[发明专利]密钥管理方法、装置及系统

权利要求书

1.一种密钥管理方法，应用于密钥管理网元，其特征在于，所述方法包括：

响应于密钥操作请求，在N个密文存储地址中，选择M个密文存储地址，其中，每一个密文存储地址用于从一个密钥分量管理网元获取一个密钥分量的密文，每一个密钥分量的密文为用所述密钥管理网元的公钥对相应密钥分量的明文加密得到，M为大于2且小于等于N的整数；

根据所述M个密文存储地址获取相应的M个密钥分量的密文，使用所述密钥管理网元的私钥分别对所述M个密钥分量的密文进行解密，得到M个密钥分量的明文，基于所述M个密钥分量的明文生成第一密钥，使用所述第一密钥以及所述第一密钥的标识ID执行相应的密钥操作。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收N个密钥分量管理网元发送的注册请求，每一个密钥分量管理网元发送的注册请求用于指示所述密钥分量管理网元存储有密钥分量的密文；

响应于所述N个密钥分量管理网元发送的注册请求，将所述N个密钥分量管理网元的地址信息作为所述N个密文存储地址存储起来；或者，将所述N个密钥分量的密文的序号作为所述N个密文存储地址，将所述N个密钥分量的密文的序号与所述N个密钥分量管理网元的地址信息对应存储起来。

3.根据权利要求2所述的方法，其特征在于，每一个密钥分量管理网元的地址信息包括在所述密钥分量管理网元发送的注册请求中。

4.根据权利要求2或3所述的方法，其特征在于，所述密钥分量管理网元的地址信息包括所述密钥分量管理网元的ID、所述密钥分量管理网元的统一资源定位符URL、所述密钥分量管理网元的文件传输协议FTP中任一种地址信息。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述方法还包括：

存储所述M个密文存储地址与所述第一密钥的ID之间的对应关系。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

确定更新所述第一密钥；从所述N个密文存储地址，选择K个密文存储地址，所述K为大于2且小于等于N的整数；

根据所述K个密文存储地址获取相应的K个密钥分量的密文，使用所述密钥管理网元的私钥分别对所述K个密钥分量的密文进行解密，得到K个密钥分量的明文，基于所述K个密钥分量的明文生成第二密钥；所述K个密钥分量的密文与所述M个密钥分量的密文不同；

使用所述第二密钥更新第一密文，所述第一密文为根据所述第一密钥以及所述第一密钥的ID对第一明文执行加密操作得到的密文，所述第一密文包括所述第一密钥的ID。

7.根据权利要求6所述的方法，其特征在于，所述K个密钥分量的密文与所述M个密钥分量的密文不同包括：

所述K与所述M不同；或者，

所述K与所述M相同或不同，所述K个密钥分量的密文的密文存储地址与所述M个密钥分量的密文的密文存储地址完全不同；或者，

所述K与所述M相同或不同，所述K个密钥分量的密文的密文存储地址与所述M个密钥分量的密文的密文存储地址部分或全部相同，同一密文存储地址对应的密钥分量的密文不同。

8.根据权利要求6或7所述的方法，其特征在于，所述使用所述第二密钥更新第一密文包括：根据所述第一密文包括的所述第一密钥的ID、以及所述M个密文存储地址与所述第一密钥的ID之间的对应关系，确定所述M个密文存储地址；

根据所述M个密文存储地址获取相应的M个密钥分量的密文，使用所述密钥管理网元的私钥分别对所述M个密钥分量的密文进行解密，得到M个密钥分量的明文，基于所述M个密钥分量的明文生成所述第一密钥，使用所述第一密钥对所述第一密文执行解密操作得到第一明文；

使用所述第二密钥、所述第二密钥的ID对所述第一明文执行加密操作得到第二密文。