二密钥K2和所述第一密钥Kl获得第一组合密钥，生成第一随机数NI，并采用所述第一组合密钥加密所述第一随机数NI ； 所述云终端接收所述主机的身份认证模块发送的第二密钥K2和加密的第一随机数NI ； 所述云终端根据所述第二密钥K2和自身保存的所述第一密钥Kl获得第二组合密钥，采用所述第二组合密钥解密所述加密的第一随机数NI，并采用所述第二组合密钥对第一随机数NI进行再次加密； 所述云终端向所述主机的身份认证模块发送再次加密的所述第一随机数NI ； 所述主机的身份认证模块根据所述第一组合密钥解密所述再次加密的第一随机数NI，确定解密得到的所述第一随机数NI是否与初始生成的所述第一随机数NI是否一致，若一致，确定所述云终端通过认证； 所述云终端产生第二随机数N2并采用所述第二组合密钥加密所述第二随机数N2 ；所述云终端向所述主机的身份认证模块发送经过所述第二组合密钥加密的所述第二随机数N2 ； 所述主机的身份认证模块根据所述第一组合密钥解密所述加密的第二随机数N2，并采用所述第一组合密钥对第二随机数N2进行再次加密； 所述云终端接收所述主机的身份认证模块发送的所述再次加密的所述第二随机数N2 ； 所述云终端根据所述第二组合密钥解密所述再次加密的第二随机数N2，确定解密得到的所述第二随机数N2是否与初始生成的所述第二随机数N2是否一致，若一致，确定所述虚拟机通过认证。
2.根据权利要求1所述的方法，其特征在于，在所述云终端向主机的身份认证模块发送第一密钥Kl之前,还包括: 所述云终端向云认证服务器发送认证请求； 当认证通过时，所述云终端接收所述云认证服务器发送的虚拟机列表，并选择一个虚拟机； 所述云终端向所述云认证服务器发送登录所选择的虚拟机的请求，以使云管理服务器将所述选择的虚拟机的镜像下发到所述主机，并将所述选择的虚拟机对应的第二密钥K2通过安全通道迁移到所述主机中。
3.根据权利要求2所述的方法，其特征在于，所述云终端向云认证服务器发送认证请求，包括: 所述云终端向所述云认证服务器发送用户口令；和\或， 所述云终端提示用户插入智能卡，并将所述智能卡中的签名信息和所述智能卡的公钥数字证书发送给云认证服务器。
4.根据权利要求1?3中任一项所述的方法，其特征在于，在云终端向主机的身份认证模块发送第一密钥Kl之前，还包括: 云终端向所述主机上的虚拟机发送登录请求； 所述虚拟机将所述登录请求转发给所述主机的身份认证模块，或者，所述主机的身份认证请求捕获模块捕获所述登录请求，并将所述登录请求转发给所述主机的身份认证模块。
5.根据权利要求1?3中任一项所述的方法,其特征在于,在云终端向主机的身份认证模块发送智能卡中的第一密钥Kl并请求认证之前，还包括: 云终端向所述主机上的虚拟机发送登录请求，以使所述主机捕获所述登录请求，并将所述登录请求转发给所述主机的身份认证模块。
6.根据权利要求1?5中任一项所述的方法，其特征在于，在所述云终端根据所述第二组合密钥解密所述再次加密的第二随机数N2，确定解密得到的所述第二随机数N2是否与初始生成的所述第二随机数N2是否一致，若一致，确定所述虚拟机通过认证之后，还包括: 若所述云终端确定所述虚拟机通过认证，则所述云终端向所述主机发送所述第二密钥K2对应的虚拟机通过认证的消息； 所述主机采用所述第一组合密钥解密所述虚拟机镜像后，启动所述虚拟机。
7.根据权利要求6所述的方法，其特征在于，在所述云终端向所述主机发送所述第二密钥K2对应的虚拟机通过认证的消息，以使所述主机采用所述第一组合密钥解密所述虚拟机镜像后，启动所述虚拟机之后，还包括: 所述云终端向所述主机发送关闭所述虚拟机的请求，以使所述主机采用所述第一组合密钥加密所述虚拟机镜像后，关闭所述虚拟机。
8.根据权利要求1?7中任一项所述的方法，其特征在于: 所述主机根据虚拟机镜像的标志位确定所述虚拟机当前是否处于加密状态。
9.根据权利要求1所述的方法，其特征在于，在所述云终端向主机的身份认证模块发送第一密钥Kl之前,还包括: 所述主机接收云管理服务器在完成对所述云终端的认证之后根据所述云终端选择的虚拟机下发的虚拟机镜像，并接收通过安全通道迁移的所述选择的虚拟机对应的第二密钥K2。
10.根据权利要求1?9中任一项所述的方法，其特征在于，所述第一密钥Kl和所述第二密钥K2均为对称密钥。
11.一种云终端，其特征在于，包括: 发送模块，用于向主机的身份认证模块发送第一密钥K1，所述第一密钥Kl由所述云终端的智能卡产生； 接收模块，用于接收所述主机的身份认证模块发送的第二密钥K2和经过第一组合密钥加密的第一随机数NI，其中，所述第二密钥K2对应于所要连接的虚拟机，所述第一组合密钥为所述主机的身份认证模块通过获取所述云终端对应的虚拟机的第二密钥K2，并根据所述第二密钥K2和所述第一密钥Kl获得的； 处理模块，用于根据所述第二密钥K2和自身保存的所述第一密钥Kl获得第二组合密钥，采用所述第二组合密钥解密所述加密的第一随机数NI，并采用所述第二组合密钥对第一随机数NI进行再次加密； 所述处理模块，还用于产生第二随机数N2并采用所述第二组合密钥加密所述第二随机数N2 ； 所述发送模块，还用于向所述主机的身份认证模块发送经过所述第二组合密钥再次加密的所述第一随机数NI和经过所述第二组合密钥加密的所述第二随机数N2，其中，所述第一随机数NI用于使所述主机的身份认证模块根据所述第一组合密钥解密所述再次加密的第一随机数NI，确定解密得到的所述第一随机数NI是否与初始生成的所述第一随机数NI是否一致，若一致，确定所述云终端通过认证； 所述接收模块还用于，接收所述主机的身份认证模块根据所述第一组合密钥解密所述加密的第二随机数N2，并采用所述第一组合密钥对第二随机数N2进行再次加密的所述第二随机数N2 ； 所述处理模块还用于，根据所述第二组合密钥解密所述再次加密的第二随机数N2，确定解密得到的所述第二随机数N2是否与初始生成的所述第二随机数N2是否一致，若一致，确定所述虚拟机通过认证。
12.根据权利要求11所述的云终端，其特征在于，还包括: 云认证服务器认证模块，用于向云认证服务器发送认证请求； 选择模块，用于当认证通过时，接收所述云认证服务器发送的虚拟机列表，并选择一个虚拟机； 所述发送模块还用于，向所述云认证服务器发送登录所选择的虚拟机的请求，以使云管理服务器将所述选择的虚拟机的镜像下发到所述主机，并将所述选择的虚拟机对应的第二密钥K2通过安全通道迁移到所述主机中。
13.根据权利要求12所述的云终端，其特征在于，所述云认证服务器认证模块具体用于: 所述云终端向所述云认证服务器发送用户口令；和\或， 所述云终端提示用户插入智能卡，并将所述智能卡中的签名信息和所述智能卡的公钥数字证书发送给云认证服务器。
14.根据权利要求11?13中任一项所述的云终端，其特征在于，所述发送模块还用于: 在向主机的身份认证模块发送智能卡中的第一密钥Kl之前，向所述主机上的虚拟机发送登录请求，以使所述虚拟机将所述登录请求转发给所述主机的身份认证模块。
15.根据权利要求11?13中任一项所述的云终端，其特征在于，所述发送模块还用于: 在向主机的身份认证模块发送智能卡中的第一密钥Kl之前，向所述主机上的虚拟机发送登录请求，以使所述主机捕获所述登录请求，并将所述登录请求转发给所述主机的身份认证模块。
16.根据权利要求11?15中任一项所述的云终端，其特征在于，所述发送模块还用于: 在所述处理模块确定所述第二密钥K2对应的虚拟机通过认证之后，向所述主机发送所述第二密钥K2对应的虚拟机通过认证的消息，以使所述主机采用所述第一组合密钥解密所述虚拟机镜像后，启动所述虚拟机。
17.根据权利要求16所述的云终端，其特征在于，所述发送模块还用于: 向所述主机发送关闭所述虚拟机的请求，以使所述主机采用所述第一组合密钥加密所述虚拟机镜像后，关闭所述虚拟机。
18.根据权利要求11?17中任一项所述的云终端，其特征在于，所述第一密钥Kl和所述第二密钥K2均为对称密钥。
19.一种主机，其特征在于，包括:身份认证模块和虚拟机管理VMM层，其中，所述身份认证模块包括: 接收单元，用于接收云终端发送的第一密钥K1，所述第一密钥Kl由所述云终端的智能卡产生； 处理单元，用于获取所述云终端对应的虚拟机的第二密钥K2，根据所述第二密钥K2和所述第一密钥Kl获得第一组合密钥，生成第一随机数NI，并采用所述第一组合密钥加密所述第一随机数NI ； 发送单元，用于向所述云终端发送经过所述第一组合密钥加密的所述第一随机数NI和所述第二秘钥K2 ； 所述接收单元，还用于接收所述云终端采用第二组合密钥解密所述加密的第一随机数N1、并采用所述第二组合密钥对第一随机数NI进行再次加密后发送所述第一随机数NI和经过所述第二组合密钥加密的第二随机数N2;其中，所述第二组合秘钥为所述云终端根据所述第二密钥K2和自身保存的所述第一密钥Kl获得的； 所述处理单元，还用于采用所述第一组合密钥解密所述云终端发送的再次加密的第一随机数NI，确定解密得到的所述第一随机数NI是否与初始生成的所述第一随机数NI是否一致，若一致，确定所述云终端通过认证； 所述处理单元，还用于根据所述第一组合密钥解密所述加密的第二随机数N2，并采用所述第一组合密钥对第二随机数N2进行再次加密； 所述发送单元，还用于当所述处理单元确定所述云终端通过认证时，向所述云终端发送经过所述第一组合密钥再次加密的所述第二随机数N2，以使所述云终端根据所述第二组合密钥解密所述再次加密的第二随机数N2，确定解密得到的所述第二随机数N2是否与初始生成的所述第二随机数N2是否一致，若一致，确定所述虚拟机通过认证。
20.根据权利要求19所述的主机，其特征在于，还包括: 虚拟机镜像接收模块，用于接收云管理服务器在完成对所述云终端的认证之后根据所述云终端选择的虚拟机下发的虚拟机镜像； 密钥管理模块，用于接收通过安全通道迁移的所述选择的虚拟机对应的第二密钥K2。
21.根据权利要求19或20所述的主机，其特征在于: 所述虚拟机，用于在所述身份认证模块的接收单元接收云终端发送第一密钥Kl之前，接收所述云终端发送的登录请求； 所述虚拟机，还用于将所述登录请求转发给所述身份认证模块。
22.根据权利要求19或20所述的主机，其特征在于: 所述虚拟机，用于在所述身份认证模块的接收单元接收云终端发送第一密钥Kl之前，接收所述云终端发送的登录请求； 所述主机还包括:身份认证请求捕获模块，用于捕获所述登录请求，并将所述登录请求转发给所述身份认证模块。
23.根据权利要求19?22中任一项所述的主机，其特征在于: 所述接收单元，还用于接收所述云终端发送的所述K2对应的虚拟机通过认证的消息； 所述VMM层，用于采用所述第一组合密钥解密所述虚拟机镜像，并启动所述虚拟机。
24.根据权利要求23所述的主机，其特征在于: 所述VMM层，还用于在所述VMM层采用所述第一组合密钥解密所述虚拟机镜像，并启动所述虚拟机之后，采用所述第一组合密钥加密所述虚拟机镜像，并关闭所述虚拟机。
25.根据权利要求19?24中任一项所述的主机，其特征在于: 所述VMM层，还用于根据虚拟机镜像的标志位确定所述虚拟机当前是否处于加密状态。
26.根据权利要求19?25中任一项所述的主机，其特征在于，所述第一密钥Kl和所述第二密钥K2均为对称密钥。
27.根据权利要求19?26中任一项所述的主机，其特征在于，还包括:身份认证和密钥管理域，所述身份认证和密钥管理域为虚拟机VMO，所述身份认证模块和密钥管理模块位于所述VMO中。
28.一种身份认证系统，其特征在于，包括:云管理服务器、主机和云终端，其特征在于，所述云终端采用如权利要求11?18中任一项所述的云终端，所述主机采用如权利要求19?27中任一项所述的主机，所述云管理服务器与所述主机连接，用于管理虚拟机镜像和所述虚拟机对应的第二密钥K2。
29.根据权利要求28所述的身份认证系统，其特征在于，还包括:云认证服务器，所述云认证服务器与所述云管理服务器连接，并通过网络与所述云终端远程连接，用于管理所述云终端的智能卡和第一密钥K1，以及对云终端进行身份认证。
【专利摘要】本发明实施例提供一种身份认证方法、设备及系统，包括：云终端向主机发送第一密钥K1；主机获取虚拟机对应的第二秘钥K2，根据K2和K1获得第一组合密钥，生成第一随机数N1，并采用第一组合密钥加密N1后发送给云终端；云终端根据主机发送的K2和自身保存的K1获得第二组合密钥，采用第二组合密钥将N1解密后再次加密，并生成第二随机数N2，采用第二组合密钥加密N2，并将N2和N1发送给主机；主机采用第一组合密钥解密N1，并根据N1的正确性确定云终端是否通过认证；主机采用第一组合密钥将N2解密并再次加密后发送给云终端；云终端采用第二组合密钥解密N2并根据N2的正确性确定虚拟机是否通过认证。
【IPC分类】H04L9-32, H04L29-08, H04L29-06
【公开号】CN104639516
【申请号】CN201310571495
【发明人】何伟, 那红旭, 张焕国, 王鹃
【申请人】华为技术有限公司
【公开日】2015年5月20日
【申请日】2013年11月13日