CN107017994B - 一种数据安全验证装置 - Google Patents

一种数据安全验证装置 Download PDF

Info

Publication number
CN107017994B
CN107017994B CN201710245367.3A CN201710245367A CN107017994B CN 107017994 B CN107017994 B CN 107017994B CN 201710245367 A CN201710245367 A CN 201710245367A CN 107017994 B CN107017994 B CN 107017994B
Authority
CN
China
Prior art keywords
clock
data
key
public key
timestamp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710245367.3A
Other languages
English (en)
Other versions
CN107017994A (zh
Inventor
谢振东
苏浩伟
陈欢
温晓丽
袁勇
邹大毕
陈君
郭峰
宋秉麟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangzhou Yang Cheng Tong Co ltd
Original Assignee
Guangzhou Yang Cheng Tong Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangzhou Yang Cheng Tong Co ltd filed Critical Guangzhou Yang Cheng Tong Co ltd
Priority to CN201710245367.3A priority Critical patent/CN107017994B/zh
Publication of CN107017994A publication Critical patent/CN107017994A/zh
Application granted granted Critical
Publication of CN107017994B publication Critical patent/CN107017994B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0872—Generation of secret information including derivation or calculation of cryptographic keys or passwords using geo-location information, e.g. location data, time, relative position or proximity to other entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Small-Scale Networks (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种数据安全验证装置，装置外部包括用于外部数据的输入和输出的数据传输接口，装置内部包括控制公钥，和由外部控制私钥加密的时钟单元与时间戳密钥；所述的时钟单元包括时钟信息和时钟允许误差信息，所述控制公钥、时间戳密钥、时钟和时钟允许误差采用可更新机制，由外部控制私钥对需要更新的数据进行签名，并由控制公钥验证签名进行更新；所述的外部数据由时间戳密钥和时钟单元进行安全验证，验证结果由数据传输接口输出。该装置可用于移动支付终端，具有高度的数据安全性。

Description

一种数据安全验证装置
技术领域
本发明涉及数据安全领域，具体说是一种数据安全验证装置。
背景技术
随着时代的发展，信息化程度越来越高，对于数据的安全也提出了更高的要求，特别是在移动终端支付领域。移动终端需要有很高的数据安全保密性，其验证密钥需要采用可更新的方式才能够保证被恶意修改攻击。目前的验证装置都是采用黑盒的模式，内部数据不可读取和修改，应用范围相对小。
发明内容
本发明针对上述存在的问题，提出了一种数据安全验证装置，装置外部包括用于外部数据的输入和输出的数据传输接口，装置内部包括控制公钥，和由外部控制私钥加密的时钟单元与时间戳密钥；所述的时钟单元包括时钟信息和时钟允许误差信息，所述控制公钥、时间戳密钥、时钟和时钟允许误差采用可更新机制，由外部控制私钥对需要更新的数据进行签名，并由控制公钥验证签名进行更新；所述的外部数据由时间戳密钥和时钟单元进行安全验证，验证结果由数据传输接口输出。
进一步地，所述的控制公钥的更新方式为：输入新的控制公钥和原控制私钥对新控制公钥的签名，装置使用原控制公钥认证通过该签名后，更新旧控制公钥为新控制公钥。
进一步地，所述的时间戳密钥更新方式为:输入装置控制公钥对新时间戳密钥的加密数据和控制私钥对加密数据的签名，装置使用控制公钥认证通过该签名后，用控制私钥解密后更新时间戳密钥。
进一步地，所述的时钟更新方式为：输入新的时钟数据和控制私钥对新时钟数据的签名，装置使用控制公钥认证通过该签名后，更新旧时钟为新时钟。
进一步地，所述的时钟允许误差更新方式为：时钟允许误差分为时钟允许误差上限和时钟允许误差下限，输入新时钟允许误差信息和控制私钥对新时钟允许误差信息的签名，装置认证使用控制公钥认证通过该签名后，更新时钟允许误差信息。
进一步地，所述的验证数据包括外部时间、分散级数、分散因子、验证数据和验证值。
进一步地，所述的数据安全验证步骤为：
S1、外部通过数据传输接口输入验证数据；
S2、获取装置时钟单元的时钟信息，获取成功进行下一步S3，获取失败则跳转S9；
S3、验证输入的外部时间是否小于时钟允许误差下限，“否”进行下一步S4，“是”跳转S9；
S4、验证输入的外部时间是否大于时钟允许误差上限，“否”进行下一步S5，“是”跳转S9；
S5、时间戳密钥按照分散级数和分散因子进行分散，产生时间戳子密钥；
S6、时间戳子密钥对验证数据计算MAC；
S7、验证MAC是否与输入的验证值一致，“是”进行下一步S8，“否”跳转S9；
S8、验证成功，装置输出结果给外部，跳转S1循环；
S9、验证失败，装置输出结果给外部，跳转S1循环。
本发明有如下有益效果：
1、通过内置时钟单元和时钟更新机制，避免时钟被恶意更改的风险，提高***时钟的统一性和准确性，降低***集成的难度；
2、时钟单元、密钥存储以及密钥运算都内置于黑盒，提高数据验证的安全性；
3、时间戳密钥使用装置密钥对和控制密钥对实现装载和更新，提高时间戳密钥发布的安全性；
4、时间戳密钥采用对称密钥，降低被验证方设备的性能要求；
5、时间戳密钥支持多级分散，适合多级的密钥体系，可控制数据认证的应用范围；
6、设置有时间允许误差并允许可调，提高***的适用性。
附图说明
图1是本发明实施例的结构框图；
图2是本发明实施例的数据验证流程图；
图3是本发明实施例的MAC计算方法图。
具体实施方式
以下结合附图对本发明的实施例作详细描述。
如图1所示，一种数据安全验证装置，该装置为黑盒设计，该装置外部包括数据传输接口，内部包括时钟单元、控制公钥和时间戳密钥，所述的时钟单元包括时钟信息和时钟允许误差信息。
装置进行初始化后，装置内部生产非对称密钥对，控制私钥通过数据传输接口传输到外部，装置内部保留控制公钥，控制私钥可对内部数据进行更新。进一步地，所述的控制公钥的更新方式为：输入新的控制公钥和原控制私钥对新控制公钥的签名，装置使用原控制公钥认证通过该签名后，更新旧控制公钥为新控制公钥；所述的时间戳密钥更新方式为:输入装置控制公钥对新时间戳密钥的加密数据和控制私钥对加密数据的签名，装置使用控制公钥认证通过该签名后，用控制私钥解密后更新时间戳密钥；所述的时钟更新方式为：输入新的时钟数据和控制私钥对新时钟数据的签名，装置使用控制公钥认证通过该签名后，更新旧时钟为新时钟；所述的时钟允许误差更新方式为：时钟允许误差分为时钟允许误差上限和时钟允许误差下限，输入新时钟允许误差信息和控制私钥对新时钟允许误差信息的签名，装置认证使用控制公钥认证通过该签名后，更新时钟允许误差信息。
如图2所示，外部数据通过数据传输接口输入，外部数据包括外部时间、分散级数、分散因子、验证数据和验证值，装置验证后输出验证成功或验证失败，具体流程如下：
S1、外部通过数据传输接口输入验证数据；
S2、获取装置时钟单元的时钟信息，获取成功进行下一步S3，获取失败则跳转S9；
S3、验证输入的外部时间是否小于时钟允许误差下限，“否”进行下一步S4，“是”跳转S9；
S4、验证输入的外部时间是否大于时钟允许误差上限，“否”进行下一步S5，“是”跳转S9；
S5、时间戳密钥按照分散级数和分散因子进行分散，产生时间戳子密钥；
S6、时间戳子密钥对验证数据计算MAC；
S7、验证MAC是否与输入的验证值一致，“是”进行下一步S8，“否”跳转S9；
S8、验证成功，装置输出结果给外部，跳转S1循环；
S9、验证失败，装置输出结果给外部，跳转S1循环。
在一个优选实施例中，时间戳密钥采用16字节的3DES密钥，时间戳子密钥由原时间戳密钥8字节分散级数加上8字节分散因子取反值计算3des后获得的。MAC计算步骤如下：
1、取8个16进制数00,00,00,00,00,00,00,00为初始值；
2、将需要计算MAC的验证数据分成8字节为单位的数据块，标号为D1，D2..Dn。最后的数据块Dn可能是1-8个字节；
3、如果最后的数据块长度是8，在其后加上16进制数80,00,00,00,00,00,00,00；如果最后的数据块长度等于7，在其后加上16进制数80；如果最后的数据块小于7，则在其后加入16进制数80，再重复加入16进制数00，直到达到8字节；
4、对验证数据使用相应密钥加密，计算过程如图3所示，将8字节的初始值与D1数据块进行异或运算得到8字节数据，再利用16字节密钥左半部分DES(同为8字节)对8字节数据进行加密；得到的加密8字节数据与D2数据块进行异或运算，得到新8字节数据，再利用16字节密钥左半部分DES对新的8字节数据进行加密；以此类推直到与Dn数据块异或运算，最终得到的8字节数据用16字节左半部分DES加密；加密后的8字节数据用16字节右半部分DES(同为8字节)进行解密的到解密数据(8字节)；再利用16字节密钥左半部分DES对解密数据进行加密，得到8字节的加密数据，取加密数据的前四个字节作为结果；所得到的结果将与验证值比较，一致则表示验证成功，否则验证失败。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种数据安全验证装置，其特征在于，该装置为黑盒设计，装置外部包括用于外部数据的输入和输出的数据传输接口，所述的外部数据包括外部时间、分散级数、分散因子、验证数据和验证值，装置内部包括控制公钥，和由外部控制私钥加密的时钟单元与时间戳密钥；所述的时钟单元包括时钟信息和时钟允许误差信息，所述时间戳密钥采用对称密钥并支持多级分散，所述控制公钥、时间戳密钥、时钟和时钟允许误差采用可更新机制，由外部控制私钥对需要更新的数据进行签名，并由控制公钥验证签名进行更新；所述的外部数据由时间戳密钥和时钟单元进行安全验证，验证结果由数据传输接口输出。
2.根据权利要求1所述的一种数据安全验证装置，其特征在于，所述的控制公钥的更新方式为：输入新的控制公钥和原控制私钥对新控制公钥的签名，装置使用原控制公钥认证通过该签名后，更新旧控制公钥为新控制公钥。
3.根据权利要求1所述的一种数据安全验证装置，其特征在于，所述的时间戳密钥更新方式为:将控制公钥对新时间戳密钥的加密数据以及控制私钥对加密数据的签名输入装置中，装置使用控制公钥认证通过该签名后，用控制私钥解密后更新时间戳密钥。
4.根据权利要求1所述的一种数据安全验证装置，其特征在于，所述的时钟更新方式为：输入新的时钟数据和控制私钥对新时钟数据的签名，装置使用控制公钥认证通过该签名后，更新旧时钟为新时钟。
5.根据权利要求1所述的一种数据安全验证装置，其特征在于，所述的时钟允许误差更新方式为：时钟允许误差分为时钟允许误差上限和时钟允许误差下限，输入新时钟允许误差信息和控制私钥对新时钟允许误差信息的签名，装置认证使用控制公钥认证通过该签名后，更新时钟允许误差信息。
6.根据权利要求1所述的一种数据安全验证装置，其特征在于，所述的数据安全验证步骤为：
S1、外部通过数据传输接口输入外部数据；
S2、获取装置时钟单元的时钟信息，获取成功进行下一步S3，获取失败则跳转S9；
S3、验证输入的外部时间是否小于时钟允许误差下限，“否”进行下一步S4，“是”跳转S9；
S4、验证输入的外部时间是否大于时钟允许误差上限，“否”进行下一步S5，“是”跳转S9；
S5、时间戳密钥按照分散级数和分散因子进行分散，产生时间戳子密钥；
S6、时间戳子密钥对验证数据计算MAC；
S7、验证MAC是否与输入的验证值一致，“是”进行下一步S8，“否”跳转S9；
S8、验证成功，装置输出结果给外部，跳转S1循环；
S9、验证失败，装置输出结果给外部，跳转S1循环。
CN201710245367.3A 2017-04-14 2017-04-14 一种数据安全验证装置 Active CN107017994B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710245367.3A CN107017994B (zh) 2017-04-14 2017-04-14 一种数据安全验证装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710245367.3A CN107017994B (zh) 2017-04-14 2017-04-14 一种数据安全验证装置

Publications (2)

Publication Number Publication Date
CN107017994A CN107017994A (zh) 2017-08-04
CN107017994B true CN107017994B (zh) 2020-05-05

Family

ID=59448269

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710245367.3A Active CN107017994B (zh) 2017-04-14 2017-04-14 一种数据安全验证装置

Country Status (1)

Country Link
CN (1) CN107017994B (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102325320A (zh) * 2011-09-14 2012-01-18 北京握奇数据***有限公司 一种无线安全通信方法及***
CN102651747A (zh) * 2012-05-24 2012-08-29 电子科技大学 基于不可信更新环境的前向安全数字签名方法
CN102882858A (zh) * 2012-09-13 2013-01-16 江苏乐买到网络科技有限公司 一种用于云计算***的外部数据传输方法
CN103974248A (zh) * 2013-01-24 2014-08-06 ***通信集团公司 在能力开放***中的终端安全性保护方法、装置及***
CN104517257A (zh) * 2013-09-26 2015-04-15 上海中移通信技术工程有限公司 用于制作和验证防伪的数字凭证的方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7581093B2 (en) * 2003-12-22 2009-08-25 Nortel Networks Limited Hitless manual cryptographic key refresh in secure packet networks
TWI667586B (zh) * 2013-09-20 2019-08-01 系微股份有限公司 用以核對ｕｅｆｉ認證變量變化之系統及方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102325320A (zh) * 2011-09-14 2012-01-18 北京握奇数据***有限公司 一种无线安全通信方法及***
CN102651747A (zh) * 2012-05-24 2012-08-29 电子科技大学 基于不可信更新环境的前向安全数字签名方法
CN102882858A (zh) * 2012-09-13 2013-01-16 江苏乐买到网络科技有限公司 一种用于云计算***的外部数据传输方法
CN103974248A (zh) * 2013-01-24 2014-08-06 ***通信集团公司 在能力开放***中的终端安全性保护方法、装置及***
CN104517257A (zh) * 2013-09-26 2015-04-15 上海中移通信技术工程有限公司 用于制作和验证防伪的数字凭证的方法

Also Published As

Publication number Publication date
CN107017994A (zh) 2017-08-04

Similar Documents

Publication Publication Date Title
CN1985466B (zh) 使用分发cd按签署组向设备传递直接证据私钥的方法
CN103460195B (zh) 用于安全软件更新的***和方法
CN108140093B (zh) 使用用于设备的硬件信任根来迁移秘密
CN111034120B (zh) 基于身份信息的加密密钥管理
CN101213814B (zh) 安全修补***
US9922178B2 (en) Media client device authentication using hardware root of trust
CN105144626B (zh) 提供安全性的方法和设备
US11144649B2 (en) Sensitive information provision process
EP3457310B1 (en) Method for protecting the confidentiality and integrity of firmware for an internet of things device
US11361087B2 (en) Security data processing device
CN108566381A (zh) 一种安全升级方法、装置、服务器、设备和介质
US8495383B2 (en) Method for the secure storing of program state data in an electronic device
CN110050273A (zh) 利用***产生的装置程序化
CN108140085A (zh) 使用最少的硬件资源的可信平台
CN102075513B (zh) 用于可再生性的装置、***和方法与数字内容保护***
CN109478214B (zh) 用于证书注册的装置和方法
EP3005217B1 (en) Apparatus and method for provisioning an endorsement key certificate for a firmware trusted platform module
CN106452786A (zh) 加解密处理方法、装置和设备
CN110855616B (zh) 一种数字钥匙生成***
CN111052670B (zh) 加密装置、解密装置、加密方法、解密方法和计算机能读取的存储介质
KR20190112959A (ko) 암호화 데이터를 이용하는 기계학습 모델 운영방법 및 기계학습 모델 기반 장치
CN103370718B (zh) 使用分布式安全密钥的数据保护方法、设备和***
CN107017994B (zh) 一种数据安全验证装置
KR20100043799A (ko) Ｍｔｍ 기반 모바일 단말기 간의 비밀 데이터 이전 방법
CN116633533A (zh) 用于kms***秘钥加密的秘钥生成方法、装置及设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant