CN101582906B - 密钥协商方法和装置 - Google Patents

Abstract

本发明公开了一种密钥协商方法和装置，该方法包括：第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；随机选择第一用户端的临时密钥，并对第一用户端的临时密钥和第一用户端的长期私钥进行第一哈希计算获得第一中间值；根据第一中间值和临时密钥生成第一密钥协商消息；将第一密钥协商消息发送至第二用户端后，接收第二用户端返回的第二密钥协商消息；第一用户端根据第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和密钥协商会话的会话标识进行第二哈希计算得到共享密钥。本发明提高了密钥协商的效率，并且任何一方的长期密钥和临时密钥不同时泄露，即可保证协商的安全性。

Description

密钥协商方法和装置

技术领域

本发明涉及安全通信技术领域，尤其涉及一种密钥协商方法和装置。

背景技术

密钥协商是一种密钥建立技术，系统中的两个或多个参与方共同提供信息，各自推导出一个任何一方不能预先确定结果的共享密钥。特别是随着通信环境的日益复杂、信息技术的不断发展和计算能力的不断提高，通信环境中的攻击手段也不断发展，使得很多密钥协商方法都存在不同程度的安全隐患，因此在现代通信中，通信的参与方在保证密钥协商的高效率同时应考虑密钥协商的安全性。常见的密钥协商协议包括MQV、HMQV、NAXOS、CMQV、NETS等。

现有技术中，在使用密钥协商进行会话的系统中，某些用户为了提高密钥协商协议的运行效率，在进行会话密钥协商前，可能会离线预计算一些临时密钥对，例如，(H₁(esk，sk)，

)，其中，esk为临时密钥，sk为长期密钥(私钥)，H₁为哈希函数，以供后续协商会话密钥时使用。发明人在对现有技术的研究过程中发现，由于现有技术在进行密钥协商时，会话双方需要进行多次数据交换才能完成密钥协商，并且当使用该协议的某一方用户或两方用户的(H₁(esk，sk)，

)和长期密钥sk同时泄露时，由于获得该泄露信息的第三方可以通过计算得到系统中用户的会话密钥，因此降低了系统的会话安全性。

发明内容

有鉴于此，本发明实施例的目的在于密钥协商的方法和装置，以保证基于密钥协商的系统的安全性。

本发明实施例所提供的技术方案为：

一种密钥协商方法，应用于基于密钥交换协议的密钥协商系统，包括：

第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；

随机选择第一用户端的临时密钥，并对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值；

根据所述第一中间值和所述临时密钥生成第一密钥协商消息；

将所述第一密钥协商消息发送至所述第二用户端后，接收所述第二用户端返回的第二密钥协商消息；

第一用户端根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

还包括：所述第一用户端的长期公钥和所述第二用户端的长期公钥预先保存在所述证书中心；

所述证书中心对所述第一用户端的长期公钥和所述第一用户端的用户身份进行绑定，以及对所述第二用户端的长期公钥和所述第二用户端的用户身份进行绑定。

还包括：所述密钥协商系统预先定义一组系统参数Zp、G、p、q、g、H1、H2，

所述p和q是大素数，且q|p-1；

所述g是

中一个阶为q的元素；

所述G为乘法循环群，且所述G＝<g>

所述H₁是满足

的哈希函数，用于进行所述第一哈希计算；

所述H₂是满足{0，1}^*→{0，1}^k的哈希函数，用于进行所述第二哈希计算；

其中，所述

是

的一个子群，所述所述k为所述密钥协商系统的安全参数。

所述随机选择第一用户端的临时密钥具体为：从所述中随机选择所述第一用户端的临时密钥esk₁；

所述对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值具体为：通过H₁对所述第一用户端的临时密钥esk₁和所述第一用户端的长期私钥sk₁进行第一哈希计算得到第一中间值x。

所述根据所述第一中间值和所述临时密钥生成第一密钥协商消息具体为：通过指数公式

获得第一密钥协商消息X，所述esk₁为所述第一用户端的临时密钥，所述x为所述第一中间值。

接收所述第二用户端返回第二密钥协商消息之前还包括：

所述第二用户端从所述

中随机选择所述第二用户端的临时密钥esk₂；

通过H₁对所述第二用户端的临时密钥esk₂和所述第二用户端的长期私钥sk₂进行第一哈希计算得到第二中间值y；

通过指数公式

获得第二密钥协商消息Y，所述esk₂为所述第二用户端的临时密钥，所述y为所述第二中间值。

所述第一用户端根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥具体为：

所述第一用户端通过H₂对

和sid进行第二哈希计算得到共享密钥K，所述

为所述第二用户端的长期公钥，所述Y为所述第二密钥协商消息，所述sk₁为所述第一用户端的长期私钥，所述esk₁为所述第一用户端的临时密钥，所述sid为所述密钥协商会话的会话标识。

还包括：所述第二用户端通过H₂对和sid进行第二哈希计算得到共享密钥K，所述

为所述第一用户端的长期公钥，所述X为所述第一密钥协商消息，所述sk₂为所述第二用户端的长期私钥，所述esk₂为所述第二用户端的临时密钥，所述sid为所述密钥协商会话的会话标识。

所述会话标识由第一用户端的身份标识、第二用户端的身份标识、第一密钥协商消息和第二密钥协商消息连接构成。

所述密钥协商方法基于Diffie-Hellman密钥交换协议。

一种密钥协商装置，其特征在于，应用于基于密钥交换协议的密钥协商系统中的第一用户端，包括：

获取对端公钥单元，用于从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；

第一哈希计算单元，用于随机选择第一用户端的临时密钥，并对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值；

消息生成单元，用于根据所述第一中间值和所述临时密钥生成第一密钥协商消息；

消息发送单元，用于将所述第一密钥协商消息发送至所述第二用户端；

消息接收单元，用于接收所述第二用户端返回的第二密钥协商消息；

第二哈希计算单元，用于根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

还包括：

预先保存单元，用于将所述第一用户端的长期公钥预先保存在所述证书中心中，所述证书中心用于对所述第一用户端的长期公钥和所述第一用户端的用户身份进行绑定。

由上述本发明实施例提供的技术方案可见，本发明实施例中第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥，随机选择第一用户端的临时密钥，并对第一用户端的临时密钥和第一用户端的长期私钥进行第一哈希计算获得第一中间值，根据所述第一中间值和临时密钥生成第一密钥协商消息，将第一密钥协商消息发送至第二用户端后，接收第二用户端返回的第二密钥协商消息，第一用户端根据第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和密钥协商会话的会话标识进行第二哈希计算得到共享密钥。在本发明密钥协商实施例中，由于会话双发只需要一次数据交换即可完成会话密钥协商的任务，因此提高了密钥协商的效率；并且，由于只要任何一方的长期密钥和临时密钥不同时泄露，相对于现有技术，特别当某一方或两方的(H₁(esk，sk)，

)和长期密钥同时泄露，即可保证协商的安全性，因此具有更强的安全性。

附图说明

图1为本发明密钥协商方法的第一实施例流程图；

图2为本发明密钥协商方法的第二实施例流程图；

图3为本发明密钥协商方法第二实施例中的交互信息示意图；

图4为本发明密钥协商装置的实施例框图。

具体实施方式

本发明实施例提供了一种密钥协商方法和装置，应用于基于密钥交换协议的密钥协商系统，其中，第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥，随机选择第一用户端的临时密钥，并对第一用户端的临时密钥和第一用户端的长期私钥进行第一哈希计算获得第一中间值，根据所述第一中间值和临时密钥生成第一密钥协商消息，将第一密钥协商消息发送至第二用户端后，接收第二用户端返回的第二密钥协商消息，第一用户端根据第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和密钥协商会话的会话标识进行第二哈希计算得到共享密钥，第二用户端进行与第一用户端对等的操作后也得到该共享密钥。应用本发明实施例进行密钥协商后，只要任何一个客户端的长期密钥和临时密钥不同时泄露，即可保证协商的安全性。

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

本发明密钥协商方法的第一实施例流程如图1所示：

步骤101：第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥。

步骤102：随机选择第一用户端的临时密钥，并对第一用户端的临时密钥和第一用户端的长期私钥进行第一哈希计算获得第一中间值。

步骤103：根据所述第一中间值和所述临时密钥生成第一密钥协商消息。

步骤104：将第一密钥协商消息发送至第二用户端后，接收第二用户端返回的第二密钥协商消息。

步骤105：第一用户端根据第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

下面通过一具体应用实例来介绍本发明的密钥协商过程。

假设密钥协商会话系统中为进行密钥协商的用户端预先设置了系统参数组，包括(Z_p，G，p，q，g，H₁，H₂)，其中，H₁和H₂为两个哈希函数，可以根据该系统所需要的安全级别进行自定义，即在保证安全的基础上可以进一步设置不同的复杂级别，除了H₁和H₂外其它的系统参数可以按照密钥协商协议领域中的标准进行设定，下面分别对上述7个系统参数进行说明。

在系统参数组(Z_p，G，p，q，g，H₁，H₂)中，p和q是大素数，且q|p-1，g是

中一个阶为q的元素(

中的*表示Z_p去掉0元)，并且生成乘法循环群G＝<g>(通常G需要满足离散对数问题以及CDH(ComputationalDiffie-Hellman)问题难解的条件)。H₁是满足

的哈希函数，H₂是满足{0，1}^*→{0，1}^k的哈希函数，其中，

即

是

的一个子群，k为系统的安全参数。系统中设置好上述参数组后，由系统中的用户共用的。

本发明实施例的密钥协商方法基于Diffie-Hellman密钥交换协议，每个参与密钥协商的用户端都有一个长期公钥

其中sk_i为该用户端在

中随机选取的长期私钥。本发明实施例要实现密钥协商，还需要基于已存在的可信的证书中心CA，该证书中心CA用于将参与密钥协商的用户端的身份及其所选的长期公钥

进行可公开验证的绑定，并给参与密钥协商的用户端颁发证书CERT。

另外，本发明实施例的密钥协商方法在每次计算最终协商的会话的共享密钥时都需要有一个标识号，记为sid(session identity)，sid由参与密钥协商的用户端的身份、以及密钥协商交互过程中生成的交互信息连接构成，可以用于区分不同的会话。

结合上面描述的应用实例中的具体参数，参见图2，为本发明密钥协商方法的第二实施例流程图，其中，假设在密钥协商会话系统中，有两个用户端A和B之间进行密钥协商：

步骤201：用户端A和用户端B开始进行密钥协商。

步骤202：用户端A和用户端B从安全证书中心获取对方的长期公钥。

其中，用户端A从安全证书中心获取用户端B的长期公钥

同样，用户端B从安全证书中心获取用户端A的长期公钥其中，

通常记为pk_A，

通常记为pk_B。

步骤203：用户端A作为密钥协商的发起方随机选择临时密钥，并对该临时密钥和用户端A的长期私钥进行第一次哈希计算得到中间值。

其中，用户端A随机选择临时密钥esk_A，并通过H₁计算中间值x＝H₁(esk_A，sk_A)，sk_A为用户端A的长期私钥。

步骤204：用户端A将根据中间值得到的密钥协商消息X发送到用户端B。

其中，用户端A根据中间值x生成密钥协商消息

并将该密钥协商消息X发送到用户端B。

步骤205：用户端B作为密钥协商的响应方接收密钥协商消息X。

步骤206：用户端B随机选择临时密钥，并对该临时密钥和用户B的长期私钥进行第一次哈希计算得到中间值。

其中，用户端B随机选择临时密钥esk_B，

并通过H₁计算中间值y＝H₁(esk_B，sk_B)，sk_B为用户端B的长期私钥。

步骤207：用户端B将根据中间值得到的密钥协商消息Y发送到用户端A。

其中，用户端B根据中间值y生成密钥协商消息并将该密钥协商消息Y发送到用户端B。

步骤208：用户端B根据密钥协商消息X生成共享会话密钥K。

用户端B通过如下公式生成共享会话密钥K：

其中，pk_A即为

sid＝(A，B，X，Y)，A和B为用户端A和用户端B的身份标识，即sid由用户端A的身份标识、用户端B的身份标识、密钥协商过程中生成密钥协商消息X和密钥协商消息Y连接构成。

步骤209：用户端A接收密钥协商消息X，并根据X生成共享会话密钥K。

用户端A通过如下公式生成共享会话密钥K：

其中，pk_B即为sid＝(A，B，X，Y)，与步骤208中一致。

步骤208和步骤209中生成的共享密钥为同一个密钥K，由于步骤208和步骤209中的H2和sid均一致，因此只需推导与

一致，即可知步骤208和步骤209中生成的共享密钥为同一个密钥K，推导过程如下：

${\left({\mathrm{pk}}_{B}Y\right)}^{{\mathrm{sk}}_A+{\mathrm{esk}}_A+x}={\left(g^{{\mathrm{sk}}_B}{g}^{{\mathrm{esk}}_B+y}\right)}^{{\mathrm{sk}}_A+{\mathrm{esk}}_A+x}={\left(g^{{\mathrm{sk}}_B+{\mathrm{esk}}_B+y}\right)}^{{\mathrm{sk}}_A+{\mathrm{esk}}_A+x},$ 同理

${\left({\mathrm{pk}}_{A}X\right)}^{{\mathrm{sk}}_B+{\mathrm{esk}}_B+y}={\left(g^{{\mathrm{sk}}_A}{g}^{{\mathrm{esk}}_A+x}\right)}^{{\mathrm{sk}}_B+{\mathrm{esk}}_B+y}={\left(g^{{\mathrm{sk}}_A+{\mathrm{esk}}_A+x}\right)}^{{\mathrm{sk}}_B+{\mathrm{esk}}_B+y},$

有上述推导可知，

与

一样，因此用户端A和用户端B生成的会话共享密钥也一致，由此保证后续两个用户端之间的会话能够安全进行，参见图3，为用户端A和用户端B之间进行密钥协商时的交互信息示意图。

结合上述本本发明密钥协商的第二实施例对本发明密钥协商的安全性分析如下：

1、中间人攻击安全性(Man in the middle attack security)：由于本发明实施例中采用了隐式认证的方式生成共享密钥，也就是说如果两个客户端完成密钥协商会话，则只有这两个客户端才能生成相同的共享密钥，因此本发明密钥协商方法实施例可以有效的抵御中间人攻击。

2、已知密钥安全性(Known key security)：本发明实施例中生成的共享密钥绑定了由客户端随机选择的临时密钥，保证了每个共享密钥都是唯一的，因此本发明密钥协商方法实施例具有已知会话密钥安全性。

3、前向安全性(Forward security)：本发明实施例中以用户端A生成的共享密钥为例，其中包含了因此即使知道了两个客户端的长期密钥，但是不知道临时密钥仍然无法计算得到共享密钥，也就是说，即使两个客户端的长期公钥和长期私钥都泄露，第三方也无发生成已经删除的共享密钥。

4、密钥泄露伪装安全性(Key compromise impersonation resistance)：本发明实施例中假设用户端A的长期密钥泄露给第三方，由于本发明实施例中生成的共享密钥中包含

因此敌手只能计算

而无法计算故第三方不能计算出共享密钥，也就是说其无法进行密钥泄露伪装攻击，对于客户端B，密钥泄露伪装攻击同样也是无效的。由此可知，如果第三方知道某个客户端的长期密钥，想要冒充其它客户端欺骗该泄露长期密钥的客户端是不可能的。

5、临时密钥泄露安全性(Ephemeral key compromise resistance)：本发明实施例中即使第三方知道两个客户端的临时密钥，会话密钥仍是安全的，所述临时密钥是广义的临时密钥，包含esk和H₁(esk，sk)，这是因为本发明实施例中生成的共享密钥包含

(或包含)，因此第三方只能计算

而无法计算

也就是第三方不能计算出最终的共享密钥，无法进行临时密钥泄露攻击。

6、密钥确认安全性(Key confirmation security)：本发明实施例中生成的共享密钥中绑定了两个客户端的临时密钥，因此无论哪一方都无法预先确定共享密钥。

与本发明密钥协商方法的实施例相对应，本发明还提供了密钥协商装置的实施例。密钥协商装置的实施例的相关内容可以参考前述的方法实施例。

本发明密钥协商装置的实施例框图如图4所示，该装置应用于基于密钥交换协议的密钥协商系统中的第一用户端(第一用户端可以是密钥协商系统中的任何一个参与方)，包括：获取对端公钥单元410、第一哈希计算单元420、消息生成单元430、消息发送单元440、消息接收单元450和第二哈希计算单元460。

其中，获取对端公钥单元410，用于从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；

第一哈希计算单元420，用于随机选择第一用户端的临时密钥，并对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值；

消息生成单元430，用于根据所述第一中间值和所述临时密钥生成第一密钥协商消息；

消息发送单元440，用于将所述第一密钥协商消息发送至所述第二用户端；

消息接收单元450，用于接收所述第二用户端返回的第二密钥协商消息；

第二哈希计算单元460，用于根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

进一步，该装置还可以包括(图4中未示出)：预先保存单元，用于将所述第一用户端的长期公钥预先保存在所述证书中心中，所述证书中心用于对所述第一用户端的长期公钥和所述第一用户端的用户身份进行绑定。

通过以上的实施方式的描述可知，本发明实施例中第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥，随机选择第一用户端的临时密钥，并对第一用户端的临时密钥和第一用户端的长期私钥进行第一哈希计算获得第一中间值，根据所述第一中间值和临时密钥生成第一密钥协商消息，将第一密钥协商消息发送至第二用户端后，接收第二用户端返回的第二密钥协商消息，第一用户端根据第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和密钥协商会话的会话标识进行第二哈希计算得到共享密钥。在本发明密钥协商实施例中，由于会话双发只需要一次数据交换即可完成会话密钥协商的任务，因此提高了密钥协商的效率；并且，由于只要任何一方的长期密钥和临时密钥不同时泄露，相对于现有技术，特别当某一方或两方的(H₁(esk，sk)，

)和长期密钥同时泄露，即可保证协商的安全性，因此具有更强的安全性。

本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种密钥协商方法，其特征在于，应用于基于密钥交换协议的密钥协商系统，包括：

第一用户端从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；

随机选择第一用户端的临时密钥，并对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值；

根据所述第一中间值和所述临时密钥生成第一密钥协商消息；

将所述第一密钥协商消息发送至所述第二用户端后，接收所述第二用户端返回的第二密钥协商消息；

第一用户端根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

2.根据权利要求1所述的方法，其特征在于，还包括：所述第一用户端的长期公钥和所述第二用户端的长期公钥预先保存在所述证书中心；

所述证书中心对所述第一用户端的长期公钥和所述第一用户端的用户身份进行绑定，以及对所述第二用户端的长期公钥和所述第二用户端的用户身份进行绑定。

3.根据权利要求1所述的方法，其特征在于，还包括：所述密钥协商系统预先定义一组系统参数Z_p、G、p、q、g、H₁、H₂，

所述p和q是大素数，且q|p-1；

所述g是

中一个阶为q的元素；

所述G为乘法循环群，且所述G＝<g>

所述H₁是满足的哈希函数，用于进行所述第一哈希计算；

所述H₂是满足{0，1}^*→{0，1}^k的哈希函数，用于进行所述第二哈希计算；

其中，所述

是的一个子群，所述

所述k为所述密钥协商系统的安全参数。

4.根据权利要求3所述的方法，其特征在于，所述随机选择第一用户端的临时密钥具体为：从所述中随机选择所述第一用户端的临时密钥esk₁；

所述对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值具体为：通过H₁对所述第一用户端的临时密钥esk₁和所述第一用户端的长期私钥sk₁进行第一哈希计算得到第一中间值x。

5.根据权利要求4所述的方法，其特征在于，所述根据所述第一中间值和所述临时密钥生成第一密钥协商消息具体为：通过指数公式

获得第一密钥协商消息X，所述esk₁为所述第一用户端的临时密钥，所述x为所述第一中间值。

6.根据权利要求5所述的方法，其特征在于，接收所述第二用户端返回第二密钥协商消息之前还包括：

所述第二用户端从所述

中随机选择所述第二用户端的临时密钥esk₂；

通过H₁对所述第二用户端的临时密钥esk₂和所述第二用户端的长期私钥sk₂进行第一哈希计算得到第二中间值y；

通过指数公式

获得第二密钥协商消息Y，所述esk₂为所述第二用户端的临时密钥，所述y为所述第二中间值。

7.根据权利要求6所述的方法，其特征在于，所述第一用户端根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥具体为：

所述第一用户端通过H₂对

和sid进行第二哈希计算得到共享密钥K，所述

为所述第二用户端的长期公钥，所述Y为所述第二密钥协商消息，所述sk₁为所述第一用户端的长期私钥，所述esk₁为所述第一用户端的临时密钥，所述sid为所述密钥协商会话的会话标识。

8.根据权利要求6所述的方法，其特征在于，还包括：所述第二用户端通过H₂对

和sid进行第二哈希计算得到共享密钥K，所述为所述第一用户端的长期公钥，所述X为所述第一密钥协商消息，所述sk₂为所述第二用户端的长期私钥，所述esk₂为所述第二用户端的临时密钥，所述sid为所述密钥协商会话的会话标识。

9.根据权利要求7或8所述的方法，其特征在于，所述会话标识由第一用户端的身份标识、第二用户端的身份标识、第一密钥协商消息和第二密钥协商消息连接构成。

10.根据权利要求1所述的方法，其特征在于，所述密钥协商方法基于Diffie-Hellman密钥交换协议。

11.一种密钥协商装置，其特征在于，应用于基于密钥交换协议的密钥协商系统中的第一用户端，包括：

获取对端公钥单元，用于从证书中心获取与该第一用户端进行密钥协商会话的第二用户端的长期公钥；

第一哈希计算单元，用于随机选择第一用户端的临时密钥，并对所述第一用户端的临时密钥和所述第一用户端的长期私钥进行第一哈希计算获得第一中间值；

消息生成单元，用于根据所述第一中间值和所述临时密钥生成第一密钥协商消息；

消息发送单元，用于将所述第一密钥协商消息发送至所述第二用户端；

消息接收单元，用于接收所述第二用户端返回的第二密钥协商消息；

第二哈希计算单元，用于根据所述第二密钥协商消息、第二用户端的长期公钥、第一用户端的临时密钥、第一用户端的长期私钥和所述密钥协商会话的会话标识进行第二哈希计算得到共享密钥。

12.根据权利要求11所述的装置，其特征在于，还包括：

预先保存单元，用于将所述第一用户端的长期公钥预先保存在所述证书中心中，所述证书中心用于对所述第一用户端的长期公钥和所述第一用户端的用户身份进行绑定。

Images