(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211257244.9 (22)申请日 2022.10.14 (71)申请人 公安部第三研究所 地址 200031 上海市徐汇区岳阳路76号 (72)发明人 邹翔　倪力舜　陈兵　梁皓　 张琳琳　 (74)专利代理 机构 上海智信专利代理有限公司 31002 专利代理师 王洁　郑暄 (51)Int.Cl. H04L 9/08(2006.01) H04L 9/30(2006.01) H04L 9/40(2022.01) (54)发明名称 面向云环境的模块 化密码服 务方法 (57)摘要 本发明涉及一种面向云环境的模块化密码 服务处理系统， 其中， 该系统包括： 密码管理系统 用于负责整个云环境下密钥管理、 密码资源管 理、 证书管 理、 监控审计的软硬件系统， 配有 一台 或多台HSM； 密码安全防护系统用于在云环境的 某个安全域内负责所有密码安全模块的密钥管 理与服务的软硬件系统； 密码安全模块集成在云 环境的某个业务应用节点内部负责向其提供密 码服务的软件模块； 且各个密码安全模块均从属 于特定的相对应的密码安全防护系统。 本发明还 涉及一种相应的方法， 采用了本发 明的面向云环 境的模块化密码服务处理系统， 能够解决现有云 环境下密码技术保护数据安全解决方案存在的 待加密数据传输中泄露风险、 数据保护效率低、 规模同比扩大投入成本不断增 加等问题。 权利要求书2页 说明书8页 附图4页 CN 115514483 A 2022.12.23 CN 115514483 A 1.一种面向云环境的模块化密码服务处理系统， 其特征在于， 所述的系统包括： 设置有 面向云环境的密码服务架构， 所述的密码服务架构具体包括： 密码管理系统， 密码安全防护 系统以及 密码安全 模块， 其中， 所述的密码管理系统设置在所述的密码服务架构的密码系统层， 用于负责整个云环境 下密钥管理、 密码资源管理、 证书管理、 监控审计的软硬件系统， 配有一台或多台HSM； 所述的密码安全防护系统设置在所述的密码服务架构的密码系统层， 用于在云环境的 某个安全域内负责所有密码安全模块的密钥管理与服务的软硬件系统， 并与所述的HSM相 集成； 所述的密码安全模块设置在所述的密码服务架构的业务应用层， 其集成在 云环境的某 个业务应用节点内部， 并用于负责向其 提供密码服 务的软件 模块； 且各个所述的密码安全 模块均从属于特定的相对应的密码安全防护系统。 2.一种利用权利要求1所述的系统实现面向云环境的模块化密码服务处理方法， 其特 征在于， 所述的方法包括： 在系统内部对所述的密码安全模块进 行管理处理； 针对应用系统 内部不同业务应用节点间通信时的密码防护处理以及在不同应用的业务应用节点之间通 信时的密码防护处 理。 3.根据权利要求2所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的在系统内部对所述的密码安全模块进 行管理处理， 具体包括： 密码安全模块注册、 密码 安全模块运行、 密码安全 模块注销， 其中， 所述的密码安全模块注册的具体处理流程包括： 所述的密码安全模块分发集成到所属 业务应用节点后， 根据业务应用节点提供或采集的节点信息， 生成模块标识和代表自身的 非对称密钥对， 形成包含模块标识和公钥信息的注册请求并向所述的密码管理系统提交， 所述的密码管理系统对注册请求进行审核， 待审核通过后签发模块数字证书， 将所属密码 安全防护系统信息和模块数字证书返回给 所述的密码安全 模块。 4.根据权利要求3所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的密码安全 模块运行的具体处 理流程包括： 待完成注册后的所述的密码安全模块与所属密码安全防护系统基于各自数字证书进 行相互认证后， 建立安全传输通道； 当接到所属业务应用节 点的密码服务请求时， 通过安全 传输通道从所述的密码安全防护系统获取 所需工作密钥， 待完成密码服 务后即销毁。 5.根据权利要求4所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的密码安全模块注销包括主动注销和被动注销， 所述的密码安全模块进 行主动注销的具 体处理流程包括： 由所属业务应用节点发出注销指令， 当所述的密码安全模块收到注销指令后， 首先完 成模块标识、 非对称密钥对及数字证书的销毁， 并将注销结果返回给所属 业务应用节点及 所述的密码管理系统， 所述的密码安全模块停止运行， 所述的密码管理系统注销当前该密 码安全模块的数字证书； 所述的密码安全 模块进行被动注销的具体处 理流程包括： 所述的密码管理系统注销当前该密码安全模块的数字证书， 并立即 向其所属的密码安 全防护系统发布注销消息， 所述的密码安全防护系统立即切断与当前该密码安全模块的安 全传输通道， 不再进行 连接。权　利　要　求　书 1/2 页 2 CN 115514483 A 26.根据权利要求2所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的针对应用 系统内部不同业务应用节点间通信时的密码防护处理包括进行应用内数据 密码防护服 务接口定义以及应用内数据密码防护处 理， 其中， 所述的进行应用内数据密码防护服务接口定义包括输入参数以及输出参数， 所述的输 入参数包括应用标识、 数据原文、 数据原文长度， 所述的输出参数包括加密结果数据、 加密 结果数据长度； 其中， 所述的加密结果数据具体包括数据密文、 数据密文长度、 数据密文杂 凑值、 分散因子、 应用标识以及本次密码安全 模块标识。 7.根据权利要求6所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的应用内数据密码防护处 理具体包括： 加密流 程处理以及解密流 程处理； 其中， 所述的加密流程处理具体为： 当作为发送方的所述的密码安全模块收到数据原文后， 根据应用标识从所述的密码安全防护系统获取工作密钥和所使用的分散因子， 使用工作密 钥对数据原文进行加密获得数据密 文， 对数据密 文计算杂凑值， 形成输出参数， 返回结果并 销毁工作密钥； 所述的解密流程处理具体为： 当作为接收方的所述的密码安全模块收到加密结果数据 后， 核验杂凑值， 并根据其中的应用标识和分散因子从所述的密码安全防护系统获取工作 密钥， 并使用工作密钥对数据密文解密即获得 数据原文， 返回结果并销毁工作密钥。 8.根据权利要求2所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的在不同应用的业务应用节点之 间通信时的密码防护处理包括： 进 行应用间数据密码防 护服务接口定义以及应用间数据密码防护处 理， 其中， 所述的进行应用间数据密码防护服务接口定义包括： 输入参数以及输出参数； 所述的 输入参数包括 发送方密码安全模块标识、 接收方密码安全模块标识、 数据原文、 数据原文长 度以及时间戳； 所述的输出参数包括加密结果数据以及加密结果数据长度； 其中， 所述的加 密结果数据包括 发送方密码安全模块标识、 接收方密码安全模块标识、 工作密钥 密文、 消息 密文以及消息密文长度。 9.根据权利要求8所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所 述的应用间数据密码防护处 理包括： 加密流 程处理以及解密流 程处理； 其中， 所述的加密流程处理具体为： 当作为发送方的所述的密码安全模块收到数据原文后， 使用自身的私钥对所述的输入参数进 行签名获得签名值， 并根据接收方密码安全模块标识 从所述的密码安全防护系统获取工作密钥和接收方密码安全模块的公钥， 使用工作密钥对 由数据原文、 数据原文长度、 签名值组成的消息明文进 行加密获得消息密 文， 使用接收方密 码安全模块的公钥对工作密钥加密获得工作密钥密文， 形成输出参数， 返回结果并销毁工 作密钥。 10.根据权利要求8所述的实现面向云环境的模块化密码服务处理方法， 其特征在于， 所述的解密流 程处理具体包括： 当作为接收方的所述的密码安全模块收到消息密文后， 使用自身的私钥对工作密钥密 文解密获得工作密钥， 并使用该工作密钥解密消息密文获得消息明文， 通过发送方密码安 全模块标识从所述的密码安全防护系统获取发送方密码安全模块的公钥， 验证消息明文中 签名值的有效性， 返回结果并销毁工作密钥。权　利　要　求　书 2/2 页 3 CN 115514483 A 3