一種密碼設備安全管理方法
【技術領域】
[0001]本發明涉及一種密碼設備安全管理方法。
【背景技術】
[0002]目前有眾多的硬件廠商生產了各種密碼設備，通過提供加解密功能來幫助用戶提升用戶信息數據的安全性。但是加密解密的密鑰如何管理直接關系到用戶數據的安全性。
[0003]因此，現有技術有待于改進。
【發明內容】
[0004]本發明為了解決現有技術的不足，提供一種密碼設備安全管理方法，實現一種設備的安全管理方法來保證用戶數據的安全性。
[0005]為解決上述技術問題，本發明實施例提供的一種密碼設備安全管理方法，采用如下技術方案:
一種密碼設備安全管理方法，其特征在于，包括如下步驟:
51:采用兩級權限管理機制和四級密鑰管理機制；
52:用戶權限分為管理員權限和操作員權限，四級密鑰管理機制分為保護密鑰、設備密鑰、用戶密鑰和密鑰加密密鑰、會話密鑰；
53:復位密碼設備密鑰存儲區和用戶數據存儲區，置密碼卡為出廠狀態；
54:檢查密碼設備是否處于出廠狀態，不是就做密碼設備復位；
55:初始化管理員，建立管理員和密碼設備的認證關系。根據提示連續創建三個管理員；
56:登陸兩個管理員獲取管理員權限，創建至少一個操作員；
57:在管理員權限下，創建設備密鑰。在密碼設備內部ram中生成保護密鑰，用保護密鑰加密設備密鑰后，保存設備密鑰到密碼設備中；使用(2，3)門限算法，分散保護密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中；
58:在管理員權限下創建用戶密鑰和密鑰加密密鑰，使用設備密鑰加密后，保存到密碼設備中；
59:密鑰備份，在管理員權限下使用(2，3)門限算法恢復保護密鑰，解密出設備密鑰，再使用設備密鑰解密出用戶密鑰和密鑰加密密鑰，生成備份恢復密鑰，加密設備密鑰、用戶密鑰和密鑰加密密鑰，再導出給用戶，使用(2，3)門限分散備份恢復密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中；
SlO:密鑰恢復，在管理員權限下依次讀取兩個管理員KEY中備份恢復密鑰分量，使用(2，3)門限算法恢復出備份恢復密鑰，并使用備份恢復密鑰解密解密出密文狀態的設備密鑰、用戶密鑰和密鑰加密密鑰，使用設備密鑰加密用戶密鑰和密鑰加密密鑰，并保存到設備中，使用(2，3)計算出保護密鑰，使用保護密鑰加密設備密鑰，并保存到設備中。
[0006]具體地，設備密鑰對分為加密密鑰對和簽名密鑰對兩對SM2密鑰對，用于實現數字簽名驗證、數據加密解密等功能，其中私鑰受私鑰訪問控制碼的控制。
[0007]具體地，每一組用戶密鑰分為一對加密密鑰和一對簽名密鑰，其中私鑰必須受私鑰訪問控制碼的控制，用戶密鑰受設備密鑰加密保護。
[0008]具體地，密鑰加密密鑰KEY用于實現對會話密鑰的保護，KEY受設備密鑰加密保護。
[0009]具體地，會話密鑰只存儲在密碼卡內存中，掉電會丟失。
[0010]具體地，設備密鑰、用戶密鑰及密鑰加密密鑰備份時，需要使用備份恢復密鑰加密后導出；設備密鑰、用戶密鑰及密鑰加密密鑰恢復時，需要使用備份恢復密鑰導入后解密。
[0011]本發明提供的一種密碼設備安全管理方法，采用兩級權限管理機制和四級密鑰管理機制保證設備內數據的安全性。
【附圖說明】
[0012]圖1為本發明實施例所述的一種密碼設備安全管理方法的步驟示意圖。
【具體實施方式】
[0013]下面結合附圖對本發明實施例提供給的密碼設備安全管理方法進行詳細描述。
[0014]如圖1所示，本發明實施例提供的一種密碼設備安全管理方法，其特征在于，包括如下步驟:
51:采用兩級權限管理機制和四級密鑰管理機制；
52:用戶權限分為管理員權限和操作員權限，四級密鑰管理機制分為保護密鑰、設備密鑰、用戶密鑰和密鑰加密密鑰、會話密鑰；
53:復位密碼設備密鑰存儲區和用戶數據存儲區，置密碼卡為出廠狀態；
54:檢查密碼設備是否處于出廠狀態，不是就做密碼設備復位；
55:初始化管理員，建立管理員和密碼設備的認證關系。根據提示連續創建三個管理員；
56:登陸兩個管理員獲取管理員權限，創建至少一個操作員；
57:在管理員權限下，創建設備密鑰。在密碼設備內部ram中生成保護密鑰，用保護密鑰加密設備密鑰后，保存設備密鑰到密碼設備中；使用(2，3)門限算法，分散保護密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中；
58:在管理員權限下創建用戶密鑰和密鑰加密密鑰，使用設備密鑰加密后，保存到密碼設備中；
59:密鑰備份，在管理員權限下使用(2，3)門限算法恢復保護密鑰，解密出設備密鑰，再使用設備密鑰解密出用戶密鑰和密鑰加密密鑰，生成備份恢復密鑰，加密設備密鑰、用戶密鑰和密鑰加密密鑰，再導出給用戶，使用(2，3)門限分散備份恢復密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中；
SlO:密鑰恢復，在管理員權限下依次讀取兩個管理員KEY中備份恢復密鑰分量，使用(2，3)門限算法恢復出備份恢復密鑰，并使用備份恢復密鑰解密解密出密文狀態的設備密鑰、用戶密鑰和密鑰加密密鑰，使用設備密鑰加密用戶密鑰和密鑰加密密鑰，并保存到設備中，使用(2，3)計算出保護密鑰，使用保護密鑰加密設備密鑰，并保存到設備中。
[0015]具體地，設備密鑰對分為加密密鑰對和簽名密鑰對兩對SM2密鑰對，用于實現數字簽名驗證、數據加密解密等功能，其中私鑰受私鑰訪問控制碼的控制。
[0016]具體地，每一組用戶密鑰分為一對加密密鑰和一對簽名密鑰，其中私鑰必須受私鑰訪問控制碼的控制，用戶密鑰受設備密鑰加密保護。
[0017]具體地，密鑰加密密鑰KEY用于實現對會話密鑰的保護，KEY受設備密鑰加密保護。
[0018]具體地，會話密鑰只存儲在密碼卡內存中，掉電會丟失。
[0019]具體地，設備密鑰、用戶密鑰及密鑰加密密鑰備份時，需要使用備份恢復密鑰加密后導出；設備密鑰、用戶密鑰及密鑰加密密鑰恢復時，需要使用備份恢復密鑰導入后解密。
[0020]本發明提供的一種密碼設備安全管理方法，采用兩級權限管理機制和四級密鑰管理機制保證設備內數據的安全性。
[0021]以上所述，僅為本發明的【具體實施方式】，但本發明的保護范圍并不局限于此，任何熟悉本技術領域的技術人員在本發明揭露的技術范圍內，可輕易想到變化或替換，都應涵蓋在本發明的保護范圍之內。因此，本發明的保護范圍應所述以權利要求的保護范圍為準。
【主權項】
1.一種密碼設備安全管理方法，其特征在于，包括如下步驟: S1:采用兩級權限管理機制和四級密鑰管理機制； 52:用戶權限分為管理員權限和操作員權限，四級密鑰管理機制分為保護密鑰、設備密鑰、用戶密鑰和密鑰加密密鑰、會話密鑰； 53:復位密碼設備密鑰存儲區和用戶數據存儲區，置密碼卡為出廠狀態； 54:檢查密碼設備是否處于出廠狀態，不是就做密碼設備復位； 55:初始化管理員，建立管理員和密碼設備的認證關系，根據提示連續創建三個管理員； 56:登陸兩個管理員獲取管理員權限，創建至少一個操作員； 57:在管理員權限下，創建設備密鑰，在密碼設備內部ram中生成保護密鑰，用保護密鑰加密設備密鑰后，保存設備密鑰到密碼設備中；使用(2，3)門限算法，分散保護密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中； 58:在管理員權限下創建用戶密鑰和密鑰加密密鑰，使用設備密鑰加密后，保存到密碼設備中； 59:密鑰備份，在管理員權限下使用(2，3)門限算法恢復保護密鑰，解密出設備密鑰，再使用設備密鑰解密出用戶密鑰和密鑰加密密鑰，生成備份恢復密鑰，加密設備密鑰、用戶密鑰和密鑰加密密鑰，再導出給用戶，使用(2，3)門限分散備份恢復密鑰為3個密鑰碎片，分別保存到三個管理員對應的KEY中； SlO:密鑰恢復，在管理員權限下依次讀取兩個管理員KEY中備份恢復密鑰分量，使用(2，3)門限算法恢復出備份恢復密鑰，并使用備份恢復密鑰解密解密出密文狀態的設備密鑰、用戶密鑰和密鑰加密密鑰，使用設備密鑰加密用戶密鑰和密鑰加密密鑰，并保存到設備中，使用(2，3)計算出保護密鑰，使用保護密鑰加密設備密鑰，并保存到設備中。2.根據權利要求1所述的密碼設備安全管理方法，其特征在于，設備密鑰對分為加密密鑰對和簽名密鑰對兩對SM2密鑰對，用于實現數字簽名驗證、數據加密解密等功能，其中私鑰受私鑰訪問控制碼的控制。3.根據權利要求1所述的密碼設備安全管理方法，其特征在于，每一組用戶密鑰分為一對加密密鑰和一對簽名密鑰，其中私鑰必須受私鑰訪問控制碼的控制，用戶密鑰受設備密鑰加密保護。4.根據權利要求1所述的密碼設備安全管理方法，其特征在于，密鑰加密密鑰KEY用于實現對會話密鑰的保護，KEY受設備密鑰加密保護。5.根據權利要求1所述的密碼設備安全管理方法，其特征在于，會話密鑰只存儲在密碼卡內存中，掉電會丟失。6.根據權利要求1所述的密碼設備安全管理方法，其特征在于，設備密鑰、用戶密鑰及密鑰加密密鑰備份時，需要使用備份恢復密鑰加密后導出；設備密鑰、用戶密鑰及密鑰加密密鑰恢復時，需要使用備份恢復密鑰導入后解密。
【專利摘要】本發明公開了一種密碼設備安全管理方法，本發明采用兩級權限管理機制和四級密鑰管理機制保證設備內數據的安全性，兩級權限管理機制：用戶權限分為管理員權限和操作員權限。管理員權限可以對密碼設備進行管理配置；而操作員權限只能對密碼卡提供的標準接口進行調用操作。本安全管理方法支持3個管理員，只有在2個以上管理員登陸的情況下，才能獲取管理員權限；四級密鑰管理機制：保護密鑰、設備密鑰、用戶密鑰和密鑰加密密鑰、會話密鑰。為了保護私鑰的安全性，使用私鑰訪問控制碼控制對私鑰的訪問。為了保證密鑰備份、恢復的安全性，使用了備份恢復密鑰。本發明采用兩級權限管理機制和四級密鑰管理機制保證設備內數據的安全性。
【IPC分類】H04L9/08
【公開號】CN105656621
【申請號】
【發明人】蔣斐, 劉海剛
【申請人】江蘇威盾網絡科技有限公司
【公開日】2016年6月8日
【申請日】2014年11月12日