一種在移動終端中保護密鑰安全的方法和裝置的制造方法
【技術(shù)領(lǐng)域】
[0001]本申請涉及電數(shù)字數(shù)據(jù)處理領(lǐng)域，尤其涉及一種在移動終端中保護密鑰安全的方法和裝置。
【背景技術(shù)】
[0002]為了解決智能密碼鑰匙在手機上的應(yīng)用，目前在市面上的手機智能密鑰(key)，大多采用音頻、SD卡、USB接口等外加附屬設(shè)備的方案。這樣的方案需要用戶額外購置key，導(dǎo)致用戶成本增加。另外，用戶需要多攜帶這些智能密碼鑰匙，并且需要將智能密碼鑰匙聯(lián)接到手機上，使用并不方便。
[0003]此外，在手機端CPK(組合公鑰體系)應(yīng)用中，公私鑰矩陣安全保存也一直沒有很好的方法。

【發(fā)明內(nèi)容】

[0004]本申請的目標在于提供一種在移動終端內(nèi)部實現(xiàn)密鑰安全存儲、使用的方法和裝置，從而不需要外置設(shè)備。
[0005]本申請的目標由一種在移動終端中保護密鑰安全的方法實現(xiàn)，其中所述移動終端包括存儲卡，該方法包括:
[0006]在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中；
[0007]在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組；
[0008]將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)懀?br>[0009]在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù);及
[0010]在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。
[0011]本申請的目標還由一種在移動終端中保護密鑰安全的裝置實現(xiàn)，其中所述移動終端包括存儲卡，該裝置包括:
[0012]密鑰存儲區(qū)域形成單元，用于在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中；
[0013]用戶建立單元，用于在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組；
[0014]掛載單元，用于將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)懀?br>[0015]服務(wù)建立單元，用于在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù);及
[0016]算法實現(xiàn)單元，用于在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。
[0017]本發(fā)明方法在手機存儲卡中專門劃分出獨立的密鑰如公私鑰矩陣、私鑰等的存儲區(qū)，配合系統(tǒng)服務(wù)進行權(quán)限限制，達到安全存儲CPK公私鑰矩陣或在手機內(nèi)部實現(xiàn)自帶key的目的。本發(fā)明方法和裝置具有下述優(yōu)點:不需要外置設(shè)備，降低了成本，并且方便用戶使用；以獨立的特殊用戶管理key存儲區(qū)，使其他進程不能訪問key存儲區(qū)；及以獨立的服務(wù)實現(xiàn)算法，封裝了密鑰API，禁止密鑰導(dǎo)出，從而確保了密鑰安全。
[0018]除非明確指出，在此所用的單數(shù)形式“一”、“該”均包括復(fù)數(shù)含義(即具有“至少一”的意思)。應(yīng)當進一步理解，說明書中使用的術(shù)語“具有”、“包括”和/或“包含”表明存在所述的特征、步驟、操作、元件和/或部件，但不排除存在或增加一個或多個其他特征、步驟、操作、元件、部件和/或其組合。如在此所用的術(shù)語“和/或”包括一個或多個列舉的相關(guān)項目的任何及所有組合。除非明確指出，在此公開的任何方法的步驟不必精確按照所公開的順序執(zhí)行。
【附圖說明】
[0019]本發(fā)明將在下面參考附圖并結(jié)合優(yōu)選實施例進行更完全地說明。
[0020]圖1為根據(jù)本發(fā)明方法的一實施例的流程圖。
[0021]圖2為根據(jù)本發(fā)明方法的另一實施例的流程圖。
[0022]圖3為根據(jù)本發(fā)明方法的另一實施例的流程圖。
[0023]圖4為根據(jù)本發(fā)明裝置的一實施例的結(jié)構(gòu)示意圖。
[0024]圖5為根據(jù)本發(fā)明裝置的另一實施例的結(jié)構(gòu)示意圖。
[0025]為清晰起見，這些附圖均為示意性及簡化的圖，它們只給出了對于理解本發(fā)明所必要的細節(jié)，而省略其他細節(jié)。
【具體實施方式】
[0026]通過下面給出的詳細描述，本發(fā)明的適用范圍將顯而易見。然而，應(yīng)當理解，在詳細描述和具體例子表明本發(fā)明優(yōu)選實施例的同時，它們僅為說明目的給出。
[0027]圖1示出了本發(fā)明方法應(yīng)用于CPK應(yīng)用的一實施例，其用于在移動終端如手機中保護公私鑰矩陣，手機包括存儲卡如eMMC卡或其他非易失性存儲介質(zhì)，該實施例的方法開始于步驟S10，在eMMC卡里劃分獨立的分區(qū)，該區(qū)域刷機時不可更改其中內(nèi)容，將公私鑰矩陣保存于該區(qū)域中。換言之，在刷機時不刪除該獨立區(qū)域的內(nèi)容。之后，處理進行到步驟S20，在手機系統(tǒng)中增加一個獨立用戶和組，例如cpkadmin，并且設(shè)置此用戶不能有登陸shell(用戶交互界面)。之后，處理進行到步驟S30，將劃分的獨立分區(qū)掛載到文件系統(tǒng)中，例如/cpkcontainer，掛載時設(shè)置只能由前述獨立用戶cpkadmin進行讀寫，其他用戶不允許有訪問權(quán)限。之后，處理進行到步驟S40，在系統(tǒng)中建立一個服務(wù)，例如cpkmanagerd，以使操作系統(tǒng)能夠為上層應(yīng)用提供相應(yīng)的API，并且能夠控制不同應(yīng)用對API的調(diào)用權(quán)限。此外，讓此服務(wù)以獨立用戶cpkadmin身份運行。之后，處理進行到步驟S50，在服務(wù)中實現(xiàn)CPK公鑰矩陣算法，并提供應(yīng)用層接口，對于公私鑰矩陣不允許導(dǎo)出和拷貝。該實施例的方法使得不需要外置設(shè)備；以獨立的特殊用戶管理公私鑰矩陣存儲區(qū)，使其他進程不能訪問公私鑰矩陣存儲區(qū)；并以獨立的服務(wù)實現(xiàn)算法，封裝了CPK公私鑰矩陣API，禁止公私鑰矩陣導(dǎo)出，從而確保了CPK公私鑰矩陣的安全存儲。在其他實施例中，在服務(wù)中可實現(xiàn)其他密鑰相關(guān)算法如SM2簽名/驗簽算法、SM4加密/解密算法、ECC相關(guān)算法、RSA相關(guān)算法等。
[0028]圖2示出了本發(fā)明方法的另一實施例，除包括圖1所示實施例的所有步驟之外，圖2的實施例還包括步驟S60，將所有運行期數(shù)據(jù)加密存儲到/cpkcontainer，以防止拆機、直接用設(shè)備讀取出里面的內(nèi)容而暴力破解。
[0029]圖3示出了本發(fā)明方法應(yīng)用于智能密碼鑰匙應(yīng)用的一實施例，其用于在移動終端如手機中保護私鑰，手機包括eMMC卡，該實施例的方法開始于步驟S10’，在手機EMMC里劃分出獨立的分區(qū)，此區(qū)域刷機時不可更改其中內(nèi)容。之后，處理進行到步驟S20’，在手機系統(tǒng)中增加一個獨立用戶和組，例如keyadmin，并且設(shè)置此用戶不能有登陸shell。之后，處理進行到步驟S30’，將劃分的獨立分區(qū)掛載到文件系統(tǒng)中，例如/keycontainer，掛載時設(shè)置只能由keyadmin進行讀寫，其他用戶不允許有訪問權(quán)限。之后，處理進行到步驟S40’，在系統(tǒng)中建立一個服務(wù)，例如keymanagerd，讓此服務(wù)以keyadmin身份運行。之后，處理進行到步驟S50’，在服務(wù)中實現(xiàn)智能密碼鑰匙相關(guān)算法，并提供應(yīng)用層接口，對于私鑰不允許導(dǎo)出和拷貝。之后，處理進行到步驟S60，，所有運行期數(shù)據(jù)加密存儲到/keycontainer，防止拆機暴力破解。
[0030]本發(fā)明方法的上述實施例的步驟并非必須按給出的順序執(zhí)行，而是可以交換部分步驟的順序，例如步驟SlO和S20可交換順序。
[0031]圖4示出了本發(fā)明裝置的一實施例，該裝置用于在移動終端中保護密鑰安全，其中移動終端包括存儲卡，該裝置包括:密鑰存儲區(qū)域形成單元10，用于在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中，密鑰存儲區(qū)域中的內(nèi)容在刷機時不可更改；用戶建立單元20，用于在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組，密鑰訪問用戶不能有登錄shell;掛載單元30，用于將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)?服務(wù)建立單元40，用于在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù);及算法實現(xiàn)單元50，用于在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。
[0032]圖5示出了與圖4所示實施例類似的另一實施例，但圖5的實施例還包括運行數(shù)據(jù)存儲單元60，用于將所有運行期數(shù)據(jù)加密存儲到掛載所述密鑰存儲區(qū)域的文件系統(tǒng)中。
[0033]—些優(yōu)選實施例已經(jīng)在前面進行了說明，但是應(yīng)當強調(diào)的是，本發(fā)明不局限于這些實施例，而是可以本發(fā)明主題范圍內(nèi)的其它方式實現(xiàn)。
【主權(quán)項】
1.一種在移動終端中保護密鑰安全的方法，其中所述移動終端包括存儲卡，所述方法包括: 在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中； 在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組； 將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)懀?在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù);及 在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括: 使所述密鑰存儲區(qū)域中的內(nèi)容在刷機時不可更改。3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述密鑰訪問用戶沒有登錄用戶交互界面。4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括: 將所有運行期數(shù)據(jù)加密存儲到掛載所述密鑰存儲區(qū)域的文件系統(tǒng)中。5.根據(jù)權(quán)利要求1所述的方法，其特征在于，在實現(xiàn)密鑰相關(guān)算法時不允許導(dǎo)出和/或拷貝密鑰。6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述密鑰包括公私鑰矩陣和私鑰。7.—種在移動終端中保護密鑰安全的裝置，其中所述移動終端包括存儲卡，所述裝置包括: 密鑰存儲區(qū)域形成單元，用于在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中； 用戶建立單元，用于在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組； 掛載單元，用于將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)懀?服務(wù)建立單元，用于在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù);及 算法實現(xiàn)單元，用于在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括: 區(qū)域?qū)傩栽O(shè)置單元，用于使所述密鑰存儲區(qū)域中的內(nèi)容在刷機時不可更改。9.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述密鑰訪問用戶沒有登錄用戶交互界面。10.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括: 運行數(shù)據(jù)存儲單元，用于將所有運行期數(shù)據(jù)加密存儲到掛載所述密鑰存儲區(qū)域的文件系統(tǒng)中。
【專利摘要】本申請公開了一種在移動終端中保護密鑰安全的方法和裝置，其中所述移動終端包括存儲卡，所述方法包括：在所述存儲卡里劃分獨立的密鑰存儲區(qū)域并將密鑰保存于所述存儲區(qū)域中；在移動終端系統(tǒng)中增加一個獨立的密鑰訪問用戶和組；將所述密鑰存儲區(qū)域掛載到所述移動終端的文件系統(tǒng)中，并設(shè)置所述密鑰存儲區(qū)域只能由所述密鑰訪問用戶進行讀和/或?qū)?；在所述移動終端的系統(tǒng)中建立以所述密鑰訪問用戶身份運行的服務(wù)；及在所述服務(wù)中實現(xiàn)密鑰相關(guān)算法并提供應(yīng)用層接口。本發(fā)明可在移動終端內(nèi)部實現(xiàn)密鑰的安全存儲和使用，而不需要外部設(shè)備。
【IPC分類】H04L9/08, H04M1/2745
【公開號】CN105515764
【申請?zhí)枴緾N201510896746
【發(fā)明人】楊玉奇
【申請人】北京元心科技有限公司
【公開日】2016年4月20日
【申請日】2015年12月8日