CN115459949A - 一种数据传输方法及装置 - Google Patents

Abstract

本申请实施例提供了一种数据传输方法及装置，应用于服务器。本申请实施例所提供的数据传输方法中，传输过程不仅对第一密钥进行第二密钥加密保护，同时动态调整第一密钥密文的传输数据包位置，可以实现对传输数据的双重保护，提升了数据被非法截获后的解密难度，有效保护了数据资源的网络传输。

Description

一种数据传输方法及装置

技术领域

本申请涉及网络技术领域，特别是涉及一种数据传输方法及装置。

背景技术

互联网技术的发展，实现了全网高清视频传输，将众多互联网应用推向高清视频化，这就使得对于机密视频会议等的录像加密传输保护工作显得尤为重要。

现有数据传输业务中加密数据结构固定，容易在恶意的网络截获数据后被解密还原，进而造成数据泄露。

发明内容

鉴于上述问题，提出了本申请实施例以便提供一种克服上述问题或者至少部分地解决上述问题的一种数据传输方法和相应的一种数据传输装置。

第一方面，本申请实施例公开了一种数据传输方法，其中，所述方法应用于服务器，所述方法包括：

在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据；

基于传输业务的第二密钥，将所述第一密钥加密为密钥密文；

将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

将所述传输数据包发送至所述终端。

可选地，所述的数据传输方法中，将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，包括：

将所述密钥密文随机插入所述第一加密数据中，生成第二加密数据；

根据所述密钥密文及所述第二加密数据，确定所述传输数据包的头部信息；

根据所述头部信息与所述第二加密数据，按网络传输协议组装所述传输数据包。

可选地，所述的数据传输方法中，根据所述密钥密文及所述第二加密数据，确定所述传输数据包的头部信息，包括：

确定所述密钥密文在所述第二加密数据中的位置信息；

根据所述位置信息及所述第二加密数据的总长度信息，确定所述传输数据包的头部信息。

可选地，所述方法还包括：

响应于第一密钥更新的第一触发信息，对所述第一密钥进行更新。

可选地，在基于第一密钥，将待传输数据加密为第一加密数据之前，所述方法还包括：

在基于第一密钥，将待传输数据加密为第一加密数据之前，所述方法还包括：

与所述终端进行传输业务认证；

在确定所述传输业务认证通过的情况下，执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

可选地，在所述的数据传输方法中，对所述终端进行传输业务认证，包括：

向所述终端发送包括加密信息及所述服务器的第一身份标识的第一认证消息，以对所述终端进行所述第一传输认证；其中，所述加密信息由所述第二密钥按所述对称密钥加密生成；

接收所述终端针对所述第一认证消息反馈的第二认证消息；所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了供所述服务器对终端进行传输认证所需的第二身份标识及第三标签值；

根据所述第二认证消息，确定传输业务认证结果。

可选地，在所述的数据传输方法中，根据所述终端反馈的第二认证消息，确定传输业务认证结果，包括：

根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第四签名值；

在所述第四签名值与所述第三签名值一致的情况下，确定对所述终端的第一传输认证结果为认证通过；

在所述第一传输认证结果为认证通过，且所述第二传输认证结果为认证通过的情况下，确定所述传输业务认证通过。

可选地，所述方法还包括：

响应于第二密钥更新的第二触发信息，对所述传输业务的第二密钥进行更新，并执行向所述终端发送包括加密信息的第一认证消息的步骤。

第二方面，本申请实施例公开了一种数据传输方法，其中，所述方法应用于终端，所述方法包括：

在与服务器进行传输业务的过程中，接收所述服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据；

根据所述第二密钥对所述密钥密文解密，获取第一密钥；

基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

可选地，在接收服务器发送的传输数据包之前，所述方法还包括：

与所述服务器进行传输业务认证；

在确定所述传输业务认证通过的情况下，执行接收服务器发送的传输数据包的步骤。

可选地，与所述服务器进行传输业务认证，包括：

接收所述服务器发送的包括加密信息的第一认证消息；其中，所述加密信息由所述服务器按所述对称密钥对所述第二密钥加密生成；所述第一认证消息还包括所述服务器的第一身份标识、所述第一身份标识与所述加密信息按预设算法运算生成的第一签名值；

利用所述对称密钥对所述加密信息解密，获取所述第二密钥；

根据所述第一身份标识与所述加密信息按预设算法运算生成的第二签名值；

若所述第一签名值与所述第二签名值一致，则确定对所述服务器的第二传输认证结果为认证通过；

根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第三标签值；

向所述服务器反馈第二认证消息，所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了所述终端的第二身份标识及所述第三标签值。

第三方面，本申请还提供了一种数据传输装置，其中，应用于服务器，所述装置包括：

第一加密模块，用于在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据；

第二加密模块，用于基于传输业务的第二密钥，将所述第一密钥加密为密钥密文；

组装模块，用于将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

发送模块，用于将所述传输数据包发送至所述终端。

可选地，所述装置还包括：

第一认证模块，用于在基于第一密钥，将待传输数据加密为第一加密数据之前，对所述终端进行第一传输认证；

第一执行模块，用于在确定所述第一传输认证通过的情况下，执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

第四方面，本申请还提供了一种数据传输装置，其中，应用于终端，所述装置包括：

接收模块，用于在与所述终端进行传输业务的过程中，接收服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

获取模块，用于根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据；

第一解密模块，用于根据所述第二密钥对所述密钥密文解密，获取第一密钥；

第二解密模块，用于基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

可选地，所述装置还包括：

第二认证模块，用于在接收服务器发送的传输数据包之前，对所述服务器进行第二传输认证；

第二执行模块，用于在确定所述第二传输认证通过的情况下，执行接收服务器发送的传输数据包的步骤。

第五方面，本申请实施例提供了一种电子设备，该电子设备包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如第一方面或第二方面所述的方法的步骤。

第六方面，本申请实施例提供了一种可读存储介质，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如第一方面或第二方面所述的方法的步骤。

第七方面，本申请实施例提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现如第一方面或第二方面所述的方法。

本申请实施例包括以下优点：

本申请实施例中，在与终端进行传输业务的过程中，服务器基于第一密钥，将待传输数据加密为第一加密数据，然后基于传输业务的第二密钥，将第一密钥加密为密钥密文并随机插入第一加密数据中，组装为传输负载，传输负载的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；然后将传输负载发送至终端，以供终端根据位置信息及第二密钥，从传输负载中获取第一密钥及第一加密数据，并基于第一密钥对第一加密数据进行解密，获得原始数据。上述传输过程不仅对第一密钥进行第二密钥加密保护，同时动态调整第一密钥密文的传输数据包位置，可以实现对传输数据的双重保护，提升了数据被非法截获后的解密难度，有效保护了数据资源的网络传输。

附图说明

图1是本申请的一种数据传输方法实施例的步骤流程图；

图2是本申请的另一种数据传输方法实施例的步骤流程图

图3是本申请中数据传输方法的交互流程图；

图4是本申请的一种数据传输装置实施例的结构框图；

图5是本申请的另一种数据传输装置实施例的结构框图；

图6是本申请的电子设备的结构框图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

本申请实施例提供的一种数据传输方法，在传输业务中，通过动态更新第一密钥在传输数据包中的位置，并且对第一密钥进行第二密钥加密保护，终端在接收到传输数据包后，先根据加密传输数据包头部信息指定的密钥密文位置信息或索引位置，定位到密钥密文，再使用传输业务的第二密钥解密到真正的第一密钥，再对加密的传输数据进行解密。

参照图1，图1为本申请实施例的一种数据传输方法的步骤流程图，该方法可以应用于服务器，所述服务器与终端通过网络连接，所述方法具体可以包括如下步骤：

步骤101、在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据。

本申请实施例应用于音频数据或视频数据等的传输业务场景。该步骤中，在传输流程发起后，服务器生成用于对原始数据加密的第一密钥，然后利用该第一密钥对被请求的待传输数据进行加密，生成加密后的待传输数据，即上述第一加密数据。

在该步骤中，上述第一密钥可由服务器从密钥管理系统直接获取，上述密钥管理系统与该服务器通过互联网连接。

步骤102、基于传输业务的第二密钥，将所述第一密钥加密为密钥密文。

本步骤中，上述第二密钥为对传输业务对第一密钥进行加密的密钥。该步骤中，通过按上述第二密钥对上述第一密钥进行加密，生成第一密钥的加密信息，也即上述密钥密文，可以防止因上述第一密钥泄露而造成传输数据的泄露。

其中，上述第二密钥在服务器与终端建立传输业务过程中进行约定，也即相应终端可以知晓该第二密钥。

步骤103、将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息。

该步骤中，通过先将由第一密钥进行第二密钥加密后得到的密钥密文随机插入第一加密数据中的任何一个位置，并记录插入位置信息，然后按照网络传输协议格式，组装当前待传输数据对应的传输数据包，并在该传输数据包的头部信息中记录上述密钥密文的位置信息，以便于终端查找该密钥密文。

步骤104、将所述传输数据包发送至所述终端。

该步骤中，终端为发起传输业务的终端；因为上述传输数据包符合网络传输协议，而终端又与服务器通过网络连接，因而可以将该传输数据包发送至终端。其中，因为在数据包的头部位置中记录了上述密钥密文的位置信息，因而该终端可以在接收到上述传输数据包后，按网络传输协议从中提取密钥密文以及第一加密数据，然后根据预先约定的第二密钥，对该密钥密文解密获取第一密钥，进而利用该第一密钥对第一加密数据进行解密，即可以获得解密后的待传输数据。

本申请实施例提供的数据传输方法中，服务器基于第一密钥，将待传输数据加密为第一加密数据，然后基于传输业务的第二密钥，将第一密钥加密为密钥密文并随机插入第一加密数据中，组装为传输负载，传输负载的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；然后将传输负载发送至终端，以供终端根据位置信息及第二密钥，从传输负载中获取第一密钥及第一加密数据，并基于第一密钥对第一加密数据进行解密，获得原始数据。上述传输过程不仅对第一密钥进行第二密钥加密保护，同时动态调整第一密钥密文的传输数据包位置，优化了加密传输数据包的结构定义，可以实现对传输数据的双重保护，提升了数据被非法截获后的解密难度，有效保护了数据资源的网络传输。

可选地，在一种实施方式中，本申请实施例提供的数据传输方法中，上述步骤103包括步骤1031～步骤1032：

步骤1031、将所述密钥密文随机插入所述第一加密数据中，生成第二加密数据。

该步骤中，将第一密钥的密钥密文随机插入待传输数据按第一密钥加密后的第一加密数据中，获得包括该密钥密文的加密数据，即上述第二加密数据。

步骤1032、根据所述密钥密文及所述第二加密数据，确定所述传输数据包的头部信息。

该步骤中，根据密钥密文在第二加密数据中的具体位置，结合第二加密数据的具体信息，生成传输数据包的头部信息。

可选地，在一种具体实施方式中，上述步骤1032具体包括：确定所述密钥密文在所述第二加密数据中的位置信息；根据所述位置信息及所述第二加密数据的总长度信息，确定所述传输数据包的头部信息。

该具体实施方式中，通过密钥密文具体在第二加密数据中所插入的位置，记录密钥密文在第二加密数据中的位置信息，然后与结合第二加密数据的总长度信息，作为传输数据包的头部信息，便于传输数据的终端准确获取随机插入数据包各个位置中的密钥密文。

步骤1033、根据所述头部信息与所述第二加密数据，按网络传输协议组装所述传输数据包。

该步骤中，把包括密钥密文位置及第二加密数据总长度的头部信息与第二加密数据的数据，依照网络传输协议格式进行组装，即可以生成待传输数据对应加密的传输数据包。

该实施方式中，通过将第一密钥的密钥密文随机插入加密后的数据帧中，并利用密钥密文在数据帧中的位置信息与传输数据包的总长度信息作为按网络传输协议组装的传输数据包的头部信息，不仅可以将该传输数据包通过网络发送至终端，也使得终端接收到传输数据包后，可以快速根据数据包的头部信息指定的密钥密文的索引位置，定位到密钥密文，将密钥密文与加密数据帧分离解析出来，再使用传输业务的第二密钥解密到真正的第一密钥，再对加密的数据进行解密获得原始数据。

可选地，在一种实施方式中，本申请实施例所提供的数据传输方法，还包括步骤105：

响应于第一密钥更新的第一触发信息，对所述第一密钥进行更新。

该步骤中，第一触发信息为触发服务器更新第一密钥的信息，该第一触发信息具体可以为密钥更新周期。

在实际应用中，在达到第一密钥更新周期时，密钥管理系统按更新策略更新第一密钥，然后由服务器获取更新后的第一密钥，进而利用更新后的第一密钥对待传输数据进行加密传输。

该实施方式中，通过对第一密钥定期更新，且对第一密钥进行第二密钥加密保护，且动态更新第一密钥的密钥密文在传输数据包中位置，可以实现对传输数据的多重保护，提升了数据被非法截获后的解密难度，可以更有效地保护数据资源的网络传输，防止恶意的网络数据截获破解加密数据，导致涉密数据泄漏问题。

可选地，在一种实施方式中，本申请实施例所提供的数据传输方法，在基于第一密钥，将待传输数据加密为第一加密数据之前，还包括步骤1011～步骤1012。

步骤1011、与所述终端进行传输业务认证。

该步骤中，在传输流程发起后，服务器对终端进行传输认证，以确定终端的身份。

步骤1012、在确定所述传输业务认证通过的情况下，执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

该步骤中，在传输业务认证通过的情况下，说明终端的身份得以确认，因而执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

该实施方式中，在向终端发送传输数据包前，先对终端进行传输认证，进一步保证了数据传输的安全。

可选地，在一种具体实施方式中，上述步骤1011包括步骤1021～步骤1023：

步骤1021、向所述终端发送包括加密信息及所述服务器的第一身份标识的第一认证消息，以与所述终端进行传输业务认证；其中，所述加密信息由所述第二密钥按所述对称密钥加密生成。

该步骤中，在传输流程发起后，服务器获取一个第二密钥，用于保护对传输数据加密的第一密钥，然后与终端进行传输业务认证，认证通过后终端即可获取上述第二密钥。

其中，对称密钥为服务器与终端均知晓的加密密钥；将上述第二密钥利用对称密钥加密后作为上述第一认证消息发送给终端，可以进一步加强数据传输的保护。

具体地，上述第一认证信息还包括所述服务器的第一身份标识、所述第一身份标识与所述加密信息按预设算法运算生成的第一签名值，用于供终端对服务器进行传输认证。

步骤1022、接收所述终端针对所述第一认证消息反馈的第二认证消息；所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了供所述服务器对终端进行传输认证所需的第二身份标识及第三标签值，所述第三标签值由所述终端根据所述第二身份标识与所述加密信息按预设算法运算生成。

该步骤中，在终端接收到该第一认证信息后，根据所述第一身份标识与所述加密信息按预设算法运算生成的第二签名值；若第一签名值与所述第二签名值一致，则确定终端对服务器的第二传输认证结果为认证通过并继续处理加密的传输数据包，否则确定第二传输认证结果为认证不通过并终止处理。

该步骤中，在终端对服务器进行第二传输认证后，会针对第一认证消息向服务器反馈第二认证消息，该第二认证消息包括终端对服务器的第二传输认证情况，且携带了终端的第二身份标识、以及由上述第二身份标识与上述加密信息按预设算法运算生成的第三标签值，以供服务器对终端进行传输认证。

步骤1023、根据所述第二认证消息，确定传输业务认证结果。

该步骤中，该第二认证消息反映了终端对服务器的第二传输认证情况，且携带了供服务器对终端进行传输认证所需的第二身份标识及第三标签值，该第三标签值由终端根据所述第二身份标识与所述加密信息按预设算法运算生成，因而服务器可以基于该第二认证消息判断服务器与终端之间的传输认证是否通过，并在认证通过时执行对待传输数据进行加密传输的步骤，否则终止传输。

可选地，上述步骤1023具体包括：根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第四签名值；在所述第四签名值与所述第三签名值一致的情况下，确定对所述终端的第一传输认证结果为认证通过；在所述第一传输认证结果为认证通过，且所述第二传输认证结果为认证通过的情况下，确定所述传输业务认证通过。

其中，在服务器接收到该第二认证消息后，根据所述第二身份标识与所述加密信息按预设算法运算生成的第四签名值；若第四签名值与所述第三签名值一致，则确定服务器对终端的第一传输认证结果为认证通过，否则确定第一传输认证结果为认证不通过。

其中，在终端对服务器的第二传输认证情况为成功，且服务器对终端的第一传输认证情况为成功的情况下，确定服务器与终端之间的传输业务认证通过，并继续向终端传输待传输数据的加密数据包；在终端对服务器的第二传输认证情况为认证不通过，或者服务器对终端的第一传输认证情况为认证不通过的情况下，即确定服务器与终端之间的传输业务认证不通过。

该实施方式中，在传输流程发起后，采用双向认证的方式，对终端进行传输业务认证，并在双向认证通过后执行待传输数据的加密传输，否则终止传输业务，进一步保证了数据传输安全，防止数据被恶意截取。

可选地，在一种具体实施方式中，本申请实施例所提供的数据传输方法，还包括步骤106：

响应于第二密钥更新的第二触发信息，对所述传输业务的第二密钥进行更新，并执行向所述终端发送包括加密信息的第一认证消息的步骤。

该步骤中，第二触发信息为触发服务器更新第二密钥的信息，该第二触发信息具体可以为第二密钥更新周期。

在实际应用中，在达到第二密钥更新周期时，密钥管理系统按更新策略更新第二密钥，然后由服务器获取更新后的第二密钥，在触发执行向终端发送包括加密信息的第一认证消息的步骤，以对终端进行传输业务认证，并在认证通过后使终端获得该更新后的第二密钥，然后即利用更新后的第二密钥对传输业务进行加密。

该实施方式中，通过对第二密钥定期更新，且对第一密钥进行第二密钥加密保护，且动态更新第一密钥的密钥密文在传输数据包中位置，可以实现对传输数据的多重保护，提升了数据被非法截获后的解密难度，更有效地保护数据资源的网络传输，防止恶意的网络数据截获破解加密数据，导致涉密数据泄漏问题。

可选地，本发明实施例中，第一密钥及第二密钥均可以定时更新，且第一密钥的更新周期小于第二密钥的更新周期，即第一密钥的更新频率高于第二密钥的更新周期，可以利用较小的更新频次，有效地保护数据资源的网络传输。

可选地，上述传输业务可以为点播传输业务，相应地，上述待传输数据可以为存储在服务器中供点播的视频会议录像等音视频数据；上述服务器与终端可以通过视联网等方式连接连接，则上述网络传输协议具体为视联网传输协议，上述终端则为视联网播放终端。

在上述应用场景中，在视联网播放终端请求点播音视频数据后，服务器基于第一密钥，将音视频数据帧加密为第一加密数据帧，然后根据作为点播业务的业务密钥的第二密钥，将音视频密钥加密为密钥密文并随机插入第一加密数据帧中，并组装为符合视联网传输协议的传输数据包，传输数据包的头部信息记录有所述密钥密文在所述第一加密数据帧中的位置信息；然后将传输数据包通过视联网发送至视联网终端，以供视联网终端根据位置信息及第二密钥，从传输数据包中获取第一密钥及第一加密数据帧，并基于第一密钥对第一加密数据帧进行解密播放。其中，上述第二密钥在服务器与视联网播放终端建立点播业务过程中进行约定，也即相应视联网播放终端可以知晓该第二密钥。

上述点播过程不仅对用于对音视频数据帧加密的第一密钥进行第二密钥加密保护，同时动态调整密钥密文的传输数据包位置，优化了加密传输数据包的结构定义，可以实现对出传输数据的双重保护，提升了数据被非法截获后的解密难度，有效保护了数据资源的网络传输。

参照图2，图2为本申请实施例的另一种数据传输方法的步骤流程图，该方法可以应用于终端，所述终端与服务器通过网络连接，所述方法具体可以包括如下步骤：

步骤201、在与服务器进行传输业务的过程中，接收所述服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息。

该步骤中，在传输流程发起后，接收服务器向终端发送的传输数据包；其中，在传输流程发起后，服务器先生成用于对传输数据加密的第一密钥，然后利用该第一密钥对被请求的待传输数据进行加密，生成加密后的待传输数据，即上述第一加密数据，然后按第二密钥对上述第一密钥进行加密，生成第一密钥的加密信息，也即上述密钥密文，再上述密钥密文随机插入第一加密数据中的任何一个位置，并记录插入位置信息，然后按照网络传输协议格式，组装当前待传输数据对应的传输数据包，并在该传输数据包的头部信息中记录上述密钥密文的位置信息，以便于终端查找该密钥密文。

其中，上述第一密钥可由服务器从密钥管理系统直接获取，上述密钥管理系统与该服务器通过互联网连接。

其中，在生成第一加密数据后，服务器按第二密钥对上述第一密钥进行加密，生成第一密钥的加密信息，也即上述密钥密文，可以防止因上述第一密钥泄露而造成传输数据的泄露。

其中，上述第二密钥在服务器与终端建立传输业务过程中进行约定，也即相应终端可以知晓该第二密钥。

步骤202、根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据。

该步骤中，因为在数据包的头部位置中记录了上述密钥密文的位置信息，因而该终端可以在接收到上述传输数据包后，按网络传输协议从中提取密钥密文以及第一加密数据。

步骤203、根据所述第二密钥对所述密钥密文解密，获取第一密钥。

该步骤中，根据预先约定的第二密钥，对该密钥密文解密获取第一密钥。

步骤204、基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

该步骤中，利用该第一密钥对第一加密数据进行解密，即可以获得解密后的原始数据。

本申请实施例提供的数据传输方法中，服务器基于第一密钥，将待传输数据加密为第一加密数据，然后基于传输业务的第二密钥，将第一密钥加密为密钥密文并随机插入第一加密数据中，组装为传输负载，传输负载的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；然后将传输负载发送至终端，终端则根据位置信息及第二密钥，从传输负载中获取第一密钥及第一加密数据，并基于第一密钥对第一加密数据进行解密，获得原始数据。上述点播过程不仅对第一密钥进行第二密钥加密保护，同时动态调整第一密钥密文的传输数据包位置，优化了加密传输数据包的结构定义，可以实现对传输数据的双重保护，提升了数据被非法截获后的解密难度，有效保护了数据资源的网络传输。

在实际应用中，上述传输业务可以点播传输业务，相应地，上述被请求待传输数据可以为存储在服务器中供点播的视频会议录像等音视频数据；上述服务器与终端可以通过视联网连接，则上述网络传输协议具体为视联网传输协议。

可选地，在一种实施方式中，在上述步骤201之前，本发明实施例所提供的数据传输方法，还包括步骤2011～步骤2012：

步骤2011、与所述服务器进行传输业务认证。

该步骤中，在传输流程发起后，终端对服务器进行传输认证，以确定服务器的身份。

步骤2012、在确定所述传输业务认证通过的情况下，执行接收服务器发送的传输数据包的步骤。

该步骤中，在传输业务认证通过的情况下，说明终端的身份得以确认，因而执行执行接收服务器发送的传输数据包的步骤。

该实施方式中，在接收服务器发送的传输数据包前，先对服务器进行传输认证，进一步保证了数据传输的安全。

可选地，在一种具体实施方式中，上述步骤2011包括步骤2021～步骤2026：

2021、接收所述服务器发送的包括加密信息的第一认证消息；其中，所述加密信息由所述服务器按所述对称密钥对所述第二密钥加密生成；所述第一认证消息还包括所述服务器的第一身份标识、所述第一身份标识与所述加密信息按预设算法运算生成的第一签名值；

2022、利用所述对称密钥对所述加密信息解密，获取所述第二密钥；

2023、根据所述第一身份标识与所述加密信息按预设算法运算生成的第二签名值；

2024、若所述第一签名值与所述第二签名值一致，则确定对所述服务器的第二传输认证结果为认证通过；

2025、根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第三标签值；

2026、向所述服务器反馈第二认证消息，所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了所述终端的第二身份标识及所述第三标签值。

上述步骤2021～步骤2026具体可参照上述步骤1021～步骤1023，在此不再赘述。

该实施方式中，在传输流程发起后，采用双向认证的方式，对服务器进行传输业务认证，并在双向认证通过后执行接收服务器发送的传输数据包，否则终止传输业务，进一步保证了数据传输安全，防止数据被恶意截取。

请参阅图3，示出了本申请实施例所提供的数据传输方法的交互流程图。

如图3所示，在传输业务发起后，由服务器向密钥管理系统获取第二密钥及第一密钥，并利用该第二密钥及第一密钥向终端发起会议记录文件等传输数据流的推送；

其中，在终端发起传输业务时，服务器与终端进行业务认证，并向终端发送加密保护的第二密钥；

在终端对服务器的传输业务认证通过后，继续处理加密的数据流，否则终止接收；

在服务器对终端的传输业务认证通过后，继续传输推送业务，并向终端发送加密的数据流，否则终止传输；

密钥管理系统根据第二密钥更新策略更新第二密钥，并将更新后的第二密钥发送至服务器，进而由服务器通过传输认证的方式向终端更新加密保护的第二密钥。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请实施例并不受所描述的动作顺序的限制，因为依据本申请实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本申请实施例所必须的。

参照图4，示出了本申请的一种数据传输装置实施例的结构框图，应用于服务器，所述装置包括：

第一加密模块401，用于在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据；

第二加密模块402，用于基于传输业务的第二密钥，将所述第一密钥加密为密钥密文；

组装模块403，用于将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

发送模块404，用于将所述传输数据包发送至所述终端。

在本申请的一种优选实施例中，所述组模块装包括402包括：

插入单元，用于将所述密钥密文随机插入所述第一加密数据中，生成第二加密数据；

第一确定单元，用于根据所述密钥密文及所述第二加密数据，确定所述传输数据包的头部信息；

组装单元，用于根据所述头部信息与所述第二加密数据，按网络传输协议组装所述传输数据包。

在本申请的一种优选实施例中，所述第一确定单元，包括：

第一确定子单元，用于确定所述密钥密文在所述第二加密数据中的位置信息；

第二确定子单元，用于根据所述位置信息及所述第二加密数据的总长度信息，确定所述传输数据包的头部信息。

在本申请的一种优选实施例中，所述装置还包括：

第一密钥更新模块，用于响应于第一密钥更新的第一触发信息，对所述第一密钥进行更新。

在本申请的一种优选实施例中，所述装置还包括：

第一认证模块，用于在基于第一密钥，将待传输数据加密为第一加密数据之前，与所述终端进行传输业务认证；

向所述终端发送包括加密信息的第一认证消息，以与所述终端进行传输业务认证；其中，所述加密信息由所述第二密钥按所述对称密钥加密生成；

第一执行模块，用于在确定所述传输业务认证通过的情况下，执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

在本申请的一种优选实施例中，所述第一认证模块包括：

第一发送单元，用于向所述终端发送包括加密信息及所述服务器的第一身份标识的第一认证消息，以对所述终端进行所述第一传输认证；其中，所述加密信息由所述第二密钥按所述对称密钥加密生成；

第一接收单元，用于接收所述终端针对所述第一认证消息反馈的第二认证消息；所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了供所述服务器对终端进行第二传输认证所需的第二身份标识及第三标签值；

第二确定单元，用于根据所述第二认证消息，确定传输业务认证结果。

在本申请的一种优选实施例中，所述第二确定单元包括：

运算子单元，用于根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第四签名值；

第三确定子单元，用于在所述第四签名值与所述第三签名值一致的情况下，确定对所述终端的第一传输认证结果为认证通过；

第四确定子单元，用于在所述第一传输认证结果为认证通过，且所述第二传输认证结果为认证通过的情况下，确定所述传输业务认证通过。

在本申请的一种优选实施例中，所述装置还包括：

第二密钥更新模块，用于响应于第二密钥更新的第二触发信息，对所述传输业务的第二密钥进行更新，并执行向所述终端发送包括加密信息的第一认证消息的步骤。

参照图5，示出了本申请的另一种数据传输装置实施例的结构框图，应用于终端，所述装置包括：

接收模块501，用于在与服务器进行传输业务的过程中，接收所述服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

获取模块502，用于根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据；

第一解密模块503，用于根据所述第二密钥对所述密钥密文解密，获取第一密钥；

第二解密模块504，用于基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

在本申请的一种优选实施例中，所述装置还包括：

第二认证模块，用于在接收服务器发送的传输数据包之前，与所述服务器进行传输业务认证；

第二执行模块，用于在确定所述传输业务认证通过的情况下，执行接收服务器发送的传输数据包的步骤。

在本申请的一种优选实施例中，所述第二认证模块包括：

第二接收单元，用于接收所述服务器发送的包括加密信息的第一认证消息；其中，所述加密信息由所述服务器按所述对称密钥对所述第二密钥加密生成；所述第一认证消息还包括所述服务器的第一身份标识、所述第一身份标识与所述加密信息按预设算法运算生成的第一签名值；

获取单元，用于利用所述对称密钥对所述加密信息解密，获取所述第二密钥；

第一运算单元，用于根据所述第一身份标识与所述加密信息按预设算法运算生成的第二签名值；

第三确定单元，用于若所述第一签名值与所述第二签名值一致，则确定对所述服务器的第二传输认证结果为认证通过；

第二运算单元，用于根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第三标签值；

第二发送单元，用于向所述服务器反馈第二认证消息，所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了所述终端的第二身份标识及所述第三标签值。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

可选地，如图6所示，本申请实施例还提供一种电子设备600，包括处理器601，存储器602，存储在存储器602上并可在所述处理器601上运行的程序或指令，该程序或指令被处理器601执行时实现上述数据传输方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

需要说明的是，本申请实施例中的电子设备包括上述所述的移动电子设备和非移动电子设备。

本申请实施例还提供一种可读存储介质，所述可读存储介质上存储有程序或指令，该程序或指令被处理器执行时实现上述数据传输方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

其中，所述处理器为上述实施例中所述的电子设备中的处理器。所述可读存储介质，包括计算机可读存储介质，如计算机只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。

本申请实施例另提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现上述数据传输方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

应理解，本申请实施例提到的芯片还可以称为系统级芯片、系统芯片、芯片系统或片上系统芯片等。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以基于此示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本申请实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本申请实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请实施例是参照根据本申请实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本申请所提供的一种数据传输方法及装置，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (14)

1.一种数据传输方法，其特征在于，所述方法应用于服务器，所述方法包括：

在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据；

基于第二密钥，将所述第一密钥加密为密钥密文；

将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

将所述传输数据包发送至所述终端。

2.根据权利要求1所述的数据传输方法，其特征在于，将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，包括：

将所述密钥密文随机插入所述第一加密数据中，生成第二加密数据；

根据所述密钥密文及所述第二加密数据，确定所述传输数据包的头部信息；

根据所述头部信息与所述第二加密数据，按网络传输协议组装所述传输数据包。

3.根据权利要求1所述的数据传输方法，其特征在于，所述方法还包括：

响应于第一密钥更新的第一触发信息，对所述第一密钥进行更新。

4.根据权利要求1所述的数据传输方法，其特征在于，在基于第一密钥，将待传输数据加密为第一加密数据之前，所述方法还包括：

与所述终端进行传输业务认证；

在确定所述传输业务认证通过的情况下，执行基于第一密钥，将待传输数据加密为第一加密数据的步骤。

5.根据权利要求4所述的数据传输方法，其特征在于，对所述终端进行传输业务认证，包括：

向所述终端发送包括加密信息及所述服务器的第一身份标识的第一认证消息，以对所述终端进行所述第一传输认证；其中，所述加密信息由所述第二密钥按所述对称密钥加密生成；

接收所述终端针对所述第一认证消息反馈的第二认证消息；所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了供所述服务器对终端进行第二传输认证所需的第二身份标识及第三标签值；

根据所述第二认证消息，确定传输业务认证结果。

6.根据权利要求5所述的数据传输方法，其特征在于，根据所述终端反馈的第二认证消息，确定传输业务认证结果，包括：

根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第四签名值；

在所述第四签名值与所述第三签名值一致的情况下，确定对所述终端的第一传输认证结果为认证通过；

在所述第一传输认证结果为认证通过，且所述第二传输认证结果为认证通过的情况下，确定所述传输业务认证通过。

7.根据权利要求5所述的数据传输方法，其特征在于，所述方法还包括：

响应于第二密钥更新的第二触发信息，对所述传输业务的第二密钥进行更新，并执行向所述终端发送包括加密信息的第一认证消息的步骤。

8.一种数据传输方法，其特征在于，所述方法应用于终端，所述方法包括：

在与服务器进行传输业务的过程中，接收所述服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据；

根据所述第二密钥对所述密钥密文解密，获取第一密钥；

基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

9.根据权利要求8所述的数据传输方法，其特征在于，在接收服务器发送的传输数据包之前，所述方法还包括：

与所述服务器进行传输业务认证；

在确定所述传输业务认证通过的情况下，执行接收服务器发送的传输数据包的步骤。

10.根据权利要求9所述的数据传输方法，其特征在于，与所述服务器进行传输业务认证，包括：

接收所述服务器发送的包括加密信息的第一认证消息；其中，所述加密信息由所述服务器按所述对称密钥对所述第二密钥加密生成；所述第一认证消息还包括所述服务器的第一身份标识、所述第一身份标识与所述加密信息按预设算法运算生成的第一签名值；

利用所述对称密钥对所述加密信息解密，获取所述第二密钥；

根据所述第一身份标识与所述加密信息按预设算法运算生成的第二签名值；

若所述第一签名值与所述第二签名值一致，则确定对所述服务器的第二传输认证结果为认证通过；

根据所述第二身份标识与所述加密信息，按所述预设算法运算生成第三标签值；

向所述服务器反馈第二认证消息，所述第二认证消息包括所述终端对所述服务器的第二传输认证情况，且携带了所述终端的第二身份标识及所述第三标签值。

11.一种数据传输装置，其特征在于，应用于服务器，所述装置包括：

第一加密模块，用于在与终端进行传输业务的过程中，基于第一密钥，将待传输数据加密为第一加密数据；

第二加密模块，用于基于传输业务的第二密钥，将所述第一密钥加密为密钥密文；

组装模块，用于将所述密钥密文随机插入所述第一加密数据中，组装为传输数据包，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

发送模块，用于将所述传输数据包发送至所述终端。

12.一种数据传输装置，其特征在于，应用于终端，所述装置包括：

接收模块，用于在与服务器进行传输业务的过程中，接收所述服务器发送的传输数据包；所述传输数据包包括头部信息及第一加密数据，所述传输数据包的头部信息记录有所述密钥密文在所述第一加密数据中的位置信息；

获取模块，用于根据位置信息，从所述传输数据包中获取所述密钥密文及所述第一加密数据；

第一解密模块，用于根据所述第二密钥对所述密钥密文解密，获取第一密钥；

第二解密模块，用于基于所述第一密钥对所述第一加密数据进行解密，获得原始数据。

13.一种电子设备，其特征在于，包括处理器，存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求1-10任一项所述的数据传输方法的步骤。

14.一种可读存储介质，其特征在于，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如权利要求1-10任一项所述的数据传输方法的步骤。

Images