一种密钥管理和密码计算的方法、加密方法及装置制造方法及图纸

本申请实施例提供一种密钥管理和密码计算的方法、数据加密方法及装置，其中，生成密钥数据的方法包括：生成主控密钥；至少对所述主控密钥进行加密处理得到主控密钥属性数据；建立所述主控密钥与至少一个受控密钥之间的关联关系，其中，所述关联关系用于记录所述主控密钥对所述受控密钥的操控关系，所述受控密钥可通过所述主控密钥授权给至少一个对象使用；至少存储所述主控密钥属性数据和所述关联关系，以使所述密码持有者根据所述主控密钥进行加密操作或者根据所述关联关系将所述受控密钥授权其他对象使用。本申请一些实施例的技术方案可以保证密钥持有者对密钥进行独立控制，还能进一步将密钥(即受控密钥)灵活的授权给其它使用者(由)。其它使用者(由)。其它使用者(由)。

【技术实现步骤摘要】
一种密钥管理和密码计算的方法、加密方法及装置


[0001]本申请涉及信息技术安全领域，具体而言本申请实施例涉及一种密钥管理和密码计算的方法、数据加密方法及装置。

技术介绍

[0002]随着密码应用的日益普及，密钥管理系统的需求逐渐增多。密钥作为身份认证、信息加密的关键数据，通常作为企业或个人的核心资产进行保护，其安全性要求较高。
[0003]现阶段对密钥的集中管理方式主要有以下两种：
[0004]第一种，管理中心全托管方式，该方式在密钥管理中心建立密钥管理系统，由管理中心对密钥进行集中生成、存储和授权使用，密钥所有者通过网络调用方式使用密钥。该方式下应用密钥由中心侧明文存储、或者利用中心侧提供的加密密钥进行加密存储，无论何种方式，管理中心内部人员如果越权成功或者多个环节内部人员合谋，就可以在不经过密钥所有者明确授权的情况下，使用托管的密钥进行密码运算，因此该方式难以抵御来自管理中心的内部攻击。
[0005]第二种，协同签名方式。签名密钥分量分别存储在客户端和服务端，任何一端都无法得到完整的签名私钥数据，从而能够防止服务端假冒用户签名，应用也比较灵活。但该方式下如果需要将密钥授权给他人使用，则需要同时更新服务端和客户端的安全参数，因此需要服务端和所有相关客户端(授权方和被授权方)全部参与运算，交互过程相对复杂。
[0006]因此相关技术的密钥管理系统均存在诸多问题，如何提升密钥管理系统的性能成了亟待解决的技术问题。

技术实现思路

[0007]本申请实施例的目的在于提供一种密钥管理和密码计算的方法、加密方法及装置，一方面通过本申请一些实施例的技术方案可以保证密钥持有者对密钥(例如，主控密钥，或者受主控密钥控制的某个受控密钥)进行独立控制，另一方面通过本申请的一些实施例还能进一步将密钥(即受控密钥)灵活的授权给其它使用者(由)，显著提升了密钥管理侧系统的性能。
[0008]第一方面，本申请的一些实施例提供一种密钥管理和密码计算的方法，应用于密钥管理系统，所述方法包括：生成主控密钥，其中，所述主控密钥由一个密码持有者通过控制信息进行独立控制；至少对所述主控密钥进行加密处理得到主控密钥属性数据，其中，所述主控密钥属性数据至少包括主控密钥密文以及用于查找所述主控密钥的主控密钥索引信息，所述主控密钥密文是对所述主控密钥进行加密处理后得到的；建立所述主控密钥与至少一个受控密钥之间的关联关系，其中，所述关联关系用于记录所述主控密钥对所述受控密钥的操控关系，所述受控密钥可通过所述主控密钥授权给至少一个对象使用；至少存储所述主控密钥属性数据和所述关联关系，以使所述密码持有者根据所述主控密钥进行加密操作或者根据所述关联关系将所述受控密钥授权其他对象使用。
[0009]本申请的一些实施例通过将密钥分层为主控密钥和受控密钥，并由密码持有者独立控制主控密钥，并经该主控密钥操控将相应受控密钥授权给至少一个用户来使用，这样一方面实现了密码持有者对密钥管理系统所存储的密钥的独立控制，另一方面还可以灵活的授权受控密钥给其他使用者。
[0010]在一些实施例中，所述建立所述主控密钥与至少一个受控密钥之间的关联关系之前，所述方法还包括：生成所述受控密钥；至少对所述受控密钥进行加密处理得到受控密钥属性数据，其中，所述受控密钥属性数据包括受控密钥密文以及用于查找所述受控密钥的受控密钥索引信息，所述受控密钥密文是对所述受控密钥进行加密处理后得到的；所述至少存储所述主控密钥属性数据和所述关联关系，包括：存储所述主控密钥属性数据、所述受控密钥属性数据以及多个关联关系。
[0011]本申请的一些实施例通过在密钥管理系统生成受控密钥并采用密文存储受控密钥，并存储受控密钥与主控密钥之间的操控关系，使得密钥持有者可以灵活授权受控密钥。
[0012]在一些实施例中，所述生成主控密钥，包括：生成采用明文表征的第一公私钥对，得到所述主控密钥，其中，所述第一公私钥对包括主控公钥和主控私钥；所述至少对所述主控密钥进行加密处理得到主控密钥属性数据，包括：采用所述密钥管理系统提供的第一加密数据对所述主控私钥进行加密处理得到加密主控私钥；至少根据所述控制信息对所述加密主控私钥进行再次加密处理得到所述主控密钥密文，其中，所述控制信息至少包括可与所述密钥持有者进行通信的通信单元信息和被所述密钥持有者所知悉的控制码；将所述主控密钥密文和所述主控公钥作为所述主控密钥属性数据的至少部分内容。
[0013]本申请的一些实施例采用由密钥持有者持有的控制信息对由密钥管理系统生成的主控密钥进行加密，有效克服了相关技术仅利用密钥管理系统提供的加密密钥进行加密可能造成的难以抵御来自密钥管理系统的内部攻击的问题。
[0014]在一些实施例中，所述至少根据控制信息对所述加密主控私钥进行再次加密处理得到所述主控密钥密文，包括：为所述主控密钥分配主控标识keyId，其中，所述主控标识keyId作为所述主控密钥的唯一标识，所述主控标识作为所述主控密钥索引信息；根据所述主控标识和所述控制信息得到保护密钥；基于所述保护密钥对所述加密主控私钥进行再次加密处理得到所述主控密钥密文；其中，所述主控密钥属性数据还包括所述主控标识。
[0015]本申请的一些实施例采用由密钥持有者持有并输入的控制信息和为该主控密钥分配的主控标识得到保护密钥，再用保护密钥对主控私钥进行加密，提升了主控密钥密文(即主控思域密文)的安全性的同时还可以对该主控密钥进行查找。
[0016]在一些实施例中，所述控制码为一个字符串或者多位二进制数，所述通信单元信息包括：手机号或者邮箱。
[0017]本申请的一些实施例提供了控制码和通信信息单元的多个类型。
[0018]在一些实施例中，所述控制信息为双因素控制信息，所述双因素控制信息包括：PIN码和手机号，或者，PIN码与邮箱。
[0019]本申请一些实施例的控制信息为采用PIN码(作为控制码的一个示例)和手机号(作为通信单元信息的一个示例)，或者采用PIN码与邮箱的双因素控制信息。
[0020]在一些实施例中，所述方法还包括：计算所述控制信息的校验码得到控制校验码macPin，其中，所述控制验证码用于在采用所述主控密钥进行密码运算之前验证所述控制
信息的合法性；将所述控制校验码作为所述主控密钥属性数据的一部分。
[0021]为了提升利用主控密钥或受控密钥进行加密操作的安全性，本申请的一些实施例还提供了根据有密钥持有者独自持有的控制信息生成校验码的技术方案。
[0022]在一些实施例中，所述生成受控密钥，包括：生成采用明文表征的第二公私钥对，得到所述受控密钥，其中，所述第二公私钥对包括受控公钥和受控私钥；所述至少对所述受控密钥进行加密处理得到加密受控密钥属性数据，包括：采用所述密钥管理系统提供的私钥保护密钥明文对所述受控私钥进行加密处理得到所述受控密钥密文；将所述受控密钥密文和所述受控公钥作为所述受控密钥属性数据的至少部分内容。
[0023]本申请的一些实施例通过密钥管理本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种密钥管理和密码计算的方法，应用于密钥管理系统，其特征在于，所述方法包括：生成主控密钥，其中，所述主控密钥由一个密码持有者通过控制信息进行独立控制；至少对所述主控密钥进行加密处理得到主控密钥属性数据，其中，所述主控密钥属性数据至少包括主控密钥密文以及用于查找所述主控密钥的主控密钥索引信息，所述主控密钥密文是对所述主控密钥进行加密处理后得到的；建立所述主控密钥与至少一个受控密钥之间的关联关系，其中，所述关联关系用于记录所述主控密钥对所述受控密钥的操控关系，所述受控密钥可通过所述主控密钥授权给至少一个对象使用；至少存储所述主控密钥属性数据和所述关联关系，以使所述密码持有者根据所述主控密钥进行加密操作或者根据所述关联关系将所述受控密钥授权其他对象使用。2.如权利要求1所述的方法，其特征在于，在所述建立所述主控密钥与至少一个受控密钥之间的关联关系之前，所述方法还包括：生成所述受控密钥；至少对所述受控密钥进行加密处理得到受控密钥属性数据，其中，所述受控密钥属性数据包括受控密钥密文以及用于查找所述受控密钥的受控密钥索引信息，所述受控密钥密文是对所述受控密钥进行加密处理后得到的；所述至少存储所述主控密钥属性数据和所述关联关系，包括：存储所述主控密钥属性数据、所述受控密钥属性数据以及多个关联关系。3.如权利要求1所述的方法，其特征在于，所述生成主控密钥，包括：生成采用明文表征的第一公私钥对，得到所述主控密钥，其中，所述第一公私钥对包括主控公钥和主控私钥；所述至少对所述主控密钥进行加密处理得到主控密钥属性数据，包括：采用所述密钥管理系统提供的第一加密数据对所述主控私钥进行加密处理得到加密主控私钥；至少根据所述控制信息对所述加密主控私钥进行再次加密处理得到所述主控密钥密文，其中，所述控制信息至少包括可与所述密钥持有者进行通信的通信单元信息和被所述密钥持有者所知悉的控制码；将所述主控密钥密文和所述主控公钥作为所述主控密钥属性数据的至少部分内容。4.如权利要求3所述的方法，其特征在于，所述至少根据所述控制信息对所述加密主控私钥进行再次加密处理得到所述主控密钥密文，包括：为所述主控密钥分配主控标识keyId，其中，所述主控标识keyId作为所述主控密钥的唯一标识，所述主控标识作为所述主控密钥索引信息；根据所述主控标识和所述控制信息得到保护密钥；基于所述保护密钥对所述加密主控私钥进行再次加密处理得到所述主控密钥密文；其中，所述主控密钥属性数据还包括所述主控标识。5.如权利要求3所述的方法，其特征在于，所述控制码为一个字符串或者多位二进制数，所述通信单元信息包括：手机号或者邮箱。
6.如权利要求3所述的方法，其特征在于，所述控制信息为双因素控制信息，所述双因素控制信息包括：PIN码和手机号，或者，PIN码与邮箱。7.如权利要求4所述的方法，其特征在于，所述方法还包括：计算所述控制信息的校验码得到控制校验码，其中，所述控制验证码用于在采用所述主控密钥进行密码运算之前验证所述控制信息的合法性；将所述控制校验码作为所述主控密钥属性数据的一部分。8.如权利要求2所述的方法，其特征在于，所述生成受控密钥，包括：生成采用明文表征的第二公私钥对，得到所述受控密钥，其中，所述第二公私钥对包括受控公钥和受控私钥；所述至少对所述受控密钥进行加密处理得到加密受控密钥属性数据，包括：采用所述密钥管理系统提供的私钥保护密钥明文对所述受控私钥进行加密处理得到所述受控密钥密文；将所述受控密钥密文和所述受控公钥作为所述受控密钥属性数据的至少部分内容。9.如权利要求8所述的方法，其特征在于，所述方法还包括：为所述受控密钥分配受控密钥标识slaveId，其中，所述受控密钥标识slaveId作为所述受控密钥的唯一标识，所述受控密钥标识slaveId作为所述受控密钥索引信息；其中，所述受控密钥属性数据包括所述受控密钥标识slaveId。10.如权利要求9所述的方法，其特征在于，所述建立所述主控密钥与至少一个受控密钥之间的关联关系，包括：根据由所述密钥管理系统提供的密钥保护密钥KEK对所述私钥保护密钥明文进行加密得到私钥保护密钥密文ePek；根据所述主控公钥对所述私钥保护密钥密文进行加密处理，得到关联私钥保护密钥密文pubEncEPek；将所述受控密钥标识、所述主控密钥以及所述关联私钥保护密钥密文作为所述关联信息。11.如权利要求10所述的方法，其特征在于，所述主控密钥为多个，且多个主控密钥存储在主控密钥标识列表中，所述主控密钥标识列表用于存储多条主控密钥以及与所述多条主控密钥各自对应的主控密钥标识列表号，其中，所述建立所述主控密钥与至少一个受控密钥之间的关联关系，包括：根据所述主控密钥标识列表中所有的主控密钥分别对所述私钥保护密钥密文ePek进行加密得到多个关联私钥保护密钥密文，得到关联关系集合，其中，所述关联关系属于所述关联关系集合中的一个元素。12.如权利要求1所述的方法，其特征在于，在所述至少存储所述主控密钥属性数据和所述关联关系之后，所述方法还包括：对所述主控密钥和所述受控密钥执行备份操作。13.如权利要求1所述的方法，其特征在于，在所述至少存储所述主控密钥属性数据和所述关联关系之后，所述方法还包括：所述密钥持有者通过提供控制信息对所述主控密钥和/或所述受控密钥进行更新的操
作。14.如权利要求1所述的方法，其特征在于，在所述至少存储所述主控密钥属性数据和所述关联关系之后，所述方法还包括：所述密钥持有者通过提供控制信息销毁所述主控密钥和/或所述受控密钥。15.一种采用主控密钥对数据加密的方法，应用在密钥管理系...

【专利技术属性】
技术研发人员：林雪焰，郭井龙，张永强，马银涛，
申请(专利权)人：北京数字认证股份有限公司，
类型：发明
国别省市：