CN104660397A - 密钥管理方法及系统 - Google Patents

Abstract

本发明提供一种密钥管理方法及系统，该密钥管理方法包括步骤：接收用户特征信息以及密钥生成请求；采集设备的设备特征信息；根据用户特征信息以及设备特征信息，使用预定算法动态生成密钥对；以及在相应的CA认证中心对动态密钥对中的公钥进行认证后，使用动态密钥对进行密钥相关操作。本发明还包括一种密钥管理系统。本发明的密钥管理方法及系统根据用户输入的用户特征信息实时动态生成密钥对，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。

Description

密钥管理方法及系统

技术领域

本发明涉及软件管理领域，更具体地说，涉及一种密钥管理方法及系统。

背景技术

在密钥体制中，密钥信息的安全性决定了整个通信和认证过程可靠性，有效的密钥管理方法对密钥信息的安全性提供有力的保障。现有的密钥管理系统一般采用以下几种方法对非对称密钥中的私钥进行安全保护：

一、非对称密钥的私钥存储在操作系统的证书库或者存储在文件系统上，没有使用任何安全的方式对私钥进行保护；在需要进行密码运算时，直接使用私钥进行相关的操作。

二、非对称密钥的私钥存储在操作系统的证书库或者存储在文件系统上，使用口令对私钥进行保护；在需要进行密码运算时，用户提供口令，并在验证口令成功后，才可以使用私钥进行相关的操作。

三、非对称密钥的私钥存储在硬件介质（例如：智能密码钥匙、SIM卡等）的安全芯片中，在需要进行运算时，用户提供PIN码，并在验证PIN码后，才可以使用私钥进行相关的操作。

但上述的密钥管理方法存在如下缺点：

一、私钥存储在操作系统的证书库或者存储在文件系统上，没有任何安全防护方式保证私钥的安全，任何能够接触到计算机的人都可以获取该私钥，大大降低了非对称密钥的安全性。

二、私钥存储在操作系统的证书库或者存储在文件系统上，如需使用口令对私钥进行保护，则需要进行复杂的密钥保护口令的设置过程，降低了用户操作效率。

三、私钥存储在硬件介质中，虽然可以保证私钥的安全性，但是增加了密钥使用设备的成本以及降低了密钥设备的使用便利性。

故，有必要提供一种密钥管理方法及系统，以解决现有技术所存在的问题。

发明内容

本发明要解决的技术问题在于，针对现有技术中的密钥管理方法及系统的安全性较差或用户操作效率低下、设备制作成本较高的技术问题，提供一种安全性高、用户操作便利以及设备制作成本低的密钥管理方法及系统。

本发明提供一种密钥管理方法，其包括步骤：

接收用户特征信息以及密钥生成请求；

采集设备的设备特征信息；

根据所述用户特征信息以及所述设备特征信息，使用预定算法生成动态密钥对；以及

在相应的CA认证中心对所述动态密钥对中的公钥进行认证后，使用所述动态密钥对进行密钥相关操作。

在本发明所述的密钥管理方法中，所述在相应的CA认证中心对所述动态密钥对中的公钥进行认证的步骤包括：

接收用户特征信息以及密钥认证请求；

采集设备的设备特征信息；

根据所述用户特征信息以及设备特征信息，使用预定算法生成动态密钥对；以及

将所述动态密钥对中的公钥发送至所述相应的CA认证中心进行认证。

在本发明所述的密钥管理方法中，所述使用所述动态密钥对进行密钥相关操作后还包括步骤：

在设定时间后，对所述动态密钥对进行删除操作。

在本发明所述的密钥管理方法中，所述设备特征信息包括设备序列号以及MAC地址的至少其中之一。

在本发明所述的密钥管理方法中，所述预定算法为ECC非对称密钥算法，所述动态密钥对中密钥的长度为256位。

本发明还提供一种密钥管理系统，其包括：

生成请求接收模块，用于接收用户特征信息以及密钥生成请求；

采集模块，用于采集设备的设备特征信息；

密钥生成模块，用于根据所述用户特征信息以及所述设备特征信息，使用预定算法生成动态密钥对；以及

操作模块，用于在相应的CA认证中心对所述动态密钥对中的公钥进行认证后，使用所述动态密钥对进行密钥相关操作。

在本发明所述的密钥管理系统中，所述密钥管理系统还包括：

认证请求接收模块，用于接收用户特征信息以及密钥认证请求；以及

认证模块，用于将所述动态密钥对中的公钥发送至所述相应的CA认证中心进行认证。

在本发明所述的密钥管理系统中，所述密钥管理系统还包括：

密钥删除模块，用于在设定时间后，对所述动态密钥对进行删除操作。

在本发明所述的密钥管理系统中，所述设备特征信息包括设备序列号以及MAC地址的至少其中之一。

在本发明所述的密钥管理系统中，所述预定算法为ECC非对称密钥算法，所述动态密钥对中密钥的长度为256位。

本发明的密钥管理方法及系统根据用户输入的用户特征信息实时生成动态密钥对，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。解决了现有的密钥管理方法及系统的安全性较差或用户操作效率低下、设备制作成本较高的技术问题。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1为本发明的密钥管理系统的第一优选实施例的结构示意图；

图2为本发明的密钥管理方法的第一优选实施例的流程图；

图3为本发明的密钥管理系统的第二优选实施例的结构示意图；

图4为本发明的密钥管理方法的第二优选实施例的流程图；

图5为本发明的密钥管理方法及系统的具体实施例的时序图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

请参照图1，图1为本发明的密钥管理系统的第一优选实施例的结构示意图。本优选实施例的密钥管理系统10包括生成请求接收模块11、采集模块12、密钥生成模块13、操作模块14以及密钥删除模块15。生成请求接收模块11用于接收用户特征信息以及密钥生成请求；采集模块12用于采集设备的设备特征信息；密钥生成模块13用于根据用户特征信息以及设备特征信息，使用预定算法生成动态密钥对；操作模块14用于在相应的CA认证中心（Certificate Authority，也称为证书授证中心）对动态密钥对中的公钥进行认证后，使用动态密钥对进行密钥相关操作；密钥删除模块15用于在设定时间后，对动态密钥对进行删除操作。

本优选实施例的密钥管理系统10使用时，首先生成请求接收模块11接收用户输入的用户特征信息以及密钥生成请求，该用户特征信息为由用户设定的密码；密钥生成请求为由用户发起的要求密钥管理系统10生成动态密钥对的请求。同时采集模块12采集设备的设备特征信息，该设备特征信息为生成密钥对的设备的具有唯一性的特征信息，如设备的设备序列号以及MAC地址等。

然后密钥生成模块13根据生成请求接收模块11接收的用户特征信息以及采集模块12采集的设备特征信息，使用预定的ECC非对称密钥算法（EllipticCurve Cryptography，椭圆曲线算法）生成动态密钥对。如用户特征信息为8字节的字符串“1234578”，设备特征信息为设备的设备序列号“F95136BXA4S”，则通过预定的ECC非对称密钥算法可以得到密钥长度为256位的动态密钥对（如动态密钥对中的私钥可为“8542D69E4C044F18E8B92435BF6FF7DE457283915C45517D722EDB8B08F1DFC3”）。

随后在相应的CA认证中心对动态密钥对中的公钥进行认证后（具体的认证过程参见第二优选实施例中所示），操作模块14使用动态密钥对进行密钥相关操作，如数字签名、签名验证、非对称加密以及非对称解密等操作。

最后在操作模块14进行密钥相关操作的设定时间后，密钥删除模块15对动态密钥对进行删除操作，具体的设定时间可根据用户的要求进行设定。密钥删除模块15对动态密钥对的缓存操作在保证动态密钥对安全的基础上，还可提高密钥管理系统的运算效率。

这样即完成了本优选实施例的密钥管理系统10的密钥管理过程。

本优选实施例的密钥管理系统根据用户输入的用户特征信息实时生成动态密钥对，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。

请参照图1和图2，图2为本发明的密钥管理方法的第一优选实施例的流程图。本优选实施例的密钥管理方法可使用上述第一优选实施例的密钥管理系统进行实施，具体包括：

步骤S201，接收用户特征信息以及密钥生成请求；

步骤S202，采集设备的设备特征信息；

步骤S203，根据用户特征信息以及设备特征信息，使用预定算法生成动态密钥对；

步骤S204，在相应的CA认证中心对动态密钥对中的公钥进行认证后，使用动态密钥对进行密钥相关操作；

步骤S205，在设定时间后，对动态密钥对进行删除操作。

本优选实施例的密钥管理方法结束于步骤S205。

下面详细说明本优选实施例的密钥管理方法的各步骤的具体流程。

在步骤S201中，生成请求接收模块11接收用户输入的用户特征信息以及密钥生成请求，该用户特征信息为由用户设定的密码；密钥生成请求为由用户发起的要求密钥管理系统10生成动态密钥对的请求。

在步骤S202中，可与步骤S201同时进行或晚于步骤S201进行，采集模块12采集设备的设备特征信息，该设备特征信息为生成密钥对的设备的具有唯一性的特征信息，如设备的设备序列号以及MAC地址等。随后转到步骤S203。

在步骤S203中，密钥生成模块13根据生成请求接收模块11接收的用户特征信息以及采集模块12采集的设备特征信息，使用预定的ECC非对称密钥算法生成动态密钥对。如用户特征信息为8字节的字符串“1234578”，设备特征信息为设备的设备序列号“F95136BXA4S”，则通过预定的ECC非对称密钥算法可以得到密钥长度为256位的动态密钥对（如动态密钥对中的私钥可为“8542D69E4C044F18E8B92435BF6FF7DE457283915C45517D722EDB8B08F1DFC3”）。随后转到步骤S204。

在步骤S204中，在相应的CA认证中心对动态密钥对中的公钥进行认证后（具体的认证过程参见第二优选实施例中所示），操作模块14使用动态密钥对进行密钥相关操作，如数字签名、签名验证、非对称加密以及非对称解密等操作。随后转到步骤S205。

在步骤S205中，在操作模块14进行密钥相关操作的设定时间后，密钥删除模块15对动态密钥对进行删除操作，具体的设定时间可根据用户的要求进行设定。密钥删除模块对动态密钥对的缓存操作在保证动态密钥对安全的基础上，还可提高密钥管理系统的运算效率。

这样即完成了本优选实施例的密钥管理方法的密钥管理过程。

本优选实施例的密钥管理方法根据用户输入的用户特征信息实时生成动态密钥对，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。

请参照图3，图3为本发明的密钥管理系统的第二优选实施例的结构示意图。本优选实施例的密钥管理系统30包括生成请求接收模块31、采集模块32、密钥生成模块33、操作模块34、认证请求接收模块35、认证模块36以及密钥删除模块37。在第一优选实施例的基础上，本优选实施例的密钥管理系统30还包括认证请求接收模块35和认证模块36。认证请求接收模块35用于接收用户特征信息以及密钥认证请求，认证模块36用于将动态密钥对中的公钥发送至相应的CA认证中心进行认证。

本优选实施例的密钥管理系统30使用时，首先CA认证中心对动态密钥对进行认证。具体为：认证请求接收模块35接收用户输入的用户特征信息、用户基本信息（例如：姓名、手机号码等）以及密钥认证请求，该用户特征信息为由用户设定的密码；密钥认证请求为由用户发起的要求密钥管理系统30生成动态密钥对并对该动态密钥对进行认证的请求。同时采集模块32采集设备的设备特征信息。密钥生成模块33根据认证请求接收模块31接收的用户特征信息以及采集模块32采集的设备特征信息，使用预定的ECC非对称密钥算法生成动态密钥对。认证模块36将密钥生成模块33生成的动态密钥对中的公钥发送相应的CA认证中心进行认证（或登记）。这样设备在后续操作中可使用该动态密钥对进行认证操作（如付款操作等）。

随后生成请求接收模块31接收用户输入的用户特征信息以及密钥生成请求，该用户特征信息为由用户设定的密码；密钥生成请求为由用户发起的要求密钥管理系统生成动态密钥对的请求。同时采集模块32采集设备的设备特征信息，该设备特征信息为生成密钥对的设备的具有唯一性的特征信息，如设备的设备序列号以及MAC地址等。

密钥生成模块33根据生成请求接收模块31接收的用户特征信息以及采集模块32采集的设备特征信息，使用预定的ECC非对称密钥算法生成动态密钥对。如用户特征信息为8字节的字符串“1234578”，设备特征信息为设备的设备序列号“F95136BXA4S”，则通过预定的ECC非对称密钥算法可以得到密钥长度为256位的动态密钥对（如动态密钥对中的私钥可为“8542D69E4C044F18E8B92435BF6FF7DE457283915C45517D722EDB8B08F1DFC3”）。

随后操作模块34使用动态密钥对进行密钥相关操作，如数字签名、签名验证、非对称加密以及非对称解密等操作，并将操作结果反馈给设备，这样设备可使用该动态密钥对后续需要认证的操作进行认证。

最后在操作模块34进行密钥相关操作的设定时间后，密钥删除模块37对动态密钥对进行删除操作，具体的设定时间可根据用户的要求进行设定。密钥删除模块37对动态密钥对的缓存操作在保证动态密钥对安全的基础上，还可提高密钥管理系统的运算效率。

本优选实施例的密钥管理系统30根据用户输入的用户特征信息实时生成动态密钥对并实时对该动态密钥对进行认证，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。

请参照图3和图4，图4为本发明的密钥管理方法的第二优选实施例的流程图。本优选实施例的密钥管理方法可使用上述第二优选实施例的密钥管理系统进行实施，具体包括：

步骤S401，接收用户特征信息以及密钥认证请求；

步骤S402，采集设备的设备特征信息；

步骤S403，根据用户特征信息以及设备特征信息，使用预定算法生成动态密钥对；

步骤S404，将动态密钥对中的公钥发送至相应的CA认证中心进行认证；

步骤S405，接收用户特征信息以及密钥生成请求；

步骤S406，采集设备的设备特征信息；

步骤S407，根据用户特征信息以及设备特征信息，使用预定算法生成动态密钥对；

步骤S408，在相应的CA认证中心对动态密钥对中的公钥进行认证后，使用动态密钥对进行密钥相关操作；

步骤S409，在设定时间后，对动态密钥对进行删除操作。

本优选实施例的密钥管理方法结束于步骤S409。

在步骤S401中，认证请求接收模块35接收用户输入的用户特征信息、用户基本信息（例如：姓名、手机号码等）以及密钥认证请求，该用户特征信息为由用户设定的密码；密钥认证请求为由用户发起的要求密钥管理系统30生成动态密钥对并对该动态密钥对进行认证的请求。随后转到步骤S402。

在步骤S402中，可与步骤S401同时进行或晚于步骤S401进行，采集模块32采集设备的设备特征信息，该设备特征信息为生成密钥对的设备的具有唯一性的特征信息，如设备的设备序列号以及MAC地址等。随后转到步骤S403。

在步骤S403中，密钥生成模块33根据生成请求接收模块31接收的用户特征信息以及采集模块32采集的设备特征信息，使用预定的ECC非对称密钥算法生成动态密钥对。如用户特征信息为8字节的字符串“1234578”，设备特征信息为设备的设备序列号“F95136BXA4S”，则通过预定的ECC非对称密钥算法可以得到长度为256位的动态密钥对（如动态密钥对中的私钥可为“8542D69E4C044F18E8B92435BF6FF7DE457283915C45517D722EDB8B08F1DFC3”）。随后转到步骤S404。

在步骤S404中，认证模块36将密钥生成模块33生成的动态密钥对中的公钥发送相应的CA认证中心进行认证（或登记）。这样设备在后续操作中可使用该动态密钥对进行认证操作（如付款操作等）。随后转到步骤S408。

在步骤S405中，生成请求接收模块31接收用户输入的用户特征信息以及密钥生成请求，该用户特征信息为由用户设定的密码；密钥生成请求为由用户发起的要求密钥管理系统生成动态密钥对的请求。随后转到步骤S406。

在步骤S406中，可与步骤S405同时进行或晚于步骤S405进行，采集模块32采集设备的设备特征信息，该设备特征信息为生成密钥对的设备的具有唯一性的特征信息，如设备的设备序列号以及MAC地址等。该步骤与上述步骤S402相同，随后转到步骤S407。

在步骤S407中，密钥生成模块33根据生成请求接收模块31接收的用户特征信息以及采集模块32采集的设备特征信息，使用预定的ECC非对称密钥算法生成动态密钥对。该步骤与上述步骤S403相同，随后转到步骤S408。

在步骤S408中，操作模块34使用动态密钥对进行密钥相关操作，如数字签名、签名验证、非对称加密以及非对称解密等操作，并将操作结果反馈给设备，这样设备可使用该动态密钥对后续需要认证的操作进行认证。随后转到步骤S409。

在步骤S409中，在操作模块34进行密钥相关操作的设定时间后，密钥删除模块37对动态密钥对进行删除操作，具体的设定时间可根据用户的要求进行设定。密钥删除模块37对动态密钥对的缓存操作在保证动态密钥对安全的基础上，还可提高密钥管理系统的运算效率。

这样即完成了本优选实施例的密钥管理方法的密钥管理过程。

本优选实施例的密钥管理方法的步骤S401至步骤S404根据用户输入的用户特征信息实时生成动态密钥对并实时对该动态密钥对中的公钥进行认证。在进行一次动态密钥对的认证后，用户可长时间使用该已认证的动态密钥对进行其他操作（如付款操作等）的认证。即并非每次使用该动态密钥对都需要通过步骤S401至步骤S404对动态密钥对进行认证，认证后的动态密钥对可对多个操作进行密钥认证。本优选实施例的密钥管理方法在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。

下面通过一具体实施例说明本发明的密钥管理方法及系统的使用步骤。请参照图5，图5为本发明的密钥管理方法及系统的具体实施例的时序图。

1、用户通过浏览器、移动终端等输入由用户设定的用户特征信息（如PIN码等）；

2、用户向密钥管理系统发送密钥认证请求；

3、密钥管理系统采集设备特征信息（如11位数据和字母组合的设备序列号等）；

4、密钥管理系统对设备特征信息以及用户特征信息进行组合，如用户输入的用户特征信息为“12345678”，设备特征信息为“F95136BXA4S”，则组合生成特征信息“12345678F95136BXA4S”。

5、根据上述的特征信息生成动态密钥对，并在相应的CA认证中心对该动态密钥对中的公钥进行认证。

6、用户向密钥管理系统发送密钥生成请求以及用户特征信息。

7、密钥管理系统根据设备特征信息以及用户特征信息生成动态密钥对（该动态密钥对与上述步骤5中的动态密钥对完全相同）。

8、密钥管理系统使用动态密钥对进行密钥相关操作（如数字签名、签名验证、非对称加密或非对称解密操作等）。

9、密钥管理系统在密钥相关操作后删除动态密钥对。

10、密钥管理系统将密钥相关操作的结果返回给用户，用户可使用该操作结果对其他的需认证操作进行认证。

本发明的密钥管理方法及系统根据用户输入的用户特征信息实时生成动态密钥对，在保证动态密钥对安全的基础上，不需要对动态密钥对进行存储操作。解决了现有的密钥管理方法及系统的安全性较差或用户操作效率低下、设备制作成本较高的技术问题。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种密钥管理方法，其特征在于，包括步骤：

接收用户特征信息以及密钥生成请求；

采集设备的设备特征信息；

根据所述用户特征信息以及所述设备特征信息，使用预定算法生成动态密钥对；以及

在相应的CA认证中心对所述动态密钥对中的公钥进行认证后，使用所述动态密钥对进行密钥相关操作。

2.根据权利要求1所述的密钥管理方法，其特征在于，所述在相应的CA认证中心对所述动态密钥对中的公钥进行认证的步骤包括：

接收用户特征信息以及密钥认证请求；

采集设备的设备特征信息；

根据所述用户特征信息以及所述设备特征信息，使用预定算法生成动态密钥对；以及

将所述动态密钥对中的公钥发送至所述相应的CA认证中心进行认证。

3.根据权利要求1所述的密钥管理方法，其特征在于，所述使用所述动态密钥对进行密钥相关操作后还包括步骤：

在设定时间后，对所述动态密钥对进行删除操作。

4.根据权利要求1所述的密钥管理方法，其特征在于，所述设备特征信息包括设备序列号以及MAC地址的至少其中之一。

5.根据权利要求1所述的密钥管理方法，其特征在于，所述预定算法为ECC非对称密钥算法，所述动态密钥对中密钥的长度为256位。

6.一种密钥管理系统，其特征在于，包括：

生成请求接收模块，用于接收用户特征信息以及密钥生成请求；

采集模块，用于采集设备的设备特征信息；

密钥生成模块，用于根据所述用户特征信息以及所述设备特征信息，使用预定算法生成动态密钥对；以及

操作模块，用于在相应的CA认证中心对所述动态密钥对中的公钥进行认证后，使用所述动态密钥对进行密钥相关操作。

7.根据权利要求6所述的密钥管理系统，其特征在于，所述密钥管理系统还包括：

认证请求接收模块，用于接收用户特征信息以及密钥认证请求；以及

认证模块，用于将所述动态密钥对中的公钥发送至所述相应的CA认证中心进行认证。

8.根据权利要求6所述的密钥管理系统，其特征在于，所述密钥管理系统还包括：

密钥删除模块，用于在设定时间后，对所述动态密钥对进行删除操作。

9.根据权利要求6所述的密钥管理系统，其特征在于，所述设备特征信息包括设备序列号以及MAC地址的至少其中之一。

10.根据权利要求6所述的密钥管理系统，其特征在于，所述预定算法为ECC非对称密钥算法，所述动态密钥对中密钥的长度为256位。