器建立第二安全通道时，可以根据所述通信请求中携带的目的服务器的信息，判断所述代理服务器是否已安装所述目的服务器的证书，如果是，基于已安装的所述目的服务器的证书与所述目的服务器建立第二安全通道，如果否，所述代理服务器获取所述目的服务器的证书，在验证出所述证书合法时，安装所述目的服务器的证书，然后基于已安装的所述目的服务器的证书建立所述第二安全通道。
[0036]可见，只要代理服务器已经安装过目的服务器的证书，则如果之后又收到其他客户端发送的与该目的服务器的通信请求，则代理服务器不需要再重复安装该目的服务器的证书，只需要基于已安装的该目的服务器的证书与目的服务器建立第二安全通道，基于该第二安全通道申请客户端与目的服务器之间的会话密钥即可。
[0037]下面，进一步结合客户端、目的服务器以及代理服务器之间的关系，对本发明实施例提供的用于客户端与目的服务器进行安全通信的方法进行详细说明，具体请参见图2。
[0038]图2是本发明实施例提供的通信系统组成示意图。
[0039]如图2所示，该系统包括客户端201-1到客户端201-n、代理服务器202和目的服务器203-1到目的服务器203-m。
[0040]其中，客户端201-1到客户端201-n分别安装了代理服务器202的证书，并且，在需要与目的服务器203-1到目的服务器203-m中的任一目的服务器通信时，分别基于代理服务器202的证书，与代理服务器202建立第一安全通道1-1至第一安全通道1-n，然后通过自身与代理服务器202建立的第一安全通道发送与目的服务器的通信请求。
[0041]代理服务器202在收到客户端201-1到客户端201_n中的任一客户端发来的通信请求以后，根据该通信请求中携带的目的服务器的信息，判断该代理服务器202是否已安装了该目的服务器的证书，如果是，基于已安装的该目的服务器的证书与该目的服务器建立第二安全通道，如果否，代理服务器202先获取该目的服务器的证书，并验证该获取的证书是否合法，如果合法，安装所述目的服务器的证书，并基于安装的该目的服务器的证书建立第二安全通道，如果不合法，代理服务器202可以拒绝安装所述目的服务器的证书，并向发送请求的客户端通过第一安全通道反馈目的服务器不可信的消息。
[0042]比如，假设客户端201-1安装了代理服务器202的证书，并基于该证书与代理服务器202建立了第一安全通道1-1，通过第一安全通道1-1向代理服务器202发送与目的服务器203-2通信的通信请求1，该通信请求I中携带有目的服务器203-2的信息，那么，代理服务器202将从该通信请求I中读取目的服务器203-2的信息，代理服务器202判断自身是否已安装目的服务器203-2的证书，假设未安装，则代理服务器202获取目的服务器203-2的证书，并验证获取的证书是否合法，假设验证结果是合法的，则代理服务器202安装目的服务器203-2的证书，基于已安装的目的服务器203-2的证书与目的服务器203-2建立第二安全通道2-2。然后代理服务器202通过第二安全通道2-2向目的服务器203-2申请客户端201-1与目的服务器203-2通信的会话密钥，将申请到的会话密钥通过第一安全通道1-1返回给客户端201-1。
[0043]继续上例，假设之后代理服务器202又收到客户端201-2通过第一安全通道1_2发送的与目的服务器203-2通信的通信请求2，则代理服务器202判断自身是否已安装目的服务器203-2的证书的结果是已安装，因此，代理服务器202直接基于已安装的目的服务器203-2的证书与目的服务器203-2建立第二安全通道2_2，通过第二安全通道2_2向目的服务器203-2申请客户端201-2与目的服务器203-2通信的会话密钥，将申请到的会话密钥通过第一安全通道1-2返回给客户端201-2。
[0044]由上述描述可见，本发明实施例中，客户端在需要与目的服务器通信时，用于申请会话密钥的通信路径与实际使用会话密钥通信路径是分离的，其中，通过客户端与代理服务器之间的第一安全通道以及代理服务器与目的服务器之间的第二安全通道申请客户端与目的服务器进行通信的会话密钥，申请到的会话密钥直接用于所述客户端与所述目的服务器的通信，换言之，客户端和目的服务器基于所述会话密钥对通信数据进行加密，并将加密后的数据通过客户端和目的服务器之间的通信链路发给对方，比如，客户端201-1利用会话密钥对发给目的服务器203-2的通信数据进行加密，将加密后的通信数据通过与目的服务器203-2之间的通信链路I发给目的服务器203-2，客户端201-2利用会话密钥对发给目的服务器203-2的通信数据进行加密，将加密后的通信数据通过与目的服务器203-2之间的通信链路2发给目的服务器203-2。
[0045]由于用于申请会话密钥的通信路径与实际使用会话密钥通信路径是分离的，因此，即便使用会话密钥通信路径出现了安全问题，还可以通过申请会话密钥的通信路径重新申请新的会话密钥，使得之后的通信变得安全。
[0046]其中，通过申请会话密钥的通信路径重新申请新的会话密钥时，仍可以采用图1所示方法，此时，图1中的通信请求具体是会话密钥更新请求，基于第二安全通道申请客户端与目的服务器的会话密钥时，申请的是更新的会话密钥。
[0047]进一步地，由于代理服务器与大量客户端建立第一安全通道，并与大量的目的服务器建立第二安全通道，因此，可以在代理服务器中设置安全策略，使得代理服务器根据安全策略，在接收到客户端发送的建立第一安全通道的请求时，判断是否与所述客户端建立所述第一安全通道，或者，在接收到客户端发送的与目的服务器的通信请求时，判断是否与所述目的服务器建立第二安全通道。因此，通过在代理服务器侧设置安全策略，使得代理服务器根据所述安全策略对与客户端和与目的服务器之间的连接进行控制，能够使得网络安全策略的管理和更新都更加方便，比如，不需要在每个客户端或者每个目的服务器上分别设置相应的安全策略。
[0048]其中，代理服务器在网络中的位置可以有多种选择，具体可以根据应用场景和安全性要求来确定，比如，在宽带接入场景下，代理服务器可以是宽带服务器提供商的某个后台服务器。为了提高安全性，代理服务器的防攻击性需要达到一定的级别。
[0049]为了进一步提高安全性，本发明实施例提出，客户端侧也可以在自身设置进一步的安全策略，比如，客户端在安装了代理服务器的证书以后，可以禁止安装所述代理服务器以外的其他证书，从而避免客户端上的恶意软件私自安装不可信的服务器的证书，带来安全隐患。
[0050]上述实施例中，对于建立第一安全通道和第二安全通道所基于的安全协议和通信协议，本发明实施例不做限制，比如，可以基于安全套接字(Secure Socket Layer，SSL)协议、通过TCP连接建立第一安全通道和第二安全通道。
[0051]可见，采用本发明实施例，客户端只需要安装一次代理服务器的证书，之后客户端与所有目的服务器在建立加密会话时，都不需要再安装相应目的服务器的证书，因此节省了客户端本地的证书管理成本。通过将证书管理从客户端迀移到代理服务器，可以很方便地进行安全策略的变更，提高防止网络攻击的能力。而且，除了由代理服务器对目的服务器进行身份认证以外，客户端也可以实施更高级别的安全策略，比如安装了代理服务器的证书以后，缺省情况下禁止客户端本地软件再安装其它证书，这样可以有效防止一些恶意软件私自安装证书的情况。本发明实施例还有利于提高客户端的使用体验，比如，客户端不会再遇到存在未授信站点需要提醒用户甄别的情况。进一步，代理服务器与某目的服务器建立过一次安全连接后，后续其它客户端通过此代理服务器建立与此目的服务器的安全连接时，都不需要对该目的服务器再次进行认证，因此有很好的汇聚作用，可以大大节省网络计算资源。
[0052]针对上述方法，本发明实施例还公开了一种代理服务器，该代理服务器中包括用于客户端与目的服务器进行安全通信的装置。
[0053]图3是本发明实施例提供的代理服务器的硬件结构连接图。
[0054]如图3所示，该代理服务器包括处理器、网络接口、内存和非易失性存储器