CN105141636A - 适用于cdn增值业务平台的http安全通信方法及系统 - Google Patents

Abstract

本发明提供一种适用于CDN增值业务平台的HTTP安全通信方法及系统，客户端需从增值业务平台调度控制中心获取可用的身份令牌，并在向CDN节点发起HTTP请求时附带身份令牌信息，CDN节点识别身份令牌信息，拒绝令牌无效的请求，放行令牌有效的请求至源站。本发明的适用于CDN增值业务平台的HTTP安全通信方法及系统利用CDN增值业务平台的业务架构特性，在HTTP数据包中增加少量额外的安全数据，进行安全校验，在部署代价和额外资源消耗低于HTTPS的前提下，达成了安全传输的目的。

Description

适用于CDN增值业务平台的HTTP安全通信方法及系统

技术领域

本发明涉及HTTP安全通信的技术领域，特别是涉及一种适用于CDN增值业务平台的HTTP安全通信方法及系统。

背景技术

超文本传输协议(HTTP，HyperTextTransferProtocol)是互联网上应用最为广泛的一种网络协议。所有的WWW文件都必须遵守这个标准。HTTP协议是基于明文文本、无状态的协议，存在严重的安全隐患。

CDN的全称是ContentDeliveryNetwork，即内容分发网络，其通过在现有的Internet中增加一层新的网络架构，将网站的内容发布到最接近用户的网络边缘，并将用户请求导向最近的服务节点，从而缓解网络拥塞，提高用户访问速度。

CDN增值业务平台是指在CDN基础服务平台之上开发出的各种具备高附加值服务提供能力的业务平台。例如定向流量经营平台、移动应用流量加速和监控平台、流媒体内容分发平台等等。这些CDN增值业务平台的共同特点是，在传统的CDN基础架构上增加了“调度和控制中心”这一角色，用于统一处理增值服务的主要业务逻辑和各边缘节点的流量调度控制等功能。

现有技术中，常见的CDN、WEB等HTTP系统使用的安全通信机制主要有以下几种：

(1)HTTPS

通过加入一个SSL/TLS层来对HTTP内容数据进行完整的加密。该方式具有很高等级的安全性，是当前最主流的安全通信方法。然而HTTPS具有部署代价较高、需要高价购买证书、服务器资源开销大等等负面影响，在成本控制严格的小型网站难以普及，也不适用于以HTTP协议流量为主的CDN增值业务。

(2)身份认证

通过HTTPCOOKIE或SESSION机制携带身份认证信息。该方法通常与HTTPS配合使用，身份认证过程中使用HTTPS，主要内容传输则使用HTTP携带会话令牌。其中会话令牌存放在COOKIE或SESSION中。该方法存在明显安全问题，即无法防止中间人攻击。攻击者通过链路嗅探、流量劫持等方式获取会话令牌，之后可以冒用用户身份进行访问，也可以任意进行重放攻击。

(3)客户端时间戳校验和加密

该方法通过客户端服务端的时间同步，在HTTP信息中携带时间戳，并以时间戳作为加密因子对会话令牌进行加密，以防御重放攻击。然而该方法无法防御客户端逆向破解。攻击者通过反编译、反汇编等手段逆向分析客户端逻辑，掌握了同步和加密方法，安全防御能力就彻底失效。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种适用于CDN增值业务平台的HTTP安全通信方法及系统，利用CDN增值业务平台的业务架构特性，在HTTP数据包中增加少量额外的安全数据，进行安全校验，在部署代价和额外资源消耗低于HTTPS的前提下，达成了安全传输的目的。

为实现上述目的及其他相关目的，本发明提供一种适用于CDN增值业务平台的HTTP安全通信方法，包括以下步骤：步骤S1、客户端启动时，向增值业务平台调度控制中心发送鉴权请求及身份信息；步骤S2、增值业务平台调度控制中心验证所述身份信息，若所述身份信息无效，则拒绝所述鉴权请求，流程结束；若所述身份信息有效，转入步骤S3；步骤S3、增值业务平台调度控制中心根据所述身份信息生成身份令牌，并为客户端选定CDN节点，将所述身份令牌以明文方式下发至所述CDN节点；步骤S4、增值业务平台调度控制中心获取自身的鉴权时间戳，根据前半密钥生成规则由所述鉴权时间戳生成前半令牌加密密钥，再根据加密算法选择规则对所述鉴权时间戳进行计算，根据计算结果选择令牌加密算法；步骤S5、增值业务平台调度控制中心响应客户端的鉴权请求，并返回身份令牌明文、鉴权时间戳、前半令牌加密密钥、令牌加密算法和CDN节点IP地址至客户端；步骤S6、客户端接收到鉴权请求的响应后，记录当前设备的鉴权开机时间戳；步骤S7、当客户端发送一个HTTP请求时，记录当前设备的请求开机时间戳，并根据鉴权时间戳、鉴权开机时间戳和请求开机时间戳生成后半令牌加密密钥；步骤S8、客户端将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥；步骤S9、客户端根据令牌加密密钥和令牌加密算法，对身份令牌明文加密，生成身份令牌密文；步骤S10、客户端在HTTP请求头部附加身份令牌密文、鉴权时间戳、请求开机时间戳、鉴权开机时间戳后，发送至所选定的CDN节点；步骤S11、CDN节点接收到客户端发送的HTTP请求后，根据前半密钥生成规则和加密算法选择规则，对鉴权时间戳进行计算，得出前半令牌加密密钥和令牌加密算法；步骤S12、CDN节点根据HTTP请求头部中的鉴权时间戳、请求开机时间戳和鉴权开机时间戳计算后半令牌加密密钥；步骤S13、CDN节点将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥，并通过令牌加密密钥和令牌加密算法，对身份令牌密文解密，得到身份令牌明文；若解密成功且身份令牌有效时，进入步骤S14，否则，所述HTTP请求不合法，拒绝所述HTTP请求，流程结束；步骤S14、CDN节点对后半令牌加密密钥做有效性检查，若有效，转入步骤S15；若无效，CDN节点拒绝所述HTTP请求，流程结束；步骤S15、CDN节点将所述HTTP请求转发回源站，并接收源站发送来的HTTP响应；步骤S16、使用CDN系统证书私钥对后半令牌加密密钥进行加密生成后半令牌加密密钥密文，并将后半令牌加密密钥密文附带在HTTP响应头部，客户端接收到响应时，使用CDN系统证书公钥对后半令牌加密密钥密文进行解密，验证CDN节点返回的后半令牌加密密钥与客户端自身的后半令牌加密密钥是否一致，若无法解密或者数值不一致则说明响应为伪造，停止后续请求并做提示；若正常解密且数值一致，则所述HTTP请求正常结束。

根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述步骤S1之前还包括：增值业务平台调度控制中心和CDN节点定期做时间同步，使增值业务平台调度控制中心和CDN节点间的时间差异小于一定阈值。

进一步地，根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述一定阈值为100毫秒。

根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述步骤S4中，使用不可逆的算法将所述身份信息生成所述身份令牌。

根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述步骤S5中，所述前半密钥生成规则和所述加密算法选择规则均在增值业务平台调度控制中心中动态生成和选择。

根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述步骤S7中，客户端将请求开机时间戳与鉴权开机时间戳相减，得到请求鉴权时间差；再将鉴权时间戳与请求鉴权时间差值相加，得到后半令牌加密密钥。

进一步地，根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：以鉴权时间戳与请求鉴权时间差值相加后的值的十进制整数字符串字面值作为后半令牌加密密钥。

根据上述的适用于CDN增值业务平台的HTTP安全通信方法，其中：所述步骤S14中，将后半令牌加密密钥记为T_key，身份令牌对应客户端之前所发出的所有HTTP请求中后半令牌加密密钥的最大值记为T_{key_max}；发出的上一个HTTP请求的后半令牌加密密钥记为T_key-prev，CDN节点当前时间戳记为T_node；

对后半令牌加密密钥做有效性检查时，后半令牌加密密钥必须符合以下规则：

1)T_key-max–HTTP请求超时时间＜T_key；

2)T_key-prev≠T_key；

3)T_node-最大时间偏差＜T_key＜T_node。

根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S16中，CDN系统证书公钥预先存放在客户端中。

同时，本发明还提供一种适用于CDN增值业务平台的HTTP安全通信系统，包括客户端、CDN节点、源站和增值业务平台调度控制中心；

所述客户端和源站间通过所述CDN节点和所述增值业务平台调度控制中心，实现权利要求1-9之一所述的适用于CDN增值业务平台的HTTP安全通信方法。

如上所述，本发明的适用于CDN增值业务平台的HTTP安全通信方法及系统，具有以下有益效果：

(1)利用CDN增值业务平台的业务架构特性，在HTTP数据包中增加少量额外的安全数据，进行安全校验，在部署代价和额外资源消耗低于HTTPS的前提下，达成了安全传输的目的；

(2)对于以HTTP流量为主的CDN增值业务平台，具有普遍的适应性；

(3)除了具备基本的用户身份验证能力以外，还可以有效防御重放攻击、中间人攻击和客户端逆向和破解。

附图说明

图1显示为本发明的适用于CDN增值业务平台的HTTP安全通信系统的结构示意图；

图2显示为本发明的适用于CDN增值业务平台的HTTP安全通信方法中鉴权过程的流程图；

图3显示为本发明的适用于CDN增值业务平台的HTTP安全通信方法中处理HTTP请求的流程图。

元件标号说明

1增值业务平台调度控制中心

2客户端

3CDN节点

4源站

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。

需要说明的是，本实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

参照图1，本发明的适用于CDN增值业务平台的HTTP安全通信系统包括客户端2、CDN节点3、源站4和增值业务平台调度控制中心1。

其中，每一个可用的客户端2均需从增值业务平台调度控制中心1获取可用的身份令牌，例如通过账号密码登录或短信验证手机号的方式获取可用的身份令牌。客户端2在向CDN节点3发起HTTP请求时附带身份令牌信息，CDN节点识别该身份令牌信息，拒绝令牌无效的请求，放行令牌有效的请求至源站4。

参照图2和图3，本发明的适用于CDN增值业务平台的HTTP安全通信方法包括以下步骤：

步骤S1、客户端启动时，向增值业务平台调度控制中心发送鉴权请求及身份信息。

其中，客户端启使用HTTPS协议向增值业务平台调度控制中心发起鉴权请求。使用HTTPS协议的目的是防止身份信息和令牌明文被监听或盗取。

具体地，根据实际业务不同，针对不同客户端所需的身份信息也不相同。身份信息可包括账户名、密码、手机识别码(IMEI)、手机号、应用包名称、系统版本、网卡MAC地址等信息中一种或多种的组合。

优选地，在步骤S1之前，还包括：增值业务平台调度控制中心和CDN节点定期做NTP(NetworkTimeProtocol，网络时间协议)时间同步，使增值业务平台调度控制中心和CDN节点间的时间差异小于一定阈值。

优选地，一定阈值为100毫秒。

步骤S2、增值业务平台调度控制中心验证该身份信息，若身份信息无效，则拒绝该鉴权请求，流程结束；若身份信息有效，转入步骤S3。

具体地，若身份信息无效，则拒绝该鉴权请求，同时客户端关闭，流程结束。

步骤S3、增值业务平台调度控制中心根据身份信息生成身份令牌，并为该客户端选定CDN节点，将该身份令牌以明文方式下发至该CDN节点。

其中，身份令牌、身份信息与客户端设备为一一对应的。具体地，使用任意一种不可逆的算法将身份信息生成身份令牌。其中，所使用的算法本身并不重要。例如：当身份信息为账户名和密码时，可以对账户名做MD5计算，得到的值就作为身份令牌。之所以采用不可逆算法，是为了无法从身份令牌反向得出身份信息，从而防止身份信息泄露。

选定一个CDN节点后，该客户端以后的HTTP请求均发送至该CDN节点。

步骤S4、增值业务平台调度控制中心获取自身的鉴权时间戳，根据前半密钥生成规则由鉴权时间戳生成前半令牌加密密钥，再根据加密算法选择规则对鉴权时间戳进行计算，根据计算结果选择令牌加密算法。

具体地，增值业务平台调度控制中心获取自身的当前时间戳，称为鉴权时间戳T_auth；并根据前半密钥生成规则对鉴权时间戳T_auth进行计算生成前半令牌加密密钥；再根据加密算法选择规则对鉴权时间戳进行计算，根据计算结果选择一种令牌加密算法。其中，令牌加密算法可以为AES或DES。需要说明的是，前半密钥生成规则和加密算法选择规则均在增值业务平台调度控制中心中动态生成和选择，且每个客户端的加密密钥都不相同，从而避免了客户端逆向破解造成的安全算法泄露。

步骤S5、增值业务平台调度控制中心响应客户端的鉴权请求，并返回身份令牌明文、鉴权时间戳、前半令牌加密密钥、令牌加密算法和CDN节点IP地址至客户端。

步骤S6、客户端接收到鉴权请求的响应后，记录当前设备的鉴权开机时间戳。

其中，客户端接收到鉴权请求的响应后，则鉴权阶段结束，进入常规内容访问阶段。客户端记录当前设备的开机时间戳，记为T_base。需要说明的是，开机时间戳并非是指开机的时刻，而是指从设备开机时刻到当前时刻的时间间隔。

步骤S7、当客户端发送一个HTTP请求时，记录当前设备的请求开机时间戳，并根据鉴权时间戳、鉴权开机时间戳和请求开机时间戳生成后半令牌加密密钥。

具体地，当客户端发送一个HTTP请求时，获取当前设备的开机时间戳T_now，与T_base相减，便可得到请求-鉴权时间差T_diff，即T_diff＝T_now-T_base。其中，T_now和T_base在不同的时刻获取，T_base在鉴权的时刻获取，T_now在发出客户端请求的时刻获取，两个时刻距离开机的时刻所经过的时间间隔不同。

鉴权时间戳与请求-鉴权时间差值相加，得到后半令牌加密密钥T_key，即T_diff+T_auth＝T_key。具体地，以T_key的十进制整数字符串字面值作为后半令牌加密密钥。

步骤S8、客户端将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥。

步骤S9、客户端根据令牌加密密钥和令牌加密算法，对身份令牌明文加密，生成身份令牌密文。

其中，对身份令牌明文进行加密是为了避免中间人攻击盗用身份令牌。

步骤S10、客户端在HTTP请求头部附加身份令牌密文、鉴权时间戳、请求开机时间戳和鉴权开机时间戳后，发送至所选定的CDN节点。

步骤S11、CDN节点接收到客户端发送的HTTP请求后，根据前半密钥生成规则和加密算法选择规则，对鉴权时间戳进行计算，得出前半令牌加密密钥和令牌加密算法。

步骤S12、CDN节点根据HTTP请求头部中的鉴权时间戳、请求开机时间戳和鉴权开机时间戳计算后半令牌加密密钥。

其中，T_key＝T_diff+T_auth。T_key作为后半令牌加密密钥。

步骤S13、CDN节点将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥，并通过令牌加密密钥和令牌加密算法，对身份令牌密文解密，得到身份令牌明文；若解密成功且身份令牌有效时，进入步骤S14，否则，该HTTP请求不合法，拒绝该HTTP请求。

步骤S14、CDN节点对后半令牌加密密钥做有效性检查，若有效，转入步骤S15；若无效，CDN节点拒绝该HTTP请求，流程结束。

将该身份令牌对应客户端之前所发出的所有HTTP请求中后半令牌加密密钥T_key的最大值记为T_{key_max}；发出的上一个HTTP请求的后半令牌加密密钥T_key记为T_key-prev，CDN节点当前时间戳记为T_node。对后半令牌加密密钥T_key做有效性检查时，T_key必须符合以下规则：

(1)T_key-max–30秒＜T_key；

(2)T_key-prev≠T_key；

(3)T_node-3分钟＜T_key＜T_node。

其中，30秒为常见的HTTP请求超时时间；3分钟为可允许的最大时间偏差。

在该步骤中，通过对时间戳做严格校验以防御重放攻击。

步骤S15、CDN节点将HTTP请求转发回源站，并接收源站发送来的HTTP响应。

步骤S16、使用CDN系统证书私钥对后半令牌加密密钥T_key进行加密生成后半令牌加密密钥密文，并将后半令牌加密密钥密文附带在HTTP响应头部，客户端接收到响应时，使用CDN系统证书公钥对后半令牌加密密钥密文进行解密，验证CDN节点返回的后半令牌加密密钥与客户端自身的后半令牌加密密钥是否一致，若无法解密或者数值不一致则说明响应为伪造，停止后续请求并做相应提示；若正常解密且数值一致，则该HTTP请求正常结束。

其中，CDN系统证书公钥在应用的编译打包阶段就预先存放在客户端中。此步骤通过对响应增加动态识别标记，以防止响应被中间人攻击伪造。

下面通过具体实施例来说明本发明的适用于CDN增值业务平台的HTTP安全通信方法。设定增值业务平台调度控制中心域名为www.cdnvas.com，鉴权URL为www.cdnvas.com/login，客户端登录账户名为testusr，密码为testpwd，源站域名为www.orgsrc.com，首页URL为www.orgsrc.com/index.html。

实施例一：正常的HTTP请求

1)客户端使用HTTPS发起登录请求，请求内容如下：

POST/loginHTTP/1.1

User-Agent:Test-Client

Content-Length:34

Host:www.cdnvas.com

{

username＝testusr；

password＝testpwd；

}

2)增值业务平台调度控制中心检查账户名和密码，确认有效。使用MD5算法对“用户名_密码”进行计算，得到该用户的身份令牌。MD5(testusr_testpwd)＝58d04acca5d09641967d3f28756da156。

3)增值业务平台调度控制中心为客户端选择一个CDN节点，IP地址为123.1.13.76，并将该身份令牌下发至此CDN节点。CDN节点将此身份令牌存入本地数据库。

4)增值业务平台调度控制中心获取当前时间戳，T_auth＝1433903295。前半密钥生成规则为对MD5(T_auth)的字符串字面值取前8个字节。MD5(T_auth)＝f8ba12fe78420cfc68f15fbbb33214e3，则前半令牌加密密钥为f8ba12fe。

可选的加密算法共有6种，对T_auth除以6取余数为3，选中6种中的第三种为AES加密算法。

5)增值业务平台调度控制中心对鉴权请求返回响应，内容如下：

6)客户端接收到鉴权请求的响应，鉴权结束。客户端记录当前设备的开机时间戳T_base＝42114015，表示从设备开机到现在已经经过了42114015毫秒。

7)某一时刻，客户端准备发起一个对源站首页的HTTP请求。客户端获取当前开机时间T_now＝42192133，T_diff＝T_now-T_base＝78118。

8)后半令牌加密密钥T_key＝T_auth+T_diff＝1433981413，则完整的加密密钥为f8ba12fe1433981413，使用此密钥和AES对称加密算法对身份令牌明文加密，得到身份令牌密文62fb23de139fb700671b1204e58f5111d6b79a9d。

9)客户端对IP地址为123.1.13.76的CDN节点发起对源站首页的HTTP请求，内容如下：

GET/index.htmlHTTP/1.1

User-Agent:Test-Client

Host:www.orgsrc.com

Token-Cipher:62fb23de139fb700671b1204e58f5111d6b79a9d

Auth-Timestamp:1433903295

Diff-Timestamp:78118

10)CDN节点接收该HTTP请求，从头部中取出相应的安全数据。Token-Cipher字段值为身份令牌密文，Auth-Timestamp字段值为T_auth，Diff-Timestamp字段值为T_diff，可求得T_key＝T_auth+T_diff＝1433981413。

11)CDN节点根据前半令牌密钥生成规则对T_auth进行计算，得到前半令牌加密密钥f8ba12fe，再根据加密算法选择规则对T_auth取余，选中AES对称加密算法。前半令牌加密密钥和后半令牌加密密钥组合得到完整加密密钥，使用密钥和AES算法对身份令牌密文解密，得到身份令牌明文58d04acca5d09641967d3f28756da156。

12)由于该身份令牌明文已经下发至CDN节点，因此身份令牌验证有效。从CDN节点保存身份令牌的数据库中获取该身份令牌对应客户端的最近访问数据，得到T_key-max＝1433980165，T_key-prev＝1433979322。CDN节点获取当前时间戳，值为T_node＝1433985576。

13)对T_key进行校验，符合所有校验规则。

由于T_key＞T_key-max，更新T_key到数据库作为最新的T_key-max。

14)将请求转发回源站，接收源站响应。

15)CDN节点使用CDN证书私钥对在T_key进行加密，响应中添加以下头部，值为T_key密文，并转发回客户端：

Crypto-Timestamp:9adf423a0de87be01d109050fbdd

16)客户端将Crypto-Timestamp字段值用CDN证书公钥解密后，与自身的T_key相比，值相等，该请求未被劫持，HTTP响应正常结束。

实施例二：重放攻击

1)攻击者通过嗅探方式截获本系统客户端发出的正常HTTP请求。

2)攻击者一段时间后在其他客户端设备使用重放攻击，发出大量与被截获请求的数据完全相同的重放请求。

3)重放请求达到节点时，节点校验时间戳。

4)请求时间戳不符合时间校验规则，请求被拒绝。

实施例三：客户端逆向破解，盗用身份令牌

1)攻击者通过反编译手段对客户端进行逆向，完全了解了客户端加解密流程。

2)攻击者通过嗅探方式截获了鉴权请求，由于鉴权请求使用了HTTPS，攻击者无法获取密钥和所使用的加密算法。

3)攻击者通过嗅探方式截获了HTTP请求，获取了时间戳和身份令牌密文。

4)由于密钥是根据特定规则对时间戳进行计算生成的，且算法只存在于控制中心和节点，攻击者无法知道具体规则，因此攻击者从截获的请求中无法获取密钥信息。

5)攻击者无法解密身份令牌密文，盗用身份令牌失败。

实施例四：中间人攻击，伪造响应

1)攻击者通过修改公开WIFI的DNS设置对客户端做流量劫持。将流量引导到伪造的节点。

2)伪造节点对客户端发出的请求发出伪造响应，由于攻击者并不持有CDN系统证书私钥，因此响应中没有携带T_key密文，或是T_key密文由其他私钥进行加密。

3)客户端检查发现响应未携带T_key密文，或是使用CDN平台证书公钥对T_key密文解密失败。

4)客户端断开连接，并将异常情况提示用户。

综上所述，本发明的适用于CDN增值业务平台的HTTP安全通信方法及系统利用CDN增值业务平台的业务架构特性，在HTTP数据包中增加少量额外的安全数据，进行安全校验，在部署代价和额外资源消耗低于HTTPS的前提下，达成了安全传输的目的；对于以HTTP流量为主的CDN增值业务平台，具有普遍的适应性；除了具备基本的用户身份验证能力以外，还可以有效防御重放攻击、中间人攻击和客户端逆向和破解。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：包括以下步骤：

步骤S1、客户端启动时，向增值业务平台调度控制中心发送鉴权请求及身份信息；

步骤S2、增值业务平台调度控制中心验证所述身份信息，若所述身份信息无效，则拒绝所述鉴权请求，流程结束；若所述身份信息有效，转入步骤S3；

步骤S3、增值业务平台调度控制中心根据所述身份信息生成身份令牌，并为客户端选定CDN节点，将所述身份令牌以明文方式下发至所述CDN节点；

步骤S4、增值业务平台调度控制中心获取自身的鉴权时间戳，根据前半密钥生成规则由所述鉴权时间戳生成前半令牌加密密钥，再根据加密算法选择规则对所述鉴权时间戳进行计算，根据计算结果选择令牌加密算法；

步骤S5、增值业务平台调度控制中心响应客户端的鉴权请求，并返回身份令牌明文、鉴权时间戳、前半令牌加密密钥、令牌加密算法和CDN节点IP地址至客户端；

步骤S6、客户端接收到鉴权请求的响应后，记录当前设备的鉴权开机时间戳；

步骤S7、当客户端发送一个HTTP请求时，记录当前设备的请求开机时间戳，并根据鉴权时间戳、鉴权开机时间戳和请求开机时间戳生成后半令牌加密密钥；

步骤S8、客户端将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥；

步骤S9、客户端根据令牌加密密钥和令牌加密算法，对身份令牌明文加密，生成身份令牌密文；

步骤S10、客户端在HTTP请求头部附加身份令牌密文、鉴权时间戳、请求开机时间戳、鉴权开机时间戳后，发送至所选定的CDN节点；

步骤S11、CDN节点接收到客户端发送的HTTP请求后，根据前半密钥生成规则和加密算法选择规则，对鉴权时间戳进行计算，得出前半令牌加密密钥和令牌加密算法；

步骤S12、CDN节点根据HTTP请求头部中的鉴权时间戳、请求开机时间戳和鉴权开机时间戳计算后半令牌加密密钥；

步骤S13、CDN节点将前半令牌加密密钥和后半令牌加密密钥相组合，生成令牌加密密钥，并通过令牌加密密钥和令牌加密算法，对身份令牌密文解密，得到身份令牌明文；若解密成功且身份令牌有效时，进入步骤S14，否则，所述HTTP请求不合法，拒绝所述HTTP请求，流程结束；

步骤S14、CDN节点对后半令牌加密密钥做有效性检查，若有效，转入步骤S15；若无效，CDN节点拒绝所述HTTP请求，流程结束；

步骤S15、CDN节点将所述HTTP请求转发回源站，并接收源站发送来的HTTP响应；

步骤S16、使用CDN系统证书私钥对后半令牌加密密钥进行加密生成后半令牌加密密钥密文，并将后半令牌加密密钥密文附带在HTTP响应头部，客户端接收到响应时，使用CDN系统证书公钥对后半令牌加密密钥密文进行解密，验证CDN节点返回的后半令牌加密密钥与客户端自身的后半令牌加密密钥是否一致，若无法解密或者数值不一致则说明响应为伪造，停止后续请求并做提示；若正常解密且数值一致，则所述HTTP请求正常结束。

2.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S1之前还包括：增值业务平台调度控制中心和CDN节点定期做时间同步，使增值业务平台调度控制中心和CDN节点间的时间差异小于一定阈值。

3.根据权利要求2所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述一定阈值为100毫秒。

4.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S4中，使用不可逆的算法将所述身份信息生成所述身份令牌。

5.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S5中，所述前半密钥生成规则和所述加密算法选择规则均在增值业务平台调度控制中心中动态生成和选择。

6.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S7中，客户端将请求开机时间戳与鉴权开机时间戳相减，得到请求鉴权时间差；再将鉴权时间戳与请求鉴权时间差值相加，得到后半令牌加密密钥。

7.根据权利要求6所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：以鉴权时间戳与请求鉴权时间差值相加后的值的十进制整数字符串字面值作为后半令牌加密密钥。

8.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S14中，将后半令牌加密密钥记为T_key，身份令牌对应客户端之前所发出的所有HTTP请求中后半令牌加密密钥的最大值记为T_{key_max}；发出的上一个HTTP请求的后半令牌加密密钥记为T_key-prev，CDN节点当前时间戳记为T_node；

对后半令牌加密密钥做有效性检查时，后半令牌加密密钥必须符合以下规则：

1)T_key-max–HTTP请求超时时间＜T_key；

2)T_key-prev≠T_key；

3)T_node-最大时间偏差＜T_key＜T_node。

9.根据权利要求1所述的适用于CDN增值业务平台的HTTP安全通信方法，其特征在于：所述步骤S16中，CDN系统证书公钥预先存放在客户端中。

10.一种适用于CDN增值业务平台的HTTP安全通信系统，其特征在于：包括客户端、CDN节点、源站和增值业务平台调度控制中心；

所述客户端和源站间通过所述CDN节点和所述增值业务平台调度控制中心，实现权利要求1-9之一所述的适用于CDN增值业务平台的HTTP安全通信方法。