用于数据通信网络的安全方法与流程

本发明创新了一套“用于数据通信网络的安全方法”，属于信息技术领域，可更精确地用于数据通信保护中。

背景技术：

确切地说，本发明是一种可实施的解决互联安全方案的新架构，使用分布式的密钥交换而无需依赖人为管理的公钥基础设施(pki)，除了能通过透明自动的方式对网络通信进行加密外，还可在连接设备之间进行相互身份认证。

本发明是一套设计和开发的通信架构，具有较强的实用性，在使用上具有极大的优势。

本发明是一套完美高效的开发系统，旨在提供数据通信中的安全方法，无论是其功能特性还是产品可靠性，都能为所服务的对象提供极高的稳定性。

技术实现要素：

在题为《端到端的安全通信的方法和设备》的专利文件us20020042875a1展示了一种无需修改应用程序即可为所有联网的应用程序提供安全性的方法。该方法与其他网络协议兼容，如网络地址转换(nat)，互联网控制报文协议(icmp)以及所有运行到安全传输层的服务质量协议(qos)。基于其他协议(如互联网安全协议(ipsec))的通信系统无法实现端到端的安全性，并与nat和icmp等网络协议保持兼容。

题为《虚拟专用网络的自动化操作和安全系统》的专利文件us6751729b1展示了一种节点设备，用于在数据网络上(如互联网或其他公用或专用数据包交换网络)向通过该节点设备和其他节点设备耦合的多台计算机提供安全通信服务。该节点设备包括一个用于将节点设备耦合到数据网络上的网络通信接口，和一个节点设备唯一加密的数据存储装置，还包括一种与网络接口耦合的封装通信服务，该网络接口被配置成通过加密与所有其他节点设备保持通信封装。例如，使用“ipsec”或“pptp(点对点隧道协议)”协议实现加密的通信隧道。节点设备包括用于存储路由数据的路由数据库和与封装通信服务和路由数据库耦合的路由器。路由器可以将通信从一个通信隧道传递到另一条通信隧道。集中式服务器可通过减少或消除节点设备的本地管理来集中控制节点设备。

题为《在虚拟专用网络计算机之间建立安全通信链路而无需用户输入密码的方法》的专利文件us6839759b2展示了一种可在计算机网络上的第一台计算机和第二台计算机之间建立安全通信链路的技术。首先在第一台计算机上启用无需用户输入密码的安全通信模式，建立安全的通讯方式，然后根据启用的安全通信模式，通过计算机网络在第一台计算机和第二台计算机之间建立安全通信链路。安全通信链路是计算机网络上的虚拟专用网络通信链路，其中每个数据包中输入了根据伪随机序列而变化的一个或多个数据值。

题为《基于互联网协议安全策略的虚拟专用网络配置》的专利文件us20130298182a1展示了一种基于互联网安全协议(ipsec)策略的虚拟专用网络(vpn)的配置方法。根据此方法，基于浏览器的网络设备界面显示策略页面，通过该策略页面可以为vpn连接配置各种设置。这些设置包括在网络设备和“对等体”之间建立的互联网安全协议隧道类型。接收与一个或多个配置相对应的一个或多个参数值，并响应创建或修改对应于“vpn”连接的策略文件。该策略文件包含几个与设置相对应的参数值。根据策略文件中包含的参数值，在网络设备和“对等体”之间请求建立“vpn”连接，并从网络设备向“对等体”发送包括策略文件在内的请求。

题为《在分布式计算网络中将虚拟专用网络与虚拟机进行通信耦合的方法和设备》的专利文件us8705513b2展示了在分布式网络计算中将虚拟专用网络与虚拟机进行通信耦合的方法和设备。公开的示例方法包括：接收从虚拟专用网络预配虚拟机的请求、确定分布式计算网络中虚拟机的主机、在主机内创建虚拟机、将虚拟机与分布式计算网络中的虚拟区域的网络交换机进行通信耦合，将路由器的一部分配置为通过本地虚拟网络与虚拟机进行通信耦合，指定路由器内与至少一个虚拟机或与路由器通信耦合的虚拟专用网络关联的地址空间，将路由器的一部分与虚拟专用网络进行通信耦合。

题为《电子文档管理系统的透明加密和解密方法》的专利文件us6185681b1展示了一套加密系统和方法。该加密方法提供了电子文档管理系统中文档的透明加密和解密。加密系统将一个软件模块添加到电子文档管理系统中，该系统捕获文件的输入或输出，并在将控制传递回电子文档管理系统之前对相关文档执行加密功能。

题为《在虚拟专用网络中的计算机之间建立安全通信链路的方法》的专利文件us7188180b2展示了一种可在计算机网络上的第一台计算机和第二台计算机之间建立安全通信链路的技术。首先在第一台计算机上启用无需用户输入密码的安全通信模式。然后根据启用的安全通信模式，通过计算机网络在第一台计算机和第二台计算机之间建立安全通信链路。安全通信链路是计算机网络上的虚拟专用网络通信链路，其中每个数据包中输入了根据伪随机序列而变化的一个或多个数据值。

题为《通过互联网协议对文档数据协议进行透明加密和认证的方法和系统》的专利文件us20050033988a1展示了一种使用安全应用程序处理一个或多个文件的方法。该方法包括将客户端连接到与一台或多台“nas”服务器耦合的“代理”服务器，并从客户端向“代理”服务器请求文件，以及对请求的客户端用户进行身份认证。该方法还包括用户对请求文件的授权；在进行身份认证和授权后，从一个或多个“nas”服务器请求文件；以及从一个或多个存储元素请求文件。该文件通过“nas”服务器从一个或多个存储元素传输到“代理”服务器。该方法确定代理服务器上文件中的标头信息，并基于代理服务器上的标头信息识别策略。该方法还包括根据策略处理文件(如解压缩文件、解密文件和验证文件)，以及将处理过的文件传输到客户端用户。

题为《透明加密的方法和设备》的专利文件us20020112167a1展示了一种保护服务器或其他计算环境上的敏感信息的方法和设备。通过网络耦合接收到服务器系统的多个电子请求并进行评估。该评估查找包括信用卡信息和用户个人信息等敏感信息。当检测到敏感数据时将对其进行加密操作。当敏感数据被传输到服务器系统时，会在服务器系统组件之间传输之前对敏感数据进行加密操作。从服务器系统传输敏感数据时，会在网络耦合之间传输之前解密敏感数据。加密操作还包括“散列”和“散列”加密操作。

题为《透明加密的系统和方法》的专利文件us20060064750a1包括一种系统和方法，其中常规的"ssl(安全套接字)"终端设备仅支持与预定目标地址的安全连接。“ssl”终端设备接受纯文本连接，并将其与到任意端点的安全连接相关联，拦截来自本地子网的连接请求，识别连接的预期目标，并与目标连接和安全网关建立安全连接，以便通过"网关"设备提供连接。“ssl”终端设备识别来自客户端的输出安全连接请求，并拦截该连接请求以识别接收方的目标。“ssl”终端设备使用所识别的目标建立安全连接，并通过将拦截的连接映射到接收方来关联连接。识别的接收方可安全连接到目标，映射可将本地连接从客户端接收的消息的流量映射到目标。

题为《电子文档的安全保护方法》的专利文件cn101710380a公开了一种电子文档的安全保护方法，属于信息安全和计算机软件技术领域。该方法包括以下步骤：a-通过请求密钥加密纯文本以获取加密文件，其中，加密的文件包括通过使用密钥对纯文本进行对称加密而获得的加密文本，以及通过使用密钥二对密钥一进行非对称加密而获得的加密文本；b-使用加密请求部分将加密的文件发送到分类管理部分，由保密管理部分使用与保密二级对应的密钥解密，获取原始文本；c-使用分类管理部对纯文本进行加密以获得分类文档，其中，机密文件包括使用密钥三通过对称加密的纯文本获得的加密文本，以及使用密钥四对密钥三进行非对称加密获得的加密文本；d-使用管理的机密部分将机密文件传送给公共机密文件。本发明可用于电子文档的安全保护。

题为《文档的加密方法》的专利文件cn101819618a公开了与计算机软件和信息安全领域有关的文档加密和方法。该发明基于文件系统的目录系统，对目录(文件夹)进行定位，定义保护区域，链接加密设备，并划分工作区域和加密区域。与加密设备的访问相对应；将保护区域从封闭状态驱动为开放状态，对目录和文件名进行解密和显示，对工作室内文档的加密文本内容进行纯文本解密，“隐藏工作室”文档中的加密文本内容仍保持正常加密状态；与移除加密设备相对应，将保护区域从打开状态转换为封闭状态，对目录和文件名进行加密和隐藏，对文件的纯文本进行加密；在打开状态下对目录进行实时监控，对存储在工作室中文档的加密文件进行自动解密，并自动加密存储在“隐藏工作室”中的纯文本文件。可以调整多个保护区域以链接相对多个加密设备，通过采用不同的控制策略来建立多个用户保护的透明加密环境，可以实现共享保护效果。

题为《在智能移动终端中对文档进行透明加密和解密的系统和方法》的专利文件cn104200176a是关于信息安全中移动互联网应用程序的安全存档问题，该专利文件公开了一种在智能移动终端上进行文档的透明加密和解密的系统和方法。该方法解决了常规加密和解密方案安全性不高、操作复杂的问题。根据该方法，当用户请求访问移动终端的隐私文件时，首先在移动终端与智能手环之间进行相互身份认证，然后通过协商生成对话密钥，认证成功后获得智能手环发送的保护密钥，该保护密钥是一种安装虚拟保护磁盘后虚拟保护磁盘的读写过滤驱动模块，可根据用户的指令类型对虚拟磁盘进行相应的操作，因此可在基于智能手环认证的智能移动终端上对文件进行透明加密和解密操作。在智能移动终端上对文件进行透明加密和解密的系统和方法也可用于对移动终端上的文件进行访问控制。

题为《点对点移动网络上的端到端安全通信》的专利文件us20040025018a1展示了一种系统，其中点对点网络的安全路由协议只需要最终通信节点具有安全关联。该协议由安全路由发现协议和安全消息传输协议(smt)组成，可提供全面的安全性。路由协议通过在主动中断路由操作的对等方的存在下发现一条或多条路由来提供连接信息。路由发现请求从源节点发送到目标节点，目标节点通过请求获取的相同路由发送来进行响应。源节点和目标节点使用共享密钥以验证请求、响应和确定路由的真实性。“smt”协议使用发现的多个路由在多个段中把需要发送的消息分开，并同时通过路线集合对段进行细分。目标节点将反馈发送到源节点，识别接收到的段。源节点使用此信息重新发送尚未接收的段并识别失败的路由。

除上述文件外，以下是其他供参考的专利文件，但与本发明的相关性较小。

题为《互联网协议对文件数据协议进行透明加密和认证的方法和系统》的专利文件us20050033988a1

题为《透明加密的方法和设备》的专利文件us20020112167a1

题为《透明加密的系统和方法》的专利文件us20060064750a1

题为《电子文档的安全保护方法》的专利文件cn101710380a

题为《文档的加密方法》的专利文件cn101819618a

题为《在智能移动终端上对文档进行透明加密和解密的系统和方法》的专利文件cn104200176a

题为《在集成系统中实现透明数据选择性身份认证的控制功能》的专利文件us7266842b2

题为《端到端的网络通信》的专利文件us6885660b2

题为《确保访问通信网络的方法和装置》的专利文件us7152160b2

题为《连接虚拟专用网络以进行安全交易的方法和设备》的专利文件us8239531b1

题为《提供端到端安全解决方案以使用选择性层加密来帮助跨网络加速协议的系统和方法》的专利文件us7360083b1

题为《通过透明安全代理进行网络通信的方法和设备》的专利文件us7506368b1

题为《提供自适应vpn以便在vpn上实现不同级别的安全性的方法和设备》的专利文件us7478427b2

现有技术的缺陷

可以看出，上述已知的专利文件中均不具有本发明的特征。

本领域的技术人员深知，当今应用程序中的安全性是从端到端执行的，也就是说，假设用户可以控制通信参数，则可相互认证并具有保密功能的安全性在应用程序的附近层中执行。此方法的一个示例是“tls”(安全传输层协议)，该协议为应用程序的传输层增加了安全性，并要求对应用程序进行更新以支持新的安全机制并依赖于“pki”。

另一方面，有些"vpn"应用程序通常使用"ipsec"协议，在两个节点之间提供安全的端到端信道。但并非所有互联网提供商的路由器都启用“ipsec”。基于上述原因，“vpn”网络通常是以虚拟网络的方式执行(覆盖)，虚拟网络可以使加密流量像普通应用程序一样通过路由器。无论是使用“ipsec”还是“覆盖”，“vpn”的配置复杂且需要手动设置，因此其使用在internet上并不广泛，尤其是在“对等网络”(p2p-点对点)通信的情况下。

此外，上述操作通常依赖于称为“pki”(公钥基础设施)的信任网络，该网络提供了一种创建信任链的方法，有时仍然通过使用第三方手动颁发的证书完成。

总的来说，互联网上的传统流量(ip/tcp/udp)仍然非常普遍。许多设备仍在运行“telnet”，“ftp”，“http”等，其中“中间人”(mitm)攻击最为常见。

建议的解决方案

鉴于上述技术缺陷，发明人和本领域的相关人员经过大量的调查研究，创造并开发了本发明，设计了“用于数据通信网络的安全方法”，其主要解决方案是一种可在两个设备之间进行安全的端到端透明通信的架构和机制。

本发明提出了一套实用且创新的“用于数据通信网络的安全方法”，此方法是根据最前沿的技术设计并开发的，无论是在互联网上，在“gsm”(全球移动通信系统网络)(4g，5g)上还是在任何其他类型的分组交换计算机网络上，都可在任何数字数据交换中应用。

本架构可选择性地提供这些机制，并且可以在任何网络层中执行，并可由任何通信机制支持，如“ip”(网际互连协议)，“以太网”，“wifi”，“udp(用户数据报协议)”，“tcp(传输控制协议)”等。

提供本架构的机制可以在“硬件”中执行，如“fpga(现场可编程逻辑门阵列)”或“asic(专用集成电路)”中的可编程逻辑。还可以通过软件执行，如操作系统模块，网络接口的“驱动程序”或“固件”，甚至可直接在应用程序中执行。

本架构的一些商业应用包括：

-安全的“m2m(数据算法模型)”，“lot(物联网)”和“p2p”网络(对等网络)；

-使用“sim卡”/“smart卡”的应用程序中的附加安全性；

-蜂窝电话“gsm”，“lte”，“4g”和“5g”的附加安全性；

-互联网上“tcp(传输控制协议)”和“udp(用户数据报协议)”连接的附加安全性；

-设备之间的相互认证机制；

-连接的快速重建机制；

-“家庭银行”应用程序的安全模块机制等。

本发明所述的数据通信网络中的安全方法在概念上非常简单，可行性很高，并具备出色的实用性和功能性，可为已知的安全协议提供创新性解决方案。

附图说明

为了更好地理解本发明的特征，并根据本发明的最佳实施方法，本文附有一组附图，其中以示例的方式(不限于此)展示以下内容：

图1是“tls”(安全传输层协议)(1)安全机制的示意图，图中展示了：运用程序(7)；tls(8)；tcp(9)；ip(10)和以太网(11)。

图2是“ipsec”(互联网安全协议)(2)安全机制的示意图，图中展示了：运用程序(7)；tcp(9)；ipsec(12)；ip(10)和以太网(11)。

图3是“ip”网络(3)中的透明安全机制示意图，以及数据通信网络安全方法(13)的实施，图中展示了：运用程序(7)；tcp(9)；数据通信网络中的安全方法(13)；ip(10)和以太网(11)。

图4是具有已经使用“tls”的应用程序的“ip”网络中的透明安全性机制(4)示意图，以及数据通信网络中的安全方法(13)的实施，图中展示了：运用程序(7)；tls(8)；tcp(9)；ip(10)；数据通信网络安全方法(13)和以太网(11)。

图5是以太网网络(5)中的透明安全机制示意图，以及在数据通信网络(13)中的安全方法的实施，图中展示了：运用程序(7)；tcp(9)；ip(10)；数据通信网络中的安全方法(13)和以太网(11)。

图6是“m2m”和“lot”网络中的透明安全机制(6)示意图，以及数据通信网络中的安全方法(13)的实施，图中展示了：运用程序(7)；udp(14)；6lowpan(15)；ipv6(16)；数据通信网络安全方法(13)和ieee802.15.4(17)。

具体实施方式

根据以上附图所示，本发明“用于数据通信网络的安全方法”是一种可在操作系统的较低层甚至“硬件”或“固件”中执行的机制或框架，可在两个“主机”之间提供保密性和安全的相互身份认证的透明服务。

上述服务以透明的方式进行，且应用程序不需要任何修改即可正确、安全地运行。

数据通信网络中的安全方法(13)在建立连接时使用显式密钥交换，并可使用具有信息协议的分布式数据库，使“主机”可交换其他“主机”的信息。

上述操作仍可以选择性地使用非易失性存储器，以便记住与之通信的“主机”，并重新建立安全的信道。

每个＂主机＂都有公用和专用密钥对，当＂主机＂从非易失性存储器打开或加载时生成该密钥对。当主机尝试与网络中的另一个主机通信时，首先进行密钥交换，以便主机了解其对等体的公钥。一旦两个主机都知道其对等体的公钥，就会执行称为“diffiehellman密钥交换算法”的过程，以建立使用“aes”或类似加密的临时会话密钥。这两个“主机”之间的任何后续连接都使用此过程建立的对称密钥。“主机”可以随时请求恢复此过程，以更改会话密钥。当会话结束时，“主机”将丢弃对称密钥，但可保留其公用和专用密钥以便未来进行身份认证并重建会话。

本架构和其他架构的显著差异在于：其可以在系统的较低层中实施，如操作系统网络堆栈的模块，网络接口驱动程序的部件，甚至可在“硬件”中实施，如“可编程逻辑”，“fpga”或“asic”。在某些操作中，即使重新启动系统(格式化，更新)也可以保留该组件。

此外，非易失性存储器的使用是可选的，非必需的，因为“主机”在每次遇到另一个未知“主机”时都可以重新协商公钥,但可以使用非易失性存储器快速重新建立和"重新认证"之前的会话。

当本发明付诸实施时，可对其结构和形式的某些细节进行修改，但并不意味着背离权利要求中已明确证实的基本原理，因此本文所使用的术语是出于描述的目的而非限制。

权利要求书(按照条约第19条的修改)

1.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，可在操作系统的较低层中实施，如网络堆栈的部件，网络接口驱动程序，“硬件”或“固件”，可或非可编程逻辑，可由任何应用程序或协议支持并作为系统组件进行部署，从而在两个“主机”之间提供诸如保密性和安全的相互身份认证之类的服务。

2.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，使用具有信息协议的分布式数据库，使“主机”能够交换其他“主机”的信息，而不依赖于集中式认证服务。

3.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，对应用程序透明并使用非易失性存储器，以便通知与其通信的“主机”，并重新建立安全的信道。

4.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，通过交换公钥来了解两个“主机”的区分构建系统，执行“diffiehellman密钥交换算法”过程，并通过在此过程中建立的对称密钥建立会话的临时密钥和通信，在重建此过程以更改其密钥的任何时间的任何“主机”中，当会话结束时，“主机”将丢弃对称密钥并保留公用和专用密钥对以进行身份认证和重建将来会话，而不依赖颁发证书来运行。

5.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，本架构可在系统的较低层中执行，如操作系统的网络堆栈的模块，网络接口驱动程序的部件，或在可编程逻辑硬件中执行，从而以格式化或更新形式保留组件，并可由任何通信机制支持。

6.一种用于数据通信网络的安全方法，可在建立连接时在两个设备之间进行安全透明的端到端通信，并使用显式密钥交换的机制或框架，且应用程序不需要任何修改即可正确、安全地运行，其特征在于，使用非易失性存储器，因为“主机”在遇到另一个未知主机时可以重新协商公钥，并使用该存储器快速重建并重新认证先前的会话。