HSM密钥管理系统及方法、设备及存储介质技术方案

本发明专利技术提供一种HSM密钥管理系统及方法、设备及存储介质，系统包括：多HSM适配模块，用于针对不同型号的HSM提供SDK或类库实现对接，通过SDK或类库提供的操作接口调用HSM的功能；适配器模块，用于对不同HSM提供的接口进行转换，转换为统一的对外操作接口供业务系统调用；每种HSM对应一个适配器模块；统一对外接口模块，用于与多个所述适配器模块连接以获取业务访问请求。本发明专利技术能够支持对接多个不同型号HSM和支持对接多个相同型号HSM的密钥管理系统，通过不同型号的HSM同时提供服务以适应多元化的业务场景。元化的业务场景。元化的业务场景。

【技术实现步骤摘要】
HSM密钥管理系统及方法、设备及存储介质


[0001]本专利技术涉及密钥管理
，特别涉及一种HSM密钥管理系统及方法、设备及存储介质。

技术介绍

[0002]随着eSIM技术的不断发展，机构或运营商需要采购或者自建SM
‑
DP+平台，实现eSIM码号资源的安全存储以及将eSIM码号资源安全的下载到终端设备，在上述业务流程中，存在大量的密钥生成、数据加解密、电子签名校验等需求，因此需要有一种高安全性的密钥管理系统提供此类服务，该系统应具备对接硬件加密机(HSM)的能力、高安全性的访问控制机制、安全的生成并存储密钥机制、以及多样的管理接口。
[0003]基于软件安全模块的密钥管理系统。即核心安全模块由软件实现，软件实现方式决定了系统的安全等级。
[0004]基于软件安全模块的密钥管理系统使用Java或C++等编程语言编写软件安全模块，用于实现密钥创建、密钥存储、加密、解密、签名，签名验证等功能。此类系统一般使用一个固定的系统保护密钥加密本地存储的密钥数据，系统保护密钥可以在系统初始化时自动生成，并由一个系统启动密钥加密后存储到数据库，系统保护密钥可以拆分多个分量由多个人持有。
[0005]SM
‑
DP+业务系统与密钥管理业务模块交互，发送业务请求，密钥管理业务模块调用软件安全模块实现具体操作(密钥生成、密钥存储、加密解密等)，对于需要持久化的数据软件安全模块通过系统保护密钥加密后保存到数据库。
[0006]因此现有技术存在以下缺点：
[0007]第一，软件安全模块的功能由通用CPU实现，而通用CPU的运算性能无法达到HSM所采用的专用硬件加密芯片的性能，因此软件安全模块的性能远低于HSM的性能，无法适应对性能要求更高的场景；另外，软件安全模块的安全性完全由软件系统的设计实现来保证，因此容易出现安全漏洞，存在被破解的风险。
[0008]第二，对接单个HSM的密钥管理系统，可扩展性差，业务场景局限于某一种特定的HSM型号；另外，单个HSM的容量有限，未来会成为业务发展的瓶颈。

技术实现思路

[0009]为了解决现有技术中存在的问题，本专利技术提供了一种HSM密钥管理系统及方法、设备及存储介质。本专利技术能够支持对接多个不同型号HSM和支持对接多个相同型号HSM的密钥管理系统，通过不同型号的HSM同时提供服务以适应多元化的业务场景。
[0010]为达到上述目的，本专利技术采用了以下技术方案：
[0011]一种HSM密钥管理系统，包括：
[0012]多HSM适配模块，用于针对不同型号的HSM提供SDK或类库实现对接，通过SDK或类库提供的操作接口调用HSM的功能；
[0013]适配器模块，用于对不同HSM提供的接口进行转换，转换为统一的对外操作接口供业务系统调用；每种HSM对应一个适配器模块；
[0014]统一对外接口模块，用于与多个所述适配器模块连接以获取业务访问请求。
[0015]作为本专利技术的进一步改进，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，在首次启动时随机生成一个主密钥，并使用主密钥加密HSM对接密码后存储到HSM密钥管理系统的数据库中。
[0016]作为本专利技术的进一步改进，所述不同型号的HSM的对接信息包括HSMType、Slot、IPAddress、AccessUser和AccessPassword；
[0017]所述多HSM适配模块具有用于扩展HSM实例数量的扩展模块。
[0018]一种HSM密钥管理系统的管理方法，包括：
[0019]所述统一对外接口模块从配置文件中读取多个不同的HSM接入信息，根据配置文件中的HSMType启动匹配的适配器模块；
[0020]所述适配器模块调用SDK或类库完成与HSM的对接和初始化；
[0021]所述多HSM适配模块的密钥操作接口支持传入HSMType和Slot，根据传入的HSMType调用对应的HSM完成密钥操作。
[0022]作为本专利技术的进一步改进，所述配置文件在部署阶段以临时文件方式存在，一旦读取启动完成，则删除该配置文件。
[0023]作为本专利技术的进一步改进，所述根据传入的HSMType调用对应的HSM完成密钥操作之前还包括，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，在首次启动时随机生成一个主密钥，并使用主密钥加密HSM对接密码后存储到HSM密钥管理系统的数据库中。
[0024]作为本专利技术的进一步改进，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，具体包括：
[0025]随机生成一个启动密钥，启动密钥使用拆分为M个密钥分量，还原启动密钥所需最少密钥分量个数为N，N个KMS管理员各自持有一个密钥分量；M≥N>0；
[0026]首次启动并生成启动密钥后，生成一个主密钥，主密钥被启动密钥加密后存储到HSM密钥管理系统的数据库中；业务数据通过主密钥加密后保存至数据库；
[0027]解锁时，获取N个KMS管理员输入各自的密钥分量，将N个密钥分量还原为启动密钥，通过启动密钥解密主密钥，进而使用主密钥解锁数据库中的业务数据后KMS变成解锁状态，进行业务操作。
[0028]一种内部数据加密管理方法，包括：
[0029]随机生成一个启动密钥，启动密钥使用拆分为M个密钥分量，还原启动密钥所需最少密钥分量个数为N，N个KMS管理员各自持有一个密钥分量；M≥N>0；
[0030]首次启动并生成启动密钥后，生成一个主密钥，主密钥被启动密钥加密后存储到HSM密钥管理系统的数据库中；业务数据通过主密钥加密后保存至数据库；
[0031]解锁时，获取N个KMS管理员输入各自的密钥分量，将N个密钥分量还原为启动密钥，通过启动密钥解密主密钥，进而使用主密钥解锁数据库中的业务数据后KMS变成解锁状态，进行业务操作。
[0032]作为本专利技术的进一步改进，所述启动密钥使用拆分为M个密钥分量具体是采用
Shamir's Secret Sharing算法；所述将N个密钥分量还原为启动密钥具体是采用Shamir's Secret Sharing算法。
[0033]作为本专利技术的进一步改进，所述N个KMS管理员各自持有一个密钥分量，具体是指：N个密钥分量逐一显示，每次只显示一个密钥分量，由M个KMS管理员逐一选择并持有各自分量，只有同时输入N个密钥管理员持有的密钥分量才能还原启动密钥。
[0034]作为本专利技术的进一步改进，获取N个KMS管理员输入各自的密钥分量具体是指需要N个KMS管理员逐个输入各自的密钥分量，KMS将N个密钥分量还原启动密钥。
[0035]一种内部数据加密管理系统，包括：
[0036]启动密钥生成模块，用于随机生成一个启动密钥，启动密钥使用拆分为M个密钥分量，还原启动密钥所需最少密钥分量个数为N，N个KMS管理员各自持有一个密钥分量；M≥N&g本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种HSM密钥管理系统，其特征在于，包括：多HSM适配模块，用于针对不同型号的HSM提供SDK或类库实现对接，通过SDK或类库提供的操作接口调用HSM的功能；适配器模块，用于对不同HSM提供的接口进行转换，转换为统一的对外操作接口供业务系统调用；每种HSM对应一个适配器模块；统一对外接口模块，用于与多个所述适配器模块连接以获取业务访问请求。2.根据权利要求1所述的HSM密钥管理系统，其特征在于：所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，在首次启动时随机生成一个主密钥，并使用主密钥加密HSM对接密码后存储到HSM密钥管理系统的数据库中。3.根据权利要求1所述的HSM密钥管理系统，其特征在于：所述不同型号的HSM的对接信息包括HSMType、Slot、IPAddress、AccessUser和AccessPassword；所述多HSM适配模块具有用于扩展HSM实例数量的扩展模块。4.一种HSM密钥管理系统的管理方法，其特征在于，包括：统一对外接口模块从配置文件中读取多个不同的HSM接入信息，根据配置文件中的HSMType启动匹配的适配器模块；适配器模块调用SDK或类库完成与HSM的对接和初始化；多HSM适配模块的密钥操作接口支持传入HSMType和Slot，根据传入的HSMType调用对应的HSM完成密钥操作。5.根据权利要求4所述的HSM密钥管理系统的管理方法，其特征在于，所述配置文件在部署阶段以临时文件方式存在，一旦读取启动完成，则删除该配置文件。6.根据权利要求4所述的HSM密钥管理系统的管理方法，其特征在于，所述根据传入的HSMType调用对应的HSM完成密钥操作之前还包括，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，在首次启动时随机生成一个主密钥，并使用主密钥加密HSM对接密码后存储到数据库中。7.根据权利要求6所述的HSM密钥管理系统的管理方法，其特征在于，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，具体包括：随机生成一个启动密钥，启动密钥使用拆分为M个密钥分量，还原启动密钥所需最少密钥分量个数为N，N个KMS管理员各自持有一个密钥分量；M≥N>0；首次启动并生成启动密钥后，生成一个主密钥，主密钥被启动密钥加密后存储到HSM密钥管理系统的数据库中；业务数据通过主密钥加密后保存至数据库；解锁时，获取N个KMS管理员输入各自的密钥分量，将N个密钥分量还原为启动密钥，通过启动密钥解密主密钥，进而使用主密钥解锁数据库中的业务数据后KMS变成解锁状态，进行业务操作。8.一种内部数据...

【专利技术属性】
技术研发人员：段钧宝，王智慧，孟萨出拉，曾姝彦，马宝娟，韩金侠，张慧，杨德龙，朱思成，胡悦，张瑞兵，丁慧霞，汪洋，吴赛，王亚男，西本民，刘恒，滕玲，李健，张彤彤，
申请(专利权)人：中国电力科学研究院有限公司，
类型：发明
国别省市：