密鑰使用介紹及通用流程

為了實(shí)現(xiàn)對(duì)數(shù)據(jù)機(jī)密性、完整性等保護(hù)，可使用生成/導(dǎo)入的密鑰，對(duì)數(shù)據(jù)進(jìn)行密鑰操作，比如：

• [加密解密]
• [簽名驗(yàn)簽]
• [密鑰協(xié)商]
• [密鑰派生]
• 開發(fā)前請(qǐng)熟悉鴻蒙開發(fā)指導(dǎo)文檔 ：[gitee.com/li-shizhen-skin/harmony-os/blob/master/README.md]

本章節(jié)提供了以上常用密鑰操作的示例，這部分示例均沒有設(shè)置二次身份訪問控制，如設(shè)置了密鑰訪問控制請(qǐng)參考[密鑰訪問控制]用法。

加密/解密介紹及算法規(guī)格

在HUKS中已經(jīng)有密鑰，需要對(duì)一段數(shù)據(jù)加密或是解密，均可以使用HUKS完成加密/解密操作。

支持的算法

以下為密鑰加密/解密支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務(wù)規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對(duì)于可選規(guī)格，廠商將基于實(shí)際情況決定是否實(shí)現(xiàn)，如需使用，請(qǐng)查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應(yīng)用，可保證全平臺(tái)兼容。

簽名/驗(yàn)簽介紹及算法規(guī)格

為實(shí)現(xiàn)數(shù)據(jù)完整性保護(hù)和防抵賴，可使用生成/導(dǎo)入的密鑰，對(duì)數(shù)據(jù)進(jìn)行簽名驗(yàn)簽操作。

支持的算法

以下為密鑰簽名/驗(yàn)簽支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務(wù)規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對(duì)于可選規(guī)格，廠商將基于實(shí)際情況決定是否實(shí)現(xiàn)，如需使用，請(qǐng)查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應(yīng)用，可保證全平臺(tái)兼容。

密鑰協(xié)商介紹及算法規(guī)格

為了避免惡意第三方獲取到保密信息，密鑰本身是不可以直接在設(shè)備間傳輸?shù)摹Ｒ话闱闆r下，會(huì)采取密鑰協(xié)商的方式，安全地在雙方（或多方）間共享密鑰。密鑰協(xié)商只會(huì)傳輸密鑰的公鑰部分，私鑰仍存留在設(shè)備內(nèi)，以保護(hù)數(shù)據(jù)的安全性和機(jī)密性。

兩臺(tái)設(shè)備間進(jìn)行密鑰協(xié)商，雙方各準(zhǔn)備一個(gè)非對(duì)稱密鑰，并互換非對(duì)稱密鑰的公鑰，以對(duì)端公鑰與己端私鑰協(xié)商出一個(gè)密鑰，該密鑰在兩臺(tái)設(shè)備相同。

支持的算法

以下為密鑰協(xié)商支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務(wù)規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對(duì)于可選規(guī)格，廠商將基于實(shí)際情況決定是否實(shí)現(xiàn)，如需使用，請(qǐng)查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應(yīng)用，可保證全平臺(tái)兼容。

密鑰派生介紹及算法規(guī)格

在密碼學(xué)中，密鑰派生函數(shù)（Key derivation function，KDF）使用偽隨機(jī)函數(shù)從諸如主密碼或密碼的秘密值中派生出一個(gè)或多個(gè)密鑰。

支持的算法

以下為密鑰派生支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務(wù)規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對(duì)于可選規(guī)格，廠商將基于實(shí)際情況決定是否實(shí)現(xiàn)，如需使用，請(qǐng)查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應(yīng)用，可保證全平臺(tái)兼容。

派生密鑰是業(yè)務(wù)基于三段式得到密鑰會(huì)話結(jié)果，業(yè)務(wù)可決定派生密鑰是否由HUKS管理（即密鑰不出TEE）亦或是業(yè)務(wù)獨(dú)立管理。

通用開發(fā)流程

HUKS基于密鑰會(huì)話來操作數(shù)據(jù)，使用密鑰時(shí)基于以下流程：

1. （必選）初始化密鑰會(huì)話[huks.initSession()]。 傳入密鑰別名和密鑰操作參數(shù)，初始化一個(gè)密鑰會(huì)話并獲取會(huì)話句柄。其中密鑰操作參數(shù)中必須包含對(duì)應(yīng)密碼算法所必須的參數(shù)，包括密碼算法、密鑰大小、密鑰目的、工作模式、填充模式、散列模式、IV、Nonce、AAD等。
2. （可選）分段操作數(shù)據(jù)[huks.updateSession()]。 當(dāng)使用的數(shù)據(jù)過大（超過100K）或是部分密碼算法有要求時(shí)，需要對(duì)數(shù)據(jù)進(jìn)行分段操作。否則可跳過此步驟。
3. （必選）結(jié)束密鑰會(huì)話[huks.finishSession()]。 操作最后一段數(shù)據(jù)并結(jié)束密鑰會(huì)話。

以上任一階段中發(fā)生錯(cuò)誤或不需要此次密鑰操作數(shù)據(jù)，均需要取消會(huì)話[huks.abortSession()]，終止密鑰的使用。

審核編輯 黃宇