CN103297437B - 一种移动智能终端安全访问服务器的方法 - Google Patents

Abstract

本发明涉及一种移动智能终端安全访问服务器的方法，步骤包括：1）移动智能终端在注册服务器上进行注册，将用户与移动智能终端绑定；2）用户通过网络访问应用服务器，移动智能终端修改发出的网络数据包并将网络数据包发送到安全网关设备进行验证；3）安全网关设备解析验证通过的网络数据包，将请求转发到应用服务器，完成访问。本发明既保证了用户使用的透明性，不影响用户使用习惯，满足了合法用户通过指定的移动智能终端访问应用服务器的安全验证的要求，有效地防止了非指定的移动智能终端违规访问应用服务器，最大限度地实现了对企业内部应用服务器的安全防护。

Description

一种移动智能终端安全访问服务器的方法

技术领域

本发明涉及移动智能终端安全访问服务器，尤其涉及一种移动智能终端安全访问服务器的方法，属于信息安全和计算机软件技术领域。

背景技术

随着移动智能终端的广泛应用及当前信息化建设的逐渐深入，移动办公、远程办公等快捷高效的工作模式亦被越来越多的企业管理者和员工所认可。企业员工使用智能手机、平板电脑等设备，通过WLAN、3G、GPRS等网络方式访问企业内部的服务器系统，来实现更高的工作效率。

然而移动智能终端本身的特性却加大了访问过程中的风险，使整个访问过程的数据安全难于控制。同时，对访问服务器系统的移动智能终端的身份合法性也缺乏有效认证，外部非授权的移动智能终端对服务器系统的访问没有得到有效的控制。当企业由严密防范的内网延伸到开放的移动网络办公时，涉及敏感信息的系统数据在接入、传输、通信、应用等过程中可能发生的风险大大增加。如何保障移动终端用户身份安全、接入安全、数据保密性等都成了移动智能终端访问企业内部应用服务器可能造成失泄密的迫切问题。

当前解决这些问题的方法主要有以下几种：使用用户名、口令等属性进行验证的基于用户身份验证的管理方法；通过VPN技术支持对内部网络的方法；使用传统的网络接入认证方法。但这些方法都存在缺陷，基于用户名、口令的身份认证方法，当口令等信息被窃后，非法用户就可以仿冒连入；基于VPN技术的方法只能够限定用户，而不能限定设备；而传统的网络接入认证方法不能有效的解决网络传输信道被窃听导致的数据信息泄密问题。

发明内容

针对移动智能终端访问应用服务器所存在的各种风险和问题，本发明公开了一种移动智能终端安全访问服务器的方法，通过建立注册审批机制和对数据包包头信息的修改及验证能够防范非法用户仿冒连入网络并违规访问服务器；通过智能移动终端设备和访问安全标识信息等信息强制绑定到网络数据包中；同时对数据包的数据部分加密，防止数据在网络中传输被窃听盗取，通过移动智能终端设备和访问安全标识信息等信息强制绑定到网络数据包中，规避非指定智能移动终端设备连入内部应用服务器所造成的风险。

本发明的技术方案如下：

一种移动智能终端安全访问服务器的方法，其步骤包括：

1）移动智能终端在注册服务器上进行注册，将用户与所述移动智能终端绑定；

2）用户通过网络访问应用服务器，所述移动智能终端修改发出的网络数据包并将所述网络数据包发送到安全网关设备进行验证；

3）所述安全网关设备解析验证通过的网络数据包，将请求转发到所述应用服务器，完成访问。

更进一步，所述移动智能终端将以下注册信息：用户名、密码和移动智能终端设备唯一标识发送到注册服务器进行注册。

更进一步，所述注册服务器返回给对应移动智能终端注册结果信息包括：访问安全标识、移动智能终端设备唯一标识信息和用户私钥信息。

更进一步，将用户与所述移动智能终端绑定后所述注册服务器将新用户信息存储到安全网关设备的信息库中。

更进一步，所述移动智能终端修改发出的网络数据包遵循应用层网络协议标准：

1）对于网络数据包，将用户信息标识、访问安全标识和移动智能终端设备唯一标识信息填充到原网络数据包的包头，生成新的网络数据包的包头，组成新的网络数据包P1；

2）使用用户私钥对网络数据包中的数据部分进行加密，生成加密数据，并将加密数据写回网络数据包中P1，生成新的网络数据包P2，将所述网络数据包P2发送给安全网关设备。

更进一步，所述网络数据包发送到安全网关设备进行验证方法为：

1）所述安全网关设备接收来自移动智能终端的网络数据包时，解析出用户信息标识、访问安全标识和移动智能终端设备唯一标识信息，并将各个信息与安全网关设备信息库中存储的数据进行对比验证；

2）解析并检查对应数据并使用公钥解密网络数据包的数据部分，并将解密后的网络数据包转发到指定访问的应用服务器；

3）若没有解析出对应数据，则判断此网络数据包并不是合法的安全访问，直接丢弃此网络数据包，不做响应。

更进一步，对比验证信息为：检查网络数据包的目地址是否是应用服务器地址，用户是否注册，用户信息是否符合要求，访问安全标识是否符合要求。

更进一步，访问安全标识是否符合要求：检查公司唯一标识信息是否与注册服务器上记录的信息一致，检查组织唯一标识信息是否符合网关设备配置要求，检查安全网关设备标识信息与当前安全网关设备是否一致。

更进一步，还包括如下步骤：

1）所述应用服务器对安全网关设备转发的网络数据包进行响应，并返回响应结果给安全网关设备；同时所述安全网关设备收到应用服务器返回的网络数据包后，用公钥加密网络数据包的数据部分，并将加密后的网络数据包转发给对应的移动智能终端设备；

2）所述移动智能终端设备接收到安全网关设备转发来的网络数据包后，用私钥对网络数据包的数据部分执行解密，解析数据包的内容。

更进一步，所述移动智能终端设一代理程序，用于连接注册服务器执行注册并进行网页访问，并对网络数据包中的数据部分进行加密，将处理后的网络数据包发送给指定的应用服务器。

本发明的技术方案可实现如下述效果：只有通过用户、组织、公司和移动智能终端设备等属性验证的合法用户，才可以通过指定的移动智能终端设备访问安全网关设备防护的应用服务器，并且传输在非安全网关设备保护的网络上的数据是加密的，防止被监听泄密，从而形成了基于用户身份和移动智能终端设备的多元安全访问验证防护机制，解决了用户名口令被盗用后非法用户仿冒连入、网络传输信道被窃听导致的数据信息泄漏、非指定的移动智能终端设备违规连入内部服务器所带来的信息安全问题。

和现有技术相比，本发明的优势在于：

本发明方法以应用层网络的标准协议为基础，对网络数据包进行合规性修改，附加用户信息标识、访问安全标识等多维安全验证属性，并对网络数据包的数据部分进行加密。本发明方法的优势是通过审批机制实现了用户的防盗用注册，同时将移动智能终端设备和访问安全标识信息等信息强制绑定到网络数据包中，执行了网络访问的强制验证，这样既保证了用户使用的透明性，不影响用户使用习惯，满足了合法用户通过指定的移动智能终端访问应用服务器的安全验证的要求，有效地防止了非指定的移动智能终端违规访问应用服务器，最大限度地实现了对企业内部应用服务器的安全防护。

附图说明

图1是本发明移动智能终端安全访问服务器的方法一实施例中移动智能终端连接注册服务器执册过程示意图；

图2是本发明移动智能终端安全访问服务器的方法一实施例中移动智能终端对其发出的网络数据包修改的示意图；

图3是本发明移动智能终端安全访问服务器的方法一实施例中访问系统的各个组件示意图；

图4是本发明移动智能终端安全访问服务器的方法一实施例中安全网关设备对网络数据包进行解析检查的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，可以理解的是，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

a）移动智能终端连接到注册服务器执行注册，注册服务器有完整的密钥管理体系，为所有的注册用户配备一对公钥和私钥，注册过程如图1所示是本发明移动智能终端安全访问服务器的方法一实施例中移动智能终端连接注册服务器执册过程示意图；

用户注册时，移动智能终端需要将用户名、密码和移动智能终端设备唯一标识等注册信息（reg_info）发送到注册服务器，执行移动智能终端的注册，注册服务器返回给对应的移动智能终端注册结果信息(reg_result)，包括访问安全标识、移动智能终端设备唯一标识信息和用户私钥信息。管理员在注册服务器上对移动智能终端的注册结果进行管理，检查对应的用户注册信息和设备是否符合要求，管理员对符合要求的用户和设备审批通过后，注册服务器将新的用户信息(user_info)存储到安全网关设备的信息库中，信息库中的数据作为基线，用于检查网络数据包是否来自合规的已注册的移动智能终端设备；

b）在移动智能终端用户通过网络访问应用服务器时，移动智能终端设备对其发出的网络数据包进行修改，对网络数据包的具体修改过程如图2所示是本发明移动智能终端安全访问服务器的方法一实施例中移动智能终端对其发出的网络数据包修改的示意图；对于网络数据包(P0)，将用户信息标识、访问安全标识和移动智能终端设备唯一标识等信息填充到原网络数据包的包头(Content_h)中，生成新的网络数据包的包头（Content_h’），组成新的网络数据包（P1），然后，再用私钥(a’)对网络数据包(P1)中的数据部分(Content_d)进行加密，生成加密数据(Content_d’)，并将加密数据写回网络数据包(P1)中，生成新的网络数据包(P2)，将网络数据包(P2)发送给安全网关设备，所有这些对网络数据包的修改都将遵循应用层网络协议标准；

访问安全标识主要包括公司标识信息、组织标识信息和安全网关设备标识信息；公司标识信息用于标记公司的唯一性；组织标识信息用于标记用户所属组织的唯一性；安全网关设备标识信息用于标记安全网关设备的唯一性；用户信息标识是通过摘要算法对用户名和口令信息计算所生成的摘要，用于标记唯一的移动智能终端注册用户信息；

移动智能终端设备唯一标识是安全网关设备可处理的硬件设备标识，用于标记设备的唯一性，通过此标记，安全网关设备可以识别出网络数据包是来源于哪个移动智能终端，对于每个移动智能终端硬件设备，都可以获取到这个设备的唯一ID，所有设备都不相同，即是硬件设备标识。

c）安全网关设备接收到来自移动智能终端的网络数据包时，解析出用户信息标识、访问安全标识和移动智能终端设备唯一标识等信息，并将各个信息与安全网关设备信息库中存储的数据进行对比验证，只有所有的信息都满足验证条件后，检查结果才被标记为通过，只要有一项验证未通过，则检查结果被标记为未通过；

其中，用户信息标识用于判断通过移动智能终端进行网络访问的对应用户是否是合法用户；

其中，通过访问安全标识信息用于判断移动智能终端的所属公司、所属组织的合法性，判断连接的安全网关设备的合规性，同时判断移动智能终端设备是否被授权，只有已注册并被授权的移动智能终端设备才可以通过安全网关设备的安全检查；

其中，安全网关设备是部署在应用服务器前端的安全防护网关设备，通过配置安全网关设备的反向代理功能，实现从移动智能终端到应用服务器的透明访问；

d）安全网关设备解析并检查对应数据，包括用户信息标识、访问安全标识和移动智能终端设备唯一标识，如果检查结果通过，则安全网关设备将使用其公钥解密网络数据包的数据部分，并将解密后的网络数据包转发到指定的目的应用服务器；如果检查未通过，则直接丢弃对应的网络数据包，对于被丢弃的网络数据包所对应的访问请求，应用服务器将接收不到，对应的移动智能终端对应用服务器的访问将得不到任何响应；

e）应用服务器基于自身的业务功能，对安全网关设备转发的网络数据包进行响应，并返回响应结果给安全网关设备，如发给服务器一个基于http协议的获取信息请求，服务器会返回符合http协议的对应的结果信息；

f）安全网关设备收到应用服务器返回的网络数据包后，用其公钥加密的网络数据包的数据部分，并将加密后的网络数据包转发给对应的移动智能终端设备；

g）移动智能终端设备接收到安全网关设备转发来的网络数据包后，用私钥对网络数据包的数据部分执行解密，解密完成后再进行后续的数据处理工作。

首先，在企业应用服务器网络前端，部署安全网关设备，在安全网关设备上配置反向代理；然后，再安装一台注册服务器，并在注册服务器上部署管理中心(软件)；最后，在移动智能终端设备上安装客户端代理程序，具体部署如图3所示是本发明移动智能终端安全访问服务器的方法一实施例中访问系统的各个组件示意图；

本实施例以某企业使用的移动智能终端访问应用服务器防护系统为例，详细说明本发明。在该防护系统中，主要包含三个部分，注册服务器、安全网关设备、移动智能终端代理程序。

下面说明上述系统中的各个组件。

A、注册服务器

注册服务器主要实现功能包括：通过注册服务器管理中心配置移动智能终端用户注册信息、企业唯一标识信息、安全网关设备信息，可对已经执行的移动智能终端注册进行审批，并且注册服务器可与安全网关设备进行数据同步。

注册服务器管理中心由如下部分组成：数据存储单元、注册管理单元、审批单元、系统配置单元、数据同步单元。所述的数据存储单元主要功能是用户注册信息、配置信息、网关信息、日志信息；所述注册管理单元用于接收移动智能终端的注册请求，并反馈结构给移动智能终端，同时将注册信息存入数据存储单元。所述系统配置单元，用于配置支持的安全网关设备列表、配置企业唯一标识等信息，并将配置结果存储在数据存储单元。所述审批单元，是在移动智能终端请求注册后，需管理人员检查是合法注册，并通过审批单元审批注册结果，审批通过后，用户注册信息将自动同步到安全网关设备上。所述数据同步单元，用于注册服务器与安全网关设备进行数据同步。

B、安全网关设备

安全网关设备是硬件设备，部署在企业内部需要保护的应用服务器网络前端，负责对应用服务器访问的网络数据包进行过滤检查，并支持网络数据包的高速加解密，同时，支持相关安全属性的配置管理，具有应用服务器的安全防护功能。

安全网关设备由如下部分组成：网络数据接收单元、协议解析单元、安全检查单元、网络数据转发单元、数据加解密单元和配置管理单元。所述的网络数据接收单元，负责接收来着移动智能终端的网络数据包，并将网络数据包转给协议解析单元做后续处理。所述的协议解析单元，基于网络协议中应用层的协议标准分析网络数据包，提取出网络数据包中的各项属性值，并将解析出的各项属性值转给安全检查单元执行检查。所述的安全检查单元，用于检查用户信息标识、访问安全标识和移动智能终端设备唯一标识等信息，如检查通过，则调用数据加解密单元对网络数据包中的部分执行解密。所述的数据加解密单元，主要负责加解密网络数据包的数据部分。所述的配置管理模块，用于配置安全网关设备可以保护的应用服务器列表，同时也可以配置安全网关设备自身的属性及参数。

C、移动智能终端代理程序

移动智能终端代理程序，可连接注册服务器执行注册，并可进行网页访问，在基于应用层网络协议的基础上，对发送给应用服务器中的网络数据包中添加用户信息标识、访问安全标识和移动智能终端设备唯一标识等信息，并对网络数据包中的数据部分进行加密，然后将处理后的网络数据包发送给指定的应用服务器。

移动智能终端代理程序主要由注册支持单元、网络包管理单元、数据加解密单元组成。所述的注册支持单元，主要负责连接注册服务器执行用户注册。所述的网络包管理单元，负责分析修改程序准备发出的网络数据包，添加用户信息标识、访问安全标识和移动智能终端设备唯一标识等信息到网络数据包。所述的数据加解密单元，对网络数据包中的数据部分进行加解密。

下面说明基于上述系统的移动智能终端安全访问服务器的方法。

1、移动智能终端代理程序执行用户注册

移动智能终端代理程序网络连接注册服务器，将用户注册信息、移动智能终端设备唯一标识信息发送到注册服务器，并将从注册服务器中获取的访问安全标识信息和数据加解密密钥信息，存储到本地。

管理人员检查用户注册是否合规。如果符合规则，管理人员通过注册服务器管理软件对用户注册执行审批通过，审批通过后，用户信息标识、访问安全标识和移动智能终端设备唯一标识等数据会自动同步到安全网关设备上。如果不符合规则，管理员可以审批拒绝用户注册，这样对应的注册信息将不会同步到安全网关设备上。

2、移动智能终端代理程序访问应用服务器

使用移动智能终端代理程序连接应用服务器时，发送给应用服务器的网络数据包将会被修改，将用户信息标识、访问安全标识和移动智能终端设备唯一标识添加到网络数据包中，并使用步骤1中从注册服务器的密钥管理体系中获取来的私钥(a’)对网络数据包的数据部分进行加密，最终将添加标识并且加密的网络数据包发送给应用服务器地址，发送的网络数据包是密文。

3、安全网关设备过滤检查移动智能终端发给应用服务器的网络数据包

安全网关设备会自动截获移动智能终端代理程序发送给应用服务器的网络数据包，对此网络数据包进行解析，执行匹配检查如图4所示是本发明移动智能终端安全访问服务器的方法一实施例中安全网关设备对网络数据包进行解析检查的流程图。判断是否是移动智能终端代理程序发来的网络数据包。在执行数据解析时，解析出用户信息标识、访问安全标识和移动智能终端设备唯一标识等数据，如果没有解析出对应数据，则判断此网络数据包并不是合法的安全访问，直接丢弃此网络数据包，不做任何响应。如果解析出了对应数据，但是解析出的数据与安全网关设备中存储的数据没有匹配上，则判断出此网络数据包不是来自合法的移动智能终端代理程序，安全网关设备直接丢弃此网络数据包，不做任何响应。如果解析出的数据与安全网关设备中存储数据匹配成功，这认为此网络数据包是合法的网络数据包，将进行下一步数据解密和转发操作。

安全网关设备执行数据解密时，用其公钥解密网络数据包的数据部分。解密完成后，将解密后的数据替换到原有网络数据包的数据部分，形成新的网络数据包。并将网络数据包转发到对应的应用服务器，转发给应用服务器的网络数据包是明文。

4、安全网关设备处理应用服务器反馈给移动智能终端的网络数据包

应用服务器接收到由安全网关设备转发的来自移动智能终端代理程序的网络数据包后，直接根据应用服务器自身的业务进行响应处理，并反馈对应的网络数据包给移动智能终端代理程序。

安全网关设备截获应用服务器反馈给移动智能终端代理程序的网络数据包，并使用其公钥对网络数据包的数据部分进行加密，并将加密后的数据替换到原有网络数据包的数据部分，形成新的网络数据包。然后，将网络数据包转发到对应的移动智能终端，转发的网络数据包是密文。

5、移动智能终端代理程序处理安全网关设备反馈回来的网络数据包

移动智能终端代理程序接收到安全网关设备转发的网络数据包后，使用私钥(a’)对网络数据包的数据部分进行解密，解密后再继续执行后续的业务应用支持，如展示网页，浏览数据等。

合规用户通过移动智能终端代理程序访问应用服务器时，并不知道中间还有一个安全网关设备，因此，安全网关设备对网络数据包的检查验证及对数据的加解密过程对于合规用户来说都是透明的，不影响用户的使用习惯。而非合规的用户和未授权的移动智能终端对企业内部的应用服务器的访问无任何响应，从而达到了对企业内部应用服务器防护的目的。

Claims (8)

1.一种移动智能终端安全访问服务器的方法，其步骤包括：

1)移动智能终端在注册服务器上进行注册，将用户与所述移动智能终端绑定；

2)用户通过网络访问应用服务器，所述移动智能终端修改发出的网络数据包并将所述网络数据包发送到安全网关设备进行验证，所述移动智能终端修改发出的网络数据包遵循应用层网络协议标准：

2-1)对于网络数据包，将用户信息标识、访问安全标识和移动智能终端设备唯一标识信息填充到原网络数据包的包头，生成新的网络数据包的包头，组成新的网络数据包P1；

2-2)使用用户私钥对网络数据包中的数据部分进行加密，生成加密数据，并将加密数据写回网络数据包中P1，生成新的网络数据包P2，将所述网络数据包P2发送给安全网关设备；

3)所述安全网关设备解析验证通过的网络数据包，将请求转发到所述应用服务器，完成访问。

2.如权利要求1所述的移动智能终端安全访问服务器的方法，其特征在于，所述移动智能终端将以下注册信息：用户名、密码和移动智能终端设备唯一标识发送到注册服务器进行注册。

3.如权利要求1所述的移动智能终端安全访问服务器的方法，其特征在于，将用户与所述移动智能终端绑定后所述注册服务器将新用户信息存储到安全网关设备的信息库中。

4.如权利要求1所述的移动智能终端安全访问服务器的方法，其特征在于，所述网络数据包发送到安全网关设备进行验证方法为：

1)所述安全网关设备接收来自移动智能终端的网络数据包时，解析出用户信息标识、访问安全标识和移动智能终端设备唯一标识信息，并将各个信息与安全网关设备信息库中存储的数据进行对比验证；

2)解析并检查对应数据并使用公钥解密网络数据包的数据部分，并将解密后的网络数据包转发到指定访问的应用服务器；

3)若没有解析出对应数据，则判断此网络数据包并不是合法的安全访问，直接丢弃此网络数据包，不做响应。

5.如权利要求4所述的移动智能终端安全访问服务器的方法，其特征在于，对比验证信息为：检查网络数据包的目地址是否是应用服务器地址，用户是否注册，用户信息是否符合要求，访问安全标识是否符合要求。

6.如权利要求5所述的移动智能终端安全访问服务器的方法，其特征在于，访问安全标识是否符合要求：检查公司唯一标识信息是否与注册服务器上记录的信息一致，检查组织唯一标识信息是否符合网关设备配置要求，检查安全网关设备标识信息与当前安全网关设备是否一致。

7.如权利要求1所述的移动智能终端安全访问服务器的方法，还包括如下步骤：

1)所述应用服务器对安全网关设备转发的网络数据包进行响应，并返回响应结果给安全网关设备；同时所述安全网关设备收到应用服务器返回的网络数据包后，用公钥加密网络数据包的数据部分，并将加密后的网络数据包转发给对应的移动智能终端设备；

2)所述移动智能终端设备接收到安全网关设备转发来的网络数据包后，用私钥对网络数据包的数据部分执行解密，解析数据包的内容。

8.如权利要求1所述的移动智能终端安全访问服务器的方法，其特征在于，所述移动智能终端设一代理程序，用于连接注册服务器执行注册并进行网页访问，并对网络数据包中的数据部分进行加密，将处理后的网络数据包发送给指定的应用服务器。