CN114172668A - 一种基于数字证书的群成员管理方法和系统 - Google Patents

Abstract

本申请涉及一种基于数字证书的群成员管理方法，其中，该方法包括：群主设备获取目标群成员和基准时间；群主设备与群成员设备基于证书链相互认证，认证成功之后建立安全通道；以基准时间生成时间戳，通过安全通道，将时间戳发送至有效群成员的私有云设备，其中，有效群成员是除目标群成员之外的其他群成员；基准时间之后的任意时间，群内的所有群成员设备基于证书链和时间戳进行相互认证，在认证成功的情况下重新建立安全通道。通过本申请，相比较于相关技术中通过管理吊销列表进而删除群成员的方法，本申请提升了操作便捷性，同时各个群成员设备内也无需保存吊销列表，节省了存储空间。

Description

一种基于数字证书的群成员管理方法和系统

技术领域

本申请涉及信息安全领域，特别是涉一种基于数字证书的群成员管理方法和系统。

背景技术

在公有云中为所有用户建立账户，并按照用户意愿将多个账户放入一个共同的边界内实现群共享、群聊天等功能。在公有云基础上，群的生成、添加、删除都是在云内部实现，由于所有群都在一朵云中，一旦发生公有云泄露或者存在漏洞，则所有群都将面临数据安全问题，诸如数据拖库、三方漏洞等。

在分布式设备中，群的生成、添加、删除都是在群主自己的设备中实现，由自己的设备进行对外管控。与公有云不同，采用分布式方式，用户具备对自己设备的完全控制能力，在自己设备上可以随意创建群组用于资料文件管理以及管理与他人的分享边界等，安全性也随之提升。

但是，在分布式设备中，如何进行安全高效的群管理是本领域技术人员急需解决的技术问题。

发明内容

本申请实施例提供了一种基于数字证书的群成员管理方法、装置、系统、计算机设备和计算机可读存储介质，以至少解决相关技术中在分布式设备中无法安全高效的实现群管理的问题。

第一方面，本申请实施例提供了一种基于数字证书的群成员管理方法，应用在分布式群管理场景下，基于私有云设备实现，且每个私有云设备中保存有群主用户CA证书、群CA证书和其设备主的群成员证书组成的证书链，所述方法包括：

群主设备获取目标群成员和基准时间，其中，所述目标群成员是待删除的群成员，所述基准时间是所述目标群成员的删除请求生成的时间；

以所述基准时间生成时间戳，通过安全通道，将所述时间戳发送至有效群成员的私有云设备，其中，所述安全通道是在群主设备与群成员设备之间基于所述证书链相互认证成功之后建立，所述有效群成员是除所述目标群成员之外的其他群成员；

所述基准时间之后的任意时间，群内的所有群成员设备基于所述证书链和所述时间戳进行相互认证；

若认证成功，则重新建立安全通道。

通过上述实施例，可以在被删除群成员不感知的情况，方便高效的将群成员删除。相比较于采用传统的证书吊销列表删除群成员的方法，本申请方案更加便捷高效，且各群成员设备也无需保存数据量庞大的吊销列表，节省了存储空间。

在其中一些实施例中，将所述时间戳发送至有效群成员的私有云设备还包括：

所述群主设备查找本地证书链中的群主用户CA证书，并获取所述群主用户CA证书的私钥；

采用所述群主用户CA证书的私钥，对所述时间戳进行签名，将包含签名信息的时间戳发送至所述有效群成员的私有云设备。

在其中一些实施例中，将所述时间戳发送至所述有效群成员的私有云设备之后，所述方法还包括：

所述有效群成员的私有云设备，接收包含所述签名信息的时间戳，并查找本地证书链中的群主用户CA证书；

获取本地证书链中的群主用户CA证书的公钥信息，采用所述公钥信息对所述时间戳中的签名信息进行校验，若校验成功，指示所述时间戳可信。

通过上述实施例，群主设备在时间戳进行签名，各群成员设备在收到时间戳后，可以通过本地群主用户CA证书的公钥对签名进行校验，以判断时间戳是是否可信，从而提升了时间戳的安全性。

在其中一些实施例中，对所述时间戳进行签名之后，所述方法还包括：

所述群主设备获取群ID、群主网络ID和各个有效群成员的群成员网络ID；

将所述群ID、所述群主网络ID和所述群成员网络ID，绑定在所述时间戳内；

并根据所述群成员网络ID，分别将绑定之后的时间戳发送至各个有效群成员的私有云设备。

在其中一些实施例中，将绑定之后的时间戳发送至各个有效群成员的私有云设备之后，所述方法还包括：

所述有效群成员的私有云设备，基于本地证书链对所述时间戳进行校验，包括：

获取所述本地证书链中的群主用户CA证书的公钥信息，判断所述公钥信息与所述时间戳的签名信息是否匹配，

获取所述本地证书链中群CA证书的群ID，判断所述群ID与所述时间戳内的群ID是否一致，

获取所述本地证书链中群主用户CA证书的群主网络ID，判断所述群主网络ID与所述时间戳内的群主网络ID是否一致，

获取所述本地证书链中群成员证书的群成员网络ID，判断所述群成员网络ID与所述时间戳内的群成员网络ID是否一致，

若四者均是，校验成功，指示所述时间戳可信。

通过上述实施例，在通过签名信息进行校验的基础上，将每个群成员的网络ID绑定在时间戳内，相当于针对每个群成员生成其“专属”的时间戳。由于各个时间戳互相独立，因此，更进一步的提升了时间戳的安全性。

在其中一些实施例中，所述基准时间之后的任意时间，群内的所有群成员设备基于所述证书链和所述时间戳进行相互认证，包括：

在接收到其他群成员设备发送的交互请求之后，获取所述交互请求中的时间戳；

判断所述交互请求中的时间戳与本设备中的时间戳是否相同，

在相同的情况下，群成员设备之间基于所述证书链进行相互认证，在认证成功之后重新建立所述安全通道；

在不同或者所述交互请求中未包括所述时间戳的情况下，群成员设备之间相互认证失败。

通过上述实施例，被删除的群成员将不会获得时间戳，因此在后续时刻，其将无法完成与其他群成员的认证。

在其中一些实施例中，所述基准时间之后的任意时间，当重新将所述目标群成员邀请进群时，所述方法还包括：

对所述目标群成员的私有云设备重新分配有效的时间戳；

所述目标群成员的私有云设备，基于所述有效的时间戳和本地的证书链，与其他群成员进行相互认证，认证成功之后重新建立所述安全通道。

通过上述实施例，在群主需要将被删除的群成员重新邀请入群时，只需对其重新分配有效的时间戳即可，对于目标群成员，其并不感知被删除和重新邀请入群的处理过程。

在其中一些实施例中，所述群主用户CA证书以群主设备的应用ID、网络ID和集群ID作为扩展项，并由随机生成的私钥签发生成。

在其中一些实施例中，所述群CA证书以所述群ID和所述群主设备的节点信息、网络ID作为扩展项，并由所述群主用户CA证书签发生成。

在其中一些实施例中，所述群成员证书以所述群成员设备的网络ID、节点信息和群ID作为扩展信息，并由所述群CA证书签发生成。

在其中一些实施例中，所述应用ID是应用层为用户分配的全网唯一ID；

所述节点ID是设备接入在网络时对其配置的用于表示节点位置的节点ID；

所述网络ID是用于标识用户网络角色的全网唯一ID；

所述集群ID是按照用户需求对所述私有云设备配置的集群号。

第二方面，本申请实施例提供了一种基于数字证书的群成员管理系统，应用在分布式群管理场景下，基于私有云设备实现，且每个私有云设备中保存有群主用户CA证书、群CA证书和其设备主的群成员证书组成的证书链，所述系统包括：获取模块、认证模块、时间戳处理模块；

所述获取模块用于，获取目标群成员和基准时间，其中，所述目标群成员是待删除的群成员，所述基准时间是删除所述目标群成员的请求生成的时间；

所述时间戳处理模块用于，以所述基准时间生成时间戳，通过安全通道，将所述时间戳发送至有效群成员的私有云设备，其中，所述安全通道是在群主设备与群成员设备之间基于所述证书链相互认证成功之后建立，所述有效群成员是除所述目标群成员之外的其他群成员；

所述认证模块还用于，在所述基准时间之后的任意时间，在群内的所有群成员设备之间，基于所述证书链和所述时间戳进行相互认证，若认证成功，则重新建立安全通道。

第三方面，本申请实施例提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述第一方面所述的基于数字证书的群成员管理方法。

第四方面，本申请实施例提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述第一方面所述的基于数字证书的群成员管理方法。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的基于数字证书的群成员管理方法的应用环境示意图；

图2是根据本申请实施例的一种基于数字证书的群成员管理方法的流程图；

图3是根据本申请实施例的一种校验时间戳的流程图；

图4是根据本申请实施例的另一种校验时间戳的流程图

图5是根据本申请实施例的一种基于数字证书的群成员管理系统的结构框图；

图6是根据本申请实施例的电子设备的内部结构示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。基于本申请提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

显而易见地，下面描述中的附图仅仅是本申请的一些示例或实施例，对于本领域的普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图将本申请应用于其他类似情景。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请公开的内容相关的本领域的普通技术人员而言，在本申请揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请公开的内容不充分。

在本申请中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域普通技术人员显式地和隐式地理解的是，本申请所描述的实施例在不冲突的情况下，可以与其它实施例相结合。

除非另作定义，本申请所涉及的技术术语或者科学术语应当为本申请所属技术领域内具有一般技能的人士所理解的通常意义。本申请所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含；例如包含了一系列步骤或模块（单元）的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可以还包括没有列出的步骤或单元，或可以还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。本申请所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

本申请提供的基于数字证书的群成员管理方法，可以应用在可信通信场景下，图1是根据本申请实施例的基于数字证书的群成员管理方法的应用环境示意图。

如图1所示，可以以用户CA证书为根证书，并通过根证书的逐级签发得到群CA证书、群成员证书；进一步的，将上述根证书、群CA证书和群成员证书，应用在分布式群管理场景中，从而可以在各用户的私有云设备10之间，进行高效且精准的相互认证。另外，各用户可以通过应用端11向私有云设备10发送消息数据，经其转发后，各用户可以在群组内实现安全的数据共享和群聊天等，私有云设备中的群主设备也可以通过应用端11将某些群成员删除。通过本申请实施例提供的一种基于数字证书的群成员管理方法，相比较于现有的通过吊销证书方式删除群成员的方式，实现起来更加方便高效。

需要说明的是，应用端11可以是智能手机或平板电脑等移动设备，也可以是PC电脑等固定设备；私有云设备10可以是用于可信通信场景定制的个人私有云设备或家庭私有云设备。

图2是根据本申请实施例的一种基于数字证书的群成员管理方法的流程图，如图2所示，该流程包括如下步骤：

需要说明的是，该方法应用在分布式群管理场景下，基于私有云设备实现；且需在满足前置条件下运行，

该前置条件即：每个私有云设备中保存有群主用户CA证书、群CA证书和该私有云设备主人的群成员证书组成的证书链，其中，群主用户CA证书为根证书、群CA证书为二级证书、群成员证书为三级证书。

S201，群主设备获取目标群成员和基准时间，其中，目标群成员是待删除的群成员，基准时间是目标群成员的删除请求生成的时间；

其中，上述删除请求是群主用户在删除群内某一个或多个成员时，通过手机、平板电脑和PC设备等智能终端上安装的APP输出的请求。

另外，区别与传统的中心式群管控方案，由于采用分布式方式，本申请中的任意一台私有云设备都可以作为群主设备。同时，需要说明的是，当某个私有云设备作为群主设备时，其同时也具备群成员身份。在群内用户之间进行相互认证时，各群成员设备之间并无群主和群成员的区别，都被视为平等的群成员设备。

S202，以基准时间生成时间戳，通过安全通道，将时间戳发送至有效群成员的私有云设备，其中，安全通道是在群主设备与群成员设备之间基于证书链相互认证成功之后建立，有效群成员是除目标群成员之外的其他群成员；

通过固定的协议可以将某一时刻转换为一行字符序列，该转换得到的字符序列即为时间戳，且每一时刻对应的时间戳是唯一的。例如，时间刻度[2022-01-14 16:14:12]可以转换为时间戳[1642148052]，时刻[2022-01-14 16:18:34]可以转换为时间戳[1642148314]；另外，也可以对该时间戳进行进一步的处理，例如，在原本字符数据的基础上，添加签名信息和/或其他辅助信息。

需要说明的是，由于每个群成员的网络ID都是唯一的，因此，可以通过该网络ID确定哪些是被删除成员之外的有效群成员。

进一步的，上述相互认证的过程可包括数据获取环节和身份校验环节。

数据获取环节包括：接收对象设备发送的交互请求和认证数据，其中，交互请求中包括对象设备的网络ID、节点信息和待处理的群ID，认证数据包括对象设备的对象证书链；可以理解的是，上述对象设备是一个相对概念，当主设备是群主设备时，对象设备即为群成员设备；当主设备是群成员设备时，对象设备群主设备。

进一步的，主设备在接收交互请求之后，其需要验证交互请求发出者的身份是否准确，对应的，验证数据的作用即用于证明对象设备的身份。如上述前置条件所述，每台私有云设备中都保存有本设备的证书链，该证书链即可作为认证数据，用于主设备对对象设备进行身份认证。

身份校验环节包括：获取本设备中本地证书链，基于本地证书链、交互请求和认证数据，对对象设备的身份进行认证，具体包括；

基于数字证书的逆向追溯特性，对对象证书链进行逐级校验，判断对象证书链是否完整；

判断本地证书链和对象证书链中，群主用户CA证书是否一致，即相当于：校验对象设备的证书链与主设备自身的证书链是否是被同一个群主签发的；若主设备和对象设备的群主用户CA证书一致，又由于证书链中的群CA证书、和群成员证书，都是以群主用户CA证书为根证书逐级签发得到的，因此，当证书链完整性校验成功时，即可以认为群CA证书和群成员证书也是可信的；

确定对象证书链中群成员证书可信之后，则可以提取该群成员证书中的扩展项信息（群ID、网络ID、节点ID），并判断该扩展项信息是否与交互请求中的群ID、网络ID、节点信息是否一致，若是，即可认为对象设备的身份信息可信；

当群主设备和群成员设备都完成对方身份的认证之后，即可基于相同的对称密钥建立上述安全通道，并通过对称密钥加密及解密交互数据。

S203，在基准时间之后的任意时间，群内的所有群成员设备基于证书链和时间戳进行相互认证，若认证成功，则重新建立安全通道。

经过上述步骤S201至S202，除待删除的群成员设备之外，群内的其他用户都已获得上述时间戳。

因此，在基准时间之后，各群成员设备之间再次进行相互认证时。必须将时间戳和证书链一起发送至对方进行校验，只有在对方的时间戳信息与本地的时间戳相同时，才继续认证流程；当对方并未携带时间戳或者时间戳信息不同时，则中止认证流程。

需要说明的是，群成员之间进行交互时需首先进行认证，在建立安全通道之后才能互相发送数据。而对于被删除的目标群成员，由于其并未获得时间戳（或者时间戳并未更新），因此在与其他群成员认证时一定会失败，即该目标群成员被从群内删除了。

另外，需要说明的是，采用上述方式删除群成员。对于被删除的目标群成员，若其在被“删除”之后，在原有群内未进行任何信息共享操作（例如发消息、下载文件等），其并不会感知到自己已经被删除。而当群主需要再次将该目标群成员邀请入群时，只需对该目标群成员重新分配有效的时间戳即可，同样，也无需目标群成员本身执行任何操作，也并不感知被重新邀请入群的操作。

因此，当群主用户不希望某些信息被群内所有成员接收时，即可通过上述基于时间戳的方式，实现在群内针对某些特定成员发送信息，而无需再行创建群聊，省去了复杂的操作过程，提升了用户便捷性。

相关技术中通常采用吊销列表的方式确定群成员证书是否有效，若某个群成员的证书被添加在吊销列表中，即该成员被删除。但是，采用该类方法时，当群成员较多且删除群成员操作较为频繁时，吊销列表的数据量将非常庞大，群成员之间若基于该吊销列表进行校验，查找的速度将严重下滑，同时，每个群成员中也必须保存数据量庞大的吊销列表，这也需要占用较大的存储空间。

通过上述实施例S201至S203，本申请通过时间戳的分配和更新即可在群成员不感知的情况下，将目标群成员删除。相比较于相关技术中通过管理吊销列表，进而删除群成员的方法，本申请提升了操作便捷性，同时各个群成员设备内也无需保存吊销列表，从而节省了存储空间。

在其中一些实施例中，为了保证时间戳的安全性，可以对该时间戳添加签名信息，在对方设备收到该时间戳之后，可通过签名信息对时间戳进行校验，从而提升时间戳的安全性。

图3是根据本申请实施例的一种校验时间戳的流程图，如图3所示，该流程包括如下步骤：

S301，群主设备查找本地证书链中的群主用户CA证书，并获取群主用户CA证书的私钥；其中，该私钥通常在设备中加密保存，因此在进行签名时，需首先对私钥进行解密；

S302，采用群主用户CA证书的私钥，对时间戳进行签名，将包含签名信息的时间戳发送至有效群成员的私有云设备；

其中，对时间戳进行签名的过程，即在时间戳的某个位置写入基于该私钥生成的信息，由于该私钥只在群主设备本地保存，因此，通过该私钥对时间戳进行签名，即可以证明这个时间戳就是群主设备生成的。

S303，有效群成员的私有云设备接收时间戳，并查找本地证书链中的群主用户CA证书；

除被删除的目标群成员之外的有效群成员，可通过安全通道获得该时间戳。进一步的，如上述前置条件所述，每台私有云设备保存有证书链，因此，这些有效群成员从本地证书链中获取信息对签名进行校验。

S304，获取本地证书链中的群主用户CA证书的公钥信息；

需要说明的是，本申请中各私有云设备本地保存的证书链是经过校验，且认为其中的信息都是可信的。而如何对证书链进行校验，其对于本申请的发明点并未核心影响，因此不再赘述。

S305，采用公钥信息对时间戳的签名信息进行校验，若校验成功，指示时间戳可信。

对于群主设备和群成员设备，由于两者属于相同的群，因此，各自证书链中的群主用户CA证书一定是相同的。而时间戳中的签名信息又是基于群主用户CA证书的私钥得到，因此，本地的公钥信息和时间戳内的私钥签名一定是互相匹配的。因此，群成员设备可以通过本地群主用户CA的私钥对时间戳进行校验，若两者互相匹配，则可以证实时间戳的安全性。

在其中一些实施例中，考虑到时间戳存在被劫持的风险，仅仅通过签名校验的方式并不能完全保证时间戳的安全性，因此本申请实施例中，还将用户的网络ID绑定在时间戳中用于认证。

图4是根据本申请实施例的另一种校验时间戳的流程图，如图4所示，该流程包括如下步骤：

S401，群主设备获取群ID、群主网络ID和各个有效群成员的群成员网络ID，将群ID、群主网络ID和群成员网络ID，绑定在已签名的时间戳内；

S402，根据群成员网络ID，分别将绑定之后的时间戳发送至各有效群成员的私有云设备；

上述步骤S401至S402，即相当于对于每个群成员，根据其网络ID生成一个“专属”的时间戳，并将其发送至对应的群成员设备。

S403，有效群成员的私有云设备，基于本地证书链对时间戳进行校验，包括：

获取本地证书链中的群主用户CA证书的公钥信息，判断公钥信息与时间戳的签名信息是否匹配，此处签名校验流程与上述步骤S301至S305的校验流程相同，因此不再赘述；

获取本地证书链中群CA证书的群ID，判断群ID与时间戳内的群ID是否一致；获取本地证书链中群主用户CA证书的群主网络ID，判断群主网络ID与时间戳内的群主网络ID是否一致，获取本地证书链中群成员证书的群成员网络ID，判断群成员网络ID与时间戳内的群成员网络ID是否一致，

若三者均是，即有效群成员设备对时间戳校验成功，指示时间戳可信，

通过上述实施例，将每个群成员设备的网络ID绑定在时间戳内，由于网络ID的唯一性，黑客在劫持某个设备时，也只能得到一个时间戳，要想通过一个设备的时间戳与所有设备进行同步认证，显然是无法完成的。采用上述步骤S401至S403的方式，进一步的提升了时间戳及整个分布式群组的安全性。

在其中一些实施例中，该群主用户CA证书的过程包括：

首先，群主设备通过非对称加密算法生成一对公私钥对，并获取本设备对应的应用ID（userid）、网络ID（networkid）和集群ID（clusterid），以上述用户信息、网络ID和集群ID组成群成员用户证书扩展信息；

进一步的，将上述公钥、用户证书扩展信息和其他必须的主体信息组合生成群主用户CA证书请求，之后，通过上述私钥签发该群主用户CA证书请求生成群主用户CA证书。

在其中一些实施例中，生成群CA证书的过程包括：

首先，群主设备通过非对称算法生成一对公私钥对，并生成群ID，以及获取本设备的网络ID（networkid）和节点信息（nodeid），以上述网络ID、节点信息和群ID组成群证书扩展项；

进一步的，将将上述公钥、群证书扩展项和常规的主体信息组合生成群证书请求；之后，获取本设备的群主用户CA证书，通过该群主用户CA证书签发群证书请求生成群CA证书。

在其中一些实施例中，生成群成员证书的过程包括：

首先，群成员设备通过非对称算法生成一对公私钥对，并获取群ID（groupid）、以及本设备的网络ID（networkid）和节点信息（nodeid），以上述群ID、网络ID和节点信息结合为群成员证书扩展信息；

进一步的，基于上述公钥、证书扩展项和其他必须的主体信息生成上述群成员证书请求，之后，群主设备获取上述证书请求及群CA证书，通过群CA证书签发群成员证成员书请求生成上述群成员证书。

上述群主用户CA证书、群CA证书和群成员证书将被合并为证书链，发送至各个群成员设备中。

在其中一些实施例中，本申请中的应用ID是应用层为用户分配的全网唯一ID，节点信息是设备接入在网络时对其配置的用于表示节点位置的节点ID，网络ID是用于标识用户网络角色的全网唯一ID，集群ID是私有云设备对应的集群号，其中，用户的多个私有云设备可以组成集群，该集群的ID即上述集群号。在实际应用中，对于一个集群下的多个私有云设备，可以将其视为逻辑上的一个设备，能够达到扩容的目的。

具体的，本申请实施例的一个具体实施场景如下：

步骤1：群主设备的应用层收到客户端删除群成员a的请求；

步骤2：群主设备应用层针对删除群成员a的请求，进行信息收集得到群ID、群主的网络ID和被删除成员的网络ID，并将删除指令和这些信息一同转发给群主设备中的安全模块；

步骤3：群主设备的安全模块获取到步骤2信息后，通过本设备中保存的群主网络ID，查找本设备的用户CA证书和私钥；

步骤4：群主设备的安全模块为该群ID以本设备为基准设定一个时间戳，并通过群ID查找本地签发成员的网络ID，并将时间戳与群ID、群主的网络ID、群成员的网络ID绑定成群内时间戳；（即签发过多少个成员，就得到多少个群内时间戳，各个时间戳的群成员网络ID不同）；

步骤5：将步骤4得到的所有群内时间戳用步骤3得到的用户CA证书对应的私钥逐个进行签名得到签过名的群内时间戳；

步骤6：群主设备的安全模块将签过名的群内时间戳列表返回给群主设备的应用层；

步骤7：群主设备的应用层通过网络端，将对应群成员ID的时间戳发送到各个有效的对应群成员处，此时的转发也是需要网络侧基于证书链进行群成员的认证之后建立的安全通道进行；

步骤8：有效的群成员在收到群主发来的群内时间戳后，收集相关信息（群ID，群主的网络ID，本设备群成员ID），并将信息和群内时间戳转发到本设备的安全模块处；

步骤9：有效群成员的安全模块收到群主信息后，先行按照群ID，本设备群成员ID查找本用户在设备上有效群成员证书链和对应私钥，如果没有查找到，则直接返回拒绝接受群内时间戳；如果查找到，则说明该成员确实是群内的成员，则继续；

步骤10：有效群成员的安全模块通过步骤9获得的证书链中的根证书校验群主发送的时间戳内的签名信息，如果校验失败，则直接返回错误，校验成功则继续；

步骤11：校验成功后，判断该时间戳内部的群ID是否与应用传入的群ID一致，如果不一致则返回错误；如果一致则继续；

步骤12：校验成功后，判断该时间戳内部的群主的网络ID是否与应用传入的群主的网络ID一致，如果不一致则返回错误；如果一致则继续；

步骤13：校验成功后，判断该时间戳内部的群成员的网络ID是否与应用传入的群成员群网络ID一致，如果不一致则返回错误；如果一致则继续；

步骤14：将时间戳按照群ID存入本地（如果已经存在则更新）；

步骤15：待下次有群成员需要访问时，必须将签名过的时间戳带上进行校验，没有时间戳会校验失败，群成员带上的时间戳晚于当前群成员的时间戳，也校验失败；

本实施例还提供了一种基于数字证书的群成员管理系统，该系统用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”、“单元”、“子单元”等可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图5是根据本申请实施例的一种基于数字证书的群成员管理系统的结构框图，该系统应用在分布式群管理场景下，基于私有云设备实现，且每个私有云设备中保存有群主用户CA证书、群CA证书和其设备主的群成员证书组成的证书链，该系统包括：获取模块50、时间戳处理模块51和认证模块52；

获取模块50用于，获取目标群成员和基准时间，其中，目标群成员是待删除的群成员，基准时间是删除目标群成员的请求生成的时间；

时间戳处理模块51用于，以基准时间生成时间戳，通过安全通道，将时间戳发送至有效群成员的私有云设备，其中，安全通道是在群主设备与群成员设备之间基于证书链相互认证成功之后建立。有效群成员是除目标群成员之外的其他群成员；

认证模块52用于，在基准时间之后的任意时间，在群内的所有群成员设备之间，基于证书链和时间戳进行相互认证，若认证成功，则重新建立安全通道。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种基于数字证书的群成员管理方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

在一个实施例中，图6是根据本申请实施例的电子设备的内部结构示意图，如图6所示，提供了一种电子设备，该电子设备可以是服务器，其内部结构图可以如图6所示。该电子设备包括通过内部总线连接的处理器、网络接口、内存储器和非易失性存储器，其中，该非易失性存储器存储有操作系统、计算机程序和数据库。处理器用于提供计算和控制能力，网络接口用于与外部的终端通过网络连接通信，内存储器用于为操作系统和计算机程序的运行提供环境，计算机程序被处理器执行时以实现一种基于数字证书的群成员管理方法，数据库用于存储数据。

本领域技术人员可以理解，图6中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的电子设备的限定，具体的电子设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器（ROM）、可编程ROM（PROM）、电可编程ROM（EPROM）、电可擦除可编程ROM（EEPROM）或闪存。易失性存储器可包括随机存取存储器（RAM）或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM（SRAM）、动态RAM（DRAM）、同步DRAM（SDRAM）、双数据率SDRAM（DDRSDRAM）、增强型SDRAM（ESDRAM）、同步链路（Synchlink） DRAM（SLDRAM）、存储器总线（Rambus）直接RAM（RDRAM）、直接存储器总线动态RAM（DRDRAM）、以及存储器总线动态RAM（RDRAM）等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (14)

1.一种基于数字证书的群成员管理方法，其特征在于，应用在分布式群管理场景下，基于私有云设备实现，且每个私有云设备中保存有群主用户CA证书、群CA证书和其设备主的群成员证书组成的证书链，所述方法包括：

群主设备获取目标群成员和基准时间，其中，所述目标群成员是待删除的群成员，所述基准时间是所述目标群成员的删除请求生成的时间；

以所述基准时间生成时间戳，通过安全通道，将所述时间戳发送至有效群成员的私有云设备，其中，所述安全通道是在群主设备与群成员设备之间基于所述证书链相互认证成功之后建立，所述有效群成员是除所述目标群成员之外的其他群成员；

所述基准时间之后的任意时间，群内的所有群成员设备基于所述证书链和所述时间戳进行相互认证；

若认证成功，则重新建立安全通道。

2.根据权利要求1所述的方法，其特征在于，将所述时间戳发送至有效群成员的私有云设备还包括：

所述群主设备查找本地证书链中的群主用户CA证书，并获取所述群主用户CA证书的私钥；

采用所述群主用户CA证书的私钥，对所述时间戳进行签名，将包含签名信息的时间戳发送至所述有效群成员的私有云设备。

3.根据权利要求2所述的方法，其特征在于，将所述时间戳发送至所述有效群成员的私有云设备之后，所述方法还包括：

所述有效群成员的私有云设备，接收包含所述签名信息的时间戳，并查找本地证书链中的群主用户CA证书；

获取本地证书链中的群主用户CA证书的公钥信息，采用所述公钥信息对所述时间戳中的签名信息进行校验，若校验成功，指示所述时间戳可信。

4.根据权利要求2所述的方法，其特征在于，对所述时间戳进行签名之后，所述方法还包括：

所述群主设备获取群ID、群主网络ID和各个有效群成员的群成员网络ID；

将所述群ID、所述群主网络ID和所述群成员网络ID，绑定在所述时间戳内；

并根据所述群成员网络ID，分别将绑定之后的时间戳发送至各个有效群成员的私有云设备。

5.根据权利要求4所述的方法，其特征在于，将绑定之后的时间戳发送至各个有效群成员的私有云设备之后，所述方法还包括：

所述有效群成员的私有云设备，基于本地证书链对所述时间戳进行校验，包括：

获取所述本地证书链中的群主用户CA证书的公钥信息，判断所述公钥信息与所述时间戳的签名信息是否匹配，

获取所述本地证书链中群CA证书的群ID，判断所述群ID与所述时间戳内的群ID是否一致，

获取所述本地证书链中群主用户CA证书的群主网络ID，判断所述群主网络ID与所述时间戳内的群主网络ID是否一致，

获取所述本地证书链中群成员证书的群成员网络ID，判断所述群成员网络ID与所述时间戳内的群成员网络ID是否一致，

若四者均是，校验成功，指示所述时间戳可信。

6.根据权利要求1所述的方法，其特征在于，所述基准时间之后的任意时间，群内的所有群成员设备基于所述证书链和所述时间戳进行相互认证，包括：

在接收到其他群成员设备发送的交互请求之后，获取所述交互请求中的时间戳；

判断所述交互请求中的时间戳与本设备中的时间戳是否相同，

在相同的情况下，群成员设备之间基于所述证书链进行相互认证，在认证成功之后重新建立所述安全通道；

在不同或者所述交互请求中未包括所述时间戳的情况下，群成员设备之间相互认证失败。

7.根据权利要求1所述的方法，其特征在于，所述基准时间之后的任意时间，当重新将所述目标群成员邀请进群时，所述方法还包括：

对所述目标群成员的私有云设备重新分配有效的时间戳；

所述目标群成员的私有云设备，基于所述有效的时间戳和本地的证书链，与其他群成员进行相互认证，在认证成功之后重新建立所述安全通道。

8.根据权利要求1所述的方法，其特征在于，所述群主用户CA证书以群主的应用ID、网络ID和集群ID作为扩展项，并由随机生成的私钥签发生成。

9.根据权利要求8所述的方法，其特征在于，所述群CA证书以所述群ID和所述群主设备的节点信息、网络ID作为扩展项，并由所述群主用户CA证书签发生成。

10.根据权利要求9所述的方法，其特征在于，所述群成员证书以所述群成员设备的网络ID、节点信息和群ID作为扩展信息，并由所述群CA证书签发生成。

11.根据权利要求1至10中任意一项所述的方法，其特征在于，

应用ID是应用层为用户分配的全网唯一ID；

节点ID是设备接入在网络时对其配置的用于表示节点位置的节点ID；

网络ID是用于标识用户网络角色的全网唯一ID；

集群ID是按照用户需求对所述私有云设备配置的集群号。

12.一种基于数字证书的群成员管理系统，其特征在于，应用在分布式群管理场景下，基于私有云设备实现，且每个私有云设备中保存有群主用户CA证书、群CA证书和其设备主的群成员证书组成的证书链，所述系统包括：获取模块、认证模块、时间戳处理模块；

所述获取模块用于，获取目标群成员和基准时间，其中，所述目标群成员是待删除的群成员，所述基准时间是删除所述目标群成员的请求生成的时间；

所述时间戳处理模块用于，以所述基准时间生成时间戳，通过安全通道，将所述时间戳发送至有效群成员的私有云设备，其中，所述安全通道是在群主设备与群成员设备之间基于所述证书链相互认证成功之后建立，所述有效群成员是除所述目标群成员之外的其他群成员；

所述认证模块用于，在所述基准时间之后的任意时间，在群内的所有群成员设备之间，基于所述证书链和所述时间戳进行相互认证，若认证成功，则重新建立安全通道。

13.一种计算机设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至11中任一项所述的基于数字证书的群成员管理方法。

14.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1至11中任一项所述的基于数字证书的群成员管理方法。

Images