密钥轮换不影响原密码加解密的方法与流程

1.本发明涉及网络安全技术领域，尤其涉及一种密钥轮换不影响原密码加解密的方法。


背景技术：

2.根据网络安全等级保护制度的规定，信息系统的密钥，需要定期或者不定期进行密钥更换。
3.但是传统的密钥更换，会导致使用过往密钥加密数据无法在密钥更换之后完成解密，导致大量的数据迁移工作、同时也存在应用修改的工作量，而且无法有效做到统一管控，无法判断是否密钥已经更换完成。


技术实现要素：

4.针对上述问题，本发明提供了一种密钥轮换不影响原密码加解密的方法，通过客户端与服务端的通信，在密钥发生轮换后，将服务端的密钥变化信息同步至客户端，使得密钥轮换后使用密钥加密的密文依然能够实现成功解密，保证了数据安全。
5.为实现上述目的，本发明提供了一种密钥轮换不影响原密码加解密的方法，包括：客户端在接收到加解密请求时进行初始化，将客户端信息和当前组的密钥信息发送至服务端；所述服务端查询对应当前组的所有密钥信息，并根据所述密钥信息判断所述服务端的最新组版本号与所述客户端的组版本号是否一致，若一致，则返回此次请求，若不一致，则将所述服务端中最新组的全量密钥信息同步至所述客户端；在所述客户端接收到密文解密操作请求时，根据密文查询所述客户端中对应的密钥信息，若能够正常查询到，则直接获取密钥进行解密处理，若查询不到，则向所述服务端发起解密请求；所述服务端根据所述解密请求中的密钥参数，将对应的密钥信息返回至所述客户端进行解密处理，并针对解密处理后的密钥的权重进行优先级滑动操作。
6.在上述技术方案中，优选地，所述客户端在初始化时开启心跳，在心跳内实现密钥信息中组版本号与服务端最新组版本号的一致性判断。
7.在上述技术方案中，优选地，所述客户端在初始化过程中向所述服务端发送的密钥信息包括组名称和组版本号，所述组版本号由当前组下的所有密钥的版本号叠加而成。
8.在上述技术方案中，优选地，所述服务端查询对应当前组的所有密钥信息，并根据所述密钥信息判断所述服务端的最新组版本号与所述客户端的组版本号是否一致的具体操作包括：
9.所述服务端根据所述客户端发送来的密钥信息中的组名称，在缓存中查询与当前组名称对应的所有密钥信息；将查询到的所有密钥的版本号叠加，形成最新组版本号；将所述最新组版本号与所述客户端发送来的密钥信息中的组版本号相对比，判断是否一致。
10.在上述技术方案中，优选地，所述全量密钥信息中包括组名称、hash信息和密钥id，所述hash信息为密钥id与对应密钥版本组合而成的密钥，所述密钥id为对应当前最新
版本的密钥。
11.在上述技术方案中，优选地，所述客户端接收到密文解密操作请求时，根据所述密文解析所述客户端中由所述服务端同步来的全量密钥信息；若在所述全量密钥信息中能够查询到与所述密文相对应的hash信息，则以所述hash信息的密钥进行解密处理，若无法查询到相对应的hash信息，则依据对应的客户端信息、组名称和hash信息向所述服务端发起解密请求。
12.在上述技术方案中，优选地，所述服务端设置有密钥权重滑动表，包括密钥标识及对应密钥的密钥版本、密钥值、hash信息、权重和滑动时间，所述密钥权重滑动表用于根据密钥的权重和滑动时间实现不同版本密钥的使用频率调整。
13.在上述技术方案中，优选地，所述针对解密处理后的密钥的权重进行优先级滑动操作具体包括：将解密处理后的密钥的权重的优先级置为最低一级，将同一密钥标识下其余密钥的权重的优先级均增加一级。
14.与现有技术相比，本发明的有益效果为：通过客户端与服务端的通信，在密钥发生轮换后，将服务端的密钥变化信息同步至客户端，使得密钥轮换后使用密钥加密的密文依然能够实现成功解密，保证了数据安全。
附图说明
15.图1为本发明一种实施例公开的密钥轮换不影响原密码加解密的方法的流程示意图；
16.图2为本发明一种实施例公开的密钥轮换不影响原密码加解密的方法的应用部署架构示意图；
17.图3为本发明一种实施例公开的密钥版本滑动方式示意图。
具体实施方式
18.为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
19.下面结合附图对本发明做进一步的详细描述：
20.如图1和图2所示，根据本发明提供的一种密钥轮换不影响原密码加解密的方法，包括：
21.客户端在接收到加解密请求时进行初始化，将客户端信息和当前组的密钥信息发送至服务端；
22.服务端查询对应当前组的所有密钥信息，并根据密钥信息判断服务端的最新组版本号与客户端的组版本号是否一致，若一致，则返回此次请求，若不一致，则将服务端中最新组的全量密钥信息同步至客户端；
23.在客户端接收到密文解密操作请求时，根据密文查询客户端中对应的密钥信息，若能够正常查询到，则直接获取密钥进行解密处理，若查询不到，则向服务端发起解密请求；
24.服务端根据解密请求中的密钥参数，将对应的密钥信息返回至客户端进行解密处理，并针对解密处理后的密钥的权重进行优先级滑动操作。
25.在该实施例中，通过客户端与服务端的通信，在密钥发生轮换后，将服务端的密钥变化信息同步至客户端，使得密钥轮换后使用密钥加密的密文依然能够实现成功解密，保证了数据安全。
26.具体地，该方法提供密钥交换能力，默认关闭，由用户设置是否开启，开启后可以设置轮换周期，密钥交换由密钥管理系统管理，对上透明，交换后使用该密钥加密的旧的密文依然可以解密，新的加密则使用新的密钥进行处理。
27.其中，密钥标识为密钥的唯一id，是客户端用于加密的标识，使用密钥id而不使用密钥的好处，是防止密文泄漏和算法泄漏之后导致数据被解密。
28.密钥在发生轮换后(手动轮换或者自动轮换)，密钥的版本号会做自增处理。
29.组版本号为密钥归属的分组下所有密钥的版本号的叠加形成。
30.在上述实施例中，优选地，客户端在初始化时开启心跳，在心跳内实现密钥信息中组版本号与服务端最新组版本号的一致性判断。
31.在上述实施例中，优选地，初始化时，将客户端id(appid)、组名称(group)和组版本号(groupversion)等信息发送至服务端。服务端查询对应当前组的所有密钥信息，并根据密钥信息判断服务端的最新组版本号与客户端的组版本号是否一致的具体操作包括：
32.服务端根据客户端发送来的密钥信息中的组名称，在缓存中查询与当前组名称对应的所有密钥信息；
33.将查询到的所有密钥的版本号叠加，形成最新组版本号；
34.将当前组(group)的最新组版本号(groupversion)与客户端发送来的密钥信息中的组版本号(groupversion)相对比，判断是否一致。
35.比对结果分析：
36.如果比对一致的话，则完成此次请求，如果不一致，则返回当前服务端最新组下的全量密钥信息到客户端。
37.其中，优选地，全量密钥信息中包括组名称、hash信息和密钥id，hash信息为密钥id与对应密钥版本组合而成的密钥，密钥id为对应当前最新版本的密钥。具体地，全量密钥信息的信息结构如下表所示：
[0038][0039]
[0040]
在上述实施例中，优选地，客户端接收到密文解密操作请求时，根据密文查询客户端中由服务端同步来的对应的密钥信息；
[0041]
若在密钥信息中能够查询到与密文相对应的hash信息，则直接以hash信息的密钥进行解密处理，若无法查询到相对应的hash信息，则依据对应的客户端信息appid、组名称group和hash信息向服务端发起解密请求。
[0042]
在上述实施例中，优选地，服务端设置有密钥权重滑动表，包括密钥标识及对应密钥的密钥版本、密钥值、hash信息、权重和滑动时间等，密钥权重滑动表用于根据密钥的权重和滑动时间实现不同版本密钥的使用频率调整。
[0043]
优选地，密钥权重滑动表如下表所示：
[0044][0045][0046]
在上述实施例中，优选地，针对解密处理后的密钥的权重进行优先级滑动操作具体包括：
[0047]
将解密处理后的密钥的权重的优先级置为最低一级，将同一密钥标识下其余密钥的权重的优先级均增加一级。
[0048]
具体地，如上表所示，同一密钥标识会对应不同的密钥版本和密钥值，设置排序默认1开始，顺序增长，数字越大，对应的权重越高，当某个时刻，某一个密钥被客户端用来解密后，相应的当前密钥的排序字段(权重)置为1，此密钥标识下的其它密钥的排序号(权重)
都做自增加1的操作，实现同一密钥标识下的所有密钥版本的优先级滑动操作，完成置顶操作，如图3所示。
[0049]
以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。