CN115688131A - 一种服务器密码机扩展系统及方法 - Google Patents

Abstract

本发明涉及一种服务器密码机扩展系统及方法，应用于信息安全技术领域中，包括：通过设置密码机服务扩展模块以及密钥数据库，将密码机生成的密钥放入密钥数据库中进行存储，当需要进行密码运算时，再从密钥数据库中进行提取，解决了现有技术中，密钥存储在密码机内部，密码机内部存储容量有限，不能大量存储的密钥的问题，本方案在密码机生成密钥之后，通过密钥加密密钥对生成的密钥进行加密，这样在密钥传输以及保存在密钥数据库中时，密钥始终不以明文的形式直接出现，可以有效的保证密钥的安全性，也就是说，本方案中，以密码机为边界线，当密钥离开密码机之后，在任何地方出现都是以加密的形式出现，不会出现被篡改和窃取的问题。

Description

一种服务器密码机扩展系统及方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种服务器密码机扩展系统及方法。

背景技术

服务器密码机可为各类应用提供加密、解密、签名、验签、完整性校验、真随机数生成、密钥生成和管理等服务，确保用户数据的机密性、真实性、完整性和有效性，在现有技术中，由于密钥存储在密码机内部，而密码机内部的存储容量有限，不能实现大规模的密钥存储，而想要将密钥放在外部存储的话，就需要解决密钥离开密码机之后以明文的形式出现在了内存中，即密钥以明文的形式出现在了不安全的环境中，可能被篡改和窃取的问题。

发明内容

有鉴于此，本发明的目的在于提供一种服务器密码机扩展系统及方法，以解决现有技术中，密钥存储在密码机内部，密码机内部存储容量有限，不能大量存储密钥，而将密钥存储在外部的话，密钥在离开密码机之后，以明文的形式出现在了内存中，可能会被篡改和窃取的问题。

根据本发明实施例的第一方面，提供一种服务器密码机扩展系统，包括：

密码机服务扩展模块：用于接收上位机发送的密钥生成请求，所述密钥生成请求中指定了密钥算法，根据密钥算法向加密机发送请求生成加密的密钥，将加密的密钥以及密钥算法存储到密钥数据库中；

还用于接收上位机发送的密码运算请求，从密钥数据库中取出指定的加密的密钥以及密钥算法，将待处理的数据、加密的密钥以及密钥算法发送给密码机并接收密码机运算后的结果发送给上位机；

密码机：用于根据请求的密钥算法生成密钥，使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块；

还用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块；

密钥数据库：用于存储加密的密钥以及密钥算法。

优选地，

所述密码机服务扩展模块还用于接收到密码机发送的加密的密钥后，为该加密的密钥生成访问控制码，将该访问控制码以及加密的密钥存储到密钥数据库中。

优选地，

所述密码机服务扩展模块还用于接收到上位机发送的密码运算请求后，对密码运算请求中的访问控制码进行对比验证，验证通过后在密钥数据库中查找并提取相应的加密的密钥发送给密码机。

优选地，

所述密码机包括：

外部密钥生成接口：用于根据密钥生成算法生成随机密钥，再使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块；

外部密钥密码运算接口：用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块。

优选地，

所述密码机包括多个，多个密码机分别与密码机服务扩展模块连接。

根据本发明实施例的第二方面，提供一种服务器密码机扩展方法，所述方法基于上述任意一项所述的一种服务器密码机扩展系统，所述方法包括：

根据密钥生成请求以及调度策略调度密码机通过指定的密钥算法生成密钥，再通过密钥加密密钥对生成的密钥进行加密，得到加密的密钥；

将加密的密钥以及密钥算法保存在密钥数据库中；

当需要进行密码运算时，从密钥数据库中提取相应的加密的密钥以及密钥算法给密码机，密码机通过密钥加密密钥对加密的密钥进行解密得到密钥，再通过密钥以及密钥算法对待处理的数据进行密码运算得到密码运算后的结果。

优选地，还包括：

对生成的加密的密钥再生成随机的访问控制码，将访问控制码以及加密的密钥一并在密钥数据库中进行存储；

当需要使用加密的密钥进行密码运算时，先对上位机发送的访问控制码进行验证，若验证通过，则在密钥数据库中提取相应的加密的密钥，若验证未通过，则结束密码运算。

优选地，

所述密码运算包括签名、验签、加密以及解密。

本发明的实施例提供的技术方案可以包括以下有益效果：

本申请通过设置密码机服务扩展模块以及密钥数据库，将密码机生成的密钥放入密钥数据库中进行存储，当需要进行密码运算时，再从密钥数据库中进行提取，解决了现有技术中，密钥存储在密码机内部，密码机内部存储容量有限，不能大量存储的密钥的问题，本方案在密码机生成密钥之后，通过密钥加密密钥对生成的密钥进行加密，这样在密钥传输以及保存在密钥数据库中时，密钥始终不以明文的形式直接出现，可以有效的保证密钥的安全性，也就是说，本方案中，以密码机为边界线，当密钥离开密码机之后，在任何地方出现都是以加密的形式出现，不会出现被篡改和窃取的问题。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种服务器密码机扩展系统的系统示意图；

图2是根据另一示例性实施例示出的一种服务器密码机扩展系统的详细系统示意图；

图3是根据另一示例性实施例示出的一种服务器密码机扩展方法的流程示意图；

图4是根据另一示例性实施例示出的密钥生成流程示意图；

图5是根据另一示例性实施例示出的数据签名运算流程示意图；

附图中：1-密码机服务扩展模块，2-密码机，3-密钥数据库，201-外部密钥生成接口，202-外部密钥密码运算接口。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

实施例一

图1是根据一示例性实施例示出的一种服务器密码机扩展系统的系统示意图，如图1所示，包括：

密码机服务扩展模块1：用于接收上位机发送的密钥生成请求，所述密钥生成请求中指定了密钥算法，根据密钥算法向加密机2发送请求生成加密的密钥，将加密的密钥以及密钥算法存储到密钥数据库3中；

还用于接收上位机发送的密码运算请求，从密钥数据库3中取出指定的加密的密钥以及密钥算法，将待处理的数据、加密的密钥以及密钥算法发送给密码机并接收密码机运算后的结果发送给上位机；

密码机2：用于根据请求的密钥算法生成密钥，使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块；

还用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块1；

密钥数据库3：用于存储加密的密钥以及密钥算法；

可以理解的是，本申请通过设置密码机服务扩展模块1以及密钥数据库3，当接收到上位机发送的密钥生成请求后，所述密钥生成请求中指定了密钥算法，密码机服务扩展模块1根据指定的密钥算法向密码机2发送请求，密码机2根据请求的参数算法生成密钥，再通过密钥加密密钥对生成的密钥进行加密得到加密的密钥，将生成的加密的密钥上传给密码机服务扩展模块1，密码机服务扩展模块1将密钥算法以及加密的密钥一并放入密钥数据库3中进行存储，当需要进行密码运算时，再从密钥数据库3中进行提取，解决了现有技术中，密钥存储在密码机2内部，密码机2内部存储容量有限，不能大量存储的密钥的问题，本方案在密码机2生成密钥之后，通过密钥加密密钥对生成的密钥进行加密，这样在密钥传输以及保存在密钥数据库3中时，密钥始终不以明文的形式直接出现，可以有效的保证密钥的安全性，也就是说，本方案中，以密码机2为边界线，当密钥离开密码机2之后，在任何地方出现都是以加密的形式出现，不会出现被篡改和窃取的问题。

优选地，

所述密码机服务扩展模块1还用于接收到密码机2发送的加密的密钥后，为该加密的密钥生成访问控制码，将该访问控制码以及加密的密钥存储到密钥数据库3中；

可以理解的是，为了进一步提高密钥的安全性，在加密的密钥上传到密码机服务扩展模块1之后，密码机服务扩展模块1还将生成随机的且唯一的访问控制码，将该访问控制码以及加密的密钥一并保存在密钥数据库3中，在后续需要时，再进行提取。

优选地，

所述密码机服务扩展模块1还用于接收到上位机发送的密码运算请求后，对密码运算请求中的访问控制码进行对比验证，验证通过后在密钥数据库3中查找并提取相应的加密的密钥发送给密码机2；

可以理解的是，当上位机发送密码运算请求后，还将一并发送访问控制码，密码机服务扩展模块1对访问控制码进行比对验证，验证通过后，才在密钥数据库3中提取相应的加密的密钥。

优选地，

所述密码机2包括：

外部密钥生成接口201：用于根据指定的密钥生成算法生成随机密钥，再使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块1；

外部密钥密码运算接口202：用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块1；

可以理解的是，如附图2所示，外部密钥生成接口201的功能包括：根据指定密钥算法生成随机密钥，使用加密机中的密钥加密密钥加密生成的密钥并发送给密码机服务扩展模块1；外部密钥密码运算接口202的功能包括：接收加密的密钥、密钥加密密钥标识以及密码算法等信息；使用指定的密钥加密密钥解密加密的密钥得到密钥，再通过密钥以及密钥算法对待处理的数据执行指定的密码运算得到密码运算结果，值得强调的是，密钥加密密钥禁止用于外部传入的数据/密钥加密，以防止破坏外部密钥保护的安全性；

为支持不同型号加密机组成资源池，共同向密码机服务扩展模块1提供无差别密钥生成运算与密码算法运算，对加密机2进行了功能扩展定义，包括：基于密码机权限访问控制机制，在管理员(m of n)权限下使用指定公钥保护导出加密机密钥加密密钥；

基于密码机权限访问控制机制，在管理员(m of n)权限下使用指定私钥导入密钥加密密钥到指定位置。

优选地，

所述密码机2包括多个，多个密码机2分别与密码机服务扩展模块1连接；

可以理解的是，如附图2所示，密码机服务扩展模块1对外提供的密钥生成及密码运算的计算性能依赖于服务器密码机的性能，当并发性能要求高，一台密码机2不足以满足需求时，就需要使用多台密码机2来支持，密码机服务扩展模块要能够对多台密码机组成的资源池进行有效的负载调度，调度策略包含但不限于：

轮询：按照顺序，逐一选取使用加密机，不断循环；

加权轮询：为每台加密机设置权值，访问的几率与权值正相关；

最少连接数：当前哪台加密机的连接数少，就选取使用哪台。

实施例二

本实施例还公开了一种服务器密码机扩展方法的流程示意图，如附图3所示，包括：

S1，根据密钥生成请求以及调度策略调度密码机通过指定的密钥算法生成密钥，再通过密钥加密密钥对生成的密钥进行加密，得到加密的密钥；

S2，将加密的密钥以及密钥算法保存在密钥数据库中；

S3，当需要进行密码运算时，从密钥数据库中提取相应的加密的密钥以及密钥算法给密码机，密码机通过密钥加密密钥对加密的密钥进行解密得到密钥，通过密钥以及密钥算法对待处理数据进行密码运算得到密码运算后的结果；

可以理解的是，如附图4所示，当获取到上位机或应用系统发送的密钥生成请求后，根据指定的密钥算法生成随机的密钥，通过密钥加密密钥对生成的密钥进行加密，将加密的密钥以及密钥算法存储在密钥数据库中，当需要使用密钥时，也就是需要进行密码运算时，再从密钥数据库中提取加密的密钥，通过密钥加密密钥对加密的密钥先进行解密，得到密钥，再通过密钥以及密钥算法对待处理的数据进行密码运算得到运算结果；通过上述方案解决了现有技术中，密钥存储在密码机内部，密码机内部存储容量有限，不能大量存储的密钥的问题，本方案在密码机生成密钥之后，通过密钥加密密钥对生成的密钥进行加密，这样在密钥传输以及保存在密钥数据库中时，密钥始终不以明文的形式直接出现，可以有效的保证密钥的安全性，也就是说，本方案中，以密码机为边界线，当密钥离开密码机之后，在任何地方出现都是以加密的形式出现，不会出现被篡改和窃取的问题。

优选地，还包括：

对生成的加密的密钥再生成随机的访问控制码，将访问控制码以及加密的密钥一并在密钥数据库中进行存储；

当需要使用加密的密钥进行密码运算时，先对上位机发送的访问控制码进行验证，若验证通过，则在密钥数据库中提取相应的加密的密钥，若验证未通过，则结束密码运算；

可以理解的是，为了进一步提高密钥的安全性，在加密的密钥生成之后，还将生成该加密的密钥的访问控制码，将该访问控制码以及加密的密钥一并保存在密钥数据库中，在后续需要时，需要先对访问控制码进行验证，验证通过后才能在密钥数据库中提取加密的密钥。

优选地，

所述密码运算包括签名、验签、加密以及解密；

可以理解的是，以密码运算中的签名运算对上述方法进行举例，如下所示：

对下述流程中使用的单词进行注释：

keyAlg：密钥算法，用来指示生成哪种算法的密钥(如SM2、RSA、SM4等)；

KEK_ID：密钥加密密钥标识，会配置到密码机服务扩展系统，是存储在密码机中的密钥加密密钥的标识；

keyID：生成的密钥的标识；

acPwd：密钥的访问控制码，后续使用需要提供正确的访问控制码；

如附图5所示，

上位机使用密钥标识(keyID)、密钥对应的acPwd、摘要算法和待签名数据data向密码机服务扩展模块发起签名请求；

密码机服务扩展模块验证密钥(keyID指定的密钥)的访问控制码(acPwd)是否正确，如不正确，则返回错误，结束，否则继续；

密码机服务扩展模块从密钥数据库中取出keyID对应的加密的密钥；

密码机服务扩展模块根据调度策略选取本次服务调用的密码机；

密码机服务扩展模块向选取的密码机发送外部密钥签名请求，请求数据中包含keyID对应的加密的密钥、密钥算法、KEK_ID、摘要算法、待签名数据data；

密码机使用KEK_ID对应的密钥解密密钥解密keyID对应的加密的密钥得到本次签名密钥；

密码机使用签名密钥、摘要算法以及密钥算法对待签名数据data进行签名，得到签名值，然后将签名值返回给密码机服务扩展模块；

密码机服务扩展模块获得签名值后，保存本次服务记录，将该签名值返回给上位机；

上位机获得签名值，进行后续业务流程。

可以理解的是，上述各实施例中相同或相似部分可以相互参考，在一些实施例中未详细说明的内容可以参见其他实施例中相同或相似的内容。

需要说明的是，在本发明的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本发明的描述中，除非另有说明，“多个”的含义是指至少两个。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (8)

1.一种服务器密码机扩展系统，其特征在于，所述系统包括：

密码机服务扩展模块：用于接收上位机发送的密钥生成请求，所述密钥生成请求中指定了密钥算法，根据密钥算法向加密机发送请求生成加密的密钥，将加密的密钥以及密钥算法存储到密钥数据库中；

还用于接收上位机发送的密码运算请求，从密钥数据库中取出指定的加密的密钥以及密钥算法，将待处理的数据、加密的密钥以及密钥算法发送给密码机并接收密码机运算后的结果发送给上位机；

密码机：用于根据请求的密钥算法生成密钥，使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块；

还用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块；

密钥数据库：用于存储加密的密钥以及密钥算法。

2.根据权利要求1所述的系统，其特征在于，

所述密码机服务扩展模块还用于接收到密码机发送的加密的密钥后，为该加密的密钥生成访问控制码，将该访问控制码以及加密的密钥存储到密钥数据库中。

3.根据权利要求2所述的系统，其特征在于，

所述密码机服务扩展模块还用于接收到上位机发送的密码运算请求后，对密码运算请求中的访问控制码进行对比验证，验证通过后在密钥数据库中查找并提取相应的加密的密钥发送给密码机。

4.根据权利要求3所述的系统，其特征在于，

所述密码机包括：

外部密钥生成接口：用于根据密钥生成算法生成随机密钥，再使用密钥加密密钥对生成的密钥进行加密得到加密的密钥并发送给密码机服务扩展模块；

外部密钥密码运算接口：用于通过密钥加密密钥对加密的密钥进行解密得到密钥，根据密钥算法以及密钥对待处理数据进行密码运算，得到运算后的结果，将运算后的结果发送给密码机服务扩展模块。

5.根据权利要求1所述的系统，其特征在于，

所述密码机包括多个，多个密码机分别与密码机服务扩展模块连接。

6.一种服务器密码机扩展方法，其特征在于，所述方法基于权利要求1-5任意一项所述的一种服务器密码机扩展系统，所述方法包括：

根据密钥生成请求以及调度策略调度密码机通过指定的密钥算法生成密钥，再通过密钥加密密钥对生成的密钥进行加密，得到加密的密钥；

将加密的密钥以及密钥算法保存在密钥数据库中；

当需要进行密码运算时，从密钥数据库中提取相应的加密的密钥以及密钥算法给密码机，密码机通过密钥加密密钥对加密的密钥进行解密得到密钥，通过密钥以及密钥算法对待处理数据进行密码运算得到密码运算后的结果。

7.根据权利要求6所述的方法，其特征在于，还包括：

对生成的加密的密钥再生成随机的访问控制码，将访问控制码以及加密的密钥一并在密钥数据库中进行存储；

当需要使用加密的密钥进行密码运算时，先对上位机发送的访问控制码进行验证，若验证通过，则在密钥数据库中提取相应的加密的密钥，若验证未通过，则结束密码运算。

8.根据权利要求7所述的方法，其特征在于，

所述密码运算包括签名、验签、加密以及解密。

Images