[發明專利]基于可擴展密碼服務框架的密碼服務方法

有效

• 申請號: 201410246342.1
• 申請日: 2014-06-05
• 公開（公告）號: CN104021335A
• 公開（公告）日: 2014-09-03
• 發明（設計）人: 戴華東;廖湘科;陳松政;羅軍;付松齡;魏立峰;董攀;黃辰林;丁滟
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: G06F21/46
• 分類號: G06F21/46
• 代理公司: 湖南兆弘專利事務所 43008
• 代理人: 趙洪;譚武藝

1.一種基于可擴展密碼服務框架的密碼服務方法，其特征在于實施步驟如下：

1）預先在操作系統中構建可供調用的密碼服務框架；所述密碼服務框架包括API層、密碼服務交換開關、MPI層和密碼模塊層，所述API層面向密碼服務使用者提供密碼服務API，所述MPI層面向密碼服務提供者提供密碼模塊MPI，所述密碼服務交換開關用于控制密碼服務API、密碼模塊MPI之間的映射以及密碼服務框架中注冊的密碼模塊管理；所述API層位于CPU特權級最低的Ring3級，所述MPI層和密碼模塊層則共同位于CPU特權級最高的Ring0級，所述密碼服務交換開關位于CPU特權級次高級的Ring1級，所述密碼模塊層則包括用于作為提供密碼服務實體的密碼模塊；

2）當作為密碼服務使用者的應用程序發出密碼服務請求時，首先初始化一個密碼服務框架實例，查詢密碼服務框架中所有已注冊的密碼模塊，并對已注冊的密碼模塊進行完整性驗證，將驗證通過的密碼模塊掛接關聯到密碼服務框架；

3）應用程序通過密碼服務框架和密碼模塊建立會話，應用程序通過密碼服務框架向密碼模塊請求密碼服務，并在使用完密碼服務后跳轉執行下一步；

4）應用程序通過密碼服務框架關閉和密碼模塊之間的會話，將密碼服務框架的各個密碼模塊卸載取消關聯，通過清除密碼服務框架的實例關閉密碼服務框架，本次密碼服務結束。

2.根據權利要求1所述的基于可擴展密碼服務框架的密碼服務方法，其特征在于：所述步驟1）預先構建的密碼服務框架中，所述密碼服務API包括加解密服務API、證書服務API、數據存儲服務API和擴展服務API，所述密碼模塊MPI包括加解密模塊MPI、證書模塊MPI、數據存儲模塊MPI和擴展模塊MPI，所述密碼模塊包括加解密模塊、證書模塊、數據存儲模塊和擴展模塊，所述密碼模塊、密碼模塊MPI、密碼服務API三者之間一一對應。

3.根據權利要求2所述的基于可擴展密碼服務框架的密碼服務方法，其特征在于：所述步驟1）中預先創建的密碼服務框架中，所述密碼服務API、密碼服務交換開關之間通過系統調用syscall進行交互，所述密碼服務交換開關、密碼模塊MPI之間通過超級調用hypercall進行交互。

4.根據權利要求3所述的基于可擴展密碼服務框架的密碼服務方法，其特征在于：所述密碼服務交換開關包括加解密服務管理器、證書服務管理器、數據存儲服務管理器、擴展服務管理器、模塊目錄管理子模塊、模塊管理子模塊、會話管理子模塊、回調子模塊和完整性認證子模塊，所述加解密服務管理器用于將加解密服務API映射至加解密模塊MPI，所述證書服務管理器用于將證書服務API映射至證書模塊MPI，所述數據存儲服務管理器用于將數據存儲服務API映射至數據存儲模塊MPI，所述擴展服務管理器用于將擴展服務API映射至擴展模塊MPI，所述模塊目錄管理子模塊用于管理密碼模塊的注冊信息，所述模塊管理子模塊用于為作為密碼服務使用者的應用程序定位、加載、卸載所需的密碼模塊，所述會話管理子模塊用于在作為密碼服務使用者的應用程序和作為密碼服務提供者的密碼模塊之間建立一個邏輯連接以提供上下文服務以及保障線程安全，所述回調子模塊用于為密碼模塊層下不同服務類的密碼模塊之間的相互調用提供渠道以降低不同類型密碼模塊間的依賴性，所述完整性認證子模塊用于驗證已注冊密碼模塊的完整性。

5.根據權利要求4所述的基于可擴展密碼服務框架的密碼服務方法，其特征在于：所述步驟1）中的模塊目錄管理子模塊通過多條key-value形式的記錄存儲密碼模塊的注冊信息，所述key值為密碼模塊為全局唯一無符號長整型ID值轉換成的字符串，且所述密碼模塊層中加解密模塊、證書模塊和數據存儲模塊、擴展模塊四類密碼模塊的全局唯一無符號長整型ID值的取值范圍各不相同；所述value值記載密碼模塊注冊信息為密碼模塊的基本信息、類型信息、令牌信息、擴展令牌信息、擴展密鑰信息、擴展機制信息中的一種。