(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211004678.8 (22)申请日 2022.08.22 (71)申请人 中国工商银行股份有限公司 地址 100140 北京市西城区复兴门内大街 55号 (72)发明人 郑培钿　李平　周建平　何春芳　 (74)专利代理 机构 北京三友知识产权代理有限 公司 11127 专利代理师 董骁毅　任默闻 (51)Int.Cl. H04L 9/14(2006.01) H04L 9/08(2006.01) (54)发明名称 密码服务调用方法和系统 (57)摘要 本发明提供了一种密码服务调用方法和系 统， 涉及密码机技术领域， 方法包括： 根据服务调 用方发出的密码服务调用请求中的用户密钥标 识获得用户密钥明文； 选取一台工作密码机信 息， 工作密码机信息包含工作密码 机标识和对应 主密钥密文， 调用第一密码机的第一密钥解密主 密钥密文， 得到主密钥； 用主密钥将用户密钥明 文加密成第一用户密钥密文， 并将第一用户密钥 密文发送给对应工作密码机， 由对应工作密码机 使用自身主密钥将第一用户密文解密成用户密 钥， 并根据密码服务标识用用户密钥对待操作数 据进行相应操作。 本申请无需保持相同的主密 钥， 而仅存储自身主密钥即可， 可以做一机一密， 极大提高工作密码机密钥的安全性， 进而提高整 套密码服 务的安全性。 权利要求书2页 说明书8页 附图4页 CN 115378592 A 2022.11.22 CN 115378592 A 1.一种密码服 务调用方法， 其特 征在于， 所述方法包括： 接收密码服务调用方发出的密码服务调用请求， 所述密码服务调用请求中包含用户密 钥标识、 密码服 务标识和待操作数据； 根据所述用户密钥标识获得用户密钥明文； 从密钥存储子模块中选取一台工作密码机信 息， 所述工作密码机信 息包含工作密码机 标识和对应主密钥密文， 调用第一密码机， 用所述第一密码机的第一密钥解密所述主密钥 密文， 得到主密钥； 用所述主密钥将所述用户密钥明文加密成第 一用户密钥密文， 并根据 所述工作密码机 标识将所述第一用户密钥密 文发送给对应工作密码机， 由对应工作密码机使用自身主密钥 将所述第一用户密文解密成用户密钥， 并根据所述密码服务标识用所述用户密钥对待操作 数据进行相应操作。 2.如权利要求1所述的一种密码服务调用方法， 其特征在于， 所述根据 所述用户密钥标 识获得用户密钥明文包括： 根据所述用户密钥标识从密钥存储子模块中获取对应的第二用户密钥密文和工作密 钥标识； 根据所述工作密钥标识从所述密钥存储子模块中获取工作密钥密文， 并调用第 二密码 机， 用所述第二密码机的第二密钥解密所述工作密钥密文， 得到 工作密钥明文； 继续调用第 二密码机， 用所述工作密钥明文对所述第 二用户密钥密文进行解密得到用 户密钥明文。 3.如权利要求1所述的一种密码服务调用方法， 其特征在于， 所述工作密码机信 息通过 如下方式存储于所述密钥存 储子模块之中： 针对每台工作密码机分别调用密码机主密钥保护 子模块以随机生成对应主密钥， 保证 每台工作密码机的主密钥均不相同； 调用第一密码机， 用第一密钥对主密钥进行加密成主密钥密文； 将每台工作密码机的工作密码机标识和主密钥密文形成对应关系并存储至所述密钥 存储子模块之中。 4.如权利要求2所述的一种密码服务调用方法， 其特征在于， 所述工作密钥标识和所述 工作密钥密文通过如下 方式存储于所述密钥存 储子模块之中： 调用密钥管理主密钥保护子模块随机生成工作密钥； 调用第二密码机， 用第二密钥对所述工作密钥加密成工作密钥密文； 将工作密钥标识和所述工作密钥密文形成对应关系并存储于所述密钥存储子模块之 中。 5.如权利要求4所述的一种密码服务调用方法， 其特征在于， 所述用户密钥标识、 第二 用户密钥密文和工作密钥标识通过如下 方式存储于所述密钥存 储子模块之中： 密钥管理主密钥保护子模块根据所述工作密钥标识从所述密钥存储子模块中获取所 述工作密钥密文； 调用第二密码机， 用第二密钥对所述工作密钥密文解密成工作密钥明文； 密钥管理主密钥保护子模块随机生成用户密钥， 并调用所述第二密码机， 用所述工作 密钥明文对所述用户密钥加密成第二用户密钥密文；权　利　要　求　书 1/2 页 2 CN 115378592 A 2将用户密钥标识、 第 二用户密钥密文和工作密钥标识形成对应关系并存储于所述密钥 存储子模块之中。 6.如权利要求5所述的一种密码服务调用方法， 其特征在于， 所述将用户密钥标识、 第 一用户密钥密文和工作密钥标识形成对应关系并存储于所述密钥存储子模块之中后还包 括： 将所述用户密钥标识返回给 所述密码服 务调用方。 7.一种密码服务调用系统， 其特征在于， 所述系统包括： 密码服务调度模块、 密钥管理 模块和工作密码机集群， 其中密钥管理模块还 包括一密钥存 储子模块， 所述密码服务调度模块， 用于接收密码服务调用方发出的密码服务调用请求， 所述密 码服务调用请求中包含用户密钥标识、 密码服务标识和待操作数据； 以及用于接 收所述密 钥管理模块 发送的第一用户密钥 密文， 并根据工作密码机标识将第一用户密钥 密文发送给 对应工作密码机； 所述密钥管理模块， 用于根据所述用户密钥标识获得用户密钥 明文； 从密钥存储子模 块中选取一台工作密码机信息， 所述工作密码机信息包含工作密码机标识和对应主密钥 密 文， 调用第一密码机， 用所述第一密码机的第一密钥解密所述主密钥密文， 得到主密钥； 以 及用所述主密钥将所述用户密钥明文加密成第一用户密钥密 文， 最后将所述第一用户密钥 密文发送给 所述密码服 务调度模块； 所述工作密码机集群中的工作密码机用于接收所述密码服务调度模块发送的第一用 户密钥密文， 使用自身主密钥将所述第一用户密文解密成用户密钥， 并根据所述密码服务 标识用所述用户密钥对待操作数据进行相应操作。 8.一种电子设备， 包括存储器、 处理器以及存储在所述存储器上并可在所述处理器上 运行的计算机程序， 其特征在于， 所述处理器执行所述计算机程序时实现权利要求1至6任 一项所述密码服 务调用方法的步骤。 9.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序被 处理器执行时实现权利要求1至 6任一项所述密码服 务调用方法的步骤。 10.一种计算机程序产品， 包括计算机程序/指令， 其特征在于， 所述计算机程序/指令 被处理器执行时实现权利要求1至 6任一项所述密码服 务调用方法的步骤。权　利　要　求　书 2/2 页 3 CN 115378592 A 3