CN108599928B - 密钥管理方法及装置 - Google Patents
密钥管理方法及装置 Download PDFInfo
- Publication number
- CN108599928B CN108599928B CN201810259075.XA CN201810259075A CN108599928B CN 108599928 B CN108599928 B CN 108599928B CN 201810259075 A CN201810259075 A CN 201810259075A CN 108599928 B CN108599928 B CN 108599928B
- Authority
- CN
- China
- Prior art keywords
- key
- random number
- ciphertext
- encryption algorithm
- security chip
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000007726 management method Methods 0.000 title claims abstract description 38
- 238000000034 method Methods 0.000 claims abstract description 20
- 238000004364 calculation method Methods 0.000 description 4
- 230000000694 effects Effects 0.000 description 4
- 238000005516 engineering process Methods 0.000 description 3
- 238000010586 diagram Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000011084 recovery Methods 0.000 description 2
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008676 import Effects 0.000 description 1
- 238000013507 mapping Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
- H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
- Storage Device Security (AREA)
Abstract
本发明涉及录播技术领域,公开了一种密钥管理方法及装置,该方法包括安全芯片接收录播服务器发送的数据密钥,数据密钥用于加密多媒体数据;安全芯片生成第一随机数和第二随机数;安全芯片通过非对称加密算法的第一公钥加密第一随机数,生成第一密文密钥,并存储在安全芯片本地;安全芯片通过对称加密算法并以第一随机数作为密钥加密第二随机数,生成第二密文密钥;安全芯片通过对称加密算法并以第二随机数作为密钥加密数据密钥,得到第三密文密钥;安全芯片发送第二密文密钥和第三密文密钥至录播服务器。本发明对数据密钥进行了三重加密,有效保证了数据密钥的安全性。
Description
技术领域
本发明涉及录播技术领域,具体涉及一种密钥管理方法及装置。
背景技术
录播是将授课或演讲者的影响、声音以及上课讲义以硬件设备方式即时记录成标准的网络格式,并通过网络及服务器同步直播,或者当演讲结束后将内容保存于服务器的存储介质中,以满足用户后续从服务器的存储介质中获取并重播的需求。
随着科技的不断发展,录播技术已经广泛应用于视频会议领域中。一般地,录播好的多媒体数据都会通过密钥进行加密处理。目前,用于加密多媒体数据的密钥具有以下两种存储方式:1、将密钥明文直接存储在服务器的数据库中,通过数据库的相关安全性技术进行保护。2、采用数字信封的思想,使用非对称加密算法的公钥加密密钥,产生密钥密文,将密钥密文存储在数据库中,录播服务器使用非对称加密算法的私钥来解密密钥密文。上述存储方式1中密钥的安全性完全依赖于数据库的安全,一旦数据库被攻破,密钥便会泄露,使得数据的安全性得不到保障;上述存储方式2,每次解密数据时均需运行一次非对称加密算法,加重了服务器的负载,降低了解密效率。
综上所述,如何提高密钥的安全性,同时保证解密数据时具有较高的解密效率是当前急需解决的问题之一。
发明内容
为此,本发明所要解决的技术问题是如何提高密钥的安全性。
为解决上述技术问题,本发明采用的技术方案如下:
根据第一方面,本发明实施例提供了一种密钥管理方法,包括:
安全芯片接收录播服务器发送的数据密钥,所述数据密钥用于加密多媒体数据;
所述安全芯片生成第一随机数和第二随机数;
所述安全芯片通过非对称加密算法的第一公钥加密所述第一随机数,生成第一密文密钥,并存储在所述安全芯片本地;
所述安全芯片通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥;
所述安全芯片通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥;
所述安全芯片发送所述第二密文密钥和所述第三密文密钥至所述录播服务器。
可选地,在所述安全芯片通过非对称加密算法的公钥加密所述第一随机数,生成第一密文密钥,并存储在所述安全芯片本地之后,还包括:
所述安全芯片通过非对称加密算法的第一私钥对所述第一密文密钥进行解密,得到所述第一随机数,其中,所述第一私钥与所述第一公钥对应;
所述安全芯片通过非对称加密算法的第二公钥加密所述第一随机数,得到第四密文密钥;
所述安全芯片将所述第四密文密钥发送至备份芯片进行备份。
可选地,还包括:
所述备份芯片获取所述第四密文密钥;
所述备份芯片通过非对称加密算法的第二私钥解密所述第四密文密钥,得到所述第一随机数,其中,所述第二私钥与所述第二公钥对应。
可选地,在所述安全芯片通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥之后,还包括:
所述安全芯片每隔预设周期生成新的第二随机数;通过对称加密算法以所述第一随机数作为密钥加密所述新的第二随机数,得到新的第二密文密钥。
可选地,在所述安全芯片通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥之后,还包括:
所述安全芯片每隔所述预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到所述数据密钥;使用当前周期生成的第二随机数加密所述数据密钥,得到当前周期内的第三密文密钥。
根据第二方面,本发明实施例提供了一种密钥管理装置,包括:
接收单元,用于接收录播服务器发送的数据密钥,所述数据密钥用于加密多媒体数据;
生成单元,用于生成第一随机数和第二随机数;
第一加密单元,用于通过非对称加密算法的第一公钥加密所述第一随机数,生成第一密文密钥,并存储在所述安全芯片本地;
第二加密单元,用于通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥;
第三加密单元,用于通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥;
第一发送单元,用于发送所述第二密文密钥和所述第三密文密钥至所述录播服务器。
可选地,还包括:
第一解密单元,用于通过非对称加密算法的第一私钥对所述第一密文密钥进行解密,得到所述第一随机数,其中,所述第一私钥与所述第一公钥对应;
第四加密单元,用于通过非对称加密算法的第二公钥加密所述第一随机数,得到第四密文密钥;
第二发送单元,用于将所述第四密文密钥发送至备份芯片进行备份。
可选地,还包括:
获取单元,用于获取所述第四密文密钥;
第二解密单元,用于通过非对称加密算法的第二私钥解密所述第四密文密钥,得到所述第一随机数,其中,所述第二私钥与所述第二公钥对应。
可选地,所述生成单元还用于每隔预设周期生成新的第二随机数;
所述第二加密单元还用于通过对称加密算法以所述第一随机数作为密钥加密所述新的第二随机数,得到新的第二密文密钥。
可选地,还包括:
第三解密单元,用于每隔所述预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到所述数据密钥;
所述第三加密单元还用于使用当前周期生成的所述新的第二随机数加密所述数据密钥,得到当前周期内的新的第三密文密钥。
本发明的上述技术方案相对于现有技术具有以下优点:
根据本发明第一方面提供的密钥管理方法,即,对加密多媒体数据的数据密钥的管理,当安全芯片接收到数据密钥,其生成第一随机数和第二随机数,以第二随机数作为密钥并结合对称加密算法加密数据密钥,以第一随机数作为密钥并结合对称加密算法加密第二随机数,并通过非对称加密算法的第一公钥加密第一随机数。
即是说,本发明对数据密钥进行了三重加密,有效保证了数据密钥的安全性;使用非对称加密算法的公钥来加密对称加密算法的密钥,并且非对称加密算法的私钥处于保密状态,不会被中间人所获取,因此使得对称加密算法的密钥的安全性得到有效的保证,进而加强了对数据密钥的保护。另外,本发明使用被安全芯片保护的非对称加密算法来加密对称加密算法的密钥,即是说提供了非对称加密算法的加密保护效果,但只花费对称加密算法的计算时间,减少了非对称加密算法的使用次数,提高了录播服务器的效率。
根据本发明第一方面提供的密钥管理方法,当生成第一密文密钥并将其存储至安全芯片本地后,还可以通过非对称加密算法的第一私钥对第一密文密钥进行解密,得到第一随机数;然后通过非对称加密算法的第二公钥加密第一随机数,得到第四密文密钥;最后将第四密文密钥发送至备份芯片进行备份。即是说,本发明实施例中,可以将安全芯片中产生的第一随机数及时备份至备份芯片中,以防止安全芯片损坏或丢失等原因而导致第一随机数丢失、无法解密数据多媒体数据的情况发生,进一步地提高了该密钥管理方法的稳定可靠性。并且在备份过程中,保证明文不落地。
根据本发明第一方面提供的密钥管理方法,还包括:获取第四密文密钥;通过非对称加密算法的第二私钥解密第四密文密钥,得到第一随机数。即,当安全芯片损坏或丢失等情况发生时,可通过备份芯片对第一随机数进行恢复,保证第一随机数的安全性以及后续解密工作的顺利进行。
根据本发明第一方面提供的密钥管理方法,还包括:每隔预设周期生成新的第二随机数,并通过对称加密算法以第一随机数作为密钥加密新的第二随机数,得到新的第二密文密钥;使用前一个周期的第二随机数解密对应的第三密文密钥,得到数据密钥;使用当前周期生成的新的第二随机数加密数据密钥,得到当前周期内的新的第三密文密钥。即是说,本发明所提供的密钥管理方法中会定期对第二密文密钥和第三密文密钥进行更新,防止各密文密钥泄露或被暴力破解的情况发生。
根据本发明第二方面提供的密钥管理装置,包括接收单元、生成单元、第一加密单元、第二加密单元、第三加密单元以及第一发送单元,其中,接收单元用于接收数据密钥;生成单元用于生成第一随机数和第二随机数;第一加密单元用于通过非对称加密算法的第一公钥加密第一随机数,生成第一密文密钥;第二加密单元用于通过对称加密算法并以第一随机数作为密钥加密第二随机数,生成第二密文密钥;第三加密单元用于通过对称加密算法并以第二随机数作为密钥加密数据密钥,得到第三密文密钥;第一发送单元用于发送第二密文密钥和第三密文密钥至录播服务器。
本发明对数据密钥进行了三重加密,有效保证了数据密钥的安全性;通过第一加密单元使用非对称加密算法的公钥来加密对称加密算法的密钥,并且非对称加密算法的私钥处于保密状态,不会被中间人所获取,因此使得对称加密算法的密钥的安全性得到有效的保证,进而加强了对数据密钥的保护。另外,本发明使用被安全芯片保护的非对称加密算法来加密对称加密算法的密钥,即是说提供了非对称加密算法的加密保护效果,但只花费对称加密算法的计算时间,减少了非对称加密算法的使用次数,提高了录播服务器的效率。
附图说明
为了更清楚地说明本发明具体实施方式或现有技术中的技术方案,下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图是本发明的一些实施方式,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为本发明实施例1提供的密钥管理方法的一种实施方式的流程框图;
图2为本发明实施例1提供的密钥管理方法的另一种实施方式的流程框图;
图3为本发明实施例2提供的密钥管理装置的一种实施方式的结构示意图;
图4为本发明实施例2提供的密钥管理装置的另一种实施方式的结构示意图;
图5为本发明实施例3提供的密钥管理装置的具体示例的一种流程图;
图6为本发明实施例3提供的密钥管理装置的具体示例的另一种流程图。
具体实施方式
下面将结合附图对本发明的技术方案进行清楚、完整地描述,显然,所描述的实施例是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例,都属于本发明保护的范围。
此外,下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。
实施例1
本发明实施例提供了一种密钥管理方法,如图1所示,包括以下步骤:
步骤S11、安全芯片接收录播服务器发送的数据密钥,数据密钥用于加密多媒体数据。
其中,本实施例中提及的安全芯片可以为USB Key或SD Key或PCI-E密码卡或智能卡或TPM等安全芯片中的任一种。
一般地,录播服务器从多媒体视频源(例如摄像头等)接收到多媒体数据文件后,录播服务器即采用对称加密算法对多媒体数据文件进行加密。本实施例中,将加密多媒体数据文件所使用的密钥统一称作数据密钥。数据密钥可以通过随机数产生。
需要说明的是,本实施例中加密多媒体数据文件所采用的对称加密算法可以为AES加密算法或SM4国密加密算法,也可以采用其他具有同种功能的对称加密算法。
步骤S12、安全芯片生成第一随机数和第二随机数。
其中,第一随机数和第一随机数为安全芯片中的硬件随机数。
步骤S13、安全芯片通过非对称加密算法的第一公钥加密第一随机数,生成第一密文密钥,并存储在安全芯片本地。
需要说明的是,在执行该步骤S13之前,首先需要向安全芯片中导入非对称加密算法的第一公钥和第一私钥。其中,第一公钥和第一私钥是由密钥管理中心签发的,非对称加密算法可以选用SM2国密加密算法。
其中,第一密文密钥和非对称加密算法的第一私钥均存储在安全芯片的文件存储区中。
步骤S14、安全芯片通过对称加密算法并以第一随机数作为密钥加密第二随机数,生成第二密文密钥。
其中,步骤S14中使用的对称加密算法可以选用AES加密算法或SM4国密加密算法。
步骤S15、安全芯片通过对称加密算法并以第二随机数作为密钥加密数据密钥,得到第三密文密钥。
其中,与步骤S14相同的是,步骤S15中使用的对称加密算法可选用AES加密算法或SM4国密加密算法。
步骤S16、安全芯片发送第二密文密钥和第三密文密钥至录播服务器。即,第二密文密钥和第三密文密钥均存储于录播服务器中,具体地,第二密文密钥和第三密文密钥均存储于录播服务器对应的服务器数据库中。并且,由于多媒体数据文件有多个,在服务器数据库中存储有各多媒体数据文件的标识及其对应的第三密文密钥的映射表,如下表所示:
需要说明的是,步骤S12中的第一随机数和第二随机数可以是同时生成,也可以不是同时生成。例如,可以在步骤S13完成之后再生成第二随机数。另外,步骤S11即接收录播服务器发送的数据密钥的步骤,其可以在产生随机数之前发生,也可以在步骤S14完成之后发生。在此不做顺序上的限定。
还需要说明的是,步骤S13、步骤S14和步骤S15之间的顺序可以调换,并不局限于本实施例中的顺序。
本发明对数据密钥进行了三重加密,有效保证了数据密钥的安全性;使用非对称加密算法的公钥来加密对称加密算法的密钥,并且非对称加密算法的私钥处于保密状态,不会被中间人所获取,因此使得对称加密算法的密钥的安全性得到有效的保证,进而加强了对数据密钥的保护。另外,本发明使用被安全芯片保护的非对称加密算法来加密对称加密算法的密钥,即是说提供了非对称加密算法的加密保护效果,但只花费对称加密算法的计算时间,减少了非对称加密算法的使用次数,提高了录播服务器的效率。
作为本发明的一种优选实施方式,在步骤S13完成之后,如图2所示,还可以包括以下步骤:
步骤S130、安全芯片通过非对称加密算法的第一私钥对第一密文密钥进行解密,得到第一随机数,其中,第一私钥与第一公钥对应。
步骤S131、安全芯片通过非对称加密算法的第二公钥加密第一随机数,得到第四密文密钥。
需要说明的是,在步骤S131之前需要将非对称加密算法的第二公钥导入至安全芯片中。
步骤S132、安全芯片将第四密文密钥发送至备份芯片进行备份。
其中,第四密文密钥存储于备份芯片的文件存储区内。
作为本发明的一种优选实施方式,在步骤S132之后,还可以包括以下步骤:
步骤S133、备份芯片从其文件存储区内获取第四密文密钥。
步骤S134、备份芯片通过非对称加密算法的第二私钥解密第四密文密钥,得到第一随机数,其中,第二私钥与第二公钥对应。
步骤S135、备份芯片使用非对称加密算法的第一公钥加密步骤S134得到的第一随机数,得到第五密文密钥。
步骤S136、备份芯片将第五密文密钥导入到安全芯片内,安全芯片将第五密文密钥存储到本地文件存储区。
需要说明的是,在步骤S134之前,需要将非对称加密算法的第二私钥和第二公钥导入至备份芯片中。
需要说明的是,在步骤S135之前,需要将非对称加密算法的第一公钥导入至备份芯片中。
其中,备份芯片可以为USB Key或SD Key或PCI-E密码卡或智能卡或TPM等安全芯片中的任一种。
本发明实施例中,可以将安全芯片中产生的第一随机数及时备份至备份芯片中,以防止安全芯片损坏或丢失等原因而导致第一随机数丢失、无法解密数据多媒体数据的情况发生,进一步地提高了该密钥管理方法的稳定可靠性。并且在备份过程中,保证明文不落地。另外,当安全芯片损坏或丢失等情况发生时,可通过备份芯片对第一随机数进行恢复,保证第一随机数的安全性以及后续解密工作的顺利进行。
作为本发明的一种优选实施方式,在步骤S14之后,还可以包括以下步骤:安全芯片每隔预设周期生成新的第二随机数;通过对称加密算法以第一随机数作为密钥加密新的第二随机数,得到新的第二密文密钥。同时,在步骤S15之后,还包括以下步骤:安全芯片每隔上述预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到数据密钥;使用当前周期生成的新的第二随机数加密数据密钥,得到当前周期内的新的第三密文密钥。
其中,预设周期可以为一天或两天或三天等任意周期,预设周期可根据实际需求进行设置。在每一周期内的第二随机数、第二密文密钥以及第三密文密钥均与其他周期内的第二随机数、第二密文密钥以及第三密文密钥不相同。
需要说明的是,当产生了新的第二随机数、第二密文密钥以及第三密文密钥后,上一周期对应的第二随机数、第二密文密钥以及第三密文密钥均被新的所替换。
本发明所提供的密钥管理方法中会定期对第二密文密钥和第三密文密钥进行更新,防止各密文密钥泄露或被暴力破解的情况发生,进一步保证了数据密钥的安全性。
作为本发明的一种优选实施方式,当安全芯片将第二密文密钥发送至录播服务器时,安全芯片维护第二随机数所对应的句柄。由此,在解密或加密过程中,安全芯片可以直接通过该句柄来解密第三密文密钥或加密数据密钥。
下面对数据密钥以及多媒体数据的解密过程进行简要说明:
首先确定所需解密的多媒体数据文件的标识,在数据库中找出与该标识对应的第三密文密钥,由于第三密文密钥是加密的,不能够直接用来解密多媒体数据,因此需要先解密第三密文密钥。
由于安全芯片维护了第二随机数对应的句柄,因此录播服务器直接调用安全芯片的相关API接口,即可直接通过该句柄来解密第三密文密钥,得到数据密钥;进而通过数据密钥并结合与加密时相对应的对称加密算法解密多媒体数据。
实施例2
本发明实施例公开了一种密钥管理装置,如图3所示,包括接收单元21、生成单元22、第一加密单元23、第二加密单元24、第三加密单元25以及第一发送单元26。其中,
接收单元21设置于安全芯片一侧,用于接收录播服务器发送的数据密钥,数据密钥用于加密多媒体数据;
生成单元22设置于安全芯片一侧,用于生成第一随机数和第二随机数;
第一加密单元23设置于安全芯片一侧,用于通过非对称加密算法的第一公钥加密第一随机数,生成第一密文密钥,并存储在安全芯片本地;
第二加密单元24设置于安全芯片一侧,用于通过对称加密算法并以第一随机数作为密钥加密第二随机数,生成第二密文密钥;
第三加密单元25设置于安全芯片一侧,用于通过对称加密算法并以第二随机数作为密钥加密数据密钥,得到第三密文密钥;
第一发送单元26设置于安全芯片一侧,用于发送第二密文密钥和第三密文密钥至录播服务器。
作为本发明的一种可选实施方式,如图4所示,该密钥管理装置还包括第一解密单元27、第四加密单元28以及第二发送单元29。其中,
第一解密单元27设置于安全芯片一侧,用于通过非对称加密算法的第一私钥对第一密文密钥进行解密,得到第一随机数,其中,第一私钥与第一公钥对应;
第四加密单元28设置于安全芯片一侧,用于通过非对称加密算法的第二公钥加密第一随机数,得到第四密文密钥;
第二发送单元29设置于安全芯片一侧,用于将第四密文密钥发送至备份芯片进行备份。
作为本发明的一种可选实施方式,该密钥管理装置还包括获取单元和第二解密单元。其中,
获取单元设置于备份芯片一侧,用于获取第四密文密钥;
第二解密单元设置于备份芯片一侧,用于通过非对称加密算法的第二私钥解密第四密文密钥,得到第一随机数,其中,第二私钥与第二公钥对应。
作为本发明的一种可选实施方式,生成单元还用于每隔预设周期生成新的第二随机数;第二加密单元还用于通过对称加密算法以第一随机数作为密钥加密新的第二随机数,得到新的第二密文密钥。
作为本发明的一种可选实施方式,该密钥管理装置还包括第三解密单元。
第三解密单元设置于安全芯片一侧,用于每隔预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到数据密钥;
第三加密单元还用于使用当前周期生成的新的第二随机数加密数据密钥,得到当前周期内的新的第三密文密钥。
本发明提供的密钥管理装置对数据密钥进行了三重加密,有效保证了数据密钥的安全性;通过第一加密单元使用非对称加密算法的公钥来加密对称加密算法的密钥,并且非对称加密算法的私钥处于保密状态,不会被中间人所获取,因此使得对称加密算法的密钥的安全性得到有效的保证,进而加强了对数据密钥的保护。另外,本发明使用被安全芯片保护的非对称加密算法来加密对称加密算法的密钥,即是说提供了非对称加密算法的加密保护效果,但只花费对称加密算法的计算时间,减少了非对称加密算法的使用次数,提高了录播服务器的效率。
实施例3
本发明实施例公开了一种上述实施例1所公开的密钥管理方法的具体示例。如图5-6所示,包括以下步骤:
(一)密钥的创建
录播服务器从多媒体视频源(如摄像头)接收到多媒体数据文件后,采用SM4对称加密算法对其进行加密,加密多媒体数据文件所使用的数据密钥使用随机数产生。
(二)密钥的加密
1、向安全芯片中导入密钥管理中心签发的非对称加密算法的第一公钥和第一私钥;
2、在安全芯片内部生成第一随机数;
3、使用第一公钥加密第一随机数,生成第一密文密钥,并存储于安全芯片本地的文件存储区;
4、在安全芯片内部生成第二随机数;
5、使用第一随机数作为SM4对称加密算法的密钥来加密第二随机数,生成第二密文密钥,并将其发送至录播服务器储存;
6、录播服务器将加密多媒体数据文件使用的数据密钥发送给安全芯片;
7、使用第二随机数作为SM4对称加密算法的密钥来加密数据密钥,生成第三密文密钥,并将其发送至录播服务器储存;
8、录播服务器将收到的第二密文密钥和第三密文密钥存储在其对应的数据库中。
(三)密钥的备份和恢复
备份时,从安全芯片中取出第一密文密钥,使用非对称加密算法的第一私钥对其进行解密,得到第一随机数,其中,第一私钥和第一公钥对应;向安全芯片中导入非对称加密算法的第二公钥,使用第二公钥加密第一随机数,得到第四密文密钥;将第四密文密钥发送至备份芯片中储存。
恢复时,向备份芯片中导入非对称加密算法的第二公钥和第二私钥,从备份芯片的文件存储区中取出第四密文密钥,使用第二私钥对其进行解密,得到第一随机数。向备份芯片内导入非对称加密算法的第一公钥,使用第一公钥加密上述得到的第一随机数,得到第五密文密钥,将第五密文密钥从备份芯片内导出并导入安全芯片内,此时恢复完成。
(四)密钥的更新
需要说明的是,下述内容中统一将第一随机数命名为MK,将第二随机数命名为FKEK,将数据密钥命名为FEK,将第一密文密钥命名为MK密文,将第二密文密钥命名为FKEK密文,将第三密文密钥命名为FEK密文。
步骤1:定义更新时间间隔TS,周期Ti(i=1,2,3……),
例如TS=1天,表示密钥每一天更新一次,而T1表示第一天、T2表示第二天,依次类推。FKEK在每个周期Ti的开始时刻重新生成且在Ti内保持不变,这样每个周期Ti内FKEK密文有且仅有一个;
步骤2:周期Ti内密钥的存储状态,
第i个周期Ti内,安全芯片使用MK作为对称加密算法的密钥加密FKEKi,并将生成的密文,定义为E(FKEKi),返回给录播服务器,录播服务器将E(FKEKi)存储在数据库的FKEK密文存储表中,安全芯片中维护FKEKi的句柄,定义为H(FKEKi);数据库中保存了周期Ti时间段内所有加密多媒体的标识信息和对应的FEK密文;
步骤3:进入第i+1个周期Ti+1时,进行密钥更新,具体更新步骤如下:
步骤3.1录播服务器调用安全芯片API接口,获取安全芯片中维护的句柄H(FKEKi);
步骤3.2录播服务器调用安全芯片API接口,在安全芯片内部生成周期Ti+1内的FKEKi+1,使用MK作为对称加密算法的密钥加密FKEKi+1,生成周期Ti+1的FKEK密文,定义为E(FKEKi+1),将FKEKi+1的句柄H(FKEKi+1)和密文E(FKEKi+1),返回给录播服务器;
步骤3.3录播服务器使用H(FKEKi)和H(FKEKi+1)来更新数据库中每个加密文件的密文FEK,具体步骤如下所示:
步骤3.3.1从数据库中FEK密文存储表的第一条加密信息开始,读取FEK密文;
步骤3.3.2使用H(FKEKi)解密FEK密文,生成FEK明文;
步骤3.3.3使用H(FKEKi+1)加密FEK明文,生成新的FEK密文,将FEK密文重新写回表中对应字段,读取下一条加密信息的中FEK密文;
步骤3.3.4重复步骤3.3.2和步骤3.3.3操作直到数据库中所有的FEK密文都更新完毕;
步骤3.4录播服务器调用安全芯片的API接口,释放维护的H(FKEKi),在周期T2时间段内一直维护H(FKEKi+1),使用H(FKEKi+1)来加密FEK明文或者解密FEK密文,录播服务器使用E(FKEKi+1)来更新数据库中FKEK密文存储表中存储的E(FKEKi);
步骤4进入周期Ti+2时,重复步骤3中的更新操作。
本发明实施例还提供了一种密钥管理系统,该密钥管理系统包括安全芯片、备份芯片、录播服务器以及控制器,控制器分别控制安全芯片、备份芯片以及录播服务器执行上述密钥管理方法。
显然,上述实施例仅仅是为清楚地说明所作的举例,而并非对实施方式的限定。对于所属领域的普通技术人员来说,在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。
Claims (6)
1.一种密钥管理方法,其特征在于,包括:
安全芯片接收录播服务器发送的数据密钥,所述数据密钥用于加密多媒体数据;
所述安全芯片生成第一随机数和第二随机数;
所述安全芯片通过非对称加密算法的第一公钥加密所述第一随机数,生成第一密文密钥,并存储在所述安全芯片本地;其中,所述第一公钥与第一私钥对应,所述第一公钥与第一私钥预先被导入至安全芯片内;
所述安全芯片通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥;
所述安全芯片通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥;
所述安全芯片发送所述第二密文密钥和所述第三密文密钥至所述录播服务器;
在所述安全芯片通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥之后,还包括:
所述安全芯片每隔预设周期生成新的第二随机数;通过对称加密算法以所述第一随机数作为密钥加密所述新的第二随机数,得到新的第二密文密钥;
在所述安全芯片通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥之后,还包括:
所述安全芯片每隔所述预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到所述数据密钥;使用当前周期生成的所述新的第二随机数加密所述数据密钥,得到当前周期内的新的第三密文密钥。
2.根据权利要求1所述的密钥管理方法,其特征在于,在所述安全芯片通过非对称加密算法的公钥加密所述第一随机数,生成第一密文密钥,并存储在所述安全芯片本地之后,还包括:
所述安全芯片通过非对称加密算法的第一私钥对所述第一密文密钥进行解密,得到所述第一随机数;
所述安全芯片通过非对称加密算法的第二公钥加密所述第一随机数,得到第四密文密钥;
所述安全芯片将所述第四密文密钥发送至备份芯片进行备份。
3.根据权利要求2所述的密钥管理方法,其特征在于,还包括:
所述备份芯片获取所述第四密文密钥;
所述备份芯片通过非对称加密算法的第二私钥解密所述第四密文密钥,得到所述第一随机数,其中,所述第二私钥与所述第二公钥对应。
4.一种密钥管理装置,其特征在于,包括:
接收单元,用于接收录播服务器发送的数据密钥,所述数据密钥用于加密多媒体数据;
生成单元,用于生成第一随机数和第二随机数;
第一加密单元,用于通过非对称加密算法的第一公钥加密所述第一随机数,生成第一密文密钥,并存储在安全芯片本地;其中,所述第一公钥与第一私钥对应,所述第一公钥与第一私钥预先被导入至安全芯片内;
第二加密单元,用于通过对称加密算法并以所述第一随机数作为密钥加密所述第二随机数,生成第二密文密钥;
第三加密单元,用于通过对称加密算法并以所述第二随机数作为密钥加密所述数据密钥,得到第三密文密钥;
第一发送单元,用于发送所述第二密文密钥和所述第三密文密钥至所述录播服务器;
所述生成单元还用于每隔预设周期生成新的第二随机数;
所述第二加密单元还用于通过对称加密算法以所述第一随机数作为密钥加密所述新的第二随机数,得到新的第二密文密钥;
第三解密单元,用于每隔所述预设周期使用前一个周期的第二随机数解密对应的第三密文密钥,得到所述数据密钥;
所述第三加密单元还用于使用当前周期生成的所述新的第二随机数加密所述数据密钥,得到当前周期内的新的第三密文密钥。
5.根据权利要求4所述的密钥管理装置,其特征在于,还包括:
第一解密单元,用于通过非对称加密算法的第一私钥对所述第一密文密钥进行解密,得到所述第一随机数;
第四加密单元,用于通过非对称加密算法的第二公钥加密所述第一随机数,得到第四密文密钥;
第二发送单元,用于将所述第四密文密钥发送至备份芯片进行备份。
6.根据权利要求5所述的密钥管理装置,其特征在于,还包括:
获取单元,用于获取所述第四密文密钥;
第二解密单元,用于通过非对称加密算法的第二私钥解密所述第四密文密钥,得到所述第一随机数,其中,所述第二私钥与所述第二公钥对应。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201810259075.XA CN108599928B (zh) | 2018-03-27 | 2018-03-27 | 密钥管理方法及装置 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201810259075.XA CN108599928B (zh) | 2018-03-27 | 2018-03-27 | 密钥管理方法及装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN108599928A CN108599928A (zh) | 2018-09-28 |
CN108599928B true CN108599928B (zh) | 2022-07-29 |
Family
ID=63623711
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201810259075.XA Active CN108599928B (zh) | 2018-03-27 | 2018-03-27 | 密钥管理方法及装置 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN108599928B (zh) |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP3664362B1 (en) * | 2018-10-12 | 2021-06-09 | Shenzhen Goodix Technology Co., Ltd. | Key generation method, acquisition method, private key update method, chip and server |
CN109450899B (zh) * | 2018-11-09 | 2021-11-02 | 南京医渡云医学技术有限公司 | 密钥管理方法及装置、电子设备、存储介质 |
CN109495247A (zh) * | 2018-11-21 | 2019-03-19 | 北京深思数盾科技股份有限公司 | 密钥备份、恢复的方法及加密设备 |
CN109698745A (zh) * | 2018-12-25 | 2019-04-30 | 歌尔科技有限公司 | 一种密钥管理方法、系统及耳机和存储介质 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN104868996A (zh) * | 2014-02-25 | 2015-08-26 | 中兴通讯股份有限公司 | 一种数据加密解密方法、装置以及终端 |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7372964B2 (en) * | 2001-10-10 | 2008-05-13 | Kabushiki Kaisha Toshiba | Method and apparatus for recording information including secret information and method and apparatus for reproduction thereof |
KR20040034519A (ko) * | 2002-10-18 | 2004-04-28 | 마쯔시다덴기산교 가부시키가이샤 | 포맷 변환 장치, 정보 기록/재생 장치, 정보 재생 장치,포맷 변환 방법, 정보 기록/재생 방법 및 정보 재생 방법 |
CN103338185B (zh) * | 2013-05-31 | 2016-02-24 | 飞天诚信科技股份有限公司 | 一种文件共享的方法及系统 |
CN103338437B (zh) * | 2013-07-11 | 2016-06-08 | 成都三零瑞通移动通信有限公司 | 一种移动即时消息的加密方法及系统 |
CN106548345B (zh) * | 2016-12-07 | 2020-08-21 | 北京信任度科技有限公司 | 基于密钥分割实现区块链私钥保护的方法及系统 |
-
2018
- 2018-03-27 CN CN201810259075.XA patent/CN108599928B/zh active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN104868996A (zh) * | 2014-02-25 | 2015-08-26 | 中兴通讯股份有限公司 | 一种数据加密解密方法、装置以及终端 |
Also Published As
Publication number | Publication date |
---|---|
CN108599928A (zh) | 2018-09-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11876897B2 (en) | Right holder terminal, permission information management method, and permission information management program | |
CN108599928B (zh) | 密钥管理方法及装置 | |
US20190318356A1 (en) | Offline storage system and method of use | |
US10958875B2 (en) | Method and system encrypting and decrypting audio/video file | |
TWI271079B (en) | System and method for security key transmission with strong pairing to destination client | |
US8238554B2 (en) | Method for transmission/reception of contents usage right information in encrypted form, and device thereof | |
US20140355757A1 (en) | Encryption / decryption of data with non-persistent, non-shared passkey | |
JP2008533882A (ja) | 暗号化キーをバックアップ及び復元する方法 | |
TWI253266B (en) | Method and apparatus for augmenting authentication in a cryptographic system | |
CA2548229A1 (en) | Enabling stateless server-based pre-shared secrets | |
WO2008150553A2 (en) | Content encryption schema for integrating digital rights management with encrypted multicast | |
JP2007028014A (ja) | デジタル署名プログラム、デジタル署名システム、デジタル署名方法、署名検証方法 | |
US8363835B2 (en) | Method for transmission/reception of contents usage right information in encrypted form, and device thereof | |
JP4614377B2 (ja) | 暗号化データ管理システム及び方法、記憶媒体 | |
CN108768636B (zh) | 一种利用多方协同恢复私钥的方法 | |
CN102685592A (zh) | 一种支持数字版权保护的流媒体播放器方法 | |
CN103237011B (zh) | 数字内容加密传送方法以及服务器端 | |
US20080279385A1 (en) | Method and host device for using content using mobile card, and mobile card | |
CN112839013A (zh) | 一种密钥传输方法、装置及计算机可读存储介质 | |
US20090144551A1 (en) | Period Keys | |
JPH11346210A (ja) | 暗号化方法及び装置、復号化方法及び装置、暗号化プログラムを記録した記録媒体、復号化プログラムを記録した記録媒体、電子署名方法、並びに電子署名検証方法 | |
JP2003216500A (ja) | デジタル著作権管理システム | |
TWI430643B (zh) | Secure key recovery system and method | |
CN115085983A (zh) | 数据处理方法、装置、计算机可读存储介质和电子设备 | |
JP2002084269A (ja) | 秘密鍵のリカバリ方法および保管方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |