CN103118027A - 基于国密算法建立tls通道的方法 - Google Patents

Abstract

本发明涉及网络安全技术领域，提供了一种基于国密算法建立TLS安全通道的方法。该方法包括步骤：服务器端发起请求、客户端回应hello消息，或客户端发起hello消息；服务器端回应服务器端hello消息；服务器端向客户端发送服务器端SM2证书，随后发送hello完成消息；客户端收到hello完成消息后，发送密钥交换消息；客户端发送更换密码套件消息和结束消息，服务器端收到客户端结束消息后，发送更换密码套件消息和结束消息；双方均收到对方的结束消息并通过验证后，以约定的安全参数进行数据安全传输。本发明将国密算法融入TLS协议中进行安全通信，以较短的密钥长度实现了签名速度明显优于RSA算法且相当于RSA算法2048位安全级别的数据安全方法。

Description

基于国密算法建立TLS通道的方法

技术领域

本发明涉及网络安全技术领域，特别涉及一种基于国密算法建立TLS通道的方法。

背景技术

密码算法是用于加密和解密的数学函数，是密码协议的基础，现行的密码算法主要包括序列密码、分组密码、公钥密码、散列函数等，其主要用于保证信息的安全，提供鉴别、完整性、抗抵赖等服务。商用密码是指对非涉密内容的信息进行加密保护或者安全认证所使用的密码技术和密码产品，主要用于不涉及国家机密的普通工商业领域。由于现有技术中基于不同的加解密思想出现了多种不同的密码算法，每套密码算法有其独特的处理方式，相互之间往往并不兼容，这导致了基于不同算法的技术或产品无法通用，限制了安全产品的发展。此外，部分密码算法由于安全强度有限，未公开算法实现进行有效性论证，或未经过严格的安全性检验就在产业中进行应用，也很容易留下各种密码安全隐患，造成用户隐私泄露、商业机密被窃或财产安全受损等多种问题。

在此情况下，有必要建立统一安全的商用密码算法来规范密码技术或密码产品的应用，国密算法就是在我国境内通用的商用密码算法。国密算法是指由国家密码管理局编制并公开的一系列商用密码算法，其包括标准对称算法SM1、基于椭圆曲线ECC的非对称加密算法SM2、数据摘要算法SM3和分组对称块加密算法SM4等。国密算法的公开为中国商用密码算法提供了安全应用的标准，同时也通过公开算法来使算法的安全性接受全世界的检验，使得相关的安全产品能得到国际市场的认可。

但是，由于当前公开国密算法的主要目的是检验算法的数学理论基础是否严谨，因而相关算法仅对应用方式做了理论性指导，并非给出具体的应用模式。在此情况下，如何利用国密算法实现安全的网络数据通信成为国密算法应用必须面对的问题。

发明内容

有鉴于此，本发明提供了一种基于国密算法建立TLS通道的方法，以解决现有技术中无法将国密算法理论转化为实际的网络安全应用的问题。

为解决上述技术问题，本发明的基于国密算法建立TLS通道的方法包括步骤：

握手请求阶段：服务器端发起hello请求消息、客户端收到后发送客户端hello消息作为回应，或客户端直接发起客户端hello消息；服务器端收到所述客户端hello消息后，发送服务器端hello消息作为回应；

服务器端认证阶段：服务器端向客户端发送服务器端SM2证书，随后发送hello完成消息；

客户端认证阶段：客户端收到所述hello完成消息后，发送密钥交换消息；

完成握手阶段：客户端发送更换密码套件消息和结束消息，服务器端收到客户端结束消息后，发送更换密码套件消息和结束消息；双方均收到对方的结束消息并通过验证后，以约定的安全参数进行数据安全传输。

优选地，在握手请求阶段，所述客户端hello消息中包含双方建立安全通道的相关安全参数，服务器端收到所述客户端hello消息后，如果能从消息的安全参数中找到匹配的密码套件，则将所述匹配的密码套件包含在回应的服务器端hello消息中；如果找不到匹配的密码套件，则回应致命报警消息。

优选地，在服务器端认证阶段，所述服务器端SM2证书为包含SM2公钥的SM2加密证书。

优选地，在客户端认证阶段，所述密钥交换消息中包含预主密钥，该预主密钥由客户端产生，采用服务器端的SM2公钥进行加密。

优选地，在服务器端认证阶段，客户端接收到所述hello完成消息之后，应验证服务器端SM2证书是否有效，并检验服务器端hello消息中的安全参数是否可以接受；如果可以接受，客户端继续握手过程，否则回应致命报警消息。

优选地，若需要进行客户端身份验证，所述方法还包括步骤：

在服务器端认证阶段，紧随服务器端SM2证书之后还发送客户端证书请求；

在客户端认证阶段，若客户端曾收到客户端证书请求，则首先向服务器端发送客户端SM2证书，在发送完密钥交换消息后，还发送客户端SM2证书签名；服务器端利用收到的客户端SM2证书签名对客户端进行验证。

优选地，在完成握手阶段，所述结束消息内容是使用更换后的密码套件和密钥进行加密的12字节的伪随机数，所述伪随机数根据对已发握手信息的摘要值的计算而得到；如果握手请求阶段匹配的密码套件使用的摘要算法是SM3算法，则在已发握手信息的摘要原文前加入由服务器端SM2证书中公钥计算得出的杂凑值，并在此基础上再计算所述摘要值。

优选地，在发送客户端SM2证书签名时，签名原文送入安全硬件中使用SM3算法做摘要并在所述安全硬件中对所述摘要进行签名；其中，所述摘要及所述签名的计算均是在所述安全硬件中进行。

优选地，所述SM2公钥进行加密后的预主密钥包括：加密公钥、所加密数据的摘要和加密后的密文。

优选地，在发送客户端SM2证书签名时，在签名原文中加入由所述服务器端SM2证书中公钥计算得出的杂凑值。

通过上述技术方案，本发明将国密算法融入TLS协议中进行安全通信，实现了国密算法与TLS（Transport Layer Security，安全传输层）协议的结合，提供了一种切实可行的国密算法的安全应用，以较短的密钥长度（256位）实现了签名速度明显优于RSA算法且相当于RSA算法2048位安全级别的数据安全方法的数字证书认证方法。

附图说明

图1为本发明的一个实施例中客户端和服务器端的消息交互过程的时序图。

具体实施方式

下面将结合各附图对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

网络安全从本质上说就是网络上的信息安全，即使网络中数据受到保护，不受偶然的或者恶意的破坏、更改、泄露，保证系统连续可靠地运行，确保网络服务不中断。影响网络安全的因素很多，但由于国密算法属于应用级技术，因而在本发明中也主要关注网络应用的数据安全，尤其是可信客户端与服务器端的安全通信。在本发明的实施例中，对TLS（Transport Layer Security，安全传输层）协议进行了扩展，提供了一种在TLS v1.2中支持国密算法的数字认证技术。

具体地，在本发明的一个实施例中，利用TLS协议和国密算法在客户端和服务器端之间建立安全通道，以保证网络通信的数据安全。如图1所示，所述认证方法包括步骤：

握手请求阶段：客户端发送客户端hello消息（Client_hello），服务器端收到所述客户端hello消息后发送服务器端hello消息（Server_hello）作为回应。

服务器端认证阶段：服务器端向客户端发送服务器端SM2证书（SM2certificate），随后发送hello完成消息（Server_hello_done）。

客户端认证阶段：客户端收到所述hello完成消息后，发送密钥交换消息（client_key_exchange）。

完成握手阶段：客户端发送更换密码套件消息（Change_cipher_spec）和结束消息（finished），服务器端收到客户端结束消息后，发送更换密码套件消息(Change_cipher_spec)和结束消息(finished)。

下面对各消息的具体操作过程做进一步的说明。其中，在握手请求阶段，所述Client_hello消息中包含双方建立安全通道的相关安全参数（包括协议版本、会话ID、密码套件、压缩方法和初始随机数等）。服务器端收到所述Client_hello消息后，如果能从该消息的安全参数中找到匹配的密码套件，则将所述匹配的密码套件包含在Server_hello消息中作为对Client_hello消息的回复。如果找不到匹配的密码套件，服务器端将回应致命报警消息（handshake failure）。其中Client_hello消息的安全参数包含客户端支持的所有密码套件（包括国密算法SM2密码套件），服务器端回复的消息中会选择出一种双方都支持的密码套件，在本发明中，默认为双方使用SM2密码套件。

在本发明的一个示例的代码中，Client_hello消息的结构如下：

其中使用到的几个变量的说明及定义如下：

a.client_version，表示协议版本，结构为：

b.random，为客户端产生的随机信息，包括时间和随机数，结构：

c.session_id，会话标识，定义为：

Opaque SessionID<0..32>

session_id是一个可变长字段，其值由服务器端决定。如果没有可重用的会话标识或希望协商安全参数，该字段应为空，否则表示客户端希望重用该会话。这个会话标识可能是之前的连接标识、当前连接标识、或其它处于连接状态的连接标识。会话标识生成后应一直保持到被超时删除或与这个会话相关的连接遇到致命错误被关闭。一个会话失效或被关闭时，与其相关的连接都应被强制关闭。

d.cipher_suites，表示客户端所支持的密码套件列表，客户端应按照密码套件使用的优先级顺序排列，优先级最高的密码套件应排在首位。如果会话标识字段不为空，本字段应至少包含将重用的会话所使用的密码套件。密码套件定义为：

uint8CipherSuite[2];

每个密码套件包括一个密钥交换算法，一个加密算法及密钥长度，和一个校验算法。服务器端将在密码套件列表中选择一个与之匹配的密码套件，如果没有可匹配的密码套件，应返回握手失败报警消息handshake_failure并且关闭连接。

e.compression_methods，客户端所支持的压缩算法列表，客户端应按照压缩算法使用的优先级顺序排列，优先级最高的压缩算法应排在首位。定义为：

enum{null(0),(255)}CompressionMethod;

服务器端将在压缩算法列表中选择一个与之匹配的压缩算法。列表中必须包含空压缩算法，这样客户端和服务器端总能协商出一致的压缩算法。

上述过程描述了客户端的Client_hello消息作为握手过程的第一条消息的方式，该方式主要适用于已建立了安全通道，在已有的通道里由客户端发起握手以重新协商通道的安全参数。但实际中，全过程也可先由服务器端首先发起，此时服务器端首先发起hello请求消息作为第一条消息，客户端以Client_hello消息作为回应来开始一个新的握手过程。在客户端发送Client_hello消息后，等待服务器端回应的Server_hello消息，此时除该回应的Server_hello消息外，对方发送过来的任意消息均被视为是致命错误，将直接导致握手过程失败结束。

在本发明的一个示例的代码中，Server_hello消息的结构如下：

其中使用到的几个变量的说明如下：

a.server_version，表示服务端支持的协议版本。

b.random，表示服务端产生的随机数。

c.session_id，服务端使用的会话标识，如果客户端hello消息中的会话标识不为空，且服务端存在匹配的会话标识，则服务端重用与该标识对应的会话建立新连接，并在回应的服务端hello消息中带上与客户端一致的会话标识，否则服务端产生一个新的会话标识，用来建立一个新的会话。

d.cipher_suite，服务端从客户端hello消息中选取的一个密码套件。对于重用的会话，本字段存放重用会话使用的密码套件。

e.compression_method，服务端从客户端hello消息中选取的一个压缩算法，对于重用的会话，本字段存放重用会话使用的压缩算法。

随后，在服务器端认证阶段，服务器端必须将服务器端SM2证书发给客户端。服务器端证书中包含SM2公钥，在服务器端能够使用该证书对应的私钥进行解密，客户端收到该服务器端证书后，可使用其中的SM2公钥和SM2加密算法来对TLS的预主密钥进行加密，而服务器端在随后的过程中使用对应的私钥进行解密。当然，该证书除了完成加密证书的功能之外，还可存在其他功能，如进行数字签名等。服务器端发送完证书后发送Server_hello_done消息表示全部hello消息完成，发送完该消息后服务器端会等待客户端的响应消息。而客户端接收到Server_hello_done消息之后，应验证服务器端证书是否有效，并检验服务器端的Server_hello消息中的安全参数是否可以接受。如果可以接受，客户端继续握手过程，否则发送一个Handshake failure致命报警。

在客户端认证阶段，client_key_exchange消息中包含预主密钥，该预主密钥由客户端产生，采用服务器端的公钥进行加密。当服务器端收到加密后的预主密钥后，利用相应的私钥进行解密，获取所述预主密钥的明文。随后，服务器端利用预主密钥和安全参数产生主密钥，使用主密钥和安全参数产生密钥分块，密钥分块包含SM4算法的初始化向量和对称加密密钥，该对称加密密钥作为本次握手过程中协商出的密钥为后续消息中的数据提供加密保护。其中，本发明的方法中，密钥交换算法使用SM2PKEA加密算法。

在本发明的一个示例的代码中，client_key_exchange消息的结构如下：

struct{

Opaque SM2PKEAEncryptedPreMasterSecret<0..2^16-1>;

}ClientKeyExchange

其中，SM2PKEAEncryptedPreMasterSecret为使用SM2PKEA算法加密的预主密钥，用服务器端SM2证书中的公钥加密。

预主密钥的数据结构：

其中，client_version为客户端所支持的版本号，服务器要检查这个值是否和客户端hello消息中所发送的值相匹配。

Random为46字节的随机数。

SM2算法加密后的数据格式的ASN.1定义为：

最后，在完成握手阶段，Change_cipher_spec消息表示本方已更换密码套件，该消息内容只有一个值为1的字节，用于通知接收方随后的消息将采用本次协商出的密码套件和密钥进行通信。结束消息标志本方握手过程结束，该消息用本次握手过程中协商出的密钥和密码套件的算法保护，消息的接收方必须检验消息内容的正确性。本阶段中，一方发送了握手结束消息，并且接收到了对方的握手结束消息并通过校验，表明安全通道已建立，此时就可以使用该通道以约定的安全参数进行数据安全传输。更具体地，结束（finished）消息内容是使用更换后的密码套件和密钥进行加密的12字节的伪随机数，所述伪随机数根据对已发握手信息的摘要值的计算而得到。如果协商出摘要算法是SM3算法时，会在已发握手信息的摘要原文前加入由服务器端SM2证书中公钥计算得出的杂凑值，在此基础上再计算摘要值。其中，杂凑值的计算方式参见SM2算法的官方标准文档（国家密码管理局2010年12月的发文《SM2椭圆曲线公钥密码算法》第一部分：总则，第54页，第5.5节“用户其他信息”），加入该杂凑值可进一步提高SM2算法的安全性。

在本发明的一个示例的代码中，finished消息的结构如下：

struct{

Opaque verify_data[12];

}Finished;

其中，verify_data为校验数据，该数据使用伪随机函数PRF产生：

PRF(master_secret,finished_label,SM3(handshake_messages))[0..11];

上述表达式中，finished_lable为结束标签，对于由客户端发送的结束消息，该标签是字符串“client finished”；对于服务端，该标签是字符串“server finished”。

handshake_messages指自Client_hello消息开始直到本消息为止（不包括本消息、密码规格变更消息和hello请求消息）的所有与握手有关的消息，包括握手消息的类型和长度域。

上述方法是一个标准的握手过程，通常用于已知的客户端、已建立安全通道的情况或安全性较低的场合。在某些场合下（比如涉及金融安全等应用或面对未知的客户端），可能还需要对客户端身份进行验证。若需要进行客户端身份验证，进一步参见图1中以虚线表示的消息交互步骤，本发明的认证方法还包括：

在服务器端认证阶段，紧随服务器端SM2证书（SM2certificate）之后还发送客户端证书请求（SM2certificate_request）；

在客户端认证阶段，若客户端曾收到客户端证书请求，则首先向服务器端发送客户端SM2证书（SM2certificate），在发送完密钥交换消息（client_key_exchange）后，还发送客户端SM2证书对握手消息的签名(SM2 certificate_verify)，握手消息(handshake_messages)指的是从客户端hello（client hello）消息开始的，不包含此消息在内的到目前为止的所有发送和接收的消息。服务器端利用收到的客户端SM2证书签名对客户端进行验证。

在本发明的一个示例的代码中，SM2certificate_verify消息的结构如下：

struct{

SM2S ignature sm2signature;

}CertificateVerify;

其中SM2Signature的结构如下。

用于SM2签名的Hash值如下：

CertificateVerify.sm2signature.sm3_hash=SM3(handshake_messages);

sm3_hash是指hash运算的结果，运算的内容是自客户端hello消息开始直到本消息为止（不包括本消息）的所有与握手有关的消息，包括握手消息的类型和长度域。

在整个过程中，任一方在按序发送完本方消息后，若未收到对方预期的回应消息、或收到的回应消息不符（为空、内容错误或未通过验证等），均视为发生了致命错误，立刻发送一个Handshake failure致命报警并终结本次连接。

在上述验证过程中，为进一步保证安全性，在发送客户端SM2证书签名时，将所使用的客户端私钥存放于硬件设备（如USBKey等）中，该硬件设备中的私钥不可复制不可导出，以此来保证密钥安全。更进一步地，签名原文的摘要值（即使用SM3算法计算出的hash值）及该签名值也由存放私钥的硬件设备计算，进一步保证密钥安全不受客户端设备的影响。在服务器端，验证之前还可以选择对客户端SM2证书进行认证，判断该证书是否是由可信任的上级证书签发。

综上所述，通过上述方式，本发明提供了一种基于国密算法建立TLS通道的方法，该方法通过把TLS协议与国密算法相结合的创新型使用方式，首次把SM2、SM3和SM4算法融入TLS协议实现中。TLS是IETF公布的标准，设计主要用于网络的安全传输，已经获得了广泛的应用和认可。SM2、SM3和SM4算法是国家密码局认定的国产密码算法。SM2算法256位私钥的安全级别相当于RSA算法2048位的安全级别，在签名速度上明显的优于2048位的RSA算法。该方法的实现对不断提高我国国家消息安全水平、保证国家利益以及我国自主密码算法的推广应用，具有重大而广泛的现实意义。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (10)

1.一种基于国密算法建立TLS通道的方法，其特征在于，所述方法包括步骤：

握手请求阶段：服务器端发起hello请求消息、客户端收到后发送客户端hello消息作为回应，或客户端直接发起客户端hello消息；服务器端收到所述客户端hello消息后，发送服务器端hello消息作为回应；

服务器端认证阶段：服务器端向客户端发送服务器端SM2证书，随后发送hello完成消息；

客户端认证阶段：客户端收到所述hello完成消息后，发送密钥交换消息；

完成握手阶段：客户端发送更换密码套件消息和结束消息，服务器端收到客户端结束消息后，发送更换密码套件消息和结束消息；双方均收到对方的结束消息并通过验证后，以约定的安全参数进行数据安全传输。

2.根据权利要求1所述的方法，其特征在于，在握手请求阶段，所述客户端hello消息中包含双方建立安全通道的相关安全参数，服务器端收到所述客户端hello消息后，如果能从该消息的安全参数中找到匹配的密码套件，则将所述匹配的密码套件包含在回应的服务器端hello消息中；如果找不到匹配的密码套件，则回应致命报警消息。

3.根据权利要求1所述的方法，其特征在于，在服务器端认证阶段，所述服务器端SM2证书中包含SM2公钥。

4.根据权利要求3所述的方法，其特征在于，在客户端认证阶段，所述密钥交换消息中包含预主密钥，该预主密钥由客户端产生，采用服务器端的SM2公钥进行加密。

5.根据权利要求1所述的方法，其特征在于，在服务器端认证阶段，客户端接收到所述hello完成消息之后，应验证服务器端SM2证书是否有效，并检验服务器端hello消息中的安全参数是否可以接受；如果可以接受，客户端继续握手过程，否则回应致命报警消息。

6.根据权利要求1所述的方法，其特征在于，若需要进行客户端身份验证，所述方法还包括步骤：

在服务器端认证阶段，紧随服务器端SM2证书之后还发送客户端证书请求；

在客户端认证阶段，若客户端曾收到客户端证书请求，则首先向服务器端发送客户端SM2证书，在发送完密钥交换消息后，还发送客户端SM2证书签名；服务器端利用收到的客户端SM2证书签名对客户端进行验证。

7.根据权利要求2所述的方法，其特征在于，在完成握手阶段，所述结束消息内容是使用更换后的密码套件和密钥进行加密的12字节的伪随机数，其中所述加密采用SM4对称加密算法，所述伪随机数根据对已发握手信息的摘要值的计算而得到；如果握手请求阶段匹配的密码套件使用的摘要算法是SM3算法，则在已发握手信息的摘要原文前加入由服务器端SM2证书中公钥计算得出的杂凑值，并在此基础上再计算所述摘要值。

8.根据权利要求6所述的方法，其特征在于，在发送客户端SM2证书签名时，签名原文送入安全硬件中使用SM3算法做摘要并在所述安全硬件中对所述摘要进行签名；其中，所述摘要及所述签名的计算均是在所述安全硬件中进行。

9.根据权利要求4中所述的方法，其特征在于，所述SM2公钥进行加密后的预主密钥包括：加密公钥、所加密数据的摘要和加密后的密文。

10.根据权利要求6中所述的方法，其特征在于，在发送客户端SM2证书签名时，在签名原文中加入由所述服务器端SM2证书中公钥计算得出的杂凑值。

Images