[發明專利]一種利用可信根管理cryptsetup密鑰的方法、系統及裝置

在審

• 申請號: 201910553680.2
• 申請日: 2019-06-25
• 公開（公告）號: CN110378131A
• 公開（公告）日: 2019-10-25
• 發明（設計）人: 許鑫
• 申請（專利權）人: 蘇州浪潮智能科技有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/80;H04L9/08
• 代理公司: 濟南誠智商標專利事務所有限公司 37105
• 代理人: 王汝銀

本發明公開了一種利用可信根管理cryptsetup密鑰的方法，包括：利用物理可信根硬件創建物理可信根密鑰；利用物理可信根密鑰加密cryptsetup使用的密鑰文件并保存利用物理可信根密鑰加密的密鑰文件密文；恢復物理可信根密鑰，cryptsetup導入物理可信根密鑰解密磁盤數據。還公開了一種利用可信根管理cryptsetup密鑰的系統、裝置。本發明提出了使用可信根保護密鑰文件，將原有的明文密鑰轉換成密文后再存儲。這增加了cryptsetup密鑰文件的安全性，有效防止未經權限同意獲取cryptsetup密鑰文件進行磁盤文件掛載行為。

技術領域

本發明涉及密鑰管理技術領域，尤其是一種利用可信根管理cryptsetup密鑰的方法、系統及裝置。

背景技術

cryptsetup是一款Linux系統上的磁盤加密工具，其利用了Linux系統中的DeviceMapper機制實現了加解密磁盤I/O(Input/Output)數據流的功能。cryptsetup支持LUKS(LinuxUnifiedKeySetup，Linux硬盤加密標準)，被加密的磁盤掛載時需要用戶提供口令或是密鑰，用戶的數據以密文的形式存放在磁盤中，保證了用戶信息的隱私。

目前，cryptsetup加解密使用的密鑰由兩種方式生成，一種是使用kdf(Keyderivationfunction，密鑰導出函數)計算用戶口令生成，另一種為使用kdf計算密鑰文件中的內容生成。使用口令的方式時，每次掛載磁盤時都需要提示用戶輸入口令，不利于自動化掛載磁盤的場景，使用密鑰文件的方式可以簡化掛載過程，但cryptsetup只使用密鑰文件，不管理密鑰文件，且密鑰以明文的方式存放于密鑰文件中，當前cryptsetup每次需要使用密鑰加解密數據時，都是直接讀取磁盤中的密鑰文件，然后利用kdf算法將讀取的內容轉換成密鑰使用。因此，一旦獲取了密鑰文件，任何人在任何環境下都可獲取用戶已經加密的數據。任何人獲取密鑰文件后都可以掛載并正常使用磁盤，不利于用戶隱私數據的保護。

發明內容

本發明的目的是提供一種利用可信根管理cryptsetup密鑰的方法、系統及裝置，用可信根加密保護密鑰文件，保證密鑰文件以密文的形式存儲，只在掛載磁盤時由可信根恢復出密鑰供cryptsetup使用。

為實現上述目的，本發明采用下述技術方案：

本發明第一方面提供了一種利用可信根管理cryptsetup密鑰的方法，包括：

利用物理可信根硬件創建物理可信根密鑰；

利用物理可信根密鑰加密cryptsetup使用的密鑰文件并保存利用物理可信根密鑰加密的密鑰文件密文；

恢復物理可信根密鑰，cryptsetup導入物理可信根密鑰解密磁盤數據。

結合第一方面，在第一方面第一種可能的實現方式中，所述利用物理可信根硬件創建物理可信根密鑰，具體包括：

系統向物理可信根硬件發送密鑰生成指令，創建物理可信根密鑰；

利用密鑰下載指令將生成的物理可信根密鑰導入系統使用。

結合第一方面，在第一方面第二種可能的實現方式中，所述利用物理可信根密鑰加密cryptsetup使用的密鑰文件并保存利用物理可信根密鑰加密的密鑰文件密文，具體包括：

在系統內生成cryptsetup使用的密鑰文件；

利用物理可信根密鑰加密密鑰文件并保存密鑰文件密文；

刪除物理可信根密鑰。

結合第一方面，在第一方面第三種可能的實現方式中，所述恢復物理可信根密鑰，cryptsetup導入物理可信根密鑰解密磁盤數據，具體包括：

利用物理可信根硬件恢復物理可信根密鑰；