[发明专利]一种密钥下载方法、客户端、密码设备及终端设备

权利要求书

1.一种密钥下载方法，其特征在于，应用于客户端，所述密钥下载方法包括：

通过用户连接的密保设备，与后台服务器进行双向验证；

在所述双向验证通过后，查询密码设备的设备信息，将所述设备信息上传至所述后台服务器，并发送初始密钥下载请求至所述后台服务器；

接收所述后台服务器基于所述初始密钥下载请求下发的服务器身份证书，并将所述服务器身份证书转发至所述密码设备；

获取所述密码设备反馈的设备身份密文，并将所述设备身份密文发送至所述后台服务器，其中，所述设备身份密文为所述密码设备在对所述服务器身份证书进行验证成功后生成的；

获取所述后台服务器使用所述设备身份密文生成的服务器身份密文，以及所述后台服务器对初始密钥进行加密生成的初始密钥密文，并将所述服务器身份密文发送至所述密码设备，其中，所述服务器身份密文用于指示所述密码设备验证所述后台服务器的身份；

在所述密码设备基于所述服务器身份密文对所述后台服务器的身份进行验证成功后，将所述初始密钥密文下发至所述密码设备。

2.如权利要求1所述的密钥下载方法，其特征在于，

所述设备身份密文为：所述密码设备在对所述服务器身份证书进行验证成功后，使用所述服务器身份证书中的公钥，对临时传输密钥和身份鉴别令牌进行加密，生成的密文；

其中，所述临时传输密钥和所述身份鉴别令牌均为所述密码设备随机产生的；

所述设备身份密文，用于所述后台服务器使用所述设备身份密文生成所述服务器身份密文，以便于所述密码设备对所述后台服务器的身份进行验证。

3.如权利要求1所述的密钥下载方法，其特征在于，

所述服务器身份密文为：所述后台服务器使用对应的私钥对所述设备身份密文进行解密，得到设备密钥和设备身份信息，并使用所述设备密钥对所述设备身份信息进行加密后生成的密文；

所述服务器身份密文，用于：所述密码设备对所述服务器身份密文进行解密得到明文，所述密码设备将其预存的身份鉴别令牌与所述明文进行对比，并在验证二者一致后，判定所述后台服务器的身份验证成功。

4.如权利要求3所述的密钥下载方法，其特征在于，

所述初始密钥密文为：所述后台服务器使用所述设备密钥或者所述密码设备的公钥对预存的初始密钥进行加密后生成的；

所述初始密钥密文，用于：所述密码设备对所述初始密钥密文进行解密，得到所述初始密钥。

5.如权利要求1至4任一项所述的密钥下载方法，其特征在于，所述通过用户连接的密保设备，与后台服务器进行双向验证，包括：

通过用户连接的密保设备，利用SSL/TLS双向认证规则，与所述后台服务器进行双向验证，所述密保设备中预存用户身份证书和对应的私钥；

在所述双向验证通过后，使用所述密保设备登录所述后台服务器。

6.一种客户端，其特征在于，包括：

双向验证模块，用于通过用户连接的密保设备，与后台服务器进行双向验证；

密钥请求模块，用于在所述双向验证通过后，查询密码设备的设备信息，将所述设备信息上传至所述后台服务器，并发送初始密钥下载请求至所述后台服务器；

服务器证书传递模块，用于接收所述后台服务器基于所述初始密钥下载请求下发的服务器身份证书，并将所述服务器身份证书转发至所述密码设备；

设备密文传递模块，用于获取所述密码设备反馈的设备身份密文，并将所述设备身份密文发送至所述后台服务器，其中，所述设备身份密文为所述密码设备在对所述服务器身份证书进行验证成功后生成的；

服务器密文传递模块，用于获取所述后台服务器使用所述设备身份密文生成的服务器身份密文，以及所述后台服务器对初始密钥进行加密生成的初始密钥密文，并将所述服务器身份密文发送至所述密码设备，其中，所述服务器身份密文用于指示所述密码设备验证所述后台服务器的身份；

初始密钥传递模块，用于在所述密码设备基于所述服务器身份密文对所述后台服务器的身份进行验证成功后，将所述初始密钥密文下发至所述密码设备。