[发明专利]一种终端主密钥的在线管理方法及系统

说明书

本发明实施例公开了一种终端主密钥的在线管理方法及系统，所述方法包括：将终端在密钥管理后台中注册；密钥管理后台响应密钥申请向终端分发公钥；终端生成加密密钥，并使用公钥加密获得加密密钥密文；密钥管理后台使用私钥解密加密密钥密文获得加密密钥并存储；密钥管理后台使用加密密钥对称加密终端主密钥获得主密钥密文；终端使用加密密钥解密主密钥密文获得终端主密钥并存储。采用在线获取终端主密钥的方式，有效减少人力投入，且无需采用离线安全设备，大大降低了人力资源成本和设备采购成本，通过非对称加密方式以及生成加密密钥随机数的方式，有效的增强了主密钥管理过程中的安全性。

技术领域

本发明实施例涉及信息安全技术领域，具体涉及一种终端主密钥在线管理方法及系统。

背景技术

众所周知，银行广泛使用各种类型的终端设备来完成金融交易，例如柜台密码键盘、POS、ATM等，每台终端内都存放了一定数量的终端密钥，终端密钥主要用于保护客户密码等敏感信息以及数据传输的安全性，通过主密钥/工作密钥体系来实现，工作密钥也称为数据密钥，主要是用于加密传输数据，包括PIN密钥(TerminalPIN encryptionKey，TPK，用于加密个人银行卡密码PIN)、MAC密钥(TerminalAdministrative Key，TAK，用于计算校验信息认证代码MAC)等，需要经常性的定期更换，终端主密钥(Zone MasterKey，ZMK)位于工作密钥的上层，主要是用于加密下一层次的工作密钥，保证工作密钥在传输线路上的安全性。随着各种终端设备数量的急速增长，终端密钥的安全性管理问题日益突出，如何高效的对大量的终端密钥进行一机一密安全管理，成为很多银行急待解决的问题。

目前终端主密钥的获取主要采用两种通用的做法：(1)在终端设备出厂时使用统一的出厂密钥，在终端接入银行密钥系统进行初始化时再下载更新主密钥，此种方式存在主密钥泄露的安全风险；(2)在终端设备接入银行密钥系统前，采用安全设备从密钥系统中获取主密钥然后再通过线下的方式注入到终端中，但此方式大大增加了人工成本以及安全设备的投入成本。

发明内容

为此，本发明实施例提供一种终端主密钥的在线管理方法及系统，以解决现有的终端主密钥获取方式存在的安全风险高、人工以及设备投入成本高的问题。

为了实现上述目的，本发明实施例提供如下技术方案：

根据本发明实施例的第一方面，提出了一种终端主密钥的在线管理方法，所述方法包括：

使用终端的唯一标识信息将所述终端在密钥管理后台中进行注册，所述密钥管理后台中存储有非对称加密的公钥和私钥对；

所述终端向密钥管理后台发起在线密钥申请，密钥管理后台响应所述密钥申请向所述终端分发预存储的公钥，所述终端接收所述公钥并进行存储；

所述终端生成加密密钥并存储，并使用所述公钥加密所述加密密钥获得加密密钥密文；

所述终端将所述加密密钥密文发送至密钥管理后台，密钥管理后台使用与所述公钥匹配的私钥解密所述加密密钥密文获得所述加密密钥并存储；

所述密钥管理后台生成并分发终端主密钥，并使用所述加密密钥对称加密所述终端主密钥获得主密钥密文；

所述密钥管理平台将所述主密钥密文发送至所述终端，所述终端使用所述加密密钥解密所述主密钥密文获得所述终端主密钥并存储。

进一步地，所述密钥管理后台中存储非对称加密的公钥和私钥对，还包括：

对所述公钥和私钥对进行定期更新。

进一步地，所述密钥管理后台中存储非对称加密的公钥和私钥对，还包括：

采用SM2非对称加密算法获得所述公钥和私钥对。

进一步地，所述使用所述加密密钥对称加密所述终端主密钥获得主密钥密文，还包括：