[发明专利]HSM密钥管理系统及方法、设备及存储介质

说明书

本发明提供一种HSM密钥管理系统及方法、设备及存储介质，系统包括：多HSM适配模块，用于针对不同型号的HSM提供SDK或类库实现对接，通过SDK或类库提供的操作接口调用HSM的功能；适配器模块，用于对不同HSM提供的接口进行转换，转换为统一的对外操作接口供业务系统调用；每种HSM对应一个适配器模块；统一对外接口模块，用于与多个所述适配器模块连接以获取业务访问请求。本发明能够支持对接多个不同型号HSM和支持对接多个相同型号HSM的密钥管理系统，通过不同型号的HSM同时提供服务以适应多元化的业务场景。

技术领域

本发明涉及密钥管理技术领域，特别涉及一种HSM密钥管理系统及方法、设备及存储介质。

背景技术

随着eSIM技术的不断发展，机构或运营商需要采购或者自建SM-DP+平台，实现eSIM码号资源的安全存储以及将eSIM码号资源安全的下载到终端设备，在上述业务流程中，存在大量的密钥生成、数据加解密、电子签名校验等需求，因此需要有一种高安全性的密钥管理系统提供此类服务，该系统应具备对接硬件加密机(HSM)的能力、高安全性的访问控制机制、安全的生成并存储密钥机制、以及多样的管理接口。

基于软件安全模块的密钥管理系统。即核心安全模块由软件实现，软件实现方式决定了系统的安全等级。

基于软件安全模块的密钥管理系统使用Java或C++等编程语言编写软件安全模块，用于实现密钥创建、密钥存储、加密、解密、签名，签名验证等功能。此类系统一般使用一个固定的系统保护密钥加密本地存储的密钥数据，系统保护密钥可以在系统初始化时自动生成，并由一个系统启动密钥加密后存储到数据库，系统保护密钥可以拆分多个分量由多个人持有。

SM-DP+业务系统与密钥管理业务模块交互，发送业务请求，密钥管理业务模块调用软件安全模块实现具体操作(密钥生成、密钥存储、加密解密等)，对于需要持久化的数据软件安全模块通过系统保护密钥加密后保存到数据库。

因此现有技术存在以下缺点：

第一，软件安全模块的功能由通用CPU实现，而通用CPU的运算性能无法达到HSM所采用的专用硬件加密芯片的性能，因此软件安全模块的性能远低于HSM的性能，无法适应对性能要求更高的场景；另外，软件安全模块的安全性完全由软件系统的设计实现来保证，因此容易出现安全漏洞，存在被破解的风险。

第二，对接单个HSM的密钥管理系统，可扩展性差，业务场景局限于某一种特定的HSM型号；另外，单个HSM的容量有限，未来会成为业务发展的瓶颈。

发明内容

为了解决现有技术中存在的问题，本发明提供了一种HSM密钥管理系统及方法、设备及存储介质。本发明能够支持对接多个不同型号HSM和支持对接多个相同型号HSM的密钥管理系统，通过不同型号的HSM同时提供服务以适应多元化的业务场景。

为达到上述目的，本发明采用了以下技术方案：

一种HSM密钥管理系统，包括：

多HSM适配模块，用于针对不同型号的HSM提供SDK或类库实现对接，通过SDK或类库提供的操作接口调用HSM的功能；

适配器模块，用于对不同HSM提供的接口进行转换，转换为统一的对外操作接口供业务系统调用；每种HSM对应一个适配器模块；

统一对外接口模块，用于与多个所述适配器模块连接以获取业务访问请求。

作为本发明的进一步改进，所述多HSM适配模块采用内部数据保护机制对内部数据加密管理，在首次启动时随机生成一个主密钥，并使用主密钥加密HSM对接密码后存储到HSM密钥管理系统的数据库中。

作为本发明的进一步改进，所述不同型号的HSM的对接信息包括HSMType、Slot、IPAddress、AccessUser和AccessPassword；