CN116208423A - 一种报文加密方法、解密方法、装置及程序产品 - Google Patents

Abstract

本申请提供一种报文加密方法、解密方法、装置及程序产品。涉及区块链技术领域，包括：向策略服务器发送报文组装请求，并接收策略服务器根据报文组装请求所反馈的加密策略规则以及全局跟踪号；采用对称加密信息对原始报文进行加密获取加密报文，并采用非对称加密信息对对称加密信息进行加密获取密文，其中，原始报文中包括接口和网关；将加密报文、密文和全局跟踪号通过接口发送给网关。通过引入策略服务器来对客户端所需的加密策略规则进行配置，从而客户端直接根据策略服务器所分配的加密策略规则进行报文的加密，实现动态热更新无需修改代码和重新部署应用系统就能生效，并且提高了报文传输的安全性。

Description

一种报文加密方法、解密方法、装置及程序产品

技术领域

本申请涉及区块链技术领域，尤其涉及一种报文加密方法、解密方法、装置及程序产品。

背景技术

现有的应用系统在进行网络传输时，存在被人拦截查看网络数据包的情况，如果这些数据包是以明文的形式进行传输或者知道其加密方式，则会有信息被泄露的风险，目前通常采用对称加密算法和非对称加密算法结合直接传输报文进行加密，以保证数据的传输安全性。

但是目前的加密算法固化，当需要更换算法或增加算法时，通常需求修改代码并重新进行编译，因此影响热更新。并且目前所采用的算法通常比较单一，从而影响报文传输的安全性。

发明内容

本申请提供一种报文加密方法、解密方法、装置及程序产品，以实现对报文的安全传输。

第一方面，本申请提供了一种报文加密方法，应用于客户端，包括：

向策略服务器发送报文组装请求，并接收所述策略服务器根据所述报文组装请求所反馈的加密策略规则以及全局跟踪号，其中，所述加密策略规则中包括对称加密信息和非对称加密信息；

采用所述对称加密信息对原始报文进行加密获取加密报文，并采用所述非对称加密信息对所述对称加密信息进行加密获取密文，其中，所述原始报文中包括接口和网关；

将所述加密报文、所述密文和所述全局跟踪号通过所述接口发送给所述网关。

第二方面，本申请提供了一种报文解密方法，应用于网关，包括：

接收客户端所发送的加密报文、密文和全局跟踪号；

根据所述全局跟踪号查询规则表获取加密策略规则，其中，所述规则表中包含全局跟踪号和加密策略规则的对应关系；

从所述加密策略规则中提取非对称加密信息，采用所述非对称加密信息对所述密文进行解密获取对称加密信息；

采用所述对称加密信息对所述加密报文进行解密获取原始报文。

第三方面，本申请提供了一种报文加密装置，包括：

报文组装请求发送模块，用于向策略服务器发送报文组装请求，并接收所述策略服务器根据所述报文组装请求所反馈的加密策略规则以及全局跟踪号，其中，所述加密策略规则中包括对称加密信息和非对称加密信息；

加密模块，用于采用所述对称加密信息对原始报文进行加密获取加密报文，并采用所述非对称加密信息对所述对称加密信息进行加密获取密文，其中，所述原始报文中包括接口和网关；

加密信息发送模块，用于将所述加密报文、所述密文和所述全局跟踪号通过所述接口发送给所述网关。

第四方面，本申请提供了一种报文解密装置，包括：

加密信息接收模块，用于接收客户端所发送的加密报文、密文和全局跟踪号；

加密策略规则获取模块，用于根据所述全局跟踪号查询规则表获取加密策略规则，其中，所述规则表中包含全局跟踪号和加密策略规则的对应关系；

第一解密模块，用于从所述加密策略规则中提取非对称加密信息，采用所述非对称加密信息对所述密文进行解密获取对称加密信息；

第二解密模块，用于采用所述对称加密信息对所述加密报文进行解密获取原始报文。

第五方面，本申请提供了一种客户端，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如本申请所述的报文加密方法。

第六方面，本申请提供了一种网关，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如申请所述的所述的报文解密方法。

第七方面，本申请提供一种计算机可读存储介质，计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现本申请所述的报文加密方法或者报文解密方法。

第八方面，本申请提供一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现本申请所述的报文加密方法或者报文解密方法。

本申请在获取到项目打包指令时，根据项目打包指令获取共性项目已编写的复用参数，并将根据独有参数和复用参数生成的部署包在指定应用端进行部署，从而可以在减少项目管理复杂度的情况下，根据部署结果实现对目标项目的快速应用。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请实施例一提供的报文加密方法的流程图；

图2为本申请实施例一提供的对称加密信息的结构示意图；

图3为本申请实施例一提供的非对称加密信息的结构示意图；

图4为本申请实施例二提供的报文加密方法的流程图；

图5为本申请实施例三提供的报文加密装置的结构示意图；

图6为本申请实施例四提供的报文解密装置的结构示意图；

图7为本申请实施例五提供的应用端的结构示意图；

图8为本申请实施例六提供的网关的结构示意图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

下面以具体地实施例对本申请的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本申请的实施例进行描述。本申请技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定

实施例一

图1为本申请实施例提供的报文加密方法的流程图，本实施例可适用于对报文进行加密的情况，该方法可以由报文加密装置来执行，该装置可以由软件和/或硬件的方式实现，如图1所示，该方法包括如下步骤：

步骤S101，向策略服务器发送报文组装请求，并接收策略服务器根据报文组装请求所反馈的加密策略规则以及全局跟踪号。

可选的，向策略服务器发送报文组装请求，并接收策略服务器根据报文组装请求所反馈的加密策略规则以及全局跟踪号，包括：向策略服务器发送报文组装请求，其中，报文组装请求中包括客户端身份标识；接收策略服务器根据客户端身份标识所确定的加密策略规则，其中，策略配置规则为针对客户端标识位于的用户群所预先配置的；接收策略服务器根据加密策略规则所实时生成的全局跟踪号，其中，全局跟踪号用于对加密策略规则进行标识。

具体的说，当客户端需要进行报文加密时，会向策略服务器发送报文组装请求，而在报文请求中包括客户端身份标识，其中，客户端身份标识可以是登录请求用户的工号或者身份证号等，本实施方式中并不对客户端身份标识进行限定。而策略服务器在接收到客户端身份标识后，会根据身份标识进行查询获取该身份标识所对应的用户群，其中，用户群包括职员组和管理组等，本实施方式中并不对所包含的用户群的具体类型进行限定，并且策略服务器预先为每个类型的用户群分别配置了加密策略配置规则，而在加密策略规则中包括对称加密信息和非对称加密信息。例如，客户端身份标识为00a，并且通过查询确定标识为00a的客户端从属于职员组，而职员组所对应的加密策略配置规则X。并且当策略服务器在确定出X的同时还会生成全局跟踪号1000，其中，全局跟踪号可以用于对加密策略规则进行标识。

需要说明的是，加密策略规则中的对称加密信息中包括对称算法链，以及与对称算法链匹配的密钥链，其中，对称算法链由多个不同类型的对称算法按照指定顺序排列构成。如图2所示为对称加密信息的结构示意图，其中，对称组是一个对称加密算法的数据库，在其中包括目前常用的对称加密算法，如：美国数据加密标准(DataEncryptionStandard，3DES)，三重数据加密算法(TDEA，TripleDataEncryptionAlgorithm)，国际数据加密算法(International DataEncryptionAlgorithm，IDEA)等，同时也可以包含管理者自定义开发的私有算法，本实施方式中并不对对称组中所包含的对称加密算法的类型和数量进行限定。管理者可以从中选取指定类型的对称加密算法进行组合以构建出对称算法链，例如，依次选择出DES、RC5、3DES和Blowfish并顺次连接构造出对称算法链DES-RC5-3DES-Blowfish。由于每个对称加密算法都有一个自己的密钥，例如，DES的密钥为a、RC5的密钥为b、3DES的密钥为c，以及Blowfish的密钥为d，相应的按照对称加密算法的排列顺序将相应的密钥进行顺次连接获取密钥链abcd。当然，本实施方式中仅是举例说明，而并不对对称算法链的具体形式进行限定。

其中，加密策略规则中的非对称加密信息中包括非对称算法链，以及与非对称算法链匹配的私钥链和公钥链。如图3是非对称加密信息的结构示意图，其中，非对称组是一个非对称加密算法的数据库，在其中包括目前常用的非对称加密算法，如：RSA加密算法、Elgamal加密算法和Rabin加密算法等，同时也可以包含管理者自定义开发的私有算法，本实施方式中并对非对称组中所包含的非对称加密算法的类型和数量进行限定。管理者可以从中选取出指定类型的非对称加密算法进行组合以构建出非对称算法链，例如，依次选择出RSA和Rabin并顺次连接以构造出非对称算法链RSA-Rabin。例如，依次选择出RSA和Rabin并顺次连接构造出非对称算法链。由于每个非对称算法都有一个私钥和一个公钥，例如，RSA的公钥为A，私钥为C，Rabin的公钥为B，私钥为D，相应的按照非对称加密算法的排列顺序将相应的公钥进行顺次连接获取公钥链AB，同时还可以按照非对称加密算法的排列书怒将相应的私钥进行顺次连接获取私钥链CD。当然，本实施方式中仅是举例说明，而并不对非对称算法链的具体形式进行限定。并且可以将上述所获取的对称算法链DES-RC5-3DES-Blowfish，与对称算法链匹配的密钥链abcd、非对称算法链RSA-Rabin、非对称算法链匹配的公钥链AB以及私钥链CD构成加密策略配置规则X，并将加密策略配置规则X配置到职员组，同时管理者还可以确定职员组中所包含的客户端身份标识的具体内容，例如，在职员组中所包含的客户端身份标识可以为00a、00b和00c。当然，本实施方式中仅是举例说明，而并不对职员中所包含的客户端身份标识的具体内容进行限定。

步骤S102，采用对称加密信息对原始报文进行加密获取加密报文，并采用非对称加密信息对对称加密信息进行加密获取密文。

可选的，采用对称加密信息对原始报文进行加密获取加密报文，并采用非对称加密信息对对称加密信息进行加密获取密文，包括：采用对称算法链和密钥链对原始报文进行加密获取加密报文；采用非对称算法链和公钥链对密钥链进行加密获取密文。

可选的，原始报文包括报文头和报文体，接口和网关位于报文头中；采用对称算法链和密钥链对原始报文进行加密获取加密报文，包括：采用对称算法链和密钥链对原始报文中的报文体进行加密，以获取加密报文。

具体的说，当客客户端获取到加密策略规则X：对称算法链DES-RC5-3DES-Blowfish，与对称算法链匹配的密钥链abcd、非对称算法链RSA-Rabin、非对称算法链匹配的公钥链AB以及私钥链CD后，会采用对称算法链和秘钥链UI原始报文P进行加密获取加密报文CP。其中，在进行加密是首先是按照对称算法链中的算法顺序采用对称加密算法DES以及秘钥a对原始报文P进行第一次加密获取P1，然后采用对称加密算法RC5以及秘钥b对P1进行第二次加密获取P2，然后采用对称加密算法3DES以及秘钥c对P2进行第三次加密获取P3，最后采用对称加密算法Blowfish以及秘钥d对P3进行第四次加密获取加密报文CP，通过进行多次对称加密相对于单次加密来说可以显著提高报文加密的安全性。当然，本实施方式中仅是举例说明，而并不对根据对称算法链进行加密的次数进行限定，只要加密次数与对称算法链中所包含的对称算法匹配则都是在本申请的保护范围。

另外，客户端还会采用非对称算法链RSA-Rabin以及公钥链AB对密钥链abcd进行加密以获取密文。其中，在进行加密时首先是按照非对称算法链中的算法顺序采用非对称加密算法RSA以及公钥A对秘钥链abcd进行第一次加密获取密钥链a’b’c’d’，然后采用非对称加密算法Rabin以及公钥B对a’b’c’d’进行第二次加密获取密文CK，通过多次非对称加密可以进一步保证密钥的安全性。当然，本实施方式中仅是举例说明，而并不对根据非对称算法链进行加密的次数进行限定，只要加密次数与非对称算法链中所包含的非对称算法匹配则都是在本申请的保护范围内。

需要说明的是，本实施方式中的原始报文中包括报文头和报文体，并且在报文头中包括接口和网关，即报文的具体接收对象，而上述在通过对称算法链和秘钥链对原始报文进行加密时，具体是对原始报文中的报文体进行加密，从而获取出加密报文。

可选的，方法还包括：接收策略服务器所发送的策略更新消息；根据策略更新消息对加密策略规则进行更新。

值得一提的是，本实施方式中关于策略服务器侧的管理员可以根据实际需求对各用户群的加密策略规则进行调整。例如，当确定客户端00a位于职员组，而原始针对职员组所配置的加密策略配置规则为X，而根据实际需求当管理员将职员组配置的加密策略规则调整为Y时，则客户端00a会接收到策略服务器所发送的策略更新消息，而在策略更新消息中包含调整后的加密策略配置规则Y，客户端则根据策略更新消息按照加密策略配置规则Y对原始报文P进行加密。

步骤S103，将加密报文、密文和全局跟踪号通过接口发送给网关。

具体的说，本实施方式中由于仅是对原始报文的报文体进行加密，客户端端可以通过读取报文头获取报文的接收方，即接口和网关，客户端会从报文头中提取出接口和网关，并对周围网络环境进行搜索，得到能够与网关进行通信的可用网络，并将传输请求通过网络向网关发送传输请求，并且具体是通过报文头中所记载的接口发送给网关。由于在传输请求中包括客户端标识，因此网关会根据客户端标识对客户端进行身份校验，在确定校验通过时通过接口接收客户端所发送的通过对报文加密所获取的加密报文、通过对秘钥链进行加密所获取的密文，以及与加密策略规则所对应的全局跟踪号。

其中，本实施中的网关在接收到加密报文、密文以及全局跟踪号后，会通过全局跟踪号以及密文对加密报文进行解密，并将解密所获取的原始报文发送给与接口所关联的服务端，而网关和进行交互的服务端是位于同一局域网内的，本实施方式中并不对网关与服务端的信息交互过程进行说明。

值得一提的是，本实施方式中使用独立的策略服务器，可灵活按照加密策略规则中配置的加密算法和种类对原始报文进行加密，并创新性的引入算法链和秘钥量，增加了加密的安全性。并且通过策略服务器与业务的解耦，实现加密算法的动态更新，从而实现热部署，进一步提升应用系统的安全性和可靠性。另外，本申请还可以对报文传输过程中的报文大小配置加密规则，在系统安全可靠性的范围内对敏感小报文进行复杂加密，对不敏感的大报文进行简单加密，以减少系统开销，优化性能。并且应用系统还可以在报文头使用bg-debug字段决定是否开启加解密模式，方便开发测试阶段调试和生产阶段的安全保密，当然，本实施方式中仅是举例说明，而并不对报文加密时的具体策略进行限定。

本实施例通过引入策略服务器来对客户端所需的加密策略规则进行配置，从而客户端直接根据策略服务器所分配的加密策略规则进行报文的加密，实现动态热更新无需修改代码和重新部署应用系统就能生效，并且提高了报文传输的安全性。

实施例二

图4为本申请实施例提供的报文解密方法的流程，本实施例可适用于对报文进行解密的情况，该方法可以由报文解密装置来执行，该装置可以由软件和/或硬件的方式实现，如图4，该方法包括如下步骤：

步骤S201，接收客户端所发送的加密报文、密文和全局跟踪号。

可选的，接收客户端所发送的加密报文、密文和全局跟踪号，包括：接收客户端通过接口所发送的传输请求，其中，传输请求中包括客户端标识；根据客户端标识对客户端进行身份校验，在确定校验通过时通过接口接收客户端所发送的加密报文、密文和全局跟踪号。例如，全局跟踪号为1000，加密报文为CP，密文为CK，当然，本实施方式中仅是举例说明，而并不对全局跟踪号、加密报文以及密文的具体内容进行限定。

具体的说，本实施方式中的加密报文中仅是对报文体的加密，而并没有对报文头进行加密，因此客户端端可以通过读取报文头获取报文的接收方，即接口和网关，客户端会从报文头中提取出接口和网关，并对周围网络环境进行搜索，得到能够与网关进行通信的可用网络，并将传输请求通过网络向网关发送传输请求，并且具体是通过报文头中所记载的接口发送给网关。由于在传输请求中包括客户端标识，因此网关会根据客户端标识对客户端进行身份校验，在确定校验通过时通过接口接收客户端所发送的通过对报文加密所获取的加密报文、通过对秘钥链进行加密所获取的密文，以及与加密策略规则所对应的全局跟踪号。

需要说明的是，本实施方式中的客户端在对客户端标识进行身份验证时，具体可以是查询该客户端是否存在历史攻击情况，例如出现短时间内重复大量发送报文的情况，当确定出现过则确定该客户端层出现过攻击行为，则确定该客户端为非法用户，因此当该对客户端所发送的信息进行屏蔽。当然，本实施方式中仅是举例说明，本实施方式中并不对客户端标识身份校验的过程进行具体限定。

步骤S202，根据全局跟踪号查询规则表获取加密策略规则。

其中，规则表中包含全局跟踪号和加密策略规则的对应关系，因此在全局跟踪号已知的情况下，可以通过查询规则表确定出对应的加密策略规则，例如，加密策略规则X。并且在加密策略规则中具体包括对称加密信息，而对称加密信息主要由对称算法链和秘钥链构成，同时在加密策略规则中还包括非对称加密信息，而非对称加密信息主要由非对称算法链、私钥链和公钥链构成。例如，对称算法链为DES-RC5-3DES-Blowfish，非对称算法链为RSA-Rabin，公钥链为AB，私钥链为CD，当然，本实施方式中仅是举例说明，而并不对加密策略规则中所包含的具体内容进行限定。

步骤S203，从加密策略规则中提取非对称加密信息，采用非对称加密信息对密文进行解密获取对称加密信息。

可选的，非对称加密信息中包括非对称算法链，以及与对称算法链匹配的公钥链和私钥链；采用非对称加密信息对密文进行解密获取对称加密信息，包括：采用非对称算法链和私钥链对密文进行解密以获取对称加密信息，其中，对称加密信息中包括密钥链。

具体的说，本实施方式中会从所获取的加密策略X中提取出非对称加密信，即非对称算法链为RSA-Rabin，私钥链为CD，并采用非对称算法链RSA-Rabin和私钥链CD，对密文CK进行解密以获取出对称信息中的密钥链abcd。关于通过非对称算法链和私钥链对密文进行解密获取秘钥链的过程，为上述根据非对称算法链和公钥链对秘钥链进行加密获取密文的反过程，本实施方式中不再进行赘述。

步骤S204，采用对称加密信息对加密报文进行解密获取原始报文。

可选的，采用对称加密信息对加密报文进行解密获取原始报文之前，还包括：从加密策略规则中提取对称算法链；采用对称加密信息对加密报文进行解密获取原始报文，包括：根据对称算法链和密钥链对加密报文进行解密获取原始报文。

具体的说，本实施方式在通过初次解密获取到密钥链abcd之后，会从加密策略规则X中提取出对称算法链DES-RC5-3DES-Blowfish，并采用所获取的对称算法链DES-RC5-3DES-Blowfish和密钥链abcd对加密报文CP进行解密，以获取出原始报文P，而关于通过对称算法链和密钥链对加密报文进行解密获取原始报文的过程，为上述根据对称算法和密钥链对原始报文进行加密获取加密报文的反过程，本实施方式中不再进行赘述。

可选的，采用对称加密信息对加密报文进行解密获取原始报文之后，还包括：确定与接口所连接的服务端；将原始报文发送给服务端，以使服务度针对原始报文进行响应。

需要说明的是，本实施方式中在获取到原始报文之后，还会确定与接口所连接的服务端，例如，在网关上包括接口1、接口2和接口3三个接口，并且接口1连接服务端1，接口2连接服务端2，接口3连接服务端3，因此当确定是通过接口1获取到客户端所发送的传输请求时，则会将经过解密所获取的原始报文P发送给服务端1。服务端1在接收到原始报文P后，会对原始报文P进行解析并生成对应的响应报文Q，并将响应报文Q反馈给客户端。并且服务端在向客户端反馈响应报文的过程中，与上述客户端向服务端进行传输的过程大致相同，也可以采用加密的方式进行传输，以保证响应报文传输的安全性，本实施方式中并不对响应报文的加解密以传输过程进行赘述。

本实施例通过引入策略服务器来对客户端所需的加密策略规则进行配置，从而客户端直接根据策略服务器所分配的加密策略规则进行报文的加密，实现动态热更新无需修改代码和重新部署应用系统就能生效，并且提高了报文传输的安全性。

实施例三

图5为本申请实施例提供的报文加密装置的结构示意图。如图5所示，该报文加密装置，包括：报文组装请求发送模块310、加密模块320和加密信息发送模块330。

其中，报文组装请求发送模块310，用于向策略服务器发送报文组装请求，并接收策略服务器根据报文组装请求所反馈的加密策略规则以及全局跟踪号，其中，加密策略规则中包括对称加密信息和非对称加密信息；

加密模块320，用于采用对称加密信息对原始报文进行加密获取加密报文，并采用非对称加密信息对对称加密信息进行加密获取密文，其中，原始报文中包括接口和网关；

加密信息发送模块330，用于将加密报文、密文和全局跟踪号通过接口发送给网关。

可选的，报文组装请求发送模块，用于向策略服务器发送报文组装请求，其中，报文组装请求中包括客户端身份标识；

接收策略服务器根据客户端身份标识所确定的加密策略规则，其中，加密策略配置规则为针对客户端标识位于的用户群所预先配置的；

接收策略服务器根据加密策略规则所实时生成的全局跟踪号，其中，全局跟踪号用于对加密策略规则进行标识。

可选的，对称加密信息中包括对称算法链，以及与对称算法链匹配的密钥链，其中，对称算法链由多个不同类型的对称算法按照指定顺序排列构成；

非对称加密信息中包括非对称算法链，以及与非对称算法链匹配的公钥链和私钥链，其中，非对称算法链由多个不同类型的非对称算法按照指定顺序排列构成。

可选的，加密模块，用于采用对称算法链和密钥链对原始报文进行加密获取加密报文；

采用非对称算法链和公钥链对密钥链进行加密获取密文。

可选的，原始报文包括报文头和报文体，接口和网关位于报文头中；加密模块，还用于采用对称算法链和密钥链对原始报文中的报文体进行加密，以获取加密报文。

实施例四

图6为本申请实施例提供的报文解密装置的结构示意图。如图6所示，该报文解密装置，包括：

其中，加密信息接收模块410，用于接收客户端所发送的加密报文、密文和全局跟踪号；

加密策略规则获取模块420，用于根据全局跟踪号查询规则表获取加密策略规则，其中，规则表中包含全局跟踪号和加密策略规则的对应关系；

第一解密模块430，用于从加密策略规则中提取非对称加密信息，采用非对称加密信息对密文进行解密获取对称加密信息；

第二解密模块440，用于采用对称加密信息对加密报文进行解密获取原始报文。

可选的，加密信息接收模块，用于接收客户端通过接口所发送的传输请求，其中，传输请求中包括客户端标识；

根据客户端标识对客户端进行身份校验，在确定校验通过时通过接口接收客户端所发送的加密报文、密文和全局跟踪号。

可选的，非对称加密信息中包括非对称算法链，以及与对称算法链匹配的公钥链和私钥链；第一解密模块，用于采用非对称算法链和私钥链对密文进行解密以获取对称加密信息，其中，对称加密信息中包括密钥链。

可选的，装置还包括对称算法链提取模块，用于从加密策略规则中提取对称算法链；第二解密模块，用于根据对称算法链和密钥链对加密报文进行解密获取原始报文。

可选的，装置还包括原始报文发送模块，用于确定与接口所连接的服务端；

将原始报文发送给服务端，以使服务度针对原始报文进行响应。

需要说明的是，应理解以上装置的各个模块的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些模块可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分模块通过处理元件调用软件的形式实现，部分模块通过硬件的形式实现。此外这些模块全部或部分可以集成在一起，也可以独立实现。这里的处理元件可以是一种集成电路，具有信号的处理能力。在实现过程中，上述方法的各步骤或以上各个模块可以通过处理器元件中的硬件的集成逻辑电路或者软件形式的指令完成。

实施例五

图7示出了可以用来实施本发明的实施例的客户端10的结构示意图。客户端旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。客户端还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图7所示，客户端10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM13中，还可存储客户端10操作所需的各种程序和数据。处理器11、ROM12以及RAM13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。

客户端10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许客户端10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如项目的报文加密方法。

在一些实施例中，报文加密方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM12和/或通信单元19而被载入和/或安装到客户端10上。当计算机程序加载到RAM13并由处理器11执行时，可以执行上文描述的报文加密方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行报文加密方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在客户端上实施此处描述的系统和技术，该客户端具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给客户端。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

实施例六

图8示出了可以用来实施本发明的实施例的网关20的结构示意图。网关旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。网关还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图8所示，网关20包括至少一个处理器21，以及与至少一个处理器21通信连接的存储器，如只读存储器(ROM)22、随机访问存储器(RAM)23等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器21可以根据存储在只读存储器(ROM)22中的计算机程序或者从存储单元28加载到随机访问存储器(RAM)23中的计算机程序，来执行各种适当的动作和处理。在RAM23中，还可存储网关20操作所需的各种程序和数据。处理器21、ROM22以及RAM23通过总线24彼此相连。输入/输出(I/O)接口25也连接至总线24。

网关20中的多个部件连接至I/O接口25，包括：输入单元26，例如键盘、鼠标等；输出单元27，例如各种类型的显示器、扬声器等；存储单元28，例如磁盘、光盘等；以及通信单元29，例如网卡、调制解调器、无线通信收发机等。通信单元29允许网关20通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器21可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器21的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器21执行上文所描述的各个方法和处理，例如报文解密方法。

在一些实施例中，报文解密方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元28。在一些实施例中，计算机程序的部分或者全部可以经由ROM22和/或通信单元29而被载入和/或安装到网关20上。当计算机程序加载到RAM23并由处理器21执行时，可以执行上文描述的报文解密方法的一个或多个步骤。备选地，在其他实施例中，处理器21可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行报文解密方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在网关上实施此处描述的系统和技术，该网关具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给网关。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

实施例七

本发明实施例还提供了一种计算机程序产品，包括计算机程序，该计算机程序在被处理器执行时实现如本申请任一实施例所提供的报文加密方法或者报文解密方法。

计算机程序产品在实现的过程中，可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言，诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (17)

1.一种报文加密方法，应用于客户端，其特征在于，包括：

向策略服务器发送报文组装请求，并接收所述策略服务器根据所述报文组装请求所反馈的加密策略规则以及全局跟踪号，其中，所述加密策略规则中包括对称加密信息和非对称加密信息；

采用所述对称加密信息对原始报文进行加密获取加密报文，并采用所述非对称加密信息对所述对称加密信息进行加密获取密文，其中，所述原始报文中包括接口和网关；

将所述加密报文、所述密文和所述全局跟踪号通过所述接口发送给所述网关。

2.根据权利要求1所述的方法，其特征在于，所述向策略服务器发送报文组装请求，并接收所述策略服务器根据所述报文组装请求所反馈的加密策略规则以及全局跟踪号，包括：

向所述策略服务器发送报文组装请求，其中，所述报文组装请求中包括客户端身份标识；

接收所述策略服务器根据所述客户端身份标识所确定的加密策略规则，其中，所述加密策略配置规则为针对所述客户端标识位于的用户群所预先配置的；

接收所述策略服务器根据所述加密策略规则所实时生成的所述全局跟踪号，其中，所述全局跟踪号用于对所述加密策略规则进行标识。

3.根据权利要求1所述的方法，其特征在于，所述对称加密信息中包括对称算法链，以及与所述对称算法链匹配的密钥链，其中，所述对称算法链由多个不同类型的对称算法按照指定顺序排列构成；

所述非对称加密信息中包括非对称算法链，以及与所述非对称算法链匹配的公钥链和私钥链，其中，所述非对称算法链由多个不同类型的非对称算法按照指定顺序排列构成。

4.根据权利要求3所述的方法，其特征在于，所述采用所述对称加密信息对原始报文进行加密获取加密报文，并采用所述非对称加密信息对所述对称加密信息进行加密获取密文，包括：

采用所述对称算法链和所述密钥链对所述原始报文进行加密获取所述加密报文；

采用所述非对称算法链和所述公钥链对所述密钥链进行加密获取所述密文。

5.根据权利要求4所述的方法，其特征在于，所述原始报文包括报文头和报文体，所述接口和所述网关位于所述报文头中；

所述采用所述对称算法链和所述密钥链对所述原始报文进行加密获取所述加密报文，包括：

采用所述对称算法链和所述密钥链对所述原始报文中的所述报文体进行加密，以获取所述加密报文。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收所述策略服务器所发送的策略更新消息；

根据所述策略更新消息对所述加密策略规则进行更新。

7.一种报文解密方法，应用于网关，其特征在于，包括：

接收客户端所发送的加密报文、密文和全局跟踪号；

根据所述全局跟踪号查询规则表获取加密策略规则，其中，所述规则表中包含全局跟踪号和加密策略规则的对应关系；

从所述加密策略规则中提取非对称加密信息，采用所述非对称加密信息对所述密文进行解密获取对称加密信息；

采用所述对称加密信息对所述加密报文进行解密获取原始报文。

8.根据权利要求7所述的方法，其特征在于，所述接收客户端所发送的加密报文、密文和全局跟踪号，包括：

接收客户端通过接口所发送的传输请求，其中，所述传输请求中包括客户端标识；

根据所述客户端标识对所述客户端进行身份校验，在确定校验通过时通过所述接口接收所述客户端所发送的所述加密报文、所述密文和所述全局跟踪号。

9.根据权利要求7所述的方法，其特征在于，所述非对称加密信息中包括非对称算法链，以及与所述对称算法链匹配的公钥链和私钥链；

所述采用所述非对称加密信息对所述密文进行解密获取对称加密信息，包括：

采用所述非对称算法链和所述私钥链对所述密文进行解密以获取所述对称加密信息，其中，所述对称加密信息中包括密钥链。

10.根据权利要求8所述的方法，其特征在于，所述采用所述对称加密信息对所述加密报文进行解密获取原始报文之前，还包括：

从所述加密策略规则中提取对称算法链；

所述采用所述对称加密信息对所述加密报文进行解密获取原始报文，包括：

根据所述对称算法链和所述密钥链对所述加密报文进行解密获取所述原始报文。

11.根据权利要求1所述的方法，其特征在于，所述采用所述对称加密信息对所述加密报文进行解密获取原始报文之后，还包括：

确定与所述接口所连接的服务端；

将所述原始报文发送给所述服务端，以使所述服务度针对所述原始报文进行响应。

12.一种报文加密装置，其特征在于，包括：

报文组装请求发送模块，用于向策略服务器发送报文组装请求，并接收所述策略服务器根据所述报文组装请求所反馈的加密策略规则以及全局跟踪号，其中，所述加密策略规则中包括对称加密信息和非对称加密信息；

加密模块，用于采用所述对称加密信息对原始报文进行加密获取加密报文，并采用所述非对称加密信息对所述对称加密信息进行加密获取密文，其中，所述原始报文中包括接口和网关；

加密信息发送模块，用于将所述加密报文、所述密文和所述全局跟踪号通过所述接口发送给所述网关。

13.一种报文解密装置，其特征在于，包括：

加密信息接收模块，用于接收客户端所发送的加密报文、密文和全局跟踪号；

加密策略规则获取模块，用于根据所述全局跟踪号查询规则表获取加密策略规则，其中，所述规则表中包含全局跟踪号和加密策略规则的对应关系；

第一解密模块，用于从所述加密策略规则中提取非对称加密信息，采用所述非对称加密信息对所述密文进行解密获取对称加密信息；

第二解密模块，用于采用所述对称加密信息对所述加密报文进行解密获取原始报文。

14.一种客户端，其特征在于，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如权利要求1-6中任一项所述的报文加密方法。

15.一种网关，其特征在于，包括：处理器，以及与所述处理器通信连接的存储器；

所述存储器存储计算机执行指令；

所述处理器执行所述存储器存储的计算机执行指令，以实现如权利要求7-11中任一项所述的报文解密方法。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求1-6或权利要求7-11中任一项所述的报文加密方法或者报文解密方法。

17.一种计算机程序产品，其特征在于，包括计算机程序，该计算机程序被处理器执行时实现权利要求1-6或权利要求7-11中任一项所述的报文加密方法或者报文解密方法。

Images