【原创】教你如何打造一个专利级的KMS

点击上方蓝字，发现更多精彩

前言

随着数字化、智能化的普及，各类物联网、5G、新兴应用技术的发展及应用，网络环境下的信息安全显得尤为重要。在当下的信息技术框架里，保证信息安全的核心仍是密码学，密码学在安全上的落地以密钥管理为心脏，暴露算法，保护心脏为密钥体系的主要方法论。

在本篇文章里，我们主要介绍怎么在非对称秘钥的基础上让秘钥更安全。

非对称密钥除了用于数据加密外，还有一个主要的场景-数字签名，相比数字加密，非对称密钥更广泛的用途是数字签名，

验证数据的完整性（integrity）：

如果数据和签名不匹配，数据可能受到了篡改。

验证消息的真实性（authenticity）：

如果消息和签名不匹配，消息传送者不是真实持有私钥的用户。

为签名提供不可抵赖性（non-repudiation）：

如果数据和签名能够匹配，签名者不可以否认此签名。

非对称密钥通常用于在信任程度不对等的系统之间，实现数字签名验签或者加密传递敏感信息。非对称密钥由一对公钥和私钥组成，他们在密码学上互相关联，其中的公钥可以被分发给任何人，而私钥必须被安全的保护起来，只有受信任者可以使用。一对不同的密钥(公开密钥和私有密钥)，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。

由以上所述可知，非对称密钥对中的公开密钥和私有密钥必须成对出现，因此如若对公开密钥进行生成、更新和删除等操作，也必须对其相对应的私有密钥进行生成、更新和删除等操作。

但是，由于公开密钥与私有密钥的储存位置不同，不能一次性完成对公开密钥和私有密钥的处理，使得对非对称密钥对进行操作的过程复杂；且在对公开密钥或私有密钥进行操作的过程中，容易产生数据残留，这些残留的数据会干扰其它的公开密钥或私有密钥的配对使用，进而影响芯片操作系统(ChipOperatingSystem，以下简称COS)的管理。

在接下来，我们将简单介绍如何基于非对称密钥对设计一个简化非对称密钥对的操作过程，保证COS的安全性。非对称密钥可用于数据加密和数字签名。创建的非对称用户主密钥（CMK），由一对关联的公钥和私钥构成。公钥可以被分发给任何人，而私钥必须由KMS确保安全性，不提供任何接口导出非对称密钥的私钥。使用者仅能通过接口调用私钥进行签名运算或者数据解密。在本文中将不再赘述非对称秘钥原理和基础，不对基础设施和技术进行描述，仅从储存器设计、流程设计、模块设计上来介绍怎么更新、创新一套新的非对称秘钥管理方法：

1、根据生成指令生成证书，与证书相对应的非对称密钥对，非对称密钥对包括相对应的公开密钥和私有密钥；

2、将证书储存在证书储存器内；将公开密钥、私有密钥唯一标识和证书唯一标识储存在第一储存器内；

3、将公开密钥唯一标识、证书唯一标识以及私有密钥储存在第二储存器内；

4、私有密钥唯一标识与私有密钥相关联，证书唯一标识与证书相关联；

5、公开密钥唯一标识与公开密钥相关联；证书储存器、第一储存器与第二储存器彼此信号相连；

6、应用生成的非对称密钥对以及证书。

详细介绍如下：

一、根据生成指令生成证书，以及与证书相对应的非对称密钥对，非对称密钥对包括相对应的公开密钥和私有密钥；

二、将证书储存在证书储存器内；将公开密钥、私有密钥唯一标识和证书唯一标识储存在第一储存器内；将公开密钥唯一标识、证书唯一标识以及私有密钥储存在第二储存器内；其中，私有密钥唯一标识与私有密钥相关联，证书唯一标识与证书相关联，公开密钥唯一标识与公开密钥相关联；证书储存器、第一储存器与第二储存器彼此信号相连；

三、应用生成的非对称密钥对以及证书；

在二和三之间还包括验证私有密钥储存位置和公开密钥储存的位置是否相关联：

当私有密钥储存位置和公开密钥储存位置相关联时，该私有密钥和公开密钥作为非对称密钥对；

当生成的私有密钥储存位置与所述公开密钥储存位置不相关联时，禁止生成非对称密钥对。

根据删除指令删除非对称密钥对以及证书应根据删除指令删除储存在第一储存器内的公开密钥，以及私有密钥唯一标识和证书唯一标识；

根据私有密钥唯一标识识别与私有密钥唯一标识相关联的私有密钥，删除储存在第二储存器内的私有密钥；

新非对称密钥对以及证书；应用更新的证书以及新的非对称密钥对；删除旧的证书以及旧的非对称密钥对。将更新的证书储存在证书储存器内；将新的公开密钥、新的私有密钥唯一标识和更新的证书唯一标识储存在第一储存器内；将新的私有密钥、新的公开密钥唯一标识和更新的证书唯一标识储存在第二储存器内；其中，新的私有密钥唯一标识与新的私有密钥相关联，更新的证书唯一标识与更新的证书相关联，新的公开密钥唯一标识与公开密钥相关联。

非对称密钥对的安全系统设计上应包含：

触发模块，与触发模块相连的生成模块，与生成模块相连的储存模块，以及与储存模块相连的应用模块，

储存模块包括：彼此信号相连的证书储存器、第一储存器和第二储存器；其中，触发模块用于生成触发指令，触发指令包括生成指令；

生成模块：用于根据生成指令生成非对称密钥对和证书；

证书储存器：用于储存证书；第一储存器用于储存公开密钥、私有密钥唯一标识和证书唯一标识；第二储存器用于储存私有密钥、公开密钥唯一标识和证书唯一标识；其中，公开密钥与公开密钥唯一标识相关联，私有密钥与私有密钥唯一标识相关联，证书与证书唯一标识相关联；

应用模块：用于应用非对称密钥对和证书。

删除模块：与触发模块和储存模块相连，删除模块用于根据删除指令删除已生成的非对称密钥对和证书；

更新模块：与触发模块和储存模块相连，触发指令还包括删除指令和/或更新指令；其中，更新模块用于根据更新指令更新证书，生成新的非对称密钥对，其中，更新的证书与新的非对称密钥对相对应。

最后

在本篇文章，以非对称密钥管理为核心介绍了怎么构建一套安全、可用、高效、可拓展的密钥管理平台，在设计上应包含怎样的模块、所考虑功能，设计应注意的要素。在实际生产环境中除此之外，还应考虑对称密钥、非堆成密钥的密钥管理区别，系统接入、用户访问的权限管控和访问控制的不同，日志审计、预警响应和分析的实现，不同密码算法的接入、跨平台算法的兼容等问题需使用者根据差异化进行考虑，不让密钥成为压死骆驼的稻草。

END