[发明专利]基于身份认证的存储安全密钥管理方法

说明书

技术领域

本发明属于存储安全领域，涉及到信息安全管理技术，特别涉及到一种企业终端数据存储安全中的密钥管理方法。

背景技术

随着市场竞争的加剧和移动存储设备等信息技术的广泛使用，存储在企业内网中的机密信息受到来自外界的安全威胁，出现了大量信息泄密事件。内网终端存储安全管理越来越被各大企业和组织重视。目前，对于内网中的敏感数据的存储安全管理，主要是采取在应用系统层或操作系统内核层，对数据实施加密保护。在这个过程中，最主要的问题是密钥的安全管理，涉及密钥生成、密钥控制、密钥更新。

机密信息作为企业核心竞争力之一，它的安全关系到企业和组织的“生死存亡”。因此，机密信息的存储安全密钥管理应该考虑到一些极端安全事件的发生，如用户身份信息泄露或者机密信息保护密钥泄露，当这些极端安全事件发生时，系统仍能够确保机密信息无法被恶意窃取。同时，密钥管理和维护代价不应过大。

本发明提出了一种基于身份认证的存储安全密钥管理方法，有效解决上述问题。

发明内容

本发明要解决的技术问题是提供一种基于身份认证的存储安全密钥管理方法，采用两次保护验证的方法，授权特定用户访问机密信息。

本发明包括的各逻辑模块，与系统安全管理协调共同保护机密信息安全，具体包括：

(1)终端代理模块：运行在终端机上，提供安全操作的接口，管理客户端的密钥相关操作和用户身份认证请求。

(2)密钥管理中心模块：负责执行和管理密钥操作。

(3)数据保存模块：为密钥操作提供后台存储。

本发明的技术方案如下：

步骤1：设定系统参数

在身份认证前，根据来源于用户安全策略和系统上下文环境的安全条件，设定系统的主体(访问进程)和客体(访问数据)的安全级别，安全级别可以根据需要设定。

步骤2：根据上述设定的系统参数，安全管理系统生成用户信息和具有唯一性的终端存储设备信息。

步骤3：密钥生成

本发明涉及的密钥包括：系统主密钥、用户密钥(用户公钥和用户私钥)、终端存储密钥(终端存储公钥和终端存储私钥)、信息存储保护密钥。

系统主密钥：密钥管理中心任意选取随意数作为系统主密钥，存储在数据存储模块中，该密钥不对用户公开；

用户密钥：根据用户公钥(用户信息)，密钥管理中心生成用户私钥，并将用户私钥发送给用户终端代理模块，存储在用户的USB-KEY中；

终端存储密钥：根据安全管理系统认证的终端存储设备信息(终端存储公钥)，密钥管理中心生成终端存储私钥，存储在数据存储模块中，该密钥不对用户公开；

信息存储保护密钥：密钥管理中心任意选取随意数作为信息存储保护密钥，存储在数据存储模块中，该密钥不对用户公开。

在密钥生成过程中，用户的私钥存储在USB-KEY中，其安全性得到了保障。另外，为了封装终端上的信息存储保护密钥，密钥管理中心为系统中的每个注册终端生成了一对基于身份的公私钥，但是该私钥仅由密钥管理中心妥善保管，终端不可见，不会出现因终端设备的丢失而存储保护密钥被暴露的现象，确保了机密信息的安全。

步骤4：用户注册

用户在访问终端上机密信息前，需要进行用户注册，其具体步骤如下：

步骤4.1：用户向安全管理系统提交自己的身份信息，请求注册访问终端设备；

步骤4.2：安全管理系统审核用户身份信息，如果审核通过，就将用户身份信息加进访问终端用户列表中，将该表提交给密钥管理中心，访问终端用户列表保存在数据保存模块中。如果审核没有通过，退回申请；

步骤4.3：安全管理系统要求用户设置存储保护密码，该密码保存在密钥管理中心；

步骤4.4：密钥管理中心根据访问终端用户列表，利用列表中的用户公钥、终端存储私钥，生成存储保护密钥的封装信息；

步骤4.5：密钥管理中心将封装信息按照访问终端用户列表顺序返回给安全管理系统，保存在数据保存模块。

步骤5：用户登录

用户登录，申请访问终端上的机密信息，其具体步骤如下：

步骤5.1：用户在终端插入存有用户私钥的USB-KEY，并输入用户身份信息，向密钥管理中心提交自己的身份信息；

步骤5.2：密钥管理中心进行第一次身份验证，根据用户的身份信息计算其对应私钥，比对用户USB-KEY中的私钥信息；

步骤5.3：验证通过后，密钥管理中心查询用户信息是否在访问终端用户列表中信息；如果通过验证则进入下一步，如果没有通过验证则返回步骤4进行注册；