基于se的密鑰管理方法和裝置制造方法
【專利摘要】本發(fā)明實(shí)施例提供了一種基于SE的密鑰管理方法和裝置，包括：SE發(fā)行方對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰；SE應(yīng)用方或者所述SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證；在所述對(duì)稱密鑰驗(yàn)證通過后，所述SE和所述SE應(yīng)用方將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。以實(shí)現(xiàn)在數(shù)據(jù)傳輸中容易被跟蹤從而被偽造和篡改，且私鑰容易泄露的缺點(diǎn)，從而降低加密數(shù)據(jù)泄露的風(fēng)險(xiǎn)。
【專利說明】基于SE的密鑰管理方法和裝置

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全【技術(shù)領(lǐng)域】，尤其涉及一種基于SE的密鑰管理方法和裝置。

【背景技術(shù)】
[0002]隨著計(jì)算機(jī)的發(fā)展，網(wǎng)絡(luò)中的安全問題也日趨嚴(yán)重。在傳輸控制協(xié)議中，傳輸?shù)臄?shù)據(jù)都是以明文進(jìn)行傳輸?shù)?，所以存在固有安全缺陷，解決這一問題的重要手段就是數(shù)據(jù)加密，在現(xiàn)代網(wǎng)絡(luò)通信中，人們的安全意識(shí)越來越強(qiáng)烈，密碼學(xué)的應(yīng)用也越來越廣泛。
[0003]目前加密技術(shù)是電子商務(wù)采取的主要安全保密措施，是最常用的安全保密手段，利用技術(shù)手段把重要的數(shù)據(jù)變?yōu)閬y碼(加密)發(fā)送，到達(dá)目的地后再用相同或不同的手段還原(解密)。加密技術(shù)包括兩個(gè)元素:算法和密鑰。算法是將普通的文本(或者可以理解的信息)與一竄數(shù)字(密鑰)的結(jié)合，產(chǎn)生不可理解的密文的步驟，密鑰是用來對(duì)數(shù)據(jù)進(jìn)行編碼和解碼的一種算法。在安全保密中，可通過適當(dāng)?shù)拿荑€加密技術(shù)和管理機(jī)制來保證網(wǎng)絡(luò)的信息通訊安全。
[0004]密鑰加密技術(shù)的密碼體制分為對(duì)稱密鑰體制和非對(duì)稱密鑰體制兩種。相應(yīng)地，對(duì)數(shù)據(jù)加密的技術(shù)分為兩類，即對(duì)稱加密(私人密鑰加密)和非對(duì)稱加密(公開密鑰加密)。對(duì)稱加密以DES (Data Encrypt1n Standard,數(shù)據(jù)加密標(biāo)準(zhǔn))算法為典型代表；非對(duì)稱加密通常以RSA (Rivest Shamir Adleman，公鑰加密算法)算法為代表。對(duì)稱加密的加密密鑰和解密密鑰相同；而非對(duì)稱加密的加密密鑰和解密密鑰不同，加密密鑰可以公開而解密密鑰需要保密。
[0005]上述現(xiàn)有技術(shù)中的對(duì)數(shù)據(jù)進(jìn)行加密的方法的缺點(diǎn)為:使用軟件對(duì)數(shù)據(jù)進(jìn)行加密存在一定的安全風(fēng)險(xiǎn)，在數(shù)據(jù)傳輸中容易被跟蹤從而被偽造和篡改，且私鑰容易泄露。


【發(fā)明內(nèi)容】

[0006]為解決上述問題，本發(fā)明的實(shí)施例提供了一種基于SE的密鑰管理方法和裝置，以實(shí)現(xiàn)通過硬件加密數(shù)據(jù)，降低密碼泄露的風(fēng)險(xiǎn)。
[0007]一種基于SE的密鑰管理方法，其特征在于，包括:
[0008]SE發(fā)行方對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰；
[0009]SE應(yīng)用方或者所述SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證；
[0010]在所述對(duì)稱密鑰驗(yàn)證通過后，所述SE和所述SE應(yīng)用方將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
[0011]所述SE發(fā)行方對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰，包括:
[0012]所述SE發(fā)行方向所述SE發(fā)送標(biāo)識(shí)及所述SE發(fā)行方的公鑰；
[0013]所述SE將所述標(biāo)識(shí)寫入到所述SE中，作為所述SE的標(biāo)識(shí)，并生成MAC密鑰，將所述MAC密鑰使用所述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給所述SE發(fā)行方；
[0014]所述SE發(fā)行方產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將所述生成非對(duì)稱密鑰請(qǐng)求發(fā)送給所述SE ；
[0015]所述SE根據(jù)所述生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，將包含所述非對(duì)稱密鑰的公鑰證書申請(qǐng)請(qǐng)求發(fā)送給所述SE發(fā)行方。
[0016]所述SE將所述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰。
[0017]所述SE應(yīng)用方或者SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證，包括:
[0018]所述SE應(yīng)用方向所述SE發(fā)送攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求；
[0019]所述SE根據(jù)所述生成對(duì)稱密鑰請(qǐng)求中攜帶的密鑰參數(shù)生成對(duì)稱密鑰，使用所述SE應(yīng)用方的公鑰將所述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用所述MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，將所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方；
[0020]所述SE應(yīng)用方將收到的所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE發(fā)行方，所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證；
[0021 ] 所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證通過后，發(fā)送驗(yàn)證通過指示消息給所述SE應(yīng)用方；
[0022]所述SE應(yīng)用方接收到所述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述對(duì)稱密鑰，并存儲(chǔ)。
[0023]所述SE應(yīng)用方或者SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證，包括:
[0024]所述SE應(yīng)用方向所述SE發(fā)送獲取公鑰請(qǐng)求；
[0025]所述SE根據(jù)所述獲取公鑰請(qǐng)求發(fā)送自身的公鑰給所述SE應(yīng)用方；
[0026]所述SE應(yīng)用方生成對(duì)稱密鑰，并使用所述SE的公鑰對(duì)所述對(duì)稱密鑰進(jìn)行加密，得到加密后的對(duì)稱密鑰；
[0027]所述SE應(yīng)用方向所述SE發(fā)行方發(fā)送所述加密后的對(duì)稱密鑰，所述SE發(fā)行方利用所述SE的MAC密鑰對(duì)所述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方；
[0028]所述SE應(yīng)用方使用所述加密后的對(duì)稱密鑰及所述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將所述密鑰導(dǎo)入請(qǐng)求發(fā)送給所述SE ；
[0029]所述SE接收到所述密鑰導(dǎo)入請(qǐng)求后，對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，在驗(yàn)證通過后，使用自身的私鑰解密所述加密后的對(duì)稱密鑰，得到所述對(duì)稱密鑰，并保存。
[0030]所述SE包括:全球用戶識(shí)別卡、移動(dòng)終端、安全數(shù)碼卡。
[0031]一種基于SE的密鑰管理裝置，其特征在于，包括:SE、SE發(fā)行方和SE應(yīng)用方，
[0032]所述的SE發(fā)行方，用于對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰；
[0033]SE應(yīng)用方或者所述SE，用于生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證；
[0034]所述SE和所述SE應(yīng)用方，還用于在所述對(duì)稱密鑰驗(yàn)證通過后，將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
[0035]所述SE發(fā)行方，用于向所述SE發(fā)送標(biāo)識(shí)及所述SE發(fā)行方的公鑰；
[0036]所述SE，用于將所述標(biāo)識(shí)寫入到所述SE中，作為所述SE的標(biāo)識(shí)，并生成MAC密鑰，將所述MAC密鑰使用所述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給所述SE發(fā)行方；
[0037]所述SE發(fā)行方，用于產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將所述生成非對(duì)稱密鑰請(qǐng)求發(fā)送給所述SE ；
[0038]所述SE，用于根據(jù)所述生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，將包含所述非對(duì)稱密鑰對(duì)的證書申請(qǐng)請(qǐng)求發(fā)送給所述SE發(fā)行方。
[0039]所述SE，還用于將所述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰。
[0040]所述SE應(yīng)用方，用于向所述SE發(fā)送攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求；
[0041]所述SE，用于根據(jù)所述生成對(duì)稱密鑰請(qǐng)求中攜帶的密鑰參數(shù)生成對(duì)稱密鑰，使用所述SE應(yīng)用方的公鑰將所述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用所述MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，將所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方；
[0042]所述SE應(yīng)用方，用于將收到的所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE發(fā)行方；
[0043]所述SE發(fā)行方，用于對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證通過后，發(fā)送驗(yàn)證通過指示消息給所述SE應(yīng)用方；
[0044]所述SE應(yīng)用方，用于接收到所述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述對(duì)稱密鑰，并存儲(chǔ)。
[0045]所述SE應(yīng)用方，用于向所述SE發(fā)送獲取公鑰請(qǐng)求；
[0046]所述SE，用于根據(jù)所述獲取公鑰請(qǐng)求發(fā)送自身的公鑰給所述SE應(yīng)用方，
[0047]所述SE應(yīng)用方，用于生成對(duì)稱密鑰，并使用所述SE的公鑰對(duì)所述對(duì)稱密鑰進(jìn)行加密，得到加密后的對(duì)稱密鑰，并將該加密后的對(duì)稱密鑰發(fā)送給所述SE發(fā)行方；
[0048]所述SE發(fā)行方，用于利用所述SE的MAC密鑰對(duì)所述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方；
[0049]所述SE應(yīng)用方，用于使用所述加密后的對(duì)稱密鑰及所述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將所述密鑰導(dǎo)入請(qǐng)求發(fā)送給所述SE ；
[0050]所述SE，用于接收到所述密鑰導(dǎo)入請(qǐng)求后，對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，在驗(yàn)證通過后，使用自身的私鑰解密所述加密后的對(duì)稱密鑰，得到所述對(duì)稱密鑰，并保存。
[0051]所述SE包括:全球用戶識(shí)別卡、移動(dòng)終端、安全數(shù)碼卡。
[0052]由上述本發(fā)明的實(shí)施例提供的技術(shù)方案可以看出，本發(fā)明實(shí)施例提供一種基于SE的密鑰管理方法，通過SE發(fā)行方對(duì)所述SE進(jìn)行初始化，SE應(yīng)用方或者所述SE生成對(duì)稱密鑰，通過所述SE發(fā)行方對(duì)稱密鑰進(jìn)行驗(yàn)證，所述SE和所述SE應(yīng)用方將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。從而達(dá)到防止在使用軟件操作時(shí)，在數(shù)據(jù)傳輸?shù)倪^程中被跟蹤，密鑰被破譯；且降低私鑰泄露而造成數(shù)據(jù)被盜的風(fēng)險(xiǎn)。

【專利附圖】

【附圖說明】
[0053]為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)實(shí)施例描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)性的前提下，還可以根據(jù)這些附圖獲得其他的附圖。
[0054]圖1為本發(fā)明實(shí)施例一提供的一種基于SE的密鑰管理方法的處理流程圖；
[0055]圖2為本發(fā)明實(shí)施例一提供的一種SE的初始化流程圖；
[0056]圖3為本發(fā)明實(shí)施例一提供的一種SE生成對(duì)稱密鑰處理流程圖；
[0057]圖4為本發(fā)明實(shí)施例一提供的一種SE應(yīng)用方生成對(duì)稱密鑰的處理流程圖；
[0058]圖5為本發(fā)明實(shí)施例二提供的一種基于SE的密鑰管理裝置的示意圖。

【具體實(shí)施方式】
[0059]為便于對(duì)本發(fā)明實(shí)施例的理解，下面將結(jié)合附圖以具體實(shí)施例為例做進(jìn)一步的解釋說明，且各個(gè)實(shí)施例并不構(gòu)成對(duì)本發(fā)明實(shí)施例的限定。
[0060]實(shí)施例一
[0061]本發(fā)明實(shí)施例一提供了一種基于SE的密鑰管理方法，包括:SE發(fā)行方對(duì)SE進(jìn)行初始化，上述SE應(yīng)用方或者上述SE生成對(duì)稱密鑰，并通過上述SE發(fā)行方利用MAC密鑰對(duì)上述對(duì)稱密鑰進(jìn)行驗(yàn)證，在驗(yàn)證通過后，上述SE和上述SE應(yīng)用方將上述對(duì)稱密鑰進(jìn)行存儲(chǔ)。通過利用上述SE中的公鑰或者上述SE應(yīng)用方的公鑰對(duì)上述對(duì)稱密鑰進(jìn)行加密，從而增強(qiáng)數(shù)據(jù)的安全性。上述MAC密鑰包括MAC密鑰。
[0062]上述SE即安全元件可以存在多種硬件上，包括在SM卡、SD卡或移動(dòng)終端中，該SE具備運(yùn)算能力，它可以完成非對(duì)稱密鑰加解密和對(duì)稱密鑰加解密過程，可以對(duì)密碼密鑰、加密密鑰、運(yùn)營(yíng)商密鑰、通訊密鑰提供更加安全的保護(hù)。
[0063]以下結(jié)合附圖對(duì)本發(fā)明的原理和特征進(jìn)行描述，所舉實(shí)例只用于解釋本發(fā)明，并非用于限定本發(fā)明的范圍。
[0064]該實(shí)施例提供了一種基于SE的密鑰管理方法的處理流程圖如圖1所示，包括如下的處理步驟:
[0065]步驟SI 1:SE發(fā)行方對(duì)上述SE進(jìn)行初始化，生成上述SE的標(biāo)識(shí)和MAC密鑰。在需要使用SE保護(hù)密鑰的安全時(shí)，首先對(duì)該SE進(jìn)行初始化，初始化完成才能進(jìn)行之后的步驟。
[0066]步驟S12:SE應(yīng)用方或者上述SE生成對(duì)稱密鑰，通過上述SE發(fā)行方利用上述MAC密鑰對(duì)上述對(duì)稱密鑰進(jìn)行驗(yàn)證。當(dāng)上述SE應(yīng)用方需要使用SE來保證密碼或數(shù)據(jù)安全時(shí)，需要先在上述SE上存儲(chǔ)對(duì)稱密鑰。上述對(duì)稱密鑰包括兩種生成方式，一種是由該SE生成，傳遞給上述SE應(yīng)用方；另一種方式是由上述SE應(yīng)用方生成，再將對(duì)稱密鑰導(dǎo)入到該SE中。
[0067]步驟S13:在上述對(duì)稱密鑰驗(yàn)證通過后，上述SE和上述SE應(yīng)用方將上述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
[0068]本發(fā)明實(shí)施例一提供的一種SE的初始化流程圖如圖2所示，即對(duì)上述步驟Sll作進(jìn)一步的解釋，包括如下步驟:
[0069]步驟S21:上述SE發(fā)行方向上述SE發(fā)送上述標(biāo)識(shí)及上述SE發(fā)行方的公鑰及相關(guān)的參數(shù)，上述參數(shù)包括，該SE的標(biāo)識(shí)。上述SE在使用之前必須由上述SE發(fā)行方對(duì)該SE進(jìn)行初始化，內(nèi)容包括:設(shè)置SE的標(biāo)識(shí)，生成MAC密鑰，生成非對(duì)稱密鑰對(duì)。設(shè)置SE標(biāo)識(shí)是為了在上述SE發(fā)行方標(biāo)識(shí)每一個(gè)SE，生成MAC密鑰是為了，在數(shù)據(jù)傳輸過程中進(jìn)行消息驗(yàn)證，從而保證數(shù)據(jù)在傳輸過程中不被篡改和偽造。
[0070]步驟S22:上述SE將上述標(biāo)識(shí)寫入到自身中，作為上述SE的標(biāo)識(shí)，并生成MAC密鑰，將生成的MAC密鑰使用上述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給上述SE發(fā)行方。該SE寫入標(biāo)識(shí)后，即具有唯一的標(biāo)識(shí)，以便上述SE發(fā)行方對(duì)每個(gè)SE進(jìn)行識(shí)別，并通過MAC密鑰驗(yàn)證上述SE身份的真實(shí)性，并將上述MAC密鑰使用上述SE發(fā)行方的公鑰進(jìn)行加密后發(fā)送給該SE發(fā)行方，以保證數(shù)據(jù)在發(fā)送過程中的安全。
[0071]步驟S23:上述SE發(fā)行方產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將上述生成非對(duì)稱密鑰請(qǐng)求發(fā)送給上述SE。上述SE發(fā)行方需要請(qǐng)求該SE生成非對(duì)稱密鑰對(duì)，并將上述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰，以便對(duì)對(duì)稱密鑰進(jìn)行加密。該SE發(fā)行方發(fā)送的生成非對(duì)稱密鑰請(qǐng)求包括:SE標(biāo)識(shí)、強(qiáng)制更新標(biāo)識(shí)、算法標(biāo)識(shí)、密鑰長(zhǎng)度、PIN碼、MAC密鑰索引。
[0072]步驟S24:上述SE根據(jù)上述SE發(fā)行方發(fā)送的生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，并將包含上述非對(duì)稱密鑰對(duì)的證書申請(qǐng)請(qǐng)求發(fā)送給上述SE發(fā)行方。
[0073]本發(fā)明實(shí)施例一提供的一種SE生成對(duì)稱密鑰處理流程圖如圖3所示，具體包括如下步驟:
[0074]步驟S31:上述SE應(yīng)用方具有一對(duì)非對(duì)稱密鑰，首先將攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求發(fā)送給上述SE，請(qǐng)求該SE生成對(duì)稱密鑰，上述密鑰參數(shù)包括:密鑰的類型以及密鑰的長(zhǎng)度等。
[0075]步驟S32:上述SE根據(jù)上述SE應(yīng)用方發(fā)送的生成對(duì)稱密鑰請(qǐng)求以及攜帶的密鑰參數(shù)生成對(duì)稱密鑰，并使用上述SE應(yīng)用方的公鑰將上述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用上述SE中的MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，再將上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值發(fā)送給上述SE應(yīng)用方，以完成上述對(duì)稱密鑰的生成以及對(duì)該對(duì)稱密鑰進(jìn)行加密，并且通過上述MAC密鑰保證數(shù)據(jù)在傳輸過程中的安全。
[0076]步驟S33:上述SE應(yīng)用方將收到的上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值發(fā)送給上述SE發(fā)行方，以便上述SE發(fā)行方對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，從而確認(rèn)確保數(shù)據(jù)在傳輸過程中不會(huì)被篡改。
[0077]上述SE生成對(duì)稱密鑰需要通過上述SE發(fā)行方驗(yàn)證MAC密鑰，當(dāng)該SE發(fā)行方需要向該SE上保存數(shù)據(jù)時(shí)都需要輸入SE標(biāo)識(shí)進(jìn)行識(shí)別，且為了防止數(shù)據(jù)在傳輸過程中被偽造和篡改，需計(jì)算MAC密鑰數(shù)值。
[0078]步驟S34:上述SE發(fā)行方接收到上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值后，對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，如果驗(yàn)證通過，則上述SE發(fā)行方將發(fā)送驗(yàn)證通過指示消息給上述SE應(yīng)用方；如果驗(yàn)證不通過，則上述SE發(fā)行方發(fā)送驗(yàn)證失敗消息給該SE應(yīng)用方，則該對(duì)稱密鑰生成失敗，SE應(yīng)用方將上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值丟棄。
[0079]步驟S35:上述SE應(yīng)用方接收到上述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)上述加密后的數(shù)據(jù)進(jìn)行解密，得到上述對(duì)稱密鑰，并將上述對(duì)稱密鑰存儲(chǔ)，加密程序結(jié)束。
[0080]本發(fā)明實(shí)施例一提供的一種SE應(yīng)用方生成對(duì)稱密鑰的處理流程圖如圖4上述，具體包括如下步驟:
[0081]步驟S41:上述SE應(yīng)用方首先向上述SE發(fā)送獲取公鑰請(qǐng)求，請(qǐng)求該SE將自身的公鑰發(fā)送給該SE應(yīng)用方，以便上述SE應(yīng)用方對(duì)對(duì)稱密鑰進(jìn)行加密。
[0082]步驟S42:上述SE接收到上述SE應(yīng)用方發(fā)送的上述獲取公鑰請(qǐng)求后，即將自身的公鑰發(fā)送給上述SE應(yīng)用方。
[0083]步驟S43:上述SE應(yīng)用方接收到上述SE的公鑰后，生成對(duì)稱密鑰，并使用該SE的公鑰對(duì)該對(duì)稱密鑰進(jìn)行加密，以得到加密后的對(duì)稱密鑰。
[0084]步驟S44:上述SE應(yīng)用方向上述SE發(fā)行方發(fā)送上述加密后的對(duì)稱密鑰，上述SE發(fā)行方收到加密后的對(duì)稱密鑰后，利用上述SE的MAC密鑰對(duì)上述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將上述MAC密鑰數(shù)值發(fā)送給上述SE應(yīng)用方。
[0085]步驟S45:上述SE應(yīng)用方使用上述加密后的對(duì)稱密鑰及上述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將上述密鑰導(dǎo)入請(qǐng)求發(fā)送給上述SE，以便將上述生成的對(duì)稱密鑰安全的導(dǎo)入到上述SE中。
[0086]步驟S46:上述SE接收到上述密鑰導(dǎo)入請(qǐng)求后，對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，以便識(shí)別上述數(shù)據(jù)及身份的真實(shí)性，如果驗(yàn)證通過，則該SE使用自身的私鑰解密上述加密后的對(duì)稱密鑰，得到上述對(duì)稱密鑰，并保存；否則將放棄解密上述加密后的對(duì)稱密鑰，即對(duì)稱密鑰導(dǎo)入失敗。
[0087]本發(fā)明實(shí)施例支持非對(duì)稱密鑰加密和對(duì)稱密鑰加解密。其中非對(duì)稱加密支持多種算法包括:RSA，ECC, DSA, SM2 ;對(duì)稱加密支持的算法包括:DES，3DES，AES, SM4。
[0088]本領(lǐng)域技術(shù)人員應(yīng)能理解，上述所舉的利用SE公鑰對(duì)對(duì)稱密鑰進(jìn)行加密的方法僅為更好地說明本發(fā)明實(shí)施例的技術(shù)方案，而非對(duì)本發(fā)明實(shí)施例作出的限定。任何對(duì)上述對(duì)稱密鑰進(jìn)行加密的方法如可適用于本專利，均包含在本發(fā)明實(shí)施例的范圍內(nèi)。
[0089]實(shí)施例二
[0090]該實(shí)施例提供了一種基于SE的密鑰管理裝置如圖5所示，具體可以包括如下的模塊:SE、SE發(fā)行方和SE應(yīng)用方。上述的SE發(fā)行方，用于對(duì)上述SE進(jìn)行初始化，生成上述SE的標(biāo)識(shí)和MAC密鑰；SE應(yīng)用方或者上述SE，用于生成對(duì)稱密鑰，并通過上述SE發(fā)行方利用上述MAC密鑰對(duì)上述對(duì)稱密鑰進(jìn)行驗(yàn)證；進(jìn)一步地，上述SE和上述SE應(yīng)用方，還用于在上述對(duì)稱密鑰驗(yàn)證通過后，將上述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
[0091]上述SE發(fā)行方，用于向上述SE發(fā)送標(biāo)識(shí)及上述SE發(fā)行方的公鑰；上述SE，用于將上述標(biāo)識(shí)寫入到上述SE中，作為上述SE的標(biāo)識(shí)，并生成MAC密鑰，將上述MAC密鑰使用上述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給上述SE發(fā)行方。
[0092]上述SE發(fā)行方，用于產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將上述非對(duì)稱密鑰請(qǐng)求發(fā)送給上述SE;上述SE，用于根據(jù)上述生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，將包含上述非對(duì)稱密鑰對(duì)的證書申請(qǐng)請(qǐng)求發(fā)送給上述SE發(fā)行方。上述SE，還用于將上述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰。
[0093]上述SE應(yīng)用方，用于向上述SE發(fā)送攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求；上述SE，用于根據(jù)上述生成對(duì)稱密鑰請(qǐng)求中攜帶的密鑰參數(shù)生成對(duì)稱密鑰，使用上述SE應(yīng)用方的公鑰將上述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用上述MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，將上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值發(fā)送給上述SE應(yīng)用方。
[0094]上述SE應(yīng)用方，用于將收到的上述加密后的數(shù)據(jù)及上述MAC密鑰數(shù)值發(fā)送給上述SE發(fā)行方；上述SE發(fā)行方，用于對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，上述SE發(fā)行方對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證通過后，發(fā)送驗(yàn)證通過指示消息給上述SE應(yīng)用方；上述SE應(yīng)用方，用于接收到上述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)上述加密后的數(shù)據(jù)進(jìn)行解密，得到上述對(duì)稱密鑰，并存儲(chǔ)。
[0095]上述SE應(yīng)用方，用于向上述SE發(fā)送獲取公鑰請(qǐng)求；上述SE，用于根據(jù)上述獲取公鑰請(qǐng)求發(fā)送自身的公鑰給上述SE應(yīng)用方，上述SE應(yīng)用方，用于生成對(duì)稱密鑰，并使用上述SE的公鑰對(duì)上述對(duì)稱密鑰進(jìn)行加密，得到加密后的對(duì)稱密鑰，并將該加密后的對(duì)稱密鑰發(fā)送給上述SE發(fā)行方。
[0096]上述SE發(fā)行方，用于利用上述SE的MAC密鑰對(duì)上述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將上述MAC密鑰數(shù)值發(fā)送給上述SE應(yīng)用方；上述SE應(yīng)用方，用于使用上述加密后的對(duì)稱密鑰及上述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將上述密鑰導(dǎo)入請(qǐng)求發(fā)送給上述SE;上述SE，用于接收到上述密鑰導(dǎo)入請(qǐng)求后，對(duì)上述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，在驗(yàn)證通過后，使用自身的私鑰解密上述加密后的對(duì)稱密鑰，得到上述對(duì)稱密鑰，并保存。
[0097]用本發(fā)明實(shí)施例的裝置對(duì)對(duì)稱密鑰的生成、加密解密的具體過程與前述方法實(shí)施例類似，此處不再贅述。
[0098]綜上上述，本發(fā)明實(shí)施例通過SE發(fā)行方對(duì)SE進(jìn)行初始化，并通過SE應(yīng)用方或者該SE生成對(duì)稱密鑰，再通過上述SE發(fā)行方對(duì)稱密鑰進(jìn)行驗(yàn)證，最后上述SE和上述SE應(yīng)用方將上述對(duì)稱密鑰進(jìn)行存儲(chǔ)。從而達(dá)到防止在使用軟件操作時(shí)，在數(shù)據(jù)傳輸?shù)倪^程中被跟蹤，密鑰被破譯；且降低私鑰泄露而造成數(shù)據(jù)被盜的風(fēng)險(xiǎn)。
[0099]本發(fā)明通過SE安全設(shè)備進(jìn)行操作，將密鑰被破譯的風(fēng)險(xiǎn)等級(jí)降至最低，確保密鑰數(shù)據(jù)的安全。此外，本發(fā)明采用硬件SE方式降低人為因素對(duì)于數(shù)據(jù)安全性的風(fēng)險(xiǎn)，同時(shí)私鑰存儲(chǔ)于硬件中避免了私鑰的泄露。因此，很好地實(shí)現(xiàn)了對(duì)密鑰數(shù)據(jù)的安全性和真實(shí)性的保護(hù)，保護(hù)了使用者的利益。
[0100]本領(lǐng)域普通技術(shù)人員可以理解:附圖只是一個(gè)實(shí)施例的示意圖，附圖中的模塊或流程并不一定是實(shí)施本發(fā)明所必須的。
[0101]通過以上的實(shí)施方式的描述可知，本領(lǐng)域的技術(shù)人員可以清楚地了解到本發(fā)明可借助軟件加必需的通用硬件平臺(tái)的方式來實(shí)現(xiàn)?；谶@樣的理解，本發(fā)明的技術(shù)方案本質(zhì)上或者說對(duì)現(xiàn)有技術(shù)做出貢獻(xiàn)的部分可以以軟件產(chǎn)品的形式體現(xiàn)出來，該計(jì)算機(jī)軟件產(chǎn)品可以存儲(chǔ)在存儲(chǔ)介質(zhì)中，如R0M/RAM、磁碟、光盤等，包括若干指令用以使得一臺(tái)計(jì)算機(jī)設(shè)備(可以是個(gè)人計(jì)算機(jī)，服務(wù)器，或者網(wǎng)絡(luò)設(shè)備等)執(zhí)行本發(fā)明各個(gè)實(shí)施例或者實(shí)施例的某些部分上述的方法。
[0102]本說明書中的各個(gè)實(shí)施例均采用遞進(jìn)的方式描述，各個(gè)實(shí)施例之間相同相似的部分互相參見即可，每個(gè)實(shí)施例重點(diǎn)說明的都是與其他實(shí)施例的不同之處。尤其，對(duì)于裝置或系統(tǒng)實(shí)施例而言，由于其基本相似于方法實(shí)施例，所以描述得比較簡(jiǎn)單，相關(guān)之處參見方法實(shí)施例的部分說明即可。以上所描述的裝置及系統(tǒng)實(shí)施例僅僅是示意性的，其中上述作為分離部件說明的單元可以是或者也可以不是物理上分開的，作為單元顯示的部件可以是或者也可以不是物理單元，即可以位于一個(gè)地方，或者也可以分布到多個(gè)網(wǎng)絡(luò)單元上?？梢愿鶕?jù)實(shí)際的需要選擇其中的部分或者全部模塊來實(shí)現(xiàn)本實(shí)施例方案的目的。本領(lǐng)域普通技術(shù)人員在不付出創(chuàng)造性勞動(dòng)的情況下，即可以理解并實(shí)施。
[0103]以上上述，僅為本發(fā)明較佳的【具體實(shí)施方式】，但本發(fā)明的保護(hù)范圍并不局限于此，任何熟悉本【技術(shù)領(lǐng)域】的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。因此，本發(fā)明的保護(hù)范圍應(yīng)該以權(quán)利要求的保護(hù)范圍為準(zhǔn)。
【權(quán)利要求】
1.一種基于SE的密鑰管理方法，其特征在于，包括: SE發(fā)行方對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰； SE應(yīng)用方或者所述SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證； 在所述對(duì)稱密鑰驗(yàn)證通過后，所述SE和所述SE應(yīng)用方將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
2.根據(jù)權(quán)利要求1所述的基于SE的密鑰管理方法，其特征在于，所述SE發(fā)行方對(duì)所述SE進(jìn)行初始化,生成所述SE的標(biāo)識(shí)和MAC密鑰,包括: 所述SE發(fā)行方向所述SE發(fā)送標(biāo)識(shí)及所述SE發(fā)行方的公鑰；所述SE將所述標(biāo)識(shí)寫入到所述SE中，作為所述SE的標(biāo)識(shí)，并生成MAC密鑰，將所述MAC密鑰使用所述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給所述SE發(fā)行方；所述SE發(fā)行方產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將所述生成非對(duì)稱密鑰請(qǐng)求發(fā)送給所述SE ； 所述SE根據(jù)所述生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，將包含所述非對(duì)稱密鑰的公鑰證書申請(qǐng)請(qǐng)求發(fā)送給所述SE發(fā)行方。
3.根據(jù)權(quán)利要求2所述的基于SE的密鑰管理方法，其特征在于，所述SE將所述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰。
4.根據(jù)權(quán)利要求2所述的基于SE的密鑰管理方法，其特征在于，所述SE應(yīng)用方或者SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證，包括: 所述SE應(yīng)用方向所述SE發(fā)送攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求； 所述SE根據(jù)所述生成對(duì)稱密鑰請(qǐng)求中攜帶的密鑰參數(shù)生成對(duì)稱密鑰，使用所述SE應(yīng)用方的公鑰將所述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用所述MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，將所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方； 所述SE應(yīng)用方將收到的所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE發(fā)行方，所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證； 所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證通過后，發(fā)送驗(yàn)證通過指示消息給所述SE應(yīng)用方； 所述SE應(yīng)用方接收到所述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述對(duì)稱密鑰，并存儲(chǔ)。
5.根據(jù)權(quán)利要求3所述的基于SE的密鑰管理方法，其特征在于，所述SE應(yīng)用方或者SE生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證，包括: 所述SE應(yīng)用方向所述SE發(fā)送獲取公鑰請(qǐng)求； 所述SE根據(jù)所述獲取公鑰請(qǐng)求發(fā)送自身的公鑰給所述SE應(yīng)用方； 所述SE應(yīng)用方生成對(duì)稱密鑰，并使用所述SE的公鑰對(duì)所述對(duì)稱密鑰進(jìn)行加密，得到加S后的對(duì)稱S鑰； 所述SE應(yīng)用方向所述SE發(fā)行方發(fā)送所述加密后的對(duì)稱密鑰，所述SE發(fā)行方利用所述SE的MAC密鑰對(duì)所述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方； 所述SE應(yīng)用方使用所述加密后的對(duì)稱密鑰及所述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將所述密鑰導(dǎo)入請(qǐng)求發(fā)送給所述SE ； 所述SE接收到所述密鑰導(dǎo)入請(qǐng)求后，對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，在驗(yàn)證通過后，使用自身的私鑰解密所述加密后的對(duì)稱密鑰，得到所述對(duì)稱密鑰，并保存。
6.根據(jù)權(quán)利要求1至5任一項(xiàng)所述的基于SE的密鑰管理方法，其特征在于，所述SE包括:全球用戶識(shí)別卡、移動(dòng)終端、安全數(shù)碼卡。
7.一種基于SE的密鑰管理裝置，其特征在于，包括:SE、SE發(fā)行方和SE應(yīng)用方， 所述的SE發(fā)行方，用于對(duì)所述SE進(jìn)行初始化，生成所述SE的標(biāo)識(shí)和MAC密鑰； SE應(yīng)用方或者所述SE，用于生成對(duì)稱密鑰，通過所述SE發(fā)行方利用所述MAC密鑰對(duì)所述對(duì)稱密鑰進(jìn)行驗(yàn)證； 所述SE和所述SE應(yīng)用方，還用于在所述對(duì)稱密鑰驗(yàn)證通過后，將所述對(duì)稱密鑰進(jìn)行存儲(chǔ)。
8.根據(jù)權(quán)利要求7所述的基于SE的密鑰管理裝置，其特征在于， 所述SE發(fā)行方，用于向所述SE發(fā)送標(biāo)識(shí)及所述SE發(fā)行方的公鑰； 所述SE，用于將所述標(biāo)識(shí)寫入到所述SE中，作為所述SE的標(biāo)識(shí)，并生成MAC密鑰，將所述MAC密鑰使用所述SE發(fā)行方的公鑰進(jìn)行加密，并將加密后的數(shù)據(jù)發(fā)送給所述SE發(fā)行方； 所述SE發(fā)行方，用于產(chǎn)生生成非對(duì)稱密鑰請(qǐng)求，并將所述生成非對(duì)稱密鑰請(qǐng)求發(fā)送給所述SE ； 所述SE，用于根據(jù)所述生成非對(duì)稱密鑰請(qǐng)求生成非對(duì)稱密鑰對(duì)，將包含所述非對(duì)稱密鑰對(duì)的證書申請(qǐng)請(qǐng)求發(fā)送給所述SE發(fā)行方。
9.根據(jù)權(quán)利要求8所述的基于SE的密鑰管理裝置，其特征在于:所述SE，還用于將所述非對(duì)稱密鑰中的一個(gè)密鑰作為自己的公鑰。
10.根據(jù)權(quán)利要求8所述的基于SE的密鑰管理裝置，其特征在于， 所述SE應(yīng)用方，用于向所述SE發(fā)送攜帶自己的公鑰和密鑰參數(shù)的生成對(duì)稱密鑰請(qǐng)求； 所述SE，用于根據(jù)所述生成對(duì)稱密鑰請(qǐng)求中攜帶的密鑰參數(shù)生成對(duì)稱密鑰，使用所述SE應(yīng)用方的公鑰將所述對(duì)稱密鑰進(jìn)行加密，并將加密后的數(shù)據(jù)使用所述MAC密鑰計(jì)算出相應(yīng)的MAC密鑰數(shù)值，將所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方； 所述SE應(yīng)用方，用于將收到的所述加密后的數(shù)據(jù)及所述MAC密鑰數(shù)值發(fā)送給所述SE發(fā)行方； 所述SE發(fā)行方，用于對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，所述SE發(fā)行方對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證通過后，發(fā)送驗(yàn)證通過指示消息給所述SE應(yīng)用方； 所述SE應(yīng)用方，用于接收到所述驗(yàn)證通過指示消息后，使用自身的私鑰對(duì)所述加密后的數(shù)據(jù)進(jìn)行解密，得到所述對(duì)稱密鑰，并存儲(chǔ)。
11.根據(jù)權(quán)利要求8所述的基于SE的密鑰管理裝置，其特征在于， 所述SE應(yīng)用方，用于向所述SE發(fā)送獲取公鑰請(qǐng)求； 所述SE，用于根據(jù)所述獲取公鑰請(qǐng)求發(fā)送自身的公鑰給所述SE應(yīng)用方， 所述SE應(yīng)用方，用于生成對(duì)稱密鑰，并使用所述SE的公鑰對(duì)所述對(duì)稱密鑰進(jìn)行加密，得到加密后的對(duì)稱密鑰，并將該加密后的對(duì)稱密鑰發(fā)送給所述SE發(fā)行方； 所述SE發(fā)行方，用于利用所述SE的MAC密鑰對(duì)所述加密后的對(duì)稱密鑰計(jì)算出MAC密鑰數(shù)值，并將所述MAC密鑰數(shù)值發(fā)送給所述SE應(yīng)用方； 所述SE應(yīng)用方，用于使用所述加密后的對(duì)稱密鑰及所述MAC密鑰數(shù)值生成密鑰導(dǎo)入請(qǐng)求，并將所述密鑰導(dǎo)入請(qǐng)求發(fā)送給所述SE ； 所述SE，用于接收到所述密鑰導(dǎo)入請(qǐng)求后，對(duì)所述MAC密鑰數(shù)值進(jìn)行驗(yàn)證，在驗(yàn)證通過后，使用自身的私鑰解密所述加密后的對(duì)稱密鑰，得到所述對(duì)稱密鑰，并保存。
12.根據(jù)權(quán)利要求7至11任一項(xiàng)所述的基于SE的密鑰管理裝置，其特征在于，所述SE包括:全球用戶識(shí)別卡、移動(dòng)終端、安全數(shù)碼卡。
【文檔編號(hào)】H04L9/32GK104253692SQ201410028406
【公開日】2014年12月31日 申請(qǐng)日期:2014年1月21日 優(yōu)先權(quán)日:2014年1月21日
【發(fā)明者】孫貴成 申請(qǐng)人:北京印天網(wǎng)真科技有限公司