WO2005057841A1 - Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau - Google Patents

Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau Download PDF

Info

Publication number
WO2005057841A1
WO2005057841A1 PCT/CN2004/001426 CN2004001426W WO2005057841A1 WO 2005057841 A1 WO2005057841 A1 WO 2005057841A1 CN 2004001426 W CN2004001426 W CN 2004001426W WO 2005057841 A1 WO2005057841 A1 WO 2005057841A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
client
server
encrypted
algorithm
Prior art date
Application number
PCT/CN2004/001426
Other languages
English (en)
French (fr)
Inventor
Kanlie Xu
Zhongyu Du
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2005057841A1 publication Critical patent/WO2005057841A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H04L9/16—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms the keys or algorithms being changed during operation

Definitions

  • the invention relates to an encryption method for network transmission, and in particular, to a method for encrypting by a dynamic password during network transmission between a client and a server and a method for transmitting network data.
  • Cryptography is one of the main means of protecting information security. It can not only ensure the confidentiality of information, but also the integrity and certainty of information, and prevent information from being tampered with, forged and counterfeited.
  • a cryptographic system consists of four basic elements: a plaintext source, a ciphertext, a key, and an encryption operation.
  • the plaintext source is the plaintext alphabet or plaintext letters
  • the ciphertext is the encrypted information
  • the key is used to select an encryption operation from a set of encryption operations in the cryptosystem. The key allows you to follow the previous The established rules change the encryption.
  • the complexity of the combination of encryption methods depends on the number of keys under this method.
  • Cryptographic systems include symmetric key cryptography and asymmetric key cryptography.
  • Symmetric key cryptography requires that both parties to encryption and decryption have the same key.
  • Asymmetric key cryptography is that both parties of encryption and decryption have different keys, and the encryption key and decryption key cannot be calculated from each other.
  • Data Encryption Standard algorithm Data Encryption Standard, As the American data encryption standard ("DES" for short)
  • DES American data encryption standard
  • the symmetric key cryptosystem has developed rapidly, and has been widely concerned and used in various countries around the world.
  • the encryption and decryption operations use the same key.
  • the encryption algorithm used is relatively simple and efficient, the key is short, and it is extremely difficult to decipher. Since the confidentiality of the system mainly depends on the security of the key, it is a serious problem to securely transmit and keep the key on the open computer network.
  • the DES algorithm is a block encryption algorithm that uses 64 bit (8 byte) as a block to encrypt data. Among them, there is 8 bit t parity check, and the effective key length is 56 bit, a group of 64 bits.
  • the plaintext is input from one end of the algorithm, and the 64-bit ciphertext is output from the other end.
  • a very small encryption algorithm Tiny Encryption Algorithm, referred to as "TEA"
  • TAA Transport Encryption Algorithm
  • the plaintext ciphertext block is 64 bits, but the key length is 128 bits, and its biggest feature is that the algorithm is extremely simple and clear, but the effect is very significant. It has unparalleled security advantages at present, and it has not yet been broken. Specific to practical applications, for example, in the current call center system, especially in the network call system, because a large number of operators are distributed in different offices and the introduction of Internet Protocol (Internet Protocol, "IP") agents, the operators It is necessary to work through a local area network (“LOC”) or even a wide area network (“WAN”). Therefore, the security and confidentiality of the personal data of the dialog operator and the user data handled by the operator appear to be working. Very important.
  • IP Internet Protocol
  • the commonly used method in the prior art solutions is to strictly check the user's current login permission, and then use various encryption algorithms to encrypt the data during the data transmission process. To ensure the security during data transmission.
  • the above solution has the following problems: First, it cannot avoid a great threat to the security of the entire connection once the key is cracked. Second, it cannot solve the problem that illegal users can steal dynamic encryption keys through the network. The main reason for this is that, first of all, the common encryption process for connection data encryption is currently commonly used. As long as the connection is established in this process, the encryption key used for encryption is basically unchanged, which leads to once a criminal If the key is cracked, the entire connection cannot be secured.
  • the dynamic encryption key method is currently used in some occasions, but because the dynamic encryption key needs to be finally sent to the client over the network in this method, criminals may also obtain the key on the Internet, thus Increased insecurity.
  • the technical problem to be solved by the present invention is to provide a method for creating a dynamic password in network transmission and a method for transmitting network data, so that the security of a key is improved, thereby improving the security of data transmission.
  • the present invention provides a method for creating a dynamic password when establishing a connection in network transmission, including:
  • a the client and the server in the network determine the first key;
  • B the client transmits to the server the user login information encrypted by the first key and the second encryption algorithm, and the server The terminal decrypts the user login information to obtain a first key;
  • the server transmits to the client a second key encrypted by the first key and a third encryption algorithm, and the client decrypts the second key to obtain a dynamic password.
  • the client and the server in the network generate the first key by using the dynamic user information and the first algorithm that are well known to both parties.
  • the first key may also be agreed between the client and the server in the network.
  • the first algorithm, the second algorithm, and the third algorithm may be the same or different algorithms from each other.
  • the dynamic user information is a client address, or a user login time, or a connection number, or any combination thereof.
  • the first encryption algorithm, the second encryption algorithm, and the third encryption algorithm may be based on A data encryption standard algorithm or a very small encryption algorithm is required.
  • the step A further includes the following sub-steps:
  • A1 the client initiates a connection request to the server, with the client address;
  • A2 the server responds to the connection request to determine whether the client address is correct, and if so, proceeds to step A 3 ;
  • a 3 the server allocates a connection number to the client, and sends the connection number to the client;
  • the server uses the first algorithm to generate the first key according to the client address and the connection number;
  • the client After receiving the connection number, the client generates the first key by using the first algorithm according to the client address and the connection number.
  • the step B further includes the following sub-steps:
  • the client encrypts the user login information using the first key and a second encryption algorithm
  • the server uses the first key and the second encryption algorithm to decrypt the encrypted user login information; B4 The server determines whether the decrypted user login information is correct and responds.
  • the step C includes the following sub-steps:
  • the server uses the first key and the third encryption algorithm to encrypt the second key
  • C2 the server sends the encrypted second key to the client;
  • C3 the client receives the encrypted second key;
  • the client uses the first key and the third encryption algorithm to decrypt the encrypted second key.
  • the step C further includes the following sub-steps: before the step C1, randomly generating a number as the second key.
  • the encrypted second key is added to the response message to the user login information and sent to the client.
  • the length of the second key is 16 bits or longer.
  • the network data transmission method provided by the present invention includes: A client and server in the network determine a first key;
  • the client sends the user login information encrypted by the first key and the second encryption algorithm to the server, and the server decrypts the user login information to obtain a first key;
  • the server transmits to the client a second key encrypted by the first key and a third encryption algorithm, and the client decrypts the second key;
  • the client and the server transmit data encrypted by the second key and the fourth encryption algorithm to each other.
  • the step D includes the following sub-steps:
  • D1 the client or the server compresses the data to be sent;
  • D2 the client or the server uses the second key and the fourth encryption algorithm to encrypt the compressed data;
  • the client or the server decompresses the decrypted data.
  • the technical solution of the present invention is different from the prior art in that, in response to the first problem of the prior art, the technical solution of the present invention introduces dynamic user information into the key generation algorithm, such as a user
  • the login address, dynamic connection information, and login time are used as the source data for generating the key data.
  • the key is not actually directly connected with the user, which reduces the loss of key theft.
  • the technical solution of the present invention introduces two encryption processes in the entire process of user login; the first key is formed by using dynamic user information known to the server and the client, and the first key is used.
  • One key passes the user login information and the second key, and the second key is used to pass the data. Due to the use of two encryptions, the possibility of keys and data being cracked during transmission on the Internet is greatly reduced.
  • user data and customer data are compressed using a compression algorithm before transmission, and then the compressed data is encrypted using the generated key and transmitted. This method of compression before encryption can reduce the amount of data transmitted on the one hand and increase the difficulty of cracking on the other.
  • the key is automatically regenerated after the connection times out, reducing the possibility of being cracked.
  • the dynamic key generation mechanism and the automatic key update mechanism after the connection times out reduce the possibility of key theft and greatly improve the security of data transmission.
  • the client's address information is added to the key generation, which also strengthens the server's reliability of user authentication.
  • the present invention can better solve the security problem of data transmission when a large number of clients interact with the server, provides security guarantee for the transmission of sensitive information, and greatly reduces Hidden security risks provide a powerful guarantee for the reliability of network transmission.
  • FIG. 1 is a flowchart of a dynamic password creation when a connection is established between a client and a server according to an embodiment of the present invention.
  • step 100 when the system wants to establish a connection, step 100 is executed, that is, the client initiates a connection request to the server, and the connection request is sent. Add your own address to the packet. Address information is added to the key generation process.
  • This dynamic key generation method makes the same user generate different keys at different addresses, which is conducive to the confidentiality of the key and avoids direct communication with the server. contact. Under certain circumstances, such as when no proxy is used, the server can also obtain the client's address directly from the source address of the received request data packet.
  • step 110 is performed.
  • the server checks the correctness of the address. If the address is correct, step 120 is performed. If the address is incorrect, it indicates that an illegal address is obtained, and the server will reject the connection request. The entire process End. It should be noted that this correctness check step is necessary for each network connection system, and the server side lacking this verification step can easily be maliciously attacked in the network, causing information leakage, or even the entire system to be paralyzed. Because the address of each client in the entire network is unique, and an address can only correspond to one client, the address can be used as an identity feature of the client, and the server performs preliminary identity authentication on the client through the address.
  • the server returns an idle connection number to the client, and then uses a first algorithm to generate an 8-bit first key according to the user address sent by the client and the connection number assigned to the user.
  • the first algorithm may use the DES algorithm and the TEA algorithm mentioned above, and may also use other algorithms such as a new data encryption standard algorithm (New Data Encryption Standard, "NewDES" for short), as long as the algorithm It is sufficient that the client and server can be specified before the connection is established. But once the algorithm is selected, It cannot be changed during the operation of the system, unless the version is re-released, so the two parties are required to maintain strict confidentiality.
  • NewDES New Data Encryption Standard
  • the first key generated here does not need to be sent to the client, because the client can also generate the first key in the following steps.
  • the process proceeds to step 1 30, and the client returns from the server.
  • the connection number is obtained in the connection response and the first key is also generated using the first algorithm.
  • the first key may also be agreed in advance by a client and a server in a network.
  • the process then proceeds to step 140, where the client uses the second encryption algorithm to encrypt the first key as key information, and then sends the login message to the server.
  • step 120, 130, and 140 are performed on the client and the server, respectively. In essence, there is no relationship between them. Generally, the delay on the network is much larger than the processing time at this level, so In general, step 120 ends before steps 130 and 140. In this embodiment, step 150 can be performed only after the above three steps are completed.
  • step 150 the server uses the second encryption algorithm and the first key generated in step 120 to decrypt the login information transmitted from the client, and then checks the correctness of the information after decryption. If the determination information is correct, step 160 is performed; if it is incorrect, the server will reject the request, and the entire process ends.
  • step 160 the server generates a 16-bit random number by using the user information as a random child, uses the random number as a second key, encrypts the second key with the third encryption algorithm and the first key, and carries the second key in the login.
  • the response message is transmitted to the client, and step 170 is performed.
  • the third encryption algorithm is the same as the second encryption algorithm described above, and can be implemented using a reversible encryption algorithm such as the Tea algorithm and Des. .
  • the client also uses the third encryption algorithm And the first key to extract the second key; thereafter, when the client and the server send data to each other, the data is compressed using a compression algorithm, and then the fourth encryption algorithm is used to encrypt the data with the second key , Send, receive, and decrypt until the end of the entire transmission process.
  • the second, third, and fourth encryption algorithms may be the same algorithms as each other, or may be different algorithms.
  • the client or the server may first compress the data to be sent, and then the client or the server uses the second key and the fourth The encryption algorithm encrypts the compressed data, and then sends the encrypted data; when the client or the server receives the encrypted data, the second key and the fourth encryption algorithm are used Decrypt the encrypted data and decompress the decrypted data to obtain the final data.
  • the time for the server to establish a connection with the client may exceed a preset time range. In this case, the technical solution of the present invention clears the client connection; after that, the client automatically reconnects, and the first key and the second key are also automatically updated, which improves system security.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

网络传输中动态密码的创建方法以及网络数据传输方法
技术领域
本发明涉及网络传输的加密方法，特别涉及客户端和服务器端之 间网络传输时通过动态密码加密的方法和网络数据传输方法。
背景技术
随着计算机及网络系统应用程度的扩展， 电脑信息安全所面临的危险 已经渗透于社会经济、 军事技术、 国家安全、 知识产权、 商业秘密乃至个 人隐私等各个方面。 尤其对于企业用户来说， 能否保障网络安全的问题， 更被提到了直接影响企业发展的高度。 从全球范围来看， 近年来企业因安 全问题引起的损失成倍增长， 甚至有人预言， 网络安全问题将成为未来企 业发展的瓶颈。 网络时代的到来使人们通过空前的信息共享， 拥有了无限商机以及趣 味生活。 但正是由于这种信息的共享， 为黑客的恶意访问以及病毒的肆虐 提供了更快的传播途径和更广的传播范围， 这也是导致当前网络具有安全 隐患的一个重要原因。 密码技术是保护信息安全的主要手段之一， 不仅可以保证信息的机密 性， 而且可以保证信息的完整性和确定性， 防止信息被篡改、伪造和假冒。 一个密码体制由明文信源、 密文、 密钥与加密运算这四个基本要素构成。 直观地讲， 明文信源就是明文字母表或者明文字母， 密文就是指加密后的 信息； 而密钥是用来从密码体制的一组加密运算中选择一个加密运算， 密 钥允许你按照以前制定的规则改变加密， 加密方法的组合复杂度取决于在 此方法下密钥的数量。 密码体制有对称密钥密码技术和非对称密钥密码技术， 对称密钥密码 技术要求加密解密双方拥有相同的密钥。 而非对称密钥密码技术是加密解 密双方拥有不相同的密钥， 加密密钥和解密密钥是不能相互算出的。 自 1977年美国颁布数据加密标准算法（Data Encrypt ion Standard, 简称 "DES" )作为美国数据加密标准以来， 对称密钥密码体制得到了迅猛 地发展， 在世界各国得到了广泛关注和使用。 在对称密钥密码算法中， 加 密运算与解密运算使用同样的密钥， 使用的加密算法比较简便高效， 密钥 简短，破译极其困难。 由于系统的保密性主要取决于密钥的安全性，所以， 在公开的计算机网络上安全地传送和保管密钥是一个严峻的问题。 以 DES 算法为例， 它是一个分组加密算法， 以 64 bi t ( 8 byte ) 为分组对数据加 密， 其中有 8 bi t奇偶校验， 有效密钥长度为 56 bi t , 64位一组的明文 从算法的一端输入， 64位的密文从另一端输出。 同样属于对称密钥密码算法的还有一种极小型加密算法 （ Tiny Encrypt ion Algor i thm,简称" TEA" )。该算法由密码学家 David Wheeler 和 Roger Needham在剑桥大学计算机实验室联合研究的， 特点是加密速度 极快， 高速高效， 抗差分攻击能力强。 明文密文块 64 比特， 但密钥长度 为 128比特， 而且其最大特点就是算法极为简单明了， 但是效果却十分显 著， 在当前具有无可比拟的安全优势， 至今仍然未被攻破。 具体到实际运用当中， 例如在当前呼叫中心系统， 尤其是在网络呼叫 系统中， 由于大量的话务员分布在不同的局点以及网间互联协议 ( Internet Protocol , 简称 "IP" ) 坐席的引入， 话务员需要通过局域网 ( Loca l Area Network, 简称 "LAN" )甚至广域网 （Wide Area Network, 简称 "WAN" )来工作， 因此对话务员自身数据以及话务员在工作中处理的 用户数据的安全和保密工作就显得非常重要。 对于当前客户端和服务器端之间敏感信息的传递， 现有技术方案通常 釆用的方法是对用户当前登录的权限进行严格检验， 然后在数据的传送过 程中利用各种加密算法对数据进行加密， 以保障数据传输过程中的安全 性。 在实际应用中， 上述方案存在以下问题： 第一， 无法避免密钥一旦被 破解后， 对整个连接的安全性造成的极大威胁。 第二， 无法解决不法用户能够通过网络盗取动态加密的密钥的问题。 造成这种情况的主要原因在于， 首先， 当前较为普遍采用的是连接数 据加密的普通加密流程， 在这种流程中只要连接建立， 则加密所用的密钥 就基本不变， 从而导致一旦不法分子破解了密钥， 整个连接就无法确保安 全性。
其次， 目前某些场合下采用的是动态加密密钥方法， 但由于在这种方 法中动态加密的密钥最终需要通过网络发送给客户端， 因此不法分子也可 能在网上获取该密钥， 从而增加了不安全性。
发明内容 本发明要解决的技术问题是提供一种网络传输中动态密码的创建方 法以及一种网络数据传输方法， 使得密钥的安全性得到提高， 从而提升了 数据传送的安全性。 为了解决上述技术问题， 本发明提供了一种网络传输中建立连接时动 态密码的创建方法， 包括：
A 所述网络中的客户端和服务器端确定第一密钥； B 所述客户端向所述服务器端传送由所述第一密钥和第二加密算法 加密后的用户登陆信息， 所述服务器端对所述用户登陆信息解密， 获得第 一密钥；
C 所述服务器端向所述客户端传送由所述第一密钥和第三加密算法 加密后的第二密钥， 所述客户端对所述第二密钥解密， 获得动态密码。 所述网络中的客户端和服务器端使用双方公知的动态用户信息和第 一算法生成第一密钥。 所述第一密钥也可以由网络中的客户端和服务器端约定。 所述第一算法、 第二算法和第三算法可以是彼此相同或不同的算法。 所述动态用户信息是客户端地址、 或用户登录时间、 或连接号、 或它 们的任意组合。 所述第一加密算法、 所述第二加密算法、 所述第三加密算法可以根据 需要采用数据加密标准算法或极小型加密算法。
所述步骤 A还进一步包括以下子步骤：
A1 所述客户端向所述服务器端发起连接请求， 其中带有所述客户端 地址； A2 所述服务器端响应所述连接请求， 判断所述客户端地址是否正确， 如果是则进入步骤 A 3 ;
A 3 所述服务器端为所述客户端分配一个连接号， 并发送给所述客户 端；
A4 所述服务器端根据所述客户端地址和所述连接号， 使用所述笫一 算法生成所述第一密钥；
A5 所述客户端收到所述连接号后， 根据所述客户端地址和所述连接 号， 使用所述第一算法生成所述第一密钥。 所述步驟 B还进一步包括以下子步骤：
B1 所述客户端使用所述第一密钥和第二加密算法加密所述用户登录 信息；
B2 所述客户端向所述服务器端发送加密后的用户登录信息；
B 3 所述服务器端接收所述加密后的用户登录信息；
B4 所述服务器端使用所述第一密钥和所述第二加密算法对所述加密 后的用户登录信息进行解密； B4 所述服务器端判断解密后的用户登录信息是否正确并应答。 所述步骤 C包括以下子步骤：
C1 所述服务器端使用所述第一密钥和所述第三加密算法对所述第二 密钥进行加密；
C2 所述服务器端将加密后的第二密钥发送给所述客户端； C3 所述客户端接收所述加密后的第二密钥；
C4 所述客户端使用所述第一密钥和所述第三加密算法对所述加密后 的第二密钥进行解密。 所述步驟 C还包括以下子步驟： 在所述步骤 C1以前， 随机生成一个数字作为所述第二密钥。 所述步驟 C2 中， 将所述加密后的第二密钥附加在对所述用户登录信 息的应答消息中发送给所述客户端。 所述第二密钥的长度是 16位或更长。 本发明提供的网络数据传输方法， 包括： A 所述网络中的客户端和服务器端确定第一密钥；
B 所述客户端向所述服务器端传送由所述第一密钥和第二加密算法 加密后的用户登陆信息， 所述服务器端对所述用户登陆信息解密， 获得第 一密钥；
C 所述服务器端向所述客户端传送由所述第一密钥和第三加密算法 加密后的第二密钥， 所述客户端对所述第二密钥解密；
D 所述客户端和所述服务器端相互传递由所述第二密钥和第四加密 算法加密后的数据。 所述步骤 D包括以下子步骤：
D1 所述客户端或所述服务器端对需要发送的数据进行压缩； D2 所述客户端或所述服务器端使用所述第二密钥和所述第四加密算 法对压缩后的数据进行加密；
D3 所述客户端或所述服务器端发送加密后的数据；
D4 所述客户端或所述服务器端接收所述加密后的数据；
D5 所述客户端或所述服务器端使用所述第二密钥和所述第四加密算 法对所述加密后的数据进行解密；
D6 所述客户端或所述服务器端对解密后的数据解压缩。 通过比较可以发现， 本发明的技术方案与现有技术的区别在于， 针对 上文中现有技术的第一个问题， 本发明的技术方案在密钥生成算法中引入 了动态的用户信息， 例如用户登录地址、 动态的连接信息以及与登录时间 作为生成密钥数据的源数据， 密钥实际与用户并无直接联系， 减少了密钥 被盗的损失。 针对上文中现有技术的第二个问题， 本发明的技术方案在用户登录的 整个流程中引入了两次加密流程； 使用服务器端和客户端公知的动态用户 信息形成第一密钥， 使用第一密钥传递用户登录信息和笫二密钥， 使用第 二密钥传递数据。 由于采用了两次加密， 密钥和数据在网上传递时被破解 的可能性大大降低。 此外， 本发明的技术方案在用户数据和客户数据在传递前先用压缩算 法压缩， 然后再对压缩数据采用上述生成的密钥加密后传送。 这种先压缩 后加密的做法一方面可以降低传送的数据量， 另一方面也可以增加破解的 难度。 最后， 连接超时后自动重新生成密钥， 降低被破解的可能性。 这种技术方案上的区别， 带来了较为明显的有益效果， 即通过引入动 态的用户信息， 使得源数据对于同一个用户登录而言不再是一成不变的， 密钥实际上与用户并没有直接联系。 这样， 一次密钥被盗就不会造成整个 安全系统的崩溃。 密钥动态生成机制以及连接超时后密钥自动更新机制， 降低了密钥被 盗的可能性， 使得数据传输的安全性大大提高。 另外， 在密钥的生成中加 入了客户端的地址信息， 这也加强了服务器端对用户身份验证的可靠程 度。
在实际运用中， 本发明可以较好地解决大量客户端和服务器交互时数 据传送的安全性问题， 为敏感信息的传递提供了安全保障， 很大程度地减 小了安全隐患， 为网络传输的可靠性提供了有力的保障。
附图说明
图 1是根据本发明一个实施例的客户端和服务器端之间建立连接时动 态密码创建的流程图。
具体实施方式 为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本 发明作进一步地详细描述。 如图 1所示， 在根据本发明的一个实施例的动态密钥创建流程中， 当 系统要建立一条连接时， 执行步驟 100 , 即由客户端向服务器端发起连接 请求， 在发送的连接请求数据包中加入自身的地址。 在密钥的生成过程中 加入了地址信息， 这种动态密钥的生成方法使得同一个用户在不同的地址 生成的密钥也不相同， 有利于密钥的保密性， 避免了和服务器端的直接联 系。 在一定的情况下， 例如没有使用代理时， 服务器端也可以直接从所接 收的请求数据包的源地址获得客户端的地址。 接着执行步驟 110 , 服务器端收到连接请求后， 检查地址正确性， 如 果地址正确， 则执行步驟 120; 如果地址错误， 即表明得到的是非法地址， 则服务器端将拒绝上述连接请求， 整个流程结束。 需要说明的是， 这个正 确性检查的步骤是每个网络连接系统所必须的， 缺少该验证步骤的服务器 端在网络中很容易的被恶意攻击以致信息泄漏， 甚至整个系统瘫痪。 因为 整个网络中每一个客户端的地址是唯一的， 而且一个地址只能对应一个客 户端， 因此地址可以作为客户端的一个身份特征， 服务器端通过地址对客 户端作初步的身份认证。 在步驟 120 , 服务器端返回一个空闲的连接号给客户端， 然后采用第 一算法， 据客户端发送过来的用户地址和分配给该用户的连接号生成一 个 8位的第一密钥。 需要说明的是， 第一算法可以采用上文提到的 DES算 法、 TEA算法，也可以采用如新型数据加密标准算法（New Data Encrypt ion Standard , 简称 "NewDES" )等其他的算法， 只要该算法是客户端和服务 器端在建立连接之前就已经规定下来的即可。 但是该算法一旦被选定后， 在系统的运行过程中就无法改变， 除非重新发布版本， 因此要求双方严格 保密。 这里产生的第一密钥， 并不需要发送给客户端， 因为在下面的步骤中 客户端也能够生成该第一密钥。 当系统对安全性的要求较高时， 可以通过 提高第一密钥的长度， 来增加加密的强度， 从而使破解密钥变得更加困难 此后进入步驟 1 30 , 客户端从收到服务器端返回的连接应答中获取连 接号， 也采用第一算法生成第一密钥。 需要说明， 在本发明的其他实施例中， 所述第一密钥也可以由网络中 的客户端和服务器端预先约定。 接着进入步骤 140 , 客户端釆用第二加密算法用第一密钥作为密钥信 息加密后带入登录消息发送给服务器端。 熟悉本领域的技术人员可以理 解， 上述第二加密算法可以釆用 Tea算法和 Des等可逆的加密算法实现， 这些加密算法简单高效， 密钥简短，破译起来却极其困难。需要说明的是， 上述步驟 120、 130和 140是分別在客户端和服务器端执行的， 从本质上 说并没有先后关系， 一般由于网络上的延时要远远大于本级的处理时间， 因此在一般情况下， 步骤 120先于步骤 1 30和 140结束。 在本实施例中， 只有当以上三个步骤都结束后， 才能执行步骤 150。
此后进入步驟 150， 服务器端收到登录消息后用第二加密算法和在步 驟 120生成的第一密钥对客户端传过来的登录信息进行解密， 解密后再检 查信息的正确性。 如果判定信息是正确的， 则执行步骤 160; 如果不正确， 那么服务器端将拒绝请求， 整个流程结束。 在步骤 160 , 服务器端以用户信息作为随机子生成一个 16位随机数， 将该随机数作为第二密钥， 用第三加密算法和第一密钥对第二密钥加密 后， 携带在登录应答消息中传送给客户端， 然后执行步骤 170。 第三加密 算法与上文所述的第二加密算法一样， 可以采用 Tea算法和 Des等可逆的 加密算法实现。 . 此后进入步骤 170 , 客户端收到应答消息后， 同样利用第三加密算法 和第一密钥解出第二密钥； 此后， 客户端和服务器端相互之间发送数据时 则将数据采用压缩算法先压缩后， 再用第四加密算法用第二密钥对数据进 行加密、 发送、 接收、 解密， 直到整个传输流程结束。 熟悉本发明领域的 技术人员可以知道， 第二、 第三、 第四加密算法可以是彼此相同的算法， 也可以是不同的算法。 在具体的数据传输过程中， 可以由所述客户端或所 述服务器端首先对需要发送的数据进行压缩， 然后所述客户端或所述服务 器端使用所述第二密钥和所述第四加密算法对压缩后的数据进行加密， 接 着发送加密后的数据； 当所述客户端或所述服务器端接收所述加密后的数 据后， 使用所述第二密钥和所述第四加密算法对所述加密后的数据进行解 密以及对解密后的数据解压缩获得最终的数据。 还需要说明的是， 在整个动态密码的创建过程中， 服务器端在与客户 端建立连接的时间有可能超出预先设定好的时间范围。 在这种情况下， 本 发明的技术方案会清除客户端连接； 此后客户端会自动重新连接， 第一密 钥和第二密钥也被自动更新， 提高了系统的安全性。
虽然通过参照本发明的某些优选实施例， 已经对本发明进行了图示和 描述， 但本领域的普通技术人员应该明白， 可以在形式上和细节上对其作 各种各样的改变， 而不偏离所附权利要求书所限定的本发明的精神和范 围。

Claims

权 利 要 求
1. 一种网络传输中动态密码的创建方法， 其特征在于， 包括：
A 所述网络中的客户端和服务器端确定第一密钥；
B 所述客户端向所述服务器端传送由所述第一密钥和第二加密 算法加密后的用户登陆信息， 所述服务器端对所述用户登陆信息解 密， 获得第一密钥；
C 所述月 I务器端向所述客户端传送由所述第一密钥和第三加密 算法加密后的第二密钥， 所述客户端对所述第二密钥解密， 获得动态 密码。
2. 根据权利要求 1所述的网络传输中动态密码的创建方法， 其 特征在于，所述网络中的客户端和服务器端使用双方公知的动态用户 信息和第一算法生成第一密钥。
3. 居权利要求 1所述的网络传输中动态密码的创建方法， 其 特征在于， 所述网络中的客户端和服务器端约定第一密钥。
4. 根据权利要求 2所述的网絡传输中动态密码的创建方法， 其 特征在于， 所述笫一算法、 第二算法和第三算法彼此相同或不同。
5.根据权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述动态用户信息是客户端地址、 或用户登录时间、 或 连接号、 或它们的任意组合。
6. 居权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述第一加密算法、 所述第二加密算法、 所述第三加密 算法分别是数据加密标准算法或极小型加密算法。
7. 居权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述步骤 A还进一步包括以下子步骤：
A1 所述客户端向所述服务器端发起连接请求， 其中带有所述客 户端地址；
A2 所述服务器端响应所述连接请求， 判断所述客户端地址是否 正确， 如果是则进入步骤 A3;
A 3 所述服务器端为所述客户端分配一个连接号， 并发送给所述 客户端；
A4 所述服务器端根据所述客户端地址和所述连接号， 使用所述 第一算法生成所述第一密钥；
A5 所述客户端收到所述连接号后， 根据所述客户端地址和所述 连接号， 使用所述第一算法生成所述第一密钥。
8.根据权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述步骤 B还进一步包括以下子步骤：
B1 所述客户端使用所述第一密钥和第二加密算法加密所述用户 登录信息；
B2 所述客户端向所述服务器端发送加密后的用户登录信息；
B 3 所述服务器端接收所述加密后的用户登录信息；
B4 所述服务器端使用所述第一密钥和所述第二加密算法对所述 加密后的用户登录信息进行解密；
B5所述服务器端判断解密后的用户登录信息是否正确并应答。
9.根据权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述步骤 C包括以下子步驟：
C1 所述服务器端使用所述第一密钥和所述第三加密算法对所述 第二密钥进行加密；
C2 所述服务器端将加密后的第二密钥发送给所述客户端；
C 3 所述客户端接收所述加密后的第二密钥；
C4 所述客户端使用所述第一密钥和所述第三加密算法对所述加 密后的第二密钥进行解密。
1 0. 根据权利要求 9所述的网絡传输中动态密码的创建方法， 其 特征在于， 所述步骤 C还进一步包括以下子步骤：
在所述步骤 C1以前， 随机生成一个数字作为所述第二密钥。
1 1. 根据权利要求 9所述的网络传输中动态密码的创建方法， 其 特征在于， 所述步驟 C2中， 将所述加密后的笫二密钥附加在对所述 用户登录信息的应答消息中发送给所述客户端。
12.根据权利要求 2或 4所述的网络传输中动态密码的创建方法， 其特征在于， 所述第二密钥的长度是 16位或更长。
1 3. 一种网络数据传输方法， 其特征在于， 包括：
A 所述网络中的客户端和服务器端确定第一密钥；
B 所述客户端向所述服务器端传送由所述第一密钥和第二加密 算法加密后的用户登陆信息， 所述服务器端对所述用户登陆信息解 密， 获得第一密钥；
C 所述服务器端向所述客户端传送由所述第一密钥和第三加密 算法加密后的第二密钥， 所述客户端对所述第二密钥解密；
D 所述客户端和所述服务器端相互传递由所述第二密钥和第四 加密算法加密后的数据。
14. 根据权利要求 1 3所述的网络数据传输方法， 其特征在于， 所述步骤 D包括以下子步骤：
D1 所述客户端或所述服务器端对需要发送的数据进行压缩； D2 所述客户端或所述服务器端使用所述第二密钥和所述第四加 密算法对压缩后的数据进行加密；
D3 所述客户端或所述服务器端发送加密后的数据；
D4 所述客户端或所述服务器端接收所述加密后的数据；
D5 所述客户端或所述服务器端使用所述第二密钥和所述第四加 密算法对所述加密后的数据进行解密；
D6 所述客户端或所述服务器端对解密后的数据解压缩。
PCT/CN2004/001426 2003-12-12 2004-12-07 Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau WO2005057841A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN 200310123618 CN1627682A (zh) 2003-12-12 2003-12-12 网络传输中建立连接时动态密码的创建方法
CN200310123618.9 2003-12-12

Publications (1)

Publication Number Publication Date
WO2005057841A1 true WO2005057841A1 (fr) 2005-06-23

Family

ID=34661438

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2004/001426 WO2005057841A1 (fr) 2003-12-12 2004-12-07 Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau

Country Status (2)

Country Link
CN (1) CN1627682A (zh)
WO (1) WO2005057841A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110969033A (zh) * 2018-09-29 2020-04-07 上海晶统电子科技有限公司 一种射频卡的加密方法
CN112468470A (zh) * 2020-11-16 2021-03-09 北京字节跳动网络技术有限公司 数据传输方法、装置和电子设备

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1929367B (zh) * 2005-09-10 2010-08-25 腾讯科技（深圳）有限公司 一种游戏数据传输方法及系统
JP4350714B2 (ja) * 2006-02-27 2009-10-21 株式会社東芝 送信装置、受信装置及び送信方法
CN102055768B (zh) * 2010-12-31 2014-02-19 奇智软件（北京）有限公司 一种网络登录方法及登录系统
CN103795722B (zh) * 2010-12-31 2017-09-26 北京奇虎科技有限公司 一种网络登录方法及登录系统
CN102118392A (zh) * 2011-01-18 2011-07-06 南京朗睿软件科技有限公司 数据传输的加密/解密方法及系统
CN103036880A (zh) * 2012-12-12 2013-04-10 华为技术有限公司 网络信息传输方法、设备及系统
CN103067160B (zh) * 2013-01-14 2018-05-15 江苏智联天地科技有限公司 一种加密sd卡的动态密钥生成的方法及系统
CN104105090A (zh) * 2013-04-15 2014-10-15 中兴通讯股份有限公司 终端和云系统服务器以及其交互方法和系统
CN103607402B (zh) * 2013-11-26 2016-11-23 广州博冠信息科技有限公司 一种网络游戏数据加密以及解密方法和设备
CN104468628A (zh) * 2014-12-29 2015-03-25 芜湖乐锐思信息咨询有限公司 基于文件加密算法的产品协作开发系统
CN106211101A (zh) * 2016-08-31 2016-12-07 安徽拓通信科技集团股份有限公司 一种语音短信的处理方法及装置
CN108495309B (zh) * 2018-02-06 2022-03-25 咪咕文化科技有限公司 信息处理的方法、电子设备和存储介质
CN111460483A (zh) * 2020-04-16 2020-07-28 郑州铁路职业技术学院 一种基于加密的财务信息化数据处理方法
CN113852462A (zh) * 2021-09-27 2021-12-28 王健庭 一种无需分发也不需要管理的对称密钥的创建方法及系统
CN114095202B (zh) * 2021-10-09 2024-04-12 浪潮软件股份有限公司 一种客户端-服务器架构的快速认证的方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1339206A (zh) * 1999-01-18 2002-03-06 施蓝姆伯格系统公司 在安全单元之间安全下载数据的方法
CN1400766A (zh) * 2001-07-27 2003-03-05 赵敏 硬件身份认证系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1339206A (zh) * 1999-01-18 2002-03-06 施蓝姆伯格系统公司 在安全单元之间安全下载数据的方法
CN1400766A (zh) * 2001-07-27 2003-03-05 赵敏 硬件身份认证系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110969033A (zh) * 2018-09-29 2020-04-07 上海晶统电子科技有限公司 一种射频卡的加密方法
CN112468470A (zh) * 2020-11-16 2021-03-09 北京字节跳动网络技术有限公司 数据传输方法、装置和电子设备

Also Published As

Publication number Publication date
CN1627682A (zh) 2005-06-15

Similar Documents

Publication Publication Date Title
US7039713B1 (en) System and method of user authentication for network communication through a policy agent
US7305548B2 (en) Using atomic messaging to increase the security of transferring data across a network
US7353380B2 (en) Method and apparatus for providing secure streaming data transmission facilities using unreliable protocols
CN113067828B (zh) 报文处理方法、装置、服务器、计算机设备及存储介质
EP3205048B1 (en) Generating a symmetric encryption key
JP2018534884A (ja) クライアント−クラウドまたはリモートサーバーの安全なデータまたはファイル・オブジェクト暗号化ゲートウェイ
EP1913728B1 (en) Total exchange session security
CN101335615B (zh) 用于usb key音频加解密装置密钥协商的方法
WO2005057841A1 (fr) Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau
KR20010004791A (ko) 인터넷 환경의 이동통신시스템에서 사용자 정보 보안 장치 및그 방법
CN110995414B (zh) 基于国密算法在tls1_3协议中建立通道的方法
CN103117851A (zh) 一种公钥机制实现防篡改防抵赖的加密控制方法及装置
US7536719B2 (en) Method and apparatus for preventing a denial of service attack during key negotiation
KR20080050040A (ko) 사용자 인증 방법
CN112040485A (zh) 局域网密钥协商方法、系统和计算机可读存储介质
CN114244508A (zh) 数据加密方法、装置、设备及存储介质
TWI827906B (zh) 訊息傳輸系統以及應用其中之使用者裝置與資訊安全硬體模組
JPH10242957A (ja) ユーザ認証方法およびシステムおよびユーザ認証用記憶媒体
CN112800462A (zh) 一种云计算环境下机密信息的存储方法
US9419800B2 (en) Secure network systems and methods
CN115277186A (zh) 一种在国密IPSec传输加密中融合量子密钥的方法
Aayush et al. Understanding SSL protocol and its cryptographic weaknesses
US20080059788A1 (en) Secure electronic communications pathway
Iyappan et al. Pluggable encryption algorithm in secure shell (SSH) protocol
TWI828558B (zh) 訊息傳輸系統以及應用其中之使用者裝置與資訊安全硬體模組

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
122 Ep: pct application non-entry in european phase