[发明专利]基于身份认证的安全通讯方法及装置

说明书

本发明公开一种基于身份认证的安全通讯方法及装置，通过强制认证双方的电子印章，可以在无需向CA机构申请数字证书的情况下灵活、高效的对通信双方身份的信息进行验证，确保通信数据的安全性。该方法包括：请求节点和响应节点分别制作各自的电子印章；请求节点和响应节点互相报备对方电子印章中的指纹信息；请求节点使用随机因子对明文数据加密生成密文数据，以及使用对方电子印章的公钥加密随机因子得到通讯密钥，之后将密文数据、通讯密钥和指纹信息打包发送至响应节点；响应节点将文件包中的指纹信息与报备的指纹信息比对，比对成功后解密响应节点所属电子印章的加密私钥，通过私钥解密通讯密钥还原随机因子进而解析密文数据得到明文数据。

技术领域

本发明涉及通信安全技术领域，尤其涉及一种基于身份认证的安全通讯方法及装置。

背景技术

为了确保通信安全，业务系统的两个节点在进行数据通讯时需要进行安全性设计，用于识别和验证对方的身份，传统的安全性方案多采用数字证书+TLS(TransportLayer Security，传输层安全协议)机制来满足身份识别和安全通讯的需求。在身份识别方面现有技术采用在报文中增设发起方身份信息(如身份编码)，接收方在获得身份信息后，通过查库方式验证对方身份合法性的方案；在安全性方面现有技术通过事先约定好的加解密算法、签名算法、密钥进行交换保存的方案，用以支持报文发送期间的加解密、签名等验签需要。

此外，采用数字证书+TLS机制时需向CA机构(Certificate Authority，证书颁发机构)申请数字证书，这给构建快速应用场景的安全数据通讯带来极大的不便，缺乏应用的灵活性，而采用TLS通讯协议，在组织密文发送之前需经过多步骤协商，在一般应用场景下过于繁琐，不具有适用性，而将加解密算法、签名算法、密钥等重要信息交换且持久化的存储在双方系统中，具有一定程度的管理风险。

发明内容

本发明的目的在于提供一种基于身份认证的安全通讯方法及装置，通过强制认证双方的电子印章，可以在无需向CA机构申请数字证书的情况下灵活、高效的对通信双方身份的信息进行验证，进而确保通信数据的安全性。

为了实现上述目的，本发明的一方面提供一种基于身份认证的安全通讯方法，包括：

由请求节点和响应节点分别制作各自的电子印章，所述电子印章中包括由签名算法、签名信息、加密算法、指纹信息、摘要算法、公钥和加密私钥组成的校验区；

请求节点和响应节点互相报备对方电子印章中的指纹信息，用于在双方交换电子印章后，互相提取对方的指纹信息与报备的指纹信息比对以验证身份；

双方节点在身份验证通过后，由请求节点使用随机因子对明文数据加密生成密文数据，以及使用响应节点电子印章的公钥加密所述随机因子得到通讯密钥，之后将所述密文数据、所述通讯密钥和请求节点电子印章中的指纹信息打包发送至响应节点；

响应节点将文件包中的指纹信息与报备的指纹信息比对，比对成功后解密响应节点所属电子印章的加密私钥，通过私钥解密文件包中的通讯密钥还原所述随机因子，进而使用所述随机因子解析所述密文数据得到明文数据。

优选地，由请求节点和响应节点分别制作各自的电子印章的方法包括：

设计电子印章的分区，所述分区除校验区之外还包括头部区、印章信息区和尾部区；

请求节点和响应节点基于电子印章的分区结构，将开始标记符、识别码和版本号对应填充入头部区，将持章人编号、持章人名称、颁发机构编号、颁发机构名称和有效期对应填充入印章信息区、将描述信息和结束标记符对应填充入尾部区，将签名算法、签名信息、加密算法、指纹信息、摘要算法、公钥和加密私钥对应填充入校验区。

较佳地，所述公钥和所述加密私钥的生成方法包括：

根据电子印章中的签名算法随机生成一对公钥和私钥；