[發(fā)明專利]基于SGX的密鑰安全管理系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 201811029803.4
• 申請日: 2018-09-04
• 公開（公告）號: CN109150517B
• 公開（公告）日: 2021-03-12
• 發(fā)明（設(shè)計）人: 鄭馳;梁思謙
• 申請（專利權(quán)）人: 大唐高鴻信安（浙江）信息科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L9/30
• 代理公司: 北京北新智誠知識產(chǎn)權(quán)代理有限公司 11100
• 代理人: 朱麗華

本發(fā)明提供一種基于SGX的密鑰安全管理系統(tǒng)及方法，包括客戶端與密鑰管理服務(wù)器，基于SGX技術(shù)進(jìn)行客戶端與密鑰管理服務(wù)器的雙向身份驗證，確保雙方在運(yùn)行環(huán)境及數(shù)據(jù)安全可信的條件下進(jìn)行密鑰的存儲與處理，且密鑰的存儲、管理、加解密處理等過程均在enclave內(nèi)存區(qū)中進(jìn)行，可有效抵御內(nèi)存攻擊，保證密鑰的安全性；進(jìn)一步通過配置密鑰分級管理策略和密鑰訪問控制策略，提高對多個客戶端進(jìn)行密鑰管理的靈活性和有效性，增強(qiáng)密鑰的保護(hù)強(qiáng)度。本發(fā)明利用SGX技術(shù)，可有效保證密鑰的安全性和管理有效性。

技術(shù)領(lǐng)域

本發(fā)明涉及一種基于SGX的密鑰安全管理系統(tǒng)及方法，屬于信息安全技術(shù)領(lǐng)域。

背景技術(shù)

隨著移動互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)給人們的生活帶來了極大的便利，為提高用戶體驗，同時保證數(shù)據(jù)安全性，數(shù)據(jù)安全一直是研究重點(diǎn)與熱點(diǎn)。各種加密算法被應(yīng)用于分布式系統(tǒng)以實現(xiàn)數(shù)據(jù)加密，各種密鑰管理方案廣泛應(yīng)用于銀行、O2O和B2C互聯(lián)網(wǎng)電商等領(lǐng)域?qū)崿F(xiàn)密鑰管理。目前，如何有效管理密鑰并保證其安全性成為各種分布式系統(tǒng)應(yīng)用中普遍面臨的問題。

傳統(tǒng)的密鑰管理方案一般分為兩種，一種是利用軟件加密算法對密鑰進(jìn)行加解密，并對密鑰進(jìn)行存儲及管理，軟件加密靈活性強(qiáng)，安全性相對較低，系統(tǒng)被攻破時，易受軟件攻擊，白盒加密的安全性較強(qiáng)，但是通常會損失系統(tǒng)性能；另一種是基于硬件安全模塊對密鑰進(jìn)行加解密，并對密鑰進(jìn)行存儲及管理，硬件加密安全性很強(qiáng)，但需要配置專門的硬件安全模塊，成本高昂。

發(fā)明內(nèi)容

鑒于上述原因，本發(fā)明的目的在于提供一種基于SGX的密鑰安全管理系統(tǒng)及方法，在保證客戶端與服務(wù)器二者身份可信的情況下，密鑰管理相關(guān)處理均在enclave內(nèi)存區(qū)中進(jìn)行，既可保證密鑰的數(shù)據(jù)安全性，又可保證密鑰的集中有效管理。

為實現(xiàn)上述目的，本發(fā)明采用以下技術(shù)方案：

一種基于SGX的密鑰安全管理系統(tǒng)，包括客戶端與密鑰管理服務(wù)器，

客戶端包括enclave內(nèi)存區(qū)、可信平臺模塊，

密鑰管理服務(wù)器包括enclave內(nèi)存區(qū)、密鑰數(shù)據(jù)庫，

客戶端與密鑰管理服務(wù)器在驗證雙方身份可信的情況下，客戶端提供一級密鑰，并由密鑰管理服務(wù)器密封存儲于該密封數(shù)據(jù)庫中，客戶端提供二級密鑰，并由密鑰管理服務(wù)器利用該一級密鑰對該二級密鑰加密處理后，保存于該密封數(shù)據(jù)庫中，且一級密鑰與二級密鑰的處理均在enclave內(nèi)存區(qū)中進(jìn)行。

可選的，所述客戶端與密鑰管理服務(wù)器通過驗證雙方的enclave度量值進(jìn)行雙方身份的驗證，該enclave度量值是于enclave內(nèi)存區(qū)構(gòu)建過程中，對所有活動日志數(shù)據(jù)進(jìn)行數(shù)字簽名生成的數(shù)字簽名值。

可選的，所述客戶端與密鑰管理服務(wù)器驗證雙方身份可信后，通過協(xié)商密鑰生成會話密鑰。

可選的，所述客戶端基于所述可信平臺模塊生成一級密鑰，于其enclave內(nèi)存區(qū)中，利用所述會話密鑰對該一級密鑰進(jìn)行加密后，將密文一級密鑰發(fā)送至所述密鑰管理服務(wù)器，所述密鑰管理服務(wù)器于其enclave內(nèi)存區(qū)中，利用所述會話密鑰對該密文一級密鑰進(jìn)行解密處理，將生成的一級密鑰進(jìn)行密封處理，將生成的密封一級密鑰保存于所述密鑰數(shù)據(jù)庫。

可選的，所述客戶端基于所述可信平臺模塊生成二級密鑰，于其enclave內(nèi)存區(qū)中，利用所述會話密鑰對該二級密鑰進(jìn)行加密后，將密文二級密鑰發(fā)送至所述密鑰管理服務(wù)器，所述密鑰管理服務(wù)器于其enclave內(nèi)存區(qū)中，利用所述會話密鑰對該密文二級密鑰進(jìn)行解密處理，生成二級密鑰，讀取所述密封一級密鑰，經(jīng)解密封處理后生成一級密鑰，利用該一級密鑰對該二級密鑰進(jìn)行加密處理，將生成的第二密文二級密鑰保存于所述密鑰數(shù)據(jù)庫。