CN110233723A - 一种二级密钥管理方法和安全芯片 - Google Patents

Abstract

本发明提供了数据安全领域的一种二级密钥管理方法，包括步骤S10、创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；步骤S20、创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；步骤S30、依据所述权限对一级存储区以及二级存储区进行管理。本发明的优点在于：实现了对密钥的分级管理，进而提升设备的安全性以及业务开展的灵活性。

Description

一种二级密钥管理方法和安全芯片

技术领域

本发明涉及数据安全领域，特别指一种二级密钥管理方法和安全芯片。

背景技术

密钥(Ukey/令牌)是整个加密体系的核心，是用于身份认证的电子钥匙，密钥可以存储在大脑、磁条卡、智能卡、设备内存中，加密的安全性实际上是依赖于密钥实现的。随着科技的发展，密钥被广泛的应用于各行各业之中。

但是，传统的Ukey一般由某个机构统一发放，仅支持简单的数据加密、解密、签名以及验签的功能，且传统的Ukey是一个独立的设备，需要进行身份认证时才将Ukey插入目标设备中，Ukey与目标设备之间并未形成固定的绑定关系。随着应用场景的多样化，传统的Ukey在特定场景下已无法胜任，例如无法对使用Ukey的设备进行分级管理，分别设置不同的权限，以便更好的开展业务。

因此，如何提供一种支持分级管理的安全芯片以及密钥管理方法，满足特定场景下的安全需求，成为一个亟待解决的问题。

发明内容

本发明要解决的技术问题之一，在于提供一种二级密钥管理方法，实现对密钥的分级管理，进而提升设备的安全性以及业务开展的灵活性。

本发明是这样实现技术问题之一的：一种二级密钥管理方法，所述方法包括如下步骤：

步骤S10、创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；

步骤S20、创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

步骤S30、依据所述权限对一级存储区以及二级存储区进行管理。

进一步地，所述步骤S20具体包括：

步骤S21、创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

步骤S22、设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

进一步地，所述步骤S21具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。

进一步地，所述步骤S30具体为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。

本发明要解决的技术问题之二，在于提供一种二级密钥管理方法，实现对密钥的分级管理，进而提升设备的安全性以及业务开展的灵活性。

本发明是这样实现技术问题之二的：一种二级密钥管理安全芯片，所述安全芯片包括如下模块：

存储区创建模块、用于创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；

入口管理密钥创建模块、用于创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

存储区管理模块、用于依据所述权限对一级存储区以及二级存储区进行管理。

进一步地，所述入口管理密钥创建模块具体包括：

入口管理密钥创建单元、用于创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

权限设置单元、用于设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

进一步地，所述入口管理密钥创建单元具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。

进一步地，所述步骤存储区管理模块为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。

本发明的优点在于：通过对安全芯片的一级存储区以及二级存储区的一级入口管理密钥以及二级入口管理密钥进行分级管理，即一级入口管理密钥管理一级存储区的数据、第一密钥以及二级入口管理密钥，二级入口管理密钥管理二级存储区的数据、第二密钥，实现拥有一级入口管理密钥的中心机构对所有集成该安全芯片的设备进行统一管理和控制，拥有二级入口管理密钥的分支机构能够依据自身业务的需求调整二级存储区存储的数据。

附图说明

下面参照附图结合实施例对本发明作进一步的说明。

图1是本发明一种二级密钥管理方法的流程图。

图2是本发明一种二级密钥管理安全芯片的二级管理示意图。

具体实施方式

请参照图1至图2所示，本发明一种二级密钥管理方法的较佳实施例，包括如下步骤：

步骤S10、创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；所述一级存储区与二级存储区相互独立存储与使用；所述第一数据、第二数据、第一密钥以及第二密钥通过指令进行调用；

步骤S20、创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

步骤S30、依据所述权限对一级存储区以及二级存储区进行管理。

所述步骤S20具体包括：

步骤S21、创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

步骤S22、设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

所述步骤S21具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。例如设置第一次数为3次，设置第二次数为10次，连续3次或累计10次认证失败即进行锁定。

所述步骤S30具体为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。

本发明一种二级密钥管理安全芯片的较佳实施例之一，包括如下模块：

存储区创建模块、用于创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；所述一级存储区与二级存储区相互独立存储与使用；所述第一数据、第二数据、第一密钥以及第二密钥通过指令进行调用；指令的格式至少包括存储区的区号、数据段号、密钥号等必备要素；

入口管理密钥创建模块、用于创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

存储区管理模块、用于依据所述权限对一级存储区以及二级存储区进行管理。

进一步地，所述入口管理密钥创建模块具体包括：

入口管理密钥创建单元、用于创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

权限设置单元、用于设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

进一步地，所述入口管理密钥创建单元具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。例如设置第一次数为3次，设置第二次数为10次，连续3次或累计10次认证失败即进行锁定。

进一步地，所述步骤存储区管理模块为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。

安全芯片是一种硬件产品，集成了密钥管理、密码算法等功能，具有安全性好、防攻击能力强的特点，是金融、政务、公安、商业等行业保护数据通讯和存储安全的基础性设施。安全芯片把敏感数据、密钥以及密码算法包装成一个黑箱，外部只能根据接口规范输入数据并在各级密钥的严格控制下获取可读数据或调用相关加解密及数字签名验签功能，最终通过输出获得运算结果。而对于安全芯片内部的敏感数据、保护密钥及密码算法，外部无法进行窥测、窃取和破坏。安全芯片的安全性体现在既能让用户获得授权范围内的数据操作功能和密码运算功能，又能防止用户非法获取授权范围之外的机密和能力。

本发明的一种二级密钥管理安全芯片通过主板焊接的方式与设备进行绑定，构成该设备的标识特征，具有同Ukey同等级别的数据保护、算法加速、防攻击的基础设施。

本发明一种二级密钥管理安全芯片的较佳实施例之二：

公司A生产的内置一种二级密钥管理安全芯片的安全认证设备D。管理安全认证设备D的机构B的总部统一对安全认证设备D进行安全芯片初始化灌装，设置一级存储区的一级入口管理密钥，并在一级存储区中写入机构B的代号以及总部通讯专用密钥，并预设了二级存储区的二级入口管理密钥。在将初始化灌装后的安全认证设备D移交给机构B的各省分支机构时，将二级入口管理密钥告知分支机构。分支机构可通过二级入口管理密钥在二级存储区中写入分支机构的信息、业务代号和其他应用密钥，并开展各种业务应用。

由于分级权限管理机制，分支机构可以读取安全认证设备D中一级存储区中的机构B的代号，并使用总部通讯专用密钥直接与总部进行数据交换。但是分支机构无法对一级存储区内存储的代号以及总部通讯专用密钥进行修改，保证了安全认证设备D无法改头换面后拿到机构B之外使用。而分支机构掌握着二级入口管理密钥，随时可以修改二级存储区内的数据，从而方便地在本分支机构范围内更改重置安全认证设备D以开展各种不同的业务应用。

综上所述，本发明的优点在于：通过对安全芯片的一级存储区以及二级存储区的一级入口管理密钥以及二级入口管理密钥进行分级管理，即一级入口管理密钥管理一级存储区的数据、第一密钥以及二级入口管理密钥，二级入口管理密钥管理二级存储区的数据、第二密钥，实现拥有一级入口管理密钥的中心机构对所有集成该安全芯片的设备进行统一管理和控制，拥有二级入口管理密钥的分支机构能够依据自身业务的需求调整二级存储区存储的数据。

虽然以上描述了本发明的具体实施方式，但是熟悉本技术领域的技术人员应当理解，我们所描述的具体的实施例只是说明性的，而不是用于对本发明的范围的限定，熟悉本领域的技术人员在依照本发明的精神所作的等效的修饰以及变化，都应当涵盖在本发明的权利要求所保护的范围内。

Claims (8)

1.一种二级密钥管理方法，其特征在于：所述方法包括如下步骤：

步骤S10、创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；

步骤S20、创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

步骤S30、依据所述权限对一级存储区以及二级存储区进行管理。

2.如权利要求1所述的一种二级密钥管理方法，其特征在于：所述步骤S20具体包括：

步骤S21、创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

步骤S22、设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

3.如权利要求2所述的一种二级密钥管理方法，其特征在于：所述步骤S21具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。

4.如权利要求2所述的一种二级密钥管理方法，其特征在于：所述步骤S30具体为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。

5.一种二级密钥管理安全芯片，其特征在于：所述安全芯片包括如下模块：

存储区创建模块、用于创建一一级存储区以及一二级存储区；所述一级存储区用于存储第一数据以及第一密钥，所述二级存储区用于存储第二数据以及第二密钥；

入口管理密钥创建模块、用于创建一一级入口管理密钥以及一二级入口管理密钥，并设置所述一级入口管理密钥以及二级入口管理密钥的权限；

存储区管理模块、用于依据所述权限对一级存储区以及二级存储区进行管理。

6.如权利要求5所述的一种二级密钥管理安全芯片，其特征在于：所述入口管理密钥创建模块具体包括：

入口管理密钥创建单元、用于创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥；

权限设置单元、用于设置所述一级入口管理密钥的权限为管理一级存储区的访问权、第一数据、第一密钥以及二级入口管理密钥的使用权；设置所述二级入口管理密钥的权限为管理二级存储区的访问权、第二数据以及第二密钥的使用权。

7.如权利要求6所述的一种二级密钥管理安全芯片，其特征在于：所述入口管理密钥创建单元具体为：

创建一一级存储区的一级入口管理密钥以及一二级存储区的二级入口管理密钥，并设置一第一次数以及一第二次数；当对所述一级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述一级存储区以及二级存储区；当对所述二级入口管理密钥进行重新设置时，若身份认证连续失败第一次数或者身份认证累计失败第二次数，则永久锁定所述二级存储区。

8.如权利要求6所述的一种二级密钥管理安全芯片，其特征在于：所述步骤存储区管理模块为：

依据所述一级入口管理密钥的权限对一级存储区的访问权、第一数据的使用权、第一密钥的使用权以及二级入口管理密钥的使用权进行管理；

依据所述二级入口管理密钥的权限对二级存储区的访问权、第二数据的使用权、第二密钥的使用权进行管理。