專利名稱：一種安全代理方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全領(lǐng)域，尤其涉及信息安全中的身份認(rèn)證、權(quán)限控制、安全審計(jì)和數(shù)據(jù)加解密領(lǐng)域。
背景技術(shù)：
安全、可靠、有效地存取計(jì)算機(jī)網(wǎng)絡(luò)信息資源是信息系統(tǒng)安全的關(guān)鍵，而身份認(rèn)證技術(shù)是其主要的實(shí)現(xiàn)手段。廣義的身份認(rèn)證技術(shù)包括認(rèn)證(Authentication)、授權(quán)(Authorization)和審計(jì)(Audit)等，即通常說(shuō)的3A。
認(rèn)證是指驗(yàn)證一個(gè)最終用戶或設(shè)備(例如客戶機(jī)、服務(wù)器、交換機(jī)、路由器、防火墻等)的聲明身份的過(guò)程。認(rèn)證方法一般分為“本地認(rèn)證”方法和通過(guò)“可信任的第三方”的方法，即一個(gè)可信任的權(quán)威機(jī)構(gòu)提供認(rèn)證確認(rèn)的方法。在許多已有的應(yīng)用系統(tǒng)，如TCP(Transmission Control Protocol，傳輸控制協(xié)議)，UDP/IP(UDPUser Datagram Protocol，用戶數(shù)據(jù)包協(xié)議；IPInternet Protocol，網(wǎng)際協(xié)議)，都使用基于口令的身份認(rèn)證方式。雖然口令認(rèn)證簡(jiǎn)單易行，但其安全性很脆弱，容易被竊取，因此廣大用戶迫切希望能有一種高強(qiáng)度的身份認(rèn)證方式來(lái)代替當(dāng)前的口令認(rèn)證方式。針對(duì)口令認(rèn)證方式易被竊取的缺點(diǎn)，PKI(Public Key Infras tructure，公鑰基礎(chǔ)設(shè)施)+電子鑰匙+口令的身份認(rèn)證方式提供了雙因子的認(rèn)證方式，即口令+電子鑰匙，電子鑰匙用于存放用戶的數(shù)字證書(shū)及其私鑰，且無(wú)法導(dǎo)出私鑰。在PKI+電子鑰匙+口令的身份認(rèn)證方式下，即使用戶口令被竊取，因?yàn)闆](méi)有電子鑰匙，別人無(wú)法冒充該用戶通過(guò)身份認(rèn)證系統(tǒng)的認(rèn)證。
在權(quán)限控制方面，傳統(tǒng)的做法是將帳號(hào)或口令與權(quán)限綁定在一起，雖然這種做法簡(jiǎn)單易行，但由于基于口令認(rèn)證方式的脆弱性，將會(huì)使這種應(yīng)用具有很大的局限性。目前，由于PKI技術(shù)的逐漸成熟，因此很多身份認(rèn)證系統(tǒng)都將權(quán)限控制與數(shù)字證書(shū)綁定在一起。
用戶往往還希望對(duì)敏感數(shù)據(jù)的傳輸進(jìn)行保密，雖然VPN技術(shù)能很好的解決這個(gè)問(wèn)題，但由于增加了VPN(Virtual Private Networks，虛擬專用網(wǎng))設(shè)備，使整個(gè)應(yīng)用系統(tǒng)更為復(fù)雜，并且VPN設(shè)備的價(jià)格也相當(dāng)昂貴。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種安全代理方法，克服目前安全代理功能單一的缺點(diǎn)，解決在不改變已有的應(yīng)用系統(tǒng)(基于TCP、UDP/IP協(xié)議)軟硬件的基礎(chǔ)上，提高應(yīng)用系統(tǒng)的身份認(rèn)證強(qiáng)度以及系統(tǒng)的安全性的技術(shù)問(wèn)題。
為實(shí)現(xiàn)上述發(fā)明目的，本發(fā)明提供一種安全代理方法，包括以下步驟第一步，頒發(fā)操作員的數(shù)字證書(shū)和認(rèn)證服務(wù)器的數(shù)字證書(shū)。
本步驟又包括以下步驟1、在CA(Certificate Authority，數(shù)字證書(shū)授權(quán)機(jī)構(gòu))系統(tǒng)使用電子鑰匙，為操作員頒發(fā)數(shù)字證書(shū)。
2、在CA系統(tǒng)為認(rèn)證服務(wù)器頒發(fā)數(shù)字證書(shū)。
第二步，在認(rèn)證服務(wù)器上配置操作員數(shù)字證書(shū)的業(yè)務(wù)權(quán)限。
第三步，進(jìn)行認(rèn)證客戶端和認(rèn)證服務(wù)器身份的雙向認(rèn)證，并校對(duì)操作員的業(yè)務(wù)權(quán)限，同時(shí)對(duì)相關(guān)信息做審計(jì)記錄，當(dāng)雙向認(rèn)證和權(quán)限校對(duì)通過(guò)后，認(rèn)證客戶端和認(rèn)證服務(wù)器協(xié)商會(huì)話密鑰，建立安全通道。
本步驟又包括以下步驟1、將業(yè)務(wù)客戶端連接的目的地址設(shè)置為本地的環(huán)回地址，同時(shí)認(rèn)證客戶端開(kāi)啟相應(yīng)的業(yè)務(wù)端口號(hào)(業(yè)務(wù)端口號(hào)可以在認(rèn)證客戶端上設(shè)置)，并偵聽(tīng)業(yè)務(wù)客戶端的業(yè)務(wù)請(qǐng)求。當(dāng)認(rèn)證客戶端接收到業(yè)務(wù)客戶端發(fā)出的業(yè)務(wù)數(shù)據(jù)包，在認(rèn)證客戶端向認(rèn)證服務(wù)器第一次轉(zhuǎn)發(fā)業(yè)務(wù)數(shù)據(jù)包之前，認(rèn)證客戶端識(shí)別業(yè)務(wù)數(shù)據(jù)包的業(yè)務(wù)類型，并從電子鑰匙讀取操作員的數(shù)字證書(shū)，生成認(rèn)證請(qǐng)求包(請(qǐng)求包中包含操作員的數(shù)字證書(shū)、業(yè)務(wù)類型、唯一隨機(jī)數(shù)以及操作員的私鑰對(duì)業(yè)務(wù)類型和隨機(jī)數(shù)的簽名等信息)，認(rèn)證客戶端將請(qǐng)求包發(fā)給認(rèn)證服務(wù)器，請(qǐng)求驗(yàn)證操作員身份及權(quán)限。
2、認(rèn)證服務(wù)器接收到認(rèn)證客戶端的認(rèn)證請(qǐng)求包后，驗(yàn)證請(qǐng)求包的完整性，驗(yàn)證通過(guò)則訪問(wèn)CA系統(tǒng)的OCSP(Online CertificateStatus Protocol，在線數(shù)字證書(shū)狀態(tài)查詢協(xié)議)服務(wù)器，獲取操作員的數(shù)字證書(shū)的合法性。沒(méi)有通過(guò)則通知認(rèn)證客戶端并切斷連接，同時(shí)對(duì)認(rèn)證信息做審計(jì)記錄。
3、當(dāng)操作員的數(shù)字證書(shū)合法時(shí)，則根據(jù)認(rèn)證服務(wù)器設(shè)置的操作員的業(yè)務(wù)權(quán)限，對(duì)業(yè)務(wù)類型進(jìn)行匹配，同時(shí)對(duì)匹配信息做審計(jì)記錄，如果操作員的業(yè)務(wù)權(quán)限與所操作的業(yè)務(wù)類型相符合，認(rèn)證服務(wù)器生成認(rèn)證請(qǐng)求包(請(qǐng)求包中包含認(rèn)證服務(wù)器的數(shù)字證書(shū)、唯一隨機(jī)數(shù)以及認(rèn)證服務(wù)器私鑰對(duì)隨機(jī)數(shù)簽名等信息)，并將該請(qǐng)求包發(fā)給認(rèn)證客戶端，請(qǐng)求認(rèn)證客戶端驗(yàn)證認(rèn)證服務(wù)器的身份。如果不符合，認(rèn)證服務(wù)器通知認(rèn)證客戶端并切斷連接，當(dāng)操作員的數(shù)字證書(shū)不合法時(shí)，認(rèn)證服務(wù)器通知認(rèn)證客戶端并切斷連接。
4、認(rèn)證客戶端接收到認(rèn)證服務(wù)器的認(rèn)證請(qǐng)求包后，驗(yàn)證請(qǐng)求包的完整性，驗(yàn)證通過(guò)，則訪問(wèn)CA系統(tǒng)的OCSP服務(wù)器獲取認(rèn)證服務(wù)器的數(shù)字證書(shū)的合法性，驗(yàn)證沒(méi)有通過(guò)通知認(rèn)證服務(wù)器并切斷連接。當(dāng)認(rèn)證服務(wù)器的數(shù)字證書(shū)合法時(shí)，認(rèn)證客戶端與認(rèn)證服務(wù)器進(jìn)行會(huì)話密鑰的協(xié)商；當(dāng)認(rèn)證服務(wù)器的數(shù)字證書(shū)不合法時(shí)，認(rèn)證客戶端通知認(rèn)證服務(wù)器并切斷連接。
第四步，利用安全通道，進(jìn)行業(yè)務(wù)數(shù)據(jù)的安全傳輸。
本步驟包括以下步驟1、認(rèn)證客戶端與認(rèn)證服務(wù)器器協(xié)商好會(huì)話密鑰后，認(rèn)證客戶端和認(rèn)證服務(wù)器之間即建立了安全通道，同時(shí)認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙被拔出則切斷與認(rèn)證服務(wù)器的安全通道，不作任何業(yè)務(wù)操作。
2、認(rèn)證客戶端用會(huì)話密鑰將業(yè)務(wù)數(shù)據(jù)包加密，然后把業(yè)務(wù)類型和已加密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給認(rèn)證服務(wù)器。
3、認(rèn)證服務(wù)器接收到認(rèn)證客戶端發(fā)過(guò)來(lái)的業(yè)務(wù)類型和已加密的業(yè)務(wù)數(shù)據(jù)包后，用會(huì)話密鑰將已加密的業(yè)務(wù)數(shù)據(jù)包解密，根據(jù)業(yè)務(wù)類型，將已解密的數(shù)據(jù)包發(fā)送給業(yè)務(wù)服務(wù)器。
4、認(rèn)證服務(wù)器接收業(yè)務(wù)服務(wù)器發(fā)出的業(yè)務(wù)數(shù)據(jù)包，用會(huì)話密鑰將業(yè)務(wù)數(shù)據(jù)包加密，然后將已加密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給認(rèn)證客戶端。
5、認(rèn)證客戶端接收認(rèn)證服務(wù)器發(fā)過(guò)來(lái)的已加密的業(yè)務(wù)數(shù)據(jù)包后，用會(huì)話密鑰將已加密的業(yè)務(wù)數(shù)據(jù)包解密，并將已解密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給業(yè)務(wù)客戶端，同時(shí)認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙被拔出則切斷與認(rèn)證服務(wù)器的安全通道，不作任何業(yè)務(wù)操作。
本發(fā)明通過(guò)采用數(shù)字證書(shū)和電子鑰匙相結(jié)合的認(rèn)證方式以及與數(shù)字證書(shū)相結(jié)合的權(quán)限控制，實(shí)現(xiàn)了一種基于端口的安全代理方式，從而無(wú)需對(duì)已有的應(yīng)用系統(tǒng)(基于TCP、UDP/IP協(xié)議)進(jìn)行硬件或軟件上的修改，無(wú)需改變已有的應(yīng)用系統(tǒng)的拓?fù)浣Y(jié)構(gòu)(但可添加設(shè)備)，提高了已有的應(yīng)用系統(tǒng)的身份認(rèn)證強(qiáng)度，使得權(quán)限管理機(jī)制可以靈活配置，并且同時(shí)實(shí)現(xiàn)了安全的密鑰協(xié)商以及安全審計(jì)，增加了已有的應(yīng)用系統(tǒng)的安全性。


圖1是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)結(jié)構(gòu)圖；圖2是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入結(jié)構(gòu)圖；圖3是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入認(rèn)證流程圖；圖4是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入業(yè)務(wù)流程圖；圖5是本發(fā)明所述安全代理方法的具有身份認(rèn)證、權(quán)限控制和安全審計(jì)功能的安全代理系統(tǒng)結(jié)構(gòu)圖；圖6是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入工作流程圖。
具體實(shí)施例方式
下面結(jié)合附圖和實(shí)施例對(duì)本發(fā)明做進(jìn)一步詳細(xì)說(shuō)明。
圖1是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)結(jié)構(gòu)圖。業(yè)務(wù)系統(tǒng)由客戶端1、業(yè)務(wù)服務(wù)器3以及通信網(wǎng)絡(luò)4組成。其中客戶端是指安裝了業(yè)務(wù)客戶端2的計(jì)算機(jī)系統(tǒng)，業(yè)務(wù)系統(tǒng)是指基于TCP、UDP/IP協(xié)議的應(yīng)有系統(tǒng)。
圖2是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入結(jié)構(gòu)圖。業(yè)務(wù)系統(tǒng)安全接入由客戶端1、業(yè)務(wù)服務(wù)器3、認(rèn)證服務(wù)器13、以及通信網(wǎng)絡(luò)4組成。其中客戶端是指由業(yè)務(wù)客戶端2、認(rèn)證客戶端11、電子鑰匙12組成的計(jì)算機(jī)系統(tǒng)，業(yè)務(wù)系統(tǒng)是指基于TCP、UDP/IP協(xié)議的應(yīng)用系統(tǒng)。設(shè)置業(yè)務(wù)客戶端的目的地址為本地的環(huán)回地址，使業(yè)務(wù)客戶端的數(shù)據(jù)包發(fā)給認(rèn)證客戶端；改變系統(tǒng)的網(wǎng)絡(luò)配置，使業(yè)務(wù)客戶端的業(yè)務(wù)數(shù)據(jù)包在到達(dá)業(yè)務(wù)服務(wù)器前必須要經(jīng)過(guò)認(rèn)證服務(wù)器；同時(shí)在認(rèn)證客戶端配置相應(yīng)的業(yè)務(wù)端口號(hào)，并開(kāi)啟這些端口偵聽(tīng)業(yè)務(wù)客戶端的業(yè)務(wù)請(qǐng)求。認(rèn)證客戶端接收到業(yè)務(wù)客戶端發(fā)出的業(yè)務(wù)數(shù)據(jù)包后，與認(rèn)證服務(wù)器通信，進(jìn)行操作員的身份認(rèn)證和權(quán)限審核，如果通過(guò)，認(rèn)證客戶端和認(rèn)證服務(wù)器之間建立安全通道，否則切斷與認(rèn)證服務(wù)器的連接，不進(jìn)行任何業(yè)務(wù)操作。建立安全通道后，認(rèn)證客戶端作為業(yè)務(wù)客戶端的代理，接收業(yè)務(wù)客戶端發(fā)出的業(yè)務(wù)數(shù)據(jù)包并加密發(fā)給認(rèn)證服務(wù)器，接收認(rèn)證服務(wù)器發(fā)出的加密數(shù)據(jù)包并解密發(fā)給業(yè)務(wù)客戶端；認(rèn)證服務(wù)器也作為業(yè)務(wù)服務(wù)器的代理接收認(rèn)證客戶端發(fā)出的加密數(shù)據(jù)包并解密發(fā)給業(yè)務(wù)服務(wù)器，接收業(yè)務(wù)服務(wù)器的業(yè)務(wù)數(shù)據(jù)包并加密發(fā)給認(rèn)證客戶端。
圖3是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入認(rèn)證流程圖。
步驟31，業(yè)務(wù)客戶端開(kāi)始發(fā)起業(yè)務(wù)請(qǐng)求；步驟32，認(rèn)證客戶端接收到業(yè)務(wù)客戶端發(fā)出的業(yè)務(wù)數(shù)據(jù)包；步驟33，在認(rèn)證客戶端轉(zhuǎn)發(fā)業(yè)務(wù)數(shù)據(jù)包之前，認(rèn)證客戶端識(shí)別業(yè)務(wù)類型，生成認(rèn)證請(qǐng)求包(包含操作員的數(shù)字證書(shū)、業(yè)務(wù)類型和操作員的私鑰簽名)，向認(rèn)證服務(wù)器發(fā)起驗(yàn)證操作員身份及其權(quán)限的認(rèn)證請(qǐng)求；步驟34，認(rèn)證服務(wù)器驗(yàn)證認(rèn)證客戶端的認(rèn)證請(qǐng)求包的完整性，并根據(jù)操作員的數(shù)字證書(shū)進(jìn)行操作員身份的認(rèn)證和權(quán)限審核，同時(shí)做審計(jì)記錄，如果通過(guò)驗(yàn)證則執(zhí)行步驟35，如果沒(méi)有通過(guò)驗(yàn)證則執(zhí)行步驟38；步驟35，認(rèn)證服務(wù)器生成認(rèn)證請(qǐng)求包(包含認(rèn)證服務(wù)器的數(shù)字證書(shū)及其私鑰簽名)，向認(rèn)證客戶端發(fā)起驗(yàn)證認(rèn)證服務(wù)器身份的認(rèn)證請(qǐng)求；步驟36，認(rèn)證客戶端驗(yàn)證認(rèn)證服務(wù)器的認(rèn)證請(qǐng)求包的完整性，并根據(jù)認(rèn)證服務(wù)器的數(shù)字證書(shū)驗(yàn)證認(rèn)證服務(wù)器的身份，如方框36所示，如果驗(yàn)證通過(guò)則執(zhí)行步驟37，如果驗(yàn)證沒(méi)有通過(guò)則執(zhí)行步驟38；步驟37，認(rèn)證客戶端與認(rèn)證服務(wù)器協(xié)商會(huì)話密鑰，建立安全通道；步驟38，認(rèn)證客戶端切斷與認(rèn)證服務(wù)器的連接，不作任何業(yè)務(wù)操作。
圖4是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入業(yè)務(wù)流程圖。
步驟41，業(yè)務(wù)客戶端開(kāi)始發(fā)起業(yè)務(wù)請(qǐng)求；步驟42，業(yè)務(wù)客戶端向認(rèn)證客戶端發(fā)送業(yè)務(wù)數(shù)據(jù)包；步驟43，認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙未被拔出則執(zhí)行步驟44，如果電子鑰匙已被拔出則執(zhí)行步驟46；步驟44，認(rèn)證客戶端將接收到的業(yè)務(wù)數(shù)據(jù)包用會(huì)話密鑰加密后，發(fā)給認(rèn)證服務(wù)器；步驟45，認(rèn)證服務(wù)器接收到認(rèn)證客戶端發(fā)出的加密數(shù)據(jù)包，用會(huì)話密鑰解密后，發(fā)給業(yè)務(wù)服務(wù)器；步驟46，認(rèn)證客戶端切斷與認(rèn)證服務(wù)器的安全通道，不做任何業(yè)務(wù)操作；步驟51，業(yè)務(wù)服務(wù)器對(duì)業(yè)務(wù)客戶端的業(yè)務(wù)請(qǐng)求作出回應(yīng)；步驟52，業(yè)務(wù)服務(wù)器向認(rèn)證服務(wù)器發(fā)出業(yè)務(wù)數(shù)據(jù)包；步驟53，認(rèn)證服務(wù)器接收到業(yè)務(wù)服務(wù)器的業(yè)務(wù)數(shù)據(jù)包，用會(huì)話密鑰將業(yè)務(wù)數(shù)據(jù)包加密后，發(fā)給認(rèn)證客戶端；步驟54，認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙未被拔出則執(zhí)行步驟55，如果電子鑰匙已被拔出則執(zhí)行步驟46；步驟55，認(rèn)證客戶端接收到認(rèn)證服務(wù)器的加密數(shù)據(jù)包，用會(huì)話密鑰解密后，發(fā)給業(yè)務(wù)客戶端。
圖5是本發(fā)明所述安全代理方法的具有身份認(rèn)證、權(quán)限控制和安全審計(jì)功能的安全代理系統(tǒng)結(jié)構(gòu)圖。具有身份認(rèn)證、權(quán)限控制和安全審計(jì)功能的安全代理系統(tǒng)由認(rèn)證客戶端、認(rèn)證服務(wù)器、CA系統(tǒng)組成。其中，認(rèn)證客戶端由密鑰協(xié)商模塊、加解密模塊、數(shù)字證書(shū)應(yīng)用模塊和電子鑰匙組成；認(rèn)證服務(wù)器由密鑰協(xié)商模塊、加解密模塊、數(shù)字證書(shū)應(yīng)用模塊和權(quán)限控制模塊組成；CA系統(tǒng)由CA中心、OCSP服務(wù)器等組成。
圖6是本發(fā)明所述安全代理方法的業(yè)務(wù)系統(tǒng)安全接入工作流程圖。
步驟61，業(yè)務(wù)客戶端開(kāi)始發(fā)起業(yè)務(wù)請(qǐng)求；步驟62，認(rèn)證客戶端接收到業(yè)務(wù)客戶端的業(yè)務(wù)數(shù)據(jù)包，在認(rèn)證客戶端第一次向認(rèn)證服務(wù)器轉(zhuǎn)發(fā)數(shù)據(jù)包之前，認(rèn)證客戶端生成認(rèn)證請(qǐng)求包，向認(rèn)證服務(wù)器發(fā)起認(rèn)證請(qǐng)求；步驟63，認(rèn)證服務(wù)器驗(yàn)證認(rèn)證客戶端的認(rèn)證請(qǐng)求包的完整性，并根據(jù)操作員的數(shù)字證書(shū)進(jìn)行操作員身份的認(rèn)證和權(quán)限審核，同時(shí)做審計(jì)記錄，如果驗(yàn)證通過(guò)則執(zhí)行步驟64，如果驗(yàn)證沒(méi)有通過(guò)則執(zhí)行步驟69；步驟64，認(rèn)證服務(wù)器生成認(rèn)證請(qǐng)求包，向認(rèn)證客戶端發(fā)起驗(yàn)證認(rèn)證服務(wù)器身份的認(rèn)證請(qǐng)求；步驟65，認(rèn)證客戶端驗(yàn)證認(rèn)證服務(wù)器的認(rèn)證請(qǐng)求包的完整性，并根據(jù)認(rèn)證服務(wù)器的數(shù)字證書(shū)驗(yàn)證認(rèn)證服務(wù)器的身份，如果驗(yàn)證通過(guò)則執(zhí)行步驟66，如果驗(yàn)證沒(méi)有通過(guò)則執(zhí)行步驟69；步驟66，認(rèn)證客戶端與認(rèn)證服務(wù)器進(jìn)行會(huì)話密鑰協(xié)商，建立安全通道；步驟67，認(rèn)證客戶端與認(rèn)證服務(wù)器進(jìn)行業(yè)務(wù)數(shù)據(jù)的加解密和數(shù)據(jù)轉(zhuǎn)發(fā)；步驟68，業(yè)務(wù)流程結(jié)束；步驟69，切斷認(rèn)證客戶端與認(rèn)證服務(wù)器的連接，不進(jìn)行任何業(yè)務(wù)操作。
權(quán)利要求
1.一種安全代理方法，其特征在于，包括以下步驟1.1頒發(fā)操作員的數(shù)字證書(shū)和認(rèn)證服務(wù)器的數(shù)字證書(shū)；1.2在認(rèn)證服務(wù)器上配置操作員數(shù)字證書(shū)的業(yè)務(wù)權(quán)限；1.3進(jìn)行認(rèn)證客戶端和認(rèn)證服務(wù)器身份的雙向認(rèn)證，并校對(duì)操作員的業(yè)務(wù)權(quán)限，同時(shí)對(duì)相關(guān)信息做審計(jì)記錄，當(dāng)雙向認(rèn)證和權(quán)限校對(duì)通過(guò)后，認(rèn)證客戶端和認(rèn)證服務(wù)器協(xié)商會(huì)話密鑰，建立安全通道；1.4利用安全通道，進(jìn)行業(yè)務(wù)數(shù)據(jù)的安全傳輸。
2.如權(quán)利要求1所述的安全代理方法，其特征在于，所述步驟1.1包括以下步驟2.1在數(shù)字證書(shū)授權(quán)機(jī)構(gòu)系統(tǒng)使用電子鑰匙，為操作員頒發(fā)數(shù)字證書(shū)；2.2在數(shù)字證書(shū)授權(quán)機(jī)構(gòu)系統(tǒng)為認(rèn)證服務(wù)器頒發(fā)數(shù)字證書(shū)。
3.如權(quán)利要求1所述的安全代理方法，其特征在于，所述步驟1.3包括以下步驟3.1認(rèn)證客戶端將請(qǐng)求包發(fā)給認(rèn)證服務(wù)器，請(qǐng)求驗(yàn)證操作員身份及權(quán)限；3.2認(rèn)證服務(wù)器接收到認(rèn)證客戶端的認(rèn)證請(qǐng)求包后，驗(yàn)證請(qǐng)求包的完整性，驗(yàn)證通過(guò)則訪問(wèn)數(shù)字證書(shū)授權(quán)機(jī)構(gòu)系統(tǒng)的在線數(shù)字證書(shū)狀態(tài)查詢協(xié)議服務(wù)器，獲取操作員的數(shù)字證書(shū)的合法性，沒(méi)有通過(guò)則通知認(rèn)證客戶端并切斷連接，同時(shí)對(duì)認(rèn)證信息做審計(jì)記錄；3.3當(dāng)操作員的數(shù)字證書(shū)合法時(shí)，則根據(jù)認(rèn)證服務(wù)器設(shè)置的操作員的業(yè)務(wù)權(quán)限，對(duì)業(yè)務(wù)類型進(jìn)行匹配，同時(shí)對(duì)匹配信息做審計(jì)記錄，如果操作員的業(yè)務(wù)權(quán)限與所操作的業(yè)務(wù)類型相符合，認(rèn)證服務(wù)器生成認(rèn)證請(qǐng)求包，并將該請(qǐng)求包發(fā)給認(rèn)證客戶端，請(qǐng)求認(rèn)證客戶端驗(yàn)證認(rèn)證服務(wù)器的身份，如果不符合，認(rèn)證服務(wù)器通知認(rèn)證客戶端并切斷連接，當(dāng)操作員的數(shù)字證書(shū)不合法時(shí)，認(rèn)證服務(wù)器通知認(rèn)證客戶端并切斷連接；3.4認(rèn)證客戶端接收到認(rèn)證服務(wù)器的認(rèn)證請(qǐng)求包后，驗(yàn)證請(qǐng)求包的完整性，驗(yàn)證通過(guò)，則訪問(wèn)數(shù)字證書(shū)授權(quán)機(jī)構(gòu)系統(tǒng)的在線數(shù)字證書(shū)狀態(tài)查詢協(xié)議服務(wù)器獲取認(rèn)證服務(wù)器的數(shù)字證書(shū)的合法性，驗(yàn)證沒(méi)有通過(guò)通知認(rèn)證服務(wù)器并切斷連接；當(dāng)認(rèn)證服務(wù)器的數(shù)字證書(shū)合法時(shí)，認(rèn)證客戶端與認(rèn)證服務(wù)器進(jìn)行會(huì)話密鑰的協(xié)商，當(dāng)認(rèn)證服務(wù)器的數(shù)字證書(shū)不合法時(shí)，認(rèn)證客戶端通知認(rèn)證服務(wù)器并切斷連接。
4.如權(quán)利要求3所述的安全代理方法，其特征在于，所述步驟3.1中，將業(yè)務(wù)客戶端連接的目的地址設(shè)置為本地的環(huán)回地址，同時(shí)認(rèn)證客戶端開(kāi)啟相應(yīng)的業(yè)務(wù)端口號(hào)，業(yè)務(wù)端口號(hào)可以在認(rèn)證客戶端上設(shè)置，并偵聽(tīng)業(yè)務(wù)客戶端的業(yè)務(wù)請(qǐng)求。
5.如權(quán)利要求3所述的安全代理方法，其特征在于，所述步驟3.1中，當(dāng)認(rèn)證客戶端接收到業(yè)務(wù)客戶端發(fā)出的業(yè)務(wù)數(shù)據(jù)包，在認(rèn)證客戶端向認(rèn)證服務(wù)器第一次轉(zhuǎn)發(fā)業(yè)務(wù)數(shù)據(jù)包之前，認(rèn)證客戶端識(shí)別業(yè)務(wù)數(shù)據(jù)包的業(yè)務(wù)類型，并從電子鑰匙讀取操作員的數(shù)字證書(shū)，生成認(rèn)證請(qǐng)求包。
6.如權(quán)利要求1所述的安全代理方法，其特征在于，所述步驟3.4包括以下步驟6.1認(rèn)證客戶端與認(rèn)證服務(wù)器器協(xié)商好會(huì)話密鑰后，認(rèn)證客戶端和認(rèn)證服務(wù)器之間即建立了安全通道，同時(shí)認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙被拔出則切斷與認(rèn)證服務(wù)器的安全通道，不作任何業(yè)務(wù)操作；6.2認(rèn)證客戶端用會(huì)話密鑰將業(yè)務(wù)數(shù)據(jù)包加密，然后把業(yè)務(wù)類型和已加密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給認(rèn)證服務(wù)器；6.3認(rèn)證服務(wù)器接收到認(rèn)證客戶端發(fā)過(guò)來(lái)的業(yè)務(wù)類型和已加密的業(yè)務(wù)數(shù)據(jù)包后，用會(huì)話密鑰將已加密的業(yè)務(wù)數(shù)據(jù)包解密，根據(jù)業(yè)務(wù)類型，將已解密的數(shù)據(jù)包發(fā)送給業(yè)務(wù)服務(wù)器；6.4認(rèn)證服務(wù)器接收業(yè)務(wù)服務(wù)器發(fā)出的業(yè)務(wù)數(shù)據(jù)包，用會(huì)話密鑰將業(yè)務(wù)數(shù)據(jù)包加密，然后將已加密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給認(rèn)證客戶端；6.5認(rèn)證客戶端接收認(rèn)證服務(wù)器發(fā)過(guò)來(lái)的已加密的業(yè)務(wù)數(shù)據(jù)包后，用會(huì)話密鑰將已加密的業(yè)務(wù)數(shù)據(jù)包解密，并將已解密的業(yè)務(wù)數(shù)據(jù)包發(fā)送給業(yè)務(wù)客戶端，同時(shí)認(rèn)證客戶端實(shí)時(shí)監(jiān)測(cè)電子鑰匙是否被拔出，如果電子鑰匙被拔出則切斷與認(rèn)證服務(wù)器的安全通道，不作任何業(yè)務(wù)操作。
全文摘要
本發(fā)明公開(kāi)了一種安全代理方法，克服了目前安全代理功能單一的缺點(diǎn)，解決了在不改變已有的應(yīng)用系統(tǒng)軟硬件的基礎(chǔ)上，提高應(yīng)用系統(tǒng)的身份認(rèn)證強(qiáng)度以及系統(tǒng)的安全性的技術(shù)問(wèn)題。本發(fā)明通過(guò)采用數(shù)字證書(shū)和電子鑰匙相結(jié)合的認(rèn)證方式以及與數(shù)字證書(shū)相結(jié)合的權(quán)限控制，實(shí)現(xiàn)了一種基于端口的安全代理方式，從而在無(wú)需對(duì)已有的應(yīng)用系統(tǒng)進(jìn)行硬件或軟件上的修改，無(wú)需改變已有的應(yīng)用系統(tǒng)的拓?fù)浣Y(jié)構(gòu)的情況下，提高了已有的應(yīng)用系統(tǒng)的身份認(rèn)證強(qiáng)度，使得權(quán)限管理機(jī)制可以靈活配置，并且同時(shí)實(shí)現(xiàn)了安全的密鑰協(xié)商以及安全審計(jì)，增加了已有的應(yīng)用系統(tǒng)的安全性。
文檔編號(hào)H04L9/00GK1558584SQ20041001528
公開(kāi)日2004年12月29日 申請(qǐng)日期2004年2月1日 優(yōu)先權(quán)日2004年2月1日
發(fā)明者袁泉, 盧玉峰, 李櫟, 田學(xué)鋒, 蘆東昕, 袁 泉 申請(qǐng)人:中興通訊股份有限公司