CN101621375A

CN101621375A - 密钥管理方法、装置及系统

Info

Publication number: CN101621375A
Application number: CN200910089933A
Authority: CN
Inventors: 游俊; 杨华镝
Original assignee: Huawei Symantec Technologies Co Ltd
Current assignee: Huawei Digital Technologies Chengdu Co Ltd
Priority date: 2009-07-28
Filing date: 2009-07-28
Publication date: 2010-01-06

Abstract

本发明实施例公开了一种密钥管理方法、装置及系统。该方法包括：对密钥进行预处理，得到N－D个密钥段，所述N－D为不小于门限值M，且小于2*M－1的自然数，所述门限值M为还原所述密钥的最小密钥段的个数，且所述M为大于1的自然数；将N－D个所述密钥段中的S个发送到密钥管理服务器，其中，所述S为小于M的自然数，且N－D－S为小于M的自然数；存储未发送的N－D－S个所述密钥段。该装置包括：预处理模块、发送模块和存储模块。该系统包括：客户端和密钥管理服务器。本发明实施例通过将密钥进行分割后再进行上载和申请，使得密钥的安全不依赖于SSL链路，有效地提高了密钥的安全性。

Description

密钥管理方法、装置及系统

技术领域

本发明涉及通信领域，特别涉及一种密钥管理方法、装置及系统。

背景技术

在通信系统中，对欲保护的数据进行加密一直都是保证数据安全的最直接的手段。现有的加密算法在理论上已经保证了数据的安全，也就是说从理论上计算，加密算法在有限的时间内不能被攻破，并且飞速发展的计算机技术也使加解密运算的速度极大地提高了。当下，如何对密钥进行有效的管理成了一个亟待解决的问题。特别是在需要管理的密钥量比较大的情况下，如何保证密钥的正确分发、密钥传输安全、密钥恢复等成了现有密钥管理技术的重点研究领域。

在现有的密钥管理系统中，密钥由密钥管理服务器中的密码机产生，并备份在备份服务器中。密钥管理服务器和备份服务器都放置在物理上比较安全的地方。当客户端需要密钥时，通过安全套接层(Secure SocketLayer；以下简称：SSL)链路向密钥管理服务器发出请求。密钥管理服务器利用非对称密钥的公钥对下发的密钥进行加密，并通过SSL链路回传给客户端；客户端利用对应的私钥解密得到所需的密钥。客户端在完成对数据的加解密操作后销毁该密钥，从而完成整个密钥的传输和使用过程。

但是，根据最近的研究表明，SSL并不是非常安全的，目前国际标准组织正在研究新的安全协议，以取代SSL，而现有的密钥管理系统中密钥的安全过分依赖于SSL链路，使得密钥的安全性很低。

发明内容

本发明实施例提供了一种密钥管理方法、装置及系统，以克服现有密钥管理系统中密钥的安全过分依赖SSL链路的问题，提高密钥的安全性。

本发明实施例提供了一种密钥管理方法，包括：

对密钥进行预处理，得到N-D个密钥段，所述N-D为不小于门限值M，且小于2*M-1的自然数，所述门限值M为还原所述密钥的最小密钥段的个数，且所述M为大于1的自然数；

将N-D个所述密钥段中的S个发送到密钥管理服务器，其中，所述S为小于M的自然数，且N-D-S为小于M的自然数；

存储未发送的N-D-S个所述密钥段。

本发明实施例提供了一种密钥管理装置，包括：

预处理模块，用于对密钥进行预处理，得到N-D个密钥段，所述N-D为不小于门限值M，且小于2*M-1的自然数，所述门限值M为还原所述密钥的最小密钥段的个数，且所述M为大于1的自然数；

发送模块，用于将N-D个所述密钥段中的S个发送到密钥管理服务器，其中，所述S为小于M的自然数，且N-D-S为小于M的自然数；

存储模块，用于存储未发送的N-D-S个所述密钥段。

本发明实施例提供了一种密钥管理系统，包括：

客户端，用于对密钥进行预处理，得到N-D个密钥段，所述N-D为不小于门限值M，且小于2*M-1的自然数，所述门限值M为还原所述密钥的最小密钥段的个数，且所述M为大于1的自然数；发送N-D个所述密钥段中的S个，其中，所述S为小于M的自然数，且N-D-S为小于M的自然数；存储未发送的N-D-S个所述密钥段；

密钥管理服务器，用于接收并存储所述客户端发送的S个所述密钥段。

本发明实施例通过提供一种密钥管理方法、装置及系统，将密钥进行分割后再进行上载和申请，使得密钥的安全不依赖于SSL链路，有效地提高了密钥的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明密钥管理方法实施例的应用场景图；

图2为本发明密钥管理方法第一实施例的流程图；

图3为本发明密钥管理方法第二实施例的流程图；

图4为本发明密钥管理装置第一实施例的结构示意图；

图5为本发明密钥管理装置第二实施例的结构示意图；

图6为本发明密钥管理系统第一实施例的系统框图；

图7为本发明密钥管理系统第二实施例的系统框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施方式，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不用于限定本发明。

图1为本发明密钥管理方法实施例的应用场景图，本发明所有方法实施例的应用场景均如图1所示。

图2为本发明密钥管理方法第一实施例的流程图。如图2所示，本发明实施例提供了一种密钥管理方法，包括：

步骤201、对密钥进行预处理，得到N-D个密钥段，N-D为不小于门限值M，且小于2*M-1的自然数，门限值M为还原密钥的最小密钥段的个数，且M为大于1的自然数；

步骤202、将N-D个密钥段中的S个发送到密钥管理服务器，其中，S为小于M的自然数，且N-D-S为小于M的自然数；

步骤203、存储未发送的N-D-S个密钥段。

在本实施例中，上述步骤可以由客户端执行。首先客户端对密钥进行预处理，得到N-D个密钥段，且需满足M≤N-D＜2M-1，其中，门限值M为还原该密钥所需的最小密钥段的个数，且M为大于1的自然数，即，在N-D个密钥段中，任意选取至少M个密钥段就可还原出该密钥。然后随机将这N-D个密钥段分成两部分，第一部分为S个密钥段，发送到密钥管理服务器进行存储，需满足S＜M，客户端可以通过SSL链路或者其它普通链路与密钥管理服务器进行通信；第二部分为N-D-S个密钥段，存储在客户端中，需满足N-D-S＜M。当客户端需要用到该密钥时，仅需向密钥管理服务器发送请求，以获得密钥管理服务器存储的第一部分S个密钥段，将其与客户端本身存储的第二部分N-D-S个密钥段相结合，即能够还原出所需的密钥。M≤N-D是为了使得第一部分和第二部分密钥段结合后大于或等于门限值，能够还原出密钥；S＜M是为了使得即使通过攻击链路或密钥管理服务器获得到S个密钥段，也无法还原出密钥；N-D-S＜M是为了使得即使通过攻击客户端获得到N-D-S个密钥段，也无法还原出密钥。

本发明实施例还可以应用于指纹识别系统，客户端获取的指纹信息即为密钥，也可以通过上述方法进行管理，当需要对新的指纹信息进行识别时，客户端将存储在本地的密钥段和存储在密钥管理服务器的密钥段结合起来，可还原出该密钥，也就是还原出已存储的指纹信息，可用于对新的指纹信息进行识别。

本发明实施例通过提供一种密钥管理方法，将密钥进行分割后再进行上载和申请，使得密钥的安全不依赖于SSL链路，有效地提高了密钥的安全性。

图3为本发明密钥管理方法第二实施例的流程图。如图3所示，在上述方法第一实施例的基础上，步骤201可以包括：

步骤301、通过密钥分割算法对密钥进行分割处理，得到N个密钥段，N为不小于门限值M的自然数，门限值M为还原密钥的最小密钥段的个数，且M为大于1的自然数；

步骤302、随机删除D个密钥段，使得剩余的密钥段的个数N-D为不小于M，且小于2*M-1的自然数。

在本实施例中，客户端可以通过密钥分割算法对密钥进行分割，得到N个密钥段，且M≤N。然后，为了后续能够将密钥段分成个数均小于门限值的两部分，删除N个密钥段中的D个密钥段，使得M≤N-D＜2M-1。

进一步地，在步骤203之后，还可以包括：

步骤303、对未发送的N-D-S个密钥段进行备份。

客户端可以通过通用串行总线(Universal Serial Bus；以下简称：USB)对未发送的N-D-S个密钥段进行备份，若客户端存储的N-D-S个密钥段丢失，则可以通过USB重新获取这些密钥段，以避免客户端数据丢失引起的密钥无法还原的问题。

另外，在步骤201之前，还可以包括：

步骤304、生成所需的密钥。

在本实施例中，客户端所需的密钥可以由客户端本身的诸如密码卡等设备所生成。

本发明实施例通过提供一种密钥管理方法，将密钥进行分割后再进行上载和申请，有效地提高了密钥的安全性。

图4为本发明密钥管理装置第一实施例的结构示意图。如图4所示，本发明实施例提供了一种密钥管理装置，包括：预处理模块41、发送模块42和存储模块43。其中，预处理模块41用于对密钥进行预处理，得到N-D个密钥段，N-D为不小于门限值M，且小于2*M-1的自然数，门限值M为还原该密钥的最小密钥段的个数，且M为大于1的自然数；发送模块42用于将N-D个密钥段中的S个发送到密钥管理服务器，其中，S为小于M的自然数，且N-D-S为小于M的自然数；存储模块43用于存储未发送的N-D-S个密钥段。

在本实施例中，预处理模块41对密钥进行预处理，得到N-D个密钥段，且需满足M≤N-D＜2M-1，其中，门限值M为还原该密钥所需的最小密钥段的个数，且M为大于1的自然数，即，在N-D个密钥段中，任意选取至少M个密钥段就可还原出该密钥。然后将这N-D个密钥段分成两部分，第一部分为S个密钥段，由发送模块42发送到密钥管理服务器进行存储，需满足S＜M；第二部分为N-D-S个密钥段，存储在存储模块43中，需满足N-D-S＜M。

本发明实施例通过预处理模块对将密钥进行分割后，再通过发送模块进行上载，使得密钥的安全不依赖于SSL链路，有效地提高了密钥的安全性。

图5为本发明密钥管理装置第二实施例的结构示意图。如图5所示，在上述装置第一实施例的基础上，预处理模块41可以包括：分割单元51和删除单元52。其中，分割单元51用于通过密钥分割算法对密钥进行分割处理，得到N个密钥段，N为不小于门限值M的自然数，门限值M为还原该密钥的最小密钥段的个数，且M为大于1的自然数；删除单元52用于随机删除D个密钥段，使得剩余的密钥段的个数N-D为不小于M，且小于2*M-1的自然数。

在本实施例中，分割单元51可以通过密钥分割算法对密钥进行分割，得到N个密钥段，且M≤N。然后，为了后续能够将密钥段分成个数均小于门限值的两部分，删除单元52随机删除N个密钥段中的D个密钥段，使得M≤N-D＜2M-1。

进一步地，本发明实施例提供的密钥管理装置，还可以包括：备份模块53。该备份模块53用于对未发送的N-D-S个密钥段进行备份。

若存储模块43存储的N-D-S个密钥段丢失，则可以通过备份模块53重新获取这些密钥段，以避免存储模块43数据丢失引起的密钥无法还原。

另外，本发明实施例提供的密钥管理装置，还可以包括：密钥生成模块54。该密钥生成模块54用于生成所需的密钥。

在本实施例中，所需的密钥可以由密钥生成模块54所生成，该密钥生成模块54可以为诸如密码卡等设备。

本发明实施例通过备份模块对未发送的密钥段进行备份，以避免存储模块数据丢失引起的密钥无法还原，可以有效地提高了密钥的安全性。

图6为本发明密钥管理系统第一实施例的系统框图。如图6所示，本发明实施例提供了一种密钥管理系统，包括客户端61和密钥管理服务器62。其中，客户端61用于对密钥进行预处理，得到N-D个密钥段，N-D为不小于门限值M，且小于2*M-1的自然数，门限值M为还原该密钥的最小密钥段的个数，且M为大于1的自然数；将N-D个密钥段中的S个发送到密钥管理服务器62，其中，S为小于M的自然数，且N-D-S为小于M的自然数；存储未发送的N-D-S个密钥段。密钥管理服务器62用于接收并存储客户端61发送的S个密钥段。

本发明系统第一实施例中客户端的功能实现如上述装置实施例中的具体描述，在此不再赘述。

本发明实施例通过客户端61对将密钥进行分割后再上载给密钥管理服务器62，使得密钥的安全不依赖于SSL链路，有效地提高了密钥的安全性。

图7为本发明密钥管理系统第二实施例的系统框图。如图7所示，在上述系统第一实施例的基础上，本发明实施例提供的密钥管理系统，还可以包括：备份服务器71。该备份服务器71用于对密钥管理服务器62接收到的S个密钥段进行备份。

在本实施例中，若密钥管理服务器62存储的S个密钥段丢失，则可以通过备份服务器71重新获取这些密钥段，以避免密钥管理服务器62数据丢失引起的密钥无法还原。

本发明实施例通过客户端对将密钥进行分割后再上载给密钥管理服务器，并通过备份服务器对密钥管理服务器接收到的密钥段进行备份，可以有效地提高了密钥的安全性。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行限制，尽管参照较佳实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和范围。

Claims

1、一种密钥管理方法，其特征在于，包括：

存储未发送的N-D-S个所述密钥段。

2、根据权利要求1所述的密钥管理方法，其特征在于，所述对密钥进行预处理，得到N-D个密钥段，所述N-D为不小于门限值M，且小于2*M-1的自然数，所述门限值M为还原所述密钥的最小密钥段的个数，且所述M为大于1的自然数，包括：

通过密钥分割算法对所述密钥进行分割处理，得到N个密钥段，所述N为不小于门限值M的自然数，且所述M为大于1的自然数；

随机删除D个所述密钥段，使得剩余的所述密钥段的个数N-D为不小于M，且小于2*M-1的自然数。

3、根据权利要求1或2所述的密钥管理方法，其特征在于，在所述存储未发送的N-D-S个所述密钥段之后，还包括：

对所述未发送的N-D-S个所述密钥段进行备份。

4、根据权利要求1所述的密钥管理方法，其特征在于，在所述对密钥进行预处理之前，还包括：

生成所需的密钥。

5、一种密钥管理装置，其特征在于，包括：

存储模块，用于存储未发送的N-D-S个所述密钥段。

6、根据权利要求5所述的密钥管理装置，其特征在于，所述预处理模块包括：

分割单元，用于通过密钥分割算法对所述密钥进行分割处理，得到N个密钥段，所述N为不小于门限值M的自然数；

删除单元，用于随机删除D个所述密钥段，使得剩余的所述密钥段的个数N-D为不小于M，且小于2*M-1的自然数。

7、根据权利要求5或6所述的密钥管理装置，其特征在于，还包括：

备份模块，用于对所述未发送的N-D-S个所述密钥段进行备份。

8、根据权利要求5所述的密钥管理装置，其特征在于，还包括：

密钥生成模块，用于生成所需的密钥。

9、一种密钥管理系统，其特征在于，包括：

10、根据权利要求9所述的密钥管理系统，其特征在于，还包括：

备份服务器，用于对所述密钥管理服务器接收到的S个所述密钥段进行备份。