CN107181589B - 一种堡垒机私钥管理方法及装置 - Google Patents

一种堡垒机私钥管理方法及装置 Download PDF

Info

Publication number
CN107181589B
CN107181589B CN201710233786.5A CN201710233786A CN107181589B CN 107181589 B CN107181589 B CN 107181589B CN 201710233786 A CN201710233786 A CN 201710233786A CN 107181589 B CN107181589 B CN 107181589B
Authority
CN
China
Prior art keywords
private key
key
bastion
bastion machine
parameter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710233786.5A
Other languages
English (en)
Other versions
CN107181589A (zh
Inventor
吴岩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing QIYI Century Science and Technology Co Ltd
Original Assignee
Beijing QIYI Century Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing QIYI Century Science and Technology Co Ltd filed Critical Beijing QIYI Century Science and Technology Co Ltd
Priority to CN201710233786.5A priority Critical patent/CN107181589B/zh
Publication of CN107181589A publication Critical patent/CN107181589A/zh
Application granted granted Critical
Publication of CN107181589B publication Critical patent/CN107181589B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Medicinal Preparation (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种堡垒机私钥管理方法及装置，其中，所述方法包括：堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；依据共享密钥算法对所述第一共享密钥解密码以及所述第二共享密钥解密码进行计算，得到解密密钥；依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥。通过本发明提供的堡垒机私钥管理方法，能够提升堡垒机私钥存储的安全性。

Description

一种堡垒机私钥管理方法及装置
技术领域
本发明涉及计算机技术领域，特别是涉及一种堡垒机私钥管理方法及装置。
背景技术
堡垒机为经过一定安全加固，可抵御一定攻击的安全审计系统。堡垒机的主要功能是对登录生产环境服务器的终端操作进行审计与权限控制并提供给终端单点登录功能。
终端通过堡垒机，使用SSH(Secure Shell，安全外壳)协议登录到生产环境服务器。堡垒机使用密钥登录形式，禁用密码登录。堡垒机存在一个公钥与一个私钥，公钥发布到各个生产环境服务器中，私钥存储在堡垒机本地，由于堡垒机私钥是登录到生产环境服务器的唯一凭证，因此一旦遭窃，就有可能造成持有堡垒机私钥的用户可以绕过堡垒机直接登录到生产环境。
目前主要通过以下两种方式保存堡垒机私钥：第一种，堡垒机私钥直接存储在堡垒机所在物理设备的硬盘中；第二种，堡垒机私钥使用明文存储在堡垒机中。
现有的堡垒机私钥存储方式存在以下弊端：第一、由于堡垒机所在的物理设备大都托管在数据中心，有可能发生设备丢失或者被冗余，也有可能设备报废回收时，堡垒机私钥被回收方直接获取，引起堡垒机私钥失窃。第二、由于堡垒机私钥使用明文存储，运维人员可以直接看到堡垒机私钥内容，容易造成堡垒机私钥泄漏。
发明内容
本发明提供了一种堡垒机私钥管理方法及装置，以解决现有技术中存在的对堡垒机私钥的存储存在安全隐患的问题。
为了解决上述问题，本发明公开了一种堡垒机私钥管理方法，其中，所述方法包括：堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；依据共享密钥算法对所述第一共享密钥解密码以及所述第二共享密钥解密码进行计算，得到解密密钥；依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥。
可选地，所述第一私钥参数还包括：私钥管理平台域名参数以及堡垒机标识。
可选地，所述从私钥管理平台中获取第二私钥参数的步骤，包括：通过所述私钥管理平台域名参数确定私钥管理平台；向确定的所述私钥管理平台发送第二私钥参数获取请求，其中，所述第二私钥参数获取请求中携带有所述堡垒机标识，所述堡垒机标识用于所述私钥管理平台对发送所述第二私钥参数获取请求的对象进行身份认证；接收所述私钥管理平台返回的第二私钥参数。
可选地，在所述依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥的步骤之后，所述方法还包括：将所述堡垒机私钥存储至所述堡垒机登录进程中。
可选地，在所述堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数的步骤之前，所述方法还包括：对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；采用共享密钥算法对所述解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；添加所述第一共享密钥解密码、堡垒机标识以及管理所述堡垒机密钥文件的所述私钥管理平台的域名参数至堡垒机进程文件；上传所述第二共享密钥解密码、密文私钥以及堡垒机标识至所述私钥管理平台。
为了解决上述问题，本发明还公开了一种堡垒机私钥管理装置，其中，所述装置包括：第一获取模块，用于在堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；第二获取模块，用于从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；计算模块，用于依据共享密钥算法对所述第一共享密钥解密码以及所述第二共享密钥解密码进行计算，得到解密密钥；解密模块，用于依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥。
可选地，所述第一私钥参数还包括：私钥管理平台域名参数以及堡垒机标识。
可选地，所述第二获取模块包括：平台确定子模块，用于通过所述私钥管理平台域名参数确定私钥管理平台；请求发送子模块，用于向确定的所述私钥管理平台发送第二私钥参数获取请求，其中，所述第二私钥参数获取请求中携带有所述堡垒机标识，所述堡垒机标识用于私钥管理平台对发送所述第二私钥参数获取请求的对象进行身份认证；接收子模块，用于接收所述私钥管理平台返回的第二私钥参数。
可选地，所述装置还包括：添加模块，用于在所述解密模块依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥之后，将所述堡垒机私钥存储至所述堡垒机登录进程中。
可选地，所述装置还包括：私钥加密模块，用于在所述第一获取模块获取设置在堡垒机进程文件中的第一私钥参数之前，对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；解密码生成模块，用于采用共享密钥算法对所述解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；添加模块，用于添加所述第一共享密钥解密码、堡垒机标识以及管理所述堡垒机密钥文件的所述私钥管理平台的域名参数至堡垒机进程文件；上传模块，用于上传所述第二共享密钥解密码、密文私钥以及堡垒机标识至所述私钥管理平台。
与现有技术相比，本发明具有以下优点：
本发明实施例提供的堡垒机私钥管理方案，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，堡垒机获取堡垒机私钥时需要通过网络从私钥管理平台中获取第二共享密钥解密码以及密文私钥，并且通过第一共享密钥解密码以及获取到第二共享密钥解密码对密文私钥成功解密后才可以得到堡垒机私钥，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方案，能够提升堡垒机私钥存储的安全性。
附图说明
图1是本发明实施例一的一种堡垒机私钥管理方法的步骤流程图；
图2是本发明实施例二的一种堡垒机私钥管理方法的步骤流程图；
图3是本发明实施例三的一种堡垒机私钥管理装置的结构框图；
图4是本发明实施例四的一种堡垒机私钥管理装置的结构框图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。
实施例一
参照图1，示出了本发明实施例一的一种堡垒机私钥管理方法的步骤流程图。
本发明实施例堡垒机私钥管理方法包括如下步骤：
步骤101：堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数。
其中，所述第一私钥参数包括：第一共享密钥解密码参数。第一私钥参数预先设置在堡垒机进程文件中。本发明实施例中以堡垒机进程文件中已设置有第一私钥参数、私钥管理平台中已设置有第二私钥参数为前提。第一私钥参数、第二私钥参数的生成可以由堡垒机生成，也可以由其他设备生成后，分别添加至堡垒机的进程文件与私钥管理平台中。
第一私钥参数、第二私钥参数生成时，具体可以采用如下方式：
采用加密密码对堡垒机私钥进行加密，得到密文私钥并将加密密码确定为解密密钥；然后采用共享密钥算法对解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；添加第一共享密钥解密码至堡垒机进程文件；上传第二共享密钥解密码、密文私钥至私钥管理平台。
其中，私钥管理平台为独立于堡垒机所在平台的外部平台，堡垒机与私钥管理平台进行数据通信以获取第二私钥参数。
步骤102：从私钥管理平台中获取第二私钥参数。
其中，第二私钥参数中包括：第二共享密钥解密码参数、密文私钥以及私钥加密算法。
步骤103：依据共享密钥算法对第一共享密钥解密码参数以及第二共享密钥解密码参数进行计算，得到解密密钥。
共享密钥算法对解密密钥进行运算后得到三个解密码，分别为第一共享密钥解密码、第二共享密钥解密码以及第三共享密钥解密码。通过三个解密码中的任意两个均可以成功破解得到解密密钥。因此，本发明实施例中通过第一共享密钥解密码以及第二共享密钥解密码即可得到解密密钥。
步骤104：依据私钥加密算法以及解密密钥，对密文私钥进行解密，获得堡垒机私钥。
密文私钥是采用私钥加密算法、以解密密钥为加密密码对堡垒机私钥进行加密后得到的。因此，本发明实施例中在确定私钥加密算法后，采用与私钥加密算法相匹配的解密算法，以及解密密钥对密文私钥进行解密，即可得到堡垒机私钥。
本发明实施例提供的堡垒机私钥管理方法，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，堡垒机获取堡垒机私钥时需要通过网络从私钥管理平台中获取第二共享密钥解密码以及密文私钥，并且通过第一共享密钥解密码以及获取到第二共享密钥解密码对密文私钥成功解密后才可以得到堡垒机私钥，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方法，能够提升堡垒机私钥存储的安全性。
实施例二
参照图2，示出了本发明实施例二的一种堡垒机私钥管理方法的步骤流程图。
本发明实施例的堡垒机私钥管理方法具体包括以下步骤：
步骤201：生成第一私钥参数、第二私钥参数，并将第一私钥参数、第二私钥参数对应添加至堡垒机进程文件中以及私钥管理平台。
第一私钥参数包括但不限于：第一共享密钥解密码、私钥管理平台域名参数以及堡垒机标识。第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法。
一种优选的生成并上传第一私钥参数、第二私钥参数的方式如下：
首先，对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；
其次，采用共享密钥算法对解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；
最后，添加第一共享密钥解密码、堡垒机标识以及管理堡垒机密钥文件的私钥管理平台的域名参数至堡垒机进程文件；上传第二共享密钥解密码、密文私钥以及堡垒机标识至私钥管理平台。
使用共享密钥算法保障私钥管理平台、运维、开发均无法获取真实的堡垒机私钥。
需要说明的是，第一私钥参数、第二私钥参数可以由堡垒机生成，堡垒机将生成的第一私钥参数添加至进程文件中，将第二私钥参数上传至私钥管理平台。当然，第一私钥参数、第二私钥参数也可以有其他设备生成，生成之后再分别将生成的第一私钥参数添加至进程文件中，将第二私钥参数上传至私钥管理平台。本发明实施例中以堡垒机预先生成第一私钥参数、第二私钥参数为例进行说明。
步骤202：堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数。
堡垒机运行在物理机上的安全审计系统，本发明实施例中的执行主体可以为堡垒机也可以为运行在堡垒机上的进程文件。
步骤203：从私钥管理平台中获取第二私钥参数。
第一私钥参数包括私钥管理平台域名参数以及堡垒机标识，在获取第二私钥参数时，通过私钥管理平台域名参数即可确定从哪个私钥管理平台中获取第二私钥参数，私钥管理平台通过堡垒机标识即可确定返回哪个堡垒机的第二私钥参数。
一种优选的从私钥管理平台中获取第二私钥参数的方式如下：
通过私钥管理平台域名参数确定私钥管理平台；
向确定的私钥管理平台发送第二私钥参数获取请求，其中，第二私钥参数请求中携带有堡垒机标识，堡垒机标识用于私钥管理平台对发送第二私钥参数获取请求的对象进行身份认证；接收私钥管理平台返回的第二私钥参数。
步骤204：依据共享密钥算法对第一共享密钥解密码以及第二共享密钥解密码进行计算，得到解密密钥。
共享密钥算法对解密密钥进行运算后得到三个解密码，分别为第一共享密钥解密码、第二共享密钥解密码以及第三共享密钥解密码。通过三个解密码中的任意两个均可以成功破解得到解密密钥。因此，本发明实施例中通过第一共享密钥解密码以及第二共享密钥解密码即可得到解密密钥。
步骤205：依据私钥加密算法以及解密密钥，对密文私钥进行解密，获得堡垒机私钥。
本发明实施例中在确定私钥加密算法后，采用与私钥加密算法相匹配的解密算法，以及解密密钥对密文私钥进行解密，即可得到堡垒机私钥。
步骤206：将堡垒机私钥存储至堡垒机登录进程中。
其中，堡垒机登录进程可以为SSHD进程。
将堡垒机私钥存储在堡垒机登录进程中，在堡垒机停止运行前，堡垒机均可通过该私钥处理终端发送的生产环境服务器登录请求。堡垒机停止运行后，可自动将堡垒机登录进程中的堡垒机私钥删除。
具体地，堡垒机接收到终端发送的登录生产环境服务器的请求后，将请求发送至对应的生产环境服务器；生产环境服务器生成一个随机数通过公钥对该随机数进行加密，将加密后的随机数发送至堡垒机；堡垒机通过堡垒机私钥对接收到的加密后的随机数进行解密，得到随机数并将随机数返回至生产环境服务器，生产环境服务器对接收到的随机数进行验证，若与加密前的随机数相同，则响应终端登录生产环境服务器的请求，此时堡垒机则成功建立终端与生产环境服务器之间的单点登录。
本发明实施例提供的堡垒机私钥管理方法，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，堡垒机获取堡垒机私钥时需要从私钥管理平台中获取第二共享密钥解密码以及密文私钥，并且通过第一共享密钥解密码以及获取到第二共享密钥解密码对密文私钥成功解密后才可以得到堡垒机私钥，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方法，能够提升堡垒机私钥存储的安全性。
实施例三
参照图3，示出了本发明实施例三的一种堡垒机私钥管理装置的结构示意图。
本发明实施例的堡垒机私钥管理装置包括：第一获取模块301，用于在堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；第二获取模块302，用于从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；计算模块303，用于依据共享密钥算法对第一共享密钥解密码以及第二共享密钥解密码进行计算，得到解密密钥；解密模块304，用于依据所述私钥加密算法以及解密密钥，对所述密文私钥进行解密，获得堡垒机私钥。
本发明实施例提供的堡垒机私钥管理装置，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，堡垒机私钥管理装置获取堡垒机私钥时需要从私钥管理平台中获取第二共享密钥解密码以及密文私钥，并且通过第一共享密钥解密码以及获取到第二共享密钥解密码对密文私钥成功解密后才可以得到堡垒机私钥，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理装置，能够提升堡垒机私钥存储的安全性。
实施例四
参照图4，示出了本发明实施例四的一种堡垒机私钥管理装置的结构示意图。
本发明实施例是对实施例三中的堡垒机私钥管理装置的进一步优化，优化后的堡垒机私钥管理装置包括：第一获取模块401，用于在堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；第二获取模块402，用于从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；计算模块403，用于依据共享密钥算法对第一共享密钥解密码以及第二共享密钥解密码进行计算，得到解密密钥；解密模块404，用于依据所述私钥加密算法以及解密密钥，对所述密文私钥进行解密，获得堡垒机私钥。
优选地，所述第一私钥参数还包括：私钥管理平台域名参数以及堡垒机标识。
优选地，所述第二获取模块402包括：平台确定子模块4021，用于通过所述私钥管理平台域名参数确定私钥管理平台；请求发送子模块4022，用于向确定的所述私钥管理平台发送第二私钥参数获取请求，其中，所述第二私钥参数获取请求中携带有所述堡垒机标识，所述堡垒机标识用于私钥管理平台对发送第二私钥参数获取请求的对象进行身份认证；接收子模块4023，用于接收所述私钥管理平台返回的第二私钥参数。
优选地，所述装置还包括：添加模块405，用于在所述解密模块404依据所述私钥加密算法以及解密密钥，对所述密文私钥进行解密，获得堡垒机私钥之后，将所述堡垒机私钥存储至所述堡垒机登录进程中。
优选地，所述装置还包括：私钥加密模块406，用于在所述第一获取模块401获取设置在堡垒机进程文件中的第一私钥参数之前，对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；解密码生成模块407，用于采用共享密钥算法对所述解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；添加模块408，用于添加所述第一共享密钥解密码、堡垒机标识以及管理所述堡垒机密钥文件的私钥管理平台的域名参数至堡垒机进程文件；上传模块409，用于上传所述第二共享密钥解密码、密文私钥以及堡垒机标识至私钥管理平台。
本发明实施例提供的堡垒机私钥管理装置用于实现实施例一、实施例二中相应的堡垒机私钥管理方法，并且具有相应的有益效果，因此，在此不再赘述。
本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
在此提供的堡垒机私钥管理方法与装置不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造具有本发明方案的系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的堡垒机私钥管理方法与装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (8)

1.一种堡垒机私钥管理方法，其特征在于，所述方法包括：
堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；
从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；
依据共享密钥算法对所述第一共享密钥解密码以及所述第二共享密钥解密码进行计算，得到解密密钥；
依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥；
将所述堡垒机私钥存储至堡垒机登录进程中；并在所述堡垒机停止运行后，从所述堡垒机登录进程中删除所述堡垒机私钥。
2.根据权利要求1所述的方法，其特征在于，
所述第一私钥参数还包括：私钥管理平台域名参数以及堡垒机标识。
3.根据权利要求2所述的方法，其特征在于，所述从私钥管理平台中获取第二私钥参数的步骤，包括：
通过所述私钥管理平台域名参数确定私钥管理平台；
向确定的所述私钥管理平台发送第二私钥参数获取请求，其中，所述第二私钥参数获取请求中携带有所述堡垒机标识，所述堡垒机标识用于所述私钥管理平台对发送所述第二私钥参数获取请求的对象进行身份认证；
接收所述私钥管理平台返回的第二私钥参数。
4.根据权利要求1所述的方法，其特征在于，在所述堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数的步骤之前，所述方法还包括：
对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；
采用共享密钥算法对所述解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；
添加所述第一共享密钥解密码、堡垒机标识以及管理所述堡垒机密钥文件的所述私钥管理平台的域名参数至堡垒机进程文件；
上传所述第二共享密钥解密码、密文私钥以及堡垒机标识至所述私钥管理平台。
5.一种堡垒机私钥管理装置，其特征在于，所述装置包括：
第一获取模块，用于在堡垒机启动时获取设置在堡垒机进程文件中的第一私钥参数；其中，所述第一私钥参数包括：第一共享密钥解密码；
第二获取模块，用于从私钥管理平台中获取第二私钥参数；其中，所述第二私钥参数包括：第二共享密钥解密码、密文私钥以及私钥加密算法；
计算模块，用于依据共享密钥算法对所述第一共享密钥解密码以及所述第二共享密钥解密码进行计算，得到解密密钥；
解密模块，用于依据所述私钥加密算法以及所述解密密钥，对所述密文私钥进行解密，获得堡垒机私钥；
添加模块，用于在获得堡垒机私钥之后，将所述堡垒机私钥存储至堡垒机登录进程中；并在所述堡垒机停止运行后，从所述堡垒机登录进程中删除所述堡垒机私钥。
6.根据权利要求5所述的装置，其特征在于，
所述第一私钥参数还包括：私钥管理平台域名参数以及堡垒机标识。
7.根据权利要求6所述的装置，其特征在于，所述第二获取模块包括：
平台确定子模块，用于通过所述私钥管理平台域名参数确定私钥管理平台；
请求发送子模块，用于向确定的所述私钥管理平台发送第二私钥参数获取请求，其中，所述第二私钥参数获取请求中携带有所述堡垒机标识，所述堡垒机标识用于私钥管理平台对发送所述第二私钥参数获取请求的对象进行身份认证；
接收子模块，用于接收所述私钥管理平台返回的第二私钥参数。
8.根据权利要求5所述的装置，其特征在于，所述装置还包括：
私钥加密模块，用于在所述第一获取模块获取设置在堡垒机进程文件中的第一私钥参数之前，对堡垒机私钥进行加密处理，得到密文私钥以及解密密钥；
解密码生成模块，用于采用共享密钥算法对所述解密密钥进行运算，得到第一共享密钥解密码以及第二共享密钥解密码；
添加模块，用于添加所述第一共享密钥解密码、堡垒机标识以及管理所述堡垒机密钥文件的所述私钥管理平台的域名参数至堡垒机进程文件；
上传模块，用于上传所述第二共享密钥解密码、密文私钥以及堡垒机标识至所述私钥管理平台。
CN201710233786.5A 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置 Active CN107181589B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710233786.5A CN107181589B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710233786.5A CN107181589B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Publications (2)

Publication Number Publication Date
CN107181589A CN107181589A (zh) 2017-09-19
CN107181589B true CN107181589B (zh) 2020-09-22

Family

ID=59831601

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710233786.5A Active CN107181589B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Country Status (1)

Country Link
CN (1) CN107181589B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110049024B (zh) * 2019-03-29 2021-12-17 网宿科技股份有限公司 一种数据传输方法、中转服务器及接入网点服务器
CN111082923A (zh) * 2019-11-21 2020-04-28 山东爱城市网信息技术有限公司 一种基于区块链的私钥加解密托管方法及设备、介质
CN111510288B (zh) * 2020-04-09 2022-09-09 北京奇艺世纪科技有限公司 密钥管理方法、电子设备及存储介质
CN112165490B (zh) * 2020-09-29 2022-11-08 海南凤凰木科技有限公司 一种加密方法、解密方法、存储介质及终端设备
CN115001703B (zh) * 2022-05-25 2023-09-01 深圳市证通电子股份有限公司 一种基于国密加密机的堡垒机安全提升方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101359991A (zh) * 2008-09-12 2009-02-04 湖北电力信息通信中心 基于标识的公钥密码体制私钥托管系统
CN102957541A (zh) * 2012-11-21 2013-03-06 浪潮集团有限公司 一种基于saas的密码加密方法
CN105701390A (zh) * 2016-03-08 2016-06-22 中国联合网络通信集团有限公司 加密终端远程管理的方法、加密终端及管理器
CN105933113A (zh) * 2016-06-13 2016-09-07 北京三未信安科技发展有限公司 一种密钥备份恢复方法、系统及其相关设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10298555B2 (en) * 2014-04-04 2019-05-21 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
US9331989B2 (en) * 2014-10-06 2016-05-03 Micron Technology, Inc. Secure shared key sharing systems and methods

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101359991A (zh) * 2008-09-12 2009-02-04 湖北电力信息通信中心 基于标识的公钥密码体制私钥托管系统
CN102957541A (zh) * 2012-11-21 2013-03-06 浪潮集团有限公司 一种基于saas的密码加密方法
CN105701390A (zh) * 2016-03-08 2016-06-22 中国联合网络通信集团有限公司 加密终端远程管理的方法、加密终端及管理器
CN105933113A (zh) * 2016-06-13 2016-09-07 北京三未信安科技发展有限公司 一种密钥备份恢复方法、系统及其相关设备

Also Published As

Publication number Publication date
CN107181589A (zh) 2017-09-19

Similar Documents

Publication Publication Date Title
JP6941146B2 (ja) データセキュリティサービス
US11799656B2 (en) Security authentication method and device
CN107251035B (zh) 账户恢复协议
CN107181589B (zh) 一种堡垒机私钥管理方法及装置
US9667416B1 (en) Protecting master encryption keys in a distributed computing environment
CN110049016B (zh) 区块链的数据查询方法、装置、系统、设备及存储介质
JP6678457B2 (ja) データセキュリティサービス
CN108347428B (zh) 基于区块链的应用程序的注册系统、方法和装置
US20120254622A1 (en) Secure Access to Electronic Devices
CN108243176B (zh) 数据传输方法和装置
CN103248479A (zh) 云存储安全系统、数据保护以及共享方法
CN104980477A (zh) 云存储环境下的数据访问控制方法和系统
CN106992859B (zh) 一种堡垒机私钥管理方法及装置
CN103236931B (zh) 一种基于tpm的身份验证方法及系统以及相关设备
CN109040079A (zh) 直播链接地址的组建和验证方法及相应装置
CN103701596A (zh) 文件访问及响应文件访问请求的方法、系统和设备
CN103780609A (zh) 一种云数据的处理方法、装置和云数据安全网关
CN104462874B (zh) 一种支持离线共享数字资源的drm方法与系统
CN104994095A (zh) 一种设备认证方法、客户端、服务器及系统
CN104767766A (zh) 一种Web Service接口验证方法、Web Service服务器、客户端
JP2013020313A (ja) データ分散保管システム
CN105871858A (zh) 一种保证数据安全的方法及系统
CN111639357A (zh) 一种加密网盘系统及其认证方法和装置
CN110807210B (zh) 一种信息处理方法、平台、系统及计算机存储介质
CN113886793A (zh) 设备登录方法、装置、电子设备、系统和存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant