CN106992859B - 一种堡垒机私钥管理方法及装置 - Google Patents

一种堡垒机私钥管理方法及装置 Download PDF

Info

Publication number
CN106992859B
CN106992859B CN201710233391.5A CN201710233391A CN106992859B CN 106992859 B CN106992859 B CN 106992859B CN 201710233391 A CN201710233391 A CN 201710233391A CN 106992859 B CN106992859 B CN 106992859B
Authority
CN
China
Prior art keywords
private key
bastion machine
bastion
machine
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710233391.5A
Other languages
English (en)
Other versions
CN106992859A (zh
Inventor
吴岩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing QIYI Century Science and Technology Co Ltd
Original Assignee
Beijing QIYI Century Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing QIYI Century Science and Technology Co Ltd filed Critical Beijing QIYI Century Science and Technology Co Ltd
Priority to CN201710233391.5A priority Critical patent/CN106992859B/zh
Publication of CN106992859A publication Critical patent/CN106992859A/zh
Application granted granted Critical
Publication of CN106992859B publication Critical patent/CN106992859B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Abstract

本发明实施例提供了一种堡垒机私钥管理方法及装置，其中所述方法包括：堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；获取所述Docker传入的解密密钥；依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。本发明实施例提供的堡垒机私钥管理方案，能够提升堡垒机私钥存储的安全性。

Description

一种堡垒机私钥管理方法及装置
技术领域
本发明涉及计算机技术领域，特别是涉及一种堡垒机私钥管理方法及装置。
背景技术
堡垒机为经过一定安全加固，可抵御一定攻击的安全审计系统。堡垒机的主要功能是对登录生产环境服务器的终端操作进行审计与权限控制并提供给终端单点登录功能。
终端通过堡垒机，使用SSH(Secure Shell，安全外壳)协议登录到生产环境服务器。堡垒机使用密钥登录形式，禁用密码登录。堡垒机存在一个公钥与一个私钥，公钥发布到各个生产环境服务器中，私钥存储在堡垒机本地，由于堡垒机私钥是登录到生产环境服务器的唯一凭证，因此一旦遭窃，就有可能造成持有堡垒机私钥的用户可以绕过堡垒机直接登录到生产环境。
目前主要通过以下两种方式保存堡垒机私钥：第一种，堡垒机私钥直接存储在堡垒机所在物理设备的硬盘中；第二种，堡垒机私钥使用明文存储在堡垒机中。
现有的堡垒机私钥存储方式存在以下弊端：第一、由于堡垒机所在的物理设备大都托管在数据中心，有可能发生设备丢失或者被冗余，也有可能设备报废回收时，堡垒机私钥被回收方直接获取，引起堡垒机私钥失窃。第二、由于堡垒机私钥使用明文存储，运维人员可以直接看到堡垒机私钥内容，容易造成堡垒机私钥泄漏。
发明内容
本发明提供了一种堡垒机私钥管理方法及装置，以解决现有技术中存在的对堡垒机私钥的存储存在安全隐患的问题。
为了解决上述问题，本发明公开了一种堡垒机私钥管理方法，其中所述方法包括：堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；获取所述Docker传入的解密密钥；依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
可选地，所述获取所述Docker传入的解密密钥的步骤，包括：接收所述Docker变量传入的密钥，其中，所述密钥包括解密密钥以及干扰解密密钥；确定接收到的密钥中的解密密钥。
可选地，在所述堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程的步骤之前，所述方法还包括：在所述堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码；和/或，更改所述堡垒机的超级用户root密码；和/或，更改所述堡垒机所在物理机上设置的远程控制卡密码；和/或，在所述堡垒机所在的物理机上增加访问控制列表，其中，所述访问控制列表中设置有可访问所述堡垒机的互联网协议地址。
可选地，在所述依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥的步骤之后，所述方法还包括：将所述堡垒机私钥存储至所述堡垒机的内存中；当接收到终端发送的登录生产环境服务器请求时，从所述内存中提取所述堡垒机私钥，将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
可选地，所述将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中的步骤，包括：堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，所述生产环境服务器接收到登录请求后，生成一个随机数通过公钥对所述随机数进行加密生成加密随机数；堡垒机登录进程通过所述堡垒机私钥对所述加密随机数进行解密，得到随机数并将所述随机数返回至所述生产环境服务器，以使所述生产环境服务器对接收到的所述随机数进行验证，若验证通过则响应所述登录请求。
为了解决上述问题，本发明还公开了一种堡垒机私钥管理装置，其中，所述装置包括：调用模块，用于在堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；密文获取模块，用于通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；密钥获取模块，用于获取所述Docker传入的解密密钥；解密模块，用于依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
可选地，所述密钥获取模块包括：接收子模块，用于接收所述Docker变量传入的密钥，其中，所述密钥包括解密密钥以及干扰解密密钥；确定子模块，用于确定接收到的密钥中的解密密钥。
可选地，所述装置还包括：设置模块，用于在所述堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码；和/或，第一更改模块，用于更改所述堡垒机的超级用户root密码；和/或，第二更改模块，用于更改所述堡垒机所在物理机上设置的远程控制卡密码；和/或，添加模块，用于在所述堡垒机所在的物理机上增加访问控制列表，其中，所述访问控制列表中设置有可访问所述堡垒机的互联网协议地址。
可选地，所述装置还包括：存储模块，用于在所述解密模块依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥之后，将所述堡垒机私钥存储至所述堡垒机的内存中；私钥添加模块，用于当接收到终端发送的登录生产环境服务器请求时，从所述内存中提取所述堡垒机私钥，将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
可选地，所述私钥添加模块将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中时，具体用于：调用堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；所述堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，所述生产环境服务器接收到登录请求后，生成一个随机数通过公钥对所述随机数进行加密生成加密随机数；所述堡垒机登录进程通过所述堡垒机私钥对所述加密随机数进行解密，得到随机数并将所述随机数返回至所述生产环境服务器，以使所述生产环境服务器对接收到的所述随机数进行验证，若验证通过则响应所述登录请求。
与现有技术相比，本发明具有以下优点：
本发明实施例提供的堡垒机私钥管理方案，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，获取堡垒机私钥时需要通过网络从私钥管理平台中获取密文私钥，获取Docker传入的解密密钥，通过解密密钥对密文私钥进行解密，得到堡垒机私钥。将堡垒机私钥加密生成密文私钥后存储在私钥管理平台中，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方案，能够提升堡垒机私钥存储的安全性。
附图说明
图1是本发明实施例一的一种堡垒机私钥管理方法的步骤流程图；
图2是本发明实施例二的一种堡垒机私钥管理方法的步骤流程图；
图3是本发明实施例三的一种堡垒机私钥管理装置的结构框图；
图4是本发明实施例四的一种堡垒机私钥管理装置的结构框图。
具体实施方式
为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。
实施例一
参照图1，示出了本发明实施例一的一种堡垒机私钥管理方法的步骤流程图。
本发明实施例堡垒机私钥管理方法包括如下步骤：
步骤101：堡垒机启动时，调用堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程。
堡垒机为运行在物理机上的安全审计系统，应用容器引擎即Docker是设置在该物理机上的应用容器，Docker中可以包含多个应用，堡垒机则为其中之一。本发明实施例中，在Docker中预设密文私钥获取进程即在Docker中增加密文私钥获取功能，通过该进程可以获取私钥管理平台中存储的密文私钥。
需要说明的是，密文私钥获取进程可以预设在Docker中，也可以预设在堡垒机中。
步骤102：通过密文私钥获取进程从私钥管理平台中获取堡垒机对应的密文私钥。
其中，密文私钥为加密后的堡垒机私钥。
具体获取时，可以由该进程向私钥管理平台发送密文私钥获取请求，请求中携带堡垒机标识，私钥管理平台获取到该请求后，依据请求中的堡垒机标识查找与堡垒机对应的堡垒机密文私钥。
私钥管理平台中在进行密文私钥存储时，针对每个堡垒机对应的密文私钥，可以将该堡垒机的标识与密文私钥对应存储。
步骤103：获取Docker传入的解密密钥。
本发明实施例中，在Docker中预存解密密钥，Docker将解密密钥传入堡垒机中，堡垒机获取解密密钥即可。
步骤104：依据解密密钥对密文私钥进行解密，得到堡垒机私钥。
密文私钥是以解密密钥为加密密码对堡垒机私钥进行加密后得到的。因此，本发明实施例中通过解密密钥对密文私钥进行解密，即可得到堡垒机私钥。
本发明实施例提供的堡垒机私钥管理方法，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，获取堡垒机私钥时需要通过网络从私钥管理平台中获取密文私钥，获取Docker传入的解密密钥，通过解密密钥对密文私钥进行解密，得到堡垒机私钥。将堡垒机私钥加密生成密文私钥后存储在私钥管理平台中，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方法，能够提升堡垒机私钥存储的安全性。
其中，所述第一私钥参数包括：第一共享密钥解密码参数。第一私钥参数预先设置在堡垒机进程文件中。本发明实施例中以堡垒机进程文件中已设置有第一私钥参数、私钥管理平台中已设置有第二私钥参数为前提。第一私钥参数、第二私钥参数的生成可以由堡垒机生成，也可以由其他设备生成后，分别添加至堡垒机的进程文件与私钥管理平台中。
实施例二
参照图2，示出了本发明实施例二的一种堡垒机私钥管理方法的步骤流程图。
本发明实施例的堡垒机私钥管理方法具体包括以下步骤：
步骤201：堡垒机启动时，调用堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程。
堡垒机为运行在物理机上的安全审计系统，应用容器引擎即Docker是设置在该物理机上的应用容器，Docker中可以包含多个应用，堡垒机则为其中之一。本发明实施例中，在Docker中预设密文私钥获取进程即在Docker中增加密文私钥获取功能，通过该进程可以获取私钥管理平台中存储的密文私钥。
需要说明的是，密文私钥获取进程可以预设在Docker中，也可以预设在堡垒机中，本发明实施例中以密文私钥获取进程预设在堡垒机上为例进行说明。
步骤202：通过密文私钥获取进程从私钥管理平台中获取堡垒机对应的密文私钥。
其中，密文私钥为加密后的堡垒机私钥。
堡垒机中可以预设堡垒机标识、私钥管理平台域名参数，密文私钥获取进程通过私钥管理平台域名参数即可确定从哪个私钥管理平台中获取密文私钥，向对应私钥管理平台发送携带有堡垒机标识的获取请求，私钥管理平台通过请求中携带的堡垒机标识即可确定返回哪个堡垒机的密文私钥。
步骤203：接收Docker变量传入的密钥。
其中，Docker变量传入的密钥包括：解密密钥以及干扰解密密钥；
本发明实施例中，在Docker中增加解密密钥环境变量与干扰解密密钥环境变量，通过这些环境变量向堡垒机中变量传入解密密钥，以及干扰解密密钥。堡垒机则从中确定解密密钥即可。
解密密钥与干扰解密密钥由Docker变量传入，而非从私钥管理平台中获取，能够将解密密钥与密文私钥的分离管理，从而提升私钥的安全性。此外，Docker变量传入解密密钥与干扰解密密钥，而并非单纯仅传入解密密钥，这样即便Docker传入的密钥被非法获取，获取者也无法辨识出真实的解密密钥与干扰解密密钥，由于无法获知到真实的解密密钥，因此无法对密文私钥进行解密，因此，能够提升密文私钥的破解难度。
步骤204：确定接收到的密钥中的解密密钥。
Docker与堡垒机之间预先约定好解密密钥于干扰解密密钥的区别特征，堡垒机依据预先约定的区别特征即可确定出解密密钥。
步骤205：依据解密密钥对密文私钥进行解密，得到堡垒机私钥。
密文私钥是以解密密钥为加密密码对堡垒机私钥进行加密后得到的。因此，本发明实施例中通过解密密钥对密文私钥进行解密，即可得到堡垒机私钥。
步骤206：将堡垒机私钥存储至堡垒机的内存中。
在堡垒机运行过程中，通过内存中存储的堡垒机私钥才处理终端发送的登录生产环境服务器请求。内存中存储的堡垒机私钥在堡垒机停止运行后自动删除。
步骤207：当接收到终端发送的登录生产环境服务器请求时，从内存中提取堡垒机私钥，将堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
将堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制中的具体执行方式如下：
首先，堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；
其次，堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，生产环境服务器接收到登录请求后，生成一个随机数通过公钥对随机数进行加密生成加密随机数，将加密随机数发送至堡垒机；
最后，堡垒机登录进程通过堡垒机私钥对加密随机数进行解密，得到随机数并将该随机数返回至生产环境服务器，以使生产环境服务器对接收到的随机数进行验证，若验证通过则响应登录请求。
上述流程为通过私钥管理平台管理私钥以提升堡垒机私钥安全性的方案，在具体实现过程中，还可以通过以下方式提升堡垒机私钥安全性。下述操作可以由本领域技术人员预先进行设置，即在堡垒机启动前、或启动后调用堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程前执行。
方式一：在堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码。
由于设置有GRUB(GRand Unified Bootloader，多操作系统启动程序)密码，因此，即便是堡垒机所在物理机进入单用户模式，由于设置有多操作系统启动程序密码用户也无法启动操作启动，获取堡垒机内存中存储的堡垒机私钥。
由于设置有BIOS(Basic Input Output System，基本输入输出系统)密码，因此，若用户无该密码即便是能够获取到堡垒机所在的物理机，由于无法启动物理机的BIOS，因此，也依然无法得到堡垒机内存中存储的堡垒机私钥。
方式二：更改堡垒机的超级用户root密码。
由于更改了root密码，因此，即便是使用资产中记录的堡垒机root密码泄露，由于真实的堡垒机root密码已被修改，不法分子也无法成功登陆堡垒机，因此，无法获取到堡垒机内存中存储的堡垒机私钥。
方式三：更改堡垒机所在物理机上设置的远程控制卡密码。
由于远程控制卡密码已修改，因此即便是堡垒机所在物理机的远程控制卡密码泄露，不法分子也无法成功启动控制卡，无法获取到堡垒机内存中存储的堡垒机私钥。
方式四：在堡垒机所在的物理机上增加访问控制列表。
其中，访问控制列表中设置有可访问堡垒机的互联网协议地址。
增加访问控制列表，当终端登录堡垒机时，获取终端对应的互联网协议地址，将该互联网协议地址与访问控制列表中的各互联网协议地址进行比对，若比对成功则允许该终端登录堡垒机。该种方式，限制仅访问控制列表中的互联网协议地址能够登录堡垒机，不法分子采用访问控制列表外的其他互联网协议地址登录堡垒机时则被拒绝，从而避免不法分子窃取堡垒机内存中存储的堡垒机私钥。
在具体实现过程中，可以采用上述四种方式中的任意一种或多种方式，与通过私钥管理平台管理私钥的方案相结合，来提升堡垒机私钥存储的安全性。
本发明实施例提供的堡垒机私钥管理方法，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，获取堡垒机私钥时需要通过网络从私钥管理平台中获取密文私钥，获取Docker传入的解密密钥，通过解密密钥对密文私钥进行解密，得到堡垒机私钥。将堡垒机私钥加密生成密文私钥后存储在私钥管理平台中，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理方法，能够提升堡垒机私钥存储的安全性。
实施例三
参照图3，示出了本发明实施例三的一种堡垒机私钥管理装置的结构示意图。
本发明实施例的堡垒机私钥管理装置包括：调用模块301，用于在堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；密文获取模块302，用于通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；密钥获取模块303，用于获取所述Docker传入的解密密钥；解密模块304，用于依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
本发明实施例提供的堡垒机私钥管理装置，将堡垒机私钥加密后存储至私钥管理平台，即便是堡垒机所在物理设备中或堡垒机中数据丢失、泄漏也依然不会影响堡垒机私钥的安全性。此外，获取堡垒机私钥时需要通过网络从私钥管理平台中获取密文私钥，获取Docker传入的解密密钥，通过解密密钥对密文私钥进行解密，得到堡垒机私钥。将堡垒机私钥加密生成密文私钥后存储在私钥管理平台中，即便是私钥管理平台中的密文私钥被窃取，由于窃取者无密钥解密码因此依然无法得到堡垒机私钥。可见，本发明实施例提供的堡垒机私钥管理装置，能够提升堡垒机私钥存储的安全性。
实施例四
参照图4，示出了本发明实施例四的一种堡垒机私钥管理装置的结构示意图。
本发明实施例是对实施例三中的堡垒机私钥管理装置的进一步优化，优化后的堡垒机私钥管理装置包括：调用模块401，用于在堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；密文获取模块402，用于通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；密钥获取模块403，用于获取所述Docker传入的解密密钥；解密模块404，用于依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
优选地，所述密钥获取模块403包括：接收子模块4031，用于接收所述Docker变量传入的密钥，其中，所述密钥包括解密密钥以及干扰解密密钥；确定子模块4032，用于确定接收到的密钥中的解密密钥。
优选地，所述装置还包括：设置模块405，用于在所述堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码；和/或，第一更改模块406，用于更改所述堡垒机的超级用户root密码；和/或，第二更改模块407，用于更改所述堡垒机所在物理机上设置的远程控制卡密码；和/或，添加模块408，用于在所述堡垒机所在的物理机上增加访问控制列表，其中，所述访问控制列表中设置有可访问所述堡垒机的互联网协议地址。
优选地，所述装置还包括：存储模块409，用于在所述解密模块404依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥之后，将所述堡垒机私钥存储至所述堡垒机的内存中；私钥添加模块410，用于当接收到终端发送的登录生产环境服务器请求时，从所述内存中提取所述堡垒机私钥，将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
优选地，所述私钥添加模块410将所述堡垒机私钥添加至堡垒机进程文件所管理的终端会话控制进程中时，具体用于：调用堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；所述堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，所述生产环境服务器接收到登录请求后，生成一个随机数通过公钥对所述随机数进行加密生成加密随机数；所述堡垒机登录进程通过所述堡垒机私钥对所述加密随机数进行解密，得到随机数并将所述随机数返回至所述生产环境服务器，以使所述生产环境服务器对接收到的所述随机数进行验证，若验证通过则响应所述登录请求。
本发明实施例提供的堡垒机私钥管理装置用于实现实施例一、实施例二中相应的堡垒机私钥管理方法，并且具有相应的有益效果，因此，在此不再赘述。
本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
在此提供的堡垒机私钥管理方法与装置不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造具有本发明方案的系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的堡垒机私钥管理方法与装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种堡垒机私钥管理方法，其特征在于，所述方法包括：
堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；
通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；
获取所述Docker传入的解密密钥；
依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
2.根据权利要求1所述的方法，其特征在于，所述获取所述Docker传入的解密密钥的步骤，包括：
接收Docker变量传入的密钥，其中，所述密钥包括解密密钥以及干扰解密密钥；
确定接收到的密钥中的解密密钥。
3.根据权利要求1所述的方法，其特征在于，在所述堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程的步骤之前，所述方法还包括：
在所述堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码；
和/或，
更改所述堡垒机的超级用户root密码；
和/或，
更改所述堡垒机所在物理机上设置的远程控制卡密码；
和/或，
在所述堡垒机所在的物理机上增加访问控制列表，其中，所述访问控制列表中设置有可访问所述堡垒机的互联网协议地址。
4.根据权利要求1所述的方法，其特征在于，在所述依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥的步骤之后，所述方法还包括：
将所述堡垒机私钥存储至所述堡垒机的内存中；
当接收到终端发送的登录生产环境服务器请求时，从所述内存中提取所述堡垒机私钥，将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
5.根据权利要求4所述的方法，其特征在于，所述将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中的步骤，包括：
堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；
堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，所述生产环境服务器接收到登录请求后，生成一个随机数通过公钥对所述随机数进行加密生成加密随机数；
堡垒机登录进程通过所述堡垒机私钥对所述加密随机数进行解密，得到随机数并将所述随机数返回至所述生产环境服务器，以使所述生产环境服务器对接收到的所述随机数进行验证，若验证通过则响应所述登录请求。
6.一种堡垒机私钥管理装置，其中，所述装置包括：
调用模块，用于在堡垒机启动时，调用所述堡垒机所在应用容器引擎Docker中预设的密文私钥获取进程；
密文获取模块，用于通过所述进程从私钥管理平台中获取所述堡垒机对应的密文私钥，其中，所述密文私钥为加密后的堡垒机私钥；
密钥获取模块，用于获取所述Docker传入的解密密钥；
解密模块，用于依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥。
7.根据权利要求6所述的装置，其特征在于，所述密钥获取模块包括：
接收子模块，用于接收Docker变量传入的密钥，其中，所述密钥包括解密密钥以及干扰解密密钥；
确定子模块，用于确定接收到的密钥中的解密密钥。
8.根据权利要求6所述的装置，其特征在于，所述装置还包括：
设置模块，用于在所述堡垒机所在物理机上设置多操作系统启动程序密码以及基本输入输出系统密码；
和/或，
第一更改模块，用于更改所述堡垒机的超级用户root密码；
和/或，
第二更改模块，用于更改所述堡垒机所在物理机上设置的远程控制卡密码；
和/或，
添加模块，用于在所述堡垒机所在的物理机上增加访问控制列表，其中，所述访问控制列表中设置有可访问所述堡垒机的互联网协议地址。
9.根据权利要求6所述的装置，其特征在于，所述装置还包括：
存储模块，用于在所述解密模块依据所述解密密钥对所述密文私钥进行解密，得到堡垒机私钥之后，将所述堡垒机私钥存储至所述堡垒机的内存中；
私钥添加模块，用于当接收到终端发送的登录生产环境服务器请求时，从所述内存中提取所述堡垒机私钥，将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中。
10.根据权利要求9所述的装置，其特征在于，所述私钥添加模块将所述堡垒机私钥添加至堡垒机登录进程所管理的终端会话控制进程中时，具体用于：
调用堡垒机登录进程将终端发送的登录生产环境服务器的请求转发至对应的生产环境服务器；
所述堡垒机登录进程接收生产环境服务器发送的加密随机数，其中，所述生产环境服务器接收到登录请求后，生成一个随机数通过公钥对所述随机数进行加密生成加密随机数；
所述堡垒机登录进程通过所述堡垒机私钥对所述加密随机数进行解密，得到随机数并将所述随机数返回至所述生产环境服务器，以使所述生产环境服务器对接收到的所述随机数进行验证，若验证通过则响应所述登录请求。
CN201710233391.5A 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置 Active CN106992859B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710233391.5A CN106992859B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710233391.5A CN106992859B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Publications (2)

Publication Number Publication Date
CN106992859A CN106992859A (zh) 2017-07-28
CN106992859B true CN106992859B (zh) 2020-06-19

Family

ID=59415542

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710233391.5A Active CN106992859B (zh) 2017-04-11 2017-04-11 一种堡垒机私钥管理方法及装置

Country Status (1)

Country Link
CN (1) CN106992859B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109948363A (zh) * 2019-03-12 2019-06-28 天固信息安全系统(深圳)有限责任公司 一种基于可信基的分布式文件加密方法
CN111490981B (zh) * 2020-04-01 2022-02-01 广州虎牙科技有限公司 访问管理方法、装置、堡垒机及可读存储介质
CN114021094B (zh) * 2021-11-29 2023-05-26 北京深盾科技股份有限公司 远程服务器登录方法、电子设备及存储介质
CN114221762A (zh) * 2021-12-13 2022-03-22 深圳壹账通智能科技有限公司 一种私钥存储方法、读取方法、管理装置、设备及介质
CN115001703B (zh) * 2022-05-25 2023-09-01 深圳市证通电子股份有限公司 一种基于国密加密机的堡垒机安全提升方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101527021A (zh) * 2009-03-31 2009-09-09 薛忠华 一种用于产品真伪识别的rfid电子标签读写装置
CN103780607A (zh) * 2014-01-13 2014-05-07 西安电子科技大学 基于不同权限的重复数据删除的方法及其系统
CN105553654A (zh) * 2015-12-31 2016-05-04 广东信鉴信息科技有限公司 密钥信息查询处理方法和装置、密钥信息管理系统
CN105933117A (zh) * 2016-06-30 2016-09-07 浪潮集团有限公司 一种基于tpm秘钥安全存储的数据加解密装置和方法
KR20160114624A (ko) * 2014-01-31 2016-10-05 구글 인코포레이티드 연관된 개인 키 부분을 사용하는 보다 빠른 공개 키 암호화를 위한 시스템들 및 방법들
CN106230785A (zh) * 2016-07-20 2016-12-14 南京铱迅信息技术股份有限公司 一种无私钥的https拒绝服务攻击的防御方法
CN106571907A (zh) * 2016-11-11 2017-04-19 哈尔滨安天科技股份有限公司 一种上位机与u盘间安全传输数据的方法及系统
US9654294B2 (en) * 2015-02-26 2017-05-16 Red Hat, Inc. Non-repudiable atomic commit

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8924720B2 (en) * 2012-09-27 2014-12-30 Intel Corporation Method and system to securely migrate and provision virtual machine images and content
US10523437B2 (en) * 2016-01-27 2019-12-31 Lg Electronics Inc. System and method for authentication of things

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101527021A (zh) * 2009-03-31 2009-09-09 薛忠华 一种用于产品真伪识别的rfid电子标签读写装置
CN103780607A (zh) * 2014-01-13 2014-05-07 西安电子科技大学 基于不同权限的重复数据删除的方法及其系统
KR20160114624A (ko) * 2014-01-31 2016-10-05 구글 인코포레이티드 연관된 개인 키 부분을 사용하는 보다 빠른 공개 키 암호화를 위한 시스템들 및 방법들
US9654294B2 (en) * 2015-02-26 2017-05-16 Red Hat, Inc. Non-repudiable atomic commit
CN105553654A (zh) * 2015-12-31 2016-05-04 广东信鉴信息科技有限公司 密钥信息查询处理方法和装置、密钥信息管理系统
CN105933117A (zh) * 2016-06-30 2016-09-07 浪潮集团有限公司 一种基于tpm秘钥安全存储的数据加解密装置和方法
CN106230785A (zh) * 2016-07-20 2016-12-14 南京铱迅信息技术股份有限公司 一种无私钥的https拒绝服务攻击的防御方法
CN106571907A (zh) * 2016-11-11 2017-04-19 哈尔滨安天科技股份有限公司 一种上位机与u盘间安全传输数据的方法及系统

Also Published As

Publication number Publication date
CN106992859A (zh) 2017-07-28

Similar Documents

Publication Publication Date Title
CN106992859B (zh) 一种堡垒机私钥管理方法及装置
EP3453136B1 (en) Methods and apparatus for device authentication and secure data exchange between a server application and a device
CN114726643B (zh) 云平台上的数据存储、访问方法及装置
EP2696557B1 (en) System and method for accessing third-party applications based on cloud platform
JP2018501567A (ja) 装置検証方法及び機器
US9553855B2 (en) Storing a key to an encrypted file in kernel memory
CN108347428B (zh) 基于区块链的应用程序的注册系统、方法和装置
CN112671779B (zh) 基于DoH服务器的域名查询方法、装置、设备及介质
US20180157809A1 (en) Increased security using dynamic watermarking
CN106302606B (zh) 一种跨应用访问方法及装置
CN107040520B (zh) 一种云计算数据共享系统及方法
EP3552131A1 (en) Password security
CN107181589B (zh) 一种堡垒机私钥管理方法及装置
CN112528236B (zh) 基于虚拟机的应用软件授权方法
CN109286620B (zh) 用户权限管理方法、系统、设备和计算机可读存储介质
CN111680308B (zh) 文件共享方法、对共享文件的控制方法及其装置和终端
US9864853B2 (en) Enhanced security mechanism for authentication of users of a system
CN107276966B (zh) 一种分布式系统的控制方法及登录系统
CN106529216B (zh) 一种基于公共存储平台的软件授权系统及软件授权方法
CN109802927B (zh) 一种安全服务提供方法及装置
US9633207B2 (en) Method for downloading at least one software component onto a computing device, and associated computer program product, computing device and computer system
CN113114464B (zh) 统一安全管理系统及身份认证方法
CN107612917B (zh) 云计算环境下对日志存储使用3des加密算法加密的方法
Paranjape et al. An approach towards security in private cloud using OTP
CN111385099A (zh) 车载智能硬件的安全认证方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant