一种基于云端的安全即时通信方法及系统与流程

本发明涉及数据安全领域，具体涉及基于云端的安全即时通信方法及系统。

背景技术：

随着越来越多的应用云化，从使用角度确实提高了效率，节省了成本，加快了应用的建设速度。但是从安全角度考虑，由于云端天然存在数据产生者与数据拥有者脱离的客观因素，因此安全问题也越发凸显。特别是在实时通信类应用中，此问题更加明显，比如通信双方传输的数据是否被窃听？存储在云端的数据是否被他人盗用等。

要解决此问题，最好的技术方案就是采用加密技术，实现数据在传输、使用、存储过程中以密文形态存在，继而有效的防止数据泄露、内容窃听、信息外泄等安全问题。实现通信系统的加密安全传输其核心技术点在于密钥如何使用。什么时候采用对称密钥？什么是否使用加密密钥？什么时候密钥产生？什么时候密钥销毁等等各种关键技术点，任何一个环节设计或者搭配的有问题，就会造成加密效率缓慢，通信效率低下。

从实现情况来看，目前一些常规的通信类软件，比如QQ、邮件等，主要以对称密钥加密内容，非对称密钥加密对称密钥的实现思路为主。

图1展示了现有技术中的即时通信方法，其包括以下步骤：

1)发送方在本地生成对称密钥；

2)利用所述对称加密待发送的数据；

3)发送方向密钥管理中心申请接收方的加密公钥；

4)利用接收方加密公钥加密对称密钥；

5)将加密数据和经加密的对称密钥发送给接收方；

6)接收方利用私钥解密接收到的对称密钥；

7)利用所述对称密钥解密加密数据；

8)得到明文通信数据；

9)完成通信。

然而上述现有技术存在以下缺点：此方案中密钥管理中心放在互联网平台，不被使用者所管理，这就意味着核心密钥不受控，所以基于此密钥产生的所有数据原则上也不受信。

此方案是一人一密的效果，虽然满足了设计简约的原则，但是安全性大大降低，一旦用户密钥被攻破，所有此用户的信息将被攻破，难以全面保证通信全链条的安全。

从实际需求和安全防护的角度出发，基于云平台下的通信类应用可以采用私有KMC，保证核心密钥的自主可控。同时结合通信业务的场景，在传统的密钥使用技术上，增加新的密钥机制，实现LMK,TLMK，TMK，TAK,TIK的五层密钥管理体信息，真正的实现通信的可信可控。

技术实现要素：

为解决上述技术问题，本发明提供了一种基于云端的安全即时通信方法，该方法包括以下步骤：。

1)密钥管理中心(KMC)根据通信信道ID为通信双方生成随机的终端会话密钥

(TAK)；

2)所述密钥管理中心采用传输主密钥(TMK)对所述终端会话密钥加密后发送后所述通信双方；

3)所述通信双方接收终端会话密钥加密数据，并解密得到所述终端会话密钥；

4)所述通信双方中的发送端通过所述终端会话密钥加密挑战数据包并发送给接收端；

5)所述接收端接收并解密得到所述挑战数据包，并将明文挑战数据包发送给所述发送端；

6)所述发送端接收到所述明文挑战数据包，并判断与其发送的挑战数据包是否匹配；

7)如果匹配，则建立与所述接收端的加密信道，随后双方进行安全通信，如果匹配失败，则跳转到步骤8)；

8)结束通信。

优选的，所述传输主密钥通过以下步骤获得：

2.1)由所述密钥管理中心定期产生所述传输主密钥；

2.2)所述密钥管理中心采用终端本地主密钥(TLMK)加密所述传输主密钥，并发送给用户；

2.3)用户接收传输主密钥加密数据，并解密得到所述传输主密钥。

优选的，所述传输主密钥通过广播的方式发送给所有用户。

优选的，所述终端本地主密钥通过以下步骤获得：

4.1)用户向所述密钥管理中心申请所述终端本地主密钥，采用本地主密钥(LMK)对申请信息加密；

4.2)所述密钥管理中心接收并解密得到所述申请信息；

4.3)所述密钥管理中心为用户分配所述终端本地主密钥，并通过终端初始化密钥(TIK)加密后发送给用户；

4.4)所述用户接收终端本地主密钥加密数据，并解密得到所述终端本地主密钥；

4.5)注销所述终端初始化密钥。

优选的，所述终端初始化密钥通过以下步骤获得：

2.1)新用户向所述密钥管理中心发送注册申请；

2.2)所述密钥管理中心接收到所述注册申请后，为所述新用户分配所述终端初始化密钥，并向所述新用户发送验证信息；

2.3)所述新用户接收到所述验证信息，并在本地生成所述终端初始化密钥。

优选的，在本地通过时间戳技术对所述验证信息的时间戳进行匹配，如果接收的所述验证信息时间戳合法，则所述密钥管理中心生成的终端初始化密钥和本地生成的终端初始化密钥是相同的。

优选的，可以通过以下步骤对通信数据进行安全保存：

7.1)随机产生对称密钥；

7.2)通过所述对称密钥加密待存储的通信数据；

7.3)采用所述终端本地主密钥加密所述对称密钥；

7.4)将经加密的通信数据和对称密钥存储在本地指定位置。

优选的，所述本地主密钥为核心根密钥，用来保护所述密钥管理中心运行过程中所产生的各种需要保护的密钥和数据，所述本地主密钥存放于专用的密码存储介质中，该本地主密钥只能在专用的密码设备中使用，属于长期密钥，在所述密钥管理中心全生命周期中一直存在，不进行更换。

优选的，每次建立所述加密信道所采用的所述终端会话密钥不同。

为解决上述技术问题，本发明提供了一种基于云端的安全即时通信系统，该系统包括：在云端设置的发送端、接收端、通信应用服务器以及本地设置的密钥管理中心(KMC)，所述密钥管理中心产生终端初始化密钥(TIK)、传输主密钥(TMK)、终端本地主密钥(TLMK)、终端会话密钥(TAK)，并发送给所述发送端和接收端；每个所述发送端和接收端均包括一通信模块和密钥模块，通过所述通信模块接收这些密钥数据，所述密钥模块负责解密、保存、管理这些密钥数据，并利用接收的所述终端会话密钥建立加密信道，每次建立所述加密信道所采用的所述终端会话密钥不同。

优选的，所述密钥管理中心定期产生所述传输主密钥，并广播给所有发送端和接收端。

优选的，所述密钥管理中心根据用户请求，生成终端本地主密钥或终端会话密钥，并发送给用户。通过本发明的技术方案取得了以下技术效果：

1.安全性高，在不过多影响正常业务效率的基础上，实现了一文一密，一人一密，安全程度高。

2.兼容性好，能够兼容目前国内外大部分的主流加密算法。

3.异构性强，能够支持云平台、本地平台、混合平台等多种架构模式。

4.开发量少，对于应用而言，只需调用相关接口服务即可，无需做过多的开发工作即可实现安全保障。

附图说明

图1是现有技术中的即时通信流程图

图2是本发明总体架构图

图3是本发明整体业务流程图

图4是本发明用户申请TIK的具体业务流程图

图5是本发明用户申请TLMK的具体业务流程图

图6是本发明传输密钥广播发布的具体业务流程图

图7是本发明建立加密信道流程图

图8是本发明本地数据加密的具体业务流程图

图9是本发明实施例中制卡业务流程图

图10是本发明实施例中发卡业务流程图

图11是本发明实施例中加密视频通话业务流程图

图12是本发明实施例中加密卡维护业务流程图

具体实施方式

名词解释：

KMC,key manage center,密钥管理中心,主要负责加密通信中密钥的生成、启用、销毁、恢复、更新等管理工作。

LMK,Local Main Key，本地主密钥，作为整个密钥体系的核心根密钥，用来保护系统产生的终端密钥，各分级密钥交换中心的主密钥，KMC运行过程中所产生的各种需要保护的密钥和数据。LMK存放于专用的密码存储介质当中，由专人进行保管，该密钥只能在专用的密码设备中使用。该密钥属于长期密钥，在KMC全生命周期中一直存在，不进行更换。

TLMK,Terminal Local Main Key，终端本地主密钥，由KMC为终端产生的本地主密钥，用来保护终端传输密钥，终端的应用密钥等核心密钥，由终端使用者保管，该密钥属于长期密钥。

TMK,Transfer Main Key，传输主密钥，进行挑战应答、会话密钥协商时候的传输保护密钥，由KMC生成、分发和管理。传输保护密钥在KMC由LMK进行保护，在终端中有TLMK进行保护。该密钥属于中期密钥，定期由KMC进行密钥更换，有效防止密钥泄漏。

TAK,Terminal Applicaiton Key，终端会话密钥，终端进行业务行为，对报文、数据进行加密和解密服务的会话密钥。会话密钥是短期密钥，能够为移动业务开展提供一次一密、一话一密等安全服务建立密钥基础。该密钥不需要在KMC和终端进行存储和管理,业务完成后，即马上销毁。

TIK,Terminal Initialization Key,终端初始化密钥,由KMC在创建用户帐户后自动生成，一个用户对应一个不同的TIK，在用户初始化成功后，本次TIK就会作废，防止TIK泄漏产生的风险。由鉴权后的管理员可以再次对用户进行初始化动作，生成新的TIK。

对称加密算法，指在密码系统中发送方和接收方使用相同密钥来加密和解密。

非对称加密算法，密钥由一个公钥和私钥组成，公钥可以被任何人所知，而私钥必须只由所有者知道和使用。如果消息使用其中一个密钥加密的，那么就需要另一个密钥进行解密。又称为“公开密钥算法”。

图2展示了本发明的系统架构图。

通过上述总体架构图，可以看到：

整个标准的通信类应用由发送端、服务器、接收端、KMC构成。

其中KMC在本地存在，云端上有发送端、服务器和接收端。

发送端/接收端由用户、通信软件、密钥模块构成。其中用户是通讯系统的核心控制基础。由于有服务器统一管理。通信软件是通信系统的前端展示和业务触发点。密钥模块以接口或者函数的方式嵌入在通讯软件之中，无前端展现。本发明的核心就在密钥模块部分，此部分关系到整个系统的安全保障。

结合图3，描述本发明的整体业务流程。

新用户注册，必要进行TIK的申请，如果没有TIK，则TLMK则无法安全获得。

当用户获得TIK之后，就可以通过TIK来保证TLMK可以被安全的获得，只有获得TLMK之后，后续的业务安全性才能保障。

为了加快通信过程，预先将TMK广播发布给所有用户，用户可以通过此密钥进行挑战应答。

上述过程完成后，通过TMK来保证TTAK的下发，即安全通道的建立。

在安全信道的基础上，通过对传输内容的加密，实现应用数据本地加密存储，解决不同用户在相同终端上存储隔离，避免用户交叉泄密。

结合图4，描述新用户申请获得终端初始化密钥TIK的具体过程。

作为通信应用而言，首先必须得有用户注册。新用户编辑完成后，点击注册之后，可以通过短信或者邮件将关键信息(比如用户名称)提交给后台服务器，后台服务器根据此用户名称，为其匹配一套TIK。同时，用户通过点击邮件链接或者输入短信注册码的方式，来激活当前时间端，当前申请端应用软件生成的TIK，利用时间戳技术(数字时间戳技术就是数字签名技术一种变种的应用，用以确认交互数据属性里的创建、修改、访问的时间这一关键要素的一种技术)进行匹配(具体匹配方法为：申请者发送一段信息至接收者，这段信息的属性中被时间戳注入时间签名，如：什么时间产生，什么时间内有效等。接收者收到这些信息之后，根据时间签名，可以明确获知信息的产生时间和有效时间，继而防止双方产生的抵赖、篡改等行为)，如果时间戳合法，则可以保证服务器为此用户生成的TIK和客户端本地为此用户生成的TIK是相同的，即实现TIK的下发和验证过程。

结合图5，描述用户申请终端本地主密钥TLMK的具体业务过程。

当用户获得TIK之后，会在后台发起TLMK的申请。TLMK申请的时候，可以将终端上的一些信息发送到服务器，比如ID、时间、用户信息等。这些信息由LMK的公钥加密。加密完成后发送给KMC，KMC通过LMK的私钥解密。解密完成后可以获得明文申请。KMC根据申请，为此用户新建并分配一套TLMK。并且通过此用户的TIK的公钥进行加密，发送给用户。用户收到加密信息之后，通过TIK的私钥解密，或者明文的TLMK。同时，存储在用户端和服务端的TLK自动注销，生效，整个TLMK的获取过程完成。

结合图6，描述传输密钥广播发布的具体业务过程。

为了加快安全通信的效率，所以本发明专利设计了TMK，此密钥定期的由KMC生成，并且广播发布给所有用户。通过此密钥，用户在建立加密通道的时候，可以与KMC服务器低耦合，减少不必要的业务流程，提高工作效率。其发布过程是：KMC产生一套TMK，在服务器端由LMK保护，在发送给各个用户的时候，通过TLMK的公钥进行加密，发送给用户之后，用户通过自身TLMK的私钥进行解密，获得明文的TMK，传输密钥发布完成。

结合图7，描述通信双方建立加密信道的业务过程。

当要建立加密通讯的时候，首先KMC会根据常规通道的ID随机生成一个TAK，并且通过TMK进行加密并发送给双方。双方收到之后，通过TMK解密密钥解密出明文的TAK。发送方会通过TAK对数据加密发送给接收端，形成挑战会话。接收端通过TAK解密密钥解密出明文的挑战内容之后，发送给发送端，发送端进行信息匹配，匹配成功，加密信道建立成功。若会话完成或者超时，TAK自动失效，加密信道失效，需要重新执行上述过程。

结合图8，描述本地数据加密的具体业务过程。

当通信软件产生数据本地存储需求之时，密钥模块会随机生成一套对称密钥，对本地要存储的数据进行加密。加密完成之后会调用TLMK的公钥对刚才加密的密钥进行加密保护。最终受到加密保护的加密密钥和加密数据一起存储在指定位置。当解密的时候，只有通过此用户的TLMK私钥解密加密密钥，获得明文的加密密钥，同时通过加密密钥解密本地存储的密文数据，获得明文。此方式的好处是：1、保证一人一密2、保证一文一密。

【实施例一】

微警务即时通信系统

通过微警务APP，实现警员之间的数据共享，信息互通。但是由于基于云平台实现，点对点之间的数据传输和云平台上的数据存储安全性受到了极大挑战。

技术实现：整体安全技术实现分为三部分：

1、用户初始化过程。主要实现用户获得TIK和TLMK的安全需求。

2、安全通信过程。主要实现用户获得TMK和TAK的安全需求。

3、数据加密存储过程。主要实现用户通过TLMK加密数据的安全需求。

具体实施过程与上类似，此处不再赘述。

【实施例二】

电信运营商加密通话业务

1、制卡业务

1)将TF卡插入到KMC中；

2)KMC将密钥对烧录到TF卡中；

3)TF卡的ID和密钥对存储到KMC密钥库中，此时密钥处于生成但未激活状态；

4)存储了密钥的TF卡制作完成；

5)将TF卡转交给发卡中心(营业厅)；

2、发卡业务

1)发卡中心将TF卡交给用户；

2)将TF卡插入手机；

3)发送短信开通加密业务；

4)激活此TF卡中存储的密钥；

5)发卡完成。

3、加密视频通话业务

1)张三发送数据包；

2)通过终端会话密钥对数据做加密；

3)李四收到加密数据包；

4)通过终端会话密钥进行解密；

5)加解密完成。

4、加密卡维护业务

1)TF卡丢失或者损坏；

2)发卡中心(营业厅)补发；

3)KMC将旧TF卡ID和密钥注销；

4)新TF卡密钥激活。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。