一种安全通信方法及系统与流程

1.本发明涉及通信技术领域，特别涉及一种安全通信方法及系统。


背景技术：

2.在电力等传统工业领域，传统的设备往往不具备数字通信功能，但是在工业物联网时代，边缘计算 智能网关 智能终端的物联网架构，使得新型的智能设备接入互联网，打破了设备终端的信息孤岛，使用户可远程获取设备信息、执行指令等。但是数字通信也带来了安全隐患：易被非法用户破解信息，进而篡改信息，给企业和用户带来损失。使得数字通信的隐私安全备受关注。
3.所以新型设备都应该具备数据加密功能，以保证数字通信安全。当前的加解密方法主要分为对称加解密和非对称加解密方法，对称加解密方法加解密速度快、但因共用一把密钥，密钥管理和分配存在风险；非对称加解密方法安全性高，但加解密速度慢，对设备硬件要求高。物联网的加解密技术大多参考https协议的思路，将对称加解密和非对称加解密技术应用于物联网中。非对称加解密技术原理使用的模运算进行加解密，对alu(算术逻辑)单元要求较高，物联网中设备例如智能网关和设备终端低功耗、存储能力和算力有限，处理非对称加解密效率较低，导致非对称加解密的方法对设备的业务处理效率影响很大。
4.为此需要一种在保证安全性的同时能提高业务处理效率的安全通信方法及系统。


技术实现要素：

5.本发明的目的之一在于提供一种安全通信方法，能够在保证安全性的同时能提高业务处理效率。
6.为了解决上述技术问题，本技术提供如下技术方案：
7.一种安全通信方法，包括如下步骤：
8.s1、接收密钥分量；
9.s2、验证密钥分量来源是否合法；
10.s3、若不合法，发送重发请求；若合法，存储密钥分量；
11.s4、随机生成字符串，基于字符串加密密钥分量，并将字符串和加密后的密钥分量发送至通信的对端设备；
12.s5、接收对端设备发送的密钥分量和字符串，基于对端设备发送的字符串解密密钥分量并验证是否正确；
13.s6、若不正确，向对端设备发送重发请求；若正确，将本地的密钥分量和接收的密钥分量合成加解密密钥。
14.基础方案原理及有益效果如下：
15.本方案中，物理网中的设备可以在非业务通信中，获得密钥分量，并对密钥分量进行验证，保证密钥分量安全可靠。本地设备只存有密钥分量，需要和其他对端设备进行通信才能获得另外的密钥分量，降低因本地设备被破解而造成的加解密密钥泄露的风险。本地
设备在和对方设备交换密钥分量时，通过随机生成的字符串进行加密，可以避免通信过程中密钥分量被直接截获。通过本地的密钥分量和接收的密钥分量合成加解密密钥，可以用于业务数据的加解密，由于采用的是对称加密的方式，相比与非对称加解密，效率更高。
16.综上，本方案能达到信息安全与加解密速度的平衡：相比于传统的加密方式，可以在保证安全性的同时能提高业务处理效率。
17.进一步，所述s1中，周期性接收密钥分配中心分发的密钥分量。
18.通过周期性接收密钥分量，可以定期合成新的加解密密钥，达到定期跟换加解密密钥的目的，避免长期使用同样的加解密密钥，安全性更高。通过密钥分配中心进行密钥分量的管理与分发，简化了物联网中的设备对密钥的管理工作。
19.进一步，还包括：
20.s7、启动业务进程和管理进程；
21.s8、使用加解密密钥对业务进程的数据进行加解密；
22.s9、管理进程监听密钥分配中心的消息，若接收到密钥分配中心下发的密钥分量，则暂停业务进程，进入步骤s2。
23.通过管理进程监听密钥分配中心的消息，保证能及时收到密钥分配中心下发的密钥分量。
24.进一步，所述步骤s6中，还将加解密密钥存储至易失性存储器。
25.合成后的加解密密钥只保存在易失性存储器中，掉电后易失性存储器内的加解密密钥会丢失，不会长期存储，可以降低被破解的风险。
26.进一步，所述s1中，接收密钥分配中心发送的公钥，以及周期性接收密钥分配中心分发的，经过私钥加密的密钥分量；
27.所述s2中，通过公钥验证密钥分量来源是否合法。
28.密钥分发流程使用非对称加密进行签名认证，安全性高，业务通信使用对称加解密，加解密速度快。
29.本发明的目的之二在于，提供一种安全通信系统，包括通信模块、认证模块、随机噪声生成模块；
30.通信模块用于接收分发的密钥分量；
31.认证模块用于验证密钥分量来源是否合法；若不合法，通过通信模块发送重发请求；若合法，将密钥分量存储；
32.随机噪声生成模块用于生成字符串，认证模块还基于字符串加密密钥分量，并将字符串和加密后的密钥分量通过通信模块发送至通信的对端设备；
33.通信模块还用于接收对端设备发送的密钥分量和字符串，认证模块还用于根据对端设备发送的字符串解密密钥分量并验证是否正确；若不正确，通过通信模块向对端设备发送重发请求；若正确，用于将本地的密钥分量和接收的密钥分量合成加解密密钥。
34.本方案中，物理网中的设备可以在非业务通信中，通过通信模块获得密钥分量，通过认证模块并对密钥分量进行验证，保证密钥分量安全可靠。本地设备只存有密钥分量，需要和其他对端设备进行通信才能获得另外的密钥分量，降低因本地设备被破解而造成的加解密密钥泄露的风险。本地设备在和对方设备交换密钥分量时，通过随机生成的字符串进行加密，可以避免通信过程中密钥分量被直接截获。通过本地的密钥分量和接收的密钥分
量合成加解密密钥，可以用于业务数据的加解密，由于采用的是对称加密的方式，相比与非对称加解密，效率更高。
35.综上，本方案能达到信息安全与加解密速度的平衡：相比于传统的加密方式，可以在保证安全性的同时能提高业务处理效率。
36.进一步，所述通信模块用于周期性接收密钥分配中心分发的密钥分量。
37.通过周期性接收密钥分量，认证模块可以定期合成新的加解密密钥，达到定期跟换加解密密钥的目的，避免长期使用同样的加解密密钥，安全性更高。通过密钥分配中心进行密钥分量的管理与分发，简化了物联网中的设备对密钥的管理工作。
38.进一步，还包括处理模块，处理模块用于启动业务进程和管理进程；使用加解密密钥对业务进程的数据进行加解密；还通过管理进程监听密钥分配中心的消息，若接收到密钥分配中心下发的密钥分量，则暂停业务进程，由认证模块验证密钥分量来源是否合法。
39.通过管理进程监听密钥分配中心的消息，保证能及时收到密钥分配中心下发的密钥分量。
40.进一步，还包括主存储模块，用于存储加解密密钥；其中主存储模块采用易失性存储器。
41.主存储模块掉电后，其存储的加解密密钥会丢失，避免对加解密密钥进行长期存储，可以降低被破解的风险。
42.进一步，所述通信模块用于接收密钥分配中心发送的公钥，以及周期性接收密钥分配中心分发的，经过私钥加密的密钥分量；
43.认证模块用于通过公钥验证密钥分量来源是否合法。
44.密钥分发流程使用非对称加密进行签名认证，安全性高，业务通信使用对称加解密，加解密速度快。
附图说明
45.图1为实施例一一种安全通信方法的流程图；
46.图2为实施例二一种安全通信方法的流程图。
具体实施方式
47.下面通过具体实施方式进一步详细说明：
48.实施例一
49.如图1所示，本实施例的一种安全通信方法，包括如下步骤：
50.s1、接收kdc(key-distributed center密钥分配中心)分发的密钥分量；
51.s2、验证密钥分量来源是否合法；
52.s3、不合法时，丢弃密钥分量，向kdc发送重发请求；合法时，使用非易失性存储器存储密钥分量；
53.s4、随机生成字符串，基于字符串加密密钥分量，并将字符串和加密后的密钥分量发送至通信的对端设备；字符串可以是随机数、数字 字母等形式。
54.s5、接收对端设备发送的密钥分量和字符串，基于对端设备发送的字符串解密密钥分量并验证是否正确；
55.s6、不正确时，向对端设备发送重发请求，等待接收；正确时，把本地的密钥分量和接收的密钥分量合成加解密密钥；将加解密密钥存储至易失性存储器；
56.s7、启动业务进程和管理进程；
57.s8、使用加解密密钥对业务进程的数据进行加解密；
58.s9、管理进程监听kdc的消息，若接收到kdc下发的密钥分量，则暂停业务进程，进入s2步骤。
59.基于安全通信方法，本实施例还提供一种安全通信系统，包括通信模块、认证模块、主存储模块、随机噪声生成模块、辅助存储模块和处理模块。辅助存储模块采用非易失性存储器，断电后数据依旧能保存，主存模块采用易失性存储器，例如随机存取内存(ram)，断电后数据丢失。
60.通信模块用于接收kdc(key-distributed center密钥分配中心)分发的密钥分量；
61.认证模块用于验证密钥分量来源是否合法；不合法时，丢弃密钥分量，通过通信模块向kdc发送重发请求；合法时，将密钥分量存储至辅助存储模块；
62.随机噪声生成模块用于生成字符串，认证模块基于字符串加密密钥分量，并将字符串和加密后的密钥分量通过通信模块发送至通信的对端设备；
63.通信模块还用于接收对端设备发送的密钥分量和字符串，认证模块还用于根据对端设备发送的字符串解密密钥分量并验证是否正确；不正确时，通过通信模块向对端设备发送重发请求，等待接收；正确时，用于将本地的密钥分量和接收的密钥分量合成加解密密钥；将加解密密钥存储至主存储模块；
64.处理模块用于启动业务进程和管理进程；使用加解密密钥对业务进程的数据进行加解密；还用于管理进程监听kdc的消息，若接收到kdc下发的密钥分量，则暂停业务进程，由认证模块用于验证密钥分量来源是否合法。
65.关于kdc下发密钥分量给设备的方式，本实施例因为侧重的是业务安全通信的过程，设备只关心密钥分量的正确性，因此流程只提及验证密钥分量的来源。实际应用中下发密钥分量的安全性是需要考虑的，用户可使用现有成熟的安全传输方案来保证下发的安全性。
66.本实施例的方案能达到信息安全与加解密速度的平衡：非业务通信的密钥分发流程使用非对称加密进行签名认证，安全可靠；业务通信使用对称加密，加解密速度快；合成的加解密密钥只保存在易失性存储器中，掉电丢失，本地只保存密钥分量，可以降低破解风险；本方案还简化了对称加密的密钥管理工作，使用密钥分离的方式传输密钥，即使被非法获取密钥分量也难以破解，可以有效降低通信风险。
67.实施例二
68.如图2所示，本实施例以边缘计算中心、智能网关、设备终端参与为例介绍安全通信方法，包括如下步骤：
69.a1、边缘计算中心作为kdc(key-distributed center密钥分配中心)，生成公钥和私钥，将公钥发送至智能网关和设备终端；
70.还周期性生成加解密密钥mk，将加解密密钥mk拆分为密钥分量一mk1和密钥分量二km2；采用签名认证的方式，使用私钥加密密钥分量一mk1和密钥分量二mk2，周期性的通
过管理消息下发密钥分量一mk1给智能网关，下发密钥分量二mk2给设备终端；本实施例中，具体周期可以根据实际情况进行选择，例如1日，10日，1月等。
71.a2、智能网关的第一认证模块使用公钥对密钥分量一mk1进行验证；
72.设备终端的第二认证模块使用公钥对密钥分量二mk2进行验证；
73.a3、智能网关对mk1认证验证通过后，保存到智能网关的第一辅助存储模块；
74.设备终端对mk2认证验证通过后，保存到设备终端的第二辅助存储模块；
75.a4、智能网关的第一随机噪声生成模块生成随机数r，使用随机数r作为密钥，与密钥分量一mk1进行加密得到mk1’＝en(r,mk1)；
76.设备终端的随机噪声生成模块生成随机数r’，使用随机数r’作为密钥，与密钥分量二mk2进行加密得到mk2’＝en(r’,mk2)；
77.a5、智能网关将mk1’与随机数r发送给设备终端；
78.设备终端将mk2’与随机数r’发送给智能网关；
79.a6、智能网关接收到mk2’与随机数r’后进行解密mk2＝des(r’,mk2’)，验证mk2正确性，通过后获得mk2；
80.设备终端接收到mk1’与随机数r后进行解密mk1＝des(r,mk1’)，验证mk1正确性，通过后获得mk1；
81.a7、智能网关的mk1与mk2合成加解密密钥mk；
82.设备终端的mk1与mk2合成加解密密钥mk；
83.至此，完成智能网关与设备终端的安全连接建立；
84.a8、智能网关与设备终端将加解密密钥mk保存在各自的主存储模块中，智能网关与设备终端使用加解密mk作为消息密钥，对数据进行加解密操作；保存在主存储模块中，加解密密钥mk掉电后消失；
85.a9、当kdc通过管理消息下发新的密钥分量时，智能网关与设备终端暂停业务通信，并从a2开始循环。
86.本实施例中设定的通信方式是星型通信，也就是多个设备终端对一个网关，而不会设备终端之间直接通信，因此只用两个密钥分量。在其他实施例中，可以根据具体的使用场景采用多套密钥分量的方式，只是通信建立过程更为复杂，例如，只是a，b两个设备终端之间通信，还必须c设备终端的密钥分量参与，才能合成加解密密钥，用于互相之间的通信。
87.实施例三
88.本实施例和实施例二的区别在于，本实施例中基于安全通信方法，本实施例提供一种安全通信系统，包括边缘计算中心、智能网关和设备终端。
89.边缘计算中心作为kdc(key-distributed center密钥分配中心)，用于生成公钥和私钥，将公钥发送至智能网关和设备终端。
90.还用于周期性生成密钥mk，将密钥mk拆分为密钥分量一mk1和密钥分量二km2；采用签名认证的方式，使用私钥加密密钥分量一mk1和密钥分量二mk2，周期性的通过管理消息下发密钥分量一mk1至智能网关，下发密钥分量二mk2至设备终端；本实施例中，具体周期可以根据实际情况进行选择，例如1日，10日，1月等。
91.智能网关包括第一通信模块、第一认证模块、第一主存储模块、第一随机噪声生成模块和第一辅助存储模块；
92.第一通信模块用于接收公钥和密钥分量一mk1；
93.第一认证模块用于使用公钥对密钥分量一mk1进行验证；验证通过后，存储至第一辅助存储模块。本实施例中，第一辅助存储模块采用非易失性存储器，断电后数据依旧能保存。
94.第一随机噪声生成模块用于生成随机数r作为密钥，与密钥分量一mk1进行加密得到mk1’＝en(r,mk1)；
95.第一通信模块还用于将mk1’与随机数r发送至设备终端。
96.设备终端包括第二通信模块、第二认证模块、第二主存储模块、第二随机噪声生成模块和第二辅助存储模块。
97.第二通信模块用于接收公钥和密钥分量二mk2；
98.第二认证模块用于使用公钥对密钥分量二mk2进行验证；验证通过后，存储至第二辅助存储模块；
99.设备终端的随机噪声生成模块生成随机数r’作为密钥，与密钥分量二mk2进行加密得到mk2’＝en(r’,mk2)；
100.第二通信模块还用于将mk2’与随机数r’发送至智能网关；
101.智能网关的第一通信模块还用于接收mk2’与随机数r’；
102.第一验证模块还用于根据随机数r’对mk2进行解密mk2＝des(r’,mk2’)，验证mk2正确性，通过后获得mk2；将mk1与mk2合成加解密密钥mk；将加解密密钥mk存储至第一主存储模块，本实施例中，第一主存模块采用易失性存储器，例如随机存取内存(ram)；
103.设备终端的第二通信模块还用于接收mk1’与随机数r；
104.第二验证模块还用于根据mk1’与随机数r进行解密mk1＝des(r,mk1’)，验证mk1正确性，通过后获得mk1；将mk1与mk2合成加解密密钥mk；将加解密密钥mk存储至第二主存储模块。
105.至此，完成智能网关与设备终端的安全连接建立；
106.智能网关与设备终端使用加解密密钥mk作为消息密钥，对数据进行加解密操作；当kdc通过管理消息下发新的密钥分量时，智能网关与设备终端暂停业务通信，并重新合成新的加解密密钥。
107.以上的仅是本发明的实施例，该发明不限于此实施案例涉及的领域，方案中公知的具体结构及特性等常识在此未作过多描述，所属领域普通技术人员知晓申请日或者优先权日之前发明所属技术领域所有的普通技术知识，能够获知该领域中所有的现有技术，并且具有应用该日期之前常规实验手段的能力，所属领域普通技术人员可以在本技术给出的启示下，结合自身能力完善并实施本方案，一些典型的公知结构或者公知方法不应当成为所属领域普通技术人员实施本技术的障碍。应当指出，对于本领域的技术人员来说，在不脱离本发明结构的前提下，还可以作出若干变形和改进，这些也应该视为本发明的保护范围，这些都不会影响本发明实施的效果和专利的实用性。本技术要求的保护范围应当以其权利要求的内容为准，说明书中的具体实施方式等记载可以用于解释权利要求的内容。