一種基于共享技術(shù)的UsbKey秘鑰管理方案的制作方法
【專利摘要】本發(fā)明提供一種基于共享技術(shù)的UsbKey秘鑰管理方案，應(yīng)用于需要進行密鑰分割以及權(quán)限分配的安全領(lǐng)域，其過程在于：密碼設(shè)備的初始化，包括：生成管理員密鑰與設(shè)備密鑰、生成設(shè)備主密鑰、備份密鑰、生成密鑰保護密鑰以及用戶密鑰；保護密鑰的備份與恢復(fù)等環(huán)節(jié)，再就是處于就緒狀態(tài)下的密碼設(shè)備的上電初始化。本發(fā)明的方法可以避免密鑰的泄露以及密鑰權(quán)限單一的問題，確保密鑰的安全管理與透明使用，保證密碼設(shè)備在使用以及密鑰管理方面的安全性和可靠性。
【專利說明】—種基于共享技術(shù)的UsbKey秘鑰管理方案
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及計算機信息安全領(lǐng)域，尤其涉及一種基于共享技術(shù)的UsbKey秘鑰管理方案，應(yīng)用于密碼設(shè)備的密鑰管理中。
【背景技術(shù)】 [0002]密鑰技術(shù)廣泛應(yīng)用于具有安全需求的數(shù)據(jù)通信領(lǐng)域，提高了數(shù)據(jù)傳輸?shù)陌踩?。而且密鑰技術(shù)還可以應(yīng)用于身份認(rèn)證的識別領(lǐng)域，來判斷傳輸數(shù)據(jù)是否可信，以及數(shù)據(jù)是否完整或被修改。
[0003]在日常生活中，由于計算機設(shè)備的不安全性，在傳統(tǒng)的密鑰管理技術(shù)下，常出現(xiàn)密鑰管理不符合要求、密鑰無法安全存儲，容易被竊取者竊取的現(xiàn)象，且存儲在密碼設(shè)備中的密鑰無保護機制，易遭到非法滲透和竊取，同時存儲的密鑰無良好的權(quán)限控制機制，即使有權(quán)限也相對單一，一旦遺失易出現(xiàn)非法使用的情況。

【發(fā)明內(nèi)容】

[0004]鑒于上述現(xiàn)有技術(shù)的缺點，本發(fā)明公開了一種基于密鑰共享技術(shù)的UsbKey秘鑰管理方案，用于解決現(xiàn)有密鑰管理機制中沒有明確的管理權(quán)限以及密鑰容易被竊取所帶來的安全問題。
[0005]為了解決上述問題，本發(fā)明通過以下技術(shù)方案進行實施:
[0006]1.密鑰的設(shè)置:
[0007]I)管理員密鑰:一組非對稱算法密鑰，用于管理員身份的認(rèn)證和簽名，每個管理員一組，并與對應(yīng)管理員Key序列相對應(yīng)；
[0008]2)設(shè)備密鑰:兩組非對稱密鑰算法，包括密鑰加密密鑰對與密鑰簽名密鑰對，用于對用戶設(shè)備和管理中的密鑰管理，并進行與其他設(shè)備互通信息時的相互認(rèn)證工作；
[0009]3)設(shè)備主密鑰:一組對稱密鑰，加密存儲在密碼設(shè)備中的用戶密鑰與用戶保護密鑰，確保密碼設(shè)備內(nèi)的核心密鑰都是以密文形式存在，防止密碼設(shè)備被滲透，密鑰數(shù)據(jù)被竊取，且設(shè)備主密鑰暫時存放在內(nèi)存中，會掉電丟失；
[0010]4)用戶密鑰:包括對稱算法密鑰與非對稱算法密鑰，為密碼設(shè)備提供數(shù)據(jù)加解密、數(shù)字簽名、數(shù)字信封等密碼業(yè)務(wù)；
[0011]5)密鑰加密密鑰:一組對稱密鑰，用于加密在通訊線路上需要傳遞的工作密鑰；
[0012]6)備份密鑰:初始化時，由密碼設(shè)備產(chǎn)生，分散保存在管理員Key中，用于對密碼設(shè)備內(nèi)部重要密鑰進行備份和恢復(fù)。
[0013]2.本發(fā)明所公開的技術(shù)方案步驟如下:
[0014]S1:清空密碼設(shè)備的所有存儲空間，完成密碼設(shè)備出廠的原始初始化，在UsbKey中生成管理員密鑰對，將公鑰從Key中導(dǎo)入到密碼設(shè)備密碼存儲區(qū)，并在密碼設(shè)備內(nèi)做好key的序列號與公鑰的--對應(yīng)；
[0015]S2:在密碼設(shè)備中生成設(shè)備密鑰(一對加密密鑰對、一對簽名密鑰對)，保存到密碼設(shè)備對應(yīng)的密碼存儲區(qū)，并簽發(fā)管理員證書，完成管理員key的制作，并用PIN校驗碼進行保護，讓密碼設(shè)備處于就緒狀態(tài)；
[0016]S3:生成密碼設(shè)備的主密鑰，暫時存儲在密碼設(shè)備內(nèi)存中，掉電自動丟失；
[0017]S4:通過密管中心在密碼設(shè)備內(nèi)生成備份密鑰、用戶密鑰對以256位密鑰進行加密保護，并用設(shè)備主密鑰加密設(shè)備內(nèi)所有生成的用戶密鑰對與密鑰加密密鑰，存儲在密碼設(shè)備密碼對應(yīng)存儲區(qū)；
[0018]S5:制作操作員Key，在操作員Key中生成密鑰對，將公鑰從Key中導(dǎo)入到密碼設(shè)備的密碼存儲區(qū)，以便實現(xiàn)操作員與加密設(shè)備的簽名認(rèn)證，完成設(shè)備主密鑰的分割與密鑰份額的加密，通過設(shè)備密鑰的公鑰加密后導(dǎo)入到操作員Key中，并用PIN碼保護，至此完成初始化工作； [0019]S6:通過操作員key與密碼設(shè)備的雙向認(rèn)證后，密碼設(shè)備通過解密獲得密鑰份額，恢復(fù)出設(shè)備主密鑰，解密出存儲在密碼設(shè)備存儲區(qū)的用戶密鑰與密鑰加密密鑰，完成后續(xù)的密碼操作，至此密碼設(shè)備上電初始化工作完成。
[0020]作為優(yōu)選，上述描述的密鑰管理方案所運用的非對稱密鑰算法均是基于SM2橢圓ECC密碼算法，相比傳統(tǒng)的RSA算法，具有密鑰長度短、加解密速度快以及存儲空間小等優(yōu)點。
[0021]按照本發(fā)明的技術(shù)方案，闡述了各類密鑰的組成以及應(yīng)用方式，具有以下有益效果:基于密鑰共享技術(shù)的分割管理以及權(quán)限的分配，至少有預(yù)先設(shè)定中的k個操作員共同操作，才能完成密碼設(shè)備的上電初始化，而且改變了傳統(tǒng)密鑰存儲方式，應(yīng)用了外部安全密鑰媒介，確保密鑰的安全保存與使用，從而解決密碼設(shè)備在應(yīng)用中遇到的安全難題。
【專利附圖】

【附圖說明】
[0022]圖1顯示為基于共享技術(shù)的UsbKey秘鑰管理方案的流程圖；
[0023]圖2顯示為密碼設(shè)備初始化階段的流程圖；
[0024]圖3顯示為密碼設(shè)備上電初始化階段的流程圖。
【具體實施方式】
[0025]以下通過特定的具體實例說明本發(fā)明的實施方式，本領(lǐng)域技術(shù)人員可由本說明書所揭露的內(nèi)容輕易地了解本發(fā)明的其他優(yōu)點與功效，本發(fā)明還可以通過另外不同的【具體實施方式】加以實施或應(yīng)用，本說明書中的各項細(xì)節(jié)也可以基于不同觀點與應(yīng)用，在沒有背離本發(fā)明的精神下進行各種修飾或改變。
[0026]本發(fā)明基于共享技術(shù)的UsbKey秘鑰管理方案，其中步驟如上述密鑰管理方案步驟。
[0027]其中在密碼設(shè)備初始化階段，具體的設(shè)備主密鑰的生成與分割，參閱圖2，具體步驟如下:
[0028]I)插入管理員key，PIN碼校驗通過后，密碼設(shè)備進行雙向認(rèn)證，通過則進行后續(xù)操作，否則停止；
[0029]2)輸入k與η的值，利用隨機數(shù)發(fā)生器生成k個隨機數(shù)；
[0030]3)根據(jù)隨機數(shù)構(gòu)造插值多項式^afa1X+.....+Bk^1Xk-1 ；[0031]4)輸入子密鑰X1, X2,......Xn得到對應(yīng)份額ID:y1； y2,......, yn ;
[0032]5)構(gòu)造函數(shù)key=f(a0, B1,……，a^)即為設(shè)備主密鑰，存儲在密鑰設(shè)備內(nèi)存中；
[0033]6)將分割的密鑰份額利用設(shè)備密鑰的公鑰加密后導(dǎo)入到操作員Key中，完成初始化。
[0034]優(yōu)選地，上述初始化階段，管理員Key與密碼設(shè)備進行雙向認(rèn)證時，可以根據(jù)安全保護機制設(shè)定驗證次數(shù)，當(dāng)驗證次數(shù)大于設(shè)定的安全門限時，密碼設(shè)備進行自我保護，停止后續(xù)步驟的進行，直接結(jié)束初始化。
[0035]更優(yōu)選地，在操作員Key與密碼設(shè)備進行雙向認(rèn)證時，亦如管理員的安全保護機制，進行密碼設(shè)備的自我安全保護，而且在初始化完成時，將相應(yīng)的安全密鑰份額與份額ID導(dǎo)入到k個管理員Key中，并用管理員的私鑰進行加密保護，在操作員key遺失的情況下，或操作員Key無法在規(guī)定時間內(nèi)達到k份額的安全應(yīng)用環(huán)境中,可直接由管理員Key恢復(fù)出設(shè)備主密鑰進行后續(xù)密鑰操作。
[0036]其中在密碼設(shè)備上電初始化階段，具體的設(shè)備主密鑰的恢復(fù)，參閱圖3，具體步驟如下:
[0037]1)PIN碼校驗后的操作員key與密碼設(shè)備進行雙向認(rèn)證，認(rèn)證通過則進行后續(xù)步驟，否則停止；
[0038]2)密碼設(shè)備用設(shè)備密鑰的私鑰解密出已分割的子密鑰份額；
[0039]3)根據(jù)解密出來的子密鑰份額與ID解線性方程組，解出系統(tǒng)生成的隨機數(shù)；
[0040]4)帶入到主密鑰函數(shù)f (X)，恢復(fù)出設(shè)備主密鑰；
[0041]5)利用恢復(fù)出來的設(shè)備主密鑰解密存儲在密碼設(shè)備中的用戶密鑰與密鑰加密密鑰，作后續(xù)密碼操作，完成上電初始化。
[0042]優(yōu)選地，在Key與密碼設(shè)備相互認(rèn)證時，可以設(shè)定k個Key認(rèn)證安全綜合時間，超出預(yù)定時間閾值時，密鑰管理系統(tǒng)將自動關(guān)閉，上電初始化失敗。
[0043]更優(yōu)選地，關(guān)于密鑰的備份和恢復(fù):密碼設(shè)備中的關(guān)鍵密鑰需要備份，以便在密碼設(shè)備中的密鑰損壞或更換新的密碼設(shè)備時及時恢復(fù)密鑰。
[0044]密碼設(shè)備中需要備份的密鑰為:設(shè)備密鑰、用戶密鑰。
[0045]備份時，利用密碼設(shè)備上產(chǎn)生的備份密鑰加密設(shè)備密鑰對、用戶密鑰對后，將密文保存到本地計算機，而備份密鑰利用密鑰共享技術(shù)分散保存在管理員Key中，當(dāng)需要密鑰恢復(fù)時，將密文導(dǎo)入到密碼設(shè)備中，利用管理員Key中恢復(fù)出來的備份密鑰解密。
[0046]上述實施例僅例示性地說明本發(fā)明的原理及其功效，而非用于限制本發(fā)明，任何本領(lǐng)域的專業(yè)人士皆可在不違背本發(fā)明的精神及范疇下，對上述實施例進行修飾或改變，因此，舉凡所屬【技術(shù)領(lǐng)域】中具有通常知識者在未脫離本發(fā)明所揭示的精神與技術(shù)思想下所完成的一切等效修飾或改變，仍應(yīng)由本發(fā)明的權(quán)利要求所涵蓋。
【權(quán)利要求】
1.基于共享技術(shù)的UsbKey秘鑰管理方案，應(yīng)用于信息安全領(lǐng)域，其特征在于，所述步驟包括: 51:清空密碼設(shè)備的所有存儲空間，完成密碼設(shè)備出廠的原始初始化，在UsbKey中生成管理員密鑰對，將公鑰從Key中導(dǎo)入到密碼設(shè)備密碼存儲區(qū)，并在密碼設(shè)備內(nèi)做好key的序列號與公鑰的對應(yīng)； 52:在密碼設(shè)備中生成設(shè)備密鑰對，保存在密碼設(shè)備對應(yīng)的密碼存儲區(qū)，并簽發(fā)管理員證書，完成管理員Key的制作，并用PIN碼保護，讓密碼設(shè)備處于就緒狀態(tài)， 53:生成密碼設(shè)備的主密鑰，暫時存儲在密碼設(shè)備內(nèi)存中，掉電會丟失； 54:通過密管中心生成備份密鑰、用戶密鑰與密鑰保護密鑰，并用設(shè)備主密鑰加密所有生成的用戶密鑰對與密鑰保護密鑰，存儲在密碼設(shè)備密碼對應(yīng)存儲區(qū)； 55:制作操作員KEY，在操作員key中生成密鑰對，將公鑰從Key中導(dǎo)入到密碼設(shè)備的密碼存儲區(qū)，并用PIN碼保護，以便實現(xiàn)操作員與加密設(shè)備的認(rèn)證，完成設(shè)備主密鑰的分割與對密鑰份額的加密，通過設(shè)備密鑰的公鑰加密后導(dǎo)入到操作員Key中，至此完成初始化工作； 56:通過操作員Key與密碼設(shè)備的雙向認(rèn)證后，密碼設(shè)備通過解密獲得密鑰份額，恢復(fù)出設(shè)備主密鑰，解密出存儲在密碼設(shè)備存儲區(qū) 的用戶密鑰與密鑰保護密鑰，完成后續(xù)的密碼操作，至此密碼設(shè)備上電初始化工作完成。
2.根據(jù)權(quán)利I描述的密鑰管理方案，其特征在于:該密鑰管理方案所運用的非對稱密鑰算法均是基于SM2橢圓ECC密碼算法，相比傳統(tǒng)的RSA算法，具有密鑰長度短、加解密速度快以及存儲空間小等優(yōu)點，且管理員密鑰key的簽發(fā)，必須在密碼設(shè)備處于原始初始化狀態(tài)下，按下列步驟進行: 51:清空密碼設(shè)備的所有存儲空間，在UsbKey中生成并存儲ECC管理員密鑰對，將公鑰從Key中導(dǎo)出，導(dǎo)入到密碼設(shè)備加密密碼存儲區(qū)； 52:在密碼設(shè)備中生成設(shè)備密鑰對，包括加密密鑰對、簽名密鑰對，保存在密碼設(shè)備對應(yīng)的密碼存儲區(qū)； 53:管理員Key的制作，在密碼設(shè)備上插上UsbKey，密碼設(shè)備產(chǎn)生一個隨機數(shù)列，發(fā)送給管理員Key，Key使用已生成的ECC私鑰簽名隨機數(shù)，回傳給密碼設(shè)備做驗證，驗證通過作后續(xù)操作； S4:利用密碼設(shè)備簽名私鑰將存儲在加密存儲區(qū)的管理員公鑰簽發(fā)成管理員證書，將管理員證書下載到管理員UsbKey中，并用PIN碼校驗保護； S5:重復(fù)步驟S3、S4，簽發(fā)出所有的管理員證書。
3.根據(jù)權(quán)利1-2描述的密鑰管理方案，其特征在于:所述S5的操作員Key的制作，必須在密碼設(shè)備處于就緒化的情況下，完成對操作員Key的操作，包括: S1:生成密碼設(shè)備的主密鑰，暫時存儲在密碼設(shè)備內(nèi)存中，掉電會丟失； S2:通過密管中心在密碼設(shè)備內(nèi)生成備份密鑰、用戶密鑰對與密鑰保護密鑰，并用設(shè)備主密鑰加密所有生成的用戶密鑰對與簽名密鑰對，存儲在密碼設(shè)備密碼對應(yīng)存儲區(qū)； S3:插入管理員Key, PIN碼校驗通過后,通過Key中的數(shù)字證書,完成管理員與密碼設(shè)備的身份識別的驗證，驗證通過作后續(xù)操作；S4:制作操作員Key，保持管理員Key在的情況下，在空Key中生成密鑰對，將公鑰從Key中導(dǎo)入到密碼設(shè)備的加密密碼存儲區(qū)，利用密碼設(shè)備簽名私鑰將操作員Key的公鑰簽發(fā)成操作員證書，并下載到操作員UsbKey中，并設(shè)置PIN碼保護；以便實現(xiàn)后續(xù)操作員與加密設(shè)備的認(rèn)證； S5:完成設(shè)備主密鑰的分割與密鑰份額的加密，通過設(shè)備密鑰的加密公鑰加密后導(dǎo)入到不同的操作員Key中。
4.根據(jù)權(quán)利1-3描述的密鑰管理方案，其特征在于:所述S6的上電初始化，必須在密碼設(shè)備處于初始化工作下，必須有滿足預(yù)先設(shè)定的滿足密鑰共享技術(shù)的(k，η)門限下的k個操作員密鑰Key共同參與才能執(zhí)行，且按下列步驟進行: S1:密碼設(shè)備重新上電后，插上操作員Key，PIN碼校驗后，通過Key內(nèi)部的簽名證書，完成與密碼設(shè)備的交互認(rèn)證，通過作后續(xù)操作； S2:利用設(shè)備密鑰的私鑰解密出設(shè)備主密鑰的密鑰份額，帶入到特征多項式中，恢復(fù)出設(shè)備主密鑰； S3:利用恢復(fù)的設(shè)備主密鑰解密出用戶密鑰以及密鑰加密密鑰，完成密碼設(shè)備的上電初始化，開始進行對密碼設(shè)備的操作。
【文檔編號】H04L9/08GK103580855SQ201310547441
【公開日】2014年2月12日 申請日期:2013年11月7日 優(yōu)先權(quán)日:2013年11月7日
【發(fā)明者】李志華, 李林 申請人:江南大學(xué)