CN110519304A - 基于tee的https双向认证方法 - Google Patents

基于tee的https双向认证方法 Download PDF

Info

Publication number
CN110519304A
CN110519304A CN201910941907.0A CN201910941907A CN110519304A CN 110519304 A CN110519304 A CN 110519304A CN 201910941907 A CN201910941907 A CN 201910941907A CN 110519304 A CN110519304 A CN 110519304A
Authority
CN
China
Prior art keywords
client
server
certificate
server end
tee
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910941907.0A
Other languages
English (en)
Inventor
杨国东
刘建敏
杨超
周强强
翟栋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sichuan Hongwei Technology Co Ltd
Original Assignee
Sichuan Hongwei Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sichuan Hongwei Technology Co Ltd filed Critical Sichuan Hongwei Technology Co Ltd
Priority to CN201910941907.0A priority Critical patent/CN110519304A/zh
Publication of CN110519304A publication Critical patent/CN110519304A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于TEE的HTTPS双向认证方法，包括：利用终端可信执行环境TEE的安全特性，将客户端的私钥信息存放在TEE环境中，在进行HTTPS认证的时候，服务器端需预置客户端证书；客户端首先认证服务器端，认证通过后，服务器端还需要认证客户端，而且对称加密的方式是要使用客户端证书进行加密，客户端TEE里使用私钥进行解密，这样可以保证双方认证完全可信，恶意软件无法从中间仿冒服务器或者是仿冒客户端。本发明可以有效的解决HTTPS通信过程中的安全性认证。

Description

基于TEE的HTTPS双向认证方法
技术领域
本发明涉及计算机软件和硬件信息安全技术领域，特别是一种基于TEE的HTTPS双向认证方法。
背景技术
目前常规的认证都是单向认证，可以保证数据传输的过程是加密的数据，但是这种方式也很容易被仿冒，有第三方恶意软件从中截取数据，向服务器仿冒客户端，向客户端仿冒服务器，可以完全拿到中间的明文数据。所以针对安全性要求比较高的业务，比如说跟金融相关的业务，就必须完全防止这样的情况。
发明内容
为解决现有技术中存在的问题，本发明的目的是提供一种基于TEE的HTTPS双向认证方法，本发明可以有效的解决HTTPS通信过程中的安全性认证。
为实现上述目的，本发明采用的技术方案是：一种基于TEE的HTTPS双向认证方法，包括以下步骤：
步骤1、将客户端私钥存储在客户端可信执行环境TEE中，将客户端证书预置到服务器端；
步骤2、客户端发送SSL版本信息请求到服务器端，服务器端接收请求，返回SSL版本和服务器证书到客户端；
步骤3、客户端接收到服务器证书，在信任库里面验证服务器证书的有效性和合法性，验证通过则将客户端证书和可支持的所有对称加密方案发给服务器端；
步骤4、服务器端验证客户端证书的有效性和合法性，并在预置库中匹配客户端证书，如果匹配通过，则服务器端选择加密程度高的对称加密方案并使用客户端证书将其加密传给客户端；
步骤5、客户端接收到数据，使用可信执行环境TEE下面存储的客户端私钥对加密数据进行解密，得到服务器端选择的对称加密方案；
步骤6、客户端产生随机数码作为对称加密方案的密钥，并使用服务器证书对对称密钥进行加密，发送给服务器端；
步骤7、服务器端接收到数据后，使用服务器端私钥对数据进行解密，得到对称加密的密钥，通过此密钥进行数据交互。
本发明的有益效果是：
本发明对服务器端和客户端的认证进行保护，能够有效的防止认证过程中私密数据被第三方应用截取；整个认证流程都放在TEE侧可信执行环境，可以保证隐私数据的安全性和保持认证过程的稳定性；本发明的HTTPS认证方式不仅限于客户端与服务器端的认证服务，也可以应用于所有的端到端的认证服务，防止任何端到端的HTTPS认证过程被其他第三方应用攻击或者是篡改，终端包括所有的移动设备。
附图说明
图1为本发明实施例的双向认证流程框图。
具体实施方式
下面结合附图对本发明的实施例进行详细说明。
实施例
如图1所示，一种基于TEE的HTTPS双向认证方法，包括以下步骤：
步骤1、将客户端私钥存储在客户端可信执行环境TEE中，将客户端证书预置到服务器端，预置方式不限；
步骤2、客户端发送SSL版本信息请求到服务器端，服务器端接收请求，返回SSL版本和服务器证书到客户端；
步骤3、客户端接收到服务器证书，在信任库里面验证服务器证书的有效性和合法性，验证通过则将客户端证书和可支持的所有对称加密方案发给服务器端；
步骤4、服务器端验证客户端证书的有效性和合法性，并在预置库中匹配客户端证书，如果匹配通过，则服务器端选择加密程度高的对称加密方案并使用客户端证书将其加密传给客户端；
步骤5、客户端接收到数据，使用可信执行环境TEE下面存储的客户端私钥对加密数据进行解密，得到服务器端选择的对称加密方案；
步骤6、客户端产生随机数码作为对称加密方案的密钥，并使用服务器证书对对称密钥进行加密，发送给服务器端；
步骤7、服务器端接收到数据后，使用服务器端私钥对数据进行解密，得到对称加密的密钥，通过此密钥进行数据交互。
到此客户端和服务器端的HTTPS双向认证都已经完成，包括客户端认证服务器端，服务器端认证客户端，认证完成后协商出密钥对称加密的密钥，服务器端在认证客户端时必须验证客户端证书的有效性，而且还必须在信任库里面匹配客户端证书，否则验证失败；客户端的私钥存放在TEE可信执行环境里面，防止密钥丢失，防止客户端被其他客户端仿冒可以完全的保证私钥的安全性。，
采用双向认证，服务器端认证客户端需匹配信任库里的证书，匹配通过后才算认证通过，保证只有通过服务器认证过的客户端才可以访问服务器；TEE可信执行环境主要用来保护客户端的私钥信息，在HTTPS双向认证的过程中，服务器需要认证客户端是否合法是否可信，认证通过才可以进行后续的对称密钥的协商。
以上所述实施例仅表达了本发明的具体实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。

Claims (1)

1.一种基于TEE的HTTPS双向认证方法，其特征在于，包括以下步骤：
步骤1、将客户端私钥存储在客户端可信执行环境TEE中，将客户端证书预置到服务器端；
步骤2、客户端发送SSL版本信息请求到服务器端，服务器端接收请求，返回SSL版本和服务器证书到客户端；
步骤3、客户端接收到服务器证书，在信任库里面验证服务器证书的有效性和合法性，验证通过则将客户端证书和可支持的所有对称加密方案发给服务器端；
步骤4、服务器端验证客户端证书的有效性和合法性，并在预置库中匹配客户端证书，如果匹配通过，则服务器端选择加密程度高的对称加密方案并使用客户端证书将其加密传给客户端；
步骤5、客户端接收到数据，使用可信执行环境TEE下面存储的客户端私钥对加密数据进行解密，得到服务器端选择的对称加密方案；
步骤6、客户端产生随机数码作为对称加密方案的密钥，并使用服务器证书对对称密钥进行加密，发送给服务器端；
步骤7、服务器端接收到数据后，使用服务器端私钥对数据进行解密，得到对称加密的密钥，通过此密钥进行数据交互。
CN201910941907.0A 2019-09-30 2019-09-30 基于tee的https双向认证方法 Pending CN110519304A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910941907.0A CN110519304A (zh) 2019-09-30 2019-09-30 基于tee的https双向认证方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910941907.0A CN110519304A (zh) 2019-09-30 2019-09-30 基于tee的https双向认证方法

Publications (1)

Publication Number Publication Date
CN110519304A true CN110519304A (zh) 2019-11-29

Family

ID=68633194

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910941907.0A Pending CN110519304A (zh) 2019-09-30 2019-09-30 基于tee的https双向认证方法

Country Status (1)

Country Link
CN (1) CN110519304A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111130799A (zh) * 2019-12-25 2020-05-08 上海沄界信息科技有限公司 一种基于tee进行https协议传输的方法及***
CN113242239A (zh) * 2021-05-10 2021-08-10 广州欢网科技有限责任公司 一种实现https双向认证的方法、装置及***
CN113301016A (zh) * 2021-04-16 2021-08-24 航天信息股份有限公司 实现https双向验证的方法、装置及***
CN113328980A (zh) * 2020-02-29 2021-08-31 杭州迪普科技股份有限公司 Tls认证方法、装置、***、电子设备及可读介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107426174A (zh) * 2017-06-09 2017-12-01 武汉果核科技有限公司 一种可信执行环境的访问控制***及方法
US20180048643A1 (en) * 2014-12-22 2018-02-15 Mcafee, Inc. Trust establishment between a trusted execution environment and peripheral devices
CN108418812A (zh) * 2018-02-12 2018-08-17 北京豆荚科技有限公司 一种基于可信执行环境的智能终端安全消息服务方法
CN109547451A (zh) * 2018-11-30 2019-03-29 四川长虹电器股份有限公司 基于tee的可信认证服务认证的方法
CN109600392A (zh) * 2019-01-15 2019-04-09 四川虹微技术有限公司 一种防止信息篡改的方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20180048643A1 (en) * 2014-12-22 2018-02-15 Mcafee, Inc. Trust establishment between a trusted execution environment and peripheral devices
CN107426174A (zh) * 2017-06-09 2017-12-01 武汉果核科技有限公司 一种可信执行环境的访问控制***及方法
CN108418812A (zh) * 2018-02-12 2018-08-17 北京豆荚科技有限公司 一种基于可信执行环境的智能终端安全消息服务方法
CN109547451A (zh) * 2018-11-30 2019-03-29 四川长虹电器股份有限公司 基于tee的可信认证服务认证的方法
CN109600392A (zh) * 2019-01-15 2019-04-09 四川虹微技术有限公司 一种防止信息篡改的方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
杨波等: "《基于TrustZone的可信移动终端云服务安全接入方案》", 《软件学报》 *
王涛: "《移动端爬虫工具与方法介绍》", 《博客园-百度快照》 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111130799A (zh) * 2019-12-25 2020-05-08 上海沄界信息科技有限公司 一种基于tee进行https协议传输的方法及***
CN111130799B (zh) * 2019-12-25 2022-06-14 上海沄界信息科技有限公司 一种基于tee进行https协议传输的方法及***
CN113328980A (zh) * 2020-02-29 2021-08-31 杭州迪普科技股份有限公司 Tls认证方法、装置、***、电子设备及可读介质
CN113328980B (zh) * 2020-02-29 2022-05-17 杭州迪普科技股份有限公司 Tls认证方法、装置、***、电子设备及可读介质
CN113301016A (zh) * 2021-04-16 2021-08-24 航天信息股份有限公司 实现https双向验证的方法、装置及***
CN113242239A (zh) * 2021-05-10 2021-08-10 广州欢网科技有限责任公司 一种实现https双向认证的方法、装置及***

Similar Documents

Publication Publication Date Title
US11757662B2 (en) Confidential authentication and provisioning
AU2011309758B2 (en) Mobile handset identification and communication authentication
US9565180B2 (en) Exchange of digital certificates in a client-proxy-server network configuration
US9231925B1 (en) Network authentication method for secure electronic transactions
US8763097B2 (en) System, design and process for strong authentication using bidirectional OTP and out-of-band multichannel authentication
US8112787B2 (en) System and method for securing a credential via user and server verification
US20170054707A1 (en) Method and Apparatus for Trusted Authentication and Logon
KR101563828B1 (ko) 신뢰성있는 인증 및 로그온을 위한 방법 및 장치
US20080134311A1 (en) Authentication delegation based on re-verification of cryptographic evidence
US20090240936A1 (en) System and method for storing client-side certificate credentials
WO2019085531A1 (zh) 一种终端联网认证的方法和装置
US7930542B2 (en) MashSSL: a novel multi party authentication and key exchange mechanism based on SSL
CN110519304A (zh) 基于tee的https双向认证方法
CN109672675B (zh) 一种基于OAuth2.0的密码服务中间件的WEB认证方法
CN109525565B (zh) 一种针对短信拦截攻击的防御方法及***
CN114553480B (zh) 跨域单点登录方法、装置、电子设备及可读存储介质
CN107566393A (zh) 一种基于受信任证书的动态权限验证***及方法
CN110572392A (zh) 一种基于Hyperledger网络的身份认证方法
Yasin et al. Enhancing anti-phishing by a robust multi-level authentication technique (EARMAT).
Chen et al. SSL/TLS session-aware user authentication using a gaa bootstrapped key
JP2015111440A (ja) 信頼できる認証およびログオンのための方法および装置
Li et al. Mobile Security Payment Solution Based on Encrypted SMS Verification Code
CN104901932A (zh) 一种基于cpk标识认证技术的安全登录方法
Mumtaz et al. Strong authentication protocol based on Java Crypto chips
Nagasuresh et al. Defense against Illegal Use of Single Sign on Mechanism for Distributed Network Services

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20191129