[發明專利]基于可擴展密碼服務框架的密碼服務方法

有效

• 申請號: 201410246342.1
• 申請日: 2014-06-05
• 公開（公告）號: CN104021335A
• 公開（公告）日: 2014-09-03
• 發明（設計）人: 戴華東;廖湘科;陳松政;羅軍;付松齡;魏立峰;董攀;黃辰林;丁滟
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: G06F21/46
• 分類號: G06F21/46
• 代理公司: 湖南兆弘專利事務所 43008
• 代理人: 趙洪;譚武藝

技術領域

本發明涉及計算機操作系統的密碼技術領域，具體涉及一種基于可擴展密碼服務框架的密碼服務方法。

背景技術

密碼技術目前被廣泛應用于各類信息系統，其對于信息安全而言至關重要。在應用密碼技術時，許多安全應用直接集成密碼算法，一些操作系統內核也嵌入各種密碼算法，還有許多硬件產商推出了繁雜多樣的密碼硬件加速設備，跨越PCI卡級、芯片組級、CPU級以及集成密碼處理的設備。這種各自為政的局面使安全應用開發效率偏低，妨礙了安全互操作，導致密碼服務層次混亂。密碼服務框架力圖統一各類密碼處理資源，包括軟件算法和硬件密碼加速設備，密碼服務框架是應用和密碼服務之間的橋梁，它向上為用戶提供統一的密碼服務調用接口，向下則為密碼服務供應商提供統一的密碼算法開發接口。

然而，現有的密碼服務框架的各個層次通常位于同一個特權級，甚至與應用位于同一空間，對密碼資源缺乏保護，使密碼資源與應用一樣暴露在攻擊者的面前。并且在傳統操作系統設計中，密碼機制和操作系統的內核安全功能是分離設計的，內核安全得不到密碼機制的有效支撐，而密碼算法等資源也得不到操作系統的有效保護。這種設計上的脫節，使得攻擊者既能夠繞開內核安全功能獲取密碼等敏感資源，也能夠繞開密碼服務對操作系統實施攻擊。另外，現有的密碼服務框架在支持新型密碼算法或新型密碼服務方面還有不足，難以做到透明擴展，即在擴展新型密碼服務時，以前的應用也可以調用而不用修改代碼。比如，一個應用當前調用指紋識別技術來進行身份鑒別，而當虹膜技術加入到密碼服務框架時，該應用能夠無縫支持虹膜身份鑒別，而無需修改代碼。

發明內容

針對前述的現有技術的密碼服務框架對密碼資源（算法、密鑰等）保護不夠，接口不夠靈活，難以動態掛載新的密碼模塊，不支持直接掛載新型密碼服務等不足，本發明要解決的技術問題是提供一種使得密碼服務提供者可以很方便地進行密碼模塊的擴展、替換以及刪除等操作，實現現有密碼服務和新型密碼服務的即插即用，既能很好地保護密碼資源又能靈活動態擴展密碼服務框架的基于可擴展密碼服務框架的密碼服務方法。

為了解決上述技術問題，本發明采用的技術方案為：

一種基于可擴展密碼服務框架的密碼服務方法，其實施步驟如下：

1）預先在操作系統中構建可供調用的密碼服務框架；所述密碼服務框架包括API層、密碼服務交換開關、MPI層和密碼模塊層，所述API層面向密碼服務使用者提供密碼服務API，所述MPI層面向密碼服務提供者提供密碼模塊MPI，所述密碼服務交換開關用于控制密碼服務API、密碼模塊MPI之間的映射以及密碼服務框架中注冊的密碼模塊管理；所述API層位于CPU特權級最低的Ring3級，所述MPI層和密碼模塊層則共同位于CPU特權級最高的Ring0級，所述密碼服務交換開關位于CPU特權級次高級的Ring1級，所述密碼模塊層則包括用于作為提供密碼服務實體的密碼模塊；

2）當作為密碼服務使用者的應用程序發出密碼服務請求時，首先初始化一個密碼服務框架實例，查詢密碼服務框架中所有已注冊的密碼模塊，并對已注冊的密碼模塊進行完整性驗證，將驗證通過的密碼模塊掛接關聯到密碼服務框架；

3）應用程序通過密碼服務框架和密碼模塊建立會話，應用程序通過密碼服務框架向密碼模塊請求密碼服務，并在使用完密碼服務后跳轉執行下一步；

4）應用程序通過密碼服務框架關閉和密碼模塊之間的會話，將密碼服務框架的各個密碼模塊卸載取消關聯，通過清除密碼服務框架的實例關閉密碼服務框架，本次密碼服務結束。

優選地，所述步驟1）預先構建的密碼服務框架中，所述密碼服務API包括加解密服務API、證書服務API、數據存儲服務API和擴展服務API，所述密碼模塊MPI包括加解密模塊MPI、證書模塊MPI、數據存儲模塊MPI和擴展模塊MPI，所述密碼模塊包括加解密模塊、證書模塊、數據存儲模塊和擴展模塊，所述密碼模塊、密碼模塊MPI、密碼服務API三者之間一一對應。

優選地，所述步驟1）中預先創建的密碼服務框架中，所述密碼服務API、密碼服務交換開關之間通過系統調用syscall進行交互，所述密碼服務交換開關、密碼模塊MPI之間通過超級調用hypercall進行交互。