TWI751433B

TWI751433B - 安全通訊金鑰協商方法

Info

Publication number: TWI751433B
Application number: TW108129480A
Authority: TW
Inventors: 賴昌祈; 吳錦松; 劉政鋼
Original assignee: 中華電信股份有限公司
Priority date: 2019-08-19
Filing date: 2019-08-19
Publication date: 2022-01-01
Also published as: TW202110127A

Abstract

本發明提供一種安全通訊金鑰協商方法，適於第一行動裝置。所述方法包括：生成第一隨機值；基於第一隨機值及橢圓曲線的選定基點參數產生第一參考值；取得第一系統時間，並以第一私鑰製作第一參考值及第一系統時間的第一簽章；發送第一簽章、第一參考值、第一系統時間及第一憑證至第二行動裝置；從第二行動裝置接收第二簽章、第二參考值、第二系統時間及第二憑證，並據以驗證第二行動裝置；反應於第二行動裝置通過驗證，產生參考金鑰，並據以取得會話金鑰；以及基於會話金鑰與第二行動裝置建立端對端語音秘密傳輸通訊。

Description

安全通訊金鑰協商方法

本發明是有關於一種網路通訊安全技術，且特別是有關於一種安全通訊金鑰協商方法。

隨著資訊科技的日新月異，資通訊作業需要在開放性網路上安全的傳送，因而使得金鑰(Key)的交換與傳輸變成重要的安全議題。並且，為了防止通訊產品被植入惡意晶片或惡意後門程式，保護使用者資料被竊取的風險，如何在一個零信任的網路上建構一個安全的秘密通訊系統，已是一個迫在眉睫的問題。

有鑑於此，本發明提供一種安全通訊金鑰協商方法，其可用以解決上述技術問題。

本發明提供一種安全通訊金鑰協商方法，包括：由一第一行動裝置生成一第一隨機值，其中第一行動裝置配置有一第一安全晶片元件，第一安全晶片元件儲存有一第一私鑰及一第一通話請求身分憑證；由第一行動裝置基於第一隨機值及一橢圓曲線的一選定基點參數產生一第一參考值；由第一行動裝置取得一第一系統時間，並以第一私鑰製作第一參考值及第一系統時間的一第一簽章；由第一行動裝置發送第一簽章、第一參考值、第一系統時間及第一通話請求身分憑證至一第二行動裝置；由第一行動裝置從第二行動裝置接收第二行動裝置的一第二簽章、一第二參考值、一第二系統時間及一第二通話請求身分憑證，並據以驗證第二行動裝置；反應於第二行動裝置通過驗證，由第一行動裝置基於第一隨機值及第二參考值產生一參考金鑰，並據以產生會話金鑰；以及由第一行動裝置基於會話金鑰與第二行動裝置建立一端對端語音秘密傳輸通訊。

基於上述，本發明的方法令第一行動裝置及第二行動裝置可在交換會話金鑰之後，據以建立端對端語音秘密傳輸通訊。藉此，可在不需中間通訊伺服器介入的情況下，達到秘密安全通訊的目的。

為讓本發明的上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

概略而言，本發明提出一種互聯網系統的安全通訊金鑰協商之流程與架構方法，透過網路電話總機（IP-Private Branch eXchange，IP-PBX）伺服器，及使用會話發起協議（Session Initiation Protocol，SIP）通訊傳輸技術，提供互聯網系統具有安全通訊的金鑰呼叫傳輸服務與安全的語音加密通話功能，透過可信賴的互聯網憑證驗證系統，進行可靠的憑證管理與憑證即時狀態資訊查詢，內建硬體安全元件，提高行動通訊裝置使用的安全性，強化使用端對端的安全會話金鑰協商產生機制，確保通話內容不會被第三者竊聽，使行動通訊裝置之間的加密通話更安全可靠。具體說明如下。

請參照圖1，其是依據本發明之一實施例繪示的安全通訊金鑰協商系統示意圖。如圖1所示，系統100包括通訊營運商11a、11b、第一行動裝置12a、第二行動裝置12b、憑證驗證（certificate authentication，CA）伺服器13、線上憑證狀態協定（Online Certificate Status Protocol，OCSP）伺服器14及IP-PBX伺服器15。

在一實施例中，第一行動裝置12a（例如是智慧型手機、平板電腦或其他任何可安全VoIP通訊軟體的通訊裝置）可具有第一安全晶片，其可儲存。舉例而言，此第一安全晶片可實現為一貼片形式，並可貼附於第一行動裝置12a的用戶身分模組（subscriber identification module，SIM）卡上。在不更換SIM卡的狀況下，第一安全晶片可提供公開金鑰基礎建設（public key infrastructure，PKI）的相關功能，並可作為建立雙方安全通訊的身份驗證裝置。

在一實施例中，若第一行動裝置12a的使用者欲使用本發明提出的服務，其可使用第一行動裝置12a向通訊營運商11a申請上述第一安全晶片元件及第一SIP帳號。之後，通訊營運商11a可基於對應於第一行動裝置12a的使用者身分向CA伺服器13申請對應於使用者身分的第一通話請求身分憑證，並將第一通話請求身分憑證寫入第一安全晶片元件中。

在一實施例中，上述第一通話請求身分憑證是一種數位檔案，內含第一公鑰跟所有者的身分認證資訊，用來證明第一公鑰的所有權。並且，憑證授權單位透過憑證的簽章，可以認證此憑證的內容是通過此憑證授權單位所認證過。另外，驗憑證時，也會認證憑證效期是否有效。

之後，通訊營運商11a可向IP-PBX伺服器15可註冊第一SIP帳號。在一實施例中，OCSP伺服器14還可建立第一通話請求身分憑證的狀態的有效性。概略而言，OCSP是一種PKI標準協議，可以進行線上即時憑證狀態查詢，透過OCSP確認憑證的有效性。

此外，對於第二行動裝置12b的使用者而言，若欲使用本發明提出的服務，亦可協同通訊營運商11b進行上述操作，以取得對應於第二行動裝置12b的第二安全晶片元件（包括第二私鑰）、第二SIP帳號、第二通話請求身分憑證（其可寫入至第二安全晶片元件，並包括第二公鑰），但本發明可不限於此。

為便於說明，以下假設第一行動裝置12a及第二行動裝置12b欲透過本發明的方法進行端對端的秘密通訊。在此情況下，第一行動裝置12a及第二行動裝置12b可安裝有對應於本發明服務的特定VoIP應用程式，並可個別以先前申請的第一SIP帳號及第二SIP帳號透過上述VoIP應用程式登入至IP-PBX伺服器15。

之後，第一行動裝置12a及第二行動裝置12b可個別進行一定的機制來產生用於建立端對端秘密通訊的會話金鑰（session key），並基於此會話金鑰進行通訊。以下將輔以圖2對上述機制作具體說明。

請參照圖2，其是依據本發明之一實施例繪示的安全通訊金鑰協商方法。首先，在步驟201中，第一行動裝置12a可隨機產生第一隨機值（以下稱Rb）。在步驟202中，第一行動裝置12a可基於第一隨機值（Rb）及橢圓曲線的選定基點參數（下稱Q(x, y)）產生第一參考值（下稱Pb(x, y)）。在一實施例中，上述橢圓曲線可選自於橢圓曲線迪菲-赫爾曼短暫金鑰交換（Ephemeral Elliptic Curve Diffie-Hellman Exchange，ECDHE）演算法。具體而言，ECDHE演算法可經定義而具有多條候選橢圓曲線，而步驟202中的橢圓曲線可選自於上述候選橢圓曲線的其中之一。並且，此橢圓曲線及其選定基點參數對於第一行動裝置12a及第二行動裝置12b皆為已知的，但本發明可不限於此。相應地，第一參考值可表徵為：Pb(x, y) = Rb * Q(x, y)，其中*為橢圓曲線點乘法運算子，而其相關細節可參照ECDHE演算法的相關文件，於此不另贅述。

之後，在步驟203中，第一行動裝置12a可取得第一系時間（以Tb代稱），並以（儲存於第一安全晶片中的）第一私鑰製作第一參考值（即，Pb(x, y)）及第一系統時間（Tb）的第一簽章。在一實施例中，上述第一簽章可表徵為「簽章(Pb(x, y) +Tb)」。

接著，在步驟204中，第一行動裝置12a可發送第一簽章（即，「簽章(Pb(x, y) +Tb)」）、第一參考值（Pb(x, y)）、第一系統時間（Tb）及第一通話請求身分憑證（下稱B憑證）至第二行動裝置12b。

在步驟205中，在第二行動裝置12b接收第一簽章（即，「簽章(Pb(x, y) +Tb)」）、第一參考值（Pb(x, y)）、第一系統時間（Tb）及B憑證之後，可據以驗證第一行動裝置12b。具體而言，第二行動裝置12b可基於B憑證中的第一公鑰驗證第一簽章，並產生第一驗證結果。之後，第二行動裝置12b可取得其第二系統時間，並判定第二系統時間（下稱Ta）與第一系統時間（Tb）之間的時間差值是否小於預設門限值，並產生第二驗證結果。在一實施例中，反應於第一驗證結果及第二驗證結果皆為通過，則第二行動裝置12b可判定第一行動裝置12a通過驗證。另一方面，反應於第一驗證結果或第二驗證結果為不通過，則第二行動裝置12b可判定第一行動裝置12a未通過驗證。

在一實施例中，在判定第一行動裝置12a通過驗證之後，在步驟206中，第二行動裝置12b可隨機產生第二隨機值（下稱Ra）。並且，在步驟207中，第二行動裝置12b可基於第二隨機值（Rb）及橢圓曲線的選定基點參數（Q(x,y)）產生第二參考值（下稱Pa(x, y)）。步驟207的細節可參照先前實施例中的說明，於此不另贅述。

接著，在步驟208中，第二行動裝置12b可以（儲存於第二安全晶片中的）第二私鑰製作第二參考值（即，Pa(x, y)）及第二系統時間（Ta）的第二簽章。在一實施例中，上述第二簽章可表徵為「簽章(Pa(x, y) +Ta)」。

接著，在步驟209中，第二行動裝置12b可發送第二簽章（即，「簽章(Pa(x, y) +Ta)」）、第二參考值（Pa(x, y)）、第二系統時間（Ta）及第二通話請求身分憑證（下稱A憑證）至第一行動裝置12a。

在步驟210中，在第一行動裝置12b接收第二簽章（即，「簽章(Pa(x, y) +Ta)」）、第二參考值（Pa(x, y)）、第二系統時間（Ta）及A憑證之後，可據以驗證第二行動裝置12b。具體而言，第一行動裝置12a可基於A憑證中的第二公鑰驗證第二簽章，並產生第一驗證結果。之後，第一行動裝置12a判定第一系統時間（Tb）與第二系統時間（Ta）之間的時間差值是否小於預設門限值，並產生第二驗證結果。在一實施例中，反應於第一驗證結果及第二驗證結果皆為通過，則第一行動裝置12a可判定第二行動裝置12b通過驗證。另一方面，反應於第一驗證結果或第二驗證結果為不通過，則第一行動裝置12a可判定第二行動裝置12b未通過驗證。

在一實施例中，在判定第二行動裝置12b通過驗證之後，在步驟211中，第一行動裝置可基於第一隨機值（Rb）及第二參考值（Pa(x, y)）產生參考金鑰（下稱Sb）。在一實施例中，此參考金鑰（Sb）可表徵為Sb(x, y) = Rb * Pa(x, y)，但可不限於此。

此外，在第二行動裝置12b發送第二簽章（即，「簽章(Pa(x, y) +Ta)」）、第二參考值（Pa(x, y)）、第二系統時間（Ta）及A憑證至第一行動裝置12a之後，在步驟212中，第二行動裝置12b可基於第二隨機值（Ra）及第一參考值（Pb(x, y)）產生參考金鑰（下稱Sa）。在一實施例中，此參考金鑰（Sa）可表徵為Sa(x, y) = Ra * Pb(x, y)，但可不限於此。

在一實施例中，橢圓曲線演算法保證了Sa等於Sb。亦即，步驟211及212所產生的參考金鑰為相同的金鑰（以下統稱S）。因此，在一實施例中，第一行動裝置12a及第二行動裝置12b可個別提取S的x向量作為會話金鑰。

在第一行動裝置12a及第二行動裝置12b皆取得上述會話金鑰之後，即可據以建立兩者之間的端對端語音秘密傳輸通訊。

請參照圖3，其是依據本發明之一實施例繪示的建立端對端語音秘密傳輸通訊的示意圖。在本實施例中，本發明提供一種通話雙方透過共同接取之相同網路中的行動裝置上安裝VoIP通訊應用軟體進行通話，語音通話的資料以端對端加密的方式保護，利用安全晶片元件裡的私密金鑰及憑證中記載的公開金鑰，進行非對稱金鑰交換出雙方語音通話加密的會話金鑰，通話雙方傳輸之語音封包以會話金鑰作對稱式進階加密標準（Advanced Encryption Standard，AES）的語音通話加密，排除中間通訊伺服器介入的機制，以達到使用者端對端直接加密通訊的目的。具體作法如下所示。

步驟301：第一行動通訊裝置12a及第二行動裝置12b均安裝VoIP通訊應用軟體，並經由網路連線至IP-PBX伺服器15以SIP方式登入。步驟302：當IP-PBX伺服器15提送A憑證及B憑證至OCSP伺服器14查證，OCSP伺服器14會回傳查證結果。若驗證成功，回傳訊息會包含憑證主旨名稱(內含SIP帳號)。

步驟303：第一行動通訊裝置12a以SIP呼叫第二行動通訊裝置12b來進行秘密通話。步驟304：第一行動通訊裝置12a等待第二行動通訊裝置12b回應接聽。步驟305：當第二行動通訊裝置12b應答後，雙方通訊應用軟體會自動進行安全通訊的會話金鑰交換（即，圖二所示機制）。步驟306：在會話金鑰交換成功後，通話雙方以會話金鑰建立端對端語音秘密傳輸通訊。

在一實施例中，上述會話金鑰是一次性用於本次對談中加密使用的對稱式會話金鑰，所有成員使用同一把金鑰來加密明文、解密密文，在此次連線結束後該金鑰即無效。如需重新通訊則重新再進行一次金鑰的產生及交換等步驟。會話金鑰必須使用安全的協定來產生，使其不能被攻擊者預測金鑰值。在任何的加密系統中，沒有安全產生會議金鑰(或任何密鑰)會是一個重大的設計缺陷。

綜上所述，本發明使用憑證來驗證通話對方的身分，及加入雙方系統時間資訊為簽章的參數，讓使用者的通訊身分無法被複製再使用，以防止資料被側錄竄改後，被冒用使用者的身分再重新送出造假的訊息，比傳輸層安全性協定（Transport Layer Security，TLS）增加防止重送攻擊的保護能力，確保端對端通訊安全的主導性，排除中間通訊伺服器分配金鑰介入的機制，以達到終端使用者保護通訊內容的目的。另外，由於本發明採用一次性的會話金鑰進行通話內容加密，可應用在多端通訊的群組上，同一把該會話金鑰在連線結束後即失效，如需重新通訊對話則需要再進行下一次金鑰交換等步驟，避免被攻擊者複製相同的金鑰值，具備前向安全的秘密通訊保護能力。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明的精神和範圍內，當可作些許的更動與潤飾，故本發明的保護範圍當視後附的申請專利範圍所界定者為準。

100:系統 11a、11b:通訊營運商 12a:第一行動裝置 12b:第二行動裝置 13:CA伺服器 14:OCSP伺服器 15:IP-PBX伺服器 201~212、301~306:步驟

圖1是依據本發明之一實施例繪示的安全通訊金鑰協商系統示意圖。圖2是依據本發明之一實施例繪示的安全通訊金鑰協商方法。圖3是依據本發明之一實施例繪示的建立端對端語音秘密傳輸通訊的示意圖。

201~212:步驟

Claims

一種安全通訊金鑰協商方法，包括：由一第一行動裝置隨機產生一第一隨機值，其中該第一行動裝置配置有一第一安全晶片元件，該第一安全晶片元件儲存有一第一私鑰及一第一通話請求身分憑證；由該第一行動裝置基於該第一隨機值及一橢圓曲線的一選定基點參數產生一第一參考值；由該第一行動裝置取得一第一系統時間，並以該第一私鑰製作該第一參考值及該第一系統時間的一第一簽章；由該第一行動裝置發送該第一簽章、該第一參考值、該第一系統時間及該第一通話請求身分憑證至一第二行動裝置；由該第一行動裝置從該第二行動裝置接收該第二行動裝置的一第二簽章、一第二參考值、一第二系統時間及一第二通話請求身分憑證，並據以驗證該第二行動裝置；反應於該第二行動裝置通過驗證，由該第一行動裝置基於該第一隨機值及該第二參考值產生一參考金鑰，並據以取得一會話金鑰；以及由該第一行動裝置基於該會話金鑰與該第二行動裝置建立一端對端語音秘密傳輸通訊，其中該第二通話請求身分憑證包括對應於該第二行動裝置的一第二公鑰，且驗證該第二行動裝置的步驟包括：基於該第二公鑰驗證該第二簽章，並產生一第一驗證結果；判定該第二系統時間與該第一系統時間之間的一時間差值是否小於一預設門限值，並產生一第二驗證結果；反應於該第一驗證結果及該第二驗證結果皆為通過，判定該第二行動裝置通過驗證；反應於該第一驗證結果或該第二驗證結果為不通過，判定該第二行動裝置未通過驗證。
如申請專利範圍第1項所述的方法，其中該第一安全晶片元件貼附於該第一行動裝置的用戶身分模組上。
如申請專利範圍第1項所述的方法，更包括：由該第一行動裝置向一通訊營運商申請該第一安全晶片元件及一第一會話發起協議帳號；由該通訊營運商基於對應於該第一行動裝置的一使用者身分向一憑證驗證伺服器申請對應於該使用者身分的該第一通話請求身分憑證，並將該第一通話請求身分憑證寫入該第一安全晶片元件中；由該通訊營運商向一網路電話總機伺服器註冊該第一會話發起協議帳號。
如申請專利範圍第3項所述的方法，更包括：由一線上憑證狀態協定伺服器建立該第一通話請求身分憑證的狀態的有效性。
如申請專利範圍第4項所述的方法，其中在由該第一行動裝置生成該第一隨機值的步驟之前，所述方法更包括：由該第一行動裝置以該第一會話發起協議帳號登入該網路電話總機伺服器；由該網路電話總機伺服器向該線上憑證狀態協定伺服器要求驗證該第一通話請求身分憑證的憑證狀態；反應於該第一通話請求身分憑證的憑證狀態為有效，由該網路電話總機伺服器允許該第一行動裝置生成該第一隨機值。
如申請專利範圍第1項所述的方法，更包括：由該第二行動裝置隨機產生一第二隨機值，其中該第二行動裝置配置有一第二安全晶片元件，該第二安全晶片元件儲存有一第二私鑰及一第二通話請求身分憑證；由該第二行動裝置基於該第二隨機值及該橢圓曲線的該選定基點參數產生一第二參考值；由該第二行動裝置取得一第二系統時間，並以該第二私鑰製作該第二參考值及該第二系統時間的一第二簽章；由該第二行動裝置發送該第二簽章、該第二參考值、該第二系統時間及該第二通話請求身分憑證至該第一行動裝置；由該第二行動裝置從該第一行動裝置接收該第一行動裝置的該第一簽章、該第一參考值、該第一系統時間及該第一通話請求身分憑證，並據以驗證該第一行動裝置；反應於該第一行動裝置通過驗證，由該第二行動裝置基於該第二隨機值及該第一參考值產生該參考金鑰，並據以取得該會話金鑰；以及由該第二行動裝置基於該會話金鑰與該第一行動裝置建立該端對端語音秘密傳輸通訊。
如申請專利範圍第1項所述的方法，其中該橢圓曲線選自於一橢圓曲線迪菲-赫爾曼短暫金鑰交換演算法。
如申請專利範圍第1項所述的方法，其中該第一參考值表徵為：Pb(x,y)=Rb * Q(x,y)，其中Rb為該第一隨機值，Q(x,y)為該橢圓曲線的該選定基點參數，*為一橢圓曲線點乘法運算子。
如申請專利範圍第1項所述的方法，其中該第一簽章表徵為：簽章(Pb(x,y)+Tb)，其中Pb(x,y)為該第一參考值，Tb為該第一系統時間。
如申請專利範圍第1項所述的方法，其中該參考金鑰表徵為：Sb(x,y)=Rb * Pa(x,y)，其中Rb為該第一隨機值，Pa(x,y)為該第二參考值，*為一橢圓曲線點乘法運算子。