加密機的通訊安全管理方法和系統(tǒng)的制作方法
【專利摘要】本發(fā)明實施例提供了一種加密機的通訊安全管理方法和系統(tǒng)。該方法主要包括網(wǎng)絡(luò)客戶端接收到加密機發(fā)送的帶有隨機數(shù)的數(shù)據(jù)包后，利用管理員帳號的口令加密隨機數(shù)，將管理員帳號的標識和加密后的隨機數(shù)發(fā)送到加密機；加密機根據(jù)管理員帳號的標識獲取預先存儲的管理員帳號的口令，利用管理員帳號的口令對加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接安全。本發(fā)明實施例，保證了加密機和網(wǎng)絡(luò)客戶端之間的網(wǎng)絡(luò)通訊傳輸安全性，保證了加密機體系的安全，為加密機進行后續(xù)的用戶證書導入等處理提供了安全保證。
【專利說明】加密機的通訊安全管理方法和系統(tǒng)
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信【技術(shù)領(lǐng)域】，尤其涉及一種加密機的通訊安全管理方法和系統(tǒng)。
【背景技術(shù)】
[0002]PKI (Public Key Infrastructure,公鑰基礎(chǔ)設(shè)施)是一種遵循既定標準的密鑰管理平臺，它能夠為所有網(wǎng)絡(luò)應用提供加密和數(shù)字簽名等密碼服務(wù)及所必需的密鑰和證書管理體系。加密機是基于PKI體系的高性能加密設(shè)備，能提供高速數(shù)據(jù)加密/解密、數(shù)字簽名/驗證、密鑰管理、身份認證等密碼服務(wù)。
[0003]目前，大部分加密機的功能是通過串口在本地生成加密機密鑰，或者假定假設(shè)前提就是所使用的網(wǎng)絡(luò)是局域網(wǎng)或者專用網(wǎng)，調(diào)用專用的API (Application ProgrammingInterface，應用程序編程接口)來進行非對稱加解密密鑰操作，但現(xiàn)實中往往由于內(nèi)部網(wǎng)絡(luò)的問題造成很多的安全隱患。因此，需要一種有效的加密機的安全管理機制。

【發(fā)明內(nèi)容】

[0004]本發(fā)明的實施例提供了一種加密機的通訊安全管理方法和系統(tǒng)，以保證加密機的網(wǎng)絡(luò)通信安全。
[0005]一種加密機的通訊安全管理方法，包括:
[0006]網(wǎng)絡(luò)客戶端和加密機建立連接，所述加密機發(fā)送帶有隨機數(shù)的數(shù)據(jù)包給所述網(wǎng)絡(luò)客戶端；
[0007]所述網(wǎng)絡(luò)客戶端接收到所述帶有隨機數(shù)的數(shù)據(jù)包后，利用所述管理員帳號的口令加密所述隨機數(shù)，將所述管理員帳號的標識和加密后的隨機數(shù)發(fā)送到所述加密機；
[0008]所述加密機收到網(wǎng)絡(luò)客戶端傳來的管理員帳號的標識和加密后的隨機數(shù)后，根據(jù)所述管理員帳號的標識獲取預先存儲的所述管理員帳號的口令，利用所述管理員帳號的口令對所述加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接安全；否則，確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接不安全。
[0009]由上述本發(fā)明的實施例提供的技術(shù)方案可以看出，本發(fā)明實施例通過雙因子的方法實現(xiàn)了加密機和網(wǎng)絡(luò)客戶端之間的通信認證，保證了加密機和網(wǎng)絡(luò)客戶端之間的網(wǎng)絡(luò)通訊傳輸安全性，保證了加密機體系的安全，為加密機進行后續(xù)的用戶證書導入等處理提供了安全保證。
【專利附圖】

【附圖說明】
[0010]為了更清楚地說明本發(fā)明實施例的技術(shù)方案，下面將對實施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動性的前提下，還可以根據(jù)這些附圖獲得其他的附圖。[0011]圖1為本發(fā)明實施例一提供的一種加密機的通訊安全管理方法的處理流程示意圖；
[0012]圖2為本發(fā)明實施例二提供的一種加密機的通訊安全管理系統(tǒng)的結(jié)構(gòu)示意圖?！揪唧w實施方式】
[0013]為便于對本發(fā)明實施例的理解，下面將結(jié)合附圖以幾個具體實施例為例做進一步的解釋說明，且各個實施例并不構(gòu)成對本發(fā)明實施例的限定。
[0014]實施例一
[0015]該實施例提供的一種加密機的通訊安全管理方法的處理流程示意圖如圖1所示，包括如下的處理步驟:
[0016]步驟11、加密機在初始化后，通過串口連接生成多個管理員帳號。
[0017]本發(fā)明實施例中的加密機是一個加密機服務(wù)器，是基于PKI體系的高性能稅控專用加密設(shè)備，能為新一代防偽稅控系統(tǒng)提供高速數(shù)據(jù)加密/解密、數(shù)字簽名/驗證、密鑰管理、身份認證等密碼服務(wù)。
[0018]加密機最初進行初始化后，通過串口連接生成多個管理員帳號，每個管理員帳號對應一個口令，在加密機存儲區(qū)中存儲各個管理員帳號和口令。上述多個管理員帳號可以包括一個超級管理員帳號和至少3個普通管理員帳號。在加密機中需要通過網(wǎng)絡(luò)導入一些CA (certificate authority,認證中心)證書、用戶證書等，并通過CRL (CertificateRevocation List，證書作廢表)來建立PKI證書體系。為了保證加密機網(wǎng)絡(luò)通訊的安全性，需要進行網(wǎng)絡(luò)連接身份驗證，保證網(wǎng)絡(luò)通訊的安全。
[0019]步驟12、在本發(fā)明實施例中，通過串口登錄3個以上的管理員賬號或者登錄超級管理員賬號，加密機才能為客戶端提供服務(wù)。
[0020]加密機上插入代表已經(jīng)登錄的管理員或者超級管理員身份的IC (IntegrateCircuit,集成電路)卡,加密機內(nèi)部已經(jīng)有服務(wù)等待客戶端連接。
[0021]步驟13、在網(wǎng)絡(luò)客戶端的軟件界面上選擇所插入IC卡對應的管理員帳號或者超級管理員帳號的ID (標識)選項，并輸入所選擇的管理員帳號的口令。
[0022]在口令驗證通過后，網(wǎng)絡(luò)客戶端和加密機建立網(wǎng)絡(luò)連接。
[0023]步驟14、加密機發(fā)送攜帶隨機數(shù)的數(shù)據(jù)包給連接的網(wǎng)絡(luò)客戶端。在實際應用中，上述數(shù)據(jù)包中還可以攜帶時間戳，該時間戳主要起防止抓獲數(shù)據(jù)包重放攻擊的作用，到一定能夠時間，數(shù)據(jù)包就失效了，也是一種安全的機制。有時間戳
[0024]步驟15、網(wǎng)絡(luò)客戶端接收到上述帶有隨機數(shù)的數(shù)據(jù)包后，利用輸入的管理員帳號的口令加密上述隨機數(shù)。
[0025]然后，網(wǎng)絡(luò)客戶端將所選擇的管理員帳號的ID和加密后的隨機數(shù)發(fā)送到加密機。
[0026]步驟16、加密機收到網(wǎng)絡(luò)客戶端傳來的管理員帳號的ID和加密后的隨機數(shù)后，首先取出管理員帳號的ID，然后從加密機存儲區(qū)取出該管理員帳號的ID對應的管理員帳號的口令。
[0027]加密機利用上述管理員帳號的口令對加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定上述網(wǎng)絡(luò)客戶端和加密機之間的連接安全；否則，確定上述網(wǎng)絡(luò)客戶端和加密機之間的連接不安全，斷開上述網(wǎng)絡(luò)客戶端和加密機之間的連接。
[0028]通過上述過程，就實現(xiàn)了加密機和網(wǎng)絡(luò)客戶端之間的認證，保證了加密機網(wǎng)絡(luò)連接安全性，后續(xù)通過網(wǎng)絡(luò)客戶端軟件，可以將CA根證書，CRL文件以及代表usbkey的用戶證書安全的導入到加密機中。
[0029]實施例二
[0030]該實施例提供的一種加密機的通訊安全管理系統(tǒng)的結(jié)構(gòu)示意圖如圖2所示，包括如下的模塊:
[0031]網(wǎng)絡(luò)客戶端21，用于和加密機建立連接，接收到加密機發(fā)送的隨機數(shù)后，利用所述管理員帳號的口令加密所述隨機數(shù)，將所述管理員帳號的標識和加密后的隨機數(shù)發(fā)送到所述加密機；
[0032]加密機22，用于發(fā)送帶有時間戳的隨機數(shù)給所述網(wǎng)絡(luò)客戶端；接收到網(wǎng)絡(luò)客戶端傳來的管理員帳號的標識和加密后的隨機數(shù)后，根據(jù)所述管理員帳號的標識獲取預先存儲的所述管理員帳號的口令，利用所述管理員帳號的口令對所述加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接安全；否則，確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接不安全。
[0033]具體的，所述的加密機22，還用于在進行初始化后，通過串口連接生成多個管理員帳號，每個管理員帳號對應一個口令，在加密機存儲區(qū)中存儲各個管理員的帳號和口令，所述多個管理員帳號包括一個超級管理員帳號和至少3個普通管理員帳號。
[0034]具體的，所述的網(wǎng)絡(luò)客戶端21，還用于在至少3個所述普通管理員帳號或者所述超級管理員帳號登錄加密機后，在網(wǎng)絡(luò)客戶端的軟件界面上選擇已經(jīng)在加密機上登錄的某個管理員帳號，并輸入所述某個管理員帳號的口令，在口令驗證通過后，和所述加密機建立連接。
[0035]本領(lǐng)域普通技術(shù)人員可以理解:附圖只是一個實施例的示意圖，附圖中的模塊或流程并不一定是實施本發(fā)明所必須的。
[0036]本領(lǐng)域普通技術(shù)人員可以理解:實施例中的設(shè)備中的模塊可以按照實施例描述分布于實施例的設(shè)備中，也可以進行相應變化位于不同于本實施例的一個或多個設(shè)備中。上述實施例的模塊可以合并為一個模塊，也可以進一步拆分成多個子模塊。
[0037]用本發(fā)明實施例的系統(tǒng)加密機的通訊安全管理的具體過程與前述方法實施例類似，此處不再贅述。
[0038]綜上所述，本發(fā)明實施例通過雙因子的方法實現(xiàn)了加密機和網(wǎng)絡(luò)客戶端之間的通信認證，保證了加密機和網(wǎng)絡(luò)客戶端之間的網(wǎng)絡(luò)通訊傳輸安全性，保證了加密機體系的安全，為加密機進行后續(xù)的用戶證書導入等處理提供了安全保證。
[0039]本發(fā)明實施例通過只有在多個管理員帳號或者超級管理員帳號登錄的情況下，力口密機才能給用戶提供服務(wù)的機制，進一步保證了加密機體系的安全。
[0040]以上所述，僅為本發(fā)明較佳的【具體實施方式】，但本發(fā)明的保護范圍并不局限于此，任何熟悉本【技術(shù)領(lǐng)域】的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換，都應涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應該以權(quán)利要求的保護范圍為準。
【權(quán)利要求】
1.一種加密機的通訊安全管理方法，其特征在于，包括: 網(wǎng)絡(luò)客戶端和加密機建立連接，所述加密機發(fā)送帶有隨機數(shù)的數(shù)據(jù)包給所述網(wǎng)絡(luò)客戶端; 所述網(wǎng)絡(luò)客戶端接收到所述帶有隨機數(shù)的數(shù)據(jù)包后，利用所述管理員帳號的口令加密所述隨機數(shù)，將所述管理員帳號的標識和加密后的隨機數(shù)發(fā)送到所述加密機； 所述加密機收到網(wǎng)絡(luò)客戶端傳來的管理員帳號的標識和加密后的隨機數(shù)后，根據(jù)所述管理員帳號的標識獲取預先存儲的所述管理員帳號的口令，利用所述管理員帳號的口令對所述加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接安全；否則，確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接不安全。
2.根據(jù)權(quán)利要求1所述的加密機的通訊安全管理方法，其特征在于，所述的方法還包括: 加密機最初進行初始化后，通過串口連接生成多個管理員帳號，每個管理員帳號對應一個口令，在加密機存儲區(qū)中存儲各個管理員的帳號和口令，所述多個管理員帳號包括一個超級管理員帳號和至少3個普通管理員帳號。
3.根據(jù)權(quán)利要求2所述的加密機的通訊安全管理方法，其特征在于，所述的網(wǎng)絡(luò)客戶端和加密機建立連接，包括: 在至少3個所述普通管理員帳號或者所述超級管理員帳號登錄加密機后，在網(wǎng)絡(luò)客戶端的軟件界面上選擇已經(jīng)在加密機上登錄的某個管理員帳號，并輸入所述某個管理員帳號的口令，在口令驗證通過后，所述網(wǎng)絡(luò)客戶端和所述加密機建立連接。
4.根據(jù)權(quán)利要求1所述的加密機的通訊安全管理方法，其特征在于，所述的數(shù)據(jù)包中還攜帶時間戳。
5.一種加密機的通訊安全管理系統(tǒng)，其特征在于，包括: 網(wǎng)絡(luò)客戶端，用于和加密機建立連接，接收到加密機發(fā)送的帶有隨機數(shù)的數(shù)據(jù)包后，利用所述管理員帳號的口令加密所述隨機數(shù)，將所述管理員帳號的標識和加密后的隨機數(shù)發(fā)送到所述加密機； 加密機，用于發(fā)送帶有隨機數(shù)的數(shù)據(jù)包給所述網(wǎng)絡(luò)客戶端；接收到網(wǎng)絡(luò)客戶端傳來的管理員帳號的標識和加密后的隨機數(shù)后，根據(jù)所述管理員帳號的標識獲取預先存儲的所述管理員帳號的口令，利用所述管理員帳號的口令對所述加密后的隨機數(shù)進行解密，將解密結(jié)果和發(fā)送的隨機數(shù)進行對比，如果比較結(jié)果為一致，則確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接安全；否則，確定所述網(wǎng)絡(luò)客戶端和加密機之間的連接不安全。
6.根據(jù)權(quán)利要求5所述的加密機的通訊安全管理系統(tǒng)，其特征在于: 所述的加密機，還用于在進行初始化后，通過串口連接生成多個管理員帳號，每個管理員帳號對應一個口令，在加密機存儲區(qū)中存儲各個管理員的帳號和口令，所述多個管理員帳號包括一個超級管理員帳號和至少3個普通管理員帳號。
7.根據(jù)權(quán)利要求6所述的加密機的通訊安全管理系統(tǒng)，其特征在于: 所述的網(wǎng)絡(luò)客戶端，還用于在至少3個所述普通管理員帳號或者所述超級管理員帳號登錄加密機后，在網(wǎng)絡(luò)客戶端的軟件界面上選擇已經(jīng)在加密機上登錄的某個管理員帳號，并輸入所述某個管理員帳號的口令，在口令驗證通過后，和所述加密機建立連接。
【文檔編號】H04L9/32GK103916363SQ201210592240
【公開日】2014年7月9日 申請日期:2012年12月30日 優(yōu)先權(quán)日:2012年12月30日
【發(fā)明者】邵波, 郭寶安 申請人:航天信息股份有限公司