[發明專利]信息的安全多方存儲和傳遞的加密私鑰管理的方法和系統

在審

• 申請號: 201911128408.6
• 申請日: 2019-11-18
• 公開（公告）號: CN111199045A
• 公開（公告）日: 2020-05-26
• 發明（設計）人: 尤爾根·舒佩
• 申請（專利權）人: 安全技術私人有限責任公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/62
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 周靖;楊明釗

1.一種通過使用密鑰管理系統來將資產私鑰的控制從發起用戶傳遞到一組用戶的方法，所述密鑰管理系統包括發起用戶計算設備和被配置為提供基于網絡的密鑰管理服務的密鑰管理計算設備，所述方法包括：

用所述發起用戶計算設備將所述資產私鑰分割成多個子密鑰；

定義恢復所述資產私鑰所需的所述子密鑰的閾值數量T；

識別待傳遞到所述一組用戶的所述子密鑰的第一部分，其中在所述第一部分中的所述子密鑰的數量小于T；

將所述子密鑰中的至少一個識別為驗證者子密鑰；

用所述發起用戶計算設備隨機地生成驗證者私鑰；

用所述驗證者私鑰將所述驗證者子密鑰加密以生成加密的驗證者子密鑰；

將所述加密的驗證者子密鑰存儲在分布式文件系統上；

將所述子密鑰的所述第一部分存儲在至少一個存儲設備上；以及

將所述驗證者私鑰存儲在驗證者存儲設備上。

2.根據權利要求1所述的方法，還包括：

將所述子密鑰中的至少一個識別為備份子密鑰；

用所述發起用戶計算設備隨機地生成備份私鑰；

用所述備份私鑰將所述備份子密鑰加密；以及

將加密的備份子密鑰存儲在所述分布式文件系統上。

3.根據權利要求1所述的方法，其中，隨機地生成所述驗證者私鑰的步驟還包括生成用于將所述驗證者私鑰加密的通行碼，所述方法還包括將所述通行碼傳遞到所述密鑰管理計算設備用于存儲。

4.根據權利要求3所述的方法，其中，將所述驗證者私鑰存儲在驗證者存儲設備上的步驟包括將驗證者冷存儲設備通信地耦合到所述發起用戶計算設備并將所述驗證者私鑰傳遞到所述驗證者冷存儲設備用于由所述一組用戶中的一個用戶或可信第三方安全地長期存儲。

5.根據權利要求1所述的方法，其中，在所述分布式文件系統上存儲所述加密的驗證者子密鑰的步驟包括在所述分布式文件系統上與所述加密的驗證者子密鑰一起存儲唯一ID，所述方法還包括在所述密鑰管理設備的存儲介質中存儲包括所述唯一ID的組映射信息，其中所述密鑰管理設備安全地存儲所述組映射信息并且不將所述組映射信息傳遞到所述發起用戶設備或其他實體，以從而防止第三方在所述分布式文件系統上定位所述加密的驗證者子密鑰。

6.根據權利要求1所述的方法，還包括用所述發起用戶計算設備執行網絡瀏覽器軟件程序以通過網絡與所述密鑰管理系統通信，其中根據從所述密鑰管理設備接收的指令用所述網絡瀏覽器軟件程序來執行所述分割的步驟。

7.根據權利要求1所述的方法，其中，所述至少一個存儲設備是加密的冷存儲設備。

8.根據權利要求7所述的方法，其中，所述加密的冷存儲設備被配置為根據FIDO協議與所述發起用戶計算設備和密鑰管理設備通信，并且經由FIDO協議的傳輸層在所述冷存儲設備和發起用戶計算設備之間傳遞所述子密鑰。

9.根據權利要求1所述的方法，其中，被傳遞給在所述一組用戶中的每個用戶的所述子密鑰的數量大于被識別為所述驗證者子密鑰的所述至少一個子密鑰的數量。

10.根據權利要求1所述的方法，還包括經由所述發起用戶計算設備的網絡瀏覽器來接收密鑰管理計劃的選擇；

其中，將所述驗證者私鑰存儲在驗證者存儲設備上的步驟包括：如果第一密鑰管理計劃被選擇則將所述驗證者私鑰傳遞到所述密鑰管理設備，或者如果第二密鑰管理計劃被選擇則將所述驗證者私鑰傳遞到通信地耦合到所述發起計算設備的冷存儲設備。

11.根據權利要求10所述的方法，其中，所述第一密鑰管理計劃包括當所述密鑰管理設備接收到經授權的恢復請求時自動恢復所述資產私鑰。

12.根據權利要求10所述的方法，其中，所述第二密鑰管理計劃包括在所述資產私鑰的恢復之前由在所述一組用戶中的用戶之一或可信第三方驗證指定條件已經被滿足。