CN115913618A - 基于混合加密的保障tcp通信安全方法、介质及终端 - Google Patents

Abstract

本发明实施例提供了一种基于混合加密的保障TCP通信安全方法、介质及终端，所述方法包括：第一终端向第二终端请求连接，接收第二终端发送的第一认证信息，第一认证信息通过预设封装格式进行封装；根据第一认证信息对第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至第二终端，以供第二终端对第一终端进行安全认证；若双向安全认证成功，则将数据包发送至第二终端，数据包通过预设封装格式进行封装生成。本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，再通过将待发送数据按照预设封装格式封装成数据包，大大增强破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。

Description

基于混合加密的保障TCP通信安全方法、介质及终端

技术领域

本发明设涉及领域计算机网络通信安全技术，尤其涉及一种基于混合加密的保障TCP通信安全方法、介质及终端。

背景技术

上世纪70年代，随着计算机技术的发展，计算机使用者意识到要想发挥计算机更大的作用，就要将世界各地的计算机连接起来。但是简单的连接是远远不够的，因为计算机之间无法沟通。因此设计一种通用的“语言”来交流是必要可少的，这时TCP协议就应运而生了。

但随着TCP协议的广泛应用，TCP协议在应用时存在的问题也逐渐暴露，恶意开发者可以通过截取TCP报文，破译/伪造数据进行虚假通信，这不仅破坏了TCP通信数据的安全，更重要的是会对用户造成巨大的损失，因此实际使用中如何保障TCP通信数据的安全显得尤为重要。根据上述问题，需要提供一种能够加密自定义TCP数据报文的方法。

发明内容

针对存在的问题，本发明实施例提供了一种基于混合加密的保障TCP通信安全方法、介质及终端，可以保障TCP通信数据的安全。

第一方面，本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，应用于第一终端，包括：

向第二终端请求连接，接收所述第二终端发送的第一认证信息，所述第一认证信息通过预设封装格式进行封装；

根据所述第一认证信息对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式；

若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装。

第二方面，本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，应用于第二终端，包括：

监听到第一终端的连接请求后，将第一认证信息发送至所述第一终端，以供所述第一终端对所述第二终端进行安全认证；所述第一认证信息通过预设封装格式进行封装；

接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证；

若双向安全认证成功，则接收所述第一终端发送的数据包，所述数据包通过所述预设封装格式进行封装。

第三方面，本发明实施例提供一种计算机可读存储介质，其上存储有计算机程序，上述计算机程序被处理器执行时实现上述第一个方面或第二个方面所述的方法步骤。

第四方面，本发明实施例提供一种终端，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述第一个方面或第二个方面所述的方法步骤。

本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，当两个终端有通信需求时，首先第一终端向第二终端请求连接，当第二终端监听到第一终端的连接请求后，将第一认证信息发送至第一终端；第一终端接收到第一认证信息后，对第二终端进行安全认证，若安全认证成功，则生成第二认证信息发送至第二终端；第二终端接收到第二认证信息后，对第一终端进行安全认证，若安全认证成功，则双向安全认证成功，双方可以进行数据通信。第一终端将待发送数据按照预设封装格式封装成数据包，将数据包发送至第二终端。通过以上处理，本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，避免将数据发送给恶意终端。其次，通过将待发送数据按照预设封装格式封装成数据包，大大增强了破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。同时，预设封装格式可以替代SSL中的证书的作用，使得终端在不用额外部署第三方证书的情况下同样可以安全地使用密码技术，不仅节约了成本也可在资源受限的场景中使用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种基于混合加密的保障TCP通信安全方法第一终端流程示意图；

图2为本发明实施例提供的一种安全认证第一终端流程示意图；

图3为本发明实施例提供的一种数据包生成发送流程示意图；

图4为本发明实施例提供的一种基于混合加密的保障TCP通信安全方法第二终端流程示意图；

图5为本发明实施例提供的一种认证信息生成第二终端流程示意图；

图6为本发明实施例提供的一种安全认证第二终端流程示意图；

图7为本发明实施例提供的一种双向安全认证流程示意图；

图8为本发明实施例提供的一种数据包接收解密第二终端流程示意图；

图9为本发明实施例提供的一种数据包传输流程示意图；

图10为本发明实施例提供的一种基于混合加密的保障TCP通信安全方法交互图；

图11为本发明实施例提供的一种终端的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请的描述中，需要理解的是，术语“第一”和“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本申请中的具体含义。

图1为本发明实施例提供的一种基于混合加密的保障TCP通信安全方法第一终端流程示意图。如图1所示的基于混合加密的保障TCP通信安全方法，应用于第一终端，包括：

S101，向第二终端请求连接，接收所述第二终端发送的第一认证信息，所述第一认证信息通过预设封装格式进行封装；

S102，根据所述第一认证信息对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式；

S103，若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装。

当两个终端在进行TCP通信时，恶意开发者可以通过截取TCP通信信息，破译/伪造数据进行通信，破坏TCP通信数据的安全，损害用户的利益。而确保两个终端之间的通信安全，首先需要确保连接的终端为正确的终端，因此，本发明实施例在两个终端正式进行TCP通信之前，先进行双向安全认证，当双向安全认证成功，确保双方连接的为正确终端后，才能正式进行两个终端之间的数据传输。

本发明实施例所述第一终端与第二终端是互相通信的两个终端，可以是任意客户端与服务端，或者任意发送终端与接收终端。例如，当第一终端为客户端时，第二终端为服务端；当第一终端为服务端时，则第二终端为客户端。第一终端发送数据时为发送终端，第一终端接收数据时为接收终端；同理，第二终端发送数据时为发送终端，第二终端接收数据时为接收终端。

第一认证信息和第二认证信息为两个终端进行双向安全认证时发送的数据，它们具有相同的数据格式；数据包为两个终端进行正式通信时发送的数据，与第一认证信息和第二认证信息也具有相同的数据格式。

当两个终端有通信需求时，首先第一终端向第二终端请求连接，当第二终端监听到第一终端的连接请求后，将第一认证信息发送至第一终端；第一终端接收到第一认证信息后，对第二终端进行安全认证，若安全认证成功，则生成第二认证信息发送至第二终端；第二终端接收到第二认证信息后，对第一终端进行安全认证，若安全认证成功，则双向安全认证成功，双方可以进行数据通信。

此过程中，任一环节不成功，则两个终端之间的连接无法建立。例如，若第一终端接收第一认证信息后，对第二终端安全认证失败，则两个终端的连接断开，第一终端需重新向第二终端请求连接，进行安全认证。同理，若第二终端接收第二认证信息后，对第一终端安全认证失败，则两个终端的连接断开，第一终端需重新向第二终端请求连接，进行安全认证。只有当第一终端对第二终端的安全认证和第二终端对第一终端的安全认证均成功后，才代表双向安全认证成功，由于安全认证过程及其短暂，第一终端向第二终端请求连接后在极为短暂的时间内连接未断开，则说明双向安全认证成功，可以正式进行数据通信

双向安全认证成功后，第一终端将待发送数据按照预设封装格式封装成数据包，将数据包发送至第二终端。通过以上处理，本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，避免将数据发送给恶意终端。其次，通过将待发送数据按照预设封装格式封装成数据包，大大增强了破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。

本发明实施例中预设封装格式为自定义报文格式。采用自定义报文格式可以不使用SSL中的证书，即可以替代SSL中的证书的作用，使得终端在不用额外部署第三方证书的情况下同样可以安全地使用密码技术，不仅节约了成本也可在资源受限的场景中使用。

当第一终端和第二终端进行TCP通信时，虽然发送终端可以单独发送每条数据，但接收终端接收的数据为一个整体的流状数据，并不能准确的提取每条数据，因此导致TCP数据在传输过程中容易出现粘包现象。除了可以替代SSL中证书、节约成本等，预设封装格式还可以解决粘包问题，因此本发明实施例中的第一认证信息、第二认证信息和数据包均通过预设封装格式进行封装，具体数据格式请参考表1。

表1

由上表可知，预设封装格式包括数据头、密钥区和数据区，其中数据头又包括唯一标识符、命令类型、密钥区长度和数据区长度；密钥区用于存放签名密文或密钥密文；数据区用于存放数据密文。可选地，数据头还可包括保留字节，以供未来进行数据扩展。请参考表1，为了方便下文描述，以上各数据类型的存储区分别标示为D1、D2、D3、D4、D5、D6和D7。

预设封装格式的定义方法因人而异，可根据需求自由变换。同样的，预设封装格式中各数据类型的存储区也是示意性，若对各数据类型的存储区进行调整，依然可以识别各数据类型，仍在本发明实施例的保护范围内。下面以表1的数据格式对每个数据类型进行示例性的说明。

可选地，唯一标识符用于确定发送终端是否为正确的终端以及确定数据的起始位置；命令类型用于接收终端区分数据为认证信息还是数据包；密钥区长度用于描述签名密文或密钥密文的长度；数据区长度用于描述数据密文的长度；保留字节可为空白字节或自由设置，此处不作限定。

可选地，唯一标识符可存放在D1，并设定为固定长度d1；命令类型可存放在D2，并设定为固定长度d2；密钥区长度可存放在D3，并设定为固定长度d3；数据区长度可存放在D4，并设定为固定长度d4；保留字节可存放在D5，并设定为固定长度d5；则数据头为固定长度d1+d2+d3+d4+d5，可设为E。固定长度d1、d2、d3、d4和d5可自由设定，此处不作限定。

可选地，当第一终端与第二终端进行TCP通信时，接收终端每次获取长度为E字节的数据，由于两个终端之间的通信数据可能会被第三方篡改，导致获取的长度为E字节的数据中有其他数据，因此判断获取的长度为E字节的数据中是否包含设定的唯一标识符，若存在，则说明有预设封装格式的数据需要接收，并根据设定的唯一标识符定位该条预设封装格式数据的起始位置。由于数据头位于整体数据的头部，并且数据头为固定长度E，因此接收终端首先根据起始位置获取固定长度E的数据，即数据头。

可选地，本发明实施例中，第一终端与第二终端之间传输的数据类型可分为认证信息和数据包，认证信息为两个终端进行双向安全认证时发送的数据，数据包为两个终端进行正式通信时发送的数据。而只有当两个终端之间的双向安全认证成功后，才能进行正式通信，因此需要区分安全认证信息和数据包。由于认证信息和数据包均为预设封装格式，当接收终端通过设定的唯一标识符识别到有数据需要接收时，为了区分该条数据的类型，在数据头的D2中设置命令类型，将认证信息的命令类型和数据包的命令类型设置为不同类型，以便接收终端识别。

可选地，当接收终端识别接收数据的类型后，可根据设定的唯一标识符定位的起始位置和数据头的固定长度E，定位密钥区的位置，获取密钥区数据和数据区数据。为便于接收终端能准确获取密钥区数据和数据区数据，在数据头的D3中设置密钥区长度表示存放于密钥区数据的长度，在数据头的D4中设置数据区长度表示存放于数据区数据的长度。

可选地，接收终端获取起始位置、密钥区长度和数据区长度后，可结合起始位置、数据头长度E定位密钥区的位置，然后根据密钥区长度准确获取存放于密钥区的数据，再根据数据区长度准确获取存放于数据区的数据。

可选地，由前文可知，认证信息是用于对第一终端和第二终端进行双向安全认证，并不是正式的数据传输，没有具体数据需要传输，因此认证信息中的密钥区存放的为签名密文，数据区无数据。当正式进行数据传输时，数据包中的密钥区存放的为密钥密文，数据区存放的为数据密文。

本发明实施例将每条数据通过预设封装格式进行封装，当接收终端识别到设定的唯一标识符时，表示有一条数据需要接收，同时根据设定的唯一标识符定位了该条数据的起始位置。获取该条数据的数据头后，得到了该条数据的密钥区长度和数据区长度。根据起始位置和数据头的固定长度E可定位密钥区的位置，再根据密钥区长度和数据区长度分别获取存放于密钥区的数据和存放于数据区的数据，此种方法不仅能快速准确获取每条数据，同时解决了TCP数据在传输过程中容易出现的粘包现象。

基于上述任一可选实施例，步骤S102，根据所述第一认证信息对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式。

本发明实施例中，第一终端接收到第二终端发送的第一认证信息后，利用第一认证信息对第二终端进行安全认证，确保连接的第二终端为正确的第二终端。具体安全认证过程可参考图2，图2为本发明实施例提供的一种安全认证第一终端流程示意图。

S102.1，获取所述第一认证信息的数据头，根据所述数据头中的唯一标识符、密钥区长度获取存放于密钥区的第一签名密文。

本发明实施例中，由于第一认证信息为接收终端接收的第一条数据，因此接收终端可以直接获取第一认证信息的数据头，当第一终端读取固定长度为E的第一认证信息的数据头后，对数据头进行拆解后获取设定的唯一标识符、命令类型、密钥区长度、数据区长度。

具体地，当第一终端获取设定的唯一标识符后，可根据起始位置，加上数据头的固定长度E得到密钥区的位置。再根据密钥区长度获取第一认证信息存放于密钥区的数据，即第一签名密文。

S102.2，若所述数据头中的命令类型为预设类型，则利用预存的第二终端公钥对所述第一签名密文进行签名认证，若签名认证成功，则生成第二认证信息发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；

S102.3，所述第二认证信息中的唯一标识符和命令类型与所述第一认证信息中的唯一标识符和命令类型保持一致。

本发明实施例中，第一终端和第二终端双向安全认证成功后，才能正式进行数据传输，为了接收终端能够区分认证信息和数据包，在数据头中设置命令类型，以便接收终端识别。因此，可将认证信息中的命令类型预设为一个固定的命令类型，便于接收终端识别首先接收的信息是否为认证信息。预设的命令类型可自由设置，如握手认证，此处不作限定。

可选地，获取第一认证信息数据头中的命令类型后，判断该命令类型是否为预设类型，若不是，则断开连接，连接断开后，第一终端和第二终端的TCP底层会自动感知连接已断开，此过程极为短暂。此时，第一终端需要重新向第二终端请求连接，进行安全认证，具体步骤如S101至S102.3所述，此处不再赘述。若命令类型为预设类型，则利用第一终端预存的第二终端公钥对所述第一签名密文进行签名认证，若签名认证失败，则第一终端与第二终端断开连接，第一终端需要重新向第二终端请求连接，进行安全认证，具体步骤如S101至S102.3所述，此处不再赘述。若签名认证成功，则第一终端生成与第一认证信息格式相同的第二认证信息发送至第二终端，以供第二终端对第一终端进行安全认证。其中，第二认证信息中的唯一标识符和命令类型与第一认证信息中的唯一标识符和命令类型保持一致。

可选地，获取第一认证信息的唯一标识符、命令类型，利用第一终端预存的第一终端私钥对指定字符串进行签名得到第二签名密文，将唯一标识符、命令类型和第二签名密文根据预设封装格式进行封装，得到第二认证信息，将第二认证信息发送至第二终端，以供第二终端对第一终端进行安全认证。通过双向安全认证，确定连接的终端是否为正确的终端后，才进行正式的数据传输，提高了数据通信的安全性。

可选地，为进一步保障密钥的安全性，终端在存储密钥时可对密钥做一定的变换处理，由于公钥是对外开发，因此可以对私钥进行变换存储，可将私钥划分为几部分，具体划分方式可为等分或不等分，此处不作限定。对每一部分进行变换处理，每部分的变换处理方式可相同或不同，此处不作限定。当第一终端需要使用第一终端私钥时可根据变换处理方式反向解析得到第一终端私钥。

在一种可选的实施例中，如第一终端在存储第一终端私钥时，可将第一终端私钥分成四部分，第一部分进行前后对称变换，第二部分使用指定的对称密钥加密，第三部分不变，第四部分进行base64编码。

基于上述任一可选实施例，步骤S103，若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装。

本发明实施例中，由步骤S102.2、步骤S102.3可知，第一终端对第一认证信息安全认证成功后，会生成第二认证信息发送至第二终端，以供第二终端对第一终端进行安全认证，而若安全认证失败，第一终端与第二终端会断开连接，第一终端需要重新向第二终端请求连接，进行安全认证。因此，只有第一终端与第二终端的双向安全认证成功后，才能正式进行数据通信，由于安全认证过程及其短暂，第一终端向第二终端请求连接后在极为短暂的时间内连接未断开，则说明双向认证成功，可以正式进行数据通信。双向认证成功后，第一终端将待发送数据按照预设封装格式进行封装生成数据包，再将数据包发送至第二终端。数据包的具体生成过程可参考图3，图3为本发明实施例提供的一种数据包生成发送流程示意图。

S103.1，生成数据密钥，利用所述数据密钥加密明文数据，得到数据密文。

本发明实施例中，在第一终端和第二终端进行通信时，待发送的明文数据可能为大量数据，为了提升加密速度，首先采用对称加密算法对明文数据进行加密，例如AES加密算法、DES加密算法或SM4国密算法等，具体的对称加密算法可以自由设定，此处不作限定。根据设定的对称加密算法，生成对应的数据密钥，生成方式可以自由设定，如每次随机生成或指定一个数据密钥，此处不作限定。利用生成的数据密钥加密明文数据，得到数据密文。

S103.2，利用预存的第二终端公钥加密所述数据密钥，得到密钥密文。

本发明实施例中，利用数据密钥加密明文数据而得到数据密文后，由于数据密钥为对称加密算法密钥，即加解密的密钥相同，容易被破解获取。因此，为了进一步提高数据传输的安全性，再利用非对称加密算法对数据密钥进行加密，非对称加密算法的密钥为一对密钥，分别为公钥和私钥，其中公钥和私钥为不同密钥，当利用公钥对数据进行加密时，只有用对应的私钥才能进行解密，而当利用私钥对数据进行加密时，只有用对应的公钥才能进行解密。本发明实施例的非对称加密算法可以自由设定，例如RSA加密算法、SM2国密算法等，此处不作限定。

可选地，设定非对称加密算法后，可设置对应的密钥对，具体密钥对可自由设置，此处不做限定。由于第一终端与第二终端的通信有两个终端，因此需设置两对不同的密钥对，分别为第一终端密钥对和第二终端密钥对。第一终端与第二终端双方进行通信时，一端发送数据，一端接收数据，为了保障两对密钥对的安全，不被恶意开发者获取，让第一终端与第二终端分别预存对方的公钥和自己的私钥。当第一终端发送数据时，可利用第二终端公钥对数据密钥进行加密，第二终端接收数据后，利用对应的第二终端私钥对数据密钥进行解密。这样即使恶意开发者伪装成通信中的某一方或截取通信数据，也无法对通信数据进行破解，提高了数据传输的安全性。

S103.3，根据所述预设封装格式，生成数据头，将所述数据头、所述密钥密文和所述数据密文进行封装，得到所述数据包；所述数据包中的唯一标识符与所述第一认证信息中的唯一标识符保持一致；

S103.4，将所述数据包发送至所述第二终端。

本发明实施例中，得到数据密文和密钥密文后，先生成数据头，然后将数据头、密钥密文和数据密文根据预设封装格式进行封装，得到数据包。其中，数据头中的唯一标识符与第一认证信息中唯一标识符保持一致；由上文可知，为了接收终端能够区分认证信息和数据包，将认证信息的命令类型和数据包的命令类型设置为不同类型，而本发明实施例将认证信息中的命令类型预设为一个固定的命令类型，因此数据包中的命令类型为除认证信息预设的固定命令类型以外的其他类型，具体类型可自由设定，此处不作限定。将唯一标识符、命令类型、密钥区长度、数据区长度和保留字节存入数据头中对应的位置，将密钥密文存入密钥区，将数据密文存入数据区，然后将数据头、密钥区和数据区进行封装得到数据包，然后将数据包发送至第二终端。

根据上述任一可选实施例，在双向安全认证成功之后，数据包发送之前，为了保障数据传输的安全，还可生成新的密钥替换第一终端原先预存的第一终端私钥和第二终端公钥，具体包括：

本发明实施例中，双向安全认证成功后，接收第二终端发送的第一密钥信息，由于第一密钥信息也是通过预设封装格式进行封装，因此可首先获取唯一标识符，并根据唯一标识符定位第一密钥信息的起始位置，然后读取固定长度为E的第一密钥信息的数据头，对数据头进行拆解后获取设定的唯一标识符、命令类型、密钥区长度、数据区长度。

可选地，获取数据头信息后，首先判断命令类型是否为预设的密钥信息命令类型，若是，则根据密钥区长度获取密钥区数据，即第一密钥密文，利用第一终端原先预存的第一终端私钥解密得到新第二终端公钥。并生成与第一密钥信息格式相同的第二密钥信息发送至第二终端，其中，第二密钥信息中的唯一标识符和命令类型与第一密钥信息中的唯一标识符和命令类型保持一致。若不是，则丢弃此条数据。

可选地，获取第一密钥信息的唯一标识符、命令类型，利用原先预存的第一终端私钥+时间戳，通过密钥生成函数生成新第一终端私钥，并根据新第一终端私钥计算出对应的新第一终端公钥，利用原先预存的第二终端公钥对新第一终端公钥进行加密得到第二密钥密文。将唯一标识符、命令类型和第二密钥密文根据预设封装格式进行封装，得到第二密钥信息，将第二密钥信息发送至第二终端。

本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，应用于第一终端：当两个终端有通信需求时，首先第一终端向第二终端请求连接，并接收第二终端发送的第一认证信息后，对第二终端进行安全认证，若安全认证成功，则生成第二认证信息发送至第二终端，以供第二终端对第一终端进行安全认证；若双向安全认证成功，则双方可以进行数据通信。第一终端将待发送数据进行混合加密后，按照预设封装格式封装成数据包，将数据包发送至第二终端。通过以上处理，本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，避免将数据发送给恶意终端。其次，通过将明文数据按照预设封装格式封装成数据包，能够有效准确获取完整数据包，完美解决粘包问题，通过对明文数据进行混合加密传输大大增强破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。同时，采用自定义报文格式的预设封装格式可以不使用SSL中的证书，即可以替代SSL中的证书的作用，使得终端在不用额外部署第三方证书的情况下同样可以安全地使用密码技术，不仅节约了成本也可在资源受限的场景中使用。

图4为本发明实施例提供的一种基于混合加密的保障TCP通信安全方法第二终端流程示意图。如图4所示的基于混合加密的保障TCP通信安全方法，应用于第二终端，包括：

S201，监听到第一终端的连接请求后，将第一认证信息发送至所述第一终端，以供所述第一终端对所述第二终端进行安全认证；所述第一认证信息通过预设封装格式进行封装；

S202，接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证；

S203，若双向安全认证成功，则接收所述第一终端发送的数据包，所述数据包通过所述预设封装格式进行封装。

本发明实施例中，当第二终端监听到第一终端的连接请求后，生成第一认证信息发送至第一终端，以供第一终端对第二终端进行安全认证，其中，第一认证信息通过预设封装格式进行封装。预设封装格式的具体数据格式请参考表1，以及下述第二终端与第一终端的所有通信过程、处理细节及所达到的效果，请参考第一终端部分的描述，此处不再赘述。第一认证信息的生成过程可参考图5，图5为本发明实施例提供的一种认证信息生成第二终端流程示意图。

S201.1，生成唯一标识符，确定命令类型为预设类型。

本发明实施例中，为了便于接收终端识别到有数据需要接收并定位每条数据的起始位置，生成唯一标识符存放于数据头中的D1，以便接收终端最先识别唯一标识符。所述唯一标识符可以是随机生成或自己设定，具体生成方式此处不作限定，但唯一标识符设定后则不再更改，即本发明实施例中所述的所有唯一标识符均为同一唯一标识符。根据前文可知，为了区分认证信息和数据包，设置命令类型存放于数据头中D2，其中认证信息的命令类型为预设类型，如握手认证等，此处不作限定。

S201.2，利用预存的第二终端私钥对指定字符串进行签名，得到第一签名密文。

本发明实施例中，签名密文均由数字签名生成，而数字签名由数字摘要和非对称加密算法组成，首先对指定字符串进行摘要算法得到固定长度的摘要信息，该指定字符串可自由设定，此处不作限定，并且第一终端和第二终端同时存有该指定字符串。然后用第二终端私钥加密摘要信息即可得到第一签名密文。第一终端接收到第一签名密文后，用第二终端公钥解密第一签名密文得到摘要信息，利用摘要算法提取预存指定字符串的摘要信息后与解密第一签名密文后的摘要信息进行比对，如果相同则安全认证成功，如果不同则安全认证失败。

S201.3，根据所述预设封装格式，生成数据头，将所述数据头、所述第一签名密文进行封装，得到所述第一认证信息。

根据步骤S201.1设定的唯一标识符和命令类型，以及第一签名密文的长度，将设定的唯一标识符存入数据头D1，预设类型存入数据头D2，将第一签名密文的长度即密钥区长度存入数据头D3，由于第一认证信息没有进行数据传输，所以数据区长度为0，结合保留字节生成数据头。然后将第一签名密文存入密钥区，数据区无数据。然后将数据头、密钥区和数据区按照预设封装格式进行封装，得到第一认证信息。然后将第一认证信息发送至第一终端，以供第一终端对第二终端进行安全认证。

基于上述任一可选实施例，步骤S202，接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证。

本发明实施例中，第一终端利用第一认证信息对第二终端安全认证成功后，会生成第二认证信息发送至第二终端，以供第二终端对第一终端进行安全认证，并且第二认证信息与第一认证信息具有相同的格式。因此，第二终端会接收到第一终端发送的第二认证信息，并根据第二认证信息对第一终端进行安全认证。具体安全认证过程可参考图6，图6为本发明实施例提供的一种安全认证第二终端流程示意图。

S202.1，获取所述第二认证信息的数据头，根据所述唯一标识符确认第一终端。

本发明实施例中，当第二认证信息由第一终端传输到第二终端时，根据前文所述的终端之间的通信方式，第二终端首先识别到唯一标识符，即每读取固定长度E的数据后，判断该数据中是否包含设定的唯一标识符，若包含，则说明该数据为第一终端发送的第二认证信息，并根据唯一标识符定位第二认证信息的起始位置。然后读取固定长度E的数据，即第二认证信息的数据头，对数据头进行拆解后获取唯一标识符、命令类型、密钥区长度、数据区长度。若不包含，则不进行数据获取。

S202.2，根据所述密钥区长度获取存放于密钥区的第二签名密文。

本发明实施例中，当第二终端获取唯一标识符后，同时定位了第二认证信息的起始位置，由于第二认证信息的数据头为固定长度，可根据起始位置，加上数据头的固定长度E得到密钥区的位置。再根据第二认证信息中的密钥区长度获取第二认证信息存放于密钥区的数据，即第二签名密文。

S202.3，若所述数据头中的命令类型为预设类型，则利用预存的第一终端公钥对所述第二签名密文进行签名认证，若签名认证成功，则所述双向安全认证成功。

本发明实施例中，当第二终端接收到第二认证信息后，进一步确定该第二认证信息是否为第一终端发送。首先判断数据头中的命令类型是否为预设类型，若不是，则断开连接，第一终端需要重新向第二终端请求连接，进行安全认证，具体步骤如S101至S202.3所述，此处不再赘述。若命令类型为预设类型，则利用第二终端预存的第一终端公钥对所述第二签名密文进行签名认证，具体签名认证步骤如S201.2，此处不再赘述。若签名认证成功，则说明第二终端对第一终端的安全认证成功。此时双向安全认证成功，第一终端和第二终端之间可以进行正式的数据传输。若签名认证失败，则断开连接，第一终端需要重新向第二终端请求连接，进行安全认证，具体步骤如S101至S202.3所述，此处不再赘述。

图7所示的双向安全认证流程图对应于图2所示的安全认证第一终端流程、图5所示的认证信息生成第二终端流程与图6所示的安全认证第二终端流程，每个步骤的具体实施方法请参考步骤S101至步骤S202的描述，此处不再赘述。

基于上述任一可选实施例，步骤S203，若双向安全认证成功，则接收所述第一终端发送的数据包。

本发明实施例中，上述第二终端对第一终端的安全认证成功后，则第一终端于第二终端之间的双向安全认证成功，两者之间可以进行正式的数据传输，因此第二终端可以接收第一终端发送的数据包。具体接收过程可参考图8，图8为本发明实施例提供的一种数据包接收解密第二终端流程示意图。

S203.1，获取所述数据包的数据头，根据所述唯一标识符确认第一终端。

本发明实施例中，当数据包由第一终端传输到第二终端时，根据前文所述的终端之间的通信方式，第二终端首先识别到唯一标识符，即每读取固定长度E的数据后，判断该数据中是否包含设定的唯一标识符，若包含，则说明有由第一终端发送的数据包需要接收，并根据唯一标识符定位数据包的起始位置。然后读取固定长度E的数据，即数据包的数据头，对数据头进行拆解后获取唯一标识符、命令类型、密钥区长度、数据区长度。若不包含，则不进行数据获取。

S203.2，根据所述密钥区长度和所述数据区长度，分别获取存放于密钥区的密钥密文和存放于数据区的数据密文。

本发明实施例中，当第二终端获取唯一标识符后，同时定位了数据包的起始位置，由于数据包的数据头为固定长度，可根据起始位置，加上数据头的固定长度E得到密钥区的位置。再根据数据包中的密钥区长度获取数据包存放于密钥区的数据，即密钥密文；再根据数据包中的数据区长度获取数据包存放于数据区的数据，即数据密文。

S203.3，利用预存的第二终端私钥对所述密钥密文进行解密，得到数据密钥。

本发明实施例中，由前文可知，密钥密文是第一终端利用预存的第二终端公钥对数据密钥加密得到的，因此第二终端获取密钥密文后，可以用对应的第二终端私钥对密钥密文进行解密，得到数据密钥。

S203.4，利用所述数据密钥对所述数据密文进行解密，得到明文数据。

本发明实施例中，由前文可知，数据密文是第一终端利用生成数据密钥对明文数据加密得到的，由于对明文数据进行加密采用的是对称加密算法，所以加密和解密所使用的密钥相同，因此第二终端获取数据密文后，可以用前文得到的数据密钥对数据密文进行解密，得到明文数据。

图9所示的数据包传输流程图对应于图3所示的数据包生成发送流程和图8中包括的数据包接收解密流程，每个步骤的具体实施方法请参考步前文描述，此处不再赘述。

根据上述任一可选实施例，在双向安全认证成功之后，数据包发送之前，为了保障数据传输的安全，还可生成新的密钥替换第二终端原先预存的第二终端私钥和第一终端公钥，具体包括：

本发明实施例中，双向安全认证成功后，生成第一密钥信息发送至第一终端，其中，第一密钥信息通过预设封装格式进行封装。第一密钥信息中的唯一标识符与第一认证信息中的唯一标识符保持一致。由于本步骤是在在双向安全认证成功之后，数据包发送之前，为了区分密钥信息、认证信息和数据包，第一密钥信息中的命令类型需与认证信息、数据包中的不同，可预设一个命令类型，具体可自由设定，此处不作限定。

可选地，利用原先预存的第二终端私钥+时间戳，通过密钥生成函数生成新第二终端私钥，根据新第二终端私钥计算出对应的新第二终端公钥，利用原先预存的第一终端公钥对新第二终端公钥进行加密得到第一密钥密文。将唯一标识符、命令类型和第一密钥密文根据预设封装格式进行封装，得到第一密钥信息，将第一密钥信息发送至第一终端。

可选地，第一终端接收第一密钥信息解密获取新第二终端公钥后，会生成第二密钥信息发送至第二终端，并且第二密钥信息与第一密钥信息具有相同的格式。当第二密钥信息由第一终端传输到第二终端时，第二终端首先识别到唯一标识符，并根据唯一标识符定位第二密钥信息的起始位置，然后读取固定长度为E的第二密钥信息的数据头，对数据头进行拆解后获取唯一标识符、命令类型、密钥区长度、数据区长度。

可选地，获取数据头信息后，首先判断命令类型是否为预设的密钥命令类型，若是，则根据密钥区长度获取密钥区数据，即第二密钥密文，利用第二终端原先预存的第二终端私钥解密得到新第一终端公钥。若不是，则丢弃此条数据。

本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，应用于第二终端：当两个终端有通信需求时，第二终端监听到第一终端的连接请求后，生成第一认证信息并发送至所述第一终端，以供第一终端对第二终端进行安全认证。第一终端安全认证成功后，接收第一终端发送的第二认证信息，根据第二认证信息对所述第一终端进行安全认证；若双向安全认证成功，则双方可以进行数据通信。接收第一终端发送的通过预设封装格式进行封装的数据包后，对数据包进行解密，得到明文数据。通过以上处理，本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，避免将数据发送给恶意终端。其次，通过将明文数据按照预设封装格式封装成数据包，能够有效准确获取完整数据包，完美解决粘包问题，通过对明文数据进行混合加密传输大大增强破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。同时，采用自定义报文格式的预设封装格式可以不使用SSL中的证书，即可以替代SSL中的证书的作用，使得终端在不用额外部署第三方证书的情况下同样可以安全地使用密码技术，不仅节约了成本也可在资源受限的场景中使用。

图10所示的交互流程对应于图1所示的第一终端流程与图4所示的第二终端流程，每个步骤的具体实施方法请参考第一终端流程与第二终端流程的描述，此处不再赘述。

综上所述，本发明实施例提供了一种基于混合加密的保障TCP通信安全方法，当两个终端有通信需求时，首先第一终端向第二终端请求连接，当第二终端监听到第一终端的连接请求后，将第一认证信息发送至第一终端；第一终端接收到第一认证信息后，对第二终端进行安全认证，若安全认证成功，则生成第二认证信息发送至第二终端；第二终端接收到第二认证信息后，对第一终端进行安全认证，若安全认证成功，则双向安全认证成功，双方可以进行数据通信。第一终端将明文数据进行混合加密后，按照预设封装格式封装成数据包，将数据包发送至第二终端，第二终端接收到数据包后，对数据包进行解密，得到明文数据。通过以上处理，本发明实施例首先通过双向安全认证保证连接的终端为正确的终端，避免将数据发送给恶意终端。其次，通过将明文数据按照预设封装格式封装成数据包，能够有效准确获取完整数据包，完美解决粘包问题，而通过对明文数据进行混合加密传输大大增强破译/伪造数据的难度，有效解决了数据在TCP传输过程的通信安全问题。同时，采用自定义报文格式的预设封装格式可以不使用SSL中的证书，即可以替代SSL中的证书的作用，使得终端在不用额外部署第三方证书的情况下同样可以安全地使用密码技术，不仅节约了成本也可在资源受限的场景中使用。

本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现前述任一实施例方法的步骤。其中，计算机可读存储介质可以包括但不限于任何类型的盘，包括软盘、光盘、DVD、CD-ROM、微型驱动器以及磁光盘、ROM、RAM、EPROM、EEPROM、DRAM、VRAM、闪速存储器设备、磁卡或光卡、纳米系统(包括分子存储器IC)，或适合于存储指令和/或数据的任何类型的媒介或设备。

本发明实施例还提供了一种终端，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行程序时实现上述任一实施例方法的步骤。

图11为本发明实施例提供了的一种终端的框图。请参见图11，本发明实施例提供一种终端1100，包括：处理器(processor)1101、通信接口(Communications Interface)1102、存储器(memory)1103和通信总线1104，其中，处理器1101，通信接口1102，存储器1103通过通信总线1104完成相互间的通信。处理器1101可以调用存储器1103中的逻辑指令，以执行如下方法，包括：向第二终端请求连接，接收所述第二终端发送的第一认证信息，所述第一认证信息通过预设封装格式进行封装；根据所述第一认证信息进行对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式；若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装生成。或者执行如下方法：监听到第一终端的连接请求后，将第一认证信息发送至所述第一终端，以供所述第一终端对所述第二终端进行安全认证；所述第一认证信息通过预设封装格式进行封装；接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证；若双向安全认证成功，则接收所述第一终端发送的数据包。

本发明实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：向第二终端请求连接，接收所述第二终端发送的第一认证信息，所述第一认证信息通过预设封装格式进行封装；根据所述第一认证信息进行对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式；若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装生成。或者包括：监听到第一终端的连接请求后，将第一认证信息发送至所述第一终端，以供所述第一终端对所述第二终端进行安全认证；所述第一认证信息通过预设封装格式进行封装；接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证；若双向安全认证成功，则接收所述第一终端发送的数据包。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (11)

1.一种基于混合加密的保障TCP通信安全方法，应用于第一终端，其特征在于，包括：

向第二终端请求连接，接收所述第二终端发送的第一认证信息，所述第一认证信息通过预设封装格式进行封装；

根据所述第一认证信息对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；所述第二认证信息与所述第一认证信息具有相同的格式；

若双向安全认证成功，则将数据包发送至所述第二终端，所述数据包通过所述预设封装格式进行封装。

2.根据权利要求1所述的方法，其特征在于，所述预设封装格式包括数据头、密钥区和数据区；其中，所述数据头包括唯一标识符、命令类型、密钥区长度和数据区长度；所述密钥区用于存放签名密文或密钥密文；所述数据区用于存放数据密文。

3.根据权利要求2所述的方法，其特征在于，所述根据所述第一认证信息对所述第二终端进行安全认证，若安全认证成功，则生成第二认证信息并发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证，包括：

获取所述第一认证信息的数据头，根据所述数据头中的唯一标识符、密钥区长度获取存放于密钥区的第一签名密文；

若所述数据头中的命令类型为预设类型，则利用预存的第二终端公钥对所述第一签名密文进行签名认证，若签名认证成功，则生成第二认证信息发送至所述第二终端，以供所述第二终端对所述第一终端进行安全认证；

所述第二认证信息中的唯一标识符和命令类型与所述第一认证信息中的唯一标识符和命令类型保持一致。

4.根据权利要求2或3所述的方法，其特征在于，所述将数据包发送至所述第二终端，包括：

生成数据密钥，利用所述数据密钥加密明文数据，得到数据密文；

利用预存的第二终端公钥加密所述数据密钥，得到密钥密文；

根据所述预设封装格式，生成数据头，将所述数据头、所述密钥密文和所述数据密文进行封装，得到所述数据包；所述数据包中的唯一标识符与所述第一认证信息中的唯一标识符保持一致；

将所述数据包发送至所述第二终端。

5.一种基于混合加密的保障TCP通信安全方法，应用于第二终端，其特征在于，包括：

监听到第一终端的连接请求后，将第一认证信息发送至所述第一终端，以供所述第一终端对所述第二终端进行安全认证；所述第一认证信息通过预设封装格式进行封装；

接收所述第一终端发送的第二认证信息，根据所述第二认证信息对所述第一终端进行安全认证；

若双向安全认证成功，则接收所述第一终端发送的数据包，所述数据包通过所述预设封装格式进行封装。

6.根据权利要求5所述的方法，其特征在于，所述预设封装格式包括数据头、密钥区和数据区；其中，所述数据头包括唯一标识符、命令类型、密钥区长度和数据区长度；所述密钥区用于存放签名密文或密钥密文；所述数据区用于存放数据密文。

7.根据权利要求6所述的方法，其特征在于，所述第一认证信息通过预设封装格式进行封装，包括：

生成唯一标识符，确定命令类型为预设类型；

利用预存的第二终端私钥对指定字符串进行签名，得到第一签名密文；

根据所述预设封装格式，生成数据头，将所述数据头、所述第一签名密文进行封装，得到所述第一认证信息。

8.根据权利要求6或7所述的方法，其特征在于，所述根据所述第二认证信息对第一终端进行安全认证，包括：

获取所述第二认证信息的数据头，根据所述唯一标识符确认所述第一终端；

根据所述密钥区长度获取存放于密钥区的第二签名密文；

若所述数据头中的命令类型为预设类型，则利用预存的第一终端公钥对所述第二签名密文进行签名认证，若签名认证成功，则所述双向安全认证成功。

9.根据权利要求8所述的方法，其特征在于，所述接收所述第一终端发送的数据包，包括：

获取所述数据包的数据头，根据所述唯一标识符确认所述第一终端；

根据所述密钥区长度和所述数据区长度，分别获取存放于密钥区的密钥密文和存放于数据区的数据密文；

利用预存的第二终端私钥对所述密钥密文进行解密，得到数据密钥；

利用所述数据密钥对所述数据密文进行解密，得到明文数据。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至9中任一项所述方法。

11.一种终端，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至9中任一项所述方法。

Images