CN103546472A - 一种业务系统防伪保护的方法和装置 - Google Patents

Abstract

本发明公开了一种业务系统防伪保护的方法和装置。该装置包括防伪管理单元、防伪识别单元和防伪保护单元，本发明针对业务系统上存储明文的防泄密方式在防伪方面的先天性缺点，通过受保护业务系统智能识别及真实身份鉴定，借助数据包的加解密，提出伪冒业务系统和伪冒用户的双伪防护方法，阻止合法用户访问伪冒业务系统，防止伪冒用户接入受保护的业务系统，在保证业务流程持续不间断的前提下，保证业务系统的安全。

Description

一种业务系统防伪保护的方法和装置

技术领域

本发明涉及业务系统的防伪保护，属于信息安全领域。

背景技术

传统的电子文档的管理，主要的管理对象是分散在各个PC终端的文档。随着各种综合型的业务系统的应用（如OA，PDM/PLM，SVN等），采用业务系统集中式管理电子文档的企业也越来越普遍。而业务系统的普遍适应性，在给企业带来便利的同时，也埋下了安全隐患，主要包括：1）用户可能私自搭建一个业务系统，伪装成企业的业务系统。这种情况下，用户有机会将企业的业务系统上的敏感信息，转移到伪造的个人业务系统中，进而造成企业信息的泄漏。2）用户在非安全环境下，访问企业的业务系统；或者黑客、间谍恶意侵入企业的业务系统。这种情况下，企业的业务系统中的信息，将面临严重的泄漏风险。

针对这些安全问题，企业也采取了一些措施，对业务系统进行保护。目前，对业务系统的保护方式，存在以下不足：1）业务系统上的文档直接加密保护。这种方式能够防止用户任意方式的泄密，达到了保护业务系统的目的，但文档加密一方面会直接导致业务系统自身不能正常运行，另一方面企业需要在不同业务系统中协同办公，文档加密会导致文档在流转到其他业务系统上时无法使用，也就影响了企业的整个业务流程。因此，业务系统上的文档保持其原始状态，是保证企业业务流程持续不间断运行的前提。2）业务系统上的文档不保护（即业务系统上的文档明文存储），只有存储到终端用户的计算机中或者终端用户使用业务系统的过程中才进行保护。保护方式包括数据透明加解密、虚拟沙箱等等，这也是目前防泄密产品对业务系统防护的主流方式。此方式能够保证企业整个业务流程的持续性，对业务系统上的文档也有一定的保护作用，但也有其先天性的缺陷。因为文档在业务系统上要始终保持明文状态，那么终端用户将文档从本地提交到业务系统上的过程中，文档就要从本地的受保护状态脱离，转入业务系统上的原始状态（明文状态）。一旦用户所转入的业务系统是伪造的，那么就会造成企业业务系统的敏感信息泄漏。同时，由于业务系统上的文档保持明文状态，如果接入企业业务系统的用户是非法的，或者用户的环境不安全，势必造成企业业务系统的管理失控。

发明内容

针对当前业务系统存储明文的各类风险和问题，本发明提供一种业务系统防伪保护的方法和装置。本发明消除通过伪造业务系统泄密的隐患，阻止黑客、间谍或者处于不安全环境下的用户接入企业受保护的业务系统，为企业业务系统构建有效的防伪保护，同时保证了业务系统持续不间断的运行，不影响用户使用业务系统的所有功能，不改变用户的使用习惯。

一种业务系统防伪保护的方法，包括以下步骤：

1）在业务系统防伪管理平台设置需要保护的业务系统的IP和端口到业务系统防伪客户端以及业务系统防伪网关设备；

2）通过业务系统防伪客户端访问业务系统，同时，由业务系统防伪客户端发送加密的数据包；

3）加密的数据包经过受保护的业务系统的业务系统防伪网关设备，业务系统防伪网关设备对加密的数据包进行解密。

上述业务系统防伪网关设备是由硬件-网关和软件-业务系统防伪保护两部分组成。业务系统防伪网关设备部署在真实的受保护业务系统的前端，访问真实的受保护业务系统必须经过业务系统防伪网关设备。

进一步地，步骤2）中，所述的伪冒的业务系统的特征，与真实业务系统的特征相同，包括但不限于IP和端口。

进一步地，步骤2）中，所述加密的数据包中加密首部所用的密钥为统一密钥，由管理员设定；加密数据中的随机密钥和密钥长度，由统一密钥加密；加密数据中的具体内容，所用的密钥为随机密钥，通过受保护的业务系统的特征与随机数的哈希值获得。

进一步地，未安装业务系统防伪客户端的终端用户，访问受保护的业务系统时，由终端发出的数据包，不会加密。

进一步地，步骤3）中，所述业务系统防伪网关设备自动检查步骤2）中访问的目标对象是否是受保护的业务系统，业务系统防伪网关设备确认目标对象是受保护业务系统后，要检查访问受保护业务系统的用户是合法用户，才能对访问真实业务系统的数据包进行解密。终端用户访问真实的受保护的业务系统过程中的任何交互，不受影响,即业务系统防伪网关设备的检查通过以后，用户可以正常使用受保护的业务系统的各个功能。

进一步地，步骤3）中，访问伪冒的业务系统，不会经过业务系统防伪网关设备，加密的数据包无法解密，无法访问伪冒的业务系统。

进一步地，步骤3）中，所述业务系统防伪网关设备自动识别当前的非法用户正在访问受保护的业务系统，并禁止非法用户访问受保护的业务系统。

一种业务系统防伪保护的装置，包括防伪管理单元、防伪识别单元及防伪保护单元，其中:

防伪管理单元，用于指定需要进行防伪保护的业务系统；

防伪识别单元，根据所指定的需要进行防伪保护的业务系统，自动识别当前访问业务系统的用户及访问的目标对象，识别是否需要执行防伪保护；

防伪保护单元，根据防伪识别单元的识别结果，对业务系统进行防伪保护。

进一步地，所述的防伪管理单元，通过IP和端口设定需要进行防伪保护的业务系统。

进一步地，所述的防伪识别单元，根据当前访问的业务系统的IP和端口和指定的业务系统的IP和端口，以及当前访问受保护业务系统的用户，识别是否需要进行防伪保护。

进一步地，所述防伪识别包括识别伪冒的业务系统及伪冒的用户（非安全环境下的用户）。

进一步地，所述的防伪识别单元，对接收到的数据包进行内容的解析，以识别是否是合法的数据包，所述合法的数据包包括加密的首部及加密的数据。

进一步地，所述的防伪识别单元，对接收到的数据包，用统一密钥解密首部，获得数据包的源特征、目标特征及其他数据包固定格式部分，对获取到的源特征、目标特征，与受保护的业务系统的特征对比，以识别是否是访问受保护的业务系统。

进一步地，所述的防伪识别单元，用统一密钥对加密的数据的第一部分解密，获得随机密钥，利用随机密钥对数据包中的数据部分进行解密，获得数据源的用户特征，与合法用户对比，以识别是否是合法的用户访问。

进一步地，所述的防伪保护单元，对发送到指定的业务系统的数据包进行加密，包括首部加密和数据加密。

进一步地，上述首部加密是由统一的密钥对首部进行加密的，密钥可由管理者设定。

进一步地，上述加密的数据包含三部分：由统一密钥加密的随机密钥和密钥长度；由随机密钥加密的数据包的源用户，以及由随机密钥加密的具体内容。

进一步地，如果所述防伪识别单元识别出是合法用户访问受保护的业务系统，则所述防伪保护单元允许连接，并对后续的数据包进行解密；如果所述防伪识别单元识别出是非法用户访问受保护的业务系统，则所述防伪保护单元拒绝其连接。

进一步地，所述加密的数据包只有在到达受保护的业务系统时，会被解密；所述加密的数据包被发到伪冒的业务系统时，伪冒的业务系统不具有解密数据包的能力，无法获得数据包的原始内容。

通过上述描述可见，本发明可实现如下效果：

在业务系统防伪保护客户端中，用户访问企业受保护的业务系统，客户端自动识别当前访问的是受保护业务系统，对发送到受保护业务系统的数据包进行加密。加密数据包具有特定的密钥和特定的格式。加密的数据包必须经过业务系统防伪网关设备的解密过程，受保护的业务系统才能识别数据包的内容，用户才能使用真实的受保护的业务系统。业务系统防伪网关设备对数据包进行解析，只有合法的数据包才能被识别并解密。

用户使用伪冒的业务系统，其发送到伪冒业务系统的数据包是加密的，但加密的数据包不能经过业务系统防伪网关设备的解密，因此伪冒的业务系统无法识别数据包的内容，用户不能连接到伪冒的业务系统。

在未部署业务系统防伪保护客户端的计算机中，用户访问企业受保护的业务系统，其发送的数据包是不加密的。数据包必须经过业务系统防伪网关设备。业务系统防伪网关设备自动识别当前用户是伪冒用户，当前数据包不合法，并阻止其连接企业受保护的业务系统。通过这些安全措施，防止伪冒的业务系统或伪冒的用户，给企业所带来的安全冲击。

和现有技术相比，本发明的优势在于：本发明通过受保护业务系统智能识别及真实身份鉴定，借助数据包的加解密，实现业务系统双伪冒的防护，即阻止用户访问伪冒的业务系统，同时防止伪冒的用户访问企业受保护的业务系统。在保护业务系统的同时，不影响企业整个业务流程。本发明只保护企业所指定的业务系统，对用户使用非受保护的业务系统，无任何影响。

附图说明

图1表示本发明业务系统防伪保护装置的结构示意图。

图2表示本发明业务系统防伪保护的业务系统识别示意图。

图3表示本发明业务系统防伪保护的受保护业务系统访问控制流程图。

图4表示本发明业务系统防伪保护的伪冒业务系统访问控制流程图。

图5表示本发明业务系统防伪保护的伪冒用户访问控制流程图。

具体实施方式

下面结合附图对本发明的业务系统防伪保护的方法和装置进一步详细阐述。

本发明业务系统防伪保护装置的结构示意图，如图1所示，将业务系统防伪保护管理平台和业务系统防伪客户端分别安装在不同的计算机中；业务系统防伪管理平台由管理员操作，配置需要保护的业务系统；业务系统防伪客户端部署在每个终端用户的计算机中，对终端用户访问业务系统的过程进行实时监控；业务系统防伪网关设备部署在受保护的业务系统的前端，所有对受保护业务系统的访问，首先经过业务系统防伪网关设备。

下面详细说明业务系统防伪保护的过程。

1.设置受保护业务系统

管理员登录管理平台，设置受保护业务系统的IP和端口。受保护的业务系统的IP和端口将设置到业务系统防伪客户端和业务系统防伪网关设备中。

管理员设置统一密钥。

2.识别业务系统

终端用户在业务系统防伪客户端中，访问受保护的业务系统。具体过程如图2所示，主要包括以下步骤：

步骤201，终端用户在业务系统防伪客户端中，连接受保护的业务系统。

步骤202，业务系统防伪客户端获得用户正在访问的业务系统的特征，包括但不限于IP、端口。

步骤203，业务系统防伪客户端对获取到的特征，与管理员所设置的受保护业务系统的IP和端口进行对比，确认当前访问的是受保护业务系统。

步骤204，业务系统防伪客户端发送数据包，数据包的首部由统一密钥加密，数据包的数据部分由统一密钥和随机密钥分段加密。其中，随机密钥由所访问的目的特征与随机数的哈希值获得。加密的数据包将到达业务系统防伪网关设备。

步骤205，业务系统防伪网关设备对加密的数据包进行解密，并进行格式、内容双重解析，获得数据包的源特征、目的特征以及数据包的随机密钥、数据包的源用户。当前所获得的数据包的源特征、目的特征，与管理员已设置的真实业务系统的特征进行对比，判断数据包的目的地是真实的受保护的业务系统。根据当前所获得的数据包中的源用户，识别当前数据包来源于合法用户。

3.合法用户访问受保护业务系统

终端用户在业务系统防伪客户端中，访问受保护的业务系统，具体的访问控制如图3所示，主要包括以下步骤：

步骤301，终端用户在业务系统防伪客户端中，访问受保护的业务系统。

步骤302，业务系统防伪客户端获得防伪密钥，防伪密钥包括统一密钥和随机密钥。随机密钥是受保护业务系统的特征和随机数的哈希值。

步骤303，业务系统防伪客户端对发送出去的数据包，用统一密钥和随机密钥对数据包进行分段加密。

步骤304，业务系统防伪网关设备截获所有发到受保护业务系统的数据包。

步骤305，业务系统防伪网关设备解析数据包，并进行解密，识别出当前用户是合法的，所访问的业务系统是受保护的受保护业务系统。

步骤306，终端用户自由使用受保护的业务系统。

4.合法用户访问伪冒业务系统

终端用户在业务系统防伪客户端中，访问伪冒业务系统，具体的访问控制如图4所示，主要包括以下步骤：

步骤401，终端用户在业务系统防伪客户端中，访问伪冒的业务系统。伪冒的业务系统在IP、端口等特征上，与受保护的业务系统一致。

步骤402，业务系统防伪客户端获得防伪密钥。防伪密钥包括统一密钥和随机密钥。随机密钥是受保护业务系统的特征和随机数的哈希值。

步骤403，业务系统防伪客户端利用防伪密钥，对发送出去的数据包进行加密。

步骤404，加密的数据包被伪冒的业务系统接收。

步骤405，伪冒的业务系统无法解析加密的数据包，用户此次访问失败。

5.伪冒用户访问受保护的业务系统

未部署业务系统防伪客户端的用户，访问受保护的业务系统，具体流程如图5所示，主要包括以下步骤：

步骤501，未部署业务系统防伪客户端的用户，即伪冒用户，访问受保护的业务系统。

步骤502，伪冒用户连接受保护业务系统的数据包，首先被业务系统防伪网关设备截获。

步骤503，业务系统防伪网关设备解析所截获的数据。

步骤504，业务系统防伪网关设备识别数据包来源于伪冒用户。

步骤505，业务系统防伪网关丢弃数据包，禁止连接受保护业务系统。

本领域的技术人员可以对本发明进行各种改动和变形而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变形属于本发明权利要求及其同等技术的范围之内，则本发明也意图包含这些改动和变形在内。

Claims (15)

1.一种业务系统防伪保护的方法，包括以下步骤：

1）在业务系统防伪管理平台设置需要保护的业务系统的IP和端口到业务系统防伪客户端以及业务系统防伪网关设备；

2）通过业务系统防伪客户端访问受保护的或伪冒的业务系统，同时，由业务系统防伪客户端发送加密的数据包；

3）加密的数据包经过受保护的业务系统的业务系统防伪网关设备，业务系统防伪网关设备对加密的数据包进行解密。

2.如权利要求1所述的业务系统防伪保护的方法，其特征在于，步骤2）中，所述的伪冒的业务系统的特征，与真实业务系统的特征相同，包括IP和端口。

3.如权利要求1所述的业务系统防伪保护的方法，其特征在于，步骤2）中，所述加密的数据包中加密首部所用的密钥为统一密钥，由管理员设定；加密数据中的随机密钥和密钥长度，由统一密钥加密；加密数据中的具体内容，所用的密钥为随机密钥，通过受保护的真实业务系统的特征与随机数的哈希值获得。

4.如权利要求1所述的业务系统防伪保护的方法，其特征在于，未安装业务系统防伪客户端的终端用户，访问受保护的业务系统时，由终端发出的数据包，不会加密；通过业务系统防伪客户端访问伪冒的业务系统，不会经过业务系统防伪网关设备，加密的数据包无法解密，无法访问伪冒的业务系统。

5.如权利要求1所述的业务系统防伪保护的方法，其特征在于，步骤3）中，所述业务系统防伪网关设备自动识别当前的非法用户正在访问受保护的业务系统，并禁止非法用户访问受保护的业务系统。

6.一种业务系统防伪保护的装置，包括防伪管理单元、防伪识别单元及防伪保护单元，其中:

防伪管理单元，用于指定需要进行防伪保护的业务系统；

防伪识别单元，根据所指定的需要进行防伪保护的业务系统，自动识别当前访问业务系统的用户及访问的目标对象，决定是否需要执行防伪保护；

防伪保护单元，根据防伪识别单元的识别结果，对业务系统进行防伪保护。

7.如权利要求6所述的业务系统防伪保护的装置，其特征在于，所述的防伪管理单元，通过IP和端口设定需要进行防伪保护的业务系统。

8.如权利要求6所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，根据当前访问的业务系统的IP和端口和指定的业务系统的IP和端口，以及当前访问受保护业务系统的用户，识别是否需要进行防伪保护；所述的识别包括识别伪冒的业务系统及伪冒的用户。

9.如权利要求6所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，对接收到的数据包进行内容的解析，以识别是否是合法的数据包，所述合法的数据包包括加密的首部及加密的数据。

10.如权利要求9所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，对接收到的数据包，用统一密钥解密首部，获得数据包的源特征、目标特征及其他数据包固定格式部分，对获取到的源特征、目标特征，与受保护的业务系统的特征对比，以识别是否是访问受保护的业务系统。

11.如权利要求9所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，用统一密钥对加密的数据的第一部分解密，获得随机密钥，利用随机密钥对数据包中的数据部分进行解密，获得数据源的用户特征，与合法用户对比，以识别是否是合法的用户访问。

12.如权利要求6所述的业务系统防伪保护的装置，其特征在于，所述的防伪保护单元，对发送到指定的业务系统的数据包进行加密，包括首部加密和数据加密。

13.如权利要求12所述的业务系统防伪保护的装置，其特征在于，所述的首部加密是由统一的密钥对首部进行加密的；所述加密的数据包含三部分：由统一密钥加密的随机密钥和密钥长度；由随机密钥加密的数据包的源用户，以及由随机密钥加密的具体内容。

14.如权利要求12所述的业务系统防伪保护的装置，其特征在于，所述加密的数据包只有在到达受保护的业务系统时，会被解密；所述加密的数据包被发到伪冒的业务系统时，伪冒的业务系统不具有解密数据包的能力，无法获得数据包的原始内容。

15.如权利要求6所述的业务系统防伪保护的装置，其特征在于，如果所述防伪识别单元识别出是合法用户访问受保护的业务系统，则所述防伪保护单元允许连接，并对后续的数据包进行解密；如果所述防伪识别单元识别出是非法用户访问受保护的业务系统，则所述防伪保护单元拒绝其连接。

Images