一种用于单向传输的安全认证方法

1.本发明涉及网络安全技术领域，更具体地说是一种用于单向传输的安全认证方法。


背景技术：

2.对于一些政府、银行、部队等高密单位，既继续保证内网数据的绝对安全，又迫切需要因特网上的数据资源，不同安全级别的网络之间的单向传输技术随之产生。目前主要有数字签名和数字证书两种安全认证方式，但是他们都是基于双向通信，无法用于不同安全级别网络之间的单向传输的安全认证。单向传输只是在传输方式上保护了内网，如果没有一种安全的单向传输认证方式，单向传输的数据来源的可靠性无法确定，并且存在被劫持和篡改的风险，极易造成涉密信息的泄露和内网被非法入侵的问题。


技术实现要素：

3.本发明旨在提供一种用于单向传输的安全认证方法，解决了不同安全等级网络之间单向传输当前面临的极大安全问题。一是实现了单向的密钥协商，为单向传输提供了可靠的密钥，保护单向传输的数据无法被劫持和篡改。二是为单向传输提供了可靠的高密等级网络接收端对普通网络接收端的单向身份认证，确保了信息来源的可靠性。三是单向的数字签名，保证了内网单向接收文件来源的不可否认性，即验证了文件的完整性，也保证的高密级网络的数据安全。
4.为实现上述目的，本发明提供如下技术方案：
5.一种用于单向传输的安全认证方法，包括单向密钥协商模块和单向身份认证与单向数字签名模块；
6.其中，单向密钥协商模块包括：发送端的传输密钥管理模块、公钥加密传输密钥模块和高密级网络接收端的密钥协商非对称加密密钥对管理模块、私钥解密传输密钥模块；
7.单向身份认证与单向数字签名模块包括：发送端的数字签名非对称加密密钥管理模块、身份认证非对称加密密钥管理模块、身份认证证书管理模块、散列值生成模块、数字签名管理模块和接收端的身份认证非对称加密密钥管理模块、散列值生成模块、身份认证、数字签名校验模块；
8.所述单向密钥协商包括以下步骤：接收端生成单向密钥协商非对称加密密钥对、发送端生成单向传输所需对称加密密钥、发送端用单向密钥协商公钥加密单向传输所需对称加密密钥、接收端用单向密钥协商私钥解密即可完成密钥协商。
9.所述单向身份认证包括以下步骤：发送端生成单向身份认证非对称加密密钥对b；接收端生成单向身份认证非对称加密密钥对c；发送端依次用公钥rsapublickey-c和私钥rsaprivatekey-b，加密身份身份信息、将身份信息和其密文生成单向身份认证证书；接收端依次用公钥rsapublickey-b和私钥rsaprivatekey-c解密身份信息密文、将明文与单向身份认证证书中的身份信息对比校验。
10.所述单向数字签名包括以下步骤：发送端生成单向数字签名非对称密钥对；获取单向传输文件；生成消息摘要；用单向数字签名私钥加密消息摘要生成签名；接收端单向接收文件和签名；重新对单向接收文件生成消息摘要；用单向数字签名公钥解密签名并与新生成的消息摘要进行对比；若一致即完成验签。
11.rsa的算法为：
12.rsa对数据进行加密的过程如下：密钥生成:p，q是两个大素数，且有n＝pq，根据欧拉定理，φ(n)＝(p－1)(q－1)；随机选择整数d，e，使得gcd(d，φ(n))＝1，ed≡1(φ(n))，则公钥rsapublickey＝{e,n}对外公开和私钥rsaprivatekey＝{d,n}自己保存；
13.加密方式有两种：第一种查询公开的公钥rsapublickey并对信息加密，形成密文，发送密文，接收时使用私钥rsaprivatekey对密文进行解密，得到原来的明文信息；公钥加密私钥解密的方式，应用在本技术的密钥协商和身份认证模块中；
14.第二种是用自己的私钥rsaprivatekey对消息进行加密，形成密文，发送密文，接收时使用公钥rsapublickey对密文进行解密，得到原来的明文消息。私钥加密公钥解密的方式，应用在本技术的数字签名模块。
15.在rsa加密算法中，数据都必须转换成整数，运用整数的求余运算进行数据加解密，加密：y＝xe mod n，解密：x＝yd mod n或加密：y＝xd mod n，解密：x＝ye mod n。
16.本发明的技术效果和优点：
17.1.密钥协商能够在第三方无法得知的情况下，安全的将数据加密密钥从发送端单向的发送到接收端，建立了单向传输的安全加密体系，防止非法人员对原文件进行劫持和篡改，保护了单向传输数据的信息安全。
18.2.通过单向的身份认证解决了数据接收端对发送端身份真实性的认证，有效确保了单向数据来源的可靠性。
19.3.在信息的单向传输中，仅仅只有加密来保证数据的安全性是存在缺陷的，不能解决发送者对所发送的消息否认情况，单向的数字签名是由发送者采用自身的私钥对摘要进行签名，由于私钥仅为个人保存，所以只要用公开的对应的公钥解密，就能唯一确定一个私钥的拥有者。
20.4.单向数字签名是对所单向传输文件或数据的哈希值进行签名，并运用了二次加密，若有恶意的第三方篡改了文件，会导致接收文件的哈希值与签名值不匹配，这有效防止了违规人员向高密级的内网注入恶意程序或软件，也有效验证了接收文件完整性。
附图说明
21.图1为本发明模块结构示意图；
22.图2为单向密钥协商流程图；
23.图3为单向身份认证流程图；
24.图4为单向数字签名流程图；
25.图5为rsa对数据进行加密的第一种方式；
26.图6为rsa对数据进行加密的第二种方式。
c、私钥rsapublickey-b二次加密后的身份信息密文m’一起打包生成身份认证证书；
45.⑥
发送端将身份认证证书，通过单向传输方式单向发送至高密级网络接收端；
46.⑦
接收端接收身份认证证书，并读取证书内容，提取证书中的身份信息明文和密文；
47.⑧
接收端查询发送端公开的公钥rsapublickey-b，用公钥rsapublickey-b对身份密文信息m’进行第一次解密得到m；
48.⑨
接收端读取私钥rsaprivatekey-c，用私钥rsaprivatekey-c对身份密文信息进行第二次解密得到身份信息明文；
49.⑩
身份认证非对称加密密钥管理模块将二次解密后的明文发送至身份认证、数字签名校验模块，校验模块对比证书中的明文和解密后的明文，若一致则身份认证成功，若不一致则身份认证失败；
50.c、单向数字签名方法，如图4所示
51.①
外网发送端的数字签名非对称加密密钥管理模块，指定身份认证加密解密算法为rsa，指定密钥的长度1024，生成单向数字签名非对称加密密钥对d，私钥rsaprivatekey-d自己保存，公钥rsapublickey-d对接收端公开。
52.②
发送端读取所需单向传输的文件或数据。
53.③
散列值生成模块对读取的问价或数据用约定的单向散列函数sha
–
512生成消息摘要。
54.④
sha
–
512具有两个方面的特性：一是与我们单向传输所匹配的单向性，给定散列值，难以计算出消息；二是抗碰撞性，即给定文件或数据，要找到另一文件或数据并满足两者的散列值很难。基于两个特性，可以实现单向的rsa数字签名
55.⑤
发送端数字签名管理模块，用保存的身份认证私钥rsaprivatekey-d加密单向散列函数sha
–
512生成的消息摘要形成密文
56.⑥
发送端将所需传输文件或数据和明文进行合并，一同单向传输至接收端。
57.⑦
接收端接收接收数据，用发送端公开的单向数字签名公钥rsapublickey-d对密文进行解密，得到消息摘要明文。
58.⑧
接收端还原文件，散列值生成模块用约定的单向散列函数sha
–
512对还原文件生成消息摘要。
59.⑨
身份认证、数字签名校验模块，将公钥rsapublickey-d解密得到的消息摘要明文和队还原文件生成的消息摘要进行比较。
60.⑩
若一致，则合法；否则，为违法数据，终止单向传输，删除文件数据。
61.所述的rsa算法：
62.rsa对数据进行加密的过程如下：密钥生成:p，q是两个大素数，且有n＝pq，根据欧拉定理，φ(n)＝(p－1)(q－1)。随机选择整数d，e，使得gcd(d，φ(n))＝1，ed≡1(φ(n))，则公钥rsapublickey＝{e,n}对外公开和私钥rsaprivatekey＝{d,n}自己保存。
63.加密方式有两种：
64.如图5所示，第一种查询公开的公钥rsapublickey并对信息加密，形成密文，发送密文，接收时使用私钥rsaprivatekey对密文进行解密，得到原来的明文信息。公钥加密私钥解密的方式，应用在本技术的密钥协商和身份认证模块中。
65.如图6所示，第二种是用自己的私钥rsaprivatekey对消息进行加密，形成密文，发送密文，接收时使用公钥rsapublickey对密文进行解密，得到原来的明文消息。私钥加密公钥解密的方式，应用在本技术的数字签名模块。
66.在rsa加密算法中，数据都必须转换成整数，运用整数的求余运算进行数据加解密，加密：y＝xe mod n，解密：x＝yd mod n或加密：y＝xd mod n，解密：x＝ye mod n。
67.以上所述仅为本发明的优选实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。