OKPay钱包(中国)

密钥管理系统

密钥管理系统

OKPay钱包(中国)密钥管理系统是一款功能完善、稳定可靠的密钥管理基础设施产品。

一.产品介绍

 

密钥管理系统给予完善的对称密钥和非对称密钥管理应用体系,保障密钥的生成、使用、存储、恢复、注销和归档等密钥全生命周期的安全;可搭配数字证书认证系统进行用户证书密钥的管理,以及满足云上多用户多业务系统的密钥管理需求;能够解决业务系统密钥易泄露、密钥易丢失、密钥调用困难、运维成本高等问题。


二.产品特点


1、支持密钥生成策略制定,根据密钥生成策略,将定时或即时生成的密钥保存在备用库中,备用库密钥支持销毁功能。

2、系统采用B/S架构,具有较好的可移植性,支持Liunx、中标麒麟、银河麒麟等国内外主流操作系统,支持达梦、南大通用、人大金仓、Oracle、MySQL等国内外主流数据库。

3、遵守国家密码局制定的相关标准,采用可以灵活配置的层次化、模块化设计,可以根据应用系统的具体要求灵活配置服务。

4、采用富客户端技术,操作界面满足用户在多种主流操作系统下的操作习惯,界面操作简单、易用。

5、系统具有较高的处理性能,在多用户并发业务请求时具有更好的适用性,产品性能国内领先。

6、系统基于国产密码算法技术,确保CA-KMS,RA-CA间通信安全以及各自系统数据安全存储。

7、系统从底层密码设备到上层软件均为OKPay钱包(中国)自主研发,加密机、加密卡、智能密码钥匙钥匙等均顺利获得国家密码管理局的鉴定,系统整体的兼容性、稳定性较高。


三.功能亮点
 

1.密钥安全管理


遵循密钥管理系统主密钥、密钥加密密钥、用户密钥三级密钥管理机制,密钥加密密钥可以加密密管系统中的所有密钥进行安全隔离保护,用户密钥支持绑定应用、有效期等安全管理策略设置。


2.算法支持


给予对称算法(SM1、SM4)、非对称算法(SM2)、杂凑算法(SM3)和SM9标识密码算法服务。


3.密钥全生命周期管理

支持对称密钥和非对称密钥的全生命周期管理,包括密钥生成、申请、更新、恢复、分发、注销、查询等功能;

4.密钥库管理

密钥库管理模块负责密钥的存储管理,按照其存储的密钥使用状态,密钥库分为备用库、在用库和历史库三种类型。密钥库中的密钥加密存放。

5.认证管理

认证管理模块负责录入接入的证书认证系统的相关信息,并导入相应的组织证书,并对进入系统信息综合管理平台的操作人员发放人员证书。

6.密钥恢复

给予用户密钥恢复和司法取证密钥恢复功能,用户或司法人员提交申请,经过审核后,密钥恢复模块恢复用户的密钥并下载于用户证书载体中。

7.双机热备

支持双机热备,为高可用系统给予自动灾备功能。采用主-备方式,当主设备发生故障,备机代替主设备进行工作,为应用系统给予不间断服务。

8.负载均衡

支持负载均衡服务,可以将特定的业务分担给多个KMS服务器,从而提高业务处理能力,保障业务的高可用性。

9.可视化业务统计

完成在用密钥、归档密钥、备用密钥以及CA业务量的查询、统计。

10.数据备份与恢复

支持数据实时和定期备份与恢复,给予人工备份和自动备份功能。

11.灵活多样的API接口

支持多种API接口,基本接口包括JAVA API、Rest API、C API等接口,可以根据用户需求定制接口。
 

四.典型部署

 

可广泛应用于电子政务、电子商务、视频安全、交通、能源、电力、智慧城市等行业,可为用户给予安全、有效、规范、统一的密钥管理服务。

 

1、配套数字证书认证系统使用:

密钥管理系统在数字证书认证系统中配套使用示意图

 

 
2.云上密钥集中管理


密钥管理系统在云上密钥集中管理中的应用示意图

 
 
五.相关推荐
 

密钥管理系统的作用

在现代密码体制中,密码安全的核心是密钥的安全,密钥的产生、存储、分发、恢复等对保障计算机信息系统的安全至关重要,同时,随着证书认证系统用户数量的不断扩大,密钥管理工作日益复杂,要求密钥管理实现自动化,以适应系统对密钥管理的需求。

使用经国家密码管理局鉴定顺利获得的密码算法和加密设备,支持对称密钥和非对称密钥的全生命周期管理,实现密钥的生成、存储、保护、恢复、分配、注册、注销和归档,以及密钥管理的审计和跟踪、密钥管理系统的访问控制等功能。产品广泛应用于电子政务、电子商务、视频安全、交通、能源、电力、智慧城市等行业,可为用户给予安全、有效、规范、统一的密钥管理服务。

系统还可以为数字证书认证中心给予密钥管理服务,可有效解决用户密钥对的生成质量、安全管理等问题,实现对密钥对的统一管理。其中KMS主要负责用户密钥的生成和管理,CA主要负责为用户签发并管理数字证书,实现了密钥管理和证书管理的分离,这样可以分区部署,对KMS做安全加固,确保用户密钥的安全。

另外系统还可为各类型应用系统给予对称密钥和非对称密钥的管理。
 

密钥管理系统原理及管理流程

核心原理:
密钥管理系统基于“密钥分层+全生命周期管控”理念构建安全体系。其核心是三级密钥架构:
 
主密钥(MK):由硬件安全模块(HSM)生成,采用真随机数发生器,长度≥256位,终身存于密码机内,永不外泄。
密钥加密密钥(KEK):顺利获得主密钥加密保护,定期轮换(如每季度),用于加密工作密钥。
工作密钥(DEK):每次加密会话动态生成,采用“一次一密”机制,顺利获得KEK加密传输。
管理流程:
 
生成阶段
客户端分散生成:用户本地生成密钥分量,顺利获得安全信道传输至KMC合成。
中心化生成:KMC调用HSM接口,基于物理噪声源生成强随机密钥,自动生成密钥版本号与有效期。
存储阶段
明文仅存于HSM安全域,对外给予密文接口。
密钥分片存储:高级密钥拆分为n个分量,采用(k,n)门限方案存储于不同隔离区。
分发阶段
离线分发:顺利获得智能卡/USBKey物理载体传输,需双人同时插入设备解锁。
在线分发:顺利获得TLS 1.3协议加密传输,结合数字证书双向认证。
使用阶段
严格权限控制:基于RBAC模型,记录密钥使用时间、操作员、操作类型等12项审计日志。
自动轮换机制:会话密钥每2小时强制更换,KEK按密钥生存周期策略自动更新。
销毁阶段
物理销毁:HSM内存储的密钥顺利获得电熔丝技术擦除,恢复成功率<10^-12。
逻辑销毁:密钥元数据标记为“已撤销”,同步至CRL列表,设置30天缓冲期后彻底删除。
产品推荐