[发明专利]芯片卡的密钥管理系统及方法

说明书

本发明公开了一种芯片卡的密钥管理系统及方法，该系统包括：多个数字证书存储介质，与根密钥对应的密钥分量数目一致，各数字证书存储介质上预先存储由第三方CA颁发的数字证书；密钥管理单元，用于在数字证书存储介质访问时生成对应的密钥分量，密钥分量为经数字信封加密后的密钥分量；加密机，连接密钥管理单元，用于对经数字信封加密后的密钥分量进行解密并生成根密钥。本发明密钥分量的生成及传递过程均处于密文状态，仅在保密机终端解密生成根密钥，增强了根密钥管理的安全性，且各密钥分量由第三方CA颁发的数字证书存储介质与持有者对应，通过增设对持有者的身份认证的环节，规避了对密钥分量的管理上的风险，且节约设备成本和管理成本。

技术领域

本发明涉及数据卡加密领域，特别地，涉及一种芯片卡的密钥管理系统及方法。

背景技术

密管系统的根密钥是该系统下所有的密钥的基础密钥，根密钥根据分散因子的不同，分散生成各种密钥，再下发到卡片或设备内，因此根密钥的生成、存储、备份、恢复非常重要。现有的根密钥生成一般通过多个密钥分量信封的方式产生，具体如下：

1、准备根密钥分量生成所用的专用机器；

2、设置根密钥生成所需的根密钥分量，通常是5个；

3、专用机器生成根密钥分量，并逐个以纸质信封的方式打印密钥分量和分量校验码，并用信封封装，形成5个信封；

4、每个信封持有者逐个打开信封，输入密钥分量和分量校验码，完成后将信封保存到密码箱，直至5个密钥分量完全输入；

5、系统将5个密钥分量导入加密机，产生根密钥。

现有的根密钥生成系统存在以下缺点：

1、密钥分量需要专用机器，如密码信封打印机，其根据密码机生成的数据，将数据打印在特殊的纸上，然后封装成信封的形式，直接输出5个信封，投入成本高；

2、密钥分量信封打开后处于明文状态，如果管理上有漏洞，很容易泄密，一旦5个密钥分量中的三个被同一人获取，根密钥就会泄漏。

发明内容

本发明提供了一种芯片卡的密钥管理系统及方法，以解决现有的根密钥生成系统依赖专用机器生成密钥分量导致的成本高、且密钥分量处于明文状态存在被窃取风险的技术问题。

本发明采用的技术方案如下：

根据本发明的一个方面，提供一种芯片卡的密钥管理系统，用于根密钥的生成管理，包括：

多个数字证书存储介质，与根密钥对应的密钥分量数目一致，各数字证书存储介质上预先存储由第三方CA颁发的用于持有者身份标识的数字证书；

密钥管理单元，用于在数字证书存储介质访问时生成对应的密钥分量，密钥分量为经数字信封加密后的密钥分量；

加密机，连接密钥管理单元，用于对经数字信封加密后的密钥分量进行解密获得密钥分量明文，并在接收到全部的密钥分量后生成根密钥。

进一步地，密钥管理单元还用于对数字证书存储介质进行注册登记及访问时的身份认证，以确保数字证书存储介质仅由授权本人登录。

进一步地，本发明密钥管理系统还包括：

密码箱，用于保存数字证书存储介质。

根据本发明的另一方面，还提供一种芯片卡的密钥管理方法，应用上述的芯片卡的密钥管理系统，其包括：

密钥管理单元接收已注册数字证书存储介质的访问，并生成对应的密钥分量；

密钥管理单元将密钥分量以数字信封加密后的形式传递给加密机；

加密机接收经数字信封加密后的密钥分量，解密获得密钥分量明文；