[發(fā)明專利]一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)、更新方法、讀取方法

有效

• 申請?zhí)枺?/td>: 202011461506.4
• 申請日: 2020-12-14
• 公開（公告）號: CN112235324B
• 公開（公告）日: 2021-03-02
• 發(fā)明（設(shè)計）人: 劉志強(qiáng);毛偉信
• 申請（專利權(quán)）人: 杭州字節(jié)信息技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 杭州信義達(dá)專利代理事務(wù)所(普通合伙) 33305
• 代理人: 陳繼算

本發(fā)明涉及保密通信技術(shù)領(lǐng)域，具體涉及一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，以及應(yīng)用于該系統(tǒng)的密鑰更新方法、讀取方法，管理系統(tǒng)包括密鑰樹，所述密鑰樹包括若干層呈分層拓?fù)浣Y(jié)構(gòu)的密鑰層；每個節(jié)點密鑰都對應(yīng)設(shè)有一個標(biāo)識該節(jié)點密鑰的密鑰標(biāo)識名稱，記為KeyName；子節(jié)點密鑰的關(guān)聯(lián)名Alias采用其父節(jié)點密鑰的關(guān)聯(lián)名Alias后綴該子節(jié)點密鑰的KeyName的方式進(jìn)行命名，以得到該子節(jié)點密鑰的關(guān)聯(lián)名Alias；其中子節(jié)點密鑰的KeyPass=FUN(父節(jié)點密鑰,子節(jié)點密鑰的關(guān)聯(lián)名Alias)；其中FUN表示一個輸入?yún)?shù)為父節(jié)點密鑰，以及子節(jié)點密鑰的關(guān)聯(lián)名Alias的單向函數(shù)。本發(fā)明便于對密鑰進(jìn)行管理。

技術(shù)領(lǐng)域

本發(fā)明涉及保密通信技術(shù)領(lǐng)域，具體涉及一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，以及應(yīng)用于該系統(tǒng)的密鑰更新方法、讀取方法。

背景技術(shù)

隨著物聯(lián)網(wǎng)的快速發(fā)展，越來越多的物聯(lián)網(wǎng)終端設(shè)備或邊緣平臺的關(guān)鍵安全參數(shù)（如終端用于接入認(rèn)證鑒權(quán)的密鑰、邊緣平臺用于身份識別的私鑰及證書信息）、用戶敏感數(shù)據(jù)等需存儲于物聯(lián)網(wǎng)云服務(wù)端以方便管理，因此云服務(wù)端需提供密鑰庫的管理服務(wù)。很多時候這些關(guān)鍵安全參數(shù)往往以明文形式存儲于服務(wù)端數(shù)據(jù)庫中。

KeyStore是Java提供的一種密鑰庫文件，常用于云服務(wù)端加密存儲密鑰，以防非授權(quán)訪問。通常，以這種形式存儲的密鑰包括對稱密鑰、或者是綁定相應(yīng)公鑰證書鏈的私鑰。其思想是通過設(shè)置存儲密鑰的關(guān)聯(lián)助記字符串Alias以及設(shè)置用于保護(hù)密鑰的KeyPass來加密存儲密鑰，因此所有密鑰是相互獨立無關(guān)聯(lián)地存儲于KeyStore文件中。

當(dāng)前，云服務(wù)端密鑰存儲管理通常采用數(shù)據(jù)庫明文存儲或者KeyStore存儲。顯然密鑰采用數(shù)據(jù)庫明文存儲方式無法確保密鑰的安全，一方面數(shù)據(jù)庫因利益驅(qū)動可能被黑客攻擊而拖庫，另一方面，密鑰以明文形式存儲于數(shù)據(jù)庫中，內(nèi)部開發(fā)人員及后臺維護(hù)管理人員巨額利益誘惑下也存在內(nèi)鬼可能性。

而對于使用傳統(tǒng)KeyStore方式存儲管理密鑰時，由于KeyStore存儲的密鑰之間沒有關(guān)聯(lián)性，也無法體現(xiàn)密鑰分層管理系統(tǒng)。因此存儲多個密鑰需要設(shè)置多個對應(yīng)的KeyPass來保護(hù)密鑰，而大量的KeyPass的存儲管理有需要通過數(shù)據(jù)庫進(jìn)行輔助管理，故還有待改進(jìn)。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明目的是提供一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)。

為了解決上述技術(shù)問題，本發(fā)明的技術(shù)方案是：

一種基于KeyStore密鑰樹的密鑰管理系統(tǒng)，包括密鑰樹，所述密鑰樹包括若干層呈分層拓?fù)浣Y(jié)構(gòu)的密鑰層；

每個節(jié)點密鑰都對應(yīng)設(shè)有一個標(biāo)識該節(jié)點密鑰的密鑰標(biāo)識名稱，記為KeyName；

子節(jié)點密鑰的關(guān)聯(lián)名Alias采用其父節(jié)點密鑰的關(guān)聯(lián)名Alias后綴該子節(jié)點密鑰的KeyName的方式進(jìn)行命名，以得到該子節(jié)點密鑰的關(guān)聯(lián)名Alias；

其中子節(jié)點密鑰的KeyPass= FUN(父節(jié)點密鑰,子節(jié)點密鑰的關(guān)聯(lián)名Alias)；其中FUN表示一個輸入?yún)?shù)為父節(jié)點密鑰，以及子節(jié)點密鑰的關(guān)聯(lián)名Alias的單向函數(shù)。

進(jìn)一步的，在對子節(jié)點密鑰的關(guān)聯(lián)名Alias進(jìn)行命名時，若其沒有父節(jié)點密鑰或父節(jié)點密鑰為根節(jié)點密鑰時，則該子節(jié)點密鑰的關(guān)聯(lián)名Alias直接采用該子節(jié)點密鑰的KeyName進(jìn)行命名。

進(jìn)一步的，所述FUN函數(shù)采用HMAC或HASH函數(shù)。

進(jìn)一步的，所述密鑰樹包括如下幾層密鑰：

主密鑰，主密鑰位于整個密鑰樹層次體系的最高層；

用戶密鑰，位于整個密鑰樹層次體系的第二層，由主密鑰加密保護(hù)，用于加密其下屬層分支節(jié)點密鑰；