專利名稱：一種安全的網(wǎng)絡(luò)信息傳輸方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息技術(shù)領(lǐng)域，涉及一種安全高效的網(wǎng)絡(luò)信息傳輸方法，主要應(yīng)用于服務(wù)器端與客戶端進行網(wǎng)絡(luò)數(shù)據(jù)通信、信息加密、安全身份認證等領(lǐng)域。
背景技術(shù)：
隨著計算機網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)已經(jīng)成為了世界上最大規(guī)模的公共數(shù)據(jù)源，而且其規(guī)模仍在快速的增長。在互聯(lián)網(wǎng)極大的改變?nèi)藗兊纳蠲婷?、促進社會進步的同時，由于其是面向大眾的開放系統(tǒng)，隨著網(wǎng)絡(luò)應(yīng)用范圍的不斷擴大，機密信息的泄漏問題也變的日益嚴重，由此引起的網(wǎng)絡(luò)安全問題也日益突出，計算機網(wǎng)絡(luò)信息在使用、傳輸?shù)冗^程中可能會被非法盜用、暴露或者篡改，此外，由于用戶信息安全意識淡薄，信息安全技術(shù)和 設(shè)施相對落后等因素也使得網(wǎng)絡(luò)信息安全形勢更加嚴峻。為了解決這些安全問題，各種信息安全傳輸機制、信息加密算法、網(wǎng)絡(luò)安全工具被不斷的開發(fā)和應(yīng)用。計算機網(wǎng)絡(luò)以TCP/IP為基礎(chǔ)，該協(xié)議在設(shè)計上存在著很多安全隱患，因此基于TCP/IP的應(yīng)用服務(wù)例如WWW服務(wù)、EMAIL服務(wù)、FTP服務(wù)等都不同程度的存在著安全問題，易被他人通過協(xié)議漏洞竊取信息。因此需要通過特定的防護策略來保護網(wǎng)絡(luò)信息安全。常見的安全策略有提高網(wǎng)絡(luò)服務(wù)器存儲安全級別、通過核對用戶信息進行入網(wǎng)安全性驗證、利用信息加密技術(shù)來加密信息傳輸流、通過系統(tǒng)防火墻以及病毒防護技術(shù)等策略。加強服務(wù)器的存儲安全是通過特定的方式保護網(wǎng)絡(luò)服務(wù)器的存儲器的信息安全，目前常用的技是RAID (Redundant Arrays of Inexpensive Disks)即磁盤陣列技術(shù)，利用數(shù)組的方式來做磁盤組，配合數(shù)據(jù)分散排列的設(shè)計來提升數(shù)據(jù)的安全性，磁盤陣列可利用同位檢查的方法，在數(shù)組中某個硬盤出現(xiàn)故障時，通過數(shù)據(jù)冗余技術(shù)，仍可讀出數(shù)據(jù)和重新寫入數(shù)據(jù)，從而實現(xiàn)了對數(shù)據(jù)的安全保護。用戶信息驗證技術(shù)也就是系統(tǒng)訪問控制技術(shù)，是網(wǎng)絡(luò)安全防御和保護的常用策略。信息驗證主要通過用戶名/ 口令等驗證信息來顯示非法用戶進入網(wǎng)絡(luò)，目的是保證網(wǎng)絡(luò)中的資源不被非法用戶訪問和使用，同時控制用戶可訪問的網(wǎng)絡(luò)資源的范圍，只允許用戶訪問通過系統(tǒng)管理員授權(quán)的資源。不過用戶名/ 口令被竊取就意味著所對應(yīng)的網(wǎng)絡(luò)資源的丟失，因此需要對用戶信息進行妥善保護。另外系統(tǒng)還可通過設(shè)定入網(wǎng)限制來防止非法入侵者進入網(wǎng)絡(luò)，用戶只能在特定的網(wǎng)段通過自己的用戶名/ 口令來進入網(wǎng)絡(luò)，由此提高網(wǎng)絡(luò)信息安全性。信息加密技術(shù)，就是對信息進行重新編碼而隱藏原始信息內(nèi)容，從而使非法用戶無法獲得信息真實內(nèi)容的一種技術(shù)手段。數(shù)據(jù)加密技術(shù)按照作用的不同可以分為數(shù)據(jù)存儲、數(shù)據(jù)傳輸、數(shù)據(jù)完整性鑒別以及密鑰的管理技術(shù)。數(shù)據(jù)存儲加密技術(shù)是為了防止在存儲環(huán)節(jié)上的數(shù)據(jù)丟失，分為密文存儲和存儲控制兩種，密文存儲是通過加密算法轉(zhuǎn)換、附加密碼、加密模塊等方式對本地存儲的文件進行加密和數(shù)字簽名；存儲控制是對用戶資格、權(quán)限加以審核、防止非法用戶獲取數(shù)據(jù)。數(shù)據(jù)傳輸加密是通過加密算法對數(shù)據(jù)傳輸過程中的數(shù)據(jù)流進行加密。數(shù)據(jù)完整性鑒別是對介入信息的傳送，存取，處理人的身份和相關(guān)數(shù)據(jù)內(nèi)容進行驗證，以達到數(shù)據(jù)保密的要求，系統(tǒng)通過對比驗證對象輸入的特征值是否符合預(yù)先設(shè)定的參數(shù)，實現(xiàn)對數(shù)據(jù)的安全保護。密鑰的管理技術(shù)包括密鑰的產(chǎn)生、分配、保存、更換以及銷毀等環(huán)節(jié)上的保密措施。針對HTTP協(xié)議的安全缺陷，人們提出了在SSL上的HTTPS實現(xiàn)，采用獨立端口策略，在數(shù)據(jù)傳輸過程中加密解密均有SSL進行，與上層的HTTP無關(guān)，不過HTTPS提供的是點對點的安全保護，加解密發(fā)生在傳輸層，也就是旨在傳輸過程中消息才是加密的，到達終點后就變成了明文，因此消息隊列中信息可能被竊取。防火墻是目前使用廣泛的一種網(wǎng)絡(luò)安全技術(shù)，其核心思想是在不安全的網(wǎng)絡(luò)環(huán)境中構(gòu)造一個相對安全的子網(wǎng)環(huán)境，通過預(yù)定義的安全策略，對內(nèi)外網(wǎng)通信強制實施訪問控制，對兩個或多個網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包按照一定的安全策略來實施檢查，以決定網(wǎng)絡(luò)之間的通信是否被允許，并監(jiān)控網(wǎng)絡(luò)運行狀態(tài)。病毒防護技術(shù)通常使用的是防病毒軟件，從功能上分為網(wǎng)絡(luò)防病毒軟件和單機防病毒軟件。單機防病毒軟件一般安裝在單機上，對本地資源采用分析掃描的方式檢測，消除病毒。網(wǎng)絡(luò)防病毒軟件主要注重網(wǎng)絡(luò)防病毒，一旦病毒入侵網(wǎng)絡(luò)或從網(wǎng)絡(luò)向其他的資源傳播，網(wǎng)絡(luò)病毒軟件就會立即檢測到并將其刪除。
在目前網(wǎng)絡(luò)信息化時代，由于網(wǎng)絡(luò)自身的安全隱患無法根除，在網(wǎng)絡(luò)信息傳輸?shù)倪^程中，雖然人們提出了很多用于網(wǎng)絡(luò)安全防護的策略，但是安全事故仍不斷出現(xiàn)，因此需要綜合運用各種網(wǎng)絡(luò)安全技術(shù)，來保護網(wǎng)絡(luò)信息傳輸安全。

發(fā)明內(nèi)容
針對目前網(wǎng)絡(luò)信息傳輸方面存在的問題，在總結(jié)了已有信息安全傳輸方法的優(yōu)勢和缺點的基礎(chǔ)上，本發(fā)明的目的在于提出一種綜合運用用戶信息驗證技術(shù)、信息加密技術(shù)、數(shù)字簽名技術(shù)、防火墻技術(shù)來保證基于C/S (客戶端和服務(wù)器結(jié)構(gòu))的網(wǎng)絡(luò)信息安全傳輸方法，服務(wù)器端為信息數(shù)據(jù)源，系統(tǒng)管理員為要申請獲取數(shù)據(jù)的客戶端分配系統(tǒng)權(quán)限，包括用戶信息、用戶授權(quán)IP地址(客戶端發(fā)起請求的IP地址)、用戶身份公鑰/私鑰對，服務(wù)器端公鑰信息等。信息傳輸總體流程示意圖如圖1所示。1、客戶端發(fā)起數(shù)據(jù)傳輸請求客戶端按照本地配置的服務(wù)器信息，向服務(wù)器發(fā)起服務(wù)請求，請求參數(shù)包括客戶端用戶信息、IP地址信息(服務(wù)器端通過解析IP數(shù)據(jù)包獲取客戶端IP地址，IP地址不作為顯式參數(shù)傳遞)、請求獲取數(shù)據(jù)類型信息等，只有通過服務(wù)器身份認證后才可進行網(wǎng)絡(luò)數(shù)據(jù)獲取。2、服務(wù)器端進行身份驗證客戶端數(shù)據(jù)傳輸請求被服務(wù)器端防火墻攔截，過濾掉未授權(quán)的非法信息，將合法的客戶端請求提交給服務(wù)器，服務(wù)器端接收到客戶端數(shù)據(jù)傳輸請求后，對客戶端提交的用戶信息與服務(wù)器端數(shù)據(jù)庫中的進行核對，驗證通過的請求才可進入信息傳輸流程的下一
止/J/ O3、服務(wù)器端進行IP驗證服務(wù)器端從客戶端請求中的IP數(shù)據(jù)包中解析出客戶端的IP地址，只有驗證該IP與服務(wù)器初始化的客戶端合法IP相同，并且驗證用戶信息合法后，針對該用戶服務(wù)器端建立與客戶端的會話，在本次會話中保存用戶信息，作為參數(shù)供數(shù)據(jù)傳輸各個步驟調(diào)用，直到數(shù)據(jù)傳輸結(jié)束后刪除會話。
4、服務(wù)器端為數(shù)據(jù)傳輸生成密鑰由于傳輸?shù)臄?shù)據(jù)量比較大，服務(wù)器端與客戶端數(shù)據(jù)傳輸過程采用加密速度快的對稱算法加密，服務(wù)器端為本次數(shù)據(jù)傳輸生成用于數(shù)據(jù)加密的隨機密鑰，并通過客戶端公鑰將密鑰加密，將加密后的密鑰信息傳送回客戶端。5、客戶端接收密鑰
客戶端接收到服務(wù)器端發(fā)送的數(shù)據(jù)加密密鑰信息后，通過客戶端私鑰進行解密，將解密出的密鑰信息通過服務(wù)器端公鑰再次加密后提交到服務(wù)器端。服務(wù)器端接收到密鑰信息后通過服務(wù)器端私鑰解密，將解密出的密鑰與生成的隨機密鑰進行對比，若兩者一致則表明客戶端已安全接收到數(shù)據(jù)解密密鑰信息，可進行下一步數(shù)據(jù)加密工作。6、服務(wù)器端進行信息加密為保證客戶端接收到的數(shù)據(jù)準確無誤，服務(wù)器端將客戶端請求的數(shù)據(jù)進行數(shù)字簽名，服務(wù)器端通過生成的隨機密鑰，通過對稱加密算法將客戶端請求數(shù)據(jù)以及數(shù)字簽名信息進行數(shù)據(jù)加密，以密文形式向客戶端發(fā)送。7、信息傳輸服務(wù)器端通過互聯(lián)網(wǎng)將加密后的信息發(fā)送到客戶端，由于數(shù)據(jù)是密文的形式傳送，可很大程度提高信息傳輸安全性。8、客戶端數(shù)據(jù)解密客戶端接收到加密后的信息后，通過步驟5獲取的密鑰對數(shù)據(jù)進行解密，解密出的數(shù)據(jù)包括原始信息和數(shù)字簽名信息，客戶端通過數(shù)字簽名對原始信息進行一致性驗證，將一致性驗證不通過的信息丟棄并申請服務(wù)器端重傳，驗證通過的信息存入本地數(shù)據(jù)庫。數(shù)據(jù)傳輸結(jié)束后向服務(wù)器端發(fā)出結(jié)束標志，服務(wù)器端中斷與客戶端的會話信息。本發(fā)明采用服務(wù)器端為客戶端動態(tài)分配用戶信息的方式，向客戶端分配用戶信息、用戶私鑰信息、服務(wù)器公鑰信息，服務(wù)器端保留分配的用戶的公鑰信息。在信息傳輸過程中，考慮到加密速度等因素，數(shù)據(jù)加密采用對稱加密算法進行加密，加密/解密密鑰在數(shù)據(jù)傳輸過程中隨機生成，為保護密鑰安全被客戶端接收，通過非對稱加密算法進行密鑰交換和身份驗證。本發(fā)明在信息傳輸過程中綜合運用了身份驗證技術(shù)、防火墻技術(shù)、數(shù)據(jù)加密/解密技術(shù)，并通過非對稱加密算法、對稱加密算法和數(shù)字簽名技術(shù)在保證數(shù)據(jù)安全性的同時，保證了數(shù)據(jù)加密速度。與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)點用戶信息由服務(wù)器端統(tǒng)一管理、授權(quán)，通過對服務(wù)器端防火墻進行統(tǒng)一配置，降低了非法用戶入侵系統(tǒng)的可能性。對稱加密算法加密、解密過程通過同一密鑰進行，加密速度快，適合加密較大規(guī)模數(shù)據(jù)，但是密鑰丟失則意味著原始信息可被獲得密鑰的非授權(quán)用戶解密，因此對稱算法的密鑰是信息安全傳輸?shù)年P(guān)鍵，本發(fā)明通過隨機分配密鑰的方式，每次信息傳輸密鑰都不相同，保證了信息安全性。非對稱加密算法破解難度大，但相對對稱算法加密速度慢，適合加密少量數(shù)據(jù)。本發(fā)明利用非對稱加密算法安全性高的特點，服務(wù)器端利用該算法將對稱加密算法的密鑰加密為密文，客戶端獲取密文后通過非對稱加密算法解密出對稱加密算法的密鑰，再次通過非對稱加密算法加密該密鑰后回傳給服務(wù)器，服務(wù)器解密后與原始密鑰核對，由此確定客戶端是否成功獲取了對稱算法加密/解密所需的密鑰，由此保證了對稱加密算法的安全交換。利用數(shù)字簽名技術(shù)將原始信息進行簽名，將原始信息和簽名信息同時進行加密，客戶端獲取了加密數(shù)據(jù)并解密后，可對原始信息進行一致性驗證，從而保證了信息傳輸?shù)恼_性。


圖1信息傳輸流程圖；圖2信息加密過程圖；圖3服務(wù)器端信息處理過程圖；圖4客戶端信息處理過程圖；圖5MD5算法流程圖；圖6DES算法流程圖。
具體實施例方式本發(fā)明數(shù)據(jù)傳輸服務(wù)器端通過Web Services的形式在服務(wù)器發(fā)布,客戶端通過線程方式定時向服務(wù)器端提出數(shù)據(jù)傳輸請求，非對稱加密算法通過RSA算法實現(xiàn)，對稱加密算法通過DES算法實現(xiàn)，信息簽名通過MD5算法實現(xiàn)，整個數(shù)據(jù)加密過程如圖2所示。服務(wù)器端初始化客戶端用戶信息和RSA算法公鑰和私鑰信息(密鑰由5位十進制素數(shù)和308位十進制素數(shù)構(gòu)成)，以及服務(wù)器端公鑰信息同時保存到客戶端數(shù)據(jù)庫中。1、服務(wù)器端信息處理過程(如圖3所示)(I)身份驗證服務(wù)器端防火墻攔截用戶請求信息，將非法請求進行過濾處理，將合法的用戶信息提交到身份驗證處理程序，服務(wù)器端收到客戶端數(shù)據(jù)傳輸請求后，通過客戶端的用戶名/口令信息、客戶端IP信息等進行客戶端身份驗證。(2)初始化用戶驗證通過的請求，服務(wù)器端為數(shù)據(jù)傳輸工作建立會話，在會話中保存該用戶信息，包括該用戶用戶名/ 口令信息、IP信息、RSA算法客戶端公鑰信息、服務(wù)器端私鑰信息等。(3)生成DES密鑰服務(wù)器端隨機生成8位DES算法加密/解密所需的密鑰信息，并通過RSA算法利用客戶端公鑰將密鑰加密，將加密后的密鑰傳送到客戶端。(4)驗證DES密鑰客戶端收到加密的密鑰后通過自身密鑰解密，將解密的密鑰再通過服務(wù)器端公鑰進行加密，將加密后的密鑰提交到服務(wù)器端，服務(wù)器端通過自身私鑰解密后與步驟(3)生成的密鑰進行比對，當兩者相同時，表示客戶端已準確接收到了 DES密鑰。(5)數(shù)字簽名服務(wù)器端通過MD5算法(如圖5所示)對要傳輸?shù)男畔⑦M行數(shù)字簽名，并把數(shù)字簽名信息附加到原始信息末尾。
(6)加密信息服務(wù)器端通過DES算法(如圖6所示)利用步驟(3)生成的8位密鑰對附加了數(shù)字簽名信息的原始信息進行加密。(7)傳送信息服務(wù)器端將加密后的信息通過互聯(lián)網(wǎng)發(fā)送給客戶端，客戶端獲取信息后通過從服務(wù)器端獲取的DES算法密鑰對信息進行解密處理，從解密出的信息中分離出原始信息和數(shù)字簽名信息，通過MD5算法對傳輸?shù)男畔⑦M行數(shù)字簽名，將得到的簽名信息與從服務(wù)器端接受到的簽名信息對比，當兩者相同時表示此次數(shù)據(jù)傳輸無誤。(8)斷開連接
·
信息傳輸結(jié)束后，服務(wù)器端收到客戶端提交的斷開服務(wù)請求，服務(wù)器端終止于客戶端的會話，斷開與客戶端的連接直到客戶端再次提交數(shù)據(jù)服務(wù)請求。2、客戶端信息處理過程(如圖4所示)(I)初始化參數(shù)客戶端以線程方式定時向服務(wù)器發(fā)送獲取數(shù)據(jù)請求，線程啟動后，客戶端從本地數(shù)據(jù)庫中讀取客戶端用戶信息并提交到服務(wù)器端進行身份驗證。(2)用戶驗證服務(wù)器端通過驗證客戶端提交的用戶信息和IP信息，將驗證成功結(jié)果返回給客戶端。(3)獲取DES密鑰客戶端獲取服務(wù)器通過RSA算法利用客戶端公鑰加密的DES密鑰信息。(4)驗證DES密鑰客戶端通過私鑰對加密的密鑰信息進行解密，將解密后的信息再通過服務(wù)器端公鑰進行加密并提交到服務(wù)器端，服務(wù)器端驗證成功后向客戶端返回驗證成功標識，客戶端等待服務(wù)器端進行數(shù)據(jù)傳輸。(5)獲取加密信息客戶端獲取服務(wù)器端通過DES算法加密的原始信息的密文。(6)解密信息客戶端通過步驟(4)獲取的DES密鑰對步驟(5)獲取的信息進行解密，將解密出的原始信息和數(shù)字簽名信息進行一致性驗證。(7)斷開連接客戶端將通過一致性驗證的信息存入本地數(shù)據(jù)庫，并向服務(wù)器端發(fā)出斷開連接請求，本次信息傳輸結(jié)束。本發(fā)明提出的網(wǎng)絡(luò)信息傳輸方法，服務(wù)器端在信息傳輸前進行信息加密，客戶端在收到數(shù)據(jù)后在本地進行解密，從而避免了 TCP/IP協(xié)議存在的缺陷。同時，本發(fā)明綜合運用了各種信息處理算法的特點，在不影響數(shù)據(jù)傳輸速度的前提下，保證了網(wǎng)絡(luò)信息傳輸過程的安全性和準確性。
權(quán)利要求
1.一種安全的網(wǎng)絡(luò)信息傳輸方法，其步驟為1)客戶端向服務(wù)器發(fā)起服務(wù)請求；其中，所述服務(wù)請求包括客戶端用戶信息、請求獲取數(shù)據(jù)類型信息；2)服務(wù)器端對收到的服務(wù)請求進行過濾，并對過濾所得合法的服務(wù)請求中的用戶信息進行驗證，如果驗證通過則進行步驟3)，否則拒絕該服務(wù)請求；3)服務(wù)器端從客戶端發(fā)送請求的IP數(shù)據(jù)包中解析出客戶端IP地址，并進行驗證，如果驗證通過則建立與該客戶端的會話，進行步驟4);否則拒絕該服務(wù)請求；4)服務(wù)器端生成一密鑰，并通過該客戶端公鑰對該密鑰加密后的密鑰信息發(fā)給該客戶端;5)該客戶端利用私鑰對該密鑰信息進行解密，并將解密出的密鑰信息通過服務(wù)器端公鑰加密后發(fā)給服務(wù)器端；6)服務(wù)器端確認該客戶端已安全接收到該密鑰后進行步驟7)；7)服務(wù)器端將該服務(wù)請求的數(shù)據(jù)進行數(shù)字簽名，并用該密鑰對該服務(wù)請求的數(shù)據(jù)以及數(shù)字簽名信息進行加密，以密文形式發(fā)送給該客戶端；8)該客戶端利用該密鑰對收到的數(shù)據(jù)進行解密和一致性驗證，對一致性驗證不通過的信息進行丟棄并申請服務(wù)器端重傳，驗證通過的信息存入本地數(shù)據(jù)庫。
2.如權(quán)利要求1所述的方法，其特征在于所述服務(wù)器端確認該客戶端已安全接收到該密鑰的方法為服務(wù)器端利用私鑰對接收到的密鑰信息解密，將解密出的密鑰與步驟4)生成的密鑰進行對比，若兩者一致則確認該客戶端已安全接收到該密鑰。
3.如權(quán)利要求1或2所述的方法，其特征在于所述密鑰為一隨機密鑰。
4.如權(quán)利要求1或2所述的方法，其特征在于該客戶端判斷數(shù)據(jù)傳輸結(jié)束后，向服務(wù)器端發(fā)出結(jié)束標志，服務(wù)器端中斷與該客戶端的會話。
5.如權(quán)利要求1或2所述的方法，其特征在于步驟4)中，服務(wù)器端采用非對稱加密算法通過該客戶端公鑰對該密鑰進行加密后發(fā)送給該客戶端；步驟5)中，該客戶端采用非對稱加密算法對解密出的密鑰信息通過服務(wù)器端公鑰進行加密后發(fā)送給服務(wù)器端。
6.如權(quán)利要求5所述的方法，其特征在于步驟7)中，服務(wù)器端采用對稱加密算法對該服務(wù)請求的數(shù)據(jù)以及數(shù)字簽名信息進行加密。
7.如權(quán)利要求1所述的方法，其特征在于所述客戶端向服務(wù)器發(fā)起服務(wù)請求的方法為客戶端以線程方式定時向服務(wù)器發(fā)送獲取數(shù)據(jù)請求，線程啟動后，客戶端從本地數(shù)據(jù)庫中讀取客戶端用戶信息并提交到服務(wù)器端。
全文摘要
本發(fā)明公開了一種安全的網(wǎng)絡(luò)信息傳輸方法。本方法為1)客戶端向服務(wù)器發(fā)起服務(wù)請求；2)服務(wù)器端對服務(wù)請求中的用戶信息和客戶端IP地址進行驗證，如果驗證通過則與其建立一會話；3)服務(wù)器端生成一密鑰，并通過該客戶端公鑰對該密鑰加密后發(fā)給該客戶端；4)該客戶端利用私鑰對該密鑰信息進行解密，并將解密出的密鑰信息通過服務(wù)器端公鑰加密后發(fā)給服務(wù)器端；5)服務(wù)器端將該服務(wù)請求的數(shù)據(jù)進行數(shù)字簽名，并用該密鑰對數(shù)據(jù)以及數(shù)字簽名信息進行加密發(fā)送給該客戶端；6)該客戶端對數(shù)據(jù)進行解密和一致性驗證，對一致性驗證不通過的信息進行丟棄并申請服務(wù)器端重傳，驗證通過的信息存入本地數(shù)據(jù)庫。本發(fā)明大大提高了信息傳輸?shù)陌踩浴?br> 文檔編號H04L9/32GK103001976SQ20121059135
公開日2013年3月27日 申請日期2012年12月28日 優(yōu)先權(quán)日2012年12月28日
發(fā)明者崔建業(yè), 黎建輝, 楊風雷 申請人:中國科學院計算機網(wǎng)絡(luò)信息中心