专利名称：一种增强密钥使用安全性的信息安全装置及其实现方法
技术领域：
本发明涉及信息安全装置及其密钥管理技术，特别涉及一种能够对信息 安全装置中的密钥进行使用管理的安全装置及其实现方法。
背景技术：
电子商务改变了传统商务的运作模式，极大提高了商务效率并降低了交 易成本，然而这样一个新的商务模式也同时面对着巨大的安全威胁。因此， 在所有的电子商务应用中，安全都被作为最重要的因素进行考虑。目前电子 商务最主要的安全隐患来自于客户端，例如用户所使用的电脑和运行于电脑上的软件，或者移动设备(如PDA)以及运行于其上的软件。因此，电子 商务一般都要采取安全强度很高的身份认证手段，以在电子商务中确认用户 的身份，防止假冒和欺诈。在所有身份认证方式中，支持PKI ( Public Key Infrastructure,公开密钥 体系)的USB Key是最高级别的安全认证手段之一，通过存储在USB Key 内部的数字证书和密钥，与服务器之间进行安全身份认证。在网上银行中， 银行对采用USB Key作为身份认证手段的用户的交易不进行额度等方面的 限制，认为这是极为可靠的安全方法。中国专利200410028723.9公布了一 种用于网上银行交易安全的保护方法一一 《对网上银行数据进行加密、认证 的装置和方法》，其特征在于，包括如下步骤a)根据用户信息生成针对该 用户的数字证书；b)将所述数字证书存入将要分配给该用户的USB KEY中； c)用户登陆网上银行用户进行数据处理时，通过所述USB KEY确认用户身 份或数字签名。该发明还公开了一种利用USBKEY实现上述对网上银行数 据进行加密、认证的装置。每一个USBKEY有一个唯一的序列号，并且私钥不能出内存，在确认用户身份后才进行网上交易。因此，发明人认为，该 发明具有高度的保密性和安全性。然而，USBKey有一个先天的弱点，就是其所有安全操作都必须在计算 机的配合下完成，所有对USB Key的操作都是通过计算机(包括PDA等) 完成的。由于用户所使用的计算机系统面临着各种各样的安全攻击，所以攻 击者也完全可以通过计算机木马等手段来非法操作连接在USB接口上的设 备并使用USBKey内部的数字证书和密钥。为了防止对数字证书和密钥的非法使用，用户在使用密钥或者数字证书 之前，通常会被要求输入一个PIN码以获得授权。USB Key在完成对PIN 码的验证后，就会授予计算机对其中的密钥或数字证书的使用许可，这样计 算机软件就可以调用USB Key中的密钥或数字证书完成倌息安全功能，例 如进行数字签名。但是这种授权方式存在潜在的安全风险在用户输入PIN码之后，USB Key就会允许对其中的密钥或数字证书进行访问，如果此后黑客利用木马也 在用户的计算机上对密钥或数字证书进行访问，用户将无法觉察从而使攻击 成功。例如，用户在使用网上银行进行交易后，未能及时将USB Key从计 算机上拔出，这时候黑客就可能在用户的计算机上后台执行攻击程序，盗取 用户的帐户金额。尽管计算机软件也可能在用户输入PIN后，使用完密钥或 者数字证书就发出对USB Key的复位指令以使USB Key恢复到PIN码输入 前的状态，但是木马很容易截获这样的复位指令从而使其失效，用计算机软 件进行这样的管理是不可靠的。其它验证方式如指紋验证、虹膜验证等与PIN码-验证在面临此类攻击手 段时，危险性是等同的。总而言之，现有的USB Key信息安全装置由于未能对密钥或数字证书 的使用进行安全的管理，而是采用验证通过后就赋予访问权限的方法，所以 不能抵御后台攻击。发明内容本发明提出了一种在信息安全装置中增加密钥使用管理模块的方法，对 密钥或者数字证书的使用进行显式的管理。通过将密钥或者数字证书与设定 的安全策略相关联，就能够实现对密钥或数字证书使用授权的生命周期管 理，强制约束密钥或数字证书的使用授权。根据本发明的 一个方面，提供一种增强密钥使用安全性的信息安全装置，其特征在于，该装置包括密钥使用管理模块，用于对密钥或者数字证书的使用进行管理。 通讯模块，用于与软件进行通讯。根据本发明的一个方面，其特征还在于，密钥使用管理模块通过将密钥 或者数字证书与设定的安全策略相关联，强制约束密钥或数字证书的使用授 权。根据本发明的一个方面，其特征还在于，所述安全策略对密钥或数字证 书的使用授权进行规定，规定密钥或数字证书使用后进入或者保持的安全状 态。根据本发明的一个方面，其特征还在于，密钥使用管理模块对安全策略 进行解析并强制执行安全策略。根据本发明的一个方面，其特征还在于，安全策略规定密钥或数字证书 被使用后，在重新进行授权验证之前是否允许重复使用密钥或数字证书。根据本发明的一个方面，其特征还在于，安全策略如果允许重复使用使 用密钥或数字证书，那么安全策略还可以规定被使用的次数。根据本发明的一个方面，其特征还在于，安全策略规定密钥或数字证书 被使用后进入安全状态。根据本发明的一个方面，其特征还在于，安全策略规定密钥或者数字证 书总共被允许使用的次数。根据本发明的另 一个方面，提供一种通过信息安全装置增强密钥使用安全性的方法，其特征在于，信息安全装置中包含密钥使用管理模块，用于对密钥或者数字证书的使用进行管理，该方法包括步骤(1) 信息安全装置校验输入的验证信息，获得密钥或数字证书的使用 授权；(2) 密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全 策略；(3 )计算机调用信息安全装置内部的密钥或数字证书完成信息安全搡 作；(4)密钥使用管理模块根据安全策略设置密钥或数字证书的安全状态。 根据本发明的另一个方面，提供一种通过信息安全装置增强密钥使用安 全性的方法，其特征在于，信息安全装置中包含密钥使用管理模块，用于对 密钥或者数字证书的使用进行管理，该方法包括步骤(1) 信息安全装置校验输入的验证信息，获得密钥或数字证书的使用 授权；(2) 计算机调用信息安全装置内部的密钥或数字证书完成信息安全操 作；(3) 密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全 策略；(4) 密钥使用管理模块根据安全策略设置密钥或数字证书的安全状态。 根据本发明的另一个方面，其特征还在于，在步骤(l)中，所述的验证信息是PIN码或者用户提供的其他验证信息或者是挑战/响应方式的验证 信息。根据本发明的另一个方面，其特征还在于，用户提供的其他验证信息包 括生物信息，挑战/响应方式的验证信息是通过执行外部认证进行验证。根据本发明的另一个方面，其特征还在于，安全策略是静态的安全规定 或者是由参量组成的公式，或者是静态的安全规定与由参量组成的公式的结 合。根据本发明的另一个方面，其特征还在于，对安全策略的解析，还包含 对所述公式的运算处理，并根据运算结果执行相关的安全操作。根据本发明的另一个方面，其特征还在于，对密钥或数字证书的使用， 可以是密码学运算，也可以是对数字证书的读取、验证或者解析操作。根据本发明的另一个方面，其特征还在于，密码学运算包括利用密钥进 行加密、解密、数字签名。所述的安全策略对密钥或数字证书的使用授权进行规定，约定使用后密 钥或数字证书应进入或者保持的安全状态。例如，安全策略可以规定，密钥或数字证书被使用后，在重新进行授权验证之前是否允许重复使用，如果 允许使用那么还可以被使用的次数等。再如，密钥或数字证书被使用后将进 入的安全状态，密钥或者数字证书总共被允许使用的次数等。
图1为本发明的示意图。图2为根据本发明的一种实施方式的工作流程图。
具体实施方式
密钥使用管理模块负责对安全策略进行解析并强制执行，这个过程全部 在信息安全装置硬件内完成，软件无法进行干涉。其工作步骤为A、 信息安全装置校验用户输入的验证信息，以获得对特定密钥或数字 证书的使用授权；B、 密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策 略；C、 计算机调用信息安全装置内部的密钥或数字证书完成信息安全操 作；D、 密钥使用管理模块根据安全策略的要求设置密钥或数字证书的后续安全状态。上述工作步骤中，步骤B与步骤C的次序可以相互颠倒，而步骤A只 要在步骤C之前完成即可。在步骤A中，所述的验证信息既可以是用户输入的PIN码，也可以是 用户提供的其他验证信息，包括生物信息，还可以是挑战/响应方式的验证 信息，例如通过执行外部认证进行验证。步骤B中所述的安全策略，既可以是静态的安全规定，也可以是由一 些参量组成的公式，或者二者的结合。对安全策略的解析，还可以包含对所 述公式的运算处理，根据运算结果执行相关的安全操作。步骤C中对密钥或数字证书的使用，可以是利用密钥进行加密、解密、 数字签名等密码学运算，也可以是对数字证书的读取、验证或者解析操作。在步骤D中，对于一些通过改变设备内部的安全状态以满足密钥使用 安全要求的情况，所述设置密钥或数字证书后续安全状态也可以是改变设备 内部的安全状态以设定密钥或数字证书的后续使用要求。通过上述步骤后，密钥或者数字证书在使用后可以根据安全状态的设定 立刻进入一种受控的状态，避免被黑客攻击和非法使用。下面结合附图对本发明的具体实施例进行详细描述。本实施例在深思洛克公司的MiKey信息安全装置中增加一个密钥使用 管理模块，模块以固件模块的方式被加入。MiKey的主要功能是利用其内部的RSA密钥进行加密、解密和数字签 名运算。基于这些密码学运算，MiKey提供标准的CSP或PKCSW1等标准 接口函数库，为网上银行等安全应用提供服务。在原有的产品中，MiKey在用户输入一个PIN码后就可以获得对特定 密钥的使用授权。如果解除这种授权，必须从外部发起改变密钥的安全状态， 例如，对设备进行复位操作、发送改变当前目录的命令等，而这些操作在攻 击程序如木马的干扰下都可能不成功。本实施例中，将密钥与一个安全策略相关联，安全策略的内容是在使用 后立即将设备的安全状态重置，如果需要再次使用密钥，就必须重新进行PIN码验证。参考图2 ，其工作流程为步骤101:计算机选择将要使用的密钥Ka;步骤102:用户通过计算机输入获得该密钥Ka使用授权的PIN码，设 备将内部的安全状态设置为密钥Ka可用；步骤103:密钥使用管理模块读取密钥Ka的安全策略，解析得到其安 全策略为使用后立即将设备安全状况重置；步骤104:计算机调用Ka的安全功能，在设备内部进行数字签名运算； 步骤105:密钥使用管理模块重置设备的安全状态，使得Ka不可用。 本实施例中所使用的安全策略是最简单的一种，实际上安全策略可以非 常灵活和复杂。例如， 一种常用的安全策略可以是限定密钥被使用的次数， 此时设备内部将保存一个使用计数值，每次使用密钥Ka后密钥使用管理模 块就增加使用计数值，当超过使用条件后就禁止密钥被继续使用。以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范 围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等， 均应包含在本发明的保护范围之内。
权利要求
1. 一种增强密钥使用安全性的信息安全装置，其特征在于，该装置包括密钥使用管理模块，用于对密钥或者数字证书的使用进行管理。通讯模块，用于与软件进行通讯。
2、 根据权利要求1所述的装置，其特征在于，密钥使用管理模块通过 将密钥或者数字证书与设定的安全策略相关联，强制约束密钥或数字证书的 使用授权。
3、 根据权利要求2所述的装置，其特征在于，所述安全策略对密钥或 数字证书的使用授权进行规定，规定密钥或数字证书使用后进入或者保持的 安全状态。
4、 根据权利要求2所述的装置，其特征在于，密钥使用管理模块对安 全策略进行解析并强制执行安全策略。
5、 根据权利要求2-4所述的任一装置，其特征在于，安全策略规定密 钥或数字证书被使用后，在重新进行授权验证之前是否允许重复使用密钥或 数字证书。
6、 根据权利要求5所述的装置，其特征在于，安全策略如果允许重复 使用密钥或数字证书，则安全策略还可以规定被使用的次数。
7、 根据权利要求2-4所述的任一装置，其特征在于，安全策略规定密 钥或数字证书被使用后进入安全状态。
8、 根据权利要求2-4所述的任一装置，其特征在于，安全策略规定密 钥或者数字证书总共被允许使用的次数。
9、 一种通过信息安全装置增强密钥使用安全性的方法，其特征在于，信息安全装置中包含密钥使用管理模块，用于对密钥或者数字证书的使用进行管理，该方法包括步骤(1 )信息安全装置校验输入的验证信息，获得密钥或数字证书的使用授权；(2) 密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全 (3 )计算机调用信息安全装置内部的密钥或数字证书完成信息安全操作；(4 )密钥使用管理模块根据安全策略设置密钥或数字证书的安全状态。
10、 一种通过信息安全装置增强密钥使用安全性的方法，其特征在于， 信息安全装置中包含密钥使用管理模块，用于对密钥或者数字证书的使用进 行管理，该方法包括步骤(1)信息安全装置校验输入的验证信息，获得密钥或数字证书的使用授权；(2 )计算机调用信息安全装置内部的密钥或数字证书完成信息安全操作；(3) 密钥使用管理模块读取并解析与密钥或者数字证书相关联的安全策略；(4 )密钥使用管理模块根据安全策略设置密钥或数字证书的安全状态。
11、 根据权利要求9或IO所述的方法，其特征在于，在步骤(l)中， 所述的验证信息是PIN码，或者用户提供的其他验证信息，或者 挑战/响应方式的验证信息。
12、 根据权利要求11所述的方法，其特征在于，用户提供的其他验证信息包括生物信息，挑战/响应方式的验证信息是通过执行外部认证进行验 证。
13、 根据权利要求9或10所述的方法，其特征在于，安全策略是静态 的安全规定或者是由参量组成的公式，或者是静态的安全规定与由参量组成 的公式的结合。
14、 根据权利要求13所述的方法，其特征在于，对安全策略的解析， 还包含对所述公式的运算处理，并根据运算结果执行相关的安全操作。
15、 根据权利要求9或10所述的方法，其特征在于，对密钥或数字证 书的使用，可以是密码学运算，也可以是对数字证书的读取、验证或者解析 操作。
16、 根据权利要求15所述的方法，其特征在于，密码学运算包括利用 密钥进行加密、解密、数字签名。
全文摘要
本发明公开了一种增强密钥使用过程安全性的信息安全装置及其实现方法。通过在信息安全装置中增加一个密钥使用管理模块，可以对每个密钥附加相关的使用安全策略。每个密钥在被使用时，密钥使用管理模块负责对其安全策略进行解析，并按照安全策略的要求对密钥的使用进行管理。本发明大大降低了现有信息安全装置中密钥使用过程中所存在的安全风险，对于信息安全装置的大面积推广有非常重要实际意义。
文档编号H04L9/32GK101282220SQ20081010656
公开日2008年10月8日 申请日期2008年5月14日 优先权日2008年5月14日
发明者孙吉平, 勇 韩 申请人:北京深思洛克数据保护中心