[發明專利]遺失設備的子密鑰管理方法和系統

有效

• 申請號: 201910054060.4
• 申請日: 2019-01-21
• 公開（公告）號: CN109922042B
• 公開（公告）日: 2020-07-03
• 發明（設計）人: 石瑞生;石豫揚
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京風雅頌專利代理有限公司 11403
• 代理人: 陳宙

1.一種遺失設備的子密鑰管理方法，其特征在于，包括：

第一設備遺失后，第二設備中的應用客戶端使用綁定第二設備的子密鑰Ka2對賬戶的名稱和第一設備的標識D1進行加密得到加密信息后，向應用服務器發送攜帶所述賬戶的名稱、第二設備的標識D2以及所述加密信息的設備子密鑰停用/刪除/重新激活請求；

所述應用服務器根據所述設備子密鑰停用/刪除/重新激活請求中攜帶的所述賬戶的名稱和D2查找到對應的綁定第二設備的子密鑰Ka2后，用查找到的Ka2解密所述加密信息，進而將對應解密得到的所述賬戶的名稱和第一設備的標識D1的子密鑰Ka1停用/刪除/重新激活。

2.根據權利要求1所述的方法，其特征在于，所述Ka1是在第一設備遺失前，由所述應用服務器和第一設備中的所述應用客戶端根據如下方法協商生成：

安裝于第一設備中的所述應用客戶端向所述應用服務器發送攜帶第一設備的標識D1以及所述賬戶的子密鑰Ks的設備注冊請求；其中，所述Ks是根據所述賬戶的名稱與使用第一設備的用戶輸入的主密鑰生成的；

所述應用服務器接收所述設備注冊請求后生成隨機數N1，根據N1、D1以及Ks，生成綁定第一設備的子密鑰Ka1，并將N1發送給所述應用客戶端；

所述應用客戶端根據接收的隨機數N1以及D1和Ks，生成所述子密鑰Ka1。

3.根據權利要求2所述的方法，其特征在于，所述Ks具體根據如下方法生成：

第一設備中的應用客戶端向第一設備中的密鑰管理服務KMS裝置發送攜帶所述賬戶的名稱的賬戶子密鑰請求；

所述KMS裝置接收到所述賬戶子密鑰請求后，根據所述賬戶的名稱與所述用戶輸入的主密鑰生成所述賬戶的子密鑰返回給所述應用客戶端。

4.根據權利要求3所述的方法，其特征在于，所述Ka2是第二設備在第一設備遺失前或遺失后，由所述應用服務器和第二設備中的所述應用客戶端根據如下方法協商生成：

第二設備中的所述應用客戶端向所述應用服務器發送攜帶D2以及所述賬戶的名稱的新設備注冊請求；

所述應用服務器接收所述新設備注冊請求后生成隨機數N2，根據D2、N2以及所述賬戶的子密鑰Ks，生成綁定第二設備的子密鑰Ka2，并將N2發送給所述應用客戶端；

第二設備中的應用客戶端將所述賬戶的名稱、N2、D2攜帶在設備子密鑰請求中發送給第二設備中的KMS裝置；

第二設備中的KMS裝置在接收到所述設備子密鑰請求后根據用戶輸入的主密鑰，以及所述賬戶的名稱、N2、D2，生成綁定第二設備的子密鑰Ka2后，發送給所述應用客戶端。

5.根據權利要求3或4所述的方法，其特征在于，所述賬戶的名稱和第一設備的標識D1是在第一設備遺失前，由第一設備中的KMS裝置上傳至KMS云服務器的；以及

在所述第二設備中的應用客戶端使用綁定第二設備的子密鑰Ka2對賬戶的名稱和遺失的第一設備的標識D1進行加密前，所述方法還包括：

第二設備中的KMS裝置登錄所述KMS云服務器，并從所述KMS云服務器獲取所述賬戶的名稱和第一設備的標識D1。

6.根據權利要求5所述的方法，其特征在于，在所述第二設備中的KMS裝置登錄所述KMS云服務器，并從所述KMS云服務器獲取所述賬戶的名稱和第一設備的標識D1時，還包括：

第二設備中的KMS裝置從所述KMS云服務器獲取第一設備的其它應用客戶端的賬戶的名稱；

第二設備中的KMS裝置在接收到用戶輸入的遺失設備密鑰一鍵停用/刪除/重新激活指令后，對于每個應用客戶端，所述KMS裝置分別向第二設備中的該應用客戶端發送攜帶第一設備的標識D1和該應用客戶端的賬戶的名稱的密鑰停用/刪除/重新激活指示信息，用以指示該應用客戶端向對應的應用服務器發送設備子密鑰停用/刪除/重新激活請求。