CN104079578A - 取证数据隐蔽传输的方法及系统 - Google Patents

Abstract

本发明公开了一种取证数据隐蔽传输的方法及系统。所述方法包括：客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；网络安全服务器截获所述客户端向服务器发送的数据包，解密还原取证数据。本发明由于客户端不再直接向网络安全服务器发送取证数据，而是向任意服务器发送，由网络安全服务器进行截获，因此，增强了网络安全服务器的隐蔽性，同时，在发送取证数据之前对取证数据进行了加密，保证了取证数据的安全性。

Description

取证数据隐蔽传输的方法及系统

技术领域

本发明实施例涉及计算机取证技术领域，尤其涉及一种取证数据隐蔽传输的方法及系统。

背景技术

现有技术中，远程取证系统采用C/S(Client/Server，客户机/服务器)架构模式，包括客户端和网络安全服务器端，客户端需要主动连接到网络安全服务器端，而网络安全服务器端的IP地址是固定的，这就导致网络安全服务器端的IP暴露，容易被其他监控软件发现、报警甚至屏蔽。为了解决这一问题，目前比较流行的是使用VPN(Virtual Private Network，虚拟专用网)技术。VPN属于远程访问技术，简单地说就是利用公用网络的物理线路架设虚拟的专用网络，相当于在客户端和网络安全服务器端之间搭建了一个安全通道，即加了一台VPN服务器，两者之间的通信通过VPN服务器进行交换，网络安全服务器端的隐蔽性相对加强了。但是，VPN服务器本身长期暴露在不安全的公共网络中，容易被识别、阻断甚至渗透，最终还是可以追踪到网络安全服务器端的IP。

综上，现有技术中的单纯的C/S架构模式的取证技术隐蔽性明显不强，即使使用VPN技术，隐蔽性也不理想。

发明内容

有鉴于此，本发明实施例提供一种取证数据隐蔽传输的方法及系统，以保证数据的安全性，增强网络安全服务器的隐蔽性。

第一方面，本发明实施例提供了一种取证数据隐蔽传输的方法，所述方法包括：

客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；

网络安全服务器截获所述客户端向服务器发送的数据包，解密还原取证数据。

第二方面，本发明实施例还提供了一种取证数据隐蔽传输的系统，所述系统包括：

客户端，用于对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；

服务器，用于接收客户端发送的数据包；

网络安全服务器，用于截获所述客户端向服务器发送的数据包，解密还原取证数据。

本发明实施例提供的取证数据隐蔽传输的方法及系统，通过客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送，网络安全服务器截获客户端向服务器发送的数据包，并解密还原为取证数据，由于客户端不再直接向网络安全服务器发送取证数据，而是向任意服务器发送，由网络安全服务器进行截获，因此，增强了网络安全服务器的隐蔽性，同时，在发送取证数据之前对取证数据进行了加密，保证了取证数据的安全性。

附图说明

图1是本发明第一实施例提供的一种取证数据隐蔽传输的方法的流程图；

图2是本发明实施例提供的取证数据隐蔽传输的方法中的取证数据封装发送的示意图；

图3是本发明实施例提供的取证数据隐蔽传输的方法中的网络安全服务器解密还原取证数据示意图；

图4是本发明实施例提供的取证数据隐蔽传输的方法的流程示意图；

图5是本发明第二实施例提供的一种取证数据隐蔽传输的系统的示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部内容。

图1示出了本发明的第一实施例。

图1是本发明第一实施例提供的一种取证数据隐蔽传输的方法的流程图，该方法适用于对取证数据的隐蔽传输，该方法具体包括如下步骤：

步骤110，客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送。

客户端首先对取证数据进行分片。对数据进行分片类似于TCP(Transmission Control Protocol，传输控制协议)的分段技术。以太网EthernetII中最大的数据帧一般是1518Bytes，由于以太网帧的帧头为14Bytes，帧尾CRC(Cyclic Redundancy Check，循环冗余校验码)校验部分为4Bytes，则承载上层协议的部分也就是数据域最大就只能有1500Bytes了，这个值称为MTU(Maximum Transmission Unit，最大传输单元)。MSS(MaximumSegment Size，最大分段大小)是TCP数据包每次能够传输的最大数据分段。为了达到最佳的传输效能，TCP协议在建立连接的时候通常要协商双方的MSS值，TCP协议在实现MSS值的时候往往用MTU值代替(需要减去IP数据包包头的大小20Bytes和TCP数据段的包头20Bytes)，所以往往MSS值为1460。通讯双方会根据双方提供的MSS值的最小值确定为这次连接的最大MSS值。所以应该取1460以下的值进行分片，为了方便对分片后的数据进行加密，分片大小可设为64的整数倍，可以设置分片大小为1280，因此，分片后的数据组成数据包的个数即分包个数为：

分包个数＝INT((取证数据长度-1)/1280)+1

其中，INT表示取整。

通过以上的方法将取证数据分成了大小一致的多片数据，然后，客户端再对分片后的每片数据按照加解密算法分别进行加密，加密后再对每片数据进行封装，从而生成数据包，将所述数据包随机向大型网站服务器(例如google或者百度等等)或者不存在的服务器发送，可使数据不可逆或者没有固定的连接IP，无法被反追踪。其中，数据封装即对数据进行协议化。

优选的，客户端对分片后的每片数据进行加密封装生成数据包包括：

客户端对每片数据进行RSA公钥加密，并对每片数据标明最大分块ID和当前分块ID；

客户端对加密后的每片数据进行封装并引入取证数据标志，生成数据包。

客户端按照表1所示的RSA加密数据协议对每片数据进行RSA公钥加密，在对每片数据进行加密时标明最大分块ID和当前分片数据的当前分块ID。如表1所示，对每片数据进行RSA加密后包括长度、类型、文件名、最大分块ID、当前分块ID、数据长度和数据，其中，数据是当前分块数据也就是当前分片数据。其中，RSA公钥加密算法是1977年由罗纳德·李维斯特(Ron Rivest)、阿迪·萨莫尔(Adi Shamir)和伦纳德·阿德曼(Leonard Adleman)一起提出的，RSA就是他们三人姓氏开头字母拼在一起组成的。RSA加密算法的密钥是成对出现的，即用公钥加密的数据必需用私钥才能解密。通过RSA公钥加密进一步保证了取证数据的安全性。

表1 RSA加密数据协议

客户端按照表2所示的数据协议化方式对加密后的每片取证数据进行封装，数据封装即对数据进行协议化，在对每片数据进行协议化时引入取证数据标志，每片数据协议化完成即生成了一个完整的数据包。如表2所示，对数据进行封装后生成的数据包包括以太网头、IP头、TCP或者UDP(User DatagramProtocol，用户数据报协议)、标志和附加数据，其中，标志是用来识别是否为取证数据的，大小和内容可以根据情况自行定义，附加数据包括通过RSA公钥加密后的数据。表3是附加数据的格式，如表3所示，附加数据包括协议标志、协议版本号、机器ID、包类型、数据大小和数据，其中，包类型表示各种取证数据包的类型(如截屏、聊天记录等等)，数据即是通过RSA公钥加密后的一片取证数据。

表2 数据协议化

表3 附加数据的格式

优选的，客户端将所述数据包发送至服务器包括：

客户端对所述数据包进行socket配置，使IP地址随机化或者虚拟化；

客户端将所述数据包发送至配置的IP地址指定的服务器。

在对取证数据进行封装完成生成数据包后，客户端再对所述数据包进行socket配置，在配置socket时可以使远端IP地址随机化或者虚拟化，然后将所述数据包发送至配置的IP地址指定的服务器。这样，客户端将取证数据随机向正常网站服务器或者不存在的服务器发送，保证网络安全服务器的IP地址的隐蔽性。要使IP地址随机化，可以用IP字符数组，每次发送数据时随机在IP字符数组中选择IP地址。

图2是本发明实施例提供的取证数据隐蔽传输的方法中的取证数据封装发送的示意图。如图2所示，客户端首先对取证数据进行数据分包即数据分片，将分包后的数据进行加密并协议化封装，然后对数据包进行IP地址配置，使IP地址随机化或者虚拟化，将数据包发送到配置的IP地址指定的服务器，根据数据包中的最大分块ID和当前分块ID判断由一个完整的取证数据文件分片组成的数据包是否发送完毕，如果没有发送完毕，则继续对数据分包、包加密并协议化封装及IP地址随机化或者虚拟化，直到一个完整的取证数据文件分片组成的数据包发送完毕。

步骤120，网络安全服务器截获所述客户端向服务器发送的数据包，解密还原取证数据。

在客户端向服务器发送由取证数据分片、加密封装后组成的数据包的过程中，安全服务器进行监听，以截获到客户端向服务器发送的数据包，首先对数据包进行解封装，然后对解封装后的数据按照加解密算法进行解密，当获取到由一个完整的取证数据文件分片组成的所有数据包，并对每个数据包进行解密后，将该所有数据包的数据还原为一个完整的取证数据文件。

优选的，网络安全服务器解密还原取证数据包括：

网络安全服务器识别所述数据包是否为取证数据；

当所述数据包为取证数据时，网络安全服务器用RSA私钥对所述数据包进行解密校验；

网络安全服务器根据解密后的数据包中的最大分块ID和当前分块ID判断是否接收到取证数据的所有分片生成的数据包；

当接收到取证数据的所有分片生成的数据包时，网络安全服务器将解密校验后的该取证数据的所有分片生成的数据包还原成原始取证数据。

网络安全服务器截获到客户端向服务器发送的数据包后，首先识别所述数据包是否为取证数据，即通过数据包中的标志来识别该数据包是否为取证数据包；当所述数据包为取证数据时，网络安全服务器对所述数据包进行解封装，即提取数据包中的附加数据，将附加数据中的数据用RSA私钥解密，如果解密成功则表示校验合法，如果解密不成功则校验不合法；网络安全服务器根据解密后的数据包中的即对数据进行加密时的最大分块ID和当前分块ID判断是否接收到取证数据的所有分片生成的数据包；当当前分块ID和最大分块ID相同时表明接收到了取证数据的所有分片生成的数据包，网络安全服务器将解密校验成功后的该取证数据的所有分片生成的数据包中的数据根据当前分块ID的大小顺序还原成取证数据。

图3是本发明实施例提供的取证数据隐蔽传输的方法中的网络安全服务器解密还原取证数据示意图。如图3所示，网络安全服务器监听客户端向服务器发送的数据，判断是否为取证数据，如果不是取证数据不做处理，如果是取证数据，则用RSA私钥解密，判断一个完整的取证数据组成的数据包是否接收完，如果还没有接收完毕，则将接收到的解密后的数据包存入缓冲区，如果接收完毕，则从缓冲区取出解密后的数据包，进行重组生成原始取证数据。

图4是本发明实施例提供的取证数据隐蔽传输的方法的流程示意图。如图4所示，客户端对取证数据进行数据分包并加密后向internet(互联网)中发送，网络安全服务器监听客户端向外发送的数据，并截获取证数据生成的数据包，对数据包进行解密还原为取证数据，将还原后的取证数据保存到数据存储服务器中。

本实施例通过客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送，网络安全服务器截获客户端向服务器发送的数据包，并解密还原为取证数据，由于客户端不再直接向网络安全服务器发送取证数据，而是向任意服务器发送，由网络安全服务器进行截获，因此，增强了网络安全服务器的隐蔽性，同时，在发送取证数据之前对取证数据进行了加密，保证了取证数据的安全性。

图5示出了本发明的第二实施例。

图5是本发明第二实施例提供的一种取证数据隐蔽传输的系统的示意图。本实施例提供的取证数据隐蔽传输的系统用于实现第一实施例提供的取证数据隐蔽传输的方法。如图5所示，本实施例提供的取证数据隐蔽传输的系统包括：客户端510、服务器520和网络安全服务器530。

其中，客户端510用于对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送。

优选的，所述客户端包括：

加密模块，用于对每片数据进行RSA公钥加密，并对每片数据标明最大分块ID和当前分块ID；

封装模块，用于对加密后的每片数据进行封装并引入取证数据标志，生成数据包。

优选的，所述客户端包括：

配置模块，用于所述数据包进行socket配置，使IP地址随机化或者虚拟化；

发送模块，用于将所述数据包发送至配置的IP地址指定的服务器。

服务器520用于接收客户端发送的数据包。服务器520可以为任意正常网站(如google或者百度等等)的服务器，也可以是虚拟的不存在的服务器，当服务器520是正常的服务器时，接收到取证数据后，因为没有相应的解密密钥无法进行解密，只能将该数据作为无效数据并丢弃掉。

网络安全服务器530用于截获所述客户端向服务器发送的数据包，解密还原取证数据。

优选的，所述网络安全服务器包括：

识别模块，用于识别所述数据包是否为取证数据；

解密模块，用于当所述数据包为取证数据时，用RSA私钥对所述数据包进行解密校验；

判断模块，用于根据解密后的数据包中的最大分块ID和当前分块ID判断是否接收到取证数据的所有分片生成的数据包；

还原模块，用于当接收到取证数据的所有分片生成的数据包时，将解密校验后的该取证数据的所有分片生成的数据包还原成原始取证数据。

本实施例通过客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；服务器接收客户端发送的数据包；网络安全服务器截获所述客户端向服务器发送的数据包，解密还原取证数据，由于客户端不再直接向网络安全服务器发送取证数据，而是向任意服务器发送，由网络安全服务器进行截获，因此，增强了网络安全服务器的隐蔽性，同时，在发送取证数据之前对取证数据进行了加密，保证了取证数据的安全性。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (8)

1.一种取证数据隐蔽传输的方法，其特征在于，所述方法包括：

客户端对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；

网络安全服务器截获所述客户端向服务器发送的数据包，解密还原取证数据。

2.根据权利要求1所述的方法，其特征在于，客户端对分片后的每片数据进行加密封装生成数据包包括：

客户端对每片数据进行RSA公钥加密，并对每片数据标明最大分块ID和当前分块ID；

客户端对加密后的每片数据进行封装并引入取证数据标志，生成数据包。

3.根据权利要求1或2所述的方法，其特征在于，客户端将所述数据包发送至服务器包括：

客户端对所述数据包进行socket配置，使IP地址随机化或者虚拟化；

客户端将所述数据包发送至配置的IP地址指定的服务器。

4.根据权利要求2所述的方法，其特征在于，网络安全服务器解密还原取证数据包括：

网络安全服务器识别所述数据包是否为取证数据；

当所述数据包为取证数据时，网络安全服务器用RSA私钥对所述数据包进行解密校验；

网络安全服务器根据解密后的数据包中的最大分块ID和当前分块ID判断是否接收到取证数据的所有分片生成的数据包；

当接收到取证数据的所有分片生成的数据包时，网络安全服务器将解密校验后的该取证数据的所有分片生成的数据包还原成原始取证数据。

5.一种取证数据隐蔽传输的系统，其特征在于，所述系统包括：

客户端，用于对取证数据进行分片，对分片后的每片数据进行加密封装生成数据包，并将所述数据包向服务器发送；

服务器，用于接收客户端发送的数据包；

网络安全服务器，用于截获所述客户端向服务器发送的数据包，解密还原取证数据。

6.根据权利要求5所述的系统，其特征在于，所述客户端包括：

加密模块，用于对每片数据进行RSA公钥加密，并对每片数据标明最大分块ID和当前分块ID；

封装模块，用于对加密后的每片数据进行封装并引入取证数据标志，生成数据包。

7.根据权利要求5或6所述的系统，其特征在于，所述客户端包括：

配置模块，用于所述数据包进行socket配置，使IP地址随机化或者虚拟化；

发送模块，用于将所述数据包发送至配置的IP地址指定的服务器。

8.根据权利要求6所述的系统，其特征在于，所述网络安全服务器包括：

识别模块，用于识别所述数据包是否为取证数据；

解密模块，用于当所述数据包为取证数据时，用RSA私钥对所述数据包进行解密校验；

判断模块，用于根据解密后的数据包中的最大分块ID和当前分块ID判断是否接收到取证数据的所有分片生成的数据包；

还原模块，用于当接收到取证数据的所有分片生成的数据包时，将解密校验后的该取证数据的所有分片生成的数据包还原成原始取证数据。