WO2010078755A1 - 电子邮件的传送方法、系统及wapi终端 - Google Patents

电子邮件的传送方法、系统及wapi终端 Download PDF

Info

Publication number
WO2010078755A1
WO2010078755A1 PCT/CN2009/073404 CN2009073404W WO2010078755A1 WO 2010078755 A1 WO2010078755 A1 WO 2010078755A1 CN 2009073404 W CN2009073404 W CN 2009073404W WO 2010078755 A1 WO2010078755 A1 WO 2010078755A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
wapi
signature
sending
session key
Prior art date
Application number
PCT/CN2009/073404
Other languages
English (en)
French (fr)
Inventor
施元庆
梁洁辉
冯明
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2010078755A1 publication Critical patent/WO2010078755A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to the field of communications, and in particular to a method and system for transmitting an email and a WAPI terminal.
  • WEP Wired Equivalent Privacy
  • the WAPI consists of a WLAN Authentication Infrastructure (WAI) and a WLAN Privacy Infrastructure (WPI).
  • WAI adopts the public key encryption technology for the identification of the identity between the terminal and the access point;
  • WPI adopts the symmetric password algorithm for WLAN in the National Password Management Committee Office to implement data protection, and the MAC sublayer
  • MS Service MAC Service Data Unit
  • the infrastructure described in the specification includes several functional entities.
  • the Access Point (AP) refers to any entity that has a site function to provide distributed services to associated sites through wireless media.
  • An authentication requester entity (Authentication Supplicant Entity, referred to as ASUE) is an entity that requests an authentication operation before accessing the service; an authenticator entity (Authenticator Entity, called AE) provides authentication for the authentication requester before accessing the service.
  • the entity that is operated, the entity is mainly set in the access point or the terminal; the basic function of the Authentication Service Unit (ASU) is to realize the management of the user certificate and the identification of the user identity, etc., based on the public secret.
  • the entity resides in the authentication service entity (Authentication Service Entity).
  • the node in the corresponding network of the authentication service unit is a WAPI authentication service.
  • the user certificate is a public key certificate and is an important part of the WAI system construction.
  • the public key certificate is a digital identity credential of the network user, and the identity of the network user can be uniquely determined by the private key verification.
  • E-mail is a widely used distributed application, and has gradually become popular among mobile terminal users, but it has security risks in the protocol.
  • the standard Email Transfer Protocol (SMTP) is transmitted in clear text. Mail, an attacker can easily intercept, modify, or modify the message header to send a message to a fake sender. Although the latest SMTP protocol adds authentication, its role is to protect the message header and authenticate the message delegate instead of authenticating the sender of the message.
  • the client under the client/server model passes the Post Office Protocol Version 3 (Post Office Protocol Version 3) or Internet Message Access 10th Edition (Internet Message Access Protocol 4, called IMAP4). e-mail.
  • the user can also operate the email in the WEB mode through the browser.
  • the application data transmission is implemented by a hypertext transfer protocol (Hypertext Transfer Protocol), and the hypertext transfer protocol runs on the transport layer.
  • Hypertext Transfer Protocol Hypertext Transfer Protocol
  • Secure email services require the confidentiality, integrity, and identity of the sender to be identifiable.
  • WAPI can solve the security of the terminal at the access level in the wireless LAN, but it cannot solve the security problem of the email service.
  • the present invention is directed to a method, system, and WAPI terminal for transmitting an email to solve the problem of insecure transmission of an email through a WAPI terminal. According to an aspect of the present invention, a method of transmitting an email is provided.
  • the method for transmitting an email according to the present invention is for performing mail transmission in a case where at least one of the transmitting terminal and the receiving terminal is a WAPI terminal, the method comprising: the transmitting terminal using the randomly generated session key to the mail body and The signature is encrypted to obtain the ciphertext, wherein the signature is obtained by the sending terminal using the private key to encrypt the mail body; the sending terminal encrypts the session key by using the public key of the receiving terminal, and sends the encrypted session key and the ciphertext together Receiving the terminal; the receiving terminal receives the encrypted session key and the ciphertext from the transmitting terminal, decrypts the session key by using the private key, and decrypts the ciphertext by using the decrypted session key to obtain the mail body and the signature; The public key of the transmitting terminal decrypts the signature to obtain a decrypted result, and verifies the transmitting terminal according to the decrypted result and the decrypted mail body.
  • the sending the terminal to obtain the signature comprises: the sending terminal hashing the body of the mail to obtain a first hash value, and performing a public key encryption calculation on the first hash value with the private key to generate a signature.
  • the receiving terminal performs the verification of the sending terminal according to the decrypted result and the decrypted mail body: the receiving terminal performs hash calculation on the decrypted mail body to obtain a second hash value, and the second hash is performed.
  • the method further includes: the sending terminal acquires the certificate of the receiving terminal through the WAPI server, and obtains the public key of the receiving terminal by receiving the certificate of the terminal.
  • the method before the receiving terminal decrypts the signature by using the public key of the sending terminal, the method further includes: the receiving terminal acquiring the certificate of the sending terminal by using the WAPI server, and obtaining the public key of the sending terminal by sending the certificate of the terminal.
  • the method further comprises: the email server providing a WAPI proxy function for the non-WAPI terminal, so that the non-WAPI terminal completes as a WAPI terminal Features.
  • the method further comprises: establishing a secure socket layer based connection between the email server and the non-WAPI terminal to enable the email server to perform email interaction with the non-WAPI terminal.
  • a delivery system for an electronic mail includes: a transmitting terminal, a receiving terminal, and a WAPI server, wherein at least one of the transmitting terminal and the receiving terminal is a non-WAPI terminal.
  • the sending terminal is configured to encrypt the mail body by using the private key to obtain a signature, encrypt the mail body and the signature by using the randomly generated session key to obtain the ciphertext, and encrypt the session key by using the public key of the receiving terminal, and .
  • the secret session key and the ciphertext are jointly sent to the receiving terminal; the receiving terminal is configured to receive the encrypted session key and the ciphertext from the sending terminal, and utilize
  • the private key of the WAPI terminal decrypts the session key, decrypts the ciphertext by using the decrypted session key, obtains the body and signature of the mail, decrypts the signature by using the public key of the sending terminal, and obtains the decrypted result, and according to the decrypted result
  • the mail body obtained by decrypting the second decryption module verifies the sending terminal
  • the system further comprises: an email server, configured to provide a non-WAPI terminal
  • the WAPI proxy function enables the non-WAPI terminal to perform the function as a WAPI terminal.
  • a WAPI terminal is also provided.
  • the WAPI terminal according to the present invention includes: a first encryption module, configured to encrypt a message body by using a private key of the WAPI terminal to obtain a signature; and a second encryption module, configured to encrypt the message body and the signature by using a randomly generated session key a ciphertext; a first obtaining module, configured to obtain a public key of the receiving terminal by using a WAPI server; a third encrypting module, configured to encrypt the session key by using a public key of the receiving terminal acquired by the first acquiring module; The encrypted session key and the ciphertext are jointly sent to the receiving terminal.
  • a WAPI terminal is also provided.
  • the WAPI terminal according to the present invention includes: a receiving module, configured to receive an encrypted session key and ciphertext from the transmitting terminal, and a first decrypting module, configured to decrypt the session key by using a private key of the WAPI terminal; And the second decryption module is configured to obtain the public key of the sending terminal by using the decrypted session key, and obtain the public key of the sending terminal by using the WAPI server; The public key of the transmitting terminal decrypts the signature to obtain a decryption result; and the verification module is configured to verify the sending terminal according to the decrypted result and the body of the mail decrypted by the second decrypting module.
  • FIG. 2 is a flowchart of a method for transmitting an email according to an embodiment of the present invention
  • FIG. 3 is a diagram for transmitting an email according to an embodiment of the present invention.
  • 4 is a flow chart of an e-mail client (sending end) transmitting mail according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of receiving an e-mail according to an embodiment of the present invention
  • FIG. 7 is a flow chart of an email client (receiving end) receiving an email
  • FIG. 7 is an email server supporting a WAPI-based secure email service between a WAPI terminal user and a non-WAPI terminal user according to an embodiment of the present invention
  • FIG. 8 is a process of transmitting an email between a WAPI terminal user and a non-WAPI terminal user by an email server supporting WAPI-based secure email service according to an embodiment of the present invention.
  • FIG. 9 is a structural diagram of a WAPI terminal according to Embodiment 1 of the apparatus of the present invention;
  • FIG. 10 is a device implementation of the present invention.
  • 2 is a block diagram of a WAPI terminal;
  • FIG. 11 is a schematic diagram of a hierarchical relationship between a security module of a WAPI terminal and other entities according to an embodiment of the present invention;
  • FIG. 12 is a block diagram of a transmission system of an email according to an embodiment of the present invention
  • Figure 13 is a block diagram showing a preferred processing structure of a transmission system of an electronic mail according to an embodiment of the present invention.
  • DETAILED DESCRIPTION OF THE PREFERRED EMBODIMENTS The main idea of the present invention is to: Reuse and re-encapsulate the public key (public key) encryption technology in WAI, provide a digital signature application and verification interface for email applications, and electronically for WAPI terminals.
  • the mail application completes the identity authentication function of the sender through these interfaces; multiplexes and re-encapsulates the symmetric key encryption technology in WPI to provide symmetric encryption and decryption functions for the email application.
  • the user certificate management function on the WAPI terminal and the certificate management function in the WAPI authentication server are also extended, and the WAPI operator
  • the authentication requester entity function is added to the controlled email server, thereby implementing the WEB server function based on the Security Socket Layer (SSL).
  • SSL Security Socket Layer
  • FIG. 1 is a schematic diagram of a network structure according to an embodiment of the present invention.
  • the WAPI terminal accesses the WAPI server through a WAPI access point (Access Point, called an AP), and the WAPI server enters the public CA server and the email server through the IP packet network; Fidelity, the so-called WiFi) terminal (non-WAPI terminal) accesses the public CA server and the e-mail server through the IP packet network via the WiFi AP and other network terminals.
  • a method of transmitting an electronic mail is provided.
  • 2 is a flow chart of a method of transmitting an email according to an embodiment of the present invention.
  • Step S202 The sending terminal uses a randomly generated session key to force the mail body and the signature.
  • the secret ciphertext is obtained, wherein the signature is obtained by the sending terminal by using the private key to encrypt the mail body; in step S204, the sending terminal encrypts the session key by using the public key of the receiving terminal, and the encrypted session key and the ciphertext are common Sending to the receiving terminal; Step S206, the receiving terminal receives the encrypted session key and ciphertext from the sending terminal, decrypts the session key by using the private key, and decrypts the ciphertext by using the decrypted session key to obtain the body of the mail And the signature; step S208, the receiving terminal decrypts the signature by using the public key of the sending terminal to obtain a decrypted result, and verifies the transmitting terminal according to the decrypted result and the decrypted mail body.
  • the encrypted transmission of the mail is realized at the transmitting end, and the decryption of the mail and the receipt of the insurance certificate are realized at the receiving end, thereby ensuring the security of the business of the email.
  • the embodiments of the present invention are described in detail below through the processing flow of the transmitting terminal and the receiving terminal, respectively.
  • the process of transmitting an e-mail by the transmitting terminal in the embodiment of the present invention will be described below with reference to FIGS. 3 and 4.
  • 3 is a schematic diagram of sending an email according to an embodiment of the present invention
  • FIG. 4 is a flowchart of an email client (sending terminal) transmitting an email according to an embodiment of the present invention. As shown in FIG.
  • Step S402 after the completion of the mail editing, the security interface including the signature and the encryption function is invoked; Step S404, the sender performs a hash calculation on the body of the mail to obtain a hash result; Step S406, the sender uses the private key thereof.
  • Step S408 the sender generates a 128-bit random number as the session key, and uses the session key and uses the conventional encryption in WPI The algorithm encrypts the message body and the signature to obtain the cipher text; Step S410, it is determined whether the sender has a valid public key certificate of the receiving end, and if yes, step S412 is directly performed; otherwise, after obtaining the public key certificate of the receiving end, step S412 is performed.
  • the sender can obtain the public key certificate of the receiving end through the WAPI server, and obtain the public key of the receiving end through the certificate.
  • step S410 may be performed before step S402 or at any of steps S402 to S408, where no limitation is performed; step S412, the sender encrypts the session key by using the public key of the receiving end; step S414, the sending end wins The encrypted session key and the ciphertext combined mail are sent to the receiving end.
  • steps S402-S414 correspond to steps S202-S204 in Fig. 2.
  • FIG. 5 is a schematic diagram of receiving an email according to an embodiment of the present invention
  • FIG. 6 is based on A flow chart of receiving an email by the email client (receiving end) of the embodiment of the present invention. As shown in FIG. 6, the process includes the following steps S602 to S614: Step S602, the receiving end receives the encrypted session key and ciphertext.
  • Step S604 the receiving end decrypts the encrypted session key by using the public key of the WAI to obtain the session key; Step S606, using the decrypted The session key is decrypted by the conventional encryption algorithm in the WPI to obtain the message body and the signature; in step S608, the receiving end uses the hash algorithm in the WAI to calculate the hash value of the mail original text in the obtained message body; Step S610, determining the reception Whether the terminal saves the public key certificate of the valid sender, if yes, directly proceeds to step S612; otherwise, after obtaining the public key certificate of the sender, step S612 is performed; the receiving end can obtain the public key certificate of the sender through the WAPI server.
  • step S610 may also be before step S602, or S602.
  • step S612 the receiving end uses the public key of the transmitting end and decrypts the signature by using the public key algorithm in the WAI to obtain a decrypted calculation value; Step S614, by comparing the hashes The value and the decrypted calculated value determine whether the authentication is successful.
  • steps S602-S614 correspond to steps S206-S208 in Fig. 2.
  • 7 is an e-mail server in WAPI terminal user and non-according according to an embodiment of the present invention
  • FIG. 8 is a schematic diagram of another process flow for transmitting an email between a WAPI terminal user and a non-WAPI terminal user according to an embodiment of the present invention.
  • FIG. 7 the transmitting terminal is a WAPI terminal, and the receiving terminal is a non-WAPI terminal.
  • the transmitting terminal is a WAPI terminal
  • the receiving terminal is a non-WAPI terminal.
  • the WAPI server obtains the certificate of the receiving end, and according to the certificate, obtains the public key of the receiving end.
  • the WAPI terminal interacts with the certificate management function on the WAPI server through HTTP, and the HTTP request message carries the email address.
  • the extended certificate management function on the WAPI server maintains the secure email address of the WAPI user and its WAPI certificate. The mapping relationship of the index.
  • the server retrieves a valid certificate, it returns the certificate through the HTTP OK message.
  • the WAPI terminal uses the valid receiver certificate to perform public key encryption calculation, specific mail signature and encryption and decryption calculation.
  • the signature and encryption and decryption process is similar to the end-to-end email security scheme PGP ( Pretty Good Privacy). Steps S402 to S412 in 4 are not mentioned here.
  • the encrypted and signed message is then sent to the email server using the POP3 or IMAP4 protocol, which decrypts the message, verifies the digital signature and marks the verification result in the message.
  • the e-mail server negotiates with the non-WAPI terminal to establish an SSL connection. The specific negotiation process is not described here.
  • the non-WAPI terminal uses the HTTP protocol to collect and read e-mails through the WEB.
  • the transmitting terminal is a non-WAPI terminal
  • the receiving terminal is a WAPI terminal.
  • the non-WAPI terminal negotiates with the e-mail server to establish an SSL connection, and operates the service in WEB mode through the HTTP protocol thereon.
  • the email server After the email server queries the WAPI server, it knows that the sender is a non-WAPI terminal user, and then applies or uses a locally saved valid recipient certificate to sign and encrypt the email.
  • the WAPI terminal uses the POP3 protocol or the IMAP4 protocol to read.
  • the process flow can refer to steps S602-S614 in FIG. 6, which is not mentioned here.
  • the authentication requester entity in the email server acts as the receiver agent, completes the verification operation and the mail decryption operation on the non-WAPI terminal digital signature, and the authentication result is inserted into the decryption. After the body of the message.
  • the non-WAPI terminal uses the HTTP protocol running on SSL, uses the WEB browser access method to use the e-mail service, and the client browser establishes an SSL-based secure connection with the WEB server functional entity in the e-mail server, and uses digital certificate verification.
  • the identity of the other party, a session key is negotiated together, and the data on the transport layer is encrypted by the session key, and the WEB secure communication is realized. Since the authentication result and the application data are encrypted by the session key, the content is not leaked or modified, so Confirm the security of the email business in this mode.
  • a WAPI terminal is also provided.
  • FIG. 9 is a block diagram of a WAPI terminal according to Embodiment 1 of the present invention. As shown in FIG.
  • the terminal includes: a first encryption module 11, a second encryption module 12, a first acquisition module 13, and a third encryption module 14,
  • the sending module 15 is specifically configured to: use the private key of the WAPI terminal to encrypt the mail body to obtain a signature; and the second encryption module 12 is connected to the first encryption module 11 for using the randomly generated session secret
  • the first encryption module 14 is configured to obtain the public key of the receiving terminal by using the WAPI server, and the third encryption module 14 is connected to the first obtaining module 13 for utilizing the first
  • the public key of the receiving terminal obtained by the obtaining module 13 encrypts the session key; the sending module 15 is connected to the second encrypting module 12 and the third encrypting module 14, respectively, for sending the encrypted session key and the ciphertext together to Receiving terminal.
  • a WAPI terminal is further provided.
  • 10 is a block diagram of a WAPI terminal in the second embodiment of the apparatus of the present invention.
  • the terminal includes: a receiving module 21, a first decrypting module 22, a second decrypting module 23, a second obtaining module 24, and a third
  • the private key of the terminal decrypts the session key;
  • the second decryption module 23 is connected to the first decryption module 22, and is configured to decrypt the ciphertext by using the decrypted session key to obtain the email body and the signature.
  • the second obtaining module 24 is connected to the receiving module 21 for obtaining by using the WAPI server.
  • the third decrypting module 25 is connected to the second obtaining module 24, configured to decrypt the signature by using the public key of the sending terminal acquired by the second acquiring module 28 to obtain a decrypted result;
  • the verifying module 26 is respectively connected to the second
  • the decryption module 23 and the third decryption module 25 are configured to verify the transmitting terminal according to the decrypted result obtained by the third decrypting module 23 and the mail body decrypted by the second decrypting module 23.
  • the functions of the transmitting terminal and the receiving terminal may be implemented in one WAPI terminal.
  • a security module may be added to the WAPI terminal, and the WAPI terminal and the functional module of the WAPI terminal proposed in the second embodiment of the device according to the first embodiment of the present invention are encapsulated in the security module.
  • the relationship between the security module and other functional entities on the WAPI terminal is as shown in FIG. 11.
  • FIG. 11 is a schematic diagram showing the hierarchical relationship between the security module of the WAPI terminal and other entities according to an embodiment of the present invention.
  • the security module encapsulates the hash calculation function in WAI with the public key encryption and decryption function and the conventional encryption function and random number generation function in the WPI as an interface that can be called by the application, and adds a user certificate management function to implement local certificate retrieval.
  • a delivery system for an electronic mail is also provided.
  • Figure 12 is a block diagram of a transmission system of an electronic mail according to an embodiment of the present invention
  • Figure 13 is a block diagram showing a preferred processing structure of an electronic mail transmission system according to an embodiment of the present invention. As shown in FIG.
  • the system according to the embodiment of the present invention includes: a transmitting terminal 10, a receiving terminal 20, and a WAPI server 30, wherein at least one of the transmitting terminal 10 and the receiving terminal 20 is WAPI.
  • the terminal specifically: the sending terminal 10, connected to the server 30, is configured to encrypt the mail body with its private key to obtain a signature, and encrypt the mail body and the signature by using the randomly generated session key to obtain the ciphertext, and use the receiving terminal
  • the public key encrypts the session key, and sends the encrypted session key and the ciphertext together to the terminal: the receiving terminal 20 is connected to the WAPI server 30 for receiving the encrypted session key from the sending terminal.
  • the WAPI server 30 is configured to send a certificate of the receiving terminal to the sending terminal, so that the sending terminal obtains the public key of the receiving terminal by receiving the certificate of the terminal, and sends a certificate of the sending terminal to the receiving terminal, so that the receiving terminal passes the certificate of the sending terminal. Get the public key of the sending terminal.
  • the system according to the embodiment of the present invention preferably further includes: an email server 40, if at least one of the transmitting terminal 10 and the receiving terminal 20 is a non-WAPI terminal, The WAPI proxy function is provided for the non-WAPI terminal, so that the non-WAPI terminal completes the function as a WAPI terminal.
  • the system provided in the embodiment of the present invention can also complete the processing shown in FIG. 1 to FIG. 8 to implement the method for transmitting the email provided by the foregoing method embodiment.
  • the system provided in the embodiment of the present invention can also complete the processing shown in FIG. 1 to FIG. 8 to implement the method for transmitting the email provided by the foregoing method embodiment.
  • the system provided in the embodiment of the present invention can also complete the processing shown in FIG. 1 to FIG. 8 to implement the method for transmitting the email provided by the foregoing method embodiment.
  • the system provided in the embodiment of the present invention can also complete the processing shown in FIG. 1 to FIG. 8 to implement the method for transmitting the email provided by the foregoing method embodiment.
  • the system provided in the embodiment of the present invention can also complete the processing shown in FIG. 1 to FIG. 8 to implement the method for transmitting the email provided by the foregoing method embodiment.
  • the implementation of the present invention does not modify the system architecture and the current processing flow, is easy to implement, facilitates promotion in the technical field, and has strong
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices. Alternatively, they may be implemented by program code executable by the computing device, such that they may be stored in the storage device for execution by the computing device, or They are separately fabricated into individual integrated circuit modules, or a plurality of modules or steps thereof are fabricated into a single integrated circuit module.
  • the invention is not limited to any specific combination of hardware and software.
  • the above is only the preferred embodiment of the present invention, and is not intended to limit the present invention, and various modifications and changes can be made to the present invention. Any modifications, equivalent substitutions, improvements, etc. made within the spirit and scope of the present invention are intended to be included within the scope of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

电子邮件的传送方法、 系统及 WAPI终端 技术领域 本发明涉及通信领域， 具体而言， 涉及一种电子邮件的传送方法、 系统 及 WAPI终端。 背景技术 为了解决无线局域网国际标准 ISO/IEC 802.11 中定义的有线等效保密 ( Wired Equivalent Privacy, 筒称为 WEP ) 安全机制存在的安全漏洞， 我国 颁布了无线局域网国家标准及其第一号修 丈单， 该标准采用无线局域网认证 与保密基础结构 ( WLAN Authentication and Privacy Infrastructure, 筒称为 WAPI ) 替代 WEP, 以解决无线局域网的安全问题。
WAPI由无线局 i或网鉴别基础结构（ WLAN Authentication Infrastructure , 筒称为 WAI )和无线局 i或网保密基础结构 （WLAN Privacy Infrastructure, 筒 称为 WPI )组成。 其中， WAI采用了公开密钥加密技术， 用于终端与接入点 之间身份的鉴别； WPI 采用国家密码管理委员会办公室比准的用于 WLAN 的对称密码算法实现数据保护， 对 MAC子层的 MAC服务数据单元 （ MAC Service Data Unit , 筒称为 MSDU ) 进行力口密、 解密处理。 规范中介绍的基础结构包括了几个功能实体， 其中， 接入点 （Access Point, 筒称为 AP ) 是指任何一个具备站点功能， 通过无线媒体为关联的站 点提供访问分布式服务的实体； 鉴别请求者实体 （Authentication Supplicant Entity , 筒称为 ASUE )是在接入服务之前请求进行鉴别操作的实体； 鉴别器 实体 （Authenticator Entity, 筒称为 AE ) 为鉴别请求者在接入服务之前提供 鉴别操作的实体， 该实体主要设置在接入点或终端内； 鉴别服务单元 ( Authentication Service Unit, 筒称为 ASU ) 的基本功能是实现对用户证书 的管理和用户身份的鉴别等，是基于公开密钥密码技术的 WAI鉴别基础结构 中重要的组成部分；鉴另' J月 务实体（ Authentication Service Entity,筒称为 ASE ) 为鉴别器和鉴别请求者提供身份鉴别服务的实体， 该实体驻留在鉴别服务单 元中， 鉴别服务单元对应网络中的节点为 WAPI鉴别服务器。 用户证书为公 开密钥证书， 是 WAI系统构造中重要的环节。公开密钥证书是网络用户的数 字身份凭证， 通过私有密钥验证可以唯一地确定网络用户的身份。 电子邮件是广泛使用的分布式应用 , 并已渐渐在移动终端用户中普及 , 但其在协议上存在安全隐患，标准的电子邮件传输协议 ( Simple Mail Transfer Protocol, 筒称为 SMTP ) 以明文方式传送邮件， 攻击者可以较容易地截取、 慕改邮件内容， 或修改消息头以假冒发件人发送邮件。 虽然最新的 SMTP协 议添加了认证功能， 但是其作用只是保护消息头， 对消息委托进行认证， 而 非对邮件发件人进行认证。 客户机 /服务器模型下的客户端通过邮局协议第 3 版 （Post Office Protocol Version 3 , 筒称为 POP3 ) 或互联网消息访问十办议第 4版 ( Internet Message Access Protocol 4, 筒称为 IMAP4 ) 发电子邮件。 另夕卜， 用户也可 通过浏览器以 WEB方式操作电子邮件，此时通过超文本传输协议（ Hypertext Transfer Protocol, 筒称为 HTTP ) 实现应用数据传输， 超文本传输协议运行 于传输层之上， 缺乏安全保证， 也无法保证电子邮件业务安全。 安全的电子 邮件服务需要邮件信息具备保密性、 完整性和发件人身份可鉴别的特性。 WAPI 能解决无线局域网中终端在接入层次上的安全， 但无法解决电子邮件 业务的安全问题。 针对相关技术中通过 WAPI 终端传送电子邮件时电子邮件传输的安全 性低的问题， 现有技术中尚未提出有效的解决方案。 发明内容 本发明旨在提供一种电子邮件的传送方法、 系统及 WAPI终端， 以解决 通过 WAPI终端传送电子邮件的不安全的问题。 根据本发明的一个方面， 提供了一种电子邮件的传送方法。 才艮据本发明的电子邮件的传送方法，用于在发送终端与接收终端至少之 一为 WAPI终端的情况下进行邮件传送， 该方法包括： 发送终端利用随机生 成的会话密钥对邮件正文和签名进行加密得到密文， 其中， 签名由发送终端 利用其私钥对邮件正文加密得到； 发送终端利用接收终端的公钥对会话密钥 进行加密， 并将加密的会话密钥以及密文共同发送至接收终端； 接收终端接 收来自发送终端的加密后的会话密钥以及密文， 利用其私钥解密会话密钥 , 并利用解密的会话密钥解密密文， 得到邮件正文和签名； 接收终端利用发送 终端的公钥解密签名得到解密结果， 并根据解密结果和解密得到的邮件正文 对发送终端进行验证。 优选地， 发送终端得到签名的处理包括： 发送终端对邮件正文进行散列 计算得到第一散列值， 并利用其私钥对第一散列值进行公钥加密计算生成签 名。 优选地 ,接收终端才艮据解密结果和解密得到的邮件正文对发送终端进行 验证的处理包括： 接收终端对解密得到的邮件正文进行散列计算得到第二散 列值， 并将第二散列值与作为第三散列值的解密结果进行比较； 在第二散列 值与第三散列值相同的情况下， 确定发送终端通过验证； 在第二散列值与第 三散列值不相同的情况下， 确定发送终端未通过验证。 优选地， 在发送终端利用接收终端的公钥对会话密钥进行加密之前， 该 方法还包括： 发送终端通过 WAPI服务器获取接收终端的证书， 并通过接收 终端的证书得到接收终端的公钥。 优选地，在接收终端利用发送终端的公钥解密签名之前，该方法还包括： 接收终端通过 WAPI服务器获取发送终端的证书 , 并通过发送终端的证书得 到发送终端的公钥。 优选地， 在发送终端与接收终端其中之一为非 WAPI终端的情况下， 该 方法进一步包括： 电子邮件 ^^务器为非 WAPI终端提供 WAPI代理功能， 以 使非 WAPI终端完成作为 WAPI终端的功能。 优选地， 该方法还包括： 电子邮件月 务器与非 WAPI终端之间建立基于 安全套接字层的连接， 以使电子邮件服务器与非 WAPI终端进行电子邮件的 交互。 根据本发明的另一方面， 还提供了一种电子邮件的传送系统。 根据本发明的电子邮件的传送系统包括： 发送终端、 接收终端、 WAPI 月 务器， 其中， 发送终端与接收终端至少之一为非 WAPI终端。 发送终端 , 用于利用其私钥对邮件正文加密得到签名 , 利用随机生成的 会话密钥对邮件正文和签名进行加密得到密文， 利用接收终端的公钥对会话 密钥进行加密 , 并将力。密的会话密钥以及密文共同发送至接收终端； 接收终端， 用于接收来自发送终端的加密后的会话密钥以及密文， 利用
WAPI 终端的私钥解密会话密钥， 利用解密的会话密钥解密密文， 得到邮件 正文和签名 , 利用发送终端的公钥解密签名得到解密结果， 并根据解密结果 和第二解密模块解密得到的邮件正文对发送终端进行验证;
WAPI服务器， 用于向发送终端发送接收终端的证书， 以使发送终端通 过接收终端的证书得到接收终端的公钥，并向接收终端发送发送终端的证书， 以使接收终端通过发送终端的证书得到发送终端的公钥。 优选地， 该系统还包括： 电子邮件服务器， 用于为非 WAPI 终端提供
WAPI代理功能 , 以使非 WAPI终端完成作为 WAPI终端的功能。 根据本发明的另一方面， 还提供了一种 WAPI终端。 根据本发明的 WAPI终端包括： 第一加密模块， 用于利用 WAPI终端的 私钥对邮件正文加密得到签名； 第二加密模块， 用于利用随机生成的会话密 钥对邮件正文和签名进行加密得到密文； 第一获取模块， 用于通过 WAPI服 务器获取接收终端的公钥； 第三加密模块， 用于利用第一获取模块获取的接 收终端的公钥对会话密钥进行加密； 发送模块， 用于将加密的会话密钥和密 文共同发送至接收终端。 根据本发明的另一方面， 还提供了一种 WAPI终端。 根据本发明的 WAPI终端包括： 接收模块， 用于接收来自发送终端的加 密后的会话密钥和密文， 第一解密模块， 用于利用 WAPI终端的私钥解密会 话密钥； 第二解密模块， 用于利用解密的会话密钥解密密文， 得到邮件正文 和签名； 第二获取模块， 用于通过 WAPI服务器获取发送终端的公钥； 第三 解密模块， 用于利用第二获取模块获取的发送终端的公钥解密签名得到解密 结果； 验证模块， 用于才艮据解密结果和第二解密模块解密得到的邮件正文对 发送终端进行验证。 借助于本发明的上述技术方案， 通过复用并重新封装 WAI 中公开密钥 力口密技术， 在发送端实现了邮件的加密发送， 在接收端实现了解密及验证接 收， 从而保证了电子邮件的业务安全。 附图说明 此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部 分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的 不当限定。 在附图中： 图 1是才艮据本发明实施例的网络结构的示意图； 图 2是才艮据本发明实施例的电子邮件的传送方法的流程图； 图 3是才艮据本发明实施例的发送电子邮件的示意图； 图 4是才艮据本发明实施例的电子邮件客户端（发送端）发送邮件的流程 图； 图 5是根据本发明实施例的接收电子邮件的示意图； 图 6是根据本发明实施例的电子邮件客户端（接收端）接收邮件的流程 图； 图 7是根据本发明实施例的支持基于 WAPI的安全电子邮件业务的电子 邮件月 务器在 WAPI终端用户与非 WAPI终端用户之间传送电子邮件的一个 处理流程的示意图； 图 8是根据本发明实施例的支持基于 WAPI的安全电子邮件业务的电子 邮件月 务器在 WAPI终端用户与非 WAPI终端用户之间传送电子邮件的一个 处理流程的示意图； 图 9是才艮据本发明装置实施例一的 WAPI终端的结构才匡图； 图 10是 居本发明装置实施例二的 WAPI终端的结构框图； 图 11是根据本发明实施例的 WAPI终端的安全模块与其他实体之间的 层次关系的示意图； 图 12是 居本发明实施例的电子邮件的传送系统的框图； 图 13是才艮据本发明实施例的电子邮件的传送系统的优选处理结构的框 图。 具体实施方式 功能相克述 本发明的主要思想是： 复用并重新封装 WAI中公开密钥 （公钥） 加密 技术， 为电子邮件应用提供数字签名的申请与验证接口， WAPI 终端的电子 邮件应用通过这些接口完成发送端的身份鉴别功能； 复用并重新封装 WPI 中对称密钥加密技术， 为电子邮件应用提供对称加密、 解密功能。 为将 WAI 中公开密钥加密技术复用于面向应用的数字签名功能 , 根据本发明实施例 , 还扩展了 WAPI终端上用户证书管理功能、 WAPI鉴别服务器中证书管理功 能，并在 WAPI运营商所控制的电子邮件服务器中添加鉴别请求者实体功能， 从而实现了基于安全套接字层（ Security Socket Layer, 筒称为 SSL )的 WEB 月 务器功能。 以下结合附图对本发明的优选实施例进行说明， 应当理解， 此处所描述 的优选实施例仅用于说明和解释本发明， 并不用于限定本发明。如果不冲突， 本发明实施例及实施例中特征可以相互组合。 方法实施例 本发明的应用场景如图 1所示，图 1是 居本发明实施例的网络结构的 示意图。 如图 1所示， WAPI终端通过 WAPI接入点 （Access Point, 筒称为 AP )接入 WAPI服务器 , 该 WAPI服务器通过 IP分组网 ^^入公共 CA服务 器和电子邮件服务器； 无线保真 （ Wireless Fidelity, 筒称为 WiFi ) 终端 （非 WAPI终端） 经由 WiFi AP、 其他的网络终端分别通过 IP分组网络接入公共 CA服务器和电子邮件服务器。 根据本发明 , 提供了一种电子邮件的传送方法。 图 2是根据本发明实施例的电子邮件的传送方法的流程图。需要说明的 是， 在以下方法中描述的步骤可以在诸如一组计算机可执行指令的计算机系 统中执行， 并且， 虽然在图 2中示出了逻辑顺序， 但是在某些情况下， 可以 以不同于此处的顺序执行所示出或描述的步骤。 如图 2所示， 该方法包括以 下步骤 S202至步骤 S208的处理： 步骤 S202, 发送终端利用随机生成的会话密钥对邮件正文和签名进行 力。密得到密文， 其中， 签名由发送终端利用其私钥对邮件正文加密得到； 步骤 S204, 发送终端利用接收终端的公钥对会话密钥进行加密， 并将 加密的会话密钥以及密文共同发送至接收终端； 步骤 S206,接收终端接收来自发送终端的加密后的会话密钥以及密文， 利用其私钥解密会话密钥， 并利用解密的会话密钥解密密文， 得到邮件正文 和签名; 步骤 S208 , 接收终端利用发送终端的公钥解密签名得到解密结果， 并 根据解密结果和解密得到的邮件正文对发送终端进行验证。 通过上述实施例， 在发送端实现了邮件的加密发送， 在接收端实现了邮 件的解密及 -险证接收， 保证了电子邮件的业务安全。 下面分别通过发送终端和接收终端的处理流程详细描述本发明实施例。 以下结合图 3和图 4描述 居本发明实施例的发送终端发送电子邮件的 处理过程。 图 3是才艮据本发明实施例的发送电子邮件的示意图； 图 4是根据 本发明实施例的电子邮件客户端（发送端）发送邮件的流程图， 如图 4所示， 该流程包括以下步骤 S402至步骤 S414： 步骤 S402, 邮件编辑完成后调用包含签名及加密功能的安全接口； 步骤 S404 , 发送端针对邮件正文进行散列计算， 得到散列结果； 步骤 S406, 发送端利用其私钥 （私有密钥 ) 并使用 WAI中公钥加密算 法对散列结果进行签名， 得到邮件签名； 步骤 S408 , 发送端生成 128位随机数作为会话密钥， 利用该会话密钥 并使用 WPI中常规加密算法加密邮件正文和签名得到密文； 步骤 S410, 判断发送端是否保存有有效的接收端的公钥证书， 如果是， 则直接执行步骤 S412;否则，获取接收端的公开密钥证书后，执行步骤 S412; 发送端可以通过 WAPI月 务器获取接收端的公钥证书 ,并通过该证书得 到接收端的公钥； 需要说明， 步骤 S410也可以在步骤 S402之前、 或 S402 至 S408中的任一步骤执行， 此处不进行限制； 步骤 S412, 发送端利用接收端的公钥加密会话密钥； 步骤 S414, 发送端夺加密的会话密钥与密文组合的邮件发送至接收端。 上述步骤 S402-S414对应于图 2中的步骤 S202-S204。
以下结合图 5和图 6理解根据本发明实施例的接收终端接收电子邮件的 处理流程。 图 5是根据本发明实施例的接收电子邮件的示意图； 图 6是根据 本发明实施例的电子邮件客户端（接收端）接收邮件的流程图， 如图 6所示, 该流程包括以下步骤 S602至步骤 S614: 步骤 S602, 接收端接收到加密的会话密钥与密文组合的邮件后， 调用 包含签名验证与解密的安全接口； 步骤 S604 , 接收端利用其私钥并使用 WAI的公钥算法对加密的会话密 钥进行解密得到会话密钥； 步骤 S606 , 利用解密出的会话密钥并使用 WPI中常规加密算法对密文 解密得到邮件正文和签名； 步骤 S608 , 接收端利用 WAI中散列算法对得到的邮件正文计算得到邮 件原文散列值； 步骤 S610, 判断接收端是否保存有有效的发送端的公钥证书， 如果是， 则直接执行步骤 S612; 否则， 获取发送端的公开密钥证书后执行步骤 S612; 接收端可以通过 WAPI月 务器获取发送端的公钥证书 ,并通过该证书得 到发送终端的公钥； 需要说明， 步骤 S610也可以在步骤 S602之前、 或 S602 至 S608中的任一步骤执行， 此处不进行限制； 步骤 S612, 接收端利用发送端的公钥并使用 WAI中公开密钥算法对签 名做解密计算， 得到解密计算值； 步骤 S614, 通过比较散列值与解密计算值， 判定鉴别是否成功。 上述步骤 S602-S614对应于图 2中的步骤 S206-S208。 图 7 是根据本发明实施例的电子邮件服务器在 WAPI 终端用户与非
WAPI终端用户之间传送电子邮件的一个处理流程的示意图， 图 8是才艮据本 发明实施例的电子邮件服务器在 WAPI终端用户与非 WAPI终端用户之间传 送电子邮件的另一处理流程的示意图。 参考图 7 , 发送终端为 WAPI终端， 接收终端为非 WAPI终端。 首先， 判断 WAPI终端中是否保存有接收端的证书， 如果没有， 则通过
WAPI服务器获取接收端的证书， 并 -据该证书得到接收端的公钥。 具体地， WAPI终端通过 HTTP与 WAPI月 务器上证书管理功能交互， HTTP请求消息中携带电子邮件地址， WAPI月 务器上扩展后的证书管理功能 维护了 WAPI用户的安全电子邮件地址与其 WAPI证书索引的映射关系 , 当 月 务器检索到有效证书时， 通过 HTTP的 200 OK消息返回该证书。 WAPI终端利用得到的有效的接收端证书进行公钥加密计算， 具体的邮 件的签名及加密解密计算， 签名及加密解密过程与端到端电子邮件安全方案 PGP ( Pretty Good Privacy ) 类似， 可以参考图 4中的步骤 S402至 S412 , 此 处不赞述。 之后， 利用 POP3或 IMAP4协议将加密和附有签名的邮件发送至电子 邮件服务器， 电子邮件服务器解密邮件， 验证数字签名并在邮件中标记验证 结果。 在本发明实施例中， 该电子邮件服务器与非 WAPI 终端协商建立 SSL 连接， 具体协商过程此处不赘述； 非 WAPI终端利用 HTTP协议通过 WEB 方式收取、 阅读邮件。 参考图 8 , 发送终端为非 WAPI终端， 接收终端为 WAPI终端。 首先， 非 WAPI终端与电子邮件服务器协商建立 SSL连接， 并通过其 上的 HTTP协议以 WEB方式操作业务。 电子邮件服务器向 WAPI服务器查 询后得知发件人为非 WAPI终端用户 , 随即申请或利用本地保存的有效的收 件人证书， 对邮件进行签名和力口密， WAPI终端利用 POP3协议或 IMAP4协 议读取邮件， 之后的处理流程可以参考图 6 中的步骤 S602-S614 , 此处不赞 述。 当电子邮件业务在 WAPI终端与非 WAPI终端之间传送时， 电子邮件月 务器中鉴别请求者实体作为接收方代理， 完成对非 WAPI终端数字签名的验 证操作和邮件解密操作， 鉴别结果插入解密后的邮件正文。 非 WAPI终端通 过运行于 SSL之上的 HTTP协议， 利用 WEB浏览器访问方式使用电子邮件 业务， 客户端浏览器与电子邮件服务器中 WEB服务器功能实体之间建立基 于 SSL的安全连接， 利用数字证书验证对方身份， 共同协商一个会话密钥， 并通过会话密钥加密传输层上数据， 实现了 WEB安全通信， 鉴别结果与应 用数据因为已被会话密钥加密， 内容不会被泄露、 修改， 所以可确认此方式 下电子邮件业务安全。 才艮据本发明实施例 , 还提供了一种计算机可读介质 , 该计算机可读介质 上存储有计算机可执行的指令， 当该指令被计算机或处理器执行时， 使得计 算机或处理器执行如图 2、 图 4、 图 6所示的各步骤的处理， 优选地， 可以 执行上述的方法实施例中的一个或多个。 装置实施例一 根据本发明实施例， 还提供了一种 WAPI终端。 图 9是根据本发明装置实施例一的 WAPI终端的框图 , 如图 9所示， 该 终端包括： 第一加密模块 11、 第二加密模块 12、 第一获取模块 13、 第三加 密模块 14、 发送模块 15, 具体地： 第一加密模块 11 , 用于利用 WAPI终端的私钥对邮件正文加密得到签 名； 第二加密模块 12, 连接至第一加密模块 11 , 用于利用随机生成的会话 密钥对邮件正文和签名进行加密得到密文; 第一获取模块 13 , 用于通过 WAPI 务器获取接收终端的公钥； 第三加密模块 14, 连接至第一获取模块 13 , 用于利用第一获取模块 13 获取的接收终端的公钥对会话密钥进行加密； 发送模块 15, 分别连接至第二加密模块 12和第三加密模块 14, 用于将 加密的会话密钥以及密文共同发送至接收终端。 装置实施例二 根据本发明实施例， 还提供了一种 WAPI终端。 图 10是 居本发明装置实施例二的 WAPI终端的框图， 如图 10所示， 该终端包括： 接收模块 21、 第一解密模块 22、 第二解密模块 23、 第二获取 模块 24、 第三解密模块 25、 -险证模块 26, 具体地： 接收模块 21 , 用于接收来自发送终端的加密后的会话密钥以及密文； 第一解密模块 22 , 连接至接收模块 21 , 用于利用 WAPI终端的私钥解 密会话密钥； 第二解密模块 23 , 连接至第一解密模块 22, 用于利用解密的会话密钥 解密密文， 得到邮件正文和签名； 第二获取模块 24 , 连接至接收模块 21 , 用于通过 WAPI服务器获取发 送终端的公钥； 第三解密模块 25, 连接至第二获取模块 24 , 用于利用第二获取模块 28 获取的发送终端的公钥解密签名得到解密结果； 验证模块 26, 分别连接至第二解密模块 23和第三解密模块 25, 用于根 据第三解密模块 23得到的解密结果和第二解密模块 23解密得到的邮件正文 对发送终端进行验证。 在具体实施过程中，可以在一个 WAPI终端中实现发送终端和接收终端 的功能。 可以在 WAPI终端中增加安全模块， 在该安全模块中封装根据本发 明装置实施例一提出的 WAPI终端和装置实施例二所提出的 WAPI终端的功 能模块。 该安全模块与 WAPI终端上其他功能实体间的关系如图 11所示， 图 11 是根据本发明实施例的 WAPI终端的安全模块与其他实体之间的层次关系的 示意图。 该安全模块将 WAI中散列计算功能与公钥加密解密功能和 WPI中 常规加密功能和随机数生成功能封装为可供应用程序调用的接口 , 并新增用 户证书管理功能， 实现证书本地检索、 证书信息提取， 并通过 HTTP协议实 现网络查询与下载。 在具体实施过程中， 根据本发明实施例提供的装置同样可以完成图 1 至图 8中所示的处理， 从而实现上述方法实施例所提供的电子邮件的传送方 法， 具体处理过程此处不再重复描述。 系统实施例 根据本发明实施例 , 还提供了一种电子邮件的传送系统。 图 12是 居本发明实施例的电子邮件的传送系统的框图 ,图 13是 居 本发明实施例的电子邮件的传送系统的优选处理结构的框图。 如图 12所示， 根据本发明实施例的系统包括： 发送终端 10、 接收终端 20、 WAPI服务器 30, 其中， 发送终端 10与接收终端 20至少之一为 WAPI 终端， 具体地: 发送终端 10, 连接至 务器 30, 用于利用其私钥对邮件正文加 密得到签名，利用随机生成的会话密钥对邮件正文和签名进行加密得到密文， 利用接收终端的公钥对会话密钥进行加密， 并将加密的会话密钥以及密文共 同发送至接^：终端； 接收终端 20, 连接至 WAPI服务器 30, 用于接收来自发送终端的加密 后的会话密钥以及密文， 利用 WAPI终端的私钥解密会话密钥， 利用解密的 会话密钥解密密文， 得到邮件正文和签名， 利用发送终端的公钥解密签名得 到解密结果， 并才艮据解密结果和第二解密模块解密得到的邮件正文对发送终 端进行-险证；
WAPI服务器 30, 用于向发送终端发送接收终端的证书， 以使发送终端 通过接收终端的证书得到接收终端的公钥， 并向接收终端发送发送终端的证 书 , 以使接收终端通过发送终端的证书得到发送终端的公钥。 如图 13所示， 在图 12所示结构的基础上 ,根据本发明实施例的系统优 选地还包括： 电子邮件服务器 40, 如果发送终端 10与接收终端 20至少之一 为非 WAPI终端，用于为该非 WAPI终端提供 WAPI代理功能 , 以使非 WAPI 终端完成作为 WAPI终端的功能。 在具体实施过程中， 根据本发明实施例提供的系统同样可以完成图 1 至图 8中所示的处理， 从而实现上述方法实施例所提供的电子邮件的传送方 法， 具体处理过程此处不再重复描述。 综上所述， 借助于本发明的上述技术方案， 通过复用并重新封装 WAI 中公开密钥加密技术， 在发送端实现了邮件的加密发送， 在接收端实现了解 密及验证接收， 从而保证了电子邮件的业务安全。 另外 ,本发明的实现没有对系统架构和目前的处理流程修改，易于实现 , 便于在技术领域中进行推广， 具有较强的工业适用性。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可 以用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布 在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程 序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 或 者将它们分别制作成各个集成电路模块， 或者将它们中的多个模块或步骤制 作成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬件和软 件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本 领域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和 原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护 范围之内。

Claims

权 利 要 求 书
1. 一种电子邮件的传送方法， 用于在发送终端与接收终端至少之一为无线 局域网认证与保密基础结构 WAPI终端的情况下进行邮件传送， 其特征 在于， 所述方法包括：
所述发送终端利用随机生成的会话密钥对邮件正文和签名进行加 密得到密文， 其中， 所述签名由所述发送终端利用其私钥对所述邮件正 文力口密得到；
所述发送终端利用所述接收终端的公钥对所述会话密钥进行加密， 并将力口密的所述会话密钥以及所述密文共同发送至所述接收终端；
所述接收终端接收来自所述发送终端的加密后的所述会话密钥以 及所述密文， 利用其私钥解密所述会话密钥， 并利用解密的所述会话密 钥解密所述密文， 得到所述邮件正文和所述签名；
所述接收终端利用所述发送终端的公钥解密所述签名得到解密结 果， 并才艮据所述解密结果和解密得到的所述邮件正文对所述发送终端进 行验证。
2. 根据权利要求 1所述的方法， 其特征在于， 所述发送终端得到所述签名 的处理包括：
所述发送终端对所述邮件正文进行散列计算得到第一散列值，并利 用其私钥对所述第一散列值进行公钥加密计算生成所述签名。
3. 根据权利要求 2所述的方法， 其特征在于， 所述接收终端根据所述解密 结果和解密得到的所述邮件正文对所述发送终端进行-险证的处理包括： 所述接收终端对解密得到的所述邮件正文进行所述散列计算得到 第二散列值， 并将所述第二散列值与作为第三散列值的所述解密结果进 行比较；
在所述第二散列值与所述第三散列值相同的情况下，确定所述发送 终端通过验证；
在所述第二散列值与所述第三散列值不相同的情况下，确定所述发 送终端未通过验证。
4. 根据权利要求 1所述的方法， 其特征在于， 在所述发送终端利用接收终 端的公钥对所述会话密钥进行力。密之前 , 所述方法还包括：
所述发送终端通过 WAPI服务器获取所述接收终端的证书， 并通过 所述接收终端的证书得到所述接收终端的公钥。
5. 根据权利要求 1所述的方法， 其特征在于， 在所述接收终端利用所述发 送终端的公钥解密所述签名之前， 所述方法还包括：
所述接收终端通过所述 WAPI服务器获取所述发送终端的证书 , 并 通过所述发送终端的证书得到所述发送终端的公钥。
6. 根据权利要求 4或 5所述的方法 , 其特征在于 , 在所述发送终端与所述 接收终端其中之一为非 WAPI终端的情况下， 所述方法进一步包括： 电子邮件服务器为所述非 WAPI终端提供 WAPI代理功能， 以使所 述非 WAPI终端完成作为所述 WAPI终端的功能。
7. 根据权利要求 6所述的方法， 其特征在于， 还包括：
所述电子邮件月 务器与所述非 WAPI 终端之间建立基于安全套接 字层的连接， 以使所述电子邮件服务器与所述非 WAPI终端进行电子邮 件的交互。
8. 一种电子邮件的传送系统， 其特征在于， 包括： 发送终端、 接收终端、 WAPI 服务器， 其中， 所述发送终端与所述接收终端至少之一为 WAPI 终端，
所述发送终端， 用于利用其私钥对邮件正文加密得到签名， 利用随 机生成的会话密钥对所述邮件正文和所述签名进行加密得到密文， 利用 接收终端的公钥对所述会话密钥进行加密， 并将加密的所述会话密钥以 及所述密文共同发送至所述接收终端；
所述接收终端，用于接收来自发送终端的加密后的会话密钥以及密 文， 利用所述 WAPI终端的私钥解密所述会话密钥， 利用解密的所述会 话密钥解密所述密文， 得到邮件正文和签名， 利用所述发送终端的公钥 解密所述签名得到解密结果， 并才艮据所述解密结果和所述第二解密模块 解密得到的所述邮件正文对所述发送终端进行验证；
所述 WAPI 服务器， 用于向所述发送终端发送所述接收终端的证 书 , 以使所述发送终端通过所述接收终端的证书得到所述接收终端的公 钥， 并向所述接收终端发送所述发送终端的证书， 以使所述接收终端通 过所述发送终端的证书得到所述发送终端的公钥。
9. 根据权利要求 8所述的系统， 其特征在于， 还包括：
电子邮件服务器，用于为所述发送终端与所述接收终端至少之一为 WAPI终端的所述非 WAPI终端提供 WAPI代理功能， 以使所述非 WAPI 终端完成作为所述 WAPI终端的功能。
10. 一种 WAPI终端， 其特征在于， 包括：
第一加密模块， 用于利用所述 WAPI终端的私钥对邮件正文加密得 到签名；
第二加密模块，用于利用随机生成的会话密钥对所述邮件正文和所 述签名进行加密得到密文;
第一获取模块 , 用于通过 WAPI服务器获取接收终端的公钥； 第三加密模块，用于利用所述第一获取模块获取的所述接收终端的 公钥对所述会话密钥进行加密；
发送模块，用于将加密的所述会话密钥和所述密文共同发送至所述 接收终端。
11. 一种 WAPI终端， 其特征在于， 包括：
接收模块， 用于接收来自发送终端的加密后的会话密钥和密文； 第一解密模块， 用于利用所述 WAPI 终端的私钥解密所述会话密 钥；
第二解密模块， 用于利用解密的所述会话密钥解密所述密文， 得到 邮件正文和签名；
第二获取模块 , 用于通过 WAPI服务器获取所述发送终端的公钥； 第三解密模块，用于利用所述第二获取模块获取的所述发送终端的 公钥解密所述签名得到解密结果；
验证模块，用于才艮据所述解密结果和所述第二解密模块解密得到的 所述邮件正文对所述发送终端进行验证。
PCT/CN2009/073404 2009-01-12 2009-08-21 电子邮件的传送方法、系统及wapi终端 WO2010078755A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910001783.4 2009-01-12
CNA2009100017834A CN101466079A (zh) 2009-01-12 2009-01-12 电子邮件的传送方法、系统及wapi终端

Publications (1)

Publication Number Publication Date
WO2010078755A1 true WO2010078755A1 (zh) 2010-07-15

Family

ID=40806383

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/073404 WO2010078755A1 (zh) 2009-01-12 2009-08-21 电子邮件的传送方法、系统及wapi终端

Country Status (2)

Country Link
CN (1) CN101466079A (zh)
WO (1) WO2010078755A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105119894A (zh) * 2015-07-16 2015-12-02 上海慧银信息科技有限公司 基于硬件安全模块的通信系统及通信方法

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101466079A (zh) * 2009-01-12 2009-06-24 中兴通讯股份有限公司 电子邮件的传送方法、系统及wapi终端
CN101742508A (zh) * 2009-12-21 2010-06-16 中兴通讯股份有限公司 一种wapi终端与应用服务器传输文件的系统及方法
CN102739604B (zh) * 2011-03-31 2016-09-28 中兴通讯股份有限公司 媒体消息安全传输的方法和系统
CN102740241A (zh) * 2011-03-31 2012-10-17 中兴通讯股份有限公司 媒体消息安全传输的方法和系统
CN103368815B (zh) * 2012-03-29 2017-11-28 富泰华工业（深圳）有限公司 基于资料安全的电子邮件发送系统及方法
CN103001976A (zh) * 2012-12-28 2013-03-27 中国科学院计算机网络信息中心 一种安全的网络信息传输方法
CN103107939B (zh) * 2013-02-19 2015-11-18 郑州信大捷安信息技术股份有限公司 基于公共安全设施管理平台的安全电子邮件的实现方法
CN104065558A (zh) * 2013-03-20 2014-09-24 东方斯泰克信息技术研究院（北京）有限公司 电子邮件的发送和受理方法、以及发送和受理装置
EP2833572B1 (en) * 2013-07-29 2019-12-25 Alcatel Lucent Adaptive traffic encryption for optical networks
CN104410619B (zh) * 2014-11-21 2017-12-19 中国联合网络通信集团有限公司 即时通信方法及系统
CN104734944A (zh) * 2015-03-18 2015-06-24 重庆森格玛科技有限公司 电子邮件的传输方法及装置
CN105141635A (zh) * 2015-09-21 2015-12-09 北京元心科技有限公司 一种群发消息安全通讯的方法和系统
CN106921558A (zh) * 2015-12-28 2017-07-04 航天信息股份有限公司 一种电子邮件安全收发系统和方法
CN107566324A (zh) * 2016-06-30 2018-01-09 南京中兴新软件有限责任公司 加密方法、解密方法及装置
CN108494563B (zh) * 2018-04-04 2021-06-04 广州慧睿思通信息科技有限公司 一种pgp加密邮件快速破译方法和装置
CN109729088B (zh) * 2018-12-29 2022-01-25 广东盈世计算机科技有限公司 一种邮件处理的方法
CN111181841B (zh) * 2019-12-29 2022-07-08 航天信息股份有限公司 电子邮件收发方法及装置
US20220231858A1 (en) * 2021-01-15 2022-07-21 Micron Technology, Inc. Control of Memory Devices over Computer Networks
CN112383577A (zh) * 2021-01-19 2021-02-19 北京信安世纪科技股份有限公司 授权方法、装置、系统、设备和存储介质
CN112800411B (zh) * 2021-02-19 2023-04-14 浪潮云信息技术股份公司 支持多协议、多方式的安全可靠身份认证方法及装置
CN113452687B (zh) * 2021-06-24 2022-12-09 中电信量子科技有限公司 基于量子安全密钥的发送邮件的加密方法和系统
CN113642022B (zh) * 2021-08-20 2023-07-25 成都卫士通信息产业股份有限公司 一种电子邮件处理方法、装置、系统及存储介质
CN114172694A (zh) * 2021-11-19 2022-03-11 卓望数码技术（深圳）有限公司 电子邮件加解密方法、系统及存储介质
CN114255009A (zh) * 2021-12-22 2022-03-29 北京送好运信息技术有限公司 一种基于区块链技术的邮件加解密方法
CN115622971A (zh) * 2022-09-28 2023-01-17 彩讯科技股份有限公司 一种邮件传输方法、装置、电子设备和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002101605A2 (en) * 2001-06-12 2002-12-19 Research In Motion Limited System and method for compressing secure e-mail for exchange with a mobile data communication device
CN1794629A (zh) * 2005-12-26 2006-06-28 上海洲信信息技术有限公司 保证电子邮件安全的实现方法
WO2007088337A2 (en) * 2006-02-02 2007-08-09 Identum Limited Kem-dem encrpyted electronic data communication system
CN101018174A (zh) * 2007-03-15 2007-08-15 北京安拓思科技有限责任公司 用于wapi的获取公钥证书的网络系统和方法
CN101466079A (zh) * 2009-01-12 2009-06-24 中兴通讯股份有限公司 电子邮件的传送方法、系统及wapi终端

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002101605A2 (en) * 2001-06-12 2002-12-19 Research In Motion Limited System and method for compressing secure e-mail for exchange with a mobile data communication device
CN1794629A (zh) * 2005-12-26 2006-06-28 上海洲信信息技术有限公司 保证电子邮件安全的实现方法
WO2007088337A2 (en) * 2006-02-02 2007-08-09 Identum Limited Kem-dem encrpyted electronic data communication system
CN101018174A (zh) * 2007-03-15 2007-08-15 北京安拓思科技有限责任公司 用于wapi的获取公钥证书的网络系统和方法
CN101466079A (zh) * 2009-01-12 2009-06-24 中兴通讯股份有限公司 电子邮件的传送方法、系统及wapi终端

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105119894A (zh) * 2015-07-16 2015-12-02 上海慧银信息科技有限公司 基于硬件安全模块的通信系统及通信方法
CN105119894B (zh) * 2015-07-16 2018-05-25 上海慧银信息科技有限公司 基于硬件安全模块的通信系统及通信方法

Also Published As

Publication number Publication date
CN101466079A (zh) 2009-06-24

Similar Documents

Publication Publication Date Title
WO2010078755A1 (zh) 电子邮件的传送方法、系统及wapi终端
CN109088870B (zh) 一种新能源厂站发电单元采集终端安全接入平台的方法
KR102134302B1 (ko) 무선 네트워크 접속 방법 및 장치, 및 저장 매체
CN108599925B (zh) 一种基于量子通信网络的改进型aka身份认证系统和方法
KR100832893B1 (ko) 무선 근거리 통신망으로 이동 단말의 보안 접근 방법 및 무선 링크를 통한 보안 데이터 통신 방법
JP5307191B2 (ja) 無線通信機器とサーバとの間でのデータの安全なトランザクションのためのシステムおよび方法
KR102124413B1 (ko) 아이디 기반 키 관리 시스템 및 방법
US8843740B2 (en) Derived certificate based on changing identity
US8635445B2 (en) Method for digital identity authentication
CN103354498B (zh) 一种基于身份的文件加密传输方法
US7899185B2 (en) Real privacy management authentication system
US9055047B2 (en) Method and device for negotiating encryption information
US8769284B2 (en) Securing communication
US11736304B2 (en) Secure authentication of remote equipment
WO2011076008A1 (zh) 一种wapi终端与应用服务器传输文件的系统及方法
Cam-Winget et al. The flexible authentication via secure tunneling extensible authentication protocol method (EAP-FAST)
WO2006032214A1 (fr) Procede de transmission de donnees synchrones syncml
US20080137859A1 (en) Public key passing
CN112165386B (zh) 一种基于ecdsa的数据加密方法及系统
WO2010088812A1 (zh) 即时消息的传送方法、系统及wapi终端
CN109995723B (zh) 一种域名解析系统dns信息交互的方法、装置及系统
KR20070035342A (ko) 패스워드 기반의 경량화된 상호 인증 방법
WO2012075761A1 (zh) 一种加密mms的方法及系统
Shojaie et al. Enhancing EAP-TLS authentication protocol for IEEE 802.11 i
CA2795420C (en) Derived certificate based on changing identity

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09837313

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09837313

Country of ref document: EP

Kind code of ref document: A1