[go: up one dir, main page]

CN116418766A - 适用于工业数控场景的消息代理方法、设备及存储介质 - Google Patents

适用于工业数控场景的消息代理方法、设备及存储介质 Download PDF

Info

Publication number
CN116418766A
CN116418766A CN202310265797.7A CN202310265797A CN116418766A CN 116418766 A CN116418766 A CN 116418766A CN 202310265797 A CN202310265797 A CN 202310265797A CN 116418766 A CN116418766 A CN 116418766A
Authority
CN
China
Prior art keywords
message
client
certificate
server
published
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310265797.7A
Other languages
English (en)
Inventor
路松峰
邓晓旭
吴俊军
代超仁
冯冰艳
彭世坤
沈任飞
黄丽敏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huazhong University of Science and Technology
Wuhan Huazhong Numerical Control Co Ltd
Original Assignee
Huazhong University of Science and Technology
Wuhan Huazhong Numerical Control Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huazhong University of Science and Technology, Wuhan Huazhong Numerical Control Co Ltd filed Critical Huazhong University of Science and Technology
Priority to CN202310265797.7A priority Critical patent/CN116418766A/zh
Publication of CN116418766A publication Critical patent/CN116418766A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L51/00—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail
    • H04L51/02—User-to-user messaging in packet-switching networks, transmitted according to store-and-forward or real-time protocols, e.g. e-mail using automatic reactions or user delegation, e.g. automatic replies or chatbot-generated messages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种适用于工业数控场景的消息代理方法、设备及存储介质，该方法由服务器执行，服务器应用于包含客户端和服务器的消息代理系统，客户端包括发布客户端和订阅客户端，该方法包括：获取预先创建的第一双证书，第一双证书为服务器的数字证书；在接收到发布客户端发送的待发布消息时，根据待发布消息确定消息代理系统中的目标订阅客户端；根据第一双证书与目标订阅客户端的双证书将待发布消息加密后传输至目标订阅客户端。由于本发明通过在消息代理系统中预先创建服务器的双证书，使得消息代理能够支持双证书连接，从而使消息代理过程中消息能够加密传输，避免了现有的消息代理以明文方式传输导致的安全问题，提升了消息代理的安全性。

Description

适用于工业数控场景的消息代理方法、设备及存储介质
技术领域
本发明涉及数字信息传输领域，尤其涉及一种适用于工业数控场景的消息代理方法、设备及存储介质。
背景技术
在智能工厂的建设中，消息代理能够实现数控装备之间的互联互通，将数控装备的应用程序连接起来，通过将不同发布者发布的消息在消息代理服务器里面进行路由，使得消息最终被正确的订阅者所接收。
目前，适用于工业数控场景的开源的消息代理大多是基于MQTT协议(MessageQueuing Telemetry Transport，消息队列遥测传输协议)开发的，例如：Mosquitto，实现了MQTT协议版本3.1和3.1.1。但随着物联网安全问题的越发严峻，在工业数控中存在数据交互的信任问题，由于MQTT运行于TCP层之上并以明文方式传输，这就相当于HTTP的明文传输，使用Wireshark可以完全看到MQTT发送的所有消息，消息指令一览无遗，这样可能会造成以下安全问题：设备被盗用；客户端和服务器的静态数据被修改；协议行为有副作用；拒绝服务攻击；通信被拦截、修改、重定向或者泄露；虚假控制报文注入等。由此可见，以明文方式传输消息会导致消息代理的安全性不足。
上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。
发明内容
本发明的主要目的在于提供一种适用于工业数控场景的消息代理方法、设备及存储介质，旨在解决现有技术中消息代理过程中消息以明文方式传输，从而导致安全性不足的技术问题。
为实现上述目的，本发明提供一种适用于工业数控场景的消息代理方法，所述消息代理方法由服务器执行，所述服务器应用于包含客户端和所述服务器的消息代理系统，所述客户端包括发布客户端和订阅客户端，所述方法包括以下步骤：
获取预先创建的第一双证书，所述第一双证书为所述服务器的数字证书；
在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端；
根据所述第一双证书与所述目标订阅客户端的双证书将所述待发布消息加密后传输至所述目标订阅客户端。
可选地，所述第一双证书和所述客户端的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待发布消息进行验签，所述签名私钥用于对所述待发布消息进行签名，所述加密公钥用于对所述待发布消息进行加密，所述加密私钥用于对所述待发布消息进行解密；
所述根据所述第一双证书与所述目标订阅客户端的双证书将所述待发布消息加密后传输至所述目标订阅客户端的步骤，包括：
根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密；
将签名和加密后的所述待发布消息传输至所述目标订阅客户端，以使所述目标订阅客户端在接收到所述待发布消息时，通过所述目标订阅客户端的加密私钥和所述第一双证书中的签名公钥分别进行解密和验证。
可选地，所述根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密的步骤，包括：
根据所述第一双证书中的签名私钥对所述待发布消息进行签名；
获取目标订阅客户端的加密公钥；
通过所述目标订阅客户端的加密公钥对签名后的所述待发布消息进行加密。
可选地，所述在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端的步骤之前，还包括：
接收所述订阅客户端发送的订阅消息，并根据所述订阅消息建立对应的主题筛选器；
相应地，所述在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端的步骤，包括：
在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定对应的发布主题；
将所述发布主题与所述主题筛选器进行匹配，并将匹配到的主题筛选器对应的订阅客户端作为目标订阅客户端。
可选地，所述第一双证书为采用OpenSSL生成的所述服务器的数字证书。
此外，为实现上述目的，本发明还提出一种适用于工业数控场景的消息代理方法，所述消息代理方法由客户端执行，所述客户端应用于包含服务器和所述客户端的消息代理系统，所述方法包括：
获取预先创建的第二双证书，所述第二双证书为所述客户端的数字证书；
与所述服务器建立连接；
获取待传输消息，并根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器。
可选地，所述第二双证书和所述服务器的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待传输消息进行验签，所述签名私钥用于对所述待传输消息进行签名，所述加密公钥用于对所述待传输消息进行加密，所述加密私钥用于对所述待传输消息进行解密；
所述根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器的步骤，包括：
根据所述第二双证书中的签名私钥和所述服务器的加密公钥对所述待传输消息分别进行签名和加密；
将签名和加密后的所述待传输消息传输至所述服务器，以使所述服务器在接收到所述待传输消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证。
可选地，所述待传输消息包括订阅消息；
所述将签名和加密后的所述待传输消息传输至所述服务器的步骤，包括：
将签名和加密后的所述订阅消息传输至所述服务器，以使所述服务器在接收到所述订阅消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证，并根据所述订阅消息建立对应的主题筛选器，在接收到与所述主题筛选器相匹配的待发布消息时，返回所述待发布消息。
此外，为实现上述目的，本发明还提出一种适用于工业数控场景的设备，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的消息代理程序，所述消息代理程序配置为实现如上文所述的消息代理方法的步骤。
此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有消息代理程序，所述消息代理程序被处理器执行时实现如上文所述的消息代理方法的步骤。
本发明公开了一种适用于工业数控场景的消息代理方法、设备及存储介质，该方法由服务器执行，服务器应用于包含客户端和服务器的消息代理系统，客户端包括发布客户端和订阅客户端，该方法包括：获取预先创建的第一双证书，第一双证书为服务器的数字证书；在接收到发布客户端发送的待发布消息时，根据待发布消息确定消息代理系统中的目标订阅客户端；根据第一双证书与目标订阅客户端的双证书将待发布消息加密后传输至目标订阅客户端。由于本发明通过在消息代理系统中预先创建服务器的双证书，然后在消息代理过程中，客户端与服务器使用双证书进行连接认证，并在连接成功后，通过双证书进行消息的加密传输，避免了现有的消息代理以明文方式传输消息导致的安全问题，提升了消息代理的安全性。
附图说明
图1为本发明实施例方案涉及的硬件运行环境适用于工业数控场景的设备的结构示意图；
图2为本发明适用于工业数控场景的消息代理方法第一实施例的流程示意图；
图3为本发明适用于工业数控场景的消息代理方法第一实施例中消息代理系统的模型图；
图4为本发明适用于工业数控场景的消息代理方法第二实施例的流程示意图；
图5为本发明适用于工业数控场景的消息代理方法第三实施例的流程示意图；
图6为本发明适用于工业数控场景的消息代理方法第三实施例中双证书的生成和单向认证模型图；
本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。
具体实施方式
应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
参照图1，图1为本发明实施例方案涉及的硬件运行环境适用于工业数控场景的设备的结构示意图。
如图1所示，该设备可以包括：处理器1001，例如中央处理器(Central ProcessingUnit，CPU)，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如无线保真(WIreless-FIdelity，WI-FI)接口)。存储器1005可以是高速的随机存取存储器(Random Access Memory，RAM)存储器，也可以是稳定的非易失性存储器(Non-Volatile Memory，NVM)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。
本领域技术人员可以理解，图1中示出的结构并不构成对设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
如图1所示，作为一种存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及消息代理程序。
在图1所示的设备中，网络接口1004主要用于与网络服务器进行数据通信；用户接口1003主要用于与用户进行数据交互；本发明适用于工业数控场景的设备中的处理器1001、存储器1005可以设置在所述设备中，所述设备通过处理器1001调用存储器1005中存储的消息代理程序，并执行本发明下述实施例提供的适用于工业数控场景的消息代理方法。
本发明实施例提供了一种适用于工业数控场景的消息代理方法，参照图2，图2为本发明适用于工业数控场景的消息代理方法第一实施例的流程示意图。
本实施例中，所述消息代理方法由服务器执行，所述服务器应用于包含客户端和所述服务器的消息代理系统，所述客户端包括发布客户端和订阅客户端，所述方法包括以下步骤：
步骤S201：获取预先创建的第一双证书，所述第一双证书为所述服务器的数字证书。
需要说明的是，本实施例的执行主体可以是一种具有消息代理、数据处理以及程序运行功能的电子服务设备，例如消息代理服务器等，或者是其它能够实现如同或相似功能的设备。此处以上述消息代理服务器(以下简称服务器)对本实施例和下述各实施例进行具体说明。
需要说明的是，上述消息代理系统可以是基于MQTT协议的消息代理模型建立的系统。参照图3，图3为本发明适用于工业数控场景的消息代理方法第一实施例中消息代理系统的模型图。如图3所示，上述消息代理系统的模型一般包括三种身份：发布者301(Publish)、代理302(Broker)、订阅者303(Subscribe)。其中，消息的发布者和订阅者一般都是客户端，即发布客户端和订阅客户端，代理一般为服务器。上述客户端的作用可以包括：发布其他客户端可能会订阅的信息，即发布消息；订阅其它客户端发布的消息，即订阅消息；退订或删除应用程序的消息；断开与服务器的连接。上述服务器的作用可以包括：接受来自客户端的网络连接；接受客户端发布的应用信息；处理来自客户端的订阅和退订请求；向订阅的客户端转发应用程序消息，即推送消息。
可以理解的是，消息的发布者可以同时是订阅者。例如，在工业数控场景中，客户端可以是适配器，也可以是数控设备应用系统，在适配器发布消息时，应用系统可以作为最终接收消息的订阅者，而在应用系统发布消息时，适配器也可以作为对应的订阅者，消息代理服务器一般是适配器和应用系统之间完成信息通信的中间件，其中，消息可以是工业数控场景中各数控设备的应用程序消息。
值得说明的是，上述第一双证书为所述服务器的数字证书，可以包括服务器的签名证书和服务器的加密证书。本实施例中，数字证书可以包括以下规则的描述：
版本：该证书使用的是哪种版本的X.509标准；
序列号：本项是CA分配给每一个证书的唯一的数字型编号，证书序列号的长度在不同的CA系统中是可配置的；
签名算法：本项用来指定颁发机构CA签发证书时使用的签名算法；
颁发者：issuer本项标识了颁发该证书的机构DN；
有效期：validity本项是证书的有效期和终止日期；
主题：subject证书拥有者的唯一是别名，这个字段必须是非空的；
有效的DN(Distinct Name)标识：
c country code(一般是c＝cn)
o organization(组织)
ou organizational unit name(组织单位名)
cn common name(普通名)
e email(邮件地址)
l locality name(地址)
st state,or province name(国家或省份名)
dc domain Component(领域)
uid user id(用户标识符)
t title(标题)
sn device serial number name；
公钥public key：本项用来标识公钥，公钥算法和公钥长度；
hash算法：和证书本身没关系，即哈希算法，通常用MD5或SHA1；
hash值：是指对整个证书进行hash运算之后生成的一段数据，就是对证书的哈希摘要。
进一步地，本实施例中，为了便于生成规范的双证书，可以采用OpenSSL生成上述第一双证书。采用OpenSSL生成第一双证书的步骤如下：
首先，使用OpenSSL相关命令生成CA根证书。步骤1：制作ca.key私钥(aes256算法加密)；步骤2：制作生成CA证书请求；步骤3：自签名得到根证书，这里也可以生成ca.crt文件。至此，CA根证书生成完毕，内容应当包含以下三个文件：ca.key、ca.csr以及ca.crt，分别为SM2算法私钥、证书请求文件以及使用私钥签名后的CA根证书。
其次，使用OpenSSL相关命令生成服务器的签名证书。步骤1：生成签名证书的私钥SS_nclink.com.key；步骤2：生成签名证书的证书请求文件SS_nclin.com.csr；步骤3：使用根CA证书签发nclink.com的签名证书SS_nclink.com.crt；步骤4：校验整数。这样可以在服务器server文件夹下得到三个文件：SS_nclink.com.key、SS_nclink.com.csr以及SS_nclink.com.crt，即服务器签名证书的SM2私钥文件、服务器签名证书的请求文件以及经过CA私钥签名认证的服务器的签名证书。
最后，使用OpenSSL相关命令生成服务器的加密证书。步骤1：生成加密证书的私钥SE_nclink.com.key；步骤2：生成加密证书的证书请求文件SE_nclink.com.csr；步骤3：使用根证书CA签发服务器的加密证书SE_nclink.com.crt。与此同时，在服务器server文件夹下又增加了三个文件：SE_nclink.com.key、SE_nclink.com.csr以及SE_nclink.com.crt，即服务器加密证书的SM2私钥文件、服务器加密证书的请求文件以及经过CA私钥签名认证的服务器的加密证书。
在具体实现中，服务器获取采用OpenSSL预先创建的第一双证书。
步骤S202：在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端。
需要说明的是，上述消息代理系统可以建立客户端到服务器的连接，提供两者之间的一个有序的、无损的、基于字节流的双向传输。客户端在与服务器保持连接的状态下，可以向服务端发布信息，也可以从服务端收取信息。通常把客户端向服务器发送信息的行为称为发布消息，而客户端要想从服务端收取信息，往往需要先向服务端订阅消息。
应当理解的是，上述发布客户端一般是指当前发布消息的客户端。上述待发布消息可以是上述发布客户端发送至服务器，并即将通过服务器发送给其他客户端的消息。上述目标订阅客户端可以是订阅了上述待发布消息的客户端。
在具体实现中，当服务器接收到发布客户端发送的待发布消息时，根据待发布消息查找对应的订阅了该消息的客户端作为目标订阅客户端。
进一步地，为了能够在接收到上述待发布消息时，更为准确地确定目标订阅客户端，本实施例中，上述步骤S202之前，还包括：
步骤S2001：接收所述订阅客户端发送的订阅消息，并根据所述订阅消息建立对应的主题筛选器。
需要说明的是，上述订阅客户端可以是向服务器发送过订阅消息的全部客户端。上述订阅消息可以包含上述主题筛选器(Topic Filter)和最大服务质量(QoS)。上述主题筛选器可以是指订阅消息所匹配到的多个主题。
可以理解的是，在订阅客户端向服务器发送订阅消息之前，通常需要建立连接，每个客户端与服务器建立连接后可以是一个会话(Session)，上述连接一般是持续性连接，即连接成功后，会话会一直保持，订阅客户端可以多次订阅。上述订阅消息应当与一个会话(Session)关联，一个会话可以包含多个订阅消息。每一个会话中的每个订阅消息都可以有一个不同的主题筛选器。
相应地，上述步骤S202，具体包括：
步骤S2002：在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定对应的发布主题。
需要说明的是，上述待发布消息可以包括主题(Topic)和负载(Payload)两部分。上述发布主题可以理解为上述待发布消息的类型，负载可以理解为内容。通常在订阅者订阅后，便可以收到该主题的具体消息内容。
可以理解的是，在本实施例中，上述发布主题可以是连接到一个应用程序消息的一个标签，当该标签与上述订阅消息的主题筛选器相匹配时，服务器会将上述待发布消息发送给订阅了上述发布主题的每个客户端。
步骤S2003：将所述发布主题与所述主题筛选器进行匹配，并将匹配到的主题筛选器对应的订阅客户端作为目标订阅客户端。
在具体实现中，订阅客户端先向服务器发送订阅消息，并建立每个订阅消息对应的主题筛选器，当服务器接收到发布客户端发送的待发布消息时，根据待发布消息确定对应的发布主题，将发布主题与服务器中的全部主题筛选器依次进行匹配，若发布主题的标签存在于某个主题筛选器时，则表示匹配成功，并将匹配到的所有主题筛选器对应的订阅客户端作为目标订阅客户端。
可以理解的是，服务器向订阅客户端推送消息，通常需要在订阅客户端向服务器发送订阅消息之前进行连接建立会话，为了更为安全稳定地传输消息，作为一种实施方式，上述步骤S2001之前，还包括：通过服务器与客户端对应的双证书进行连接的单向或双向认证，当认证通过后则连接成功。
在具体实现中，在分别创建了服务器和客户端的双证书之后，客户端向服务器订阅消息或发布消息之前，先通过双证书与服务器进行单向或者双向的认证，在认证通过后则可以向服务器发送消息。
步骤S203：根据所述第一双证书与所述目标订阅客户端的双证书将所述待发布消息加密后传输至所述目标订阅客户端。
在具体实现中，在订阅客户端通过双证书认证建立连接并向服务器发送了订阅消息之后，在服务器接收到发布客户端发布的待发布消息时，将所述待发布消息通过双证书中包含的密钥将待发布消息进行加密传输至目标订阅客户端。
本实施例通过由服务器执行，服务器应用于包含客户端和服务器的消息代理系统，客户端包括发布客户端和订阅客户端。服务器获取预先创建的第一双证书，第一双证书为服务器的数字证书；在接收到发布客户端发送的待发布消息时，根据待发布消息确定消息代理系统中的目标订阅客户端；根据第一双证书与目标订阅客户端的双证书将待发布消息加密后传输至目标订阅客户端。由于本实施例通过在消息代理系统中预先创建服务器的双证书，然后在消息代理过程中，客户端与服务器使用双证书进行连接认证，并在连接成功后，通过双证书进行消息的加密传输，避免了现有的消息代理以明文方式传输消息导致的安全问题，提升了消息代理的安全性。采用市面上开源的OpenSSL生成证书，使得双证书生成的效率更高更规范。
参考图4，图4为本发明适用于工业数控场景的消息代理方法第二实施例的流程示意图。
为了保证双证书的加密证书和签名证书不共用同一套密钥，符合国密标准，安全性更高，基于上述第一实施例，在本实施例中，所述第一双证书和所述客户端的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待发布消息进行验签，所述签名私钥用于对所述待发布消息进行签名，所述加密公钥用于对所述待发布消息进行加密，所述加密私钥用于对所述待发布消息进行解密，上述步骤S203具体包括：
步骤S401：根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密。
需要说明的是，上述服务器的第一双证书与客户端的双证书，可以包含对应的签名证书和加密证书。其中，签名证书一般包括签名公钥和签名私钥，主要用于对用户信息进行签名，以保证信息的有效性和不可否认性；加密证书一般包括加密公钥和加密私钥，主要用于对用户传送信息进行加密，以保证信息的保密性和完整性。
可以理解的是，签名公钥和加密公钥一般是公布于外的。例如，签名时，用户A用签名证书的私钥进行签名，其他用户B、C等均可以利用公布于外网的签名公钥对签名进行验证。加密时，用户B利用用户A公布于外网的加密公钥对信息进行加密传送给用户A，用户A利用自己的加密私钥对加密后的信息进行解密得到完整的明文信息。
在具体实现中，服务器根据自身的第一双证书中的签名私钥对待发布消息进行签名，并获取目标订阅客户端公开的加密公钥对待发布消息进行加密。
步骤S402：将签名和加密后的所述待发布消息传输至所述目标订阅客户端，以使所述目标订阅客户端在接收到所述待发布消息时，通过所述目标订阅客户端的加密私钥和所述第一双证书中的签名公钥分别进行解密和验证。
在具体实现中，服务器将签名和加密后的待发布消息发送至目标订阅客户端。而目标订阅客户端在接收到待发布消息时，通过自身持有的加密私钥，对加密的待发布消息进行解密，并获取服务器公开的签名公钥，对上述签名进行验证。
进一步地，在考虑到若进行先加密后签名，可能使得签名信息被截获后遭受的彩虹表攻击，为了保证安全性，上述步骤S401，具体包括：
根据所述第一双证书中的签名私钥对所述待发布消息进行签名；获取目标订阅客户端的加密公钥；通过所述目标订阅客户端的加密公钥，对签名后的所述待发布消息进行加密。
在具体实现中，服务器根据自身的第一双证书中的签名私钥先对所述待发布消息进行签名，并获取目标订阅客户端公开的加密公钥，对签名后的待发布消息进行加密，最后将签名和加密后的待发布消息发送至目标订阅客户端。而此时，目标订阅客户端在接收到待发布消息时，通过自身持有的加密私钥，先对加密的待发布消息进行解密，再通过服务器公开的签名公钥，对解密后的待发布消息进行验签。
本实施例中，通过根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密；将签名和加密后的所述待发布消息传输至所述目标订阅客户端，以使所述目标订阅客户端在接收到所述待发布消息时，通过所述目标订阅客户端的加密私钥和所述第一双证书中的签名公钥分别进行解密和验证。通过双证书进行认证，加密和签名各有一套密钥，相比于现有的单证书，双证书可以使得加密和签名功能一分为二，即加密证书只用来进行加密，签名证书只用来签名，更加符合国密标准，保证了必要的时候国家有能力对某些通讯进行监控，避免了采用单证书除了持有者谁也无法解密的风险，进一步提升了安全性。同时，在具体实现中，通过先签名后加密，可以避免签名信息被截获后遭受的彩虹表攻击，保证了消息代理加密传输的安全性。
本发明实施例提供了一种适用于工业数控场景的消息代理方法，参考图5，图5为本发明适用于工业数控场景的消息代理方法第三实施例的流程示意图。
本实施例中，所述消息代理方法由客户端执行，所述客户端应用于包含服务器和所述客户端的消息代理系统，所述方法包括以下步骤：
步骤S501：获取预先创建的第二双证书，所述第二双证书为所述客户端的数字证书。
需要说明的是，本实施例的执行主体可以是一种具有信息通信、数据处理以及程序运行功能的电子设备，例如消息代理客户端设备、智能工厂中的适配器、数控设备应用系统等，或者是其它能够实现如同或相似功能的设备。此处以上述消息代理客户端设备(以下简称客户端)对本实施例和下述各实施例进行具体说明。
需要说明的是，上述消息代理系统可以是基于MQTT协议的消息代理模型建立的系统。上述消息代理系统的模型一般包括三种身份：发布者(Publish)、代理(Broker)、订阅者(Subscribe)。其中，消息的发布者和订阅者一般都是客户端，即发布客户端和订阅客户端，代理一般为服务器。上述客户端的作用可以包括：发布其他客户端可能会订阅的信息，即发布消息；订阅其它客户端发布的消息，即订阅消息；退订或删除应用程序的消息；断开与服务器的连接。上述服务器的作用可以包括：接受来自客户端的网络连接；接受客户端发布的应用信息；处理来自客户端的订阅和退订请求；向订阅的客户端转发应用程序消息，即推送消息。
可以理解的是，消息的发布者可以同时是订阅者。例如，在工业数控场景中，客户端可以是适配器，也可以是数控设备应用系统，在适配器发布消息时，应用系统可以作为最终接收消息的订阅者，而在应用系统发布消息时，适配器也可以作为对应的订阅者，而消息代理服务器一般是适配器和应用系统之间完成信息通信的中间件，其中，消息可以是工业数控场景中各数控设备的应用程序消息。
值得说明的是，上述第二双证书为所述客户端的数字证书，可以包括客户端的签名证书和客户端的加密证书，本实施例中，数字证书可以包括以下规则的描述：
版本：该证书使用的是哪种版本的X.509标准；
序列号：本项是CA分配给每一个证书的唯一的数字型编号，证书序列号的长度在不同的CA系统中是可配置的；
签名算法：本项用来指定颁发机构CA签发证书时使用的签名算法；
颁发者：issuer本项标识了颁发该证书的机构DN；
有效期：validity本项是证书的有效期和终止日期；
主题：subject证书拥有者的唯一是别名，这个字段必须是非空的；
有效的DN(Distinct Name)标识：
c country code(一般是c＝cn)
o organization(组织)
ou organizational unit name(组织单位名)
cn common name(普通名)
e email(邮件地址)
l locality name(地址)
st state,or province name(国家或省份名)
dc domain Component(领域)
uid user id(用户标识符)
t title(标题)
sn device serial number name；
公钥public key：本项用来标识公钥，公钥算法和公钥长度；
hash算法：和证书本身没关系，即哈希算法，通常用MD5或SHA1；
hash值：是指对整个证书进行hash运算之后生成的一段数据，就是对证书的哈希摘要。
进一步地，本实施例中，为了便于生成规范的双证书，可以采用OpenSSL生成上述第二双证书。采用OpenSSL生成第二双证书的步骤如下：
首先，使用OpenSSL相关命令生成CA根证书。步骤1：制作ca.key私钥(aes256算法加密)；步骤2：制作生成CA证书请求；步骤3：自签名得到根证书，这里也可以生成ca.crt文件。至此，CA根证书生成完毕，内容应当包含以下三个文件：ca.key、ca.csr以及ca.crt，分别为SM2算法私钥、证书请求文件以及使用私钥签名后的CA根证书。
其次，使用OpenSSL相关命令生成客户端的签名证书。步骤1：生成签名证书的私钥SS_nclink.com.key；步骤2：生成签名证书的证书请求文件SS_nclin.com.csr；步骤3：使用根CA证书签发nclink.com的签名证书SS_nclink.com.crt；步骤4：校验整数。这样可以在客户端文件夹下得到三个文件：SS_nclink.com.key、SS_nclink.com.csr以及SS_nclink.com.crt，即客户端签名证书的SM2私钥文件、客户端签名证书的请求文件以及经过CA私钥签名认证的客户端的签名证书。
最后，使用OpenSSL相关命令生成客户端的加密证书。步骤1：生成加密证书的私钥SE_nclink.com.key；步骤2：生成加密证书的证书请求文件SE_nclink.com.csr；步骤3：使用根证书CA签发客户端的加密证书SE_nclink.com.crt。与此同时，在客户端文件夹下又增加了三个文件：SE_nclink.com.key、SE_nclink.com.csr以及SE_nclink.com.crt，即客户端加密证书的SM2私钥文件、客户端加密证书的请求文件以及经过CA私钥签名认证的客户端的加密证书。
在具体实现中，客户端获取采用OpenSSL预先创建的第二双证书。
步骤S502：与所述服务器建立连接。
在具体实现中，在服务器和客户端分别创建了的各自的双证书之后，客户端与服务器通过双证书进行认证，若通过了双证书与服务器的单向或者双向的认证，客户端则与服务器建立了连接、进行会话，此时便能够互相发送消息。例如，如图6所示，图6为本发明适用于工业数控场景的消息代理方法第三实施例中双证书的生成和单向认证模型图，其中CA机构601(Certificate Authority)一般是证书授权中心，CA机构601将认证过的双证书分发给客户端A602、客户端B603以及服务器604，在客户端A602、客户端B603与服务器604建立连接之前，客户端A602获取服务器604的双证书对服务器进行单项认证，客户端B603也可以获取服务器604的双证书对服务器进行单项认证。
步骤S503：获取待传输消息，并根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器。
需要说明的是，上述待传输消息可以是客户端将要发送至服务器的消息，可以包括待发布消息、订阅消息和退订消息。
在具体实现中，在客户端通过双证书认证建立连接之后，将所述待传输消息通过双证书中包含的密钥将待传输消息进行加密传输至服务器。
可以理解的是，为了保证双证书的加密证书和签名证书不共用同一套密钥，符合国密标准，安全性更高，所述第二双证书和所述服务器的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待传输消息进行验签，所述签名私钥用于对所述待传输消息进行签名，所述加密公钥用于对所述待传输消息进行加密，所述加密私钥用于对所述待传输消息进行解密，上述步骤503中：根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器，具体包括：
步骤S5001：根据所述第二双证书中的签名私钥和所述服务器的加密公钥对所述待传输消息分别进行签名和加密。
需要说明的是，上述客户端的第二双证书与服务器的双证书，可以包含对应的签名证书和加密证书。其中，签名证书一般包括签名公钥和签名私钥，主要用于对用户信息进行签名，以保证信息的有效性和不可否认性；加密证书一般包括加密公钥和加密私钥，主要用于对用户传送信息进行加密，以保证信息的保密性和完整性。
可以理解的是，签名公钥和加密公钥一般是公布于外的。
在具体实现中，客户端根据自身的第二双证书中的签名私钥对待传输消息进行签名，并获取服务器公开的加密公钥对待传输消息进行加密。
步骤S5002：将签名和加密后的所述待传输消息传输至所述服务器，以使所述服务器在接收到所述待传输消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证。
在具体实现中，客户端将签名和加密后的待传输消息发送至服务器。而服务器在接收到待传输消息时，通过自身持有的加密私钥，对加密的待传输消息进行解密，并获取客户端第二双证书中公开的签名公钥，对签名进行验证。
进一步地，在考虑到若进行先加密后签名，可能使得签名信息被截获后遭受的彩虹表攻击，为了保证安全性，上述步骤S5001，具体包括：
根据所述第二双证书中的签名私钥对所述待传输消息进行签名；获取服务器的加密公钥；通过所述服务器的加密公钥，对签名后的所述待传输消息进行加密。
在具体实现中，客户端根据自身的第二双证书中的签名私钥先对所述待传输消息进行签名，并获取服务器公开的加密公钥，对签名后的待传输消息进行加密，最后将签名和加密后的待传输消息发送至服务器。而此时，服务器在接收到待传输消息时，通过自身持有的加密私钥，先对加密的待传输消息进行解密，再通过客户端第二双证书中公开的签名公钥，对解密后的待传输消息进行验签。
此外，本实施例中待传输消息若是订阅消息，上述步骤S5002中：将签名和加密后的所述待传输消息传输至所述服务器，具体包括：
步骤S5002’：将签名和加密后的所述订阅消息传输至所述服务器，以使所述服务器在接收到所述订阅消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证，并根据所述订阅消息建立对应的主题筛选器，在接收到与所述主题筛选器相匹配的待发布消息时，返回所述待发布消息。
需要说明的是，上述订阅消息可以是客户端向服务器订阅主题的消息。上述待发布消息可以是其他客户端发送至服务器，并即将通过服务器发送给订阅了相关主题的客户端的消息。
在具体实现中，客户端将签名和加密后的订阅消息发送至服务器。而服务器在接收到订阅消息时，通过自身持有的加密私钥，对加密的订阅消息进行解密，并获取客户端第二双证书中公开的签名公钥，对签名进行验证。然后服务器根据所述订阅消息建立对应的主题筛选器，在接收到与所述主题筛选器相匹配的待发布消息时，返回所述待发布消息给客户端。
本实施例通过由客户端执行，所述客户端应用于包含服务器和所述客户端的消息代理系统，先获取预先创建的第二双证书，然后与所述服务器建立连接，再获取待传输消息，并根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器。由于本实施例通过预先创建服务器和客户端对应的双证书，然后在消息代理过程中，客户端与服务器使用双证书进行连接认证，并在连接成功后，通过双证书进行消息的加密传输，避免了现有的消息代理以明文方式传输消息导致的安全问题，提升了消息代理的安全性。同时，采用市面上开源的OpenSSL生成证书，使得双证书生成的效率更高更规范。再者，通过双证书进行认证，加密和签名各有一套密钥，相比于现有的单证书，双证书可以使得加密和签名功能一分为二，即加密证书只用来进行加密，签名证书只用来签名，更加符合国密标准，保证了必要的时候国家有能力对某些通讯进行监控，避免了采用单证书除了持有者谁也无法解密的风险，进一步提升了安全性。在具体实现中，通过先签名后加密，可以避免签名信息被截获后遭受的彩虹表攻击，保证了加密传输的安全性。
此外，本发明实施例还提出一种存储介质，所述存储介质上存储有消息代理程序，所述消息代理程序被处理器执行时实现如上文所述的消息代理方法的步骤。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体，意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种适用于工业数控场景的消息代理方法，其特征在于，所述消息代理方法由服务器执行，所述服务器应用于包含客户端和所述服务器的消息代理系统，所述客户端包括发布客户端和订阅客户端，所述方法包括：
获取预先创建的第一双证书，所述第一双证书为所述服务器的数字证书；
在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端；
根据所述第一双证书与所述目标订阅客户端的双证书将所述待发布消息加密后传输至所述目标订阅客户端。
2.如权利要求1所述的消息代理方法，其特征在于，所述第一双证书和所述客户端的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待发布消息进行验签，所述签名私钥用于对所述待发布消息进行签名，所述加密公钥用于对所述待发布消息进行加密，所述加密私钥用于对所述待发布消息进行解密；
所述根据所述第一双证书与所述目标订阅客户端的双证书将所述待发布消息加密后传输至所述目标订阅客户端的步骤，包括：
根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密；
将签名和加密后的所述待发布消息传输至所述目标订阅客户端，以使所述目标订阅客户端在接收到所述待发布消息时，通过所述目标订阅客户端的加密私钥和所述第一双证书中的签名公钥分别进行解密和验证。
3.如权利要求2所述的消息代理方法，其特征在于，所述根据所述第一双证书中的签名私钥和所述目标订阅客户端的加密公钥对所述待发布消息分别进行签名和加密的步骤，包括：
根据所述第一双证书中的签名私钥对所述待发布消息进行签名；
获取目标订阅客户端的加密公钥；
通过所述目标订阅客户端的加密公钥对签名后的所述待发布消息进行加密。
4.如权利要求1所述的消息代理方法，其特征在于，所述在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端的步骤之前，还包括：
接收所述订阅客户端发送的订阅消息，并根据所述订阅消息建立对应的主题筛选器；
相应地，所述在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定所述消息代理系统中的目标订阅客户端的步骤，包括：
在接收到所述发布客户端发送的待发布消息时，根据所述待发布消息确定对应的发布主题；
将所述发布主题与所述主题筛选器进行匹配，并将匹配到的主题筛选器对应的订阅客户端作为目标订阅客户端。
5.如权利要求1至4中任一项所述的消息代理方法，其特征在于，所述第一双证书为采用OpenSSL生成的所述服务器的数字证书。
6.一种适用于工业数控场景的消息代理方法，其特征在于，所述消息代理方法由客户端执行，所述客户端应用于包含服务器和所述客户端的消息代理系统，所述方法包括：
获取预先创建的第二双证书，所述第二双证书为所述客户端的数字证书；
与所述服务器建立连接；
获取待传输消息，并根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器。
7.如权利要求6所述的消息代理方法，其特征在于，所述第二双证书和所述服务器的双证书均包含有对应的签名公钥、签名私钥、加密公钥和加密私钥，所述签名公钥用于对所述待传输消息进行验签，所述签名私钥用于对所述待传输消息进行签名，所述加密公钥用于对所述待传输消息进行加密，所述加密私钥用于对所述待传输消息进行解密；
所述根据所述第二双证书与所述服务器的双证书将所述待传输消息加密后传输至所述服务器的步骤，包括：
根据所述第二双证书中的签名私钥和所述服务器的加密公钥对所述待传输消息分别进行签名和加密；
将签名和加密后的所述待传输消息传输至所述服务器，以使所述服务器在接收到所述待传输消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证。
8.如权利要求7所述的消息代理方法，其特征在于，所述待传输消息包括订阅消息；
所述将签名和加密后的所述待传输消息传输至所述服务器的步骤，包括：
将签名和加密后的所述订阅消息传输至所述服务器，以使所述服务器在接收到所述订阅消息时，通过所述服务器的加密私钥和所述第二双证书中的签名公钥分别进行解密和验证，并根据所述订阅消息建立对应的主题筛选器，在接收到与所述主题筛选器相匹配的待发布消息时，返回所述待发布消息。
9.一种适用于工业数控场景的设备，其特征在于，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的消息代理程序，所述消息代理程序配置为实现如权利要求1至5中任一项或6至8中任一项所述的消息代理方法的步骤。
10.一种存储介质，其特征在于，所述存储介质上存储有消息代理程序，所述消息代理程序被处理器执行时实现如权利要求1至5中任一项或6至8中任一项所述的消息代理方法的步骤。
CN202310265797.7A 2023-03-17 2023-03-17 适用于工业数控场景的消息代理方法、设备及存储介质 Pending CN116418766A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310265797.7A CN116418766A (zh) 2023-03-17 2023-03-17 适用于工业数控场景的消息代理方法、设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310265797.7A CN116418766A (zh) 2023-03-17 2023-03-17 适用于工业数控场景的消息代理方法、设备及存储介质

Publications (1)

Publication Number Publication Date
CN116418766A true CN116418766A (zh) 2023-07-11

Family

ID=87057506

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310265797.7A Pending CN116418766A (zh) 2023-03-17 2023-03-17 适用于工业数控场景的消息代理方法、设备及存储介质

Country Status (1)

Country Link
CN (1) CN116418766A (zh)

Similar Documents

Publication Publication Date Title
US10313135B2 (en) Secure instant messaging system
US8489877B2 (en) System, method and computer product for sending encrypted messages to recipients where the sender does not possess the credentials of the recipient
CA2394451C (en) System, method and computer product for delivery and receipt of s/mime-encrypted data
US8156190B2 (en) Generating PKI email accounts on a web-based email system
US7360079B2 (en) System and method for processing digital documents utilizing secure communications over a network
US8788811B2 (en) Server-side key generation for non-token clients
US20110296171A1 (en) Key recovery mechanism
US8145707B2 (en) Sending digitally signed emails via a web-based email system
US8117438B1 (en) Method and apparatus for providing secure messaging service certificate registration
US8520840B2 (en) System, method and computer product for PKI (public key infrastructure) enabled data transactions in wireless devices connected to the internet
US8352742B2 (en) Receiving encrypted emails via a web-based email system
CN116418766A (zh) 适用于工业数控场景的消息代理方法、设备及存储介质
CN116684169A (zh) 一种基于网络身份的应用层数据安全传输方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination