密鑰使用介紹及通用流程

為了實現(xiàn)對數(shù)據機密性、完整性等保護，可使用生成/導入的密鑰，對數(shù)據進行密鑰操作，比如：

• [加密解密]
• [簽名驗簽]
• [密鑰協(xié)商]
• [密鑰派生]
• 開發(fā)前請熟悉鴻蒙開發(fā)指導文檔 ：[gitee.com/li-shizhen-skin/harmony-os/blob/master/README.md]

本章節(jié)提供了以上常用密鑰操作的示例，這部分示例均沒有設置二次身份訪問控制，如設置了密鑰訪問控制請參考[密鑰訪問控制]用法。

加密/解密介紹及算法規(guī)格

在HUKS中已經有密鑰，需要對一段數(shù)據加密或是解密，均可以使用HUKS完成加密/解密操作。

支持的算法

以下為密鑰加密/解密支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對于可選規(guī)格，廠商將基于實際情況決定是否實現(xiàn)，如需使用，請查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應用，可保證全平臺兼容。

簽名/驗簽介紹及算法規(guī)格

為實現(xiàn)數(shù)據完整性保護和防抵賴，可使用生成/導入的密鑰，對數(shù)據進行簽名驗簽操作。

支持的算法

以下為密鑰簽名/驗簽支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對于可選規(guī)格，廠商將基于實際情況決定是否實現(xiàn)，如需使用，請查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應用，可保證全平臺兼容。

密鑰協(xié)商介紹及算法規(guī)格

為了避免惡意第三方獲取到保密信息，密鑰本身是不可以直接在設備間傳輸?shù)?。一般情況下，會采取密鑰協(xié)商的方式，安全地在雙方（或多方）間共享密鑰。密鑰協(xié)商只會傳輸密鑰的公鑰部分，私鑰仍存留在設備內，以保護數(shù)據的安全性和機密性。

兩臺設備間進行密鑰協(xié)商，雙方各準備一個非對稱密鑰，并互換非對稱密鑰的公鑰，以對端公鑰與己端私鑰協(xié)商出一個密鑰，該密鑰在兩臺設備相同。

支持的算法

以下為密鑰協(xié)商支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對于可選規(guī)格，廠商將基于實際情況決定是否實現(xiàn)，如需使用，請查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應用，可保證全平臺兼容。

密鑰派生介紹及算法規(guī)格

在密碼學中，密鑰派生函數(shù)（Key derivation function，KDF）使用偽隨機函數(shù)從諸如主密碼或密碼的秘密值中派生出一個或多個密鑰。

支持的算法

以下為密鑰派生支持的規(guī)格說明。

面向OpenHarmony的廠商適配密鑰管理服務規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對于可選規(guī)格，廠商將基于實際情況決定是否實現(xiàn)，如需使用，請查閱具體廠商提供的說明，確保規(guī)格支持再使用。

建議開發(fā)者使用必選規(guī)格開發(fā)應用，可保證全平臺兼容。

派生密鑰是業(yè)務基于三段式得到密鑰會話結果，業(yè)務可決定派生密鑰是否由HUKS管理（即密鑰不出TEE）亦或是業(yè)務獨立管理。

通用開發(fā)流程

HUKS基于密鑰會話來操作數(shù)據，使用密鑰時基于以下流程：

1. （必選）初始化密鑰會話[huks.initSession()]。 傳入密鑰別名和密鑰操作參數(shù)，初始化一個密鑰會話并獲取會話句柄。其中密鑰操作參數(shù)中必須包含對應密碼算法所必須的參數(shù)，包括密碼算法、密鑰大小、密鑰目的、工作模式、填充模式、散列模式、IV、Nonce、AAD等。
2. （可選）分段操作數(shù)據[huks.updateSession()]。 當使用的數(shù)據過大（超過100K）或是部分密碼算法有要求時，需要對數(shù)據進行分段操作。否則可跳過此步驟。
3. （必選）結束密鑰會話[huks.finishSession()]。 操作最后一段數(shù)據并結束密鑰會話。

以上任一階段中發(fā)生錯誤或不需要此次密鑰操作數(shù)據，均需要取消會話[huks.abortSession()]，終止密鑰的使用。

審核編輯 黃宇