CN101282220B

CN101282220B - 一种增强密钥使用安全性的信息安全装置及其实现方法

Info

Publication number: CN101282220B
Application number: CN 200810106561
Authority: CN
Inventors: 孙吉平; 韩勇
Original assignee: Beijing Senselock Software Technology Co Ltd
Current assignee: Beijing Senseshield Technology Co Ltd
Priority date: 2008-05-14
Filing date: 2008-05-14
Publication date: 2013-02-20
Anticipated expiration: 2028-05-14
Also published as: CN101282220A

Abstract

本发明公开了一种增强密钥使用过程安全性的信息安全装置及其实现方法。通过在信息安全装置中增加一个密钥使用管理模块，可以对每个密钥附加相关的使用安全策略。每个密钥在被使用时，密钥使用管理模块负责对其安全策略进行解析，并按照安全策略的要求对密钥的使用进行管理。本发明大大降低了现有信息安全装置中密钥使用过程中所存在的安全风险，对于信息安全装置的大面积推广有非常重要实际意义。

Description

一种增强密钥使用安全性的信息安全装置及其实现方法

技术领域

本发明涉及信息安全装置及其密钥管理技术，特别涉及一种能够对信息安全装置中的密钥进行使用管理的安全装置及其实现方法。

背景技术

电子商务改变了传统商务的运作模式，极大提高了商务效率并降低了交易成本，然而这样一个新的商务模式也同时面对着巨大的安全威胁。因此，在所有的电子商务应用中，安全都被作为最重要的因素进行考虑。目前电子商务最主要的安全隐患来自于客户端，例如用户所使用的电脑和运行于电脑上的软件，或者移动设备(如PDA)以及运行于其上的软件。因此，电子商务一般都要采取安全强度很高的身份认证手段，以在电子商务中确认用户的身份，防止假冒和欺诈。

在所有身份认证方式中，支持PKI(Public Key Infrastructure，公开密钥体系)的USB Key是最高级别的安全认证手段之一，通过存储在USB Key内部的数字证书和密钥，与服务器之间进行安全身份认证。在网上银行中，银行对采用USB Key作为身份认证手段的用户的交易不进行额度等方面的限制，认为这是极为可靠的安全方法。中国专利200410028723.9公布了一种用于网上银行交易安全的保护方法——《对网上银行数据进行加密、认证的装置和方法》，其特征在于，包括如下步骤：a)根据用户信息生成针对该用户的数字证书；b)将所述数字证书存入将要分配给该用户的USB KEY中；c)用户登陆网上银行用户进行数据处理时，通过所述USB KEY确认用户身份或数字签名。该发明还公开了一种利用USB KEY实现上述对网上银行数据进行加密、认证的装置。每一个USB KEY有一个唯一的序列号，并且私钥不能出内存，在确认用户身份后才进行网上交易。因此，发明人认为，该发明具有高度的保密性和安全性。

然而，USB Key有一个先天的弱点，就是其所有安全操作都必须在计算机的配合下完成，所有对USB Key的操作都是通过计算机(包括PDA等)完成的。由于用户所使用的计算机系统面临着各种各样的安全攻击，所以攻击者也完全可以通过计算机木马等手段来非法操作连接在USB接口上的设备并使用USB Key内部的数字证书和密钥。

为了防止对数字证书和密钥的非法使用，用户在使用密钥或者数字证书之前，通常会被要求输入一个PIN码以获得授权。USB Key在完成对PIN码的验证后，就会授予计算机对其中的密钥或数字证书的使用许可，这样计算机软件就可以调用USB Key中的密钥或数字证书完成信息安全功能，例如进行数字签名。

但是这种授权方式存在潜在的安全风险：在用户输入PIN码之后，USBKey就会允许对其中的密钥或数字证书进行访问，如果此后黑客利用木马也在用户的计算机上对密钥或数字证书进行访问，用户将无法觉察从而使攻击成功。例如，用户在使用网上银行进行交易后，未能及时将USB Key从计算机上拔出，这时候黑客就可能在用户的计算机上后台执行攻击程序，盗取用户的帐户金额。尽管计算机软件也可能在用户输入PIN后，使用完密钥或者数字证书就发出对USB Key的复位指令以使USB Key恢复到PIN码输入前的状态，但是木马很容易截获这样的复位指令从而使其失效，用计算机软件进行这样的管理是不可靠的。

其它验证方式如指纹验证、虹膜验证等与PIN码验证在面临此类攻击手段时，危险性是等同的。

总而言之，现有的USB Key信息安全装置由于未能对密钥或数字证书的使用进行安全的管理，而是采用验证通过后就赋予访问权限的方法，所以不能抵御后台攻击。

发明内容

本发明提出了一种在信息安全装置中增加密钥使用管理模块的方法，对密钥或者数字证书的使用进行显式的管理。通过将密钥或者数字证书与设定的安全策略相关联，就能够实现对密钥或数字证书使用授权的生命周期管理，强制约束密钥或数字证书的使用授权。

根据本发明的一个方面，提供一种增强密钥使用安全性的信息安全装置，其特征在于，所述信息安全装置为USB Key信息安全装置，所述信息安全装置包括：

密钥使用管理模块，用于对密钥或者数字证书的使用进行管理，所述密钥使用管理模块以固件模块的方式加入到所述信息安全装置中；以及

通讯模块，用于与所述信息安全装置外部的软件进行通讯；

其中，所述密钥使用管理模块通过将密钥或者数字证书与设定的安全策略相关联，强制约束密钥或数字证书的使用授权；

所述密钥使用管理模块对所述安全策略进行解析并强制执行安全策略，所述对安全策略进行解析并强制执行过程全部在所述信息安全装置硬件内完成，不受所述信息安全装置外部的软件干涉。

根据本发明的一个方面，所述安全策略规定密钥或数字证书被使用后，在重新进行授权验证之前是否允许重复使用密钥或数字证书；或者所述安全策略规定密钥或数字证书被使用后进入安全状态；或者所述安全策略规定密钥或者数字证书总共被允许使用的次数。

根据本发明的另一个方面，提供一种通过信息安全装置增强密钥使用安全性的方法，所述信息安全装置为USB Key信息安全装置，

所述信息安全装置中包括：

通讯模块，用于与所述信息安全装置外部的软件进行通讯；

所述密钥使用管理模块对所述安全策略进行解析并强制执行安全策略，所述对安全策略进行解析并强制执行过程全部在所述信息安全装置硬件内完成，不受所述信息安全装置外部的软件干涉；

该方法包括步骤：

(1)所述信息安全装置校验输入的验证信息，获得密钥或数字证书的使用授权；所述验证信息是：PIN码，或者用户提供的其他验证信息，或者挑战/响应方式的验证信息；

(2)所述密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；所述安全策略是静态的安全规定或者是由参量组成的公式，或者是静态的安全规定与由参量组成的公式的结合；

(3)计算机调用所述信息安全装置内部的密钥或数字证书完成信息安全操作；

(4)所述密钥使用管理模块根据所述安全策略设置密钥或数字证书的安全状态。

所述信息安全装置中包括：

通讯模块，用于与所述信息安全装置外部的软件进行通讯；

该方法包括步骤：

(2)计算机调用所述信息安全装置内部的密钥或数字证书完成信息安全操作；

(3)所述密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；所述安全策略是静态的安全规定或者是由参量组成的公式，或者是静态的安全规定与由参量组成的公式的结合；

根据本发明的另一个方面，用户提供的其他验证信息包括生物信息，挑战/响应方式的验证信息是通过执行外部认证进行验证。

根据本发明的另一个方面，对安全策略的解析，还包含对所述公式的运算处理，并根据运算结果执行相关的安全操作。

根据本发明的另一个方面，对密钥或数字证书的使用，可以是密码学运算，也可以是对数字证书的读取、验证或者解析操作。

根据本发明的另一个方面，密码学运算包括利用密钥进行加密、解密、数字签名。

所述的安全策略对密钥或数字证书的使用授权进行规定，约定使用后密钥或数字证书应进入或者保持的安全状态。例如，安全策略可以规定，密钥或数字证书被使用后，在重新进行授权验证之前：是否允许重复使用，如果允许使用那么还可以被使用的次数等。再如，密钥或数字证书被使用后将进入的安全状态，密钥或者数字证书总共被允许使用的次数等。

附图说明

图1为本发明的示意图。

图2为根据本发明的一种实施方式的工作流程图。

具体实施方式

密钥使用管理模块负责对安全策略进行解析并强制执行，这个过程全部在信息安全装置硬件内完成，软件无法进行干涉。其工作步骤为：

A、信息安全装置校验用户输入的验证信息，以获得对特定密钥或数字证书的使用授权；

B、密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；

C、计算机调用信息安全装置内部的密钥或数字证书完成信息安全操作；

D、密钥使用管理模块根据安全策略的要求设置密钥或数字证书的后续安全状态。

上述工作步骤中，步骤B与步骤C的次序可以相互颠倒，而步骤A只要在步骤C之前完成即可。

在步骤A中，所述的验证信息既可以是用户输入的PIN码，也可以是用户提供的其他验证信息，包括生物信息，还可以是挑战/响应方式的验证信息，例如通过执行外部认证进行验证。

步骤B中所述的安全策略，既可以是静态的安全规定，也可以是由一些参量组成的公式，或者二者的结合。对安全策略的解析，还可以包含对所述公式的运算处理，根据运算结果执行相关的安全操作。

步骤C中对密钥或数字证书的使用，可以是利用密钥进行加密、解密、数字签名等密码学运算，也可以是对数字证书的读取、验证或者解析操作。

在步骤D中，对于一些通过改变设备内部的安全状态以满足密钥使用安全要求的情况，所述设置密钥或数字证书后续安全状态也可以是改变设备内部的安全状态以设定密钥或数字证书的后续使用要求。

通过上述步骤后，密钥或者数字证书在使用后可以根据安全状态的设定立刻进入一种受控的状态，避免被黑客攻击和非法使用。

下面结合附图对本发明的具体实施例进行详细描述。

本实施例在深思洛克公司的MiKey信息安全装置中增加一个密钥使用管理模块，模块以固件模块的方式被加入。

MiKey的主要功能是利用其内部的RSA密钥进行加密、解密和数字签名运算。基于这些密码学运算，MiKey提供标准的CSP或PKCS#11等标准接口函数库，为网上银行等安全应用提供服务。

在原有的产品中，MiKey在用户输入一个PIN码后就可以获得对特定密钥的使用授权。如果解除这种授权，必须从外部发起改变密钥的安全状态，例如，对设备进行复位操作、发送改变当前目录的命令等，而这些操作在攻击程序如木马的干扰下都可能不成功。

本实施例中，将密钥与一个安全策略相关联，安全策略的内容是在使用后立即将设备的安全状态重置，如果需要再次使用密钥，就必须重新进行PIN码验证。参考图2，其工作流程为：

步骤101：计算机选择将要使用的密钥Ka；

步骤102：用户通过计算机输入获得该密钥Ka使用授权的PIN码，设备将内部的安全状态设置为密钥Ka可用；

步骤103：密钥使用管理模块读取密钥Ka的安全策略，解析得到其安全策略为使用后立即将设备安全状况重置；

步骤104：计算机调用Ka的安全功能，在设备内部进行数字签名运算；

步骤105：密钥使用管理模块重置设备的安全状态，使得Ka不可用。

本实施例中所使用的安全策略是最简单的一种，实际上安全策略可以非常灵活和复杂。例如，一种常用的安全策略可以是限定密钥被使用的次数，此时设备内部将保存一个使用计数值，每次使用密钥Ka后密钥使用管理模块就增加使用计数值，当超过使用条件后就禁止密钥被继续使用。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims

1.一种通过信息安全装置增强密钥使用安全性的方法，所述信息安全装置为USB Key信息安全装置，其特征在于，

所述信息安全装置中包括：

通讯模块，用于与所述信息安全装置外部的软件进行通讯；

其中，所述密钥使用管理模块，将密钥或者数字证书与设定的安全策略相关联，强制约束密钥或数字证书的使用授权；所述安全策略对密钥或数字证书的使用授权进行规定，约定使用后密钥或数字证书进入或者保持的安全状态；

所述密钥使用管理模块对所述安全策略进行解析并强制执行所述安全策略，所述对安全策略进行解析并强制执行过程全部在所述信息安全装置硬件内完成，不受所述信息安全装置外部的软件干涉；该方法包括步骤：

(1)所述信息安全装置校验输入的验证信息，获得密钥或数字证书的使用授权；所述验证信息是：用户提供的其他验证信息，或者挑战/响应方式的验证信息；其中，用户提供的其他验证信息包括生物信息，挑战/响应方式的验证信息是通过执行外部认证进行验证；

(2)所述密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；所述安全策略是静态的安全规定与由参量组成的公式的结合；其中，对安全策略的解析，还包含对所述公式的运算处理，并根据运算结果执行相关的安全操作；

2.一种通过信息安全装置增强密钥使用安全性的方法，所述信息安全装置为USB Key信息安全装置，其特征在于，

所述信息安全装置中包括：

通讯模块，用于与所述信息安全装置外部的软件进行通讯；

(3)所述密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；所述安全策略是静态的安全规定与由参量组成的公式的结合；其中，对安全策略的解析，还包含对所述公式的运算处理，并根据运算结果执行相关的安全操作；

3.根据权利要求1或2所述的方法，其特征在于，对密钥或数字证书的使用，是密码学运算，或是对数字证书的读取、验证或者解析操作。

4.根据权利要求3所述的方法，其特征在于，密码学运算包括利用密钥进行加密、解密、数字签名。