[发明专利]一种基于SGX的对称秘钥生成管理系统、方法、设备及介质

说明书

本发明涉及一种基于SGX的对称秘钥生成管理系统、方法、设备及介质，该系统包括智能设备和基于SGX技术的秘钥服务器；所述秘钥服务器包括基于SGX技术构建的应用程序模块，所述应用程序模块用于创建enclave环境，在该enclave环境中进行根秘钥生成和秘钥分散操作。与现有技术相比，本发明安全性高，且无需智能设备端含有SGX技术的芯片，局限性更小，成本更低。

技术领域

本发明涉及通信安全领域，尤其是涉及一种基于SGX的对称秘钥生成管理系统、方法、设备和介质。

背景技术

对称加密算法是一种在数据保护、通信安全领域中的一种常用的技术，对称秘钥的生成与管理是对称加密算法应用中一个重要的技术问题。

对称加密算法如AES、SM4等为公开的密码算法，在使用对称加密时，数据交互的双方需要持有相同的对称秘钥K，双方使用对称秘钥K进行数据加解密或身份认证。如果双方无法使用非对称会话秘钥协商算法进行会话秘钥(对称秘钥)协商，则需要有第三方系统给通信双方提供对称秘钥的生成与分发。

非对称会话秘钥协商算法是指通信双方使用非对称加密算法在非安全的通信通道中安全的生成会话秘钥的算法，如ECDH。但是会话秘钥协商算法需要双方持有非对称秘钥，并处于连接通信状态。

目前，现有方法主要通过加密机生成对称秘钥，智能设备从秘钥服务器(或秘钥系统)获取业务对称秘钥，但是，加密机硬件难以做海量的秘钥存储，所以一般秘钥库中的根秘钥数量较少，需要将根秘钥导入到秘钥服务器进行秘钥分散得到业务对称秘钥。在将根秘钥导出到秘钥服务器的过程中，有两种处理方式：1)将根秘钥明文导出到秘钥服务器；2)给加密机一个加密秘钥，加密机用加密秘钥加密根秘钥，将密文导出到秘钥服务器。这两种导出方式，都存在秘钥泄露的风险，黑客通过截取根秘钥明文或加密秘钥明文，都可以获得根秘钥，从而威胁到所有智能设备的业务对称秘钥。在秘钥服务器上使用应用程序对根秘钥分散操作，根秘钥会明文处于内存中，用于分散运算，黑客通过访问内存中的明文数据从而获取到根秘钥。

Intel Software Guard eXtensions(SGX)是Intel处理器的指令集扩展，旨在以硬件安全为强制性保障,不依赖于固件和软件的安全状态,提供用户空间的可信执行环境,通过一组新的指令集扩展与访问控制机制,实现不同程序间的隔离运行,保障用户关键代码和数据的机密性与完整性不受恶意软件的破坏。SGX允许应用创建enclave，enclave可以理解为一个数据运行的安全环境，我们可以称它为“小黑匣”。SGX对于软件的保护并不是识别或者隔离系统中出现的恶意软件，而是将合法软件对于敏感数据(如加密密钥、密码、用户数据等)的操作封装在一个“小黑匣”中，使得恶意软件无法对这些数据进行访问。

经过检索，中国发明专利CN109150517A公开了一种基于SGX的秘钥安全管理系统和方法，该发明在客户端和秘钥管理服务器端均使用SGX技术对秘钥进行安全存储和安全运算。但是，该发明客户端软件也需要使用SGX技术，而SGX技术属于Intel芯片的特性，即客户端也必须使用Intel芯片，限制了客户端的使用载体；且在物联网领域中，客户端数量大，使用Intel芯片成本高。

针对通信双方在无非对称加密算法和无非对称秘钥情况下进行会话秘钥(对称秘钥)协商、无连接状态等场景时，为解决根秘钥泄露问题，研发一种安全性高、局限性小、成本较低的向通信双方提供对称秘钥的生成与安全存储的方法和系统，成为需要解决的技术问题。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种安全性高、局限性低、成本较低的基于SGX的对称秘钥生成管理系统、方法、设备及介质。

本发明的目的可以通过以下技术方案来实现：