CN116633582A - 安全通信方法、装置、电子设备及存储介质 - Google Patents

安全通信方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN116633582A
CN116633582A CN202310273540.6A CN202310273540A CN116633582A CN 116633582 A CN116633582 A CN 116633582A CN 202310273540 A CN202310273540 A CN 202310273540A CN 116633582 A CN116633582 A CN 116633582A
Authority
CN
China
Prior art keywords
terminal
cloud
data
encrypted data
ciphertext
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310273540.6A
Other languages
English (en)
Inventor
王东强
范永学
杨宇
李慧
李湛蓉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Information and Telecommunication Co Ltd
Beijing Guodiantong Network Technology Co Ltd
Original Assignee
State Grid Information and Telecommunication Co Ltd
Beijing Guodiantong Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Information and Telecommunication Co Ltd, Beijing Guodiantong Network Technology Co Ltd filed Critical State Grid Information and Telecommunication Co Ltd
Priority to CN202310273540.6A priority Critical patent/CN116633582A/zh
Publication of CN116633582A publication Critical patent/CN116633582A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/54—Presence management, e.g. monitoring or registration for receipt of user log-on information, or the connection status of the users
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)

Abstract

本申请提供一种安全通信方法、装置、电子设备及存储介质，在云端接收到终端的发送的设备注册请求时，云端会对终端进行验证，在终端通过验证后，云端向终端发送设备标识，终端根据接收得到的设备标识对原始数据进行组合加密，得到加密数据，并将加密数据发送至云端；云端对接收到的加密数据进行分段解密，得到原始数据，完成云端与终端之间的安全通信。在进行装备注册时云端对终端进行验证是通信过程的第一层的安全防护；然后在终端进行组合加密是对通信过程的第二层安全防护，最后使用与组合加密相对应的分段解密方法对加密数据进行解密，实现对通信过程的第三层安全防护，以实现云端与终端通信过程中的通信安全，提高数据传输的安全性。

Description

安全通信方法、装置、电子设备及存储介质
技术领域
本申请涉及通信技术领域，尤其涉及一种安全通信方法、装置、电子设备及存储介质。
背景技术
终端物联感知设备使用MQTT协议发送采集数据，可以在计算能力有限，低带宽、不可靠的网络的远程传感器和设备上使用。虽然终端物联感知设备可以进行MQTT协议数据的传输和处理，但是数据传输安全性不高，无法保证终端身份的安全和MQTT协议数据的安全。
发明内容
有鉴于此，本申请的目的在于提出一种安全通信方法、装置、电子设备及存储介质用于解决数据传输安全性不高问题。
基于上述目的，本申请的第一方面提供了一种安全通信方法，包括：
响应于云端接收到终端的发送的设备注册请求，所述云端对所述终端进行验证；
响应于所述终端通过验证，所述云端向所述终端发送设备标识；
所述终端根据所述设备标识对原始数据进行组合加密，得到加密数据，并将所述加密数据发送至云端；
所述云端接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据。
可选地，所述终端根据所述设备标识对原始数据进行组合加密，得到加密数据，包括：
所述终端根据所述设备标识对所述原始数据进行标记，得到标记数据；
所述终端根据对称加密算法和非对称加密算法对所述标记数据进行组合加密，得到加密数据，将所述加密数据发送至所述云端。
可选地，所述所述终端根据对称加密算法和非对称加密算法对所述标记数据进行组合加密，得到加密数据，包括：
所述终端根据所述对称加密算法生成随机密钥；
所述终端为所述随机密钥拼接预设的长度的盐值，得到盐值密钥；
所述终端利用所述非对称加密算法的公钥对所述盐值密钥进行加密，得到第一段密文；
所述终端根据所述随机密钥对所述标记数据进行加密，得到第二段密文；
根据预设的共享字符串连接所述第一段密文和所述第二段密文，得到所述加密数据，并向所述云端发送所述共享字符串。
可选地，所述云端接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据，包括：
所述云端根据所述共享字符串对所述加密数据进行拆解，得到所述第一段密文和所述第二段密文；
所述云端根据所述第一段密文对所述第二段密文进行进行解密，得到所述原始数据和所述设备标识；
所述云端根据预先构建的终端白名单和所述设备标识对所述原始数据进行解密验证；
若所述云端判定所述原始数据未通过验证，抛弃所述原始数据；
若所述云端判定所述原始数据通过验证，接收并保存所述原始数据。
可选地，所述云端根据所述第一段密文对所述第二段密文进行进行解密，得到所述原始数据和所述设备标识，包括：
所述云端根据所述非对称加密算法的私钥对所述第一段密文进行解密，得到所述盐值密钥；
所述云端根据预设长度的盐值对所述盐值密钥进行拆解，得到所述随机密钥；
所述云端根据所述随机密钥解密所述第二段密文，得到所述标记数据；
所述云端对所述所述标记数据进行标记提取，得到所述设备标识和原始数据。
可选地，响应于云端接收到终端的发送的设备注册请求，所述云端对所述终端进行验证，包括：
所述云端获取多个终端的历史通信记录，根据所述历史通信记录构建终端白名单；
响应于所述云端接收到终端的发送的设备注册请求，确定所述终端是否在所述终端白名单内；
响应于所述终端在所述终端白名单内，确定所述终端通过验证。
可选地，安全通信方法还包括：
响应于所述终端不在所述终端白名单内，确定所述终端未通过验证，并根据预设的时间间隔查看所述终端的所述历史通信记录，对所述终端进行重新验证。
本申请的第二方面提供了一种安全通信装置，包括：
云端，被配置为：响应于接收到终端的发送的设备注册请求，对所述终端进行验证；
响应于所述终端通过验证，向所述终端发送设备标识；
接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据；
终端，被配置为：根据所述设备标识对原始数据进行组合加密，得到加密数据，并将所述加密数据发送至云端。
本申请的第三方面提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如本申请第一方面提供的所述的方法。
本申请的第四方面提供了一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使计算机执行本申请第一方面提供的所述方法。
从上面所述可以看出，本申请提供的安全通信方法、装置、电子设备及存储介质，在云端接收到终端的发送的设备注册请求时，云端会对终端进行验证，在终端通过验证后，云端向终端发送设备标识，终端根据接收得到的设备标识对原始数据进行组合加密，得到加密数据，并将加密数据发送至云端；云端对接收到的加密数据进行分段解密，得到原始数据，完成云端与终端之间的安全通信。在进行装备注册时云端对终端进行验证是通信过程的第一层的安全防护；然后在终端进行组合加密是对通信过程的第二层安全防护，最后使用与组合加密相对应的分段解密方法对加密数据进行解密，实现对通信过程的第三层安全防护，以实现云端与终端通信过程中的通信安全，提高数据传输的安全性。
附图说明
为了更清楚地说明本申请或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例安全通信方法的流程图；
图2为本申请实施例组合加密的流程图；
图3为本申请实施例分段解密的流程图；
图4为本申请实施例安全通信装置的示意图；
图5为本申请实施例的电子设备的示意图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本申请进一步详细说明。
需要说明的是，除非另外定义，本申请实施例使用的技术术语或者科学术语应当为本申请所属领域内具有一般技能的人士所理解的通常意义。本申请实施例中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。“上”、“下”、“左”、“右”等仅用于表示相对位置关系，当被描述对象的绝对位置改变后，则该相对位置关系也可能相应地改变。
在本文中，需要理解的是，附图中的任何元素数量均用于示例而非限制，以及任何命名都仅用于区分，而不具有任何限制含义。
基于上述背景技术的描述，相关技术中还存在如下的情况：
在互联网或者物联网应用上，为了保证两个通信应用程序之间数据的完整性和安全性，普遍使用安全传输层协议(Transport Layer Security Protocol，TLS)来建立安全的数据通信管道。每次建立通信管道时双方协商的对称秘钥都不会相同，因此恶意用户既无法解密通信数据，又无法在网络上抓包进行重放攻击。使用TLS协议需要在物联网设备等终端上的操作***里面预装第三方权威的验证中心(Certificate Authority，CA)的根证书，同时云端要到CA申请数据证书。另外，一次握手协商的交互流程要经过十多次的交互，数据通信管道方能创建完成，且验证中心基本是国外的机构，服务器也部署在国外，需要和国外的服务器进行交互。
然而，物联网设备等终端的操作***都很简单，不适合安装根证书，或者不具备安装根证书的***环境。其次，物联网设备等终端的计算能力和联网能力比较差，标准的TLS流程要和服务器经过十多次的交互，且还要和国外服务器交互，其交互性能比较差。另外，标准的TLS流程需要到CA申请数字证书，数字证书要收费且有有效期限，要定期进行续费，有一定的运营成本。所以，终端物联感知设备选择使用MQTT(Message Queuing TelemetryTransport，消息队列遥测传输协议)发送采集到的数据，可以在计算能力有限，低带宽、不可靠的网络的远程传感器和终端设备上使用。虽然终端物联感知设备可以进行MQTT协议数据的传输和处理，但是存在数据传输安全性不高，无法保证终端身份的安全和MQTT协议数据的安全的问题。
本申请实施例提供的安全通信方法，能够在云端接收到终端的发送的设备注册请求时，云端会对终端进行验证，在终端通过验证后，云端向终端发送设备标识，终端根据接收得到的设备标识对原始数据进行组合加密，得到加密数据，并将加密数据发送至云端；云端对接收到的加密数据进行分段解密，得到原始数据，完成云端与终端之间的安全通信。在进行装备注册时云端对终端进行验证是通信过程的第一层的安全防护；然后在终端进行组合加密是对通信过程的第二层安全防护，最后使用与组合加密相对应的分段解密方法对加密数据进行解密，实现对通信过程的第三层安全防护，以实现云端与终端通信过程中的通信安全，提高数据传输的安全性。具体实施过程需结合附图并参考以下实施例。
在一些实施例中，如图1所示，一种安全通信方法，包括：
步骤101：响应于云端接收到终端的发送的设备注册请求，云端对终端进行验证。
需要说明的是，云端设置有物联网(Internet of Things，IOT)安全认证模块和物联网数据管理模块，其中，物联网安全认证模块在接收到终端发送的设备认证请求前，需要构建安全终端设备的终端白名单，该终端白名单中的终端均为当前时间及以前未被恶意攻击过的安全终端，而对于白名单的构建过程，示例性的，云端可以获取多个终端的历史通信记录，然后筛选出历史通信记录中没有被恶意攻击过且没有发送过恶意数据的安全终端，记录下这些安全终端的认证信息，例如，终端设备的SN(Serial Number，产品序列号)码、MAC地址(Media Access Control Address，媒体存取控制位址，也称为局域网地址)等信息，通过历史通信数据进行白名单的构建速度快，效率高，可以随时更新，时效性强；但是，历史通信数据存在被恶意篡改的可能，所以也可以通过线下邮件采集的方式获取并维护终端白名单中的白名单信息，通过线下邮件采集进行白名单的构建，具有更高的安全性，线下的模式降低了采集信息被恶意攻击或篡改的可能被，具有更高的安全性。
具体实施时，入网前终端物联感知设备等终端需要在云端的IOT安全认证模块进行设备注册，终端物联感知设备等终端通过设备SN码和/或设备MAC地址等信息向云端的IOT安全认证模块发起设备注册请求，在云端接收到物联网终端发送的设备注册请求后，如果发起设备注册请求的目标终端的设备注册请求信息中的设备SN码或设备MAC地址记录在终端白名单中，说明该目标终端通过云端的验证，云端会向终端发送一个设备标识，用以标记该目标终端；如果该目标终端不在终端白名单内，确定该目标终端未通过验证，可以根据预设的时间间隔查看该目标终端的历史通信记录，对该目标终端进行重新验证，同时可以向该目标终端的管理人员发送危险告警信息，提示其管理员对该目标终端进行安全检修，以使该目标终端满足白名单的要求。可以看出通过终端白名单进行初步的筛选可以有效防止攻击者使用任意终端设备接入服务器，扰乱终端业务正常运行，保证了通信的安全性。
步骤102：响应于终端通过验证，云端向终端发送设备标识。
具体实施时，如果终端通过了验证，说明终端在当前时间及以前没有被恶意攻击过，也没有主动发送过恶意请求，所以，此时云端向终端发送唯一的设备标识对该终端进行标记，该设备标识会跟随通信过程中的数据一起进行传输，如果通信数据中不存在该标识或该标识被篡改，则说明存在通信安全问题，可以暂时性的切断与发送该通信信息的终端之间的通信，以保证云端的安全。
步骤103：终端根据设备标识对原始数据进行组合加密，得到加密数据，并将加密数据发送至云端。
具体实施时，终端物联感知设备等终端会和云端的IOT数据管理模块约定好一种非对称加密算法和一种对称加密算法，在根据设备标识对待发送的原始数据进行标记后，通过约定的非对称加密算法和对称加密算法对标记后的标记数据进行组合加密，得到加密后的加密数据，并将该加密数据发送至云端，终端在组合加密过程中只存储非对称加密的公钥，不涉及私钥的存储，增强了安全性。采用组合加密增加了加密数据的破解难度，进而增加了加密数据本身的保密性。
步骤104：云端接收加密数据，并对加密数据进行分段解密，得到原始数据。
具体实施时，云端在接收到加密数据后，云端的IOT数据管理模块会根据约定好的非对称加密算法和对称加密算法对加密数据进行分段解密，分段解密过程中只有云端才存储有解密用到的非对称加密算法的私钥，攻击者无法从终端及传输信道中获取对应的私钥，增加了加密数据的破解难度，进而增加了加密数据本身的安全性，实现了终端与云端之间的安全通信。
在一些实施例中，如图2所示，终端根据设备标识对原始数据进行组合加密，得到加密数据，包括：
步骤201：终端根据设备标识对原始数据进行标记，得到标记数据。
具体实施时，在终端接收到设备标识，且采集到将要发送的原始数据后，利用设备标识对原始数据进行标记，示例性的，可以使用机器学习进行数据标记，数据标记流程用于识别原始数据(图片、文本文件、视频等)并添加一个或多个有意义的信息标签：设备标识。需要说明的是，也可以使用其他形式将设备标识和原始数据进行结合，可能会导致原始数据的明文显示发生改变，但是并不会影响加密和解密的过程，所以在此对设备标识和原始数据进行结合的方式不做具体限定。
步骤202：终端根据对称加密算法和非对称加密算法对标记数据进行组合加密，得到加密数据，将加密数据发送至云端。
具体实施时，以非对称加密算法为RSA，对称加密算法为AES为例。终端存储RSA加密算法的公钥，用来加密AES加密算法随机生成的随机密钥，并为随机密钥拼接约定长度的盐值，增加破解密钥的难度，生成第一段密文。然后，用AES加密算法加密终端原始数据(例如终端额的设备编码、产生的采集数据、告警数据等)，生成第二段密文，通过共享字符串把第一段密文和第二段密文进行拼接并隔开，得到最终的加密数据，最后将加密数据发送至云端。
需要说明的是，RSA加密算法是一种可逆的非对称加密算法，即RSA加密算法加密时候用的密钥(公钥)和RSA加密算法解密时用的密钥(私钥)不是同一把。公钥是可以公开的信息，但是私钥是需要保密的。比起AES加密算法等其它对称加密算法来说，RSA加密算法运算更为复杂。从安全角度来讲，一般建议RSA加密算法密钥长度至少为2048位。而AES加密算法是一种可逆的对称加密算法，这类算法在加密和解密时使用相同的密钥。作为可逆且对称的块加密，AES加密算法的速度比公钥加密等加密算法快很多。
在一些实施例中，步骤202：包括：
步骤2021：终端根据对称加密算法生成随机密钥。
具体实施时，终端运行AES加密算法，生成一个随机密钥，示例性的，随机密钥为：AES随机密钥＝“aes0000000000aes”。
步骤2022：终端为随机密钥拼接预设的长度的盐值，得到盐值密钥。
具体实施时，示例性的，以预设的长度为10进行举例，盐值中的10个位置点的字符均可以随机生成，保证盐值为10位长度即可，假设本申请实施例中盐值＝“yyyyyyyyyy”。终端为随机密钥拼接10位的的盐值后，得到盐值密钥为“aes0000000000aeyyyyyyyyyy”，对称加密的随机密钥每次都随机生成，并增加了随机生成的盐值，增加了加密数据破解的难度，保证了通信的安全性。其中，示例中采用的拼接方式为最直接的拼接方式，也可以采用其他拼接方式对随机密钥与盐值进行拼接，在此不做具体限定。
步骤2023：终端利用非对称加密算法的公钥对盐值密钥进行加密，得到第一段密文。
具体实施时，RSA加密算法的公钥存储在终端中，示例性的，若RSA公钥为“pub0000000000......pub”，终端利用RSA加密算法的公钥对盐值密钥进行加密计算，得到的第一段加密报文为“RSA(“aes0000000000aeyyyyyyyyyy”,”pub0000000000......pub”)。
步骤2024：终端根据随机密钥对标记数据进行加密，得到第二段密文。
具体实施时，示例性的，假设原始数据的明文为“Hello World”，则表示数据的明文也为“Hello World”，因为设备标识进行标记并不会改变原始数据的明文。当AES随机密钥＝“aes0000000000aes”时，采用AES加密算法的随机密钥对标记数据进行加密，得到第二段密文为AES(“Hello World”,“aes0000000000aes”)。
步骤2025：根据预设的共享字符串连接第一段密文和第二段密文，得到加密数据，并向云端发送共享字符串。
具体实施时，加密数据一般不会以明文的形式存在，因为这会大大增加被破解的可能，所以需要对第一段密文进行RSA加密计算，对第二段密文进行AES加密计算，分别将第一段密文和第二段密文的明文显示形式进行改变。示例性的，对第一段密文进行RSA加密计算后，得到的第一段密文的显示形式为“rsa11111......11111rsa”，对第二段密文进行AES加密计算后，得到的第一段密文的显示形式为“aes11111......11111aes”，假设共享字符串为“，”，根据共享字符串连接第一段密文和第二段密文，得到加密数据“rsa11111......11111rsa，aes11111......11111aes”。
综上所述，本申请实施例提供的组合加密的简化的加密过程为：RSA((“AES密钥”+”盐值”),”RSA公钥”)+”,”+AES(“明文”,”AES密钥”)，在整个组合加密的过程中，使用了非对称加密和对称加密的加密方式，保证了发送mqtt协议的原始数据的保密性；终端处只存储非对称加密的公钥，不涉及私钥的存储，增强了安全性；对称加密的随机密钥每次都为随机生成，并拼接了随机的盐值，增加了加密数据破解的难度；使用对称加密算法加密标记数据，增加了加密速度，增加了通信效率。并在组合加密前维护了终端白名单的功能，保证入网终端身份的安全可信，实现了终端和云端之间的安全通信，
对应的分段解密过程包括：云端的IOT数据管理模块接收到MQTT写协议的加密数据后，先通过共享字符串拆分出两段密文，然后用RSA加密算法的私钥对第一段密文进行解密，将解密结果减去与终端约定的盐值，得到AES加密算法的随机密钥。然后用AES加密算法的随机密钥解密第二段密文，即可得到终端发送的设备编码、采集数据或告警数据等原始数据。此时，根据设备标识验证此终端的设备SN码或设备MAC地址是否存在于IOT安全认证模块终端白名单中，若存在，则解析并保存MQTT协议的原始数据，否则抛弃掉该原始数据。
在一些实施例中，如图3所示，云端接收加密数据，并对加密数据进行分段解密，得到原始数据，包括：
步骤301：云端根据共享字符串对加密数据进行拆解，得到第一段密文和第二段密文。
具体实施时，以加密数据为“rsa11111......11111rsa，aes11111......11111aes”为例，可以看出加密数据中共享字符串“，”是以明文形式进行显示的，在知道共享字符串的前提下，云端可以精准的实现对加密数据的拆分，即以共享字符串“，”为拆分点，将机密数据拆分为2段，得到非明文显示的第一段密文“rsa11111......11111rsa”和非明文显示的第二段密文“aes11111......11111aes”。
步骤302：云端根据第一段密文对第二段密文进行进行解密，得到原始数据和设备标识。
具体实施时，用RSA加密算法的私钥对第一段密文进行解密，将解密结果减去与终端约定的盐值，得到AES加密算法的随机密钥。然后用AES加密算法的随机密钥解密第二段密文，即可得到终端发送的设备编码、采集数据或告警数据等原始数据及携带的设备标识。
步骤303：云端根据预先构建的终端白名单和设备标识对原始数据进行解密验证。
具体实施时，根据设备标识验证此终端的设备SN码或设备MAC地址是否存在于IOT安全认证模块终端白名单中，如发送加密数据的终端的设备SN码或设备MAC地址记录在终端白名单中，说明该终端通过了云端的验证，可以确定该加密数据是安全终端发送的，且在加密数据传输的过程中没有被拦截并替换为恶意的攻击数据；如发送加密数据的终端的设备SN码或设备MAC地址没有不被记录在终端白名单中，说明该目标终端不在终端白名单内，说明该加密数据拆解后的原始数据可能不是安全终端发送的，而是恶意终端替换为安全终端进行发送的加密数据，或者在加密数据传输的过程中被攻击者拦截并替换为恶意的攻击数据。
步骤304：若云端判定原始数据未通过验证，抛弃原始数据。
具体实施时，确定原始数据未通过验证后，可以根据预设的时间间隔查看该目标终端的历史通信记录，对该目标终端进行重新验证，以确定该终端是否已经被攻击，同时可以向该终端的管理人员发送危险告警信息，提示其管理员对该终端进行安全检修，以使该终端发送的加密报文满足白名单的验证。
步骤305：若云端判定原始数据通过验证，接收并保存原始数据。
具体实施时，确定该目标终端通过验证后，就可以接收并保存该原始数据了，实现了终端与云端之间的一次安全通信。可以看出通过终端白名单进行原始数据的验证可以有效防止攻击者使用任意终端设备接入服务器及中途替换加密数据等攻击手段，扰乱终端业务正常运行，保证了通信的安全性。
在一些实施例中，步骤302包括：
步骤3021：云端根据非对称加密算法的私钥对第一段密文进行解密，得到盐值密钥。
具体实施时，以共享字符串“，”为拆分点，将机密数据拆分为2段，得到非明文显示的第一段密文“rsa11111......11111rsa”和非明文显示的第二段密文“aes11111......11111aes”后，使用RSA机密算法的私钥对第一段密文进行解密，得到“AES随机密钥”+”盐值”形式的盐值密钥。示例性的，以RSA私钥＝“private0000000000......private”为例，“AES随机密钥”+“盐值”形式的盐值密钥＝RSA解密(“rsa11111......11111rsa”，“private0000000000......priva te”)＝“aes0000000000aeyyyyyyyyyy”。
步骤3022：云端根据预设长度的盐值对盐值密钥进行拆解，得到随机密钥。
具体实施时，以盐值密钥＝“aes0000000000aeyyyyyyyyyy”为例，如果盐值的预设长度为10，则将盐值密钥中的后10位字符进行删除，即将“aes0000000000aeyyyyyyyyyy”后10位的“yyyyyyyyyy”删除，就得到了AES机密算法的随机密钥：“AES随机密钥”＝“aes0000000000aes”。对称加密的随机密钥每次都随机生成，并增加了随机生成的盐值，增加了加密数据破解的难度，保证了通信的安全性。
步骤3023：云端根据随机密钥解密第二段密文，得到标记数据。
具体实施时，以“AES随机密钥”＝“aes0000000000aes”，第二段密文＝“aes11111......11111aes”为例，利用随机密钥解密第二段密文就可以得到标记数据的明文，则“标记数据”＝AES解密(“aes11111......11111aes”,”aes0000000000aes”)＝“HelloWorld”，此时，标记数据和原始数据的明文显示是一致的，均为“Hello World”，因为设备标识是以标签的形式被原始数据携带的，所以不会影响原始数据明文的显示形式。
步骤3024：云端对标记数据进行标记提取，得到设备标识和原始数据。
具体实施时，在得到标记数据后，需要提取标记数据中的设备标识，将设备标识被提取后，标记数据转化为了原始数据的明文，解密过程结束，云端得到了终端发送的原始数据的明文。
在一些实施例中，步骤101包括：
步骤1011：云端获取多个终端的历史通信记录，根据历史通信记录构建终端白名单。
具体实施时，物联网安全认证模块在接收到终端发送的设备认证请求前，需要构建安全终端设备的终端白名单，该终端白名单中的终端均为当前时间及以前未被恶意攻击过的安全终端，可选地，云端可以获取多个终端的历史通信记录，然后筛选出历史通信记录中没有被恶意攻击过且没有发送过恶意数据的安全终端，记录下这些安全终端的认证信息，例如，终端设备的SN码、MAC地址等信息，通过历史通信数据进行白名单的构建速度快，效率高，可以随时更新，时效性强；但是，历史通信数据存在被恶意篡改的可能，所以也可以通过线下邮件采集的方式获取并维护终端白名单中的白名单信息，通过线下邮件采集进行白名单的构建，具有更高的安全性，线下的模式降低了采集信息被恶意攻击或篡改的可能被，具有更高的安全性。
步骤1012：响应于云端接收到终端的发送的设备注册请求，确定终端是否在终端白名单内。
步骤1013：响应于终端在终端白名单内，确定终端通过验证。
具体实施时，入网前终端物联感知设备等终端需要在云端的IOT安全认证模块进行设备注册，终端物联感知设备等终端通过设备SN码和/或设备MAC地址等信息向云端的IOT安全认证模块发起设备注册请求，在云端接收到物联网终端发送的设备注册请求后，如果发起设备注册请求的目标终端的设备注册请求信息中的设备SN码或设备MAC地址记录在终端白名单中，说明该目标终端通过云端的验证，云端会向终端发送一个设备标识，用以标记该目标终端。
在一些实施例中，本申请实施例提供的安全通信方法还包括：
响应于终端不在终端白名单内，确定终端未通过验证，并根据预设的时间间隔查看终端的历史通信记录，对终端进行重新验证。
具体实施时，如果该目标终端不在终端白名单内，确定该目标终端未通过验证，可以根据预设的时间间隔查看该目标终端的历史通信记录，对该目标终端进行重新验证，同时可以向该目标终端的管理人员发送危险告警信息，提示其管理员对该目标终端进行安全检修，以使该目标终端满足白名单的要求。可以看出通过终端白名单进行初步的筛选可以有效防止攻击者使用任意终端设备接入服务器，扰乱终端业务正常运行，保证了通信的安全性。
需要说明的是，本申请实施例的方法可以由单个设备执行，例如一台计算机或服务器等。本实施例的方法也可以应用于分布式场景下，由多台设备相互配合来完成。在这种分布式场景的情况下，这多台设备中的一台设备可以只执行本申请实施例的方法中的某一个或多个步骤，这多台设备相互之间会进行交互以完成所述的方法。
需要说明的是，上述对本申请的一些实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于上述实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
基于同一发明构思，与上述任意实施例方法相对应的，本申请还提供了一种安全通信装置。
参考图4，所述安全通信装置，包括：
云端10，被配置为：响应于接收到终端的发送的设备注册请求，对所述终端进行验证；
响应于所述终端通过验证，向所述终端发送设备标识；
接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据；
终端20，被配置为：根据所述设备标识对原始数据进行组合加密，得到加密数据，并将所述加密数据发送至云端。
为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本申请时可以把各模块的功能在同一个或多个软件和/或硬件中实现。
上述实施例的装置用于实现前述任一实施例中相应的安全通信方法，并且具有相应的方法实施例的有益效果，在此不再赘述。
基于同一发明构思，与上述任意实施例方法相对应的，本申请还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上任意一实施例所述的安全通信方法。
图5示出了本实施例所提供的一种更为具体的电子设备硬件结构示意图，该设备可以包括：处理器1010、存储器1020、输入/输出接口1030、通信接口1040和总线1050。其中处理器1010、存储器1020、输入/输出接口1030和通信接口1040通过总线1050实现彼此之间在设备内部的通信连接。
处理器1010可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本说明书实施例所提供的技术方案。
存储器1020可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1020可以存储操作***和其他应用程序，在通过软件或者固件来实现本说明书实施例所提供的技术方案时，相关的程序代码保存在存储器1020中，并由处理器1010来调用执行。
输入/输出接口1030用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。
通信接口1040用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。
总线1050包括一通路，在设备的各个组件(例如处理器1010、存储器1020、输入/输出接口1030和通信接口1040)之间传输信息。
需要说明的是，尽管上述设备仅示出了处理器1010、存储器1020、输入/输出接口1030、通信接口1040以及总线1050，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。
上述实施例的电子设备用于实现前述任一实施例中相应的安全通信方法，并且具有相应的方法实施例的有益效果，在此不再赘述。
基于同一发明构思，与上述任意实施例方法相对应的，本申请还提供了一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机执行如上任一实施例所述的安全通信方法。
本实施例的计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。
上述实施例的存储介质存储的计算机指令用于使所述计算机执行如上任一实施例所述的安全通信方法，并且具有相应的方法实施例的有益效果，在此不再赘述。
所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本申请的范围(包括权利要求)被限于这些例子；在本申请的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本申请实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。
另外，为简化说明和讨论，并且为了不会使本申请实施例难以理解，在所提供的附图中可以示出或可以不示出与集成电路(IC)芯片和其它部件的公知的电源/接地连接。此外，可以以框图的形式示出装置，以便避免使本申请实施例难以理解，并且这也考虑了以下事实，即关于这些框图装置的实施方式的细节是高度取决于将要实施本申请实施例的平台的(即，这些细节应当完全处于本领域技术人员的理解范围内)。在阐述了具体细节(例如，电路)以描述本申请的示例性实施例的情况下，对本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下或者这些具体细节有变化的情况下实施本申请实施例。因此，这些描述应被认为是说明性的而不是限制性的。
尽管已经结合了本申请的具体实施例对本申请进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变型对本领域普通技术人员来说将是显而易见的。例如，其它存储器架构(例如，动态RAM(DRAM))可以使用所讨论的实施例。
本申请实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本申请实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种安全通信方法，其特征在于，包括：
响应于云端接收到终端的发送的设备注册请求，所述云端对所述终端进行验证；
响应于所述终端通过验证，所述云端向所述终端发送设备标识；
所述终端根据所述设备标识对原始数据进行组合加密，得到加密数据，并将所述加密数据发送至云端；
所述云端接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据。
2.根据权利要求1所述的方法，其特征在于，所述终端根据所述设备标识对原始数据进行组合加密，得到加密数据，包括：
所述终端根据所述设备标识对所述原始数据进行标记，得到标记数据；
所述终端根据对称加密算法和非对称加密算法对所述标记数据进行组合加密，得到加密数据，将所述加密数据发送至所述云端。
3.根据权利要求2所述的方法，其特征在于，所述所述终端根据对称加密算法和非对称加密算法对所述标记数据进行组合加密，得到加密数据，包括：
所述终端根据所述对称加密算法生成随机密钥；
所述终端为所述随机密钥拼接预设的长度的盐值，得到盐值密钥；
所述终端利用所述非对称加密算法的公钥对所述盐值密钥进行加密，得到第一段密文；
所述终端根据所述随机密钥对所述标记数据进行加密，得到第二段密文；
根据预设的共享字符串连接所述第一段密文和所述第二段密文，得到所述加密数据，并向所述云端发送所述共享字符串。
4.根据权利要求3所述的方法，其特征在于，所述云端接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据，包括：
所述云端根据所述共享字符串对所述加密数据进行拆解，得到所述第一段密文和所述第二段密文；
所述云端根据所述第一段密文对所述第二段密文进行进行解密，得到所述原始数据和所述设备标识；
所述云端根据预先构建的终端白名单和所述设备标识对所述原始数据进行解密验证；
若所述云端判定所述原始数据未通过验证，抛弃所述原始数据；
若所述云端判定所述原始数据通过验证，接收并保存所述原始数据。
5.根据权利要求4所述的方法，其特征在于，所述云端根据所述第一段密文对所述第二段密文进行进行解密，得到所述原始数据和所述设备标识，包括：
所述云端根据所述非对称加密算法的私钥对所述第一段密文进行解密，得到所述盐值密钥；
所述云端根据预设长度的盐值对所述盐值密钥进行拆解，得到所述随机密钥；
所述云端根据所述随机密钥解密所述第二段密文，得到所述标记数据；
所述云端对所述所述标记数据进行标记提取，得到所述设备标识和原始数据。
6.根据权利要求1所述的方法，其特征在于，响应于云端接收到终端的发送的设备注册请求，所述云端对所述终端进行验证，包括：
所述云端获取多个终端的历史通信记录，根据所述历史通信记录构建终端白名单；
响应于所述云端接收到终端的发送的设备注册请求，确定所述终端是否在所述终端白名单内；
响应于所述终端在所述终端白名单内，确定所述终端通过验证。
7.根据权利要求6所述的方法，其特征在于，还包括：
响应于所述终端不在所述终端白名单内，确定所述终端未通过验证，并根据预设的时间间隔查看所述终端的所述历史通信记录，对所述终端进行重新验证。
8.一种安全通信装置，其特征在于，包括：
云端，被配置为：响应于接收到终端的发送的设备注册请求，对所述终端进行验证；
响应于所述终端通过验证，向所述终端发送设备标识；
接收所述加密数据，并对所述加密数据进行分段解密，得到所述原始数据；
终端，被配置为：根据所述设备标识对原始数据进行组合加密，得到加密数据，并将所述加密数据发送至云端。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如权利要求1至7任意一项所述的方法。
10.一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令用于使计算机执行权利要求1至7任一所述方法。
CN202310273540.6A 2023-03-20 2023-03-20 安全通信方法、装置、电子设备及存储介质 Pending CN116633582A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310273540.6A CN116633582A (zh) 2023-03-20 2023-03-20 安全通信方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310273540.6A CN116633582A (zh) 2023-03-20 2023-03-20 安全通信方法、装置、电子设备及存储介质

Publications (1)

Publication Number Publication Date
CN116633582A true CN116633582A (zh) 2023-08-22

Family

ID=87596170

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310273540.6A Pending CN116633582A (zh) 2023-03-20 2023-03-20 安全通信方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN116633582A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117221877A (zh) * 2023-09-03 2023-12-12 广东高芯国际物联网科技有限公司 一种应用于频射场数据的安全验证及传输方法
CN117614731A (zh) * 2023-12-11 2024-02-27 杭州广安汽车电器有限公司 基于云计算平台的车辆空调数据安全传输方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117221877A (zh) * 2023-09-03 2023-12-12 广东高芯国际物联网科技有限公司 一种应用于频射场数据的安全验证及传输方法
CN117221877B (zh) * 2023-09-03 2024-03-29 广东高芯国际物联网科技有限公司 一种应用于频射场数据的安全验证及传输方法
CN117614731A (zh) * 2023-12-11 2024-02-27 杭州广安汽车电器有限公司 基于云计算平台的车辆空调数据安全传输方法
CN117614731B (zh) * 2023-12-11 2024-06-04 杭州广安汽车电器有限公司 基于云计算平台的车辆空调数据安全传输方法

Similar Documents

Publication Publication Date Title
EP3090520B1 (en) System and method for securing machine-to-machine communications
US8327143B2 (en) Techniques to provide access point authentication for wireless network
US9197420B2 (en) Using information in a digital certificate to authenticate a network of a wireless access point
US10601590B1 (en) Secure secrets in hardware security module for use by protected function in trusted execution environment
JP5430652B2 (ja) ユーザーインターフェースにおけるセキュリティサービスを提供する装置及び方法
CN111435913B (zh) 一种物联网终端的身份认证方法、装置和存储介质
CN113691502B (zh) 通信方法、装置、网关服务器、客户端及存储介质
US10680835B2 (en) Secure authentication of remote equipment
CN107317677B (zh) 密钥存储及设备身份认证方法、装置
KR102186114B1 (ko) 암호화된 메시지를 송수신하기 위해 동적 공개키 기반 구조를 사용하기 위한 방법, 시스템, 및 매체
US11470060B2 (en) Private exchange of encrypted data over a computer network
EP3633949A1 (en) Method and system for performing ssl handshake
CN116633582A (zh) 安全通信方法、装置、电子设备及存储介质
CN110708291B (zh) 分布式网络中数据授权访问方法、装置、介质及电子设备
CN113742709B (zh) 信息的处理方法、装置、可读介质和电子设备
KR101836211B1 (ko) 전자 기기 인증 매니저 장치
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
CN115296807B (zh) 用于预防工控网络病毒的密钥生成方法、装置、设备
CN112565156B (zh) 信息注册方法、装置和***
CN111786955B (zh) 用于保护模型的方法和装置
CN114584299A (zh) 数据处理方法、装置、电子设备和存储介质
CN110166226B (zh) 一种生成秘钥的方法和装置
CN111970281B (zh) 基于验证服务器的路由设备远程控制方法、***及电子设备
US10491385B2 (en) Information processing system, information processing method, and recording medium for improving security of encrypted communications
CN115037515A (zh) 开放数据网中无状态验证码验证方法、装置及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination