CN105978686A - 密钥管理方法及系统 - Google Patents

密钥管理方法及系统 Download PDF

Info

Publication number
CN105978686A
CN105978686A CN201610303698.3A CN201610303698A CN105978686A CN 105978686 A CN105978686 A CN 105978686A CN 201610303698 A CN201610303698 A CN 201610303698A CN 105978686 A CN105978686 A CN 105978686A
Authority
CN
China
Prior art keywords
key
master key
equipment
encryption
system master
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610303698.3A
Other languages
English (en)
Inventor
周良璋
姚青
王柯童
梁红
郑园园
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hunan Haixing Electrical Appliance Co., Ltd.
Original Assignee
Hangzhou Hexing Electrical Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou Hexing Electrical Co Ltd filed Critical Hangzhou Hexing Electrical Co Ltd
Priority to CN201610303698.3A priority Critical patent/CN105978686A/zh
Publication of CN105978686A publication Critical patent/CN105978686A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/72—Signcrypting, i.e. digital signing and encrypting simultaneously
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及一种密钥管理方法及系统。本发明的目的是提供一种安全可靠、可方便扩容和升级的密钥管理方法及系统。本发明的技术方案是：一种密钥管理方法，其特征在于：当需要加、解密时，主站将对应设备的设备离散因子和明文或密文传给加密机，加密机根据设备离散因子和存储在加密机中的系统主密钥临时离散获得设备密钥再对明文或密文进行加密或解密。本发明适用于智能电表领域。

Description

密钥管理方法及系统
技术领域
本发明涉及一种密钥管理方法及系统。适用于智能电表领域。
背景技术
随着智能电表概念的提出，信息传递的安全性已经成为世界各国智能电表的关键因素，中国国家电网公司及中国南方电网公司在制定智能电表标准时也在考虑将信息传输的安全性作为智能电表的要求之一，而信息安全则带来了密钥的管理要求。目前密钥管理系统侧密钥的管理大体分为两种：
1、密钥管理系统侧将密钥保存于数据库或文件中，该方案中即使数据库和文件加密，密钥仍旧存在很大的被窃取风险，且无法避免系统开发厂商人为泄露的风险。
2、密钥管理系统侧将密钥保存于加密机中，该方案可防止密钥被窃取，且即使是开发厂商人员也无法获知密钥信息。但所有设备对应的密钥均存储于加密机中，一方面对加密机的存储容量要求比较高，此外，也给集抄系统的扩容带来麻烦，限制了集抄系统的可扩展性和升级。
发明内容
本发明要解决的技术问题是：针对上述存在的问题，提供一种安全可靠、可方便扩容和升级的密钥管理方法及系统。
本发明所采用的技术方案是：一种密钥管理方法，其特征在于：当需要加、解密时，主站将对应设备的设备离散因子和明文或密文传给加密机，加密机根据设备离散因子和存储在加密机中的系统主密钥临时离散获得设备密钥再对明文或密文进行加密或解密。
所述系统主密钥通过生成工具将领导种子和随机因子离散获得，经非对称签名和加密，所得的值导入到加密机中。
所述设备离散因子包括相应设备的设备特征信息，设备特征信息包括设备号、密钥版本号、密钥类型。
所述设备离散因子包括时间因子。
所述生成工具中的系统主密钥同时导入到USB key中备份，系统主密钥在USB key中备份后销毁生成工具中的系统主密钥。
设备离散因子和系统主密钥通过AES-GCM-128加密获得密文，密文在经DM5校验计算得到设备密钥。
一种密钥管理系统，其特征在于：该系统包括
主密钥生成模块，用于生成系统主密钥；
采集模块，用于采集相应设备的设备特征信息；
加密机，用于存储主密钥生成模块生成的系统主密钥，接收采集模块采集的设备特征信息，并以设备特征信息作为设备离散因子结合系统主密钥临时离散获得设备密钥。
所述主密钥生成模块包括
生成工具，通过领导种子和随机因子离散获得系统主密钥；
签名和加密模块，对系统主密钥进行非对称签名和加密，所得的值导入加密机。
该密钥管理系统还包括
主密钥备份模块，用于备份主密钥生成模块生成的系统主密钥；
主密钥删除模块，用于在主密钥备份模块备份系统主密钥后删除生成工具中的系统主密钥。
所述设备特征信息包括设备号、密钥版本号和密钥类型。
本发明的有益效果是：本发明在加密机中只存储系统主密钥，所有设备的密钥根据设备离散因子临时离散生成。加密机中只存储一个密钥，相比目前大多数方案中加密机存储所有设备的密钥，对加密机的存储空间要求很小，后续增加设备的密钥类型或增加设备无需增加相应的存储空间，做到了密钥管理的简单。本发明在离散过程中在加密算法的基础上再增加MD5校验，MD5计算的不可逆确保了各个设备的密钥相互独立，没有相关性。本发明在既保留了现有密钥管理方案的安全性，又简化了加密机的存储，对集抄系统的扩容和升级带来了极大的便利。
附图说明
图1为实施例中密钥体系架构图。
图2为实施例中设备密钥离散过程示意图。
图3为实施例中主站调用加密机流程的流程示意图。
具体实施方式
本实施例为一种基于加密机的密钥管理系统，包括生成工具、签名和加密模块、采集模块、加密机、主密钥备份模块和主密钥删除模块。本例通过生成工具将领导种子和随机因子离散获得系统主密钥，生成工具导出系统主密钥，再经过签名和加密模块对系统主密钥进行非对称签名及加密，所得的值导入到加密机中，同时导入到主密钥备份模块中备份，主密钥删除模块立即销毁生成工具中的系统主密钥。本实施例中采集模块采集相应设备的设备特征信息，包括设备号(如电能表序列号)、密钥版本号和密钥类型，采集模块还采集时间因子。加密机内存储系统主密钥，接收采集模块采集的信息，并将采集的信息做为设备离散因子结合系统主密钥临时离散获得设备密钥。
本例中为一种基于加密机的密钥管理方法，包括系统主密钥的离散生成、系统主密钥的存储和保管、设备密钥的离散生成和设备密钥在信息传输中的应用，其中：
系统主密钥的离散生成：通过生成工具将领导种子和随机因子离散获得系统主密钥。
系统主密钥的存储和管理：从生成工具中导出系统主密钥，再经过非对称签名及加密，所得的值导入到集抄加密机中；系统主密钥同时导入到USB key中备份，随后立即销毁生成工具中的系统主密钥。
设备密钥的离散生成：设备密钥的离散生成是在加密机中完成，所有设备的密钥根据设备离散因子和系统主密钥临时离散获得，即在使用时临时获得，而非前期生成存储于加密机中。
设备密钥在信息传输中的应用：当通信需要加解密时，主站将对应设备的设备离散因子和明文或密文传给加密机，加密机根据设备离散因子和存储在加密机中的系统主密钥临时生成密钥再对明文或密文进行加密或解密。
本例中设备离散因子和系统主密钥通过AES-GCM-128加密获得密文，密文在经DM5校验计算得到设备密钥。
图1为本实施例的密钥体系结构设计。设集抄系统中通信加密算法采用AES-GCM-128，所有设备(如电能表)密钥的长度均为16字节，对称密钥类型有：
系统主密钥，用于生成其他密钥。
设备主密钥MK，当更新表计中的密钥(包括MK本身、AK和EK)时，对新密钥进行封装。
设备认证密钥AK，在访问控制中作为身份验证密钥；在信息域加密中，用于对信息进行消息验证。
设备加密密钥EK，用于信息域加解密。
系统主密钥在电力局生成，通过生成工具导出系统主密钥经非对称签名及加密后的值发给集抄系统加密机并导入到加密机中。系统主密钥生成导入到USB key备份后立即在PC机上销毁，由电力局多个相关负责人保管多个USBkey，电力局人员只具备保管系统主密钥的权利，但无法获知系统主密钥，确保了整个系统中系统主密钥的保密。
本实施例中离散过程定义如图2所示：离散因子的不同确保了加密后的数据不一致从而保证每个设备的不同类型的密钥的唯一，加密后的密文再经MD5校验计算得到设备密钥，MD5校验的不可逆确保即使某一个设备的密钥泄露了，也无法通过该设备的密钥推导出其他设备的密钥。
集抄主站与设备通信时，调用加密机的接口及流程如图3。
其中加密时，加密机API接口的输入和输出分别为：
a、输入：
设备号；
初始化向量IV；
明文P；
验证附加信息ADD；
AK的密钥版本号；
AK的密钥类型；
AK的其他离散因子；
EK的密钥版本号；
EK的密钥类型；
EK的其他离散因子。
b、输出：
密文；
消息验证码。
解密时，加密机的API接口输入输出分别为：
a、输入
设备号；
初始化向量IV；
明文P；
验证附加信息ADD；
AK的密钥版本号；
AK的密钥类型；
AK的其他离散因子；
EK的密钥版本号；
EK的密钥类型；
EK的其他离散因子；
密文C。
b、输出
明文P；
消息验证结果。
主站管理所有设备密钥因子，通信需要加解密时，将对应通信设备密钥的所有离散因子和明文或密文传给加密机，加密机根据离散因子临时生成密钥再对明文或密文进行加密或解密。
本实施例中加密机中只存储系统主密钥，所有设备的密钥根据设备的离散因子临时离散，在保障安全的前提下做到密钥管理的简单，加密机中只存储系统主密钥，与集抄系统中设备容量无关，因此集抄系统很方便扩容和升级。

Claims (10)

1.一种密钥管理方法，其特征在于：当需要加、解密时，主站将对应设备的设备离散因子和明文或密文传给加密机，加密机根据设备离散因子和存储在加密机中的系统主密钥临时离散获得设备密钥再对明文或密文进行加密或解密。
2.根据权利要求1所述的密钥管理方法，其特征在于：所述系统主密钥通过生成工具将领导种子和随机因子离散获得，经非对称签名和加密，所得的值导入到加密机中。
3.根据权利要求2所述的密钥管理方法，其特征在于：所述设备离散因子包括相应设备的设备特征信息，设备特征信息包括设备号、密钥版本号和密钥类型。
4.根据权利要求3所述的密钥管理方法，其特征在于：所述设备离散因子包括时间因子。
5.根据权利要求2所述的密钥管理方法，其特征在于：所述生成工具中的系统主密钥同时导入到USB key中备份，系统主密钥在USB key中备份后销毁生成工具中的系统主密钥。
6.根据权利要求1所述的密钥管理方法，其特征在于：设备离散因子和系统主密钥通过AES-GCM-128加密获得密文，密文在经DM5校验计算得到设备密钥。
7.一种密钥管理系统，其特征在于：该系统包括
主密钥生成模块，用于生成系统主密钥；
采集模块，用于采集相应设备的设备特征信息；
加密机，用于存储主密钥生成模块生成的系统主密钥，接收采集模块采集的设备特征信息，并以设备特征信息作为设备离散因子结合系统主密钥临时离散获得设备密钥。
8.根据权利要求7所述的密钥管理系统，其特征在于：所述主密钥生成模块包括
生成工具，通过领导种子和随机因子离散获得系统主密钥；
签名和加密模块，对系统主密钥进行非对称签名和加密，所得的值导入加密机。
9.根据权利要求8所述的密钥管理系统，其特征在于：该密钥管理系统还包括
主密钥备份模块，用于备份主密钥生成模块生成的系统主密钥；
主密钥删除模块，用于在主密钥备份模块备份系统主密钥后删除生成工具中的系统主密钥。
10.根据权利要求7所述的密钥管理系统，其特征在于：所述设备特征信息包括设备号、密钥版本号和密钥类型。
CN201610303698.3A 2016-05-10 2016-05-10 密钥管理方法及系统 Pending CN105978686A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610303698.3A CN105978686A (zh) 2016-05-10 2016-05-10 密钥管理方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610303698.3A CN105978686A (zh) 2016-05-10 2016-05-10 密钥管理方法及系统

Publications (1)

Publication Number Publication Date
CN105978686A true CN105978686A (zh) 2016-09-28

Family

ID=56991421

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610303698.3A Pending CN105978686A (zh) 2016-05-10 2016-05-10 密钥管理方法及系统

Country Status (1)

Country Link
CN (1) CN105978686A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107707347A (zh) * 2017-10-27 2018-02-16 深圳市文鼎创数据科技有限公司 用户密钥的备份方法及装置、用户密钥的导入方法及装置
CN108924116A (zh) * 2018-06-26 2018-11-30 包莉丽 电能质量监测查询系统
CN108924117A (zh) * 2018-06-26 2018-11-30 包莉丽 电能质量监测查询方法
CN112087299A (zh) * 2020-07-30 2020-12-15 宁波三星医疗电气股份有限公司 一种防窃电方法
WO2022001689A1 (zh) * 2020-06-29 2022-01-06 中兴通讯股份有限公司 用户数据恢复方法、装置、终端以及计算机存储介质
WO2022257411A1 (zh) * 2021-06-09 2022-12-15 深圳前海微众银行股份有限公司 一种数据处理方法及装置

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103001771A (zh) * 2012-11-14 2013-03-27 广东电网公司电力科学研究院 一种计量自动化系统数据传输安全加密方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103001771A (zh) * 2012-11-14 2013-03-27 广东电网公司电力科学研究院 一种计量自动化系统数据传输安全加密方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107707347A (zh) * 2017-10-27 2018-02-16 深圳市文鼎创数据科技有限公司 用户密钥的备份方法及装置、用户密钥的导入方法及装置
CN107707347B (zh) * 2017-10-27 2020-10-23 深圳市文鼎创数据科技有限公司 用户密钥的备份方法及装置、用户密钥的导入方法及装置
CN108924116A (zh) * 2018-06-26 2018-11-30 包莉丽 电能质量监测查询系统
CN108924117A (zh) * 2018-06-26 2018-11-30 包莉丽 电能质量监测查询方法
WO2022001689A1 (zh) * 2020-06-29 2022-01-06 中兴通讯股份有限公司 用户数据恢复方法、装置、终端以及计算机存储介质
CN112087299A (zh) * 2020-07-30 2020-12-15 宁波三星医疗电气股份有限公司 一种防窃电方法
CN112087299B (zh) * 2020-07-30 2023-04-28 宁波三星医疗电气股份有限公司 一种防窃电方法
WO2022257411A1 (zh) * 2021-06-09 2022-12-15 深圳前海微众银行股份有限公司 一种数据处理方法及装置

Similar Documents

Publication Publication Date Title
CN105978686A (zh) 密钥管理方法及系统
CN108880800B (zh) 基于量子保密通信的配用电通信系统及方法
CN107347058A (zh) 数据加密方法、数据解密方法、装置及系统
CN103067170B (zh) 一种基于ext2文件系统的加密方法
CN103580855B (zh) 一种基于共享技术的UsbKey密钥管理方法
CN105184181B (zh) 文件的加密方法、解密方法及装置
CN102185694A (zh) 基于指纹信息的电子文件加密的方法及其系统
CN103378971B (zh) 一种数据加密系统及方法
CN105656621A (zh) 一种密码设备安全管理方法
CN109218295A (zh) 文件保护方法、装置、计算机设备及存储介质
CN104866784B (zh) 一种基于bios加密的安全硬盘、数据加密及解密方法
CN106063182A (zh) 电子签名方法、系统及设备
CN111079188B (zh) mybatis字段加密解密装置及加密解密系统
CN106101150A (zh) 加密算法的实现方法和系统
CN103051459B (zh) 安全卡的交易密钥的管理方法和装置
CN111385085B (zh) 一种量子三级密钥体系实现方法及系统
CN104268480A (zh) 一种xml配置文件安全保护处理方法及系统
CN112653719A (zh) 汽车信息安全存储方法、装置、电子设备和存储介质
CN104579680A (zh) 一种安全分发种子的方法
CN104601820A (zh) 一种基于tf密码卡的手机终端信息保护方法
CN102624710A (zh) 一种敏感信息传输方法及系统
CN109510702A (zh) 一种基于计算机特征码的密钥存储及使用的方法
CN105915345B (zh) 一种家庭网关设备生产测试中授权生产和改制的实现方法
CN109145557A (zh) 一种计算机数据保护系统
CN109995519A (zh) 一种量子密钥流量服务方法与系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20170122

Address after: 410205 Hunan high tech Development Zone, torch City,, south of the building, floor, MO, Changsha

Applicant after: Hunan Haixing Electrical Appliance Co., Ltd.

Address before: Hangzhou City, Zhejiang province 310011 Moganshan Road No. 1418 (City Industrial Park)

Applicant before: Hangzhou Hexing Electrical Co., Ltd.

RJ01 Rejection of invention patent application after publication

Application publication date: 20160928

RJ01 Rejection of invention patent application after publication