CN116600285A - 通信建立方法、装置、电子设备和存储介质 - Google Patents

通信建立方法、装置、电子设备和存储介质 Download PDF

Info

Publication number
CN116600285A
CN116600285A CN202210116866.3A CN202210116866A CN116600285A CN 116600285 A CN116600285 A CN 116600285A CN 202210116866 A CN202210116866 A CN 202210116866A CN 116600285 A CN116600285 A CN 116600285A
Authority
CN
China
Prior art keywords
key
key pair
server
public key
communication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210116866.3A
Other languages
English (en)
Inventor
乔光军
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Xiaomi Mobile Software Co Ltd
Original Assignee
Beijing Xiaomi Mobile Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Xiaomi Mobile Software Co Ltd filed Critical Beijing Xiaomi Mobile Software Co Ltd
Priority to CN202210116866.3A priority Critical patent/CN116600285A/zh
Publication of CN116600285A publication Critical patent/CN116600285A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本公开提出一种通信建立方法、装置、电子设备和存储介质，通过向终端设备发送通信请求，接收终端设备发送的具有签名的第二加密数据，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识，查找该设备标识对应的第二密钥对中的公钥，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。

Description

通信建立方法、装置、电子设备和存储介质
技术领域
本公开涉及移动通信技术领域，尤其涉及智慧车联技术领域，尤其涉及一种通信建立方法、装置、电子设备和存储介质。
背景技术
随着移动通信互联技术的不断发展，数字钥匙进入人们的视野，人们可以通过终端设备中的数字钥匙实现对车辆的控制。数字钥匙通过结合车辆、终端设备、云服务三端，构建智能钥匙锁芯(车端)、智能钥匙保险箱(终端设备)、智能钥匙工厂(云服务端)三位一体的车辆钥匙保护体系。同时还能够发挥钥匙数字化的优势，为用户提供个性化的车控服务。
相关技术中，数字钥匙一般作为可信应用(Trusted Application，TA)存储在终端设备的可信执行环境(Trusted Execution Environment，TEE)中。如何保证数字钥匙和服务器之间通信的安全，是数字钥匙技术中重要的问题。
发明内容
本公开旨在至少在一定程度上解决相关技术中的技术问题之一。
为此，本公开提出了如下技术方案：
本公开第一方面实施例提出了一种通信建立方法，所述方法由服务器执行，所述方法包括：
终端设备发送通信请求；
接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据；
采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识；
查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥；
采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述向终端设备发送通信请求，包括：
向所述终端设备发送通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
其中，所述通信请求的签名，用于所述终端设备采用所述第一密钥对中的公钥进行验证。
可选地，所述方法还包括：
通过与所述终端设备之间的可信通信通道，读取所述终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取所述终端设备的设备标识；
建立所述设备标识与所述第二密钥对中的公钥之间的对应关系。
可选地，所述方法还包括：
生成并存储所述第一密钥对；
通过与所述终端设备之间的可信通信通道，向所述终端设备的可信执行环境写入所述第一密钥对中的公钥。
本公开第二方面实施例提出了一种通信建立方法，所述方法由终端设备执行，所述方法包括：
接收服务器发送的通信请求；
响应于所述通信请求，采用所述终端设备存储的第一密钥对中的公钥，对所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及所述终端设备的设备标识进行加密，得到第二加密数据；
采用所述终端设备在非可信环境下存储的第二密钥对中的私钥，对所述第二加密数据进行签名；
向所述服务器发送具有签名的第二加密数据，以使所述服务器对所述具有签名的第二加密数据进行解密和验证，并根据解密得到的所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述接收服务器发送的通信请求，包括：
接收所述服务器发送的通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
采用所述第一密钥对中的公钥进行验证所述通信请求的签名。
可选地，所述方法还包括：
在非可信环境下生成并存储第二密钥对；
通过与所述服务器之间的可信通信通道，向所述服务器发送所述第二密钥对中的公钥，以及所述终端设备的设备标识。
可选地，所述方法还包括：
通过与所述服务器之间的可信通信通道，读取所述服务器存储的所述第一密钥对中的公钥并将所述第一密钥对中的公钥写进终端的可信执行环境中。
本公开第三方面实施例提出了一种通信建立装置，所述装置应用于服务器，所述装置包括：
发送模块，用于向终端设备发送通信请求；
接收模块，用于接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据；
解密模块，用于采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识；
查找模块，用于查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥；
验证模块，用于采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述发送模块具体用于：
向所述终端设备发送通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
其中，所述通信请求的签名，用于所述终端设备采用所述第一密钥对中的公钥进行验证。
可选地，所述装置还包括：
读取模块，用于通过与所述终端设备之间的可信通信通道，读取所述终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取所述终端设备的设备标识；
关联模块，用于建立所述设备标识与所述第二密钥对中的公钥之间的对应关系。
可选地，所述装置还包括：
密钥生成模块，用于生成并存储所述第一密钥对；
预置模块，用于通过与所述终端设备之间的可信通信通道，向所述终端设备的可信执行环境写入所述第一密钥对中的公钥。
本公开第四方面实施例提出了一种通信建立装置，所述装置应用于终端设备，所述装置包括：
接收模块，用于接收服务器发送的通信请求；
加密模块，用于响应于所述通信请求，采用所述终端设备存储的第一密钥对中的公钥，对所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及所述终端设备的设备标识进行加密，得到第二加密数据；
签名模块，用于采用所述终端设备在非可信环境下存储的第二密钥对中的私钥，对所述第二加密数据进行签名；
发送模块，用于向所述服务器发送具有签名的第二加密数据，以使所述服务器对所述具有签名的第二加密数据进行解密和验证，并根据解密得到的所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述接收模块具体用于：
接收所述服务器发送的通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
采用所述第一密钥对中的公钥进行验证所述通信请求的签名。
可选地，所述装置还包括：
密钥生成模块，用于在非可信环境下生成并存储第二密钥对；
写入模块，用于通过与所述服务器之间的可信通信通道，向所述服务器发送所述第二密钥对中的公钥，以及所述终端设备的设备标识。
可选地，所述装置还包括：
读取模块，用于通过与所述服务器之间的可信通信通道，读取所述服务器存储的所述第一密钥对中的公钥并将所述第一密钥对中的公钥写进终端的可信执行环境中。
本公开第五方面实施例提出了一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现如本公开第一方面实施例提出的通信建立方法。
本公开第六方面实施例提出了一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现如本公开第二方面实施例提出的通信建立方法。
本公开第七方面实施例提出了一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本公开第一方面实施例提出的通信建立方法。
本公开第八方面实施例提出了一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本公开第二方面实施例提出的通信建立方法。
本公开第九方面实施例提出了一种计算机程序产品，当所述计算机程序产品中的指令由处理器执行时，执行如本公开第一方面实施例提出的通信建立方法。
本公开第十方面实施例提出了一种计算机程序产品，当所述计算机程序产品中的指令由处理器执行时，执行如本公开第二方面实施例提出的通信建立方法。
本公开的技术方案，通过向终端设备发送通信请求，接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据，采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识，查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥，采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
本公开附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本公开的实践了解到。
附图说明
本公开上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：
图1为本公开一实施例所提供的通信建立方法的流程示意图；
图2为本公开另一实施例所提供的通信建立方法的流程示意图；
图3为本公开一实施例所提供的通信建立方法的流程示意图；
图4为本公开另一实施例所提供的通信建立方法的流程示意图；
图5为本公开一实施例所提供的通信建立装置的结构示意图；
图6为本公开另一实施例所提供的通信建立装置的结构示意图；
图7为本公开一实施例所提供的通信建立装置的结构示意图；
图8为本公开另一实施例所提供的通信建立装置的结构示意图；
图9示出了适于用来实现本公开实施方式的示例性电子设备的框图。
具体实施方式
下面详细描述本公开的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本公开，而不能理解为对本公开的限制。
下面参考附图描述本公开实施例的通信建立方法、装置、音频设备、电子设备和存储介质。
图1为本公开一实施例所提供的通信建立方法的流程示意图。需要说明的是，本公开实施例的通信建立方法由服务器执行。如图1所示，该通信建立方法可以包括以下步骤：
步骤101，向终端设备发送通信请求。
服务器为了与终端设备中的数字钥匙建立可信通信，能够向终端设备发送通信请求。
在一些实施方式中，该通信请求采用第一密钥对中的私钥进行了签名。
需要说明的是，采用第一密钥对中的私钥进行签名，对应的需要采用第一密钥对中的公钥进行验证。
其中，第一密钥对中包括私钥和公钥，是由服务器生成并存储的，是可以代表服务器的密钥对。该第一密钥对可以被用来验证该服务器的合法性，其中，第一密钥对中的私钥是该服务器所独有的。可以通过采用第一密钥对中的私钥进行签名以及采用第一密钥对中的公钥进行验证，来验证服务器的身份是否可信。
在一些实施方式中，服务器可以通过与终端设备之间的可信通信通道，向终端设备写入第一密钥对中的公钥。也就是，终端设备能够通过可信通信通道获取代表服务器的第一密钥对中的公钥。可选地，向该终端设备的可信执行环境TEE中写入该第一密钥对中的公钥，处于可信执行环境中的可信应用能够获取该第一密钥对中的公钥。
步骤102，接收终端设备响应于该通信请求发送的具有签名的第二加密数据。
终端设备在接收到服务器发送的通信请求后，能够响应于该通信请求向服务器发送具有签名的第二加密数据。服务器能够接收该第二加密数据。
其中，该第二加密数据为采用第一密钥对中公钥对终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及终端设备的设备标识进行加密得到的。第二加密数据的签名是终端设备采用第二密钥对中的私钥进行签名的。
其中，第三密钥对中包括私钥和公钥，是由终端设备中数字钥匙在可信环境下生成并存储的，是可以代表该数字钥匙的密钥对。其中，第三密钥对中的私钥是该数字钥匙所独有的。
可选地，数字钥匙可以是作为可信应用TA存储在可信执行环境TEE中。
同样地，第二密钥对中也包括公钥和私钥，是由终端设备在非可信环境下生成并存储的，是可以代表该终端设备的密钥对。该第二密钥对可以被用来验证该终端设备的合法性，每一个终端设备都可以有对应的第二密钥对。
步骤103，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识。
服务器能够采用存储的第一密钥对中的私钥对采用第一密钥对中的公钥进行加密第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识。
步骤104，查找该设备标识对应的终端设备在非可信环境下存储的第二密钥对中的公钥。
服务器能够根据该设备标识查找到该设备标识对应的第二密钥对中的公钥。
在一些实施方式中，服务器能够通过与终端设备之间的可信通信通道，读取该第二密钥对中的公钥，以及读取该终端设备的设备标识，并能够建立该设备标识与该第二密钥对中的公钥之间的对应关系。
也就是，服务器能够通过可信通信通道获取该终端设备的设备标识以及第二密钥对中的公钥，并能够建立二者之间的对应关系。
步骤105，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
第二加密数据的签名是终端设备采用第二密钥对中的私钥进行签名的。因此，服务器能够根据获取到的第二密钥对中的公钥对第二加密数据的签名进行验证。服务器能够根据对第二加密数据的签名的验证确认该终端设备的合法性。
若验证通过，说明确认了该终端设备合法，服务器能够根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
服务器获取了该终端设备中的数字钥匙在可信环境下存储的第三密钥对中的公钥，且服务器的公钥是通过可信通信通道写入终端设备的可信执行环境中的，服务器和数字钥匙都能够获取对方的公钥，且验证了对方的合法性，双方能够根据对方的公钥建立可信的安全通信。
在本申请实施例中，服务器可以根据第三密钥对中的公钥，采用任一种加密算法，与数字钥匙进行安全通信。
在一些实施方式中，服务器可以根据第三密钥对中的公钥，采用任一种加密算法对通信数据进行加密，数字钥匙在接收到采用第三密钥对中的公钥加密的数据后，能够采用第三密钥对中的私钥对加密的数据进行解密，实现服务器与数字钥匙之间的安全通信。可以理解的是，数字钥匙也可以根据第一密钥对中的公钥，采用任一种加密算法对通信数据进行加密，服务器在接收到采用第一密钥对中的公钥加密的数据后，能够采用第一密钥对中的私钥对加密的数据进行解密。
在一些实施方式中，服务器可以根据第三密钥对中的公钥和第一密钥对中的私钥，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥，通过该对称密钥与数字钥匙进行安全通信。需要说明的是，数字钥匙可以根据第三密钥对中的私钥和第一密钥对中的公钥，采用迪菲-赫尔曼密钥交换/协商算法生成同样的对称密钥。另外需要说明的是，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥进行安全通信的方式，计算速度较快，能够有效降低通信时延。
在本申请实施例中，该安全通信也可以基于任一种安全标准，比如SCP03(SecureChannel Protocol，安全通道协议)标准，本申请对建立安全通信所采用的密钥加密算法以及安全通道标准不作限定。
本公开实施例的通信建立方法，通过向终端设备发送通信请求，接收终端设备响应于该通信请求发送的具有签名的第二加密数据，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识，查找该设备标识对应的终端设备在非可信环境下存储的第二密钥对中的公钥，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
需要说明的是，在本申请实施例中，可以采用任一种加密和解密算法对数据进行加密和解密，也可以采用任一种签名和验证的算法进行签名和验证，本申请实施例在此不对其进行限定。
图2为本公开另一实施例所提供的通信建立方法的流程示意图。需要说明的是，本公开实施例的通信建立方法由服务器执行。如图2所示，该通信建立方法可以包括以下步骤：
步骤201，生成并存储第一密钥对。
服务器能够生成并存储第一密钥对，第一密钥对中包括私钥和公钥，是可以代表服务器的密钥对。例如，第一密钥对中包括公钥Server pk和私钥Server sk。该第一密钥对可以被用来验证该服务器的合法性，其中，第一密钥对中的私钥是该服务器所独有的。
可以通过采用第一密钥对中的私钥进行签名以及采用第一密钥对中的公钥进行验证，来验证服务器的身份是否可信。
步骤202，通过与终端设备之间的可信通信通道，向该终端设备的可信执行环境写入第一密钥对中的公钥。
服务器能够通过与终端设备之间的可信通信通道，向终端设备写入第一密钥对中的公钥。
可选地，向该终端设备的可信执行环境TEE中写入该第一密钥对中的公钥。例如，服务器能够通过与终端设备之间的可信通信通道，将Server pk预置在终端设备的可信执行环境TEE中。
可以理解的是，在本申请实施例中，服务器与终端设备之间的可信通信通道，说明在该通信通道进行传输的数据都是合法的可信的，服务器和终端设备能够通过该可信通信通道进行通信，交换彼此的公钥。通常，该可信通信通道是在终端设备的官方工厂中建立的通信通道，也就是该写入过程通常是在终端设备的官方工厂中完成的。
步骤203，通过与终端设备之间的可信通信通道，读取该终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取该终端设备的设备标识。
其中，第二密钥对中包括公钥和私钥，是由终端设备在非可信环境下生成并存储的，是可以代表该终端设备的密钥对。例如，第二密钥对中包括公钥Device root pk和私钥Device root sk。该第二密钥对可以被用来验证该终端设备的合法性，每一个终端设备都可以有对应的第二密钥对。
在本申请实施例中，每一个终端设备也有一个对应的设备标识。
在本申请实施例中，服务器能够通过与终端设备之间的可信通信通道，读取该终端设备的设备标识以及该第二密钥对中的公钥。例如，服务器能够通过与终端设备之间的可信通信通道，读取终端设备的Device root pk以及终端设备的设备标识。
可以理解的是，服务器可以与至少一个终端设备进行通信，服务器可以读取各终端设备的设备标识以及各终端设备对应的第二密钥对中的公钥。
步骤204，建立设备标识与第二密钥对中的公钥之间的对应关系。
服务器在读取到终端设备的设备标识以及第二密钥对中的公钥后，能够建立二者之间的对应关系。
可以理解的是，服务器可以与至少一个终端设备进行通信，服务器可以读取各终端设备的设备标识以及各终端设备对应的第二密钥对中的公钥，建立各终端设备的设备标识与各终端设备对应的第二密钥对中的公钥的对应关系。
步骤205，向终端设备发送通信请求，该通信请求采用第一密钥对中的私钥进行签名。
服务器为了与终端设备中的数字钥匙建立可信通信，能够向终端设备发送通信请求，该通信请求采用第一密钥对中的私钥进行了签名。
需要说明的是，采用第一密钥对中的私钥进行签名，对应的需要采用第一密钥对中的公钥进行验证。在本申请实施例中，终端设备可以通过预置的第一密钥对中的公钥对该签名进行验证，以验证服务器的合法性。
步骤206，接收终端设备响应于该通信请求发送的具有签名的第二加密数据。
终端设备在接收到服务器发送的通信请求后，能够响应于该通信请求向服务器发送具有签名的第二加密数据。服务器能够接收该第二加密数据。
其中，该第二加密数据为采用第一密钥对中公钥对终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及终端设备的设备标识进行加密得到的。第二加密数据的签名是终端设备采用第二密钥对中的私钥进行签名的。
其中，第三密钥对中包括公钥和私钥，是由终端设备中数字钥匙在可信环境下生成并存储的，是可以代表该数字钥匙的密钥对。例如，第三密钥对中包括公钥Devicedigitalkey pk和私钥Device digitalkey sk。其中，第三密钥对中的私钥是该数字钥匙所独有的。
可选地，数字钥匙可以是作为可信应用TA存储在可信执行环境TEE中。
步骤207，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识。
服务器能够采用存储的第一密钥对中的私钥对采用第一密钥对中的公钥进行加密第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识。
步骤208，查找该设备标识对应的终端设备在非可信环境下存储的第二密钥对中的公钥。
服务器建立了设备标识与第二密钥对中的公钥之间的对应关系，能够根据该设备标识查找到该设备标识对应的第二密钥对中的公钥。
步骤209，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
第二加密数据的签名是终端设备采用第二密钥对中的私钥进行签名的。因此，服务器能够根据获取到的第二密钥对中的公钥对第二加密数据的签名进行验证。服务器能够根据对第二加密数据的签名的验证确认该终端设备的合法性。
若验证通过，说明确认了该终端设备合法，服务器能够根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
服务器获取了该终端设备中的数字钥匙在可信环境下存储的第三密钥对中的公钥，且服务器的公钥是通过可信通信通道写入终端设备的可信执行环境中的，服务器和数字钥匙都能够获取对方的公钥，且验证了对方的合法性，双方能够根据对方的公钥建立可信的安全通信。
在本申请实施例中，服务器可以根据第三密钥对中的公钥，采用任一种加密算法，与数字钥匙进行安全通信。
在一些实施方式中，服务器可以根据第三密钥对中的公钥，采用任一种加密算法对通信数据进行加密，数字钥匙在接收到采用第三密钥对中的公钥加密的数据后，能够采用第三密钥对中的私钥对加密的数据进行解密，实现服务器与数字钥匙之间的安全通信。可以理解的是，数字钥匙也可以根据第一密钥对中的公钥，采用任一种加密算法对通信数据进行加密，服务器在接收到采用第一密钥对中的公钥加密的数据后，能够采用第一密钥对中的私钥对加密的数据进行解密。
在一些实施方式中，服务器可以根据第三密钥对中的公钥和第一密钥对中的私钥，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥，通过该对称密钥与数字钥匙进行安全通信。需要说明的是，数字钥匙可以根据第三密钥对中的私钥和第一密钥对中的公钥，采用迪菲-赫尔曼密钥交换/协商算法生成同样的对称密钥。另外需要说明的是，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥进行安全通信的方式，计算速度较快，能够有效降低通信时延。
在本申请实施例中，该安全通信也可以基于任一种安全标准，比如SCP03(SecureChannel Protocol，安全通道协议)标准，本申请对建立安全通信所采用的密钥加密算法以及安全通道标准不作限定。
本公开实施例的通信建立方法，通过生成并存储第一密钥对，通过与终端设备之间的可信通信通道，向该终端设备的可信执行环境写入第一密钥对中的公钥，通过与终端设备之间的可信通信通道，读取该终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取该终端设备的设备标识，建立设备标识与第二密钥对中的公钥之间的对应关系，向终端设备发送通信请求，该通信请求采用第一密钥对中的私钥进行签名，接收终端设备响应于该通信请求发送的具有签名的第二加密数据，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识，查找该设备标识对应的终端设备在非可信环境下存储的第二密钥对中的公钥，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
图3为本公开一实施例所提供的通信建立方法的流程示意图。需要说明的是，本公开实施例的通信建立方法由终端设备执行。如图3所示，该通信建立方法可以包括以下步骤：
步骤301，接收服务器发送的通信请求。
服务器为了与终端设备中的数字钥匙建立可信通信，能够向终端设备发送通信请求。
在一些实施方式中，该通信请求采用第一密钥对中的私钥进行了签名。终端设备能够采用第一密钥对中的公钥对该通信请求的签名进行验证。
其中，第一密钥对中包括私钥和公钥，是由服务器生成并存储的，是可以代表服务器的密钥对。其中，第一密钥对中的私钥是该服务器所独有的。可以通过采用第一密钥对中的私钥进行签名以及采用第一密钥对中的公钥进行验证，来验证服务器的身份是否可信。
在一些实施方式中，终端设备能够通过与服务器之间的可信通信通道，读取第一密钥对中的公钥。也就是，终端设备能够通过可信通信通道获取代表服务器的第一密钥对中的公钥。服务器可以通过与终端设备之间的可信通信通道，向终端设备的可信执行环境写入第一密钥对中的公钥。该终端设备读取该第一密钥对中的公钥，并将该第一密钥对中的公钥写进终端的可信执行环境TEE中。
步骤302，响应于该通信请求，采用终端设备存储的第一密钥对中的公钥，对该终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识进行加密，得到第二加密数据。
终端设备在接收到服务器发送的通信请求后，能够响应于该通信请求，采用第一密钥对中公钥对终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及终端设备的设备标识进行加密得到第二加密数据。
其中，第三密钥对中包括私钥和公钥，是由终端设备中数字钥匙在可信环境下生成并存储的，是可以代表该数字钥匙的密钥对。其中，第三密钥对中的私钥是该数字钥匙所独有的。
可选地，数字钥匙可以是作为可信应用TA存储在可信执行环境TEE中。
同样地，第二密钥对中也包括公钥和私钥，是由终端设备在非可信环境下生成并存储的，是可以代表该终端设备的密钥对。该第二密钥对可以被用来验证该终端设备的合法性，每一个终端设备都可以有对应的第二密钥对。
步骤303，采用终端设备在非可信环境下存储的第二密钥对中的私钥，对第二加密数据进行签名。
终端设备能够采用第二密钥对中的私钥对第二加密数据进行签名。服务器在接收到具有签名的第二加密数据后，能够采用第二密钥对中的公钥对其进行验证，以验证终端设备的合法性。
步骤304，向服务器发送具有签名的第二加密数据，以使服务器对该具有签名的第二加密数据进行解密和验证，并根据解密得到的第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
终端设备向服务器发送该具有签名的第二加密数据。
服务器能够根据第一密钥对中的私钥对第二加密数据进行解密，得到第三密钥对中的公钥。服务器能够根据获取到的第二密钥对中的公钥对第二加密数据的签名进行验证，以确认该终端设备的合法性。
若验证通过，说明确认了该终端设备合法，服务器能够根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
在一些实施方式中，终端设备能够通过与服务器之间的可信通信通道，向服务器发送第二密钥对中的公钥，以及终端设备的设备标识。服务器能够建立该设备标识与该第二密钥对中的公钥之间的对应关系。也就是，服务器能够通过可信通信通道获取该终端设备的设备标识以及第二密钥对中的公钥，并能够建立二者之间的对应关系。
终端设备能够通过可信通信通道获取服务器的公钥，且服务器获取了该终端设备中的数字钥匙在可信环境下存储的第三密钥对中的公钥，服务器和数字钥匙都能够获取对方的公钥，且验证了对方的合法性，双方能够根据对方的公钥建立可信的安全通信。
在本申请实施例中，服务器和数字钥匙可以根据获取的彼此的公钥，采用任一种加密算法，进行安全通信。
在一些实施方式中，数字钥匙可以根据获取的第一密钥对中的公钥，采用任一种加密算法对通信数据进行加密，服务器在接收到采用第一密钥对中的公钥加密的数据后，能够采用第一密钥对中的私钥对加密的数据进行解密，实现服务器与数字钥匙之间的安全通信。可以理解的是，服务器也可以根据第三密钥对中的公钥，采用任一种加密算法对通信数据进行加密，数字钥匙在接收到采用第三密钥对中的公钥加密的数据后，能够采用第三密钥对中的私钥对加密的数据进行解密。
在一些实施方式中，数字钥匙可以根据第三密钥对中的私钥和第一密钥对中的公钥，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥，通过该对称密钥与服务器进行安全通信。需要说明的是，服务器可以根据第三密钥对中的公钥和第一密钥对中的私钥，采用迪菲-赫尔曼密钥交换/协商算法生成同样的对称密钥。另外需要说明的是，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥进行安全通信的方式，计算速度较快，能够有效降低通信时延。
在本申请实施例中，该安全通信也可以基于任一种安全标准，比如SCP03(SecureChannel Protocol，安全通道协议)标准，本申请对建立安全通信所采用的密钥加密算法以及安全通道标准不作限定。
本公开实施例的通信建立方法，通过接收服务器发送的通信请求，响应于该通信请求，采用终端设备存储的第一密钥对中的公钥，对该终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识进行加密，得到第二加密数据，采用终端设备在非可信环境下存储的第二密钥对中的私钥，对第二加密数据进行签名，向服务器发送具有签名的第二加密数据，以使服务器对该具有签名的第二加密数据进行解密和验证，并根据解密得到的第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
需要说明的是，在本申请实施例中，可以采用任一种加密和解密算法对数据进行加密和解密，也可以采用任一种签名和验证的算法进行签名和验证，本申请实施例在此不对其进行限定。
图4为本公开另一实施例所提供的通信建立方法的流程示意图。需要说明的是，本公开实施例的通信建立方法由终端设备执行。如图4所示，该通信建立方法可以包括以下步骤：
步骤401，在非可信环境下生成并存储第二密钥对。
其中，第二密钥对中包括公钥和私钥，是可以代表该终端设备的密钥对。例如，第二密钥对中包括公钥Device root pk和私钥Device root sk。该第二密钥对可以被用来验证该终端设备的合法性，每一个终端设备都可以有对应的第二密钥对。
步骤402，通过与服务器之间的可信通信通道，向服务器发送第二密钥对中的公钥，以及终端设备的设备标识。
终端设备能够通过与服务器之间的可信通信通道，向服务器发送第二密钥对中的公钥，以及终端设备的设备标识。例如，终端设备能够通过与服务器之间的可信通信通道，向服务器发送终端设备的Device root pk以及终端设备的设备标识。
可以理解的是，在本申请实施例中，服务器与终端设备之间的可信通信通道，说明在该通信通道进行传输的数据都是合法的可信的，服务器和终端设备能够通过该可信通信通道进行通信，交换彼此的公钥。通常，该可信通信通道是在终端设备的官方工厂中建立的通信通道，也就是该过程通常是在终端设备的官方工厂中完成的。
步骤403，通过与服务器之间的可信通信通道，读取服务器存储的所述第一密钥对中的公钥，并将该第一密钥对中的公钥写进终端的可信执行环境中。
终端设备能够通过与服务器之间的可信通信通道，读取第一密钥对中的公钥，并将该第一密钥对中的公钥写进终端的可信执行环境TEE中。
其中，第一密钥对中包括私钥和公钥，是由服务器能够生成并存储的，是可以代表服务器的密钥对。例如，第一密钥对中包括公钥Server pk和私钥Server sk。该第一密钥对可以被用来验证该服务器的合法性，其中，第一密钥对中的私钥是该服务器所独有的。
该终端设备中的可信执行环境TEE能够获取该第一密钥对中的公钥。例如，服务器能够通过与终端设备之间的可信通信通道，将Server pk预置在终端设备的可信执行环境TEE中。
步骤404，接收服务器发送的通信请求，该通信请求采用第一密钥对中的私钥进行签名。
服务器为了与终端设备中的数字钥匙建立可信通信，能够向终端设备发送通信请求，该通信请求采用第一密钥对中的私钥进行了签名。终端设备能够采用预置的第一密钥对中的公钥对该通信请求的签名进行验证。
步骤405，响应于该通信请求，采用终端设备存储的第一密钥对中的公钥，对该终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识进行加密，得到第二加密数据。
终端设备在接收到服务器发送的通信请求后，能够响应于该通信请求，采用预置的第一密钥对中公钥对终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及终端设备的设备标识进行加密得到第二加密数据。
其中，第三密钥对中包括私钥和公钥，是由终端设备中数字钥匙在可信环境下生成并存储的，是可以代表该数字钥匙的密钥对。例如，第三密钥对中包括公钥Devicedigitalkey pk和私钥Device digitalkey sk。其中，第三密钥对中的私钥是该数字钥匙所独有的。
可选地，数字钥匙可以是作为可信应用TA存储在可信执行环境TEE中。
例如，在本申请实施例中，终端设备可以采用server pk对Device digitalkey pk和终端设备的设备标识进行加密，得到第二加密数据。
步骤406，采用终端设备在非可信环境下存储的第二密钥对中的私钥，对第二加密数据进行签名。
终端设备能够采用第二密钥对中的私钥对第二加密数据进行签名。服务器在接收到具有签名的第二加密数据后，能够采用第二密钥对中的公钥对其进行验证，以验证终端设备的合法性。
步骤407，向服务器发送具有签名的第二加密数据，以使服务器对该具有签名的第二加密数据进行解密和验证，并根据解密得到的第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
终端设备向服务器发送该具有签名的第二加密数据。
服务器能够根据第一密钥对中的私钥对第二加密数据进行解密，得到第三密钥对中的公钥。服务器能够根据获取到的第二密钥对中的公钥对第二加密数据的签名进行验证，以确认该终端设备的合法性。
若验证通过，说明确认了该终端设备合法，服务器能够根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信。
在一些实施方式中，终端设备能够通过与服务器之间的可信通信通道，向服务器发送第二密钥对中的公钥，以及终端设备的设备标识。服务器能够建立该设备标识与该第二密钥对中的公钥之间的对应关系。也就是，服务器能够通过可信通信通道获取该终端设备的设备标识以及第二密钥对中的公钥，并能够建立二者之间的对应关系。
终端设备能够通过可信通信通道获取服务器的公钥，且服务器获取了该终端设备中的数字钥匙在可信环境下存储的第三密钥对中的公钥，服务器和数字钥匙都能够获取对方的公钥，且验证了对方的合法性，双方能够根据对方的公钥建立可信的安全通信。
在本申请实施例中，服务器和数字钥匙可以根据获取的彼此的公钥，采用任一种加密算法，进行安全通信。
在一些实施方式中，数字钥匙可以根据获取的第一密钥对中的公钥，采用任一种加密算法对通信数据进行加密，服务器在接收到采用第一密钥对中的公钥加密的数据后，能够采用第一密钥对中的私钥对加密的数据进行解密，实现服务器与数字钥匙之间的安全通信。可以理解的是，服务器也可以根据第三密钥对中的公钥，采用任一种加密算法对通信数据进行加密，数字钥匙在接收到采用第三密钥对中的公钥加密的数据后，能够采用第三密钥对中的私钥对加密的数据进行解密。
在一些实施方式中，数字钥匙可以根据第三密钥对中的私钥和第一密钥对中的公钥，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥，通过该对称密钥与服务器进行安全通信。需要说明的是，服务器可以根据第三密钥对中的公钥和第一密钥对中的私钥，采用迪菲-赫尔曼密钥交换/协商算法生成同样的对称密钥。另外需要说明的是，采用迪菲-赫尔曼密钥交换/协商算法生成对称密钥进行安全通信的方式，计算速度较快，能够有效降低通信时延。
在本申请实施例中，该安全通信也可以基于任一种安全标准，比如SCP03(SecureChannel Protocol，安全通道协议)标准，本申请对建立安全通信所采用的密钥加密算法以及安全通道标准不作限定。
本公开实施例的通信建立方法，通过在非可信环境下生成并存储第二密钥对，通过与服务器之间的可信通信通道，向服务器发送第二密钥对中的公钥，以及终端设备的设备标识，通过与服务器之间的可信通信通道，读取服务器存储的所述第一密钥对中的公钥，接收服务器发送的通信请求，该通信请求采用第一密钥对中的私钥进行签名，响应于该通信请求，采用终端设备存储的第一密钥对中的公钥，对该终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识进行加密，得到第二加密数据，采用终端设备在非可信环境下存储的第二密钥对中的私钥，对第二加密数据进行签名向服务器发送具有签名的第二加密数据，以使服务器对该具有签名的第二加密数据进行解密和验证，并根据解密得到的第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
与上述实施例提供的通信建立方法相对应，本公开还提供一种通信建立装置，由于本公开实施例提供的通信建立装置与上述实施例提供的通信建立方法相对应，因此在通信建立方法的实施方式也适用于本公开实施例提供的通信建立装置，在本公开实施例中不再详细描述。
图5为本公开一实施例所提供的通信建立装置的结构示意图。
如图5所示，该通信建立装置500可以包括：发送模块510，接收模块520，解密模块530，查找模块540和验证模块550。
其中，发送模块510，用于向终端设备发送通信请求；
接收模块520，用于接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据；
解密模块530，用于采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识；
查找模块540，用于查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥；
验证模块550，用于采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述发送模块510具体用于：
向所述终端设备发送通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
其中，所述通信请求的签名，用于所述终端设备采用所述第一密钥对中的公钥进行验证。
可选地，如图6所示，图6为本公开另一实施例所提供的通信建立装置的结构示意图，所述装置500还包括：
读取模块560，用于通过与所述终端设备之间的可信通信通道，读取所述终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取所述终端设备的设备标识；
关联模块570，用于建立所述设备标识与所述第二密钥对中的公钥之间的对应关系。
可选地，所述装置500还包括：
密钥生成模块580，用于生成并存储所述第一密钥对；
预置模块590，用于通过与所述终端设备之间的可信通信通道，向所述终端设备的可信执行环境写入所述第一密钥对中的公钥。
本公开实施例的文件写通信建立装置，通过向终端设备发送通信请求，接收终端设备响应于该通信请求发送的具有签名的第二加密数据，采用服务器存储的第一密钥对中的私钥对第二加密数据进行解密，得到终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到该终端设备的设备标识，查找该设备标识对应的终端设备在非可信环境下存储的第二密钥对中的公钥，采用第二密钥对中的公钥验证第二加密数据的签名，若验证通过，根据第三密钥对中的公钥，建立与该数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
图7为本公开一实施例所提供的通信建立装置的结构示意图。
如图7所示，该通信建立装置700可以包括：接收模块710，加密模块720，签名模块730和发送模块740。
其中，接收模块710，用于接收服务器发送的通信请求；
加密模块720，用于响应于所述通信请求，采用所述终端设备存储的第一密钥对中的公钥，对所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及所述终端设备的设备标识进行加密，得到第二加密数据；
签名模块730，用于采用所述终端设备在非可信环境下存储的第二密钥对中的私钥，对所述第二加密数据进行签名；
发送模块740，用于向所述服务器发送具有签名的第二加密数据，以使所述服务器对所述具有签名的第二加密数据进行解密和验证，并根据解密得到的所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
可选地，所述接收模块710具体用于：
接收所述服务器发送的通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
采用所述第一密钥对中的公钥进行验证所述通信请求的签名。
可选地，如图8所示，图8为本公开另一实施例所提供的通信建立装置的结构示意图，所述装置700还包括：
密钥生成模块750，用于在非可信环境下生成并存储第二密钥对；
写入模块760，用于通过与所述服务器之间的可信通信通道，向所述服务器发送所述第二密钥对中的公钥，以及所述终端设备的设备标识。
可选地，所述装置700还包括：
读取模块770，用于通过与所述服务器之间的可信通信通道，读取所述服务器存储的所述第一密钥对中的公钥，并将所述第一密钥对中的公钥写进终端的可信执行环境中。
本公开实施例的文件写通信建立装置，通过接收服务器发送的通信请求，响应于该通信请求，采用终端设备存储的第一密钥对中的公钥，对该终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及该终端设备的设备标识进行加密，得到第二加密数据，采用终端设备在非可信环境下存储的第二密钥对中的私钥，对第二加密数据进行签名，向服务器发送具有签名的第二加密数据，以使服务器对该具有签名的第二加密数据进行解密和验证，并根据解密得到的第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信，使得终端设备中的数字钥匙与服务器能够在双方建立通信之前验证对方的合法性，拥有对方的公钥，并能够建立双方互信的通信，有效保证了可信环境下的数字钥匙与服务器之间的数据传输的安全性和可靠性。
为了实现上述实施例，本公开还提出一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现如本公开图1至图2实施例提出的通信建立方法，或者实现如本公开图3至图4实施例提出的通信建立方法。
为了实现上述实施例，本公开还提出一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本公开图1至图2实施例提出的通信建立方法，或者实现如本公开图3至图4实施例提出的通信建立方法。
为了实现上述实施例，本公开还提出一种计算机程序产品，当所述计算机程序产品中的指令由处理器执行时，执行如本公开图1至图2实施例提出的通信建立方法，或者执行如本公开图3至图4实施例提出的通信建立方法。
图9是根据一示例性实施例示出的一种电子设备的框图。例如，装置200可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。
参照图9，装置900可以包括以下一个或多个组件：处理组件902，存储器904，电力组件906，多媒体组件908，音频组件910，输入/输出(I/O)接口912，传感器组件914，以及通信组件916。
处理组件902通常控制装置900的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件902可以包括一个或多个处理器920来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件902可以包括一个或多个模块，便于处理组件902和其他组件之间的交互。例如，处理组件902可以包括多媒体模块，以方便多媒体组件908和处理组件902之间的交互。
存储器904被配置为存储各种类型的数据以支持在装置900的操作。这些数据的示例包括用于在装置900上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器904可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
电力组件906为装置900的各种组件提供电力。电力组件906可以包括电源管理系统，一个或多个电源，及其他与为装置900生成、管理和分配电力相关联的组件。
多媒体组件908包括在所述装置900和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件908包括一个前置摄像头和/或后置摄像头。当装置900处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。
音频组件910被配置为输出和/或输入音频信号。例如，音频组件910包括一个麦克风(MIC)，当装置900处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器904或经由通信组件916发送。在一些实施例中，音频组件910还包括一个扬声器，用于输出音频信号。
I/O接口912为处理组件902和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。
传感器组件914包括一个或多个传感器，用于为装置900提供各个方面的状态评估。例如，传感器组件914可以检测到装置900的打开/关闭状态，组件的相对定位，例如所述组件为装置900的显示器和小键盘，传感器组件914还可以检测装置900或装置900一个组件的位置改变，用户与装置900接触的存在或不存在，装置900方位或加速/减速和装置900的温度变化。传感器组件914可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件914还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件914还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。
通信组件916被配置为便于装置900和其他设备之间有线或无线方式的通信。装置900可以接入基于通信标准的无线网络，如WiFi，4G或5G，或它们的组合。在一个示例性实施例中，通信组件916经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件916还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。
在示例性实施例中，装置900可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。
在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器904，上述指令可由装置900的处理器920执行以完成上述方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本公开的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。
此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本公开的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。
流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现定制逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本公开的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本公开的实施例所属技术领域的技术人员所理解。
在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。
应当理解，本公开的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。如，如果用硬件来实现和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
此外，在本公开各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。
上述提到的存储介质可以是只读存储器，磁盘或光盘等。尽管上面已经示出和描述了本公开的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本公开的限制，本领域的普通技术人员在本公开的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (22)

1.一种通信建立方法，其特征在于，所述方法由服务器执行，所述方法包括：
向终端设备发送通信请求；
接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据；
采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识；
查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥；
采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
2.根据权利要求1所述的方法，其特征在于，所述向终端设备发送通信请求，包括：
向所述终端设备发送通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
其中，所述通信请求的签名，用于所述终端设备采用所述第一密钥对中的公钥进行验证。
3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：
通过与所述终端设备之间的可信通信通道，读取所述终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取所述终端设备的设备标识；
建立所述设备标识与所述第二密钥对中的公钥之间的对应关系。
4.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：
生成并存储所述第一密钥对；
通过与所述终端设备之间的可信通信通道，向所述终端设备的可信执行环境写入所述第一密钥对中的公钥。
5.一种通信建立方法，其特征在于，所述方法由终端设备执行，所述方法包括：
接收服务器发送的通信请求；
响应于所述通信请求，采用所述终端设备存储的第一密钥对中的公钥，对所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及所述终端设备的设备标识进行加密，得到第二加密数据；
采用所述终端设备在非可信环境下存储的第二密钥对中的私钥，对所述第二加密数据进行签名；
向所述服务器发送具有签名的第二加密数据，以使所述服务器对所述具有签名的第二加密数据进行解密和验证，并根据解密得到的所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
6.根据权利要求5所述的方法，其特征在于，所述接收服务器发送的通信请求，包括：
接收所述服务器发送的通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
采用所述第一密钥对中的公钥进行验证所述通信请求的签名。
7.根据权利要求5或6所述的方法，其特征在于，所述方法还包括：
在非可信环境下生成并存储第二密钥对；
通过与所述服务器之间的可信通信通道，向所述服务器发送所述第二密钥对中的公钥，以及所述终端设备的设备标识。
8.根据权利要求5或6所述的方法，其特征在于，所述方法还包括：
通过与所述服务器之间的可信通信通道，读取所述服务器存储的所述第一密钥对中的公钥并将所述第一密钥对中的公钥写进终端的可信执行环境中。
9.一种通信建立装置，其特征在于，所述装置应用于服务器，所述装置包括：
发送模块，用于向终端设备发送通信请求；
接收模块，用于接收所述终端设备响应于所述通信请求发送的具有签名的第二加密数据；
解密模块，用于采用所述服务器存储的第一密钥对中的私钥对所述第二加密数据进行解密，得到所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及得到所述终端设备的设备标识；
查找模块，用于查找所述设备标识对应的所述终端设备在非可信环境下存储的第二密钥对中的公钥；
验证模块，用于采用所述第二密钥对中的公钥验证所述第二加密数据的签名，若验证通过，根据所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
10.根据权利要求9所述的装置，其特征在于，所述发送模块具体用于：
向所述终端设备发送通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
其中，所述通信请求的签名，用于所述终端设备采用所述第一密钥对中的公钥进行验证。
11.根据权利要求9或10所述的装置，其特征在于，所述装置还包括：
读取模块，用于通过与所述终端设备之间的可信通信通道，读取所述终端设备在非可信环境下存储的第二密钥对中的公钥，以及读取所述终端设备的设备标识；
关联模块，用于建立所述设备标识与所述第二密钥对中的公钥之间的对应关系。
12.根据权利要求9或10所述的装置，其特征在于，所述装置还包括：
密钥生成模块，用于生成并存储所述第一密钥对；
预置模块，用于通过与所述终端设备之间的可信通信通道，向所述终端设备的可信执行环境写入所述第一密钥对中的公钥。
13.一种通信建立装置，其特征在于，所述装置应用于终端设备，所述装置包括：
接收模块，用于接收服务器发送的通信请求；
加密模块，用于响应于所述通信请求，采用所述终端设备存储的第一密钥对中的公钥，对所述终端设备中数字钥匙所在可信环境下存储的第三密钥对中的公钥，以及所述终端设备的设备标识进行加密，得到第二加密数据；
签名模块，用于采用所述终端设备在非可信环境下存储的第二密钥对中的私钥，对所述第二加密数据进行签名；
发送模块，用于向所述服务器发送具有签名的第二加密数据，以使所述服务器对所述具有签名的第二加密数据进行解密和验证，并根据解密得到的所述第三密钥对中的公钥，建立与所述数字钥匙之间的安全通信。
14.根据权利要求13所述的装置，其特征在于，所述接收模块具体用于：
接收所述服务器发送的通信请求，所述通信请求采用所述第一密钥对中的私钥进行签名；
采用所述第一密钥对中的公钥进行验证所述通信请求的签名。
15.根据权利要求13或14所述的装置，其特征在于，所述装置还包括：
密钥生成模块，用于在非可信环境下生成并存储第二密钥对；
写入模块，用于通过与所述服务器之间的可信通信通道，向所述服务器发送所述第二密钥对中的公钥，以及所述终端设备的设备标识。
16.根据权利要求13或14所述的装置，其特征在于，所述装置还包括：
读取模块，用于通过与所述服务器之间的可信通信通道，读取所述服务器存储的所述第一密钥对中的公钥并将所述第一密钥对中的公钥写进终端的可信执行环境中。
17.一种电子设备，其特征在于，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现如权利要求1-4中任一所述的通信建立方法。
18.一种电子设备，其特征在于，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时，实现如权利要求5-8中任一所述的通信建立方法。
19.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一所述的通信建立方法。
20.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求5-8中任一所述的通信建立方法。
21.一种计算机程序产品，其特征在于，当所述计算机程序产品中的指令由处理器执行时，执行如权利要求1-4中任一所述的通信建立方法。
22.一种计算机程序产品，其特征在于，当所述计算机程序产品中的指令由处理器执行时，执行如权利要求5-8中任一所述的通信建立方法。
CN202210116866.3A 2022-02-07 2022-02-07 通信建立方法、装置、电子设备和存储介质 Pending CN116600285A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210116866.3A CN116600285A (zh) 2022-02-07 2022-02-07 通信建立方法、装置、电子设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210116866.3A CN116600285A (zh) 2022-02-07 2022-02-07 通信建立方法、装置、电子设备和存储介质

Publications (1)

Publication Number Publication Date
CN116600285A true CN116600285A (zh) 2023-08-15

Family

ID=87597818

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210116866.3A Pending CN116600285A (zh) 2022-02-07 2022-02-07 通信建立方法、装置、电子设备和存储介质

Country Status (1)

Country Link
CN (1) CN116600285A (zh)

Similar Documents

Publication Publication Date Title
CN104955031A (zh) 信息传输方法及装置
CN113242224B (zh) 授权方法及装置、电子设备和存储介质
CN104852911A (zh) 安全验证方法、装置及系统
CN104243484A (zh) 信息交互方法及装置、电子设备
CN104219058A (zh) 身份认证、身份授权方法及装置
CN113343212B (zh) 设备注册方法及装置、电子设备和存储介质
US20220294624A1 (en) Encryption method and device, electronic apparatus and storage medium
CN112182647A (zh) 数据读取方法及装置、数据授权方法及装置、存储介质
CN112182646A (zh) 数据读取方法及装置、数据授权方法及装置、存储介质
CN104869001A (zh) 短信认证方法及装置
CN104852800A (zh) 数据传输方法及装置
CN114221764A (zh) 基于区块链的公钥更新方法、装置和设备
CN104331672A (zh) 一种基于手环对图片进行保密处理的方法及装置
CN107302519B (zh) 一种终端设备的身份认证方法、装置和终端设备、服务器
CN115277117A (zh) 文件查看方法、装置、电子设备以及存储介质
CN113868505A (zh) 数据处理方法、装置、电子设备、服务器及存储介质
CN116600285A (zh) 通信建立方法、装置、电子设备和存储介质
CN108924136B (zh) 授权认证方法、装置及存储介质
CN113591120A (zh) 信息发布方法及装置、电子设备和存储介质
CN113225691B (zh) 音频处理方法、装置及存储介质
CN111241522B (zh) 固件签名方法及装置、存储介质
CN112187771B (zh) 一种认证方法、装置和用于认证的装置
CN107318148B (zh) 无线局域网接入信息存储方法及装置
CN116744435A (zh) 终端设备的定位方法、装置、电子设备及存储介质
CN115879123A (zh) 私密数据的管理方法、装置、终端设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination