[发明专利]一种增强密钥使用安全性的信息安全装置及其实现方法

说明书

技术领域

本发明涉及信息安全装置及其密钥管理技术，特别涉及一种能够对信息安全装置中的密钥进行使用管理的安全装置及其实现方法。

背景技术

电子商务改变了传统商务的运作模式，极大提高了商务效率并降低了交易成本，然而这样一个新的商务模式也同时面对着巨大的安全威胁。因此，在所有的电子商务应用中，安全都被作为最重要的因素进行考虑。目前电子商务最主要的安全隐患来自于客户端，例如用户所使用的电脑和运行于电脑上的软件，或者移动设备(如PDA)以及运行于其上的软件。因此，电子商务一般都要采取安全强度很高的身份认证手段，以在电子商务中确认用户的身份，防止假冒和欺诈。

在所有身份认证方式中，支持PKI(Public Key Infrastructure，公开密钥体系)的USB Key是最高级别的安全认证手段之一，通过存储在USB Key内部的数字证书和密钥，与服务器之间进行安全身份认证。在网上银行中，银行对采用USB Key作为身份认证手段的用户的交易不进行额度等方面的限制，认为这是极为可靠的安全方法。中国专利200410028723.9公布了一种用于网上银行交易安全的保护方法——《对网上银行数据进行加密、认证的装置和方法》，其特征在于，包括如下步骤：a)根据用户信息生成针对该用户的数字证书；b)将所述数字证书存入将要分配给该用户的USB KEY中；c)用户登陆网上银行用户进行数据处理时，通过所述USB KEY确认用户身份或数字签名。该发明还公开了一种利用USB KEY实现上述对网上银行数据进行加密、认证的装置。每一个USB KEY有一个唯一的序列号，并且私钥不能出内存，在确认用户身份后才进行网上交易。因此，发明人认为，该发明具有高度的保密性和安全性。

然而，USB Key有一个先天的弱点，就是其所有安全操作都必须在计算机的配合下完成，所有对USB Key的操作都是通过计算机(包括PDA等)完成的。由于用户所使用的计算机系统面临着各种各样的安全攻击，所以攻击者也完全可以通过计算机木马等手段来非法操作连接在USB接口上的设备并使用USB Key内部的数字证书和密钥。

为了防止对数字证书和密钥的非法使用，用户在使用密钥或者数字证书之前，通常会被要求输入一个PIN码以获得授权。USB Key在完成对PIN码的验证后，就会授予计算机对其中的密钥或数字证书的使用许可，这样计算机软件就可以调用USB Key中的密钥或数字证书完成信息安全功能，例如进行数字签名。

但是这种授权方式存在潜在的安全风险：在用户输入PIN码之后，USBKey就会允许对其中的密钥或数字证书进行访问，如果此后黑客利用木马也在用户的计算机上对密钥或数字证书进行访问，用户将无法觉察从而使攻击成功。例如，用户在使用网上银行进行交易后，未能及时将USB Key从计算机上拔出，这时候黑客就可能在用户的计算机上后台执行攻击程序，盗取用户的帐户金额。尽管计算机软件也可能在用户输入PIN后，使用完密钥或者数字证书就发出对USB Key的复位指令以使USB Key恢复到PIN码输入前的状态，但是木马很容易截获这样的复位指令从而使其失效，用计算机软件进行这样的管理是不可靠的。

其它验证方式如指纹验证、虹膜验证等与PIN码验证在面临此类攻击手段时，危险性是等同的。

总而言之，现有的USB Key信息安全装置由于未能对密钥或数字证书的使用进行安全的管理，而是采用验证通过后就赋予访问权限的方法，所以不能抵御后台攻击。

发明内容

本发明提出了一种在信息安全装置中增加密钥使用管理模块的方法，对密钥或者数字证书的使用进行显式的管理。通过将密钥或者数字证书与设定的安全策略相关联，就能够实现对密钥或数字证书使用授权的生命周期管理，强制约束密钥或数字证书的使用授权。

根据本发明的一个方面，提供一种增强密钥使用安全性的信息安全装置，其特征在于，该装置包括：

密钥使用管理模块，用于对密钥或者数字证书的使用进行管理。

通讯模块，用于与软件进行通讯。

根据本发明的一个方面，其特征还在于，密钥使用管理模块通过将密钥或者数字证书与设定的安全策略相关联，强制约束密钥或数字证书的使用授权。

根据本发明的一个方面，其特征还在于，所述安全策略对密钥或数字证书的使用授权进行规定，规定密钥或数字证书使用后进入或者保持的安全状态。

根据本发明的一个方面，其特征还在于，密钥使用管理模块对安全策略进行解析并强制执行安全策略。