[发明专利]一种密钥分发方法、装置和计算机可读介质

说明书

本发明实施例涉及信息安全技术，尤其涉及一种密钥分发方法、装置和计算机可读介质。密钥分发方法包括：证书颁发机构向工业设备配置设备初始密钥对以及密钥服务器证书，并为密钥服务器配置私钥以及证书颁发机构自身的证书；工业设备向密钥服务器发送设备初始证书，以请求所述密钥服务器分发所述工业设备的分发密钥；所述密钥服务器与所述工业设备之间的相互验证，并对所述工业设备的分发密钥进行加密传输。基于供应商的证书颁发机构与该供应商的工业设备之间是安全可信的，以及供应商的证书颁发机构与密钥服务器之间是安全可信的前提，从而实现工业设备和密钥服务器之间的互相验证和分发密钥加密。

技术领域

本发明实施例涉及信息安全技术领域，尤其涉及一种密钥分发方法、装置和计算机可读介质。

背景技术

楼宇自动化控制网络(Building Automation Control network，BACnet)是楼宇自动设备之间进行数据通信的标准，其可保证来自不同制造商的楼宇自动化设备之间数据共享。基于该标准的BACnet网络安全架构提供设备鉴权、数据隐藏和用户鉴权。

在BACnet网络安全架构中存在下列密钥：普通网络访问密钥(General-Network-Access)、用户鉴权密钥(User-Authenticated)、安装密钥(Installation)、应用特定密钥(Application-Specific),设备主密钥(Device-Master)和分发密钥(Distribution)。每个密钥实际包括一对密钥值，其中一个用于签名，另一个用于加密，因此，也可将密钥称为“密钥对”。其中，分发密钥用于分发普通网络访问密钥、用户鉴权密钥和应用特定密钥，而这三类密钥可随时间变化以满足安全策略。分发密钥也用于分发临时的安装密钥。设备主密钥仅用于分发分发密钥。

密钥由密钥服务器(Key Server)分发给所有设备。普通网络访问密钥、用户鉴权密钥、应用特定密钥和安装密钥被绑定成密钥组，与一个密钥修订号码一起分发，每个设备会收到该设备特定的这组密钥。

每个工业设备或者有出厂时设置的设备主密钥，或者在设备安装通过发起服务“请求主密钥(Request-Master-Key)”以及执行服务“设置主密钥(Set-Master-Key)”来获取设备主密钥。密钥服务器使用设备主密钥为工业设备提供设备特定的分发密钥，然后，密钥服务器使用该分发密钥向该工业设备发送前述的密钥组(普通网络访问密钥、用户鉴权密钥、应用特定密钥和安装密钥)。

在BACnet网络安全架构中存在如下问题：

1、如果设备主密钥在出厂时设置，则密钥服务器需要为每个工业设备维护设备主密钥。如果密钥服务器的密钥数据库丢失或者无法恢复，则设备主密钥将不得不修改。密钥服务器和各个工业设备为维护设备主密钥需要执行大量的处理。

2、如果设备主密钥在设备安装时通过设置主密钥消息(Set-Master-Key)由密钥服务器生成，则由于目前的消息流程中缺少对设备主密钥的安全防护，存在设备主密钥被窃取或篡改的风险。

发明内容

本发明实施例实施例提供了一种密钥分发方法、装置和计算机可读介质，以解决主密钥安全防护的问题。