CN106533894B - 一种全新的安全的即时通信体系 - Google Patents

Abstract

本发明公开了一种全新的安全的即时通信体系。在常规的“系统+用户”即时通信架构之上，增加一个“互联”层，形成“互联+系统+用户”的创新三层即时通信架构；进一步地，基于创新架构中各组件的身份标识，构建基于标识的安全架构，实现即时通信数据的存储安全和传输安全，以及各组件之间的身份认证。该即时通信体系的构建，在保证各即时通信系统自身独立性和私密性的基础上，实现了安全策略控制下的不同即时通信系统的互联互通。

Description

一种全新的安全的即时通信体系

技术领域

本发明属于即时通信领域，涉及如何在互联网、企业网和云计算环境等混合的复杂环境下建立安全互联的即时通信体系，特别是涉及到不同的即时通信系统如何进行安全的互联互通。

背景技术

即时通信（Instant Messaging，缩写为IM）是手机、平板电脑和计算机用户之间利用网络进行即时消息的发送与接收过程，能够传送文字、图片、声音和视频等信息，是互联网非常普遍和受欢迎的网络应用之一。典型的IM应用有微信、QQ、LINE、WhatsApp、米聊和腾讯通等。

上述这些IM应用都自成体系，各自构建的即时通信系统都拥有较大数量的用户群，但它们都不能互联互通，例如，米聊的用户不能与微信的用户进行即时通信。虽然出现了多种即时通信协议，有的像可扩展消息与呈现协议（XMPP）都已被批准为互联网即时通信协议标准，但仍未解决即时通信系统的互联互通问题。而且，现有的即时通信系统安全性也不足，用户会话信息在终端和网络上很容易被泄露或窃取。当前的即时通信系统主要存在以下两个问题：

（1）不能互联互通。不同企业或组织搭建的即时通信系统，以及面向公众服务的即时通信系统，还不能做到互联互通，这使得即时通信的灵活性大大降低，严重影响了企业或组织的工作协同效率。业界希望即时通信也能够像电子邮件一样方便地互联互通。

（2）安全性不足。现有绝大部分的互联网公共即时通信系统和企业级即时通信系统，通常仅提供基本的身份验证功能，都没有为用户提供足够的安全功能，来保护用户的数据存储安全和数据传输安全，会话信息很容易被篡改和窃取。

目前，虽然出现了一些协议转换网关技术，可用来解决某两个特定即时通信系统的互联互通问题，但局限性很大，不是一个普适性的解决方案。也有像Telegram的小众即时通信系统，提供点对点即时通信安全加密，但安全功能总体上还不强。

总之，随着移动互联网的飞速发展，以及人们的工作生活正越来越依赖移动智能终端和即时通信系统平台，人们希望即时通信也能够像电子邮件那样互联互通，并且是安全性较强的互联互通。为此，本发明提出了一种全新的安全的即时通信体系，这是一个一体化的安全互联解决方案，能够同时解决即时通信的互联互通和安全性问题。

发明内容

本发明的目的是建立一种在互联网、企业内网和云计算平台等复杂网络环境下，能够进行安全互联的即时通信体系，从而有效解决目前人们遇到的互联互通和安全性问题。无论是在企业专网搭建即时通信系统，还是租用云端服务器搭建即时通信系统，都能够在保证信息安全的前提下进行互联互通，用户之间方便地进行即时通信。

本发明的一种全新的安全的即时通信体系，分为互联层、系统层和用户层三个层次，其中，互联层为系统层提供即时通信系统之间的互联互通服务，系统层为用户层提供安全的即时通信服务。具体内容如下。

一、互联层

互联层包括即时通信路由器和安全参数交换中心，用于各即时通信系统的互联互通。

（1）即时通信路由器是指一种用于即时通信系统互联互通的网络设备，多个即时通信路由器能够相互连接形成路由服务网络，为系统层提供路由寻址和协议转换服务。

（2）安全参数交换中心是指一种用于即时通信系统互联互通的安全设备，保存着各个即时通信系统的安全参数，为即时通信系统的互联互通提供彼此的安全参数。

二、系统层

系统层由一个个自治的即时通信系统组成，用于为用户提供安全的即时通信服务。即时通信系统又由即时通信服务器和安全服务中心组成，每个即时通信系统就是一个自治的成体系的即时通信网络，可部署一至多台即时通信服务器，具有自己的用户数据库，可运行不同的即时通信协议。

（1）即时通信服务器是一种为用户提供安全的即时通信服务的设备，既可以部署在云数据中心，也可以部署在企业或组织的内部网络中，且具有与安全服务中心的交互接口。

（2）安全服务中心由标识管理模块和标识密码管理模块组成，具有与即时通信服务器的交互接口，并通过该接口为其提供安全支撑。其中，标识管理模块用于管理维护即时通信系统中即时通信服务器和用户的身份标识，确保其唯一性；标识密码管理模块用于根据即时通信服务器或用户的身份标识，基于标识密码算法，以身份标识作为公钥，生成该身份标识所对应的私钥。

三、用户层

用户层由用户组成，用户间的即时通信分为系统内即时通信和跨系统即时通信两种。其中，系统内即时通信是指一个即时通信系统内的用户之间所进行的即时通信，无需通过互联层的支持；而跨系统即时通信则是指两个或两个以上即时通信系统的用户所进行的即时通信，需要通过互联层的支持。

进一步地，跨系统即时通信的具体步骤如下：

（1）用户发起即时通信，邀请其他用户加入通信；

（2）发起用户所在的即时通信服务器，根据其他用户的标识，获取这些用户所在的即时通信服务器的标识；

（3）发起用户所在的即时通信服务器利用这些服务器的标识，向连接它的即时通信路由器发出对这些服务器的寻址请求；

（4）即时通信路由器在路由服务网络中路由寻址请求，找到这些服务器的网络地址；

（5）即时通信路由器向发起用户所在的即时通信服务器返回各个服务器的网络地址；

（6）发起用户所在的即时通信服务器请求与其他用户所在的服务器建立网络连接；

（7）其他用户所在的服务器根据其安全策略进行访问控制，决定是否与发起用户所在的服务器建立网络连接；

（8）如果安全策略允许，发起用户所在的即时通信服务器与其他用户所在的服务器建立网络连接；

（9）各用户开始即时通信。

本发明的一种全新的安全的即时通信体系，其安全特性体现在即时通信系统向用户提供了包含身份鉴别、访问控制、数据存储安全和数据传输安全的即时通信服务，具体如下：

（1）身份鉴别：即时通信系统基于用户或即时通信服务器的身份标识，进行用户与用户之间的、即时通信服务器与用户之间的双向身份鉴别。

（2）访问控制：即时通信系统制定基于源、目的即时通信服务器身份标识的安全策略，并下发到即时通信服务器中执行，去控制即时通信服务器与其他即时通信服务器的连接。

（3）数据存储安全：即时通信系统支持用户利用自己的私钥在用户端对即时通信数据进行加密存储。

（4）数据传输安全：即时通信系统支持安全的系统内即时通信和安全的跨系统即时通信，保护即时通信数据的传输安全。

上述安全的系统内即时通信，其具体步骤如下：

（1）发起用户随机生成会话密钥；

（2）利用对话用户的身份标识作为公钥，将会话密钥加密后发送给该对话用户；

（3）该对话用户利用其私钥进行解密，得到会话密钥；

（4）如果是组群通信，同时重复第（2）（3）步，直至所有通信成员获得会话密钥；

（5）后续的即时通信数据都用此会话密钥进行加密后传输。

上述安全的跨系统即时通信，其具体步骤如下：

（1）发起用户随机生成会话密钥；

（2）发起用户向安全参数交换中心查询对话用户所登录的即时通信系统的安全参数；

（3）安全参数交换中心向发起用户返回对话用户所登录的即时通信系统的安全参数；

（4）发起用户利用对话用户的身份标识及其所登录的即时通信系统的安全参数，将会话密钥加密后发送给该对话用户；

（5）该对话用户利用其私钥进行解密，得到会话密钥；

（6）如果是组群通信，同时重复第（2）至第（5）步，直至所有通信成员获得会话密钥；

（7）后续的即时通信数据都用此会话密钥进行加密后传输。

该发明的有益效果是，在保证各即时通信系统自身独立性和私密性的基础上，实现了安全策略控制下的不同即时通信系统的互联互通，以及高效安全的用户间即时通信。

附图说明

图1为本发明的即时通信体系的层次结构框图。

图2为本发明的即时通信体系的逻辑部署示意图。

图3为本发明的跨系统即时通信的具体步骤。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1是本发明的即时通信体系的层次结构框图。该即时通信体系分为互联层、系统层和用户层三个层次，其中，互联层为系统层提供即时通信系统之间的互联互通服务，系统层为用户层提供安全的即时通信服务。详细的说明如下。

一、互联层

互联层包括即时通信路由器和安全参数交换中心，用于各即时通信系统的互联互通。

（1）即时通信路由器是指一种用于即时通信系统互联互通的网络设备，多个即时通信路由器能够相互连接形成路由服务网络，为系统层提供路由寻址和协议转换服务。当两个或多个即时通信系统需要互联互通时，由于不知道对方的网络地址，以及可能使用不同的即时通信协议，因而需要即时通信路由器来为即时通信系统建立网络连接关系。

（2）安全参数交换中心是指一种用于即时通信系统互联互通的安全设备，保存着各个即时通信系统的安全参数，为即时通信系统的互联互通提供彼此的安全参数。因为在每个即时通信系统中，其安全服务中心的安全参数是不同的，这确保了不同即时通信系统的用户，即使用户标识相同，为其生成的私钥也是不同的。

二、系统层

系统层由一个个自治的即时通信系统组成，用于为用户提供安全的即时通信服务。即时通信系统又由即时通信服务器和安全服务中心组成，每个即时通信系统就是一个自治的成体系的即时通信网络，可部署一至多台即时通信服务器，具有自己的用户数据库，可运行不同的即时通信协议。

（1）即时通信服务器是一种为用户提供安全的即时通信服务的设备，既可以部署在云数据中心，也可以部署在企业或组织的内部网络中，且具有与安全服务中心的交互接口。即时通信服务器的数量根据即时通信系统的用户数量而定，1台服务器能够容纳万级的用户数量。

（2）安全服务中心由标识管理模块和标识密码管理模块组成，具有与即时通信服务器的交互接口，并通过该接口为其提供安全支撑。其中，标识管理模块用于管理维护即时通信系统中即时通信服务器和用户的身份标识，确保其唯一性；标识密码管理模块用于根据即时通信服务器或用户的身份标识，基于标识密码算法，以身份标识作为公钥，生成该身份标识所对应的私钥。一个即时通信系统，只需要一个安全服务中心。

三、用户层

用户层由用户组成，是即时通信系统的使用者。一个即时通信系统内的用户能够相互进行即时通信，不同即时通信系统的用户也能够相互进行即时通信。因此，用户间的即时通信分为系统内即时通信和跨系统即时通信两种。其中，系统内即时通信是指一个即时通信系统内的用户之间所进行的即时通信，无需通过互联层的支持；而跨系统即时通信则是指两个或两个以上即时通信系统的用户所进行的即时通信，需要通过互联层的支持。

图2为本发明的即时通信体系的逻辑部署示意图。为便于理解，这里仅部署两个即时通信系统：即时通信系统1和即时通信系统2。其中，即时通信系统1由即时通信服务器A、即时通信服务器B和安全服务中心1组成，即时通信系统2由即时通信服务器C和安全服务中心2组成。用户1、用户2和用户3属于即时通信系统1，其中，用户1和用户2是在即时通信服务器A上注册和登录，用户3是在即时通信服务器B上注册和登录。用户4和用户5属于即时通信系统2，用户4和用户5在即时通信服务器C上注册和登录。

互联层中，分别部署有即时通信路由器1和安全参数交换中心1。它们用于即时通信系统1和即时通信系统2的互联互通，当用户1或用户2或用户3需要与用户4或用户5进行即时通信时，就需要即时通信路由器1和安全参数交换中心1的支撑。系统内即时通信时，不需要互联层的支撑，即用户1、用户2和用户3之间的即时通信，在即时通信系统1内完成，用户4和用户5之间的即时通信，在即时通信系统2内完成。

图3为本发明的跨系统即时通信的具体步骤。现结合图2所示的逻辑部署示意图，举例说明一个典型的即时通信系统之间的互联互通过程。例如，用户1发起与用户5的即时通信，具体步骤如下：

（1）用户1发起与用户5的即时通信；

（2）即时通信服务器A根据用户5的标识，获取其登录的即时通信服务器C的标识；

（3）即时通信服务器A向即时通信路由器1提出路由寻址请求，请求查询即时通信服务器C的网络地址；

（4）即时通信路由器1根据即时通信服务器C的标识，查询得到即时通信服务器C的网络地址；

（5）即时通信路由器1向即时通信服务器A返回即时通信服务器C的网络地址；

（6）即时通信服务器A根据即时通信服务器C的网络地址，请求与即时通信服务器C建立网络连接；

（7）即时通信服务器C根据自己的安全策略，决定是否与即时通信服务器A建立网络连接；

（8）如果安全策略允许，即时通信服务器A与即时通信服务器C建立网络连接；

（9）用户1与用户5进行即时通信。

本发明的一种全新的安全的即时通信体系，其安全特性体现在即时通信系统向用户提供了包含身份鉴别、访问控制、数据存储安全和数据传输安全的即时通信服务。下面结合图2，进行详细说明。

（1）身份鉴别

即时通信系统基于用户或即时通信服务器的身份标识，进行用户与用户之间的、即时通信服务器与用户之间的双向身份鉴别。首先，每个用户在登录即时通信服务器时，服务器和用户之间会进行双向身份鉴别；其次，用户创建点对点或组群通信时，用户之间也需要进行双向身份鉴别；最后，如果是跨系统即时通信，即时通信服务器与即时通信服务器之间，也需要进行双向身份鉴别。只有进行成功的身份鉴别之后，才会到下一步。

（2）访问控制

即时通信系统制定基于源、目的即时通信服务器身份标识的安全策略，并下发到即时通信服务器中执行，去控制即时通信服务器与其他即时通信服务器的连接。通过控制即时通信服务器之间的连接，就控制了其用户之间的即时通信。例如，如果即时通信系统2制定安全策略，下发到即时通信服务器C中，不允许与即时通信服务器A和即时通信服务器B建立网络连接，那么，用户1、2、3将不能与用户4、5进行即时通信。

（3）数据存储安全

即时通信系统支持用户利用自己的私钥在用户端对即时通信数据进行加密存储。例如，安全服务中心1的标识密码管理模块，根据用户1的身份标识，以其作为公钥，生成该身份标识所对应的私钥K1，用户1就可以拿这个私钥K1加密自己的即时通信数据进行安全存储。

（4）数据传输安全

即时通信系统支持安全的系统内即时通信和安全的跨系统即时通信，保护即时通信数据的传输安全。这里以用户1、用户2和用户3的即时通信为例进行说明，假设用户1的身份标识为UID1，用户2的身份标识为UID2，用户3的身份标识为UID3，安全服务中心1的标识密码管理模块为用户1生成的私钥是K1，为用户2生成的私钥是K2，为用户2生成的私钥是K3。

那么，用户1发起与用户2、用户3的组群通信，具体步骤可描述如下：

（1）用户1随机生成会话密钥SKey1；

（2）用户1利用用户2的身份标识UID2作为公钥，将会话密钥SKey1加密后发送给用户2；

（3）用户2利用其私钥K2进行解密，得到会话密钥SKey1；

（4）同时，用户1利用用户3的身份标识UID3作为公钥，将会话密钥SKey1加密后发送给用户3；

（5）用户3利用其私钥K3进行解密，得到会话密钥SKey1；

（6）后续的组群通信数据都用会话密钥SKey1进行加密后传输。

对于安全的跨系统即时通信，这里以用户1和用户5的即时通信为例进行说明，假设用户1的身份标识为UID1，用户5的身份标识为UID5，安全服务中心1的标识密码管理模块为用户1生成的私钥是K1，安全服务中心2的标识密码管理模块为用户5生成的私钥是K5。那么，具体步骤可描述如下：

（1）用户1随机生成会话密钥SKey2；

（2）用户1向安全参数交换中心1查询用户5所登录的即时通信系统2的安全参数；

（3）安全参数交换中心1向用户1返回用户5所登录的即时通信系统2的安全参数P2；

（4）用户1利用用户5的身份标识UID5和即时通信系统2的安全参数P2，将会话密钥SKey2加密后发送给用户5；

（5）用户5利用其私钥K5进行解密，得到会话密钥SKey2；

（6）后续的即时通信数据都用会话密钥SKey2进行加密后传输。

Claims (9)

1.一种全新的安全的即时通信体系，分为互联层、系统层和用户层三个层次，其特征在于，

互联层：包括即时通信路由器和安全参数交换中心，所述即时通信路由器支持路由寻址和协议转换，用于各个即时通信系统的互联互通，所述安全参数交换中心存储各个即时通信系统的安全参数，为即时通信系统提供彼此的安全参数；

系统层：由一个个自治的即时通信系统组成，所述即时通信系统由即时通信服务器和安全服务中心组成，可部署一至多台即时通信服务器，具有自己的用户数据库，可运行不同的即时通信协议，为用户提供安全的即时通信服务；所述即时通信服务器和所述安全服务中心具有交互接口；

用户层：由所述用户组成，所述用户之间的即时通信分为系统内安全即时通信和跨系统安全即时通信两种；所述系统内安全即时通信无需通过所述互联层的支持，所述跨系统安全即时通信则需要通过所述互联层的支持。

2.根据权利要求1所述的即时通信体系，其特征在于，所述即时通信服务器是一种为所述用户提供安全即时通信服务的设备，既可以部署在云数据中心，也可以部署在企业或组织的内部网络中。

3.根据权利要求1所述的即时通信体系，其特征在于，所述安全服务中心通过所述交互接口为所述即时通信服务器提供安全支撑，由标识管理模块和标识密码管理模块组成，

所述标识管理模块对所述即时通信服务器和所述用户的身份标识进行全生命周期的管理与维护，确保其唯一性；

所述标识密码管理模块根据所述即时通信服务器或所述用户的身份标识，基于标识密码算法，以所述身份标识作为公钥，生成所述身份标识所对应的私钥。

4.根据权利要求1所述的即时通信体系，其特征在于，所述为用户提供安全的即时通信服务包括，所述即时通信系统基于所述用户或所述即时通信服务器的身份标识，进行用户与用户之间的、即时通信服务器与用户之间的双向身份鉴别。

5.根据权利要求1所述的即时通信体系，其特征在于，所述为用户提供安全的即时通信服务还包括，所述即时通信系统制定基于源、目的即时通信服务器身份标识的安全策略，并下发到即时通信服务器中执行，去控制即时通信服务器与其他即时通信服务器的连接。

6.根据权利要求1所述的即时通信体系，其特征在于，进一步地，所述为用户提供安全的即时通信服务还包括，所述即时通信系统支持用户利用自己的私钥在用户端对即时通信数据进行加密存储。

7.根据权利要求1所述的即时通信体系，其特征在于，所述系统内安全即时通信是指一个所述即时通信系统内的所述用户之间所进行的即时通信，其步骤如下：

(1)发起用户随机生成会话密钥；

(2)利用对话用户的身份标识作为公钥，将会话密钥加密后发送给该对话用户；

(3)该对话用户利用其私钥进行解密，得到会话密钥；

(4)如果是组群通信，同时重复第(2)(3)步，直至所有通信成员获得会话密钥；

(5)后续的即时通信数据都用此会话密钥进行加密后传输。

8.根据权利要求1所述的即时通信体系，其特征在于，所述跨系统安全即时通信是指两个或两个以上所述即时通信系统的所述用户所进行的即时通信，其步骤如下：

(1)发起用户随机生成会话密钥；

(2)发起用户向安全参数交换中心查询对话用户所登录的即时通信系统的安全参数；

(3)安全参数交换中心向发起用户返回对话用户所登录的即时通信系统的安全参数；

(4)发起用户利用对话用户的身份标识及其所登录的即时通信系统的安全参数，将会话密钥加密后发送给该对话用户；

(5)该对话用户利用其私钥进行解密，得到会话密钥；

(6)如果是组群通信，同时重复第(2)至第(5)步，直至所有通信成员获得会话密钥；

(7)后续的即时通信数据都用此会话密钥进行加密后传输。

9.根据权利要求8所述的即时通信体系，其特征在于，在所述跨系统安全即时通信之前，还包括：

(1)用户发起即时通信，邀请其他用户加入通信；

(2)发起用户所在的即时通信服务器，根据其他用户的标识，获取这些用户所在的即时通信服务器的标识；

(3)发起用户所在的即时通信服务器利用这些服务器的标识，向连接它的即时通信路由器发出对这些服务器的寻址请求；

(4)即时通信路由器在路由服务网络中路由寻址请求，找到这些服务器的网络地址；

(5)即时通信路由器向发起用户所在的即时通信服务器返回各个服务器的网络地址；

(6)发起用户所在的即时通信服务器请求与其他用户所在的服务器建立网络连接；

(7)其他用户所在的服务器根据其安全策略进行访问控制，决定是否与发起用户所在的服务器建立网络连接；

(8)如果安全策略允许，发起用户所在的即时通信服务器与其他用户所在的服务器建立网络连接；

(9)各用户开始即时通信。