CN101873588B - 一种业务应用安全实现方法及系统 - Google Patents

Abstract

一种业务应用安全实现方法及系统，该系统包括可相互通信的第一设备和第二设备，及业务安全平台，该方法包括：密钥灌装过程：生成配合使用的第一密钥和第二密钥，所述第一密钥预置在第一设备中或由业务安全平台下发给第一设备，所述第二密钥由该业务安全平台保存并下发给第二设备；密钥使用过程：该第一设备和第二设备相互通信时，基于所述第一密钥和第二密钥实现对交互数据的加密和解密。本发明还涉及终端设备与业务应用系统之间的加密传输。本发明可以提高业务数据传输的安全性。

Description

一种业务应用安全实现方法及系统

技术领域

本发明涉及业务应用安全实现方法及系统。

背景技术

目前，设备之间通过近距离通信模块或远距离通信模块进行通信的应用越来越多，其中最典型的应用是物联网。

所谓“物联网”(Internet of Things)，指的是将各种信息传感设备，如射频识别(RFID)装置、红外感应器、全球定位系统、激光扫描器等种种装置与互联网结合起来而形成的一个巨大网络。其目的，是让所有的物品都与网络连接在一起，方便识别和管理。物联网是利用无所不在的网络技术建立起来的，可以划分为三个层次：感知层、网络层和应用层。

图1所示是物联网的一种示例性的应用场景，感知层包括传感器、摄像头等数据采集设备，采集到的外部物理世界的数据通过RFID、蓝牙、红外、Zigbee、现场总线等近距离通信技术传递到网关设备；网关设备收到后，可以进行解析和处理并通过近距离通信技术向数据采集设备发送控制指令，实现物物控制，也可以通过远距离通信技术将采集到的数据或处理后的数据经网络发送到用户终端设备和/或业务应用系统；用户终端设备和业务应用系统可以通过网关设备向数据采集设备下发命令和参数。在其他应用中，数据采集设备也可安装远距离通信模块，直接与业务应用系统通信；网关设备之间，数据采集设备之间均可以进行直接通信。

图中的网络层可以是移动通信网、国际互联网、企业内部网、各类专网、小型局域网等网络或其组合。网络层解决的是将感知层所获得的数据通过有线网络(如短距离的现场总线和中长距离的可支持IP的网络(包括PSTN，ADSL和HFC数字电视Cable等)和无线网络(如短距离的RFID、蓝牙、ZIGBEE、WIFI、WIMAX等和中长距离的GSM、TDSCDMA\WCMDA、卫星通信等)传给应用层进行信息处理。

业务应用系统解决的是信息处理和人机界面的问题，包括各种类型的服务平台，涵盖了国民经济和社会的每一领域，包括电力、医疗、银行、交通、环保、物流、工业、农业、城市管理、家居生活等，包括支付、监控、安保、定位、盘点、预测等，可用于政府、企业、社会组织、家庭、个人等。

随着物联网业务应用于国内的各行各业，特别是工业、信息业、警务军队以及日常生活等领域，物体安全控制、行业数据保密极为关键，业务使用的安全性问题逐步凸显。

由于缺乏统一的物联网业务安全标准与规范，在业务数据传输安全保护上和设备之间的相互认证上，业务与技术实现方法差异大；在物联网业务应用中对密钥存储、加解密算法适配与存储、密钥的分发与管理、安全机制的执行等均为各个企业自己定义，导致了巨大的安全风险与不一致性，难以适应未来物联网的广泛推广应用和互联互通。

目前，设备之间在进行近距离传输时，有网络层协议(如蓝牙、ZIGBEE、WIFI等)提供的加密认证机制，使用的认证密钥是由用户输入的，如用户未输入则采用默认的密钥。由于用户经常不输入密钥或者输入的密钥强度和算法不够安全，蓝牙、WIFI传输的加密数据出现了大量的被非法破解情况，其他通信技术的密钥和使用配对安全也有待加强。

而进行远距离通信的设备与业务应用系统之间使用的是批次密钥，大量设备使用相同密钥，一旦被破解，存在大批量风险的问题，这也降低了安全性。

另外，已有设备使用的密钥通常保存在FLASH区存储，易被读出，导致业务安全性难以得到有效保证。

在物联网之外的其他领域，同样存在上述业务数据传输安全保护和设备之间的相互认证的问题。

发明内容

本发明要解决的技术问题是提供一种业务应用安全实现方法及系统，可以提高业务数据传输的安全性。

为了解决上述问题，本发明提供了一种业务应用安全实现方法，用于包括可相互通信的第一设备和第二设备，及业务安全平台的系统，该方法包括：

密钥灌装过程：生成配合使用的第一密钥和第二密钥，所述第一密钥预置在第一设备中或由业务安全平台下发给第一设备，所述第二密钥由该业务安全平台保存并下发给第二设备；

密钥使用过程：该第一设备和第二设备相互通信时，基于所述第一密钥和第二密钥实现对交互数据的加密和解密。

进一步地，所述密钥灌装过程具体包括：

由可信任的机构生成配合使用的所述第一密钥和第二密钥；

将所述第一密钥预置在该第一设备的安全模块内，所述第二密钥和第一设备的安全模块标识保存在业务安全平台并相互关联；

该业务安全平台收到对该第一设备和第二设备的关联请求，该关联请求中包含该第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥。

进一步地，所述密钥灌装过程具体包括：

由可信任的机构生成配合使用的所述第一密钥和第二密钥；

将所述第一密钥和第二密钥保存在该业务安全平台并与该第一设备的安全模块标识相关联；

该业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥。

进一步地，所述密钥灌装过程具体包括：

该第一设备生成配合使用的所述第一密钥和第二密钥；

该第一设备保存所述第一密钥，将所述第二密钥和预置的本设备的安全模块标识加密后上传到该业务安全平台，该业务安全平台解密后保存所述第二密钥和第一设备的安全模块标识并将两者关联起来；

该业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含该第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥。

进一步地，该第一设备的安全模块为一安全芯片或智能卡，该第二设备的安全模块为一安全芯片或智能卡。

进一步地，

所述第一密钥预置在第一设备的安全芯片中，所有发行的安全芯片中预置的第一密钥均不相同。

进一步地，该业务安全平台收到该关联请求后，先按以下方式判断该关联请求是否合法，如果合法再根据该关联请求进行密钥下发：

业务安全平台判断该关联请求是否是将其他设备与该第一设备关联的首次关联请求：

如是对该第一设备的首次关联请求，且在数据库中查找到该关联请求中第一设备的安全模块标识，则判定该关联请求合法，否则不合法；

如非对该第一设备的首次关联请求，则该业务安全平台判定该关联请求不合法；或者，该业务安全平台在数据库中查找到该关联请求中的安全模块标识且满足以下条件之一时，判定该关联请求合法，否则判定该关联请求不合法：条件一，提出该关联请求的用户具有足够的权限；条件二，用户在预设的允许匹配次数内输入了正确的身份验证信息。

进一步地，

该第二设备保存有该业务安全平台的数据传输公钥，业务安全平台用对应的数据传输私钥对所述第二密钥做数字签名再下发给该第二设备，该第二设备用该数据传输公钥解密后将所述第二密钥保存到安全模块；和/或

该业务安全平台保存有该第二设备用于数据传输的公钥或对称密钥，该业务安全平台用该公钥或对称密钥对所述第二密钥加密后下发给该第二设备，该第二设备用自己用于数据传输的私钥或对称密钥解密后将所述第二密钥保存到安全模块。

进一步地，

灌装到该第一设备和第二设备的第一密钥和第二密钥是作为业务数据加解密密钥，第一设备和第二设备之间基于该第一密钥和第二密钥对业务数据进行加解密，实现该两个设备间应用层业务数据的密文传输；或者

灌装到该第一设备和第二设备的第一密钥和第二密钥是作为第一设备和第二设备在网络层的认证密钥，第一设备和第二设备之间基于该第一密钥和第二密钥来实现该两个设备间在网络层的相互认证；或者

为该第一设备和第二设备灌装了至少二组第一密钥和第二密钥，其中一组第一密钥和第二密钥是作为第一设备和第二设备在网络层的认证密钥，另一组第一密钥和第二密钥是作为应用层的业务数据加解密密钥。

进一步地，

该业务安全平台向该第一设备和/或第二设备下发密钥时，根据该第二设备和/或第一设备的同时作为通信标识的安全模块标识进行下发；或者，根据第一设备和/或第二设备的安全模块标识关联的通信标识进行下发，该业务安全平台在该第一设备和/或第二设备的注册过程中根据输入信息建立起该第一设备和/或第二设备的安全模块标识和通信标识的关联关系。

相应地，本发明提供了一种业务应用安全实现系统，至少包括通过相互通信实现业务应用的第一设备和第二设备，以及业务安全平台，其中：

所述业务安全平台包括：

密钥管理子系统，用于保存和维护包含第一设备在内的各设备的安全模块标识及其关联的第二密钥；

业务订购管理子系统，用于进行业务订购的管理，收到将第二设备与第一设备关联的带有第一设备和第二设备的安全模块标识的关联请求后，通知业务使用认证与管理子系统对该关联请求进行验证；

业务使用认证管理子系统，用于对该关联请求进行验证，如验证通过，通过通信子系统向该第二设备下发与该第一设备的安全模块标识关联的第二密钥；

通信子系统，用于实现业务安全平台与其他系统和设备间的数据收发；

所述第二设备用于在收到下发的第二密钥后，将所述第二密钥保存在安全模块中。

进一步地，

所述第一设备的安全模块中预置了所述第一密钥；或者

所述第一设备中预置了密钥生成算法，所述第一设备使用该密钥生成算法生成所述第一密钥和第二密钥，将所述第一密钥保存在安全模块中，将所述第二密钥和预置的本设备的安全模块标识上传到所述业务安全平台。

进一步地，

所述密钥管理子系统还用于保存和维护与设备的安全模块标识关联的第一密钥；

所述业务使用认证管理子系统还用于在对该关联请求的验证通过后，通过通信子系统向第一设备下发第一设备的安全模块标识关联的第一密钥；

所述第一设备用于在收到下发的第一密钥后，将所述第一密钥保存在安全模块中。

进一步地，

该业务安全平台的业务使用认证管理子系统收到该关联请求后，判断该关联请求是否是将其他设备与该第一设备关联的首次关联请求：

如是对该第一设备的首次关联请求，且在数据库中查找到该关联请求中第一设备的安全模块标识，则判定该关联请求合法，否则不合法；

如非对该第一设备的首次关联请求，则该业务安全平台判定该关联请求不合法；或者，该业务安全平台在数据库中查找到该关联请求中的安全模块标识且满足以下条件之一时，判定该关联请求合法，否则判定该关联请求不合法：条件一，提出该关联请求的用户具有足够的权限；条件二，用户在预设的允许匹配次数内输入了正确的身份验证信息。

进一步地，所述业务安全平台还包括：

应用管理子系统，用于保存和维护业务应用的数据；

业务应用下载管理子系统，用于从应用管理子系统找到第二设备需下载的业务应用，通过通信子系统将该业务应用的数据下载到第二设备；

所述业务使用认证与管理子系统还可用于在关联请求的验证通过后，通知业务应用下载管理子系统向第二设备下载相应的业务应用。

进一步地，

所述第一设备的安全模块为一安全芯片或智能卡，所述第二设备的安全模块为一安全芯片或智能卡。

为了解决上述技术问题，本发明还提供了一种业务应用安全实现方法，用于包括终端设备、业务安全平台和业务应用系统的系统，该方法包括：

生成配合使用的第一密钥和第二密钥，将该第一密钥灌装到所述终端设备中，将该第二密钥及所述终端设备的安全模块标识保存在所述业务安全平台并相互关联，所述业务安全平台将所述终端设备的安全模块标识及关联的第二密钥同步到所述业务应用系统；

所述终端设备用所述第一密钥将业务数据加密后发送到所述业务应用系统；

所述业务应用系统收到加密的业务数据后，使用同步得到的所述第二密钥将所述加密的业务数据解密，然后进行解析和处理。

进一步地，

所述业务应用系统包括传输协议解析服务器和业务应用服务平台，所述业务安全平台是将所述终端设备的安全模块标识及关联的第二密钥同步到所述传输协议解析服务器中；

所述终端设备发送到该业务应用系统的加密的业务数据被路由到所述传输协议解析服务器，所述传输协议解析服务器对加密的业务数据进行解密后再交给所述业务应用服务平台进行解析和处理。

相应的业务应用安全实现系统包括终端设备、业务安全平台和业务应用系统，所述业务安全平台包括密钥同步模块，所述业务应用系统包括业务应用服务平台和传输协议解析服务器，所述传输协议解析服务器进一步包括密钥同步和存储模块和传输协议解析模块，其中：

业务安全平台的密钥同步模块用于与传输协议解析服务器的密钥同步和存储模块配合，将终端设备的安全模块标识及第二密钥同步到业务应用系统；

传输协议解析服务器的密钥同步和存储模块用于与业务安全平台的密钥同步模块配合，将终端设备的安全模块标识及其第二密钥同步到业务应用系统并保存；

传输协议解析服务器的传输协议解析模块用于在收到终端设备加密的业务数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，对加密的业务数据进行解密后发送到业务应用服务平台；

业务应用服务平台用于接收解密后的业务数据并进行业务处理；

终端设备用于对要发送到业务应用系统的数据，先采用第一密钥进行加密后再发送，发送到业务应用系统的加密的业务数据首先被路由到传输协议解析服务器。

进一步地，

所述业务应用服务平台还可用于将要发送给终端设备的控制数据先发送到传输协议解析服务器；

所述传输协议解析服务器的传输协议解析模块还用于在收到业务应用平台发送给终端设备的控制数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，使用第二密钥对该控制指令加密后发送给该终端设备；

所述终端设备还用于在收到业务应用系统发来的加密数据后，用第一密钥进行解密后再进行解析和处理。

本发明的实施例能实现相互通信的设备之间，设备与业务应用系统之间基于业务安全平台的相互认证和业务数据的加密传输。可按不同需求灵活适配、具有很高的安全性，适合于应用于物联网或其他类似领域。

本发明的实施例的业务安全实现方法和系统可以采用基于芯片级的硬加密并兼容软加密，更具有安全性，且安全等级根据业务需求灵活可配置，并能灵活实现通信模块与卡的实时绑定，支持一对一和一对多绑定，解决了物联网模块无法预知配合使用卡信息的难题。

本发明实施例的业务安全实现方法和系统可根据不同业务安全需要，灵活适配使用不同的安全加解密算法和密钥，可实现不同安全算法和身份认证的统一管理。

附图说明

图1为已有的物联网的架构图；

图2为本发明具有业务安全平台的物联网的架构图；

图3为本发明第一实施例密钥的生成、保存和下发方法的示意图；

图4为本发明第一实施例方法的流程图；

图5为图2中业务安全平台的模块图；

图6为本发明第二实施例密钥的生成、保存和下发方法的示意图；

图7为本发明第二实施例方法的流程图；

图8为本发明第三实施例密钥的生成、保存和下发方法的示意图；

图9为本发明第四实施例的流程图；

图10为本发明第四实施例的系统示意图。

具体实施方式

下面以物联网为例，结合附图对本发明的具体实施例进行详细说明。

需要说明的是，如果不冲突，本发明实施例以及实施例中的各个特征可以相互结合，均在本发明的保护范围之内。另外，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在不改变方案实质的情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

另外，本发明不仅适用于物联网，而是可以应用于任何涉及设备之间，设备与服务平台之间业务安全的系统。

第一实施例

本实施例提供的物联网业务安全系统如图2所示，在原有的物联网架构中建设了一个业务安全平台，该业务安全平台可以通过网络与业务应用系统、物联网的无线通信设备和用户终端设备通信。还可以与OTA(空中下载)平台、BOSS(业务运营支撑系统)及其他业务安全平台通信。

为了提高设备之间数据传输的安全性，本实施例通过业务安全平台实现密钥的安全保存和下发，由于配合使用的设备之间的关系存在极大的不确定性和不可预知性，比如在一个宠物项圈中内置一个具有定位功能的被控设备，密钥可预置在该设备中。用户购买该宠物项圈后，才能确定使用如移动终端作为主控设备。这就需要该用户从某个平台去下载相应的密钥。这涉及到密钥生成、密钥保存、密钥下发和密钥使用等处理。

目前的密钥灌装平台是在营业厅通过有线方式进行应用交易密钥的灌装，灌装的密钥是针对某一类型应用的业务数据加解密密钥，并且是使用统一的根密钥分散出来的，同类型卡都能使用该应用，如所有手机钱包支付卡都能使用手机钱包，不能实现单一卡与单一读卡器的绑定。物联网的很多设备是无法拿到营业厅去灌装的，而物联网采集和传输的很多信息具有很高和私密性，如果不能实现对配合使用的物联网设备之间的绑定，这些信息就有泄露的危险。另一方面，已有的密钥灌装方式使用的业务数据加解密密钥是用根密钥分散出来的，一旦根密钥泄漏，则所有使用该根密钥分散出来的业务数据加解密密钥的设备之间的通信都不安全。

本实施例通过为相互通信的两个设备配置匹配的密钥来实现设备之间通信安全，该通信可以是无线通信也可以是有线通信，可以是近距离通信也可以是远距离通信。对于本发明，该两个设备也可以不是物联网设备。相应的密钥生成、保存和下发过程(也称为密钥灌装过程)的示意图如图3所示。

相应的流程图如图4所示，包括：

步骤110，由可信任的机构生成配合使用的第一密钥和第二密钥；

可信任的机构如可以是无线或有线网络的运营商或其信任的机构，如安全芯片提供商，该可信任的机构采用密钥生成算法生成的密钥可以具有足够的强度。

如果生成的是对称密钥，第一密钥和第二密钥相同。如果是非对称密钥，则第一密钥为第一设备的私钥，第二密钥为第一设备的公钥；或者第一密钥为第一设备的公钥，第二密钥为第一设备的私钥。如果业务安全平台下发到第二设备的是第一设备的公钥，通过对下发对象合法性的验证，也可以保证第一设备只能够与合法的第二设备之间进行通信。其他实施例同此。

步骤120，将第一密钥预置在第一设备的安全模块内，将第二密钥和第一设备的安全模块标识保存在业务安全平台并相互关联；

第一设备的安全模块标识可以与第一密钥和第二密钥同时生成，也可以是上述可信任的机构从外部获取的如设备厂商提供的。该安全模块标识可以是一序列号，也可以是一序列号和一密码，或者任何具有标识作用的信息。

为第一设备灌装的第一密钥可以有一个或多个，相应地，也可以为第二设备灌装相同数量的第二密钥，多个密钥可同时灌装。在第一设备和第二设备分别灌装了多个第一密钥和第二密钥时，两个设备可以使用约定的密钥选取规则进行密钥选取。其他实施例同此。

本实施例中，在业务安全平台中，每个第二密钥只允许关联到一个第一设备，保证为第一设备及其关联设备灌装的密钥与为其他设备灌装的密钥不同，具有唯一性。第一设备的关联设备可以有多个。但在其他的实施例中，同时出售和配套使用的多个第一设备(如用于对同一对象进行检测的温度传感设备和湿度传感设备)，也可以使用同一个第一密钥并在业务安全平台中关联到相同的第二密钥。

步骤130，业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含第一设备和第二设备的安全模块标识；

因为该请求触发业务安全平台向第二设备下发第一设备的第二密钥，将第二设备与第一设备关联起来，因此称之为关联请求。也可以称为其他名称，但应视为等同的变化。

关联请求可以是用户通过终端设备发起的。用户可以通过终端设备的卡片菜单或终端应用菜单输入第一设备和第二设备的安全模块标识。该终端设备也可以是电脑，通过WEB网站的界面发起该关联请求。本发明不局限于任何一种特定的方式。

该安全模块用于保存灌装的密钥，可以是一个安全芯片，也可以是智能卡等等，安全芯片可以与设备的通信模块集成在一起也可以不集成。相应地，该安全模块标识可为安全芯片的序列号，也可以是智能卡的标识等等。如果终端设备和业务安全平台通信时会携带第二设备的安全模块标识(如智能卡号)，用户也可以不输入第二设备的安全模块标识。需要说明的是，第一设备可能有多个安全模块，如蓝牙、Zigbee、红外等通信模块各集成有一个安全芯片，相应地具有多个安全模块标识。此时根据需要，可以输入其中的一个或多个安全模块的标识，实现两个设备上对应的一个或多个安全模块之间的绑定。

关联请求可以是平台管理人员通过业务安全平台的管理界面发起的。

关联请求也可以是第二设备判断需要建立与第一设备的关联关系时发起的，例如，用户可以在第二设备输入要关联的第一设备的安全模块标识，第二设备判断还没有保存该安全模块标识对应的密钥时，主动向业务安全平台发送上述关联请求。

步骤140，业务安全平台对该关联请求进行合法性验证，如验证通过，执行下一步，否则，拒绝该关联请求；

业务安全平台收到该关联请求后，可以判断该关联请求是否是将其他设备与第一设备关联的首次关联请求：

如是对第一设备的首次关联请求且在数据库中查找到该关联请求中第一设备的安全模块标识，则判定该关联请求合法；

如非对该第一设备的首次关联请求，业务安全平台可拒绝该请求，或者，该业务安全平台在数据库中查找到该关联请求中的安全模块标识且满足以下条件之一时，判定该关联请求合法，否则判定该关联请求不合法：条件一，提出该关联请求的用户具有足够的权限(如是管理人员收到用户请求并验证其身份后提出的)；条件二，用户在预设的允许匹配次数内输入了正确的身份验证信息。所述身份验证信息如可以是身份证号和密码，可以是用户购买第一设备时提供并导入业务安全平台的或者在发首次关联请求时提供并保存在业务安全平台的。其他实施例同此。

为了提高安全性，每个安全模块标识可以带有一个密码，业务安全平台收到关联请求后还要验证第一设备的安全模块标识附带的密码是否正确，如不正确，也判定该关联请求不合法。

步骤150，业务安全平台查找到与该安全模块标识对应的第二密钥并下发到第二设备，第二设备将第二密钥保存在安全模块内；

如第二设备保存有业务安全平台的数据传输公钥，业务安全平台可以用对应的数据传输私钥做数字签名，再下发给第二设备，第二设备用该数据传输公钥解密后保存。和/或，如果业务安全平台保存有第二设备用于数据传输的公钥或对称密钥，则业务安全平台可以用该公钥或对称密钥对所述第二密钥加密再下发给第二设备，第二设备用自己用于数据传输的私钥或对称密钥解密后保存。下发可以采用数据短信、GPRS BIP等通道按一定的数据格式加密后下发，也可以采用其他方式。

第二设备的安全模块标识与第二设备的通信标识可能相同(如为智能卡卡号)，业务安全平台可以直接根据该安全模块标识下发第二密钥。如果不同，业务安全平台根据第二设备的安全模块标识(如安全芯片的序列号)所关联的第二设备的通信标识来下发第二密钥，业务安全平台可以在第二设备的注册过程中根据输入信息建立起该安全模块标识和通信标识之间的关联关系。其他实施例中，也可采用该方法确定第一设备的通信标识。

步骤160，第一设备和第二设备之间基于该第一密钥和第二密钥对应用层的业务数据进行加解密，实现设备间业务数据的密文传输。

设备间应用层业务数据的密文传输可以是双向的，也可以是单向的。

第一密钥和第二密钥可以作为初始密钥，之后使用密钥更新算法进行更新。另外，第一密钥和第二密钥可以是真随机序列方式的密钥，也可以是采用分散算法方式的根密钥，此时，将采用该根密钥和分散算法计算出来的密钥进行加解密。

第二设备可能保存有多个不同设备的第二密钥。此时，第二设备需要建立第一设备的识别标识与第二密钥的关联关系，以便根据与第一设备通信时可以获取的该识别标识找到对应的第二密钥。该识别标识可以是第一设备的安全模块标识但不局限于此。该识别标识可以由用户直接输入到第二设备(如在发送关联请求时)由第二设备建立该识别标识与该第二密钥的关联关系，或者该识别标识携带在发送给业务安全平台的关联请求中，由业务安全平台将该识别标识与第二密钥一起下发给第二设备，第二设备收到后建立上述关联关系。

从上述流程可以看出，使用上述流程进行业务密钥的生成、保存和分发，可以保证业务密钥的强度和在保存、分发过程中的安全，而由于对业务数据的加密传输，只有保存了相应密钥的设备才能解密，这样第一设备和第二设备通过各自的安全模块建立起了绑定关系(可以是不同设备的智能卡之间，安全芯片之间或安全芯片与智能卡之间的绑定关系)，其他设备即使破解了网络层的加密算法如蓝牙的SAFER+算法，WIFI的WEP算法，ZIGBEE的AES算法，也无法获取明文的业务数据，大大增强了业务安全性。

在物联网的应用中，上述设备可以是数据采集设备、网关设备和用户终端设备等。第一设备和第二设备可以是相同的设备，也可以是不同的设备。在物物控制的场景下，业务应用在第一设备和第二设备之间进行，上述方式即可保证第一设备和第二设备的通信安全。在其他应用中，上述两个设备可以是任意的需保证相互间通信安全的设备。

该系统中的业务安全平台的结构如图5所示，包括：

密钥管理子系统，用于保存和维护包含第一设备在内的各设备的安全模块标识及其关联的第二密钥。

业务订购管理子系统，用于进行业务订购的管理，收到将第二设备与第一设备关联的带有第一设备和第二设备的安全模块标识的关联请求后，通知业务使用认证与管理子系统对该关联请求进行验证。

业务使用认证管理子系统，用于对该关联请求进行验证，如验证通过，向第二设备下发该第一设备的安全模块标识关联的第二密钥，认证的具体方法参见流程。

通信子系统，用于实现业务安全平台与其他系统和设备之间的数据的接收和发送。

可选地，本实施例的业务安全平台还包括：

应用管理子系统，用于保存和维护业务应用的数据。

业务应用下载管理子系统，用于从应用管理子系统找到第二设备需下载的业务应用，通过通信子系统将该业务应用的数据下载到第二设备。该业务应用可以是用户选择的，也可以是在密钥管理子系统或应用管理子系统中预先与第一设备的安全模块标识绑定在一起的业务应用。

业务使用认证与管理子系统还可用于在关联请求的验证通过后，通知业务应用下载管理子系统向第二设备下载相应的业务应用，下载时也可以和下发密钥一样对业务应用进行加密。

业务应用的获取方式很多，不限于从业务安全平台下载，如还可以预置在第二设备中，或者在出售第一设备时提供第二设备所需的业务应用如保存在光盘中，用户将其安装到第二设备中。这里不再一一枚举。

本实施例和第二、第三实施例中，在第一设备和第二设备封装的安全芯片中保存上述密钥，可以很容易地实现一安全芯片一密钥，即所有发行的安全芯片中预置的第一密钥均不相同。该安全芯片可以与设备中的通信芯片采用不可分割地方式封装在一起，这样很难在两者插入第三方监控设备，即使被破解也只能破解一个。但本发明并不局限于此，密钥也可以保存在设备使用的智能卡或其他芯片中。

在采用安全芯片时，上述密钥生成和保存过程在业务上的流程可通过以下的步骤来实施：

由制造安全芯片的卡商生成配套使用的安全模块标识、第一密钥和第二密钥，将第一密钥预置在一安全芯片中，安全模块标识如可以从安全芯片中使用接口函数读出，打印在标签上并将该标签粘贴在安全芯片上，也可采用覆膜密码标签等其他各种方式提供给用户；

卡商将安全芯片及其安全模块标识提供给设备厂商，设备厂商将带有安全模块标识的安全芯片封装到第一设备中；

卡商将包含安全模块标识和对应的第二密钥的数据提供给运营商，由运营商导入业务安全平台。

上述过程中只有两方可以获知具体的密钥信息，对设备厂商是保密的，使得密钥的保存和分发过程的保密性大大增强。通过对不同的安全芯片预置不同的第一密钥，可以很容易地实现一安全芯片一密，避免了批次密钥带来的安全隐患。但本发明还可以有很多其他的实施方式，如该安全模块标识、第一密钥和第二密钥也可由运营商或其信任的其他机构生成，运营商在业务安全平台保存安全模块标识和第二密钥，将安全模块标识和第一密钥提供给安全芯片的卡商或者自己进行密钥灌装后提供给设备厂造商。此处的变化可以有很多种，不再一一枚举。

在安全芯片内部还可以灌装各种算法程序(如DES、AES等传统对称密码算法，RSA、ECC等公钥密码算法)，以及安全模块标识。

第二实施例

本实施例的物联网业务安全系统与第一实施例相同，也具有一个业务安全平台。本实施例的密钥生成、保存和下发过程与第一实施例有所不同，其示意图如图6所示。相应的流程如图7所示，包括：

步骤210，由可信任的机构生成第一密钥和第二密钥，同步骤110；

步骤220，将第一密钥和第二密钥保存在业务安全平台并建立与第一设备的安全模块标识的关联关系；

该安全模块标识较佳由生成第一密钥和第二密钥的机构生成或获取，然后提供给管理业务安全平台的运营商。

步骤230，业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含第一设备和第二设备的安全模块标识；

要关联的第一设备和第二设备的安全模块标识和对应的第一密钥和第二密钥可有可能保存在业务安全平台中，用户也可能同时输入两个设备的安全模块标识，此时的第一设备可以由用户或业务安全平台来指定，业务安全平台将下发该第一设备的第一密钥和第二密钥。

步骤240，业务安全平台对关联请求进行合法性验证，如验证通过，执行下一步，否则拒绝该关联请求；

对关联请求合法性的验证基本同第一实施例，只是此时该关联请求中的安全模块标识有两个，即第一设备和第二设备的安全模块标识。

步骤250，业务安全平台查找到与第一设备的安全模块标识对应的第一密钥和第二密钥，将第一密钥下发到第一设备，将第二密钥下发到第二设备，第一设备和第二设备将下发的密钥保存在安全模块内；

业务安全平台下发密钥时可以加密，具体请参见对步骤150的说明。

步骤260，第一设备和第二设备之间基于该第一密钥和第二密钥对应用层业务数据进行加解密，实现设备间业务数据的密文传输。

如需要，第二设备可以按照第一实施例描述的方式建立第一设备的通信标识与第二密钥的关联关系，而第一设备也可以用相同方式建立第二设备的通信标识与第二密钥的关联关系。

上述流程可以保证业务密钥的强度和在保存、分发过程中的安全，并且通过对业务数据的加密传输大大增强业务的安全性。

相应地，本实施例业务安全平台的结构仍如图5所示，功能略有不同，其中：

密钥管理子系统，用于保存和维护设备的安全模块标识及其关联的第一密钥和第二密钥。

业务订购管理子系统，用于进行业务订购的管理，收到带有第一设备和第二设备的安全模块标识的关联请求后，通知业务使用认证与管理子系统对该关联请求进行验证。

业务使用认证管理子系统，用于对该关联请求进行验证，如验证通过，向第一设备下发第一设备的安全模块标识关联的第一密钥，向第二设备下发第一设备的安全模块标识关联的第二密钥，认证的具体方法参见流程。

通信子系统，用于实现业务安全平台与其他系统和设备之间的数据的接收和发送。

可选地，本实施例的业务安全平台还包括：

应用管理子系统，用于保存和维护业务应用的数据。

业务应用下载管理子系统，用于从应用管理子系统找到第一设备和第二设备需下载的业务应用，通过通信子系统分别下载到第一设备和第二设备。业务应用可以是用户选择的，也可以是业务安全平台根据上述安全模块标识查找到的。

业务使用认证与管理子系统还可用于在对关联请求的验证通过后，通知业务应用下载管理子系统向第一设备和第二设备下载相应的业务应用，下载时也可以和下发密钥一样对业务应用进行加密。

第三实施例

本实施例的物联网业务安全系统与第一实施例相同，也具有一个业务安全平台。本实施例的密钥生成、保存和下发过程与第一和第二实施例有所不同，其示意图如图8所示。相应的流程包括：

步骤一，第一设备生成配合使用的第一密钥和第二密钥；

步骤二，第一设备保存生成的第一密钥，将第二密钥和预置的本设备的安全模块标识加密后上传到业务安全平台，业务安全平台解密后保存该第二密钥和安全模块标识并建立两者的关联关系；

第一设备可以用业务安全平台用于数据传输的公钥加密，业务安全平台用自己用于数据传输的私钥解密；或者，第一设备也可以用自己用于数据传输的私钥或对称密钥加密，业务安全平台用保存的第一设备相应的公钥或对应密钥来解密。

之后的步骤同步骤130～160。

相应的业务安全平台各子系统的功能同第一实施例。本实施例与实施例一的差别主要在于生成密钥的主体不同。在第一设备中预置了密钥生成算法，该第一设备还用于使用该密钥生成算法生成第一密钥和第二密钥，将第一密钥保存在安全芯片中，将第二密钥和预置的安全模块标识上传到该业务安全平台。

在该三个实施例中，灌装到第一设备和第二设备的密钥是作为业务数据加解密密钥，实现设备间业务数据的密文传输，但各实施例的密钥生成、保存和下发方式不同。基于该三个实施例的密钥生成、保存和下发方式，也可以将灌装到第一设备和第二设备的密钥作为网络层设备间的认证密钥，第一设备和第二设备之间基于该第一密钥和第二密钥来实现网络层的相互认证，得到另外三个变例。或者，同时或先后向第一设备和第二设备灌装二组密钥(每组密钥均包括第一密钥和第二密钥)，一组作为对业务数据进行加解密的业务数据加解密密钥，一组作为网络层设备间的认证密钥，此时认证密钥和业务数据加解密密钥的生成、保存和下发方式可以采有第一至第三实施例中的一种方式，可以相同也可以不同。也即设备之间的认证密钥和业务数据加解密密钥可根据实际需要全部使用或选其一使用。这样可以得到变化后的多个实施例。这些实施例均可以保证业务密钥的强度和在保存、分发过程中的安全，保证两个设备之间业务数据传输的安全性。

上述第一设备和第二设备可以配置一个或多个加解密算法和/或安全协议，如果配置有多个，两个设备之间可以协商确定当前要采用的加解密算法和/或安全协议。第一设备和/或第二设备的加解密算法和/或安全协议可以预置，也可以由业务安全平台随密钥一起下发到设备或通过其他方式下载，可以和密钥保存在同一安全芯片或不同的安全芯片中。

采用业务安全体系平台控制下的安全芯片解决方案，从密钥的生成方式、算法的使用策略、安全芯片与无线通信模块产品的外部软硬件及结构接口等各个方面均可以实现高度的统一标准，使得目前标准不统一、规范混乱的现状得到根本解决。

下面用一个应用示例对上述三个实施例完成对第一设备和第二设备的密钥灌装后，两者之间进行业务数据信息的交互处理进行一下说明。

在下面的示例中，以装有ZIGBEE模块的家庭信息机为第二设备，以装有ZIGBEE模块的空调为第一设备。假定两个设备都已灌装第一设备的认证密钥和业务数据加解密密钥，并设定好相应的认证算法和业务数据加解密算法，认证密钥、业务数据加解密密钥和业务数据加解密算法保存在设备内的安全芯片中，两个设备还包括主控CPU。

家庭信息机向空调发送指令后的处理流程如下：

家庭信息机主控CPU将打开空调的指令发给ZIGBEE模块的安全芯片；安全芯片使用存储的业务数据加密密钥和业务数据加密算法对该指令进行数据加密，然后由ZIGBEE模块调用安全芯片的认证密钥进行ZIGBEE协议本身定义的算法进行识别与加密，发给空调的ZIGBEE模块；

空调的ZIGBEE模块先使用安全芯片的认证密钥进行ZIGBEE协议本身定义的算法进行识别和解密后，再使用存储的业务数据加密密钥进行对家庭信息机发过来的业务数据信息按业务数据加解密算法进行解密，然后空调主控CPU处理ZIGBEE模块的打开空调的指令，使空调开始运行。

第四实施例

本实施例涉及终端设备与业务应用系统之间的数据传输。该通信终端可以是上述实施例中的第一设备，也可以是第二设备，也可以是其他设备。

本实施例方法的流程如图9所示，包括：

步骤410，生成配合使用的第一密钥和第二密钥，将第一密钥灌装到终端设备中，将第二密钥及终端设备的安全模块标识保存在业务安全平台并建立两者的关联关系，且业务安全平台将终端设备的安全模块标识及其第二密钥同步到业务应用系统；

上述第一密钥和第二密钥是用于业务数据加解密的密钥。所述密钥的生成和保存仍然可以采用第一至第三实施例中的方法，可以是机构生成的，也可以是由使用的设备生成的，这里不再重复。

业务应用系统与业务安全平台进行密钥同步时，密钥传输使用加密模式，加密算法和密钥可采用相对应的硬件加密机或USBKEY等不同模式。

步骤420，终端设备用第一密钥将业务数据加密后，发送到业务应用系统；

终端设备具有远程通信模块时，可以直接将加密的业务数据发送到业务应用系统。

在某些情况下，如终端设备只具有近程通信模块时，终端设备可以将加密的业务数据发送到一个中间设备，由该中间设备转发到业务应用系统。此时，终端设备和该中间设备可以采用上述第一、第二或第三实施例的变例来进行相互的认证，与上述实施例不同的是，中间设备收到终端设备发来的加密的业务数据后不进行解析和处理，直接发送到业务应用系统。

步骤430，业务应用系统收到加密的业务数据后，使用终端设备的第二密钥将业务数据解密，然后进行解析和处理。

业务应用系统需要对终端设备进行控制时，业务应用系统将要发送到终端设备的控制数据用第二密钥加密，直接或经中间设备发送到该终端设备，该终端设备用第一密钥进行解密后进行解析和处理。

终端设备和业务应用系统采用的加解密算法可以由业务安全平台随第二密钥一起同步到业务应用系统，也可以直接在业务应用系统配置，由业务应用系统和第一设备协商使用的算法或者采用默认的算法。

下面给出本实施例具体应用的一个示例，以装有ZIGBEE模块的家庭信息机为中间设备，以装有ZIGBEE模块的空调为终端设备。空调的安全芯片中灌装了用于业务数据加解密的第一密钥和用于网络层认证的第一密钥，业务安全平台将相应的用于业务数据加解密的第二密钥同步到业务应用系统，将用于网络层认证的第二密钥下发给家庭信息机。

下面是空调将采集的数据上传业务应用系统的处理流程：

空调主控CPU将当前的温度信息通过安全芯片使用存储的用于业务数据加解密的第一密钥和对应的算法加密后，再用用于网络层认证的第一密钥按ZIGBEE协议定义的算法进行加密，发给家庭信息机的ZIGBEE模块；

家庭信息机的ZIGBEE模块先使用安全芯片存储的用于网络层认证的第二密钥和ZIGBEE协议定义的算法进行识别和解密后，直接通过远程无线通信或有线方式将含有温度信息的加密的业务数据发给业务应用系统；

业务应用系统使用从业务安全平台同步得到的该空调用于业务数据加解密的第二密钥和对应的算法将业务数据解密，并进行业务协议解析和处理。

本实施例基于的系统如图10所示，业务应用系统包括业务应用服务平台以及连接在业务应用服务平台和终端设备之间的传输协议解析服务器，该传输协议解析服务器可与业务安全平台交互，进一步包括密钥同步和存储模块和传输协议解析模块。相应地，业务安全平台也包括一密钥同步模块，其中：

业务安全平台的密钥同步模块用于与传输协议解析服务器的密钥同步和存储模块配合，将终端设备的安全模块标识及其第二密钥同步到业务应用系统；

传输协议解析服务器的密钥同步和存储模块用于与传输协议解析服务器的密钥同步和存储模块配合，将终端设备的安全模块标识及其第二密钥同步到业务应用系统并保存该关联的安全模块标识和第二密钥；

传输协议解析模块用于在收到终端设备加密的业务数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，对加密的业务数据进行解密后发送到业务应用服务平台；可选地，传输协议解析模块还用于在收到业务应用平台发送给终端设备的控制数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，使用第二密钥对该控制指令加密后发送给该终端设备。如可以通过数据短信、BIP协议等方式。

业务应用服务平台用于接收解密后的业务数据并进行业务处理，还可用于将要发送给终端设备的控制数据先发送到传输协议解析模块。

终端设备用于对要发送到业务应用系统的数据，先采用第一密钥进行加密后再发送，发送到业务应用系统的加密的业务数据将首先被路由到传输协议解析服务器；还可用于在收到业务应用系统发来的加密数据后，用第一密钥进行解密后再进行解析和处理。

在实体上，传输协议解析服务器可以单独放置，也可以放在业务应用服务平台上，还可以放在业务安全平台上。本实施例考虑到数据安全性和大量业务数据的分担负荷处理，将传输协议解析服务器放在业务应用服务平台上。

上述第一密钥和第二密钥是终端设备的业务数据加解密密钥。本实施例提出的方案使得在具有业务安全平台的系统架构下，终端设备与业务应用系统之间进行数据加密传输成为可能，避免了业务安全平台承担大量加解密工作的负荷。

Claims (16)

1.一种业务应用安全实现方法，用于包括可相互通信的第一设备和第二设备，及业务安全平台的系统，该方法包括：

密钥灌装过程：生成配合使用的第一密钥和第二密钥，所述第一密钥预置在第一设备中或由业务安全平台下发给第一设备，所述第二密钥由该业务安全平台保存并下发给第二设备；

密钥使用过程：该第一设备和第二设备相互通信时，基于所述第一密钥和第二密钥实现对交互数据的加密和解密；

其中，所述密钥灌装过程具体包括：

由可信任的机构生成配合使用的所述第一密钥和第二密钥；

将所述第一密钥预置在该第一设备的安全模块内，所述第二密钥和第一设备的安全模块标识保存在业务安全平台并相互关联；

该业务安全平台收到对该第一设备和第二设备的关联请求，该关联请求中包含该第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥；

或者，所述密钥灌装过程具体包括：

由可信任的机构生成配合使用的所述第一密钥和第二密钥；

将所述第一密钥和第二密钥保存在该业务安全平台并与该第一设备的安全模块标识相关联；

该业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥；

或者，所述密钥灌装过程具体包括：

该第一设备生成配合使用的所述第一密钥和第二密钥；

该第一设备保存所述第一密钥，将所述第二密钥和预置的本设备的安全模块标识加密后上传到该业务安全平台，该业务安全平台解密后保存所述第二密钥和第一设备的安全模块标识并将两者关联起来；

该业务安全平台收到将第二设备与第一设备关联的关联请求，该关联请求中包含该第一设备和第二设备的安全模块标识；

该业务安全平台根据该关联请求将与该第一设备的安全模块标识关联的第二密钥下发到该第二设备，该第二设备在安全模块保存所述第二密钥。

2.如权利要求1所述的方法，其特征在于，

该第一设备的安全模块为一安全芯片或智能卡，该第二设备的安全模块为一安全芯片或智能卡。

3.如权利要求1所述的方法，其特征在于，

所述第一密钥预置在第一设备的安全芯片中，所有发行的安全芯片中预置的第一密钥均不相同。

4.如权利要求1所述的方法，其特征在于，该业务安全平台收到该关联请求后，先按以下方式判断该关联请求是否合法，如果合法再根据该关联请求进行密钥下发：

业务安全平台判断该关联请求是否是将其他设备与该第一设备关联的首次关联请求：

如是对该第一设备的首次关联请求，且在数据库中查找到该关联请求中第一设备的安全模块标识，则判定该关联请求合法，否则不合法；

如非对该第一设备的首次关联请求，则该业务安全平台判定该关联请求不合法；或者，该业务安全平台在数据库中查找到该关联请求中的安全模块标识且满足以下条件之一时，判定该关联请求合法，否则判定该关联请求不合法：条件一，提出该关联请求的用户具有足够的权限；条件二，用户在预设的允许匹配次数内输入了正确的身份验证信息。

5.如权利要求1所述的方法，其特征在于，

该第二设备保存有该业务安全平台的数据传输公钥，业务安全平台用对应的数据传输私钥对所述第二密钥做数字签名再下发给该第二设备，该第二设备用该数据传输公钥解密后将所述第二密钥保存到安全模块；和/或

该业务安全平台保存有该第二设备用于数据传输的公钥或对称密钥，该业务安全平台用该公钥或对称密钥对所述第二密钥加密后下发给该第二设备，该第二设备用自己用于数据传输的私钥或对称密钥解密后将所述第二密钥保存到安全模块。

6.如权利要求1所述的方法，其特征在于，

灌装到该第一设备和第二设备的第一密钥和第二密钥是作为业务数据加解密密钥，第一设备和第二设备之间基于该第一密钥和第二密钥对业务数据进行加解密，实现该两个设备间应用层业务数据的密文传输；或者

灌装到该第一设备和第二设备的第一密钥和第二密钥是作为第一设备和第二设备在网络层的认证密钥，第一设备和第二设备之间基于该第一密钥和第二密钥来实现该两个设备间在网络层的相互认证；或者

为该第一设备和第二设备灌装了至少二组第一密钥和第二密钥，其中一组第一密钥和第二密钥是作为第一设备和第二设备在网络层的认证密钥，另一组第一密钥和第二密钥是作为应用层的业务数据加解密密钥。

7.如权利要求1所述的方法，其特征在于，

该业务安全平台向该第一设备和/或第二设备下发密钥时，根据该第二设备和/或第一设备的同时作为通信标识的安全模块标识进行下发；或者，根据第一设备和/或第二设备的安全模块标识关联的通信标识进行下发，该业务安全平台在该第一设备和/或第二设备的注册过程中根据输入信息建立起该第一设备和/或第二设备的安全模块标识和通信标识的关联关系。

8.一种业务应用安全实现系统，至少包括通过相互通信实现业务应用的第一设备和第二设备，其特征在于，还包括业务安全平台，其中：

所述业务安全平台包括：

密钥管理子系统，用于保存和维护包含第一设备在内的各设备的安全模块标识及其关联的第二密钥；

业务订购管理子系统，用于进行业务订购的管理，收到将第二设备与第一设备关联的带有第一设备和第二设备的安全模块标识的关联请求后，通知业务使用认证与管理子系统对该关联请求进行验证；

业务使用认证管理子系统，用于对该关联请求进行验证，如验证通过，通过通信子系统向该第二设备下发与该第一设备的安全模块标识关联的第二密钥；

通信子系统，用于实现业务安全平台与其他系统和设备间的数据收发；

所述第二设备用于在收到下发的第二密钥后，将所述第二密钥保存在安全模块中。

9.如权利要求8所述的系统，其特征在于：

所述第一设备的安全模块中预置了第一密钥；或者

所述第一设备中预置了密钥生成算法，所述第一设备使用该密钥生成算法生成第一密钥和所述第二密钥，将所述第一密钥保存在安全模块中，将所述第二密钥和预置的本设备的安全模块标识上传到所述业务安全平台。

10.如权利要求8所述的系统，其特征在于：

所述密钥管理子系统还用于保存和维护与设备的安全模块标识关联的第一密钥；

所述业务使用认证管理子系统还用于在对该关联请求的验证通过后，通过通信子系统向第一设备下发第一设备的安全模块标识关联的第一密钥；

所述第一设备用于在收到下发的第一密钥后，将所述第一密钥保存在安全模块中。

11.如权利要求8或9或10所述的系统，其特征在于：

该业务安全平台的业务使用认证管理子系统收到该关联请求后，判断该关联请求是否是将其他设备与该第一设备关联的首次关联请求：

如是对该第一设备的首次关联请求，且在数据库中查找到该关联请求中第一设备的安全模块标识，则判定该关联请求合法，否则不合法；

如非对该第一设备的首次关联请求，则该业务安全平台判定该关联请求不合法；或者，该业务安全平台在数据库中查找到该关联请求中的安全模块标识且满足以下条件之一时，判定该关联请求合法，否则判定该关联请求不合法：条件一，提出该关联请求的用户具有足够的权限；条件二，用户在预设的允许匹配次数内输入了正确的身份验证信息。

12.如权利要求8或9或10所述的系统，其特征在于，所述业务安全平台还包括：

应用管理子系统，用于保存和维护业务应用的数据；

业务应用下载管理子系统，用于从应用管理子系统找到第二设备需下载的业务应用，通过通信子系统将该业务应用的数据下载到第二设备；

所述业务使用认证与管理子系统还可用于在关联请求的验证通过后，通知业务应用下载管理子系统向第二设备下载相应的业务应用。

13.如权利要求8或9或10所述的系统，其特征在于：

所述第一设备的安全模块为一安全芯片或智能卡，所述第二设备的安全模块为一安全芯片或智能卡。

14.一种业务应用安全实现方法，用于包括终端设备、业务安全平台和业务应用系统的系统，该方法包括：

生成配合使用的第一密钥和第二密钥，将该第一密钥灌装到所述终端设备中，将该第二密钥及所述终端设备的安全模块标识保存在所述业务安全平台并相互关联，所述业务安全平台将所述终端设备的安全模块标识及关联的第二密钥同步到所述业务应用系统；

所述终端设备用所述第一密钥将业务数据加密后发送到所述业务应用系统；

所述业务应用系统收到加密的业务数据后，使用同步得到的所述第二密钥将所述加密的业务数据解密，然后进行解析和处理；

其中，所述业务应用系统包括传输协议解析服务器和业务应用服务平台，所述业务安全平台是将所述终端设备的安全模块标识及关联的第二密钥同步到所述传输协议解析服务器中；

所述终端设备发送到该业务应用系统的加密的业务数据被路由到所述传输协议解析服务器，所述传输协议解析服务器对加密的业务数据进行解密后再交给所述业务应用服务平台进行解析和处理。

15.一种业务应用安全实现系统，包括终端设备和业务应用系统，其特征在于，还包括业务安全平台，所述业务安全平台包括密钥同步模块，所述业务应用系统包括业务应用服务平台和传输协议解析服务器，所述传输协议解析服务器进一步包括密钥同步和存储模块和传输协议解析模块，其中：

业务安全平台的密钥同步模块用于与传输协议解析服务器的密钥同步和存储模块配合，将终端设备的安全模块标识及第二密钥同步到业务应用系统；

传输协议解析服务器的密钥同步和存储模块用于与业务安全平台的密钥同步模块配合，将终端设备的安全模块标识及其第二密钥同步到业务应用系统并保存；

传输协议解析服务器的传输协议解析模块用于在收到终端设备加密的业务数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，对加密的业务数据进行解密后发送到业务应用服务平台；

业务应用服务平台用于接收解密后的业务数据并进行业务处理；

终端设备用于对要发送到业务应用系统的数据，先采用第一密钥进行加密后再发送，发送到业务应用系统的加密的业务数据首先被路由到传输协议解析服务器。

16.如权利要求15所述的系统，其特征在于：

所述业务应用服务平台还可用于将要发送给终端设备的控制数据先发送到传输协议解析服务器；

所述传输协议解析服务器的传输协议解析模块还用于在收到业务应用平台发送给终端设备的控制数据后，从密钥同步和存储模块查找到该终端设备的第二密钥，使用第二密钥对该控制指令加密后发送给该终端设备；

所述终端设备还用于在收到业务应用系统发来的加密数据后，用第一密钥进行解密后再进行解析和处理。

Images