[發明專利]一種基于密鑰協商方式實現U盾訪問控制的方法

在審

• 申請號: 202210321016.7
• 申請日: 2022-03-28
• 公開（公告）號: CN114915411A
• 公開（公告）日: 2022-08-16
• 發明（設計）人: 劉學波
• 申請（專利權）人: 北京融蟻科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 北京前審知識產權代理有限公司 11760
• 代理人: 張靜

本公開揭示基于密鑰協商方式實現U盾訪問控制的方法，包括如下步驟：S100、調用者使用終端對U盾發起訪問請求；S200、終端接收到所述請求后，進行調用服務初始化，檢查終端內是否存在終端的密鑰對，若不存在，生成密鑰對并保存，若已存在則繼續；S300、終端生成第一隨機數，連同終端的公鑰發送給U盾；S400、U盾檢查自身內部是否存在與終端匹配的公鑰，若存在，則反饋一信號給終端，并等待來自終端的后續訪問U盾的任何指令請求；S500、若不存在，則說明終端與U盾兩者并未綁定，并緩存終端的公鑰，將執行U盾與終端的綁定。如此，本公開能夠提供不同于傳統Slave模式且更安全的U盾訪問控制方案。

技術領域

本公開屬于信息安全領域，特別涉及一種基于密鑰協商方式實現 U盾訪問控制的方法。

背景技術

以硬件實體盾而言，即常見的金融領域采用的U盾而言，由于其便于使用而被廣泛使用。硬件U盾往往采用USB接口，目前也出現了采用藍牙或音頻接口的產品。此類U盾的訪問控制，遵循Slave 被動模式，通常都是被動接收處理外部的命令，但對于調用方的善惡意圖無法有效甄別，因此當被惡意利用時將產生不良后果。

然而，隨著數字世界的不斷演化，U盾的廣泛使用將帶來潛在的安全風險。如何不斷提高U盾的安全性，始終是亟待解決的問題。

發明內容

鑒于此，本公開揭示了一種基于密鑰協商方式實現U盾訪問控制的方法，包括如下步驟：

S100、調用者使用終端對U盾發起訪問請求；

S200、終端接收到所述請求后，進行調用服務初始化，檢查終端內是否存在終端的密鑰對，若不存在，生成密鑰對并保存，若已存在則繼續；

S300、終端生成第一隨機數，連同終端的公鑰發送給U盾；

S400、U盾檢查自身內部是否存在與終端匹配的公鑰，若存在，則反饋一信號給終端，并等待來自終端的后續訪問U盾的任何指令請求；

S500、若不存在，則說明終端與U盾兩者并未綁定，并緩存終端的公鑰，將執行U盾與終端的綁定。

優選的，所述步驟S500按照如下步驟執行U盾與終端的綁定：

S501、U盾生成第一授權碼，并使用所述終端的公鑰分別對所述第一隨機數和第一授權碼加密，以生成第一授權碼密文和第一隨機數密文；

S502、U盾將第一授權碼密文、第一隨機數密文及U盾的公鑰發送給終端；

S503、終端收到后，使用終端的私鑰對第一授權碼密文、第一隨機數密文解密，得到第二授權碼和第二隨機數；并將第二隨機數與第一隨機數比較：

i.若不相同，則重新開始執行步驟S200至S500；

ii.若相同，則：

使用U盾的公鑰對第二授權碼加密生成第二授權碼密文，同時，

使用終端自身的私鑰與U盾公鑰以計算第一中間值，和，

使用第二授權碼、終端的公鑰、U盾的公鑰計算得到第一哈希值，以及，

使用第一中間值對第一哈希值進行加密計算，得到第一中間密文；

然后將第一中間密文和第二授權碼密文發送給U盾；

S504、U盾收到后，使用U盾自身的私鑰解密第二授權碼密文得到第三授權碼，并將第三授權碼與第一授權碼比較：

a.若不相同，說明計算錯誤或中間人攻擊，訪問終止，并將結果反饋至終端；

b.若相同，則：

使用U盾自身的私鑰與終端的公鑰計算第二中間值，同時，