CN106060087A - 一种多因素主机安全准入控制系统和方法 - Google Patents

一种多因素主机安全准入控制系统和方法 Download PDF

Info

Publication number
CN106060087A
CN106060087A CN201610596793.7A CN201610596793A CN106060087A CN 106060087 A CN106060087 A CN 106060087A CN 201610596793 A CN201610596793 A CN 201610596793A CN 106060087 A CN106060087 A CN 106060087A
Authority
CN
China
Prior art keywords
module
access
application program
digital certificate
host
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610596793.7A
Other languages
English (en)
Inventor
吴丹
樊凯
吕华辉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Southern Power Grid Digital Grid Research Institute Co Ltd
Original Assignee
Information Center of China Southern Power Grid Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Information Center of China Southern Power Grid Co Ltd filed Critical Information Center of China Southern Power Grid Co Ltd
Priority to CN201610596793.7A priority Critical patent/CN106060087A/zh
Publication of CN106060087A publication Critical patent/CN106060087A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种多因素主机安全准入控制系统和方法，该系统包括主机、准入装置和网络接口，所述主机包括应用模块和主控装置；所述准入装置包括准入模块和网络防火墙；所述主控装置包括监控DLL模块，USBKEY，散列计算模块，主机IPSEC模块；所述准入模块包括存储单元，路径单元，准入IPSEC模块；主机通过网络接口连接准入装置。该方法包括建立合法名单；获取合法名单，提取对应运行参数并提出访问申请；接收访问申请，基于访问申请配置访问路径。本发明通过建立一个运行程序白名单，通过对符合白名单的应用程序进行主要进程监视，结合数字证书来提供安全检验能力，提高在隔离环境下的软件与内部的网络之间的通信管理能力，保证数据传递过程的安全性。

Description

一种多因素主机安全准入控制系统和方法
技术领域
本发明涉及一种多因素主机安全准入控制系统和方法，属于计算机通讯领域。
背景技术
目前，常见的主机安全准入方法主要包括以下几种：IP地址准入控制、MAC地址准入控制、用户名口令准入控制、数字证书准入控制以及物理端口准入控制等。其中，IP地址准入控制和MAC地址准入控制容易被网络侦听和伪造，安全性较低。物理端口控制方式需要配合数字证书、IP地址等方式使用。用户名口令和数字证书方式只能对访问内部网络的用户进行认证和准入控制，当用户校验合法后，主机任何应用程序包括病毒、木马程序均可以连接内部网络。
发明内容
为了解决上述问题，本发明通过提供一种多因素主机安全准入控制系统和方法，实现内外网间的数据收发控制。
本发明采用的技术方案一方面为一种多因素主机安全准入控制系统，包括主机、准入装置和网络接口，所述主机包括用于运行应用程序的应用模块和用于管理应用模块的主控装置；所述准入装置包括用于管理准入装置的准入模块和用于控制访问的网络防火墙；所述主控装置包括用于提取应用程序的参数的监控DLL模块，用于提供数字证书和本体ID的USBKEY，用于计算应用程序的HASH值和获取所述数字证书、本体名的散列计算模块，主机IPSEC模块；所述准入模块包括用于存储合法名单的存储单元，用于设置网络防火墙的路径单元，准入IPSEC模块；所述主控装置通过网络接口与准入模块连接；所述应用模块通过网络接口与网络防火墙单元连接。
优选地，所述监控DLL模块与所述散列计算模块连接以获取应用程序的HASH值、数字证书和本体ID。
优选地，所述监控DLL模块与应用模块连接以获取应用模块中的应用程序的网络连接信息，所述网络连接信息包括源IP、目的IP、源端口、目的端口和协议号。
优选地，所述主控装置通过主机IPSEC模块与准入IPSEC模块之间的认证，建立与准入模块之间的加密通信信道。
优选地，所述合法名单包括应用程序白名单和数字证书白名单，其中，应用程序白名单包括应用程序名称、应用程序的进程名称和进程SHA-1散列值；数字证书白名单包括主机ID、数字证书的序列号和USBKEY的本体ID。
本发明采用的技术方案另一方面为一种多因素主机安全准入控制方法，包括以下步骤：准入模块建立用于认证应用程序的合法名单；主控装置获取合法名单，基于合法名单提取对应的应用程序的运行参数并提出访问申请；准入模块接收访问申请，基于访问申请配置访问路径。
优选地，所述运行参数包括应用程序名称、应用程序的进程名称、进程SHA-1散列值和应用程序的HASH值。
优选地，所述准入申请包括网络连接信息和数字证书信息，其中，网络连接信息包括源IP、目的IP、源端口、目的端口、协议号；数字证书信息包括数字证书的序列号和提供数字证书的USBKEY的本体ID。
本发明的有益效果为通过建立一个运行程序白名单，通过对符合白名单的应用程序进行主要进程监视，结合数字证书来提供安全检验能力，提高在隔离环境下的软件与内部的网络之间的通信管理能力，保证数据传递过程的安全性。采用应用程序合法性准入控制与数字证书准入控制相结合的多因素主机安全准入控制方法，既实现了对使用者的合法性校验，又实现了对应用程序的合法性校验，弥补了上述常见准入控制方法的不足，实现识别与阻断非法应用程序连接，校验主机合法性，检查和保护接入内部网络应用程序完整性，以及防止病毒、木马连接内部网络的综合安全准入控制能力。
附图说明
图1所示为基于本发明实施例的一种多因素主机安全准入控制系统的示意图；
图2所示为基于本发明实施例的一种多因素主机安全准入控制方法的示意图。
具体实施方式
以下结合实施例对本发明进行说明。
基于发明的实施例，如图1所示一种多因素主机安全准入控制系统，包括主机、准入装置和网络接口，所述主机包括用于运行应用程序的应用模块和用于管理应用模块的主控装置；所述准入装置包括用于管理准入装置的准入模块和用于控制访问的网络防火墙；所述主控装置包括用于提取应用程序的参数的监控DLL模块，用于提供数字证书和本体ID的USBKEY，用于计算应用程序的HASH值和获取所述数字证书、本体名的散列计算模块，主机IPSEC模块；所述准入模块包括用于存储合法名单的存储单元，用于设置网络防火墙的路径单元，准入IPSEC模块；所述主控装置通过网络接口与准入模块连接；所述应用模块通过网络接口与网络防火墙单元连接。
主机为一般定义上的电脑系统，准入装置为管制主机的应用程序的网络连接的装置；应用模块为运行应用程序所必需的元素的组合，如内存、内核驱动模块、CPU等，主要目的是提供一个应用程序的运行环境；主控装置主要是用于读取应用程序的运行数据，监控应用程序的建立和退出过程；准入模块主要用于与主机之间的验证活动和设置应用程序与网络防火墙之间的路径；USBKEY是一种USB接口的硬件设备,它内置单片机或智能卡芯片，有一定的存储空间，可以存储用户的私钥以及数字证书，利用USB Key内置的公钥算法实现对用户身份的认证，所述的本体ID即USBKEY的代码，因为根据需要，可能需要两个以上的USBKEY，那么就需要区分；
所述监控DLL模块与所述散列计算模块连接以获取应用程序的HASH值、数字证书和本体ID。
所述监控DLL模块与应用模块连接以获取应用模块中的应用程序的网络连接信息，所述网络连接信息包括源IP、目的IP、源端口、目的端口和协议号。
源IP为网络连接的起始点（即应用程序所处地址），目的IP为网络连接的终点（即应用程序想要连接的地方），源端口为起始端口号，目的端口为终止端口号，协议号为协议代号。
所述主控装置通过主机IPSEC模块与准入IPSEC模块之间的认证，建立与准入模块之间的加密通信信道。
IPSEC为“Internet 协议安全性 (”是一种开放标准的框架结构，通过使用加密的安全服务以确保在 Internet 协议 (IP) 网络上进行保密而安全的通讯，通过端对端的安全性来提供主动的保护以防止专用网络与 Internet 的攻击，在通信中，只有发送方和接收方才是唯一必须了解 IPSec 保护的计算机。其定义了在网际层使用的安全服务，其功能包括数据加密、对网络单元的访问控制、数据源地址验证、数据完整性检查和防止重放攻击。IPSec的安全服务要求支持共享密钥完成认证和/或保密，并且手工输入密钥的方式是必须要支持的，其目的是要保证IPSec协议的互操作性。当然，手工输入密钥方式的扩展能力很差，因此在IPSec协议中引入了一个密钥管理协议，称Internet密钥交换协议——IKE，该协议可以动态认证IPSec对等体，协商安全服务，并自动生成共享密钥。
所述合法名单包括应用程序白名单和数字证书白名单，其中，应用程序白名单包括应用程序名称、应用程序的进程名称和进程SHA-1散列值；数字证书白名单包括主机ID、数字证书的序列号和USBKEY的本体ID。
基于发明的实施例，如图2所示一种多因素主机安全准入控制方法，包括以下步骤：准入模块建立用于认证应用程序的合法名单；主控装置获取合法名单，基于合法名单提取对应的应用程序的运行参数并提出访问申请；准入模块接收访问申请，基于访问申请配置访问路径。
管理员通过HTTPS协议输入正确的用户名口令后登录准入模块，对允许访问内部网络的主机配置应用程序白名单和数字证书白名单；应用程序白名单每条配置信息包括应用程序名称、应用程序主进程可执行程序名称和应用程序主进程可执行程序SHA-1散列值，数字证书白名单每条配置信息包括主机名称（主机ID）、数字证书序列号和数字证书主体ID；主机通过IPSEC建立加密通信信道，完成安全准入信道的建立，通过该信道获取合法名单，基于合法名单监控应用程序的创建和退出，同时通过内核驱动模块读取应用程序的进程名称并与白名单中的信息进行对比，成功则将合法的应用程序的资料（如该应用程序的名称，对应需要运行的DLL名称、应用程序的完整路径）传递到应用模块（即告知应用模块可以处理这些资料），同时，也计算应用程序的HASH值、提取数字证书、获取应用软件想要进行的网络连接相关的参数，将这些信息（HASH值、数字证书等）整合成为访问申请传输到准入模块；准入模块接收到访问申请，根据申请内容设置网络防火墙与实现应用程序经过防火墙访问内部的网络。
所述运行参数包括应用程序名称、应用程序的进程名称、进程SHA-1散列值和应用程序的HASH值。
所述准入申请包括网络连接信息和数字证书信息，其中，网络连接信息包括源IP、目的IP、源端口、目的端口、协议号；数字证书信息包括数字证书的序列号和提供数字证书的USBKEY的本体ID。
以上所述，只是本发明的较佳实施例而已，本发明并不局限于上述实施方式，只要其以相同的手段达到本发明的技术效果，都应属于本发明的保护范围。在本发明的保护范围内其技术方案和/或实施方式可以有各种不同的修改和变化。

Claims (8)

1.一种多因素主机安全准入控制系统，包括主机、准入装置和网络接口，其特征在于，所述主机包括用于运行应用程序的应用模块和用于管理应用模块的主控装置；
所述准入装置包括用于管理准入装置的准入模块和用于控制访问的网络防火墙；
所述主控装置包括用于提取应用程序的参数的监控DLL模块，用于提供数字证书和本体ID的USBKEY，用于计算应用程序的HASH值和获取所述数字证书、本体名的散列计算模块，主机IPSEC模块；
所述准入模块包括用于存储合法名单的存储单元，用于设置网络防火墙的路径单元，准入IPSEC模块；
所述主控装置通过网络接口与准入模块连接；
所述应用模块通过网络接口与网络防火墙单元连接。
2.根据权利要求1所述的一种多因素主机安全准入控制系统，其特征在于，所述监控DLL模块与所述散列计算模块连接以获取应用程序的HASH值、数字证书和本体ID。
3.根据权利要求1所述的一种多因素主机安全准入控制系统，其特征在于，所述监控DLL模块与应用模块连接以获取应用模块中的应用程序的网络连接信息，所述网络连接信息包括源IP、目的IP、源端口、目的端口和协议号。
4.根据权利要求1所述的一种多因素主机安全准入控制系统，其特征在于，所述主控装置通过主机IPSEC模块与准入IPSEC模块之间的认证，建立与准入模块之间的加密通信信道。
5.根据权利要求1所述的一种多因素主机安全准入控制系统，其特征在于，所述合法名单包括应用程序白名单和数字证书白名单，其中，
应用程序白名单包括应用程序名称、应用程序的进程名称和进程SHA-1散列值；
数字证书白名单包括主机ID、数字证书的序列号和USBKEY的本体ID。
6.一种多因素主机安全准入控制方法，其特征在于，包括以下步骤：
准入模块建立用于认证应用程序的合法名单；
主控装置获取合法名单，基于合法名单提取对应的应用程序的运行参数并提出访问申请；
准入模块接收访问申请，基于访问申请配置访问路径。
7.根据权利要求6所述的一种多因素主机安全准入控制方法，其特征在于，所述运行参数包括应用程序名称、应用程序的进程名称、进程SHA-1散列值和应用程序的HASH值。
8.根据权利要求6所述的一种多因素主机安全准入控制方法，其特征在于，所述准入申请包括网络连接信息和数字证书信息，其中，
网络连接信息包括源IP、目的IP、源端口、目的端口、协议号；
数字证书信息包括数字证书的序列号和提供数字证书的USBKEY的本体ID。
CN201610596793.7A 2016-07-26 2016-07-26 一种多因素主机安全准入控制系统和方法 Pending CN106060087A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610596793.7A CN106060087A (zh) 2016-07-26 2016-07-26 一种多因素主机安全准入控制系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610596793.7A CN106060087A (zh) 2016-07-26 2016-07-26 一种多因素主机安全准入控制系统和方法

Publications (1)

Publication Number Publication Date
CN106060087A true CN106060087A (zh) 2016-10-26

Family

ID=57418459

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610596793.7A Pending CN106060087A (zh) 2016-07-26 2016-07-26 一种多因素主机安全准入控制系统和方法

Country Status (1)

Country Link
CN (1) CN106060087A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109309690A (zh) * 2018-12-28 2019-02-05 中国人民解放军国防科技大学 一种基于报文认证码的软件白名单控制方法
CN110990839A (zh) * 2019-11-22 2020-04-10 安徽三实信息技术服务有限公司 一种windows主机安全检查方法、装置和平台
CN113206761A (zh) * 2021-04-30 2021-08-03 深信服科技股份有限公司 一种应用连接检测方法、装置、电子设备及存储介质

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070143851A1 (en) * 2005-12-21 2007-06-21 Fiberlink Method and systems for controlling access to computing resources based on known security vulnerabilities
CN101616165A (zh) * 2009-07-28 2009-12-30 江苏先安科技有限公司 一种新型x509数字证书白名单发布查询验证的方法
CN101764742A (zh) * 2009-12-30 2010-06-30 福建星网锐捷网络有限公司 一种网络资源访问控制系统及方法
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统
CN101945390A (zh) * 2009-07-08 2011-01-12 华为技术有限公司 一种准入控制方法及装置
CN102315996A (zh) * 2011-10-21 2012-01-11 北京海西赛虎信息安全技术有限公司 网络准入控制方法及系统
CN102347957A (zh) * 2011-11-18 2012-02-08 王鑫 一种云网络准入鉴别系统及准入鉴别技术方法
CN102811218A (zh) * 2012-07-24 2012-12-05 江苏省电子商务服务中心有限责任公司 数字证书精确化认证方法、装置及云认证服务系统
CN104580185A (zh) * 2014-12-30 2015-04-29 北京工业大学 一种网络访问控制的方法和系统
CN104767752A (zh) * 2015-04-07 2015-07-08 西安汇景倬元信息技术有限公司 一种分布式网络隔离系统及方法
CN104796261A (zh) * 2015-04-16 2015-07-22 长安大学 一种网络终端节点的安全接入管控系统及方法
CN105337986A (zh) * 2015-11-20 2016-02-17 英赛克科技（北京）有限公司 可信协议转换方法和系统

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070143851A1 (en) * 2005-12-21 2007-06-21 Fiberlink Method and systems for controlling access to computing resources based on known security vulnerabilities
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统
CN101945390A (zh) * 2009-07-08 2011-01-12 华为技术有限公司 一种准入控制方法及装置
CN101616165A (zh) * 2009-07-28 2009-12-30 江苏先安科技有限公司 一种新型x509数字证书白名单发布查询验证的方法
CN101764742A (zh) * 2009-12-30 2010-06-30 福建星网锐捷网络有限公司 一种网络资源访问控制系统及方法
CN102315996A (zh) * 2011-10-21 2012-01-11 北京海西赛虎信息安全技术有限公司 网络准入控制方法及系统
CN102347957A (zh) * 2011-11-18 2012-02-08 王鑫 一种云网络准入鉴别系统及准入鉴别技术方法
CN102811218A (zh) * 2012-07-24 2012-12-05 江苏省电子商务服务中心有限责任公司 数字证书精确化认证方法、装置及云认证服务系统
CN104580185A (zh) * 2014-12-30 2015-04-29 北京工业大学 一种网络访问控制的方法和系统
CN104767752A (zh) * 2015-04-07 2015-07-08 西安汇景倬元信息技术有限公司 一种分布式网络隔离系统及方法
CN104796261A (zh) * 2015-04-16 2015-07-22 长安大学 一种网络终端节点的安全接入管控系统及方法
CN105337986A (zh) * 2015-11-20 2016-02-17 英赛克科技（北京）有限公司 可信协议转换方法和系统

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
DEVDIV移动开发社区: "《Android开发实战体验》", 31 January 2013 *
佟晓筠: "《电子商务安全及案例》", 31 January 2010, 北京：中国铁道出版社 *
刘锋等: "医疗网络与外部网络信息安全交互方案设计", 《中国数字医学》 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109309690A (zh) * 2018-12-28 2019-02-05 中国人民解放军国防科技大学 一种基于报文认证码的软件白名单控制方法
CN109309690B (zh) * 2018-12-28 2019-04-02 中国人民解放军国防科技大学 一种基于报文认证码的软件白名单控制方法
CN110990839A (zh) * 2019-11-22 2020-04-10 安徽三实信息技术服务有限公司 一种windows主机安全检查方法、装置和平台
CN110990839B (zh) * 2019-11-22 2023-06-02 安徽三实信息技术服务有限公司 一种windows主机安全检查方法、装置和平台
CN113206761A (zh) * 2021-04-30 2021-08-03 深信服科技股份有限公司 一种应用连接检测方法、装置、电子设备及存储介质

Similar Documents

Publication Publication Date Title
CN101778099B (zh) 可容忍非信任组件的可信网络接入架构及其接入方法
CN103747036B (zh) 一种桌面虚拟化环境下的可信安全增强方法
US8954735B2 (en) Device, method, and system for secure trust anchor provisioning and protection using tamper-resistant hardware
US8452954B2 (en) Methods and systems to bind a device to a computer system
CN102231729B (zh) 支持多种ca身份认证的方法
CN108881308B (zh) 一种用户终端及其认证方法、系统、介质
US11451959B2 (en) Authenticating client devices in a wireless communication network with client-specific pre-shared keys
CN105052069B (zh) 用于隐私感知dhcp服务的用户设备、系统和方法
CN101841525A (zh) 安全接入方法、系统及客户端
CN106027456A (zh) 用于对网络设备进行认证的装置和方法
CN101986598B (zh) 认证方法、服务器及系统
CN101610150B (zh) 第三方数字签名方法和数据传输系统
US20110078784A1 (en) Vpn system and method of controlling operation of same
WO2016188053A1 (zh) 一种无线网络接入方法、装置及计算机存储介质
CN112436940A (zh) 一种基于零知识证明的物联网设备可信启动管理方法
CN103684793A (zh) 一种基于可信计算增强配电网络通信安全的方法
CN114584331A (zh) 一种配电物联网边缘物联代理网络安全防护方法及系统
CN106060087A (zh) 一种多因素主机安全准入控制系统和方法
CN101867588A (zh) 一种基于802.1x的接入控制系统
CN101764788B (zh) 基于扩展802.1x认证系统的安全接入方法
CN112016073B (zh) 一种服务器零信任连接架构的构建方法
KR102278808B1 (ko) Tcp 패킷을 이용한 단일 패킷 인증 시스템 및 그 방법
US20230007491A1 (en) Managing a subscription identifier associated with a device
CN106878020A (zh) 网络系统、网络设备的认证方法和装置
CN116669032A (zh) 一种城域物联网系统及其安全认证方法、装置、存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20200724

Address after: 511458 room 1301, city tower, No. 106, Feng Ze Road East, Nansha District, Guangzhou, Guangdong.

Applicant after: Southern Power Grid Digital Grid Research Institute Co.,Ltd.

Address before: 510623 Guangdong city of Guangzhou province Tianhe District Pearl River Metro Chinese Sui Road No. 6

Applicant before: INFORMATION CENTER OF CHINA SOUTHERN POWER GRID Co.,Ltd.

TA01 Transfer of patent application right
RJ01 Rejection of invention patent application after publication

Application publication date: 20161026

RJ01 Rejection of invention patent application after publication