信道密钥协商方法
【专利摘要】本发明公开了一种信道密钥协商方法，涉及数据安全技术领域，本发明针对现有云存储系统通过用户ID和密码的方式来进行管理和应用、或者在存储中心保存密钥的不安全性，通过对各用户设备及服务器均发放或植入对应的标识私钥及标识公钥矩阵，使得用户设备和服务器之间的链接都必须通过各自的标识密钥相互认证才能正式建立工作流程，并且相互之间的交互数据全部加密，确保整个云存储系统的安全。
【专利说明】
信道密钥协商方法
技术领域
[0001 ]本发明涉及数据安全技术领域，特别涉及一种信道密钥协商方法。
【背景技术】
[0002]随着云存储应用的推广，越来越多的用户开始使用云存储系统存放数据。云存储系统能够为用户提供数据备份、数据共享、数据同步以及用户间协同工作等功能.
[0003]然而，近年来频发的云存储系统安全问题说明:现有的云存储系统存在着一些漏洞，导致用户数据的私密性、完整性受到一定的威胁。现有主流云存储系统的主要问题有以下几点:
[0004](I) —些云存储系统没有加密功能，直接将数据明文存放在服务器中，仅通过用户名和PIN码实现数据接入管理；
[0005](2) —些云存储系统由服务器端对数据加密后存放在云存储中，并由服务器保管密钥。
【发明内容】
[0006]鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种信道密钥协商方法、一种客户端及一种服务器。
[0007]依据本发明的第一个方面，提供了一种用户设备，所述用户设备包括:
[0008]密钥生成单元，用于由随机数发生器产生一个随机数作为信道密钥；
[0009]公钥获取单元，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0010]非对称加密单元，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0011]私钥签名单元，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0012]数据发送单元，用于将签名后的第一密态数据发送至服务器；
[0013]反馈接收单元，用于接收服务器反馈的数据包；
[0014]数据解包单元，用于将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0015]签名验证单元，用于通过所述第一标识公钥验证所述密钥文件的签名；
[0016]私钥解密单元，用于在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0017]状态码获取单元，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0018]通信实现单元，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0019]依据本发明的第二个方面，提供了一种信道密钥协商方法，所述方法包括:
[0020]由随机数发生器产生一个随机数作为信道密钥；
[0021 ]根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0022]采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0023]通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0024]将签名后的第一密态数据发送至服务器；
[0025]接收服务器反馈的数据包；
[0026]将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0027]通过所述第一标识公钥验证所述密钥文件的签名；
[0028]在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0029]通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0030]若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0031]依据本发明的第三个方面，提供了一种服务器，所述服务器包括:
[0032]数据接收单元，用于接收由用户设备发送的第一密态数据；
[0033]密钥产生单元，用于由随机数发生器产生一个随机数作为对称密钥；
[0034]公钥获取单元，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0035]签名验证单元，用于采用所述第二标识公钥验证所述第一密态数据的签名；
[0036]私钥解密单元，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0037]对称加密单元，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0038]非对称加密单元，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0039]私钥签名单元，用于通过所述第二标识私钥对所述密钥文件进行签名；
[0040]数据打包单元，用于将所述第二密态数据和签名后的密钥文件数据进行打包，得到数据包；
[0041]数据发送单元，用于将得到的数据包发送至所述用户设备。
[0042]依据本发明的第四个方面，提供了一种信道密钥协商方法，所述方法包括:
[0043]接收由用户设备发送的第一密态数据；
[0044]由随机数发生器产生一个随机数作为对称密钥；
[0045]根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0046]采用所述第二标识公钥验证所述第一密态数据的签名；
[0047]在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0048]通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0049]通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0050]通过所述第二标识私钥对所述密钥文件进行签名；
[0051]将所述第二密态数据和签名后的密钥文件进行数据打包，得到数据包；
[0052]将得到的数据包发送至所述用户设备。
[0053]依据本发明的第五个方面，提供了一种用户设备，所述用户设备包括:
[0054]密钥生成单元，用于由随机数发生器产生一个随机数作为信道密钥；
[0055]公钥获取单元，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0056]非对称加密单元，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0057]私钥签名单元，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0058]数据发送单元，用于将签名后的第一密态数据发送至服务器；
[0059]反馈接收单元，用于接收服务器反馈的数据包；
[0060]签名验证单元，用于通过所述第一标识公钥验证所述数据包的签名；
[0061 ]数据解包单元，用于在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0062]私钥解密单元，用于通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0063]状态码获取单元，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0064]通信实现单元，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0065]依据本发明的第六个方面，提供了一种信道密钥协商方法，所述方法包括:
[0066]由随机数发生器产生一个随机数作为信道密钥；
[0067]根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0068]采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0069]通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0070]将签名后的第一密态数据发送至服务器；
[0071 ]接收服务器反馈的数据包；
[0072]通过所述第一标识公钥验证所述数据包的签名；
[0073]在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0074]通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0075]通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0076]若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0077]依据本发明的第七个方面，提供了一种服务器，所述服务器包括:
[0078]数据接收单元，用于接收由用户设备发送的第一密态数据；
[0079]密钥产生单元，用于由随机数发生器产生一个随机数作为对称密钥；
[0080]公钥获取单元，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0081]签名验证单元，用于采用所述第二标识公钥验证所述第一密态数据的签名；
[0082]私钥解密单元，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0083]对称加密单元，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0084]非对称加密单元，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0085]数据打包单元，用于将所述第二密态数据和密钥文件进行数据打包，得到数据包；
[0086]私钥签名单元，用于通过所述第二标识私钥对所述数据包进行签名；
[0087]数据发送单元，用于将签名后的数据包发送至所述用户设备。
[0088]依据本发明的第八个方面，提供了一种信道密钥协商方法，所述方法包括:
[0089]接收由用户设备发送的第一密态数据；
[0090]由随机数发生器产生一个随机数作为对称密钥；
[0091 ]根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0092]采用所述第二标识公钥验证所述第一密态数据的签名；
[0093]在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0094]通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0095]通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0096]将所述第二密态数据和密钥文件进行数据打包，得到数据包；
[0097]通过所述第二标识私钥对所述数据包进行签名；
[0098]将签名后的数据包发送至所述用户设备。
[0099]本发明针对现有云存储系统通过用户ID和密码的方式来进行管理和应用、或者在存储中心保存密钥的不安全性，通过对各用户设备及服务器均发放或植入对应的标识私钥及标识公钥矩阵，使得用户设备和服务器之间的链接都必须通过各自的标识密钥相互认证才能正式建立工作流程，并且相互之间的交互数据全部加密，确保整个云存储系统的安全。
【附图说明】
[0100]通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中:
[0101 ]图1是本发明一种实施方式的信道密钥协商方法的流程图；
[0102]图2是密钥生产的流程示意图；
[0103]图3是本发明一种实施方式的信道密钥协商方法的流程图；
[0104]图4是本发明一种具体实施例的信道密钥协商方法的示意图；
[0105]图5是本发明一种具体实施例的信道密钥协商方法的示意图；
[0106]图6是本发明一种实施方式的信道密钥协商方法的流程图；
[0107]图7是本发明一种实施方式的信道密钥协商方法的流程图；
[0108]图8是本发明一种实施方式的用户设备的结构框图；
[0109]图9是本发明一种实施方式的服务器的结构框图；
[0110]图10是本发明一种实施方式的用户设备的结构框图；
[0111]图11是本发明一种实施方式的服务器的结构框图。
【具体实施方式】
[0112]下面结合附图和实施例，对本发明的【具体实施方式】作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。
[0113]图1是本发明一种实施方式的信道密钥协商方法的流程图；参照图1，所述方法包括:
[0114]SlOl:由随机数发生器产生一个随机数作为信道密钥；
[0115]需要说明的是，本实施方式的方法的执行主体为用户设备，所述用户设备可为PC机、笔记本电脑、平板电脑或智能手机等设备，本实施方式对此不加以限制。
[0116]可理解的是，由于本实施方式中采用产生的随机数作为信道密码，使得信道密码为动态密码，从而提高了数据的安全性。
[0117]在具体实现中，在用户设备在安全开通后，需要在服务器中进行注册，也就是说，所述用户设备向所述服务器发送用户设备标识，由所述服务器接收并存储由所述用户设备发送的用户设备标识。
[0118]当然，通常所述服务器也会向所述用户设备发送服务器标识，由所述用户设备对所述服务器发送的服务器标识进行接收和存储。
[0119]在具体实现中，所述随机数可采用伪随机数，也可优选采用真随机数，本实施方式对此不加以限制。
[0120]S102:根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0121]可理解的是，所述用户设备中设有产品或用户数字证书，所述数字证书包括:标识公钥矩阵和本地设备的第一标识私钥。
[0122]为便于生成所述数字证书，本实施方式中，参照图2，可预先通过专用研制的密钥生产系统生产出标识私钥矩阵和标识公钥矩阵，将产品或用户标识(即用于反映产品身份的标识，或用于反映用户身份的标识)作为用户设备标识，并HASH到标识私钥矩阵通过模N整数运算生成本地设备的第一标识私钥，然后连同标识公钥矩阵一起生成产品或者用户数字证书。
[0123]在本实施方式中，所述本地设备即指代用户设备。
[0124]当然，所述数字证书可采用密态软件数据形式直接写入到产品中使用，或者写入至IJ标识USBKEY内发放给用户使用。
[0125]所述标识USBKEY包括但不限于TF卡KEY和S頂卡KEY，均由对符合国密认证并许可的专用安全芯片(例如:HS08K、HS32U2、Z8D64、Z8168或Z32)作进一步研制生产而成，并在产品和用户应用过程中完成对产品或者用户标识和数据、指令等信息的数字签名和加密。
[0126]所述数字证书或标识密钥符合组合公钥密码体制的证书规范。
[0127]S103:采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0128]可理解的是，所述第一标识公钥为与用户设备标识对应的标识公钥，也就是说，所述第一标识公钥与用户设备标识之间存在一一对应关系。
[0129]需要说明的是，采用所述第一标识公钥对所述信道密钥进行非对称加密，即可得到第一密态数据，也就是说，所述第一密态数据是对所述信道密钥进行非对称加密后的数据。
[0130]S104:通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0131]由于所述本地设备的第一标识私钥是根据产品或用户标识生成，故而，其与产品或用户标识存在一一对应关系，也就是说，所述本地设备的第一标识私钥能够反映所述产品或用户标识的身份。
[0132]S105:将签名后的第一密态数据发送至服务器；
[0133]需要说明的是，可通过有线、无线等通信方式将签名后的第一密态数据发送至服务器。
[0134]S106:接收服务器反馈的数据包；
[0135]可理解的是，将签名后的第一密态数据发送至服务器后，服务器会反馈数据包。
[0136]S107:将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0137]在具体实现中，可将所述数据包通过私有协议算法进行数据解包。
[0138]S108:通过所述第一标识公钥验证所述密钥文件的签名；
[0139]可理解的是，所述密钥文件由服务器采用与第一标识公钥所对应的标识私钥进行签名，故而，可通过所述第一标识公钥验证所述密钥文件的签名。
[0140]需要说明的是，标识公钥和标识私钥对应是指:标识公钥和标识私钥之间可相互进行加解密。
[0141]S109:在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0142]可理解的是，所述密钥文件由服务器采用与第一标识私钥所对应的标识公钥进行非对称加密，故而，可通过所述第一标识私钥对所述密钥文件进行解密。
[0143]SI 10:通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0144]需要说明的是，所述第二密态数据由服务器采用对称密码进行对称加密，故而，可通过对称密码对所述第二密态数据进行解密。
[0145]Slll:若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0146]在具体实现中，通常情况下，所述状态码为预设数值，但也可能存在一些特殊情况，例如:由于网络延迟导致的数据丢失等问题出现时，可能需要由服务器提示用户设备进行数据重传等操作，因此，所述状态码可能为用于提示用户设备进行数据重传等操作的其他数值，故而，需要在所述状态码为预设数值时，才能认定为协商成功。
[0147]当然，在协商成功后，即可理解为用户设备和服务器双方均已经认定了信道密钥，可通过信道密钥实现与所述服务器之间的通信，也就是说，用户设备和服务器之间的数据通信均是通过信道密钥来进行加密。
[0148]本实施方式针对现有云存储系统通过用户ID和密码的方式来进行管理和应用、或者在存储中心保存密钥的不安全性，通过对各用户设备及服务器均发放或植入对应的标识私钥及标识公钥矩阵，使得用户设备和服务器之间的链接都必须通过各自的标识密钥相互认证才能正式建立工作流程，并且相互之间的交互数据全部加密，确保整个云存储系统的安全。
[0149]图3是本发明一种实施方式的信道密钥协商方法的流程图；参照图3，所述方法包括:
[0150]S301:接收由用户设备发送的第一密态数据；
[0151]需要说明的是，本实施方式的方法的执行主体为服务器，本实施方式对此不加以限制。
[0152]S302:由随机数发生器产生一个随机数作为对称密钥；
[0153]可理解的是，由于本实施方式中采用产生的随机数作为对称密码，可以做到一次一密，从而进一步提高了数据的安全性。
[0154]S303:根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0155]可理解的是，所述服务器中设有产品或用户数字证书，所述数字证书包括:标识公钥矩阵和本地设备的第二标识私钥。
[0156]为便于生成所述数字证书，本实施方式中，可预先通过专用研制的密钥生产系统生产出标识私钥矩阵和标识公钥矩阵，将产品或用户标识(即用于反映产品身份的标识，或用于反映用户身份的标识)作为服务器标识，并HASH到标识私钥矩阵通过模N整数运算生成本地设备的第一标识私钥，然后连同标识公钥矩阵一起生成产品或者用户数字证书。
[0157]在本实施方式中，所述本地设备即指代服务器。
[0158]当然，所述产品或者用户数字证书可采用密态软件数据形式直接写入到产品中使用，或者写入到标识USBKEY内发放给用户使用。
[0159]所述标识USBKEY包括但不限于TF卡KEY和S頂卡KEY，均由对符合国密认证并许可的专用安全芯片(例如:HS08K、HS32U2、Z8D64、Z8168或Z32)作进一步研制生产而成，并在产品和用户应用过程中完成对产品或者用户标识和数据、指令等信息的数字签名和加密。
[0160]所述数字证书或标识密钥符合组合公钥密码体制的证书规范。
[0161]S304:采用所述第二标识公钥验证所述第一密态数据的签名；
[0162]可理解的是，所述第二标识公钥为与用户设备标识对应的标识公钥，也就是说，所述第二标识公钥与用户设备标识之间存在一一对应关系。
[0163]需要说明的是，所述第一密态数据由用户设备采用与第二标识公钥所对应的标识私钥(即上述的“第一标识私钥”)进行签名，故而，可通过所述第二标识公钥验证所述第一密态数据的签名。
[0164]当然，所述第二标识公钥与第一标识私钥之间存在对应关系，也就是说，所述第二标识公钥与第一标识私钥之间可相互进行加解密。
[0165]S305:在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0166]可理解的是，所述第一密态数据由用户设备采用与第二标识私钥所对应的标识公钥(即上述的“第一标识公钥”)进行非对称加密，故而，可通过所述第二标识私钥对所述第一密态数据进行解密。
[0167]当然，所述第二标识私钥与第一标识公钥之间存在对应关系，也就是说，所述第二标识私钥与第一标识公钥之间可相互进行加解密。
[0168]S306:通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0169]可理解的是，通过所述对称密码对设为预设数值的状态码进行对称加密，即可得到第二密态数据，也就是说，所述第二密态数据是对设为预设数值的状态码进行对称加密后的数据。
[0170]在具体实现中，服务器正常接收到所述信道密钥时，会将所述状态码设为预设数值，但也可能存在一些特殊情况，例如:由于网络延迟导致的数据丢失等问题出现时，可能需要由服务器提示用户设备进行数据重传等操作，因此，所述状态码可能设为用于提示用户设备进行数据重传等操作的其他数值。
[0171 ] S307:通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0172]可理解的是，通过所述第二标识公钥对所述对称密码进行非对称加密，即可得到密钥文件，也就是说，所述密钥文件是通过所述第二标识公钥对所述对称密码进行非对称加密后的文件。
[0173]S308:通过所述第二标识私钥对所述密钥文件进行签名；
[0174]S309:将所述第二密态数据和签名后的密钥文件进行数据打包，得到数据包；
[0175]可理解的是，将所述第二密态数据和签名后的密钥文件进行数据打包，即可得到数据包，也就是说，所述数据包是将所述第二密态数据和签名后的密钥文件进行数据打包后的数据。
[0176]在具体实现中，可将所述第二密态数据和签名后的密钥文件通过私有协议算法进行数据打包。
[0177]S310:将得到的数据包发送至所述用户设备。
[0178]需要说明的是，可通过有线、无线等通信方式将得到的数据包发送至所述用户设备。
[0179]参照图4，用户设备A通过随机数发生器产生随机数作为信道密钥，用户设备A安装开通后，链接并注册到对应的服务器X，用户设备A记录有服务器X标识，通过标识公钥矩阵计算出服务器X标识对应的X标识公钥(即对应上述的“第一标识公钥”)，采用X标识公钥对信道密钥进行非对称加密，得到A密态数据(即上述的“第一密态数据”)，再通过用户设备A的A标识私钥(即对应上述的“第一标识私钥”)对A密态数据进行签名，将签名后的A密态数据通过有线或无线网络发送至所述服务器。
[0180]参照图5，服务器)(接收到用户设备A发来的密钥协商请求(即带有上述的“A密态数据”)，首先通过用户设备A的A标识公钥(即对应上述的“第二标识公钥”)验证A密态数据的签名，在验证通过时，通过服务器X的X标识私钥(即对应上述的“第二标识私钥”)对A密态数据进行非对称解密，获取信道密钥。
[0181]在服务器X获取信道密钥后，服务器X需要向用户设备A反馈一个密钥协商成功的状态码，其具体流程为:服务器X通过随机数发生器生成一随机密码作为对称密码，然后用该对称密码对状态码进行对称加密得到X密态数据(即对应上述的“第二密态数据”)，同时用A标识公钥对对称密钥进行非对称加密得到X密钥文件，将X密钥文件通过X标识私钥进行签名，再将签名后的X密钥文件和X密态数据打包发送给用户设备A。
[0182]参照图4，用户设备A接收服务器X反馈的数据包，对数据包进行数据解包，得到X密钥文件和X密态数据，通过X标识公钥对X密钥文件进行验签，在验签通过后，利用A标识私钥对X密钥文件进行解密，得到对称密钥，再通过对称密钥对X密态数据进行对称解密，得到服务器X返回的状态码，若状态码提示认证、密钥协商成功，则认证、密钥协商完成，此后用户设备A与服务器X之间的通信都通过协商的信道密钥进行加密。
[0183]与现有技术的方式相比，上述各实施例具有以下至少一种优点:
[0184]1、采用Pin码验证和标识密钥双因子身份验证，提高安全级别；
[0185]2、采用随机数产生文件加密的对称密码，可以做到一文一密；
[0186]3、使用非对称算法对对称密码进行加密，提高了对称密码的安全。
[0187]4、对加密后的文件再次利用加密者的标识私钥进行数字签名，确保了数据在传输途中的安全性，防篡改。
[0188]5、在每个端，都通过其自己的数字证书，基于用户标识提取该标识公钥，实现了离线方式的本地密钥交换，极大的方便了系统的应用和高强度安全保障。
[0189]6、构建了整个云存储系统的信息数据，指令在任何平台和模式下都是全密态传输和交互的体系。
[0190]图6是本发明一种实施方式的信道密钥协商方法的流程图；参照图6，所述方法包括:
[0191]S601:由随机数发生器产生一个随机数作为信道密钥；
[0192]S602:根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0193]S603:采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0194]S604:通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0195]S605:将签名后的第一密态数据发送至服务器；
[0196]S606:接收服务器反馈的数据包；
[0197]需要说明的是，步骤S601?S606与图1所示的实施方式的步骤SlOl?S106相同，在此不再赘述。
[0198]可理解的是，本实施方式的方法的执行主体同样为用户设备。
[0199]S607:通过所述第一标识公钥验证所述数据包的签名；
[0200]本实施方式与图1所示的实施方式不同之处在于，图1所示的实施方式是先对数据包进行解包，得到密钥文件和第二密态文件后，在通过第一标识公钥验证所述密钥文件的签名，而本实施方式是先通过所述第一标识公钥验证所述数据包的签名，再进行数据解包，从而进一步提高了数据安全性。
[0201]由于本实施方式是先通过所述第一标识公钥验证所述数据包的签名，故而，本实施方式的数据包是由服务器采用与第一标识公钥所对应的标识私钥进行签名，故而，可通过所述第一标识公钥验证所述数据包的签名。
[0202]需要说明的是，标识公钥和标识私钥对应是指:标识公钥和标识私钥之间可相互进行加解密。
[0203]S608:在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0204]S609:通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0205]可理解的是，本实施方式中已经对数据包进行签名验证，故而，无需再验证所述密钥文件的签名。
[0206]S610:通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0207]S611:若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0208]需要说明的是，步骤S610?S611与图1所示的实施方式的步骤SI 10?SI 11相同，在此不再赘述。
[0209]图7是本发明一种实施方式的信道密钥协商方法的流程图；参照图7，所述方法包括:
[0210]S701:接收由用户设备发送的第一密态数据；
[0211 ] S702:由随机数发生器产生一个随机数作为对称密钥；
[0212]S703:根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0213]S704:采用所述第二标识公钥验证所述第一密态数据的签名；
[0214]S705:在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0215]S706:通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0216]S707:通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0217]需要说明的是，步骤S701?S707与图3所示的实施方式的步骤S301?S307相同，在此不再赘述。
[0218]可理解的是，本实施方式的方法的执行主体同样为服务器。
[0219]S708:将所述第二密态数据和密钥文件进行数据打包，得到数据包；
[0220]在具体实现中，本实施方式中，无需对密钥文件进行签名。
[0221 ] S709:通过所述第二标识私钥对所述数据包进行签名；
[0222]本实施方式与图3所示的实施方式不同之处在于，图3所示的实施方式是先通过所述第二标识私钥对密钥文件进行签名，再将签名后的密钥文件和第二密态文件进行数据打包，而本实施方式是先将所述第二密态数据和密钥文件进行数据打包，得到数据包，再通过所述第二标识私钥对数据包进行签名，从而进一步提高了数据安全性。
[0223]S710:将签名后的数据包发送至所述用户设备。
[0224]相应地，本实施方式中，可通过有线、无线等通信方式将签名后的数据包发送至所述用户设备。
[0225]对于方法实施方式，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施方式并不受所描述的动作顺序的限制，因为依据本发明实施方式，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施方式均属于优选实施方式，所涉及的动作并不一定是本发明实施方式所必须的。
[0226]图8是本发明一种实施方式的用户设备的结构框图；参照图8，所述用户设备包括:
[0227]密钥生成单元801，用于由随机数发生器产生一个随机数作为信道密钥；
[0228]公钥获取单元802，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0229]非对称加密单元803，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0230]私钥签名单元804，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0231 ]数据发送单元805，用于将签名后的第一密态数据发送至服务器；
[0232]反馈接收单元806，用于接收服务器反馈的数据包；
[0233]数据解包单元807，用于将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0234]签名验证单元808，用于通过所述第一标识公钥验证所述密钥文件的签名；
[0235]私钥解密单元809，用于在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0236]状态码获取单元810，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0237]通信实现单元811，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0238]图9是本发明一种实施方式的服务器的结构框图；参照图9，所述服务器包括:
[0239]数据接收单元901，用于接收由用户设备发送的第一密态数据；
[0240]密钥产生单元902，用于由随机数发生器产生一个随机数作为对称密钥；
[0241]公钥获取单元903，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0242]签名验证单元904，用于采用所述第二标识公钥验证所述第一密态数据的签名；
[0243]私钥解密单元905，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0244]对称加密单元906，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0245]非对称加密单元907，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0246]私钥签名单元908，用于通过所述第二标识私钥对所述密钥文件进行签名；
[0247]数据打包单元909，用于将所述第二密态数据和签名后的密钥文件数据进行打包，得到数据包；
[0248]数据发送单元910，用于将得到的数据包发送至所述用户设备。
[0249]图10是本发明一种实施方式的用户设备的结构框图；参照图10，所述用户设备包括:
[0250]密钥生成单元1001，用于由随机数发生器产生一个随机数作为信道密钥；
[0251]公钥获取单元1002，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥；
[0252]非对称加密单元1003，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据；
[0253]私钥签名单元1004，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名；
[0254]数据发送单元1005，用于将签名后的第一密态数据发送至服务器；
[0255]反馈接收单元1006，用于接收服务器反馈的数据包；
[0256]签名验证单元1007，用于通过所述第一标识公钥验证所述数据包的签名；
[0257]数据解包单元1008，用于在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据；
[0258]私钥解密单元1009，用于通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；
[0259]状态码获取单元1010，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；
[0260]通信实现单元1011，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。
[0261]图11是本发明一种实施方式的服务器的结构框图；参照图11，所述服务器包括:
[0262]数据接收单元1101，用于接收由用户设备发送的第一密态数据；
[0263]密钥产生单元1102，用于由随机数发生器产生一个随机数作为对称密钥；
[0264]公钥获取单元1103，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥；
[0265]签名验证单元1104，用于采用所述第二标识公钥验证所述第一密态数据的签名；
[0266]私钥解密单元1105，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥；
[0267]对称加密单元1106，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据；
[0268]非对称加密单元1107，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件；
[0269]数据打包单元1108，用于将所述第二密态数据和密钥文件进行数据打包，得到数据包；
[0270]私钥签名单元1109，用于通过所述第二标识私钥对所述数据包进行签名；
[0271]数据发送单元1110，用于将签名后的数据包发送至所述用户设备。
[0272]对于装置实施方式而言，由于其与方法实施方式基本相似，所以描述的比较简单，相关之处参见方法实施方式的部分说明即可。
[0273]应当注意的是，在本发明的装置的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本发明不受限于此，可以根据需要对各个部件进行重新划分或者组合。
[0274]本发明的各个部件实施方式可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本装置中，PC通过实现因特网对设备或者装置远程控制，精准的控制设备或者装置每个操作的步骤。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样实现本发明的程序可以存储在计算机可读介质上，并且程序产生的文件或文档具有可统计性，产生数据报告等。应该注意的是上述实施方式对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施方式。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
[0275]以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。
【主权项】
1.一种用户设备，其特征在于，所述用户设备包括: 密钥生成单元，用于由随机数发生器产生一个随机数作为信道密钥； 公钥获取单元，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥； 非对称加密单元，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据； 私钥签名单元，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名； 数据发送单元，用于将签名后的第一密态数据发送至服务器； 反馈接收单元，用于接收服务器反馈的数据包； 数据解包单元，用于将所述数据包进行数据解包，得到密钥文件和第二密态数据； 签名验证单元，用于通过所述第一标识公钥验证所述密钥文件的签名； 私钥解密单元，用于在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码； 状态码获取单元，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；通信实现单元，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。2.一种信道密钥协商方法，其特征在于，所述方法包括: 由随机数发生器产生一个随机数作为信道密钥； 根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥； 采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据； 通过本地设备的第一标识私钥对所述第一密态数据进行签名； 将签名后的第一密态数据发送至服务器； 接收服务器反馈的数据包； 将所述数据包进行数据解包，得到密钥文件和第二密态数据； 通过所述第一标识公钥验证所述密钥文件的签名； 在验证通过时，通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码； 通过所述对称密码对所述第二密态数据进行解密，得到状态码； 若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。3.一种服务器，其特征在于，所述服务器包括: 数据接收单元，用于接收由用户设备发送的第一密态数据； 密钥产生单元，用于由随机数发生器产生一个随机数作为对称密钥； 公钥获取单元，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥； 签名验证单元，用于采用所述第二标识公钥验证所述第一密态数据的签名； 私钥解密单元，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥； 对称加密单元，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据； 非对称加密单元，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件； 私钥签名单元，用于通过所述第二标识私钥对所述密钥文件进行签名； 数据打包单元，用于将所述第二密态数据和签名后的密钥文件数据进行打包，得到数据包； 数据发送单元，用于将得到的数据包发送至所述用户设备。4.一种信道密钥协商方法，其特征在于，所述方法包括: 接收由用户设备发送的第一密态数据； 由随机数发生器产生一个随机数作为对称密钥； 根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥； 采用所述第二标识公钥验证所述第一密态数据的签名； 在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥； 通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据； 通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件； 通过所述第二标识私钥对所述密钥文件进行签名； 将所述第二密态数据和签名后的密钥文件进行数据打包，得到数据包； 将得到的数据包发送至所述用户设备。5.一种用户设备，其特征在于，所述用户设备包括: 密钥生成单元，用于由随机数发生器产生一个随机数作为信道密钥； 公钥获取单元，用于根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥； 非对称加密单元，用于采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据； 私钥签名单元，用于通过本地设备的第一标识私钥对所述第一密态数据进行签名； 数据发送单元，用于将签名后的第一密态数据发送至服务器； 反馈接收单元，用于接收服务器反馈的数据包； 签名验证单元，用于通过所述第一标识公钥验证所述数据包的签名； 数据解包单元，用于在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据； 私钥解密单元，用于通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码；状态码获取单元，用于通过所述对称密码对所述第二密态数据进行解密，得到状态码；通信实现单元，用于在所述状态码为预设数值时，认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。6.一种信道密钥协商方法，其特征在于，所述方法包括: 由随机数发生器产生一个随机数作为信道密钥； 根据服务器标识从标识公钥矩阵中获取对应的第一标识公钥； 采用所述第一标识公钥对所述信道密钥进行非对称加密，得到第一密态数据； 通过本地设备的第一标识私钥对所述第一密态数据进行签名； 将签名后的第一密态数据发送至服务器； 接收服务器反馈的数据包； 通过所述第一标识公钥验证所述数据包的签名； 在验证通过时，将所述数据包进行数据解包，得到密钥文件和第二密态数据； 通过所述第一标识私钥对所述密钥文件进行解密，得到对称密码； 通过所述对称密码对所述第二密态数据进行解密，得到状态码； 若所述状态码为预设数值，则认定为协商成功，并通过所述信道密钥实现与所述服务器之间的通信。7.一种服务器，其特征在于，所述服务器包括: 数据接收单元，用于接收由用户设备发送的第一密态数据； 密钥产生单元，用于由随机数发生器产生一个随机数作为对称密钥； 公钥获取单元，用于根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥； 签名验证单元，用于采用所述第二标识公钥验证所述第一密态数据的签名； 私钥解密单元，用于在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥； 对称加密单元，用于通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据； 非对称加密单元，用于通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件； 数据打包单元，用于将所述第二密态数据和密钥文件进行数据打包，得到数据包； 私钥签名单元，用于通过所述第二标识私钥对所述数据包进行签名； 数据发送单元，用于将签名后的数据包发送至所述用户设备。8.一种信道密钥协商方法，其特征在于，所述方法包括: 接收由用户设备发送的第一密态数据； 由随机数发生器产生一个随机数作为对称密钥； 根据用户设备标识从标识公钥矩阵中获取对应的第二标识公钥； 采用所述第二标识公钥验证所述第一密态数据的签名； 在验证通过时，通过本地设备的第二标识私钥对所述第一密态数据进行解密，得到信道密钥； 通过所述对称密码对设为预设数值的状态码进行对称加密，得到第二密态数据； 通过所述第二标识公钥对所述对称密码进行非对称加密，得到密钥文件； 将所述第二密态数据和密钥文件进行数据打包，得到数据包； 通过所述第二标识私钥对所述数据包进行签名； 将签名后的数据包发送至所述用户设备。
【文档编号】H04L29/06GK106060073SQ201610535023
【公开日】2016年10月26日
【申请日】2016年7月7日
【发明人】罗燕京, 刘鹏
【申请人】北京信长城技术研究院