[发明专利]一种业务密钥分发系统、方法及可读存储介质

说明书

本发明具体涉及一种业务密钥分发系统、方法及可读存储介质。系统包括：业务密钥管理单元向加密机发送业务密钥申请，接收业务密钥标识，并向加密密钥管理单元申请加密密钥标识；加密密钥管理单元向加密机发送加密密钥申请，将加密密钥发送给业务单元，将加密密钥标识发送给业务密钥管理单元；加密机基于加密密钥对业务密钥进行加密生成对应的业务密钥密文；业务单元能够基于加密密钥对业务密钥密文进行解密得到对应的业务密钥明文。本发明还公开了业务密钥分发方法及可读存储介质。本发明的业务密钥分发系统中仅有业务单元能够知晓业务密钥明文，从而能够提高业务密钥分发和管理的安全性。

技术领域

本发明涉及密钥管理技术领域，具体涉及一种业务密钥分发系统、方法及可读存储介质。

背景技术

密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的参数。例如银行使用各种类型的终端设备来完成金融交易时，例如：ATM、POS、PINPAD等，每台终端设备都会存放一定数量的业务密钥（终端密钥），业务密钥用于保护银行卡用户的PIN等敏感信息和保证数据传输的安全性。

目前，各行各业只要涉及密钥都会一个密钥管理系统，来确保密钥存储与传输安全。例如，公开号为CN107493167A的中国专利就公开了一种《终端密钥分发系统及其终端密钥分发方法》，其终端密钥分发系统包括电子密函平台、密钥分发器和终端设备，密钥分发器包括业务处理芯片、安全处理芯片、内置硬件、业务处理系统和安全处理系统，业务处理系统用于验证操作人员合法性、接收外部认证和指令请求，并将处理的结果发送给安全处理系统及操作内置硬件，安全处理系统用于实现终端密钥安全的存储和分发，包括第二指令执行模块，第二指令执行模块用于外部接入设备的认证、管理密钥存储、读取、分发、删除和生成保护因子。

上述现有方案中的业务密钥（终端密钥）分发系统通过电子密函平台生成业务密钥，然后通过密钥分发器对业务密钥进行加密，得到业务密钥密文，最后业务单元（终端设备）对业务密钥密文进行解密，得到业务密钥的明文。现有方案对业务密钥进行了加密传输，这能够在一定程度上保证业务密钥传输的安全性。但是，现有方案中生成的业务密钥在电子密函平台和密钥分发器中都是明文存储的，使得具有相关权限的操作人员能够直接获取业务密的明文，导致业务密钥分发的安全性仍然不足。因此，如何设计一种能够提高业务密钥分发安全性的密钥分发方法是亟需解决的技术问题。

发明内容

针对上述现有技术的不足，本发明所要解决的技术问题是：如何提供一种业务密钥分发系统，使得仅有业务单元能够知晓业务密钥明文，从而能够提高业务密钥分发和管理的安全性。

为了解决上述技术问题，本发明采用了如下的技术方案：

一种业务密钥分发系统，包括业务单元、业务密钥管理单元、加密密钥管理单元和加密机；

其中，业务单元，用于向业务密钥管理单元申请业务密钥，并输入业务标识；

业务密钥管理单元，用于基于业务单元的申请向加密机发送业务密钥申请和业务标识，使得加密机能够基于业务密钥申请和业务标识生成对应的业务密钥和业务密钥标识；然后接收加密机的业务密钥标识，并向加密密钥管理单元申请加密密钥标识；

加密密钥管理单元，用于基于业务密钥管理单元的申请向加密机发送加密密钥申请，使得加密机能够基于加密密钥申请生成对应的加密密钥和加密密钥标识；然后接收加密机的加密密钥和加密密钥标识，将加密密钥发送给业务单元，并将加密密钥标识发送给业务密钥管理单元，使得业务密钥管理单元能够将业务密钥标识和加密密钥标识发送给加密机；

加密机，用于基于业务密钥标识和加密密钥标识获取对应的业务密钥和加密密钥，并基于加密密钥对业务密钥进行加密生成对应的业务密钥密文；然后将业务密钥密文发送给业务密钥管理单元，使得业务密钥管理单元能够将业务密钥密文发送给业务单元；

业务单元能够基于加密密钥对业务密钥密文进行解密，得到对应的业务密钥明文。