CN111614686B - 一种密钥管理方法、控制器及系统 - Google Patents

一种密钥管理方法、控制器及系统 Download PDF

Info

Publication number
CN111614686B
CN111614686B CN202010454863.1A CN202010454863A CN111614686B CN 111614686 B CN111614686 B CN 111614686B CN 202010454863 A CN202010454863 A CN 202010454863A CN 111614686 B CN111614686 B CN 111614686B
Authority
CN
China
Prior art keywords
key
user terminal
key management
operator
management controller
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010454863.1A
Other languages
English (en)
Other versions
CN111614686A (zh
Inventor
雷虹
包子健
王庆豪
刘浛
任谦
赵品行
谢小兰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Oxford Hainan Blockchain Research Institute Co ltd
Original Assignee
Oxford Hainan Blockchain Research Institute Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Oxford Hainan Blockchain Research Institute Co ltd filed Critical Oxford Hainan Blockchain Research Institute Co ltd
Priority to CN202010454863.1A priority Critical patent/CN111614686B/zh
Publication of CN111614686A publication Critical patent/CN111614686A/zh
Application granted granted Critical
Publication of CN111614686B publication Critical patent/CN111614686B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开一种密钥管理方法，通过在可信执行环境中运行的密钥管理控制器接收用户终端发送的密钥请求；解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端；若用户终端属于已注册用户终端，执行与操作符相对应的密钥操作，实现将密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。另一方面，本发明还公开了密钥管理控制器以及密钥管理系统。

Description

一种密钥管理方法、控制器及系统
技术领域
本发明涉及数据安全技术领域，具体涉及一种密钥管理方法、控制器及系统。
背景技术
密钥是许多数据安全技术的基础，例如对电子邮件的签名验证、远程服务器的身份认证以及云端数据的加解密等的过程都需要密钥参与。现有的密钥管理方案众多，目前常用的为本地存储、硬件设备存储和服务器存储。然而，这三个方案存在着各自的局限性，分析如下。
本地存储：将密钥存储于本地设备进行管理的方法。然而这种方法的密钥安全性低，密钥容易被本地设备上恶意软件盗取，从而导致密钥使用过程中出现安全问题。
硬件设备存储：将密钥存储于专用硬件设备(如智能芯片或U盾令牌)内进行管理的方法。但是，专用的硬件设备在外借他人使用时，无法知晓对方是否将存储于专用的硬件设备中的密钥使用到非正当的用途，因而导致密钥的使用不可控，带来一定的安全问题。
服务器存储：将密钥存储于提供密钥存储服务的服务器内进行管理的方法。但是，提供密钥存储服务的服务商不一定可信，带来一定的安全问题。
由上述可知，现有技术中针对密钥管理的方案均存在一定的安全性问题。
发明内容
有鉴于此，本发明实施例提供一种密钥管理方法、控制器及系统，解决了现有技术中针对密钥管理所存在的安全性问题。
为实现上述目的，本发明实施例的一个方面提供一种密钥管理方法，包括：
密钥管理控制器接收用户终端发送的密钥请求；其中，所述密钥管理控制器在可信执行环境中运行；所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；
所述密钥管理控制器解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；
若所述用户终端属于已注册用户终端，所述密钥管理控制器执行与所述操作符相对应的密钥操作。
本发明实施例的第二方面提供一种密钥管理控制器，所述控制器在可信执行环境中运行，包括：
接收单元，用于接收用户终端发送的密钥请求；其中，所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；
解析验证单元，用于解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；
执行单元，用于若所述用户终端属于已注册用户终端，执行与所述操作符相对应的密钥操作。
本发明实施例的第三方面提供一种密钥管理系统，包括用户终端、密钥管理控制器和用于为所述密钥管理控制器提供通信功能的通信接口；
所述密钥管理控制器，用于在可信执行环境中执行如权利要求1-7所述的任一项密钥管理方法。
上述技术方案通过在可信执行环境中运行的密钥管理控制器接收用户终端发送的密钥请求；解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端；若用户终端属于已注册用户终端，执行与操作符相对应的密钥操作，实现将密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本发明实施例提供的一种密钥管理方法的流程图；
图2为用户终端的注册过程的一种实现方式的流程图；
图3为本发明实施例公开了一种密钥管理控制器的结构图；
图4为本发明又一实施例提供的一种密钥管理控制器的结构图；
图5为本发明另一实施例公开的一种密钥管理系统的结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
请参阅图1，其示出本发明实施例提供的一种密钥管理方法的流程图，密钥管理方法应用于密钥管理控制器中，包括以下步骤：
S101，密钥管理控制器接收用户终端发送的密钥请求。
本实施例中，密钥管理控制器可以设置于与用户终端连接的密钥管理平台中，密钥管理平台可以为多台用户终端提供密钥管理服务。密钥管理控制器通过密钥管理平台中的通信接口与用户终端进行通信，通信接口主要为密钥管理控制器的可信执行环境提供与用户终端的通信条件。
本实施例中，密钥管理控制器在可信执行环境中运行。可信执行环境(TrustedExecution Environment，TEE)是密钥管理平台内的安全区域，以可信硬件为载体，提供硬件级强安全隔离和通用计算环境。可信执行环境在一个独立的环境中且与密钥管理平台的操作系统并行运行，在完善的密码服务加持下形成“密室”，数据仅在“密室”内才进行解密并计算，除此之外任何其他方法都无法接触到数据明文内容，数据在离开“密室”之前又会被自动加密，确保密钥管理控制器在可信执行环境中加载的代码和数据的机密性和完整性都得到保护。
密钥请求包括用户终端的用户信息和用于指示密钥请求的请求类型的操作符。其中，用户信息可以是发送密钥请求的用户终端的标识信息，例如用户终端的用户名或用户终端的设备ID，本实施例中用户信息为用户名和用户密码。用户终端可以向密钥管理控制器发送多种密钥请求，密钥请求可以包括但不限于密钥生成请求和密钥使用请求。密钥管理控制器通过操作符识别出接收到的密钥请求的请求类型。操作符可以是使用数字编号、符号或英文单词等表示，在此不对操作符的具体格式进行限定。
S102，密钥管理控制器解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端。
本实施例中，可信执行环境中存储有已注册用户终端的用户信息。已注册用户终端为与密钥管理控制器建立安全信道的用户终端，密钥管理控制器可以通过安全信道与多个已注册用户终端进行安全通信，通过已注册用户终端的用户信息对用户终端进行区分。在可信执行环境中存储已注册用户终端的用户信息有很多实现方式，在此不进行限定。
本实施例中，可以将用户信息存储至可信执行环境中的用户权限表，通过验证用户权限表中是否存在与密钥请求中的用户信息相匹配的用户信息来验证用户终端是否属于已注册用户终端。若在用户权限表中存在与密钥请求中的用户信息一致的用户信息，说明发送密钥请求的用户终端为已注册用户终端；若用户权限表中不存在与密钥请求中的用户信息一致的用户信息，说明发送密钥请求的用户终端不是已注册用户终端。
S103，若用户终端属于已注册用户终端，密钥管理控制器执行与操作符相对应的密钥操作。
若发送密钥请求的用户终端属于已注册用户终端，说明用户终端和密钥管理控制器之间可以建立安全信道，密钥管理控制器可以执行与操作符相对应的密钥操作。
本实施例中，操作符与密钥管理控制器执行的密钥操作相对应，操作符包括但不限于：密钥生成操作符和密钥使用操作符，其中密钥使用操作符可以包括但不限于以下几种：加密操作符、解密操作符、授权操作符和审计操作符。下面分别介绍不同操作符下，密钥管理控制器执行的密钥操作的步骤。
(1)若密钥请求包括密钥生成操作符，则密钥管理控制器执行与密钥生成操作符相对应的密钥操作包括以下步骤：
S201，密钥管理控制器生成与密钥生成操作符对应的密钥，将生成的密钥存储至与用户终端对应的密钥存储单元中。本实施例中，一个用户终端可能需要多种不同的密钥，密钥生成操作符可以包括多种不同的操作符，每个密钥生成操作符的一种密钥相对应。密钥管理控制器根据密钥请求中的密钥生成操作符，生成与密钥生成操作符对应的密钥。密钥存储单元可以是可执行环境中的密钥数据库中的一个存储单元，例如密钥表，可以通过访问密钥表获取密钥。密钥表只用于存储与其对应的用户终端的密钥，密钥管理控制器可以根据用户终端的用户信息确定与用户终端对应的密钥表。
S202，密钥管理控制器生成对应密钥的数据结构，将数据结构写入密钥使用日志，数据结构用于记录密钥的使用情况。密钥管理控制器也可以直接在密钥使用日志中建立用于记录密钥使用情况的数据结构。
(2)若密钥请求包括加密操作符，密钥请求中还包括需要进行加密操作的目标数据。密钥管理控制器执行与加密操作符相对应的密钥操作，包括以下步骤：
S301，密钥管理控制器获取与用户终端对应的加密密钥。
获取加密密钥的一种实现方式可以通过密钥请求中的用户信息确定密钥数据库中与用户信息对应的密钥表，通过访问密钥表获取加密密钥。其中，用户信息与密钥表的对应关系存储在可信执行环境中。
获取加密密钥的另一种实现方式可以通过用户权限表实现，用户权限表还存储有每一用户终端可以使用的密钥以及密钥存储地址，也就是说用户权限表中还包括用户信息与密钥存储地址的对应关系。密钥管理控制器根据用户权限表中用户信息与密钥存储地址的对应关系，确定与用户信息对应的加密密钥的存储地址，根据加密密钥的存储地址获取对应的加密密钥。
需要说明的是，上述两种获取加密密钥的实现方式中，在密钥数据库或者在用户权限表中存储有每个密钥对应的功能信息，每个用户信息可以对应多个不同功能的密钥，一种功能对应一个密钥。因此密钥管理控制器可以根据用户信息和操作符确定一个密钥。在其他实施例中，如果一个用户终端用于实现相同功能的密钥有多个，例如一个用户终端可能对应多个用于加密的加密密钥；或者在密钥管理平台中没有存储有每个密钥对应的功能信息，则密钥请求中需要指定使用的目标密钥，即密钥请求中还包括执行对应操作需要使用的目标密钥标识。密钥管理控制器根据目标密钥标识确定目标密钥的存储地址，根据确定的存储地址获取对应的目标密钥。
S302，密钥管理控制器使用加密密钥完成目标数据的加密操作，得到加密数据。
S303，密钥管理控制器反馈加密数据至用户终端。
(3)若密钥请求包括解密操作符，密钥请求中还包括需要进行解密的目标数据。则密钥管理控制器执行与解密操作符相对应的密钥操作，包括以下步骤：
S401，密钥管理控制器获取与用户终端对应的解密密钥。获取解密密钥的实现方式请参见上述步骤S301中获取加密密钥的实现方式，在此不再赘述。
S402，密钥管理控制器使用解密密钥完成目标数据的解密操作，得到解密数据。
S403，密钥管理控制器反馈解密数据至用户终端。
(4)若密钥请求包括授权操作符，密钥请求中还包括授权策略、被授权用户终端的用户信息和授权密钥的标识信息。则密钥管理控制器执行与授权操作符相对应的密钥操作，包括以下步骤：密钥管理控制器根据授权策略和被授权用户的用户信息，为被授权用户终端添加使用授权密钥的权限，并向被授权用户终端发送相应的授权通知。
其中，授权策略用于指示被授权用户终端可以使用授权密钥的方式，包括但不限于以下至少一种内容：授权密钥使用时间和授权密钥的用途。用户终端可以通过需要修改授权策略，实现灵活可控的密钥授权。下面以用户信息存储在用户权限表中为例，介绍密钥管理控制器为被授权用户终端添加相应的权限的一种实现方式：密钥管理控制器根据密钥请求中授权用户终端的用户信息(即发送密钥请求的用户终端的用户信息)、授权密钥的标识信息，确定用户权限表中授权密钥的存储地址。密钥管理控制器被授权用户终端的用户信息和授权策略，将授权密钥的存储地址和授权策略添加至用户权限表中存储被授权用户终端的可使用密钥信息的对应位置。授权通知用于向被授权用户终端可以使用授权密钥，授权密钥使用时间和授权密钥用途。
(5)若密钥请求包括审计操作符，密钥请求中还包括用于指示待审计密钥的密钥标识，则密钥管理控制器执行与审计操作符相对应的密钥操作，包括以下步骤：密钥管理控制器根据密钥标识，获取待审计密钥的使用日志。密钥管理控制器审计待审计密钥的使用日志。若审计过程中发现密钥被恶意使用，则向用户终端发送警示信息。用户终端可以通过密钥管理控制器实现对密钥的使用日志进行审计，确保密钥未被恶意使用。
需要说明的是，操作符的并不限于上述5种，可以根据需要定义更多的操作符和与操作符对应的密钥操作，在此不进行限定。
本实施例实现将密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。
若密钥管理控制器验证密钥请求中的用户信息发现，发送密钥请求的用户终端不属于已注册用户终端，密钥管理控制器向该用户终端发送提示信息，提示用户终端先进行注册操作。请参阅图2，其示出了密钥管理方法中用户终端的注册过程的一种实现方式的流程图，包括以下步骤：
S501，密钥管理控制器接收待注册用户终端通过安全信道发送的用户信息。
其中，安全信道是待注册用户终端完成对密钥管理控制器的可信执行环境的验证时，使用密钥交换协议与密钥管理控制器建立的。待注册用户终端成功完成对可信执行环境的验证，说明待注册用户终端信任密钥管理控制器，则通过通信接口与密钥管理控制器与密钥管理控制器建立安全信道。
S502，密钥管理控制器根据待注册用户终端的用户信息在用户权限表中创建一个新记录，将用户信息记录在用户权限表的新纪录中。
本实施例中，用户权限表还可以用于存储用户信息与密钥的对应关系。需要说明的是，在其他实施例中可以使用其他数据结构替换用户权限表实现已注册用户终端的用户信息的存储。
S503，密钥管理控制器在密钥数据库中创建与待注册用户终端的用户信息对应的密钥表。其中，密钥表用于存储用户密钥。
本实施例中公开了用户终端进行注册的过程，用户终端在注册前会对密钥管理控制器所在的可信执行环境进行验证，判断密钥管理控制器是否可信，解决了因为提供密钥存储服务的服务商不可信带来的安全问题。同时密钥管理控制器可以为多个已注册用户终端(即多设备)提供密钥管理服务，支持对多设备访问。
基于上述本发明实施例提供的密钥管理方法，本发明实施例还对应公开了一种密钥管理控制器，请参阅图3，其示出了密钥管理控制器的结构图，包括：接收单元101、解析验证单元102和执行单元103。
接收单元101，用于接收用户终端发送的密钥请求。其中，密钥请求包括用户终端的用户信息和用于指示述密钥请求的请求类型的操作符。
解析验证单元102，用于解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端。
执行单元103，用于若用户终端属于已注册用户终端，执行与操作符相对应的密钥操作。
上述各个单元的工作过程请分别参见上述实施例的步骤S101-S103的说明，在此不再赘述。
本实施例密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。
请参阅图4，其示出了本发明又一实施例提供的一种密钥管理控制器的结构图，与图3相比，密钥管理控制器还包括创建单元104。
接收单元101还用于接收待注册用户终端通过安全信道发送的用户信息。其中，安全信道是待注册用户终端完成对密钥管理控制器的可信执行环境的验证时，使用密钥交换协议与密钥管理控制器建立的。具体工作过程请参见上述实施例的步骤S501的说明，在此不再赘述。
创建单元104，用于根据待注册用户终端的用户信息在用户权限表中创建一个新记录，将用户信息记录在用户权限表的新纪录中；在密钥数据库中创建与待注册用户终端的用户信息对应的密钥表；其中，密钥表用于存储用户密钥。创建单元104的工作过程请参见上述实施例的步骤S502-S503的说明，在此不再赘述。
本实施例中密钥管理控制器支持不同的用户终端进行用户注册，密钥管理控制器可以为多个已注册用户终端(即多设备)提供密钥管理服务，支持对多设备访问。
请参阅图5，其示出了本发明另一实施例公开的一种密钥管理系统的结构图，包括用户终端和密钥管理平台。
密钥管理平台包括密钥管理控制器和用于为密钥管理控制器提供通信功能的通信接口。通信接口主要为密钥管理控制器的可信执行环境提供与用户终端的通信条件。密钥管理平台可以通过服务器实现，服务器中的主处理器内包括可信执行环境，密钥管理控制器的核心代码在可信执行环境中运行。
用户终端可以是手机或计算机等可以与管理平台进行通信连接的电子设备。用户可以通过在终端中安装客户端应用，通过客户端应用访问密钥管理平台，或者也可以通过浏览器访问密钥管理平台。
密钥管理控制器，用于在可信执行环境中执行上述实施例所述的密钥管理方法，上述实施例所述的密钥管理方法的执行逻辑内置于密钥管理控制器的核心代码中。密钥管理控制器负责执行用户终端发出的密钥请求(包括密钥授权、加密、解密)，并维护着用户权限表、密钥数据库以及密钥使用日志。密钥管理控制器的工作过程请参见上述方法实施例的说明，在此不再赘述。
本实施例的密钥管理系统将密钥管理平台中密钥的生成、管理和使用放在可信执行环境中完成，保证密钥不会被泄露，提高了密钥的安全性，解决了密钥管理平台中用户终端的密钥的安全问题；同时通过在可信执行环境中维护用户权限表和密钥使用日志，实现了灵活可控的密钥授权，包括基于时间的授权策略和基于用途的授权策略，解决密钥的授权难以实现灵活且可控的问题；提供密钥使用审计功能，确保用户的密钥未被恶意使用。
本说明书中的各个实施例均采用递进或组合的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种密钥管理方法，其特征在于，包括：
密钥管理控制器接收用户终端发送的密钥请求；其中，所述密钥管理控制器在可信执行环境中运行；所述密钥管理控制器设置于与所述用户终端连接的密钥管理平台中，所述密钥管理平台可以为多台用户终端提供密钥管理服务；所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；操作符至少包括：密钥生成操作符和密钥使用操作符；所述密钥使用操作符至少包括：加密操作符、解密操作符、授权操作符和审计操作符；
所述密钥管理控制器解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；
若所述用户终端属于已注册用户终端，所述密钥管理控制器执行与所述操作符相对应的密钥操作；密钥操作包括：与密钥生成操作符相对应的密钥生成操作；与加密操作符相对应的加密数据操作；与解密操作符相对应的解密数据操作；与授权操作符相对应的授权密钥操作；与审计操作符相对应的密钥的使用日志审计操作。
2.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括密钥生成操作符；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器生成与所述密钥生成操作符对应的密钥，以及对应所述密钥的数据结构；
所述密钥管理控制器将生成的密钥存储至与所述用户终端对应的密钥存储单元中，将所述数据结构写入密钥使用日志，所述数据结构用于记录所述密钥的使用情况。
3.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括加密操作符或解密操作符；所述密钥请求中还包括需要进行加密或解密的目标数据；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器获取与所述用户终端对应的加密密钥或解密密钥；
所述密钥管理控制器使用所述加密密钥或所述解密密钥完成所述目标数据的加密操作或解密操作，得到加密数据或解密数据；
所述密钥管理控制器反馈所述加密数据或所述解密数据至所述用户终端。
4.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括授权操作符；所述密钥请求中还包括授权策略、被授权用户终端的用户信息和授权密钥的标识信息；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器根据所述授权策略和所述被授权用户终端的用户信息，为所述被授权用户终端添加所述授权密钥的使用权限，并向所述被授权用户终端发送相应的授权通知。
5.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括审计操作符；所述密钥请求中还包括用于指示待审计密钥的密钥标识；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器根据所述密钥标识，获取所述待审计密钥的使用日志，并审计所述待审计密钥的使用日志。
6.如权利要求1所述的密钥管理方法，其特征在于，根据所述用户信息验证所述用户终端是否属于已注册用户终端，包括：
验证用户权限表中是否存在与所述密钥请求中的用户信息相匹配的用户信息；其中，所述用户权限表用于存储已注册用户终端的用户信息；
若用户权限表中存在与所述密钥请求中的用户信息相匹配的用户信息，则发送所述密钥请求的用户终端属于已注册用户终端。
7.如权利要求6所述的密钥管理方法，其特征在于，所述已注册用户终端的注册过程包括：
所述密钥管理控制器接收待注册用户终端通过安全信道发送的用户信息；其中，所述安全信道是所述待注册用户终端完成对所述密钥管理控制器的可信执行环境的验证时，使用密钥交换协议与所述密钥管理控制器建立的；
所述密钥管理控制器根据所述待注册用户终端的用户信息在所述用户权限表中创建一个新记录，将所述用户信息记录在所述用户权限表的新纪录中；
所述密钥管理控制器在密钥数据库中创建与所述待注册用户终端的用户信息对应的密钥表；其中，所述密钥表用于存储用户密钥。
8.一种密钥管理控制器，其特征在于，所述控制器在可信执行环境中运行，所述控制器设置于与用户终端连接的密钥管理平台中，所述密钥管理平台可以为多台用户终端提供密钥管理服务，包括：
接收单元，用于接收用户终端发送的密钥请求；其中，所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；操作符至少包括：密钥生成操作符和密钥使用操作符；所述密钥使用操作符至少包括：加密操作符、解密操作符、授权操作符和审计操作符；
解析验证单元，用于解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；
执行单元，用于若所述用户终端属于已注册用户终端，执行与所述操作符相对应的密钥操作；密钥操作包括：与密钥生成操作符相对应的密钥生成操作；与加密操作符相对应的加密数据操作；与解密操作符相对应的解密数据操作；与授权操作符相对应的授权密钥操作；与审计操作符相对应的密钥的使用日志审计操作。
9.如权利要求8所述的密钥管理控制器，其特征在于，还包括创建单元；
所述接收单元，还用于接收待注册用户终端通过安全信道发送的用户信息；其中，所述安全信道是所述待注册用户终端完成对所述密钥管理控制器的可信执行环境的验证时，使用密钥交换协议与所述密钥管理控制器建立的；
所述创建单元，用于根据所述待注册用户终端的用户信息在用户权限表中创建一个新记录，将所述用户信息记录在所述用户权限表的新纪录中；在密钥数据库中创建与所述待注册用户终端的用户信息对应的密钥表；其中，所述密钥表用于存储用户密钥。
10.一种密钥管理系统，其特征在于，包括用户终端和密钥管理平台；
所述密钥管理平台包括密钥管理控制器和用于为所述密钥管理控制器提供通信功能的通信接口；所述密钥管理平台可以为多台用户终端提供密钥管理服务；
所述密钥管理控制器，用于在可信执行环境中执行如权利要求1-7任一项 所述的密钥管理方法。
CN202010454863.1A 2020-05-26 2020-05-26 一种密钥管理方法、控制器及系统 Active CN111614686B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010454863.1A CN111614686B (zh) 2020-05-26 2020-05-26 一种密钥管理方法、控制器及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010454863.1A CN111614686B (zh) 2020-05-26 2020-05-26 一种密钥管理方法、控制器及系统

Publications (2)

Publication Number Publication Date
CN111614686A CN111614686A (zh) 2020-09-01
CN111614686B true CN111614686B (zh) 2023-01-17

Family

ID=72204338

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010454863.1A Active CN111614686B (zh) 2020-05-26 2020-05-26 一种密钥管理方法、控制器及系统

Country Status (1)

Country Link
CN (1) CN111614686B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112671714B (zh) * 2020-11-30 2023-01-10 航天信息股份有限公司 一种应用于税控开票的访问控制方法及系统
CN112861148B (zh) * 2021-01-28 2022-02-18 北京深思数盾科技股份有限公司 数据处理方法、服务端、客户端及加密机
CN113672903A (zh) * 2021-10-22 2021-11-19 深圳市信润富联数字科技有限公司 密码管理方法、电子装置、装置及可读存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110120869A (zh) * 2019-03-27 2019-08-13 上海隔镜信息科技有限公司 密钥管理系统及密钥服务节点
CN110235134A (zh) * 2017-01-26 2019-09-13 微软技术许可有限责任公司 使用洁净室供应来寻址可信执行环境
CN110890962A (zh) * 2019-12-20 2020-03-17 支付宝(杭州)信息技术有限公司 认证密钥协商方法、装置、存储介质及设备
CN111095899A (zh) * 2019-04-26 2020-05-01 阿里巴巴集团控股有限公司 针对可信执行环境的分布式密钥管理

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104754552B (zh) * 2013-12-25 2018-07-24 中国移动通信集团公司 一种可信执行环境tee初始化方法及设备
CN108667608B (zh) * 2017-03-28 2021-07-27 阿里巴巴集团控股有限公司 数据密钥的保护方法、装置和系统
US10922441B2 (en) * 2018-05-04 2021-02-16 Huawei Technologies Co., Ltd. Device and method for data security with a trusted execution environment

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110235134A (zh) * 2017-01-26 2019-09-13 微软技术许可有限责任公司 使用洁净室供应来寻址可信执行环境
CN110120869A (zh) * 2019-03-27 2019-08-13 上海隔镜信息科技有限公司 密钥管理系统及密钥服务节点
CN111095899A (zh) * 2019-04-26 2020-05-01 阿里巴巴集团控股有限公司 针对可信执行环境的分布式密钥管理
CN110890962A (zh) * 2019-12-20 2020-03-17 支付宝(杭州)信息技术有限公司 认证密钥协商方法、装置、存储介质及设备

Also Published As

Publication number Publication date
CN111614686A (zh) 2020-09-01

Similar Documents

Publication Publication Date Title
JP5860815B2 (ja) コンピューターポリシーを施行するためのシステムおよび方法
AU2006298507B2 (en) Method and arrangement for secure autentication
US7797545B2 (en) System and method for registering entities for code signing services
CN1953375B (zh) 用于提供代码签名服务的系统和方法中的账户管理
CN109587101B (zh) 一种数字证书管理方法、装置及存储介质
CN111614686B (zh) 一种密钥管理方法、控制器及系统
US20070074033A1 (en) Account management in a system and method for providing code signing services
EP2107490B9 (en) System and method for providing code signing services
TW201204040A (en) Method of registering devices
CN1886963A (zh) 应用程序认证方法
US20070071238A1 (en) System and method for providing an indication of randomness quality of random number data generated by a random data service
CN111918284B (zh) 一种基于安全通信模组的安全通信方法及系统
US20140351924A1 (en) Method and system for providing limited secure access to sensitive data
US20070074032A1 (en) Remote hash generation in a system and method for providing code signing services
US20110154436A1 (en) Provider Management Methods and Systems for a Portable Device Running Android Platform
EP1770588A1 (en) System and method for providing code signing services
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
CN113647051A (zh) 用于安全电子数据传输的系统和方法
CN114338091B (zh) 数据传输方法、装置、电子设备及存储介质
EP1770587A1 (en) Remote hash generation in a system and method for providing code signing services
CN114021094B (zh) 远程服务器登录方法、电子设备及存储介质
CN110225011B (zh) 用户节点的认证方法、设备及计算机可读存储介质
CA2561610C (en) System and method for providing an indication of randomness quality of random number data generated by a random data service
CN116432220A (zh) 数控系统主机访问控制方法、装置、设备及存储介质
CN116781359A (zh) 一种使用网络隔离和密码编译的门户安全设计方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant