CN113411190B - 密钥部署、数据通信、密钥交换、安全加固方法及系统 - Google Patents

密钥部署、数据通信、密钥交换、安全加固方法及系统 Download PDF

Info

Publication number
CN113411190B
CN113411190B CN202110957481.5A CN202110957481A CN113411190B CN 113411190 B CN113411190 B CN 113411190B CN 202110957481 A CN202110957481 A CN 202110957481A CN 113411190 B CN113411190 B CN 113411190B
Authority
CN
China
Prior art keywords
terminal
terminal device
security server
key
terminal equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110957481.5A
Other languages
English (en)
Other versions
CN113411190A (zh
Inventor
羊晋
司俊俊
涂波
刘孟奇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Digital Specialty Technology Co ltd
Original Assignee
Beijing Digital Specialty Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Digital Specialty Technology Co ltd filed Critical Beijing Digital Specialty Technology Co ltd
Priority to CN202110957481.5A priority Critical patent/CN113411190B/zh
Publication of CN113411190A publication Critical patent/CN113411190A/zh
Application granted granted Critical
Publication of CN113411190B publication Critical patent/CN113411190B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种密钥部署、数据通信、密钥交换、安全加固方法及系统，其中，该密钥部署方法包括：由终端设备生成终端专属公钥和相应的终端专属私钥；由终端设备根据其终端部署公钥加密终端专属公钥和终端设备识别号，得到注册信息密文；由终端设备向其安全服务器网络地址对应的安全服务器发送注册信息密文；由安全服务器接收注册信息密文并利用其终端部署私钥解密注册信息密文；由安全服务器将注册信息明文中和安全服务器中的终端设备识别号进行比对，若一致，则登记终端专属公钥；由安全服务器利用其安全服务器私钥对注册信息签发证书，并将安全服务器公钥和证书返回至终端设备。通过上述方案能够为设备密钥的预置提供可信的密钥保护措施。

Description

密钥部署、数据通信、密钥交换、安全加固方法及系统
技术领域
本发明涉及数据安全与信息安全领域技术领域，尤其涉及一种密钥部署、数据通信、密钥交换、安全加固方法及系统。
背景技术
随着信息时代快速发展，除了传统的电脑、个人手持设备需要接入互联网，还有大量的物联网设备需要通过有线网络或是无线网络，并经由出口路由器接入互联网，如用于工业互联网的智能电表、智能水表，用于智能家居控制的空调遥控、WiFi开关、温湿度光照传感器等。
由于开发设计或是软件漏洞，很多传统联网设备上的应用软件或是终端APP（应用程序）的网络服务并没有进行加密，而且设备性能有所限，所以联网设备的很多数据都是以明文的方式进行网络传输。随着联网设备的不断增多，也会有越来越多的联网设备面临着软件漏洞、恶意软件等攻击。
针对联网设备的数据暴露风险与网络攻击风险，有必要进行数据通信的安全加密和网络日志审计，以保证应用终端的数据安全与信息安全。
为保证网络中的数据传输安全，通常可在链路层或是应用层对数据进行加密，应用层加密需要网络应用开发过程应用加密方案，对于已经部署的设备升级更新加密方案涉及开发和更新的成本和周期。在链路层则可通过新增链路层加密设备或是方案，对于网络应用则完全无感。通常来说，通过虚拟私有网络 (Virtual Private Network，VPN)可实现链路层数据点对点加密，而建立VPN除了需要部署私有网络设备，还会发生设备网络环境变化，需要对网络环境和网络路由进行重新配置，部署运维成本较高。
另外，可以通过网络加密终端设备对联网设备之间的数据进行加密。但是，由于网络加密终端设备通常需要委托原始设备生产厂商进行设计与生产制造，并在生产制造完成后设备应完成预置密钥，所以很多设备如物联网设备上很难进行固件更新或是可靠的安全防护。
为保证设备内置密钥的安全可靠，设备密钥的预置应当有可信的密钥保护措施。
发明内容
有鉴于此，本发明提供了一种密钥部署、数据通信、密钥交换、安全加固方法及系统，以为设备密钥的预置提供可信的密钥保护措施。
为了达到上述目的，本发明采用以下方案实现：
根据本发明实施例的第一方面，提供了一种网络安全加固系统的初始密钥部署方法，网络安全加固系统包括网络安全服务器和终端设备，所述初始密钥部署方法包括：
由终端设备通过其中内置的密钥生成算法生成终端专属公钥和相应的终端专属私钥；其中，终端设备中预置有包括安全服务器识别号、安全服务器IP地址、安全服务器端口号、终端设备识别号及终端部署公钥的终端预置信息，终端预置信息不包括对应于终端部署公钥的终端部署私钥；
由终端设备利用其中预置的终端部署公钥加密终端专属公钥和终端设备中预置的终端设备识别号，得到注册信息密文；其中，终端专属公钥和终端专属私钥的密钥对是利用终端设备内置硬件生成；
由终端设备向其中预置的安全服务器IP地址和安全服务器端口号对应的安全服务器发送注册信息密文，以申请证书；
由安全服务器接收注册信息密文并利用其中预先部署的终端部署私钥解密所述注册信息密文，得到注册信息明文；其中，安全服务器中预先部署有包括安全服务器IP地址、安全服务器端口号、安全服务器识别号、终端部署公钥及相应的终端部署私钥、安全服务器公钥及相应的安全服务器私钥的终端部署所需信息；
由安全服务器将注册信息明文中的终端设备识别号和安全服务器中预先部署的终端设备识别号进行比对，若比对一致，则在安全服务器中登记注册信息明文中的终端专属公钥；
由安全服务器利用其中预先部署的安全服务器私钥对注册信息明文对应的注册信息签发证书，并将包括安全服务器公钥和签发的证书的登记信息返回至终端设备。
在一些实施例中，所述的网络安全加固系统的初始密钥部署方法，还包括：
终端设备收到登记信息后，开启对终端设备的入侵监测，若监测到终端设备遭遇入侵，则对终端设备中的终端专属公钥、终端专属私钥、安全服务器公钥及证书进行销毁。
根据本发明实施例的第二方面，提供了一种数据通信方法，适用于利用上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器；所述数据通信方法，包括：
在终端设备需要向安全服务器发送第一通信信息的情况下，终端设备利用其中的安全服务器公钥加密第一通信信息，得到第一通信信息密文，并将第一通信信息密文发送至安全服务器，安全服务器接收第一通信信息密文并利用其中的安全服务器私钥解密第一通信信息密文，得到第一通信信息明文；
在安全服务器需要向终端设备发送第二通信信息的情况下，安全服务器利用其中的终端专属公钥加密第二通信信息，得到第二通信信息密文，并将第二通信信息密文发送至终端设备，终端设备接收第二通信信息密文并利用其中的终端专属公钥解密第二通信信息密文，得到第二通信信息明文。
根据本发明实施例的第三方面，提供了一种终端设备部署方法，适用于利用上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器；终端设备和安全服务器部署于可互联互通的公共网络中，终端设备位于用户侧，安全服务器位于网络侧；所述终端设备部署方法，包括：
由终端设备利用上述任一实施例所述的数据通信方法向安全服务器发送包含其终端设备IP地址的注册请求信息，以在安全服务器上登记终端设备IP地址；
由安全服务器利用上述任一实施例所述的数据通信方法向终端设备下发其中预先部署的安全策略。
根据本发明实施例的第四方面，提供了一种终端设备间的密钥交换方法，适用于利用上述任一实施例所述的终端设备部署方法向第一安全服务器注册后的第一终端设备和第二终端设备；所述密钥交换方法，包括：
由第一终端设备接收包含目的IP地址的流量请求；
由第一终端设备利用上述任一实施例所述的数据通信方法，向第一安全服务器查询目的IP地址对应的终端设备，得到目的IP地址对应的终端设备为第二终端设备；
由第一终端设备生成用于密钥交换的第一公钥和第一私钥，并利用上述任一实施例所述的数据通信方法，将包含第一公钥的从第一终端设备到第二终端设备的密钥交换请求发送至第一安全服务器；
由第一安全服务器利用上述任一实施例所述的数据通信方法，将接收到的从第一终端设备到第二终端设备的密钥交换请求转发给第二终端设备；
由第二终端设备接收到从第一终端设备到第二终端设备的密钥交换请求后，生成用于密钥交换的第二公钥和第二私钥，并利用上述任一实施例所述的数据通信方法，将包含第二公钥的从第二终端设备到第一终端设备的密钥交换回传信息，发送至第一安全服务器；
由第一安全服务器利用上述任一实施例所述的数据通信方法，将接收的从第二终端设备到第一终端设备的密钥交换回传信息转发给第一终端设备，以完成第一终端设备和第二终端设备之间的密钥交换。
根据本发明实施例的第五方面，提供了一种网络安全加固方法，适用于利用上述任一实施例所述的终端设备间的密钥交换方法进行密钥交换后的第一终端设备和第二终端设备；所述网络安全加固方法，包括：
第一终端设备和第二终端设备利用第一终端设备向第二终端发送信息的通信方式和第二终端设备向第一终端发送信息的通信方式进行定期数据交互，以定期协商网络流量对称加密密钥；
第一终端设备接收接入第一终端设备的第一网络设备向接入第二终端设备的第二网络设备发送的数据包，并在链路层根据第一安全服务器下发的安全策略中的审计策略识别的数据包的相关信息；
在链路层，第一终端设备根据数据包的相关信息和第一安全服务器下发的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第一安全服务器下发的安全策略中的加密策略中匹配出相应的加密策略；
在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第一终端设备和第二终端设备之间的网络流量数据进行加解密处理；
其中，第一终端设备向第二终端发送信息的通信方式包括：第一终端设备利用第二公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第二终端设备，第二终端设备利用第二私钥解密通信信息密文，得到通信信息明文；第二终端设备向第一终端发送信息的通信方式包括：第二终端设备利用第一公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第一终端设备，第一终端设备利用第一私钥解密通信信息密文，得到通信信息明文。
根据本发明实施例的第六方面，提供了一种终端设备间的证书交换方法，适用于利用上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的第三终端设备和第二安全服务器与第四终端设备和第二安全服务器；第三终端设备和第四终端设备部署于用户私有网络中并位于用户侧，第三终端设备和第四终端设备中的至少一个与第二安全服务器无法网络联通；所述终端设备证书交换方法，包括：
在第三终端设备和第四终端设备发现其二者之间尚未进行证书交换的情况下，由第三终端设备和第四终端设备利用设定密钥交换算法进行公钥交换，以在第三终端设备中部署第四终端设备的第四公钥、第三终端设备的第三公钥及第三终端设备的第三私钥，在第四终端设备中部署第三终端设备的对应于第三公钥的第三私钥、第四终端设备的第四公钥及第四终端设备的第四私钥；
由第三终端设备利用其第三私钥加密包括第三终端设备的证书、终端设备识别号及终端专属公钥的第一证书交换请求信息，得到第一证书交换请求信息密文，并将第一证书交换请求信息密文发送至第四终端设备；
由第四终端设备利用其中的第三公钥解密第一证书交换请求信息密文，得到第一证书交换请求信息明文；
由第四终端设备利用第二安全服务器公钥对第三终端设备的证书进行证书校验，以验证第一证书交换请求信息明文中的第三终端设备的证书是否可信，若可信，则在第四终端设备中存储第三终端设备的证书；
由第四终端设备利用其第四私钥加密包括第四终端设备的证书、终端设备识别号及终端专属公钥的证书交换回传信息，得到证书交换回传信息密文，并将证书交换回传信息密文发送至第三终端设备；
由第三终端设备利用其中的第四公钥解密证书交换回传信息密文，得到证书交换回传信息明文；
由第三终端设备利用第二安全服务器公钥对第四终端设备的证书进行证书校验，以验证证书交换回传信息明文中的第四终端设备的证书是否可信，若可信，则在第三终端设备中存储第四终端设备的证书。
根据本发明实施例的第七方面，提供了一种网络安全加固方法，适用于利用上述任一实施例所述的终端设备间的证书交换方法进行证书交换后的第三终端设备和第四终端设备；所述网络安全加固方法，包括：
第三终端设备和第四终端设备利用其二者交换的证书向进行定期数据交互，以定期协商网络流量对称加密密钥；
第三终端设备接收接入第三终端设备的第三网络设备向接入第四终端设备的第四网络设备发送的数据包，并在链路层根据第三终端设备中预置的安全策略中的审计策略识别的数据包的相关信息；
在链路层，第三终端设备根据数据包的相关信息和第三终端设备中预置的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第三终端设备中预置的安全策略中的加密策略中匹配出相应的加密策略；
在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第三终端设备和第四终端设备之间的网络流量数据进行加解密处理。
根据本发明实施例的第八方面，提供了一种安全加固系统，包括：终端设备、安全服务器及存储在其二者的存储器上的计算机程序，终端设备和安全服务器二者的处理器执行所述程序时实现上述任一实施例所述方法的步骤。
根据本发明实施例的第九方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被终端设备和安全服务器二者的处理器执行时实现上述任一实施例所述方法的步骤。
本发明实施例的网络安全加固系统的初始密钥部署方法、数据通信方法、终端设备部署方法、终端设备间的密钥交换方法、终端设备间的证书交换方法、网络安全加固方法、安全加固系统及计算机可读存储介质，通过初始密钥部署能够为设备密钥的预置提供可信的密钥保护措施，避免密钥丢失泄露风险，能够提高终端设备和安全服务器间数据通信、终端设备部署、密钥交换、证书交换等的安全性，从而能够应对攻击等行为，且无需重新组网。进一步，通过审计与加密相互配合的方式对网络流量数据进行监控，能更能好地满足安全加固需求。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：
图1是本发明一实施例中安全加固系统的网络拓扑结构示意图；
图2是本发明一实施例的网络安全加固系统的初始密钥部署方法的流程示意图；
图3是本发明一实施例的终端设备间的密钥交换方法的流程示意图；
图4是本发明一实施例的网络安全加固方法的流程示意图；
图5是本发明一实施例的终端设备证书交换方法的流程示意图；
图6是本发明另一实施例的网络安全加固方法的流程示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。
图1是本发明一实施例中安全加固系统的网络拓扑结构示意图，参见图1，在安全加固系统中，网络设备141、142位于路由器131、132的用户侧，用于数据加密与安全升级的终端设备121、122位于路由器131、132的网络侧，安全服务器110与多个终端设备121、122连接。终端设备121、122能够对不同网络设备141、142之间传输的数据进行安全加固处理，安全服务器110在与终端设备121、122网络联通的情况下能够对终端设备121、122的安全加固策略进行管理。
基于图1所示的安全加固框架，为了保证用于安全加固的终端设备内置密钥的安全可靠性，本发明提供了一种网络安全加固系统的初始密钥部署方法，以为设备密钥的预置提供可信的密钥保护措施。
图2是本发明一实施例的网络安全加固系统的初始密钥部署方法的流程示意图，参见图2，网络安全加固系统包括网络安全服务器和终端设备，该实施例的网络安全加固系统的初始密钥部署方法可包括以下步骤S210~步骤S260。
下面将对步骤S210至步骤S260的具体实施方式进行详细说明。
步骤S210：由终端设备通过其中内置的密钥生成算法生成终端专属公钥和相应的终端专属私钥；其中，终端设备中预置有包括安全服务器识别号、安全服务器IP地址、安全服务器端口号、终端设备识别号及终端部署公钥的终端预置信息，终端预置信息不包括对应于终端部署公钥的终端部署私钥。
步骤S220：由终端设备利用其中预置的终端部署公钥加密终端专属公钥和终端设备中预置的终端设备识别号，得到注册信息密文；其中，终端专属公钥和终端专属私钥的密钥对是利用终端设备内置硬件生成。
步骤S230：由终端设备向其中预置的安全服务器IP地址和安全服务器端口号对应的安全服务器发送注册信息密文，以申请证书。
上述步骤S210中，该终端设备是指可以用于对联网设备间通信数据进行安全加固的终端设备，例如，若安全加固包括加密与审计，则该终端设备可以是指用于加密与审计的终端设备。图1示出了两个终端设备的情况，具体实施时，网络安全加固系统中可以包括两个以上的终端设备。各终端设备可以利用类似的方式进行初始密钥部署。
终端专属公钥和终端专属私钥为公私钥对，是指由终端设备本身生成的密钥。终端设备由原始设备生产商制造生产完成后，经过一系列流程，如质量检验、安全测试等，交付数据安全加固（如加密、审计）系统实施方后，可由可信信道部署终端预置信息。安全服务器可部署于可信的设备环境与网络环境中，简言之，安全服务器已联网，所以安全服务器具有其IP地址、端口号等信息。终端预置信息中可包括该安全服务器的IP地址、端口号等信息，进一步的实施例中，终端预置信息还可包括安全服务器设备识别号，可用于区分安全服务器。另外，可由系统实施方提供成对的终端部署公钥和终端部署私钥，并将终端部署公钥存储在终端设备中。终端部署公钥和终端部署私钥可用于在加载/部署初始密钥过程中对终端设备和安全服务器之间的通信数据进行非对称加密。终端部署公钥可由安全服务器生成并通过安全方式（例如，通过密码机导出公钥于安全硬件，并在设备厂时通过安全硬件写入设备）内置于终端设备中，终端部署私钥仅存储于安全服务器，而未存储于终端设备，如此一来，可以通过物理安全性保证设备从生产到部署中的密码安全性。
上述步骤S220和步骤S230中，终端设备首次接入网络时，向安全服务器进行登记注册。注册信息包括终端专属公钥和终端设备识别号，且以密文方式将注册信息发送给安全服务器。此外，该安全服务器的信息已预先设置在终端设备中，并与终端设备与安全服务器建立连接。
步骤S240：由安全服务器接收注册信息密文并利用其中预先部署的终端部署私钥解密所述注册信息密文，得到注册信息明文；其中，安全服务器中预先部署有包括安全服务器IP地址、安全服务器端口号、安全服务器识别号、终端部署公钥及相应的终端部署私钥、安全服务器公钥及相应的安全服务器私钥的终端部署所需信息。
上述步骤S240中，安全服务器可部署于可信的设备环境与网络环境中，简言之，安全服务器已联网，其具有IP地址、端口号等网络地址信息。可由安全服务器生成终端部署所需信息，所以成对的终端部署公钥和终端部署私钥可由安全服务器生成。终端部署所需信息除了包含终端部署私钥，还可包括终端部署公钥，此外，还可包括安全服务器识别号等。安全服务器中存储有终端部署私钥，可用于对注册信息密文进行解密。
步骤S250：由安全服务器将注册信息明文中的终端设备识别号和安全服务器中预先部署的终端设备识别号进行比对，若比对一致，则在安全服务器中登记注册信息明文中的终端专属公钥。
上述步骤S250中，若比对一致，则该终端设备识别号合法有效，若不一致，则该终端设备识别号非法无效，可不予登记注册，可以返回登记失败的信息给终端设备。在比对安全服务器中的终端设备识别号和收到的终端设备识别号一致的情况下，才对终端设备进行登记注册，能够保证请求登记注册的终端设备的合法有效性，防止非法终端设备向安全服务器登记注册。登记终端专属公钥具体可以是记录终端专属公钥，并可对应于终端设备识别号进行记录。
步骤S260：由安全服务器利用其中预先部署的安全服务器私钥对注册信息明文对应的注册信息签发证书，并将包括安全服务器公钥和签发的证书的登记信息返回至终端设备。
上述步骤S260中，安全服务器私钥可以预先存储至安全服务器。对注册信息签发证书具体可以是，计算注册信息的哈希值，并利用安全服务器私钥加密该哈希值，所得到的哈希值密文即可作为签发的证书，即该安全服务器为该终端设备签发的数字证书。终端设备接收的安全服务器公钥和证书可以对应于其中预置的安全服务器的信息（如识别号、IP地址、端口号等）进行存储。
通过上述步骤S210~步骤S260，终端设备利用终端部署公钥加密注册信息后发送给安全服务器，安全服务器利用终端部署私钥解密，以此可以保证终端设备安全地将注册信息发送给安全服务器。安全服务器利用其本身存储的和收到的终端设备识别号进行比对验证，保证向安全服务器请求注册的终端设备属于安全服务器的合法有效的终端设备，或者说是可与安全服务器相互配合进行网络安全加固的终端设备，以此能够保证注册终端设备的有效性。安全服务器登记了终端专属私钥，并存储有安全服务器私钥，而终端设备中预置有终端专属公钥，并接收到返回的安全服务器公钥，以此，实现终端设备和安全服务器之间的公钥交换，便于用来对二者间的通信数据进行非对称加密。安全服务器为终端设备签发的证书可以用于终端设备和其他终端设备之间进行通信时验证可靠性。如此一来，本实施例提供了可信的初始密钥（交换得到的公钥以及证书）部署（初始化/登记注册）过程，能够安全方便的对设备中的密钥进行初始化，保护了在设备中预置的初始密钥，解决了设备只能在出厂时预置密钥而易导致密钥泄露的问题。
终端设备收到登记成功的信息后，可以开启针对设备入侵的监测，若监测到设备遭到入侵可以启动密钥销毁机制。可销毁终端设备私钥以及存储于安全服务器和其他设备的信息。销毁方式例如可以是，终端设备在硬件上具备防拆功能，当硬件检测到设备被拆解，硬件电路触发密钥销毁程序，删除密钥数据并对存储分区进行多次覆盖性写入以保证安全性。示例性地，图2所示的网络安全加固系统的初始密钥部署方法还可包括步骤：S270，终端设备收到登记信息后，开启对终端设备的入侵监测，若监测到终端设备遭遇入侵，则对终端设备中的终端专属公钥、终端专属私钥、安全服务器公钥及证书进行销毁。
基于图2所示的网络安全加固系统的初始密钥部署方法，本发明实施例还提供了一种数据通信方法，该实施例的数据通信方法适用于上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器。
通过上述初始密钥部署方法处理后的终端设备中具有了终端专属公钥、终端专属私钥、安全服务器公钥等，安全服务器中具体有了安全服务器私钥、安全服务器公钥、终端专属公钥等，可以基于该些信息实现终端设备和安全服务器之间的加密通信。
在一些实施例中，数据通信方法可包括以下步骤：
S310：在终端设备需要向安全服务器发送第一通信信息的情况下，终端设备利用其中的安全服务器公钥加密第一通信信息，得到第一通信信息密文，并将第一通信信息密文发送至安全服务器，安全服务器接收第一通信信息密文并利用其中的安全服务器私钥解密第一通信信息密文，得到第一通信信息明文；
S320：在安全服务器需要向终端设备发送第二通信信息的情况下，安全服务器利用其中的终端专属公钥加密第二通信信息，得到第二通信信息密文，并将第二通信信息密文发送至终端设备，终端设备接收第二通信信息密文并利用其中的终端专属公钥解密第二通信信息密文，得到第二通信信息明文。
上述步骤S310和S320中，第一通信信息可以是各种终端设备需要发送给安全服务器的信息，第二通信信息可以是各种安全服务器需要发送给终端设备的信息。该通信交互过程中采用了非对称加密的方式，保证了终端设备和安全服务器之间通信的安全性。
上述实施例的数据通信方法，可以应用于各种需要在终端设备和安全服务器之间进行数据通信的情景。例如，在将终端设备部署到网络中对网络设备进行网络安全加固前需要对终端设备进行部署时，再例如，需要对两个终端设备进行密钥交换时，等等。
基于与上述实施例所述的数据通信方法和网络安全加固系统的初始密钥部署方法，本发明实施例还提供了一种终端设备部署方法（或称为终端设备注册方法），适用于利用上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器。在一些实施例中，终端设备和安全服务器部署于可互联互通的公共网络中，终端设备位于用户侧，安全服务器位于网络侧。具体实施时，终端设备可部署于路由器的出口侧，安全服务器与终端设备网络连接，路由器的入口侧可连接网络设备（联网设备，如物联网设备）。在一些实施例中，终端设备部署方法可包括步骤：
S410：由终端设备利用上述任一实施例所述的数据通信方法向安全服务器发送包含其终端设备IP地址的注册请求信息，以在安全服务器上登记终端设备IP地址；
S420：由安全服务器利用上述任一实施例所述的数据通信方法向终端设备下发其中预先部署的安全策略。
上述步骤S410和步骤S420中，注册请求信息相当于前述第一通信信息，下发的安全策略相当于前述第二通信信息。安全策略可包括对网络流量数据进行审计的策略，进行加密的策略，进行阻断的策略等。在安全服务器上登记终端设备IP地址，即可以在安全服务器上记录终端设备IP地址，其他实施例中注册请求信息还可以包括终端设备的其他信息，如识别号、端口号等。安全服务器通过终端设备的IP地址，可以与终端设备建立网络连接，而且其二者间采用非对称加密的方式进行通信，即在其二者间建立了可信通信信道。
基于与上述各实施例所述的终端设备部署方法和数据通信方法，本发明实施例还提供了一种终端设备间的密钥交换方法，适用于利用上述任一实施例所述的终端设备部署方法向第一安全服务器注册后的第一终端设备和第二终端设备。详细而言，第一终端设备可以通过上述任一实施例所述的终端设备部署方法向第一安全服务器注册，以此，第一安全服务器拥有了第一终端设备的IP地址等信息，第一终端设备和第一安全服务器之间建立了可信通信信道；第二终端设备可以通过上述任一实施例所述的终端设备部署方法向第一安全服务器注册，以此，第一安全服务器拥有了第二终端设备的IP地址等信息，第二终端设备和第一安全服务器之间建立了可信通信信道。
图3是本发明一实施例的终端设备间的密钥交换方法的流程示意图，参见图3，该实施例的终端设备间的密钥交换方法，可包括以下步骤：
步骤S510：由第一终端设备接收包含目的IP地址的流量请求；
步骤S520：由第一终端设备利用本发明任一实施例所述的数据通信方法，向第一安全服务器查询目的IP地址对应的终端设备，得到目的IP地址对应的终端设备为第二终端设备；
步骤S530：由第一终端设备生成用于密钥交换的第一公钥和第一私钥，并利用本发明任一实施例所述的数据通信方法，将包含第一公钥的从第一终端设备到第二终端设备的密钥交换请求发送至第一安全服务器；
步骤S540：由第一安全服务器利用本发明任一实施例所述的数据通信方法，将接收到的从第一终端设备到第二终端设备的密钥交换请求转发给第二终端设备；
步骤S550：由第二终端设备接收到从第一终端设备到第二终端设备的密钥交换请求后，生成用于密钥交换的第二公钥和第二私钥，并利用本发明任一实施例所述的数据通信方法，将包含第二公钥的从第二终端设备到第一终端设备的密钥交换回传信息，发送至第一安全服务器；
步骤S560：由第一安全服务器利用本发明任一实施例所述的数据通信方法，将接收的从第二终端设备到第一终端设备的密钥交换回传信息转发给第一终端设备，以完成第一终端设备和第二终端设备之间的密钥交换。
上述步骤S510中，第一终端设备和第二终端设备均与安全服务器网络联通，所以可以通过安全服务器完成密钥交换。第一终端设备具有其本身的IP地址，收到流量请求后，例如，第一终端设备接入的网络设备要向目的网络设备发送网络流量数据的请求，所以可以得知目的IP地址。上述步骤S520中，经由本发明实施例的数据通信方法，即通过可信信道从安全服务器获取IP地址对应的终端设备，如终端设备识别号，即知道是哪一个终端设备。上述步骤S530中，第一终端设备可以利用其内置的密钥生成算法生成公私钥对，且通过本发明实施例的可信通信信道将密钥交换请求发送给安全服务器，其中，密钥交换请求除了包含第一公钥，还可包括第一终端设备的识别号（源终端设备识别号）/IP地址、第二终端设备的识别号（目的终端设备识别号）/IP地址等信息。上述步骤S540中，安全服务器通过可信信道将密钥交换请求转发给第二终端设备。上述步骤S550中，第二终端设备保存第一公钥，并可对应于第一终端设备识别号、IP地址等信息进行存储，并通过可信信道将其密钥交换回传信息返回给安全服务器，密钥交换回传信息除了包括第二公钥，还可包括第二终端识别号等。上述步骤S560中，安全服务器通过可信信道将回传信息返回给第一终端设备。因此，本实施例的密钥交换方法实现了对两终端设备之间的可信的密钥交换，保证了密钥的安全性。
基于上述实施例所述的终端设备间的密钥交换方法，本发明实施例还提供了一种网络安全加固方法，适用于上述任一实施例所述的终端设备间的密钥交换方法进行密钥交换后的第一终端设备和第二终端设备。两个终端设备完成密钥交换后，可通过交换得到的密钥和安全服务器下发的安全策略对二者间的流量数据进行安全加固。
图4是本发明一实施例的网络安全加固方法的流程示意图，参见图4，该实施例的网络安全加固方法，可包括以下步骤S610~步骤S640。
步骤S610：第一终端设备和第二终端设备利用第一终端设备向第二终端发送信息的通信方式和第二终端设备向第一终端发送信息的通信方式进行定期数据交互，以定期协商网络流量对称加密密钥。
其中，第一终端设备向第二终端发送信息的通信方式包括：第一终端设备利用第二公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第二终端设备，第二终端设备利用第二私钥解密通信信息密文，得到通信信息明文；第二终端设备向第一终端发送信息的通信方式包括：第二终端设备利用第一公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第一终端设备，第一终端设备利用第一私钥解密通信信息密文，得到通信信息明文。
上述步骤S610中，两个终端设备利用交换得到的密钥进行数据交互协商流量的对称加密密钥，以此能够保证获取对称加密密钥的安全性。其中，对称加密密钥可以是基于现有技术得到。进一步的实施例中，还可根据终端设备内置或安全服务器下发的密钥更新时间（可在安全策略中）定期重新获取对称加密密钥，以此可以进一步保证对称加密密钥的安全性。
步骤S620：第一终端设备接收接入第一终端设备的第一网络设备向接入第二终端设备的第二网络设备发送的数据包，并在链路层根据第一安全服务器下发的安全策略中的审计策略识别的数据包的相关信息。
上述步骤S620中，可以利用深度报文解析识别数据包所述协议。安全策略可以是预先部署在安全服务器中，并可在密钥交换前进行终端设备部署/注册时下发至终端设备。审计策略可由审计方设定，主要用于识别数据包的信息并进一步得选择流量放行/阻断策略或是加密策略，例如，可以识别数据包的目的终端设备、流量类型等。
步骤S630：在链路层，第一终端设备根据数据包的相关信息和第一安全服务器下发的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第一安全服务器下发的安全策略中的加密策略中匹配出相应的加密策略。
步骤S640：在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第一终端设备和第二终端设备之间的网络流量数据进行加解密处理。
上述步骤S630中，流量阻断策略可由用户确定，可以针对认为有风险的流量进行阻断。例如，在阻断策略中可以设置若两终端之间通信的多个数据包中某种数据包存在风险，就可以对该两终端之间的流量数据进行阻断。若无需阻断，则可以进一步通过匹配选择相应的加密策略，其中，用户可以设置一些加密策略，例如，源终端、目的终端、流量类型等，不同组合对应的加密策略可不同，则可同该些加密策略中一一匹配找到对应于当前数据包情况的加密策略，对相应流量数据进行加密。
具体地，流量阻断策略例如可以是，基于DPI（深度报文检测）对网络流量进行识别，识别出数据包所属协议以及目标IP、目的端口等信息，然后根据审计策略选择流量处理方式，例如：（1）设备禁止连接审计策略外设备或是非法网络协议，则命中流量阻断策略，对网络流量进行阻断；（2）如设备连接的是合法设备并且是合法协议，如审计策略对该协议不予加密（如视频或是协议本身是加密的（HTTPS）），则不加密，如审计策略要求对该流量进行加密，则利用协商好的的加密算法对流量进行加密，以使设备收到流量后再进行对应的解密和转发。
通过上述步骤S620~步骤S640，先对流量数据进行审计，再根据审计结果进行风险判断，存在风险则阻断，若无风险再匹配相应的加密策略进行加密，以此可实现对网络流量数据一同进行审计和加密，从而可以更好地满足用户安全加固需求，保证流量数据安全并兼顾网络通信效率。
基于与上述实施例所述的数据通信方法和网络安全加固系统的初始密钥部署方法，本发明实施例还提供了一种终端设备间的证书交换方法，适用于利用上述任一实施例所述的网络安全加固系统的初始密钥部署方法初始化后的第三终端设备和第二安全服务器与第四终端设备和第二安全服务器。在一些实施例中，第三终端设备和第四终端设备部署于用户私有网络中并位于用户侧，第三终端设备和第四终端设备中的至少一个与第二安全服务器无法网络联通。在终端设备与安全服务器无法联通的情况下，无法通过安全服务器发现需要接入网络的终端设备，在此情况下，可以终端设备发现与其进行数据通信的终端设备。具体实施时，各终端部署到用户侧后，可以查询其在用户私有网络中的IP地址，并可存储查询到的IP地址。进一步，例如，第三终端设备下的网络设备向第四终端下的网络设备发起通信请求时，第三终端设备可先接收到该通信请求，接收到通信请求后，可以判断是否已与第四终端设备进行密钥交换（例如，通过检查第三终端设备中是否存储有第三终端设备的公钥等来判断），若判断尚未进行密钥交换，则第三终端设备可根据其IP地址向第四终端设备的IP地址对应的终端设备进行密钥/证书交换。
图5是本发明一实施例的终端设备证书交换方法的流程示意图，参见图5，该实施例的终端设备证书交换方法可包括以下步骤：
步骤S710：在第三终端设备和第四终端设备发现其二者之间尚未进行证书交换的情况下，由第三终端设备和第四终端设备利用设定密钥交换算法进行公钥交换，以在第三终端设备中部署第四终端设备的第四公钥、第三终端设备的第三公钥及第三终端设备的第三私钥，在第四终端设备中部署第三终端设备的对应于第三公钥的第三私钥、第四终端设备的第四公钥及第四终端设备的第四私钥；
步骤S720：由第三终端设备利用其第三私钥加密包括第三终端设备的证书、终端设备识别号及终端专属公钥的第一证书交换请求信息，得到第一证书交换请求信息密文，并将第一证书交换请求信息密文发送至第四终端设备；
步骤S730：由第四终端设备利用其中的第三公钥解密第一证书交换请求信息密文，得到第一证书交换请求信息明文；
步骤S740：由第四终端设备利用第二安全服务器公钥对第三终端设备的证书进行证书校验，以验证第一证书交换请求信息明文中的第三终端设备的证书是否可信，若可信，则在第四终端设备中存储第三终端设备的证书；
步骤S750：由第四终端设备利用其第四私钥加密包括第四终端设备的证书、终端设备识别号及终端专属公钥的证书交换回传信息，得到证书交换回传信息密文，并将证书交换回传信息密文发送至第三终端设备；
步骤S760：由第三终端设备利用其中的第四公钥解密证书交换回传信息密文，得到证书交换回传信息明文；
步骤S770：由第三终端设备利用第二安全服务器公钥对第四终端设备的证书进行证书校验，以验证证书交换回传信息明文中的第四终端设备的证书是否可信，若可信，则在第三终端设备中存储第四终端设备的证书。
上述步骤S710中，可以通过终端设备下的网络设备发起通信请求时，由终端设备确认该通信请求的接收方是否与该终端设备进行了证书交换，若否则可进行证书交换。密钥交换算法例如可以是RSA（标准密钥交换算法）、DHE（ephemeral Diffie-Hellman, 临时Diffie-Hellman密钥交换算法）、ECDHE（ephemeral elliptic curve Diffie-Hellman, 临时椭圆曲线Diffie-Hellman）、国密SM9等密钥交换算法。
上述步骤S740和S770中，证书校验的流程可包括步骤：（1）计算证书内容的HASH得到哈希值HashInfo1；（2）利用安全服务器解密证书内容中HASH的密文信息（此处由安全服务器签发证书时生成）得到哈希值HashInfo2；（3）比对哈希值HashInfo1和哈希值HashInfo2，若一致，则认为证书可信，为可信安全服务器签发的有效证书。
基于上述实施例所述的终端设备证书交换方法，本发明实施例还提供了一种网络安全加固方法，适用于上述任一实施例所述的终端设备间的密钥交换方法进行密钥交换后的第三终端设备和第四终端设备。在终端设备无法与安全服务器联通，且终端设备之间通过用户私有网络联通的情况下，可以通过在初始密钥部署时安全服务器为终端设备签发的证书验证终端设备的可靠性，进而执行安全加固策略。
图6是本发明一实施例的网络安全加固方法的流程示意图，参见图6，该实施例的网络安全加固方法可包括以下步骤：
步骤S810：第三终端设备和第四终端设备利用其二者交换的证书向进行定期数据交互，以定期协商网络流量对称加密密钥；
步骤S820：第三终端设备接收接入第三终端设备的第三网络设备向接入第四终端设备的第四网络设备发送的数据包，并在链路层根据第三终端设备中预置的安全策略中的审计策略识别的数据包的相关信息；
步骤S830：在链路层，第三终端设备根据数据包的相关信息和第三终端设备中预置的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第三终端设备中预置的安全策略中的加密策略中匹配出相应的加密策略；
步骤S840：在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第三终端设备和第四终端设备之间的网络流量数据进行加解密处理。
通过上述步骤S810能够使得终端设备通过证书确认对方的可靠性，以此可以增强对称加密密钥的安全性。上述步骤S830中，由于终端设备处于私有网络，无法与安全服务器联通，所以可以通过在终端设备中预置安全策略来应对该种情况。上述步骤S830和步骤S840中的审计策略、加密策略、流量阻断策略等类似于前述步骤S630和步骤S640。
另外，本发明实施例还提供了一种安全加固系统，包括：终端设备、安全服务器及存储在其二者的存储器上的计算机程序，终端设备和安全服务器二者的处理器执行所述程序时实现上述任一实施例所述方法的步骤。
本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被终端设备和安全服务器二者的处理器执行时实现上述任一实施例所述方法的步骤。
下面结合一个具体实施例对上述方法进行说明，然而，值得注意的是，该具体实施例仅是为了更好地说明本申请，并不构成对本申请的不当限定。
为解决现有技术中存在的无法满足网络数据加密和安全审计需求的问题，一具体实施例中，参见图1，数据加密与安全升级方法所适用的数据加密与安全审计系统主要可包括：安全服务器110、用于加密和审计的终端设备121、122、网络设备141、142（此处以两组终端装置、网络设备作为示例加以说明，具体实施时可以是两个以上）。
安全服务器110，用于加密审计的终端设备121、122的注册与发现，加密审计策略的管理和下发，系统运行的管理和整体日志审计，安全服务器110部署在网络侧，通过安全可信的数据连接管理用于加密审计的终端设备121、122。
用于加密审计的终端设备121、122（以下简称终端设备），用于接入在网络路由器131、132的出口侧，负责网络流量的实时加密和安全审计，根据策略对接入网络的用户设备流量进行实时加密和安全审计。
网络设备141、142，用于需要进行流量加密的网络设备121、122接入到路由器131、132中，路由器131、132的出口接入到加密审计终端设备121、122所有对外网络流量。
具体实施例中，数据加密与安全升级方法主要可包括以下过程：（1）网络数据加密初始密钥预置方案，加密密钥生成，流量数据加密过程；（2）网络流量数据安全审计方案，可包括审计内容、审计策略等；（3）终端设备安全防护方案。
（1）数据加密与安全审计系统的部署方案
数据加密与安全审计系统的部署方案可包括以下过程：（1-1）安全服务器部署与配置；（1-2）终端设备安全初始化；（1-3）终端设备注册与登记；（1-4）终端设备部署到设备使用方。
（1-1）安全服务器部署与配置
安全服务器部署于可信的设备环境与网络环境中，主要用于：终端设备信息存储，包括部署信息、流量加密审计策略等；终端设备注册与登记；终端设备远程策略配置管理与下发。
（1-2）终端设备安全初始化
数据加密与安全审计系统在安全服务器部署完成后，终端设备进行部署前需要完成安全初始化，主要初始化流程可包括：
（1-2-1）由安全服务器生成终端部署所需信息，包括：安全服务器的IP地址、端口、识别号，终端设备识别号、设备部署公钥私钥对（终端部署公钥、终端部署私钥）等信息。
（1-2-2）终端设备由原始设备生产商制造生产完成后，经过质量检验、安全测试等流程后，交付数据加密与安全审计系统实施方，并由可信信道部署终端预置信息，终端预置信息可包括：安全服务器的IP地址、端口、识别号，终端设备识别号、设备部署公钥（终端部署公钥）（不包括终端部署私钥）等信息。
（1-3）终端设备注册与登记
终端设备首次开启并接入网络中需要完成设备注册与登记，主要流程可包括如下过程：
（1-3-1）终端设备通过内置密钥生成算法生成设备专属私钥和公钥（终端专属公钥、终端专属私钥），并根据用户预置的设备部署公钥加密终端设备识别号、设备公钥（终端专属公钥）生成加密信息，向预置的IP地址和端口对应的安全服务器发送加密过的注册信息并申请证书；
（1-3-2）安全服务器侧登记终端设备信息并签发证书，安全服务器收到加密过的注册信息，利用设备部署私钥解密得到终端设备识别号、终端公钥，与初始的设备识别号核对，对合法有效的终端设备识别号登记设备公钥（设备生成并发送到服务器的公钥，服务器予以记录并关联上设备id），并利用设备公钥加密加密设备登记成功信息（包括安全服务器公钥、服务器信息（安全服务器的IP地址、端口、识别号）等），安全服务器利用安全服务器私钥对注册信息签发证书（安全服务器收到设备注册信息（设备id、设备公钥等），并利用安全服务器私钥对注册信息进行签名（注册信息计算hash，利用服务器私钥进行加密）），并返回给终端设备，返回信息包括（安全服务器公钥、终端设备证书等）。例如，B设备收到A设备注册信息以及证书信息后， 利用存储的安全服务器私钥可以验证签名验证，验证A设备的设备注册信息以及证书信息是由安全服务器签发的，则A设备也是可信的。
（1-3-3）终端设备收到登记成功信息（包括安全服务器公钥、终端设备证书等），设备初始化完成，并开启设备入侵监测，如设备遭到入侵则启动密钥销毁机制。
终端设备初始化完成后，终端设备与服务器数据交互中，采取非对称数据加密措施，主要流程可包括以下过程：
S1.终端存储有终端公钥和私钥对，终端公钥在步骤（1-3）中已经通过可信的方式发送到服务器并由服务器存储；
S2.安全服务器存储有服务器公钥和私钥，服务器通信公钥在步骤（1-3）中已经通过可信的方式发送到服务器并由服务器存储；
S3.终端向服务器发送通信信息，利用服务器公钥加密通信信息，服务器接收到通信信息利用服务器通信私钥解密；
S4.服务器向终端发送通信信息，利用终端公钥加密通信信息，终端接收到服务器信息利用设备私钥解密。
（1-4）终端设备部署到设备使用方
终端设备在由加密审计服务方完成初始化（登记注册）后，可部署到需要进行网络流量加密审计用户的网络出口侧，并接入安全服务器根据预置或是安全服务器下发的安全策略对接入终端设备的网络流量进行加密和审计，终端设备的部署方式可包括：
（1-4-1）安全服务器、终端设备均部署于可互联互通的公共网络，终端设备在初始化完成后部署于用户侧，安全服务器提供终端配置、密钥交换等功能；
（1-4-2）终端设备部署于用户私有网络内，初始化完成后，终端设备之间互相完成设备发现与密钥交换。
对于上述第1种部署方式（1-4-1），终端的部署流程可如下：
（1-4-1-1）终端设备部署到用户侧，向安全服务器发起注册请求，终端设备在接入网络后，利用初始化完成的信息向安全服务器发起注册请求，注册请求包括发送终端设备的ip地址等，服务器接收到信息后注册登记设备信息；
（1-4-1-2）安全策略下发，设备在线注册成功后，安全服务器根据安全策略按照一定周期向终端设备发送设备加密策略和审计策略；
（1-4-1-3）终端设备在注册成功后，则可向其他终端设备发起密钥交换请求并进行加密会话。
终端设备在接入网络，并在安全服务器注册成功后，可与其他终端设备进行密钥交换，主要流程如下：
1.终端设备A，其终端IP地址表示为IPA；
2.终端设备A收到流量请求，目的地址为IPB；
3.终端设备A向安全服务器查询IP地址IPB对应的终端设备B，获取终端设备B的设备ID；
4.终端设备A生成用于和终端设备B进行密钥交换的公钥pub-A和私钥pri-A，并将公钥pub-A发送到安全服务器；
5.安全服务器收到终端设备A到终端设备B的密钥交换请求，并转发至终端设备B；
6.终端设备B收到服务器的下发的收到终端设备A到终端设备B的密钥交换请求，生成用于密钥交换的公钥pub-B和私钥pri-B，并发送公钥pub-B至安全服务器；
7.服务器收到终端设备B回传的公钥pub-B并转发至终端设备A；
8.终端设备A收到服务器回传的终端设备B公钥pub-B和终端B的相关信息完成密钥交换流程。
对于上述第2种部署方式（1-4-2），终端部署方式可如下：
终端部署到用户侧，终端自身查询内网IP信息并记录存储。
由于上述第2种部署方式中，终端设备部署于用户内网中无法通过安全服务器进行终端设备之间的发现与密钥交换，则设备直接通过内网进行设备发现并完成密钥交换。
终端设备A（内网地址IPA）和终端设备B（内网地址IPB）已经部署于用户侧，终端设备A下网络设备A1向终端设备B下网络设备B1发起通信请求，终端A收到请求后发现尚未进行密钥交换，则终端设备A由内网地址IPA向内网地址IPB下的终端设备B进行密钥交换与证书验证，具体流程可如下：
1.终端设备A和终端设备B利用密钥交换算法进行公钥交换（用于交换数字证书通信的临时公钥pub-A-2（对应pri-A-2）和pub-B-2（对应pri-B-2）），可选的密钥交换算法可包括RSA（一种非对称加密算法）、DHE密钥交换算法、ECDHE密钥交换算法、SM9短信加密算法等；
2.密钥交换完成后，终端设备A和B利用私钥pri-A-2、pri-B-2加密向对方发送数字证书，收到数字证书后利用公钥解密数字证书，并基于内置的服务器公钥验证数字证书可信，是由安全服务器签发的有效数字证书；
例如，安全服务器用安全服务器私钥加密信息内容的哈希值Hash1，获得哈希值密文HashEncrypted；通过加密信道（上述通信加密流程中，A是服务器，B是终端）发送到终端（包括信息内容和HashEncrypted）；终端计算信息内容的哈希值Hash2，并利用安全服务器公钥解密接收的哈希值密文HashEncrypted 获得解密后的哈希值明文Hash1*，若验证生成的哈希值Hash2与解密后的哈希值明文Hash1*相同，则签名验证通过。
3.密钥交换与证书验证完成后，终端设备A和终端设备B存储对方终端的IP地址、公钥pub-A-2、pub-B-2等信息。
终端设备A和终端设备B在完成密钥交换后，可通过已经交换的公钥和安全服务器的下发的加密审计策略对二者之间的流量数据进行加密和审计，主要流程包括：
1.终端设备A和终端设备B利用公私钥定期协商流量对称加密的密钥key，并根据内置或是安全服务器下发的密钥更新时间TTL（生存时间值）定期更新密钥key，当密钥更新时间为0时，密钥key永久有效；
2.终端设备A和终端设备B，根据安全服务器的下发的加密审计规则在传输层对流经的网络流量进行加密和审计。
终端设备A和终端设备B根据安全服务器下发的加密审计规则在传输层对流经的网络流量进行加密和审计（审计是指对流量数据进行分析发现风险流量），具体的可包括以下过程：
1.网络设备A1接入终端设备A，向目的地址DST_IP、目的端口DST_Port发送数据包；
2.终端设备A收到网络设备A1发送的数据包，解析得到目的地址DST_IP、目的端口DST_Port发送数据包，利用深度报文解析(DPI)识别数据包所属协议，并基于审计规则识别数据包是否有风险，如有风险则丢弃数据包进行流量阻断，并记录网络流量风险日志；
3.终端设备A收到网络设备A1发送的数据包，识别目的地址DST_IP、目的端口DST_Port属于终端设备B下的网络设备，根据服务器下发的安全规则，利用加密/解密密钥对发送到终端设备B的流量数据进行加密；
4.终端设备B收到数据流量，识别源地址SRC_IP、源端口SRC_Port，识别出流量属于终端设备A下的网络设备，根据安全规则利用加密/解密密钥对网络进行解密；
5.终端设备B将来自终端设备A的网络流量数据进行解密后发送到终端设备B下的网络设备，完成整个加密解密流程。
该实施例中，提供了一种部署在链路层的数据加密与安全审计方案，以应对联网设备应用对数据安全与信息安全的需求，可实现设备应用无感的数据加密与安全审计，建立端对端的安全加密网络而无需重新组网，实时进行流量日志审计以确保设备安全。本实施例基于非对称密钥与数字证书体系构建了一种部署在链路层的数据加密与安全审计的生产部署方案，提供一整套数据加密与安全审计的硬件终端方案。本实施例解决了设备应用无感的数据加密与安全审计问题，同时为应对重放攻击、中间人等针对加密流量的攻击方式，本发明采取基于非对称密钥体系的密钥分发与交换技术，采取安全可信的方式进行密钥下载，规避预置密钥导致的密钥丢失风险。
在本说明书的描述中，参考术语“一个实施例”、“一个具体实施例”、“一些实施例”、“例如”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。各实施例中涉及的步骤顺序用于示意性说明本发明的实施，其中的步骤顺序不作限定，可根据需要作适当调整。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种网络安全加固系统的初始密钥部署方法，其特征在于，网络安全加固系统包括网络安全服务器和终端设备，所述初始密钥部署方法包括：
由终端设备通过其中内置的密钥生成算法生成终端专属公钥和相应的终端专属私钥；其中，终端设备中预置有包括安全服务器识别号、安全服务器IP地址、安全服务器端口号、终端设备识别号及终端部署公钥的终端预置信息，终端预置信息不包括对应于终端部署公钥的终端部署私钥；
由终端设备利用其中预置的终端部署公钥加密终端专属公钥和终端设备中预置的终端设备识别号，得到注册信息密文；其中，终端专属公钥和终端专属私钥的密钥对是利用终端设备内置硬件生成；
由终端设备向其中预置的安全服务器IP地址和安全服务器端口号对应的安全服务器发送注册信息密文，以申请证书；
由安全服务器接收注册信息密文并利用其中预先部署的终端部署私钥解密所述注册信息密文，得到注册信息明文；其中，安全服务器中预先部署有包括安全服务器IP地址、安全服务器端口号、安全服务器识别号、终端部署公钥及相应的终端部署私钥、安全服务器公钥及相应的安全服务器私钥的终端部署所需信息；
由安全服务器将注册信息明文中的终端设备识别号和安全服务器中预先部署的终端设备识别号进行比对，若比对一致，则在安全服务器中登记注册信息明文中的终端专属公钥；
由安全服务器利用其中预先部署的安全服务器私钥对注册信息明文对应的注册信息签发证书，并将包括安全服务器公钥和签发的证书的登记信息返回至终端设备。
2.如权利要求1所述的网络安全加固系统的初始密钥部署方法，其特征在于，还包括：
终端设备收到登记信息后，开启对终端设备的入侵监测，若监测到终端设备遭遇入侵，则对终端设备中的终端专属公钥、终端专属私钥、安全服务器公钥及证书进行销毁。
3.一种数据通信方法，其特征在于，适用于利用如权利要求1所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器；所述数据通信方法，包括：
在终端设备需要向安全服务器发送第一通信信息的情况下，终端设备利用其中的安全服务器公钥加密第一通信信息，得到第一通信信息密文，并将第一通信信息密文发送至安全服务器，安全服务器接收第一通信信息密文并利用其中的安全服务器私钥解密第一通信信息密文，得到第一通信信息明文；
在安全服务器需要向终端设备发送第二通信信息的情况下，安全服务器利用其中的终端专属公钥加密第二通信信息，得到第二通信信息密文，并将第二通信信息密文发送至终端设备，终端设备接收第二通信信息密文并利用其中的终端专属公钥解密第二通信信息密文，得到第二通信信息明文。
4.一种终端设备部署方法，其特征在于，适用于利用如权利要求1所述的网络安全加固系统的初始密钥部署方法初始化后的终端设备和安全服务器；终端设备和安全服务器部署于可互联互通的公共网络中，终端设备位于用户侧，安全服务器位于网络侧；所述终端设备部署方法，包括：
由终端设备利用如权利要求3所述的数据通信方法向安全服务器发送包含其终端设备IP地址的注册请求信息，以在安全服务器上登记终端设备IP地址；
由安全服务器利用如权利要求3所述的数据通信方法向终端设备下发其中预先部署的安全策略。
5.一种终端设备间的密钥交换方法，其特征在于，适用于利用如权利要求4所述的终端设备部署方法向第一安全服务器注册后的第一终端设备和第二终端设备；所述密钥交换方法，包括：
由第一终端设备接收包含目的IP地址的流量请求；
由第一终端设备利用如权利要求3所述的数据通信方法，向第一安全服务器查询目的IP地址对应的终端设备，得到目的IP地址对应的终端设备为第二终端设备；
由第一终端设备生成用于密钥交换的第一公钥和第一私钥，并利用如权利要求3所述的数据通信方法，将包含第一公钥的从第一终端设备到第二终端设备的密钥交换请求发送至第一安全服务器；
由第一安全服务器利用如权利要求3所述的数据通信方法，将接收到的从第一终端设备到第二终端设备的密钥交换请求转发给第二终端设备；
由第二终端设备接收到从第一终端设备到第二终端设备的密钥交换请求后，生成用于密钥交换的第二公钥和第二私钥，并利用如权利要求3所述的数据通信方法，将包含第二公钥的从第二终端设备到第一终端设备的密钥交换回传信息，发送至第一安全服务器；
由第一安全服务器利用如权利要求3所述的数据通信方法，将接收的从第二终端设备到第一终端设备的密钥交换回传信息转发给第一终端设备，以完成第一终端设备和第二终端设备之间的密钥交换。
6.一种网络安全加固方法，其特征在于，适用于利用如权利要求5所述的终端设备间的密钥交换方法进行密钥交换后的第一终端设备和第二终端设备；所述网络安全加固方法，包括：
第一终端设备和第二终端设备利用第一终端设备向第二终端发送信息的通信方式和第二终端设备向第一终端发送信息的通信方式进行定期数据交互，以定期协商网络流量对称加密密钥；
第一终端设备接收接入第一终端设备的第一网络设备向接入第二终端设备的第二网络设备发送的数据包，并在链路层根据第一安全服务器下发的安全策略中的审计策略识别的数据包的相关信息；
在链路层，第一终端设备根据数据包的相关信息和第一安全服务器下发的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第一安全服务器下发的安全策略中的加密策略中匹配出相应的加密策略；
在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第一终端设备和第二终端设备之间的网络流量数据进行加解密处理；
其中，第一终端设备向第二终端发送信息的通信方式包括：第一终端设备利用第二公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第二终端设备，第二终端设备利用第二私钥解密通信信息密文，得到通信信息明文；第二终端设备向第一终端发送信息的通信方式包括：第二终端设备利用第一公钥加密通信信息，得到通信信息密文，并将通信信息密文发送至第一终端设备，第一终端设备利用第一私钥解密通信信息密文，得到通信信息明文。
7.一种终端设备间的证书交换方法，其特征在于，适用于利用如权利要求1所述的网络安全加固系统的初始密钥部署方法初始化后的第三终端设备和第二安全服务器与第四终端设备和第二安全服务器；第三终端设备和第四终端设备部署于用户私有网络中并位于用户侧，第三终端设备和第四终端设备中的至少一个与第二安全服务器无法网络联通；所述终端设备证书交换方法，包括：
在第三终端设备和第四终端设备发现其二者之间尚未进行证书交换的情况下，由第三终端设备和第四终端设备利用设定密钥交换算法进行公钥交换，以在第三终端设备中部署第四终端设备的第四公钥、第三终端设备的第三公钥及第三终端设备的第三私钥，在第四终端设备中部署第三终端设备的对应于第三公钥的第三私钥、第四终端设备的第四公钥及第四终端设备的第四私钥；
由第三终端设备利用其第三私钥加密包括第三终端设备的证书、终端设备识别号及终端专属公钥的第一证书交换请求信息，得到第一证书交换请求信息密文，并将第一证书交换请求信息密文发送至第四终端设备；
由第四终端设备利用其中的第三公钥解密第一证书交换请求信息密文，得到第一证书交换请求信息明文；
由第四终端设备利用第二安全服务器公钥对第三终端设备的证书进行证书校验，以验证第一证书交换请求信息明文中的第三终端设备的证书是否可信，若可信，则在第四终端设备中存储第三终端设备的证书；
由第四终端设备利用其第四私钥加密包括第四终端设备的证书、终端设备识别号及终端专属公钥的证书交换回传信息，得到证书交换回传信息密文，并将证书交换回传信息密文发送至第三终端设备；
由第三终端设备利用其中的第四公钥解密证书交换回传信息密文，得到证书交换回传信息明文；
由第三终端设备利用第二安全服务器公钥对第四终端设备的证书进行证书校验，以验证证书交换回传信息明文中的第四终端设备的证书是否可信，若可信，则在第三终端设备中存储第四终端设备的证书。
8.一种网络安全加固方法，其特征在于，适用于利用如权利要求7所述的终端设备间的证书交换方法进行证书交换后的第三终端设备和第四终端设备；所述网络安全加固方法，包括：
第三终端设备和第四终端设备利用其二者交换的证书向进行定期数据交互，以定期协商网络流量对称加密密钥；
第三终端设备接收接入第三终端设备的第三网络设备向接入第四终端设备的第四网络设备发送的数据包，并在链路层根据第三终端设备中预置的安全策略中的审计策略识别的数据包的相关信息；
在链路层，第三终端设备根据数据包的相关信息和第三终端设备中预置的安全策略中的流量阻断策略，判断是否需要丢弃数据包并对相应网络流量进行阻断，若是，则丢弃数据包并对相应网络流量进行阻断，若否，则根据数据包的相关信息从第三终端设备中预置的安全策略中的加密策略中匹配出相应的加密策略；
在链路层，基于匹配出的加密策略，利用协商的网络流量对称加密密钥对第三终端设备和第四终端设备之间的网络流量数据进行加解密处理。
9.一种安全加固系统，其特征在于，包括：终端设备、安全服务器及存储在其二者的存储器上的计算机程序，终端设备和安全服务器二者的处理器执行所述程序时实现如权利要求1至8任一项所述方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被终端设备和安全服务器二者的处理器执行时实现如权利要求1至8任一项所述方法的步骤。
CN202110957481.5A 2021-08-20 2021-08-20 密钥部署、数据通信、密钥交换、安全加固方法及系统 Active CN113411190B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110957481.5A CN113411190B (zh) 2021-08-20 2021-08-20 密钥部署、数据通信、密钥交换、安全加固方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110957481.5A CN113411190B (zh) 2021-08-20 2021-08-20 密钥部署、数据通信、密钥交换、安全加固方法及系统

Publications (2)

Publication Number Publication Date
CN113411190A CN113411190A (zh) 2021-09-17
CN113411190B true CN113411190B (zh) 2021-11-09

Family

ID=77689014

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110957481.5A Active CN113411190B (zh) 2021-08-20 2021-08-20 密钥部署、数据通信、密钥交换、安全加固方法及系统

Country Status (1)

Country Link
CN (1) CN113411190B (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113660659B (zh) * 2021-10-19 2022-03-04 华智生物技术有限公司 物联网设备身份识别方法、系统、设备及计算机可读介质
CN114172930B (zh) * 2021-11-09 2023-04-07 清华大学 一种大规模物联网服务域隔离通信方法、装置、电子设备及存储介质
CN113938279B (zh) * 2021-12-15 2022-06-14 阿里云计算有限公司 密钥交换方法、设备和系统
CN115250194B (zh) * 2022-01-10 2023-07-18 重庆科创职业学院 一种基于大数据终端设备的计算机网络安全通信方法
CN116049839B (zh) * 2022-05-20 2024-05-03 荣耀终端有限公司 一种数据传输方法和电子设备
CN115174391A (zh) * 2022-07-29 2022-10-11 天翼云科技有限公司 一种维护组网的方法、装置、设备及介质

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100373991C (zh) * 2005-06-30 2008-03-05 中国科学院计算技术研究所 一种分组网络中语音通信的加密协商方法
CN101183932B (zh) * 2007-12-03 2011-02-16 宇龙计算机通信科技(深圳)有限公司 一种无线应用服务的安全认证系统及其注册和登录方法
US9619804B1 (en) * 2016-03-16 2017-04-11 Clover Network, Inc. Network of biometrically secure devices with enhanced privacy protection
CN107241317B (zh) * 2017-05-24 2021-01-15 国民认证科技（北京）有限公司 生物特征识别身份的方法和用户终端设备以及身份认证服务器
CN108011873B (zh) * 2017-11-28 2020-09-04 江苏方天电力技术有限公司 一种基于集合覆盖的非法连接判断方法
CN111770092B (zh) * 2020-06-29 2021-06-29 华中科技大学 一种数控系统网络安全架构和安全通信方法及系统
CN112766962A (zh) * 2021-01-20 2021-05-07 中信银行股份有限公司 证书的接收、发送方法及交易系统、存储介质、电子装置

Also Published As

Publication number Publication date
CN113411190A (zh) 2021-09-17

Similar Documents

Publication Publication Date Title
CN113411190B (zh) 密钥部署、数据通信、密钥交换、安全加固方法及系统
US11902445B2 (en) System and method for enabling secure service-based communications via 5G proxies
US9935954B2 (en) System and method for securing machine-to-machine communications
CN111416807B (zh) 数据获取方法、装置及存储介质
CN101479984B (zh) 用于身份管理、验证服务器、数据安全和防止中间人攻击的动态分发密钥系统和方法
US6839841B1 (en) Self-generation of certificates using secure microprocessor in a device for transferring digital information
US11736304B2 (en) Secure authentication of remote equipment
JP2016082597A (ja) セキュアセッションの確立と暗号化データ交換のためのコンピュータ利用システム及びコンピュータ利用方法
EP3633949A1 (en) Method and system for performing ssl handshake
CN102710605A (zh) 一种云制造环境下的信息安全管控方法
JP2013516685A (ja) コンピューターポリシーを施行するためのシステムおよび方法
CN113225352B (zh) 一种数据传输方法、装置、电子设备及存储介质
JP4283699B2 (ja) コンテンツ転送制御装置、コンテンツ配信装置およびコンテンツ受信装置
Li et al. A secure sign-on protocol for smart homes over named data networking
Rizzardi et al. Analysis on functionalities and security features of Internet of Things related protocols
CN107409048A (zh) 基于公钥的网络
Hu et al. Gatekeeper: A gateway-based broadcast authentication protocol for the in-vehicle Ethernet
CN112839062A (zh) 夹杂鉴权信号的端口隐藏方法和装置、设备
CN113922974A (zh) 一种信息处理方法及系统、前端、服务端、存储介质
US8583930B2 (en) Downloadable conditional access system, secure micro, and transport processor, and security authentication method using the same
KR20140004703A (ko) 제어된 보안 도메인
US20220021663A1 (en) Communication module
Kraxberger et al. Trusted identity management for overlay networks
Jain “Sec-KeyD” an efficient key distribution protocol for critical infrastructures
KR100521405B1 (ko) 인터넷을 이용한 중앙 집중적 무인 제어 시스템의 원격보안 서비스 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant