一种基于网关模式下的密码服务安全接入方法及系统与流程

本发明属于云环境中密码服务的安全设计，具体涉及一种基于网关模式下的密码服务安全接入方法及系统。

背景技术：

1、目前，针对新型密码体制，在安全性方面仍有如下缺陷：

2、(1)实例安全：对z算法簇中的每一个算法实例,应该满足分组密码算法的基本安全要求；

3、(2)系统安全：由一个或多个算法实例,无法还原对应的用户密钥和算法生成器,进而无法预测别的算法实例；

4、(3)距离安全：无论用户密钥多相近,其对应的算法实例要无明确关联、对应相同输入的输出无明确关联。

技术实现思路

1、为了克服上述技术的不足，本发明提供了一种基于网关模式下的密码服务安全接入方法及系统，解决在云计算中以虚拟服务形态的应用系统访问密码服务的以下问题：

2、a)应用系统不以明文态数据，在应用系统与密码服务之间进行传递；

3、b)密码服务不能忠实暴露于应用系统；

4、c)支持应用系统对自己指定的密码服务提出计算要求，包括密钥管理。

5、本发明的目的是采用下述技术方案实现的：

6、一种基于网关模式下的密码服务安全接入方法，所述方法包括：

7、基于应用系统的注册信息生成应用系统身份rpf_id；

8、将应用系统身份rpf_id下发至应用系统，并根据应用系统返回的验证结果确定是否重新下发；

9、当接收来自应用系统的密码计算资源登录请求时，对请求登录的用户身份信息进行认证；认证通过，向应用系统返回一次性业务rpf和密码计算资源url，并将应用系统请求访问密码计算资源的消息同步；

10、应用系统基于一次性业务rpf和密码计算资源url发送访问请求，与网关建立连接，实现密码计算资源的调用。

11、优选的，所述基于应用系统的注册信息生成应用系统身份rpf_id包括：

12、根据管控模块注册应用系统的注册信息，随机生成的密钥因素，获得应用系统的身份rpf，记为rpf_id。

13、优选的，所述将应用系统身份rpf_id下发至应用系统，并根据应用系统返回的验证结果确定是否重新下发包括：将rpf_id以离线方式下发，下发内容包括rpf_id程序包和密文包；其中，密文包为用rpf_id加密的最新变更标识；

14、应用系统利用rpf_id解密密文包，对比最新变更标识是否与注册时填写一致；若一致，则rpf_id包正确，否则，需重新申请下发。

15、优选的，所述基于应用系统的注册信息生成应用系统身份rpf_id之前还包括：注册密码计算资源及应用系统。

16、进一步地，所述注册密码计算资源的注册信息包括，密码计算资源的ip地址和端口、密码资源名称crid、设备id。

17、进一步地，所述注册应用系统的注册信息包括：应用系统的名称和ip地址、身份标识appid、软件标识信息组以及注册时长。

18、优选的，所述接收应用系统的密码计算资源登录请求的消息为：appid||rpf_id(appid||r||crid||lt)；

19、其中，appid为应用系统的身份标识；r为随机数，用于防重放攻击，并且为业务rpf生成的部分因素，长度为16字节；crid为用户本次请求所要访问的密码计算资源标识；lt为用户本次请求的使用该密码计算资源的时间周期。

20、进一步地，所述将应用系统请求访问密码计算资源的消息同步至执行模块的同步内容为：appid||crid||cr_url||lt||r||rpf_o；

21、其中，crid为用户本次请求所要访问的密码计算资源标识；lt为用户本次请求的使用该密码计算资源的时间周期；cr_url为密码资源crid配置的url；rpf_o为应用系统本次访问密码计算资源的业务rpf，r为16字节随机数，用于后续操作的防重放攻击。

22、进一步地，所述向应用系统返回一次性业务rpf和密码计算资源url包括：

23、rpf_id(appid||r||r||cr_url||lt||rpf_o)。

24、优选的，所述应用系统基于一次性业务rpf和密码计算资源url发送访问请求，与网关建立连接，实现密码计算资源的调用包括：应用系统向执行模块发送消息进行密码计算资源调用，执行模块验证应用系统的访问权限，验证通过后，将请求转发至密码计算资源，密码计算资源将结果反馈给执行模块，执行模块用rpf_o返回结果消息rpf_o(appid||r’||data’)至应用系统；其中，appid为应用系统的身份标识；r’＝r+1，r为16字节随机数，用于后续操作的放重放攻击；data’为密码作业结果。

25、进一步地，所述应用系统向执行模块发送的消息为：appid||rpf_o(appid||r||cr_url||data)；

26、其中，cr_url为密码资源crid配置的url，data为密码服务请求数据。

27、一种基于网关模式下的密码服务安全接入系统，应用于如权利要求1至11任一所述的密码服务安全接入方法，所述系统包括：在云计算环境中集成密码服务，将管控模块、执行模块部署在一起，并与密码计算资源在同一云计算环境中，

28、管控模块，用于对密码计算资源的注册管理、应用系统注册管理、各类rpf的生成、动态密码服务地址生成、应用系统接入认证服务；

29、执行模块，用于应用系统的接入认证、密码服务代理传递、应用系统和网关间的数据保护服务；

30、其中，管控模块注册密码计算资源及应用系统，基于应用系统的注册信息生成应用系统身份rpf_id；

31、将应用系统身份rpf_id下发至应用系统，并根据应用系统返回的验证结果确定是否重新下发；

32、管控模块当接收来自应用系统的密码计算资源登录请求时，对请求登录的用户身份信息进行认证；认证通过，向应用系统返回一次性业务rpf和密码计算资源url，并将应用系统请求访问密码计算资源的消息同步至执行模块；

33、应用系统基于一次性业务rpf和密码计算资源url向执行模块发送访问请求，与网关建立连接，实现密码计算资源的调用。

34、本发明达到的有益效果是：

35、本发明提出的一种基于网关模式下的密码服务安全接入方法及系统，采用rpf(含z密码算法)机制，在应用系统端以软认证和加密模块的方式，建立与密码服务的认证和数据传输的保护策略，同时z密码算法通过密钥与算法融合的可变密码逻辑，保证不同用户之间的密码算法的逻辑结构都不相同，实现应用系统每次连接密码服务都会得到一个新的z密码算法，达到一连一密的效果。

36、本文件采用sdp机制，在云计算环境中的密码服务与应用系统之间屏蔽了直连的关系，应用系统每次接入密码服务时得到不同的虚拟地址，利用sdp机制实现代理真实连接，达到一次一地址的效果。

技术特征：

1.一种基于网关模式下的密码服务安全接入方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述基于应用系统的注册信息生成应用系统身份rpf_id包括：

3.根据权利要求1所述的方法，其特征在于，所述将应用系统身份rpf_id下发至应用系统，并根据应用系统返回的验证结果确定是否重新下发包括：将rpf_id以离线方式下发，下发内容包括rpf_id程序包和密文包；其中，密文包为用rpf_id加密的最新变更标识；

4.根据权利要求1所述的方法，其特征在于，所述基于应用系统的注册信息生成应用系统身份rpf_id之前还包括：注册密码计算资源及应用系统。

5.根据权利要求4所述的方法，其特征在于，所述注册密码计算资源的注册信息包括，密码计算资源的ip地址和端口、密码资源名称crid、设备id。

6.根据权利要求4所述的方法，其特征在于，所述注册应用系统的注册信息包括：应用系统的名称和ip地址、身份标识appid、软件标识信息组以及注册时长。

7.根据权利要求1所述的方法，其特征在于，所述接收应用系统的密码计算资源登录请求的消息为：appid||rpf_id(appid||r||crid||lt)；

8.根据权利要求7所述的方法，其特征在于，所述将应用系统请求访问密码计算资源的消息同步的同步内容为：appid||crid||cr_url||lt||r||rpf_o；

9.根据权利要求3所述的方法，其特征在于，所述向应用系统返回一次性业务rpf和密码计算资源url包括：

10.根据权利要求1所述的方法，其特征在于，所述应用系统基于一次性业务rpf和密码计算资源url发送访问请求，与网关建立连接，实现密码计算资源的调用包括：应用系统向执行模块发送消息进行密码计算资源调用，执行模块验证应用系统的访问权限，验证通过后，将请求转发至密码计算资源，密码计算资源将结果反馈给执行模块，执行模块用rpf_o返回结果消息rpf_o(appid||r’||data’)至应用系统；其中，appid为应用系统的身份标识；r’＝r+1，r为16字节随机数，用于后续操作的放重放攻击；data’为密码作业结果。

11.根据权利要求10所述的方法，其特征在于，所述应用系统向执行模块发送的消息为：appid||rpf_o(appid||r||cr_url||data)；

12.一种基于网关模式下的密码服务安全接入系统，应用于如权利要求1至11任一所述的密码服务安全接入方法，其特征在于，所述系统包括：在云计算环境中集成密码服务，将管控模块、执行模块部署在一起，并与密码计算资源在同一云计算环境中，

技术总结
本发明提出一种基于网关模式下的密码服务安全接入方法及系统，基于应用系统的注册信息生成应用系统身份RPF_ID；将应用系统身份RPF_ID下发至应用系统，并根据应用系统返回的验证结果确定是否重新下发；当接收来自应用系统的密码计算资源登录请求时，对请求登录的用户身份信息进行认证；认证通过，向应用系统返回一次性业务RPF和密码计算资源URL，并将应用系统请求访问密码计算资源的消息同步；应用系统基于一次性业务RPF和密码计算资源URL发送访问请求，与网关建立连接，实现密码计算资源的调用。通过上述方案保证不同用户之间的密码算法的逻辑结构都不相同，实现应用系统每次连接密码服务都会得到一个新的Z密码算法，达到一连一密的效果。

技术研发人员：袁峰,张立圆,封维端
受保护的技术使用者：北京无字天书科技有限公司
技术研发日：
技术公布日：2024/1/13