CN109286502A - 恢复加密机管理员锁的方法以及加密机 - Google Patents

Abstract

本发明涉及一种恢复加密机管理员锁的方法以及加密机。所述方法包括：步骤S1，获取所述管理员锁生成的含有管理员锁ID的第一恢复请求包；步骤S2，向所述加密模块发送所述第一恢复请求包，以获取第二恢复请求包；步骤S3，向所述控制锁发送所述第二恢复请求包，以获取第一恢复命令包；步骤S4，向所述加密模块发送所述第一恢复命令包，以获取第二恢复命令包；步骤S5，向所述管理员锁发送所述第二恢复命令包，以使所述管理员锁基于所述第二恢复命令包进行恢复操作以恢复到就绪状态，在该就绪状态下，所述管理员锁中保存有所述管理员锁ID、所述用户ID、所述种子码以及根据所述种子码生成的密钥。该方法能够实现对加密机管理员锁的恢复，以应对管理员锁丢失和损坏的情况。

Description

恢复加密机管理员锁的方法以及加密机

技术领域

本发明涉及信息安全技术领域，具体涉及一种恢复加密机管理员锁的方法以及加密机。

背景技术

加密机是一种专用的安全加密设备。一般地，加密机厂商在将加密机出售给客户时会附带几把配套的管理员锁。加密机的管理员锁代表了管理员身份，加密机只有在接入了管理员锁的情况下才可以执行一系列的管理操作。但是，如果发生意外导致客户的管理员锁全部丢失或损坏，则客户无法再对加密机进行管理操作。

为此，亟需提出一种恢复加密机管理员锁的方案。

发明内容

针对现有技术的上述缺陷，本发明一方面提供了一种恢复加密机管理员锁的方法。其中所述加密机包括加密模块，并且在所述方法被执行期间所述管理员锁和厂商侧的控制锁分别与所述加密机通信地耦合，所述方法包括：步骤S1，获取所述管理员锁生成的含有管理员锁ID的第一恢复请求包；步骤S2，向所述加密模块发送所述第一恢复请求包，以获取所述加密模块基于所述第一恢复请求包生成的含有加密模块ID和所述管理员锁ID的第二恢复请求包；步骤S3，向所述控制锁发送所述第二恢复请求包，以获取所述控制锁基于所述第二恢复请求包生成的含有所述加密模块ID和所述管理员锁ID的第一恢复命令包；步骤S4，向所述加密模块发送所述第一恢复命令包，以获取所述加密模块基于所述第一恢复命令包生成的含有所述管理员锁ID、用户ID以及种子码的第二恢复命令包；步骤S5，向所述管理员锁发送所述第二恢复命令包，以使所述管理员锁基于所述第二恢复命令包进行恢复操作以恢复到就绪状态，在该就绪状态下，所述管理员锁中保存有所述管理员锁ID、所述用户ID、所述种子码以及根据所述种子码生成的密钥。

在本发明的一个实施例中，所述第一恢复请求包由所述管理员锁利用其自身预埋的管理员锁私钥进行签名，并且在步骤S1中，进一步包括：从所述管理员锁获取管理员锁证书链，所述管理员锁证书链包括根CA证书、设备CA证书和管理员锁公钥证书；并且在步骤S2中，进一步包括：向所述加密模块发送所述管理员锁证书链，以使所述加密模块根据所述管理员锁证书链验证所述第一恢复请求包的合法性，并且在该验证通过后从所述加密模块获取所述第二恢复请求包和加密模块证书链，所述加密模块证书链包括根CA证书、设备CA证书和加密模块公钥证书。

在本发明的一个实施例中，在步骤S2中，向所述加密模块发送所述管理员锁证书链，以使所述加密模块在验证所述第一恢复请求包的合法性之前，还根据自身预埋的根CA证书验证所述管理员锁证书链的合法性。

在本发明的一个实施例中，所述第二恢复请求包由所述加密模块利用其自身预埋的加密模块私钥进行签名，并且在步骤S3中，进一步包括：向所述控制锁发送所述加密模块证书链，以使所述控制锁根据所述加密模块证书链验证所述第二恢复请求包的合法性，并在该验证通过后从所述控制锁获取所述第一恢复命令包和控制锁证书链，所述控制锁证书链包括根CA证书、***CA证书和控制锁公钥证书。

在本发明的一个实施例中，所述第一恢复命令包由所述控制锁利用其自身预埋的控制锁私钥进行签名；并且在步骤S4中，进一步包括：向所述加密模块发送所述控制锁证书链，以使所述加密模块根据所述控制锁证书链验证所述第一恢复命令包的合法性，并在该验证通过后从所述加密模块获取所述第二恢复命令包。

在本发明的一个实施例中，所述第一恢复命令包由所述控制锁利用其自身预埋的控制锁私钥进行签名后利用所述加密模块公钥进行加密；并且在步骤S4中，进一步包括：向所述加密模块发送所述控制锁证书链，以使所述加密模块利用所述加密模块私钥对所述第一恢复命令包解密并根据所述控制锁证书链验证所述第一恢复命令包的合法性，并在该验证通过后从所述加密模块获取所述第二恢复命令包。

在本发明的一个实施例中，所述第二恢复命令包由所述加密模块利用所述加密模块私钥进行签名，并且在步骤S5中，进一步包括：向所述管理员锁发送所述加密模块证书链，以使所述管理员锁根据所述加密模块证书链验证所述第二恢复命令包的合法性。

在本发明的一个实施例中，所述第二恢复命令包由所述加密模块利用所述加密模块私钥进行签名后利用所述管理员锁公钥证书加密，并且在步骤S5中，进一步包括：向所述管理员锁发送所述加密模块证书链，以使所述管理员锁利用所述管理员锁私钥对所述第二恢复命令包解密并根据所述加密模块证书链验证所述第二恢复命令包的合法性。

在本发明的一个实施例中，所述加密模块、所述管理员锁、所述控制锁中均预埋有根CA证书，所述根CA证书用于对所述加密模块证书链、所述管理员锁证书链和所述控制锁证书链的合法性进行验证。

在本发明的一个实施例中，所述种子码包括：用于产生第一密钥的第一种子码以及用于产生第二密钥和第三密钥的第二种子码，其中所述第一密钥为应用密钥；所述第二密钥为所述加密模块与所述管理员锁共享的用于加密的对称密钥；所述第三密钥为所述加密模块与所述管理员锁共享的用于计算MAC的密钥。

在本发明的一个实施例中，在步骤S1之前，还包括：步骤S0，检查所述加密机是否已经与所述管理员锁和所述控制锁通信地耦合，检查所述管理员锁是否处于出厂状态并且检查所述加密模块是否处于就绪状态。

本发明另一方面还提供了一种加密机。所述加密机包括：加密模块，用于实现加密算法和安全保存密钥；第一和第二接口，用于分别与管理员锁和厂商侧的控制锁通信地耦合；存储器，配置为存储可执行程序；处理器，其配置为当执行所述可执行程序时实现上述的方法。

本发明另一方面还提供了一种计算机可读存储介质，其上存储可执行程序，当所述可执行程序被计算机运行时实现上述的方法。

根据本发明的恢复加密机管理员锁的方法，客户在丢失或损坏管理员锁的情况下，其可以将其拥有的加密机返厂，并授权厂商恢复出新的与该加密机配套的管理员锁，该恢复数据后的管理员锁中保存有管理员锁ID、用户ID、种子码以及根据种子码生成的密钥。由此，客户能够继续对其拥有的加密机进行管理操作。

附图说明

在不一定按比例绘制的附图中，相同的附图标记可以在不同的视图中描述相似的部件。附图大体上通过举例而不是限制的方式示出各种实施例，并且与说明书以及权利要求书一起用于对所公开的实施例进行说明。在适当的时候，在所有附图中使用相同的附图标记指代同一或相似的部分。这样的实施例是例证性的，而并非旨在作为本装置或方法的穷尽或排他实施例。

图1是对加密机的证书体系结构图进行说明的图。

图2是本发明实施例的一种恢复加密机管理员锁的方法的示意性流程图。

图3(a)和图3(b)是本发明另一实施例的一种恢复加密机管理员锁的方法的示意性流程图。

具体实施方式

此处参考附图描述本公开的各种方案以及特征。通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本发明的这些和其它特性将会变得显而易见。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本公开的相同或不同实施例中的一个或多个。注意的是，在说明书全文中，相同的附图标记指代相同或相似的元件，并省略不必要的重复描述。此外，具体实施例中，以单数形式出现的元件并不排除可以以多个(复数个)形式出现。

加密机是一种安全加密设备，其通常包括加密模块，用于实现加密算法和安全保存密钥，加密模块可使用专用的硬件(例如，安全芯片)实现。加密机厂商在将加密机出售给客户时会附带几把配套的管理员锁，使得客户可以对该加密机进行管理操作。为实现相应的功能，厂商在将加密机出厂之前将对加密模块和管理员锁预埋一些密钥/证书。

例如，加密模块在出厂之前预埋的密钥/证书可以有：根证书、设备CA证书、加密模块私钥、加密模块公钥证书、***CA证书、工程模式控制锁公钥证书。其中加密模块私钥和加密模块公钥证书中的公钥是一对RSA密钥对。

例如，管理员锁在出厂之前预埋的密钥/证书可以有：根证书、设备CA证书、管理员锁私钥、管理员锁公钥证书、***CA证书、工程模式控制锁公钥证书。其中管理员锁私钥和管理员锁公钥证书中的公钥是一对RSA密钥对。

根据本发明的实施例，为了安全恢复出新的加密机管理员锁，厂商设计了控制锁(对应于权利要求中的“厂商侧的控制锁”或简称“控制锁”)，例如，控制锁内的密钥/证书可以包括：根证书、***CA证书、工程模式控制锁私钥、工程模式控制锁公钥证书。其中工程模式控制锁私钥和工程模式控制锁公钥证书中的公钥是一对RSA密钥对。控制锁的硬件配置与管理员锁可以是类似的，其同样是具有与加密机连接并通信的功能的“锁”，如上所述，锁内存储了上述密钥/证书以实现其功能。

将对图1中示出加密机的证书体系结构图进行简要说明。如图1所示，从根CA出发的每一条链路可组成一个有效证书链，其中：根CA证书、设备CA证书和管理员锁公钥证书可组成管理员锁公钥证书链(本文中也简称为“管理员锁证书链”)；根CA证书、设备CA证书和加密模块公钥证书可组成加密模块公钥证书链(本文中也简称为“加密模块证书链”)；而根CA证书、设备CA证书和控制锁公钥证书则可组成控制锁公钥证书链(本文中也简称为“控制锁证书链”)。可见，根CA证书是无论加密机的何种设备和/或何种模块均共有的CA证书。

上述对加密机的加密模块、管理员锁、以及厂商侧的控制锁内预埋的密钥/证书的说明仅仅是示例性而非限制性的，本发明的保护范围应当由权利要求书的条款所限定。

下面，参照图2，描述本发明实施例的一种恢复加密机管理员锁的方法。在所述方法被执行期间所述管理员锁(待恢复锁内数据的全新管理员锁)和厂商侧的控制锁分别与所述加密机通信地耦合，例如通过加密机上设置的通信接口。该方法可以在加密锁内以软件、硬件、固件或其结合的方式实现。该方法包括如下步骤：

步骤S1，获取管理员锁生成的含有管理员锁ID的第一恢复请求包；

步骤S2，向加密模块发送第一恢复请求包，以获取加密模块基于第一恢复请求包生成的含有加密模块ID和管理员锁ID的第二恢复请求包；

步骤S3，向控制锁发送第二恢复请求包，以获取控制锁基于第二恢复请求包生成的含有加密模块ID和管理员锁ID的第一恢复命令包；

步骤S4，向加密模块发送第一恢复命令包，以获取加密模块基于第一恢复命令包生成的含有管理员锁ID、用户ID以及种子码的第二恢复命令包；

步骤S5，向管理员锁发送第二恢复命令包，以使管理员锁基于第二恢复命令包进行恢复操作以恢复到就绪状态，在该就绪状态下，管理员锁中保存有管理员锁ID、用户ID、种子码以及根据种子码生成的密钥。

通过上述实施例的恢复加密机管理员锁的方法的一系列步骤，客户在丢失或损坏管理员锁的情况下，其可以将其拥有的加密机返厂，并授权厂商恢复出新的与该加密机配套的管理员锁，该恢复数据后的管理员锁中保存有管理员锁ID、用户ID、种子码以及根据种子码生成的密钥。由此，客户能够继续对其拥有的加密机进行管理操作。

在本发明的一个实施例的方法中，出于对本发明实施例的恢复加密机管理员锁的方法的执行过程的安全性的考虑，第一恢复请求包由管理员锁利用其自身预埋的管理员锁私钥进行签名，并且在步骤S1中，该方法进一步包括：从管理员锁获取管理员锁证书链，管理员锁证书链包括根CA证书、设备CA证书和管理员锁公钥证书；并且在步骤S2中，该方法可以进一步包括：向加密模块发送管理员锁证书链，以使加密模块根据管理员锁证书链验证第一恢复请求包的合法性，并且在该验证通过后从加密模块获取第二恢复请求包和加密模块证书链，加密模块证书链包括根CA证书、设备CA证书和加密模块公钥证书。

例如，加密模块可以利用接收到的管理员锁证书链中包括的管理员锁公钥证书第一恢复请求包进行验证，如果验证通过，则说明第一恢复请求包是可信的，否则，后续步骤不能继续执行。

如前所述，加密模块内部预埋了根CA证书，在另一个实施例中，加密模块接收到管理员锁证书链后，在验证第一恢复请求包的合法性之前，还根据自身预埋的根CA证书验证管理员锁证书链的合法性，以确认该证书链是合法证书链。然后，再利用经验证为合法的管理员锁证书链对经过管理员锁私钥签名的第一恢复请求包进行验证。通过该实施例，可以加强恢复过程的安全性。

在本发明的一些实施例中，与上述实施例中的步骤S2类似，该方法也可以包括对收到的证书链的合法性的验证步骤以及对接收到的第二恢复请求包、第一恢复命令包、第二恢复命令包的合法性的验证步骤。

具体而言，在一个实施例中，第二恢复请求包由加密模块利用其自身预埋的加密模块私钥进行签名，并且步骤S3中可以进一步包括：向控制锁发送加密模块证书链，以使控制锁根据加密模块证书链验证第二恢复请求包的合法性，并在该验证通过后从控制锁获取第一恢复命令包和控制锁证书链，控制锁证书链包括根CA证书、***CA证书和控制锁公钥证书。

例如，可以使控制锁根据其接收到的加密模块证书链中包括的加密模块公钥证书验证第二恢复请求包的合法性。通过对第二恢复请求包的合法性验证可以加强恢复过程的安全性。

同样地，由于控制锁内部预埋了根CA证书，在一些实施例中，控制锁接收到加密模块证书链后，先验证加密模块证书链的合法性，然后在加密模块证书链合法的基础上，利用加密模块公钥证书验证第二恢复请求包的合法性。因此，进一步加强了加强恢复过程的安全性。

在一个实施例中，第一恢复命令包由控制锁利用其自身预埋的控制锁私钥进行签名，并且在步骤S4中，进一步包括：向加密模块发送控制锁证书链，以使加密模块根据控制锁证书链验证第一恢复命令包的合法性(例如，加密模块利用控制锁证书链中包括的控制锁公钥证书对签名进行验证)，并在该验证通过后从加密模块获取第二恢复命令包。

在另一个实施例中，作为替代方案，第一恢复命令包由控制锁利用其自身预埋的控制锁私钥进行签名后利用加密模块公钥进行加密；并且在步骤S4中，进一步包括：向加密模块发送控制锁证书链，以使加密模块利用加密模块私钥对第一恢复命令包解密并根据控制锁证书链验证第一恢复命令包的合法性(例如，加密模块在对第一恢复命令包利用其自身私钥解密后，利用控制锁证书链中包括的控制锁公钥证书对第一恢复命令包的合法性进行验证)，并在该验证通过后从加密模块获取第二恢复命令包。

在一些实施例中，加密模块先利用其自身预埋的根CA证书验证控制锁证书链的合法性，在对控制锁证书链的合法性的验证通过后，再利用控制锁证书链中的公钥证书验证第一恢复命令包的合法性，以防止非法用户参与恢复过程，从而增强恢复过程的安全性。

在一些实施例中，第二恢复命令包由加密模块利用加密模块私钥进行签名，并且在步骤S5中，进一步包括：向管理员锁发送加密模块证书链，以使管理员锁根据加密模块证书链验证第二恢复命令包的合法性(例如，用加密模块证书链中的加密模块公钥证书验证对第二恢复命令包的签名)。

在另一些替代性实施例中，第二恢复命令包由加密模块利用加密模块私钥进行签名后利用管理员锁公钥证书加密，并且在步骤S5中，进一步包括：向管理员锁发送加密模块证书链，以使管理员锁利用管理员锁私钥对第二恢复命令包解密并根据加密模块证书链验证第二恢复命令包的合法性。

在一些实施例中，管理员锁接收到加密模块证书链后，先利用其自身预埋的根CA证书验证加密模块证书链的合法性，在验证了加密模块证书链为合法的之后，再验证第二恢复命令包的合法性。

在本发明的实施例中，种子码可以包括：用于产生第一密钥的第一种子码以及用于产生第二密钥和第三密钥的第二种子码，其中第一密钥为应用密钥；第二密钥为加密模块与管理员锁共享的用于加密的对称密钥；第三密钥为加密模块与管理员锁共享的用于计算MAC的密钥。

在一个实施例中，在步骤S1之前，还可以包括：步骤S0，检查加密机是否已经与管理员锁和控制锁通信地耦合，检查管理员锁是否处于出厂状态并且检查加密模块是否处于就绪状态。

管理员锁处于出厂状态指的是管理员锁是出厂后的全新未使用的状态。而加密模块处于就绪状态，则指的是加密模块处于正常的可用状态(锁内的用户种子码、密钥、数据都OK)。

在下面的实施例中，如图3(a)和图3(b)所示，详细描述了本发明另一实施例的一种恢复加密机管理员锁的方法的流程示意图。

在本实施例中，就绪的加密模块和管理员锁内有以下种子码、密钥和数据：KeySeed：用于产生应用密钥的第一种子码；Kseed：用于产生第二密钥Kenc和第三密钥Kmac的第二种子码；Kenc：加密模块与管理员锁共享的用于加密的对称密钥；Kmac：加密模块与管理员锁共享的用于计算MAC的密钥，MAC(Message Authentication Code)为消息认证码；用户ID(数据)。此外，就绪的加密模块中视情况还存储有加密模块分组ID。

通过图3(a)和图3(b)的实施例，能够实现将出厂状态下的管理员锁恢复成该加密机的恢复了种子码、密钥和数据之后的管理员锁。

在图3(a)和图3(b)的实施例中，将加密机恢复管理员锁的运行状态命名为“工程模式”(可理解为自定义的恢复模式，例如，可类比于桌面计算机的安全模式、手机的刷机模式之类)。在该实施例中，恢复加密机管理员锁的方法的流程(以下或简称“恢复流程”)通过内置工程模式程序、加密模块、管理员锁以及工程模式控制锁(即，控制锁)之间的交互过程来实现，内置工程模式程序是为进行实施例的恢复方法而开发的专用程序，其控制整个流程并充当各模块/装置之间的信息的传递的桥梁。

1.如图3(a)所示，管理人员通过开始内置工程模式程序发起恢复流程。

2.内置工程模式程序检查是否插上工程模式控制锁和管理员锁(即，可与工程模式控制锁和管理员锁通信耦接的状态)。如果不是，则提示操作人员，待操作人员点击或输入确认后重新检查；如果是，则进入下一步流程。

3.内置工程模式程序获取管理员锁的状态，检查是否处于出厂状态。如果不是，则提示错误，退出本流程；如果是，则继续下一步流程。即，待恢复的管理员锁必须是全新未用的锁，否则在安全性方面存在漏洞。

4.内置工程模式程序获取加密模块的状态，检查是否处于就绪状态。如果不是，则提示错误，退出本流程；如果是，则继续下一步流程。对加密模块的处于就绪状态的检查可以确保后续执行恢复流程时不易因加密模块自身原因而报错。

5.内置工程模式程序调用管理员锁获取恢复请求包1(即，第一恢复请求包)和管理员锁公钥证书链，恢复请求包1包含管理员锁ID等信息，恢复请求包1使用管理员锁私钥签名。

6.内置工程模式程序将恢复请求包1和管理员锁公钥证书链发送到加密模块。

7.加密模块使用预埋的根证书验证管理员锁公钥证书链，验证不通过，提示错误，退出本流程；验证通过，则将管理员锁公钥证书保存在加密模块内存中(后续流程会使用到)，并继续下一步流程。

8.加密模块使用管理员锁公钥证书验证恢复请求包1中的签名，验证不通过，提示错误，退出本流程；验证通过，则继续下一步流程。

9.加密模块生成恢复请求包2(即，第二恢复请求包)，包含加密模块ID、恢复请求包1中提取的管理员锁ID等信息，使用加密模块使用私钥签名后与加密模块公钥证书链一并返回给内置工程模式程序。

10.内置工程模式程序将恢复请求包2发送给工程模式控制锁，如图中圆圈A所标示。

11.参见图3(b)，接下来，工程模式控制锁使用预埋的根证书验证加密模块公钥证书链，验证不通过，提示错误，退出本流程；验证通过，则继续下一步流程。

12.工程模式控制锁使用加密模块公钥证书验证恢复请求包2中的签名，验证不通过，提示错误，退出本流程；验证通过，则继续下一步流程。

13.工程模式控制锁生成恢复命令包1(即，第一恢复命令包)，恢复命令包1中包含从恢复请求包2中提取的加密模块ID、管理员锁ID等信息，使用工程模式控制锁私钥对恢复命令包1签名，再用加密模块公钥证书加密，将恢复命令包1以及工程模式管理证书链返回给内置工程模式程序。

14.内置工程模式程序将恢复命令包1和工程模式控制锁公钥证书链发送给加密模块。

15.加密模块利用自身预埋的根证书验证工程模式控制锁公钥证书链，验证通过后，使用加密模块私钥解密恢复命令包1，验证恢复命令包1签名，验证不通过，提示错误，退出本流程；验证通过，则继续下一步流程。

16.加密模块检查恢复命令包1中的加密模块ID是否与自身ID匹配，如果不匹配，则提示错误，退出本流程；如果匹配，则将管理员锁ID保存在加密模块内存中，并继续下一步流程。该步骤可用于防止该流程中有人用别的加密模块生成的命令包恶意替换正确的命令包。

17.加密模块生成恢复命令包2(即，第二恢复命令包)，恢复命令包2包含管理员锁ID、用户ID、KeySeed、Kseed等信息，恢复命令包2使用加密模块私钥签名，再用管理员锁公钥证书加密后返回给内置工程模式程序。

18.内置工程模式程序将恢复命令包2发送给管理员锁。

19.管理员锁使用管理锁使用私钥解密恢复命令包2并利用加密模块公钥证书验证签名，如果验证不通过，则提示错误，退出本流程；如果验证通过，则继续下一步流程。

20.管理员锁检查恢复命令包2中的管理员锁ID是否与自身ID匹配，不匹配，提示错误，退出本流程；匹配，继续下一步流程。

21.将用户ID、KeySeed、Kseed保存在管理员锁内，并执行生成Kenc和Kmac等初始化操作，初始化完成后管理员锁进入就绪状态。

根据上述实施例，在客户丢失或损坏管理员锁的情况下，客户可以将加密机返厂，并授权厂商在工程模式下恢复出新的与该加密机配套的管理员锁。由于对加密机内加密模块的安全性考虑，加密模块内的大部分种子码和密钥数据是不能被外部直接读写的，故需要在厂商的工程模式控制锁的参与下才可以安全地完成恢复管理员锁的流程，在恢复流程中保证核心的种子码和密钥数据不会以明文的方式传播。

本发明另一实施例还提供了一种加密机。该加密机包括加密模块、第一和第二接口、存储器以及处理器。加密模块配置为实现加密算法和安全保存密钥。第一和第二接口，用于分别与管理员锁和厂商侧的控制锁通信地耦合；存储器配置为存储可执行程序，例如上述实施例中的内置工程模式程序；处理器能够执行该可执行程序以实现上述的方法或算法步骤。

第一和第二接口是通信接口，其可以是加密机能够与管理员锁和厂商侧的控制锁进行通信的任意接口，例如，通信接口可以包括网络适配器、电缆连接器、串行连接器、USB连接器、并行连接器、诸如光纤的高速数据传输适配器、USB 3.0、闪电、无线网络适配器如WiFi适配器、电信(3G、4G/LTE等)适配器。

存储器可以包括只读存储器(ROM)、闪存、随机存取存储器(RAM)、和/或静态存储器等。

处理器可以是包括一个或多个通用处理设备(诸如微处理器，中央处理单元(CPU)等)的处理设备。更具体地说，处理器可以是复杂指令集计算(CISC)微处理器、精简指令集计算(RISC)微处理器、超长指令字(VLIW)微处理器、运行其他指令集的处理器或运行指令集的组合的处理器。处理器可以包括多于一个处理器，例如，多核设计或多个处理器，每个处理器具有多核设计。处理器可以执行存储在存储器中的计算机程序指令的序列，以执行本文公开的各种操作、过程、方法。

需要说明的是，结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、软件、固件或者它们任意组合的方式来实现。当在软件中实现时，可以将这些功能存储成非临时性计算机可读介质上的一个或多个指令或代码。

以上实施例仅为本发明的示例性实施例，不用于限制本发明，本发明的保护范围由权利要求书限定。本领域技术人员可以在本发明的实质和保护范围内，对本发明做出各种修改或等同替换，这种修改或等同替换也应视为落在本发明的保护范围内。

Claims (11)

1.一种恢复加密机管理员锁的方法，其中所述加密机包括加密模块，并且在所述方法被执行期间所述管理员锁和厂商侧的控制锁分别与所述加密机通信地耦合，所述方法包括：

步骤S1，获取所述管理员锁生成的含有管理员锁ID的第一恢复请求包；

步骤S2，向所述加密模块发送所述第一恢复请求包，以获取所述加密模块基于所述第一恢复请求包生成的含有加密模块ID和所述管理员锁ID的第二恢复请求包；

步骤S3，向所述控制锁发送所述第二恢复请求包，以获取所述控制锁基于所述第二恢复请求包生成的含有所述加密模块ID和所述管理员锁ID的第一恢复命令包；

步骤S4，向所述加密模块发送所述第一恢复命令包，以获取所述加密模块基于所述第一恢复命令包生成的含有所述管理员锁ID、用户ID以及种子码的第二恢复命令包；

步骤S5，向所述管理员锁发送所述第二恢复命令包，以使所述管理员锁基于所述第二恢复命令包进行恢复操作以恢复到就绪状态，在该就绪状态下，所述管理员锁中保存有所述管理员锁ID、所述用户ID、所述种子码以及根据所述种子码生成的密钥。

2.根据权利要求1所述的方法，其特征在于，所述第一恢复请求包由所述管理员锁利用其自身预埋的管理员锁私钥进行签名，并且

在步骤S1中，进一步包括：从所述管理员锁获取管理员锁证书链，所述管理员锁证书链包括根CA证书、设备CA证书和管理员锁公钥证书；并且

在步骤S2中，进一步包括：向所述加密模块发送所述管理员锁证书链，以使所述加密模块根据所述管理员锁证书链验证所述第一恢复请求包的合法性，并且在该验证通过后从所述加密模块获取所述第二恢复请求包和加密模块证书链，所述加密模块证书链包括根CA证书、设备CA证书和加密模块公钥证书。

3.根据权利要求2所述的方法，其特征在于，所述第二恢复请求包由所述加密模块利用其自身预埋的加密模块私钥进行签名，并且

在步骤S3中，进一步包括：向所述控制锁发送所述加密模块证书链，以使所述控制锁根据所述加密模块证书链验证所述第二恢复请求包的合法性，并在该验证通过后从所述控制锁获取所述第一恢复命令包和控制锁证书链，所述控制锁证书链包括根CA证书、***CA证书和控制锁公钥证书。

4.根据权利要求3所述的方法，其特征在于，所述第一恢复命令包由所述控制锁利用其自身预埋的控制锁私钥进行签名；并且

在步骤S4中，进一步包括：向所述加密模块发送所述控制锁证书链，以使所述加密模块根据所述控制锁证书链验证所述第一恢复命令包的合法性，并在该验证通过后从所述加密模块获取所述第二恢复命令包。

5.根据权利要求3所述的方法，其特征在于，所述第一恢复命令包由所述控制锁利用其自身预埋的控制锁私钥进行签名后利用所述加密模块公钥进行加密；并且

在步骤S4中，进一步包括：向所述加密模块发送所述控制锁证书链，以使所述加密模块利用所述加密模块私钥对所述第一恢复命令包解密并根据所述控制锁证书链验证所述第一恢复命令包的合法性，并在该验证通过后从所述加密模块获取所述第二恢复命令包。

6.根据权利要求4或5所述的方法，其特征在于，所述第二恢复命令包由所述加密模块利用所述加密模块私钥进行签名，并且

在步骤S5中，进一步包括：向所述管理员锁发送所述加密模块证书链，以使所述管理员锁根据所述加密模块证书链验证所述第二恢复命令包的合法性。

7.根据权利要求4或5所述的方法，其特征在于，所述第二恢复命令包由所述加密模块利用所述加密模块私钥进行签名后利用所述管理员锁公钥证书加密，并且

在步骤S5中，进一步包括：向所述管理员锁发送所述加密模块证书链，以使所述管理员锁利用所述管理员锁私钥对所述第二恢复命令包解密并根据所述加密模块证书链验证所述第二恢复命令包的合法性。

8.根据权利要求7所述的方法，其中所述加密模块、所述管理员锁、所述控制锁中均预埋有根CA证书，所述根CA证书用于对所述加密模块证书链、所述管理员锁证书链和所述控制锁证书链的合法性进行验证。

9.根据权利要求1所述的方法，其特征在于，所述种子码包括：用于产生第一密钥的第一种子码以及用于产生第二密钥和第三密钥的第二种子码，其中所述第一密钥为应用密钥；所述第二密钥为所述加密模块与所述管理员锁共享的用于加密的对称密钥；所述第三密钥为所述加密模块与所述管理员锁共享的用于计算MAC的密钥。

10.根据权利要求1所述的方法，其特征在于，在步骤S1之前，还包括：

步骤S0，检查所述加密机是否已经与所述管理员锁和所述控制锁通信地耦合，检查所述管理员锁是否处于出厂状态并且检查所述加密模块是否处于就绪状态。

11.一种加密机，包括：

加密模块，用于实现加密算法和安全保存密钥；

第一和第二接口，用于分别与管理员锁和厂商侧的控制锁通信地耦合；

存储器，配置为存储可执行程序；

处理器，其配置为当执行所述可执行程序时实现根据权利要求1-10中任一项所述的方法。