[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

CN111416807B - 数据获取方法、装置及存储介质 - Google Patents

数据获取方法、装置及存储介质 Download PDF

Info

Publication number
CN111416807B
CN111416807B CN202010174984.0A CN202010174984A CN111416807B CN 111416807 B CN111416807 B CN 111416807B CN 202010174984 A CN202010174984 A CN 202010174984A CN 111416807 B CN111416807 B CN 111416807B
Authority
CN
China
Prior art keywords
cloud platform
password
server
random number
management server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010174984.0A
Other languages
English (en)
Other versions
CN111416807A (zh
Inventor
雷心田
胡传文
顾志松
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Keda Technology Co Ltd
Original Assignee
Suzhou Keda Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suzhou Keda Technology Co Ltd filed Critical Suzhou Keda Technology Co Ltd
Priority to CN202010174984.0A priority Critical patent/CN111416807B/zh
Publication of CN111416807A publication Critical patent/CN111416807A/zh
Application granted granted Critical
Publication of CN111416807B publication Critical patent/CN111416807B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/73—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information by creating or determining hardware identification, e.g. serial numbers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/588—Random number generators, i.e. based on natural stochastic processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Mathematical Physics (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本申请涉及一种数据获取方法、装置及存储介质，属于通信技术领域，该方法包括：获取用户名口令；使用用户名口令登录预先注册的密钥管理服务器；在登录密钥管理服务器成功后基于安全协议与密钥管理服务器建立通信连接；使用通信连接从密钥管理服务器获取敏感数据和/或安全数据；可以解决使用软件实现的加密算法实现云平台与客户端之间数据传输时，敏感数据存储在云平台本地，导致敏感数据的安全性不高的问题；通过额外添加的密钥管理服务器管理敏感数据并提供安全服务，云平台在需要获取敏感数据和访问安全服务时与密钥管理服务器建立通信连接来获取敏感数据，可以提高敏感数据的安全性，从而提高云平台与客户端之间通信的安全性。

Description

数据获取方法、装置及存储介质
技术领域
本申请涉及一种数据获取方法、装置及存储介质，属于通信技术领域。
背景技术
为了保证数据的安全性，通常在局域网中部署平台服务器为客户端提供服务。但是，由于外网客户端无法连接局域网中部署的平台服务器，使得该平台服务器的使用范围受限，因此，将局域网内的平台服务器逐步迁移至云平台上。此时，外网客户端可以连接云平台上的服务器。
为了保证云平台上服务器传输数据的安全性，各个终端之间的通讯、加密等通常使用软件实现的算法进行加密。比如：使用RSA、AES等加密算法进行数据加密。
但是，相对于在局域网中部署平台服务器(通过私网连接其他设备，或者内部部署加密硬件，如签名验签服务器、加密机、电子签章服务器或者PCI加密卡、USBKEY等)来说，位于云平台的服务器无法实现硬件上的连接，其使用的算法和功能均只能由软件实现。而软件实现的加密算法在加密数据或通信通道时所使用的密钥存储在云平台上，若云平台遭到攻击，则这些数据的安全隐患较大。
发明内容
本申请提供了一种数据获取方法、装置及存储介质，可以解决使用软件实现的加密算法实现云平台与客户端之间数据传输时，敏感数据存储在云平台本地，导致敏感数据的安全性不高的问题。本申请提供如下技术方案：
第一方面，提供了一种数据获取方法，所述方法包括：
获取用户名口令；
使用所述用户名口令登录预先注册的密钥管理服务器，所述密钥管理服务器用于管理所述用户名口令对应的敏感数据和提供安全服务；
在登录所述密钥管理服务器成功后基于安全协议与所述密钥管理服务器建立通信连接；
使用所述通信连接从所述密钥管理服务器获取所述敏感数据和/或所述安全服务生成的安全数据。
可选地，所述使用所述用户名口令登录预先注册的密钥管理服务器之前，还包括：
向所述密钥管理服务器发送注册请求，所述注册请求携带有所述用户名口令和所述用户名口令对应的设备信息，所述注册请求用于触发所述密钥管理服务器对所述用户名口令和所述设备信息进行注册，并在注册成功后返回配置信息；
接收所述密钥管理服务器发送的配置信息；
在对所述配置信息验证通过后存储所述配置信息。
可选地，所述获取用户名口令，包括：
计算保护密钥；
获取加密后的用户名口令，所述加密后的用户名口令是使用所述保护密钥进行对称加密得到的；
使用所述保护密钥解密所述加密后的用户名口令，得到用户名口令。
可选地，所述计算保护密钥，包括：
获取所述云平台的MAC地址和授权信息，所述授权信息是所述密钥管理服务器对所述云平台授权通过后发送的信息；
基于第一摘要算法和第一加密算法对所述MAC地址和所述授权信息进行计算，得到所述保护密钥。
可选地，所述使用所述用户名口令登录预先注册的密钥管理服务器，包括：
向所述密钥管理服务器发送认证请求，所述认证请求中携带有云平台加密证书的序列号，以触发所述密钥管理服务器生成并返回质询报文；所述质询报文包括所述密钥管理服务器生成的服务器随机数密文和服务器域信息；
接收所述质询报文；
使用云平台加密私钥对所述质询报文中的服务器随机数密文进行非对称解密，得到所述服务器随机数；
生成云平台随机数；
使用第二摘要算法对用户名口令和所述质询报文中的服务器域信息进行摘要运算，得到临时摘要值；
对所述临时摘要值、所述云平台随机数和所述服务器随机数进行摘要运算，得到最终摘要值；
基于第二加密算法使用服务器加密证书对所述云平台随机数进行加密，得到云平台随机数密文；
对所述最终摘要值、所述云平台随机数密文和所述服务器随机数密文进行拼凑，得到认证信息；
将所述认证信息发送至所述密钥管理服务器，以触发所述密钥管理服务器对所述认证信息进行认证，并在认证通过时返回认证通过反馈；
接收所述认证通过反馈。
可选地，所述安全协议中使用的证书为CA签发的加密和签名双证书。
第二方面，提供了一种数据获取方法，所述方法包括：
在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接；
使用所述通信连接向所述云平台发送敏感数据和/或安全服务生成的安全数据。
可选地，所述在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接之前，包括：
接收所述云平台发送的注册请求，所述注册请求携带有所述用户名口令和所述用户名口令对应的设备信息；
对所述用户名口令和所述设备信息进行注册；
在注册成功后返回配置信息，所述配置信息用于供所述云平台对所述密钥管理服务器进行验证。
可选地，所述方法还包括：
接收所述云平台发送的认证请求，所述认证请求中携带有云平台加密证书的序列号；
确定所述云平台加密证书的序列号对应的云平台加密公钥；
生成服务器随机数和服务域信息；
基于第二加密算法使用所述云平台加密公钥对所述服务器随机数进行加密，得到服务器随机数密文；
生成质询报文，所述质询报文包括服务器随机数密文和服务器域信息；
将所述质询报文发送至所述云平台，以供所述云平台生成认证信息；所述认证信息包括最终摘要值、云平台随机数密文和所述服务器随机数密文；
接收所述云平台发送的所述认证信息；
使用服务器加密私钥对所述认证信息中的云平台随机数密文进行解密，得到所述云平台随机数；
使用所述第二摘要算法对已注册的用户名口令和对应的所述服务域信息进行摘要运算，得到模板临时摘要值；
对所述模板临时摘要值、所述云平台随机数和所述已注册的用户名口令对应的服务器随机数进行摘要运算，得到模板最终摘要值；
对所述模板最终摘要值、所述认证信息中的云平台随机数密文和所述已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息；
在所述认证信息与所述模板信息相匹配时向所述云平台发送认证通过反馈，以通知所述云平台登录成功。
可选地，所述云平台包括多个云主机，不同云主机对应不同的用户名口令；所述对所述用户名口令和所述设备信息进行注册，包括：
获取所述云平台的工作模式，所述工作模式包括同步模式和非同步模式；
在所述工作模式为所述同步模式时，生成所述用户名口令对应的第一会话句柄，所述第一会话句柄为所述云平台中的各个用户名口令共用的会话句柄；
在所述工作模式为所述非同步模式时，生成所述用户名口令对应的第二会话句柄；所述第二会话句柄为所述用户名口令专用的会话句柄；
其中，所述会话句柄用于映射所述用户名口令对应的敏感数据和安全数据。
第三方面，提供了一种数据获取装置，所述装置包括：
口令获取模块，用于获取用户名口令；
用户登录模块，用于使用所述用户名口令登录预先注册的密钥管理服务器，所述密钥管理服务器用于管理所述用户名口令对应的敏感数据和提供安全服务；
连接建立模块，用于在登录所述密钥管理服务器成功后基于安全协议与所述密钥管理服务器建立通信连接；
数据获取模块，用于使用所述通信连接从所述密钥管理服务器获取所述敏感数据和/或所述安全服务生成的安全数据。
第四方面，提供了一种数据获取装置，所述装置包括：
连接建立模块，用于在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接；
数据发送模块，用于使用所述通信连接向所述云平台发送敏感数据和/或安全服务生成的安全数据。
第五方面，提供一种数据获取装置，所述装置包括处理器和存储器；所述存储器中存储有程序，所述程序由所述处理器加载并执行以实现第一方面所述的数据获取方法；或者，以实现第二方面所述的数据获取方法。
第六方面，提供一种计算机可读存储介质，所述存储介质中存储有程序，所述程序由所述处理器加载并执行以实现第一方面所述的数据获取方法；或者，以实现第二方面所述的数据获取方法。
本申请的有益效果在于：通过获取用户名口令；使用用户名口令登录预先注册的密钥管理服务器，密钥管理服务器用于管理用户名口令对应的敏感数据并提供安全服务；在登录密钥管理服务器成功后基于安全协议与密钥管理服务器建立通信连接；使用通信连接从密钥管理服务器获取敏感数据和/或安全服务生成的安全数据；可以解决使用软件实现的加密算法实现云平台与客户端之间数据传输时，敏感数据存储在云平台本地，导致敏感数据的安全性不高的问题；由于可以通过额外添加密钥管理服务器，由密钥管理服务器管理敏感数据并提供安全服务，云平台在需要获取敏感数据时与密钥管理服务器建立通信连接来获取敏感数据，敏感数据不再保存在云平台本地，可以提高数据的安全性。
另外，通过使用密钥管理服务器提供安全服务，可以解决云平台出现处理能力较低或者其它无法提供安全服务的情况时，由密钥管理服务器提供该安全服务，一方面可以在云平台遭受攻击时保证安全服务的安全性；另一方面可以降低云平台的处理负荷。
上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，并可依照说明书的内容予以实施，以下以本申请的较佳实施例并配合附图详细说明如后。
附图说明
图1是本申请一个实施例提供的基于SSL协议建立通信时的单向认证过程的流程图；
图2是本申请一个实施例提供的数据获取系统的结构示意图；
图3是本申请一个实施例提供的数据获取方法的流程图；
图4是本申请一个实施例提供的登录密钥管理服务器的流程图；
图5是本申请一个实施例提供的在密钥管理服务器中注册云平台的流程图；
图6是本申请一个实施例提供的数据获取装置的框图；
图7是本申请一个实施例提供的数据获取装置的框图；
图8是本申请一个实施例提供的数据获取装置的框图。
具体实施方式
下面结合附图和实施例，对本申请的具体实施方式作进一步详细描述。以下实施例用于说明本申请，但不用来限制本申请的范围。
首先，对本申请涉及的若干名词进行介绍。
密钥管理服务(Key Management Service，KMS)提供密钥的安全托管、密码运算等服务。它内置密钥轮转等安全实践，支持其它云平台通过一方集成的方式对其管理的用户数据进行加密保护。可选地，密钥管理服务通过密钥管理服务器实现。本申请中，密钥管理服务器不仅提供密钥的安全托管和密码运算，还可以实现其它敏感数据的托管，比如：CA证书、随机数等与通信和加密相关的敏感数据，本实施例不对敏感数据的类型作限定。
证书颁发机构(Certificate Authority，CA)：是指负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。
CA中心为每个使用公开密钥的用户发放一个数字证书(CA证书)，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。网上的公众用户通过验证CA的签字从而信任CA，任何人都可以得到CA的证书(含公钥)，用以验证它所签发的证书。
如果用户想得到一份属于自己的证书，则向CA提出申请。在CA判明申请者的身份后，便为他分配一个公钥，并且CA将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成CA证书发给申请者。
如果一个用户想鉴别另一个证书的真伪，则使用CA证书的公钥对CA证书上的签字进行验证；若验证通过，则该CA证书是有效的。
可选地，CA证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。
强摘要认证：用来提供比标准摘要认证更高安全级别的认证方式。
强摘要认证过程至少包括如下特点；
1、密码不再明文传递，而是用摘要来代替，使用国密SM3算法生成，服务端将本地存储的摘要与客户端发来的摘要进行对比。
2、防止重放攻击，服务端向客户端发送随机数nonce的密文值，原文nonce使用客户端证书公钥加密，客户端生成摘要时先使用私钥解密得到原文nonce,得把nonce放在密码中，服务端使用加密私钥解密密文cnonce，同时知道用户的原始摘要值及nonce，接收到请求后再临时生成摘要与存储的原始摘要值对比。
3、通过客户端上传加密证书的序列号，服务端查询序列号对应的已注册加密证书，实现服务器对客户端的认证。通过客户端产生随机数cnonce，使用服务端证书公钥加密，实现客户端对服务器的认证。
4、通过对内容也加入摘要计算的方式，可有选择的防止对报文内容的篡改。
其中，nonce(Number used once或Number once的缩写)在密码学中是一个只被使用一次的任意或非重复的随机数值，在摘要认证过程中由服务端生成。
安全套接层(Secure Sockets Layer，SSL)是为网络通信提供安全及数据完整性的一种安全协议。SSL协议既用到了对称加密，也用到了非对称加密(公钥加密)。在建立传输链路时，SSL首先对对称加密的密钥使用公钥进行非对称加密，链路建立好之后，SSL对传输内容使用对称加密。
参考图1所示的基于SSL协议建立通信时的单向认证过程，该过程至少包括如下几个步骤：
步骤11，客户端向服务端发送客户端信息，该客户端信息包括客户端支持的SSL版本等信息；
步骤12，服务端接收客户端信息；基于该客户端信息向客户端返回服务端信息，该服务端信息包括服务端支持的SSL版本、随机数、服务端公钥等信息；
步骤13，客户端接收服务端信息；使用服务端公钥验证服务端证书是否合法；若合法，则执行步骤14；若不合法，则输出告警，流程结束；
步骤14，客户端向服务端发送客户端支持的对称加密算法；
步骤15，服务端接收客户端支持的对称加密算法；从客户端支持的对称加密算法中选择目标对称加密算法；并将选择出的目标对称加密算法发送至客户端；
步骤16，客户端接收目标对称加密算法，生成对称加密密钥；使用服务端公钥对该对称加密密钥进行加密；将加密后的对称加密密钥发送至服务端；
步骤17，服务端使用私钥对加密后的对称加密密钥进行解密，得到对称加密密钥；
步骤18，客户端和服务器端基于对称加密密钥对数据对称加密。
SSL虚拟专用网络(Virtual Private Network，VPN)：是指采用SSL协议来实现远程接入的一种新型VPN技术。它包括：服务器认证、客户认证、SSL链路上的数据完整性和SSL链路上的数据保密性。具体地，使用者利用浏览器内建的Secure Socket Layer封包处理功能，用浏览器通过SSL VPN网关连接到远程访问的SSL VPN服务器，然后透过网络封包转向的方式，让使用者可以在远程计算机执行应用程序，读取远程服务器数据。它采用标准的安全套接层SSL对传输中的数据包进行加密，从而在应用层保护了数据的安全性。高质量的SSLVPN解决方案可保证企业进行安全的全局访问。在客户端和服务器连接的过程中，SSLVPN网关有不可替代的作用。
图2是本申请一个实施例提供的数据获取系统的结构示意图，如图2所示，该系统至少包括：客户端110、云平台120和密钥管理服务器130。
客户端110与云平台120建立通信连接。客户端110用于对云平台120进行业务访问。可选地，本申请中，客户端110对云平台120进行业务访问时，云平台120需要对向客户端110传输的数据进行加密。
可选地，云平台120对向客户端110传输的数据进行加密的方式可以是对称加密或非对称加密，本实施例不对该加密方式作限定。
云平台120由独立的云主机121构成；或者，由多个云主机121构成的服务集群构成。云平台120与密钥管理服务器130基于安全协议(如：基于国密的SSLVPN协议或者非国密的SSL VPN协议)建立通信连接。云平台120在为客户端110提供业务服务器时，若需要使用敏感数据，则从密钥管理服务器130中获取；若需要访问安全服务(比如：加密服务或者解密服务等)，也可以向密钥管理服务器130发起请求，相应地，密钥管理服务器130使用安全服务生成安全数据(比如：加密数据或者解密数据)并返回至云平台120。
安全协议是指保证数据传输过程中的安全性和保密性的协议。本申请中以安全协议为基于国密的SSL VPN协议或者非国密的SSL VPN协议为例进行说明，在其它实施例中，能够保证数据传输过程中的安全性和保密性的协议均属于本申请所述的安全协议的保护范围。其中，基于国密的SSL VPN协议是指在使用SSL VPN协议进行数据传输的过程中，数据使用国密加密算法或者国密解密算法进行加解密处理的协议；基于非国密的SSL VPN协议是指在使用SSL VPN协议进行数据传输的过程中，数据使用除国密加解密算法之外的其它加解密算法进行加解密处理的协议。
其中，敏感数据是指云平台中需要保密的数据。敏感数据也可以称为隐私数据、非公开数据等，本实施例不对敏感数据的名称作限定。敏感数据包括但不限于：证书、公钥、私钥、和/或随机数，敏感数据的类型可以由用户定义，本实施例不对敏感数据的类型作限定。
密钥管理服务器130可以是位于与云平台相同的内网环境中；或者，也可以是位于公网上。当密钥管理服务器130位于公网时配置有访问白名单，该访问白名单用于过滤非法访问。
可选地，密钥管理服务器130还可以连接其他密码设备，如加密机、签名验签服务器等，为云平台120提供更多更快的密码服务。
示意性地，密钥管理服务器120通过内网与加密设备连接，该加密设备可以是独立的密码机或者带加密卡的设备，同时，也可以是插在密钥管理服务器上的UKEY等。密钥管理服务连接外接的密码设备使用的通信接口兼容《GMT0019-2012通用密码服务接口规范》、《GMT 0018-2012密码设备应用接口规范》以及《GMT 0048-2016智能密码钥匙密码检测规范》，能够达到密码设备任意扩展的目的。
云平台120与密钥管理服务器130建立通信连接之前，云平台120需要使用用户名口令以及该用户名口令对应的设备信息在密钥管理服务器130中进行用户注册，并保存密钥管理服务器130的配置信息。其中，设备信息包括云平台加密证书，该云平台加密证书对应一个序列号。
可选地，密钥管理服务器130的配置信息包括密钥管理服务器130的CA证书和服务器加密证书。
可选地，与密钥管理服务器130通信相连的云平台120的个数可以是一个；也可以是多个，本实施例不对云平台120的个数作限定。
在多个云平台120同时连接密钥管理服务器130时，密钥管理服务器130通过用户名口令和加密证书的序列号来区分不同云平台，其存储的敏感数据和安全数据与用户名口令相关联。
可选地，根据业务需求，单个云平台120的多个云主机121可以设置成同步模式或者非同步模式。
非同步模式下，云平台120的多个云主机121以不同的用户名口令通过云平台120转发登录到密钥管理服务器130，密钥管理服务器130生成多个会话句柄，会话句柄与用户名口令一一对应，互不影响。
同步模式下，同一云平台120的多个云主机121以不同用户名口令通过云平台120转发登录到密钥管理服务器130，密钥管理服务器130生成一个会话句柄，单个会话句柄与同一云平台120中的各个用户名口令对应，每个云平台120对应一个会话句柄。比如：在同步模式下，云主机A生成了私钥，获得私钥句柄后，同一云平台下的其它云主机均可以使用该私钥句柄进行数据签名。会话句柄和密钥容器、私钥使用权限等绑定。
非同步模式下，同一云平台120的多个云主机121可以自主进行密钥运算，适合同时多种运算需求的场景。同步模式下，同一云平台120的多个云主机121可以进行协同运算，适合单运算高性能需求的场景。
其中，会话句柄用于标识被应用程序所建立或使用的对象的唯一整数。换句话说，会话句柄是一个标识符，用于表示对象或者项目。本申请中，会话句柄用于映射对应的用户名口令的敏感数据和安全数据。
图3是本申请一个实施例提供的数据获取方法的流程图，本实施例以该方法应用于图2所示的数据获取系统中为例进行说明。该方法至少包括以下几个步骤：
步骤301，云平台获取用户名口令。
可选地，用户名口令包括用户名和登录密码。
可选地，云平台获取用户名口令包括但不限于以下几种实现方式：
第一种：云平台读取本地存储的用户名口令。
第二种：云平台计算保护密钥；获取加密后的用户名口令；使用保护密钥解密加密后的用户名口令，得到用户名口令。加密后的用户名口令是使用保护密钥进行对称加密得到的。
可选地，对称加密方式包括但不限于：SM1算法和/或SM4算法、AES算法等，本实施例不对对称加密的类型做限定。
第二种方式中，用户名口令以加密的形式存储在云平台中，只在使用时解密；可以防止云平台被攻击导致用户名口令泄露的问题，可以提高用户名口令的安全性。
其中，对称加密算法可以是SM4算法，当然，也可以是其它类型的对称加密算法，本实施例不对对称加密算法的类型作限定。
可选地，云平台获取保护密钥的方式包括但不限于以下几种实现方式：
第一种：云平台读取本地存储的保护密钥。
第二种：云平台获取本地的MAC地址和授权信息；基于第一加密算法和第一摘要算法对MAC地址和授权信息进行计算，得到保护密钥。其中，授权信息是密钥管理服务器对云平台授权通过后发送的信息(比如：授权号)。
第二种方式中，保护密钥是通过第一加密算法和第一摘要算法计算得到的；可以防止恶意人员获取到保护密钥后直接对加密后的用户名口令进行解密，得到用户名口令，导致用户名口令的安全性较低的问题；可以进一步提高用户名口令的安全性。
可选地，本申请中，第一摘要算法为SM3算法；第一加密算法为异或算法，当然，在实际实现时，第一摘要算法和第一加密算法还可以为其它类型的算法，本实施例对此不作限定。
示意性地，基于第一加密算法和第一摘要算法对MAC地址和授权信息进行计算，包括：云平台将MAC地址和授权信息拼接；对拼接后的字符串使用SM3加密算法进行摘要计算，得到32字节摘要值；将32字节摘要值的前16字节和后16字节进行异或操作，得到16字节的临时密钥；使用16字节的本地密钥与16字节的临时密钥进行异或操作，得到16字节的保护密钥。
步骤302，云平台使用用户名口令登录预先注册的密钥管理服务器。
其中，密钥管理服务器用于管理用户名口令对应的敏感数据和提供安全服务。
可选地，云平台使用用户名口令基于摘要认证方式登录密钥管理服务器。如图4所示，云平台使用用户名口令基于摘要认证方式登录密钥管理服务器的过程至少包括步骤41-413：
步骤41，云平台向密钥管理服务器发送认证请求，认证请求中携带有云平台加密证书的序列号。
认证请求用于触发密钥管理服务器生成并返回质询报文，质询报文包括密钥管理服务器生成的服务器随机数密文nonce和服务器域信息realm。
其中，服务器随机数密文是基于第二加密算法由云平台加密公钥对新生成的服务器随机数进行加密得到，云平台加密公钥通过查找已注册的云平台加密证书的序列号得到。
其中，第二加密算法可以是SM2算法，第二摘要算法是SM3算法。当然，也可以是其它算法，本实例对此不作限定。本实施例中，通过使用SM2算法作为加密算法，使用SM3算法作为摘要算法，相较于通用认证流程的SHA-256和MD5算法来说，可以提高认证过程的安全性。
步骤42，密钥管理服务器接收云平台发送的认证请求。
步骤43，密钥管理服务器确定云平台加密证书的序列号对应的云平台加密公钥；生成服务器随机数和服务域信息；基于第二加密算法使用云平台加密公钥对服务器随机数进行加密，得到服务器随机数密文；生成质询报文，该质询报文包括服务器随机数密文和服务器域信息。
密钥管理服务器中存储有云平台加密证书和序列号的对应关系，根据该对应关系可以确定出序列号对应的云平台加密证书，进而从云平台加密证书中读取到云平台加密公钥。其中，云平台加密证书和序列号的对应关系是云平台在密钥管理服务器中注册时在密钥管理服务器中建立的。
示意性地，质询报文包括服务器随机数密文nonce和服务器域信息realm。
步骤44，密钥管理服务器将质询报文发送至云平台。
其中，质询报文用于供云平台生成认证信息。
步骤45，云平台接收质询报文。
步骤46，云平台使用云平台加密私钥对质询报文中的服务器随机数密文进行非对称解密，得到服务器随机数；生成云平台随机数；使用第二摘要算法对用户名口令和质询报文中的服务器域信息进行摘要运算，得到临时摘要值；对临时摘要值、云平台随机数和服务器随机数进行摘要运算，得到最终摘要值；基于第二加密算法使用服务器加密证书对云平台随机数进行加密，得到云平台随机数密文；对最终摘要值、云平台随机数密文和服务器随机数密文进行拼凑，得到认证信息。
云平台加密证书中云平台加密公钥所对应的云平台加密私钥存储在云平台中。
其中，服务器加密证书包括服务器加密公钥，该服务器加密公钥对应的服务器加密私钥存储在密钥管理服务器中。
示意性地，云平台使用SM3算法计算用户名口令和realm的值，得到临时摘要值；使用SM3算法对临时摘要值、服务器随机数和云平台生成的云平台随机数进行计算，得到最终摘要值；将最终摘要值、服务器随机数密文nonce和云平台随机数密文cnonce结合得到认证信息。
步骤47，云平台将认证信息发送至密钥管理服务器。
认证信息用于触发密钥管理服务器使用服务器加密私钥对认证信息中的云平台随机数密文进行解密，得到云平台随机数；使用第二摘要算法对已注册的用户名口令和对应的服务域信息进行摘要运算，得到模板临时摘要值；对模板临时摘要值、云平台随机数和已注册的用户名口令对应的服务器随机数进行摘要运算，得到模板最终摘要值；对模板最终摘要值、认证信息中的云平台随机数密文和已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息；在认证信息与模板信息相匹配时返回认证通过反馈。
步骤48，密钥管理服务器接收云平台发送的认证信息，认证信息包括最终摘要值、云平台随机数密文和服务器随机数密文。
步骤49，密钥管理服务器使用服务器加密私钥对认证信息中的云平台随机数密文进行解密，得到云平台随机数；使用第二摘要算法对已注册的用户名口令和对应的服务域信息进行摘要运算，得到模板临时摘要值；对模板临时摘要值、云平台随机数和已注册的用户名口令对应的服务器随机数进行摘要运算，得到模板最终摘要值；对模板最终摘要值、认证信息中的云平台随机数密文和已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息。
示意性地，密钥管理服务器获取已注册的用户名口令，使用SM3算法计算已注册的用户名口令和对应的服务域信息realm的值，得到模板临时摘要值；再次使用SM3算法对模板临时摘要值、对认证信息中云平台随机数密文进行解密后得到的云平台随机数和已注册的用户名口令对应的服务器随机数进行计算，得模板最终摘要值；对模板最终摘要值、认证信息中的云平台随机数密文和已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息。若模板信息与认证信一致，则认证通过；若模板信息与认证信息不一致，则认证失败。
步骤410，密钥管理服务器在认证信息与模板信息相匹配时向云平台发送认证通过反馈，以通知云平台登录成功，执行步骤411；在认证信息与模板信息相匹配时向云平台发送认证失败反馈，执行步骤412。
步骤411，云平台接收认证通过反馈，流程结束。
步骤412，云平台接收认证失败反馈，输出认证失败提示。
步骤303，在登录密钥管理服务器成功后，云平台与密钥管理服务器基于安全协议建立通信连接。
安全协议是指保证数据传输过程中的安全性和保密性的协议。本申请中以安全协议为基于国密的SSL VPN协议或者非国密的SSL VPN协议为例进行说明，在其它实施例中，能够保证数据传输过程中的安全性和保密性的协议均属于本申请所述的安全协议的保护范围。其中，基于国密的SSL VPN协议是指在使用SSL VPN协议进行数据传输的过程中，数据使用国密加密算法或者国密解密算法进行加解密处理的协议；基于非国密的SSL VPN协议是指在使用SSL VPN协议进行数据传输的过程中，数据使用除国密加解密算法之外的其它加解密算法进行加解密处理的协议。
其中，敏感数据是指云平台中需要保密的数据。敏感数据也可以称为隐私数据、非公开数据等，本实施例不对敏感数据的名称作限定。敏感数据包括但不限于：证书、公钥、私钥、和/或随机数，敏感数据的类型可以由用户定义，本实施例不对敏感数据的类型作限定。
其中，通信连接是云平台在获取到用户名口令后，使用用户名口令登录预先注册的密钥管理服务器后建立的。
在云平台使用用户名口令登录成功后，云平台基于安全协议与密钥管理服务器建立通信连接；密钥管理服务器基于安全协议与云平台建立通信连接。
示意性地，本实施例中，云平台与密钥管理服务器基于安全协议建立通信连接过程，加密算法使用SM2+SM3+SM4的加密套件，即，图1所示的握手阶段使用SM2算法、认证阶段(登录阶段)使用SM3算法、对称算法采用SM4算法。通过使用通用的国密算法，可以提高通信过程的安全性。
可选地，云平台上的公钥运算和SM4对称算法运算以及SM3摘要运算由云平台本地处理。私钥运算和SM1对称算法运算以及随机数种子生成，根据业务的性能需求可以由密钥管理服务器或者一起搭建的性能更高的加密机等密码设备处理。
步骤304，云平台使用通信连接从密钥管理服务器获取敏感数据和/或安全服务生成的安全数据。
步骤305，密钥管理服务器使用通信连接向云平台发送敏感数据和/或安全服务生成的安全数据。
在一个示例中，通信连接基于国密SSL VPN协议建立，此时，敏感数据和/或安全数据使用国密算法加密后，密钥管理服务器将加密后的数据基于SSLVPN协议传输至云平台；云平台使用对应的国密算法解密，得到敏感数据和/或安全数据。
在另一个示例中，通信连接基于非国密SSL VPN协议建立，此时，敏感数据和/或安全数据使用非国密算法加密后，密钥管理服务器将加密后的数据基于SSL VPN协议传输至云平台；云平台使用对应的非国密算法解密，得到敏感数据和/或安全数据。
综上所述，本实施例提供的数据获取方法，通过获取用户名口令；使用用户名口令登录预先注册的密钥管理服务器，密钥管理服务器用于管理用户名口令对应的敏感数据；在登录密钥管理服务器成功后基于安全协议与密钥管理服务器建立通信连接；使用通信连接从密钥管理服务器获取敏感数据；可以解决使用软件实现的加密算法实现云平台与客户端之间数据传输时，敏感数据存储在云平台本地，导致敏感数据的安全性不高的问题；由于可以通过额外添加密钥管理服务器，由密钥管理服务器管理敏感数据并提供安全服务，云平台在需要获取敏感数据和访问安全服务时与密钥管理服务器建立通信连接来获取敏感数据和访问安全服务，敏感数据不再保存在云平台本地，可以提高敏感数据的安全性，从而提高云平台与客户端之间通信的安全性和访问安全服务的安全性。
另外，用户名口令以加密的形式存储在云平台中，只在使用时解密；可以防止云平台被攻击导致用户名口令泄露的问题，可以提高用户名口令的安全性。
另外，本申请中通过使用安全协议建立云平台与密钥管理服务器之间的通信连接，可以保证敏感数据和安全数据的安全传输，提高数据安全性。
另外，云平台与密钥管理服务器基于安全协议建立通信连接过程，加密算法使用SM2+SM3+SM4的加密套件，即，在握手阶段使用SM2算法、认证阶段(登录阶段)使用SM3算法、对称算法采用SM4算法；通过使用通用的国密算法，可以提高通信过程的安全性。
可选地，上述云平台侧执行的步骤可单独实现为云平台侧的实施例；密钥管理服务器侧执行的步骤可单独实现为密钥管理服务器侧的实施例。
可选地，在步骤302之前，云平台需要在密钥管理服务器中进行注册。图5是本申请一个实施例提供的数据获取方法的流程图，本实施例以该方法应用于图2所示的数据获取系统中为例进行说明。在步骤302之前，该方法至少包括以下几个步骤：
步骤501，云平台向密钥管理服务器发送注册请求，该注册请求携带有用户名口令和该用户名口令对应的设备信息。
注册请求用于触发密钥管理服务器对用户名口令和设备信息进行注册，并在注册成功后返回配置信息。
设备信息包括云平台加密证书。
步骤502，密钥管理服务器接收云平台发送的注册请求。
步骤503，密钥管理服务器对用户名口令和该用户名口令对应的设备信息进行注册。
设备信息包括云平台加密证书。可选地，设备信息还可以包括但不限于：云平台的MAC地址、设备名称、和/或IP地址。
可选地，密钥管理服务器在对用户名口令和设备信息进行注册时，可以对用户名口令进行验证；在验证通过时对用户名口令和对应的设备信息进行注册；在未验证通过时不对用户名口令和对应的设备信息进行注册。
对用户名口令和对应的设备信息进行注册，包括：建立用户名口令、云平台加密证书和该云平台加密证书的序列号之间的对应关系。云平台加密证书包括云平台加密公钥。
其中，对用户名口令进行验证可以是验证用户名口令是否已注册；和/或，验证用户名口令是否有效等，本实施例不对用户名口令的验证方式作限定。
可选地，密钥管理服务器对用户名口令和对应的设备信息进行注册，包括：获取云平台的工作模式，工作模式包括同步模式和非同步模式；在工作模式为同步模式时，生成用户名口令对应的第一会话句柄，该第一会话句柄为云平台中的各个用户名口令共用的会话句柄；在工作模式为同步模式时，生成用户名口令对应的第二会话句柄，第二会话句柄为该用户名口令专用的会话句柄。换句话说，该用户名口令对应的第二会话句柄与云平台中其它用户名口令对应的会话句柄均不同。
其中，工作模式可以是注册请求中携带的；或者，是云平台传输的；或者，是本地存储的，本实施例不对工作模式的获取方式作限定。
步骤504，密钥管理服务器在注册成功后返回配置信息。
配置信息用于供云平台对密钥管理服务器进行验证。
可选地，配置信息包括密钥管理服务器的服务器加密证书和CA证书。
其中，CA证书(或称签名证书)在签名时使用，用于验证密钥管理服务器的身份，CA证书的公钥和私钥均由密钥管理服务器自己产生，并且由密钥管理服务器自己保管。服务器加密证书在传递加密数据时使用，服务器加密证书的服务器加密私钥和服务器加密公钥由CA产生，并由CA保管(存根)。服务器加密证书包括服务器加密公钥。
步骤505，云平台接收密钥管理服务器发送的配置信息。
步骤506，云平台在对配置信息验证通过后存储配置信息。
云平台对配置信息进行验证包括：对密钥管理服务器的CA证书进行验证。比如：云平台使用CA证书的公钥对CA证书上的签字进行验证；若验证通过，则该CA证书是有效的；若验证未通过，则该CA证书无效，发送该CA证书的设备为不安全设备，不与该设备建立通信连接。
综上所述，本实施例通过根据云主机的工作模式自行切换注册用户名口令的方式，可以在固定的成本下可以提供满足各种云主机工作场景的需求。
图6是本申请一个实施例提供的数据获取装置的框图，本实施例以该装置应用于图2所示的数据获取系统中的云平台120为例进行说明。该装置至少包括以下几个模块：口令获取模块610、用户登录模块620、连接建立模块630和数据获取模块640。
口令获取模块610，用于获取用户名口令；
用户登录模块620，用于使用所述用户名口令登录预先注册的密钥管理服务器，所述密钥管理服务器用于管理所述用户名口令对应的敏感数据和提供安全服务；
连接建立模块630，用于在登录所述密钥管理服务器成功后基于安全协议与所述密钥管理服务器建立通信连接；
数据获取模块640，用于使用所述通信连接从所述密钥管理服务器获取所述敏感数据和/或所述安全服务生成的安全数据。
图7是本申请一个实施例提供的数据获取装置的框图，本实施例以该装置应用于图2所示的数据获取系统中的密钥管理服务器130为例进行说明。该装置至少包括以下几个模块：连接建立模块710和数据发送模块720。
连接建立模块710，用于在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接；
数据发送模块720，用于使用所述通信连接向所述云平台发送敏感数据和/或安全服务生成的安全数据。
相关细节参考上述方法实施例。
需要说明的是：上述实施例中提供的数据获取装置在进行数据获取时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将数据获取装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的数据获取装置与数据获取方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。
图8是本申请一个实施例提供的数据获取装置的框图，该装置可以是图2所示的数据获取系统中的云平台120或者密钥管理服务器130。该装置至少包括处理器801和存储器802。
处理器801可以包括一个或多个处理核心，比如：4核心处理器、8核心处理器等。处理器801可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA
(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器801也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central Processing Unit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。一些实施例中，处理器801还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。
存储器802可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器802还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器802中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器801所执行以实现本申请中方法实施例提供的数据获取方法。
在一些实施例中，数据获取装置还可选包括有：外围设备接口和至少一个外围设备。处理器801、存储器802和外围设备接口之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与外围设备接口相连。示意性地，外围设备包括但不限于：射频电路、触摸显示屏、音频电路、和电源等。
当然，数据获取装置还可以包括更少或更多的组件，本实施例对此不作限定。
可选地，本申请还提供有一种计算机可读存储介质，所述计算机可读存储介质中存储有程序，所述程序由处理器加载并执行以实现上述方法实施例的数据获取方法。
可选地，本申请还提供有一种计算机产品，该计算机产品包括计算机可读存储介质，所述计算机可读存储介质中存储有程序，所述程序由处理器加载并执行以实现上述方法实施例的数据获取方法。
以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (11)

1.一种数据获取方法，其特征在于，应用于云平台，所述方法包括：
获取用户名口令；
使用所述用户名口令登录预先注册的密钥管理服务器，所述密钥管理服务器用于管理所述用户名口令对应的敏感数据和提供安全服务；
在登录所述密钥管理服务器成功后基于安全协议与所述密钥管理服务器建立通信连接；
使用所述通信连接从所述密钥管理服务器获取所述敏感数据和/或所述安全服务生成的安全数据；
所述使用所述用户名口令登录预先注册的密钥管理服务器，包括：
向所述密钥管理服务器发送认证请求，所述认证请求中携带有云平台加密证书的序列号，以触发所述密钥管理服务器生成并返回质询报文；所述质询报文包括所述密钥管理服务器生成的服务器随机数密文和服务器域信息；
接收所述质询报文；
使用云平台加密私钥对所述质询报文中的服务器随机数密文进行非对称解密，得到所述服务器随机数；
生成云平台随机数；
使用第二摘要算法对所述用户名口令和所述质询报文中的服务器域信息进行摘要运算，得到临时摘要值；
对所述临时摘要值、所述云平台随机数和所述服务器随机数进行摘要运算，得到最终摘要值；
基于第二加密算法使用服务器加密证书对所述云平台随机数进行加密，得到云平台随机数密文；
对所述最终摘要值、所述云平台随机数密文和所述服务器随机数密文进行拼凑，得到认证信息；
将所述认证信息发送至所述密钥管理服务器，以触发所述密钥管理服务器对所述认证信息进行认证，并在认证通过时返回认证通过反馈；
接收所述认证通过反馈。
2.根据权利要求1所述的方法，其特征在于，所述使用所述用户名口令登录预先注册的密钥管理服务器之前，还包括：
向所述密钥管理服务器发送注册请求，所述注册请求携带有所述用户名口令和所述用户名口令对应的设备信息，所述注册请求用于触发所述密钥管理服务器对所述用户名口令和所述设备信息进行注册，并在注册成功后返回配置信息；
接收所述密钥管理服务器发送的配置信息；
在对所述配置信息验证通过后存储所述配置信息。
3.根据权利要求1所述的方法，其特征在于，所述获取用户名口令，包括：
计算保护密钥；
获取加密后的用户名口令，所述加密后的用户名口令是使用所述保护密钥进行对称加密得到的；
使用所述保护密钥解密所述加密后的用户名口令，得到用户名口令。
4.根据权利要求3所述的方法，其特征在于，所述计算保护密钥，包括：
获取所述云平台的MAC地址和授权信息，所述授权信息是所述密钥管理服务器对所述云平台授权通过后发送的信息；
基于第一加密算法和第一摘要算法对所述MAC地址和所述授权信息进行计算，得到所述保护密钥。
5.一种数据获取方法，其特征在于，应用于密钥管理服务器，所述方法包括：
在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接；
使用所述通信连接向所述云平台发送敏感数据和/或所述安全服务生成的安全数据；
接收所述云平台发送的认证请求，所述认证请求中携带有云平台加密证书的序列号；
确定所述云平台加密证书的序列号对应的云平台加密公钥；
生成服务器随机数和服务器域信息；
基于第二加密算法使用所述云平台加密公钥对所述服务器随机数进行加密，得到服务器随机数密文；
生成质询报文，所述质询报文包括所述服务器随机数密文和所述服务器域信息；
将所述质询报文发送至所述云平台，以供所述云平台生成认证信息；所述认证信息包括最终摘要值、云平台随机数密文和所述服务器随机数密文；
接收所述云平台发送的所述认证信息；
使用服务器加密私钥对所述认证信息中的云平台随机数密文进行解密，得到所述云平台随机数；
使用第二摘要算法对已注册的用户名口令和对应的所述服务器域信息进行摘要运算，得到模板临时摘要值；
对所述模板临时摘要值、所述云平台随机数和所述已注册的用户名口令对应的服务器随机数进行摘要运算，得到模板最终摘要值；
对所述模板最终摘要值、所述认证信息中的云平台随机数密文和所述已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息；在所述认证信息与所述模板信息相匹配时向所述云平台发送认证通过反馈，以通知所述云平台登录成功。
6.根据权利要求5所述的方法，其特征在于，所述在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接之前，包括：
接收所述云平台发送的注册请求，所述注册请求携带有所述用户名口令和所述用户名口令对应的设备信息；
对所述用户名口令和所述设备信息进行注册；
在注册成功后返回配置信息，所述配置信息用于供所述云平台对所述密钥管理服务器进行验证。
7.根据权利要求6所述的方法，其特征在于，所述云平台包括多个云主机，不同云主机对应不同的用户名口令；所述对所述用户名口令和所述设备信息进行注册，包括：
获取所述云平台的工作模式，所述工作模式包括同步模式和非同步模式；
在所述工作模式为所述同步模式时，生成所述用户名口令对应的第一会话句柄，所述第一会话句柄为所述云平台中的各个用户名口令共用的会话句柄；
在所述工作模式为所述非同步模式时，生成所述用户名口令对应的第二会话句柄；所述第二会话句柄为所述用户名口令专用的会话句柄；
其中，所述会话句柄用于映射所述用户名口令对应的敏感数据和安全数据。
8.一种数据获取装置，其特征在于，所述装置包括：
口令获取模块，用于获取用户名口令；
用户登录模块，用于使用所述用户名口令登录预先注册的密钥管理服务器，所述密钥管理服务器用于管理所述用户名口令对应的敏感数据和提供安全服务；
连接建立模块，用于在登录所述密钥管理服务器成功后基于安全协议与所述密钥管理服务器建立通信连接；
数据获取模块，用于使用所述通信连接从所述密钥管理服务器获取所述敏感数据和/或所述安全服务生成的安全数据；
所述使用所述用户名口令登录预先注册的密钥管理服务器，包括：
向所述密钥管理服务器发送认证请求，所述认证请求中携带有云平台加密证书的序列号，以触发所述密钥管理服务器生成并返回质询报文；所述质询报文包括所述密钥管理服务器生成的服务器随机数密文和服务器域信息；
接收所述质询报文；
使用云平台加密私钥对所述质询报文中的服务器随机数密文进行非对称解密，得到所述服务器随机数；
生成云平台随机数；
使用第二摘要算法对所述用户名口令和所述质询报文中的服务器域信息进行摘要运算，得到临时摘要值；
对所述临时摘要值、所述云平台随机数和所述服务器随机数进行摘要运算，得到最终摘要值；
基于第二加密算法使用服务器加密证书对所述云平台随机数进行加密，得到云平台随机数密文；
对所述最终摘要值、所述云平台随机数密文和所述服务器随机数密文进行拼凑，得到认证信息；
将所述认证信息发送至所述密钥管理服务器，以触发所述密钥管理服务器对所述认证信息进行认证，并在认证通过时返回认证通过反馈；
接收所述认证通过反馈。
9.一种数据获取装置，其特征在于，所述装置包括：
连接建立模块，用于在云平台使用用户名口令登录成功后基于安全协议与所述云平台建立通信连接；
数据发送模块，用于使用所述通信连接向所述云平台发送敏感数据和/或安全服务生成的安全数据；
接收所述云平台发送的认证请求，所述认证请求中携带有云平台加密证书的序列号；
确定所述云平台加密证书的序列号对应的云平台加密公钥；
生成服务器随机数和服务器域信息；
基于第二加密算法使用所述云平台加密公钥对所述服务器随机数进行加密，得到服务器随机数密文；
生成质询报文，所述质询报文包括所述服务器随机数密文和所述服务器域信息；
将所述质询报文发送至所述云平台，以供所述云平台生成认证信息；所述认证信息包括最终摘要值、云平台随机数密文和所述服务器随机数密文；
接收所述云平台发送的所述认证信息；
使用服务器加密私钥对所述认证信息中的云平台随机数密文进行解密，得到所述云平台随机数；
使用第二摘要算法对已注册的用户名口令和对应的所述服务器域信息进行摘要运算，得到模板临时摘要值；
对所述模板临时摘要值、所述云平台随机数和所述已注册的用户名口令对应的服务器随机数进行摘要运算，得到模板最终摘要值；
对所述模板最终摘要值、所述认证信息中的云平台随机数密文和所述已注册的用户名口令对应的服务器随机数密文进行拼凑，得到模板信息；在所述认证信息与所述模板信息相匹配时向所述云平台发送认证通过反馈，以通知所述云平台登录成功。
10.一种数据获取装置，其特征在于，所述装置包括处理器和存储器；所述存储器中存储有程序，所述程序由所述处理器加载并执行以实现如权利要求1至4任一项所述的数据获取方法；或者，实现如权利要求5至7任一项所述的数据获取方法。
11.一种计算机可读存储介质，其特征在于，所述存储介质中存储有程序，所述程序被处理器执行时用于实现如权利要求1至4任一项所述的数据获取方法；或者，实现如权利要求5至7任一项所述的数据获取方法。
CN202010174984.0A 2020-03-13 2020-03-13 数据获取方法、装置及存储介质 Active CN111416807B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010174984.0A CN111416807B (zh) 2020-03-13 2020-03-13 数据获取方法、装置及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010174984.0A CN111416807B (zh) 2020-03-13 2020-03-13 数据获取方法、装置及存储介质

Publications (2)

Publication Number Publication Date
CN111416807A CN111416807A (zh) 2020-07-14
CN111416807B true CN111416807B (zh) 2022-06-07

Family

ID=71492943

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010174984.0A Active CN111416807B (zh) 2020-03-13 2020-03-13 数据获取方法、装置及存储介质

Country Status (1)

Country Link
CN (1) CN111416807B (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112165381B (zh) * 2020-08-18 2023-12-05 远景智能国际私人投资有限公司 密钥管理系统和方法
CN111984966B (zh) * 2020-08-31 2024-06-18 深圳平安医疗健康科技服务有限公司 基于Linux云平台的口令检测方法、装置、设备及存储介质
CN112491787B (zh) * 2020-10-18 2022-12-27 苏州浪潮智能科技有限公司 一种用户数据的安全管理的方法和设备
CN112003881B (zh) * 2020-10-28 2021-02-02 湖南天琛信息科技有限公司 一种基于私有云的安全云手机系统
CN112989027B (zh) * 2021-02-01 2024-04-12 中金金融认证中心有限公司 用于查询名单和用于提供名单查询服务的方法及相关产品
CN112919271A (zh) * 2021-02-02 2021-06-08 简东 用户乘坐电梯使用的系统和方法
CN113347157B (zh) * 2021-05-13 2022-10-14 浪潮软件股份有限公司 一种基于SM系列加密算法的Web应用加密系统及方法
CN113780798B (zh) * 2021-09-07 2024-05-28 杭州天宽科技有限公司 基于云计算的关键指标展示系统
CN114024767B (zh) * 2021-11-25 2023-06-02 郑州信大信息技术研究院有限公司 密码定义网络安全体系构建方法、体系架构及数据转发方法
CN114499954B (zh) * 2021-12-21 2024-05-10 海光信息技术股份有限公司 一种用于敏感数据的管理装置和方法
CN114866228A (zh) * 2022-03-24 2022-08-05 北京安御道合科技有限公司 一种实现软密码模块的方法、系统、存储介质及终端
CN114760129B (zh) * 2022-04-11 2024-07-09 平安国际智慧城市科技股份有限公司 数据访问方法、装置、设备及存储介质
CN115599596B (zh) * 2022-09-16 2023-07-18 花瓣云科技有限公司 数据处理方法、电子设备、系统及存储介质
CN117997519A (zh) * 2022-10-27 2024-05-07 财付通支付科技有限公司 数据处理方法、装置、程序产品、计算机设备和介质
CN116582267B (zh) * 2023-05-15 2023-10-31 合芯科技(苏州)有限公司 一种数据加密系统、方法、装置、存储介质及电子设备

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6088799A (en) * 1997-12-11 2000-07-11 International Business Machines Corporation Security method and system for persistent storage and communications on computer network systems and computer network systems employing the same
US6151676A (en) * 1997-12-24 2000-11-21 Philips Electronics North America Corporation Administration and utilization of secret fresh random numbers in a networked environment
CN101183932B (zh) * 2007-12-03 2011-02-16 宇龙计算机通信科技(深圳)有限公司 一种无线应用服务的安全认证系统及其注册和登录方法
CN102420821B (zh) * 2011-11-28 2015-05-27 飞天诚信科技股份有限公司 一种提高文件传输安全性的方法和系统
CN102970299B (zh) * 2012-11-27 2015-06-03 西安电子科技大学 文件安全保护系统及其方法
CN104281814B (zh) * 2013-07-03 2018-11-02 江苏保旺达软件技术有限公司 文件防泄密系统及其工作方法
CN103888451B (zh) * 2014-03-10 2017-09-26 百度在线网络技术（北京）有限公司 认证的授权方法、装置及系统
CN105337935B (zh) * 2014-07-09 2018-12-21 阿里巴巴集团控股有限公司 一种建立客户端和服务端长连接的方法和装置
CN106161368B (zh) * 2015-04-07 2020-04-14 阿里巴巴集团控股有限公司 一种用于对云应用进行远程访问的方法、装置及系统
KR101955449B1 (ko) * 2016-11-29 2019-03-11 주식회사 리노미디어 인증프로세스의 단계분할과 생채인증을 접목한 개인정보침해 방어 방법 및 시스템
CN110214326A (zh) * 2016-11-29 2019-09-06 俐怒媒体公司 结合认证程序的阶段划分和生物认证的个人信息侵害预防方法及系统
CN108449568A (zh) * 2018-01-31 2018-08-24 苏州科达科技股份有限公司 用于视频会议的身份认证方法及装置
CN108737442B (zh) * 2018-06-12 2019-05-10 北京多采多宜网络科技有限公司 一种加密校验处理方法

Also Published As

Publication number Publication date
CN111416807A (zh) 2020-07-14

Similar Documents

Publication Publication Date Title
CN111416807B (zh) 数据获取方法、装置及存储介质
CN109309565B (zh) 一种安全认证的方法及装置
US9847882B2 (en) Multiple factor authentication in an identity certificate service
CN109088889B (zh) 一种ssl加解密方法、系统及计算机可读存储介质
US9467430B2 (en) Device, method, and system for secure trust anchor provisioning and protection using tamper-resistant hardware
JP5860815B2 (ja) コンピューターポリシーを施行するためのシステムおよび方法
US7992193B2 (en) Method and apparatus to secure AAA protocol messages
US9065637B2 (en) System and method for securing private keys issued from distributed private key generator (D-PKG) nodes
US8291231B2 (en) Common key setting method, relay apparatus, and program
EP3073668B1 (en) Apparatus and method for authenticating network devices
US20150039890A1 (en) Method and device for secure communications over a network using a hardware security engine
WO2016065321A1 (en) Secure communication channel with token renewal mechanism
WO2022100356A1 (zh) 身份认证系统、方法、装置、设备及计算机可读存储介质
CN101605137A (zh) 安全分布式文件系统
CN112235235A (zh) 一种基于国密算法的sdp认证协议实现方法
CN115277168B (zh) 一种访问服务器的方法以及装置、系统
WO2018202109A1 (zh) 一种证书请求消息发送方法、接收方法和装置
WO2023151427A1 (zh) 量子密钥传输方法、装置及系统
EP4096160A1 (en) Shared secret implementation of proxied cryptographic keys
CN113411187A (zh) 身份认证方法和系统、存储介质及处理器
CN114513339A (zh) 一种安全认证方法、系统及装置
CN112733129B (zh) 一种服务器带外管理的可信接入方法
JP2024501326A (ja) アクセス制御方法、装置、ネットワーク側機器、端末及びブロックチェーンノード
KR102591826B1 (ko) Puf를 이용한 인증서 기반 디바이스 인증 장치 및 방법
WO2022135391A1 (zh) 身份鉴别方法、装置、存储介质、程序、及程序产品

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant