[发明专利]固态盘数据安全存储的密钥管理方法

摘要

本发明提供了一种固态盘数据安全存储的密钥管理方法，具体如下：为存储服务提供者颁发属性证书步骤中的密钥管理；存储服务提供者给用户颁发属性证书步骤中的密钥管理；用户与固态盘控制器之间的双向认证步骤中的密钥管理；数据读写步骤中的秘钥管理。本发明涉及各种功能的密钥，在密钥的产生、传输、使用过程中都对密钥进行了加密保护，并采用硬件设计的密钥生成算法，使得即使密钥的合法使用者也不能获取密钥，提高了密钥的安全性，增强了数据保护的安全性。

主权项

一种固态盘数据安全存储的密钥管理方法，其特征在于，具体步骤如下：1)为存储服务提供者颁发属性证书：为存储服务提供者颁发属性证书步骤中的密钥管理方法如下：1.1)存储服务提供者在USBKEY中生成公私钥对，将包括公钥、服务提供者名称、证书用途在内的参数合并生成证书请求；1.2)以PIN码为密钥参数，调用KGEN算法生成密钥KP，并用KP加密私钥保存在服务提供者的USBKEY中；所述服务提供者的USBKEY仅用做固态盘公私钥的导入，不提供公私钥的加解密和签名功能；1.3)存储服务提供者将证书请求发送给CA中心，CA中心为存储服务提供者生成数字签名证书，即为属性证书；1.4)存储服务提供者将自己的属性证书导入到固态盘控制器的密钥缓冲区，同时输入PIN码，将USBKEY中加密存储的私钥，直接导入到FPGA中，在FPGA内部，以PIN码为密钥参数，调用KGEN算法生成密钥KP，并用KP作为私有数据加密私钥，作为FPGA内部密钥之一；2)为存储服务提供者和用户颁发属性证书，存储服务提供者给用户颁发属性证书步骤中的密钥管理方法如下：2.1)用户在用户的USBKEY中生成公私钥对，将包括公钥、用户名称、证书用途在内的参数合并成证书请求，私钥用PIN码加密后保存在用户的USBKEY中；2.2)用户将证书请求发送给存储服务提供者，存储服务提供者在证书请求中附加上为用户分配的固态盘访问范围及其他权限信息，生成新的证书请求；2.3)存储服务提供者将新的证书请求发送给固态盘控制器，固态盘控制器为证书生成签名，形成属性证书；2.4)存储服务提供者将属性证书返回给用户。3)用户与固态盘控制器之间的双向认证；用户与固态盘控制器之间的双向认证步骤中的密钥管理方法如下：3.1)用户将用户属性证书和随机挑战r1发送给固态盘控制器；3.2)固态盘控制器验证用户属性证书；3.3)验证完成后，固态盘控制器将服务提供者属性证书，对r1和随机挑战r2使用用户公钥加密后的加密数据，附上服务提供者的签名，发送给用户；3.4)用户验证服务提供者属性证书和签名的正确性；3.5)验证完成后，用户将经过服务提供者公钥加密的会话秘钥KS、经过服务提供者公钥加密的KD、经过服务提供者公钥加密的r2，附上用户签名，发送给固态盘控制器；3.6)固态盘控制器验证用户属性证书和签名的正确性，解密KS、KD；3.7)将r1⊕r2作为流密码的向量，对“OK”字符串先用存储秘钥KD加密，传输过程中再用会话秘钥KS加密；3.8)用户通过对字符串的解密，验证KS、KD的正确性，完成双向认证过程；4)数据读写；数据读写步骤中的秘钥管理主要是：数据在用户操作系统和固态盘控制器之间使用流密码进行传输加密，然后用存储密钥KD加密后保存在FLASH之中；具体如下：4.1)写数据用户端以r1⊕r2，KS作为通信加密的种子和密钥，可以预计算流密钥保存在操作系统的内存中，当有数据需要写入固态盘的时候，直接用流密钥异或数据发送给固态盘的SATA接口，保证数据通信的高效性；用户端数据到达固态盘控制器后，送入固态盘控制器的FPGA加密装置，FPGA首先用通信密钥解密，然后用存储密钥KD加密后写入FLASH；4.2)读数据读数据是写数据的逆过程，FLASH中的数据首先通过FPGA的KD解密，然后用会话密钥加密后传给用户，用户操作系统从流密钥缓冲区中获取流密钥与密文异或即可得到明文。