密钥管理方法、系统及设备技术方案

本发明专利技术实施例提供一种密钥管理方法、系统及设备。该方法包括：接收密钥请求，密钥请求包括请求端的公钥和所请求业务密钥的业务标识；根据业务标识，从分布式存储网络中获取与业务标识对应的多个密文密钥分片；根据多个密文密钥分片确定与业务标识对应的密文密钥，密文密钥基于根密钥的公钥加密；采用重加密密钥，对密文密钥进行重加密，重加密密钥是在可信执行环境中根据根密钥的私钥和请求端的公钥确定，根密钥的私钥存储于可信执行环境中；将重加密后的密文密钥发送至请求端，以使请求端根据请求端的私钥对重加密后的密文密钥进行解密，获取所请求的业务密钥。通过分布式密文存储和重加密，提高了安全性。

Key management method, system and equipment

【技术实现步骤摘要】
密钥管理方法、系统及设备
本专利技术涉及信息安全
，具体涉及一种密钥管理方法、系统及设备。
技术介绍
随着全球信息化水平的不断提高，信息安全的重要性日趋增强。信息安全产业已成为对各国的国家安全、政治稳定、经济发展、社会生活、健康文化等方方面面具有生存性和保障性支撑作用的关键产业。信息安全可能会影响个人的工作、生活，甚至会影响国家经济发展、社会稳定、国防安全。因此，信息安全产业在整个产业布局乃至国家战略格局中具有举足轻重的地位和作用。现代密码体制是信息安全的重要组成部分，其设计思想是使体制的安全性取决于密钥，因此对于密钥的管理将直接决定体制的安全性。不同于登陆密码、支付密码等由用户自己设定的字符串，密钥通常是面向企业的、面向服务的，因此密钥的全生命周期安全也是企业的核心安全问题。企业通常使用密钥管理系统(KeyManagementSystem，简称：KMS)进行密钥的生成、分发、更新、撤销和销毁，所有需要配置密钥的业务都需要经过KMS系统。KMS如若崩溃，则所有新上线的业务将随之推迟；KMS如若被攻破，则可能导致数据泄漏；KMS如若被删库，则关联的业务数据可能永久不可用。因此虽然KMS的访问频率未必很高，但是对于KMS的安全性要求却很高，不仅需要防范外部攻击，而且要防范内部攻击。目前常用的KMS基于软件实现，通常使用部署于公司内网中的本地数据库来存储根密钥和业务密钥，用于向企业内部提供服务。现有基于软件实现的KMS中，由于所有密钥都存储在一个数据库中，一旦被攻击，可能导致所有密钥全部泄漏；有访问权限的用户如果做恶，则可以获取所有密钥。也就是说，现有基于软件实现的KMS中每个密钥均存在丢失和被篡改的风险，安全性低。
技术实现思路
本专利技术实施例提供一种密钥管理方法、系统及设备，用以解决现有密钥管理系统安全性低的问题。第一方面，本专利技术实施例提供一种密钥管理方法，包括：接收密钥请求，密钥请求包括请求端的公钥和所请求业务密钥的业务标识；根据业务标识，从分布式存储网络中获取与业务标识对应的多个密文密钥分片；根据多个密文密钥分片确定与业务标识对应的密文密钥，密文密钥基于根密钥的公钥加密；采用重加密密钥，对密文密钥进行重加密，重加密密钥是在可信执行环境中根据根密钥的私钥和请求端的公钥确定，根密钥的私钥存储于可信执行环境中；将重加密后的密文密钥发送至请求端，以使请求端根据请求端的私钥对重加密后的密文密钥进行解密，获取所请求的业务密钥。在一种可选的实施方式中，根据业务标识，从分布式存储网络中获取与业务标识对应的多个密文密钥分片，包括：根据业务标识，通过密钥索引获取存储地址，密钥索引包括业务标识和与业务标识对应的密文密钥分片在分布式存储网络中的存储地址之间的映射关系；根据存储地址，从分布式存储网络中获取与业务标识对应的多个密文密钥分片。在一种可选的实施方式中，若密钥索引中不包括业务标识，则通过密钥索引获取存储地址之前，所述方法还包括：通过密钥生成函数生成与业务标识对应的业务密钥；采用根密钥的公钥对业务密钥进行加密，得到相应的密文密钥；使用(t，n)门限算法将密文密钥分为n个密文密钥分片；将n个密文密钥分片存储于分布式存储网络中，并更新密钥索引。在一种可选的实施方式中，分布式存储网络基于分布式哈希表构建。在一种可选的实施方式中，采用重加密密钥，对密文密钥进行重加密之后，方法还包括：销毁重加密密钥。在一种可选的实施方式中，密钥请求还包括请求端的身份标识和/或至少一个签名信息；根据业务标识，从分布式存储网络中获取与业务标识对应的多个密文密钥分片之前，方法还包括：根据身份标识进行身份鉴权，和/或，根据签名信息进行签名验证。第二方面，本专利技术实施例提供一种密钥管理系统，包括：核心系统模块、TEE模块和存储模块；TEE模块用于存储根密钥的私钥，并根据根密钥的私钥和请求端的公钥确定重加密密钥；存储模块包括分布式存储网络，用于存储密文密钥分片；核心系统模块用于，根据请求端所请求业务密钥的业务标识，从存储模块中获取与业务标识对应的多个密文密钥分片；根据多个密文密钥分片确定与业务标识对应的密文密钥；采用TEE模块确定的重加密密钥对密文密钥进行重加密。在一种可选的实施方式中，核心系统模块还用于：通过密钥生成函数生成业务密钥；采用根密钥的公钥对业务密钥进行加密，得到相应的密文密钥；使用(t，n)门限算法将密文密钥分为n个密文密钥分片；将n个密文密钥分片存储于存储模块中。第三方面，本专利技术实施例提供一种密钥管理设备，包括：至少一个处理器和存储器；存储器存储计算机执行指令；至少一个处理器执行存储器存储的计算机执行指令，使得至少一个处理器执行如第一方面任一项所述的密钥管理方法。第四方面，本专利技术实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，计算机执行指令被处理器执行时用于实现如第一方面任一项所述的密钥管理方法。本专利技术实施例提供的密钥管理方法、系统及设备，通过接收密钥请求，密钥请求包括请求端的公钥和所请求业务密钥的业务标识；根据业务标识，从分布式存储网络中获取与业务标识对应的多个密文密钥分片；根据多个密文密钥分片确定与业务标识对应的密文密钥；采用重加密密钥，对密文密钥进行重加密；将重加密后的密文密钥发送至请求端，以使请求端根据请求端的私钥对重加密后的密文密钥进行解密，获取所请求的业务密钥，实现了对业务密钥的安全管理。通过将业务密钥以密文密钥分片的形式存储于分布式存储网络中，提高了业务密钥的存储安全性；通过重加密实现了一人一钥一密文，能够抵御基于密文的攻击，提高了业务密钥的传输安全性。附图说明图1为一实施例提供的密钥管理系统的拓扑示意图；图2为一实施例提供的密钥管理系统的分层示意图；图3为一实施例提供的密钥管理方法的流程图；图4为又一实施例提供的密钥管理方法的流程图；图5为一实施例提供的密钥管理设备的结构示意图。具体实施方式下面通过具体实施方式结合附图对本专利技术作进一步详细说明。其中不同实施方式中类似元件采用了相关联的类似的元件标号。在以下的实施方式中，很多细节描述是为了使得本申请能被更好的理解。然而，本领域技术人员可以毫不费力的认识到，其中部分特征在不同情况下是可以省略的，或者可以由其他元件、材料、方法所替代。在某些情况下，本申请相关的一些操作并没有在说明书中显示或者描述，这是为了避免本申请的核心部分被过多的描述所淹没，而对于本领域技术人员而言，详细描述这些相关操作并不是必要的，他们根据说明书中的描述以及本领域的一般技术知识即可完整了解相关操作。另外，说明书中所描述的特点、操作或者特征可以以任意适当的方式结合形成各种实施方式。同时，方法描述中的各步骤或者动作也可以按照本领本文档来自技高网...

【技术保护点】
1.一种密钥管理方法，其特征在于，包括：/n接收密钥请求，所述密钥请求包括请求端的公钥和所请求业务密钥的业务标识；/n根据所述业务标识，从分布式存储网络中获取与所述业务标识对应的多个密文密钥分片；/n根据多个所述密文密钥分片确定与所述业务标识对应的密文密钥，所述密文密钥基于根密钥的公钥加密；/n采用重加密密钥，对所述密文密钥进行重加密，所述重加密密钥是在可信执行环境中根据根密钥的私钥和所述请求端的公钥确定，所述根密钥的私钥存储于所述可信执行环境中；/n将重加密后的密文密钥发送至请求端，以使请求端根据请求端的私钥对重加密后的密文密钥进行解密，获取所请求的业务密钥。/n

【技术特征摘要】
1.一种密钥管理方法，其特征在于，包括：
接收密钥请求，所述密钥请求包括请求端的公钥和所请求业务密钥的业务标识；
根据所述业务标识，从分布式存储网络中获取与所述业务标识对应的多个密文密钥分片；
根据多个所述密文密钥分片确定与所述业务标识对应的密文密钥，所述密文密钥基于根密钥的公钥加密；
采用重加密密钥，对所述密文密钥进行重加密，所述重加密密钥是在可信执行环境中根据根密钥的私钥和所述请求端的公钥确定，所述根密钥的私钥存储于所述可信执行环境中；
将重加密后的密文密钥发送至请求端，以使请求端根据请求端的私钥对重加密后的密文密钥进行解密，获取所请求的业务密钥。


2.如权利要求1所述的方法，其特征在于，所述根据所述业务标识，从分布式存储网络中获取与所述业务标识对应的多个密文密钥分片，包括：
根据所述业务标识，通过密钥索引获取存储地址，所述密钥索引包括业务标识和与业务标识对应的密文密钥分片在分布式存储网络中的存储地址之间的映射关系；
根据所述存储地址，从分布式存储网络中获取与所述业务标识对应的多个密文密钥分片。


3.如权利要求2所述的方法，其特征在于，若所述密钥索引中不包括所述业务标识，则所述通过密钥索引获取存储地址之前，所述方法还包括：
通过密钥生成函数生成与所述业务标识对应的业务密钥；
采用根密钥的公钥对所述业务密钥进行加密，得到相应的密文密钥；
使用(t，n)门限算法将所述密文密钥分为n个密文密钥分片；
将n个所述密文密钥分片存储于所述分布式存储网络中，并更新所述密钥索引。


4.如权利要求1所述的方法，其特征在于，所述分布式存储网络基于分布式哈希表构建。


5.如权利要求1所述的方法，其特征在于，所述采用重加密密钥，对所述密文密钥进行重加密之后，所述方法...

【专利技术属性】
技术研发人员：裴新，李雪峰，吴小川，孙亮，
申请(专利权)人：众安信息技术服务有限公司，
类型：发明
国别省市：广东;44