CN107493167B - 终端密钥分发系统及其终端密钥分发方法 - Google Patents

Abstract

本发明提供了一种终端密钥分发系统。所述终端密钥分发系统包括电子密函平台、密钥分发器和终端设备，密钥分发器包括业务处理芯片、安全处理芯片、内置硬件、业务处理系统和安全处理系统，业务处理系统用于验证操作人员合法性、接收外部认证和指令请求，并将处理的结果发送给所述安全处理系统及操作所述内置硬件，安全处理系统用于实现终端密钥安全的存储和分发，包括第二指令执行模块，第二指令执行模块用于外部接入设备的认证、管理密钥存储、读取、分发、删除和生成保护因子。本发明还提供一种基于所述终端密钥分发系统的密钥分发方法。本发明提供的密钥分发器及其分发方法具有管理成本低、运作效率高、分发过程安全性高的优点。

Description

终端密钥分发系统及其终端密钥分发方法

技术领域

本发明涉及密钥分发技术领域，具体涉及一种终端密钥分发系统及其终端密钥分发方法。

背景技术

目前银行使用各种类型的终端设备来完成金融交易，例如：ATM、POS、PINPAD等，每台终端设备都存放了一定数量的终端密钥，终端密钥用于保护银行卡用户的PIN等敏感信息和保证数据传输的安全性。为保证终端设备和金融用户信息的安全，就需要实现“一机一密”。

当前银行内部采用电子密函平台对终端密钥进行统一管理，先由电子密函平台创建终端密钥，再通过纸质密函以离线方式实现终端密钥的导入。对于ATM，终端密钥由银行的电子密函平台创建并采用密信打印，分段保存在密钥信封中，分别由不同的操作人员保存密钥信封，再由操作人员分别往ATM终端输入不同的终端密钥分段，在ATM内部合成最终ATM使用的终端密钥。但随着设备的增多，传统纸质密函模式管理成本高、运作效率低的问题愈发突出。

对于POS，则通过PINPAD上的键盘注入终端密钥或通过POS控制器下载安装相同的密钥或通过各厂家提供的密钥下载安装软件下载安装密钥。在这一分发密钥过程中必须出现终端密钥明文，密钥泄漏和被破解的风险很大。

发明内容

为了解决上述使用密钥信封分发终端密钥管理成本高、运作效率低、分发过程中被泄露的风险大的技术问题，本发明公开了一种终端密钥分发系统及其密钥终端分发方法。

本发明提供了一种终端密钥分发系统，包括电子密函平台、密钥分发器和终端设备，所述电子密函平台用于生成终端密钥，所述终端设备为终端密钥的使用主体，所述密钥分发器用于将终端密钥写入所述终端设备；所述密钥分发器包括业务处理芯片、安全处理芯片、内置硬件、业务处理系统和安全处理系统，所述业务处理芯片分别与所述安全处理芯片和所述内置硬件电连接，所述业务处理系统装载并运行于所述业务处理芯片，所述安全处理系统装载并运行于所述安全处理芯片；所述业务处理系统用于验证操作人员合法性、接收外部认证和指令请求，并将处理的结果发送给所述安全处理系统及操作所述内置硬件，所述业务处理系统还包括用于验证操作人员合法性和执行指令以操作所述内置硬件的第一指令执行模块；所述安全处理系统用于实现终端密钥安全的存储和分发，其包括第二指令执行模块，所述第二指令执行模块用于外部接入设备的认证、管理密钥存储、读取、分发、删除和生成保护因子。

在本发明提供的终端密钥分发系统的一种较佳的实施例中，所述内置硬件包括串口、指纹传感器、键盘和显示屏，所述串口、所述指纹传感器、所述键盘及所述显示屏均与所述业务处理芯片电连接。

在本发明提供的终端密钥分发系统的一种较佳的实施例中，所述业务处理系统还包括第一检测模块，所述第一检测模块用于检测所述业务处理芯片和所述安全处理芯片的工作状态，所述安全处理系统还包括第二检测模块，所述第二检测模块用于检测所述安全处理芯片工作状态、算法的安全性、以及通信协议。

在本发明提供的终端密钥分发系统的一种较佳的实施例中，所述第一指令执行模块包括：指纹验证模块，用于调用指纹传感器、验证使用密钥分发器的操作人员是否为合法授权者；设备角色管理模块，通过口令验证使用密钥分发器的操作人员是否为合法授权者。

在本发明提供的终端密钥分发系统的一种较佳的实施例中，所述第二指令执行模块包括：设备认证模块，用于采用对称密钥算法认证外部接入设备；密钥注入模块，用于将电子密函平台产生的终端密钥导入所述安全处理芯片内；密钥管理模块，用于管理所述密钥分发器中存储的终端密钥；密钥分发模块，用于将所述密钥分发器中存储的终端密钥导入相应的终端设备；密钥算法模块，用于加解密密钥，随机产生保护因子，并根据终端设备的编号通过运算产生保护密钥，加密终端密钥获得密文。

同时，本发明还提供了一种基于上述所述的终端密钥分发系统的终端密钥分发方法，包括以下步骤：

步骤一、所述电子密函平台根据所述终端设备的编号创建相应的终端密钥；

步骤二、所述密钥分发器与所述电子密函平台相连接，所述电子密函平台对所述密钥分发器和操作人员进行身份认证，以保证所述密钥分发器和操作人员已授权；

步骤三、所述密钥分发器通过所述第二指令执行模块从所述电子密函平台下载步骤一中创建的终端密钥并进行存储；

步骤四、携带终端密钥的所述密钥分发器与所述终端设备相连接，通过所述第一指令执行模块验证操作人员是否授权，并通过所述第二指令执行模块验证所述密钥分发器及所述终端设备是否授权；

步骤五、经过步骤四验证成功后，将步骤三存储在所述密钥分发器中的终端密钥以密文的形式通过所述第二指令执行模块写入所述终端设备中；

步骤六、将步骤五执行结果反馈给所述密钥分发器，所述密钥分发器根据反馈即时销毁已成功写入所述终端设备的终端密钥。

在本发明提供的终端密钥分发方法的一种较佳的实施例中，所述内置硬件包括串口、指纹传感器、键盘和显示屏，所述第一指令执行模块包括设备角色管理模块、参数管理模块和指纹验证模块，所述第二指令执行模块包括设备认证检测模块、密钥分发模块、密钥注入模块、密钥管理模块和密钥算法模块，所述密钥分发器与所述终端设备通过所述串口连接，操作人员通过所述指纹传感器和所述指纹验证模块验证该操作人员的指纹是否合法，并通过所述键盘输入口令，所述设备角色管理模块验证口令是否合法，所述密钥分发器和所述终端设备通过所述设备角色管理模块采用MAC计算进行相互验证。

在本发明提供的终端密钥分发方法的一种较佳的实施例中，所述步骤五具体包括：操作人员通过所述键盘选择所述终端设备的相应编号，点击确定；所述密钥算法模块产生随机的保护因子，并和所述终端设备的编号通过运算产生保护密钥，保护密钥加密终端密钥产生密文；所述密钥分发模块以密文的形式将保护因子、所述终端设备的编号、终端密钥和密文的校验值一同发送到所述终端设备；所述终端设备获得密文采用与所述密钥分发器相同的算法计算以解析密文；所述终端设备将所述终端设备的编号和终端密钥的明文写入所述终端设备的硬件中。

在本发明提供的终端密钥分发方法的一种较佳的实施例中，所述步骤六具体包括：所述终端设备将具体的执行结果以及当前时间作为参数生成反馈信息，其中所述执行结果即为终端密钥是否成功写入所述终端设备中；将反馈信息以报文的形式发送给所述密钥分发器，所述参数管理模块根据报文判断是否成功完成所述终端密钥写入，若是，则所述密钥管理模块销毁保存的终端密钥，同时在所述参数管理模块中记录审计操作的时间并显示导出成功；若出现超时或者返回失败，所述参数管理模块会将密钥导出次数的值加一，判断是等于允许最大导出次数，若是，则所述密钥管理模块销毁密钥值并记录审计时间，否则所述密钥管理模块继续保留密钥。

相较于现有技术，本发明提供的终端密钥分发系统及其终端密钥分发方法具有以下有益效果：

一、本发明的终端密钥分发系统生成的终端密钥为电子密函形式，相较于传统的纸质密函，降低了管理成本，提高了工作效率，同时采用业务处理芯片和安全处理芯片使得密钥分发器分发过程更安全稳定；

二、通过采用MAC算法和对称算法对外部请求进行合法性认证，同时设置指纹传感器、指纹验证模块和设备角色管理模块，从而避免非法操作和非法请求，使得整个终端密钥分发过程更安全；

三、通过将终端密钥以密文的形式存储于密钥分发器，并通过密钥算法模块生成保护因子，避免了明文窥探的风险；

四、通过设置参数管理模块和密钥管理模块，使得终端密钥导出次数得以限制，终端密钥导出成功后得以自动销毁并使得密钥分发器分发的审计信息得以保存，利于后续查验。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图，其中：

图1是本发明提供终端密钥分发系统的一较佳实施例的结构框图；

图2为图1所示密钥分发器的内置硬件的结构框图；

图3为图1所示密钥分发器的业务处理系统的结构框图；

图4为图3所示业务处理系统的第一指令执行模块的结构框图；

图5为图1所示密钥分发器的安全处理系统的结构框图；

图6为图5所示安全处理系统的第二指令执行模块的结构框图；

图7是本发明提供终端密钥分发方法的一较佳实施例的流程图；

图8为图7所示终端密钥分发方法的原理示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

请参阅图1，图1是本发明提供终端密钥分发系统的一较佳实施例的结构框图。一种终端密钥分发系统包括电子密函平台200、终端设备300和密钥分发器100，所述电子密函平台200用于对应每台所述终端设备300生成终端密钥，所述终端设备300为终端密钥的使用主体，是银行完成金融交易所使用的各种类型的设备，所述密钥分发器100用于将所述电子密函平台200生成的终端密钥写入所述终端设备300。所述密钥分发器100通过约定的协议在所述电子密函平台200和所述终端设备300之间传送指令，约定的协议包括通信协议和为了实现各种功能而自定义的指令协议。

所述密钥分发器100包括业务处理芯片1、安全处理芯片2、内置硬件3、业务处理系统4和安全处理系统5，所述业务处理芯片1分别与所述安全处理芯片2和所述内置硬件3电连接，所述业务处理系统4装载并运行于所述业务处理芯片1，所述安全处理系统5装载并运行于所述安全处理芯片2。在本实施例中所述业务处理芯片采用ATmega128芯片，购自ATMEL公司，所述安全处理芯片采用32位安全芯片AC2，购自航芯公司。

请参阅图2，为图1所示密钥分发器的内置硬件的结构框图。所述内置硬件3包括串口31、指纹传感器32、键盘33和显示屏34，所述业务处理芯片2分别与所述串口31、所述指纹传感器32、所述键盘33及所述显示屏34电连接。所述串口31用于和外部设备连接并通信，所述指纹传感器32用于识别设备操作者的指纹，所述键盘33用于操作人员输入指令，所述显示屏34用于显示加载于所述密钥分发器的部分数据和指令。

请一并参阅图3、图4、图5和图6，其中，图3为图1所示密钥分发器的业务处理系统的结构框图；图4为图3所示业务处理系统的第一指令执行模块的结构框图；图5为图1所示密钥分发器的安全处理系统的结构框图；图6为图5所示安全处理系统的第二指令执行模块的结构框图。

所述业务处理系统4用于接收外部认证和指令请求，并对指令请求进行分析处理，将处理的结果发送给所述安全处理系统及操作所述内置硬件3，所述业务处理系统4包括：

第一检测模块41，用于检测所述业务处理芯片1和所述安全处理芯片2的工作状态；

第一通信处理模块42，用于和外部进行通信，并对外部系统的指令和请求做出反应；

第一指令执行模块43，用于执行所述第一通信处理模块42通过的请求，并调用相应程序操作所述内置硬件3。

所述第一检测模块41对于所述安全处理芯片1的工作状态的检测是通过定时读取特征字来检测所述安全处理芯片1的工作是否正常，如果不正常就使所述安全处理芯片1复位，重新启动。

所述第一通信处理模块42等待接收从电子密函平台发来的指令，根据CRC(CyclicRedundancy Check)校验信息判断接收信息的完整性，对于接收完整的指令，所述第一通信处理模块42将其转到所述第一指令执行模块43处理，处理结果存放在约定的指令配置区，且不向所述安全处理系统5返回指令。当电子密函平台200主动断开连接后，针对该连接的通信服务程序自动关闭，所述第一通信处理模块42又处于指令等待状态。

所述第一指令执行模块43包括设备角色管理模块431、参数管理模块432、指纹验证模块433、键盘处理模块434和显示模块435。

所述设备角色管理模块431用于再次验证使用该设备的操作人员是否为合法授权者。所述密钥分发器100初始状态下设有初始口令，当操作人员使用所述密钥分发器100时，必须通过所述键盘33输入正确的口令以通过所述设备角色管理模块431验证，否则无权操作该设备。所述参数管理模块432用于管理所述业务处理芯片2运行的各项参数，如终端密钥导出次数、终端密钥销毁及导出终端密钥操作的时间。所述指纹验证模块433用于控制所述指纹传感器35，并判断使用该设备的操作人员是否为合法授权者。所述键盘处理模块434用于识别所述键盘33的输入。所述显示模块435用于操作所述显示屏34的显示。

所述安全处理系统5用于实现终端密钥安全的存储和分发，其包括：

第二检测模块51，用于检测所述安全处理芯片1的工作状态、算法的安全性、以及通信协议；

第二通信处理模块52，用于识别所述业务处理芯片2发出的数据；

第二指令执行模块53，用于根据终端密钥导入、导出功能的需要，通过执行约定的指令实现与终端设备之间指令与数据的传递，以完成设备终端密钥导入、导出功能。

所述第二通信处理模块52识别所述业务处理芯片的通信端口，并配置相应的通信方式，依据循环冗余校验码(Cyclic Redundancy Check，CRC)判断接收指令信息的完整性、进行识别、语法分析和检查，对于合法的指令，从中提取处理该指令所需的参数和数据后，则调用所述第二指令执行模块53进行处理，处理结果再由所述第二通信处理模块52返回所述业务处理芯片1。当所述业务处理芯片1主动断开连接后，针对该连接的通信服务程序自动关闭。

所述第二指令执行模块53包括：

设备认证模块531、密钥注入模块532、密钥管理模块533、密钥分发模块534和密钥算法模块535。

所述设备认证模块531，用于认证外部接入设备。所述设备认证模块531与终端设备和电子密钥控制台采用对称密钥算法，通过认证密钥计算MAC的效验方式来验证设备的合法性；

所述密钥注入模块532，用于将电子密函平台产生的终端密钥导入并储存在所述安全处理芯片1的加密存储区内；

所述密钥管理模块533，用于管理所述密钥分发器中存储的终端密钥；

所述密钥分发模块534，用于将所述密钥分发器中存储的终端密钥导入相应的终端设备；

所述密钥算法模块535，用于加、解密密钥，具体的可采用国密算法SM1或SM2或SM3或SM4算法，本实施例中采用SM1算法，所述密钥算法模块535还用于随机产生保护因子，并根据终端设备的编号通过运算产生保护密钥，加密终端密钥获得密文。

所述密钥分发器100采用嵌入式双CPU结构，使用在线系统编程的方式写入或更新各自在片内FLASH的驱动和应用程序。所述密钥分发器100和所述电子密函平台200之间采用RS232串口线缆进行通信连接，所述密钥分发器100和所述终端设备300之间采用RS232串口线缆进行通信连接。所述密钥分发器100和所述电子密函平台200使用C/S方式进行通信，并且所有通信数据以指令协议的方式进行严格约定，每一条指令都遵循指令码、指令信息和返回码、响应消息的格式。

在导入终端密钥过程中，所述电子密函平台200向所述密钥分发器100发送指令，所述密钥分发器100接收指令，并对指令进行分析和处理，然后将处理结果以响应的方式返回给所述电子密函平台200，以此方式与所述电子密函平台100进行交互，完成终端密钥导出的功能。

在导出终端密钥过程中，所述密钥分发器100向所述终端设备300发送指令，所述终端设备300被动地接收指令，解析处理指令，并将响应结果返回给所述密钥分发器100。

所述通信协议由STX、ADDRESS、COUNT、MESSAGE、ETX和CRC16这6个域组成，具体格式及内容说明如下表所示：

所述指令协议的请求指令的具体格式及内容说明如下表所示：

所述指令协议的响应指令的格式及内容说明如下：

请参阅图7，是本发明提供终端密钥分发方法的一较佳实施例的流程图。一种终端密钥分发方法包括如下步骤：

步骤S1、电子密函平台200根据终端设备300的编号创建相应的终端密钥；

具体地，每台终端设备300的编号是随机设置且为唯一的编号。

步骤S2、密钥分发器100与电子密函平台200相连接，电子密函平台200对密钥分发器100和操作人员进行身份认证，以保证密钥分发器和操作人员已授权；

具体地，密钥分发器100通过串口31与电子密函平台200相连接，在本实施例中串口31采用RS232串口；业务处理芯片1调用第一检测模块41进行自检，并对安全处理芯片2进行工作状态检测，安全处理芯片2调用第二检测模块51进行自检、算法安全检测和通信检测，再通过指纹传感器32输入操作人员指纹，通过键盘33输入口令，电子密函平台通过指纹和口令对密钥分发器和操作人员进行身份认证；

步骤S3、密钥分发器100通过第二指令执行模块53从电子密函平台200下载步骤S1中创建的终端密钥；

具体地，步骤S1中创建的终端密钥以密文形式通过密钥注入模块532导入到密钥分发器100内，再通过密钥管理模块533将终端密钥存储在安全处理芯片2的加密存储区内，完成终端密钥下载后断开密钥分发器100和电子密函平台200。在这个交互的过程中，涉及到密钥算法模块535采用对称密钥SM1算法完成交互，用密钥分发器100与电子密函平台200约定有初始传输密钥，在传输过程中生成传输密钥，用初始传输密钥保护传输密钥，再用传输密钥保护终端密钥，以保证往来数据都是以密文形式传输而在网路上没有明文数据出现。

步骤S4、携带终端密钥的密钥分发器100与终端设备300相连接，并验证密钥分发器100、终端设备300、设备操作人员是否授权；

具体地，密钥分发器100与终端设备300通过串口31连接，在本实施例中串口采用RS232串口；业务处理芯片1调用第一检测模块41进行自检，并对安全处理芯片2进行工作状态检测，安全处理芯片2调用第二检测模块51进行自检、算法安全检测和通信检测；再通过指纹传感器32录入操作人员指纹，通过键盘33输入口令，设备角色管理模块431验证该操作人员的指纹和口令是否合法，从而验证该操作人员是否合法；密钥分发器100和终端设备300通过设备认证检测模块531采用MAC(Message Authentication Code)计算进行相互验证；

步骤S5、经过步骤S4验证成功后，将步骤S3存储在密钥分发器100中的终端密钥以密文的形式通过第二指令执行模块写入终端设备300中，并反馈信息给终端密钥分发器；(该步骤内容与图7中的步骤内容不相同，请对应修改)

具体地，经过步骤S4验证成功后，所述业务处理芯片1调用参数管理模块432和显示模块435在显示屏34上列表显示终端设备300的编号，操作人员通过键盘32选择终端设备300相应的编号，点击确定；密钥分发模块534将终端密钥以密文的形式发送到终端设备300；终端设备300获得密文后调用预先安装的终端密钥分析程序对密文进行处理，获得终端密钥的明文并将其写入终端设备300的硬件模块中。终端密钥分析程序为由终端设备300内安装的程序加载和调用的函数库，用于解析处理密钥分发器100的请求数据并组建发往密钥分发器100的响应包。

步骤S6、密钥分发器100即时销毁所导出的终端密钥；

具体地，终端设备300将步骤S5的执行结果以及当前时间作为参数调用终端密钥分析程序产生报文，将返回的报文发送给密钥分发器100，密钥管理模块533根据报文判断是否成功完成终端密钥导入，如果是，则销毁保存的终端密钥。

步骤S7、电子密函平台200定期对终端密钥进行更新，终端设备300重新导入终端密钥。

终端设备300的运作需要定时与电子密函平台200进行签到，以保证终端设备300的正常使用。电子密函平台200对终端设备300中使用的终端密钥设置自动更新的周期，当已导入终端密钥的终端设备300达到设置的更新周期后，电子密函平台200会对终端密钥的值自动更新，随后终端设备300进行签到时，会因终端设备300与电子密函平台200中的终端密钥不一致而失败，进而进入新的终端密钥写入流程，并且在终端密钥重新写入成功后，重试签到。

请参阅图8，为图7所示终端密钥分发方法的原理示意图。密钥分发器导出终端密钥写入终端设备的原理如下：

首先密钥分发器100与终端设备300通过RS232串口连接，终端设备300开始监听传输的数据；业务处理芯片1调用第一检测模块41进行自检，并对安全处理芯片2进行工作状态检测，安全处理芯片2调用第二检测模块51进行自检、算法安全检测和通信检测；再通过指纹传感器32录入操作人员指纹，通过键盘33输入口令，设备角色管理模块431验证该操作人员的指纹和口令是否合法，从而验证该操作人员是否合法；密钥分发器100和终端设备300通过设备认证检测模块531采用MAC计算进行相互验证。

所述业务处理芯片1调用参数管理模块432和显示模块435在显示屏34上列表显示终端设备300的编号，操作人员通过键盘33选择终端设备300相应的编号，点击确定；密钥算法模块535产生随机的保护因子，并和终端设备300的编号通过运算产生保护密钥，保护密钥加密终端密钥产生密文；密钥分发模块534以密文的形式将保护因子、终端设备300的编号、终端密钥和密文的校验值一同发送到终端设备；终端设备300获得密文后调用预先安装的终端密钥分析程序对密文进行处理，终端密钥分析程序采用和密钥分发器100同样的算法计算以解析密文，获得终端密钥的明文并验证密文的校验值；终端设备将终端设备300的编号和终端密钥的明文一同写入终端设备300的硬件中。终端密钥分析程序为由终端设备内安装的程序加载和调用的函数库，用于解析处理密钥分发器的请求数据并组建发往密钥分发器的响应包。

终端设备300将具体的执行结果以及当前时间作为参数调用终端密钥分析程序产生报文，执行结果即为终端密钥是否成功写入终端设备300中；将返回的报文发送给密钥分发器100，参数管理模块432根据报文判断是否成功完成终端密钥导入，如果是，则密钥管理模块533销毁保存的终端密钥，同时在参数管理模块432中记录审计操作的时间并显示导出成功；如果出现超时或者返回失败，参数管理模块432会将密钥导出次数的值加一，判断是等于允许最大导出次数，如果是，则密钥管理模块533销毁密钥值并记录审计时间，否则密钥管理模块533继续保留密钥。

本发明提供的终端密钥分发系统及其终端密钥分发方法具有以下有益效果：

一、本发明的终端密钥分发系统生成的终端密钥为电子密函形式，相较于传统的纸质密函，降低了管理成本，提高了工作效率，同时采用业务处理芯片1和安全处理芯片2使得密钥分发器分发过程更安全稳定；

二、通过采用MAC算法和对称算法对外部请求进行合法性认证，同时设置指纹传感器32、指纹验证模块433和设备角色管理模块431，从而避免非法操作和非法请求，使得整个终端密钥分发过程更安全；

三、通过将终端密钥以密文的形式存储于所述密钥分发器100，并通过密钥算法模块535生成保护因子避免了明文窥探的风险；

四、通过设置参数管理模块432和密钥管理模块533，使得终端密钥导出次数得以限制，终端密钥导出成功后得以自动销毁并使得密钥分发器分发的审计信息得以保存，利于后续查验。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (6)

1.一种终端密钥分发系统，其特征在于，包括电子密函平台、密钥分发器和终端设备，所述电子密函平台用于生成终端密钥，所述终端设备为终端密钥的使用主体，所述密钥分发器用于将终端密钥写入所述终端设备；

所述密钥分发器包括业务处理芯片、安全处理芯片、内置硬件、业务处理系统和安全处理系统，所述业务处理芯片分别与所述安全处理芯片和所述内置硬件电连接，所述业务处理系统装载并运行于所述业务处理芯片，所述安全处理系统装载并运行于所述安全处理芯片；

所述业务处理系统用于验证操作人员合法性、接收外部认证和指令请求，并将处理的结果发送给所述安全处理系统及操作所述内置硬件，所述业务处理系统还包括用于验证操作人员合法性和执行指令以操作所述内置硬件的第一指令执行模块；所述第一指令执行模块包括参数管理模块和设备角色管理模块，所述设备角色管理模块通过口令验证使用密钥分发器的操作人员是否为合法授权者；所述参数管理模块用于管理所述业务处理芯片运行的各项参数，包括终端密钥导出次数、终端密钥销毁及导出终端密钥操作的时间；

所述业务处理系统还包括第一检测模块和第一通信处理模块，所述第一检测模块用于检测所述业务处理芯片和所述安全处理芯片的工作状态；所述第一通信处理模块用于和外部进行通信，并对外部系统的指令和请求做出反应；

所述安全处理系统用于实现终端密钥安全的存储和分发，其包括第二指令执行模块，所述第二指令执行模块用于外部接入设备的认证、管理密钥存储、读取、分发、删除和生成保护因子；所述第二指令执行模块包括设备认证模块，用于采用对称密钥算法认证外部接入设备；所述设备认证模块与终端设备采用对称密钥算法，通过认证密钥计算MAC的效验方式来验证设备的合法性；

所述安全处理系统还包括第二检测模块和第二通信处理模块，所述第二检测模块用于检测所述安全处理芯片工作状态、算法的安全性、以及通信协议；所述第二通信处理模块用于识别所述业务处理芯片发出的数据。

2.根据权利要求1所述的终端密钥分发系统，其特征在于，所述内置硬件包括串口、指纹传感器、键盘和显示屏，所述串口、所述指纹传感器、所述键盘及所述显示屏均与所述业务处理芯片电连接。

3.根据权利要求1所述的终端密钥分发系统，其特征在于，所述第一指令执行模块包括：

指纹验证模块，用于调用指纹传感器、验证使用密钥分发器的操作人员是否为合法授权者。

4.根据权利要求1所述的终端密钥分发系统，其特征在于，所述第二指令执行模块包括：

密钥注入模块，用于将电子密函平台产生的终端密钥导入所述安全处理芯片内；

密钥管理模块，用于管理所述密钥分发器中存储的终端密钥；

密钥分发模块，用于将所述密钥分发器中存储的终端密钥导入相应的终端设备；

密钥算法模块，用于加、解密密钥，随机产生保护因子，并根据终端设备的编号通过运算产生保护密钥，加密终端密钥获得密文。

5.一种基于权利要求1所述的终端密钥分发系统的终端密钥分发方法，其特征在于，包括以下步骤：

步骤一、所述电子密函平台根据所述终端设备的编号创建相应的终端密钥；

步骤二、所述密钥分发器与所述电子密函平台相连接，所述电子密函平台对所述密钥分发器和操作人员进行身份认证，以保证所述密钥分发器和操作人员已授权；

步骤三、所述密钥分发器通过所述第二指令执行模块从所述电子密函平台下载步骤一中创建的终端密钥并进行存储；

步骤四、携带终端密钥的所述密钥分发器与所述终端设备相连接，通过所述第一指令执行模块验证操作人员是否授权，并通过所述第二指令执行模块验证所述密钥分发器及所述终端设备是否授权；

步骤五、经过步骤四验证成功后，将步骤三存储在所述密钥分发器中的终端密钥以密文的形式通过所述第二指令执行模块写入所述终端设备中；所述第一指令执行模块包括参数管理模块，所述第二指令执行模块包括密钥管理模块、密钥分发模块和密钥算法模块；操作人员通过所述键盘选择所述终端设备的相应编号，点击确定；所述密钥算法模块产生随机的保护因子，并和所述终端设备的编号通过运算产生保护密钥，保护密钥加密终端密钥产生密文；所述密钥分发模块以密文的形式将保护因子、所述终端设备的编号、终端密钥和密文的校验值一同发送到所述终端设备；所述终端设备获得密文采用与所述密钥分发器相同的算法计算以解析密文；所述终端设备将所述终端设备的编号和终端密钥的明文写入所述终端设备的硬件中；

步骤六、将步骤五执行结果反馈给所述密钥分发器，所述密钥分发器根据反馈即时销毁已成功写入所述终端设备的终端密钥；所述终端设备将具体的执行结果以及当前时间作为参数生成反馈信息，其中所述执行结果即为终端密钥是否成功写入所述终端设备中；将反馈信息以报文的形式发送给所述密钥分发器，所述参数管理模块根据报文判断是否成功完成所述终端密钥写入，若是，则所述密钥管理模块销毁保存的终端密钥，同时在所述参数管理模块中记录审计操作的时间并显示导出成功；若出现超时或者返回失败，所述参数管理模块会将密钥导出次数的值加一，判断是等于允许最大导出次数，若是，则所述密钥管理模块销毁密钥值并记录审计时间，否则所述密钥管理模块继续保留密钥。

6.根据权利要求5所述的终端密钥分发方法，其特征在于，所述内置硬件包括串口、指纹传感器、键盘和显示屏，所述第一指令执行模块包括设备角色管理模块、参数管理模块和指纹验证模块，所述第二指令执行模块还包括设备认证检测模块、密钥注入模块和密钥管理模块，所述密钥分发器与所述终端设备通过所述串口连接，操作人员通过所述指纹传感器和所述指纹验证模块验证该操作人员的指纹是否合法，并通过所述键盘输入口令，所述设备角色管理模块验证口令是否合法，所述密钥分发器和所述终端设备通过所述设备角色管理模块采用MAC计算进行相互验证；所述密钥分发器初始状态下设有初始口令，当操作人员使用所述密钥分发器时，必须通过所述键盘输入正确的口令以通过所述设备角色管理模块验证，否则无权操作该设备。

Images