一种基于KPI双证书的云平台密码化方法

本发明涉及一种云平台密码化方法，具体的说，涉及了一种基于KPI双证书的云平台密码化方法。

现阶段数字证书在云环境下的使用情况。在商业应用上阿里和亚马逊在国内外市场占有率比较高，使用的都是单证书的使用模式，用户保管唯一的一对非对称秘钥，使用时把这对密钥注入到申请的虚拟密码机中去，进行签名验签和密码运算操作，如果私钥丢了，将无法恢复之前加密的信息。

为了解决以上存在的问题，人们一直在寻求一种理想的技术解决方案。

本发明的目的是针对现有技术的不足，从而提供了一种基于KPI双证书的云平台密码化方法。

为了实现上述目的，本发明所采用的技术方案是：一种基于KPI双证书的云平台密码化方法，包括以下步骤：

密码虚机的创建和启动

用户通过自持的内含有签名证书和签名私钥的密码设备，在云平台签名验签通过，登录云平台；

所述云管理平台接收用户提交的密码虚机申请单，依据控制的IP地址范围和使用情况动态分配IP地址给所述密码虚机，并随机生成所述密码虚机的登录密码；综合所述密码虚机申请单、所述密码虚机的IP地址和所述登录密码生成密码虚机配置文件，按照所述密码虚机配置文件申请资源生成并启动所述密码虚机，给用户登录使用；

密码虚机的密钥申请

用户登录所述密码虚机，通过所述云管理平台生成加密密钥使用申请单转发给密钥管理中心；

所述密钥管理中心接收所述加密密钥使用申请单后，获取加密密钥对，并通过所述云管理平台将所述加密密钥对返回给用户；

密码虚机的密钥注入

用户登录所述密码虚机，将所述加密密钥对发送给所述密码虚机；

所述密码虚机执行密钥注入程序，将所述加密密钥对注入所述密码虚机。

基于上述，所述密码虚机申请单包括用户信息以及对算法密钥强度、密码资源以及通用的CPU资源、内存资源、硬盘资源的需求。

基于上述，所述云管理平台接收用户提交的所述密码虚机申请单后，根据所述用户信息对用户权限进行审核，并在用户权限审核通过后，按照所述密码虚机配置文件申请资源生成并启动所述密码虚机。

基于上述，用户通过自持的内含有签名证书和签名私钥的密码设备，在云管理平台签名验签通过，登录云管理平台的具体步骤如下：用户通过自持的内含有签名证书和签名私钥的密码设备连接登录终端，调用所述签名私钥生成签名，并将所述签名和所述签名证书发送至所述云管理平台；所述云管理平台从所述签名证书获取签名公钥，调用所述签名公钥验证所述签名，并在签名验证通过后向用户返回合法登录信息。

基于上述，在用户通过自持的内含有签名证书和签名私钥的密码设备连接登录终端之前，还包括签名证书签发步骤：

用户进行注册，并填写用户信息；

用户调用自持的密码设备生成签名证书的密钥对，将所述签名证书的公钥和所述用户信息发送给第三方证书认证中心CA；

所述第三方证书认证中心CA根据所述签名证书的公钥和所述用户信息生成用户证书，调用所述第三方证书认证中心CA的私钥给所述用户证书进行签名，生成签名证书，并将所述签名证书返回给用户进行安装。

基于上述，在进行签名证书签发后，所述第三方证书认证中心CA向所述密钥管理中心请求加密密钥对，根据获取的所述加密密钥对的公钥和所述用户信息生成用户证书，调用所述第三方证书认证中心CA的私钥给所述用户证书进行签名，生成加密证书；将所述加密证书和所述加密密钥对绑定存储在所述LDAP密钥管理库中，并将所述加密证书的证书号返回给用户。

基于上述，密码虚机的密钥申请阶段，所述密码虚机在用户登录后，生成临时密钥对，调用所述密钥管理中心的公钥加密所述用户信息和所述临时密钥对的公钥，并与所述用户信息拼接组成所述加密密钥使用申请单，所述用户信息包括所述加密证书的证书号。

基于上述，所述密钥管理中心接收所述加密密钥使用申请单后，获取加密密钥对，并通过所述云管理平台将所述加密密钥对返回给用户，具体包括：

所述密钥管理中心，接收到所述加密密钥使用申请单后，调用所述密钥管理中心的私钥解密所述加密密钥使用申请单，获取所述用户信息和所述临时密钥对的公钥；根据所述用户信息里的所述加密证书的证书号在所述LDAP密钥管理库中检索用户保存的加密证书和加密密钥对，调用所述临时密钥对的公钥加密所述加密密钥对，调用所述密钥管理中心的私钥加密所述用户信息以及所述加密密钥对的密文，并与所述用户信息拼接成密钥申请结果返回给所述云管理平台，经由所述云管理平台发送给用户。

基于上述，密码虚机的密钥注入阶段，所述密码虚机接收到所述密钥申请结果后，调用所述密钥管理中心的公钥解密所述密钥申请结果，获得所述用户信息、所述加密证书以及所述加密密钥对的密文，调用所述临时密钥对的私钥解密所述加密密钥对的密文，获取所述加密密钥对，并执行密钥注入程序，将所述加密密钥对注入所述密码虚机。

本发明相对现有技术具有突出的实质性特点和显著的进步，具体的说，本发明构建了一种基于PKI双证书体系的云平台密码化方法，在用户的密码设备上设置签名证书，通过在云平台上构建密码虚机并将加密证书设置在密码虚机上，从而使得用户加密和签名得以在逻辑上区分开来，当加密密钥遗失后，可以从第三方获取备份进行解密，安全性高，尤其适合于政务云平台。

同时由于密码虚机在密码服务结束后会进行分配回收，也使得每次执行密码服务时均需要生成密码虚机，并从所述密钥管理中心获取所述加密证书，从而减少了加密证书丢失的风险，确保了所述加密证书存储的安全性。

同时，在密钥申请和注入过程，还设置有密码虚机的临时公私要对和所述密钥管理中心的公私钥对，从而实现了所述密码虚机vcm的密钥申请阶段和密钥注入阶段所述加密证书的公私钥对pub/pri的安全性。

图1是本发明的流程示意图。

图2是本发明密钥申请和密钥注入的流程示意图。

下面通过具体实施方式，对本发明的技术方案做进一步的详细描述。

如图1所示，一种基于KPI双证书的云平台密码化方法，包括以下步骤：

密码虚机vcm的创建和启动

用户通过自持的内含有签名证书和签名私钥的密码设备，在云管理平台签名验签通过，登录云管理平台；

在具体实施时，上述过程的具体步骤如下：用户通过自持的内含有签名证书和签名私钥的密码设备连接登录终端，调用所述签名私钥生成签名，并将所述签名和所述签名证书发送至所述云管理平台；所述云管理平台从所述签名证书获取签名公钥，调用所述签名公钥验证所述签名，并在签名验证通过后向用户返回合法登录信息。

所述云管理平台接收用户提交的密码虚机申请单，依据控制的IP地址范围和使用情况动态分配IP地址给所述密码虚机vcm，并随机生成所述密码虚机vcm的登录密码；综合所述密码虚机申请单、所述密码虚机vcm的IP地址和所述登录密码生成密码虚机vcm配置文件，按照所述密码虚机vcm配置文件申请资源生成并启动所述密码虚机vcm，供用户登录。优选的，所述密码虚机申请单包括用户信息以及对算法密钥强度、密码资源以及通用的CPU资源、内存资源、硬盘资源的需求。

可以理解，在所述云管理平台接收用户提交的所述密码虚机申请单后，还可以根据所述用户信息对用户权限进行审核，并在用户权限审核通过后，依据所述密码虚机申请单的内容创建所述密码虚机vcm，从而确保只有特定权限的用户才能创建所述密码虚机vcm。

正常情况下，用户申请到的密码虚机vcm是一台具备基本密码功能的裸机，必须进行必要的配置才能正常使用，而配置的核心就是注入所述密码虚机vcm的密钥。完整的密钥申请和注入过程涉及四个参与方，四个参与方分别是用户申请的已经部署完成的密码虚机vcm、密钥管理中心KMC、云管理平台和用户，其中，所述密钥管理中心KMC管理管理证书资源池，能为所述密码虚机vcm分配证书和私钥：所述云管理平台是云平台得管理前端；用户是申请和注入密钥的发起者，是将密钥从所述密钥管理中心KMC传递到所述密码虚机vcm的中介。

整个密钥申请和注入过程就是将加密密钥从密钥管理中心KMC传输到所述密码虚机vcm的过程；具体步骤如下：

密码虚机vcm的密钥申请

用户登录所述密码虚机vcm，通过所述云管理平台生成加密密钥使用申请单转发给密钥管理中心KMC；

所述密钥管理中心KMC接收所述加密密钥使用申请单后，获取加密密钥对pub/pri，并通过所述云管理平台将所述加密密钥对pub/pri返回给用户；

密码虚机vcm的密钥注入

用户登录所述密码虚机vcm，将所述加密密钥对pub/pri发送给所述密码虚机vcm；

所述密码虚机vcm执行密钥注入程序，将所述加密密钥对pub/pri注入所述密码虚机vcm。

具体的，如图2所示，密码虚机vcm的密钥申请的具体步骤为：

所述密码虚机vcm在用户登录后，生成临时密钥对，调用所述密钥管理中心KMC的公钥加密所述用户信息和所述临时密钥对的公钥，并与所述用户信息拼接成所述加密密钥使用申请单返回给用户，并通过所述云管理平台转发给密钥管理中心KMC，其中，所述用户信息包括所述加密证书的证书号。

所述密钥管理中心KMC，接收到所述加密密钥使用申请单后，调用所述密钥管理中心KMC的私钥解密所述加密密钥使用申请单，获取所述用户信息和所述临时密钥对的公钥；根据所述用户信息里的所述加密证书的证书号在所述LDAP密钥管理库中检索用户保存的加密证书和加密密钥对pub/pri，调用所述临时密钥对的公钥加密所述加密密钥对pub/pri，调用所述密钥管理中心KMC的私钥加密所述用户信息以及所述加密密钥对pub/pri的密文，并与所述用户信息拼接成密钥申请结果返回给所述云管理平台，经由所述云管理平台发送给用户。

具体的，如图2所示，所述密码虚机vcm的密钥注入的具体步骤为：

用户登录所述密码虚机vcm，将所述密钥申请结果发送给所述密码虚机vcm；

所述密码虚机vcm接收到所述密钥申请结果后，调用所述密钥管理中心KMC的公钥解密所述密钥申请结果，获得所述用户信息以及所述加密密钥对pub/pri的密文，调用所述临时密钥对的私钥解密所述加密密钥对pub/pri的密文，获取所述加密密钥对pub/pri，并执行密钥注入程序，将所述加密密钥对pub/pri注入所述密码虚机vcm。

显然，为了确保所述密码虚机vcm的密钥申请阶段和密钥注入阶段所述加密密钥对pub/pri的安全性，在该过程还涉及了两组公私钥对，这两组公私钥对分别是：

tempPub/tempPri：由所述密码虚机vcm生成的临时密钥对，所述临时密钥对的私钥tempPri由所述密码虚机vcm保存，对用户不可见；所述临时密钥对的公钥tempPub用于加密传输从所述密钥管理中心KMC申请到的所述加密密钥对pub/pri。

BarPub/BarPri：所述密钥管理中心KMC的公私钥对，所述公私钥对的公钥BarPub以证书的形式保存在所述密码虚机vcm中，所述公私钥对的私钥BarPri由所述密钥管理中心KMC密存。

整个申请注入过程就是将所述加密密钥对pub/pri从所述密钥管理中心KMC传输到所述密码虚机vcm的过程。

初始状态时，所述密钥管理中心KMC拥有BarPri、pub/pri，所述密码虚机vcm拥有BarPub、tempPub/tempPri以及所述用户信息。注入过程结束后，所述密码虚机vcm将获得从所述密钥管理中心KMC传输过来的pub/pri。

可以理解，在密钥虚机的创建和启动阶段之前，用户通过自持的内含有签名证书和签名私钥的密码设备连接登录终端，调用所述签名私钥生成签名，并将所述签名和所述签名证书发送至所述云管理平台；所述云管理平台从所述签名证书获取签名公钥，调用所述签名公钥验证所述签名，并在签名验证通过后向用户返回合法登录信息。

进一步的，在用户通过自持的内含有签名证书和签名私钥的密码设备连接登录终端之前，还包括签名证书签发步骤：

用户进行注册，并填写用户信息；

用户调用自持的密码设备生成签名证书的密钥对，将所述签名证书的公钥和所述用户信息发送给第三方证书认证中心CA；

所述第三方证书认证中心CA根据所述签名证书的公钥和所述用户信息生成用户证书，调用所述第三方证书认证中心CA的私钥给所述用户证书进行签名，生成签名证书，并将所述签名证书返回给用户进行安装。

在进行签名证书签发后，所述第三方证书认证中心CA向所述密钥管理中心KMC请求加密密钥对，根据获取的所述加密密钥对的公钥和所述用户信息生成用户证书，调用所述第三方证书认证中心CA的私钥给所述用户证书进行签名，生成加密证书；将所述加密证书、所述加密密钥对以及对应的所述用户信息一起保存在所述LDAP密钥管理库中，以便于后期在密码虚机vcm的申请阶段，所述密钥管理中心KMC进行加密证书的查询和下载。

最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。