一种密钥管理的方法和系统

本发明涉及通信技术领域，尤其涉及一种密钥管理的方法和系统。

目前，智能手机等智能终端设备被广泛普及，用户在使用这些智能终端设备进行 通信的过程中，通信内容容易被恶意软件监听和窃取。而现有的加密通信方式通常都是采 用软件加密算法或硬件加密算法，密钥信息由单方生成，并直接发送给对方，这种建立双方 加密通话的方式很容易造成密钥信息被窃取，导致通话过程被恶意攻击，给用户带来安全 隐患。

本发明实施例提供一种密钥管理的方法和系统，可以提高加密通信的密钥生成安 全性和传输安全性，从而保证通信内容的安全传输。

第一方面，本发明实施例提供了一种密钥管理的方法，该方法包括：

本端设备若检测到用户触发与对端设备通信的操作，则向密管服务器发送密钥申 请消息，其中，所述密钥申请消息携带本端设备标识，所述密钥申请消息用于申请会话密 钥；

所述密管服务器根据接收到的所述密钥申请消息，随机生成所述本端设备标识对 应的所述会话密钥，并将所述会话密钥发送给所述本端设备；

所述本端设备若接收到所述会话密钥，则向所述对端设备发送通信请求，其中，所 述通信请求携带所述本端设备标识；

所述对端设备根据所述通信请求包含的所述本端设备标识，向所述密管服务器请 求获取所述本端设备标识对应的所述会话密钥；

所述对端设备若接收到所述会话密钥，则响应所述通信请求，与所述本端设备建 立通信连接。

另一方面，本发明实施例提供了一种密钥管理的系统，该系统包括本端设备、对端 设备和密管服务器；

所述本端设备包括：

密钥申请单元，用于若检测到用户触发与对端设备通信的操作，则向密管服务器 发送密钥申请消息，其中，所述密钥申请消息携带本端设备标识，所述密钥申请消息用于申 请会话密钥；

通信请求单元，用于若接收到所述会话密钥，则向所述对端设备发送通信请求，其 中，所述通信请求携带所述本端设备标识；

所述对端设备包括：

密钥获取单元，用于根据所述通信请求包含的所述本端设备标识，向所述密管服 务器请求获取所述本端设备标识对应的所述会话密钥；

通信响应单元，用于若接收到所述会话密钥，则响应所述通信请求，与所述本端设 备建立通信连接；

所述密管服务器包括：

密钥生成单元，用于根据接收到的所述密钥申请消息，随机生成所述本端设备标 识对应的所述会话密钥，并将所述会话密钥发送给所述本端设备；

密钥获取处理单元，用于处理所述对端设备获取所述本端设备标识对应的所述会 话密钥的请求。

本发明实施例通过在本端设备检测到用户触发与对端设备通信的操作时，向密管 服务器发送密钥申请消息，申请会话密钥，并在接收到密管服务器发送的随机生成的本次 通信的会话密钥后向对端设备发送通信请求，对端设备接收到通信请求后向密管服务器请 求该会话密钥，并在接收到密管服务器发送的该会话密钥后向本端设备返回通信响应，使 得本端设备和对端设备都安全获取到本次通信的会话密钥，提高了会话密钥的生成安全性 和传输安全性，从而保证通信内容的安全传输。

为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要使用的 附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普 通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的一种密钥管理的方法的示意流程图；

图2是本发明实施例二提供的一种密钥管理的方法的示意流程图；

图3是本发明实施例三提供的一种密钥管理的系统的示意性框图；

图4是本发明实施例四提供的一种密钥管理的系统的示意性框图。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完 整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发 明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施 例，都属于本发明保护的范围。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示 所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整 体、步骤、操作、元素、组件和/或其集合的存在或添加。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目 的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上 下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。

还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/或”是 指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

如在本说明书和所附权利要求书中所使用的那样，术语“如果”可以依据上下文被 解释为“当...时”或“一旦”或“响应于确定”或“响应于检测到”。类似地，短语“如果确定”或 “如果检测到[所描述条件或事件]”可以依据上下文被解释为意指“一旦确定”或“响应于确 定”或“一旦检测到[所描述条件或事件]”或“响应于检测到[所描述条件或事件]”。

具体实现中，本发明实施例中描述的本端设备包括但不限于诸如具有触摸敏感表 面(例如，触摸屏显示器和/或触摸板)的移动电话、膝上型计算机或平板计算机之类的其它 便携式设备。还应当理解的是，在某些实施例中，所述设备并非便携式通信设备，而是具有 触摸敏感表面(例如，触摸屏显示器和/或触摸板)的台式计算机。

在接下来的讨论中，描述了包括显示器和触摸敏感表面的本端设备。然而，应当理 解的是，本端设备可以包括诸如物理键盘、鼠标和/或控制杆的一个或多个其它物理用户接 口设备。

本端设备支持各种应用程序，例如以下中的一个或多个：绘图应用程序、演示应用 程序、文字处理应用程序、网站创建应用程序、盘刻录应用程序、电子表格应用程序、游戏应 用程序、电话应用程序、视频会议应用程序、应用程序、即时消息收发应用程序、锻 炼支持应用程序、照片管理应用程序、数码相机应用程序、数字摄影机应用程序、web浏览应 用程序、数字音乐播放器应用程序和/或数字视频播放器应用程序。

可以在本端设备上执行的各种应用程序可以使用诸如触摸敏感表面的至少一个 公共物理用户接口设备。可以在应用程序之间和/或相应应用程序内调整和/或改变触摸敏 感表面的一个或多个功能以及本端设备上显示的相应信息。这样，本端设备的公共物理架 构(例如，触摸敏感表面)可以支持具有对用户而言直观且透明的用户界面的各种应用程 序。

实施例一：

请参阅图1，图1是本发明实施例一提供的一种密钥管理的方法的示意流程图，本 实施例的执行主体包括本端设备、对端设备终端和服务器，其中，本端设备和对端设备均为 终端设备，其具体可以是智能手机或者其他智能终端等设备。图1所示的密钥管理的方法可 以包括以下步骤：

S101、本端设备若检测到用户触发与对端设备通信的操作，则向密管服务器发送 密钥申请消息，其中，该密钥申请消息携带本端设备标识，该密钥申请消息用于申请会话密 钥。

具体地，密管服务器主要用于完成密钥的生成和加密存储、加解密过程和对密钥 的管理等。

当本端设备检测到本端设备的用户触发与对端设备的通信操作时，在和对端设备 建立通信连接之前，本端设备向密管服务器发送携带本端设备标识的密钥申请消息，用于 申请与对端设备的加密通信过程中使用的会话密钥。

本端设备标识用于唯一标识本端设备，其具体可以是本端设备的客户识别模块 (Subscriber Identification Module，SIM)卡的标识码，或者SIM卡对应的通信号码，或者 中央处理器(Central Processing Unit，CPU)标识码，或者其他可以唯一标识本端设备的 标识信息，此处不做限制。

S102、密管服务器根据接收到的密钥申请消息，随机生成本端设备标识对应的会 话密钥，并将该会话密钥发送给本端设备。

具体地，密管服务器接收到本端设备发送的密钥申请消息，根据密钥申请消息中 的本端设备标识，随机生成与本端设备标识对应的会话密钥，并将该会话密钥发送给本端 设备。

需要说明的是，会话密钥用于本端设备和对端设备在通信过程中的消息加密和解 密，在每一次通信建立时，本端设备都会向密管服务器申请本次通信过程中使用的会话密 钥，并且该会话密钥是随机生成的独一无二的，不同的通信过程其会话密钥也不相同，从而 保证一话一密，提高通信过程中通信内容传输的安全性。

S103、本端设备若接收到会话密钥，则向对端设备发送通信请求，其中，该通信请 求携带本端设备标识。

具体地，本端设备若接收到密管服务器发送的本次通信的会话密钥，则向对端设 备发送通信请求消息，该通信请求消息携带本端设备标识。

通信请求消息可以通过网络消息进行发送，该通信请求消息不需要携带会话密 钥。

S104、对端设备根据通信请求包含的本端设备标识，向密管服务器请求获取本端 设备标识对应的会话密钥。

具体地，对端设备接收到本端设备发送的通信请求消息，获取该通信请求消息中 携带的本端设备标识，并向密管服务器请求获取该本端设备标识对应的会话密钥。

S105、对端设备若接收到会话密钥，则响应通信请求，与本端设备建立通信连接。

具体地，对端设备若接收到密管服务器发送的本端设备标识对应的会话密钥，则 响应本端设备发送的通信请求消息，建立与本端设备的通信连接，以使本端设备用户与对 端设备用户之间能够使用会话密钥进行加密通话。

本端设备和对端设备在通信建立过程中不需要将通信过程中使用的会话密钥发 送给对方，而是通过密管服务器申请和获取该会话密钥，从而提高会话密钥的安全性。

从上述图1示例的密钥管理的方法可知，本实施例中，本端设备检测到用户触发与 对端设备通信的操作时，向密管服务器发送密钥申请消息，申请会话密钥，并在接收到密管 服务器发送的随机生成的本次通信的会话密钥后向对端设备发送通信请求，对端设备接收 到通信请求后向密管服务器请求该会话密钥，并在接收到密管服务器发送的该会话密钥后 向本端设备返回通信响应，使得本端设备和对端设备都安全获取到本次通信的会话密钥， 提高了会话密钥的生成安全性和传输安全性，从而保证通信内容的安全传输。

实施例二：

请参阅图2，图2是本发明实施例二提供的一种密钥管理的方法的示意流程图，本 实施例的执行主体包括本端设备、对端设备终端和服务器，其中，本端设备和对端设备均为 终端设备，其具体可以是智能手机或者其他智能终端等设备。图2所示的密钥管理的方法可 以包括以下步骤：

S201、本端设备若检测到用户触发与对端设备通信的操作，则建立申请包。

具体地，当本端设备检测到本端设备的用户触发与对端设备的通信操作时，在和 对端设备建立通信连接之前，本端设备建立申请包，该申请包用于向密管服务器申请与对 端设备的加密通信过程中使用的会话密钥。

S202、本端设备使用预存的签名私钥对申请包进行签名，并使用预存的密管公钥 对签名后的申请包进行加密。

具体地，本端设备可以预先通过电子商务认证授权机构(CA,Certificate Authority)申请数字证书、同时预先通过安全芯片生成签名密钥对，签名密钥对包括签名 公钥和签名私钥，本端设备将签名公钥发送给密管服务器进行保存。密管系统可以预先生 成本端设备对应的加密密钥对和密管密钥对，用于与本端设备之间的交互消息的加密和解 密。密管密钥对包括密管私钥和密管公钥，加密密钥对包括加密公钥和加密私钥。以上数字 证书、加密密钥对、签名密钥对和密管密钥对的生成可以在用户触发与对端设备通信的操 作之前进行，具体可以在终端开机时或者第一次使用终端上对应的专用通信应用软件进行 注册时进行，此处不做限制。

安全芯片通过采用固定的商用密码算法，实现对数据的加密和解密，例如，安全芯 片可以使用国产A3芯片。带有安全芯片的终端能够对通信过程进行加密，保证通信安全，同 时保存在安全芯片中的数据安全性更高，不易被窃取。每个安全芯片在出厂时都带有唯一 的序列号。

S203、本端设备将本端设备标识和加密后的申请包生成密钥申请消息，并将该密 钥申请消息发送给密管服务器，其中，该密钥申请消息携带本端设备标识，该密钥申请消息 用于申请会话密钥。

具体地，本端设备标识用于唯一标识本端设备，其具体可以是本端设备的客户识 别模块(Subscriber Identification Module，SIM)卡的标识码，或者SIM卡对应的通信号 码，或者中央处理器(Central Processing Unit，CPU)标识码，或者其他可以唯一标识本端 设备的标识信息，此处不做限制。

本端设备将本端设备标识和加密后的申请包生成密钥申请消息，并将该密钥申请 消息发送给密管服务器。密管服务器主要用于完成密钥的生成和加密存储、加解密过程和 对密钥的管理等。

S204、密管服务器根据接收到的密钥申请消息，随机生成本端设备标识对应的会 话密钥，并将该会话密钥发送给本端设备。

需要说明的是，会话密钥用于本端设备和对端设备在通信过程中的消息加密和解 密，在每一次通信建立时，本端设备都会向密管服务器申请本次通信过程中使用的会话密 钥，并且该会话密钥是随机生成的独一无二的，不同的通信过程其会话密钥也不相同，从而 保证一话一密，提高通信过程中通信内容传输的安全性。

具体地，密管服务器根据接收到的密钥申请消息，随机生成本端设备标识对应的 会话密钥，并将该会话密钥发送给本端设备的具体过程可以通过步骤S2041至步骤S2045完 成，详细说明如下：

S2041、密管服务器根据密钥申请消息包含的本端设备标识，获取预存的本端设备 标识对应的密管密钥对、本端设备的签名公钥和本端设备的加密密钥对。

具体地，密管服务器接收到本端设备发送的密钥申请消息，获取密钥申请消息中 的本端设备标识，根据本端设备标识获取预存的本端设备标识对应的密管密钥对、本端设 备的签名公钥和本端设备的加密密钥对。

S2042、密管服务器使用密管私钥对密钥申请消息包含的申请包进行解密，并使用 签名公钥对解密后的申请包进行验签。

具体地，由于本端设备在步骤S202中使用签名私钥对申请包进行签名，并使用密 管公钥对签名后的申请包进行加密，因此，密管服务器使用本端设备标识对应的密管私钥 对申请包进行解密，并使用本端设备标识对应的签名公钥对解密后的申请包进行验签。

S2043、若验签成功，则密管服务器随机生成会话密钥，并将该会话密钥与本端设 备标识对应保存。

具体地，若步骤S2042中的验签结果为验签成功，密管服务器确认本端设备的身份 合法并且本端设备发送的密钥申请消息安全，则密管服务器随机生成会话密钥，并将该会 话密钥与本端设备标识对应保存在密管服务器中。

S2044、密管服务器使用加密公钥对会话密钥进行加密，并使用密管私钥对加密后 的会话密钥进行签名。

具体地，密管服务器使用本端设备标识对应的加密公钥对步骤S2043中生成的会 话密钥进行加密，并使用本端设备标识对应的密管私钥对加密后的会话密钥进行签名。

S2045、密管服务器将签名后的会话密钥发送给本端设备。

具体地，密管服务器将步骤S2044中加密和签名的会话密钥发送给本端设备。

S205、本端设备若接收到会话密钥，则向对端设备发送通信请求，其中，该通信请 求携带本端设备标识。

具体地，本端设备若接收到会话密钥，则向对端设备发送通信请求的具体过程可 以通过步骤S2051至步骤S2053完成，详细说明如下：

S2051、本端设备若接收到签名后的会话密钥，则使用密管公钥对会话密钥进行验 签。

具体地，本端设备若接收到密管服务器发送的加密和签名后的会话密钥，则使用 预存的密管公钥对该会话密钥进行验签。

S2052、若验签成功，则本端设备使用预存的加密私钥对会话密钥进行解密，得到 解密后的会话密钥。

具体地，若验签成功，则本端设备确认该会话密钥是从密管服务器合法发送，本端 设备使用预存的加密私钥对会话密钥进行解密，得到解密后的会话密钥，本端设备将该会 话密钥保存在安全芯片中，用于通信过程中对通信消息的加密和解密。

S2053、本端设备向对端设备发送通信请求。

具体地，通信请求消息可以通过网络消息进行发送，该通信请求消息携带本端设 备标识，不需要携带会话密钥。

S206、对端设备根据通信请求包含的本端设备标识，向密管服务器请求获取本端 设备标识对应的会话密钥。

具体地，对端设备接收到本端设备发送的通信请求消息，获取该通信请求消息中 携带的本端设备标识，并向密管服务器请求获取该本端设备标识对应的会话密钥。

具体地，对端设备根据通信请求包含的本端设备标识，向密管服务器请求获取本 端设备标识对应的会话密钥的具体过程可以通过步骤S2061至步骤S2062完成，详细说明如 下：

S2061、对端设备根据通信请求包含的本端设备标识，向密管服务器发送密钥请求 消息，其中，该密钥请求消息携带本端设备标识，该密钥请求消息用于获取本端设备标识对 应的会话密钥。

具体地，对端设备接收到本端设备发送的通信请求消息，获取该通信请求消息中 携带的本端设备标识，向密管服务器发送携带本端设备标识的密钥请求消息，用于获取本 端设备标识对应的会话密钥。

需要说明的是，对端设备向密管系统发送的密钥请求消息，可以按照与步骤S201 至步骤S203本端设备向密管系统发送密钥申请消息相同的方法进行处理，采用和本端设备 相同的加密和签名方式对密钥请求消息进行加密和签名，此处不再赘述。

S2062、密管服务器根据接收到的密钥请求消息，将本端设备标识对应的会话密钥 发送给对端设备。

具体地，密管服务器接收到对端设备的密钥请求消息，可以采用与步骤S2041至步 骤S2042对密钥申请消息相同的解密和验签的方式获取解密和验签后的密钥请求消息，此 处不再赘述。

密管服务器根据密钥请求消息中携带的本端设备标识，获取本端设备标识对应的 会话密钥，并对该会话密钥加密和签名后，将该会话密钥发送给对端设备，具体加密和签名 的方式可以采用与步骤S2044相同的方法，此处不再赘述。

S207、对端设备若接收到会话密钥，则响应通信请求，与本端设备建立通信连接。

具体地，对端设备若接收到密管服务器发送的本端设备标识对应的会话密钥，则 响应本端设备发送的通信请求消息，建立与本端设备的通信连接，以使本端设备用户与对 端设备用户之间能够使用会话密钥进行加密通话。

本端设备和对端设备在通信建立过程中不需要将通信过程中使用的会话密钥发 送给对方，而是通过密管服务器申请和获取该会话密钥，从而提高会话密钥的安全性。

从上述图2示例的密钥管理的方法可知，本实施例中，本端设备检测到用户触发与 对端设备通信的操作时，建立申请包，使用预存的签名私钥对申请包进行签名，并使用预存 的密管公钥对签名后的申请包进行加密，将本端设备标识和加密后的申请包生成密钥申请 消息，并将该密钥申请消息发送给密管服务器，用于申请会话密钥，密管服务器根据密钥申 请消息包含的本端设备标识，使用本端设备标识对应的密管私钥对密钥申请消息包含的申 请包进行解密，使用本端设备标识对应的签名公钥对解密后的申请包进行验签，并在验签 成功后随机生成会话密钥，使用本端设备标识对应的加密公钥对会话密钥进行加密，并使 用本端设备标识对应的密管私钥对加密后的会话密钥进行签名后，将该会话密钥发送给本 端设备，通过本端设备和密管服务器的这种加密签名的消息交互方式，确保会话密钥在传 输过程中的安全性，同时由于会话密钥是随机生成的独一无二的，不同的通信过程其会话 密钥也不相同，从而保证一话一密，提高通信过程中通信内容传输的安全性；本端设备对会 话密钥进行解密和验签后保存在安全芯片中，并向对端设备发送通信请求，该通话请求不 需要携带会话密钥，对端设备接收到通信请求后，采用与本端设备相同的加密传输方式与 密管服务器进行消息交互，向密管服务器请求该会话密钥，密管服务器根据本端设备标识 获取到对应的会话密钥并发送给对端设备，对端设备接收到会话密钥后向本端设备返回通 信响应，建立与本端设备的通信连接，从而使得本端设备和对端设备都安全获取到本次通 信的会话密钥，提高了会话密钥的生成安全性和传输安全性，从而保证通信内容的安全传 输。

实施例三：

请参阅图3，图3是本发明实施例三提供的一种密钥管理的系统的示意框图。为了 便于说明，仅示出了与本发明实施例相关的部分。图3示例的密钥管理的系统300可以是前 述实施例一提供的一种密钥管理的方法的执行主体。图3示例的密钥管理的系统300主要包 括本端设备31、对端设备32和密管服务器33，详细说明如下：

本端设备31包括：

密钥申请单元311，用于若检测到用户触发与对端设备通信的操作，则向密管服务 器33发送密钥申请消息，其中，该密钥申请消息携带本端设备标识，该密钥申请消息用于申 请会话密钥；

通信请求单元312，用于若接收到密管服务器33发送的会话密钥，则向对端设备32 发送通信请求，其中，该通信请求携带本端设备标识；

对端设备32包括：

密钥获取单元321，用于根据通信请求包含的本端设备标识，向密管服务器33请求 获取本端设备标识对应的会话密钥；

通信响应单元322，用于若接收到密管服务器33发送的会话密钥，则响应通信请求 单元312发送的通信请求，与本端设备31建立通信连接；

密管服务器33包括：

密钥生成单元331，用于根据接收到的密钥申请单元311发送的密钥申请消息，随 机生成本端设备标识对应的会话密钥，并将该会话密钥发送给本端设备31；

密钥获取处理单元332，用于处理对端设备32获取本端设备标识对应的会话密钥 的请求。

本实施例提供的密钥管理的系统300中本端设备31、对端设备32和密管服务器33 的各单元实现各自功能的过程，具体可参考前述图1所示实施例的描述，此处不再赘述。

从上述图3示例的密钥管理的系统300可知，本实施例中，本端设备检测到用户触 发与对端设备通信的操作时，向密管服务器发送密钥申请消息，申请会话密钥，并在接收到 密管服务器发送的随机生成的本次通信的会话密钥后向对端设备发送通信请求，对端设备 接收到通信请求后向密管服务器请求该会话密钥，并在接收到密管服务器发送的该会话密 钥后向本端设备返回通信响应，使得本端设备和对端设备都安全获取到本次通信的会话密 钥，提高了会话密钥的生成安全性和传输安全性，从而保证通信内容的安全传输。

实施例四：

请参阅图4，图4是本发明实施例四提供的一种密钥管理的系统的示意框图。为了 便于说明，仅示出了与本发明实施例相关的部分。图4示例的密钥管理的系统400可以是前 述实施例二提供的一种密钥管理的方法的执行主体。图4示例的密钥管理的系统400主要包 括本端设备41、对端设备42和密管服务器43，详细说明如下：

本端设备41包括：

密钥申请单元411，用于若检测到用户触发与对端设备通信的操作，则向密管服务 器43发送密钥申请消息，其中，该密钥申请消息携带本端设备标识，该密钥申请消息用于申 请会话密钥；

通信请求单元412，用于若接收到密管服务器43发送的会话密钥，则向对端设备42 发送通信请求，其中，该通信请求携带本端设备标识；

对端设备42包括：

密钥获取单元421，用于根据通信请求包含的本端设备标识，向密管服务器33请求 获取本端设备标识对应的会话密钥；

通信响应单元422，用于若接收到密管服务器43发送的会话密钥，则响应通信请求 单元412发送的通信请求，与本端设备41建立通信连接；

密管服务器43包括：

密钥生成单元431，用于根据接收到的密钥申请单元411发送的密钥申请消息，随 机生成本端设备标识对应的会话密钥，并将该会话密钥发送给本端设备41；

密钥获取处理单元432，用于处理对端设备42获取本端设备标识对应的会话密钥 的请求。

进一步地，密钥申请单元411包括：

申请建立单元4111，用于若检测到用户触发与对端设备通信的操作，则建立申请 包；

申请加密单元4112，用于使用预存的签名私钥对申请建立单元4111建立的申请包 进行签名，并使用预存的密管公钥对签名后的申请包进行加密；

申请发送单元4113，用于将本端设备标识和申请加密单元4112加密后的申请包生 成密钥申请消息，并将该密钥申请消息发送给密管服务器43。

进一步地，密钥生成单元431包括：

获取单元4311，用于根据申请发送单元4113发送的密钥申请消息包含的本端设备 标识，获取预存的本端设备标识对应的密管密钥对、本端设备41的签名公钥和本端设备41 的加密密钥对，其中，密管密钥对包括密管私钥和密管公钥，加密密钥对包括加密公钥和加 密私钥；

第一验签单元4312，用于使用获取单元4311获取的密管私钥对密钥申请消息包含 的申请包进行解密，并使用获取单元4311获取的签名公钥对解密后的申请包进行验签；

第一验签成功单元4313，用于若第一验签单元4312的验签成功，则随机生成会话 密钥，并将该会话密钥与述本端设备标识对应保存；

加密单元4314，用于使用获取单元4311获取的加密公钥对第一验签成功单元4313 生成的会话密钥进行加密，并使用获取单元4311获取的密管私钥对加密后的会话密钥进行 签名；

第一发送单元4315，用于将加密单元4314签名后的会话密钥发送给本端设备41。

进一步地，通信请求单元412包括：

第二验签单元4121，用于若接收到第一发送单元4315发送的签名后的会话密钥， 则使用预存的密管公钥对该会话密钥进行验签；

第二验签成功单元4122，用于若第二验签单元4121的验签成功，则使用预存的加 密私钥对会话密钥进行解密，得到解密后的会话密钥；

第二发送单元4123，用于向对端设备42发送通信请求。

进一步地，密钥获取单元421，还用于根据第二发送单元4123发送的通信请求包含 的本端设备标识，向密管服务器43发送密钥请求消息，其中，该密钥请求消息携带本端设备 标识，密钥请求消息用于获取本端设备标识对应的会话密钥；

密钥获取处理单元432，还用于根据接收到的密钥获取单元421发送的密钥请求消 息，将本端设备标识对应的会话密钥发送给对端设备42。

本实施例提供的密钥管理的系统400中本端设备41、对端设备42和密管服务器43 的各单元实现各自功能的过程，具体可参考前述图3所示实施例的描述，此处不再赘述。

从上述图4示例的密钥管理的系统400可知，本实施例中，本端设备检测到用户触 发与对端设备通信的操作时，建立申请包，使用预存的签名私钥对申请包进行签名，并使用 预存的密管公钥对签名后的申请包进行加密，将本端设备标识和加密后的申请包生成密钥 申请消息，并将该密钥申请消息发送给密管服务器，用于申请会话密钥，密管服务器根据密 钥申请消息包含的本端设备标识，使用本端设备标识对应的密管私钥对密钥申请消息包含 的申请包进行解密，使用本端设备标识对应的签名公钥对解密后的申请包进行验签，并在 验签成功后随机生成会话密钥，使用本端设备标识对应的加密公钥对会话密钥进行加密， 并使用本端设备标识对应的密管私钥对加密后的会话密钥进行签名后，将该会话密钥发送 给本端设备，通过本端设备和密管服务器的这种加密签名的消息交互方式，确保会话密钥 在传输过程中的安全性，同时由于会话密钥是随机生成的独一无二的，不同的通信过程其 会话密钥也不相同，从而保证一话一密，提高通信过程中通信内容传输的安全性；本端设备 对会话密钥进行解密和验签后保存在安全芯片中，并向对端设备发送通信请求，该通话请 求不需要携带会话密钥，对端设备接收到通信请求后，采用与本端设备相同的加密传输方 式与密管服务器进行消息交互，向密管服务器请求该会话密钥，密管服务器根据本端设备 标识获取到对应的会话密钥并发送给对端设备，对端设备接收到会话密钥后向本端设备返 回通信响应，建立与本端设备的通信连接，从而使得本端设备和对端设备都安全获取到本 次通信的会话密钥，提高了会话密钥的生成安全性和传输安全性，从而保证通信内容的安 全传输。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单 元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件 和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这 些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专 业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不 应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的【系 统】、本端设备和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再 赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的【系统】、本端设备和方 法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述 单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元 或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显 示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、装置或单元的间 接耦合或通信连接，也可以是电的，机械的或其它的形式连接。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显 示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个 网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案 的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以 是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的 单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用 时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上 或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式 体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机 设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全 部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程 序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何 熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替 换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利 要求的保护范围为准。