CN104868994B - 一种协同密钥管理的方法、装置及系统 - Google Patents

Abstract

本发明实施例公开了一种协同密钥管理的方法，包括：第一设备随机生成对应的第一密钥因子，并根据第一密钥因子计算对应的第一公钥因子，将第一公钥因子发送至第二设备，第一设备接收第二设备发送的第二公钥因子，再根据第一密钥因子与第二公钥因子计算得到用户公钥，且该用户公钥与所述第二设备计算得到的所述用户公钥一致。本发明实施例可以将密钥拆分为两个独立的部分，分别托管在不同的实体中，只有当双方协同时，才能使用该密钥进行运算。在托管的过程中，双方的密钥不会通过网络传递给对方或第三方，因此能够降低设备受到攻击或内部人员作弊时带来的安全问题。

Description

一种协同密钥管理的方法、装置及系统

技术领域

本发明实施例涉及数字认证领域，尤其涉及一种协同密钥管理的方法、装置及系统。

背景技术

随着科技不断发展，人类进入数字认证时代。无论在生产中还是生活中，都会用到各种加密技术，能够对个人资料或企业资料进行有效的监管，密钥管理就是指对密钥进行管理的行为，比如加密、解密和破解等。

目前通行的数字签名、加密解密机制，通常使用智能密钥和集成电路卡来存储用户密钥，完成签名的密码运算，需要专门的硬件设备以及相关的各类中间设备来协同完成操作。由于现有技术中，用户密钥完全存储在第一设备，如此，第一设备如果受到攻击，造成密钥被窃取，会直接造成安全性问题。

发明内容

本发明实施例打破传统的一公钥一私钥的非对称公私钥形式，而是创新性提出了一个公钥，两个私钥因子的形式，两个私钥因子由分别由两个不同的交互设备产生、存储、管理，两私钥设备通过通信协商的方式提供原来一个私钥的功能。其方法包括：

第一设备随机生成对应的第一密钥因子；

所述第一设备根据所述第一密钥因子计算对应的第一公钥因子；

所述第一设备将所述第一公钥因子发送至第二设备；

所述第一设备接收所述第二设备发送的第二公钥因子；

所述第一设备根据所述第一密钥因子与所述第二公钥因子计算得到用户公钥，所述用户公钥与所述第二设备计算得到的所述用户公钥一致。

结合第一方面，在第一种可能的实现方式中，所述第一设备随机生成对应的第一密钥因子之后，所述方法还包括：

所述第一设备加密并存储所述第一密钥因子。

本发明第二方面提供一种协同密钥管理的方法，其特征在于，包括：

第二设备随机生成对应的第二密钥因子；

所述第二设备根据所述第二密钥因子计算所述对应的第二公钥因子；

所述第二设备将所述第二公钥因子发送至所述第一设备；

所述第二设备接收第一设备发送的第一公钥因子；

所述第二设备根据所述接收到的所述第一设备发送的第一公钥因子与第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致。

结合第二方面，在第一种可能的实现方式中，所述第二设备随机生成对应的第二密钥因子，包括：

所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

所述第二设备根据所述计算结果，得到所述第二密钥因子。

结合第二方面或第二方面第一种可能实现方式，在第二种可能的实现方式中，所述第二设备随机生成对应的第二密钥因子之后，所述方法还包括：

所述第二设备加密并存储所述第二密钥因子。

本发明第三方面提供一种协同密钥管理的装置，其特征在于，包括：

第一生成模块，用于第一设备随机生成对应的第一密钥因子；

第一计算模块，用于所述第一设备根据所述第一生成模块生成的第一密钥因子计算对应的第一公钥因子；

第一发送模块，用于所述第一设备将所述第一计算模块计算的第一公钥因子发送至第二设备；

第一接收模块，用于所述第一设备接收所述第二设备发送的第二公钥因子；

第二计算模块，用于所述第一设备根据所述第一生成模块生成的第一密钥因子与所述第一接收模块接收的第二公钥因子计算得到用户公钥，所述用户公钥与所述第二设备计算得到的所述用户公钥一致。

结合第三方面，在第一种可能的实现方式中，所述装置还包括：

第一存储模块，用于在所述第一生成模块随机生成对应的第一密钥因子之后，加密并存储所述第一密钥因子。

本发明第四方面提供一种协同密钥管理的装置，其特征在于，包括：

第二生成模块，用于第二设备随机生成对应的第二密钥因子；

第三计算模块，用于所述第二设备根据所述第二生成模块生成的第二密钥因子计算所述对应的第二公钥因子；

第二发送模块，用于所述第二设备将所述第三计算模块计算的第二公钥因子发送至所述第一设备；

第二接收模块，用于所述第二设备接收第一设备发送的第一公钥因子；

第四计算模块，用于所述第二设备根据所述第二接收模块接收的第一公钥因子与所述第二生成模块生成的第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致。

结合第四方面，在第一种可能的实现方式中，所述第二生成模块包括：

计算单元，用于所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

获取单元，用于所述第二设备根据所述计算单元计算的计算结果，得到所述第二密钥因子。

结合第四方面或第四方面第一种可能实现方式，在第二种可能的实现方式中，所述装置还包括：

存储模块，用于所述第二生成模块随机生成对应的第二密钥因子之后，第二设备加密并存储所述第二密钥因子。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例中，在密钥托管后，第一设备和第二设备托管的仅为一部分的密钥因子，这两部分密钥因子分别保存在第一设备和第二设备，这两部分密钥因子对应于一个用户公钥。只有双方协同，才能使用该密钥进行运算。在托管的过程中，双方的密钥不会通过网络传递给对方或第三方，因此能够降低设备受到攻击安全问题。

附图说明

图1为本发明实施例中协同密钥管理的方法一个实施例示意图；

图2为本发明实施例中协同密钥管理的方法另一个实施例示意图；

图3为本发明实施例中协同密钥管理的装置一个实施例示意图；

图4为本发明实施例中协同密钥管理的装置另一个实施例示意图；

图5为本发明实施例中协同密钥管理的装置一个实施例示意图；

图6为本发明实施例中协同密钥管理的装置一个实施例示意图；

图7为本发明实施例中协同密钥管理的装置另一个实施例示意图；

图8为本发明实施例中协同密钥管理系统一个实施例示意图。

具体实施方式

本发明实施例提供了一种协同密钥管理的方法、装置及系统，用于同时在第一设备与第二设备两端托管密钥，提高使用的安全性。

应理解，本发明实施例提供的协同密钥管理的方法中，第一设备可理解为服务器，第二设备可理解为用户终端，在下面的实施例中，以第一设备为服务器，第二设备为用户终端为例进行描述，

请参阅图1，本发明实施例中协同密钥管理的方法一个实施例包括：

101、第一设备随机生成对应的第一密钥因子；

本实施例中，在第一设备端可以随机生成一个第一设备对应的第一密钥因子。

102、第一设备根据第一密钥因子计算对应的第一公钥因子；

本实施例中，第一设备可以根据第一密钥因子计算对应的第一公钥因子，第一设备生成的第一密钥因子与第二设备生成的第二密钥因子各自独立保存在设备两端，只有在设备两端协同才能使用第一密钥因子或第二密钥因子进行计算。

103、第一设备将第一公钥因子发送至第二设备；

本实施例中，第一设备将第一公钥因子发送到第二设备，使得第二设备通过第一公钥因子与第一密钥因子计算得到用户公钥。

104、第一设备接收第二设备发送的第二公钥因子；

本实施例中，第一设备接收第二设备发送第二公钥因子，同时，也可以接收第二设备计算得到的用户公钥。

105、第一设备根据第一密钥因子与第二公钥因子计算得到用户公钥，用户公钥与第二设备计算得到的用户公钥一致。

本实施例中，第一设备根据第一密钥因子与第二公钥因子计算得到用户公钥，该用户公钥与第二设备计算得到的用户公钥应保持一致。

本发明实施例中，在密钥托管后，第一设备和第二设备托管的仅为密钥的部分因子，两个密钥因子分别托管在不同的实体，只有双方协同，才能使用该密钥进行运算。在托管的过程中，双方的密钥不会通过网络传递给对方或第三方，因此能够降低设备受到攻击或内部人员作弊时带来的安全问题。

可选地，在上述图1对应的实施例的基础上，本发明实施例提供的协同密钥管理的方法第一个可选实施例中，第一设备随机生成对应的第一密钥因子之后，还可以包括：

第一设备加密并存储第一密钥因子。

本实施例中，在第一设备随机生成对应的第一密钥因子后，第一设备可以加密并存储第一密钥因子。

需要说明的是，第一设备加密第一密钥因子的方法有多种，可以使用对称密钥进行加密，也可以使用非对称密钥进行加密，还可以是其他加密的方法，故此次不做限定。

其次，本发明实施例中，第一设备可以加密并存储第一密钥因子，如此便大大增强了第一密钥因子的安全性，同时，提升用户使用的体验。

上面的实例中都是从第一设备的角度对本发明中协同密钥管理的方法进行描述，下面将从第二设备的角度对本发明中协同密钥管理的方法进行描述。请参阅图2，本发明协同密钥管理的方法另一个实施例包括：

201、第二设备随机生成对应的第二密钥因子；

本实施例中，第二设备可以随机生成一个对应的第二密钥因子，第二密钥因子可以包含用户设定的信息。

具体地，用户可以在第二设备上下载并安装数字签名服务应用，使用该数字签名服务应用，到签名服务中心进行注册。签名服务中心要求用户进行身份验证，用户需要填写和提交相应的身份验证信息作为用户身份识别信息，使得用户终端可通过数字签名服务应用获取用户的身份识别信息。第二设备使用根据用户身份识别信息与随机信息，生成一个对应的第二密钥因子。

202、第二设备根据第二密钥因子计算对应的第二公钥因子；

本实施例中，第二设备根据随机生成的第二密钥因子计算对应的第二公钥因子。

203、第二设备将第二公钥因子发送至第一设备；

本实施例中，第二设备将计算得到的第二公钥因子发送到第一设备，使得第一设备根据第一密钥因子与第二公钥因子计算得到用户公钥。

204、第二设备接收第一设备发送的第一公钥因子；

本实施例中，第二设备接收第一设备发送第一公钥因子，第一公钥因子是第一设备根据第一密钥因子计算得到的。

205、第二设备根据接收到的第一设备发送的第一公钥因子与第二密钥因子，计算得到用户公钥，用户公钥与第一设备计算得到的用户公钥一致。

本实施例中，第一设备向第二设备发送第一公钥因子与第二密钥因子，第二设备根据第一公钥因子与第二密钥因子计算得到用户公钥，同样地，该用户公钥与第一设备计算得到的用户公钥应保持一致。

本发明实施例中，在密钥托管后，第一设备和第二设备分别托管的仅为密钥的部分因子，使用这部分密钥因子无法进行任何完整的密钥操作，必须在用户终端上完成相匹配的另一部分才能完成操作，因此避免了第一设备受到攻击或内部人员作弊时可能会带来的安全问题。

可选地，在上述图2对应的实施例的基础上，本发明实施例提供的协同密钥管理的方法第一个可选实施例中，第二设备随机生成对应的第二密钥因子，可以包括：

第二设备将用户设定的信息与第二设备产生的随机数据进行计算，得到计算结果；

第二设备根据计算结果，得到第二密钥因子。

本实施例中，第二设备根据用户设定的信息生成对应的第二密钥因子。第二设备从签名服务中心获取用户身份识别信息，比如用户使用的第二设备信息或者用户唯一的注册号等，将用户身份识别信息与一个保存在第二设备中随机数据进行相加，得到计算结果，该计算结果可以作为对应的第二密钥因子。

本实施例中，还可以将用户身份识别信息、保存在第二设备设备中随机数据和用户设定的个人识别密码(PIN，Personal Identification Number)进行相加，得到计算结果，该计算结果也可以作为第二设备的第二密钥因子。

需要说明的是，上述两种生成第二密钥因子的方式不唯一，可以通过加法计算得到第二密钥因子，也可以通过乘积或其他公式的运算，计算得到第二密钥因子。故此处不作限定。

可以理解的是，可以通过用户身份识别信息与第二设备产生的随机数据进行计算得到第二密钥因子，也可以通过用户身份识别信息、用户设定的个人识别密码PIN第二设备的产生的随机数据进行计算得到，还可以根据其他信息计算获取第二密钥因子，此处不作限定。

其次，本发明实施例中，可以根据用户身份识别信息与其他相关信息进行计算，得到第二密钥因子，由于用户身份识别信息存在唯一性，且与第二设备有相关性，因此生成的第二密钥因子关联性更强，同时可以与第二设备设备的随机数据相计算，所得到的第二密钥因子的破解难度提升，因此生成的第二密钥因子可靠性更强，使得本方案的安全性得到提升。

可选地，在上述图2对应的实施例以及图2对应的第一个实施例的基础上，本发明实施例提供的协同密钥管理的方法第二个可选实施例中，第二设备随机生成对应的第二密钥因子之后，还可以包括：

第二设备加密并存储第二密钥因子。

本实施例中，第二设备将会托管第二密钥因子，且对第二密钥因子进行加密保存，其加密的方式可以与第一设备加密并存储第一密钥因子的方式相似，通常可以使用序列密码体制加密，这类密码直接对当前的字符进行变换，以一个字符为单位进行加密变换。也可以采用分组密码体制加密。

再次，本发明实施例中，第二设备加密并存储第二密钥因子，使得该方案在使用的过程中更具有可靠性以及安全性，同时提升用户的体验。

本实施例中，为便于理解，下面以一个具体应用场景对本发明中一种协同密钥管理的方法进行详细描述，具体为：

用户A有重要的信息需要发送给用户B，于是用户A准备通过数字签名的方法将重要信息发送给用户B。

首先用户A从某个平台上下载一款数字签名服务应用，并且安装该应用。然后用户A在手机上点击已安装的该应用，进入签名服务中心注册，签名服务中心要求用户A填写相关信息，包括用户名、密码、生日和身份证号等信息。最后填写完毕，向签名服务中心提交这些信息。

注册成功后，签名服务中心调用加密机，由加密机随机生成一个对应的第一设备密钥23，而手机端则是由用户的信息、手机设备信息和设备上保存的随机信息R相加，得到一个第二密钥因子88。第一设备根据第一设备密钥23，计算得到第一设备公钥为7，于是将7这个第一设备公钥发送至用户A的手机。

用户A的手机可以通过数字签名服务应用得知第二密钥因子为88，将第二密钥因子88与第一设备公钥7经过一系列加密算法，计算得到用户公钥为P123。

第一设备使用第一设备密钥23进行计算，得到计算结果M，向用户A发送一个M，此时用户A再使用第二密钥因子88对M进行计算得到最终签名结果。

下面对本发明中的一种协同密钥管理的装置进行详细描述，请参阅图3，本发明实施例中的一种协同密钥管理的装置包括：

第一生成模块301，用于第一设备随机生成对应的第一密钥因子；

第一计算模块302，用于所述第一设备根据所述第一生成模块301生成的第一密钥因子计算对应的第一公钥因子；

第一发送模块303，用于所述第一设备将所述第一计算模块302计算的第一公钥因子发送至第二设备；

第一接收模块304，用于所述第一设备接收所述第二设备发送的第二公钥因子；

第二计算模块305，用于所述第一设备根据所述第一生成模块301生成的第一密钥因子与所述第一接收模块304接收的第二公钥因子计算得到用户公钥，所述用户公钥与所述第二设备计算得到的所述用户公钥一致。

本实施例中，第一生成模块301随机生成对应的第一密钥因子，第一计算模块302根据第一生成模块301生成的第一密钥因子计算对应的第一公钥因子，第一发送模块303将第一计算模块302计算的第一公钥因子发送至第二设备，第一接收模块304接收第二设备发送的第二公钥因子，第二计算模块305根据所述第一生成模块301生成的第一密钥因子与第一接收模块304接收的第二公钥因子计算得到用户公钥，用户公钥与第二设备计算得到的用户公钥一致。

本发明实施例中，在密钥托管后，第一设备和第二设备托管的仅为密钥的部分因子，这两个密钥因子分别托管在不同的实体，只有双方协同，才能使用该密钥进行运算。在托管的过程中，双方的密钥不会通过网络传递给对方或第三方，因此能够降低设备受到攻击或内部人员作弊时带来的安全问题。

请参阅图4，本发明实施例中的另一种协同密钥管理的装置包括：

第一生成模块301，用于第一设备随机生成对应的第一密钥因子；

第一存储模块306，用于在所述第一生成模块301随机生成对应的第一密钥因子之后，加密并存储所述第一密钥因子；

第一计算模块302，用于所述第一设备根据所述第一生成模块301生成的第一密钥因子计算对应的第一公钥因子；

第一发送模块303，用于所述第一设备将所述第一计算模块302计算的第一公钥因子发送至第二设备；

第一接收模块304，用于所述第一设备接收所述第二设备发送的第二公钥因子；

第二计算模块305，用于所述第一设备根据所述第一生成模块301生成的第一密钥因子与所述第一接收模块304接收的第二公钥因子计算得到用户公钥，所述用户公钥与所述第二设备计算得到的所述用户公钥一致。

其次，本发明实施例中，第一设备可以加密并存储第一密钥因子，如此便大大增强了第一密钥因子的安全性，同时，提升用户使用的体验。

请参阅图5，本发明实施例中的一种协同密钥管理的装置包括：

第二生成模块401，用于第二设备随机生成对应的第二密钥因子；

第三计算模块402，用于所述第二设备根据所述第二生成模块401生成的第二密钥因子计算所述对应的第二公钥因子；

第二发送模块403，用于所述第二设备将所述第三计算模块402计算的第二公钥因子发送至所述第一设备；

第二接收模块404，用于所述第二设备接收第一设备发送的第一公钥因子；

第四计算模块405，用于所述第二设备根据所述第二接收模块404接收的第一公钥因子与所述第二生成模块401生成的第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致。

本实施例中，第二生成模块401随机生成对应的第二密钥因子；

第三计算模块402根据所述第二生成模块401生成的第二密钥因子计算对应的第二公钥因子，第二发送模块403将第三计算模块402计算的第二公钥因子发送至第一设备，第二接收模块404接收第一设备发送的第一公钥因子，第四计算模块405根据第二接收模块404接收的第一公钥因子与所第二生成模块401生成的第二密钥因子，计算得到用户公钥，用户公钥与第一设备计算得到的用户公钥一致。

本发明实施例中，在密钥托管后，第一设备和第二设备分别托管的仅为密钥的部分因子，使用这部分密钥因子无法进行任何完整的密钥操作，必须在用户终端上完成相匹配的另一部分才能完成操作，因此避免了第一设备受到攻击或内部人员作弊时可能会带来的安全问题。

请参阅图6，本发明实施例中的一种协同密钥管理的装置包括：

第二生成模块401，用于第二设备随机生成对应的第二密钥因子；

第三计算模块402，用于所述第二设备根据所述第二生成模块401生成的第二密钥因子计算所述对应的第二公钥因子；

第二发送模块403，用于所述第二设备将所述第三计算模块402计算的第二公钥因子发送至所述第一设备；

第二接收模块404，用于所述第二设备接收第一设备发送的第一公钥因子；

第四计算模块405，用于所述第二设备根据所述第二接收模块404接收的第一公钥因子与所述第二生成模块401生成的第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致；

其中，所述第二生成模块401包括：

计算单元4011，用于所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

获取单元4012，用于所述第二设备根据所述计算单元4011计算的计算结果，得到所述第二密钥因子。

其次，本发明实施例中，可以根据用户身份识别信息与其他相关信息进行计算，得到第二密钥因子，由于用户身份识别信息存在唯一性，且与第二设备有相关性，因此生成的第二密钥因子关联性更强，同时可以与第二设备设备的随机数据相计算，所得到的第二密钥因子的破解难度提升，因此生成的第二密钥因子可靠性更强，使得本方案的安全性得到提升。

请参阅图7，本发明实施例中的一种协同密钥管理的装置包括：

第二生成模块401，用于第二设备随机生成对应的第二密钥因子；

存储模块406，用于所述第二生成模块401随机生成对应的第二密钥因子之后，第二设备加密并存储所述第二密钥因子；

第三计算模块402，用于所述第二设备根据所述第二生成模块401生成的第二密钥因子计算所述对应的第二公钥因子；

第二发送模块403，用于所述第二设备将所述第三计算模块402计算的第二公钥因子发送至所述第一设备；

第二接收模块404，用于所述第二设备接收第一设备发送的第一公钥因子；

第四计算模块405，用于所述第二设备根据所述第二接收模块404接收的第一公钥因子与所述第二生成模块401生成的第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致；

其中，所述第二生成模块401包括：

计算单元4011，用于所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

获取单元4012，用于所述第二设备根据所述计算单元4011计算的计算结果，得到所述第二密钥因子。

再次，本发明实施例中，第二设备加密并存储第二密钥因子，使得该方案在使用的过程中更具有可靠性以及安全性，同时提升用户的体验。

请参阅图5，本发明实施例还提供了一种协同密钥管理的系统，包括：第一设备501和第二设备502；

本实施例中，第一设备501随机生成对应的第一密钥因子，第一设备501根据第一密钥因子计算对应的第一公钥因子，第一设备501将第一公钥因子发送至第二设备502，第一设备501接收第二设备502发送的第二公钥因子，第一设备501根据第一密钥因子与第二公钥因子计算得到用户公钥，用户公钥与第二设备502计算得到的用户公钥一致。

本实施例中，第二设备502随机生成对应的第二密钥因子，第二设备502根据第二密钥因子计算对应的第二公钥因子，第二设备502将第二公钥因子发送至第一设备501，第二设备502接收第一设备501发送的第一公钥因子，第二设备502根据接收到的第一设备501发送的第一公钥因子与第二密钥因子，计算得到用户公钥，用户公钥与第一设备501计算得到的用户公钥一致。

本发明实施例中，在密钥托管后，第一设备和第二设备托管的仅为密钥的部分因子，这两部分密钥因子分别托管在不同的实体，只有双方协同，才能使用该密钥进行运算。在托管的过程中，双方的密钥不会通过网络传递给对方或第三方，因此能够降低设备受到攻击时带来的安全问题。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种协同密钥管理的方法，其特征在于，所述方法应用于协同密钥管理系统，所述协同密钥管理系统包括第一设备和第二设备，所述第一设备用于生成并存储第一密钥因子，所述第二设备用于生成并存储第二密钥因子，所述方法包括：

所述第一设备随机生成对应的所述第一密钥因子；

所述第一设备根据所述第一密钥因子计算对应的第一公钥因子；

所述第一设备将所述第一公钥因子发送至第二设备；

所述第一设备接收所述第二设备发送的第二公钥因子；

所述第一设备根据所述第一密钥因子与所述第二公钥因子计算得到用户公钥，所述用户公钥与所述第二设备计算得到的所述用户公钥一致，其中，所述用户公钥对应于所述第一密钥因子与所述第二密钥因子；

所述第一设备将所述第一公钥因子发送至第二设备之后，所述方法还包括：

所述第二设备根据所述接收到的所述第一设备发送的第一公钥因子与第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致。

2.根据权利要求1所述的方法，其特征在于，所述第一设备随机生成对应的第一密钥因子之后，所述方法还包括：

所述第一设备加密并存储所述第一密钥因子。

3.一种协同密钥管理的方法，其特征在于，所述方法应用于协同密钥管理系统，所述协同密钥管理系统包括第一设备和第二设备，所述第一设备存储第一密钥因子，所述第二设备存储第二密钥因子，所述方法包括：

所述第二设备随机生成对应的所述第二密钥因子；

所述第二设备根据所述第二密钥因子计算所述对应的第二公钥因子；

所述第二设备将所述第二公钥因子发送至所述第一设备；

所述第二设备接收第一设备发送的第一公钥因子；

所述第二设备根据所述接收到的所述第一设备发送的第一公钥因子与第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致，其中，所述用户公钥对应于所述第一密钥因子与所述第二密钥因子。

4.根据权利要求3所述的方法，其特征在于，所述第二设备随机生成对应的第二密钥因子，包括：

所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

所述第二设备根据所述计算结果，得到所述第二密钥因子。

5.根据权利要求3或4所述的方法，其特征在于，所述第二设备随机生成对应的第二密钥因子之后，所述方法还包括：

所述第二设备加密并存储所述第二密钥因子。

6.一种协同密钥管理的装置，其特征在于，包括：

第一生成模块，用于第一设备随机生成对应的第一密钥因子；

第一计算模块，用于所述第一设备根据所述第一生成模块生成的第一密钥因子计算对应的第一公钥因子；

第一发送模块，用于所述第一设备将所述第一计算模块计算的第一公钥因子发送至第二设备，以使所述第二设备根据所述接收到的所述第一设备发送的第一公钥因子与第二密钥因子，计算得到用户公钥，所述用户公钥与所述第一设备计算得到的所述用户公钥一致；

第一接收模块，用于所述第一设备接收所述第二设备发送的第二公钥因子；

第二计算模块，用于所述第一设备根据所述第一生成模块生成的第一密钥因子与所述第一接收模块接收的第二公钥因子计算得到用户公钥，所述用户公钥对应于所述第二设备计算得到的所述用户公钥一致。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第一存储模块，用于在所述第一生成模块随机生成对应的第一密钥因子之后，加密并存储所述第一密钥因子。

8.一种协同密钥管理的装置，其特征在于，包括：

第二生成模块，用于第二设备随机生成对应的第二密钥因子；

第三计算模块，用于所述第二设备根据所述第二生成模块生成的第二密钥因子计算所述对应的第二公钥因子；

第二发送模块，用于所述第二设备将所述第三计算模块计算的第二公钥因子发送至所述第一设备；

第二接收模块，用于所述第二设备接收第一设备发送的第一公钥因子；

第四计算模块，用于所述第二设备根据所述第二接收模块接收的第一公钥因子与所述第二生成模块生成的第二密钥因子，计算得到用户公钥，所述用户公钥对应于所述第一设备计算得到的所述用户公钥一致。

9.根据权利要求8所述的装置，其特征在于，所述第二生成模块包括：

计算单元，用于所述第二设备将所述用户设定的信息与所述第二设备产生的随机数据进行计算，得到计算结果；

获取单元，用于所述第二设备根据所述计算单元计算的计算结果，得到所述第二密钥因子。

10.根据权利要求8或9所述的装置，其特征在于，所述装置还包括：

存储模块，用于所述第二生成模块随机生成对应的第二密钥因子之后，第二设备加密并存储所述第二密钥因子。