CN113225352A - 一种数据传输方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明实施例公开了一种数据传输方法、装置、电子设备及存储介质。其中，所述方法应用于服务端时，包括：响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。本发明实施例所提供的技术方案，可以实现同时兼顾数据传输过程中的数据的安全性和对传输数据进行加密、解密的高效性。

Description

一种数据传输方法、装置、电子设备及存储介质

技术领域

本发明实施例涉及数据加密技术领域，尤其涉及一种数据传输方法、装置、电子设备及存储介质。

背景技术

数据加密，是指通过加密算法和加密密钥将明文转变为密文，而解密则是通过解密算法和解密密钥将密文恢复为明文。它的核心是密码学。

数据加密仍是计算机系统对信息进行保护的一种最可靠的办法。它利用密码技术对信息进行加密，实现信息隐蔽，从而起到保护信息安全的作用。按照作用的不同，数据加密技术可分为数据传输加密技术、数据存储加密技术、数据完整性的鉴别技术和密钥管理技术。

数据传输加密技术的目的是对传输中的数据流加密，通常有线路加密与端—端加密两种。线路加密侧重在线路上而不考虑信源与信宿，是对保密信息通过各线路采用不同的加密密钥提供安全保护。端—端加密指信息由发送端自动加密，并且由TCP/IP进行数据包封装，然后作为不可阅读和不可识别的数据穿过互联网，当这些信息到达目的地，将被自动重组、解密，而成为可读的数据。

相关技术的数据传输方法，如果想提高安全性，一般会采用非对称算法，安全性相对较高，但是由于其非对称的属性，导致其加解密效率较低；如果想提高加解密效率，一般会采用对称加密算法，加解密效率高，但是由于其用于加解密的密钥是对称的，所以安全性相对较低。目前还没有一种方法可以在兼顾安全性的同时，又能保证其加解密效率。

发明内容

本发明实施例提供一种数据传输方法、装置、电子设备及存储介质，可以实现同时兼顾数据传输过程中的数据的安全性和对传输数据进行加密、解密的高效性。

第一方面，本发明实施例提供了一种数据传输方法，应用于服务端，该方法包括：响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

第二方面，本发明实施例还提供了一种数据传输方法，应用于终端，该方法包括：向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

第三方面，本发明实施例还提供了一种数据传输装置，配置于服务端，该装置包括：握手请求响应模块，用于响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

加密数据接收模块，用于接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密信息发送模块，用于若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

第四方面，本发明实施例还提供了一种数据传输装置，配置于终端，该装置包括：握手请求发送模块，用于向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

公钥接收模块，用于接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密数据发送模块，用于向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

访问信息加解密模块，用于采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

第五方面，本发明实施例还提供了一种电子设备，该设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如本发明实施例中任一项所述的由服务端执行的数据传输方法或者由终端执行的数据传输方法。

第六方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明实施例中任一项所述的由服务端执行的数据传输方法或者由终端执行的数据传输方法。

本发明实施例提供的技术方案，应用于服务端时，响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。通过执行本方案，可以实现同时兼顾数据传输过程中的数据的安全性和对传输数据进行加密、解密的高效性。

附图说明

图1是本发明实施例提供的应用于服务端的一种数据传输方法的流程图；

图2是本发明实施例提供的应用于服务端的另一种数据传输方法的流程图；

图3是本发明实施例提供的应用于终端的一种数据传输方法的流程图；

图4a是本发明实施例提供的一种数据传输方法具体实现的流程图；

图4b是本发明实施例提供的一种数据传输方法具体实现的信令图；

图5是本发明实施例提供的配置于服务端的一种数据传输装置结构示意图；

图6是本发明实施例提供的配置于终端的一种数据传输装置结构示意图；

图7是本发明实施例提供的一种电子设备结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

图1是本发明实施例提供的应用于服务端的数据传输方法的流程图，所述方法可以由数据传输装置来执行，所述装置可以由软件和/或硬件的方式实现，所述装置可以配置在服务端，所述服务端可以是服务器等电子设备。所述方法应用于终端与服务端进行数据传输的场景中。如图1所示，本发明实施例提供的技术方案具体包括：

S110:响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥。

其中，第一加密算法可以是非对称加密算法，生成的密钥对包括公钥和私钥，例如SM2算法，也叫椭圆曲线公钥密码算法。通过采用SM2算法生成密钥长度为32位16进制随机数的密钥对，可以用于身份鉴别与认证，安全性相对于对称加密算法较高，加解密效率相对于对称加密算法较低。

当终端检测到用户通过终端的浏览器或者通过移动终端应用程序触发登录选项时，终端向服务端发出握手请求，服务端接收到终端发送的握手请求后，采用第一加密算法生成密钥对，将密钥对保存在自己的内存中，而将密钥对中的公钥发送给终端。

S120:接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据。

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息。

具体的，第二加密算法可以是SM4算法，属于对称加密算法，可以生成一个密钥长度为32位16进制随机数的密钥，用于加密传输数据和存储数据，安全性相对于非对称加密算法较低，但加解密效率相对于非对称加密算法较高。认证鉴权信息即用户登录信息，可以包括用户名和密码。

当终端接收到服务端发送的公钥后，采用该公钥对第二加密算法的密钥以及认证鉴权信息进行加密得到加密数据，终端将加密数据发送给服务端，服务端接收到该加密数据后，采用密钥对中的私钥对加密数据进行解密得到第二加密算法的密钥和认证鉴权信息，并将该认证鉴权信息与在服务端预存的经过授权的认证鉴权信息进行匹配，确认该认证鉴权信息是否通过验证。

S130:若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

其中，许可信息可以是访问令牌，代表终端访问许可，包含了登录会话的安全信息。当用户登录时，服务端创建一个访问令牌，然后以该用户身份运行的所有进程都拥有该令牌的一个拷贝。该令牌唯一表示该用户、用户的组和用户的特权。

如果确定认证鉴权信息通过验证，服务端生成针对用户的许可信息，并将许可信息发送给终端，并删除第一加密算法的密钥对，可以实现在此次握手会话期间以后的数据传输过程中不需要使用第一加密算法进行加解密，可以提高数据加解密的效率。终端得到许可信息，采用第二加密算法的密钥对发送给服务端的访问信息进行加密，对接收到的访问信息进行解密，并根据该许可信息与服务端之间进行通信和数据访问。

本发明实施例提供的技术方案，应用于服务端时，响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。通过执行本方案，可以实现同时兼顾数据传输过程中的数据的安全性和对传输数据进行加密、解密的高效性。

图2是本发明实施例提供的应用于服务端的数据传输方法的流程图，可选的，本发明实施例在上述方案的基础上具体优化为：响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥，包括：响应于所述终端发送的握手请求，生成握手请求码，并采用第一加密算法生成密钥对；向所述终端发送所述密钥对中的公钥和所述握手请求码。

如图2所示，本发明实施例提供的技术方案包括：

S210:响应于终端发送的握手请求，生成握手请求码，并采用第一加密算法生成密钥对。

其中，握手请求码可以是通用唯一识别码(Universally Unique Identifier，UUID)，指在一台机器上生成的唯一数字，由32位16进制数字组成，可以根据服务端的时间或服务端的MAC地址生成一个随机数，例如哈希数。用于唯一标识终端与服务端之间的一次握手请求。

当服务端接收到终端发送的握手请求后，采用UUID生成方法生成握手请求码，并采用第一加密算法生成密钥对，该握手请求码与该密钥对相关联。

S220:向所述终端发送所述密钥对中的公钥和所述握手请求码。

在本实施例中，服务端将采用第一加密算法生成的密钥对和握手请求码保存在自己的内存中，将握手请求码和密钥对中的公钥发送给终端。

由此，通过响应于所述终端发送的握手请求，生成握手请求码，并采用第一加密算法生成密钥对；向所述终端发送所述密钥对中的公钥和所述握手请求码，可以通过握手请求码识别终端与服务端的唯一有效会话，可以提高终端与服务端的会话效率，可以保证数据传输的可靠性。

S230:接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据。

在一个可行的实施方式中，可选的，接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据，包括：接收所述终端发送的目标请求码和所述加密数据；根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥；采用所述私钥对所述加密数据进行解密得到所述目标数据。

其中，终端接收到服务端发送的握手请求码和密钥对中的公钥之后，使用该公钥对目标数据进行加密得到加密数据，将目标请求码与加密数据发送给服务端。服务端接收到目标请求码与加密数据后，将目标请求码与服务端生成的握手请求码相匹配，验证二者是否一致，如果一致，则匹配成功，确定出与该目标请求码关联的私钥，即与握手请求码关联的密钥对中的私钥，使用该私钥对加密数据进行解密，得到第二加密算法的密钥和鉴权信息，并将该认证鉴权信息与在服务端预存的经过授权的认证鉴权信息进行匹配，确认该认证鉴权信息是否通过验证。如果目标请求码与服务端生成的握手请求码无法匹配，表明握手失败，服务端向终端发送握手失败的信息，请求终端重新发送目标请求码。

由此，通过验证终端发送的目标请求码与服务端产生的握手请求码是否匹配，确定与目标请求码关联的私钥，并采用该私钥对终端发送的加密数据进行解密得到目标数据，可以实现对终端的有效性进行验证，可以提高数据传输的可靠性。

S240:若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

在一个可行的实施方式中，可选的，若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问，包括：若所述认证鉴权信息验证通过，则生成许可信息，并生成密钥偏移量；采用所述密钥对所述密钥偏移量进行加密得到加密信息，向所述终端发送所述许可信息和所述加密信息，以使所述终端采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

具体的，密钥偏移量可以由SM4算法生成，相当于在加密的时候多了一个密钥，成为双密钥加密。增加密钥偏移量可以提升对称加密的安全性。

如果确定认证鉴权信息通过验证，服务端生成针对用户的许可信息，并生成密钥偏移量，采用第二加密算法的密钥对密钥偏移量进行加密，将加密之后得到的加密信息以及许可信息发送给终端，并删除第一加密算法的密钥对，可以实现在在此次握手会话期间以后的数据传输过程中不需要使用第一加密算法进行加解密，可以提高数据加解密的效率。终端采用第二加密算法的密钥对接收到的加密信息进行解密，得到许可信息和密钥偏移量，采用第二加密算法的密钥和密钥偏移量对发送给服务端的访问信息进行加密，对接收到的访问信息进行解密，并根据该许可信息与服务端之间进行通信和数据访问。

由此，通过在确认认证鉴权信息验证通过后，生成许可信息以及生成密钥偏移量；采用密钥对密钥偏移量进行加密得到加密信息，向终端发送许可信息和加密信息，以使终端采用密钥和密钥偏移量对访问信息进行加解密，并根据许可信息对服务端进行访问。可以实现既保证终端与服务端之间数据传输的安全性和可靠性，又能保证对传输的数据进行加密和解密的高效性。

在一个可行的实施方式中，可选的，在根据所述许可信息对所述服务端进行访问之后，还包括：响应于终端发送的加密访问信息，采用所述密钥和所述密钥偏移量对所述加密访问信息进行解密，得到所述访问信息；其中，所述加密访问信息是所述终端采用所述密钥和所述密钥偏移量对所述访问信息进行加密所得；针对所述访问信息生成响应信息，采用所述密钥和所述密钥偏移量对所述响应信息进行加密得到加密响应信息，向所述终端发送所述加密响应信息。

具体的，终端和服务端均采用第二加密算法的密钥和密钥偏移量对接收到的加密信息进行解密，对要发送给对方的信息进行加密。终端采用第二加密算法的密钥和密钥偏移量对访问信息进行加密得到加密访问信息，将该加密访问信息和许可信息发送给服务端。服务端确认对接收的许可信息验证通过后，对加密访问信息采用第二加密算法的密钥和密钥偏移量进行解密，得到访问信息。并针对该访问信息生成对应的响应信息，将该响应信息采用第二加密算法的密钥和密钥偏移量进行加密得到加密响应信息，将该加密响应信息和许可信息发送给终端。终端首先对接收到的许可信息进行验证，验证通过后，则采用第二加密算法的密钥和密钥偏移量对接收到的加密响应信息进行解密，进而得到响应信息，以此类推，直至终端与服务端的一次会话结束。

由此，通过在终端与服务端之间进行通信时采用第二加密算法的密钥和密钥偏移量对发送和接收的访问信息进行加解密，可以实现既保证终端与服务端之间数据传输的安全性和可靠性，又能保证对传输的数据进行加密和解密的高效性。

图3是本发明实施例提供的应用于终端的数据传输方法的流程图，所述方法可以由数据传输装置来执行，所述装置可以由软件和/或硬件的方式实现，所述装置可以配置在终端，所述终端可以是移动手机、平板电脑、穿戴设备等电子设备。所述方法应用于终端与服务端进行数据传输的场景中。如图3所示，本发明实施例提供的技术方案具体包括：

S310:向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥。

具体的，当用户通过终端触发登录选项时，终端向服务端发出握手请求，服务端接收到终端发送的握手请求后，采用第一加密算法生成密钥对，将密钥对保存在自己的内存中，将密钥对中的公钥发送给终端。

在一个可行的实施方式中，可选的，向所述服务端发送握手请求，以使所述服务端采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥，包括：向所述服务端发送握手请求，以使所述服务端响应于所述握手请求生成握手请求码，并使所述服务端采用第一加密算法生成密钥对，并向所述终端发送所述握手请求码和所述密钥对中的公钥。

具体的，当服务端接收到终端发送的握手请求后，采用UUID生成方法生成握手请求码，并采用第一加密算法生成密钥对，该握手请求码与该密钥对相关联。服务端将密钥对和握手请求码保存在自己的内存中，将握手请求码和密钥对中的公钥发送给终端。

由此，通过向服务端发送握手请求，以使服务端响应于握手请求生成握手请求码，并使服务端采用第一加密算法生成密钥对，并向终端发送握手请求码和密钥对中的公钥，可以通过握手请求码识别终端与服务端的唯一有效会话，可以提高终端与服务端的会话效率，可以保证数据传输的可靠性。

S320:接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据。

其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息。

当终端接收到服务端发送的公钥后，采用该公钥对第二加密算法的密钥以及认证鉴权信息进行加密得到加密数据。

S330:向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息。

其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的。

终端将加密数据发送给服务端，服务端接收到该加密数据后，采用密钥对中的私钥对加密数据进行解密得到第二加密算法的密钥和认证鉴权信息，并将该认证鉴权信息与在服务端预存的经过授权的认证鉴权信息进行匹配，确认该认证鉴权信息是否通过验证。

如果服务端确认认证鉴权信息验证通过，则生成许可信息，并将该许可信息发送给终端，并删除第一加密算法的密钥对。可以实现在在此次握手会话期间以后的数据传输过程中不需要使用第一加密算法进行加解密，可以提高数据加解密的效率。

在一个可行的实施方式中，可选的，向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，包括：向所述服务端发送目标请求码和所述加密数据，以使所述服务端根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥，并使所述服务端采用所述私钥对所述加密数据进行解密得到所述目标数据。

具体的，终端接收到服务端发送的握手请求码和密钥对中的公钥之后，使用该公钥对目标数据进行加密得到加密数据，将目标请求码与加密数据发送给服务端。服务端接收到目标请求码与加密数据后，将目标请求码与服务端生成的握手请求码相匹配，验证二者是否一致，如果一致，则匹配成功，确定出与该目标请求码关联的私钥，即与握手请求码关联的密钥对中的私钥，使用该私钥对加密数据进行解密，得到第二加密算法的密钥和鉴权信息，并将该认证鉴权信息与在服务端预存的经过授权的认证鉴权信息进行匹配，确认该认证鉴权信息是否通过验证。如果终端发送的目标请求码与服务端生成的握手请求码无法匹配，表明握手失败，服务端向终端发送握手失败的信息，请求终端重新发送目标请求码。

由此，通过向所述服务端发送目标请求码和所述加密数据，以使所述服务端根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥，并使所述服务端采用所述私钥对所述加密数据进行解密得到所述目标数据，可以实现对终端的有效性进行验证，可以提高数据传输的可靠性。

在一个可行的实施方式中，可选的，接收所述服务端发送的许可信息，包括：接收所述服务端发送的许可信息和加密信息；其中，所述加密信息为所述服务端在确定所述认证鉴权信息验证通过的情况下，生成密钥偏移量，采用所述密钥对所述密钥偏移量进行加密所得。

具体的，如果服务端确认认证鉴权信息验证通过，生成许可信息，并采用第二加密算法生成密钥偏移量，采用第二加密算法的密钥对密钥偏移量进行加密，得到加密信息，并将许可信息和加密信息发送给终端，并删除第一加密算法的密钥对。可以实现在在此次握手会话期间以后的数据传输过程都不需要使用第一加密算法进行加解密，可以提高数据加解密的效率。

S340:采用密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

具体的，终端接收到服务端发送的许可信息后，采用第二加密算法的密钥对发送给服务端的访问信息进行加密，对接收到的访问信息进行解密，并根据该许可信息与服务端之间进行通信和数据访问。

在一个可行的实施方式中，可选的，采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问，包括：采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

具体的，终端接收到服务端发送的许可信息和加密信息后，采用第二加密算法的密钥对接收到的加密信息进行解密，得到许可信息和密钥偏移量，采用第二加密算法的密钥和密钥偏移量对发送给服务端的访问信息进行加密，对接收到的访问信息进行解密，并根据该许可信息与服务端之间进行通信和数据访问。

由此，通过在确认认证鉴权信息验证通过后，生成许可信息以及生成密钥偏移量；采用密钥对密钥偏移量进行加密得到加密信息，向终端发送许可信息和加密信息，以使终端采用密钥和密钥偏移量对访问信息进行加解密，并根据许可信息对服务端进行访问。可以实现既保证终端与服务端之间数据传输的安全性和可靠性，又能保证对传输的数据进行加密和解密的高效性。

本发明实施例提供的技术方案，应用于终端时，向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。通过执行本方案，可以实现同时兼顾数据传输过程中的数据的安全性和对传输数据进行加密、解密的高效性。

现有的国产密码加密方法种类如表1所示：

表1

这些算法各有利弊，传统的数据传输加密方法中，如果想提高安全性，一般会使用SM2，该算法属于非对称算法，安全性相对于SM4高，但是由于其非对称的属性，导致其加解密效率不如SM4高；如果想提高加解密效率，一般会使用国密SM4，该算法属于对称加密，加解密效率高，但是其用于加解密的密钥是对称的，所以安全性相对于SM2较低。目前还没有一种方法可以在兼顾安全性的同时，又能保证其加解密效率。

图4a是本发明实施例提供的数据传输方法的流程图，图4b是本发明实施例提供的数据传输方法具体实现的信令图。如图4a和图4b所示，本发明实施例提供的技术方案包括如下步骤：

步骤1、终端通过访问接口向服务端发送握手请求，请求从服务端获取第一加密算法的公钥。

步骤2、服务端响应终端的握手请求，采用第一加密算法生成只针对该会话的密钥对，同时服务端会生成一个随机数作为终端本次的握手请求码。

步骤3、服务端将握手请求码和密钥对中的公钥发送给终端，将密钥对和握手请求码保存到内存中。一次握手一个密钥对，密钥对不做持久化存储，保证安全。

步骤4、终端生成一个长度为32位的十六进制随机数作为第二加密算法的对称密钥，连同认证鉴权信息通过第一加密算法的公钥加密后，与目标请求码一起发送给服务端。

步骤5、服务端验证目标请求码和握手请求码匹配通过后，通过握手请求码获取到服务端内存中存放的第一加密算法的私钥，使用该私钥解密出终端发送的鉴权信息和第二加密算法的密钥。

步骤6、通过客户鉴权后，服务端会生成许可信息，并生成一个第二加密算法的密钥偏移量。

步骤7、服务端将密钥偏移量和其他响应信息(例如具体的接口信息)利用第二加密算法的密钥使用第二加密算法的ECB模式进行对称加密后，连同许可信息发送给终端，并删除本次握手的第一加密算法的密钥对。

步骤8、服务端和终端之间的数据通信利用第二加密算法的密钥和密钥偏移量通过CBC模式进行加解密。

本发明实施例提供的技术方案，克服了现有技术的不足之处，首次请求用SM2来对SM4的密钥、鉴权信息进行加解密传输，来保证SM4密钥传输的安全性，然后根据SM2的私钥、鉴权信息得到各自的SM4密钥，之后所有请求都使用SM4来对数据进行加解密传输。这种创新的加解密方法，在保证安全性的同时，又保证了加解密效率。

图5是本发明实施例提供的配置于服务端的数据传输装置结构示意图，所述装置可以配置在服务端，所述服务端可以是服务器等电子设备，如图5所示，所述装置包括：

握手请求响应模块510，用于响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

加密数据接收模块520，用于接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密信息发送模块530，用于若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

可选的，握手请求响应模块510，具体用于：响应于所述终端发送的握手请求，生成握手请求码，并采用第一加密算法生成密钥对；向所述终端发送所述密钥对中的公钥和所述握手请求码。

可选的，加密数据接收模块520，具体用于：接收所述终端发送的目标请求码和所述加密数据；根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥；采用所述私钥对所述加密数据进行解密得到所述目标数据。

可选的，加密信息发送模块530，具体用于：若所述认证鉴权信息验证通过，则生成许可信息，并生成密钥偏移量；采用所述密钥对所述密钥偏移量进行加密得到加密信息，向所述终端发送所述许可信息和所述加密信息，以使所述终端采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

可选的，所述装置还包括加密访问信息响应模块，用于响应于终端发送的加密访问信息，采用所述密钥和所述密钥偏移量对所述加密访问信息进行解密，得到所述访问信息；其中，所述加密访问信息是所述终端采用所述密钥和所述密钥偏移量对所述访问信息进行加密所得；针对所述访问信息生成响应信息，采用所述密钥和所述密钥偏移量对所述响应信息进行加密得到加密响应信息，向所述终端发送所述加密响应信息。

可选的，所述第一加密算法，包括：SM2算法；所述第二加密算法，包括：SM4算法。

上述实施例所提供的装置可以执行本发明任意实施例所提供的应用于服务端的数据传输方法，具备执行方法相应的功能模块和有益效果。

图6是本发明实施例提供的配置于终端的数据传输装置结构示意图，所述装置可以配置在终端，所述终端可以是移动手机、平板电脑、穿戴设备等电子设备。如图6所示，所述装置包括：

握手请求发送模块610，用于向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

公钥接收模块620，用于接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密数据发送模块630，用于向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

访问信息加解密模块640，用于采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

可选的，握手请求发送模块610，具体用于：向所述服务端发送握手请求，以使所述服务端响应于所述握手请求生成握手请求码，并使所述服务端采用第一加密算法生成密钥对，并向所述终端发送所述握手请求码和所述密钥对中的公钥。

可选的，加密数据发送模块630，具体用于：向所述服务端发送目标请求码和所述加密数据，以使所述服务端根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥，并使所述服务端采用所述私钥对所述加密数据进行解密得到所述目标数据。

可选的，加密数据发送模块630，具体用于：接收所述服务端发送的许可信息和加密信息；其中，所述加密信息为所述服务端在确定所述认证鉴权信息验证通过的情况下，生成密钥偏移量，并采用所述密钥对所述密钥偏移量进行加密所得；

可选的，访问信息加解密模块640，具体用于：采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

上述实施例所提供的装置可以执行本发明任意实施例所提供的应用于终端的数据传输方法，具备执行方法相应的功能模块和有益效果。

图7是本发明实施例提供的一种电子设备结构示意图，如图7所示，该设备包括：

一个或多个处理器710，图7中以一个处理器710为例；

存储器720；

所述设备还可以包括：输入装置730和输出装置740。

所述设备中的处理器710、存储器720、输入装置730和输出装置740可以通过总线或者其他方式连接，图7中以通过总线连接为例。

存储器720作为一种非暂态计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的一种数据传输方法对应的程序指令/模块。处理器710通过运行存储在存储器720中的软件程序、指令以及模块，从而执行计算机设备的各种功能应用以及数据处理，即实现上述方法实施例的一种由服务端执行的数据传输方法，即：

响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

又例如：实现本发明实施例所提供的由终端执行的数据传输方法，也即：

向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

存储器720可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据计算机设备的采用所创建的数据等。此外，存储器720可以包括高速随机存取存储器，还可以包括非暂态性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态性固态存储器件。在一些实施例中，存储器720可选包括相对于处理器710远程设置的存储器，这些远程存储器可以通过网络连接至终端设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置730可用于接收输入的数字或字符信息，以及产生与计算机设备的用户设置以及功能控制有关的键信号输入。输出装置740可包括显示屏等显示设备。

本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明实施例提供的一种由服务端执行的数据传输方法，即：

响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

又例如：实现本发明实施例所提供的由终端执行的数据传输方法，也即：

向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件采用或者与其结合采用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括——但不限于——电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件采用或者与其结合采用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于——无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (15)

1.一种数据传输方法，应用于服务端，其特征在于，包括：

响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

2.根据权利要求1所述的方法，其特征在于，响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥，包括：

响应于所述终端发送的握手请求，生成握手请求码，并采用第一加密算法生成密钥对；

向所述终端发送所述密钥对中的公钥和所述握手请求码。

3.根据权利要求2所述的方法，其特征在于，接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据，包括：

接收所述终端发送的目标请求码和所述加密数据；

根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥；

采用所述私钥对所述加密数据进行解密得到所述目标数据。

4.根据权利要求1所述的方法，其特征在于，若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问，包括：

若所述认证鉴权信息验证通过，则生成许可信息，并生成密钥偏移量；

采用所述密钥对所述密钥偏移量进行加密得到加密信息，向所述终端发送所述许可信息和所述加密信息，以使所述终端采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

5.根据权利要求4所述的方法，其特征在于，还包括：

响应于终端发送的加密访问信息，采用所述密钥和所述密钥偏移量对所述加密访问信息进行解密，得到所述访问信息；其中，所述加密访问信息是所述终端采用所述密钥和所述密钥偏移量对所述访问信息进行加密所得；

针对所述访问信息生成响应信息，采用所述密钥和所述密钥偏移量对所述响应信息进行加密得到加密响应信息，向所述终端发送所述加密响应信息。

6.根据权利要求1所述的方法，其特征在于，所述第一加密算法，包括：SM2算法；

所述第二加密算法，包括：SM4算法。

7.一种数据传输方法，应用于终端，其特征在于，包括：

向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

8.根据权利要求7所述的方法，其特征在于，向所述服务端发送握手请求，以使所述服务端采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥，包括：

向所述服务端发送握手请求，以使所述服务端响应于所述握手请求生成握手请求码，并使所述服务端采用第一加密算法生成密钥对，并向所述终端发送所述握手请求码和所述密钥对中的公钥。

9.根据权利要求8所述的方法，其特征在于，向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，包括：

向所述服务端发送目标请求码和所述加密数据，以使所述服务端根据所述目标请求码与所述握手请求码的匹配关系，确定与所述目标请求码关联的私钥，并使所述服务端采用所述私钥对所述加密数据进行解密得到所述目标数据。

10.根据权利要求7所述的方法，其特征在于，接收所述服务端发送的许可信息，包括：

接收所述服务端发送的许可信息和加密信息；其中，所述加密信息为所述服务端在确定所述认证鉴权信息验证通过的情况下，生成密钥偏移量，采用所述密钥对所述密钥偏移量进行加密所得。

11.根据权利要求10所述的方法，其特征在于，采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问，包括：采用所述密钥和所述密钥偏移量对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

12.一种数据传输装置，配置于服务端，其特征在于，包括：

握手请求响应模块，用于响应于终端发送的握手请求，采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

加密数据接收模块，用于接收所述终端发送的加密数据，采用所述密钥对中的私钥对所述加密数据进行解密得到目标数据；

其中，所述加密数据是所述终端采用所述公钥对所述目标数据进行加密所得；所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密信息发送模块，用于若所述认证鉴权信息验证通过，则生成许可信息，并向所述终端发送所述许可信息，以使所述终端采用所述密钥对访问信息进行加解密，并根据所述许可信息对所述服务端进行访问。

13.一种数据传输装置，配置于终端，其特征在于，包括：

握手请求发送模块，用于向服务端发送握手请求，以使所述服务端响应于所述握手请求采用第一加密算法生成密钥对，并向所述终端发送所述密钥对中的公钥；

公钥接收模块，用于接收所述服务端发送的所述密钥对中的公钥，并采用所述公钥对目标数据进行加密得到加密数据；其中，所述目标数据包括第二加密算法的密钥和认证鉴权信息；

加密数据发送模块，用于向所述服务端发送所述加密数据，以使所述服务端采用所述密钥对中的私钥对所述加密数据进行解密得到所述目标数据，并接收所述服务端发送的许可信息；其中，所述许可信息为所述服务端在确定所述认证鉴权信息验证通过的情况下生成的；

访问信息加解密模块，用于采用所述密钥对访问信息进行加解密，并采用所述许可信息对所述服务端进行访问。

14.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一项所述的由服务端执行的数据传输方法，或者实现如权利要求7-11中任一项所述的由终端执行的数据传输方法。

15.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-6中任一项所述的由服务端执行的数据传输方法，或者实现如权利要求7-11中任一项所述的由终端执行的数据传输方法。

Images