一种密钥数据安全管理装置和方法与流程

1.本发明属于信息安全技术领域，具体为一种密钥数据安全管理装置和方法。


背景技术：

2.终端设备中的高级别安全核心主要依赖安全装置来完成，而安全装置的安全主要通过高强度的硬件防护和密码算法功能来实现。安全装置的一个重要功能就是安全存储，用来存储密钥、pin和业务机密数据等敏感信息，支撑业务场景的安全机制。
3.密钥数据作为安全机制的核心，一旦被黑客攻击获取，会对整个安全系统造成毁灭性打击，所以密钥数据的管理是重中之重。
4.现有技术存在一种安全密钥导出功能(授权公告号为cn 107111728 b)，涉及一种虚拟化执行环境，该虚拟化执行环境包括应用层和平台层，安全密钥导出方法过程为：1)应用提供初始化数据给平台层密钥导出模块；2)平台层随机数生成器使用初始化数据做初始化；3)密钥导出模块基于平台层的随机数生成器生成的随机数导出密码密钥(至少部分地基于存储在平台中的主密钥)；4)将导出的密钥存储在密码安全存储区中；5)将导出的密钥引用从密钥导出模块返回给应用。该文献中具体限定了使用哪种算法生成密钥，具有较大的局限性，而且没有提到密钥使用及密钥销毁的方法。


技术实现要素：

5.为解决现有技术存在的缺陷，本发明的目的在于提供一种密钥数据安全管理装置和方法，通过该装置及方法能够对安全装置中密钥数据的生成、使用和销毁进行管理，保障密钥的安全，从而实现安全装置及相关系统的安全、稳定及可用。
6.为达到以上目的，本发明采用的一种技术方案是：
7.一种密钥数据安全管理装置，所述装置包括系统层和应用层，所述系统层包括密钥生成服务模块、密钥服务获取模块、密钥销毁服务模块、算法服务模块、密钥存储管理模块和存储器，所述应用层包括各种应用，其中：
8.所述密钥生成服务模块根据用户输入的密钥信息，使用要求的算法生成或获得需要的密钥数据，将所述密钥数据通过所述密钥存储管理模块存储在所述存储器中，并根据存储结构生成密钥标识返回给所述应用；
9.所述密钥服务获取模块根据用户输入的密钥标识获取存储在所述存储器中的密钥数据，并使用要求的算法服务和所述密钥数据进行算法运算，得到输出数据并返回给所述应用；
10.所述密钥销毁服务模块根据用户输入的密钥标识，通过所述密钥存储管理模块将所述密钥标识对应的密钥数据信息清除，并将销毁结果返回给所述应用；
11.所述算法服务模块用于为密钥生成/获取/销毁服务模块提供多种用于生成和使用密钥数据的算法；
12.所述密钥存储管理模块用于管理密钥数据，具体包括将所述密钥生成服务模块生
成的密钥数据存储在所述存储器中；根据用户输入的密钥标识从所述存储器中读取对应的密钥数据发送给所述密钥服务获取模块；根据用户输入的密钥标识将所述存储器中对应的密钥数据信息清除。
13.进一步，如上所述的密钥数据安全管理装置，所述密钥生成服务模块包括密钥生成服务api，用户通过所述密钥生成服务api输入所述密钥信息，所述密钥信息包括密钥生成信息和密钥导入信息两大类，其中：
14.所述密钥生成信息包括生成密钥长度；所述密钥导入信息包括原始密钥或密钥派生数据，同时包括算法服务标识。
15.进一步，如上所述的密钥数据安全管理装置，所述密钥生成信息还包括密钥类型和/或算法服务标识。
16.进一步，如上所述的密钥数据安全管理装置，当密钥信息类型为密钥生成信息时，所述密钥生成服务模块根据所述密钥生成信息，使用要求的算法服务生成需要的密钥数据；
17.当密钥信息类型为密钥导入信息时，所述密钥生成服务模块根据所述密钥导入信息，使用要求的算法服务对导入数据进行安全处理，获得密钥数据。
18.进一步，如上所述的密钥数据安全管理装置，所述密钥服务获取模块包括密钥服务获取api，用户通过所述密钥服务获取api输入所述密钥标识。
19.进一步，如上所述的密钥数据安全管理装置，所述密钥销毁服务模块包括密钥销毁服务api，用户通过所述密钥销毁服务api输入所述密钥标识。
20.一种密钥数据安全管理的方法，包括密钥生成、密钥使用和密钥销毁阶段，其中密钥生成阶段包括以下步骤：
21.s11、应用调用密钥生成服务模块中的密钥生成服务api，用户通过所述密钥生成服务api输入密钥信息；
22.s12、密钥生成服务模块根据输入的密钥信息类型，使用要求的算法服务生成或获得需要的密钥数据；
23.s13、所述密钥生成服务模块将获得的所述密钥数据提交给密钥存储管理模块，所述密钥存储管理模块将密钥数据存入存储器，并根据存储结构生成密钥标识返回给所述应用；
24.密钥使用阶段包括以下步骤：
25.s21、应用调用密钥服务获取模块中的密钥服务获取api，用户通过所述密钥服务获取api输入密钥标识；
26.s22、密钥服务获取模块根据输入的所述密钥标识，通过所述密钥存储管理模块获取密钥数据，并使用要求的算法服务和所述密钥数据进行算法运算，得到输出数据；
27.s23、所述密钥服务获取模块将所述输出数据返回给所述应用；
28.密钥销毁阶段包括以下步骤：
29.s31、应用调用密钥销毁服务模块中的密钥销毁服务api，用户通过所述密钥销毁服务api输入密钥标识；
30.s32、密钥销毁服务模块根据输入的所述密钥标识，通过所述密钥存储管理模块将所述密钥标识对应的密钥数据信息清除；
31.s33、所述密钥销毁服务模块将销毁结果返回给所述应用。
32.进一步，如上所述的密钥数据安全管理方法，步骤s11中所述密钥信息包括密钥生成信息和密钥导入信息两大类，其中：
33.所述密钥生成信息包括生成密钥长度；所述密钥导入信息包括原始密钥或密钥派生数据，同时包括算法服务标识。
34.进一步，如上所述的密钥数据安全管理方法，步骤s11中所述密钥生成信息还包括密钥类型和/或算法服务标识。
35.进一步，如上所述的密钥数据安全管理方法，步骤s12中具体为：
36.当密钥信息类型为密钥生成信息时，密钥生成服务模块根据密钥生成信息，使用要求的算法服务生成需要的密钥数据；
37.当密钥信息类型为密钥导入信息时，密钥生成服务模块根据密钥导入信息，使用要求的算法服务对导入数据进行安全处理，获得密钥数据。
38.进一步，如上所述的密钥数据安全管理方法，步骤s12中算法服务包括随机数生成、密钥协商或加解密。
39.进一步，如上所述的密钥数据安全管理方法，步骤s21中密钥服务获取api的输入数据还包括业务数据和/或算法服务标识。
40.采用本发明所述的密钥数据安全管理装置和方法，具有以下显著的技术效果：
41.本发明通过在安全装置的系统层设置密钥生成服务模块、密钥服务获取模块和密钥销毁服务模块，应用通过调用密钥生成服务模块、密钥服务获取模块和密钥销毁服务模块的相关api，能够实现安全装置中密钥数据的生成、使用和销毁的全生命周期管理，从硬件和系统层面保障密钥数据的安全，从而增强安全装置的稳定性和可靠性，进而保证相关业务的开展。
附图说明
42.图1是本发明实施例中提供的一种密钥数据安全管理装置功能框图；
43.图2是本发明实施例中提供的一种密钥数据安全管理方法中密钥生成阶段的流程图；
44.图3是密钥生成阶段各模块之间信息交互图；
45.图4是本发明实施例中提供的一种密钥数据安全管理方法中密钥使用阶段的流程图；
46.图5是密钥使用阶段各模块之间信息交互图；
47.图6是本发明实施例中提供的一种密钥数据安全管理方法中密钥销毁阶段的流程图；
48.图7是密钥销毁阶段各模块之间信息交互图。
具体实施方式
49.下面结合具体的实施例与说明书附图对本发明进行进一步的描述。
50.图1示出了本发明实施例提供的一种密钥数据安全管理装置功能框图，该安全管理装置包括系统层100和应用层200，系统层100包括密钥生成服务模块110、密钥服务获取
模块120、密钥销毁服务模块130、算法服务模块140、密钥存储管理模块150和存储器160，应用层200包括各种应用210，其中：
51.应用210用于调用密钥生成服务模块110、密钥服务获取模块120或密钥销毁服务模块130，执行相应的功能。
52.密钥生成服务模块110包括密钥生成服务api，密钥生成服务模块110根据用户输入的密钥信息，使用要求的算法生成或获得需要的密钥数据，并将所述密钥数据提交给密钥存储管理模块150存储在存储器160中。
53.密钥服务获取模块120包括密钥服务获取api，密钥服务获取模块120根据用户输入的密钥标识获取存储在存储器160中的密钥数据，并使用要求的算法服务和密钥数据进行运算，得到输出数据返回给应用210。
54.密钥销毁服务模块130包括密钥销毁服务api，密钥销毁服务模块130根据用户输入的密钥标识，通过密钥存储管理模块150将密钥标识对应的密钥数据信息清除，并将销毁结果返回给应用210。
55.算法服务模块140用于为密钥生成/获取/销毁服务模块提供多种用于生成和使用密钥数据的算法。
56.密钥存储管理模块150用于管理密钥数据，具体包括将密钥生成服务模块110生成的密钥数据存储在存储器160中；根据用户输入的密钥标识从存储器160中读取对应的密钥数据发送给密钥服务获取模块110；根据用户输入的密钥标识将存储器160中对应的密钥数据信息清除。
57.存储器160用于存储密钥数据。
58.图2示出了本发明实施例中提供的一种密钥生成方法流程图，图3示出了密钥生成阶段各模块之间信息交互图，密钥生成方法包括以下步骤：
59.s11、应用调用密钥生成服务模块中的密钥生成服务api，用户通过密钥生成服务api输入密钥信息。
60.密钥信息包括密钥生成信息和密钥导入信息两大类，其中密钥生成信息中需指定生成密钥长度，还可以指定密钥类型、算法服务标识等；
61.密钥导入信息包括原始密钥或密钥派生数据，同时需指定算法服务标识。
62.s12、密钥生成服务模块接收到输入数据后，根据密钥信息类型，使用要求的算法服务生成或获得需要的密钥数据。
63.具体的，当密钥信息类型为密钥生成信息时，密钥生成服务模块根据密钥生成信息，使用要求的算法服务生成需要的密钥数据。这里，算法服务包括但不限于随机数生成、密钥协商、加解密等；
64.或者，当密钥信息类型为密钥导入信息时，密钥生成服务模块根据密钥导入信息，使用要求的算法服务对导入数据进行安全处理，获得密钥数据。这里，算法服务包括但不限于密钥协商、加解密等。
65.s13、密钥生成服务模块将获得的密钥数据提交给密钥存储管理模块，密钥存储管理模块将密钥数据存入存储器，并根据存储结构生成密钥标识返回给所述应用。
66.密钥生成api示例：
67.密钥标识createkey(生成密钥长度，生成密钥类型，算法服务标识)
68.密钥标识createkey(原始密钥数据密文，算法服务标识)
69.密钥标识createkey([密钥派生数据]，算法服务标识)
[0070]
图4示出了本发明实施例中提供的一种密钥使用方法流程图，图5示出了密钥使用阶段各模块之间信息交互图，密钥使用方法包括以下步骤：
[0071]
s21、应用调用密钥服务获取模块中的密钥服务获取api，用户通过密钥服务获取api输入密钥标识。
[0072]
密钥服务获取api的输入数据还可以包括业务数据、算法服务标识等其他信息。
[0073]
s22、密钥服务获取模块根据输入的密钥标识，通过密钥存储管理模块获取密钥，并使用要求的算法服务完成算法操作，得到输出数据。
[0074]
这里，算法服务包括但不限于加解密、签名和验签等。
[0075]
s23、密钥服务获取模块将输出数据返回给所述应用。
[0076]
密钥使用api示例：
[0077]
int cryptoperation(密钥标识，算法服务标识，业务数据)
[0078]
图6示出了本发明实施例中提供的一种密钥销毁方法流程图，图7示出了密钥销毁阶段各模块之间信息交互图，密钥销毁方法包括以下步骤：
[0079]
s31、应用调用密钥销毁服务模块中的密钥销毁服务api，用户通过密钥销毁服务api输入密钥标识；
[0080]
s32、密钥销毁服务模块根据输入的密钥标识，通过密钥存储管理模块将密钥标识对应的密钥数据信息清除；
[0081]
s33、密钥销毁服务模块将销毁结果返回给应用。
[0082]
密钥销毁api示例：
[0083]
int destroykey(密钥标识)
[0084]
本发明提供的一种密钥数据安全管理装置及方法，通过在安全装置的系统层设置密钥生成服务模块、密钥服务获取模块和密钥销毁服务模块，应用通过调用密钥生成服务模块、密钥服务获取模块和密钥销毁服务模块的相关api，能够实现安全装置中密钥数据的生成、使用和销毁的全生命周期管理，从硬件和系统层面保障密钥数据的安全，从而增强安全装置的稳定性和可靠性，进而保证相关业务的开展。
[0085]
上述实施例只是对本发明的举例说明，本发明也可以以其它的特定方式或其它的特定形式实施，而不偏离本发明的要旨或本质特征。因此，描述的实施方式从任何方面来看均应视为说明性而非限定性的。本发明的范围应由附加的权利要求说明，任何与权利要求的意图和范围等效的变化也应包含在本发明的范围内。