一种密钥管理方法、控制器及系统技术方案

本发明专利技术公开一种密钥管理方法，通过在可信执行环境中运行的密钥管理控制器接收用户终端发送的密钥请求；解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端；若用户终端属于已注册用户终端，执行与操作符相对应的密钥操作，实现将密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。另一方面，本发明专利技术还公开了密钥管理控制器以及密钥管理系统。

【技术实现步骤摘要】
一种密钥管理方法、控制器及系统
本专利技术涉及数据安全
，具体涉及一种密钥管理方法、控制器及系统。
技术介绍
密钥是许多数据安全技术的基础，例如对电子邮件的签名验证、远程服务器的身份认证以及云端数据的加解密等的过程都需要密钥参与。现有的密钥管理方案众多，目前常用的为本地存储、硬件设备存储和服务器存储。然而，这三个方案存在着各自的局限性，分析如下。本地存储：将密钥存储于本地设备进行管理的方法。然而这种方法的密钥安全性低，密钥容易被本地设备上恶意软件盗取，从而导致密钥使用过程中出现安全问题。硬件设备存储：将密钥存储于专用硬件设备(如智能芯片或U盾令牌)内进行管理的方法。但是，专用的硬件设备在外借他人使用时，无法知晓对方是否将存储于专用的硬件设备中的密钥使用到非正当的用途，因而导致密钥的使用不可控，带来一定的安全问题。服务器存储：将密钥存储于提供密钥存储服务的服务器内进行管理的方法。但是，提供密钥存储服务的服务商不一定可信，带来一定的安全问题。由上述可知，现有技术中针对密钥管理的方案均存在一定的安全性问题。
技术实现思路
有鉴于此，本专利技术实施例提供一种密钥管理方法、控制器及系统，解决了现有技术中针对密钥管理所存在的安全性问题。为实现上述目的，本专利技术实施例的一个方面提供一种密钥管理方法，包括：密钥管理控制器接收用户终端发送的密钥请求；其中，所述密钥管理控制器在可信执行环境中运行；所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；所述密钥管理控制器解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；若所述用户终端属于已注册用户终端，所述密钥管理控制器执行与所述操作符相对应的密钥操作。本专利技术实施例的第二方面提供一种密钥管理控制器，所述控制器在可信执行环境中运行，包括：接收单元，用于接收用户终端发送的密钥请求；其中，所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；解析验证单元，用于解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；执行单元，用于若所述用户终端属于已注册用户终端，执行与所述操作符相对应的密钥操作。本专利技术实施例的第三方面提供一种密钥管理系统，包括用户终端、密钥管理控制器和用于为所述密钥管理控制器提供通信功能的通信接口；所述密钥管理控制器，用于在可信执行环境中执行如权利要求1-7所述的任一项密钥管理方法。上述技术方案通过在可信执行环境中运行的密钥管理控制器接收用户终端发送的密钥请求；解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端；若用户终端属于已注册用户终端，执行与操作符相对应的密钥操作，实现将密钥管理控制器在可信执行环境中对密钥进行管理，为用户终端提供一个安全可靠的密钥管理控制器，保证密钥不会被泄露，提高了密钥的安全性。附图说明为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。图1为本专利技术实施例提供的一种密钥管理方法的流程图；图2为用户终端的注册过程的一种实现方式的流程图；图3为本专利技术实施例公开了一种密钥管理控制器的结构图；图4为本专利技术又一实施例提供的一种密钥管理控制器的结构图；图5为本专利技术另一实施例公开的一种密钥管理系统的结构图。具体实施方式下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。请参阅图1，其示出本专利技术实施例提供的一种密钥管理方法的流程图，密钥管理方法应用于密钥管理控制器中，包括以下步骤：S101，密钥管理控制器接收用户终端发送的密钥请求。本实施例中，密钥管理控制器可以设置于与用户终端连接的密钥管理平台中，密钥管理平台可以为多台用户终端提供密钥管理服务。密钥管理控制器通过密钥管理平台中的通信接口与用户终端进行通信，通信接口主要为密钥管理控制器的可信执行环境提供与用户终端的通信条件。本实施例中，密钥管理控制器在可信执行环境中运行。可信执行环境(TrustedExecutionEnvironment，TEE)是密钥管理平台内的安全区域，以可信硬件为载体，提供硬件级强安全隔离和通用计算环境。可信执行环境在一个独立的环境中且与密钥管理平台的操作系统并行运行，在完善的密码服务加持下形成“密室”，数据仅在“密室”内才进行解密并计算，除此之外任何其他方法都无法接触到数据明文内容，数据在离开“密室”之前又会被自动加密，确保密钥管理控制器在可信执行环境中加载的代码和数据的机密性和完整性都得到保护。密钥请求包括用户终端的用户信息和用于指示密钥请求的请求类型的操作符。其中，用户信息可以是发送密钥请求的用户终端的标识信息，例如用户终端的用户名或用户终端的设备ID，本实施例中用户信息为用户名和用户密码。用户终端可以向密钥管理控制器发送多种密钥请求，密钥请求可以包括但不限于密钥生成请求和密钥使用请求。密钥管理控制器通过操作符识别出接收到的密钥请求的请求类型。操作符可以是使用数字编号、符号或英文单词等表示，在此不对操作符的具体格式进行限定。S102，密钥管理控制器解析密钥请求中的用户信息，根据用户信息验证用户终端是否属于已注册用户终端。本实施例中，可信执行环境中存储有已注册用户终端的用户信息。已注册用户终端为与密钥管理控制器建立安全信道的用户终端，密钥管理控制器可以通过安全信道与多个已注册用户终端进行安全通信，通过已注册用户终端的用户信息对用户终端进行区分。在可信执行环境中存储已注册用户终端的用户信息有很多实现方式，在此不进行限定。本实施例中，可以将用户信息存储至可信执行环境中的用户权限表，通过验证用户权限表中是否存在与密钥请求中的用户信息相匹配的用户信息来验证用户终端是否属于已注册用户终端。若在用户权限表中存在与密钥请求中的用户信息一致的用户信息，说明发送密钥请求的用户终端为已注册用户终端；若用户权限表中不存在与密钥请求中的用户信息一致的用户信息，说明本文档来自技高网...

【技术保护点】
1.一种密钥管理方法，其特征在于，包括：/n密钥管理控制器接收用户终端发送的密钥请求；其中，所述密钥管理控制器在可信执行环境中运行；所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；/n所述密钥管理控制器解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；/n若所述用户终端属于已注册用户终端，所述密钥管理控制器执行与所述操作符相对应的密钥操作。/n

【技术特征摘要】
1.一种密钥管理方法，其特征在于，包括：
密钥管理控制器接收用户终端发送的密钥请求；其中，所述密钥管理控制器在可信执行环境中运行；所述密钥请求包括所述用户终端的用户信息和用于指示所述密钥请求的请求类型的操作符；
所述密钥管理控制器解析所述密钥请求中的用户信息，根据所述用户信息验证所述用户终端是否属于已注册用户终端；
若所述用户终端属于已注册用户终端，所述密钥管理控制器执行与所述操作符相对应的密钥操作。


2.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括密钥生成操作符；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器生成与所述密钥生成操作符对应的密钥，以及对应所述密钥的数据结构；
所述密钥管理控制器将生成的密钥存储至与所述用户终端对应的密钥存储单元中，将所述数据结构写入密钥使用日志，所述数据结构用于记录所述密钥的使用情况。


3.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括加密操作符或解密操作符；所述密钥请求中还包括需要进行加密或解密的目标数据；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器获取与所述用户终端对应的加密密钥或解密密钥；
所述密钥管理控制器使用所述加密密钥或所述解密密钥完成所述目标数据的加密操作或解密操作，得到加密数据或解密数据；
所述密钥管理控制器反馈所述加密数据或所述解密数据至所述用户终端。


4.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括授权操作符；所述密钥请求中还包括授权策略、被授权用户终端的用户信息和授权密钥的标识信息；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器根据所述授权策略和所述被授权用户终端的用户信息，为所述被授权用户终端添加所述授权密钥的使用权限，并向所述被授权用户终端发送相应的授权通知。


5.如权利要求1所述的密钥管理方法，其特征在于，若所述密钥请求包括审计操作符；所述密钥请求中还包括用于指示待审计密钥的密钥标识；
则所述密钥管理控制器执行与所述操作符相对应的密钥操作，包括：
所述密钥管理控制器根据所述密钥标识，获取所述待审计密钥的使用日志，并审计所述待审计密钥的使用日志。


6.如权利要求1所述的密钥管理方法，...

【专利技术属性】
技术研发人员：雷虹，包子健，王庆豪，刘浛，任谦，赵品行，谢小兰，
申请(专利权)人：牛津海南区块链研究院有限公司，
类型：发明
国别省市：海南;46