[发明专利]基于SE的密钥管理方法和装置

权利要求书

1.一种基于SE的密钥管理方法，其特征在于，包括：

SE发行方对所述SE进行初始化，生成所述SE的标识和MAC密钥，包括：所述SE发行方向所述SE发送标识及所述SE发行方的公钥；

所述SE将所述标识写入到所述SE中，作为所述SE的标识，并生成MAC密钥，将所述MAC密钥使用所述SE发行方的公钥进行加密，并将加密后的数据发送给所述SE发行方；

所述SE发行方产生生成非对称密钥请求，并将所述生成非对称密钥请求发送给所述SE；

所述SE根据所述生成非对称密钥请求生成非对称密钥对，将包含所述非对称密钥的公钥证书申请请求发送给所述SE发行方；

SE应用方或者所述SE生成对称密钥，通过所述SE发行方利用所述MAC密钥对所述对称密钥进行验证；

在所述对称密钥验证通过后，所述SE和所述SE应用方将所述对称密钥进行存储。

2.根据权利要求1所述的基于SE的密钥管理方法，其特征在于，所述SE将所述非对称密钥中的一个密钥作为自己的公钥。

3.根据权利要求1所述的基于SE的密钥管理方法，其特征在于，所述SE应用方或者SE生成对称密钥，通过所述SE发行方利用所述MAC密钥对所述对称密钥进行验证，包括：

所述SE应用方向所述SE发送携带自己的公钥和密钥参数的生成对称密钥请求；

所述SE根据所述生成对称密钥请求中携带的密钥参数生成对称密钥，使用所述SE应用方的公钥将所述对称密钥进行加密，并将加密后的数据使用所述MAC密钥计算出相应的MAC密钥数值，将所述加密后的数据及所述MAC密钥数值发送给所述SE应用方；

所述SE应用方将收到的所述加密后的数据及所述MAC密钥数值发送给所述SE发行方，所述SE发行方对所述MAC密钥数值进行验证；

所述SE发行方对所述MAC密钥数值进行验证通过后，发送验证通过指示消息给所述SE应用方；

所述SE应用方接收到所述验证通过指示消息后，使用自身的私钥对所述加密后的数据进行解密，得到所述对称密钥，并存储。

4.根据权利要求2所述的基于SE的密钥管理方法，其特征在于，所述SE应用方或者SE生成对称密钥，通过所述SE发行方利用所述MAC密钥对所述对称密钥进行验证，包括：

所述SE应用方向所述SE发送获取公钥请求；

所述SE根据所述获取公钥请求发送自身的公钥给所述SE应用方；

所述SE应用方生成对称密钥，并使用所述SE的公钥对所述对称密钥进行加密，得到加密后的对称密钥；

所述SE应用方向所述SE发行方发送所述加密后的对称密钥，所述SE发行方利用所述SE的MAC密钥对所述加密后的对称密钥计算出MAC密钥数值，并将所述MAC密钥数值发送给所述SE应用方；

所述SE应用方使用所述加密后的对称密钥及所述MAC密钥数值生成密钥导入请求，并将所述密钥导入请求发送给所述SE；

所述SE接收到所述密钥导入请求后，对所述MAC密钥数值进行验证，在验证通过后，使用自身的私钥解密所述加密后的对称密钥，得到所述对称密钥，并保存。

5.根据权利要求1至4任一项所述的基于SE的密钥管理方法，其特征在于，所述SE包括：全球用户识别卡、移动终端、安全数码卡。

6.一种基于SE的密钥管理装置，其特征在于，包括：SE、SE发行方和SE应用方，

所述的SE发行方，用于对所述SE进行初始化，生成所述SE的标识和MAC密钥；

所述SE发行方，用于向所述SE发送标识及所述SE发行方的公钥；

所述SE，用于将所述标识写入到所述SE中，作为所述SE的标识，并生成MAC密钥，将所述MAC密钥使用所述SE发行方的公钥进行加密，并将加密后的数据发送给所述SE发行方；

所述SE发行方，用于产生生成非对称密钥请求，并将所述生成非对称密钥请求发送给所述SE；

所述SE，用于根据所述生成非对称密钥请求生成非对称密钥对，将包含所述非对称密钥对的证书申请请求发送给所述SE发行方；

SE应用方或者所述SE，用于生成对称密钥，通过所述SE发行方利用所述MAC密钥对所述对称密钥进行验证；

所述SE和所述SE应用方，还用于在所述对称密钥验证通过后，将所述对称密钥进行存储。