CN111082926B - 密钥同步方法及系统 - Google Patents

密钥同步方法及系统 Download PDF

Info

Publication number
CN111082926B
CN111082926B CN201911078243.6A CN201911078243A CN111082926B CN 111082926 B CN111082926 B CN 111082926B CN 201911078243 A CN201911078243 A CN 201911078243A CN 111082926 B CN111082926 B CN 111082926B
Authority
CN
China
Prior art keywords
cipher
key
user key
machine
state
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911078243.6A
Other languages
English (en)
Other versions
CN111082926A (zh
Inventor
刘义鹏
贺东海
贺建楠
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Donjin Technology Co ltd
Original Assignee
Shenzhen Donjin Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Donjin Technology Co ltd filed Critical Shenzhen Donjin Technology Co ltd
Priority to CN201911078243.6A priority Critical patent/CN111082926B/zh
Publication of CN111082926A publication Critical patent/CN111082926A/zh
Application granted granted Critical
Publication of CN111082926B publication Critical patent/CN111082926B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H04L67/1004—Server selection for load balancing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/562—Brokering proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种密钥同步方法及系统，所述方法包括：配置每台密码机的同步加密密钥，在一台密码机上生成用户密钥，并将该用户密钥同步到各台密码机上，且在同步过程中，根据同步情况，更新用户密钥在密码机密钥同步状态表中的状态，并根据更新后的密码机密钥同步状态表更新用户密钥在全局密钥同步状态表中的状态。通过本发明，无需通过应用系统管理用户密钥，简化了应用系统的工作，降低开发和维护成本。且通过密码服务中间件实现用户密钥在各个密码机之间的同步，不需要修改已有密码机，能够支持多种厂家和型号的密码机接入集群。

Description

密钥同步方法及系统
技术领域
本发明涉及信息处理技术领域，尤其涉及密钥同步方法及系统。
背景技术
为了保证用户密钥的安全，目前一般是将用户密钥加密后由应用系统管理。这种方式下，密码机本身不存储用户密钥，而是在使用密码机进行密钥运算时由用于系统取出用户密钥输入密码机。这种方式增加了应用系统的复杂性和开发工作量。
发明内容
本发明的主要目的在于解决现有技术中由应用系统管理用户密钥的方式增加了应用系统的复杂性和开发工作量的技术问题。
为实现上述目的，本发明提供一种密钥同步方法，所述方法应用于密钥同步系统，所述系统包括密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，所述方法包括：
为所述密码机集群中的每台密码机配置相同的同步加密密钥；
当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；
当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；
所述密码服务中间件下发导出指令至所述第一密码机；
所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；
所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；
在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态。
可选的，所述方法还包括：
当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；
所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；
所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；
所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
可选的，所述根据所述同步状态，确定目标密码机，包括：
根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；
根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
此外，为实现上述目的，本发明还提供一种密钥同步系统，所述系统包括密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，所述密码机集群中的每台密码机配置有相同的同步加密密钥；当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；所述密码服务中间件下发导出指令至所述第一密码机；所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态。
可选的，当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
可选的，所述密码服务中间件，用于根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
本发明通过配置每台密码机的同步加密密钥，在一台密码机上生成用户密钥，并将该用户密钥同步到各台密码机上，且在同步过程中，根据同步情况，更新用户密钥在密码机密钥同步状态表中的状态，并根据更新后的密码机密钥同步状态表更新用户密钥在全局密钥同步状态表中的状态。通过本发明，无需通过应用系统管理用户密钥，简化了应用系统的工作，降低开发和维护成本。且通过密码服务中间件实现用户密钥在各个密码机之间的同步，不需要修改已有密码机，能够支持多种厂家和型号的密码机接入集群。
附图说明
图1为本发明密钥同步方法一实施例的流程示意图。
图2为本发明密钥同步系统一实施例的系统架构示意图。
本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。
具体实施方式
如图1所示，图1为本发明密钥同步方法一实施例的流程示意图，在一实施例中，所述方法应用于密钥同步系统，所述系统包括密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，所述方法包括：
步骤S10，为所述密码机集群中的每台密码机配置相同的同步加密密钥；
本实施例中，密码机集群包括若干台密码机，密码机为实际进行用户密钥生成、存储和加解密运算的实体。其中同步加密密钥为在各密码机之间进行用户密钥同步时的加密保护密钥，避免用户密钥在同步过程中的泄露。
一实施例中，同步加密密钥由密码机管理员配置，若密码机集群中的各密码机是同一厂家生产的，则可对各密码机设置相同的主密钥，从而直接以该主密钥作为密码机集群中每台密码机的同步加密密钥。
在另一实施例中，若密码机集群中的各密码机不是同一厂家生产的，则通过密码机管理工具注入一对称密钥，并以该对称密钥作为密码机集群中每台密码机的同步加密密钥。
步骤S20，当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；
本实施例中，应用系统为用户使用密码服务的业务系统。当根据用户操作需要生成用户密钥时，应用系统发起用户密码生成服务请求，密码服务中间件接收到该请求时，根据负载均衡策略从密码机集群中选择一台密码机，即确定第一密码机，并将该用户密钥生成服务请求发送至该第一密码机。其中，负载均衡策略不限于随机、轮询等算法。其中，密码服务中间件位于应用系统和密码机集群之间，其作用是对应用系统屏蔽密码机管理、密码机负荷分担、密钥自动同步等功能。密码服务中间件包括但不限于如下形式：密码服务进程、密码服务运行库。如果密码服务中间件是密码服务进程的形式，可以运行在一台主机上；如果是以密码服务运行库的形式，一般是嵌入到用户业务系统中。
步骤S30，当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；
本实施例中，当第一密码机接收到用户密钥生成服务请求时，执行用户密钥生成功能，生成用户密钥，并存储用户密钥。
步骤S40，所述密码服务中间件下发导出指令至所述第一密码机；
步骤S50，所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；
本实施例中，密码服务中间件主动下发导出指令至第一密码机，第一密码机接收到导出指令，通过同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将用户密钥密文发送至所述密码服务中间件。
步骤S60，所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；
本实施例中，其他密码机为密码机集群中除第一密码机以外的密码机。例如，密码机集群包括密码机1至5，若第一密码机为密码机3，则将用户密钥密文依次发送到密码机1、2、4、5，密码机1、2、4、5接收到用户密钥密文后，通过同步加密密钥对所述用户密钥密文解密，得到用户密钥，并存储用户密钥，即依次将用户密钥同步到其他密码机。
步骤S70，在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态。
本实施例中，在密码服务中间件运行的实体装置内存中存储有密码机密钥同步状态表以及全局密钥同步状态表。其中，全局密钥同步状态表用来标识用户密钥的同步状态，包括已同步、未同步状态。当用户密钥的同步状态为已同步状态时，表明该用户密钥已同步到所有密码机；当用户密钥的同步状态为未同步状态时，表明该用户密钥没有完全同步到所有密码机。
密码机密钥同步状态表用来表示用户密钥在各个密码机的同步状态，包括已同步、未同步状态。当用户密钥对应一密码机的同步状态为已同步状态时，表明该密钥已同步到该密码机；当用户密钥对应一密码机的同步状态为未同步状态时，表明该密钥没有同步到该密码机。例如，密码机集群包括密码机1至3，则对应的密码机密钥同步状态表如表1所示。
Figure BDA0002263156760000061
如表1所示，表1中索引号1为用户密钥1在密码机密钥同步状态表中的索引号。索引号1对应的在密码机1的同步状态为“1”，在密码机2的同步状态为“1”，在密码机3的同步状态为“1”，则说明用户密钥1已经同步到密码机1至3中。
表1中索引号2为用户密钥2在密码机密钥同步状态表中的索引号。索引号2对应的在密码机1的同步状态为“1”，在密码机2的同步状态为“1”，在密码机3的同步状态为“0”，则说明用户密钥2已经同步到密码机1至2中，还未同步到密码机3中。
表1中索引号3为用户密钥3在密码机密钥同步状态表中的索引号。索引号3对应的在密码机1的同步状态为“1”，在密码机2的同步状态为“0”，在密码机3的同步状态为“0”，则说明用户密钥3已经同步到密码机1中，还未同步到密码机2和3中。
本实施例中，无需通过应用系统管理用户密钥，简化了应用系统的工作，降低开发和维护成本。且通过密码服务中间件实现用户密钥在各个密码机之间的同步，不需要修改已有密码机，能够支持多种厂家和型号的密码机接入集群。
进一步地，一实施例中，密钥同步方法还包括：
当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；
本实施例中，应用系统在执行某些操作时，需要使用用户密钥进行加解密，这时应用系统会发起加解密服务请求，密码服务中间件接收到该加解密服务请求时，确定加解密服务请求所需的目标用户密钥，即确定需要使用的用户密钥是哪个。
所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；
本实施例中，在确定目标用户密钥后，密码服务中间件根据当前时刻的密码机密钥同步状态表确定目标用户密钥在各个密码机中的同步状态。例如，目标用户密钥为用户密钥3，根据当前时刻的密码机密钥同步状态表确定用户密钥密3在密码机1中的同步状态为“同步”，在密码机2中的同步状态为“同步”，在密码机3中的同步状态为“同步”，在密码机4中的同步状态为“未同步”，在密码机5中的同步状态为“未同步”。则说明当前时刻密码机1至3中存储有目标用户密钥，因此，需要从密码机1至3中选择一台密码机作为目标密码机。
一实施例中，所述根据所述同步状态，确定目标密码机，包括：
根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
本实施例中，若目标用户密钥为用户密钥3，根据当前时刻的密码机密钥同步状态表确定用户密钥3在密码机1中的同步状态为“同步”，在密码机2中的同步状态为“同步”，在密码机3中的同步状态为“同步”，在密码机4中的同步状态为“未同步”，在密码机5中的同步状态为“未同步”。则根据同步状态，确定密码机1至3中存储有目标用户密钥。根据负载均衡策略，从密码机1至3中选择一台密码机作为目标密码机。其中，负载均衡策略不限于随机、轮询等算法。
所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
本实施例中，在确定目标密码机后，密码服务中间件并将加解密服务请求发送至目标密码机，目标密码机接收到加解密服务请求时，使用该目标用户密钥执行加解密操作。
参照图2，图2为本发明密钥同步系统一实施例的系统架构示意图。一实施例中，密钥同步系统包括：密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，所述密码机集群中的每台密码机配置有相同的同步加密密钥；当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；所述密码服务中间件下发导出指令至所述第一密码机；所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态。
进一步地，一实施例中，当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
进一步地，一实施例中，所述密码服务中间件，用于根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
本发明密钥同步系统的具体实施例与上述密钥同步方法的各个实施例基本相同，在此不做赘述。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (4)

1.一种密钥同步方法，其特征在于，所述方法应用于密钥同步系统，所述系统包括密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，密码服务中间件位于应用系统和密码机集群之间，其作用是对应用系统屏蔽密码机管理、密码机负荷分担、密钥自动同步等功能；
在密码服务中间件运行的实体装置内存中存储有密码机密钥同步状态表以及全局密钥同步状态表；其中，全局密钥同步状态表用来标识用户密钥的同步状态，包括已同步、未同步状态；当用户密钥的同步状态为已同步状态时，表明该用户密钥已同步到所有密码机；当用户密钥的同步状态为未同步状态时，表明该用户密钥没有完全同步到所有密码机；
密码机密钥同步状态表用来表示用户密钥在各个密码机的同步状态，包括已同步、未同步状态；当用户密钥对应一密码机的同步状态为已同步状态时，表明该密钥已同步到该密码机；当用户密钥对应一密码机的同步状态为未同步状态时，表明该密钥没有同步到该密码机；
所述方法包括：
为所述密码机集群中的每台密码机配置相同的同步加密密钥；
若密码机集群中的各密码机是同一厂家生产的，则可对各密码机设置相同的主密钥，从而直接以该主密钥作为密码机集群中每台密码机的同步加密密钥；若密码机集群中的各密码机不是同一厂家生产的，则通过密码机管理工具注入一对称密钥，并以该对称密钥作为密码机集群中每台密码机的同步加密密钥；
当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；
当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；
所述密码服务中间件下发导出指令至所述第一密码机；
所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；
所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；
在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态；
当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；
所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；
所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；
所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
2.如权利要求1所述的方法，其特征在于，所述根据所述同步状态，确定目标密码机，包括：
根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；
根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
3.一种密钥同步系统，其特征在于，所述系统包括密码机集群、应用系统以及密码服务中间件，所述密码机集群包括至少两台密码机，密码服务中间件位于应用系统和密码机集群之间，其作用是对应用系统屏蔽密码机管理、密码机负荷分担、密钥自动同步等功能；
在密码服务中间件运行的实体装置内存中存储有密码机密钥同步状态表以及全局密钥同步状态表；其中，全局密钥同步状态表用来标识用户密钥的同步状态，包括已同步、未同步状态；当用户密钥的同步状态为已同步状态时，表明该用户密钥已同步到所有密码机；当用户密钥的同步状态为未同步状态时，表明该用户密钥没有完全同步到所有密码机；
密码机密钥同步状态表用来表示用户密钥在各个密码机的同步状态，包括已同步、未同步状态；当用户密钥对应一密码机的同步状态为已同步状态时，表明该密钥已同步到该密码机；当用户密钥对应一密码机的同步状态为未同步状态时，表明该密钥没有同步到该密码机；
所述密码机集群中的每台密码机配置有相同的同步加密密钥；当所述应用系统发起用户密钥生成服务请求时，所述密码服务中间件根据负载均衡策略从所述密码机集群中确定第一密码机，并将所述用户密钥生成服务请求发送至所述第一密码机；当所述第一密码机接收到所述用户密钥生成服务请求时，生成用户密钥，并存储所述用户密钥；所述密码服务中间件下发导出指令至所述第一密码机；所述第一密码机接收到所述导出指令，通过所述同步加密密钥对所述用户密钥加密，得到用户密钥密文，并将所述用户密钥密文发送至所述密码服务中间件；所述密钥服务中间件依次调用其他密码机的导入密钥接口将所述用户密钥密文依次发送到其他密码机，所述其他密码机接收到所述用户密钥密文后，通过所述同步加密密钥对所述用户密钥密文解密，得到所述用户密钥，并存储所述用户密钥，所述其他密码机为所述密码机集群中除所述第一密码机以外的密码机；在将所述用户密钥依次同步到其他密码机的过程中，所述密码服务中间件根据同步情况，更新所述用户密钥在密码机密钥同步状态表中的状态，并根据所述更新后的密码机密钥同步状态表更新所述用户密钥在全局密钥同步状态表中的状态；当所述应用系统发起加解密服务请求时，所述密码服务中间件确定所述加解密服务请求所需的目标用户密钥；所述密码服务中间件根据当前时刻的密码机密钥同步状态表确定所述目标用户密钥在各个密码机中的同步状态，并根据所述同步状态，确定目标密码机；所述密码服务中间件将所述加解密服务请求发送至所述目标密码机；所述目标密码机接收到所述加解密服务请求时，根据存储在所述目标密码机上的所述目标用户密钥执行加解密操作。
4.如权利要求3所述的系统，其特征在于，所述密码服务中间件，用于根据所述同步状态，从所述密码机集群中确定存储有所述目标用户密钥的密码机；根据负载均衡策略从所述存储有所述目标用户密钥的密码机中确定目标密码机。
CN201911078243.6A 2019-11-06 2019-11-06 密钥同步方法及系统 Active CN111082926B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911078243.6A CN111082926B (zh) 2019-11-06 2019-11-06 密钥同步方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911078243.6A CN111082926B (zh) 2019-11-06 2019-11-06 密钥同步方法及系统

Publications (2)

Publication Number Publication Date
CN111082926A CN111082926A (zh) 2020-04-28
CN111082926B true CN111082926B (zh) 2023-04-18

Family

ID=70310699

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911078243.6A Active CN111082926B (zh) 2019-11-06 2019-11-06 密钥同步方法及系统

Country Status (1)

Country Link
CN (1) CN111082926B (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114598484B (zh) * 2020-12-01 2024-03-19 中移(苏州)软件技术有限公司 一种证书更新方法、装置、集群及存储介质
CN113452519B (zh) * 2021-06-25 2022-07-19 深圳市电子商务安全证书管理有限公司 密钥同步方法、装置、计算机设备及存储介质
CN113572611B (zh) * 2021-09-27 2022-01-11 渔翁信息技术股份有限公司 密钥处理方法、装置及电子装置
CN114614985B (zh) * 2022-05-12 2022-08-05 施维智能计量系统服务(长沙)有限公司 通信秘钥更新方法、秘钥服务器及可读存储介质
CN115277709A (zh) * 2022-07-29 2022-11-01 河北素数信息安全有限公司 一种服务器密码机的负载均衡方法
CN116633544B (zh) * 2023-07-21 2023-10-10 杭州海康威视数字技术股份有限公司 硬件密码模组内多核密钥分级存储与同步方法及装置
CN117077123A (zh) * 2023-08-18 2023-11-17 长春吉大正元信息技术股份有限公司 一种多密码卡的业务处理方法、装置及电子设备

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7054955B2 (en) * 2001-06-27 2006-05-30 Microsoft Corporation System and method for recovering from a failed synchronization session
US10263778B1 (en) * 2016-12-14 2019-04-16 Amazon Technologies, Inc. Synchronizable hardware security module
CN110321695B (zh) * 2019-07-11 2021-07-20 成都卫士通信息产业股份有限公司 大数据系统密码服务方法、装置
CN110365480A (zh) * 2019-07-19 2019-10-22 中安云科科技发展(山东)有限公司 一种多芯片密钥同步方法、系统及密码设备

Also Published As

Publication number Publication date
CN111082926A (zh) 2020-04-28

Similar Documents

Publication Publication Date Title
CN111082926B (zh) 密钥同步方法及系统
CN108632284B (zh) 基于区块链的用户数据授权方法、介质、装置和计算设备
US11025415B2 (en) Cryptographic operation method, method for creating working key, cryptographic service platform, and cryptographic service device
CA3021094C (en) Using hardware based secure isolated region to prevent piracy and cheating on electronic devices
CN111884986B (zh) 一种数据加密处理方法、装置及存储介质
CA3176858A1 (en) Data processing method and system
US20130243197A1 (en) Managing encryption keys in a computer system
CN103279694B (zh) 一种文件系统的加载、保护方法及装置
US11516194B2 (en) Apparatus and method for in-vehicle network communication
CN112596740A (zh) 一种程序部署方法及装置
CN111753320A (zh) 基于拦截器的数据加密方法、装置及计算机设备
CN106992859B (zh) 一种堡垒机私钥管理方法及装置
US20230379158A1 (en) Snapshot transfer for cloud-based storage across accounts
CN111628863B (zh) 一种数据签名的方法、装置、电子设备及存储介质
CN111988262B (zh) 认证方法、装置及服务器、存储介质
CN109299116B (zh) 一种数据同步方法、装置、设备及可读存储介质
CN102270285A (zh) 密钥授权信息管理方法及装置
CN109710609A (zh) 生成数据表标识的方法及装置
CN116800535A (zh) 多台服务器之间相互免密方法及装置
CN107276967B (zh) 一种分布式系统及其登录验证方法
US9058503B2 (en) Systems and methods for secure storage on a mobile device
CN112416526B (zh) 一种直接存储访问方法、装置及相关设备
EP3992827A1 (en) Management of access to data in a distributed database
JP6309432B2 (ja) 秘密計算システム及び方法並びに管理サーバ及びプログラム
CN109241180B (zh) 一种基于日志的数据同步的方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant