CN110430051A - 一种密钥存储方法、装置及服务器 - Google Patents

一种密钥存储方法、装置及服务器 Download PDF

Info

Publication number
CN110430051A
CN110430051A CN201910708390.0A CN201910708390A CN110430051A CN 110430051 A CN110430051 A CN 110430051A CN 201910708390 A CN201910708390 A CN 201910708390A CN 110430051 A CN110430051 A CN 110430051A
Authority
CN
China
Prior art keywords
key
stored
server
credible
service security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910708390.0A
Other languages
English (en)
Other versions
CN110430051B (zh
Inventor
郭永伟
李选庆
张晶
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BEIJING NOVEL-SUPERTV DIGITAL TV TECHNOLOGY Co Ltd
Original Assignee
BEIJING NOVEL-SUPERTV DIGITAL TV TECHNOLOGY Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BEIJING NOVEL-SUPERTV DIGITAL TV TECHNOLOGY Co Ltd filed Critical BEIJING NOVEL-SUPERTV DIGITAL TV TECHNOLOGY Co Ltd
Priority to CN201910708390.0A priority Critical patent/CN110430051B/zh
Publication of CN110430051A publication Critical patent/CN110430051A/zh
Application granted granted Critical
Publication of CN110430051B publication Critical patent/CN110430051B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Abstract

本发明实施例公开了一种密钥存储方法、装置及服务器。该方法包括：接收密钥服务器发送的待存储密钥；在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息，创建安全存储密钥；在可信执行环境中，通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥进行存储。本发明实施例的技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储，实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。

Description

一种密钥存储方法、装置及服务器
技术领域
本发明实施例涉及计算机技术领域，尤其涉及一种密钥存储方法、装置及服务器。
背景技术
随着数字时代的带来，数据的安全显得尤为重要。为了兼顾数据的安全性和共享性，通常采用密钥对数据进行加解密操作或安全性验证。由于密钥(特别是生成其他密钥的种子——根密钥)在一定时间段或其生命周期范围内是固定不变的，因此密钥的安全问题显得尤为重要
为了避免根密钥遭受各种恶意攻击，有效保证根密钥的安全，现有技术通常是将根密钥存储在独立专用的硬件设备(例如加密机)上。由于这些硬件设备具备扩展性较差、无法动态调整、无法实现数据共享、以及运算性能低等缺点，使得灵活部署的通用设备(例如云服务主机)成为了一种不错的选择。
但是，灵活部署的通用设备的使用，使得根密钥在存储过程中存在被恶意冒名、伪造、篡改等非法攻击问题，再次降低了根密钥的安全性。
发明内容
本发明提供一种密钥存储方法、装置及服务器，以提高密钥存储过程的安全性。
第一方面，本发明实施例提供了一种密钥存储方法，应用于业务安全服务器，所述方法包括：
接收密钥服务器发送的待存储密钥；
在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；
在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
第二方面，本发明实施例还提供了一种密钥存储方法，应用于密钥服务器，所述方法包括：
生成待存储密钥；
将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
第三方面，本发明实施例还提供了一种密钥存储装置，配置于业务安全服务器，所述装置包括：
待存储密钥接收模块，用于接收密钥服务器发送的待存储密钥；
安全存储密钥创建模块，用于在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；
待存储密钥存储模块，用于在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
第四方面，本发明实施例还提供了一种密钥存储装置，配置于密钥服务器，所述装置包括：
待存储密钥生成模块，用于生成待存储密钥；
待存储密钥发送模块，用于将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
第五方面，本发明实施例还提供了一种服务器，包括：
一个或多个处理器；
存储器，用于存储一个或多个程序；
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第一方面实施例所提供的一种密钥存储方法。
第六方面，本发明实施例还提供了一种服务器，包括：
一个或多个处理器；
存储器，用于存储一个或多个程序；
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第二方面实施例所提供的一种密钥存储方法。
第七方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面实施例所提供的一种密钥存储方法。
第八方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如第二方面实施例所提供的一种密钥存储方法。
本发明实施例通过业务安全服务器接收密钥服务器发送的待存储密钥；在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息创建安全存储密钥；在可信执行环境中通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥进行存储。上述技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。
附图说明
图1A是本发明实施例提供的一种密钥系统的结构图；
图1B是本发明实施例一中的一种密钥存储方法的流程图；
图2是本发明实施例二中的一种密钥存储方法的流程图；
图3是本发明实施例三中的一种密钥存储方法的流程图；
图4是本发明实施例四中的一种密钥存储方法的流程图；
图5是本发明实施例五中的一种密钥存储方法的流程图；
图6是本发明实施例六中的一种密钥存储装置的结构图；
图7是本发明实施例七中的一种密钥存储装置的结构图；
图8为本发明实施例八提供的一种服务器的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
为了清楚的介绍本发明实施例的技术方案，首先对本发明实施例所涉及的密钥系统进行说明。
如图1A所示的一种密钥系统，包括：业务安全服务器10、密钥服务器20以及认证服务器30。
业务安全服务器10为待存储密钥的使用者和存储者，是业界通用的标准服务器，需采用支持可信执行环境(比如软件保护扩展)的处理器芯片，部署在可信或不可信的物理和网络环境中，比如第三方机房或云平台。可信执行模块，是一个代码和数据运行在可信执行环境中的软件模块，可以理解为一个“小黑匣”。应用程序使用可信执行模块来隔离代码和数据。可信执行模块为应用程序提供了一个“安全区”，以保护敏感代码和数据免受外界干扰或探测。可信执行模块的可信，源于可信计算基的合法性。可信计算基是指为实现计算机系统安全保护的所有安全保护机制的集合，包括可信执行环境依赖的底层处理器芯片硬件、固件及相关系统平台软件。
密钥服务器20为待存储密钥(例如根密钥)的生成者和传输者，不需采用支持可信执行环境(比如软件保护扩展)的处理器芯片，部署在可信的物理和网络环境中，比如专用的可屏蔽机房中。
认证服务器30负责认证业务安全服务器10是否安全合法，包括是否使用了合法的可信计算基，部署在可信的物理和网络环境中。
实施例一
图1B是本发明实施例一中的一种密钥存储方法的流程图，本发明适用于对密钥在可共享的业务安全服务器中进行安全存储的情况，该方法通过密钥存储装置执行，该装置采用软件和/或硬件实现，并具体配置于业务安全服务器中。
如图1B所示的一种密钥存储方法，应用于业务安全服务器，包括：
S110、接收密钥服务器发送的待存储密钥。
其中，待存储密钥可以是具备一定安全隐患的密钥信息，例如根密钥。
在该步骤中，待存储密钥由密钥服务器生成，并发送至业务安全服务器。相应的，业务安全服务器接收待存储密钥。
需要说明的是，为了增强密钥服务器与业务安全服务器之间数据传输的安全性，密钥服务器一般对待存储密钥加密后发送至业务安全服务器；相应的业务安全服务器接收该待存储密钥并进行解密。
S120、在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥。
其中，模块标识信息用于对同一业务安全服务器的可信执行环境中的不同的可信执行模块加以区分。其中，可信计算基参数信息可以是可信执行环境依赖的底层处理器芯片硬件、固件以及系统平台软件等对应的属性信息。
在可信执行环境中，业务安全服务器中的可信执行模块根据自身的模块标识信息和可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的属性信息，派生出安全存储密钥。由于安全存储密钥与特定的可信执行模块和与该可信执行模块对应的可信执行环境相关，因此安全存储密钥仅对可信执行模块依赖的可信运行时系统可见，对业务安全服务器所绑定的其他软件模块不可见。
其中，安全存储密钥可以是对称密钥，也可以是非对称密钥。可以理解的是，为了减少使用安全存储密钥进行加解密时的数据运算量，典型的，安全存储密钥采用对称密钥。
S130、在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
在该步骤中，在可信执行环境中，可信执行模块通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥存储到硬盘上。其中，通过安全存储密钥对待存储密钥进行加密，可以采用现有技术中的任一加密算法，在此不再赘述。
在本发明实施例的一种可选实施方式中，在将加密后的待存储密钥进行存储之后，还可以包括对已存储密钥进行读取操作，便于已存储密钥的后续使用。具体的，业务安全服务器中的可信执行模块接收密钥读取指令，并根据密钥读取指令读取已存储密钥；根据安全存储密钥对已存储密钥进行解密。
本发明实施例通过业务安全服务器接收密钥服务器发送的待存储密钥；在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息创建安全存储密钥；在可信执行环境中通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥进行存储。上述技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。
在上述各实施例的技术方案的基础上，为了保证存储待存储密钥的服务器的安全性，还可以预先对业务安全服务器的安全性加以验证。示例性地，在接收密钥服务器发送的待存储密钥之前，业务安全服务器还可以向所述密钥服务器发送认证请求，所述认证请求中包括待认证参数，以使所述密钥服务器基于所述待认证参数对所述业务安全服务器进行安全认证。
示例性地，业务安全服务器向密钥服务器发送包括待认证参数的认证请求，其中待认证参数包括可信计算基参数信息和参数验证信息；相应的，密钥服务器接收该认证请求，并将认证请求转发至认证服务器；认证服务器基于可信计算基参数信息和参数验证信息，对业务安全服务器进行安全认证，并向密钥服务器反馈安全认证结果。
为了保证待存储密钥的存储安全，可以理解的是，当密钥服务器确定业务安全服务器安全，也即认证服务器反馈的安全认证通过时，才会向业务安全服务器发送待存储密钥。
示例性地，可信计算基参数信息包括：可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的属性信息以及版本标识；参数验证信息包括：可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的签名信息以及可信计算基参数信息的摘要信息。
相应的，认证服务器基于可信计算基参数信息和参数验证信息，对业务安全服务器进行安全认证，可以是确定可信计算基参数的摘要信息；基于特定加密算法对可信计算基参数信息进行处理，得到可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的签名信息；若所确定的摘要信息与接收到的认证请求中所包含的摘要信息相同，且得到的签名信息与接收到的认证请求中所包含的各签名信息分别相同，则确定业务安全服务器安全认证通过，否则不通过。
实施例二
图2是本发明实施例二中的一种密钥存储方法的流程图，本发明实施例在上述各实施例的技术方案的基础上进行了优化改进。
进一步地，在操作“接收密钥服务器发送的待存储密钥”之前，追加“在所述可信执行环境中生成认证密钥，并采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码；将所述认证密钥和所述消息认证码发送至所述密钥服务器，以使所述密钥服务器基于所述共享密钥对所述消息认证码进行可信验证，并在验证可信时基于所述认证密钥进行待存储密钥反馈”；相应的，将操作“接收密钥服务器发送的待存储密钥”细化为“接收所述密钥服务器发送的待存储密钥，并基于所述认证密钥对所接收的待存储密钥进行解密”，以提高密钥在传输过程中的安全性。
如图2所示的一种密钥存储方法，包括：
S210、在所述可信执行环境中生成认证密钥，并采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码。
在该步骤中，业务安全服务器中的可信执行模块在可信执行环境中基于在处理器芯片中芯片制造阶段所预埋的一组密钥，派生认证密钥。其中，认证密钥可以是对称密钥或非对称密钥。
采用共享密钥生成与认证密钥对应的消息认证码，可以是根据共享密钥和对称密钥生成消息认证码；或者根据共享密钥和非对称密钥中的公钥生成消息认证码。
其中，共享密钥可以预先存储在业务安全服务器中，还可以在采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码之前，基于设定的密钥协商算法和派生算法，生成所述共享密钥。
其中，设定的密钥协商算法可以是现有技术中各密钥协商算法中的任意一种；设定的派生算法可以是现有技术中各派生算法中的任意一种。仅需保证业务安全那服务器与密钥服务器所采用的密钥协商算法以及派生算法相一致即可。
S220、将所述认证密钥和所述消息认证码发送至所述密钥服务器，以使所述密钥服务器基于所述共享密钥对所述消息认证码进行可信验证，并在验证可信时基于所述认证密钥进行待存储密钥反馈。
S230、接收所述密钥服务器发送的待存储密钥，并基于所述认证密钥对所接收的待存储密钥进行解密。
当认证密钥为对称密钥时，业务安全服务器直接将认证密钥和消息认证码发送至密钥服务器。密钥服务器根据共享密钥和接收的认证密钥重新生成消息认证码；若重新生成的消息认证码与接收到的消息认证码相同，则可信验证通过，否则不通过；在可信验证通过时，采用认证密钥对待存储密钥加密后反馈至业务安全服务器。当业务安全服务器接收到待存储密钥后，可信执行模块接收待存储密钥，并采用认证密钥对所接收到的待存储密钥进行解密。此时，密钥服务器中的待存储密钥被安全地传输至业务安全服务器的可信执行模块。
当认证密钥为非对称密钥时，将认证密钥的公钥和消息认证码发送至密钥服务器。密钥服务器根据共享密钥和接收的公钥重新生成消息认证码；若重新生成的消息认证码与接收到的消息认证码相同，则可信验证通过，否则不通过；在可信验证通过时，采用公钥对待存储密钥加密后反馈至业务安全服务器。当业务安全服务器接收到待存储密钥后，可信执行模块接收待存储密钥，并采用认证密钥的私钥对所接收到的待存储密钥进行解密。此时，密钥服务器中的待存储密钥被安全地传输至业务安全服务器的可信执行模块。
S240、在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥。
S250、在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
本发明实施例通过在接收待存储密钥之前追加在可信执行环境中生成认证密钥，并采用业务安全服务器与密钥服务器的共享密钥，生成与认证密钥对应的消息认证码；将认证密钥和消息认证码发送至密钥服务器，以使密钥服务器基于共享密钥对消息认证码进行可信验证，并在验证可信时基于认证密钥进行待存储密钥反馈，以对待存储密钥在传输过程进行有效监控，进而提高待存储密钥在数据传输过程中的安全性。
实施例三
图3是本发明实施例三中的一种密钥存储方法的流程图，本发明实施例适用于对密钥在可共享的业务安全服务器中进行安全存储的情况，该方法通过密钥存储装置执行，该装置采用软件和/或硬件实现，并具体配置于密钥服务器中。
如图3所示的一种密钥存储方法，应用于密钥服务器，包括：
S310、生成待存储密钥。
其中，待存储密钥可以是具备一定安全隐患的密钥信息，例如根密钥。
在该步骤中，密钥服务器生成根据自身设置的密钥生成机制生成待存储密钥，并发送至业务安全服务器。相应的，业务安全服务器接收待存储密钥。
S320、将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
需要说明的是，为了增强密钥服务器与业务安全服务器之间数据传输的安全性，密钥服务器还可以对待存储密钥加密后发送至业务安全服务器；相应的业务安全服务器接收该待存储密钥并进行解密。
其中，模块标识信息用于对同一业务安全服务器的可信执行环境中的不同的可信执行模块加以区分。其中，可信计算基参数信息可以是可信执行环境依赖的底层处理器芯片硬件、固件以及系统平台软件等对应的属性信息。
示例性地，在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥，可以是：在可信执行环境中，业务安全服务器中的可信执行模块根据自身的模块标识信息和可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的属性信息，派生出安全存储密钥。由于安全存储密钥与特定的可信执行模块和与该可信执行模块对应的可信执行环境相关，因此安全存储密钥仅对可信执行模块可见，对业务安全服务器所绑定的其他软件模块不可见。
其中，安全存储密钥可以是对称密钥，也可以是非对称密钥。可以理解的是，为了减少使用安全存储密钥进行加解密时的数据运算量，典型的，安全存储密钥采用对称密钥。
示例性地，在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储，可以是在可信执行环境中，可信执行模块通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥存储到硬盘上。其中，通过安全存储密钥对待存储密钥进行加密，可以采用现有技术中的任一加密算法，在此不再赘述。
本发明实施例通过密钥服务器生成待存储密钥；将待存储密钥发送至业务安全服务器，以使业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息，创建安全存储密钥；并在可信执行环境中，通过安全存储密钥对所述待存储密钥进行加密并存储。上述技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。
在上述各实施例的技术方案的基础上，为了保证存储待存储密钥的服务器的安全性，还可以预先对业务安全服务器的安全性加以验证。示例性地，在将所述待存储密钥发送至业务安全服务器之前，密钥服务器还可以接收所述业务安全服务器发送的认证请求，所述认证请求中包括待认证参数；将所述认证请求转发至认证服务器，以使认证服务器基于所述待认证参数对所述业务安全服务器进行安全认证，并反馈认证结果。
示例性地，业务安全服务器向密钥服务器发送包括待认证参数的认证请求，其中待认证参数包括可信计算基参数信息和参数验证信息；相应的，密钥服务器接收该认证请求，并将认证请求转发至认证服务器；认证服务器基于可信计算基参数信息和参数验证信息，对业务安全服务器进行安全认证，并向密钥服务器反馈安全认证结果。
为了保证待存储密钥的存储安全，可以理解的是，当密钥服务器确定业务安全服务器安全，也即认证服务器反馈的安全认证通过时，才会向业务安全服务器发送待存储密钥。
示例性地，可信计算基参数信息包括：可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的属性信息以及版本标识；参数验证信息包括：可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的签名信息以及可信计算基参数信息的摘要信息。
相应的，认证服务器基于可信计算基参数信息和参数验证信息，对业务安全服务器进行安全认证，可以是确定可信计算基参数的摘要信息；基于特定加密算法对可信计算基参数信息进行处理，得到可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的签名信息；若所确定的摘要信息与接收到的认证请求中所包含的摘要信息相同，且得到的签名信息与接收到的认证请求中所包含的各签名信息分别相同，则确定业务安全服务器安全认证通过，否则不通过。
实施例四
图4是本发明实施例四中的一种密钥存储方法的流程图，本发明实施例在上述各实施例的技术方案的基础上进行了优化改进。
进一步地，在操作“将所述待存储密钥发送至业务安全服务器”之前，追加“接收所述业务安全服务器发送的认证密钥和与所述认证密钥对应的消息认证码；根据所述认证密钥和所述业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码；根据所述参考消息认证码与所述消息认证码的一致性，进行可信验证”；相应的，将操作“将所述待存储密钥发送至业务安全服务器”细化为“在所述参考消息认证码与所述消息认证码一致时，基于所述认证密钥对所述待存储密钥加密后发送至所述业务安全服务器”，以提高密钥在传输过程中的安全性。
如图4所示的一种密钥存储方法，包括：
S410、接收所述业务安全服务器发送的认证密钥和与所述认证密钥对应的消息认证码。
业务安全服务器中的可信执行模块在可信执行环境中基于在处理器芯片中芯片制造阶段所预埋的一组密钥，派生认证密钥。其中，认证密钥可以是对称密钥或非对称密钥。业务安全服务器采用共享密钥生成与认证密钥对应的消息认证码，并将认证密钥和与认证密钥对应的消息认证码发送至密钥服务器。其中，采用共享密钥生成与认证密钥对应的消息认证码，可以是根据共享密钥和对称密钥生成消息认证码；或者根据共享密钥和非对称密钥中的公钥生成消息认证码。
相应的，密钥服务器接收认证密钥和认证密钥对应的消息认证码，以基于认证密钥和消息认证码对密钥传输过程中的安全性加以验证。
S420、根据所述认证密钥和所述业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码。
S430、根据所述参考消息认证码与所述消息认证码的一致性，进行可信验证。
当认证密钥为对称密钥时，业务安全服务器直接将认证密钥和消息认证码发送至密钥服务器。密钥服务器根据共享密钥和接收的认证密钥重新生成消息认证码；若重新生成的消息认证码与接收到的消息认证码相同，则可信验证通过，否则不通过。
当认证密钥为非对称密钥时，将认证密钥的公钥和消息认证码发送至密钥服务器。密钥服务器根据共享密钥和接收的公钥重新生成消息认证码；若重新生成的消息认证码与接收到的消息认证码相同，则可信验证通过，否则不通过。
S440、生成待存储密钥。
S450、在所述参考消息认证码与所述消息认证码一致时，基于所述认证密钥对所述待存储密钥加密后发送至所述业务安全服务器。
当认证密钥为对称密钥时，在可信验证通过时，采用认证密钥对待存储密钥加密后反馈至业务安全服务器。当业务安全服务器接收到待存储密钥后，可信执行模块接收待存储密钥，并采用认证密钥对所接收到的待存储密钥进行解密。此时，密钥服务器中的待存储密钥被安全地传输至业务安全服务器的可信执行模块。
当认证密钥为非对称密钥时，在可信验证通过时，采用公钥对待存储密钥加密后反馈至业务安全服务器。当业务安全服务器接收到待存储密钥后，可信执行模块接收待存储密钥，并采用认证密钥的私钥对所接收到的待存储密钥进行解密。此时，密钥服务器中的待存储密钥被安全地传输至业务安全服务器的可信执行模块。
S460、将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
需要说明的是，本发明实施例对S440的具体执行时机不做任何限定，仅需保证在将相业务安全服务器发送待存储密钥之前即可。
本发明实施例通过在将待存储密钥发送至业务安全服务器之前，追加接收业务安全服务器发送的认证密钥和与认证密钥对应的消息认证码；根据认证密钥和业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码；根据参考消息认证码与消息认证码的一致性，进行可信验证；在参考消息认证码与消息认证码一致时，基于认证密钥对待存储密钥加密后发送至业务安全服务器。采用上述技术方案，能够对待存储密钥在传输过程进行有效监控，进而提高待存储密钥在数据传输过程中的安全性。
实施例五
图5是本发明实施例五中的一种密钥存储方法的流程图，本发明实施例在上述各实施例的技术方案的基础上，提供了一种优选实施方式。
如图5所示的一种密钥存储方法，包括：
S501、业务安全服务器生成认证请求。
其中，认证请求中包括可信计算基的唯一识别信息、可信执行环境所依赖的芯片硬件、固件以及系统平台软件对应的信息签名以及相关哈希信息。
S502、将认证请求发送至密钥服务器。
S503、将认证请求转发至认证服务器。
S504、认证服务器基于认证请求对业务安全服务器的安全性进行认证。
S505、将认证结果反馈至密钥服务器。
S506、密钥服务器和业务安全服务器协商生成共享密钥。
例如，采用椭圆加密算法。
其中，生成共享密钥包括S51～S56。
S51、密钥服务器创建公私钥对Ga和a。
S52、发送公钥Ga到业务安全服务器。
S53、业务安全服务器在可信执行环境中创建公私钥对Gb和b。
其中，私钥b对任何应用不可见。
S54、发送公钥Gb至密钥服务器。
S55、基于设定算法，根据公钥Ga和私钥b生成共享密钥MK。
示例性地，基于ECDH(Elliptic-curve Diffie–Hellman，密钥协商算法)算法和指定密钥派生算法得到共享密钥MK。
S56、密钥服务器采用同样的，根据公钥Gb和私钥a生成共享密钥MK。
示例性地，密钥服务器采用同样的ECDH算法和密钥派生算法得到共享密钥MK。
S507、业务安全服务器创建公私钥对B_Pub和B_Priv。
例如，采用椭圆加密算法。
S508、使用MK计算B_Pub的消息认证码，记为MAC1。
S509、发送B_Pub和MAC1至密钥服务器。
S510、密钥服务器使用MK重新计算B_Pub的消息认证码，记为MAC2。
S511、若MAC1与MAC2相等，则认证通过；否则，不通过。
S512、生成根密钥Root_Key。
S513、在认证通过时，使用B_Pub对Root_Key加密。
S514、将加密后的Root_Key发送至业务安全服务器。
S515、业务安全服务器的可信执行模块采用B_Priv解密接收到的加密后的Root_Key。
S516、可信执行模块从预埋的密码派生计算得到安全存储密钥RKEK，并使用RKEK加密Root_Key，将加密后的Root_Key存储至硬盘。
其中，安全存储密钥仅对当前采用的可信执行模块可见，对可信计算基绑定的其他可信执行模块不可见。典型的安全存储密钥采用对称密钥。
S517、可信执行模块从硬盘读取加密后的Root_Key，并使用RKEK对读取的Root_Key进行解密还原。
实施例六
图6是本发明实施例六中的一种密钥存储装置的结构图，本发明适用于对密钥在可共享的业务安全服务器中进行安全存储的情况，该装置采用软件和/或硬件实现，并具体配置于业务安全服务器中。
如图6所示的一种密钥存储装置，配置于业务安全服务器，包括：待存储密钥接收模块610、安全存储密钥创建模块620、以及待存储密钥存储模块630。
其中，待存储密钥接收模块610，用于接收密钥服务器发送的待存储密钥；
安全存储密钥创建模块620，用于在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；
待存储密钥存储模块630，用于在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
本发明实施例通过待存储密钥接收模块接收密钥服务器发送的待存储密钥；通过安全存储密钥创建模块在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息创建安全存储密钥；通过待存储密钥存储模块在可信执行环境中通过安全存储密钥对待存储密钥进行加密，并将加密后的待存储密钥进行存储。上述技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。
进一步地，该装置还包括，可信验证模块，用于：
在接收密钥服务器发送的待存储密钥之前，在所述可信执行环境中生成认证密钥，并采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码；
将所述认证密钥和所述消息认证码发送至所述密钥服务器，以使所述密钥服务器基于所述共享密钥对所述消息认证码进行可信验证，并在验证可信时基于所述认证密钥进行待存储密钥反馈；
相应的，待存储密钥接收模块610，具体用于：
接收所述密钥服务器发送的待存储密钥，并基于所述认证密钥对所接收的待存储密钥进行解密。
进一步地，该装置还包括，共享密钥生成模块，用于：
在采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码之前，基于设定的密钥协商算法和派生算法，生成所述共享密钥。
进一步地，该装置还包括，安全认证模块，用于：
在接收密钥服务器发送的待存储密钥之前，向所述密钥服务器发送认证请求，所述认证请求中包括待认证参数，以使所述密钥服务器基于所述待认证参数对所述业务安全服务器进行安全认证。
进一步地，所述待认证参数包括可信计算基参数信息和参数验证信息。
进一步地，所述待存储密钥为根密钥。
进一步地，该装置还包括，密钥读取模块，用于：
在将加密后的待存储密钥进行存储之后，接收密钥读取指令，并根据所述密钥读取指令读取所述待存储密钥；
根据所述安全存储密钥对所述待存储密钥进行解密。
上述密钥存储装置可执行本发明任意实施例所提供的密钥存储方法，具备执行密钥存储方法相应的功能模块和有益效果。
实施例七
图7是本发明实施例七中的一种密钥存储装置的结构图，本发明实施例适用于对密钥在可共享的业务安全服务器中进行安全存储的情况，该装置采用软件和/或硬件实现，并具体配置于密钥服务器中。
如图7所示的一种密钥存储装置，配置于密钥服务器，包括：待存储密钥生成模块710和待存储密钥发送模块720。
其中，待存储密钥生成模块710，用于生成待存储密钥；
待存储密钥发送模块720，用于将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
本发明实施例通过待存储密钥生成模块生成待存储密钥；通过待存储密钥发送模块将待存储密钥发送至业务安全服务器，以使业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载可信执行模块的可信计算基参数信息，创建安全存储密钥；并在可信执行环境中，通过安全存储密钥对所述待存储密钥进行加密并存储。上述技术方案通过在可信执行环境中，基于模块标识信息和可信计算基参数信息生成仅可信运行时系统可见的安全存储密钥，增强了安全存储密钥的安全性，并采用安全存储密钥在可信执行环境中进行待存储密钥的存储实现代码和数据的隔离，增强了密钥存储的安全性，进而提高了所存储的待存储密钥的安全性。
进一步地，该装置还包括，可信验证模块，用于：
在将所述待存储密钥发送至业务安全服务器之前，接收所述业务安全服务器发送的认证密钥和与所述认证密钥对应的消息认证码；
根据所述认证密钥和所述业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码；
根据所述参考消息认证码与所述消息认证码的一致性，进行可信验证；
相应的，待存储密钥发送模块720，具体用于：
在所述参考消息认证码与所述消息认证码一致时，基于所述认证密钥对所述待存储密钥加密后发送至所述业务安全服务器。
进一步地，该装置还包括，共享密钥生成模块，用于：
在根据所述认证密钥和所述业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码之前，基于设定的密钥协商算法和派生算法，生成所述共享密钥。
进一步地，该装置还包括，安全认证模块，用于：
在将所述待存储密钥发送至业务安全服务器之前，接收所述业务安全服务器发送的认证请求，所述认证请求中包括待认证参数；
将所述认证请求转发至认证服务器，以使认证服务器基于所述待认证参数对所述业务安全服务器进行安全认证，并反馈认证结果。
进一步地，所述待认证参数包括可信计算基参数信息和参数验证信息。
进一步地，所述待存储密钥为根密钥。
上述密钥存储装置可执行本发明任意实施例所提供的密钥存储方法，具备执行密钥存储方法相应的功能模块和有益效果。
实施例八
图8为本发明实施例八提供的一种服务器的结构示意图。图8示出了适于用来实现本发明实施方式的示例性服务器812的框图。图8显示的服务器812仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图8所示，服务器812以通用计算设备的形式表现。服务器812的组件可以包括但不限于：一个或者多个处理器或者处理单元816，系统存储器828，连接不同系统组件(包括系统存储器828和处理单元816)的总线818。
总线818表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
服务器812典型地包括多种计算机系统可读介质。这些介质可以是任何能够被服务器812访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
系统存储器828可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)830和/或高速缓存存储器832。服务器812可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统834可以用于读写不可移动的、非易失性磁介质(图8未显示，通常称为“硬盘驱动器”)。尽管图8中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线818相连。存储器828可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(至少一个)程序模块842的程序/实用工具840，可以存储在例如存储器828中，这样的程序模块842包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块842通常执行本发明所描述的实施例中的功能和/或方法。
服务器812也可以与一个或多个外部设备814(例如键盘、指向设备、显示器824等)通信，还可与一个或者多个使得用户能与该服务器812交互的设备通信，和/或与使得该服务器812能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口822进行。并且，服务器812还可以通过网络适配器820与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器820通过总线818与服务器812的其它模块通信。应当明白，尽管图中未示出，可以结合服务器812使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
处理单元816通过运行存储在系统存储器828中的多个程序中的至少一个程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的一种密钥存储方法。
实施例九
本发明实施例九还提供了一种服务器，其结构示意图同样可参见图8，该服务器的处理单元816、通过运行存储在系统存储器828中的多个程序中的至少一个程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的另一种密钥存储方法。
实施例十
本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任一实施例所提供的一种密钥存储方法，应用于业务安全服务器，所述方法包括：接收密钥服务器发送的待存储密钥；在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
本发明实施例还提供了另一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明任一实施例所提供的一种密钥存储方法，应用于密钥服务器，所述方法包括：生成待存储密钥；将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (11)

1.一种密钥存储方法，其特征在于，应用于业务安全服务器，所述方法包括：
接收密钥服务器发送的待存储密钥；
在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；
在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
2.根据权利要求1所述的方法，其特征在于，在接收密钥服务器发送的待存储密钥之前，还包括：
在所述可信执行环境中生成认证密钥，并采用所述业务安全服务器与密钥服务器的共享密钥，生成与所述认证密钥对应的消息认证码；
将所述认证密钥和所述消息认证码发送至所述密钥服务器，以使所述密钥服务器基于所述共享密钥对所述消息认证码进行可信验证，并在验证可信时基于所述认证密钥进行待存储密钥反馈；
相应的，接收密钥服务器发送的待存储密钥，包括：
接收所述密钥服务器发送的待存储密钥，并基于所述认证密钥对所接收的待存储密钥进行解密。
3.根据权利要求1所述的方法，其特征在于，在接收密钥服务器发送的待存储密钥之前，还包括：
向所述密钥服务器发送认证请求，所述认证请求中包括待认证参数，以使所述密钥服务器基于所述待认证参数对所述业务安全服务器进行安全认证。
4.根据权利要求3所述的方法，其特征在于，所述待认证参数包括可信计算基参数信息和参数验证信息。
5.根据权利要求1-4任一项所述的方法，其特征在于，在将加密后的待存储密钥进行存储之后，还包括：
接收密钥读取指令，并根据所述密钥读取指令读取已存储密钥；
根据所述安全存储密钥对所述已存储密钥进行解密。
6.一种密钥存储方法，其特征在于，应用于密钥服务器，所述方法包括：
生成待存储密钥；
将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
7.根据权利要求6所述的方法，其特征在于，在将所述待存储密钥发送至业务安全服务器之前，还包括：
接收所述业务安全服务器发送的认证密钥和与所述认证密钥对应的消息认证码；
根据所述认证密钥和所述业务安全服务器与密钥服务器的共享密钥，重新生成参考消息认证码；
根据所述参考消息认证码与所述消息认证码的一致性，进行可信验证；
相应的，将所述待存储密钥发送至业务安全服务器，包括：
在所述参考消息认证码与所述消息认证码一致时，基于所述认证密钥对所述待存储密钥加密后发送至所述业务安全服务器。
8.根据权利要求6所述的方法，其特征在于，在将所述待存储密钥发送至业务安全服务器之前，还包括：
接收所述业务安全服务器发送的认证请求，所述认证请求中包括待认证参数；
将所述认证请求转发至认证服务器，以使认证服务器基于所述待认证参数对所述业务安全服务器进行安全认证，并反馈认证结果。
9.一种密钥存储装置，其特征在于，配置于业务安全服务器，所述装置包括：
待存储密钥接收模块，用于接收密钥服务器发送的待存储密钥；
安全存储密钥创建模块，用于在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；
待存储密钥存储模块，用于在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密，并将加密后的待存储密钥进行存储。
10.一种密钥存储装置，其特征在于，配置于密钥服务器，所述装置包括：
待存储密钥生成模块，用于生成待存储密钥；
待存储密钥发送模块，用于将所述待存储密钥发送至业务安全服务器，以使所述业务安全服务器在可信执行环境中，根据自身配置的可信执行模块的模块标识信息和承载所述可信执行模块的可信计算基参数信息，创建安全存储密钥；并在所述可信执行环境中，通过所述安全存储密钥对所述待存储密钥进行加密并存储。
11.一种服务器，其特征在于，包括：
一个或多个处理器；
存储器，用于存储一个或多个程序；
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-5任一项所述的一种密钥存储方法，或者实现如权利要求6-8任一项所述的一种密钥存储方法。
CN201910708390.0A 2019-08-01 2019-08-01 一种密钥存储方法、装置及服务器 Active CN110430051B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910708390.0A CN110430051B (zh) 2019-08-01 2019-08-01 一种密钥存储方法、装置及服务器

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910708390.0A CN110430051B (zh) 2019-08-01 2019-08-01 一种密钥存储方法、装置及服务器

Publications (2)

Publication Number Publication Date
CN110430051A true CN110430051A (zh) 2019-11-08
CN110430051B CN110430051B (zh) 2022-08-05

Family

ID=68413770

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910708390.0A Active CN110430051B (zh) 2019-08-01 2019-08-01 一种密钥存储方法、装置及服务器

Country Status (1)

Country Link
CN (1) CN110430051B (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110932853A (zh) * 2019-12-06 2020-03-27 深圳市纽创信安科技开发有限公司 一种基于可信模块的密钥管理装置和密钥管理方法
CN110955883A (zh) * 2019-11-27 2020-04-03 南方科技大学 一种用户密钥生成的方法、装置、设备及存储介质
CN111181720A (zh) * 2019-12-31 2020-05-19 支付宝(杭州)信息技术有限公司 基于可信执行环境的业务处理方法及装置
CN112995109A (zh) * 2019-12-17 2021-06-18 阿里巴巴集团控股有限公司 数据加密系统、方法、数据处理方法、装置及电子设备
CN113392413A (zh) * 2021-05-26 2021-09-14 亿次网联(杭州)科技有限公司 一种数据安全存储方法、装置、系统和存储介质
CN114095157A (zh) * 2021-10-29 2022-02-25 上海浦东发展银行股份有限公司 密钥管理方法、装置、计算机设备及可读存储介质
CN114662135A (zh) * 2022-05-19 2022-06-24 深圳市航顺芯片技术研发有限公司 数据访问方法、计算机设备及可读存储介质

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120173885A1 (en) * 2010-12-30 2012-07-05 Microsoft Corporation Key management using trusted platform modules
CN103534976A (zh) * 2013-06-05 2014-01-22 华为技术有限公司 数据安全的保护方法、服务器、主机及系统
CN106656503A (zh) * 2016-10-13 2017-05-10 上海众人网络安全技术有限公司 密钥存储方法、数据加解密方法、电子签名方法及其装置
CN107733912A (zh) * 2017-10-31 2018-02-23 珠海市魅族科技有限公司 信息加密方法、信息认证方法、终端及计算机可读存储介质
CN108566381A (zh) * 2018-03-19 2018-09-21 百度在线网络技术（北京）有限公司 一种安全升级方法、装置、服务器、设备和介质
CN109246053A (zh) * 2017-05-26 2019-01-18 阿里巴巴集团控股有限公司 一种数据通信方法、装置、设备和存储介质
CN109905233A (zh) * 2017-12-08 2019-06-18 阿里巴巴集团控股有限公司 一种设备数据处理方法及系统
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
CN110011801A (zh) * 2018-11-16 2019-07-12 阿里巴巴集团控股有限公司 可信应用程序的远程证明方法及装置、电子设备

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20120173885A1 (en) * 2010-12-30 2012-07-05 Microsoft Corporation Key management using trusted platform modules
CN103534976A (zh) * 2013-06-05 2014-01-22 华为技术有限公司 数据安全的保护方法、服务器、主机及系统
CN106656503A (zh) * 2016-10-13 2017-05-10 上海众人网络安全技术有限公司 密钥存储方法、数据加解密方法、电子签名方法及其装置
CN109246053A (zh) * 2017-05-26 2019-01-18 阿里巴巴集团控股有限公司 一种数据通信方法、装置、设备和存储介质
CN107733912A (zh) * 2017-10-31 2018-02-23 珠海市魅族科技有限公司 信息加密方法、信息认证方法、终端及计算机可读存储介质
CN109905233A (zh) * 2017-12-08 2019-06-18 阿里巴巴集团控股有限公司 一种设备数据处理方法及系统
CN108566381A (zh) * 2018-03-19 2018-09-21 百度在线网络技术（北京）有限公司 一种安全升级方法、装置、服务器、设备和介质
CN110011801A (zh) * 2018-11-16 2019-07-12 阿里巴巴集团控股有限公司 可信应用程序的远程证明方法及装置、电子设备
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110955883A (zh) * 2019-11-27 2020-04-03 南方科技大学 一种用户密钥生成的方法、装置、设备及存储介质
CN110955883B (zh) * 2019-11-27 2023-06-23 南方科技大学 一种用户密钥生成的方法、装置、设备及存储介质
CN110932853A (zh) * 2019-12-06 2020-03-27 深圳市纽创信安科技开发有限公司 一种基于可信模块的密钥管理装置和密钥管理方法
CN110932853B (zh) * 2019-12-06 2022-12-06 深圳市纽创信安科技开发有限公司 一种基于可信模块的密钥管理装置和密钥管理方法
CN112995109A (zh) * 2019-12-17 2021-06-18 阿里巴巴集团控股有限公司 数据加密系统、方法、数据处理方法、装置及电子设备
CN111181720A (zh) * 2019-12-31 2020-05-19 支付宝(杭州)信息技术有限公司 基于可信执行环境的业务处理方法及装置
CN111181720B (zh) * 2019-12-31 2021-04-06 支付宝(杭州)信息技术有限公司 基于可信执行环境的业务处理方法及装置
CN113392413A (zh) * 2021-05-26 2021-09-14 亿次网联(杭州)科技有限公司 一种数据安全存储方法、装置、系统和存储介质
CN114095157A (zh) * 2021-10-29 2022-02-25 上海浦东发展银行股份有限公司 密钥管理方法、装置、计算机设备及可读存储介质
CN114095157B (zh) * 2021-10-29 2023-10-24 上海浦东发展银行股份有限公司 密钥管理方法、装置、计算机设备及可读存储介质
CN114662135A (zh) * 2022-05-19 2022-06-24 深圳市航顺芯片技术研发有限公司 数据访问方法、计算机设备及可读存储介质

Also Published As

Publication number Publication date
CN110430051B (zh) 2022-08-05

Similar Documents

Publication Publication Date Title
CN110430051A (zh) 一种密钥存储方法、装置及服务器
US11258769B2 (en) Provisioning network keys to devices to allow them to provide their identity
US9684789B2 (en) Arbitrary code execution and restricted protected storage access to trusted code
US10187373B1 (en) Hierarchical, deterministic, one-time login tokens
US9020149B1 (en) Protected storage for cryptographic materials
US11030317B2 (en) Independently recoverable security for processor and peripheral communication
KR101729960B1 (ko) 신뢰 보안 플랫폼 모듈을 이용한 보안 애플리케이션 인증 및 관리 방법 및 장치
US9906518B2 (en) Managing exchanges of sensitive data
US10601590B1 (en) Secure secrets in hardware security module for use by protected function in trusted execution environment
CN109150907A (zh) 车载工控机登录方法、装置、系统、计算机设备及介质
US7636441B2 (en) Method for secure key exchange
CN109714176A (zh) 口令认证方法、装置及存储介质
CN108964893A (zh) 一种密钥处理方法、装置、设备和介质
CN111200593A (zh) 应用登录方法、装置和电子设备
JP2023533319A (ja) ファームウェアデータ検証装置及び方法、並びにファームウェア更新装置、方法、及びシステム
JP2022539458A (ja) エンティティに参加するためにネットワーク識別子を使用してブロックチェーンに関連するトランザクションを実現するためのコンピュータ実施システム及び方法
CN111241492A (zh) 一种产品多租户安全授信方法、系统及电子设备
CN113630412B (zh) 资源下载方法、资源下载装置、电子设备以及存储介质
Xia et al. Security Access Solution of Cloud Services for Trusted Mobile Terminals Based on TrustZone.
KR101836211B1 (ko) 전자 기기 인증 매니저 장치
CN110365492A (zh) 一种鉴权方法、系统、设备及介质
CN116094793A (zh) 基于数据证书建立运营中心与安全设备连接的方法及系统
WO2023116239A1 (zh) 权限确定方法、装置、计算机设备和计算机可读存储介质
US20200244724A1 (en) Information processing device and terminal
CN112363800A (zh) 一种网卡的内存访问方法、安全处理器、网卡及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant