CN110830431A - SQL Server数据库密码托管方法 - Google Patents

SQL Server数据库密码托管方法 Download PDF

Info

Publication number
CN110830431A
CN110830431A CN201910679523.6A CN201910679523A CN110830431A CN 110830431 A CN110830431 A CN 110830431A CN 201910679523 A CN201910679523 A CN 201910679523A CN 110830431 A CN110830431 A CN 110830431A
Authority
CN
China
Prior art keywords
password
server
medical system
system terminal
database
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910679523.6A
Other languages
English (en)
Inventor
丁锦成
闻建霞
柳遵梁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou Meichuang Science & Technology Co Ltd
Original Assignee
Hangzhou Meichuang Science & Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou Meichuang Science & Technology Co Ltd filed Critical Hangzhou Meichuang Science & Technology Co Ltd
Priority to CN201910679523.6A priority Critical patent/CN110830431A/zh
Publication of CN110830431A publication Critical patent/CN110830431A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Abstract

本发明公开了一种SQL Server数据库密码托管方法，本发明使数据库用户名、密码与医疗系统终端用户名、密码隔离，且医疗系统终端密码与IP地址和应用程序名绑定，即使黑客利用社工方式得到医疗系统终端密码也无法远程连接到数据库；可以通过增加数据库密码的复杂度，防止黑客的弱密码破解，不需要更改医疗系统终端的登录密码；处理逻辑只运行在登录过程，在SQL执行过程时将数据包纯转发，不会降低数据处理性能。

Description

SQL Server数据库密码托管方法
技术领域
本发明涉及数据库安全领域，尤其是涉及一种SQL Server数据库密码托管方法。
背景技术
随着信息技术的快速发展，国内越来越多的医院正加速实施基于信息化平台、医疗系统终端HIS的整体建设，以提高医院的服务水平与核心竞争力。在信息化建设给医疗系统带来便利的同时，人为或者由于数据库漏洞会导致的数据库密码泄露。
一旦数据库密码泄露，黑客通过特殊手段远程连接数据库，绕过原有应用的限制，直接导出医疗数据，导致医疗数据流失。目前，SQL Server作为HIS系统主流数据库，如何保证SQL Server的数据库密码不被泄露是急需解决的问题。
发明内容
本发明的发明目的是为了克服现有技术中的SQL Server数据库密码容易泄露的不足，提供了一种安全的、可用性无影响的SQL Server数据库密码托管方法。
为了实现上述目的，本发明采用以下技术方案：
一种SQL Server数据库密码托管方法，包含医疗系统终端，以下步骤：
步骤一、医疗系统终端将医疗系统终端的握手请求CLIENT_HELLO1发送给密码托管服务器，密码托管服务器生成密码托管服务器的握手请求CLIENT_HELLO2发送给数据库服务器，密码托管服务器记住CLIENT_HELLO1；
步骤二、数据库服务器生成密码托管服务器的握手请求的回复SERVER_HELLO1给密码托管服务器，密码托管服务器解析SERVER_HELLO1并生成密码托管服务器的秘钥交换请求CLIENT_KEY_CHANGE1发送给数据库服务器；
步骤三、数据库服务器根据CLIENT_KEY_CHANGE1生成数据库服务器的秘钥交换请求的回复NEW_SESSION_TICKET1给密码托管服务器，完成密码托管服务器到数据库服务器的TLS握手过程；
步骤四、密钥托管服务器根据医疗系统终端的CLIENT_HELLO1生成医疗系统终端的握手请求的回复SERVER_HELLO2并发送给医疗系统终端；
步骤五、医疗系统终端根据SERVER_HELLO2生成医疗系统终端的秘钥交换请求CLIENT_KEY_CHANGE2给密码托管服务器，密码托管服务器生成密码托管服务器的秘钥交换请求的回复NEW_SESSION_TICKET2给医疗系统终端，完成医疗系统终端到密码托管服务器的TLS握手过程；
步骤六、医疗系统终端发送医疗系统终端的登录请求LOGIN71并通过TLS加密发送给密码托管服务器；密码托管服务器通过TLS解密LOGIN71，得到当前请求的用户名，密码和应用程序名，并根据医疗系统终端的用户名，应用程序名和IP地址检索出医疗系统终端对应的密码。
本发明使数据库用户名、密码与医疗系统终端用户名、密码隔离，医疗系统终端密码与IP地址、应用程序名绑定，即使黑客利用社工方式得到医疗系统终端密码，也无法远程连接到数据库；通过增加数据库密码的复杂度，防止黑客的弱密码破解，而不需要更改医疗系统终端的登录密码；处理逻辑只运行在登录过程，在SQL执行过程时，将数据包纯转发，不会降低数据处理性能。
作为优选，如果医疗系统终端发送的密码与预设的密码不同，则生成错误包，拒绝当前登录请求。
作为优选，如果医疗系统终端发送的密码与预设的密码相同，则检索对应的数据库用户和密码，重新生成新的登录请求LOGIN72，对LOGIN72加密并发送给数据库服务器，完成密码托管过程。
因此，本发明具有如下有益效果：使数据库用户名、密码与医疗系统终端用户名、密码隔离，医疗系统终端密码与IP地址、应用程序名绑定，即使黑客利用社工方式得到医疗系统终端密码，也无法远程连接到数据库；通过增加数据库密码的复杂度，防止黑客的弱密码破解，不需要更改医疗系统终端的登录密码；处理逻辑只运行在登录过程，在SQL执行过程时将数据包纯转发，不会降低数据处理性能。
附图说明
图1是本发明的一种部署原理图；
图2是现有技术的医疗系统终端登录时的一种时序图；
图3是本发明的一种处理过程时序图。
图中：医疗系统终端1、密码托管服务器2、数据库服务器3。
具体实施方式
下面结合附图和具体实施方式对本发明做进一步的描述。
如图1、图3所示的实施例是一种SQL Server数据库密码托管方法，首先医疗系统终端1在访问SQL Server数据库服务器时，使用账户名‘sa’和密码‘test’进行登录。但在实际上数据库服务器3中的‘sa’的登录密码并不是‘test’，而是‘hello’。
本发明在中间通过代理的方式捕获登录请求，根据登录包中解析出来的登录用户名、IP地址、应用程序名以及医疗系统终端发送过来的密码对已有登录信息进行验证。
如果登录不合法则直接生成登录拒绝包发送给医疗系统终端，关闭当前连接；如果当前登录请求通过验证，则根据已有的登录信息和数据库真实用户名和密码生成登录请求包发送给数据库服务器，完成整个身份认证过程。
且本发明的SQL Server密码在传输过程中是使用TLS加密传输的，并未将明文密码暴露在网络传输中，保证传输的安全性。
基于上述原理，本发明采用代理方式或者透明代理方式部署于终端和数据库服务器之间。通过密码托管服务器2配置终端密码和数据库服务器密码。即使数据库密码被管理人员变更，只需在密码托管服务器中重新配置当前数据库密码，就可以使整批HIS终端正常登录数据库服务器。这样操作即减少了运维人员维护HIS终端登录密码的成本，又使得终端密码与服务器密码分离，提高了数据库的安全性。
如图2所示，现有技术中的医疗系统终端登录SQL Server数据库服务器的过程：
1.医疗系统终端调用Openssl库生成CLIENT_HELLO的握手请求，并将请求封装成TDS协议的PRELOGIN包发送给数据库服务器。
2.医疗系统终端接受服务器端发送的PRELOGIN包，解开PRELOGIN包，将SERVER_HELLO投送到Openssl库，然后生成CLIENT_KEY_CHANGE的握手请求，将其封装成TDS协议的PRELOGIN包发送给数据库服务器。
3.医疗系统终端接受服务端的PRELOGIN包，将其中的NEW_SESSION_TICKET投送到Openssl库中，完成整个TLS的握手过程。
4.医疗系统终端产生包含数据库用户名，数据库密码，应用程序名的LOGIN7请求，并通过上一阶段握手完成的TLS Session加密LOGIN7请求发送给数据库。
5.数据库验证当前密码，完成登录过程。
本发明不同于上述登录过程，本发明的核心在于在密码传输工程中，通过医疗系统终端的登录身份信息替换成对应的数据库真实用户名和密码，保证数据库密码只在密码托管服务中不会外泄。
应理解，本实施例仅用于说明本发明而不用于限制本发明的范围。此外应理解，在阅读了本发明讲授的内容之后，本领域技术人员可以对本发明作各种改动或修改，这些等价形式同样落于本申请所附权利要求书所限定的范围。

Claims (3)

1.一种SQL Server数据库密码托管方法，其特征是，包含医疗系统终端，以下步骤：
步骤一、医疗系统终端将医疗系统终端的握手请求CLIENT_HELL01发送给密码托管服务器，密码托管服务器生成密码托管服务器的握手请求CLIENT_HELL02发送给数据库服务器，密码托管服务器记住CLIENT_HELL01；
步骤二、数据库服务器生成密码托管服务器的握手请求的回复SERVER_HELL01给密码托管服务器，密码托管服务器解析SERVER_HELL01并生成密码托管服务器的秘钥交换请求CLIENT_KEY_CHANGE1发送给数据库服务器；
步骤三、数据库服务器根据CLIENT_KEY_CHANGE1生成数据库服务器的秘钥交换请求的回复NEW_SESSION_TICKET1给密码托管服务器，完成密码托管服务器到数据库服务器的TLS握手过程；
步骤四、密钥托管服务器根据医疗系统终端的CLIENT_HELL01生成医疗系统终端的握手请求的回复SERVER_HELL02并发送给医疗系统终端；
步骤五、医疗系统终端根据SERVER_HELL02生成医疗系统终端的秘钥交换请求CLIENT_KEY_CHANGE2给密码托管服务器，密码托管服务器生成密码托管服务器的秘钥交换请求的回复NEW_SESSION_TICKET2给医疗系统终端，完成医疗系统终端到密码托管服务器的TLS握手过程；
步骤六、医疗系统终端发送医疗系统终端的登录请求LOGIN71并通过TLS加密发送给密码托管服务器；密码托管服务器通过TLS解密LOGIN71，得到当前请求的用户名，密码和应用程序名，并根据医疗系统终端的用户名，应用程序名和IP地址检索出医疗系统终端对应的密码。
2.根据权利要求1所述的SQL Server数据库密码托管方法，其特征是，如果医疗系统终端发送的密码与预设的密码不同，则生成错误包，拒绝当前登录请求。
3.根据权利要求1所述的SQL Server数据库密码托管方法，其特征是，如果医疗系统终端发送的密码与预设的密码相同，则检索对应的数据库用户和密码，重新生成新的登录请求LOGIN72，对LOGIN72加密并发送给数据库服务器，完成密码托管过程。
CN201910679523.6A 2019-07-25 2019-07-25 SQL Server数据库密码托管方法 Pending CN110830431A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910679523.6A CN110830431A (zh) 2019-07-25 2019-07-25 SQL Server数据库密码托管方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910679523.6A CN110830431A (zh) 2019-07-25 2019-07-25 SQL Server数据库密码托管方法

Publications (1)

Publication Number Publication Date
CN110830431A true CN110830431A (zh) 2020-02-21

Family

ID=69547688

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910679523.6A Pending CN110830431A (zh) 2019-07-25 2019-07-25 SQL Server数据库密码托管方法

Country Status (1)

Country Link
CN (1) CN110830431A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115982748A (zh) * 2023-03-20 2023-04-18 中国信息通信研究院 基于区块链的安全控制数据资源托管的方法、装置和设备

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040158746A1 (en) * 2003-02-07 2004-08-12 Limin Hu Automatic log-in processing and password management system for multiple target web sites
CN102088441A (zh) * 2009-12-08 2011-06-08 北京大学 消息中间件的数据加密传输方法和系统
CN102868732A (zh) * 2012-08-27 2013-01-09 北京小米科技有限责任公司 一种基于账户密码的登录实现方法、系统及装置
US8990908B1 (en) * 2007-11-20 2015-03-24 West Corporation Multi-domain login and messaging
CN104468560A (zh) * 2014-12-02 2015-03-25 中国科学院声学研究所 网络保密数据明文的采集方法及系统
US20150317483A1 (en) * 2012-12-13 2015-11-05 Nec Corporation Intermediate server, database query processing method and program
CN107832608A (zh) * 2017-11-29 2018-03-23 北京安华金和科技有限公司 一种防止人为或应用端泄露Oracle数据库密码的方法
CN109936580A (zh) * 2018-11-26 2019-06-25 西安得安信息技术有限公司 面向智能终端及应用系统的密码管理服务平台

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040158746A1 (en) * 2003-02-07 2004-08-12 Limin Hu Automatic log-in processing and password management system for multiple target web sites
US8990908B1 (en) * 2007-11-20 2015-03-24 West Corporation Multi-domain login and messaging
CN102088441A (zh) * 2009-12-08 2011-06-08 北京大学 消息中间件的数据加密传输方法和系统
CN102868732A (zh) * 2012-08-27 2013-01-09 北京小米科技有限责任公司 一种基于账户密码的登录实现方法、系统及装置
US20150317483A1 (en) * 2012-12-13 2015-11-05 Nec Corporation Intermediate server, database query processing method and program
CN104468560A (zh) * 2014-12-02 2015-03-25 中国科学院声学研究所 网络保密数据明文的采集方法及系统
CN107832608A (zh) * 2017-11-29 2018-03-23 北京安华金和科技有限公司 一种防止人为或应用端泄露Oracle数据库密码的方法
CN109936580A (zh) * 2018-11-26 2019-06-25 西安得安信息技术有限公司 面向智能终端及应用系统的密码管理服务平台

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
向春枝等: "基于SSL的数据库安全代理设计", 《煤炭技术》 *
董海韬等: "适用于网络内容审计的SSL/TLS保密数据高效明文采集方法", 《计算机应用》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115982748A (zh) * 2023-03-20 2023-04-18 中国信息通信研究院 基于区块链的安全控制数据资源托管的方法、装置和设备
CN115982748B (zh) * 2023-03-20 2023-08-15 中国信息通信研究院 基于区块链的安全控制数据资源托管的方法、装置和设备

Similar Documents

Publication Publication Date Title
US10764286B2 (en) System and method for proxying federated authentication protocols
CN105376216B (zh) 一种远程访问方法、代理服务器及客户端
US8356179B2 (en) Entity bi-directional identificator method and system based on trustable third party
CN106209726B (zh) 一种移动应用单点登录方法及装置
CN104935568A (zh) 一种面向云平台接口鉴权签名方法
CN107733861A (zh) 一种基于企业级内外网环境的无密码登录实现方法
CN107294916A (zh) 单点登录方法、单点登录终端及单点登录系统
CN109714370B (zh) 一种基于http协议端云安全通信的实现方法
CN111181912B (zh) 浏览器标识的处理方法、装置、电子设备及存储介质
CN109361753A (zh) 一种物联网系统架构与加密方法
CN103095731A (zh) 一种基于签名机制的rest安全系统
CN104580553A (zh) 网络地址转换设备的识别方法和装置
CN106331003A (zh) 一种云桌面上应用门户系统的访问方法及装置
CN112699374A (zh) 一种完整性校验漏洞安全防护的方法及系统
CN112714124B (zh) 一种基于跨网跨境的数据接入安全认证方法和系统
CN112261002B (zh) 数据接口对接的方法及设备
CN104270346B (zh) 双向认证的方法、装置和系统
CN112836199A (zh) 一种实现统一鉴权的工具及方法
US8793782B1 (en) Enforcing a health policy in a local area network
CN106130864A (zh) 一种基于vpn的私有云接入方法和装置
CN110830431A (zh) SQL Server数据库密码托管方法
EP2506485A1 (en) Method and device for enhancing security of user security model
CN106878378B (zh) 网络通信管理中的散点处理方法
CN109033809A (zh) 一种基于应用角色托管的用户集成系统及方法
WO2021253852A1 (zh) 一种基于数据中心5g网络加密组播的权限认证方法与系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20200221