专利名称：基于分布式管理架构的自适应安全组通信系统的制作方法
技术领域：
本发明属于信息安全领域，为大规模动态的网络环境提供一种基于分布式管理架构的自适应安全组通信系统。
背景技术：
近年来，随着科学技术的快速发展，微电子和计算机技术渗透到了各个领域，人们对电子信息技术的应用已经处于一个迅猛发展的新时期。由于组通信一方面能实现互联网上资源的互联互通，另一方面又能消除资源孤岛，因此越来越被广泛运用到视频会议、军事和航空航天等领域。组通信作为网络信息的一种通信方式，其应用范围和规模不断扩大，功能不断增多，对其安全性的要求越来越高，在整个计算机软件和信息安全技术中占有重要的地位。随着组通信系统规模的不断增大，成员的不断增加，其安全隐患也越来越明显。由于组通信的泄密常常给人们造成灾难性后果，因此，组通信的安全问题引起了软件工程界和安全部门的高度重视，整个组通信系统的主要问题已经由通信领域逐步转向安全领域。
目前，基于分布式管理架构的安全组通信系统(如Clique安全组通信系统和Iolus安全组通信系统)所采用的管理策略均是将组成员管理与组成员密钥管理分开，分别由不同的服务器(或节点机)进行处理。在这些管理策略中，参与组通信的节点是对等的，通过会话协商机制，实现对组成员(成员节点机)与组成员的密钥管理。因此，这种分布式管理架构的最大优点是不存在单一失效的问题，理论上适合规模较大的组通信系统中。但是，由于会话协商总是需要一定的通信开销，并且密钥分配与更新也需要一定的计算开销，因而存在着一定的通信延迟。当系统规模扩大到一定程度时，面对成员动态变化，现有的这些管理策略缺乏自适应性，它不能根据成员动态变化规律主动获得系统信息和最佳成员管理策略，也不能根据系统状态变化规律及时主动的做出正确反应。由此导致的直接后果就是(1)服务器的负荷重，网络通信延迟长，限制了安全组通信系统的可扩展性和灵活性；(2)出现组密钥更新与组消息签名(或加密)之间异步的现象，降低了安全组通信系统的通信效率；(3)成员退出时，系统不能保证组通信的后向安全性；(4)消息在传递过程中很容易被截获，影响了组通信系统的安全性。因此，在大规模动态网络环境中，这种缺乏自适应的分布式管理架构难以适用于大规模动态组通信的安全需要。
发明内容
本发明的目的在于克服现有安全组通信系统的缺陷，提供一种基于分布式管理架构的自适应安全组通信系统，该系统能够对组通信成员进行自适应管理，能够对组成员的密钥进行自适应分配与更新，能够使组签名与消息加密进行融合。从而为大规模动态的网络环境提供一种基于分布式管理架构的自适应安全组通信系统。
本发明提供的一种基于分布式管理架构的自适应安全组通信系统，该系统包括位于组通信群体中的各成员节点机上的组通信安全处理器和位于服务器中的组通信成员管理器；其中，组通信成员管理器用于与各成员节点机建立连接，对各成员的身份进行认证并将认证结果返回给组通信安全处理器，对各成员节点机进行管理；组通信安全处理器用于向组通信成员管理器发送认证消息，接收组通信成员管理器返回的认证结果，并进行统计；根据组通信的成员信息进行密钥计算和密钥分配；对需要发送的消息进行统计、签名、加密和发送；对需要接收的加密消息进行接收、解密、验证和统计；对发送的组消息或接收的组消息进行显示；当某一成员节点机离开时，该节点机上的组通信安全处理器断开与组通信成员管理器、以及其它成员节点机之间的连接。
本发明系统总体架构依然是分布式的，只是在管理策略上提供一种新的自适应管理策略。本发明采用自适应的管理策略和模块化的设计方法，以最大限度地降低安全组通信软件系统对组通信的可扩展性的影响；同时，采用组通信成员管理模块与密钥分配模块分开设计的方法，使它们分别位于服务器和成员的节点机上，这样既能保证服务器对组成员(成员节点机)进行自适应管理，又能使密钥分配独立于具体的成员管理过程之外，具有很好的可扩展性。总之，本发明具有以下技术效果1、安全组通信的自适应分布式管理传统的组通信系统通常使用集中式管理或者分布式管理。集中式管理就是选择单一的服务器对系统进行管理，即服务器既要对组通信成员进行管理又要对组成员的密钥更新进行管理。这种单一的服务器管理使得服务器的负荷特别大，这不仅加大了网络通信的延迟，也影响了群组通信系统的可扩展性和灵活性。而分布式管理就是将组成员管理与组成员密钥更新管理进行分开，让它们分别位于服务器和成员的节点机上(位于客户端)，这样既能保证服务器对组成员进行管理，又能使密钥分配独立于具体的成员管理过程之外，理论上具有很好的可扩展性。可是，在现有的分布式管理架构中，对组成员的管理缺乏自适应性，不能根据组成员动态变化特性选择最佳成员管理策略，从而使得系统的可扩展性受到了严重约束。而自适应分布式管理能够根据系统的通信状态，自动选择最佳成员管理策略，实现对组成员的管理；同时，又能使密钥分配独立于具体的成员管理过程之外，真正减轻成员管理策略对组通信系统可扩展性的影响。
2、组成员密钥的自适应分配与更新传统的安全组通信系统通常只是使用一种机制来更新群组密钥，然而，对组通信而言，组成员会随着时间的变化而变化，这种单一的密钥更新方法难以适应大规模动态组通信变化的需要。因此，本系统设计出一种自适应的密钥分配方法。在这种自适应的密钥分配方法中，综合使用逻辑密钥树结构(Logical Key Tree)，在密钥分配过程中，如果系统接收的是组通信成员的退出(Exit)请求，则采用密钥及时更新机制；如果系统接收的是组通信成员的加入(Join)请求，则采用密钥批量更新机制，并运用马尔可夫模型(Markov模型)，自动更新密钥更新周期。这种自适应的密钥分配方法能有效地评估成员节点机的状态，自动地选择性能较优的密钥逻辑树结构来分配密钥，减少由于密钥更新所带来的通信开销，增强系统对组成员变化的承受能力，增强系统的安全性，在各种情况下都能达到较为理想的密钥分配效果。
3、组签名与消息加密的融合传统的组通信系统使用的安全方法常常是组签名机制或者是消息加密机制，因为组签名机制能够实现对组和成员身份的验证，消息加密机制能够实现消息在网络中的安全传输。但是，传统的组通信系统常常将组签名机制与消息加密机制割裂使用，不能实现组签名与消息加密的融合。因此，在本系统设计过程中，设计出了一种新的加密认证机制。这种新的加密认证机制包含四个阶段(1)密钥产生阶段；(2)个人签名的产生和验证阶段；(3)组签名的产生和加密阶段；(4)解密和组签名的验证阶段。在密钥产生阶段，主要产生组密钥和组成员的个人密钥；在个人签名的产生和验证阶段，主要产生个人签名和对个人签名进行验证；在组签名的产生和加密阶段，先对组进行签名，对消息进行加密，然后对消息进行解密，对组签名进行验证。在这种新的加密认证机制中，密钥管理者(由组通信成员共同决定)主要负责密钥(包括个人和组的私钥、个人和组的公钥)的产生，它不负责组签名，组签名由组通信成员共同决定。因此，通过这种新的加密认证机制，一方面实现组签名的功能，另一方面实现消息加密功能，从而实现组签名与消息加密的融合。
4、良好的兼容性和跨平台性传统的组通信系统使用的是面向对象的设计方法，而本系统使用的是面向对象与面向服务相结合的设计方法。这种设计方法使任何潜在客户的请求均能以服务的方式提供，客户不需要知道服务实现的技术细节，因而具有良好的兼容性。在本系统中，组密钥管理和组成员管理都是以WebService的方式来提供，从而使得这种分布式管理架构更为灵活。此外，该系统软件用Java语言编写，适用于Windows操作平台和Linux操作平台。
图1为基于分布式管理架构的自适应安全组通信系统拓扑结构；图2为基于分布式管理架构的自适应安全组通信系统体系结构；图3为组通信成员管理器流程图；图4为组通信安全处理器流程图；图5为一个运行实例的示意图。
具体实施例方式
下面结合附图和实例对本发明作进一步详细的说明。
如图1所示，本发明系统从安全组通信的工作角度来说，包括位于客户端3中的各成员节点机4.1、4.2、……、4.n上的组通信安全处理器5.1、5.2、……、5.n和位于服务器1中的组通信成员管理器2，二部分之间通过网络通信。为表述方便，以下将各成员节点机4.1、4.2、……、4.n统称为节点机4，组通信安全处理器5.1、5.2、……、5.n统称为组通信安全处理器5。
组通信成员管理器2主要负责与客户端3中的各成员节点机4建立连接、对成员节点机4的身份进行认证并将认证结果返回给组通信安全处理器5、对成员节点4机进行管理。
组通信安全处理器5是组通信成员进行安全通信的核心，它的主要功能是向组通信成员管理器2发送认证消息；接收组通信成员管理器2返回的认证结果；对组通信成员管理器2返回的认证结果进行统计；根据组通信的成员信息进行密钥计算和密钥分配；对需要发送的消息进行统计、签名、加密和发送；对需要接收的加密消息进行接收、解密、验证和统计；对发送的组消息或接收的组消息进行显示等。当某一成员节点机离开系统时，该机将断开与组通信成员管理器2之间的连接，同时也断开与其它成员节点机之间的连接。
下面结合图2为上述各部分的具体结构作进一步详细的说明。
一、位于客户端的各节点机中的组通信安全处理器组通信安全处理器5包括控制模块6、成员操作模块7、密钥管理模块8、组通信信息收集模块9、加密/解密模块10、组通信模块11和显示模块12。
控制模块6的功能是接收用户输入的加入(或者退出)命令；接收用户输入的用户名和口令；接收用户输入的加入(或者退出)组的组名；向成员操作模块7发送命令；接收成员操作模块7发送的反馈信息；向组通信信息收集模块9发送信息收集命令；向显示模块12发送成员节点机信息和组通信信息。
成员操作模块7的功能是向组通信成员管理器2发送加入或者退出命令；对组通信成员管理器2发送来的认证消息和成员节点机的消息进行认证；对成员节点机的成员信息进行收集；向控制模块6发送成员操作结果；向密钥管理模块8发送成员节点机信息；在该节点机离开系统时，断开与组通信成员管理器2及其它成员节点机的连接。
密钥管理模块8的功能是进行密钥的计算、密钥的自适应分配与更新；向组通信信息收集模块9传输密钥信息。
组通信信息收集模块9的功能是向加密/解密模块10传输需要发送的消息；向加密/解密模块10传输需要解密与验证的消息；接收组通信模块11发送来的信息；根据组通信模块11发送来的信息，对其它成员节点机发送的消息和接收的解密消息进行收集；向控制模块6传输收集到的组通信信息。
加密/解密模块10的功能是接收组通信信息收集模块9发送来的各种消息；根据接收的消息和密钥信息，使用新的认证方法，对需要发送的消息进行组签名和消息加密；对需要接收的消息进行解密，并进行消息的签名验证，并将处理后的这些消息发送到组通信模块11。
组通信模块11的功能是接收加密/解密模块10发送来的消息；当需要向其它成员节点机发送消息时，将其需要发送的消息发送给其它成员节点机；当其它成员节点机向该机发送消息时，接收其消息并将接收的相关消息传输到组通信信息收集模块9。
显示模块12的功能是接收从控制模块6发送来的成员节点机信息和组通信信息；对成员节点机信息进行显示；对组通信信息进行显示。
组通信安全处理器5的具体程序流程如下(1)、用户从控制模块6输入用户名，输入将要执行的命令(加入或者退处)，输入需要加入(或者退出)的组名，并将输入的信息传输给成员操作模块7。
(2)、成员操作模块7根据控制模块6传输来的命令进行操作。如果是退出命令，则首先断开与服务器1的连接，再断开与其它成员节点机的连接。如果是加入命令，则向服务器1提出加入申请；如果申请通过，则对服务器1发来的信息进行认证。如果认证通过，则控制模块6发送认证成功的消息并接收服务器1发来的信息，否则拒绝接收。如果接收了服务器1发来的信息，则对成员节点机的信息进行收集，并向密钥管理模块8发送成员节点机信息。另外，成员操作模块7将成员操作的结果发送给控制模块6。
(3)、密钥管理模块8根据成员操作模块7发送来的成员节点机信息，进行密钥的计算和密钥的分配，并向组通信信息收集模块9传输密钥信息。
(4)、组通信信息收集模块9根据从控制模块6接收的命令进行组通信的信息收集；接收密钥管理模块8发送的密钥信息并将它传输给加密/解密模块10；如果信息是需要发送的，则向加密/解密模块10传输需要发送的消息和密钥信息，如果信息是需要接收的，则向加密/解密模块10传输密钥信息和需要解密的消息。
(5)、加密/解密模块10根据接收的消息和密钥信息，使用新的认证方法，对需要发送的消息进行组签名和消息加密；对需要接收的消息进行解密，并进行消息的签名验证，然后将处理后的这些消息发送到组通信模块11。
(6)、组通信模块11根据发送来的消息性质进行处理，如果是需要发送的消息，则向其它成员节点机中的组通信模块发送消息，并将发送消息的相关信息发送给组通信信息收集模块9，如果是需要接收的，则接收加密/解密模块10和其它成员节点机中的组通信模块发送来的信息，并将接收消息的相关信息发送给组通信信息收集模块9。
(7)、组通信信息收集模块9将收集到的组通信信息反馈给控制模块6。
(8)、控制模块6将根据成员操作模块7发送来的成员操作结果，接收组通信信息收集模块9发来的反馈信息并将它发给显示模块12。
(9)、显示模块12根据从控制模块6发送来的信息分别进行成员节点机信息和组通信信息的信息显示。
二、组通信成员管理器组通信成员管理器2包括套接字模块13、服务器认证模块14和组通信成员管理模块15三部分。
套接字模块13的功能是在端口建立服务器套接字，并等待组通信安全处理器5中的成员操作模块7的连接；接收成员操作模块7发送来的“Join”信息(或者“Exit”信息)和需要认证的成员身份消息；将接收的信息发送到服务器认证模块14。
服务器认证模块14的功能是接收从套接字模块13发送来的需要认证的信息；对需要认证的消息进行认证；向组通信成员管理模块15发送认证的结果；接收组通信成员管理模块15发送来的成员管理信息；向组通信安全处理器5中的成员操作模块7发送认证信息和成员管理信息。
成员管理模块15的功能是接收服务器认证模块14发送来的认证的结果；根据发送来的认证结果，自动的选择最佳成员管理策略，实现对组成员的自适应管理；向服务器认证模块14发送成员管理信息。
组通信成员管理器2的具体程序流程如下(1)、新建服务器套接字，在特定的端口侦听，等待组通信成员管理器2中的套接字模块13与组通信安全处理器5中的成员操作模块7的连接。
(2)、判断是否接到“Begin”连接请求，如果是，则转到步骤(3)，如果没有，则转到步骤(1)。
(3)、建立与组通信安全处理器5中的成员操作模块7的连接。
(4)、接收组通信安全处理器5中的成员操作模块7发送来的“Join”信息(或者“Exit”信息)和需要认证的成员身份消息。
(5)、在服务器认证模块14，对需要认证的成员身份消息进行认证。
(6)、成员身份消息是否通过认证，如果通过认证，则转到步骤(7)，如果没有，则转到步骤(9)。
(7)、成员管理模块15根据认证结果信息，自动的选择最佳成员管理策略，实现对组成员的自适应管理。
(8)、成员管理模块15将成员管理信息发送给服务器认证模块14。
(9)、服务器认证模块14将认证结果和成员管理信息发送给组通信安全处理器5中的成员操作模块7。
(10)、判断是否接到“End”连接请求，如果不是，则转到步骤(1)，如果是，则停止。
下面举实例对本发明作进一步详细的说明。
本发明系统被安装在“集群与网格计算湖北省重点实验室”，运行环境如图5所示。使用“集群与网格计算湖北省重点实验室”的多台主机(内部网段为192.168.2.0)，在其中一台机器(如192.161.2.191)上安装组通信成员管理器和组通信的消息机制(如Java消息系统，简写为JMS)，运行组通信成员管理器，实现对组通信成员的自适应管理。在其它计算机上各自安装组通信安全处理器，再运行组通信安全处理器，实现基于自适应分布式管理架构的可扩展安全组通信。
具体的运行工程如下(1)、在服务器端，安装组通信成员管理器并启动组通信成员管理器。
(2)、在服务器端，打开命令行窗口，输入joram所在路径(如E:\joram-4.3.1\sample\src\joram)，然后用ant工具启动组通信的消息机制。
(3)、输入命令E:\＞adminserver.bat，对组通信的一些成员组分别进行绑定，实现对成员节点机的自适应管理。
(4)、在命令提示符下输入命令E:\＞guard.bat，打开通信线程。
(5)、在客户端，安装组通信安全处理器。
(6)、启动组通信安全处理器。客户端总控制界面包括三个下拉菜单、三个显示框、一个成员节点机的显示列表、“发送消息”和“接收消息”的输入和显示框、一个显示当前组状态信息的显示栏。其中三个下拉菜单分别为“连接(或退出)”、“组操作”和“帮助”；三个显示框为“服务器”、“当前组”和“组管理器”。
(7)、在客户端，成员输入客户端名称和口令，待和服务器连接成功后，就可以输入“Join”命令和要加入的组名，这样成员可以加入所需要加入的组了。
(8)、在客户端，用户如果输入“Exit”命令和要退出的组名，这样成员就可以退出所需要退出的组了。
按照上面的方法，合法成员可任意的加入和退出组通信，实现基于分布式管理架构的自适应安全组通信。
权利要求
1.一种基于分布式管理架构的自适应安全组通信系统，其特征在于该系统包括位于组通信群体(3)中的各成员节点机(4.1、4.2、……、4.n)上的组通信安全处理器(5.1、5.2、……、5.n)和位于服务器(1)中的组通信成员管理器(2)；其中，组通信成员管理器(2)用于与各成员节点机(4.1、4.2、……、4.n)建立连接，对各成员的身份进行认证并将认证结果返回给组通信安全处理器(5.1、5.2、……、5.n)，对各成员节点机进行管理；组通信安全处理器(5.1、5.2、……、5.n)用于向组通信成员管理器(2)发送认证消息，接收组通信成员管理器(2)返回的认证结果，并进行统计；根据组通信的成员信息进行密钥计算和密钥分配；对需要发送的消息进行统计、签名、加密和发送；对需要接收的加密消息进行接收、解密、验证和统计；对发送的组消息或接收的组消息进行显示；当某一成员节点机离开时，该节点机上的组通信安全处理器断开与组通信成员管理器(2)、以及其它成员节点机之间的连接。
2.根据权利要求1所述的自适应安全组通信系统，其特征在于组通信安全处理器(5)包括控制模块(6)、成员操作模块(7)、密钥管理模块(8)、组通信信息收集模块(9)、加密/解密模块(10)、组通信模块(11)和显示模块(12)；其中，控制模块(6)用于接收用户输入的命令和成员操作模块(7)发送的反馈信息，并向成员操作模块(7)发送命令；向组通信信息收集模块(9)发送信息收集命令；向显示模块(12)发送成员节点机信息和组通信信息；成员操作模块(7)用于向组通信成员管理器(2)发送加入或者退出命令；对组通信成员管理器(2)发送来消息进行认证；对成员节点机的成员信息进行收集；向控制模块(6)发送成员操作结果；向密钥管理模块(8)发送成员节点机信息；在该节点机离开系统时，断开与组通信成员管理器(2)及其它成员节点机的连接；密钥管理模块(8)用于密钥的计算和密钥的自适应分配与更新；向组通信信息收集模块(9)传输密钥信息。组通信信息收集模块(9)用于向加密/解密模块(10)传输相关的密钥信息；向加密/解密模块(10)传输需要发送的消息；向加密/解密模块(10)传输需要解密的消息；接收组通信模块(11)发送来的信息；根据组通信模块(11)发送来的信息，对其它成员节点机发送的消息和接收的解密消息进行收集；向控制模块(6)传输收集到的组通信信息；加密/解密模块(10)的用于接收组通信信息收集模块(9)发送来的各种消息；根据接收的消息和密钥信息，对需要发送的消息进行组签名和消息加密；对需要接收的消息进行解密，并进行消息的签名验证，并将处理后的这些消息发送到组通信模块(11)；组通信模块(11)用于实现本节点机与其它成员节点机之间的通讯，以及本节点机内加密/解密模块(10)和组通信信息收集模块(9)之间的通讯；显示模块(12)用于显示接收的成员节点机信息和组通信信息的信息。
3.根据权利要求1或2所述的自适应安全组通信系统，其特征在于组通信成员管理器(2)包括套接字模块(13)、服务器认证模块(14)和组通信成员管理模块(15)；套接字模块(13)用于在端口建立服务器套接字，并等待组通信安全处理器(5)中的成员操作模块(7)的连接，并将接收的信息发送给服务器认证模块(14)；服务器认证模块(14)用于对套接字模块(13)发送来的信息进行认证，其将结果发送给组通信成员管理模块(15)；发送认证的结果；接收组通信成员管理模块(15)发送来的成员管理信息；向组通信安全处理器(5)中的成员操作模块(7)发送认证信息和成员管理信息；成员管理模块(15)用于接收服务器认证模块(14)发送来的认证的结果；根据发送来的认证结果，自动的选择最佳成员管理策略，实现对组成员的自适应管理，并向服务器认证模块(14)发送成员管理信息。
全文摘要
本发明提供一种基于分布式管理架构的自适应安全组通信系统，包括位于客户端的组通信安全处理器和位于服务器中的组通信成员管理器。组通信安全处理器负责发送认证消息，对参与组通信的成员信息进行收集、进行密钥计算和密钥的自适应分配与更新、对需要发送的消息进行签名、加密和发送、对需要接收的加密消息进行接收、解密和验证、对参与组通信的消息进行收集和显示等。组通信成员管理器负责与成员节点机的各节点机建立连接、对其身份进行认证并将认证结果返回给组通信安全处理器、对成员节点机进行自适应管理。本发明采用新的加密认证方法，能够保证组通信的安全性。本发明具有安装简单、界面人性化、良好的可扩展性和跨平台性等优点。
文档编号H04L9/32GK1996835SQ20061016658
公开日2007年7月11日 申请日期2006年12月31日 优先权日2006年12月31日
发明者金海 , 邹德清, 李运发, 陈洁云, 蒋怀贞, 羌卫中, 韩宗芬 申请人:华中科技大学