CN117155549A - 密钥分发方法、装置、计算机设备和存储介质 - Google Patents

密钥分发方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
CN117155549A
CN117155549A CN202310780654.XA CN202310780654A CN117155549A CN 117155549 A CN117155549 A CN 117155549A CN 202310780654 A CN202310780654 A CN 202310780654A CN 117155549 A CN117155549 A CN 117155549A
Authority
CN
China
Prior art keywords
key
service
private key
working node
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310780654.XA
Other languages
English (en)
Inventor
解敏
李梓铭
廖敏飞
吴孟晴
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Construction Bank Corp
CCB Finetech Co Ltd
Original Assignee
China Construction Bank Corp
CCB Finetech Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Construction Bank Corp, CCB Finetech Co Ltd filed Critical China Construction Bank Corp
Priority to CN202310780654.XA priority Critical patent/CN117155549A/zh
Publication of CN117155549A publication Critical patent/CN117155549A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Abstract

本申请涉及云原生技术领域，提供一种密钥分发方法、装置、计算机设备、存储介质和计算机程序产品。所述方法包括：接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息，在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文，通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。采用本方案能够很大程度上提高密钥数据的安全性。

Description

密钥分发方法、装置、计算机设备和存储介质
技术领域
本申请涉及云原生技术领域，特别是涉及一种密钥分发方法、装置、计算机设备、存储介质和计算机程序产品。
背景技术
随着互联网和信息技术的快速发展，保护数据的真实性和安全性成为了社会日益关注的话题。
目前，各大企业与外部机构的通信通常涉及端到端的报文认证，并基于PKI(Public Key Infrastructure，公开密钥基础设施)体系实现通讯报文的防篡改和防抵赖。然而，企业内通常是不同的业务场景分散使用一套签名服务器和密码机，若产生新业务，需要另外采购新的签名服务器。
上述密钥管理方案，由于签名密钥数量多且分散，难以管理，使得密钥数据安全性难以保障。
发明内容
基于此，有必要针对上述技术问题，提供一种能够提高密钥数据安全性的密钥分发方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。
第一方面，本申请提供了一种密钥分发方法，应用于构建有可信执行环境的容器集群管理平台中的主节点。所述方法包括：
接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息；
在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文；
通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带业务服务方标识信息以及身份凭证数据；
在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文；
通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名；
根据身份凭证数据对工作节点进行身份验证包括：
获取芯片厂商提供的公钥；
根据公钥对第一数字签名进行验签，得到第一报文摘要；
若第一报文摘要与通过哈希算法生成的第二报文摘要一致，则判定工作节点通过身份验证。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名；
根据身份凭证数据对工作节点进行身份验证包括：
发送携带第一数字签名的签名验证请求至认证服务器；
接收认证服务器根据工作节点的公钥对第一数字签名进行验签得到的验证结果；
根据验证结果对工作节点进行身份验证。
在其中一个实施例中，方法还包括：
发送远程认证请求至工作节点；
接收工作节点发送的可信证明数据，可信证明数据包括工作节点中的可信执行环境的度量值信息；
在度量值信息通过签名验证和信息验证的情况下，建立安全信道。
在其中一个实施例中，方法还包括：
接收工作节点通过安全信道发送的密钥创建请求，密钥创建请求携带业务服务方标识信息以及第二数字签名；
在第二数字签名验签成功的情况下，在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥获取数据加密密钥，通过数据加密密钥加密业务私钥；
存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
在其中一个实施例中，通过数据加密密钥加密业务私钥之后，还包括：
获取密钥加密密钥；
通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥。
在其中一个实施例中，创建与业务服务方标识信息对应的业务密钥包括：
调用第三方密钥管理服务，创建与业务服务方标识信息对应的业务密钥；
获取加密密钥包括：
发送数据加密密钥获取请求至第三方密钥管理服务；
接收第三方密钥管理服务反馈的随机生成的数据加密密钥；
获取密钥加密密钥包括：
发送密钥加密密钥获取请求至第三方密钥管理服务；
接收第三方密钥管理服务反馈的密钥加密密钥。
在其中一个实施例中，业务私钥包括复合业务私钥，复合业务私钥通过组合随机密钥和业务密钥得到，业务密钥基于业务服务方标识信息生成。
第二方面，本申请还提供了一种密钥分发装置，应用于构建有可信执行环境的容器集群管理平台中的主节点。所述装置包括：
请求接收模块，用于接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息；
数据处理模块，用于在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文；
数据发送模块，用于通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
装置还包括身份验证模块，用于获取芯片厂商提供的公钥，根据公钥对第一数字签名进行验签，得到第一报文摘要，若第一报文摘要与通过哈希算法生成的第二报文摘要一致，则判定工作节点通过身份验证。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
装置还包括身份验证模块，用于发送携带第一数字签名的签名验证请求至认证服务器，接收认证服务器根据工作节点的公钥对第一数字签名进行验签得到的验证结果，根据验证结果对工作节点进行身份验证。
在其中一个实施例中，装置还包括远程认证模块，用于发送远程认证请求至工作节点，接收工作节点发送的可信证明数据，可信证明数据包括工作节点中的可信执行环境的度量值信息，在度量值信息通过签名验证和信息验证的情况下，建立安全信道。
在其中一个实施例中，装置还包括密钥管理模块，用于接收工作节点通过安全信道发送的密钥创建请求，密钥创建请求携带业务服务方标识信息以及第二数字签名，在第二数字签名验签成功的情况下，在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥获取数据加密密钥，通过数据加密密钥加密业务私钥，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
在其中一个实施例中，密钥管理模块还用于获取密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥。
在其中一个实施例中，密钥管理模块还用于调用第三方密钥管理服务，创建与业务服务方标识信息对应的业务密钥，发送数据加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的随机生成的数据加密密钥，发送密钥加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的密钥加密密钥。
第三方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述各密钥分发方法实施例中的步骤。
第四方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述各密钥分发方法实施例中的步骤。
第五方面，本申请还提供了一种计算机程序产品。所述计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述各密钥分发方法实施例中的步骤。
上述密钥分发方法、装置、计算机设备、存储介质和计算机程序产品，提供了构建有可信执行环境的容器集群管理平台，平台中的主节点接收工作节点通过安全信道发送的业务私钥获取请求，然后，对工作节点进行身份验证，在成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文，再通过安全信道将业务私钥密文直接发送至工作节点的可信执行环境中，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。整个方案，区别于传统的不同的业务方使用独立的签名服务器和密码机的做法，通过容器集群管理平台统一管理密钥数据，能够摈除对密码机和签名服务器等专用硬件设备的依赖，提供一体化的云原生签名服务，并且，通过在容器集群平台中的各个节点构建可信执行环境，在硬件中为敏感数据单独分配一块隔离内存，密钥数据的管理和加解密过程等敏感数据的处理均在可信执行环境中进行，能够提高密钥数据的安全性，并降低明文数据直接暴露在内存中被恶意窃取的风险，此外，通过在主节点和工作节点之间建立安全信道，能够提高数据传输过程的安全性。综上所述，采用本方案能够很大程度上提高密钥数据的安全性。
附图说明
图1为一个实施例中密钥分发方法的应用环境图；
图2为一个实施例中密钥分发方法的流程示意图；
图3为一个实施例中密钥分发方法的详细流程示意图；
图4为一个实施例中密钥管理步骤的流程示意图；
图5为另一个实施例中密钥管理步骤的流程示意图；
图6为一个实施例中密钥管理步骤的详细流程示意图；
图7为另一个实施例中密钥分发方法的应用环境图；
图8为一个实施例中密钥分发方法的详细流程示意图；
图9为一个实施例中密钥分发装置的结构框图；
图10为另一个实施例中密钥分发装置的结构框图；
图11为一个实施例中计算机设备的内部结构图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
需要说明的是，本申请所涉及的数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准。
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
本申请实施例提供的密钥管理方法，可以应用于如图1所示的应用环境中。其中，以容器集群管理平台(以下简称平台)为kubernetes(以下简称为k8s)进行说明，平台中的工作节点102通过网络与主节点104进行通信，且工作节点102与主节点102均采用信创CPU(Central-Processing-Unit，中央处理器)，工作节点102与主节点102之间建立有安全信道。数据存储系统可以存储主节点104需要处理的数据，可放在云上或其他网络服务器上。具体地，可以是工作节点102通过安全信道发送的携带工作节点的身份凭证数据和业务服务方标识信息(即图中数字签名微服务的标识信息)的业务私钥获取请求至主节点104，主节点104接收该业务私钥获取请求，根据身份凭证数据验证工作节点的身份，在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境(TEE，Trusted ExecutionEnvironment)中，通过kube-apiserver从etcd(Extended Distributed Key Value，扩展分布式键值)数据库中查找出与业务服务方标识信息对应的业务私钥密文，最后，通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。其中，工作节点102和主节点104可以用独立的服务器或者是多个服务器组成的服务器集群来实现。也可以包括但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑、物联网设备和便携式可穿戴设备，物联网设备可为智能音箱、智能电视、智能空调、智能车载设备等。便携式可穿戴设备可为智能手表、智能手环、头戴设备等。
在一个实施例中，如图2所示，提供了一种密钥分发方法，以该方法应用于图1中的主节点为例进行说明，包括以下步骤：
S200，接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息。
容器集群管理平台包括但不限于Kubernetes、Swam容器管理平台以及Mesos容器管理平台等其他容器集群管理平台。本实施例中，容器集群管理平台中部署有主节点和多个工作节点，主节点和工作节点均构建有可信执行环境，可信执行环境是在计算平台上由软硬件方法构建的一个安全区域，可保证在安全区域内加载的代码和数据在机密性和完整性方面得到保护。安全信道也可称为可信信道，可信信道可以是通过TEE技术在节点之间建立的安全的数据通信通道。业务私钥是指用于在业务数据处理过程中对数据进行数据加密的私钥，本实施例中，业务私钥可以是每一业务服务方用于在业务数据处理过程中对数据进行签名的数字签名私钥。身份凭证数据是指用于证明工作节点的身份的凭证数据，包括但不限于身份证明数据、身份标识数据以及数字签名等数据。业务服务方标识信息即指标识业务服务方的身份的数据，包括但不限于业务服务方名称、业务服务方ID(identity，身份)以及业务服务方的特定编码等信息。业务服务方的数量可以是多个，每一业务服务方提供不同的业务功能。
具体实施时，可以是工作节点的业务私钥统一由主节点进行管理，业务私钥可以是存储在etcd数据库中。当工作节点中部署的业务服务方需要取用业务私钥进行数字签名时，可以通过安全信道发送业务私钥获取请求至主节点，业务私钥获取请求携带有业务服务方标识信息和工作节点的身份凭证数据。
S400，在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文。
业务私钥密文是对业务私钥进行加密得到的密文数据。主节点接收到工作节点的业务私钥获取请求后，可提取出其中的身份凭证数据，通过该身份凭证数据对工作节点进行身份验证，以验证该节点是否具备访问权限。具体地，可以是对身份凭证数据进行合法性验证、正确性验证以及有效性验证等验证。若根据身份凭证数据成功验证工作节点的身份后，在TEE中查找出与业务服务方标识信息对应的业务私钥密文。
S600，通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
承接上一内容，当主节点查找到与业务服务方标识信息对应的业务私钥密文时，通过该安全信道将业务私钥密文直接发送至工作节点的可信执行环境中，工作节点在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行数字签名，进行后续的业务操作。
上述密钥分发方法中，提供了构建有可信执行环境的容器集群管理平台，平台中的主节点接收工作节点通过安全信道发送的业务私钥获取请求，然后，对工作节点进行身份验证，在成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文，再通过安全信道将业务私钥密文直接发送至工作节点的可信执行环境中，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。整个方案，区别于传统的不同的业务方使用独立的签名服务器和密码机的做法，通过容器集群管理平台统一管理密钥数据，能够摈除对密码机和签名服务器等专用硬件设备的依赖，提供一体化的云原生签名服务，并且，通过在容器集群平台中的各个节点构建可信执行环境，在硬件中为敏感数据单独分配一块隔离内存，密钥数据的管理和加解密过程等敏感数据的处理均在可信执行环境中进行，能够提高密钥数据的安全性，并降低明文数据直接暴露在内存中被恶意窃取的风险，此外，通过在主节点和工作节点之间建立安全信道，能够提高数据传输过程的安全性。综上所述，采用本方案能够很大程度上提高密钥数据的安全性。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名。
根据身份凭证数据对工作节点进行身份验证包括：获取芯片厂商提供的公钥，根据公钥对第一数字签名进行验签，得到第一报文摘要，若第一报文摘要与通过哈希算法生成的第二报文摘要一致，则判定工作节点通过身份验证。
本实施例中，身份凭证数据包括工作节点的数字签名。工作节点的CPU可以是提供有TrustZone技术的信创CPU，上述信创CPU提供有国产密码算法和TEE技术。具体地，TEE技术中，以SGX(Software Guard Extension，以下简称SGX)技术为例，各节点可以基于SGX技术创建enclave(飞地)，以作为用于执行特定应用程序的TEE。信创CPU在出厂前，信创芯片厂商会为每一个信创CPU生成一对公私钥，并将私钥烧录在不可删改的硬件如熔丝寄存器内。熔丝寄存器是一次性编程寄存器，一经烧入数据后即熔断熔丝，使得后续该寄存器中的内容仅可读而不再可写。待TEE的程序完成初始化后，各节点可根据初始化状态信息生成摘要，然后用信创CPU的私钥进行签名，并将签名和原文发送给主节点。主节点可通过与私钥对应的公钥进行验签，确保两个内存保护的通信安全性。
具体实施时，信创CPU厂商提供的私钥可以是存放与TEE中用于后续的签名，而公钥可以是预先存储在主节点上，或者存在主节点可以取用数据的数据管理平台，处于安全性能考虑，公钥也可以是由厂商服务器进行保管，并不对外公开。本实施例中，以公钥数据预存在主节点为例，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名为例进行说明，可以是主节点获取信创CPU厂商提供的公钥，然后根据该公钥对第一数字签名进行验签处理(解密处理)，得到解密后的报文摘要，然后，再通过哈希算法对接收到的数据原文进行运算，得到第二报文摘要，得到再将解密出的第一报文摘要与通过哈希算法生成的第二报文摘要进行比对，若第一报文摘要与第二报文摘要一致，则表征该工作节点通过身份验证，若不一致，则表征工作节点未通过身份验证。本实施例中，通过对数字签名进行验签处理的方式验证工作节点的身份，能够有效减少身份伪造的风险，并且，能够确保数据的完整性和正确性，以及保证数据在发送过程中未做任何修改或变动。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名。
根据身份凭证数据对工作节点进行身份验证包括：发送携带第一数字签名的签名验证请求至认证服务器。接收认证服务器根据工作节点的公钥对第一数字签名进行验签得到的验证结果。根据验证结果对工作节点进行身份验证。
本实施例中，同样以身份凭证数据包括由工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名为例，区别之处在于，以信创CPU厂商提供的公钥保管在厂商服务器(也可称为认证服务器)为例进行说明。在实际应用中，为了进一步提高数据安全性能，信创CPU厂商提供的公钥并不对外公开，而是由厂商服务器进行保管，因此，在后续的工作节点的身份认证过程中，需要通过认证服务器进行认证。
具体实施时，可以是发送携带第一数字签名的签名验证请求至认证服务器，认证服务器在接收到该签名验证请求后，可以是遍历自身的公钥，通过公钥对第一数字签名进行解密，得到第一报文摘要，然后，通过哈希算法对接收到的数据原文进行运算，得到第二报文摘要，再将解密出的第一报文摘要与通过哈希算法生成的第二报文摘要进行比对，若第一报文摘要与第二报文摘要一致，则表征该工作节点通过身份验证，若不一致，则表征工作节点未通过身份验证，通过上述方式得到验证结果，验证结果包括工作节点通过身份验证或未通过身份验证的结果。然后，认证服务器可将验证结果反馈至主节点，主节点根据验证结果对工作节点的身份进行验证。在另一些实施例中，认证服务器还可使用自身的私钥对身份验证结果进行签名，再将签名后的验证结果发送至主节点，主节点解密得到验证结果，再根据验证结果对工作节点进行身份验证。本实施例中，将芯片的公钥保管在认证服务器，而不对外公开，通过认证服务器对工作节点进行身份认证，能够进一步降低公钥数据泄露和被篡改的风险。
如图3所示，在其中一个实施例中，方法还包括：
S100，发送远程认证请求至工作节点，接收工作节点发送的可信证明数据，可信证明数据包括工作节点中的可信执行环境的度量值信息，在度量值信息通过签名验证和信息验证的情况下，建立安全信道。
在TEE技术中，TEE需要提供远程证明，来证明TEE本身环境的安全，以及运行在TEE里面的可信应用程序的完整性等。本实施例中，可以是主节点发起远程认证请求至工作节点，以要求工作节点的TEE出示可信证明数据，相应地，工作节点中的TEE可以通过远程证明机制证明所包括的程序代码以及其他数据的正确性。可信证明数据可包括TEE中运行的程序代码的度量值信息以及与安全相关的其它状态信息，所述度量值可以是TEE中运行的程序代码的哈希值。
具体实施时，可以是主节点发送远程认证请求至工作节点，工作节点接收到远程认证请求时，会获取当前运行环境中的度量值信息，将度量值信息发送给主节点，主节点接收到度量值信息后，可以先对度量值信息进行签名验证，以验证生成度量值信息的TEE是真实的TEE。若度量值信息的签名验证成功，则对度量值的具体信息进行验证，以确认TEE中的运行程度是符合预期的，或者程序未经篡改，若签名验证和信息验证均通过，则表征远程认证流程成功完成，此时，可通过SGX的Attestation机制建立安全信道，即实现两个TEE程序之间的通信用Attestation机制进行安全保护。
如图4所示，在其中一个实施例中，方法还包括：
S120，接收工作节点通过安全信道发送的密钥创建请求，密钥创建请求携带业务服务方标识信息以及第二数字签名。
S140，在第二数字签名验签成功的情况下，在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥。
S160，获取数据加密密钥，通过数据加密密钥加密业务私钥。
S180，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
本实施例中，可以是每一业务服务均对应拥有独立的业务密钥，业务密钥包括业务公钥和业务私钥。第二数字签名可以是由工作节点利用信创CPU厂商提供的私钥对业务服务方标识信息进行签名得到的数字签名。数据加密密钥(Data Encryption Key，DEK)是指用于加密数据的密钥，包括但不限于对称密钥和非对称密钥。本实施例中，DEK密钥可以是对称AES256密钥。
具体实施时，可以是用户在工作节点的人机界面上，传入必要的业务服务方标识信息，然后，通过工作节点发送携带业务服务方标识信息和第二数字签名的密钥创建请求至主节点，主节点对第二数字签名进行验签，若验签通过，则在TEE中，创建与业务服务标识信息对应的业务公钥和业务私钥，然后，获取数据加密密钥，通过数据加密密钥对业务私钥进行加密，得到加密后的业务私钥，然后，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。具体地，可以是将加密后的业务私钥存储在etcd数据库中。本实施例中，通过数字签名对工作节点进行身份验证，能够保证数据的完整性，并降低身份伪造的风险，通过在可信执行环境中进行业务密钥的创建和存储，能够很大程度上提高密钥数据的安全性。
如图5所示，在其中一个实施例中，S160之后，还包括：
S170，获取密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥。
密钥加密密钥(Key Encryption Key，KEK)是指用于对密钥进行加密的加密密钥，包括但不限于对称密钥和非对称密钥。本实施例中，在通过数据加密密钥对业务私钥进行加密之后，还可以对获取密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，然后，存储密文密钥，此过程可理解为将密钥进行隐藏保护的过程。本实施例中，通过密钥加密密钥对数据加密密钥进行加密处理，能够提高加密分析攻击的难度。
如图6所示，在其中一个实施例中，S140包括：S142，在第二数字签名验签成功的情况下，在可信执行环境中，调用第三方密钥管理服务，创建与所述业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥。
S160包括：S162，发送数据加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的随机生成的数据加密密钥。
S170包括：S172，发送密钥加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥。
本实施例中，第三方密钥管理服务可以是包括但不限于KMS(Key ManagementService，密钥管理服务)。密钥加密密钥，用于加密数据加密密钥。
具体实施时，如图7所示，以主节点为k8s中的主节点为例，可以是主节点验证工作节点的身份的情况下，在可信执行环境中，通过Kube-apiserver调用KMS插件程序，发送携带业务服务方标识信息的密钥创建请求至KMS服务平台，然后，KMS服务平台根据业务服务方标识信息，创建对应的业务密钥(包括业务公钥和业务私钥)，并返回业务密钥至主节点。进一步地，通过apiserver调用KMS插件程序，发送数据加密密钥请求至KMS服务平台，KMS服务平台根据业务方标识信息和/或随机因子，通过伪随机函数派生出DEK密钥，同样地，也可以发送密钥加密密钥请求至KMS服务平台，KMS服务平台根据业务方标识信息和/或随机因子，通过伪随机函数派生出KEK密钥，然后，通过KEK密钥对DEK密钥进行加密，得到密文密钥，再将密文密钥存储于etcd数据库中。可以理解的是，在其他实施例中，也可以是主节点与KMS约定好密钥管理的方式如：首先生成业务密钥，再生成DEK密钥对业务密钥进行加密，再生成KEK密钥对DEK密钥进行加密。接着，发送一次密钥创建请求至KMS，然后，KMS通过上述约定好的方式生成业务密钥密文，并反馈业务密钥密文、DEK密钥和KEK密钥至工作节点。具体可以根据实际情况，在此不做限定。本实施例中，通过调用第三方密钥管理服务进行密钥的创建和分发，能够实现对密钥数据的统一管理，提高管理效率，通过KEK密钥对DEK密钥进行加密处理，能够进一步提高业务私钥的安全性，降低业务私钥泄露的风险。
在其中一个实施例中，业务私钥包括复合业务私钥，复合业务私钥通过组合随机密钥和业务密钥得到，业务密钥基于业务服务方标识信息生成。
本实施例中，业务私钥可以是复合业务私钥。具体地，可以是通过随机数生成器随机生成随机密钥，然后，再根据业务服务方标识信息，生成与业务服务方标识信息对应的业务密钥，然后，组合随机密钥和业务密钥，得到复合业务密钥，复合业务密钥包括复合业务私钥。具体的组合过程可以是对随机密钥和业务密钥进行加密处理，得到新的复合业务密钥。可以理解的是，复合业务私钥的生成过程和组合过程还可以是其他方式，具体可根据实际情况而定，在此不做限定。本实施例中，通过使用复合业务私钥，能够进一步增强私钥的安全性。
为了对本申请提供的密钥分发方法做出更为清楚的说明，下面结合一个具体实施例和图8进行说明，该具体实施例包括以下内容：
S102，发送远程认证请求至工作节点，工作节点通过远程认证，建立安全信道。
具体地，可以是主节点发送远程认证请求至工作节点，接收工作节点发送的可信证明数据，可信证明数据包括工作节点中的可信执行环境的度量值信息，在度量值信息通过签名验证和信息验证的情况下，建立安全信道。
S122，接收工作节点通过安全信道发送的密钥创建请求。
具体地，密钥创建请求携带业务服务方标识信息以及第二数字签名。
S144，调用第三方密钥管理服务，创建与所述业务服务方标识信息对应的业务私钥。
具体地，可以是在第二数字签名验签成功的情况下，在可信执行环境中，调用第三方密钥管理服务，创建与所述业务服务方标识信息对应的业务密钥。
S164，通过第三方密钥管理服务获取数据加密密钥，根据数据加密密钥加密业务私钥。
具体地，可以是发送数据加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的随机生成的加密密钥
S174，通过第三方密钥管理服务获取密钥加密密钥。
具体地，可以是发送密钥加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥，密钥加密密钥包括用于加密DEK密钥的KEK密钥。
S180，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
S200，接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息。
S400，在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文。
S600，通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
应该理解的是，虽然如上所述的各实施例所涉及的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，如上所述的各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。
基于同样的发明构思，本申请实施例还提供了一种用于实现上述所涉及的密钥分发方法的密钥分发装置。该装置所提供的解决问题的实现方案与上述方法中所记载的实现方案相似，故下面所提供的一个或多个密钥分发装置实施例中的具体限定可以参见上文中对于密钥分发方法的限定，在此不再赘述。
在一个实施例中，如图9所示，提供了一种密钥分发装置，应用于构建有可信执行环境的容器集群管理平台中的主节点。包括：请求接收模块910、数据处理模块920和数据发送模块930，其中：
请求接收模块910，用于接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息。
数据处理模块920，用于在根据身份凭证数据成功验证工作节点的身份的情况下，在可信执行环境中查找出与业务服务方标识信息对应的业务私钥密文。
数据发送模块930，用于通过安全信道将业务私钥密文发送至工作节点的可信执行环境，以使工作节点在可信执行环境中对业务私钥密文进行解密得到业务私钥，并根据业务私钥进行签名。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
如图10所示，装置还包括身份验证模块922，用于获取芯片厂商提供的公钥，根据公钥对第一数字签名进行验签，得到第一报文摘要，若第一报文摘要与通过哈希算法生成的第二报文摘要一致，则判定工作节点通过身份验证。
在其中一个实施例中，身份凭证数据包括由工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
装置还包括身份验证模块922，用于发送携带第一数字签名的签名验证请求至认证服务器，接收认证服务器根据工作节点的公钥对第一数字签名进行验签得到的验证结果，根据验证结果对工作节点进行身份验证。
如图10所示，在其中一个实施例中，装置还包括远程认证模块902，用于发送远程认证请求至工作节点，接收工作节点发送的可信证明数据，可信证明数据包括工作节点中的可信执行环境的度量值信息，在度量值信息通过签名验证和信息验证的情况下，建立安全信道。
如图10所示，在其中一个实施例中，装置还包括密钥管理模块904，用于接收工作节点通过安全信道发送的密钥创建请求，密钥创建请求携带业务服务方标识信息以及第二数字签名，在第二数字签名验签成功的情况下，在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥获取数据加密密钥，通过数据加密密钥加密业务私钥，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
在其中一个实施例中，密钥管理模块904还用于获取密钥加密密钥，通过密钥加密密钥对数据加密密钥进行加密，得到密文密钥，存储密文密钥。
在其中一个实施例中，密钥管理模块904还用于调用第三方密钥管理服务，创建与业务服务方标识信息对应的业务密钥，发送数据加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的随机生成的数据加密密钥，发送密钥加密密钥获取请求至第三方密钥管理服务，接收第三方密钥管理服务反馈的密钥加密密钥。
上述密钥分发装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图11所示。该计算机设备包括处理器、存储器、输入/输出接口(Input/Output，简称I/O)和通信接口。其中，处理器、存储器和输入/输出接口通过系统总线连接，通信接口通过输入/输出接口连接到系统总线。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质和内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储业务密钥数据、业务私钥密文数据等。该计算机设备的输入/输出接口用于处理器与外部设备之间交换信息。该计算机设备的通信接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种密钥分发方法。
本领域技术人员可以理解，图11中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各密钥分发方法实施例中的步骤。
在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述各密钥分发方法实施例中的步骤。
在一个实施例中，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述各密钥分发方法实施例中的步骤。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器(ReRAM)、磁变存储器(Magnetoresistive Random Access Memory，MRAM)、铁电存储器(Ferroelectric Random Access Memory，FRAM)、相变存储器(Phase Change Memory，PCM)、石墨烯存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (18)

1.一种密钥分发方法，其特征在于，应用于构建有可信执行环境的容器集群管理平台中的主节点，所述方法包括：
接收所述容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，所述业务私钥获取请求携带业务服务方标识信息以及身份凭证数据；
在根据所述身份凭证数据成功验证所述工作节点的身份的情况下，在可信执行环境中查找出与所述业务服务方标识信息对应的业务私钥密文；
通过所述安全信道将所述业务私钥密文发送至所述工作节点的可信执行环境，以使所述工作节点在可信执行环境中对所述业务私钥密文进行解密得到业务私钥，并根据所述业务私钥进行签名。
2.根据权利要求1所述的方法，其特征在于，所述身份凭证数据包括由所述工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名；
根据所述身份凭证数据对所述工作节点进行身份验证包括：
获取所述芯片厂商提供的公钥；
根据所述公钥对所述第一数字签名进行验签，得到第一报文摘要；
若所述报文摘要与所述原始报文摘要一致，则判定所述工作节点通过身份验证。
3.根据权利要求1所述的方法，其特征在于，所述身份凭证数据包括由所述工作节点根据芯片厂商提供的私钥对原始报文摘要进行签名得到的第一数字签名；
根据所述身份凭证数据对所述工作节点进行身份验证包括：
发送携带所述第一数字签名的签名验证请求至认证服务器；
接收所述认证服务器根据所述工作节点的公钥对所述第一数字签名进行验签得到的验证结果；
根据所述验证结果对所述工作节点进行身份验证。
4.根据权利要求1所述的方法，其特征在于，所述方法还包括：
发送远程认证请求至所述工作节点；
接收所述工作节点发送的可信证明数据，所述可信证明数据包括所述工作节点中的可信执行环境的度量值信息；
在所述度量值信息通过签名验证和信息验证的情况下，建立所述安全信道。
5.根据权利要求1至4任意一项所述的方法，其特征在于，所述方法还包括：
接收所述工作节点通过安全信道发送的密钥创建请求，所述密钥创建请求携带业务服务方标识信息以及第二数字签名；
在所述第二数字签名验签成功的情况下，在可信执行环境中，创建与所述业务服务方标识信息对应的业务密钥，所述业务密钥包括业务私钥；
获取数据加密密钥，通过所述数据加密密钥加密所述业务私钥；
存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
6.根据权利要求5所述的方法，其特征在于，所述通过所述数据加密密钥加密所述业务私钥之后，还包括：
获取密钥加密密钥；
通过所述密钥加密密钥对所述数据加密密钥进行加密，得到密文密钥，存储所述密文密钥。
7.根据权利要求6所述的方法，其特征在于，所述创建与所述业务服务方标识信息对应的业务密钥包括：
调用第三方密钥管理服务，创建与所述业务服务方标识信息对应的业务密钥；
获取加密密钥包括：
发送数据加密密钥获取请求至第三方密钥管理服务；
接收所述第三方密钥管理服务反馈的随机生成的数据加密密钥；
所述获取密钥加密密钥包括：
发送密钥加密密钥获取请求至第三方密钥管理服务；
接收所述第三方密钥管理服务反馈的密钥加密密钥。
8.根据权利要求1至4任意一项所述的方法，其特征在于，所述业务私钥包括复合业务私钥，所述复合业务私钥通过组合随机密钥和业务密钥得到，所述业务密钥基于所述业务服务方标识信息生成。
9.一种密钥分发装置，其特征在于，应用于构建有可信执行环境的容器集群管理平台中的主节点，所述装置包括：
请求接收模块，用于接收容器集群管理平台的工作节点通过安全信道发送的业务私钥获取请求，所述业务私钥获取请求携带工作节点的身份凭证数据和业务服务方标识信息；
数据处理模块，用于在根据所述身份凭证数据成功验证所述工作节点的身份的情况下，在可信执行环境中查找出与所述业务服务方标识信息对应的业务私钥密文；
数据发送模块，用于通过所述安全信道将所述业务私钥密文发送至所述工作节点的可信执行环境，以使所述工作节点在可信执行环境中对所述业务私钥密文进行解密得到业务私钥，并根据所述业务私钥进行签名。
10.根据权利要求9所述的装置，其特征在于，所述身份凭证数据包括由所述工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
所述装置还包括身份验证模块，用于获取所述芯片厂商提供的公钥，根据所述公钥对所述第一数字签名进行验签，得到第一报文摘要，若所述报文摘要与所述原始报文摘要一致，则判定所述工作节点通过身份验证。
11.根据权利要求9所述的装置，其特征在于，所述身份凭证数据包括由所述工作节点根据芯片厂商提供的私钥对业务服务方标识信息进行签名得到的第一数字签名；
所述装置还包括身份验证模块，用于发送携带所述第一数字签名的签名验证请求至认证服务器，接收所述认证服务器根据所述工作节点的公钥对所述第一数字签名进行验签得到的验证结果，根据所述验证结果对所述工作节点进行身份验证。
12.根据权利要求9所述的装置，其特征在于，所述装置还包括远程认证模块，用于发送远程认证请求至所述工作节点，接收所述工作节点发送的可信证明数据，所述可信证明数据包括所述工作节点中的可信执行环境的度量值信息，在所述度量值信息通过签名验证和信息验证的情况下，建立所述安全信道。
13.根据权利要求9至12任意一项所述的装置，其特征在于，所述装置还包括密钥管理模块，用于接收所述工作节点通过安全信道发送的密钥创建请求，所述密钥创建请求携带业务服务方标识信息以及第二数字签名，在所述第二数字签名验签成功的情况下，在可信执行环境中，创建与业务服务方标识信息对应的业务密钥，业务密钥包括业务私钥获取数据加密密钥，通过所述数据加密密钥加密所述业务私钥，存储加密后的业务私钥，并建立加密后的业务私钥与业务服务方标识信息的关联关系。
14.根据权利要求13所述的装置，其特征在于，所述密钥管理模块还用于获取密钥加密密钥，通过所述密钥加密密钥对所述数据加密密钥进行加密，得到密文密钥，存储所述密文密钥。
15.根据权利要求14所述的装置，其特征在于，所述密钥管理模块还用于调用第三方密钥管理服务，创建与所述业务服务方标识信息对应的业务密钥；发送数据加密密钥获取请求至第三方密钥管理服务，接收所述第三方密钥管理服务反馈的随机生成的数据加密密钥，发送密钥加密密钥获取请求至第三方密钥管理服务，接收所述第三方密钥管理服务反馈的密钥加密密钥。
16.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至8中任一项所述的方法的步骤。
17.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至8中任一项所述的方法的步骤。
18.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至8中任一项所述的方法的步骤。
CN202310780654.XA 2023-06-28 2023-06-28 密钥分发方法、装置、计算机设备和存储介质 Pending CN117155549A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310780654.XA CN117155549A (zh) 2023-06-28 2023-06-28 密钥分发方法、装置、计算机设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310780654.XA CN117155549A (zh) 2023-06-28 2023-06-28 密钥分发方法、装置、计算机设备和存储介质

Publications (1)

Publication Number Publication Date
CN117155549A true CN117155549A (zh) 2023-12-01

Family

ID=88897433

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310780654.XA Pending CN117155549A (zh) 2023-06-28 2023-06-28 密钥分发方法、装置、计算机设备和存储介质

Country Status (1)

Country Link
CN (1) CN117155549A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117499159A (zh) * 2023-12-27 2024-02-02 杭州字节方舟科技有限公司 一种基于区块链的数据交易方法、装置及电子设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117499159A (zh) * 2023-12-27 2024-02-02 杭州字节方舟科技有限公司 一种基于区块链的数据交易方法、装置及电子设备
CN117499159B (zh) * 2023-12-27 2024-03-26 杭州字节方舟科技有限公司 一种基于区块链的数据交易方法、装置及电子设备

Similar Documents

Publication Publication Date Title
US20230107243A1 (en) Personal device security using cryptocurrency wallets
US8660266B2 (en) Method of delivering direct proof private keys to devices using an on-line service
JP4638912B2 (ja) ディストリビューションｃｄを使用した、署名されたグループにおけるダイレクトプルーフの秘密鍵を装置に伝達する方法
JP4616345B2 (ja) 配布ｃｄを用いて直接証明秘密鍵を装置に配布する方法
JP2023502346A (ja) 量子安全ネットワーキング
AU2003202511A1 (en) Methods for authenticating potential members invited to join a group
CN113190860B (zh) 一种基于环签名的区块链传感器数据认证方法及系统
CN110716724B (zh) 基于fpga实现隐私区块链的方法及装置
CN117155549A (zh) 密钥分发方法、装置、计算机设备和存储介质
US8862893B2 (en) Techniques for performing symmetric cryptography
KR102282788B1 (ko) 트랜잭션에 포함된 평문 데이터의 변경을 지원하는 블록체인 시스템
CN114091072A (zh) 一种数据处理方法及装置
KR100897075B1 (ko) 배포 ｃｄ를 사용하는 장치에 서명 그룹의 다이렉트 증명개인 키들을 전달하는 방법
CN114553557B (zh) 密钥调用方法、装置、计算机设备和存储介质
CN114662073B (zh) 用于led系统的验证方法、装置、计算机设备与介质
CN114553557A (zh) 密钥调用方法、装置、计算机设备和存储介质
CN114329627A (zh) 签名方法、装置、计算机设备、存储介质
CN116760608A (zh) 数据报文的处理方法、系统、计算机设备、存储介质
CN117294484A (zh) 数据交互的方法、装置、设备、介质和产品
CN115952519A (zh) 区块链数据处理方法、装置、电子设备和存储介质
CN116933317A (zh) 一种数据脱敏方法以及相关装置
CN116388992A (zh) 针对分布式tee应用的远程认证方法及装置
CN116232639A (zh) 数据传输方法、装置、计算机设备和存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination