CN106972928A - 一种堡垒机私钥管理方法、装置及*** - Google Patents

一种堡垒机私钥管理方法、装置及*** Download PDF

Info

Publication number
CN106972928A
CN106972928A CN201710233783.1A CN201710233783A CN106972928A CN 106972928 A CN106972928 A CN 106972928A CN 201710233783 A CN201710233783 A CN 201710233783A CN 106972928 A CN106972928 A CN 106972928A
Authority
CN
China
Prior art keywords
fort machine
deciphering
token
fort
private key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710233783.1A
Other languages
English (en)
Other versions
CN106972928B (zh
Inventor
吴岩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing QIYI Century Science and Technology Co Ltd
Original Assignee
Beijing QIYI Century Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing QIYI Century Science and Technology Co Ltd filed Critical Beijing QIYI Century Science and Technology Co Ltd
Priority to CN201710233783.1A priority Critical patent/CN106972928B/zh
Publication of CN106972928A publication Critical patent/CN106972928A/zh
Application granted granted Critical
Publication of CN106972928B publication Critical patent/CN106972928B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种堡垒机私钥管理方法、装置及***，涉及网络安全技术领域。该方法包括：针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算，生成解密码集合，存储所述密文密钥文件和第一解密码，第一解密码为解密码集合中的任意一份解密码，当接收到堡垒机发送的访问请求时，识别堡垒机，将密文密钥文件和第一解密码传输至所述堡垒机，供堡垒机根据自身存储的第二解密码和第一解密码对密文密钥文件解密，获得堡垒机私钥。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且识别发送访问请求的堡垒机，降低了堡垒机私钥泄露的可能性。

Description

一种堡垒机私钥管理方法、装置及***
技术领域
本发明涉及网络安全技术领域，特别是涉及一种堡垒机私钥管理方法、装置及***。
背景技术
堡垒机是一种运维安全审计***，可以保障网络和数据不受来自外部和内部用户的入侵和破坏，其主要的功能是单点登录、帐号管理、资源授权和操作审计。堡垒机通过切断终端计算机对网络和服务器资源的直接访问，而采用协议代理的方式，接管了终端计算机对网络和服务器的访问。目前，用户通过堡垒机访问服务器时，通常使用堡垒机的单点登录功能并配合堡垒机私钥来实现访问，其中，堡垒机私钥由堡垒机管理员进行管理。
目前，堡垒机管理员通常将堡垒机私钥存储在个人电脑或非安全服务器中，且一般使用明文存储堡垒机私钥。
在现有技术中，明文存储堡垒机私钥比较危险，任何人通过非正常手段获取到堡垒机私钥，可以直接读取明文内容，造成堡垒机私钥泄露。
发明内容
为了解决明文存储堡垒机私钥，任何人通过非正常手段获取到堡垒机私钥，可以直接读取明文内容，造成堡垒机私钥泄露的问题，本发明实施例提供一种堡垒机私钥管理方法、装置及***。
依据本发明的一个方面，提供了一种堡垒机私钥管理方法，包括：
针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
优选地，所述当接收到堡垒机发送的访问请求时，识别所述堡垒机的步骤之前，还包括：
针对所述堡垒机建立令牌token；所述令牌token分别与所述密文密钥文件和所述第一解密码一一对应；
存储所述令牌token和所述堡垒机的IP地址；所述IP地址与所述令牌token一一对应。
优选地，所述当接收到堡垒机发送的访问请求时，识别所述堡垒机的步骤，包括：
查询与所述访问请求相匹配的所述令牌token；其中，所述访问请求包括所述堡垒机中存储的令牌token；
判断所述堡垒机的IP地址是否与所述查询到的令牌token对应的IP地址相匹配；
如果匹配成功，则对所述堡垒机授权，将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机。
优选地，所述将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机的步骤，包括：
通过应用程序编程API接口，采用超文本传输安全协议将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机；所述API接口由所述堡垒机私钥管理平台提供。
根据本发明的另一方面，提供了一种堡垒机私钥管理装置，包括：
第一运算模块，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
第二运算模块，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
第一存储模块，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
识别模块，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
传输模块，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
优选地，还包括：
建立模块，用于针对所述堡垒机建立令牌token；所述令牌token分别与所述密文密钥文件和所述第一解密码一一对应；
第二存储模块，用于存储所述令牌token和所述堡垒机的IP地址；所述IP地址与所述令牌token一一对应。
优选地，所述识别模块，包括：
查询子模块，用于查询与所述访问请求相匹配的所述令牌token；其中，所述访问请求包括所述堡垒机中存储的令牌token；
判断子模块，用于判断所述堡垒机的IP地址是否与所述查询到的令牌token对应的IP地址相匹配；
传输子模块，用于如果匹配成功，则对所述堡垒机授权，将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机。
优选地，所述传输子模块，用于：
通过应用程序编程API接口，采用超文本传输安全协议将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机；所述API接口由所述堡垒机私钥管理平台提供。
根据本发明的又一方面，提供了一种堡垒机私钥管理***，包括：堡垒机私钥管理平台和堡垒机；
所述堡垒机私钥管理平台包括：
第一运算模块，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
第二运算模块，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
第一存储模块，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
识别模块，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
传输模块，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码；
所述堡垒机包括：
发送模块，用于向所述堡垒机私钥管理平台发送访问请求；
获取模块，用于从所述堡垒机私钥管理平台获取所述密文密钥文件和所述第一解密码。
针对在先技术，本发明具备如下优点：
本发明提供了一种堡垒机私钥管理方法、装置及***，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例一中的一种堡垒机私钥管理方法的步骤流程图；
图2是本发明实施例二中的一种堡垒机私钥管理方法的步骤流程图；
图3是本发明实施例三中的一种堡垒机私钥管理装置的结构示意图；
图4是本发明实施例四中的一种堡垒机私钥管理装置的结构示意图；
图5是本发明实施例五提供的一种堡垒机私钥管理***的框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
下面通过列举几个具体的实施例详细介绍本发明提供的一种堡垒机私钥管理方法、装置及***。
本发明实施例提供的堡垒机私钥管理***包括管理终端、堡垒机私钥管理平台和多个堡垒机。其中，堡垒机与堡垒机私钥一一对应，用户可以使用管理终端对多个堡垒机私钥进行加密，堡垒机私钥管理平台可以用于存储多个加密后的堡垒机私钥，堡垒机可以用于向堡垒机私钥管理平台发送访问请求，获得加密后的堡垒机私钥，解密出堡垒机私钥。本发明实施例以一个堡垒机为例进行说明，对该堡垒机对应的堡垒机私钥进行管理的具体方法可以为：首先管理员可以对该堡垒机私钥进行对称加密算法，生成密文密钥文件和解密密钥，再对生成的解密密钥进行密钥共享算法，生成解密码集合，将生成的密文密钥文件和解密码集合中的任意一份解密码存储至堡垒机私钥管理平台，同时将解密码集合中除第一解密码外的任意一份解密码存储至该堡垒机中。当该堡垒机向堡垒机私钥管理平台发送访问请求时，堡垒机私钥管理平台可以根据该访问请求识别该堡垒机，然后堡垒机私钥管理平台将自身存储的解密码和密文密钥密钥文件传输至该堡垒机中，该堡垒机可以利用自身存储的解密码和从堡垒机私钥管理平台中获得的解密码对密文密钥文件进行解密，从而获得该堡垒机对应的堡垒机私钥，供用户访问远程服务器使用。
实施例一
详细介绍本发明实施例提供的一种堡垒机私钥管理方法。
参照图1，示出了本发明实施例中一种堡垒机私钥管理方法的步骤流程图，具体可以包括如下步骤：
步骤101，针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
本发明实施例中，管理员针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
其中，第一加密算法可以为对称加密，第一加密算法可以根据实际的信息安全性来具体设置，本发明实施例不对其加以限制。
示例的，以第一加密算法为对称加密为例进行说明。实际应用中，管理员可以采用对称加密算法对堡垒机对应的堡垒机私钥进行加密，获得密文密钥文件和解密密钥，密文密钥文件指的是加密后的堡垒机私钥，解密密钥用于解密密文密钥文件。
需要说明的是，对称加密算法指的是加密和解密使用相同密钥的加密算法，算法是一组规则，规定如何进行加密和解密。在大多数的对称加密算法中，加密密钥和解密密钥是相同的。它要求发送方和接收方在安全通信之前，商定一个密钥。在对称加密算法中，数据发信方将明文(原始数据)和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去。收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。在对称加密算法中，使用的密钥只有一个，发收信双方都使用这个密钥对数据进行加密和解密。
步骤102，针对所述解密密钥进行第二加密算法运算，生成解密码集合。
本发明实施例中，管理员针对解密密钥进行第二加密算法运算，生成解密码集合，所述解密码集合包括至少三份解密码。
其中，第二加密算法可以为密钥共享算法，第二加密算法可以根据实际的信息安全性来具体设置，本发明实施例不对其加以限制。
示例的，以第二加密算法为密钥共享算法为例进行说明。实际应用中，管理员可以采用密钥共享算法对解密密钥进行加密，也即是将解密密钥分解成解密码集合，该解密码集合中包括至少三份解密码，解密码集合中的任意两份解密码都可以还原出解密密钥。
需要说明的是，密钥共享算法指的是将一个密钥信息利用密码技术分拆成n个称为共享因子的信息，分发给n个成员，只有k(k≤n)个合法成员的共享因子才可以恢复该密钥信息，其中任何一个成员都不知道该密钥信息。利用密钥共享算法可以控制任何需要多个人共同控制的密钥信息、命令等。
步骤103，存储所述密文密钥文件和第一解密码。
本发明实施例中，管理员可以将生成的密文密钥文件和第一解密码存储至堡垒机私钥管理平台中，第一解密码为解密码集合中的任意一份解密码。
其中，管理员为堡垒机私钥管理平台的管理员与使用者，堡垒机私钥管理平台是一个主要存储密文密钥文件的平台，主要由认证模块、权限模块和应用程序编程接口(英文：Application Program Interface，简称：API)等部分组成，由于堡垒机私钥管理平台是一个网络化的管理平台，管理员可以直接在该管理平台中输入密文密钥文件和第一解密码，也即是将密文密钥文件和第一解密码存储至该堡垒机私钥管理平台中。
实际应用中，管理员可以在计算机中对堡垒机私钥进行对称加密，也可以在计算机中对获得的解密密钥进行密钥共享算法运算。其中，管理员不需要将获得的密文密钥文件和解密密钥存储至计算机中，在生成密文密钥文件和解密密钥之后，完成相关的算法之后，可以将密文密钥文件和解密密钥删除，保证密文密钥文件和解密密钥的安全。
步骤104，当接收到所述堡垒机发送的访问请求时，识别所述堡垒机。
本发明实施例中，通过使用堡垒机私钥管理平台存储加密后的堡垒机私钥，也即是存储密文密钥文件。当用户通过堡垒机访问相应的远程服务器时，需要使用堡垒机私钥访问远程服务器，则该堡垒机需要从堡垒机私钥管理平台中获取相应的密文密钥文件，解密获得相对应的堡垒机私钥。为确保该堡垒机安全性，堡垒机私钥管理平台可以根据该堡垒机发送的访问请求，识别该堡垒机。
需要说明的是，在实际应用中，用户通过堡垒机访问相应的远程服务器时，需要使用堡垒机私钥访问远程服务器，具体实现过程可以为：首先需要一对公钥和私钥，私钥存放在堡垒机中，公钥需要分发到远程服务器中。用户也有一对公钥和私钥，私钥用户自己保存，公钥存在堡垒机中。首先，用户可以凭借自己的私钥登录到堡垒机中，其次，用户可以通过堡垒机中存有的私钥访问相应的远程服务器。其中，访问远程服务器的具体原理为堡垒机将自己的公钥存储在远程服务器上，访问远程服务器时，远程服务器会向堡垒机发送一段随机字符串，堡垒机用自己的私钥加密后，再发到远程服务器中，远程服务器用事先存储的公钥进行解密，如果成功，就证明堡垒机是可信的。
步骤105，将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥。
本发明实施例中，当堡垒机私钥管理平台根据堡垒机发送的访问请求识别出该堡垒机时，堡垒机私钥管理平台可以将与该堡垒机对应的密文密钥文件和第一解密码传输至该堡垒机中，该堡垒机可以根据自身存储的第二解密码和第一解密码对密文密钥文件解密，获得堡垒机私钥，供用户访问远程服务器。其中，第二解密码为解密码集合中除第一解密码外的任意一份解密码。具体的，堡垒机私钥管理平台可以通过自身的API接口，采用超文本传输安全协议将该堡垒机对应的密文密钥文件和第一解密码传输至该堡垒机中。
需要说明的是，管理员针对该堡垒机私钥进行第一加密算法运算后，可以生成与该堡垒机私钥对应的解密密钥，然后管理员针对该解密密钥进行第二加密算法运算，可以生成解密码集合，该解密码集合中至少包括三份解密码，管理员可以将该解密码集合中任意一份解密码存储至对应的堡垒机中，其中，该解密码集合中的任意两份解密码都可以还原出对应的解密密钥。当该堡垒机从堡垒机私钥管理平台中获得对应的密文密钥文件和第一解密码后，堡垒机可以通过利用自身存储的解密码与获得的第一解密码进行密钥共享算法的逆运算，生成对应的解密密钥，该解密密钥可以用来解密密文密钥文件，生成的堡垒机私钥供用于供用户访问远程服务器。
综上所述，在本发明实施例中，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
实施例二
详细介绍本发明实施例提供的一种堡垒机私钥管理方法。
参照图2，示出了本发明实施例中一种堡垒机私钥管理方法的步骤流程图，具体可以包括如下步骤：
步骤201，针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
此步骤与实施例一中的步骤101相同，在此不再详述。
步骤202，针对所述解密密钥进行第二加密算法运算，生成解密码集合。
此步骤与实施例一中的步骤102相同，在此不再详述。
步骤203，存储所述密文密钥文件和第一解密码。
此步骤与实施例一中的步骤103相同，在此不再详述。
步骤204，针对所述堡垒机建立令牌token。
本发明实施例中，管理员可以针对相应的堡垒机建立令牌token，该令牌token可以用于标识该堡垒机，也即是一个令牌token对应一个堡垒机。
其中，针对相应的堡垒机建立的令牌token分别与该堡垒机对应的密文密钥文件和第一解密码一一对应。
步骤205，存储所述令牌token和所述堡垒机的IP地址。
本发明实施例中，将针对相应的堡垒机建立的令牌token存储至堡垒机私钥管理平台中。在实际应用中，管理员也将针对相应的堡垒机建立的令牌token存储至相应的堡垒机中，用于当该堡垒机向堡垒机私钥管理平台发送访问请求时，通过比对堡垒机私钥管理平台中存储的令牌token与堡垒机中的令牌token，识别出该堡垒机。
管理员通过采集对应的堡垒机的互联网协议(英文：Internet Protocol；简称：IP)地址，并将采集的IP地址存储至堡垒机私钥管理平台中，用于当该堡垒机向堡垒机私钥管理平台发送访问请求时，通过比对堡垒机私钥管理平台中存储的令牌token与堡垒机中的令牌token后，再比对堡垒机私钥管理平台中存储的该堡垒机的IP地址与该堡垒机的IP地址，从而识别出该堡垒机。其中，在堡垒机私钥管理平台中，堡垒机的IP地址与令牌token一一对应。
步骤206，当接收到所述堡垒机发送的访问请求时，识别所述堡垒机。
本发明实施例中，通过使用堡垒机私钥管理平台存储加密后的堡垒机私钥，也即是存储密文密钥文件。当用户通过堡垒机访问相应的远程服务器时，需要使用堡垒机私钥访问远程服务器，则该堡垒机需要从堡垒机私钥管理平台中获取相应的堡垒机私钥。为确保该堡垒机安全性，堡垒机私钥管理平台可以根据该堡垒机发送的访问请求，识别该堡垒机。
具体的，堡垒机向堡垒机私钥管理平台发送的访问请求中包括该堡垒机中存储的令牌token。当堡垒机私钥管理平台接收到堡垒机发送的访问请求时，通过查询与该访问请求中携带的令牌token相匹配的令牌token，然后判断查询到的令牌token对应的IP地址是否与该堡垒机的IP地址相匹配，如果查询到的令牌token对应的IP地址与该堡垒机的IP地址相匹配，则识别出该堡垒机，堡垒机私钥管理平台对该堡垒机授权，将查询到的令牌token对应的密文密钥文件和第一解密码传输至该堡垒机中，供该堡垒机获得对应的堡垒机私钥。如果查询到的令牌token对应的IP地址与该堡垒机的IP地址不匹配，则不对该堡垒机授权。
需要说明的是，本发明实施例通过应用程序编程API接口，采用超文本传输安全协议将查询到的令牌token对应的密文密钥文件和第一解密码传输至该堡垒机中，其中，API接口由堡垒机私钥管理平台提供。
步骤207，将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥。
此步骤与实施例一中的步骤105相同，在此不再详述。
综上所述，在本发明实施例中，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
实施例三
详细介绍本发明实施例提供的一种堡垒机私钥管理装置。
参照图3，示出了本发明实施例中一种堡垒机私钥管理装置的框图。
本发明实施例的堡垒机私钥管理装置300包括：
下面分别详细介绍各模块的功能以及各模块之间的交互关系。
第一运算模块301，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
第二运算模块302，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码。
第一存储模块303，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码。
识别模块304，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机。
传输模块305，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
综上所述，在本发明实施例中，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
实施例四
详细介绍本发明实施例提供的一种堡垒机私钥管理装置。
参照图4，示出了本发明实施例中一种堡垒机私钥管理装置的框图。
本发明实施例的堡垒机私钥管理装置400包括：
下面分别详细介绍各模块的功能以及各模块之间的交互关系。
第一运算模块401，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
第二运算模块402，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码。
第一存储模块403，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码。
建立模块404，用于针对所述堡垒机建立令牌token；所述令牌token分别与所述密文密钥文件和所述第一解密码一一对应。
第二存储模块405，用于存储所述令牌token和所述堡垒机的IP地址；所述IP地址与所述令牌token一一对应。
识别模块406，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机。可选地，在本发明实施例中，上述识别模块406，进一步可以包括：查询子模块4061，用于查询与所述访问请求相匹配的所述令牌token；其中，所述访问请求包括所述堡垒机中存储的令牌token；判断子模块4062，用于判断所述堡垒机的IP地址是否与所述查询到的令牌token对应的IP地址相匹配；传输子模块4063，用于如果匹配成功，则对所述堡垒机授权，将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机。可选地，在本发明实施例中，上述传输子模块4063，用于：通过应用程序编程API接口，采用超文本传输安全协议将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机；所述API接口由所述堡垒机私钥管理平台提供。
传输模块407，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
综上所述，在本发明实施例中，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
实施例五
详细介绍本发明实施例提供的一种堡垒机私钥管理***。
参照图5，示出了本发明实施例中一种堡垒机私钥管理***的框图。
本发明实施例的堡垒机私钥管理***500包括：堡垒机私钥管理平台501和堡垒机502。
所述堡垒机私钥管理平台501包括：
第一运算模块5011，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥。
第二运算模块5012，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码。
第一存储模块5013，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码。
识别模块5014，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机。
传输模块5015，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
所述堡垒机502包括：
发送模块5021，用于向所述堡垒机私钥管理平台发送访问请求。
获取模块5022，用于从所述堡垒机私钥管理平台获取所述密文密钥文件和所述第一解密码。
综上所述，在本发明实施例中，通过针对堡垒机对应的堡垒机私钥进行第一加密算法运算生成秘密文密钥文件和解密密钥，针对解密密钥进行第二加密算法运算生成解密码集合，并将密文密钥文件和解密码集合中的第一解密码存储至堡垒机私钥管理平台，堡垒机私钥管理平台通过接受堡垒机发送的访问请求，识别该堡垒机，然后将对应的密文密钥文件传输至该堡垒机中。本发明通过采用堡垒机私钥管理平台存储密文密钥文件和第一解密码，且通过堡垒机私钥管理平台识别发送访问请求的堡垒机，实现了对堡垒机私钥进行加密存储的目的。如果黑客采用非正常手段获取解密码集合中的任意两份解密码，由于密文密钥文件存储在堡垒机私钥管理平台中，黑客不能够从堡垒机私钥管理平台中获取密文密钥文件，则黑客不能够利用获取的任意两份解密码去解密密文密钥文件，即不能够获得堡垒机私钥，降低了堡垒机私钥泄露的可能性。
本领域普通技术人员可以意识到，结合本发明实施例中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本发明所提供的实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对在先技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (9)

1.一种堡垒机私钥管理方法，应用于堡垒机私钥管理平台，其特征在于，包括：
针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
2.根据权利要求1所述的方法，其特征在于，所述当接收到堡垒机发送的访问请求时，识别所述堡垒机的步骤之前，还包括：
针对所述堡垒机建立令牌token；所述令牌token分别与所述密文密钥文件和所述第一解密码一一对应；
存储所述令牌token和所述堡垒机的IP地址；所述IP地址与所述令牌token一一对应。
3.根据权利要求2所述的方法，其特征在于，所述当接收到堡垒机发送的访问请求时，识别所述堡垒机的步骤，包括：
查询与所述访问请求相匹配的所述令牌token；其中，所述访问请求包括所述堡垒机中存储的令牌token；
判断所述堡垒机的IP地址是否与所述查询到的令牌token对应的IP地址相匹配；
如果匹配成功，则对所述堡垒机授权，将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机。
4.根据权利要求3所述的方法，其特征在于，所述将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机的步骤，包括：
通过应用程序编程API接口，采用超文本传输安全协议将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机；所述API接口由所述堡垒机私钥管理平台提供。
5.一种堡垒机私钥管理装置，应用于堡垒机私钥管理平台，其特征在于，包括：
第一运算模块，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
第二运算模块，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
第一存储模块，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
识别模块，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
传输模块，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码。
6.根据权利要求5所述的装置，其特征在于，还包括：
建立模块，用于针对所述堡垒机建立令牌token；所述令牌token分别与所述密文密钥文件和所述第一解密码一一对应；
第二存储模块，用于存储所述令牌token和所述堡垒机的IP地址；所述IP地址与所述令牌token一一对应。
7.根据权利要求6所述的装置，其特征在于，所述识别模块，包括：
查询子模块，用于查询与所述访问请求相匹配的所述令牌token；其中，所述访问请求包括所述堡垒机中存储的令牌token；
判断子模块，用于判断所述堡垒机的IP地址是否与所述查询到的令牌token对应的IP地址相匹配；
传输子模块，用于如果匹配成功，则对所述堡垒机授权，将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机。
8.根据权利要求7所述的装置，其特征在于，所述传输子模块，用于：
通过应用程序编程API接口，采用超文本传输安全协议将所述查询到的令牌token对应的所述密文密钥文件和所述第一解密码传输至所述堡垒机；所述API接口由所述堡垒机私钥管理平台提供。
9.一种堡垒机私钥管理***，其特征在于，包括：堡垒机私钥管理平台和堡垒机；
所述堡垒机私钥管理平台包括：
第一运算模块，用于针对堡垒机对应的堡垒机私钥进行第一加密算法运算，生成密文密钥文件和解密密钥；
第二运算模块，用于针对所述解密密钥进行第二加密算法运算，生成解密码集合；所述解密码集合包括至少三份解密码；
第一存储模块，用于存储所述密文密钥文件和第一解密码；所述第一解密码为所述解密码集合中的任意一份解密码；
识别模块，用于当接收到所述堡垒机发送的访问请求时，识别所述堡垒机；
传输模块，用于将所述密文密钥文件和所述第一解密码传输至所述堡垒机，供所述堡垒机根据自身存储的第二解密码和所述第一解密码对所述密文密钥文件解密，获得所述堡垒机私钥；其中，所述第二解密码为所述解密码集合中除第一解密码外的任意一份解密码；
所述堡垒机包括：
发送模块，用于向所述堡垒机私钥管理平台发送访问请求；
获取模块，用于从所述堡垒机私钥管理平台获取所述密文密钥文件和所述第一解密码。
CN201710233783.1A 2017-04-11 2017-04-11 一种堡垒机私钥管理方法、装置及*** Active CN106972928B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710233783.1A CN106972928B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法、装置及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710233783.1A CN106972928B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法、装置及***

Publications (2)

Publication Number Publication Date
CN106972928A true CN106972928A (zh) 2017-07-21
CN106972928B CN106972928B (zh) 2020-07-28

Family

ID=59337264

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710233783.1A Active CN106972928B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法、装置及***

Country Status (1)

Country Link
CN (1) CN106972928B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111082927A (zh) * 2019-11-07 2020-04-28 贵州警察学院 一种私钥管理方法、装置及终端设备
CN113346990A (zh) * 2021-05-11 2021-09-03 科大讯飞股份有限公司 安全通信方法及***、相关设备和装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105553654A (zh) * 2015-12-31 2016-05-04 广东信鉴信息科技有限公司 密钥信息查询处理方法和装置、密钥信息管理***
CN105933113A (zh) * 2016-06-13 2016-09-07 北京三未信安科技发展有限公司 一种密钥备份恢复方法、***及其相关设备
US20160277373A1 (en) * 2014-04-04 2016-09-22 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
US9628274B1 (en) * 2008-09-30 2017-04-18 Amazon Technologies, Inc. Hardening tokenization security and key rotation
CN106961336A (zh) * 2017-04-18 2017-07-18 北京百旺信安科技有限公司 一种基于sm2算法的密钥分量托管方法和***

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9628274B1 (en) * 2008-09-30 2017-04-18 Amazon Technologies, Inc. Hardening tokenization security and key rotation
US20160277373A1 (en) * 2014-04-04 2016-09-22 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
CN105553654A (zh) * 2015-12-31 2016-05-04 广东信鉴信息科技有限公司 密钥信息查询处理方法和装置、密钥信息管理***
CN105933113A (zh) * 2016-06-13 2016-09-07 北京三未信安科技发展有限公司 一种密钥备份恢复方法、***及其相关设备
CN106961336A (zh) * 2017-04-18 2017-07-18 北京百旺信安科技有限公司 一种基于sm2算法的密钥分量托管方法和***

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111082927A (zh) * 2019-11-07 2020-04-28 贵州警察学院 一种私钥管理方法、装置及终端设备
CN111082927B (zh) * 2019-11-07 2023-12-12 贵州警察学院 一种私钥管理方法、装置及终端设备
CN113346990A (zh) * 2021-05-11 2021-09-03 科大讯飞股份有限公司 安全通信方法及***、相关设备和装置
CN113346990B (zh) * 2021-05-11 2022-12-23 科大讯飞股份有限公司 安全通信方法及***、相关设备和装置

Also Published As

Publication number Publication date
CN106972928B (zh) 2020-07-28

Similar Documents

Publication Publication Date Title
US7975312B2 (en) Token passing technique for media playback devices
CN1939028B (zh) 从多个设备存取网络存储器上的保护数据
US10089627B2 (en) Cryptographic authentication and identification method using real-time encryption
EP2544117A1 (en) Method and system for sharing or storing personal data without loss of privacy
WO2012176076A1 (en) Key generation using multiple sets of secret shares
CN108809633B (zh) 一种身份认证的方法、装置及***
CN104065680A (zh) 信息处理方法、检索方法、装置、用户终端及服务器
CN106656490B (zh) 量子白板数据存储方法
CN104243439A (zh) 文件传输处理方法、***及终端
CN102842008A (zh) 一种电子发行***及出版物发行方法
CN113572604A (zh) 一种发送密钥的方法、装置、***及电子设备
CN110198320B (zh) 一种加密信息传输方法和***
CN108965279A (zh) 数据处理方法、装置、终端设备及计算机可读存储介质
US10764260B2 (en) Distributed processing of a product on the basis of centrally encrypted stored data
TW201426395A (zh) 資料安全保密系統與方法
CN116709325B (zh) 一种基于高速加密算法的移动设备安全认证方法
CN106972928A (zh) 一种堡垒机私钥管理方法、装置及***
US11463251B2 (en) Method for secure management of secrets in a hierarchical multi-tenant environment
CN114866317B (zh) 多方的数据安全计算方法、装置、电子设备和存储介质
KR102053993B1 (ko) 인증서를 이용한 사용자 인증 방법
US20090282245A1 (en) Security method and system for media playback devices
CN111541652B (zh) 一种用于提高秘密信息保管及传递安全性的***
CN115277267B (zh) 一种文档安全加解密方法
JP7259578B2 (ja) 認証システム及び認証方法
CN116506180A (zh) 基于加密授权的招聘软件隐私保护方法及***

Legal Events

Date Code Title Description
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant