CN100583891C - 一种通讯加密的方法与系统 - Google Patents

Abstract

本发明公开了一种通讯加密的方法与系统，所述方法包括步骤：A、主机A上的应用客户端模块向本地的SSH安全代理模块发送代理请求，要求连接目标主机B；B、SSH安全代理模块解析代理请求，根据解析出的目标主机的IP地址，获知主机A的应用客户端模块要连接的目标主机为主机B后，向主机B发起连接请求，并请求建立端口转发隧道；C、目标主机B接收到连接请求后，建立安全隧道，主机A和目标主机B通过安全隧道传输数据。所述的系统包括：一台主机，至少一台目标主机，所述主机上包括应用客户端模块和SSH安全代理模块，目标主机上包括SSH Server模块和应用服务端模块。采用上述方法与系统，可实现点到点或点到多点访问时的通讯加密。

Description

一种通讯加密的方法与系统

技术领域

本发明属于通信技术领域，尤其涉及一种通讯加密的方法与系统。

背景技术

在移动通信网络中，核心网侧的网元设备已趋向于采用基于IP的方式进行通讯。由于IP协议在最初设计时是应用于实验室环境中的，而不是开放网络中，其优点在于充分的开放透明性与灵活有效的多业务增值能力。然而，正是由于它的开发透明性，使得IP报文在传输过程中都是以明文的方式进行的，进而导致了数据在传输的过程中很容易遭到攻击。

当前移动网络中的网络设备在建设初期由于网络使用比较单一，存在的安全问题比较少，所以在设计系统时往往没有考虑在数据传输时进行加密。但是随着IP网络在移动设备之间的广泛应用，加上IP网络的组网结构日益复杂，黑客攻击、病毒发作、网络窃听等各种网络安全事件不断滋生，对网络设备之间通过IP网络传输的数据进行加密是已成为最棘手，同时也是最难解决的问题。

SSH(secure shell)的提出在很大程度上解决了IP协议中的安全性问题，它是IETF(Internet Engineering Task Force，国际互联网标准化组织)所制定的一族协议，其目的是要在非安全网络上提供安全的远程登录和其他安全网络服务。SSH是一种通用、功能强大的基于软件的网络安全解决方案，计算机每次向网络发送数据时，SSH都会自动对其进行加密。数据到达目的地时，SSH自动对加密数据进行解密，整个过程都是透明的。它使用了现代的安全加密算法，使得数据在传输时的安全性得到了保证。

在现有技术中通常采用标准的SSH客户端(SSH Client)与SSH服务端(SSHServer)来实现对应用程序socket传输加密，这是主要是利用了SSH支持端口转发的功能。为支持此功能，需要在客户端做一定的配置。

例如，参见图1所示，主机A上包含应用客户端模块与SSH Client模块，主机B上包含应用服务端模块与SSH Server模块。主机A的IP地址为10.2.1.3，主机B的IP地址为10.2.1.4，当采用上述的应用客户端模块和应用服务端模块来实现从主机A到主机B之间的访问端口加密时，需首先在主机A上已经启用的SSHClient模块，并配置如下参数：

-L 80:10.2.1.4:80

以上参数中，-L表示启动监听转发，第一个“80”表示本地监听端口，“10.2.1.4”表示准备连接的远端目标主机B的IP地址，第二个“80”表示服务端将加密数据解密还原后的目标端口号。

执行以上参数配置后，在本地启动了80端口的监听，默认绑定的地址为本地地址(127.0.0.1)，所有连接到本地80端口的访问都会转发到主机B。

由于主机A的应用客户端模块和主机B的应用服务端模块之间的通讯数据是通过SSH Client模块与SSH Server模块进行转发的，而SSH Client模块与SSHServer模块之间通过标准的SSH协议和相关加密算法可保障数据是被安全加密的。

上述标准的SSH协议是建立在应用层和传输层基础上的安全协议，它主要由以下三部分组成：

传输层协议，它提供诸如认证、信任和完整性检验等安全措施，此外它还可以提供数据压缩功能，通常情况下，这些传输层协议都建立在面向连接的TCP数据流之上；

用户认证协议，用来实现服务器跟客户端用户之间的身份认证，它运行在传输层协议之上；

连接协议，分配多个加密通道至一些逻辑通道上，它运行在用户认证协议之上。

SSH协议通过以上三个组成部分，共同实现SSH的安全保密机制。

上述方案虽然能够实现从主机A到主机B的安全访问，但是还存在以下缺陷：

如果主机A通过加密方式访问目标主机B的80端口后，需要在主机A上继续使用加密方式访问目标主机C的80端口则无法实现，即无法实现点到多点的传输加密。

这是因为所有目标主机的IP地址都与本地地址(127.0.0.1)对应，如果设置不同的目标主机进行相同的端口转发，会导致本地地址重复设置引起冲突，也就是第二个目标主机的相同端口连接配置将无法生效。这是因为通常采用SSH协议进行加密通讯时考虑的是单机对单机，即点对点的转发连接，而没有考虑单机到多机，也即点到多点的转发连接。

发明内容

本发明提供了一种通讯加密的方法与系统，以解决上述采用SSH协议在从一台主机到另一台主机进行加密通讯的过程中，不能实现对其他主机进行加密访问的问题。

本发明的实施例提供了一种通讯加密的方法，该方法包括以下步骤：

A、主机A上的应用客户端模块向SSH安全代理模块发送代理请求，要求连接目标主机B；

B、SSH安全代理模块解析代理请求，根据解析出的目标主机的IP地址，获知主机A的应用客户端模块要连接的目标主机为主机B后，向主机B发起连接请求，并请求建立端口转发隧道；

C、目标主机B接收到连接请求后，建立安全隧道，主机A和目标主机B通过安全隧道传输数据。

本发明的实施例还提供了一种通讯加密的系统，该系统包括：一台主机，至少一台目标主机，所述主机上包括应用客户端模块和SSH安全代理模块，目标主机上包括SSH Server模块和应用服务端模块；

所述应用客户端模块，用于向SSH安全代理模块发送代理请求或数据，并接收从SSH安全代理模块转发过来的数据；

所述SSH安全代理模块，用于解析应用客户端模块发送的代理请求，根据代理请求解析出的目标主机的IP地址和端口号，与目标主机的SSH Server模块建立端口转发隧道，并转发主机的应用客户端模块与目标主机之间通讯的数据；

所述SSH Server模块，用于转发目标主机的应用服务端模块与SSH安全代理模块之间通讯的数据；

所述应用服务端模块，用于接收来自应用客户端模块的数据，并通过SSHServer模块向主机发送数据。

其中，所述SSH安全代理模块包括安全代理协议模块和SSH Client功能模块；

安全代理协议模块用于解析主机的应用客户端模块发送的代理请求，并将解析出的应用客户端模块准备连接的目标主机的IP地址和端口号发送给SSHClient功能模块；

SSH Client功能模块用于向目标主机上的SSH Server模块发起连接请求，并建立主机和目标主机之间的端口转发隧道。

从以上技术方案可以看出，本发明不再采用常规的SSH Client模块在启动时建立端口监听的方式进行转发，而是通过SSH安全代理模块解析出应用客户端模块需要连接的目标主机的IP地址和端口来连接到目标主机，如此一来就不必事先配置类似-L 80:10.2.1.4:80这样的监听参数，避免了连接多个目标主机的相同端口导致的本地地址重复问题，从而实现了一台主机对多台主机访问时的通讯加密。

附图说明

图1为现有技术中实现从主机A到目标主机B的加密通讯的示意图；

图2为实现本发明实施例中实现两个主机间的加密通讯的示意图；

图3为实现本发明实施例中自定义的安全代理协议模型；

图4为实现本发明实施例一实现点到点加密通讯的示意图；

图5为实现本发明实施例二实现点到多点加密通讯的示意图。

具体实施方式

本发明提供一种实现通讯加密的方案，在该方案中，通过SSH安全代理模块解析出应用客户端模块需要连接的目标主机的IP地址和端口来连接到目标主机，可实现从一台主机到单台或多台目标主机访问的通讯加密，在此将从一台主机到单台目标主机的访问称为点到点的访问，将从一台主机到多台目标主机的访问称为点到多点的访问。通过该方案，可解决传统的采用SSH协议在进行点到多点访问时由于本地地址冲突而导致连接失败的问题。

为此本发明的实施例提供一种通讯加密的系统，该系统包括：一台主机，一台或多台目标主机，下面以系统有一台目标主机的情况为例进行说明。

参见图2所示，假设有两台主机，主机二为目标主机。主机一上包括应用客户端模块和SSH安全代理模块，其中SSH安全代理模块包括安全代理协议模块和SSH Client功能模块。主机二上包括应用服务端模块和SSH Server模块。主机一的应用客户端模块与SSH安全代理的安全代理协议模块间通过自定义的协议进行通讯，自定义的协议模型参见图3所示，其工作流程主要包括以下步骤：

步骤301：SSH安全代理模块的安全代理协议模块在目标端口监听，等待主机一的应用客户端模块发起连接。

步骤302：主机一上的应用客户端模块向安全代理协议模块发起一条Socket连接；

Socket在计算机中提供了一个通信端口，可以通过这个端口与任何一个具有Socket接口的计算机通信，应用程序在网络上传输，接收的信息都通过这个Socket接口来实现。

步骤303：主机一的应用客户端模块连接到安全代理协议模块的目标端口后，向安全代理协议模块发送请求连接消息，该请求连接消息中包括目标主机二的IP地址和端口号；

在步骤303的向安全代理协议模块发送请求连接消息之前，需预先在主机一的应用客户端模块中设置欲连接的目标主机的IP地址和端口号。

步骤304：安全代理协议模块通过解析请求连接消息，获得所述应用客户端模块准备连接的目标主机二的IP地址和端口，安全代理协议模块将目标主机二的IP地址和端口发送给SSH安全代理模块中的SSH Client功能模块，并通过SSHClient功能模块向该目标主机二发起连接。

步骤305：应用客户端模块向安全代理协议模块发送数据。

步骤306：安全代理协议模块将数据转发给SSH Client功能模块，由SSHClient功能模块将数据转发到目标主机二。

步骤307：SSH Client功能模块接收从目标主机二返回的数据，并将数据转发给安全代理协议模块，由安全代理协议模块将数据转发给主机一的应用客户端模块。

可见此方法不再采用常规的SSH Client模块在启动时建立端口监听的方式进行转发，而是通过SSH安全代理模块解析出主机的应用客户端模块需要连接的目标主机的IP地址和端口来连接到目标主机，这样就不必事先在主机上配置类似-L 80:10.2.1.4:80这样的监听参数，也就避免了连接多个目标主机的相同端口导致本地地址重复的问题。

所述协议并不局限于上述流程，只要能实现将目标主机的IP地址和端口发送给SSH安全代理模块，并通过SSH安全代理模块与目标主机之间互发数据即可。

所述的主机二上包括SSH Server模块和应用服务端模块，SSH Server模块用于解析请求访问的主机一发送过来的数据并发送给主机二的应用服务端模块，并将应用服务端模块发送的数据转发给主机一。

所述主机一的SSH安全代理模块中的SSH Client功能模块与所述目标主机上的SSH Server模块通过标准的SSH协议进行通讯，通过SSH Client功能模块与SSH Server模块建立的安全通道，将主机一应用客户端模块发往主机二的通信数据进行加密。

所述主机一的SSH安全代理模块包括安全代理协议模块和SSH Client功能模块，安全代理协议模块调用SSH Client功能模块，通过SSH Client功能模块中的远端连接功能单元与目标主机的SSH Server模块建立连接并将来自访问主机应用客户端模块的数据转发到目标主机。

通过上述系统，本发明的实施例提供了一种点到多点通讯加密的方法，参见图4所示，当目标主机为一台时，本发明所述方法的实施例一，即点到点的通信加密通过如下步骤实现：

步骤401：主机A上的应用客户端模块使用安全代理协议向本地的SSH安全代理模块发送代理请求，要求连接主机B。

所述的主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块发送代理请求，具体为：主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块中的安全代理协议模块发送代理请求，将目标主机B的IP地址以及端口号通过代理请求消息发送给SSH安全代理模块中安全代理协议模块。所述的安全代理协议为自定义的代理请求通讯协议，在上文中已经描述，所以在此不再详述，协议的模型参见图3所示。

步骤402：SSH安全代理模块解析代理请求，根据解析出的目标主机的IP地址，获知应用客户端模块要连接的目标主机为B，然后通过SSH标准协议向目标主机B上的SSH Server模块发起连接请求，并请求建立端口转发隧道。

所述的SSH安全代理模块解析代理请求，实际上是SSH安全代理模块中的安全代理协议模块解析得到应用客户端模块准备连接的目标主机的IP地址和端口号，获知应用客户端模块要连接的目标主机为B，然后安全代理协议模块调用SSH安全代理模块中的SSH Client功能模块，将目标主机的IP地址和端口号发送给所述SSH Client功能模块中的远端连接功能单元，通过此功能单元向目标主机B上的SSH Server模块发起连接请求，并建立端口转发隧道。

步骤403：目标主机B上SSH Server模块接收到隧道请求后，建立安全隧道，并将应用客户端模块的连接请求转发到目标主机的应用服务端模块，此过程由标准的SSH协议来完成。于是主机A上的应用客户端模块和目标主机B上的应用服务端模块建立了通讯连接，后续数据通过安全隧道来保障传输都是被安全加密的。

由于本发明主要目的是，在不中断正在进行的从访问主机到目标主机的加密通讯的过程中，可以实现从访问主机到其他目标主机的加密通讯，所以参见图5所示，当目标主机为两台时，本发明所述方法的实施例二，即点到多点的通信加密通过如下步骤实现：

步骤501：主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块发送代理请求，要求连接主机B。

所述的主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块发送代理请求，具体为：主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块中的安全代理协议模块发送代理请求，将目标主机B的IP地址以及端口号通过代理请求消息发送给安全代理协议模块。所述的安全代理协议为自定义的代理请求通讯协议，在上文中已经描述，所以在此不再详述，协议的模型参见图3所示。

步骤502：SSH安全代理模块解析代理请求，根据解析出目标主机的IP地址，获知应用客户端模块要连接的目标主机为B，然后通过SSH标准协议向目标主机B上的SSH Server模块发起连接请求，并请求建立端口转发隧道。

所述的SSH安全代理模块解析代理请求，实际上是SSH安全代理模块中的安全代理协议模块解析得到应用客户端模块准备连接的目标主机的IP地址和端口号，获知应用客户端模块要连接的目标主机为B，然后安全代理模块调用SSH安全代理模块中的SSH Client功能模块，将目标主机的IP地址和端口号发送给SSH Client功能模块中的远端连接功能单元，通过此功能单元向目标主机B上的SSH Server模块发起连接请求，并建立端口转发隧道。

步骤503：目标主机B上SSH Server模块接收到隧道请求后，建立安全隧道，并将应用客户端模块的连接请求转发到目标主机的应用服务端模块，此过程由标准的SSH协议来完成。于是主机A的应用客户端模块和目标主机B上的应用服务端模块建立了通讯连接，后续数据通过安全隧道来保障传输都是被安全加密。

步骤504：主机A上的应用客户端模块继续向本地的SSH安全代理模块发送代理请求，要求连接主机C。

所述SSH安全代理模块中的SSH Client功能模块可同时连接多个目标主机，且安全代理协议模块可接受一台访问主机对不同的被访问目标主机发送的代理请求。所述的主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块发送代理请求，实际上是在主机A不中断与目标主机B正在进行加密通讯的情况下，主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块中的安全代理协议模块发送代理请求，将目标主机C的IP地址以及端口号通过代理请求消息发送给安全代理协议模块。所述的安全代理协议为自定义的代理请求通讯协议，在上文中已经描述，所以在此不再详述，协议的模型参见图3所示。

步骤505：SSH安全代理模块解析代理请求，获知应用客户端模块要连接的目标主机为C，然后向目标主机C上的SSH Server模块发起连接请求，并请求建立端口转发隧道，此请求由标准的SSH协议来完成。

所述的SSH安全代理模块解析代理请求，实际上是SSH安全代理模块中的安全代理协议模块解析得到应用客户端模块准备连接的目标主机的IP地址和端口号，获知应用客户端模块要连接的目标主机为C，然后安全代理协议模块调用SSH安全代理模块中的SSH Client功能模块，将目标主机的IP地址和端口号发送给SSH Client功能模块中的远端连接功能单元，由于此连接功能单元可实现同时与多个目标主机进行连接的功能，所以通过此功能单元向目标主机C上的SSHServer模块发起连接请求，并建立端口转发隧道

步骤506：目标主机C上SSH Server模块接收到隧道请求后，建立安全隧道，并将应用客户端模块的连接请求转发到目标主机的应用服务端模块，此过程由标准的SSH协议来完成。于是主机A的应用客户端模块和主机C上的应用服务端模块建立了通讯连接，后续数据传输通过安全隧道加密。

在主机A与主机B断掉通讯时，或者在主机A与主机B进行加密通讯的过程中，主机A可通过上述方式继续连接到其它目标主机。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1、一种通讯加密的方法，其特征在于，该方法包括以下步骤：

A1、主机A上的应用客户端模块向SSH安全代理模块发送代理请求，要求连接目标主机B；

B1、SSH安全代理模块解析代理请求，根据解析出的目标主机的IP地址，获知主机A的应用客户端模块要连接的目标主机为主机B后，向主机B发起连接请求，并请求建立端口转发隧道；

C1、目标主机B接收到连接请求后，建立安全隧道，主机A和目标主机B通过安全隧道传输数据。

2、根据权利要求1所述的方法，其特征在于，在主机A与目标主机B断掉通讯后，或主机A与目标主机B正在进行加密通讯的过程中，所述的方法进一步包括：

A2、主机A上的应用客户端模块向SSH安全代理模块发送代理请求，要求连接目标主机C；

B2、SSH安全代理模块解析代理请求，根据解析出的目标主机的IP地址，获知主机A的应用客户端模块要连接的目标主机为主机C后，向主机C发起连接请求，并请求建立端口转发隧道；

C2、目标主机C接收到连接请求后，建立安全隧道，主机A和目标主机C通过安全隧道传输数据。

3、根据权利要求1所述的方法，其特征在于，步骤A1所述的主机A上的应用客户端模块向SSH安全代理模块发送代理请求具体包括：主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块中的安全代理协议模块发送代理请求，将要求连接的目标主机B的IP地址以及端口号通过代理请求消息发送给安全代理协议模块。

4、根据权利要求3所述的方法，其特征在于，步骤B1所述的向主机B发起连接请求具体包括：安全代理协议模块调用SSH安全代理中的SSH Client功能模块，将目标主机的IP地址以及端口号发送给SSH Client功能模块中的远端连接功能单元，通过所述的远端连接功能单元向目标主机B上的SSH Server模块发起连接请求。

5、根据权利要求4所述的方法，其特征在于，步骤C1具体包括：目标主机B上的SSH Server模块接收到连接请求后，建立安全隧道，并将主机A的应用客户端模块的连接请求转发到目标主机上的应用服务端模块，于是主机A的应用客户端模块与目标主机B上应用服务端模块建立了通讯连接，主机A与目标主机B之间的数据通过安全隧道来进行传输。

6、根据权利要求2所述的方法，其特征在于，步骤A2所述的主机A上的应用客户端模块向SSH安全代理模块发送代理请求具体包括：主机A上的应用客户端模块通过安全代理协议向本地的SSH安全代理模块中的安全代理协议模块发送代理请求，将要求连接的目标主机C的IP地址以及端口号通过代理请求消息发送给安全代理协议模块。

7、根据权利要求6所述的方法，其特征在于，步骤B2所述的向主机C发起连接请求具体包括：安全代理协议模块调用SSH安全代理中的SSH Client功能模块，将目标主机的IP地址以及端口号发送给SSH Client功能模块中的远端连接功能单元，通过所述的远端连接功能单元向目标主机C上的SSH Server模块发起连接请求。

8、根据权利要求7所述的方法，其特征在于，步骤C2具体包括：目标主机C上的SSH Server模块接收到连接请求后，建立安全隧道，并将主机A的应用客户端模块的连接请求转发到目标主机上的应用服务端模块，于是主机A的应用客户端模块与目标主机C上应用服务端模块建立了通讯连接，主机A与目标主机C之间的数据通过安全隧道来进行传输。

9、一种通讯加密的系统，其特征在于，该系统包括：一台主机，至少一台目标主机，所述主机上包括应用客户端模块和SSH安全代理模块，目标主机上包括SSH Server模块和应用服务端模块；

所述应用客户端模块，用于向SSH安全代理模块发送代理请求或数据，并接收从SSH安全代理模块转发过来的数据；

所述SSH安全代理模块，用于解析应用客户端模块发送的代理请求，根据代理请求解析出的目标主机的IP地址和端口号，与目标主机的SSH Server模块建立端口转发隧道，并转发主机的应用客户端模块与目标主机之间通讯的数据；

所述SSH Server模块，用于转发目标主机的应用服务端模块与SSH安全代理模块之间通讯的数据；

所述应用服务端模块，用于接收来自SSH Server模块的数据，并通过SSHServer模块向主机发送数据。

10、根据权利要求9所述的系统，其特征在于，所述SSH安全代理模块包括安全代理协议模块和SSH Client功能模块；

安全代理协议模块用于解析主机的应用客户端模块发送的代理请求，并将解析出的应用客户端模块准备连接的目标主机的IP地址和端口号发送给SSHClient功能模块；

SSH Client功能模块用于向目标主机上的SSH Server模块发起连接请求，并建立主机和目标主机之间的端口转发隧道。

11、一种用于通讯加密的主机，其特征在于，所述的主机包括：应用客户端模块和SSH安全代理模块；

所述应用客户端模块，用于向SSH安全代理模块发送代理请求或数据，并接收从SSH安全代理模块转发过来的数据；

所述SSH安全代理模块，用于解析应用客户端模块发送的代理请求，根据代理请求解析出的目标主机的IP地址和端口号，与目标主机建立端口转发隧道，并转发主机的应用客户端模块与目标主机之间通讯的数据。

12、根据权利要求11所述的主机，其特征在于，所述的SSH安全代理模块包括：安全代理协议模块和SSH Client功能模块；

安全代理协议模块用于解析主机的应用客户端模块发送的代理请求，并将解析出的应用客户端模块准备连接的目标主机的IP地址和端口号发送给SSHClient功能模块；

SSH Client功能模块用于向目标主机发起连接请求，并建立主机和目标主机之间的端口转发隧道。

Images