据，能够基于该第一种子码生成共享密钥用于对第二种子码密文解密。
需要说明的是，虽然图3中示出S33在S34之前执行，但这两个步骤的执行顺序并不限于此，也可以是S34在S32和S33之间执行，也即，密码机设备先用根证书校验管理员密码设备证书后，再使用自身私钥对从管理员密码设备收到的第一种子码密文进行解密。此外，S34还可以在S31和S32之间执行，也即，密码机设备在接收到管理员密码设备证书后，先用根证书对管理员密码设备证书进行校验，然后再接收第二种子码的密文。另外，S32和S33的执行顺序也可以互换或者同时进行，也即，密码机设备可以在接收到第二种子码的密文后对第一种子码密文进行解密，也可以在接收第二种子码的密文的同时对第一种子码密文进行解密。
在本发明一些实施例中，共享密钥可以仅包括用于加解密的密钥。在共享密钥仅包括用于加解密的密钥的实施例中，共享密钥可以仅包括一个用于加解密的密钥，也可以包括两个以上的用于加解密的密钥。
例如，当共享密钥包括两个用于加解密的密钥，记为第一密钥和第二密钥，管理员密码设备可以使用第一密钥加密第二种子码的一部分，并使用第二密钥加密第二种子码的另一部分后，将两部分的密文发送给密码机设备。密码机设备接收到两部分的密文后，使用按照同样规则生成的第一密钥和第二密钥对这两部分的密文分别进行解密得到第二种子码，从而能够基于第二种子码生成应用密钥。
在本发明另一些实施例中，共享密钥除了可以包括用于加解密的密钥之外还可以包括用于校验的密钥。
例如，密码机设备和管理员密码设备可以使用两种不同的密钥生成算法分别对第一种子码或包括第一种子码在内的数据进行运算，得到相互不同的第一密钥和第二密钥，可以将第一密钥用于校验，第二密钥用于加解密。这里，包括第一种子码在内的数据例如可以是第一种子码和设备标识，或者第一种子码和用户标识，等等。密码机设备和管理员密码设备在生成第一密钥和第二密钥时，需要使用约定的相同参数，如均使用第一种子码作为参数，或者均使用第一种子码和设备标识作为参数，以确保两者所生成的第一密钥/第二密钥是一致的。
又例如，密码机设备和管理员密码设备可以对包括第一种子码和第二密钥因子的数据生成第一密钥，并对包括第一种子码和第三密钥因子的数据生成第二密钥，可以将第一密钥用于校验，第二密钥用于加解密。这里，包括第一种子码和第二密钥因子在内的数据例如可以仅仅是第一种子码和第二密钥因子，也可以是第一种子码、第二密钥因子和设备标识，或者还可以是第一种子码、第二密钥因子和用户标识，等等，包括第一种子码和第三密钥因子的数据以此类推。
在本发明一个具体实施方式中，将用于校验的第一密钥记为校验密钥Kmac，将用于加解密的第二密钥记为对称密钥Kenc，校验密钥Kmac和对称密钥Kenc可使用前述的第一种子码、用户标识、设备标识以及相应的密钥因子生成。管理员密码设备使用校验密钥Kmac对用于生成应用密钥的第二种子码生成校验码，并使用对称密钥Kenc对第二种子码及其校验码进行加解密。
在本实施方式中，Kenc和Kmac的生成规则例如可以是：
Kmac＝H(用户标识||设备标识||第一种子码||固定种子2)；
Kenc＝H(用户标识||设备标识||第一种子码||固定种子3)；
其中，H为SHA512算法，取运算结果的前32字节作为密钥；“||”表示数据拼接；固定种子2为固化在密码机设备和管理员密码设备中的固定32字节随机数，作为第二密钥因子计算数据校验密钥；固定种子3为固化在密码机设备和管理员密码设备中的固定32字节随机数，作为第三密钥因子计算数据保护密钥。
在本发明的共享密钥包括校验密钥Kmac和对称密钥Kenc的实施例中，管理员密码设备可以基于校验密钥Kmac(第一密钥)和第二种子码生成校验码，并利用对称密钥Kenc(第二密钥)对第二种子码及其校验码进行加密得到第二种子码的密文。相应地，密码机设备接收到第二种子码的密文后，利用对称Kenc对第二种子码的密文解密得到第二种子码及其校验码，利用校验密钥Kmac对解密得到的校验码进行校验，如校验通过，则基于解密得到的第二种子码生成应用密钥。
在本发明的一个具体实施方式中，管理员密码设备基于共享密钥和第二种子码keyseed生成第二种子码的密文时例如可使用如下规则：AES(Kenc，keyseed||MAC(Kmac，keyseed))，其中，AES为AES-ECB-256加密模式；MAC为HMAC-SHA256算法；“||”表示数据拼接。继而，管理员密码设备将使用AES加密的第二种子码(keyseed)密文发送给密码机设备，密码机设备使用相应生成的Kenc和Kmac对接收到的第二种子码密文进行解密和完整性校验，如果密码机设备所生成的Kenc和Kmac与管理员密码设备生成并使用的Kenc和Kmac相同，则校验通过并使用解密得到的第二种子码keyseed计算应用密钥，以完成业务准备；如果未能生成相同的Kenc和Kmac，则校验失败，导致异常退出。
图4为本发明一个实施例的密码机设备组件的架构示意图。
如图4所示，本发明实施例的密码机设备组件包括密码机设备41和管理员密码设备42。
本发明实施例中，密码机设备41是具有加解密、数字签名、身份认证、随机数生成等密码学处理功能的设备，可以用来对应用系统的敏感业务数据进行上述的加密和解密等密码学处理。管理员密码设备42是与密码机设备41配套使用的管理设备，分配给密码机设备41的管理员使用。密码机设备41在需要进行管理操作时可以使用管理员密码设备42进行管理，比如在需要进行管理员身份认证或者利用管理员密码设备42来完成设备的初始化等操作时，密码机设备41的管理员将管理员密码设备42接入密码机设备进行管理。
本发明实施例中的管理员密码设备42配置为生成第一种子码和第二种子码，并将第一种子码发送给密码机设备41，以及根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备41。
本发明实施例中的密码机设备41配置为根据第一规则基于第一种子码生成共享密钥，基于共享密钥和从管理员密码设备42接收到的第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥。
本发明实施例中密码机设备41和管理员密码设备42的具体操作处理可参见前述实施例，在此省略具体说明。
通过本发明实施例，管理员密码设备和密码机设备之间先进行共享密钥种子码的传输，根据共享密钥种子码生成共享密钥，再使用共享密钥对应用密钥种子码进行加密传输，密码机设备获得应用密钥种子码后使用应用密钥种子码生成应用密钥，配置过程对于用于而言十分简便快捷，同时具有很强的安全性。
本申请实施例的密码机设备组件可以通过图4所示实施例的硬件方式实现，也可以通过软件的方式来实现。如管理员密码设备可以包括第一处理器和第一存储装置，第一存储装置上可存储有第一计算机程序，该第一计算机程序当由第一处理器运行时能够实现前述方法实施例中由管理员密码设备实现的处理。密码机设备可以包括第二处理器和第二存储装置，第二存储装置上可存储有第二计算机程序，该第二计算机程序当由第二处理器运行时能够实现前述方法实施例中由密码机设备实现的处理。
以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种生成应用密钥的方法，包括：
管理员密码设备生成第一种子码和第二种子码，并将第一种子码发送给密码机设备；
管理员密码设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；
密码机设备根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥；
所述方法还包括：
密码机设备获得用户标识并存储，
其中，基于第二种子码生成应用密钥包括：对包括第二种子码和用户标识的数据进行运算生成应用密钥。
2.根据权利要求1所述的方法，其特征在于，密码机设备内存储有第一密钥因子，其中，基于第二种子码生成应用密钥包括：对包括第二种子码、第一密钥因子和用户标识的数据进行运算生成应用密钥。
3.根据权利要求1所述的方法，其特征在于，该方法还包括：
密码机设备获得用户标识并存储；
管理员密码设备获得用户标识并存储，
其中，根据第一规则基于第一种子码生成共享密钥包括：根据第一规则对包括第一种子码和用户标识的数据生成共享密钥。
4.根据权利要求1所述的方法，其特征在于，该方法还包括：
管理员密码设备从密码机设备获得设备标识，
其中，根据第一规则基于第一种子码生成共享密钥包括：根据第一规则对包括第一种子码和所述设备标识的数据生成共享密钥。
5.根据权利要求1所述的方法，其特征在于，管理员密码设备将第一种子码发送给密码机设备包括：
管理员密码设备利用管理员密码设备私钥生成第一种子码的数字签名，利用密码机设备的公钥对第一种子码及其数字签名进行加密处理，并将加密得到的第一种子码密文发送给密码机设备。
6.根据权利要求5所述的方法，其特征在于，该方法还包括：
管理员密码设备将管理员密码设备证书发送给密码机设备；
密码机设备使用根证书校验管理员密码设备证书，如校验通过，在对所述第一种子码密文进行解密时，利用管理员密码设备证书中的管理员密码设备公钥对解密得到的数字签名进行验证。
7.根据权利要求1所述的方法，其特征在于，根据第一规则基于第一种子码生成共享密钥包括：
对包括第一种子码和第二密钥因子的数据生成第一密钥，对包括第一种子码和第三密钥因子的数据生成第二密钥。
8.根据权利要求7所述的方法，其特征在于，基于共享密钥和第二种子码生成第二种子码的密文包括：
基于第一密钥和第二种子码生成校验码，并利用第二密钥对第二种子码及其校验码进行加密得到第二种子码的密文，
则密码机设备基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥，包括：密码机设备利用第二密钥对第二种子码的密文解密，并利用第一密钥对解密得到的校验码进行校验，如校验通过，则基于解密得到的第二种子码生成应用密钥。
9.一种密码机设备组件，包括：
管理员密码设备，其配置为生成第一种子码和第二种子码，并将第一种子码发送给密码机设备，以及根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码生成第二种子码的密文，并将生成的第二种子码的密文发送给密码机设备；
密码机设备，其配置为根据第一规则基于第一种子码生成共享密钥，基于共享密钥和第二种子码的密文得到第二种子码，并基于第二种子码生成应用密钥；
所述密码机设备还配置为获得用户标识并存储，对包括第二种子码和用户标识的数据进行运算生成应用密钥。
10.一种密码机设备组件，包括管理员密码设备和密码机设备，其特征在于，
管理员密码设备包括：
第一存储装置，其配置为存储第一计算机程序；
第一处理器，其配置为当运行第一计算机程序时实现如权利要求1-8中任一项中的管理员密码设备所实现的功能，
密码机设备包括：
第二存储装置，其配置为存储第二计算机程序；
第二处理器，其配置为运行第二计算机程序时实现如权利要求1-8中任一项中的密码机设备所实现的功能。
CN201910180771.6A 2019-03-11 2019-03-11 一种应用密钥生成方法及密码机设备组件 Active CN109981264B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910180771.6A CN109981264B (zh) 2019-03-11 2019-03-11 一种应用密钥生成方法及密码机设备组件

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910180771.6A CN109981264B (zh) 2019-03-11 2019-03-11 一种应用密钥生成方法及密码机设备组件

Publications (2)

Publication Number Publication Date
CN109981264A CN109981264A (zh) 2019-07-05
CN109981264B true CN109981264B (zh) 2020-08-04

Family

ID=67078398

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910180771.6A Active CN109981264B (zh) 2019-03-11 2019-03-11 一种应用密钥生成方法及密码机设备组件

Country Status (1)

Country Link
CN (1) CN109981264B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110289946B (zh) * 2019-07-12 2022-11-11 深圳市元征科技股份有限公司 一种区块链钱包本地化文件的生成方法及区块链节点设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101895881A (zh) * 2009-05-18 2010-11-24 中国移动通信集团公司 一种实现gba密钥的方法及终端可插拔设备
CN106845304A (zh) * 2017-01-22 2017-06-13 国网江苏省电力公司电力科学研究院 一种实现rfid系统中阅读器与标签认证的方法与系统
CN107040373A (zh) * 2016-01-15 2017-08-11 富士通株式会社 相互认证方法及认证设备
WO2019010421A1 (en) * 2017-07-07 2019-01-10 Ligatti Jay SYSTEMS AND METHODS FOR GENERATING SYMMETRIC CRYPTOGRAPHIC KEYS
CN109286502A (zh) * 2018-11-13 2019-01-29 北京深思数盾科技股份有限公司 恢复加密机管理员锁的方法以及加密机

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10237070B2 (en) * 2016-12-31 2019-03-19 Nok Nok Labs, Inc. System and method for sharing keys across authenticators
CN109218010B (zh) * 2017-07-04 2021-11-30 阿波罗智能技术(北京)有限公司 数据加密方法和装置、数据解密方法和装置
CN108491725A (zh) * 2018-03-13 2018-09-04 山东超越数控电子股份有限公司 一种提高云中虚拟机间通信安全的方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101895881A (zh) * 2009-05-18 2010-11-24 中国移动通信集团公司 一种实现gba密钥的方法及终端可插拔设备
CN107040373A (zh) * 2016-01-15 2017-08-11 富士通株式会社 相互认证方法及认证设备
CN106845304A (zh) * 2017-01-22 2017-06-13 国网江苏省电力公司电力科学研究院 一种实现rfid系统中阅读器与标签认证的方法与系统
WO2019010421A1 (en) * 2017-07-07 2019-01-10 Ligatti Jay SYSTEMS AND METHODS FOR GENERATING SYMMETRIC CRYPTOGRAPHIC KEYS
CN109286502A (zh) * 2018-11-13 2019-01-29 北京深思数盾科技股份有限公司 恢复加密机管理员锁的方法以及加密机

Also Published As

Publication number Publication date
CN109981264A (zh) 2019-07-05

Similar Documents

Publication Publication Date Title
US10652015B2 (en) Confidential communication management
WO2021073170A1 (zh) 数据提供和融合的方法及装置
CN110855671B (zh) 一种可信计算方法和系统
US11271730B2 (en) Systems and methods for deployment, management and use of dynamic cipher key systems
US8130961B2 (en) Method and system for client-server mutual authentication using event-based OTP
KR101010040B1 (ko) 파일의 암호화·복호화 방법, 장치, 프로그램 및 이프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
JP2010514000A (ja) 電子装置にプログラム状態データをセキュアに記憶するための方法
CN109905384B (zh) 数据迁移方法及系统
JP2022521525A (ja) データを検証するための暗号方法
CN112385175B (zh) 一种用于数据加密和完整性的设备
CN109981264B (zh) 一种应用密钥生成方法及密码机设备组件
CN113297091B (zh) SoC芯片的调试方法、装置及SoC芯片
CN109981612B (zh) 防止密码机设备非法复制的方法和系统及密码机设备
JP6165044B2 (ja) 利用者認証装置、システム、方法及びプログラム
CN115549910B (zh) 一种数据传输方法、设备以及存储介质
US11783057B2 (en) Method for securely provisioning a device incorporating an integrated circuit without using a secure environment
CN111200602B (zh) 一种分权管理方法、加密卡、管理员锁和密码机
CN107454063B (zh) 一种用户交互认证方法、设备及系统
CN116680710A (zh) 一种密码机密钥认证方法及系统
CN110555311A (zh) 一种基于纯软密码运算的电子签章系统安全设计方法及系统
TH1901000313A (th) วิธีการและอุปกรณ์สำหรับจัดให้มีและเข้ารับสารสนเทศรหัสกราฟิก และเครื่องปลายทาง

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP02 Change in the address of a patent holder

Address after: Room 124, 1 / F, building 2, yard 9, jiaogezhuang street, Nanfaxin Town, Shunyi District, Beijing

Patentee after: Beijing Wikipedia Technology Co.,Ltd.

Address before: 102200 No. 1, 120, Area C, 23 Qianqian Road, Changping Science and Technology Park, Beijing

Patentee before: Beijing Wikipedia Technology Co.,Ltd.

CP02 Change in the address of a patent holder