CN105897748B - 一种对称密钥的传输方法及设备 - Google Patents

一种对称密钥的传输方法及设备 Download PDF

Info

Publication number
CN105897748B
CN105897748B CN201610366136.3A CN201610366136A CN105897748B CN 105897748 B CN105897748 B CN 105897748B CN 201610366136 A CN201610366136 A CN 201610366136A CN 105897748 B CN105897748 B CN 105897748B
Authority
CN
China
Prior art keywords
key
module
key block
data
cipher
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610366136.3A
Other languages
English (en)
Other versions
CN105897748A (zh
Inventor
陆舟
于华章
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Feitian Technologies Co Ltd
Original Assignee
Feitian Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Feitian Technologies Co Ltd filed Critical Feitian Technologies Co Ltd
Priority to CN201610366136.3A priority Critical patent/CN105897748B/zh
Publication of CN105897748A publication Critical patent/CN105897748A/zh
Application granted granted Critical
Publication of CN105897748B publication Critical patent/CN105897748B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0478—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying multiple layers of encryption, e.g. nested tunnels or encrypting the content with a first key and then with at least a second key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种对称密钥的传输方法及设备，涉及信息安全领域。本发明首先在两个终端设备中存储相同的保护密钥，其中一个设备使用保护密钥通过特定方式计算出用于数据加密的第二密钥及一个用于信息鉴别的第一密钥，然后通过第二密钥对要传输的对称密钥进行加密得到密钥块数据域，再使用第一密钥对包括协议头和密钥块数据域在内的整个数据进行MAC计算，将由协议头、密钥块数据域和MAC计算结果组成的密钥块数据传递给另一个设备。另一个设备以同样的方法产生第一密钥及第二密钥，并通过第一密钥完成密钥模块数据完整性的校验，通过校验后，再使用第二密钥还原出明文的被传输对称密钥。

Description

一种对称密钥的传输方法及设备
技术领域
本发明涉及信息安全领域，尤其涉及一种对称密钥的传输方法及设备。
背景技术
在两个支持对称密钥体系的金融设备之间进行敏感数据交互时，需要对敏感数据进行数据加密及数据完整性校验，这些操作都需要依靠存储在金融设备内部的对称密钥完成。现有技术中，普遍的方法是分别在两个金融设备内部存储相同的固定数据作为对称密钥，但这种使用固定数据作为对称密钥的方式，使得金融设备之间敏感数据的传输存在安全性弱的问题，并且金融设备中的对称密钥的同步更新也是一个困难问题。
发明内容
为解决现有技术中存在的问题，本发明提出了一种对称密钥的传输方法及设备。
实现本发明采用的技术方案如下：
本发明提出的一种对称密钥的传输方法，其中作为对称密钥的发送方的设备的工作流程包括：
步骤S1：根据预存的保护密钥计算出第一密钥和第二密钥；
步骤S2：使用第二密钥对要传输的对称密钥进行加密得到密钥块数据域，使用第一密钥和预设算法对预设的密钥块头域和所述密钥块数据域进行计算得到密钥块MAC值；
步骤S3：根据所述密钥块头域、所述密钥块数据域和所述密钥块MAC值组成密钥块数据并发送给接收方。
上述步骤S1具体为：获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
上述步骤S2具体包括：
步骤S2-1：将要传输的对称密钥根据预设格式组成待加密数据；
步骤S2-2：使用第二密钥对所述待加密数据进行加密得到密钥块数据域；
优选的，所述预设格式具体为：对称密钥长度值、对称密钥和填充数据的顺序拼接。
步骤S2-3：使用第一密钥和预设算法对由所述预设的密钥块头域和所述密钥块数据域拼接组成的数据进行计算得到密钥块MAC值。
优选的，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
本发明提供了一种对称密钥的传输设备，作为对称密钥的发送方，该设备包括：存储模块、第一计算模块、加密模块、第二计算模块、组成模块和发送模块；
所述存储模块，用于存储保护密钥和要传输的对称密钥；
所述第一计算模块，用于根据所述存储模块中存储的所述保护密钥计算出第一密钥和第二密钥；
所述加密模块，用于使用所述第一计算模块计算出的所述第二密钥对所述存储模块中存储的要传输的对称密钥进行加密得到密钥块数据域；
所述第二计算模块，用于使用预设算法和所述第一计算模块计算出的所述第一密钥对预设的密钥块头域和所述加密模块得到的所述密钥块数据域进行计算得到密钥块MAC值；
所述组成模块，用于根据所述预设的密钥块头域、所述加密模块加密得到的所述密钥块数据域和所述第二计算模块计算得到的所述密钥块MAC值组成密钥块数据；
所述发送模块，用于向接收方发送所述组成模块组成的所述密钥块数据。
上述第一计算模块具体包括，获取单元和异或运算单元；
所述获取单元，用于从所述存储模块中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
上述加密模块，具体用于将所述存储模块中存储的要的对称密钥根据预设格式组成待加密数据，使用所述第一计算模块计算出的所述第二密钥对所述待加密数据进行加密得到密钥块数据域。
本发明提供的一种对称密钥的传输方法，其中作为对称密钥的接收方的设备的工作流程包括：
步骤S4：接收到发送方发送的密钥块数据，解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
步骤S5：根据预存的保护密钥计算出第一密钥和第二密钥；
步骤S6：使用所述第一密钥和预设算法对所述密钥块MAC值进行校验，若校验成功则使用所述第二密钥从所述密钥块数据域中解密出对称密钥并存储，若校验失败则向发送方返回错误码。
上述步骤S5具体为：获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
上述步骤S4还包括：判断所述密钥块头域的各个组成字段是否均合法，是则执行步骤S5，否则向发送方返回错误码。
上述使用所述第一密钥和预设算法对所述密钥块MAC值进行校验具体包括：
步骤S6-1：使用预设算法和第一密钥对所述密钥块头域和密钥块数据域计算得到MAC码；
步骤S6-2：比较计算得到的所述MAC码和所述密钥块MAC值是否相同，是则校验成功，否则校验失败。
上述使用所述第二密钥从所述密钥块数据域中解密出对称密钥并存储具体为：使用第二密钥解密所述密钥块数据域的数据得到对称密钥长度值和解密数据，根据所述对称密钥长度值从所述解密数据中获取对称密钥并存储。
本发明提供了一种对称密钥的传输设备，作为对称密钥的接收方，该设备包括：接收模块、存储模块、计算模块、校验模块和解密模块；
所述接收模块，用于接收发送方发送的密钥块数据，并解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
所述存储模块，用于存储保护密钥和所述解密模块解密出的对称密钥；
所述计算模块，用于根据所述存储模块存储的所述保护密钥计算出第一密钥和第二密钥；
所述校验模块，用于使用所述计算模块计算出的第一密钥和预设算法对所述接收模块解析得到的所述密钥块MAC值进行校验，若校验成功则触发解密模块，若校验失败则向发送方返回错误码；
所述解密模块，用于使用所述计算模块计算出的所述第二密钥从所述接收模块解析得到的所述密钥块数据域中解密出对称密钥。
上述计算模块具体包括，获取单元和异或运算单元；
所述获取单元，用于从所述存储模块中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
上述作为接收方的设备，还包括判断模块；
所述判断模块，用于判断所述接收模块解析得到的所述密钥块头域的各个组成字段是否均合法，若判断结果为是则触发所述计算模块，否则向发送方返回错误码。
上述校验模块具体用于，使用预设算法和所述计算模块计算出的第一密钥对所述接收模块解析得到的所述密钥块头域和密钥块数据域计算得到MAC码，比较计算得到的所述MAC码和所述接收模块解析得到的所述密钥块MAC值是否相同，是则校验成功，否则校验失败。
上述解密模块，具体用于使用所述计算模块计算出的第二密钥解密所述接收模块解析得到的所述密钥块数据域中的数据得到对称密钥长度值和解密数据，根据所述对称密钥长度值从所述解密数据中获取对称密钥。
本发明的有益效果在于：可以安全、灵活地在两个金融设备间进行对称密钥的传输，从而增强了金融设备间敏感信息交互的安全性。
附图说明
图1是实施例1提供的一种对称密钥的传输方法中主设备对要传输的对称密钥的处理方法流程图；
图2是实施例1提供的一种对称密钥的传输方法中从设备获取对称密钥的方法流程图；
图3是实施例2提供的一种解析获取对称密钥的方法流程图；
图4是实施例3提供的一种对称密钥的传输设备；
图5是实施例4提供的一种对称密钥的传输设备。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例1
本实施例提供了一种对称密钥的传输方法，以主设备向从设备传输对称密钥为例进行详细说明，如图1和图2所示，包括以下步骤：
步骤A1、主设备获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥；
具体的，设备中预存的保护密钥为长度是16字节数据，例如，保护密钥为0x89E88C23451444F334BD75472345380C，第一预设值优选为0x43，第二预设值优选为0x41，将保护密钥的每个字节分别与第一预设值进行异或得到第一密钥为0xCAABCF60065707B077FE360460067B4F，将保护密钥的每个字节分别与第二预设值进行异或得到第二密钥为0xC8A9CD62045505B275FC34066204794D。
步骤A2、主设备使用第二密钥对要传输的对称密钥进行加密得到密钥块数据域，根据预设的协议头数据组成密钥块头域，使用第一密钥对所述密钥块头域和所述密钥块数据域计算出MAC值；
优选的，要传输的对称密钥为长度是16字节的数据，主设备生成6字节的随机数作为填充数据，根据对称密钥和填充数据组成待加密数据：对称密钥的长度值(2字节)+对称密钥(16字节)+填充数据(6字节)，其中，对称密钥的长度值用于表示对称密钥的位数；例如：对称密钥的长度值为0x0080，对称密钥为0xF012341BEC83D26B16789CD5B222345F，填充数据为0x72023453BB07，组成的待加密数据为0x0080F012341BEC83D26B16789CD5B222345F72023453BB07；使用第二密钥对所述待加密数据进行加密得到的密钥块数据域为1F0EDC737A8693D854D3AFBA49BA5E507F588ABCD5BBAB52。
根据预设的协议头数据组成的密钥块头域的字符内容为A0072P0T E00E0000。
具体的，使用3DES算法用第一密钥对所述密钥块头域和所述密钥块数据域计算出的MAC值为4D6E96DA。所述3DES算法的初始向量取为所述密钥块头域的部分数据。
步骤A3、主设备根据所述密钥块头域、密钥块数据域和MAC值组成密钥块数据并发送给从设备。
具体的，主设备根据所述密钥块头域、密钥块数据域和MAC值组成的密钥块数据为HEX格式，将其转换为ASCII码格式对应的数据后发送给从设备。
例如，发送给从设备的数据为：413030373250305445303045303030303146304544433733374138363933443835344433414642413439424135453530374635383841424344354242414235323444364539364441。
步骤B1、从设备接收到密钥块数据；
进一步的，从设备接收到密钥块数据时，还包括将其转换为HEX格式。
步骤B2、从设备解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
步骤B3、从设备获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥；
具体的，从设备中预存的保护密钥与主设备中预存的保护密钥一致。优选的，第一预设值为0x43，第二预设值为0x41。
步骤B4、从设备根据第一密钥、密钥块头域和密钥块数据域对所述密钥块MAC值进行校验，若校验成功则执行步骤B5，若校验失败则执行步骤B6；
具体的，从设备使用3DES算法用第一密钥对所述密钥块头域和密钥块数据域计算出MAC码，并比较计算出的所述MAC码和所述密钥块MAC值是否相同，是则校验成功，否则校验失败。
步骤B5、从设备使用第二密钥从所述密钥块数据域中解密出对称密钥并存储，结束。
步骤B6、从设备向主设备返回错误码，结束。
实施例2
本实施例提供了一种对称密钥的传输方法，其中，对称密钥在两个设备之间以密钥块数据的形式进行传输，当密钥块数据从主设备发送至从设备时，从设备解析并获取对称密钥的方法，如图3所示，包括以下步骤：
步骤101：设备接收到密钥块数据；
例如，收到的密钥块数据为413030373250305445303045303030303146304544433733374138363933443835344433414642413439424135453530374635383841424344354242414235323444364539364441。
步骤102：判断接收到的密钥块数据的总长度是否为预设长度，是则执行步骤103，否则返回错误码；
例如，所述预设长度为72字节。
步骤103：解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
具体的，解析所述密钥块数据，获取前16字节的数据作为密钥块头域，获取中间48字节的数据作为密钥块数据域，获取最后8字节的数据作为密钥块MAC值。
例如，解析得到的密钥块头域为41303037325030544530304530303030；密钥块数据域为314630454443373337413836393344383534443341464241343942413545353037463538384142434435424241423532；密钥块MAC值为3444364539364441。
进一步的，本步骤还包括将密钥块数据域和密钥块MAC值转换为HEX格式，转换后的密钥块数据域长度为24字节，密钥块MAC值的长度为4字节。
例如，转换为HEX格式之后的密钥块数据域为0x1F0EDC737A8693D854D3AFBA49BA5E507F588ABCD5BBAB52；密钥块MAC值为0x4D6E96DA。
步骤104：判断所述密钥块头域的各个组成字段是否均合法，是则执行步骤105，否则返回错误码；
具体的，所述密钥块头域中包含有用于标识传输的对称密钥的用途、算法、版本等信息的字段，例如，密钥用途字段、密钥算法字段、密钥版本号字段。
本实施例中优选的，所述密钥块头域的组成字段包括密钥块版本ID(第1字节)、密钥块长度字段(第2-5字节)、密钥用途字段(第6、7字节)、密钥算法字段(第8字节)、密钥使用方法字段(第9字节)、密钥版本号字段(第10、11字节)、密钥输出能力字段(第12字节)、密钥块可选块数量字段(第13、14字节)和预留字段(第15、16字节)。
判断所述密钥块头域的各个组成字段是否均合法具体包括：
1)判断所述密钥块版本ID是否为0x41，是则所述密钥块版本ID合法，否则不合法；
2)判断所述密钥块长度字段是否为0x30303732，是则所述密钥块长度字段合法，否则不合法；
3)判断所述密钥用途字段是否为0x4430或0x4B30或0x4D31或0x5030，是则所述密钥用途字段合法，否则不合法；(其中，密钥用途说明如下：0x4430表示用于数据加密；0x4B30表示用于对传递的密钥进行加密；0x4D31表示使用ISO9797-1MAC算法加密；0x5030表示用于PIN码加密)
4)判断所述密钥算法字段是否为0x41或0x54，是则所述密钥算法字段合法，否则不合法；(其中，0x41表示支持AES；0x54表示支持3DES)
5)判断所述密钥使用方法字段是否为0x42或0x43或0x45，是则所述密钥使用方法字段合法，否则不合法；(其中，0x42表示用于加密或解密，0x43表示用于计算MAC，0x45表示只用于加密)
6)判断所述密钥版本号字段是否为0x3030，是则所述密钥版本号字段合法，否则不合法；
7)判断所述密钥输出能力字段是否为0x45，是则所述密钥输出能力字段合法，否则不合法；
8)判断所述密钥块可选块数量字段是否为0x3030，是则所述密钥块可选块数量字段合法，否则不合法；
9)判断所述预留字段是否为二级密钥的索引值，是则所述预留字段合法，否则不合法。(说明：本实施例中，此索引值合法范围在0-F之间)
步骤105：获取预存的保护密钥，将所述保护密钥的每个字节分别与第一预设值进行异或得到第一密钥，取密钥块头域前8个字节作为初始向量，使用3DES算法用第一密钥对所述密钥块头域和密钥块数据域计算MAC码；
具体的，第一预设值为0x43，所述使用3DES算法用第一密钥对所述密钥块头域和密钥块数据域计算出MAC码具体为，从计算结果的低位起的8个字节数据中取前4个字节数据作为MAC码。
例如，使用3DES算法用第一密钥对所述密钥块头域和密钥块数据域计算得到的计算结果为0x564CCE2955F0D92FA0285D2E6BD362028EFDE5B65F84BB2AAE2A69FEA6A8DCCC4D6E96DADCD78F40，则取4D6E96DA作为MAC码。
步骤106：比较计算得到的所述MAC码和所述密钥块MAC值是否相同，是则执行步骤107，否则返回错误码；
步骤107：将所述保护密钥的每个字节分别与第二预设值进行异或得到第二密钥，取预设数值作为初始向量，使用3DES算法用第二密钥解密所述密钥块数据域的数据得到对称密钥长度值和解密数据；
具体的，第二预设值为0x41，预设数值为0x0000000000000000，密钥块数据域的数据格式为：对称密钥长度值(2个字节)+解密数据(30个字节)，其中，解密数据的组成格式为：对称密钥数据(16个字节)+填充数据(6个字节)。
例如，得到的对称密钥长度值为0x0080，解密数据为0xF012341BEC83D26B16789CD5B222345F72023453BB07。
步骤108：根据所述对称密钥长度值从所述解密数据中获取对称密钥并存储。
具体的，根据对称密钥长度值得到对称密钥的位数，根据对称密钥的位数得到对称密钥的字节数，根据得到的字节数从解密数据中获取相应字节长度的数据作为对称密钥。
例如，从解密数据中获取的对称密钥为0xF012341BEC83D26B16789CD5B222345F。
实施例3
本实施例提供了一种对称密钥的传输设备，如图4所示，包括：存储模块201、第一计算模块202、加密模块203、第二计算模块204、组成模块205和发送模块206；
所述存储模块201，用于存储保护密钥和要传输的对称密钥；
所述第一计算模块202，用于根据所述存储模块201中存储的所述保护密钥计算出第一密钥和第二密钥；
优选的，所述第一计算模块202具体包括获取单元和异或运算单元；
所述获取单元，用于从所述存储模块201中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
所述加密模块203，用于使用所述第一计算模块202计算出的所述第二密钥对所述存储模块201中存储的要传输的对称密钥进行加密得到密钥块数据域；
优选的，所述加密模块203，具体用于将要传输的对称密钥根据预设格式组成待加密数据，使用第二密钥对所述待加密数据进行加密得到密钥块数据域。所述预设格式具体为：对称密钥长度值+对称密钥+随机数。
所述第二计算模块204，用于使用预设算法和所述第一计算模块202计算出的所述第一密钥对预设的密钥块头域和所述加密模块203加密得到的所述密钥块数据域进行计算得到密钥块MAC值；
优选的，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
所述组成模块205，用于根据所述预设的密钥块头域、所述加密模块203加密得到的所述密钥块数据域和所述第二计算模块204计算得到的所述密钥块MAC值组成密钥块数据；
所述发送模块206，用于向接收方发送所述组成模块205组成的所述密钥块数据。
实施例4
本实施例提供了一种对称密钥的传输设备，如图5所示，包括：接收模块301、存储模块302、计算模块303、校验模块304和解密模块305；
所述接收模块301，用于接收发送方发送的密钥块数据，并解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值，触发计算模块303；
所述存储模块302，用于存储保护密钥和所述解密模块305解密出的对称密钥；
所述计算模块303，用于根据所述存储模块302存储的所述保护密钥计算出第一密钥和第二密钥；
优选的，所述计算模块303具体包括获取单元和异或运算单元；
所述获取单元，用于从所述存储模块302中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
所述校验模块304，用于使用所述计算模块303计算出的第一密钥和预设算法对所述接收模块301解析得到的所述密钥块MAC值进行校验，若校验成功则触发解密模块305，若校验失败则向发送方返回错误码；
优选的，所述校验模块304具体用于，使用预设算法和所述计算模块303计算出的第一密钥对所述接收模块301解析出的密钥块头域和密钥块数据域计算得到MAC码，比较计算得到的所述MAC码和所述接收模块301解析出的所述密钥块MAC值是否相同，是则校验成功，否则校验失败。所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
所述解密模块305，用于使用所述计算模块303计算出的所述第二密钥从所述接收模块301解析得到的所述密钥块数据域中解密出对称密钥。
优选的，所述解密模块305，具体用于使用所述计算模块303计算出的第二密钥解密所述接收模块301解析得到的所述密钥块数据域中的数据得到对称密钥长度值和解密数据，根据所述对称密钥长度值从所述解密数据中获取对称密钥。
进一步的，本实施例提供的设备还可以包括判断模块；
所述判断模块，用于判断所述接收模块301解析得到的所述密钥块头域的各个组成字段是否均合法，若判断结果为是则触发所述计算模块303，否则向发送方返回错误码。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (22)

1.一种对称密钥的传输方法，其特征在于，包括：
步骤S1：根据预存的保护密钥计算出第一密钥和第二密钥；
步骤S2：使用第二密钥对要传输的对称密钥进行加密得到密钥块数据域，使用第一密钥和预设算法对预设的密钥块头域和所述密钥块数据域进行计算得到密钥块MAC值；
步骤S3：根据所述密钥块头域、所述密钥块数据域和所述密钥块MAC值组成密钥块数据并发送给接收方；
所述密钥块头域中包括用于标识传输的对称密钥的用途和算法的字段。
2.根据权利要求1所述的方法，其特征在于，所述步骤S1具体为：获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
3.根据权利要求1所述的方法，其特征在于，所述步骤S2具体包括：
步骤S2-1：将要传输的对称密钥根据预设格式组成待加密数据；
步骤S2-2：使用第二密钥对所述待加密数据进行加密得到密钥块数据域；
步骤S2-3：使用第一密钥和预设算法对由所述预设的密钥块头域和所述密钥块数据域拼接组成的数据进行计算得到密钥块MAC值。
4.根据权利要求3所述的方法，其特征在于，所述方法还包括生成随机数，将生成的所述随机数作为填充数据，所述步骤S2-1中所述预设格式具体为：对称密钥长度值、对称密钥和填充数据的顺序拼接。
5.根据权利要求1所述的方法，其特征在于，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
6.一种对称密钥的传输设备，其特征在于，包括：存储模块、第一计算模块、加密模块、第二计算模块、组成模块和发送模块；
所述存储模块，用于存储保护密钥和要传输的对称密钥；
所述第一计算模块，用于根据所述存储模块中存储的所述保护密钥计算出第一密钥和第二密钥；
所述加密模块，用于使用所述第一计算模块计算出的所述第二密钥对所述存储模块中存储的要传输的对称密钥进行加密得到密钥块数据域；
所述第二计算模块，用于使用预设算法和所述第一计算模块计算出的所述第一密钥对预设的密钥块头域和所述加密模块得到的所述密钥块数据域进行计算得到密钥块MAC值；
所述组成模块，用于根据所述预设的密钥块头域、所述加密模块加密得到的所述密钥块数据域和所述第二计算模块计算得到的所述密钥块MAC值组成密钥块数据；
所述发送模块，用于向接收方发送所述组成模块组成的所述密钥块数据；
所述密钥块头域中包括用于标识传输的对称密钥的用途和算法的字段。
7.根据权利要求6所述的设备，其特征在于：所述第一计算模块具体包括，获取单元和异或运算单元；
所述获取单元，用于从所述存储模块中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
8.根据权利要求6所述的设备，其特征在于：所述加密模块，具体用于将所述存储模块中存储的要的对称密钥根据预设格式组成待加密数据，使用所述第一计算模块计算出的所述第二密钥对所述待加密数据进行加密得到密钥块数据域。
9.根据权利要求8所述的设备，其特征在于：所述加密模块还用于生成随机数，并将生成的所述随机数作为填充数据，所述预设格式具体为：对称密钥长度值、对称密钥和填充数据的顺序拼接。
10.根据权利要求6所述的设备，其特征在于，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
11.一种对称密钥的传输方法，其特征在于，包括：
步骤S4：接收到发送方发送的密钥块数据，解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
步骤S5：根据预存的保护密钥计算出第一密钥和第二密钥；
步骤S6：使用所述第一密钥和预设算法对所述密钥块MAC值进行校验，若校验成功则使用所述第二密钥从所述密钥块数据域中解密出对称密钥并存储，若校验失败则向发送方返回错误码；
所述密钥块头域中包括用于标识传输的对称密钥的用途和算法的字段。
12.根据权利要求11所述的方法，其特征在于，所述步骤S5具体为：获取预存的保护密钥，将所述保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
13.根据权利要求11所述的方法，其特征在于，所述步骤S4还包括：判断所述密钥块头域的各个组成字段是否均合法，是则执行步骤S5，否则向发送方返回错误码。
14.根据权利要求11所述的方法，其特征在于，所述使用所述第一密钥和预设算法对所述密钥块MAC值进行校验具体包括：
步骤S6-1：使用预设算法和第一密钥对所述密钥块头域和密钥块数据域计算得到MAC码；
步骤S6-2：比较计算得到的所述MAC码和所述密钥块MAC值是否相同，是则校验成功，否则校验失败。
15.根据权利要求11所述的方法，其特征在于，所述使用所述第二密钥从所述密钥块数据域中解密出对称密钥并存储具体为：使用第二密钥解密所述密钥块数据域的数据得到对称密钥长度值和解密数据，根据所述对称密钥长度值从所述解密数据中获取对称密钥并存储。
16.根据权利要求11所述的方法，其特征在于，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
17.一种对称密钥的传输设备，其特征在于，包括：接收模块、存储模块、计算模块、校验模块和解密模块；
所述接收模块，用于接收发送方发送的密钥块数据，并解析所述密钥块数据得到密钥块头域、密钥块数据域和密钥块MAC值；
所述存储模块，用于存储保护密钥和所述解密模块解密出的对称密钥；
所述计算模块，用于根据所述存储模块存储的所述保护密钥计算出第一密钥和第二密钥；
所述校验模块，用于使用所述计算模块计算出的第一密钥和预设算法对所述接收模块解析得到的所述密钥块MAC值进行校验，若校验成功则触发解密模块，若校验失败则向发送方返回错误码；
所述解密模块，用于使用所述计算模块计算出的所述第二密钥从所述接收模块解析得到的所述密钥块数据域中解密出对称密钥；
所述密钥块头域中包括用于标识传输的对称密钥的用途和算法的字段。
18.根据权利要求17所述的设备，其特征在于：所述计算模块具体包括，获取单元和异或运算单元；
所述获取单元，用于从所述存储模块中获取所述保护密钥；
所述异或运算单元，用于将所述获取单元获取的保护密钥分别与第一预设值和第二预设值进行异或得到第一密钥和第二密钥。
19.根据权利要求17所述的设备，其特征在于：还包括判断模块；
所述判断模块，用于判断所述接收模块解析得到的所述密钥块头域的各个组成字段是否均合法，若判断结果为是则触发所述计算模块，否则向发送方返回错误码。
20.根据权利要求17所述的设备，其特征在于：所述校验模块具体用于，使用预设算法和所述计算模块计算出的第一密钥对所述接收模块解析得到的所述密钥块头域和密钥块数据域计算得到MAC码，比较计算得到的所述MAC码和所述接收模块解析得到的所述密钥块MAC值是否相同，是则校验成功，否则校验失败。
21.根据权利要求17所述的设备，其特征在于：所述解密模块，具体用于使用所述计算模块计算出的第二密钥解密所述接收模块解析得到的所述密钥块数据域中的数据得到对称密钥长度值和解密数据，根据所述对称密钥长度值从所述解密数据中获取对称密钥。
22.根据权利要求17所述的设备，其特征在于，所述预设算法具体为3DES算法，所述3DES算法的初始向量取为所述密钥块头域的部分数据。
CN201610366136.3A 2016-05-27 2016-05-27 一种对称密钥的传输方法及设备 Active CN105897748B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610366136.3A CN105897748B (zh) 2016-05-27 2016-05-27 一种对称密钥的传输方法及设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610366136.3A CN105897748B (zh) 2016-05-27 2016-05-27 一种对称密钥的传输方法及设备

Publications (2)

Publication Number Publication Date
CN105897748A CN105897748A (zh) 2016-08-24
CN105897748B true CN105897748B (zh) 2019-05-10

Family

ID=56710363

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610366136.3A Active CN105897748B (zh) 2016-05-27 2016-05-27 一种对称密钥的传输方法及设备

Country Status (1)

Country Link
CN (1) CN105897748B (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106357393B (zh) * 2016-08-27 2019-09-13 飞天诚信科技股份有限公司 一种安全的数据传输方法及装置
WO2019178760A1 (zh) * 2018-03-21 2019-09-26 福建联迪商用设备有限公司 一种传输密钥的方法及pos终端
CN108718317A (zh) * 2018-06-12 2018-10-30 飞天诚信科技股份有限公司 一种个人识别码保护的方法及装置
CN108933790B (zh) * 2018-07-05 2020-12-22 山东省计算中心（国家超级计算济南中心） 高安全等级的ota升级固件的加密方法
CN109150510B (zh) * 2018-08-15 2021-03-16 飞天诚信科技股份有限公司 一种获取对称密钥的方法及设备
CN111565206B (zh) * 2020-07-16 2020-10-16 飞天诚信科技股份有限公司 一种安全传输密钥的方法及终端

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040017445A (ko) * 2002-08-21 2004-02-27 엘지전자 주식회사 멀티미디어 데이터 인증방법
CN1585405A (zh) * 2004-06-04 2005-02-23 西安电子科技大学 宽带无线ip网络安全体系结构及安全实现方法
CN101826961A (zh) * 2010-05-25 2010-09-08 上海复旦天臣新技术有限公司 数据传输加解密方法、装置及系统
CN102739406A (zh) * 2012-07-17 2012-10-17 飞天诚信科技股份有限公司 一种安全传输设备信息的方法
CN103475474A (zh) * 2013-08-28 2013-12-25 华为技术有限公司 一种提供、获取共享的加密数据的方法及身份认证设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20040017445A (ko) * 2002-08-21 2004-02-27 엘지전자 주식회사 멀티미디어 데이터 인증방법
CN1585405A (zh) * 2004-06-04 2005-02-23 西安电子科技大学 宽带无线ip网络安全体系结构及安全实现方法
CN101826961A (zh) * 2010-05-25 2010-09-08 上海复旦天臣新技术有限公司 数据传输加解密方法、装置及系统
CN102739406A (zh) * 2012-07-17 2012-10-17 飞天诚信科技股份有限公司 一种安全传输设备信息的方法
CN103475474A (zh) * 2013-08-28 2013-12-25 华为技术有限公司 一种提供、获取共享的加密数据的方法及身份认证设备

Also Published As

Publication number Publication date
CN105897748A (zh) 2016-08-24

Similar Documents

Publication Publication Date Title
CN105897748B (zh) 一种对称密钥的传输方法及设备
CN107294937B (zh) 基于网络通信的数据传输方法、客户端及服务器
CN103905202B (zh) 一种基于puf的rfid轻量级双向认证方法
CN108768930A (zh) 一种数据的加密传输方法
CN111147225A (zh) 基于双密值和混沌加密的可信测控网络认证方法
CN109194656A (zh) 一种配电无线终端安全接入的方法
CN105049401B (zh) 一种基于智能车的安全通信方法
EP3476078B1 (en) Systems and methods for authenticating communications using a single message exchange and symmetric key
CN112702318A (zh) 一种通讯加密方法、解密方法、客户端及服务端
WO2020155622A1 (zh) 提高影像数据传输安全的方法、装置、系统及存储介质
CN110753321A (zh) 一种车载tbox与云服务器的安全通信方法
CN106572106A (zh) 一种tbox终端和tsp平台之间报文传输的方法
CN103428204B (zh) 一种可抵御计时攻击的数据安全实现方法及设备
CN106506149B (zh) 一种tbox终端和tsp平台之间密钥生成方法以及系统
CN102664740B (zh) 一种基于远程授权的招投标文件加解密方法
CN106973056A (zh) 一种面向对象的安全芯片及其加密方法
CN105071935A (zh) 一种数据处理方法、异构系统和集成系统
US20140044262A1 (en) Low Latency Encryption and Authentication in Optical Transport Networks
CN104243494A (zh) 一种数据处理方法
CN112653719A (zh) 汽车信息安全存储方法、装置、电子设备和存储介质
CN106850207A (zh) 无ca的身份认证方法和系统
CN105281910A (zh) 带ca数字证书作为入网身份识别的物联网锁及其入网身份识别方法
CN108599926A (zh) 一种基于对称密钥池的HTTP-Digest改进型AKA身份认证系统和方法
CN105791258A (zh) 一种数据传输方法、终端及开放平台
CN108199847A (zh) 数字安全处理方法、计算机设备及存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
OL01 Intention to license declared
OL01 Intention to license declared