CN112131562B - 一种使用安卓设备内置密码服务的方法及系统 - Google Patents

Abstract

本发明提出一种使用安卓设备内置密码服务的方法及系统，当系统平台向安卓设备发送调用安全模块的密码服务请求时，调用密码服务模块并通过第一APDU模块将密码服务请求进行APDU命令封装，再由第一网络协议模块对密码服务请求进行网络协议的封装后，通过第一网络传输模块将封装后的密码服务请求发送至第一端口；通过第一端口将封装后的密码服务请求映射至第二端口；将第二端口接收的封装后的密码服务请求通过第二网络传输模块发送至第二网络协议模块进行网络协议的解析后，再由第二APDU模块根据解析后的密码服务请求调用安全模块执行相应的密码服务。本发明实现系统平台能够方便地调用安卓设备中安全模块提供的密码服务，保证系统平台和相关业务的安全性。

Description

一种使用安卓设备内置密码服务的方法及系统

技术领域

本发明涉及信息安全技术领域，具体涉及一种使用安卓设备内置密码服务的方法及系统。

背景技术

随着信息安全技术的逐步推广和应用，越来越多的业务和支持的系统平台均需要进行密码服务处理，防止不法分子入侵系统平台并且对系统内的数据信息进行窃取和篡改等操作；目前常用的方法主要包括，一方面通过在系统平台中内置相应的密码模块来保证系统和业务安全，例如内置安全芯片，插入密码卡等；另一方面通过外接提前配置的密码设备来提高系统和业务的安全性，例如智能密码钥匙。

然而，在系统平台中不存在内置相应的密码模块且用户忘记携带或丢失配置的密码设备的情况下，存在如何通过用户随身携带的移动终端方便地进行密码服务调用的问题。因此如何使得用户能够通过便携的移动终端方便地为系统平台提供相应的密码服务，提高系统平台和业务的安全性是目前急需解决的问题。

发明内容

本发明针对上述问题，有必要提供一种使用安卓设备内置密码服务的方法及系统，能够使得用户能够通过便携的移动终端方便地为系统平台提供相应的密码服务，提高系统平台和业务的安全性。

本发明第一方面提出一种使用安卓设备内置密码服务的方法，包括以下步骤：

系统平台与安卓设备之间通过adb forward机制进行所述系统平台的第一端口和所述安卓设备的第二端口之间的端口映射；

当系统用户通过所述系统平台调用所述安卓设备的安全模块的密码服务时，所述系统平台的密码服务模块生成密码服务请求，调用所述系统平台的第一APDU模块将密码服务请求进行APDU命令封装，再由所述系统平台的第一网络协议模块对密码服务请求进行网络协议的封装后，通过所述系统平台的第一网络传输模块将封装后的密码服务请求发送至所述第一端口；

所述系统平台通过所述第一端口将封装后的密码服务请求映射至所述第二端口；

所述安卓设备将所述第二端口接收封装后的密码服务请求，通过所述安卓设备的第二网络传输模块将封装后的密码服务请求发送至所述安卓设备的第二网络协议模块进行网络协议的解析后，再由所述安卓设备的第二APDU模块根据解析后的密码服务请求调用所述安卓设备的安全模块执行相应的密码服务。

本发明第二方面提出一种使用安卓设备内置密码服务的系统，所述系统包括系统平台和安卓设备；所述系统平台包括密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，所述安卓设备包括安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口；所述系统平台和所述安卓设备之间通过USB进行连接；

所述密码服务模块，用于在所述系统平台向所述安卓设备发送调用所述安全模块的密码服务请求时进行调用；

所述第一APDU模块，用于对密码服务请求进行APDU命令封装；

所述第一网络协议模块，用于将所述第一APDU模块封装后的密码服务请求进行网络协议的封装；

所述第一网络传输模块，用于将所述第一网络协议模块封装后的密码服务请求发送至所述第一端口；

所述第一端口，用于在通过adb forward机制与所述第二端口进行端口映射后，将封装后的密码服务请求映射至所述第二端口；

所述第二端口，用于接收所述第一端口映射的封装后的密码服务请求；

所述第二网络传输模块，用于将封装后的密码服务请求发送至所述第二网络协议模块；

所述第二网络协议模块，用于对封装后的密码服务请求进行网络协议的解析；

所述第二APDU模块，用于根据解析后的密码服务请求调用所述安全模块；

所述安全模块，用于执行密码服务请求。

本发明具有突出的实质性特点和显著的进步，具体的说：

（1）本发明通过系统平台与安卓设备之间通过adb forward机制进行第一端口和第二端口的端口映射，能够保证通过USB接口实现系统平台与安卓设备之间密码服务请求和密码服务结果的传输；

（2）本发明系统平台设置有密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，安卓设备设置有安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口，能够保证两端对密码服务请求和密码服务结果进行相关的封装、解析、传输操作，使得安卓设备与常见的智能密码钥匙一样，具有相应的密码服务功能，最终实现系统平台能够方便地调用安卓设备中安全模块提供的密码服务，保证系统平台和相关业务的安全性；

（3）本发明系统平台中业务的安全应用不需要重新针对安卓设备进行开发，兼容传统的智能密码钥匙和本发明内置安全模块的安卓设备。

本发明的附加方面和优点将在下面的描述部分中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1示出本发明一种使用安卓设备内置密码服务的方法流程图；

图2示出本发明一种使用安卓设备内置密码服务的系统结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，当一个组件被认为是“连接”另一个组件，它可以是直接连接到另一个组件或者可能同时存在居中组件。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。

如图1所示，本发明第一方面提出一种使用安卓设备内置密码服务的方法，所述方法应用于系统平台和安卓设备；所述系统平台包括密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，所述安卓设备包括安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口；所述方法具体包括：

所述系统平台与所述安卓设备之间通过adb forward机制进行所述第一端口和所述第二端口之间的端口映射；

当系统用户通过所述系统平台向所述安卓设备发送调用所述安全模块的密码服务请求时，所述系统平台的密码服务模块生成密码服务请求，调用所述第一APDU模块将密码服务请求进行APDU命令封装，再由所述第一网络协议模块对密码服务请求进行网络协议的封装后，通过所述第一网络传输模块将封装后的密码服务请求发送至所述第一端口；

所述系统平台通过所述第一端口将封装后的密码服务请求映射至所述第二端口；

所述安卓设备将所述第二端口接收到的封装后的密码服务请求，通过所述第二网络传输模块将封装后的密码服务请求发送至所述第二网络协议模块进行网络协议的解析后，再由所述第二APDU模块根据解析后的密码服务请求调用所述安全模块执行相应的密码服务。

具体的，在进行端口映射之前还包括：将所述系统平台和所述安卓设备之间通过USB连接；所述系统平台安装adb驱动和adb调试程序，所述安卓设备打开adb调试。

进一步的，所述密码服务请求为自定义业务APDU命令，所述自定义业务APDU命令用于调用所述安卓设备的安全模块；

在将所述自定义业务APDU命令向所述安卓设备发送之前，执行：所述系统平台的密码服务模块遍历所述安卓设备在系统平台上挂载的驱动，根据安卓设备的PID和VID筛选出指定安卓设备；获取所述指定安卓设备的唯一标识关联的PID和VID，通过比对安全模块的PID和VID判定所述指定安卓设备是否设置安全模块；

若所述指定安卓设备设置有安全模块，则所述系统平台的第一APDU模块与所述指定安卓设备的第二APDU模块约定调用密码服务时使用的APDU命令列表，建立所述系统平台与所述指定安卓设备之间的专用通讯通道。

需要说明的是，在将所述自定义业务APDU命令向所述安卓设备发送之前，所述系统平台的第一APDU模块需要与所述指定安卓设备的第二APDU模块约定调用密码服务时使用的APDU命令列表，使用安卓设备内置密码服务时，采用APDU命令列表中的业务需求指令进行数据交互，从而在实现系统平台能够方便地调用安卓设备中安全模块提供的密码服务的同时，保证系统平台与安卓设备之间的密码服务的安全可靠性。

具体的，所述安全模块为安全芯片，提供的密码服务包括数字证书发放、身份认证、数据加解密、签名验签。所述数字证书发放、所述身份认证、所述数据加解密、所述签名验签为不同的业务需求，对应不同的业务需求指令。

所述自定义业务APDU命令的命令头设置预定义的第一指令码或者第二指令码，所述第一指令码用于标识所述自定义业务APDU命令为调用密码服务的APDU命令，所述第二指令码用于标识所述自定义业务APDU命令为返回操作结果的APDU命令；

在所述自定义业务APDU命令为调用密码服务的APDU命令时，所述自定义业务APDU命令携带待处理数据包和业务需求指令；

在所述自定义业务APDU命令为返回操作结果的APDU命令，所述自定义业务APDU命令携带完成数据包，所述完成数据包为所述安卓设备的安全模块基于待处理数据包和相应业务需求指令生成的数据包。

具体的，所述系统平台包括Linux系统平台、Windows系统平台；所述安卓设备包括安卓移动终端、安卓智能穿戴设备。

具体的，在所述安全模块执行相应的密码服务之后，还包括：

所述安卓设备将所述安全模块执行相应密码服务的结果通过所述第二APDU模块进行APDU命令封装，再由所述第二网络协议模块对密码服务结果进行网络协议的封装后，通过所述第二网络传输模块将封装后的密码服务结果发送至所述第二端口；

所述安卓设备通过所述第二端口将封装后的密码服务结果映射至所述第一端口；

所述系统平台将所述第一端口接收到的封装后的密码服务结果通过所述第一网络传输模块发送至所述第一网络协议模块进行网络协议的解析后，再由所述第一APDU模块根据解析后的密码服务结果调用所述密码服务模块将结果展示给系统用户。

需要说明的是，包括安全模块的安卓设备可以充当智能密码钥匙Ukey使用，系统平台可以采用CSP密码服务接口操作安卓设备；密码服务模块相当于调用安卓设备中安全模块的接口。其中，加密服务提供程序 (CSP) ，是 Windows 操作系统中提供一般加密功能的硬件和软件组件。

在实际的应用中，系统平台中的网络协议模块和安卓设备中的网络模块是相互对应的，具有关联的，主要包括基本的网络协议、协商的数据长度和执行的操作等等。

需要说明的是，原来针对智能密码钥匙等密码设备开发的安全应用，比如windows生产系统，发证，OA等应用，不仅可以使用原有的Ukey，TF卡等密码设备，也可以直接在系统平台上操作内置安全模块的安卓设备，不需要重新开发安卓版本的应用；也就是说在实际的应用中，可以给用户配置智能密码钥匙和内置安全模块的安卓设备（安卓手机），一旦用户忘记携带或者丢失配置的智能密码钥匙，还可以通过随身携带的安卓手机进行相关密码服务操作。

如图2所示，本发明第二方面还提出一种使用安卓设备内置密码服务的系统，所述系统包括系统平台和安卓设备；所述系统平台包括密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，所述安卓设备包括安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口；所述系统平台和所述安卓设备之间通过USB进行连接；

所述密码服务模块，用于在所述系统平台向所述安卓设备发送调用所述安全模块的密码服务请求时进行调用；

所述第一APDU模块，用于对密码服务请求进行APDU命令封装；

所述第一网络协议模块，用于将所述第一APDU模块封装后的密码服务请求进行网络协议的封装；

所述第一网络传输模块，用于将所述第一网络协议模块封装后的密码服务请求发送至所述第一端口；

所述第一端口，用于在通过adb forward机制与所述第二端口进行端口映射后，将封装后的密码服务请求映射至所述第二端口；

所述第二端口，用于接收所述第一端口映射的封装后的密码服务请求；

所述第二网络传输模块，用于将封装后的密码服务请求发送至所述第二网络协议模块；

所述第二网络协议模块，用于对封装后的密码服务请求进行网络协议的解析；

所述第二APDU模块，用于根据解析后的密码服务请求调用所述安全模块；

所述安全模块，用于执行密码服务请求。

进一步的，所述密码服务请求为自定义业务APDU命令，所述自定义业务APDU命令用于调用所述安卓设备的安全模块；

所述系统平台的密码服务模块，还用于遍历所述安卓设备在系统平台上挂载的驱动，根据安卓设备的PID和VID筛选出指定安卓设备；获取所述指定安卓设备的唯一标识关联的PID和VID，通过比对安全模块的PID和VID判定所述指定安卓设备是否设置安全模块；

所述系统平台的第一APDU模块，还用于在所述指定安卓设备设置有安全模块时，与所述指定安卓设备的第二APDU模块约定调用密码服务时使用的APDU命令列表，建立所述系统平台与所述指定安卓设备之间的专用通讯通道。

具体的，所述系统平台中安装有adb驱动和adb调试程序，所述安卓设备打开adb调试。

具体的，所述安全模块为安全芯片，提供的密码服务包括数字证书发放、身份认证、数据加解密、签名验签。

具体的，所述系统平台包括Linux系统平台、Windows系统平台，所述第一端口为tcp:端口1或者tcp:端口2；所述安卓设备包括安卓移动终端、安卓智能穿戴设备。

具体的，所述安全模块，还用于将执行密码服务请求的结果发送至所述第二APDU模块；

所述第二APDU模块，还用于对密码服务结果进行APDU命令封装；

所述第二网络协议模块，还用于将所述第二APDU模块封装后的密码服务结果进行网络协议的封装；

所述第二网络传输模块，还用于将所述第二网络协议模块封装后的密码服务结果发送至所述第二端口；

所述第二端口，还用于将封装后的密码服务结果映射至所述第一端口；

所述第一端口，还用于接收所述第二端口映射的封装后的密码服务结果；

所述第一网络传输模块，还用于将封装后的密码服务结果发送至所述第一网络协议模块；

所述第一网络协议模块，还用于对封装后的密码服务结果进行网络协议的解析；

所述第一APDU模块，用于根据解析后的密码服务结果调用所述密码服务模块；

所述密码服务模块，用于将密码服务结果展示给系统用户。

本发明通过系统平台与安卓设备之间通过adb forward机制进行第一端口和第二端口的端口映射，能够保证通过USB接口实现系统平台与安卓设备之间密码服务请求和密码服务结果的传输；

本发明系统平台设置有密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，安卓设备设置有安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口，能够保证两端对密码服务请求和密码服务结果进行相关的封装、解析、传输操作，使得安卓设备与常见的智能密码钥匙一样，具有相应的密码服务功能，最终实现系统平台能够方便地调用安卓设备中安全模块提供的密码服务，保证系统平台和相关业务的安全性；

本发明系统平台中业务的安全应用不需要重新针对安卓设备进行开发，兼容传统的智能密码钥匙和本发明内置安全模块的安卓设备。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种使用安卓设备内置密码服务的方法，其特征在于，包括以下步骤：

系统平台与安卓设备之间通过adb forward机制进行所述系统平台的第一端口和所述安卓设备的第二端口之间的端口映射；

当系统用户通过所述系统平台调用所述安卓设备的安全模块的密码服务时，所述系统平台的密码服务模块生成密码服务请求，调用所述系统平台的第一APDU模块将密码服务请求进行APDU命令封装，再由所述系统平台的第一网络协议模块对密码服务请求进行网络协议的封装后，通过所述系统平台的第一网络传输模块将封装后的密码服务请求发送至所述第一端口；

所述系统平台通过所述第一端口将封装后的密码服务请求映射至所述第二端口；

所述安卓设备将所述第二端口接收封装后的密码服务请求，通过所述安卓设备的第二网络传输模块将封装后的密码服务请求发送至所述安卓设备的第二网络协议模块进行网络协议的解析后，再由所述安卓设备的第二APDU模块根据解析后的密码服务请求调用所述安卓设备的安全模块执行相应的密码服务。

2.根据权利要求1所述的使用安卓设备内置密码服务的方法，其特征在于，所述密码服务请求为自定义业务APDU命令，所述自定义业务APDU命令用于调用所述安卓设备的安全模块；

在将所述自定义业务APDU命令向所述安卓设备发送之前，执行：所述系统平台的密码服务模块遍历所述安卓设备在系统平台上挂载的驱动，根据安卓设备的PID和VID筛选出指定安卓设备；获取所述指定安卓设备的唯一标识关联的PID和VID，通过比对安全模块的PID和VID判定所述指定安卓设备是否设置安全模块；

若所述指定安卓设备设置有安全模块，则所述系统平台的第一APDU模块与所述指定安卓设备的第二APDU模块约定调用密码服务时使用的APDU命令列表，建立所述系统平台与所述指定安卓设备之间的专用通讯通道。

3.根据权利要求2所述的使用安卓设备内置密码服务的方法，其特征在于，所述自定义业务APDU命令的命令头设置预定义的第一指令码或者第二指令码，所述第一指令码用于标识所述自定义业务APDU命令为调用密码服务的APDU命令，所述第二指令码用于标识所述自定义业务APDU命令为返回操作结果的APDU命令；

在所述自定义业务APDU命令为调用密码服务的APDU命令时，所述自定义业务APDU命令携带待处理数据包和业务需求指令；

在所述自定义业务APDU命令为返回操作结果的APDU命令，所述自定义业务APDU命令携带完成数据包，所述完成数据包为所述安卓设备的安全模块基于待处理数据包和相应业务需求指令生成的数据包。

4.根据权利要求1所述的使用安卓设备内置密码服务的方法，其特征在于，所述系统平台包括Linux系统平台、Windows系统平台；所述安卓设备包括安卓移动终端、安卓智能穿戴设备。

5.根据权利要求1所述的使用安卓设备内置密码服务的方法，其特征在于，在所述安全模块执行相应的密码服务之后，还包括：

所述安卓设备将所述安全模块执行相应密码服务的结果通过所述第二APDU模块进行APDU命令封装，再由所述第二网络协议模块对密码服务结果进行网络协议的封装后，通过所述第二网络传输模块将封装后的密码服务结果发送至所述第二端口；

所述安卓设备通过所述第二端口将封装后的密码服务结果映射至所述第一端口；

所述系统平台将所述第一端口接收到的封装后的密码服务结果通过所述第一网络传输模块发送至所述第一网络协议模块进行网络协议的解析，再由所述第一APDU模块根据解析后的密码服务结果调用所述密码服务模块将结果展示给系统用户。

6.一种使用安卓设备内置密码服务的系统，其特征在于，所述系统包括系统平台和安卓设备；所述系统平台包括密码服务模块、第一APDU模块、第一网络协议模块、第一网络传输模块和第一端口，所述安卓设备包括安全模块、第二APDU模块、第二网络协议模块、第二网络传输模块和第二端口；

所述密码服务模块，用于在所述系统平台向所述安卓设备发送调用所述安全模块的密码服务请求时进行调用；

所述第一APDU模块，用于对密码服务请求进行APDU命令封装；

所述第一网络协议模块，用于将所述第一APDU模块封装后的密码服务请求进行网络协议的封装；

所述第一网络传输模块，用于将所述第一网络协议模块封装后的密码服务请求发送至所述第一端口；

所述第一端口，用于在通过adb forward机制与所述第二端口进行端口映射后，将封装后的密码服务请求映射至所述第二端口；

所述第二端口，用于接收所述第一端口映射的封装后的密码服务请求；

所述第二网络传输模块，用于将封装后的密码服务请求发送至所述第二网络协议模块；

所述第二网络协议模块，用于对封装后的密码服务请求进行网络协议的解析；

所述第二APDU模块，用于根据解析后的密码服务请求调用所述安全模块；

所述安全模块，用于执行密码服务请求。

7.根据权利要求6所述的使用安卓设备内置密码服务的系统，其特征在于，所述密码服务请求为自定义业务APDU命令，所述自定义业务APDU命令用于调用所述安卓设备的安全模块；

所述系统平台的密码服务模块，还用于遍历所述安卓设备在系统平台上挂载的驱动，根据安卓设备的PID和VID筛选出指定安卓设备；获取所述指定安卓设备的唯一标识关联的PID和VID，通过比对安全模块的PID和VID判定所述指定安卓设备是否设置安全模块；

所述系统平台的第一APDU模块，还用于在所述指定安卓设备设置有安全模块时，与所述指定安卓设备的第二APDU模块约定调用密码服务时使用的APDU命令列表，建立所述系统平台与所述指定安卓设备之间的专用通讯通道。

8.根据权利要求6所述的使用安卓设备内置密码服务的系统，其特征在于，所述安全模块为安全芯片，提供的密码服务包括数字证书发放、身份认证、数据加解密、签名验签。

9.根据权利要求6所述的使用安卓设备内置密码服务的系统，其特征在于，所述系统平台至少包括Linux系统平台、Windows系统平台；所述安卓设备至少包括安卓移动终端、安卓智能穿戴设备。

10.根据权利要求6所述的使用安卓设备内置密码服务的系统，其特征在于，所述安全模块，还用于将执行密码服务请求的结果发送至所述第二APDU模块；

所述第二APDU模块，还用于对密码服务结果进行APDU命令封装；

所述第二网络协议模块，还用于将所述第二APDU模块封装后的密码服务结果进行网络协议的封装；

所述第二网络传输模块，还用于将所述第二网络协议模块封装后的密码服务结果发送至所述第二端口；

所述第二端口，还用于将封装后的密码服务结果映射至所述第一端口；

所述第一端口，还用于接收所述第二端口映射的封装后的密码服务结果；

所述第一网络传输模块，还用于将封装后的密码服务结果发送至所述第一网络协议模块；

所述第一网络协议模块，还用于对封装后的密码服务结果进行网络协议的解析；

所述第一APDU模块，用于根据解析后的密码服务结果调用所述密码服务模块；

所述密码服务模块，用于将密码服务结果展示给系统用户。

Images