[发明专利]数据加密密钥的管理方法、系统及终端

说明书

技术领域

本发明实施例涉及信息安全领域，并且更具体地，涉及一种数据加密密钥的管理方法及系统、加密业务管理系统和终端。

背景技术

云计算是信息技术发展历程的一次革命，其特点是计算和存储资源动态可配，提高了资源的使用效率，同时便于资源的统一管理。但是，在云计算场景中，用户将计算和存储资源搬迁到运营商提供的云计算服务器上，丧失了对其数据的安全控制，会导致数据安全问题的产生。例如，管理员可以挂接任意用户的虚拟磁盘，偷窥用户隐私。

为提高云中数据的安全性，运营商提供了对云中数据的加密方案。该加密方案使用对称加密方式对用户数据进行加密，同时使用电子密钥（例如，可以是Ukey）对数据加密密钥进行保护。电子密钥采用的是非对称加密方式，即通过电子密钥证书中的公私钥对数据加密密钥加密进行加解密，可增强数据加密密钥的安全性。

证书颁发机构（CA，Certificate Authority）中存储了电子密钥证书的公私钥。当用户的电子密钥丢失时，用户首先需要向CA申请新电子密钥；在CA验证用户身份后，用户的加密系统通过与CA之间的定制接口取回丢失的电子密钥证书以及CA颁发的新电子密钥的证书，接着使用丢失的电子密钥证书中的私钥解密数据加密密钥（该数据加密密钥通过丢失的电子密钥证书的公钥进行了加密保护），再通过新电子密钥证书的公钥对该数据加密密钥重新进行加密保护。

利用上述加密方案，企业需修改企业已有CA的接口以便与上述数据加密系统对接，或者重新购买满足上述功能的CA，会出现CA重复投资问题，且加密业务独立性差，云服务提供商需要跟各个企业的CA进行对接。

发明内容

本发明实施例提供了一种数据加密密钥的管理方法、系统及终端，以避免CA的重复投资问题，并增强加密业务的独立性。

第一方面，提供一种数据加密密钥的管理方法，包括：接收第一终端发送的数据加密密钥托管请求，其中所述数据加密密钥托管请求携带第一密钥，所述第一密钥通过使用第二公钥加密第三密钥而获得，所述第二公钥为加密机的公钥，所述第三密钥为所述第一终端的数据的加密密钥；存储所述第一密钥。

结合第一方面，在第一方面的一种实现方式中，还包括：接收请求所述数据的加密密钥的终端发送的请求，所述请求包括所述终端的电子密钥证书的公钥；通过所述加密机使用所述电子密钥证书的公钥对所述第三密钥进行加密；将加密后的所述第三密钥发送给所述终端。

结合第一方面或其上述实现方式，在第一方面的另一种实现方式中，在接收第一终端发送的数据加密密钥托管请求之前，还包括：接收所述第一终端发送的数据加密密钥请求，其中所述数据加密密钥请求携带第四公钥，所述第四公钥为所述第一终端的电子密钥证书的公钥；向所述加密机发送所述第四公钥；接收所述加密机发送的第五密钥，所述第五密钥通过所述加密机生成所述第三密钥后使用所述第四公钥加密所述第三密钥而获得；向所述第一终端发送所述第五密钥，以便所述第一终端使用第四私钥解密所述第五密钥得到所述第三密钥，其中所述第四私钥为所述第一终端的电子密钥证书的私钥。

结合第一方面或其上述实现方式中的任一种，在第一方面的另一种实现方式中，所述接收请求所述数据的加密密钥的终端发送的请求，包括：接收第二终端发送的用于访问所述第一终端数据的访问请求，其中所述访问请求中携带第六公钥，所述第六公钥为所述第二终端的电子密钥证书的公钥，所述数据为共享数据；所述通过所述加密机使用所述电子密钥证书的公钥对所述第三密钥进行加密，包括：向所述加密机发送所述第一密钥以及所述第六公钥，以便所述加密机使用第二私钥解密所述第一密钥以获得所述第三密钥，并使用所述第六公钥加密所述第三密钥生成第七密钥，其中所述第二私钥为所述加密机的私钥；接收所述加密机发送的所述第七密钥；所述将加密后的所述第三密钥发送给所述终端，包括：向所述第二终端发送所述第七密钥，以便所述第二终端使用第六私钥解密所述第七密钥而获得所述第三密钥，其中所述第六私钥为所述第二终端的电子密钥证书的私钥。