CN100440190C - 代理模式安全远程接入方法 - Google Patents

Abstract

本发明公开了一种实现小规模环境下的多个主机通过代理安全出口共享与数据中心间的安全保密通道的代理模式安全远程接入技术。在WIN2000/XP平台下，对已配置为Internet共享的主机实现方便可靠的无缝安全处理，采用支持PCI等多种接口的密码设备达到对该共享通道出入数据的加密保护，在不影响网络拓扑及系统应用的前提了，实现了对多台计算机共享远程安全访问的安全保护。技术核心内容主要由无缝嵌入WIN2000/XP系统内核的安全服务模块、通用计算机PCI等接口的数据密码设备、运行在共享主机上的安全接入软件、用户授权及认证管理软件构成。

Description

代理模式安全远程接入方法

技术领域

本发明涉及网络安全技术领域，具体的说是涉及在小规模环境下，多个主机通过其代理主机的共享安全出口，实现与数据中心间建立安全保密通道的一种代理模式安全远程接入的技术方法。

背景技术

通过代理实现Internet及Intranet访问共享是一种广泛应用的较成熟的技术。但是，在广泛与方便应用的同时，也存在着严重的安全问题。

采用代理主机共享访问外部信息这种模式，在大多数中小型企业、公司及党政系统用户中已经广泛使用。但是，由于这些用户的主机上或多或少的涉及某些重要的敏感信息，虽然也采用了防火墙等措施，实施了一定程度的安全保护。但是，由于公网上的恶意用户手段高超，防不胜防。因此，代理共享系统中的安全隐患问题十分突出。而目前代理共享系统，在信息本身的安全保护方面还仍然是个空白。并且，现有通过代理主机共享访问的方式，在用户管理方面也没有专门的认证授权措施。通常，仅采用MAC地址捆绑的简单方式来进行用户认证，恶意用户完全可以采用数据监听、数据帧重放以及IP仿冒等措施来实现非法共享。

发明内容

本发明的目的：旨在解决采用代理主机共享访问外部信息这种模式所存在的安全隐患，通过在代理主机上无缝嵌入安全保密服务，并通过专用数据加密机实现数据加密，再结合抗重放措施及MAC地址绑定、增加用户的授权程序，在不影响用户已有网络配置的情况下实现代理主机安全共享。

本发明为解决上述技术问题，所采用的技术方案如下：

一种代理模式安全远程接入方法，其特征在于：在代理主机内的系统核心处理模块上无缝嵌入安全保密服务模块，并安装“代理安全远程接入程序”、“用户管理升级授权程序”，通过数据加密机实现数据加密，系统核心处理模块结合抗重放措施、MAC地址绑定、及“用户管理升级授权程序”，与IC卡身份认证相结合，通过“用户管理升级授权程序”增加代理主机的内网合法用户数量，使内部网络合法用户通过代理主机共享安全通道；其工作流程如下：系统核心处理模块依据待处理的IP数据包的IP地址，以及被代理主机基于IP与MAC的安全绑定信息，统一对接收与发送的IP数据包进行透明放行、阻断、加密处理；系统核心处理模块过滤IP数据包、调用加密卡进行加解密处理、以及对代理主机的共享安全出口进行处理；对于系统要求发送的IP数据包，系统核心处理模块根据待处理数据包的IP地址及被代理主机的安全绑定信息送出；“代理安全远程接入程序”通过基于IC卡及数据密码机的硬件设备，完成系统算法加载、用户身份认证，并通过与密钥分发管理中心KDMC三次握手进行密钥协商，然后向系统核心处理模块设置密钥；而“用户管理升级授权程序”则通过与密钥分发管理中心KDMC建立连接、向其发出增加用户数量的授权请求、经该管理中心KDMC授权后代理主机可增加合法用户的数量，实现合法用户共享代理主机的安全通道。

本发明接收、发送IP数据包时，安全保密服务模块根据其IP地址，对系统网络适配器的所有接收与发送的数据包进行过滤，对配置了INTERNET共享的网络适配器进行检测并作出绑定，收到的IP数据包是来自实施了INTERNET共享主机的，依据规则作出是透明放行、阻断或解密处理；否则就是代理主机所提供服务的内网来的数据包，对其直接放行；对要发送的IP数据包，只要是绑定到外网适配器发送的，依据规则对其作出是透明放行、阻断或是加密处理。

本发明系统核心处理模块，对IP数据包作出透明放行、阻断或解密处理所依据的规则，以及加解密处理所用到的密钥，是“代理安全远程接入程序”通过基于IC卡及数据密码机的硬件设备，完成系统算法加载、用户身份认证，并通过与密钥分发管理中心KDMC进行协商产生的；在该程序运行并进行密钥协商之前，系统核心处理模块没有规则及密钥可用，故外网通信处于阻断状态；当“代理安全远程接入程序”通过与密钥分发管理中心KDMC三次握手认证、申请用户规则、申请通信密钥后，将得到的代理主机应该遵循的与外网通信的规则和密钥，设置到系统核心处理模块中，该模块就可以对代理主机同外网的通信进行对应的加密、解密、透明放行、阻断处理，代理主机就建立了与加密机保护网络中心之间的安全通道；

本发明IP数据包传送到系统核心处理模块后，安全保密服务模块根据IP地址过滤以及外网安全绑定判别是进行数据解密处理，或是直接放行；对于外网进入的数据包，根据其IP地址过滤及外网安全绑定判别后，调用数据密码卡对其进行解密处理，或者直接放行，或者拒绝处理；对于系统要求送出的IP数据包，安全保密服务模块根据其IP地址及绑定信息完成过滤，送到外网的信息依据规则可以调用数据密码卡完成加密、或直接放行、或拒绝放行。

本发明的“代理安全远程接入程序”，工作流程如下：

1)连接密钥分发管理中心KDMC；

2)通过与该管理中心KDMC三次握手完成代理主机的身份认证；

3)设置漫游kdmc_ip判别；

4)设置卡机绑定；

5)获取代理主机的IP地址；

6)向该管理中心KDMC发送申请数据加密密钥DEK的请求；

7)读取该管理中心KDMC的回应，从回应中读取密钥DEK；

8)确定是否更新保护密钥KEK，需要更新时则更新KEK，否则进入步骤9)；

9)存储并设置密钥：将经过上述KEK处理的密钥DEK，置入数据加解密处理模块中在后续通信中使用。

本发明的“用户管理升级授权程序”，工作流程如下：

1)显示当前容许用户数；

2)确定是否需要向KDMC申请增加容许用户数量的授权，如果需要，则“用户管理升级授权程序”与密钥分发管理中心KDMC建立联系，发出请求码、请求增加用户数量的密文，接着执行下面步骤；不需要申请增加用户数量，则不必与KDMC建立联系；

3)该管理中心KDMC以三次握手方式与“用户管理升级授权程序”建立连接；

4)该管理中心KDMC做出是否容许增加其用户数量的授权请求决定，如果决定接受其授权请求，则进行下一步；否则直接回应拒绝该请求；

5)该管理中心KDMC向“用户管理升级授权程序”发出容许回应，并用密文给出用户数量；

6)“用户管理升级授权程序”接到容许回应，解出密文，并将用户数写入PSJ311-A型数据密码卡中，作为添加合法用户的数量限度。

本发明系统核心处理模块工作流程如下：

1)、系统加载核心处理模块，为收发网络数据处理分配缓冲；

2)、初始化核心模式线程、同步事件、信号量，完成核心驱动程序注册；

3)、确定代理安全远程接入程序是否要运行，是，则同“代理安全远程接入程序”交互，完成与加解密有关的设置，并执行步骤4)；否则，不必与“代理安全远程接入程序”交互；

4)、对收到的IP数据包，判别该IP数据包是否需要解密，如需要解密则进行解密处理，否则将其直接发给系统上层；对发送的IP数据包，判别是否需要加密，如需要则进行加密处理，否则直接发送给网络适配器。

本发明代理主机使用局域网或调制解调器与通信中心建立安全通信通道，若使用局域网与通信中心建立安全通信通道，终端带有两张以太网卡，其中一张网卡与客户终端处于同一子网内，另一张网卡与接入Internet的路由器处于同一子网内。

本发明有益效果表现在：本发明实现多台主机共享安全出口；采用无缝内核嵌入技术，在网络层实现安全处理，充分满足用户各种应用的安全需求；能够由用户业务自动触发与系统密钥管理中心、中心密码机协商建立安全连接；可以对各个用户主机进行身份认证；实现代理主机的共享用户数量的授权安全管理；所有主机对外只显示代理主机的IP地址，实现各个主机的IP地址保护。

本发明通过在代理主机上无缝嵌入安全保密服务，并通过专用数据加密机实现数据加密，再结合抗重放措施及MAC地址绑定、用户管理升级授权程序，在不影响用户已有网络配置的情况下，实现了代理主机的安全共享。使用本发明的成果，能够为用户在代理共享的应用上提供安全保护措施，特别适用于中小企业、公司及党政系统等小规模网络共享代理安全出口，访问数据中心的场合。

附图说明

图1为本发明系统核心处理模块构造示意框图

图2为本发明工作流程框图

图3为本发明代理安全远程接入程序流程框图

图4为本发明用户管理升级授权程序流程框图

图5为本发明系统核心处理模块工作流程框图

具体实施方式

本发明在现有的WIN2000/XP共享代理安全出口的基础上，增加了无缝嵌入操作系统内核的数据加解密处理模块，并共享用户管理升级授权程序，实现共享安全数据通道，其创新点在于引入了一种新的实现IP层安全的处理模式。

如图1所示，系统核心处理模块在接收到网络送来的IP数据包后，即根据其IP地址过滤及外网卡安全绑定来判别进行何种处理，是进行数据解密处理，还是直接放行处理。对于外网进入的数据包，是调用数据密码卡进行解密处理，还是直接放行，或是拒绝处理。

同样，对于系统要求送出的IP数据包，核心处理模块根据其IP地址及绑定信息完成过滤，送到外网的信息依据规则可以调用数据密码卡完成加密，也可以直接放行，也可以拒绝放行。

所述“代理安全远程接入程序”，通过基于IC卡及数据密码机的硬件设备，完成系统算法加载、用户身份认证，并通过与位于网络中心的密钥分发管理中心(KDMC)实现与中心密码机的相关参数协商，建立并管理安全连接通道。

所述“用户管理升级授权程序”，通过MAC地址绑定与IC卡身份验证相结合的方式，完成代理共享主机的认证，通过用户数量升级请求与授权步骤，完成对共享主机的扩展与管理。

该系统运行需要以下软硬件：一块PSj311-A型PCI数据密码卡，一台数据密码卡读卡器，一根连接数据密码卡与密码卡读卡器的RJ-45-DB9的电缆，一张系统IC卡，一张用户IC卡，一张含有安装与使用说明安全远程接入终端安装程序的CDROM。

安全远程接入代理主机，只能运行在Windows2000和WindowXP操作系统平台上，并且代理主机上应具有至少一个空余的PCI插槽，带有两张以太网卡或一块以太网卡及一个调制解调器。

安全远程接入代理主机，对客户终端的软件没有任何特殊要求，只要求客户终端安装TCP/IP协议，通过局域网与代理主机能正常进行通讯即可。

若代理主机使用局域网与通信中心建立安全通信通道，应保证终端带有两张以太网卡，且都工作正常。其中一张网卡与客户终端处于同一子网内，另一张网卡与接入Internet的路由器处于同一子网内。

若代理主机使用调制解调器与通信中心建立安全通信通道，应保证调制解调器正常工作。

代理主机在完成系统网络配置后，应启用Internet共享功能，配置完成后即可工作。

上述基本配置步骤完成后，安装“代理安全远程接入程序”，完成后将在桌面创建一个代理安全接入的快捷方式。运行该软件，按提示输入PSJ311-A型数据密码卡的启动口令，以及输入KDMC验证口令，就可以通过该软件建立与用户信息中心之间的安全连接。

初始设置能够容许5位用户共享安全数据通道。用户通过安装使用“用户管理升级授权程序”，实现增加容许共享用户的数量。

通过在WIN2000/XP网络属性中添加“安全保密服务模块”，该系统核心处理模块负责对所有出入网络的数据包进行处理。

操作系统(WIN2000/XP)启动时，同时就无缝加载了系统核心处理模块。该模块可以对系统网络适配器所有接收与发送的数据包进行过滤，它对配置了Internet共享的网络适配器(可以是拨号连接、局域网、ISDN、DDN、ADSL等)进行检测并作出绑定。一旦收到的IP数据包是来自实施了Internet共享主机的，则根据规则作出透明放行、阻断或解密的处理；否则就是代理主机所提供服务的内网来的数据包，对其直接放行即可。对于发送也同样，只要是绑定到外网适配器要发出的IP数据包，都根据规则作出透明放行、阻断或加密的处理。否则，简单转发即可。

核心处理模块所依据的规则及加、解密处理所用到的密钥，是通过“代理安全远程接入程序”与远程受加密机保护的网络中心中的KDMC(密钥管理中心)协商完成的。在该程序运行并进行密钥协商之前，系统核心处理模块没有规则以及密钥可用，故对外网通信处于阻断状态。当“代理安全远程程序”通过三次握手、申请用户规则、申请通信密钥后，将得到的代理主机应该遵循的与外网通信的规则(包含代理主机与加密机保护的用户网络中心的秘密通信规则、密钥等)与密钥，设置到系统核心处理模块中。由此，系统核心处理模块就可以对代理主机同外网的通信进行对应的加密、解密、透明放行、阻断等处理。实现与加密机保护的网络中心之间建立安全通道。

在系统初始状态下，没有合法用户被添加并能够使用代理共享安全通道。通过“代理安全远程接入程序”的用户管理功能，管理员可以通过添加用户的方式实现对内部合法用户的许可设置。完成该工作后，内部网络合法用户才能通过代理主机共享安全通道。

当需要扩展内网合法用户的数量时(基本版本的“代理安全远程接入程序”只能够支持5个以内的用户)，可以通过“用户管理升级授权程序”与授权管理中心联系(即代理安全远程接入系统的提供商)，在授权管理中心完成用户认证后，双方通过密文交互请求与回应。从而经过授权管理中心许可后，代理安全远程接入系统将新的用户数量许可写入数据密码卡中，从而升级到对内网更多用户共享安全通道的支持。

Claims (8)

1、一种代理模式安全远程接入方法，其特征在于：在代理主机内的系统核心处理模块上无缝嵌入安全保密服务模块，并安装“代理安全远程接入程序”、“用户管理升级授权程序”，通过数据加密机实现数据加密，系统核心处理模块结合抗重放措施、MAC地址绑定、及“用户管理升级授权程序”与IC卡身份认证相结合，通过“用户管理升级授权程序”增加代理主机的内网合法用户数量，使内部网络合法用户通过代理主机共享安全通道；其工作流程如下：系统核心处理模块依据待处理的IP数据包的IP地址，以及被代理主机基于IP与MAC的安全绑定信息，统一对接收与发送的IP数据包进行透明放行、阻断、加密处理；系统核心处理模块过滤IP数据包、调用加密卡进行加解密处理、以及对代理主机的共享安全出口进行处理；对于系统要求发送的IP数据包，系统核心处理模块根据待处理数据包的IP地址及被代理主机的安全绑定信息送出；“代理安全远程接入程序”通过基于IC卡及数据密码机的硬件设备，完成系统算法加载、用户身份认证，并通过与密钥分发管理中心KDMC三次握手进行密钥协商，然后向系统核心处理模块设置密钥；而“用户管理升级授权程序”则通过与密钥分发管理中心KDMC建立连接、向其发出增加用户数量的授权请求、经该管理中心KDMC授权后代理主机可增加合法用户的数量，实现合法用户共享代理主机的安全通道。

2、根据权利要求1所述的代理模式安全远程接入方法，其特征在于：接收、发送IP数据包时，安全保密服务模块根据其IP地址，对系统网络适配器所有接收与发送的数据包进行过滤处理，对配置了INTERNET共享的网络适配器进行检测并作出绑定，收到的IP数据包是来自实施了INTERNET共享主机的，依据规则作出是透明放行、阻断或解密处理，否则就是代理主机所提供服务的内网来的数据包，对其直接放行；对要发送的IP数据包，只要是绑定到外网适配器发送的，依据规则作出是透明放行、阻断或是加密处理。

3、根据权利要求1或2所述的代理模式安全远程接入方法，其特征在于：系统核心处理模块对IP数据包作出透明放行、阻断或解密处理所依据的规则，以及加解密处理所用到的密钥，是“代理安全远程接入程序”通过基于IC卡及数据密码机的硬件设备，完成系统算法加载、用户身份认证，并通过与密钥分发管理中心KDMC进行协商产生的；在该程序运行并进行密钥协商之前，系统核心处理模块没有规则及密钥可用，故外网通信处于阻断状态；当“代理安全远程接入程序”通过与密钥分发管理中心KDMC三次握手认证、申请用户规则、申请通信密钥后，将得到的代理主机应该遵循的与外网通信的规则和密钥，设置到系统核心处理模块中，该模块就可以对代理主机同外网的通信进行对应的加密、解密、透明放行、阻断处理，代理主机就建立了与加密机保护网络中心之间的安全通道。

4、根据权利要求1或2所述的代理模式安全远程接入方法，其特征在于：IP数据包传送到系统核心处理模块后，安全保密服务模块根据IP地址过滤以及外网安全绑定判别是进行数据解密处理，或是直接放行；对于外网进入的数据包，根据其IP地址过滤及外网安全绑定判别后，调用数据密码卡对其进行解密处理，或者直接放行，或者拒绝处理；对于系统要求送出的IP数据包，安全保密服务模块根据其IP地址及绑定信息完成过滤，送到外网的信息依据规则可以调用数据密码卡完成加密、或直接放行、或拒绝放行。

5、根据权利要求1所述的代理模式安全远程接入方法，其特征在于：所述安装在系统核心处理模块上的“代理安全远程接入程序”，其工作流程如下：

1)连接密钥分发管理中心KDMC；

2)通过与该管理中心KDMC三次握手完成代理主机的身份认证；

3)设置漫游kdmc_ip判别；

4)设置卡机绑定；

5)获取代理主机IP地址；

6)向该管理中心KDMC发送申请数据加密密钥DEK的请求；

7)读取该管理中心KDMC的回应，并从回应中读取加密密钥DEK；

8)确定是否更新保护密钥KEK，需要更新时，则更新KEK；否则进入步骤9)；

9)存储并设置密钥用于后续加解密。

6、根据权利要求1所述的代理模式安全远程接入方法，其特征在于：所述安装在系统核心处理模块上的“用户管理升级授权程序”，其工作流程如下：

1)显示当前容许用户数；

2)确定是否需要向KDMC申请增加容许用户数量的授权，如果需要，则“用户管理升级授权程序”与密钥分发管理中心KDMC建立联系，发出请求码、请求增加用户数量的密文，接着执行下面步骤；不需要申请增加用户数量，则不必与KDMC建立联系；

3)该管理中心KDMC以三次握手方式与“用户管理升级授权程序”建立连接；

4)该管理中心KDMC做出是否容许增加其用户数量的授权请求决定，如果决定接受其授权请求，则进行下一步；否则直接回应拒绝该请求；

5)该管理中心KDMC向“用户管理升级授权程序”发出容许回应，并用密文给出用户数量；

6)“用户管理升级授权程序”接到容许回应，解出密文，并将用户数写入PSJ311-A型数据密码卡中，作为添加合法用户的数量限度。

7、根据权利要求1所述的代理模式安全远程接入方法，其特征在于：系统核心处理模块工作流程如下：

1)、系统加载核心处理模块，为收发网络数据处理分配缓冲；

2)、初始化核心模式线程、同步事件、信号量，完成核心驱动程序注册；

3)、确定代理安全远程接入程序是否运行，是则同“代理安全远程接入程序”交互，完成与加解密有关的设置，并执行步骤4)；否则不必与“代理安全远程接入程序”交互；

4)、对收到的IP数据包，判别该'数据包是否需要解密，如需要解密则进行解密处理，否则直接发往系统上层；对发送的IP数据包，判别该数据包是否需要加密，如需要加密则进行加密处理，否则直接发送给网络适配器。

8、根据权利要求4所述的代理模式安全远程接入方法，其特征在于：代理主机使用局域网或调制解调器与通信中心建立安全通信通道，若使用局域网与通信中心建立安全通信通道，终端带有两张以太网卡，其中一张网卡与客户终端处于同一子网内，另一张网卡与接入Internet的路由器处于同一子网内。

Images