CN105429962A - 一种通用的面向加密数据的中间网络服务构建方法与体系 - Google Patents

Abstract

一种通用的面向加密数据的中间网络服务构建方法及体系，互联网用户设备通过密钥共享协议，向可信的中间网络设备分享自身通信密钥，从而允许可信的中间网络设备获取及修改明文通信数据，本发明通过密钥共享机制，允许网络用户向受信任的中间网络设备共享自身会话密钥，在保证通信安全性的同时允许受信中间服务通过读取会话明文数据提供高质量网络服务。

Description

一种通用的面向加密数据的中间网络服务构建方法与体系

技术领域

本发明属于互联网技术领域，特别涉及一种通用的面向加密数据的中间网络服务构建方法与体系。

背景技术

随着互联网的快速发展，当初被设计成拥有精简内核的互联网已经不再精简，原本在边缘的复杂功能开始向中心平移。在网络内部，存在着越来越多的网络应用或中间网络设备，它们对网络的运行具有重要的作用，例如：防火墙、入侵检测系统等。大多数中间网络设备需要访问明文数据才能正常发挥作用。随着近年来信息泄漏事件频发，网络内容提供商越来越多地应用加密传输协议来保护用户的隐私。大多数加密传输协议在建立连接的握手阶段协商会话密钥，仅有交互的两端知晓该密钥，中间网络设备无法获得密钥。因此，那些依赖明文数据的中间网络设备将不能正常工作于应用了加密传输协议的会话之上。

中间网络设备若要解密数据，则需要获取会话密钥。为了保护用户的隐私，在将会话密钥分享给中间网络设备时需要进行认证，在密钥传输过程中也要应用加密手段。考虑到在传输路径中可能会有若干个中间网络设备需要获取密钥用于解密，还需使用一种高效的加密传输方法。传统的公私钥加密方法使用一个公钥和一个对应的私钥，这种加密方法在多个中间网络设备的情况下会极其低效。属性基加密是一种新型加密方法，其使用一个加密策略加密之后，可以被若干个不同的满足该策略的私钥解密，而该私钥由解密者具有的若干属性生成。

针对上述情况，现在广泛使用一种代理程序来将加密的数据解密成明文供中间网络设备处理，该代理伪装成对端来完成协商密钥，这种方法本质上是一种中间人攻击(Man-In-The-MiddleAttack)。即使这种方法被网络运营商正当地使用，但仍然存在巨大的安全隐患，而且其不具有通用性。

发明内容

为了克服上述现有的矛盾和技术缺点，本发明的目的在于提供一种通用的面向加密数据的中间网络服务构建方法与体系，通过密钥共享机制，允许网络用户向受信任的中间网络设备共享自身会话密钥，在保证通信安全性的同时允许受信中间服务通过读取会话明文数据并提供高质量网络服务。

为了实现上述目的，本发明采用的技术方案是：

一种通用的面向加密数据的中间网络服务构建方法，互联网用户设备通过密钥共享协议，向可信的中间网络设备分享自身通信密钥，从而允许可信的中间网络设备获取及修改明文通信数据。

所述中间网络设备通过如下认证机制进行认证：

当中间网络设备希望获取用户数据密钥时，向用户设备发送自身证书信息及目标处理操作，用户设备接收到认证请求后，根据中间网络设备提供的信息进行认证，判断中间网络设备身份是否伪造以及是否可信。

所述认证机制脱离具体网络协议，在一段时间内保持有效，从而能够支持多种加密数据传输协议；所述目标处理操作为数据只读或数据读写。

所述密钥共享协议采用属性基加密技术，允许用户设备通过一次通信，向多个不同的中间网络设备提供自身密钥，同时保证通信安全并允许权限控制；用户根据对中间网络设备的信任情况，决定可以获取会话密钥的设备属性关系，根据此属性关系对将要共享的密钥进行加密；密文通过原始会话路径传输，所有中间网络设备均能够获取；受信中间网络设备通过自身属性对应的密钥对密文进行解密，从而获取密钥内容。

对流经中间网络设备的网络数据进行分类，对目标加密数据进行追踪；当中间网络设备希望获取某加密会话的明文数据时，向该明文数据所对应的网络用户发起认证请求，并等待用户提供自身密钥；当通过密钥共享协议获取该会话对应的加密密钥后，通过数据解密模块对此会话进行解密，并交由后续功能模块进行处理。

所述用户设备与本机网络应用进行交互，获取应用会话密钥；用户设备监听中间网络设备发起的认证请求，对中间网络设备进行身份认证，并决定是否信任对其共享密钥；用户设备对于本机发起的加密数据流，向中间网络设备共享自身会话密钥。

本发明还提供了一种通用的面向加密数据的中间网络服务体系，包括：

密钥管理器：部署在用户设备中，一方面负责与使用数据加密协议的各个应用程序沟通，从应用程序获取会话密钥以便按需分享给中间网络设备，并提供API允许应用程序主动将会话密钥注册到密钥管理器中；另一方面在中间网络设备通过认证，允许分享密钥时，将会话密钥经过加密发送给中间网络设备。

权限管理器：部署在用户设备中，一方面负责与中间网络设备交互，来验证中间网络设备提供的证书等信息的可信度，并接收用户的输入来决定是否信任某个中间网络设备；另一方面，若某中间网络设备通过认证，则将对应的加密策略传递给加密模块，由加密模块加密并分享密钥；

密钥加密模块：部署在用户设备中，负责与密钥管理器、权限管理器和网络中间网络设备交互，接收密钥管理器提供的会话密钥和权限管理器提供的加密策略，生成会话密钥的密文并发送给沿途各个可信的中间网络设备；

流处理器和数据加/解密模块，部署在中间网络设备上，监控经过中间网络设备的数据包，并管理数据流状态，针对每一个经过该中间网络设备的连接都建立对应数据结构来维护其状态和相关参数；如果监测到某个加密数据连接需要解密，则向用户设备发送附带证书的认证请求报文；接收到客户设备分享的会话密钥之后进行数据的加/解密操作，并与上层网络应用交互应用数据；

密钥解密模块，部署在中间网络设备上，将从用户设备接收到的会话密钥密文解密，并将明文的会话密钥传送给流处理器和数据加/解密模块来存储和操作。

所述用户设备在建立连接时的握手报文中携带可以唯一标识自身的信息，用于中间网络设备辨识用户设备。

本发明使得可信中间网络设备合法获取会话密钥并解密数据，从而实现完全发挥应有作用的目的。与现有技术相比，其优点在于：

1、无需修改加密传输协议本身，即可认证中间网络设备是否可信以及分享会话密钥，并支持多种当前广泛使用的加密传输协议。

2、使用属性基加密技术，从而仅需一个报文即可将会话密钥分享给路径中若干个可信中间网络设备。

附图说明

图1是本发明通用的面向加密数据的中间网络服务体系结构示意图。

图2是本发明通用的面向加密数据的中间网络服务交互流程示意图。

图3是被发明应用于TLS协议的交互流程示意图。

具体实施方式

下面结合附图和实施例详细说明本发明的实施方式。

如图1所示，在通用的面向加密数据的中间网络服务体系结构中，共包含以下几个模块：

密钥管理器(KeyManager)：密钥管理器部署在用户设备中。密钥管理器一方面负责与使用数据加密协议的各个应用程序沟通，从应用程序获取会话密钥以便按需分享给中间网络设备，并提供API允许应用程序主动将会话密钥注册到密钥管理器中；另一方面，在中间网络设备通过认证，允许分享密钥时，将会话密钥经过加密发送给中间网络设备。

权限管理器(PermissionManager)：权限管理器部署在用户设备中。权限管理器一方面负责与中间网络设备交互，来验证中间网络设备提供的证书等信息的可信度，此时亦可接收用户的输入来决定是否信任某个中间网络设备；另一方面，若某中间网络设备通过认证，则将对应的加密策略传递给加密模块，由加密模块加密并分享密钥。

密钥加密模块(KeyEncryption)：密钥加密模块部署在用户设备中。密钥加密模块负责与密钥管理器、权限管理器和网络中间网络设备交互，接收密钥管理器提供的会话密钥和权限管理器提供的加密策略，生成会话密钥的密文并发送给沿途各个可信的中间网络设备。

流处理器和数据加/解密模块(FlowProcessor&DataEncryptor/Decryptor)：流处理器和数据加/解密模块部署在中间网络设备上。流处理器和数据加/解密模块有如下几点作用，第一，监控经过中间网络设备的数据包，并管理数据流状态，针对每一个经过该中间网络设备的连接都建立对应数据结构来维护其状态和相关参数；第二，如果监测到某个加密数据连接需要解密，则向用户设备发送认证请求报文，该报文附带证书等信息；第三，接收到客户设备分享的会话密钥之后进行数据的加/解密操作，并与上层网络应用交互应用数据。

密钥解密模块(KeyDecryption)：密钥解密模块部署在中间网络设备上。负责将从用户设备接收到的会话密钥密文解密，并将明文的会话密钥传送给流处理器和数据加/解密模块来存储和操作。

通过以上体系结构，中间网络设备可以在需要解密数据流的时候向客户设备请求获取密钥，在经过客户设备的认证之后就可以获取到会话密钥，从而获得明文的数据流，从而提供高质量的网络服务。

通过图2可以看出，本发明解决其技术问题所采用的技术方案通用的面向加密数据的中间网络服务需通过4个基本步骤完成：

步骤1：在用户设备实现密钥管理器、权限管理器、密钥加密模块等；在中间网络设备实现流处理器和数据加/解密模块、密钥解密模块等。用户设备在建立连接时的握手报文中携带可以唯一标识自身的信息，用于中间网络设备辨识用户设备。同时中间网络设备开始监控经过的数据流，并维护其状态及相关数据，如密钥是否就绪等。

步骤2：中间网络设备使用用户设备的唯一标识来查找数据库，若命中，即代表该用户设备之前认证过该中间网络设备，且认证还处在有效期内，无需再次进行认证请求步骤；若未命中，则代表该用户设备之前没有认证过该网络中间网络设备或者认证已经过期，则发起认证请求。认证请求中包含自身证书及对数据的操作类型等信息，且该证书经过权威机构签名。

用户设备在接收到认证请求报文之后随即开始对网络中间网络设备的认证操作。并根据对中间网络设备的信任情况，决定可以获取会话密钥的设备属性关系，依据此关系生成加密策略。

步骤3：等待加密传输协议完成会话密钥的协商，密钥管理器从上层应用获取会话密钥。然后将会话密钥经过一定的加密策略进行属性基加密，然后沿原有路径分享至需要会话密钥的中间网络设备处。

步骤4：中间网络设备接收到用户设备分享的经过加密的会话密钥之后，随即进行解密，得到明文的会话密钥。之后，中间网络设备即可对往来的应用层数据进行加/解密操作，将明文的应用层数据送至上层网络服务，或者将上层网络服务下发的数据加密后转发。

图3是本发明应用于TLS协议时的交互流程示意图，作为一个样例性实施例。为了使本发明的技术方案及优点描述地更加清楚明白，以下结合图2和图3对本发明按照示例进行进一步详细说明。实例以HTTPS协议为背景，其加密传输协议为TLS协议，使用Firefox作为用户设备的上层应用程序，Firefox允许设置环境变量来指定存储会话密钥的文件，则用户设备中的密钥管理器监控该文件来注册会话密钥。图3所描述的实施例仅是本发明的一部分实施例，而不是所有实施例的穷举。

以下结合图2和图3对本发明按照示例的内容逐步进行详细说明：

步骤1：用户设备开始建立TCP连接，本例中使用报文中固有的源/目的IP地址和源/目的端口号共同作为用户设备的唯一标识。并使用TLSClientHello报文中的ClientRandom串来唯一标识会话及其密钥。同时中间网络设备开始监控经过的数据流，并维护其状态及相关数据，如密钥是否就绪等。

步骤2：中间网络设备使用上述用户设备的唯一标识来查找数据库，若命中，则无需再次进行认证请求步骤；若未命中，则发起认证请求。这些信息随着握手报文以TCP头部选项的形式发送给用户设备。

用户设备在接收到认证请求报文之后随即开始对中间网络设备的认证操作。并根据对中间网络设备的信任情况，决定可以获取会话密钥的设备属性关系，依据此关系生成加密策略，本例中加密策略为“ChinaUnicomandTLS”。

步骤3：等待Firefox接收到ServerHello报文并完成会话密钥的计算，密钥管理器根据ClientRandom从指定的密钥存储文件获取会话密钥。然后将会话密钥经过上述加密策略进行属性基加密，然后沿原有路径分享至需要会话密钥的中间网络设备处。

步骤4：中间网络设备接收到客户设备分享的经过加密的会话密钥之后，随即进行解密，只要中间网络设备具有的属性满足“ChinaUnicomandTLS”即可解密，得到可用的会话密钥。之后，中间网络设备即可对往来的应用层数据进行加/解密操作，将明文的应用层数据送至上层网络服务，或者将上层网络服务下发的数据加密后转发。

Claims (8)

1.一种通用的面向加密数据的中间网络服务构建方法，其特征在于，互联网用户设备通过密钥共享协议，向可信的中间网络设备分享自身通信密钥，从而允许可信的中间网络设备获取及修改明文通信数据。

2.根据权利要求1所述通用的面向加密数据的中间网络服务构建方法，其特征在于，所述中间网络设备通过如下认证机制进行认证：

当中间网络设备希望获取用户数据密钥时，向用户设备发送自身证书信息及目标处理操作，用户设备接收到认证请求后，根据中间网络设备提供的信息进行认证，判断中间网络设备身份是否伪造以及是否可信。

3.根据权利要求2所述通用的面向加密数据的中间网络服务构建方法，其特征在于，所述认证机制脱离具体网络协议，在一段时间内保持有效，从而能够支持多种加密数据传输协议；所述目标处理操作为数据只读或数据读写。

4.根据权利要求1所述通用的面向加密数据的中间网络服务构建方法，其特征在于，所述密钥共享协议采用属性基加密技术，允许用户设备通过一次通信，向多个不同的中间网络设备提供自身密钥，同时保证通信安全并允许权限控制；用户根据对中间网络设备的信任情况，决定可以获取会话密钥的设备属性关系，根据此属性关系对将要共享的密钥进行加密；密文通过原始会话路径传输，所有中间网络设备均能够获取；受信中间网络设备通过自身属性对应的密钥对密文进行解密，从而获取密钥内容。

5.根据权利要求1所述通用的面向加密数据的中间网络服务构建方法，其特征在于，对流经中间网络设备的网络数据进行分类，对目标加密数据进行追踪；当中间网络设备希望获取某加密会话的明文数据时，向该明文数据所对应的网络用户发起认证请求，并等待用户提供自身密钥；当通过密钥共享协议获取该会话对应的加密密钥后，通过数据解密模块对此会话进行解密，并交由后续功能模块进行处理。

6.根据权利要求1所述通用的面向加密数据的中间网络服务构建方法，其特征在于，所述用户设备与本机网络应用进行交互，获取应用会话密钥；用户设备监听中间网络设备发起的认证请求，对中间网络设备进行身份认证，并决定是否信任对其共享密钥；用户设备对于本机发起的加密数据流，向中间网络设备共享自身会话密钥。

7.一种通用的面向加密数据的中间网络服务体系，其特征在于，包括：

密钥管理器：部署在用户设备中，一方面负责与使用数据加密协议的各个应用程序沟通，从应用程序获取会话密钥以便按需分享给中间网络设备，并提供API允许应用程序主动将会话密钥注册到密钥管理器中；另一方面在中间网络设备通过认证，允许分享密钥时，将会话密钥经过加密发送给中间网络设备。

权限管理器：部署在用户设备中，一方面负责与中间网络设备交互，来验证中间网络设备提供的证书等信息的可信度，并接收用户的输入来决定是否信任某个中间网络设备；另一方面，若某中间网络设备通过认证，则将对应的加密策略传递给加密模块，由加密模块加密并分享密钥；

密钥加密模块：部署在用户设备中，负责与密钥管理器、权限管理器和网络中间网络设备交互，接收密钥管理器提供的会话密钥和权限管理器提供的加密策略，生成会话密钥的密文并发送给沿途各个可信的中间网络设备；

流处理器和数据加/解密模块，部署在中间网络设备上，监控经过中间网络设备的数据包，并管理数据流状态，针对每一个经过该中间网络设备的连接都建立对应数据结构来维护其状态和相关参数；如果监测到某个加密数据连接需要解密，则向用户设备发送附带证书的认证请求报文；接收到客户设备分享的会话密钥之后进行数据的加/解密操作，并与上层网络应用交互应用数据；

密钥解密模块，部署在中间网络设备上，将从用户设备接收到的会话密钥密文解密，并将明文的会话密钥传送给流处理器和数据加/解密模块来存储和操作。

8.根据权利要求7所述通用的面向加密数据的中间网络服务体系，其特征在于，所述用户设备在建立连接时的握手报文中携带可以唯一标识自身的信息，用于中间网络设备辨识用户设备。