一种密钥共享方法、装置、控制设备及可读存储介质制造方法及图纸

本申请提供了一种密钥共享方法、装置、控制设备及可读存储介质，所述方法包括：响应于接收的密钥请求，密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥；通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥；通过所述加密密钥将所述会话密钥发送给第二实例，以使第二实例获取所述会话密钥。通过在密钥管理设备和实例的可信执行环境内预设相同的根密钥和生成策略，可以在密钥管理设备和实例之间直接生成相同的密钥，在此基础上，通过加密传输实现不同实例间的密钥共享，大大提高了保密性。大大提高了保密性。大大提高了保密性。

【技术实现步骤摘要】
一种密钥共享方法、装置、控制设备及可读存储介质


[0001]本申请涉及云计算
，具体而言，涉及一种密钥共享方法、装置、控制设备及可读存储介质。

技术介绍

[0002]在云计算场景中，实例间的通信需要进行加密保护，目前通用的加密保护方案是AK/SK。其中，AK用于标示用户，SK是用户用于加密认证字符串和云厂商用来验证认证字符串的密钥。
[0003]但是AK/SK中，通常会在产品代码中直接写入AK，这使得第三方可以通过解析产品代码的方式非法获取AK，违反了安全原则。

技术实现思路

[0004]本申请解决的问题是现有的云计算场景的密码保护方案保密性低。
[0005]为解决上述问题，本申请第一方面提供了一种密钥共享方法，包括：
[0006]响应于接收的密钥请求，密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥，所述第一根密钥同时预先写入第一实例关联的可信执行环境内，所述第二根密钥同时预先写入第二实例关联的可信执行环境内；
[0007]通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥；所述生成策略还预设在第一实例和第二实例关联的可信执行环境内，以分别在第一实例和第二实例关联的可信执行环境内生成所述会话密钥和所述加密密钥；
[0008]通过所述加密密钥将所述会话密钥发送给第二实例，以使第二实例获取所述会话密钥。
[0009]本申请第二方面提供了一种密钥共享装置，其包括：
[0010]根密钥确定模块，其用于响应于接收的密钥请求，密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥，所述第一根密钥同时预先写入第一实例关联的可信执行环境内，所述第二根密钥同时预先写入第二实例关联的可信执行环境内；
[0011]密钥生成模块，其用于通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥；所述生成策略还预设在第一实例和第二实例关联的可信执行环境内，以分别在第一实例和第二实例关联的可信执行环境内生成所述会话密钥和所述加密密钥；
[0012]密钥发送模块，其用于通过所述加密密钥将所述会话密钥发送给第二实例，以使第二实例获取所述会话密钥。
[0013]本申请第三方面提供了一种控制设备，其包括：存储器和处理器；
[0014]所述存储器，其用于存储程序；
[0015]所述处理器，耦合至所述存储器，用于执行所述程序，以用于：
[0016]响应于接收的密钥请求，密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥，所述第一根密钥同时预先写入第一实例关联的可信执行环境内，所述第二根密钥同时预先写入第二实例关联的可信执行环境内；
[0017]通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥；所述生成策略还预设在第一实例和第二实例关联的可信执行环境内，以分别在第一实例和第二实例关联的可信执行环境内生成所述会话密钥和所述加密密钥；
[0018]通过所述加密密钥将所述会话密钥发送给第二实例，以使第二实例获取所述会话密钥。
[0019]本申请第四方面提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行实现上述所述的密钥共享方法。
[0020]通过在密钥管理设备和实例的可信执行环境内预设相同的根密钥和生成策略，可以在密钥管理设备和实例之间直接生成相同的密钥，在此基础上，通过加密传输实现不同实例间的密钥共享，大大提高了保密性。
[0021]通过实例标识，动态生成会话密钥，可以将第二实例与其他实例的实例对区分开来，结合扩展参数，将第一实例和第二实例的实例对，以及该实例对的多次连接的密钥区分开，避免重放攻击和其他泄密攻击方式；同一个物理机的不同实例之间，也可以通过该方法，避免虚拟机逃逸问题。
[0022]本申请利用物理机的TEE实现安全预置根密钥，进而动态生成会话密钥，保证密钥交换过程的合规性；通过物理机预置的根密钥，动态生成会话密钥；避免使用AK，不需要考虑AK更新。
附图说明
[0023]图1为根据本申请一个实施例的密钥共享方法的流程图；
[0024]图2为根据本申请的密钥共享的示例图；
[0025]图3为根据本申请另一实施例的密钥共享方法的流程图；
[0026]图4为根据本申请一个实施例的密钥共享方法S100的流程图；
[0027]图5为根据本申请一个实施例的密钥共享方法S200的流程图；
[0028]图6为根据本申请一个实施例的密钥共享方法S300的流程图；
[0029]图7为根据本申请一个实施例的密钥共享装置的结构框图；
[0030]图8为根据本申请实施例的控制设备的结构框图。
具体实施方式
[0031]为使本申请的上述目的、特征和优点能够更为明显易懂，下面结合附图对本申请的具体实施例做详细的说明。虽然附图中显示了本申请的示例性实施方式，然而应当理解，可以以各种形式实现本申请而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了能够更透彻地理解本申请，并且能够将本申请的范围完整的传达给本领域的技术人员。
[0032]需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本申请所属领域技术人员所理解的通常意义。
[0033]在云计算场景中，实例间的通信需要进行加密保护，目前通用的加密保护方案是AK/SK。其中，AK用于标示用户，SK是用户用于加密认证字符串和云厂商用来验证认证字符串的密钥。
[0034]但是AK/SK中，通常会在产品代码中直接写入AK，这使得第三方可以通过解析产品代码的方式非法获取AK，违反了安全原则。
[0035]另外，对于这种违反安全原则的行为，云厂商很难发现，只能通过对产品代码进行扫描后才能确定。
[0036]目前，云厂商还推出了一种新的安全理念：零信任，其是一种以资源保护为核心的网络安全理念，认为对资源的访问，无论来自内部还是外部，主体和客体之间信任关系都不是天然建立的，需要对其信任进行持续评估，进而实施访问控制。无论内外网，所有对资源的访问都需要加密，访问资源的主体可能位于内部网络，也可能来自外部网络，所有的访问基于加密手段构建安全通道保证机密性和完整性，并提供源身份鉴别。
[0037]与现有的安全原则相比，零信任的安全原则更加的严格和广泛，当前的AK/SK加密方式，远不能满足零信任的安全要求。
[0038]为了满足零信任的要求，移动通信领域的3GPP TS33.220给出新的解决方案Generic Bootstrapping Architecture(GBA)，但是借用到云计算场景中需要引入SIM卡和HSS(Home Subscriber System)等实体，这对于云服务商的整体技术架构改动太大。
[0039]针对上述问题，本申请提供一种新本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种密钥共享方法，其特征在于，包括：响应于接收的密钥请求，密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥，所述第一根密钥同时预先写入第一实例关联的可信执行环境内，所述第二根密钥同时预先写入第二实例关联的可信执行环境内；通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥；所述生成策略还预设在第一实例和第二实例关联的可信执行环境内，以分别在第一实例和第二实例关联的可信执行环境内生成所述会话密钥和所述加密密钥；通过所述加密密钥将所述会话密钥发送给第二实例，以使第二实例获取所述会话密钥。2.根据权利要求1所述的方法，其特征在于，所述方法还包括：第一实例与第二实例通过所述会话密钥进行加密通信。3.根据权利要求1或2所述的方法，其特征在于，所述密钥请求中的标识信息包括用于关联所述第一根密钥的第一标识和用于关联所述第二根密钥的第二标识，所述密钥管理设备通过所述密钥请求中的标识信息确定预先写入的第一根密钥和第二根密钥，包括：获取记录有标识与根密钥的关联关系的映射表；根据所述映射表确定所述第一标识关联的所述第一根密钥和所述第二标识关联的所述第二根密钥。4.根据权利要求3所述的方法，其特征在于，所述密钥请求还包括用于标识第二实例的实例标识和扩展参数；所述通过预设的生成策略，生成基于所述第一根密钥的会话密钥和基于所述第二根密钥的加密密钥，包括：根据预设的所述生成策略，通过所述实例标识、所述扩展参数和所述第一根密钥，生成所述会话密钥；根据预设的所述生成策略，通过所述实例标识、所述扩展参数和所述第二根密钥，生成所述加密密钥。5.根据权利要求1或2所述的方法，其特征在于，所述响应于接收的密钥请求中，所述密钥请求由第二实例接收到第一实例发送的第一标识和扩展参数的情况下向密钥管理设备发送。6.根据权利要求5所述的方法，其特征在于，第二实例接收到第一实例发送的第一标识和扩展参数后，在关联的可信执行环境内，根据与所述密钥管理设备相同的所述生成策略，通过所述扩展参数、预设的实例标识和所述第二根密钥，生成所述加密密钥。7.根据权利要求5所述的方法，其特征在于，第一实例生成所述扩展参数并向第二实例发送所述第一标识和所述扩展参数的情况下，获取第二实例的实例标识，在关联的可信执行环境内...

【专利技术属性】
技术研发人员：张大江，黄瑞瑞，朱松，杨广贺，
申请(专利权)人：阿里巴巴中国有限公司，
类型：发明
国别省市：