[发明专利]一种密钥管理系统

说明书

本发明公开了一种密钥管理系统，该系统包括：密钥管理服务器、Linux嵌入式的业务处理设备和设置在其中的加密卡；密钥管理服务器，用于产生签名公私钥对、加密公私钥对和存储密钥，保存并通过设备公私钥对的公钥加密后发送至加密卡；还用于根据导入申请重新发送；所述加密卡，用于对收到的签名公私钥对、加密公私钥对和存储密钥存储，用于根据业务处理设备的业务请求，分别生成文件密钥、存储密钥、会话密钥或密钥加密密钥存储并发送；用于对存储的密钥进行更新、恢复和销毁；还用于在出厂时生成设备公私钥对；业务处理设备，用于接收其他终端的业务请求向加密卡发送接收加密卡相应业务密钥并发送至相应终端；还用于进行密码算法的自检。

技术领域

本发明涉及数据加密领域，尤其涉及一种密钥管理系统。

背景技术

现有技术在加密数据时，使用的加密算法通常是一个固定的密钥，不会轻易修改，并且此密钥与软件程序混杂在一起，采用软件方式加密。攻击者很容易通过模拟数据，破解出这个固定密钥。而将密钥与软件程序混杂在一起存放时，攻击者就可以通过反编译软件程序，获取此密钥。一旦获得此密钥就可以解密出加密好的数据，这样原本被加密的敏感数据会被大量窃取，甚至整个系统被破解。可见，采用软件的方式加密，并且密钥一成不变，具有被攻击者窃取密钥，导致用户隐私数据泄露的风险。

造成上述问题的原因主要是由于现有技术没有将密钥按不同用途进行分类，没有使用一套产生、存储、更新、备份、恢复和销毁密钥的方法，让攻击者较容易通过破解密钥获取敏感信息。

发明内容

本发明的目的在于克服现有技术缺陷，提出了一种密钥管理方法及装置，本发明使用带有国家密码管理局的安全芯片的加密卡，实现密钥/证书存储、密码运算、密钥产生等功能。密钥的产生和使用均在安全芯片内完成，密钥明文不出加密卡。

本发明提出了一种密钥管理系统，所述系统包括：密钥管理服务器、Linux嵌入式的业务处理设备以及设置在该业务处理设备中的加密卡；其中，

所述密钥管理服务器，用于根据密码算法产生签名公私钥对、加密公私钥对和存储密钥，备份保存并通过预先得到的设备公私钥对的公钥加密后发送至加密卡；还用于根据加密卡的导入申请，重新发送签名公私钥对、加密公私钥对和存储密钥至加密卡；

所述加密卡，用于对收到的签名公私钥对、加密公私钥对和存储密钥进行存储，用于根据业务处理设备的业务请求，分别生成文件密钥、存储密钥、会话密钥或密钥加密密钥存储并发送至业务处理设备；用于对存储的密钥进行更新、恢复和销毁；还用于在业务处理设备出厂时生成设备公私钥对；

所述业务处理设备，用于接收其他终端的业务请求，向加密卡发送获取业务密钥申请，接收加密卡发送的文件密钥、存储密钥、会话密钥或密钥加密密钥，将相应业务密钥发送至相应终端进行业务处理；还用于在启动时和运行时进行密码算法的自检；

所述设备公私钥对，用于保护其他密钥信息；

所述签名公私钥对，用于签名验签；

所述加密公私钥对，用于和签名公私钥对生成密钥加密密钥；

所述文件密钥，用于对用户文件进行加密保护；

所述存储密钥，用于对数据库进行加密保护；

所述会话密钥，用于对业务处理设备与其他终端之间传输的消息进行加密；

所述密钥加密密钥，用于对密钥管理服务器与业务处理设备之间传输的信息进行加密。

作为上述系统的一种改进，所述设备公私钥对和加密公私钥对均采用SM2非对称密码算法的加解密算法，生成的公钥均为512字节长度，私钥均为256字节长度；

所述签名公私钥对采用SM2非对称密码算法的签名验证算法，生成的公钥为512字节长度，私钥为256字节长度；