CN112332986A

CN112332986A - 一种基于权限控制的私有加密通信方法及系统

Info

Publication number: CN112332986A
Application number: CN202011410026.5A
Authority: CN
Inventors: 周显敬; 刘虎; 沈人杰; 程莎锋
Original assignee: Wuhan Zhuoer Information Technology Co ltd
Current assignee: Wuhan Zhuoer Information Technology Co ltd
Priority date: 2020-12-06
Filing date: 2020-12-06
Publication date: 2021-02-05
Anticipated expiration: 2040-12-06
Also published as: CN112332986B

Abstract

本发明公开一种基于权限控制的私有加密通信方法及系统，所述方法包括：客户端随机生成SM2密钥对，向服务端发送SM2密钥对中的公钥；接收服务端返回的SM9主密钥对密文；以SM2密钥对中的私钥对所述SM9主密钥对密文解密，得到SM9主密钥对；以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密，生成用户请求密文，将用户请求密文发送至服务端；接收服务端返回的用户请求结果密文，以SM9主密钥对中的私钥及用户唯一标识对所述用户请求结果密文解密，得到用户请求结果。本发明可轻量化高性能地实现数据的加密传输，在传输层面上进行权限控制，在保障数据安全的前提下，对客户端的不同操作进行管控和隔离。

Description

一种基于权限控制的私有加密通信方法及系统

技术领域

本发明属于信息安全技术领域，具体涉及一种基于权限控制的私有加密通信方法及系统。

背景技术

随着信息安全技术和互联网技术的发展，越来越多的用户通过客户端向服务端发送请求，对服务端的数据进行增删改查，维护服务端资源状态。一般地，服务端为了保护资源的可靠性，在提供各种服务之前，会针对用户的身份权限进行相关的白名单配置，当用户拥有该资源权限时，为用户提供请求服务，否则拒绝提供服务。在这个过程中，为了保障信息交互的安全性，防止非法第三方通过网络抓包、会话劫持等手段，窃取用户请求或者后台资源信息等等数据泄密的安全隐患，大多数服务端会在原有通信通道的基础之上，添加一个负责数据加解密的传输层(SSL/TLS)，保证在网络传输的过程中数据是加密的。

基于SSL/TLS的传输层，其本质上是一种基于PKI的密钥机制，主要是使用公开密钥体制和X.509数字证书技术，可以有效的保障数据的完整性和机密性。在运用过程中，发送方用接收方的公钥将所要发送的信息加密之后在进行传送，而接收方利用私钥进行解密之后来获取信息。这样一来，即使信息被窃取，因为没有解密的私钥，也是没有办法获取可读信息的。

理论上，基于SSL/TLS的传输层，可以安全地运行到任何原有TCP/IP应用程序，且对现有网络系统的修改也不是太大，但在实际的运用过程中，主要存在以下几方面不足：

1)SSL在保障传输过程中的安全之外，不能提供其他任何安全保障。比如在现有的交互基础之上，希望在传输层对某些交互进行安全隔离是做不到的，必须在业务层面上进行补充，这无疑增加了客户端和服务端之间的交互过程；

2)为了保证安全性，在连接握手阶段中，SSL要求通信双方进行额外的工作，一次SSL连接的完整过程，涉及到多次随机数生成、密钥交换、证书传递、证书验证等等过程。

3)对于系统内部构建私有通道的场景中，客户端与服务端的交互相对私有，对于服务端的证书使用必要性相对不高。传统证书体系中的通信过程比较复杂，密钥管理过程比较繁琐，还需要第三方机构提供证书验证支撑。

发明内容

有鉴于此，本发明提出一种基于权限控制的私有加密通信方法及系统，用于解决在系统内部构建私有通道的场景下客户端与服务端的交互繁琐的问题。

本发明第一方面，公开一种基于权限控制的私有加密通信方法，应用于客户端，所述方法包括：

客户端随机生成SM2密钥对，向服务端发送SM2密钥对中的公钥；

接收服务端返回的SM9主密钥对密文，所述SM9主密钥对密文是服务端通过SM2密钥对中的公钥对随机生成的SM9主密钥对加密得到；

以SM2密钥对中的私钥对所述SM9主密钥对密文解密，得到SM9主密钥对；

以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密，生成用户请求密文，将用户请求密文发送至服务端；

接收服务端返回的用户请求结果密文，以SM9主密钥对中的私钥及用户唯一标识对所述用户请求结果密文解密，得到用户请求结果。

优选的，客户端通过TCP连接向服务端发送SM2密钥对中的公钥，并携带对应的版本号和会话ID。

优选的，所述将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

优选的，所述服务端返回的用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请求结果、对用户请求结果加密得到，所述对用户请求结果加密是以SM9主密钥对中的公钥及用户请求对应的用户唯一标识对所述用户请求结果加密。

优选的，所述校验用户权限、获取用户请结果具体包括：服务端通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果。

本发明第二方面，公开一种基于权限控制的私有加密通信方法，应用于服务端，所述方法包括：

服务端接收到客户端发送的SM2密钥对中的公钥，建立会话，并生成SM9主密钥对；

以SM2密钥对中的公钥加密所述SM9主密钥对，得到SM9主密钥对密文并发送至客户端；

接收用户端发送的用户请求密文，索引至对应会话，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密；所述用户请求密文是用户端以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密得到；

根据白名单校验用户权限，获取用户请求结果；

以SM9主密钥对中的公钥及用户唯一标识对所述用户请求结果加密，得到用户请求结果密文并发送至客户端。

本发明第三方面，公开一种基于权限控制的私有加密通信系统，所述系统包括：

公钥发送单元：用于在客户端随机生成SM2密钥对，向服务端发送SM2密钥对中的公钥；

主密钥对获取单元：用于接收服务端返回的SM9主密钥对密文，所述SM9主密钥对密文是服务端通过SM2密钥对中的公钥对随机生成的SM9主密钥对加密得到；以SM2密钥对中的私钥对所述SM9主密钥对密文解密，得到SM9主密钥对；

主秘钥加密单元：用于以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密，生成用户请求密文，将用户请求密文发送至服务端；

主秘钥解密单元：用于接收服务端返回的用户请求结果密文，以SM9主密钥对中的私钥及用户唯一标识对所述用户请求结果密文解密，得到用户请求结果。

优选的，所述主秘钥加密单元中，将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

优选的，所述主秘钥解密单元中，所述服务端返回的用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请结果、对用户请求结果加密得到，所述对用户请求结果加密是以SM9主密钥对中的公钥及用户请求对应的用户唯一标识对所述用户请求结果加密。

优选的，所述主秘钥解密单元中，所述校验用户权限、获取用户请结果具体为：服务端通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果。

本发明相对于现有技术具有以下有益效果：

1)本发明采用基于标识的密码算法，简化传统PKI/CA证书体系中复杂的通信过程和繁琐的密钥管理过程。本发明的私有加密通信方式可以让通信双方在不需要交换公私钥信息、不需要保存密钥等基础设施、不需要使用第三方证书验证机构的情况下，对所有的交互数据均进行加密，从而保证信息交换的安全性；

2)本发明在连接握手阶段，结合公钥密码算法以及标识密码算法，极大程度地减少通信双方的信息交换，轻量高效地实现数据的加密传输；

3)本发明在保障安全传输的情况下，在传输层对用户的交互请求进行权限控制，降低了应用层的无效数据感知，减少数据冗余，提高系统效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于权限控制的私有加密通信方法流程示意图；

图2为本发明客户端和服务端交互时序图。

具体实施方式

下面将结合本发明实施方式，对本发明实施方式中的技术方案进行清楚、完整地描述，显然，所描述的实施方式仅仅是本发明一部分实施方式，而不是全部的实施方式。基于本发明中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本发明保护的范围。

本发明实施例一，请参阅图1，本发明提出一种基于权限控制的私有加密通信方法，应用于客户端，所述方法包括：

S1、客户端随机生成SM2密钥对，向服务端发送SM2密钥对中的公钥；具体的，客户端通过TCP连接向服务端发送SM2密钥对中的公钥，并携带对应的版本号和会话ID。

S2、接收服务端返回的SM9主密钥对密文，所述SM9主密钥对密文是服务端通过SM2密钥对中的公钥对随机生成的SM9主密钥对加密得到；

S3、以SM2密钥对中的私钥对所述SM9主密钥对密文解密，得到SM9主密钥对；

S4、以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密，生成用户请求密文，将用户请求密文发送至服务端；将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

S5、接收服务端返回的用户请求结果密文，以SM9主密钥对中的私钥及用户唯一标识对所述用户请求结果密文解密，得到用户请求结果。

具体的，用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请求结果、对用户请求结果加密得到；服务端通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果；在保障安全传输的情况下，在传输层对用户的交互请求进行权限控制，降低了应用层的无效数据感知，减少数据冗余，提高系统效率。

所述对用户请求结果加密是以SM9主密钥对中的公钥及用户请求对应的用户唯一标识对所述用户请求结果加密。

本发明在连接握手阶段，结合公钥密码算法以及标识密码算法，极大程度地减少通信双方的信息交换，轻量高效地实现数据的加密传输。

本发明实时例二，提出一种基于权限控制的私有加密通信方法，应用于服务端，所述方法包括：

根据白名单校验用户权限，获取用户请求结果；

本发明实时例三，本发明在TCP/IP协议的基础之上，提出一种基于权限控制的私有加密通信方法，该方法在客户端与服务端之间的交互过程的时序图如图2所示，具体分为以下十五个步骤：

S01：用户通过客户端向服务端发送请求前，首先由客户端随机生成SM2密钥对，其包含用于加解密的公钥和私钥，记为SM2公钥和SM2私钥；

S02：客户端通过TCP连接，向服务端发送S01中生成的SM2密钥对中公钥；

S03：服务端接收到客户端消息时，如果会话ID为0时，建立会话(如：0x00000000C)，并生成SM9主密钥对，其中包含用于加解密的公钥和私钥；如果会话ID不为0时，则跳转至步骤S09；

S04：服务端建立会话后，采用S02中SM2公钥，对S03中生成的SM9主密钥对进行加密，生成SM9主密钥对密文，此主密钥对会参与到该会话后续的加解密过程；

S05：服务端将S04中生成的SM9主密钥对密文返回至客户端；

S06：客户端收到服务端返回的SM9主密钥对密文后，以S01中SM2私钥进行解密，得到解密后的SM9主密钥对；

S07：用户通过客户端向服务端发送请求时，需要以S06中解密后的SM9主密钥对，结合用户请求对应的资源唯一标识，对用户的请求进行加密，生成用户请求密文；

S08：客户端通过TCP连接，向服务端发送S07中生成的用户请求密文，并携带对应的版本号、会话ID、用户唯一标识、资源唯一标识；

S09：服务端接收到客户端消息后，通过S08中的会话ID索引至对应的会话，得到S03中该会话对应的SM9主密钥对；

S10：服务端通过S09中的SM9主密钥私钥以及S08中的资源唯一标识，对S08中的用户请求密文进行解密，得到原始的用户请求；

S11：服务端通过S08中的用户唯一标识、资源唯一标识以及S10中解密后的原始用户请求，结合白名单，校验用户请求的权限。如果该用户请求没有授权，服务端拒绝该请求，直接以操作未授权作为请求结果，此时跳转至步骤S13；如果该用户请求通过授权，则继续执行S12；

S12：服务端执行用户的请求，生成对应的请求结果；

S13：服务端通过S09中的SM9主密钥对中的公钥以及S08中的用户唯一标识，对用户请求结果进行加密，生成用户请求结果密文；

S14：服务端将S13中生成的用户请求结果密文返回至客户端；

S15：客户端收到服务端消息后，通过S06中SM9主密钥对中的私钥以及S14中的用户唯一标识，对S14中返回的用户请求结果密文进行解密，得到原始的用户请求结果。

本发明采用基于标识的密码算法，简化传统PKI/CA证书体系中复杂的通信过程和繁琐的密钥管理过程。本发明的私有加密通信方式可以让通信双方在不需要交换公私钥信息、不需要保存密钥等基础设施、不需要使用第三方证书验证机构的情况下，对所有的交互数据均进行加密，从而保证信息交换的安全性。本发明可轻量化高性能地实现数据的加密传输，并针对用户的请求，在传输层面上进行权限控制，在保障数据安全的前提下，对客户端的不同操作进行管控和隔离。

本发明实施例四，与实施例一的方法相对应，本发明提出一种基于权限控制的私有加密通信系统，所述系统包括：

主秘钥加密单元：用于以SM9主密钥对中的公钥和用户请求对应的资源唯一标识对用户请求进行加密，生成用户请求密文，将用户请求密文发送至服务端；将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

具体的，所述服务端返回的用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请结果、对用户请求结果加密得到；服务端校验用户权限时，通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果。

以上各个实施例是相互对应的，某一实施例简述之处相互参照即可，不再赘述。

以上所述仅为本发明的较佳实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于权限控制的私有加密通信方法，应用于客户端，其特征在于，所述方法包括：

2.根据权利要求1所述基于权限控制的私有加密通信方法，其特征在于，客户端通过TCP连接向服务端发送SM2密钥对中的公钥，并携带对应的版本号和会话ID。

3.根据权利要求1所述基于权限控制的私有加密通信方法，其特征在于，所述将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

4.根据权利要求3所述基于权限控制的私有加密通信方法，其特征在于，所述服务端返回的用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请求结果、对用户请求结果加密得到，所述对用户请求结果加密是以SM9主密钥对中的公钥及用户请求对应的用户唯一标识对所述用户请求结果加密。

5.根据权利要求4所述基于权限控制的私有加密通信方法，其特征在于，所述校验用户权限、获取用户请结果具体包括：服务端通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果。

6.一种基于权限控制的私有加密通信方法，应用于服务端，其特征在于，所述方法包括：

根据白名单校验用户权限，获取用户请求结果；

7.一种基于权限控制的私有加密通信系统，其特征在于，所述系统包括：

8.根据权利要求7所述基于权限控制的私有加密通信系统，其特征在于，所述主秘钥加密单元中，将用户请求密文发送至服务端时，携带对应的版本号、会话ID、用户唯一标识、资源唯一标识。

9.根据权利要求8所述基于权限控制的私有加密通信系统，其特征在于，所述主秘钥解密单元中，所述服务端返回的用户请求结果密文是服务端根据会话ID索引到对应的会话后，以SM9主密钥对中的私钥和用户请求对应的资源唯一标识对用户请求密文进行解密，并校验用户权限、获取用户请结果、对用户请求结果加密得到，所述对用户请求结果加密是以SM9主密钥对中的公钥及用户请求对应的用户唯一标识对所述用户请求结果加密。

10.根据权利要求9所述基于权限控制的私有加密通信系统，其特征在于，所述主秘钥解密单元中，所述校验用户权限、获取用户请结果具体为：服务端通过用户请求对应的用户唯一标识、资源唯一标识以及解密后的用户请求，结合白名单，校验用户请求的权限，如果用户请求没有授权，直接以操作未授权作为请求结果；如果用户请求通过授权，则执行用户请求得到用户请求结果。