WO2023020234A1 - 外部存储器、提供密码服务的方法及业务处理设备 - Google Patents

外部存储器、提供密码服务的方法及业务处理设备 Download PDF

Info

Publication number
WO2023020234A1
WO2023020234A1 PCT/CN2022/108495 CN2022108495W WO2023020234A1 WO 2023020234 A1 WO2023020234 A1 WO 2023020234A1 CN 2022108495 W CN2022108495 W CN 2022108495W WO 2023020234 A1 WO2023020234 A1 WO 2023020234A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
cryptographic service
external memory
cryptographic
hardware module
Prior art date
Application number
PCT/CN2022/108495
Other languages
English (en)
French (fr)
Inventor
邹银超
秦承刚
孔金灿
杜少华
Original Assignee
支付宝(杭州)信息技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 支付宝(杭州)信息技术有限公司 filed Critical 支付宝(杭州)信息技术有限公司
Publication of WO2023020234A1 publication Critical patent/WO2023020234A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/3004—Arrangements for executing specific machine instructions to perform operations on memory
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services

Definitions

  • Multiple embodiments of this specification relate to the field of information technology, and in particular, relate to an external memory, a method for providing cryptographic services, and a service processing device.
  • business processing equipment is required to have certain cryptographic service capabilities.
  • the cryptographic service capabilities can generally refer to the ability to implement various functions in the sense of cryptography. For example, a service processing device is required to be able to encrypt some service data. In another example, a service processing device is required to generate a key for a user.
  • Multiple embodiments of this specification provide an external memory, a method for providing a cryptographic service, and a service processing device, so as to save computing overhead of a CPU.
  • an external memory which is applied to a business processing device, and the business processing device includes a central processing unit CPU and at least one external memory; each external memory has built-in cryptographic service hardware module; the CPU sends a cryptographic service call instruction to the external memory, and calls the cryptographic service hardware module in the external memory; the cryptographic service hardware module executes the cryptographic service according to the cryptographic service call instruction, and returns the service result to the CPU, and /or store the service result in the storage space of the external storage.
  • a method for providing cryptographic services wherein the business processing device includes a central processing unit CPU and at least one external memory; each external memory has a built-in cryptographic service hardware module;
  • the method includes: the CPU sends a cryptographic service call instruction to the external memory, and calls a cryptographic service hardware module in the external memory; the cryptographic service hardware module executes the cryptographic service according to the cryptographic service call instruction, and returns the service result to the CPU , and/or store the service result in the storage space of the external storage.
  • a service processing device including a CPU and at least one external memory; each external memory has a built-in cryptographic service hardware module; the CPU sends a cryptographic service call to the external memory instructions, calling the cryptographic service hardware module in the external memory; the cryptographic service hardware module, executing the cryptographic service according to the cryptographic service calling instruction, and returning the service result to the CPU, and/or storing the service result in the storage of the external memory space.
  • the cryptographic service capability is built into the external memory of the business processing device, that is, the cryptographic service hardware module is built into the external memory, so that the external memory not only has storage capability, but also has cryptographic service capability.
  • the CPU of the business processing device can call the cryptographic service hardware module in the external memory to provide cryptographic services through the connection with the external memory, and the CPU can obtain the service result through the connection with the external memory, and can also transfer the service result Store directly to the storage space of the external storage.
  • Fig. 1 is a schematic diagram of the internal structure of a service processing device provided in this specification.
  • Fig. 2 is a schematic diagram of the internal structure of another service processing device provided in this specification.
  • FIG. 3 is a schematic diagram of the internal structure of an external memory provided in this specification.
  • Fig. 4 is a schematic flowchart of a method for providing cryptographic services provided in this specification.
  • the steps of the corresponding methods are not necessarily performed in the order shown and described in this specification.
  • the method may include more or less steps than those described in this specification.
  • a single step described in this specification may be decomposed into multiple steps for description in other embodiments; multiple steps described in this specification may also be combined into a single step in other embodiments describe.
  • the cryptographic service capability described in this article can be a relatively broad concept, and can generally refer to the ability to realize various functions in the sense of cryptography.
  • one solution is that the CPU of the service processing device executes the cryptographic service if the cryptographic service is involved during the execution of the business.
  • the CPU executes the cryptographic service
  • the calculation overhead is relatively large, which is not conducive to the CPU executing more important business processing.
  • the service performed by the CPU is likely to be suspended.
  • Another solution is to equip the business processing device with a dedicated cryptographic service device, and the business processing device can invoke the cryptographic service capability of the dedicated cryptographic service device.
  • the hardware cost brought by the dedicated cryptographic service equipment is relatively high, and will require a relatively large space inside the business processing equipment.
  • the cryptographic service capability is built into the external memory of the business processing device, that is, the cryptographic service hardware module is built into the external memory, so that the external memory not only has storage capacity, but also has cryptographic service capability.
  • the CPU of the business processing device can call the cryptographic service hardware module in the external memory to provide cryptographic services through the connection with the external memory, and the CPU can obtain the service result through the connection with the external memory, and can also transfer the service result Store directly to the storage space of the external storage.
  • the business processing device mentioned in this article refers to the device used for business processing.
  • the business processing device may be a centralized server or a node device in a decentralized blockchain network.
  • the service processing device usually performs service processing according to the service request of the service application.
  • the service application may be directly deployed on the service processing device.
  • the service processing device can be used as the server, and the service application can be deployed on the client.
  • the external storage mentioned herein may generally refer to a hard disk (or called a magnetic disk). It should be noted that the service processing device may also have an internal storage (that is, a memory).
  • the hardware-level cryptographic service capability provided by the cryptographic service hardware module has stronger cryptographic service performance, and the CPU calls the cryptographic service hardware module to perform cryptographic services during the execution of business processes (processing at the software level), which can realize software-hardware combination acceleration.
  • the cryptographic service hardware module is built into the external memory. Compared with the dedicated cryptographic service equipment, it does not need to occupy additional slots on the motherboard of the business processing equipment, and occupies less internal space of the business execution equipment, which is beneficial to business Execute the deployment of the device.
  • the cryptographic service hardware module in the external memory can directly store the output service result in the storage space of the external memory, without requiring the CPU to obtain the service result and then write it into the external memory.
  • some services require that the service data be encrypted and stored.
  • the cryptographic service hardware module can encrypt the service data, and the encrypted service data can be directly stored in the external memory without returning the encrypted service data to the CPU. Storage space realizes disk self-encryption.
  • the single point of failure problem of the cryptographic service capability can also be avoided. If a cryptographic service hardware module in a certain external memory fails, the CPU may also invoke cryptographic service hardware modules in other external memories to provide cryptographic services.
  • Fig. 1 is a schematic diagram of the internal structure of a service processing device provided in this specification.
  • the service processing device may have a CPU and at least one external memory (three external memories are shown in the figure).
  • external storage such as common NVME hard disks, SAS hard disks, and SATA hard disks, and different types of hard disks can be mixed on the business processing device. If it is an NVME hard disk, it can usually be mounted on the PCIE bus so as to be connected to the CPU, and if it is another type of hard disk, it can usually be connected to the CPU through the south bridge chip on the motherboard of the device.
  • Fig. 2 is a schematic diagram of the internal structure of another service processing device provided in this specification.
  • the service processing device may further include an internal memory connected to the CPU.
  • FIG. 3 is a schematic diagram of the internal structure of an external memory provided in this specification.
  • the external storage is an NVME hard disk, and the external storage includes a hard disk controller and NAND flash memory particles.
  • a password service hardware module is added to the existing hard disk controller.
  • the hard disk controller has its own CPU (not the CPU of the business processing device), memory (not the memory of the business processing device), and flash memory middleware FTL. Mounted to the bus of the business processing device.
  • Fig. 4 is a schematic flowchart of a method for providing cryptographic services provided in this specification, including the following steps.
  • S400 The CPU sends a cryptographic service calling instruction to the external memory, and calls the cryptographic service hardware module in the external memory.
  • the cryptographic service hardware module executes the cryptographic service according to the cryptographic service calling instruction, returns the service result to the CPU, and/or stores the service result in the storage space of the external memory.
  • the CPU may acquire the service request sent by the service application, and send a cryptographic service invocation instruction to the external memory according to the service request.
  • the cryptographic service hardware module may consist of one or more hardware chips.
  • the cryptographic service hardware module provides a cryptographic service capability to the CPU as a whole.
  • the CPU may send a cryptographic service invocation instruction to the external memory through the connection with the external memory, and the cryptographic service invocation instruction specifies the cryptographic service type required by the CPU.
  • the driver of the cryptographic service hardware module may be installed on the business processing device, and the CPU may obtain the ability to call the cryptographic service hardware module by running the driver.
  • the openssl software package can be built in the driver, and the CPU can communicate with the cryptographic service hardware module through openssl.
  • cryptographic services do not require input parameters, and some cryptographic services require input parameters.
  • Various cryptographic services usually output service results.
  • the encryption and decryption service requires input parameters
  • the input parameters are the data to be encrypted and decrypted
  • the output service result is the encrypted and decrypted data.
  • the key derivation service may directly derive the key without input parameters, and the output service result is the derived key.
  • the cryptographic service hardware modules in each external memory usually have the same cryptographic service capability built in.
  • the CPU needs a certain type of cryptographic service, it can choose to invoke a cryptographic service hardware module in any external memory, or select a cryptographic service hardware module in an external memory with a smaller load according to a load balancing algorithm.
  • the CPU determines that the result of the cryptographic service needs to be stored in a specific external memory, it can generally call a cryptographic service hardware module in the specific external memory to provide the cryptographic service. In this way, the cryptographic service hardware module in the external memory can directly store the service result in the storage space of the external memory, which improves the processing efficiency.
  • the CPU may respectively send cryptographic service calling instructions to at least two external memories, and call cryptographic service hardware modules in different external memories to respectively execute: cryptographic services involved in different subtasks corresponding to the same task.
  • at least two cryptographic service hardware modules in external memories can be used to implement cryptographic services required by the same task in parallel, thereby improving processing efficiency.
  • the cryptographic service invocation instruction carries input parameters required to execute the cryptographic service.
  • the cryptographic service hardware module may execute cryptographic services according to the input parameters carried in the cryptographic service calling instruction.
  • the business application requests the business processing device to encrypt and store the data generated by the business application in real time, and the CPU of the business processing device obtains the data to be encrypted generated by the business application in real time, carries the data to be encrypted
  • the encrypted data is transmitted to the cryptographic service hardware module.
  • the cryptographic service hardware module can read the input parameters needed to execute the cryptographic service from the storage space of the external memory according to the cryptographic service calling instruction, and execute the cryptographic service according to the read input parameters.
  • a business application requests the business processing device to decrypt certain data stored in the external memory of the business processing device the day before. The data to be decrypted is read from the storage space of the memory for decryption.
  • the business processing device further includes an internal memory.
  • the cryptographic service hardware module can acquire the input parameters needed to execute the cryptographic service from the internal memory according to the cryptographic service calling instruction; and execute the cryptographic service according to the obtained input parameters.
  • the business processing device further includes an internal memory.
  • the cryptographic service hardware module may write the service result into the internal memory, so that the CPU obtains the service result from the internal memory.
  • cryptographic services that can be provided by the cryptographic service hardware module are exemplarily introduced here, and it should be understood that this description does not mean that this specification limits the types of cryptographic services that can be provided by the cryptographic service hardware module.
  • the cryptographic service performed by the cryptographic service hardware module includes at least one of the following: key management service; signature verification service; data encryption and decryption service; message authentication service based on message authentication code MAC.
  • key management may include key generation and/or key storage, and may also include other matters related to key management.
  • the key management service is realized by the key derivation unit (KDF), the root key storage unit (eFuse), and the random number generation unit (TRNG) included in the software function level of the cryptographic service hardware module.
  • KDF key derivation unit
  • eFuse root key storage unit
  • TRNG random number generation unit
  • a key derivation unit is used to generate a derived secret key based on the root key and a random number
  • a root key storage unit is used to store the root key
  • a random number generation unit is used to generate a random number (can be a true random number).
  • random number generation unit can not only cooperate with the key derivation unit to perform key derivation, but also provide random numbers for other cryptographic service units that need to use random numbers.
  • keys managed by key management such as signature keys, encryption keys, keys used to encrypt and protect keys, public keys used by business processing equipment, and encryption keys.
  • Signature verification services generally refer to the verification of digital signatures, which involve public key decryption, and can generally be implemented through encryption and decryption algorithm units.
  • the cryptographic service hardware module may include a public key storage unit for storing the public key.
  • One or more general encryption and decryption algorithm units can be deployed in the cryptographic hardware module, and different encryption and decryption algorithm subunits are used to implement different general encryption and decryption algorithms.
  • the general encryption and decryption algorithm can be SHA2, SM2/SM3/SM4 (national secret algorithm), RSA, AES, etc.
  • a custom encryption and decryption algorithm unit may also be deployed in the cryptographic hardware module, for determining several custom encryption and decryption algorithms according to user configuration, and implementing the several custom encryption and decryption algorithms.
  • the custom encryption and decryption algorithm unit here can be implemented based on a programmable chip (such as an FPGA chip) in hardware.
  • Data encryption and decryption services can usually be implemented based on encryption and decryption algorithm units.
  • the message authentication service based on the message authentication code MAC can usually also be implemented based on the encryption and decryption algorithm unit.
  • the cryptographic service hardware module may further include a memory communication unit at the software function level, configured to communicate with the internal memory of the business processing device according to a memory communication protocol.
  • the memory communication protocol may specifically be a DMA protocol. If the cryptographic service hardware module needs to obtain input parameters from the memory, or needs to write the service result into the memory, it can communicate with the memory based on the memory communication unit.
  • the cryptographic service hardware module may be composed of a chip, and all software functional units may be deployed on the chip.
  • the cryptographic service hardware module can be composed of more than one chip, and different software functional units can be deployed on different chips, or different software functional units in some software functional units can be deployed on different chips, and some software functional units can be deployed on the same chip. on chip.
  • the hardware and software layout design of the cryptographic service module provided in this manual can be set according to actual needs, and the layout design of the cryptographic service hardware module in different external memories may be different or the same.
  • a typical implementing device is a computer.
  • the computer may be, for example, a personal computer, a laptop computer, a cellular phone, a camera phone, a smart phone, a personal digital assistant, a media player, a navigation device, an email device, a game console, a tablet computer, a wearable device, or Combinations of any of these devices.
  • the embodiments of the present invention may be provided as methods, systems, or computer program products. Accordingly, the present invention can take the form of an entirely hardware embodiment, an entirely software embodiment, or an embodiment combining software and hardware aspects. Furthermore, the present invention may take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) having computer-usable program code embodied therein.
  • computer-usable storage media including but not limited to disk storage, CD-ROM, optical storage, etc.
  • program modules include routines, programs, objects, components, data structures, etc. that perform particular tasks or implement particular abstract data types.
  • the present description may also be practiced in distributed computing environments where tasks are performed by remote processing devices that are linked through a communications network.
  • program modules may be located in both local and remote computer storage media including storage devices.
  • These computer program instructions may also be stored in a computer-readable memory capable of directing a computer or other programmable data processing apparatus to operate in a specific manner, such that the instructions stored in the computer-readable memory produce an article of manufacture comprising instruction means, the instructions
  • the device realizes the function specified in one or more procedures of the flowchart and/or one or more blocks of the block diagram.
  • a computer includes one or more processors (CPUs), input/output interfaces, network interfaces and memory.
  • Memory may include non-permanent storage in computer-readable media, in the form of random access memory (RAM) and/or nonvolatile memory such as read-only memory (ROM) or flash RAM. Memory is an example of computer readable media.
  • RAM random access memory
  • ROM read-only memory
  • flash RAM flash random access memory
  • Computer-readable media including both permanent and non-permanent, removable and non-removable media, can be implemented by any method or technology for storage of information.
  • Information may be computer readable instructions, data structures, modules of a program, or other data.
  • Examples of computer storage media include, but are not limited to, phase change memory (PRAM), static random access memory (SRAM), dynamic random access memory (DRAM), other types of random access memory (RAM), read only memory (ROM), Electrically Erasable Programmable Read-Only Memory (EEPROM), Flash memory or other memory technology, Compact Disc Read-Only Memory (CD-ROM), Digital Versatile Disc (DVD) or other optical storage, Magnetic cassettes, disk storage, quantum memory, graphene-based storage media or other magnetic storage devices or any other non-transmission media that can be used to store information that can be accessed by computing devices.
  • computer-readable media excludes transitory computer-readable media, such as modulated data signals and carrier waves.
  • digital items and digital identities are connected through digital identity technology, and the aforementioned digital identities can further include identity authentication information so that transactions of digital items can meet regulatory KYC requirements.
  • some or all digital identities are fully real-name authenticated, providing a fully real-name authenticated blockchain-based transaction system. Such a system is conducive to anti-money laundering and fraud operations, and becomes a truly credible transaction system.
  • the combination of digital items and the recording and verification functions attached to digital identities can easily record and verify transaction elements such as transaction objects and transaction participants, thereby improving the convenience and reliability of transactions .
  • the client of the transaction party invokes the smart contract in the blockchain system to create an association table between the digital item and its owner on the chain, and store the association relationship
  • the table is stored in the smart contract, and then the ownership of digital items is credibly recorded on the chain.
  • first, second, third, etc. may be used in multiple embodiments of this specification to describe various information, the information should not be limited to these terms. These terms are only used to distinguish information of the same type from one another. For example, without departing from the scope of multiple embodiments of this specification, first information may also be called second information, and similarly, second information may also be called first information. Depending on the context, the word “if” as used herein may be interpreted as “at” or “when” or "in response to a determination.”
  • each embodiment in this specification is described in a progressive manner, the same and similar parts of each embodiment can be referred to each other, and each embodiment focuses on the differences from other embodiments.
  • the description is relatively simple, and for relevant parts, please refer to part of the description of the method embodiments.
  • the method embodiments described above are only illustrative, and the modules described as separate components may or may not be physically separated, and the functions of each module may be integrated into the same or multiple software and/or hardware implementations. Part or all of the modules can also be selected according to actual needs to achieve the purpose of the solution of this embodiment. It can be understood and implemented by those skilled in the art without creative effort.

Abstract

本说明书披露的多个实施例提供了一种外部存储器、提供密码服务的方法及业务处理设备。将密码服务能力内置于业务处理设备的外部存储器中，即在外部存储器中内置密码服务硬件模块，使得外部存储器不仅具有存储能力，还具有密码服务能力。业务处理设备的CPU可以通过与外部存储器之间的连接，调用外部存储器中的密码服务硬件模块提供密码服务，并且，CPU可以通过与外部存储器之间的连接，获取服务结果，也可以将服务结果直接存储至外部存储器的存储空间中。

Description

外部存储器、提供密码服务的方法及业务处理设备 技术领域
本说明书多个实施例涉及信息技术领域，尤其涉及一种外部存储器、提供密码服务的方法及业务处理设备。
背景技术
在有些业务场景下，需要业务处理设备具有一定的密码服务能力，此处的密码服务能力可以泛指实现密码学意义上的各种功能的能力。例如，需要业务处理设备能够对一些业务数据进行加密。又如，需要业务处理设备为用户生成密钥。
然而，业务处理设备的CPU执行密码服务时计算开销较大。
发明内容
本说明书的多个实施例提供外部存储器、提供密码服务的方法及业务处理设备，以节省CPU的计算开销。
本说明书多个实施例提供技术方案如下。
根据本说明书多个实施例的第一方面，提出了一种外部存储器，应用于业务处理设备，所述业务处理设备包括中央处理器CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；所述CPU向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；密码服务硬件模块根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
根据本说明书多个实施例的第二方面，提出了一种提供密码服务的方法，其中，业务处理设备包括中央处理器CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；所述方法包括：所述CPU向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；密码服务硬件模块根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
根据本说明书多个实施例的第三方面，提出了一种业务处理设备，包括CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；所述CPU，向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；密码服务硬件模块，根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
在上述技术方案中，将密码服务能力内置于业务处理设备的外部存储器中，即在外部存储器中内置密码服务硬件模块，使得外部存储器不仅具有存储能力，还具有密码服务能力。业务处理设备的CPU可以通过与外部存储器之间的连接，调用外部存储器中的密码服务硬件模块提供密码服务，并且，CPU可以通过与外部存储器之间的连接，获取服务结果，也可以将服务结果直接存储至外部存储器的存储空间中。
通过上述技术方案，可以不必由业务处理设备的CPU执行密码服务，而是将密码服务能力部署在业务处理设备的外部存储器中，CPU可以调用外部存储器中的密码服务能力，这节省了CPU的计算开销。
附图说明
图1是本说明书提供的一种业务处理设备的内部结构示意图。
图2是本说明书提供的另一种业务处理设备的内部结构示意图。
图3是本说明书提供的一种外部存储器的内部结构示意图。
图4是本说明书提供的一种提供密码服务的方法的流程示意图。
具体实施方式
为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。
需要说明的是：在其他实施例中并不一定按照本说明书示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本说明书所描述的更多或更少。此外，本说明书中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本说明书中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。
本文所述的密码服务能力，可以是比较广义的概念，可以泛指实现密码学意义上的各种功能的能力。
在需要业务处理设备具有密码服务能力的场景下，一种方案是，业务处理设备的CPU在执行业务过程中，如果涉及到密码服务，则执行密码服务。然而，CPU执行密码服务时计算开销较大，不利于CPU执行更重要的业务处理。此外，CPU执行密码服务出错的情况下，也容易导致CPU执行的业务中止。
另一种方案是，为业务处理设备配备专用的密码服务设备，业务处理设备可以调用专用的密码服务设备的密码服务能力。然而，专用的密码服务设备所带来的硬件成本较高，并且会展示业务处理设备内部较大的空间。
在本说明书提供的技术方案中，将密码服务能力内置于业务处理设备的外部存储器中，即在外部存储器中内置密码服务硬件模块，使得外部存储器不仅具有存储能力，还具有密码服务能力。业务处理设备的CPU可以通过与外部存储器之间的连接，调用外部存储器中的密码服务硬件模块提供密码服务，并且，CPU可以通过与外部存储器之间的连接，获取服务结果，也可以将服务结果直接存储至外部存储器的存储空间中。
本文所述的业务处理设备，是指用于进行业务处理的设备，例如，业务处理设备可以是中心化的服务器，也可以是去中心化的区块链网络中的节点设备。
业务处理设备通常根据业务应用的业务请求进行业务处理。其中，业务应用可以直接部署在业务处理设备上。此外，业务处理设备可以作为服务端，业务应用可以部署在客户端。
本文所述的外部存储器，通常可以是指硬盘(或称磁盘)。需要说明的是，业务处理设备可以还具有内部存储器(即内存)。
通过上述技术方案，可以至少实现如下技术效果。
1、可以不必由业务处理设备的CPU执行密码服务，而是将密码服务能力部署在业务处理设备的外部存储器中，CPU可以调用外部存储器中的密码服务能力，这节省了CPU的计算开销。
2、在制造业务处理设备的生产线上，分别制造专用的密码服务设备与外部存储器的制造成本较高，而制造集成了存储能力与密码服务能力的外部存储器的制造成本较低，可以有效节省硬件成本。
3、密码服务硬件模块提供的硬件级密码服务能力，密码服务性能更强，CPU在执行业务过程(软件层面的处理过程)中调用密码服务硬件模块执行密码服务，可以实现软硬件结合加速。
4、将密码服务硬件模块内置于外部存储器，相对于专用的密码服务设备来说，不需要额外占用业务处理设备的主板上的槽口，也更少占用业务执行设备的内部空间，有利于业务执行设备的部署。
5、外部存储器中的密码服务硬件模块可以将输出的服务结果直接存储至外部存储器的存储空间，不需要CPU获取服务结果之后再写入外部存储器。例如，有些业务要求对业务数据进行加密后存储，这种情况下，密码服务硬件模块可以对业务数据进行加密， 并且不需要将加密后的业务数据返回给CPU，就可以直接存储至外部存储器的存储空间，实现了磁盘自加密。
6、如果业务处理设备中的外部存储器可以至少两个，则还可以避免密码服务能力的单点故障问题。如果某个外部存储器中的密码服务硬件模块故障，则CPU还可以调用其他外部存储器中的密码服务硬件模块提供密码服务。
以下结合附图，详细说明本说明书提供的技术方案。
图1是本说明书提供的一种业务处理设备的内部结构示意图。如图1所示，业务处理设备可以CPU与至少一个外部存储器(图中示出了3个外部存储器)。需要说明的是，外部存储器可以有多种类型，例如常见的NVME硬盘、SAS硬盘、SATA硬盘，业务处理设备上可以混装不同类型的硬盘。如果是NVME硬盘，则通常可以挂载到PCIE总线上，以便与CPU相连，而如果是其他类型的硬盘，则通常可以通过设备主板上的南桥芯片与CPU相连。
图2是本说明书提供的另一种业务处理设备的内部结构示意图。在图1所示的业务处理设备的基础上，业务处理设备还可以包括内部存储器，内部存储器与CPU相连。
图3是本说明书提供的一种外部存储器的内部结构示意图。如图3所示，该外部存储器为NVME硬盘，该外部存储器包括硬盘控制器与NAND闪存颗粒。其中，在现有的硬盘控制器中增加密码服务硬件模块。硬盘控制器有自身的CPU(并不是业务处理设备的CPU)、内存(并不是业务处理设备的内存)、闪存中间件FTL，硬盘控制器通过NAND接口与NAND闪存颗粒进行数据交互，通过主机接口挂载到业务处理设备的总线。
图4是本说明书提供的一种提供密码服务的方法的流程示意图，包括以下步骤。
S400：CPU向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块。
S402：密码服务硬件模块根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
在一些实施方式中，CPU可以获取业务应用发送的业务请求，并根据业务请求，向外部存储器发送密码服务调用指令。
密码服务硬件模块可以由一个或多个硬件芯片组成。密码服务硬件模块整体上对CPU提供密码服务能力。CPU可以通过与外部存储器之间的连接，向外部存储器发送密码服务调用指令，密码服务调用指令指定了CPU需要的密码服务类型。
本领域技术人员容易想到多种技术手段，实现CPU通过发送密码服务调用指令的方 式，对外部存储器中的密码服务硬件模块进行调用。
作为一种示例，可以在业务处理设备上安装密码服务硬件模块的驱动程序，CPU可以通过运行该驱动程序，获得对密码服务硬件模块的调用能力。在一种实施方式中，驱动程序中可以内置openssl软件包，CPU可以通过openssl与密码服务硬件模块进行通信。
需要说明的是，有些密码服务不需要输入参数，有些密码服务需要输入参数。而各种密码服务通常都会输出服务结果。例如，加解密服务需要输入参数，输入参数为待加解密的数据，输出的服务结果为，加解密后的数据。又如，密钥派生服务可以不需要输入参数，可以直接派生出密钥，输出的服务结果即派生出的密钥。
在业务执行设备包括至少两个外部存储器的实施例中，各个外部存储器中的密码服务硬件模块通常都内置有相同的密码服务能力。CPU当需要某个类型的密码服务时，可以选择调用任一个外部存储器中的密码服务硬件模块，也可以根据负载均衡算法，选择负载较小的一个外部存储器中的密码服务硬件模块。
在一些实施方式中，CPU如果确定密码服务的结果需要存储至某个特定的外部存储器，则通常可以调用该特定的外部存储器中的密码服务硬件模块提供密码服务。如此，该外部存储器中的密码服务硬件模块可以直接将服务结果存储至该外部存储器的存储空间，提升了处理效率。
在一些实施方式中，CPU可以向至少两个外部存储器分别发送密码服务调用指令，调用不同的外部存储器中的密码服务硬件模块分别执行：同一任务对应的不同子任务涉及的密码服务。如此，可以利用至少两个外部存储器中的密码服务硬件模块来并行实现同一任务需要的密码服务，提升处理效率。
在一些实施方式中，密码服务调用指令携带了执行密码服务所需要的输入参数。密码服务硬件模块可以根据所述密码服务调用指令携带的所述输入参数，执行密码服务。例如，业务应用请求业务处理设备对业务应用实时产生的数据进行加密后存储，业务处理设备的CPU获取业务应用实时产生的待加密的数据，将待加密的数据携带于密码服务调用指令，将待加密的数据传输给密码服务硬件模块。
在一些实施方式中，密码服务硬件模块可以根据所述密码服务调用指令，从外部存储器的存储空间中读取执行密码服务所需要的输入参数；根据读取到的输入参数，执行密码服务。例如，业务应用请求业务处理设备对前一天存储至业务处理设备的外部存储器中的某个数据进行解密，这种情况下，业务处理设备的CPU通过密码服务调用指令，通知密码服务硬件模块从外部存储器的存储空间中读取待解密的数据进行解密。
在一些实施方式中，业务处理设备还包括内部存储器。密码服务硬件模块可以根据 所述密码服务调用指令，从所述内部存储器获取执行密码服务所需要的输入参数；根据获取到的输入参数，执行密码服务。
在一些实施方式中，业务处理设备还包括内部存储器。密码服务硬件模块可以将服务结果写入所述内部存储器，以便于所述CPU从所述内部存储器获取服务结果。
此处对密码服务硬件模块所能够提供的密码服务进行示例性介绍，应当理解，这并不意味着本说明书限定了密码服务硬件模块可提供的密码服务类型。
密码服务硬件模块执行的密码服务包括以下至少一种：密钥管理服务；签名验证服务；数据加解密服务；基于消息认证码MAC的消息认证服务。
其中，密钥管理可以包括密钥生成和/或密钥存储，还可以包括其他与密钥管理有关的事项。密钥管理服务由密码服务硬件模块在软件功能层面上包括的密钥派生单元(KDF)、根密钥存储单元(eFuse)、随机数产生单元(TRNG)来实现。密钥派生单元，用于基于根密钥与随机数生成派生秘钥；根密钥存储单元，用于存储根密钥；随机数产生单元，用于产生随机数(可以是真随机数)。
需要说明的是，随机数产生单元不仅可以配合密钥派生单元进行密钥派生，还可以为需要用到随机数的其他密码服务单元提供随机数。
还需要说明的是，密钥管理所管理的密钥类型可以有多种，例如签名密钥、加密密钥、用于对密钥进行加密保护的密钥、业务处理设备使用的公钥、密钥管理员使用的公钥等等。
签名验证服务，一般是指对数字签名进行验证，其涉及到公钥解密，一般可以通过加解密算法单元来实现。此外，密码服务硬件模块可以包括公钥存储单元，用来存储公钥。
密码硬件模块中可以部署一个或多个通用加解密算法单元，不同加解密算法子单元用于实现不同的通用加解密算法。通用加解密算法可以是SHA2、SM2/SM3/SM4(国密算法)、RSA、AES等。此外，密码硬件模块中还可以部署自定义加解密算法单元，用于根据用户配置确定若干自定义加解密算法，并实现所述若干自定义加解密算法。此处的自定义加解密算法单元，在硬件上可以基于可编程芯片(如FPGA芯片)实现。
数据加解密服务通常可以基于加解密算法单元实现。基于消息认证码MAC的消息认证服务，通常也可以基于加解密算法单元实现。
此外，密码服务硬件模块在软件功能层面上还可以包括内存通信单元，用于根据内存通信协议，与所述业务处理设备的内部存储器进行通信。在一些实施方式中，内存通信协议具体可以是DMA协议。密码服务硬件模块如果需要从内存中获取输入参数，或 者，需要将服务结果写入内存中，则可以基于内存通信单元与内存进行通信。
在本说明书提供的一个或多个实施例中，密码服务硬件模块可以由一个芯片构成，该芯片上可以部署所有软件功能单元。密码服务硬件模块可以由不止一个芯片构成，不同软件功能单元可以部署在不同芯片上，或者，有些软件功能单元中的不同软件功能单元可以部署在不同芯片上，有些软件功能单元可以部署在同一个芯片上。总之，本说明书提供的密码服务模块在硬件上与软件上的布局设计可以根据实际需要进行设定，不同外部存储器中的密码服务硬件模块的布局设计可能不同，也可能相同。
上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。在一个典型的配置中，计算机包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。
内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带、磁盘存储、量子存储器、基于石墨烯的存储介质或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
综上所述，本说明书披露的一些实施例中，通过数字身份技术把数字化物品和数字身份连接，而前述数字身份可进一步包括身份认证信息以使得数字化物品的交易可以满足监管KYC的要求。在有些实施例中，部分或所有数字身份均完全实名认证，提供一个完全实名认证的基于区块链的交易系统。这样的系统有利于反洗钱发欺诈运营，成为一个真正可信交易系统。在一些实施例中，将数字化物品与数字身份所附随的记录、验 证功能相结合，便可简便地对交易对象、交易参与方等交易要素进行记录及验证，进而提高交易的便利性和可靠性。在另一些实施例中，可不依赖数字身份，而由交易方的客户端调用区块链系统中的智能合约在链上创建数字化物品与其所有方之间的关联关系表，并将该等关联关系表存储于智能合约中，进而在链上对数字化物品的所有权归属进行可信记载。
上述对本说明书多个实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
在本说明书多个实施例使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书多个实施例。在本说明书多个实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
应当理解，尽管在本说明书多个实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书多个实施例范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于方法实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的方法实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，在实施本说明书实施例方案时可以把各模块的功能在同一个或多个软件和/或硬件中实现。也可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅为本说明书多个实施例的较佳实施例而已，并不用以限制本说明书多个实施例，凡在本说明书多个实施例的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书多个实施例保护的范围之内。

Claims (17)

  1. 一种外部存储器，应用于业务处理设备，所述业务处理设备包括中央处理器CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；
    所述CPU向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；
    密码服务硬件模块根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
  2. 如权利要求1所述的外部存储器，所述密码服务调用指令携带了执行密码服务所需要的输入参数；
    密码服务硬件模块根据所述密码服务调用指令执行密码服务，包括：
    密码服务硬件模块根据所述密码服务调用指令携带的所述输入参数，执行密码服务。
  3. 如权利要求1所述的外部存储器，密码服务硬件模块根据所述密码服务调用指令执行密码服务，包括：
    密码服务硬件模块根据所述密码服务调用指令，从外部存储器的存储空间中读取执行密码服务所需要的输入参数；根据读取到的输入参数，执行密码服务。
  4. 如权利要求1所述的外部存储器，所述业务处理设备还包括内部存储器；
    密码服务硬件模块根据所述密码服务调用指令执行密码服务，包括：
    密码服务硬件模块根据所述密码服务调用指令，从所述内部存储器获取执行密码服务所需要的输入参数；根据获取到的输入参数，执行密码服务。
  5. 如权利要求1所述的外部存储器，所述业务处理设备还包括内部存储器；
    密码服务硬件模块将服务结果返回给所述CPU，包括：
    密码服务硬件模块将服务结果写入所述内部存储器，以便于所述CPU从所述内部存储器获取服务结果。
  6. 如权利要求1所述的外部存储器，密码服务硬件模块在软件功能层面上具有以下软件功能单元：
    若干通用加解密算法单元，不同加解密算法子单元用于实现不同的通用加解密算法。
  7. 如权利要求1所述的外部存储器，密码服务硬件模块在软件功能层面上具有以下软件功能单元：
    自定义加解密算法单元，用于根据用户配置确定若干自定义加解密算法，并实现所述若干自定义加解密算法。
  8. 如权利要求1所述的外部存储器，密码服务硬件模块在软件功能层面上具有以 下软件功能单元：
    密钥派生单元，用于基于根密钥与随机数生成派生秘钥；
    根密钥存储单元，用于存储根密钥；
    随机数产生单元，用于产生随机数。
  9. 如权利要求1所述的外部存储器，密码服务硬件模块在软件功能层面上具有以下软件功能单元：
    内存通信单元，用于根据内存通信协议，与所述业务处理设备的内部存储器进行通信。
  10. 如权利要求6-9任一项所述的外部存储器，至少部分的不同软件功能单元部署于密码服务硬件模块的同一芯片上。
  11. 如权利要求6-9任一项所述的外部存储器，至少部分的不同软件功能单元部署于密码服务硬件模块的不同芯片上。
  12. 如权利要求1所述的外部存储器，密码服务硬件模块执行的密码服务包括以下至少一种：
    密钥管理服务，所述密钥管理包括密钥生成和/或密钥存储；
    签名验证服务；
    数据加解密服务；
    基于消息认证码MAC的消息认证服务。
  13. 如权利要求1所述的外部存储器，所述CPU向至少两个外部存储器分别发送密码服务调用指令，调用不同的外部存储器中的密码服务硬件模块分别执行：同一任务对应的不同子任务涉及的密码服务。
  14. 一种提供密码服务的方法，其中，业务处理设备包括中央处理器CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；所述方法包括：
    所述CPU向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；
    密码服务硬件模块根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
  15. 如权利要求14所述方法，还包括：
    所述CPU获取业务应用发送的业务请求；
    所述CPU向外部存储器发送密码服务调用指令，包括：
    所述CPU根据所述业务请求，向外部存储器发送密码服务调用指令。
  16. 如权利要求15所述方法，所述业务应用部署于所述业务处理设备；
    或者
    所述业务处理设备作为服务端，所述业务应用部署于客户端。
  17. 一种业务处理设备，包括CPU与至少一个外部存储器；每个外部存储器内置了密码服务硬件模块；
    所述CPU，向外部存储器发送密码服务调用指令，调用外部存储器中的密码服务硬件模块；
    密码服务硬件模块，根据所述密码服务调用指令执行密码服务，并将服务结果返回给所述CPU，和/或将服务结果存储至外部存储器的存储空间。
PCT/CN2022/108495 2021-08-19 2022-07-28 外部存储器、提供密码服务的方法及业务处理设备 WO2023020234A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202110954662.2 2021-08-19
CN202110954662.2A CN113721983A (zh) 2021-08-19 2021-08-19 外部存储器、提供密码服务的方法及业务处理设备

Publications (1)

Publication Number Publication Date
WO2023020234A1 true WO2023020234A1 (zh) 2023-02-23

Family

ID=78676782

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/108495 WO2023020234A1 (zh) 2021-08-19 2022-07-28 外部存储器、提供密码服务的方法及业务处理设备

Country Status (2)

Country Link
CN (1) CN113721983A (zh)
WO (1) WO2023020234A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113721983A (zh) * 2021-08-19 2021-11-30 支付宝(杭州)信息技术有限公司 外部存储器、提供密码服务的方法及业务处理设备
CN115442422A (zh) * 2022-08-05 2022-12-06 广州小鹏汽车科技有限公司 服务提供方法、装置、车辆以及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080109903A1 (en) * 2006-11-07 2008-05-08 Spansion Llc Secure co-processing memory controller integrated into an embedded memory subsystem
CN102292732A (zh) * 2009-01-20 2011-12-21 微软公司 具有物理可分离的密钥存储设备的硬件加密存储设备
CN107256363A (zh) * 2017-06-13 2017-10-17 杭州华澜微电子股份有限公司 一种由加解密模块阵列组成的高速加解密装置
CN109067523A (zh) * 2018-07-28 2018-12-21 杭州电子科技大学 一种加密卡的数据加密方法
CN109104275A (zh) * 2018-07-28 2018-12-28 杭州电子科技大学 一种hsm设备
CN109325356A (zh) * 2018-07-28 2019-02-12 杭州电子科技大学 一种加密卡架构
CN113721983A (zh) * 2021-08-19 2021-11-30 支付宝(杭州)信息技术有限公司 外部存储器、提供密码服务的方法及业务处理设备

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080109903A1 (en) * 2006-11-07 2008-05-08 Spansion Llc Secure co-processing memory controller integrated into an embedded memory subsystem
CN102292732A (zh) * 2009-01-20 2011-12-21 微软公司 具有物理可分离的密钥存储设备的硬件加密存储设备
CN107256363A (zh) * 2017-06-13 2017-10-17 杭州华澜微电子股份有限公司 一种由加解密模块阵列组成的高速加解密装置
CN109067523A (zh) * 2018-07-28 2018-12-21 杭州电子科技大学 一种加密卡的数据加密方法
CN109104275A (zh) * 2018-07-28 2018-12-28 杭州电子科技大学 一种hsm设备
CN109325356A (zh) * 2018-07-28 2019-02-12 杭州电子科技大学 一种加密卡架构
CN113721983A (zh) * 2021-08-19 2021-11-30 支付宝(杭州)信息技术有限公司 外部存储器、提供密码服务的方法及业务处理设备

Also Published As

Publication number Publication date
CN113721983A (zh) 2021-11-30

Similar Documents

Publication Publication Date Title
US20210328791A1 (en) Blockchain data processing methods and apparatuses based on cloud computing
CN109936626B (zh) 区块链中实现隐私保护的方法、节点和存储介质
CN110032883B (zh) 区块链中实现隐私保护的方法、系统和节点
WO2021184973A1 (zh) 访问外部数据的方法及装置
CN110032884B (zh) 区块链中实现隐私保护的方法及节点、存储介质
CN110020855B (zh) 区块链中实现隐私保护的方法、节点、存储介质
CN110032885B (zh) 区块链中实现隐私保护的方法、节点和存储介质
WO2023020234A1 (zh) 外部存储器、提供密码服务的方法及业务处理设备
CN110008735B (zh) 区块链中实现合约调用的方法及节点、存储介质
CN109886682B (zh) 区块链中实现合约调用的方法及节点、存储介质
CN110020549B (zh) 区块链中实现隐私保护的方法、节点和存储介质
US10990687B2 (en) System and method for user managed encryption recovery using blockchain for data at rest
CN110032876B (zh) 区块链中实现隐私保护的方法、节点和存储介质
CN111612462B (zh) 区块链中实现隐私保护的方法、节点和存储介质
CN110992027A (zh) 在区块链中实现隐私保护的高效交易方法及装置
WO2020233626A1 (zh) 结合交易与用户类型的条件限制的收据存储方法和节点
WO2020233615A1 (zh) 结合用户类型与事件函数类型的收据存储方法和节点
CN110020856B (zh) 区块链中实现混合交易的方法、节点和存储介质
TWI724473B (zh) 移動終端中共享安全應用的方法及移動終端
CN110059497B (zh) 区块链中实现隐私保护的方法、节点和存储介质
CN110033265B (zh) 区块链中实现隐私保护的方法、节点和存储介质
CN112434326B (zh) 一种基于数据流的可信计算方法及装置
TWI724813B (zh) 交易調度方法及裝置
US20240078551A1 (en) Blockchain-based user element authorization methods and apparatuses
CN111639362B (zh) 区块链中实现隐私保护的方法、节点和存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22857547

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE