CN114553439B - 基于身份信息的加密密钥管理 - Google Patents

基于身份信息的加密密钥管理 Download PDF

Info

Publication number
CN114553439B
CN114553439B CN202210303686.6A CN202210303686A CN114553439B CN 114553439 B CN114553439 B CN 114553439B CN 202210303686 A CN202210303686 A CN 202210303686A CN 114553439 B CN114553439 B CN 114553439B
Authority
CN
China
Prior art keywords
user
identity information
icc
memory
encryption
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210303686.6A
Other languages
English (en)
Other versions
CN114553439A (zh
Inventor
冯志远
李艳鹏
程龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Advanced New Technologies Co Ltd
Original Assignee
Advanced New Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Advanced New Technologies Co Ltd filed Critical Advanced New Technologies Co Ltd
Priority to CN202210303686.6A priority Critical patent/CN114553439B/zh
Publication of CN114553439A publication Critical patent/CN114553439A/zh
Application granted granted Critical
Publication of CN114553439B publication Critical patent/CN114553439B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G06F21/79—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in semiconductor storage media, e.g. directly-addressable memories
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen

Abstract

本文公开了用于基于用户身份信息管理加密密钥的方法、系统和装置，包括编码在计算机存储介质上的计算机程序。方法之一包括：接收用以将身份信息和用户密钥对存储到芯片上的存储器中的请求，该请求被数字地签有数字签名，该身份信息唯一地标识用户，并且该用户密钥对被分配给该用户；基于预先存储在存储器中的公钥确定数字签名是可信的；对身份信息和用户密钥对进行加密；并将身份信息和用户密钥对存储到存储器中。

Description

基于身份信息的加密密钥管理
技术领域
本文涉及身份认证技术和数据安全性。
背景技术
身份认证技术通常用于计算机网络中以验证用户身份并确保数据安全性。如同在计算机网络中数字化存储或传送的其他信息一样，身份信息可以由数据集表示。计算机可以基于用户的数字身份来识别和认证用户。对于数据安全性，重要的是确保数字身份属于授权用户，或者换句话说，数字身份与用户的实际身份相匹配。
随着技术的发展，已经出现了诸如区块链网络和物联网(IoT)网络的去中心化系统。在去中心化系统下，个人可以安全地自行存储他们自己的身份信息。例如，用户可以持有数字钱包，该数字钱包存储用户可以用来添加数字签名以授权区块链网络或IoT设备上的交易的私钥。私钥通常作为具有加密语义的数据串存储在计算设备上，并且意图仅供用户访问。与其他数据串一样，私钥可潜在地被复制和共享。具有私钥的任何用户都可以控制与该私钥相关联的数字资产。此外，如果私钥丢失，则无法检索数字资产。因此，安全存储和有效使用加密密钥会是重要的。
期望开发一种密钥管理技术，其可以有效地验证用户的身份信息并安全地管理用户的加密密钥。
发明内容
本文描述了用于基于唯一地标识用户的身份信息来管理分配给用户的用户加密密钥的技术。这些技术总体上涉及由身份加密芯片(ICC)接收身份信息和用户加密密钥，身份信息和用户加密密钥被数字地签有数字签名，该数字签名由分配给主用户的私钥生成，基于分配给主用户的公钥确定数字签名是可信的，公钥被预先存储在ICC上的存储器中，并且将身份信息和用户加密密钥加密并存储到存储器中。
本文还提供了一种密钥管理方法，包括：
接收用以将身份信息和用户密钥对存储到身份加密芯片ICC上的存储器中的请求，所述请求被数字地签有数字签名；
在基于预先存储在所述存储器中所述ICC主用户的公有授权密钥，验证所述数字签名成功的情况下，将所述身份信息和所述用户密钥对存储到所述存储器中；
生成令牌并存储到所述存储器中，所述令牌用于向所述身份信息标识的用户提供无需验证用户身份而执行预设次数加密操作的授权，或者在预定时间段内无需验证用户身份而执行加密操作的授权。
本文还提供了一种密钥管理系统，包括：
一个或多个处理器；和
一个或多个计算机可读存储器，所述计算机可读存储器耦接到所述一个或多个处理器并且其上存储有指令，所述指令能由所述一个或多个处理器执行本文提供的方法。
本文还提供了一种密钥管理装置，所述装置包括用于执行本文提供的方法的多个模块。
本文还提供了耦接到一个或多个处理器并且其上存储有指令的一个或多个非暂态计算机可读存储介质，当所述指令由所述一个或多个处理器执行时，所述指令将促使所述一个或多个处理器按照本文提供的方法的实施例执行操作。
本文还提供了用于实施本文提供的所述方法的系统。该系统包括一个或多个处理器以及耦接到所述一个或多个处理器并且其上存储有指令的计算机可读存储介质，当所述指令由所述一个或多个处理器执行时，所述指令将导致所述一个或多个处理器按照本文提供的方法的实施例执行操作。
应了解，依据本文的方法可以包括本文描述的方面和特征的任意组合。也就是说，根据本文的方法不限于本文具体描述的方面和特征的组合，还包括所提供的方面和特征的任意组合。
以下在附图和描述中阐述了本文的一个或多个实施例的细节。根据说明书和附图以及权利要求，本文的其他特征和优点将显而易见。
附图说明
图1是示出用于执行可用于执行本文的实施例的处理的身份加密芯片的示例的示图。
图2是示出根据本文的实施例的用于身份加密芯片初始化处理的示例的流程图。
图3是示出根据本文的实施例的用于向身份加密芯片输入信息的处理的示例的流程图。
图4是示出根据本文的实施例的使用身份加密芯片执行加密操作的处理的示例的流程图。
图5是示出根据本文的实施例的密钥管理设备的示例的示图。
图6描绘了可以根据本文的实施例执行的方法的示例。
图7描绘了根据本文的实施例的装置的模块的示例。
各附图中相同的附图标记和名称表示相同的元件。
具体实施方式
本文描述了用于基于唯一地标识用户的身份信息来管理分配给用户的用户加密密钥的技术。这些技术总体上涉及由身份加密芯片(ICC)接收身份信息和用户加密密钥，身份信息和用户加密密钥被数字地签有由分配给主用户的私钥生成的数字签名，基于分配给主用户的公钥确定数字签名是可信的，公钥被预先存储在ICC上的存储器中，并且将身份信息和用户加密密钥加密并存储到存储器。
图1是示出用于执行可用于执行本文的实施例的处理的ICC 100的示例的示图。在较高层面上，ICC 100可以是包括存储器102和逻辑计算组件104的计算机芯片。ICC 100可用于安全地执行加密操作。在一些实施例中，ICC 100可以是包括一个或多个芯片组件的芯片组。存储器102和逻辑计算组件104可以集成到不同的芯片组件中。在一些实施例中，存储器102可用于提供永久存储。在一些示例中，存储器102可以是可编程只读存储器(PROM)，其允许数据被写入一次并且之后仅只读。在一些示例中，存储器102可以是电可擦除可编程只读存储器(EEPROM)或闪存，其可以被重新格式化并重新编程。在一些实施例中，逻辑计算组件可以是专用集成电路(ASIC)或单片机(SCM)。
在一些计算机网络中，实施密码术以维护数据或交易的隐私。例如，如果两个用户想要保持交易隐私，使得其他用户无法辨别该交易的细节，则用户可以加密交易数据。示例性加密操作包括但不限于对称密钥加密和非对称密钥加密。对称加密是指使用单个密钥既进行加密(从明文生成密文)又进行解密(从密文生成明文)的加密处理。
非对称加密使用密钥对，每个密钥对包括私钥和公钥，私钥仅对相应用户是已知的，并且公钥可以公开地传播。用户可以使用另一用户的公钥来加密数据，并且该加密的数据可以使用该另一用户的私钥来解密。
可以使用非对称加密来提供数字签名，这使得交易中的参与者能够确认交易中的其他参与者以及交易的有效性。例如，用户可以对消息进行数字签名，而另一用户可以基于数字签名确认消息是由该用户发送的。数字签名还可用于确保消息在传输过程中不被篡改。例如，用户A将向用户B发送消息。用户A生成消息的哈希值，然后使用其私钥加密哈希值以提供为加密哈希值的数字签名。用户A将数字签名附加到消息，并将带有数字签名的消息发送给用户B。用户B使用用户A的公钥解密数字签名，并提取哈希值。用户B对消息进行哈希处理并比较哈希值。如果哈希值相同，则用户B可以确认该消息确实来自用户A，并且未被篡改。
ICC 100可以用于基于对用户身份信息进行验证来安全地执行加密操作。存储器102可用于存储可信用户身份信息和加密密钥信息。存储器102还可以存储身份认证算法(例如，作为计算机可执行代码)和加密操作算法(例如，作为计算机可执行代码)。在一些实施例中，存储在存储器102中的信息和算法被加密以即使在ICC 100被进行逆向工程的情况下也防止泄密。当从用户接收到用以执行加密操作的请求时，逻辑计算组件104可以使用从用户收集的身份信息和存储在存储器102中的可信用户身份信息，以基于身份认证算法验证用户的身份。例如，如果身份信息是用户指纹的指纹图像，则身份认证算法可以是本地认证算法，其将从用户收集的指纹图像和存储的指纹图像进行比较。如果收集的指纹图像与存储的指纹图像匹配，则成功验证用户的身份。然后，逻辑计算组件104可以使用所存储的加密密钥信息来执行所请求的加密操作。在执行加密操作之后，可以由ICC 100输出操作结果。通过使用ICC 100，可以仅在验证或认证用户的身份可信之后执行加密操作。这样，可以保证用户执行操作的权限。此外，由于加密密钥作为密文存储在ICC 100中，因此加密操作在ICC 100内部执行。只有操作结果从ICC 100输出。以这种方式，可以确保加密密钥的安全性。
在一些实施例中，ICC 100的主用户可以使用公有授权密钥来向用户提供对ICC100的访问。主用户可以是ICC 100的管理者、网络管理员、所有者或发布者。简而言之，主用户是控制ICC 100的用户，并且授权密钥对被分配给主用户。授权密钥对包括公有授权密钥和私有授权密钥，公有授权密钥和私有授权密钥使主用户(或代表主用户执行的ICC 100)能够参与非对称加密通信和/或执行加密操作(例如，加密、解密)。在110，将公有授权密钥写入ICC 100。
在112，清除存储器内容并且将公有授权密钥写入存储器102。在一些实施例中，存储器102是永久存储器。在一些实施例中，为了防止篡改，公有授权密钥只能被写入存储器102的存储单元一次。如果需要使用新的公有授权密钥来替换现有的公有授权密钥，则可以在写入新的公有授权密钥之前擦除存储器102的内容。在一些实施例中，可以在将公有授权密钥写入存储器102之前对公有授权密钥进行加密以增强安全性。
在114，将用户的身份信息和用户的加密密钥对输入到ICC 100。加密密钥对包括公有用户密钥和私有用户密钥，公有用户密钥和私有用户密钥使用户(或代表用户执行的计算设备)参与非对称加密通信和/或执行加密操作(例如，加密、解密)。在一些实施例中，身份信息可以是用户的生物特征信息。生物特征信息的示例包括但不限于指纹、声纹、心跳和虹膜信息。在116，可以将数字签名添加到身份信息和加密密钥对。在一些实施例中，主用户可以将数字签名添加到输入的身份信息和加密密钥对。分配给主用户的私有授权密钥可用于生成数字签名。在一些实施例中，私有授权密钥也可以由主用户发布给可信用户。可信用户可以使用私有授权密钥直接对身份信息和加密密钥对签名。在118，从存储器102读取公有授权密钥以在120验证数字签名。如果验证成功，则确定用户被授权使用ICC 100来执行加密操作。
在122，将身份信息和加密密钥对写入存储器102以存储。在一些实施例中，可以在将身份信息和加密密钥写入存储器102之前对身份信息和加密密钥进行加密对以增强安全性。在一些实施例中，公有授权密钥可用于对身份信息和加密密钥对进行加密。在一些实施例中，身份信息和加密密钥对可以被写入存储器102的单独存储单元。
在124，用户将用以执行加密操作的请求发送到ICC 100。在一些实施例中，还可以将要被执行加密操作的数据发送到ICC 100。例如，如果加密操作是加密，则相应的数据可以是要被加密的数据文件。在125，收集用户的身份信息并将其发送到ICC 100。在126，从存储器102读取在122写入存储器102的身份信息，以在128执行身份验证。可以基于将在125接收的身份信息与存储的身份信息进行比较来执行身份验证。如果身份信息匹配，则验证成功并且在130从存储器102读取加密密钥信息以在132执行加密操作。如果身份信息不匹配，则验证不成功，并且可以拒绝用以执行加密操作的请求。在一些实施例中，可以基于所接收的特定类型的身份信息，使用身份验证算法来执行身份验证。在一些实施例中，可以基于加密操作算法来执行加密操作。如上所述，加密操作可以是加密、解密或向数据添加数字签名。在执行加密操作之后，可以在134输出操作结果。
如上所述，ICC 100可以在硬件内创建可信环境，以便授权用户安全地执行加密操作。例如，拥有ICC 100的主用户可以授权多个用户将他们的身份信息和加密密钥对存储到ICC 100。用户要求存储的信息由主用户的私有授权密钥进行数字签名。可以通过主用户的公有授权密钥来验证数字签名是否可信，该主用户的公有授权密钥预先存储在ICC 100中。如果数字签名是可信的，则相应的身份信息和加密密钥对可以存储在ICC 100中。
当用户请求加密操作时，ICC 100可以从存储器检索特定用户的身份信息和加密密钥对。身份信息可以用于验证用户的身份，并且加密密钥对可以用于在验证用户的身份之后执行所请求的加密操作。可以针对各种实际场景执行加密操作。例如，加密操作可以是将数字签名添加到区块链交易的操作。在该示例中，节点A(例如，代表用户操作的计算设备)可以是区块链网络内的计算设备，其发起对与节点B的区块链交易数据进行数字签名的请求。区块链交易数据可以是节点A和节点B之间的交易数据的哈希值。节点A可以使用ICC100生成对经哈希处理的交易数据的数字签名。为了使用ICC 100，收集与节点A相关联的身份信息，并将其与存储在ICC 100中的身份信息进行比较。如果收集的身份信息与存储的身份信息匹配，则可以授权节点A使用ICC 100执行加密操作。更具体地说，可以从ICC 100的存储器中读取加密密钥对中的私钥，以生成对经哈希处理的交易数据的数字签名。然后，节点A可以将具有数字签名的经哈希处理的交易数据发送到节点B。节点B使用加密密钥对中的公钥解密数字签名并提取哈希值。节点B对消息进行哈希处理并比较哈希值。如果哈希值相同，则节点B可以确认该消息确实来自节点A并且未被篡改。
图2是示出根据本文的实施例的用于ICC初始化的处理200的示例的流程图。在一些实施例中，ICC由诸如管理者、网络管理员或ICC的发布者的主用户初始化。在一些实施例中，主用户可以控制哪些用户被授权使用ICC来安全地执行加密操作。
在202，重置ICC。在一些实施例中，响应于接收到输入公有授权密钥的请求而重置ICC。在一些实施例中，重置ICC可以包括擦除存储在ICC的存储器中的内容，或将其重新格式化。在一些实施例中，重置ICC还可以包括将ICC的逻辑计算组件的设置重配或重置为默认值。通过重置ICC，可以保证使用一个公有授权密钥来控制输入到ICC的信息。此外，先前存储在ICC中的任何身份信息和加密密钥对都被擦除以确保数据安全性。在一些实施例中，ICC是新的ICC并且是第一次使用，ICC可以被初始化以接受公有授权密钥的输入。在一些实施例中，公有授权密钥可以是由主用户的私有授权密钥生成的用于验证数字签名的公钥。
在204，ICC接收公有授权密钥。在206，调用公有授权密钥输入函数以将公有授权密钥输入到存储器202。在208，确定ICC的存储器是否是一次性可编程(OTP)存储器。OTP存储器只允许将数据写入存储器一次。当主用户向ICC输入新的公有授权密钥时，可以擦除任何先前存储的身份信息和加密密钥对，以确保新的公有授权密钥不控制先前已输入信息的用户。因此，如果存储器是OTP，则可以在212加密公有授权密钥并将加密的公有授权密钥输入到存储器。否则，在公有授权密钥被加密并输入到存储器之前，在210清除存储器的内容。在212之后，处理200在214结束。
图3是示出根据本文实施例的用于将信息输入到ICC的处理300的示例的流程图。在对ICC进行初始化之后，主用户可以授权用户将相应的身份信息和加密密钥对存储到ICC。这样，授权用户可以使用ICC安全地执行加密操作。
在302，ICC接收身份信息和加密密钥对。在一些实施例中，身份信息可以由与ICC可通信地耦接的计算设备收集。示例性计算设备可以包括IoT设备、智能手环、智能手表、膝上型计算机(或台式计算机)和智能手机。在一些实施例中，身份信息可以是用户的生物特征信息，例如指纹、声纹、心跳和虹膜信息。计算设备可以包括指纹传感器、麦克风、心跳传感器或虹膜扫描仪以收集生物特征信息。例如，计算设备可以是可以收集用户的心跳信息的智能手表。心跳信息可以用作识别用户的身份信息。在收集身份信息之后，可以将其与用户的加密密钥对一起发送到ICC。在一些实施例中，ICC可以基于例如蓝牙、近场通信(NFC)、Wi-Fi或蜂窝数据的无线通信协议与计算设备无线地通信。在一些实施例中，ICC可以插入或集成到计算设备以执行与计算设备的有线通信。
在304，将数字签名添加到身份信息和加密密钥对。在一些实施例中，主用户可以将数字签名添加到属于授权用户的身份信息和加密密钥对。用于生成数字签名的私钥可以是私有授权密钥。私有授权密钥与如在图2的描述中所讨论的ICC初始化处理200期间存储在ICC中的公有授权密钥属于同一密钥对。
在306，基于公有授权密钥来验证数字签名。如果数字签名是正确的，则在308对身份信息和加密密钥对进行加密，并将加密的身份信息和加密密钥对存储到ICC的存储器中。之后，处理300在310结束。如果数字签名不正确，则拒绝请求，并且处理300在310结束。在用户的身份信息和加密密钥对被输入到ICC之后，用户可以使用ICC来安全地执行加密操作。
图4是示出根据本文的实施例的用于使用ICC执行加密操作的处理400的示例的流程图。在402，接收用以执行加密操作的请求。加密操作的示例可以包括数据加密、数据解密和添加数字签名。
在404，接收用户的身份信息。如在图3的描述中所讨论的那样，身份信息可以由计算设备收集并发送到ICC。在406，可以验证身份信息。在一些实施例中，可以将身份信息与存储在ICC的存储器中的身份信息进行比较。如果身份信息与存储的身份信息匹配，则验证成功，并且可以使用存储在ICC的存储器中的加密密钥对在408执行所请求的加密操作。否则，处理400在412结束。在408之后，处理400进行到410，其中返回操作结果。操作结果可以取决于在408执行的加密操作。例如，如果加密操作是文件加密，则可以返回使用用户的公钥加密的文件。类似地，如果加密操作是文件解密，则可以返回使用用户的私钥解密的文件。如果加密操作是添加数字签名，则使用私钥生成具有用户的数字签名的文件，并返回该文件。在410之后，处理在412结束。
图5是示出根据本文的实施例的密钥管理设备500的示例的示图。在一些实施例中，可以由密钥管理设备500管理由ICC使用以为用户执行加密操作的加密密钥对。密钥管理设备500可以执行密钥管理504和算法管理514。密钥管理504可以包括加密密钥对的存储506、写入508、随机生成510和删除512。加密密钥可以包括与主用户相关联的非对称密钥对(包括公有授权密钥)和与ICC的授权用户相关联以执行加密操作的加密密钥对。
由算法管理514管理的算法可以包括存储和管理身份验证算法516、数字签名验证算法518、加密和解密算法520以及令牌算法522。身份验证算法516可以用于执行如图4的步骤406的描述中所讨论的身份验证。如本文所述，数字签名验证算法518可用于执行数字签名验证。如本文所述，加密和解密算法520可用于执行所请求的加密操作。例如，如果所请求的加密操作是对用户文件的加密操作，则可以执行加密和解密算法520以从ICC的存储器检索用户的公钥并加密用户文件。令牌算法522可用于管理令牌，该令牌指示对无需验证用户身份而执行所请求的加密操作的时间限制或数量限制。在一些实施例中，可以生成令牌并将其临时存储在ICC的存储器中。令牌可以提供以下的授权：执行多次加密操作或在预定时间段内执行加密操作，而无需验证用户身份。例如，可以生成令牌以向ICC的用户提供以下的授权：将数字签名添加到接下来接收到的五个文件中或者在接下来的三个小时内接收到的文件中，无论首先满足哪个条件。在一些实施例中，可以在令牌到期或用完时清除令牌并将其从ICC中移除。
在一些实施例中，密钥管理设备500可以用作ICC的备份。即使ICC丢失或被破坏，也可以从密钥管理设备500检索用于执行加密操作的加密密钥和算法。
在一些实施例中，密钥管理设备500还可以执行输入管理524。密钥管理设备500可以可通信地耦接到ICC以管理算法输入526、身份信息输入528、加密密钥输入530、数字签名生成532和身份验证534。
图6描绘了可以根据本文的实施例执行的方法600的示例。为了清楚呈现，下面的描述在本文中的其他附图的上下文中总体上描述了方法600。然而，应当理解，方法600可以例如由适当的任何系统、环境、软件和硬件，或者系统、环境、软件和硬件的组合来执行。在一些实施例中，方法600的各个步骤可以并行、组合、循环或以任何适当的顺序运行。在一些实施例中，方法600可以由根据本文的实施例描述的ICC执行。
在602，接收用以将身份信息和用户密钥对存储到ICC上的存储器中的请求，该请求被数字地签有数字签名，该身份信息唯一地标识用户，并且用户密钥对被分配给用户。在一些实施例中，通过预先存储公有授权密钥和私有授权密钥来对ICC进行初始化。公有授权密钥和私有授权密钥是分配给ICC的主用户的非对称密钥对。在一些实施例中，对ICC进行初始化还包括存储可执行的身份认证代码以基于身份信息认证用户。在一些实施例中，对ICC进行初始化包括：存储第一加密操作代码，该第一加密操作代码可被执行用以基于私有授权密钥添加数字签名；以及存储第二加密操作代码，该第二加密操作代码可被执行用以基于用户密钥对来执行文件加密或文件解密。
在一些实施例中，用以存储身份信息和用户密钥对的请求是第一请求，身份信息是第一身份信息，数字签名是第一数字签名，并且计算机实施的方法还包括：接收第二身份信息和用以将第二数字签名添加到文件的第二请求；基于第二身份信息与第一身份信息匹配来认证第二请求可信；并且基于第一加密操作代码和用户密钥对中的私钥，将第二数字签名添加到文件中。在一些实施例中，用以存储身份信息和用户密钥对的请求是第一请求，身份信息是第一身份信息，并且方法600还包括：接收第二身份信息和用于加密或解密文件的第二请求；基于第二身份信息与第一身份信息匹配来认证用户可信；以及基于第二请求、第二加密操作代码以及用户密钥对中的公钥或私钥来执行加密或解密。在一些实施例中，身份信息是与用户相关联的生物特征信息。
在604，基于预先存储在存储器中的公有授权密钥来确定数字签名是可信的。在一些实施例中，存储器是可编程只读存储器(PROM)、电可擦除PROM或闪存，并且其中，身份信息和用户密钥对存储在存储器的单独存储单元中。
在606，对身份信息和用户密钥对进行加密。在608，将身份信息和用户密钥对存储到存储器中。
图7描绘了根据本文的实施例的装置700的模块的示例。装置700可以是ICC的实施例的示例。装置700可以对应于上述实施例，并且装置700包括以下：
请求接收模块702，用于接收用以将身份信息和用户密钥对存储到ICC上的存储器中的请求，该请求被数字地签有数字签名，该身份信息唯一地标识用户，并且用户密钥对被分配给该用户。数字签名确定模块704，基于预先存储在存储器中的公有授权密钥确定数字签名是可信的。加密模块706，用于加密身份信息和用户密钥对。存储模块708，用于将身份信息和用户密钥对存储到存储器。
在可选实施例中，装置700包括芯片初始化模块，用于通过预先存储公有授权密钥和对应于公有授权密钥的私有授权密钥来对ICC进行初始化。公有授权密钥和私有授权密钥是分配给ICC的主用户的非对称密钥对。
在可选实施例中，存储器是可编程只读存储器(PROM)、电可擦除PROM或闪存，并且其中，身份信息和非对称密钥对存储在存储器的单独存储单元中。在可选实施例中，身份信息是生物特征信息。
在先前实施例中示出的系统、装置、模块或模块可以通过使用计算机芯片或实体来实现，或者可以通过使用具有特定功能的产品来实现。典型的实施例设备是计算机，计算机可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或这些设备的任意组合。
对于装置中每个模块的功能和角色的实施例处理，可以参考前一方法中相应步骤的实施例处理。为简单起见，这里省略了细节。
由于装置实施例基本上对应于方法实施例，对于相关部分，可以参考方法实施例中的相关描述。先前描述的装置实施例仅是示例。被描述为单独部分的模块可以是或不是物理上分离的，并且显示为模块的部分可以是或不是物理模块，可以位于一个位置，或者可以分布在多个网络模块上。可以基于实际需求来选择一些或所有模块，以实现本文方案的目标。本领域普通技术人员无需付出创造性劳动就能理解和实现本申请的实施例。
本文中描述的技术产生若干技术效果。例如，主题的实施例允许主用户控制并向其他用户授予使用ICC的权限。可以通过使用主用户的私钥向授权用户的身份和加密密钥信息添加数字签名来给出授权。如果数字签名不能被预先存储在ICC中的主用户的公有授权密钥认证通过，则ICC将拒绝身份和加密密钥信息输入。
为了请求ICC执行加密操作，需要收集用户的身份信息，并且该收集的身份信息被先前认证并存储在ICC中的身份信息验证为可信。这样，可以确保请求加密操作的用户是授权用户。
此外，可以在存储到ICC的存储器之前加密身份信息和加密密钥。该信息仅在ICC中解密以执行相应的身份验证和加密操作。加密操作在ICC内部执行，并且仅操作结果从ICC输出。因此，用户身份信息和加密密钥是安全的，即使ICC被黑客攻击或进行逆向工程也不会被泄露。在一些实施例中，密钥管理设备可用于以密文存储身份信息和加密密钥以向ICC提供备份并进一步增强数据安全性。
计算设备可用于收集用户身份信息并发起对加密操作的请求。ICC可以通过各种通信协议与计算设备无线地通信，或者它可以集成或插入到计算设备中以便容易地用于安全的加密操作。
本文中描述的主题、动作以及操作的实施例可以在数字电子电路、有形体现的计算机软件或固件、计算机硬件中实现，包括本文中公开的结构及其结构等同物，或者它们中的一个或多个的组合。本文中描述的主题的实施例可以实现为一个或多个计算机程序，例如，一个或多个计算机程序指令模块，编码在计算机程序载体上，用于由数据处理装置执行或控制数据处理装置的操作。载体可以是有形的非暂态计算机存储介质。例如，计算机程序载体可以包括一个或多个计算机可读存储介质，其具有编码或存储在其上的指令。载体可以是有形的非暂态计算机可读介质，例如磁盘、磁光盘或光盘、固态驱动器、随机存取存储器(RAM)、只读存储器(ROM)或其他介质类型。可选地或附加地，载体可以是人工生成的传播信号，例如，机器生成的电、光或电磁信号，其被生成来编码信息用于传输到合适的接收器装置以供数据处理装置执行。计算机存储介质可以是或部分是机器可读存储设备、机器可读存储基板、随机或串行访问存储器设备或它们中的一个或多个的组合。计算机存储介质不是传播信号。
计算机程序也可以被称为或描述为程序、软件、软件应用程序、app、模块、软件模块、引擎、脚本或代码，可以以任何形式的编程语言编写，包括编译或演绎性语言、说明或程序性语言；它可以配置为任何形式，包括作为独立程序，或者作为模块、组件、引擎、子程序或适合在计算环境中执行的其他单元，该环境可包括由通信数据网络互联的在一个或多个位置的一台或多台计算机。
计算机程序可以但非必须对应于文件系统中的文件。计算机程序可以存储在：保存其他程序或数据的文件的一部分中，例如，存储在标记语言文档中的一个或多个脚本；专用于所讨论的程序的单个文件；或者多个协调文件，例如，存储一个或多个模块、子程序或代码部分的多个文件。
举例来说，用于执行计算机程序的处理器包括通用微处理器和专用微处理器，以及任何类型的数字计算机的任何一个或多个处理器。通常，处理器将从耦接到处理器的非暂态计算机可读介质接收用于执行的计算机程序的指令以及数据。
术语“数据处理装置”包括用于处理数据的所有类型的装置、设备和机器，包括例如可编程处理器、计算机或者多处理器或计算机。数据处理装置可以包括专用逻辑电路，例如FPGA(现场可编程门阵列)、ASIC(专用集成电路)或GPU(图形处理单元)。除了硬件，该装置还可以包括为计算机程序创建执行环境的代码，例如，构成处理器固件、协议栈、数据库管理系统、操作系统或者它们中的一个或多个的组合的代码。
本文中描述的处理和逻辑流程可由一个或多个计算机或处理器执行一个或多个计算机程序进行，以进行通过对输入数据进行运算并生成输出的操作。处理和逻辑流程也可以由例如FPGA、ASIC、GPU等的专用逻辑电路或专用逻辑电路与一个或多个编程计算机的组合来执行。
适合于执行计算机程序的计算机可以基于通用和/或专用微处理器，或任何其他种类的中央处理单元。通常，中央处理单元将从只读存储器和/或随机存取存储器接收指令和数据。计算机的元件可包括用于执行指令的中央处理单元以及用于存储指令和数据的一个或多个存储器设备。中央处理单元和存储器可以补充有专用逻辑电路或集成在专用逻辑电路中。
通常，计算机还将包括或可操作地耦接至一个或多个大容量存储设备，以从一个或多个大容量存储设备接收数据或将数据传输到一个或多个大容量存储设备。大容量存储设备可以是例如磁盘、磁光盘或光盘、固态驱动器或任何其他类型的非暂态计算机可读介质。但是，计算机不需要具有这样的设备。因此，计算机可以耦接到本地和/或远程的例如一个或多个存储器的一个或多个大容量存储设备。例如，计算机可以包括作为计算机的组件的一个或多个本地存储器，或者计算机可以耦接到云网络中的一个或多个远程存储器。此外，计算机可以嵌入在另一个设备中，例如移动电话、个人数字助理(PDA)、移动音频或视频播放器、游戏控制台、全球定位系统(GPS)接收器或例如通用串行总线(USB)闪存驱动器的便携式存储设备，仅举几例。
组件可以通过直接地或经由一个或多个中间件例如可交换地电或光地彼此连接而彼此“耦接”。如果其中一个组件集成到另一个组件中，组件还可以彼此“耦接”。例如，集成到处理器中的存储组件(例如，L2高速缓存组件)被“耦接到”处理器。
为了提供与用户的交互，本文中描述的主题的实施例可以在计算机上实现或配置为与该计算机通信，该计算机具有：显示设备，例如，LCD(液晶显示器)监视器，用于向用户显示信息；以及输入设备，用户可以通过该输入设备向该计算机提供输入，例如键盘和例如鼠标、轨迹球或触摸板等的指针设备。其他类型的设备也可用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的感官反馈，例如视觉反馈、听觉反馈或触觉反馈；并且可以接收来自用户的任何形式的输入，包括声音、语音或触觉输入。此外，计算机可以通过向用户使用的设备发送文档和从用户使用的设备接收文档来与用户交互；例如，通过向用户设备上的web浏览器发送web页面以响应从web浏览器收到的请求，或者通过与例如智能电话或电子平板电脑等的用户设备上运行的应用程序(app)进行交互。此外，计算机可以通过向个人设备(例如，运行消息应用的智能手机)轮流发送文本消息或其他形式的消息并接收来自用户的响应消息来与用户交互。
本文使用与系统、装置和计算机程序组件有关的术语“配置为”。对于被配置为执行特定操作或动作的一个或多个计算机的系统，意味着系统已经在其上安装了在运行中促使该系统执行所述操作或动作的软件、固件、硬件或它们的组合。对于被配置为执行特定操作或动作的一个或多个计算机程序，意味着一个或多个程序包括当被数据处理装置执行时促使该装置执行所述操作或动作的指令。对于被配置为执行特定操作或动作的专用逻辑电路，意味着该电路具有执行所述操作或动作的电子逻辑。
虽然本文包含许多具体实施细节，但是这些不应被解释为由权利要求本身限定的对要求保护的范围的限制，而是作为对特定实施例的具体特征的描述。在本文多个单独实施例的上下文中描述的多个特定特征也可以在单个实施例中的组合实现。相反，在单个实施例的上下文中描述的各种特征也可以单独地或以任何合适的子组合在多个实施例中实现。此外，尽管上面的特征可以描述为以某些组合起作用并且甚至最初如此要求保护，但是在一些情况下，可以从要求保护的组合中删除来自该组合的一个或多个特征，并且可以要求保护指向子组合或子组合的变体。
类似地，虽然以特定顺序在附图中描绘了操作并且在权利要求中叙述了操作，但是这不应该被理解为：为了达到期望的结果，要求以所示的特定顺序或依次执行这些操作，或者要求执行所有示出的操作。在一些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的划分不应被理解为所有实施例中都要求如此划分，而应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品或者打包成多个软件产品。
已经描述了主题的特定实施例。其他实施例在以下权利要求的范围内。例如，权利要求中记载的动作可以以不同的顺序执行并且仍然实现期望的结果。作为一个示例，附图中描绘的处理无需要求所示的特定顺序或次序来实现期望的结果。在一些情况下，多任务和并行处理可能是有利的。

Claims (17)

1.一种密钥管理方法，包括：
接收用以将身份信息和用户密钥对存储到身份加密芯片ICC上的存储器中的请求，所述请求被数字地签有数字签名；
在基于预先存储在所述存储器中所述ICC主用户的公有授权密钥，验证所述数字签名成功的情况下，将所述身份信息和所述用户密钥对存储到所述存储器中；
生成令牌并存储到所述存储器中，所述令牌用于向所述身份信息标识的用户提供无需验证用户身份而执行预设次数加密操作的授权，或者在预定时间段内无需验证用户身份而执行加密操作的授权。
2.如权利要求1所述的方法，所述身份信息唯一地标识用户，并且所述用户密钥对被分配给所述用户。
3.如权利要求1所述的方法，所述将所述身份信息和所述用户密钥对存储到所述存储器中，包括：
对所述身份信息和所述用户密钥对进行加密，并将加密的所述身份信息和加密的所述用户密钥对存储到所述存储器中。
4.如权利要求1所述的方法，所述加密操作在所述ICC内部执行，由所述ICC输出操作结果。
5.如权利要求1所述的方法，还包括：在将所述公有授权密钥存储到所述存储器之前，清除所述存储器的内容。
6.如权利要求1所述的方法，所述加密操作包括以下至少一项：加密、解密、向数据添加数字签名、将数字签名添加到区块链交易的操作。
7.如权利要求1所述的方法，所述ICC中包含硬件可信环境，以便在所述可信环境中执行所述加密操作。
8.如权利要求1所述的方法，还包括：
在所述令牌到期或用完时，清除所述令牌。
9.如权利要求1所述的方法，还包括：
通过预先存储所述公有授权密钥和私有授权密钥来对所述ICC进行初始化，
其中，所述公有授权密钥和所述私有授权密钥是分配给所述ICC的主用户的非对称密钥对。
10.如权利要求9所述的方法，其中，对所述ICC进行初始化还包括：
存储能够被执行以基于所述身份信息认证所述用户的身份认证代码。
11.如权利要求9所述的方法，其中，对所述ICC进行初始化还包括：
存储能够被执行以基于所述私有授权密钥添加所述数字签名的第一加密操作代码；以及
存储能够被执行以基于所述用户密钥对来执行文件加密或文件解密的第二加密操作代码。
12.如权利要求11所述的方法，其中，用于存储身份信息和所述用户密钥对的所述请求是第一请求，所述身份信息是第一身份信息，所述数字签名是第一数字签名，并且所述方法还包括：
接收第二身份信息和用以向文件添加第二数字签名的第二请求；
基于所述第二身份信息与所述第一身份信息匹配认证所述第二请求可信；以及
基于所述第一加密操作代码和所述用户密钥对中的私钥，将所述第二数字签名添加到所述文件。
13.如权利要求11所述的方法，其中，用于存储身份信息和所述用户密钥对的所述请求是第一请求，所述身份信息是第一身份信息，并且所述方法还包括：
接收第二身份信息和用于加密或解密文件的第二请求；
基于所述第二身份信息与所述第一身份信息匹配认证所述用户可信；以及
基于所述第二请求、所述第二加密操作代码和所述用户密钥对中的公钥或私钥执行文件加密或文件解密。
14.如前述权利要求1至13中任一项所述的方法，其中，所述身份信息是生物特征信息。
15.如前述权利要求1至13中任一项所述的方法，
其中，所述存储器是可编程只读存储器PROM、电可擦除PROM或闪存，并且
其中，所述身份信息和所述用户密钥对存储在所述存储器的单独存储单元中。
16.一种密钥管理系统，包括：
一个或多个处理器；和
一个或多个计算机可读存储器，所述计算机可读存储器耦接到所述一个或多个处理器并且其上存储有指令，所述指令能由所述一个或多个处理器执行以执行权利要求1至15中任一项所述的方法。
17.一种密钥管理装置，所述装置包括用于执行如权利要求1至15中任一项所述的方法的多个模块。
CN202210303686.6A 2019-03-29 2019-03-29 基于身份信息的加密密钥管理 Active CN114553439B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210303686.6A CN114553439B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN202210303686.6A CN114553439B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理
PCT/CN2019/080366 WO2019120321A2 (en) 2019-03-29 2019-03-29 Cryptographic key management based on identity information
CN201980001319.7A CN111034120B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN201980001319.7A Division CN111034120B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理

Publications (2)

Publication Number Publication Date
CN114553439A CN114553439A (zh) 2022-05-27
CN114553439B true CN114553439B (zh) 2023-06-30

Family

ID=66992479

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201980001319.7A Active CN111034120B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理
CN202210303686.6A Active CN114553439B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN201980001319.7A Active CN111034120B (zh) 2019-03-29 2019-03-29 基于身份信息的加密密钥管理

Country Status (10)

Country Link
US (3) US11088831B2 (zh)
EP (1) EP3610607B1 (zh)
JP (1) JP6921222B2 (zh)
KR (1) KR102381153B1 (zh)
CN (2) CN111034120B (zh)
AU (1) AU2019204723C1 (zh)
CA (1) CA3058240C (zh)
SG (1) SG11201908931TA (zh)
TW (1) TWI724683B (zh)
WO (1) WO2019120321A2 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111711521B (zh) * 2020-06-19 2023-05-05 广东小蛐科技有限公司 一种区块链账号私钥重置方法及系统
CN111970126A (zh) * 2020-08-31 2020-11-20 北京书生网络技术有限公司 密钥管理方法及装置
KR20220055635A (ko) 2020-10-27 2022-05-04 (주)네오와인 Dma 채널 전송을 이용한 비밀키 관리 장치 및 방법
CN112508138B (zh) * 2020-11-18 2024-03-26 北京融讯科创技术有限公司 单板服务器管理方法、装置、设备及计算机可读存储介质
CN112507302B (zh) * 2020-12-10 2024-04-19 支付宝(杭州)信息技术有限公司 基于密码模块执行的调用方身份鉴别方法及装置
CN112822021B (zh) * 2020-12-30 2022-10-21 中国农业银行股份有限公司 一种密钥管理方法和相关装置
CN112989370B (zh) * 2021-02-09 2023-06-30 腾讯科技（深圳）有限公司 密钥灌装方法、系统、装置、设备以及存储介质
CN113067704B (zh) * 2021-03-29 2022-08-30 安徽慧可科技有限公司 一种基于区块链的数据确权方法、系统和设备
CN113726509B (zh) * 2021-08-30 2023-05-02 北京天融信网络安全技术有限公司 密钥销毁方法、密码机及终端设备
TWI823673B (zh) * 2022-11-11 2023-11-21 國立雲林科技大學 一種密碼加密管理系統

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101764694A (zh) * 2008-12-22 2010-06-30 罗伯特.博世有限公司 用于保护数据的装置、方法和系统
TW201328280A (zh) * 2011-12-29 2013-07-01 Chunghwa Telecom Co Ltd 即時通訊身分認證系統與方法
CN106027475A (zh) * 2016-01-21 2016-10-12 李明 一种密钥获取方法、身份证信息的传输方法及系统
CN108900296A (zh) * 2018-07-04 2018-11-27 昆明我行科技有限公司 一种基于生物特征识别的秘钥存储装置及方法

Family Cites Families (110)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19629856A1 (de) 1996-07-24 1998-01-29 Ibm Verfahren und System zum sicheren Übertragen und Speichern von schützbaren Informationen
JPH10247906A (ja) 1997-03-03 1998-09-14 Toshiba Corp 処理機能付きデバイス装置、情報処理システム、認証方法、認証・暗号化方法及び認証・復号方法
JP3597704B2 (ja) 1998-06-19 2004-12-08 株式会社日立製作所 Ｉｃカードおよび記録媒体
PT1175749E (pt) * 1999-04-22 2005-11-30 Veridicom Inc Autenticacao biometrica de alta seguranca utilizando pares de encriptacao de chave publica/chave privada
US8325994B2 (en) * 1999-04-30 2012-12-04 Davida George I System and method for authenticated and privacy preserving biometric identification systems
JP2001319164A (ja) 2000-05-10 2001-11-16 Nec Saitama Ltd レンタルシステムとそのレンタル方法、及び貸出プログラムを記録した記録媒体
FR2819074B1 (fr) 2000-12-29 2003-02-21 Dominique Bertrand Terminal d'affichage, de restitution, de saisie et de traitement de donnees, configurable par ses utilisateurs
JP2002271320A (ja) 2001-03-13 2002-09-20 Sony Corp 情報処理装置及び方法、並びに記憶媒体
US7676439B2 (en) * 2001-06-18 2010-03-09 Daon Holdings Limited Electronic data vault providing biometrically protected electronic signatures
JP4834263B2 (ja) 2001-09-28 2011-12-14 シャープ株式会社 カード認証システム、情報記録カードおよびカード認証方法
US7146009B2 (en) 2002-02-05 2006-12-05 Surety, Llc Secure electronic messaging system requiring key retrieval for deriving decryption keys
JP4660053B2 (ja) 2002-05-20 2011-03-30 ソニー株式会社 人的特徴照合装置
AU2003258067A1 (en) * 2002-08-06 2004-02-23 Privaris, Inc. Methods for secure enrollment and backup of personal identity credentials into electronic devices
JP2004104539A (ja) 2002-09-11 2004-04-02 Renesas Technology Corp メモリカード
US20050027991A1 (en) 2003-06-23 2005-02-03 Difonzo Joseph System and method for digital rights management
CN100363855C (zh) 2003-07-04 2008-01-23 诺基亚有限公司 密钥存储管理方法、装置及其系统
US20060149962A1 (en) 2003-07-11 2006-07-06 Ingrian Networks, Inc. Network attached encryption
US8842887B2 (en) 2004-06-14 2014-09-23 Rodney Beatson Method and system for combining a PIN and a biometric sample to provide template encryption and a trusted stand-alone computing device
JP2006079181A (ja) 2004-09-07 2006-03-23 Sony Corp 生体照合装置
JP4423478B2 (ja) 2004-09-07 2010-03-03 株式会社国際電気通信基礎技術研究所 振動提示装置
US20060059372A1 (en) 2004-09-10 2006-03-16 International Business Machines Corporation Integrated circuit chip for encryption and decryption having a secure mechanism for programming on-chip hardware
JP4326443B2 (ja) 2004-10-08 2009-09-09 フェリカネットワークス株式会社 情報処理装置および情報処理方法、並びにプログラム
JP4516399B2 (ja) 2004-10-08 2010-08-04 フェリカネットワークス株式会社 情報処理装置および方法、並びにプログラム
CA2922172A1 (en) 2004-10-25 2006-05-04 Security First Corp. Secure data parser method and system
JP2006221566A (ja) 2005-02-14 2006-08-24 Dainippon Printing Co Ltd ネットワークを利用した介護サービス支援システム
GB2424557A (en) 2005-03-24 2006-09-27 Sony Uk Ltd FPGA with hardware decryptor for configuration programme which adds second key to itself before re-encrypting and overwriting itself in memory when run
US8972743B2 (en) 2005-05-16 2015-03-03 Hewlett-Packard Development Company, L.P. Computer security system and method
JP4936238B2 (ja) 2005-06-13 2012-05-23 株式会社トプスシステムズ セキュリティ管理装置
JP2007018301A (ja) 2005-07-08 2007-01-25 Matsushita Electric Ind Co Ltd 利用条件処理装置
US8615663B2 (en) 2006-04-17 2013-12-24 Broadcom Corporation System and method for secure remote biometric authentication
GB2438452B (en) * 2006-05-24 2010-12-15 Nokia Corp Portable telecommunications apparatus
KR101043306B1 (ko) * 2006-09-20 2011-06-22 후지쯔 가부시끼가이샤 정보 처리 장치, 정보 관리 방법, 및 정보 관리 프로그램을 기억한 컴퓨터 판독 가능한 기억 매체
JP4301275B2 (ja) * 2006-09-28 2009-07-22 ソニー株式会社 電子機器、および情報処理方法
US7747024B2 (en) 2007-02-09 2010-06-29 Lenovo (Singapore) Pte. Ltd. System and method for generalized authentication
GB2452732A (en) 2007-09-12 2009-03-18 Seiko Epson Corp Smart-card chip with organic conductive surface layer for detecting invasive attack
CN101436247B (zh) 2007-11-12 2012-04-11 中国长城计算机深圳股份有限公司 一种基于uefi的生物身份识别方法及系统
CN201126581Y (zh) 2007-11-12 2008-10-01 中国长城计算机深圳股份有限公司 一种基于uefi的生物身份识别装置
BRPI0906863A8 (pt) 2008-01-07 2018-10-30 Security First Corp sistemas e métodos para proteção de dados com o uso de dispersão chaveada por multifatorial
US8438385B2 (en) 2008-03-13 2013-05-07 Fujitsu Limited Method and apparatus for identity verification
CN102027480B (zh) 2008-05-16 2014-12-17 惠普开发有限公司 用于提供系统管理命令的系统和方法
MY159232A (en) 2009-05-18 2016-12-30 Mikoh Corp Biometric identification method
EP2323308B1 (en) 2009-11-12 2016-03-23 Morpho Cards GmbH A method of assigning a secret to a security token, a method of operating a security token, storage medium and security token
WO2012122994A1 (en) 2011-03-11 2012-09-20 Kreft Heinz Off-line transfer of electronic tokens between peer-devices
US9037852B2 (en) 2011-09-02 2015-05-19 Ivsc Ip Llc System and method for independent control of for-hire vehicles
US9327510B2 (en) 2011-10-25 2016-05-03 Hewlett-Packard Development Company, L.P. Verification record for a replaceable supply
CN103138927B (zh) 2011-12-01 2015-12-16 航天信息股份有限公司 一种用于指纹认证的加密存储设备中密钥控制方法
GB2497553B (en) 2011-12-13 2018-05-16 Irisguard Inc Improvements relating to iris cameras
KR20140138271A (ko) 2012-03-15 2014-12-03 미코 코포레이션 생체 측정 인증 시스템
CN102594843A (zh) * 2012-03-22 2012-07-18 中国农业银行股份有限公司 一种身份认证系统和方法
US9135496B2 (en) 2012-05-18 2015-09-15 Apple Inc. Efficient texture comparison
US9590959B2 (en) 2013-02-12 2017-03-07 Amazon Technologies, Inc. Data security service
US20140025581A1 (en) * 2012-07-19 2014-01-23 Bank Of America Corporation Mobile transactions using authorized tokens
US8775757B2 (en) 2012-09-25 2014-07-08 Apple Inc. Trust zone support in system on a chip having security enclave processor
US8832465B2 (en) 2012-09-25 2014-09-09 Apple Inc. Security enclave processor for a system on a chip
EP2720167A1 (en) 2012-10-11 2014-04-16 Nagravision S.A. Method and system for smart card chip personalization
US10614099B2 (en) 2012-10-30 2020-04-07 Ubiq Security, Inc. Human interactions for populating user information on electronic forms
ES2625254T3 (es) 2012-11-02 2017-07-19 Morpho Cards Gmbh Tarjeta con chip de telecomunicaciones
US20140237256A1 (en) 2013-02-17 2014-08-21 Mourad Ben Ayed Method for securing data using a disposable private key
US10304044B2 (en) * 2013-06-05 2019-05-28 American Express Travel Related Services Company, Inc. Multi-factor mobile user authentication
JP6182371B2 (ja) 2013-06-28 2017-08-16 ルネサスエレクトロニクス株式会社 半導体集積回路を含むシステム
US9646150B2 (en) 2013-10-01 2017-05-09 Kalman Csaba Toth Electronic identity and credentialing system
US10127378B2 (en) 2014-10-01 2018-11-13 Kalman Csaba Toth Systems and methods for registering and acquiring E-credentials using proof-of-existence and digital seals
CN104580107B (zh) 2013-10-24 2018-02-06 华为技术有限公司 恶意攻击检测方法及控制器
US9213818B2 (en) 2014-02-24 2015-12-15 Partnet, Inc. Anonymous authentication using backup biometric information
EP3127273B1 (en) 2014-03-31 2020-10-14 Irdeto B.V. Cryptographic chip and related methods
CN105471575B (zh) 2014-09-05 2020-11-03 创新先进技术有限公司 一种信息加密、解密方法及装置
CN104239815A (zh) 2014-09-19 2014-12-24 西安凯虹电子科技有限公司 基于虹膜识别的电子文档加密解密装置及方法
US9953151B2 (en) 2015-02-03 2018-04-24 Chon Hock LEOW System and method identifying a user to an associated device
RU2673842C1 (ru) 2015-03-20 2018-11-30 Ривец Корп. Автоматическая аттестация сохранности устройства с применением цепочки блоков
US9875370B2 (en) 2015-03-26 2018-01-23 Microsoft Technology Licensing, Llc Database server and client for query processing on encrypted data
WO2016178127A1 (en) 2015-05-03 2016-11-10 Arm Technologies Israel Ltd. System, device, and method of managing trustworthiness of electronic devices
CN106301767B (zh) 2015-05-13 2020-01-03 中兴通讯股份有限公司 一种加密通话的处理方法、装置、终端及kmc
US10198182B2 (en) 2015-05-31 2019-02-05 Apple Inc. Synchronization and verification groups among related devices
US20160359633A1 (en) * 2015-06-02 2016-12-08 Crater Dog Technologies, LLC System and method for publicly certifying data
US10079677B2 (en) 2015-06-05 2018-09-18 Apple Inc. Secure circuit for encryption key generation
US10079880B2 (en) 2015-06-07 2018-09-18 Apple Inc. Automatic identification of invalid participants in a secure synchronization system
US10284376B2 (en) 2015-06-10 2019-05-07 Arris Enterprises Llc Code signing system with machine to machine interaction
US9942035B2 (en) 2015-08-18 2018-04-10 Intel Corporation Platform migration of secure enclaves
CN106487511B (zh) 2015-08-27 2020-02-04 阿里巴巴集团控股有限公司 身份认证方法及装置
US10536271B1 (en) 2016-01-10 2020-01-14 Apple Inc. Silicon key attestation
US11734678B2 (en) * 2016-01-25 2023-08-22 Apple Inc. Document importation into secure element
JP2017183930A (ja) 2016-03-29 2017-10-05 日本電気株式会社 サーバ管理システム、サーバ装置、サーバ管理方法、及びプログラム
CN105959287A (zh) 2016-05-20 2016-09-21 中国银联股份有限公司 一种基于生物特征的安全认证方法及装置
US11593797B2 (en) 2016-06-12 2023-02-28 Apple Inc. Authentication using a secure circuit
CN105975839B (zh) 2016-06-12 2019-07-05 北京集创北方科技股份有限公司 一种生物特征识别装置和方法以及生物特征模板注册方法
US10268844B2 (en) 2016-08-08 2019-04-23 Data I/O Corporation Embedding foundational root of trust using security algorithms
US10116440B1 (en) 2016-08-09 2018-10-30 Amazon Technologies, Inc. Cryptographic key management for imported cryptographic keys
CN106790183A (zh) 2016-12-30 2017-05-31 广州华多网络科技有限公司 登录凭证校验方法、装置
CN108345785B (zh) 2017-01-25 2021-05-11 杨建纲 内建智能安全行动装置
KR101937216B1 (ko) * 2017-02-01 2019-01-11 주식회사 데일리인텔리전스 블록체인을 인증서 발급기관으로 이용해서 인증서를 관리하는 장치 및 방법
CN108418677B (zh) 2017-02-09 2021-01-15 杭州海康威视数字技术股份有限公司 密钥备份、恢复方法及装置
CN108632021A (zh) 2017-03-15 2018-10-09 阿里巴巴集团控股有限公司 一种密钥加密方法、装置和系统
CN108667608B (zh) 2017-03-28 2021-07-27 阿里巴巴集团控股有限公司 数据密钥的保护方法、装置和系统
US10541818B2 (en) 2017-04-19 2020-01-21 International Business Machines Corporation Decentralized biometric signing of digital contracts
CN108881000A (zh) 2017-05-08 2018-11-23 国民技术股份有限公司 网关设备、第三方平台、支付系统及方法
CN107169762B (zh) 2017-05-24 2020-02-07 中国银联股份有限公司 一种安全载体的配置方法及装置
CN107241317B (zh) 2017-05-24 2021-01-15 国民认证科技（北京）有限公司 生物特征识别身份的方法和用户终端设备以及身份认证服务器
CN109150535A (zh) 2017-06-19 2019-01-04 中国移动通信集团公司 一种身份认证方法、设备、计算机可读存储介质及装置
WO2018236420A1 (en) 2017-06-20 2018-12-27 Google Llc CLOUD EQUIPMENT SECURITY MODULES FOR CRYPTOGRAPHIC EXTERNALIZATION OPERATIONS
US11922363B2 (en) * 2017-07-05 2024-03-05 United Parcel Service Of America, Inc. Counterparty physical proximity verification for digital asset transfers
US10819528B2 (en) 2017-07-18 2020-10-27 Square, Inc. Device security with physically unclonable functions
US10263793B2 (en) 2017-07-18 2019-04-16 Square, Inc. Devices with modifiable physically unclonable functions
US10438190B2 (en) 2017-07-18 2019-10-08 Square, Inc. Devices with on-board physically unclonable functions
CN109525392B (zh) 2017-09-20 2021-11-26 上海方付通商务服务有限公司 eID贴膜卡、移动终端设备及eID认证系统
US10509940B2 (en) 2017-09-28 2019-12-17 Apple Inc. Electronic device including sequential operation of light source subsets while acquiring biometric image data and related methods
US10833877B2 (en) 2017-10-12 2020-11-10 Canon Kabushiki Kaisha Method of authenticating authentication-target apparatus by authentication apparatus, authentication apparatus, authentication- target apparatus, and image forming apparatus
CN108540457B (zh) 2018-03-20 2021-09-17 深圳市文鼎创数据科技有限公司 一种安全设备及其生物认证控制方法和装置
US11641278B2 (en) 2018-03-27 2023-05-02 Workday, Inc. Digital credential authentication
US11700117B2 (en) 2018-03-27 2023-07-11 Workday, Inc. System for credential storage and verification
CN110677250B (zh) 2018-07-02 2022-09-02 阿里巴巴集团控股有限公司 密钥和证书分发方法、身份信息处理方法、设备、介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101764694A (zh) * 2008-12-22 2010-06-30 罗伯特.博世有限公司 用于保护数据的装置、方法和系统
TW201328280A (zh) * 2011-12-29 2013-07-01 Chunghwa Telecom Co Ltd 即時通訊身分認證系統與方法
CN106027475A (zh) * 2016-01-21 2016-10-12 李明 一种密钥获取方法、身份证信息的传输方法及系统
CN108900296A (zh) * 2018-07-04 2018-11-27 昆明我行科技有限公司 一种基于生物特征识别的秘钥存储装置及方法

Also Published As

Publication number Publication date
US11063749B2 (en) 2021-07-13
US20210314150A1 (en) 2021-10-07
US20200313875A1 (en) 2020-10-01
AU2019204723B2 (en) 2021-05-06
KR20200116009A (ko) 2020-10-08
TWI724683B (zh) 2021-04-11
US11088831B2 (en) 2021-08-10
JP6921222B2 (ja) 2021-08-18
WO2019120321A3 (en) 2020-01-30
WO2019120321A2 (en) 2019-06-27
CA3058240C (en) 2021-12-07
JP2020528675A (ja) 2020-09-24
SG11201908931TA (en) 2019-10-30
EP3610607A2 (en) 2020-02-19
CN111034120A (zh) 2020-04-17
AU2019204723C1 (en) 2021-10-28
KR102381153B1 (ko) 2022-03-30
AU2019204723A1 (en) 2019-06-27
EP3610607A4 (en) 2020-10-07
CN111034120B (zh) 2022-03-11
CA3058240A1 (en) 2019-06-27
EP3610607B1 (en) 2021-08-25
CN114553439A (zh) 2022-05-27
TW202036337A (zh) 2020-10-01
US20200366472A1 (en) 2020-11-19
US11258591B2 (en) 2022-02-22

Similar Documents

Publication Publication Date Title
CN114553439B (zh) 基于身份信息的加密密钥管理
CN110999254B (zh) 安全地执行加密操作
CN110431803B (zh) 基于身份信息管理加密密钥

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant