[發明專利]密鑰存儲及設備身份認證方法、裝置

有效

• 申請號: 201710378389.7
• 申請日: 2017-05-25
• 公開（公告）號: CN107317677B
• 公開（公告）日: 2020-02-07
• 發明（設計）人: 胡傳文;顧振華;顧志松
• 申請（專利權）人: 蘇州科達科技股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/30;H04L29/06;G06F21/78
• 代理公司: 11250 北京三聚陽光知識產權代理有限公司
• 代理人: 馬永芬

1.一種密鑰存儲方法，其特征在于，所述方法包括：

向安全芯片內部導入第一加密密鑰；

導出所述第一加密密鑰的公鑰；

利用所述第一加密密鑰的公鑰在所述安全芯片外部生成第一會話密鑰密文和第一會話密鑰句柄；

在所述安全芯片外部生成存儲密鑰；

采用所述第一會話密鑰句柄對所述存儲密鑰加密，得到存儲密文；

將所述第一會話密鑰密文和所述存儲密文存儲至安全芯片內部的可讀寫存儲區；所述第一會話密鑰密文導入所述安全芯片可以獲取所述第一會話密鑰句柄。

2.根據權利要求1所述的密鑰存儲方法，其特征在于，所述向安全芯片內導入第一加密密鑰的步驟包括：

控制安全芯片內部生成并導出第一簽名密鑰；

采用所述第一簽名密鑰在所述安全芯片內部生成第二會話密鑰，并導出第二會話密鑰密文和第二會話密鑰句柄；

在所述安全芯片外部生成第二加密密鑰；

采用所述第二會話密鑰句柄對所述第二加密密鑰進行加密，得到第二加密密鑰密文；

根據所述第二會話密鑰密文和所述第二加密密鑰密文生成第一加密密鑰；

將所述第一加密密鑰導入所述安全芯片內部。

3.一種設備身份認證方法，其特征在于，用于服務器，所述服務器采用權利要求1或2所述的密鑰存儲方法存儲簽名私鑰；所述方法包括：

接收客戶端所發送的客戶端證書以及第一加密數據；所述第一加密數據采用服務器的簽名公鑰加密；

當所述客戶端證書驗證合法時，從所述安全芯片的可讀寫存儲區獲取簽名私鑰；

采用所述簽名私鑰對所述第一加密數據進行解密；

當解密成功時，接收所述客戶端所發送的簽名值；

采用所述客戶端證書中的公鑰對所述簽名值驗簽；

當驗簽通過時，確定所述客戶端身份認證通過。

4.根據權利要求3所述的設備身份認證方法，其特征在于，所述從所述安全芯片的可讀寫存儲區獲取簽名私鑰的步驟，包括：

從所述安全芯片的可讀寫存儲區獲取所述第一會話密鑰密文和所述存儲密文；

將所述第一會話密鑰密文導入所述安全芯片，得到所述第一會話密鑰句柄；

采用所述第一會話密鑰句柄對所述存儲密文解密，得到所述存儲密鑰作為所述服務器的簽名私鑰。

5.根據權利要求3所述的設備身份認證方法，其特征在于，所述接收所述客戶端所發送的客戶端證書以及第一加密數據的步驟之前，還包括：

將簽名公鑰和服務器信息生成證書請求文件；

通過所述證書請求文件向證書認證機構請求獲取數字證書；

接收所述證書認證機構所發送的數字證書；

存儲所述數字證書。

6.一種密鑰存儲裝置，其特征在于，所述裝置包括：

導入單元，用于向安全芯片內部導入第一加密密鑰；

導出單元，用于導出所述第一加密密鑰的公鑰；

第一生成單元，用于利用所述第一加密密鑰的公鑰在所述安全芯片外部生成第一會話密鑰密文和第一會話密鑰句柄；

第二生成單元，用于在所述安全芯片外部生成存儲密鑰；

加密單元，用于采用所述第一會話密鑰句柄對所述存儲密鑰加密，得到存儲密文；

第一存儲單元，用于將所述第一會話密鑰密文和所述存儲密文存儲至安全芯片內部的可讀寫存儲區；所述第一會話密鑰密文導入所述安全芯片可以獲取所述第一會話密鑰句柄。