CN112822021A - 一种密钥管理方法和相关装置 - Google Patents

一种密钥管理方法和相关装置 Download PDF

Info

Publication number
CN112822021A
CN112822021A CN202011624056.6A CN202011624056A CN112822021A CN 112822021 A CN112822021 A CN 112822021A CN 202011624056 A CN202011624056 A CN 202011624056A CN 112822021 A CN112822021 A CN 112822021A
Authority
CN
China
Prior art keywords
key
encryption
target subsystem
management center
authentication information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202011624056.6A
Other languages
English (en)
Other versions
CN112822021B (zh
Inventor
李晓蒙
姜涛
郑可馨
赵建峰
高一楷
霍宇彤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Agricultural Bank of China
Original Assignee
Agricultural Bank of China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Agricultural Bank of China filed Critical Agricultural Bank of China
Priority to CN202011624056.6A priority Critical patent/CN112822021B/zh
Publication of CN112822021A publication Critical patent/CN112822021A/zh
Application granted granted Critical
Publication of CN112822021B publication Critical patent/CN112822021B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本申请实施例提供了一种密钥管理方法和相关装置，目标子系统使用分布式加解密组件生成身份验证信息，并向密钥管理中心发送身份验证信息，若密钥管理中心根据身份验证信息确定目标子系统的身份有效，密钥管理中心对目标子系统对应的密钥进行加密生成加密密钥，并将加密密钥发送给目标子系统，继而，目标子系统使用分布式加解密组件获取密钥对应的密钥索引。由于密钥索引是对加密密钥进行解密得到的密钥的标识信息，并非密钥本身，因此目标子系统使用分布式加解密组件基于密钥索引进行加解密，避免了目标子系统与密钥的直接接触，实现了技术隔离，避免了密钥被打印或存储等操作不当造成信息泄露的问题，确保了密钥的安全，提高了系统信息的安全性。

Description

一种密钥管理方法和相关装置
技术领域
本申请涉及信息安全技术领域，尤其涉及一种密钥管理方法和相关装置。
背景技术
在大型信息系统中，为确保信息安全，各子系统间应以密文形式传递敏感信息，子系统自身应以密文形式存放系统配置信息。现代加密算法是依据密钥对信息进行保密的，这要求应用系统应该具备妥善保存密钥的能力。
但是，系统中的各种不当操作，例如，将密钥明文存放于数据库或者配置文件，将密钥明文打印在日志中，不安全的密钥传输都可能造成密钥泄露，为信息系统带来安全隐患。
硬件加密机是安全领域的重要电子设备，该设备可以将需要保护的密钥使用顶层密钥(机密机主密钥)加密保存并进行各类加解密运算。但考虑到维护运营成本，系统单独配备硬件加密机难度大。
发明内容
为了解决现有技术存在的上述技术问题，本申请提供了一种密钥管理方法和相关装置，提高了密钥的安全性。
一方面，本申请实施例提供了一种密钥管理方法，所述方法包括：
目标子系统使用分布式加解密组件生成身份验证信息；
所述目标子系统向密钥管理中心发送所述身份验证信息；
若所述密钥管理中心根据所述身份验证信息确定所述目标子系统的身份有效，所述目标子系统获取所述密钥管理中心发送的加密密钥；所述加密密钥是所述密钥管理中心对所述目标子系统对应的密钥进行加密得到的；
所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引；
所述目标子系统使用所述分布式加解密组件基于所述密钥索引进行加解密。
在一种可能的实现方式中，所述身份验证信息包括加密密钥令牌、加密对称密钥和密钥编号。
在一种可能的实现方式中，所述加密密钥令牌是所述分布式加解密组件利用对称密钥对所述目标子系统对应的密钥令牌进行加密得到的；
所述加密对称密钥是所述分布式加解密组件利用所述目标子系统对应的公钥对所述对称密钥进行加密得到的；
所述密钥编号是所述密钥管理中心为所述密钥生成的密钥编号。
在一种可能的实现方式中，所述对称密钥是所述分布式加解密组件随机生成的。
在一种可能的实现方式中，所述方法还包括：
所述密钥管理中心利用私钥对所述加密对称密钥进行解密，得到所述对称密钥；所述私钥对应于所述公钥；
所述密钥管理中心利用所述对称密钥对所述加密密钥令牌进行解密，得到所述密钥令牌；
所述密钥管理中心根据所述密钥令牌，确定所述目标子系统的身份是否有效；
若是，所述密钥管理中心利用所述对称密钥对所述密钥令牌对应的密钥进行加密，得到所述加密密钥；
所述密钥管理中心将所述加密密钥发送给所述目标子系统。
另一方面，本申请实施例提供了一种密钥管理方法，所述方法包括：
分布式加解密组件生成目标子系统对应的身份验证信息，以便所述目标子系统通过所述身份验证信息，获取密钥管理中心发送的加密密钥；所述加密密钥是所述密钥管理中心根据所述身份验证信息确定所述目标子系统的身份有效时，对所述目标子系统对应的密钥进行加密得到的；
所述分布式加解密组件对所述加密密钥进行解密，生成用于标识所述密钥的密钥索引；
所述分布式加解密基于所述密钥索引为所述目标子系统进行加解密。
另一方面，本申请实施例提供了一种密钥管理方法，所述方法包括：
密钥管理中心获取目标子系统发送的身份验证信息；所述身份验证信息是所述目标子系统使用分布式加解密组件生成的；
若根据所述身份验证信息确定所述目标子系统的身份有效，所述密钥管理中心对所述目标子系统对应的密钥进行加密得到加密密钥；
所述密钥管理中心向所述目标子系统发送所述加密密钥，以便所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引。
另一方面，本申请实施例提供了一种密钥管理系统，所述系统包括分布式加解密组件、目标子系统和密钥管理中心：
所述分布式加解密组件，用于生成所述目标子系统对应的身份验证信息；
所述目标子系统，用于向所述密钥管理中心发送所述身份验证信息；
所述密钥管理中心，用于获取所述目标子系统发送的所述身份验证信息；若根据所述身份验证信息确定所述目标子系统的身份有效，对所述目标子系统对应的密钥进行加密得到加密密钥；向所述目标子系统发送所述加密密钥；
所述目标子系统，还用于获取所述密钥管理中心发送的所述加密密钥；
所述分布式加解密组件，还用于对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引；
所述分布式加解密组件，还用于基于所述密钥索引为所述目标子系统进行加解密。
另一方面，本申请实施例提供了一种计算机设备，所述计算机设备包括存储器以及处理器：
所述存储器，用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器，用于根据所述程序代码中的指令执行上述方面所述的方法。
另一方面，本申请实施例提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行上述方面所述的方法。
由上述技术方案可以看出，目标子系统使用分布式加解密组件生成身份验证信息，并向密钥管理中心发送该身份验证信息，若密钥管理中心根据该身份验证信息确定目标子系统的身份是有效的，说明目标子系统是可信的，因此，目标子系统可以获取密钥管理中心发送的加密密钥。由于加密密钥是密钥管理中心对目标子系统对应的密钥进行加密得到的，因此，在密钥管理中心与子系统之间以加密密钥的形式进行传输，降低了由于密钥在传输过程中泄露导致系统信息存在风险的可能性。继而，目标子系统根据加密密钥获取密钥对应的密钥索引，如此目标子系统就可以使用分布式加解密组件基于密钥索引进行加解密。由于密钥索引是对加密密钥进行解密得到的密钥的标识信息，并非密钥本身，因此，目标子系统使用密钥索引进行加解密的过程中，避免了目标子系统与密钥的直接接触，实现了技术隔离，避免了密钥被打印或存储等操作不当造成信息泄露的问题，确保了密钥的安全，从而提高了系统信息的安全性。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本申请实施例提供的一种密钥管理方法的流程示意图；
图2为本申请实施例提供的另一种密钥管理方法的流程示意图；
图3为本申请实施例提供的另一种密钥管理方法的流程示意图；
图4为本申请实施例提供的另一种密钥管理方法的流程示意图；
图5为本申请实施例提供的另一种密钥管理系统的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
相关技术中，可以采用密钥托管的方法，即在可信的环境中创建可信的密钥托管程序，密钥存放于密钥托管程序对应的存储器中。密钥托管程序接受密钥使用程序发送的用于获取密钥的请求，并判断密钥使用程序是否为可信执行环境中的可信应用程序。若密钥使用程序为可信执行环境中的可信应用程序，密钥托管程序将密钥发送给密钥使用程序。密钥托管程序记录密钥的密钥使用程序的身份标识信息，以使得第三方能够获取记录的身份标识信息，并使得第三方能够基于该身份标识信息获取密钥使用程序的代码。
由于上述技术中密钥以明文形式存在，若操作不当，如：密钥打印与日志，以明文形式存储等，会导致信息泄露。鉴于此，本申请实施例提供了一种密钥管理方法和相关装置，严格限制密钥使用方的权限，通过技术隔离，使得子系统仅能通过密钥索引进行加解密操作，而无法直接获取密钥的明文信息，做到了密钥明文仅存在与系统内存中无法“落地”，这在很大程度上保护了密钥的安全，从而确保了待传递敏感信息的安全。
本申请实施例提供的密钥管理方法可以应用于数据处理能力的密钥管理设备，例如终端设备或服务器，该方法可以通过终端设备独立执行，也可以通过服务器独立执行，也可以应用于终端设备和服务器通信的网络场景，通过终端设备和服务器配合执行。其中，终端设备可以为手机、台式计算机、便携式计算机等；服务器可以理解为是应用服务器，也可以为Web服务器，在实际部署时，该服务器可以为独立服务器，也可以为集群服务器。下面以服务器作为密钥管理设备，对本申请实施例进行介绍。
参见图1，图1为本申请实施例提供的一种密钥管理方法的流程示意图。如图1所示，该密钥管理方法包括以下步骤：
S101：目标子系统使用分布式加解密组件生成身份验证信息。
由于硬件加密机的成本较高，因此，为每个子系统单独配备硬件加密机成本很高，且难度较大。鉴于此，本申请实施例通过建立密钥管理中心，实现对子系统的密钥进行管理和分发。
在本实施例中的密钥管理中心中，存储有子系统的密钥，并且密钥管理中心为有需求的子系统分配密钥编号、密钥令牌和公钥。其中，密钥编号是密钥管理中心为子系统的密钥生成的密钥编号。
例如，对于具有密钥获取请求的目标子系统，密钥管理中心为目标子系统分配对应的密钥编号、密钥令牌和公钥信息。
在本申请实施例中，为了确保密钥的安全，在系统中配置有分布式加解密组件，用于对子系统的密钥进行管理和分发。其中，分布式加解密组件可以是配置在子系统中的软件开发工具包(Software Development Kit,SDK)，可以根据实际场景和应用需求进行设定，在此不作任何限定。
故此，目标子系统在请求密钥进行加解密的过程中，通过调用分布式加解密组件生成身份验证信息，以便根据该身份验证信息向密钥管理中心请求密钥进行加解密。
在实际应用中，分布式加解密组件可以随机生成对称密钥Key，然后，利用对称密钥Key对目标子系统的密钥令牌进行加密，得到加密密钥令牌CipherToken，并返回给目标子系统。然后，利用公钥对对称密钥Key进行加密，得到加密对称密钥CipherKey，并返回给目标子系统。
S102：所述目标子系统向密钥管理中心发送所述身份验证信息。
基于上述S101，目标子系统使用分布式加解密组件生成身份验证信息后，向密钥管理中心发送该身份验证信息。
具体的，目标子系统将加密密钥令牌CipherToken、加密对称密钥CipherKey和密钥编号作为身份验证信息，发送给密钥管理中心进行身份验证，请求获取密钥进行加解密。
S103：若所述密钥管理中心根据所述身份验证信息确定目标子系统的身份有效，所述目标子系统获取所述密钥管理中心发送的加密密钥。
密钥管理中心接收到目标子系统发送的身份验证信息后，根据身份验证信息验证目标子系统的身份是不是有效的。若确定目标子系统的身份有效，表明目标子系统是可信的，可以将与目标子系统对应的密钥发送给目标子系统。若确定目标子系统的身份无效，表明目标子系统是不可信的，无法将与目标子系统对应的密钥发送给目标子系统。
由于密钥在传输过程中，存在泄漏的可能，故此，为了提高密钥的安全，在本实施例中，管理密钥中心先将与目标子系统对应的密钥进行加密处理，得到加密密钥，然后，再将该加密密钥发送给目标子系统。
基于上述S101可知，若密钥管理中心接收到目标子系统发送的加密密钥令牌CipherToken、加密对称密钥CipherKey和密钥编号，则密钥管理中心先用私钥对加密对称密钥CipherKey进行解密，得到对称密钥Key。其中，私钥是与分布式加解密组件使用的公钥对应的。然后，利用对称密钥Key对加密密钥令牌CipherToken进行解密，得到密钥令牌Token。密钥管理中心根据密钥令牌Token确定目标子系统的身份是否有效，从而确定目标子系统是否可信。
若确定目标子系统的身份有效，密钥管理中心获取与密钥编号对应的密钥，即与目标子系统对应的密钥。然后，密钥管理中心利用对称密钥Key对与目标子系统对应的密钥进行加密，得到加密密钥，并返回给子系统的分布式加解密组件。
由于加密密钥是密钥管理中心对目标子系统对应的密钥进行加密得到的，因此，在密钥管理中心与子系统之间以加密密钥的形式进行传输，降低了由于密钥在传输过程中泄露导致系统信息存在风险的可能性。
S104：所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引。
在子系统中使用明文密钥进行加解密，可能存在密钥被打印在日志中或存储在本地等情况，由此导致密钥泄露造成系统信息安全受到威胁。为此，本申请实施例提供了一种可能的实现方式，即目标子系统利用密钥索引进行加解密，而不是直接使用密钥本身进行加解密，由此避免子系统与密钥的直接接触，实现了技术隔离。
具体的，目标子系统接收到密钥管理中心发送的加密密钥后，对加密密钥进行解密，得到解密后的密钥，并为解密后的密钥生成密钥索引。该密钥索引与密钥对应，并非密钥本身。
基于上述S102可知，加密密钥可以是密钥管理中心利用对称密钥Key对密钥进行加密得到的。故此，在实际应用中，目标子系统中的分布式加解密组件接收密钥管理中心发送的加密密钥，然后，利用对称密钥Key对加密密钥进行解密，并根据解密后得到的密钥生成密钥索引，返回给目标子系统。
S105：所述目标子系统使用所述分布式加解密组件基于所述密钥索引进行加解密。
目标子系统获取到分布式加解密组件反馈的密钥索引后，可以基于该密钥索引，通过调用分布式加解密组件中的算法进行加解密。
上述实施例提供的密钥管理方法，目标子系统使用分布式加解密组件生成身份验证信息，并向密钥管理中心发送该身份验证信息，若密钥管理中心根据该身份验证信息确定目标子系统的身份是有效的，说明目标子系统是可信的，因此，目标子系统可以获取密钥管理中心发送的加密密钥。由于加密密钥是密钥管理中心对目标子系统对应的密钥进行加密得到的，因此，在密钥管理中心与子系统之间以加密密钥的形式进行传输，降低了由于密钥在传输过程中泄露导致系统信息存在风险的可能性。继而，目标子系统根据加密密钥获取密钥对应的密钥索引，如此目标子系统就可以使用分布式加解密组件基于密钥索引进行加解密。由于密钥索引是对加密密钥进行解密得到的密钥的标识信息，并非密钥本身，因此，目标子系统使用密钥索引进行加解密的过程中，避免了目标子系统与密钥的直接接触，实现了技术隔离，避免了密钥被打印或存储等操作不当造成信息泄露的问题，确保了密钥的安全，从而提高了系统信息的安全性。
为了更好地理解，下面结合图2对本申请实施例提供的密钥管理方法进行介绍。如图2所示，该密钥管理方法包括以下步骤：
S201：分布式加解密组件随机生成对称密钥Key。
S202：分布式加解密组件利用对称密钥Key对密钥令牌进行加密，得到加密密钥令牌CipherToken，并返回给目标子系统。
S203：分布式加解密组件利用公钥对对称密钥Key进行加密，得到加密对称密钥CipherKey，并返回给目标子系统。
S204：目标子系统将加密密钥令牌CipherToken、加密对称密钥CipherKey和密钥编号发送给密钥管理中心。
S205：密钥管理中心利用私钥对加密对称密钥CipherKey进行解密，得到对称密钥Key。
S206：密钥管理中心利用对称密钥对加密密钥令牌CipherToken进行解密，得到密钥令牌Token。
S207：密钥管理中心根据密钥令牌Token确定目标子系统身份有效，根据密钥编号获取与目标子系统对应的密钥。
S208：密钥管理中心利用对称密钥Key对密钥进行加密，得到加密密钥，并发送给分布式加解密组件。
S209：分布式加解密组件利用对称密钥Key对加密密钥进行解密，得到密钥，并根据密钥生成对应的密钥索引，并返回给目标子系统，以便目标子系统基于该密钥索引，通过调用分布式加解密组件进行加解密。
上述综合考量了系统安全和经济因素，建立密钥管理中心实现密钥的管理和分发，降低了密钥管理成本。密钥管理中心将密钥编号、密钥令牌、公钥与子系统进行绑定，实现了对密钥使用方的身份验证和密钥的加密传输，无需密钥使用方管理密钥，也无需维护运营硬件加密机，降低了密钥管理和分发成本。此外，密钥使用方使用密钥索引进行加解密，无法直接获取密钥，即仅能使密钥加载于系统内存，无法将密钥进行存储或打印，实现了轻量级的密钥安全分发和分布式加密，提高了安全性。
针对上述实施例提供的密钥管理方法，本申请实施例还提供另一种密钥管理方法。
参见图3，图3为本申请实施例提供另一种密钥管理方法的流程示意图。如图3所示，该密钥管理方法包括以下步骤：
S301：分布式加解密组件生成目标子系统对应的身份验证信息，以便所述目标子系统通过所述身份验证信息，获取密钥管理中心发送的加密密钥；所述加密密钥是所述密钥管理中心根据所述身份验证信息确定所述目标子系统的身份有效时，对所述目标子系统对应的密钥进行加密得到的。
S302：所述分布式加解密组件对所述加密密钥进行解密，生成用于标识所述密钥的密钥索引。
S303：所述分布式加解密基于所述密钥索引为所述目标子系统进行加解密。
在一种可能的实现方式中，所述身份验证信息包括加密密钥令牌、加密对称密钥和密钥编号。
在一种可能的实现方式中，所述加密密钥令牌是所述分布式加解密组件利用对称密钥对所述目标子系统对应的密钥令牌进行加密得到的；
所述加密对称密钥是所述分布式加解密组件利用所述目标子系统对应的公钥对所述对称密钥进行加密得到的；
所述密钥编号是所述密钥管理中心为所述密钥生成的密钥编号。
在一种可能的实现方式中，所述对称密钥是所述分布式加解密组件随机生成的。
在一种可能的实现方式中，所述方法还包括：
所述密钥管理中心利用私钥对所述加密对称密钥进行解密，得到所述对称密钥；所述私钥对应于所述公钥；
所述密钥管理中心利用所述对称密钥对所述加密密钥令牌进行解密，得到所述密钥令牌；
所述密钥管理中心根据所述密钥令牌，确定所述目标子系统的身份是否有效；
若是，所述密钥管理中心利用所述对称密钥对所述密钥令牌对应的密钥进行加密，得到所述加密密钥；
所述密钥管理中心将所述加密密钥发送给所述目标子系统。
参见图4，图4为本申请实施例提供的另一种密钥管理方法的流程示意图。如图4所示，该密钥管理方法包括以下步骤：
S401：密钥管理中心获取目标子系统发送的身份验证信息所述；所述身份验证信息是所述目标子系统使用分布式加解密组件生成的。
S402：若根据所述身份验证信息确定所述目标子系统的身份有效，所述密钥管理中心对所述目标子系统对应的密钥进行加密得到加密密钥。
S403：所述密钥管理中心向所述目标子系统发送所述加密密钥，以便所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引。
在一种可能的实现方式中，所述身份验证信息包括加密密钥令牌、加密对称密钥和密钥编号。
在一种可能的实现方式中，所述加密密钥令牌是所述分布式加解密组件利用对称密钥对所述目标子系统对应的密钥令牌进行加密得到的；
所述加密对称密钥是所述分布式加解密组件利用所述目标子系统对应的公钥对所述对称密钥进行加密得到的；
所述密钥编号是所述密钥管理中心为所述密钥生成的密钥编号。
在一种可能的实现方式中，所述对称密钥是所述分布式加解密组件随机生成的。
在一种可能的实现方式中，所述方法还包括：
所述密钥管理中心利用私钥对所述加密对称密钥进行解密，得到所述对称密钥；所述私钥对应于所述公钥；
所述密钥管理中心利用所述对称密钥对所述加密密钥令牌进行解密，得到所述密钥令牌；
所述密钥管理中心根据所述密钥令牌，确定所述目标子系统的身份是否有效；
若是，所述密钥管理中心利用所述对称密钥对所述密钥令牌对应的密钥进行加密，得到所述加密密钥；
所述密钥管理中心将所述加密密钥发送给所述目标子系统。
上述实施例提供的密钥管理方法，目标子系统使用分布式加解密组件生成身份验证信息，并向密钥管理中心发送该身份验证信息，若密钥管理中心根据该身份验证信息确定目标子系统的身份是有效的，说明目标子系统是可信的，因此，目标子系统可以获取密钥管理中心发送的加密密钥。由于加密密钥是密钥管理中心对目标子系统对应的密钥进行加密得到的，因此，在密钥管理中心与子系统之间以加密密钥的形式进行传输，降低了由于密钥在传输过程中泄露导致系统信息存在风险的可能性。继而，目标子系统根据加密密钥获取密钥对应的密钥索引，如此目标子系统就可以使用分布式加解密组件基于密钥索引进行加解密。由于密钥索引是对加密密钥进行解密得到的密钥的标识信息，并非密钥本身，因此，目标子系统使用密钥索引进行加解密的过程中，避免了目标子系统与密钥的直接接触，实现了技术隔离，避免了密钥被打印或存储等操作不当造成信息泄露的问题，确保了密钥的安全，从而提高了系统信息的安全性。
针对上述实施例提供的密钥管理方法，本申请实施例还提供了一种密钥管理系统。
参见图5，图5为本申请实施例提供的一种密钥管理系统的结构示意图。如图5所示，该密钥管理系统500包括分布式加解密组件501、目标子系统502和密钥管理中心503：
所述分布式加解密组件501，用于生成所述目标子系统602对应的身份验证信息；
所述目标子系统502，用于向所述密钥管理中心603发送所述身份验证信息；
所述密钥管理中心503，用于获取所述目标子系统502发送的所述身份验证信息；若根据所述身份验证信息确定所述目标子系统502的身份有效，对所述目标子系统502对应的密钥进行加密得到加密密钥；向所述目标子系统发送所述加密密钥；
所述目标子系统502，还用于获取所述密钥管理中心503发送的所述加密密钥；
所述分布式加解密组件501，还用于对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引；
所述分布式加解密组件501，还用于基于所述密钥索引为所述目标子系统502进行加解密。
在一种可能的实现方式中，所述身份验证信息包括加密密钥令牌、加密对称密钥和密钥编号。
在一种可能的实现方式中，所述分布式加解密组件501，还用于：
利用对称密钥对所述目标子系统对应的密钥令牌进行加密得到所述加密密钥令牌；
利用所述目标子系统502对应的公钥对所述对称密钥进行加密得到所述加密对称密钥；
所述密钥管理中心503，还用于为所述密钥生成的所述密钥编号。
在一种可能的实现方式中，所述分布式加解密组件501，用于随机生成所述对称密钥。
在一种可能的实现方式中，所述密钥管理中心503，还用于：
利用私钥对所述加密对称密钥进行解密，得到所述对称密钥；所述私钥对应于所述公钥；
利用所述对称密钥对所述加密密钥令牌进行解密，得到所述密钥令牌；
根据所述密钥令牌，确定所述目标子系统的身份是否有效；
若是，利用所述对称密钥对所述密钥令牌对应的密钥进行加密，得到所述加密密钥；
将所述加密密钥发送给所述目标子系统。
上述实施例提供的密钥管理系统，目标子系统使用分布式加解密组件生成身份验证信息，并向密钥管理中心发送该身份验证信息，若密钥管理中心根据该身份验证信息确定目标子系统的身份是有效的，说明目标子系统是可信的，因此，目标子系统可以获取密钥管理中心发送的加密密钥。由于加密密钥是密钥管理中心对目标子系统对应的密钥进行加密得到的，因此，在密钥管理中心与子系统之间以加密密钥的形式进行传输，降低了由于密钥在传输过程中泄露导致系统信息存在风险的可能性。继而，目标子系统根据加密密钥获取密钥对应的密钥索引，如此目标子系统就可以使用分布式加解密组件基于密钥索引进行加解密。由于密钥索引是对加密密钥进行解密得到的密钥的标识信息，并非密钥本身，因此，目标子系统使用密钥索引进行加解密的过程中，避免了目标子系统与密钥的直接接触，实现了技术隔离，避免了密钥被打印或存储等操作不当造成信息泄露的问题，确保了密钥的安全，从而提高了系统信息的安全性。
本申请实施例还提供了一种计算机设备，所述计算机设备包括存储器以及处理器：
所述存储器，用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器，用于根据所述程序代码中的指令执行上述实施例所述的密钥管理方法。
本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行上述实施例所述的密钥管理方法。
本领域普通技术人员可以理解，实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质可以是下述介质中的至少一种：只读存储器(英文：read-only memory，缩写：ROM)、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述，仅为本申请的一种具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种密钥管理方法，其特征在于，所述方法包括：
目标子系统使用分布式加解密组件生成身份验证信息；
所述目标子系统向密钥管理中心发送所述身份验证信息；
若所述密钥管理中心根据所述身份验证信息确定所述目标子系统的身份有效，所述目标子系统获取所述密钥管理中心发送的加密密钥；所述加密密钥是所述密钥管理中心对所述目标子系统对应的密钥进行加密得到的；
所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引；
所述目标子系统使用所述分布式加解密组件基于所述密钥索引进行加解密。
2.根据权利要求1所述的方法，其特征在于，所述身份验证信息包括加密密钥令牌、加密对称密钥和密钥编号。
3.根据权利要求2所述的方法，其特征在于，所述加密密钥令牌是所述分布式加解密组件利用对称密钥对所述目标子系统对应的密钥令牌进行加密得到的；
所述加密对称密钥是所述分布式加解密组件利用所述目标子系统对应的公钥对所述对称密钥进行加密得到的；
所述密钥编号是所述密钥管理中心为所述密钥生成的密钥编号。
4.根据权利要求3所述的方法，其特征在于，所述对称密钥是所述分布式加解密组件随机生成的。
5.根据权利要求3所述的方法，其特征在于，所述方法还包括：
所述密钥管理中心利用私钥对所述加密对称密钥进行解密，得到所述对称密钥；所述私钥对应于所述公钥；
所述密钥管理中心利用所述对称密钥对所述加密密钥令牌进行解密，得到所述密钥令牌；
所述密钥管理中心根据所述密钥令牌，确定所述目标子系统的身份是否有效；
若是，所述密钥管理中心利用所述对称密钥对所述密钥令牌对应的密钥进行加密，得到所述加密密钥；
所述密钥管理中心将所述加密密钥发送给所述目标子系统。
6.一种密钥管理方法、其特征在于，所述方法包括：
分布式加解密组件生成目标子系统对应的身份验证信息，以便所述目标子系统通过所述身份验证信息，获取密钥管理中心发送的加密密钥；所述加密密钥是所述密钥管理中心根据所述身份验证信息确定所述目标子系统的身份有效时，对所述目标子系统对应的密钥进行加密得到的；
所述分布式加解密组件对所述加密密钥进行解密，生成用于标识所述密钥的密钥索引；
所述分布式加解密基于所述密钥索引为所述目标子系统进行加解密。
7.一种密钥管理方法，其特征在于，所述方法包括：
密钥管理中心获取目标子系统发送的身份验证信息；所述身份验证信息是所述目标子系统使用分布式加解密组件生成的；
若根据所述身份验证信息确定所述目标子系统的身份有效，所述密钥管理中心对所述目标子系统对应的密钥进行加密得到加密密钥；
所述密钥管理中心向所述目标子系统发送所述加密密钥，以便所述目标子系统使用所述分布式加解密组件对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引。
8.一种密钥管理系统，其特征在于，所述系统包括分布式加解密组件、目标子系统和密钥管理中心：
所述分布式加解密组件，用于生成所述目标子系统对应的身份验证信息；
所述目标子系统，用于向所述密钥管理中心发送所述身份验证信息；
所述密钥管理中心，用于获取所述目标子系统发送的所述身份验证信息；若根据所述身份验证信息确定所述目标子系统的身份有效，对所述目标子系统对应的密钥进行加密得到加密密钥；向所述目标子系统发送所述加密密钥；
所述目标子系统，还用于获取所述密钥管理中心发送的所述加密密钥；
所述分布式加解密组件，还用于对所述加密密钥进行解密，获取用于标识所述密钥的密钥索引；
所述分布式加解密组件，还用于基于所述密钥索引为所述目标子系统进行加解密。
9.一种计算机设备，其特征在于，所述计算机设备包括存储器以及处理器：
所述存储器，用于存储程序代码，并将所述程序代码传输给所述处理器；
所述处理器，用于根据所述程序代码中的指令执行权利要求1-5任意一项、权利要求6或权利要求7所述的方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行权利要求1-5任意一项、权利要求6或权利要求7所述的方法。
CN202011624056.6A 2020-12-30 2020-12-30 一种密钥管理方法和相关装置 Active CN112822021B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011624056.6A CN112822021B (zh) 2020-12-30 2020-12-30 一种密钥管理方法和相关装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011624056.6A CN112822021B (zh) 2020-12-30 2020-12-30 一种密钥管理方法和相关装置

Publications (2)

Publication Number Publication Date
CN112822021A true CN112822021A (zh) 2021-05-18
CN112822021B CN112822021B (zh) 2022-10-21

Family

ID=75854733

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011624056.6A Active CN112822021B (zh) 2020-12-30 2020-12-30 一种密钥管理方法和相关装置

Country Status (1)

Country Link
CN (1) CN112822021B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114358773A (zh) * 2021-12-29 2022-04-15 中国农业银行股份有限公司 数据加解密方法、装置、设备和介质
CN116150740A (zh) * 2023-04-17 2023-05-23 杭州鸿钧微电子科技有限公司 资源隔离方法、装置、芯片系统及电子设备

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6738907B1 (en) * 1998-01-20 2004-05-18 Novell, Inc. Maintaining a soft-token private key store in a distributed environment
US20100306554A1 (en) * 2009-05-26 2010-12-02 Microsoft Corporation Distributed key encryption in servers
US20130191632A1 (en) * 2012-01-25 2013-07-25 Certivox, Ltd. System and method for securing private keys issued from distributed private key generator (d-pkg) nodes
CN107809311A (zh) * 2017-09-30 2018-03-16 飞天诚信科技股份有限公司 一种基于标识的非对称密钥签发的方法及系统
CN109728901A (zh) * 2017-10-31 2019-05-07 中国电信股份有限公司 数字签名认证方法、装置和系统
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
CN111034120A (zh) * 2019-03-29 2020-04-17 阿里巴巴集团控股有限公司 基于身份信息的加密密钥管理
CN111143870A (zh) * 2019-12-30 2020-05-12 兴唐通信科技有限公司 一种分布式加密存储装置、系统及加解密方法
US20200259637A1 (en) * 2019-02-07 2020-08-13 Tomes GmbH Management and distribution of keys in distributed environments
CN111600948A (zh) * 2020-05-14 2020-08-28 北京安御道合科技有限公司 基于标识密码的云平台应用和数据安全处理方法、系统、存储介质、程序

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6738907B1 (en) * 1998-01-20 2004-05-18 Novell, Inc. Maintaining a soft-token private key store in a distributed environment
US20100306554A1 (en) * 2009-05-26 2010-12-02 Microsoft Corporation Distributed key encryption in servers
US20130191632A1 (en) * 2012-01-25 2013-07-25 Certivox, Ltd. System and method for securing private keys issued from distributed private key generator (d-pkg) nodes
CN107809311A (zh) * 2017-09-30 2018-03-16 飞天诚信科技股份有限公司 一种基于标识的非对称密钥签发的方法及系统
CN109728901A (zh) * 2017-10-31 2019-05-07 中国电信股份有限公司 数字签名认证方法、装置和系统
US20200259637A1 (en) * 2019-02-07 2020-08-13 Tomes GmbH Management and distribution of keys in distributed environments
CN109921902A (zh) * 2019-03-22 2019-06-21 阿里巴巴集团控股有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
CN111034120A (zh) * 2019-03-29 2020-04-17 阿里巴巴集团控股有限公司 基于身份信息的加密密钥管理
US20200366472A1 (en) * 2019-03-29 2020-11-19 Alibaba Group Holding Limited Cryptographic key management based on identity information
CN111143870A (zh) * 2019-12-30 2020-05-12 兴唐通信科技有限公司 一种分布式加密存储装置、系统及加解密方法
CN111600948A (zh) * 2020-05-14 2020-08-28 北京安御道合科技有限公司 基于标识密码的云平台应用和数据安全处理方法、系统、存储介质、程序

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
刘牧洲等: "基于标识密钥技术的证书集成管理平台", 《通信学报》 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114358773A (zh) * 2021-12-29 2022-04-15 中国农业银行股份有限公司 数据加解密方法、装置、设备和介质
CN116150740A (zh) * 2023-04-17 2023-05-23 杭州鸿钧微电子科技有限公司 资源隔离方法、装置、芯片系统及电子设备
CN116150740B (zh) * 2023-04-17 2023-12-12 杭州鸿钧微电子科技有限公司 资源隔离方法、装置、芯片系统及电子设备

Also Published As

Publication number Publication date
CN112822021B (zh) 2022-10-21

Similar Documents

Publication Publication Date Title
CN107040369B (zh) 数据传输方法、装置及系统
US8396218B2 (en) Cryptographic module distribution system, apparatus, and program
US11063754B2 (en) Systems, devices, and methods for hybrid secret sharing
CN101872399B (zh) 基于双重身份认证的动态数字版权保护方法
CN111654367B (zh) 密码运算、创建工作密钥的方法、密码服务平台及设备
US20170244687A1 (en) Techniques for confidential delivery of random data over a network
CN101094062B (zh) 利用存储卡实现数字内容安全分发和使用的方法
CN110505055B (zh) 基于非对称密钥池对和密钥卡的外网接入身份认证方法和系统
CN108199847B (zh) 数字安全处理方法、计算机设备及存储介质
CN101515319A (zh) 密钥处理方法、密钥密码学服务系统和密钥协商方法
CN112822021B (zh) 一种密钥管理方法和相关装置
JP5452192B2 (ja) アクセス制御システム、アクセス制御方法およびプログラム
CN109379345B (zh) 敏感信息传输方法及系统
CN110176989B (zh) 基于非对称密钥池的量子通信服务站身份认证方法和系统
CN115348023A (zh) 一种数据安全处理方法和装置
KR20160100078A (ko) 금융거래 서비스를 지원하는 클라이언트 단말기 및 이를 인증하기 위한 서버, 인증 방법 및 이를 실행시키기 위하여 매체에 저장되는 어플리케이션
JP2006279269A (ja) 情報管理装置、情報管理システム、ネットワークシステム、ユーザ端末、及びこれらのプログラム
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
KR20180024389A (ko) 키 관리 장치 및 방법
CN113824713B (zh) 一种密钥生成方法、系统及存储介质
CN115801232A (zh) 一种私钥保护方法、装置、设备及存储介质
KR100681005B1 (ko) 키 로밍 방법 및 그를 위한 시스템
KR102475434B1 (ko) 암호화폐 보안 방법 및 시스템
CN109104393B (zh) 一种身份认证的方法、装置和系统
CN114760029A (zh) 一种身份鉴别方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant