[发明专利]遗失设备的子密钥管理方法和系统

权利要求书

1.一种遗失设备的子密钥管理方法，其特征在于，包括：

第一设备遗失后，第二设备中的应用客户端使用绑定第二设备的子密钥Ka2对账户的名称和第一设备的标识D1进行加密得到加密信息后，向应用服务器发送携带所述账户的名称、第二设备的标识D2以及所述加密信息的设备子密钥停用/删除/重新激活请求；

所述应用服务器根据所述设备子密钥停用/删除/重新激活请求中携带的所述账户的名称和D2查找到对应的绑定第二设备的子密钥Ka2后，用查找到的Ka2解密所述加密信息，进而将对应解密得到的所述账户的名称和第一设备的标识D1的子密钥Ka1停用/删除/重新激活。

2.根据权利要求1所述的方法，其特征在于，所述Ka1是在第一设备遗失前，由所述应用服务器和第一设备中的所述应用客户端根据如下方法协商生成：

安装于第一设备中的所述应用客户端向所述应用服务器发送携带第一设备的标识D1以及所述账户的子密钥Ks的设备注册请求；其中，所述Ks是根据所述账户的名称与使用第一设备的用户输入的主密钥生成的；

所述应用服务器接收所述设备注册请求后生成随机数N1，根据N1、D1以及Ks，生成绑定第一设备的子密钥Ka1，并将N1发送给所述应用客户端；

所述应用客户端根据接收的随机数N1以及D1和Ks，生成所述子密钥Ka1。

3.根据权利要求2所述的方法，其特征在于，所述Ks具体根据如下方法生成：

第一设备中的应用客户端向第一设备中的密钥管理服务KMS装置发送携带所述账户的名称的账户子密钥请求；

所述KMS装置接收到所述账户子密钥请求后，根据所述账户的名称与所述用户输入的主密钥生成所述账户的子密钥返回给所述应用客户端。

4.根据权利要求3所述的方法，其特征在于，所述Ka2是第二设备在第一设备遗失前或遗失后，由所述应用服务器和第二设备中的所述应用客户端根据如下方法协商生成：

第二设备中的所述应用客户端向所述应用服务器发送携带D2以及所述账户的名称的新设备注册请求；

所述应用服务器接收所述新设备注册请求后生成随机数N2，根据D2、N2以及所述账户的子密钥Ks，生成绑定第二设备的子密钥Ka2，并将N2发送给所述应用客户端；

第二设备中的应用客户端将所述账户的名称、N2、D2携带在设备子密钥请求中发送给第二设备中的KMS装置；

第二设备中的KMS装置在接收到所述设备子密钥请求后根据用户输入的主密钥，以及所述账户的名称、N2、D2，生成绑定第二设备的子密钥Ka2后，发送给所述应用客户端。

5.根据权利要求3或4所述的方法，其特征在于，所述账户的名称和第一设备的标识D1是在第一设备遗失前，由第一设备中的KMS装置上传至KMS云服务器的；以及

在所述第二设备中的应用客户端使用绑定第二设备的子密钥Ka2对账户的名称和遗失的第一设备的标识D1进行加密前，所述方法还包括：

第二设备中的KMS装置登录所述KMS云服务器，并从所述KMS云服务器获取所述账户的名称和第一设备的标识D1。

6.根据权利要求5所述的方法，其特征在于，在所述第二设备中的KMS装置登录所述KMS云服务器，并从所述KMS云服务器获取所述账户的名称和第一设备的标识D1时，还包括：

第二设备中的KMS装置从所述KMS云服务器获取第一设备的其它应用客户端的账户的名称；

第二设备中的KMS装置在接收到用户输入的遗失设备密钥一键停用/删除/重新激活指令后，对于每个应用客户端，所述KMS装置分别向第二设备中的该应用客户端发送携带第一设备的标识D1和该应用客户端的账户的名称的密钥停用/删除/重新激活指示信息，用以指示该应用客户端向对应的应用服务器发送设备子密钥停用/删除/重新激活请求。