CN107294726B - 虚拟加密机数据的导出导入以及处理方法、装置和系统 - Google Patents

虚拟加密机数据的导出导入以及处理方法、装置和系统 Download PDF

Info

Publication number
CN107294726B
CN107294726B CN201610225685.9A CN201610225685A CN107294726B CN 107294726 B CN107294726 B CN 107294726B CN 201610225685 A CN201610225685 A CN 201610225685A CN 107294726 B CN107294726 B CN 107294726B
Authority
CN
China
Prior art keywords
encryption machine
encryption
key
digital signature
response message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610225685.9A
Other languages
English (en)
Other versions
CN107294726A (zh
Inventor
蒋海滔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to CN201610225685.9A priority Critical patent/CN107294726B/zh
Publication of CN107294726A publication Critical patent/CN107294726A/zh
Application granted granted Critical
Publication of CN107294726B publication Critical patent/CN107294726B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种虚拟加密机数据的导出导入以及处理方法、装置和系统。其中，该方法包括：接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。本发明解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。

Description

虚拟加密机数据的导出导入以及处理方法、装置和系统
技术领域
本发明涉及通信技术应用领域，具体而言，涉及一种虚拟加密机数据的导出导入以及处理方法、装置和系统。
背景技术
随着通信技术的广泛运用，在互联网时代如何通过保障信息传输过程中的安全成为了现有亟待解决的问题，为了保障信息在传输过程中的安全，现有技术中提供了一种硬件加密机(Hardware Security Module，简称HSM)，通过HSM对信息的加密保障了信息在传输过程中的安全性。
现有HSM与HSM之间，出于对称算法，当HSM发生替换时，如果是同一厂商生产的HSM，将通过预设的相同的管理密钥对待替换的HSM对应的虚拟加密机(Virtual SecurityModule，简称VSM)中的VSM数据进行加密，然后将加密后的VSM数据导入另一个HSM，由于使用相同的管理密钥，另一个HSM将依据相同的管理密钥对该VSM数据进行解密，进而完成VSM数据的导出和导入过程。但是对于不同厂商生产的HSM的替换，若仍沿用对称算法，如果从待替换HSM中将VSM数据导出到另一个HSM，若该HSM通过伪造的加密密钥，将会导致待替换HSM的密钥泄露，即，待替换HSM导出的VSM数据将会由于密钥的泄露而泄露，由此造成信息传输过程中存在风险。
针对上述由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的问题，目前尚未提出有效的解决方案。
发明内容
本发明实施例提供了一种虚拟加密机数据的导出导入以及处理方法、装置和系统，以至少解决由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
根据本发明实施例的一个方面，提供了一种虚拟加密机数据的导出方法，包括：接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。
根据本发明实施例的一个方面，提供了另一种虚拟加密机数据的导入方法，包括：接收响应报文；解析响应报文，获取响应报文中的预设第二加密机密钥参数组；依据预设第二加密机密钥参数组验证响应报文是否为第二加密机生成的响应报文；在验证结果为是的情况下，导入响应报文。
根据本发明实施例的另一方面，还提供了一种虚拟加密机数据的导出装置，包括：接收模块，用于接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；验证模块，用于依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；报文生成模块，用于在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。
根据本发明实施例的另一方面，还提供了另一种虚拟加密机数据的导入装置，包括：报文接收模块，用于接收响应报文；解析模块，用于解析响应报文，获取响应报文中的预设第二加密机密钥参数组；报文验证模块，用于依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文；导入模块，用于在验证结果为是的情况下，导入响应报文。
根据本发明实施例的又一个方面，提供了一种虚拟加密机数据的导出导入系统，包括：第一加密机和第二加密机，第一加密机和第二加密机通信连接，其中，第二加密机接收第一加密机发送的导出请求，依据预设公钥验证导出请求中第一加密机数字签名是否为第一加密机生成的数字签名，在验证结果为是的情况下，依据导出请求中第一加密机公钥和预设第二加密机密钥参数组生成响应报文，并将响应报文发送至第一加密机；第一加密机接收第二加密机发送的响应报文，通过解析响应报文，获取响应报文中预设第二加密机密钥参数组，并依据预设第二加密机密钥参数组验证响应报文是否为第二加密机生成的响应报文，在验证结果为是的情况下，导入响应报文；其中，第二加密机为上述的虚拟加密机数据的导出装置；第一加密机为上述的虚拟加密机数据的导入装置。
根据本发明实施例的再一个方面，提供了一种虚拟加密机数据的处理方法，包括：接收第一加密机发送的数据处理请求，其中，数据处理请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名的是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥进行数据处理。
在本发明实施例中，通过接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文，达到了对跨厂商的加密机之间的数据导出或导入提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1是本发明实施例的一种虚拟加密机数据的导出方法的加密机的硬件结构框图；
图2是根据本发明实施例一的虚拟加密机数据的导出方法的流程图；
图3是根据本发明实施例一的虚拟加密机数据的导出方法中HSM-A和HSM-B的结构示意图；
图4是根据本发明实施例二的虚拟加密机数据的导入方法的流程图；
图5是根据本发明实施例的虚拟加密机数据的导出和导入方法的流程图；
图6是根据本发明实施例三的虚拟加密机数据的导出装置的结构示意图；
图7是根据本发明实施例三的一种虚拟加密机数据的导出装置的结构示意图；
图8是根据本发明实施例三的另一种虚拟加密机数据的导出装置的结构示意图；
图9是根据本发明实施例三的又一种虚拟加密机数据的导出装置的结构示意图；
图10是根据本发明实施例四的虚拟加密机数据的导入装置的结构示意图；
图11是根据本申请实施例四的一种虚拟加密机数据的导入装置的结构示意图；
图12是根据本发明实施例四的另一种虚拟加密机数据的导入装置的结构示意图；
图13是根据本发明实施例四的又一种虚拟加密机数据的导入装置的结构示意图；
图14是根据本发明实施例四的再一种虚拟加密机数据的导入装置的结构示意图；
图15是根据本发明实施例五的虚拟加密机数据的导出导入系统的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
本申请涉及的技术名词：
硬件加密机：Hardware Security Module，简称HSM；
虚拟硬件加密机：Virtual Hardware Security Module，简称VSM。
实施例1
根据本发明实施例，还提供了一种虚拟加密机数据的导出方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图1是本发明实施例的一种虚拟加密机数据的导出方法的加密机的硬件结构框图。如图1所示，加密机10可以包括一个或多个(图中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输模块106。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，加密机10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。
存储器104可用于存储应用软件的软件程序以及模块，如本发明实施例中的虚拟加密机数据的导出方法对应的程序指令/模块，处理器102通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的漏洞检测方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至加密机10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括加密机10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。
在上述运行环境下，本申请提供了如图2所示的虚拟加密机数据的导出方法。在第二加密机侧，图2是根据本发明实施例一的虚拟加密机数据的导出方法的流程图。
步骤S202，接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；
本申请上述步骤S202中，在第二加密机侧，第二加密机接收第一加密机发送的导出请求，其中，该导出请求中包括第一加密机公钥和第一加密机数字签名，需要说明的是本申请实施例中的第一加密机数字签名为对应第一加密机公钥生成的数字签名。在第二加密机侧执行数据导出将依据该第一加密机数字签名执行是否合法的验证具体验证过程见步骤S204。
具体的，本申请实施例提供的虚拟加密机数据的导出方法可以适用于不同厂商生产的加密机在进行加密机替换时的数据导出过程，本申请实施例中以在第二加密机侧接收第一加密机的导出请求为例进行说明，其中为方便标记，本申请实施例中的第一加密机记为HSM-B，第二加密机记为HSM-A，第一加密机公钥记为HSM-B-PublicKey，第一加密机数字签名记为HSM-B-PK-Sign，虚拟加密机数据的导出方法所执行信号流程为HSM-A至HSM-B。对应步骤S202，在本申请实施例中HSM-A接收HSM-B发送的导出请求中，该导出请求包括HSM-B的HSM-B-PublicKey和HSM-B-PK-Sign。
步骤S204，依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；
基于步骤S202中接收到的导出请求，本申请上述步骤S204中，第二加密机HSM-A依据预设公钥验证导出请求中的第一加密机数字签名HSM-B-PK-Sign是否合法，在本申请实施例提供的虚拟加密机数据的导出方法中提出一种公钥验证方法，其中，在第二加密机侧，设置预设公钥Root-PublicKey，第二加密机依据该Root-PublicKey验证接收到的第一加密机中的导出请求是否合法，其中，该第一加密机数字签名用于指示第二加密机认证该导出请求是否为第一加密机发送的，即，用于在第二加密机侧认证第一加密机。
步骤S206，在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文；
基于步骤S204中依据预设公钥验证第一加密机数字签名HSM-B-PK-Sign是否合法，本申请上述步骤S206中，第二加密机HSM-A在验证该第一加密机数字签名HSM-B-PK-Sign合法的情况下，第二加密机HSM-A根据该第一加密机公钥HSM-B-PublicKey和预设第二加密机密钥参数组生成响应报文，其中，需要说明的是，该响应报文中包括有第二加密机HSM-A中的授权数据以及一个散列。该响应报文可以为包含有第二加密机常用的加密规则，该加密规则的表现形式可以为加密或解密的密钥。
结合步骤S202至步骤S206，本申请实施例提供的虚拟加密机数据的导出方法中以统一验证随机加密为原则，第二加密机HSM-A通过预设公钥Root-PublicKey对接收到第一加密机HSM-B发送的导出请求进行是否合法的验证，在验证通过的情况下，第二加密机HSM-A根据第一加密机公钥HSM-B-PublicKey和预设第二加密机密钥参数组生成响应报文，这里依据第一加密机公钥HSM-B-PublicKey和第一加密机数字签名HSM-B-PK-Sign的对应关系，通过预设公钥验证第一加密机数字签名确保了在接收导出请求时的安全问题，当验证失败时，第二加密机将删除(或剔除，拒绝)该导出请求，进一步的以第一加密机公钥为加密密钥加密响应报文，以便在第一加密机HSM-B侧，HSM-B接收到该响应报文后能够依据对应第一加密机公钥HSM-B-PublicKey的第一加密机私钥HSM-B-PrivateKey解密该响应报文，达到了对跨厂商的加密机之间的数据导出和导入提供了安全保障的目的，从而实现了提升数据传输安全的技术效果。
由上可知，本申请上述实施例一所提供的方案，通过接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文，达到了对跨厂商的加密机之间的数据导出提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
可选的，在步骤S206中根据第一加密机公钥生成与导出请求相应的响应报文之前，本申请实施例中虚拟加密机数据的导出方法还包括：
步骤S205，通过预设随机器生成随机对称密钥。
本申请上述步骤S205中，在生成响应报文前，HSM-A通过预设随机器生成随机对称密钥，具体的，HSM-A通过随机数发生器生成随机对称密钥Random-Key。
进一步地，可选的，步骤S206中根据第一加密机公钥生成与导出请求相应的响应报文包括：
Step1，根据第一加密机公钥和预设第二加密机密钥参数组生成与导出请求相应的响应报文。
本申请上述步骤S206中的Step1中，在第二加密机侧，第二加密机根据第一加密机公钥和预设第二加密机密钥参数组生成响应报文，其中，该响应报文对应第一加密机发送的导出请求。生成响应报文的具体步骤如下：
可选的，在预设第二加密机密钥参数组包括随机对称密钥、第二加密机中的虚拟加密机数据和第二加密机密钥参数，其中，第二加密机密钥参数包括第二加密机私钥、第二加密机公钥和第二加密机数字签名的情况下，步骤S206中的Step1中根据第一加密机公钥和预设第二加密机密钥参数组生成与导出请求相应的响应报文，包括：
StepA，依据随机对称密钥对虚拟加密机数据进行加密，得到待导出密文；
基于步骤S205中生成的随机对称密钥Random-Key，本申请上述StepA中，在HSM-A的预设第二加密机密钥参数组中包括随机对称密钥、第二加密机中的虚拟加密机数据和第二加密机密钥参数，其中，第二加密机密钥参数包括第二加密机私钥、第二加密机公钥和第二加密机数字签名的情况下，HSM-A依据Random-Key对虚拟加密机数据VSM的数据进行加密(包括授权数据，其中还包括一个散列)，得到待导出密文Encrypted-Secret。
StepB，依据第一加密机公钥对随机对称密钥进行加密，得到待导出密钥；
本申请上述步骤StepB中，HSM-A依据HSM-B-PublicKey对Random-key进行加密，得到待导出密钥Encrypted-Key。
StepC，依据第二加密机私钥为待导出密钥生成数字签名，得到待导出数字签名；
本申请上述步骤StepC中，HSM-A依据HSM-A-PrivateKey对待导出密钥Encrypted-Key进行生成数字签名，得待导出数字签名Encrypted-Key-Sign。
StepD，将待导出密文、待导出密钥、待导出数字签名、第二加密机公钥和第二加密机数字签名进行打包，生成响应报文。
结合步骤StepA至StepC中得到的待导出密文、待导出密钥、待导出数字签名，本申请上述步骤StepD中，HSM-A对待导出密文Encrypted-Secret、待导出数字签名、待导出密钥Encrypted-Key、待导出数字签名Encrypted-Key-Sign、第二加密机公钥HSM-A-PrivateKey和第二加密机数字签名HSM-A-PK-Sign进行打包，得到响应报文。
可选的，在步骤S206中根据第一加密机公钥生成与导出请求相应的响应报文之后，本申请实施例提供的虚拟加密机数据的导出方法还包括：
步骤S208，发送响应报文。
本申请上述步骤S208中，第二加密机HSM-A向第一加密机发送该响应报文。
综上，图3是根据本发明实施例一的虚拟加密机数据的导出方法中HSM-A和HSM-B的结构示意图，如图3所示，结合步骤S202至步骤S208，本申请实施例中虚拟加密机数据的导出方法，其中，密钥导出以HSM-A导到HSM-B为例，具体如下：
1.HSM-B得到HSM-B的HSM-B-PublicKey,HSM-B-PK-Sign；
2.HSM-B向HSM-A发起导出请求(HSM-A需验证管理API本身的签名)，传入参数HSM-B-PublicKey,HSM-B-PK-Sign；即，本申请实施例中接收第一加密机发送的导出请求。
3.HSM-A通过Root-PublicKey验证HSM-B-PublicKey的签名信息HSM-B-PK-Sign；即，本申请实施例中步骤S204中依据预设公钥验证第一加密机数字签名是否合法。
4.HSM-A通过随机数发生器生成随机对称密钥Random-Key；即，本申请实施例中步骤S205中通过预设随机器生成随机对称密钥。
5.HSM-A通过Random-Key对VSM的数据进行加密(包括授权数据，其中还包括一个散列)，密文为Encrypted-Secret；即，本申请实施例中步骤S206中的Step1中的StepA。
6.HSM-A通过HSM-B-PublicKey对Random-key进行加密，密文为Encrypted-Key；即，本申请实施例中步骤S206中的Step2中的StepB。
7.HSM-A通过HSM-A-PrivateKey对Encrypted-Key进行数字签名，得Encrypted-Key-Sign；即，本申请实施例中步骤S206中的Step3中的StepC。
8.HSM-A把待导出密文Encrypt-Secret，待导出密钥Encrypted-Key，待导出数字签名Encrypted-Key-Sign,第二加密机公钥HSM-A-PublicKey和第二加密机数字签名HSM-A-PK-Sign通过管理API返回。即，本申请实施例中步骤S206中的Step4中的StepD。
实施例2
本申请提供了如图4所示的虚拟加密机数据的导入方法。在第一加密机侧，图4是根据本发明实施例二的虚拟加密机数据的导入方法的流程图。
步骤S402，接收响应报文；
本申请上述步骤S402中，对应实施例1中的虚拟加密机数据的导出，在第一加密机侧，第一加密机记为HSM-B，第二加密机记为HSM-A，HSM-B接收第二加密机HSM-A发送的响应报文。
步骤S404，解析响应报文，获取响应报文中的第二加密机密钥参数；
基于步骤S402中接收到的响应报文，本申请上述步骤S404中，HSM-B解析接收到的响应报文，得到响应报文中HSM-A中的第二加密机密钥参数，其中，该第二加密机密钥参数可以包括：第二加密机公钥HSM-A-PublicKey和第二加密机数字签名HSM-A-PK-Sign，在得到上述第二加密机密钥参数后，HSM-B将依据第二加密机密钥参数对响应报文是否合法进行验证，具体验证过程见步骤S406。
步骤S406，依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文；
本申请上述步骤S406中，HSM-B依据HSM-A的第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文。
具体的，对应实施例1中的验证方法，在第一加密机侧，即，HSM-B侧将依据与HSM-A相同的预设公钥Root-PublicKey对响应报文是否合法进行验证，这里本申请实施例中的“合法”用于验证过程中，且用于确定当前所接收的消息是否来源于第二加密机侧。
步骤S408，在验证结果为是的情况下，导入响应报文。
基于步骤S406中对响应报文的合法性的验证，本申请上述步骤S408中，在HSM-B验证该响应报文合法的情况下，将导入该响应报文。
由上可知，本申请上述实施例一所提供的方案，通过接收响应报文；解析响应报文，获取响应报文中的预设第二加密机密钥参数组；依据预设第二加密机密钥参数组验证响应报文是否为第二加密机生成的响应报文；在验证结果为是的情况下，导入响应报文，达到了对跨厂商的加密机之间的数据导入提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
可选的，步骤S404中解析响应报文包括：
Step1，解析响应报文，得到响应报文中的待导出密文、待导出密钥和待导出数字签名。
本申请上述步骤S404中的Step1中，第一加密机HSM-B在解析响应报文的过程中将得到响应报文中的待导出密文、待导出密钥和待导出数字签名，即，待导出密文Encrypted-Secret、待导出数字签名、待导出密钥Encrypted-Key、待导出数字签名Encrypted-Key-Sign。
进一步地，可选的，在第二加密机密钥参数包括第二加密机公钥和第二加密机数字签名的情况下，步骤S406中依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文包括：
Step1，依据预设公钥验证第二加密机数字签名是否为第二加密机生成的数字签名；
本申请上述步骤S406中的Step1中，在第二加密机密钥参数包括第二加密机公钥HSM-A-PublicKey和第二加密机数字签名HSM-A-PK-Sign的情况下，HSM-B依据预设公钥Root-PublicKey验证HSM-A-PublicKey的第二加密机数字签名HSM-A-PK-Sign。
Step2，在验证结果为合法的情况下，依据第二加密机公钥验证待导出密钥的待导出数字签名是否为第二加密机生成的待导出数字签名。
基于Step1中对第二加密机数字签名HSM-A-PK-Sign的验证，本申请上述步骤Step2中，HSM-B在验证结果为第二加密机数字签名HSM-A-PK-Sign合法的情况下，HSM-B验证待导出密钥Encrypted-Key的待导出数字签名Encrypted-Key-Sign。
可选的，步骤S408中在验证结果为是的情况下，导入响应报文包括：
Step1，在验证结果为待导出密钥的待导出数字签名为第二加密机生成的待导出数字签名的情况下，通过第一加密机私钥对待导出密钥进行解密，得到随机对称密钥；
基于步骤S406中Step2中对待导出数字签名Encrypted-Key-Sign的验证，本申请上述步骤S408中的Step1中，HSM-B在验证结果为Encrypted-Key-Sign合法的情况下，HSM-B通过第一加密机私钥HSM-B-PrivateKey对待导出密钥Encrypted-Key进行解密，得到随机对称密钥Random-Key。
其中，需要说明的是对应实施例1中第二加密机HSM-A依据HSM-B-PublicKey对随机队称密钥Random-Key进行加密得到待导出密钥Encrypted-Key，本申请实施例中在第一加密机HSM-B侧，将通过HSM-B-PrivateKey对应的对Encrypted-Key进行解密得到随机对称密钥Random-Key，即，结合实施例1的虚拟加密机数据的导出方法，本申请实施例通过的虚拟加密机数据的导入方法使用公钥加密私钥解密的方法确保加密机中的密钥的安全性。
Step2，依据随机对称密钥解密待导出密文，得到第二加密机中的虚拟加密机数据；
基于Step1中得到的Random-Key，本申请上述步骤Step2中，HSM-B依据Random-Key解密待导出密文Encrypted-Secret，得到第二加密机HSM-A中的虚拟加密机数据VSM数据。
Step3，导入虚拟加密机数据。
基于Step2中得到的VSM数据，本申请上述步骤Step3中，HSM-B导入VSM数据。
可选的，在步骤S408中Step3中的导入虚拟加密机数据之前，本申请实施例提供的虚拟加密机数据的导入方法还包括：
Step2’，检测虚拟加密机数据是否正确；
本申请上述步骤S408中的Step2’中，在HSM-B导入VSM数据之前，需要对VSM数据进行检测，检测该VSM数据是否正确。若检测结果为VSM数据正确，则导入该VSM数据，若不正确，则执行Step3’。
Step3’，在检测结果为否的情况下，校正虚拟加密机数据，得到校正后的虚拟加密机数据。
基于Step2’中的检测，本申请上述步骤Step3’中，在检测结果为VSM数据不正确的情况下，HSM-B校正VSM数据，得到校正后的VSM数据。其中，HSM-B校正VSM数据的过程可以为检查VSM数据中的散列是否正确。
综上，结合步骤S402至步骤S408，本申请实施例中的虚拟加密机数据的导入方法具体如下：当HSM-A发送响应报文时，在HSM-B侧：
1.HSM-A向HSM-B发起导入请求，包括Encrypted-Key,Encrypt-Secret,Encrypted-Key-Sign,HSM-A-PublicKey,HSM-A-PK-Sign；即，本申请实施例中第二加密机接收第一加密机发送的响应报文；
2.通过Root-PublicKey验证HSM-A-PublicKey的签名信息HSM-A-PK-Sign；
3.通过HSM-A-PublicKey验证Encrypted-Key的签名信息Encrypted-Key-Sign；上述步骤2和3，即，本申请实施例中第二加密机解析响应报文，获取响应报文中的预设第二加密机密钥参数组。
4.通过HSM-B-PrivateKey对Encrypted-Key解密，得到Random-Key；即，本申请实施例步骤S408中的Step1。
5.通过Random-Key解密Encrypted-Secret，并检查散列是否正确；即，本申请实施例步骤S408中的Step2’。
6.导入VSM数据(包括覆盖授权数据)；即，本申请实施例步骤S408中的Step3’。
对应实施例1中的第二加密机，实施例2中的第一加密机与第二加密机在实现虚拟加密机数据的导出或导入方法的过程中，若第一加密机向第二加密机导出VSM数据，则第一加密机可以适用于实施例1中的导出方法。同理，第二加密机导入第一加密机导出的VSM时，可以适用于实施例2中的导入方法。
结合实施例1和实施例2的虚拟加密机数据的导出或导入方法，图5是根据本发明实施例二的虚拟加密机数据的导出和导入方法的流程图。如图5所示，虚拟加密机数据的导出和导入方法具体如下：
1.HSM-B得到HSM-B的HSM-B-PublicKey,HSM-B-PK-Sign；
2.HSM-B向HSM-A发起导出请求(HSM-A需验证管理API本身的签名)，传入参数HSM-B-PublicKey,HSM-B-PK-Sign。
3.HSM-A通过Root-PublicKey验证HSM-B-PublicKey的签名信息HSM-B-PK-Sign。
4.HSM-A通过随机数发生器生成随机对称密钥Random-Key。
5.HSM-A通过Random-Key对VSM的数据进行加密(包括授权数据，其中还包括一个散列)，密文为Encrypted-Secret。
6.HSM-A通过HSM-B-PublicKey对Random-key进行加密，密文为Encrypted-Key。
7.HSM-A通过HSM-A-PrivateKey对Encrypted-Key进行数字签名，得Encrypted-Key-Sign。
8.HSM-A把待导出密文Encrypt-Secret，待导出密钥Encrypted-Key，待导出数字签名Encrypted-Key-Sign,第二加密机公钥HSM-A-PublicKey和第二加密机数字签名HSM-A-PK-Sign通过管理API返回。
9.HSM-A向HSM-B发起导入请求，包括Encrypted-Key,Encrypt-Secret,Encrypted-Key-Sign,HSM-A-PublicKey,HSM-A-PK-Sign；
10.HSM-B通过Root-PublicKey验证HSM-A-PublicKey的签名信息HSM-A-PK-Sign。
11.HSM-B通过HSM-A-PublicKey验证Encrypted-Key的签名信息Encrypted-Key-Sign。
12.HSM-B通过HSM-B-PrivateKey对Encrypted-Key解密，得到Random-Key。
13.HSM-B通过Random-Key解密Encrypted-Secret，并检查散列是否正确。
14.HSM-B导入VSM数据(包括覆盖授权数据)。
综上，结合实施例1的导出方法和实施例2的导入方法，本申请另一实施例提供的一种虚拟加密机数据的处理方法，包括：
Step1，接收第一加密机发送的数据处理请求，其中，数据处理请求包括：第一加密机公钥和第一加密机数字签名；
本申请上述步骤Step1中，第二加密机接收第一加密机发送的数据处理请求，其中，该数据处理请求可以为数据导入请求，或数据导出请求。
Step2，依据预设公钥验证第一加密机数字签名的是否为第一加密机生成的数字签名；
本申请上述步骤Step2中，第二加密机依据预设公钥验证第一加密机数字签名的是否为第一加密机生成的数字签名。
Step3，在验证结果为是的情况下，根据第一加密机公钥进行数据处理。
本申请上述步骤Step3中，在依据预设公钥验证第一加密机数字签名为第一加密机生成的数字签名的情况下，第二加密机将根据第一加密机公钥进行数据处理。
结合上述步骤Step1至Step3，在数据处理请求存在以下两种情况下，以第一加密机向第二加密机请求数据导出，第一加密机导入第二加密机返回的数据为例，本申请另一实施例提供的虚拟加密机数据的处理方法具体如下：
情况一：当数据处理请求为数据导出请求时：
第二加密机接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。
情况二：当数据处理请求为数据导入请求时：
第一加密机接收响应报文；解析响应报文，获取响应报文中的预设第二加密机密钥参数组；依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文；在验证结果为是的情况下，导入响应报文。
由上可知，本申请实施中上述第一加密机和第二加密机可以互相作为数据的导出端和导入端，本申请实施例仅以第一加密机向第二加密机请求数据导出，第一加密机导入第二加密机返回的数据为例进行说明，以实现本申请实施例提供的虚拟加密机数据的处理方法为准，具体不做限定。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的虚拟加密机数据的导出方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
实施例3
根据本申请实施例，还提供了一种用于实施虚拟加密机数据的导出方法实施例的装置实施例，在第二加密机侧，本申请上述实施例所提供的装置可以在加密机上运行。
图6是根据本发明实施例三的虚拟加密机数据的导出装置的结构示意图。
如图6所示，该虚拟加密机数据的导出装置包括：接收模块62、验证模块64和报文生成模块66。
其中，接收模块62，用于接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；验证模块64，用于依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；报文生成模块66，用于在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。
由上可知，本申请上述实施例三所提供的方案，通过接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文，达到了对跨厂商的加密机之间的数据导出提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
此处需要说明的是，上述接收模块62、验证模块64和报文生成模块66对应于实施例一中的步骤S202至步骤S206，三个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的加密机10中，可以通过软件实现，也可以通过硬件实现。
可选的，图7是根据本发明实施例三的一种虚拟加密机数据的导出装置的结构示意图。如图7所示，本申请实施例中虚拟加密机数据的导出装置还包括：密钥生成模块65。
其中，密钥生成模块65，用于在根据第一加密机公钥生成与导出请求相应的响应报文之前，通过预设随机器生成随机对称密钥。
此处需要说明的是，上述密钥生成模块65对应于实施例一中的步骤S205，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的加密机10中，可以通过软件实现，也可以通过硬件实现。
进一步地，可选的，图8是根据本发明实施例三的另一种虚拟加密机数据的导出装置的结构示意图。如图8所示，报文生成模块66包括：报文生成单元661。
其中,报文生成单元661，用于根据所述第一加密机公钥和预设第二加密机密钥参数组生成与所述导出请求相应的响应报文。
此处需要说明的是，上述报文生成单元661对应于实施例一中的步骤S206中的Step1，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的加密机10中，可以通过软件实现，也可以通过硬件实现。
可选的，图9是根据本发明实施例三的又一种虚拟加密机数据的导出装置的结构示意图。如图9所示，报文生成单元661包括：第一加密子单元6611、第二加密子单元6612、数字签名生成子单元6613和报文生成子单元6614。
其中，第一加密子单元6611，用于在预设第二加密机密钥参数组包括随机对称密钥、第二加密机中的虚拟加密机数据和第二加密机密钥参数，其中，第二加密机密钥参数包括第二加密机私钥、第二加密机公钥和第二加密机数字签名的情况下，依据随机对称密钥对虚拟加密机数据进行加密，得到待导出密文；第二加密子单元6612，用于依据第一加密机公钥对随机对称密钥进行加密，得到待导出密钥；数字签名生成子单元6613，用于依据第二加密机私钥为待导出密钥生成数字签名，得到待导出数字签名；报文生成子单元6614，用于将待导出密文、待导出密钥、待导出数字签名、第二加密机公钥和第二加密机数字签名进行打包，生成响应报文。
此处需要说明的是，上述第一加密子单元6611、第二加密子单元6612、数字签名生成子单元6613和报文生成子单元6614对应于实施例一中的步骤S206中的Step1中的StepA至StepD，四个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的加密机10中，可以通过软件实现，也可以通过硬件实现。
可选的，本申请实施例提供的虚拟加密机数据的导出装置还包括：发送模块。
其中，发送模块，用于在根据第一加密机公钥生成与导出请求相应的响应报文之后，发送响应报文。
此处需要说明的是，上述发送模块对应于实施例一中的步骤S208，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的加密机10中，可以通过软件实现，也可以通过硬件实现。
实施例4
根据本申请实施例，还提供了一种用于实施虚拟加密机数据的导入方法实施例的装置实施例，在第一加密机侧，本申请上述实施例所提供的装置可以在加密机上运行。
图10是根据本发明实施例四的虚拟加密机数据的导入装置的结构示意图。
如图10所示，该虚拟加密机数据的导入装置包括：报文接收模块1002、解析模块1004、报文验证模块1006和导入模块1008。
其中，报文接收模块1002，用于接收响应报文；解析模块1004，用于解析响应报文，获取响应报文中的第二加密机密钥参数；报文验证模块1006，用于依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文；导入模块1008，用于在验证结果为是的情况下，导入响应报文。
由上可知，本申请上述实施例四所提供的方案，通过接收响应报文；解析响应报文，获取响应报文中的预设第二加密机密钥参数组；依据第二加密机密钥参数验证响应报文是否为第二加密机生成的响应报文；在验证结果为是的情况下，导入响应报文，达到了对跨厂商的加密机之间的数据导入提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
此处需要说明的是，上述报文接收模块1002、解析模块1004、报文验证模块1006和导入模块1008对应于实施例二中的步骤S402至步骤S408，四个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的加密机中，可以通过软件实现，也可以通过硬件实现。
可选的，图11是根据本发明实施例四的一种虚拟加密机数据的导入装置的结构示意图。如图11所示，解析模块1004包括：解析单元10041。
其中，解析单元10041，用于解析响应报文，得到响应报文中的待导出密文、待导出密钥和待导出数字签名。
此处需要说明的是，上述解析单元10041对应于实施例二中的步骤S404中的Step1，该模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的加密机中，可以通过软件实现，也可以通过硬件实现。
可选的，图12是根据本发明实施例四的另一种虚拟加密机数据的导入装置的结构示意图。如图12所示，报文验证模块1006包括：第一验证单元10061和第二验证单元10062。
其中，第一验证单元10061，用于在第二加密机密钥参数包括第二加密机公钥和第二加密机数字签名的情况下，依据预设公钥验证第二加密机数字签名是否合法；第二验证单元10062，用于在验证结果为合法的情况下，依据第二加密机公钥验证待导出密钥的待导出数字签名是否合法。
此处需要说明的是，上述第一验证单元10061和第二验证单元10062对应于实施例二中的步骤S406中的Step1和Step2，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的加密机中，可以通过软件实现，也可以通过硬件实现。
可选的，图13是根据本发明实施例四的又一种虚拟加密机数据的导入装置的结构示意图。如图13所示，导入模块1008包括：第一解密单元10081、第二解密单元10082和数据导入模块10083。
其中，第一解密单元10081，用于在验证结果为待导出密钥的待导出数字签名合法的情况下，通过第一加密机私钥对待导出密钥进行解密，得到随机对称密钥；第二解密单元10082，用于依据随机对称密钥解密待导出密文，得到第二加密机中的虚拟加密机数据；数据导入模块10083，用于导入虚拟加密机数据。
此处需要说明的是，上述导入模块1008包括：第一解密单元10081、第二解密单元10082和数据导入模块10083对应于实施例二中的步骤S408中的Step1至Step3，三个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的加密机中，可以通过软件实现，也可以通过硬件实现。
进一步地，可选的，图14是根据本发明实施例四的再一种虚拟加密机数据的导入装置的结构示意图。如图14所示，本申请实施例提供的虚拟加密机数据的导入装置还包括：检测单元10082’和校正单元10083’。
其中，检测单元10082’，用于在导入虚拟加密机数据之前，检测虚拟加密机数据是否正确；校正单元10083’，用于在检测结果为否的情况下，校正虚拟加密机数据，得到校正后的虚拟加密机数据。
此处需要说明的是，上述检测单元882’和校正单元883’对应于实施例二中的步骤S408中的Step2’和Step3’，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的加密机中，可以通过软件实现，也可以通过硬件实现。
实施例5
根据本申请实施例，还提供了一种用于实施虚拟加密机数据的导出或导入方法实施例的系统实施例，图15是根据本发明实施例五的虚拟加密机数据的导出导入系统的结构示意图。
如图15所示，该虚拟加密机数据的导出导入系统包括：第一加密机1501和第二加密机1502，第一加密机1501和第二加密机1502通信连接，其中，第二加密机1502接收第一加密机1501发送的导出请求，依据预设公钥验证导出请求中第一加密机数字签名是否合法，在验证结果为合法的情况下，依据导出请求中第一加密机公钥和预设第二加密机密钥参数组生成响应报文，并将响应报文发送至第一加密机1501；第一加密机1501接收第二加密机1502发送的响应报文，通过解析响应报文，获取响应报文中预设第二加密机密钥参数组，并依据预设第二加密机密钥参数组验证响应报文是否合法，在验证结果为是的情况下，导入响应报文；
其中，第二加密机1502为图6至图9中任一所示的虚拟加密机数据的导出装置；
第一加密机1501为图10至图14中任一所示的虚拟加密机数据的导入装置。
由上可知，本申请上述实施例五所提供的方案，通过接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否合法；在验证结果为合法的情况下，根据第一加密机公钥和预设第二加密机密钥参数组生成响应报文，达到了对跨厂商的加密机之间的数据导出和导入提供了安全保障的目的，从而实现了提升数据传输安全的技术效果，进而解决了由于现有技术中缺少对跨厂商的加密机的数据导出或导入未提出安全保障，导致的信息在传输的过程中存在泄露风险的技术问题。
实施例6
本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的虚拟加密机数据的导出方法所执行的程序代码。
可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：接收第一加密机发送的导出请求，其中，导出请求包括：第一加密机公钥和第一加密机数字签名；依据预设公钥验证第一加密机数字签名是否为第一加密机生成的数字签名；在验证结果为是的情况下，根据第一加密机公钥生成与导出请求相应的响应报文。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：通过预设随机器生成随机对称密钥。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：根据第一加密机公钥和预设第二加密机密钥参数组生成与导出请求相应的响应报文。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：依据随机对称密钥对虚拟加密机数据进行加密，得到待导出密文；依据第一加密机公钥对随机对称密钥进行加密，得到待导出密钥；依据第二加密机私钥为待导出密钥生成数字签名，得到待导出数字签名；将待导出密文、待导出密钥、待导出数字签名、第二加密机公钥和第二加密机数字签名进行打包，生成响应报文。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：发送响应报文。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (20)

1.一种虚拟加密机数据的导出方法，其特征在于，包括：
接收第一加密机发送的导出请求，其中，所述导出请求包括：第一加密机公钥和第一加密机数字签名；
依据预设公钥验证所述第一加密机数字签名是否为所述第一加密机生成的数字签名；
在验证结果为是的情况下，根据所述第一加密机公钥生成与所述导出请求相应的响应报文；
其中，所述第一加密机数字签名为对应所述第一加密机公钥生成的数字签名；所述第一加密机数字签名用于指示第二加密机认证所述导出请求是否为所述第一加密机发送的；所述响应报文为包含有所述第二加密机常用的加密规则，所述加密规则的表现形式包括：用于加密或解密的密钥。
2.根据权利要求1所述的方法，其特征在于，在所述根据所述第一加密机公钥生成与所述导出请求相应的响应报文之前，所述方法还包括：
通过预设随机器生成随机对称密钥。
3.根据权利要求2所述的方法，其特征在于，所述根据所述第一加密机公钥生成与所述导出请求相应的响应报文包括：
根据所述第一加密机公钥和预设第二加密机密钥参数组生成与所述导出请求相应的响应报文。
4.根据权利要求3所述的方法，其特征在于，在所述预设第二加密机密钥参数组包括所述随机对称密钥、第二加密机中的虚拟加密机数据和第二加密机密钥参数，其中，所述第二加密机密钥参数包括第二加密机私钥、第二加密机公钥和第二加密机数字签名的情况下，所述根据所述第一加密机公钥和预设第二加密机密钥参数组生成与所述导出请求相应的响应报文，包括：
依据所述随机对称密钥对所述虚拟加密机数据进行加密，得到待导出密文；
依据所述第一加密机公钥对所述随机对称密钥进行加密，得到待导出密钥；
依据所述第二加密机私钥为所述待导出密钥生成数字签名，得到待导出数字签名；
将所述待导出密文、所述待导出密钥、所述待导出数字签名、所述第二加密机公钥和所述第二加密机数字签名进行打包，生成所述响应报文。
5.根据权利要求1所述的方法，其特征在于，在所述根据所述第一加密机公钥生成与所述导出请求相应的响应报文之后，所述方法还包括：
发送所述响应报文。
6.一种虚拟加密机数据的导入方法，其特征在于，包括：
接收响应报文；
解析所述响应报文，获取所述响应报文中的第二加密机密钥参数；
依据所述第二加密机密钥参数验证所述响应报文是否为所述第二加密机生成的响应报文；
在验证结果为是的情况下，导入所述响应报文；
其中，所述响应报文为包含有所述第二加密机常用的加密规则，所述加密规则的表现形式包括：用于加密或解密的密钥；
依据所述第二加密机密钥参数验证所述响应报文是否为所述第二加密机生成的响应报文包括：在所述第二加密机密钥参数包括第二加密机公钥和第二加密机数字签名，以及所述响应报文包括待导出密文、待导出密钥和待导出数字签名的情况下，依据预设公钥验证所述第二加密机数字签名是否为所述第二加密机生成的数字签名；在验证结果为合法的情况下，依据所述第二加密机公钥验证所述待导出密钥的所述待导出数字签名是否为所述第二加密机生成的待导出数字签名。
7.根据权利要求6所述的方法，其特征在于，所述解析所述响应报文包括：
解析所述响应报文，得到响应报文中的待导出密文、待导出密钥和待导出数字签名。
8.根据权利要求6所述的方法，其特征在于，所述在验证结果为是的情况下，导入所述响应报文包括：
在验证结果为所述待导出密钥的所述待导出数字签名为所述第二加密机生成的待导出数字签名的情况下，通过第一加密机私钥对所述待导出密钥进行解密，得到随机对称密钥；
依据所述随机对称密钥解密所述待导出密文，得到所述第二加密机中的虚拟加密机数据；
导入所述虚拟加密机数据。
9.根据权利要求8所述的方法，其特征在于，在所述导入所述虚拟加密机数据之前，所述方法还包括：
检测所述虚拟加密机数据是否正确；
在检测结果为否的情况下，校正所述虚拟加密机数据，得到校正后的所述虚拟加密机数据。
10.一种虚拟加密机数据的导出装置，其特征在于，包括：
接收模块，用于接收第一加密机发送的导出请求，其中，所述导出请求包括：第一加密机公钥和第一加密机数字签名；
验证模块，用于依据预设公钥验证所述第一加密机数字签名是否为所述第一加密机生成的数字签名；
报文生成模块，用于在验证结果为是的情况下，根据所述第一加密机公钥生成与所述导出请求相应的响应报文；
其中，所述第一加密机数字签名为对应所述第一加密机公钥生成的数字签名；所述第一加密机数字签名用于指示第二加密机认证所述导出请求是否为所述第一加密机发送的；所述响应报文为包含有所述第二加密机常用的加密规则，所述加密规则的表现形式包括：用于加密或解密的密钥。
11.根据权利要求10所述的装置，其特征在于，所述装置还包括：
密钥生成模块，用于在所述根据所述第一加密机公钥生成与所述导出请求相应的响应报文之前，通过预设随机器生成随机对称密钥。
12.根据权利要求11所述的装置，其特征在于，所述报文生成模块包括：
报文生成单元，用于根据所述第一加密机公钥和预设第二加密机密钥参数组生成与所述导出请求相应的响应报文。
13.根据权利要求12所述的装置，其特征在于，所述报文生成单元包括：
第一加密子单元，用于在所述预设第二加密机密钥参数组包括所述随机对称密钥、第二加密机中的虚拟加密机数据和第二加密机密钥参数，其中，所述第二加密机密钥参数包括第二加密机私钥、第二加密机公钥和第二加密机数字签名的情况下，依据所述随机对称密钥对所述虚拟加密机数据进行加密，得到待导出密文；
第二加密子单元，用于依据所述第一加密机公钥对所述随机对称密钥进行加密，得到待导出密钥；
数字签名生成子单元，用于依据所述第二加密机私钥为所述待导出密钥生成数字签名，得到待导出数字签名；
报文生成子单元，用于将所述待导出密文、所述待导出密钥、所述待导出数字签名、所述第二加密机公钥和所述第二加密机数字签名进行打包，生成所述响应报文。
14.根据权利要求10所述的装置，其特征在于，所述装置还包括：
发送模块，用于在所述根据所述第一加密机公钥生成与所述导出请求相应的响应报文之后，发送所述响应报文。
15.一种虚拟加密机数据的导入装置，其特征在于，包括：
报文接收模块，用于接收响应报文；
解析模块，用于解析所述响应报文，获取所述响应报文中的第二加密机密钥参数；
报文验证模块，用于依据所述第二加密机密钥参数验证所述响应报文是否为所述第二加密机生成的响应报文；
导入模块，用于在验证结果为是的情况下，导入所述响应报文；
其中，所述响应报文为包含有所述第二加密机常用的加密规则，所述加密规则的表现形式包括：用于加密或解密的密钥；
所述报文验证模块包括：第一验证单元，用于在所述第二加密机密钥参数包括第二加密机公钥和第二加密机数字签名，以及所述响应报文包括待导出密文、待导出密钥和待导出数字签名的情况下，依据预设公钥验证所述第二加密机数字签名是否为所述第二加密机生成的数字签名；第二验证单元，用于在验证结果为合法的情况下，依据所述第二加密机公钥验证所述待导出密钥的所述待导出数字签名是否为所述第二加密机生成的待导出数字签名。
16.根据权利要求15所述的装置，其特征在于，所述解析模块包括：
解析单元，用于解析所述响应报文，得到响应报文中的待导出密文、待导出密钥和待导出数字签名。
17.根据权利要求15所述的装置，其特征在于，所述导入模块包括：
第一解密单元，用于在验证结果为所述待导出密钥的所述待导出数字签名为所述第二加密机生成的待导出数字签名的情况下，通过第一加密机私钥对所述待导出密钥进行解密，得到随机对称密钥；
第二解密单元，用于依据所述随机对称密钥解密所述待导出密文，得到所述第二加密机中的虚拟加密机数据；
数据导入模块，用于导入所述虚拟加密机数据。
18.根据权利要求17所述的装置，其特征在于，所述装置还包括：
检测单元，用于在所述导入所述虚拟加密机数据之前，检测所述虚拟加密机数据是否正确；
校正单元，用于在检测结果为否的情况下，校正所述虚拟加密机数据，得到校正后的所述虚拟加密机数据。
19.一种虚拟加密机数据的导出导入系统，其特征在于，包括：第一加密机和第二加密机，所述第一加密机和所述第二加密机通信连接，其中，
所述第二加密机接收所述第一加密机发送的导出请求，依据预设公钥验证所述导出请求中所述第一加密机数字签名是否为所述第一加密机生成的数字签名，在验证结果为是的情况下，依据所述导出请求中所述第一加密机公钥和预设第二加密机密钥参数组生成响应报文，并将所述响应报文发送至所述第一加密机；
所述第一加密机接收所述第二加密机发送的所述响应报文，通过解析所述响应报文，获取所述响应报文中预设第二加密机密钥参数组，并依据所述预设第二加密机密钥参数组验证所述响应报文是否为所述第二加密机生成的响应报文，在验证结果为是的情况下，导入所述响应报文；
其中，所述第二加密机为权利要求10至14中任一项所述的虚拟加密机数据的导出装置；
所述第一加密机为权利要求15至18中任一项所述的虚拟加密机数据的导入装置；
其中，所述第一加密机数字签名为对应所述第一加密机公钥生成的数字签名；所述第一加密机数字签名用于指示第二加密机认证所述导出请求是否为所述第一加密机发送的；所述响应报文为包含有所述第二加密机常用的加密规则，所述加密规则的表现形式包括：用于加密或解密的密钥。
20.一种虚拟加密机数据的处理方法，其特征在于，包括：
接收第一加密机发送的数据处理请求，其中，所述数据处理请求包括：第一加密机公钥和第一加密机数字签名；
依据预设公钥验证所述第一加密机数字签名的是否为所述第一加密机生成的数字签名；
在验证结果为是的情况下，根据所述第一加密机公钥进行数据处理；
其中，所述第一加密机数字签名为对应所述第一加密机公钥生成的数字签名；所述第一加密机数字签名用于指示第二加密机认证导出请求是否为所述第一加密机发送的。
CN201610225685.9A 2016-04-12 2016-04-12 虚拟加密机数据的导出导入以及处理方法、装置和系统 Active CN107294726B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610225685.9A CN107294726B (zh) 2016-04-12 2016-04-12 虚拟加密机数据的导出导入以及处理方法、装置和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610225685.9A CN107294726B (zh) 2016-04-12 2016-04-12 虚拟加密机数据的导出导入以及处理方法、装置和系统

Publications (2)

Publication Number Publication Date
CN107294726A CN107294726A (zh) 2017-10-24
CN107294726B true CN107294726B (zh) 2021-01-15

Family

ID=60093700

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610225685.9A Active CN107294726B (zh) 2016-04-12 2016-04-12 虚拟加密机数据的导出导入以及处理方法、装置和系统

Country Status (1)

Country Link
CN (1) CN107294726B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112636916A (zh) * 2020-11-30 2021-04-09 捷德(中国)科技有限公司 数据处理方法、装置、存储介质及电子设备

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6219652B1 (en) * 1998-06-01 2001-04-17 Novell, Inc. Network license authentication
CN101442409A (zh) * 2007-11-23 2009-05-27 东方钢铁电子商务有限公司 用于b2b数据交换的加密方法及系统
CN101247232B (zh) * 2008-03-27 2012-09-26 上海金鑫计算机系统工程有限公司 数据交换传输中基于数字签名的加密技术方法
CN101989991B (zh) * 2010-11-24 2013-09-18 天地融科技股份有限公司 安全导入密钥的方法及电子签名工具、认证设备及系统
CN104424446A (zh) * 2013-08-21 2015-03-18 中外建设信息有限责任公司 一种安全认证和传输的方法和系统
CN103701599B (zh) * 2013-12-12 2017-01-18 珠海市金邦达保密卡有限公司 安全设备、加密机、安全设备操作系统及操作方法

Also Published As

Publication number Publication date
CN107294726A (zh) 2017-10-24

Similar Documents

Publication Publication Date Title
US9866376B2 (en) Method, system, and device of provisioning cryptographic data to electronic devices
US10454674B1 (en) System, method, and device of authenticated encryption of messages
CN108241517B (zh) 一种软件升级方法、客户端及电子设备
CN110401615B (zh) 一种身份认证方法、装置、设备、系统及可读存储介质
EP2954448B1 (en) Provisioning sensitive data into third party network-enabled devices
CN104506515A (zh) 一种固件的保护方法和保护装置
EP3082356A1 (en) Method to check and prove the authenticity of an ephemeral public key
CN105471833A (zh) 一种安全通讯方法和装置
CN102595213B (zh) 可信电视终端安全认证方法和系统
JP2016012917A (ja) 通信ネットワークシステム、送信ノード、受信ノード、メッセージ検査方法およびコンピュータプログラム
CN103297403A (zh) 一种实现动态密码认证的方法和系统
CN105007577A (zh) 一种虚拟sim卡参数管理方法、移动终端及服务器
JP6190404B2 (ja) 受信ノード、メッセージ受信方法およびコンピュータプログラム
CN103138938A (zh) 基于csp的sm2证书申请及应用方法
WO2015003503A1 (zh) 一种提高信息安全性的方法、终端设备及网络设备
CN112217795B (zh) 一种对智能电表的通信安全进行管理的方法及装置
CN109690543B (zh) 安全认证方法、集成电路及系统
JP2020530726A (ja) サプライチェーン資産管理を保護するアプリケーションを有する遠隔サーバへのｎｆｃタグ認証
CN113868672B (zh) 模组无线固件升级方法、安全芯片和无线固件升级平台
CN105376059A (zh) 基于电子钥匙进行应用签名的方法和系统
CN107483388A (zh) 一种安全通信方法及其终端和云端
KR101358375B1 (ko) 스미싱 방지를 위한 문자메시지 보안 시스템 및 방법
CN107294726B (zh) 虚拟加密机数据的导出导入以及处理方法、装置和系统
CN112367664A (zh) 一种外部设备安全接入智能电表的方法及装置
CN104253692A (zh) 基于se的密钥管理方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant