CN111163164A - 一种基于鲲鹏芯片的云桌面安全传输方法及装置 - Google Patents

Abstract

本申请公开了一种基于鲲鹏芯片的云桌面安全传输方法及装置，应用在云桌面系统中，所述云桌面系统包括终端和服务器，终端和服务器中均设置有鲲鹏芯片，方法包括：服务器接收终端发送的登录请求，进行身份验证；用户通过所述身份验证，生成随机数；向终端发送随机数；接收终端返回的第一加密随机数；若随机数通过秘钥加密后的第二加密随机数，与第一加密随机数一致，则与终端建立连接。即使盗号者通过了身份验证，但是由于其登录的设备中并未存储有秘钥，因此也无法与服务器建立连接，提高了用户的安全性。由于鲲鹏芯片中自带加密模块，无须第三方硬件即可完成加密解密过程，缩短了加密解密过程所需要的时间。

Description

一种基于鲲鹏芯片的云桌面安全传输方法及装置

技术领域

本申请涉及云桌面领域，具体涉及一种基于鲲鹏芯片的云桌面安全传输方法及装置。

背景技术

云桌面又称桌面虚拟化、云电脑，是替代传统电脑的一种新模式。采用云桌面后，用户无需再购买电脑主机。主机所包含的CPU、内存、硬盘、网卡等硬件组件，全部在后端的服务器中虚拟出来，对于用户而言十分便利。

但是现有的云桌面在终端与服务器之间进行数据传输时，对安全性的保障仍然不够。例如，当用户的身份验证信息被盗取后，盗取者可以根据该身份验证信息通过身份验证，并盗取用户存储的信息，可能对用户的利益造成极大的损失。

发明内容

为了解决上述问题，本申请提出了一种基于鲲鹏芯片的云桌面安全传输方法，应用在云桌面系统中，所述云桌面系统包括终端和服务器，所述终端和所述服务器中均设置有鲲鹏芯片，所述鲲鹏芯片中设置有加密模块，所述服务器和所述终端均存储有相同的秘钥，所述方法包括：所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的用户进行身份验证；若所述用户通过所述身份验证，则所述服务器生成随机数；向所述终端发送，通过所述终端的公钥加密后的所述随机数；接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的；若所述随机数通过所述秘钥加密后得到的第二加密随机数，与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

在一个示例中，所述服务器中存储有所述终端的硬件信息；与所述终端建立连接之前，所述方法还包括：接收所述终端发送的，通过自身的公钥加密后的，所述终端对应的待验证硬件信息；通过自身的私钥进行解密，获取所述待验证硬件信息；若所述待验证硬件信息与自身存储的所述硬件信息一致，则与所述终端建立连接。

在一个示例中，所述服务器中存储有所述终端的硬件信息；所述方法还包括：向所述终端发送所述硬件信息，以使所述终端根据所述硬件信息，确定自身的硬件是否存在异常状态，并在出现异常状态时，中断与所述服务器的连接。

在一个示例中，向所述终端发送所述硬件信息之前，所述方法还包括：确定在使用所述云桌面功能时，向所述终端发送的，包含所述服务器桌面图像的视频信息；将所述视频进行压缩，并确定I帧图像；通过修改所述I帧图像对应的频域图像中的数据，来建立隐蔽信道，其中，所述频域图像是通过对所述I帧图像进行DCT变换得到的；向所述终端发送所述硬件信息，包括：通过隐蔽信道向所述终端发送所述硬件信息。

在一个示例中，通过修改所述I帧图像对应的频域图像中的数据，来建立隐蔽信道，包括：将所述I帧图像划分为多个区块；针对每个所述区块，将该区块进行DCT变换后，得到该区块对应的子频域图像；从第X个区块开始，将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数，来建立隐蔽信道；其中，所述X与所述随机数相关。

在一个示例中，所述X的生成方法包括：将所述随机数的最高4位与最低4位拼接，生成8位的字节；将所述字节对应的数作为X。

在一个示例中，将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数之前，所述方法还包括：将所述硬件信息进行海明码校验，得到校验后的数据流；将所述数据流通过所述秘钥进行加密，得到密文数据流；将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数，包括：将所述密文数据流中的各个字节，取代各子频域图像中DCT系数的对应位数。

在一个示例中，所述硬件信息包括：处理器标识，主板标识，通讯模块标识中的至少一种。

在一个示例中，所述终端设置有人脸识别设备，所述方法还包括：所述终端通过所述人脸识别设备实时检测是否存在所述用户对应的人脸；若在预设时长内未检测到所述人脸，则中断与所述服务器的连接。

另一方面，本申请还提出了一种基于鲲鹏芯片的云桌面安全传输装置，应用在云桌面系统中，所述云桌面系统包括终端和服务器，所述终端和所述服务器中均设置有鲲鹏芯片，所述鲲鹏芯片中设置有加密模块，所述服务器和所述终端均存储有相同的秘钥，所述装置包括：第一接收模块，所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的用户进行身份验证；生成模块，若所述用户通过所述身份验证，则所述服务器生成随机数；发送模块，向所述终端发送，通过所述终端的公钥加密后的所述随机数；第二接收模块接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的；连接模块，若所述随机数通过所述秘钥加密后得到的第二加密随机数，与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

通过本申请提出安全传输方法能够带来如下有益效果：

在用户通过终端使用云桌面功能时，除了需要对用户的身份进行验证外，还要通过随机数来对用户的使用的终端进行检测，判断该终端与服务器存储的秘钥是否相同。只有在相同的情况下，才与该终端建立连接。即使盗号者盗取了用户的身份验证信息，通过了身份验证，但是由于其登录的设备中并未存储有相同的秘钥，因此也无法与服务器建立连接，使用云桌面功能，提高了用户的安全性。

另外，在传输过程中会频繁进行加密解密过程，而由于鲲鹏芯片中自带加密模块，无须第三方硬件即可完成加密解密过程，缩短了加密解密过程所需要的时间，提升了用户体验。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例中基于鲲鹏芯片的云桌面安全传输方法的流程示意图；

图2为本申请实施例中基于鲲鹏芯片的云桌面安全传输装置的模块示意图；

图3为本申请实施例中云桌面系统的示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

本申请实施例提供一种基于鲲鹏芯片的云桌面安全传输方法，应用在云桌面系统中。如图3所示，云桌面系统包括终端和服务器。当用户想要使用云桌面功能时，通过终端与服务器建立连接，然后即可通过服务器向终端传输的相应数据，在终端处使用云桌面功能。其中，终端和服务器中均设置有鲲鹏芯片，鲲鹏芯片中设置有加密模块。其中，鲲鹏芯片指的是鲲鹏系列芯片，包括有例如鲲鹏920等。并且在服务器和终端中均存储有相同的秘钥，该秘钥可以由加密模块生成，并存储在加密模块中。由于一个服务器可能会对应着多个终端，因此，这里的相同的秘钥指的是，针对每个终端，该终端与服务器之间存储有相同的秘钥，但是不同的终端之间的秘钥不同。

如图1所示，基于鲲鹏芯片的云桌面安全传输方法包括：

S101、所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的用户进行身份验证。

通常情况下，用户若想使用云桌面功能，首先需要在服务器中进行相应的注册。然后在使用时，服务器会接收到终端发送的登录请求。然后服务器对该登录请求对应的用户进行身份验证，若用户通过身份验证，则可以执行下一步动作。

具体地，根据用户在注册时所填写的表示个人身份的信息不同，登录请求以及身份验证的方式也不同。例如，若用户在注册时填写了账号和密码，则进行身份验证时可以验证账号与密码是否正确。若用户在注册时填写了手机号，则在进行身份验证时，可以通过向该手机号发送一个随机生成的验证码，对用户进行身份验证。若用户在注册时上传了自己的生物信息，例如人脸图形、指纹信息等，则可以通过该生物信息进行身份验证。

S102、若所述用户通过所述身份验证，则所述服务器生成随机数。

S103、向所述终端发送，通过所述终端的公钥加密后的所述随机数。

当用户通过身份验证后，可以针对本次登录生成随机数，然后向终端发送该随机数。其中，终端与服务器可以预先通过自身的加密模块生成自身的公钥以及私钥，并预先将公钥存储在对方处。在服务器向终端发送该随机数时，可以将该随机数通过终端的公钥加密之后再发送，增加了数据在传输时的安全性。

S104、接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的。

当终端接收到随机数后，可以通过自身的私钥进行解密，获取该随机数。然后终端将该随机数通过自身存储的秘钥进行加密，得到第一加密随机数。接着通过服务器的公钥加密后，将该第一加密随机数传输给服务器。服务器在接收到后，可以通过自身的私钥进行解密，得到第一加密随机数。

S105、若所述随机数通过所述秘钥加密后得到的第二加密随机数，与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

服务器在接收到该第一加密随机数后，可以通过自身存储的秘钥，将发送的随机数进行加密，得到第二加密随机数。如果第一加密随机数和第二加密随机数相同，则说明终端的所存储的秘钥与自身所存储的秘钥一致，则证明了该终端为用户常用终端，用户在该终端上使用云桌面功能时会更加安全。在此可以将该确定秘钥是否一致的过程称作终端的合法性认证。此时可以与该终端建立连接，终端可以使用云桌面功能。

当然，如果通过秘钥加密的过程可逆，也可以通过秘钥第一加密随机数进行解密，得到其对应的随机数，并判断该随机数与自身存储的随机数是否一致。如果一致，也可以证明秘钥一致。

在一个实施例中，终端可以预先将自身的硬件信息发送至服务器中，服务器将终端的硬件信息进行存储。在服务器与终端进行连接之前，除了对终端的合法性进行认证外，还可以对终端的完整性进行认证。其中，硬件信息可以包括处理器标识，主板标识，通讯模块标识中的至少一种。

具体地，对终端的完整性认证时，可以由终端向服务器发送当前的硬件信息，即待验证硬件信息。当然，在发送时可以通过服务器的公钥加密后再发送。服务器在收到后通过自身的私钥进行解密，即可获取待验证信息。然后将待验证信息与自身存储的硬件信息进行对比。如果一致，终端通过了完整性认证，说明终端此时没有被非法插入第三方硬件，服务器可以与终端建立连接。

在一个实施例中，当服务器中存储有终端的硬件信息时，服务器可以通过向终端定时发送该硬件信息的方式，来使终端进行自我检测。终端在接收到服务器发送的硬件信息后，可以根据该硬件信息确定自身的硬件是否存在异常状态，例如，是否有第三方硬件非法插入等。如果出现了异常状态，则可以自动中断与服务器的终端，保证用户的信息安全。当然，在向终端发送硬件信息时，可以通过终端的公钥加密后发送，在此不再赘述。

进一步地，若是直接发送，则容易造成信息泄露。因此，可以在发送硬件信息之前，建立隐蔽信道，然后将该硬件信息通过隐蔽信道发送，大大降低了硬件信息泄露的风险。

其中，由于用户在使用云桌面时，服务器需要将桌面相关的信息传输至终端，而在这些信息中，存在包含服务器桌面图形的视频信息。终端在接收到视频信息后，可以根据该视频信息生成云桌面。因此，可以将隐蔽信道建立该视频中。

在视频传输过程中，如果直接传输，会导致传输过程太慢，影响用户体验。因此需要对视频进行压缩后，再进行传输。在视频进行压缩的过程中，通常会将第一帧的图像进行压缩，然后确定后续帧相对于第一帧的变换，以实现视频的压缩。其中，这里将第一帧图像称作I帧图像。因此可以通过I帧图像建立隐蔽信道。

在对I帧图像进行压缩时，首先需要通过离散余弦变换(DCT for DiscreteCosine Transform，DCT)来获取I帧图像的频域图像。此时通过将频域图像中有关DCT系数的部分数据修改为硬件信息，即可完成隐蔽信道的建立。但是通常情况下，在对I帧图像进行压缩时，会将I帧图像划分为多个区块，例如，划分成8*8或者16*16个区块等。然后针对每个区块进行DCT变换，生成该区块对应的子频域图像。此时如果将所有的硬件信息都修改在其中的某几个区块对应的子频域图像中，可能会造成该区块对应的图像出现明显的改动。因此，可以从第X个区块开始，将硬件信息中的各个字节，取代各子频域图像种DCT系数的对应位数。

通常情况下，每个子频域图像中的左上角为最亮的地方，代表着I帧图像的低频信息，反应图像中平坦区域的信息。对应着DCT系数中的DC系数。而其他剩余的地方则对应着DCT系数中的AC系数，保存的是I帧图像的高频信息，反应图像中突变区域的信息。而在图像压缩的过程中，通常指的是对DCT系数进行量化。而量化过程就是将每一个DCT系数除以一个固定常数，再四舍五入取最接近的整数。在此期间通常会导致右下角的AC系数为0，无法替代为硬件信息。因此，可以将各子频域图像中左上角包含DC系数和若干个AC系数的区域中的系数，替换为硬件信息中的一个字节。例如，从最左上角的DC系数开始，按照一定顺序，依次选取8个系数，然后将这8个系数的对应位数(例如最末位)的字符替换为硬件信息中一个字节对应的8位。只将各系数中的最末位修改，可以在几乎不改变画面的前提下创建了隐蔽信道，进一步增加了隐蔽性。另外，为了能够使终端能够找到替换过的区块，可以使X与随机数相关。由于终端已经得知了随机数，因此可以通过随机数求得X，得知是在哪个区块开始建立的隐蔽信道。X的生成方法可以是多种的，例如，将随机数的最高4位与最低4位拼接，生成8位的字节，而该字节对应的数即为X。也可以将X的前8位或后8位对应的数作为X等，在此不再赘述。当然，可以在最后一个区块中放一个代表截止的数据，终端在获取该数据后即可得知本次接收的信息已经完毕。

在终端获取了I帧图像后，可以对I帧图像划分成多个区块。然后根据随机数计算得到X，从第X个区块开始，将每个区块对应的子频域信息中的DCT系数中的对应位数进行替换。然后以此类推，直至将所有的信息接收完毕后，即可获得通过隐蔽信道传输的硬件信息。

另外，可以先将硬件信息进行海明码校验，得到校验后的数据流。其中，海明码校验的原理是，在k个数据位之外加上r个校验位，从而形成一个k+r位的新的码字，使新的码字的码距比较均匀地拉大。然后把数据的每一个二进制位分配在几个不同的偶校验位的组合中，当某一位出错后，就会引起相关的几个校验位的值发生变化，这不但可以发现出错，还能指出是哪一位出错，为进一步自动纠错提供了依据。然后将数据流通过秘钥进行加密后，得到密文数据流。然后在隐蔽信道中，将该密文数据流取代各子频域图像对应的DCT系数中的对应位数，而非直接将硬件信息取代，增加了数据传输过程中的完整性以及安全性。

在一个实施例中，终端上还可以设置人脸识别装置，终端可以实时通过人脸识别设备检测是否存在该用户对应的人脸，即该用户此刻是否在终端前进行操作。如果在预设时长，例如1分钟内未检测到人脸，则说明用户脱离了终端，为了防止信息泄露，终端可以即刻中断与服务器的连接，防止其他人盗取用户的信息。

另外，终端上还可以设置终止按钮。当用户点击该终止按钮时，即可断开与终端的连接，若用户再想使用云桌面功能，需要重新进行身份验证、终端验证等。若用户连续点击多次，例如3次，则该终端失效，需要重新进行初始化，即生成秘钥、上传硬件信息等。当然，也可以另外设置其他按钮来实现该功能，在此不再赘述。

如图2所示，本申请实施例还提供了一种基于鲲鹏芯片的云桌面安全传输装置，其特征在于，应用在云桌面系统中，所述云桌面系统包括终端和服务器，所述终端和所述服务器中均设置有鲲鹏芯片，所述鲲鹏芯片中设置有加密模块，所述服务器和所述终端均存储有相同的秘钥，所述装置包括：

第一接收模块201，所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的用户进行身份验证；

生成模块202，若所述用户通过所述身份验证，则所述服务器生成随机数；

发送模块203，向所述终端发送，通过所述终端的公钥加密后的所述随机数；

第二接收模块204，接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的；

连接模块205，若所述随机数通过所述秘钥加密后得到的第二加密随机数，与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

以上所述仅为本说明书的一个或多个实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书的一个或多个实施例可以有各种更改和变化。凡在本说明书的一个或多个实施例的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。

Claims (10)

1.一种基于鲲鹏芯片的云桌面安全传输方法，其特征在于，应用在云桌面系统中，所述云桌面系统包括终端和服务器，所述终端和所述服务器中均设置有鲲鹏芯片，所述鲲鹏芯片中设置有加密模块，所述服务器和所述终端均存储有相同的秘钥，所述方法包括：

所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的账户进行身份验证；

若所述账户通过所述身份验证，则所述服务器生成随机数；

向所述终端发送，通过所述终端的公钥加密后的所述随机数；

接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的；

通过所述秘钥对所述随机数进行加密得到第二加密随机数，若所述第二加密随机数与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

2.根据权利要求1所述的方法，其特征在于，所述服务器中存储有所述终端的硬件信息；

与所述终端建立连接之前，所述方法还包括：

接收所述终端发送的，通过自身的公钥加密后的，所述终端对应的待验证硬件信息；

通过自身的私钥进行解密，获取所述待验证硬件信息；

若所述待验证硬件信息与自身存储的所述硬件信息一致，则与所述终端建立连接。

3.根据权利要求1所述的方法，其特征在于，所述服务器中存储有所述终端的硬件信息；

所述方法还包括：

向所述终端发送所述硬件信息，以使所述终端根据所述硬件信息，确定自身的硬件是否存在异常状态，并在出现异常状态时，中断与所述服务器的连接。

4.根据权利要求3所述的方法，其特征在于，向所述终端发送所述硬件信息之前，所述方法还包括：

确定在使用所述云桌面功能时，向所述终端发送的，包含所述服务器桌面图像的视频信息；

将所述视频进行压缩，并确定I帧图像；

通过修改所述I帧图像对应的频域图像中的数据，来建立隐蔽信道，其中，所述频域图像是通过对所述I帧图像进行DCT变换得到的；

向所述终端发送所述硬件信息，包括：

通过隐蔽信道向所述终端发送所述硬件信息。

5.根据权利要求4所述的方法，其特征在于，通过修改所述I帧图像对应的频域图像中的数据，来建立隐蔽信道，包括：

将所述I帧图像划分为多个区块；

针对每个所述区块，将该区块进行DCT变换后，得到该区块对应的子频域图像；

从第X个区块开始，将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数，来建立隐蔽信道；其中，所述X与所述随机数相关。

6.根据权利要求5所述的方法，其特征在于，所述X的生成方法包括：

将所述随机数的最高4位与最低4位拼接，生成8位的字节；

将所述字节对应的数作为X。

7.根据权利要求5所述的方法，其特征在于，将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数之前，所述方法还包括：

将所述硬件信息进行海明码校验，得到校验后的数据流；

将所述数据流通过所述秘钥进行加密，得到密文数据流；

将所述硬件信息中的各个字节，取代各子频域图像中DCT系数的对应位数，包括：

将所述密文数据流中的各个字节，取代各子频域图像中DCT系数的对应位数。

8.根据权利要求2所述的方法，其特征在于，所述硬件信息包括：处理器标识，主板标识，通讯模块标识中的至少一种。

9.根据权利要求1所述的方法，其特征在于，所述终端设置有人脸识别设备，所述方法还包括：

所述终端通过所述人脸识别设备实时检测是否存在所述用户对应的人脸；

若在预设时长内未检测到所述人脸，则中断与所述服务器的连接。

10.一种基于鲲鹏芯片的云桌面安全传输装置，其特征在于，应用在云桌面系统中，所述云桌面系统包括终端和服务器，所述终端和所述服务器中均设置有鲲鹏芯片，所述鲲鹏芯片中设置有加密模块，所述服务器和所述终端均存储有相同的秘钥，所述装置包括：

第一接收模块，所述服务器接收所述终端发送的登录请求，并对所述登录请求对应的用户进行身份验证；

生成模块，若所述用户通过所述身份验证，则所述服务器生成随机数；

发送模块，向所述终端发送，通过所述终端的公钥加密后的所述随机数；

第二接收模块，接收所述终端返回的，通过所述服务器的公钥加密后的第一加密随机数，其中，所述第一加密随机数是所述终端根据所述随机数生成的；

连接模块，若所述随机数通过所述秘钥加密后得到的第二加密随机数，与所述第一加密随机数一致，则与所述终端建立连接，以使所述终端使用云桌面功能。

Images