[發明專利]一種密鑰授權方法和系統

有效

• 申請號: 201911304078.1
• 申請日: 2019-12-17
• 公開（公告）號: CN111090865B
• 公開（公告）日: 2022-01-25
• 發明（設計）人: 周愛輝;余超凡;張寧;王磊;陸宇飛;巫錫斌
• 申請（專利權）人: 支付寶（杭州）信息技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/60;G06F21/62;G06F21/64
• 代理公司: 成都七星天知識產權代理有限公司 51253
• 代理人: 楊永梅

1.一種密鑰授權方法，所述方法包括：

在可信執行環境中創建可信的密鑰托管程序，所述密鑰存放于所述密鑰托管程序對應的存儲器中；

所述密鑰托管程序接收密鑰使用程序發送的用于獲取所述密鑰的請求，并判斷所述密鑰使用程序是否為可信執行環境中的可信應用程序；

若所述密鑰使用程序為可信執行環境中的可信應用程序，所述密鑰托管程序將所述密鑰發送給所述密鑰使用程序；

所述密鑰托管程序記錄獲取所述密鑰的所述密鑰使用程序的身份標識信息，以使得第三方能夠獲取記錄的所述身份標識信息，并使得所述第三方能夠基于該身份標識信息獲取所述密鑰使用程序的代碼，以基于該代碼在密鑰授權后審計該密鑰使用程序。

2.如權利要求1所述的方法，所述判斷所述密鑰使用程序是否為可信執行環境中的可信應用程序，包括：

所述密鑰托管程序接收驗證平臺關于所述密鑰使用程序所使用的硬件信息的驗證結果；

基于所述驗證結果判斷所述密鑰使用程序是否為可信執行環境中的可信應用程序。

3.如權利要求1所述的方法，所述密鑰托管程序記錄獲取所述密鑰的所述密鑰使用程序的身份標識信息，以使得所述第三方能夠獲取記錄的所述身份標識信息，包括：

所述密鑰托管程序將獲取所述密鑰的所述密鑰使用程序的身份標識信息發送至所述第三方，以使得所述第三方能夠接收到所述身份標識信息，或者將所述身份標識信息存儲至目標存儲平臺，以使得所述第三方能夠從所述目標存儲平臺獲取所述身份標識信息。

4.如權利要求3所述的方法，所述目標存儲平臺為區塊鏈平臺，或經過安全認證的數據庫。

5.如權利要求1所述的方法，所述密鑰托管程序將所述密鑰發送給所述密鑰使用程序，包括：

所述密鑰托管程序利用所述密鑰使用程序的公鑰對所述密鑰加密得到密文；

所述密鑰托管程序將所述密文發送給所述密鑰使用程序，以使得所述密鑰使用程序能夠利用自身與所述公鑰對應的私鑰，對所述密文解密得到所述密鑰的明文。

6.如權利要求1所述的方法，所述可信執行環境為基于軟件保護擴展策略的可信執行環境。

7.一種密鑰授權方法，所述方法包括：

所述密鑰使用程序發送用于獲取所述密鑰的請求至密鑰托管程序，以使得所述密鑰托管程序能夠響應于所述請求，并能夠確定所述密鑰使用程序為可信執行環境中的可信應用程序，其中，所述密鑰托管程序為創建于可信執行環境中的可信應用程序，所述密鑰存放于所述密鑰托管程序對應的內存中；

所述密鑰使用程序接收所述密鑰托管程序發送的所述密鑰加密后的密文；

所述密鑰使用程序對所述密文解密得到所述密鑰的明文；

所述密鑰使用程序將自身的代碼或該代碼的加密值發送給第三方，以使得所述第三方能夠基于所述代碼或所述加密值對所述密鑰使用程序進行審計；或者，

所述密鑰使用程序將自身的代碼或該代碼的加密值存儲至目標存儲平臺，以使得所述第三方能夠從所述目標存儲平臺獲取所述代碼或所述加密值，并能夠基于所述代碼或所述加密值對所述密鑰使用程序進行審計。

8.如權利要求7所述的方法，所述目標存儲平臺為區塊鏈平臺，或經過安全認證的數據庫。

9.如權利要求7所述的方法，所述可信執行環境為基于軟件保護擴展策略的可信執行環境。