CN117376006A - 一种临时会话密钥安全通信方法、装置、电子设备及介质 - Google Patents

Abstract

本说明书实施例公开了一种临时会话密钥安全通信方法、装置、电子设备及介质。其中，临时会话密钥安全通信方法中方法包括接收客户端发送的会话连接建立请求；当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，用户信息包括临时会话密钥；向客户端发送连接响应；当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息；基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应。本说明书实施例减小了加密密钥破解的风险，增加了通信安全性。

Description

一种临时会话密钥安全通信方法、装置、电子设备及介质

技术领域

本说明书的一个或多个实施例涉及通信安全技术领域，具体涉及一种临时会话密钥安全通信方法、装置、电子设备及介质。

背景技术

在计算机网络或其他通信系统中，保护通信过程和传输的信息免受未经授权的访问、窃听、篡改或其他恶意活动的影响，在保护个人隐私、数据交易等方面起着关键的作用，能够帮助确保通信数据的安全性和可信度。为确保数据的保密性，目前一般采用对称加密技术，即在对称加密中，使用相同的密钥用于加密和解密数据，然而，若在一个对称密钥的生命周期内，所有通信均采用该加密密钥，在海量数据下存在密钥破解的可能性，使得数据的安全性和可信度比较低。

发明内容

本说明书实施例提供了一种临时会话密钥安全通信方法、装置、电子设备及介质，其技术方案如下：

第一方面，本说明书实施例提供了临时会话密钥安全通信方法，应用于服务端，包括：接收客户端发送的会话连接建立请求；当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，用户信息包括临时会话密钥；向客户端发送连接响应；当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息；基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应。

第二方面，本说明书实施例提供了一种临时会话密钥安全通信装置，包括：临时会话密钥安全通信装置，包括：请求接收单元，用于接收客户端发送的会话连接建立请求；信息获取单元，用于当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，用户信息包括临时会话密钥；发送响应单元，用于向客户端发送连接响应；会话获取单元，用于当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息；会话响应单元，用于基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应。

第三方面，本说明书实施例提供了一种电子设备，包括处理器以及存储器；处理器与存储器相连；存储器，用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，以用于执行上述实施例第一方面的临时会话密钥安全通信方法的步骤。

第四方面，本说明书实施例提供了一种计算机存储介质，计算机存储介质存储有多条指令，指令适于由处理器加载并执行上述实施例第一方面的临时会话密钥安全通信方法的步骤。

本说明书一些实施例提供的技术方案带来的有益效果至少包括：

本说明书实施例提供了一种临时应用层会话密钥安全方法，使得在单播通信中不同应用层通信会话内使用不同临时加密密钥，整个通信中全局加密密钥与临时会话密钥结合使用，减小了加密密钥破解的风险，增加了通信安全性。

附图说明

为了更清楚地说明本说明书实施例中的技术方案，下面将对实施例中所需使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本说明书提供的一种临时会话密钥安全通信系统的应用场景示意图。

图2是本说明书提供的一种临时会话密钥安全通信方法的流程示意图。

图3是本说明书提供的一种临时会话密钥安全通信装置的结构示意图。

图4为本说明书提供的一种电子设备的结构示意图。

具体实施方式

下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述。

本说明书中的说明书和权利要求书及上述附图中的术语“第一”、“第二”、等是用于区别不同对象，而不是用于描述特定顺序。此外，术语“包括”以及它的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其他步骤或单元。

本说明书在结合一个或多个实施例对临时会话密钥安全通信方法进行详细阐述之前，先介绍该临时会话密钥安全通信方法应用的场景。

本说明书实施例提供了一种临时会话密钥安全通信方法、装置、电子设备及介质。具体地，本申请实施例提供了一种临时会话密钥安全通信装置，该临时会话密钥安全通信装置可以集成在计算机设备中，该计算机设备可以包括服务器等。服务器可以为多个异构系统之间的互通服务器或者内容交互系统的后台服务器，还可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、以及大数据和人工智能平台等基础云计算服务的云服务器等等。

请参阅图1，图1为本发明实施例所提供的临时会话密钥安全通信系统100的场景示意图，临时会话密钥安全通信系统100可以包括临时会话密钥安全通信装置110和客户端120等。临时会话密钥安全通信装置110与客户端120通信连接。临时会话密钥安全通信装置110对应于服务端，客户端120可以为计算机网络中与服务端进行交互的终端设备、应用程序或用户界面，客户端用于向服务端发送请求并接收服务端的响应。

在本说明书实施例中，临时会话密钥安全通信装置110可以集成在服务器等计算机设备上，计算机设备可以接收客户端发送的会话连接建立请求；当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，用户信息包括临时会话密钥；向客户端发送连接响应；当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息；基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应等。

需要说明的是，图1所示的临时会话密钥安全通信系统场景示意图，仅仅为示例，本发明实施例描述的临时会话密钥安全通信系统以及场景是为了更加清楚的说明本发明实施例的技术方案，并不构成对于本发明实施例提供的技术方案的限定，本领域普通技术人员可知，随着临时会话密钥安全通信系统的演变和新场景的出现，本发明实施例提供的技术方案对于类似的技术问题，同样适用。

以下分别进行详细说明，需要说明的是，以下实施例的描述顺序不作为对实施例优选顺序的限定。

本说明书实施例将从临时会话密钥安全通信装置110的角度进行描述，该临时会话密钥安全通信装置110可以集成在计算机设备中，该计算机设备可以是服务器等设备。

如图2，本说明书实施例提供了一种临时会话密钥安全通信方法，应用于服务端，具体流程包括：

200、接收客户端发送的会话连接建立请求。

本实施例中，客户端向服务器发送会话连接建立请求，以请求服务端建立会话连接，服务端接收客户端发送的会话连接建立请求。

其中，会话连接建立请求可以为包含客户端标识以及临时会话密钥等的信息。客户端标识包括但不限于IP地址、端口号等。

210、当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息。

在一些实施例中，获取会话连接建立请求中用全局加密密钥进行加密的用户信息，包括：获取会话连接建立请求中，基于AES加密算法和GCM认证模式且用全局加密密钥进行加密的用户信息。

在一些实施例中，全局加密密钥预先配置在客户端和服务端内。

本实施例中，全局加密密钥可以预先配置在客户端和服务端内，全局加密密钥可以为使用加密算法生成的一个随机的全局加密的密钥。其中，加密算法可以包括AES(高级加密标准)、DES(数据加密标准)等。

本实施例中，用户信息包括临时会话密钥。本实施例临时会话密钥可以由客户端使用密钥派生函数生成。派生函数可以采用附加输入参数，如随机数、时间戳等，以增加生成的密钥的熵。

本实施例应用层连接建立中包含临时会话密钥的用户信息，可以使用全局密钥经过AES-GCM-128等加密算法进行加密处理，以确保临时会话密钥非明文传输。若应用层链接建立成功，客户端和服务端双方将同时知道临时会话密钥值内容。

本实施例中，当服务器接收到客户端发送的会话连接建立请求后，对会话连接建立请求进行验证和处理，判定会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，进一步提取用户信息中的临时会话密钥。

在一些实施例中，当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密的用户信息，包括：获取会话连接建立请求对应的信息字段；当验证信息字段合法后，获取会话连接建立请求中用全局加密密钥进行加密的用户信息。

本实施例中，信息字段包括但不限于：客户端标识、服务器标识、客户端证书等。客户端标识：用于标识发起连接请求的客户端，为一个唯一的标识符或身份凭证，如客户端ID、用户名等。服务端标识：用于标识要连接的目标服务端，通常是服务端的唯一标识符或网络地址，如域名、IP地址等。客户端证书：当需要客户端进行身份验证时，客户端会在连接请求中包含一个数字证书，用于证明其身份。

本实施例服务端先获取会话连接建立请求对应的信息字段，然后验证信息字段是否合法，当验证信息字段合法后，获取会话连接建立请求中用全局加密密钥进行加密的用户信息。

在一些实施例中，当验证信息字段合法后，获取会话连接建立请求中用全局加密密钥进行加密的用户信息之后，还包括：对用户信息进行解密，得到解密后的用户信息；获取解密后的用户信息对应的服务格式；当验证解密后的用户信息对应的服务格式正确时，获取临时会话密钥。

本实施例服务端可以通过预先配置的全局加密密钥对用户信息进行解密，判断解密后的的用户信息的服务格式是否正确，若正确，则提取临时会话密钥信息。若不正确，表明会话连接建立请求不合法。

本实施例检查解析后的数据是否符合所确定的服务格式，包括验证数据的结构、字段的存在和类型等。如果解析后的数据与服务格式不匹配，表明解密过程中出现了错误或数据被篡改。本实施例通过对用户信息进行解密和格式验证，可以确保解密后的数据可以正确地被应用程序或系统使用。如果解密后的服务格式不正确，则重新检查解密算法、密钥、服务格式定义等方面的设置，以确保正确解析和处理用户信息。

220、向客户端发送连接响应。

本实施例中，当服务端验证话连接建立请求合法且提取到用户信息中的临时会话密钥后，向客户端发送连接响应，表明服务端接受了客户端的连接请求，并且双方达成协议，会话连接就会建立。此时，客户端和服务器之间可以进行后续的数据传输和交互。

230、当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息。

本实施例中，当会话建立成功之后，客户端可以通过临时会话密钥经过基于AES加密算法和GCM认证模式对会话消息进行加密，然后发送加密后的会话消息至服务端，服务端检测会话连接建立成功后，接收客户端发送用临时会话密钥进行加密后的会话消息。

本实施例中，当会话建立成功之后，即可进行业务通信，如相关读/写等操作，即为该会话内的消息，为确保通信安全，所有会话消息都会进行加密处理，例如，会话消息可以使用临时会话密钥经过AES-GCM-128算法进行加密处理。

240、基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应。

当服务端获取客户端发送用临时会话密钥进行加密后的会话消息后，根据会话消息对客户端作出会话响应，该会话响应可以通过临时会话密钥经过基于AES加密算法和GCM认证模式进行加密。

在一些实施例中，临时会话密钥在会话连接成功建立后在当前轮会话时间周期内有效。

本实施例中，临时会话密钥在会话成功建立后当前轮会话内有效，用于加密会话消息。会话时间周期可配置，不同会话时间周期将使用不同的临时会话密钥。临时会话密钥，可以由客户端在每次应用层连接建立时临时生成，并交互至服务端。

在一些实施例中，一种临时会话密钥安全通信方法还包括：接收客户端发送的下一轮会话连接建立请求；当验证下一轮会话连接建立请求合法后，获取下一轮会话连接建立请求中用全局加密密钥进行加密后的新的用户信息，新的用户信息包括新的临时会话密钥。

本实施例中，应用层会话建立中加密会使用全局加密密钥，不同轮会话内业务通信使用不同的临时会话密钥，以减少对称加密密钥破解的风险。

本说明书实施例提供了一种临时应用层会话密钥安全方法，使得在单播通信中不同应用层通信会话内使用不同临时加密密钥，整个通信中全局加密密钥与临时会话密钥结合使用，减小了加密密钥破解的风险，增加了通信安全性。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

请参阅图3，图3为本说明书实施例提供的一种临时会话密钥安全通信装置的结构示意图。

如图3所示，该临时会话密钥安全通信装置至少可以包括：请求接收单元300、信息获取单元310、发送响应单元320和会话响应单元330，其中：

请求接收单元300，用于接收客户端发送的会话连接建立请求；

信息获取单元310，用于当验证会话连接建立请求合法后，获取会话连接建立请求中用全局加密密钥进行加密后的用户信息，用户信息包括临时会话密钥；

发送响应单元320，用于向客户端发送连接响应；会话获取单元，用于当检测会话连接建立成功后，获取客户端发送用临时会话密钥进行加密后的会话消息；

会话响应单元330，用于基于会话消息，向客户端发送用临时会话密钥后进行加密的会话响应。

临时会话密钥在会话连接成功建立后在当前轮会话时间周期内有效。

在一些实施例中，全局加密密钥预先配置在客户端和服务端内。

在一些实施例中，信息获取单元310包括字段验证单元，字段验证单元用于：获取会话连接建立请求对应的信息字段；当验证信息字段合法后，获取会话连接建立请求中用全局加密密钥进行加密的用户信息。

在一些实施例中，信息获取单元310还包括格式验证单元，格式验证单元用于：对用户信息进行解密，得到解密后的用户信息；获取解密后的用户信息对应的服务格式；当验证解密后的用户信息对应的服务格式正确时，获取临时会话密钥。

在一些实施例中，信息获取单元310包括加密单元，加密单元用于：获取会话连接建立请求中，基于AES加密算法和GCM认证模式且用全局加密密钥进行加密的用户信息。

在一些实施例中，该临时会话密钥安全通信装置还包括下一轮会话建立单元，下一轮会话建立单元用于：接收客户端发送的下一轮会话连接建立请求；当验证下一轮会话连接建立请求合法后，获取下一轮会话连接建立请求中用全局加密密钥进行加密后的新的用户信息，新的用户信息包括新的临时会话密钥。

基于本说明书多个实施例中的临时会话密钥安全通信系统内容，可知，本说明书实施例提供了一种临时应用层会话密钥安全方法，使得在单播通信中不同应用层通信会话内使用不同临时加密密钥，整个通信中全局加密密钥与临时会话密钥结合使用，减小了加密密钥破解的风险，增加了通信安全性。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分相互参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于临时会话密钥安全通信系统实施例而言，由于其基本相似于临时会话密钥安全通信方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

请参阅图4示出的本说明书实施例提供的一种电子设备的结构示意图。

如图4所示，该电子设备400可以包括：至少一个处理器401、至少一个网络接口404、用户接口403、存储器405以及至少一个通信总线402。

其中，通信总线402可用于实现上述各个组件的连接通信。

其中，用户接口403可以包括按键，可选用户接口还可以包括标准的有线接口、无线接口。

其中，网络接口404可以但不局限于包括蓝牙模块、NFC模块、Wi-Fi模块等。

其中，处理器401可以包括一个或者多个处理核心。处理器401利用各种接口和线路连接整个电子设备400内的各个部分，通过运行或执行存储在存储器405内的指令、程序、代码集或指令集，以及调用存储在存储器405内的数据，执行电子设备400的各种功能和处理数据。可选的，处理器401可以采用DSP、FPGA、PLA中的至少一种硬件形式来实现。处理器401可集成CPU、GPU和调制解调器等中的一种或几种的组合。其中，CPU主要处理操作系统、用户界面和应用程序等；GPU用于负责显示屏所需要显示的内容的渲染和绘制；调制解调器用于处理无线通信。可以理解的是，上述调制解调器也可以不集成到处理器401中，单独通过一块芯片进行实现。

其中，存储器405可以包括RAM，也可以包括ROM。可选的，该存储器405包括非瞬时性计算机可读介质。存储器405可用于存储指令、程序、代码、代码集或指令集。存储器405可包括存储程序区和存储数据区，其中，存储程序区可存储用于实现操作系统的指令、用于至少一个功能的指令(比如触控功能、声音播放功能、图像播放功能等)、用于实现上述各个方法实施例的指令等；存储数据区可存储上面各个方法实施例中涉及到的数据等。存储器405可选的还可以是至少一个位于远离前述处理器401的存储装置。作为一种计算机存储介质的存储器405中可以包括操作系统、网络通信模块、用户接口模块以及临时会话密钥安全通信应用程序。处理器401可以用于调用存储器405中存储的临时会话密钥安全通信应用程序，并执行前述实施例中提及的临时会话密钥安全通信的步骤。

本说明书实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机或处理器上运行时，使得计算机或处理器执行上述图2所示实施例中的一个或多个的步骤。上述电子设备的各组成模块如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在计算机可读取存储介质中。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行计算机程序指令时，全部或部分地产生按照本说明书实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机指令可以存储在计算机可读存储介质中，或者通过计算机可读存储介质进行传输。计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(Digital Subscriber Line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，数字多功能光盘(Digital Versatile Disc，DVD))、或者半导体介质(例如，固态硬盘(Solid State Disk，SSD))等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关的硬件来完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可存储程序代码的介质。在不冲突的情况下，本实施例和实施方案中的技术特征可以任意组合。

以上所述的实施例仅仅是本说明书的优选实施例方式进行描述，并非对本说明书的范围进行限定，在不脱离本说明书的设计精神的前提下，本领域普通技术人员对本说明书的技术方案作出的各种变形及改进，均应落入本说明书的权利要求书确定的保护范围内。

Claims (10)

1.一种临时会话密钥安全通信方法，应用于服务端，包括：

接收客户端发送的会话连接建立请求；

当验证所述会话连接建立请求合法后，获取所述会话连接建立请求中用全局加密密钥进行加密后的用户信息，所述用户信息包括临时会话密钥；

向所述客户端发送连接响应；

当检测所述会话连接建立成功后，获取所述客户端发送用所述临时会话密钥进行加密后的会话消息；

基于所述会话消息，向所述客户端发送用所述临时会话密钥后进行加密的会话响应。

2.根据权利要求1所述的方法，所述临时会话密钥在会话连接成功建立后在当前轮会话时间周期内有效。

3.根据权利要求1所述的方法，所述全局加密密钥预先配置在所述客户端和所述服务端内。

4.根据权利要求1所述的方法，所述当验证所述会话连接建立请求合法后，获取所述会话连接建立请求中用全局加密密钥进行加密的用户信息，包括：

获取所述会话连接建立请求对应的信息字段；

当验证所述信息字段合法后，获取所述会话连接建立请求中用全局加密密钥进行加密的用户信息。

5.根据权利要求3所述的方法，所述当验证所述信息字段合法后，获取所述会话连接建立请求中用全局加密密钥进行加密的用户信息之后，还包括：

对所述用户信息进行解密，得到解密后的用户信息；

获取所述解密后的用户信息对应的服务格式；

当验证所述解密后的用户信息对应的服务格式正确时，获取所述临时会话密钥。

6.根据权利要求1所述的方法，所述获取所述会话连接建立请求中用全局加密密钥进行加密的用户信息，包括：

获取所述会话连接建立请求中，基于AES加密算法和GCM认证模式且用全局加密密钥进行加密的用户信息。

7.根据权利要求1所述的方法，所述方法还包括：

接收所述客户端发送的下一轮会话连接建立请求；

当验证所述下一轮会话连接建立请求合法后，获取所述下一轮会话连接建立请求中用全局加密密钥进行加密后的新的用户信息，所述新的用户信息包括新的临时会话密钥。

8.一种临时会话密钥安全通信装置，包括：

请求接收单元，用于接收客户端发送的会话连接建立请求；

信息获取单元，用于当验证所述会话连接建立请求合法后，获取所述会话连接建立请求中用全局加密密钥进行加密后的用户信息，所述用户信息包括临时会话密钥；

发送响应单元，用于向所述客户端发送连接响应；

会话获取单元，用于当检测所述会话连接建立成功后，获取所述客户端发送用所述临时会话密钥进行加密后的会话消息；

会话响应单元，用于基于所述会话消息，向所述客户端发送用所述临时会话密钥后进行加密的会话响应。

9.一种电子设备，包括处理器以及存储器；

所述处理器与所述存储器相连；

所述存储器，用于存储可执行程序代码；

所述处理器通过读取所述存储器中存储的可执行程序代码来运行与所述可执行程序代码对应的程序，以用于执行如权利要求1～7任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1～7任一项所述的方法。