CN114338222B - 一种密钥申请方法、系统、装置及服务端 - Google Patents

Abstract

本发明公开了一种密钥申请方法、系统、装置及服务端，待登录系统会预先注册指定的应用APP，当用户在客户端上授权登录该应用App时，该客户端会自动从该应用APP的授权服务端获取安全认证标识并发送至密钥管理服务器并由其发送至服务端；服务端在接收到安全认证标识后从授权服务端中获取用户ID，判断用户ID是否在预存的合法用户ID中，若是，控制密钥管理服务器发送公私钥对；若否，考虑用户在客户端上可能为首次登录，因此当判定用户的手机号码在预存的合法手机号码中时，控制密钥管理服务器发送公私钥对。可见，该方案能够让拥有合法身份的用户在授权登录应用APP的同时就能获得用于非对称加密的公私密钥，且该过程方便又安全。

Description

一种密钥申请方法、系统、装置及服务端

技术领域

本发明涉及信息安全领域，特别是涉及一种密钥申请方法、系统、装置及服务端。

背景技术

在现阶段信创建设中，端与端之间的通信需要保证传输信息的完整性、不可否认性及安全性，为此可以使用非对称加密算法对传输信息加密。而实现非对称加密算法需要预先从密钥管理服务器申请一对公私钥对作为加密的密钥。

现有技术中，用户在客户端登录了使用国密算法的系统后，还需要主动向密钥管理服务器申请公私钥对，即将该客户端存储的用户ID、自身的设备ID及从服务端获得的用于申请公私钥对的申请请求标识发送至密钥管理服务器，该密钥管理服务器中预先存储了用户ID-设备ID-公私钥对这一对应关系，其中，当该用户在该设备上非首次申请时直接将该对应关系中的与该用户该设备对应的公私钥对派发至客户端即可；当该用户在该设备上首次申请时由于该对应关系中的公私钥对暂时为空，则由密钥管理服务器生成并派发后存储进与该用户该设备对应的公私钥对中。

于是，尽管客户端与服务端、客户端与密钥管理服务器之间的信息传输过程是加密且安全的，但由于该客户端上预先存储有各个登录过的用户ID且被攻击的风险较大，若某非法用户在客户端上盗取了该用户的ID、该设备的ID，再加上服务端上的申请请求标识即可从密钥管理服务器中盗取到该用户在该设备上传输信息时使用的公私钥对，造成了信息的泄漏。可见，采用上述方法向密钥管理服务器申请公私钥对既不方便也不安全。

发明内容

本发明的目的是提供一种密钥申请方法、系统、装置及服务端，能够让拥有合法身份的用户在授权登录应用APP的同时就能获得用于非对称加密的公私密钥，且该过程方便又安全。

为解决上述技术问题，本发明提供了一种密钥申请方法，应用于服务端，所述密钥申请方法，包括：

接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，所述安全认证标识为所述用户在客户端上授权登录待登录系统指定的应用APP时所述客户端从所述应用APP的授权服务端获得并发送至所述密钥管理服务器；

根据所述安全认证标识从所述授权服务端中获取所述用户的用户ID；

判断所述用户ID是否在预存的合法用户ID中；

若是，控制所述密钥管理服务器发送公私钥对至所述客户端；

若否，控制所述客户端提示所述用户输入手机号码并接收所述手机号码；

当判定所述手机号码在预存的合法手机号码中时，控制所述密钥管理服务器发送所述公私钥对至所述客户端。

优选的，控制所述客户端提示所述用户输入手机号码，包括：

控制所述客户端的显示模块显示请所述用户输入手机号码。

优选的，控制所述客户端提示所述用户输入手机号码并接收所述手机号码之后，还包括：

当判定所述手机号码不在预存的所述合法手机号码中时，控制所述密钥管理服务器向所述客户端发送表征公私钥对分配失败的第一控制信号。

优选的，判定所述手机号码在预存的合法手机号码中之后，还包括：

将与所述手机号码对应的所述用户ID存储至预存的所述合法用户ID中。

优选的，所述用户在客户端上授权登录待登录系统指定的应用APP，包括：

用户在客户端上通过扫描待登录系统指定的应用App的二维码以授权登录所述待登录系统。

优选的，控制所述密钥管理服务器发送公私钥对至所述客户端，包括：

向所述密钥管理服务器发送表征公私钥对分配成功的第二控制信号及所述用户ID，以控制所述密钥管理服务器发送与所述用户ID对应的公私钥对至所述客户端。

优选的，所述合法手机号码为通过ukey认证的合法手机号码。

为解决上述技术问题，本发明还提供了一种密钥申请系统，包括：

第一获取单元，用于接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，所述安全认证标识为所述用户在客户端上授权登录待登录系统指定的应用APP时所述客户端从所述应用APP的授权服务端获得并发送至所述密钥管理服务器；

第二获取单元，用于根据所述安全认证标识从所述授权服务端中获取所述用户的用户ID；

判断单元，用于判断所述用户ID是否在预存的合法用户ID中；若是，触发第一处理单元，若否，触发第二处理单元；

第一处理单元，用于控制所述密钥管理服务器发送公私钥对至所述客户端；

第二处理单元，用于控制所述客户端提示所述用户输入手机号码并接收所述手机号码；

第三处理单元，用于当判定所述手机号码在预存的合法手机号码中时，控制所述密钥管理服务器发送所述公私钥对至所述客户端。

为解决上述技术问题，本发明还提供了一种密钥申请装置，包括：

存储器，用于存储计算机程序；

处理器，用于执行如上述所述的密钥申请方法的步骤。

为解决上述技术问题，本发明还提供了一种服务端，包括如上述所述的密钥申请装置。

本发明提供了一种密钥申请方法、系统、装置及服务端，待登录系统会预先注册指定的应用APP，于是当用户在客户端上授权登录该应用App时，该客户端会自动从该应用APP的授权服务端获取与该用户的用户ID对应的安全认证标识并发送至密钥管理服务器，再由该密钥管理服务器发送至该服务端，因此相比于现有技术中的密钥申请方式更加方便；进一步的，该方案中客户端中不会预先存储用户ID，而是由服务端在接收到该安全认证标识后，根据该安全认证标识从授权服务端中来获取用户ID；随后判断该用户ID是否在预存的合法用户ID中，若是，直接控制密钥管理服务器发送公私钥对至客户端；若否，考虑到此时该用户在该客户端上可能为首次登录，因此会做进一步地安全认证判断，即控制客户端提示该用户输入手机号码并接收该手机号码，当判定该手机号码在预存的合法手机号码中时，控制密钥管理服务器发送公私钥对至客户端。与现有技术相比，该方案能够让拥有合法身份的用户在授权登录应用APP的同时就能获得用于非对称加密的公私密钥，且该过程方便又安全。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对现有技术和实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种密钥申请方法的流程图；

图2为本发明提供的一种密钥申请系统的结构示意图；

图3为本发明提供的一种密钥申请装置的结构示意图。

具体实施方式

本发明的核心是提供一种密钥申请方法、系统、装置及服务端，能够让拥有合法身份的用户在授权登录应用APP的同时就能获得用于非对称加密的公私密钥，且该过程方便又安全。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参照图1，图1为本发明提供的一种密钥申请方法的流程图；

该密钥申请方法，应用于服务端，该密钥申请方法，包括：

S11：接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，安全认证标识为用户在客户端上授权登录待登录系统指定的应用APP时客户端从应用APP的授权服务端获得并发送至密钥管理服务器；

S12：根据安全认证标识从授权服务端中获取用户的用户ID；

S13：判断用户ID是否在预存的合法用户ID中；若是，进入是14；若否，进入S15；

S14：控制密钥管理服务器发送公私钥对至客户端；

S15：控制客户端提示用户输入手机号码并接收手机号码；

S16：当判定手机号码在预存的合法手机号码中时，控制密钥管理服务器发送公私钥对至客户端。

本实施例中，考虑到在现有技术中，用户在客户端登录了使用国密算法的系统后，为了使用非对称加密算法传输数据，一方面需要主动向密钥管理服务器申请公私钥对，使得操作烦难；另一方面，由于该客户端上存储有各个登录过的用户ID且该客户端被攻击的风险也较大，因而存在信息泄露及造成用户损失的风险。为解决上述技术问题，本申请提供了一种密钥申请方法，应用于服务端，可以方便安全地向密钥管理服务器申请用于本次会话中传输数据的公私钥对。

具体来说，接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，需要说明的是，这里的安全认证标识的来源为：首先待登录系统会预先注册指定的应用APP，其中这里的应用APP可以为微信，也可以为支付宝，也可以为钉钉，本申请在此不作特别的限定；于是当用户在客户端上授权登录该应用APP时，对于客户端来说会将注册该应用时应用APP的授权服务端颁发的与该待登录系统对应的应用ID和应用SECRET这两个标识及用户在登录时输入的用户ID发送至应用APP的授权服务端，该授权服务端会根据应用ID和应用SECRET这两个标识来判断该待登录系统是否已经注册，即是否可以获取该用户在该应用APP上的各种用户信息；若否，则不能给该客户端提供该用户的各种用户信息，则返回一个表征登录失败的第三控制信号至客户端，客户端根据该信号提示该用户登录失败；若是，则根据用户ID找到该用户在这个授权服务端上的包括上述用户ID的各种用户信息并生成安全认证标识，同时还会生成一个指向该待登录系统的重定向链接，将两者一起返回至客户端，客户端会依照该链接使得用户跳转到该待登录系统，同时将该设备ID及该安全认证标识发送至密钥管理服务器以自动申请公私钥对，密钥管理服务器为了判定是否可以对该用户在该客户端上的登录发送公私钥对即与该安全认证标识对应的用户是否为合法用户，而将该安全认证标识发送至服务端，并将该设备ID暂时存储，当然这里的设备指的就是客户端。

随后，服务端根据安全认证标识可以直接从应用APP的授权服务端中获取到该用户的用户ID；服务端中存储有合法用户ID，于是判断该用户ID是否在预存的合法用户ID中，若是，说明此次安全认证通过，于是控制密钥管理服务器发送公私钥对至客户端，而对于客户端来说在获取到该公私钥对之后可以进行签名及验签等各种操作，本申请在此不作特别的限定；若否，还进一步考虑到该用户此时在该客户端上可能为首次登录，因而可以做进一步地安全认证判断，即控制客户端提示用户输入手机号码并接收手机号码；服务端中存储有合法手机号码，于是当判定手机号码在预存的合法手机号码中时，也说明此次安全认证通过，于是控制密钥管理服务器发送公私钥对至客户端。此外更具体来说，对于首次登录该系统的用户来说，该用户都会进行上述根据其手机号码判定是否能够被发送公私钥对的过程；而后续为了保证该密钥申请方法的效率，可以在判定手机号码在预存的合法手机号码中时，将与该手机号码对应的用户ID存入合法用户ID中以便于下次判定，本申请在此不作特别的限定。

还需要说明的是，这里的用户ID为能够唯一表征用户的身份信息的标识，若在实际应用中还有其他能够唯一表征该用户的身份信息的标识，可以进行相应的替换。

此外，这里的安全认证标识与用户ID和生成时间有关，因此即使是相同的用户ID若是生成时间不同则生成的安全认证标识也不同，但均存在与该用户的用户ID的对应关系以便后续操作，且该授权服务端与客户端之间的信息交互过程可以认为是安全的；这里的合法手机号码的来源可以是管理员导入且通过ukey认证的，而管理员的ukey由相关的权威机构颁发，因此通过ukey认证的过程也是安全的，保证了合法手机号码的来源的安全性。

综上，本发明提供了一种密钥申请方法，与现有技术相比，该方案能够让拥有合法身份的用户在授权登录应用APP的同时就能获得用于非对称加密的公私密钥，且该过程方便又安全，自动化程度高。

在上述实施例的基础上：

作为一种优选的实施例，控制客户端提示用户输入手机号码，包括：

控制客户端的显示模块显示请用户输入手机号码。

本实施例中，为了提示用户输入手机号码，本申请中可以控制客户端的显示模块显示请用户输入手机号码。具体来说，可以向客户端发送表征控制客户端的显示模块显示上述信息的控制信号，客户端在接收到该控制信号后控制其自身的显示模块显示请用户输入手机号码，且该种方式简单可靠，直观有效。

作为一种优选的实施例，控制客户端提示用户输入手机号码并接收手机号码之后，还包括：

当判定手机号码不在预存的合法手机号码中时，控制密钥管理服务器向客户端发送表征公私钥对分配失败的第一控制信号。

本实施例中，当判定手机号码不在预存的合法手机号码中时，说明此时该用户的来源不能保证，很可能是非法用户，因此，控制密钥管理服务器向客户端发送表征公私钥对分配失败的第一控制信号。具体的，这里服务端可以先向密钥管理服务器发送表征安全认证失败的信号，该密钥管理服务器在接受到该信号后，再向客户端发送表征公私钥对分配失败的第一控制信号。

可见，通过这种方式安全地实现上述安全认证过程的逻辑。

作为一种优选的实施例，判定手机号码在预存的合法手机号码中之后，还包括：

将与手机号码对应的用户ID存储至预存的合法用户ID中。

本实施例中，为了进一步保证该密钥申请方法的效率，可以在判定手机号码在预存的合法手机号码中之后，将与该手机号码对应的用户ID存储至合法用户ID中以便于下次登录时的判定。可见，该种方式更好地保证了本申请提供的密钥申请方法的效率，可操作性强。

作为一种优选的实施例，用户在客户端上授权登录待登录系统指定的应用APP，包括：

用户在客户端上通过扫描待登录系统指定的应用App的二维码以授权登录待登录系统。

本实施例中，考虑到待登录系统会预先注册指定的应用APP，因此当用户想要在该客户端上通过该应用APP登录该待登录系统时，可以在客户端上通过扫描待登录系统指定的应用App的二维码以授权登录待登录系统，简单有效，方便快捷。

作为一种优选的实施例，控制密钥管理服务器发送公私钥对至客户端，包括：

向密钥管理服务器发送表征公私钥对分配成功的第二控制信号及用户ID，以控制密钥管理服务器发送与用户ID对应的公私钥对至客户端。

本实施例中，为了控制密钥管理服务器发送公私钥对至客户端，可以向密钥管理服务器发送表征公私钥对分配成功的第二控制信号及用户ID。具体的，密钥管理服务器中预存有用户ID-设备ID-公私钥对这一对应关系，于是当接收到上述第二控制信号后，该密钥管理服务器还可以判断在上述对应关系中是否存在与该用户在该设备对应的公私钥对，若存在，直接将与该用户在该设备即客户端对应的公私钥对发送至客户端即可；若不存在，只需针对该用户在该设备即客户端生成一对公私钥对发送至客户端并在上述对应关系中进行相对应的存储即可，本申请在此不作特别的限定。

可见，通过这种方式可以简单有效地实现控制密钥管理服务器发送公私钥对至客户端的控制逻辑，安全方便。

作为一种优选的实施例，合法手机号码为通过ukey认证的合法手机号码。

本实施例中，该合法手机号码的来源可以是通过ukey认证的合法手机号码。

具体的，管理员的ukey是由相关的足够权威的机构颁发的，因此由管理员导入的合法手机号码是通过ukey认证的，且该过程也是安全的，因此很好地保证了合法手机号码的来源的安全性。

请参照图2，图2为本发明提供的一种密钥申请系统的结构示意图。

该密钥申请系统，包括：

第一获取单元21，用于接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，安全认证标识为用户在客户端上授权登录待登录系统指定的应用APP时客户端从应用APP的授权服务端获得并发送至密钥管理服务器；

第二获取单元22，用于根据安全认证标识从授权服务端中获取用户的用户ID；

判断单元23，用于判断用户ID是否在预存的合法用户ID中；若是，触发第一处理单元，若否，触发第二处理单元；

第一处理单元24，用于控制密钥管理服务器发送公私钥对至客户端；

第二处理单元25，用于控制客户端提示用户输入手机号码并接收手机号码；

第三处理单元26，用于当判定手机号码在预存的合法手机号码中时，控制密钥管理服务器发送公私钥对至客户端。

对于本发明中提供的密钥申请系统的介绍请参照上述密钥申请方法的实施例，此处不再赘述。

请参照图3，图3为本发明提供的一种密钥申请装置的结构示意图。

该密钥申请装置，包括：

存储器31，用于存储计算机程序；

处理器32，用于执行如上述所述的密钥申请方法的步骤。

对于本发明中提供的密钥申请装置的介绍请参照上述密钥申请方法的实施例，此处不再赘述。

本发明还提供了一种服务端，包括如上述所述的密钥申请装置。

对于本发明中提供的服务端的介绍请参照上述密钥申请方法的实施例，此处不再赘述。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其他实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种密钥申请方法，其特征在于，应用于服务端，所述密钥申请方法，包括：

接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，所述安全认证标识为所述用户在客户端上授权登录待登录系统指定的应用APP时所述客户端从所述应用APP的授权服务端获得并发送至所述密钥管理服务器；通过所述应用APP的授权服务端根据所述待登录系统的应用ID和应用SECRET判断所述待登录系统是否已经注册，若是则根据所述用户ID的用户信息生成所述安全认证标识；所述安全认证标识与所述用户ID和生成时间相关；

根据所述安全认证标识从所述授权服务端中获取所述用户的用户ID；

判断所述用户ID是否在预存的合法用户ID中；

若是，控制所述密钥管理服务器发送公私钥对至所述客户端；

若否，控制所述客户端提示所述用户输入手机号码并接收所述手机号码；

当判定所述手机号码在预存的合法手机号码中时，控制所述密钥管理服务器发送所述公私钥对至所述客户端。

2.如权利要求1所述的密钥申请方法，其特征在于，控制所述客户端提示所述用户输入手机号码，包括：

控制所述客户端的显示模块显示请所述用户输入手机号码。

3.如权利要求1所述的密钥申请方法，其特征在于，控制所述客户端提示所述用户输入手机号码并接收所述手机号码之后，还包括：

当判定所述手机号码不在预存的所述合法手机号码中时，控制所述密钥管理服务器向所述客户端发送表征公私钥对分配失败的第一控制信号。

4.如权利要求1所述的密钥申请方法，其特征在于，判定所述手机号码在预存的合法手机号码中之后，还包括：

将与所述手机号码对应的所述用户ID存储至预存的所述合法用户ID中。

5.如权利要求1所述的密钥申请方法，其特征在于，所述用户在客户端上授权登录待登录系统指定的应用APP，包括：

用户在客户端上通过扫描待登录系统指定的应用App的二维码以授权登录所述待登录系统。

6.如权利要求1所述的密钥申请方法，其特征在于，控制所述密钥管理服务器发送公私钥对至所述客户端，包括：

向所述密钥管理服务器发送表征公私钥对分配成功的第二控制信号及所述用户ID，以控制所述密钥管理服务器发送与所述用户ID对应的公私钥对至所述客户端。

7.如权利要求1至6任一项所述的密钥申请方法，其特征在于，所述合法手机号码为通过ukey认证的合法手机号码。

8.一种密钥申请系统，其特征在于，包括：

第一获取单元，用于接收密钥管理服务器发送的与用户的用户ID对应的安全认证标识，其中，所述安全认证标识为所述用户在客户端上授权登录待登录系统指定的应用APP时所述客户端从所述应用APP的授权服务端获得并发送至所述密钥管理服务器；通过所述应用APP的授权服务端根据所述待登录系统的应用ID和应用SECRET判断所述待登录系统是否已经注册，若是则根据所述用户ID的用户信息生成所述安全认证标识；所述安全认证标识与所述用户ID和生成时间相关；

第二获取单元，用于根据所述安全认证标识从所述授权服务端中获取所述用户的用户ID；

判断单元，用于判断所述用户ID是否在预存的合法用户ID中；若是，触发第一处理单元，若否，触发第二处理单元；

第一处理单元，用于控制所述密钥管理服务器发送公私钥对至所述客户端；

第二处理单元，用于控制所述客户端提示所述用户输入手机号码并接收所述手机号码；

第三处理单元，用于当判定所述手机号码在预存的合法手机号码中时，控制所述密钥管理服务器发送所述公私钥对至所述客户端。

9.一种密钥申请装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行如权利要求1至7任一项所述的密钥申请方法的步骤。

10.一种服务端，其特征在于，包括如权利要求9所述的密钥申请装置。