一种注入式密码服务器及执行方法与流程

1.本发明涉及信息安全技术领域，特别涉及一种注入式密码服务器及执行方法。


背景技术：

2.密码服务器能够适用于各类密码安全应用系统进行高速的、多任务并行处理的密码运算,可以满足应用系统数据的签名/验证、加密/解密的要求,保证传输信息的机密性、完整性和有效性,同时提供安全、完善的密钥管理机制,已应用于网上审批、网上办公、网上银行、网上证券、网上支付等电子政务、电子商务和企业信息化系统中,为社会信息化发展提供了安全保障。
3.密码服务器一般包括服务器密码机、云服务密码机、金融数据密码机、签名验证服务器等服务器设备。密码服务器一般集成cpu、高性能网卡、高性能磁盘、高性能pcie密码卡、大存储的内存等组件，采用网络方式对外提供密码运算和密码服务。
4.当前密码服务器配置大容量的磁盘或价格昂贵的固态盘，生产各类密码服务器时采用安装或磁盘对拷贝等形式将各产品的运行系统或运行程序布置于磁盘或固态盘中，程序安装完毕后该产品即固化为服务器密码机、云服务密码机、金融数据密码机、签名验证服务器等产品。现有模式中磁盘或固态盘造成产品成本提高，且磁盘存在损坏的风险，生产难度增加且生产时间成本增加。此外，服务器类产品操作系统内核或其他组件存在修补漏洞、频繁升级等情况，现有模式升级需要反复擦写磁盘带来诸多不便。


技术实现要素：

5.本发明的主要目的在于提出一种注入式密码服务器及执行方法，可以解决上述技术问题，能够摒弃大容量的磁盘或固态盘，将各类产品生产统一化，降低产品经济成本和生产时间成本，便于各产品升级、运维和使用。
6.为实现上述目的，本发明采取的技术方案为：
7.第一方面，本发明实施例提供一种注入式密码服务器，包括：产品镜像子系统和产品注入子系统；
8.其中，所述产品镜像子系统，用于将各种服务器设备抽象及例化，各服务器设备的产品被抽取为产品镜像文件；各产品运行过程中的中间变量存储在密码服务器内存或pci-e密码卡的用户区；
9.产品注入子系统，用于集成在基本输入输出系统中，能够访问密码服务器产品携带的pci-e密码卡，能够使用pci-e密码卡的密钥、密码运算以及pci-e密码卡的用户区功能；校验和加载所述产品镜像文件，并将通过验证的所述产品镜像文件注入到密码服务器硬件中。
10.进一步地，所述产品镜像子系统具体包括：
11.抽取模块，用于抽取各产品使用的操作系统、相关驱动、服务程序并例化为格式镜像文件；
12.解析模块，用于解析所述格式镜像文件，分离出代码段和浮点数常量的关键数据段；
13.运算模块，用于采用sm3密码算法对所述关键数据段进行杂凑运算，再使用厂商私钥进行sm2签名运算；
14.生成模块，用于将所述运算模块的运算结果填充在格式镜像文件的扩展字段，生成产品镜像文件；所述产品镜像文件供所述产品注入子系统校验和加载。
15.进一步地，所述产品注入子系统具体包括：
16.产品镜像载入模块，用于驱动、访问pci-e密码卡，配置产品镜像文件的加载方式，调用产品镜像验证模块验证产品镜像文件，将验证通过的产品镜像文件直接加载至密码服务器内存中；
17.产品镜像验证模块，用于验证产品镜像文件是否合法。
18.进一步地，所述产品镜像验证模块，包括：
19.引入子模块，用于引入厂商身份密钥对，厂商身份密钥对采用sm2密钥对，相应的分为厂商私钥和厂商公钥；所述厂商私钥存储在厂商设备内，所述厂商公钥预置在pci-e密码卡内部；
20.加载与验证子模块，用于对所述产品镜像文件进行加载和验证，将sm2签名结果加载至pci-e密码卡内部，采用sm3杂凑算法计算加载的关键数据段，读取厂商公钥并执行验证签名操作，若验证操作通过则跳转至各产品对应的操作系统地址并启动；若验证操作失败则进行错误告警并退出加载。
21.第二方面，本发明实施例还提供一种注入式密码服务器的执行方法，应用在如上述任一项实施例所述的注入式密码服务器上，该执行方法包括：
22.通过产品镜像子系统将各种服务器设备抽象及例化，各服务器设备的产品被抽取为产品镜像文件；
23.采用产品注入子系统校验和加载所述产品镜像文件，将通过验证的所述产品镜像文件注入到密码服务器硬件中。
24.进一步地，通过产品镜像子系统将各种服务器设备抽象及例化，各服务器设备的产品被抽取为产品镜像文件；包括：
25.抽取各产品使用的操作系统、相关驱动、服务程序并例化为格式镜像文件；
26.解析所述格式镜像文件，分离出代码段和浮点数常量的关键数据段；
27.采用sm3密码算法对所述关键数据段进行杂凑运算，再使用厂商私钥进行sm2签名运算；
28.将sm2签名运算的结果填充在格式镜像文件的扩展字段，生成产品镜像文件；所述产品镜像文件供所述产品注入子系统校验和加载。
29.进一步地，采用产品注入子系统校验和加载所述产品镜像文件，将通过验证的所述产品镜像文件注入到密码服务器硬件中；包括：
30.驱动、访问pci-e密码卡，配置产品镜像文件的加载方式；
31.引入厂商身份密钥对，厂商身份密钥对采用sm2密钥对，相应的分为厂商私钥和厂商公钥；所述厂商私钥存储在厂商设备内，所述厂商公钥预置在pci-e密码卡内部；
32.对所述产品镜像文件进行加载和验证，将sm2签名结果加载至pci-e密码卡内部，
采用sm3杂凑算法计算加载的关键数据段；
33.集成在基本输入输出系统中的自检模块，对所述sm2、sm3两个密码算法进行检测；
34.当所述自检模块检测通过后，则读取厂商公钥并执行验证签名操作；
35.若验证操作通过则跳转至各产品对应的操作系统地址并启动；若验证操作失败则进行错误告警并退出加载。
36.与现有技术相比，本发明具有如下有益效果：
37.本发明实施例提供的一种注入式密码服务器，能够抽象、例化各产品并形成产品镜像，采用厂商私钥对产品镜像进行处理并重新封装，能够在基本输入输出系统中配置加载产品镜像的模式，加载、校验产品镜像并启动各产品镜像。最终达到生产统一化，节省磁盘，动态载入产品镜像的效果，节约成本并便于升级和维护。
附图说明
38.图1为本发明实施例提供的注入式密码服务器结构示意图；
39.图2为本发明实施例提供的产品注入子系统的流程示意图。
具体实施方式
40.为使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体实施方式，进一步阐述本发明。
41.在本发明的描述中，需要说明的是，术语“上”、“下”、“内”、“外”“前端”、“后端”、“两端”、“一端”、“另一端”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。
42.在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“设置有”、“连接”等，应做广义理解，例如“连接”，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
43.实施例1：
44.本发明提供的一种注入式密码服务器，参照图1所示，该密码服务器产品不携带磁盘，包括产品镜像子系统、产品注入子系统两个子系统。下面对这两个子系统进行详细介绍：
45.1、产品镜像子系统是服务器密码机、云服务密码机、金融数据密码机、签名验证服务器等产品的抽象及例化，各产品被抽取为产品镜像文件，可以直接被加载至密码服务器内存并执行，各产品运行过程中的中间变量存储在密码服务器内存或pci-e密码卡的用户区，产品镜像子系统可以由客户进行统一管理维护。
46.如图1所示，产品镜像子系统具体包括：
47.抽取模块，用于抽取各产品使用的操作系统、相关驱动、服务程序并例化为格式镜像文件；
48.解析模块，用于解析所述格式镜像文件，分离出代码段和浮点数常量的关键数据段；
49.运算模块，用于采用sm3密码算法对所述关键数据段进行杂凑运算，再使用厂商私钥进行sm2签名运算；
50.生成模块，用于将所述运算模块的运算结果填充在格式镜像文件的扩展字段，生成产品镜像文件；所述产品镜像文件供所述产品注入子系统校验和加载。
51.产品镜像子系统能够抽取各产品使用的操作系统、相关驱动、服务程序并例化为格式镜像文件，产品镜像子系统进一步解析格式镜像文件，分离出代码段和浮点数常量等关键数据段。采用sm3密码算法对关键数据段进行杂凑运算，然后使用厂商私钥进行sm2签名运算。运算结果填充在格式镜像文件扩展字段形成最终的产品镜像文件，该文件可供产品注入子系统校验和加载。
52.2、产品注入子系统是一个微型系统模块，可以集成在x86/x64的bios、龙芯的pmon、arm的uboot等基本输入输出系统中。产品注入子系统能够访问密码服务器产品携带的pci-e密码卡，能够使用pci-e密码卡的密钥、密码运算以及pci-e密码卡的用户区等功能，能够校验和加载产品镜像子系统的产品镜像文件。通过该产品注入子系统能够将服务器密码机、云服务密码机、金融数据密码机、签名验证服务器等产品的镜像注入密码服务器硬件中。
53.产品注入子系统包括产品镜像载入模块和产品镜像验证模块。
54.产品镜像载入模块：该模块能够驱动、访问pci-e密码卡，能够配置产品镜像的加载方式，调用产品镜像验证模块验证产品镜像文件，将验证通过的产品镜像文件直接加载至密码服务器内存中。
55.如图1所示，产品镜像验证模块包括：
56.引入子模块，用于引入厂商身份密钥对，厂商身份密钥对采用sm2密钥对，相应的分为厂商私钥和厂商公钥；所述厂商私钥存储在厂商设备内，所述厂商公钥预置在pci-e密码卡内部；
57.加载与验证子模块，用于对所述产品镜像文件进行加载和验证，将sm2签名结果加载至pci-e密码卡内部，采用sm3杂凑算法计算加载的关键数据段，读取厂商公钥并执行验证签名操作，若验证操作通过则跳转至各产品对应的操作系统地址并启动；若验证操作失败则进行错误告警并退出加载。
58.产品镜像验证模块引入了厂商身份密钥对，厂商身份密钥对采用sm2密钥对，相应的分为厂商私钥和厂商公钥。厂商私钥存储在厂商设备内，明文不以任何形式出现在厂商设备外部，厂商私钥标识厂商身份，原则上禁止修改。厂商公钥预置在pci-e密码卡内部不能被修改和读出，仅在pci-e密码卡内部访问。产品镜像验证模块对封装后的产品镜像进行加载和验证，产品镜像验证模块将sm2签名结果加载至pci-e密码卡内部，采用sm3杂凑算法计算加载的关键数据段，读取厂商公钥并执行验证签名操作，若验证操作通过则跳转至各产品对应的操作系统地址并启动，如果验证操作失败则进行错误告警并退出加载。产品镜像验证模块仅能加载通过厂商身份密钥签名的产品镜像。
59.本实施例中，该注入式密码服务器能够摒弃大容量的磁盘或固态盘，各类产品生产统一化，降低产品经济成本和生产时间成本。实际应用时，将各产品镜像动态注入密码服
务器进而形成各类密码服务器产品，便于各产品升级、运维和使用。
60.本发明实施例提供的一种注入式密码服务器，包含产品注入子系统，产品注入子系统由产品镜像载入模块和产品镜像验证模块组成。实际应用时，产品镜像子系统注入密码服务器内存进而形成各自的密码产品。
61.1)产品注入子系统可以集成在基本输入输出系统中，包括产品镜像载入模块和产品镜像验证模块。
62.2)镜像载入模块访问pci-e密码卡、配置产品镜像的加载方式、加载产品镜像至密码服务器的内存中。
63.3)产品镜像验证模块访问pci-e密码卡、校验产品镜像的合法性(是否为厂商提供)。
64.举例来说：比如实施方案中厂商私钥保存在sjm1804密码模块中(不能导出)，厂商公钥预置在pci-e密码卡rom中，不可更改。sjm1804密码模块主要是存储厂商私钥防止泄露，厂商私钥访问需要操作员授权。sjm1804密码模块还具备sm1、sm2、sm3、sm4密码运算功能。
65.以签名服务器产品为例，产品镜像子系统例化签名服务器产品的镜像文件，并固化为二进制文件，解析并分离二进制文件中的关键数据段进行sm3杂凑，然后使用厂商私钥对杂凑结果进行签名，将二进制文件以及签名结果重新封装为二进制数据文件，重新封装的二进制文件则为产品镜像，该实施中产品镜像存储于ftp服务器中。
66.签名服务器产品采用全国产龙芯cpu作为服务器，因此产品注入子系统布置于龙芯pmon中。服务器上电过程中，产品镜像载入模块配置为从固定ftp地址启动，产品注入子系统运行过程中产品镜像被加载至龙芯服务器的内存中。
67.产品镜像验证模块调用pci-e密码卡的sm3、sm2密码算法进行算法条件自测试，如果sm3或sm2标准数据运算错误则控制密码卡指示灯熄灭进行错误告警，pci-e密码卡无法正常启动。算法自测试成功后进入产品镜像校验，读取厂商公钥，读取服务器内存中产品镜像文件。启动sm3杂凑算法对读取的二进制文件中关键数据段进行杂凑，使用杂凑值、公钥以及签名结果进行sm2验证操作，如果验证操作成功则执行内存中产品镜像程序跳转至签名服务器系统入口。如果验证操作失败则签名服务器产品启动失败。
68.综上：通过该实施方案中的签名验证服务器没有携带磁盘，产品注入子系统布置于pmon中，二进制文件烧写于龙芯主板的存储芯片中，签名验证服务器开机过程中自动加载ftp服务器中的签名验证服务器镜像，签名验证服务器产品正常启动。
69.实施例2：
70.本发明实施例还提供一种注入式密码服务器的执行方法，应用在如上述实施例1的注入式密码服务器上，该执行方法包括：
71.s1、通过产品镜像子系统将各种服务器设备抽象及例化，各服务器设备的产品被抽取为产品镜像文件；
72.s1具体包括：
73.s11、抽取各产品使用的操作系统、相关驱动、服务程序并例化为格式镜像文件；
74.s12、解析所述格式镜像文件，分离出代码段和浮点数常量的关键数据段；
75.s13、采用sm3密码算法对所述关键数据段进行杂凑运算，再使用厂商私钥进行sm2
签名运算；
76.s14、将sm2签名运算的结果填充在格式镜像文件的扩展字段，生成产品镜像文件；所述产品镜像文件供所述产品注入子系统校验和加载。
77.s2、采用产品注入子系统校验和加载所述产品镜像文件，将通过验证的所述产品镜像文件注入到密码服务器硬件中。
78.s2具体包括：
79.s21、驱动、访问pci-e密码卡，配置产品镜像文件的加载方式；
80.s22、引入厂商身份密钥对，厂商身份密钥对采用sm2密钥对，相应的分为厂商私钥和厂商公钥；所述厂商私钥存储在厂商设备内，所述厂商公钥预置在pci-e密码卡内部；
81.s23、对所述产品镜像文件进行加载和验证，将sm2签名结果加载至pci-e密码卡内部，采用sm3杂凑算法计算加载的关键数据段；
82.s24、集成在基本输入输出系统中的自检模块，对所述sm2、sm3两个密码算法进行检测；
83.s25、当所述自检模块检测通过后，则读取厂商公钥并执行验证签名操作；
84.s26、若验证操作通过则跳转至各产品对应的操作系统地址并启动；若验证操作失败则进行错误告警并退出加载。
85.参照图2所示，为具体产品注入子系统的流程：
86.(1)根据产品镜像载入模块配置的载入方式，配置产品镜像子系统；注入式密码服务器上电，产品镜像载入模块执行，产品镜像被注入至密码服务器内存中。
87.(2)因基本输入输出系统运行空间有限，基本输入输出系统的二进制文件大小受限；自检模块只检测参与产品镜像校验的sm2、sm3两个密码算法。
88.(3)算法自检通过后，产品镜像验证模块运行并校验内存中已加载的产品镜像是否合法。
89.(4)产品镜像校验通过后，跳转产品镜像中操作系统地址开始执行产品镜像。
90.(5)算法自检测试失败或完整性测试失败则进行错误告警，密码服务器停止启动。
91.本实施例中，该方法能够抽象、例化各产品并形成产品镜像，采用厂商私钥对产品镜像进行处理并重新封装，能够在基本输入输出系统中配置加载产品镜像的模式，加载、校验产品镜像并启动各产品镜像。最终达到生产统一化，节省磁盘，动态载入产品镜像的效果，节约成本并便于升级和维护。
92.以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。