CN101261608B - 用于保持密钥的方法和系统 - Google Patents

Abstract

提供了一种用于在非活动密钥储存库内保持从密钥库中移除的密钥的方法、系统和制造产品。密钥库包含活动密钥，其中活动密钥与存储设备相关联，用于加密和解密相关存储设备的数据。接收对于指定的活动密钥的操作的请求以使得指定的活动密钥作为活动密钥从密钥库中被移除。将指定的活动密钥指示为非活动，非活动的密钥不可用于加密和解密数据。接收对于恢复非活动密钥中的一个非活动密钥以使其可用于解密和加密与该非活动密钥相关联的相关存储设备的数据的请求。在密钥库内将请求恢复的非活动密钥指示为活动，其中被恢复的密钥和密钥库内的任何其它活动密钥可被提供用来加密和解密与这些密钥相关联的存储设备的数据。

Description

用于保持密钥的方法和系统

技术领域

本发明涉及一种用于在非活动密钥储存库内保持从密钥库中移除的密钥的方法、系统和制造产品。

背景技术

可更换的盒式带(tape cartridge)上存储的数据可被加密引擎加密以保护该数据。数据加密对于存储关于它们的顾客的个人数据的商业尤其有用。最近，政府法规对存储个人数据的公司提出了报告丢失数据或者防止数据失窃的要求和法律义务。

与加密盒式带上的数据相关的一个问题是为用不同加密密钥加密的多个盒式带保持和管理加密密钥的拷贝。在本领域内，与磁带驱动器通信的密钥管理器可管理密钥库内的密钥，该密钥管理器包含数据库或其它数据结构以使加密密钥与磁带驱动器相关联，磁带驱动器使用相关密钥来加密数据和/或用相关加密密钥加密其数据的存储盒。

密钥可到期(expire)或者被从密钥库中移除。作为安全策略的一部分，到期的密钥可被新密钥代替以用于加密和解密。一旦密钥到期或者被从密钥库中移除，则密钥不再可用于加密和解密数据。不能从用到期密钥加密的盒中恢复仍用到期或被删除的密钥加密的、盒式带上的数据。

本领域内需要一种改进的用于管理可更换的存储介质(例如盒式带)的到期和活动加密密钥的技术。

发明内容

提供了一种用于在非活动密钥储存库内保持从密钥库中移除的密钥的方法、系统和制造产品。密钥库包含活动密钥，其中密钥库内的至少一个活动密钥与至少一个存储设备相关联，并且可用于加密和解密该相关存储设备的数据。接收到对指定的活动密钥的操作的请求，该操作使得该指定的活动密钥作为活动密钥被从密钥库中移除。指定的活动密钥被指示为非活动，其中指示为非活动的密钥不可用于加密和解密数据。接收到恢复一个非活动密钥以便可将该密钥用于解密和加密与所请求的非活动密钥相关联的至少一个相关存储设备的数据的请求。所请求恢复的非活动密钥在密钥库内指示为活动，其中被恢复的密钥和密钥库内的与该被恢复的密钥相关联的至少一个存储设备相关联的任何其它活动密钥可被提供用于加密和解密与所述密钥相关联的至少一个存储设备的数据。

附图说明

图1示出包含存储驱动器的计算机环境的实施例。

图2示出密钥管理操作的实施例。

图3示出恢复从密钥库中移除的密钥的操作的实施例。

图4示出将到期策略应用于非活动密钥储存库的操作的实施例。

具体实施方式

图1示出包含存储驱动器2的存储计算环境的实施例，该存储驱动器2可包括用于与可更换存储介质4接口的可更换的存储驱动器。存储驱动器2可包含用户界面6，用户界面6包含用于与存储驱动器2相互作用的一个或多个按钮或键。用户界面6可包含用于手动卸载可更换介质的弹出按钮；用于对项目列表导航的上/下按钮；用于选择项目或者离开菜单或列表的进入/退出按钮；一个或多个状态显示，例如灯或LED(发光二极管)、数字显示和文字数字显示，等等。另外，用户界面可被提供给在连接的计算机系统上存储设备2。存储驱动器2包含对于耦合的可更换存储介质4进行读/写操作的I/O管理器代码8，加密引擎10和存储器12，例如闪存、电可擦除可编程序只读存储器(EEPROM)、电池备份随机存取存储器(RAM)等等。存储器12可存储用于从耦合的可更换存储介质4读数据以及向其写数据的I/O数据和配置信息。I/O管理器代码8可使用加密引擎10，该加密引擎10执行操作以使用一个或多个加密密钥对耦合的可更换存储介质4上的数据加密和解密。在一些实施例中，加密密钥被缓存在加密引擎10内。加密引擎10可使用一种或多种加密算法，加密算法可包括但不局限于DES(数据加密标准)、AES(先进加密标准)、RSA(Rivest Shamir Adleman)和本领域内已知的其它合适的加密算法。

可更换存储介质4可包含被称为数据存储介质盒的盒。在用于海量数据存储的可更换的自动数据存储库内广泛使用的数据存储介质盒的示例是盒式磁带。可更换存储介质4可包括可在其上存储数据并且可用作可更换介质的包含任何类型的合适介质的存储介质，其包括但并不局限于磁性介质(例如磁带或磁盘)、光介质(例如光带或光盘)、电子介质(例如PROM、EEPROM、闪速PROM、MRAM、CompactFlash TM、Smartmedia TM、Memory Stick TM等等)或其他合适的介质。

存储驱动器2包含一个或多个通信接口14，以能够与不同的外部设备(例如计算机系统、存储库等等)通信。可存在用于连接到不同设备或主计算机的多个接口。另外，可存在冗余接口以提高可靠性、可用性、连接性或性能。在一个实施例中，接口18可包含不同的接口和不同的通信协议。一个或多个通信接口14可包含串行、并行或光接口，例如RS-232、USB(通用串行总线)、串或并ATA(AT连接)、SCSI(小型计算机系统接口)、SAS(串联SCSI)、光纤通道、IEEE 1394(火线或iLink)、IEEE 1284(并行端口)等等。另外，通信接口14可包含网络或无线接口，例如以太网、CAN(控制器区域网)、802.11(Wi-Fi)、X.25(WAN)、蓝牙等等。通信接口14可用于向存储驱动器2提供命令和/或数据。

在图1的实施例中，通信接口14使得能够与网络20通信，存储驱动器2可通过网络20与包含密钥管理器24、密钥存储管理器26和非活动密钥储存库28的密钥服务器22，以及例如主机系统30的另外的系统通信。密钥服务器22与密钥库38通信，密钥库38可耦合到密钥服务器22或耦合到网络20或另一个部件。主机系统30可包含存储驱动器应用32，该应用32向存储驱动器2传递数据和命令，所述应用32是例如备份程序、归档软件、存储驱动器管理程序，或能够向用于耦合的可更换存储介质的存储驱动器2发送读/写请求的任何其它主机应用。在可选择实施例中，通信接口14可包含与密钥服务器22和/或主机系统28的直达线路连接。

密钥库38包含存储驱动器2可请求以用于解密和加密可更换存储介质4的数据的密钥的数据库。在一个实施例中，一个密钥可与至少一个存储设备，例如可更换存储介质4或存储驱动器2，相关联，并且用于加密和解密该密钥与其相关联的至少一个存储设备(例如，存储介质4或存储驱动器2)的数据。从密钥库38内移除的密钥被存储在非活动密钥储存库28内。另外，一些被移除的密钥没有被存储在非活动密钥储存库28内。另外，密钥库38可包含不同类型的密钥，例如用于不同类型的数据的密钥。此外，例如存储驱动器4或介质4的一个存储设备可利用多个密钥。密钥管理器24可提供被存储驱动器2请求以用于加密和解密加载到或耦合到存储驱动器2的可更换存储介质4内的数据的密钥。密钥库管理器26可修改该密钥。

密钥库管理器用户界面34包含可在密钥服务器22或另一系统上运行的程序，该程序可用于对密钥库管理器26、密钥管理器24和非活动密钥储存库28执行管理操作。密钥库管理器用户界面34可与密钥库管理器26相互作用以控制密钥库管理器26修改、添加和删除密钥库38中的密钥。密钥库管理器用户界面34可创建删除或终止密钥库38中的密钥的命令，或者生成密钥库38内的活动密钥的替代密钥。被删除的、到期的或被替代的密钥被从密钥库38中移除，并且被自动或通过密钥库管理器用户界面34手动添加到非活动密钥储存库28中。密钥库管理器用户界面34还可用于产生一个或多个到期策略36，该策略用于确定非活动密钥储存库28内的密钥何时被永久删除。到期策略36可指定条件，例如非活动密钥储存库28内的非活动密钥的年龄、密钥已在非活动密钥储存库28内多久了、将保持的密钥的多个不同版本等等，当满足这些指定条件时密钥被从非活动密钥储存库28内删除。

图2示出密钥库管理器用户界面34和/或密钥库管理器26执行的从密钥库38中移除密钥的操作的实施例。在发起(在块50)密钥管理操作时，响应于将密钥库38加载到密钥管理器24内的操作，密钥库管理器26可将一些或全部活动密钥从密钥库38加载(在块52)到密钥管理器24的活动存储器内。在一个实施例中，密钥库管理器用户界面34可发出从密钥库38将密钥加载到密钥管理器24内以使用的命令。此外，密钥管理器24可仅在请求或者需要密钥时从密钥库38加载密钥。密钥管理器24还可从多个密钥库加载密钥。密钥管理器用户界面34可从多个密钥库38选择以加载到密钥管理器24内。可选择地，发起加载操作的命令可源于密钥管理器24。密钥管理器24然后将加载的密钥提供给存储驱动器2，以用于对与活动密钥相关联的存储设备(例如可更换存储介质4和/或存储驱动器2)的数据加密和解密。

在密钥库管理器26接收到(在块54)关于密钥管理器24内的指定活动密钥的请求时，该请求使得指定活动密钥将被作为活动密钥从密钥库中移除，密钥库管理器26将指定的活动密钥指示(在块56)为非活动，并且从密钥库38的活动区域移除被指示为非活动的密钥。密钥库管理器26还可将指示为非活动的密钥复制(在块58)到非活动密钥储存库28内。使得从密钥库38移除指定的活动密钥的请求可包含来自密钥库管理器26或用户界面34的、删除密钥或使密钥到期的请求。另外，响应于密钥库管理器26或密钥库管理器用户界面34，使得指定的活动密钥被移除的请求可包含通过密钥库管理器用户界面34或密钥库管理器26生成新密钥以代替当前使用的活动密钥，作为一般密钥管理安全操作的一部分。另外的所请求的操作还可使得活动密钥变为非活动且被从密钥管理器24中移除，并且被添加到非活动密钥储存库28中。还另外，由于删除密钥库38内的所有密钥或使其到期，用新的密钥更新密钥库38内的所有密钥或者一些其它操作，整个密钥库38可变为非活动。在这种情况中，变为非活动的整个密钥库38可被从密钥管理器24中移除并且被存储在非活动密钥储存库28内。

放置在非活动密钥储存库28内的密钥不可以响应于存储驱动器2对密钥的请求而被密钥管理器24提供给存储驱动器2用以解码和加密相关联的存储设备的数据。此外，密钥管理器24或密钥库38不允许密钥从非活动密钥储存库28输出到外部位置。

图3示出响应于接收到(在块100)对于恢复非活动密钥储存库28内的一个非活动密钥以使其可用于解密和加密与所请求的非活动密钥相关联的至少一个相关存储设备的数据的请求而由密钥管理器24执行的操作的实施例。此恢复请求可被密钥库管理器用户界面34或密钥库管理器26发起。管理员可在确定可更换存储介质4需要非活动密钥时发起对于恢复密钥的请求。响应于恢复请求，密钥管理器24通过从非活动密钥储存库28将请求的非活动密钥提供给密钥管理器24，在密钥库38内将所请求的非活动密钥指示(在块102)为活动。密钥管理器24然后可将恢复的密钥包含在活动区域内，在该区域内的密钥可被提供给存储设备2。

在其它实施例中，当恢复密钥时，如果两个密钥具有相同的别名(不管密钥是否相同)，则用户可以以两种方式之一配置密钥库38，用恢复的密钥自动覆写旧密钥，自动失败以指示重复，或者提示用户操作并且指示重复的别名。

图4示出响应于处理(在块120)为非活动密钥储存库28定义的到期策略36，密钥管理器24执行的操作的实施例。到期策略36对于非活动密钥储存库28内的密钥限定了一个或多个条件。该条件可指定持续时间，该持续时间用于使在储存库内已至少存在该指定的持续时间的密钥，或与超过指定持续时间的时间相关联的密钥(例如从被创建或者最后一次被使用经过了指示的时间的密钥)到期。该条件还涉及非活动密钥储存库28使用的空间，使得如果储存库28达到空间限制则密钥基于先入先出(FIFO)被删除，或者涉及密钥的版本，从而超出最新或其它版本的密钥被删除。密钥管理器24确定(在块122)非活动密钥储存器28内的满足到期策略36的条件的密钥，并永久删除(在块124)确定的密钥。

通过所述的实施例，被从密钥库38中移除的密钥被保持在非活动密钥储存库28内，该密钥可从该储存库28中被恢复以便稍后被密钥管理器24使用以提供给存储驱动器用于加密和解密。例如，如果密钥管理器24为存储介质4创建新密钥，但是并不是所有存储介质4都被更新以使得它们的数据用新密钥加密，则被新密钥代替的旧密钥可从非活动密钥储存库28中被恢复，以用于从其数据未用新密钥更新的存储介质4恢复数据。对非活动密钥储存库28内的密钥的访问可被限制，并且在被恢复到密钥管理器240之外，储存库28内的非活动密钥不可被输出或访问。

其它实施例细节

所述操作可被实现为使用标准编程和/或工程技术以产生软件、固件、硬件或其任何组合的方法、装置或制成产品。所述操作可实现为“计算机可读介质”内包含的代码，其中一个或多个处理器可从一个或多个计算机可读介质中读取并执行代码。计算机可读介质可包含介质，例如磁性存储介质(例如，硬盘驱动器、软盘、磁带等等)，光存储器(CD-ROM、DVD、光盘等等)、易失性和非易失性存储设备(例如EEPROM、ROM、PROM、RAM、DRAM、SRAM、MRAM、闪速存储器、固件、可编程逻辑等等)等等。实现所述操作的代码还可用硬件设备(例如，集成电路芯片、可编程门阵列(PGA)、特定用途集成电路(ASIC)等等)内的硬件逻辑实现。另外，实现所述操作的代码可在“传输信号”内实现，其中传输信号可通过空间或例如光纤、铜线等等的传输介质传播。在其中对代码或逻辑编码的传输信号还可包含无线信号、卫星传输、无线电波、红外线信号、蓝牙等等。在其中对代码或逻辑编码的传输信号能够被传输站传输并被接收站接收，在接收和传输站或设备处，传输信号内编码的代码或逻辑可被解码并存储在硬件或计算机可读介质内。“制成产品”包含计算机可读介质、硬件逻辑和/或代码可在其中实现的传输信号。其中实现所述操作的实施例的代码被编码的设备可包含计算机可读介质或硬件逻辑。当然，本领域技术人员应认识到，对此配置可作出许多修改而不会背离本发明的范围，并且制成产品可包含本领域内已知的合适的信息承载介质。

在所述实施例中，密钥管理器24被保持在与存储驱动器2分离的密钥服务器22上。在可选择实施例中，密钥管理器和密钥库可用存储驱动器2内的代码实现。

密钥管理器24执行的所述操作可被密钥库管理器执行，反之亦然。

除非另外明确说明，否则术语“实施例”、“该实施例”、“一个或多个实施例”、“一些实施例”和“一个实施例”是指“本发明的一个或多个(但非全部)实施例”。

除非另外明确说明，否则术语“包括”、“包含”、“具有”及其变型是指“包括但不局限于”。

除非另外明确说明，否则列举的项目列表并不是指任何或全部项目是互不相容的。

除非另外明确说明，否则术语“一”、“一个”和“该”是指“一个或多个”。

当用于代表元件的可变数量时，变量“n”和“m”可指示任意数量的元件实例，并且当用于不同元件时可指示不同的整数。

除非另外明确说明，否则相互通信的设备并不需要相互连续通信。另外，相互通信的设备可直接相互通信，或通过一个或多个中间物间接相互通信。

具有相互通信的一些部件的实施例的说明并不是指所有这些部件都是必需的。相反，说明许多任选部件以示出本发明的多种可能的实施例。

另外，尽管过程步骤、方法步骤、算法等等可被顺序说明，但是这些过程、方法和算法可配置成以交替的顺序操作。换句话说，可说明的步骤的任何序列或顺序并不一定指示步骤必须按该顺序执行。实际上，文中所述的过程的步骤可以任何顺序执行。此外，一些步骤可同时执行。

当文中说明单个设备或物品时，很明显，可使用多于一个的设备/物品(不管它们是否合作)替代单个设备/物品。类似地，文中说明多于一个设备或物品(不管它们是否合作)时，很明显，可使用单个的设备/物品替代多于一个设备/物品，或者可使用不同数量的设备/物品而不是所示数量的设备或程序。设备的功能性和/或特征可选择地用没有被明确说明为具有这种功能性/特征的一个或多个其它设备来实施。因此，本发明的其它实施例不需要包含设备自身。

图2、3和4所示的操作示出按一定顺序发生的一些事件。在可选择实施例中，一些操作可被按不同的顺序执行、被修改或移除。此外，可在上述逻辑中添加步骤，并且这仍符合所述实施例。此外，文中所述的操作可依次进行，或者一些操作可被并行处理。还另外，操作可被单个处理单元执行或被分布式处理单元执行。

提供前文对本发明的各个实施例的说明是为了例证和说明。其不是详尽的，或者不打算将本发明局限于公开的精确形式。考虑到上述教义，可存在许多修改和变型。本发明的范围不是被此详细说明限制，而是由所附权利要求限制。上述说明书、示例和数据对本发明的组成的制造和使用作出了详细的说明。由于本发明的许多实施例可被做出而不会背离本发明的精神和范围，所以本发明位于下文所附的权利要求内。

Claims (15)

1.一种用于保持密钥的方法，包括：

在密钥库中保持活动密钥，其中该密钥库内的至少一个活动密钥与至少一个存储设备相关联并可用于加密和解密该相关存储设备的数据；

接收对于指定的活动密钥的操作的请求，该操作使得该指定的活动密钥作为活动密钥从该密钥库中被移除；

将该指定的活动密钥指示为非活动，其中被指示为非活动的密钥被存储在非活动密钥储存库中并且不可用于加密和解密数据；

接收对于恢复该非活动密钥中的一个非活动密钥到该密钥库以使其可用于解密和加密与所请求的非活动密钥相关联的至少一个相关存储设备的数据的请求；以及

在该密钥库内将请求恢复的非活动密钥指示为活动，其中被恢复的密钥和密钥库内的、与该被恢复的密钥相关联的至少一个存储设备相关联的任何其它活动密钥可从该密钥库被提供用来加密和解密与这些密钥相关联的该至少一个存储设备的数据。

2.根据权利要求1的方法，还包括：

响应于将所述密钥库加载到密钥管理器内的操作，将所述活动密钥从所述密钥库的活动区域加载到密钥管理器中以用于加密和解密与所述活动密钥相关联的存储设备的数据；以及

从所述密钥库的活动区域中移除被指示为非活动的密钥。

3.根据权利要求2的方法，还包括：

响应于将该密钥指示为非活动，将被指示为非活动的密钥复制到非活动密钥储存库内，其中该非活动密钥储存库内指示的非活动密钥不可用于加密和解密与其相关联的至少一个存储设备的数据。

4.根据权利要求3的方法，还包括：

使得能够从一个密钥库中输出密钥，其中使得不能够输出所述非活动密钥储存库内的密钥。

5.根据权利要求3的方法，其中所述指示将所请求的非活动密钥恢复为活动密钥的步骤包含：将所请求的非活动密钥提供给所述密钥管理器，以从所述非活动密钥储存库中恢复所请求的非活动密钥以使其与所述密钥管理器保持的其它活动密钥一起可使用。

6.根据权利要求3的方法，还包括：

提供指示条件的、用于所述非活动密钥储存库的到期策略；

确定所述非活动密钥储存库内的满足所述到期策略的条件的密钥；以及

从所述非活动密钥储存库中永久删除所确定的密钥。

7.根据权利要求1的方法，其中所述所请求的对于指定的活动密钥的操作包括：添加新密钥以代替被移除的密钥的操作，其中该操作还包括：

生成用于与被代替的密钥相关联的至少一个存储设备的新密钥；以及

在所述密钥库内将与该新密钥相关联的至少一个存储设备的该新密钥指示为活动。

8.根据权利要求1的方法，其中所述所请求的移除密钥的操作包括：请求删除所述活动密钥。

9.根据权利要求1的方法，还包括：

确定在所述密钥库内的要恢复的密钥与所述密钥库内先前存在的密钥具有相同的别名；以及

响应于确定要恢复的密钥具有相同别名，执行操作，该操作包括：覆写具有相同别名的预先存在的密钥；终止恢复操作；和提示用户动作这些操作之一。

10.根据权利要求1的方法，还包括：

接收从所述密钥库中删除至少一个指示的密钥的用户请求；以及

从所述非活动密钥储存库中永久删除所指示的至少一个密钥。

11.一种管理用于存储设备的密钥的系统，包含：

具有活动密钥的密钥库，其中该密钥库内的至少一个活动密钥与该存储设备中的至少一个相关联，并且可用于加密和解密该相关存储设备的数据；

与该密钥库通信并且能够执行操作的管理器，该操作包括：

接收对于指定的活动密钥的操作的请求，该对于指定的活动密钥的操作使得该指定的活动密钥作为活动密钥从该密钥库中被移除；

将该指定的活动密钥指示为非活动，其中被指示为非活动的密钥被存储在非活动密钥储存库中并且不可用于加密和解密数据；

接收对于恢复该非活动密钥中的一个非活动密钥到该密钥库以使其可用于解密和加密与所请求的非活动密钥相关联的至少一个相关存储设备的数据的请求；以及

在该密钥库内将请求恢复的非活动密钥指示为活动，其中被恢复的密钥和密钥库内的、与该被恢复的密钥相关联的至少一个存储设备相关联的任何其它活动密钥可从该密钥库被提供用来加密和解密与这些密钥相关联的该至少一个存储设备的数据。

12.根据权利要求11的系统，其中所述活动密钥被保持在所述密钥库的活动区域内，所述管理器还执行：

响应于将所述密钥库加载到密钥管理器内的操作，将所述活动密钥从所述密钥库的活动区域加载到密钥管理器中以用于加密和解密与所述活动密钥相关联的存储设备的数据；以及

从所述密钥库的活动区域中移除被指示为非活动的密钥。

13.根据权利要求12的系统，其中所述管理器还执行：

响应于将该密钥指示为非活动，将被指示为非活动的密钥复制到非活动密钥储存库内，其中该非活动密钥储存库内指示的非活动密钥不可用于加密和解密与其相关联的至少一个存储设备的数据。

14.根据权利要求13的系统，其中所述管理器还执行：

使得能够从一个密钥库中输出密钥，其中使得不能够输出所述非活动密钥储存库内的密钥。

15.根据权利要求13的系统，其中所述管理器还执行：

提供指示条件的、用于所述非活动密钥储存库的到期策略；

确定所述非活动密钥储存库内的满足所述到期策略的条件的密钥；以及

从所述非活动密钥储存库中永久删除所确定的密钥。

Images