[發明專利]管理數據的設備和方法

在審

• 申請號: 202010414785.2
• 申請日: 2020-05-15
• 公開（公告）號: CN111949999A
• 公開（公告）日: 2020-11-17
• 發明（設計）人: J·G·懷特;D·R·L·布朗
• 申請（專利權）人: 黑莓有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;H04L9/06;H04L9/08;H04L9/30
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 董莘

1.一種管理在計算設備上的容器內所存儲的數據的方法，所述容器與至少一個注冊用戶相關聯，所述容器內的所述數據由數據加密密鑰(DEK)加密并且被存儲為加密數據，所述方法包括：

基于與所述容器相關聯的用戶機密來認證用戶；

基于所述用戶機密來生成軟密鑰；

由除所述計算設備的主處理器以外的密碼處理器生成安全生成器輸出，所述安全生成器輸出包括與所述認證用戶相關聯的密碼密鑰組件；

由所述密碼處理器使用所述軟密鑰和與所述認證用戶相關聯的所述密碼密鑰組件基于密鑰協商協議來生成強化用戶密鑰；

構造與所述強化用戶密鑰相關聯的未加密DEK以用于訪問在所述容器內所存儲的所述數據的子集；以及

使用所述未加密DEK來解密所述數據的所述子集。

2.根據權利要求1所述的方法，其中所述安全生成器輸出包括第一橢圓曲線密碼(ECC)密鑰對和第二ECC密鑰對。

3.根據權利要求2所述的方法，還包括：

由所述密碼處理器丟棄所述第一ECC密鑰對的公鑰和所述第二ECC密鑰對的私鑰，并且其中所述密碼密鑰組件包括所述第一ECC密鑰對的所述私鑰和所述第二ECC密鑰對的所述公鑰。

4.根據權利要求1所述的方法，其中所述密鑰協商協議基于橢圓曲線密碼。

5.根據權利要求1所述的方法，其中所述密鑰協商協議包括橢圓曲線Diffie-Hellman(ECDH)。

6.根據權利要求1所述的方法，其中所述軟密鑰包括指定長度并且使用基于密碼的密鑰導出函數2(PBKDF2)被生成。

7.根據權利要求6所述的方法，其中所述PBKDF2操作包括基于哈希的消息認證碼(HMAC)操作。

8.根據權利要求1所述的方法，其中構造所述未加密DEK包括使用高級加密標準(AES)協議和所述強化用戶密鑰來解密強化DEK，其中所述強化DEK被存儲在所述計算設備的不可遷移部分中。

9.根據權利要求1所述的方法，還包括使用所述未加密DEK來保護與所述認證用戶相關聯的附加數據。

10.根據權利要求1所述的方法，其中所述安全生成器輸出基于安全隨機數生成器輸出。

11.一種管理在容器內所存儲的數據的計算設備，所述容器與至少一個注冊用戶相關聯，所述容器內的所述數據由數據加密密鑰(DEK)加密并且被存儲為加密數據，所述計算設備包括：

安全模塊，包括密碼處理器；

主處理器，耦合到所述安全模塊；以及

存儲器，耦合到所述處理器和所述密碼處理器，所述存儲器存儲指令，所述指令在被執行時將所述主處理器或所述密碼處理器中的至少一項配置為：

基于與所述容器相關聯的用戶機密來認證用戶；

基于所述用戶機密來生成軟密鑰；

由所述密碼處理器生成包括與所述認證用戶相關聯的密碼密鑰組件的安全生成器輸出；

由所述密碼處理器使用所述軟密鑰和與所述認證用戶相關聯的所述密碼密鑰組件基于密鑰協商協議來生成強化用戶密鑰；

構造與所述強化用戶密鑰相關聯的未加密DEK以用于訪問在所述容器內所存儲的所述數據的子集；以及

使用所述未加密DEK來解密所述數據的所述子集。

12.根據權利要求11所述的計算設備，其中所述安全生成器輸出包括第一橢圓曲線密碼(ECC)密鑰對和第二ECC密鑰對。

13.根據權利要求12所述的計算設備，其中所述指令在被執行時還將所述密碼處理器配置為丟棄所述第一ECC密鑰對的公鑰和所述第二ECC密鑰對的私鑰，并且其中所述密碼密鑰組件包括所述第一ECC密鑰對的所述私鑰和所述第二ECC密鑰對的所述公鑰。