CN115499228B 一种密钥保护方法、装置、设备、存储介质 （成都卫士通信息产业股份有限公司）

司加密密文为利用从公共数据卷中保存的与宿主机对应的管理公钥对虚拟机的密钥进行加密后得到的，不同宿主机分别对应于不同的管理公机中的密码运算模块保存的目标管理私钥对加拟机的密钥对用户端发送的加解密请求进行处的管理密钥进行管理，减少管理密钥暴露的风2述管理公钥；将所有所述加密密文依次发送至目标宿主机的密码运算模块，以确定出目标加密密通过所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所述目标加密密基于多台所述宿主机建立宿主机集群；基于所述宿主机集群构建所述分布式存储系确定宿主机集群中当前的待删除宿主机，利用所述待删除基于当前状态标识为停用状态标识的所述待删除宿主机的唯一识别码对业务数据卷利用所述新增宿主机的管理公钥对所述目标虚拟机的密钥进行加密以得到相应的目从所述新增宿主机的所述密码运算模块中提取出所述新增宿主机的管理述新增宿主机的唯一识别码以及所述新增宿主机的管理公钥同步至所述5.根据权利要求3或4所述的密钥保护方法控制所述新增宿主机向每个所述关联虚拟机关联虚拟机中筛选出允许被所述新增宿主机调度若所述关联虚拟机针对所述绑定请求的响应不存在响应错误和3若所述关联虚拟机针对所述绑定请求的响应存在响应错误或响密文获取模块，用于当获取到由用户端发送到虚分别对应于不同的所述管理公钥；目标私钥获取模块，用于将所有所述加密密文依次发送至目标宿主机的密码运算模请求处理模块，用于通过所述目标宿主机中的所述密码运算模块保存的目标管所述密钥保护装置，还用于基于多台所述宿主机建立宿主机集群；基于所处理器，用于执行所述计算机程序，以实现如权利要求1至6任一项所序被处理器执行时实现如权利要求1至6任一项所述的4管理产生的管理密钥暴露和安全设备集群被攻破的问题，实现支持业务容器的跨节点漂安全设备集群使用存储在第三方密钥保存系统中的单个管理密钥管理产生的管理密钥暴[0009]通过所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所述目标加5[0012]基于当前状态标识为停用状态标识的所述待删除宿主机的唯一识别码对业务数[0015]利用所述新增宿主机的管理公钥对所述目标虚拟机的密钥进行加密以得到相应所述关联虚拟机中筛选出允许被所述新增宿主机调度的关联虚拟机确定为允许被所述新增宿主机调度6所述计算机程序被处理器执行时实现前述公开的密钥保护方所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所述目标加密密文进行解7会导致该安全设备集群中其它所有的安全设备都方密钥保存系统中的单个管理密钥管理产生的管理密钥暴露和安全设备集群被攻破的问应于不同的所述管理公钥。个VSM应使用各自独立的管理工具产生各自的管理密钥并存储在各自独立的的安全存储区8方式存于非易失性存储器上。云密码机的HMK公钥以明文方式存放在密码运算模块的非易建分布式存储系统，并在所述分布式存储系统中创建所述公共数据卷和所述业务数据卷。业务数据卷，以达到密钥隔离的效果，其中所述VSM集群的关键信息具体可以包括但不限解密过程如下：首先读取该VSM集群的业务数据卷，然后将获取的与所有该虚拟机相关的VMK的加密密文依次输入到本次选择的云密码机中，利用所述云密码机非易失性安全存储[0060]步骤S13：通过所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所[0061]本实施例中，当获取到解密加密密文的云密码机HMK私钥后，利用所述云密码机HMK私钥对所述加密密文进行解密，以便利用解密后的VMK对用户的加解密请求进行处理，可以理解的是，由于在对VMK加密时采用了不同的云密码机各自的HMK公钥对其进行加密，9所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所述目标加密密文进行解[0063]参照图5所示，本发明实施例公开了一种具体的密钥保护方法，相对于上一实施响应错误和响应超时，则将该关联虚拟机确定为允许被所述新增宿主机调度的目标虚拟向所述待加入云密码机发送加入集群指令，当所述待加入云密码机收到所述集群指令后，下云密码机集群中每台云密码机的UUID，以及被云密码机的HMK公钥保护的VMK加密密文。集群，启用分布式存储系统并创建公共数据卷，将所有云密码机的HMK公钥同步到数据卷[0068]步骤S22：利用所述新增宿主机的管理公钥对所述目标虚拟机的密钥进行加密以利用所述待删除宿主机的唯一识别码从所述公共数据卷中查询所述待删除宿主机的状态状态标识的所述待删除宿主机的唯一识别码对业务数据卷上保存与所述待删除宿主机对[0072]步骤S25：通过所述新增宿主机中的所述密码运算模块保存的目标管理私钥对所方法的具体实施过程，令云密码机的HMK私钥存放在密码运算模块的非易失性安全存储区钥以明文方式存放在密码运算模块的非易失性存储区中。而易失性存储区会为每个VSM划宿主机分别对应于不同的所述管理公钥；所述目标宿主机中的所述密码运算模块保存的目标管理私钥对所述目标加密密文进行解储器(StaticRandomAccessMemory，简称SRAM)，电可擦除可编程只读存储器(ProgrammableRead_OnlyMemory，简称PROM)，只读存储器(Read_OnlyMemory，简称设备之间进行有线或无线通信。无线通信，例如Wi_Fi，蓝牙，近场通信(NearField[0082]在一示例性实施例中，电子设备200可以被一个或多个应用专用集成电路(ApplicationSpecificIntegratedCircuit，简称ASIC)、数字信号处理器(Digital可以为上述包括程序指令的存储器202，上述程序指令可由电子设备200的处理器201执行