CN111726227B - 一种企业内部公共服务的抽象接入平台实现方法及装置 - Google Patents

Abstract

本发明涉及一种企业内部公共服务的抽象接入平台实现方法及装置，该方法在保证了接入方式和安全的一致性的基础上，采用Shamir密钥分割算法加固平台安全性，同时在基础服务之上封装一层用于简化管理员操作和业务系统接入流程的门面操作模块。与现有技术相比，本发明具有安全性高、扩展性好和通用性好等优点。

Description

一种企业内部公共服务的抽象接入平台实现方法及装置

技术领域

本发明涉及网络安全技术，尤其是涉及一种企业内部公共服务的抽象接入平台实现方法。

背景技术

目前企业在开发一些常用的服务时通常会有单独一套相应的子服务系统相对应，但这些子系统原本接入方式及安全处理上具有一些通用性，但由于开发周期和开发人员不同却各具特色；现假设A系统需同时使用一次性密码服务及邮箱服务，需同时去邮箱服务系统及一次性密码服务系统先建立对应的应用，然后根据相应的服务的接入方式去对接；不同的服务系统接入方式和安全性也不能得到一致性的保证，在不同系统服务上管理员操作及审核分配接入权限也显得繁琐和冗余；同时当需要加入其它公共服务时，例如单点登录、统一授权之类的公共服务，需完全重新开发一套系统不具有扩展性。

经过检索，中国专利公开号CN106789952B公开了一种局域网服务互联网化的方法和系统，具体包括企业客户端与公共服务网关保持实时网络连接；公共服务网关统一服务请求；基于客户ID的安全认证和服务路由；基于自定义协议实现数据透明传输；包装和还原原始服务协议以复用现有系统服务；从而可以在不改动内部应用服务的前提下，实现在互联网环境下对运行于局域网的内部服务进行安全便捷的访问。但是该技术存在以下问题：

1)在不改变企业内部应用服务的前提下，实现内部服务互联网下，可以发现其内部服务未转变的前提是外界终端需要改动加入企业内部系统ID和密钥，以便公共服务网关路由和安全验证，因此相对操作比较繁琐；

2)有些陈旧系统终端页面和内部服务系统属于耦合的结合体，也不能用此方法系统化；

3)没有具体化企业内部服务的ID和密钥如何管理，若企业内部服务庞杂众多，这些原始信息散落不利于维护。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种安全性高、扩展性好和通用性好的企业内部公共服务的抽象接入平台实现方法及装置。

本发明的目的可以通过以下技术方案来实现：

根据本发明的一个方面，提供了一种企业内部公共服务的抽象接入平台实现方法，该方法在保证了接入方式和安全的一致性的基础上，采用Shamir密钥分割算法加固平台安全性，同时在基础服务之上封装一层用于简化管理员操作和业务系统接入流程的门面操作模块。

作为优选的技术方案，所述的抽象接入平台适用于企业内部公共服务的抽象并接入不同的业务系统并可扩展。

作为优选的技术方案，待接入业务系统新建申请权限和相应的子服务，所述的抽象接入平台根据业务系统创建信息发送给指定的管理员进行权限审核，审核通过后生成接入密钥，该密钥采用Shamir密钥分割算法分割成多份。

作为优选的技术方案，所述的密钥采用Shamir密钥分割算法分割成五份，并采用(3,5)密钥门限方案，其中接入业务系统一份密钥，门面操作模块一份密钥，对应子服务一份密钥，涉及相关方各一份密钥。

作为优选的技术方案，所述的(3,5)密钥门限方案具体为：

已知密钥S，将其分割成5个元素S1，S2，…S5

1)拥有大于等于3个不同的Si，可以重构密钥S；

2)拥有小于3个不同的Si，不能重构密钥S。

作为优选的技术方案，该方法具体过程如下：

步骤S1、业务系统在抽象接入平台新建应用，并勾选申请服务；

步骤S2、申请自动发送给相关终端审核；

步骤S3、若审核不通过，流程结束；

步骤S4、若审核成功后，接入平台后台生成密钥；

步骤S5、抽象接入平台按Shamir's密钥分割算法将密钥分割成五份，其中接入平台一份密钥，接入业务系统一份密钥，相应的子服务共用同一份密钥；

步骤S6、发送分割密钥给接入业务系统；

步骤S7、业务系统和接入平台对接时，接口提交时携带业务应用标识并携带分割密钥；

步骤S8、接入平台在验证时，先拿接入平台密钥+接入业务系统密钥+相应子服务密钥合成密钥；合成后与原密钥对比，对比失败，则直接返回密钥错误；若对比成功，则判断对应的服务权限是否开通权限，若无权限则返回服务权限未开通；若服务权限已开通，调对应的子服务。

作为优选的技术方案，所述的方法还包括模块扩展，先假设在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署抽象接入平台门面适配授权服务feign插件。

作为优选的技术方案，所述的子服务包括Ldap服务、企业微信服务、otp服务和邮箱服务。

根据本发明的另一个方面，提供了一种企业内部公共服务的抽象接入平台实现装置，其特征在于，包括：

业务新建模块，用于业务系统在抽象接入平台新建应用；

审核模块，用于新建应用的审核；

密钥生成模块，用于接入平台后台生成密钥；

密钥分割模块，用于抽象接入平台按Shamir's密钥分割算法将密钥分割成五份，其中接入平台一份密钥，接入业务系统一份密钥，相应的子服务共用同一份密钥；

密钥发送模块，用于发送分割密钥给接入业务系统；

对接模块，用于业务系统和接入平台对接；

密钥合成及验证模块，用于将接入平台密钥+接入业务系统密钥+相应子服务密钥合成密钥，合成后与原密钥对比，对比失败，则直接返回密钥错误；若对比成功，则判断对应的服务权限是否开通权限，若无权限则返回服务权限未开通；若服务权限已开通，调对应的子服务。

作为优选的技术方案，所述的装置还包括：

模块扩展模块，用于在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署抽象接入平台门面适配授权服务feign插件。

与现有技术相比，本发明具有以下优点：

1、根据不同公共服务的对接共性，提供统一的解决方案，并且采取Shamir's密钥分割算法加强应用对接的安全性，在为企业业务系统提供统一接入方式，同时抽取外层的门面作为隔离调度管理者，使得企业业务系统接入公共服务更简单统一。

2、Shamir's密钥分割算法具有易于理解，分割简单，公共平台门面和接入业务系统都无法直接调用相应子服务，保证了子服务的安全性，使得接入平台更具安全性。

3、在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署公共服务平台门面适配授权服务feign插件，无需开发界面管理及安全模块，使得接入平台更具扩展性和通用性。

附图说明

图1为本发明的实施例对Shamir's算法简单示例图；

图2为本发明实施例的企业内部应用系统接入方式的步骤流程图；

图3为本发明实施例接入平台扩展公共服务的步骤流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都应属于本发明保护的范围。

本发明在保证了接入方式和安全的一致性的基础上，提出了使用Shamir密钥分割算法加固了系统安全，并在基础服务之上封装一层门面操作模块，简化了管理员操作和业务系统接入流程，因此具有高可用性、可扩展性和安全性。

其中密钥分割是一种密码存储技术，目的是阻止密码过于集中，以达到分散风险和容忍入侵的目的，是信息安全和数据保密中的重要手段。

(k,n)密钥分割门限方案是已知密钥S，将其分割成n个元素S1，S2，…Sn；

1)拥有大于等于k个不同的Si，可以重构密钥S；

2)拥有小于k个不同的Si，不能重构密钥S。

Shamir密钥分割算法具有易于理解，分割简单，合成密钥采用拉格朗日插值法无需计算出每一项多项式值便能还原密钥等优势，该算法已广泛用于区块链、HashiCorpVault密码服务，并有开源maven库可直接使用。

本发明一种企业内部公共服务的抽象接入平台，其中，适用于企业内部公共服务的抽象并接入不同的业务系统并可扩展，所述待接入业务系统新建申请权限和相应的子服务，平台根据业务系统创建信息发送给指定的管理员进行权限审核，审核通过后生成接入密钥，密钥按Shamir's密钥分割算法分割成五份，采取(3,5)密钥门限方案，接入业务系统1份密钥，接入平台门面1份密钥，对应子服务1份密钥，涉及相关方各一份密钥，公共平台门面和接入业务系统都无法直接调用相应子服务，保证了子服务的安全性，说明见附图1，使得接入平台更具安性全、可扩展性和通用性。

如图2所示，本发明企业内部公共服务的抽象接入平台实现方法，具体包括以下步骤：

步骤S1、业务系统在抽象接入平台新建应用，并勾选申请服务；

步骤S2、申请自动发送给相关终端审核；

步骤S3、若审核不通过，流程结束；

步骤S4、若审核成功后，接入平台后台生成密钥；

步骤S5、抽象接入平台按Shamir's密钥分割算法将密钥分割成五份，其中接入平台一份密钥，接入业务系统一份密钥，相应的子服务共用同一份密钥；

步骤S6、发送分割密钥给接入业务系统；

步骤S7、业务系统和接入平台对接时，接口提交时携带业务应用标识并携带分割密钥；

步骤S8、接入平台在验证时，先拿接入平台密钥+接入业务系统密钥+相应子服务密钥合成密钥；合成后与原密钥对比，对比失败，则直接返回密钥错误；若对比成功，则判断对应的服务权限是否开通权限，若无权限则返回服务权限未开通；若服务权限已开通，调对应的子服务。

步骤S9、模块扩展，先假设在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署公共服务平台门面适配授权服务feign插件，无需开发界面管理及安全模块。

如图3所示，本发明接入平台扩展公共服务具体过程如下：

1)开发新服务；

2)集成新服务至接入平台；

3)接入平台对新服务进行配置。

本发明具体实施例，具体为：

(1)本发明实施案例以Java语言开发，整体系统模块结构包括ui模块、core-api模块、core-impl模块、ldap模块、wework模块、mail模块、otp模块、feign-client模块、模块等。

(2)其中ui模块提供前端管理界面；core-api和core-impl提供共用服务Shamir's算法、权限验证、及界面的数据库后台操作；ldap、wework、mail、otp分别提供对应Http子服务；feign-client提供Http转调子服务的集成功能；提供业务系统接入平台请求和界面管理统一入口，依赖core-api、core-impl、feign-client，与具体子服务无依赖关系。

(3)某一子服务开发完成后，以子服务Ldap服务为例，开发完成并部署后，Ldap服务能提供按条件查询用户、用户登录验证等功能；

(4)feign-client集成Ldap相应服务，具体实施主要代码如下：

(5)部署facade和ui服务，管理员登录公共平台创建Ldap服务；

(6)公共服务平台上创建接入应用；

(7)为接入应用添加服务信息；

(8)接入业务系统与公共服务平台对接，调用公共服务提供的集成接口；

(9)其它服务实施案例与此类似，facade服务主要作为服务转发和权限校验以及界面管理的统一集成入口，类似医院体检服务将各个门诊项目统一抽取包装，简化接入方使用。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (5)

1.一种企业内部公共服务的抽象接入平台实现方法，其特征在于，该方法在保证了接入方式和安全的一致性的基础上，采用Shamir密钥分割算法加固平台安全性，同时在基础服务之上封装一层用于简化管理员操作和业务系统接入流程的门面操作模块；

待接入业务系统新建申请权限和相应的子服务，所述的抽象接入平台根据业务系统创建信息发送给指定的管理员进行权限审核，审核通过后生成接入密钥，该密钥采用Shamir密钥分割算法分割成多份；所述的密钥采用Shamir密钥分割算法分割成五份，并采用(3,5)密钥门限方案，其中接入业务系统一份密钥，门面操作模块一份密钥，对应子服务一份密钥，涉及相关方各一份密钥；

所述的(3,5)密钥门限方案具体为：

已知密钥S，将其分割成5个元素S1，S2，…S5

1)拥有大于等于3个不同的Si，可以重构密钥S；

2)拥有小于3个不同的Si，不能重构密钥S；

所述的方法还包括模块扩展，先假设在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署抽象接入平台门面适配授权服务feign插件。

2.根据权利要求1所述的一种企业内部公共服务的抽象接入平台实现方法，其特征在于，所述的抽象接入平台适用于企业内部公共服务的抽象并接入不同的业务系统并可扩展。

3.根据权利要求1所述的一种企业内部公共服务的抽象接入平台实现方法，其特征在于，该方法具体过程如下：

步骤S1、业务系统在抽象接入平台新建应用，并勾选申请服务；

步骤S2、申请自动发送给相关终端审核；

步骤S3、若审核不通过，流程结束；

步骤S4、若审核成功后，接入平台后台生成密钥；

步骤S5、抽象接入平台按Shamir's密钥分割算法将密钥分割成五份，其中接入平台一份密钥，接入业务系统一份密钥，相应的子服务共用同一份密钥；

步骤S6、发送分割密钥给接入业务系统；

步骤S7、业务系统和接入平台对接时，接口提交时携带业务应用标识并携带分割密钥；

步骤S8、接入平台在验证时，先拿接入平台密钥+接入业务系统密钥+相应子服务密钥合成密钥；合成后与原密钥对比，对比失败，则直接返回密钥错误；若对比成功，则判断对应的服务权限是否开通权限，若无权限则返回服务权限未开通；若服务权限已开通，调对应的子服务。

4.根据权利要求1所述的一种企业内部公共服务的抽象接入平台实现方法，其特征在于，所述的子服务包括Ldap服务、企业微信服务、otp服务和邮箱服务。

5.一种企业内部公共服务的抽象接入平台实现装置，其特征在于，包括：

业务新建模块，用于业务系统在抽象接入平台新建应用；

审核模块，用于新建应用的审核；

密钥生成模块，用于接入平台后台生成密钥；

密钥分割模块，用于抽象接入平台按Shamir's密钥分割算法将密钥分割成五份，其中接入平台一份密钥，接入业务系统一份密钥，相应的子服务共用同一份密钥；

密钥发送模块，用于发送分割密钥给接入业务系统；

对接模块，用于业务系统和接入平台对接；

密钥合成及验证模块，用于将接入平台密钥+接入业务系统密钥+相应子服务密钥合成密钥，合成后与原密钥对比，对比失败，则直接返回密钥错误；若对比成功，则判断对应的服务权限是否开通权限，若无权限则返回服务权限未开通；若服务权限已开通，调对应的子服务；

所述的装置还包括：

模块扩展模块，用于在现有的基础上加入已有统一授权服务，系统里创建统一授权服务，部署统一授权子服务，部署抽象接入平台门面适配授权服务feign插件。