CN110602054A - 基于代理的特权凭证认证保护方法及装置 - Google Patents

Abstract

本发明公开了一种基于代理的特权凭证认证保护方法，包括如下步骤：发起远程会话连接请求；在特权WEB门户上点击连接；调用特权会话管理器；特权会话管理器根据相应账号信息从密码保险库中调取密码；密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token；进行初始化；判断是否需要输入目标资源账号的凭证认证密码token，如是，手工输入；否则，密码自动代填；判断是否校验通过，如是，校验通过后，返回数据，成功登录目标系统；否则，返回错误信息。本发明还涉及一种实现上述基于代理的特权凭证认证保护方法的装置。本发明使得特权账号认证凭证安全，能更好地去保护、控制和监视对特权账号的访问。

Description

基于代理的特权凭证认证保护方法及装置

技术领域

本发明涉及特权账号安全管理领域，特别涉及一种基于代理的特权凭证认证保护方法及装置。

背景技术

目前IT安全领域发展日新月异，不断变化。信息化安全防护手段越来越多，也越来越高级。但数据信息的最后一道防线，特权账号密码始终得不到有效保护与管理，攻击者依然能够通过合法的技术途径，进入企业内部网络，窃取有价值的数据。他们所用到的技巧，就是获知了被泄露的特权账号密码。这些高权限的账号，除了员工的个人账号之外，也包括企业或组织整个IT基础架构的底层系统账号以及应用内嵌账号。这些特权账号往往被人们所忽略，从而不受监控，最终成为了大多数攻击的突破口。但管理者也是无可奈何，因为没有很好的自动化、可扩展、高可靠技术平台，能让他们从万级数量的账号管理工作中解放出来。导致总有高权限的账号密码被泄露，最终发生数据泄露事件。

对特权账号的保护关键是对特权凭证的保护，传统特权凭证的保护的流程图如图1所示。图1中，在步骤A中，运维人员发起远程会话连接执行步骤B；在步骤B中，会话会去存储密码数据库请求密码和相关属性后返回；在步骤C中，客户端收到密码后会把它保存起来，比如放在Cookie里或者Local Storage里；在步骤D中，将返回的属性和密码做校验，校验通过后，返回数据，登录成功，不通过则会返回错误信息。

在传统方式中，即使在特权账号凭证上做了诸多的保护，如凭证加密、密码复杂度等措施，但它的认证token(令牌)会保存在本地，这会给特权账号的安全带来隐患，所以我们需要一种方法及装置，加强特权凭证的保护。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种使得特权账号认证凭证安全，能更好地去保护、控制和监视对特权账号的访问的基于代理的特权凭证认证保护方法及装置。

本发明解决其技术问题所采用的技术方案是：构造一种基于代理的特权凭证认证保护方法，包括如下步骤：

A)运维人员发起远程会话连接请求；

B)在特权WEB门户上找到相应账号点击连接；

C)调用特权会话管理器，执行步骤D)、步骤F)或步骤L)；

D)所述特权会话管理器根据相应账号信息从密码保险库中调取密码，执行步骤E)；

E)所述密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token，执行步骤F)；

F)进行初始化，执行步骤G)；

G)判断是否需要输入目标资源账号的凭证认证密码token，如是，执行步骤H)；否则，执行步骤I)；

H)手工输入目标资源账号的凭证认证密码token，执行步骤J)；

I)自动代填目标资源账号的凭证认证密码token，执行步骤J)；

J)判断是否校验通过，如是，执行步骤M)；否则，执行步骤K)；

K)返回错误信息；

L)所述特权会话管理器对用户的行为进行监控和审计，执行步骤M)；

M)校验通过后，返回数据，成功登录目标系统。

在本发明所述的基于代理的特权凭证认证保护方法中，所述步骤J)中的校验具体为：请求程序带着凭证认证密码token进行验证。

在本发明所述的基于代理的特权凭证认证保护方法中，用户通过登录到远程计算机或通过代理计算机打开所述目标系统。

本发明还涉及一种实现上述基于代理的特权凭证认证保护方法的装置，包括：

会话连接请求单元：用于使运维人员发起远程会话连接请求；

账号查找连接单元：用于在特权WEB门户上找到相应账号点击连接；

特权会话调用单元：用于调用特权会话管理器；

密码调取单元：用于使所述特权会话管理器根据相应账号信息从密码保险库中调取密码；

密码返回单元：用于使所述密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token；

初始化单元：用于进行初始化；

密码输入判断单元：用于判断是否需要输入目标资源账号的凭证认证密码token；

手工输入密码单元：用于手工输入目标资源账号的凭证认证密码token；

密码代填单元：用于自动代填目标资源账号的凭证认证密码token；

校验判断单元：用于判断是否校验通过；

错误信息返回单元：用于返回错误信息；

监控审计单元：用于使所述特权会话管理器对用户的行为进行监控和审计；

成功登录单元：用于校验通过后，返回数据，成功登录目标系统。

在本发明所述的装置中，所述校验判断单元中的校验具体为：请求程序带着凭证认证密码token进行验证。

在本发明所述的装置中，用户通过登录到远程计算机或通过代理计算机打开所述目标系统。

实施本发明的基于代理的特权凭证认证保护方法及装置，具有以下有益效果：对比传统的token认证，本发明采用特权会话管理模块的管理方式，使用户能够登录到远程(目标)计算机或通过代理计算机安全地打开应用程序；目标系统上已建立的会话是完全隔离的，特权帐户凭据永远不会公开给最终用户或他们的客户机应用程序和设备，使得特权账号认证凭证安全，并为登录的资源的所有IT管理员特权会话创建详细的会话审计和视频记录，从而更好地去保护、控制和监视对特权账号的访问；因此本发明使得特权账号认证凭证安全，能更好地去保护、控制和监视对特权账号的访问。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为传统特权凭证的保护的流程图；

图2为本发明基于代理的特权凭证认证保护方法及装置一个实施例中方法的流程图；

图3为所述实施例中装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明基于代理的特权凭证认证保护方法及装置实施例中，其基于代理的特权凭证认证保护方法的流程图如图1所示。图1中，该基于代理的特权凭证认证保护方法包括如下步骤：

步骤S01运维人员发起远程会话连接请求：本步骤中，运维人员发起远程会话连接请求。

步骤S02在特权WEB门户上找到相应账号点击连接：本步骤中，在特权WEB门户上找到相应账号点击连接。

步骤S03调用特权会话管理器：本步骤中，调用特权会话管理器。执行完本步骤，执行步骤S04、步骤S06或步骤S12。

步骤S04特权会话管理器根据相应账号信息从密码保险库中调取密码：本步骤中，特权会话管理器根据相应账号信息从密码保险库中调取密码。执行完本步骤，执行步骤S05。

步骤S05密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token：本步骤中，密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token。凭证认证密码token具有安全性、时效性，并返回请求。执行完本步骤，执行步骤S06。

步骤S06进行初始化：本步骤中，进行init初始化。执行完本步骤，执行步骤S07。

步骤S07判断是否需要输入目标资源账号的凭证认证密码token：本步骤中，判断是否需要输入目标资源账号的凭证认证密码token，如果判断的结果为是，则执行步骤S08；否则，执行步骤S09。

步骤S08手工输入目标资源账号的凭证认证密码token：如果上述步骤S07的判断结果为是，则执行本步骤。本步骤中，通过人工手工输入目标资源账号的凭证认证密码token。执行完本步骤，执行步骤S10。

步骤S09自动代填目标资源账号的凭证认证密码token：如果上述步骤S07的判断结果为否，则执行本步骤。本步骤中，凭证认证密码token不会落在前端，并且实现自动代填目标资源账号的凭证认证密码token。执行完本步骤，执行步骤S10。

步骤S10判断是否校验通过：本步骤中，请求程序带着凭证认证密码token进行验证，换言之，请求程序带着凭证认证密码token进行校验，并判断是否校验通过，如果判断的结果为是，则执行步骤S13；否则，执行步骤S11。

步骤S11返回错误信息：如果上述步骤S10的判断结果为否，则执行本步骤。本步骤中，返回错误信息。

步骤S12特权会话管理器对用户的行为进行监控和审计：本步骤中，特权会话管理器对用户的行为进行监控和审计。执行完本步骤，执行步骤S13。

步骤S13校验通过后，返回数据，成功登录目标系统：本步骤中，校验通过后，返回数据，成功登录目标系统。用户可通过登录到远程计算机或通过代理计算机打开目标系统。

对比传统的token认证，本发明的基于代理的特权凭证认证保护方法采用了特权会话管理模块的管理方式，使用户能够登录到远程(目标)计算机或通过代理计算机安全地打开应用程序。目标系统上已建立的会话是完全隔离的，特权帐户凭据永远不会公开给最终用户或他们的客户机应用程序和设备，使得特权账号认证凭证安全，并为登录的资源的所有IT管理员特权会话创建详细的会话审计和视频记录，从而更好地去保护、控制和监视对特权账号的访问。

本发明还涉及一种实现上述基于代理的特权凭证认证保护方法的装置，该装置的结构示意图如图3所示。图3中，该装置包括会话连接请求单元1、账号查找连接单元2、特权会话调用单元3、密码调取单元4、密码返回单元5、初始化单元6、密码输入判断单元7、手工输入密码单元8、密码代填单元9、校验判断单元10、错误信息返回单元11、监控审计单元12和成功登录单元13。

其中，会话连接请求单元1用于使运维人员发起远程会话连接请求；账号查找连接单元2用于在特权WEB门户上找到相应账号点击连接；特权会话调用单元3用于调用特权会话管理器；密码调取单元4用于使特权会话管理器根据相应账号信息从密码保险库中调取密码；密码返回单元5用于使密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token。

初始化单元6用于进行初始化；密码输入判断单元7用于判断是否需要输入目标资源账号的凭证认证密码token；手工输入密码单元8用于手工输入目标资源账号的凭证认证密码token；密码代填单元9用于自动代填目标资源账号的凭证认证密码token。

校验判断单元10用于判断是否校验通过；校验判断单元10中的校验具体为：请求程序带着凭证认证密码token进行验证。

错误信息返回单元11用于返回错误信息；监控审计单元12用于使特权会话管理器对用户的行为进行监控和审计。成功登录单元13用于校验通过后，返回数据，成功登录目标系统。用户通过登录到远程计算机或通过代理计算机打开目标系统。

对比传统的token认证，本发明的装置采用了特权会话管理模块的管理方式，使用户能够登录到远程(目标)计算机或通过代理计算机安全地打开应用程序。目标系统上已建立的会话是完全隔离的，特权帐户凭据永远不会公开给最终用户或他们的客户机应用程序和设备，使得特权账号认证凭证安全，并为登录的资源的所有IT管理员特权会话创建详细的会话审计和视频记录，从而更好地去保护、控制和监视对特权账号的访问。

总之，本发明通过特权账号管理器，使用户能够登录到远程目标计算机或通过代理计算机安全地打开应用程序。目标系统上已建立的会话是完全隔离的，特权帐户凭据永远不会公开给最终用户或他们的客户机应用程序和设备。因此本发明使得特权账号认证凭证安全，能更好地去保护、控制和监视对特权账号的访问。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于代理的特权凭证认证保护方法，其特征在于，包括如下步骤：

A)运维人员发起远程会话连接请求；

B)在特权WEB门户上找到相应账号点击连接；

C)调用特权会话管理器，执行步骤D)、步骤F)或步骤L)；

D)所述特权会话管理器根据相应账号信息从密码保险库中调取密码，执行步骤E)；

E)所述密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token，执行步骤F)；

F)进行初始化，执行步骤G)；

G)判断是否需要输入目标资源账号的凭证认证密码token，如是，执行步骤H)；否则，执行步骤I)；

H)手工输入目标资源账号的凭证认证密码token，执行步骤J)；

I)自动代填目标资源账号的凭证认证密码token，执行步骤J)；

J)判断是否校验通过，如是，执行步骤M)；否则，执行步骤K)；

K)返回错误信息；

L)所述特权会话管理器对用户的行为进行监控和审计，执行步骤M)；

M)校验通过后，返回数据，成功登录目标系统。

2.根据权利要求1所述的基于代理的特权凭证认证保护方法，其特征在于，所述步骤J)中的校验具体为：请求程序带着凭证认证密码token进行验证。

3.根据权利要求1或2所述的基于代理的特权凭证认证保护方法，其特征在于，用户通过登录到远程计算机或通过代理计算机打开所述目标系统。

4.一种实现如权利要求1所述的基于代理的特权凭证认证保护方法的装置，其特征在于，包括：

会话连接请求单元：用于使运维人员发起远程会话连接请求；

账号查找连接单元：用于在特权WEB门户上找到相应账号点击连接；

特权会话调用单元：用于调用特权会话管理器；

密码调取单元：用于使所述特权会话管理器根据相应账号信息从密码保险库中调取密码；

密码返回单元：用于使所述密码保险库根据远程会话连接请求的信息返回相应的凭证认证密码token；

初始化单元：用于进行初始化；

密码输入判断单元：用于判断是否需要输入目标资源账号的凭证认证密码token；

手工输入密码单元：用于手工输入目标资源账号的凭证认证密码token；

密码代填单元：用于自动代填目标资源账号的凭证认证密码token；

校验判断单元：用于判断是否校验通过；

错误信息返回单元：用于返回错误信息；

监控审计单元：用于使所述特权会话管理器对用户的行为进行监控和审计；

成功登录单元：用于校验通过后，返回数据，成功登录目标系统。

5.根据权利要求4所述的装置，其特征在于，所述校验判断单元中的校验具体为：请求程序带着凭证认证密码token进行验证。

6.根据权利要求4或5所述的装置，其特征在于，用户通过登录到远程计算机或通过代理计算机打开所述目标系统。