专利名称：一种用于c/s架构业务的安全接入系统及相关接入方法
技术领域：
本发明属于互联网通信领域，具体讲涉及一种用于C/S架构业务的安全接入系统及相关接入方法。
背景技术：
随着网络和信息化技术的不断发展，各行业中使用远程终端设备与应用服务器交互的应用使用范围越来越广，如电力、水利、石油等行业测控类工业设备的远程数据传输寸。但目前，没有一款针对远程终端设备安全访问应用服务器的产品。现有的C/S模式中，业务服务器对远程终端设备的身份无法被有效的鉴别，易被非法终端骗取信任，应用服务器与远程业务终端间的数据传输安全没有保障，易被盗取和篡改，这些都将给企业和个人造成大量的损失。
发明内容
为克服上述缺陷，本发明提供了一种用于C/S架构业务的安全接入系统及相关接入方法，可以解决业务服务器与远程业务终端间的数据传输安全没有保障，易被盗取和篡改的问题。为实现上述目的，本发明提供一种用于C/S架构业务的安全接入系统，其包括安全接入网关服务器和终端安全接入单元；其改进之处在于，在原有业务服务器及远程业务终端设备之间串接接入安全接入系统。本发明中的安全接入网关服务器包括身份认证模块1、数据加解密模块1、访问控制模块、接入监视模块和数据转发模块；在密钥协商阶段，所述安全接入网关服务器接收来自于所述终端安全接入单元的数据，通过所述身份认证模块1对终端安全接入单元进行身份鉴别并协商对数据传输保护的密钥，协商成功后进入业务通信阶段；在业务通信阶段，对于业务终端发往业务服务器的数据，所述安全接入网关接收到所述终端安全接入单元发送的数据，通过所述数据加解密模块1对数据进行解密，所述数据转发模块依据所述访问控制模块对远程业务终端访问权限的判定结果将解密后数据交给所述业务服务器；在业务通信阶段，对于业务服务器发往远程业务终端的数据，所述安全接入网关接收到所述业务服务器发送的数据，通过所述数据加解密模块1对通信数据进行加密，所述数据转发模块将加密后的数据交给所述终端安全接入单元；所述接入监视模块监视在安全接入网关服务器中注册过的终端安全接入单元的接入状态。本发明中的终端安全接入单元包括身份认证模块2、数据加解密模块2和数据传输模块；在密钥协商阶段，所述终端安全接入单元通过所述身份认证模块1与所述安全接入网关服务器进行认证并协商密钥，协商成功后进入业务通信阶段；在业务通信阶段，对于远程业务终端发往业务服务器的数据，所述安全接入单元接收到远程业务终端发送的数据，通过所述数据加解密模块2对数据进行加密，所述数据传输模块将加密后的数据传输
4给所述安全接入网关服务器；在业务通信阶段，对于业务服务器发往远程业务终端的数据， 终端安全接入单元接收到安全接入网关发送的数据，通过所述数据加解密模块2对数据进行解密，所述数据传输模块将解密后的数据传输给所述远程业务终端。本发明中的所述安全接入网关和终端安全接入单元支持基于证书的认证方式和基于预置公私钥对的认证方式。本发明还提供一种用于C/S架构业务的安全接入系统的安全接入方法，该方法的工作模式分为身份认证阶段、业务通信阶段和对称认证阶段，其改进之处在于，安全接入方法包括如下步骤1).终端安全接入单元首先进入身份认证阶段，在身份认证阶段，终端安全接入单元向安全接入网关服务器发起认证；2).在身份认证阶段，认证使用基于PKI体制的挑战-应答的协议；3).在身份认证阶段，协商用于数据传输保护的对称密钥，成功完成后进入业务通信阶段；4).在业务通信阶段，当终端安全接入单元接收到远程业务终端的数据后，对数据进行加密，然后将加密数据发送给安全接入网关服务器，安全接入网关服务器接收到来自于终端安全接入单元的数据后，对数据进行解密，并转发给业务服务器；5).在业务通信阶段，安全接入网关服务器获取到业务服务器数据后，对数据进行加密，然后转发给终端安全接入单元；终端安全接入单元将接收到来自于安全接入网关服务器数据后，对数据进行解密，并转发给远程业务终端；6).在终端安全接入单元与安全接入网关通信临时性中断或数据发生加解密错误时进入对称认证阶段，在对称认证阶段，终端安全接入单元向安全接入网关服务器发起认证；7).在对称认证阶段，认证使用基于PKI体制的挑战-应答的协议，完成后进入业务通信阶段；8).在达到对称认证失败阀值或到达非对称认证完成阀值时间后重新进入身份认证阶段；其中，对称认证失败阀值和非对称认证完成阀值时间可在安全接入网关中进行设置。与现有技术比，本发明提供的一种用于C/S架构业务的安全接入系统及相关接入方法，可以应用于使用以太网接口通信、通过串口连接GPRS模块通信等的各类终端设备； 解决了业务服务器与远程业务终端间的双向身份鉴别问题；通过身份认证保证通信双方互相确认对方身份，以防止非法远程终端设备骗取业务服务器的信任，从而盗取和篡改应用服务器的信息或非法业务服务器对远程业务终端进行控制，实行恶意破坏的问题；解决了远程业务终端与业务服务器间数据的安全性问题；通过身份认证后，对系统数据进行加密、 完整性保护，从而保证数据不被盗取和篡改；并且在不改变原有系统的系统架构和极少改变配置的前提下，提供“透明”的保护；安全接入系统支持多种密码算法配用；同时，可通过安全接入网关对在网关中注册过的终端安全接入单元的接入情况进行监视。
图1为用于C/S架构业务的安全接入系统的应用结构示意图。
图2为安全接入方法的流程图。
具体实施例方式如图1所示，在远程业务终端与业务服务器之间部署安全接入系统，远程业务终端与业务服务器之间的身份及所有业务数据通过该系统进行身份鉴别和传输保护。在本发明的第一方面，提供了一种用于C/S架构业务的适用于增强各种远程终端设备安全性的系统。安全接入网关服务器用于鉴别终端设备身份，配合终端设备，使之能与业务服务器间安全的传输数据；终端安全接入单元用于扩展远程终端设备身份认证能力和安全传输能力。其中，终端安全接入单元可以分别为通过以太网接口、RS232串口或光纤接口接收远程业务终端数据的设备，内置硬件加密算法芯片，终端安全接入单元通过身份认证模块与安全接入网关服务器进行认证并协商密钥；协商成功后通过数据加解密模块和传输模块进行数据的加解密和转发，实现远程业务终端侧安全接入系统的安全功能。安全接入网关服务器可以为双以太网接口的服务器，可以通过内置硬件加密卡实现密码算法，安全接入网关服务器通过身份认证模块对终端安全接入单元进行身份鉴别并协商对数据传输保护的密钥；协商成功后通过数据加解密模块和数据传输模块进行数据的加解密和转发；同时，安全接入网关服务器可以监视已注册的终端安全接入单元的接入状态，实现业务服务器侧安全接入系统的安全功能。终端安全接入单元可以支持通过以太网接口、RS232串口、光纤接口实现TCP/IP 通信的各类终端设备连接；安全接入网关服务器支持通过路由方式与业务服务器连接。由安全接入网关服务器和终端安全接入单元构成的安全接入系统可串接于业务服务器与远程业务终端之间，在不改变原有系统的系统架构和且极少改变配置的前提下，提供“透明” 的保护。如图2所示，提出了一种用于C/S架构业务的安全接入系统的安全接入方法，包括步骤如下1).终端安全接入单元首先进入身份认证阶段，在身份认证阶段，终端安全接入单元向安全接入网关服务器发起认证；2).在身份认证阶段，认证使用基于PKI体制的挑战-应答的协议；3).在身份认证阶段，协商用于数据传输保护的对称密钥，成功完成后进入业务通信阶段；4).在业务通信阶段，当终端安全接入单元接收到远程业务终端的数据后，对数据进行加密，然后将加密数据发送给安全接入网关服务器，安全接入网关服务器接收到来自于终端安全接入单元的数据后，对数据进行解密，并转发给业务服务器；5).在业务通信阶段，安全接入网关服务器获取到业务服务器数据后，对数据进行加密，然后转发给终端安全接入单元；终端安全接入单元将接收到来自于安全接入网关服务器数据后，对数据进行解密，并转发给远程业务终端。6).在终端安全接入单元与安全接入网关通信临时性中断或数据发生加解密错误时进入对称认证阶段，在对称认证阶段，终端安全接入单元向安全接入网关服务器发起认证。
7).在对称认证阶段，认证使用基于PKI体制的挑战-应答的协议，完成后进入业务通信阶段；8).在达到对称认证失败阀值或到达非对称认证完成阀值时间后(对称认证失败阀值和非对称认证完成阀值时间可在安全接入网关中进行设置)，重新进入身份认证阶段。9)在整个过程中，安全接入网关可以监视已注册终端安全接入单元的接入状态， 并记录详细的审计信息用于事后查询。所述安全接入方法的具体步骤如下1.身份认证，身份认证方式有两种方式基于证书的PKI认证方式；基于预置公私钥对的PKI认证方式；基于证书的PKI认证方式步骤1)终端安全接入单元A向安全接入网关服务器B发送认证请求clientHello消息，clientHello消息中包含了 A的认证方式、A支持的算法和A产生的随机数挑战；2)B接收到A的clientHello消息后对算法进行确认，对A产生的随机数挑战进行签名应答，并产生一个随机数挑战连同签名应答形成serverifello消息发送给A，同时B将自己的证书发送给A ；3)当A接收到B的证书和serverifello消息后，包含以下子流程a)对B的证书进行验证；b)从验证通过的证书中提取公钥对随机数的签名值进行验证；c)使用私钥对B产生的随机数进行签名应答；d)产生一个对称密钥，并用B的公钥对密钥进行加密保护；e)将签名应答及受B公钥保护的密钥形成ClientKeyExchange消息发送给B，同时A将自己的证书发送给B;4)当B接收到A的证书和ClientKeyExchange消息后，包含以下子流程a)对A的证书进行验证；b)从验证通过的证书中提取公钥对随机数的签名值进行验证；c)验证签名值成功后，使用私钥对A产生的密钥进行解密；d)最后将认证成功的Finish消息发送给A ；
基于预置公私钥对的PKI认证方式步骤1)终端安全接入单元A向安全接入网关服务器B发送认证请求clientHello消息，clientHello消息中包含了 A的认证方式、A支持的算法和A产生的随机数挑战；2)B接收到A的clientHello消息后对算法进行确认，对A产生的随机数挑战进行签名应答，并产生一个随机数挑战连同签名应答形成serverifello消息发送给A ；3)当A接收到B的证书和serverifello消息后，包含以下子流程a)从预置B的证书中提取公钥对随机数的签名值进行验证；b)使用私钥对B产生的随机数进行签名应答；c)产生一个对称密钥，并用B的公钥对密钥进行加密保护；d)将签名应答及受B公钥保护的密钥形成ClientKeyExchange消息发送给B，同时A将自己在B中预置公钥所对应的ID值方式给A ；
7
4)当B接收到A的证书和ClientKeyExchange消息后，包含以下子流程a)根据A发送的ID值取出A预置在B中的公钥；b)取出公钥成功后，用该公钥对随机数的签名值进行验证；c)验证签名值成功后，使用私钥对A产生的密钥进行解密；d)最后将认证成功的Finish消息发送给A ；5)完成非对称认证后，终端安全接入单元与安全接入网关相互发送change cipher_spec消息，通知对方用协商的密钥进行加密解密。然后，由终端安全接入单元A向安全接入网关服务器B发起代理方式协商消息，B接收到消息后确认代理方式并回复A。2.单向身份认证1)在终端安全接入单元与安全接入网关通信临时性中断或数据发生加解密错误时进入对称认证阶段，在对称认证阶段，终端安全接入单元向安全接入网关服务器发起认证，认证采用使用上述步骤中所协商的对称密钥做MAC运算的方式进行。2)完成对称认证后，终端安全接入单元与安全接入网关相互发送change cipher_spec消息，通知对方用协商的密钥进行加密解密。然后，由终端安全接入单元A向安全接入网关服务器B发起代理方式协商消息，B接收到消息后确认代理方式并回复A。3.业务通信当代理方式协商成功后，终端安全接入单元A接收到远程业务终端C的应用数据， 将数据加密后转发给安全接入网关服务器B，B接收到来自于A的数据后，将数据解密并转发给业务服务器S。B获取到S的数据，将数据加密后转发给A，A接收到来自于B的数据后，将数据解密并转发给C。本发明解决了使用C/S架构的业务模式下客户端与服务器间的安全访问问题，主要有以下优点1)解决了客户端与服务器的双向身份认证问题。通过身份认证远程业务终端与应用服务器互相确认对方身份，以防止有一方身份被冒用。2)解决了远程业务终端设备与业务服务器间数据安全性问题。通过安全接入系统的业务数据全部经过机密性和完整性保护，从而保证数据不被监听和篡改。3)保持了原有业务系统的系统构架。安全接入网关服务器和终端安全接入单元构成的安全接入系统可串接于业务服务器与客户端之间，在不改变原有系统的系统架构和极少改变配置的前提下，提供“透明”的保护。需要声明的是，本发明内容及具体实施方式
意在证明本发明所提供技术方案的实际应用，不应解释为对本发明保护范围的限定。本领域技术人员在本发明的精神和原理启发下，可作各种修改、等同替换、或改进。但这些变更或修改均在申请待批的保护范围内。
8
权利要求
1.一种用于C/S架构业务的安全接入系统，其包括安全接入网关服务器和终端安全接入单元；其特征在于，业务服务器、所述安全接入系统，所述远程业务终端设备依次连接。
2.根据权利要求1所述的安全接入系统，其特征在于，所述安全接入网关服务器，包括身份认证模块1、数据加解密模块1、访问控制模块、接入监视模块和数据转发模块；在密钥协商阶段，所述安全接入网关服务器接收来自于所述终端安全接入单元的数据，通过所述身份认证模块1对终端安全接入单元进行身份鉴别并协商对数据传输保护的密钥，协商成功后进入业务通信阶段；在业务通信阶段，对于业务终端发往业务服务器的数据，所述安全接入网关接收到所述终端安全接入单元发送的数据，通过所述数据加解密模块1对数据进行解密，所述数据转发模块依据所述访问控制模块对远程业务终端访问权限的判定结果将解密后数据交给所述业务服务器；在业务通信阶段，对于业务服务器发往远程业务终端的数据，所述安全接入网关接收到所述业务服务器发送的数据，通过所述数据加解密模块1 对通信数据进行加密，所述数据转发模块将加密后的数据交给所述终端安全接入单元；所述接入监视模块监视在安全接入网关服务器中注册过的终端安全接入单元的接入状态。
3.根据权利要求1所述的安全接入系统，其特征在于，所述终端安全接入单元包括身份认证模块2、数据加解密模块2和数据传输模块；在密钥协商阶段，所述终端安全接入单元通过所述身份认证模块1与所述安全接入网关服务器进行认证并协商密钥，协商成功后进入业务通信阶段；在业务通信阶段，对于远程业务终端发往业务服务器的数据，所述安全接入单元接收到远程业务终端发送的数据，通过所述数据加解密模块2对数据进行加密， 所述数据传输模块将加密后的数据传输给所述安全接入网关服务器；在业务通信阶段，对于业务服务器发往远程业务终端的数据，终端安全接入单元接收到安全接入网关发送的数据，通过所述数据加解密模块2对数据进行解密，所述数据传输模块将解密后的数据传输给所述远程业务终端。
4.根据权利要求1-3所述的安全接入系统，其特征在于，所述安全接入网关和终端安全接入单元支持基于证书的认证方式和基于预置公私钥对的认证方式。
5.根据1-4项权利要求任一项所述的用于C/S架构业务的安全接入系统的安全接入方法，其特征在于，所述安全接入方法包括如下步骤1).终端安全接入单元首先进入身份认证阶段，在身份认证阶段，终端安全接入单元向安全接入网关服务器发起认证；2).在身份认证阶段，认证使用基于PKI体制的挑战-应答的协议；3).在身份认证阶段，协商用于数据传输保护的对称密钥，成功完成后进入业务通信阶段；4).在业务通信阶段，当终端安全接入单元接收到远程业务终端的数据后，对数据进行加密，然后将加密数据发送给安全接入网关服务器，安全接入网关服务器接收到来自于终端安全接入单元的数据后，对数据进行解密，并转发给业务服务器；5).在业务通信阶段，安全接入网关服务器获取到业务服务器数据后，对数据进行加密，然后转发给终端安全接入单元；终端安全接入单元将接收到来自于安全接入网关服务器数据后，对数据进行解密，并转发给远程业务终端；6).在终端安全接入单元与安全接入网关通信临时性中断或数据发生加解密错误时进入对称认证阶段，在对称认证阶段，终端安全接入单元向安全接入网关服务器发起认证；7).在对称认证阶段，认证使用基于PKI体制的挑战-应答的协议，完成后进入业务通信阶段；8).在达到对称认证失败阀值或到达非对称认证完成阀值时间后重新进入身份认证阶段；其中，对称认证失败阀值和非对称认证完成阀值时间可在安全接入网关中进行设置。
全文摘要
本发明提供了一种用于C/S架构业务的安全接入系统及相关接入方法，所述业务系统及安全接入系统包括远程业务终端、所述安全接入系统包括安全接入网关服务器和终端安全接入单元、业务服务器依次连接。所述方法包括身份认证、协商用于单向认证和数据传输保护的密钥、对称认证、基于PKI体制的挑战-应答协议、所述远程业务终端和业务服务器之间的安全数据传输。本发明提供的用于C/S架构业务的安全接入系统及相关接入方法，解决了业务服务器与远程终业务终端间无法确认对方身份、传输的数据可能被盗取和篡改的问题。
文档编号H04L29/06GK102413144SQ201110398830
公开日2012年4月11日 申请日期2011年12月5日 优先权日2011年12月5日
发明者吴立斌, 张波, 方鸣睿, 杨宇, 汪仕兵, 秦凯, 赵保华, 郑晓崑 申请人:中国电力科学研究院, 成都卫士通信息产业股份有限公司