[发明专利]一种自助设备远程密钥分发方法

权利要求书

1.一种自助设备远程密钥分发方法，其特征在于，包括以下步骤：

步骤一，系统初始化配置：配置RKL服务器、KMS系统、加密机、CA系统的IP赋值和端口号，配置加密方式、密钥有效期、证书生成方式；如果是预先生成证书，则配置证书存放路径；

步骤二，硬件加密模块初始化：

1)读取并导入硬件加密模块的基本信息到硬件加密模块信息表；

2)根据证书情况进行配置，如果是在线生成证书，则扫描在线的硬件加密模块，生成密钥对，发给CA系统制作证书，并将证书导入硬件加密模块，写入证书表，并根据证书类型将对应的CertID写入硬件加密模块信息表的CaCertID或硬件加密模块CertID字段；如果是预先生成证书，则从硬件加密模块信息表中读取对应的证书导入硬件加密模块设备；

3)对已初始化成功的硬件加密模块，将硬件加密模块状态表中的硬件加密模块Status字段置为“已初始化”；

步骤三，RKL密钥分发管理：

1)选中需要分发的硬件加密模块设备进行分发；

2)将所有选中的设备RKL分发状态表的分发状态DistrStatus字段置为“等待分发”；

3)客户端连接RKL服务器，发起RKL分发请求；

4)RKL服务器查询设备RKL分发状态表中对应的分发状态DistrStatus字段是否为“等待分发”状态，如果不是则拒绝本次分发；如果是则应答本次分发，开始分发流程，根据分发结果是分发成功还是分发失败，将设备RKL分发状态表中的分发状态DistrStatus字段置为“分发成功”或“分发失败”；

5)如果分发成功，RKL服务器调用KMS接口将所有密钥写入密钥信息表；

6)对于“分发失败”的设备，则重新至步骤三的步骤1)执行，直至所有设备分发完成。

2.根据权利要求1所述的方法，其特征在于，所述的步骤三中，步骤4)中的分发流程包括：

(1)申请随机数：客户端向RKL服务器发起申请随机数的请求，RKL服务器通过加密机/加密平台生成随机数，发给客户端；

(2)身份认证、公钥交换：如果硬件加密模块和加密机能够使用身份认证，则进行身份认证，认证成功则保存对方的公钥以实现公钥交换；如果不能使用身份认证，则进行外部认证后再进行双方公钥交换；其中身份认证为使用数字证书或签名作为认证凭证；

(3)主密钥下发：RKL服务器调用加密机接口，生成主密钥，通过硬件加密模块的公钥对主密钥进行加密，并使用RKL服务器的私钥对密文进行签名，将主密钥密文和签名发给客户端应用，客户端应用调用硬件加密模块实现验签、解密并保存主密钥。

3.根据权利要求2所述的方法，其特征在于，所述的分发流程的步骤(2)中，所述的身份认证中，采用数字证书认证时，包括以下步骤：

首先双方交换数字证书，验证对方身份的合法性；验证成功后RKL服务器调用加密机随机生成主密钥，并使用硬件加密模块的公钥对主密钥进行加密，使用RKL服务器的私钥对密文进行签名，将消息发给客户端应用，客户端应用调用硬件加密模块验签、解密主密钥信息，并保存主密钥在硬件加密模块中。

4.根据权利要求2所述的方法，其特征在于，所述的分发流程的步骤(2)中，采用签名认证时，包括以下步骤：

采用第三方的签名数据，先对设备的硬件加密模块公钥、UID进行签名，对RKL服务器的公钥进行签名，并连同厂商公钥下发至设备和RKL服务器中；分发过程中，首先双方交换第三方发放的签名，验证对方身份的合法性；验证成功后RKL服务器调用加密机/加密平台随机生成主密钥，并使用硬件加密模块的公钥对主密钥进行加密，使用RKL服务器的私钥对密文进行签名，将消息发给客户端应用，客户端应用调用硬件加密模块验签、解密主密钥信息，并保存主密钥在硬件加密模块中。

5.根据权利要求2所述的方法，其特征在于，所述的分发流程的步骤(2)中，采用外部认证时，包括以下步骤：

在进行远程密钥分发之前，采用服务端使用用户名、密码认证登录和对设备的IP地址合法性进行验证作为外部认证，通过这些外部认证机制后再进行远程密钥分发操作。