密鑰遠程獲取方法和裝置與流程

本發明涉及通信技術領域，特別是涉及一種密鑰遠程獲取方法和裝置。

背景技術：

隨著通信技術的快速發展，越來越多的重要信息通過網絡傳播，但是由于考慮到網絡中信息安全性，許多業務領域中信息的傳輸不依賴于網絡，依然采用較為原始的方法。

然而，在支付技術領域，銷售終端(POS終端，Point of sale)作為金融支付系統的最常用的硬件設備之一，銷售終端需要對交易敏感信息進行加密，以確保交易安全。在對銷售終端的密鑰注入時，需要將銷售終端運輸到固定的安全場所注入密鑰。這樣，使得為銷售終端注入密鑰的過程較為繁瑣，同時也增加了銷售終端的部署成本，降低了銷售終端獲取密鑰的效率。

技術實現要素：

基于此，有必要針對為銷售終端注入密鑰的過程較為繁瑣問題，提供一種密鑰遠程獲取方法和裝置。

一種密鑰遠程獲取方法，所述方法包括：

檢測注入密鑰獲取指令；

在檢測到所述注入密鑰獲取指令時，生成臨時密鑰對；

獲取隨機密鑰對中保存在本地的私鑰，根據所述隨機密鑰對中的私鑰對所述臨時密鑰對中的公鑰簽名生成臨時密鑰簽名；

獲取第一身份認證證書；

將所述臨時密鑰簽名和所述第一身份認證證書發送至遠程注入服務器；

接收所述遠程注入服務器根據所述臨時密鑰簽名和所述第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書；

根據所述注入密鑰密文簽名和所述第二身份認證證書得到注入密鑰并保存。

在其中一個實施例中，所述檢測注入密鑰獲取指令之前，還包括：

向證書獲取服務器發送證書請求；

在接收到所述證書獲取服務器根據所述證書請求返回的請求確認信息時，隨機生成隨機密鑰對；

將所述隨機密鑰對中的私鑰保存在本地，并將所述隨機密鑰對中的公鑰發送至所述證書獲取服務器，由所述證書獲取服務器根據所述隨機密鑰對中的公鑰生成證書請求文件，將所述證書請求文件發送至證書簽發服務器，由所述證書簽發服務器根據所述證書請求文件生成第一身份認證證書；

接收所述證書簽發服務器經過所述證書獲取服務器反饋的第一身份認證證書。

在其中一個實施例中，所述根據所述注入密鑰密文簽名和所述第二身份認證證書得到注入密鑰并保存，包括：

根據所述第二身份認證證書對所述遠程注入服務器的身份進行驗證；

若驗證通過，提取所述第二身份認證證書中的認證公鑰；

根據所述第二身份認證證書中的認證公鑰對所述注入密鑰密文簽名驗證；

若驗證通過，根據所述臨時密鑰對中保存在本地的私鑰對所述注入密鑰密文簽名中的注入密鑰密文解密得到注入密鑰并保存。

在其中一個實施例中，所述根據所述第二身份認證證書對所述遠程注入服務器的身份進行驗證，包括：

提取本地的簽發公鑰；

根據所述簽發公鑰對所述第二身份認證證書中的簽名進行驗證；

若驗證通過，提取所述第二身份認證證書中的廠商信息；

將提取到的廠商信息與本地的廠商信息比較；

若所述提取到的廠商信息與所述本地的廠商信息一致，則對所述遠程注入服務器的身份驗證通過。

在其中一個實施例中，所述接收所述遠程注入服務器根據所述臨時密鑰簽名和所述第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書，包括：

接收所述遠程注入服務器對所述第一身份認證信息驗證通后返回的注入密鑰密文簽名和第二身份認證證書；所述注入密鑰密文簽名由所述遠程注入服務器根據與所述第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名生成；所述注入密鑰密文由所述遠程注入服務器根據所述臨時密鑰簽名中的公鑰加密得到。

上述密鑰遠程獲取方法，在檢測到注入密鑰獲取指令時，生成臨時密鑰對，根據隨機密鑰對中保存在本地的私鑰對臨時密鑰對中的用于簽名得到臨時密鑰簽名，將獲取的第一身份認證證書和臨時密鑰簽名發送至遠程注入服務器，接收遠程注入服務器根據所述臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書，根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。通過多對密鑰對、多種密鑰簽名、第一身份認證證書和第二身份認證證書保證了密鑰傳輸的安全，在保證密鑰傳輸安全的情況下，從遠程注入服務器獲取密鑰，避免了需要到固定場所獲取密鑰的步驟，降低了運輸成本，并且簡化了密鑰獲取的過程，縮短了獲取密鑰所耗費的時間，提高了密鑰獲取效率。

一種密鑰遠程獲取裝置，所述裝置包括：

獲取指令檢測模塊，用于檢測注入密鑰獲取指令；

臨時密鑰生成模塊，用于在檢測到所述注入密鑰獲取指令時，生成臨時密鑰對；

密鑰簽名生成模塊，用于獲取隨機密鑰對中保存在本地的私鑰，根據所述隨機密鑰對中的私鑰對所述臨時密鑰對中的公鑰簽名生成臨時密鑰簽名；

認證證書獲取模塊，用于獲取第一身份認證證書；

認證證書發送模塊，用于將所述臨時密鑰簽名和所述第一身份認證證書發送至遠程注入服務器；

密鑰簽名接收模塊，用于接收所述遠程注入服務器根據所述臨時密鑰簽名和所述第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書；

注入密鑰獲取模塊，用于根據所述注入密鑰密文簽名和所述第二身份認證證書得到注入密鑰并保存。

在其中一個實施例中，所述裝置還包括：

證書請求發送模塊，用于向證書獲取服務器發送證書請求；

隨機密鑰生成模塊，用于在接收到所述證書獲取服務器根據所述證書請求返回的請求確認信息時，隨機生成隨機密鑰對；

隨機密鑰發送模塊，用于將所述隨機密鑰對中的私鑰保存在本地，并將所述隨機密鑰對中的公鑰發送至所述證書獲取服務器，由所述證書獲取服務器根據所述隨機密鑰對中的公鑰生成證書請求文件，將所述證書請求文件發送至證書簽發服務器，由所述證書簽發服務器根據所述證書請求文件生成第一身份認證證書；

認證證書接收模塊，用于接收所述證書簽發服務器經過所述證書獲取服務器反饋的第一身份認證證書。

在其中一個實施例中，所述注入密鑰獲取模塊包括：

認證證書驗證模塊，用于根據所述第二身份認證證書對所述遠程注入服務器的身份進行驗證；

認證公鑰提取模塊，用于在對所述遠程注入服務器的身份驗證通過后，提取所述第二身份認證證書中的認證公鑰；

密鑰簽名驗證模塊，用于根據所述第二身份認證證書中的認證公鑰對所述注入密鑰密文簽名驗證；

密鑰密文解密模塊，用于根據所述第二身份認證證書中的認證公鑰對所述注入密鑰密文簽名驗證通過后，根據所述臨時密鑰對中保存在本地的私鑰對所述注入密鑰密文簽名中的注入密鑰密文解密得到注入密鑰并保存。

在其中一個實施例中，所述認證證書驗證模塊還用于提取本地的簽發公鑰；根據所述簽發公鑰對所述第二身份認證證書中的簽名進行驗證；若驗證通過，提取所述第二身份認證證書中的廠商信息；將提取到的廠商信息與本地的廠商信息比較；若所述提取到的廠商信息與所述本地的廠商信息一致，則對所述遠程注入服務器的身份驗證通過。

在其中一個實施例中，所述密鑰簽名接收模塊還用于接收所述遠程注入服務器對所述第一身份認證信息驗證通后返回的注入密鑰密文簽名和第二身份認證證書；所述注入密鑰密文簽名由所述遠程注入服務器根據與所述第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名生成；所述注入密鑰密文由所述遠程注入服務器根據所述臨時密鑰簽名中的公鑰加密得到。

上述密鑰遠程獲取裝置，在檢測到注入密鑰獲取指令時，生成臨時密鑰對，根據隨機密鑰對中保存在本地的私鑰對臨時密鑰對中的用于簽名得到臨時密鑰簽名，將獲取的第一身份認證證書和臨時密鑰簽名發送至遠程注入服務器，接收遠程注入服務器根據所述臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書，根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。通過多對密鑰對、多種密鑰簽名、第一身份認證證書和第二身份認證證書保證了密鑰傳輸的安全，在保證密鑰傳輸安全的情況下，從遠程注入服務器獲取密鑰，避免了需要到固定場所獲取密鑰的步驟，降低了運輸成本，并且簡化了密鑰獲取的過程，縮短了獲取密鑰所耗費的時間，提高了密鑰獲取效率。

附圖說明

圖1為一個實施例中密鑰遠程獲取方法的應用環境圖；

圖2為一個實施例中密鑰遠程獲取系統中的銷售終端的結構框圖；

圖3為一個實施例中密鑰遠程獲取方法的流程示意圖；

圖4為一個實施例中生成身份認證證書的步驟的流程示意圖；

圖5為一個實施例中獲取注入密鑰的步驟的流程示意圖；

圖6為一個實施例中對遠程注入服務器的身份驗證的步驟的流程示意圖；

圖7為一個實施例中生成身份認證證書的步驟的時序圖；

圖8為一個實施例中密鑰遠程獲取方法的時序圖；

圖9為一個實施例中密鑰遠程獲取裝置的結構框圖；

圖10為另一個實施例中密鑰遠程獲取裝置的結構框圖；

圖11為一個實施例中注入密鑰獲取模塊的結構框圖。

具體實施方式

為了使本發明的目的、技術方案及優點更加清楚明白，以下結合附圖及實施例，對本發明進行進一步詳細說明。應當理解，此處所描述的具體實施例僅僅用以解釋本發明，并不用于限定本發明。

圖1為一個實施例中密鑰遠程獲取方法的應用環境圖。參照圖1，該密鑰遠程獲取方法應用于密鑰遠程獲取系統。密鑰遠程獲取系統包括終端110和服務器120，其中銷售終端110通過網絡與遠程注入服務器120連接。銷售終端110可以是用于獲取密鑰的移動終端，移動終端具體可以是用于獲取密鑰的POS終端。

圖2為一個實施例中圖1密鑰遠程獲取系統中的銷售終端110的內部結構示意圖。如圖2所示，該銷售終端110包括通過系統總線連接的處理器、非易失性存儲介質、內存儲器、顯示屏和輸入裝置。其中，銷售終端110的非易失性存儲介質存儲有操作系統、數據庫，還包括一種密鑰遠程獲取裝置，該密鑰遠程獲取裝置用于實現一種密鑰遠程獲取方法。處理器用于提供計算和控制能力，支撐整個銷售終端110的運行，銷售終端110中的內存儲器為非易失性存儲介質中的密鑰遠程獲取裝置的運行提供環境，該內存儲器中可存儲有計算機可讀指令，該計算機可讀指令被處理器執行時，可使得處理器執行一種密鑰遠程獲取方法。

如圖3所示，在一個實施例中，提供一種密鑰遠程獲取方法，本實施例以該方法應用于圖1中的密鑰遠程獲取系統中的銷售終端110來舉例說明。該方法具體包括以下步驟：

S302，檢測注入密鑰獲取指令。

具體地，操作人員通過銷售終端110的輸入裝置輸入注入密鑰獲取指令，注入密鑰獲取指令是指用于從遠程注入服務器獲取注入密鑰的指令。銷售終端110檢測是否存在輸入的注入密鑰獲取指令。

在一個實施例中，操作人員通過銷售終端110的輸入裝置啟動銷售終端110，銷售終端110在顯示屏上顯示輸入身份驗證信息。操作人員通過銷售終端110的輸入裝置輸入身份驗證信息。銷售終端110獲取輸入的身份驗證信息，將獲取到的身份驗證信息與本地保存的身份驗證信息進行比較，若一致，則驗證通過。若對身份驗證信息驗證通過，則觸發注入密鑰獲取指令。身份驗證信息具體可以是商戶名稱、姓名、銀行賬號和密碼中的至少一種。

S304，在檢測到注入密鑰獲取指令時，生成臨時密鑰對。

具體地，銷售終端110在檢測到注入密鑰獲取指令后，生成臨時密鑰對，臨時密鑰對中包括私鑰和公鑰。銷售終端110在獲取到注入密鑰后，會將臨時密鑰對刪除。銷售終端110具體可以隨機生成臨時密鑰對，還可以從密鑰池中選取任意選取一對密鑰對作為臨時密鑰對。

S306，獲取隨機密鑰對中保存在本地的私鑰，根據隨機密鑰對中的私鑰對臨時密鑰對中的公鑰簽名生成臨時密鑰簽名。

具體地，銷售終端110在生成隨機密鑰對時，將隨機密鑰對中的私鑰保存在本地。銷售終端110在生成臨時密鑰對后，提取本地保存的隨機密鑰對中的私鑰和臨時密鑰對中的公鑰，對臨時密鑰對中的公鑰進行計算得到哈希值，采用隨機密鑰對中的私鑰對計算得到的哈希值進行加密，將加密后的哈希值添加在臨時密鑰對中公鑰的尾部生成臨時密鑰簽名。

S308，獲取第一身份認證證書。

具體地，第一身份認證證書為在生產過程中證書簽發服務器簽發的用于表明銷售終端110身份的信息。銷售終端110具體可以從證書簽發服務器獲取第一身份認證證書，還可以從本地提取已經保存的第一身份認證證書。第一身份認證證書中包括證書簽發服務器簽發的簽名信息。第一身份認證證書可以包括隨機密鑰對中的公鑰、銷售終端110所屬廠商的信息和銷售終端110的設備標識中的至少一種。

S310，將臨時密鑰簽名和第一身份認證證書發送至遠程注入服務器。

具體地，銷售終端110將生成臨時密鑰簽名和獲取到的第一身份認證證書發送至遠程注入服務器120。遠程注入服務器120通過第一身份認證證書驗證銷售終端110的身份，在驗證通過后，從臨時密鑰簽名中提取臨時密鑰對中的公鑰，臨時密鑰簽名存儲著臨時密鑰對中的公鑰。

S312，接收遠程注入服務器根據臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書。

具體地，遠程注入服務器120獲取第二身份認證證書，第二身份認證證書為證書簽發服務器簽發的用于表明遠程注入服務器120的身份的信息。遠程注入服務器120采用簽發公鑰對第一身份認證證書驗證。驗證通過后，遠程注入服務器120從臨時密鑰簽名中提取的臨時密鑰對中的公鑰，臨時密鑰對中的公鑰存儲在臨時密鑰簽名中，用提取到的臨時密鑰簽名中的公鑰對注入密鑰進行加密得到注入密鑰密文，用與第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名得到注入密鑰密文簽名。遠程注入服務器120將注入密鑰密文簽名和第二身份認證證書發送至銷售終端110。

在一個實施例中，S312具體還包括：接收遠程注入服務器對第一身份認證信息驗證通后返回的注入密鑰密文簽名和第二身份認證證書；注入密鑰密文簽名由遠程注入服務器根據與第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名生成；注入密鑰密文由遠程注入服務器根據臨時密鑰簽名中的公鑰加密得到。

具體地，遠程注入服務器120接收到銷售終端110發送的臨時密鑰簽名和第一身份認證信息后，遠程注入服務器120提取證書簽發服務器已簽發的簽發公鑰對第一身份認證證書中的簽名信息進行簽名驗證。驗證通過后，提取第一身份認證證書中公鑰，提取的公鑰為隨機密鑰對中的公鑰。遠程注入服務器120用隨機密鑰對中的公鑰對臨時密鑰簽名的簽名信息進行驗證，若驗證通過，提取臨時密鑰簽名中的公鑰，提取的公鑰為臨時密鑰對中的公鑰。遠程注入服務器120用臨時密鑰對中的公鑰對注入密鑰加密的得到注入密鑰密文，再用與第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名得到注入密鑰密文簽名。遠程注入服務器120將第二身份認證證書和注入密鑰密文簽名發送至銷售終端110。銷售終端110接收遠程注入服務器120發送的第二身份認證證書和注入密鑰密文簽名。

S314，根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。

具體地，銷售終端110通過第二身份認證證書對遠程注入服務器120的身份進行驗證。銷售終端110對遠程注入服務器120的身份驗證通過后，對注入密鑰密文簽名的簽名信息進行簽名驗證，簽名驗證通過后提取注入密鑰密文簽名中的注入密鑰，將提取到的注入密鑰保存。其中注入密鑰可以是MK(主密鑰，Main Key)，還可以是DUKPT Init Key(一次一密體系中的初始密鑰，Derived Unique Key per Transaction)。

本實施例中，在檢測到注入密鑰獲取指令時，生成臨時密鑰對，根據隨機密鑰對中保存在本地的私鑰對臨時密鑰對中的用于簽名得到臨時密鑰簽名，將獲取的第一身份認證證書和臨時密鑰簽名發送至遠程注入服務器，接收遠程注入服務器根據所述臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書，根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。通過多對密鑰對、多種密鑰簽名、第一身份認證證書和第二身份認證證書保證了密鑰傳輸的安全，在保證密鑰傳輸安全的情況下，從遠程注入服務器獲取密鑰，避免了需要到固定場所獲取密鑰的步驟，降低了運輸成本，并且簡化了密鑰獲取的過程，縮短了獲取密鑰所耗費的時間，提高了密鑰獲取效率。

如圖4所示，在一個實施例中，S302之前具體還包括生成身份認證證書的步驟，該步驟具體包括以下內容：

S402，向證書獲取服務器發送證書請求。

具體地，銷售終端110獲取自身的設備標識，根據設備標識生成證書請求，將證書請求發送至證書獲取服務器。具體可以通過USB接口或串行接口接收將證書請求發送至證書獲取服務器。設備標識為銷售終端110的唯一標識，可以是產品序列號。

S404，在接收到證書獲取服務器根據證書請求返回的請求確認信息時，隨機生成隨機密鑰對。

具體地，證書獲取服務器在接收到銷售終端110發送的證書請求后，提取證書請求中的設備標識，對設備標識進行驗證，驗證設備標識是否屬于生產廠商。具體可以驗證設備標識是否屬于生成廠商的命名規范。證書獲取服務器在驗證設備標識屬于生產廠商后，向銷售終端110發送請求確認信息，與銷售終端建立連接。銷售終端110在接收到請求確認信息后，隨機生成隨機密鑰對，隨機密鑰對中包括私鑰和公鑰。

S406，將隨機密鑰對中的私鑰保存在本地，并將隨機密鑰對中的公鑰發送至證書獲取服務器，由證書獲取服務器根據隨機密鑰對中的公鑰生成證書請求文件，將證書請求文件發送至證書簽發服務器，由證書簽發服務器根據證書請求文件生成第一身份認證證書。

具體地，銷售終端110將隨機密鑰對中的私鑰保存在本地，將隨機密鑰對中的公鑰發送至證書獲取服務器。證書獲取服務器接收到隨機密鑰對中的公鑰后，獲取廠商信息，根據隨機密鑰對中的公鑰和廠商信息生成證書請求文件。證書請求文件還可以包括設備標識和請求時間中的至少一種。證書獲取服務器將生成的證書請求文件發送至證書簽發服務器。證書簽發服務器采用簽發私鑰對證書請求文件進行簽名得到第一身份認證證書。簽發私鑰和簽發公鑰相對應。

S408，接收證書簽發服務器經過證書獲取服務器反饋的第一身份認證證書。

具體地，在證書簽發服務器生成第一身份認證證書后，證書簽發服務器將第一身份認證證書發送至證書獲取服務器。證書獲取服務器將接收到的第一身份認證證書轉發至銷售終端110。銷售終端110接收證書獲取服務器轉發的第一身份認證證書。

本實施例中，將隨機生成的隨機密鑰對中的公鑰發送至證書獲取服務器，由證書獲取服務器根據隨機密鑰對中的公鑰生成證書請求文件，證書獲取服務器將證書請求文件發送至證書簽發服務器，使證書簽發服務器對證書請求文件簽名得到第一身份認證證書，通過第一身份認證證書保證了交易過程中數據的安全性。

如圖5所示，在一個實施例中，S314包括獲取注入密鑰的步驟，該步驟具體包括以下內容：

S502，根據第二身份認證證書對遠程注入服務器的身份進行驗證。

具體地，銷售終端110在接收到遠程注入服務器120發送的第二身份認證證書和注入密鑰密文簽名后，提取本地的簽發公鑰，使用簽發公鑰對第二身份認證證書中的簽名信息進行驗證。

S504，若對遠程注入服務器的身份驗證通過，提取第二身份認證證書中的認證公鑰。

具體地，若銷售終端110對第二身份認證證書中的簽名信息驗證通過，則對遠程注入服務器120的身份驗證通過。銷售終端110提取第二身份認證證書中的證書請求文件，從提取到的證書請求文件中獲取認證公鑰。

S506，根據第二身份認證證書中的認證公鑰對注入密鑰密文簽名驗證。

具體地，銷售終端110提取注入密鑰密文簽名中的簽名信息和簽名信息對應的原文，使用提取到的認證公鑰對注入密鑰密文簽名中的簽名信息解密得到注入密鑰密文簽名對應的哈希值，將提取到的簽名信息對應的原文采用哈希算法計算得到哈希值。將提取到的哈希值與計算得到的哈希值進行比較，若哈希值一致，則對注入密鑰密文簽名驗證通過，否則，驗證未通過。

S508，若對注入密鑰密文簽名驗證通過，根據臨時密鑰對中保存在本地的私鑰對注入密鑰密文簽名中的注入密鑰密文解密得到注入密鑰并保存。

具體地，若銷售終端110對注入密鑰密文簽名驗證通過，提取臨時密鑰對中保存在本地的私鑰，從注入密鑰密文簽名中提取注入密鑰密文，用提取到的臨時密鑰對中的私鑰對注入密鑰密文解密得到注入密鑰，將得到的注入密鑰保存在本地。

本實施例中，在獲取到第二身份認證證書和注入密鑰密文簽名后，通過第二身份認證證書對遠程注入服務器的身份認證，在認證通過后又利用第二身份認證證書中的認證公鑰對注入密鑰密文簽名進行驗證，在驗證通過后，利用臨時密鑰對中的私鑰解密注入密鑰密文得到注入密鑰。通過多重驗證或解密保證獲取到的注入密鑰的正確性和安全性，避免注入密鑰被泄露。

如圖6所示，在一個實施例中，S502具體包括對遠程注入服務器的身份驗證的步驟，該步驟具體包括以下內容：

S602，提取本地的簽發公鑰。

具體的，銷售終端110本地保存有證書簽發服務器簽發的簽發公鑰，簽發私鑰保存在證書簽發服務器，銷售終端110本地保存的簽發公鑰與遠程注入服務器120中保存的簽發公鑰相同。其中，簽發公鑰與簽發私鑰相對應。

S604，根據簽發公鑰對第二身份認證證書中的簽名進行驗證。

具體地，提取第二身份認證證書中的簽名信息和簽名信息對應的原文，采用簽發公鑰對簽名信息解密得到哈希值，將簽名信息對應的原文采用哈希算法計算得到哈希值。將解密得到的哈希值與計算得到的哈希值相比較，若一致，則驗證通過，若不一致，則驗證未通過。

S606，若對第二身份認證證書中的簽名驗證通過，提取第二身份認證證書中的廠商信息。

具體地，銷售終端110提取第二身份認證證書中的證書請求文件，對證書請求文件進行解析，提取證書請求文件中的廠商信息。廠商信息可以是廠商標識，還可以包括廠商地址、廠商法定代表人和廠商電話號碼中的至少一種。廠商標識具體可以是廠商名稱和廠商注冊代碼中的至少一種。

S608，將提取到的廠商信息與本地的廠商信息比較。

具體地，銷售終端110獲取本地存儲的廠商信息，將本地的廠商信息與提取到的廠商信息進行比較。

S610，若提取到的廠商信息與本地的廠商信息一致，則對遠程注入服務器的身份驗證通過。

具體地，銷售終端110在將本地的廠商信息與提取到的廠商信息進行比較時，若本地的廠商信息與提取到的廠商信息一致，則根據第二身份認證證書對遠程注入服務器120的身份驗證通過，若本地的廠商信息與提取到的廠商信息不一致，則根據第二身份認證證書對遠程注入服務器120未通過。

本實施例中，在利用簽發公鑰對第二身份認證證書的簽名信息驗證后，將本地的廠商信息與第二身份認證證書中的廠商信息進行比較，通過比較廠商信息對遠程注入服務器身份進行認證，保證遠程注入服務器屬于廠商指定的密鑰注入服務器，保證了密鑰獲取過程中的安全性。

如圖7所示，在一個實施例中，S302之前還包括生成身份認證證書的步驟，該步驟涉及到銷售終端110、證書獲取服務器130和證書簽發服務器140，該步驟具體包括以下內容：

銷售終端110向證書獲取服務器130發送證書請求，證書獲取服務器130根據證書請求向銷售終端110返回請求確認信息。銷售終端110接收到請求確認信息時，隨機生成隨機密鑰對，將隨機密鑰對中的私鑰保存在本地，將隨機密鑰對中的公鑰發送至證書獲取服務器130。

證書獲取服務器130根據隨機密鑰對中的公鑰生成證書請求文件，將證書請求文件發送至證書簽發服務器140。證書請求文件中還可以包括廠商信息、請求時間和設備標識中的至少一種。

證書簽發服務器140驗證接收到的證書請求文件進行驗證，具體可以是對證書請求文件中的主題信息進行驗證，主題信息具體可以是廠商標識。對證書請求文件驗證通過后，用與廠商標識對應的簽發私鑰對證書請求文件簽名的得到第一身份認證證書，將第一身份認證證書發送至證書獲取服務器130。證書獲取服務器130將第一身份認證證書轉發至銷售終端110。

銷售終端110接收到第一身份認證證書后，用與簽發私鑰對應的簽發公鑰驗證第一身份認證證書的簽名信息，驗證通過，保存第一身份認證證書。

如圖8所示，在一個實施例中，提供一種密鑰遠程獲取方法，該方法具體包括以下內容：

在銷售終端110接收到第一身份認證證書后，銷售終端110在檢測到注入密鑰獲取指令時，生成臨時密鑰對，用本地保存的隨機密鑰對中的私鑰對臨時密鑰對中的公鑰簽名得到臨時密鑰簽名。銷售終端110將第一身份認證證書和臨時密鑰簽名發送至密鑰遠程注入服務器120。

遠程注入服務器120用簽發公鑰驗證第一身份認證證書的簽名信息，若驗證通過，提取第一身份認證證書中的公鑰，提取到的公鑰為隨機密鑰對中的公鑰。遠程注入服務器120用隨機密鑰對中的公鑰驗證臨時密鑰簽名的簽名信息，若驗證通過，提取臨時密鑰簽名中的公鑰，提取到的公鑰為臨時密鑰對中的公鑰，用臨時密鑰對中的公鑰對注入密鑰進行加密得到注入密鑰密文。遠程注入服務器120用與認證公鑰對應的認證私鑰對注入密鑰密文簽名得到注入密鑰密文簽名。將第二身份認證證書和注入密鑰密文簽名發送至銷售終端110。

銷售終端110用簽發公鑰對第二身份認證證書的簽名信息進行驗證，若驗證通過，提取第二身份認證證書中的認證公鑰，用認證公鑰驗證注入密鑰密文簽名的簽名信息，若未通過，返回錯誤信息。若對注入密鑰密文簽名的簽名信息驗證通過，提取注入密鑰密文簽名中的注入密鑰密文，用臨時密鑰對中保存在本地的私鑰解密注入密鑰密文得到注入密鑰并保存，刪除臨時密鑰對。

本實施例中，銷售終端110的生成獲取只需要從注入一個簽發公鑰，簡化了生產流程。在銷售終端110出廠后，無需再運輸到固定場所獲取密鑰，簡化了獲取密鑰的過程，節省了運輸成本，節約了密鑰獲取所耗費的時間。將隨機密鑰對中的私鑰直接保存在本地，使外部設備無法獲得，保證了密鑰的安全性。通過銷售終端110與遠程注入服務器的雙向身份驗證，保證銷售終端110和遠程注入服務器的身份合法性。將用于加密注入密鑰的密鑰對和用于身份認證的隨機密鑰對區分開，避免密鑰混用發送錯誤，提高密鑰獲取效率。

如圖9所示，在一個實施例中，提供一種密鑰遠程獲取裝置900，該裝置具體包括：獲取指令檢測模塊902、臨時密鑰生成模塊904、密鑰簽名生成模塊906、認證證書獲取模塊908、認證證書發送模塊910、密鑰簽名接收模塊912和注入密鑰獲取模塊914。

獲取指令檢測模塊902，用于檢測注入密鑰獲取指令；

臨時密鑰生成模塊904，用于在檢測到注入密鑰獲取指令時，生成臨時密鑰對；

密鑰簽名生成模塊906，用于獲取隨機密鑰對中保存在本地的私鑰，根據隨機密鑰對中的私鑰對臨時密鑰對中的公鑰簽名生成臨時密鑰簽名；

認證證書獲取模塊908，用于獲取第一身份認證證書；

認證證書發送模塊910，用于將臨時密鑰簽名和第一身份認證證書發送至遠程注入服務器；

密鑰簽名接收模塊912，用于接收遠程注入服務器根據臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書；

注入密鑰獲取模塊914，用于根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。

在一個實施例中，密鑰簽名接收模塊912還用于接收遠程注入服務器對第一身份認證信息驗證通后返回的注入密鑰密文簽名和第二身份認證證書；注入密鑰密文簽名由遠程注入服務器根據與第二身份認證證書中的認證公鑰對應的認證私鑰對注入密鑰密文進行簽名生成；注入密鑰密文由遠程注入服務器根據臨時密鑰簽名中的公鑰加密得到。

本實施例中，在檢測到注入密鑰獲取指令時，生成臨時密鑰對，根據隨機密鑰對中保存在本地的私鑰對臨時密鑰對中公鑰簽名得到臨時密鑰簽名，將獲取的第一身份認證證書和臨時密鑰簽名發送至遠程注入服務器，接收遠程注入服務器根據所述臨時密鑰簽名和第一身份認證證書返回的注入密鑰密文簽名和第二身份認證證書，根據注入密鑰密文簽名和第二身份認證證書得到注入密鑰并保存。通過多對密鑰對、多種密鑰簽名、第一身份認證證書和第二身份認證證書保證了密鑰傳輸的安全，在保證密鑰傳輸安全的情況下，從遠程注入服務器獲取密鑰，避免了需要到固定場所獲取密鑰的步驟，降低了運輸成本，并且簡化了密鑰獲取的過程，縮短了獲取密鑰所耗費的時間，提高了密鑰獲取效率。

如圖10所示，在一個實施例中，密鑰遠程獲取裝置900具體還包括：證書請求發送模塊916、隨機密鑰生成模塊918、隨機密鑰發送模塊920和認證證書接收模塊922。

證書請求發送模塊916，用于向證書獲取服務器發送證書請求。

隨機密鑰生成模塊918，用于在接收到證書獲取服務器根據證書請求返回的請求確認信息時，隨機生成隨機密鑰對。

隨機密鑰發送模塊920，用于將隨機密鑰對中的私鑰保存在本地，并將隨機密鑰對中的公鑰發送至證書獲取服務器，由證書獲取服務器根據隨機密鑰對中的公鑰生成證書請求文件，將證書請求文件發送至證書簽發服務器，由證書簽發服務器根據證書請求文件生成第一身份認證證書。

認證證書接收模塊922，用于接收證書簽發服務器經過證書獲取服務器反饋的第一身份認證證書。

本實施例中，將隨機生成的隨機密鑰對中的公鑰發送至證書獲取服務器，由證書獲取服務器根據隨機密鑰對中的公鑰生成證書請求文件，證書獲取服務器將證書請求文件發送至證書簽發服務器，使證書簽發服務器對證書請求文件簽名得到第一身份認證證書，通過第一身份認證證書保證了交易過程中數據的安全性。

如圖11所示，在一個實施例中，注入密鑰獲取模塊914具體還包括：認證證書驗證模塊914a、認證公鑰提取模塊914b、密鑰簽名驗證模塊914c和密鑰密文解密模塊914d。

認證證書驗證模塊914a，用于根據第二身份認證證書對遠程注入服務器的身份進行驗證。

認證公鑰提取模塊914b，用于在對遠程注入服務器的身份驗證通過后，提取第二身份認證證書中的認證公鑰。

密鑰簽名驗證模塊914c，用于根據第二身份認證證書中的認證公鑰對注入密鑰密文簽名驗證。

密鑰密文解密模塊914d，用于根據第二身份認證證書中的認證公鑰對注入密鑰密文簽名驗證通過后，根據臨時密鑰對中保存在本地的私鑰對注入密鑰密文簽名中的注入密鑰密文解密得到注入密鑰并保存。

在一個實施例中，認證證書驗證模塊914a還用于提取本地的簽發公鑰；根據簽發公鑰對第二身份認證證書中的簽名進行驗證；若驗證通過，提取第二身份認證證書中的廠商信息；將提取到的廠商信息與本地的廠商信息比較；若提取到的廠商信息與本地的廠商信息一致，則對遠程注入服務器的身份驗證通過。

本實施例中，在利用簽發公鑰對第二身份認證證書的簽名信息驗證后，將本地的廠商信息與第二身份認證證書中的廠商信息進行比較，通過比較廠商信息對遠程注入服務器身份進行認證，保證遠程注入服務器屬于廠商指定的密鑰注入服務器，保證了密鑰獲取過程中的安全性。

本領域普通技術人員可以理解實現上述實施例方法中的全部或部分流程，是可以通過計算機程序來指令相關的硬件來完成，該計算機程序可存儲于一計算機可讀取存儲介質中，該程序在執行時，可包括如上述各方法的實施例的流程。其中，前述的存儲介質可為磁碟、光盤、只讀存儲記憶體(Read-Only Memory，ROM)等非易失性存儲介質，或隨機存儲記憶體(Random Access Memory，RAM)等。

以上所述實施例的各技術特征可以進行任意的組合，為使描述簡潔，未對上述實施例中的各個技術特征所有可能的組合都進行描述，然而，只要這些技術特征的組合不存在矛盾，都應當認為是本說明書記載的范圍。

以上所述實施例僅表達了本發明的幾種實施方式，其描述較為具體和詳細，但并不能因此而理解為對發明專利范圍的限制。應當指出的是，對于本領域的普通技術人員來說，在不脫離本發明構思的前提下，還可以做出若干變形和改進，這些都屬于本發明的保護范圍。因此，本發明專利的保護范圍應以所附權利要求為準。