CN104660583A - 一种基于Web加密服务的加密服务方法 - Google Patents

Abstract

本发明提供一种基于Web加密服务的加密服务方法，包括以下步骤：请求者请求认证身份；通过身份认证的请求者访问票据服务器；请求者获得Web加密服务。本发明提供的基于Web加密服务的加密服务方法，能够降低本地代码对加密服务的依赖性，提高加密算法本身安全性，通过统一Web加密服务接口和多样性的加密算法库，能够支持不同业务系统对不同加密算法库的需求。

Description

一种基于Web加密服务的加密服务方法

技术领域

本发明属于电力信息安全领域，具体涉及一种基于Web加密服务的加密服务方法。

背景技术

早在20世纪90年代中期，Gartner就提出了SOA的概念，但当时的软件技术发展和信息化水平还不足以使它走入实用阶段。由于SOA与Web服务的安全问题在理论方法与支持技术方面的复杂性,引起了工业界与学术界的广泛探讨,许多一流公司的研究机构如剑桥的Microsoft Research、美国的IBM Research、东京的IBM Tokyo Research Laboratory、CiscoSystems、Infosys Technologies Ltd的软件工程与技术实验室、欧洲软件研究院EuropeanSoftware Institute、美国波音Boeing Phantom works都发表了自己的研究成果。在学术界,欧美的著名高校与研究机构每年都有大量的研究与应用成果发表。这些研究归纳起来可以分为两个方面:一个是SOA应用系统的业务安全需求与建模，包括安全需求建模、模型驱动的安全转换、安全策略与服务安全配置等，统称之为SOA安全领域研究；另一是SOA应用平台的安全，随着Web服务在SOA应用集成中广泛实践与应用，平台的可用性与可靠性已成为应用集成成功与否的关键。SOA(Service-Oriented Architecture，面向服务架构)是一种架构模型，它可以根据需求通过网络对松散耦合的粗粒度应用组件进行分布式部署、组合和使用。服务层是SOA的基础，可以直接被应用调用，从而有效控制系统中与软件代理交互的人为依赖性。SOA本质上是服务的集合。

当前，密码学研究是各国为了保证数据通信安全的有效方式之一。美国GVM为了适应信息社会开展的须要，增强GVM司法机构的社会治理执法的高技巧支持才能和情报部门的抗衡信息战的才能，正通过NIST提出并推进着密钥托管、密钥复原、证书受权认证、地下密钥基本设备、地下密钥治理基本设备等一系列技巧手腕、技巧规范和相干实践基本的钻研，俄罗斯国家也有相应的国家标准密码算法，建立保密法律法规，开展重要密码模块的研究。国内的张焕国、覃中平将密码学与演化计算结合起来，借鉴生物进化的思想,提出演化密码的概念和用演化计算设计密码的方法。并在分组密码S盒、Bent函数、随机序列的演化设计方面取得了有意义的研究成果。

在安全接口方面，从目前的发展来看，安全产品一般都是基于PKI体系架构设计的。从大的方面来说，所有提供公钥加密和数字签名服务的系统，都可以归结为PKI系统的一部分，PKI的主要目的是通过自动管理密钥和证书，为用户建立起一个安全的网络运行环，使用户可以再多种应用环境下方便的使用加密和数字签名技术，从而保证网上数据的机密性、完整性和有效性。目前，国际上有一些可以让开发者选择的API类型，IETF建议标准为通用安全服务API：GSS-API(Generic Security Service Application Program Interface)，它提供了一种接口与网络机制和网络协议相互独立的实现。目前，在API市场处于领先地位的是RSA BSAFE和Microsoft的CryptoAPI和Intel的公用数据安全架构CDSA(Common Data SecurityArchitecture)，他们凭借自己的产品优势相互竞争。Microsoft利用其广泛的操作系统市场，而Intel则凭借其PC芯片的优势，并与其他厂商，如IBM、Entrust和Netscape等进行联合，共同支持CDSA。现在也有很多厂商的PKI产品同时支持这两种API，如Entrust等，PKIX在很多情况下支持CDSA。除此之外，开放组织Open Group也在考虑使用有RSA实验室制定的PKCS作为安全API接口。我国的安全技术和产品主要集中在密码基础理论研究、加密设备开发、CA系统开发等相对狭窄的领域，对密码安全应用平台相关的技术和理论研究较少,主要还是以参照国际上的标准和主流协议为主，包括PKCS#11、CryptoAPI、CDSA三大类。国家密码管理局在2008年发布了《公钥密码基础设施应用技术体系通用密码服务接口规范(试用)》和《公钥密码基础设施应用技术体系_密码设备应用接口规范(试用)》两个规范。前者在典型密码服务层和应用层规定了统一的、与密码协议无关、与密钥管理无关、与密码设备管理无关的通用密码服务接口。后者旨在为公钥密码基础设施应用体系框架下的服务类密码设备制定统一的应用接口标准，通过该接口调用密码设备，向上层提供基础密码服务。

国家电网公司在信息基础平台及信息安全体系建设方面进行了深入细致的研究工作，在基于SOA的信息开发平台构建、SOA系统服务安全集成以及SOA体系安全基础组件建设方面取得了一定进展，公司依托SG-186、SG-ERP项目，研究并建成了统一应用开发平台、搭建了以ESB服务总线为基础的应用集成框架、部署了国家电网公司证书管理系统等安全基础设施。为了在基于SOA平台框架下开发安全的服务，通过研究加密服务使用Web服务方式、统一接口并实现多样性的加密算法库支持，降低业务与安全的耦合性，提供加密算法的安全性，以及满足多业务系统对多样性加密算法库的要求。

发明内容

为了克服上述现有技术的不足，本发明提供一种基于Web加密服务的加密服务方法，能够降低本地代码对加密服务的依赖性，提高加密算法本身安全性，通过统一Web加密服务接口和多样性的加密算法库，能够支持不同业务系统对不同加密算法库的需求。

为了实现上述发明目的，本发明采取如下技术方案：

本发明提供一种基于Web加密服务的加密服务方法，所述方法包括以下步骤：

步骤1：请求者请求认证身份；

步骤2：通过身份认证的请求者访问票据服务器；

步骤3：请求者获得Web加密服务。

所述步骤1中，kerberos认证服务器采用kerberos认证协议对请求者的身份进行认证，具体包括以下步骤：

步骤1-1：请求者将自己的身份信息通过会话密钥与kerberos认证服务器通信；

步骤1-2：kerberos认证服务器收到请求者发送的身份认证请求后，解密身份信息；

步骤1-3：将身份信息与kerberos认证服务器中数据库存储的身份信息相比较，以验证请求者的身份；

步骤1-4：若请求者身份验证通过，进入步骤2，否则结束。

所述步骤2具体包括以下步骤：

步骤2-1：kerberos认证服务器为向通过身份认真的请求者发放认证票据T_t；

步骤2-2：请求者获得认证票据T_t后访问票据服务器，请求获得Web加密服务票据；

步骤2-3：票据服务器通过验证请求者的认证票据T_t是否过期，若未过期则为请求者发放Web加密服务票据T_s；

步骤2-4：请求者获得Web加密服务票据T_s后，使用Web加密服务票据T_s访问Web加密服务器；

步骤2-5：Web加密服务器获得Web加密服务票据T_s后，验证Web加密服务票据T_s的有效性，若有效，则建立通信，否则结束。

所述Web服务票据T_s包含请求者与Web加密服务的共享密钥，以及请求者的身份信息。

所述步骤3中，请求者获得的Web加密服务包括加密服务管理、加密服务接口、加密服务库和签名代码本地执行；

加密服务管理用于协商请求者与Web加密服务之间的加密算法库选择、加密算法选择、密钥大小选择以及是否需要本地执行签名代码；

加密服务接口提供加密服务，展现给请求者输入规范以及输出内容；

加密服务库采用自行研究库、开源库或商业库；

签名代码在本地执行前先进行签名代码的验证，验证通过后即可在本地执行。

请求者获得加密服务管理过程如下：

(1)Web服务器分析电力业务系统安全需求，按照国家密码管理局规范、国网规范和专家建议，构建加密业务系统、加密算法库以及加密算法和共享密钥的对应关系；

(2)请求者依据确定加密算法库、加密算法和共享密钥的长度要求，并将安全需要请求提交给加密服务接口；

(3)加密服务接口通过判定请求者安全需要请求，并返回相应的加密算法库、加密算法和共享密钥。

签名代码本地执行过程如下：

(1)请求者配置Web加密服务器的加密服务证书；

(2)请求者向加密服务接口发送服务本地执行请求，请求者需提供本地执行的加密服务；

(3)加密服务接口根据请求者发送的服务本地执行请求，返回签名代码至请求者；

(4)请求者通过加密服务证书和签名代码，调用Web加密服务器的签名验证接口请求验证；

(5)Web加密服务器通过签名验证接口进行验证，并将验证结果返回请求者；

(6)请求者依据Web加密服务器返回的验证结果判定验证是否通过，若通过则允许签名代码在本地执行，并执行加密服务程序。

与现有技术相比，本发明的有益效果在于：

1)Web服务方式的加密作为信息平台的服务，能够为平台下多业务系统提供统一加密接口服务，降低业务系统对加密接口的耦合性。将来还可以扩展为云加密服务；

2)Web服务方式的加密统一接口，且提供多样性的加密库和加密算法。满足不同业务系统对加密服务的不同需求，如电力系统新的安全要求为国家密码管理局颁布的加密算法，但还要同时兼容以往业务系统的加密算法，如旧的RSA算法；

3)Web方式加密服务，加密服务代码由服务端执行或提供，方法本身可控。

附图说明

图1是本发明实施例中基于Web加密服务的加密服务方法示意图；

图2是本发明实施例中请求者请求认证身份示意图；

图3是本发明实施例中加密服务接口可以支持的底层实现库示意图；

图4是本发明实施例中加密服务接口提供服务的两种方式示意图；

图5是本发明实施例中具有签名代码的服务本地执行流程图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

本发明提供一种基于Web加密服务的加密服务方法，所述方法包括以下步骤：

步骤1：请求者请求认证身份；

步骤2：通过身份认证的请求者访问票据服务器；

步骤3：请求者获得Web加密服务。

所述步骤1中，kerberos认证服务器采用kerberos认证协议对请求者的身份进行认证，具体包括以下步骤：

步骤1-1：请求者将自己的身份信息通过会话密钥与kerberos认证服务器通信；

步骤1-2：kerberos认证服务器收到请求者发送的身份认证请求后，解密身份信息；

步骤1-3：将身份信息与kerberos认证服务器中数据库存储的身份信息相比较，以验证请求者的身份；

步骤1-4：若请求者身份验证通过，进入步骤2，否则结束。

所述步骤2具体包括以下步骤：

步骤2-1：kerberos认证服务器为向通过身份认真的请求者发放认证票据T_t；

步骤2-2：请求者获得认证票据T_t后访问票据服务器，请求获得Web加密服务票据；

步骤2-3：票据服务器通过验证请求者的认证票据T_t是否过期，若未过期则为请求者发放Web加密服务票据T_s；

步骤2-4：请求者获得Web加密服务票据T_s后，使用Web加密服务票据T_s访问Web加密服务器；

步骤2-5：Web加密服务器获得Web加密服务票据T_s后，验证Web加密服务票据T_s的有效性，若有效，则建立通信，否则结束。

所述Web服务票据T_s包含请求者与Web加密服务的共享密钥，以及请求者的身份信息。

所述步骤3中，请求者获得的Web加密服务包括加密服务管理、加密服务接口、加密服务库和签名代码本地执行；

A.加密服务管理用于协商请求者与Web加密服务之间的加密算法库选择、加密算法选择、密钥大小选择以及是否需要本地执行签名代码；

B.加密服务接口提供加密服务，展现给请求者输入规范以及输出内容；

加密服务接口，目前的实现主要是针对本地实现，或是使用单独的库，如微软的加密服务接口cryptoAPI，Java的加密扩展框架JCE以及加密提供程序BouncyCastle，加密芯片和加密服务机器的产品。Web加密服务能够提供多个加密服务库，使用提供统一的加密服务接口来屏蔽底层的实现方式，使用加密服务管理程序来协商和满足请求客户的加密需求。

C.加密服务库采用自行研究库、开源库或商业库；

D.签名代码在本地执行前先进行签名代码的验证，验证通过后即可在本地执行，由于大文件加密服务过于消耗网络资源和服务资源，签名代码同样可以应用于大文件加解密服务。

请求者获得加密服务管理过程如下：

(1)Web服务器分析电力业务系统安全需求，按照国家密码管理局规范、国网规范和专家建议，构建加密业务系统、加密算法库以及加密算法和共享密钥的对应关系；

(2)请求者依据确定加密算法库、加密算法和共享密钥的长度要求，并将安全需要请求提交给加密服务接口；

(3)加密服务接口通过判定请求者安全需要请求，并返回相应的加密算法库、加密算法和共享密钥。

(3-1)若请求者明确加密库，加密算法和加密密钥，加密服务接口与请求者协协商确定。

(3-2)若请求者提供业务系统安全需求，则加密服务接口通过近似匹配从构建的库中选择加密算法库、加密算法和产生随机密钥提供给请求者。

(3-3)若请求者未提供任何信息，则按默认方式处理。

由于私钥的保密性，私钥是不能够在网络上进行传输的。为了应对私钥加密(包括私钥加密和数字签名)，Web加密服务不直接提供私钥加密和数字签名服务，用户可以通过两种方式访问，一是通过Web加密服务管理接口请求开通Web私钥加密和数字签名服务，另一种方式是通过Web加密服务管理接口请求Web服务提供签名的代码，并执行于请求者。We私钥加密和数字签名服务开通后，使用方式与其他加密服务无区别，但是，不建议直接使用Web加密服务的私钥加密和签名服务接口，因为私钥无论是在安全的网络还是不安全的网络上传输都是不安全的，即使是加密的。如图5，签名代码本地执行过程如下：

(1)请求者配置Web加密服务器的加密服务证书；

(2)请求者向加密服务接口发送服务本地执行请求，请求者需提供本地执行的加密服务；

(3)加密服务接口根据请求者发送的服务本地执行请求，返回签名代码至请求者；

(4)请求者通过加密服务证书和签名代码，调用Web加密服务器的签名验证接口请求验证；

(5)Web加密服务器通过签名验证接口进行验证，并将验证结果返回请求者；

(6)请求者依据Web加密服务器返回的验证结果判定验证是否通过，若通过则允许签名代码在本地执行，并执行加密服务程序。

如图1，Web加密服务器为SOA框架下的加密服务程序，通过Kerberos认证服务器对请求者进行身份认证。同时可以使用Kerberos进行会话密钥的交换。会话密钥的交换还可以使用更安全的非对称方式，DH和SSL算法。Web加密服务器通过加密服务接口提供，由请求者发起Web加密服务请求后，给请求者提供加密服务。

如图2，使用Kerberos认证协议对请求者进行身份认证。身份认证开始之前，请求者与Kerberos认证服务器持有相互的共享密钥K_CA，且Kerberos认证服务器有请求者的身份信息，票据服务器与Kerberos认证服务器持有相互的共享密钥K_GA，票据服务器与Web加密服务器持有相互的共享密钥K_GS。

请求者将自己的身份信息使用共享密钥K_CA加密后提供给Kerberos认证服务器，Kerberos认证服务器使用共享密钥K_CA解密请求者身份信息，并与数据库中的身份信息对请求者进行身份认证，若认证不通过，结束。

若认证通过，则Kerberos认证服务器会为请求者与票据服务器产生会话密钥S_CG，使用票据服务器的共享密钥K_GA对请求者的身份信息和会话密钥进行加密，从而产生认证票据T_t，同时使用请求者的共享密钥K_CA对会话密钥S_CG进行加密，并一起返回给请求者。

请求者接收到Kerberos认证服务器发送过来的消息后，使用K_CA解密会话密钥S_CG，使用S_CG将身份信息加密，然后和T_t一起发送至票据服务器，请求Web加密服务票据T_s。

票据服务器首先使用与认证服务的共享密钥K_GA解密认证票据T_t，取出与请求者的会话密钥S_CG和请求者的身份信息，然后再使用会话密钥S_CG解密请求者发送过来的身份信息，并与之前的身份信息进行比较，若不相同，结束。

若相同，则为Web加密服务与请求者生成会话密钥S_CS，并使用票据服务器与Web加密服务的共享密钥K_GS加密会话密钥和请求者的身份信息，产生Web加密服务票据T_s，同时使用票据服务器的返回给请求者。

请求者收到返回后，使用S_CG，解密请求者与Web加密服务端的会话密钥S_CS，并加密自己的身份信息，与Web加密服务票据T_s一起发送给Web加密服务器。

Web加密服务器收到请求者的信息后，使用共享密钥K_GS，解密Web加密服务票据T_s，提取会话密钥S_CS和请求者的身份信息，并使用S_CS，解密请求者的身份信息，并比较，若相等，则允许请求者继续访问，否则，结束。

请求者若需要改变会话密钥，就可重新向票据服务器请求Web加密服务器的访问，从而票据服务器会为请求者与Web加密服务器产生新的会话密钥。

如图3，Web加密服务可以支持多种加密实现，不仅可以自己实现，还可以使用第三方实现库，如开源的openssl库，微软的cryptoAPI，Java的JCE和BouncyCastle。对于电力信息基础平台，新的业务系统需要使用国家密钥管理局颁布的SM系列的SM1、SM2、SM3和SM4算法。

如图4和图5，Web加密服务提供统一的接口，它将屏蔽底层的算法实现库的细节。对请求者而言，请求者只需提供加密算法库、加密算法及加密密钥的信息，或是与Web加密服务协商采用加密算法库、加密算法和加密密钥信息。

加密服务接口具有加密服务管理功能、Web加密服务和签名代码本地执行。

加密服务接口具有加密服务管理功能首先分析现有电力业务系统安全需求，按照国家密码管理局规范、国网规范和专家建议，构建加密业务系统与加密算法库，加密算法和加密密钥的对应关系。设计默认加密算法库为未给出业务系统需求请求客户使用。

请求者在获得Web加密服务前，向加密服务接口提供请求者系统的安全需求，明确加密算法库、加密算法和加密密钥长度要求，或与加密服务接口进行协商。

加密服务接口收到请求者的信息后，判定请求者的安全需求。若请求客户明确加密库，加密算法和加密密钥，加密服务接口与请求客户协协商确定。若请求客户提供业务系统安全需求，则Web加密服务接口通过近似匹配从构建的库中选择加密算法库、加密算法和产生随机密钥提供给请求客户。若请求客户未提供任何信息，则返回给请求者一套默认的加密算法选择方式。

在请求者与服务端确定加密算法后，请求者依据加密服务接口规范向Web服务提供加密服务请求，Web加密服务返回计算结果。

请求者若需要私钥加密、数字签名，则需要与Web加密服务接口进行协商，确定是否起用Web加密服务或是服务本地执行。此外，请求者若有大文件加密服务，为了提高效率，也可以与Web加密服务管理接口进行协商采用加密服务本地执行。

本地代码执行首先需要在请求者配置Web加密服务器的加密服务证书；其次请求者向Web加密服务接口发送服务本地执行请求，请求者需提供本地执行的加密服务；再次Web加密服务接口依据请求者请求，返回签名代码至请求者；然后请求者用加密服务证书及签名代码，调用Web加密服务的签名验证接口，Web加密服务依据验证结果，返回请求者；最后请求者依据Web加密服务返回验证结果判定验证是否通过，若通过，则允许代码在本地执行，并执行请求的加密服务程序。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，所属领域的普通技术人员参照上述实施例依然可以对本发明的具体实施方式进行修改或者等同替换，这些未脱离本发明精神和范围的任何修改或者等同替换，均在申请待批的本发明的权利要求保护范围之内。

Claims (7)

1.一种基于Web加密服务的加密服务方法，其特征在于：所述方法包括以下步骤：

步骤1：请求者请求认证身份；

步骤2：通过身份认证的请求者访问票据服务器；

步骤3：请求者获得Web加密服务。

2.根据权利要求1所述的基于Web加密服务的加密服务方法，其特征在于：所述步骤1中，kerberos认证服务器采用kerberos认证协议对请求者的身份进行认证，具体包括以下步骤：

步骤1-1：请求者将自己的身份信息通过会话密钥与kerberos认证服务器通信；

步骤1-2：kerberos认证服务器收到请求者发送的身份认证请求后，解密身份信息；

步骤1-3：将身份信息与kerberos认证服务器中数据库存储的身份信息相比较，以验证请求者的身份；

步骤1-4：若请求者身份验证通过，进入步骤2，否则结束。

3.根据权利要求1所述的基于Web加密服务的加密服务方法，其特征在于：所述步骤2具体包括以下步骤：

步骤2-1：kerberos认证服务器为向通过身份认真的请求者发放认证票据T_t；

步骤2-2：请求者获得认证票据T_t后访问票据服务器，请求获得Web加密服务票据；

步骤2-3：票据服务器通过验证请求者的认证票据T_t是否过期，若未过期则为请求者发放Web加密服务票据T_s；

步骤2-4：请求者获得Web加密服务票据T_s后，使用Web加密服务票据T_s访问Web加密服务器；

步骤2-5：Web加密服务器获得Web加密服务票据T_s后，验证Web加密服务票据T_s的有效性，若有效，则建立通信，否则结束。

4.根据权利要求3所述的基于Web加密服务的加密服务方法，其特征在于：所述Web服务票据T_s包含请求者与Web加密服务的共享密钥，以及请求者的身份信息。

5.根据权利要求1所述的基于Web加密服务的加密服务方法，其特征在于：所述步骤3中，请求者获得的Web加密服务包括加密服务管理、加密服务接口、加密服务库和签名代码本地执行；

加密服务管理用于协商请求者与Web加密服务之间的加密算法库选择、加密算法选择、密钥大小选择以及是否需要本地执行签名代码；

加密服务接口提供加密服务，展现给请求者输入规范以及输出内容；

加密服务库采用自行研究库、开源库或商业库；

签名代码在本地执行前先进行签名代码的验证，验证通过后即可在本地执行。

6.根据权利要求5所述的基于Web加密服务的加密服务方法，其特征在于：请求者获得加密服务管理过程如下：

(1)Web服务器分析电力业务系统安全需求，按照国家密码管理局规范、国网规范和专家建议，构建加密业务系统、加密算法库以及加密算法和共享密钥的对应关系；

(2)请求者依据确定加密算法库、加密算法和共享密钥的长度要求，并将安全需要请求提交给加密服务接口；

(3)加密服务接口通过判定请求者安全需要请求，并返回相应的加密算法库、加密算法和共享密钥。

7.根据权利要求5所述的基于Web加密服务的加密服务方法，其特征在于：签名代码本地执行过程如下：

(1)请求者配置Web加密服务器的加密服务证书；

(2)请求者向加密服务接口发送服务本地执行请求，请求者需提供本地执行的加密服务；

(3)加密服务接口根据请求者发送的服务本地执行请求，返回签名代码至请求者；

(4)请求者通过加密服务证书和签名代码，调用Web加密服务器的签名验证接口请求验证；

(5)Web加密服务器通过签名验证接口进行验证，并将验证结果返回请求者；

(6)请求者依据Web加密服务器返回的验证结果判定验证是否通过，若通过则允许签名代码在本地执行，并执行加密服务程序。