特許 6181303 暗号化通信方法、及び、暗号化通信システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6181303

(24)【登録日】2017年7月28日

(45)【発行日】2017年8月16日

(54)【発明の名称】暗号化通信方法、及び、暗号化通信システム

(51)【国際特許分類】

   H04L 9/32 20060101AFI20170807BHJP

   H04L 9/08 20060101ALI20170807BHJP

【ＦＩ】

   H04L9/00 675A

   H04L9/00 601C

   H04L9/00 675B

【請求項の数】14

【全頁数】22

(21)【出願番号】特願2016-528326(P2016-528326)

(86)(22)【出願日】2014年7月8日

(65)【公表番号】特表2016-525838(P2016-525838A)

(43)【公表日】2016年8月25日

(86)【国際出願番号】CN2014081835

(87)【国際公開番号】WO2015010537

(87)【国際公開日】20150129

【審査請求日】2016年2月24日

(31)【優先権主張番号】201310314997.3

(32)【優先日】2013年7月24日

(33)【優先権主張国】CN

(73)【特許権者】

【識別番号】516021887

【氏名又は名称】牟大同

(74)【代理人】

【識別番号】100142804

【弁理士】

【氏名又は名称】大上 寛

(72)【発明者】

【氏名】牟大同

【審査官】 金沢 史明

(56)【参考文献】

【文献】 国際公開第２００７／０９９６０９（ＷＯ，Ａ１）

【文献】 特開２００４−３４８２３６（ＪＰ，Ａ）

【文献】 特開平１０−０７０５７６（ＪＰ，Ａ）

【文献】 特開平０５−０７５５９８（ＪＰ，Ａ）

【文献】 特開２００６−２１７２７５（ＪＰ，Ａ）

【文献】 特開２０００−０１０９２７（ＪＰ，Ａ）

【文献】 国際公開第２０１２／０７３３４０（ＷＯ，Ａ１）

【文献】 中国特許出願公開第１０２７３７３１１（ＣＮ，Ａ）

【文献】 中国特許出願公開第１０３００１９７６（ＣＮ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ｈ０４Ｌ ９／０８

(57)【特許請求の範囲】

【請求項1】

下記のステップを含む暗号化通信方法：
ステップＡ：モバイル端末とアプリケーションサーバーは双方向認証を実行し、暗号化モバイル通信を構築し、モバイル端末とアプリケーションサーバーの間の認証及び通信のためのキーを導出する；
ステップＢ：クライアントホストが起動し、読み取り専用記憶装置に保存しているクライアントシステムソフトとクライアントネットワークアプリケーションソフトを読み取り起動してステップＣを実行可能とする；
ステップＣ：クライアントホストとアプリケーションサーバーがそれぞれ相手のＩＰアドレスを取得し、ＩＰアドレスのフィルタールールをそれぞれ設定する；
ステップＤ：アプリケーションサーバーはランダム数とキーを生成し、モバイル端末を通じてクライアントホストに送信する；
ステップＥ：クライアントホストとアプリケーションサーバーの間で、直接前記ＩＰアドレスのフィルタールールに基づいて、ＩＰアドレスフィルターを実行し、また前記アプリケーションサーバーが生成した前記ランダム数と前記キーにより、クライアントホストとアプリケーションサーバーの間の双方向認証及びキー認証を行うことで、暗号化ネット通信を構築する；
こととし、
前記ステップＡは以下のステップを含む：
ステップＡ１１：モバイル端末とアプリケーションサーバーは対称認証キーＫａＫａ’に基づき、双方向認証を実行し、対称通信キーＫｃＫｃ’に基づき、暗号化モバイル通信を構築し、かつ、ＫａＫａ’とＫｃＫｃ’の間には演算関係がなく、前記演算関係がないこととは任意の２個のキー間が互いに独立し、関連性がないことをいう；
ステップＡ１２：アプリケーションサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４を生成し、新しい認証キーＫａ’を導出し、Ｋａ’を導出する過程は以下のステップを含む：
アプリケーションサーバーは保存しているＭｅｍＰａ’に基づき、ＭｅｍＰａ’＝ｆ（Ｒ１，ＭｅｍＰａ’）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａ’はキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
アプリケーションサーバーは保存しているＭｅｍＫａ’に基づき、ＭｅｍＫａ’＝ｆ（Ｒ２，ＭｅｍＫａ’）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａ’はキーである；
アプリケーションサーバーはＫａ’＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ’，ＭｅｍＫａ’）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａ’はパラメーターであり、ＭｅｍＫａ’はキーである；
アプリケーションサーバーは新しい通信キーＫｃ’を導出し、Ｋｃ’の導出の過程は上記Ｋａ’の導出の過程に演算関係がなく、Ｋｃ’の導出する過程は以下のステップを含む：
アプリケーションサーバーは保存しているＭｅｍＰｃ’に基づき、ＭｅｍＰｃ’＝ｆ（Ｒ３，ＭｅｍＰｃ’）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃ’はキーである；
アプリケーションサーバーは保存しているＭｅｍＫｃ’に基づき、ＭｅｍＫｃ’＝ｆ（Ｒ４，ＭｅｍＫｃ’）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃ’はキーである；
アプリケーションサーバーはＫｃ’＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ’，ＭｅｍＫｃ’）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃ’はパラメーターであり、ＭｅｍＫｃ’はキーである；
アプリケーションサーバーはＫａ’、Ｋｃ’、ＭｅｍＰａ’、ＭｅｍＫａ’、ＭｅｍＰｃ’、ＭｅｍＫｃ’を保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う；
ステップＡ１３：アプリケーションサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４をモバイル端末に送信する；
ステップＡ１４：モバイル端末は新しい認証キーＫａを導出し、Ｋａを導出する過程は以下のステップを含む：
モバイル端末は保存しているＭｅｍＰａに基づき、ＭｅｍＰａ＝ｆ（Ｒ１，ＭｅｍＰａ）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａはキーである；
モバイル端末は保存しているＭｅｍＫａに基づき、ＭｅｍＫａ＝ｆ（Ｒ２，ＭｅｍＫａ）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａはキーである；
モバイル端末はＫａ＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ，ＭｅｍＫａ）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａはパラメーターであり、ＭｅｍＫａはキーである；
モバイル端末は新しい通信キーＫｃを導出し、Ｋｃの導出過程は上記のＫａの導出過程と演算関係がなく、Ｋｃの導出過程は下記のものを含む：
モバイル端末は保存しているＭｅｍＰｃに基づき、ＭｅｍＰｃ＝ｆ（Ｒ３，ＭｅｍＰｃ）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃはキーである；
モバイル端末は保存しているＭｅｍＫｃにより、ＭｅｍＫｃ＝ｆ（Ｒ４，ＭｅｍＫｃ）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃはキーである；
モバイル端末はＫｃ＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ，ＭｅｍＫｃ）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃはパラメーターであり、ＭｅｍＫｃはキーである；
モバイル端末はＫａ、Ｋｃ、ＭｅｍＰａ、ＭｅｍＫａ、ＭｅｍＰｃ、ＭｅｍＫｃを保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う。

【請求項2】

前記ステップＢは以下のステップを含む：
ステップＢ１１：クライアントホストが起動する；
ステップＢ１２：読み取り専用記憶装置に保存しているクライアントシステムソフトを読み取り起動する；
ステップＢ１３：クライアントホストはクライアントシステムソフトにより該クライアントホストのハードディスクの使用禁止を行う；
ステップＢ１４：クライアントホストは読み取り専用記憶装置に保存しているクライアントネットアプリソフトウェアを読み取り起動する；
ことを特徴とする請求項１に記載の暗号化通信方法。

【請求項3】

前記ステップＣは以下のステップを含む：
ステップＣ１１：クライアントホストはインターネットから該クライアントホストのＩＰアドレスＩＰＡｃを取得する；
ステップＣ１２：
クライアントホストは読み取り専用記憶装置に保存しているアプリケーションサーバーのＩＰアドレスＩＰＡｓを読み取り起動する、
または、
クライアントホストはユーザーをモバイル端末でアプリケーションサーバーからアプリケーションサーバーのＩＰアドレスＩＰＡｓを取得させ、ユーザーにＩＰＡｓをクライアントホストに入力させることで、アプリケーションサーバーのＩＰアドレスＩＰＡｓを読み取り起動する、；
ステップＣ１３：クライアントホストはＩＰアドレスフィルタールールを設定し、該クライアントホストによるＩＰソースアドレスがＩＰＡｓであるＩＰデータパッケージの受信を許可する；
ステップＣ１４：クライアントホストはユーザーにモバイル端末を用いてアプリケーションサーバーにＩＰＡｃを送信することを提示する；
ステップＣ１５：モバイル端末はＩＰＡｃを取得する；
ステップＣ１６：モバイル端末はＩＰＡｃをアプリケーションサーバーに送信し、アプリケーションサーバーはＩＰＡｃを受信し、同時にモバイル端末のモバイルユーザー総合業務デジタルネットワーク番号ＭＳＩＳＤＮを取得する；
ステップＣ１７：アプリケーションサーバーはＩＰアドレスフィルタールールを設定し、アプリケーションサーバーはＩＰソースアドレスがＩＰＡｃであるＩＰデータパッケージの受信を許可する、
ことを特徴とする請求項１に記載の暗号化通信方法。

【請求項4】

前記ステップＤは以下のステップを含む：
ステップＤ１１：アプリケーションサーバーはランダム数ｒａｎｄ１、ｒａｎｄ２、対称キーＫ１とＫ１’、Ｋ２とＫ２’、Ｋ３とＫ３’を生成する、ここで、Ｋ１、Ｋ２、Ｋ３の任意の二者の間には演算関係がない；
ステップＤ１２：アプリケーションサーバーはｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３をモバイル端末に送信する；
ステップＤ１３：モバイル端末はユーザーにｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３のクライアントホストへの入力を提示する；
ステップＤ１４：クライアントホストはｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３を取得する；
ことを特徴とする請求項１に記載の暗号化通信方法。

【請求項5】

前記ステップＥは以下のステップを含む：
ステップＥ１１：クライアントホストはｒｅｓ１＝ｆ（ｒａｎｄ１，Ｋ１）を計算する、ここで、ｒｅ１はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１はキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
ステップＥ１２：クライアントホストはＩＰデータパッケージＩＰ１を通じて、ｒｅｓ１をアプリケーションサーバーに送信し、ＩＰ１のＩＰソースアドレスがＩＰＡｃである；
ステップＥ１３：アプリケーションサーバーはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールにより、ＩＰ１を受信し、クライアントホストからアプリサーバへの接続を許可する；
ステップＥ１４：アプリケーションサーバーはｒｅｓ１’＝ｆ（ｒａｎｄ１，Ｋ１’）を計算する、ここで、ｒｅ１’はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１’はキーである；
ステップＥ１５：アプリケーションサーバーはｒｅｓ１’とｒｅｓ１を比較し、同じである場合には、ステップＥ１６へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ１６：アプリケーションサーバーはｒｅｓ２’＝ｆ（ｒａｎｄ２，Ｋ２’）を計算する、ここで、ｒｅ２’はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２’はキーであり、アプリケーションサーバーはランダム数ｒａｎｄ３を生成し、ｒａｎｄ３＿ｃ＝Ｅ（ｒａｎｄ３，Ｋ３’）を計算する、ここで、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３’はキーであり、Ｅは暗号化関数である；
ステップＥ１７：アプリケーションサーバーはＩＰデータパッケージＩＰ２を通じて、ｒｅｓ２’とｒａｎｄ３＿ｃをクライアントホストに送信し、ＩＰ２のＩＰソースアドレスがＩＰＡｓである；
ステップＥ１８：クライアントホストはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールによりＩＰ２を受信し、アプリケーションサーバーからクライアントホストへの接続を許可する；
ステップＥ１９：クライアントホストはｒｅｓ２＝ｆ（ｒａｎｄ２，Ｋ２）を計算する、ここで、ｒｅｓ２はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２はキーであり、クライアントホストはｒａｎｄ３＿ｐ＝Ｄ（ｒａｎｄ３＿ｃ，Ｋ３）を計算する、ここで、ｒａｎｄ３＿ｐはｒａｎｄ３＿ｃの暗号化解除で取得した明文であり、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３はキーであり、Ｄは暗号化関数Ｅに対応する暗号化解除関数である；
ステップＥ２０：クライアントホストはｒｅｓ２とｒｅｓ２’を比較し、同じである場合には、ステップＥ２１へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ２１：クライアントホストはユーザーにクライアントホストへのＭＳＩＳＤＮの入力を提示する；
ステップＥ２２：ＭＳＩＳＤＮをクライアントホストに入力する；
ステップＥ２３：
クライアントホストとアプリケーションサーバーはｒａｎｄ３＿ｐとｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３とＫ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき暗号化ネット通信を構築する、
または、
アプリケーションサーバーはユーザーの口座を開設するときに登録したユーザー情報からパラメーターＣをランダムに選択し、モバイル端末またはクライアントホストを通じて、ユーザーへパラメーターＣの名称を提示し、ユーザーにパラメーターＣをクライアントホストに入力させ、クライアントホストとアプリケーションサーバーはパラメーターＣ、ｒａｎｄ３＿ｐとｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３とＫ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき暗号化ネット通信を構築する、
ことを特徴とする請求項１に記載の暗号化通信方法。

【請求項6】

前記ステップＥ２３において、
ユーザーの口座開設するときに登録したユーザー情報は、
ユーザーの生物的な特徴、国際モバイルユーザー識別コードＩＭＳＩ、国際モバイル設備識別番号ＩＭＥＩ、ＩＣカード識別コードＩＣＣＩＤ、銀行口座の口座番号、身分証明書に明記するＩＤ、身分証明書に明記する有効期間または身分証明書に明記する住所を含む、
ことを特徴とする請求項５に記載の暗号化通信方法。

【請求項7】

対称キーＫ１，Ｋ２を非対称キーＫ１ａ，Ｋ２ａとする取り替えを行い、Ｋ１ａ、Ｋ２ａ、対称キーＫ３の任意の二者の間には演算関係がないこととし、暗号化関数ｆを非対称暗号化／暗号化解除関数に取り換え、クライアントホストはＫ１ａプライベートキーとＫ２ａパブリックキーに基づき、アプリケーションサーバーはＫ２ａプライベートキーとＫ１ａパブリックキーに基づき、双方はランダム数を送信せずに、パブリックキーを交換することもなく
、レスポンスのみを送信し、双方向認証を実行し、レスポンスの間には、演算関係がない、
ことを特徴とする請求項５に記載の暗号化通信方法。

【請求項8】

双方向認証では、レスポンスのみを送信し、ランダム数を送信せずに、非対称暗号化アルゴリズムを採用するときにはパブリックキーを交換せず、
レスポンスの間には演算関係がなく、レスポンスと会話キーの間にも演算関係がない、
ことを特徴とする請求項１又は請求項７に記載の暗号化通信方法。

【請求項9】

暗号化通信方法の各実行ステップにおいて、
それぞれモバイル端末を通じてクライアントホストの全ての機能を完成できる、
ことを特徴とする請求項１乃至請求項８のいずれか一項に記載の暗号化通信方法。

【請求項10】

請求項１乃至請求項９のいずれか一項に記載の暗号化通信方法を実施する暗号化通信システムであって、
読み取り専用記憶装置、クライアントホスト、モバイル端末、アプリケーションサーバーを含み、
読み取り専用記憶装置は、クライアントホストにクライアントシステムソフトとクライアントネットワークアプリケーションソフト及びアプリケーションサーバーのＩＰアドレスを提供するものであり、
クライアントホストは、データ通信ネットを通じてアプリケーションサーバーに接続し、起動した後、読み取り専用記憶装置に保存しているクライアントシステムソフトとクライアントネットワークアプリケーションソフトを読み取り・稼働し、読み取り専用記憶装置に保存しているアプリケーションサーバーのＩＰアドレスを読み取り、モバイル端末を通じてＩＰアドレスをアプリケーションサーバーに送信し、モバイル端末を通じてアプリケーションサーバーからランダム数とキーを受信し、アプリケーションサーバーのＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、アプリケーションサーバーと双方向認証及びキー認証を実行し、暗号化ネット通信を構築するものであり、
モバイル端末は、モバイル通信ネットを通じてアプリケーションサーバーに接続し、アプリケーションサーバーと双方向認証を実行し、暗号化モバイル通信を構築し、クライアントホストとアプリケーションサーバーにランダム数とキー及びＩＰアドレスを送信するものであり、
アプリケーションサーバーは、モバイル端末と双方向認証を実行し、暗号化モバイル通信を構築し、モバイル端末を通じてクライアントホストのＩＰアドレスを受信し、ランダム数とキーを生成し、モバイル端末を通じてクライアントホストに送信し、クライアントホストのＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、クライアントホストと双方向認証とキー認証を実行し、暗号化ネット通信を構築する、ことを特徴とする暗号化通信システム。

【請求項11】

前記読み取り専用記憶装置は、
ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＭＡＳＫ ＲＯＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＯＴＰ ＲＯＭ、ＥＥＰＲＯＭまたはＦｌａｓｈ ＲＯＭのいずれかである、
ことを特徴とする請求項１０に記載の暗号化通信システム。

【請求項12】

読み取り専用記憶装置は、有線通信インタフェースまたは無線通信インタフェースを通じてクライアントホストに接続される、
或いは読み取り専用記憶装置はクライアントホストのハードウェアとして設計される、
ことを特徴とする請求項１０に記載の暗号化通信システム。

【請求項13】

モバイル端末は携帯電話、ＰＤＡ、タブレットコンピュータまたはノートパソコンのいずれかである、ことを特徴とする請求項１０に記載の暗号化通信システム。

【請求項14】

暗号化通信システムは、モバイル端末を通じてクライアントホストの全ての機能を実現する、
ことを特徴とする請求項１０に記載の暗号化通信システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明はインターネット技術、ＬＡＮ技術、移動通信技術と情報セキュリティ技術分野に関わり、特に暗号化通信方法と暗号化通信システムに関する。

【背景技術】

【0002】

インターネットの発展は各種のネット安全問題をもたらし、主に以下のようなものがある。
トロイの木馬ウイルスを利用し、ユーザークライアントを通じてユーザーパスワードなどのユーザー敏感な情報を盗み取る；
フィッシングを利用し、ネット詐欺を行う；
ユーザークライアントに対するリモートコントロールを利用し、ユーザーのデータを操作を改竄し、大量のクライアントを侵入・コントロールした後、ＤＤｏＳ攻撃を起こす；
などである。

【0003】

これ以外にも、暗号化通信における会話キーの生成過程（インターネットに応用されるＰＫＩは、非対称暗号化アルゴリズムに基づくキー交換過程、ＷＬＡＮに応用されるＷＰＡ−ＰＳＫ／ＷＰＡ２−ＰＳＫは、対称暗号化アルゴリズムに基づくキー認証過程）においては、無数攻撃のリスクを避けられない。並行計算技術と分布型計算技術の発展に伴い、当該問題は日に日に際立っている。
そこで本発明は、上記のインターネット安全問題に対して、暗号化通信方法と暗号化通信システムを提案するものである。

【発明の概要】

【発明が解決しようとする課題】

【0004】

本発明が解決すべき技術課題は、暗号化通信方法と暗号化通信システムを提供することであり、モバイル端末を利用して、クライアントホストとアプリサーバーにＩＰアドレス、ランダム数とキーを送信させ、ＩＰアドレスフィルター、双方向認証、キー認証を実行させて暗号化ネット通信を構築し、ネットアプリの安全性を向上させるものである。

【0005】

本発明の上記の技術課題を解決するための技術案は下記のとおりである：
暗号化通信方法であり、暗号化通信方法を使用する前に、ユーザーはアプリサーバーへ登録し、ユーザー情報をアプリサーバーに提出する。ユーザー情報は下記のものを含む：
ユーザーの生物学的な特徴、モバイル端末のモバイルユーザー総合業務デジタルネットワーク番号ＭＳＩＳＤＮ（Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ Ｎｕｍｂｅｒ）、モバイル端末の国際モバイルユーザー識別コード ＩＭＳＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）、モバイル端末の国際モバイル設備識別コードＩＭＥＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｅｑｕｉｐｍｅｎｔ Ｉｄｅｎｔｉｔｙ）、モバイル端末ＳＩＭカードの集積回路カード識別コードＩＣＣＩＤ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｉｄｅｎｔｉｔｙ）、銀行口座（デビットカード、クレジットカードまたは預金通帳）の口座番号及び身分証明書のＩＤ、有効期間または住所；
アプリサーバーは対称キーＫａ／Ｋａ’、Ｋｃ／Ｋｃ’、ＭｅｍＰａ／ＭｅｍＰａ’、ＭｅｍＫａ／ＭｅｍＫａ’、ＭｅｍＰｃ／ＭｅｍＰｃ’とＭｅｍＫｃ／ＭｅｍＫｃ’を生成し、Ｋａ、Ｋｃ、ＭｅｍＰａ、ＭｅｍＫａ、ＭｅｍＰｃとＭｅｍＫｃをモバイル端末に書き込み、モバイル端末とアプリサーバーの双方向認証を実行させ、暗号化モバイル通信を構築し、キーを導出する。

【0006】

暗号化通信方法は下記のステップを含む：
ステップＡ：モバイル端末と応用サーバーは双方向認証を実行し、暗号化モバイル通信を構築し、キーを導出する；
ステップＢ：クライアントホストが起動し、読み取り専用記憶装置に保存しているクライアントシステムソフトとクライアントネットワークアプリケーションソフトを読み取り・稼働する；
ステップＣ：クライアントホストとアプリケーションサーバーがそれぞれ相手のＩＰアドレスを取得し、ＩＰアドレスのフィルタールールをそれぞれ設定する；
ステップＤ：アプリケーションサーバーはランダム数とキーを生成し、モバイル端末を通じてクライアントホストに送信する；
ステップＥ：クライアントホストとアプリケーションサーバーはＩＰアドレスフィルター、双方向認証とキー認証を実行し、暗号化ネット通信を構築する。

【0007】

上記の方法を使う有益な効果として、ネットアプリの端末から端末まで（Ｅｎｄ−ｔｏ−Ｅｎｄ）の安全性を保証する。

【0008】

上記の技術案について、暗号化通信方法を下記のように改善できる：
ステップＡは以下のステップを含む：
ステップＡ１１：モバイル端末とアプリサーバーは対称認証キーＫａ／Ｋａ’に基づき、双方向認証を実行し、対称通信キーＫｃ／Ｋｃ’に基づき、暗号化モバイル通信を構築し、かつ、Ｋａ／Ｋａ’とＫｃ／Ｋｃ’の間には演算関係がない；
ステップＡ１２：アプリサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４を生成し、新しい認証キーＫａ’を導出し、Ｋａ’を導出する過程は以下のステップを含む：
アプリサーバーは保存しているＭｅｍＰａ’に基づき、ＭｅｍＰａ’＝ｆ（Ｒ１，ＭｅｍＰａ’）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａはキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
アプリサーバーは保存しているＭｅｍＫａ’に基づき、ＭｅｍＫａ’＝ｆ（Ｒ２，ＭｅｍＫａ’）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａ’はキーである；
アプリサーバーはＫａ’＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ’，ＭｅｍＫａ’）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａ’はパラメーターであり、ＭｅｍＫａ’はキーである；
アプリサーバーは新しい通信キーＫｃ’を導出し、Ｋｃ’の導出の過程は上記Ｋａ’の導出の過程に演算関係がなく、Ｋｃ’の導出する過程は以下のステップを含む：
アプリサーバーは保存しているＭｅｍＰｃ’に基づき、ＭｅｍＰｃ’＝ｆ（Ｒ３，ＭｅｍＰｃ’）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃ’はキーである；
アプリサーバーは保存しているＭｅｍＫｃ’に基づき、ＭｅｍＫｃ’＝ｆ（Ｒ４，ＭｅｍＫｃ’）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃ’はキーである；
アプリサーバーはＫｃ’＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ’，ＭｅｍＫｃ’）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃ’はパラメーターであり、ＭｅｍＫｃ’はキーである；
アプリサーバーはＫａ’、Ｋｃ’、ＭｅｍＰａ’、ＭｅｍＫａ’、ＭｅｍＰｃ’、ＭｅｍＫｃ’を保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う；
ステップＡ１３：アプリサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４をモバイル端末に送信する；
ステップＡ１４：モバイル端末は新しい認証キーＫａを導出し、Ｋａを導出する過程は以下のステップを含む：
モバイル端末は保存しているＭｅｍＰａに基づき、ＭｅｍＰａ＝ｆ（Ｒ１，ＭｅｍＰａ）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａはキーである；
モバイル端末は保存しているＭｅｍＰａに基づき、ＭｅｍＫａ＝ｆ（Ｒ２，ＭｅｍＫａ）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａはキーである；
モバイル端末はＫａ＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ，ＭｅｍＫａ）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａはパラメーターであり、ＭｅｍＫａはキーである；
モバイル端末は新しい通信キーＫｃを導出し、Ｋｃの導出過程は上記のＫａの導出過程と演算関係がなく、Ｋｃの導出過程は下記のものを含む：
Ｋｃのモバイル端末は保存しているＭｅｍＰｃに基づき、ＭｅｍＰｃ＝ｆ（Ｒ３，ＭｅｍＰｃ）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃはキーである；
モバイル端末は保存しているＭｅｍＫｃにより、ＭｅｍＫｃ＝ｆ（Ｒ４，ＭｅｍＫｃ）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃはキーである；
モバイル端末はＫｃ＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ，ＭｅｍＫｃ）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃはパラメーターであり、ＭｅｍＫｃはキーである；
モバイル端末はＫａ、Ｋｃ、ＭｅｍＰａ、ＭｅｍＫａ、ＭｅｍＰｃ、ＭｅｍＫｃを保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う。

【0009】

上記の案を使う有益な効果として、認証キーＫａ／Ｋａ’と通信キーＫｃ／Ｋｃ’の間には演算関係がないため、Ｋａ／Ｋａ’に基づく認証情報によるＫｃ／Ｋｃ’に対する無数攻撃が防止される。
ステップＡをｎ回目実行した後における、ＭｅｍＰａ、ＭｅｍＫａ、ＭｅｍＰｃとＭｅｍＫｃのそれぞれのキー導出は、再帰演算Ｋ_ｎ＝ｆ（Ｒ_ｎ，ｆ（Ｒ_ｎ−１，ｆ（…，ｆ（Ｒ_ｉ，ｆ（Ｒ_ｉ−１，ｆ（…，ｆ（Ｒ_２，ｆ（Ｒ_１，Ｋ_０））））））））によりなされ、ここで、１≦ｉ≦ｎであり、Ｋ_ｎ，…，Ｋ_ｉ，…，Ｋ_０はキーであり、Ｋ_ｉ＝ｆ（Ｒ_ｉ，Ｋ_ｉ−１）、Ｒ_ｎ，Ｒ_ｎ−１，…，Ｒ_ｉ，…，Ｒ_２，Ｒ１はランダム数であり、それらは暗号化通信を通じて送信され、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含み、当該再帰演算に基づくＭｅｍＰａ／ＭｅｍＰａ’とＭｅｍＫａ／ＭｅｍＫａ’をパラメーターとキーとして、認証キーＫａ／Ｋａ’を計算し、当該再帰演算に基づくＭｅｍＰｃ／ＭｅｍＰｃ’とＭｅｍＫｃ／ＭｅｍＫｃ’をパラメーターとキーとして、通信キーＫｃ／Ｋｃ’を計算し、ルートキーにより認証キーと通信キーを計算せず、また、Ｋｃ／Ｋｃ’の導出過程とＫａ／Ｋａ’の導出過程に演算関係がないことで、双方向認証と暗号化通信の安全性が向上させられる。

【0010】

ステップＢは以下のステップを含む：
ステップＢ１１：クライアントホストが起動する：
ステップＢ１２：読み取り専用記憶装置に保存しているクライアントシステムソフトを読み取り・稼働する；
ステップＢ１３：クライアントホストはクライアントシステムソフトウェアでホストのハードディスクの使用を禁止する；
ステップＢ１４：クライアントホストは読み取り専用記憶装置に保存しているクライアントネットアプリソフトウェアを読み取り・稼働する。

【0011】

上記の案を使う有益な効果として、クライアントホストが起動した後、読み取り専用記憶装置で保存されたソフトウェアを使用し、クライアントホストのハードディスク使用が禁止され、クライアントホストハードディスクに保存されたコンピューターウイルスによるネットアプリに対する危害を防止する。

【0012】

ステップＣは以下のステップを含む：
ステップＣ１１：クライアントホストはインターネットからホストのＩＰアドレスＩＰＡｃを取得する；
ステップＣ１２：クライアントホストは読み取り専用記憶装置に保存しているアプリサーバーのＩＰアドレスＩＰＡｓを読み取り・稼働する、或いは、クライアントホストはユーザーにモバイル端末を用いてアプリサーバーからアプリサーバーのＩＰアドレスＩＰＡｓを取得させ、ユーザーにＩＰＡｓをクライアントに入力させる；
ステップＣ１３：クライアントホストはＩＰアドレスフィルタールールを設定し、ホストによるＩＰソースアドレスがＩＰＡｓであるＩＰデータパッケージの受信を許可する；
ステップＣ１４：クライアントホストはユーザーがモバイル端末を用いてアプリサーバーにＩＰＡｃを送信することを提示する；
ステップＣ１５：ＩＰＡｃをモバイル端末に入力する；
ステップＣ１６：モバイル端末はＩＰＡｃをアプリサーバーに送信し、アプリサーバーはＩＰＡｃを受信し、同時にモバイル端末のモバイルユーザー総合業務デジタルネットワーク番号ＭＳＩＳＤＮを取得する；
ステップＣ１７：アプリサーバーはＩＰアドレスフィルタールールを設定し、ホストはＩＰソースアドレスがＩＰＡｃであるＩＰデータパッケージの受信を許可する。

【0013】

上記の案を使う有益な効果として、クライアントホストは、ＤＮＳを使用せずに、ＩＰＡｓを直接利用してアプリサーバーにアクセスし、ＤＮＳハイジャック（ＤＮＳ Ｈｉｊａｃｋｉｎｇ）によるネットアプリに対する危害を防止する。クライアントホストはユーザーにモバイル端末を通じてＩＰＡｃをアプリサーバーに送信させ、アプリサーバーに対し、アクセスするクライアントホストのＩＰアドレスを把握させ、ＩＰアドレスフィルタールールを設定する。

【0014】

ステップＤは以下のステップを含む：
ステップＤ１１：アプリサーバーはランダム数ｒａｎｄ１、ｒａｎｄ２、対称キーＫ１／Ｋ１’、Ｋ２／Ｋ２’、Ｋ３／Ｋ３’を生成する、ここで、Ｋ１、Ｋ２、Ｋ３の任意の二者の間には演算関係がない；
ステップＤ１２：アプリサーバーはｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３をモバイル端末に送信する；
ステップＤ１３：モバイル端末はユーザーにｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３のクライアントホストへの入力を提示する；
ステップＤ１４、ｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３をクライアントホストに入力する。

【0015】

上記の案を使う有益な効果として、アプリサーバーはモバイル端末を通じて、ランダム数とキーをクライアントホストに送信し、ネット通信のワンタイムの秘密性が保証される。

【0016】

ステップＥは以下のステップを含む：
ステップＥ１１：クライアントホストはｒｅｓ１＝ｆ（ｒａｎｄ１，Ｋ１）を計算する、ここで、ｒｅ１はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１はキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
ステップＥ１２：クライアントホストはＩＰデータパッケージＩＰ１を通じて、ｒｅｓ１をアプリサーバーに送信し、ＩＰ１のＩＰソースアドレスがＩＰＡｃである；
ステップＥ１３：アプリサーバーはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールにより、ＩＰ１を受信し、クライアントホストからアプリサーバへの接続を許可する；
ステップＥ１４：アプリサーバーはｒｅｓ１’＝ｆ（ｒａｎｄ１，Ｋ１’）を計算する、ここで、ｒｅ１’はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１’はキーである；
ステップＥ１５：アプリサーバーはｒｅｓ１’とｒｅｓ１を比較し、同じである場合には、ステップＥ１６へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ１６：アプリサーバーはｒｅｓ２’＝ｆ（ｒａｎｄ２，Ｋ２’）を計算する、ここで、ｒｅ２’はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２’はキーである；アプリサーバーはランダム数ｒａｎｄ３を生成し、ｒａｎｄ３＿ｃ＝Ｅ（ｒａｎｄ３，Ｋ３’）を計算する、ここで、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３’はキーであり、Ｅは暗号化関数である；
ステップＥ１７：アプリサーバーはＩＰデータパッケージＩＰ２を通じて、ｒｅｓ２’とｒａｎｄ３＿ｃをクライアントホストに送信し、ＩＰ２のＩＰソースアドレスがＩＰＡｓである；
ステップＥ１８：クライアントホストはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールによりＩＰ２を受信し、アプリサーバーからクライアントホストへの接続を許可する；
ステップＥ１９：クライアントホストはｒｅｓ２＝ｆ（ｒａｎｄ２，Ｋ２）を計算する、ここで、ｒｅｓ２はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２はキーであり、クライアントホストはｒａｎｄ３＿ｐ＝Ｄ（ｒａｎｄ３＿ｃ，Ｋ３）を計算する、ここで、ｒａｎｄ３＿ｐはｒａｎｄ３＿ｃの暗号化解除で取得した明文であり、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３はキーであり、Ｄは暗号化関数Ｅに対応する暗号化解除関数である；
ステップＥ２０：クライアントホストはｒｅｓ２とｒｅｓ２’を比較し、同じである場合には、ステップＥ２１へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ２１、クライアントホストはユーザーにクライアントホストへのＭＳＩＳＤＮの入力を提示する；
ステップＥ２２：ＭＳＩＳＤＮをクライアントホストに入力する；
ステップＥ２３：クライアントホストとアプリサーバーはｒａｎｄ３＿ｐ／ｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３／Ｋ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき、暗号化ネット通信を構築する、または、アプリサーバーはユーザーの口座を開設するときに登録したユーザー情報からパラメーターＣをランダムに選択し、モバイル端末またはクライアントホストを通じて、ユーザーへパラメーターＣの名称を提示し、ユーザーをパラメーターＣをクライアントホストに入力させ、クライアントホストとアプリサーバーはパラメーターＣ、ｒａｎｄ３＿ｐ／ｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３／Ｋ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき、暗号化ネット通信を構築する。

【0017】

上記の案を使う有益な効果として、アプリサーバーはＩＰアドレスフィルターを実行してクライアントホストを認証するので、ＤｄｏＳによるアプリサーバーへの攻撃・危害が防止される。クライアントホストはＩＰアドレスフィルターを実行してアプリサーバーを認証するので、フィッシングによるクライアントホストに対する危害が防止される。ネット通信の双方向認証の過程において、クライアントホストとアプリサーバーの間ではランダム数が送信されず、レスポンスｒｅｓ１とｒｅｓ２’のみが送信され、ｒｅｓ１とｒｅｓ２’の間には演算関係がないため、ネット送信される認証情報に基づく認証キーＫ１とＫ２に対する攻撃が防止される。ｒｅｓ１とＫ３の間、ｒｅｓ２’とＫ３の間には演算関係がなく、ネット送信される認証情報に基づく会話キーＫｓに対する攻撃が防止される。送信されないＭＳＩＳＤＮ（モバイル通信ネットはＭＳＩＳＤＮに基づかず、臨時モバイルユーザー識別コードＴＭＳＩ（Ｔｅｍｐｏｒａｒｙ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ）とＩＭＳＩに基づいてモバイル端末を識別し、モバイル通信ネットはＴＭＳＩ／ＩＭＳＩに対応するＭＳＩＳＤＮとユーザーサービスをアプリサーバーに送信する）と、ランダムに選択されて送信されないパラメーターＣと、モバイル通信ネットで送信されるＫ３と、インターネット暗号化送信されるｒａｎｄ３認証会話キーＫｓに基づくことで、キー認証の安全性が向上される。

【0018】

さらに、ステップＥ２３にユーザーの口座開設するときに登録したユーザー情報は、ユーザーの生物的な特徴、国際モバイルユーザー識別コードＩＭＳＩ 、国際モバイル設備識別番号ＩＭＥＩ、ＩＣカード識別コードＩＣＣＩＤ、銀行口座の口座番号、身分証明書に明記するＩＤ、身分証明書に明記する有効期間または身分証明書に明記する住所を含む。

【0019】

上記の案を使う有益な効果として、ユーザー情報からパラメーターＣがランダムに選択され、会話キーＫｓの認証に使われ、パラメーターＣが伝達されないため、キー認証の安全性を向上させる。

【0020】

上記の暗号化通信方法において、対称キーＫ１とＫ２を非対称キーＫ１ａとＫ２ａとする取り替えを行い、Ｋ１ａ、Ｋ２ａ及び対称キーＫ３の任意の二者の間に演算関係がないこととし、暗号化関数ｆを非対称暗号化／暗号化解除関数に取り換え、クライアントホストはＫ１ａプライベートキーとＫ２ａパブリックキーに基づき、アプリサーバーはＫ２ａプライベートキーとＫ１ａパブリックキーに基づき、双方はランダム数を送信せずに、パブリックキーを交換することもなく、レスポンスのみを送信し、双方向認証を実行し、レスポンスの間には、演算関係がないこととする。

【0021】

上記の案を使う有益な効果として、暗号化通信方法に非対称暗号化アルゴリズムを採用して双方向認証を実行できる。双方向認証の際には、レスポンスのみが送信され、ランダム数が送信されず、パブリックキーが交換されず、レスポンスの間には演算関係がないので、ネット送信される認証情報による認証キーＫ１ａとＫ２ａに対する無数攻撃が防止される。Ｋ１ａとＫ３の間、Ｋ２ａとＫ３の間には演算関係がなく、ネット送信される認証情報による会話キーＫｓに対する攻撃が防止される。

【0022】

上記の暗号化通信方法において、双方向認証はレスポンスのみを送信し、ランダム数を送信せず、非対称暗号化アルゴリズムを採用するときには、パブリックキーを交換せず、レスポンスの間には演算関係がなく、レスポンスと会話キーの間にも演算関係がない。

【0023】

上記の案を使う有益な効果として、レスポンスのみが送信され、レスポンスの間には演算関係がないので、認証情報に基づく認証キーに対する無数攻撃が防止される。レスポンスと会話キーの間には演算関係がないので、認証情報に基づく会話キーに対する無数攻撃が防止される。

【0024】

暗号化通信方法の各実行ステップにおいて、モバイル端末を通じてクライアントホストの全ての機能を完了できる。

【0025】

上記の案を使う有益な効果として、本案のコストを更に削減できる。

【0026】

上述した暗号化通信方法に対応し、本発明の技術案には暗号化通信システムも含まれる。
即ち、読み取り専用記憶装置、クライアントホスト、モバイル端末とアプリケーションサーバーを含む暗号化通信システムであって、
読み取り専用記憶装置は、クライアントホストにクライアントシステムソフトウェアとクライアントネットワークアプリケーションソフトウェア及びアプリサーバーのＩＰアドレスを提供するものであり、
クライアントホストは、データ通信ネットを通じてアプリサーバーに接続し、起動した後、読み取り専用記憶装置に保存しているクライアントシステムソフトウェアとクライアントネットワークアプリケーションソフトウェアを読み取り・稼働し、読み取り専用記憶装置に保存しているアプリサーバーのＩＰアドレスを読み取り、モバイル端末を通じてＩＰアドレスをアプリサーバーに送信すし、モバイル端末を通じてアプリサーバーからランダム数とキーを受信し、アプリサーバーのＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、アプリサーバーと双方向認証とキー認証を実行し、暗号化ネット通信を構築するものであり、
モバイル端末はモバイル通信ネットを通じてアプリサーバーに接続し、アプリサーバーと双方向認証を実行し、暗号化モバイル通信を構築し、クライアントホストとアプリサーバーにランダム数とキー及びＩＰアドレスを送信するものであり、
アプリサーバーは、モバイル端末と双方向認証を実行し、暗号化モバイル通信を構築し、モバイル端末を通じてクライアントホストのＩＰアドレスを受信し、ランダム数とキーを生成し、モバイル端末を通じてクライアントホストに送信し、クライアントホストのＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、クライアントホストと双方向認証とキー認証を実行し、暗号化ネット通信を構築する。

【0027】

上記のシステムを使う有益な効果として、ネットアプリの端末から端末まで（Ｅｎｄ−ｔｏ−Ｅｎｄ）の安全性が保証される。

【0028】

上記の技術案について、暗号化通信システムを下記のように改善できる。
読み取り専用記憶装置がＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＭＡＳＫ ＲＯＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＯＴＰ ＲＯＭ、ＥＥＰＲＯＭまたはＦｌａｓｈ ＲＯＭのいずれかである。

【0029】

読み取り専用記憶装置は有線通信インタフェースまたは無線通信インタフェースを通じてクライアントホストに接続される、或いは読み取り専用記憶装置はクライアントホストのハードウェアとして設計される。

【0030】

モバイル端末は携帯電話、ＰＤＡ、タブレットコンピュータまたはノートパソコンのいずれかである。

【0031】

暗号化通信システムはモバイル端末を通じてクライアントホストの全ての機能を完成できる。

【0032】

データ通信ネットはＷＡＮ、ＭＡＮとＬＡＮを含む；モバイル端末は音声、メッセージまたはデータの方式でアプリサーバーと通信する。

【0033】

本発明が提供する方法とシステムは、ネットアプリの端末から端末まで（Ｅｎｄ−ｔｏ−Ｅｎｄ）の安全性を保証する。

【図面の簡単な説明】

【0034】

図１は本発明実施例一に述べた暗号化通信システムの構造イメージ図である；
図２は本発明実施例二に述べた暗号化通信方法のフローチャートである；
図３は本発明実施例二に述べた暗号化通信方法ステップＢのフローチャートである；
図４は本発明実施例二に述べた暗号化通信方法ステップＣのフローチャートである；
図５は本発明実施例二に述べた暗号化通信方法ステップＤのフローチャートである；
図６は本発明実施例二に述べた暗号化通信方法ステップＥのフローチャートである；
図７は本発明実施例三に述べた暗号化ＷＬＡＮ通信構築の方法のフローチャートである；
図８は本発明実施例四に述べた携帯電話銀行を実現する方法のフローチャートである；
図９は本発明実施例二に述べた暗号化通信方法ステップＡのフローチャートである。
図面の符号は、下記のとおりである：
１０１、読み取り専用記憶装置、１０２、クライアントホスト、１０３、モバイル端末、１０４、アプリサーバー。

【発明を実施するための形態】

【0035】

以下添付図面に合わせて本発明の原理と特徴について説明する。記載される例は本発明の解釈のみに使用され、本発明の範囲を制限するものではない。

【0036】

図１に示すように、実施例一は暗号化通信システムを提供するものであり、システムは読み取り専用記憶装置１０１、クライアントホスト１０２、モバイル端末１０３及びアプリサーバー１０４を含む。
読み取り専用記憶装置１０１は、クライアントホスト１０２にクライアントシステムソフトウェアとクライアントネットワークアプリケーションソフトウェア及びアプリサーバー１０４のＩＰアドレスを提供し、クライアントネットワークアプリケーションソフトウェアは、ブラウザ、安全ソフトウェア、リアルタイム通信ソフトウェアとゲームソフトウェアを含む；
クライアントホスト１０２は、データ通信ネットを通じてアプリサーバー１０４に接続し、起動した後、読み取り専用記憶装置１０１に保存しているクライアントシステムソフトウェアとクライアントネットワークアプリケーションソフトウェアを読み取り・稼働し、読み取り専用記憶装置１０１に保存しているアプリサーバー１０４のＩＰアドレスを読み取る。クライアントホスト１０２は、モバイル端末１０３を通じて、ＩＰアドレスをアプリサーバー１０４に送信させるる。クライアントホスト１０２は、モバイル端末１０３を通じて、アプリサーバー１０４からランダム数とキーを受信する。クライアントホスト１０２は、アプリサーバー１０４のＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、アプリサーバー１０４と双方向認証とキー認証を実行し、暗号化ネット通信を構築する；
モバイル端末１０３は、モバイル通信ネットを通じてアプリサーバー１０４に接続し、アプリサーバー１０４と双方向認証を実行し、暗号化モバイル通信を構築する。モバイル端末１０３は、クライアントホスト１０２とアプリサーバー１０４にランダム数とキー及びＩＰアドレスを送信する；
アプリサーバー１０４は、モバイル端末１０３と双方向認証を実行し、暗号化モバイル通信を構築する。アプリサーバー１０４は、モバイル端末１０３を通じてクライアントホスト１０２のＩＰアドレスを受信する。アプリサーバー１０４は、ランダム数とキーを生成し、モバイル端末１０３を通じてクライアントホスト１０２に送信する。アプリサーバー１０４は、クライアントホスト１０２のＩＰアドレスに基づき、ＩＰアドレスフィルターを実行し、クライアントホスト１０２と双方向認証とキー認証を実行し、暗号化ネット通信を構築する。

【0037】

実施例一において、データ通信ネットにはＷＡＮ、ＭＡＮ、ＬＡＮが含まれる。モバイル端末１０３には音声、メッセージ、データの方式でアプリサーバー１０４と通信する。読み取り専用記憶装置１０１はＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＭＡＳＫ ＲＯＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＯＴＰ ＲＯＭ、ＥＥＰＲＯＭ、または、Ｆｌａｓｈ ＲＯＭのいずれかである。モバイル端末１０３は、携帯電話、ＰＤＡ、タブレットコンピュータまたはノートパソコンのいずれかであり、クライアントホスト１０２の全ての機能を完成できる。

【0038】

図２に示すように、実施例二は暗号化通信方法を提供するものであり、下記のステップを含む：
ステップＡ：モバイル端末と応用サーバーは双方向認証を実行し、暗号化モバイル通信を構築し、キーを導出する；
ステップＢ：クライアントホストが起動し、読み取り専用記憶装置に保存しているクライアントシステムソフトとクライアントネットワークアプリケーションソフトを読み取り・稼働する；
ステップＣ：クライアントホストとアプリケーションサーバーがそれぞれ相手のＩＰアドレスを取得し、ＩＰアドレスのフィルタールールをそれぞれ設定する；
ステップＤ：アプリケーションサーバーはランダム数とキーを生成し、モバイル端末を通じてクライアントホストに送信する；
ステップＥ：クライアントホストとアプリケーションサーバーはＩＰアドレスフィルター、双方向認証とキー認証を実行し、暗号化ネット通信を構築する。

【0039】

上記の各実行ステップにおいては、モバイル端末を通じてクライアントホストの全ての機能を完成できる。

【0040】

図９に示すように、実施例二に述べたステップＡは下記の者を含む：
ステップＡ１１：モバイル端末とアプリサーバーは対称認証キーＫａ／Ｋａ’に基づき、双方向認証を実行し、対称通信キーＫｃ／Ｋｃ’に基づき、暗号化モバイル通信を構築する。ここで、Ｋａ／Ｋａ’とＫｃ／Ｋｃ’の間には演算関係がない；
ステップＡ１２：アプリサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４を生成し、新しい認証キーＫａ’を導出し、Ｋａ’を導出する過程は下記のものを含む
アプリサーバーは保存しているＭｅｍＰａ’に基づき、ＭｅｍＰａ’＝ｆ（Ｒ１，ＭｅｍＰａ’）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａはキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
アプリサーバーは保存しているＭｅｍＫａ’に基づき、ＭｅｍＫａ’＝ｆ（Ｒ２，ＭｅｍＫａ’）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａ’はキーである；
アプリサーバーはＫａ’＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ’，ＭｅｍＫａ’）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａ’はパラメーターであり、ＭｅｍＫａ’はキーである；
アプリサーバーは新しい通信キーＫｃ’を導出し、Ｋｃ’の導出の過程は上記Ｋａ’の導出の過程に演算関係がなく、Ｋｃ’の導出する過程は以下のステップを含む：
アプリサーバーは保存しているＭｅｍＰｃ’に基づき、ＭｅｍＰｃ’＝ｆ（Ｒ３，ＭｅｍＰｃ’）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃ’はキーである；
アプリサーバーは保存しているＭｅｍＫｃ’に基づき、ＭｅｍＫｃ’＝ｆ（Ｒ４，ＭｅｍＫｃ’）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃ’はキーである；
アプリサーバーはＫｃ’＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ’，ＭｅｍＫｃ’）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃ’はパラメーターであり、ＭｅｍＫｃ’はキーである；
アプリサーバーはＫａ’、Ｋｃ’、ＭｅｍＰａ’、ＭｅｍＫａ’、ＭｅｍＰｃ’、ＭｅｍＫｃ’を保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う；
ステップＡ１３：アプリサーバーはランダム数Ｒ１、Ｒ２、Ｒ３、Ｒ４をモバイル端末に送信する；
ステップＡ１４：モバイル端末は新しい認証キーＫａを導出し、Ｋａを導出する過程は以下のステップを含む：
モバイル端末は保存しているＭｅｍＰａに基づき、ＭｅｍＰａ＝ｆ（Ｒ１，ＭｅｍＰａ）を計算する、ここで、Ｒ１はランダム数であり、ＭｅｍＰａはキーである；
モバイル端末は保存しているＭｅｍＰａに基づき、ＭｅｍＫａ＝ｆ（Ｒ２，ＭｅｍＫａ）を計算する、ここで、Ｒ２はランダム数であり、ＭｅｍＫａはキーである；
モバイル端末はＫａ＝ｆ（Ｒ１，Ｒ２，ＭｅｍＰａ，ＭｅｍＫａ）を計算する、ここで、Ｒ１とＲ２はランダム数であり、ＭｅｍＰａはパラメーターであり、ＭｅｍＫａはキーである；
モバイル端末は新しい通信キーＫｃを導出し、Ｋｃの導出過程は上記のＫａの導出過程と演算関係がなく、Ｋｃの導出過程は下記のものを含む
Ｋｃのモバイル端末は保存しているＭｅｍＰｃに基づき、ＭｅｍＰｃ＝ｆ（Ｒ３，ＭｅｍＰｃ）を計算する、ここで、Ｒ３はランダム数であり、ＭｅｍＰｃはキーである；
モバイル端末は保存しているＭｅｍＫｃにより、ＭｅｍＫｃ＝ｆ（Ｒ４，ＭｅｍＫｃ）を計算する、ここで、Ｒ４はランダム数であり、ＭｅｍＫｃはキーである；
モバイル端末はＫｃ＝ｆ（Ｒ３，Ｒ４，ＭｅｍＰｃ，ＭｅｍＫｃ）を計算する、ここで、Ｒ３とＲ４はランダム数であり、ＭｅｍＰｃはパラメーターであり、ＭｅｍＫｃはキーである；
モバイル端末はＫａ、Ｋｃ、ＭｅｍＰａ、ＭｅｍＫａ、ＭｅｍＰｃ、ＭｅｍＫｃを保存し、次の双方向認証、キー導出暗号化通信、キー導出に使う。

【0041】

図３に示すように、実施例二に述べたステップＢは以下のステップを含む：
ステップＢ１１：クライアントホストが起動する
ステップＢ１２：読み取り専用記憶装置に保存しているクライアントシステムソフトを読み取り・稼働する；
ステップＢ１３：クライアントホストはクライアントシステムソフトウェアでホストのハードディスクの使用を禁止する；
ステップＢ１４：クライアントホストは読み取り専用記憶装置に保存しているクライアントネットアプリソフトウェアを読み取り・稼働する。

【0042】

図４に示すように、実施例二に述べたステップＣは、さらに以下を含む：
ステップＣ１１：クライアントホストはインターネットからホストのＩＰアドレスＩＰＡｃを取得する；
ステップＣ１２：クライアントホストは読み取り専用記憶装置に保存しているアプリサーバーのＩＰアドレスＩＰＡｓを読み取り・稼働する；または、クライアントホストはユーザーをモバイル端末でアプリサーバーからアプリサーバーのＩＰアドレスＩＰＡｓを取得させ、ユーザーにＩＰＡｓをクライアントに入力させる；
ステップＣ１３：クライアントホストはＩＰアドレスフィルタールールを設定し、ホストによるＩＰソースアドレスがＩＰＡｓであるＩＰデータパッケージの受信を許可する；
ステップＣ１４：クライアントホストはユーザーがモバイル端末を用いてアプリサーバーにＩＰＡｃを送信することを提示する；
ステップＣ１５：ＩＰＡｃをモバイル端末に入力する；
ステップＣ１６：モバイル端末はＩＰＡｃをアプリサーバーに送信し、アプリサーバーはＩＰＡｃを受信し、同時にモバイル端末のモバイルユーザー総合業務デジタルネットワーク番号ＭＳＩＳＤＮを取得する；
ステップＣ１７：アプリサーバーはＩＰアドレスフィルタールールを設定し、ホストはＩＰソースアドレスがＩＰＡｃであるＩＰデータパッケージの受信を許可する。

【0043】

図５に示すように、実施例二に述べたステップＤは以下のステップを含む：
ステップＤ１１：アプリサーバーはランダム数ｒａｎｄ１、ｒａｎｄ２、対称キーＫ１／Ｋ１’、Ｋ２／Ｋ２’、Ｋ３／Ｋ３’を生成し、Ｋ１、Ｋ２、Ｋ３の任意の二者の間には演算関係がない；
ステップＤ１２：アプリサーバーはｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３をモバイル端末に送信する；
ステップＤ１３：モバイル端末はユーザーにｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３のクライアントホストへの入力を提示する；
ステップＤ１４：ｒａｎｄ１、ｒａｎｄ２、Ｋ１、Ｋ２、Ｋ３をクライアントホストに入力する。

【0044】

図６に示すように、実施例二に述べたステップＥは以下のステップを含む：
ステップＥ１１：クライアントホストはｒｅｓ１＝ｆ（ｒａｎｄ１，Ｋ１）を計算する、ここで、ｒｅ１はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１はキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
ステップＥ１２：クライアントホストはＩＰデータパッケージＩＰ１を通じて、ｒｅｓ１をアプリサーバーに送信し、ＩＰ１のＩＰソースアドレスがＩＰＡｃである；
ステップＥ１３：アプリサーバーはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールにより、ＩＰ１を受信し、クライアントホストからアプリサーバへの接続を許可する；
ステップＥ１４：アプリサーバーはｒｅｓ１’＝ｆ（ｒａｎｄ１，Ｋ１’）を計算する、ここで、ｒｅ１’はレスポンスであり、ｒａｎｄ１はランダム数であり、Ｋ１’はキーである；
ステップＥ１５：アプリサーバーはｒｅｓ１’とｒｅｓ１を比較し、同じである場合には、ステップＥ１６へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ１６：アプリサーバーはｒｅｓ２’＝ｆ（ｒａｎｄ２，Ｋ２’）を計算する、ここで、ｒｅ２’はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２’はキーである；アプリサーバーはランダム数ｒａｎｄ３を生成し、ｒａｎｄ３＿ｃ＝Ｅ（ｒａｎｄ３，Ｋ３’）を計算する、ここで、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３’はキーであり、Ｅは暗号化関数である；
ステップＥ１７：アプリサーバーはＩＰデータパッケージＩＰ２を通じて、ｒｅｓ２’とｒａｎｄ３＿ｃをクライアントホストに送信し、ＩＰ２のＩＰソースアドレスがＩＰＡｓである；
ステップＥ１８：クライアントホストはＩＰアドレスフィルターを実行し、ＩＰアドレスフィルタールールによりＩＰ２を受信し、アプリサーバーからクライアントホストへの接続を許可する；
ステップＥ１９：クライアントホストはｒｅｓ２＝ｆ（ｒａｎｄ２，Ｋ２）を計算する、ここで、ｒｅｓ２はレスポンスであり、ｒａｎｄ２はランダム数であり、Ｋ２はキーである；クライアントホストはｒａｎｄ３＿ｐ＝Ｄ（ｒａｎｄ３＿ｃ，Ｋ３）を計算する、ここで、ｒａｎｄ３＿ｐはｒａｎｄ３＿ｃの暗号化解除で取得した明文であり、ｒａｎｄ３＿ｃが暗号文であり、Ｋ３はキーであり、Ｄは暗号化関数Ｅに対応する暗号化解除関数である；
ステップＥ２０：クライアントホストはｒｅｓ２とｒｅｓ２’を比較し、同じである場合には、ステップＥ２１へ進み、そうではない場合には、あらゆるフローが終了する；
ステップＥ２１：クライアントホストはユーザーにクライアントホストへのＭＳＩＳＤＮの入力を提示する；
ステップＥ２２：ＭＳＩＳＤＮをクライアントホストに入力する；
ステップＥ２３：クライアントホストとアプリサーバーはｒａｎｄ３＿ｐ／ｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３／Ｋ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき、暗号化ネット通信を構築する；または、アプリサーバーはユーザーの口座を開設するときに登録したユーザー情報からパラメーターＣをランダムに選択し、モバイル端末またはクライアントホストを通じて、ユーザーへパラメーターＣの名称を提示し、ユーザーをパラメーターＣをクライアントホストに入力させ、クライアントホストとアプリサーバーはパラメーターＣ、ｒａｎｄ３＿ｐ／ｒａｎｄ３、ＭＳＩＳＤＮ、Ｋ３／Ｋ３’に基づき、会話キーＫｓを認証し、Ｋｓに基づき、暗号化ネット通信を構築する。

【0045】

ステップＥ２３において、ユーザー情報には、ユーザーの生物的な特徴、国際モバイルユーザー識別コードＩＭＳＩ、国際モバイル設備識別番号ＩＭＥＩ、ＩＣカード識別コードＩＣＣＩＤ、銀行口座の口座番号、身分証明書に明記するＩＤ、身分証明書に明記する有効期間または身分証明書に明記する住所を含む。

【0046】

図７に示すように、実施例三では、モバイル端末とアプリサーバーが構築する暗号化ＷＬＡＮ通信の方法を提供するものであり、当該方法は下記のステップを含む：
モバイル端末は出荷Ｆｌａｓｈ ＲＯＭに保存されたモバイル端末システムソフトウェアを読み取り・稼働する；
モバイル端末はモバイル通信ネットを通じてＷＬＡＮ暗号化通信請求をアプリサーバーに送信する；
アプリサーバーはランダム数Ｒａｎｄ１、Ｒａｎｄ２とプリシェアキーＰＳＫを生成し、Ｒａｎｄ１とＲａｎｄ２の間、Ｒａｎｄ１とＰＳＫの間、Ｒａｎｄ２とＰＳＫの間には演算関係がなく、アプリサーバーはモバイル通信ネットを通じてＲａｎｄ１、Ｒａｎｄ２、ＰＳＫをモバイル端末に送信する；
モバイル端末はＷＬＡＮを通じてＲａｎｄ１をアプリサーバーに送信する；
アプリサーバーはＲａｎｄ１が正しいを検証した後、ＷＬＡＮを通じてＲａｎｄ２をモバイル端末に送信する；
モバイル端末はＲａｎｄ２が正しいを検証した後、ＷＬＡＮ認証過程が終わる；
モバイル端末とアプリサーバーはＰＳＫに基づき、暗号化ＷＬＡＮ通信を構築する。

【0047】

実施例三において、モバイル端末を起動した後、ＲＯＭが保存しているソフトウェアを使用することで、コンピューターウイルスによるモバイル端末に対する危害が防止される。Ｒａｎｄ１とＰＳＫの間、Ｒａｎｄ２とＰＳＫの間には演算関係がないため、ＷＬＡＮにて送信される認証情報によるＷＬＡＮプリシェアキーＰＳＫに対する無数攻撃が防止される。

【0048】

図８に示すように、実施例四はＵＳＢＫｅｙ、携帯電話、インターネットバンキングサーバーを利用し携帯電話銀行を実現する方法を提供するものであり、ここで、ＵＳＢＫｅｙはＯＴＧ（Ｏｎ−Ｔｈｅ−Ｇｏ）接続ラインを通じて携帯に接続し、ＵＳＢＫｅｙは携帯電話に対して読み取り専用である。

【0049】

上記の方法を使う前に、ユーザーはインターネットバンキングサーバーへ登録し、インターネットバンキングサーバーは携帯電話システムソフトウェア、携帯電話銀行ソフトウェア、インターネットバンキングサーバーのＩＰアドレスをＵＳＢＫｅｙに書き込み、インターネットバンキングサーバー、ユーザーデジタル証明書を生成、保存し、ユーザーデジタル証明書をＵＳＢＫｅｙに書き込み、インターネットバンキングサーバーは対称キーＫ１／Ｋ１’を生成し、Ｋ１’を保存し、Ｋ１をＵＳＢＫｅｙに書き込むこととし、Ｋ１とユーザーデジタル証明書の間、及び、Ｋ１とインターネットバンキングサーバーデジタル証明書の間には演算関係がない。

【0050】

上記の方法は下記のステップを含む：
携帯を起動し、ＵＳＢＫｅｙに保存している携帯電話システムソフトウェアと携帯電話銀行ソフトウェアを読み取り・稼働する；
携帯電話はＵＳＢＫｅｙに保存しているインターネットバンキングサーバーのＩＰアドレスを読み取り、当該ＩＰアドレスによりＩＰアドレスフィルタールールを設定し、インターネットバンキングサーバーがホストへの接続を許可する；
携帯電話はＵＳＢＫｅｙに保存しているユーザーデジタル証明書を読み取る；
携帯電話とインターネットバンキングサーバーはユーザーデジタル証明書に基づき、インターネットバンキングサーバーデジタル証明書は双方向認証を実行し、ＳＳＬリンクを構築する；
インターネットバンキングサーバーはランダム数ｒａｎｄ１を生成し、Ｋｃ’＝ｆ（ｒａｎｄ１，Ｋ１’）を計算する、ここで、Ｋｃ’は通信キーであり、Ｋ１’はキーであり、ｆは暗号化関数であり、ｆは単向Ｈａｓｈ関数、対称暗号化関数、及び、当該二種類の関数により構成する関数を含む；
インターネットバンキングサーバーはＳＳＬリンクを通じてｒａｎｄ１を携帯電話に送信する；
携帯電話はｒａｎｄ１をＵＳＢＫｅｙに送信する；
ＵＳＢＫｅｙはＫｃ＝ｆ（ｒａｎｄ１，Ｋ１）を計算する、ここで、Ｋｃは通信キーであり、ｒａｎｄ１はランダム数であり、Ｋ１はキーである；
ＵＳＢＫｅｙはＫｃを携帯電話に送信する；
携帯電話とインターネットバンキングサーバーはＳＳＬリンクにおいて通信キーＫｃ／Ｋｃ’に基づき、暗号化通信接続を構築し、携帯電話銀行ソフトウェアは当該ＳＳＬリンクにある暗号化通信を通じてインターネットバンキングサーバーと通信する。

【0051】

実施例四において、携帯電話を起動した後に、読み取り専用ＵＳＢＫｅｙに保存しているソフトウェアを使用するので、コンピューターウイルスによる携帯電話銀行アプリへの危害が防止される。携帯電話は読み取り専用ＵＳＢＫｅｙに保存しているインターネットバンキングサーバーのＩＰアドレスを使用し、ＤＮＳを使用せず、ＤＮＳハイジャックによる携帯電話銀行アプリへの危害が防止される。携帯電話はＩＰアドレスフィルターを実行するので、フィッシングによる携帯電話に対する危害が防止される。携帯電話とインターネットバンキングサーバーはデジタル証明書に基づき、双方向認証を実行し、ＵＳＢＫｅｙとインターネットバンキングサーバーはＫ１／Ｋ１’に基づき、通信キーＫｃ／Ｋｃ’を認証し、認証情報と通信キーの間には演算関係がないので、認証情報による通信キーに対する無数攻撃が防止される。ＳＳＬリンクを通じて、ｒａｎｄ１を送信し、ｒａｎｄ１を通信キーＫｃの認証に使うことで、キー認証の安全性が向上する。ＳＳＬリンクで暗号化通信接続を構築することで、携帯電話銀行の安全性が向上する。

【0052】

上記以外にも、ユーザーが登録するときには、インターネットバンキングサーバーにユーザーデジタル証明書と携帯電話ＳＩＭカードＩＣＣＩＤまたはユーザー身分証明書ＩＤを保存し、インターネットバンキングサーバーデジタル証明書をＵＳＢＫｅｙに書き込む。携帯電話とインターネットバンキングサーバーはユーザーデジタル証明書、インターネットバンキングサーバーデジタル証明書に基づき双方向認証を実行するときに、携帯電話はＵＳＢＫｅｙに保存しているインターネットバンキングサーバーデジタル証明書を読み取り、携帯電話は携帯電話ＳＩＭカードＩＣＣＩＤまたは携帯電話の身分証明書ＩＤをインターネットバンキングサーバーに送信し、インターネットバンキングサーバーは保存している当該ＩＣＣＩＤ、または、身分証明書ＩＤに対応するユーザーデジタル証明書を読み取り、携帯電話とインターネットバンキングサーバーはデジタル証明書を交換せずに、双方向認証を実行する。

【0053】

携帯電話は読み取り専用ＵＳＢＫｅｙに保存しているインターネットバンキングサーバーデジタル証明書を使い、インターネットバンキングサーバーは保存しているユーザー情報ＩＣＣＩＤまたは身分証明書ＩＤに対応するユーザーデジタル証明書を使い、携帯電話とインターネットバンキングサーバーはパブリックキーを交換せず双方向認証を実行することで、安全性が向上する。

【0054】

これ以外にも、ＳＤカード、Ｍｉｃｏｒ ＳＤカード、ＳＩＭカードまたは携帯電話出荷Ｆｌａｓｈ ＲＯＭによりＵＳＢＫｅｙの全ての機能を発揮させることができ、これらの記憶装置は携帯電話に対して読み取り専用とする。

【0055】

実施例五は本発明の実施例二の簡素化方法を提供するものである。ここで、モバイル端末はＵＳＢを通じてクライアントホストに接続するものであり、当該方法は下記のステップを含む：
ステップＡ’：モバイル端末が起動し、モバイル端末の読み取り専用形式で保存されたモバイル端末システムソフトウェアとモバイル端末ネットアプリソフトウェアを読み取り・稼働し、アプリサーバーとモバイル通信を構築する；
ステップＢ’：クライアントホストが起動し、モバイル端末の読み取り専用形式で保存しているクライアントシステムソフトウェアとクライアントネットワークアプリケーションソフトウェアを読み取り・稼働する；
ステップＣ’：クライアントホストはモバイル端末を通じてアプリサーバーからアプリサーバーのＩＰアドレスを獲得し、ＩＰアドレスフィルタールールを設定し、アプリサーバーからのクライアントホストへの接続を許可し、アプリサーバーはモバイル端末を通じてクライアントホストからクライアントホストのＩＰアドレスを獲得し、ＩＰアドレスフィルタールールを設定し、クライアントホストからのアプリサーバーへの接続を許可する；
ステップＤ’：アプリサーバーは会話キーを生成し、モバイル端末を通じてクライアントホストに送信する；
ステップＥ’：クライアントホストとアプリサーバーはＩＰアドレスフィルターを実行し、会話キーに基づき、暗号化ネット通信を構築する。

【0056】

実施例五において、クライアントホストとアプリサーバーは双方向認証とキー認証を使用せず、モバイル端末が送信する会話キーに基づき、暗号化ネット通信を構築するので、ネット送信に基づく認証情報による会話キーに対する無数攻撃が防止される。

【0057】

上記は本発明の好適な実施例であり、本発明を制限するものではなく、本発明の精神と原則内におけるいかなる修正、同等な置換、改善などは、本発明の保護範囲内に含まれるべきである。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】