CN113761551A - 密钥的生成方法、加密方法、解密方法和装置 - Google Patents

Abstract

本发明公开了一种密钥的生成方法、加密方法、解密方法和装置，涉及计算机技术领域。该密钥的生成方法的一具体实施方式包括：接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。该实施方式是一种高扩展且可配置的安全密钥轮换方法，可以在加密所述明文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

Description

密钥的生成方法、加密方法、解密方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种密钥的生成方法、加密方法、解密方法和装置。

背景技术

随着电商以及科技产业的高速发展，企业敏感信息资源的安全访问问题日益突出。然而现有密钥生成方式只能生成单一的静态密钥，在出现密钥可能泄露情况或加密数据集泄露并遭受强力解密攻击的情况下，无法对密钥进行轮换来降低密钥泄露等潜在的安全风险。

发明内容

有鉴于此，本发明实施例提供一种密钥的生成方法、加密方法、解密方法和装置，能够解决现有密钥生成方式无法对密钥进行轮换所导致的安全风险高的问题。

为实现上述目的，根据本发明实施例的一个方面，提供了一种密钥的生成方法。

本发明实施例的密钥的生成方法包括：

接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；

根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

可选地，在生成最新版本的密钥信息的步骤之后，所述方法还包括：

确定存储最新版本密钥信息的存储位置；

将所述最新版本的密钥信息存储至所述存储位置，并生成最新版本的密钥信息的密钥识别码；

更新所述最新版本的密钥信息的版本识别码。

可选地，在生成最新版本的密钥信息的步骤之后，所述方法还包括：

接收客户端发送的获取请求，所述获取请求指示了密钥识别码；

根据所述密钥识别码获取解密密钥，并将所述解密密钥发送给客户端。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

为实现上述目的，根据本发明实施例的另一个方面，提供了一种加密方法。

本发明实施例的加密方法包括：

接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型；

接收服务端返回最新版本的密钥信息；

根据最新版本的密钥信息进行加密。

可选地，根据最新版本的密钥信息进行加密包括：

根据最新版本的密钥信息确定加密密钥；

根据所述加密密钥对所述明文进行加密，以得到所述明文对应的密文；

获取初始向量，并根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

可选地，根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段包括：

按照版本识别码、强度识别码、算法类型识别码、密钥识别码、所述初始向量和所述密文的顺序，将所述密文进行封装以形成所述密文的数据片段。

为实现上述目的，根据本发明实施例的另一个方面，提供了一种解密方法。

本发明实施例的解密方法包括：

接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的；

从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；

根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥；

根据所述解密密钥对所述密文进行解密。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

可选地，所述密文的数据片段是按照版本识别码、强度识别码、算法类型识别码、密钥识别码、初始向量和密文的顺序封装得到的。

可选地，从所述密文的数据片段中拆分还原出所述密文以及密钥识别码，包括：

基于还原算法，按照字节顺序从所述密文的数据片段中拆分还原出所述密文以及密钥识别码。

为实现上述目的，根据本发明实施例的另一个方面，提供了一种密钥的生成装置。

本发明实施例的密钥的生成装置包括：

接收模块，用于接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；

生成模块，用于根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

为实现上述目的，根据本发明实施例的另一个方面，提供了一种加密装置。

本发明实施例的加密装置包括：

发送模块，用于接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型；

接收模块，用于接收服务端返回最新版本的密钥信息；

加密模块，用于根据最新版本的密钥信息进行加密。

为实现上述目的，根据本发明实施例的另一个方面，提供了一种解密装置。

本发明实施例的解密装置包括：

接收模块，用于接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的；

拆分模块，用于从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；

密钥获取模块，用于根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥；

解密模块，用于根据所述解密密钥对所述密文进行解密。

为实现上述目的，根据本发明实施例的再一个方面，提供了一种服务端。

本发明实施例的服务端包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上所述的方法。

为实现上述目的，根据本发明实施例的再一个方面，提供了一种客户端。

本发明实施例的客户端包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上所述的方法。

为实现上述目的，根据本发明实施例的再一个方面，提供了一种计算机可读介质。

本发明实施例的计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现如上所述的方法。

上述发明中的一个实施例具有如下优点或有益效果：

在本发明实施例中，在加密所述明文之前，该密钥的生成方法可以根据轮换请求中的密钥强度和算法类型生成最新版本的密钥信息。可以理解的是，该密钥的生成方法是一种高扩展且可配置的安全密钥轮换方法，可以在加密所述明文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是本发明实施例的密钥的生成方法的流程示意图；

图2是本发明第一实施例的加密方法的流程示意图；

图3是本发明第二实施例的加密方法的流程示意图；

图4是本发明实施例的数据片段的结构示意图；

图5是本发明第一实施例的解密方法的流程示意图；

图6是本发明第二实施例的解密方法的流程示意图；

图7是本发明实施例的密钥的生成装置的模块示意图；

图8是本发明实施例的加密装置的模块示意图；

图9是本发明实施例的解密装置的模块示意图；

图10是本发明实施例的业务系统的模块示意图；

图11是本发明实施例的业务系统的获取密钥信息的流程示意图；

图12是本发明实施例的业务系统的生成最新版密钥信息的流程示意图；

图13是本发明实施例可以应用于其中的示例性系统架构图；

图14是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

为了提高现有密钥生成方式的安全性，可以将多种加解密技术进行结合使用。比如：对称加密AES(Advanced Encrypt1n Standard，高级加密标准)、DES(Data Encrypt1nStandard，数据加密标准)、非对称加密(例如：RSA算法)和散列算法(例如：MD5算法等)算法已经被广泛应用于各类加密通信系统中。在对密钥进行轮换时，若按照时间对密钥进行轮换，在实际业务使用时会存在不够便捷的问题，且无法满足多种密码算法的灵活可配的使用需求。

基于以上分析，本发明实施例提供了一种密钥的生成方法，该密钥的生成方法的执行主体为服务端。图1是本发明第一实施例的密钥的生成方法的流程示意图，如图1所示，该密钥的生成方法可以包括如下的步骤S101至步骤S102。

步骤S101：接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型。

在步骤S101中，客户端接收用户(或称为业务使用方)发起任务请求，所述任务请求用于发起加密明文的任务。客户端根据所述任务请求向服务端发送轮换请求，所述轮换请求用于根据轮换请求中的密钥强度和算法类型对密钥进行轮换。且用户在发起任务请求时，可以在密钥管理平台配置密钥版本、密钥强度和算法类型。所述密钥强度的取值范围可以为128位到256位，当然并不仅限于此。所述算法类型可以为AES(Advanced Encrypt1nStandard，高级加密标准)、DES(Data Encrypt1n Standard，数据加密标准)或3DES算法等等。其中DES是一种将64比特的明文加密成64比特的密文的对称密钥算法，它的密钥长度是56比特。3DES是为了增加DES的强度，将DES重复3次所得到的一种密钥算法。AES是一种对称密钥算法，在AES的规格中，分组长度固定为128比特，密钥长度可以为128比特、192比特和256比特三种。

步骤S102：根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行解密。

在步骤S102中，在加密所述明文之前生成最新版本的密钥信息，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。其中，可以通过密钥生成器装置根据步骤S101配置的密钥强度和算法类型，随机生成符合规范的最新版本密钥。为了便于后期使用，可以将生成的最新版本的密钥进行保存，最新版本密钥信息的保存过程大致为：首先确定存储最新版本密钥信息的存储位置。然后将所述最新版本的密钥信息存储至所述存储位置，并生成最新版本的密钥信息的密钥识别码，并更新所述最新版本的密钥信息的版本识别码。

在客户端进行解密时，客户端可以向服务端发送获取请求来获取最新版本密钥。即服务端接收客户端发送的获取请求，所述获取请求指示了密钥识别码，服务端会根据所述密钥识别码获取解密密钥，并将所述解密密钥发送给客户端。

在本发明实施例中，在加密所述明文之前，该密钥的生成方法可以根据所述轮换请求中的密钥强度和算法类型生成最新版本的密钥信息。可以理解的是，该密钥的生成方法是一种高扩展且可配置的安全密钥轮换方法，可以在加密所述明文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

在生成最新版本的密钥信息之后，可以根据最新版本的密钥信息进行加密。为此，本发明实施例提供了一种加密方法，该加密方法的执行主体可以为客户端。图2是本发明第一实施例的加密方法的流程示意图，如图2所示，该加密方法可以包括如下的步骤S201至步骤S203。

步骤S201：接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型。

在步骤S201中，为了提高密钥的安全性，客户端可以在加密之前向服务端发送轮换请求，所述轮换请求至少包括密钥强度和算法类型，服务端根据轮换请求中的密钥强度和算法类型对密钥进行轮换。

步骤S202：接收服务端返回最新版本的密钥信息。

在步骤S202中，所述服务端根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，并将最新版本的密钥信息返回给客户端。

当初次进行加密时，需要获取当前版本的密钥信息。其中获取密钥信息的过程大致为：首先获取最新版本的密钥信息。然后根据所述任务请求确定任务识别码。然后根据所述任务识别码，确定最新版本密钥信息的密钥识别码。再根据最新版本密钥信息的密钥识别码，确定最新版本密钥信息的存储位置。在对密钥信息验证成功后，从所述存储位置获取最新版本密钥信息。

步骤S203：根据最新版本的密钥信息进行加密。

其中，加密所述明文的过程大致为：首先获取初始向量。然后根据最新版本的密钥信息确定加密密钥。再根据所述加密密钥对所述明文进行加密，以得到所述明文对应的密文。最终根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段。需要说明的是，获取初始向量的过程只是需要在形成所述密文的数据片段之外完成即可，本发明实施例并不具体限定获取初始向量的执行顺序。

进一步地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。可以按照版本识别码、强度识别码、算法类型识别码、密钥识别码、所述初始向量和所述密文的顺序，将所述密文进行封装以形成所述密文的数据片段。

为了便于进一步了解加密过程，本发明实施例还提供了一种加密方法，参见图3，加密所述明文的过程可以包括如下的步骤S301至步骤S306。

步骤S301：根据最新版的密钥信息获取算法类型。

在步骤S301中，所述算法类型可以选用AES或DES算法等。

需要说明的是，步骤S301至步骤S303与步骤S304可以顺序执行或并列执行。当步骤S301至步骤S303与步骤S304顺序执行时，可以先执行步骤S301至步骤S303，然后执行步骤S304；或者，先执行步骤S304，然后再执行步骤S301至步骤S303。当步骤S301至步骤S303与步骤S304并列执行时，可以参见图3所示的情形。需要说明的是，图3所示的为步骤S301至步骤S303与步骤S304并列执行的情形，本发明实施例并不仅限于图3所示的情形。

步骤S302：获取初始向量。

在步骤S302中，可以在加密过程之前通过随机算法获取所述初始向量。

步骤S303：根据最新版的密钥信息获取密钥强度，其中密钥强度可以选用128位、256位或512位等。

步骤S304：对待加密的明文进行编码，以得到所述明文的字节码，例如：可以采用UTF-8对待加密明文进行编码，其中UTF-8是一种针对Unicode的可变长度字符编码，也是一种前缀码，又称万国码。需要说明的是，本发明实施例并不具体限定所述明文的编码形式。

步骤S305：根据获取到的算法类型、加密密钥、初始向量以及密钥强度对所述明文进行加密，以得到所述明文对应的密文。

步骤S306：按照版本识别码、强度识别码、算法类型识别码、密钥识别码、所述初始向量和所述密文的顺序，将所述密文进行封装以形成所述密文的数据片段。

参见图4，在所述密文的数据片段中，所述版本识别码、所述强度识别码、所述算法类型识别码、所述密钥识别码、所述初始向量和所述密文的占位字节个数可以根据实际需求确定。例如：参见图4，VID(版本识别码)占位1个字节；SID(强度识别码)占位1个字节；TID(算法类型识别码)占位1个字节；KID(密钥识别码)占位4个字节；IV(初始向量)占位4个字节；Ciphertext(密文)占位N个字节，且可以随着加密前的明文的长度进行扩展。需要说明的是，本发明实施例中并不具体限定所述版本识别码、所述强度识别码、所述算法类型识别码、所述密钥识别码、所述初始向量和所述密文的占位字节个数。

在步骤S306之后，可以采用Base64编码方式将所述密文的数据片段编码成ASCII(ASCII是基于拉丁字母的一套电脑编码系统)字符序列构成的文本，且字节长度为之前的4/3，并将编码后的所述密文的数据片段保存至业务存储装置。其中Base64编码是网络上最常见的用于传输8Bit字节码的编码方式之一，它是一种基于64个可打印字符来表示二进制数据的方法。Base64编码是从二进制到字符的过程，可用于在HTTP(HyperText TransferProtocol，超文本传输协议)环境下传递较长的标识信息。采用Base64编码具有不可读性，需要解码后才能阅读。

在本发明实施例中，该加密方法方法可以基于最新版本的密钥信息进行加密，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。同时，在保障安全性的前提下，采用配置中心支持，使密钥轮换前后拥有丰富可配置能力，并使其在动态环境中拥有良好的扩展性。

可以理解的是，用户可以根据自身密钥管理需求在密钥轮换时灵活设计，通过加密方法可以实现以下高度扩展和可配置化特性：

1)支持灵活定义密钥的版本，支持添加元数据,控制各版本的生命周期；

2)支持多种算法类型轮换,比如：DES、3DES或AES算法等等；

3)支持算法密钥强度轮换,比如：128位或256位等等；

4)由于使用数据片段版本化技术，以上特性可以支持新的加解密算法，具有很好的扩展性，能进一步满足多样密钥轮换需求。

图5是本发明第一实施例的解密方法的流程示意图，该解密方法的执行主体可以为客户端，如图5所示，该解密方法可以包括如下的步骤S501至步骤S504。

步骤S501：接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的。

在步骤S501中，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。所述密文的数据片段是按照版本识别码、强度识别码、算法类型识别码、密钥识别码、初始向量和密文的顺序封装得到的。

步骤S502：从所述密文的数据片段中拆分还原出所述密文以及密钥识别码。

在步骤S502中，可以基于还原算法，按照字节顺序从所述密文的数据片段中拆分还原出所述密文以及密钥识别码。

例如：可以基于Base64还原算法，根据字节的先后顺序将所述密文的数据片段进行拆解。可以理解的是，按照字节顺序及数量拆分还原为版本识别码、密钥强度识别码、密钥算法类型识别码、密钥识别码、加密初始向量以及密文。

步骤S503：根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥。

在步骤S503中，所述获取请求指示了拆分得到的密钥识别码，服务端根据接收到所述获取请求解析得到密钥识别码，所述服务端根据获取到的密钥识别码以及预设的密钥识别码与密钥的关系，获取所述密钥识别码对应的密钥并发送给所述客户端。

步骤S504：根据所述解密密钥对所述密文进行解密。

在完成所述明文的加密之后，当需要查看所述明文时可以从所述密文中解密得到对应的明文。其中解密所述密文的过程大致为：获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息得到的；从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；根据密钥识别码获取解密密钥；根据所述解密密钥对所述密文进行解密，以得到所述密文对应的明文。

为了便于进一步了解解密过程，本发明实施例还提供了一种解密方法，参见图6，解密所述密文的过程可以包括如下的步骤S601至步骤S604。

步骤S601：获取所述密文的数据片段。

步骤S602：将所述密文的数据片段进行拆解。

在步骤S602中，可以基于Base64还原算法，根据字节的先后顺序将所述密文的数据片段进行拆解。可以理解的是，按照字节顺序及数量拆分还原为版本识别码、密钥强度识别码、密钥算法类型识别码、密钥识别码、加密初始向量以及密文。

步骤S603：从拆解后的数据片段中获取密钥识别码以及密文，并根据密钥识别码获取解密密钥。

步骤S604：根据所述解密密钥对所述密文进行解密，以得到所述密文对应的明文。

在步骤S604中，可以采用还原算法，根据所述解密密钥对所述密文进行解密，然后再采用UTF-8编码方式对所述明文进行解码，以得到所述密文对应的明文。

在本发明实施例中，该解密方法可以基于最新版本的密钥信息进行解密，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。同时，在保障安全性的前提下，采用配置中心支持，使密钥轮换前后拥有丰富可配置能力，并使其在动态环境中拥有良好的扩展性。

可以理解的是，用户可以根据自身密钥管理需求在密钥轮换时灵活设计，通过解密方法可以实现以下高度扩展和可配置化特性：

1)支持灵活定义密钥的版本，支持添加元数据,控制各版本的生命周期；

2)支持多种算法类型轮换,比如：DES、3DES或AES算法等等；

3)支持算法密钥强度轮换,比如：128位或256位等等；

4)由于使用数据片段版本化技术，以上特性可以支持新的加解密算法，具有很好的扩展性，能进一步满足多样密钥轮换需求。

图7是本发明实施例的密钥的生成装置的模块示意图，参见图7，该密钥的生成装置700可以包括：

接收模块701，用于接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；

生成模块702，用于根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

可选地，密钥的生成装置700还包括：

确定模块，用于确定存储最新版本密钥信息的存储位置；

存储模块，用于将所述最新版本的密钥信息存储至所述存储位置，并生成最新版本的密钥信息的密钥识别码；

更新模块，用于更新所述最新版本的密钥信息的版本识别码。

可选地，密钥的生成装置700还包括：

第一接收模块，用于接收客户端发送的获取请求，所述获取请求指示了密钥识别码；

发送模块，用于根据所述密钥识别码获取解密密钥，并将所述解密密钥发送给客户端。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

在本发明实施例中，在加密所述明文之前，该密钥的生成装置可以根据所述任务请求中的密钥强度和算法类型生成最新版本的密钥信息。可以理解的是，该密钥的生成装置可以实现高扩展且可配置的安全密钥轮换方法，可以在加密所述明文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

图8是本发明实施例的加密装置的模块示意图，参见图8，该加密装置800可以包括：

发送模块801，用于接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型；

接收模块802，用于接收服务端返回最新版本的密钥信息；

加密模块803，用于根据最新版本的密钥信息进行加密。

可选地，所述加密模块803进一步用于：

根据最新版本的密钥信息确定加密密钥；

根据所述加密密钥对所述明文进行加密，以得到所述明文对应的密文；

获取初始向量，并根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

可选地，所述加密模块803进一步用于：

按照版本识别码、强度识别码、算法类型识别码、密钥识别码、所述初始向量和所述密文的顺序，将所述密文进行封装以形成所述密文的数据片段。

在本发明实施例中，该加密方法装置可以基于最新版本的密钥信息进行加密，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

图9是本发明实施例的加密装置的模块示意图，参见图9，该加密装置900可以包括：

接收模块901，用于接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的；

拆分模块902，用于从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；

密钥获取模块903，用于根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥；

解密模块904，用于根据所述解密密钥对所述密文进行解密。

可选地，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

可选地，所述密文的数据片段是按照版本识别码、强度识别码、算法类型识别码、密钥识别码、初始向量和密文的顺序封装得到的。

可选地，所述拆分模块902进一步用于：

基于还原算法，按照字节顺序从所述密文的数据片段中拆分还原出所述密文以及密钥识别码。

在本发明实施例中，该解密装置可以基于最新版本的密钥信息进行解密，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

图10是本发明实施例的业务系统的模块示意图，参见图10，所述业务系统可以包括如下装置：

敏感数据存储装置1001，用于存储密文的装置；

业务系统装置1002，用于表示使用密钥的装置；

密钥管理装置1003，用于管理密钥的版本信息；

密钥存储装置1004，用于存储密钥；

配置中心装置1005，用于存储配置；

密钥生成机1006，用于生成密钥，所述密钥生成机1006为多类型和多强度的密钥生成器。

参见图11，初始获取密钥信息的过程大致为：业务系统装置1002根据业务识别码获取最新版本的密钥信息；密钥管理装置1003确定所述密钥信息的最新版本，并将所述密钥信息的最新版本发送给所述配置中心装置1005；所述配置中心装置1005根据所述密钥信息的最新版本，确定所述最新版本密钥信息的密钥识别码，并将所述最新版本密钥信息的密钥识别码发送给所述密钥管理装置1003。所述密钥管理装置1003将所述最新版本密钥信息的密钥识别码发送给密钥存储装置1004，以查询最新版本的密钥信息的存储位置。所述密钥存储装置1004向所述密钥管理装置1003发送所述最新版本的密钥信息的存储位置。所述密钥管理装置1003对所述密钥信息的属性进行验证后，将验证后的密钥信息发送给所述业务系统装置1002。可以理解的是，数据验证是指对密钥进行验证，比如强度、长度等属性。

进一步地，在获取密钥信息时，业务系统装置1002可以通过网络或者本地端口，基于密钥管理装置1003获取密钥信息，所述密钥信息包括：密钥识别码(KID)、密钥(key)、版本识别码(VID)、强度识别码(SID)以及算法类型识别码(TID)。

参见图12，在加密或解密之前，用户可以在密钥管理装置1003轮换密钥，即生成新版本的密钥信息。为了轮换密钥，用户可以在密钥管理装置1003上配置算法类型、密钥强度或版本元数据等。所述版本元数据是指密钥的版本描述数据，比如版本识别码或创建时间等等。所述密钥管理装置1003接收任务请求，所述任务请求指示了密钥强度、算法类型以及密钥版本。可以理解的是，为了在加密或解密之前轮换密钥，用户可以根据实际需求在密钥管理装置1003上配置密钥强度、算法类型以及密钥版本。所述密钥管理装置1003向密钥生成机1006发送获取最新版本密钥的指示，所述密钥生成机1006根据配置的密钥强度和算法类型生成最新版本的密钥，并将最新版本的密钥发送给所述密钥管理装置1003，以对所述最新版本的密钥进行存储。所述密钥存储装置1004确定最新版本的密钥的存储位置，并保存最新版本的密钥以及密钥识别码且返回密钥的版本识别码(或称为版本ID)，并将最新版本的密钥信息的密钥识别码和版本识别码通过所述密钥管理装置1003发送给所述配置中心装置1005。所述配置中心装置1005保存最新版本的密钥信息的版本识别码以及密钥元数据，所述密钥管理装置1003根据最新版本密钥的版本识别码更新密钥的版本。

其中，配置中心装置1005的配置中心元数据存储接口设计为：

表1存储接口定义表

在生成最新版本的密钥信息之后，可以根据用于加密明文的任务请求对明文进行加密。其中加密过程大致为：首先获取密钥信息，通过随机数生成器获取4个字节的初始向量(IV)，然后在密钥信息里获取密钥key、密钥强度以及密钥算法，然后通过算法对明文进行加密，然后把VID,SID，KID,TID,IV和密文，按顺序封装成数据片段，并将数据片段存储到业务存储中(也可选文件或NoSql等介质)。

在生成最新版本的密钥信息之后，可以根据用于解密密文的任务请求对密文进行解密。其中解密过程大致为：获取密文数据片段，按照字节顺序及数量拆分还原为VID、SID、KID、TID、IV以及密文，然后通过KID和密钥管理装置1003获取解密key，通过还原算法对密文进行解密以获取明文。

在本发明实施例中，在加密所述明文或解密所述密文之前，该业务系统可以根据所述任务请求中的密钥强度和算法类型生成最新版本的密钥信息。该业务系统是一种高扩展且可配置的安全密钥轮换方法，且业务系统是基于数据片段版本化设计实现的，可以在加密所述明文或解密所述密文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。同时，在保障安全性的前提下，采用配置中心支持，使密钥轮换前后拥有丰富可配置能力，并使其在动态环境中拥有良好的扩展性。

可以理解的是，用户可以根据自身密钥管理需求在密钥轮换时灵活设计，通过该业务系统可以实现以下高度扩展和可配置化特性：

1)支持灵活定义密钥的版本，支持添加元数据,控制各版本的生命周期；

2)支持多种算法类型轮换,比如：DES、3DES或AES算法等等；

3)支持算法密钥强度轮换,比如：128位或256位等等；

4)由于使用数据片段版本化技术，以上特性可以支持新的加解密算法，具有很好的扩展性，能进一步满足多样密钥轮换需求。

图13示出了可以应用本发明实施例的密钥的生成方法或密钥的生成装置的示例性系统架构1300。

如图13所示，系统架构1300可以包括终端设备1301、1302、1303，网络1304和服务器1305。网络1304用以在终端设备1301、1302、1303和服务器1305之间提供通信链路的介质。网络1304可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备1301、1302、1303通过网络1304与服务器1305交互，以接收或发送消息等。终端设备1301、1302、1303上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备1301、1302、1303可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器1305可以是提供各种服务的服务器，例如对用户利用终端设备1301、1302、1303所浏览的购物类网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果(例如目标推送信息、产品信息--仅为示例)反馈给终端设备。

需要说明的是，本发明实施例所提供的密钥的生成方法一般由服务器1305执行，相应地，密钥的生成装置一般设置于服务器1305中。

应该理解，图13中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面参考图14，其示出了适于用来实现本发明实施例的终端设备的计算机系统1400的结构示意图。图14示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图14所示，计算机系统1400包括中央处理单元(CPU)1401，其可以根据存储在只读存储器(ROM)1402中的程序或者从存储部分1408加载到随机访问存储器(RAM)1403中的程序而执行各种适当的动作和处理。在RAM 1403中，还存储有系统1400操作所需的各种程序和数据。CPU 1401、ROM 1402以及RAM 1403通过总线1404彼此相连。输入/输出(I/O)接口1405也连接至总线1404。

以下部件连接至I/O接口1405：包括键盘、鼠标等的输入部分1406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分1407；包括硬盘等的存储部分1408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1409。通信部分1409经由诸如因特网的网络执行通信处理。驱动器1410也根据需要连接至I/O接口1405。可拆卸介质1411，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1410上，以便于从其上读出的计算机程序根据需要被安装入存储部分1408。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1409从网络上被下载和安装，和/或从可拆卸介质1411被安装。在该计算机程序被中央处理单元(CPU)1401执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

在本发明实施例中，在加密所述明文之前，该密钥的生成方法可以根据所述轮换请求中的密钥强度和算法类型生成最新版本的密钥信息。可以理解的是，该密钥的生成方法是一种高扩展且可配置的安全密钥轮换方法，可以在加密所述明文之前对密钥进行轮换，可以提高密钥的安全性，可以解决现有密钥生成方式安全风险低的问题。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (18)

1.一种密钥的生成方法，其特征在于，包括：

接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；

根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

2.根据权利要求1所述的方法，其特征在于，在生成最新版本的密钥信息的步骤之后，所述方法还包括：

确定存储最新版本密钥信息的存储位置；

将所述最新版本的密钥信息存储至所述存储位置，并生成最新版本的密钥信息的密钥识别码；

更新所述最新版本的密钥信息的版本识别码。

3.根据权利要求1所述的方法，其特征在于，在生成最新版本的密钥信息的步骤之后，所述方法还包括：

接收客户端发送的获取请求，所述获取请求指示了密钥识别码；

根据所述密钥识别码获取解密密钥，并将所述解密密钥发送给客户端。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

5.一种加密方法，其特征在于，包括：

接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型；

接收服务端返回最新版本的密钥信息；

根据最新版本的密钥信息进行加密。

6.根据权利要求5所述的方法，其特征在于，根据最新版本的密钥信息进行加密包括：

根据最新版本的密钥信息确定加密密钥；

根据所述加密密钥对所述明文进行加密，以得到所述明文对应的密文；

获取初始向量，并根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段。

7.根据权利要求6所述的方法，其特征在于，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

8.根据权利要求7所述的方法，其特征在于，根据所述最新版的密钥信息、所述初始向量和所述密文，形成所述密文的数据片段包括：

按照版本识别码、强度识别码、算法类型识别码、密钥识别码、所述初始向量和所述密文的顺序，将所述密文进行封装以形成所述密文的数据片段。

9.一种解密方法，其特征在于，包括：

接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的；

从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；

根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥；

根据所述解密密钥对所述密文进行解密。

10.根据权利要求9所述的方法，其特征在于，所述最新版本的密钥信息包括：版本识别码、密钥、强度识别码、算法类型识别码和密钥识别码。

11.根据权利要求9所述的方法，其特征在于，所述密文的数据片段是按照版本识别码、强度识别码、算法类型识别码、密钥识别码、初始向量和密文的顺序封装得到的。

12.根据权利要求9至11任一项所述的方法，其特征在于，从所述密文的数据片段中拆分还原出所述密文以及密钥识别码，包括：

基于还原算法，按照字节顺序从所述密文的数据片段中拆分还原出所述密文以及密钥识别码。

13.一种密钥的生成装置，其特征在于，包括：

接收模块，用于接收客户端发送的轮换请求，所述轮换请求指示了密钥强度和算法类型；

生成模块，用于根据所述轮换请求中的密钥强度和算法类型，生成最新版本的密钥信息，将所述最新版本的密钥信息发送给客户端，通过所述客户端根据所述最新版本密钥信息进行加密。

14.一种加密装置，其特征在于，包括：

发送模块，用于接收用于加密明文的任务请求，根据所述任务请求向服务端发送轮换请求，所述轮换请求指示了密钥强度和算法类型；

接收模块，用于接收服务端返回最新版本的密钥信息；

加密模块，用于根据最新版本的密钥信息进行加密。

15.一种解密装置，其特征在于，

接收模块，用于接收解密密文的任务请求，根据所述任务请求获取所述密文的数据片段，所述密文的数据片段是根据最新版本的密钥信息加密得到的；

拆分模块，用于从所述密文的数据片段中拆分还原出所述密文以及密钥识别码；

密钥获取模块，用于根据拆分得到的密钥识别码向服务端发送获取请求，接收所述服务端根据所述获取请求返回的解密密钥；

解密模块，用于根据所述解密密钥对所述密文进行解密。

16.一种服务端，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-4中任一所述的方法。

17.一种客户端，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求5-12中任一所述的方法。

18.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-12中任一所述的方法。

Images