CN106534179B - 安全通信方法及装置和安全通信系统 - Google Patents

安全通信方法及装置和安全通信系统 Download PDF

Info

Publication number
CN106534179B
CN106534179B CN201611123847.4A CN201611123847A CN106534179B CN 106534179 B CN106534179 B CN 106534179B CN 201611123847 A CN201611123847 A CN 201611123847A CN 106534179 B CN106534179 B CN 106534179B
Authority
CN
China
Prior art keywords
cloud
server
cloud server
gateway
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611123847.4A
Other languages
English (en)
Other versions
CN106534179A (zh
Inventor
金基勇
赵天麒
梁竞帆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yonyou Network Technology Co Ltd
Original Assignee
Yonyou Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yonyou Network Technology Co Ltd filed Critical Yonyou Network Technology Co Ltd
Priority to CN201611123847.4A priority Critical patent/CN106534179B/zh
Publication of CN106534179A publication Critical patent/CN106534179A/zh
Application granted granted Critical
Publication of CN106534179B publication Critical patent/CN106534179B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Abstract

本发明提供了一种安全通信方法及装置和安全通信系统。其中，一种安全通信方法，用于网关服务器，该网关服务器集成有第三方CA认证中心提供的安全组件，包括：接收来自云服务器的注册请求，注册请求用于向网关服务器请求下载网关；判断注册请求是否能够被审批通过；在注册请求被审批通过的情况下，向云服务器发送网关；根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器。通过本发明的技术方案，实现了不同云服务之间安全可靠、高效的通信。

Description

安全通信方法及装置和安全通信系统
技术领域
本发明涉及通信技术领域，具体而言，涉及一种安全通信方法及装置，还涉及一种安全通信系统。
背景技术
随着互联网时代的日益深化，企业内部的协同办公已经逐渐不能满足企业的日常需要，越来越多的业务场景需要多种云服务进行协同，不同云服务间进行互联的需求愈发增长。
相关技术采用EJB的方式进行云服务间的通信，然而实践表明传统EJB的方式普遍存在以下问题：1、对于EJB这种重量级的企业应用，其服务扩展极为不便，面对多种形式的云服务，难以快速实现服务连接。2、直接对外暴露私有云服务，为私有云服务的安全性与可靠性带来巨大的隐患。3、缺乏统一的安全认证机制，不同企业间的互信难以协调。4、每一次服务请求，均需发起一次服务会话，建立会话连接，当服务请求频繁时，早成大量的不必要开销，降低了服务效率。5、当单次服务请求数据量较大时，EJB的效率往往较低，在公网环境下，容易造成服务不可用。6、缺乏对通信端的统一监控，在出现问题是无法实现对问题的快速定位，修复问题后，也无法对修复模块进行在线更新。
因此，如何实现不同云服务间多种形式的安全可靠、高效通信，成为目前亟待解决的问题。
发明内容
本发明旨在至少解决现有技术或相关技术中存在的技术问题之一。
为此，本发明的一个目的在于提出了一种安全通信方法，用于网关服务器及一种安全通信方法，用于云服务器。
本发明的另一个目的在于提出了一种安全通信装置，用于网关服务器及一种安全通信装置，用于云服务器。
本发明的又一个目的在于提出了一种安全通信系统。
有鉴于此，本发明提出了一种安全通信方法，用于网关服务器，网关服务器集成有第三方CA认证中心提供的安全组件，安全通信方法包括：接收来自云服务器的注册请求，注册请求用于向网关服务器请求下载网关；判断注册请求是否能够被审批通过；在注册请求被审批通过的情况下，向云服务器发送网关；根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器。
根据本发明的安全通信方法，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
另外，根据本发明上述的安全通信方法，用于网关服务器，还可以具有如下附加的技术特征：
在上述技术方案中，优选地，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器具体包括：当云服务商的安全等级为一级时，生成密钥并发送至云服务器；当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级。
在该技术方案中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述技术方案中，优选地，生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器。
在该技术方案中，为了防止云服务器被冒用，本发明为云服务器设计了启动令牌。当云服务商下载云服务器后，网关服务器会为云服务器生成一个与云服务商身份绑定的启动令牌，启动时需要启动令牌，建立连接后网关服务器会对启动令牌进行验证，并关闭无效网关。通过本发明的技术方案，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生。
在上述技术方案中，优选地，接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；对启动令牌进行身份验证；当启动令牌通过身份验证时，发送服务插件至云服务器；接收云服务器发送的加密签名报文；根据加密签名报文的保密等级转发加密签名报文；当启动令牌未通过身份验证时，关闭云服务器。
在该技术方案中，通过消息总线与云服务器建立连接，在不同云服务之间建立起一条对等的实时通信通道，确保了不同通信形式的云服务间可以进行高效转发；建立连接后，通过验证启动令牌，并在验证不通过时关闭云服务器，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生；当启动令牌通过身份验证时，接收云服务器发送的加密签名报文，并根据加密签名报文的保密等级转发加密签名报文，有效确保云服务间通信的安全可靠。
在上述技术方案中，优选地，根据加密签名报文的保密等级转发加密签名报文具体包括：当加密签名报文的保密等级为保密一级时，对加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当云服务商通过身份权限验证后，转发加密签名报文；当加密签名报文的保密等级为保密二级时，直接转发加密签名报文；其中，保密一级低于保密二级。
在该技术方案中，根据保密等级不同，网关服务器对加密签名报文做出不同的处理。当加密签名报文的保密等级为保密一级时，说明该加密签名报文的保密等级低，通过安全组件对其进行解密、验签，并对云服务商身份进行权限过滤，权限验证通过后对加密签名报文进行转发；当加密签名报文的保密等级为保密二级时，说明该加密签名报文保密等级高，如金融等行业，直接对加密签名报文进行转发；通信目的端接收到报文后使用安全组件进行解密、验签，并回复请求。通过本发明的技术方案，针对云服务商不同的安全需求，分别采用不同的加密机制，有效避免通信数据在传输过程中被篡改、监听、抵赖，确保云服务间通信的安全可靠。
在上述任一技术方案中，优选地，当通信发生异常时，捕获异常信息，并发出提示信息；记录与云服务器通信过程中产生的日志信息。
在该技术方案中，当通信发生异常时，通过捕获异常信息并发出提示信息，实现对连接过程的实施监控，从而能够及时发现连接问题；也可通过记录的日志信息，迅速定位问题所在；通过本发明的技术方案，有效降低运维复杂度，实现通信过程的高可用性。
在上述技术方案中，优选地，云服务器包括：公有云服务器、私有云服务器。
在该技术方案中，云服务器包括但不限于：公有云服务器、私有云服务器。网关服务器通过内部消息总线，在公有云与私有云和不同私有云之间建立起一条对等的实时通信通道，并通过统一的身份认证，解决服务授信，实现公有云与私有云和不同私有云之间安全可靠、高效的通信。
本发明还提出一种安全通信方法，用于云服务器，与上述任一项的安全通信方法，用于网关服务器配合使用，云服务器集成有第三方CA认证中心提供的安全组件，安全通信方法包括：发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信。
根据本发明的安全通信方法，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
另外，根据本发明上述的安全通信方法，用于云服务器，还可以具有如下附加的技术特征：
在上述技术方案中，优选地，根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书具体包括：当云服务商的安全等级为一级时，接收密钥；当云服务商的安全等级为二级时，接收密钥和CA证书。
在该技术方案中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述技术方案中，优选地，接收云服务器内部各服务基于OpenAPI的转发请求；向网关服务器发送连接请求，连接请求用于向网关服务器请求下载服务插件，通过WebSocket与网关服务器建立连接。
在该技术方案中，通过接收云服务器内部各服务基于OpenAPI的转发请求，实现云服务器内部的高效通信；通过向网关服务器发送连接请求，以实现不同云服务之间的通信，通过WebSocket与网关服务器建立连接，实现WebSocket与OpenAPI服务紧密连接，使不同通信形式的服务间可以进行高效转发。
在上述技术方案中，优选地，向网关服务器发送连接请求的方式为长连接。
在该技术方案中，通过以长连接的方式持有会话，可以实现云服务间的实时对等通信，同时避免了多次建立连接产生不必要的会话开销，优化网络I/O效率与连接方式，确保云服务间的高效通信。
在上述技术方案中，优选地，采用命令通道、数据通道分别建立长连接。
在该技术方案中，通过采用命令通道与数据通道分离，分别建立长连接，有效避免了在业务量大或返回数据量大时会造成阻塞，导致个别请求始终处于排队状态，长时间不能得到响应，从而大大的提升了通信的时效性，进而保证通信质量。
在上述技术方案中，优选地，长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，推送数据为压缩数据。
在该技术方案中，长连接的通信模式包括但不限于以下至少任一项或其组合：请求数据与推送数据；通过请求数据与推送数据的通信模式，避免了多次建立连接产生的非必要开销；同时保障了连接交互的实时性；并且可以很大程度上避免请求频发时通道发生阻塞；另外，通过压缩数据，有效降低了网络延迟对通信效率带来的影响。
在上述任一技术方案中，优选地，云服务器内部各服务均采用插件的形式进行热部署。
在该技术方案中，通过将云服务器内部各服务均采用插件的形式进行热部署，在系统运行或连接过程中可运维，不用重新启动或者再次建立连接，实现了云服务器的高可用性。
本发明还提出一种安全通信装置，用于网关服务器，网关服务器集成有第三方CA认证中心提供的安全组件，安全通信装置包括：第一接收单元，用于接收来自云服务器的注册请求，注册请求用于请求网关服务器请求下载网关；判断单元，用于判断注册请求是否能够被审批通过；发送单元，用于在注册请求被审批通过的情况下，向云服务器发送网关；生成单元，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器。
根据本发明的安全通信装置，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
另外，根据本发明上述的安全通信装置，用于网关服务器，还可以具有如下附加的技术特征：
在上述技术方案中，优选地，生成单元根据云服务商的安全等级生成密钥或发放CA证书，并将密钥和/或CA证书发送至云服务器具体包括：当云服务商的安全等级为一级时，生成密钥并发送至云服务器；当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级。
在该技术方案中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述技术方案中，优选地，生成单元，还用于生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器。
在该技术方案中，为了防止云服务器被冒用，本发明为云服务器设计了启动令牌。当云服务商下载云服务器后，网关服务器会为云服务器生成一个与云服务商身份绑定的启动令牌，启动时需要启动令牌，建立连接后网关服务器会对启动令牌进行验证，并关闭无效网关。通过本发明的技术方案，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生。
在上述技术方案中，优选地，第二接收单元，用于接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；验证单元，用于对启动令牌进行身份验证；发送单元，还用于当启动令牌通过身份验证时，发送服务插件至云服务器；第三接收单元，用于接收云服务器发送的加密签名报文；处理单元，用于根据加密签名报文的保密等级转发加密签名报文；处理单元，还用于当启动令牌未通过身份验证时，关闭云服务器。
在该技术方案中，通过消息总线与云服务器建立连接，在不同云服务之间建立起一条对等的实时通信通道，确保了不同通信形式的云服务间可以进行高效转发；建立连接后，通过验证启动令牌，并在验证不通过时关闭云服务器，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生；当启动令牌通过身份验证时，接收云服务器发送的加密签名报文，并根据加密签名报文的保密等级转发加密签名报文，有效确保云服务间通信的安全可靠。
在上述技术方案中，优选地，处理单元单元根据加密签名报文的保密等级转发加密签名报文具体包括：处理单元，具体用于当加密签名报文的保密等级为保密一级时，对加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当云服务商通过身份权限验证后，转发加密签名报文；处理单元，具体还用于当加密签名报文的保密等级为保密二级时，直接转发加密签名报文；其中，保密一级低于保密二级。
在该技术方案中，根据保密等级不同，网关服务器对加密签名报文做出不同的处理。当加密签名报文的保密等级为保密一级时，说明该加密签名报文的保密等级低，通过安全组件对其进行解密、验签，并对云服务商身份进行权限过滤，权限验证通过后对加密签名报文进行转发；当加密签名报文的保密等级为保密二级时，说明该加密签名报文保密等级高，如金融等行业，直接对加密签名报文进行转发；通信目的端接收到报文后使用安全组件进行解密、验签，并回复请求。通过本发明的技术方案，针对云服务商不同的安全需求，分别采用不同的加密机制，有效避免通信数据在传输过程中被篡改、监听、抵赖，确保云服务间通信的安全可靠。
在上述任一技术方案中，优选地，事件单元，用于当通信发生异常时，捕获异常信息，并发出提示信息；日志单元，用于记录与云服务器通信过程中产生的日志信息。
在该技术方案中，当通信发生异常时，通过捕获异常信息并发出提示信息，实现对连接过程的实施监控，从而能够及时发现连接问题；也可通过记录的日志信息，迅速定位问题所在；通过本发明的技术方案，有效降低运维复杂度，实现通信过程的高可用性。
在上述技术方案中，优选地，云服务器包括：公有云服务器、私有云服务器。
在该技术方案中，云服务器包括但不限于：公有云服务器、私有云服务器。网关服务器通过内部消息总线，在公有云与私有云和不同私有云之间建立起一条对等的实时通信通道，并通过统一的身份认证，解决服务授信，实现公有云与私有云和不同私有云之间安全可靠、高效的通信。
本发明还提出一种安全通信装置，用于云服务器，与上述任一技术方案的安全通信装置，用于网关服务器配合使用，云服务器集成有第三方CA认证中心提供的安全组件，安全通信装置包括：发送单元，用于发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；第一接收单元，用于在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；第二接收单元，用于根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信。
根据本发明的安全通信装置，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
另外，根据本发明上述的安全通信装置，用于云服务器，还可以具有如下附加的技术特征：
在上述技术方案中，优选地，第二接收单元根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书具体包括：当云服务商的安全等级为一级时，接收密钥；当云服务商的安全等级为二级时，接收密钥和CA证书。
在该技术方案中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述技术方案中，优选地，第三接收单元，用于接收云服务器内部各服务基于OpenAPI的转发请求；通信单元，用于向网关服务器发送连接请求，连接请求用于向网关服务器请求下载服务插件，通过WebSocket与网关服务器建立连接。
在该技术方案中，通过接收云服务器内部各服务基于OpenAPI的转发请求，实现云服务器内部的高效通信；通过向网关服务器发送连接请求，以实现不同云服务之间的通信，通过WebSocket与网关服务器建立连接，实现WebSocket与OpenAPI服务紧密连接，使不同通信形式的服务间可以进行高效转发。
在上述技术方案中，优选地，向网关服务器发送连接请求的方式为长连接。
在该技术方案中，通过以长连接的方式持有会话，可以实现云服务间的实时对等通信，同时避免了多次建立连接产生不必要的会话开销，优化网络I/O效率与连接方式，确保云服务间的高效通信。
在上述技术方案中，优选地，采用命令通道、数据通道分别建立长连接。
在该技术方案中，通过采用命令通道与数据通道分离，分别建立长连接，有效避免了在业务量大或返回数据量大时会造成阻塞，导致个别请求始终处于排队状态，长时间不能得到响应，从而大大的提升了通信的时效性，进而保证通信质量。
在上述技术方案中，优选地，长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，推送数据为压缩数据。
在该技术方案中，长连接的通信模式包括但不限于以下至少任一项或其组合：请求数据与推送数据；通过请求数据与推送数据的通信模式，避免了多次建立连接产生的非必要开销；同时保障了连接交互的实时性；并且可以很大程度上避免请求频发时通道发生阻塞；另外，通过压缩数据，有效降低了网络延迟对通信效率带来的影响。
在上述任一技术方案中，优选地，云服务器内部各服务均采用插件的形式进行热部署。
在该技术方案中，通过将云服务器内部各服务均采用插件的形式进行热部署，在系统运行或连接过程中可运维，不用重新启动或者再次建立连接，实现了云服务器的高可用性。
本发明还提出一种安全通信系统，包括：上述任一技术方案的安全通信装置，用于网关服务器；以及上述任一技术方案的安全通信装置，用于云服务器。该安全通信系统具有上述任一安全通信装置的技术效果，在此不再赘述。
本发明的附加方面和优点将在下面的描述部分中变得明显，或通过本发明的实践了解到。
附图说明
本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：
图1示出了根据本发明的一个实施例的用于网关服务器的安全通信方法的流程示意图；
图2示出了根据本发明的另一个实施例的用于网关服务器的安全通信方法的流程示意图；
图3示出了根据本发明的再一个实施例的用于网关服务器的安全通信方法的流程示意图；
图4a示出了根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图；
图4b示出了根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图；
图5示出了根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图；
图6a示出了根据本发明的一个实施例的用于云服务器的安全通信方法的流程示意图；
图6b示出了根据本发明的另一个实施例的用于云服务器的安全通信方法的流程示意图；
图7a示出了根据本发明的再一个实施例的用于云服务器的安全通信方法的流程示意图；
图7b示出了根据本发明的一个实施例的云服务器向网关服务器发送请求的请求方式的对比示意图；
图7c示出了根据本发明的一个实施例的云服务器与网关服务器的通信通道示意图；
图8示出了根据本发明的一个实施例的用于网关服务器的安全通信装置的示意框图；
图9示出了根据本发明的另一个实施例的用于网关服务器的安全通信装置的示意框图；
图10示出了根据本发明的再一个实施例的用于网关服务器的安全通信装置的示意框图；
图11示出了根据本发明的一个实施例的用于云服务器的安全通信装置的示意框图；
图12示出了根据本发明的再一个实施例的用于云服务器的安全通信装置的示意框图；
图13示出了根据本发明的一个实施例的安全通信系统的示意框图；
图14示出了根据本发明的一个实施例的安全通信系统的交互示意图；
图15示出了根据本发明的一个实施例的安全通信系统的架构图；
图16示出了根据本发明的一个实施例的安全通信系统的通信示意图；
图17示出了根据本发明的一个实施例的安全通信系统的运维示意图。
具体实施方式
为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。
如图1所示，根据本发明的一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤102，接收来自云服务器的注册请求，注册请求用于向网关服务器请求下载网关；
步骤104，判断注册请求是否能够被审批通过；
步骤106，在注册请求被审批通过的情况下，向云服务器发送网关；
步骤108，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器。
在该实施例中，网关服务器集成有第三方CA认证中心提供的安全组件，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
如图2所示，根据本发明的另一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤202，接收来自云服务器的注册请求，注册请求用于请求向网关服务器请求下载网关；
步骤204，判断注册请求是否能够被审批通过；
步骤206，在注册请求被审批通过的情况下，向云服务器发送网关；
步骤208，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
步骤2082，当云服务商的安全等级为一级时，生成密钥并发送至云服务器；
步骤2084，当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级。
在该实施例中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
如图3所示，根据本发明的再一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤302，接收来自云服务器的注册请求，注册请求用于请求向网关服务器请求下载网关；
步骤304，判断注册请求是否能够被审批通过；
步骤306，在注册请求被审批通过的情况下，向云服务器发送网关；
步骤308，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
步骤308具体包括：
步骤3082，当云服务商的安全等级为一级时，生成密钥并发送至云服务器；
步骤3084，当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级；
步骤306还包括步骤3062，生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器。
在该实施例中，为了防止云服务器被冒用，本发明为云服务器设计了启动令牌。当云服务商下载云服务器后，网关服务器会为云服务器生成一个与云服务商身份绑定的启动令牌，启动时需要启动令牌，建立连接后网关服务器会对启动令牌进行验证，并关闭无效网关。通过本发明的实施例，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生。
如图4a所示，根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤402，接收来自云服务器的注册请求，注册请求用于请求向网关服务器请求下载网关；
步骤404，判断注册请求是否能够被审批通过；
步骤406，在注册请求被审批通过的情况下，向云服务器发送网关；
步骤408，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
步骤408具体包括：
步骤4082，当云服务商的安全等级为一级时，生成密钥并发送至云服务器；
步骤4084，当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级；
步骤406还包括步骤4062，生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器；
步骤410，接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；
步骤412，对启动令牌进行身份验证；
步骤414，当启动令牌通过身份验证时，发送服务插件至云服务器；
步骤416，接收云服务器发送的加密签名报文；
步骤418，根据加密签名报文的保密等级转发加密签名报文；
步骤420，当启动令牌未通过身份验证时，关闭云服务器。
在该实施例中，通过消息总线与云服务器建立连接，在不同云服务之间建立起一条对等的实时通信通道，确保了不同通信形式的云服务间可以进行高效转发；建立连接后，通过验证启动令牌，并在验证不通过时关闭云服务器，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生；当启动令牌通过身份验证时，接收云服务器发送的加密签名报文，并根据加密签名报文的保密等级转发加密签名报文，有效确保云服务间通信的安全可靠。
如图4b所示，根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤418，根据加密签名报文的保密等级转发加密签名报文；
步骤418具体包括：
步骤4182，当加密签名报文的保密等级为保密一级时，对加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当云服务商通过身份权限验证后，转发加密签名报文；
步骤4184，当加密签名报文的保密等级为保密二级时，直接转发加密签名报文；其中，保密一级低于保密二级。
在该实施例中，根据保密等级不同，网关服务器对加密签名报文做出不同的处理。当加密签名报文的保密等级为保密一级时，说明该加密签名报文的保密等级低，通过安全组件对其进行解密、验签，并对云服务商身份进行权限过滤，权限验证通过后对加密签名报文进行转发；当加密签名报文的保密等级为保密二级时，说明该加密签名报文保密等级高，如金融等行业，直接对加密签名报文进行转发；通信目的端接收到报文后使用安全组件进行解密、验签，并回复请求。通过本发明的实施例，针对云服务商不同的安全需求，分别采用不同的加密机制，有效避免通信数据在传输过程中被篡改、监听、抵赖，确保云服务间通信的安全可靠。
如图5所示，根据本发明的又一个实施例的用于网关服务器的安全通信方法的流程示意图：
步骤502，接收来自云服务器的注册请求，注册请求用于请求向网关服务器请求下载网关；
步骤504，判断注册请求是否能够被审批通过；
步骤506，在注册请求被审批通过的情况下，向云服务器发送网关；
步骤508，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
步骤508具体包括：
步骤5082，当云服务商的安全等级为一级时，生成密钥并发送至云服务器；
步骤5084，当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级；
步骤506还包括步骤5062，生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器；
步骤510，接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；
步骤512，对启动令牌进行身份验证；
步骤514，当启动令牌通过身份验证时，发送服务插件至云服务器；
步骤516，接收云服务器发送的加密签名报文；
步骤518，根据加密签名报文的保密等级转发加密签名报文；
步骤520，当启动令牌未通过身份验证时，关闭云服务器；
步骤522，当通信发生异常时，捕获异常信息，并发出提示信息；
步骤524，记录与云服务器通信过程中产生的日志信息。
在该实施例中，当通信发生异常时，通过捕获异常信息并发出提示信息，实现对连接过程的实施监控，从而能够及时发现连接问题；也可通过记录的日志信息，迅速定位问题所在；通过本发明的实施例，有效降低运维复杂度，实现通信过程的高可用性。
在上述实施例中，优选地，云服务器包括：公有云服务器、私有云服务器。
在该实施例中，云服务器包括但不限于：公有云服务器、私有云服务器。网关服务器通过内部消息总线，在公有云与私有云和不同私有云之间建立起一条对等的实时通信通道，并通过统一的身份认证，解决服务授信，实现公有云与私有云和不同私有云之间安全可靠、高效的通信。
如图6a所示，根据本发明的一个实施例的用于云服务器的安全通信方法的流程示意图：
步骤602，发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；
步骤604，在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；
步骤606，根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信。
在该实施例中，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
如图6b所示，根据本发明的另一个实施例的用于云服务器的安全通信方法的流程示意图：
步骤602，发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；
步骤604，在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；
步骤606，根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信；
步骤606具体包括：
步骤6062，当云服务商的安全等级为一级时，接收密钥；
步骤6064，当云服务商的安全等级为二级时，接收密钥和CA证书。
如图7a所示，根据本发明的再一个实施例的用于云服务器的安全通信方法的流程示意图：
步骤702，发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；
步骤704，在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；
步骤706，根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信；
步骤706具体包括：
步骤7062，当云服务商的安全等级为一级时，接收密钥；
步骤7064，当云服务商的安全等级为二级时，接收密钥和CA证书；
步骤708，接收云服务器内部各服务基于OpenAPI的转发请求；
步骤710，向网关服务器发送连接请求，连接请求用于向网关服务器请求下载服务插件，通过WebSocket与网关服务器建立连接。
在该实施例中，通过接收云服务器内部各服务基于OpenAPI的转发请求，实现云服务器内部的高效通信；通过向网关服务器发送连接请求，以实现不同云服务之间的通信，通过WebSocket与网关服务器建立连接，实现WebSocket与OpenAPI服务紧密连接，使不同通信形式的服务间可以进行高效转发。
在上述实施例中，优选地，向网关服务器发送连接请求的方式为长连接。
在该实施例中，通过以长连接的方式持有会话，可以实现云服务间的实时对等通信，同时避免了多次建立连接产生不必要的会话开销，优化网络I/O效率与连接方式，确保云服务间的高效通信。
具体实施例，参照图7b，长连接的方式会持有会话而长轮询的方式则会多次建立连接，结合企业连接的场景，以长连接的方式持有会话可以实现云服务间的实时对等通信，同时避免了多次建立连接产生不必要的会话开销，因此在云服务器采用长连接，而不采用长轮询(long-polling)的方式主动建立连接。
在上述实施例中，优选地，采用命令通道、数据通道分别建立长连接。
在该实施例中，通过采用命令通道与数据通道分离，如图7c所示，分别建立长连接，有效避免了在业务量大或返回数据量大时会造成阻塞，导致个别请求始终处于排队状态，长时间不能得到响应，从而大大的提升了通信的时效性，进而保证通信质量。
在上述实施例中，优选地，长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，推送数据为压缩数据。
在该实施例中，长连接的通信模式包括但不限于以下至少任一项或其组合：请求数据与推送数据；通过请求数据与推送数据的通信模式，避免了多次建立连接产生的非必要开销；同时保障了连接交互的实时性；并且可以很大程度上避免请求频发时通道发生阻塞；另外，通过压缩数据，有效降低了网络延迟对通信效率带来的影响。
在上述任一实施例中，优选地，云服务器内部各服务均采用插件的形式进行热部署。
在该实施例中，通过将云服务器内部各服务均采用插件的形式进行热部署，在系统运行或连接过程中可运维，不用重新启动或者再次建立连接，实现了云服务器的高可用性。
如图8所示，根据本发明的一个实施例的用于网关服务器的安全通信装置的示意框图：
第一接收单元802，用于接收来自云服务器的注册请求，注册请求用于请求网关服务器请求下载网关；
判断单元804，用于判断注册请求是否能够被审批通过；
发送单元806，用于在注册请求被审批通过的情况下，向云服务器发送网关；
生成单元808，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器。
在该实施例中，网关服务器集成有第三方CA认证中心提供的安全组件，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述实施例中，优选地，生成单元808根据云服务商的安全等级生成密钥或发放CA证书，并将密钥和/或CA证书发送至云服务器具体包括：当云服务商的安全等级为一级时，生成密钥并发送至云服务器；当云服务商的安全等级为二级时，生成密钥并向第三方CA认证中心请求发放CA证书，接收来自第三方CA认证中心发放的证书，将CA证书与密钥一起发送给云服务器，以供云服务器使用密钥或证书与网关服务器通信；其中安全等级一级低于安全等级二级。
在该实施例中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述实施例中，优选地，生成单元808，还用于生成与云服务器对应的云服务商身份进行绑定的启动令牌，将启动令牌发送至云服务器。
在该实施例中，为了防止云服务器被冒用，本发明为云服务器设计了启动令牌。当云服务商下载云服务器后，网关服务器会为云服务器生成一个与云服务商身份绑定的启动令牌，启动时需要启动令牌，建立连接后网关服务器会对启动令牌进行验证，并关闭无效网关。通过本发明的实施例，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生。
如图9所示，根据本发明的另一个实施例的用于网关服务器的安全通信装置的示意框图：
第一接收单元902，用于接收来自云服务器的注册请求，注册请求用于请求网关服务器请求下载网关；
判断单元904，用于判断注册请求是否能够被审批通过；
发送单元906，用于在注册请求被审批通过的情况下，向云服务器发送网关；
生成单元908，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
第二接收单元910，用于接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；
验证单元912，用于对启动令牌进行身份验证；
发送单元906，还用于当启动令牌通过身份验证时，发送服务插件至云服务器；
第三接收单元914，用于接收云服务器发送的加密签名报文；
处理单元916，用于根据加密签名报文的保密等级转发加密签名报文；
处理单元916，还用于当启动令牌未通过身份验证时，关闭云服务器。
在该实施例中，通过消息总线与云服务器建立连接，在不同云服务之间建立起一条对等的实时通信通道，确保了不同通信形式的云服务间可以进行高效转发；建立连接后，通过验证启动令牌，并在验证不通过时关闭云服务器，有效地防止云服务器被复制后出现冒用云服务商身份的情况发生；当启动令牌通过身份验证时，接收云服务器发送的加密签名报文，并根据加密签名报文的保密等级转发加密签名报文，有效确保云服务间通信的安全可靠。
在上述实施例中，优选地，处理单元916根据加密签名报文的保密等级转发加密签名报文具体包括：处理单元，具体用于当加密签名报文的保密等级为保密一级时，对加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当云服务商通过身份权限验证后，转发加密签名报文；处理单元，具体还用于当加密签名报文的保密等级为保密二级时，直接转发加密签名报文；其中，保密一级低于保密二级。
在该实施例中，根据保密等级不同，网关服务器对加密签名报文做出不同的处理。当加密签名报文的保密等级为保密一级时，说明该加密签名报文的保密等级低，通过安全组件对其进行解密、验签，并对云服务商身份进行权限过滤，权限验证通过后对加密签名报文进行转发；当加密签名报文的保密等级为保密二级时，说明该加密签名报文保密等级高，如金融等行业，直接对加密签名报文进行转发；通信目的端接收到报文后使用安全组件进行解密、验签，并回复请求。通过本发明的实施例，针对云服务商不同的安全需求，分别采用不同的加密机制，有效避免通信数据在传输过程中被篡改、监听、抵赖，确保云服务间通信的安全可靠。
如图10所示，根据本发明的再一个实施例的用于网关服务器的安全通信装置的示意框图：
第一接收单元1002，用于接收来自云服务器的注册请求，注册请求用于请求网关服务器请求下载网关；
判断单元1004，用于判断注册请求是否能够被审批通过；
发送单元1006，用于在注册请求被审批通过的情况下，向云服务器发送网关；
生成单元1008，根据云服务商的安全等级生成密钥和/或发放CA证书，并将密钥和/或CA证书发送至云服务器；
第二接收单元1010，用于接收云服务器发送的连接请求，连接请求用于向网关服务器请求下载服务插件，通过消息总线与云服务器建立连接；
验证单元1012，用于对启动令牌进行身份验证；
发送单元1006，还用于当启动令牌通过身份验证时，发送服务插件至云服务器；
第三接收单元1014，用于接收云服务器发送的加密签名报文；
处理单元1016，用于根据加密签名报文的保密等级转发加密签名报文；
处理单元1016，还用于当启动令牌未通过身份验证时，关闭云服务器；
事件单元1018，用于当通信发生异常时，捕获异常信息，并发出提示信息；
日志单元1020，用于记录与云服务器通信过程中产生的日志信息。
在该实施例中，当通信发生异常时，通过捕获异常信息并发出提示信息，实现对连接过程的实施监控，从而能够及时发现连接问题；也可通过记录的日志信息，迅速定位问题所在；通过本发明的实施例，有效降低运维复杂度，实现通信过程的高可用性。
在上述实施例中，优选地，云服务器包括：公有云服务器、私有云服务器。
在该实施例中，云服务器包括但不限于：公有云服务器、私有云服务器。网关服务器通过内部消息总线，在公有云与私有云和不同私有云之间建立起一条对等的实时通信通道，并通过统一的身份认证，解决服务授信，实现公有云与私有云和不同私有云之间安全可靠、高效的通信。
如图11所示，根据本发明的一个实施例的用于云服务器的安全通信装置的示意框图：
发送单元1102，用于发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；
第一接收单元1104，用于在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；
第二接收单元1106，用于根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信。
在该实施例中，云服务器集成有第三方CA认证中心提供的安全组件，通过对所有云服务器，采用统一的身份认证机制，使公有云服务和私有云服务相互开放，降低对接工作量，同时解决服务授信，一方面使云服务器具备对外安全开放私有云服务的能力，避免直接暴露私有云服务，帮助私有云更加灵活的搭建云服务通信网络；另一方面公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，实现与公有云服务间的对等通信；同时针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
在上述实施例中，优选地，第二接收单元1106根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书具体包括：当云服务商的安全等级为一级时，接收密钥；当云服务商的安全等级为二级时，接收密钥和CA证书。
在该实施例中，针对云服务商不同的安全需求，分别采用不同的加密机制，确保云服务间通信的安全可靠。
如图12所示，根据本发明的再一个实施例的用于云服务器的安全通信装置的示意框图：
发送单元1202，用于发送注册请求至网关服务器，注册请求用于向网关服务器请求下载网关；
第一接收单元1204，用于在注册请求被审批通过的情况下，接收网关服务器发送的网关及与网关对应的启动令牌；
第二接收单元1206，用于根据云服务商的安全等级，接收网关服务器发送的密钥和/或CA证书，以供云服务器使用密钥和/或证书与网关服务器通信；
第三接收单元1208，用于接收云服务器内部各服务基于OpenAPI的转发请求；
通信单元1210，用于向网关服务器发送连接请求，连接请求用于向网关服务器请求下载服务插件，通过WebSocket与网关服务器建立连接。
在该实施例中，通过接收云服务器内部各服务基于OpenAPI的转发请求，实现云服务器内部的高效通信；通过向网关服务器发送连接请求，以实现不同云服务之间的通信，通过WebSocket与网关服务器建立连接，实现WebSocket与OpenAPI服务紧密连接，使不同通信形式的服务间可以进行高效转发。
在上述实施例中，优选地，向网关服务器发送连接请求的方式为长连接。
在该实施例中，通过以长连接的方式持有会话，可以实现云服务间的实时对等通信，同时避免了多次建立连接产生不必要的会话开销，优化网络I/O效率与连接方式，确保云服务间的高效通信。
在上述实施例中，优选地，采用命令通道、数据通道分别建立长连接。
在该实施例中，通过采用命令通道与数据通道分离，分别建立长连接，有效避免了在业务量大或返回数据量大时会造成阻塞，导致个别请求始终处于排队状态，长时间不能得到响应，从而大大的提升了通信的时效性，进而保证通信质量。
在上述实施例中，优选地，长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，推送数据为压缩数据。
在该实施例中，长连接的通信模式包括但不限于以下至少任一项或其组合：请求数据与推送数据；通过请求数据与推送数据的通信模式，避免了多次建立连接产生的非必要开销；同时保障了连接交互的实时性；并且可以很大程度上避免请求频发时通道发生阻塞；另外，通过压缩数据，有效降低了网络延迟对通信效率带来的影响。
在上述任一实施例中，优选地，云服务器内部各服务均采用插件的形式进行热部署。
在该实施例中，通过将云服务器内部各服务均采用插件的形式进行热部署，在系统运行或连接过程中可运维，不用重新启动或者再次建立连接，实现了云服务器的高可用性。
如图13所示，根据本发明的一个实施例的安全通信系统的示意框图：包括：上述任一实施例的安全通信装置1302，用于网关服务器；以及上述任一实施例的安全通信装置1304，用于云服务器。该安全通信系统具有上述任一安全通信装置的技术效果，在此不再赘述。
具体实施例一，通常在企业内部网络中，大部节点只允许在内网通信，位于摆渡区的节点可主动访问外网，但不能被外网地址主动访问，即单向通信。为在单向通信的前提下实现私有云与公有云实时通信，本实施例将安全通信系统分为两部分：位于企业摆渡区的连接网关(gateway)与云端的网关服务器(gwserver)，如图14所示。
在该实施例中，整体采用JAVA NIO2等I/O模型，实现对网络I/O的高效读写，并在此基础上实现了消息总线，将实现WebSocket与OpenAPI服务紧密连接，使不同通信形式的服务间可以进行高效转发。首先，在私有云内部，不同服务在原有OpenAPI的基础上，比如EPR系统、OA系统(Office Automation，办公自动化，简称OA)，通过网关做服务请求的高效转发，实现私有云内部不同服务的相互调用；其次，网关部署在企业摆渡区，通过WebSocket与网关服务器主动建立连接，实现与网关服务器的对等通信；第三，公有云服务提供商通过主动注册的形式与网关服务器进行集成，使网关服务器有能力对其进行回调，通过网关服务器实现公有云服务间的对等通信；第四，网关服务器通过内部消息总线，将WebSocket与OpenAPI服务相互连接，在公有云与私有云和不同私有云之间建立起一条对等的实时通信通道；最后，通过统一的身份认证，解决服务授信，使网关具备对外安全开放私有云服务API的能力，帮助私有云更加灵活的搭建云服务通信网络。
具体实施例二，通信系统中，各通信端通过安全组件调用第三方CA认证中心提供的安全服务，确保通信的安全可靠，其系统架构图如图15所示，对应的通信示意图如图16所示。
在该实施例中，网关1502与网关服务器1504之间连接采用的WebSocket协议是基于http协议之上的应用层协议，其天然支持ssh安全协议。网关1502与网关服务器1504集成第三方CA认证中心提供的安全组件；云服务商(公有、私有)在网关服务器1504进行在线注册；网关服务器1504审核并向第三方CA认证中心提交证书申请；第三方CA认证中心1506将证书通过网关服务器下发至云服务端；通信时，云服务端通过使用证书，并通过安全组件生成签名并与原文一起加密传输至网关服务器；根据保密等级不同，网关服务器1504通过安全组件对通信报文进行解密、验签，并根据云服务商身份进去权限过滤，权限验证通过后对报文进行转发(保密等级低)；或直接对报文进行转发(保密等级高，如金融等行业)；通信目的端接受到通信报文后使用安全组件进行解密、验签，并回复请求。
具体实施例三，如图17所示，为实现网关端的高可用性，网关端的服务均采用插件的形式进行热部署；网关服务器端实现了事件中心、消息中心与日志中心，当通信发生异常时，事件中心会捕获异常信息，通过消息中心将异常事件发送给服务管理员，管理员可登陆网关服务器查看事件中心，也可通过日志中心收集网关日志，以便迅速定位问题。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (29)

1.一种安全通信方法，用于网关服务器，其特征在于，所述网关服务器集成有第三方CA认证中心提供的安全组件，所述安全通信方法包括：
接收来自云服务器的注册请求，所述注册请求用于向所述网关服务器请求下载网关；
判断所述注册请求是否能够被审批通过；
在所述注册请求被审批通过的情况下，向所述云服务器发送所述网关；
根据云服务商的安全等级生成密钥和/或发放CA证书，并将所述密钥和/或所述CA证书发送至所述云服务器。
2.根据权利要求1所述的安全通信方法，其特征在于，所述根据云服务商的安全等级生成密钥和/或发放CA证书，并将所述密钥和/或所述CA证书发送至所述云服务器具体包括：
当所述云服务商的安全等级为一级时，生成所述密钥并发送至所述云服务器；
当所述云服务商的安全等级为二级时，生成所述密钥并向第三方CA认证中心请求发放所述CA证书，接收来自所述第三方CA认证中心发放的证书，将所述CA证书与所述密钥一起发送给所述云服务器，以供所述云服务器使用所述密钥或所述证书与所述网关服务器通信；
其中所述安全等级一级低于所述安全等级二级。
3.根据权利要求1所述的安全通信方法，其特征在于，还包括：
生成与所述云服务器对应的云服务商身份进行绑定的启动令牌，将所述启动令牌发送至所述云服务器。
4.根据权利要求3所述的安全通信方法，其特征在于，
接收所述云服务器发送的连接请求，所述连接请求用于向所述网关服务器请求下载服务插件，通过消息总线与所述云服务器建立连接；
对所述启动令牌进行身份验证；
当所述启动令牌通过所述身份验证时，发送所述服务插件至所述云服务器；
接收所述云服务器发送的加密签名报文；
根据所述加密签名报文的保密等级转发所述加密签名报文；
当所述启动令牌未通过所述身份验证时，关闭所述云服务器。
5.根据权利要求4所述的安全通信方法，其特征在于，所述根据所述加密签名报文的保密等级转发所述加密签名报文具体包括：当所述加密签名报文的保密等级为保密一级时，对所述加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当所述云服务商通过所述身份权限验证后，转发所述加密签名报文；
当所述加密签名报文的保密等级为保密二级时，直接转发所述加密签名报文；
其中，所述保密一级低于保密二级。
6.根据权利要求1至5中任一项所述的安全通信方法，其特征在于，还包括：
当通信发生异常时，捕获异常信息，并发出提示信息；
记录与所述云服务器通信过程中产生的日志信息。
7.根据权利要求6所述的安全通信方法，其特征在于，
所述云服务器包括：公有云服务器、私有云服务器。
8.一种安全通信方法，用于云服务器，与权利要求1至7中任一项所述的安全通信方法，用于网关服务器配合使用，其特征在于，所述云服务器集成有第三方CA认证中心提供的安全组件，所述安全通信方法包括：
发送注册请求至所述网关服务器，所述注册请求用于向所述网关服务器请求下载网关；
在所述注册请求被审批通过的情况下，接收所述网关服务器发送的所述网关及与所述网关对应的启动令牌；
根据云服务商的安全等级，接收所述网关服务器发送的密钥和/或CA证书，以供所述云服务器使用所述密钥和/或所述证书与所述网关服务器通信。
9.根据权利要求8所述的安全通信方法，其特征在于，所述根据云服务商的安全等级，接收所述网关服务器发送的密钥和/或CA证书具体包括：
当所述云服务商的安全等级为一级时，接收所述密钥；
当所述云服务商的安全等级为二级时，接收所述密钥和所述CA证书。
10.根据权利要求9所述的安全通信方法，其特征在于，
接收所述云服务器内部各服务基于OpenAPI的转发请求；
向所述网关服务器发送连接请求，所述连接请求用于向所述网关服务器请求下载服务插件，通过WebSocket与所述网关服务器建立连接。
11.根据权利要求10所述的安全通信方法，其特征在于，
所述向所述网关服务器发送连接请求的方式为长连接。
12.根据权利要求11所述的安全通信方法，其特征在于，
采用命令通道、数据通道分别建立所述长连接。
13.根据权利要求12所述的安全通信方法，其特征在于，
所述长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，所述推送数据为压缩数据。
14.根据权利要求8至13中任一项所述的安全通信方法，其特征在于，
所述云服务器内部各服务均采用插件的形式进行热部署。
15.一种安全通信装置，用于网关服务器，其特征在于，所述网关服务器集成有第三方CA认证中心提供的安全组件，所述安全通信装置包括：
第一接收单元，用于接收来自云服务器的注册请求，所述注册请求用于请求所述网关服务器请求下载网关；
判断单元，用于判断所述注册请求是否能够被审批通过；
发送单元，用于在所述注册请求被审批通过的情况下，向所述云服务器发送所述网关；
生成单元，根据云服务商的安全等级生成密钥和/或发放CA证书，并将所述密钥和/或所述CA证书发送至所述云服务器。
16.根据权利要求15所述的安全通信装置，其特征在于，所述生成单元根据云服务商的安全等级生成密钥和/或发放CA证书，并将所述密钥和/或所述CA证书发送至所述云服务器具体包括：
当所述云服务商的安全等级为一级时，生成所述密钥并发送至所述云服务器；
当所述云服务商的安全等级为二级时，生成所述密钥并向所述第三方CA认证中心发送所述CA证书，将所述CA证书与所述密钥一起发送给所述云服务器，以供所述云服务器使用密钥和/或所述证书与所述网关服务器通信；
其中所述安全等级一级低于所述安全等级二级。
17.根据权利要求15所述的安全通信装置，其特征在于，还包括：
生成单元，还用于生成与所述云服务器对应的云服务商身份进行绑定的启动令牌，将所述启动令牌发送至所述云服务器。
18.根据权利要求17所述的安全通信装置，其特征在于，
第二接收单元，用于接收所述云服务器发送的连接请求，所述连接请求用于向所述网关服务器请求下载服务插件，通过消息总线与所述云服务器建立连接；
验证单元，用于对所述启动令牌进行身份验证；
所述发送单元，还用于当所述启动令牌通过所述身份验证时，发送所述服务插件至所述云服务器；
第三接收单元，用于接收所述云服务器发送的加密签名报文；
处理单元，用于根据所述加密签名报文的保密等级转发所述加密签名报文；
所述处理单元，还用于当所述启动令牌未通过所述身份验证时，关闭所述云服务器。
19.根据权利要求18所述的安全通信装置，其特征在于，所述处理单元根据所述加密签名报文的保密等级转发所述加密签名报文具体包括：
所述处理单元，具体用于当所述加密签名报文的保密等级为保密一级时，对所述加密签名报文进行解密及验证签名，并对云服务商进行身份权限验证；当所述云服务商通过所述身份权限验证后，转发所述加密签名报文；
所述处理单元，具体还用于当所述加密签名报文的保密等级为保密二级时，直接转发所述加密签名报文；
其中，所述保密一级低于保密二级。
20.根据权利要求15至19中任一项所述的安全通信装置，其特征在于，还包括：
事件单元，用于当通信发生异常时，捕获异常信息，并发出提示信息；
日志单元，用于记录与所述云服务器通信过程中产生的日志信息。
21.根据权利要求20所述的安全通信装置，其特征在于，
所述云服务器包括：公有云服务器、私有云服务器。
22.一种安全通信装置，用于云服务器，与权利要求15至21中任一项所述的安全通信装置，用于网关服务器配合使用，其特征在于，所述云服务器集成有第三方CA认证中心提供的安全组件，所述安全通信装置包括：
发送单元，用于发送注册请求至所述网关服务器，所述注册请求用于向所述网关服务器请求下载网关；
第一接收单元，用于在所述注册请求被审批通过的情况下，接收所述网关服务器发送的所述网关及与所述网关对应的启动令牌；
第二接收单元，用于根据云服务商的安全等级，接收所述网关服务器发送的密钥和/或CA证书，以供所述云服务器使用所述密钥和/或所述证书与所述网关服务器通信。
23.根据权利要求22所述的安全通信装置，其特征在于，所述第二接收单元根据云服务商的安全等级，接收所述网关服务器发送的密钥和/或CA证书具体包括：
当所述云服务商的安全等级为一级时，接收所述密钥；
当所述云服务商的安全等级为二级时，接收所述密钥和所述CA证书。
24.根据权利要求22所述的安全通信装置，其特征在于，
第三接收单元，用于接收所述云服务器内部各服务基于OpenAPI的转发请求；
通信单元，用于向所述网关服务器发送连接请求，所述连接请求用于向所述网关服务器请求下载服务插件，通过WebSocket与所述网关服务器建立连接。
25.根据权利要求24所述的安全通信装置，其特征在于，
所述向所述网关服务器发送连接请求的方式为长连接。
26.根据权利要求25所述的安全通信装置，其特征在于，
采用命令通道、数据通道分别建立所述长连接。
27.根据权利要求26所述的安全通信装置，其特征在于，
所述长连接的通信模式包括以下至少任一项或其组合：请求数据与推送数据；其中，所述推送数据为压缩数据。
28.根据权利要求22至27中任一项所述的安全通信装置，其特征在于，
所述云服务器内部各服务均采用插件的形式进行热部署。
29.一种安全通信系统，其特征在于，包括：如权利要求15至21中任一项所述的安全通信装置，用于网关服务器；以及如权利要求22至28中任一项所述的安全通信装置，用于云服务器。
CN201611123847.4A 2016-12-08 2016-12-08 安全通信方法及装置和安全通信系统 Active CN106534179B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201611123847.4A CN106534179B (zh) 2016-12-08 2016-12-08 安全通信方法及装置和安全通信系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611123847.4A CN106534179B (zh) 2016-12-08 2016-12-08 安全通信方法及装置和安全通信系统

Publications (2)

Publication Number Publication Date
CN106534179A CN106534179A (zh) 2017-03-22
CN106534179B true CN106534179B (zh) 2019-10-22

Family

ID=58342862

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611123847.4A Active CN106534179B (zh) 2016-12-08 2016-12-08 安全通信方法及装置和安全通信系统

Country Status (1)

Country Link
CN (1) CN106534179B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107172038B (zh) * 2017-05-11 2020-04-28 深信服科技股份有限公司 一种用于提供安全服务的信息处理方法、平台、组件及系统
CN107196977B (zh) * 2017-07-28 2020-11-03 杭州聪普智能科技有限公司 一种智能家居的安全维修方法
CN108810002B (zh) * 2018-06-21 2020-02-21 北京智芯微电子科技有限公司 安全芯片的多ca应用系统及方法
WO2021032304A1 (en) * 2019-08-22 2021-02-25 Huawei Technologies Co., Ltd. Gateway devices and methods for performing a site-to-site communication

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101895882A (zh) * 2009-05-21 2010-11-24 中兴通讯股份有限公司 一种WiMAX系统中的数据传输方法、系统及装置
CN103533026A (zh) * 2013-09-22 2014-01-22 四川智爱电子信息科技有限责任公司 基于云平台的手机通讯录信息伪装方法
CN104717200A (zh) * 2013-12-12 2015-06-17 柯尼卡美能达株式会社 通信系统、管理服务器、通信中继装置及其控制方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6993582B2 (en) * 1996-07-30 2006-01-31 Micron Technology Inc. Mixed enclave operation in a computer network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101895882A (zh) * 2009-05-21 2010-11-24 中兴通讯股份有限公司 一种WiMAX系统中的数据传输方法、系统及装置
CN103533026A (zh) * 2013-09-22 2014-01-22 四川智爱电子信息科技有限责任公司 基于云平台的手机通讯录信息伪装方法
CN104717200A (zh) * 2013-12-12 2015-06-17 柯尼卡美能达株式会社 通信系统、管理服务器、通信中继装置及其控制方法

Also Published As

Publication number Publication date
CN106534179A (zh) 2017-03-22

Similar Documents

Publication Publication Date Title
US8549157B2 (en) Transparent secure socket layer
CN105007279B (zh) 认证方法和认证系统
CN108876374A (zh) 区块链的网络身份证件认证方法和系统
CN107425983A (zh) 一种基于web服务的统一身份认证方法及系统平台
AU2020202168B2 (en) Method and system related to authentication of users for accessing data networks
CN106534179B (zh) 安全通信方法及装置和安全通信系统
US20140157393A1 (en) Proxy authentication network
US20040199768A1 (en) System and method for enabling enterprise application security
US20090307486A1 (en) System and method for secured network access utilizing a client .net software component
CN105871797A (zh) 客户端与服务器进行握手的方法、装置及系统
CN109361753A (zh) 一种物联网系统架构与加密方法
CN109245993A (zh) 基于区块链的即时通讯方法及装置
CN107094156B (zh) 一种基于p2p模式的安全通信方法及系统
CN109741068A (zh) 网银跨行签约方法、装置及系统
US7080409B2 (en) Method for deployment of a workable public key infrastructure
CN113515756B (zh) 基于区块链的高可信数字身份管理方法及系统
Alhaidary et al. Vulnerability analysis for the authentication protocols in trusted computing platforms and a proposed enhancement of the offpad protocol
CN109040069A (zh) 一种云应用程序的发布方法、发布系统及访问方法
Rongyu et al. A PK-SIM card based end-to-end security framework for SMS
CN109660534A (zh) 基于多商户的安全认证方法、装置、电子设备及存储介质
CN109740319A (zh) 数字身份验证方法及服务器
CN115913513B (zh) 支持隐私保护的分布式可信数据交易方法、系统及装置
CN109194487A (zh) 基于区块链的本人实名交易或通信构建方法及系统
JP4608245B2 (ja) 匿名通信方法
Emmanuel et al. Mobile Banking in Developing Countries: Secure Framework for Delivery of SMS-banking Services

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant