[發明專利]基于可信執行環境的安全單元密鑰生成系統及方法

有效

• 申請號: 201610341285.4
• 申請日: 2016-05-23
• 公開（公告）號: CN105790938B
• 公開（公告）日: 2019-02-19
• 發明（設計）人: 池方玉;王笑
• 申請（專利權）人: 中國銀聯股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 方世棟;付曼

本發明提出了基于可信執行環境的安全單元密鑰生成系統及方法，其中所述系統包括可信應用管理服務器和安全單元，所述可信應用管理服務器在發行安全單元將駐留于其上的安全載體時生成安全域公私鑰對，并將經認證中心簽名的安全域公鑰證書提供給所述安全單元，所述安全單元在被使用前被提供有全局唯一的安全單元公私鑰對，并且在創建安全域時自動地隨機生成安全域初始密鑰，以及隨之將所述安全域初始密鑰加密并簽名以獲得簽名密鑰密文，隨后將所述簽名密鑰密文發送至所述可信應用管理服務器，用于建立在其上執行安全性信息交互過程的安全通道。本發明所公開的方法和系統具有高的安全性。

技術領域

本發明涉及密鑰生成系統及方法，更具體地，涉及基于可信執行環境的安全單元密鑰生成系統及方法。

背景技術

目前，隨著計算機和網絡應用的日益廣泛以及不同領域的業務種類的日益豐富，用于安全性信息交互（即對安全性要求較高的信息交互，例如金融領域中的交易處理過程）的設備（尤其是基于移動終端的安全性信息交互設備）變得越來越重要。

在現有的基于可信執行環境的技術方案中，通常采用如下方式設置安全單元（即SE，其上運行可信應用）的密鑰：在安全單元出廠之前由發卡方的可信應用管理服務器通過線下方式將初始密鑰的明文提供給SE廠商，隨后由SE廠商預置到SE中，隨之在SE被正式使用時由發卡方的可信應用管理服務器對SE中的用于安全域的密鑰進行密鑰替換。

然而，上述現有的技術方案存在如下問題：由于SE廠商能接觸到初始密鑰的明文，故SE廠商有可能對SE中的安全域采取任何操作，并且可以獲取到安全域內部的任何私有信息，其次，即使發卡方的可信應用管理服務器替換了密鑰，SE廠商也可以利用初始密鑰解開替換的密鑰的密文，從而獲取到更新后的密鑰明文，而且，如果在最初線下傳遞密鑰明文的過程中密鑰明文被第三方竊取，則該第三方也會擁有對該SE中的安全域的操作和讀寫權限，因此存在潛在的安全隱患。

因此，存在如下需求：提供具有高的安全性的基于可信執行環境的安全單元密鑰生成系統及方法。

發明內容

為了解決上述現有技術方案所存在的問題，本發明提出了具有高的安全性的基于可信執行環境的安全單元密鑰生成系統及方法。

本發明的目的是通過以下技術方案實現的：

一種基于可信執行環境的安全單元密鑰生成系統，所述系統包括可信應用管理服務器和安全單元，其中，所述可信應用管理服務器在發行安全單元將駐留于其上的安全載體時生成安全域公私鑰對，并將經認證中心簽名的安全域公鑰證書提供給所述安全單元，所述安全單元在被使用前被提供有全局唯一的安全單元公私鑰對，并且在創建安全域時自動地隨機生成安全域初始密鑰，以及隨之將所述安全域初始密鑰加密并簽名以獲得簽名密鑰密文，隨后將所述簽名密鑰密文發送至所述可信應用管理服務器，用于建立在其上執行安全性信息交互過程的安全通道。

在上面所公開的方案中，優選地，所述安全域公鑰證書被預置在所述安全單元中。

在上面所公開的方案中，優選地，所述安全單元的提供者生成安全單元提供者公私鑰對，并使用安全單元提供者私鑰對安全單元公鑰簽名以獲得安全單元公鑰證書，并將該安全單元公鑰證書預置在所述安全單元中。

在上面所公開的方案中，優選地，在生成所述安全域初始密鑰后，所述安全單元使用所述安全域公鑰證書中的公鑰加密所述安全域初始密鑰以得到安全域初始密鑰密文，隨之使用安全單元私鑰對所述安全域初始密鑰密文簽名以得到簽名密鑰密文，并且隨后將所述簽名密鑰密文和所述安全單元公鑰證書傳送至所述可信應用管理服務器。