CN102270285A - 密钥授权信息管理方法及装置 - Google Patents

密钥授权信息管理方法及装置 Download PDF

Info

Publication number
CN102270285A
CN102270285A CN2010101924992A CN201010192499A CN102270285A CN 102270285 A CN102270285 A CN 102270285A CN 2010101924992 A CN2010101924992 A CN 2010101924992A CN 201010192499 A CN201010192499 A CN 201010192499A CN 102270285 A CN102270285 A CN 102270285A
Authority
CN
China
Prior art keywords
key
timestamp
certificate
authorization value
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2010101924992A
Other languages
English (en)
Other versions
CN102270285B (zh
Inventor
郎风华
尹瀚
宋成
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN2010101924992A priority Critical patent/CN102270285B/zh
Priority to PCT/CN2010/080294 priority patent/WO2011150650A1/zh
Publication of CN102270285A publication Critical patent/CN102270285A/zh
Application granted granted Critical
Publication of CN102270285B publication Critical patent/CN102270285B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明实施例提供了一种密钥授权信息管理方法及装置，其中，密钥授权信息管理方法包括如下步骤：判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。本发明实施例在检测授权值的同时也对密钥的时间戳进行检测，使得攻击者即使复制了原来的密钥存储模块并获取了修改之前的授权值，也会因密钥时间戳的不同而无法使用密钥，从而增强了密钥使用的安全性。

Description

密钥授权信息管理方法及装置
技术领域
本发明涉及加密技术领域，特别涉及一种密钥授权信息管理方法及装置。
背景技术
可信平台模块(Trusted Platform Module，TPM)是一种植于计算机内部为计算机提供可信根的芯片，TPM内部集成了CPU核、RAM、ROM、Flash加密算法、协处理器、随机数生成器等模块。
TPM实际上是一个含有密码运算部件和存储部件的小型片上系统。数据存储在TPM内部的存储单元比存储在PC机上和服务器等其他存储单元里面更加可靠，任何器件都不可能直接对TPM进行写入。
TPM会生成很多密钥，每个密钥对应一个授权值。但是，由于TPM内部存储空间有限，不可能将所有的密钥都存储在TPM内部，所以将存储根密钥(Storage Root Key，SRK)及其授权值保存在TPM内部的存储区中，而将其他密钥及其授权值以加密的形式存储在外部的密钥存储模块中。当需要修改一个密钥的授权值时，先将密钥存储模块加载到TPM中进行解密，然后调用密钥授权值更新协议，根据用户输入的旧的授权值，确认是否有权限操作该密钥，如果是，则将用户输入的新的授权值替换旧的授权值并保存到密钥存储模块中。TPM在判断用户是否有权使用密钥时，先将密钥存储模块加载到TPM中进行解密，从中取出授权值，再与用户输入的授权值进行比较，如果两者相同，则表示用户有权使用密钥，否则，用户无权使用密钥。
发明人在实现本发明的过程中，发现现有技术至少存在如下缺点：
从上述过程可以看出，判断用户是否有权限使用密钥关键看用户输入的密钥的授权值是否正确，如果攻击者先前知道了授权值并复制了密钥存储模块，那么即使用户后续修改了密钥存储模块中的授权值，攻击者也可以通过使TPM加载修改之前的密钥存储模块，并根据先前的授权值来使用密钥，从而造成密钥被非法使用。
发明内容
本发明实施例提供一种密钥授权信息管理方法及装置，能够防止密钥被非法使用。
其中，一种密钥授权信息管理方法包括：
判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；
判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；
当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
其中，一种密钥授权信息管理装置包括：
授权值判断模块，用于判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；
时间戳判断模块，用于判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同；所述时间戳证书存储于时间戳证书模块，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；
密钥使用确定模块，用于当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
本发明实施例在用户请求使用密钥时，需要判断用户输入的授权值与密钥存储模块中保存的授权值是否相同，和判断密钥存储模块中保存的时间戳与时间戳证书中的时间戳是否相同；如果两个判断结果都为是，才确定该用户有权使用密钥，这样，因为时间戳证书中的时间戳表示用户最后一次指定密钥的授权值的时间，如果用户修改过授权值，则该时间戳证书中的时间戳为用户最后一次修改授权值的时间，所以即使攻击者复制了原来的密钥存储模块(即授权值修改之前的密钥存储模块)并获取了修改之前的授权值，由于原来的密钥存储模块中的时间戳与时间戳证书中的时间戳不同，所以也无法使用密钥，防止密钥被非法使用。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一实施例提供的密钥授权信息管理方法流程图；
图2是本发明一实施例提供的生成密钥的时间戳证书的方法流程图；
图3是本发明另一实施例提供的生成密钥的时间戳证书的方法流程图；
图4是本发明实施例提供的确定密钥使用权利的方法流程图；
图5A是本发明实施例提供的一种密钥授权信息管理装置结构图；
图5B是本发明实施例提供的另一种密钥授权信息管理装置结构图。
具体实施方式
参阅图1，本发明一实施例提供一种密钥授权信息管理方法，该方法包括：
101、判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同。
102、判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间。
具体的，如果用户在生成密钥时输入授权值之后没有修改密钥的授权值，则该时间戳证书中的时间戳为用户首次输入授权值的时间；如果用户修改过密钥的授权值，则该时间戳证书中的时间戳为用户最后一次修改授权值的时间。
其中，所述时间戳证书包括：所述时间戳、密钥标识和数字签名；所述数字签名为利用证明身份密钥(Attestation Identity Key，AIK)对所述时间戳和密钥标识的签名。
其中，密钥标识是密钥的唯一标识性信息，比如密钥句柄或者密钥的通用唯一识别码(Universally Unique Identifier，UUID)等；本发明各实施例中的时间戳可以是TPM内置的单调计数器的值。本发明各实施例中的密钥存储模块为TPM外部的数据块。
为了保证该步骤所使用的时间戳证书的合法性，该步骤还包括：根据所述密钥的时间戳证书中的数字签名验证所述密钥的时间戳证书是否合法，如果是，再执行判断所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同的步骤。
103、当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
本发明实施例中，在如下两种情况下，需要获取时间戳：
第一种情况：接收到用户输入的密钥生成请求指令时，生成密钥，并获取用户输入的授权值，获取计数器的当前值作为第一时间戳，将需要存储到密钥存储模块中且需要加密的信息加密后保存到所述密钥存储模块中；并对所述第一时间戳和密钥标识签名，生成时间戳证书。其中，所述需要存储到密钥存储模块中且需要加密的信息包括所述第一时间戳和授权值，该需要加密的信息还包括密钥中的私钥和其他一些信息。
第二种情况：接收到用户输入的授权值更改指令时，获取计数器的当前值作为第二时间戳，用所述第二时间戳替换所述密钥存储模块中所述密钥已有的时间戳，用用户输入的新的授权值替换所述密钥存储模块中所述密钥已有的授权值；并对所述第二时间戳和密钥标识签名，生成新的时间戳证书，用所述新的时间戳证书替换所述密钥原来的时间戳证书。
本发明实施例在用户请求使用密钥时，需要判断用户输入的授权值与密钥存储模块中保存的该密钥的授权值是否相同，和判断密钥存储模块中保存的该密钥的时间戳与该密钥的时间戳证书中的时间戳是否相同，如果两个判断结果都为是，才确定该用户有权使用密钥，这样，因为时间戳证书中的时间戳表示用户最后一次修改密钥的授权值的时间，所以即使攻击者复制了原来的密钥存储模块(即授权值修改之前的密钥存储模块)并获取了修改之前的授权值，由于原来的密钥存储模块中的该密钥的时间戳与该密钥的时间戳证书中的时间戳不同，所以无法使用密钥，防止密钥被非法使用。
为了更清楚地对本发明实施例技术方案进行说明，下面以基于TPM平台为例，分三个阶段对本发明提供的密钥授权信息管理方法进行详细介绍：
第一阶段：生成密钥阶段，在该阶段中，在生成密钥的同时添加时间戳到密钥存储模块，并根据添加的时间戳生成时间戳证书，参阅图2，该阶段具体包括：
201、接收到用户输入的密钥生成请求指令。
当用户想要生成密钥时，接收到用户输入的密钥生成请求指令。
202、根据密钥生成请求指令生成密钥，并获取用户输入的该密钥的授权值。
具体的，可以根据密钥生成请求指令TPM中的密钥生成命令TPM_CreateKey，生成密钥。其中，该步骤中生成的密钥包括公钥和私钥。
203、获取内置的单调计数器的值为第一时间戳。
具体的，可以调用TPM_ReadCounter命令(该命令为计数器读取命令)，获取内置的单调计数器的值。
204、将需要存储到密钥存储模块中且需要加密的信息进行加密，得到加密信息，将加密信息和公开信息保存到密钥存储模块中。
其中，需要存储到密钥存储模块中且需要加密的信息包括第一时间戳、授权值、私钥和其他信息。公开信息包括：公钥、密钥标识和其他信息。
其中，密钥存储模块包括多个密钥数据块，每个密钥数据块用于存储一个密钥的加密信息和公开信息。该步骤就是将加密信息和公开信息保存到密钥存储模块中的一个密钥数据块中。
205、对第一时间戳和密钥标识进行签名，生成时间戳证书，该时间戳证书包括：第一时间戳、密钥标识和数字签名。
具体的，可以调用TPM内部的AIK对第一时间戳和密钥标识进行签名。
206、将时间戳证书保存到时间戳证书存储模块中。
本发明实施例在生成密钥时，获取时间戳，将时间戳保存到TPM外部的密钥存储模块中，并生成时间戳证书，以便后续用户要使用密钥时，通过将密钥存储模块中的该密钥的时间戳与该密钥的时间戳证书中的时间戳进行比较确定用户是否有权使用密钥。
第二阶段：更改授权值阶段，在该阶段中，在更改授权值的同时生成新的时间戳证书，并用新的时间戳证书替换原来的时间戳证书，参阅图3，该阶段具体包括：
301、接收到用户输入的授权值更改指令。
当用户想更改授权值时，接收到用户输入的授权值更改指令。
302、将密钥存储模块中该密钥对应的密钥数据块加载到TPM中，可以利用密钥数据块中的一些公开信息(如公钥)对加密信息部分进行解密，得到授权值、时间戳等信息。
其中，具体解密方法可以参见现有技术，在此不再赘述。
303、接收用户输入的旧的授权值。
304、判断用户输入的旧的授权值与解密得到的授权值是否相同，如果是，执行步骤305，如果否，结束本流程。
305、确定允许用户修改授权值，接收用户输入的新的授权值。
具体的，可以通过调用TPM中的更改授权值命令TPM_ChangeAuth判断用户输入的旧的授权值与解密得到的授权值是否相同，并接收用户输入的新的授权值。
306、获取内置的单调计数器的值为第二时间戳。
具体的，可以是调用TPM_ReadCounter命令获取内置的单调计数器的值。
307、将需要存储到密钥存储模块且需要加密的信息进行加密，用加密得到的新的加密信息替换密钥存储模块中原来存储的该密钥的加密信息。
其中，需要存储到密钥存储模块且需要加密的信息包括第二时间戳、用户新输入的授权值、私钥和其他信息。
该步骤的具体实现过程可以如下：将新的加密信息和公开信息填充到密钥存储模块中该密钥的密钥数据块中，将该密钥的密钥数据块中原来的加密信息和公开信息覆盖。
308、对第二时间戳和密钥标识进行签名，生成新的时间戳证书，该时间戳证书包括：第二时间戳、密钥标识和数字签名。
具体的，可以利用AIK对第二时间戳和密钥标识进行签名。
309、用该新的时间戳证书替换时间戳证书存储模块中原来存储的该密钥的时间戳证书。
本发明实施例在用户更改授权值时，获取时间戳，并用新的时间戳替换密钥存储模块中原来存储的该密钥的时间戳，并利用新的时间戳生成新的时间戳证书，用新的时间戳证书替换该密钥的原有时间戳证书，以便后续用户要使用密钥时，通过将密钥存储模块中的该密钥的时间戳与该密钥的时间戳证书中的时间戳进行比较确定用户是否有权使用密钥。
第三阶段：确定用户的密钥使用权限阶段，在该阶段中，通过判断用户输入的授权值与密钥存储模块中保存的该密钥的授权值是否相同，和判断密钥存储模块中保存的该密钥的时间戳与该密钥的时间戳证书中的时间戳是否相同来决定用户是否有权使用密钥，参阅图4，该阶段具体包括：
401、接收到用户输入的密钥使用请求指令。
当用户想使用密钥时，接收到用户输入的密钥使用请求指令。
402、将密钥存储模块中该密钥的密钥数据块加载到TPM中，利用密钥数据块中的一些公开信息(如公钥)对加密信息部分进行解密，得到授权值、时间戳和密钥标识等信息。
其中，具体解密方法可以参见现有技术，在此不再赘述。
403、接收用户输入的密钥的授权值。
404、判断用户输入的密钥的授权值与解密得到的授权值是否相同，如果是，执行步骤405，如果否，执行步骤409。
具体的，可以是通过调用TPM中的更改授权值命令TPM_ChangeAuth判断用户输入的授权值与解密得到的授权值是否相同。
405、根据密钥数据块中的密钥标识，从时间戳证书存储模块中获取该密钥的时间戳证书。
406、判断时间戳证书是否合法，如果是，执行步骤407，如果否，执行步骤409。
具体的，根据时间戳证书中的数字签名判断时间戳证书是否合法。由于AIK是不可迁移的签名密钥，凡是经过AIK签名的数据，都表明已经过TPM的处理，即表明是合法的。
407、判断密钥存储模块中的该密钥的时间戳与该密钥的时间戳证书中的时间戳是否相同，如果是，执行步骤408，如果否，执行步骤409。
具体的，判断步骤401解密得到的时间戳与该密钥的时间戳证书中的时间戳是否相同。
408、确定用户有权使用密钥，操作密钥，结束本流程。
409、确定用户没有权利使用密钥，提示错误信息。
需要说明的是，所述步骤406判断时间戳证书是否合法的位置并不固定，例如，也可以在判断时间戳是否相同后再判断时间戳证书是否合法，具体可以根据实际情况进行调整(如根据两者处理复杂度、消耗时间，先执行容易实现或消耗时间少的步骤)，在此并不限定。
本发明实施例在用户请求使用密钥时，需要判断用户输入的授权值与密钥存储模块中保存的该密钥的授权值是否相同，判断时间戳证书是否合法，和判断密钥存储模块中保存的该密钥的时间戳与该密钥的时间戳证书中的时间戳是否相同；如果三个判断结果都为是，才确定该用户有权使用密钥，这样，因为时间戳证书中的时间戳表示用户最后一次修改密钥的授权值的时间，所以即使攻击者复制了原来的密钥存储模块(即授权值修改之前的密钥存储模块)并获取了修改之前的授权值，由于原来的密钥存储模块中的该密钥的时间戳与时间戳证书中的时间戳不同，所以也无法使用密钥，防止密钥被非法使用。
参见图5A，本发明实施例提供了一种密钥授权信息管理装置，包括：
授权值判断模块501，用于判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；
时间戳判断模块502，用于判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；
密钥使用确定模块503，用于当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
具体的，参见图5B，本发明实施例还包括：
时间戳证书验证模块504、加解密模块505、接收处理模块506以及时间戳管理模块507。
本发明实施例中，各模块可以基于TPM平台或具有类似硬件架构的系统实现。以基于TPM平台实现为例，在本发明实施例中时间戳证书存储于时间戳证书存储模块，时间戳证书存储模块以及密钥存储模块均存储于独立于TPM平台的外部存储器(如以文件的形式存储于系统硬盘当中)。
其中，密钥存储模块包括一个或多个密钥数据块，每个密钥数据块包括加密信息和公开信息。加密信息包括授权值、私钥、时间戳和其他信息，公开信息包括：密钥标识、公钥和其他信息。
其中，时间戳证书存储模块包括一个或多个时间戳证书，其中，每个时间戳证书包括密钥标识、数字签名和时间戳。这里的数字签名可以是利用证明身份密钥AIK对所述时间戳和密钥标识的签名。
本发明实施例中，时间戳证书验证模块504，用于根据用户请求使用的密钥的时间戳证书中的数字签名验证所述密钥的时间戳证书是否合法。具体的，时间戳证书验证模块504可以在授权值判断模块501的判断结果为是时根据所述密钥的时间戳证书中的数字签名验证所述密钥的时间戳证书是否合法；如果合法，则再通过时间戳判断模块502对时间戳进行判断，最后通过密钥使用确定模块503确定用户是否有权使用密钥；如果不合法，则密钥使用确定模块503直接确定用户无权使用密钥。
需要说明的是，时间戳证书验证模块504的位置并不固定，在具体实现中，也可以先通过时间戳判断模块502对时间戳进行判断，再通过时间戳证书验证模块504验证时间戳证书的合法性，可以根据实际情况进行调整(如根据两者处理复杂度、消耗时间，先执行容易实现或消耗时间少的步骤)，在此并不限定。
为了在密钥生成时获取时间戳并生成时间戳证书，本发明实施例中：
接收处理模块506，用于接收用户输入的密钥生成请求指令，并接收用户输入的密钥的授权值；
时间戳管理模块507，用于在接收到密钥生成请求指令后，将计数器的当前值作为第一时间戳；例如，当本发明实施例基于TPM平台时，可以使用TPM内部的单调计数器的值来作为第一时间戳；
加解密模块505，用于将需要存储到密钥存储模块中且需要加密的信息加密，将得到的加密信息保存到所述密钥存储模块中，其中，所述需要存储到密钥存储模块中且需要加密的信息包括所述第一时间戳和授权值，还包括私钥和其他信息；
时间戳管理模块507，还用于对所述第一时间戳和密钥标识签名，生成时间戳证书，将所述时间戳证书存储到所述时间戳证书存储模块中。
为了在修改授权值时获取时间戳并生成时间戳证书，本发明实施例中，
接收处理模块506，还用于接收用户输入的授权值更改指令，并接收用户输入的密钥的新授权值；
时间戳管理模块507，还用于在接收到授权值更改指令后，获取计数器的当前值作为第二时间戳；
加解密模块505，还用于将需要存储到密钥存储模块中且需要加密的信息进行加密，用加密后得到的新的加密信息替换所述密钥存储模块中已有的所述密钥的加密信息，其中，所述需要存储到密钥存储模块中且需要加密的信息包括所述第二时间戳和所述新授权值，还包括私钥和其他信息；
时间戳管理模块507，还用于对所述第二时间戳和密钥标识签名，生成新的时间戳证书，将所述新的时间戳证书替换所述时间戳证书存储模块中已有的所述密钥的时间戳证书。
需要说明的是，上述加解密模块505除了用于加密外，也用于将密钥存储模块中加密信息进行解密。例如，在通过接收处理模块收到相关用户指令后，对获得的密钥数据块中的数据进行解密，得到授权值及时间戳等信息，以供授权值判断模块以及时间戳管理模块使用。
本发明实施例在用户请求使用密钥时，需要判断用户输入的授权值与密钥存储模块中保存的该密钥的授权值是否相同，和判断密钥存储模块中保存的该密钥的时间戳与该密钥的时间戳证书中的时间戳是否相同；如果两个判断结果都为是，才确定该用户有权使用密钥，这样，因为时间戳证书中的时间戳表示用户最后一次修改密钥的授权值的时间，所以即使攻击者复制了原来的密钥存储模块(即授权值修改之前的密钥存储模块)并获取了修改之前的授权值，由于原来的密钥存储模块中该密钥的时间戳与该密钥的时间戳证书中的时间戳不同，所以也无法使用密钥，防止密钥被非法使用。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，例如只读存储器，磁盘或光盘等。
以上对本发明实施例所提供的密钥授权信息管理方法及装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种密钥授权信息管理方法，其特征在于，包括：
判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；
判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；
当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
2.根据权利要求1所述的方法，其特征在于：
所述时间戳证书包括：时间戳、密钥标识和数字签名；所述数字签名为利用证明身份密钥AIK对所述时间戳和密钥标识的签名。
3.根据权利要求1所述的方法，其特征在于，还包括：
根据所述密钥的时间戳证书中的数字签名验证所述密钥的时间戳证书是否合法，如果是，判断所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同。
4.根据权利要求1-3任一项所述的方法，其特征在于，该方法还包括：
接收到用户输入的密钥生成请求指令时，生成密钥，并获取用户输入的授权值，获取计数器的当前值作为第一时间戳，将需要存储到密钥存储模块中且需要加密的信息加密后保存到所述密钥存储模块中；其中，所述需要存储到密钥存储模块中且需要加密的信息包括所述第一时间戳和授权值；
对所述第一时间戳和密钥标识签名，生成时间戳证书。
5.根据权利要求1-3任一项所述的方法，其特征在于，该方法还包括：
接收到用户输入的授权值更改指令时，获取计数器的当前值作为第二时间戳，接收用户输入的新授权值，用所述第二时间戳替换所述密钥存储模块中所述密钥已有的时间戳，用所述新授权值替换所述密钥存储模块中所述密钥已有的授权值；
对所述第二时间戳和密钥标识签名，生成新的时间戳证书，用所述新的时间戳证书替换所述密钥原来的时间戳证书。
6.一种密钥授权信息管理装置，其特征在于，包括：
授权值判断模块，用于判断用户请求使用的密钥的授权值与密钥存储模块中所述密钥的授权值是否相同；
时间戳判断模块，用于判断密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳是否相同；所述时间戳证书存储于时间戳证书模块，所述时间戳证书中的时间戳表示用户最后一次指定密钥授权值的时间；
密钥使用确定模块，用于当所述用户请求使用的密钥的授权值与所述密钥存储模块中所述密钥的授权值相同，且所述密钥存储模块中所述密钥的时间戳与所述密钥的时间戳证书中的时间戳相同时，确定用户有权使用密钥。
7.根据权利要求6所述的装置，其特征在于：
所述时间戳证书包括：时间戳、密钥标识和数字签名；所述数字签名为利用证明身份密钥AIK对所述时间戳和密钥标识的签名。
8.根据权利要求6所述的装置，其特征在于，还包括：
时间戳证书验证模块，用于根据所述密钥的时间戳证书中的数字签名验证所述密钥的时间戳证书是否合法；
所述时间戳判断模块，用于在时间戳证书验证模块的验证结果为所述密钥的时间戳证书合法时，判断密钥存储模块中所述密钥的时间戳与时间戳证书存储模块中所述密钥的时间戳证书中的时间戳是否相同。
9.根据权利要求6-8任一项所述的装置，其特征在于，还包括：
接收处理模块，用于接收用户输入的密钥生成请求指令，并接收用户输入的密钥的授权值；
时间戳管理模块，用于在接收到密钥生成请求指令后，将计数器的当前值作为第一时间戳；
加解密模块，用于将需要存储到密钥存储模块中且需要加密的信息加密，将得到的加密信息保存到所述密钥存储模块中；
所述时间戳管理模块，还用于对所述第一时间戳和密钥标识签名，生成时间戳证书，将所述时间戳证书存储到所述时间戳证书存储模块中。
10.根据权利要求9所述的装置，其特征在于：
所述接收处理模块，还用于接收用户输入的授权值更改指令，并接收用户输入的密钥的新授权值；
所述时间戳管理模块，还用于在接收到授权值更改指令后，获取计数器的当前值作为第二时间戳；
所述加解密模块，还用于将需要存储到密钥存储模块中且需要加密的信息进行加密，用加密后得到的新的加密信息替换所述密钥存储模块中已有的所述密钥的加密信息；
所述时间戳管理模块，还用于对所述第二时间戳和密钥标识签名，生成新的时间戳证书，将所述新的时间戳证书替换所述时间戳证书存储模块中已有的所述密钥的时间戳证书。
CN2010101924992A 2010-06-01 2010-06-01 密钥授权信息管理方法及装置 Expired - Fee Related CN102270285B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN2010101924992A CN102270285B (zh) 2010-06-01 2010-06-01 密钥授权信息管理方法及装置
PCT/CN2010/080294 WO2011150650A1 (zh) 2010-06-01 2010-12-27 密钥授权信息管理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2010101924992A CN102270285B (zh) 2010-06-01 2010-06-01 密钥授权信息管理方法及装置

Publications (2)

Publication Number Publication Date
CN102270285A true CN102270285A (zh) 2011-12-07
CN102270285B CN102270285B (zh) 2013-12-04

Family

ID=45052588

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2010101924992A Expired - Fee Related CN102270285B (zh) 2010-06-01 2010-06-01 密钥授权信息管理方法及装置

Country Status (2)

Country Link
CN (1) CN102270285B (zh)
WO (1) WO2011150650A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102957704A (zh) * 2012-11-09 2013-03-06 北京神州绿盟信息安全科技股份有限公司 一种确定mitm攻击的方法、装置及系统
CN106529949A (zh) * 2016-11-07 2017-03-22 飞天诚信科技股份有限公司 一种安全支付设备及方法
CN107103214A (zh) * 2017-04-06 2017-08-29 海信集团有限公司 一种应用于Android系统的应用程序反调试方法及装置
CN107959567A (zh) * 2016-10-14 2018-04-24 阿里巴巴集团控股有限公司 数据存储方法、数据获取方法、装置及系统
CN108369626A (zh) * 2015-12-21 2018-08-03 惠普发展公司，有限责任合伙企业 密钥生成信息树
US20210042043A1 (en) * 2018-03-14 2021-02-11 Ledger, Sas Secure Data Processing

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101005699A (zh) * 2006-01-22 2007-07-25 华为技术有限公司 管理终端开放平台权限信息的方法和系统
CN101039186A (zh) * 2007-05-08 2007-09-19 中国科学院软件研究所 系统日志的安全审计方法
CN101202631A (zh) * 2007-12-21 2008-06-18 任少华 基于密钥和时间戳的身份认证系统和方法
US20090217058A1 (en) * 2008-02-27 2009-08-27 Spansion Llc Secure data transfer after authentication between memory and a requester

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100539500C (zh) * 2006-07-21 2009-09-09 胡祥义 一种安全高效网络用户身份鉴别的方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101005699A (zh) * 2006-01-22 2007-07-25 华为技术有限公司 管理终端开放平台权限信息的方法和系统
CN101039186A (zh) * 2007-05-08 2007-09-19 中国科学院软件研究所 系统日志的安全审计方法
CN101202631A (zh) * 2007-12-21 2008-06-18 任少华 基于密钥和时间戳的身份认证系统和方法
US20090217058A1 (en) * 2008-02-27 2009-08-27 Spansion Llc Secure data transfer after authentication between memory and a requester

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102957704A (zh) * 2012-11-09 2013-03-06 北京神州绿盟信息安全科技股份有限公司 一种确定mitm攻击的方法、装置及系统
CN102957704B (zh) * 2012-11-09 2016-02-24 北京神州绿盟信息安全科技股份有限公司 一种确定mitm攻击的方法、装置及系统
CN108369626A (zh) * 2015-12-21 2018-08-03 惠普发展公司，有限责任合伙企业 密钥生成信息树
CN107959567A (zh) * 2016-10-14 2018-04-24 阿里巴巴集团控股有限公司 数据存储方法、数据获取方法、装置及系统
CN107959567B (zh) * 2016-10-14 2021-07-27 阿里巴巴集团控股有限公司 数据存储方法、数据获取方法、装置及系统
CN106529949A (zh) * 2016-11-07 2017-03-22 飞天诚信科技股份有限公司 一种安全支付设备及方法
CN107103214A (zh) * 2017-04-06 2017-08-29 海信集团有限公司 一种应用于Android系统的应用程序反调试方法及装置
CN107103214B (zh) * 2017-04-06 2019-12-10 海信集团有限公司 一种应用于Android系统的应用程序反调试方法及装置
US20210042043A1 (en) * 2018-03-14 2021-02-11 Ledger, Sas Secure Data Processing
US11822795B2 (en) * 2018-03-14 2023-11-21 Ledger, Sas Secure data processing

Also Published As

Publication number Publication date
WO2011150650A1 (zh) 2011-12-08
CN102270285B (zh) 2013-12-04

Similar Documents

Publication Publication Date Title
CN110474898B (zh) 数据加解密和密钥分布方法、装置、设备及可读存储介质
US11184164B2 (en) Secure crypto system attributes
CN109886040B (zh) 数据处理方法、装置、存储介质及处理器
KR101010040B1 (ko) 파일의 암호화·복호화 방법, 장치, 프로그램 및 이프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
CN106571951B (zh) 审计日志获取方法、系统及装置
EP2989741B1 (en) Generation of working security key based on security parameters
CN110287654B (zh) 使用硬件信任根的媒体客户端装置鉴权
EP3732821B1 (en) Secure provisioning of keys
CN105450620A (zh) 一种信息处理方法及装置
CN108471403B (zh) 一种账户迁移的方法、装置、终端设备及存储介质
CN102270285B (zh) 密钥授权信息管理方法及装置
CN106055936A (zh) 可执行程序数据包加密/解密方法及装置
JP2010514000A (ja) 電子装置にプログラム状態データをセキュアに記憶するための方法
US7805616B1 (en) Generating and interpreting secure and system dependent software license keys
CN109478214A (zh) 用于证书注册的装置和方法
US20180196965A1 (en) System and method for authenticating and IP licensing of hardware modules
CN114692218A (zh) 一种面向个人用户的电子签章方法、设备和系统
CN100437422C (zh) 软件使用权加密保护的系统和方法
CN113468545A (zh) 文件加解密方法、装置及系统
CN107070648B (zh) 一种密钥保护方法及pki系统
CN115801232A (zh) 一种私钥保护方法、装置、设备及存储介质
CN108242997B (zh) 安全通信的方法与设备
CN115766192A (zh) 基于ukey的离线安全认证方法、装置、设备及介质
CN101661573A (zh) 电子印章制章方法和电子印章使用方法
CN110210189B (zh) 软件验证方法、软硬件绑定方法及其可编程器件

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20131204

Termination date: 20180601