[發明專利]用于加密密鑰的遷移的方法和設備

有效

• 申請號: 201710319829.1
• 申請日: 2017-05-08
• 公開（公告）號: CN107404472B
• 公開（公告）日: 2021-03-30
• 發明（設計）人: 弗洛里安·博埃爾;讓·勒內·布蘭茨
• 申請（專利權）人: 恩智浦有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/08
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 王洵

各種實施例的各方面是針對利用用于認證及/或加密通信的秘密密鑰的應用。在某些實施例中，將認證數據從源網絡通信裝置提供到目標網絡通信裝置，以使計算服務器驗證所述源網絡通信裝置已授權密鑰遷移。所述認證數據亦能夠使所述數據提供商和所述目標網絡通信裝置獨立地確定用于建立所述服務提供商與所述目標網絡通信裝置之間的安全通信信道的臨時密鑰和/或確定用于所述目標網絡通信裝置的新密鑰。在一些實施方案中，在無所述計算服務器參與的情況下，所述認證數據可在脫機的所述源網絡通信裝置與所述目標網絡通信裝置之間交換。當所述目標網絡通信裝置隨后連接到所述計算服務器時，所述認證數據可用于驗證所述密鑰遷移經過授權和/或生成密鑰。

技術領域

各種實施例的各方面是針對利用用于認證及/或加密通信的秘密密鑰的應用。

背景技術

秘密密鑰供許多應用使用，以通過網絡通信裝置上的應用與服務提供商之間的數據網絡認證并安全地傳達數據，所述數據網絡管理對一個或多個受保護服務、應用或數據組的訪問。如本文中所使用，“網絡通信裝置”和/或“裝置”是指具有通信電路的設備，所述通信電路被配置并布置成通過網絡與服務提供商和/或其它網絡通信裝置通信。在各種應用中，網絡通信裝置可包括(例如)手機、智能手機、平板計算機、手提電腦、臺式計算機和/或各種其它連接網絡的電路。在一些情況下，了解這些密鑰可使未授權用戶訪問一個或多個受保護應用、服務或數據組。為了防止出現對所述受保護應用、服務或數據組的未授權訪問，密鑰通常存儲于網絡通信裝置上的安全存儲元件中。安全存儲元件可為(例如)網絡通信裝置上的嵌入型防篡改集成電路。所述安全元件可實施安全功能(例如，加密功能和認證功能)以限制對其中存儲的數據的訪問。存儲的密鑰從不暴露于計算機系統的系統存儲器區域，且因此，防止存儲的私鑰暴露于任何未經授權的用戶。

出于安全原因，可在受信任的環境(例如，在網絡通信裝置制造時)內生成密鑰并將所述密鑰轉移到網絡通信裝置的安全存儲元件。然而，有時用戶可能希望將受保護的應用、服務和/或數據組轉移到替代或額外網絡通信裝置。為便于訪問所述受保護應用、服務和/或數據組，在服務提供商處的與用戶相關聯的密鑰必須被遷移到新網絡通信裝置并存儲于安全存儲元件中。一些密鑰遷移技術重復使用源網絡通信裝置的秘密密鑰用于目標網絡通信裝置的認證。然而，這種技術可能需要兩個網絡通信裝置中的每一個使用秘密密鑰被配置成用于認證的相同密鑰導出函數。這種情況在一些實施方案(例如，使用網絡通信裝置的唯一標識符作為到密鑰導出函數的輸入)中可能是不可能的。此外，如果兩個網絡通信裝置中的任一個被破解(例如，歸因于惡意攻擊)，那么秘密密鑰可能被暴露，從而使其它網絡通信裝置欺騙或以其它方式被破解。

這些情況和其它事項已經向多種應用的安全性和效率提出挑戰。

發明內容

各種實例實施例是針對(例如)上文中所闡述的問題和/或從關于用于認證和/或加密的密鑰的分布的以下公開內容中可顯而易見的其它問題。在某些實例實施例中，本發明的各方面涉及用于在網絡通信裝置之間遷移密鑰，以便由計算服務器進行認證的方法和電路。計算服務器是指連接網絡的網絡通信裝置，所述網絡通信裝置被配置成通過數據網絡將一個或多個各種服務提供到連接到所述連接網絡的網絡通信裝置的網絡通信裝置。提供的服務可包括(例如)數據存儲、遠程計算服務、網站托管、虛擬計算環境、家庭自動化、媒體流服務(例如，點播音樂和/或視頻)、電信服務(例如，蜂窩式通信、基于IP的語音業務、視頻會議)或其各種組合。計算服務器可包括單個服務器或可包括多個共同操作的分布式服務器(例如，基于云的服務)，以對網絡通信裝置提供服務。一些更具體的實施例是針對用戶控制的密鑰遷移(例如，從源網絡通信裝置到目標網絡通信裝置)，以便由計算服務器進行認證。