CN106664198A - 用于加密密钥管理、联合和分配的系统和方法 - Google Patents

Abstract

描述了用于编制安全对象的系统和方法，包括例如在耦合到策略引擎的数据库中定义和存储多个策略，以及通过策略引擎接收安全对象和与安全对象相关联的至少一个对象属性。此外，策略引擎至少部分地基于至少一个对象属性以及多个策略中的对应于至少一个对象属性的至少一个来确定安全对象的可接受性。当安全对象被确定是可接受的时，安全对象被分配到与策略引擎相关联的至少一个通信设备。至少一个通信设备至少部分地基于安全对象来建立通信。

Description

用于加密密钥管理、联合和分配的系统和方法

相关专利申请的交叉引用

本申请要求于2013年10月7日提交的临时申请第61/887,662号和于2014年3月10日提交的临时申请第61/950,362号的优先权，并通过引用将其全部并入本文。

发明背景

1.发明领域

本发明的实施方案一般涉及在通信系统中使用的安全对象，并且更具体地，涉及安全对象的生成、管理、分配、联合和/或编制。

2.背景

在安全系统中，加密密钥涉及参数或数据，参数或数据指定如何使纯数据在加密处理期间可以被翻译成加密数据并且在解密过程期间将加密的数据翻译成纯数据。典型地，加密密钥在通信事务中对源设备(例如，发射设备)和目标设备(例如，接收装置)两者都可用。考虑到加密密钥被普遍地使用，加密密钥(以及其他安全对象)的有效管理以捍卫和回应对安全系统的威胁是至关重要的。

传统上，加密密钥管理被启动并在设备级处(例如，通过在通信事务中涉及的源设备和/或目标设备)执行。在另一方面，通信管理传统上在较高级别处集中管理(例如，通过用于源设备和目标设备的服务器)。最终的结果可能是加密管理与通信管理在程序上不同步。因此，正如在当前在公开密钥基础设施(PKI)实例中所证实的，加密密钥的松散控制可能会产生。此外，在企业中生成并分配的对称密钥的松散控制也可能发生。因此，最终结果可能是在通信管理或通信安全中出现故障。其它类型的加密对象遭遇类似的问题。

公开的概述

本公开描述了涉及安全对象编制的实施方案，包括但不限于安全对象的管理、分配和联合。安全对象可以包括但不限于加密密钥和其它安全对象(如，但不限于，用户身份信息、证书、生物识别数据、随机数发生器的数据、确定的随机数发生器的数据、非确定性的随机数发生器的数据、用户认证信息、策略组件、与组织安全组件相关联的其它组件和/或类似物)。

一种用于编制安全对象的方法，该方法包括但不限于，在耦合到策略引擎的数据库中定义和存储多个策略；通过策略引擎接收安全对象和与安全对象相关联的至少一个对象属性；利用策略引擎，至少部分地基于至少一个对象属性和多个策略中的对应于至少一个对象属性的至少一个来确定安全对象的可接受性；以及当安全对象被确定为可接受的时将安全对象分配到与策略引擎相关联的至少一个通信设备。至少一个通信设备至少部分地基于安全对象建立通信。

在一些实施方案中，安全对象是加密密钥。在各个实施方案中，至少一个对象属性包括安全对象、生成安全对象的第一设备、发送安全对象的第二设备、接收安全对象的第三设备、与第一设备相关联的第一用户、与第二设备相关联的第二用户以及与第三设备相关联的第三用户中的至少一个的特性。

根据一些实施方案，至少一个对象属性包括安全对象大小、生成安全对象的时间、生成安全对象的地理位置、安全对象的分类、与密钥源相关联的角色、与源设备相关联的角色以及与目标设备相关联的角色中的至少一个。

在一些实施方案中，多个策略包括当安全对象的大小在预定的大小范围内时接受安全对象。在各个实施方案中，多个策略包括接受当生成安全对象的时间在预定的时间间隔内时接受安全对象。

在一些实施方案中，多个策略包括当生成安全对象的地理位置在预定的区域内时接受安全对象。如在一些实施方案中实施的，多个策略包括当安全对象的分类与预定的安全对象分类组相关联时接受安全对象。在一些实施方案中，多个策略包括当与密钥源、源设备或目标设备相关联的角色与预定的角色组相关联时接受安全对象。

方法还包括将拒绝指示符发送给密钥源；以及将通知安全对象的不足的提示发送给密钥源，其中安全对象从密钥源接收。

在一些实施方案中，通过策略引擎接收安全对象包括通过策略引擎接收生成安全对象的请求以及通过策略引擎生成安全对象。

如根据各种实施方案实施的，用于编制安全对象的方法包括但不限于，在第一密钥编制设备的第一数据库中定义和存储第一多个策略。第一数据库与第一企业相关联。方法还包括利用与第一企业相关联的第一个密钥编制设备从与第二企业相关联的第二密钥编制设备接收第二安全对象以及与第二安全对象相关联的至少一个对象属性。此外，方法还包括利用第一密钥编制设备，至少部分地基于至少一个对象属性以及第一多个策略中的对应于至少一个对象属性的至少一个确定安全对象的可接受性，以及将安全对象分配到与第一企业相关联的第一通信设备。

如在一些实施方案中所描述的，方法还包括在第二密钥编制设备的第二数据库中定义和存储第二多个策略。至少第一多个策略的第一部分和第二多个策略的第二部分相同。

在一些实施方案中，方法还包括将安全对象从第一密钥编制设备发送到第二密钥编制设备，并且将安全对象分配到与第二企业相关联的第二通信设备，其中第一通信设备和第二通信设备可基于安全对象建立通信。

在各种实施方案中，方法还包括将安全对象从第一密钥编制设备发送到第二密钥编制设备；利用第二密钥编制设备，至少部分地基于至少一个对象属性和第二多个策略中的对应于至少一个对象属性的至少一个来确定安全对象的可接受性；并且将安全对象分配到与第二企业相关联的第二通信设备。第一通信设备和第二通信设备基于安全对象可以建立通信。

如在各种实施方案中实施的，从第二密钥编制设备接收安全对象以及与安全对象相关联的至少一个对象属性包括通过第一密钥编制设备从第二密钥编制设备接收生成安全对象的请求以及响应于请求利用与第一企业相关联的密钥源生成安全对象。

在一些实施方案中，包括计算机可读指令的计算机可读介质使得在指令被执行时使处理器：在数据库中定义多个策略；接收安全对象以及与安全对象相关联的至少一个对象属性；至少部分地基于至少一个对象属性和多个策略中的对应于至少一个对象属性的至少一个来确定安全对象的可接受性；并且当安全对象被确定是可接受的时，将安全对象分配到与处理器相关联的至少一个通信设备。至少一个通信设备至少部分地基于安全对象建立通信。在一些实施方案中，安全对象是加密密钥。

在各种实施方案中，至少一个对象属性包括安全对象大小、生成安全对象的时间、生成安全对象的地理位置、安全对象的分类、与密钥源相关联的角色、与源设备相关联的角色以及与目标设备相关联的角色中的至少一个。

如在一些实施方案中所实施的，多个策略包括在以下中的至少一项满足时接受安全对象：安全对象的大小在预定的大小范围内、生成安全对象的时间在预定的时间间隔内、生成安全对象的地理位置在预定的区域内、安全对象的分类被包括在预定的安全对象分类组内以及与密钥源、源设备或目标设备相关联的角色与预定的角色组相关联。

附图简述

图1是示出了根据各种实施方案的一般的加密密钥的编制系统的示例的示意性框图。

图2是示出了根据各种实施方案的加密密钥的编制系统的示例的示意性框图。

图3是示出了如在各种实施方案中实施的加密密钥的联合系统的示例的示意性框图。

图4是示出了根据一些实施方案的消耗密钥编制服务的通信设备的示例的示意性框图。

图5是示出了根据一些实施方案的用于发布请求和接收加密密钥的请求认证过程的示例的过程流程图。

图6是示出了根据各种实施方案的在各种密钥编制系统中实施的通信设备注册过程的示例的过程流程图。

图7是示出了根据各种实施方案的密钥管理和分配方法的示例的过程流程图。

图8是示出了根据各种实施方案的密钥联合过程的示例的过程流程图。

图9是示出了根据各种实施方案的加密密钥的管理和分配过程的示例的过程流程图。

详细描述

在以下的各种实施方案的描述中，涉及的附图组成本文件中的一部分并且以实例说明显示具体的本发明可能实践的实施方案。但是应该理解的是，其他实施方案可被利用并且在不背离在本公开中公开的各种实施方案的范围的情况下可以做出结构的改变。

本文描述的实施方案一般涉及安全对象编制。安全对象编制可以包括安全对象的管理、分配和联合。安全对象可以包括加密密钥和其它敏感对象(比如但不限于用户身份信息、证书、生物识别数据、随机数发生器数据、确定的随机数发生器数据、非确定的随机数发生器数据、用户认证信息、策略组件、其他与组织安全组件相关联的组件和/或诸如此类)。在本公开中，基于加密密钥的编制在各种实施方案中作为安全对象编制系统和方法的例子被描述。应当理解的是，编制系统和方法同样适用于包括上述那些的其他安全对象。

如本文中所使用的，“密钥编制”可以指在一个或多个企业中的密钥管理、密钥联合和密钥分配活动的组合。例如，描述的实施方案可以与一个或多个企业中利用加密相关的加密密钥信息的编制相关联。“企业密钥管理”可包括管理和/或监督用于加密数据、签署电子邮件、验证网络服务和/或其他潜在用途所需的不对称和对称的密钥的多个用途。这也可以包括用于通信系统的加密管理以包括无线电、蜂窝、卫星和基于互联网协议的通信。基于在联合组织(例如，企业)之间建立的信任，“企业密钥联合”可包括协调和谈判对多个不同的密钥编制平台(每个与联合组织相关联)的密钥信息的联合。“密钥分配”可指密钥材料的集中分配(例如，推送或转发)以支持在地方企业/或外国企业内的加密操作。特别地，密钥分配可涉及将合适的加密密钥分派或否则发送给合适关联的设备(例如，既可以是源设备也可以是目标设备的通信设备)。

密钥编制(例如，密钥编制设备，诸如耦合到请求处理器和各种支持数据库的管理请求处理器)的实施方案可通过集中的用户接口提供对加密密钥的管理、联合和分配的控制。这样的密钥编制设备可提供与通信、基础设施和应用相关联的集中的管理加密密钥的系统和/或方法。这样的密钥编制设备也可管理设备注册、监控与加密能力有关的设备健康状况和监控用于密钥编制活动的状态。这样的能力可允许稳健的事务报告以支持与通信、应用和基础设施管理相关联的审计活动。

密钥编制可用于除了通信系统的额外系统。密钥编制的其他实施可包括应用加密管理、虚拟化加密管理、存储加密管理和/或用户身份加密管理。总之，如果应用、通信或基础设施需要使用加密(或其他类型的使用安全对象的安全机制)和密钥(或安全对象)，则编制可被应用以提供所述的优点。通信系统可包括但不限于无线电通信、蜂窝通信、基于传输控制协议/互联网协议(TCP/IP)的通信、卫星通信装置等。应用系统可包括但不限于互联网语音协议VOIP应用、虚拟化、识别和认证、短信、本地存储。基础设施系统可包括但不限于存储方案、物理安全基础设施和医疗装置。

在特定实施方案中，密钥编制设备可使加密密钥生命周期的活动以集中的方式跨越多种类型的通信设备。密钥编制设备可利用用于与现存系统的互操作性的密钥管理的行业标准并且可使用例如用于作为密钥编制的一部分的所应用的密钥管理的协议。所应用的密钥编制和单独的密钥管理之间的差别可展示在用于通信系统的加密密钥管理和密钥分配中。考虑到在中断现存的连接之前需要建立新的加密连接，因此典型的通信系统不能利用密钥更新命令，由于在采取管理步骤建立新的通信线路之前它将中断通信。但是，密钥更新命令可为基础设施工作，以包括存储、应用和虚拟化的解决方案，其中能够在不损失管理能力的集中化控制的情况下重新建立服务。

密钥编制的系统架构不仅能够被配置为例如对于诸如密钥管理互操作性协议(KMIP)的支持系统允许使用基于标准的方法，而且有为诸如物理安全基础设施、虚拟应用、卫星通信系统和医疗装置的非标准系统开发支持接口的能力。这可通过在结构上分离消息处理与支持接口来实现。使用单纯的KMIP的例子，存储设备可以接收“密钥更新”命令，通信装置可以接收“放置并通知”命令，以及移动电话设备可以请求排队的“通知”命令，其通知移动电话设备将“获得消息”发送到待被中继到密钥管理和生成系统组件的密钥编制设备。在下面将讨论实施这些特征的示例系统。

在本文中描述的实施方案可包括密钥编制设备，密钥编制设备实施集中的、由上而下的企业加密密钥管理加密密钥(例如，诸如但不限于对称的密钥加密、非对称的密钥加密等)以及在安全系统中使用的其他安全对象。加密的这种集中、由上而下的控制可能是用于给定的企业。实施方案可包括在企业密钥管理、通信系统、应用以及基础设施上实现协调的KMIP，以用于实现以下中至少一个的加密密钥生命周期功能：设备注册、用户注册、系统和用户初始化、密钥材料安装、密钥建立、密钥注册、操作性使用、密钥存储、密钥分配、密钥更新、密钥恢复、密钥注销、密钥破坏、密钥撤销等。

如本文中提到的，与加密密钥相关联的“密钥属性”(属性、加密属性和/或类似物)可指与加密密钥相关联的特性、加密密钥的密码或安全特性、加密密钥的密码算法、生成/发送/接收加密密钥的设备、设备的用户和/或类似物。每个加密密钥可能与至少一个密钥属性相关联。加密密钥可利用其在数据值中所表示的相关联的密钥属性被发送和/或被接收。

如本文中提到的，“策略”可以是基于与加密密钥相关联的密钥属性(多个密钥属性)管理加密密钥的规则。在特定的实施方案中，策略可以指定特定的加密密钥是否是可接受的加密密钥。这种可接受性可基于关于加密密钥(例如，如从与加密密钥相关联的密钥属性中所示)是否可能是足够安全的安全性和密码考虑。换句话说，对于特定的通信事务所生成的加密密钥可以通过关于加密密钥是否对于该通信事务被允许或拒绝而评价的策略来提供以用于检查。

一些实施方案包括用于移动通信设备(例如，无线设备和/或类似物)的密钥编制的接口，或为提供用于无线电/卫星通信系统的密钥编制以包括在卫星通信中的遥测技术和有效负载的接口。实施方案的特定实现可包括用于诸如但不限于自动柜员机(ATM)、银行账户接口等的银行应用的接口。用于银行应用的接口可在任何移动或非移动设备上实现。实施方案可提供用于包括虚拟化的应用的密钥编制的接口，或提供用于包括路由器、交换机、虚拟专用网络(VPN)应用装置、防火墙、入侵检测系统(IDS)、入侵防御系统(IPS)、编译器和/或诸如此类的网络基础设施的密钥编制的接口。

例如，集中式密钥管理可以私人环境和/或公共环境中提供以用于对称的加密密钥或非对称的加密密钥。在一些实施方案中，现有的网络基础设施信息可被消耗以基于网络基础设施的活动/不活动状态来分配加密密钥，或基于能够易于接受加密密钥(例如，现有的硬件/软件可被安装在用于接受加密密钥的设备上)的装置来分配和管理用于网络基础设施的加密密钥。

实施方案可以使对于在给定的加密管理操作(例如，在推送密钥事件中)的点处不可用的通信设备的加密密钥的事务信息排队。此外，在本文描述的实施方案可集中地显示加密密钥生命周期信息(对于支持的基础设施)并且显示成功的加密密钥管理事务。除此之外或作为替代，失败消息和/或不成功的加密密钥管理事务的原因可能被显示。

在一些实施方案中，可提供用于通信设备的在时间的基础上取得新的非对称密钥的服务接口。此外，可提供用于通信设备的在时间的基础上取得新的对称密钥的服务接口。在一些实施方案中，可提供用于通信设备的在用户启动的基础上取得新的非对称密钥的服务接口。在各种实施方案中，可提供用于通信设备的在用户启动的基础上取得新的对称密钥的服务接口。另外，可提供如上所述的基于在两个或更多个密钥管理和编制设备之间的基于建立的信任的密钥交换的加密密钥的联合分配。

在一些实施方案中，可以提供基于对联合的对称密钥分配的配置来将联合的对称密钥分配到地方企业基础设施。在各种实施方案中，可以提供基于对联合的非对称密钥分配的配置来将联合的非对称密钥分配到地方企业基础设施。此外，通过使用多个设备实现联合的信任模型和分离密钥分配可被提供以在两个需要安全通信的非信任实体之间建立信任。

密钥编制设备(例如，管理请求处理器和相关联的组件)可包括子模块，子模块包括商业逻辑模块、认证和授权模块、策略执行模块、系统一致性/验证模块和/或用于执行在本文中描述的功能的类似物。

图1是如在各种实施方案中实施的通用加密密钥编制系统100的例子的示意图。在各种实施方案中，密钥编制设备110可被耦合到至少一个源设备150a和至少一个目标设备150b。密钥编制设备110可包括至少一个台式计算机、大型计算机、笔记本电脑、平板设备、智能手机设备等，其配置由硬件和软件以执行本文中所述的操作。例如，密钥编制设备110可包括具有合适的处理能力、存储器、用户接口(例如，显示和输入)能力以及通信能力的计算系统，且配置有合适的软件来执行本文所述的操作。因此，特定实施方案可通过将在许多商业和组织环境中通常已经存在的处理器设备配置有在本文中所描述的合适的软件处理而使用这些设备来执行。因此，这种实施方案能够以最小的额外的硬件成本来实现。但是，密钥编制设备110的其他实施方案可涉及用被特别地配置为执行本文所述的操作的专用设备硬件/设备来实现的系统和方法。

通常地，源设备150a可以是发送数据(或启动通信)的通信设备，对于该数据加密(以及因此加密密钥)可能是需要或优选的。目标设备150b可以是用于接收已经被加密(例如，有加密密钥)的数据的通信设备。根据各种实施方案，源设备150a和/或目标设备150b可以是ATM。源设备150a和/或目标设备150b也可以是用于存储银行账户信息和执行银行系统功能的任何服务器或设备。在特定实施方案中，源设备150a和目标设备150b中的每一个可以包括移动智能手机(诸如，但不限于iPhone^TM和Android^TM手机等)或其他具有合适的处理和加密能力的无线移动通信设备。典型的现代移动通信设备包括电话通信电子器件以及一些处理器电子器件、一个或多个显示设备和键盘和/或其他用户输入设备。在进一步的实施方案中，源装置150a和目标设备150b中的每一个可包括任何合适类型的移动电话和/或其它类型的便携式电子通信设备，诸如但不限于，电子智能平板设备(诸如但不限于iPad^TM)、便携式计算机等。应该注意的是，加密密钥可以要么起源于源设备150a要么起源于目标设备150b和/或两者。换言之，源设备150a或目标设备150b两者之一可以是密钥源170。源设备150a和目标设备150b可与相同的企业或不同的企业相关联。在其他的实施方案中，源设备150a或目标设备150b中的一个或两者都可以是适于和有线或无线设备通信的有线设备。

在一些实施方案中，密钥编制设备110可以是与源设备150a和目标设备150b相关联的企业的一部分。企业可以是在至少一个源设备150a和/或目标设备150b上具有支配的组织或安全单元。关于在与不同的企业相关联的源设备150a和目标设备150b之间的通信，源设备150a可与第一企业相关联并且目标设备150b可以与第二不同的企业相关联。企业可以是公司、公司内的子群、自主和独立的实体、通信组，安全供应商、各种实体、组织和/或类似物。每个密钥编制设备110可为诸如源设备150a和目标设备150b的多个设备执行密钥编制活动，为密钥编制建立分层模型。

在其他实施方案中，密钥编制设备110可以是耦合到与源设备150a和/或目标设备150b相关联的企业的第三方服务器。因此，各种实施方案可影响具有现有的企业的通信系统和协议的加密密钥编制的集中化。换言之，密钥编制设备110可被实现以与用于通信、应用和基础设施的现有的加密技术合作。密钥编制(例如，通过第三方或以其他方式)可与密钥信息的源和目标(例如，加密密钥和相关联的密钥属性160)两者相互作用。因此，当维持在其中源设备150a和目标设备150b可请求密钥信息的同时可实现密钥编制的由上而下控制。

在一些实施方案中，密钥源170可被耦合到密钥编制设备110。密钥源170可以是通过其可生成加密密钥(或任何其他类型的安全对象)的任何源。在一些实施方案中，密钥源170可以是密钥编制设备110(例如，在密钥编制设备110内或耦合到密钥编制设备110的模块或数据库)的一部分。在其他的实施方案中，密钥源170可以是密钥编制设备110外部的源。密钥源170可以包括源设备150a和/或目标设备150b，其中的一个或多个可能够生成用于在其间通信的加密密钥。可选地或另外地，密钥源170可以是在与源设备150a和/或目标设备150b相同的企业内部或外部的密钥生成设备(而不是源设备150a和目标设备150b)。在这些情况下，密钥源170可以是与密钥编制设备110分开地实现现有的专业的密钥生成设备(例如，图2的密钥生成和管理设备230)。密钥源170的其他例子可包括图2的管理用户接口220(例如，加密密钥可通过管理用户接口220手动地生成)、图2的密钥联合接口260(例如，从不同的企业生成的加密密钥)、存储所生成的加密密钥的各种数据库和/或类似物。

在各种实施方案中，请求175可被发送到密钥编制设备110。请求175可以是生成加密密钥的请求。例如，密钥编制设备110本身可响应于请求175生成(或从耦合到密钥编制设备110的数据库中检索)加密密钥。在其他例子中，密钥编制设备110可从相同或不同的企业内的其他设备(例如，密钥源170)请求加密密钥。

请求175可发源于源设备150a、目标设备150b、密钥编制设备本身110、在相同的企业内的第三方设备(例如，管理用户接口220、密钥管理接口240等)、在不同的企业中的第三方设备(例如，来自图2的密钥联合接口260)和/或类似物。密钥编制设备110的实施方案可因此用作在源设备150a、目标设备150b、请求设备(其发布请求175)、密钥源170和/或类似物之间的中间设备。因此，对于在相同或不同的企业中的各种设备，密钥管理、分配和联合可有效地被管理。

在通用的加密密钥编制系统100(例如，密钥编制设备110、源设备150a、目标设备150b、密钥编制设备本身110、发布请求175的设备、密钥源170和/或类似物)内的各种组件可经由合适的有线或无线网络被连接。网络可以是安全的或不安全的。例如，网络可以是广域通信网，诸如但不限于互联网或一个或多个内部网、局域网(LAN)、以太网、城域网(MAN)、广域网(WAN)、其组合等。在特定实施方案中，网络可代表一个或多个安全网络，其被配置有合适的安全特征，诸如但不限于防火墙、加密或阻止未授权的人员或实体接入网络通信的其他软件或硬件配置。

在一些实施方案中，密钥属性160一般可指与加密密钥本身相关联的特性、与加密密钥相关联的设备的特性和/或类似物。换言之，密钥属性160可指加密密钥在何时、何地、如何、为什么、与什么设备已经或将要被生成。密钥属性160的例子可包括但不限于加密密钥的大小、加密密钥的分类、加密密钥已经或将要被生成的时间(例如，通过密钥源170)、加密密钥已经或将要被生成的地点(例如，通过密钥源170)，与密钥源170相关联的角色、与源设备150a相关联的角色、与目标设备150b相关联的角色、与密钥生成/存储设备相关联的角色、与源设备150a的用户相关联的角色、目标设备150b、密钥生成/存储设备、源170、其组合和/或类似物。

在一些实施方案中，密钥属性160可包括密钥大小。典型地，密钥大小越大(即，加密密钥越长)，它可向通信提供越多的安全性。密钥属性160也可包括加密密钥的分类。在各种实施方案中，加密密钥的分类可指它的用途，例如，加密密钥可以用于做什么。用途的例子可包括(例如，对于通信系统)加密密钥是否是全局跳变密钥、加密密钥是否是保密密钥、加密密钥是否是对称或非对称的、其组合和/或类似物。

在一些实施方案中，密钥属性160可包括在其处加密密钥已经或将要被生成的时间和/或位置。如所描述的，加密密钥可能生成的时间和地点可能由源设备150a、目标设备150b和/或任何其他密钥源170的角度来定义。例如，当加密密钥被生成(和/或被发送、被接收)时，可以确定设备(例如，密钥源170)生成(和/或发送、接收)加密密钥的对应的时间。加密密钥可与代表时间的时间戳一起被发送/存储。类似地，当加密密钥被生成(和/或被发送、被接收)时，可以确定设备(例如，密钥源170)生成(和/或发送、接收)加密密钥的对应的地理位置。加密密钥可与地理位置一起被发送/存储。

在各种实施方案中，密钥属性160可包括与源设备150a、目标设备150b、密钥源170、其他密钥生成/存储设备相关联的角色(多个角色)，以及与它们相关联的用户。特别地，角色指的是在其中设备/用户被分派的组/分类(例如，基于预先定义的分派、时间、设备的地理位置、设备是否正生成加密密钥、设备是否正发送加密密钥、设备是否正接收加密密钥和/或类似物)、安全许可的级别、设备/用户的类型、其组合和/或类似物。在特定例子中，每个设备/用户可与至少一个安全组(例如，被分派给服务器)相关联。在每个安全组内，子组可存在以进一步把设备/用户细分。组/子组可以通过任何合适的人员被预定。在其他或进一步的实施方案中，组/子组可以当加密密钥被生成时(例如，基于设备当前的特征，诸如地理位置、一天中的时间和/或类似物)时来定义。

本领域中的技术人员应该认识到，一个或多个密钥属性160可以与给定的加密密钥相关联。实际上，如在各种实施方案中所实施的，加密密钥可以与多个密钥属性160相关联。加密密钥可以连同相关联的密钥属性160一起被发送到设备(例如，密钥编制设备110)。加密密钥和与加密密钥相关联的密钥属性160可根据与密钥属性160有关的至少一个策略被检查。这样的过程可以被称为针对相关策略“命中(shooting)”密钥属性160或“呈现(presenting)”密钥属性160以由策略“检查”。

加密密钥一般由一组策略115管理。如在各种实施方案中所实施的，策略可以指管理用于密钥属性160的标准的至少一个定义的规则。在一些实施方案中，策略引擎(例如，如嵌入在密钥编制设备110中和/或如在本文中所述的其他设备)可以接收加密密钥以及与加密密钥相关联的密钥属性160作为输入。策略引擎可基于密钥属性160输出关于加密密钥是否是可允许的响应。在特定实施方案中，策略引擎可输出二进制响应(例如，接受或拒绝)。

加密密钥和相关联的密钥属性160可被提供以用于为每个通信事务进行一次或多次检查。在一些实施方案中，加密密钥和相关联的密钥属性160可能对于每个通信事务只需要被提供以由策略115检查一次(例如，在通信事务之前已经发生之前但在加密密钥已经生成之后的启动阶段)。在其他或进一步的实施方案中，加密密钥和相关联的密钥属性160可需要提出以用于通过策略115周期性地和/或每当加密密钥已经为给定的通信事务改变时进行检查。在一些情况下，一些加密密钥可被提出用于对给定的通信事务由策略115进行检查。

策略引擎可识别接收到的密钥属性160。策略引擎可从本地或远程存储数据库检索相关的策略115。在其他实施方案中，当策略引擎基于预定组的策略115确定可接受性时，策略引擎可检查与加密密钥相关联的密钥属性160(或一些时候的全部密钥属性160)。例如，策略引擎可基于相关的策略115来确定加密密钥是否对于加密密钥可为其生成的通信事务应该被接受。

在一个非限制性的例子中，策略115可指定加密密钥的大小一定在预定的范围内(例如，加密密钥的大小必须超出和/或低于128比特、192比特、256比特和/或类似物)。在一些情况下，策略115可指定加密密钥的大小必须是特定的密钥大小(例如，256比特和/或类似物)。

策略115可要求密钥属性160的地理位置属性与预定的位置相关联(或不关联)和/或在预定的区域内(或不在预定的区域内)。例如，当加密密钥(例如，如通过生成、发送和/或接收加密密钥的设备的地理位置所定义)的地理位置属性与“危险”区域相关联时，策略引擎可拒绝加密密钥。这是因为存在加密密钥可能在危险区域中被盗用的高度可能性。在另一方面，当加密密钥的地理位置属性与“安全”区域相关联时，加密密钥然后被允许进行通信事务。这是因为安全密钥被盗用的可能性最低。在进一步的实施方案中，“中立”区域可能是安全区域或在可选方案中，“中立”区域与安全密钥被盗的中间可能性相关联。

在另一个非限制性的例子中，策略115可以要求密钥属性160的时间属性在预定的时间周期内(或不在其内)。策略115可基于与加密密钥创建、发送和/或接收相关联的时间属性(例如，时间戳)在预定的时间周期以外而拒绝加密密钥(例如，在上午3点，其中加密密钥的可接受的创建、发送和/或接收时间可以是在上午9点到下午5点之间)。

在各种实施方案中，策略115可允许当密钥属性160的角色属性与加密密钥生成/发送/接收设备(以及设备的关联用户)相关联时，加密密钥在预定的可接受的组内。在一些例子里，与企业内的第一安全组相关联的源设备150a(目标设备150b或其他源设备170)可生成加密密钥并且提出加密密钥以用于由策略115检查。策略引擎可确定第一安全组是否可以成为可接受的组的一部分。当策略引擎确定了源设备150a(目标设备150b或其他源设备170)是可接受的组(例如，第一安全组属于可接受的组)的一部分时，加密密钥可被允许用于已经为其创建加密的通信事务。

本领域的普通技术人员应理解的是，多个策略115可表示与综合的加密密钥管理方案一致。这意味着，其中每个可调整至少一个不同的密钥属性160的多个策略115可被聚合成一组策略115以用于调整被提交给策略引擎的加密密钥。

在其他的例子中，其他密钥源170(例如，除了源设备150a和目标设备150b之外)可以生成加密密钥以分配(或推送)到源设备150a和/或目标设备150b以用于在这些设备间的通信事务。策略引擎(例如，密钥编制设备110)可检查密钥属性160以确定加密密钥是否是许可的。响应于加密密钥被确定是被许可的，密钥编制设备110可确定将加密密钥分配到源设备150a和/或目标设备150b以用于通信事务。

在各种实施方案中，当策略引擎拒绝加密密钥时，策略引擎可将拒绝指示符(例如，“拒绝”消息)发送到密钥源170。密钥生成设备可重新设计第二个加密密钥以提交(连同与第二个加密密钥相关联的密钥属性一起)给策略引擎以用于第二轮的检查。在其他的实施方案中，当策略引擎拒绝加密密钥时，策略引擎可将“拒绝”消息连同失败的原因(例如，提示)一起发送到密钥源170，失败的原因是关于密钥属性160引起的拒绝和/或密钥属性160应当是失败的原因。

例如，加密密钥以及包括上午4点49分的时间属性、“安全区域”的地理位置属性和“安全组A”的角色属性的密钥属性160可被提交到一组策略115。当加密密钥在上午5点到下午9点之间、在“安全区域”或“中立区域”并且为安全组A-C生成时，策略引擎认可允许加密密钥。假定这样的加密密钥不是在上午5点到下午9点之间生成，则其可以被拒绝。策略引擎可将“拒绝”消息连同时间属性提示(例如，生成加密密钥在上午5点之后，在11分钟内)一起发送。

因此，密钥编制设备110可被配置为管理加密密钥并且分配加密密钥。换言之，密钥编制设备110可用作在源设备150a、目标设备150b、其他密钥源170和/或类似物之间的中间设备，由于这些设备本身可能缺少以关于密钥编制设备110的所阐述的方式分配和管理加密的能力。密钥编制设备110可包括多个模块(或可被耦合到远程模块)以用于如本文所述的每个特征。此外，通用的加密密钥编制系统100可与至少一个其他相似的通用加密密钥编制系统100耦合以组成如本文所述的加密密钥联合方案。

图2是示出根据各种实施方案的加密密钥编制系统200的例子的示意图。在一些实施方案中，加密密钥编制系统200可以说明通用的加密密钥编制系统100的具体实现。从架构的角度来看，如对于加密密钥编制系统200所说明的实施方案可以集中围绕消息处理和与密钥生成技术的互操作性、其它密钥编制设备、支持的通信系统、应用和基础设施。

密钥编制设备110可至少包括管理请求处理器205、请求处理器210、支持结构215、密钥联合接口260以及相关联的数据库(例如，本地密钥数据库270、事务数据库275、策略数据库280、本地用户储存库285、配置数据库290、设备库存数据库295)。

在各种实施方案中，管理请求处理器205可包括(或是)策略引擎，其可实现以用于基于策略的加密密钥的管理、分配和联合。由于管理请求处理器205可以是介于所描述的各个组件之间的中间层，因此基于策略的加密密钥管理、分配和联合的快速整合可以被加到现有的系统而不需要必须改变系统级信息处理。管理请求处理器205可提供用于与给定的企业相关联的各种通信设备(例如，蜂窝设备250a、网络设备250b……设备N 250n和/或类似物)的由上而下的管理。在各种实施方案中，蜂窝设备250a、网络设备250b……和设备N250n中的每一个可以是根据加密密钥为其生成的特定通信事务的源设备150a或目标设备150b。

管理请求处理器205和请求处理器210可能是代理-接口的关系。换言之，请求处理器210可用作管理请求处理器205和与企业相关联的各种通信设备(例如，蜂窝设备250a、网络设备250b……设备N 250n和/或类似物)之间的接口。在管理请求处理器205和请求处理器210之间的通信可以通过支持结构215来促进。支持结构215可提供合适的通信协议、管理应用、基础设施、通信应用程序接口(API)、配置、翻译和/或用于在管理请求处理器205和请求处理器210之间进行交互的类似物。

请求处理器210可接收来自各个通信设备的密钥生成请求175和/或加密密钥并且利用支持结构215的帮助使它们和管理请求处理器205相联系。请求处理器210也可利用支持结构215的帮助，使管理请求处理器205(在一些实施方案中包括提示)的响应和/或加密密钥和各种通信设备相联系。

在各种实施方案中，管理请求处理器205可接收用于生成加密密钥的请求175。各种组件可以能够将请求175发送到管理请求处理器205。一些实施方案，管理请求处理器205可从与企业相关联的各种通信设备(例如，蜂窝设备250a、网络设备250b……设备N 250n和/或类似物)接收请求175。请求175可与请求处理器210相关，如所述的其可用作设备和管理请求处理器之间的接口。密钥联合接口260、管理用户接口220和密钥管理接口240也可将请求175发送到管理请求处理器。

在非请求驱动的实施方案中，管理请求处理器205可从至少一个密钥源170接收加密密钥。密钥源170可以是密钥生成和管理设备230，其可以是在企业内实现的任何合适的现有的加密密钥生成装置。换言之，密钥生成和管理设备230可代表企业的通信系统内部或外部的任何现有方案。例如，密钥生成和管理设备230可以是与安全网装置相关联的任何合适的本地协议。

密钥管理接口240的实施方案可代表密钥生成和密钥管理能力的内部整合以及利用现有的解决方案的外部接口。这是因为密钥管理接口240可能是平衡在密钥生成和管理设备230(其可生成加密密钥)以及管理请求处理器205(其基于策略115检查加密密钥的密钥属性160)之间。例如，密钥管理接口240可以是维持与密钥编制设备110的标准的加密管理消息传递语言的翻译接口。这可以允许在现有的解决方案(例如，密钥生成和管理设备230)和密钥编制平台(例如，管理请求处理器205)之间的企业的互操作性。因此，基于策略的加密密钥编制系统和方法可以利用各种类型的安全对象(例如，加密密钥)产生协议来实现。

另外地或可选地，在请求驱动的实施方案中，管理用户接口220可将请求175发送到管理请求处理器210。管理用户接口220可利用与本文中描述的其他组件相同的API来保证互操作性。管理用户接口220可包括合适的用户输入和显示设备以接收和显示数据给指定的管理用户。在特定实施方案中，管理用户接口220可包括诸如智能手机或平板电脑的移动设备。管理用户接口220也可包括有线设备。

在一些实施方案中，密钥联合接口260可将请求175发送到管理请求处理器205。密钥联合接口260可以是与关联于不同的企业(其可利用相同的或相似的所描述的密钥编制系统和方法)的第二密钥联合接口(诸如，但不限于，密钥联合接口260)通信。当各种通信设备中的一个(例如，蜂窝设备250a、网络设备250b……设备N 250n和/或类似物)希望与来自不同企业的另一个设备通信时(或反之)，请求175可被发送(从第二企业的密钥联合接口260)到当前企业的密钥联合接口260。在一些实施方案中，请求175可以在密钥联合接口260已指定信任的企业之间的关系时被直接发送到管理请求处理器205。

在一些实施方案中，代替请求175或除了请求175之外，加密密钥以及“许可的”和“拒绝的”消息可以在(当前的和第二企业的)密钥联合接口260之间被发送和接收。加密密钥及其相关联的属性160可以被存储在本地密钥数据库270中，其可通过管理请求处理器205(用于策略检查)和/或请求处理器210(用于分配)来访问。

请求175和有关生成加密密钥的进一步的指令可被发送。进一步的指令包括但不限于加密密钥的源、加密密钥本身、与加密密钥相关联的密钥属性160和/或类似物。

在各种实施方案中，响应于接收到请求175，管理请求处理器205可生成或促进加密密钥的生成。例如，在其中请求175关于加密密钥在何处被生成(例如，密钥源170)可以沉默的情况下，管理请求处理器205本身可生成加密密钥。管理请求处理器205可以基于存储在策略数据库280里的一组策略115来生成加密密钥。换言之，管理请求处理器205可生成加密密钥和密钥属性160，其将不违反在策略数据库280中阐述的任何策略115。

在其中请求175关于加密密钥在何处被生成(例如，密钥源170)可以沉默或者指定特定密钥源170生成加密密钥的情况下，管理请求处理器205可以检索或者否则从合适的密钥源170另外请求加密密钥。管理请求处理器205可从管理用户接口220、密钥联合接口260、通信设备(例如，蜂窝设备250a、网络设备250b……设备N 250n、源设备150a以及目标设备150b)、密钥管理接口240和/或类似物来请求加密密钥。

管理请求处理器205可从存储加密密钥的指定数据库(例如，本地密钥数据库270)检索加密密钥。本地密钥数据库270可被耦合到其他的密钥源170(例如，蜂窝设备250a、网络设备250b……设备N 250n、源设备150a、目标设备150b、密钥生成和管理设备230、密钥联合接口260和/或类似物)以及存储代表其他密钥源170的缓存的加密密钥。管理请求处理器205可从本地密钥数据库270检索加密密钥，而不是从密钥源170请求加密密钥。这使得可提高用于检索/生成加密密钥的事务时间，并且使得网络问题将不会妨碍管理请求处理器205获得加密密钥的能力，假定本地密钥数据库可以是管理请求处理器205本地的(例如，位于同一个网络节点上)。当管理请求处理器205正从本地密钥数据库270检索加密密钥时，验证请求可被发送到密钥源170以保证待检索的加密密钥是否已经被密钥源170改变。确认或更新的加密密钥可被发送到本地密钥数据库270作为响应，使得管理请求处理器205可以因此接收加密密钥。

在一些实施方案中，管理请求处理器205在以如所描述的任何方式接收到加密密钥(无论请求过或没有)后，管理请求处理器205可缓存加密密钥连同密钥源标识符以及在本地密钥数据库270处的关联的密钥属性160。加密密钥、密钥源标识符和密钥属性160可被存储以防通信丢失或当加密密钥的加密密钥源不是授权的时。然而，在一些实施方案中，加密密钥可不与密钥属性160一起被发送。在这样的实施方案中，管理请求处理器205可确定来自诸如但不限于本地用户储存库285、设备库存数据库295和/或类似物的各种源的密钥属性160。

管理请求处理器205然后可以基于存储在策略数据库280中的一组策略115来检查与接收到的加密密钥相关联的密钥属性160。管理请求处理器205可从策略数据库280检索所有的策略115或者只检索相关的策略(例如，基于一些或所有的密钥属性160)。在一些实施方案中，由管理请求处理器205本身或在管理请求处理器205的指导下生成的加密密钥在它们基于策略115而创建时可免受策略115的检查。在其他实施方案中，由管理请求处理器205或在管理请求处理器205的指导下生成的所有的加密密钥可由策略115检查。以所描述的方式，基于策略115可许可的加密密钥可被许可，而不可接受的加密密钥可被拒绝。管理请求处理器205可被配置为更新或增加存储在策略数据库280中的策略(例如，如由管理用户接口220所指导的)。

本地用户储存库285可以是存储有关企业内的通信设备(例如，蜂窝设备250a、网络设备250b……设备N 250n和/或类似物)的本地用户的信息的数据库。在各种实施方案中，本地用户存储库285可存储将组成密钥属性160的用户的特性/信息。特性包括但不限于权限、安全组、分配的角色、其组合和/或类似物。安全组可被存储在层次树中。管理请求处理器205可对于这些特性访问本地用户储存库285并且利用他们作为与通过对应于这些特性的该设备所请求、发送或接受的加密密钥相关联的密钥属性160。管理请求处理器205可添加或改变存储在本地用户储存库285中的信息。存储在本地用户储存库285中的信息的拷贝可被发送到本地密钥数据库270作为密钥属性160被存储在本地密钥数据库270中。

在一些实施方案中，事务数据库275可存储各种通信事务或潜在的通信事务。在一些实施方案中，事务数据库275可将加密密钥发送实例(即，其中加密密钥被分配的实例)存储到一个或多个设备。例如，当特定加密密钥对于任何原因不能/不应该被转发(例如，向通信设备推送)时，转发事务(例如，工作)可被排队或否则存储在事务数据库275内以用于稍后转发加密密钥。事务数据库275也可存储每个特定加密密钥发送实例的状态，其可稍后被请求处理器210读取。例如，请求处理器210可稍后对于所有“未发出的”加密密钥发送实例而尝试发送所有或一些的加密密钥至对应的通信设备。事务数据库275可被耦合到本地密钥数据库270以得到访问待被转发到每个通信设备的密钥的权利，加密密钥可生成以用于每个通信设备。

在进一步的实施方案中，事务数据库275可被耦合到请求处理器210并且可以存储通信事务(对于其加密密钥可被请求、发送或接收)和/或相关联的密钥属性160。例如，请求处理器210可将这样的信息发送给事务数据库275。事务处理器275可被耦合到本地密钥数据库270。通信事务(如相关联的细节)可与存储在本地密钥数据库270中的加密密钥相关联。管理请求处理器205对于加密密钥和相关联的密钥属性260可以需要仅访问本地密钥数据库270。

配置数据库290可为密钥加密密钥编制系统200存储支持指令。在一些实施方案中，配置数据库290可存储内部网络、客户端的配置、应用的配置、IP地址分配、各种组件配置、设备权限、设备通信路径、证书和/或类似物。配置数据库290可被耦合到管理请求处理器205，其可需要存储在配置数据库290内的指令以用于操作。管理请求处理器205也可添加或改变存储在配置数据库290中的信息。

在一些实施方案中，设备库存数据库295可存储有关与给定的企业相关联的通信设备的信息。例如，存储的信息可包括但不限于安全组、安全级、地理位置、识别号、内部分类、设备规格、在其中加密密钥已经被创建的时间戳、其组合和/或类似物。请求处理器210可被耦合到设备库存数据库295以在其中存储这样的数据。管理请求处理器205也可被耦合到设备库存数据库295以用于访问这样的设备信息。设备库存数据库295适合于将特定的缓存密钥和对应的设备信息相关联作为密钥属性160。存储在设备库存数据库295中的信息的拷贝可被发送到本地密钥数据库270作为密钥属性160。

密钥联合接口260可允许一个密钥编制设备110基于建立的信任关系联合加密密钥信息与一个或多个其他的密钥编制设备110(通过它们相关联的各自的密钥联合接口260)。每个企业可包括密钥编制设备110。因此，密钥联合接口260可保持和至少一个其他企业的通信系统的信任关系。换句话说，它是延伸信任的途径。

图3示出了如在各种实施方案中实现的加密密钥联合系统300的例子。密钥联合系统300可以实现如关于图1-2所阐述的密钥编制设备110。密钥联合系统300可基于额外的企业通信关系和由密钥编制设备110(例如，管理请求处理器205和相关联的组件)启用的密钥联合。

根据由策略115对任一(或二者)企业的检查，由一个企业(例如，企业A390a)内的组件生成的加密密钥(例如，非对称加密密钥、对称加密密钥和/或类似物)可被分配到另一个企业(例如，企业B 390b)的不同的密钥编制设备(例如，密钥编制设备110、管理请求处理器205和它的相关联的组件和/或类似物)。这能够基于联合的信任模型实现与外部实体(例如，企业)的安全的通信或数据交换。这也能够允许加密管理在支持外部通信中与通信管理并行，以使得对称密钥加密能够用于通信。因此，考虑到从处理的角度非对称加密的使用与对称加密相比可能是昂贵的，可以改善通信平台的性能。

在密钥联合系统300中，每个企业(例如，企业A 390a或企业B 390b)可与密钥编制设备A 310a和密钥编制设备B 310b中的各自的一个相关联。密钥编制设备A 310a和密钥编制设备B 310b中的每一个可以是密钥编制设备110。密钥编制设备A 310a和密钥编制设备B310b可通过任何合适的网络互相通信。特别是，密钥编制设备A 310a和密钥编制设备B310b中的每一个的密钥联合接口(例如，密钥联合接口260)可互相通信。

在各种实施方案中，密钥管理服务器A 330a和密钥管理服务器B 330b可以是诸如但不限于密钥生成和管理设备230以及密钥管理接口240的设备。密钥管理服务器A 330a和密钥管理服务器B 330b中的每一个可以所描述的方式耦合到在它们各自的企业内的它们各自的密钥联合接口260。

设备A 350a和设备B 350b可尝试获得用于其间的通信的加密密钥。设备A 350a和设备B 350b中的每一个可以是源设备150a、目标设备150b、蜂窝设备250a、网络设备250b、……、设备N 250n、其组合和/或类似物。

加密密钥可以在一个企业(例如，企业A 390a)内以所描述的方式从任何合适的密钥源170中生成。加密密钥可以在具有或不具有来自企业B 390b或在企业A内的请求170的情况下由企业A 390a(例如，由在企业A 390a内的密钥源170)生成。加密密钥可以类似的方式同样地由企业B 390b生成。加密密钥及其相关联的密钥属性160可被提供到企业A 390a的策略引擎(例如，密钥编制设备A 310a，其可包括管理请求处理器205及其相关联的组件)以用于以所描述的方式进行检查。响应于企业A 390a的策略引擎确定加密密钥基于加密密钥属性160被接受，企业A 390a的密钥编制设备310a(例如，密钥联合接口260)可使加密密钥以及其相关联的密钥属性160与企业B 390b的密钥编制设备B 310b(例如，密钥联合接口260)相关。

在接收到加密密钥及其相关联的密钥属性160后，加密密钥及其相关联的密钥属性160可被提供到企业B390b的策略引擎(例如，密钥编制设备B 310b，其可还包括管理请求处理器205及其相关联的组件)以用于以所描述的方式进行检查。当密钥编制设备B 310b确定加密密钥符合为企业B 390b定义的其策略115时，加密密钥可被转发到设备A350a和设备B 350b二者。换言之，加密密钥(如由其密钥属性160定义的)可仅在它符合企业A 390a以及企业B 390b的一组策略115时被允许。企业A 390a的一组策略115中的至少一些可不同于企业B 390b的一组策略115中的至少一些。然而，加密密钥被发现即不被密钥编制设备A 310a允许也不被密钥编制设备b 310b允许，加密密钥可与“拒绝”消息和/或提示一起以所描述的方式返回到密钥源170。

在其他的实施方案中，被与仅一个企业(例如，企业A 390a或企业B 390b)相关联的策略115接受可能足以使加密密钥被允许。在这种情况下，信任延伸到策略115中的一些或有时是所有的策略115。此外，每个企业可包括对于联合的实例的一组策略115(例如，当企业的通信设备之间的通信将要发生时，每个企业可已经和所使用的一组策略115有关的其他企业意见一致)。因此，每个企业可为联合的方案存储(例如，在每个各自的策略数据库280中)相同的一组联合的(共同的和互反的)策略。联合的策略可对企业A 390a和企业B390b两者都是相同的。因此，被与一个企业相关联的一个密钥编制设备许可可足以使加密密钥被转发以用于在两个企业之间的通信。

在各种实施方案中，企业联合策略可被储存在每个策略数据库280中。企业联合策略可以指明在其中加密密钥可被联合的方式。例如，企业联合策略可指明联合策略，哪一个密钥编制设备可检查密钥属性160，哪一个企业可以为了加密密钥发布请求175，哪一个企业可以生成加密密钥，其组合和/或类似物。企业联合策略允许在策略定义中的灵活性。例如，企业联合策略可指明企业的每一个可报考除了联合策略之外的它自己的策略115，其中每个企业的策略115中的至少部分可以是不同的。

在一些实施方案中，每个各自的企业的通信平台A 320a和通信平台B 320b可经由任何合适的网络相互通信。在通信平台之间的这种通信可能是加密的通信，其中对应于这样的通信的加密密钥也可被提供以用于由规则115检查，其类似于关于设备(例如，设备A350a、设备B 350b和/或类似物)所描述的。每个通信平台可与各自的设备通信，使得有关密钥编制系统的配置可被交换。

图4示出了根据一些实施方案的作为企业的部分消耗密钥编制服务的通信设备400的例子。参考图1-4，通信设备400可以是诸如但不限于源设备150a、目标设备150b、蜂窝设备250a、网络设备250b、……、设备N 250n、设备A 350a、设备B 350b、其组合和/或类似物的设备。在一些实施方案中，通信设备400利用密钥编制来接收与应用相关联的加密密钥(或密钥更新)，该应用诸如但不限于电子邮件应用410a、语音互联网协议(VOIP)应用410b、存储加密410c和/或在通信设备400上的其他加密应用410d。

通信设备400可向密钥编制平台注册以接收密钥编制服务。通信设备400可提供应用接口420，基于被配置为从密钥编制设备110接收加密密钥分配和加密密钥管理消息(例如，“许可”消息、“拒绝”消息、提示和/或类似物)。应用接口420可被耦合到电子邮件应用410a、语音互联网协议(VOIP)应用410b、存储加密410c和/或其他的加密应用410d中的每一个以将接受的加密密钥转发给它们。

这个通信设备400也可通过KMIP代理430来利用KMIP接收来自密钥编制设备110的KMIP类型的命令。KMIP代理430可被连接至密钥存储器440以用于管理存储在其中的加密密钥。KMIP代理430也可被连接到设备端密码单元450。设备端密码单元450可被配置为生成加密密钥。响应于“拒绝”消息，设备端密码单元450可生成不同的加密密钥以提供给策略引擎用于检查。鉴于提示被给出，设备端密码单元450可基于提示生成不同的加密密钥。设备端密码单元450可在密钥存储器440中缓存它的加密密钥。设备端密码单元450可被耦合到应用接口420。应用接口420可将生成的加密密钥连同密钥属性160发送给策略引擎且将策略引擎的响应转发给设备端密码单元450，例如当响应是否定的时。

因此，可以获得操作级策略检查。考虑到通信设备400可能够与有关加密密钥的策略引擎相互作用，可以获得通过充当管理的第三方设备(例如，存在于密钥编制设备110中的策略引擎)服务用于加密密钥(或检查加密密钥)请求的能力。用于加密密钥的请求175或加密密钥可服务于每个通信事务。

图5示出了根据一些实施方案的用于在各种加密密钥编制系统中发布用于加密密钥请求175的请求认证过程500的例子。当密钥编制设备110(例如，管理请求处理器205、密钥编制设备A 310a、密钥编制设备B 310b和/或类似物)本身生成加密密钥时，请求认证过程500可以是密钥编制设备110内部的。在其他的实施方案中，请求认证过程500可以是密钥编制设备110外部的以支持与现有的密钥管理和密钥生成基础设施(例如，密钥生成和管理设备230、密钥管理服务器A 330a、密钥管理服务器B 330b和/或类似物)的整合。

首先，在块B510处，密钥编制设备110可以提供对密钥源170的认证信息。如所述，这中密钥源170可以是密钥编制设备110本身、密钥生成和管理设备230、管理用户接口220、密钥联合接口260、通信设备(例如，蜂窝设备250a、网络设备250b、……、设备N 250n、源设备150a、目标设备150b、设备A 350a、设备B 350b、通信设备400、其组合和/或类似物)和/或其他外部的密钥源。认证信息可以是任何合适的认证方法，诸如用户名/密码请求、安全的握手算法、生物识别请求、其组合和/或类似物。

接着，在块B520处，密钥编制设备110可从密钥源170接收认证响应。密钥编制设备110可认证响应且在密钥源170和密钥编制设备110之间建立信任的关系。接着，在块B530处，密钥编制设备110、管理用户接口220、密钥生成和管理设备230、通信设备以及其他API调用可发布密钥管理/生成请求(例如，请求175)到密钥源170。在一些实施方案中，密钥编制设备110可从信任的第三方(例如，通信设备、管理用户接口220、密钥联合接口260和/或其他第三方设备)转发请求175到密钥源170。在一些实施方案中，请求175可直接被发送到密钥源170。密钥编制设备110可被配置为当请求175没有识别处密钥源170时确定是否生成加密密钥本身或转发请求到另一个密钥源170。接着，在块B540处，密钥编制设备110可从密钥源170接收响应(例如，如所要求的加密密钥)。

随后，由密钥编制设备110获得的加密密钥可以所述的方式基于密钥属性160和策略115来评估。当被允许时，加密密钥可被分配到与对应的通信事务相关联的通信设备。当被拒绝时，密钥编制设备110可发送“拒绝”消息(以及在一些情况下，提示)以及备用的新的加密密钥。

在一些实施方案中，多个请求可被送到多个密钥源170，每个请求可对应于单独的通信事务。在响应中，多个响应(例如，加密密钥)可从密钥源170被接收。在其他的实施方案中，在两个或更多个请求可以对应于相同的通信事务的情况下，多个请求可被送到多个密钥源170。由于密钥编制设备110可从密钥源170接收两个或更多个加密密钥。密钥编制设备110可基于策略115确定用于通信事务的两个或更多个加密密钥中的一个(例如，在两个或更多个加密密钥中的最安全的)。

因此，通过密钥编制设备110的大规模的分配可能在包括用于加密密钥的至少一个源和多个接受通信设备的系统中。

图6是示出了根据各种实施方案的在各种密钥编制系统中实现的通信设备注册过程600的例子的过程流程图。块B610、B620、B630可以被同时或按照该顺序循序地执行。首先，在块B610处，通信设备可被发现(例如，由请求处理器210)。请求处理器210可自动地检测到通信设备存在于企业内(例如，与企业相关联的网络)。

在块B620处，通信设备可被注册(例如，由请求处理器210)。在一些实施方案中，有关密钥编制系统的配置信息可被发送到通信设备。通信设备的设备信息可被发送到本地用户储存库285、设备库存数据库295和/或类似物。在块B630处，通信设备可被登记(例如，由请求处理器210)。例如，通信设备可将服务器认证请求发送到请求处理器210以及接收肯定的认证响应。

然后，在块B640处，通信设备可被接受(例如，由请求处理器210)。例如，请求处理器210和/或管理请求处理器205可基于设备信息检查现有的策略115以确定通信设备是否已经在适当的组中被分类、密钥编制设备110是否可能够编制通信设备，其组合和/或类似物。

然后，在块B650处，请求处理器210可将设备认证信息提供给通信设备。认证信息可包括访问密钥编制设备110的配置(例如，证书、密码和/或类似物)。然后，在块B660处，请求处理器210和/或管理请求处理器205可定义通信设备的编制规则。在跟随块B660的块B670处的相应的标志符，通信设备已经被添加到编制注册。随后，通信设备可以以所述的方式请求加密密钥、生成加密密钥、接收被认可的加密密钥和/或类似物。这样的过程保证利用由密钥编制设备110提供的服务的通信设备可满足密钥编制设备110的可操作的标准。

图7示出了根据各种实施方案的密钥管理和分配过程700的例子。参考图1-7，密钥管理和分配过程700可利用注册的、发现的和/或向密钥编制设备110登记的通信设备实现。

首先，在块B710处，管理请求处理器205可定义密钥管理命令。密钥管理命令可以是密钥管理事件(例如，“工作”)的特定命令。密钥管理事件可以是触发一组算法以基于策略115创建加密密钥以及分配(例如，推送)加密密钥给通信设备(例如，蜂窝设备250a、网络设备250b、……、设备N 250n、源设备150a、目标设备150b、设备A 350a、设备B 350b、通信设备400、其组合和/或类似物)中的至少一个的事件。

在一些实施方案中，密钥管理事件可以基于时间。例如，管理请求处理器205可以被配置为用于与企业(或另一个企业)相关联的通信设备中的至少一些(有时是所有)的周期性(例如，每天、每周、每月和/或类似物)更新密钥。在各种实施方案中，密钥管理事件可以通过API调用自动地发生。API调用可从相同的或不同的企业内的密钥管理设备110内部和/或外部的任何组件发布。

密钥管理事件也可以是用户定义的。例如，管理用户接口220可从指定的用户接收用户输入以立刻生成用于至少一个通信设备的加密密钥。在这样的例子中，这样的用户定义的密钥管理事件可响应于突发事件而被启动，突发事件包括网络攻击、安全漏洞、策略115的改变和/或类似物。管理用户接口220也可以响应于这些密钥管理事件而改变存储在策略数据库280内的策略115。所创建的新的加密密钥必须遵循改变的一组策略115。

密钥管理命令可以包括将加密密钥提供给在相同的或不同的企业内的一些或所有的通信设备，将相同的或不同的加密密钥重新发送到在相同的或不同的企业内的一些或所有的通信设备，其组合和/或类似物。在各种实施方案中，管理请求处理器205可定义多个密钥管理命令，每个密钥管理命令可对应于与企业相关联的通信事务和/或通信设备。在进一步的实施方案中，当被联合模型允许时，管理请求处理器205可为与不同的企业相关联的通信设备定义密钥管理命令。管理命令(例如，加密密钥)可经由与每个企业相关联的密钥联合接口260被发送。

随后，在块B720处，管理请求处理器205可建立密钥管理命令队列。响应于密钥管理事件所创建的作业可包括多个密钥管理命令，每个密钥管理命令可对应于通信设备和/或通信事务。因此，在密钥管理命令正在生成新的加密密钥并且分配到两个或更多个通信设备的情况下，考虑到密钥管理命令的数量，密钥管理命令可被排队(例如，存储在事务数据库275内的)以用于执行。因此，复合指令可对应于多个密钥源的密钥管理命令以将加密密钥发布到接收通信设备的多个加密密钥。复合指令可与多个密钥管理命令相关联，并且可作为整体被存储在事务数据库275中等待分配。因此，即使服务器(例如，管理请求处理器205)在所有的密钥管理命令被执行/分配之前被关掉，但是服务器一启动，过程就可继续。

在块B730处，与非激活通信设备(例如，可被关掉的和/或离线的通信设备)相关联的密钥管理命令可被存储在事务数据库275中以用于通过管理请求处理器205的未来分配(例如，当非激活通信设备被启动时)。另一方面，在块B740处，对于激活的设备(例如，可被打开的和/或在线的通信设备)，密钥管理命令可通过管理请求处理器205执行。

例如，在块B750处，管理请求处理器205可基于密钥管理命令从密钥源170请求加密密钥。例如，密钥管理命令可指明一个或多个密钥源170以将加密密钥发布到通信设备。因此，一些通信设备可从第一密钥源接收加密密钥，而其他的通信设备可从第二不同的密钥源接收加密密钥。随后，在块B760处，管理请求处理器205可将加密密钥分配到通信设备。在一些实施方案中，管理请求处理器205可以所描述的方式基于密钥属性160和一组策略115执行加密密钥检查。一旦被认可，管理请求处理器205可通过请求处理器210将加密密钥转发到对应的通信设备。

随后，在块B770处，管理请求处理器205可从通信设备接收对分配的响应。例如，在块B780处，管理请求处理器205可基于通信设备的响应来确定这样的分配是否成功。在块B795处，鉴于管理请求处理器205确定关于给定的通信设备(例如，该通信设备已经接收到分配给它的加密密钥)分配是成功的，正反馈可被提供给管理请求处理器205。

在另一方面，在块B790处，鉴于管理请求处理器205确定对于给定的通信设备分配是不成功的(例如，该通信设备还没有接收到分配给它的加密密钥)，该通信设备的否定响应可被提供给管理请求处理器205。在块B798处，基于先存算法或用户输入，管理请求处理器205然后可确定是否尝试稍后再次为那个通信设备执行密钥管理命令。

当管理请求处理器205确定密钥管理命令(例如，加密的分配)的执行没有被再尝试(B798：否)，则过程结束。在另一方面，鉴于管理请求处理器205确定没有被成功分配的密钥管理命令再次被尝试(B798：是)，在块B730处密钥管理命令可被存储(例如，在事务数据库275中)以用于未来分配。

在一些实施方案中，当密钥管理命令的分配可能是不成功的时，管理请求处理器205可确定重试不成功的密钥管理命令的分配(B780：重试)。例如，在块B740处，管理请求处理器205可再次执行用于激活的设备的密钥管理命令。

图8是示出了根据各种实施方案的加密密钥联合过程800的例子的过程流程图。参考图1-8，密钥编制设备110(例如，既在相同的本地企业中又在国外企业中)可基于对密钥编制设备110实施的策略115或用于从一个企业到另一个企业联合企业密钥的每个企业互相地认证和分配加密密钥。此外，加密密钥联合过程800也可包括从国外的密钥编制设备接收加密密钥作为国外的密钥编制设备的联合规则的结果。

首先，在块B810处，本地密钥编制设备(例如，密钥编制设备A 310a)可将认证信息提供给国外的密钥编制设备(例如，密钥编制设备B 310b)。认证信息可以是任何合适的认证提示和/或联合的请求。随后，在块B820处，本地密钥编制设备可从同意启动联合模型的国外的密钥编制设备接收认证响应。块B810和B820可代表典型的安全证书握手，其中联合信任已经在两个企业间被建立。

随后，在块B830处，本地密钥编制设备可将信任策略信息提供给国外的密钥编制设备。在块B840处，本地密钥编制设备可从国外的密钥编制设备接收信任策略信息。信任策略信息可包括任何配置、设置、信任的范围、相互同意的策略、其组合和/或类似物。

接着，在块850处，本地密钥编制设备和国外的密钥编制设备可以以所述的方式管理和分配密钥信息(例如，加密密钥、相关联的密钥属性160、其组合和/或类似物)。

在特定实施方案中，国外的密钥编制设备将请求175发送到本地密钥编制设备以用于在与国外的密钥编制设备相关联的通信设备以及与本地的密钥编制设备相关联的通信设备之间生成通信事务的加密密钥。加密密钥可通过本地密钥编制设备来生成以及由本地策略引擎来检查。在一些实施方案中，但不是在其他的实施方案中，加密密钥可被发送到国外的密钥编制设备以用于由国外的策略引擎的检查。

在一些实施方案中，替代请求175，国外的密钥编制设备可发送生成的加密密钥(其可能或可能不会已经根据所指明的信任策略信息由国外的密钥编制设备的策略引擎检查)。基于在企业间指明的信任策略信息，本地密钥编制设备可能或可能不会通过策略115检查加密密钥以及它的相关联的密钥属性160。

图9是示出了根据各种实施方案的加密密钥管理和分配过程900的例子的过程流程图。在各种实施方案中，加密密钥管理和分配过程900可包含密钥编制的元素，其包括密钥管理、密钥分配和密钥联合。

首先，在块B910处，一组策略115可被定义，其中每个策略115可与一个或多个密钥属性160有关。策略115可由设计人员定义且被存储在策略数据库280中以用于未来的检索和更新。随后，在块B920处，管理请求处理器205可以以所述的方式从密钥源170接收加密密钥以及与加密密钥相关联的至少一个密钥属性。

随后，在块B930处，管理请求处理器205可至少部分地基于与至少一个密钥属性中的至少一个有关的至少一个密钥属性和一组策略115来确定所接收的加密密钥的可接受性。例如，管理请求处理器205可检查对应于密钥属性160的值以便以所述的方式来确定该值是否在由策略115定义的可接受的范围内。

随后，在块B940处，管理请求处理器205可确定加密密钥是否被接受。在块B950处，鉴于加密密钥已被接受(B940：是)，管理请求处理器205可将加密密钥分配给需要密钥以用于在其间的通信事务的通信设备。在另一方面，在块B960处，鉴于加密密钥是不可接受的(B940：否)，管理请求处理器205可将“拒绝”消息发送到密钥源170。可选地，在块B970处，管理请求处理器205可将提示发送密钥源以促进密钥生成。在块B920处，管理请求处理器205然后可待机直到接收到第二加密密钥(和相关联的密钥属性160)。

在本文中所述的密钥编制系统(例如，密钥编制设备110、管理请求处理器205、密钥编制设备A 310a、密钥编制设备B 310b和/或类似物)可在具有处理器和存储设备的任何合适的计算设备上被实施。处理器可包括任何合适的数据处理设备，诸如通用处理器(例如，微处理器)，但是在替代方案中，处理器可以是任何传统的处理器、控制器、微控制器或状态机。处理器也可作为计算设备的组合来实施，例如，DSP和微处理器的组合、多个微处理器、连同DSP核的至少一个微处理器或任何其他的这样的配置。存储器可以操作性地耦合到处理器并且可包括任何合适的设备以用于存储软件和控制的数据以及由处理器使用来执行在本文中描述的操作和功能，包括但不限于随机存取存储器RAM、只读存取器ROM、软盘、硬盘、加密狗或连接存储设备的其他RSB或类似物。

密钥编制设备110、管理请求处理器205、密钥编制设备A 310a和/或密钥编制设备B 310b可在合适的操作系统(OS)上实施，诸如但不限于Linux OS、Windows、Mac OS和类似物。另外地，密钥编制设备110、管理请求处理器205、密钥编制设备A 310a和/或密钥编制设备B 310b可在小形状因数(诸如嵌入式系统)上实施。

关于图1-9所述的实施方案涉及加密密钥。本领域技术人员应理解的是，在其他的实施方案中，针对包括管理、分配和联合的密钥编制设备110的系统和方法可同样地被实施用于其他敏感对象，诸如但不限于用户身份信息、证书、生物识别数据、随机数发生器数据、确定的随机数发生器数据、非确定的随机数发生器数据、用户认证信息、策略组件、与组织安全组件相关联的其他组件和/或类似物。

以上关于图1-9描述的各种实施方案包括各种过程和任务的性能。在各种实施方案中，这样的过程或任务可通过执行从计算机可读存储介质读取的计算机代码来被执行。例如，在各种实施方案中，一个或多个计算机可读存储介质存储一个或多个计算机程序，当被处理器执行时使处理器执行如关于在以上实施方案中的处理器所描述的过程或任务。此外，在各种实施方案中，一个或多个计算机可读存储介质存储一个或多个计算机程序，当被设备执行时，使计算机执行如关于在上面的实施方案中提到的设备所描述的过程和任务。在各种实施方案中，一个或多个计算机可读存储介质存储一个或多个计算机程序，当被数据库执行时，使数据库执行如关于在上面的实施方案中的数据库所描述的过程或任务。

因此，实施方案包括程序产品，其包括计算机可读的或机器可读的介质以用于携带或具有在其上存储的计算机或机器可执行的指令或数据结构。这样的计算机可读存储介质可以是能够被存取的任何可用的介质，例如，通过通用或专用的计算机或其他具有处理器的机器。举例来说，这样的计算机可读存储介质能够包括半导体存储器、闪存存储器、硬盘、诸如高密度磁盘(CD)或数字化视频光盘(DVD)的光盘、磁存储器、随机存储器(RAM)、只读存储器(ROM)和/或类似物。这些类型的存储器的组合也被包括在计算机可读存储介质的范围内。计算机可执行程序代码可包括例如指令和数据，其引起计算机或处理机来执行某些功能、计算、动作或类似物。

本文所公开的实施方案在所有方面被认为是说明性的而不是限制性的。本公开决不局限于上述的实施方案。可以对这些实施方案做出不脱离本公开的精神和范围的各种修改和改变。在权利要求的意义和等效范围内的各种修改和改变旨在落入本公开的范围之内。

Claims (20)

1.一种用于编制安全对象的方法，所述方法包括：

在耦合到策略引擎的数据库中定义和存储多个策略；

通过所述策略引擎接收所述安全对象和与所述安全对象相关联的至少一个对象属性；

至少部分地基于所述至少一个对象属性以及所述多个策略中的对应于所述至少一个对象属性的至少一个策略，利用所述策略引擎确定所述安全对象的可接受性；以及

当所述安全对象被确定为可接受时，将所述安全对象分配到与所述策略引擎相关联的至少一个通信设备，其中，所述至少一个通信设备至少部分地基于所述安全对象来建立通信。

2.根据权利要求1所述的方法，其中，所述安全对象是加密密钥。

3.根据权利要求1所述的方法，其中，所述至少一个对象属性包括所述安全对象、生成所述安全对象的第一设备、发送所述安全对象的第二设备、接收所述安全对象的第三设备、与所述第一设备相关联的第一用户、与所述第二设备相关联的第二用户以及与所述第三设备相关联的第三用户中的至少一个的特性。

4.根据权利要求1所述的方法，其中，所述至少一个对象属性包括安全对象大小、生成所述安全对象的时间、生成所述安全对象的地理位置、所述安全对象的分类、与密钥源相关联的角色、与源设备相关联的角色以及与目标设备相关联的角色中的至少一个。

5.根据权利要求4所述的方法，其中，所述多个策略包括当所述安全对象的大小在预定的大小范围内时接受所述安全对象。

6.根据权利要求4所述的方法，其中，所述多个策略包括当生成所述安全对象的时间在预定的时间间隔内时接受所述安全对象。

7.根据权利要求4所述的方法，其中，所述多个策略包括当生成所述安全对象的地理位置在预定的区域内时接受所述安全对象。

8.根据权利要求4所述的方法，其中，所述多个策略包括当所述安全对象的分类与预定的安全对象的分类组相关联时接受所述安全对象。

9.根据权利要求4所述的方法，其中，所述多个策略包括当与所述密钥源、所述源设备或所述目标设备相关联的角色与预定的角色组相关联时接受所述安全对象。

10.根据权利要求1所述的方法，还包括：

将拒绝指示符发送到密钥源；以及

将通知所述安全对象的不足的提示发送到所述密钥源，其中，所述安全对象接收自所述密钥源。

11.根据权利要求1所述的方法，其中，通过所述策略引擎接收所述安全对象包括：

通过所述策略引擎接收生成所述安全对象的请求；以及

通过所述策略引擎生成所述安全对象。

12.一种用于编制安全对象的方法，所述方法包括：

在第一密钥编制设备的第一数据库中定义和存储第一多个策略，所述第一数据库与第一企业相关联；

利用与所述第一企业相关联的所述第一密钥编制设备从与第二企业相关联的第二密钥编制设备接收所述安全对象以及与所述安全对象相关联的至少一个对象属性；

利用所述第一密钥编制设备，至少部分地基于所述至少一个对象属性以及所述第一多个策略中的对应于所述至少一个对象属性的至少一个策略，确定所述安全对象的可接受性；以及

将所述安全对象分配到与所述第一企业相关联的第一通信设备。

13.根据权利要求12所述的方法，还包括在所述第二密钥编制设备的第二数据库中定义和存储第二多个策略，其中至少所述第一多个策略的第一部分和所述第二多个策略的第二部分是相同的。

14.根据权利要求12所述的方法，还包括：

将所述安全对象从所述第一密钥编制设备发送到所述第二密钥编制设备；以及

将所述安全对象分配到与所述第二企业相关联的第二通信设备，其中所述第一通信设备和所述第二通信设备可基于所述安全对象建立通信。

15.根据权利要求13所述的方法，还包括：

将所述安全对象从所述第一密钥编制设备发送到所述第二密钥编制设备；

利用所述第二密钥编制设备，至少部分地基于所述至少一个对象属性以及所述第二多个策略中的对应于所述至少一个对象属性的至少一个策略，确定所述安全对象的可接受性；以及

将所述安全对象分配到与所述第二企业相关联的第二通信设备，其中所述第一通信设备和所述第二通信设备可基于所述安全对象建立通信。

16.根据权利要求12所述的方法，其中，从第二密钥编制设备接收所述安全对象以及与所述安全对象相关联的至少一个对象属性包括：

通过所述第一密钥编制设备从所述第二密钥编制设备接收生成所述安全对象的请求；以及

响应于所述请求，利用与所述第一企业相关联的密钥源生成所述安全对象。

17.一种计算机可读介质，包括计算机可读指令，使得所述计算机可读指令当被执行时使处理器：

在数据库中定义多个策略；

接收所述安全对象以及与所述安全对象相关联的至少一个对象属性；

至少部分地基于所述至少一个对象属性以及所述多个策略中的对应于所述至少一个对象属性的至少一个策略，确定所述安全对象的可接受性；以及

当所述安全对象被确定是可接受的时，将所述安全对象分配到与所述处理器相关联的至少一个通信设备，其中所述至少一个通信设备至少部分地基于所述安全对象来建立通信。

18.根据权利要求17所述的计算机可读介质，其中，所述安全对象是加密密钥。

19.根据权利要求17所述的计算机可读介质，其中，所述至少一个对象属性包括安全对象大小、生成所述安全对象的时间、生成所述安全对象的地理位置、所述安全对象的分类、与密钥源相关联的角色、与源设备相关联的角色以及与目标设备相关联的角色中的至少一个。

20.根据权利要求17所述的计算机可读介质，其中，所述多个策略包括在以下中的至少一项满足时接受所述安全对象：所述安全对象的大小在预定的大小范围内、生成所述安全对象的时间在预定的时间间隔内、生成所述安全对象的地理位置在预定的区域内、所述安全对象的分类被包括在预定的安全对象分类组中、以及与所述密钥源、所述源设备或所述目标设备相关联的角色与预定的角色组相关联。