CN101183938A - 一种无线网络安全传输方法、系统及设备 - Google Patents

Abstract

本发明公开了一种无线网络发送终端安全传输方法，包括以下步骤：根据接收终端标识生成接收终端公钥；使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密，并发送给所述接收终端，使所述接收终端解码获得所述数据。本发明公开了一种无线网络接收终端安全传输方法、认证中心、接收方设备和发送方设备。本发明的实施例中，建立一套密钥体制，使得参与本次会话各移动终端之间不需要通过信息交互就可获得对方公钥信息，而是根据参与本次通信各移动终端标识信息直接获得其公钥信息。

Description

一种无线网络安全传输方法、系统及设备

技术领域

本发明涉及通信技术领域，尤其涉及一种无线网络安全传输方法、系统及设备。

背景技术

2005年International Telecommunication Union(国际电信联合会)发布了ITU-T(国际电信联盟远程通信标准化组)X.805规范，对端到端的网络系统提出了访问控制、认证、不可否认(接收方确定接收报文的目的终端就是本终端，而不是其他终端)、数据保密性、通信安全、数据完整性、可用性、隐私八个方面的安全要求。目前，无线通信网络难以完全满足移动数据业务对安全性的特殊需求，特别地，由于某些数据业务的特殊性，其敏感信息(例如密钥、用户敏感信息等)必须绝对保密。因此，根据国际无线通信网络安全技术的发展趋势，结合实际应用需求，无线通信网络端到端的安全传输方法，对于推动未来具有产生高附加值潜力的移动信息服务业的发展具有重要的意义。

在第二代移动通信网络中，移动网络运营商主要依靠鉴权和AKA(Authentication and Key Agreement，密钥分配机制)、绑定用户身份的标识号MSISDN(Mobile Subscriber Integrated Services Digital Network，移动用户综合业务数字网)来保证移动通信网络的安全。在第三代移动通信网络中，3GPP(3rd Generation Partnership Project，第三代合作伙伴计划)安全标准较GSM(Global System For Mobile Communication，全球移动通信系统)安全标准有了很大的提高：在3GPP中，AKA机制支持双向认证，防止了伪基站攻击；提供了数据完整性保护；加密算法公开且更安全完善；密钥更长。但是，3GPP在安全性方面仍存在一些不足之处，例如：数字签名无法保证终端的不可否认性；需要与终端多次会话协商密钥；密钥产生机制不安全；算法过多；认证协议易受攻击等，无法满足特殊数据业务的安全需求。特别地，由于某些数据业务的特殊性，其数据业务的服务提供方不愿意而且也不可能将其数据业务的安全性完全依赖于无线通信网络的运营商。

现有技术方案一为专利《提供用于对数据数字签名、认证或加密的签名密钥的方法和移动终端》，专利申请号为200510070934.3，申请人为阿尔卡特公司。该专利申请描述了一种在第一方和第二方之间交换的数据数字签名、验证或加密的密钥的方法，第一方向网关发送唯一标识码，网关通过认证服务器验证标识码，根据GSM标准的A8算法生成签名密钥，通过SMS(ShortMessage Service，短消息服务)或其他链接发送给第一方或第二方。但是，上述方法通过短消息明文传输签名密钥本身是不安全的；需要由网关来对终端进行身份认证，而不是由终端进行端对端的身份认证；网关通过认证服务器产生签名密钥发送给接收端，依赖与无线网络运营商所提供的安全服务。故上述方法未能实现端到端的安全传输，无法满足安全性较高的商务、政务等特殊数据业务的要求。

现有技术方案二为专利《基于GSM网络实现无线身份认证和数据安全传输的方法》，专利申请号为200510070602.5，申请人为航天科工信息技术研究院。该专利申请提出一种在没有CA(Certificate Authority，认证机构)的情况下通信双方基于PKI(Public Key Infrastructure，公钥基础设施)来进行身份认证和会话密钥传递的通信方法。该发明的主要原理是通信双方获取同一个密钥管理中心签发的证书，并且拥有密钥管理中心的公钥，双方通信时在一系列验证，通过后进行密钥协商和会话密钥交换，例如：口令验证，部分程序代码验证，非对称加密单元和SIM(Subscriber Identity Module，用户标识模块)卡的绑定的验证，自己证书有效期的验证，身份验证和对方证书有效期的验证等，然后生成通信双方初始化对称加密单元的对称密钥和初始化对称加密单元，利用对称加密单元加密解密数据实现安全通信。上述方法通过密钥管理中心向终端签发数字证书，使用数字证书进行身份认证。当某个终端与另一终端之间进行数据传输之前，需要向对方发送本端的证书，同时接收对方的证书进行验证。一方面这些证书(本端和其他终端的证书)需要较大的存储空间，对于手机SIM来说难以承受；另一方面证书的管理、分发增加了数据业务的难度和成本。同时上述方法在传输数据之前终端之间需要进行多次会话交互，如协商密钥、交换证书、通过CA中心对公钥信息进行认证等，增加了时间、费用、带宽消耗。

现有技术方案三为专利《User authentication in a mobile communicationsnetwork》(United States Patent 6957061，October 18，2005，Vodafone Limted)。该专利提出一种基于移动通信网络环境下用户实现身份认证的方法，用户的移动设备从SN(Service Network，服务网络)中接收一个认证元素，从该认证元素中提取出AMF(Authentication Management Field，认证管理域)，产生一个该AMF内的预设值和一套KSI(Key Success Indicators，关键标识符)，并把KSI传送给SN进行身份认证。在上述方法中，服务网络在整个认证过程中作为一个主要的参与方存在，故上述方法不能应用端到端的安全传输，无法满足安全性较高的商务、政务等特殊数据业务的要求。

综上所述，在实现本发明的过程中，发明人发现现有技术中至少存在如下问题：现有技术中都是基于无线网络本身的安全机制提出改进方法，虽然使得无线通信网络端到端的加密机制或认证机制更具灵活性，但其原理还是依赖于网络服务商所提供的安全服务，没有从根本上解决其安全问题。

发明内容

本发明实施例提供一种无线网络安全传输方法、系统及设备，以在不依赖于无线通信网络的运营商及其安全服务的基础上保证数据传输的安全性。

本发明实施例提供了一种无线网络发送终端安全传输方法，包括以下步骤：

根据接收终端标识生成接收终端公钥；

使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密，并发送给所述接收终端，使所述接收终端解码获得所述数据。

本发明实施例提供了一种无线网络接收终端安全传输方法，包括以下步骤：

获取与接收终端标识对应的信息，所述信息包括接收终端私钥和公开参数；

使用所述接收终端私钥及公开参数对接收的传输信息解密获得会话密钥；

使用所述会话密钥对接收的传输信息中数据解密，获得明文数据。

本发明实施例提供了一种无线网络认证中心安全传输方法，包括以下步骤：

设置包括私钥与公开参数的公钥体系，所述私钥根据终端标识设置，所述公开参数根据系统安全参数设置；

将所述公钥体系分配给终端，供所述终端进行会话密钥分配。

本发明实施例提供了一种无线网络接收端安全传输系统，包括：

认证中心，用于为设置包括私钥与公开参数的公钥体系，并将所述公钥体系分配给终端；

移动发送终端，用于根据接收终端标识生成接收终端公钥，使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密，并发送给所述接收终端；

移动接收终端，用于使用私钥及公开参数对接收的传输信息解密获得会话密钥，并使用所述会话密钥对接收的传输信息中数据解密，获得明文数据。

本发明实施例提供了一种无线网络发送终端，包括：智能卡、安全模块和移动终端系统模块；

所述智能卡，用于生成终端公钥，并设置会话密钥；

安全模块，用于使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密；

移动终端系统模块，用于对加密的数据及安全参数进行封装，并发送给所述接收终端，使所述接收终端解码获得所述数据。

本发明实施例提供了一种无线网络接收终端，包括：

所述智能卡，用于存储与接收终端标识对应的私钥、公开参数；

移动终端系统模块，用于对接收到的加密数据及安全参数进行解封装，并发送给所述安全模块；

安全模块，用于使用所述接收终端私钥和公开参数对会话密钥进行解密，利用所述会话密钥对传输数据进行解密，获得明文数据。

本发明实施例提供了一种无线网络认证中心，包括：

公钥体系设置模块，用于设置包括私钥与公开参数的公钥体系，所述私钥根据终端标识设置，所述公开参数根据系统安全参数设置；

公钥体系分配模块，用于将所述公钥体系分配给终端，供所述终端进行会话密钥分配。

本发明的实施例中，建立一套密钥体制，使得参与本次会话各移动终端之间不需要通过信息交互就可获得对方公钥信息，而是根据参与本次通信各移动终端标识信息直接获得其公钥信息。

附图说明

图1是本发明实施例中无线通信网络端到端安全传输体系结构图；

图2是本发明实施例中移动终端结构示意图；

图3是本发明实施例中移动发送终端传输数据封装结构图；

图4是本发明实施例中智能卡中软件模型示意图；

图5是本发明实施例中智能卡访问安全状态示意图；

图6是本发明实施例中一种无线网络安全传输方法流程图；

图7是本发明实施例中CA的公私钥体系结构如图。

具体实施方式

本发明实施例中，无线通信网络端到端安全传输体系结构如图1所示，包括：CA(Certificate Authority，认证授权)中心、多个移动终端、无线通信网络短信网关。为了描述清楚，以下将移动终端分为移动发送终端和移动接收终端，移动发送终端用于对要发送的数据进行加密，通过无线通信网络短信网关发送到移动接收终端；移动接收终端对加密的数据进行解密，获得明文数据。

其中，CA中心只在用户注册时，为用户使用的移动终端分配与移动终端标识相关联的私钥及其他系统安全参数，并将私钥及安全参数记录在本地，且不参与此后移动发送终端与接收方之间的通信过程。本发明实施例中，CA中心确定系统的安全参数s，为用户分发与用户终端标识相关的私钥，生成一个与系统的安全参数s相关的公开参数Q_CA，移动终端注册时，CA中心将私钥和公开参数Q_CA写入移动终端，将安全参数s存储在CA本地，对用户保密。其中，CA中心生成移动终端私钥S_ID的具体过程包括：CA根据移动终端的身份标识生成移动终端的公钥Q_ID，并根据系统安全参数s及移动终端的公钥Q_ID生成移动终端的私钥S_ID＝sQ_ID，该私钥S_ID只能在移动终端的智能卡中被使用，对发送的通信数据进行数字签名或者解密会话密钥，其中，移动终端的身份标识包括但不限于手机号码、IMSI(International Mobile SubscriberIdentification Number，国际移动用户识别号)、IP号或终端公开的任何标识码及其组合或变换。用户向CA中心注册可采用多种方式，本发明实施例中采用发卡注册的方式，将与移动终端标识相关联的私钥及其他系统安全参数写入智能卡中，将该智能卡发给用户，并放入移动终端中使用。

移动发送终端的用户通过输入密码启动相应数据业务功能。移动发送终端根据移动接收终端的标识产生移动接收终端的公钥，采用公钥密码体制实现通信双方之间一次一密的会话密钥的分配，例如生成一个随机序列作为会话密钥，使用该会话密钥对传输数据进行加密，并生成MAC(MessageAuthentication Codes，消息认证码)(密码学中MAC的生成是公知方法，本发明中可以不用详细描述)，且由发送终端私钥实现对传输数据摘要信息的数字签名；然后将所有将要传输的数据按照安全传输协议封装成业务信息，通过无线通信网络短信网关发送给接收终端。

移动接收终端的用户通过输入密码使用相应数据业务功能，移动接收终端使用接收方私钥解密接收到的业务信息，获得会话密钥信息，并使用该会话密钥解密传输数据，然后，还可以通过MAC验证传输数据的完整性，通过数字签名验证对移动发送终端进行身份认证及防止移动发送终端否认，由于数字签名是经过发送终端使用发送方私钥加密的传输数据摘要信息，因此，在接收终端需要通过发送方公钥及公钥密码体制解密数字签名获得传输数据摘要信息；当解密完成后生成反馈信息，向移动发送终端返回业务结果。

移动终端由智能卡和手机本体构成，具体结构如图2所示，其中手机本体包括数据应用模块、控制界面模块、安全模块、移动终端系统模块、无线模块和智能卡。智能卡是通信安全体系的根节点，存储CA预分配给移动终端的私钥等秘密信息，产生会话密钥，完成数字签名；安全模块通过移动终端系统模块提供的接口与智能卡进行串行通信，实现与对等通信实体间的会话密钥的分配、数据加/解密和签名校验等功能，为上层数据应用模块的服务提供安全保障；另外，用户可以通过控制界面模块对安全模块进行一定的安全设置。在通信端作为发送方时，数据应用模块产生的应用数据体，由安全模块根据智能卡分配的会话密钥对该应用数据体加密，在应用数据体中加入标签、长度等信息，并在智能卡内完成签名，与该次会话的安全参数信息一起作为新的应用数据体，传递给移动终端系统模块进行封装，加入数据报头后通过无线模块发送出去，数据体封装过程如图3所示。移动接收终端在收到应用数据包时，移动终端系统模块将应用数据体传递给安全模块，安全模块根据标签的存在与否，判断该数据是否是秘密数据，如果不是，直接递交给数据应用模块；否则，根据标签后长度所指示的安全参数信息对该秘密信息进行解密、验证，将完整的明文信息传递给数据应用模块。

由于现有技术中智能卡上数据可能存在如何保证安全存储和安全访问两个问题，本发明实施例中通过智能卡芯片的存储保护的硬件功能实现用户移动通信鉴权秘密信息和端到端安全服务秘密信息的安全存储和安全访问。这种智能卡从硬件层次上划分了不同的存储区域，对不同的存储区域的访问有不同的授权，基于此芯片，无线通信服务和端到端的安全应用服务可以置于不同的存储区域，其秘密信息也置于独立的存储区域，从而实现移动终端的智能卡上秘密信息的安全存储和安全访问。

本发明实施例中另一种方式可以基于智能卡操作系统的安全，扩展智能卡的功能，将无线通信服务和用户的端到端安全服务作为两个应用程序，如图4所示，通过智能卡上的操作系统实现对秘密数据的访问控制，保证各应用程序只能访问相应的数据，进行相应的读写操作，而不能访问其他应用的私有数据。各应用程序只能通过操作系统提供的接口访问相应的资源。该方法基于以下两点关键技术：首先外界访问硬件资源必须通过智能卡操作系统提供的接口，因此本发明实施例需要采用具有核心态和用户态两种操作模式的智能卡芯片，比如TT120，只有工作在核心态下才具有访问硬件资源的权限。设计智能卡操作系统工作在核心态下，应用程序工作在用户态下，这样任何应用程序都要通过操作系统提供的接口才能访问存储在智能卡中的秘密数据，而任何其他方式都不能读取或者修改此秘密数据的。其次外界访问硬件资源必须获取智能卡操作系统的授权，智能卡操作系统维护智能卡在当前的安全级别即安全状态，并管理操作数据对象必须满足的安全条件即安全属性。外界要访问数据对象则必须要使当前智能卡的安全状态符合此数据对象的安全属性。因此，可以将秘密数据存储在智能卡中，然后赋予较高级别的安全属性，如图5所示，外界要访问秘密数据就必须通过认证授权使得智能卡迁移到与其安全属性相符的安全状态，否则将会被智能卡操作系统拒绝访问。

在上方法中，可以采用如下两种运营模式来实现：一种模式是在智能卡的个人化阶段一次写入为用户提供端到端安全服务的相关秘密数据、应用代码以及无线通信服务代码。另一种模式是通过空中下载(OTA)方式在智能卡中无线下载该端到端安全服务应用数据和程序，目前无线通信运营商已针对空中下载方式提出了规范协议，只要遵循此协议就可以做到此方式的通用性。

本发明实施例还提供了一种无线网络安全传输方法，如图6所示，包括以下步骤：

步骤s601，移动终端(包括发送方和接收方)向CA中心注册，要求CA中心分发与终端标识对应的信息，该信息包括用户终端的私钥和系统的安全参数等。CA的公私钥体系结构如图7所示，确定系统的安全参数s，为用户分发与用户终端标识相关的私钥，生成一个与系统的安全参数s相关的公开参数Q_CA。移动终端注册时，CA中心将私钥和公开参数Q_CA写入移动终端，将安全参数s存储在CA本地，对用户保密。其中，用户可以采用多种注册方式向CA中心注册，例如采用发卡注册的方式，即向用户发放智能卡时已将与移动终端身份标识相关联的私钥及其他系统安全参数写入，用户将该智能卡放入移动终端后，该移动终端即具有密钥及相关参数。

其中，CA中心生成移动终端私钥S_ID的具体过程包括：CA根据移动终端的身份标识生成移动终端的公钥Q_ID，并根据系统安全参数s及移动终端的公钥Q_ID生成移动终端的私钥S_ID＝sQ_ID，该私钥S_ID只能在移动终端的智能卡中被使用，对发送的通信数据进行数字签名或者解密会话密钥。其中，移动终端的身份标识包括但不限于手机号码、IMSI号码、IP号或终端公开的任何标识码及其组合或变换。

步骤s602，用户在移动发送终端输入密码使用相应数据业务功能，启动向移动接收终端传输安全数据。移动发送终端根据移动接收终端的标识生成移动接收终端的公钥。移动终端的公钥Q_ID，由移动终端根据移动终端的身份标识在移动终端上生成，而不用与对等端或者CA通信来获取移动终端的公钥Q_ID，以节省通信成本并降低网络通信量。假设移动终端的身份标识由串ID表示，该用户的公钥Q_ID＝H(ID)，其中H为哈希函数H：{0，1}^*→G^*，  G为某有限域内椭圆曲线上的点构成的点群的一个循环子群。

根据CA建立的公钥体系，移动终端通信双方在通信过程中可以使用数字信封技术在线分配会话密钥，即：移动发送终端的智能卡动态随机生成一随机数作为会话密钥，移动发送终端利用移动接收终端的公钥对会话密钥使用公钥密码体制进行加密，同时利用会话密钥对传输数据使用对称密码体制进行加密。

然后，生成MAC且由私钥实现对传输数据摘要信息的数字签名；移动发送终端将所有将要传输的数据按照上述无线通信端到端安全通信的协议(图3)进行封装传后发送给移动接收终端，以实现一次一密的会话密钥机制，建立安全的端到端通道；确保基于无线通信网络数据业务的通信安全。

步骤s603，移动接收终端的用户输入密码使用相应数据业务功能。移动接收终端使用自己的私钥解密获得会话密钥信息，使用ECC(椭圆曲线加密算法)或IBE(基于身份的加密算法)等算法进行解密(该解密算法应与加密算法相对应)，ECC和IBE算法均有成熟的算法，故在此不详细描述，并使用该会话密钥解密数据，通过MAC验证数据的完整性，通过数字签名验证对移动发送终端进行身份认证及防止移动发送终端否认；生成反馈信息，向发送终端返回业务结果。

其中，移动接收终端根据移动发送终端的身份标识生成移动发送终端的公钥，使用移动发送终端的公钥与系统公开参数Q_CA对传输数据的签名进行验证及防止移动发送终端否认，其中，对签名进行验证采用与签名相对应的验证方法，与选取的数字签名的具体算法相关，本发明中不再赘述。

本发明实施例还提供了一种无线网络发送终端具体包括：所述智能卡，用于存储与终端标识对应的私钥、生成终端公钥，并设置会话密钥；安全模块，通过所述移动终端系统模块与所述智能卡连接，用于使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密；移动终端系统模块，分别与所述智能卡和安全模块连接，用于对加密的数据及安全参数进行封装，并发送给所述接收终端，使所述接收终端解码获得所述数据。

所述智能卡具体包括：私钥获取子模块，用于获取与终端标识对应的信息，所述信息包括终端私钥；接收方公钥生成子模块，与所述私钥获取子模块连接，用于根据接收终端标识生成接收终端公钥；会话密钥生成子模块，用于生成会话密钥；消息认证码生成子模块，用于生成消息认证码，并通过安全模块添加到所述传输数据中，供所述接收终端验证解码后的数据完整性；数字签名子模块，用于完成传输数据的签名，并通过安全模块添加到所述传输数据中。

本发明实施例还提供了一种无线网络接收终端，包括：所述智能卡，用于存储与终端标识对应的私钥、公开参数；移动终端系统模块，与所述智能卡连接，用于对接收到的加密数据及安全参数进行解封装，并发送给所述安全模块；安全模块，与所述移动终端系统模块连接，用于使用所述私钥和公开参数对会话密钥进行解密，利用所述会话密钥对传输数据进行解密，获得明文数据。

其中，公钥体系获取子模块，用于获取与终端标识对应的信息，所述信息包括终端私钥和公开参数。

所述安全模块具体包括：会话密钥解密子模块，用于对接收信息进行解密，获取会话密钥；数据解密子模块，与所述会话密钥解密子模块连接，用于根据所述会话密钥解密传输数据，获得明文数据；消息认证子模块，用于通过解密获得的消息认证码验证所述数据的完整性；所述安全模块还包括数字签名模块，用于通过解密获得的数字签名验证对发送终端进行身份认证。

本发明实施例还提供了一种无线网络认证中心，包括：公钥体系设置模块，用于设置包括私钥与公开参数的公钥体系，所述私钥根据终端标识设置，所述公开参数根据系统安全参数设置；公钥体系分配模块，与所述公钥体系设置模块连接，用于将所述公钥体系分配给终端，供所述终端进行会话密钥分配。所述公钥体系设置模块具体包括：公钥生成子模块，用于根据终端标识生成所述终端的公钥；私钥生成子模块，与所述公钥生成子模块，用于根据系统安全参数和所述公钥生成终端私钥。

本发明实施例在现有无线通信网络的环境下，针对无线数据通信特点及其安全需求，建立端到端安全传输通道。可以在不依赖于无线通信网络的运营商及其安全服务的基础上保证移动终端数据传输的安全性。本发明实施例中建立的一套密钥体制，使得参与本次会话各移动终端之间不需要通过信息交互就可获得对方公钥信息，而是根据参与本次通信各移动终端标识信息直接获得其公钥信息，无须在每一次通信过程中建立额外的会话进行密钥协商、密钥交换、身份认证等，不仅降低了通信成本，而且适合于有限带宽的无线通信网络和有限资源的移动终端，满足某些对安全性有较高要求的数据业务，如移动电子商务、移动电子政务、移动信息服务等，且符合InternationalTelecommunication Union发布的ITU-T X.805规范中对端到端的网络系统提出的访问控制、认证、不可否认、数据保密性、通信安全、数据完整性、可用性、隐私八个方面的安全要求。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (23)

1.一种无线网络发送终端安全传输方法，其特征在于，包括以下步骤：

根据接收终端标识生成接收终端公钥；

使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密，并发送给所述接收终端，使所述接收终端解码获得所述数据。

2.如权利要求1所述无线网络发送终端安全传输方法，其特征在于，所述传输信息还包括消息认证码，供所述接收终端验证解码后的数据的完整性。

3.如权利要求1所述无线网络发送终端安全传输方法，其特征在于，还包括获取与发送终端标识对应的信息，所述信息包括发送终端私钥；且所述传输信息还包括数字签名，所述数字签名为由发送终端私钥加密的传输数据摘要信息。

4.如权利要求1所述无线网络发送终端安全传输方法，其特征在于，所述使用接收终端公钥对会话密钥进行加密之前还包括：

动态生成一随机数作为会话密钥。

5.如权利要求1所述无线网络发送终端安全传输方法，其特征在于，所述接收方公钥信息Q_ID的生成过程为：

Q_ID＝H(ID)，

其中ID表示接收终端标识，H为哈希函数H：{0，1}^*→G^*，G为某有限域内椭圆曲线上的点构成的点群的一个循环子群。

6.如权利要求1至5中任一项所述无线网络发送终端安全传输方法，其特征在于，所述终端标识包括：手机号码、国际移动用户识别号IMSI、IP号或终端公开的标识码。

7.一种无线网络接收终端安全传输方法，其特征在于，包括以下步骤：

获取与接收终端标识对应的信息，所述信息包括接收终端私钥和公开参数；

使用所述接收终端私钥及公开参数对接收的传输信息解密获得会话密钥；

使用所述会话密钥对接收的传输信息中数据解密，获得明文数据。

8.如权利要求7所述无线网络接收终端安全传输方法，其特征在于，所述使用接收终端私钥及公开参数对接收的传输信息解密获得会话密钥，并使用所述会话密钥对接收的传输信息中数据解密，具体包括：

接收方使用接收终端私钥及公钥密码体制对会话密钥进行解密获得会话密钥；

接收方用会话密钥及对称密码体制对传输信息解密获得明文数据。

9.如权利要求7所述无线网络接收终端安全传输方法，其特征在于，所述传输信息中还包括消息认证码，解密之后还包括：

通过所述消息认证码验证所述数据的完整性。

10.如权利要求7所述无线网络接收终端安全传输方法，其特征在于，所述传输信息中还包括数字签名，解密之后还包括：

通过数字签名验证对发送终端进行身份认证。

11.一种无线网络认证中心安全传输方法，其特征在于，包括以下步骤：

设置包括私钥与公开参数的公钥体系，所述私钥根据终端标识设置，所述公开参数根据系统安全参数设置；

将所述公钥体系分配给终端，供所述终端进行会话密钥分配。

12.如权利要求11所述无线网络认证中心安全传输方法，其特征在于，所述私钥的生成过程包括：

根据终端标识生成所述终端的公钥；

根据系统安全参数和所述公钥生成终端私钥。

13.一种无线网络接收端安全传输系统，其特征在于，包括：

认证中心，用于为设置包括私钥与公开参数的公钥体系，并将所述公钥体系分配给终端；

移动发送终端，用于根据接收终端标识生成接收终端公钥，使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密，并发送给所述接收终端；

移动接收终端，用于使用私钥及公开参数对接收的传输信息解密获得会话密钥，并使用所述会话密钥对接收的传输信息中数据解密，获得明文数据。

14.一种无线网络发送终端，其特征在于，包括：智能卡、安全模块和移动终端系统模块；

所述智能卡，用于生成终端公钥，并设置会话密钥；

安全模块，用于使用所述接收终端公钥对会话密钥进行加密，利用所述会话密钥对待传输信息中的数据进行加密；

移动终端系统模块，用于对加密的数据及安全参数进行封装，并发送给所述接收终端，使所述接收终端解码获得所述数据。

15.如权利要求14所述无线网络发送终端，其特征在于，所述智能卡还包括：

私钥获取子模块，用于获取与发送终端标识对应的信息，所述信息包括发送终端私钥；

16.如权利要求14所述无线网络发送终端，其特征在于，所述智能卡还包括消息认证码生成子模块，用于生成消息认证码，并通过安全模块添加到所述传输数据中，供所述接收终端验证解码后的数据完整性。

17.如权利要求14所述无线网络发送终端，其特征在于，所述智能卡还包括数字签名子模块，用于完成传输数据的签名，并通过安全模块添加到所述传输数据中。

18.如权利要求14至17中任一项所述无线网络发送终端，其特征在于，所述智能卡通过硬件存储区域划分方式或软件操作分级方式进行安全存储及安全访问。

19.一种无线网络接收终端，其特征在于，包括：

所述智能卡，用于存储与接收终端标识对应的私钥、公开参数；

移动终端系统模块，用于对接收到的加密数据及安全参数进行解封装，并发送给所述安全模块；

安全模块，用于使用所述接收终端私钥和公开参数对会话密钥进行解密，利用所述会话密钥对传输数据进行解密，获得明文数据。

20.如权利要求19所述无线网络接收终端，其特征在于，所述安全模块还包括消息认证子模块，用于通过解密获得的消息认证码验证所述数据的完整性。

21.如权利要求19所述无线网络接收终端，其特征在于，所述安全模块还包括数字签名模块，用于通过解密获得的数字签名验证对发送终端进行身份认证。

22.如权利要求19至21中任一项所述无线网络接收终端，其特征在于，所述智能卡通过硬件存储区域划分方式或软件操作分级方式进行安全存储及安全访问。

23.一种无线网络认证中心，其特征在于，包括：

公钥体系设置模块，用于设置包括私钥与公开参数的公钥体系，所述私钥根据终端标识设置，所述公开参数根据系统安全参数设置；

公钥体系分配模块，用于将所述公钥体系分配给终端，供所述终端进行会话密钥分配。

Images