[發(fā)明專利]一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)、更新方法、讀取方法

有效

• 申請?zhí)枺?/td>: 202011461506.4
• 申請日: 2020-12-14
• 公開（公告）號: CN112235324B
• 公開（公告）日: 2021-03-02
• 發(fā)明（設(shè)計）人: 劉志強(qiáng);毛偉信
• 申請（專利權(quán)）人: 杭州字節(jié)信息技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 杭州信義達(dá)專利代理事務(wù)所(普通合伙) 33305
• 代理人: 陳繼算

1.一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，包括密鑰樹，其特征在于：

所述密鑰樹包括若干層呈分層拓?fù)浣Y(jié)構(gòu)的密鑰層；

每個節(jié)點密鑰都對應(yīng)設(shè)有一個標(biāo)識該節(jié)點密鑰的密鑰標(biāo)識名稱，記為KeyName；

子節(jié)點密鑰的關(guān)聯(lián)名Alias采用其父節(jié)點密鑰的關(guān)聯(lián)名Alias后綴該子節(jié)點密鑰的KeyName的方式進(jìn)行命名，以得到該子節(jié)點密鑰的關(guān)聯(lián)名Alias；

其中子節(jié)點密鑰的KeyPass= FUN(父節(jié)點密鑰,子節(jié)點密鑰的關(guān)聯(lián)名Alias)；其中FUN表示一個輸入?yún)?shù)為父節(jié)點密鑰，以及子節(jié)點密鑰的關(guān)聯(lián)名Alias的單向函數(shù)。

2.根據(jù)權(quán)利要求1所述的一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，其特征在于：在對子節(jié)點密鑰的關(guān)聯(lián)名Alias進(jìn)行命名時，若其沒有父節(jié)點密鑰或父節(jié)點密鑰為根節(jié)點密鑰時，則該子節(jié)點密鑰的關(guān)聯(lián)名Alias直接采用該子節(jié)點密鑰的KeyName進(jìn)行命名。

3.根據(jù)權(quán)利要求2所述的一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，其特征在于：所述FUN函數(shù)采用HMAC或HASH函數(shù)。

4.根據(jù)權(quán)利要求1所述的一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，其特征在于：所述密鑰樹包括如下幾層密鑰：

主密鑰，主密鑰位于整個密鑰樹層次體系的最高層；

用戶密鑰，位于整個密鑰樹層次體系的第二層，由主密鑰加密保護(hù)，用于加密其下屬層分支節(jié)點密鑰；

密鑰加密密鑰，位于整個密鑰樹層次體系的第三層，由其上層的用戶密鑰加密保護(hù)，用于加密其下屬層分支節(jié)點密鑰；

數(shù)據(jù)密鑰，位于整個密鑰樹層次體系的第四層，由其上層的密鑰加密保護(hù)，直接用于向用戶數(shù)據(jù)提供密碼操作的密鑰。

5.一種密鑰讀取方法，其特征在于：應(yīng)用于如權(quán)利要求1-4任一項所述的基于KeyStore密鑰樹的密鑰管理系統(tǒng)，具體包括如下步驟：

STP1、根據(jù)父節(jié)點密鑰的KeyPass，以及父節(jié)點密鑰的關(guān)聯(lián)名Alias計算得到父節(jié)點密鑰；

STP2、根據(jù)步驟STP1得到的父節(jié)點密鑰，以及子節(jié)點密鑰的關(guān)聯(lián)名Alias，計算得出子節(jié)點密鑰的KeyPass；

STP3、根據(jù)步驟STP2得出的子節(jié)點密鑰的KeyPass和該子節(jié)點密鑰的關(guān)聯(lián)名Alias計算得出該子節(jié)點密鑰。

6.一種密鑰更新方法，其特征在于：應(yīng)用于如權(quán)利要求1-4任一項所述的基于KeyStore密鑰樹的密鑰管理系統(tǒng)；

用于在當(dāng)前節(jié)點密鑰更新時，對該節(jié)點密鑰對應(yīng)的下層分支節(jié)點密鑰均相應(yīng)的進(jìn)行更新，具體包括如下步驟：

S100、首先系統(tǒng)隨機(jī)產(chǎn)生一個新的密鑰；

S200、通過原密鑰遍歷該節(jié)點密鑰的下層節(jié)點密鑰，并讀取出密鑰明文；

S300、使用新密鑰計算下層節(jié)點密鑰的KeyPass；

S400、根據(jù)步驟S300計算得出的KeyPass，以及下層節(jié)點密鑰對應(yīng)的關(guān)聯(lián)名Alias重新加密并覆蓋存儲密鑰；

S500、使用當(dāng)前節(jié)點密鑰的關(guān)聯(lián)名Alias，以及KeyPass加密新密鑰，并覆蓋當(dāng)前節(jié)點密鑰的原密文。

7.一種密鑰更新方法，其特征在于：應(yīng)用于如權(quán)利要求1-4任一項所述的基于KeyStore密鑰樹的密鑰管理系統(tǒng)；

用于在當(dāng)前節(jié)點密鑰的關(guān)聯(lián)名Alias更新時，對該節(jié)點密鑰對應(yīng)的下層分支節(jié)點密鑰的關(guān)聯(lián)名進(jìn)行更新，具體包括如下步驟：

T100、讀取以當(dāng)前節(jié)點密鑰為根節(jié)點密鑰的所有分支節(jié)點密鑰；

T200、將以當(dāng)前節(jié)點密鑰為根節(jié)點密鑰的所有分支節(jié)點密鑰的關(guān)聯(lián)名Alias進(jìn)行相應(yīng)的替換；

T300、根據(jù)更新后的所有分支節(jié)點密鑰的關(guān)聯(lián)名Alias，重新計算所有分支節(jié)點密鑰的KeyPass；

T400、利用所有分支節(jié)點密鑰更新后的關(guān)聯(lián)名Alias及對應(yīng)步驟T300計算的KeyPass，利用步驟T100讀取對應(yīng)的所有分支節(jié)點密鑰按照原有密鑰樹的分層拓?fù)浣Y(jié)構(gòu)重新執(zhí)行密鑰存儲；

T500、根據(jù)當(dāng)前節(jié)點密鑰的原關(guān)聯(lián)名Alias，對以原關(guān)聯(lián)名Alias為根節(jié)點密鑰的所有分支節(jié)點密鑰全部進(jìn)行密鑰刪除。