CN108683499B - 最小化密钥管理代价的终端设备初始密钥分发方法及装置 - Google Patents

Abstract

本发明提供了一种最小化密钥管理代价的终端设备初始密钥分发方法及装置，其中终端设备初始密钥分发方法包括如下步骤：在离线环境中分别在终端设备和管理节点中写入非机密数据；执行在线交互过程以实现终端设备身份认证；以及执行在线交互过程以实现管理节点身份认证以及初始密钥分发。本发明的终端设备初始密钥分发方法无需PKI体系或对称密钥管理系统和密钥发行设备，就可以实现终端设备初始密钥的分发。利用DH密钥协商协议的特性实现无需任何预置密钥的初始密钥分发，并设计了双向身份认证机制弥补了DH协议不具备身份认证特性、存在中间人攻击风险的问题。

Description

最小化密钥管理代价的终端设备初始密钥分发方法及装置

技术领域

本发明涉及信息安全领域，特别涉及一种最小化密钥管理代价的终端设备初始密钥分发方法及装置。

背景技术

现代密码学技术为应用系统的信息安全防护问题提供了一种高效、可靠的解决思路。出于安全性、成本等多方因素考虑，应用系统安全方案的设计人员通常选择安全性经过充分论证的标准化密码算法。在这种密码算法本身不具备保密特性的情况下，整套系统的安全性完全取决于密钥数据的安全性。因此，密钥管理方案的设计就成为了系统安全方案设计的重点。

初始密钥如何安全的分发是密钥管理方案设计最关键的问题之一。初始密钥是设备中最初存在的密钥数据，通常在系统开始正式运行之前通过某种安全的方式放入终端设备中，用于保护后续其他密钥数据的安全传输、节点间的身份认证等过程的安全性。

初始密钥是最初存在的密钥，其自身的分发过程无法完全通过密码学手段进行保护。因此，通常需要设计特殊的管理流程，借助非密码学的防护手段实现初始密钥的安全分发。由于终端设备数量庞大、类型多样、同型号设备的生产厂商不唯一导致管理复杂度高等特点，针对终端设备实现初始密钥分发的管理流程在实际应用中往往会给系统的管理者带来巨大的建设、运维成本。

根据所用密码体系的不同，现有的初始密钥分发方法可划分为两类：适用于非对称密码体系的公钥基础设施(PKI)系统和适用于对称密码体系的密钥管理和发行系统。

为了实现非对称密钥体系下初始密钥的分发，应用系统的管理者需要建设公钥基础设施(PKI)体系以实现公钥证书的签发和公钥证书撤销列表的维护，这不仅需要建设达到特定安全防护等级的专用机房、部署相应的密码学运算设备，还需要进行相关运维人员的专业培训，总体建设和运维成本较高。

同时为了实现对称密钥体系下初始密钥的分发，应用系统的管理者需要慎重选择在终端设备中写入初始对称密钥的时机和方式。一种常用的方式是在终端设备的生产阶段由生产商写入初始密钥，随后将相对应的密钥数据导出给系统的管理者，从而在终端设备接入系统上线运行时发挥作用。这种方式中，初始密钥数据需要从终端设备的生产环境传输到应用系统的运行环境，其过程的安全性需要依赖于专人运送、数据存储介质的保护等物理安全手段，不仅综合成本较高，而且可靠性较差。此外，终端设备的生产厂商能够获知初始密钥数据，对于应用系统的管理者而言是一种潜在的风险。另一种常用的方式是在终端设备生产完成后、部署到应用系统之前，由应用系统的管理者写入初始密钥。这种方式下密钥数据不会进入生产环境，不会被终端设备的生产厂商获知，其安全性易于保证，但却导致管理者必须额外建设一条专用于写入初始密钥的流水线(有时也被称为“密钥发行设备”)。由于终端设备类型多样、数量庞大，这类写入初始密钥的流水线设备自身的成本极其运维所需的人力成本均较高，会给应用系统的管理者带来巨大的负担。

公开于该背景技术部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。

发明内容

本发明的目的在于提供最小化密钥管理代价的终端设备初始密钥分发方法，从而克服现有技术的缺点。

本发明的另一目的在于提供一种最小化密钥管理代价的终端设备初始密钥分发装置。

本发明提供了一种最小化密钥管理代价的终端设备初始密钥分发方法，包括如下步骤：在离线环境中分别在终端设备和管理节点中写入非机密数据；执行在线交互过程以实现终端设备身份认证；以及执行在线交互过程以实现管理节点身份认证以及初始密钥分发。

在一优选的实施方式中，在离线环境中分别在终端设备和管理节点中写入非机密数据包括：在多个终端设备类型中的每一个终端设备类型的每一个终端设备中写入唯一标识号；基于所有终端设备的唯一识别号，在管理节点生成全体合法唯一标识号列表。

在一优选的实施方式中，执行在线交互过程以实现终端设备身份认证包括：由终端设备将终端设备的唯一标识号发送给管理节点；由管理节点基于全体合法唯一标识号列表，判断终端设备的身份合法性；基于判断终端设备是合法设备，根据应用系统的需求执行后续动作。

在一优选的实施方式中，由管理节点基于全体合法唯一标识号列表，判断终端设备的身份合法性具体为：由管理节点基于以下内容，判断终端设备的身份合法性：终端设备发送的唯一标识号是否存在于全体合法唯一标识号列表中、或者系统内是否已经存在具有相同唯一标识号的终端设备。

在一优选的实施方式中，执行在线交互过程以实现管理节点身份认证以及初始密钥分发包括：由管理节点生成静态DH公钥、私钥对(Ps，hs)；公开发布静态DH公钥Ps；由终端设备获取静态DH公钥Ps以及管理节点使用的公开参数G和算法F；由终端设备生成动态DH公钥、私钥对(Pc，hc)；由终端设备将动态DH公钥Pc发送给管理节点；由管理节点以及终端设备分别计算共享的初始密钥K；由终端设备向管理节点发送终端设备的初始密钥确认消息；由管理节点验证终端设备的初始密钥确认信息；由管理节点向终端设备发送管理节点的初始密钥确认消息；由终端设备验证管理节点的初始密钥确认消息。

本发明还提供了一种最小化密钥管理代价的终端设备初始密钥分发装置，包括：用于在离线环境中分别在终端设备和管理节点中写入非机密数据的单元；用于执行在线交互过程以实现终端设备身份认证的单元；以及用于执行在线交互过程以实现管理节点身份认证以及初始密钥分发的单元。

在一优选的实施方式中，用于在离线环境中分别在终端设备和管理节点中写入非机密数据的单元还被配置为：在多个终端设备类型中的每一个终端设备类型的每一个终端设备中写入唯一标识号；基于所有终端设备的唯一识别号，在管理节点生成全体合法唯一标识号列表。

在一优选的实施方式中，用于执行在线交互过程以实现终端设备身份认证的单元还被配置为：由终端设备将终端设备的唯一标识号发送给管理节点；由管理节点基于全体合法唯一标识号列表，判断终端设备的身份合法性；基于判断终端设备是合法设备，根据应用系统的需求执行后续动作。

在一优选的实施方式中，由管理节点基于全体合法唯一标识号列表，判断终端设备的身份合法性具体为：由管理节点基于以下内容，判断终端设备的身份合法性：终端设备发送的唯一标识号是否存在于全体合法唯一标识号列表中、或者系统内是否已经存在具有相同唯一标识号的终端设备。

在一优选的实施方式中，用于执行在线交互过程以实现管理节点身份认证以及初始密钥分发的单元还被配置为：由管理节点生成静态DH公钥、私钥对(Ps，hs)；公开发布所述静态DH公钥Ps；由终端设备获取静态DH公钥Ps以及管理节点使用的公开参数G和算法F；由终端设备生成动态DH公钥、私钥对(Pc，hc)；由终端设备将动态DH公钥Pc发送给管理节点；由所述管理节点以及终端设备分别计算共享的初始密钥K；由终端设备向管理节点发送终端设备的初始密钥确认消息；由管理节点验证终端设备的初始密钥确认信息；由管理节点向终端设备发送管理节点的初始密钥确认消息；以及由终端设备验证管理节点的初始密钥确认消息。

与现有技术相比，本发明的最小化密钥管理代价的终端设备初始密钥分发方法及装置具有如下有益效果：本发明的终端设备初始密钥分发方法无需PKI体系或对称密钥管理系统和密钥发行设备，就可以实现终端设备初始密钥的分发。本发明的终端设备初始密钥分发方法利用DH密钥协商协议的特性实现无需任何预置密钥的初始密钥分发，并设计了双向身份认证机制弥补DH协议不具备身份认证特性、存在中间人攻击风险的问题。本发明的终端设备初始密钥分发方法所实现的终端设备与管理节点间的双向身份认证机制无需初始密钥支持，因此无需PKI体系或对称密钥管理系统和密钥发行设备就可以实现。同时，本发明的终端设备初始密钥分发方法通过唯一标识号实现终端设备身份认证，通过管理节点侧使用静态DH公私钥的设计实现管理节点的身份认证。

附图说明

图1是根据本发明的初始密钥配置方法框架流程图；

图2是根据本发明的唯一标识号离线写入过程的方法流程图；

图3是根据本发明的在线交换过程的方法流程图；

图4是根据本发明的终端设备身份认证过程的方法流程图；

图5是根据本发明的管理节点身份认证及初始密钥分发的方法流程图。

具体实施方式

下面结合附图，对本发明的具体实施方式进行详细描述，但应当理解本发明的保护范围并不受具体实施方式的限制。

除非另有其它明确表示，否则在整个说明书和权利要求书中，术语“包括”或其变换如“包含”或“包括有”等等将被理解为包括所陈述的元件或组成部分，而并未排除其它元件或其它组成部分。

根据本发明优选实施方式的最小化密钥管理代价的终端设备初始密钥分发方法，在不使用公钥基础设施(PKI)系统和专用对称密钥发行设备的前提下，通过离线分别写入非机密数据和在线执行一套交互流程，可以在终端设备和管理节点之间产生一对共享的初始密钥。图1是根据本发明的初始密钥配置方法框架流程图。图1中的管理节点11和终端设备12可以是任何形式的软、硬件设备、组件或模块，二者之间的连接可以采用任何物理传输方式和任何通信协议。在完成本发明所述的初始密钥分发过程后，终端设备12和管理节点11就已完成了双向身份认证，互相认可了对方身份的合法性，并确认已经产生了一对双方共享的初始密钥13。双方可以利用这对初始密钥派生出更多的密钥数据，完成交互数据的安全性保护、身份的重新认证等信息安全功能。本发明的终端设备初始密钥分发方法，包括：在离线环境中(即终端设备接入应用系统开始运行之前)分别在终端设备12和管理节点11中写入一批非机密数据(即图1中的步骤101)；随后，本发明的方法包括在线完成交互过程(图1中的步骤102)，在线完成交互过程包括执行在线交互过程以实现终端设备身份认证；以及执行在线交互过程以实现管理节点身份认证以及初始密钥分发。

图2是根据本发明的唯一标识号离线写入过程的方法流程图(图2是图1中的步骤101的一个具体实施例)，如图2所示，对于两类不同的终端设备(如图2中所示的终端设备类型A和终端设备类型B)，每台设备中分别写入一个唯一标识号121。每类设备所用的唯一标识号列表122将上报给管理节点11，汇总保存在与管理节点的数据库中，成为一份全体合法唯一标识号列表111。随着设备的不断增加或报废，图2所示的过程可重复执行，管理节点数据库中保存的全体合法唯一标识号列表111也随之不断更新。图2中的唯一标识号数据及其列表均为非机密数据，可以以明文形式传输、保存。因此，图2中涉及唯一标识号数据及其列表的数据传输、存储环节均不需要额外的安全防护措施。图2仅用于表示离线环境下非机密数据的写入流程，并不限定该过程的具体实施方式。例如，唯一标识号可以是任意格式、长度的数据，只需保证其在系统应用范围内的唯一性即可。管理节点的数据库既可以是与管理节点相连的外部数据库，也可以是位于管理节点内的内部数据库。写入操作可以在设备生产阶段由生产厂商完成，也可以在设备生产完成后、接入应用系统开始运行前的任何环节完成(如设备的第三方检测环节、设备采购入库管理环节、设备现场安装环节等)。

图3是根据本发明的在线交换过程的方法流程图(图3是图1中的步骤102的一个具体实施例)。终端设备身份认证过程(步骤300)依赖于预先写入的非机密数据，即终端设备中的唯一标识号以及管理节点数据库保存的全体合法唯一标识号列表，实现管理节点对终端设备身份合法性的验证。管理节点身份认证及初始密钥分发过程(步骤400)依赖于一系列基于密码学的交互步骤，实现终端设备对管理节点身份合法性的验证，并在二者之间产生一个共享的初始密钥。应当理解的是，在实际应用中，图3所示的两个步骤并无先后顺序要求，可以按照任意顺序分别独立执行，也可以结合为一个完整的步骤一次性完成执行。无论采用哪种方式，只有当这两个步骤都完成之后，终端设备与管理节点之间才能建立其一对共享的初始密钥，并且双方均认可对方身份的合法性。这两个步骤的具体内容将在图4和图5中分别进行详细描述。

图4是根据本发明的终端设备身份认证过程的方法流程图。图4描述了终端设备身份认证过程的详细步骤。首先，终端设备12将其唯一标识号发送给管理节点(步骤301)。随后，管理节点11接收到终端设备12的唯一标识号之后，借助其数据库中保存的全体合法唯一标识号列表判断终端设备身份的合法性(步骤302)。应当理解的是，判断依据包括但不限于终端设备上报的唯一标识号是否存在与列表中、以及系统内是否已有具备相同唯一标识号的终端设备接入等。管理节点判断终端设备的身份合法性之后可以根据应用系统的需求采取相应动作，例如允许合法设备接入系统、执行后续交互，阻止非法设备接入系统或在后台对非法设备进行标记。图4仅用于表示终端设备身份认证过程的核心步骤，并不限制其具体实现时的消息发送步骤、格式和时机。例如，该过程可以由终端设备主动发起，也可以由管理节点发起。该过程可以在终端设备试图接入应用系统时进行，也可以在终端设备运行过程中进行(例如当终端设备需要执行特定操作、访问某些关键的系统服务时)。该过程传输的消息可以采取任意封装格式和传输协议。

图5描述了管理节点身份认证及初始密钥分发过程的详细步骤。首先，管理节点生成静态DH公、私钥对(Ps,hs)(步骤401)，并将其静态DH公钥Ps公开发布(步骤402)。对于一个管理节点组建的应用网络，步骤401和402只需执行一次，因此可以选择在开始执行与终端设备有关的后续步骤之前(500步骤之前)就完成这两个步骤。

步骤401生成的静态DH公、私钥对(Ps,hs)满足关系Ps＝F(G,hs)，其中G为公开参数，算法F可以选择任何具备Diffie-Hellman特性的公钥密码算法，例如国密SM2算法、国密SM9算法、ECDH算法等。具体的，Diffie-Hellman特性是指算法F应满足如下两条性质：1、已知Ps、F和G，求解hs是数学困难问题，即不存在多项式时间的解法。2、对于任意产生的两个公、私钥对(P1,h1)和(P2,h2)，F(P1,h2)＝F(P2,h1)。生成的私钥hs需要保密，其他信息均可公开。

步骤402所指的公开发布静态DH公钥Ps可以以任何方式实现，只要确保终端设备能够以某种途径获取Ps即可。例如，Ps可以保存在管理节点中，以供终端设备接入网络后在线获取。或者，Ps可以由人工导出后以离线方式写入终端设备。

步骤500表示终端设备开始执行后续认证流程的起始点，实际应用中可以是终端设备或管理节点发送的一条消息；也可以是终端设备接入网络的时刻。对于同一台终端设备，步骤500及其之后的流程可能会执行多次。每次执行均会重新实现管理节点的身份鉴别，并协商出全新的初始密钥。与之相对的，步骤500之前的步骤只需执行一次即可。如果实际应用有需要，步骤500之前的步骤也可以重复执行，但这意味着该管理节点所辖的整个应用系统中的全部终端设备均需重新执行步骤500之后的步骤。

步骤411表示终端设备获取管理节点静态DH公钥Ps。具体获取方式与步骤402中管理节点发布Ps的方式对应。例如，终端设备可以通过在线详细从管理节点获取Ps数据；也可以是在接入网络之前由人工离线方式写入终端设备；也可以是从该管理节点所管辖的其他终端设备处获取。此步骤中，除了Ps外，终端设备还需同步获知管理节点使用的公开参数G和算法F。

步骤412中，终端设备生成动态DH公、私钥对(Pc,hc)。具体要求公、私钥对(Pc,hc)满足关系Pc＝F(G,hc)，其中算法F和公开参数G在步骤411中已获取。此外，终端设备每次执行步骤412时生成的公、私钥对(Pc,hc)必须不同。生成的私钥hc必须保密，其他信息可以公开。

步骤413中，终端设备将其动态DH公钥Pc发送给管理节点。

步骤414、415中，管理节点和终端设备分别计算共享的初始密钥K。管理节点所用算法为K＝F(Pc,hs)；终端设备所用算法为K＝F(Ps,hc)。至此，管理节点和终端设备间就完成了初始密钥K的安全分发。

步骤416-419用于管理节点和终端设备相互确认对方已经正确执行了之前步骤、获得了正确的密钥数据K，并再次验证对方身份的合法性。其中，步骤416-417实现终端设备侧的密钥确认；步骤418-419实现管理节点侧的密钥确认。这两部分各自独立运作，其先后顺序并无一定要求。两部分可以使用相同的验证机制，也可以使用不同的验证机制。

步骤416-419可以使用任何基于对称密码运算的密钥确认机制。例如，在步骤416中，终端设备可以使用由初始密钥派生出的一个认证密钥，对双方之前全部交互信息(即步骤411-413的全部信息)计算消息验证码(MAC,Message Authentication Code)，并发送给管理节点。管理节点可以在步骤417中重复上述操作，自行计算消息验证码，并与终端设备发送的消息验证码进行比较。如果二者一致，则可以证明终端设备正确生成了初始密钥。此过程中所用的密钥派生算法和消息验证码算法均可任意选择。

需要特别说明的是，虽然步骤416和步骤418可以使用相同的认证机制，但两个步骤使用的认证数据必须不同。否则，攻击者可以通过重放步骤416的消息伪装成管理节点，欺骗终端设备。一种可行的做法是，在步骤416中使用步骤411-413的全部信息作为认证数据，计算并发送消息认证码；在步骤418中使用步骤411-413及416的全部信息作为认证数据，计算并发送消息认证码。其他能满足这一要求的做法也均可行。

在实际应用中，步骤416-419可以单独执行，也可以与后续的业务数据交互流程相结合执行，或者也可以与之前的某些步骤相结合。例如，步骤416可以与步骤413相结合，组成一条消息一次性完成发送。

前述对本发明的具体示例性实施方案的描述是为了说明和例证的目的。这些描述并非想将本发明限定为所公开的精确形式，并且很显然，根据上述教导，可以进行很多改变和变化。对示例性实施例进行选择和描述的目的在于解释本发明的特定原理及其实际应用，从而使得本领域的技术人员能够实现并利用本发明的各种不同的示例性实施方案以及各种不同的选择和改变。本发明的范围意在由权利要求书及其等同形式所限定。

Claims (4)

1.一种最小化密钥管理代价的终端设备初始密钥分发方法，其特征在于，所述终端设备初始密钥分发方法包括如下步骤：

在离线环境中分别在终端设备和管理节点中写入非机密数据，包括：

在多个终端设备类型中的每一个终端设备类型的每一个终端设备中写入唯一标识号；及

基于所有所述终端设备的唯一识别号，在所述管理节点生成全体合法唯一标识号列表；

执行在线交互过程以实现终端设备身份认证，包括：

由所述终端设备将所述终端设备的唯一标识号发送给所述管理节点；

由所述管理节点基于所述全体合法唯一标识号列表，判断所述终端设备的身份合法性；及

基于判断所述终端设备是合法设备，根据应用系统的需求执行后续动作；以及

执行在线交互过程以实现管理节点身份认证以及初始密钥分发，包括：

由所述管理节点生成静态DH公钥、私钥对(Ps，hs)；

公开发布所述静态DH公钥Ps；

由所述终端设备获取所述静态DH公钥Ps以及所述管理节点使用的公开参数G和算法F；

由所述终端设备生成动态DH公钥、私钥对(Pc，hc)；

由所述终端设备将所述动态DH公钥Pc发送给所述管理节点；

由所述管理节点以及终端设备分别计算共享的初始密钥K；

由所述终端设备向所述管理节点发送终端设备的初始密钥确认消息；

由所述管理节点验证所述终端设备的初始密钥确认信息；

由所述管理节点向所述终端设备发送管理节点的初始密钥确认消息；及

由所述终端设备验证所述管理节点的初始密钥确认消息。

2.根据权利要求1所述的初始密钥分发方法，其特征在于，由管理节点基于所述全体合法唯一标识号列表，判断所述终端设备的身份合法性具体为：由所述管理节点基于以下内容，判断所述终端设备的身份合法性：所述终端设备发送的唯一标识号是否存在于所述全体合法唯一标识号列表中、或者系统内是否已经存在具有相同唯一标识号的终端设备。

3.一种最小化密钥管理代价的终端设备初始密钥分发装置，其特征在于，终端设备初始密钥分发装置包括：

用于在离线环境中分别在终端设备和管理节点中写入非机密数据的单元；

用于执行在线交互过程以实现终端设备身份认证的单元；以及

用于执行在线交互过程以实现管理节点身份认证以及初始密钥分发的单元；

其中，所述用于在离线环境中分别在终端设备和管理节点中写入非机密数据的单元还被配置为：

在多个终端设备类型中的每一个终端设备类型的每一个终端设备中写入唯一标识号；及

基于所有终端设备的唯一识别号，在所述管理节点生成全体合法唯一标识号列表；

其中，所述用于执行在线交互过程以实现终端设备身份认证的单元还被配置为：

由终端设备将所述终端设备的唯一标识号发送给所述管理节点；

由管理节点基于所述全体合法唯一标识号列表，判断所述终端设备的身份合法性；及

基于判断所述终端设备是合法设备，根据应用系统的需求执行后续动作；

其中，所述用于执行在线交互过程以实现管理节点身份认证以及初始密钥分发的单元还被配置为：

由所述管理节点生成静态DH公钥、私钥对(Ps，hs)；

公开发布所述静态DH公钥Ps；

由所述终端设备获取所述静态DH公钥Ps以及所述管理节点使用的公开参数G和算法F；

由所述终端设备生成动态DH公钥、私钥对(Pc，hc)；

由所述终端设备将所述动态DH公钥Pc发送给所述管理节点；

由所述管理节点以及终端设备分别计算共享的初始密钥K；

由所述终端设备向所述管理节点发送终端设备的初始密钥确认消息；

由所述管理节点验证所述终端设备的初始密钥确认信息；

由所述管理节点向所述终端设备发送管理节点的初始密钥确认消息；及

由所述终端设备验证所述管理节点的初始密钥确认消息。

4.根据权利要求3所述的初始密钥分发装置，其特征在于，由管理节点基于所述全体合法唯一标识号列表，判断所述终端设备的身份合法性具体为：由管理节点基于以下内容，判断所述终端设备的身份合法性：所述终端设备发送的唯一标识号是否存在于所述全体合法唯一标识号列表中、或者系统内是否已经存在具有相同唯一标识号的终端设备。

Images