CN110557360A - 讯息传输的系统与方法 - Google Patents

讯息传输的系统与方法 Download PDF

Info

Publication number
CN110557360A
CN110557360A CN201810565153.9A CN201810565153A CN110557360A CN 110557360 A CN110557360 A CN 110557360A CN 201810565153 A CN201810565153 A CN 201810565153A CN 110557360 A CN110557360 A CN 110557360A
Authority
CN
China
Prior art keywords
server
message
client
security module
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810565153.9A
Other languages
English (en)
Other versions
CN110557360B (zh
Inventor
赖颂杰
刘雨芊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fineart Technology Co Ltd
Original Assignee
Fineart Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fineart Technology Co Ltd filed Critical Fineart Technology Co Ltd
Priority to CN201810565153.9A priority Critical patent/CN110557360B/zh
Publication of CN110557360A publication Critical patent/CN110557360A/zh
Application granted granted Critical
Publication of CN110557360B publication Critical patent/CN110557360B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提出一种讯息传输系统与方法，包含：用户端；加密传输端，耦接该用户端，包含第一资安模块及转址模块；以及，伺服端，包含第二资安模块；其中，第一资安模块将用户端讯息，加密为用户端加密讯息并传输，和将伺服端加密讯息解密为伺服端讯息；以及，第二资安模块将伺服端讯息，加密为伺服端加密讯息并传输，和将用户端加密讯息解密为用户端讯息。

Description

讯息传输的系统与方法
技术领域
本发明涉及一种讯息传输的系统与方法，更详而言之，其为一种将指向伺服端的连线重新导向至STUNNEL连线 ，以确保讯息传输安全性。
背景技术
随着网路（网络）科技的发展，现代人不管在工作、学习或其他应用皆以计算机网路或各种通讯装置作为讯息（信息）重要的传输工具，尤其在企业、政府单位、金融机构、军事单位，乃至于个人，均无时无刻在进行数据或讯息的传输。然而，从古至今，只要牵涉到重要的，具有无论商务、策略、军事讯息等等具重大价值的讯息传输，即存在讯息于传输过程中为第三者盗窃或捏造的可能，从飞鸽传书的书信拦截、私人电话的监听，在到网路时代一攻击端发起中间人攻击(Man-in-the -Middle Attack, MTIM)，再再使得通讯的双方因讯息被盗窃或捏造，而承受利益的损失。此外，由于现代人对于传输讯息时的隐私意识逐渐抬头，如何使用户相信，利用一套系统或方法使讯息传输的过程安全无虞进而愿意采用，也是现今的一大课题。
上述所谓中间人攻击，是指攻击端与通讯的两端或其中一端分别建立独立的连结，并交换其所收到的数据，使通讯的两方均误以为他们正通过一私密的连线对话或与对方交换数据，然实际上整个对话都被攻击端所掌握，其于密码学中一个典型的范例为：艾丽斯(Alice)希望与鲍伯(Bob)建立通信链接，此时，马洛里(Mallory)希望拦截其通讯的内容与数据，并在必要时给予艾丽斯和鲍伯传送虚假的通讯内容。首先，艾丽斯向鲍伯要求建立连线，如果此时鲍伯将建立连线的许可传往艾丽斯，则马洛里能在传送的过程中拦截，这时即可发起中间人攻击。接着，马洛里传送给艾丽斯一伪造的通讯内容，声称自己是鲍伯，同理可推，马洛里以上述同样的手法窃取鲍伯的通讯内容，而艾丽斯与鲍伯并未察觉到马洛里这个第三者的存在，并双双以为自己仍然在和对方进行通讯。
此外，鉴于近年来云端技术的逐渐成熟，前述的企业、政府单位等等也益发依赖将重要讯息或档案储存于一个或多个存在于网路上的云端硬盘或伺服端。上述做法的优点为，储存于云端硬盘或伺服端的数据可通过网路实时共享予作业群组中的人员，使作业流程能同步实时更新，若重要讯息或档案利用频繁，也可避免各人员因忘记同步档案引起的混乱，提高作业群组中人员的工作效率。然而如同前述，以资安角度来看，频繁的利用云端硬盘来储存与分享数据和重大讯息，在传输过程中非常容易被一具有恶意的攻击端进行盗窃、变造，引起档案或讯息的外流。
在过往的系统架构中，伺服端的网址是公开而未加密的，亦即，不论用户端是否为合法的用户，均可连线至伺服端的网址，尽管在过往的系统架构中在连线后存在一组账号密码进行身份的验证，然则未加密且公开的伺服端网址本身则很容易成为被攻击的目标；再者，虽然用户端的用户可凭借用户本身的帐户密码通过用户端本身的资安模块认证，可与伺服端之间合法的传输讯息，但过往的系统架构却没有对一连线至用户端的攻击端进行身份的认证，这使得一攻击端得先以一远端连线的方式操控用户端做为跳板，来与伺服端建立一合法的连线，以达到对伺服端进行档案与讯息的窃取或破坏的目的。
请参阅图2A，在过往的方式中，显示了在早期，传输讯息的双方是如何保护讯息即便被截获或盗窃也较难捏造的方法。加密(Encryption)指的是将原始的明文(Plaintext)通过某种程序或算法转换为一隐蔽的密文(Ciphertext)，使得第三者难以直接看出其所记载的内容，而解密(Decryption)指的则是将密文以一定的程序或算法，转换为原本的明文而为人所利用，而上述的程序或算法则通称为密钥(Secret Key)，由通讯的双方共同持有。密钥若以经过良好设计的「换位(Permutation)」或「取代(Substitution)」的作法，可以达到不错的坚固性，例如古罗马帝国时期用来作战通讯，著名的凯萨密码(Caesar Cipher)即为一利用「位移」作为加解密的方式(即，将明文中的各字符位置一某一规则进行位移。)，其通过下述两个配对函数以达到加解密的目的： En(x) = (x+n) mod 26； Dn(En(x)) = (x-n) mod 26。 上式中，En(x)表示加密演算，Dn(x)则表示解密演算，x则将A-Z分别以1-26的代码表示，若随机取n = 4(表示一个字母向后位移4个位置)，则明文「attack now」可被E4(x)加密为「ezzego rsz」密文，相对的，通过D4(x)密文又可被解密回明文「attack now」。然则，上述以「换位」或「取代」的加解密方法(如DES、Triple、IDEA、Blowfish等对称式算法)，其常可以频谱分析，如参照一语系的常用字符所对应符号等方式，基于目前越来越多的中间人攻击使使得连线安全性堪虑，虽以目前计算机运算能力，前述对称式算法的加密尚算安全，但难以保证当未来计算机的运算能力持续攀升时，其加密的安全性，故而上述加密的方法安全性近年来也越来越受到质疑。
因此，于现时时点上对资安亟需要一种新的传输讯息的系统与方法，以避免公开的伺服端网址直接为攻击端得知而能轻易连线，同时攻击端容易通过先行连线至用户端，并以用户端作为连线至伺服端的跳板，从而轻易的攻击或盗窃伺服端所存有的重要讯息与档案。
发明内容
本发明目的为信息安全保护，进一步目的为通过转址模块等等的作用，始可与伺服端连线，反之将视为不明用户端而禁止连线，以达资安重要目的。本发明的再一目的为利用转址模块(Redirection module，或称NetFilter)指向伺服端(Server Terminal,或称STUNNEL Server) 的连线重新导向至用户端( Client Terminal，或称STUNNEL Client)。
有鉴于前述现有技术的缺点，本发明提出一种讯息传输系统，其系统架构包含：用户端，包含第一处理模块；传输端加密传输端，耦接用户端，包含第一资安模块与转址模块，以传输用户端加密讯息；以及，伺服端，包含第二处理模块与第二资安模块，以传输伺服端加密讯息；其中，该第一资安模块将上述用户端讯息加密为用户端加密讯息，并将伺服端加密讯息解密为伺服端讯息；该第二资安模块将上述伺服端讯息加密为伺服端加密讯息，并将用户端加密讯息解密为用户端讯息。
根据本发明的内容，其中该转址模块包含一网址代码数据库，以记录伺服端代码所对应的伺服端网址，并将用户端所输入的伺服端代码导向所对应的伺服端网址。根据本发明的内容，其中该第一资安模块包含一第一身份验证单元，以验证用户端的账户是否为一被合法授权的用户。
根据本发明的内容，其中第二资安模块包含一第二身份验证单元，以验证用户端是否为一被合法授权与伺服端连线的终端机。
根据本发明的内容，用户端包含第一储存模块，耦接第一处理模块，以储存伺服端讯息与用户端讯息。
根据本发明的内容，伺服端包含第二储存模块，耦接第二处理模块，以储存伺服端讯息与用户端讯息。
根据本发明的内容，伺服端包含防火墙模块，以验证用户端加密讯息或用户端讯息是否含有病毒程序或木马程序等恶意程序。
为了达到用户端与伺服端讯息传输安全的目的，本发明提出一种讯息传输方法，其方法流程包含：用户端输入一伺服端代码，转址模块根据该伺服端代码将用户端导向伺服端网址；伺服端中的第二资安模块验证用户端的身份；用户端中的第一资安模块验证伺服端的身份；用户端通过第一处理模块传输一用户端讯息，第一资安模块将上述用户端讯息，加密为用户端加密讯息；第二资安模块将该用户端加密讯息解密回用户端讯息。
为达上述讯息传输安全目的，本发明方法包含下列流程：用户端通过第一资安模块验证用户的身份。
为达上述讯息传输安全目的，本发明方法包含下列流程：防火墙模块检测上述用户端加密讯息是否含有病毒程序或木马程序等恶意讯息。
为达上述讯息传输安全目的，本发明方法包含下列流程：若前述流程中的用户、用户端、伺服端的验证未通过，或用户端加密讯息含有病毒程序或木马程序等恶意讯息，则结束方法。
以上所述是用以说明本发明的目的、技术手段以及其可达成的功效，相关领域内熟悉此技术的人可以经由以下实施例的示范与伴随的图式说明及申请专利范围更清楚明了本发明。
附图说明
如下所述对本发明的详细描述与实施例的示意图，应使本发明更被充分地理解；然而，应可理解此仅限于作为理解本发明应用的参考，而非限制本发明于一特定实施例之中。
图1显示本发明所欲达成的技术效果。
图2A说明一对称式算法的加解密流程。
图2B说明一非对称式算法的加解密流程。
图3显示本发明所提出讯息传输系统的系统架构。
图4A说明转址模块的架构。
图4B说明第一资安模块的架构。
图4C说明第二资安模块的架构。
图5显示本发明所提出讯息传输方法的方法流程。
图6显示本发明所提出讯息传输方法的方法流程。
图7显示本发明所提出讯息传输方法的方法流程。
元件标号说明：
用户端101 不明用户端103 伺服端105
攻击端107 讯息传输系统200 用户端210
第一储存模块211 第一处理模块213 加密传输端230
第一资安模块231 第一身份验证单元231A 转址模块233
网址代码数据库233A 伺服端250 防火墙模块251
第二资安模块253 第二身份验证单元253A 第二储存模块255
第二处理模块257 讯息传输方法300 方法流程S1-S15。
具体实施方式
以下借由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可借由本说明书所揭示的内容轻易地了解本发明的功效性与其优点。且本发明亦可借由其他具体实施例加以运用及实施，本说明书所阐述的各项细节亦可基于不同需求而应用，且在不悖离本发明的精神下进行各种不同的修饰或变更。
本发明将以较佳实施例及观点加以叙述，此类叙述是解释本发明的结构，仅用以说明而非用以限制本发明的申请专利范围。因此，除说明书中的较佳实施例之外，本发明亦可广泛实行于其他实施例中。
在本发明中，为说明传输讯息的加解密方法，将以艾丽斯与鲍伯进行传输讯息双方的代称，艾丽斯不限于用户端210或伺服端250，鲍伯亦然；此外，马洛里则为不明用户端103或攻击端107的代称，此类叙述是解释本发明的系统架构，同样仅用以说明而非用以限制本发明的申请专利范围，本领域的熟知技术者，当可轻易由本发明内容、实施例与附图中得到理解。
有鉴于前述现有技术的缺点，本发明提出一种传输讯息的系统，其具体欲达到的效能，请参阅图1，一用户端101可安全地连线至伺服端105，该伺服端105储存有重要档案或讯息，然则，为保护传输讯息的安全，一未获授权的不明用户端103并无法通过网路连线至伺服端105；一欲发起中间人攻击的攻击端107，无法经由拦截用户端101与伺服端105的连线，获得用户端101或伺服端105所传输的讯息内容，甚或直接与伺服端105连线；一攻击端107或一未获授权的不明用户端103无法借由远端连线遥控用户端101当跳板以获取重要档案与讯息。其详细所欲达成上述目的的技术手段请参阅如下说明。
本发明提出一种讯息传输系统100，请参阅图3，其系统架构包含：用户端210，包含第一处理模块213；传输端加密传输端230，耦接用户端210，包含第一资安模块231与转址模块233，以传输用户端加密讯息；其中加密传输端230包含第一资安模块231 ( firstsecure module，或称STUNNEL模块)。在一实施例中，可利用转址模块233 (NetFilter)将用户端210 (STUNNEL Client)所输入的伺服端代码重新指向至伺服端网址。用户端210则依据 SSL/TLS 加密协议与伺服端250建立连线。伺服端105，包含第二处理模块257与第二资安模块253，以传输伺服端加密讯息；其中，该第一资安模块231将上述的用户端讯息，加密为用户端加密讯息，并将伺服端加密讯息解密为伺服端讯息；该第二资安模块253将上述伺服端讯息加密为伺服端加密讯息，并将用户端加密讯息解密为用户端讯息。
根据本发明的内容，伺服端250包含防火墙模块251，以验证用户端加密讯息或用户端讯息是否含有病毒程序或木马程序等恶意讯息。因此，通过本发明的架构，转址模块233过滤进入用户端210的连线，防止 用户端210被其他程序利用。以 SSL/TLS 双向认证建立连线用户端210的一相对的公钥与私钥(Key Pair)，防止数字证书被盗用，并以防火墙模块251保护伺服端250，只允许来自伺服端250 (STUNNEL Server)的连线通过。
根据本发明的内容，上述的第一处理模块213，与第二处理模块257，通常包含处理器、内存、暂存内存、显示设备、网路通讯模块、操作系统及应用程序等等，以通常已知方式相互连接，以执行运算、暂存、显示及数据传输，与提供讯息传输系统100的运作与管理协调等功能，基于以上属通常已知架构，故在此不赘述。
请参阅图4A，根据本发明的内容，其中该转址模块233包含一网址代码数据库233A，以记录伺服端代码所对应的伺服端网址，并将用户端210所输入的伺服端代码导向所对应的伺服端网址。根据本发明的一实施例，网址代码数据库233A与防火墙模块251根据一SSL/TLS协议，用户端210与伺服端250若欲建立连线时，用户端210需通过包含了转址模块233的加密传输端230，始可与伺服端250连线，反之，则防火墙模块251将伺服端250视为一不明用户端103，禁止其连线，以达到本发明中，未获授权的不明用户端103并无法连线至伺服端105的重要目的。
承前述，举一例子作为本发明的一实施例，于本项技艺具有通常知识者可知，本发明不受限于以下，当用户端210欲连线至伺服端250，而使用埠(port，接口)80时，转址模块233可将用户端210所用的埠80转入埠10080，以第一资安模块231将用户端讯息加密为用户端加密讯息后，通过埠10080传输至伺服端250；而当伺服端250欲传输伺服端讯息至用户端210时，则以第二资安模块253将伺服端讯息加密为伺服端加密讯息，并通过埠10080进行传输至转址模块233，而转址模块233再将埠10080转入埠80，以降低攻击端107可能进行中间人攻击的机会。
在本发明一实施例中，用户端210通过加密传输端230与伺服端250连线时，依据SSL/TLS协议，交换用户端讯息与伺服端讯息所需加解密的演算方式、加密传输端230与伺服端250其中之一，或两者的数字证书、加密传输端230与伺服端250其中之一，或两者的公钥，以达到本发明中，未获授权的不明用户端103，以及攻击端107可能进行中间人攻击的目的。
根据本发明的内容，该第一资安模块231与第二资安模块253加解密的算法可为对称式算法、非对称式算法，或是对称式与非对称式算法的混用。请参阅图2B，根据本发明一实施例，其非对称式算法与对称式算法最大的不同，则在于用做加密与解密的密钥是不同的，非对称式算法的密钥分为两个，一为公钥(Public Key)，一为私钥(Private Key)，其做法为：当艾丽斯欲与鲍伯进行通讯时，艾丽斯将其所持有的公钥传送予鲍伯；当鲍伯接收到艾丽斯给予的公钥时，则将要传输的讯息内容以公钥进行加密并传送予艾丽斯；艾丽斯在使用私钥将上述以公钥加密的讯息进行解密。在本发明另一实施例中，则可为对称式与非对称式算法的混用，以节省讯息传输系统200的资源，加快其作用的速度。
承上述，非对称加密算法的特点在于，艾丽斯的公钥只能用以加密讯息，而无法用以解密讯息，若要解密，则必须使用艾丽斯的私钥始可完成。如此作法的好处为，当鲍伯的讯息在传送给艾丽斯的过程中，即便为中间人马洛里所拦截，由于马洛里未持有艾丽斯的私钥(私钥仅艾丽斯持有)，故而马洛里无法解密鲍伯的讯息，达到通讯安全的目的。
根据本发明的实施例，上述非对称算法的演算方式可为：RSA、EIGamal、迪飞-哈尔曼密钥交换协议、椭圆曲线加密算法。上述用作非对称算法的演算方式仅为举例但不限于其上，当可依照应用的需求做出调整。根据本发明的较佳实施例，可为RSA进行加解密演算，其计算的方式如下：
1. 随意取两个质数p、q，其中p不等于q，且p和q互质；
2. 计算p与q的乘积N：N = pq；
3. 依据尤拉函数，求出 φ(N) = (p-1)(q-1)；
4. 随意选择一数字e，其中1 < e < φ(N)，且e与φ(N)互质；
5. 对e进行模指数运算：d = e-1 mod [φ(N)]；
6. 自此，将(N,e)设为公钥，将(N,d)设为私钥，则以下两式进行加解密：
加密：c = me mod N；解密：m = cdmod N，其中c为密文，m为明文。
因此根据上述方法，若取p = 3；q = 11；e = 3，则下表即为一加解密的例子。
明文(加密前) 1 2 3 4 5 6 7 8
密文(加密后) 1 8 27 31 26 18 13 17
明文(解密后) 1 2 3 4 5 6 7 8
请参阅图4B，根据本发明的内容，其中该第一资安模块231包含一第一身份验证单元231A，通过验证伺服端250的数字证书，以验证伺服端250的身份，或用户端210是否为一被合法授权的用户。于本发明的一观点中，一攻击端107或一不明用户端103可能先以一远端连线的方式操控用户端210做为跳板，来与伺服端250建立连线，以达到对伺服端250进行档案与讯息的窃取或破坏的目的。因此，于本发明一实施例中，第一资安模块231通过监控用户端210的埠中，是否含有对键盘、鼠标、声控、手势操控或其它可改变用户端210对伺服端250连线状态的恶意程序，以避免用户端210成为不明用户端103或攻击端107，窃取档案与讯息或进行破坏的跳板，例如，一离职的员工，利用远端连线的功能，窃取其原工作单位的机密数据等等。
根据本发明的另一实施例，该第一身分验证单元231A可由第一处理模块213输入密码、秘密图形、声纹、指纹、视网膜影像，或以上的组合等方式，以验证用户端210是否为一经过授权的用户，以避免一身份不明的用户，但使用了一被授权的用户端210操作讯息传输系统200。
根据本发明的内容，请参阅图4C，其中第二资安模块253包含一第二身份验证单元253A，通过验证用户端210的数字证书，以验证用户端210与伺服端250的连线是否经过授权，以及该用户端210的身份。
根据本发明的最佳实施例，上述用户端210与伺服端250数字证书可为依照SSL/TLS协议所产生。在一实施例中，为非对称加密算法，其做法为：艾丽斯与鲍伯均持有本身的公钥与私钥，当其中一方，例如，艾丽斯欲验证鲍伯的身份时，鲍伯首先将一段讯息(如：我是鲍伯)以鲍伯的私钥实行加密后，再度以艾丽斯的公钥实施加密，传输予艾丽斯；艾丽斯在收到鲍伯传输的讯息时，则首先以艾丽斯的私钥进行解密后，再度以鲍伯的公钥将上述讯息(我是鲍伯)实行解密。由于鲍伯的公钥为公开的，因此当鲍伯以其私钥加密讯息时，通过以公钥解密的过程(鲍伯私钥所加密的讯息，仅鲍伯公钥可解)，即可对所传输讯息的对象进行验证；此外，以艾丽斯公钥加密的目的，则使上述验证身份的动作一定得由艾丽斯持有私钥解密后始得以进行，因此可保证双方所传输的讯息不会为第三者马洛里所窃取或破坏。
根据本发明的内容，用户端210包含第一储存模块211，耦接第一处理模块213，以储存伺服端讯息与用户端讯息；伺服端250包含第二储存模块255，耦接第二处理模块257，以储存伺服端讯息与用户端讯息。在本发明一实施例中，上述第一储存模块211与第二储存模块255可为硬盘、软盘、可重复读写光盘、磁带、随身碟，或记忆卡等计算器可读式储存媒体。
为了达到用户端210与伺服端250讯息传输安全的目的，请参阅图5与图6，本发明提出一种讯息传输方法300，其方法流程包含：于流程S3中，用户端210输入一伺服端代码，转址模块233根据该伺服端代码将用户端210导向伺服端网址；流程S4中，伺服端250中的第二资安模块253验证用户端的身份；流程S5，加密传输端230中的第一资安模块231验证伺服端250的身份；于流程S7中，用户端210通过第一处理模块213传输一用户端讯息，并于流程S8，第一资安模块231将上述用户端讯息加密为用户端加密讯息；流程S10，第二资安模块253将该用户端加密讯息解密回用户端讯息。
根据本发明内容，于流程S5中，若通过验证，则用户端210与伺服端250互相完成身份认证，建立连线；若不通过验证，则执行流程S2，结束讯息传输方法300。
根据本发明一实施例，伺服端250与用户端210验证身份的方式为根据SSL/TLS协议中，非对称加密算法所产生的数字证书，以避免用户端讯息与伺服端讯息在传输的过程中，为一攻击端107或不明用户端103所盗窃或破坏，或是通过远端连线的方式操控用户端210做为跳板，来与伺服端250建立一合法的连线，以达到对伺服端250与用户端210的讯息传输保护的目的。
为达上述讯息传输安全目的，本发明方法包含流程S1，用户端210通过第一资安模块231验证用户的身份，若通过验证，则执行流程S3，若不通过验证，则于流程S2中结束讯息传输方法300。根据本发明的一实施例，该第一第一资安模块231可通过由第一处理模块213输入密码、秘密图形、声纹、指纹、视网膜影像，或以上的组合等方式，以验证用户端210是否为一经过授权的用户所操作，以避免一身份不明的用户，但使用了一被授权的用户端210操作讯息传输系统200。
为达上述讯息传输安全目的，本发明方法包含流程S9，防火墙模块251检测上述用户端加密讯息是否含有病毒程序或木马程序等恶意讯息，若不含有恶意讯息，则于流程S10中第二资安模块253解密该用户端加密讯息，并于流程S11，将用户端讯息储存于第二储存模块255中；若含有恶意讯息，则执行流程S2结束讯息传输方法300。
请参阅图7，根据本发明内容，为达上述讯息传输安全目的，本发明方法包含流程S12，伺服端250将一伺服端讯息通过第二资安模块253加密为一伺服端加密讯息；并于流程S13中，伺服端250通过第二处理模块257传输一伺服端加密讯息。
根据本发明内容，本发明方法更包含流程S14，加密传输端230中所含的第一资安模块231解密上述伺服端加密讯息，并于流程S15中，第一处理模块213接收伺服端讯息后，将该伺服端讯息储存于第一储存模块211。
为达上述讯息传输安全目的，本发明方法包含下列流程：若前述流程中的用户、用户端、伺服端的验证未通过，或用户端加密讯息含有病毒程序或木马程序等恶意讯息，则结束方法。

Claims (13)

1.一种讯息传输系统，其特征在于，包含： 一用户端； 一加密传输端，耦接该用户端，包含一第一资安模块，一转址模块，将伺服端代码导向至伺服端网址；以及， 一伺服端，包含一第二资安模块； 其中，该第一资安模块将一用户端讯息，加密为一用户端加密讯息并传输，及将一伺服端加密讯息解密为一伺服端讯息； 该第二资安模块将该伺服端讯息加密为该伺服端加密讯息并传输，以及，将该用户端加密讯息解密为该用户端讯息。
2.如权利要求1所述的讯息传输系统，其特征在于，该加密传输端包含网址代码数据库，以记录伺服端代码所对应的伺服端网址。
3.如权利要求2所述的讯息传输系统，其特征在于，该转址模块依据SSL/TLS协议所产生的至少一数字证书，进行该伺服端代码的导向。
4.如权利要求1所述的讯息传输系统，其特征在于，该伺服端还包含一防火墙模块，以验证该用户端加密讯息或该用户端讯息是否含有病毒程序或木马程序。
5.如权利要求1所述的讯息传输系统，其特征在于，该第一资安模块与该第二资安模块加解密的算法为对称式算法或非对称式算法，或是对称式与非对称式算法的混用。
6.如权利要求1所述的讯息传输系统，其特征在于，该第一资安模块还包含一第一身份验证单元，通过验证该伺服端的至少一数字证书，以验证该伺服端的身份，或该用户端是否为合法授权的用户。
7.如权利要求1所述的讯息传输系统，其特征在于，该第二资安模块还包含一第二身份验证单元，通过验证该用户端的至少一数字证书，以验证该用户端与该伺服端的连线是否经过授权，以及该用户端的身份。
8.一种讯息传输方法，其特征在于，包含以下流程： 一用户端输入一伺服端代码，一加密传输端根据该伺服端代码将该用户端导向至相对应的一伺服端网址； 该伺服端中的一第二资安模块验证该用户端的身份； 该加密传输端中的一第一资安模块验证该伺服端的身份； 该第一资安模块将一用户端讯息，加密为一用户端加密讯息并予以传输；以及 该第二资安模块将该用户端加密讯息解密回该用户端讯息。
9.如权利要求8所述的讯息传输方法，其特征在于，该加密传输端包含网址代码数据库。
10.如权利要求8所述的讯息传输方法，其特征在于，还包含，该第一资安模块与该第二资安模块，依据SSL/TLS协议所产生的至少一数字证书，以验证该用户端与该伺服端的身份。
11.如权利要求8所述的讯息传输方法，其特征在于，还包含，一防火墙模块检测该用户端加密讯息是否含有病毒程序或木马程序。
12.如权利要求8所述的讯息传输方法，其特征在于，还包含，该伺服端将一伺服端讯息通过该第二资安模块，加密为一伺服端加密讯息，并予以传输。
13.如权利要求12所述的讯息传输方法，其特征在于，还包含，该第一资安模块解密该伺服端加密讯息。
CN201810565153.9A 2018-06-04 2018-06-04 讯息传输的系统与方法 Active CN110557360B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810565153.9A CN110557360B (zh) 2018-06-04 2018-06-04 讯息传输的系统与方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810565153.9A CN110557360B (zh) 2018-06-04 2018-06-04 讯息传输的系统与方法

Publications (2)

Publication Number Publication Date
CN110557360A true CN110557360A (zh) 2019-12-10
CN110557360B CN110557360B (zh) 2023-09-15

Family

ID=68736081

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810565153.9A Active CN110557360B (zh) 2018-06-04 2018-06-04 讯息传输的系统与方法

Country Status (1)

Country Link
CN (1) CN110557360B (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW536894B (en) * 2001-08-24 2003-06-11 Wistron Corp Packing system and method of network information
TW200529623A (en) * 2004-01-14 2005-09-01 Nec Corp Communication encryption method, communication encryption system, terminal device, DNS server and program
CN1707997A (zh) * 2004-06-11 2005-12-14 宏碁股份有限公司 应用https通讯协议的客户服务架构及其方法
US20090323718A1 (en) * 2008-05-02 2009-12-31 General Electric Company System and method to secure communications over a public network
US20130227291A1 (en) * 2012-02-26 2013-08-29 Ali K. Ahmed Methods and apparatuses for secure communication
CN103595703A (zh) * 2013-03-08 2014-02-19 重庆城市管理职业学院 一种基于OpenSSL的Linux安全文件传输系统及方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW536894B (en) * 2001-08-24 2003-06-11 Wistron Corp Packing system and method of network information
TW200529623A (en) * 2004-01-14 2005-09-01 Nec Corp Communication encryption method, communication encryption system, terminal device, DNS server and program
CN1707997A (zh) * 2004-06-11 2005-12-14 宏碁股份有限公司 应用https通讯协议的客户服务架构及其方法
US20090323718A1 (en) * 2008-05-02 2009-12-31 General Electric Company System and method to secure communications over a public network
US20130227291A1 (en) * 2012-02-26 2013-08-29 Ali K. Ahmed Methods and apparatuses for secure communication
CN103595703A (zh) * 2013-03-08 2014-02-19 重庆城市管理职业学院 一种基于OpenSSL的Linux安全文件传输系统及方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
P.PANDIARAJA: "Applying secure authentication scheme to protect DNS from rebinding attack using proxy", 《2015 INTERNATIONAL CONFERENCE ON CIRCUITS, POWER AND COMPUTING TECHNOLOGIES [ICCPCT-2015]》 *
徐亚凤;: "加密技术在通讯安全中的应用研究", 中国新技术新产品, no. 11 *

Also Published As

Publication number Publication date
CN110557360B (zh) 2023-09-15

Similar Documents

Publication Publication Date Title
TWI748853B (zh) 用於基於區塊鏈的系統結合錢包管理系統中的安全多方防遺失儲存及加密金鑰轉移
KR100811419B1 (ko) 공개키 암호화를 이용하는 인증 프로토콜에서의서비스거부공격에 대한 방어 방법
KR100769482B1 (ko) 다중 서버를 사용하는 원격 패스워드 인증을 위한 시스템, 방법 및 소프트웨어
US10693638B1 (en) Protected cryptographic environment
US20030196084A1 (en) System and method for secure wireless communications using PKI
US20120284506A1 (en) Methods and apparatus for preventing crimeware attacks
US11438316B2 (en) Sharing encrypted items with participants verification
CN108768613A (zh) 一种基于多种加密算法的密文口令校验方法
WO2023151427A1 (zh) 量子密钥传输方法、装置及系统
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
Gaharana et al. Dynamic id based remote user authentication in multi server environment using smart cards: a review
Wang Analysis and enhancement of a password authentication and update scheme based on elliptic curve cryptography
CN110519222B (zh) 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统
Zhu A provable privacy-protection system for multi-server environment
Sun et al. Password-based authentication and key distribution protocols with perfect forward secrecy
CN113472731B (zh) 一种针对数据库用户身份验证的双因素认证方法
JP2017518719A (ja) ３層セキュリティおよび算出アーキテクチャ
Aboud Secure password authentication system using smart card
WO2008004174A2 (en) Establishing a secure authenticated channel
WO2012166669A2 (en) Methods and apparatus for preventing crimeware attacks
CN110557360B (zh) 讯息传输的系统与方法
Iyappan et al. Pluggable encryption algorithm in secure shell (SSH) protocol
EP4412145A1 (en) Cyber security method and system based on multi-party and multi-factor dynamic strong encryption authentication
CN112751858B (zh) 数据加密通信终端方法、装置、终端、服务器及存储介质
Lin et al. An improved lightweight pseudonym identity based authentication scheme on multi-server environment

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant