CN111797431B - 一种基于对称密钥体制的加密数据异常检测方法与系统 - Google Patents

Abstract

本发明公开了一种基于对称密钥体制的加密数据异常检测方法与系统。该检测方法包括：令牌生成，客户端对明文数据流进行处理得到令牌集和密文流；模糊规则生成，规则生成器对带有恶意关键字的规则集进行处理生成模糊规则集和密钥种子集；令牌检测，中间件对令牌集进行检测操作；一致性验证，服务器对经过检测的加密流量执行验证操作，判别客户端是否存在欺骗行为；纠纷解决，规则生成器根据服务器和中间件提供的证据信息，判定服务器和客户端中存在欺骗行为的一方。该检测系统包括客户端模块、服务器模块、规则生成器模块以及中间件模块。本发明在保护客户端数据流隐私的前提下，实现了高效的加密数据异常检测。

Description

一种基于对称密钥体制的加密数据异常检测方法与系统

技术领域

本发明涉及信息安全领域，尤其涉及一种基于对称密钥体制的加密数据异常检测方法与 系统。

背景技术

出于保证信息安全和用户隐私的目的，加密技术在网络通信领域得到了广泛应用。据最 新统计数据显示，九成以上的网络流量被进行了加密处理，而且预计这一数字仍会持续增长。 对于特定类型的流量，加密甚至已成为法律的强制性要求。加密技术通过某种特殊算法改变原有的信息数据，保证数据的安全传输，实现信息安全的机密性。在网络通信领域，加密技 术通过加密协议来具体实现。当前主要使用的加密协议有安全套接层协议(Secure Sockets Layer，SSL)和传输层安全协议(Transport Layer Security，TLS)两种。随着对信息安全的重视 和加密协议的逐渐成熟，加密协议在各种应用中得到了使用。

但是，存在一些恶意用户，他们通过将含有恶意信息的内容加密发送给受害者从而实施攻 击。如果不解密，技术人员无法检测此类恶意流量；如果解密，则会破坏数据的完整性和机密 性，从而危害用户的个人隐私。这就意味着加密数据的检测需要在安全和隐私之间需要做出权衡。用于保护网络数据的加密技术给恶意信息提供了藏身之地。

网络中间件利用深度包检测技术来检测网络流量异常和可疑活动是过去较为常用的方法， 其中深度包检测技术使用海量字符串匹配技术对包中的异常数据进行检测，对于未经加密处 理的数据流量有着较好的检测效果。然而，随着数据加密技术的广泛应用，越来越多的加密流量出现，网络中间件似乎逐渐失去了原有的作用。如何在保持完整性和机密性的情况下， 检测出加密流量中的安全威胁，一直是信息安全领域面临的一个难题。

目前，涉及深度包检测的相关加密流量检测方法有两种：基于混淆电路的加密流量检测 方法和基于双线性映射的加密流量检测方法。虽然两种检测方法均使用到了字符串匹配检测 技术，但是与传统深度包检测技术不同的是，这两种检测方法均是对加密处理过的数据流进行规则匹配从而实现异常检测。虽然这两种检测方法的安全性均在理论上得到了证明，但是 使用混淆电路或双线性映射对大量数据进行安全处理及检测均会造成的巨大的时间和资源开 销。

发明内容

针对相关技术的不足，本发明提出一种基于对称密钥体制的加密数据异常检测方法与系 统，以解决背景技术中提到的问题。

根据本发明的一个方面，提供了一种基于对称密钥体制的加密数据异常检测方法，包括 以下步骤：

步骤S1，令牌生成：客户端利用TLS密钥加密明文数据流，之后将明文数据流划分为明 文块集，通过带密钥的哈希函数、伪随机值序列以及伪随机函数对明文块集处理生成令牌集， 将令牌集与TLS密文流一并发送给中间件；

步骤S2，模糊规则生成：规则生成器利用包含恶意关键字的规则集、带密钥的哈希函数， 生成模糊规则集和密钥集，发送给中间件；

步骤S3，令牌检测：中间件收到来自客户端和规则生成器的数据后，利用检测算法对令 牌集进行异常检测，如果存在令牌与某一模糊规则匹配，则判定流量中含有恶意关键字；

步骤S4，一致性验证：当令牌集经中间件检查并确认安全后，TLS加密流量与令牌集由 中间件送至服务器，服务器解密获得明文流，并对明文流执行与所述步骤S1相同的令牌化操 作，用于判别客户端是否存在欺骗行为，若有欺骗行为存在，则服务器将情况告知中间件， 再由中间件传达至规则生成器以解决纠纷；

步骤S5，纠纷解决：客户端可能会否认服务器的验证结果而与之产生纠纷，规则生成器 将作为可信第三方进行证据收集，并对双方行为做出判断。

进一步地，所述步骤S1开展之前所需的准备工作包括，客户端和服务器协商得到本方 案所需的全部密钥；中间件生成一个随机值，将其分别发送给客户端和服务器，得到经过TLS 密钥加密处理的随机值的密文，将随机值及其密文作为数字取证进行存储，用以解决纠纷；客户端和服务器将协商得到的部分密钥经处理发送给规则生成器。

进一步地，所述步骤S1的具体实现包括，客户端根据分隔符来对完整明文进行划分处 理，得到明文块集；客户端使用带密钥的哈希函数对明文块进行哈希；客户端利用伪随机函 数与明文块哈希值生成密钥；客户端通过使用伪随机发生器以及种子密钥集合，生成数目与明文块数目相对应的伪随机值集合，用于隐藏密文信息；客户端将每一个伪随机值以及与其 对应的明文块哈希生成的密钥构成的一个二元元组存入表中，该表用于令牌检测；客户端将 明文块哈希值与经过处理的伪随机值进行异或，得到关于每一明文块的令牌；客户端对完整 明文进行TLS加密获得TLS加密流量，之后将TLS密文流、表与令牌集一同发送给中间件 以执行检测操作。

进一步地，所述步骤S2的具体实现包括，规则生成器生成包含恶意关键字的规则集，并 使用带密钥的哈希函数对规则集中每一个规则进行哈希，得到模糊规则；规则生成器将上述 的一系列模糊规则作为种子，使用伪随机函数生成对应的密钥，即每一个密钥都与一个特定规则相对应；规则生成器将模糊规则集和密钥集一并发送给中间件。

进一步地，所述步骤S3有两种令牌检测算法可供选择：

令牌检测算法1：对于每一个模糊规则，让其与令牌集中的所有令牌进行异或；从异或 结果的最高位开始，取特定位数作为种子，使用与该模糊规则对应的密钥以及伪随机函数， 生成一特定随机值；观察该随机值是否与异或结果的剩余位数的值相等，如果相等则说明规则匹配成功，说明客户端发送的令牌中含有恶意关键字，立即进行安全处理；

令牌检测算法2：对于每一个模糊规则，让其与令牌集中的所有令牌进行异或；从异或 结果的最高位开始，取特定位数作为一个二元元组中的一个元素，模糊规则对应的密钥作为 元组的另一个元素，遍历表来寻找该元组的匹配；如果在表中发现匹配，说明客户端发送的令牌中含有恶意关键字，立即进行安全处理；

两种令牌检测算法在未检测到匹配的情况下，中间件认为明流量安全，中间件需要使用 哈希函数对TLS密文流进行哈希处理，生成并存储TLS密文流的哈希值以作为解决争端的依据；中间件将TLS密文流和令牌集一并发送给服务器。

进一步地，所述步骤S4的具体实现包括，服务器用TLS密钥解密密文流得到完整明文； 服务器对明文做与所述步骤S1相同的操作得到新令牌集；服务器将生成的新令牌集与从客户端处收到的令牌集进行比对，若相等，则说明客户端不存在欺骗行为，否则，认为客户端存 在欺骗，将结果报告给中间件，再由中间件转达至规则生成器。

进一步地，所述步骤S5中的所述纠纷包括两种情况，客户端为恶意的用户，服务器通 过验证过程证明客户存在恶意行为，但客户端不承认；服务器为恶意的用户，进行虚假的报 告，诬陷客户端为恶意用户。

进一步地，所述步骤S5的具体实现包括，规则生成器作为可信第三方可以让服务器与中 间件提供证据信息，规则生成器根据这些信息来判断客户端和服务器中存在欺骗行为的一方。

根据本发明的另一个方面，提供了一种基于对称密钥体制的加密数据异常检测系统，包 括：客户端模块(101)、服务器模块(102)、规则生成器模块(103)和中间件模块(104)。其中：

所述客户端模块(101)属于数据的发送方，发送前需要对明文数据分别进行TLS加密处理 和令牌化处理；所述服务器模块(102)属于数据的接收方，接收经过所述中间件模块(104)检测 并确认安全的数据流，之后对数据流进行验证操作；所述规则生成器模块(103)为加密数据异 常检测提供规则，当所述客户端模块(101)与所述服务器模块(102)发生纠纷时还将充当可信第三方进行来裁定具有欺骗行为的一方；所述中间件模块(104)用于加密数据异常检测，此外所 述中间件模块(104)还起到数据传输桥梁的作用，所述客户端模块(101)、所述服务器模块(102)、 所述规则生成器模块(103)均需通过所述中间件模块(104)来进行数据交互。

本发明的有益效果在于：

(1)在基于对称密钥体制的加密数据异常检测方法的令牌生成步骤中，在明文分块上， 不需要硬性规定分块的长度，保证了每一个明文字段意义的准确性和唯一性，增加了规则匹 配的精度，消除了目前相关加密流量检测方法中可能因分割不合理而造成误差的问题。

(2)在基于对称密钥体制的加密数据异常检测方法中，采用了对称密钥体制中的哈希函 数与伪随机函数对数据进行处理，运算效率较高。

(3)在基于对称密钥体制的加密数据异常检测系统中，所述的各个模块之间独立性较强， 减小了中间数据交互所产生的带宽。此外，本系统限制了中间件模块对数据流的可操作范围， 避免了中间件模块与规则生成器模块合谋攻击的可能，使得信息的保密性得到增强。

(4)本发明不需要解密加密流量便可以直接检测，有利于保护合法用户的隐私，促进网 络良性发展。

附图说明

图1为本发明的基于对称密钥体制的加密数据异常检测方法的步骤示意图。

图2为本发明的基于对称密钥体制的加密数据异常检测系统的模块示意图。

图3为本发明的一个实施例的客户端模块数据处理示意图。

图4为本发明的一个实施例的规则生成器模块数据处理示意图。

图5为本发明的一个实施例的中间件模块数据处理示意图。

图6为本发明的另一个实施例的中间件模块数据处理示意图。

图7为本发明的设备结构示意图。

具体实施方式

本说明书中公开的所有特征，或公开的方法中的所有步骤，除了相互排斥的特征或方法 步骤外，均可以以任何方式结合。

本说明书中公开的任意特征，除非特别叙述，均可以被其他等效或具有类似目的的替代 特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子。

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的目的、 特征和具体实现能够更加明显易懂，下面结合附图和实施例对本发明中的核心技术作进一步 详细的说明。需要说明的是，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明的保护范围。

如图1所示，为本发明的基于对称密钥体制的加密数据异常检测方法的步骤示意图。所 述检测方法包括五个步骤：令牌生成(S1)、模糊规则处理(S2)、令牌检测(S3)、一致性验证(S4)、 纠纷解决(S5)。

如图2所示，为本发明的基于对称密钥体制的加密数据异常检测系统的模块示意图。所 述检测系统由客户端模块(101)、服务器模块(102)、规则生成器模块(103)、中间件模块(104) 组成。所述客户端模块(101)、所述服务器模块(102)、所述规则生成器模块(103)均与所述中间 件模块(104)相连接，且所述客户端模块(101)、所述服务器模块(102)、所述规则生成器模块(103) 三者之间两两互不连接。

根据本发明的一个实施例，一次完整的加密数据异常检测过程如下：

客户端要向服务器发送信息，信息数据会被加密，在执行完整的加密数据异常检测方法 前，需要进行准备工作。公开伪随机发生器G、伪随机函数F、伪随机函数f，即，这三个 属于对称密钥体制的工具对于客户端、服务器、规则生成器、中间件均公开。客户端对明文M 分块按分隔符划分得到明文集ι为明文块的个数。客户端与服务器协商 得到所需的全部密钥k_r、k_h、k_TLS、其中k_r、k_h是带密钥的哈希函数H所用的密 钥；k_TLS是通过TLS握手协议得到的会话密钥；是一个种子密钥集合， 集合中种子密钥的个数ι与明文分块的个数相对应，将作为伪随机生成器G的种 子。客户端与服务器使用为随机发生器G，将集合中的密钥作为种子，生成ι个长为n-m 比特的伪随机值，该随机值集合记为客户端与服务器将k_r、k_h共享给 规则生成器。中间件生成一随机数rand_MB，分别发送至客户端与服务器，客户端和服务器 均使用各自持有的TLS密钥k_TLS对rand_MB加密，二者将得到的密文均发送至中间件，中间 件在确认二者发送的密文相同(即，确认客户端与服务器使用的是相同的TLS密钥)后，随机 数rand_MB与密文将一同作为TLS密钥的数字取证，即将被中间件保存以用作解决纠纷的依据之一。

客户端需要生成TLS密文流和令牌集，并将这两条数据流发送给中间件，客户端模块对 数据的处理如图3所示。客户端使用TLS会话密钥k_TLS加密完整明文M，得到TLS密文流之后，使用k_h作为哈希函数H的密钥，对明文块集W中的每个明文块W_i进行 哈希，得到每个明文块的哈希值每个明文块哈希值的长度均为n比特(哈希值 长度将根据所选哈希函数来确定)，计算完成后获得明文块的哈希值集合集合中明文块哈希值的个数ι与明文分块的个数相对应。对中每个散列值D_i，计算得到密钥集集合中密钥个数ι与明文分块的个数相对应。建立表Table_C，该表中表项为伪随机值X_i与密钥k_i构成的二元元组(X_i,k_i)。对伪随机值集中每个X_i，利用伪随机函数F和具有相同下标的k_i计算得到长为m比特的伪随机值将n-m比特的X_i与m比特的拼接得到长度为n比特的将明文块哈希值集合中的每个D_i与对应相同下标的按位异或，得到令牌每个令牌的长度均为n比特，计算完成后得到令牌集 集合令牌的个数ι与明文分块的个数相对应。客户端将令牌集与表Table_C打 包作为一条数据流，TLS密文流作为另一条数据流，客户端将两条数据流一并发送给中间件。

规则生成器需要生成模糊规则集与密钥集，并将这两条数据流发送给中间件，规则生成 器模块对数据的处理如图4所示。规则生成器生成包含τ个规则的规则集其中每个规则都至少包含一个恶意关键字，用于检测恶意信息。之后，规则生成器使用k_h作 为哈希函数H的密钥，对规则集中的每个R_i进行哈希，得到模糊规则每个模 糊规则的长度均为n比特(长度将根据所选哈希函数来确定)，计算完成后获得模糊规则集集合中模糊规则的个数τ与规则个数相对应。规则生成器使用伪随机函 数f与密钥k_r对每个模糊规则P_i进行处理，得到密钥计算完成后得到密钥集集合中密钥个数τ与规则个数相对应。规则生成器将模糊规则集与密 钥集一并打包发送给中间件。

中间件在收到来自客户端和规则生成器的数据流后，将对令牌集进行检测。中间件取 模糊规则集中的每一个P_i与令牌集中每一个T_j进行异或，得到当该操作 进行完成后会获得ι×τ个异或结果。U_ij的前n-m比特记为后m比特记为有两种可行的令牌检测算法以供选择，在本实施例中，中间件使用所述令牌检测算法1来实现令牌检测，中间件模块使用令牌检测算法1对数据的处理如图5所示。

令牌检测算法1的具体实现为：中间件选取下标与模糊规则P_i相同的密钥Q_i作为伪随 机函数F的密钥，以作为伪随机函数的种子，计算得到长为m比特的伪随机值比较与是否相等，如果相等，则说明令牌T_j与模糊规则P_i所对应的规则R_i相匹 配，即加密流量中含有恶意信息，此时需要立即对加密流量进行安全处理；否则，说明令牌 与规则不匹配，流量安全。待检测完毕且未发现异常，中间件将经检测的令牌集与TLS密 文流发往服务器。

在检测完成并确认令牌安全后，中间件将选取一个哈希函数H_MB对TLS密文流进行数字取证，得到TLS加密流量的数字取证中间件将其保存作为解决纠 纷的依据之一。此时，中间件已保存了两个证据信息：TLS密钥的数字取证 以及TLS加密流量的数字取证

服务器在接收到TLS密文流和经过检测的令牌集后，将验证这两条数据流中 数据负载的一致性。服务器使用持有的TLS密钥k_TLS解密TLS加密流量得到明文流M，对 M进行与客户端相同的令牌化操作，获得新的令牌集比较令牌集和 新令牌集中对应下标相同的元素的值是否相同，如果值相同，则说明客户端在生成令牌时 没有对明文内容进行篡改；否则，认为客户端存在恶意行为，向中间件进行汇报。

当服务器向中间件报告来自客户端的两个数据流的载荷不一致而客户端否认时，客户端 和服务器之间发生了纠纷。实际上，客户端和服务器都可能是恶意方：客户端为恶意的一方， 客户端可能为了通过令牌检测而篡改令牌集当服务器向中间件报告验证结果不一致时客 户端会否认验证结果；服务器为恶意的一方，服务器可能做出虚假举报，诬陷客户端为恶意 用户。在这种情况下，规则生成器可以作为受信任的第三方在中间件的帮助下做出合理判断 以解决纠纷。

当发生纠纷时，规则生成器需要从其他参与者处获得证据信息：服务器需要将其持有的 TLS密钥k_TLS、接收的来自客户端的TLS加密流量发送给规则生成器；中间件需 要发送在准备阶段获得的TLS密钥的数字取证以及在令牌检测 阶段备份的TLS加密流量的数字取证需要说明的是，为了保证消息的机密 性，可以使用规则生成器的公钥PK_RG来执行公钥加密算法，将服务器的证据信息通过中间 件安全地传输给规则生成器。规则生成器将根据这些证据信息对客户端和服务器的行为进行 分析：

对服务器行为的分析：假设服务器是恶意用户，则有可能伪造两种信息：TLS密钥k_TLS和 TLS加密流量具体分析如下：

分析服务器是否存在TLS密钥欺骗：规则生成器使用服务器上报的TLS密钥对rand_MB进行加密处理，将生成密文与从中间件处得到的比较可以得知TLS密钥是否 为伪造。如果比较结果相等，说明服务器不存在欺骗行为；否则，说明TLS密钥是伪造的， 服务器存在恶意行为。

分析服务器是否存在TLS加密流量欺骗：规则生成器通过使用哈希函数H_MB对服务器发 送来的TLS加密流量进行哈希，如果哈希结果与中间件记录的一致，说明服 务器不存在欺骗行为；否则，服务器被认为是恶意的。

对客户端行为的分析：通过上述对服务器的分析，规则生成器已经知道服务器发送的TLS 密钥与TLS加密流量的真伪。若服务器提供的证据信息经过验证确定为正确的，则可以初步 判定客户端存在恶意行为，更进一步的分析如下：规则生成器通过TLS密钥k_TLS解密TLS 密文得到明文M。因为规则生成器是唯一一个知道规则集内容的参与者，所以它 可以直接对明文M进行检验。如果在明文M中发现与至少一个规则相匹配的内容，规则生成器可以直接判断客户端为恶意用户。

根据本发明的另一个实施例，中间件可以在令牌检测阶段使用第二种令牌检测算法，所 述令牌检测算法2的具体实现为：中间件利用计算得到的与模糊规则P_i对应的密钥Q_i构 成一个二元元组遍历查询表Table_C，如果在表中找到与元组相同的元组， 则说明令牌T_j与模糊规则P_i所对应的规则R_i相匹配，含有恶意信息，需要进行安全处理； 否则，说明令牌与规则不匹配，流量安全。待检测完毕且未发现异常，中间件将经检测的令 牌集与TLS密文流发往服务器。中间件模块使用令牌检测算法2对数据的处理如图6所示。

如图7所示，为本发明的设备结构示意图。客户端可以为个人电脑，属于发送或接收网 络流量的用户；服务器是网络服务的提供者，响应客户端的请求并提供相关服务内容；规则 生成器可以是提供网络安全服务的组织机构，发布网络规则；中间件是一个用于检测加密通信流的网络设备，它尝试在加密通信流中找到与所述规则生成器发布的网络规则相匹配的恶 意数据负载。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在 不脱离本发明的原理和精神的情况下对这些实施例进行多种变化、修改、替换和变型，本发 明的范围由所附权利要求及其等同物限定。

Claims (8)

1.一种基于对称密钥体制的加密数据异常检测方法，其特征在于，包括以下步骤：

步骤S1，令牌生成：客户端根据分隔符来对完整明文进行划分处理，得到明文块集；客户端使用带密钥的哈希函数对明文块进行哈希；客户端利用伪随机函数与明文块哈希值生成密钥；客户端通过使用伪随机发生器以及种子密钥集合，生成数目与明文块数目相对应的伪随机值集合，用于隐藏密文信息；客户端将每一个伪随机值以及与其对应的明文块哈希生成的密钥构成的一个二元元组存入记录表中，该表用于增强版检测方案；客户端将明文块哈希值与经过处理的伪随机值进行异或，得到关于每一明文块的令牌；客户端对完整明文进行TLS加密获得TLS加密流量，之后将TLS密文流、记录表与令牌集一同发送给中间件以执行检测操作；

步骤S2，模糊规则生成：规则生成器利用包含恶意关键字的规则集、带密钥的哈希函数，生成模糊规则集和密钥集，发送给中间件；

步骤S3，令牌检测：中间件收到来自客户端和规则生成器的数据后，利用检测算法对令牌集进行异常检测，如果存在令牌与某一模糊规则匹配，则判定流量中含有恶意关键字；

步骤S4，一致性验证：当令牌集经中间件检查并确认安全后，TLS加密流量与令牌集由中间件送至服务器，服务器解密获得明文流，并对明文流执行与所述步骤S1相同的令牌化操作，用于判别客户端是否存在欺骗行为，若有欺骗行为存在，则服务器将情况告知中间件，再由中间件传达至规则生成器以解决纠纷；

步骤S5，纠纷解决：客户端可能会否认服务器的验证结果而与之产生纠纷，规则生成器将作为可信第三方进行证据收集，并对双方行为做出判断。

2.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S1开展之前所需的准备工作包括，客户端和服务器协商得到本方案所需的全部密钥；中间件生成一个随机值，将其分别发送给客户端和服务器，得到经过TLS密钥加密处理的随机值的密文，将随机值及其密文作为数字取证进行存储，用以解决纠纷；客户端和服务器将协商得到的部分密钥经处理发送给规则生成器。

3.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S2的具体实现包括，规则生成器生成包含恶意关键字的规则集，并使用带密钥的哈希函数对规则集中每一个规则进行哈希，得到模糊规则；规则生成器将上述的一系列模糊规则作为种子，使用伪随机函数生成对应的密钥，即每一个密钥都与一个特定规则相对应；规则生成器将模糊规则集和密钥集一并发送给中间件。

4.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S3有两种令牌检测算法可供选择，

令牌检测算法1：对于每一个模糊规则，让其与令牌集中的所有令牌进行异或；从异或结果的最高位开始，取特定位数作为种子，使用与该模糊规则对应的密钥以及伪随机函数，生成一特定随机值；观察该随机值是否与异或结果的剩余位数的值相等，如果相等则说明规则匹配成功，表明客户端发送的令牌中含有恶意关键字，立即进行安全处理；

令牌检测算法2：对于每一个模糊规则，让其与令牌集中的所有令牌进行异或；从异或结果的最高位开始，取特定位数作为一个二元元组中的一个元素，模糊规则对应的密钥作为元组的另一个元素，遍历记录表来寻找该元组的匹配；如果在表中发现匹配，表明客户端发送的令牌中含有恶意关键字，立即进行安全处理；

两种令牌检测算法在未检测到匹配的情况下，中间件认为明流量安全，中间件需要使用哈希函数对TLS密文流进行哈希处理，生成并存储TLS密文流的哈希值以作为解决争端的依据；中间件将TLS密文流和令牌集一并发送给服务器。

5.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S4的具体实现包括，服务器用TLS密钥解密密文流得到完整明文；服务器对明文做与所述步骤S1相同的操作得到新令牌集；服务器将生成的新令牌集与从客户端处收到的令牌集进行比对，若相等，则说明客户端不存在欺骗行为，否则，认为客户端存在欺骗，将结果报告给中间件，再由中间件转达至规则生成器。

6.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S5中的所述纠纷包括两种情况，客户端为恶意的用户，服务器通过验证过程证明客户存在恶意行为，但客户端不承认；服务器为恶意的用户，进行虚假的报告，诬陷客户端为恶意用户。

7.根据权利要求1所述的一种基于对称密钥体制的加密数据异常检测方法，其特征在于：所述步骤S5的具体实现包括，规则生成器作为可信第三方可以让服务器与中间件提供证据信息，规则生成器根据这些信息来判断客户端和服务器中存在欺骗行为的一方。

8.一种基于对称密钥体制的加密数据异常检测系统，其特征在于：包括客户端模块、服务器模块、规则生成器模块和中间件模块，其中：

所述客户端模块属于数据的发送方，发送方对明文数据按照权利要求1所述步骤S1中的步骤执行；

所述服务器模块属于数据的接收方，接收经过所述中间件模块检测并确认安全的数据流，之后对数据流按照权利要求1所述步骤S4和权利要求5中的步骤进行验证操作；

所述规则生成器模块按照权利要求1所述步骤S2和权利要求3中的步骤进行为加密数据异常检测提供规则；当所述客户端模块与所述服务器模块发生纠纷时，还将充当可信第三方，按照权利要求1所述步骤S5和权利要求6中的步骤进行裁定具有欺骗行为的一方；

所述中间件模块按照权利要求1所述步骤S3和权利要求4中的步骤实现加密数据异常检测，此外，所述中间件模块还起到数据传输桥梁的作用，所述客户端模块、所述服务器模块、所述规则生成器模块均需通过所述中间件模块来进行数据交互。

Images