CN107634946A - 一种微服务节点合法性验证方法和装置 - Google Patents

Abstract

本发明公开了一种微服务节点合法性验证方法和装置，该方法包括：当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向微服务节点公开秘钥；当接收到使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码时，使用私有秘钥对合法性特征码进行解密；验证合法性特征码，以确定微服务节点的合法性；将合法性通过验证的微服务节点的地址注册到服务注册中心。由自身采用非对称加密算法生成公开密钥和私有秘钥使得黑客无法解密非对称加密算法，黑客也就无法篡改微服务节点及其程序，通过验证以确定微服务节点的合法性，保证了注册到服务注册中心的信息的合法性，进而增强云计算系统的安全性。

Description

一种微服务节点合法性验证方法和装置

技术领域

本发明涉及信息技术，尤指一种微服务节点合法性验证方法和装置。

背景技术

云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池(资源包括网络、服务器、存储资源、应用软件、服务)，这些资源能够被快速提供，只需投入很少的管理工作，或与服务提供方(即，主机节点)进行很少的交互。“微服务”指的是将原有的单个业务系统拆分成的多个可以独立开发,设计,运行和运维的小应用。在云计算系统中，可在多个主机节点(在此也被称作“微服务节点”)部署多个相同的小应用，以提高云计算系统的可靠性。在云计算时代，微服务架构已经应用于系统的开发和部署当中，由于微服务具有分布式的属性，因此对于任何一个微服务来说，都可以存在或者支持多个微服务节点，并且可以具备海量的节点程序，以提供各种类型的以及任意数量的服务。但是，微服务所具有的以上的属性也给微服务节点的程序的合法性带来了问题：部分黑客利用微服务节点的漏洞，将经过篡改的节点及其程序非法地注册到微服务注册中心，或通过注册海量节点使得服务注册中心瘫痪，来实现黑客自己的种种目的，给云计算系统的安全性带来了很大的挑战。

发明内容

为了解决上述技术问题，本发明提供了一种微服务节点合法性验证方法和装置，其能够验证微服务节点的合法性，进而增强云计算系统的安全性。

为了达到本发明目的，本发明提供了一种微服务节点合法性验证方法，该方法包括：

当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向微服务节点公开公开秘钥；

当接收到由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码时，使用非对称加密算法的私有秘钥对微服务节点的合法性特征码进行解密；

验证微服务节点的合法性特征码，以确定微服务节点的合法性；

当微服务节点的合法性通过验证的时候，将微服务节点的地址注册到服务注册中心。

进一步地，在一个可选的实施例中，由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码，包括：

由微服务节点依次获取并且是使用非对称加密算法的公开秘钥进行加密的微服务节点的下列特征信息：微服务节点的IP地址、微服务节点的端口号、微服务节点的网卡的MAC地址、微服务节点的程序的哈希值。

进一步地，在一个可选的实施例中，验证微服务节点的合法性特征码，以确定微服务节点的合法性的步骤，包括：

如果服务注册中心具有IP地址黑名单，则验证微服务节点的IP地址是否在IP黑名单内，如果微服务节点的IP地址在IP黑名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有IP地址白名单，则验证微服务节点的IP地址是否在IP白名单内，如果微服务节点的IP地址不在IP白名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有有效端口列表，则验证微服务节点的端口号是否在有效端口列表内，如果微服务节点的端口号不在有效端口列表内，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证微服务节点的网卡的MAC地址是否在允许接入的微服务节点的网卡的MAC地址列中内，如果微服务节点的网卡的MAC地址不在允许接入的微服务节点的网卡的MAC地址列表内，则不允许微服务节点接入服务注册中心；以及

如果服务注册中心备案了程序的哈希值，则验证微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许微服务节点接入服务注册中心。

为了达到本发明目的，本发明的实施例提供了一种微服务节点合法性验证装置，该装置包括：

秘钥生成和公开模块，设置成当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向微服务节点公开公开秘钥；

特征码解密模块，设置成当接收到由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码时，使用非对称加密算法的私有秘钥对微服务节点的合法性特征码进行解密；

特征码验证模块，设置成验证微服务节点的合法性特征码，以确定微服务节点的合法性；以及

节点注册模块，设置成当微服务节点的合法性通过验证的时候，将微服务节点的地址注册到服务注册中心。

进一步地，在一个可选的实施例中，由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码，包括：

由微服务节点依次获取并且是使用非对称加密算法的公开秘钥进行加密的微服务节点的下列特征信息：微服务节点的IP地址、微服务节点的端口号、微服务节点的网卡的MAC地址、微服务节点的程序的哈希值。

进一步地，在一个可选的实施例中，特征码验证模块设置成：

如果服务注册中心具有IP地址黑名单，则验证微服务节点的IP地址是否在IP黑名单内，如果微服务节点的IP地址在IP黑名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有IP地址白名单，则验证微服务节点的IP地址是否在IP白名单内，如果微服务节点的IP地址不在IP白名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有有效端口列表，则验证微服务节点的端口号是否在有效端口列表内，如果微服务节点的端口号不在有效端口列表内，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证微服务节点的网卡的MAC地址是否在允许接入的微服务节点的网卡的MAC地址列中内，如果微服务节点的网卡的MAC地址不在允许接入的微服务节点的网卡的MAC地址列表内，则不允许微服务节点接入服务注册中心；以及

如果服务注册中心备案了程序的哈希值，则验证微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许微服务节点接入服务注册中心。

与现有技术相比，本发明实施例的有益效果在于：通过由自身采用非对称加密算法生成公开密钥和私有秘钥，可以对微服务节点的合法性验证码进行加密，并且在进行加密传输后进行解密，在生成和传输微服务节点的合法性验证码的时候，因此黑客无法解密非对称加密算法，也就无法篡改微服务节点及其程序，此后，通过验证微服务节点的合法性特征码，可以确定微服务节点的合法性，只有微服务节点的合法性通过验证时(也就是说，当确定微服务节点未经篡改时)，才能将微服务节点的地址注册到服务注册中心，从而保证了注册到服务注册中心的信息的合法性。由于服务注册中心一方面由微服务节点接入，另一方面由服务调用方接入，因此，保证服务注册中心的信息的合法性可以增强云计算系统的安全性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为根据本发明的实施例的微服务节点合法性验证方法的流程图；

图2为根据本发明的实施例的微服务节点合法性验证装置的框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

一方面，本发明实施例提供了一种微服务节点合法性验证方法，如图1所示，该方法包括步骤S101-S113。

步骤S101，当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥(public key)和私有秘钥(private key)，并且向微服务节点公开公开秘钥。

步骤S105，当接收到由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码时，使用非对称加密算法的私有秘钥对微服务节点的合法性特征码进行解密。

步骤S109，验证微服务节点的合法性特征码，以确定微服务节点的合法性。

步骤S113，当微服务节点的合法性通过验证的时候，将微服务节点的地址注册到服务注册中心。

在此，微服务节点合法性验证方法是由服务注册中心执行的，或者是由云计算系统中的除了服务注册中心之外的组件执行的。

服务注册中心是微服务架构最基础的也是最重要的组件之一，服务提供方(即，微服务节点)将其地址注册到服务注册中心，使得服务调用方能够从服务注册中心方便地找到服务提供方。

非对称加密算法是一种密钥的保密方法。非对称加密算法需要两个密钥：成对的相互对应的公开密钥和私有密钥。如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法被叫作非对称加密算法。非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的信息进行解密。在本实施例的方法中，上述甲方是本方法的执行主体，乙方是微服务节点。

本发明实施例的有益效果是：通过由自身采用非对称加密算法生成公开密钥和私有秘钥，可以对微服务节点的合法性验证码进行加密，并且在进行加密传输后进行解密，在生成和传输微服务节点的合法性验证码的时候，因此黑客无法解密非对称加密算法，也就无法篡改微服务节点及其程序，此后，通过验证微服务节点的合法性特征码，可以确定微服务节点的合法性，只有微服务节点的合法性通过验证时(也就是说，当确定微服务节点未经篡改时)，才能将微服务节点的地址注册到服务注册中心，从而保证了注册到服务注册中心的信息的合法性。由于服务注册中心一方面由微服务节点接入，另一方面由服务调用方接入，因此，保证服务注册中心的信息的合法性可以增强云计算系统的安全性。

进一步地，在一个可选的实施例中，由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码，包括：

由微服务节点依次获取并且是使用非对称加密算法的公开秘钥进行加密的微服务节点的下列特征信息：微服务节点的IP地址、微服务节点的端口号、微服务节点的网卡的MAC地址、微服务节点的程序的哈希值。

在此，所获取的特征信息是根据微服务节点的硬件结构而按照顺序依次获取的。即，首先获取微服务节点的IP地址，并且接着获取微服务节点的端口号，继而获取微服务节点的网卡的MAC地址，最后获取微服务节点的程序的哈希值。

哈希算法将任意长度的二进制值映射为固定长度的较小二进制值，这个小的二进制值称为哈希值。哈希值是一段数据唯一且极其紧凑的数值表示形式。如果散列一段明文而且哪怕只更改该段落的一个字母，随后的哈希都将产生不同的值。要找到散列为同一个值的两个不同的输入，在计算上来说基本上是不可能的。因此，如果确定在本发明实施例中的微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，就可以确定微服务节点的程序是未经篡改的。

进一步地，在一个可选的实施例中，步骤S109包括：

如果服务注册中心具有IP地址黑名单，则验证微服务节点的IP地址是否在IP黑名单内，如果微服务节点的IP地址在IP黑名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有IP地址白名单，则验证微服务节点的IP地址是否在IP白名单内，如果微服务节点的IP地址不在IP白名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有有效端口列表，则验证微服务节点的端口号是否在有效端口列表内，如果微服务节点的端口号不在有效端口列表内，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证微服务节点的网卡的MAC地址是否在允许接入的微服务节点的网卡的MAC地址列中内，如果微服务节点的网卡的MAC地址不在允许接入的微服务节点的网卡的MAC地址列表内，则不允许微服务节点接入服务注册中心；以及

如果服务注册中心备案了程序的哈希值，则验证微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许微服务节点接入服务注册中心。

通过把在IP地址黑名单、IP地址白名单、网卡的MAC地址列表、程序的哈希值中服务注册中心所具有的各项与在合法性验证码中的对应各项进行比较，可以保证服务注册中心的信息的合法性。

另一方面，本发明的实施例一种微服务节点合法性验证装置，该装置包括秘钥生成和公开模块201、特征码解密模块205、特征码验证模块209以及节点注册模块213。

秘钥生成和公开模块201，设置成当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向微服务节点公开公开秘钥。

特征码解密模块205，设置成当接收到由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码时，使用非对称加密算法的私有秘钥对微服务节点的合法性特征码进行解密。

特征码验证模块209，设置成验证微服务节点的合法性特征码，以确定微服务节点的合法性。

节点注册模块213，设置成当微服务节点的合法性通过验证的时候，将微服务节点的地址注册到服务注册中心。

在此，微服务节点合法性验证装置可以是服务注册中心，也可以是云计算系统中的除了服务注册中心之外的组件。

本发明实施例的有益效果是：通过由自身采用非对称加密算法生成公开密钥和私有秘钥，可以对微服务节点的合法性验证码进行加密，并且在进行加密传输后进行解密，在生成和传输微服务节点的合法性验证码的时候，因此黑客无法解密非对称加密算法，也就无法篡改微服务节点及其程序，此后，通过验证微服务节点的合法性特征码，可以确定微服务节点的合法性，只有微服务节点的合法性通过验证时(也就是说，当确定微服务节点未经篡改时)，才能将微服务节点的地址注册到服务注册中心，从而保证了注册到服务注册中心的信息的合法性。由于服务注册中心一方面由微服务节点接入，另一方面由服务调用方接入，因此，保证服务注册中心的信息的合法性可以增强云计算系统的安全性。

进一步地，在一个可选的实施例中，由微服务节点使用非对称加密算法的公开秘钥生成的微服务节点的合法性特征码，包括：

由微服务节点依次获取并且是使用非对称加密算法的公开秘钥进行加密的微服务节点的下列特征信息：微服务节点的IP地址、微服务节点的端口号、微服务节点的网卡的MAC地址、微服务节点的程序的哈希值。

进一步地，在一个可选的实施例中，特征码验证模块209，设置成：

如果服务注册中心具有IP地址黑名单，则验证微服务节点的IP地址是否在IP黑名单内，如果微服务节点的IP地址在IP黑名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有IP地址白名单，则验证微服务节点的IP地址是否在IP白名单内，如果微服务节点的IP地址不在IP白名单中，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有有效端口列表，则验证微服务节点的端口号是否在有效端口列表内，如果微服务节点的端口号不在有效端口列表内，则不允许微服务节点接入服务注册中心；

如果服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证微服务节点的网卡的MAC地址是否在允许接入的微服务节点的网卡的MAC地址列中内，如果微服务节点的网卡的MAC地址不在允许接入的微服务节点的网卡的MAC地址列表内，则不允许微服务节点接入服务注册中心；以及

如果服务注册中心备案了程序的哈希值，则验证微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许微服务节点接入服务注册中心。

虽然本发明所揭露的实施方式如上，但上述的内容仅为便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式及细节上进行任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (6)

1.一种微服务节点合法性验证方法，其特征在于，所述方法包括：

当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向所述微服务节点公开所述公开秘钥；

当接收到由所述微服务节点使用所述非对称加密算法的公开秘钥生成的所述微服务节点的合法性特征码时，使用所述非对称加密算法的私有秘钥对所述微服务节点的合法性特征码进行解密；

验证所述微服务节点的合法性特征码，以确定所述微服务节点的合法性；

当所述微服务节点的合法性通过验证的时候，将所述微服务节点的地址注册到服务注册中心。

2.根据权利要求1所述的方法，其特征在于，所述由所述微服务节点使用所述非对称加密算法的公开秘钥生成的所述微服务节点的合法性特征码，包括：

由所述微服务节点依次获取并且是使用所述非对称加密算法的公开秘钥进行加密的所述微服务节点的下列特征信息：所述微服务节点的IP地址、所述微服务节点的端口号、所述微服务节点的网卡的MAC地址、所述微服务节点的程序的哈希值。

3.根据权利要求1所述的方法，其特征在于，所述验证所述微服务节点的合法性特征码，以确定所述微服务节点的合法性的步骤，包括：

如果所述服务注册中心具有IP地址黑名单，则验证所述微服务节点的IP地址是否在所述IP黑名单内，如果所述微服务节点的IP地址在所述IP黑名单中，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有IP地址白名单，则验证所述微服务节点的IP地址是否在所述IP白名单内，如果所述微服务节点的IP地址不在所述IP白名单中，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有有效端口列表，则验证所述微服务节点的端口号是否在所述有效端口列表内，如果所述微服务节点的端口号不在所述有效端口列表内，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证所述微服务节点的网卡的MAC地址是否在所述允许接入的微服务节点的网卡的MAC地址列中内，如果所述微服务节点的网卡的MAC地址不在所述允许接入的微服务节点的网卡的MAC地址列表内，则不允许所述微服务节点接入所述服务注册中心；以及

如果所述服务注册中心备案了程序的哈希值，则验证所述微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果所述微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许所述微服务节点接入所述服务注册中心。

4.一种微服务节点合法性验证装置，其特征在于，所述装置包括：

秘钥生成和公开模块，设置成当接收到由微服务节点发送的接入请求的时候，生成非对称加密算法的成对的公开秘钥和私有秘钥，并且向所述微服务节点公开所述公开秘钥；

特征码解密模块，设置成当接收到由所述微服务节点使用所述非对称加密算法的公开秘钥生成的所述微服务节点的合法性特征码时，使用所述非对称加密算法的私有秘钥对所述微服务节点的合法性特征码进行解密；

特征码验证模块，设置成验证所述微服务节点的合法性特征码，以确定所述微服务节点的合法性；

节点注册模块，设置成当所述微服务节点的合法性通过验证的时候，将所述微服务节点的地址注册到服务注册中心。

5.根据权利要求4所述的装置，其特征在于，所述由所述微服务节点使用所述非对称加密算法的公开秘钥生成的所述微服务节点的合法性特征码，包括：

由所述微服务节点依次获取并且是使用所述非对称加密算法的公开秘钥进行加密的所述微服务节点的下列特征信息：所述微服务节点的IP地址、所述微服务节点的端口号、所述微服务节点的网卡的MAC地址、所述微服务节点的程序的哈希值。

6.根据权利要求4所述的装置，其特征在于，所述特征码验证模块，设置成：

如果所述服务注册中心具有IP地址黑名单，则验证所述微服务节点的IP地址是否在所述IP黑名单内，如果所述微服务节点的IP地址在所述IP黑名单中，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有IP地址白名单，则验证所述微服务节点的IP地址是否在所述IP白名单内，如果所述微服务节点的IP地址不在所述IP白名单中，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有有效端口列表，则验证所述微服务节点的端口号是否在所述有效端口列表内，如果所述微服务节点的端口号不在所述有效端口列表内，则不允许所述微服务节点接入所述服务注册中心；

如果所述服务注册中心具有允许接入的微服务节点的网卡的MAC地址列表，则验证所述微服务节点的网卡的MAC地址是否在所述允许接入的微服务节点的网卡的MAC地址列中内，如果所述微服务节点的网卡的MAC地址不在所述允许接入的微服务节点的网卡的MAC地址列表内，则不允许所述微服务节点接入所述服务注册中心；以及

如果所述服务注册中心备案了程序的哈希值，则验证所述微服务节点的程序的哈希值与所备案的程序的哈希值是否一致，如果所述微服务节点的程序的哈希值与所备案的程序的哈希值不一致，则不允许所述微服务节点接入所述服务注册中心。