資源準備

步驟一：配置密碼機客戶端

如果您的業(yè)務需要正式上線，在購買加密服務實例后，您需要配置密碼機客戶端。

1. 登錄加密服務管理控制臺，在頂部菜單欄，選擇目標地域。

2. 下載并安裝密碼機實例管理工具。

   1. 在實例列表頁面，找到目標密碼機實例。

   2. 單擊規(guī)格列的金融數據密碼機，然后單擊下載密碼機實例管理工具。

   3. 解壓獲取到的密碼機實例管理工具，選擇以下任一方式安裝密碼機實例管理工具。

      • 在本地終端安裝密碼機客戶端管理工具：安裝后需要通過VPN或物理專線使本地終端連接到密碼機實例所屬的VPC網絡。

      • 在Windows操作系統(tǒng)的ECS實例上安裝密碼機客戶端管理工具：安裝后需要通過本地終端遠程登錄ECS實例，在ECS實例上操作密碼機實例管理工具。購買ECS實例的具體操作，請參見自定義購買實例。

3. 使用密碼機實例管理工具初始化密碼機實例。

   1. 登錄密碼機實例管理工具。具體操作，請參見密碼機實例管理工具用戶使用手冊的《登錄》章節(jié)。

   2. 初始化密碼機實例。具體操作，請參見密碼機實例管理工具用戶使用手冊的《出廠初始化》或《快速初始化》章節(jié)。

步驟二：初始化SDK

hsm=hsmGeneralFinance.getInstance("./cacipher.ini");

步驟三：調用Java接口生成密鑰

hsm.genWorkKey(keyType,algFlag,keyIndex,keyLable);

public String[] genWorkKey(String keyType,
                                    char keyFlag,
                                    int storeKeyIndex,
                                    String storeKeyLabel)
                              throws cn.tass.exceptions.TAException

keyType：00A
algFlag：R
keyIndex：1
KeyLabel：test

cn.tass.exceptions.TAException //接口自定義異常。

步驟四：配置Java接口

步驟五：調用Java接口進行數據加解密

主要介紹了通過調用Java接口生成工作密鑰和進行通用數據加解密的操作方法。

數據加密

hsm.generalDataEnc(algType,keyType,sm4SymmKey,disperFactor,sessionType,sessionFactor,padFlag,inData,IV);

接口定義

public byte[] generalDataEnc(int algType,
                             String keyType,
                             Object key,
                             String disperFactor,
                             Int sessionType,
                             String sessionFactor,
                             Int padFlag,
                             byte[] inData,
                             String IV)
                      throws cn.tass.exceptions.TAException

請求參數

algType：1
keyType："00A"
key:symmKey[0] //加密的對稱密鑰密文，使用EVSM內部的索引密鑰，使用內部密鑰時為int類型。
disperFactor：null
sessionType：0
sessionFactor：null
padFlag：1
inData：根據用戶業(yè)務自行輸入數據內容。
IV："00000000000000000000000000000000"

返回值

加密之后的密文數據。

拋出異常

cn.tass.exceptions.TAException //接口自定義異常。 

數據解密

hsm.generalDataDec(algType,keyType,sm4SymmKey,disperFactor,sessionType,sessionFactor,padFlag,symmEnc,IV);

public byte[] generalDataDec(int algType,
                            String keyType,
                             Object key,
                            String disperFactor,
                            int sessionType,
                            String sessionFactor,
                             int padFlag,
                            byte[] inData,
                             String IV)
                      throws cn.tass.exceptions.TAException

請求參數

請求示例

algType：1
keyType："00A"
key:symmKey[0] //加密的對稱密鑰密文，使用EVSM內部的索引密鑰，使用內部密鑰時為int類型。
disperFactor：null
sessionType：0
sessionFactor：null
padFlag：1
inData：自行輸入加密后的數據。
IV："00000000000000000000000000000000"

返回值

解密后的數據。

拋出異常

cn.tass.exceptions.TAException //程序運行異常。  

示例

public class SensitiveDataEnc {

    public static void main(String[] args) throws TAException {
        // 接口初始化，采用配置文件的方式。
        hsmGeneralFinance hsm = hsmGeneralFinance.getInstance("./cacipher.ini");
        // 接口初始化2，采用配置內容的方式。
//        String config =
//                "{"
//                        + "[LOGGER];"
//                        + "logsw=error;logPath=./;"
//                        + "[HOST1];"
//                        + "hsmModel=SJJ1310;"
//                        + "host=192.168.19.19;"
//                        + "port=8018;"
//                        + "connTimeout=5;"
//                        + "}";
//
//        hsmGeneralFinance hsm = hsmGeneralFinance.getInstance(config);

        // 測試1產生隨機密鑰keyIndex為可變參數。
        // 當該密鑰索引值取值為0時，表示不需要加密機保存生成的該條隨機對稱密鑰。
        // 當keyIndex取值為1~2048時，表示將對稱密鑰儲存在加密機中，且執(zhí)行覆蓋操作（相同索引執(zhí)行覆蓋操作）。
        int keyIndex = 0;

        switch (keyIndex) {
            case 0:
                // 產生隨機SM4算法對稱密鑰。
                String keyType = "00A";
                char algFlag = 'R';
                String keyLable = "sm4Key";
                // 調用產生隨機密鑰接口。
                String[] symmKey = hsm.genWorkKey(keyType, algFlag, keyIndex, keyLable);
                System.out.println("對稱密鑰lmk下的密文值：" + symmKey[0]);
                System.out.println("對稱密鑰校驗值：" + symmKey[1]);

                // 測試2。
                String str = "要加密的數據";
                // CBC模式。
                int algType = 1;
                // 密鑰類型固定。
                keyType = "00A";
                // 執(zhí)行加密的對稱密鑰密文。
                String sm4SymmKey = symmKey[0];
                // 也可以使用加密機內部的索引密鑰，使用內部密鑰時為int類型。
                String disperFactor = null;
                int sessionType = 0;
                String sessionFactor = null;
                // 遵循強制80填充。
                int padFlag = 1;
                byte[] inData = str.getBytes();
                String IV = "00000000000000000000000000000000";
                // 調用數據加密接口。
                byte[] symmEnc = hsm.generalDataEnc(algType, keyType, sm4SymmKey, disperFactor, sessionType, sessionFactor,
                        padFlag, inData, IV);
                System.out.println("16進制字符串輸出對稱加密結果：" + Forms.byteToHexString(symmEnc)
                        + ",如果進行解密，可使用接口功能函數'Forms.hexStringToByte()'將16進制字符串轉換為byte[]參與解密。");
                // 調用數據解密接口。
                byte[] symmDec = hsm.generalDataDec(algType, keyType, sm4SymmKey, disperFactor, sessionType, sessionFactor,
                        padFlag, symmEnc, IV);
                System.out.println("解密結果與加密數據比較結果：" + Arrays.equals(symmDec, inData));
                System.out.println("還原解密結果，通過字符集還原原文：" + new String(symmDec));
                break;
            // 此時生成對稱密鑰到1號索引位置，若已經存在，會執(zhí)行覆蓋操作。
            case 1:
                str = "要加密的數據";
                // CBC模式。
                algType = 1;
                // 密鑰類型固定。
                keyType = "00A";
                // 執(zhí)行加密的對稱密鑰密文，使用加密機內部的索引密鑰，使用內部密鑰時為int類型。
                int sm4SymmKeyIndex = 1;
                disperFactor = null;
                sessionType = 0;
                sessionFactor = null;
                // 遵循強制80填充。
                padFlag = 1;
                inData = str.getBytes();
                IV = "00000000000000000000000000000000";
                // 調用數據加密接口。
                symmEnc = hsm.generalDataEnc(algType, keyType, sm4SymmKeyIndex, disperFactor, sessionType, sessionFactor,
                        padFlag, inData, IV);
                System.out.println("16進制字符串輸出對稱加密結果：" + Forms.byteToHexString(symmEnc)
                        + ",如果進行解密，可使用接口功能函數'Forms.hexStringToByte()'將16進制字符串轉換為byte[]參與解密。");
                // 調用數據解密接口。
                symmDec = hsm.generalDataDec(algType, keyType, sm4SymmKeyIndex, disperFactor, sessionType, sessionFactor,
                        padFlag, symmEnc, IV);
                System.out.println("解密結果與加密數據比較結果：" + Arrays.equals(symmDec, inData));
                System.out.println("還原解密結果，通過字符集還原原文：" + new String(symmDec));
                break;
            default:
                break;
        }

    }

}

步驟六：同步應用系統(tǒng)密鑰

在部署密碼機實例時，您需要同步應用系統(tǒng)的密鑰和配置Java接口。應用密鑰存儲在密碼機實例內部和外部系統(tǒng)的同步方式不同。

密鑰存儲在密碼機實例內部系統(tǒng)

您需要根據密鑰索引將應用密鑰備份導出，然后通過密鑰恢復導入功能將備份密鑰導入到其他密碼機實例中，完成密鑰同步操作。以下內容以從A密碼機實例導出應用密鑰，并導入到B密碼機實例為例。

1. 備份導出A密碼機實例的應用密鑰。

   1. 打開密碼機實例管理工具，通過A密碼機實例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請參見密碼機實例管理工具用戶使用手冊的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁簽，然后單擊備份導出。

   3. 在選擇導出密鑰類型和索引對話框，根據實際需要選擇密鑰類型并輸入密鑰索引，然后單擊確認。

      您可以選擇將密鑰備份保存到文件或保存到UKEY內。本文以將密鑰備份保存到文件為例進行描述。

   4. 按照系統(tǒng)提示依次插入3個空UKEY并輸入口令，單擊下一步。

      說明

      密碼機實例將依次制作出3個密鑰備份密鑰KBK UKEY。建議3個KBK UKEY由3個密鑰管理員分別保管。

   5. 選擇要保存密鑰密文的文件，單擊下一步。

      EVSM將導出全部應用密鑰并保存到您選擇的文件中。

      說明

      密鑰備份完成后，請您妥善保管3個KBK UKEY和密鑰備份文件，待密鑰恢復時使用。

2. 將導出的應用密鑰導入到B密碼機實例進行恢復。

   1. 打開密碼機實例管理工具，通過B密碼機實例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請參見密碼機實例管理工具用戶使用手冊的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁簽，然后選擇恢復導入 > 從文件中恢復密鑰。

      說明

      恢復密鑰時使用任意2個密鑰備份UKEY即可還原出原始的KBK文件，然后將密鑰恢復到其他密碼機實例內部或者同步到熱備份的其他密碼機實例內部。

   3. 按照系統(tǒng)提示依次插入任意2個KBK UKEY并輸入口令，單擊下一步。

   4. 選擇要讀取的密鑰備份文件，等待系統(tǒng)完成應用密鑰的恢復，單擊完成。

密鑰存儲在密碼機實例外部系統(tǒng)

當應用密鑰經過本地主密鑰LMK（Local Master Key）分組加密保護后存儲在外部系統(tǒng)，如果需要同步應用系統(tǒng)密鑰，您還需要同步密碼機實例的域名主密鑰DMK（Domain Master Key）。您可以通過密碼機實例的原始初始化，來產生DMK成分的UKEY。

當多個密碼機實例進行密鑰備份時，只需要在第一個密碼機實例上完成原始初始化后，對其他密碼機實例恢復初始化，即可完成多個密碼機實例的密鑰同步。以下內容以在A密碼機實例進行原始初始化，并在B密碼機實例恢復初始化為例。

1. 在A密碼機實例上進行原始初始化。

   警告

   原始初始化將清空密碼機實例內的所有密鑰，如果您希望保存密碼機中的數據，請使用UKEY備份。備份的具體操作請參見密碼機實例管理工具的用戶使用手冊。

   1. 打開密碼機實例管理工具，通過A密碼機實例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請參見密碼機實例管理工具用戶使用手冊的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁簽，然后單擊原始初始化。

   3. 在彈出的警示提示框，單擊下一步。

   4. 根據系統(tǒng)提示，制作至少2個域名主密鑰DMK成份的UKEY。

      建議您采用3選2授權控制機制并制作3個授權UKEY。

      說明

      具體操作，請參見密碼機實例管理工具用戶管理手冊的《原始初始化》章節(jié)。

2. 對B密碼機實例進行恢復初始化（即導入DMK）。

   警告

   恢復初始化將清空密碼機實例內的所有密鑰，如果您希望保存密碼機中的數據，請使用UKEY備份。備份的具體操作請參見密碼機實例管理工具的用戶使用手冊。

   1. 打開密碼機實例管理工具，通過B密碼機實例的IP地址登錄VSM管理系統(tǒng)。

      具體操作，請參見密碼機實例管理工具用戶使用手冊的《登錄》章節(jié)。

   2. 在頂部菜單欄，單擊密鑰管理頁簽，然后單擊恢復初始化。

   3. 在彈出的警示提示框，單擊下一步。

   4. 在恢復初始化-第一步對話框，輸入DMK成份UKEY數目，單擊下一步。

   5. 在恢復初始化-第二步對話框，依次插入n個成份UKEY并輸入UKEY口令，單擊導入成份UKEY，密碼機實例將讀取UKEY內的DMK成份數據。

   6. DMK成份導入完成后，單擊合成DMK。

   7. DMK合成成功后，確定授權機制。

      • 如果您的其他密碼機實例共用一套授權UKEY，請選擇同步授權信息。您只需插入有效授權的UKEY并輸入口令，單擊完成，完成恢復初始化。

      • 如果您的每個密碼機實例都需要使用獨立的授權UKEY，選中制作新的授權UKEY，并從選擇授權機制列表中選擇請選擇1選1授權控制機制，制作授權UKEY完成恢復初始化。

3. 在頂部菜單欄，單擊密鑰管理頁簽，然后單擊獲取DMK校驗值。

   當DMK同步到多個密碼機實例時，可以通過比對多個密碼機實例的DMK校驗值來確定同步后的DMK是否一致。

4. 在密鑰管理頁簽，單擊導出DMK成份。

   您可以將DMK成份導出到多個UKEY中，在原有密碼機實例的成份UKEY丟失或損壞的情況下，能夠重新合成出與原有密碼機實例同樣的DMK成份。

   重要

   導出DMK成份時，不能保證DMK成份UKEY中的密鑰備份與原有密碼機實例的成份UKEY中的密鑰備份完全相同。