密鑰協(xié)商的方法及設(shè)備的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信領(lǐng)域，更為具體而言，涉及密鑰協(xié)商的方法及設(shè)備。
【背景技術(shù)】
[0002]根據(jù)世界著名研究機(jī)構(gòu)的報(bào)告，1024位RSA(以三個(gè)發(fā)明人Rivest(李維斯特)、Shamir (薩莫爾)以及Adleman (阿德曼)命名的一種公鑰加密算法)密鑰只應(yīng)使用至2010年、2048位RSA密鑰只應(yīng)使用至2030年、3072位RSA密鑰可使用至2030年之后。增強(qiáng)RSA算法的安全性的方案是增加RSA算法的密鑰模長(zhǎng)，但密鑰長(zhǎng)度的增加會(huì)導(dǎo)致加解密速度大大降低，硬件實(shí)現(xiàn)也變得越來(lái)越復(fù)雜，這給使用RSA算法的應(yīng)用帶來(lái)了很大的負(fù)擔(dān)，從而使其應(yīng)用范圍日益受到制約，同時(shí)，該方案的適用周期較短，從目前情況和發(fā)展趨勢(shì)看，RSA遲早會(huì)被淘汰。
[0003]因此需要在安全性和加解密速率方面更具優(yōu)勢(shì)的密碼算法(例如國(guó)密算法)逐漸替代RSA算法。然而，目前IEdnternet Explorer，一種網(wǎng)頁(yè)瀏覽器)內(nèi)核瀏覽器(進(jìn)行密鑰協(xié)商的主流瀏覽器)只支持RSA算法，待推廣更具優(yōu)勢(shì)的密碼算法之后，使用支持該密碼算法網(wǎng)銀盾的客戶(hù)將無(wú)法使用IE內(nèi)核瀏覽器進(jìn)行密鑰協(xié)商，影響了用戶(hù)的體驗(yàn)度。

【發(fā)明內(nèi)容】

[0004]為解決上述技術(shù)問(wèn)題，本發(fā)明提供一種密鑰協(xié)商的方法及其設(shè)備。
[0005]—方面，本發(fā)明的實(shí)施方式提供了一種密鑰協(xié)商的方法，所述方法包括:
[0006]客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法；
[0007]所述客戶(hù)端調(diào)用支持所述密碼算法的接口與SSL(Secure Sockets Layer，安全套接層)服務(wù)器進(jìn)行密鑰協(xié)商。
[0008]另一方面，本發(fā)明實(shí)施方式提供了一種客戶(hù)端，所述客戶(hù)端包括:
[0009]識(shí)別模塊，用于識(shí)別網(wǎng)銀盾所支持的密碼算法；
[0010]密鑰協(xié)商模塊，用于調(diào)用支持所述識(shí)別模塊所識(shí)別出的密碼算法的接口與SSL月艮務(wù)器進(jìn)行密鑰協(xié)商。
[0011]實(shí)施本發(fā)明提供的密鑰協(xié)商的方法及設(shè)備，可以實(shí)現(xiàn)客戶(hù)端兼容不同的密碼算法來(lái)進(jìn)行密鑰協(xié)商，優(yōu)化了用戶(hù)體驗(yàn)。
【附圖說(shuō)明】
[0012]圖1是根據(jù)本發(fā)明實(shí)施方式的一種密鑰協(xié)商的方法的流程圖；
[0013]圖2示出了圖1所示的處理SlOO的一種實(shí)施方式；
[0014]圖3是根據(jù)本發(fā)明實(shí)施方式的一種客戶(hù)端的結(jié)構(gòu)示意圖；
[0015 ]圖4示出了圖3所示的識(shí)別模塊100的結(jié)構(gòu)示意圖。
【具體實(shí)施方式】
[0016]為使本發(fā)明的實(shí)施例的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚，下面將結(jié)合附圖對(duì)本發(fā)明作進(jìn)一步地詳細(xì)描述。
[0017]圖1是根據(jù)本發(fā)明實(shí)施方式的一種密鑰協(xié)商的方法的流程圖。參見(jiàn)圖1，所述方法包括:
[0018]S100:客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法。
[0019]其中，所述密碼算法可以是RSA算法，或者國(guó)密算法等。
[0020]S200:客戶(hù)端調(diào)用支持所述密碼算法的接口與SSL服務(wù)器進(jìn)行密鑰協(xié)商。
[0021]在本發(fā)明的實(shí)施方式中，可以在所述客戶(hù)端上預(yù)先配置所述接口。其中，所述接口可以是CSP(Cryptographic Service Provider，加密服務(wù)提供程序)接口或者SKF(國(guó)密標(biāo)準(zhǔn)接口)接口等，該CSP接口支持上述的RSA算法，該SKF接口支持上述的國(guó)密算法。
[0022]圖2示出了圖1所示的處理SlOO的一種實(shí)施方式，如圖2所示，處理SlOO可以通過(guò)以下方式實(shí)現(xiàn):
[0023]S110:客戶(hù)端獲取所述網(wǎng)銀盾的算法類(lèi)型信息。
[0024]在本發(fā)明的一種實(shí)施方式中，例如可以通過(guò)設(shè)備信息接口獲取該算法類(lèi)型信息。
[0025]S120:客戶(hù)端根據(jù)獲取到的算法類(lèi)型信息識(shí)別所述網(wǎng)銀盾所支持的密碼算法。
[0026]例如，若該算法類(lèi)型的值為0，則識(shí)別出所述網(wǎng)銀盾所支持的密碼算法為RSA算法，若該算法類(lèi)型的值為I，則識(shí)別出所述網(wǎng)銀盾所支持的密碼算法為國(guó)密算法。
[0027]下面以客戶(hù)端兼容RSA算法以及國(guó)密算法為例，對(duì)本發(fā)明所提供的密鑰協(xié)商的方法進(jìn)行具體說(shuō)明。該方法包括:
[0028]步驟1:客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法，若識(shí)別出該網(wǎng)銀盾所支持的密碼算法為RSA算法，則執(zhí)行步驟2，若識(shí)別出該網(wǎng)銀盾所支持的密碼算法為國(guó)密算法，則執(zhí)行步驟3。
[0029]其中，步驟I例如可以通過(guò)下述處理實(shí)現(xiàn):通過(guò)設(shè)備信息接口獲取該網(wǎng)銀盾的算法類(lèi)型信息;根據(jù)獲取到的算法類(lèi)型信息識(shí)別該網(wǎng)銀盾所支持的密碼算法。若獲取到的算法類(lèi)型信息的值為0，則該網(wǎng)銀盾支持RSA算法，若獲取到的算法類(lèi)型信息的值為I，則該網(wǎng)銀盾支持國(guó)密算法。
[0030]步驟2:該客戶(hù)端調(diào)用CSP接口與SSL服務(wù)器進(jìn)行密鑰協(xié)商。
[0031 ] 步驟3:該客戶(hù)端調(diào)用SKF接口與SSL服務(wù)器進(jìn)行密鑰協(xié)商。
[0032]其中，該步驟2具體包括以下處理:
[0033]I)客戶(hù)端將本地支持的SSL版本、加密算法、密鑰交換算法、MAC(MeSSageAuthenticat1n Codes，一種哈希函數(shù))算法等信息發(fā)送給SSL服務(wù)器供其選擇；
[0034]2)SSL服務(wù)器選定本次通信采用的SSL版本和加密套件，并將數(shù)字證書(shū)一起發(fā)送給客戶(hù)端；
[0035]3)客戶(hù)端接收SSL服務(wù)器選定的SSL版本、加密套件，以及服務(wù)器數(shù)字證書(shū)，并校驗(yàn)證書(shū)合法性:
[0036]?判斷SSL服務(wù)器證書(shū)是否由“受信任的根證書(shū)頒發(fā)機(jī)構(gòu)”頒發(fā)；
[0037]?判斷SSL服務(wù)器證書(shū)是否已經(jīng)被吊銷(xiāo)；
[0038]?判斷服務(wù)器域名是否與證書(shū)域名一致。
[0039]4)客戶(hù)端進(jìn)行網(wǎng)銀盾簽名；
[0040]5)客戶(hù)端隨機(jī)生成用于后續(xù)通信的對(duì)稱(chēng)密鑰；
[0041]6)客戶(hù)端利用SSL服務(wù)器公鑰將網(wǎng)銀盾證書(shū)、網(wǎng)銀盾簽名和對(duì)稱(chēng)密鑰加密傳送給SSL服務(wù)器;
[0042]7)SSL服務(wù)器驗(yàn)證客戶(hù)端證書(shū)是否合法:
[0043]?判斷客戶(hù)端證書(shū)是否由“受信任的根證書(shū)頒發(fā)機(jī)構(gòu)”頒發(fā)；
[0044]?判斷客戶(hù)端證書(shū)是否已經(jīng)被吊銷(xiāo)。
[0045]利用客戶(hù)端公鑰驗(yàn)證網(wǎng)銀盾簽名是否正確，并根據(jù)驗(yàn)證結(jié)果決定SSL協(xié)商成功或失敗。
[0046]該步驟3具體包括以下處理:
[0047]I)客戶(hù)端將國(guó)密SSL協(xié)議和標(biāo)準(zhǔn)密碼套件發(fā)送給SSL服務(wù)器；
[0048]2)SSL服務(wù)器將數(shù)字證書(shū)發(fā)送給客戶(hù)端；
[0049]3)客戶(hù)端校驗(yàn)服務(wù)器證書(shū)合法性:
[0050]?判斷服務(wù)器證書(shū)是否由“受信任的根證書(shū)頒發(fā)機(jī)構(gòu)”頒發(fā)；
[0051]?判斷服務(wù)器證書(shū)是否已經(jīng)被吊銷(xiāo)；
[0052]?判斷服務(wù)器域名是否與證書(shū)域名一致。
[0053]4)客戶(hù)端進(jìn)行網(wǎng)銀盾簽名；
[0054]5)客戶(hù)端隨機(jī)生成用于后續(xù)通信的對(duì)稱(chēng)密鑰；
[0055]6)客戶(hù)端利用SSL服務(wù)器公鑰將網(wǎng)銀盾證書(shū)、網(wǎng)銀盾簽名和對(duì)稱(chēng)密鑰加密傳送給SSL服務(wù)器;
[0056]7) SSL服務(wù)器首先驗(yàn)證客戶(hù)端證書(shū)是否合法:
[0057]?判斷客戶(hù)端證書(shū)是否由“受信任的根證書(shū)頒發(fā)機(jī)構(gòu)”頒發(fā)；
[0058]?判斷客戶(hù)端證書(shū)是否已經(jīng)被吊銷(xiāo)。
[0059]利用客戶(hù)端公鑰驗(yàn)證網(wǎng)銀盾簽名是否正確，并根據(jù)驗(yàn)證結(jié)果決定SSL協(xié)商成功或失敗。
[0060]圖3是根據(jù)本發(fā)明實(shí)施方式的一種客戶(hù)端的結(jié)構(gòu)示意圖。參見(jiàn)圖3，所述客戶(hù)端1000包括:識(shí)別模塊100以及密鑰協(xié)商模塊200，具體地:
[0061 ]識(shí)別模塊100用于識(shí)別網(wǎng)銀盾所支持的密碼算法。
[0062]其中，所述密碼算法可以是RSA算法，或者國(guó)密算法等。
[0063]密鑰協(xié)商模塊200用于調(diào)用支持所述識(shí)別模塊100所識(shí)別出的密碼算法的接口與SSL服務(wù)器進(jìn)行密鑰協(xié)商。
[0064]在本發(fā)明的另一種實(shí)施方式中，該客戶(hù)端1000還可以包括配置模塊，用于配置所述接口。其中，所述接口可以是CSP接口或者SKF接口等，該CSP接口支持上述的RSA算法，該SKF接口支持上述的國(guó)密算法。
[0065]圖4示出了圖3所示的識(shí)別模塊100的結(jié)構(gòu)示意圖。參見(jiàn)圖4，所述識(shí)別模塊100可以包括:獲取單元110以及識(shí)別單元120，具體地:
[0066]獲取單元110用于獲取所述網(wǎng)銀盾的算法類(lèi)型信息。
[0067]識(shí)別單元120用于根據(jù)所述獲取單元110所獲取到的算法類(lèi)型信息識(shí)別所述網(wǎng)銀盾所支持的密碼算法。
[0068]實(shí)施本發(fā)明提供的密鑰協(xié)商的方法及設(shè)備，可以實(shí)現(xiàn)客戶(hù)端兼容不同的密碼算法來(lái)進(jìn)行密鑰協(xié)商，優(yōu)化了用戶(hù)體驗(yàn)。
[0069]通過(guò)以上的實(shí)施方式的描述，本領(lǐng)域的技術(shù)人員可以清楚地了解到本發(fā)明可借助軟件結(jié)合硬件平臺(tái)的方式來(lái)實(shí)現(xiàn)?；谶@樣的理解，本發(fā)明的技術(shù)方案對(duì)【背景技術(shù)】做出貢獻(xiàn)的全部或者部分可以以軟件產(chǎn)品的形式體現(xiàn)出來(lái)，該計(jì)算機(jī)軟件產(chǎn)品可以存儲(chǔ)在存儲(chǔ)介質(zhì)中，如R0M/RAM、磁碟、光盤(pán)等，包括若干指令用以使得一臺(tái)計(jì)算機(jī)設(shè)備(可以是個(gè)人計(jì)算機(jī)，服務(wù)器，智能手機(jī)或者網(wǎng)絡(luò)設(shè)備等)執(zhí)行本發(fā)明各個(gè)實(shí)施例或者實(shí)施例的某些部分所述的方法。
[0070]本發(fā)明說(shuō)明書(shū)中使用的術(shù)語(yǔ)和措辭僅僅為了舉例說(shuō)明，并不意味構(gòu)成限定。本領(lǐng)域技術(shù)人員應(yīng)當(dāng)理解，在不脫離所公開(kāi)的實(shí)施方式的基本原理的前提下，對(duì)上述實(shí)施方式中的各細(xì)節(jié)可進(jìn)行各種變化。因此，本發(fā)明的范圍只由權(quán)利要求確定，在權(quán)利要求中，除非另有說(shuō)明，所有的術(shù)語(yǔ)應(yīng)按最寬泛合理的意思進(jìn)行理解。
【主權(quán)項(xiàng)】
1.一種密鑰協(xié)商的方法，其特征在于，所述方法包括: 客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法； 所述客戶(hù)端調(diào)用支持所述密碼算法的接口與安全套接層SSL服務(wù)器進(jìn)行密鑰協(xié)商。2.如權(quán)利要求1所述的方法，其特征在于，客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法包括: 所述客戶(hù)端獲取所述網(wǎng)銀盾的算法類(lèi)型信息； 所述客戶(hù)端根據(jù)獲取到的算法類(lèi)型信息識(shí)別所述網(wǎng)銀盾所支持的密碼算法。3.如權(quán)利要求1所述的方法，其特征在于， 所述密碼算法包括:RSA算法，或者國(guó)密算法。4.如權(quán)利要求3所述的方法，其特征在于， 所述支持所述密碼算法的接口包括:加密服務(wù)提供程序CSP接口，或者國(guó)密標(biāo)準(zhǔn)接口SKF接口，其中，所述CSP接口支持所述RSA算法，所述SKF接口支持所述國(guó)密算法。5.如權(quán)利要求1至4中任一項(xiàng)所述的方法，其特征在于，所述方法還包括: 所述客戶(hù)端預(yù)先配置所述接口。6.一種客戶(hù)端，其特征在于，所述客戶(hù)端包括: 識(shí)別模塊，用于識(shí)別網(wǎng)銀盾所支持的密碼算法； 密鑰協(xié)商模塊，用于調(diào)用支持所述識(shí)別模塊所識(shí)別出的密碼算法的接口與SSL服務(wù)器進(jìn)行密鑰協(xié)商。7.如權(quán)利要求6所述的客戶(hù)端，其特征在于，所述識(shí)別模塊包括: 獲取單元，用于獲取所述網(wǎng)銀盾的算法類(lèi)型信息； 識(shí)別單元，用于根據(jù)所述獲取單元所獲取到的算法類(lèi)型信息識(shí)別所述網(wǎng)銀盾所支持的密碼算法。8.如權(quán)利要求6所述的客戶(hù)端，其特征在于， 所述密碼算法包括:RSA算法，或者國(guó)密算法。9.如權(quán)利要求8所述的客戶(hù)端，其特征在于， 所述支持所述密碼算法的接口包括:加密服務(wù)提供程序CSP接口，或者國(guó)密標(biāo)準(zhǔn)接口SKF接口，其中，所述CSP接口支持所述RSA算法，所述SKF接口支持所述國(guó)密算法。10.如權(quán)利要求6至9中任一項(xiàng)所述的客戶(hù)端，其特征在于，所述客戶(hù)端還包括: 配置模塊，用于配置所述接口。
【專(zhuān)利摘要】本發(fā)明提供一種密鑰協(xié)商的方法及設(shè)備，所述方法包括：客戶(hù)端識(shí)別網(wǎng)銀盾所支持的密碼算法；所述客戶(hù)端調(diào)用支持所述密碼算法的接口與安全套接層SSL服務(wù)器進(jìn)行密鑰協(xié)商。實(shí)施本發(fā)明，可以實(shí)現(xiàn)客戶(hù)端兼容不同的密碼算法來(lái)進(jìn)行密鑰協(xié)商，優(yōu)化了用戶(hù)體驗(yàn)。
【IPC分類(lèi)】H04L9/08, H04L29/06
【公開(kāi)號(hào)】CN105530090
【申請(qǐng)?zhí)枴緾N201511028895
【發(fā)明人】解敏, 廖敏飛, 吳孟晴, 李文鵬, 劉麗娟, 董思, 許騰, 譚世殊, 何偉明
【申請(qǐng)人】中國(guó)建設(shè)銀行股份有限公司
【公開(kāi)日】2016年4月27日
【申請(qǐng)日】2015年12月31日