CN109299942A - 一种应用于区块链及互联网的密钥管理方法、装置及系统 - Google Patents

Abstract

本发明属于安全技术领域，提供一种应用于区块链及互联网的密钥管理方法、装置及系统，该管理方法包括：若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；若接收到用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过安全信道发送至用户端；其中，数字签名请求包括待签名信息或关键信息；若接收到用户端通过安全信道发送的已确认签名信息，则对待签名信息进行数字签名。一方面，可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在接收到通过安全信道发送的第一信息时，才连接至互联网，使得在未收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

Description

一种应用于区块链及互联网的密钥管理方法、装置及系统

技术领域

本发明属于安全技术领域，尤其涉及一种应用于区块链及互联网的密钥管理方法、装置及系统。

背景技术

随着科技不断进步，促进了各种数字货币(如最新的比特币、以太坊等)的发展，数字货币是对货币进行数字化，通过数字货币进行的交易具有较高的便捷性，数字货币本身的安全性依赖于密码学算法(如对称加密算法、非对称加密算法等)来保护。

数字货币的所有权可通过密钥来保证，对于当前主流非对称加密的数字货币用户端可通过私钥进行加密或数字签名来进行交易，然而目前用户端数字货币的私钥的可通过在线管理或者存放于硬件钱包中，私钥的在线管理容易被攻击，使得安全性低。硬件钱包是指将数字货币的私钥单独储存在一个安全芯片中，与互联网隔离，即插即用，可保证安全性，但用户端在线交易时，需要随身着装有私钥的硬件载体，便捷性低。

发明内容

有鉴于此，本发明实施例提供了一种应用于区块链及互联网的密钥管理方法、装置及系统，旨在解决现有技术中私钥的管理安全性低和便捷性不高的问题。

本发明实施例的第一方面提供了一种应用于区块链及互联网的密钥管理方法，所述管理方法包括：

若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；

若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息；

若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

在一个实施例中，在对所述待签名信息通过所述安全芯片进行数字签名之后，还包括：

将数字签名结果分别通过所述安全信道和所述互联网信道发送至所述用户端。

在一个实施例中，在接收到用户端通过预设的安全信道发送的第一信息之前，包括：

在接收到所述用户提交的身份信息时，对所述身份信息进行验证；

在所述身份信息进行验证成功之后，根据所述身份信息生成对应的私钥。

在一个实施例中，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网，包括：

若接收到所述用户端通过由运营商服务器建立的通信信道发送的第一信息，则开启连网功能并连接至互联网。

在一个实施例中，在开启连网功能并连接至互联网之后，还包括：

分别通过所述安全信道和所述互联网信道向所述用户端发送连网通知信息。

在一个实施例中，在对所述待签名信息进行数字签名之后，还包括：

当接收到所述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，进入离线状态；其中，所述离线状态为不能通过所述互联网信道发送和接收信息的状态。

本发明实施例的第二方面提供了一种密钥管理装置，所述密钥管理装置包括：

第一开启模块，用于若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；

第一生成模块，用于若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息；

签名模块，用于若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

本发明实施例的第三方面提供一种密钥管理设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

本发明实施例的第四方面提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，上述计算机程序被处理器执行时实现上述方法的步骤。

本发明实施例的第五方面提供一种密钥管理系统，所述密钥管理系统包括N个安全芯片和至少一个用户端；其中，所述N≧1且为整数；所述安全芯片用于执行上述密钥管理方法的步骤；

所述用户端，用于通过预设的安全信道向对应的所述安全芯片发送第一信息，通过互联网信道向所述安全芯片发送的数字签名请求，若接收到所述安全芯片通过所述安全信道发送的确认签名请求，则在接收到用户的确认指令后，向所述安全芯片发送已确认签名信息。

在本发明实施例中，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息；若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。一方面，用户可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在用户端通过预设的安全信道发送的第一信息时，才开启连网功能并连接至互联网，使得在没收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。

图1是本发明实施例一提供的应用于区块链及互联网的密钥管理方法的流程示意图；

图2是本发明实施例二提供的应用于区块链及互联网的密钥管理方法的流程示意图；

图3是本发明实施例三提供的应用于区块链及互联网的密钥管理装置的结构示意图；

图4是本发明实施例四提供的密钥管理系统的结构示意图；

图5是本发明实施例五提供的密钥管理设备的结构示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透彻理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

应理解，下述方法实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对各实施例的实施过程构成任何限定。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

实施例一

本发明实施例提供应用于区块链及互联网的密钥管理方法，可由安全芯片，或者包括安全芯片的安全设备，或者与安全芯片电连接或通信连接的密钥管理设备进行实现，所述安全芯片采用系统级芯片(System on Chip，SOC)技术，可独立进行密钥生成、加解密的装置，内部拥有独立的处理器和存储单元，可存储密钥和特征数据，提供加密和安全认证等服务，如金融IC卡和USB Key等安全设备都内置了安全芯片，如图1所示，所述密钥管理方法包括：

步骤S101，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；

在本发明实施例中，上述第一信息包括用户的身份标识信息和控制能接入互联网的预设控制指令，上述安全芯片中存储了用户的私钥。可预先设有第一通信模块和第二通信模块，由上述第一通信模块可通过预设的安全信道与用户端进行通信连接，上述第二通信模块可通过互联网信道与用户端进行通信连接。

具体地，若由上述第一通信模块接收到用户端通过预设的安全信道发送的第一信息，则控制上述第二通信模块进入正常工作状态，使安全芯片能连接互联网。上述第一信息包括但不限于用户的身份标识信息和预设控制指令。在接收到第一信息时，可先验证上述身份标识信息是否为在安全芯片中预先登记过的身份标识信息，若是预先登记过的身份标识信息，则再判断上述预设控制指令与用户预先设定的控制指令是否相符，若相符，则开启连网功能并连接至互联网，即可控制安全芯片连接至互联网。在一种应用场景中，可通过设置与上述第二通信模块连接的开关控制将第二通信模块是否能正常工作，当未接收到控制接入互联网的预设控制指令，所述开关一直处于断开状态，所述第二通信模块不能正常工作，当接收上述预设控制指令，控制开关导通，所述第二通信模块正常工作，使得通过所述第二通信模块能将所述安全芯片接入互联网。

在一个实施例中，上述第一通信模块可以是移动通信模块或其它非基于互联网的通信模块，上述用户端通过预设的安全信道发送的第一信息可以是通过短信的形式发送第一信息，或者以其它形式发送第一信息，对此不做限定。上述第二通信模块可以是基于互联网的通信模块，上述第一信息包括的用户的身份标识信息可以是用户端中SIM的IMSI码(International Mobile Subscriber Identification Number，国际移动用户识别码)的标识信息。

在一个实施例中，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网，包括：若接收到所述用户端通过由运营商服务器建立的通信信道发送的第一信息，则开启连网功能并连接至互联网。如若接收到所述用户端通过运营商服务器建立的通信信道发送的第一信息，则开启连接互联网功能。如运营商服务器建立的通信信道可以是：中国联通、中国电信或中国移动等运营商的服务器建立的通信信道，当然也可以是其它运营商的服务器建立的通信信道，对此不做限定。

在一个实施例中，在接收到用户端通过预设的安全信道发送的第一信息之前，包括：在接收到所述用户提交的身份信息时，对所述身份信息进行验证；在所述身份信息进行验证成功之后，根据所述身份信息生成对应的私钥。在用户需要绑定安全芯片时，可提交用户的身份信息，如可直接由相关管理人员将用户的注册绑定时需要提交的身份信息传输至安全芯片中，或者也可以是用户端通过上述安全通道将用户的身份信息传输至安全芯片中。上述用户的身份信息包括上述用户的身份标识信息和用户的其他身份信息。安全芯片接收到用户的身份信息时，可对上述身份信息进行验证，如验证上述身份信息的种类和格式是否满足预设要求等。当对上述身份信息验证成功后通过安全芯片根据用户的身份信息生成对应的私钥。

步骤S102，若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息。

在本发明实施例中，在开启连网功能并连接至互联网后，用户端可通过互联网信道发送数字签名请求。具体可以是由用户端中的APP通过互联网信道发送数字签名请求。通过安全芯片根据所述数字签名请求生成是否进行签名的确认签名请求，并通过所述安全信道向所述用户端发送所述确认签名请求。上述关键信息可以是在上述待签名信息中提取的关键信息。上述数字签名请求和确认签名请求都包括上述待签名信息；或者上述数字签名请求包括通过待签名信息提取的关键信息，确认签名请求都也包括待签名信息提取的关键信息；或者上述数字签名请求包括通过待签名信息，上述确认签名请求包括由待签名信息提取的关键信息，对此不做限定。

步骤S103，若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

在本发明实施例中，用户端接收到是否进行签名的确认签名请求时，可由用户进行确认，如用户核对无误后会进行确认，并通过安全信道发送的已确认签名信息，若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息通过所述安全芯片进行数字签名。

步骤S104，将数字签名结果分别通过所述安全信道和所述互联网信道发送至所述用户端。

在本发明实施例中，在对待签名信息通过所述安全芯片进行数字签名之后，将对所述待签名信息进行数字签名的结果可分别通过所述安全信道和所述互联网信道发送至所述用户端，以通知用户数字签名的结果，所述数字签名的结果可包括数字签名成功或者数字签名不成功的结果。

在一个实施例中，在对所述待签名信息进行数字签名之后，还包括：当接收到所述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，进入离线状态；其中，所述离线状态为不能通过所述互联网信道发送和接收信息的状态。

由此可见，在本发明实施例中，一方面，用户可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在用户端通过预设的安全信道发送的第一信息时，才开启连网功能并连接至互联网，使得在没收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

实施例二

本发明实施例提供一种应用于区块链及互联网的密钥管理方法，本实施例与实施例一相同或相似的地方可参见实施例一的相关描述，此处不再赘述，如图2所示，所述密钥管理方法包括：

步骤S201，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网。

在本发明实施例中，上述步骤S201与步骤S101相同或相似的地方，具体可参见步骤S101的相关描述，此处不再赘述。

步骤S202，分别通过所述安全信道和所述互联网信道向所述用户端发送连网通知信息。

在本发明实施例中，当已启动连接互联网功能时，将已启动连接互联网功能的启动信息通过安全信道和/或所述互联网信道发送至所述用户端，以通知用户可通过互联网信道与安全芯片或安全设备进行通信连接，从而可以实现在线数字签名。

步骤S203，若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息。

步骤S204，若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

步骤S205，将数字签名结果分别通过所述安全信道和所述互联网信道发送至所述用户端。

在本发明实施例中，上述步骤S203、S204、S205分别与步骤S102、S103、S104相同或相似的地方，具体可参见步骤S102至S104的相关描述，此处不再赘述。

步骤S206，当接收到所述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，进入离线状态；其中，所述离线状态为不能通过所述互联网信道发送和接收信息的状态。

在本发明实施例中，当接收到述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，可理解为用户当前的数字签名交易已经完成，则控制所述安全芯片进入离线状态，可通过关闭上述第二通信模块的通信功能，从而控制安全芯片进入离线状态，使所述安全芯片保持离线状态即不能通过所述互联网信道发送和接收信息的状态，不容易被攻击，增加了安全性。

在一种应用场景中，由于区块链技术具有去中心化、去信任和难以篡改等特点。基于区块链技术的数字资产交易使得交易更高效透明和低成本，区块链技术采用加密技术对交易数据进行签名来保证交易的安全性。根据区块链的数字资产交易是由网络节点自动完成，并将交易发布到区块链中，能证明数字资产拥有权的唯一凭证就是数字资产拥有者的私钥。如基于区块链技术的比特币和以太坊等数字货币先通过密码学算法生成密钥(公钥和私钥)，用户保存数字货币地址对应的私钥。因此对区块链技术中数字资产(如数字货币)的安全管理主要是对用户的私钥的安全管理，可利用能实现上述密钥管理方法实现对用户的私钥进行管理。

具体地，用户可将私钥存放在上述安全芯片中，当用户需要私钥进行签名交易时，可通过用户端通过预设的安全信道发送上述第一信息，当接收到通过预设的安全信道发送的第一信息时，开启连网功能并连接至互联网，即可在线接入区块链网络，同时控制了安全芯片连接互联网，并在存储私钥的安全芯片可接入互联网时，用户可通过用户端的APP等应用软件发送用于交易的数字签名请求，当接收到数字签名请求时，通过安全芯片生成确认签名请求并通过所述安全信道发送至所述用户端，在用户端通过安全信道发送确认签名后，通过安全芯片根据私钥进行数字签名，并将数字签名结果分别通过安全信道和/或互联网信道发送至所述用户端。且可在接收到所述用户端通过所述安全信道和/或所述互联网信道发送的结束数字签名指令时，控制所述安全芯片进入离线状态。保证了用户在进行基于区块链的交易时，可直接进行在线数字签名，便捷性高，且能使得存有用户私钥的安全芯片或安全设备在不交易时处于离线状态，不容易收到攻击，从而安全性高。

由此可见，在本发明实施例中，一方面，用户可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在用户端通过预设的安全信道发送的第一信息时，才开启连网功能并连接至互联网，使得在没收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

实施例三

本发明实施例提供一种密钥管理系统，如图3所示，所述密钥管理系统300包括N个安全芯片301和至少一个用户端302，所述N≧1且为整数，每个安全芯片301可用于执行实施例一或实施例二中的方法步骤。

上述N个安全芯片可各自独立的方式或其它方式集成于一个终端设备或其他设备中，每个芯片都可为用户存储用户的私钥。当然用户也可根据用户需要的方式保管存有用户私钥的安全芯片。

所述用户端302，用于通过预设的安全信道向对应的所述安全芯片发送第一信息，通过互联网信道向所述安全芯片发送的数字签名请求，若接收到所述安全芯片通过所述安全信道发送的确认签名请求，则在接收到用户的确认指令后，向所述安全芯片发送已确认签名信息。

在一个实施例中，当用户端通过预设的安全信道发送的第一信息时，可直接将所述第一信息通过安全芯片的标识信息发送至对应的安全芯片。或者，可预先将安全芯片的标识信息与用户的身份标识信息进行绑定，当用户端通过预设的安全信道发送的第一信息时，直接发送至与用户的身份标识信息预先绑定的安全芯片。

由此可见，在本发明实施例中，一方面，用户可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在用户端通过预设的安全信道发送的第一信息时，才开启连网功能并连接至互联网，使得在没收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

实施例四

本发明时候实施例提供一种应用于区块链及互联网的密钥管理装置，可集成于安全芯片，或者包括安全芯片的安全设备，或者与安全芯片电连接或通信连接的密钥管理设备中，用于执行实施例一或实施例二中的方法步骤。所述密钥管理装置400包括：

第一开启模块401，用于若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网。

在一个实施例中，所述第一控制模块401具体用于若接收到所述用户端通过由运营商服务器建立的通信信道发送的第一信息，则开启连网功能并连接至互联网。

第一生成模块402，用于若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息。

签名模块403，用于若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

在一个实施例中，所述密钥管理装置400还包括：

第一发送模块404，用于在对所述待签名信息通过所述安全芯片进行数字签名之后，将数字签名结果分别通过所述安全信道和所述互联网信道发送至所述用户端。

在一个实施例中，所述密钥管理装置400还包括：

第二生成模块，用于在接收到用户端通过预设的安全信道发送的第一信息之前，在接收到所述用户提交的身份信息时，对所述身份信息进行验证；

在所述身份信息进行验证成功之后，根据所述身份信息生成对应的私钥。

在一个实施例中，所述密钥管理装置400还包括：

第二发送模块，用于在开启连网功能并连接至互联网之后，分别通过所述安全信道和所述互联网信道向所述用户端发送连网通知信息。

在一个实施例中，所述密钥管理装置400还包括：

控制模块，用于在对所述待签名信息进行数字签名之后，当接收到所述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，进入离线状态；其中，所述离线状态为不能通过所述互联网信道发送和接收信息的状态。

由此可见，在本发明实施例中，一方面，用户可直接通过互联网进行在线请求进行数字签名，使得便捷性高；另一方面，在用户端通过预设的安全信道发送的第一信息时，才开启连网功能并连接至互联网，使得在没收到第一信息时处于关闭连网功能，从而不容易受到攻击，安全性高。

实施例五

如图5所示，是本发明实施例提供的密钥管理设备的结构示意图。所述密钥管理设备500包括：处理器501、存储器502以及存储在上述存储器502中并可在上述处理器501上运行的计算机程序503。上述处理器501执行上述计算机程序503时实现上述密钥管理方法实施例中的步骤，例如实施例一中的方法步骤，或实施例二中的方法步骤。

示例性的，上述计算机程序503可以被分割成一个或多个单元/模块，上述一个或者多个单元/模块被存储在上述存储器502中，并由上述处理器501执行，以完成本发明。上述一个或多个单元/模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述上述计算机程序503在上述密钥管理设备500中的执行过程。例如，上述计算机程序503可以被分割成第一开启模块，第一生成模块，签名模块，第一发送模块，第二生成模块，第二发送模块，控制模块，各模块具体功能在上述实施例四中已有描述，此处不在赘述。

上述密钥管理设备500可以是安全芯片，或者包括了安全芯片的安全设备，或者与安全芯片电连接或通信连接的密钥管理设备。上述密钥管理设备500可包括，但不仅限于，处理器501、存储器502。本领域技术人员可以理解，图5仅仅是密钥管理设备500的示例，并不构成对密钥管理设备500的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如上述密钥管理设备500还可以包括输入输出设备、网络接入设备、总线等。

所称处理器501可以是中央处理单元(Central Processing Unit，CPU)，还可以是其它通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其它可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

上述存储器502可以是密钥管理设备500的内部存储单元，例如密钥管理设备500的硬盘或内存。上述存储器502也可以是上述密钥管理设备500的外部存储设备，例如上述密钥管理设备500上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，上述存储器502还可以既包括上述密钥管理设备500的内部存储单元也包括外部存储设备。上述存储器502用于存储上述计算机程序以及上述密钥管理设备500所需的其它程序和数据。上述存储器502还可以用于暂时地存储已经输出或者将要输出的数据。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将上述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述智能终端中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，上述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

上述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

上述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，上述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，上述计算机程序包括计算机程序代码，上述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。上述计算机可读介质可以包括：能够携带上述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，RandomAccess Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，上述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括是电载波信号和电信信号。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (10)

1.一种应用于区块链及互联网的密钥管理方法，其特征在于，所述管理方法包括：

若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；

若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息；

若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

2.如权利要求1所述的密钥管理方法，其特征在于，在对所述待签名信息通过所述安全芯片进行数字签名之后，还包括：

将数字签名结果分别通过所述安全信道和所述互联网信道发送至所述用户端。

3.如权利要求1所述的密钥管理方法，其特征在于，在接收到用户端通过预设的安全信道发送的第一信息之前，包括：

在接收到所述用户提交的身份信息时，对所述身份信息进行验证；

在所述身份信息进行验证成功之后，根据所述身份信息生成对应的私钥。

4.如权利要求1所述的密钥管理方法，其特征在于，若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网，包括：

若接收到所述用户端通过由运营商服务器建立的通信信道发送的第一信息，则开启连网功能并连接至互联网。

5.如权利要求1所述的密钥管理方法，其特征在于，在开启连网功能并连接至互联网之后，还包括：

分别通过所述安全信道和所述互联网信道向所述用户端发送连网通知信息。

6.如权利要求1至5任一项所述的密钥管理方法，其特征在于，在对所述待签名信息进行数字签名之后，还包括：

当接收到所述用户端通过所述安全信道或所述互联网信道发送的结束数字签名指令时，进入离线状态；其中，所述离线状态为不能通过所述互联网信道发送和接收信息的状态。

7.一种应用于区块链及互联网的密钥管理装置，其特征在于，所述密钥管理装置包括：

第一开启模块，用于若接收到用户端通过预设的安全信道发送的第一信息，则开启连网功能并连接至互联网；

第一生成模块，用于若接收到所述用户端通过互联网信道发送的数字签名请求，则生成确认签名请求并通过所述安全信道发送至所述用户端；其中，所述数字签名请求包括待签名信息或关键信息；

签名模块，用于若接收到所述用户端通过所述安全信道发送的已确认签名信息，则对所述待签名信息进行数字签名。

8.一种密钥管理设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至6任一项所述方法的步骤。

9.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述方法的步骤。

10.一种密钥管理系统，其特征在于，所述密钥管理系统包括N个安全芯片和至少一个用户端；其中，所述N≧1且为整数；所述安全芯片用于执行如权利要求1至6任一项所述的密钥管理方法；

所述用户端，用于通过预设的安全信道向对应的所述安全芯片发送第一信息，通过互联网信道向所述安全芯片发送的数字签名请求，若接收到所述安全芯片通过所述安全信道发送的确认签名请求，则在接收到用户的确认指令后，向所述安全芯片发送已确认签名信息。