[發(fā)明專利]安全密鑰導(dǎo)出功能

有效

• 申請(qǐng)?zhí)枺?/td>: 201580053703.3
• 申請(qǐng)日: 2015-08-04
• 公開（公告）號(hào): CN107111728B
• 公開（公告）日: 2020-07-14
• 發(fā)明（設(shè)計(jì)）人: S·J·漢斯;E·M·維提拉德
• 申請(qǐng)（專利權(quán)）人: 甲骨文國際公司;甲骨文德國有限責(zé)任及兩合公司
• 主分類號(hào): G06F21/72
• 分類號(hào): G06F21/72;G06F21/77;H04L9/08
• 代理公司: 中國國際貿(mào)易促進(jìn)委員會(huì)專利商標(biāo)事務(wù)所 11038
• 代理人: 張鑫

1.一種由計(jì)算設(shè)備進(jìn)行的方法，包括：

在計(jì)算設(shè)備上容納虛擬化執(zhí)行環(huán)境，該虛擬化執(zhí)行環(huán)境包括應(yīng)用層和平臺(tái)層，其中該虛擬化執(zhí)行環(huán)境被配置為在應(yīng)用層容納以與平臺(tái)無關(guān)的面向?qū)ο蟮恼Z言編寫的應(yīng)用的執(zhí)行，并且在平臺(tái)層提供支持該應(yīng)用的執(zhí)行的設(shè)備級(jí)功能；

在計(jì)算設(shè)備上設(shè)置用于虛擬化執(zhí)行環(huán)境的非安全存儲(chǔ)器區(qū)域和密碼安全存儲(chǔ)器區(qū)域，其中非安全存儲(chǔ)器能經(jīng)由應(yīng)用層訪問，安全存儲(chǔ)器區(qū)域不能從應(yīng)用層直接訪問；

將初始數(shù)據(jù)從應(yīng)用提供到虛擬化執(zhí)行環(huán)境的平臺(tái)層內(nèi)的密鑰導(dǎo)出模塊；

由密鑰導(dǎo)出模塊基于來自平臺(tái)層中的隨機(jī)數(shù)生成器的隨機(jī)數(shù)據(jù)導(dǎo)出密碼密鑰，該隨機(jī)數(shù)生成器用來自應(yīng)用的初始數(shù)據(jù)初始化；

將導(dǎo)出的密鑰存儲(chǔ)在密碼安全存儲(chǔ)器區(qū)域中，而不在非安全存儲(chǔ)器中甚至臨時(shí)地存儲(chǔ)導(dǎo)出的密鑰的任何部分；以及

將對(duì)導(dǎo)出的密鑰的密鑰引用從密鑰導(dǎo)出模塊返回到應(yīng)用。

2.如權(quán)利要求1所述的方法，還包括：

從應(yīng)用層執(zhí)行平臺(tái)層的密鑰導(dǎo)出API方法，該密鑰導(dǎo)出API方法被配置為進(jìn)行所述導(dǎo)出和所述存儲(chǔ)，其中該密鑰導(dǎo)出API方法還被配置為返回對(duì)導(dǎo)出的密鑰的密鑰引用。

3.如權(quán)利要求2所述的方法，其中平臺(tái)層包括一個(gè)或多個(gè)密碼方法，所述一個(gè)或多個(gè)密碼方法被配置為從應(yīng)用層發(fā)起并且經(jīng)由密鑰引用利用導(dǎo)出的密鑰，該方法還包括：

執(zhí)行將密鑰引用作為輸入傳遞的所述一個(gè)或多個(gè)密碼方法當(dāng)中的一個(gè)。

4.如權(quán)利要求2所述的方法，還包括從應(yīng)用層執(zhí)行平臺(tái)層的工廠API方法，其中該工廠API方法被配置為：

生成密鑰導(dǎo)出功能對(duì)象，該密鑰導(dǎo)出功能對(duì)象被配置為進(jìn)行所述執(zhí)行平臺(tái)層的密鑰導(dǎo)出API方法。

5.如權(quán)利要求1所述的方法，其中密碼密鑰至少部分地基于存儲(chǔ)在虛擬化執(zhí)行環(huán)境的安全存儲(chǔ)器區(qū)域中的主密鑰。

6.如權(quán)利要求5所述的方法，還包括在用于虛擬化執(zhí)行環(huán)境的生產(chǎn)過程期間將主密鑰部署到安全存儲(chǔ)器區(qū)域。

7.如權(quán)利要求1所述的方法，其中密鑰導(dǎo)出模塊包括多個(gè)密鑰導(dǎo)出方法，其中每個(gè)密鑰導(dǎo)出方法被配置為根據(jù)相應(yīng)的密鑰導(dǎo)出功能導(dǎo)出相應(yīng)的密碼密鑰。

8.一種存儲(chǔ)程序指令的非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，所述程序指令在計(jì)算設(shè)備上執(zhí)行時(shí)使得計(jì)算設(shè)備進(jìn)行：

在計(jì)算設(shè)備上容納虛擬化執(zhí)行環(huán)境，該虛擬化執(zhí)行環(huán)境包括應(yīng)用層和平臺(tái)層，其中該虛擬化執(zhí)行環(huán)境被配置為在應(yīng)用層容納以與平臺(tái)無關(guān)的面向?qū)ο蟮恼Z言編寫的應(yīng)用的執(zhí)行，并且在平臺(tái)層提供支持該應(yīng)用的執(zhí)行的設(shè)備級(jí)功能；

在計(jì)算設(shè)備上設(shè)置用于虛擬化執(zhí)行環(huán)境的非安全存儲(chǔ)器區(qū)域和密碼安全存儲(chǔ)器區(qū)域，其中非安全存儲(chǔ)器能經(jīng)由應(yīng)用層訪問，安全存儲(chǔ)器區(qū)域不能從應(yīng)用層直接訪問；

將初始數(shù)據(jù)從應(yīng)用提供到虛擬化執(zhí)行環(huán)境的平臺(tái)層內(nèi)的密鑰導(dǎo)出模塊；

由密鑰導(dǎo)出模塊基于來自平臺(tái)層中的隨機(jī)數(shù)生成器的隨機(jī)數(shù)據(jù)導(dǎo)出密碼密鑰，該隨機(jī)數(shù)生成器用來自應(yīng)用的初始數(shù)據(jù)初始化；

將導(dǎo)出的密鑰存儲(chǔ)在密碼安全存儲(chǔ)器區(qū)域中，而不在非安全存儲(chǔ)器中甚至臨時(shí)地存儲(chǔ)導(dǎo)出的密鑰的任何部分；以及

將對(duì)導(dǎo)出的密鑰的密鑰引用從密鑰導(dǎo)出模塊返回到應(yīng)用。

9.如權(quán)利要求8所述的非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中所述程序指令還使得計(jì)算設(shè)備進(jìn)行：

從應(yīng)用層執(zhí)行平臺(tái)層的密鑰導(dǎo)出API方法，該密鑰導(dǎo)出API方法被配置為進(jìn)行所述導(dǎo)出和所述存儲(chǔ)，其中該密鑰導(dǎo)出API方法還被配置為返回對(duì)導(dǎo)出的密鑰的密鑰引用。

10.如權(quán)利要求9所述的非暫態(tài)計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中平臺(tái)層包括一個(gè)或多個(gè)密碼方法，所述一個(gè)或多個(gè)密碼方法被配置為從應(yīng)用層發(fā)起并且經(jīng)由密鑰引用利用導(dǎo)出的密鑰，其中所述程序指令還使得計(jì)算設(shè)備進(jìn)行：

執(zhí)行將密鑰引用作為輸入傳遞的所述一個(gè)或多個(gè)密碼方法當(dāng)中的一個(gè)。