一种密钥保护机制的制作方法

本发明涉及信息安全，尤其涉及一种密钥保护机制。

背景技术：

1、密码模块是一种实现密码运算功能且相对独立的软件、硬件、固件或其结合，广泛应用于各种网络系统，是用于保护数据安全的重要设备。密码模块的主要功能是对用户数据进行加密和/或解密，通常其内部存储有用户密钥，进而可基于该用户密钥对用户数据进行加密和/或解密，以达到保护用户数据的目的。

2、现有的密钥保护机制通常侧重于对密码模块内部的用户密钥进行直接保护，并例如，对用户密钥存储过程中防泄露的保护、或者对用户密钥使用过程中防篡改的保护等，且大多利用不同算法或密钥对用户密钥进行多方位保护，而缺失一种对用于保护用户密钥的算法或密钥进行保护的机制。具体而言，现有技术中对用户密钥进行保护时，通常采用某种特定或自设的算法或密钥予以实现，而若这种特定或自设的算法或密钥被攻击者所窃取，同样会导致用户密钥泄露，并由此存在用户数据的安全问题。故，现有技术中亟需寻求一种对密码模块内部的用户密钥间接保护的密钥保护机制，即，对用户保护用户密钥的算法或密钥进行保护的密钥保护机制，且对于这种特定或自设的算法或密码的保护包含存储方面、备份方面及使用方面，并尤其是存储方面。同时，现有技术中的密钥保护机制大多侧重于某一个方面进行用户密钥的保护，就整体而言不够完善，由此也可能存在用户密钥泄露、破解、非授权使用等安全隐患。

3、有鉴于此，有必要对现有技术中的密钥保护机制予以改进，以解决上述问题。

技术实现思路

1、本发明的目的在于解决现有技术中缺失一种对密码模块内部的用户密钥间接保护的密钥保护机制的问题，以及现有技术中的密钥保护机制就整体而言不够完善的问题。

2、为实现上述目的，本发明提供了一种密钥保护机制，包括：

3、随机生成至少两个保护密钥分量，将所述保护密钥分量分别存储至密码模块与管理介质，并由所述保护密钥分量生成保护密钥；

4、随机生成备份密钥与设备密钥，通过所述保护密钥对所述备份密钥与所述设备密钥分别加密后存储至密码模块；

5、建立所述密码模块与所述管理介质的连接，由所述密码模块响应于业务请求，随机生成用户密钥，调用所述保护密钥对所述用户密钥于密码模块内进行加密和/或解密，调用所述备份密钥对所述用户密钥于密码模块外进行加密和/或解密，调用所述设备密钥对所述管理介质进行签名，并调用所述设备密钥对所述密码模块进行鉴权。

6、作为本发明的进一步改进，所述管理介质包括：独立由一个密钥持有者通过控制信息独立控制的管理员存储介质，且由所述管理员存储介质随机生成独立对应的身份密钥；

7、所述调用所述设备密钥对所述管理介质进行签名，包括：

8、将所述身份密钥所包含的私钥存储至管理员存储介质，并将所述身份密钥所包含的公钥发送至密码模块，由所述密码模块调用所述设备密钥对所述身份密钥所包含的公钥进行签名得到数字证书，将所述数字证书存储至密码模块与管理员存储介质。

9、作为本发明的进一步改进，所述调用所述设备密钥对所述密码模块进行鉴权，通过所述管理员存储介质与所述密码模块分别随机生成第一随机数与第二随机数予以实现，并具体为：

10、将所述设备密钥所包含的私钥存储至密码模块，并将所述设备密钥所包含的公钥发送至管理员存储介质，所述管理员存储介质随机生成第一随机数，并将所述第一随机数发送至所述密码模块；

11、所述密码模块随机生成第二随机数，通过所述设备密钥所包含的私钥对所述第一随机数与所述第二随机数进行签名得到第一签名结果，并将所述第二随机数与所述第一签名结果发送至管理员存储介质；

12、所述管理员存储介质通过所述设备密钥所包含的公钥对所述第一签名结果进行验签得到第一验签结果，以基于所述第一验签结果对所述密码模块进行鉴权。

13、作为本发明的进一步改进，还包括：调用所述身份密钥对所述管理员存储介质进行鉴权，且通过所述密码模块与所述管理员存储介质分别随机生成第三随机数与第四随机数予以实现，并具体为：

14、所述密码模块随机生成第三随机数，并将所述第三随机数发送至所述管理员存储介质；

15、所述管理员存储介质随机生成第四随机数，通过所述身份密钥所包含的私钥对所述第三随机数与所述第四随机数进行签名得到第二签名结果，并将所述第四随机数与所述第二签名结果发送至密码模块；

16、所述密码模块通过所述数字证书中的身份密钥所包含的公钥对所述第二签名结果进行验签得到第二验签结果，以基于所述第二验签结果对所述管理员存储介质进行鉴权。

17、作为本发明的进一步改进，所述密码模块形成存储空间与运行空间，所述管理介质包括开机存储介质；

18、所述保护密钥分量分别存储于所述存储空间与所述开机存储介质，通过所述保护密钥对所述备份密钥与所述设备密钥分别加密后存储至所述存储空间。

19、作为本发明的进一步改进，所述由所述保护密钥分量生成保护密钥通过所述保护密钥分量进行异或运算予以实现，且在生成保护密钥之后，将所述保护密钥暂存于所述运行空间以供调用。

20、作为本发明的进一步改进，所述管理介质还包括：至少三个备份存储介质，且所述备份存储介质由一个密钥持有者独立控制；

21、所述密钥保护机制还包括：备份所述备份密钥，并具体为：

22、通过(t，n)门限机制将所述备份密钥分割为n个备份密钥分量，并分别存储至不同备份存储介质；

23、其中，n为大于或等于3的正整数，t为大于或等于2的正整数，且t≤n。

24、作为本发明的进一步改进，在需要恢复备份密钥时，获取n个备份密钥分量中的t个备份密钥分量，并基于所述t个备份密钥分量还原所述备份密钥。

25、作为本发明的进一步改进，所述管理介质还包括：密钥存储介质；

26、所述密钥保护机制还包括：对所述设备密钥与所述用户密钥进行备份，并具体为：

27、调用所述备份密钥分别对所述设备密钥与所述用户密钥加密后存储至所述密钥存储介质。

28、作为本发明的进一步改进，所述保护密钥、所述备份密钥以及所述设备密钥被配置为不能更新和/或不能撤销，多个业务请求分别对应的所述用户密钥基于独立对应于用户密钥的索引号依次存储至密码模块内。

29、作为本发明的进一步改进，在使用所述密码模块时，由所述保护密钥分量生成保护密钥，将所述保护密钥暂存于所述运行空间以供调用，并调用所述保护密钥分别对存储于存储空间的所述备份密钥、所述设备密钥以及所述用户密钥进行解密后暂存于所述运行空间以供调用。

30、作为本发明的进一步改进，所述密码模块被配置为一物理态设备，所述物理态密码模块形成遮挡密钥的封盖，当封盖被打开时，手动或自动销毁密码模块所包含的运行空间内的所有密钥。

31、与现有技术相比，本发明的有益效果是：

32、随机生成至少两个保护密钥分量，将保护密钥分量分别存储至密码模块与管理介质，并由保护密钥分量生成保护密钥；随机生成备份密钥与设备密钥，通过保护密钥对备份密钥与设备密钥分别加密后存储至密码模块；建立密码模块与管理介质的连接，由密码模块响应于业务请求，随机生成用户密钥，调用保护密钥对用户密钥于密码模块内进行加密和/或解密，调用备份密钥对用户密钥于密码模块外进行加密和/或解密，调用设备密钥对管理介质进行签名，并调用设备密钥对密码模块进行鉴权，由此由保护密钥、备份密钥、设备密钥构成一个整体对用户密钥进行保护，以保证用户密钥的安全性，且对保护密钥、备份密钥以及设备密钥进行保护，以间接保证用户密钥的安全性。