CN102170355A - 信息安全设备中远程升级密钥管理方法 - Google Patents

Abstract

本发明公开了一种信息安全设备中远程升级密钥管理方法，远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作。采用本发明公开的方法防止了恶意攻击者利用泄露的远程升级密钥通过远程升级过程对信息安全设备的恶意攻击。

Description

信息安全设备中远程升级密钥管理方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种信息安全设备中远程升级密钥管理方法。

背景技术

信息安全设备通常是用于软件加密保护、硬件加密保护及身份认证等的硬件安全设备。信息安全设备的远程升级是指：远端源设备将升级信息传输至信息安全设备的升级接口，信息安全设备利用其升级接口接收到的升级信息实现对其内部程序或数据的升级，而不需要专业人员到信息安全设备所在的现场进行任何升级操作。

其中，远端源设备可以为存储升级信息的任意设备，例如服务器、PC机、或其他的信息安全设备；远端源设备可以称为升级方，信息安全设备则可以称为被升级方。

在信息安全设备的远程升级过程中，远端源设备对升级信息一般需要加密和/或签名，信息安全设备收到加密和/或签名的升级信息后，对其进行解密和/或验签，如果解密成功和/或验签通过，则表示该升级信息是合法的，信息安全设备可利用该升级信息进行升级。可见，信息安全设备在发行之前，其中必然安装有用于解密和/或验签的密钥，我们称之为远程升级密钥。在现有技术中，信息安全设备发行之前，在信息安全设备一般预先安装并启用一组远程升级密钥。

然而，当这一组远程升级密钥泄漏时，会对信息安全设备的安全性造成威胁。例如，当这一组远程升级密钥泄漏时，恶意攻击者可能窃取和获取合法的升级信息，如果对合法的升级信息内容进行篡改后再发送至信息安全设备，则可以对信息安全设备进行非法的升级，可能造成信息安全设备内部程序和数据的损害，或者窃取用户存储在信息安全设备的数据。

可见，在现有技术中，因为远程升级密钥的泄露，难以避免信息安全设备受到恶意攻击。

发明内容

有鉴于此，本发明提供一种信息安全设备中远程升级密钥管理方法，能够消除因远程升级密钥泄露而导致信息安全设备受到的恶意攻击。

为实现上述发明目的，本发明的技术方案是这样实现的：

一种信息安全设备中远程升级密钥管理方法，该方法包括：信息安全设备发行前，在信息安全设备中安装M组远程升级密钥，信息安全设备发行时，启用其中的N组远程升级密钥，其中，M、N为大于等于1的正整数，且N小于M，该方法还包括：

远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，所述密钥禁用数据用于指示信息安全设备对泄露的远程升级密钥进行禁用操作；

信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作。

该方法进一步包括：信息安全设备发行前，在远端源设备和信息安全设备中设置相同的密钥禁用操作标识；

所述密钥禁用数据包括：密钥禁用操作标识、泄露的远程升级密钥的密钥标识、泄露的远程升级密钥的对应值；

所述根据所接收的密钥禁用数据对泄露的远程升级密钥进行禁用操作的方法包括：

A1、如果所接收到的密钥禁用数据中密钥禁用操作标识与信息安全设备中所设置的密钥禁用操作标识相同，则执行步骤B1；否则，结束流程；

B1、如果所接收到的密钥禁用数据中泄露的远程升级密钥的密钥标识与信息安全设备中已启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥禁用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行禁用操作；否则，结束流程。

所述泄露的远程升级密钥的对应值为：泄露的远程升级密钥的密钥值。

该方法进一步包括：

远端源设备对密钥禁用数据进行安全处理后，再发送至信息安全设备；

信息安全设备对安全处理后的密钥禁用数据进行安全性检查，如果安全性检查通过，则执行所述步骤A1；否则，结束流程。

所述安全处理包括：对密钥禁用数据进行加密和/或签名；

所述安全性检查包括：对安全处理后的密钥禁用数据进行解密和/或验签。

该方法进一步包括：

远端源设备根据欲启用的远程升级密钥生成密钥启用数据，并发送至信息安全设备，所述密钥启用数据用于指示信息安全设备对未启用的远程升级密钥进行启用操作；

信息安全设备根据所接收的密钥启用数据，对未启用的远程升级密钥进行启用操作。

该方法进一步包括：信息安全设备发行前，在远端源设备和信息安全设备中设置相同的密钥启用操作标识；

所述密钥启用数据包括：密钥启用操作标识、欲启用的远程升级密钥的密钥标识、欲启用的远程升级密钥的对应值；

所述根据所接收的密钥禁用数据对泄露的远程升级密钥进行禁用操作的方法包括：

A2、如果所接收到的密钥启用数据中密钥启用操作标识与信息安全设备中所设置的密钥启用操作标识相同，则执行步骤B1；否则，结束流程；

B2、如果所接收到的密钥启用数据中欲启用的远程升级密钥的密钥标识与信息安全设备中未启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥启用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行启用操作；否则，结束流程。

所述欲启用的远程升级密钥的对应值为：欲启用的远程升级密钥的密钥值。

该方法进一步包括：

远端源设备对密钥启用数据进行安全处理后，再发送至信息安全设备；

信息安全设备对安全处理后的密钥启用数据进行安全性检查，如果安全性检查通过，则执行所述步骤A2；否则，结束流程。

所述安全处理包括：对密钥启用数据进行加密和/或签名；

所述安全性检查包括：对安全处理后的密钥启用数据进行解密和/或验签。

所述加密的方法包括：采用数据加密标准DES算法、三重数据加密标准TDES算法、高级加密标准AES算法、非对称加密RSA算法或椭圆曲线加密ECC算法进行加密；

所述签名的方法包括：采用信息认证码MAC算法、杂凑信息验证码HMAC算法、RSA算法或ECC算法进行签名；

所述解密的方法包括：采用DES算法、TDES算法、AES算法、RSA算法或ECC算法进行解密；

所述验签的方法包括：采用MAC算法、HMAC算法、RSA算法或ECC算法进行验签。

根据本发明所提供的技术方案，远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作，防止了恶意攻击者利用泄露的远程升级密钥通过远程升级过程对信息安全设备的恶意攻击。

另外，本发明的技术方案不仅可对泄露的远程升级密钥进行禁用，还可将本发明所提供的技术方案应用于其他领域，例如，还可对过期的远程升级密钥进行禁用等。

同时，本发明还启用新的远程升级密钥，以取代被禁用的远程升级密钥，使信息安全设备的远程升级功能持续可用，有效地增强了信息安全设备远程升级密钥的安全性。

附图说明

图1为本发明所提供的一种信息安全设备中远程升级密钥管理方法的流程图。

图2为本发明所提供的一种信息安全设备中远程升级密钥管理方法实施例一的流程图。

图3为本发明所提供的一种信息安全设备中远程升级密钥管理方法实施例二的流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明所述方案作进一步地详细说明。

图1为本发明所提供的一种信息安全设备中远程升级密钥管理方法的流程图，如图1所示，该方法包括以下步骤：

步骤101，信息安全设备发行前，在信息安全设备中安装M组远程升级密钥，信息安全设备发行时，启用其中的N组远程升级密钥，其中，M、N为大于等于1的正整数，且N小于M。

步骤102，远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，所述密钥禁用数据用于指示信息安全设备对泄露的远程升级密钥进行禁用操作。

另外，步骤102还可进一步包括：远端源设备根据欲启用的远程升级密钥生成密钥启用数据，并发送至信息安全设备，所述密钥启用数据用于指示信息安全设备对未启用的远程升级密钥进行启用操作。

可选地，在发送至信息安全设备之前，远端源设备对密钥启用数据或密钥禁用数据进行安全处理。

步骤103，信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作。

另外，步骤103还可进一步包括：信息安全设备根据所接收的密钥启用数据，对未启用的远程升级密钥进行启用操作。

可选地，如果远端源设备对密钥启用数据或密钥禁用数据进行了安全处理，则信息安全设备还需对安全处理后的密钥启用数据或密钥禁用数据进行安全性检查，如果安全性检查通过，再进行合法性验证，所述合法性验证通过后，才可执行密钥启用操作或禁用操作；否则，结束流程。

至此，本流程结束。

下面，通过两个实施例对本发明的技术方案进一步进行详细说明。

实施例一

图2为本发明所提供的一种信息安全设备中远程升级密钥管理方法实施例一的流程图，如图2所示，包括以下步骤：

步骤201，信息安全设备发行前，在信息安全设备中安装多组远程升级密钥，并在远端源设备和信息安全设备中设置相同的密钥禁用操作标识。

在本步骤中，每一组远程升级密钥可以包括密钥标识和密钥值。

密钥禁用操作标识用于表示操作类型为：密钥禁用操作。在本实施例中，密钥禁用操作标识可以为01。

本步骤中所述“禁用”的含义为：令该组远程升级密钥为无效密钥，即不用于对升级信息进行解密和/或验签。

步骤202，信息安全设备发行时，启用步骤201中安装的一组远程升级密钥。

假设该组远程升级密钥的密钥标识可以为00；密钥值可以为00 01 02 0304 05 06 07，则该组远程升级密钥为：00 00 01 02 03 04 05 06 07。

另外，在本发明实施例中，除非特别说明，所有数据均采用16进制表示。

本步骤中所述“启用”的含义为：令该组远程升级密钥为有效密钥，即用于对升级信息进行解密和/或验签的。

步骤203，当步骤201中安装的远程升级密钥发生泄露时，远端源设备将密钥禁用操作标识、泄露的远程升级密钥(包括密钥标识和密钥值)连接组成密钥禁用数据。

则密钥禁用数据可以表示为：01 00 00 01 02 03 04 05 06 07。

另外，在实际应用中，检查“远程升级密钥是否发生泄露”并非由信息安全设备或远端源设备来完成，而是人为发现，或者其他安全监测设备发现泄露或因泄露导致的攻击现象。检查“远程升级密钥是否发生泄露”为现有技术的内容，不在本发明的讨论范畴内，此处不予赘述。

步骤204，远端源设备将密钥禁用数据发送至信息安全设备。

步骤205，信息安全设备接收密钥禁用数据。

步骤206，信息安全设备检查收到的密钥禁用数据中的1个字节，如果是01，则表示收到执行密钥禁用操作的命令，然后检查第2个字节；否则，结束流程。检查第2个字节时，如果第二个字节是00，说明第二个字节与信息安全设备中安装的远程升级密钥的标识相同，则表示收到执行密钥标识为00的密钥的禁用操作命令；否则，结束流程。接下来检查第3到10个字节，如果与信息安全设备中密钥标识为00的所对应的密钥值相同，即如果为0001 02 03 04 05 06 07，则检查通过，对远程升级密钥：00 00 01 02 03 04 05 0607执行禁用操作；如果检查不通过，则结束流程。

至此，本实施例流程结束。

另外，上述泄露的远程升级密钥的密钥值为泄露的远程升级密钥的对应值的一种实施例，对应值还可为其他方式。

密钥禁用数据还可包括：密钥禁用操作标识、泄露的远程升级密钥的密钥标识、泄露的远程升级密钥的对应值，在信息安全设备中还可进一步设置安全有远程升级密钥的对应值。信息安全设备接收到密钥禁用数据后，如果所接收到的密钥禁用数据中密钥禁用操作标识与信息安全设备中所设置的密钥禁用操作标识相同，则继续检查；否则，结束流程；继续检查为：如果所接收到的密钥禁用数据中泄露的远程升级密钥的密钥标识与信息安全设备中已启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥禁用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行禁用操作；否则，结束流程。

总之，本发明对密钥禁用数据进行合法性验证的方法并不限定，上述仅为举例说明。

实施例二

图3为本发明所提供的一种信息安全设备中远程升级密钥管理方法实施例二的流程图，如图3所示，包括以下步骤：

步骤301，信息安全设备发行前，在信息安全设备中安装两组远程升级密钥，并在远端源设备和信息安全设备中设置相同的密钥禁用操作标识，以及设置相同的密钥启用操作标识。

如表1所示，表1第一行为第一组远程升级密钥，第一组远程升级密钥包括密钥标识和密钥值，表1第二行为第二组远程升级密钥，第二组远程升级密钥也包括密钥标识和密钥值。

密钥禁用操作标识用于表示操作类型为：密钥禁用操作。密钥启用操作标识用于表示操作类型为：密钥启用。其中，“启用”和“禁用”的含义可参见实施例一的相关描述。

在本实施例中，密钥禁用操作标识可以为01，密钥启用操作标识可以为02。

密钥标识	密钥值
		00	01 02 03 04 05 06 07 08
01	09 0A 0B 0C 0D 0E 0F 10

表1

步骤302，信息安全设备发行时，启用第一组远程升级密钥，即密钥标识为00的远程升级密钥，则第二组远程升级密钥(即密钥标识为01的远程升级密钥)为未启用的密钥，即禁用的密钥。

步骤303，当步骤301中安装的第一组远程升级密钥发生泄露时，远端源设备将密钥禁用操作标识、指定信息安全设备的序列号、第一组远程升级密钥的密钥标识和第一组远程升级密钥的对应值连接组成密钥禁用数据；远端源设备将密钥启用操作标识、指定信息安全设备的序列号、第二组远程升级密钥的密钥标识和第二组远程升级密钥的对应值连接组成密钥启用数据。

假设指定信息安全设备的序列号为：91 82 00 00 00 01 35 2A。

第一组远程升级密钥的对应值为第一组远程升级密钥的密钥值经过消息摘要算法第5版(MD5)算法计算的结果：0e e0 64 6c 1c 77 d8 13 1c c8 f4ee 65 c7 67 3b，同理，第二组远程升级密钥的对应值为第二组远程升级密钥的密钥值经过消息摘要算法第5版(MD5)算法计算的结果：55 8b e1 82 b7fd de 05 65 59 7c e7 b3 43 c8 95。

则密钥禁用数据可以表示为：01 91 82 00 00 00 01 35 2A 00 0e e0 64 6c1c 77 d8 13 1c c8 f4 ee 65 c7 67 3b。

密钥启用数据可以表示为：02 91 82 00 00 00 01 35 2A 01 55 8b e1 82 b7fd de 05 65 59 7c e7 b3 43 c8 95。

步骤304，对密钥禁用数据进行加密，加密后的密钥禁用数据为：53 616c 74 65 64 5f 5f 13 d0 72 78 e1 cc 1a c3 64 24 75 ea c9 69 15 c2 d4 3e a5 c6 f947 d3 68 f1 00 cb e2 c1 32 8a 35 7f 5f c2 f4 07 a0 dd 56；对密钥启用数据进行加密，加密后的密钥启用数据为：53 61 6c 74 65 64 5f 5f e7 97 99 ec 54 0a 3e97 ff db 3d 91 16 d1 74 a7 85 ce d4 b8 96 4e 4d 65 ec ca 88 f5 09 2b 8f e3 47 51d6 00 f4 77 29 c1。

在本步骤中，加密的方法可以为：3DES密钥预先存储在信息安全设备和远端源设备中，比如，3DES的密钥值为：C1 18 9E F2 6D 07 27 FB AC 8588 46 B7 7B 55 4D，采用3DES算法、并利用上述密钥值进行加密。

步骤305，对加密后的密钥禁用数据进行签名，得到签名为：91 77 0f 00a4 8c c2 91 72 3d 54 07 9e ae d9 6b 32 9e c1 eb 97 c7 87 bb 3c f3 69 ae 84 4c 287e 08 75 e2 61 08 84 fa 01 fb 65 41 f7 62 4e 32 f1 dc 28 5b a3 a9 be 27 17 d6 a106 e0 02 d6 cd d9；

对加密后的密钥启用数据进行签名，得到签名为：95 78 77 ff 5f ff 69 399b 40 4c 13 96 94 01 e3 0d da bf ab 07 2a e4 b4 08 3c c9 53 78 64 40 68 ee c7 2e4c c9 92 b2 76 0a ec c2 e9 13 15 40 6d f0 d4 0c fb ce ae 09 19 28 5a c4 1f e5 0e56 0e。

在本步骤中，签名的方法可以为：RSA密钥预先存储在信息安全设备和远端源设备中，比如，经过BASE64编码的RSA的密钥值为：MIIBOgIBAAJBAMIAG4Mopb961HpiErYaFzA8jCyLHAvybBoY9Gz1MDFHv6kx7WcOWa6l2Ka0ZCoQAH6ukFZcVso0aNdLgKgv+b0CAwEAAQJABOw5xn8+jXhRcfWRIfvRgNDYgbzZ7letdJATi7xBB88N70t3kXo0ZZDDAegoeoNr+wvn4msmpIkjNV2/AgPpIQIhAPBp7XnXkAmd48oassbRmLvppinCuv6UjxfIyAmUGf55AiEAzpPfLkvzBIRXcW0xbiMQg8djY5oXGSSXp8zxUdyuNGUCIQC1yiN8Ang0DWP1qwKMPGkVjrPK2Ci14HfjMDuyon6VYQIgHQ8aDwYqClGfh1on4OlX0mHC7mjnpObL2pPuwmg7rS0CIHohVP0havNYsHGnB/smf2JCjhZXrHpgKj7GIdmuC18+，采用RSA算法、并利用上述密钥值进行签名。

通过上述步骤301～305可以看出，上述步骤共涉及如下的安全处理过程：在步骤303中分别对第一组升级密钥和第二组升级密钥加密，在步骤304中分别对密钥禁用数据和密钥启用数据加密，在步骤305中分别对加密后的密钥禁用数据和加密后的密钥启用数据进行签名，则在远端源设备中必然预先设置有用于每一次加密和/或签名的加密密钥、加密算法、签名算法和/或签名密钥。相应地，在信息安全设备发行之前，信息安全设备中必然预先设置有用于每一次解密和/或验签的解密密钥、解密算法、验签算法和/或验签密钥。

步骤306，远端源设备将带有签名的经过加密的密钥禁用数据和带有签名的经过加密的密钥启用数据发送至信息安全设备中。

步骤307，信息安全设备接收带有签名的经过加密的密钥禁用数据和带有签名的经过加密的密钥启用数据：53 61 6c 74 65 64 5f 5f 13 d0 72 78 e1 cc1a c3 64 24 75 ea c9 69 15 c2 d4 3e a5 c6 f9 47 d3 68 f1 00 cb e2 c1 32 8a 35 7f5f c2 f4 07 a0 dd 56 91 77 0f 00 a4 8c c2 91 72 3d 54 07 9e ae d9 6b 32 9e c1 eb97 c7 87 bb 3c f3 69 ae 84 4c 28 7e 08 75 e2 61 08 84 fa 01 fb 65 41 f7 62 4e 32f1 dc 28 5b a3 a9 be 27 17 d6 a1 06 e0 02 d6 cd d9 53 61 6c 74 65 64 5f 5f e7 9799 ec 54 0a 3e 97 ff db 3d 91 16 d1 74 a7 85 ce d4 b8 96 4e 4d 65 ec ca 88 f5 092b 8f e3 47 51 d6 00 f4 77 29 c1 95 78 77 ff 5f ff 69 39 9b 40 4c 13 96 94 01 e30d da bf ab 07 2a e4 b4 08 3c c9 53 78 64 40 68 ee c7 2e 4c c9 92 b2 76 0a ec c2e9 13 15 40 6d f0 d4 0c fb ce ae 09 19 28 5a c4 1f e5 0e 56 0e。

步骤308，信息安全设备使用相应的验证签名算法，验证密钥禁用数据的签名和密钥启用数据的签名。

具体方法是计算密钥禁用数据的签名值和密钥启用数据的签名值，如果分别与接收到的2个签名相同，则执行步骤309；否则，结束流程。

步骤309，对去掉签名的加密的密钥禁用数据和密钥启用数据的密文进行相应的解密，得到：01 91 82 00 00 00 01 35 2A 00 0e e0 64 6c 1c 77 d8 13 1cc8 f4 ee 65 c7 67 3b 02 91 82 00 00 00 01 35 2A 01 55 8b e1 82 b7 fd de 05 6559 7c e7 b3 43 c8 95。

步骤310，信息安全设备检查步骤309中解密得到的数据。首先检查第1个字节，如果是01，则表示收到执行密钥禁用操作的命令；否则，结束流程。然后检查第2到9个字节，如果与自身的序列号不同，则结束流程；如果相同则继续检查第10个字节。如果第10个字节是00，说明第10个字节与信息安全设备中安装的第一组远程升级密钥的标识相同，则表示收到执行密钥标识为00的密钥的禁用操作命令。接下来检查第11到26个字节，如果与信息安全设备中密钥标识为00所对应的密钥值的MD5值相同，即如果为0e e0 64 6c 1c 77 d8 13 1c c8 f4 ee 65 c7 67 3b，则检查通过，对第一组远程升级密钥执行禁用操作；如果检查不通过，则结束流程。检查第27个字节，如果是02，则表示收到执行密钥启用操作的命令；否则，结束流程。接下来检查第28到35个字节，如果与自身的序列号不同，则结束流程；如果相同继续检查第36个字节。如果第36个字节是01，说明第36个字节与信息安全设备中安装的第二组远程升级密钥的标识相同，则表示收到执行密钥标识为01的密钥的启用操作命令。接下来检查第37到52个字节，如果与信息安全设备中密钥标识为01所对应的密钥值的MD5值相同，即如果为55 8b e1 82b7 fd de 05 65 59 7c e7 b3 43 c8 95，则检查通过，对第二组远程升级密钥执行启用操作；如果检查不通过，则结束流程。

至此，本实施流程结束。

另外，另外，上述欲启用的远程升级密钥的密钥值为欲启用的远程升级密钥的对应值的一种实施例，对应值还可为其他方式。

密钥启用数据还可包括：密钥启用操作标识、欲启用的远程升级密钥的密钥标识、欲启用的远程升级密钥的对应值，在信息安全设备中还可进一步设置安全有远程升级密钥的对应值。信息安全设备接收到密钥启用数据后，如果所接收到的密钥启用数据中密钥启用操作标识与信息安全设备中所设置的密钥启用操作标识相同，则继续检查；否则，结束流程；继续检查为：如果所接收到的密钥启用数据中欲启用的远程升级密钥的密钥标识与信息安全设备中未启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥启用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行启用操作；否则，结束流程。

总之，本发明对密钥启用数据进行合法性验证的方法并不限定，上述仅为举例说明。

在本实施中，有以下几点需要说明：

第一，本实施例仅以同时发送密钥禁用数据和密钥启用数据为例说明了通过一个流程实现一组远程升级密钥的禁用和另一组远程升级密钥的启用。在实际应用中，可先进行一组远程升级密钥的禁用，再进行另一组远程密钥的启用，也可先进行远程升级密钥的启用，再进行另一组远程升级密钥的禁用。

第二，在本实施例中，上述加密和签名均属于安全处理的范畴，可采用常见的安全处理方法：例如，采用数据加密标准(DES)算法、三重数据加密标准(TDES)算法、高级加密标准(AES)算法、非对称加密(RSA)算法或椭圆曲线加密(ECC)算法进行加密，采用信息认证码(MAC)算法、杂凑信息验证码(HMAC)算法、非对称加密(RSA)算法或椭圆曲线加密(ECC)算法进行签名。

相应地，在信息安全设备采用常见的安全性检查方法进行解密和/或签名：例如，采用数据加密标准(DES)算法、三重数据加密标准(TDES)算法、高级加密标准(AES)算法、非对称加密(RSA)算法或椭圆曲线加密(ECC)算法进行解密，采用信息认证码(MAC)算法、杂凑信息验证码(HMAC)算法、非对称加密(RSA)算法或椭圆曲线加密(ECC)算法进行验签。

由本实施例的上述流程可见，在没有得到密钥禁用数据或密钥启用数据时无法禁用密钥或启用密钥，这样就防止了恶意攻击者对远程升级密钥进行非法禁用或启用。远端源设备与信息安全设备之间的通信可能是不安全的，恶意攻击者可能截获、篡改密钥禁用数据或密钥启用数据。本实施例中的安全处理可以解决这个问题，签名处理可以防止密钥禁用数据和密钥启用数据被篡改，并保证了数据的完整性，加密处理可以保证密钥禁用数据和密钥启用数据被截获时，恶意攻击者也无法获得要禁用或启用的密钥，保证了远程升级密钥禁用和启用操作是安全可控的，与实施例一相比，进一步提升了方法的可靠性。

而且在本实施中，密钥禁用数据和启用数据带有指定信息安全设备的序列号，从而保证了密钥禁用数据和密钥启用数据只对特定的信息安全设备有效。

综上，在本发明中，远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作，防止了恶意攻击者利用泄露的远程升级密钥通过远程升级过程对信息安全设备的恶意攻击。

同时，本发明还启用新的远程升级密钥，以取代被禁用的远程升级密钥，使信息安全设备的远程升级功能持续可用，有效地增强了信息安全设备远程升级密钥的安全性。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (11)

1.一种信息安全设备中远程升级密钥管理方法，其特征在于，该方法包括：信息安全设备发行前，在信息安全设备中安装M组远程升级密钥，信息安全设备发行时，启用其中的N组远程升级密钥，其中，M、N为大于等于1的正整数，且N小于M，该方法还包括：

远端源设备根据泄露的远程升级密钥生成密钥禁用数据，并发送至信息安全设备，所述密钥禁用数据用于指示信息安全设备对泄露的远程升级密钥进行禁用操作；

信息安全设备根据所接收的密钥禁用数据，对泄露的远程升级密钥进行禁用操作。

2.根据权利要求1所述的方法，其特征在于，该方法进一步包括：信息安全设备发行前，在远端源设备和信息安全设备中设置相同的密钥禁用操作标识；

所述密钥禁用数据包括：密钥禁用操作标识、泄露的远程升级密钥的密钥标识、泄露的远程升级密钥的对应值；

所述根据所接收的密钥禁用数据对泄露的远程升级密钥进行禁用操作的方法包括：

A1、如果所接收到的密钥禁用数据中密钥禁用操作标识与信息安全设备中所设置的密钥禁用操作标识相同，则执行步骤B1；否则，结束流程；

B1、如果所接收到的密钥禁用数据中泄露的远程升级密钥的密钥标识与信息安全设备中已启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥禁用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行禁用操作；否则，结束流程。

3.根据权利要求2所述的方法，其特征在于，所述泄露的远程升级密钥的对应值为：泄露的远程升级密钥的密钥值。

4.根据权利要求2或3所述的方法，其特征在于，该方法进一步包括：

远端源设备对密钥禁用数据进行安全处理后，再发送至信息安全设备；

信息安全设备对安全处理后的密钥禁用数据进行安全性检查，如果安全性检查通过，则执行所述步骤A1；否则，结束流程。

5.根据权利要求4所述的方法，其特征在于，

所述安全处理包括：对密钥禁用数据进行加密和/或签名；

所述安全性检查包括：对安全处理后的密钥禁用数据进行解密和/或验签。

6.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

远端源设备根据欲启用的远程升级密钥生成密钥启用数据，并发送至信息安全设备，所述密钥启用数据用于指示信息安全设备对未启用的远程升级密钥进行启用操作；

信息安全设备根据所接收的密钥启用数据，对未启用的远程升级密钥进行启用操作。

7.根据权利要求6所述的方法，其特征在于，该方法进一步包括：信息安全设备发行前，在远端源设备和信息安全设备中设置相同的密钥启用操作标识；

所述密钥启用数据包括：密钥启用操作标识、欲启用的远程升级密钥的密钥标识、欲启用的远程升级密钥的对应值；

所述根据所接收的密钥禁用数据对泄露的远程升级密钥进行禁用操作的方法包括：

A2、如果所接收到的密钥启用数据中密钥启用操作标识与信息安全设备中所设置的密钥启用操作标识相同，则执行步骤B1；否则，结束流程；

B2、如果所接收到的密钥启用数据中欲启用的远程升级密钥的密钥标识与信息安全设备中未启用的一组远程升级密钥的密钥标识相同，且所接收到的密钥启用数据中的所述对应值和信息设备中该组远程升级密钥的对应值相同，则对该组远程升级密钥执行启用操作；否则，结束流程。

8.根据权利要求7所述的方法，其特征在于，所述欲启用的远程升级密钥的对应值为：欲启用的远程升级密钥的密钥值。

9.根据权利要求7或8所述的方法，其特征在于，该方法进一步包括：

远端源设备对密钥启用数据进行安全处理后，再发送至信息安全设备；

信息安全设备对安全处理后的密钥启用数据进行安全性检查，如果安全性检查通过，则执行所述步骤A2；否则，结束流程。

10.根据权利要求9所述的方法，其特征在于，

所述安全处理包括：对密钥启用数据进行加密和/或签名；

所述安全性检查包括：对安全处理后的密钥启用数据进行解密和/或验签。

11.根据权利要求5或10所述的方法，其特征在于，

所述加密的方法包括：采用数据加密标准DES算法、三重数据加密标准TDES算法、高级加密标准AES算法、非对称加密RSA算法或椭圆曲线加密ECC算法进行加密；

所述签名的方法包括：采用信息认证码MAC算法、杂凑信息验证码HMAC算法、RSA算法或ECC算法进行签名；

所述解密的方法包括：采用DES算法、TDES算法、AES算法、RSA算法或ECC算法进行解密；

所述验签的方法包括：采用MAC算法、HMAC算法、RSA算法或ECC算法进行验签。

Images