CN107979615A

CN107979615A - 报文加密发送、认证方法、装置、客户端及防火墙

Info

Publication number: CN107979615A
Application number: CN201810010420.6A
Authority: CN
Inventors: 岳炳词
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2018-01-05
Filing date: 2018-01-05
Publication date: 2018-05-01
Anticipated expiration: 2038-01-05
Also published as: CN107979615B

Abstract

本发明实施例提供了一种报文加密发送、认证方法、装置、客户端及防火墙，其中，报文加密发送方法应用于客户端，包括：在确定允许向服务器发送待发送报文后，提取待发送报文的报文载荷；在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，其中，密钥分量为客户端对应的预设身份密钥中指定位数的数值；发送加密报文至防火墙，以使防火墙提取加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，得到身份密钥，如果身份密钥与客户端对应的预设身份密钥一致，则确定加密报文认证成功。通过本方案可以提高白名单客户端和服务器的安全性。

Description

报文加密发送、认证方法、装置、客户端及防火墙

技术领域

本发明涉及网络防火墙技术领域，特别是涉及一种报文加密发送、认证方法、装置、客户端及防火墙。

背景技术

在防火墙系统中，通常使用黑白名单规则对客户端发送的报文进行控制，若客户端被设置为黑名单客户端，则该黑名单客户端所发送的报文将被防火墙阻断，即禁止该黑名单客户端向服务器端发送报文；若客户端被设置为白名单客户端，则该白名单客户端所发送的报文将会优先通过，不会被防火墙阻断，大大提高了客户端访问服务器的安全性和快捷性。

对于使用黑白名单规则的防火墙，往往设置有一个白名单列表，该白名单列表中存储有白名单客户端对应的IP(Internet Protocol，网络互连协议)地址，当防火墙识别出接收到的报文是由白名单列表中任一个IP地址对应的客户端发送的，则直接将该报文转发至服务器，实现客户端与服务器之间的通信。

但是，在实际网络环境中，白名单客户端发送的报文可能会被非法用户恶意篡改，或者，非法用户可能伪造白名单客户端的IP地址向服务器发送入侵报文，导致白名单客户端和服务器的安全性受到较大影响。

发明内容

本发明实施例的目的在于提供一种报文加密发送、认证方法、装置、客户端及防火墙，以提高白名单客户端和服务器的安全性。具体技术方案如下：

第一方面，本发明实施例提供了一种报文加密发送方法，应用于客户端，所述方法包括：

在确定允许向服务器发送待发送报文后，提取所述待发送报文的报文载荷；

在所述报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

发送所述加密报文至防火墙，以使所述防火墙提取所述加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，得到身份密钥，如果所述身份密钥与所述客户端对应的预设身份密钥一致，则确定所述加密报文认证成功。

第二方面，本发明实施例提供了一种报文认证方法，应用于防火墙，所述方法包括：

接收客户端发送的加密报文，所述加密报文为所述客户端在待发送报文的报文载荷中的多个预设位置处添加各密钥分量得到的报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

提取所述加密报文的报文载荷中多个预设位置处指定位数的数值；

按照预设排列顺序，将多个数值进行排列，得到身份密钥；

判断所述身份密钥与所述客户端对应的预设身份密钥是否一致；

若一致，则确定所述加密报文认证成功。

第三方面，本发明实施例提供了一种报文加密发送装置，应用于客户端，所述装置包括：

提取模块，用于在确定允许向服务器发送待发送报文后，提取所述待发送报文的报文载荷；

添加模块，用于在所述报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

发送模块，用于发送所述加密报文至防火墙，以使所述防火墙提取所述加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，得到身份密钥，如果所述身份密钥与所述客户端对应的预设身份密钥一致，则确定所述加密报文认证成功。

第四方面，本发明实施例提供了一种报文认证装置，应用于防火墙，所述装置包括：

接收模块，用于接收客户端发送的加密报文，所述加密报文为所述客户端在待发送报文的报文载荷中的多个预设位置处添加各密钥分量得到的报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

提取模块，用于提取所述加密报文的报文载荷中多个预设位置处指定位数的数值；

排列模块，用于按照预设排列顺序，将多个数值进行排列，得到身份密钥；

判断模块，用于判断所述身份密钥与所述客户端对应的预设身份密钥是否一致；

认证模块，用于若所述判断模块的判断结果为一致，则确定所述加密报文认证成功。

第五方面，本发明实施例提供了一种客户端，包括处理器和计算机可读存储介质，所述计算机可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现如第一方面所述的方法步骤。

第六方面，本发明实施例提供了一种计算机可读存储介质，包含于如第五方面所述的客户端中，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现如第一方面所述的方法步骤。

第七方面，本发明实施例提供了一种防火墙，包括处理器和计算机可读存储介质，所述计算机可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现如第二方面所述的方法步骤。

第八方面，本发明实施例提供了一种计算机可读存储介质，包含于如第七方面所述的防火墙中，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现如第二方所述的方法步骤。

本发明实施例提供的一种报文加密发送、认证方法、装置、客户端及防火墙，客户端在确定允许向服务器发送待发送报文，即确定其自身为白名单客户端后，通过提取待发送报文的报文载荷，在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，并将该加密报文发送至防火墙，防火墙在接收到该加密报文后，通过提取该加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，即可得到身份密钥，如果该身份密钥与客户端对应的预设身份密钥一致，则说明报文认证成功。如果非法用户对报文进行篡改，或者利用白名单IP地址传输入侵报文，很容易对杂糅在报文载荷中的密钥分量进行更改，这样，在防火墙侧得到的身份密钥会与白名单客户端对应的预设身份密钥不一致，从而可以准确识别出非法的报文，提高了白名单客户端与服务器的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例的客户端与防火墙交互的报文加密发送、认证方法流程示意图；

图2为本发明实施例的白名单用户的建立流程示意图；

图3为本发明实施例的客户端中白名单插件对待发送报文进行处理、发送的流程示意图；

图4为本发明实施例的应用于防火墙的报文认证方法的流程示意图；

图5为本发明实施例的报文加密发送装置的结构示意图；

图6为本发明实施例的报文认证装置的结构示意图；

图7为本发明实施例的客户端的结构示意图；

图8为本发明实施例的防火墙的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了提高白名单客户端和服务器的安全性，本发明实施例提供了一种报文加密发送、认证方法、装置、客户端及防火墙。

下面，首先通过客户端与防火墙的交互过程，对本发明实施例所提供的报文加密发送、认证方法进行介绍。

本发明实施例所提供的报文加密发送方法的执行主体为客户端，客户端在向服务器发送报文之前，需要向防火墙发送一个发送报文请求，如果防火墙在白名单列表中查找到该客户端的IP地址，则确定该客户端为白名单客户端，允许该客户端开始发送报文，由于本发明实施例应对的是白名单客户端和服务器的安全性问题，因此，本发明实施例所提供的报文加密发送方法在白名单客户端中实现。本发明实施例所提供的报文认证方法的执行主体为防火墙。实现本发明实施例所提供的报文加密发送、认证方法的方式可以为设置于执行主体中的软件、硬件电路和逻辑电路中的至少一种。

如图1所示，本发明实施例所提供的一种报文加密发送、认证方法，可以包括如下步骤：

S101，客户端在确定允许向服务器发送待发送报文后，提取待发送报文的报文载荷。

客户端在访问服务器之前，即向服务器发送报文之前，需要先向防火墙发送一个发送报文请求，该请求中包含有该客户端的IP地址，如果防火墙从白名单列表中查找到该IP地址，则说明该客户端为白名单客户端，允许该客户端发送报文；如果防火墙从白名单列表中未查找到该IP地址，而是从黑名单列表中查找到该IP地址，则说明客户端为黑名单客户端，禁止该客户端发送报文。

为了保证白名单客户端的安全性，需要对白名单客户端发送的报文进行加密处理，本发明实施例所使用的加密方式是将身份密钥杂糅到报文中，并且，由于报文的报文头携带的是报文的属性信息，不应对其进行更改，因此，需要获取待发送报文的报文载荷，对报文载荷进行加密处理。需要说明的是，报文载荷的加密处理可以是在客户端的白名单插件中完成，也就是说，如果客户端为白名单客户端，则可以直接将待发送报文输入白名单插件进行加密处理。

S102，客户端在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文。

其中，密钥分量为客户端对应的预设身份密钥中指定位数的数值。预设身份密钥可以是在客户端第一次向防火墙提出白名单注册请求时由防火墙分配的，由该白名单客户端记录，也可以是在客户端第一次向防火墙提出白名单注册请求时由客户端自己生成的，并且客户端将该预设身份密钥发送给防火墙，防火墙将其记录在白名单列表中该客户端的IP地址对应的白名单项中。

基于对报文进行加密的考虑，传统的加密方式中，直接按照身份密钥进行加解密，而这种方式容易被非法用户破解，一旦破解身份密钥，白名单客户端的安全性仍然受到影响；而传统的利用随机值对报文进行加密的方式，例如MD5哈希计算方法，虽然可以得到一个报文对应的唯一随机值，但运算过程复杂，运算效率较低。因此，基于上述考虑，将身份密钥以杂糅的方式添加至报文载荷中，即将身份密钥中指定位数的数值添加至报文载荷中的多个预设位置处，例如，在报文载荷的第3位后添加身份密钥中第5位至第10位的数值、在报文载荷的第8位后添加身份密钥中第1位至第4位的数值等，客户端在发送白名单注册请求时，会将这种杂糅方式一同发送至防火墙，由防火墙记录在白名单列表中该客户端的IP地址对应的白名单项中。如果非法用户对报文进行了篡改，很容易将身份密钥中的内容进行更改，这样的话，在防火墙侧，防火墙通过解密得到的身份密钥与该客户端对应的预设身份密钥不一致，则说明报文为非法的报文，禁止该报文发送至服务器。

报文载荷中的多个预设位置可以为报文载荷中相较于起始位的多个偏移量对应的位置。因此，可以先获取到一个预设偏移序列，该预设偏移序列为报文载荷中相较于起始位的多个偏移量组成的序列，然后按照偏移量与指定位数的对应关系，依次从白名单客户端对应的预设身份密钥中提取指定位数的数值，添加至报文载荷中对应的偏移量的位置处，得到加密报文。例如，白名单客户端对应的预设身份密钥为32位密钥，预设偏移序列为[3,5,10,17,26,32]，偏移量与指定位数的对应关系为：偏移量为3时添加预设身份密钥中第1至第8位数值，偏移量为5时添加预设身份密钥中第15至第21位数值，偏移量为10时添加预设身份密钥中第9至第12位数值，偏移量为17时添加预设身份密钥中第22至第27位数值，偏移量为26时添加预设身份密钥中第13至第14位数值，偏移量为32时添加预设身份密钥中第28至第32位数值，则按照对应关系从预设身份密钥中提取指定位数的数值，添加至对应的位置处，这样就可以得到加密报文。

由于客户端发送的报文的数据量有可能会很大，从报文载荷的起始位开始设置大量的偏移量，会消耗CPU资源，因此为了提高处理效率，可以先将报文载荷按照预设长度划分为多个数据段，例如按照每段长度为32字节进行分段，然后再在每个数据段中按照预设偏移量添加密钥分量，并且，由于预设身份密钥中每个字节值为一个ASCII(AmericanStandard Code for Information Interchange，美国信息交换标准代码)，则可以按照数据段与指定字节的对应关系，依次从白名单客户端对应的预设身份密钥中提取指定字节的数值，添加至对应数据段中偏移量的位置处，得到加密报文。例如，第1数据段与预设身份密钥的第3字节对应，第2数据段与预设身份密钥的第5字节对应，第3数据段与预设身份密钥的第2字节对应，第4数据段与预设身份密钥的第1字节对应，第5数据段与预设身份密钥的第4字节对应，且预设偏移序列为[3,5,2,4,1]，即将预设身份密钥的第3字节添加至第1数据段的第3位之后，将预设身份密钥的第5字节添加至第2数据段的第5位之后，将预设身份密钥的第2字节添加至第3数据段的第2位之后，将预设身份密钥的第1字节添加至第4数据段的第4位之后，将预设身份密钥的第4字节添加至第5数据段的第1位之后，从而得到加密报文。密钥分量的添加过程可以是同时完成的，例如，在获知每个密钥分量分别添加至哪一个数据段后，将各密钥分量并行添加至各数据段中；也可以是分数据段完成的，例如，对第1数据段添加密钥分量之后再进行第2数据段添加密钥分量。

S103，客户端发送加密报文至防火墙。

在得到加密报文之后，客户端即将加密报文发送至防火墙进行认证。

S104，防火墙提取加密报文的报文载荷中多个预设位置处指定位数的数值。

由于客户端在白名单注册请求时，将预设身份密钥的杂糅方式发送至防火墙，由防火墙记录在白名单列表中该客户端的IP地址对应的白名单项中，即防火墙中记录了预设偏移序列、偏移量与指定位数的对应关系、数据段与指定字节的对应关系等信息，则可以对报文载荷中多个预设位置处指定位数的数值进行提取。

相应于客户端对待发送报文的加密方式，防火墙设置有对应的从加密报文的报文载荷中多个预设位置处提取指定位数的数值的方式。可选的，该方式可以为：获取预设偏移序列，该预设偏移序列为加密报文的报文载荷中相较于起始位的多个偏移量组成的序列，然后按照偏移量与指定位数的对应关系，依次从报文载荷中提取各偏移量的位置处对应指定位数的数值。可选的，该方式还可以为：将加密报文的报文载荷按照预设长度划分为多个数据段，获取预设偏移序列，该预设偏移序列为各数据段中相较于起始位的偏移量组成的序列，然后按照数据段与指定字节的对应关系，依次从各数据段中提取对应偏移量的位置处的指定字节的数值。需要说明的是，防火墙提取多个数据的方式与客户端对报文加密的方式需要相对应。为了保证数据提取的准确性，可以分数据段的按序完成数据的提取，例如，获知在第1数据段的偏移量为3的位置添加有密钥分量，则可以先提取该密钥分量，删除该密钥分量和第1数据段后，在按照已获知的方式从第2数据段中提取密钥分量。

S105，防火墙按照预设排列顺序，将多个数值进行排列，得到身份密钥。

在提取到报文载荷中多个预设位置处指定位数的数值之后，按照预设排列顺序，即预设身份密钥中每位数值的排列顺序，对多个数值进行排列，即可得到身份密钥。该预设排列顺序也可以是携带在白名单项中。

S106，如果身份密钥与客户端对应的预设身份密钥一致，则防火墙确定加密报文认证成功。

如果身份密钥与客户端对应的预设身份密钥一致，则说明报文未被非法用户篡改，属于合法的报文，报文认证成功，可直接转发给服务器；如果不一致，则说明报文可能被非法用户篡改，或者是非法用户利用白名单IP地址发送的入侵报文，属于非法的报文，报文认证失败，禁止转发给服务器。

应用本实施例，客户端在确定允许向服务器发送待发送报文，即确定其自身为白名单客户端后，通过提取待发送报文的报文载荷，在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，并将该加密报文发送至防火墙，防火墙在接收到该加密报文后，通过提取该加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，即可得到身份密钥，如果该身份密钥与客户端对应的预设身份密钥一致，则说明报文认证成功。如果非法用户对报文进行篡改，或者利用白名单IP地址传输入侵报文，很容易对杂糅在报文载荷中的密钥分量进行更改，这样，在防火墙侧得到的身份密钥会与白名单客户端对应的预设身份密钥不一致，从而可以准确识别出非法的报文，提高了白名单客户端与服务器的安全性。

基于上述分析，一个用户可能通过多个客户端访问服务器，因此，针对高权限的用户，需要建立白名单用户，在建立白名单用户时，客户端和防火墙均可以将白名单客户端的IP地址、预设身份密钥、预设偏移序列等信息保存，下面结合具体实例，对白名单用户的建立流程进行介绍。

如图2所示，白名单用户的建立流程可以包括如下步骤：

S201，用户通过客户端向防火墙发送加入白名单注册请求。

该注册请求中包括用户名、密码、用户使用的IP地址等信息，每个用户可以绑定一个或者多个客户端对应的IP地址。

S202，防火墙确认用户名、使用的IP地址没有被注册，并被安全管理员确认处理通过后，接收用户输入的预设身份密钥以及预设偏移序列。

预设身份密钥为该用户对应的唯一的身份密钥，可以为预设长度，下面以32字节长度为例进行介绍，每个字节值为密钥字符的ASCII码值，身份密钥可以为表1所示。

表1

Char1

Char2

…………

Char31

Char32

本实施例中，需要将预设身份密钥的每个字节杂糅到报文载荷中。针对客户端或者防火墙，在获取到报文载荷后，将报文载荷按照预设长度进行分段，例如按照每段长度为32字节将报文载荷划分为n段，如表2所示。

表2

Sect_1

Sect_2

…………

Sect_n-1

Sect_n

分段后，需要按照用户输入的预设偏移序列，将预设身份密钥的每一个字节杂糅到数据段中，该预设偏移序列为各数据段中相较于起始位的偏移量组成的序列，预设偏移序列如表3所示，其中，Offset_1为字节Char1在某一个数据段插入的偏移位置，偏移量中还包括了数据段与指定字节的对应关系。

表3

Offset_1

Offset_2

…………

Offset_31

Offset_32

S203，在用户成功注册后，防火墙将用户名、密码、用户使用的IP地址、预设身份密钥、预设偏移序列等信息形成一条白名单项，添加到白名单列表。

S204，在用户成功注册后，在用户使用的客户端上安装白名单插件，设置白名单安全表项。

白名单安全表项中包括：服务器的IP地址(目的IP)、预设身份密钥及预设偏移序列。

应用本方案，建立白名单用户，并且对应在防火墙形成白名单项，在客户端设置白名单安全表项，即在防火墙和客户端均知晓预设身份密钥和预设偏移序列，当白名单用户需要向服务器发送报文时，按照预设身份密钥和预设偏移序列进行报文加密，防火墙按照预设身份密钥和预设偏移序列进行解密，如果解密后的身份密钥与预设身份密钥一致，则确定认证成功，从而提高了安全性。

基于图2所示白名单用户的建立流程，下面分别从客户端和防火墙的角度，介绍报文加密发送方法和报文认证方法。

白名单用户在需要通过客户端发送报文时，客户端首先将待发送报文送到客户端安装的白名单插件中进行处理，并由白名单插件发送报文，如图3所示，为客户端中白名单插件对待发送报文进行处理、发送的流程示意图，包括如下步骤：

S301，接收由客户端发来的待发送报文。

S302，判断待发送报文的目的IP是否匹配白名单安全表项的目的IP，若是则执行S302至S304，否则执行S305。

S303，提取白名单安全表项中的预设身份密钥及预设偏移序列，并获取待发送报文的报文载荷。

S304，对报文载荷进行分段，得到多个数据段。

S305，按照预设偏移序列在各数据段中的偏移量的位置处添加指定字节的数值，得到加密报文，并将加密报文发送至防火墙。

S306，不对待发送报文进行处理，直接将待发送报文发送至防火墙。

如图4所示，为应用于防火墙的报文认证方法的流程示意图，该报文认证方法可以包括如下步骤：

S401，接收白名单用户发送的报文。

S402，判断白名单列表中是否存在发送报文的IP地址，若是则执行S403至S406，否则执行S409。

S403，提取出IP地址对应白名单项的预设身份密钥及预设偏移序列，并获取报文的报文载荷。

S404，对报文载荷进行分段，得到多个数据段。

S405，按照预设偏移序列，从各数据段中的偏移量的位置处提取指定字节的数值，并将提取的数值进行排列，得到身份密钥。

S406，判断身份密钥是否与预设身份密钥一致，若是则执行S407，否则执行408。

S407，确定报文认证成功，向服务器转发该报文对应的原始报文。

S408，确定报文被伪造或者篡改，产生篡改日志告警，并丢弃该报文。

S409，报文不进行白名单处理，直接进行其他处理。

应用本方案，白名单用户通过白名单安全表项中的预设身份密钥及预设偏移序列，并获取待发送报文的报文载荷，在报文载荷中的多个数据段中的偏移量的位置处添加指定字节的数值，得到加密报文，并将该加密报文发送至防火墙，防火墙在接收到报文后，通过提取白名单项的预设身份密钥及预设偏移序列，并获取报文的报文载荷，从报文载荷中的多个数据段中的偏移量的位置处提取指定字节的数值，并将提取的数值进行排列，得到身份密钥，如果该身份密钥与预设身份密钥一致，则说明报文认证成功。如果非法用户对报文进行篡改，或者利用白名单IP地址传输入侵报文，很容易对杂糅在报文载荷中的密钥分量进行更改，这样，在防火墙侧得到的身份密钥会与预设身份密钥不一致，从而可以准确识别出非法的报文，提高了白名单用户与服务器的安全性。

基于上述方法实施例，如图5所示，本发明实施例还提供了一种报文加密发送装置，应用于客户端，该报文加密发送装置可以包括：

提取模块510，用于在确定允许向服务器发送待发送报文后，提取所述待发送报文的报文载荷；

添加模块520，用于在所述报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

发送模块530，用于发送所述加密报文至防火墙，以使所述防火墙提取所述加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，得到身份密钥，如果所述身份密钥与所述客户端对应的预设身份密钥一致，则确定所述加密报文认证成功。

可选的，所述添加模块520，具体可以用于：

获取预设偏移序列，所述预设偏移序列为所述报文载荷中相较于起始位的多个偏移量组成的序列；

按照偏移量与指定位数的对应关系，依次从所述客户端对应的预设身份密钥中提取指定位数的数值，添加至所述报文载荷中对应的偏移量的位置处，得到加密报文。

可选的，所述添加模块520，具体可以用于：

将所述报文载荷按照预设长度划分为多个数据段；

获取预设偏移序列，所述预设偏移序列为各数据段中相较于起始位的偏移量组成的序列；

按照数据段与指定字节的对应关系，依次从所述客户端对应的预设身份密钥中提取指定字节的数值，添加至对应数据段中偏移量的位置处，得到加密报文。

基于上述方法实施例，如图6所示，本发明实施例还提供了一种报文认证装置，应用于的防火墙，该报文认证装置可以包括：

接收模块610，用于接收客户端发送的加密报文，所述加密报文为所述客户端在待发送报文的报文载荷中的多个预设位置处添加各密钥分量得到的报文，所述密钥分量为所述客户端对应的预设身份密钥中指定位数的数值；

提取模块620，用于提取所述加密报文的报文载荷中多个预设位置处指定位数的数值；

排列模块630，用于按照预设排列顺序，将多个数值进行排列，得到身份密钥；

判断模块640，用于判断所述身份密钥与所述客户端对应的预设身份密钥是否一致；

认证模块650，用于若所述判断模块640的判断结果为一致，则确定所述加密报文认证成功。

可选的，所述提取模块620，具体可以用于：

获取预设偏移序列，所述预设偏移序列为所述加密报文的报文载荷中相较于起始位的多个偏移量组成的序列；

按照偏移量与指定位数的对应关系，依次从所述报文载荷中提取各偏移量的位置处对应指定位数的数值。

可选的，所述提取模块620，具体可以用于：

将所述加密报文的报文载荷按照预设长度划分为多个数据段；

按照数据段与指定字节的对应关系，依次从各数据段中提取对应偏移量的位置处的指定字节的数值。

本发明实施例还提供了一种客户端，如图7所示，客户端700，包括处理器710和计算机可读存储介质720，所述计算机可读存储介质720存储有能够被所述处理器710执行的机器可执行指令，所述处理器710被所述机器可执行指令促使实现本发明实施例提供的报文加密发送方法。

另外，相应于上述实施例所提供的报文加密发送方法，本发明实施例提供了一种计算机可读存储介质，包含于客户端700中，用于存储计算机程序，所述计算机程序被处理器执行时，实现本发明实施例提供的报文加密发送方法。

本发明实施例还提供了一种防火墙，如图8所示，防火墙800，包括处理器810和计算机可读存储介质820，所述计算机可读存储介质820存储有能够被所述处理器810执行的机器可执行指令，所述处理器810被所述机器可执行指令促使实现本发明实施例提供的报文认证方法。

上述计算机可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，计算机可读存储介质还可以是至少一个位于远离前述处理器的存储装置。

上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

本实施例中，客户端及防火墙的处理器通过读取各自存储器中存储的计算机程序，并通过运行计算机程序，能够实现：客户端在确定允许向服务器发送待发送报文，即确定其自身为白名单客户端后，通过提取待发送报文的报文载荷，在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，并将该加密报文发送至防火墙，防火墙在接收到该加密报文后，通过提取该加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，即可得到身份密钥，如果该身份密钥与客户端对应的预设身份密钥一致，则说明报文认证成功。如果非法用户对报文进行篡改，或者利用白名单IP地址传输入侵报文，很容易对杂糅在报文载荷中的密钥分量进行更改，这样，在防火墙侧得到的身份密钥会与白名单客户端对应的预设身份密钥不一致，从而可以准确识别出非法的报文，提高了白名单客户端与服务器的安全性。

另外，相应于上述实施例所提供的报文认证方法，本发明实施例提供了一种计算机可读存储介质，包含于防火墙800中，用于存储计算机程序，所述计算机程序被处理器执行时，实现本发明实施例提供的报文认证方法。

本实施例中，包含于客户端中的计算机可读存储介质存储有在运行时执行本发明实施例所提供的报文加密发送方法的应用程序、包含于防火墙中的计算机可读存储介质存储有在运行时执行本发明实施例所提供的报文认证方法的应用程序，因此能够实现：客户端在确定允许向服务器发送待发送报文，即确定其自身为白名单客户端后，通过提取待发送报文的报文载荷，在报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，并将该加密报文发送至防火墙，防火墙在接收到该加密报文后，通过提取该加密报文的报文载荷中多个预设位置处指定位数的数值，按照预设排列顺序，将多个数值进行排列，即可得到身份密钥，如果该身份密钥与客户端对应的预设身份密钥一致，则说明报文认证成功。如果非法用户对报文进行篡改，或者利用白名单IP地址传输入侵报文，很容易对杂糅在报文载荷中的密钥分量进行更改，这样，在防火墙侧得到的身份密钥会与白名单客户端对应的预设身份密钥不一致，从而可以准确识别出非法的报文，提高了白名单客户端与服务器的安全性。

对于客户端、防火墙以及计算机可读存储介质实施例而言，由于其所涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、客户端、防火墙及计算机可读存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种报文加密发送方法，其特征在于，应用于客户端，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述在所述报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，包括：

3.根据权利要求1所述的方法，其特征在于，所述在所述报文载荷中的多个预设位置处添加各密钥分量，得到加密报文，包括：

将所述报文载荷按照预设长度划分为多个数据段；

4.一种报文认证方法，其特征在于，应用于防火墙，所述方法包括：

按照预设排列顺序，将多个数值进行排列，得到身份密钥；

若一致，则确定所述加密报文认证成功。

5.根据权利要求4所述的方法，其特征在于，所述提取所述加密报文的报文载荷中多个预设位置处指定位数的数值，包括：

6.根据权利要求4所述的方法，其特征在于，所述提取所述加密报文的报文载荷中多个预设位置处指定位数的数值，包括：

7.一种报文加密发送装置，其特征在于，应用于客户端，所述装置包括：

8.根据权利要求7所述的装置，其特征在于，所述添加模块，具体用于：

9.根据权利要求7所述的装置，其特征在于，所述添加模块，具体用于：

将所述报文载荷按照预设长度划分为多个数据段；

10.一种报文认证装置，其特征在于，应用于防火墙，所述装置包括：

11.根据权利要求10所述的装置，其特征在于，所述提取模块，具体用于：

12.根据权利要求10所述的装置，其特征在于，所述提取模块，具体用于：

13.一种客户端，其特征在于，包括处理器和计算机可读存储介质，所述计算机可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-3任一所述的方法步骤。

14.一种计算机可读存储介质，其特征在于，包含于权利要求13所述的客户端中，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求1-3任一所述的方法步骤。

15.一种防火墙，其特征在于，包括处理器和计算机可读存储介质，所述计算机可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求4-6任一所述的方法步骤。

16.一种计算机可读存储介质，其特征在于，包含于权利要求15所述的防火墙中，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求4-6任一所述的方法步骤。