CN102970135B - 用于发现共享秘密而不泄漏非共享秘密的方法和设备 - Google Patents

Abstract

揭示了发现共享秘密而不泄漏非共享秘密的方法和设备。该方法和设备散列与耦合到通信信道的第一实体相关联第一信息以形成第一散列秘密，并散列与耦合到通信信道的第二实体相关联第二信息以形成第二散列秘密。该方法和设备经通信信道向第二实体发送第一散列秘密；及比较第一和第二散列秘密以发现共享秘密。

Description

用于发现共享秘密而不泄漏非共享秘密的方法和设备

本申请是PCT国际申请号为PCT/US2003/039726、国际申请日为2003年12月12日、中国国家申请号为200380107995.1、题为“用于发现共享秘密而不泄漏非共享秘密的方法和设备”的申请的分案申请。

技术领域

本揭示一般涉及保密数据通信，更具体地说，涉及用于发现共享秘密而不泄漏非共享秘密的方法和设备。

背景技术

鉴于联网通信尤其是无线通信（如蜂窝通信）的使用更易和更普及，对安全数据通信或传输的要求急剧上升。例如，许多移动通信系统使移动客户机（如智能移动电话、个人数字助理等）能下载软件和访问由数据/应用服务器提供的其它数据和/或业务。

为给这些移动通信系统提供较安全环境，移动客户机和服务器可使用受管理的执行环境，所述受管理的执行环境提供安全性功能（用来防止未得到授权的用户访问移动客户机和/或数据/应用服务器内的数据。例如，移动台应用执行环境（MExE）是众所周知的无线通信协议，用于智能移动电话和其它移动客户机设备以提高移动设备和数据/应用服务器间数据事务处理的安全性。

在MExE保密模型中，每个移动客户机设备持有一个或多个数字证书，所述数字证书指定应用服务器身份，所述应用服务器身份须数字地签名软件使移动客户机设备能从所述应用服务器下载和执行软件。换言之，为使移动客户机下载和执行由服务器提供的应用，移动客户机须持有对应（如等同）于服务器持有的数字证书的数字证书。通常，向移动客户机提供软件的应用服务器有可用于下载的软件的多个数字签名。这些数字签名的每个可以使用与被授权创建软件的一方（如设备制造商、服务提供商、软件提供商等）相关联的一不同数字证书来创建。

众所周知，数字签名通常通过对要发送的信息（如软件应用、文件等）的散列加密（如使用来自公开专用密钥组合的专用密钥）生成。以这一方式，数字签名可由接收实体用来确定始发实体身份和确定接收的消息与始发实体发送的消息相比无变化。另一方面，数字证书通常含有名称（如用户名）、序列号、加密数据的公开密钥、失效日期及鉴定授权方（证书授权方）的签名。通常，数字证书用来建立通信系统或网络中的实体的凭证，并且证书的公开密钥部分用来检查或验证数字签名。

在许多移动通信系统中，移动客户机在和另一方（如应用服务器）协商数据传输（即：建立通信链路用于数据交换）时自由地提供或公布其数字证书。类似地，这些移动通信系统中的应用服务器可以自由地向请求访问该软件或其它数据的客户机提供所所述可用软件或其它数据的数字签名相关的信息。

尽管只向通信网络中的已知被授权的实体提供数字签名和数字证书信息来维持高度的网络保密性通常是希望的，现有系统通常要求该信息在数据传输协商的初始阶段得到释放。不幸的是，通信网络中的两或更多方的初始协商期间的数字证书信息或数字签名信息的释放能泄漏网络的安全性。尤其是，释放数字证书或签名信息的一方通常区分不开被授权的请求实体和攻击方。因此，如果攻击方确定由，例如，一特定客户机设备授权了怎样的数字证书，攻击方可集中精力克服专门数字证书。同理，如果攻击方确定由特定服务器授权了怎样的数字签名，攻击方可集中精力克服专门数字签名。

附图描述

图1是使用此处描述的发现协商数据传输的实体间的一个或多个共享秘密而不泄漏非共享秘密的方法的示例系统的框图；

图2是描述实现图1所示系统的示例方式的框图；

图3是图1和2所示系统配置成发现协商数据传输的实体间的一个或多个共享秘密而不泄漏非共享秘密的示例配置方式的流程图；

图4是生成散列秘密用于图3所示示例方法的示例方式的详细流程图；

图5是用来实现此处描述的设备和方法的示例处理器系统的框图。

具体实施方式

如此处所用，术语“秘密”通常指通信系统或网络中未得到公布或自由分发的保密数据或信息。在一些示例系统中，秘密是数字签名、数字证书或不被自由传输给请求信息的实体的与通信设备、服务器等相关联的其它信息。共享秘密指对通信网络或系统中的不止一个实体共同（即：持有）的秘密。例如，通信系统或网络中的通讯设备和应用或数据服务器都持有同一或相应的数字证书，从而授权通讯设备从服务器下载应用信息和/或其它数据。然而，共享一个或多个秘密的实体不一定知道它们和另一实体共享这些秘密。

另一方面，非共享秘密指不为两或更多个实体共享或共同持有的秘密。然而，第一组实体的非共享秘密可以是第二组实体共享秘密，即使第一和第二组实体有公共实体号。因此，确定秘密是否共享不共享须参考特定实体组。

图1是使用此处描述的发现协商数据传输的实体间的一个或多个共享秘密而不泄漏非共享秘密的方法的示例系统10的框图。示例系统10包括第一方或实体12及第二方或实体14，各自耦合到通信信道16。通信信道16包括分组交换网（如因特网）、电话线、无线通信网（如蜂窝通信网）、卫星链路等。更常见地，通信信道16用媒介、平台和/或使能传输信息的协议的任一组合实现。因此，通信信道16是公开的（如在通信信道16包括因特网的情况下）或专用的（如在通信信道16只使用局域网、电话线等）。

第一方或实体12包括保密信息18（较佳地包括诸如数据或信息的秘密），保密信息18的形式是列表、表格等，不在通信信道16上自由传输且不显露或泄漏给第二实体14或耦合到系统10的其它实体（未示出）。第一方或实体12还包括处理单元20（用能执行完成此处所述方法的数据或指示的电路或设备实现，如下面结合图5显示和描述的示例处理器系统）。另外，第一实体12包括通信接口22，它按需使第一实体12能经通信信道16通信。例如，在通信信道16包括电话线的情况下，通信接口22可包括一调制解调器，而在通信信道16包括无线网的情况下，通信接口22可包括一无线收发信机。

类似于第一方或实体12，第二方或实体14持有保密信息28，处理单元24和通信接口26。然而，第二实体14持有的一些或全部保密信息28不同于第一实体12持有的保密信息18。而且，尽管图1描述系统10只有两个实体或方，其它实体或方可包括并被耦合到通信信道16。

图2是描述图1所示系统10的示例实现方式的框图。图2的示例是包括能经通信信道36与应用服务器34通信的无线移动通信设备或客户机32的无线通信系统30。通信信道36包括一个或多个无线通信链路38和40及分组交换网42（如因特网）。

移动通信设备32可以是，例如，智能蜂窝电话、PDA、具有无线通信接口的膝上电脑等，它们被配置成作为应用服务器34的客户机经通信信道36通信。应用服务器34用工作站或任一其它计算机或处理系统实现。应用服务器34包括一个或多个软件应用和/或可用来下载至移动通讯设备的及由移动通讯设备（如移动通讯设备32）执行或使用的其它数据或信息44。

移动通信设备32包括或持有一个或多个数字证书46（尚未对系统30中的至少一些其它实体（如服务器34）显露（即：对其保密））。由通信设备32秘密持有的数字证书46对应于通信设备32得到授权从系统30中的其它实体传输或下载的一个或多个软件应用或其它数据或信息。为讨论起见，由通信设备32持有的至少一数字证书46授权通信设备32下载存储在服务器34中的至少一软件应用或其它数据或信息44。因此，移动通信设备32可持有多个数字证书，每个数字证书，例如，授权通信设备32下载存储在服务器34中的不同的软件应用之一或软件应用子集或其它数据44。然而，在其它示例中，通信设备32持有的数字证书46可以不授权通信设备32从应用服务器34下载任一软件应用或其它数据44。相反，通信设备32可得到授权从系统30中的其它实体或方（如其它服务器，未示出）传输（如下载）数据、应用等。

类似于无线通信设备32，应用服务器34持有未显露给系统30中至少一些其它实体（即：对之保密）的一个或多个数字证书48。由应用服务器34持有的数字证书48对应于所述系统30中可用于下载的一个或多个应用或其它数据44。因此，每个数字证书48可对应于特定一个应用或一个应用子集或其它数据44。如上所述，为讨论起见，至少一数字证书48对应通信设备32得到授权从服务器34下载的特定一个应用或一个应用子集或其它数据44。除所述软件应用或其它数据44外，应用服务器34还包括所述应用或其它数据44的数字签名50。每个数字签名50使用对应于与一数字证书48相关联的公开密钥的专用密钥生成。

图3是图1和2所示系统10和30配置成协商数据传输期间发现一个或多个共享秘密而不泄漏非共享秘密的示例方式的流程图。为讨论起见，图3中描述的方法结合图2所示示例系统30描述。然而，图3所述方法通常适用于任一系统，其中两个或更多个实体协商发现每个实体持有的秘密。

在通信设备32经通信链路36与服务器34通信并始发协商的用于传输一应用或其它数据44的情况下，通信设备32和应用服务器34通过生成其相应数字证书46和48的散列版本而生成散列秘密（框60）。任一理想散列函数（如SHA-1）可用来散列数字证书46和48。我们知道，散列函数通常被计算散列信息的数学总计。结果，散列由4096字节信息构成的数字证书可导致只用20字节表示的所述数字证书的散列版本。散列函数及其运算广为人知，因此，此处不详述。

通信设备32持有的数字证书46的散列版本（即：秘密）传送或发送给应用服务器34（框62）。结果，应用服务器34持有其数字证书48的散列版本及从通信设备32接收的数字证书46的散列版本。应用服务器34然后比较其数字证书48的散列版本及从通信设备32接收的数字证书46的散列版本（框64）。基于比较，应用服务器34确定是否有任何匹配散列数字证书（即：匹配散列秘密）（框66）。若无匹配散列秘密（即：协商实体不共享秘密）（框66），无线通信设备32未被授权下载所请求的信息（如一个或多个应用或其它数据44）且协商结束（框68）。另一方面，若框66发现至少一个匹配，应用服务器34确定是否有多个匹配（框70），且，如果只发现一个匹配，应用服务器34用匹配散列数字证书和始发数字证书间的已知关系恢复始发共享数字证书（即：始发共享秘密）（框72）。一旦发现匹配并恢复共享秘密，通信设备32用恢复秘密从应用服务器34下载请求信息（如一个或多个应用或其它数据44）（框76）。较佳地，应用服务器34用匹配始发数字证书发现对应一应用或其它数据44，及对应的一个数字签名，并向通信设备32下载相应应用及其数字签名。

如果发现不止一个匹配（框70），无线通信设备32和应用服务器34在恢复匹配或共享数字证书（框72）之前协商选择一单个匹配（框74）。为便于框74的单个匹配的选择，通信设备32用预定义优先级方案生成其数字证书46的散列。例如，与制造商相关联的数字证书首先得到散列，与通信运营商相关联数字证书其次得到散列，与第三方相关联的数字证书最后得到散列。散列数字证书根据其优先级（如其散列顺序）然后被存储在列表中。以此方式，当应用服务器34从通信设备32接收优先级化的散列列表并比较所述列表中散列数字证书和其数字证书48的散列版本（框64），能选择最早发现的匹配作为单个协商匹配（框74），而不管其它较低优先级匹配仍可留在列表中。除上述技术外，有许多众所周知的用来协商匹配（框74）的技术（此处不详述）。

一旦发现单个匹配并得到通信设备32和应用服务器34（即：协商方或实体）的同意（框74）且始发秘密得到恢复（框72），通信设备32被授权下载对应于匹配证书的所请求的一个应用或其它数据44。因此，应用服务器34经通信链路36向通信设备32下载请求的一个应用或其它数据44及其相应的一个数字签名50（若得到请求）。

尽管不是必须，在一些示例中理想的是，每个协商实体从另一协商实体接收散列数字证书的副本（即：用于实体交换散列秘密）且每个实体比较其自身的散列秘密和从另一实体接收的秘密的散列版本。因此，在图3所示示例系统30的情况下，应用服务器34向通信设备32发送（在框62或在后续信息中）数字证书48的散列版本。在此情况下，通信设备32自己比较散列秘密（框64），确定是否有一个或多个匹配（框66和70）并选择单个匹配（框74），而独立于应用服务器34或与应用服务器34合作。

图4是可生成散列秘密（如散列数字证书）用于图3所示技术的示例生成方式的详细流程图。生成散列秘密实体（如通信设备32和应用服务器34）把其秘密（如其各自数字证书46和48）表示为正则数据（即：以预定义格式）（框80）。参加数据传输协商的实体接下来确定是否经开放通信信道传输数据（如要下载的应用）（框82）。例如，在通信设备32协商或请求应用服务器34经通信链路36下载一应用或其它数据44的情况下，涉及公开信道传输。即，因为因特网42是公开通信信道，整个通信信道36被认为是公开的。

如果框82确定经公开通信信道传输信息，实体向其散列秘密增广一随机数（通过，例如，执行下面结合框84至90描述的步骤）。尤其是，每个实体（如通信设备32和应用服务器34）生成随机数（框84）并经开放通信信道（如通信信道36）交换其随机数（框86）。较佳地，但不是必须，每个随机数由至少64个比特构成。通信设备32和应用服务器34然后串接用作密钥的随机数（如形成128位号）（框88）。串接的随机数被附加到秘密上（框90）。

秘密在框92被散列。在要出现秘密的公开信道传输（框82）并因此用随机数增广秘密（如通过完成结合框84至90描述的活动）的情况下，串接的随机数和在其上附加串接随机数的秘密一起得到散列。另一方面，在不出现秘密的公开信道传输的情况下，在框92直接散列秘密（即：无随机数增广）。

增加后，经散列的秘密可任选地使用，例如，散列加密秘密要被发送至的实体的公开密钥（来自专用公开密钥组合）被加密（框94）。例如，通信设备32可用应用服务器34的公开密钥加密秘密46的散列版本（即：数字证书）。散列秘密在框94作为一组或单个地得到加密。加密的散列秘密的传输或交换（图3，框62）之后，在秘密用一个或多个随机数被增广且散列秘密得到加密的情况下，实体可比较散列秘密以用通常方式标识匹配（即：框64）。

对公开信道通信的随机数增广（框84至90）和加密（框94）的使用可防止攻击实体获取被传输的散列秘密的副本并使用这些散列秘密来发现通信系统中其它实体的秘密。例如，攻击实体可想像地获取被传输的散列秘密的副本并将这些散列秘密与其已有秘密的散列版本比较，从而可能使攻击实体能获得访问始发该被传输的散列秘密的实体中的信息。另外地或可选地，攻击实体在后续通信中可使用传输的散列秘密的副本虚假地宣称发现过匹配（图2的框66），从而诱使始发该被传输的散列秘密的实体显漏原始秘密。尽管图4所示示例方法用增加随机数来提供重现保护（即：保护避免攻击者试图再次使用捕获的或旧信息），以可由接收实体（而非攻击者）验证的以唯一的方式修改散列秘密的任何其它技术均可被替代使用。

进一步，随机数增广与加密的组合提供了在数据传输通过公开通信信道协商的情况下的重现保护和机密。尤其是，随机数增广提供重现保护，因为随机数对每个数据交易是变化的，因此，基本上只对一交易是有效的。另一方面，加密提供一定程度的机密，但万一攻击方克服加密，则不能象随机数增广那样提供重现或重用保护。

在两实体或方重复地协商并于协商后交换秘密的情况下，一实体可想像地保存在早期协商期间从另一实体接收的散列秘密值并用所述保存的散列秘密在框66引起假匹配。为防止这样的假失配，用众所周知的Diffie-Hellman技术生成每个协商的唯一共享秘密值。尤其是，生成散列数据时，至协商的实体或方可用其唯一的共享秘密值执行对实体相关联的秘密的键控散列。键控散列技术众所周知，此处不再描述。业内人士认识到，可使用Diffie-Hellman和键控散列之外的技术。尤其是，提供通过协商实体共享且对该协商独有的秘密的技术可用来取代Diffie-Hellman技术。另外，以可重复、不可逆方式修改结果散列的任何技术都可用来取代键控散列。

可容易地使结合图3和4描述的示例方法适用于涉及不止两个实体或方的共享秘密协商。例如，第一方与第二方协商形成所有匹配散列秘密的简化列表。第一方可以用所述简化列表开始与第三方协商形成含有在第三方列表和第一方与第二方协商得出的简化列表之间的匹配的新的简化列表。该过程继续到参加共享秘密协商的所有方已与第一方协商，形成为涉及的所有方共享的散列秘密的最终简化列表。当然，如果涉及方不具有至少一公共共享秘密，最终列表为空。

图5是用来实现此处描述的设备和方法的示例处理器系统120的框图。如图5所示，处理器系统120包括耦合到互连总线或网络124的处理器122。处理器122可以是任一合适的处理器、处理单元或微处理器，如英特尔Itanium、X-Scale、Pentium各系列等。尽管未在图5中示出，系统120可以是多处理器系统，从而可包括等同或类似于处理器122并耦合到互连总线或网络124的一个或多个附加处理器。

图5的处理器122耦合到芯片集128，包括存储器控制器130和输入/输出（I/O）控制器132。众所周知，芯片集通常提供I/O和存储器管理功能及可由一个或多个耦合到芯片集的处理器访问或使用的多个通用和/或专用寄存器、计时器等。存储器控制器130执行使处理器122（或如果有多个处理器则多个处理器）能访问系统存储器134，包括任一希望类型的易失性存储器，如静态随机存取存储器（SRAM）、动态随机存取存储器（DRAM）等的功能。I/O控制器132执行能使处理器122经I/O总线140与外围输入/输出（I/O）设备136和138通信的功能。I/O设备136和138可以是任何合适类型的I/O设备，如键盘、视频显示器或监视器、鼠标等。尽管图5描述的存储器控制器130和I/O控制器132是芯片集128中独立功能块，这些块执行的功能可集成在单个半导体电路内或用两或更多独立集成电路实现。

从此处描述的示例可看出，散列秘密的使用使彼此交互动作（如执行数据传输）的多个实体或方（如通信设备、数据/应用服务器等）能发现共享秘密而不显漏非共享秘密。这样的秘密可以是数字证书、数字签名、信息认证码密钥、瞬时Diffie-Hellman参数等。一般地，秘密可以是使接收设备（如用户设备）能对接收信息的起源（如数据、程序等）的准确性认证的任何信息。密码技术和重现保护（如随机数增广）可以用来经公开通信信道交换散列秘密以防止未经授权的或攻击实体发现秘密。所述方可比较其散列秘密和从另一方接收的散列秘密以标识匹配。单个最佳匹配可得到共识且所述方使用其各自散列方法的知识来从散列匹配秘密恢复原始秘密并使对共享秘密的后续使用（如执行数据传输）出现。散列数据（如散列数字证书）的使用减少了共享秘密协商过程期间须经通信信道传输的数据量。另外，此处描述的设备和方法可更加通用地应用于涉及不止两方的共享秘密协商。

尽管此处描述的示例注重应用（如可执行程序）的下载，此处描述的设备和方法可通用地用于任一类型数据。例如，电话的振铃音、已安装在电话、PDA等上的应用的少量数据也可下载。

尽管此处描述一些方法和设备，本专利覆盖范围不限于此。相反，本专利覆盖字面地或在等价学说之下地清楚落于所附权利要求范围之内的所有方法、设备和产品。

Claims (10)

1.一种经通信信道发送来自应用服务器的应用至通信设备的方法，包括：

从通信设备接收第一组散列秘密，所述第一组散列秘密包括与所述通信设备相关联的散列数字证书；

将第一组散列秘密和与所述应用服务器相关联的第二组散列秘密相比较，其中所述第二组散列秘密是通过散列至少一部分保密信息形成的，所述保密信息包括不与所述通信设备共享的非共享保密信息，所述第二组散列秘密包括与所述应用服务器相关联的散列数字证书；

通过发现所述与所述通信设备相关联的散列数字证书和所述与所述应用服务器相关联的散列数字证书存在匹配，在第一和第二组散列秘密间标识共享秘密；及

经通信信道发送所述与共享秘密相关联的应用至通信设备。

2.如权利要求1所述的方法，其特征在于，在第一和第二组散列秘密间标识共享秘密包括标识共享数字证书。

3.如权利要求1所述的方法，其特征在于，接收第一组散列秘密包括接收已增广了随机数的秘密。

4.如权利要求1所述的方法，其特征在于，接收第一组散列秘密包括接收加密秘密。

5.一种用于保密数据通信的方法，包括：

经通信接口接收来自通信设备的第一组散列信息，所述第一组散列信息包括与所述通信设备相关联的散列数字证书；

散列至少一部分保密信息以形成第二组散列信息，其中所述保密信息包括不与所述通信设备共享的非共享保密信息，所述第二组散列信息包括与应用服务器相关联的散列数字证书；

比较第一组散列信息和第二组散列信息；及

通过发现所述与所述通信设备相关联的散列数字证书和所述与所述应用服务器相关联的散列数字证书存在匹配，在第一和第二组散列信息间标识一共享秘密。

6.如权利要求5所述的方法，其特征在于，所述通信接口包括无线通信接口。

7.一种发现共享秘密的设备，包括：

用于接收来自通信设备的第一组散列秘密的装置，所述第一组散列秘密包括与所述通信设备相关联的散列数字证书；

用于比较第一组散列秘密和与应用服务器相关联的第二组散列秘密的装置，其中所述第二组散列秘密是通过散列至少一部分保密信息形成的，所述保密信息包括不与所述通信设备共享的非共享保密信息，所述第二组散列秘密包括与所述应用服务器相关联的散列数字证书；

用于通过发现所述与所述通信设备相关联的散列数字证书和所述与所述应用服务器相关联的散列数字证书存在匹配，在第一和第二组散列秘密间标识一共享秘密的装置；及

用于经通信信道发送与共享秘密相关联的应用至通信设备的装置。

8.如权利要求7所述的设备，通过标识一共享数字证书而在第一和第二组散列秘密间标识该共享秘密。

9.一种用于保密数据通信的方法，包括：

经通信信道接收来自通信设备的第一组散列信息，所述第一组散列信息包括与所述通信设备相关联的散列数字证书；

散列至少一部分保密信息以形成第二组散列信息，其中所述保密信息包括不与所述通信设备共享的非共享保密信息，所述第二组散列信息包括与应用服务器相关联的散列数字证书；

比较第一和第二组散列信息以标识所述与所述通信设备相关联的散列数字证书和所述与所述应用服务器相关联的散列数字证书的匹配；及

基于匹配信息经通信信道接收数据。

10.如权利要求9所述的方法，其特征在于，所述通信信道包括公开通信信道。