CN115190450A - 基于v2x证书建立tls通道的车联网通信方法和系统 - Google Patents

Abstract

本发明实施例公开了一种基于V2X证书建立TLS通道的车联网通信方法和系统。其中，方法包括：设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，同时所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。本实施例节省了V2X设备的存储负担和通讯负担。

Description

基于V2X证书建立TLS通道的车联网通信方法和系统

技术领域

本发明实施例涉及车联网通信领域，尤其涉及一种基于V2X证书建立TLS通道的车联网通信方法和系统。

背景技术

V2X(Vehicle to everything，车用无线通信技术)设备是指利用V2X证书进行车联网通信的设备。车联网场景中，V2X设备间使用V2X证书进行互信互认和信息交互；同时为了通信安全，V2X设备间在进行信息交互前会先构建TLS(Transport Layer Security，传输层安全)通道。

现有技术中，TLS协议使用X509证书构建TLS通道，因此在V2X需要进行车联网通信时，首先向对方发送X509证书进行身份验证，以建立TLS通道；然后基于TLS通道向对方发送V2X证书，实现V2X设备之间的互信互认；两次认证均通过后，才能交互车联网数据。

也就是说，V2X设备需要在自己的安全存储介质中存放X509和V2X两套证书，包括自身的X509证书和V2X证书，以及用于解析自身证书的各级节点信息，这大大增加了V2X设备本地安全存储介质的负担，且多次的发送证书大大增加了通信双方的通讯负担。

发明内容

本发明实施例提供一种基于V2X证书建立TLS通道的车联网通信方法和系统，使用V2X证书建立TLS通道，节省了V2X设备的存储负担和通讯负担。

第一方面，本发明实施例提供了一种基于V2X证书建立TLS通道的车联网通信方法，包括：

设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；

如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；

所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，同时所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；

身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

第二方面，本发明实施例提供了一种基于V2X证书建立TLS通道的车联网通信系统，包括设备端和服务端，所述车联网通信系统用于实现如下车联网通信过程：

设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；

如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；

所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；

身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

通过本发明实施例，V2X设备在构建TLS通道时就可以使用V2X证书验证身份，TLS通道建立后无需再次验证就可以交互车联网数据。相比于现有技术中V2X设备存储两套证书、发送两次证书、验证两次，且X509证书体系数据量巨大的实现方案，本实施例的V2X设备只需存储一套V2X证书、发送一次V2X证书、验证一次，且V2X证书体系的数据量非常小，不但节省了设备端的安全存储空间，还减轻了设备端和服务端的通信负担，同时缩短了验证流程，提高了通信效率。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明实施例提供的一种基于V2X证书建立TLS通道的车联网通信系统的示意图。

图2是本发明实施例提供的一种基于V2X证书建立TLS通道的车联网通信方法的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行清楚、完整的描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施例，都属于本发明所保护的范围。

在本发明的描述中，需要说明的是，术语“中心”、“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

本发明实施例提供的一种基于V2X证书建立TLS通道的车联网通信方法。为了说明该方法，优先介绍执行该方法的车联网通信系统。图1是本发明实施例提供的一种基于TLS通道的车联网通信系统的示意图，如图1所示，该系统包括设备端和服务端。设备端指V2X设备，包括车端、路端、云端、手机端等相关软硬件资源。服务端指设备端请求通信的目的端，包括其它V2X设备、各类服务提供平台等，并不特指服务器。在车联网通信场景中，设备端和服务端首先建立TLS通道，然后基于TLS通道交互车联网数据。

基于以上系统，图2是本发明实施例提供的一种基于V2X证书建立TLS通道的车联网通信方法的流程图。该方法适用于通过TLS通道交互车联网数据的情况，如图2所示，该方法具体包括：

S110、设备端向服务端请求通过V2X证书互相验证身份，以建立TLS通道。

通常而言，TLS通道的建立需要经过身份验证和会话密钥协商两个部分，会话密钥协商成功后，TLS建立成功。本实施例的设备端和服务端在进行身份验证前，首先协商用于验证身份的证书类型。

可选的，设备端构建一握手请求消息，用于向服务端请求通过V2X证书互相验证身份。所述握手请求消息包括第一字段、第二字段和第三字段，所述第一字段用于标识所述设备端请求的、用于验证所述设备端身份的证书类型，所述第二字段用于标识所述设备端请求的、用于验证所述服务端身份的证书类型，所述第三字段用于提供所述第一字段和所述第二字段标识的证书类型的密码套件名称。构建完毕后，设备端将第一字段和第二字段均设置为V2X类型，并在第三字段中增加V2X证书的密码套件名称，例如SM2、SM3等国密算法。设置完毕后，所述设备端向所述服务端发送最终的握手请求消息。

S120、如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型。

服务端接收到设备端发送的握手请求消息后，解析第一字段、第二字段和第三字段的内容，并根据服务端支持的证书类型、密码套件和具有的证书类型对设备端进行握手确认。

可选的，服务端首先根据自身存储的证书列表，判断是否支持V2X证书。证书列表中存储了服务端支持的证书类型，以及服务端具有的每种类型的证书，这些证书均用于验证服务端的身份。服务端接到设备端的握手请求消息后，检索证书列表，判断自身是否支持V2X证书。如果所述服务端不支持V2X证书，也就是无法验证V2X证书，则TLS通道建立失败，通信终止。同时，服务端判断是否支持所述第三字段中所有的密码套件名称，如果不支持其中的密码套件名称，则表明不支持需要所述密码套件的证书，则TLS通道建立失败，通信终止。

如果所述服务端支持V2X证书，所述服务端构建用于建立TLS通道的握手确认消息，其中，所述握手确认消息包括第四字段和第五字段，所述第四字段用于标识所述服务端确认的、用于验证所述设备端身份的证书类型，所述第五字段用于标识所述服务端确认的、用于验证所述服务端身份的证书类型。

构建完毕后，服务端根据设备端的请求和自身具有的证书类型，设置第四字段和第五字段。具体的，由于设备端通过第一字段请求通过V2X证书验证自己的身份，因此在所述服务端支持V2X证书的情况下，将第四字段设置为V2X类型，用于向设备端确认能够通过V2X证书验证设备端身份。而对于第五字段，由于V2X证书的普及性远不及X509证书，将所有TLS设备中存储的X509证书都替换为V2X证书是不现实的，因此本实施例为服务端设置了证书类型选择机制，允许服务端根据自身具有的证书类型来设置第五字段，用于向设备端确认采用何种类型的证书验证服务端身份。具体的，第五字段的设置包括以下两种情况：

情况一、所述服务端具有V2X证书，即证书列表中存储有服务端的V2X证书。此时所述服务端将第五字段设置为V2X类型，以确认通过V2X证书验证所述服务端身份。V2X证书是车联网场景中使用的证书体系，数据量小，占用存储空间和通信资源均非常小，特别适合于车端、路段以及手机端等存储空间、通信资源有限的设备。因此，在服务端具有V2X证书的情况下，优先确认通过V2X证书验证，以节省存储空间和通信资源。

情况二、所述服务端无V2X证书，但具有X509证书，即证书列表中不存在服务端的V2X证书，但存储有服务端的X509证书。此时所述服务端将第五字段设置为X509类型，以确认通过X509证书验证所述服务端身份。由于X509证书在TLS通道中的广泛使用，几乎所有的TLS设备中都具有X509证书，只有一小部分TLS设备(例如车联网中的V2X设备)具有V2X证书。为了保证通信的可实现性，本申请不绝对限制验证服务端身份的证书类型，在不存在V2X证书时仍允许服务端通过X509证书进行身份验证。

第五字段设置完毕后，所述服务端向所述设备端发送最终的握手确认消息。

S130、所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，同时，所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份。

通过S110和S120交互握手请求消息和握手确认消息后，设备端和服务端对于双方进行身份认证利用的证书类型已协商一致。本步骤将根据协商结果相互发送对应的证书并进行验证。

具体来说，所述设备端读取本地存储的设备端的V2X证书，并使用V2X证书对应的密码套件生成签名，然后将所述V2X证书和签名向所述服务端发送。所述服务端收到设备端发送的证书和签名后，根据所述第一字段中设置的V2X类型，确定V2X类型需要的密码套件，并根据所述密码套件对接收到的V2X证书和签名进行解密，验证所述设备端身份。如果验证不通过，TLS通道建立失败，通信终止。验证通过后，继续进行后续操作。

与此同时，所述服务端读取本地存储的服务端的证书，并使用该证书对应的密码套件生成签名，然后将所述证书和签名向所述设备端发送。所述设备端收到服务端发送的证书和签名后，根据所述第五字段中设置的证书类型，确定所述证书类型需要的密码套件；并根据所述密码套件对接收到的证书和签名进行解密，验证所述服务端身份。如果验证不通过，TLS通道建立失败，通信终止。验证通过后，继续进行后续操作。

S140、身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

在身份验证过程中，服务端和设备端同步交互相关参数以协商TLS通道中使用的会话密钥，具体过程将在后续实施例中详细展开。身份验证均通过且会话密钥协商完毕后，TLS通道建立成功。这时所述设备端和所述服务端根据会话密钥交互车联网数据。

本实施例中设备端和服务端不再发送V2X证书，直接交互车联网数据。可选的，服务端中设置有会话列表，用于存储服务端在设定时段内建立的会话ID和该会话需要的证书。所述设备端身份验证通过后，所述服务端在会话列表中添加所述TLS通道对应的会话ID以及所述设备端的V2X证书。相应的，所述设备端和所述服务端通过所述会话密钥交互车联网数据，包括：所述服务端收到来自于所述设备端的车联网数据后，通过所述车联网数据的会话ID在所述会话列表中检索设备端的V2X证书，并利用所述V2X证书解析所述车联网数据。

本实施例通过握手请求消息中的特定字段，将用于验证身份的证书类型设置为V2X类型，使得V2X设备在构建TLS通道时就可以使用V2X证书验证身份，TLS通道建立后无需再次验证就可以交互车联网数据。相比于现有技术中V2X设备存储两套证书、发送两次证书、验证两次，且X509证书体系数据量巨大的实现方案，本实施例的V2X设备只需存储一套V2X证书、发送一次V2X证书、验证一次，且V2X证书体系的数据量非常小，不但节省了设备端的安全存储空间，还减轻了设备端和服务端的通信负担，同时缩短了验证流程，提高了通信效率。

特别的，由于X509证书数据量大，且验证中需要传输各级节点，需要的通信量更加巨大，在快速移动通信等对通信资源和计算速度的要求严苛的场景下，劣势更加明显，更容易出现通信不稳定、通信质量难以保障的问题。本方法通过减小证书数据量、减少验证次数，降低证书发送和验证中的通信量，尤其适用于车端、路端、手机端等存储空间有限、移动速度快的V2X设备，有利于提高通信质量。

此外，现有技术中先通过X509证书建立TLS通道，在TLS通道建立后才能确认设备端的V2X是否能通过验证。而本申请将V2X证书的验证提前，在TLS通道建立过程中就可以发现服务端不支持V2X证书或设备端的V2X证书没有通过验证，直接结束通信，省去了后续通信过程。因此，在不支持V2X证书或设备端的V2X证书无法通过验证的情况下，本申请提供的方法更能节约通信资源。

为了便于理解说明本申请提供的方法，本实施例详细说明TLS通道的建立过程。基于本申请提供的方法，TLS通道的建立过程包括以下三个步骤：(1)设备端和服务端协商用于验证身份的证书类型，包括上述S110和S120；(2)设备端和服务端互相验证身份，包括上述S130；(3)设备端和服务端协商用于传输数据的会话密钥。在实际通信过程中，以上三个步骤无需严格按照上述(1)(2)(3)的顺序依次进行，也可以相互穿插，身份验证均通过且会话密钥协商完毕后，TLS通道建立成功。下面通过一具体实施方式来说明TLS通道建立过程。

在一具体实施方式中，假设服务端支持V2X证书，则TLS通道的建立过程包括如下步骤：

S1：设备端向服务端发送握手请求消息，在握手请求消息的第一字段和第二字段中请求通过V2X证书互相验证身份，并在第三字段中指定国际标准密码算法和SM2、SM3等国密算法。

S2：服务端接收到设备端的握手请求消息后，对握手请求消息进行解析；并向设备端发送握手确认消息，在握手确认消息的第四字段中确认通过V2X证书验证设备端身份，在握手确认消息的第五字段中确认通过V2X证书/X509证书验证服务端身份。

服务端向设备端发送服务端的V2X证书/X509证书和签名，以及用于计算会话密钥的服务端密钥参数。同时，服务端向设备端发送第一消息，用于请求设备端的V2X证书来验证设备端身份。以上数据均发送完毕后，服务端向设备端发送第二消息，告诉设备端本端数据已经发送完毕。

S3、设备端接收到服务端的V2X证书/X509证书和签名之后，验证其证书的有效性，确认证书是否属于服务端。若证书有效性验证通过，确认证书属于服务端，则通信继续，否则结束通信。

同时，设备端响应服务端的第一消息，发送自己的V2X证书和签名给服务端；设备端生成用于计算会话密钥的设备端密钥参数，并使用服务端的V2X证书的公钥进行加密后发送给服务端。

设备端使用设备端密钥参数和服务端密钥参数计算会话密钥，得到会话密钥后向服务端发送切换密钥消息。

S4、服务端收到设备端发送的V2X证书和签名之后验证证书有效性，确认证书是否属于设备端。若证书有效性验证通过，确认证书属于设备端，则通信继续，否则结束通信。

同时，服务端收到设备端发送的设备端密钥参数后，使用此参数和服务端密钥参数计算会话密钥。得到会话密钥后，服务端向设备端发送切换密钥消息。

S5、设备端和服务端均收到对方的切换密钥消息后，TLS通道建立成功。其中，设备端和服务端计算会话密钥的过程，与现有技术中利用X509证书建立TLS通道时的会话密钥计算过程相同，本实施例不再赘述。

本发明实施例还提供一种车联网通信系统。如图1所示，该系统包括设备端和服务端，所述车联网通信系统用于实现如下车联网通信过程：设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

本实施例用于实现上述任一实施例提供的方法，能够实现上述任一实施例的技术效果。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案。

Claims (9)

1.一种基于V2X证书建立TLS通道的车联网通信方法，其特征在于，包括：

设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；

如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；

所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，同时，所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；

身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

2.根据权利要求1所述的方法，其特征在于，所述设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道，包括：

所述设备端构建用于建立TLS通道的握手请求消息，其中，所述握手请求消息包括第一字段、第二字段和第三字段，所述第一字段用于标识所述设备端请求的、用于验证所述设备端身份的证书类型，所述第二字段用于标识所述设备端请求的、用于验证所述服务端身份的证书类型，所述第三字段用于提供所述第一字段和所述第二字段标识的证书类型的密码套件名称；

所述设备端将所述第一字段和所述第二字段均设置为V2X类型，并在所述第三字段中增加V2X证书的密码套件名称；

所述设备端向所述服务端发送最终的握手请求消息。

3.根据权利要求2所述的方法，其特征在于，在所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型之前，还包括：

如果所述服务端不支持所述第三字段中的密码套件，TLS通道建立失败，通信终止。

4.根据权利要求1所述的方法，其特征在于，在所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型之前，还包括：

如果所述服务端不支持V2X证书，TLS通道建立失败，通信终止。

5.根据权利要求1所述的方法，其特征在于，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型，包括：

如果所述服务端具有V2X证书，所述服务端向所述设备端确认通过V2X证书验证所述服务端身份；

如果所述服务端无V2X证书但具有X509证书，所述服务端向所述设备端确认通过X509证书验证所述服务端身份。

6.根据权利要求1所述的方法，其特征在于，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型，包括：

所述服务端构建用于建立TLS通道的握手确认消息，其中，所述握手确认消息包括第四字段和第五字段，所述第四字段用于标识所述服务端确认的、用于验证所述设备端身份的证书类型，所述第五字段用于标识所述服务端确认的、用于验证所述服务端身份的证书类型；

所述服务端将所述第四字段设置为V2X类型，将所述第五字段设置为所述服务端具有的证书类型；

所述服务端向所述设备端发送最终的握手确认消息。

7.根据权利要求1所述的方法，其特征在于，在所述服务端根据所述设备端提供的V2X证书验证所述设备端身份之后，还包括：

如果所述设备端身份验证通过，所述服务端在本地存储的会话列表中添加所述TLS通道对应的会话ID，以及所述设备端的V2X证书；

其中，所述会话ID列表用于存储所述服务端在设定时段内建立的会话ID和需要的证书。

8.根据权利要求7所述的方法，其特征在于，所述设备端和所述服务端通过所述会话密钥交互车联网数据，包括：

所述服务端收到来自于所述设备端的车联网数据后，通过所述车联网数据的会话ID在所述会话列表中检索所述设备端的V2X证书，并利用所述V2X证书解析所述车联网数据。

9.一种基于V2X证书建立TLS通道的车联网通信系统，其特征在于，包括设备端和服务端，所述车联网通信系统用于实现如下车联网通信过程：

设备端向服务端请求通过V2X证书互相验证身份，以建立安全传输层TLS通道；

如果所述服务端支持V2X证书，所述服务端根据具有的证书类型向所述设备端确认用于验证所述服务端身份的证书类型；

所述服务端根据所述设备端提供的V2X证书验证所述设备端身份，同时，所述设备端根据所述服务端提供的所述证书类型的证书验证所述服务端身份；

身份验证均通过且会话密钥协商完毕后，TLS通道建立成功，所述设备端和所述服务端通过所述会话密钥交互车联网数据。

Images