[發明專利]一種基于門限的分布式密鑰管理方法

在審

• 申請號: 202110426782.5
• 申請日: 2021-04-20
• 公開（公告）號: CN113037483A
• 公開（公告）日: 2021-06-25
• 發明（設計）人: 王敏;程濤木;王可鋒;師軻;何潤忱;李潔
• 申請（專利權）人: 重慶九格慧科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 重慶壹手知專利代理事務所(普通合伙) 50267
• 代理人: 劉軍

1.一種基于門限的分布式密鑰管理方法，其特征在于：該方法具體包括如下步驟：

步驟一：密鑰生成包括根密鑰、司法取證密鑰、存取密鑰、設備密鑰、客戶密鑰生成，根密鑰、司法取證密鑰分別存放到USBKEY中，存取密鑰、設備密鑰、客戶密鑰分別存放到密鑰原始庫；

步驟二：密鑰請求處理由客戶端主動發起，客戶端通過通信模塊將密鑰請求發送到服務器端的系統管理模塊，由系統管理模塊確認請求，然后將請求傳輸給密鑰管理模塊，密鑰管理模塊對相應的請求進行處理，處理完后把結果信息返回給系統管理模塊，再由系統管理模塊返回給客戶端，當密鑰下發時，產生一個會話密鑰，加密客戶密鑰，再用設備密鑰加密會話密鑰，同其它處理后信息一起返回給系統管理模塊，由系統管理發送給客戶端，客戶端收到處理結果后返回回執信息；

步驟三：根密鑰備份與恢復、司法取證密鑰備份與恢復，涉及到對USBKEY的讀取與寫入數據操作，對USBKEY中數據的讀取與寫入，由專門的函數實現；

步驟四：密鑰補充是系統周期性檢查密鑰原始庫，根據密鑰補充參數，生成一定數量的密鑰存儲于數據庫中，密鑰補充包括設備密鑰補充、客戶密鑰補充；

步驟五：密鑰更新是系統定期檢查密鑰在用庫，手動更新處于過期或是泄密狀態的密鑰，導出并存儲到密鑰歷史庫中，并把狀態置為銷毀或是失密銷毀狀態，密鑰更新包括存取密鑰更新、設備密鑰更新、客戶密鑰更新；

步驟六：密鑰歸檔是系統周期性檢查客戶密鑰歷史庫中處于銷毀或失密銷毀狀態的密鑰，導出并存儲到外部介質，如光盤、磁盤等，供司法取證時使用；

步驟七：司法取證時密鑰恢復，根據密鑰ID，從外部介質中導出密鑰，為司法機關提供密鑰，恢復數據；

步驟八：密碼引擎統一封裝加解密操作，為其他模塊的密碼操作提供支撐接口；

步驟九：密鑰監視器包括監視密鑰狀態、容錯處理、記錄主要操作信息、返回錯誤信息等，當有密鑰請求時，自動啟動監視器，對生成密鑰進行登記，并跟蹤密鑰的狀態，開啟容錯處理功能，記錄訪問權限、操作信息、出錯信息，發送給系統模塊記錄、存儲及查詢，密鑰處理完成后，自動關閉監視器。

2.根據權利要求1所述的一種基于門限的分布式密鑰管理方法，其特征在于：所述步驟一中，密鑰操作管理包括三個層次，分別為一級密鑰、二級密鑰和三級密鑰。

3.根據權利要求2所述的一種基于門限的分布式密鑰管理方法，其特征在于：所述一級密鑰包括根密鑰、司法取證密鑰，是最上層的重要密鑰，根密鑰主要負責對設備密鑰的加密，設備密鑰在用庫、歷史庫都使用根密鑰進行加解密操作，為了保證根密鑰的安全性，根密鑰存儲在USBKEY中，并備份到另一個USBKEY中，司法取證密鑰用于密鑰歸檔時對密鑰的加密，司法取證時，需要從外部存儲介質中恢復密鑰，同時使用司法取證密鑰解密密鑰，得到密鑰的明文，司法取證密鑰存儲于USBKEY中，并備份到另一個USBKEY。

4.根據權利要求2所述的一種基于門限的分布式密鑰管理方法，其特征在于：所述二級密鑰包括存取密鑰、設備密鑰和會話密鑰，存取密鑰用于加解密存放在客戶密鑰在用庫中的密鑰，設備密鑰為RSA密鑰，公鑰存放于服務器端，用于驗證客戶ID信息和加密會話密鑰，私鑰存放于客戶USBK中，用于簽名和解密會話密鑰，會話密鑰用在密鑰分發時，加密發送給客戶的密鑰，服務器通過Portal的形式，將設備密鑰的私鑰及客戶ID信息，分發給客戶端，客戶接收后存入USBKEY中，與此同時，將設備密鑰的公鑰存儲到設備密鑰在用庫，并把狀態置為保護與處理狀態，客戶用設備密鑰的私鑰簽名客戶ID信息，發送至服務器進行認證，當客戶身份合法時，才可進行密鑰申請，服務器每次下發客戶密鑰都將產生會話密鑰，會話密鑰加密分發給客戶的密鑰，然后根據用戶ID信息，從設備密鑰在用庫中獲取相對應的設備密鑰公鑰，加密會話密鑰，然后將會話密鑰的密文和客戶密鑰的密文一起經由系統管理模塊分發至客戶端，客戶端收到數據包后，用相應設備密鑰私鑰解密會話密鑰，得到會話密鑰的明文，再用會話密鑰解密客戶密鑰，得到客戶密鑰的明文，每次分發密鑰時，都會產生一個會話密鑰。

5.根據權利要求2所述的一種基于門限的分布式密鑰管理方法，其特征在于：所述三級密鑰客戶密鑰，即最終分發給客戶使用的密鑰，客戶可以通過發送請求，主動請求服務器對密鑰的管理，包括狀態的轉換、密鑰信息的查詢等。