(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210517940.2 (22)申请日 2022.05.12 (71)申请人 中国科学院信息 工程研究所 地址 100093 北京市海淀区闵庄路甲89号 (72)发明人 王伟　林璟锵　李凯轩　郎帆　 鲁琳俪　 (74)专利代理 机构 北京君尚知识产权代理有限 公司 11200 专利代理师 司立彬 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/08(2006.01) H04L 9/30(2006.01) H04L 9/40(2022.01) (54)发明名称 一种面向密码机集群的管理员身份管控方 法及系统 (57)摘要 本发明公开了一种面向密码机集群的管理 员身份管控 方法及系统。 本系统包括密钥管理系 统、 密码机集群， 每台密码机下配有多个智 能密 码钥匙。 本方法为： 密钥管理系统下发密码机密 钥、 对密码机管理员的身份进行统一鉴别和管 理； 密码机向密钥管理系统发送创建管理员申 请； 智能密码钥匙作为管理员身份凭证协同密码 机进行管 理员的创建申请； 密钥管理系统平台管 理员审核密码机的管理员创建请求。 同时也公布 了创建管 理员的权限管理策略， 密钥管理系统根 据此前存储的集群范围内管 理员角色信息， 结合 权限管理策略对 管理员创建请求进行审核。 本发 明解决了 单一人员权限过大的问题， 提高了密码 设备的安全性。 权利要求书2页 说明书5页 附图1页 CN 115021927 A 2022.09.06 CN 115021927 A 1.一种面向密码机集群的管理员身份管控方法， 其 步骤包括： 1)具有智能密码钥匙的管理员a申请成为密码机A的管理员时， 管理员a选取管理员类 型信息 并利用所述智能密码钥匙产生身份密钥对 并将公钥 发送给密码机A； 其中， 密码机A中存储有密钥对(SKA， PKA)， 以及密钥管理系统的主 加密密钥对(ke,Ppub‑e)中的公钥Ppub‑e、 密钥管理系统的主签名密钥对(ks,Ppub‑s)中的公钥 Ppub‑s， SKA为密码机A的私钥， PKA为密码机A的公钥； 2)密码机A产生随机数r， 使用Ppub‑e对r、 管理员类型信息 H(SKA)、 密码 机A的主密钥MKA的哈希值H(MKA)、 IDA进行加密得到密文C1； 其中， H(SKA)为SKA的哈希值； 3)密码机A向密钥管理系统发送管理员创建申请并发送C1； 4)密钥管理系统使用主加密 密钥对中的私钥ke对C1进行解密； 5)密钥管理系统根据解密所得H(SKA)和IDA确定密码机A身份； 然后利用解密所得 在密钥管理系统数据库中进行查询， 得到 管理员a在密码机集群中已担任的角色身 份信息； 6)密钥管理系统平台根据设定的权限管理策略作出批准或拒绝该管理员创建申请的 决定Mcheck； 如果批准该管理员创建申请， 则密钥管理系统将IDA、 以及H (MKA)作为一条记录存 入所述密钥管理系统数据库； 7)密钥管理系统使用主签名密钥对 中的私钥ks对Mcheck、 r的哈希值进行签名得到sig1； 以及用PKA对Mcheck、 r加密得到 C2； 然后将sig1、 C2发送给密码机A； 8)密码机A使用SKA对C2进行解密， 得到Mcheck和r； 密码机A使用Ppub‑s对sig1验签， 验签成 功后， 根据解密得到的信息判断是否被允许创建管理员， 如果密码机A未被批准创建管理员 则密码机A相应的管理员功能不对配有 所述智能密码钥匙的管理员a开放， 如果批准则将密 码机A相应的管理员功能配有所述智能密码钥匙的管理员a开 放。 2.根据权利要求1所述的方法， 其特征在于， 步骤6)中， 当满足以下条件之一时， 拒绝管 理员创建申请： a)管理员a申请成为密码机A的管理员时， 管理员a已经成为密码机A的其 他管理员； b)管理员a申请成为密码机A的安全管理员时， 管理员a已经成为其他密码机的安全管 理员； c)管理员a申请成为密码机A的安全管理员时， 管理员a已经成为与密码机A具有相同主 密钥的其 他密码机的设备 管理员； d)管理员a申请成为密码机A的设备管理员时， 管理员a已经成为与密码机A具有相同主 密钥的其 他密码机的安全管理员。 3.根据权利要求2所述的方法， 其特征在于， 当两密码机的主密钥MK和两密码机的标识 ID都相同时确 定两密码机为 “同一台密码机 ”； 当两密码机的主密钥MK相同、 ID不同时确 定 两密码机为“主密钥相同的不同密码机 ”； 当两密码 机的主密钥MK不相等时确定两密码机为 “不同密码机 ”。 4.根据权利要求1或2或3所述的方法， 其特征在于， 密钥管理系统根据密码机A的标识 IDA生成密钥(SKA， PKA)。权　利　要　求　书 1/2 页 2 CN 115021927 A 25.根据权利要求1或2或3所述的方法， 其特征在于， 所述密钥管理系统数据库中的记录 格式为： 6.根据权利要求1所述的方法， 其特征在于， 密码机A使用Ppub‑e对r、 申请管理 员类型信息 H(SKA)、 密码机A的主密钥MKA的哈希值H(MKA)、 IDA采用SM2算法加密得 到密文C1； 密钥管理系统使用主签名密钥对中的私钥ks对Mcheck、 r的哈希值采用SM2算法签 名得到sig1。 7.一种面向密码机集群的管理员身份管控系统， 其特征在于， 包括密钥管理系统、 多台 密码机组成的密码机集群， 每台密码机配有 若干个智能密码钥匙； 其中， 所述智能密码钥匙， 用于当其持有者管理员a申请成为密码机A 的管理员时， 接收管理 员a选取管理员类型信息 并产生身份密钥对 将公钥 发送 给密码机A； 密码机A中存储有密钥对( SKA， PKA)， 以及密钥管理系统的主加密密钥对(ke, Ppub‑e)中的公钥Ppub‑e、 密钥管理系统的主签名密钥对(ks,Ppub‑s)中的公钥Ppub‑s， SKA为密码 机A的私钥， PKA为密码机A的公钥； 所述密码机A， 用于产生随机数r， 使用Ppub‑e对r、 管理员类型信息 H (SKA)、 密码机A的主密钥MKA的哈希值H(MKA)、 IDA进行加密得到密文C1； 其中， H(SKA)为SKA的 哈希值； 向密钥管理系统发送管理员创建申请并发送C1； 所述密钥管理系统， 用于使用主加密密钥对中的私钥ke对C1进行解密； 根据解密所得H (SKA)和IDA确定密码机A身份； 然后利用解密所得 在密钥管理系统数据库中进行查 询， 得到管理员a在密码机集群中已担任的角色身份信息； 然后根据设定的权限管理策略作 出批准或拒 绝该管理员创建申请的决定Mcheck； 如果批准该管理员创建申请， 则密钥管理系 统将IDA、 以及H(MKA)作为一条记录存入所述密钥管理系统数据库； 使用主 签名密钥对中的私钥ks对Mcheck、 r的哈希值进行签名得到sig1； 以及用PKA对Mcheck、 r加密得 到C2； 然后将sig1、 C2发送给密码机A； 所述密码机A使用SKA对C2进行解密， 得到Mcheck和r； 密码机A使用Ppub‑s对sig1验签， 验签 成功后， 根据解密得到的信息判断是否被允许创建管理员， 如果密码机A未被批准创建管 理 员则密码机A相应的管理员功能不对配有 所述智能密码钥匙的管理员a开放， 如果批准则将 密码机A相应的管理员功能配有所述智能密码钥匙的管理员a开 放。权　利　要　求　书 2/2 页 3 CN 115021927 A 3