一种基于硬件设备的密钥管理方法
技术领域
本发明涉及数据安全技术领域，特别涉及一种基于硬件设备的密钥管理方法。
背景技术
在密码应用领域，加密算法已十分安全，但是密钥存储和管理的安全性显得尤为重要。在密钥存储、传输方式上，通常是基于互联网络进行的，通常的处理方式有以下两种：
1.使用非对称加密(更复杂的加密算法)加密对称加密(一般加密算法)的密钥。非对称加密算法的密钥单独保存在可信装置中。该方式主要通过提供不同的对称加密密钥使用状态，保证其密钥的安全。密钥不使用时以加密状态存储，密钥需要时，再解密使用。(可参见专利《设备通信方法、装置、计算机设备及存储介质》，申请号201911294614.4)。
2.密钥拆分。m个主体分别拥有密钥的一部分，至少n(n<＝m)同时存在时，才能恢复密钥。该方式主要解决多个主体之间互相不信任的密钥保存问题。(可参见专利《一种基于运维审计系统的秘密共享方法》申请号：2019109554227，《数据安全授权访问方法、装置、设备及存储介质》申请号：2019108431126)。
但现有技术方案的使用时，仍然存在以下的一些安全隐患：
1.对于使用非对称加密算法加密对称加密算法密钥的方式，凡是加解密问题，都存在密钥保存的问题。非对称加密算法同样会存在丢失其密钥的情况，此时，对称加密密钥的安全性也无法得到保证。
2.对于拆分的密钥的方式，只要获取到n个主体所持有的密钥分子，即可恢复密钥，当存在n个持有密钥分子的主体作弊或不受信任时，密钥同样存在被破解的风险。
3.在使用互联网进行通信的过程中，信息容易受到中间人攻击。
发明内容
本发明要解决的技术问题是：提供一种基于硬件设备的密钥管理方法，用以提升密钥存储和使用的安全性。
为解决上述问题，本发明采用的技术方案是：一种基于硬件设备的密钥管理方法，包括如下步骤：
S1、烧录客户端向服务器请求密钥；
S2、服务器根据烧录客户端的请求生成非对称公钥-私钥对和对称加密密钥，并使用其生成的非对称加密公钥对生成的对称加密密钥进行非对称加密；
S3、服务器将非对称加密私钥按照拆分协议拆分成独立的P1和P2两个私钥分量，并将私钥分量P1保存于服务器，将私钥分量P2和经过非对称加密过的对称加密密钥作为响应发送给烧录客户端；
S4、烧录客户端将私钥分量P2和经过非对称加密过的对称加密密钥存储到硬件装置的加密区域内。
进一步的，当客户端需要加密或者解密文件时，本发明还包括：
S5、客户端向服务器请求存储在其中的非对称加密私钥分量P1，服务器对客户端登录账号的身份及其安全使用环境进行校验后，将私钥分量P1作为响应发送给客户端；
S6、客户端获取到私钥分量P1后，通过近距离传输协议向硬件设备请求非对称加密私钥的P2分量和加密过的对称加密密钥；
S7、客户端获得到非对称加密私钥的P1分量、P2分量以及加密过的对称加密密钥后，通过密钥拆分过程的逆过程，将私钥分量P1和私钥分量P2合成完整的非对称加密私钥，进而用于文件的加密或者解密。
进一步的，所述近距离传输协议可以为蓝牙协议。
进一步的，加密或者解密完成之后，为了保证密钥的安全，客户端需删除非对称加密私钥、加密的对称加密密钥以及解密的对称加密密钥。
本发明的有益效果是：本发明在中，密钥由指定授信设备(即服务器)生成，在授信设备上，采用非对称加密方式加密对称加密密钥的方式，将非对称加密密钥拆分，拆分的其中一部分随经过加密的对称加密密钥烧录到硬件装置中，烧录完成后，其相关数即刻从授信设备上清理；拆分的另外一部分由授信设备保存。
本方法结合了背景技术中方案一的优点，即同样使用非对称加密算法加密对称加密算法的密钥。非对称加密算法更加消耗CPU，但是加密算法更加强大。对称算法，能够满足加密需要，且不需要非对称加密算法那么大的CPU算力。非对称算法加密对称加密密钥，也更加保证了对称加密密钥的安全。硬件装置中，不直接存储对称加密密钥。
同时，本发明还结合了背景技术中方案二的优势，将非对称加密算法的密钥拆分为二，其中一部分随加密的普通加密算法密钥存储在用户手中的硬件装置中的硬件加密保护区域内，另外一部分存储我们指定的授信设备(即硬件设备)中。如此，即使第三方获取到了硬件装置，因缺失一部分非对称加密密钥而无法解密已经加密的对称算法密钥。即使授信设备被攻破，也无法获取对称算法密钥。即时获取了授信设备中的密钥分量和硬件设备中的密钥分量，仍然只能获取到非对称加密密钥，而非真正使用的对称加密密钥。
在通信过程中，本发明采用了需要进行双端验证的https技术+蓝牙通信的方式。授信设备通过基于https的双端验证机制向用户应用设备(手机)发送另外一半的非对称加密密钥。应用设备随后通过蓝牙通信，向硬件设备请求另外一半非对称加密密钥和经过加密的对称加密密钥。最后，在应用设备中，完成密钥合成和对称加密密钥的解密。
附图说明
图1是本发明实施例的原理框图。
具体实施方式
为了提升密钥存储和使用的安全性，实施例公开了一种基于硬件设备的密钥管理方法，该方法涉及到硬件装置、服务器以及一个密钥烧录客户端，该密钥管理方法的使用方为客户端(如手机APP)，为了保证硬件装置的安全，硬件装置一般是以便携式结构的形式保存在用户的身上或者周围，其具体形式可以制成钥匙扣、U盘、手环等各种样式；
具体角色定位如下表1所示：
表1
结合图1所示，实施例的具体步骤如下：
S1、硬件装置的烧录客户端在烧录固件时，通过双向认证的https请求，向服务器请求密钥。
S2、服务器根据烧录客户端的请求生成非对称私钥对(公钥和私钥)和对称加密密钥，并使用其生成的非对称加密公钥对生成的对称加密密钥进行非对称加密。
S3、服务器将非对称加密私钥按照拆分协议拆分成独立的P1和P2两个私钥分量，并将私钥分量P1保存于服务器，将私钥分量P2和经过非对称加密过的对称加密密钥作为响应发送给烧录客户端。非对称加密私钥的拆分方式有很多，最简单的就是一分为二，还可以采用更加安全的门限签名，亦或者是采用自定义的密钥拆分方法。
S4、烧录客户端将私钥分量P2和经过非对称加密过的对称加密密钥存储到硬件装置的加密区域内。
S5、客户端向服务器请求存储在其中的非对称加密私钥分量P1，服务器对客户端登录账号的身份及其安全使用环境进行校验后，将私钥分量P1作为响应发送给客户端。
S6、客户端获取到私钥分量P1后，通过蓝牙向硬件设备请求非对称加密私钥的P2分量和加密过的对称加密密钥。
S7、客户端获得到非对称加密私钥的P1分量、P2分量以及加密过的对称加密密钥后，通过密钥拆分过程的逆过程，将私钥分量P1和私钥分量P2合成完整的非对称加密私钥，进而用于文件的加密或者解密。
S8、加密或者解密完成之后，为了保证密钥的安全，客户端需删除非对称加密私钥、加密的对称加密密钥以及解密的对称加密密钥。
实施例具有以下特点：
1.使用基于跳频技术的蓝牙通信，近距离传输最敏感数据；采用双端认证的https获取部分非对称加密密钥。
2.非对称加密的私钥拆分，分别存储于我们的授信设备(即服务器)以及用户手中的硬件存储装置内，用户应用设备需要同时获得这二者的授权，才能获取完整的非对称加密的私钥。同时，确保任意一个端无法独立完成解密工作。
3、密钥不使用时，隔离业务存储于硬件装置的加密区域内，使用时，通过鉴权机制，获取到各密钥分量，然后合成非对称加密私钥，对对称加密密钥进行解密使用。所有密钥使用完成之后，立刻从内存中清理，保证密钥安全。
由上可见，实施例结合了背景技术中方案一和二的优势，达成更加安全、可靠的密钥存储、传输、使用环境效果。
