CN106789029B - 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统 - Google Patents

一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统 Download PDF

Info

Publication number
CN106789029B
CN106789029B CN201710004543.4A CN201710004543A CN106789029B CN 106789029 B CN106789029 B CN 106789029B CN 201710004543 A CN201710004543 A CN 201710004543A CN 106789029 B CN106789029 B CN 106789029B
Authority
CN
China
Prior art keywords
quantum
fort machine
terminal
key
encryption device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710004543.4A
Other languages
English (en)
Other versions
CN106789029A (zh
Inventor
富尧
蔡晓宇
钟一民
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Divine Land Zhejiang Quantum Network Science And Technology Ltd
Original Assignee
Divine Land Zhejiang Quantum Network Science And Technology Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Divine Land Zhejiang Quantum Network Science And Technology Ltd filed Critical Divine Land Zhejiang Quantum Network Science And Technology Ltd
Priority to CN201710004543.4A priority Critical patent/CN106789029B/zh
Publication of CN106789029A publication Critical patent/CN106789029A/zh
Application granted granted Critical
Publication of CN106789029B publication Critical patent/CN106789029B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Abstract

本发明公开了一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统，其中基于量子堡垒机的审计方法，包括：响应于运维终端的认证请求并进行认证；认证通过后对运维终端的运维操作进行审计并生成审计记录，将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；接收来自安全加密装置的所述存储密文并进行存储。本发明针对审计文件通过专门的硬件设备进行加密存储，且加密所使用的密钥是具有真随机性的量子随机数密钥，该量子随机数密钥的颁发依赖于量子通信网络和专门的硬件设备，密钥的安全性极高，这使得审计文件在量子堡垒机中存储的安全性得到保证。

Description

一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机 系统
技术领域
本发明涉及量子通信技术领域，尤其涉及一种基于量子堡垒机的审计方法和审计系统以及量子堡垒机系统。
背景技术
随着社会信息化程度的不断加深，信息数据日益成为各企事业单位的核心资产，确保信息数据的安全是各企事业单位极为重要的工作。网络防火墙、病毒防火墙、入侵检测等硬件设备的普及，有效防止了企业内部网络受到外部攻击，加强了企业的外部防线。然而，企业内部信息数据失窃泄密、重要系统服务器运行遭到破坏等事件愈演愈烈，对企业信息安全的影响远远超过黑客和病毒。由于企业IT运维人员或管理员经常和核心IT资产打交道，接触核心机密的机会最多，企业内部信息安全事件逐渐转向IT运维人员和管理员。如何加固组织机构内部网络的“内防体系”，杜绝或减少因为内部隐患而导致的信息遭窃密、数据被篡改、系统被破坏等严重后果，成为近年内国际信息安全业界在内网安全领域的新课题。在此背景下，能够防范和审计内部管理人员对IT资产设备的访问和操作的堡垒机(也称堡垒主机)技术应运而生。堡垒机是管控IT运维人员访问核心IT资产的专用系统主机。它通过切断终端计算机对网络和服务器资源的直接访问，采用协议代理的方式，接管了终端计算机对网络和服务器的访问。堡垒机的应用使得运维人员对服务器进行的所有运维操作都需要经过堡垒机进行。堡垒机将运维人员的操作记录生成审计文件并保存在数据库中，供审计人员进行安全审计和追责。
堡垒机系统的主要功能之一是事后审计，其目的是将内部管理人员对IT资产设备进行访问的整个会话过程全部记录下来，并提供可观的审计依据，以能更好地对账号的完整使用过程进行追踪、追责。因此，被记录下来的审计文件是内部管理人员对内部IT资产的所有操作记录，既是企业的潜在资产也是事后追责的凭证，其安全性应该得到重视。
现有堡垒机系统并没有对审计文件的安全性做到充分的重视，其安全性主要来自两方面。
其一是审计文件的存储安全，现有堡垒机系统对审计文件多以明文的形式进行存储，通过访问控制保证只有审计员能够访问相应的审计文件，一旦堡垒机中病毒或被不法分子窃取信息，审计文件很容易被窃取查看甚至篡改。
其二是审计文件的传输安全，当审计员登录到堡垒机进行审计文件审查时，审计的加密传输所采用的加密体系是基于非对称加密算法的PKI体系，而非对称加密算法在量子计算机实用化后是极不安全的。
发明内容
本发明是结合量子通信网络提出一种基于量子堡垒机的审计系统，用来实现量子堡垒机对日志和录像等审计文件的安全存储和安全审计。
一种基于量子堡垒机的审计方法，包括：
响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录；
将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
接收来自安全加密装置的所述存储密文并进行存储。
本发明审计方法主要实施在服务器运维终端通过量子堡垒机的代理进行量子通信网络服务站的运维操作时，并基于量子堡垒机执行。
本发明中审计文件的安全存储和传输都由专门硬件设备(即安全加密装置)来协助完成；基于同一思路本发明还提供一种基于量子堡垒机的审计方法，用以在堡垒机运维终端请求调取审计文件时基于量子堡垒机实施。
一种基于量子堡垒机的审计方法，包括：
响应于堡垒机运维终端的认证请求并进行认证；
认证通过后，根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文以及防篡改标识信息进行加密生成传输密文；
所述的防篡改标识信息优选为对审计文件所提取的摘要。
接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览。
就堡垒机运维终端而言，有可能对量子堡垒机发起审计、管理等多种类型的操作，本发明审计方法在此环节中主要针对“审计请求”，即由堡垒机运维终端发起的审计操作，如调取、查阅审计文件。
本发明以上提供的两种方法也可结合实施于不同的阶段，即服务器运维终端通过量子堡垒机的代理进行量子通信网络服务站的运维操作，而后在堡垒机运维终端请求调取审计文件时实施后者方法。
审计方法实施时，会涉及用户认证以及量子堡垒机与用户端进行密文传输，在没有特殊说明下，本发明所述用户端或终端均指服务器运维终端或堡垒机运维终端；而相应的终端用户则为服务器运维终端用户或堡垒机运维终端用户。
所述存储密文以及传输密文主要是为了区分不同阶段生成的密文，并不对密文内容或格式本身做额外限定。
所述安全加密装置可作为独立装置或以板卡的形式设置在量子堡垒机内，其至少具有相应的数据处理和存储能力，就其硬件本身而言可以采用现有技术。对审计文件和审计文件摘要进行存储和调用时的加密、解密均在安全加密装置内进行，加密、解密所采用的密钥可以是事先颁发好的QKD量子密钥或者量子随机数密钥或者通过其他手段如电子元件噪声所产生的真随机数，且使用对称加密算法进行加密、解密。
量子堡垒机与用户端进行密文传输时所使用的加密密钥是量子随机数密钥，该量子随机数密钥的远程颁发依赖于量子通信网络，形成由量子随机数密钥和量子通信网络保证安全性的堡垒机系统，其目的是保护量子通信网络中的各类核心设备。
作为优选，所述认证请求中携带有终端用户的识别信息，量子堡垒机通过该识别信息对认证请求进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡，所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
作为优选，终端用户拥有与自身身份相对应的量子密钥卡，该量子密钥卡由终端用户在量子密钥颁发中心注册后颁发，量子密钥卡与量子堡垒机之间共享有相应的量子随机数密钥，安全加密装置生成传输密文时采用该量子随机数密钥进行加密。
堡垒机运维终端接收到传输密文后传输至量子密钥卡，量子密钥卡利用存储的相应量子随机数密钥进行解密。
量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，在量子密钥卡与量子堡垒机之间形成共享的量子随机数密钥。
量子密钥颁发中心向量子堡垒机分发量子随机数密钥的方式包括：
方式a、经由移动存储介质传输至所述安全加密装置；或
方式b、经由通信专线直接传输至所述安全加密装置；
在方式a和方式b中，安全加密装置对接收到的量子随机数密钥加密后存储在量子堡垒机的存储设备中。
安全加密装置需要使用量子随机数密钥时，从量子堡垒机的存储设备中调取，而后在安全加密装置内进行解密。
针对该量子随机数密钥的加密、解密均在安全加密装置内进行，优选采用安全加密装置中事先颁发好的QKD量子密钥或者基于量子效应、电子元件噪声等手段产生的真随机数作为密钥并通过对称加密算法进行加密、解密。
相应的，本发明所述的审计方法可以通过量子堡垒机内的软件模块实现，因此本发明也提供了一种基于量子堡垒机的审计系统。
一种基于量子堡垒机的审计系统，包括：
第一模块、用于响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
第二模块、用于认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录；
第三模块、用于将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
第四模块、用于接收来自安全加密装置的所述存储密文并进行存储。
一种基于量子堡垒机的审计系统，包括：
第五模块、用于响应于堡垒机运维终端的认证请求并进行认证；
第六模块、用于认证通过后，根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
第七模块、用于接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览。
本发明所述的第一模块～第四模块，以及第五模块～第七模块仅仅为了区分和便于表述，并没因此限制模块内的构成以及执行次序。
本发明还提供一种量子堡垒机系统，包括量子通信网络服务站、服务器运维终端以及量子堡垒机，所述量子堡垒机中设有硬件形式的安全加密装置，服务器运维终端通过量子堡垒机的代理进行量子通信网络服务站的运维操作时，所述量子堡垒机执行如下步骤：
响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录；
将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
接收来自安全加密装置的所述存储密文并进行存储。
作为优选，所述量子堡垒机系统还包括量子密钥颁发中心，量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，以及分发至量子通信网络服务站和量子堡垒机；
在量子密钥卡与量子堡垒机之间，以及量子通信网络服务站和量子堡垒机之间形成共享的量子随机数密钥；所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
作为优选，量子堡垒机根据认证请求中携带的识别信息进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡。
基于同一思路，本发明还提供一种量子堡垒机系统，包括量子堡垒机以及配置在量子堡垒机下的堡垒机运维终端，所述量子堡垒机中设有硬件形式的安全加密装置，堡垒机运维终端请求调取审计文件时，所述量子堡垒机执行如下步骤：
响应于堡垒机运维终端的认证请求并进行认证；
认证通过后，根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览。
作为优选，所述量子堡垒机系统还包括量子密钥颁发中心，量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，在量子密钥卡与量子堡垒机之间形成共享的量子随机数密钥；所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
作为优选，量子堡垒机根据认证请求中携带的识别信息进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡。
所述量子密钥卡包括通信连接的CPU、内存和存储器并配置有操作系统，可以存储终端用户的用户ID、用户信息、量子随机数密钥和加密策略等。每个量子密钥卡的持有者都有唯一证明其身份的用户ID。
当合法用户的终端为PC机时，量子密钥卡优选为USB KEY或与电脑主板配合的板卡；当合法用户的终端为移动终端时，量子密钥卡优选为SD KEY或移动终端的主板芯片。
本发明针对审计文件通过专门的硬件设备进行加密存储，且加密所使用的密钥是具有真随机性的量子随机数密钥，该量子随机数密钥的颁发依赖于量子通信网络和专门的硬件设备，密钥的安全性极高，这使得审计文件在量子堡垒机中存储的安全性得到保证。
本发明中审计文件在传输的过程中，所使用的密钥是由量子随机数发生服务器产生的真随机数，且只使用对称加密算法，完全摒弃了经典通信中使用非对称算法的过程，能够抵抗量子计算机对非对称算法的攻击。
附图说明
图1为本发明量子堡垒机系统的示意图；
图2为量子密钥颁发的示意图。
具体实施方式
实施本发明的网络系统主要包括量子通信网络服务站、量子堡垒机、量子密钥颁发中心以及各终端。另外根据需要配置其他网络设备，例如用于连接各终端、量子堡垒机和量子通信网络服务站的防火墙、交换机、路由器等。
终端可分为服务器运维终端以及堡垒机运维终端。
服务器运维终端对应的登录用户为服务器运维终端用户，为访问量子通信网络服务站的用户，能够对各站内服务器发出维护和操作指令，包括各服务器的各级运维人员。
堡垒机运维终端是只登录量子堡垒机进行操作的终端，对应的登录用户为堡垒机运维终端用户，堡垒机运维终端若根据登陆以及使用目的不同，还可细分为堡垒机管理终端、堡垒机审计终端等。
量子堡垒机是管控服务器运维终端用户访问量子通信网络服务站的专用系统，量子堡垒机内还设有硬件形式的安全加密装置。
安全加密装置主要用于对数据进行加解密等处理操作，保证数据在存储和使用过程中的安全，其表现形式优选为主板板卡；
量子堡垒机内配置有软件系统，结合安全加密装置，可以：
配置相应的安全策略和终端用户应有的操作权限；
处理用户操作，包括登录认证、权限审核、代理访问等；
存储经安全加密装置加密处理后的量子随机数密钥；
对终端用户访问量子堡垒机或量子通信网络服务站的操作的行为进行记录和审计，对形成的记录能够统计、分析、并生成报表；
存储经安全加密装置加密处理后的审计文件。
量子通信网络服务站中被量子堡垒机监控的所有目标设备也总称为量子通信网络服务器资源，主要包括主控中心、认证服务器、量子随机数发生服务器、量子随机数密钥存储服务器、量子密钥分发服务器和量子密钥管理服务器等。
主控中心，用来控制量子通信网络服务站，除此之外，还包括用户登记、用户接入、各类密码学应用、用户信息存储、用户密钥存储、用户量子密钥卡颁发等功能；
认证服务器，主要是利用认证协议完成接入用户的身份认证，认证该用户是否是合法的量子通信网络用户；
量子随机数发生服务器，用于产生量子随机数供接入该量子通信网络的用户获取，以在用户和该量子通信网络服务站之间形成共享的量子随机数密钥；
量子随机数密钥存储服务器，用来存储由量子随机数发生服务器产生的量子随机数密钥；
量子密钥分发服务器，用于进行量子密钥分发，以在直接相连或通过中继相连的量子通信网络服务站之间实现异地共享的量子密钥；
量子密钥管理服务器，负责对量子密钥分发服务器生成的量子密钥进行存储、管理等。
每个服务器(也包括主控中心)除了其应有的功能模块之外，还包括安全加密模块和密钥存储模块：
安全加密模块，用来对量子随机数密钥进行加解密操作的装置，其表现形式优选为主板板卡；
密钥存储模块，用来存储和管理经安全加密模块加密后的量子随机数密钥，优选为各类数据库。
量子密钥颁发中心，内部包含量子随机数发生服务器，负责量子随机数密钥的生成，
量子密钥颁发中心通过相应的软件功能模块实现量子随机数密钥的颁发、存储和管理等；另外量子密钥颁发中心还配置认证授权模块和权限策略模块；
认证授权模块，主要用来对量子通信网络服务站中各服务器的终端用户(包括量子堡垒机和量子通信网络服务器资源等服务器的管理员或运维人员)授权，并向量子通信网络服务站中各服务器和终端用户颁发量子随机数密钥，以在各终端用户和量子堡垒机之间、量子堡垒机和量子通信网络服务器资源之间形成共享的量子随机数密钥对；
权限策略模块，主要用来对本发明中量子堡垒机和量子通信网络服务器资源等服务器制定访问角色和权限策略等，并根据该权限策略为终端用户分配角色和权限，为量子堡垒机和量子通信网络服务器资源之间分配权限。
各合法的终端用户还拥有与其身份相应的量子密钥卡，量子密钥卡是由量子密钥颁发中心授权后颁发给合法终端用户的装置。其内部结构包括CPU、内存、存储器、操作系统，可以存储用户ID、用户信息、量子随机数密钥和加密策略等。每个量子密钥卡的持有者都有唯一证明其身份的用户ID。当合法用户的终端为个人电脑时，量子密钥卡的优选表现形式为USB KEY或个人电脑主板板卡；当合法用户的终端为移动终端时，量子密钥卡的优选表现形式为SD KEY或移动终端主板芯片。
本发明审计方法实施前还需要完成量子堡垒机部署以及量子随机数密钥对的颁发。
量子堡垒机部署：
量子堡垒机通过网络设备旁路接入到量子通信网络服务器资源，终端用户通过经典网络(内网或者外网)访问量子通信网络服务器资源的时候通过防火墙策略先访问量子堡垒机，由量子堡垒机代为访问量子通信网络服务器资源中的各服务器。
量子随机数密钥对的颁发：
本发明中终端用户和量子堡垒机之间、量子堡垒机和量子通信网络服务器资源中的各服务器之间需要拥有共享的量子随机数密钥才能彼此互相认证或进行安全的数据传输。因此，在堡垒机系统进行运维审计之前需要对终端用户和量子堡垒机以及量子堡垒机和量子通信网络服务器资源中的各服务器颁发量子随机数密钥对，该过程由量子密钥颁发中心完成。
对终端用户和量子堡垒机颁发量子随机数密钥对的过程
对终端用户颁发量子随机数密钥体现在将量子随机数密钥等信息充入终端用户的量子密钥卡中。对量子堡垒机颁发量子随机数密钥的最终结果是将与终端用户相对应的量子随机数密钥等信息充入量子堡垒机，经由安全加密装置加密后存储在量子堡垒机的储存设备中。终端用户需要到量子密钥颁发中心指定的受理点申请颁发量子随机数密钥，其具体过程如下：
(1)终端用户携带相关材料到量子密钥颁发中心申请授权。
(2)量子密钥颁发中心的认证授权模块对终端用户材料进行审核，审核通过后为用户分配一个用户ID并向权限策略模块确定用户的角色权限、用户所登录的量子堡垒机ID等信息。
(3)量子密钥颁发中心的认证授权模块向量子随机数发生服务器获取用户指定数量的量子随机数密钥。将用户ID、量子堡垒机ID、用户信息、量子堡垒机信息、量子随机数密钥、加密策略等密钥信息写入量子密钥卡中，并将该量子密钥卡颁发给终端用户。
量子密钥颁发中心完成对终端用户颁发量子随机数密钥的同时需要将用户ID、量子堡垒机ID、用户信息、量子堡垒机信息、量子随机数密钥、加密策略等密钥信息颁发给量子堡垒机，以在该量子堡垒机和该终端用户之间实现共享的量子随机数密钥。
量子密钥颁发中心给量子堡垒机颁发量子随机数密钥的过程分为两种：
如果量子堡垒机与量子密钥颁发中心之间数据的传输在可接受的物理距离之内，则可以通过移动存储介质到量子密钥颁发中心指定的受理点拷贝相应的密钥信息，并将获取到的密钥信息带到量子堡垒机处，经量子堡垒机的安全加密装置加密后保存。该种颁发也称为本地颁发，且该移动存储介质优选为可信任的人所持有的可靠的移动硬盘或优盘等。
如果量子堡垒机和量子密钥颁发中心之间数据的传输在可接受的物理距离之外，除了到指定的受理点进行本地颁发之外，还可以对量子堡垒机远程颁发量子随机数密钥，且该量子随机数密钥的传输通过量子通信网络。远程颁发的具体过程如下：
(1)量子密钥颁发中心将用户ID、量子堡垒机ID、用户信息、量子堡垒机信息、量子随机数密钥、加密策略等密钥信息使用本地量子通信网络服务站中量子密钥分发服务器产生的量子密钥加密得到密文数据，并将该密文数据发送给量子通信网络进行传输。其中，使用量子密钥对量子随机数密钥进行加密的方式优选为一次一密。
(2)该密文数据经量子通信网络最终传输到量子堡垒机本地的量子通信网络服务站中的量子密钥分发服务器。
(3)量子堡垒机本地的量子通信网络服务站使用量子密钥分发服务器产生的共享的量子密钥将密文数据解密得到密钥信息，并将该密钥信息通过安全的专线直接传输到量子堡垒机的安全加密装置，经安全加密装置加密后保存在量子堡垒机的储存设备中。安全的专线可以由专门的措施进行保护，如加强机房的安全，布置专门的人员，或者缩短专线距离等。
(4)量子堡垒机将密钥信息保存成功后向量子密钥颁发中心返回颁发成功的消息。
至此，量子密钥颁发中心完成了对量子堡垒机和终端用户颁发量子随机数密钥对。终端用户通过量子密钥卡与量子堡垒机共享量子随机数密钥。该量子密钥卡是该终端用户登录量子堡垒机的唯一凭证。
对量子堡垒机和量子通信网络服务器资源颁发量子随机数密钥对之前，其权限策略模块需要根据相应的策略划分量子通信网络服务器资源中各服务器的角色权限。对每一个服务器按照不同权限划分出不同的角色。量子密钥颁发中心就是以量子通信网络服务器资源中各服务器的角色为单位进行量子随机数密钥对的颁发。
举例说明：如果该量子通信网络服务器资源中具有N个目标访问服务器，且第i个目标访问服务器具有Mi个不同权限的角色，则量子密钥颁发中心需要为量子堡垒机和量子通信网络服务器资源颁发对共享的量子随机数密钥。该量子随机数密钥保存在量子堡垒机和量子通信网络服务器资源中各服务器的密钥存储模块中。
量子密钥颁发中心对量子堡垒机和量子通信网络服务器资源颁发量子随机数密钥对的过程也分为本地颁发和远程颁发。
如果量子堡垒机或量子通信网络服务器资源中某服务器与量子密钥颁发中心之间数据的传输在可接受的物理距离之内，则可以通过移动存储介质到量子密钥颁发中心指定的受理点拷贝相应的量子随机数密钥，并将获取到的量子随机数密钥带到量子堡垒机或量子通信网络服务器资源处，经量子堡垒机的安全加密装置或量子通信网络服务器资源中某服务器的安全加密模块加密后保存。该移动存储介质优选为可信任的人所持有的可靠的移动硬盘或优盘等。
如果量子堡垒机或量子通信网络服务器资源中某服务器和量子密钥颁发中心之间数据的传输在可接受的物理距离之外，则可以对量子堡垒机或量子通信网络服务器资源中某服务器远程颁发量子随机数密钥，且该量子随机数密钥的传输通过量子通信网络。
下面以量子堡垒机和量子通信网络服务器资源均为远程颁发为例，讲述量子密钥颁发中心对量子堡垒机和量子通信网络服务器资源中某服务器的某角色颁发共享量子随机数密钥的具体过程：
1)量子密钥颁发中心中的权限策略模块根据相应的策略协议(优选采用最小权限原则)将量子通信网络服务器资源中各服务器划分为若干个角色。并给每个服务器分配一个服务器ID，每个服务器的每个角色分配一个角色ID。
2)量子密钥颁发中心从量子随机数发生服务器获得一定量的量子随机数密钥，并将该服务器ID、角色ID、量子随机数密钥等密钥信息使用本地量子通信网络服务站中量子密钥分发服务器产生的量子密钥加密得到密文数据，并将密文发送给量子通信网络进行传输。其中，使用量子密钥对量子随机数密钥进行加密的方式优选为一次一密。
3)该密文数据经量子通信网络最终传输到量子堡垒机本地的量子通信网络服务站或量子通信网络服务器资源所在的量子通信网络服务站。
4)量子堡垒机本地的量子通信网络服务站或量子通信网络服务器资源所在的量子通信网络服务站使用共享的量子密钥将密文数据解密得到密钥信息，并通过安全的专线将该密钥信息直接传输到量子堡垒机的安全加密装置或服务器ID所指定的服务器的安全加密模块，分别经加密后相应存储。
通过以上方法完成对量子堡垒机与量子通信网络服务器资源中所有服务器的所有角色的量子随机数密钥对的颁发。
至此，量子堡垒机与量子通信网络服务器资源中各服务器实现量子随机数密钥共享，且量子堡垒机与每个服务器共享的量子随机数密钥精确到该服务器的不同的角色。
本发明基于量子堡垒机的审计方法在服务器运维终端通过量子堡垒机的代理进行量子通信网络服务站的运维操作时，包括：
1)服务器运维终端用户使用相应的量子密钥卡通过服务器运维终端与量子堡垒机进行身份认证，认证成功后登录到量子堡垒机进行相应的运维操作。
2)对服务器运维终端发来的消息进行处理和管控。
3)对服务器运维终端的运维操作过程进行审计，并将生成的审计记录信息发送给安全加密装置。
4)安全加密装置接收到审计记录信息形成审计文件并提取摘要得到审计文件摘要。
5)安全加密装置将审计文件和审计文件摘要加密成密文并在量子堡垒机内进行分类保存，该密文称为密文形式的审计文件。
服务器运维终端用户通过量子堡垒机的代理进行量子通信网络服务站的运维操作时,量子堡垒机与量子通信网络服务站之间也需要进行相互认证，认证是通过量子堡垒机与量子通信网络服务站之间共享的量子随机数密钥对进行双向认证。其中，量子随机数密钥对由量子密钥颁发中心颁发。
堡垒机运维终端请求调取审计文件时，包括：
1)堡垒机运维终端用户使用相应的量子密钥卡通过堡垒机运维终端与量子堡垒机进行身份认证，认证成功后登录到量子堡垒机开始进行审计操作。
2)量子堡垒机调取所存储的密文形式的审计文件和审计文件摘要，通过安全加密装置解密得到明文形式的审计文件和审计文件摘要。
3)安全加密装置对该审计文件提取摘要得到新的审计文件摘要，并与解密得到的明文形式的审计文件摘要进行对比，判断该审计文件是否被篡改。
4)如果审计文件未被篡改，则该明文形式的审计文件和明文形式的审计文件摘要在安全加密装置中被再次加密成密文，且该次加密所使用的密钥是量子堡垒机与堡垒机运维终端用户的量子密钥卡中所共享的量子随机数密钥。
5)量子堡垒机将密文形式的审计文件和审计文件摘要发送给堡垒机运维终端。
6)堡垒机运维终端接收到密文后，使用量子密钥卡将密文解密得到明文形式的审计文件和明文形式的审计文件摘要。然后使用量子密钥卡对该明文形式的审计文件重新提取摘要并与接收到的审计文件摘要进行对比，如果该审计文件未被篡改，则将审计文件显示出来进行查看。
以上步骤中将对审计文件摘要作为防篡改标识信息用以验证审计文件是否被篡改，除此之外，任何以验证审计文件是否被篡改为目的而采取的其他提取摘要的方法都可作为防篡改标识信息，均属于本发明的保护范围之内。
以上公开的仅为本发明的具体实施例，但是本发明并非局限于此，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。显然这些改动和变型均应属于本发明要求的保护范围保护内。此外，尽管本说明书中使用了一些特定的术语，但这些术语只是为了方便说明，并不对本发明构成任何特殊限制。

Claims (12)

1.一种基于量子堡垒机的审计方法，其特征在于，包括：
响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录，
将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
接收来自安全加密装置的所述存储密文并进行存储；
根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览；
终端用户拥有与自身身份相对应的量子密钥卡，该量子密钥卡由终端用户在量子密钥颁发中心注册后颁发，量子密钥卡与量子堡垒机之间共享有相应的量子随机数密钥，安全加密装置生成传输密文时采用该量子随机数密钥进行加密。
2.如权利要求1所述的基于量子堡垒机的审计方法，其特征在于，所述认证请求中携带有终端用户的识别信息，量子堡垒机通过该识别信息对认证请求进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡，所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
3.如权利要求1所述的基于量子堡垒机的审计方法，其特征在于，堡垒机运维终端接收到传输密文后传输至量子密钥卡，量子密钥卡利用存储的相应量子随机数密钥进行解密。
4.如权利要求1所述的基于量子堡垒机的审计方法，其特征在于，量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，在量子密钥卡与量子堡垒机之间形成共享的量子随机数密钥。
5.如权利要求4所述的基于量子堡垒机的审计方法，其特征在于，量子密钥颁发中心向量子堡垒机分发量子随机数密钥的方式包括：
方式a、经由移动存储介质传输至所述安全加密装置；或
方式b、经由通信专线直接传输至所述安全加密装置；
在方式a和方式b中，安全加密装置对接收到的量子随机数密钥加密后存储在量子堡垒机的存储设备中。
6.一种基于量子堡垒机的审计系统，其特征在于，包括：
第一模块、用于响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
第二模块、用于认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录；
第三模块、用于将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
第四模块、用于接收来自安全加密装置的所述存储密文并进行存储；
第五模块、用于响应于堡垒机运维终端的认证请求并进行认证；
第六模块、用于认证通过后，根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
第七模块、用于接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览；
终端用户拥有与自身身份相对应的量子密钥卡，该量子密钥卡由终端用户在量子密钥颁发中心注册后颁发，量子密钥卡与量子堡垒机之间共享有相应的量子随机数密钥，安全加密装置生成传输密文时采用该量子随机数密钥进行加密。
7.一种量子堡垒机系统，包括量子通信网络服务站、服务器运维终端以及量子堡垒机，其特征在于，所述量子堡垒机中设有硬件形式的安全加密装置，服务器运维终端通过量子堡垒机的代理进行量子通信网络服务站的运维操作时，所述量子堡垒机执行如下步骤：
响应于服务器运维终端或堡垒机运维终端的认证请求并进行认证；
认证通过后对服务器运维终端或堡垒机运维终端的运维操作进行审计并生成审计记录；
将所述审计记录发送至硬件形式的安全加密装置，用以在安全加密装置中生成审计文件和防篡改标识信息以及进行加密生成存储密文；
接收来自安全加密装置的所述存储密文并进行存储；
根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览；
终端用户拥有与自身身份相对应的量子密钥卡，该量子密钥卡由终端用户在量子密钥颁发中心注册后颁发，量子密钥卡与量子堡垒机之间共享有相应的量子随机数密钥，安全加密装置生成传输密文时采用该量子随机数密钥进行加密。
8.如权利要求7所述的量子堡垒机系统，其特征在于，量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，以及分发至量子通信网络服务站和量子堡垒机；
在量子密钥卡与量子堡垒机之间，以及量子通信网络服务站和量子堡垒机之间形成共享的量子随机数密钥；所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
9.如权利要求8所述的量子堡垒机系统，其特征在于，量子堡垒机根据认证请求中携带的识别信息进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡。
10.一种量子堡垒机系统，包括量子堡垒机以及配置在量子堡垒机下的堡垒机运维终端，其特征在于，所述量子堡垒机中设有硬件形式的安全加密装置，堡垒机运维终端请求调取审计文件时，所述量子堡垒机执行如下步骤：
响应于堡垒机运维终端的认证请求并进行认证；
认证通过后，根据堡垒机运维终端的审计请求将所存储的密文形式的审计文件以及防篡改标识信息发送至硬件形式的安全加密装置，用以在安全加密装置中解密以及篡改验证，安全加密装置还用于针对通过验证的非篡改明文进行加密生成传输密文；
接收来自安全加密装置的传输密文并发送至堡垒机运维终端用以进行解密浏览；
终端用户拥有与自身身份相对应的量子密钥卡，该量子密钥卡由终端用户在量子密钥颁发中心注册后颁发，量子密钥卡与量子堡垒机之间共享有相应的量子随机数密钥，安全加密装置生成传输密文时采用该量子随机数密钥进行加密。
11.如权利要求10所述的量子堡垒机系统，其特征在于，量子密钥颁发中心设有量子随机数发生服务器，用于生成量子随机数并分发至量子密钥卡和量子堡垒机，在量子密钥卡与量子堡垒机之间形成共享的量子随机数密钥；所述量子密钥卡由终端用户在量子密钥颁发中心注册后颁发。
12.如权利要求11所述的量子堡垒机系统，其特征在于，量子堡垒机根据认证请求中携带的识别信息进行认证，所述识别信息来自与终端用户身份相对应的量子密钥卡。
CN201710004543.4A 2017-01-04 2017-01-04 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统 Active CN106789029B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710004543.4A CN106789029B (zh) 2017-01-04 2017-01-04 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710004543.4A CN106789029B (zh) 2017-01-04 2017-01-04 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统

Publications (2)

Publication Number Publication Date
CN106789029A CN106789029A (zh) 2017-05-31
CN106789029B true CN106789029B (zh) 2019-11-22

Family

ID=58950691

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710004543.4A Active CN106789029B (zh) 2017-01-04 2017-01-04 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统

Country Status (1)

Country Link
CN (1) CN106789029B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107094078A (zh) * 2017-06-01 2017-08-25 浙江九州量子信息技术股份有限公司 一种基于多级中继的量子密钥同步系统与同步方法
CN108521419B (zh) * 2018-04-04 2021-06-01 广州赛姆科技资讯股份有限公司 监察系统文件的访问处理方法、装置和计算机设备
CN108537052A (zh) * 2018-04-04 2018-09-14 广州赛姆科技资讯股份有限公司 监察系统文件的访问响应方法、装置和内控安全监察系统
CN110324338B (zh) * 2019-06-28 2023-07-18 深圳前海微众银行股份有限公司 数据交互方法、装置、堡垒机与计算机可读存储介质
CN110391905A (zh) * 2019-08-07 2019-10-29 北京盛世光明软件股份有限公司 一种基于量子密钥加密技术的上网行为审计系统及方法
CN110719277B (zh) * 2019-09-30 2022-01-04 北京网瑞达科技有限公司 基于一次性访问凭据的网络设备安全访问的系统和方法
CN110933039A (zh) * 2019-11-05 2020-03-27 河南智业科技发展有限公司 一种安全调取数据的征兵系统
CN110955705B (zh) * 2019-12-04 2022-06-28 厦门安胜网络科技有限公司 一种堡垒机数据采集及分析方法和装置
CN116232577B (zh) * 2023-01-09 2024-03-08 天翼安全科技有限公司 一种企业管理软件的防火墙应用结构

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1922622A (zh) * 2004-02-26 2007-02-28 西门子医疗健康服务公司 处理审计记录的系统和方法
CN103227780A (zh) * 2013-03-28 2013-07-31 东南大学 云数据的一个公众可审计存储可验证方案的设计方法
CN104243419A (zh) * 2013-06-18 2014-12-24 腾讯科技（深圳）有限公司 基于安全外壳协议的数据处理方法、装置及系统
CN104468537A (zh) * 2014-11-25 2015-03-25 公安部第三研究所 实现安全审计的系统及方法
CN105812367A (zh) * 2016-03-15 2016-07-27 浙江神州量子网络科技有限公司 一种量子网络中网络接入设备的认证系统及认证方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1922622A (zh) * 2004-02-26 2007-02-28 西门子医疗健康服务公司 处理审计记录的系统和方法
CN103227780A (zh) * 2013-03-28 2013-07-31 东南大学 云数据的一个公众可审计存储可验证方案的设计方法
CN104243419A (zh) * 2013-06-18 2014-12-24 腾讯科技（深圳）有限公司 基于安全外壳协议的数据处理方法、装置及系统
CN104468537A (zh) * 2014-11-25 2015-03-25 公安部第三研究所 实现安全审计的系统及方法
CN105812367A (zh) * 2016-03-15 2016-07-27 浙江神州量子网络科技有限公司 一种量子网络中网络接入设备的认证系统及认证方法

Also Published As

Publication number Publication date
CN106789029A (zh) 2017-05-31

Similar Documents

Publication Publication Date Title
CN106789029B (zh) 一种基于量子堡垒机的审计系统和审计方法以及量子堡垒机系统
CN106888084B (zh) 一种量子堡垒机系统及其认证方法
CN104244026B (zh) 一种视频监控系统中的密钥分发装置
CN107257334A (zh) 用于Hadoop集群的身份认证方法
CN108833440B (zh) 一种基于区块链的网络安全审计系统及网络安全审计方法
CN102075544A (zh) 局域网共享文件加密系统及其加解密方法
CN104767731A (zh) 一种Restful移动交易系统身份认证防护方法
KR101817152B1 (ko) 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법
CN108323230A (zh) 一种传输密钥的方法、接收终端和分发终端
CN108537537A (zh) 一种安全可信的数字货币钱包系统
CN104219077A (zh) 一种中小企业信息管理系统
Kalaiprasath et al. Cloud information accountability (cia) framework ensuring accountability of data in cloud and security in end to end process in cloud terminology
CN103944721A (zh) 一种基于web的保护终端数据安全的方法和装置
CN112423302B (zh) 无线网络接入方法、终端及无线接入设备
Bhagyoday et al. Comprehensive study of E-Health security in cloud computing
CN107733936A (zh) 一种移动数据的加密方法
CN117081815A (zh) 数据安全传输的方法、装置、计算机设备及存储介质
Joseph et al. Protecting information stored inside the cloud with A new CCA-EBO protocol designed on hive technology
Said et al. A multi-factor authentication-based framework for identity management in cloud applications
KR102055888B1 (ko) 정보 보호를 위한 파일 암복호화 방법
CN112769784A (zh) 文本的处理方法和装置、计算机可读存储介质及处理器
Özcanhan et al. A Strong Mutual Authentication Protocol for SHIELD.
CN106027255B (zh) 一种身份证读卡响应安全控制方法及装置
Shen et al. Research on Information Encryption Technology Applied in Computer Network Security
Sirisha et al. ’Protection of encroachment on bigdata aspects’

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant