CN103685187A - 一种按需转换ssl认证方式以实现资源访问控制的方法 - Google Patents

Abstract

本发明一种按需转换SSL认证方式以实现资源访问控制的方法，是在客户端通过互联网连接SSL服务器构成的系统上对SSL服务器进行常规的SSL功能设置、在其中导入用于客户端证书认证的根证书、并对其上的被访问资源设置访问控制规则、以客户端请求与访问控制规则匹配与否确定其与SSL服务器连接的认证方式，从而实现对资源访问的控制连接。本发明从全局上看，是单向认证模式，只针对访问控制规则要求的资源进行双向认证，既发挥了原有的高效率，又同时提供了对关键资源的高安全性保证。本发明可自动切换SSL认证方式，不影响其它连接。

Description

一种按需转换SSL认证方式以实现资源访问控制的方法

技术领域

本发明涉及网络应用领域，特别涉及一种按需转换SSL认证方式以实现资源访问控制的方法。 

背景技术

伴随着网络技术的发展，黑客活动也日益增多，尤其是在电子商务、网上银行等互联网业务领域，信息交互的安全性也因此成为大家关注的焦点。SSL协议，能够在通信双方建立起一条加密通道，使传输的数据得到有效控制，目前已经得到了广泛应用。 

SSL（secure sockets layer安全套接字层）协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。 

SSL协议提供的服务主要有： 

1）对客户端和服务器的身份进行认证，确保数据发送到正确的客户端和服务器； 

2）加密数据以防止数据中途被窃取； 

3）维护数据的完整性，确保数据在传输过程中不被改变。 

SSL协议的工作流程： 

1）客户端向服务器发送一个开始消息“Client Hello”，发起一个新的会话请求； 

2）客户端和服务器协商SSL协议的版本号，加密算法组件，压缩算法，是否重用原来的会话ID等信息； 

3）服务器向客户端发送数字证书，供客户端对其进行身份认证。 

如果服务器也需要对客户端进行身份认证，则需向客户端发送“客户端证书”请求消息，客户端收到后，会向服务器发送其数字证书。任何一方的身份认证失败，都会导致该SSL连接关闭，如果认证成功，则继续。 

4）客户端和服务器利用非对称加密算法，产生并交换预主密钥。 

5）客户端和服务器分别计算出主密钥，并产生出用于数据加解密的密钥。 

6）双方确认对方已拥有正确的密钥后，SSL协议握手完成。 

7）利用在2）中协商的对称加密算法及4）中产生的密钥，对数据加密后，传输给对方。 

根据认证方式的不同，SSL协议分为单向认证和双向认证两种。单向认证即服务器需要向客户端提供数字证书，客户端对其进行身份验证；双向认证即客户端和服务器双方需要分别向对方提供数字证书，并对对方证书进行身份验证。很显然，双向认证方式能够提供更为安全的保证，但由于服务器对客户端证书的验证，需要花费时间，大大降低了数据传输的效率。 

目前的技术方案中，一个服务器（唯一的ip地址+端口）对外提供SSL服务，多是使用单一认证方式，要么使用单向认证，要么使用双向认证。无法最大程度地兼顾效率与安全性。 

发明内容

针对上述已有技术的不足，本发明的目的是提出一种按需转换SSL认证方式以实现资源访问控制的方法。使一个SSL服务器能够同时使用两种认证方式，客户端访问普通内容时，使用单向认证方式，当访问关键性数据、敏感信息或进行保密性要求较高的业务交易时，自动将单向认证转换成双向认证方式。 

为实现上述目的，本发明提出一种按需转换SSL认证方式以实现资源访问控制的方法，该方法的实施是基于客户端通过互联网连接SSL服务器构成的系统，所述SSL服务器包括有SSL服务模块，所述系统包括有多个连接，每个连接包括有客户端IP地址、客户端端口、SSL服务器IP地址、SSL服务器端口及TCP协议的五元组所标识的信息通道，该方法包括以下基本步骤： 

步骤1，对SSL服务器进行常规的SSL功能设置； 

步骤2，在SSL服务器中导入用于客户端证书认证的根证书； 

步骤3，对SSL服务器上的被访问资源设置访问控制规则； 

步骤4，判断客户端请求与上述访问控制规则是否匹配，确定客户端请求与SSL服务器连接的认证方式，按照其认证方式完成对资源访问控制的连接。 

进一步地，上述步骤4还包括以下具体步骤： 

步骤5，客户端请求通过互联网访问上述SSL服务器，首先进行单向认证的SSL协议握手，然后； 

步骤6，SSL服务器解析客户端请求,与上述已设置的访问控制规则进行匹配，若不相匹配，则进入单向认证流程，若匹配，表示需要进行双向认证，然后； 

步骤7，在上述相匹配被访问资源的连接上设置动态双向认证标志； 

步骤8，客户端请求匹配到上述被访问资源连接上设置的动态双向认证标志时，触发SSL模块对所述客户端请求的连接从单向认证向双向认证转换； 

步骤9，SSL服务器请求所述客户端发送数字证书； 

步骤10，SSL服务器验证客户端发来的数字证书，根据上述已导入的根证书进行验证，如果验证合格，则双向SSL握手继续进行，并在该连接上设置“客户端认证通过”的标志，若验证不合格，则此SSL连接失败； 

步骤11，上述客户端数字证书验证合格且该连接完成双向SSL握手之后，SSL服务器对客户端请求再次与访问控制规则匹配，若客户端请求与上述访问控制规则不相匹配，则进入单向认证流程；若匹配，需要进一步校验步骤10中设置的“客户端认证通过”标志，若该标志存在，然后； 

步骤12，完成上述客户端请求与SSL服务器中受控制访问资源的连接。 

本发明实施方式与现有技术相比，主要区别及其效果在于：本发明对于服务器站点而言，从全局上看，是单向认证模式，只对根据客户实际需要控制的资源提供双向认证模式，既发挥了SSL单向认证的高效率，又同时提供了对需控制的资源进行双向认证带来的高安全性保证，特别地，本发明对需控制资源的连接可自动切换SSL认证方式，不影响其它连接。 

附图说明

图1是实施本发明的第一种系统结构示意图； 

图2是实施本发明的第二种系统结构示意图； 

图3是本发明按需转换SSL认证方式以实现资源访问控制方法的关键步骤示意图； 

图4是本发明按需转换SSL认证方式以实现资源访问控制方法其实施系统运行后的流程框图。 

具体实施方式

在以下的叙述中，为了使读者更好地理解本申请而提出了许多技术细节。但是，本领域的普通技术人员可以理解，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请各权利要求所要求控制的技术方案。 

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明的实施方式作进一步地详细描述。 

如图1所示，本发明方法的实施是基于客户端101通过互联网102连接SSL服务器103构成的系统，在本发明中，连接表示一个五元组（客户端IP地址，客户端端口，服务器IP地址，服务器端口，TCP协议）所标识的信息通道，在客户端与SSL服务器之间可以创建多条连接；SSL服务器特指包括SSL服务模块的服务器，即在一个特定的IP地址与端口号上运行SSL服务。如图2，本发明方法也可实施在由客户端101通过互联网102连接负载均衡服务器104及后台服务器105构成的系统中，其中负载均衡服务器中包括SSL虚拟服务模块。如图1-3所示，本发明方法包括以下基本步骤： 

步骤1，对SSL服务器进行常规的SSL功能设置201,例如导入密钥和证书等操作，同时将此服务器SSL认证方式设置为单向认证201，所述的设置为单向认证是指对该SSL服务器的全局性认证方式设置为单向认证;如图2所示，若采用包括SSL虚拟服务模块的负载均衡器实施系统，例如Array APV系列设备，在SSL虚拟服务的配置界面中，选择不需要客户端认证方式，即为单向认证； 

步骤2，在SSL服务器中导入用于客户端证书认证的根证书202，当单向认证自动切换成双向认证时，SSL服务器需要向客户端提供根证书的内容，并用此根证书对客户端证书进行证书验证； 

步骤3，对SSL服务器上的被访问资源设置访问控制规则203，所述访问控制规则可以资源访问控制列表的形式存于SSL服务器内，比如对无需控制的 网页或文件的访问规则设置为只进行SSL单向认证，对需控制的网页或文件设置为SSL双向认证；在实际应用中，根据需要，可将少数关键网页或文件设置成双向认证，而其它多数网页或文件采用单向认证，例如对index.html（网站的默认主页，Hypertext Markup Language，超文本标记语言）页面只要求单向认证，而对fund.html则要求使用双向认证；也可以将需控制的多数网页面或文件设置成双向认证，其它少数无需控制的网页或文件采用单向认证； 

步骤4，判断客户端请求与上述访问控制规则是否匹配，确定客户端请求与SSL服务器连接的认证方式，按照其认证方式完成对资源访问控制的连接204，例如上述，网页中包含fund.html的需要进行双向认证：当客户端请求访问上述需控制资源网页时，只有客户端证书校验合格才能成功连接访问服务器；而不需要进行双向认证的网页或文件，单向认证后即可连接访问服务器。 

进一步地，上述步骤4包括以下具体步骤： 

步骤5，客户端请求通过互联网访问上述SSL服务器，首先进行单向认证的SSL协议握手301，然后； 

步骤6，SSL服务器解析客户端请求,与上述已设置的访问控制规则进行匹配302，若不相匹配，则进入单向认证流程，若匹配，表示需要进行双向认证，例如解析URL（Uniform/Universal Resource Locator，网页地址），与上述资源访问控制列表中所配置的规则进行匹配302，若客户端请求的网页与上述资源访问控制列表中的任何一项均不相匹配，则进入单向认证流程313；若匹配，比如包含fund.html则表示需要进行双向认证，然后； 

步骤7，在上述相匹配被访问资源的连接上设置动态双向认证标志303，此处的设置是动态设置，并且只针对于该连接，区别于步骤1中对服务器进行全局性的SSL单向认证设置； 

步骤8，客户端请求匹配到上述被访问资源连接上设置的动态双向认证标志时，触发SSL模块对所述客户端请求的连接从单向认证向双向认证转换304，此时SSL服务器向客户端发送hello request消息，客户端在收到hellorequest之后，会重新发起新的SSL握手请求304； 

步骤9，SSL服务器请求所述客户端发送数字证书305，SSL服务器在收到客户端的client hello之后，将会向客户端发送certificate request（证书请求），即请求客户端发送数字证书305； 

步骤10，SSL服务器验证客户端发来的数字证书，根据上述已导入的根证书进行验证306，若验证不合格，则此SSL连接失败312，合格，则双向SSL协议握手继续进行，并在该连接上设置“客户端认证通过”的标志307， 

步骤11，上述客户端数字证书验证合格且该连接完成双向SSL握手之308后，SSL服务器对客户端请求再次与访问控制规则匹配309，即SSL服务器解析上述客户端请求与资源访问控制列表中所配置的访问规则进行匹配，通常，此时的请求页面与之前的是相同的，但是理论上讲，此次发送的客户端请求可以与之前的请求不同，为保险起见，需要再次匹配；若客户端请求与上述访问控制规则不相匹配，则进入单向认证流程313；若匹配，比如包含fund.html表示需要进行双向认证的，需要进一步校验步骤10中设置的“客户端认证通过”标志310，若该标志存在，然后； 

步骤12，完成上述客户端请求与SSL服务器中受控制访问资源的连接311。 

再如图2所示，以ArrayNetworks的负载均衡器APV8600为例，给出本发明的一个实际应用，某单位项目我们按照本发明方法可以按以下步骤完成： 

a.配置三台后台服务器rs1 10.3.1.20, 

                    rs2 10.3.1.21, 

                    rs3 10.3.1.22； 

b.配置服务器负载均衡服务vs1，IP地址为220.57.54.88，端口为443； 

c.将vs 1与rs1,rs2,rs3绑定； 

d.配置SSL虚拟服务www.abcbank.com； 

e.对SSL虚拟服务进行常规的SSL功能设置，并设置SSL认证方式为单向认证方式； 

f.导入SSL虚拟服务的密钥和数字证书； 

g.导入用于客户端证书认证的根证书； 

h.将SSL虚拟服务www.abcbank.com与服务器负载均衡服务vs1绑定（二者就共同构成了一个SSL服务器）； 

i.启动SSL虚拟服务; 

j.配置资源访问控制列表; 

例如设定“www.abcbank.com/fund.html”的访问方式为双向认证。 

以上就完成了项目的设置步骤，开机后，如图4所示，系统将按照图示流程完成客户端请求与服务器的连接，其中，凡是客户端请求www.abcbank.com/fund.html网页的，需要进行SSL双向认证，实现了在保证系统效率的同时，对关键或需保密资源进行了有效的控制。 

虽然通过参照本发明的某些优选实施方式，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。 

Claims (2)

1.一种按需转换SSL认证方式以实现资源访问控制的方法,该方法基于客户端通过互联网连接SSL服务器构成的系统，所述SSL服务器包括有SSL服务模块，所述系统包括有多个连接，每个连接包括有客户端IP地址、客户端端口、SSL服务器IP地址、SSL服务器端口及TCP协议的五元组所标识的信息通道，其特征是它包括以下基本步骤：

步骤1，对SSL服务器进行常规的SSL功能设置；

步骤2，在SSL服务器中导入用于客户端证书认证的根证书；

步骤3，对SSL服务器上的被访问资源设置访问控制规则；

步骤4，判断客户端请求与上述访问控制规则是否匹配，确定客户端请求与SSL服务器连接的认证方式，按照其认证方式完成对资源访问控制的连接。

2.根据权利要求1所述的一种按需转换SSL认证方式以实现资源访问控制的方法,其特征是所述步骤4包括以下具体步骤：

步骤5，客户端请求通过互联网访问上述SSL服务器，首先进行单向认证的SSL协议握手，然后；

步骤6，解析客户端请求,与上述已设置的访问控制规则进行匹配，若不相匹配，则进入单向认证流程，若匹配，表示需要进行双向认证，然后；

步骤7，在上述相匹配被访问资源的连接上设置动态双向认证标志；

步骤8，客户端请求匹配到上述被访问资源连接上设置的动态双向认证标志时，触发SSL模块对所述客户端请求的连接从单向认证向双向认证转换；

步骤9，SSL服务器请求所述客户端发送数字证书；

步骤10，SSL服务器验证客户端发来的数字证书，根据上述已导入的根证书进行验证，如果验证合格，则双向SSL握手继续进行，并在该连接上设置“客户端认证通过”的标志，若验证不合格，则此SSL连接失败；

步骤11，上述客户端数字证书验证合格且该连接完成双向SSL握手之后，SSL服务器对客户端请求再次与访问控制规则匹配，若客户端请求与上述访问控制规则不相匹配，则进入单向认证流程；若匹配，需要进一步校验步骤10中设置的“客户端认证通过”标志，若该标志存在，然后；

步骤12，完成上述客户端请求与SSL服务器中受控制访问资源的连接。

Images