CN101605130A - 心跳握手方法及系统 - Google Patents

Abstract

本发明公开了心跳握手方法及系统。方法包括：对要发布的客户端版本进行编译，将编译文件中的代码片段生成指纹文件，认证服务器导入该指纹文件；认证服务器发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，对代码片段进行运算，得到随机哈希值，将随机哈希值发送给设备端，将代码片段位置信息通过设备端透传给客户端；客户端根据代码片段位置信息从编译文件中读取代码片段，对代码片段进行运算，得到随机哈希值，将随机哈希值携带在心跳握手响应报文中发送给设备端；设备端比较客户端和认证服务器发来的随机哈希值，若二者相同，允许客户端在线；否则，让客户端下线。本发明提高了心跳握手的可靠性。

Description

心跳握手方法及系统

技术领域

本发明涉及认证技术领域，具体涉及心跳握手方法及系统。

背景技术

802.1x协议起源于802.11协议，是一种基于端口的认证协议，是一种对用户进行认证的方法和策略。端口可以是一个物理端口，也可以是一个逻辑端口，如：虚拟局域网(VLAN，Virtual Local Area Network)口。对于无线局域网来说，一个端口就是一个信道。802.1x认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功就打开该端口，允许所有报文通过；如果认证不成功就使该端口保持关闭，即只允许802.1x认证协议报文通过。

图1为802.1x认证系统的体系结构，如图1所示，其包括三个部分：客户端、设备端和认证服务器。其中，客户端端口访问实体(PAE，Port AccessEntity)负责响应设备端的认证请求，向设备端提交用户的认证信息；设备端PAE利用认证服务器对需要接入局域网的客户端执行认证，并根据认证结果相应地控制受控端口的授权/非授权状态。

802.1x认证系统提供了一种用户接入认证的手段，它仅关注端口的打开与关闭。对于合法用户接入时，端口打开，而对于非法用户接入或没有用户接入时，则使端口处于关闭状态。认证的结果在于端口状态的改变，而不涉及其它认证技术所考虑的IP地址协商和分配问题，是各种认证技术中最为简化的实现方案。

出于安全考虑，现有方案在802.1x认证成功后，增加了心跳握手机制，如果心跳异常，将强制用户下线。图2为现有的802.1x心跳握手流程图，如图2所示，其具体步骤如下：

步骤201：认证服务器根据私有算法对随机密钥(Rand_Key)进行运算，得到随机哈希(Rand_Hash)值，将Rand_Hash值、Rand_Key和私有算法标识发送给交换机/路由器。

认证服务器会定期更新Rand_Key。

步骤202：交换机/路由器保存认证服务器发来的Rand_Hash值，将认证服务器发来的Rand_Key和私有算法标识携带在802.1x心跳握手请求报文中发送给客户端。

步骤203：客户端接收Rand_Key和私有算法标识，采用私有算法标识对应的私有算法，对该Rand_Key进行运算，得到Rand_Hash值，将Rand_Hash值携带在随后发送给交换机/路由器的802.1x心跳握手响应报文中。

步骤204：交换机/路由器收到客户端发来的Rand_Hash值，判断该Rand_Hash值和认证服务器发来的Rand_Hash值是否相同，若是，执行步骤205；否则，执行步骤206。

步骤205：交换机/路由器继续与客户端进行心跳握手，本流程结束。

步骤206：交换机/路由器向客户端和认证服务器发送下线报文，强制用户下线。

对于一般用户而言，802.1x认证主要用于接入用户身份核查，不会启用安全特性检查，用户也不会去破解802.1x心跳。但是如果想使用安全特性检查，现有方案中虽然定期更新Rand_Key，但在用户破解了Rand_Key生成Rand_Hash的方法后，还是容易重写一个心跳报文维护程序，完成客户端心跳破解。做法是：在802.1x认证成功、客户端已经开始周期性握手后，异常强制关闭用于认证的客户端，使用另一程序接管握手报文，从而使得原有客户端失效。这样原有客户端的一些在线的实时安全特性将失效。

发明内容

本发明提供一种心跳握手方法及系统，以提高心跳握手的可靠性。

本发明的技术方案是这样实现的：

一种心跳握手方法，该方法包括：

当有客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件，认证服务器导入该指纹文件；

认证服务器发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，采用预设私有算法对代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端；

客户端根据代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

设备端比较客户端和认证服务器发来的随机哈希值，若二者相同，则允许客户端在线；否则，让客户端下线。

所述对该客户端版本进行编译进一步包括：对编译文件进行采样；

所述将编译文件中的代码片段生成指纹文件为：将采样得到的代码片段及各代码片段的入口地址生成指纹文件。

所述将编译文件中的代码片段生成指纹文件之后、认证服务器导入该指纹文件之前进一步包括：

对指纹文件进行加密；

所述认证服务器导入该指纹文件之后、认证服务器从指纹文件中随机获取代码片段之前进一步包括：认证服务器对导入的指纹文件进行解密。

认证服务器预先为客户端设置指纹识别心跳启动条件，

所述认证服务器从指纹文件中随机获取代码片段包括：认证服务器发现当前满足预先为客户端设置的指纹识别心跳启动条件，则从该客户端的指纹文件中随机获取代码片段。

所述指纹文件中包含客户端版本号，

所述认证服务器从指纹文件中随机获取代码片段之前进一步包括：

认证服务器根据客户端版本号，查找到对应的指纹文件。

所述代码片段的位置信息为：代码片段在编译文件中的入口地址和偏移量。

一种心跳握手系统，该系统包括：

客户端，当有客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件；根据认证服务器透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

设备端，比较客户端和认证服务器发来的随机哈希值，若二者相同，则允许客户端在线；否则，让客户端下线；

认证服务器，导入客户端的指纹文件，当发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，采用预设私有算法对获取的代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端。

所述客户端包括：

编译模块，当有客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块；

采样模块，对编译模块发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件；

认证模块，根据设备端透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端。

所述客户端包括：

编译模块，当有客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块；

采样模块，对编译模块发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件发送给加密模块；

加密模块，对采样模块发来的指纹文件进行加密；

认证模块，根据设备端透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

且所述认证服务器进一步用于，对导入的客户端的指纹文件进行解密。

所述认证服务器包括：

指纹文件存储模块，导入客户端的指纹文件；

指纹识别心跳启动模块，当发现当前满足预先为客户端设置的指纹识别心跳启动条件时，向认证模块发送客户端版本号和指纹识别心跳启动指示；

认证模块，接收客户端版本号和指纹识别心跳启动指示，根据客户端版本号，从指纹文件存储模块获取指纹文件，从指纹文件中随机获取代码片段，采用预设私有算法对获取的代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端。

与现有技术相比，本发明中，当有客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件，认征服务器导入该指纹文件；认证服务器发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，采用预设私有算法对代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端；客户端根据代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；设备端比较客户端和认证服务器发来的随机哈希值，若二者相同，则允许客户端在线；否则，让客户端下线。本发明提高了心跳握手的可靠性。

附图说明

图1为现有的802.1x认证系统的体系结构示意图；

图2为现有的802.1x心跳握手流程图；

图3为本发明实施例提供的802.1x心跳握手流程图；

图4为本发明实施例提供的802.1x心跳握手系统组成图；

图5为本发明实施例提供的客户端的组成图一；

图6为本发明实施例提供的客户端的组成图二；

图7为本发明实施例提供的认证服务器的组成图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

图3为本发明实施例提供的802.1x心跳握手流程图，如图3所示，其具体步骤如下：

步骤301：有新客户端版本要发布，客户端上的编译器对该客户端版本进行编译，编译完成后，产生编译文本。

步骤302：客户端按照预设采样规则，对编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件，并在指纹文件中包含客户端版本号，采用预设加密算法，对指纹文件进行加密。

步骤303：认证服务器导入加密后的指纹文件，对该指纹文件进行解密，保存解密得到的指纹文件。

步骤304：客户端上线，按照现有的802.1x心跳握手流程与设备端进行心跳握手。

现有的802.1x心跳握手流程即图2所示流程。

步骤305：认证服务器发现当前满足预先为客户端设置的指纹识别心跳启动条件，根据该客户端版本号，查找到对应的指纹文件。

在802.1x认证过程中，客户端会将客户端版本号上报给认证服务器。

指纹识别心跳启动条件可以是：在客户端认证成功后，每隔固定时间间隔如：30分钟启用一次指纹识别心跳握手过程；或者，在客户端认证成功时，采用预设随机算法，得到一个随机时间间隔，在该随机时间间隔到达时，启动一次指纹识别心跳握手过程，然后重新采用该预设随机算法，得到另一个随机时间间隔，如此重复。

步骤306：认证服务器从指纹文件中随机获取代码片段，按照预设私有算法，对获取的所有代码片段进行运算，得到Rand_Hash值，并将Rand_Hash值和客户端版本号发送给设备端，将各代码片段的位置信息和私有算法标识通过设备端透传给客户端。

代码片段的位置信息可以表示为：代码片段的入口地址+偏移量，代码片段的入口地址可以是代码片段的函数名，也可是采用预设转换算法对代码片段的函数名转换得到的代号。

步骤307：设备端保存认证服务器发来的Rand_Hash值与客户端版本号的对应关系。

步骤308：客户端接收设备端透传来的代码片段的位置信息，根据该代码片段的位置信息从该编译文件中获取代码片段。

步骤309：客户端采用设备端透传来的私有算法标识对应的私有算法，对获取的所有代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值携带在随后的802.1x心跳握手响应报文中发送给设备端。

步骤310：设备端接收客户端发来的Rand_Hash值，根据客户端版本号查找到自身保存的Rand_Hash值。

步骤311：设备端判断客户端发来的Rand_Hash值和查找到的Rand_Hash值是否相同，若是，执行步骤312；否则，执行步骤313。

步骤312：设备端继续与客户端进行心跳握手，本流程结束。

步骤313：设备端向客户端和认证服务器发送下线报文，强制用户下线。

由于编译文件是不对外发布的，因此，除客户端和认证服务器之外的第三者很难根据代码片段的位置信息获取到代码片段，从而保证了802.1x心跳握手的可靠性；另外，每次有新客户端版本发布后，只需要将该客户端版本的指纹文件导入认证服务器中即可，无需对认证服务器进行升级。

图4为本发明实施例提供的802.1x心跳握手系统的组成图，如图4所示，其主要包括：客户端41、设备端42和认证服务器43，其中：

客户端41：当有新客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件，该指纹文件中包含客户端版本号；接收认证服务器43透传来的代码片段的位置信息和私有算法标识，根据该代码片段的位置信息从该编译文件中读取代码片段，采用私有算法标识对应的算法，对读取的代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值携带在随后的心跳握手响应报文中发送给设备端42。

设备端42：接收并保存认证服务器43发来的客户端版本号和Rand_Hash值的对应关系；接收客户端41发来的Rand_Hash值，根据客户端41版本号查找到自身保存的Rand_Hash值，比较客户端41发来的Rand_Hash值和查找到的Rand_Hash值，若二者相同，则允许客户端41在线；否则，让客户端41下线。

认证服务器43：导入客户端41的指纹文件；当发现客户端41通过认证，从客户端41的指纹文件中随机获取代码片段，采用预设私有算法对代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值和客户端41版本号发送给设备端42，将代码片段的位置信息和私有算法标识通过设备端42透传给客户端41。

如图5所示，客户端41可包括：编译模块411、采样模块412和认证模块413，其中：

编译模块411：当有新客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块412。

采样模块412：对编译模块411发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件，该指纹文件中包含客户端版本号。

认证模块413：接收认证服务器43透传来的代码片段的位置信息和私有算法标识，根据该代码片段的位置信息从该编译文件中读取代码片段，采用该私有算法标识对应的算法，对读取的代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值携带在随后的心跳握手响应报文中发送给设备端42。

或者，如图6所示，客户端41可包括：编译模块511、采样模块512、加密模块513和认证模块514，其中：

编译模块511：当有新客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块512。

采样模块512：对编译模块511发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件发送给加密模块513，，该指纹文件中包含客户端版本号。

加密模块513：对采样模块512发来的指纹文件进行加密。

认证模块514：接收设备端42透传来的代码片段的位置信息和私有算法标识，根据该代码片段的位置信息从该编译文件中读取代码片段，采用该私有算法标识对应的算法，对读取的代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值携带在随后的心跳握手响应报文中发送给设备端42。

且，认证服务器43进一步用于，对导入的客户端41的指纹文件进行解密。

如图7所示，认证服务器43可包括：指纹文件存储模块431、指纹识别心跳启动模块432和认证模块433，其中：

指纹文件存储模块431：导入客户端41的指纹文件。

指纹识别心跳启动模块432：当发现当前满足预先为客户端设置的指纹识别心跳启动条件时，向认证模块433发送客户端版本号和指纹识别心跳启动指示。

认证模块433：当发现客户端通过认证，且未接收到指纹识别心跳启动模块432发来的指纹识别心跳启动指示时，对该客户端执行现有的心跳握手流程；当接收到指纹识别心跳启动模块432发来的客户端版本号和指纹识别心跳启动指示时，根据客户端版本号，从指纹文件存储模块431获取该客户端的指纹文件，从该指纹文件中随机获取代码片段，采用预设私有算法对获取的代码片段进行运算，得到Rand_Hash值，将该Rand_Hash值和客户端版本号发送给设备端42，将代码片段的位置信息和私有算法标识通过设备端42透传给客户端41。

本发明提供的心跳握手方案适用于各种心跳握手机制，例如：802.1x心跳握手机制、Portal心跳握手机制等等。

以上所述仅为本发明的过程及方法实施例，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1、一种心跳握手方法，其特征在于，该方法包括：

当有客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件，认证服务器导入该指纹文件；

认证服务器发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，采用预设私有算法对代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端；

客户端根据代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

设备端比较客户端和认证服务器发来的随机哈希值，若二者相同，则允许客户端在线；否则，让客户端下线。

2、如权利要求1所述的方法，其特征在于，所述对该客户端版本进行编译进一步包括：对编译文件进行采样；

所述将编译文件中的代码片段生成指纹文件为：将采样得到的代码片段及各代码片段的入口地址生成指纹文件。

3、如权利要求2所述的方法，其特征在于，所述将编译文件中的代码片段生成指纹文件之后、认证服务器导入该指纹文件之前进一步包括：

对指纹文件进行加密；

所述认证服务器导入该指纹文件之后、认证服务器从指纹文件中随机获取代码片段之前进一步包括：认证服务器对导入的指纹文件进行解密。

4、如权利要求1所述的方法，其特征在于，认证服务器预先为客户端设置指纹识别心跳启动条件，

所述认证服务器从指纹文件中随机获取代码片段包括：认证服务器发现当前满足预先为客户端设置的指纹识别心跳启动条件，则从该客户端的指纹文件中随机获取代码片段。

5、如权利要求1所述的方法，其特征在于，所述指纹文件中包含客户端版本号，

所述认证服务器从指纹文件中随机获取代码片段之前进一步包括：

认证服务器根据客户端版本号，查找到对应的指纹文件。

6、如权利要求1所述的方法，其特征在于，所述代码片段的位置信息为：代码片段在编译文件中的入口地址和偏移量。

7、一种心跳握手系统，其特征在于，该系统包括：

客户端，当有客户端版本发布时，对该客户端版本进行编译，将编译文件中的代码片段生成指纹文件；根据认证服务器透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

设备端，比较客户端和认证服务器发来的随机哈希值，若二者相同，则允许客户端在线；否则，让客户端下线；

认证服务器，导入客户端的指纹文件，当发现客户端通过认证，从该客户端的指纹文件中随机获取代码片段，采用预设私有算法对获取的代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端。

8、如权利要求7所述的系统，其特征在于，所述客户端包括：

编译模块，当有客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块；

采样模块，对编译模块发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件；

认证模块，根据设备端透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端。

9、如权利要求7所述的系统，其特征在于，所述客户端包括：

编译模块，当有客户端版本发布时，对该客户端版本进行编译，将编译文件发送给采样模块；

采样模块，对编译模块发来的编译文件进行采样，将采样得到的代码片段和各代码片段的入口地址生成指纹文件发送给加密模块；

加密模块，对采样模块发来的指纹文件进行加密；

认证模块，根据设备端透传来的代码片段的位置信息从编译文件中读取代码片段，采用预设私有算法，对读取的代码片段进行运算，得到随机哈希值，将该随机哈希值携带在心跳握手响应报文中发送给设备端；

且所述认证服务器进一步用于，对导入的客户端的指纹文件进行解密。

10、如权利要求7所述的系统，其特征在于，所述认证服务器包括：

指纹文件存储模块，导入客户端的指纹文件；

指纹识别心跳启动模块，当发现当前满足预先为客户端设置的指纹识别心跳启动条件时，向认证模块发送客户端版本号和指纹识别心跳启动指示；

认证模块，接收客户端版本号和指纹识别心跳启动指示，根据客户端版本号，从指纹文件存储模块获取指纹文件，从指纹文件中随机获取代码片段，采用预设私有算法对获取的代码片段进行运算，得到随机哈希值，将该随机哈希值发送给设备端，将代码片段的位置信息通过设备端透传给客户端。

Images