CN107645378A - 密钥管理平台、通信加密方法及终端 - Google Patents

Abstract

本发明提供一种密钥管理平台、通信加密方法及终端，通过发起通信请求的终端向密钥管理平台发送第一请求；密钥管理平台根据第一请求生成通信密钥，然后分别采用终端的第一公钥和另一终端的第二公钥对通信密钥进行加密，获得第一密钥和第二密钥，并将第一密钥和第二密钥发送给终端；终端采用本地存储的第一私钥对第一密钥进行解密获得通信密钥；终端将第二密钥发送给另一终端；另一终端采用本地存储的第二私钥对第二密钥进行解密获得通信密钥；终端和另一终端分别使用通信密钥进行加密通信。由于第一私钥仅终端知道，第二私钥仅另一终端知道，因此，提高了通信密钥的可靠性，终端与另一终端通过通信密钥进行加密通信的安全性得以加强。

Description

密钥管理平台、通信加密方法及终端

技术领域

本发明涉及通信技术领域，尤其涉及一种密钥管理平台、通信加密方法及终端。

背景技术

随着智能终端的普及，移动终端面临的安全问题日益严重，Android、iOS 等操作***存在诸多安全漏洞和隐藏的后门，严重威胁了用户个人隐私、商业机密、财富以及国家安全。政府、命脉行业以及商务人士对安全通信的需求日益增加，移动安全的需求已成为用户关注的焦点。

为满足用户的安全需求，运营商及终端厂商设计了相应的加密终端。比如，目前一种加密终端是在安全芯片内预置密钥协商参数，主叫终端发起通话请求时，主叫终端和被叫终端自动根据密钥协商参数按照预设规定确定密钥，根据该密钥对本次通信进行加密；该加密方法在一定程度上提升了通信的安全性，但认证方式单一，安全性仍有缺陷。

密钥协商作为加密通信的核心环节，是保证通信安全性的重要环节。现有加密通信的密钥协商方法在效率和安全性方面都有所欠缺。

发明内容

本发明提供一种密钥管理平台、通信加密方法及终端，用于解决现有的通信加密方法的效率和安全性低的问题。

本发明的第一个方面是提供一种通信加密方法，包括：

终端向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥；

所述终端接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应；

所述终端向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

所述终端使用所述通信密钥与所述另一终端进行加密通信。

本发明的第二个方面是提供一种通信加密方法，包括：

密钥管理平台接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

所述密钥管理平台生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

所述密钥管理平台向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

本发明的第三个方面是提供一种通信加密方法，包括：

终端接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述另一终端的第一公钥和所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

所述终端利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

所述终端使用所述通信密钥与所述另一终端进行加密通信。

本发明的第四个方面是提供一种通信加密终端，包括：

请求模块，用于向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥；

第一解密模块，用于接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应；

交互模块，用于向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第一通信模块，用于使用所述通信密钥与所述另一终端进行加密通信。

本发明的第五个方面是提供一种密钥管理平台，包括：

接收模块，用于接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

查找模块，用于根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

加密模块，用于生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

发送模块，用于向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

本发明的第六个方面是提供一种通信加密终端，包括：

密钥接收模块，用于接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述另一终端的第一公钥和所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

第二解密模块，用于利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第二通信模块，用于使用所述通信密钥与所述另一终端进行加密通信。

本发明提供的密钥管理平台、通信加密方法及终端，通过发起通信请求的终端向密钥管理平台发送包含终端信息和另一终端信息的第一请求；密钥管理平台根据第一请求生成通信密钥，然后分别采用终端的第一公钥和另一终端的第二公钥对通信密钥进行加密，获得第一密钥和第二密钥，并将第一密钥和第二密钥发送给终端；终端采用本地存储的第一私钥对第一密钥进行解密获得通信密钥，其中，第一公钥和第一私钥唯一对应；终端将第二密钥发送给另一终端；另一终端采用本地存储的第二私钥对第二密钥进行解密获得通信密钥，其中，第二公钥和第二私钥唯一对应；终端和另一终端分别使用通信密钥进行加密通信。由于第一私钥仅终端知道，第二私钥仅另一终端知道，即使其他终端或平台截取到经过第一公钥或第二公钥加密后的通信密钥，也无法对其进行解密以获得通信密钥，因此，本方案提高了通信密钥的可靠性，终端与另一终端通过通信密钥进行加密通信的安全性得以加强。

附图说明

图1A-1B为本发明实施例一提供的一种通信加密方法的流程示意图；

图2为本发明实施例二提供的一种通信加密方法的流程示意图；

图3为本发明实施例三提供的一种通信加密方法的流程示意图；

图4为本发明实施例四提供的一种通信加密方法的流程示意图；

图5为本发明实施例五提供的一种通信加密方法的流程示意图；

图6为本发明实施例六提供的一种通信加密终端的结构示意图；

图7为本发明实施例七提供的一种通信加密终端的结构示意图；

图8为本发明实施例八提供的一种密钥管理平台的结构示意图；

图9为本发明实施例九提供的一种密钥管理平台的结构示意图；

图10为本发明实施例十提供的一种通信加密终端的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部实施例。

需要说明的是，在本发明的描述中，术语“第一”、“第二”仅用于方便描述不同的部件，而不能理解为指示或暗示顺序关系、相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。

图1A-1B为本发明实施例一提供的一种通信加密方法的流程示意图，如图1A-1B所示，所述方法包括如下步骤：

101、终端向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥。

实际应用中，本实施例中描述的终端包括但不限于移动电话或平板计算机之类的其他便携式通信设备，或者台式计算机等非便携式通信设备。

当需要进行通信时，终端会发起通话请求以开始建立与另一终端的加密通信，其中，终端和另一终端都是已经开启了加密通信功能的。

终端在发起通话请求时，向密钥管理平台发送请求通信密钥的第一请求；其中，第一请求中包含终端的信息，以及终端希望与其进行加密通信的另一终端的信息，以使密钥管理平台采用终端的第一公钥和另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥。其中，第一密钥为第一公钥加密后的通信密钥，第二密钥为第二公钥加密后的通信密钥。

具体的，终端的信息可以是手机号码、终端的安全芯片身份识别号、终端用户的身份证号码等用来核验终端用户身份的信息，另一终端的信息也可以是手机号码、另一终端的安全芯片身份识别号、另一终端用户的身份证号码等用来核验另一终端用户身份的信息；终端的信息和另一终端的信息可以是同一类别的信息，比如，终端的信息为终端用户的身份证号码，另一终端的信息为另一终端用户的身份证号码；终端的信息和另一终端的信息也可以是不同类别的信息，比如，终端的信息为终端的安全芯片身份识别号，另一终端的信息为另一终端用户的身份证号码。

具体的，通信密钥为终端与另一终端之间进行安全通信时，对通话的语音数据进行加密和解密的密钥，举例来说，终端采用通信密钥对发送给另一终端的语音数据进行加密，另一终端接收到加密后的语音数据之后，采用通信密钥对加密后的语音数据进行解密，获得解密后的语音数据，从而实现终端与另一终端之间的加密通信。

102、所述终端接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应。

具体的，终端的第一私钥与第一公钥为唯一对应的一对密钥，第一公钥可以由终端发送给任何请求他的终端或平台，也可以存储在密钥管理平台中，第一私钥由终端自身安全保管，比如，由终端本地存储，不能外泄；对通信密钥或其他信息等进行加密时，若使用第一公钥进行加密，则解密只能由第一私钥进行解密。

终端接收到密钥管理平台返回的第一密钥和第二密钥之后，采用与第一公钥唯一对应的第一私钥对第一密钥进行解密，获得通信密钥。

103、所述终端向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应。

具体的，另一终端的第二私钥与第二公钥为唯一对应的一对密钥，第二公钥可以存储在密钥管理平台中，第二私钥由另一终端自身安全保管，不能外泄；对通信密钥或其他信息等进行加密时，若使用第二公钥进行加密，则解密只能由第二私钥进行解密。

终端接收到所述密钥管理平台返回的第二密钥之后，将第二密钥发送给另一终端，以使另一终端采用与第二公钥唯一对应的第二私钥对第二密钥进行解密，获得通信密钥。

具体的，终端接收到密钥管理平台返回的第一密钥和第二密钥之后，终端对第一密钥进行解密的过程、与终端将第二密钥发给另一终端的过程可以以任意顺序先后进行，也可以同时进行，本实施例不对此进行限制。

104、所述终端使用所述通信密钥与所述另一终端进行加密通信。

当终端获得通信密钥之后，利用所述通信密钥与另一终端进行协商和通信，从而实现加密通信。举例来说，终端获得通信密钥后，采用所述通信密钥对发送给另一终端的主叫语音数据进行加密；另一终端获得通信密钥后，采用通信密钥对加密后的主叫语音数据进行解密，获得所述主叫语音数据；另一终端向终端发送被叫语音数据时，采用所述通信密钥对所述被叫语音数据进行加密；终端接收到加密后的被叫语音数据时，采用通信密钥对其进行解密而获得所述被叫语音数据，从而实现一话一密，加强了加密通信的安全性。

以实际场景举例来说，当终端发起通话请求时，终端生成第一请求，其中，第一请求中包含终端的信息，以及终端希望与其进行加密通信的另一终端的信息；终端将第一请求发送给密钥管理平台。密钥管理平台接收到终端发送的第一请求之后，提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，分别采用第一公钥和第二公钥对其生成的通信密钥进行加密，获得第一密钥和第二密钥，然后采用密钥管理平台对应的私钥分别对第一密钥和第二密钥进行数字签名，并将经过数字签名的第一密钥和第二密钥发送给终端。终端接收到经过数字签名的第一密钥和第二密钥之后，首先采用密钥管理平台对应的通用公钥对经过数字签名的第一密钥进行数字签名验证，若数字签名验证通过，则采用与第一公钥唯一对应的第一私钥对数字签名验证通过的第一密钥进行解密，获得通信密钥，并将经过数字签名的第二密钥发送给另一终端。另一终端接收到经过数字签名的第二密钥之后，首先采用密钥管理平台对应的通用公钥对经过数字签名的第二密钥进行数字签名验证，若数字签名验证通过，则采用与第二公钥唯一对应的第二私钥对数字签名验证通过的第二密钥进行解密，获得通信密钥。终端和另一终端获得通信密钥之后，利用所述通信密钥进行协商和通信，从而实现加密通信。

本实施例中，由于第一私钥仅终端知道，第二私钥仅另一终端知道，即使其他终端或平台截取到经过第一公钥或第二公钥加密后的通信密钥，也无法对其进行解密以获得通信密钥，因此，本实施方式提高了通信密钥的可靠性，终端与另一终端通过通信密钥进行加密通信的安全性得以加强。

图2为本发明实施例二提供的一种通信加密方法的流程示意图，如图2所示，在实施一的实施方式的基础上，步骤101包括：

201、所述终端采用所述密钥管理平台对应的通用公钥，对所述第一请求进行加密；

202、所述终端向所述密钥管理平台发送加密后的第一请求。

具体的，密钥管理平台对应的通用公钥可以由密钥管理平台发送给任何请求他的终端或平台，也可以存储在各终端中。密钥管理平台还有对应的私钥，密钥管理平台对应的私钥与所述通用公钥是唯一对应的一对密钥，密钥管理平台对应的私钥由密钥管理平台自身安全保管，不能外泄；对通信密钥或请求信息等进行加密时，若使用所述通用公钥进行加密，则解密只能由密钥管理平台对应的私钥进行解密。

本实施方式中，由于密钥管理平台对应的私钥仅密钥管理平台知道，即使其他终端或平台截取到加密后的第一请求，也无法对其进行解密以获得终端的信息和另一终端的信息，从而无法得知究竟是哪两个终端需要进行加密通信，因此，本实施方式进一步加强了终端与另一终端进行加密通信的安全性。

进一步的，在前述任一实施方式的基础上，步骤101还可以包括：

所述终端采用所述第一私钥对所述第一请求进行签名；

所述终端向所述密钥管理平台发送签名后的第一请求。

具体的，终端对所述第一请求进行签名，也即终端对所述第一请求进行数字签名。

数字签名是指信息发送方用哈希函数从原文信息中生成摘要信息，然后用自己的私钥对这个摘要信息进行加密，将加密后的摘要信息作为原文信息附加的数字签名，并将经过数字签名的原文信息发送给信息接收方；数字签名的验证是指信息接收方首先用与信息发送方一样的哈希函数从接收到的原文信息中计算出摘要信息，然后再用信息发送方的公钥来对原文信息附加的数字签名进行解密，获得解密后的摘要信息，如果解密后的摘要信息与信息接收方计算出的摘要信息相同，那么信息接收方就能确认该数字签名是信息发送方的，数字签名验证通过。

本实施方式中，终端通过第一私钥对第一请求进行数字签名，该数字签名只能采用与第一私钥唯一对应的第一公钥进行签名验证，因此，本实施方式保证了发送第一请求的终端的身份合法性，从而进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

进一步的，在前述任一实施方式的基础上，所述第一请求还可以包括所述终端发起通话请求的时间。

本实施方式中，通过在第一请求中加入终端发起通话请求的时间，可以使第一请求的接收方，即密钥管理平台根据接收第一请求的当前时间与终端发起通话请求的时间之间的时间间隔判断是否有必要生成通信密钥，举例来说，假如密钥管理平台接收到第一请求的时间与终端发起通话请求的时间超过1小时，则密钥管理平台接收到第一请求时，终端通常已经结束发起通话请求，密钥管理平台也就没有必要再生成通信密钥。

以实际场景举例来说，当终端发起通话请求时，终端生成第一请求，其中，第一请求中包含终端的信息、终端希望与其进行加密通信的另一终端的信息，以及终端发起通话请求的时间；终端采用密钥管理平台对应的通用公钥对第一请求进行加密，获得加密后的第一请求；终端采用第一私钥对加密后的第一请求进行数字签名，并将经过数字签名的加密后的第一请求发送给密钥管理平台，以使密钥管理平台对其进行解密和签名验证，并在签名验证通过之后采用终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥。终端接收到密钥管理平台返回的第一密钥和第二密钥之后，采用与第一公钥唯一对应的第一私钥对第一密钥进行解密，获得通信密钥，并将第二密钥发送给另一终端，以使另一终端采用与第二公钥唯一对应的第二私钥对第二密钥进行解密，获得通信密钥。终端和另一终端获得通信密钥之后，利用所述通信密钥进行协商和通信，从而实现加密通信。

图3为本发明实施例三提供的一种通信加密方法的流程示意图，如图3所示，所述方法包括如下步骤：

301、密钥管理平台接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

302、所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

303、所述密钥管理平台生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

304、所述密钥管理平台向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

密钥管理平台接收到终端发送的第一请求之后，生成通信密钥。密钥管理平台生成的通信密钥可以是随机生成的，这样可以提高通信密钥的可靠性，从而提升终端与另一终端进行加密通信的安全性。密钥管理平台提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，分别采用第一公钥和第二公钥对生成的通信密钥进行加密，获得第一密钥和第二密钥，第一密钥为第一公钥加密后的通信密钥，第二密钥为第二公钥加密后的通信密钥。密钥管理平台将第一密钥和第二密钥发送给终端，以使终端利用第一私钥对第一密钥进行解密获得所述通信密钥，另一终端利用第二私钥对第二密钥进行解密获得通信密钥，从而使得终端与另一终端可以采用通信密钥进行加密通信。

其中，第一私钥与第一公钥唯一对应，第二私钥与第二公钥唯一对应，其唯一对应关系在实施例一中已经进行了详细的描述，此处不再赘述。

具体的，密钥管理平台生成通信密钥的过程、与密钥管理平台根据第一请求查找获得第一公钥和第二公钥的过程可以以任意顺序先后进行，也可以同时进行，本实施例不对此进行限制。

图4为本发明实施例四提供的一种通信加密方法的流程示意图，如图4所示，在图3所示实施方式的基础上，步骤301包括：

401、所述密钥管理平台接收终端发送的经过加密后的第一请求，所述经过加密后的第一请求是所述终端采用密钥管理平台对应的通用公钥对所述第一请求进行加密后获得的；

402、所述密钥管理平台利用所述密钥管理平台对应的私钥对所述经过加密后的第一请求进行解密，获得解密后的第一请求。

其中，密钥管理平台对应的通用公钥与密钥管理平台对应的私钥之间为唯一对应关系，其唯一对应关系在实施例二中已经进行了详细的描述，此处不再赘述。

本实施方式中，密钥管理平台接收到终端发送的经过密钥管理平台对应的通用公钥加密后的第一请求之后，首先采用密钥管理平台对应的私钥对其进行解密，获得解密后的第一请求，由于密钥管理平台对应的私钥仅密钥管理平台知道，因此只有密钥管理平台能够获得第一请求并提取第一请求中终端的信息和另一终端的信息，因此，本实施方式进一步加强了终端与另一终端进行加密通信的安全性。

进一步的，在实施例三或实施例四中任一实施方式的基础上，步骤301 还可以包括：

所述密钥管理平台接收终端发送的经过签名后的第一请求，所述经过签名后的第一请求是所述终端采用所述第一私钥对所述第一请求进行签名后获得的。

相应的，在步骤302之后，所述方法还包括：

所述密钥管理平台对所述经过签名后的第一请求进行签名验证；

若签名验证通过，则所述密钥管理平台生成所述通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥。

具体的，终端对所述第一请求进行签名，也即终端对所述第一请求进行数字签名。数字签名以及数字签名的验证在实施例二中已经进行了详细的描述，此处不再赘述。

本实施方式中，密钥管理平台接收到经过数字签名的第一请求之后，首先提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，并采用终端对应的第一公钥对数字签名进行验证；若数字签名验证通过，才密钥管理平台生成通信密钥，并分别采用第一公钥和第二公钥对其生成的通信密钥进行加密，获得第一密钥和第二密钥，并将第一密钥和第二密钥发送给终端。本实施方式的技术方案一方面保证了密钥管理平台接收到的第一请求的信息完整性，另一方面对发送第一请求的发送方进行了身份合法性的验证，即保证了接收到的第一请求是由终端发送的，因此本实施方式进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

进一步的，在实施例三或实施例四中任一实施方式的基础上，所述第一请求还包括所述终端发起通话请求的时间；相应的，在步骤301之后，所述方法还包括：

所述密钥管理平台判断当前时间与所述终端发起通话请求的时间之间的时间间隔是否超过预设的阈值；

若未超过，则所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥。

本实施方式中，通过在密钥管理平台接收到终端发送的第一请求之后，首先判断当前接收到第一请求的时间与终端发起通话请求的时间之间的时间间隔是否超过预设的阈值，若超过，则说明第一请求已经超时，终端已经结束通话请求，密钥管理平台不再生成通信密钥，因此，本实施方式可以验证终端发送的第一请求的有效性，筛选并排除已经超时的第一请求，从而提高密钥管理平台的工作效率，以及减轻密钥管理平台的负荷。

以实际场景举例来说，第一请求包括终端的信息和另一终端的信息，以及终端发起通话请求的时间，当密钥管理平台接收到终端发送的经过数字签名的加密后的第一请求之后，密钥管理平台采用密钥管理平台对应的私钥对其进行解密，然后判断当前时间与终端发起通话请求的时间之间的时间间隔是否超过预设的阈值；若所述时间间隔未超过预设的阈值，则提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，并采用终端对应的第一公钥对数字签名进行验证；若数字签名验证通过，则密钥管理平台生成通信密钥，分别采用第一公钥和第二公钥对其生成的通信密钥进行加密，获得第一密钥和第二密钥，并将第一密钥和第二密钥发送给终端，以使终端采用与第一公钥唯一对应的第一私钥对第一密钥进行解密获得通信密钥，另一终端采用与第二公钥唯一对应的第二私钥对第二密钥进行解密获得通信密钥，使得终端与另一终端可以采用通信密钥进行加密通信。

进一步的，在实施例三或实施例四中任一实施方式的基础上，所述方法还可以包括：密钥管理平台向终端发送获得第一密钥和第二密钥的时间，以使终端将所述获得第一密钥和第二密钥的时间作为其与另一终端进行加密通信的计费开始时间。具体的，密钥管理平台可以在向终端发送第一密钥和第二密钥同时，向终端发送获得第一密钥和第二密钥的时间，也可以在向终端发送第一密钥和第二密钥之前或者之后，向终端发送获得第一密钥和第二密钥的时间，本实施方式不对此进行限制。

进一步的，在上述实施方式的基础上，所述方法还可以包括，密钥管理平台采用终端对应的第一公钥对获得第一密钥和第二密钥的时间进行加密，以使终端接收到经过加密的所述获得第一密钥和第二密钥的时间之后，可以采用终端对应的第一私钥对其进行解密，获取所述获得第一密钥和第二密钥的时间。本实施方式进一步加强了终端与另一终端进行加密通信的私密性。

进一步的，在实施例三或实施例四中任一实施方式的基础上，密钥管理平台向终端发送第一密钥和第二密钥，包括：密钥管理平台采用密钥管理平台对应的私钥对第一密钥和第二密钥进行数字签名，并将经过数字签名的第一密钥和第二密钥发送给终端，以使终端和另一终端分别采用密钥管理平台对应的通用公钥对经过数字签名的第一密钥和第二密钥进行签名验证，从而保证终端和另一终端获得的第一密钥和第二密钥的完整性和可靠性，进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

图5为本发明实施例五提供的一种通信加密方法的流程示意图，如图5所示，所述方法包括如下步骤：

501、终端接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述另一终端的第一公钥和所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

502、所述终端利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

503、所述终端使用所述通信密钥与所述另一终端进行加密通信。

以实际场景举例来说，当另一终端发起通话请求时，另一终端向密钥管理平台发送包含终端的信息和另一终端的信息的第一请求；密钥管理平台生成通信密钥，并根据第一请求，分别采用终端的第二公钥和另一终端的第一公钥对通信密钥进行加密获得第一密钥和第二密钥，密钥管理平台将第一密钥和第二密钥发送给另一终端；另一终端采用本地存储的与第一公钥唯一对应的第一私钥对第一密钥进行解密获得通信密钥，并将第二密钥发送给终端；终端接收第二密钥之后，采用本地存储的与第二公钥唯一对应的第二私钥对第二密钥进行解密获得通信密钥；终端与另一终端采用通信密钥进行加密通信。其中，第一私钥与第一公钥唯一对应，第二私钥与第二公钥唯一对应，其唯一对应关系在实施例一中已经进行了详细的描述，此处不再赘述。

本实施例提供的通信加密方法，通过终端接收另一终端发送的经过终端对应的第二公钥加密的通信密钥，并采用与第二公钥唯一对应的第二私钥进行解密获得通信密钥，从而使得终端与另一终端可以采用通信密钥进行加密通信。由于经过第二公钥加密的通信密钥只能由与第二公钥唯一对应的第二私钥进行解密，而第二私钥仅终端知道，即使其他终端或平台截取到经过第二公钥加密后的通信密钥，也无法对其进行解密以获得通信密钥，因此，本方案提高了通信密钥的安全性和可靠性，使得终端与另一终端采用通信密钥进行加密通信的安全性得以加强。

图6为本发明实施例六提供的一种通信加密终端的结构示意图，如图6所示，所述终端包括：

请求模块61，用于向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥；

第一解密模块62，用于接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应；

交互模块63，用于向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第一通信模块64，用于使用所述通信密钥与所述另一终端进行加密通信。

以实际场景举例来说，当终端发起通话请求时，请求模块61生成并向密钥管理平台发送第一请求，其中，第一请求中包含终端的信息和终端希望与其进行加密通信的另一终端的信息，以使密钥管理平台采用终端的第一公钥和另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥，其中，第一密钥为第一公钥加密后的通信密钥，第二密钥为第二公钥加密后的通信密钥。第一解密模块62接收到密钥管理平台返回的第一密钥和第二密钥之后，采用与第一公钥唯一对应的第一私钥对第一密钥进行解密，获得通信密钥。交互模块63将终端第一解密模块接收到的第二密钥发送给另一终端，以使另一终端采用与第二公钥唯一对应的第二私钥对第二密钥进行解密，获得通信密钥。第一通信模块64采用所述通信密钥对发送给另一终端的主叫语音数据进行加密以及对接收到的另一终端发送的被叫语音数据进行解密，从而实现与另一终端的加密通信。

本实施例的终端，可以用于执行图1A-1B所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图7为本发明实施例七提供的一种通信加密终端的结构示意图，如图7所示，在图6所示实施方式的基础上，请求模块61包括：

加密单元71，用于采用所述密钥管理平台对应的通用公钥，对所述第一请求进行加密；

第一请求单元72，用于向所述密钥管理平台发送加密后的第一请求。

本实施方式中，由于密钥管理平台对应的私钥仅密钥管理平台知道，即使其他终端或平台截取到加密后的第一请求，也无法对其进行解密以获得终端的信息和另一终端的信息，从而无法得知究竟是哪两个终端需要进行加密通信，因此，本实施方式进一步加强了终端与另一终端进行加密通信的安全性。

进一步的，请求模块61还可以包括：

签名单元，用于采用所述第一私钥对所述第一请求进行签名；

第二请求单元，用于向所述密钥管理平台发送签名后的第一请求。

本实施方式中，签名单元通过第一私钥对第一请求进行数字签名，该数字签名只能采用与第一私钥唯一对应的第一公钥进行签名验证，因此，本实施方式保证了发送第一请求的终端的身份合法性，从而进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

进一步的，在实施例四中任一实施方式的基础上，所述第一请求还可以包括所述终端发起通话请求的时间。

本实施方式中，通过在第一请求中加入终端发起通话请求的时间，可以使第一请求的接收方，即密钥管理平台根据接收第一请求的当前时间与终端发起通话请求的时间之间的时间间隔判断是否有必要生成通信密钥，举例来说，假如密钥管理平台接收到第一请求的时间与终端发起通话请求的时间超过1小时，则密钥管理平台接收到第一请求时，终端通常已经结束发起通话请求，密钥管理平台也就没有必要再生成通信密钥。

本实施例的终端，可以用于执行图2所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图8为本发明实施例八提供的一种密钥管理平台的结构示意图，如图8所示，所述密钥管理平台包括：

接收模块81，用于接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

查找模块82，用于根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

加密模块83，用于生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

发送模块84，用于向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

以实际场景举例来说，接收模块81接收到终端发送的第一请求之后，查找模块82提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，加密模块83生成通信密钥，并采用查找模块82获得的第一公钥和第二公钥分别对生成的通信密钥进行加密，获得第一密钥和第二密钥，其中，第一密钥为第一公钥加密后的通信密钥，第二密钥为第二公钥加密后的通信密钥；发送模块84将第一密钥和第二密钥发送给终端，以使终端利用第一私钥对第一密钥进行解密获得所述通信密钥，另一终端利用第二私钥对第二密钥进行解密获得通信密钥，从而使得终端与另一终端可以采用通信密钥进行加密通信。

本实施例的密钥管理平台，可以用于执行图3所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图9为本发明实施例九提供的一种密钥管理平台的结构示意图，如图9所示，在图8所示实施方式的基础上，接收模块81包括：

第一接收单元91，用于接收终端发送的经过加密后的第一请求，所述经过加密后的第一请求是所述终端采用密钥管理平台对应的通用公钥对所述第一请求进行加密后获得的；

解密单元92，用于利用所述密钥管理平台对应的私钥对所述经过加密后的第一请求进行解密，获得解密后的第一请求。

本实施方式中，第一接收单元91接收到终端发送的经过密钥管理平台对应的通用公钥加密后的第一请求之后，解密单元92采用密钥管理平台对应的私钥对其进行解密，获得解密后的第一请求，由于密钥管理平台对应的私钥仅密钥管理平台知道，因此只有密钥管理平台能够获得第一请求并提取第一请求中终端的信息和另一终端的信息，因此，本实施方式进一步加强了终端与另一终端进行加密通信的安全性。

进一步的，在实施例八或实施例九中任一实施方式的基础上，接收模块 81还可以包括：

第二接收单元，用于接收终端发送的经过签名后的第一请求，所述经过签名后的第一请求是所述终端采用所述第一私钥对所述第一请求进行签名后获得的。

相应的，密钥管理平台还包括：

验证模块，用于对所述经过签名后的第一请求进行签名验证；

若签名验证通过，则所述加密模块生成所述通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥。

本实施方式中，第二接收单元接收到经过数字签名的第一请求之后，查找模块82提取第一请求中终端的信息和另一终端的信息，从各终端的公钥中查找出与终端的信息对应的第一公钥，以及与另一终端的信息对应的第二公钥，验证模块采用终端对应的第一公钥对数字签名进行验证；若数字签名验证通过，则加密模块83生成通信密钥，并分别采用第一公钥和第二公钥对其生成的通信密钥进行加密，获得第一密钥和第二密钥，发送模块84将第一密钥和第二密钥发送给终端。本实施方式的技术方案一方面保证了密钥管理平台接收到的第一请求的信息完整性，另一方面对发送第一请求的发送方进行了身份合法性的验证，即保证了接收到的第一请求是由终端发送的，因此本实施方式进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

进一步的，在实施例八或实施例九中任一实施方式的基础上，第一请求还包括终端发起通话请求的时间；相应的，密钥管理平台还包括：

判断模块，用于判断当前时间与所述终端发起通话请求的时间之间的时间间隔是否超过预设的阈值；

若未超过，则所述查找模块82根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥。

本实施方式中，通过在接收模块81接收到终端发送的第一请求之后，判断模块首先判断当前接收到第一请求的时间与终端发起通话请求的时间之间的时间间隔是否超过预设的阈值，若超过，则说明第一请求已经超时，终端已经结束通话请求，密钥管理平台不必再生成通信密钥，因此，本实施方式可以验证终端发送的第一请求的有效性，筛选并排除已经超时的第一请求，从而提高密钥管理平台的工作效率，以及减轻密钥管理平台的负荷。

进一步的，在实施例八或实施例九中任一实施方式的基础上，所述密钥管理平台还可以包括：时间模块，用于向终端发送获得第一密钥和第二密钥的时间，以使终端将所述获得第一密钥和第二密钥的时间作为其与另一终端进行加密通信的计费开始时间。具体的，时间模块可以在发送模块84向终端发送第一密钥和第二密钥同时，向终端发送获得第一密钥和第二密钥的时间，也可以在发送模块84向终端发送第一密钥和第二密钥之前或者之后，向终端发送获得第一密钥和第二密钥的时间，本实施方式不对此进行限制。

进一步的，在上述实施方式的基础上，所述密钥管理平台还可以包括，时间加密模块，用于采用终端对应的第一公钥对获得第一密钥和第二密钥的时间进行加密，以使终端接收到经过加密的所述获得第一密钥和第二密钥的时间之后，可以采用终端对应的第一私钥对其进行解密，获取所述获得第一密钥和第二密钥的时间。本实施方式进一步加强了终端与另一终端进行加密通信的私密性。

进一步的，在实施例八或实施例九中任一实施方式的基础上，发送模块 84包括：平台签名单元，用于采用密钥管理平台对应的私钥对第一密钥和第二密钥进行数字签名，并将经过数字签名的第一密钥和第二密钥发送给终端，以使终端和另一终端分别采用密钥管理平台对应的通用公钥对经过数字签名的第一密钥和第二密钥进行签名验证，从而保证终端和另一终端获得的第一密钥和第二密钥的完整性和可靠性，进一步加强了终端与另一终端进行加密通信的安全性和可靠性。

本实施例的密钥管理平台，可以用于执行图4所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图10为本发明实施例十提供的一种通信加密终端的结构示意图，如图10所示，所述终端包括：

密钥接收模块101，用于接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

第二解密模块102，用于利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第二通信模块103，用于使用所述通信密钥与所述另一终端进行加密通信。

本实施例的密钥管理平台，可以用于执行图5所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (18)

1.一种通信加密方法，其特征在于，包括：

终端向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥；

所述终端接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应；

所述终端向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

所述终端使用所述通信密钥与所述另一终端进行加密通信。

2.根据权利要求1所述的方法，其特征在于，所述终端向密钥管理平台发送第一请求，包括：

所述终端采用所述密钥管理平台对应的通用公钥，对所述第一请求进行加密；

所述终端向所述密钥管理平台发送加密后的第一请求。

3.根据权利要求1所述的方法，其特征在于，所述终端向密钥管理平台发送第一请求，包括：

所述终端采用所述第一私钥对所述第一请求进行签名；

所述终端向所述密钥管理平台发送签名后的第一请求。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述第一请求还包括所述终端发起通话请求的时间。

5.一种通信加密方法，其特征在于，包括：

密钥管理平台接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

所述密钥管理平台生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

所述密钥管理平台向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

6.根据权利要求5所述的方法，其特征在于，所述密钥管理平台接收终端发送的第一请求，包括：

所述密钥管理平台接收终端发送的经过加密后的第一请求，所述经过加密后的第一请求是所述终端采用密钥管理平台对应的通用公钥对所述第一请求进行加密后获得的；

所述密钥管理平台利用所述密钥管理平台对应的私钥对所述经过加密后的第一请求进行解密，获得解密后的第一请求。

7.根据权利要求5所述的方法，其特征在于，所述密钥管理平台接收终端发送的第一请求，包括：

所述密钥管理平台接收终端发送的经过签名后的第一请求，所述经过签名后的第一请求是所述终端采用所述第一私钥对所述第一请求进行签名后获得的；

所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥之后，还包括：

所述密钥管理平台对所述经过签名后的第一请求进行签名验证；

若签名验证通过，则所述密钥管理平台生成所述通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥。

8.根据权利要求5-7中任一项所述的方法，其特征在于，所述第一请求还包括所述终端发起通话请求的时间；

所述密钥管理平台接收终端发送的第一请求之后，还包括：

所述密钥管理平台判断当前时间与所述终端发起通话请求的时间之间的时间间隔是否超过预设的阈值；

若未超过，则所述密钥管理平台根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥。

9.一种通信加密方法，其特征在于，包括：

终端接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

所述终端利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

所述终端使用所述通信密钥与所述另一终端进行加密通信。

10.一种通信加密终端，其特征在于，包括：

请求模块，用于向密钥管理平台发送第一请求，所述第一请求包括所述终端的信息和另一终端的信息，以使所述密钥管理平台采用所述终端的第一公钥和所述另一终端的第二公钥对生成的通信密钥加密，获得第一密钥和第二密钥；

第一解密模块，用于接收所述密钥管理平台返回的所述第一密钥和所述第二密钥，利用本地存储的第一私钥对所述第一密钥进行解密获得所述通信密钥，其中所述第一私钥与所述第一公钥唯一对应；

交互模块，用于向所述另一终端发送所述第二密钥，以使所述另一终端利用其存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第一通信模块，用于使用所述通信密钥与所述另一终端进行加密通信。

11.根据权利要求10所述的终端，其特征在于，所述请求模块包括：

加密单元，用于采用所述密钥管理平台对应的通用公钥，对所述第一请求进行加密；

第一请求单元，用于向所述密钥管理平台发送加密后的第一请求。

12.根据权利要求10所述的终端，其特征在于，所述请求模块包括：

签名单元，用于采用所述第一私钥对所述第一请求进行签名；

第二请求单元，用于向所述密钥管理平台发送签名后的第一请求。

13.根据权利要求10-12中任一项所述的终端，其特征在于，所述第一请求还包括所述终端发起通话请求的时间。

14.一种密钥管理平台，其特征在于，包括：

接收模块，用于接收终端发送的第一请求，所述第一请求包括所述终端的信息和另一终端的信息；

查找模块，用于根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥；

加密模块，用于生成通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥；

发送模块，用于向所述终端发送所述第一密钥和第二密钥，以使所述终端利用第一私钥对所述第一密钥进行解密获得所述通信密钥，所述另一终端利用第二私钥对所述第二密钥进行解密获得所述通信密钥，其中，所述第一私钥与所述第一公钥唯一对应，所述第二私钥与所述第二公钥唯一对应。

15.根据权利要求14所述的密钥管理平台，其特征在于，所述接收模块包括：

第一接收单元，用于接收终端发送的经过加密后的第一请求，所述经过加密后的第一请求是所述终端采用密钥管理平台对应的通用公钥对所述第一请求进行加密后获得的；

解密单元，用于利用所述密钥管理平台对应的私钥对所述经过加密后的第一请求进行解密，获得解密后的第一请求。

16.根据权利要求14所述的密钥管理平台，其特征在于，所述接收模块包括：

第二接收单元，用于接收终端发送的经过签名后的第一请求，所述经过签名后的第一请求是所述终端采用所述第一私钥对所述第一请求进行签名后获得的；

所述密钥管理平台还包括：

验证模块，用于对所述经过签名后的第一请求进行签名验证；

若签名验证通过，则所述加密模块生成所述通信密钥，并采用所述第一公钥和所述第二公钥对所述通信密钥加密，获得第一密钥和第二密钥。

17.根据权利要求14-16中任一项所述的密钥管理平台，其特征在于，所述第一请求还包括所述终端发起通话请求的时间；

所述密钥管理平台还包括：

判断模块，用于判断当前时间与所述终端发起通话请求的时间之间的时间间隔是否超过预设的阈值；

若未超过，则所述查找模块根据所述第一请求，从各终端的公钥中查找出所述终端的第一公钥和所述另一终端的第二公钥。

18.一种通信加密终端，其特征在于，包括：

密钥接收模块，用于接收另一终端发送的第二密钥，所述第二秘钥为密钥管理平台根据所述另一终端发送的第一请求，采用所述终端的第二公钥对生成的通信密钥加密获得的，所述第一请求包括所述终端的信息和另一终端的信息；

第二解密模块，用于利用本地存储的第二私钥对所述第二密钥进行解密获得所述通信密钥，所述第二私钥与所述第二公钥唯一对应；

第二通信模块，用于使用所述通信密钥与所述另一终端进行加密通信。