CN109962781B - 一种数字证书分发装置 - Google Patents

一种数字证书分发装置 Download PDF

Info

Publication number
CN109962781B
CN109962781B CN201711434892.6A CN201711434892A CN109962781B CN 109962781 B CN109962781 B CN 109962781B CN 201711434892 A CN201711434892 A CN 201711434892A CN 109962781 B CN109962781 B CN 109962781B
Authority
CN
China
Prior art keywords
certificate
equipment
connection module
network
packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201711434892.6A
Other languages
English (en)
Other versions
CN109962781A (zh
Inventor
赵子华
廖永汉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang Uniview Technologies Co Ltd
Original Assignee
Zhejiang Uniview Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang Uniview Technologies Co Ltd filed Critical Zhejiang Uniview Technologies Co Ltd
Priority to CN201711434892.6A priority Critical patent/CN109962781B/zh
Publication of CN109962781A publication Critical patent/CN109962781A/zh
Application granted granted Critical
Publication of CN109962781B publication Critical patent/CN109962781B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme

Abstract

本发明公开了一种数字证书分发装置，包括网络连接模块和证书生成模块，并进一步还包括数据连接模块。其中，网络连接模块用于连接业务网络和第一设备，在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备；数据连接模块用于连接第二设备，在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备；证书生成模块用于生成证书包，通过网络连接模块或数据连接模块将证书包发送给设备。本发明根私钥保存在证书生成模块的硬件加密区域。本发明的装置在小企业/个人用户实现视频监控网络部署时，部署过程简单，实现方便，部署成本小。

Description

一种数字证书分发装置
技术领域
本发明属于数字证书分发技术领域，尤其涉及一种数字证书分发装置。
背景技术
PKI(Public Key Infrastructure)公钥基础设施是提供公钥加密和数字前面服务的系统或平台，目的是为了管理密钥和证书。众所周知，构建密码服务系统的核心内容是如何实现密钥。PKI公钥体制涉及一对密钥(即私钥和公钥)，私钥只由用户独立掌握，无须在网上传输，而公钥则是公开的，需要在网上传送，故PKI公钥体制的密钥管理主要针对公钥的管理问题，时下较好的解决是数字证书机制。
数字证书采用PKI公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥(私钥)，用它进行解密和签名；同时设定一把公共密钥(公钥)并由本人公开，为一组用户所共享，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。
目前随着对安全的重视，网络设备采用加密已是日趋普及。对于加密有多种技术实现，但证书分发是其中一个无法逾越的环节，通常通过预置根证书或者企业证书服务器的方法。其中预置根证书的方法需要用户预置知名根证书，用户从根证书服务商处获取数字证书，但这种方法需要额外的费用，并且繁琐的过程不适合小型企业/个人使用。而企业配置专用根服务器，客户端通过根服务器获取数字证书的方法，对于小型企业/个人，部署额外的服务器并非是可行的方案。
可见，目前这几种方案都不适合于小型企业/个人使用，而如果通过手工操作导入证书，不仅操作不便利，且容易流失根证书。
发明内容
本发明的目的是提供一种数字证书分发装置，用于解决小型企业/个人的数字证书分发问题，降低了部署的成本，使得部署非常容易。
为了实现上述目的，本发明技术方案如下：
一种数字证书分发装置，所述数字证书分发装置包括：
网络连接模块，用于连接业务网络和第一设备，在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备；
证书生成模块，用于根据网络连接模块的通知生成第一证书包，通过网络连接模块将第一证书包发送给第一设备；
所述证书生成模块中设置有根密钥对，包括根公钥和根私钥，所述根私钥保存在证书生成模块的硬件加密区域。
进一步地，所述数字证书分发装置，还包括：
数据连接模块，用于连接第二设备，在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备；
所述证书生成模块，还用于根据数据连接模块的通知生成第二证书包，通过数据连接模块将第二证书包导入到第二设备。
本发明所述网络连接模块包括第一网口和第二网口，所述第一网口连接业务网络，所述第二网口连接第一设备。
本发明优选地，所述网络连接模块在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备，执行如下操作：
接收第一设备发送DHCP discover报文，如果探测到所述DHCP discover报文中存在预设的扩展选项，则不进行此报文的转发，而是回复DHCP offer消息，同样携带所述扩展选项；
接收第一设备在收到DHCP offer消息后发送的Request消息，如果所述Request消息同样携带所述扩展选项，则通知证书生成模块生成第一证书包，然后回复正常的DHCPACK响应，DHCP ACK响应携带所述扩展选项，扩展的Len为第一证书包内容的长度，Content则为第一证书包内容。
进一步地，所述网络连接模块在DHCP ACK响应报文中，将地址有效时间设置为预设的第一时间值，所述预设的第一时间值小于3秒。
进一步地，本发明所述数据连接模块包括USB接口。
本发明的一种实现方式，所述数据连接模块在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备，执行如下操作：
通过与第二设备的连接接口检测到与第二设备连接后，通知证书生成模块生成第二证书包；
响应第二设备的证书导入操作，将第二证书包导入到第二设备。
本发明的另一种实现方式，所述证书生成模块生成有导入第二证书包的应用程序。通过该应用程序将第二证书包导入到第二设备。
本发明提出的一种数字证书分发装置，通过网络连接模块串接在第一设备与业务网络之间，通过与第一设备的交互，将第一证书包注入到第一设备；并通过数据连接模块连接第二设备，将第二证书包导入到第二设备。本发明的装置在小企业/个人用户实现视频监控网络部署时，部署过程简单，实现方便，部署成本小。
附图说明
图1为本发明一种数字证书分发装置结构示意图。
具体实施方式
下面结合附图和实施例对本发明技术方案做进一步详细说明，以下实施例不构成对本发明的限定。
如图1所示，本实施例一种数字证书分发装置，包括
网络连接模块，用于连接业务网络和第一设备，在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备；
数据连接模块，用于连接第二设备，在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备；
证书生成模块，用于根据网络连接模块的通知生成第一证书包，通过网络连接模块将第一证书包发送给第一设备；根据数据连接模块的通知生成第二证书包，通过数据连接模块将第二证书包导入到第二设备。
本实施例以视频监控系统的前端设备(如网路摄像机IPC)、客户端的部署为例进行说明，本技术方案同样适合其他采用PKI公钥机制的设备之间的证书分发。在视频监控系统中，在前端设备和客户端上导入数字证书，使得前端设备与客户端之间实现安全通信。
本实施例网络连接模块包括第一网口和第二网口，第一网口连接到业务网络，第二网口连接第一设备。第一网口、第二网口一般采用以太网网口，也可以使用RS485接口。由于接入到业务网络的接入交换机通常都采用以太网的网口，并且IPC也是以太网网口连接，而且现在网络中的设备大都支持以太网接口，因此第一网口、第二网口一般采用以太网网口。目前网络中的设备还大多支持WIFI无线通信，例如IPC现在大多支持WIFI连接，因此第二网口还可以采用WIFI无线通信模块，或其他无线通信模块，这里不再赘述。
在视频监控系统中，IPC通过网线或WIFI接入到业务网络，本实施例将数字证书分发装置串接在IPC与业务网络之间，网络连接模块的第一网口连接业务网络的接入交换机，第二网口连接IPC(也即第一设备)。
IPC在初始状态下，接入到网络中后，会发送网络发现报文，探测网络中其他设备。初始状态一般是指出厂状态，或恢复默认配置后的状态，或重置证书后的状态，或证书失效后的状态。本实施例IPC发送的网络发现报文是DHCP discover报文，网络连接模块在接收到IPC发出的DHCP discover报文后，与IPC进行交互。IPC发送的网络发现报文还可以是ONVIF报文，例如发送ONVIF Hello问候消息与网络连接模块交互，或网络连接模块发送Probe探测消息来探测到第一设备的接入，来实现交互。
本实施例在使用DHCP来进行交互时，网络连接模块在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成第一证书包发送给第一设备，执行如下操作：
接收第一设备发送DHCP discover报文，如果探测到所述DHCP discover报文中存在预设的扩展选项，则不进行此报文的转发，而是回复DHCP offer消息，同样携带所述扩展选项；
接收第一设备在收到DHCP offer消息后发送的Request消息，如果所述Request消息同样携带所述扩展选项，则通知证书生成模块生成第一证书包，然后回复正常的DHCPACK响应，DHCP ACK响应携带所述扩展选项，扩展的Len为第一证书包内容的长度，Content则为第一证书包内容。
以下对DHCP报文交互过程进行详细的介绍：
IPC启动时在DHCP discover报文中增加扩展选项；
网络连接模块接收DHCP discover报文，探测到存在扩展选项，则不进行此报文的转发，而是回复DHCP offer消息，同样携带上述扩展选项；
IPC在收到DHCP offer消息后发送Request消息，同样携带上述扩展选项；
网络连接模块接收在接收到Request消息后，通知证书生成模块生成第一证书包，然后回复正常的DHCP ACK响应，DHCP ACK响应携带扩展选项，扩展的Len为证书包内容的长度，Content则为第一证书包内容。
需要说明的是，如果单个Option因长度限制无法携带完整的第一证书包，可通过多个Option字段拼接。本实施例在DHCP报文中增加扩展选项，是便于与正常的DHCP报文进行区别。
本实施例网络连接模块在DHCP ACK响应报文中，将地址有效时间设置为预设的第一时间值，所述预设的第一时间值小于3秒。即在DHCP ACK响应报文中，将地址有效时间设置非常短，比如为1秒钟。
IPC在收到DHCP ACK响应报文后，保存第一证书包。IPC收到DHCP ACK响应报文，获取到分配的地址，之后在分配的地址超时(地址有效时间非常短)后，正常发起后续DHCP过程。由于已经获取第一证书包，后续报文不再携带扩展字段，正常的向业务网络获取业务网络为其分配的地址。对于不携带扩展字段的报文，网络连接模块直接透传给第一网口，实现正常的DHCP过程和后续的其他业务，这里不再赘述。
此外，第一设备IPC可以通过指示灯显示证书获取成功与否，例如在获取证书包前亮红灯，获取后亮绿灯。在获取后，可以移除本实施例数字证书分发装置，第一设备IPC获取到了第一证书包。
本实施例在证书生成模块中出厂时生成有唯一的根密钥对，包括根公钥和根私钥，根证书包含证书的信息，例如有效期、发布者信息、证书中心CA自己对该证书里面的信息的签名。根私钥保存在证书生成模块的硬件加密区域，硬件加密安全可靠。证书生成模块在生成第一证书包后，第一证书包中包括有第一设备的公钥和私钥、第一设备数字证书和根证书，证书生成模块使用根私钥将第一设备公钥及对应信息进行签名后生成第一设备数字证书。第一设备IPC收到第一证书包后，将根证书加入可信任列表，保留第一设备公钥、第一设备私钥和第一设备数字证书。第一设备可以使用根证书对后续收到的第二设备数字证书进行验证，同样拥有根证书的其他设备也可以通过根证书对接收到的第一设备数字证书进行验证。
在视频监控系统中，客户端需要从前端设备IPC获取视频流，因此客户端与前端设备之间的通信需要安全保障，本实施例在客户端上也需要安装证书包。本实施例数字证书分发装置包括数据连接模块，以视频监控为例，第二设备即客户端，客户端通常为智能终端、PC机等。数据连接模块具有USB接口，或其他数据接口，例如RS485接口等，或无线接口，在连接到客户端后，本实施例数字证书分发装置相当于客户端的一个存储设备，例如U盘。
本实施例数据连接模块在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备，执行如下操作：
通过与第二设备的连接接口检测到与第二设备连接后，通知证书生成模块生成第二证书包；
响应第二设备的证书导入操作，将第二证书包导入到第二设备。
例如，在客户端上安装第二设备数字证书的过程如下：
数据连接模块的USB接口连接到客户端；
数据连接模块检测到与客户端连接后，通知证书生成模块生成第二证书包；
数据连接模块响应客户端的证书导入操作，将第二证书包导入到客户端。
本实施例数据连接模块响应客户端的证书导入操作，有两种方式：
第一种方式，是在客户端上，数字证书分发装置作为通用的USB存储设备。客户端采用浏览器从USB存储设备上导入第二证书包，以IE浏览器为例：
客户端浏览器导入第二证书包示例：
IE->工具->Internet选项->内容->证书->个人。
即导入包括第二设备公钥、第二设备私钥和第二设备数字证书的client.pfx文件。
IE->工具->Internet选项->内容->证书->受信任的根证书。
导入根证书ca-cert.pem。
第二种方式，在证书生成模块中，还可以生成导入第二证书包的应用程序，客户端执行该应用程序，完成第二证书包的导入，简化上述导入过程。
容易理解的是，第二证书包中包括有第二设备的公钥和私钥、第二设备数字证书和根证书，证书生成模块使用根私钥将第二设备公钥进行签名后生成第二设备数字证书。第二设备(客户端)收到第二证书包后，将根证书加入可信任列表，保留第二设备公钥、第二设备私钥和第二设备数字证书。
需要说明的是，本实施例一种数字证书分发装置，可以仅包括网络连接模块和证书生成模块，不仅能够对前端设备IPC进行证书分发，也能够以同样的连接方式对客户端进行证书分发。优选地，本实施例一种数字证书分发装置即包括网络连接模块又包括数据连接模块，采用网络连接模块对嵌入式设备进行数字证书分发，采用数据连接模块可以方便地对智能设备例如PC、手机、智能平板进行数字证书分发。
在前端设备和客户端都安装好证书包后，客户端就可以访问前端设备，在访问时，双方将验证对方的证书，只有双方都通过同一个数字证书分发装置生成的证书才能实现双向认证通过。下面说明双方相互验证过程：
客户端向IPC发送SSL协议版本号、加密算法种类、随机数等信息；
IPC给客户端返回SSL协议版本号、加密算法种类、随机数等信息，同时也返回第一设备数字证书，即第一设备公钥证书；
客户端使用IPC返回的信息验证IPC的合法性，验证通过后，将继续进行通信，否则，终止通信；其中验证IPC的合法性包括：证书是否过期；发行第一设备数字证书的CA是否可靠(客户端已在获取证书包的时候将根证书置于可信列表)；返回的公钥是否能正确解开返回证书中的数字签名；
IPC要求客户端发送客户端的第二设备数字证书，客户端会将自己的第二设备数字证书发送至IPC；
IPC验证客户端的第二设备数字证书，通过验证后，会获得客户端的公钥；
客户端向IPC发送自己所能支持的对称加密方案，供IPC进行选择；
IPC在客户端提供的加密方案中选择加密程度最高的加密方式；
将加密方案通过之前获取到的公钥进行加密，返回给客户端；
客户端收到IPC返回的加密方案密文后，使用自己的私钥进行解密，获取具体加密方式，而后，产生该加密方式的随机码，用作加密过程中的密钥，使用之前从IPC证书中获取到的公钥进行加密后，发送给IPC；
IPC收到客户端发送的消息后，使用自己的私钥进行解密，获取对称加密的密钥，在接下来的会话中，IPC和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全。
本技术方案数字证书分发装置，通过硬件保存根私钥，安全可靠。通过DHCP协议扩展在前端设备首次使用时注入前端设备证书，客户端通过USB接口获取客户端证书，在小企业/个人用户实现视频监控网络部署时，部署过程简单，实现方便，部署成本小。客户端和前端设备双向验证证书，确保只有拥有同一密钥分发装置(根证书)的客户端/前端设备才能访问，实现双向鉴权。
以上实施例仅用以说明本发明的技术方案而非对其进行限制，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (7)

1.一种数字证书分发装置，其特征在于，所述数字证书分发装置包括：
网络连接模块，用于连接业务网络和第一设备，在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备；
数据连接模块，用于连接第二设备，在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备；
证书生成模块，用于根据网络连接模块的通知生成第一证书包，通过网络连接模块将第一证书包发送给第一设备；根据数据连接模块的通知生成第二证书包，通过数据连接模块将第二证书包导入到第二设备；
所述证书生成模块中设置有根密钥对，包括根公钥和根私钥，所述根私钥保存在证书生成模块的硬件加密区域。
2.如权利要求1所述的数字证书分发装置，其特征在于，所述网络连接模块包括第一网口和第二网口，所述第一网口连接业务网络，所述第二网口连接第一设备。
3.如权利要求1所述的数字证书分发装置，其特征在于，所述网络连接模块在接收到第一设备发出的网络发现报文后，与第一设备进行交互，将通过证书生成模块生成的第一证书包发送给第一设备，执行如下操作：
接收第一设备发送DHCP discover报文，如果探测到所述DHCP discover报文中存在预设的扩展选项，则不进行此报文的转发，而是回复DHCP offer消息，同样携带所述扩展选项；
接收第一设备在收到DHCP offer消息后发送的Request消息，如果所述Request消息同样携带所述扩展选项，则通知证书生成模块生成第一证书包，然后回复正常的DHCP ACK响应，DHCP ACK响应携带所述扩展选项，扩展的Len为第一证书包内容的长度，Content则为第一证书包内容。
4.如权利要求3所述的数字证书分发装置，其特征在于，所述网络连接模块在DHCP ACK响应报文中，将地址有效时间设置为预设的第一时间值，所述预设的第一时间值小于3秒。
5.如权利要求1所述的数字证书分发装置，其特征在于，所述数据连接模块包括USB接口。
6.如权利要求1所述的数字证书分发装置，其特征在于，所述数据连接模块在检测到与第二设备连接后，将通过证书生成模块生成的第二证书包导入到第二设备，执行如下操作：
通过与第二设备的连接接口检测到与第二设备连接后，通知证书生成模块生成第二证书包；
响应第二设备的证书导入操作，将第二证书包导入到第二设备。
7.如权利要求6所述的数字证书分发装置，其特征在于，所述证书生成模块生成有导入第二证书包的应用程序。
CN201711434892.6A 2017-12-26 2017-12-26 一种数字证书分发装置 Active CN109962781B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711434892.6A CN109962781B (zh) 2017-12-26 2017-12-26 一种数字证书分发装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711434892.6A CN109962781B (zh) 2017-12-26 2017-12-26 一种数字证书分发装置

Publications (2)

Publication Number Publication Date
CN109962781A CN109962781A (zh) 2019-07-02
CN109962781B true CN109962781B (zh) 2022-05-10

Family

ID=67022350

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711434892.6A Active CN109962781B (zh) 2017-12-26 2017-12-26 一种数字证书分发装置

Country Status (1)

Country Link
CN (1) CN109962781B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112448935A (zh) * 2019-09-03 2021-03-05 华为技术有限公司 建立网络连接的方法及电子设备
CN110826030B (zh) * 2019-11-08 2023-09-15 湖南长城医疗科技有限公司 一种自助软件和相关模块授权使用方法
CN114884963B (zh) * 2022-06-20 2023-11-03 中国工商银行股份有限公司 数字证书的管理方法和管理装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101383820A (zh) * 2008-07-07 2009-03-11 上海安融信息系统有限公司 一种监控ssl连接与数据的设计与实现方法
CN101686128A (zh) * 2008-09-24 2010-03-31 北京创原天地科技有限公司 一种新型的USBKey外部认证方法和USBKey装置
CN101771541A (zh) * 2008-12-26 2010-07-07 中兴通讯股份有限公司 一种用于家庭网关的密钥证书生成方法和系统
CN102752307A (zh) * 2012-07-09 2012-10-24 广州杰赛科技股份有限公司 基于标识的视频监控数据的传输方法及系统
CN104244026A (zh) * 2014-09-04 2014-12-24 浙江宇视科技有限公司 一种视频监控系统中的密钥分发装置
EP3073669A2 (en) * 2015-03-27 2016-09-28 Comcast Cable Communications, LLC Methods and systems for key generation
CN106713279A (zh) * 2016-11-29 2017-05-24 北京航天爱威电子技术有限公司 一种视频终端身份认证系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7650497B2 (en) * 2003-08-15 2010-01-19 Venafi, Inc. Automated digital certificate renewer
US20170063557A1 (en) * 2015-08-28 2017-03-02 Fortinet, Inc. Detection of fraudulent certificate authority certificates

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039182A (zh) * 2007-03-07 2007-09-19 广东南方信息安全产业基地有限公司 认证系统及用户标识证书发放方法
CN101383820A (zh) * 2008-07-07 2009-03-11 上海安融信息系统有限公司 一种监控ssl连接与数据的设计与实现方法
CN101686128A (zh) * 2008-09-24 2010-03-31 北京创原天地科技有限公司 一种新型的USBKey外部认证方法和USBKey装置
CN101771541A (zh) * 2008-12-26 2010-07-07 中兴通讯股份有限公司 一种用于家庭网关的密钥证书生成方法和系统
CN102752307A (zh) * 2012-07-09 2012-10-24 广州杰赛科技股份有限公司 基于标识的视频监控数据的传输方法及系统
CN104244026A (zh) * 2014-09-04 2014-12-24 浙江宇视科技有限公司 一种视频监控系统中的密钥分发装置
EP3073669A2 (en) * 2015-03-27 2016-09-28 Comcast Cable Communications, LLC Methods and systems for key generation
CN106713279A (zh) * 2016-11-29 2017-05-24 北京航天爱威电子技术有限公司 一种视频终端身份认证系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Tariq Fadai ; Sebastian Schrittwieser."Trust me, I"m a Root CA! Analyzing SSL Root CAs in Modern Browsers and Operating Systems".《2015 10th International Conference on Availability, Reliability and Security》.2015, *
局域网中的SSL实验;石硕等;《实验室研究与探索》;20050720(第07期);全文 *

Also Published As

Publication number Publication date
CN109962781A (zh) 2019-07-02

Similar Documents

Publication Publication Date Title
CN101510877B (zh) 单点登录方法和系统、通信装置
US8600063B2 (en) Key distribution system
CN109246053A (zh) 一种数据通信方法、装置、设备和存储介质
CN101772024B (zh) 一种用户身份确定方法及装置和系统
CN105162772A (zh) 一种物联网设备认证与密钥协商方法和装置
US11736304B2 (en) Secure authentication of remote equipment
CA2661922A1 (en) Method and system for providing authentication service for internet users
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
CN104660605A (zh) 一种多因子身份验证方法及其系统
WO2009082717A2 (en) A method for authenticating a communication channel between a client and a server
CN104253801B (zh) 实现登录认证的方法、装置和系统
Ayday et al. Secure, intuitive and low-cost device authentication for smart grid networks
CN109714360B (zh) 一种智能网关及网关通信处理方法
CN105142134B (zh) 参数获取以及参数传输方法和装置
CN109962781B (zh) 一种数字证书分发装置
CN104836784A (zh) 一种信息处理方法、客户端和服务器
WO2005088892A1 (en) A method of virtual challenge response authentication
CN113630407A (zh) 使用对称密码技术增强mqtt协议传输安全的方法和系统
CN104901940A (zh) 一种基于cpk标识认证的802.1x网络接入方法
CN105119894A (zh) 基于硬件安全模块的通信系统及通信方法
KR101481403B1 (ko) 차량용 데이터의 인증 및 획득 방법
CN112672342A (zh) 数据传输方法、装置、设备、系统和存储介质
CN111756530B (zh) 量子服务移动引擎系统、网络架构及相关设备
CN101827106A (zh) 一种dhcp安全通信方法、装置和系统
CN102045343B (zh) 基于数字证书的通讯加密安全控制方法、服务器及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant