[發明專利]金融電子設備主密鑰在線分發方法及系統

有效

• 申請號: 201811364197.1
• 申請日: 2018-11-16
• 公開（公告）號: CN109547208B
• 公開（公告）日: 2021-11-09
• 發明（設計）人: 劉瑋;陳凱;徐平;王浩;杜永剛;李劍鋒
• 申請（專利權）人: 交通銀行股份有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08;G06Q40/02
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 王天堯;湯在彥

本發明提供一種金融電子設備主密鑰在線分發方法及系統，包括：金融機構將第一公鑰傳至廠商；廠商將據第二私鑰和第一公鑰所得第一簽名信息與第二公鑰傳至金融機構；電子設備將第三公鑰傳至廠商和金融機構；廠商將據第二私鑰和第三公鑰所得第二簽名信息與第二公鑰傳至電子設備和金融機構；金融機構將據第一私鑰和主密鑰密文所得第三簽名信息、利用第三公鑰對驗簽通過后生成的主密鑰加密得到主密鑰密文、第一公鑰、第一簽名信息、第一主密鑰校驗值傳至電子設備；電子設備驗過簽名信息后利用第三私鑰得到主密鑰，計算得到第二主密鑰校驗值與第一主密鑰校驗值比對，當一致存儲主密鑰。該方案提高了電子設備和金融機構之間主密鑰傳輸的安全性和效率。

技術領域

本發明涉及金融密鑰分發技術領域，特別涉及一種金融電子設備主密鑰在線分發方法及系統。

背景技術

非對稱加密算法是一種密鑰加密算法，常見的非對稱加密算法主要是國際算法RSA和國密算法SM2。非對稱加密算法需要兩個密鑰：公開密鑰(簡稱：公鑰)與私有密鑰(簡稱：私鑰)。公開密鑰與私有密鑰是一對。如果用公開密鑰進行加密，只有用對應的私有密鑰才能解密；如果用私有密鑰加密，只有對應的公鑰才能解密。

傳統的金融電子設備主密鑰的分發方案都是通過離線方式進行的。主要流程通常是：由硬件加密模塊(HSM)生成一把設備主密鑰(TMK)，并離散成兩個分量，然后通過打印機打印成密碼信封；交由兩個工作人員各持一個分量，一個監管人員監督，防止持有密鑰的兩個工作人員互通。持有密鑰分量的工作人員分別在金融電子設備上輸入相應的分量，由電子設備自己合成后存儲。在監管人員的監督下，持有密鑰的工作人員及時將密鑰分量銷毀。這種主密鑰的傳輸方式安全性不足、效率低下。

發明內容

本發明實施例提供了一種金融電子設備主密鑰在線分發方法及系統，解決了金融電子設備和金融機構之間主密鑰傳輸的安全性不足、效率低下的技術問題。

本發明實施例提供了一種金融電子設備主密鑰在線分發方法，該方法包括：

金融機構密管系統生成并存儲第一公私鑰對：第一公鑰和第一私鑰，將所述第一公鑰發送至金融電子設備廠商系統；

金融電子設備廠商系統生成并存儲第二公私鑰對：第二公鑰和第二私鑰，利用所述第二私鑰對所述第一公鑰進行簽名，獲得第一簽名信息，將所述第二公鑰和所述第一簽名信息發送至金融機構密管系統；

金融電子設備生成并存儲第三公私鑰對：第三公鑰和第三私鑰，將所述第三公鑰發送至金融電子設備廠商系統；

金融電子設備廠商系統利用所述第二私鑰對所述第三公鑰進行簽名，獲得第二簽名信息，將所述第二公鑰和所述第二簽名信息發送至金融電子設備；

金融電子設備將所述第三公鑰和所述第二簽名信息發送至金融機構密管系統；

金融機構密管系統利用所述第二公鑰對所述第二簽名信息進行驗簽，驗簽通過后生成主密鑰，利用所述第三公鑰對所述主密鑰加密得到主密鑰密文，利用所述第一私鑰對所述主密鑰密文進行簽名，獲得第三簽名信息，將所述第三簽名信息、所述主密鑰密文、所述第一公鑰、所述第一簽名信息、第一主密鑰校驗值發送至金融電子設備；

金融電子設備利用所述第二公鑰對所述第一簽名信息進行驗簽，驗簽通過后，利用所述第一公鑰對所述第三簽名信息進行驗簽，驗簽成功后，利用所述第三私鑰解密所述主密鑰密文得到所述主密鑰，根據所述主密鑰計算得到第二主密鑰校驗值，將所述第二主密鑰校驗值與所述第一主密鑰校驗值進行比對，如果一致，則將所述主密鑰存儲。

本發明實施例還提供了一種金融電子設備主密鑰在線分發系統，該系統包括：

金融機構密管系統、金融電子設備廠商系統和金融電子設備；

金融機構密管系統用于：生成并存儲第一公私鑰對：第一公鑰和第一私鑰，將所述第一公鑰發送至金融電子設備廠商系統；