一種基于軟件數(shù)字證書安全的權(quán)限發(fā)布獲取控制方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于計(jì)算機(jī)和信息安全技術(shù)領(lǐng)域，具體涉及應(yīng)用集中授權(quán)時(shí)，用戶權(quán)限信息的保護(hù)、權(quán)限發(fā)布、權(quán)限控制訪問。
【背景技術(shù)】
[0002]當(dāng)前應(yīng)用系統(tǒng)越來越多，權(quán)限控制，集中授權(quán)已經(jīng)在各個(gè)行業(yè)、廠家面臨的問題，怎么樣通過一個(gè)合理的集中授權(quán)，信息保護(hù)，安全認(rèn)證成為了一起探討的問題，當(dāng)前主流的授權(quán)信息傳送過程:
[0003](I)集中授權(quán)后，直接給各個(gè)應(yīng)用系統(tǒng)訪問，這樣給信息傳送帶來了安全隱患，容易被人竊??；權(quán)限的集中管理容易單點(diǎn)故障，并且信息不夠透明；并且授權(quán)信息容易遭受黑客等攻擊修改，不利于個(gè)人權(quán)限的控制。
[0004](2)集中授權(quán)通過屬性證書的方式，這樣可以保障授權(quán)屬性信息的安全，但是管理上帶來了更多的負(fù)擔(dān)，需要依賴于AA中心，造成了不必要的浪費(fèi)；而且信息面向所有人開放，容易造成個(gè)人隱私的泄漏。
[0005]由此可見提供一種安全的授權(quán)集中管理模式，對(duì)個(gè)人授權(quán)信息進(jìn)行保護(hù)是本領(lǐng)域亟需要解決的問題。

【發(fā)明內(nèi)容】

[0006]針對(duì)現(xiàn)有的集中授權(quán)模式所存在的問題，本發(fā)明的目的在于提供一種基于軟件數(shù)字證書安全的權(quán)限發(fā)布獲取控制方法，該方法使用數(shù)字證書有效的保護(hù)個(gè)人授權(quán)信息，提供安全的訪問信息控制，成功的解決多應(yīng)用集中授權(quán)過程中授權(quán)信息被串改、授權(quán)信息泄漏、訪問控制認(rèn)證的問題。
[0007]為了達(dá)到上述目的，本發(fā)明采用如下的技術(shù)方案:
[0008]一種基于軟件數(shù)字證書安全的權(quán)限發(fā)布獲取控制方法，所述安全的權(quán)限發(fā)布、獲取控制包括如下步驟:
[0009](I)權(quán)限構(gòu)造點(diǎn)安裝服務(wù)器證書，根據(jù)設(shè)備信息生成證書請(qǐng)求，通過證書請(qǐng)求向CA認(rèn)證中心請(qǐng)求簽發(fā)設(shè)備證書，并將返回的設(shè)備證書導(dǎo)入到權(quán)限構(gòu)造點(diǎn)；
[0010](2)權(quán)限執(zhí)行點(diǎn)安裝服務(wù)器證書，根據(jù)設(shè)備信息生成證書請(qǐng)求，通過證書請(qǐng)求向CA認(rèn)證中心請(qǐng)求簽發(fā)設(shè)備證書，并將返回的設(shè)備證書導(dǎo)入到權(quán)限執(zhí)行點(diǎn)；
[0011](3)權(quán)限構(gòu)造點(diǎn)生成用戶訪問應(yīng)用的授權(quán)信息，并且通過權(quán)限執(zhí)行點(diǎn)的服務(wù)器證書對(duì)授權(quán)信息進(jìn)行數(shù)據(jù)加密，并通過權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書對(duì)數(shù)據(jù)進(jìn)行數(shù)字簽名；
[0012](4)權(quán)限構(gòu)造點(diǎn)把用戶基礎(chǔ)信息、應(yīng)用地址信息、訪問應(yīng)用的授權(quán)加密信息、數(shù)字簽名消息，封裝后發(fā)布到權(quán)限發(fā)布點(diǎn)(LDAP)中；
[0013](5)權(quán)限執(zhí)行點(diǎn)在用戶訪問應(yīng)用時(shí)，驗(yàn)證用戶的有效性，驗(yàn)證通過后，使用用戶的基礎(chǔ)信息和訪問的應(yīng)用地址信息到權(quán)限發(fā)布點(diǎn)去獲取用戶訪問應(yīng)用的權(quán)限信息；
[0014](6)權(quán)限執(zhí)行點(diǎn)獲取用戶權(quán)限信息，通過自身的服務(wù)器證書解密權(quán)限信息，并且通過權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書對(duì)授權(quán)信息進(jìn)行驗(yàn)證簽名，簽名驗(yàn)證通過，權(quán)限信息解密成功，判斷用戶是否有訪問應(yīng)用的權(quán)限，成功獲取把用戶信息和權(quán)限信息一起封裝給應(yīng)用系統(tǒng)，用戶成功訪問；如果驗(yàn)證失敗、解密失敗或無權(quán)限訪問，則判定用戶無法訪問應(yīng)用系統(tǒng)。
[0015]在本方案的優(yōu)選實(shí)例中，所述步驟(I)和(2)中在生成證書請(qǐng)求時(shí)所生成的公私鑰包括但不限于RSA密鑰，ECC密鑰
[0016]進(jìn)一步的，所述步驟(I)和(2)中證書請(qǐng)求格式包括但不限于PkcslO格式的證書請(qǐng)求。
[0017]進(jìn)一步的，所述步驟(I)和(2)中軟件數(shù)字證書包括但不限于符合X509格式的證書。
[0018]進(jìn)一步的，所述步驟(3)中證書簽名包括但不限于SHA1WITHRSA、SM3WITHSM2。
[0019]進(jìn)一步的，所述步驟(3)中證書加密包括但不限于RSA密鑰、ECC密鑰；數(shù)據(jù)對(duì)稱加密包括但不限于AES、SM4、SMlo
[0020]進(jìn)一步的，所述步驟(4)中把用戶基礎(chǔ)信息、應(yīng)用的地址信息、訪問應(yīng)用的授權(quán)加密信息、數(shù)字簽名消息封裝成消息發(fā)布包，并且發(fā)布到權(quán)限發(fā)布點(diǎn)LDAP中。
[0021]進(jìn)一步的，所述步驟(5)中判斷獲取過程包含兩部分:
[0022](5-1)驗(yàn)證用戶的基礎(chǔ)信息，包含驗(yàn)證用戶證書的有效性，包含證書是否受信任，是否已經(jīng)被廢除，或者用戶的基礎(chǔ)信息是否完整，訪問地址是否正確；
[0023](5-2)通過用戶的基礎(chǔ)信息和訪問應(yīng)用地址信息到權(quán)限發(fā)布點(diǎn)獲取用戶權(quán)限信息;
[0024]進(jìn)一步的，所述步驟￠)中驗(yàn)證解密權(quán)限訪問應(yīng)用過程:
[0025](6-1)獲取權(quán)限構(gòu)造點(diǎn)的數(shù)字簽名，通過權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書驗(yàn)正簽名的準(zhǔn)確性，保障用戶權(quán)限信息的有效性、合法性；
[0026](6-2)獲取權(quán)限構(gòu)造點(diǎn)發(fā)布的加密授權(quán)信息，通過權(quán)限執(zhí)行點(diǎn)的服務(wù)器證書解密授權(quán)信息，得到原文數(shù)據(jù)，保障授權(quán)信息的機(jī)密性、完整性；
[0027](6-3)通過解密的用戶授權(quán)信息，驗(yàn)證用戶是否有訪問應(yīng)用的權(quán)限，沒有則直接返回失??；
[0028](6-4)如果驗(yàn)證成功，并且授權(quán)信息有效，則直接把授權(quán)信息和用戶信息傳送給應(yīng)用系統(tǒng)，協(xié)助用戶訪問應(yīng)用系統(tǒng)。
[0029]根據(jù)上述技術(shù)方案得到的本發(fā)明能夠很好的對(duì)集中授權(quán)帶來的權(quán)限安全問題，權(quán)限驗(yàn)證問題能夠有效的保護(hù)；在授權(quán)信息有安全性要求高時(shí)，可使用更安全的密鑰，采用數(shù)字證書體系安全強(qiáng)度高，不擔(dān)心用戶權(quán)限信息被黑客串改，并且可以很好的認(rèn)證權(quán)限信息構(gòu)造點(diǎn)，權(quán)限執(zhí)行點(diǎn)能夠解決好用戶訪問問題。
【附圖說明】
[0030]以下結(jié)合附圖和【具體實(shí)施方式】來進(jìn)一步說明本發(fā)明。
[0031]圖1為本發(fā)明安全的權(quán)限發(fā)布獲取控制架構(gòu)圖；
[0032]圖2為本發(fā)明實(shí)施時(shí)用戶訪問應(yīng)用系統(tǒng)權(quán)限獲取序列圖。
【具體實(shí)施方式】
[0033]為了使本發(fā)明實(shí)現(xiàn)的技術(shù)手段、創(chuàng)作特征、達(dá)成目的與功效易于明白了解，下面結(jié)合具體圖示，進(jìn)一步闡述本發(fā)明。
[0034]參見圖1，其所示為本發(fā)明提供的基于軟件數(shù)字證書安全的權(quán)限發(fā)布獲取控制架構(gòu)圖，由圖可知，所述安全的權(quán)限發(fā)布、獲取控制過程如下:
[0035](I)權(quán)限構(gòu)造點(diǎn)生成服務(wù)器信任證書，即權(quán)限構(gòu)造點(diǎn)安裝服務(wù)器證書，根據(jù)設(shè)備信息生成證書請(qǐng)求，通過證書請(qǐng)求向CA認(rèn)證中心簽發(fā)設(shè)備證書，并將返回的設(shè)備證書導(dǎo)入到權(quán)限構(gòu)造點(diǎn)。
[0036](2)權(quán)限執(zhí)行點(diǎn)生成服務(wù)器信任證書，即權(quán)限執(zhí)行點(diǎn)安裝服務(wù)器證書，根據(jù)設(shè)備信息生成請(qǐng)求，通過證書請(qǐng)求向CA認(rèn)證中心簽發(fā)設(shè)備證書，并將返回的設(shè)備證書導(dǎo)入到權(quán)限執(zhí)行點(diǎn)。
[0037](3)權(quán)限構(gòu)造點(diǎn)生成用戶訪問應(yīng)用的權(quán)限信息，包含角色，屬性等基礎(chǔ)信息，并獲取權(quán)限執(zhí)行點(diǎn)的服務(wù)器證書，通過權(quán)限執(zhí)行點(diǎn)的服務(wù)器證書對(duì)權(quán)限信息進(jìn)行加密，并調(diào)用權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書對(duì)發(fā)布權(quán)限信息進(jìn)行數(shù)字簽名。
[0038](4)權(quán)限構(gòu)造點(diǎn)把用戶基礎(chǔ)信息、應(yīng)用的地址信息、訪問應(yīng)用的授權(quán)加密信息、數(shù)字簽名消息，封裝成消息發(fā)布包并發(fā)布到權(quán)限發(fā)布點(diǎn)(LDAP)中。
[0039](5)用戶訪問應(yīng)用系統(tǒng)，先訪問權(quán)限執(zhí)行點(diǎn)。
[0040](6)權(quán)限執(zhí)行點(diǎn)在用戶訪問應(yīng)用時(shí)，驗(yàn)證用戶的有效性，驗(yàn)證通過后，使用用戶的基本信息和訪問的應(yīng)用地址信息到權(quán)限發(fā)布點(diǎn)去獲取用戶訪問應(yīng)用的權(quán)限信息。
[0041]該步驟中，權(quán)限執(zhí)行點(diǎn)通過如下步驟驗(yàn)證用戶的有效性:
[0042](6-1)驗(yàn)證用戶的基礎(chǔ)信息，包含驗(yàn)證用戶證書的有效性，包含證書是否受信任，是否已經(jīng)被廢除，或者用戶的基礎(chǔ)信息是否完整，訪問地址是否正確；
[0043](6-2)通過用戶的基礎(chǔ)信息和訪問應(yīng)用地址信息到權(quán)限發(fā)布點(diǎn)獲取用戶權(quán)限信息。
[0044](7)權(quán)限執(zhí)行點(diǎn)獲取用戶權(quán)限信息，通過自身的服務(wù)器證書解密權(quán)限信息，并且通過權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書對(duì)授權(quán)信息進(jìn)行驗(yàn)證簽名，簽名驗(yàn)證通過，權(quán)限信息解密成功，判斷用戶是否有訪問應(yīng)用的權(quán)限。
[0045]該步驟中對(duì)用戶權(quán)限信息進(jìn)行驗(yàn)證、解密的過程如下:
[0046](7-1)獲取權(quán)限構(gòu)造點(diǎn)的數(shù)字簽名，通過權(quán)限構(gòu)造點(diǎn)的服務(wù)器證書驗(yàn)正簽名的準(zhǔn)確性，由此保障用戶權(quán)限信息的有效性、合法性；
[0047](7-2)獲取權(quán)限構(gòu)造點(diǎn)發(fā)布的加密授權(quán)信息，通過權(quán)限執(zhí)行點(diǎn)的服務(wù)器證書解密授權(quán)信息，得到原文數(shù)據(jù)，由此保障授權(quán)信息的機(jī)密性、完整性；
[0048](7-3)通