[實用新型]一種基于可信計算裝置的密鑰存儲管理系統

有效

• 申請號: 201720306526.1
• 申請日: 2017-03-28
• 公開（公告）號: CN206611427U
• 公開（公告）日: 2017-11-03
• 發明（設計）人: 富堯;蔡曉宇;鐘一民
• 申請（專利權）人: 浙江神州量子網絡科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 杭州豐禾專利事務所有限公司33214
• 代理人: 李久林

技術領域

本實用新型涉及量子通信技術領域，具體提供一種基于可信計算裝置的密鑰存儲管理系統，具體是通過可信計算裝置來實現密鑰的安全存儲。

背景技術

隨著量子通信實用化的推進，量子通信在網絡化應用方面的使用前景更加廣闊，量子通信網絡利用BB84協議產生的量子密鑰對網絡中傳輸的數據進行加密，能夠保證信息在因特網上傳輸的高度安全，未來保密通信的發展方向，即為由量子力學保證其安全性的量子通信。因此，保證量子密鑰能夠安全頒發給用戶及用戶能夠安全的使用量子密鑰對傳輸的數據進行加密是構建量子通信網絡及量子通信實用化的關鍵步驟。

常規加密的安全性取決于加密密鑰的保密性，因此密鑰的安全存儲和安全管理在數據安全中極為重要。密鑰安全管理主要采用“根密鑰‐密鑰加密密鑰‐會話密鑰”的三級密鑰保護結構，保證用戶密鑰及應用系統的安全性。其中，根密鑰是密鑰層次體系中最高級密鑰，主要用于對密鑰加密密鑰進行保護。密鑰加密密鑰是用來加密會話密鑰的二級密鑰，主要用于對會話密鑰進行保護。會話密鑰是通信雙方對通信數據進行加解密的三級密鑰，主要用于安全通信。密鑰的安全存儲，也涉及到密鑰的備份，目的是一旦密鑰遭到破壞，可利用備份的密鑰恢復出原來的密鑰或被加密的數據，避免造成損失。

密鑰使用裝置對數據的加密方式主要有兩種，一種是軟件加密，由密鑰使用裝置完成對數據的加解密，軟件加密的缺點是，加密密鑰存儲在服務器上，且總有一個時刻以明文的形式出現在服務器的內存中，可能會被網絡上的黑客或病毒竊取。另一種是硬件加密，密鑰使用裝置可以配置硬件加密卡(通常是PCI/PCIE卡)來完成密鑰使用裝置上的加解密操作，現有的加密卡的應用依賴于經典的PKI體系，其簽名和認證都依賴于公鑰密碼體制，且現有加密卡中密鑰的安全管理采用的是二級加密體制，其根密鑰直接以明文的形式存儲在加密卡的存儲器中，并可以直接取出以備份在外部存儲介質中，不能夠滿足量子通信網絡對安全性的要求。

現有技術中，密鑰卡內同時具有密鑰存儲和使用兩個功能，即密鑰的使用和存儲不隔離，這樣做的缺點，一是密鑰卡的存儲容量有限不利于存放大量的密鑰，會使得密鑰的充值變得頻繁。二是密鑰卡內的存儲芯片一旦被盜取，密鑰卡內存儲的明文密鑰也會遭到泄露。

可信計算作為信息安全領域一個新的發展方向受到越來越多研究機構的重視，其主要目的是構建一個用戶可以預期的計算環境，從而保證計算資源不會被惡意篡改、盜取，以提高系統整體的安全性。可信計算組織確定的可信計算系統可以增強現有終端體系結構的安全性進而保證整個計算機系統或者網絡系統的安全性。一個基于可信計算的實體(包括組件、系統或過程)的行為在任意操作條件下是可預測的，并能很好地抵抗應用程序、病毒以及一定的物理干擾造成的破壞。因此，密鑰使用裝置若依賴于基于可信計算系統的終端完成密鑰的存儲，則可以大大提高密鑰的安全性。

實用新型內容

基于現有技術中存在的不足，本實用新型提供一種基于可信計算裝置的密鑰存儲管理系統，具體通過可信計算裝置來實現密鑰的安全存儲。

為了解決背景技術所存在的問題，本實用新型是采用以下技術方案：

一種基于可信計算裝置的密鑰存儲管理系統，包括可信計算裝置、密鑰使用裝置和密鑰存儲裝置，其中：

可信計算裝置：可以是PCIE板卡、獨立的加解密主機、UKEY等基于可信計算系統的終端設備。用于接收密鑰頒發中心所頒發的會話密鑰，并配合密鑰使用裝置完成對會話密鑰的加密存儲和安全使用；

密鑰使用裝置：可以是服務器、計算機、手機、平板電腦等各種終端設備，其通過與用戶共享會話密鑰，并使用該會話密鑰完成與用戶之間的安全通信；密鑰使用裝置與可信計算裝置通信連接，在對外通信時借助該可信計算裝置完成對會話密鑰的使用操作；

密鑰存儲裝置：位于密鑰使用裝置內或者與密鑰使用裝置外部通信連接，存儲經可信計算裝置加密后的會話密鑰。

作為優選：所述可信計算裝置包括加解密裝置、安全芯片、內部存儲區、外部存儲區、數據接口、處理裝置、真隨機數裝置，其中：

加解密裝置，用于使用會話密鑰完成對數據的加解密；

安全芯片內部具有核心存儲區，該核心存儲區是可信計算裝置中最高保密級別的存儲區域，該區域中的數據以明文的形式寫入，且任何途徑都無法再讀取；

內部存儲區是在該可信計算裝置的內存上，存儲用戶信息及經根密鑰加密后的用戶密鑰；

外部存儲區，是可信計算裝置上通過數據接口接入的外部存儲介質，用于對用戶信息及加密后的用戶密鑰做硬件備份存儲；