一种密钥授权使用的方法及系统

技术领域

本发明涉及密钥技术领域，特别涉及一种密钥授权使用的方法及系统。

背景技术

近年来随着国家政策以及企业和政务领域安全意识的提高，许多政企业务系统开始采用国产服务器密码机进行业务应用系统的密码改造。即通过使用国产服务器密码机进行业务系统的改造，在保证合法合规且正确使用国产密码算法的基础上，保证业务系统数据的机密性和完整性。因此就需要业务系统在程序中调用服务器密码机提供的密码运算服务。

现有技术方案的缺陷：由于要满足“密钥可用不可见“的要求，即密钥都存在于硬件设备的安全存储区域中，在使用密钥时通过传递密钥索引号进行密钥调用，但是密钥索引号在一定程度上也属于和密钥强相关的机密信息，直接把密钥索引号告知给业务系统侧会产生一定的安全风险。但是目前几乎所有的业务系统在集成服务器密码机提供的密码运算服务时，都需要在业务系统侧传递密钥索引号，密钥管理系统侧需要把业务系统要使用的密钥对应的密钥索引号给到业务系统，由此会引发一定的安全风险。

发明内容

业务系统在通过密钥索引号调用密钥时，由于密钥索引号与密钥强相关，存在一定的安全风险。

针对上述问题，提出一种密钥授权使用的方法及系统，通过对业务系统进行细粒度授权管理，在收到businessID及密钥版本后在所述高速缓存中查找对应的密钥索引号，来调用密钥进行使用，业务系统侧在调用密码运算服务时不需要传递密钥索引号或密钥标识名，确保不会泄露任何关于密钥的信息，保证“密钥可用不可见“的要求；针对应用可使用的接口和接口可使用的密钥进行细粒度的授权，可进一步保护密钥和业务数据的安全性。

第一方面，提供一种密钥授权使用方法，包括：

步骤100、对需要调用密钥的业务系统进行细粒度授权管理；

步骤200、所述业务系统向服务器密码机传递唯一的businessID及密钥版本，所述服务器密码机根据所述businessID及密钥版本在高速缓存中查找对应的密钥索引号；

步骤300、所述服务器密码机根据所述密钥索引号进行密码运算服务。

结合本发明第一方面所述的密钥授权使用方法，第一种可能的实施方式中，所述步骤100包括：

步骤110、所述服务器密码机通过设备管理系统中生成密钥；

步骤120、所述设备管理系统配置所述密钥的轮转版本信息。

结合本发明第一方面第一种可能的实施方式，第二种可能的实施方式中，所述步骤100还包括：

步骤130、将业务系统信息录入到所述设备管理系统；

步骤140、所述设备管理系统为所述业务系统生成唯一的businessID。

结合本发明第一方面第二种可能的实施方式，第三种可能的实施方式中，所述步骤100还包括：

步骤150、利用所述businessID为所述业务系统配置密码运算接口，并为所述密码运算接口配置可使用的密钥；

步骤160、将businessID-密码运算接口授权信息、密码运算接口-密钥授权信息存储在高速缓存器中。

结合本发明第一方面所述的密钥授权使用方法，第四种可能的实施方式中，所述步骤200包括：

步骤210、所述业务系统向所述服务器密码机发出调用密码运算服务请求；

步骤220、所述服务器密码机判断是否收到所述业务系统对应的唯一businessID；

步骤230、若所述服务器密码机确认收到所述businessID则进行授权关系查询。

结合本发明第一方面第四种可能的实施方式，第五种可能的实施方式中，所述步骤200还包括：

步骤240、所述服务器密码机根据所述businessID在所述高速缓存中查询对应所述业务系统的授权关系；

步骤250、所述服务器密码机判断是否查询到授权关系；

步骤260、若查询到，则根据所述授权关系获取对应所述业务系统密钥的索引号。

结合本发明第一方面第四种可能的实施方式，第六种可能的实施方式中，所述步骤200还包括：

步骤270、所述服务器密码机根据所述businessID在所述高速缓存中查询对应所述业务系统的授权关系；

步骤280、所述服务器密码机判断是否查询到授权关系；

步骤290、若未查询到，则进行异常处理。

结合本发明第一方面所述的密钥授权使用方法，第七种可能的实施方式中，所述步骤300包括：

步骤310、所述服务器密码机在密码运算服务完成后，将对应的密钥授权给所述业务系统使用。

第二方面，一种密钥授权使用系统，采用第一方面所述的密钥授权使用方法，包括：

服务器密码机；

业务系统；

所述服务器密码机与所述业务系统通信连接；

所述服务器密码机包括：

设备管理单元；

运算单元；

高速缓存；

所述设备管理单元用于对需要调用密钥的业务系统进行细粒度授权管理并在收到businessID及密钥版本后在所述高速缓存中查找对应的密钥索引号；

所述运算单元用于根据所述密钥索引号进行密码运算服务；

所述高速缓存用于存储所述服务器密码机对所述业务系统的授权关系信息。

结合本发明第二方面所述的密钥授权使用系统，第一种可能的实施方式中，所述设备管理单元还用于：

为所述业务系统生成唯一的businessID，利用所述businessID为所述业务系统配置密码运算接口，并为所述密码运算接口配置可使用的密钥并将businessID-密码运算接口授权信息、密码运算接口-密钥授权信息存储在高速缓存器中。

实施本发明所述的密钥授权使用方法及系统，通过对业务系统进行细粒度授权管理，在收到businessID及密钥版本后在所述高速缓存中查找对应的密钥索引号，来调用密钥进行使用，业务系统侧在调用密码运算服务时不需要传递密钥索引号或密钥标识名，确保不会泄露任何关于密钥的信息，保证“密钥可用不可见“的要求；针对应用可使用的接口和接口可使用的密钥进行细粒度的授权，可进一步保护密钥和业务数据的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所述的一种密钥授权使用方法第一流程示意图；

图2为本发明所述的一种密钥授权使用方法第二流程示意图；

图3为本发明所述的一种密钥授权使用方法第三流程示意图；

图4为本发明所述的一种密钥授权使用方法第四流程示意图；

图5为本发明所述的一种密钥授权使用方法第五流程示意图；

图6为本发明所述的一种密钥授权使用方法第六流程示意图；

图7为本发明所述的一种密钥授权使用方法第七流程示意图；

图8为本发明所述的一种密钥授权使用系统第一示意图

图9为本发明所述的一种密钥授权使用系统第二示意图。

具体实施方式

下面将结合发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的其他实施例，都属于本发明保护的范围。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。本文所使用的术语“及/或”包括一个或多个相关的所列项目的任意的和所有的组合。

需要说明的是，当元件被称为“固定于”或“设置于”另一个元件，它可以直接在另一个元件上或者间接在该另一个元件上。当一个元件被称为是“连接于”另一个元件，它可以是直接连接到另一个元件或间接连接至该另一个元件上。

需要理解的是，术语“长度”、“宽度”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本申请和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本申请的限制。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本申请的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。

业务系统10在通过密钥索引号调用密钥时，由于密钥索引号与密钥强相关，存在一定的安全风险。

针对上述问题，提出一种密钥授权使用的方法及系统。

实施例1

第一方面，如图1，图1为本发明所述的一种密钥授权使用方法第一流程示意图；提供一种密钥授权使用方法，包括：

步骤100、对需要调用密钥的业务系统10进行细粒度授权管理。

针对业务应用系统进行细粒度的授权管理，即业务系统10可使用密码运算的哪些接口需要事先授权，每个接口可使用什么密钥也需要进行单独授权。

优选地，如图2，图2为本发明所述的一种密钥授权使用方法第二流程示意图；步骤100包括：步骤110、服务器密码机20通过设备管理系统中生成密钥；步骤120、设备管理系统配置密钥的轮转版本信息。

优选地，如图3，图3为本发明所述的一种密钥授权使用方法第三流程示意图；步骤100还包括：步骤130、将业务系统10信息录入到设备管理系统；步骤140、设备管理系统为业务系统10生成唯一的businessID。

优选地，如图4，图4为本发明所述的一种密钥授权使用方法第四流程示意图；步骤100还包括：步骤150、利用businessID为业务系统10配置密码运算接口，并为密码运算接口配置可使用的密钥；步骤160、将businessID-密码运算接口授权信息、密码运算接口-密钥授权信息存储在高速缓存23器中。

业务系统10侧在调用(硬件安全模块)如服务器密码机20时不需要传递密钥索引号，只需要传递一个businessID即可，此businessID只是业务系统10的一个标识，不会泄露密钥的任何信息；由于业务系统10不用传递具体的密钥索引号，所以可以绝对保证“密钥可用不可见“的要求，进一步提升了业务系统10和密钥使用的安全性。

具体的，服务器密码机20通过自身的设备管理系统中生成后续业务系统10需要使用的密钥；配置密钥的轮转版本信息，初次生成的密钥默认版本是v1；录入业务系统10到设备管理系统中；为业务系统10生成唯一的businessID，针对业务系统10，为其分配可使用的密码运算接口；针对已经分配的密码运算接口，为每个接口分配可使用的密钥(即把接口可使用的密钥索引关联起来)，把应用(businessID)-接口授权关系、接口-密钥授权关系存储在高速缓存23中；业务系统10通过调用密码运算接口时传递唯一的businessID和所使用的密钥版本，密钥运算服务通过在高速缓存23中查找当前应用所调用的接口对应的密钥索引号。

业务系统10在发出调用密码运算服务请求后，若未正常传递businessID，则需要进行异常处理。

步骤200、业务系统10向服务器密码机20传递唯一的businessID及密钥版本，服务器密码机20根据businessID及密钥版本在高速缓存23中查找对应的密钥索引号。

优选地，如图5，图5为本发明所述的一种密钥授权使用方法第五流程示意图；骤200包括：步骤210、业务系统10向服务器密码机20发出调用密码运算服务请求；步骤220、服务器密码机20判断是否收到业务系统10对应的唯一businessID；步骤230、若服务器密码机确认收到businessID则进行授权关系查询。

优选地，如图6，图6为本发明所述的一种密钥授权使用方法第六流程示意图；步骤200还包括：步骤240、服务器密码机20根据businessID在高速缓存23中查询对应业务系统10的授权关系；步骤250、服务器密码机20判断是否查询到授权关系；步骤260、若查询到，则根据授权关系获取对应业务系统10密钥的索引号。

优选地，如图7，图7为本发明所述的一种密钥授权使用方法第七流程示意图；步骤200还包括：步骤270、服务器密码机20根据businessID在高速缓存23中查询对应业务系统10的授权关系；步骤280、服务器密码机20判断是否查询到授权关系；步骤290、若未查询到，则进行异常处理。

步骤300、服务器密码机20根据密钥索引号进行密码运算服务。

优选地，步骤300包括步骤310、服务器密码机20在密码运算服务完成后，将对应的密钥授权给业务系统10使用。根据从高速缓存23中获取的密钥索引号，在服务器密码机20中的硬件设备中进行密码运算；返回密码运算结果到业务系统10。通过对业务系统10进行细粒度授权管理，在收到businessID及密钥版本后在高速缓存23中查找对应的密钥索引号，来调用密钥进行使用，业务系统10侧在调用密码运算服务时不需要传递密钥索引号或密钥标识名，确保不会泄露任何关于密钥的信息，保证“密钥可用不可见“的要求；针对应用可使用的接口和接口可使用的密钥进行细粒度的授权，可进一步保护密钥和业务数据的安全性。

实施例2

第二方面，如图8和图9，图8为本发明所述的一种密钥授权使用系统第一示意图，图9为本发明所述的一种密钥授权使用系统第二示意图。一种密钥授权使用系统，采用第一方面的密钥授权使用方法，包括服务器密码机20、业务系统10、服务器密码机20与业务系统10通信连接；服务器密码机20包括设备管理单元21、运算单元22、高速缓存23；设备管理单元21用于对需要调用密钥的业务系统10进行细粒度授权管理并在收到businessID及密钥版本后在高速缓存23中查找对应的密钥索引号；运算单元22用于根据密钥索引号进行密码运算服务；高速缓存23用于存储服务器密码机20对业务系统10的授权关系信息。

进一步地，设备管理单元21还用于：为业务系统10生成唯一的businessID，利用businessID为业务系统10配置密码运算接口，并为密码运算接口配置可使用的密钥并将businessID-密码运算接口授权信息、密码运算接口-密钥授权信息存储在高速缓存23器中。

实施本发明的密钥授权使用方法及系统，通过对业务系统10进行细粒度授权管理，在收到businessID及密钥版本后在高速缓存23中查找对应的密钥索引号，来调用密钥进行使用，业务系统10侧在调用密码运算服务时不需要传递密钥索引号或密钥标识名，确保不会泄露任何关于密钥的信息，保证“密钥可用不可见“的要求；针对应用可使用的接口和接口可使用的密钥进行细粒度的授权，可进一步保护密钥和业务数据的安全性。

以上仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。