資源準(zhǔn)備

步驟一：配置密碼機(jī)客戶(hù)端

如果您的業(yè)務(wù)需要正式上線(xiàn)，在購(gòu)買(mǎi)加密服務(wù)實(shí)例后，您需要配置密碼機(jī)客戶(hù)端。

1. 登錄加密服務(wù)管理控制臺(tái)，在頂部菜單欄，選擇目標(biāo)地域。

2. 下載并安裝密碼機(jī)實(shí)例管理工具。

   1. 在實(shí)例列表頁(yè)面，找到目標(biāo)密碼機(jī)實(shí)例。

   2. 單擊規(guī)格列的金融數(shù)據(jù)密碼機(jī)，然后單擊下載密碼機(jī)實(shí)例管理工具。

   3. 解壓獲取到的密碼機(jī)實(shí)例管理工具，選擇以下任一方式安裝密碼機(jī)實(shí)例管理工具。

      • 在本地終端安裝密碼機(jī)客戶(hù)端管理工具：安裝后需要通過(guò)VPN或物理專(zhuān)線(xiàn)使本地終端連接到密碼機(jī)實(shí)例所屬的VPC網(wǎng)絡(luò)。

      • 在Windows操作系統(tǒng)的ECS實(shí)例上安裝密碼機(jī)客戶(hù)端管理工具：安裝后需要通過(guò)本地終端遠(yuǎn)程登錄ECS實(shí)例，在ECS實(shí)例上操作密碼機(jī)實(shí)例管理工具。購(gòu)買(mǎi)ECS實(shí)例的具體操作，請(qǐng)參見(jiàn)自定義購(gòu)買(mǎi)實(shí)例。

3. 使用密碼機(jī)實(shí)例管理工具初始化密碼機(jī)實(shí)例。

   1. 登錄密碼機(jī)實(shí)例管理工具。具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《登錄》章節(jié)。

   2. 初始化密碼機(jī)實(shí)例。具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《出廠(chǎng)初始化》或《快速初始化》章節(jié)。

步驟二：初始化SDK

hsm=hsmGeneralFinance.getInstance("./cacipher.ini");

步驟三：調(diào)用Java接口生成密鑰

hsm.genWorkKey(keyType,algFlag,keyIndex,keyLable);

public String[] genWorkKey(String keyType,
                                    char keyFlag,
                                    int storeKeyIndex,
                                    String storeKeyLabel)
                              throws cn.tass.exceptions.TAException

keyType：00A
algFlag：R
keyIndex：1
KeyLabel：test

cn.tass.exceptions.TAException //接口自定義異常。

步驟四：配置Java接口

步驟五：調(diào)用Java接口進(jìn)行數(shù)據(jù)加解密

主要介紹了通過(guò)調(diào)用Java接口生成工作密鑰和進(jìn)行通用數(shù)據(jù)加解密的操作方法。

數(shù)據(jù)加密

hsm.generalDataEnc(algType,keyType,sm4SymmKey,disperFactor,sessionType,sessionFactor,padFlag,inData,IV);

接口定義

public byte[] generalDataEnc(int algType,
                             String keyType,
                             Object key,
                             String disperFactor,
                             Int sessionType,
                             String sessionFactor,
                             Int padFlag,
                             byte[] inData,
                             String IV)
                      throws cn.tass.exceptions.TAException

請(qǐng)求參數(shù)

algType：1
keyType："00A"
key:symmKey[0] //加密的對(duì)稱(chēng)密鑰密文，使用EVSM內(nèi)部的索引密鑰，使用內(nèi)部密鑰時(shí)為int類(lèi)型。
disperFactor：null
sessionType：0
sessionFactor：null
padFlag：1
inData：根據(jù)用戶(hù)業(yè)務(wù)自行輸入數(shù)據(jù)內(nèi)容。
IV："00000000000000000000000000000000"

返回值

加密之后的密文數(shù)據(jù)。

拋出異常

cn.tass.exceptions.TAException //接口自定義異常。 

數(shù)據(jù)解密

hsm.generalDataDec(algType,keyType,sm4SymmKey,disperFactor,sessionType,sessionFactor,padFlag,symmEnc,IV);

public byte[] generalDataDec(int algType,
                            String keyType,
                             Object key,
                            String disperFactor,
                            int sessionType,
                            String sessionFactor,
                             int padFlag,
                            byte[] inData,
                             String IV)
                      throws cn.tass.exceptions.TAException

請(qǐng)求參數(shù)

請(qǐng)求示例

algType：1
keyType："00A"
key:symmKey[0] //加密的對(duì)稱(chēng)密鑰密文，使用EVSM內(nèi)部的索引密鑰，使用內(nèi)部密鑰時(shí)為int類(lèi)型。
disperFactor：null
sessionType：0
sessionFactor：null
padFlag：1
inData：自行輸入加密后的數(shù)據(jù)。
IV："00000000000000000000000000000000"

返回值

解密后的數(shù)據(jù)。

拋出異常

cn.tass.exceptions.TAException //程序運(yùn)行異常。  

示例

public class SensitiveDataEnc {

    public static void main(String[] args) throws TAException {
        // 接口初始化，采用配置文件的方式。
        hsmGeneralFinance hsm = hsmGeneralFinance.getInstance("./cacipher.ini");
        // 接口初始化2，采用配置內(nèi)容的方式。
//        String config =
//                "{"
//                        + "[LOGGER];"
//                        + "logsw=error;logPath=./;"
//                        + "[HOST1];"
//                        + "hsmModel=SJJ1310;"
//                        + "host=192.168.19.19;"
//                        + "port=8018;"
//                        + "connTimeout=5;"
//                        + "}";
//
//        hsmGeneralFinance hsm = hsmGeneralFinance.getInstance(config);

        // 測(cè)試1產(chǎn)生隨機(jī)密鑰keyIndex為可變參數(shù)。
        // 當(dāng)該密鑰索引值取值為0時(shí)，表示不需要加密機(jī)保存生成的該條隨機(jī)對(duì)稱(chēng)密鑰。
        // 當(dāng)keyIndex取值為1~2048時(shí)，表示將對(duì)稱(chēng)密鑰儲(chǔ)存在加密機(jī)中，且執(zhí)行覆蓋操作（相同索引執(zhí)行覆蓋操作）。
        int keyIndex = 0;

        switch (keyIndex) {
            case 0:
                // 產(chǎn)生隨機(jī)SM4算法對(duì)稱(chēng)密鑰。
                String keyType = "00A";
                char algFlag = 'R';
                String keyLable = "sm4Key";
                // 調(diào)用產(chǎn)生隨機(jī)密鑰接口。
                String[] symmKey = hsm.genWorkKey(keyType, algFlag, keyIndex, keyLable);
                System.out.println("對(duì)稱(chēng)密鑰lmk下的密文值：" + symmKey[0]);
                System.out.println("對(duì)稱(chēng)密鑰校驗(yàn)值：" + symmKey[1]);

                // 測(cè)試2。
                String str = "要加密的數(shù)據(jù)";
                // CBC模式。
                int algType = 1;
                // 密鑰類(lèi)型固定。
                keyType = "00A";
                // 執(zhí)行加密的對(duì)稱(chēng)密鑰密文。
                String sm4SymmKey = symmKey[0];
                // 也可以使用加密機(jī)內(nèi)部的索引密鑰，使用內(nèi)部密鑰時(shí)為int類(lèi)型。
                String disperFactor = null;
                int sessionType = 0;
                String sessionFactor = null;
                // 遵循強(qiáng)制80填充。
                int padFlag = 1;
                byte[] inData = str.getBytes();
                String IV = "00000000000000000000000000000000";
                // 調(diào)用數(shù)據(jù)加密接口。
                byte[] symmEnc = hsm.generalDataEnc(algType, keyType, sm4SymmKey, disperFactor, sessionType, sessionFactor,
                        padFlag, inData, IV);
                System.out.println("16進(jìn)制字符串輸出對(duì)稱(chēng)加密結(jié)果：" + Forms.byteToHexString(symmEnc)
                        + ",如果進(jìn)行解密，可使用接口功能函數(shù)'Forms.hexStringToByte()'將16進(jìn)制字符串轉(zhuǎn)換為byte[]參與解密。");
                // 調(diào)用數(shù)據(jù)解密接口。
                byte[] symmDec = hsm.generalDataDec(algType, keyType, sm4SymmKey, disperFactor, sessionType, sessionFactor,
                        padFlag, symmEnc, IV);
                System.out.println("解密結(jié)果與加密數(shù)據(jù)比較結(jié)果：" + Arrays.equals(symmDec, inData));
                System.out.println("還原解密結(jié)果，通過(guò)字符集還原原文：" + new String(symmDec));
                break;
            // 此時(shí)生成對(duì)稱(chēng)密鑰到1號(hào)索引位置，若已經(jīng)存在，會(huì)執(zhí)行覆蓋操作。
            case 1:
                str = "要加密的數(shù)據(jù)";
                // CBC模式。
                algType = 1;
                // 密鑰類(lèi)型固定。
                keyType = "00A";
                // 執(zhí)行加密的對(duì)稱(chēng)密鑰密文，使用加密機(jī)內(nèi)部的索引密鑰，使用內(nèi)部密鑰時(shí)為int類(lèi)型。
                int sm4SymmKeyIndex = 1;
                disperFactor = null;
                sessionType = 0;
                sessionFactor = null;
                // 遵循強(qiáng)制80填充。
                padFlag = 1;
                inData = str.getBytes();
                IV = "00000000000000000000000000000000";
                // 調(diào)用數(shù)據(jù)加密接口。
                symmEnc = hsm.generalDataEnc(algType, keyType, sm4SymmKeyIndex, disperFactor, sessionType, sessionFactor,
                        padFlag, inData, IV);
                System.out.println("16進(jìn)制字符串輸出對(duì)稱(chēng)加密結(jié)果：" + Forms.byteToHexString(symmEnc)
                        + ",如果進(jìn)行解密，可使用接口功能函數(shù)'Forms.hexStringToByte()'將16進(jìn)制字符串轉(zhuǎn)換為byte[]參與解密。");
                // 調(diào)用數(shù)據(jù)解密接口。
                symmDec = hsm.generalDataDec(algType, keyType, sm4SymmKeyIndex, disperFactor, sessionType, sessionFactor,
                        padFlag, symmEnc, IV);
                System.out.println("解密結(jié)果與加密數(shù)據(jù)比較結(jié)果：" + Arrays.equals(symmDec, inData));
                System.out.println("還原解密結(jié)果，通過(guò)字符集還原原文：" + new String(symmDec));
                break;
            default:
                break;
        }

    }

}

步驟六：同步應(yīng)用系統(tǒng)密鑰

在部署密碼機(jī)實(shí)例時(shí)，您需要同步應(yīng)用系統(tǒng)的密鑰和配置Java接口。應(yīng)用密鑰存儲(chǔ)在密碼機(jī)實(shí)例內(nèi)部和外部系統(tǒng)的同步方式不同。

密鑰存儲(chǔ)在密碼機(jī)實(shí)例內(nèi)部系統(tǒng)

您需要根據(jù)密鑰索引將應(yīng)用密鑰備份導(dǎo)出，然后通過(guò)密鑰恢復(fù)導(dǎo)入功能將備份密鑰導(dǎo)入到其他密碼機(jī)實(shí)例中，完成密鑰同步操作。以下內(nèi)容以從A密碼機(jī)實(shí)例導(dǎo)出應(yīng)用密鑰，并導(dǎo)入到B密碼機(jī)實(shí)例為例。

1. 備份導(dǎo)出A密碼機(jī)實(shí)例的應(yīng)用密鑰。

   1. 打開(kāi)密碼機(jī)實(shí)例管理工具，通過(guò)A密碼機(jī)實(shí)例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁(yè)簽，然后單擊備份導(dǎo)出。

   3. 在選擇導(dǎo)出密鑰類(lèi)型和索引對(duì)話(huà)框，根據(jù)實(shí)際需要選擇密鑰類(lèi)型并輸入密鑰索引，然后單擊確認(rèn)。

      您可以選擇將密鑰備份保存到文件或保存到UKEY內(nèi)。本文以將密鑰備份保存到文件為例進(jìn)行描述。

   4. 按照系統(tǒng)提示依次插入3個(gè)空UKEY并輸入口令，單擊下一步。

      說(shuō)明

      密碼機(jī)實(shí)例將依次制作出3個(gè)密鑰備份密鑰KBK UKEY。建議3個(gè)KBK UKEY由3個(gè)密鑰管理員分別保管。

   5. 選擇要保存密鑰密文的文件，單擊下一步。

      EVSM將導(dǎo)出全部應(yīng)用密鑰并保存到您選擇的文件中。

      說(shuō)明

      密鑰備份完成后，請(qǐng)您妥善保管3個(gè)KBK UKEY和密鑰備份文件，待密鑰恢復(fù)時(shí)使用。

2. 將導(dǎo)出的應(yīng)用密鑰導(dǎo)入到B密碼機(jī)實(shí)例進(jìn)行恢復(fù)。

   1. 打開(kāi)密碼機(jī)實(shí)例管理工具，通過(guò)B密碼機(jī)實(shí)例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁(yè)簽，然后選擇恢復(fù)導(dǎo)入 > 從文件中恢復(fù)密鑰。

      說(shuō)明

      恢復(fù)密鑰時(shí)使用任意2個(gè)密鑰備份UKEY即可還原出原始的KBK文件，然后將密鑰恢復(fù)到其他密碼機(jī)實(shí)例內(nèi)部或者同步到熱備份的其他密碼機(jī)實(shí)例內(nèi)部。

   3. 按照系統(tǒng)提示依次插入任意2個(gè)KBK UKEY并輸入口令，單擊下一步。

   4. 選擇要讀取的密鑰備份文件，等待系統(tǒng)完成應(yīng)用密鑰的恢復(fù)，單擊完成。

密鑰存儲(chǔ)在密碼機(jī)實(shí)例外部系統(tǒng)

當(dāng)應(yīng)用密鑰經(jīng)過(guò)本地主密鑰LMK（Local Master Key）分組加密保護(hù)后存儲(chǔ)在外部系統(tǒng)，如果需要同步應(yīng)用系統(tǒng)密鑰，您還需要同步密碼機(jī)實(shí)例的域名主密鑰DMK（Domain Master Key）。您可以通過(guò)密碼機(jī)實(shí)例的原始初始化，來(lái)產(chǎn)生DMK成分的UKEY。

當(dāng)多個(gè)密碼機(jī)實(shí)例進(jìn)行密鑰備份時(shí)，只需要在第一個(gè)密碼機(jī)實(shí)例上完成原始初始化后，對(duì)其他密碼機(jī)實(shí)例恢復(fù)初始化，即可完成多個(gè)密碼機(jī)實(shí)例的密鑰同步。以下內(nèi)容以在A密碼機(jī)實(shí)例進(jìn)行原始初始化，并在B密碼機(jī)實(shí)例恢復(fù)初始化為例。

1. 在A密碼機(jī)實(shí)例上進(jìn)行原始初始化。

   警告

   原始初始化將清空密碼機(jī)實(shí)例內(nèi)的所有密鑰，如果您希望保存密碼機(jī)中的數(shù)據(jù)，請(qǐng)使用UKEY備份。備份的具體操作請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具的用戶(hù)使用手冊(cè)。

   1. 打開(kāi)密碼機(jī)實(shí)例管理工具，通過(guò)A密碼機(jī)實(shí)例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁(yè)簽，然后單擊原始初始化。

   3. 在彈出的警示提示框，單擊下一步。

   4. 根據(jù)系統(tǒng)提示，制作至少2個(gè)域名主密鑰DMK成份的UKEY。

      建議您采用3選2授權(quán)控制機(jī)制并制作3個(gè)授權(quán)UKEY。

      說(shuō)明

      具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)管理手冊(cè)的《原始初始化》章節(jié)。

2. 對(duì)B密碼機(jī)實(shí)例進(jìn)行恢復(fù)初始化（即導(dǎo)入DMK）。

   警告

   恢復(fù)初始化將清空密碼機(jī)實(shí)例內(nèi)的所有密鑰，如果您希望保存密碼機(jī)中的數(shù)據(jù)，請(qǐng)使用UKEY備份。備份的具體操作請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具的用戶(hù)使用手冊(cè)。

   1. 打開(kāi)密碼機(jī)實(shí)例管理工具，通過(guò)B密碼機(jī)實(shí)例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請(qǐng)參見(jiàn)密碼機(jī)實(shí)例管理工具用戶(hù)使用手冊(cè)的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁(yè)簽，然后單擊恢復(fù)初始化。

   3. 在彈出的警示提示框，單擊下一步。

   4. 在恢復(fù)初始化-第一步對(duì)話(huà)框，輸入DMK成份UKEY數(shù)目，單擊下一步。

   5. 在恢復(fù)初始化-第二步對(duì)話(huà)框，依次插入n個(gè)成份UKEY并輸入U(xiǎn)KEY口令，單擊導(dǎo)入成份UKEY，密碼機(jī)實(shí)例將讀取UKEY內(nèi)的DMK成份數(shù)據(jù)。

   6. DMK成份導(dǎo)入完成后，單擊合成DMK。

   7. DMK合成成功后，確定授權(quán)機(jī)制。

      • 如果您的其他密碼機(jī)實(shí)例共用一套授權(quán)UKEY，請(qǐng)選擇同步授權(quán)信息。您只需插入有效授權(quán)的UKEY并輸入口令，單擊完成，完成恢復(fù)初始化。

      • 如果您的每個(gè)密碼機(jī)實(shí)例都需要使用獨(dú)立的授權(quán)UKEY，選中制作新的授權(quán)UKEY，并從選擇授權(quán)機(jī)制列表中選擇請(qǐng)選擇1選1授權(quán)控制機(jī)制，制作授權(quán)UKEY完成恢復(fù)初始化。

3. 在頂部菜單欄，單擊密鑰管理頁(yè)簽，然后單擊獲取DMK校驗(yàn)值。

   當(dāng)DMK同步到多個(gè)密碼機(jī)實(shí)例時(shí)，可以通過(guò)比對(duì)多個(gè)密碼機(jī)實(shí)例的DMK校驗(yàn)值來(lái)確定同步后的DMK是否一致。

4. 在密鑰管理頁(yè)簽，單擊導(dǎo)出DMK成份。

   您可以將DMK成份導(dǎo)出到多個(gè)UKEY中，在原有密碼機(jī)實(shí)例的成份UKEY丟失或損壞的情況下，能夠重新合成出與原有密碼機(jī)實(shí)例同樣的DMK成份。

   重要

   導(dǎo)出DMK成份時(shí)，不能保證DMK成份UKEY中的密鑰備份與原有密碼機(jī)實(shí)例的成份UKEY中的密鑰備份完全相同。