集成密鑰服務(wù)器的制造方法
【專利摘要】提供了一種用于集成密鑰提供的計(jì)算機(jī)程序產(chǎn)品。所述計(jì)算機(jī)程序產(chǎn)品包括有形存儲介質(zhì)，其可被處理電路讀取并存儲由所述處理電路執(zhí)行以執(zhí)行一種方法的指令。所述方法包括使用兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡與兩個(gè)或多個(gè)支持元件中的一個(gè)支持元件以創(chuàng)建加密密鑰；以及將所述加密密鑰存儲在只能由用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密的加密文件中。
【專利說明】集成密鑰服務(wù)器【技術(shù)領(lǐng)域】[0001]本發(fā)明涉及集成密鑰服務(wù)器。更具體地說，本發(fā)明涉及用于計(jì)算系統(tǒng)的集成密鑰 服務(wù)器?！颈尘凹夹g(shù)】[0002]存儲在可移動存儲設(shè)備上的數(shù)據(jù)可通過加密來阻止未授權(quán)的訪問，這樣，嘗試訪 問加密數(shù)據(jù)的系統(tǒng)必須具有與用于加密的密鑰相關(guān)的加密或認(rèn)證密鑰。在對稱加密情況 下，使用相同的密鑰執(zhí)行加密和解密。在非對稱加密(例如，RSA)情況下，使用公鑰進(jìn)行加 密，使用單獨(dú)的私鑰進(jìn)行加密。
【發(fā)明內(nèi)容】
[0003]根據(jù)本發(fā)明的一個(gè)實(shí)施例，提供了 一種用于集成密鑰提供的計(jì)算機(jī)程序產(chǎn)品。所 述計(jì)算機(jī)程序產(chǎn)品包括有形存儲介質(zhì)，其可被處理電路讀取并存儲由所述處理電路執(zhí)行以 執(zhí)行一種方法的指令。所述方法包括使用兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡與兩個(gè)或多個(gè) 支持元件中的一個(gè)支持元件以創(chuàng)建加密密鑰；以及將所述加密密鑰存儲在只能通過用于創(chuàng) 建所述加密密鑰的所述智能卡和所述支持元件解密的加密文件中。[0004]提供了一種方法并且此方法包括使用兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡與兩個(gè) 或多個(gè)支持元件中的一個(gè)支持元件以創(chuàng)建加密密鑰；以及將所述加密密鑰存儲在只能通過 用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密的加密文件中。[0005]提供了一種用戶集成密鑰提供的系統(tǒng)并且該系統(tǒng)包括兩個(gè)或多個(gè)智能卡中的一 個(gè)智能卡以及兩個(gè)或多個(gè)支持元件中的一個(gè)支持元件，所述智能卡可安裝到所述支持元件 中或從所述支持元件中移除以創(chuàng)建將存儲在加密文件中的加密密鑰，從而所述加密密鑰只 能通過用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密。[0006]通過本發(fā)明的技術(shù)，可以實(shí)現(xiàn)其它特征和優(yōu)點(diǎn)。本發(fā)明的其它實(shí)施例和方面在此 處詳細(xì)地進(jìn)行描述并被視為所聲明的本發(fā)明的一部分。為了更好地理解本發(fā)明的優(yōu)點(diǎn)和特 征，請參閱描述和附圖?！緦＠綀D】

【附圖說明】[0007]現(xiàn)在參考下面的附圖，借助實(shí)例描述本發(fā)明的優(yōu)選實(shí)施例，其中:[0008]圖1是根據(jù)本發(fā)明的優(yōu)選實(shí)施例的企業(yè)計(jì)算系統(tǒng)的示意圖；[0009]圖2是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的主支持元件的初始化的流程圖；[0010]圖3是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的次支持元件的初始化的流程圖；[0011]圖4是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的主支持元件的初始化中的密鑰檢索的流 程圖；[0012]圖5是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的主支持元件的初始化中的密鑰存儲的流 程圖；[0013]圖6是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的密鑰提供的流程圖；以及[0014]圖7是示出根據(jù)本發(fā)明的優(yōu)選實(shí)施例的用于更改加密密鑰的操作的流程圖?！揪唧w實(shí)施方式】[0015]數(shù)據(jù)安全在企業(yè)計(jì)算中至關(guān)重要。每當(dāng)在諸如閃存盤或DVD或硬盤或其它可移動 介質(zhì)之類的可移動永久性存儲介質(zhì)上存儲敏感客戶數(shù)據(jù)時(shí),必須對數(shù)據(jù)執(zhí)行密鑰加密以防 止未授權(quán)的訪問?？紤]到可移除的便攜式閃存盤的持久特性，由此甚至在斷電時(shí)數(shù)據(jù)仍持 久保存在存儲器中，更應(yīng)該執(zhí)行加密。確實(shí)，當(dāng)介質(zhì)被移除并在以后重新連接到系統(tǒng)時(shí)，需 要一種機(jī)制來驗(yàn)證系統(tǒng)有權(quán)對數(shù)據(jù)進(jìn)行解密。此機(jī)制應(yīng)該集成在系統(tǒng)內(nèi)，而無需客戶干預(yù)。[0016]本發(fā)明的各方面涉及在企業(yè)計(jì)算系統(tǒng)內(nèi)提供加密密鑰的端到端管理。密鑰管理由 可能鏡像的系統(tǒng)支持元件(SE)使用連接SE的智能卡的加密功能進(jìn)行處理。數(shù)據(jù)加密通過 協(xié)議提供，這些協(xié)議確保系統(tǒng)上的智能卡與SE的組合被授權(quán)提供對加密數(shù)據(jù)進(jìn)行解密所 需的密鑰。[0017]現(xiàn)在參考圖1，其中提供了企業(yè)計(jì)算系統(tǒng)10。系統(tǒng)10包括主計(jì)算系統(tǒng)20，該計(jì)算 系統(tǒng)可包括諸如通過有線或無線網(wǎng)絡(luò)相互通信的個(gè)人計(jì)算機(jī)、個(gè)人數(shù)字助理和服務(wù)器之類 的計(jì)算設(shè)備構(gòu)成的網(wǎng)絡(luò)。主計(jì)算系統(tǒng)20例如還可包括設(shè)備21，例如閃存卡或其它可移動設(shè) 備，其上面的數(shù)據(jù)受加密密鑰保護(hù)。具體而言，所述計(jì)算設(shè)備可以包括主SE30和次SE40。 系統(tǒng)10進(jìn)一步包括主智能卡50和次智能卡60。主智能卡和次智能卡50和60包括在沒有 電的情況下持久的公鑰/私鑰對和密鑰加密密鑰(KEK)。主智能卡和次智能卡50和60分 別與主SE30和次SE40關(guān)聯(lián)。[0018]當(dāng)系統(tǒng)10透明地保護(hù)客戶數(shù)據(jù)時(shí)，系統(tǒng)10可被視為在沒有客戶干預(yù)地情況下執(zhí) 行操作。在這樣的情況下，系統(tǒng)10必須獲取用于數(shù)據(jù)加密或數(shù)據(jù)訪問認(rèn)證的密鑰，但是該 密鑰(或多個(gè)密鑰)的生成、存儲和傳送必須不允許未授權(quán)的訪問。另外，系統(tǒng)10的密鑰管 理資源和算法必須能容忍硬件故障，從而，當(dāng)安全數(shù)據(jù)被遷移到另一系統(tǒng)時(shí)，也可以同時(shí)遷 移對應(yīng)的密鑰(或多個(gè)密鑰)。另外，密鑰(或多個(gè)密鑰)必須能夠定期更改。根據(jù)本發(fā)明的 實(shí)施例，集成密鑰服務(wù)器在使用智能卡(即，主智能卡50)的系統(tǒng)SE (B卩，主SE30)上執(zhí)行以 創(chuàng)建系統(tǒng)10在保護(hù)設(shè)備21上的客戶數(shù)據(jù)時(shí)使用的加密密鑰。密鑰由SE30存儲在加密密 鑰文件中，該文件只能由用于創(chuàng)建該密鑰的智能卡50和SE30解密。當(dāng)企業(yè)計(jì)算系統(tǒng)10執(zhí) 行初始化時(shí)，密鑰從密鑰文件中被解密并且被安全地從SE30傳輸?shù)狡髽I(yè)計(jì)算系統(tǒng)10。本發(fā) 明的進(jìn)一步的實(shí)施例包括跨多個(gè)SE (B卩，主SE30次SE40)鏡像密鑰服務(wù)器功能，從而使系 統(tǒng)10能夠容忍SE故障，更改一個(gè)或多個(gè)所生成的密鑰并安全地將一個(gè)或多個(gè)密鑰遷移到 新系統(tǒng)以跟隨通過一個(gè)或多個(gè)密鑰保護(hù)的已遷移數(shù)據(jù)。[0019]在一個(gè)實(shí)施例中，SE30可包括物理鎖定的膝上型計(jì)算機(jī)和其中可插入智能卡50 的集成讀卡器。當(dāng)SE被“鎖定”時(shí)，無法使智能卡50彈出，除非取卡的人具有解開物理鎖 的物理鑰匙。[0020]SE30可以通過安全通信線路連接到系統(tǒng)10，也可以不連接到系統(tǒng)10。系統(tǒng)10具 有代碼組件，例如輸入/輸出處理器(Ι0Ρ)，該組件管理數(shù)據(jù)保護(hù)。在上電復(fù)位(POR)期間， IOP代碼生成公鑰并將該公鑰發(fā)送到SE30，以便在加密密鑰在SE30和企業(yè)計(jì)算系統(tǒng)10之 間的傳輸過程中用于包裹(wrap)加密密鑰。然后，IOP代碼使用其私鑰對被包裹的加密密鑰進(jìn)行解密。IOP代碼然后使用加密密鑰訪問設(shè)備21上的數(shù)據(jù)。[0021]開始，SE30上的密鑰管理代碼(被稱為集成密鑰控制器(IKC))調(diào)用程序以創(chuàng)建加 密密鑰并將加密密鑰存儲在SE30上的文件中。文件內(nèi)容為加密的加密密鑰和SE30的序列 號。此外，整個(gè)文件使用智能卡50生成的公鑰進(jìn)行加密。這樣做是必要的，以便能在以后判 定密鑰文件是否與智能卡50緊密相關(guān)。驗(yàn)證密鑰文件與智能卡50關(guān)聯(lián)的過程包含使用文 件的加密內(nèi)容和SE30的序列號調(diào)用智能卡50上的程序。智能卡50使用智能卡50的私鑰 對文件內(nèi)容進(jìn)行解密，然后比較接口上提供的SE30的序列號與解密文件內(nèi)容中的序列號。[0022]如上所述，在此環(huán)境中至少存在兩個(gè)SE:主SE30和一個(gè)或多個(gè)備選，例如次SE40。 主SE30和次SE40通過或可以通過作為系統(tǒng)10的有線或無線通信鏈路連接。主SE30處理 來自IOP代碼的密鑰請求，并且如果主SE30失敗，則次SE40接替并變?yōu)樾碌闹鱏E。一旦 失敗的主SE30恢復(fù)，該SE便承擔(dān)備選或次SE的角色。主SE30和次SE40分別具有自己的 加密密鑰文件并具有加密密鑰文件與智能卡50 (或60)之間的唯一關(guān)聯(lián)，此關(guān)聯(lián)借助于SE 序列號和用于加密密鑰文件的智能卡公鑰。[0023]現(xiàn)在參考圖2，將介紹通過主智能卡50初始化主SE30。此過程涉及IKC代碼加載 初始化小應(yīng)用程序(applet)(即，智能卡執(zhí)行的代碼)并使用主SE30的序列號調(diào)用初始化 小應(yīng)用程序。小應(yīng)用程序代碼創(chuàng)建保留在主智能卡50上的公鑰/私鑰對(其中公鑰可導(dǎo) 出)、對稱KEK (也可保留在智能卡上并且可導(dǎo)出)、對稱加密密鑰(其使用KEK加密并且不保 留在主智能卡50上)、以及復(fù)合文件(blob)(其使用主智能卡50公鑰加密)。該復(fù)合文件 包括KEK加密的閃存加密密鑰/認(rèn)證密鑰和主SE30的序列號。[0024]如圖2和接下來的附圖所示，從SE出發(fā)到IKC的箭頭是應(yīng)用程序接口(API)調(diào) 用，從IKC返回到SE的箭頭是響應(yīng)。有些響應(yīng)包含數(shù)據(jù)，其它響應(yīng)僅包含返回碼。從IKC 出發(fā)到智能卡的箭頭表示應(yīng)用協(xié)議數(shù)據(jù)單元(APDU)，具體是指命令A(yù)PDU。從智能卡返回到 IKC的箭頭是響應(yīng)APDU。APDU箭頭上面的數(shù)據(jù)是通過APDU傳輸?shù)臄?shù)據(jù)。在圖2中，使用主 SE30的序列號和文件名調(diào)用initKeyPrimary API。IKC通過將命令A(yù)PDU發(fā)送到主智能卡 50并將序列號作為數(shù)據(jù)傳輸來處理此API調(diào)用。在接收到命令A(yù)PDU時(shí)，主智能卡50創(chuàng)建 并保留公鑰/私鑰對，創(chuàng)建并保留KEK，創(chuàng)建閃速/認(rèn)證密鑰，不保留該密鑰，并使用KEK對 該密鑰進(jìn)行加密，創(chuàng)建由KEK加密的閃速/認(rèn)證密鑰和SE的序列號構(gòu)成的blob并使用所 保留的公鑰對該blob進(jìn)行加密(210)。blob被發(fā)送回IKC，IKC然后使用從主SE30傳遞的 名稱創(chuàng)建文件，并將加密的blob寫入主SE30上的文件。IKC然后將返回碼發(fā)送回主SE30 (220)。如上所述，閃速/認(rèn)證密鑰是對稱加密密鑰，該密鑰由KEK加密并且不保留在主智 能卡50上。blob是復(fù)合文件，該文件由主智能卡50公鑰進(jìn)行加密并包括KEK加密的閃速 /認(rèn)證密鑰和主SE30的序列號。[0025]圖2的操作以及圖3-7的操作描述了 SE代碼與IKC代碼之間的交互以及IKC與 智能卡之間的交互。IKC通過APDU將命令發(fā)送到智能卡，而來自智能卡的響應(yīng)是任何數(shù)據(jù) 加上代碼，如果數(shù)據(jù)良好，該代碼例如是0x9000，否則，該響應(yīng)例如是眾多2字節(jié)否定返回碼之一 O[0026]現(xiàn)在參考圖3-5，其中示出次SE40的初始化。用于該序列的應(yīng)用程序接口是 initKeyAlternate、retrieveKEKAndKey 和 storeKEKAndKey,其中該序列由主 SE30 發(fā)起。 該序列中的第一 API的用途是通過小應(yīng)用程序代碼初始化次SE40上的次智能卡60，并且創(chuàng)建另一公鑰/私鑰對。因此，該API返回與次SE40關(guān)聯(lián)的次智能卡60公鑰。該公鑰在第 二 API中被使用以對KEK和KEK加密的閃速/認(rèn)證密鑰進(jìn)行加密，以便將產(chǎn)生的blob發(fā)送 回次SE40作為冗余。[0027]如圖3所示，其中安裝主智能卡50的主SE30將GET_ALT_PUB_KEY請求發(fā)送到其 中安裝次智能卡60的次SE40 (300)。次SE40通過使用initKeyAlternate API調(diào)用IKC 來做出響應(yīng)。IKC將命令A(yù)PDU發(fā)送到次智能卡60。次智能卡60然后創(chuàng)建自己的公鑰/私 鑰對，該對保留在次智能卡60上(320)。公鑰和公鑰類型然后被依次發(fā)送回IKC、次SE40和 主 SE30 (330)。[0028]該初始化序列中的第二 API從主SE30檢索KEK和加密密鑰，使用次SE40的公鑰 將它們加密為blob，然后將該blob發(fā)送到次SE40。[0029]就是說，參考圖4，主SE30將retrieveKEKAndKey請求發(fā)送到IKC，該請求中包括 次SE40的公鑰、其公鑰類型和文件名(400)。IKC然后讀取文件內(nèi)容以提取加密的blob。 IKC然后通過APDU將blob、次SE40公鑰及其公鑰類型發(fā)送到主智能卡50 (410)。主智能 卡50然后使用主智能卡50私鑰對blob進(jìn)行解密，創(chuàng)建包括KEK和KEK加密的閃速/認(rèn)證 密鑰的新blob，然后使用次SE公鑰對blob進(jìn)行加密(420)。新的加密的blob然后被依次 發(fā)送回IKC和主SE30 (430)。[0030]該初始化序列中的第三API (也由主SE30發(fā)起)將從主SE30提取的KEK和KEK加 密的閃速/認(rèn)證密鑰存儲到次SE40中并完成該初始化序列。首先，API使用來自第二初始 化API的blob和次SE40的序列號調(diào)用次SE40的次智能卡60上的小應(yīng)用程序代碼。小應(yīng) 用程序代碼使用次智能卡60的私鑰對blob進(jìn)行解密，將KEK存儲在次智能卡60上并將新 的blob返回到IKC以存儲在文件中。新的blob由KEK加密的閃速/認(rèn)證密鑰和次SE40 的序列號構(gòu)成并且使用次SE40的次智能卡60公鑰進(jìn)行加密。[0031]就是說，參考圖5，主SE30將帶有關(guān)聯(lián)的blob的ST0RE_KEK_AND_KEY請求發(fā)送到 次SE40 (500)。次SE40然后將storeKEKAndKey命令發(fā)送到IKC (510)。該命令包括關(guān)聯(lián) 的blob、次SE40公鑰類型、次SE40的序列號和文件名。IKC然后通過APDU將關(guān)聯(lián)的blob、 次SE40公鑰類型和次SE40的序列號發(fā)送到次智能卡60 (520)。次智能卡60對blob進(jìn) 行解密，保留KEK，由解密的blob和次SE40的序列號創(chuàng)建包括KEK加密的閃速/認(rèn)證密鑰 的新blob,并使用次智能卡60的公鑰對blob進(jìn)行加密(530)。加密的blob然后被發(fā)送回 IKC,該IKC然后使用由次SE40在API調(diào)用上傳遞給它的名稱創(chuàng)建文件，并將加密的blob 寫入該文件。次SE40然后將返回碼發(fā)送到主SE30 (540)。[0032]對于密鑰提供操作，密鑰提供API是用于安全地將來自SE30或40的加密密鑰提 供給IOP的接口。通常只能在系統(tǒng)接通電源時(shí)執(zhí)行此操作，但是根據(jù)實(shí)施例，可以在其它預(yù) 定或選定的時(shí)間上執(zhí)行該操作。所提供的加密密鑰可使用應(yīng)IOP的請求被傳遞到SE30或 40的IOP公鑰進(jìn)行加密。[0033]現(xiàn)在參考圖6，IOP將包括公鑰和公鑰類型的數(shù)據(jù)發(fā)送到主SE30 (600)，然后主 SE30將retrieveKey命令發(fā)送到IKC(610)。retrieveKey命令包括公鑰、公鑰類型和文件 名。IKC讀取文件內(nèi)容，提取加密的blob，然后通過APDU將blob、公鑰和公鑰類型發(fā)送到 主智能卡50 (620)。主智能卡50使用主智能卡50私鑰對blob進(jìn)行解密，使用KEK對KEK 加密的閃速/認(rèn)證密鑰進(jìn)行解密，并使用IOP的公鑰對閃速/認(rèn)證密鑰進(jìn)行加密(630)。加密的閃速/認(rèn)證密鑰然后被返回到主SE30，該SE30繼續(xù)將該密鑰發(fā)送到IOP。IOP使用其私鑰對加密的密鑰進(jìn)行解密，從而建立新的閃速/認(rèn)證密鑰(640)。[0034]更改加密密鑰(rollKey)API提供用于更改或“滾動”加密密鑰的接口。這涉及主 SE30發(fā)送來保存加密的blob的文件的名稱，該加密的blob包含新的閃速/認(rèn)證密鑰以及主SE30的序列號。小應(yīng)用程序產(chǎn)生新的閃速/認(rèn)證密鑰，使用KEK對該閃速/認(rèn)證密鑰進(jìn)行加密，然后對包括KEK加密的閃速/認(rèn)證密鑰和主SE30的序列號的blob進(jìn)行公鑰加密。然后將blob寫入新文件。然后為了實(shí)際滾動密鑰，主SE30使用新文件名調(diào)用IKC中的retrieveKey O API，并且基本遵循圖6中描述的流程序列，因?yàn)橹鱏E30將調(diào)用兩次IKC， 從而在兩次中傳遞來IOP的公鑰，且在第一調(diào)用時(shí)傳遞當(dāng)前密鑰的文件名和在次調(diào)用時(shí)傳遞新密鑰的文件名。當(dāng)對IKC進(jìn)行第一調(diào)用時(shí)，IKC讀取文件內(nèi)容以提取blob，然后將IOP 公鑰和blob發(fā)送到智能卡。智能卡對blob進(jìn)行解密,對KEK加密的閃速/認(rèn)證密鑰進(jìn)行解密，使用IOP公鑰包裹閃速/認(rèn)證密鑰并將其發(fā)送 回IKC，該IKC接著將其發(fā)送回主SE30。 對IKC的次調(diào)用包括使用新的閃速/認(rèn)證密鑰的文件名的同一過程。主SE30然后將新的和當(dāng)前的閃速/認(rèn)證密鑰發(fā)送到Ι0Ρ，這兩個(gè)密鑰分別包括在IOP的公鑰中。當(dāng)密鑰“滾動” 完成時(shí)，備份當(dāng)前的閃速/認(rèn)證密鑰文件并且新的閃速/認(rèn)證密鑰文件變?yōu)楫?dāng)前的密鑰文件。[0035]現(xiàn)在參考圖7，主SE30將rollKey命令發(fā)送到IKC (700)，該IKC將命令A(yù)PDU發(fā)送到主智能卡50。該命令包括主SE30序列號。接下來，創(chuàng)建新的閃速/認(rèn)證密鑰并由KEK 進(jìn)行加密，創(chuàng)建blob，該blob包括KEK加密的閃速/認(rèn)證密鑰和主SE30的序列號，且使用主智能卡50公鑰對該blob進(jìn)行加密(710)。將blob返回到IKC，該IKC使用在API調(diào)用上傳遞的名稱創(chuàng)建文件，并且將加密的blob寫入文件。IKC將返回碼發(fā)送回主SE30 (720)。[0036]鏡像API將密鑰從次SE40鏡像到新的主SE30。該API initKeyMirrorOther O的用途是通過小應(yīng)用程序代碼初始化新的SE30上的智能卡并創(chuàng)建公鑰/私鑰對。該API在發(fā)生故障的主SE30返回線上之后被調(diào)用。該API返回將與新的主SE30關(guān)聯(lián)的次智能卡60 的公鑰。該公鑰用于對KEK和KEK加密的閃速/認(rèn)證密鑰進(jìn)行加密，從而將產(chǎn)生的blob從次SE40發(fā)送回新的主SE30。該API是initKeyOther API的鏡像，其中主SE30與次SE40 的角色倒置。[0037]為了加密密鑰的導(dǎo)出遷移，當(dāng)加密數(shù)據(jù)被轉(zhuǎn)移時(shí)，閃速密鑰文件必須被轉(zhuǎn)移到新系統(tǒng)。這涉及使用密鑰文件的文件名調(diào)用API storeFIashFiIeOnSmartCard?密鑰文件內(nèi)容由該API讀取并被“原樣”存儲在智能卡上。所命名的密鑰文件必須與智能卡關(guān)聯(lián)。在此操作之后，包含密鑰文件的智能卡然后可被轉(zhuǎn)到新的SE。為了導(dǎo)入遷移，智能卡上被轉(zhuǎn)到新系統(tǒng)的密鑰文件在新系統(tǒng)上恢復(fù)，其中新系統(tǒng)的序列號嵌入閃速文件中。這涉及使用密鑰文件的新文件名和新SE的序列號調(diào)用API restoreFlashFileToSE。所存儲的密鑰文件內(nèi)容由智能卡小應(yīng)用程序代碼進(jìn)行解密以允許插入新序列號，然后使用智能卡的公鑰重新加密。blob被返回到卡外API代碼以被寫入其文件名在接口上傳遞來的文件。[0038]本發(fā)明的技術(shù)效果和優(yōu)點(diǎn)涉及在企業(yè)計(jì)算系統(tǒng)內(nèi)提供加密密鑰的端到端管理。密鑰管理由鏡像的系統(tǒng)支持元件(SE)使用連接SE的智能卡的加密功能進(jìn)行處理。數(shù)據(jù)加密通過協(xié)議提供，這些協(xié)議確保系統(tǒng)上的智能卡與SE的組合被授權(quán)提供解密來自外接存儲介質(zhì)的數(shù)據(jù)所需的密鑰。[0039]在此使用的術(shù)語只是為了描述特定的實(shí)施例并且并非旨在作為本發(fā)明的限制。如 在此使用的那樣，單數(shù)形式“一”、“一個(gè)”和“該”旨在同樣包括復(fù)數(shù)形式，除非上下文明確 地另有所指。還將理解，當(dāng)在此說明書中使用時(shí)，術(shù)語“包括”和/或“包含”指定了聲明的 特性、整數(shù)、步驟、操作、元素和/或組件的存在，但是并不排除一個(gè)或多個(gè)其它特性、整數(shù)、 步驟、操作、元素、組件和/或其組的存在或增加。[0040]下面權(quán)利要求中的所有裝置或步驟加功能元件的對應(yīng)結(jié)構(gòu)、材料、操作以及等同 替換旨在包括任何用于與在權(quán)利要求中具體指出的其它元件相組合地執(zhí)行該功能的結(jié)構(gòu)、 材料或操作。出于示例和說明目的給出了對本發(fā)明的描述，但所述描述并非旨在是窮舉的 或是將本發(fā)明限于所公開的形式。對于所屬【技術(shù)領(lǐng)域】的普通技術(shù)人員來說許多修改和變化 都將是顯而易見的。實(shí)施例的選擇和描述是為了最佳地解釋本發(fā)明的原理和實(shí)際應(yīng)用，并 且使得所屬【技術(shù)領(lǐng)域】的其它普通技術(shù)人員能夠理解本發(fā)明的適合于所構(gòu)想的特定使用的 具有各種修改的各種實(shí)施例。[0041]所屬【技術(shù)領(lǐng)域】的技術(shù)人員知道，本發(fā)明的各個(gè)方面可以實(shí)現(xiàn)為系統(tǒng)、方法或計(jì)算 機(jī)程序產(chǎn)品。因此，本發(fā)明的各個(gè)方面可以具體實(shí)現(xiàn)為以下形式，即:完全的硬件實(shí)施方式、 完全的軟件實(shí)施方式(包括固件、駐留軟件、微代碼等)，或硬件和軟件方面結(jié)合的實(shí)施方 式，這里可以統(tǒng)稱為“電路”、“模塊”或“系統(tǒng)”。此外，本發(fā)明的各個(gè)方面還可以實(shí)現(xiàn)為在一 個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)中的計(jì)算機(jī)程序產(chǎn)品的形式，該計(jì)算機(jī)可讀介質(zhì)中包含計(jì)算機(jī)可 讀的程序代碼。[0042]可以采用一個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)的任意組合。計(jì)算機(jī)可讀介質(zhì)可以是計(jì)算機(jī) 可讀信號介質(zhì)或者計(jì)算機(jī)可讀存儲介質(zhì)。計(jì)算機(jī)可讀存儲介質(zhì)例如可以是一但不限于一 電、磁、光、電磁、紅外線、或半導(dǎo)體的系統(tǒng)、裝置或設(shè)備，或者上述的任意合適的組合。計(jì)算 機(jī)可讀存儲介質(zhì)的更具體的例子(非窮舉的列表)包括:具有一個(gè)或多個(gè)導(dǎo)線的電連接、便 攜式計(jì)算機(jī)盤、硬盤、隨機(jī)存取存儲器(RAM)、只讀存儲器(ROM)、可擦式可編程只讀存儲器 (EPROM或閃存)、光纖、便攜式緊湊盤只讀存儲器(CD-ROM)、光存儲設(shè)備、磁存儲設(shè)備、或者 上述的任意合適的組合。在本文件中，計(jì)算機(jī)可讀存儲介質(zhì)可以是任何包含或存儲程序的 有形介質(zhì)，該程序可以被指令執(zhí)行系統(tǒng)、裝置或者設(shè)備使用或者與其結(jié)合使用。[0043]計(jì)算機(jī)可讀的信號介質(zhì)可以包括例如在基帶中或者作為載波一部分傳播的數(shù)據(jù) 信號，其中承載了計(jì)算機(jī)可讀的程序代碼。這種傳播的數(shù)據(jù)信號可以采用多種形式，包括一 但不限于一電磁信號、光信號或上述的任意合適的組合。計(jì)算機(jī)可讀的信號介質(zhì)可以是計(jì) 算機(jī)可讀存儲介質(zhì)以外的任何計(jì)算機(jī)可讀介質(zhì)，該計(jì)算機(jī)可讀介質(zhì)可以發(fā)送、傳播或者傳 輸用于由指令執(zhí)行系統(tǒng)、裝置或者設(shè)備使用或者與其結(jié)合使用的程序。[0044]計(jì)算機(jī)可讀介質(zhì)上包含的程序代碼可以用任何適當(dāng)?shù)慕橘|(zhì)傳輸，包括一但不限 于一無線、有線、光纜、RF等等，或者上述的任意合適的組合。[0045]可以以一種或多種程序設(shè)計(jì)語言的任意組合來編寫用于執(zhí)行本發(fā)明的各個(gè)方面 的操作的計(jì)算機(jī)程序代碼，所述程序設(shè)計(jì)語言包括面向?qū)ο蟮某绦蛟O(shè)計(jì)語言一諸如Java、 Smalltalk、C++等，還包括常規(guī)的過程式程序設(shè)計(jì)語言一諸如“C”語言或類似的程序設(shè)計(jì) 語言。程序代碼可以完全地在用戶計(jì)算機(jī)上執(zhí)行、部分地在用戶計(jì)算機(jī)上執(zhí)行、作為一個(gè)獨(dú) 立的軟件包執(zhí)行、部分在用戶計(jì)算機(jī)上部分在遠(yuǎn)程計(jì)算機(jī)上執(zhí)行、或者完全在遠(yuǎn)程計(jì)算機(jī) 或服務(wù)器上執(zhí)行。在涉及遠(yuǎn)程計(jì)算機(jī)的情形中，遠(yuǎn)程計(jì)算機(jī)可以通過任意種類的網(wǎng)絡(luò)一包括局域網(wǎng)(LAN)或廣域網(wǎng)(WAN) —連接到用戶計(jì)算機(jī)，或者，可以連接到外部計(jì)算機(jī)(例如 利用因特網(wǎng)服務(wù)提供商來通過因特網(wǎng)連接)。[0046]下面將參照根據(jù)本發(fā)明實(shí)施例的方法、裝置(系統(tǒng))和計(jì)算機(jī)程序產(chǎn)品的流程圖和 /或框圖描述本發(fā)明的各個(gè)方面。應(yīng)當(dāng)理解，流程圖和/或框圖的每個(gè)方框以及流程圖和/ 或框圖中各方框的組合，都可以由計(jì)算機(jī)程序指令實(shí)現(xiàn)。這些計(jì)算機(jī)程序指令可以提供給 通用計(jì)算機(jī)、專用計(jì)算機(jī)或其它可編程數(shù)據(jù)處理裝置的處理器，從而生產(chǎn)出一種機(jī)器，使得 這些指令在通過計(jì)算機(jī)或其它可編程數(shù)據(jù)處理裝置的處理器執(zhí)行時(shí)，產(chǎn)生了實(shí)現(xiàn)流程圖和 /或框圖中的一個(gè)或多個(gè)方框中規(guī)定的功能/動作的裝置。[0047]也可以把這些計(jì)算機(jī)程序指令存儲在計(jì)算機(jī)可讀介質(zhì)中，這些指令使得計(jì)算機(jī)、 其它可編程數(shù)據(jù)處理裝置、或其它設(shè)備以特定方式工作，從而，存儲在計(jì)算機(jī)可讀介質(zhì)中的 指令就產(chǎn)生出包括實(shí)現(xiàn)流程圖和/或框圖中的一個(gè)或多個(gè)方框中規(guī)定的功能/動作的指令 的制造品(article of manufacture)0[0048]也可以把計(jì)算機(jī)程序指令加載到計(jì)算機(jī)、其它可編程數(shù)據(jù)處理裝置、或其它設(shè)備 上，使得在計(jì)算機(jī)、其它可編程裝置或其它設(shè)備上執(zhí)行一系列操作步驟，以產(chǎn)生計(jì)算機(jī)實(shí)現(xiàn) 的過程，從而使得在計(jì)算機(jī)或其它可編程裝置上執(zhí)行的指令提供實(shí)現(xiàn)流程圖和/或框圖中 的一個(gè)或多個(gè)方框中規(guī)定的功能/動作的過程。[0049]附圖中的流程圖和框圖顯示了根據(jù)本發(fā)明的多個(gè)實(shí)施例的系統(tǒng)、方法和計(jì)算機(jī)程 序產(chǎn)品的可能實(shí)現(xiàn)的體系架構(gòu)、功能和操作。在這點(diǎn)上，流程圖或框圖中的每個(gè)方框可以 代表一個(gè)模塊、程序段或代碼的一部分，所述模塊、程序段或代碼的一部分包含一個(gè)或多個(gè) 用于實(shí)現(xiàn)規(guī)定的邏輯功能的可執(zhí)行指令。也應(yīng)當(dāng)注意，在有些作為替換的實(shí)現(xiàn)中，方框中所 標(biāo)注的功能也可以以不同于附圖中所標(biāo)注的順序發(fā)生。例如，兩個(gè)連續(xù)的方框?qū)嶋H上可以 基本并行地執(zhí)行，它們有時(shí)也可以按相反的順序執(zhí)行，這依所涉及的功能而定。也要注意的 是，框圖和/或流程圖中的每個(gè)方框、以及框圖和/或流程圖中的方框的組合，可以用執(zhí)行 規(guī)定的功能或動作的專用的基于硬件的系統(tǒng)來實(shí)現(xiàn)，或者可以用專用硬件與計(jì)算機(jī)指令的 組合來實(shí)現(xiàn)。
【權(quán)利要求】
1.一種用于集成密鑰提供的計(jì)算機(jī)程序產(chǎn)品，所述計(jì)算機(jī)程序產(chǎn)品包括:有形存儲介質(zhì)，其可被處理電路讀取并存儲由所述處理電路執(zhí)行以執(zhí)行一種方法的指令，所述方法包括:使用兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡與兩個(gè)或多個(gè)支持元件中的一個(gè)支持元件以創(chuàng)建加密密鑰；以及將所述加密密鑰存儲在只能由用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密的加密文件中。
2.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括:檢索所述加密密鑰；以及安全地將所述檢索的加密密鑰從所述支持元件傳輸?shù)脚c所述支持元件相連的計(jì)算系統(tǒng)。
3.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括初始化作為所述支持元件和所述智能卡的備選的次支持元件和次智能卡。
4.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括更改所述加密密鑰。
5.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括鏡像所述加密密鑰。
6.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括導(dǎo)出所述加密密鑰。
7.根據(jù)權(quán)利要求1的方法，進(jìn)一步包括導(dǎo)入所述加密密鑰。
8.一種用于集成密鑰提供的方法，包括:使用兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡與兩個(gè)或多個(gè)支持元件中的一個(gè)支持元件以創(chuàng)建加密密鑰；以及將所述加密密鑰存儲在只能由用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密的加密文件中。
9.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括:檢索所述加密密鑰；以及安全地將所述檢索的加密密鑰從所述支持元件傳輸?shù)脚c所述支持元件相連的計(jì)算系統(tǒng)。
10.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括初始化作為所述支持元件和所述智能卡的備選的次支持元件和次智能卡。
11.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括更改所述加密密鑰。
12.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括鏡像所述加密密鑰。
13.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括導(dǎo)出所述加密密鑰。
14.根據(jù)權(quán)利要求8的方法，進(jìn)一步包括導(dǎo)入所述加密密鑰。
15.一種用于集成密鑰提供的系統(tǒng)，包括:兩個(gè)或多個(gè)智能卡中的一個(gè)智能卡；以及兩個(gè)或多個(gè)支持元件中的一個(gè)支持元件；所述智能卡可安裝到所述支持元件中并可從所述支持元件中移除以創(chuàng)建將存儲在加密文件中的加密密鑰，從而使得所述加密密鑰只能由用于創(chuàng)建所述加密密鑰的所述智能卡和所述支持元件解密。
16.根據(jù)權(quán)利要求15的系統(tǒng)，其中所述加密密鑰可被檢索并且可被安全地從所述支持元件傳輸?shù)脚c所述支持元件相連的計(jì)算系統(tǒng)。
17.根據(jù)權(quán)利要求15的系統(tǒng)，進(jìn)一步包括將被初始化為所述支持元件和所述智能卡的備選的次支持元件和次智能卡。
18.根據(jù)權(quán)利要求15的系統(tǒng)，其中所述加密密鑰可更改。
19.根據(jù)權(quán)利要求15的系統(tǒng)，其中所述加密密鑰被配置為被鏡像。
20.根據(jù)權(quán)利要求15的系統(tǒng)，其中所述加密密鑰可導(dǎo)出和導(dǎo)入。
【文檔編號】H04L9/32GK103563292SQ201280024241
【公開日】2014年2月5日 申請日期:2012年5月15日 優(yōu)先權(quán)日:2011年6月1日
【發(fā)明者】P·K·什韋德, R·古塞夫斯基, E·舍森斯卡, G·J·蘇利萬, J·R·庫恩, K·維爾納, T·B·馬賽厄斯, M·J·喬丹, J·達(dá)伊卡, M·克雷默, S·G·格拉森 申請人:國際商業(yè)機(jī)器公司