CN107094156A - 一种基于p2p模式的安全通信方法及系统 - Google Patents

Abstract

本发明公开了一种基于P2P模式的安全通信方法和系统，包括以下步骤：将P2P通信数据与普通流量数据分离；向安全能力中心请求P2P通信对端客户端的加密公钥；生成随机密钥，并加密将要发送给对端客户端的P2P通信数据；使用对端客户端的加密公钥加密所述随机密钥；使用本地客户端的签名私钥签名组合数据，所述组合数据包括所述经加密的所述P2P通信数据和随机密钥；将经签名的组合数据发送给对端客户端。通过本方案，能提供用户之间安全的点对点通信。

Description

一种基于P2P模式的安全通信方法及系统

技术领域

本发明涉及信息安全领域，具体涉及一种基于P2P模式的安全通信方法及系统。

背景技术

“互联网+”时代，移动互联网发展深化，移动智能终端不仅是通信、娱乐工具，更是推动移动政务、移动执法、移动办公和移动电子商务等飞速发展。

作为智能手机中市场占有率最高的移动操作系统，Android拥有上亿的庞大用户群体，但由于其代码开源，系统漏洞存在的普遍性也超乎想象。移动终端信息安全事件频发，信息安全成为社会关注焦点。

在Android手机上比较传统的保障个人信息安全的方法就是尽量避免浏览敏感网站、安装各类杀毒防病毒软件。但这只能保证手机系统在一定范围内是安全的，如何保证手机在通信过程中也是安全的就成了一个难题。

发明内容

为解决上述技术问题，本发明提供了一种基于P2P模式的安全通信方法，包括以下步骤：

1)将P2P通信数据与非P2P通信数据分离；

2)向安全能力中心请求P2P通信对端客户端的加密公钥；

3)生成随机密钥，并加密将要发送给对端客户端的P2P通信数据；

4)使用对端客户端的加密公钥加密所述随机密钥；

7)使用本地客户端的签名私钥签名组合数据，所述组合数据包括未加密的所述P2P通信数据和随机密钥；

8)将经签名的组合数据以及经加密的所述P2P通信数据和随机密钥发送给对端客户端。

根据本发明的实施例，优选的，所述P2P通信数据包括：即时通信数据、文件传输数据和语音通信数据。

根据本发明的实施例，优选的，所述步骤1)之前，还包括：

a)本地客户端以加密方式向安全能力中心申请TF卡开卡；

b)安全能力中心解密申请信息，并把申请信息发送给CA中心，通知CA中心生成证书；

c)CA中心根据所述申请信息生成证书并返回给所述安全能力中心；

d)安全能力中心根据所述申请信息把证书发送给开卡工具；

e)开卡工具将所述证书写入TF卡。

根据本发明的实施例，优选的，所述步骤a)包括：

a.1)本地客户端下载得到安全能力中心的加密公钥；

a.2)本地客户端使用所述加密公钥加密申请信息和时间信息，使用自身的签名证书私钥签名申请信息和时间信息。

根据本发明的实施例，优选的，所述步骤b)包括：

b.1)安全能力中心查询数据库得到所述本地客户端的签名公钥；

b.2)安全能力中心使用自己的加密私钥解密得到所述本地客户端的申请信息和时间信息，并对所述申请信息和时间信息进行验签；

b.3)根据解密得到的申请时间信息确定返回的信息。

根据本发明的实施例，优选的，所述本地客户端包括TF卡，所述TF卡包括：与用户身份绑定的加解密证书和签名证书，同时所述加解密证书、签名证书和用户信息存储在所述安全能力中心。

为解决上述技术问题，本发明提供了一种基于P2P模式的安全通信系统，该系统包括：

至少两个通信终端，所述通信终端使用硬件加密TF卡，封装成安全能力SDK，为上层安全应用提供用户登录认证、密钥协商、证书获取、硬件加解密、签名、密钥生成、随机数生成、TF卡格式化的功能；

安全能力中心，负责TF卡的开通和管理功能、日志管理以及颁发证书的功能，配合所述通信终端来完成加密业务：TF卡业务开通、自检上报、登录认证、通信密钥申请、对端证书申请、文件加密、证书有效性验证功能；

CA中心，接收所述安全能力中心的申请，用于在申请通过验证时，向所述安全能力中心发送申请的证书；

通信业务模块，对所述通信终端之间的提供通信加密、解密服务。

根据本发明的实施例，优选的，所述安全能力中心使用开卡工具进行证书颁发，颁发成功则用户通信终端的TF卡中具备和用户身份绑定的证书，同时将所述证书和用户信息存储在安全能力中心，以备应用查询和加解密服务。

根据本发明的实施例，优选的，所述证书包括：用于安全能力中心的安全能力中心证书以及用于通信终端的通信终端证书，所述安全能力中心证书以及通信终端证书分别分为两个版本：加解密证书和签名证书，所述加解密证书用于对通信双方的通信数据进行加解密，防止通信数据被第三方窃取，所述签名证书用于对通信双方的通信数据进行签名，保证通信双方获得的数据来自可信的终端或者系统。

为解决上述技术问题，本发明提供了一种通信终端，该通信终端包括计算机处理装置和计算机存储介质，该计算机存储介质存储有计算机指令，当所述计算机处理装置执行上述计算机指令时，执行上述方法之一。

通过本发明的技术方案，取得了以下有益的技术效果：

1)在标准语音信道内实现端到端加密通话，无需任何第三方服务商提供特殊的线路或运维支持，避免了服务商有意或因管理技术漏洞导致的失密事件。

2)语音信道加密，通话稳定，语音无延迟。

3)手机遗失之后，可以使用远程指令擦除敏感信息——特定联系人的通讯录和通话记录等资料信息。

附图说明

图1是本发明系统架构图

图2是本发明P2P通信-中继框架图

图3是本发明发卡流程图

图4是本发明客户端与安全能力中心通信流程图

图5是本发明的密信登录流程图

图6是本发明文件加密传输流程图。

具体实施方式

本发明将点对点(P2P)通信数据(即时通信、文件传输、语音通话)和普通流量数据(非P2P通信数据)分离。开发应用软件系统对点对点(P2P)数据进行打标处理，实现和普通上网数据分离。

<本发明的系统架构>

图1显示了本发明的系统构成：手机智能终端(可以包括各种带操作系统的智能终端，比如Android智能终端和ios智能终端，下述的客户端与智能终端含义相同，智能终端包括加密TF卡、安全SDK、应用客户端)、安全能力中心、CA中心(证书授权中心，CertificateAuthority)、密信应用业务平台(也称密信、密话业务平台或密信服务器)。其中，密信应用业务平台主要负责密信、密话等安全应用的客户端的账号注册、登录、注销、个人通讯录管理、普通IM消息通信管理以及密话通信管理，是客户端安全应用软件的服务器管理平台。该密信应用业务平台可由服务器单独实现上述功能，也可以由服务器和业务数据库一起完成上述功能，也可以由云端来实现上述功能。

其中，手机智能终端使用硬件加密TF卡，封装成安全能力SDK，可为上层安全应用提供用户登录认证、密钥协商、证书获取、硬件加解密、签名、密钥生成、随机数生成、TF卡格式化等接口。

安全能力中心(KMC)——主要负责TF卡的开通和管理功能、日志管理以及颁发证书的功能，安全能力中心配合加密机来完成加密业务：TF卡业务开通、自检上报、登录认证、通信密钥申请、对端证书申请、文件加密、证书有效性验证等功能。

本发明采用标准PKI体系，CA服务器颁发证书格式为X.509格式的数字证书。CA颁发的证书包括安全能力中心证书以及手机终端证书，而两者的证书又分为两个版本：通信证书(即加解密证书)和身份证书(即签名证书)。其中通信证书用于手机和手机之间的通信数据以及手机和安全能力中心之间的通信数据进行加解密，防止通信数据被第三方窃取。而身份证书用于对双方的通信数据进行签名，保证双方获得的数据来自可信的终端或者平台。

本发明提供pkcs#11和国密2种标准的接口，更容易满足不同用户的选择。系统中根据不同的需求使用sm1、sm2、sm3和sm4算法，即保证了安全性，又兼顾了灵活性。

本发明系统中点对点通信数据传输采用P2P应用构架，这样系统中可以不依赖专用的集中服务器。在P2P结构中，每一个节点(peer)大都同时具有信息消费者、信息提供者和信息通讯等三方面的功能。从计算模式上来说，P2P打破了传统的Client/Server(C/S)模式，在网络中的每个节点的地位都是对等的。每个节点既充当服务器，为其他节点提供服务，同时也享用其他节点提供的服务。

现有的互联网存在着一些中间件，如NAT和防火墙，导致两个(不在同一内网)中的客户端无法直接通信。大多数中间件实现了一种非对称的通讯模型，即内网中的主机可以初始化对外的链接，而外网的主机却不能初始化对内网的链接。这种内网主机隐藏在中间件后的不可访问性就需要P2P技术来跨越NAT实现内外网主机之间的直接通讯。本系统中采用中继节点的P2P模式：其原理是通过一个具有公网IP的服务器对两个不同内网客户端的通信数据进行中继和转发，见图2。图中客户端A和客户端B由于都隐藏在各自的NAT后面不能够直接建立通信连接，于是先都与服务端S建立链接——服务端S具有公网IP，然后再通过S和对方建立的通路来中继传递的数据。

本发明系统中支持多种形式的数据进行加密传输：文本、图片、文件、音视频、电话语音等。

<本发明的方法流程>

客户首先要去安全能力中心去申请开卡，流程见图3：

1)验证TF卡的合法性；

2)开卡工具向安全能力中心申请证书；

3)CA中心生成证书返回给安全能力中心；

4)安全能力中心把数据传给开卡工具；

5)通过开卡工具向TF写入证书。

安全能力中心使用开卡工具进行证书颁发，颁发成功则用户的TF卡中具有和用户身份绑定的加密证书和签名证书，同时将该证书和用户信息存储在安全能力中心，以备应用查询和加解密服务。这样用户就具备了在本发明系统中的身份。

客户端在证书颁发成功后通过图4的流程申请下载密钥。

图4的具体步骤如下：

客户端：

1)客户端下载得到安全能力中心的加密公钥；

2)客户端使用安全能力中心公钥加密申请信息和时间信息，使用本身的签名证书私钥签名申请信息和时间信息。

安全能力中心：

1)安全能力中心查询数据库得到客户端的签名公钥；

2)安全能力中心使用自己的解密私钥解密得到客户端的申请信息和时间信息，并使用客户端的签名公钥验签数据是否是客户端发出的；

3)根据解密的时间信息判断请求是否过时，过时则返回过时的信息，如不过时，则查询数据库返回申请的信息。

客户通过图5在密信登录界面输入注册之后的用户名及密码后，点击登录按钮，将用户名、密码信息通过webService调用发送给密信的密信应用业务平台，密信应用业务平台和安全能力中心共同验证返回登录结果，若登录失败，则提示用户错误信息，登录流程结束。若登录成功，进入密信主界面，登录完成，详细流程见图5。

SecID：表示用户的唯一ID，pubc/pric：分别表示用户的公/私钥，pubs/pris：分别表示安全能力中心的公/私钥。

步骤1，密信客户端向密信应用业务平台(密信服务器)发送登陆请求，请求包数据包括：secID，pubs加密的数据(secID，16位随机数，当前时间)，pric签名的数据(secID，16位随机数，时间戳)。此处的密信客户端、密信终端与上述的手机智能终端的含义相同，均是指具备操作系统的智能终端。

对于客户的每次登陆，该处出现的随机数和后续出现的随机数为同一个随机数，目的是保证本次登录的唯一性以及安全性；比如如果用户连续点击2次登录，服务器和客户端就无法区分这两次登录，通过产生的随机数可以对用户的两次登陆进行区分；随机数通过随机数生成算法产生，难以被伪造，从而可以增加系统的安全性。

步骤2，密信应用业务平台根据secID查询相应的业务状态是否可用。

步骤3，如果可用，则转发请求，转发的请求包数据包括：pubs加密的数据(secID，16位随机数，当前时间)，pric签名的数据(secID，16位随机数，时间戳)。

步骤4，安全能力中心对转发的请求包数据进行解密验签，验证用户、随机数和时间戳，如果验证成功则产生服务器的时间戳。

步骤5，解密验签成功，则安全能力中心返回数据包，返回的数据包包括：安全token，pubc加密的数据(16位随机数，服务器时间戳)，pris签名的数据(16位随机数，服务器时间戳)。

步骤6，密信应用业务平台根据返回的数据，生成业务token。

步骤7，密信应用业务平台对返回的数据验证成功，向密信客户端返回数据包，返回的数据的数据包包括：业务token，安全token，pubc加密的数据(16位随机数，服务器时间戳)，pris签名的数据(16位随机数，服务器时间戳)。

步骤8，密信客户端解密验签，验证随机数和服务器时间戳，完成客户端对服务器的验证。

步骤9，密信客户端向密信应用业务平台登录密信，同时携带业务token和安全token。

步骤10，密信应用业务平台向安全能力中心发送验证安全token的请求。

步骤11，安全能力中心向密信应用业务平台返回验证是否成功的结果。

步骤12，密信应用业务平台如果收到验证成功的结果，则密信应用业务平台(密信服务器)允许用户登录，建立连接。

步骤13，密信应用业务平台(密信服务器)向密信终端返回登录是否成功的结果。

客户端和安全能力中心之间以及客户端和客户端之间进行通信时，必须通过国密算法来加解密数据以及签名验签数据，又因为用户的身份私钥仅存储于加密TF卡内，所以能保证通信各方之间的数据信息安全。

客户端(密信终端)接收到登陆成功的结果之后，可以通过图6的流程采用相应的密钥进行安全的数据传送，实现加密通信。

图6的文件加密传输流程如下：

客户端A：

1)向安全能力中心请求客户端B的加密公钥；

2)生成随机密钥key并用此密钥加密钥发送给客户端B的文件(sm1算法)；

3)使用客户端B的加密公钥加密随机密钥key(sm2算法)；

4)使用客户端的签名私钥签名要发送给客户端B的组合数据(sm2算法签名明文的key和文件)，之后就可以发送给客户端B。

客户端B：

1)向安全能力中心请求客户端A的签名公钥；

2)使用加密私钥解密密钥key，并使用密钥key解密文件(sm1算法)；

3)使用客户端A的签名公钥验签签名数据(sm2算法)。

本发明系统中使用了国密的非对称加密算法，在非对称加密技术中，有两种密钥，分为加密私钥和加密公钥，加密私钥是密钥对所有者持有，不可公布，加密公钥是密钥对持有者公布给他人的。本发明中的加密私钥和签名私钥存储于加密TF卡中或者加密卡中，不对外公开，加密公钥和签名公钥存储于安全能力中心的数据库中，可供通信双方查询。

具体实施例

某通讯运营商基于本发明做的商业级的密话通信业务系统。通过为客户特别定制的，内置国密局认证过的安全加密芯片的专用手机终端，利用商用密码技术和信息安全技术，向客户提供商业级的端到端手机语音通信加密功能，防止窃听。

通过实施本发明的技术方案，取得了以下技术效果。

1.国家商密级认证，语音加密更安全。采用sm1流加解密算法和sm2非对称算法等高强度加密算法。

2.端到端全程加密，一话一密更安全；端到端全程密文传送，随机密钥，一次通话一个密钥。

3.在标准语音信道内实现端到端加密通话，无需任何第三方服务商提供特殊的线路或运维支持，避免了服务商有意或因管理技术漏洞导致的失密事件。

4.语音信道加密，通话稳定，语音无延迟。

5.手机遗失之后，可以使用远程指令擦除敏感信息——特定联系人的通讯录和通话记录等资料信息。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims (10)

1.一种基于P2P模式的安全通信方法，包括以下步骤：

1)将P2P通信数据与非P2P通信数据分离；

2)向安全能力中心请求P2P通信对端客户端的加密公钥；

3)生成随机密钥，并加密将要发送给对端客户端的P2P通信数据；

4)使用对端客户端的加密公钥加密所述随机密钥；

7)使用本地客户端的签名私钥签名组合数据，所述组合数据包括未加密的所述P2P通信数据和随机密钥；

8)将经签名的组合数据以及经加密的所述P2P通信数据和随机密钥发送给对端客户端。

2.根据权利要求1所述的方法，所述P2P通信数据包括：即时通信数据、文件传输数据和语音通信数据。

3.根据权利要求1所述的方法，所述步骤1)之前，还包括：

a)本地客户端以加密方式向安全能力中心申请TF卡开卡；

b)安全能力中心解密申请信息，并把申请信息发送给CA中心，通知CA中心生成证书；

c)CA中心根据所述申请信息生成证书并返回给所述安全能力中心；

d)安全能力中心根据所述申请信息把证书发送给开卡工具；

e)开卡工具将所述证书写入TF卡。

4.根据权利要求3所述的方法，所述步骤a)包括：

a.1)本地客户端下载得到安全能力中心的加密公钥；

a.2)本地客户端使用所述加密公钥加密申请信息和时间信息，使用自身的签名证书私钥签名申请信息和时间信息。

5.根据权利要求3或4所述的方法，所述步骤b)包括：

b.1)安全能力中心查询数据库得到所述本地客户端的签名公钥；

b.2)安全能力中心使用自己的加密私钥解密得到所述本地客户端的申请信息和时间信息，并对所述申请信息和时间信息进行验签；

b.3)根据解密得到的申请时间信息确定返回的信息。

6.根据权利要求1所述的方法，所述本地客户端包括TF卡，所述TF卡包括：与用户身份绑定的加解密证书和签名证书，同时所述加解密证书、签名证书和用户信息存储在所述安全能力中心。

7.一种基于P2P模式的安全通信系统，该系统包括：

至少两个通信终端，所述通信终端使用硬件加密TF卡，封装成安全能力SDK，为上层安全应用提供用户登录认证、密钥协商、证书获取、硬件加解密、签名、密钥生成、随机数生成、TF卡格式化的功能；

安全能力中心，负责TF卡的开通和管理功能、日志管理以及颁发证书的功能，配合所述通信终端来完成加密业务：TF卡业务开通、自检上报、登录认证、通信密钥申请、对端证书申请、文件加密、证书有效性验证功能；

CA中心，接收所述安全能力中心的申请，用于在申请通过验证时，向所述安全能力中心发送申请的证书；

通信业务模块，对所述通信终端之间的提供通信加密、解密服务。

8.根据权利要求7所述的系统，所述安全能力中心使用开卡工具进行证书颁发，颁发成功则用户通信终端的TF卡中具备和用户身份绑定的证书，同时将所述证书和用户信息存储在安全能力中心，以备应用查询和加解密服务。

9.根据权利要求7所述的系统，所述证书包括：用于安全能力中心的安全能力中心证书以及用于通信终端的通信终端证书，所述安全能力中心证书以及通信终端证书分别分为两个版本：加解密证书和签名证书，所述加解密证书用于对通信双方的通信数据进行加解密，防止通信数据被第三方窃取，所述签名证书用于对通信双方的通信数据进行签名，保证通信双方获得的数据来自可信的终端或者系统。

10.一种通信终端，该通信终端包括计算机处理装置和计算机存储介质，该计算机存储介质存储有计算机指令，当所述计算机处理装置执行上述计算机指令时，执行上述权利要求1-6之一所述的方法。