CN103825906A - 基于内容分发网络的企业私钥自加密自部署方法 - Google Patents

Abstract

本发明公开了一种基于内容分发网络的企业私钥自加密自部署方法。该方法包括利用私钥加密客户端来加密需要部署的内容并发送至内容分发网络管理中心，其中私钥加密客户端允许用户在加密时自行设定加密密码；若密文发送成功，则内容分发网络管理中心生成密文ID，并将密文ID返回给私钥加密客户端；若用户选择立即进行私钥部署，则用户在私钥加密客户端输入密文ID和加密密码，并与内容分发网络管理中心平台连接校验；内容分发网络管理中心在收到私钥加密客户端的部署指令后，对密文ID所对应的证书和私钥进行可用性校验；若证书和私钥通过可用性校验，则利用内容分发网络管理中心平台进行自助预部署；以及若预部署成功，则用户进行全部节点自助部署。

Description

基于内容分发网络的企业私钥自加密自部署方法

技术领域

本发明涉及内容分发网络（CDN）的加密技术，尤其是涉及企业私钥自设密码加密、全程密文传输、自动部署、部署时间可自控技术。

背景技术

SSL（Secure Sockets Layer，安全套接层）是一种安全协议，目的是为网络通信提供安全及数据完整性保障。SSL技术在传输通信协议(TCP/IP)上实现了安全协议，采用公开密钥技术，它为TCP/IP连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。因此，SSL普遍应用在互联网敏感数据的传输加密,目前已成为互联网上保密通讯的工业标准。现行的Web浏览器也普遍将HTTP和SSL相结合，从而实现安全通信。

但SSL技术所带来的频繁的加密和解密过程，给服务器带来负担，因此用户（例如：企业）选择利用内容分发网络（CDN）进行SSL服务加速。

现有的基于内容分发网络的SSL加速方案如图1所示。

步骤101：企业客户端利用源加密工具生成证书和私钥加密包，源工具主动推送私钥加密包或者推送存放加密包的路径至内容分发网络平台。

步骤102：内容分发网络平台进行加密包保存及基本信息提取。

步骤103：内容分发网络平台的工作人员验证证书和私钥是否可用。

步骤104：若证书和私钥可用，则由内容分发网络平台的工作人员利用内容分发网络平台对全部节点进行人工部署，否则进行步骤106，即人工错误排查。

步骤105：在全部节点部署完毕后，内容分发网络平台通知工作人员部署结果。

然而，现有的SSL加速方案，例如图1所示的方案，也存在诸多弊端。

首先，加密工具使用的加密密码是由工具自带的、固定单一的。因此，企业无法自行设置密码，会造成加密后的数据不够安全，尤其在第三方运营和维护期间，容易被恶意人士破解。

其次，企业无法立即知道所发送的证书是否可用，如果不可用，企业收到通知后，需要重新进行发送，耗时耗力。

再次，在证书可用的情况下，企业无法知道证书部署到内容分发网络的各节点是否能正常提供https服务；企业无法控制证书的部署时间，证书部署时需要由内容分发网络工作人员操作部署方能生效，从企业角度看，整个流程效率低下。

因此，亟需一种无需人工介入、高效、且安全度更高的基于内容分发网络的SSL加速方案。

发明内容

本发明的目的在于解决企业SSL加速过程中私钥交付和使用产生的安全隐患问题、企业无法自行部署私钥问题以及无法控制部署时间的问题。本发明通过提供企业自行输入密码加密企业私钥、自行控制部署时间并参与部署过程、全程私钥加密传输自动化部署来降低企业安全顾虑、节约时间、减少人力成本。

本发明提供了一种基于内容分发网络的企业私钥自加密自部署方法，所述方法包括以下步骤：

利用一私钥加密客户端来加密需要部署的内容，其中所述私钥加密客户端允许用户在加密时自行设定加密密码，其中经加密的需要部署的内容为密文；

通过所述私钥加密客户端将所述密文发送至一内容分发网络管理中心；

由所述内容分发网络管理中心判断密文发送是否成功，若发送成功，则所述内容分发网络管理中心生成密文ID，并将所述密文ID返回给所述私钥加密客户端；

所述内容分发网络管理中心在收到私钥加密客户端的部署指令后，对所述密文ID所对应的证书和私钥进行可用性校验；

利用所述内容分发网络管理中心平台进行自助预部署，并检查预部署是否通过；以及

若所述预部署成功，则所述用户进行全部节点自助部署。

在一个实施例中，所述内容分发网络管理中心将所述密文ID返回给所述私钥加密客户端后，所述方法还包括：

由所述用户选择立即进行私钥部署或者下次私钥部署；以及

若所述用户选择立即进行私钥部署，则所述用户在所述私钥加密客户端输入所述密文ID和所述加密密码，并与内容分发网络管理中心平台连接校验。

在一个实施例中，所述利用平台进行自助预部署，并检查预部署是否通过的步骤进一步包括以下步骤：

若所述密文ID对应的证书和私钥可用，则所述内容分发网络管理中心将所述证书和私钥的基本信息发送至所述私钥加密客户端；

所述用户点击部署证书和私钥密文；

利用所述内容分发网络管理中心平台进行自助预部署；

所述内容分发网络管理中心检查预部署是否通过，以使得所述用户立即知道在证书和私钥可用的情况下是否可以顺利在所述内容分发网络平台上提供服务。

在一个实施例中，若所述内容分发网络管理中心判断所述密文发送失败，所述内容分发网络管理中心向所述私钥加密客户端发出错误提示。

在一个实施例中，若所述证书和私钥未通过可用性校验，则所述内容分发网络管理中心向所述私钥加密客户端发出错误提示。

在一个实施例中，若所述内容分发网络管理中心检查发现预部署出错，则所述内容分发网络管理中心通知所述内容分发网络的工作人员，并发送错误提示至私钥加密客户端。

本发明还提供了一种基于内容分发网络的私钥加密客户端，所述私钥加密客户端包括以下模块：

选择模块，其中用户选择私钥和证书，并自行设定加密密码；

加密模块，利用所述自行设定的加密密码对私钥和证书进行加密，以形成密文；

密文提交模块，将所述密文或者所述密文存储的路径发送至内容分发网络管理中心；

验证模块，若所述密文提交模块发送的是所述密文存储的路径，则所述验证模块对所述密文存储的路径进行可用性验证；以及

密文ID接收模块，若所述密文存储的路径可用且发送成功或者所述密文发送成功，则所述内容分发网络管理中心生成并发送密文ID，所述密文ID接收模块接收该密文ID。

在一个实施例中，所述私钥加密客户端还包括：

错误信息接收模块，所述密文存储的路径发送不成功或者所述密文发送不成功，则所述内容分发网络管理中心生成出错提示，所述错误信息接收模块接收该出错提示。

在一个实施例中，所述密文存储的路径是URL地址。

本发明还提供了一种基于内容分发网络的私钥验证方法，其特征在于，所述方法包括以下步骤：

接收来自私钥加密客户端输入的密文ID和加密密码，并对所述密文ID和加密密码进行验证，其中所述私钥加密客户端允许用户在加密时自行设定加密密码，其中经加密的私钥和证书为密文；

对所述密文ID进行合法性验证，若所述密文ID合法且存在，则对所述加密密码进行验证，若所述密文ID不正确，则返回对应提示；

对所述加密密码进行准确性验证，若所述加密密码可用，则对所述证书进行过期验证；若所述加密密码不可用，则返回对应错误提示；

对所述证书进行过期验证，若所述证书未过期，则进行域名验证；若所述证书已过期，则返回对应错误提示；

对证书域名与加速域名进行匹配验证，若域名匹配，则进行私钥密码对匹配性验证；若域名不匹配，则返回对应错误提示；以及

对私钥密码对进行匹配性验证，若两者相互匹配，则返回证书整体基础信息；若不匹配，则返回对应错误提示。

附图说明

本发明的以上发明内容以及下面的具体实施方式在结合附图阅读时会得到更好的理解。需要说明的是，附图仅作为所请求保护的发明的示例。在附图中，相同的附图标记代表相同或类似的元素。

图1示出现有技术的基于内容分发网络的SSL加速方案；

图2示出根据本发明的一个实施例的总体业务流程图；

图3示出根据本发明的一个实施例的客户端的工作流程图；

图4示出根据本发明的一个实施例的内容分发网络调度管理中心进行私钥验证的流程图；以及

图5示出根据本发明的一个实施例的部署过程流程图。

具体实施方式

以下在具体实施方式中详细叙述本发明的详细特征以及优点，其内容足以使任何本领域技术人员了解本发明的技术内容并据以实施，且根据本说明书所揭露的说明书、权利要求及附图，本领域技术人员可轻易地理解本发明相关的目的及优点。

本发明的技术方案主要涉及私钥加密客户端、内容分发网络管理中心、内容分发网络服务器客户端三者相互配合并完成部署的过程。

该方法包括以下几个要点：

（1）私钥加密客户端利用企业自设的加密密码对SSL私钥和证书加密。

（2）私钥加密客户端发送密文至内容分发网络管理中心。

（3）内容分发网络管理中心赋予每个密文单独的ID。

（4）内容分发网络管理中心审核证书和私钥并将审核结果、审核信息返回给私钥加密客户端。

（5）内容分发网络管理中心相关部署参数的设置。

（6）内容分发网络管理中心对内容分发网络服务器客户端和私钥加密客户端的管理。

（7）内容分发网络管理中心针对异常进行报警、部署结果通知以及部署过程的日志记录。

图2是根据本发明的一个实施例的总体业务流程图。

步骤201：用户（例如：企业）利用私钥加密客户端来加密需要部署的内容，例如私钥和证书。该私钥加密客户端允许用户在加密时自行设定加密密码，以进一步保证私钥和证书的安全性，使得私钥和证书不易被破解。

步骤202：私钥加密客户端发送密文至内容分发网络管理中心，其中所述密文为经加密的需要部署的内容。

步骤203：内容分发网络管理中心判断密文发送是否成功。若发送失败，则在步骤205处，内容分发网络管理中心给出错误提示；若发送成功，则在步骤204处，内容分发网络管理中心生成密文ID并返回给私钥加密客户端。

用户可选择立即进行私钥部署或者下次部署，即操作权限交给用户，用户可根据自己的意愿来决定证书是现在生效还是以后生效。

若用户选择立即部署时，则在步骤206处，用户需要在私钥加密客户端输入密文ID和加密密码并与内容分发网络管理中心平台连接校验。

步骤207：收到私钥加密客户端部署指令后，内容分发网络管理中心将对密文ID所对应的证书和私钥进行可用性校验，用户可以立即知道所发送的证书和私钥是否可用。

步骤208：若证书和私钥可用，则利用平台进行自助预部署，并检查预部署是否通过。用户可以立即知道在证书和私钥可用的情况下，是否可以顺利在内容分发网络平台上提供服务。

在一个实施例中，步骤208还可包括以下几个步骤：

步骤208-1：若证书和私钥可用，则内容分发网络管理中心将证书和私钥的基本信息发送至私钥加密客户端。

步骤208-2：用户点击部署证书和私钥密文。

步骤208-3：利用内容分发网络管理中心平台进行自助预部署。

步骤208-4：内容分发网络管理中心检查预部署是否通过。用户可以立即知道在证书和私钥可用的情况下，是否可以顺利在内容分发网络平台上提供服务。

步骤209：若加密密码对可用，预部署出错，内容分发网络管理中心通知内容分发网络工作人员，并在步骤210处，返回错误提示给客户端，由内容分发网络工作人员进行排错。

步骤211：若预部署成功，则用户可以进行全部节点自助部署，从而大大提高证书和私钥的部署及服务效率。

图3是根据本发明的一个实施例的私钥加密客户端的工作流程图。

步骤301：用户选择私钥和证书，自输入密码对文件进行加密。

步骤302：私钥加密客户端对需要部署的内容进行加密。

步骤303：加密完成后，用户直接提交密文或者发送密文存储路径至内容分发网络管理中心。

在一个实施例中，密文存储路径可以是URL地址。

步骤304：若发送URL至内容分发网络管理中心，则私钥加密客户端将对URL进行可用性验证。

步骤305：若URL可用且发送成功或者密文发送成功，则在步骤306处，内容分发网络管理中心返回密文ID至私钥加密客户端，否则在步骤307处，提示出错。

在一个实施例中，本发明还提供了一种基于内容分发网络的私钥加密客户端。该私钥加密客户端可以包括以下几个模块：

选择模块，其中用户选择私钥和证书，并自行设定加密密码；

加密模块，利用所述自行设定的加密密码对需要部署的内容进行加密，以形成密文；

密文提交模块，将所述密文或者所述密文存储的路径发送至内容分发网络管理中心；

验证模块，若所述密文提交模块发送的是所述密文存储的路径，则所述验证模块对所述密文存储的路径进行可用性验证；

密文ID接收模块，若所述密文存储的路径可用且发送成功或者所述密文发送成功，则所述内容分发网络管理中心生成并发送密文ID，所述密文ID接收模块接收该密文ID；

错误信息接收模块，所述密文存储的路径发送不成功或者所述密文发送不成功，则所述内容分发网络管理中心生成出错提示，所述错误信息接收模块接收该出错提示。

图4是根据本发明一个实施例的内容分发网络管理中心对私钥的验证原理图。

步骤401：内容分发网络管理中心接收来自私钥加密客户端的密文ID和加密密码，并对密文ID和加密密码进行验证。

步骤402：进行密文ID合法性验证，若密文ID合法且存在则进行加密密码验证，若ID不正确则返回对应提示。

步骤403：进行加密密码准确性验证。若加密密码可用，则进行过期验证；若加密密码不可用，则返回对应错误提示。

步骤404：进行证书过期验证。若证书未过期，则进行域名验证；若证书已过期，则返回对应错误提示。

步骤405：进行私钥等绑定域名与加速域名是否匹配验证。若域名匹配，则进行密码对匹配性验证；若域名不匹配，则返回对应错误提示。

步骤406：进行密码对匹配性验证。若两者相互匹配，则返回证书整体基础信息；若不匹配，则返回对应错误提示。

图5是根据本发明的一个实施例的部署过程流程图。

步骤501：由内容分发网络管理中心下发加密包到内容分发网络节点。

步骤502：内容分发网络节点验证加密包是否完整。

步骤503：若加密包完整，则内容分发网络节点将密文存放于指定位置；若不完整，则反馈信息至内容分发网络管理中心，由管理中心重新下发加密包。

步骤504：部署完毕后，内容分发网络节点反馈信息至内容分发网络管理中心。

步骤505：内容分发网络管理中心做日志记录、更改对应状态。

步骤506：通知内容分发网络服务人员。

采用本发明的技术方案，本发明解决了企业SSL加速过程中私钥交付和使用产生的安全隐患问题、企业无法自行部署私钥问题以及无法控制部署时间的问题。本发明通过提供企业自行输入密码加密企业私钥、自行控制部署时间并参与部署过程、全程私钥加密传输自动化部署来降低企业安全顾虑、节约时间、减少人力成本。

本发明采用的术语和表述方式只是用于描述，本发明并不应局限于这些术语和表述。使用这些术语和表述并不意味着排除任何示意和描述(或其中部分)的等效特征，应认识到可能存在的各种修改也应包含在权利要求范围内。其他修改、变化和替换也可能存在。相应的，权利要求应视为覆盖所有这些等效物。

同样，需要指出的是，虽然本发明已参照当前的具体实施例来描述，但是本技术领域中的普通技术人员应当认识到，以上的实施例仅是用来说明本发明，在没有脱离本发明精神的情况下还可做出各种等效的变化或替换，因此，只要在本发明的实质精神范围内对上述实施例的变化、变型都将落在本申请的权利要求书的范围内。

Claims (10)

1.一种基于内容分发网络的企业私钥自加密自部署方法，其特征在于，所述方法包括： 

利用一私钥加密客户端来加密需要部署的内容，其中所述私钥加密客户端允许用户在加密时自行设定加密密码，其中经加密的需要部署的内容为密文； 

通过所述私钥加密客户端将所述密文发送至一内容分发网络管理中心； 

由所述内容分发网络管理中心判断密文发送是否成功，若发送成功，则所述内容分发网络管理中心生成密文ID，并将所述密文ID返回给所述私钥加密客户端； 

所述内容分发网络管理中心在收到私钥加密客户端的部署指令后，对所述密文ID所对应的证书和私钥进行可用性校验； 

利用所述内容分发网络管理中心平台进行自助预部署，并检查预部署是否通过；以及 

若所述预部署成功，则所述用户进行全部节点自助部署。 

2.根据权利要求1所述的方法，其特征在于，所述内容分发网络管理中心将所述密文ID返回给所述私钥加密客户端后，所述方法还包括： 

由所述用户选择立即进行私钥部署或者下次私钥部署；以及 

若所述用户选择立即进行私钥部署，则所述用户在所述私钥加密客户端输入所述密文ID和所述加密密码，并与内容分发网络管理中心平台连接校验。 

3.根据权利要求1所述的方法，其特征在于，所述利用平台进行自助预部署，并检查预部署是否通过的步骤还包括： 

若所述密文ID所对应的证书和私钥通过可用性校验，则所述内容分发网络管理中心将所述证书和私钥的基本信息发送至所述私钥加密客户端； 

所述用户点击部署证书和私钥密文； 

利用所述内容分发网络管理中心平台进行自助预部署； 

所述内容分发网络管理中心检查预部署是否通过，以使得所述用户立即知道在所述证书和私钥可用的情况下是否可以顺利在所述内容分发网络平台上提供服务。 

4.根据权利要求1所述的方法，其特征在于，若所述内容分发网络管理中心判断所述密文发送失败，则所述内容分发网络管理中心向所述私钥加密客户端发出错误提示。 

5.根据权利要求1所述的方法，其特征在于，若所述证书和私钥未通过可用性校验，则所述内容分发网络管理中心向所述私钥加密客户端发出错误提示。 

6.根据权利要求3所述的方法，其特征在于，若所述内容分发网络管理中心检查发现预部署出错，则所述内容分发网络管理中心通知所述内容分发网络的工作人员，并发送错误提示至所述私钥加密客户端。 

7.一种基于内容分发网络的私钥加密客户端，其特征在于，所述私钥加密客户端包括： 

选择模块，其中用户选择私钥和证书，并自行设定加密密码； 

加密模块，利用所述自行设定的加密密码对所述私钥和证书进行加密，以形成密文； 

密文提交模块，将所述密文或者所述密文存储的路径发送至内容分发网络管理中心； 

验证模块，若所述密文提交模块发送的是所述密文存储的路径，则所述验证模块对所述密文存储的路径进行可用性验证； 

密文ID接收模块，若所述密文存储的路径可用且发送成功或者所述密文发送成功，则所述内容分发网络管理中心生成并发送密文ID，所述密文ID接收模块接收该密文ID。 

8.如权利要求7所述的私钥加密客户端，其特征在于，所述私钥加密客户端还包括： 

错误信息接收模块，所述密文存储的路径发送不成功或者所述密文发送不成功，则所述内容分发网络管理中心生成出错提示，所述错误信息接收模块接收该出错提示。 

9.如权利要求7所述的私钥加密客户端，其特征在于，所述密文存储的路径是URL地址。 

10.一种基于内容分发网络的私钥验证方法，其特征在于，所述方法包括： 

接收来自私钥加密客户端输入的密文ID和加密密码，并对所述密文ID和加密密码进行验证，其中所述私钥加密客户端允许用户在加密时自行设定加密密码，其中经加密的私钥和证书为密文； 

对所述密文ID进行合法性验证，若所述密文ID合法且存在，则对所述加密密码进行验证，若所述密文ID不正确，则返回对应提示； 

对所述加密密码进行准确性验证，若所述加密密码可用，则对所述证书进行过期验证；若所述加密密码不可用，则返回对应错误提示； 

对所述证书进行过期验证，若所述证书未过期，则进行域名匹配验证；若所述证书已过期，则返回对应错误提示； 

对证书域名与加速域名进行匹配验证，若域名匹配，则进行私钥密码对匹配性验证；若域名不匹配，则返回对应错误提示；以及 

对私钥密码对进行匹配性验证，若两者相互匹配，则返回证书整体基础信息；若不匹配，则返回对应错误提示。 

Images