CN105307165B - 基于移动应用的通信方法、服务端和客户端 - Google Patents

Abstract

本发明提供了一种基于移动应用的通信方法、服务端和客户端。该方法包括：接收客户端发送的当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文，第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥；对当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；向客户端发送当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，以使客户端对当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。

Description

基于移动应用的通信方法、服务端和客户端

技术领域

本发明实施例涉及移动通信技术领域，尤其涉及一种基于移动应用的通信方法、服务端和客户端。

背景技术

随着移动终端互联网和智能移动终端的迅速发展，安装在智能移动终端上的移动应用也日益增多。移动应用在给用户带来便利的同时，攻击者通过在移动应用通信过程中窃取用户隐私或改变报文内容，给用户带来重大安全隐患。

现有技术中为了保护移动应用通信过程中的报文安全，采用对报文进行加密的方法。在对报文加密的方法中，包括使用对称加密算法或非对称加密算法进行报文加密。

在采用对称加密算法进行报文加密时，由于客户端需要预置密钥，在客户端被攻击者破解后，攻击者可获取密钥仿造加密报文，不能保护报文的安全。而使用非对称算法对报文进行加密时，加密效率较低，并且由于非对称算法的公钥和私钥是预置的，所以存在重放攻击的风险。

发明内容

本发明实施例提供一种基于移动应用的通信方法、服务端和客户端，提高了加密效率，避免了存在重放攻击的风险。

第一方面，本发明实施例提供一种基于移动应用的通信方法，包括：

接收客户端发送的当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文，所述第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；

根据所述第一加密密文和随机生成的第二加密因子，生成当前会话密钥；

对所述当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；

向所述客户端发送当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，以使所述客户端对所述当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密。

第二方面，本发明提供了一种基于移动应用的通信方法，包括：

采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文；

向服务端发送当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文；

接收所述服务端发送的当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，所述当前会话密钥的密文是所述服务端根据所述第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对所述当前会话密钥采用AES加密算法加密后生成的；

以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对所述当前会话密钥的密文进行解密，生成当前会话密钥；

在当前会话期间，以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密，并向所述服务端发送加密后的请求报文。

第三方面，本发明实施例提供一种服务端，包括：

第一接收模块，接收客户端发送的当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文，所述第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；

生成模块，用于根据所述第一加密密文和随机生成的第二加密因子，生成当前会话密钥；

第一加密模块，用于对所述当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；

第一发送模块，用于向所述客户端发送当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，以使所述客户端对所述当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密。

第四方面，本发明提供了一种客户端，包括：

第二加密模块，用于采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文；

第二发送模块，用于向服务端发送当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文；

第二接收模块，用于接收所述服务端发送的当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，所述当前会话密钥的密文是所述服务端根据所述第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对所述当前会话密钥采用AES加密算法加密后生成的；

第二解密模块，用于以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对所述当前会话密钥的密文进行解密，生成当前会话密钥；

所述第二加密模块，用于在当前会话期间，以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密；

所述第二发送模块，还用于向所述服务端发送加密后的请求报文。

本发明实施例提供一种基于移动应用的通信方法、服务端和客户端，通过接收客户端发送的当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文，第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥；对当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；向客户端发送当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，以使客户端对当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。该方法提高了加密效率，避免了存在重放攻击的风险。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于移动应用的通信方法实施例一的流程图；

图2为本发明基于移动应用的通信方法实施例二的流程图；

图3为本发明基于移动应用的通信方法实施例三的流程图；

图4为本发明服务端实施例一的结构示意图；

图5为本发明服务端实施例二的结构示意图；

图6为本发明客户端实施例一的结构示意图；

图7为本发明客户端实施例二的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明基于移动应用的通信方法实施例一的流程图，如图1所示，本实施例的执行主体为基于移动应用的服务端，具体可以安装在移动应用的服务器，计算机等设备上。则本实施例提供的基于移动应用的通信方法包括：

步骤101，接收客户端发送的当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文，第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的。

本实施例中，在客户端启动进入用户登录界面后，接收客户端发送的当前会话密钥获取请求。当前会话密钥为在当前会话期间，客户端和服务端对需要加密的业务报文进行加密的密钥。

本实施例中，当前会话密钥获取请求可以以请求报文的形式进行接收，在当前会话密钥获取请求中包括第一加密密文。客户端首先随机生成第一加密因子，第一加密因子为伪随机数，然后对第一加密因子采用RSA加密算法进行加密生成第一加密密文。

其中，RSA加密算法为非对称加密算法，将RSA加密算法的公钥保存在客户端，对RSA加密算法的私钥预先保存在服务端。

步骤102，根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥。

具体地，本实施例中，预存储了RSA加密算法对应的解密算法和公钥，对第一加密密文采用RSA加密算法对应的解密算法进行解密，获得第一加密因子，根据第一加密因子和第二加密因子生成当前会话密钥。

由于第一加密因子和第二加密因子都为随机生成的，所以在每个会话期间，根据第一加密因子和第二加密因子生成的会话密钥也不是固定不变的。

本实施例中，根据第一加密因子和第二加密因子生成会话密钥的规则不限定，如可以为第一加密因子和第二加密因子经过预设规则的运算或变换，或者可以为第一加密因子和第二加密因子经过预设规则的组合等，本实施例中不做限定。

步骤103，对当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文。

具体地，本实施例中，以第一加密因子作为对称密钥，以客户端和服务端约定好的预设值为向量，采用AES加密算法对当前会话密钥进行加密，生成当前会话密钥的密文。

其中，约定好的预设值作为向量用于参与AES加密算法的加密运算。该预设值可以为预设的十六位的字符串，或为其他值，本实施例中不做限定。

步骤104，向客户端发送当前会话密钥获取响应，当前会话密钥获取响应中携带当前会话密钥的密文，以使客户端对当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。

本实施例中，当前会话密钥获取响应可以以响应报文的形式进行发送，当前会话密钥获取响应中包括了当前会话密钥的密文，也可以将当前会话密钥的密文组装成报文形式，作为当前会话密钥获取响应发送给客户端，本实施例中不做限定。

由于客户端中存储了第一加密因子和预设值，所以客户端可以以第一加密因子作为对称密钥，预设值作为向量，采用与AES加密算法对应的解密算法对当前会话密钥的密文进行解密，获取当前会话密钥。在客户端获取当前会话密钥之后，在当前会话期间的请求报文的加密时，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对请求报文进行加密。

本实施例提供的基于移动应用的通信方法，通过接收客户端发送的当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文，第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥；对当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；向客户端发送当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，以使客户端对当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。由于根据随机生成的第一加密因子和第二加密因子生成的当前会话密钥，并且当前会话密钥只在当前会话期间有效，所以不会存在重放攻击的风险。并且在整个当前会话期间，只采用了一次RSA加密算法生成第一加密密文，对报文的加密都是根据当前会话密钥采用AES加密算法进行加密的，所以提高了加密效率。

进一步地，本实施例提供的基于移动应用的通信方法，在步骤102中根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥具体包括以下两个步骤。

步骤102a，采用RSA加密算法对应的解密算法对第一加密密文进行解密，获得第一加密因子。

本实施例中，在服务端预先保存了对RSA加密算法的私钥，以私钥为输入，采用对RSA加密算法对应的解密算法对第一加密密文进行解密，获得第一加密因子。解密获得的第一加密因子与客户端中生成的伪随机数相同。

步骤102b，将第一加密因子和第二加密因子按照预设规则进行组合，生成当前会话密钥。

本实施例中，第一加密因子和第二加密因子可以分别为具有多于八位的随机数。预设规则可以为：取第一加密因子的前八位数，并取第二加密因子的后八位数，进行错位组合生成十六位的当前会话密钥，当前会话密钥的奇数位为第一加密因子对应的八位数，偶数位为第二加密因子对应的八位数。其中组合的预设规则也可以为其他规则，如可以为取第一加密因子的前八位数，并取第二加密因子的后八位数，进行错位组合生成十六位的当前会话密钥，当前会话密钥的奇数位为第二加密因子对应的八位数，偶数位为第一加密因子对应的八位数等。

图2为本发明基于移动应用的通信方法实施例二的流程图，如图2所示，本实施例的执行主体为基于移动应用的服务端，具体可以安装在移动应用的服务器，计算机等设备上。则本实施例提供的基于移动应用的通信方法在本发明基于移动应用的通信方法实施例一的基础上，还包括：

步骤201至步骤204与本发明基于移动应用的通信方法实施例一的步骤101至步骤104相同，在此不再一一赘述。步骤201至步骤204未在图2中示意出。

步骤205，接收客户端发送的加密后的请求报文，加密后的请求报文中携带交易标识信息，加密后的请求报文是客户端以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对请求报文进行加密后生成的。

本实施例中，在服务端生成当前会话密钥后，将当前会话密钥写入服务端会话中，对在当前会话密钥进行存储，并存储了AES加密算法对应的预设值，以作为向量参与加密运算。

本实施例中，接收到的加密后的请求报文为涉及到用户隐私的请求报文，如包括了用户的手机号、银行卡账号、汇款金额等字段的请求报文。

在该加密后的请求报文中携带的交易标识信息可以交易的名称。

本实施例中，在当前会话期间，接收客户端发送的加密后的请求报文，该加密后的请求报文对应的对称密钥、向量及加密算法与服务端存储的对称密钥、向量和加密算法对应的解密算法分别是对应的。其中，对称密钥为当前会话密钥，向量为服务端和客户端约定好的预设值，加密算法为AES加密算法，加密算法对应的解密算法为AES加密算法对应的解密算法。

步骤206，采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法对加密后的请求报文进行解密。

本实施例中，由于加密后的请求报文是以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对对应的请求报文进行加密后生成的，所以对加密后的请求报文进行解密时，采用与加密时相同的对称密钥和向量。

步骤207，根据加密后的请求报文中携带的交易标识信息，在预存储的鉴权配置表中查找与加密后的请求报文中携带的交易标识信息对应的鉴权信息，鉴权信息包括鉴权字段和鉴权方式。

本实施例中，为了保证请求报文中包括的用户的手机号、银行卡账号、汇款金额等字段为登录用户所含有或操作的信息，需要对该解密后的请求报文进行鉴权。

在服务端预先存储了加密后的请求报文中携带的交易标识信息和鉴权信息对应的鉴权配置表。在预存储的鉴权配置表中查找与加密后的请求报文的交易标识信息对应的鉴权信息。

步骤208，根据鉴权字段和鉴权方式，对解密后的请求报文进行鉴权。

本实施例中，鉴权字段可以为手机号，账号等，鉴权方式可为为手机号对应的鉴权方式或账号对应的鉴权方式。在保证鉴权通过后，服务端进行后续的步骤。

步骤209，根据解密后的请求报文，生成响应报文，响应报文中携带了交易标识信息。

本实施例中，根据请求报文的业务请求内容，生成响应报文，在响应报文中携带了交易标识信息。

交易标识信息可以表明该响应报文中是否涉及到用户的隐私信息，若涉及到用户的隐私信息，具体含有哪些隐私信息。

步骤210，根据响应报文中携带的交易标识信息，判断响应报文是否为需要加密的报文，若是，则执行步骤211，若否，则执行步骤212。

本实施例中，预先存储了各个响应报文中携带的交易标识信息与是否需要加密的加密配置表。

本实施例中，根据响应报文中携带的交易标识信息，在加密配置表中查找该交易标识信息对应的是否需要对报文加密的信息。

步骤211，采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对响应报文进行加密，并将加密后的响应报文发送给客户端。

本实施例中，若响应报文为需要加密的报文，则采用和客户端对请求报文相同的加密方法对响应报文进行加密。在对响应报文加密后，将加密后的响应报文发送给客户端。

步骤212，将响应报文发送给客户端。

本实施例中，若响应报文为不需要加密的报文，即在响应报文中不存在涉及到用户隐私的信息，则直接将响应报文发送给客户端。

需要说明的是，若客户端发送的请求报文中不含有用户的隐私信息，服务端接收到的请求报文为非加密的请求报文，对于非加密的请求报文不再进行解密及鉴权处理。

本实施例提供的基于移动应用的通信方法，通过在当前会话期间，接收客户端发送的加密后的请求报文，加密后的请求报文是客户端以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对对应的请求报文进行加密后生成的；采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法对加密后的请求报文进行解密；根据解密后的请求报文，生成响应报文，响应报文中携带交易标识信息；根据交易标识信息，判断响应报文是否为需要加密的报文；若响应报文为需要加密的报文，则采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对响应报文进行加密，并将加密后的响应报文发送给客户端，服务端对响应报文进行选择性的加密，在保证响应报文安全的情况下，选择性地对响应进行加密，提高了服务端和客户端的通信效率。

本实施例提供的基于移动应用的通信方法，在采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法对加密后的请求报文进行解密之后，根据加密后的请求报文中携带的交易标识信息，在预存储的鉴权配置表中查找与加密后的请求报文中携带的交易标识信息对应的鉴权信息，鉴权信息包括鉴权字段和鉴权方式，根据鉴权字段和鉴权方式，对解密后的请求报文进行鉴权，能够针对加密后的请求报文中的每个交易统一进行鉴权，保证超出用户权限的交易不被执行。

优选地，本实施例提供的基于移动应用的通信方法，还包括：

首先，采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名。

本实施例中，可在服务端和客户端首次通信前，采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名，获得数字签名后的SSL证书。

然后，向客户端发送数字签名后的SSL证书，以使客户端根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签。

本实施例中，可将数字签名后的SSL证书和当前会话密钥的密文作为响应报文的字段，组装为响应报文发送给客户端，也可在接收客户端发送的当前会话密钥获取请求之前，组装为报文发送给客户端，本实施例中对此不做限定。

本实施例中，私钥、公钥和验证函数都为服务端和客户端预先协商过的。

本实施例中，客户端的公钥及验证函数固化在客户端程序实现的静态库中，以保证公钥和验证函数无法通过反编译获取到。

本实施例中，在客户端根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签通过后，才能保证该服务端的SSL证书为真实证书。

本实施例中，通过采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名，向客户端发送数字签名后的SSL证书，以使客户端根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签，保证了在操作系统层面的证书验证存在欺骗可能性时，在应用层上保证了SSL证书的真实性，有效防止了攻击者在客户端和服务端之间架设代理服务器的形式进行攻击。

图3为本发明基于移动应用的通信方法实施例三的流程图，如图3所示，本实施例的执行主体为基于移动应用的客户端，具体可以安装在移动终端上，如可以为智能手机，平板电脑等。则本实施例提供的基于移动应用的通信方法包括：

步骤301，采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文。

本实施例中，当客户端启动进入用户登录界面后，随机生成第一加密因子，第一加密因子是伪随机数。在客户端中预先存储了RSA加密算法和加密算法所用的公钥，在服务端预先存储了RSA加密算法对应的解密算法解密时所用的私钥。

使用公钥对第一加密因子采用RSA加密算法加密，生成第一加密密文。

步骤302，向服务端发送当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文。

本实施例中，向服务端发送的当前会话密钥获取请求可以为报文的形式，在报文中包括第一加密密文，也可以将第一加密密文组装为当前会话密钥获取请求的请求报文的形式发送给服务端，本实施例中不做限定。

步骤303，接收服务端发送的当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，当前会话密钥的密文是服务端根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对当前会话密钥采用AES加密算法加密后生成的。

本实施例中，接收到的服务端发送的当前会话密钥获取响应可以为报文的形式，该报文中可以携带当前会话密钥的密文，或者当前会话密钥的密文可以为组装成报文形式的当前会话密钥获取响应，本实施例中不做限定。

本实施例中，该当前会话密钥的密文是服务端根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对当前会话密钥采用AES加密算法加密后生成的。具体地，服务端首先采用RSA加密算法对应的解密算法使用预存储的私钥对第一加密密文进行解密，获得第一加密因子，然后第一加密因子和第二加密因子按照预设规则进行组合，生成当前会话密钥，最后以第一加密因子作为对称密钥，以预设值作为向量，采用AES加密算法对当前会话密钥进行加密，生成当前会话密钥的密文。

步骤304，以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对当前会话密钥的密文进行解密，生成当前会话密钥。

本实施例中，由于当前会话密钥的密文是服务端以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法进行加密的，所以在服务端对当前会话密钥的密文进行解密时，也以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对当前会话密钥的密文进行解密，解密后获得当前会话密钥。

本实施例中，预设值为客户端和服务端约定好的值，该预设值作为向量参与解密运算，该预设值可以为十六位的字符串或其他约定的值，本实施例中不做限定。

步骤305，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密，并向服务端发送加密后的请求报文。

本实施例中，当前会话期间是指从客户端获取当前会话密钥到退出用户登录界面的期间。在当前会话期间，客户端可以向服务端一次或多次发送请求报文及一次或多次接收服务端发送的响应报文。

在当前会话期间，若客户端向服务端发送请求报文，该请求报文中携带了用户的隐私信息，如手机号，身份证号，账号等，则该请求报文需要加密。本实施例中，也可在请求报文中携带交易标识信息，根据请求报文的交易标识信息，查找关于是否需要加密的加密配置表，以确定请求报文是否需要加密。

本实施例中，若请求报文为需要加密的请求报文，则以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。在对请求报文进行加密后，将加密后的请求报文发送给服务端。若请求报文为不需要加密的请求报文，则直接将请求报文发送给服务端。

本实施例提供的基于移动应用的通信方法，通过采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文；向服务端发送当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文；接收服务端发送的当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，当前会话密钥的密文是服务端根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对当前会话密钥采用AES加密算法加密后生成的；以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对当前会话密钥的密文进行解密，生成当前会话密钥；在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密，并向服务端发送加密后的请求报文。由于根据随机生成的第一加密因子和第二加密因子生成的当前会话密钥，并且当前会话密钥只在当前会话期间有效，所以不会存在重放攻击的风险。并且在整个当前会话期间，只采用了一次RSA加密算法生成第一加密密文，对报文的加密都是根据当前会话密钥采用AES加密算法进行加密的，所以提高了加密效率。

进一步地，本实施例提供的基于移动应用的通信方法，在步骤305中，向服务端发送的加密后的请求报文中，还包括加密后的请求报文的交易标识信息。

本实施例中在加密后的请求报文中携带交易标识信息，可以使服务端根据加密后的请求报文的交易标识信息，在预存储的鉴权配置表中查找与加密后的请求报文的交易标识信息对应的鉴权信息，鉴权信息包括鉴权字段和鉴权方式，根据鉴权字段和鉴权方式，对解密后的请求报文进行鉴权。

需要说明的是：本实施例中，在步骤305向所述服务端发送加密后的请求报文之后，若接收到服务端发送的加密的响应报文，则以当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对应的解密算法对接收到的加密的响应报文进行解密。

优选地，本实施例提供的基于移动应用的通信方法，还包括：

首先，接收服务端发送的数字签名后的SSL证书。

本实施例中，为了保证服务端的SSL证书为真实证书，可在服务端和客户端首次通信前，服务端采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名，获得数字签名后的SSL证书，然后服务端将数字签名后的SSL证书发送给客户端，客户端接收的数字签名后的SSL证书的方式可以为将数字签名后的SSL证书和当前会话密钥的密文作为响应报文的字段，组装为响应报文接收到的，也可以数字签名后的SSL证书单独组装为报文接收到的。本实施例中对此不做限定。

然后，根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签。

本实施例中，预先在客户端存储了与服务端协商后的公钥和验证函数，公钥及验证函数固化在客户端程序实现的静态库中，以保证公钥和验证函数无法通过反编译获取到。

本实施例中，使用协商后的公钥及验证函数对数字签名后的SSL证书进行验签，若验签通过后，证明服务器的SSL证书为真实证书。

本实施例中，通过接收服务端发送的数字签名后的SSL证书，根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签，保证了在操作系统层面的证书验证存在欺骗可能性时，在应用层上保证了SSL证书的真实性，有效防止了攻击者在客户端和服务端之间架设代理服务器的形式进行攻击。

图4为本发明服务端实施例一的结构示意图，如图4所示，本实施例提供的服务端包括：第一接收模块401，生成模块402，第一加密模块403，第一发送模块404。

其中，第一接收模块401，接收客户端发送的当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文，第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的。生成模块402，用于根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥。第一加密模块403，用于对当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文。第一发送模块404，用于向客户端发送当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，以使客户端对当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。

本实施例提供的服务端可以执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图5为本发明服务端实施例二的结构示意图，如图5所示，本实施例提供的服务端包括：第一接收模块501，生成模块502，第一加密模块503，第一发送模块504，第一解密模块505，判断模块506，数字签名模块507，查找模块508和鉴权模块509。

本实施例提供的服务端在本发明服务端实施例一的基础上，进一步地，生成模块502，具体用于：采用RSA加密算法对应的解密算法对第一加密密文进行解密，获得第一加密因子；将第一加密因子和第二加密因子按照预设规则进行组合，生成当前会话密钥。

进一步地，第一接收模块501，还用于接收客户端发送的加密后的请求报文，加密后的请求报文是客户端以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对请求报文进行加密后生成的。第一解密模块505，还用于采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法对加密后的请求报文进行解密；生成模块502，还用于根据解密后的请求报文，生成响应报文，响应报文中携带交易标识信息。判断模块506，用于根据响应报文中携带的交易标识信息，判断响应报文是否为需要加密的报文。第一加密模块503，还用于若响应报文为需要加密的报文，则采用预存储的当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对响应报文进行加密。第一发送模块504，还用于将加密后的响应报文发送给客户端。

优选地，数字签名模块507，用于采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名。第一发送模块504，还用于向客户端发送数字签名后的SSL证书，以使客户端根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签。

进一步地，加密后的请求报文中携带交易标识信息。

查找模块508，用于根据加密后的请求报文中携带的交易标识信息，在预存储的鉴权配置表中查找与加密后的请求报文中携带的交易标识信息对应的鉴权信息，鉴权信息包括鉴权字段和鉴权方式。鉴权模块509，用于根据鉴权字段和鉴权方式，对解密后的请求报文进行鉴权。

本实施例提供的服务端可以执行图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图6为本发明客户端实施例一的结构示意图，如图6所示，本实施例提供的客户端包括：第二加密模块601，第二发送模块602，第二接收模块603，第二解密模块604。

其中，第二加密模块601，用于采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文。第二发送模块602，用于向服务端发送当前会话密钥获取请求，当前会话密钥获取请求中包括第一加密密文。第二接收模块603，用于接收服务端发送的当前会话密钥获取响应，当前会话密钥获取响应中包括当前会话密钥的密文，当前会话密钥的密文是服务端根据第一加密密文和随机生成的第二加密因子，生成当前会话密钥后对当前会话密钥采用AES加密算法加密后生成的。第二解密模块604，用于以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对当前会话密钥的密文进行解密，生成当前会话密钥。第二加密模块601，还用于在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用AES加密算法对需要加密的请求报文进行加密。第二发送模块602，还用于向服务端发送加密后的请求报文。

本实施例的客户端可以执行图3所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图7为本发明客户端实施例二的结构示意图；如图7所示，本实施例提供的客户端包括：第二加密模块701，第二发送模块702，第二接收模块703，第二解密模块704，验签模块705。

本实施例提供的客户端在本发明客户端实施例一的基础上，优选地，第二接收模块703，还用于接收服务端发送的数字签名后的SSL证书。验签模块705，用于根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签。

进一步地，加密后的请求报文中携带交易标识信息，以使服务端根据加密后的请求报文的交易标识信息，在预存储的鉴权配置表中查找与加密后的请求报文的交易标识信息对应的鉴权信息，鉴权信息包括鉴权字段和鉴权方式，根据鉴权字段和鉴权方式，对解密后的请求报文进行鉴权。

进一步地，本实施例提供的客户端包括：第二接收模块，还用于接收服务端发送的数字签名后的SSL证书。验签模块，用于根据协商后的公钥及验证函数对数字签名后的SSL证书进行验签，保证了在操作系统层面的证书验证存在欺骗可能性时，在应用层上保证了SSL证书的真实性，有效防止了攻击者在客户端和服务端之间架设代理服务器的形式进行攻击。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (16)

1.一种基于移动应用的通信方法，其特征在于，包括：

接收客户端发送的当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文，所述第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；

采用与所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，得到第一加密因子；

将所述第一加密因子和随机生成的第二加密因子按照预设规则进行组合，生成当前会话密钥；

对所述当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；

向所述客户端发送当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，以使所述客户端对所述当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密。

2.根据权利要求1所述的方法，其特征在于，所述根据所述第一加密密文和随机生成的第二加密因子，生成当前会话密钥具体包括：

采用所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，获得所述第一加密因子；

将所述第一加密因子和所述第二加密因子按照预设规则进行组合，生成当前会话密钥。

3.根据权利要求1或2所述的方法，其特征在于，所述向所述客户端发送当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文之后，还包括：

接收所述客户端发送的加密后的请求报文，所述加密后的请求报文是客户端以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对请求报文进行加密后生成的；

采用预存储的当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对应的解密算法对所述加密后的请求报文进行解密；

根据解密后的请求报文，生成响应报文，所述响应报文中携带交易标识信息；

根据所述响应报文中携带的交易标识信息，判断所述响应报文是否为需要加密的报文；

若所述响应报文为需要加密的报文，则采用预存储的当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对所述响应报文进行加密，并将加密后的响应报文发送给客户端。

4.根据权利要求3所述的方法，其特征在于，还包括：

采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名；

向所述客户端发送数字签名后的SSL证书，以使所述客户端根据协商后的公钥及验证函数对所述数字签名后的SSL证书进行验签。

5.根据权利要求4所述的方法，其特征在于，所述加密后的请求报文中携带交易标识信息；

所述采用预存储的当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对应的解密算法对所述加密后的请求报文进行解密之后，还包括：

根据所述加密后的请求报文中携带的交易标识信息，在预存储的鉴权配置表中查找与所述加密后的请求报文中携带的交易标识信息对应的鉴权信息，所述鉴权信息包括鉴权字段和鉴权方式；

根据所述鉴权字段和所述鉴权方式，对解密后的请求报文进行鉴权。

6.一种基于移动应用的通信方法，其特征在于，包括：

采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文；

向服务端发送当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文；

采用与所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，得到第一加密因子；接收所述服务端发送的当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，所述当前会话密钥的密文是所述服务端将所述第一加密因子和随机生成的第二加密因子按照预设规则进行组合，生成当前会话密钥后对所述当前会话密钥采用AES加密算法加密后生成的；

以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对所述当前会话密钥的密文进行解密，生成当前会话密钥；

在当前会话期间，以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密，并向所述服务端发送加密后的请求报文。

7.根据权利要求6所述的方法，其特征在于，还包括：

接收所述服务端发送的数字签名后的SSL证书；

根据协商后的公钥及验证函数对所述数字签名后的SSL证书进行验签。

8.根据权利要求7所述的方法，其特征在于，所述加密后的请求报文中携带交易标识信息，以使所述服务端根据所述加密后的请求报文的交易标识信息，在预存储的鉴权配置表中查找与所述加密后的请求报文的交易标识信息对应的鉴权信息，所述鉴权信息包括鉴权字段和鉴权方式，根据所述鉴权字段和所述鉴权方式，对解密后的请求报文进行鉴权。

9.一种服务端，其特征在于，包括：

第一接收模块，接收客户端发送的当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文，所述第一加密密文是客户端采用RSA加密算法对随机生成的第一加密因子加密生成的；采用与所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，得到第一加密因子；

生成模块，用于将所述第一加密因子和随机生成的第二加密因子按照预设规则进行组合，生成当前会话密钥；

第一加密模块，用于对所述当前会话密钥采用AES加密算法加密，生成当前会话密钥的密文；

第一发送模块，用于向所述客户端发送当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，以使所述客户端对所述当前会话密钥的密文进行解密后，在当前会话期间，以当前会话密钥作为对称密钥，预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密。

10.根据权利要求9所述的服务端，其特征在于，所述生成模块，具体用于：

采用所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，获得所述第一加密因子；将所述第一加密因子和所述第二加密因子按照预设规则进行组合，生成当前会话密钥。

11.根据权利要求9或10所述的服务端，其特征在于，还包括：第一解密模块和判断模块；

所述第一接收模块，还用于接收所述客户端发送的加密后的请求报文，所述加密后的请求报文是客户端以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对请求报文进行加密后生成的；

所述第一解密模块，还用于采用预存储的当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对应的解密算法对所述加密后的请求报文进行解密；

所述生成模块，还用于根据解密后的请求报文，生成响应报文，所述响应报文中携带交易标识信息；

所述判断模块，用于根据所述响应报文中携带的交易标识信息，判断所述响应报文是否为需要加密的报文；

所述第一加密模块，还用于若所述响应报文为需要加密的报文，则采用预存储的当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对所述响应报文进行加密；

所述第一发送模块，还用于将加密后的响应报文发送给客户端。

12.根据权利要求11所述的服务端，其特征在于，还包括：

数字签名模块，用于采用协商后的私钥对SSL证书的指纹信息进行SSL证书的数字签名；

所述第一发送模块，还用于向所述客户端发送数字签名后的SSL证书，以使所述客户端根据协商后的公钥及验证函数对所述数字签名后的SSL证书进行验签。

13.根据权利要求12所述的服务端，其特征在于，所述加密后的请求报文中携带交易标识信息；

所述服务端还包括：查找模块和鉴权模块；

所述查找模块，用于根据所述加密后的请求报文中携带的交易标识信息，在预存储的鉴权配置表中查找与所述加密后的请求报文中携带的交易标识信息对应的鉴权信息，所述鉴权信息包括鉴权字段和鉴权方式；

所述鉴权模块，用于根据所述鉴权字段和所述鉴权方式，对解密后的请求报文进行鉴权。

14.一种客户端，其特征在于，包括：

第二加密模块，用于采用RSA加密算法对随机生成的第一加密因子加密，生成第一加密密文；

第二发送模块，用于向服务端发送当前会话密钥获取请求，所述当前会话密钥获取请求中包括第一加密密文；采用与所述RSA加密算法对应的解密算法对所述第一加密密文进行解密，得到第一加密因子；

第二接收模块，用于接收所述服务端发送的当前会话密钥获取响应，所述当前会话密钥获取响应中包括所述当前会话密钥的密文，所述当前会话密钥的密文是所述服务端将所述第一加密因子和随机生成的第二加密因子按照预设规则进行组合，生成当前会话密钥后对所述当前会话密钥采用AES加密算法加密后生成的；

第二解密模块，用于以第一加密因子作为对称密钥，预设值作为向量，采用AES加密算法对应的解密算法，对所述当前会话密钥的密文进行解密，生成当前会话密钥；

所述第二加密模块，还用于在当前会话期间，以所述当前会话密钥作为对称密钥，所述预设值作为向量，采用所述AES加密算法对需要加密的请求报文进行加密；

所述第二发送模块，还用于向所述服务端发送加密后的请求报文。

15.根据权利要求14所述的客户端，其特征在于，还包括：验签模块；

所述第二接收模块，还用于接收所述服务端发送的数字签名后的SSL证书；

所述验签模块，用于根据协商后的公钥及验证函数对所述数字签名后的SSL证书进行验签。

16.根据权利要求15所述的客户端，其特征在于，所述加密后的请求报文中携带交易标识信息，以使所述服务端根据所述加密后的请求报文的交易标识信息，在预存储的鉴权配置表中查找与所述加密后的请求报文的交易标识信息对应的鉴权信息，所述鉴权信息包括鉴权字段和鉴权方式，根据所述鉴权字段和所述鉴权方式，对解密后的请求报文进行鉴权。