本发明涉及安全设备管理技术领域，尤其是一种密码设备的远程管控实现方法及系统。
背景技术
名词解释：
tls是指安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性，该协议由两层组成：tls记录协议(tlsrecord)和tls握手协议(tlshandshake)。较低的层为tls记录协议，位于某个可靠的传输协议(例如tcp)上面，与具体的应用无关，所以，一般把tls协议归为传输层安全协议。
密码设备的外部接口包括业务网口、管理网口、认证令牌(token)接口、串口等。其中认证令牌接口连接管理员认证介质，例如ic卡和usbkey等。密码设备的管理过程划分为设备初始化和设备维护管理两大阶段。其中，密码设备初始化过程涉及设备管理员认证、设备密钥、维护管理员认证等的初始化工作。维护管理员又细分为系统管理员、安全管理员和审计管理员，系统管理员具备设置业务网口的ip、端口、网关、业务访问白名单、系统日期及时间等功能；安全管理员对用户密钥和数字证书进行管理；审计管理员负责对各管理员的操作日志进行审计。
在管理员认证初始化的过程中，操作人员需要到现场把管理员认证介质插入密码设备的token接口，以完成初始化工作。
另外，在对密码设备进行日常管理的过程中，设备管理员、系统管理员、安全管理员和审计管理员在进行登录操作时，需要对应角色的操作人员在现场将相应的管理员认证介质插入密码设备来实现登陆。
现有密码设备的管理模式使得系统管理员、安全管理员、审计管理员必须到现场执行插入管理员认证介质的操作，无法进行远程的安全操作。而随着密码设备的使用越来越普遍，甚至开始在私有云、公有云等环境下进行使用，密码设备需要实现安全的远程管理功能，既满足对管理员的高强度认证，又能适应远程维护的需要。
技术实现要素：
为解决上述技术问题，本发明的目的在于：提供一种适用范围广且安全性高的密码设备的远程管控实现方法及系统。
本发明所采取的第一技术方案是：
一种密码设备的远程管控实现方法，包括以下步骤：
通过管理员认证介质在密码设备上进行初始化操作；
采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作。
进一步，所述通过管理员认证介质在密码设备上进行初始化操作这一步骤，包括以下步骤：
将管理员认证介质插入密码设备并登陆管理终端软件；
根据管理员类型，输入管理员认证介质的访问口令；
根据输入的访问口令，生成管理员认证介质的编号，并将管理员认证介质的编号录入管理员认证介质；
通过管理员认证介质生成签名密钥对和认证密钥对；
通过管理员认证介质将签名密钥公钥、认证密钥公钥和管理员认证介质的编号传输至密码设备。
进一步，所述采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作这一步骤，包括以下步骤：
将管理员认证介质插入远程终端并登陆管理终端软件；
根据管理员类型，输入管理员认证介质的访问口令；
管理终端软件与密码设备建立tls安全通道；
密码设备对远程终端进行访问控制认证；
远程终端通过tls安全通道，将管理员认证介质的编号和管理员证书传输至密码设备；
密码设备根据接收的管理员认证介质的编号和管理员证书，确定管理员的类型和权限；
通过远程终端执行相应管理员权限内的管控操作。
进一步，所述通过管理员认证介质在密码设备上进行初始化操作这一步骤，还包括以下步骤：
通过签名密钥对在密码设备上认证管理员的身份；
通过认证密钥对远程终端和密码设备进行双向认证。
进一步，所述采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作这一步骤，还包括以下步骤：
基于白名单访问控制机制，对远程管控操作进行综合访问控制；
其中，所述白名单包括远程终端的ip地址和硬件指纹信息。
进一步，还包括根据网络状况，对白名单中的ip地址进行设置的步骤。
进一步，所述管理员认证介质包括ic卡和usbkey。
本发明所采取的第二技术方案是：
一种密码设备的远程管控系统，包括：
初始化模块，用于通过管理员认证介质在密码设备上进行初始化操作；
远程操作模块，用于采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作。
进一步，所述初始化模块包括：
第一登录单元，用于将管理员认证介质插入密码设备并登陆管理终端软件；
第二输入单元，用于根据管理员类型，输入管理员认证介质的访问口令；
第一生成单元，用于根据输入的访问口令，生成管理员认证介质的编号，并将管理员认证介质的编号录入管理员认证介质；
第二生成单元，用于通过管理员认证介质生成签名密钥对和认证密钥对；
第一传输单元，用于通过管理员认证介质将签名密钥公钥、认证密钥公钥和管理员认证介质的编号传输至密码设备。
本发明所采取的第三技术方案是：
一种密码设备的远程管控系统，包括：
存储器，用于存储程序；
处理器，用于加载所述程序，以执行如第一技术方案所述的密码设备的远程管控实现方法。
本发明的有益效果是：本发明通过管理员认证介质在密码设备上进行初始化操作后，能够通过管理员认证介质在远程终端进行管控操作，无需操作人员到现场将相应的管理员认证介质插入密码设备来进行日常管控操作，能适用于私有云和公有云等环境下，适用范围广；另外，本发明采用tls双向认证来实现密码设备和远程终端之间的认证，保证了远程终端与密码设备之间传输数据的安全，安全性高。
附图说明
图1为本发明一种密码设备的远程管控实现方法的步骤流程图；
图2为密码设备的初始化步骤流程图；
图3为远程终端的管控操作步骤流程图；
图4为管理员初始化过程中的设备连接示意图；
图5为管理员远程登录过程中的设备连接示意图。
具体实施方式
下面结合说明书附图和具体实施例对本发明作进一步解释和说明。对于本发明实施例中的步骤编号，其仅为了便于阐述说明而设置，对步骤之间的顺序不做任何限定，实施例中的各步骤的执行顺序均可根据本领域技术人员的理解来进行适应性调整。
参照图1，本发明一种密码设备的远程管控实现方法，包括以下步骤：
通过管理员认证介质在密码设备上进行初始化操作；
采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作。
进一步作为优选的实施方式，所述通过管理员认证介质在密码设备上进行初始化操作这一步骤，包括以下步骤：
将管理员认证介质插入密码设备并登陆管理终端软件；
根据管理员类型，输入管理员认证介质的访问口令；
根据输入的访问口令，生成管理员认证介质的编号，并将管理员认证介质的编号录入管理员认证介质；
通过管理员认证介质生成签名密钥对和认证密钥对；
通过管理员认证介质将签名密钥公钥、认证密钥公钥和管理员认证介质的编号传输至密码设备。
进一步作为优选的实施方式，所述采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作这一步骤，包括以下步骤：
将管理员认证介质插入远程终端并登陆管理终端软件；
根据管理员类型，输入管理员认证介质的访问口令；
管理终端软件与密码设备建立tls安全通道；
密码设备对远程终端进行访问控制认证；
远程终端通过tls安全通道，将管理员认证介质的编号和管理员证书传输至密码设备；
密码设备根据接收的管理员认证介质的编号和管理员证书，确定管理员的类型和权限；
通过远程终端执行相应管理员权限内的管控操作。
进一步作为优选的实施方式，所述通过管理员认证介质在密码设备上进行初始化操作这一步骤，还包括以下步骤：
通过签名密钥对在密码设备上认证管理员的身份；
通过认证密钥对远程终端和密码设备进行双向认证。
进一步作为优选的实施方式，所述采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作这一步骤，还包括以下步骤：
基于白名单访问控制机制，对远程管控操作进行综合访问控制；
其中，所述白名单包括远程终端的ip地址和硬件指纹信息。
进一步作为优选的实施方式，还包括根据网络状况，对白名单中的ip地址进行设置的步骤。
进一步作为优选的实施方式，所述管理员认证介质包括ic卡和usbkey。
与图1的方法相对应，本发明一种密码设备的远程管控系统，包括：
初始化模块，用于通过管理员认证介质在密码设备上进行初始化操作；
远程操作模块，用于采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作。
进一步作为优选的实施方式，所述初始化模块包括：
第一登录单元，用于将管理员认证介质插入密码设备并登陆管理终端软件；
第二输入单元，用于根据管理员类型，输入管理员认证介质的访问口令；
第一生成单元，用于根据输入的访问口令，生成管理员认证介质的编号，并将管理员认证介质的编号录入管理员认证介质；
第二生成单元，用于通过管理员认证介质生成签名密钥对和认证密钥对；
第一传输单元，用于通过管理员认证介质将签名密钥公钥、认证密钥公钥和管理员认证介质的编号传输至密码设备。
与图1的方法相对应，本发明一种密码设备的远程管控系统，包括：
存储器，用于存储程序；
处理器，用于加载所述程序，以执行本发明的密码设备的远程管控实现方法。
参照图2和图3，采用ic卡和usbkey作为管理员认证介质，下面详细介绍本发明的密码设备初始化过程以及远程终端管控操作过程，具体包括以下步骤：
(1)、通过管理员认证介质在密码设备上进行初始化操作。如图4所示，操作人员在密码设备上插入管理员认证介质，当认证介质为ic卡时，将其插入密码设备的ic卡接口；当认证介质为usbkey时，将其插入密码设备的usb接口。具体的，初始化操作具体包括以下步骤：
s11、将管理员认证介质插入密码设备并登陆管理终端软件；
s12、根据管理员类型，输入管理员认证介质的访问口令；
s13、根据输入的访问口令，生成管理员认证介质的编号，并将管理员认证介质的编号录入管理员认证介质；
s14、通过管理员认证介质生成签名密钥对和认证密钥对；
s15、通过管理员认证介质将签名密钥公钥、认证密钥公钥和管理员认证介质的编号传输至密码设备。
(2)、采用tls双向认证方法，通过管理员认证介质在远程终端进行管控操作。如图5所示，管理员在远程终端设备上插入管理员认证介质，当认证介质为ic卡时，将其插入密码设备的ic卡接口；当认证介质为usbkey时，将其插入密码设备的usb接口。
s21、将管理员认证介质插入远程终端并登陆管理终端软件；
s22、根据管理员类型，输入管理员认证介质的访问口令；
s23、管理终端软件与密码设备建立tls安全通道；
s24、密码设备对远程终端进行访问控制认证；
s25、远程终端通过tls安全通道，将管理员认证介质的编号和管理员证书传输至密码设备；
s26、密码设备根据接收的管理员认证介质的编号和管理员证书，确定管理员的类型和权限；
s27、通过远程终端执行相应管理员权限内的管控操作，例如，系统管理员进行设置业务网口的ip、端口、网关、业务访问白名单、系统日期及时间等；安全管理员对用户密钥和数字证书进行管理；审计管理员负责对各管理员的操作日志进行审计。
另外，为了保证密码设备远程访问的安全，本发明采用了增强的综合访问控制机制，该访问控制机制的实现原理具体为：
第一步，通过密码设备存储认证介质的编号(id)、签名密钥公钥、认证密钥公钥以及远程终端白名单(如ip地址和硬件指纹等信息)，其中的白名单中的ip地址存在适应场景的问题，需根据网络状况灵活设置；
第二步，管理员在远程终端进行远程访问时，通过认证介质的编号(id)、签名密钥对、认证密钥公钥以及白名单信息，对管理员身份进行识别以及验证。
综上所述，本发明一种密码设备的远程管控实现方法及系统，具有以下优点：
1)、本发明可广泛应用于传统部署模式，也可以应用于私有云和公有云等环境下，本发明支持管理员在区域网内部或者互联网之间对远程密码设备进行安全的访问，提高了管理的效率和便捷性。
2)、通过基于tls的安全传输协议，保证传输数据的安全加密；采用基于tls的双向认证，实现管理终端与密码设备的互相认证，防止伪造登录等恶意攻击行为的发生。
3)、采用增强的综合访问控制机制，提供依据安全策略的白名单访问控制机制(例如ip地址、硬件指纹等)，保证只有注册、授权的管理终端才可以进行远程网络访问操作。
4)、本发明的密码设备支持多种认证介质，如ic卡和usbkey，ic卡是一种内置了cpu的智能卡，它通过使用ic卡读卡器接口进行数据的读写操作，能够安全、独立的完成密钥存储和密码运算；usbkey是智能卡与读卡器的结合，能够与ic卡一样完成密钥的安全存储与密码运算，usbkey使用usb接口进行数据的读写操作，兼顾了安全性和易用性。
另外，除了可以应用于密码设备这类需要高强度访问控制和认证的设备外，本发明可以应用于其他需要高强度访问控制和认证的安全设备上。
以上是对本发明的较佳实施进行了具体说明，但本发明并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可做作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。