CN206611427U - 一种基于可信计算装置的密钥存储管理系统 - Google Patents

Abstract

本实用新型提供一种基于可信计算装置的密钥存储管理系统，包括可信计算装置、密钥使用装置和密钥存储装置，可信计算装置与密钥使用装置连接，密钥使用装置连接密钥存储装置。本实用新型中，可信计算装置接收密钥颁发中心所颁发的会话密钥，经可信计算装置加密后存储于密钥使用装置的密钥存储装置中，且在密钥使用装置对外通信的过程中，只在可信计算装置内完成会话密钥的使用操作，保证了所颁发的会话密钥在任何时候不以明文形式出现在密钥使用装置中，保证了会话密钥在存储和使用过程中的安全。

Description

一种基于可信计算装置的密钥存储管理系统

技术领域

本实用新型涉及量子通信技术领域，具体提供一种基于可信计算装置的密钥存储管理系统，具体是通过可信计算装置来实现密钥的安全存储。

背景技术

随着量子通信实用化的推进，量子通信在网络化应用方面的使用前景更加广阔，量子通信网络利用BB84协议产生的量子密钥对网络中传输的数据进行加密，能够保证信息在因特网上传输的高度安全，未来保密通信的发展方向，即为由量子力学保证其安全性的量子通信。因此，保证量子密钥能够安全颁发给用户及用户能够安全的使用量子密钥对传输的数据进行加密是构建量子通信网络及量子通信实用化的关键步骤。

常规加密的安全性取决于加密密钥的保密性，因此密钥的安全存储和安全管理在数据安全中极为重要。密钥安全管理主要采用“根密钥‐密钥加密密钥‐会话密钥”的三级密钥保护结构，保证用户密钥及应用系统的安全性。其中，根密钥是密钥层次体系中最高级密钥，主要用于对密钥加密密钥进行保护。密钥加密密钥是用来加密会话密钥的二级密钥，主要用于对会话密钥进行保护。会话密钥是通信双方对通信数据进行加解密的三级密钥，主要用于安全通信。密钥的安全存储，也涉及到密钥的备份，目的是一旦密钥遭到破坏，可利用备份的密钥恢复出原来的密钥或被加密的数据，避免造成损失。

密钥使用装置对数据的加密方式主要有两种，一种是软件加密，由密钥使用装置完成对数据的加解密，软件加密的缺点是，加密密钥存储在服务器上，且总有一个时刻以明文的形式出现在服务器的内存中，可能会被网络上的黑客或病毒窃取。另一种是硬件加密，密钥使用装置可以配置硬件加密卡(通常是PCI/PCIE卡)来完成密钥使用装置上的加解密操作，现有的加密卡的应用依赖于经典的PKI体系，其签名和认证都依赖于公钥密码体制，且现有加密卡中密钥的安全管理采用的是二级加密体制，其根密钥直接以明文的形式存储在加密卡的存储器中，并可以直接取出以备份在外部存储介质中，不能够满足量子通信网络对安全性的要求。

现有技术中，密钥卡内同时具有密钥存储和使用两个功能，即密钥的使用和存储不隔离，这样做的缺点，一是密钥卡的存储容量有限不利于存放大量的密钥，会使得密钥的充值变得频繁。二是密钥卡内的存储芯片一旦被盗取，密钥卡内存储的明文密钥也会遭到泄露。

可信计算作为信息安全领域一个新的发展方向受到越来越多研究机构的重视，其主要目的是构建一个用户可以预期的计算环境，从而保证计算资源不会被恶意篡改、盗取，以提高系统整体的安全性。可信计算组织确定的可信计算系统可以增强现有终端体系结构的安全性进而保证整个计算机系统或者网络系统的安全性。一个基于可信计算的实体(包括组件、系统或过程)的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序、病毒以及一定的物理干扰造成的破坏。因此，密钥使用装置若依赖于基于可信计算系统的终端完成密钥的存储，则可以大大提高密钥的安全性。

实用新型内容

基于现有技术中存在的不足，本实用新型提供一种基于可信计算装置的密钥存储管理系统，具体通过可信计算装置来实现密钥的安全存储。

为了解决背景技术所存在的问题，本实用新型是采用以下技术方案：

一种基于可信计算装置的密钥存储管理系统，包括可信计算装置、密钥使用装置和密钥存储装置，其中：

可信计算装置：可以是PCIE板卡、独立的加解密主机、UKEY等基于可信计算系统的终端设备。用于接收密钥颁发中心所颁发的会话密钥，并配合密钥使用装置完成对会话密钥的加密存储和安全使用；

密钥使用装置：可以是服务器、计算机、手机、平板电脑等各种终端设备，其通过与用户共享会话密钥，并使用该会话密钥完成与用户之间的安全通信；密钥使用装置与可信计算装置通信连接，在对外通信时借助该可信计算装置完成对会话密钥的使用操作；

密钥存储装置：位于密钥使用装置内或者与密钥使用装置外部通信连接，存储经可信计算装置加密后的会话密钥。

作为优选：所述可信计算装置包括加解密装置、安全芯片、内部存储区、外部存储区、数据接口、处理装置、真随机数装置，其中：

加解密装置，用于使用会话密钥完成对数据的加解密；

安全芯片内部具有核心存储区，该核心存储区是可信计算装置中最高保密级别的存储区域，该区域中的数据以明文的形式写入，且任何途径都无法再读取；

内部存储区是在该可信计算装置的内存上，存储用户信息及经根密钥加密后的用户密钥；

外部存储区，是可信计算装置上通过数据接口接入的外部存储介质，用于对用户信息及加密后的用户密钥做硬件备份存储；

数据接口：用于使可信计算装置连接外部存储区；

处理装置，是可信计算装置的业务处理装置，负责所有业务的统筹管理和对其他装置的消息收发；

真随机数装置，用于产生真随机数供该可信计算装置使用。

作为优选：所述密钥存储装置为机械硬盘、SSD硬盘、光盘、SD卡或网络存储。

作为优选：安全芯片是采用TPM安全芯片。

作为优选：真随机数装置是采用量子随机数发生器芯片。

作为优选：数据接口采用SATA接口或者USB接口。

在可信计算装置中，加解密装置、网络接口、数据接口、真随机数装置、内部存储区、安全芯片均分别与处理装置连接；外部存储区通过数据接口与可信计算装置连接；可信计算装置与密钥使用装置连接，密钥使用装置连接密钥存储装置。

本实用新型具有以下有益效果：

1、本实用新型中，将可信计算装置与密钥使用装置相连接，所颁发的会话密钥先经可信计算装置加密后再由密钥使用装置进行存储，且在密钥使用装置对外通信的过程中，只在可信计算装置内完成会话密钥的使用操作，保证了所颁发的会话密钥在任何时候不以明文形式出现在密钥使用装置中，保证了会话密钥在存储和使用过程中的安全。

2、本实用新型中，在可信计算装置内完成的认证和加解密操作所使用的密钥都是共享的会话密钥且所使用的算法都是对称加密算法，完全摒弃了非对称加密算法的应用，是经典加密卡所不能替代的。

3、可信计算装置采用三级密钥管理体制，且不同级别密钥分级存储与备份，其中最高级根密钥存储在装置内的TPM芯片中，通过该可信计算装置无法取出，只由管理中心做备份，保证了根密钥的高度安全。用户密钥由根密钥加密后存储在装置的内存中，以密文的形式经该装置上的SATA接口或USB存储在外接存储介质中以做备份，保证了用户密钥的高度安全，从而保证了会话密钥的安全存储。

4、本实用新型中，会话密钥的使用在可信计算装置内完成而密钥的存储是由密钥使用装置存储在其指定的密钥存储装置里，不限制密钥的存储量，且无论可信计算装置和密钥存储装置哪一方遭到破坏或窃取，都不会使系统的安全性遭到破坏，此时，密钥使用装置的使用方可以根据完善的备份机制将系统恢复。

附图说明

图1是本实用新型中一种基于可信计算装置的密钥存储管理系统的结构图；

图2是本实用新型中密钥存储装置结构图；

图3本实用新型中可信计算装置中核心存储区结构图；

图4本实用新型中可信计算装置中内部存储区结构图；

图5为本实用新型中外部存储区结构图。

具体实施方式

以下的实施例可以使本专业技术领域的技术人员更全面的了解本实用新型，但不以任何方式限制本实用新型。

如图1至图5所示，本实用新型提供一种基于可信计算装置的密钥存储管理系统的具体实施例，

如图1所示：可信计算装置包括处理装置、网络接口、数据接口、加解密装置、真随机数装置、内部存储区和安全芯片等。在可信计算装置中，数据接口、加解密装置、网络接口、真随机数装置、安全芯片及内部存储区均分别与处理装置连接。其中：处理装置，是该可信计算装置的业务处理模块，负责所有业务的统筹管理和对其他装置的消息收发。网络接口，主要用于完成网络连接,具体用于连接本地量子密钥分发服务器或者密钥颁发中心，接收密钥颁发中心颁发的会话密钥。数据接口，用于使可信计算装置连接外部存储区，优选为SATA接口或者USB接口，用来完成对内部存储区内的用户信息和密文形式的用户密钥做硬件备份。加解密装置，使用会话密钥完成对数据的加解密，且该装置上的加解密可以是硬件加解密。真随机数装置，用来产生真随机数供该可信计算装置使用，优选为使用量子随机数发生器芯片产生量子真随机数。内部存储区，主要用来存储用户信息及经根密钥加密后的用户密钥。安全芯片内部具有核心存储区，该核心存储区是可信计算装置中最高保密级别的存储区域，该区域中的数据以明文的形式写入，且任何途径都无法再读取，主要用于存储根密钥。

可信计算装置与密钥使用装置连接，密钥使用装置连接到密钥存储装置。所颁发的会话密钥需要先通过可信计算装置，经可信计算装置对所颁发的会话密钥进行加密后再传送给密钥使用装置，最后由密钥使用装置存储在密钥存储装置中。

如图2所示：密钥存储装置存有密钥使用装置上所有用户每次充值的会话密钥。

如图3所示：安全芯片位于可信计算装置内，是可信计算装置里的最高级安全区域。安全芯片上的存储区域称为核心存储区，主要用来存储根密钥。根密钥以明文的形式存储在安全芯片上的核心存储区，一经存储，无法取出。

如图4所示：内部存储区位于可信计算装置内，用于存储用户信息和用户密钥，且用户密钥是密文形式的。

如图5所示：外部存储区通过数据接口连接到可信计算装置上，用来对内部存储区内存储的用户信息和用户密钥做硬件备份。该数据接口优选为SATA接口或USB接口。

本实用新型中，将可信计算装置与密钥使用装置相连接，所颁发的会话密钥先经可信计算装置加密后再由密钥使用装置进行存储，且在密钥使用装置对外通信的过程中，只借助可信计算装置完成会话密钥的使用操作，保证了所颁发的会话密钥在任何时候不以明文形式出现在密钥使用装置中，保证了会话密钥远程颁发的安全。

本实用新型中，在可信计算装置内完成的认证和加解密操作所使用的密钥都是会话密钥且所使用的算法都是对称加密算法，完全摒弃了非对称加密算法的应用，是经典加密卡所不能替代的。

可信计算装置采用三级密钥管理体制，且不同级别密钥分级存储与备份，其中最高级根密钥存储在装置内的TPM芯片中，通过该可信计算装置无法取出，只由管理中心做备份，保证了根密钥的高度安全。用户密钥由根密钥加密后存储在装置的内存中，以密文的形式经该装置上的SATA接口或USB存储在外接存储介质中以做备份，保证了用户密钥的高度安全，从而保证了会话密钥的安全存储。

本实用新型中，会话密钥的使用在可信计算装置内完成而会话密钥的存储是由密钥使用装置存储在其指定的密钥存储装置里，不限制密钥的存储量，且无论可信计算装置和密钥存储装置哪一方遭到破坏或窃取，都不会使系统的安全性遭到破坏，此时，密钥使用装置的使用方可以根据完善的备份机制将系统恢复。

需要强调的是：以上仅是本实用新型的较佳实施例而已，并非对本实用新型作任何形式上的限制，凡是依据本实用新型的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本实用新型技术方案的范围内。

Claims (6)

1.一种基于可信计算装置的密钥存储管理系统，其特征在于，包括可信计算装置、密钥使用装置和密钥存储装置，其中：

可信计算装置：用于接收密钥颁发中心所颁发的会话密钥，并配合密钥使用装置完成对会话密钥的加密存储和安全使用；

密钥使用装置：是量子通信网络中的各种服务器设备，其通过与用户共享会话密钥，并使用该会话密钥完成与用户之间的安全通信；

密钥存储装置：存储经可信计算装置加密后的会话密钥；

可信计算装置与密钥使用装置连接，密钥使用装置连接密钥存储装置。

2.根据权利要求1中所述的一种基于可信计算装置的密钥存储管理系统，其特征在于，所述可信计算装置包括加解密装置、安全芯片、内部存储区、外部存储区、数据接口、处理装置、真随机数装置，其中：

加解密装置，用于使用会话密钥完成对数据的加解密；

安全芯片内部具有核心存储区，该核心存储区是可信计算装置中最高保密级别的存储区域，该区域中的数据以明文的形式写入，且任何途径都无法再读取；

内部存储区是在该可信计算装置的内存上，存储用户信息及经根密钥加密后的用户密钥；

外部存储区，是可信计算装置上通过数据接口接入的外部存储介质，用于对用户信息及加密后的用户密钥做备份存储；

数据接口，用于使可信计算装置连接外部存储区；

处理装置，是可信计算装置的业务处理装置，负责所有业务的统筹管理和对其他装置的消息收发；

真随机数装置，用于产生真随机数供该可信计算装置使用；

在可信计算装置中，加解密装置、网络接口、数据接口、真随机数装置、内部存储区、安全芯片均分别与处理装置连接；外部存储区通过数据接口与可信计算装置连接。

3.根据权利要求1或2中所述的一种基于可信计算装置的密钥存储管理系统，其特征在于，所述密钥存储装置位于密钥使用装置内，密钥存储装置为机械硬盘、SSD硬盘、光盘、SD卡或网络存储。

4.根据权利要求2中所述的一种基于可信计算装置的密钥存储管理系统，其特征在于，安全芯片是采用TPM安全芯片。

5.根据权利要求2中所述的一种基于可信计算装置的密钥存储管理系统，其特征在于，真随机数装置是采用量子随机数发生器芯片。

6.根据权利要求2中所述的一种基于可信计算装置的密钥存储管理系统，其特征在于，数据接口采用SATA接口或USB接口。