Защита использования содержимого хранилища ключей

1. Способ защиты использования содержимого (102) хранилища ключей в пользовательском устройстве (106) конечного пользователя, включающий следующие шаги:
(i) прием в данном пользовательском устройстве (106) содержимого (102) хранилища ключей, включающего данные ключей, зашифрованные с использованием реквизитов шифрования, совместимых с данным пользовательским устройством (106), при этом содержимое (102) хранилища ключей создано поставщиком (104) услуг предоставления ключей и его принимают от поставщика услуг предоставления ключей в формате, совместимом с данным пользовательским устройством (106);
(ii) импортирование зашифрованных данных ключей содержимого (102) хранилища ключей в защищенное хранилище (108) ключей данного пользовательского устройства и сохранение данных ключей в защищенном хранилище (108) ключей в зашифрованном виде, при этом все зашифрованные данные ключей содержимого (102) хранилища ключей импортируют в ходе выполнения одной операции, и содержимое (102) хранилища ключей сохраняют в хранилище ключей так, что данные ключей не могут быть экспортированы из хранилища ключей, причем ключи генерируют из зашифрованных данных ключей с использованием:
- смещений ключей,
- смещений битов, и/или
- смещений байтов; и
(iii) внутренне, в защищенном хранилище (108) ключей данного пользовательского устройства (106), предоставление одной или более интегрированным услугам хранилища ключей данного пользовательского устройства (106) доступа к неэкспортируемым данным ключей для использования только посредством ссылок на ключи.
2. Способ по п. 1, включающий, внутренне, в защищенном хранилище (108) ключей данного пользовательского устройства (106), дешифрование одного или более набора данных ключей, подлежащего использованию одной или более интегрированными услугами данного пользовательского устройства (106).
3. Способ по п. 1 или 2, отличающийся тем, что на шаге (ii) содержимое (102) хранилища ключей импортируют в виде одного файла данных.
4. Способ по любому из пп. 1-3, включающий прием, в содержимом (102) хранилища ключей, индексов, используемых для ссылки на данные ключей посредством ссылок на ключи.
5. Способ по любому из пп. 1-3, включающий генерацию в данном пользовательском устройстве (106) индексов, используемых для ссылки на данные ключей посредством ссылок на ключи.
6. Способ по любому из пп. 1-3, отличающийся тем, что ссылки на ключи реализуют посредством смещений, на основе которых должны идентифицироваться данные ключей.
7. Способ по любому из пп. 1-6, отличающийся тем, что хранилище ключей реализовано аппаратно, и импортирование на шаге (ii) включает связывание данных ключей, содержащихся в аппаратном хранилище ключей, с защищенной областью аппаратных средств обработки данного пользовательского устройства (106).
8. Способ по любому из пп. 1-7, включающий интеграцию с хранилищем ключей одного или более доверенных программных приложений (122) или процессов экосистемы, выполняющихся в данном пользовательском устройстве (106) и авторизованных для применения хранилища ключей в данном пользовательском устройстве (106).
9. Способ по п. 8, включающий импортирование, от поставщика (120) услуг предоставления доверенного программного обеспечения, одного или более доверенных программных приложений (122) для предоставления интегрированных услуг хранилища ключей, при этом одно или более доверенных программных приложений (122) при выполнении на данном пользовательском устройстве (106) способны предоставлять одну или более интегрированных услуг хранилища ключей и защищены на уровне ядра (124) данного пользовательского устройства (106).
10. Способ по любому из пп. 1-9, включающий шифрование содержимого хранилища (102) ключей, у поставщика (104) услуг предоставления ключей, с помощью ключей шифрования, предоставляемых данным пользовательским устройством (106) или поставщиком (104) услуг предоставления ключей.
11. Способ по любому из пп. 1-10, включающий защиту хранилища ключей на данном пользовательском устройстве с помощью биологического идентификационного удостоверения конечного пользователя.
12. Способ по п. 11, отличающийся тем, что биологическое идентификационное удостоверение конечного пользователя представляет собой одно из следующего: отпечаток пальца конечного пользователя, характеристики лица конечного пользователя, профиль ДНК конечного пользователя, радужная оболочка глаза конечного пользователя, походка конечного пользователя, почерк конечного пользователя, образец сердечного ритма конечного пользователя.
13. Способ по любому из пп. 1-12, отличающийся тем, что данные ключей принимают в данном пользовательском устройстве (106) на шаге (i) в формате симметричного шифрования.
14. Способ по п. 13, включающий шифрование данных ключей, у поставщика (104) услуг предоставления ключей, путем применения усовершенствованного стандарта симметричного шифрования (AES).
15. Способ по любому из пп. 1-14, отличающийся тем, что содержимое (102) хранилища ключей принимают на шаге (i) с помощью незащищенной доставки.
16. Способ по любому из пп. 1-15, отличающийся тем, что данные ключей включают по меньшей мере одно из следующего:
(a) секретные ключи для симметричного шифрования данных,
(b) личные ключи и открытые ключи для использования в инфраструктуре, эквивалентной инфраструктуре открытых ключей (PKI),
(c) сертификаты, подлежащие использованию для криптографии, подписания, обеспечения целостности, верификации, аутентификации, авторизации,
(d) один или более генераторов для генерации ключей.
17. Компьютерное программное изделие, содержащее машиночитаемый носитель информации, на котором хранятся машиночитаемые инструкции, исполняемые вычислительным устройством, в состав которого входят аппаратные средства обработки, для выполнения способа по любому из пп. 1-16.
18. Система (100) для защиты использования содержимого (102) хранилища ключей в пользовательском устройстве (106) конечного пользователя, способная выполнять следующие операции:
(i) прием, в данном пользовательском устройстве (106), содержимого (102) хранилища ключей, включающего данные ключей, зашифрованные с использованием реквизитов шифрования, совместимых с данным пользовательским устройством (106), при этом содержимое (102) хранилища ключей создается поставщиком (104) услуг предоставления ключей и принимается от поставщика услуг предоставления ключей в формате, совместимом с данным пользовательским устройством (106);
(ii) импортирование зашифрованных данных ключей содержимого (102) хранилища ключей в защищенное хранилище (108) ключей данного пользовательского устройства (106) и сохранение данных ключей в защищенном хранилище (108) ключей в зашифрованном виде, при этом все зашифрованные данные ключей содержимого хранилища (102) ключей импортируются в ходе выполнения одной операции, и содержимое хранилища ключей сохраняется в хранилище ключей так, что данные ключей не могут быть экспортированы из хранилища ключей, причем ключи генерируют из зашифрованных данных ключей с использованием:
- смещений ключей,
- смещений битов, и/или
- смещений байтов; и
(iii) внутренне, в защищенном хранилище (108) ключей данного пользовательского устройства (106), предоставление, одной или более интегрированным услугам хранилища ключей данного пользовательского устройства (106), доступа к неэкспортируемым данным ключей для использования только посредством ссылок на ключи.
19. Система по п. 18, способная внутренне, в защищенном хранилище (108) ключей данного пользовательского устройства (106), выполнять дешифрование одного или более набора данных ключей, подлежащего использованию одной или более интегрированными услугами данного пользовательского устройства (106).
20. Система по п. 18 или 19, способная при импортировании на шаге (ii) выполнять импортирование содержимого (102) хранилища ключей в виде одного файла данных.
21. Система по любому из пп. 18-20, способная выполнять прием, в пределах содержимого (102) хранилища ключей, индексов, используемых для ссылки на данные ключей посредством ссылок на ключи.
22. Система по любому из пп. 18-20, способная выполнять генерацию, в данном пользовательском устройстве (106), индексов, используемых для ссылки на данные ключей посредством ссылок на ключи.
23. Система по любому из пп. 18-20, отличающаяся тем, что ссылки на ключи реализуются посредством смещений, на основании которых идентифицируются данные ключей.
24. Система по любому из пп. 18-23, отличающаяся тем, что хранилище ключей реализовано аппаратно, и система (100) при импортировании на шаге (ii) способна выполнять связывание данных ключей, содержащихся в аппаратном хранилище ключей, с защищенной областью аппаратных средств обработки данного пользовательского устройства (106).
25. Система по любому из пп. 18-24, способная выполнять интеграцию с хранилищем ключей одного или более доверенных программных приложений (122) или процессов экосистемы, выполняющихся в данном пользовательском устройстве (106) и авторизованных для применения хранилища ключей в данном пользовательском устройстве (106).
26. Система по п. 25, способная выполнять импортирование, от поставщика (120) услуг предоставления доверенного программного обеспечения, одного или более доверенных программных приложений (122) для предоставления интегрированных услуг хранилища ключей, при этом одно или более доверенных программных приложений (122) при выполнении на данном пользовательском устройстве (106) способны предоставлять одну или более интегрированных услуг хранилища ключей и защищены на уровне ядра (124) данного пользовательского устройства (106).
27. Система по любому из пп. 18-26, отличающаяся тем, что поставщик (104) услуг предоставления ключей способен шифровать содержимое (102) хранилища ключей с помощью ключей шифрования, предоставляемых данным пользовательским устройством (106) или поставщиком (104) услуг предоставления ключей.
28. Система по любому из пп. 18-27, отличающаяся тем, что хранилище ключей защищено на данном пользовательском устройстве (106) с помощью биологического идентификационного удостоверения конечного пользователя.
29. Система по п. 28, отличающаяся тем, что биологическое идентификационное удостоверение конечного пользователя представляет собой одно из следующего: отпечаток пальца конечного пользователя, характеристики лица конечного пользователя, профиль ДНК конечного пользователя, радужная оболочка глаза конечного пользователя, походка конечного пользователя, почерк конечного пользователя, образец сердечного ритма конечного пользователя.
30. Система по любому из пп. 18-29, отличающаяся тем, что данные ключей принимаются в данном пользовательском устройстве (106) на шаге (i) в формате симметричного шифрования.
31. Система по п. 30, отличающаяся тем, что поставщик (104) услуг предоставления ключей способен выполнять шифрование данных ключей путем применения усовершенствованного стандарта симметричного шифрования (AES).
32. Система по любому из пп. 18-31, способная при приеме на шаге (i) выполнять прием содержимого (102) хранилища ключей с помощью незащищенной доставки.
33. Система по любому из пп. 18-32, отличающаяся тем, что данные ключей включают по меньшей мере одно из следующего:
(a) секретные ключи для симметричного шифрования данных,
(b) личные ключи и открытые ключи для использования в инфраструктуре, эквивалентной инфраструктуре открытых ключей (PKI),
(c) сертификаты, подлежащие использованию для криптографии, подписания, обеспечения целостности, верификации, аутентификации, авторизации,
(d) один или более генераторов для генерации ключей.