CN111917800A

CN111917800A - 基于协议的外置授权系统及授权方法

Info

Publication number: CN111917800A
Application number: CN202010817974.4A
Authority: CN
Inventors: 王志东; 王志晓
Original assignee: Individual
Current assignee: Beijing Chaowei Inductance Technology Co ltd
Priority date: 2020-08-14
Filing date: 2020-08-14
Publication date: 2020-11-10
Anticipated expiration: 2040-08-14
Also published as: CN111917800B

Abstract

本发明公开了基于协议的外置授权系统及授权方法，包括授权主机、协议网关、安全盒以及授权协议接口；所述授权主机，记录全部所述安全盒的ID和密钥；所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机所述授权主机；所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。本发明克服了现有的数据加密和授权，严重依赖于特定操作系统，语言的等问题，也克服了系统运维人员具有超级权限及漏洞的问题。

Description

基于协议的外置授权系统及授权方法

技术领域

本发明涉及通信技术领域，具体为基于协议的外置授权系统及授权方法。

背景技术

随着技术的进步，大量的数据（包括但不限于视频，音频）需要加密，但是，实时对全体数据进行全文加密，再在内部授权节点上，对全体数据做全文解密成为了一个难点。而且对于关键机构，数据被泄密引起的后果，要较市场机构的数据泄密严重得多！

目前，市场机构（银行/证券/运营商）采用的是防火墙隔离的策略，即，内部的授权的客户端，可以访问关键数据；外部的视为非授权客户端，不允许访问关键数据。即使有防火墙，内部的大量客户端和服务器各自都有各种漏洞，虽然来自外部的攻击和盗取风险被限制了，但是来自内部人士的攻击和盗取风险无法被限制；而且至关重要的数据，仅仅只是在传输过程中被保护，到了内部的服务器上，实际上又回到了明文状态，并没有被妥善处理。目前也有很多设计方通过采用许多复杂的协议来减少漏洞，但譬如TCP/IP（或者3G/4G/5G）均存在协议漏洞，潜在的攻击者可以基于这些漏洞破解加密的消息，也不是很安全。

发明内容

本发明的目的在于提供一种基于协议的外置授权系统及授权方法，克服了现有的数据加密和授权，严重依赖于特定操作系统，数据库，开发工具，语言的问题，也克服了系统运维人员具有超级权限的问题。避免了操作系统的漏洞，数据库的漏洞，开发工具的漏洞，语言的漏洞，协议实现的漏洞，系统运维人员的错误等导致发生的严重后果。

为实现上述目的，本发明采用的技术方案是：提供基于协议的外置授权系统，包括授权主机、协议网关、安全盒以及授权协议接口；所述授权主机，记录全部所述安全盒的ID和密钥；所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机所述授权主机；所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。

优选的，本技术方案中，所述协议网关为SIGN协议网关、VIEW协议网关及MAKE协议网关中的任一种。

优选的，本技术方案中，所述授权协议包括数据备份协议、放号协议、登录获取临时密钥进行加密的协议、请求临时密钥进行解密的协议以及配置非安全盒设备的协议中一种或多种组合。

本发明的另一个目的在于提供一种基于协议的外置授权系统的授权方法，包括如下步骤：

S000，对安全盒分配ID，将安全盒的ID和密钥登记在安全盒和授权主机上；

S010，安全盒与授权主机进行协议互认

S011，安全盒通过协议网关过滤消息，再转发至授权主机

S012，授权主机基于协议，做出处理结果并转回安全盒

S013，授权主机和安全盒双方核对正确，则安全盒基于临时密钥进行数据加密

S014，内部设备基于安全盒获取加密数据的临时密钥在节点上恢复及并访问数据

S015，授权主机和安全盒双方核对异常，则授权主机或安全盒传送报警信号至管理员做出处理。

优选的，本技术方案中，所述步骤S000对所述安全盒分配ID是指在安全环境，对一系列的所述安全盒分配ID，基于串口、网口、USB或各种内部网络通信将各个所述安全盒的ID和密钥同时登记于本安全盒及所述授权主机上。

优选的，本技术方案中，所述步骤S010中安全盒与授权主机进行协议互认，是指所述安全盒与所述授权主机基于定义好的协议，进行只扫包括所述安全盒ID和密钥参数的协议互认，互认后的参数将被同时存入所述安全盒和所述授权主机。

优选的，本技术方案中，所述步骤S013中安全盒基于临时密钥进行数据加密，是指采用XOR加密算法对原始数据的帧头部分做加密，并将加密数据上报给数据存储节点。

与现有技术对比，本发明具备以下有益效果：

1、本发明通过唯ID和密钥，来制造安全盒，安全盒基于协议，为节点设备提供加密保护，授权访问。

2、本发明独立于任何操作系统、数据库、开发工具、语言，基于协议，实现授权。具体是不受任何操作系统、数据库以及开发工具的缺陷和漏洞所影响，也不因语言的问题，协议实现的漏洞，所影响。

3、本发明不给系统运维人员提供超级权限，从而杜绝了系统运维人员私下盗取关键内部数据的问题。

附图说明

图1为本发明系统结构示意图；

图2为本发明系统的授权方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示基于协议的外置授权系统，包括授权主机(英文缩写：MAIN)、协议网关(英文缩写：SIGN/VIEW/MAKE)、安全盒(英文缩写：AUTH)以及授权协议接口(英文缩写：AUTHPROTOCAL)。具体应用时本发明的系统采用分布式部署，授权主机部署在安全机房的内网（或者云上），协议网关部署在安全机房的内网和外网之间，数据加密的安全盒，可以基于互联网接入机房，数据解密的安全盒，总是位于内网的指定位置。

进一步的，本发明的授权主机，记录了全部安全盒的ID和密钥。安全盒可直接访问协议网关，或借助于节点设备建立的链路，访问协议网关，从而实现授权主机与安全盒的互认，互认通过后，则可以进行实时的数据加密传输。具体是授权主机记录了全部安全盒的ID盒密钥，它只接收来自协议网关转发的过滤后的消息。系统不允许BACK消息直接到达授权主机，以防止ID和密钥被盗取，只有在获得安全授权的情况下，才能直接从物理上访问授权主机，被对授权主机的ID和密钥进行基于BACK消息备份。当然，也可以强制取消客户的运维人员的安全授权，由专门的安全人员负责BACK备份。

进一步的，本发明的协议网关，由内部双节点组成，双节点之间，采用裸协议转发（即过滤掉任何非法消息），只转发约定的协议消息到所述授权主机授权主机，从而，确保授权主机收到的消息格式，全部为预定格式的消息，确保了授权主机的安全。更具体的是协议网关由内部双节点组成，可以是SIGN协议网关，VIEW协议网关，MAKE协议网关中的任一种，且每一种协议网关，将只支持一种已知协议的过滤。采用内部裸协议转发的设计方案，是指外部协议不管基于TCP/UDP/3G/4G/5G/工业互联网中的任一种，内部接口都是裸协议的（目前是采用TTL串口转发，也可以是SPI/USB等接口或自定义的接口），无论在何种接口上，协议本身规定的格式和定义都完全一致；如此，即使是TCP/UDP协议栈的实现存在漏洞，也不会影响裸协议的转发。或者说，任何针对特定协议栈的，已知或未知的漏洞攻击，均无法给裸协议的转发制造障碍。

进一步的，本发明的安全盒，它在生产环境下，从授权主机获得了ID和密钥（它可以有多种尺寸和形态，基于TTL串口或USB或其他方式与节点设备通讯）；在工作环境下，在协议接口中只许可ID和密钥经过变换之后的数据，从而确保了密钥的安全性。

更进一步的，本发明的安全盒，按照数据提供方和数据请求方，分为支持SIGN协议安全盒（基于TTL串口与节点设备通讯）和支持VIEW协议安全盒（基于USB串口与节点设备通讯），数据提供方（SIGN协议安全盒，基于TTL串口与节点设备通讯）通过与MAIN主机的互认，从而获取参数，以计算出临时密钥，并用临时密钥对数据进行加密。数据请求方（VIEW协议安全盒，基于USB串口与节点设备通讯）通过与MAIN主机的互认，从而基于参数，获取特定SIGN设备的特定文件的临时密钥，并用临时密钥对数据进行解密。从而能够确保了加密数据的提供与加密数据的请求被隔离，确保了每一次解密数据的请求都可以被登记与识别，并确保了只有符合条件的请求才能在本机上临时的访问解密数据。由于安全盒不存在任何可以被复制和拷贝的解密数据，只要设备不被整体搬走，可以认为，系统内的全体静态数据均处于加密状态下，都是安全的。

更进一步的，在本实施例子中，安全盒还可以用各种芯片譬如INTEL CPU、ARM7/9内核、COTERX-M4内核、RISCV-5等，包括但不限于单片机生产，它也可以基于串口例如USB口或者其他接口，为节点设备提供授权访问。

进一步的，本发明的授权协议接口，它规定了一组协议，这组协议可以允许经由协议网关转发消息到授权主机。由于协议的格式明确，从而确保了整体系统，不受任何操作系统（数据库，开发工具，语言）的已知和未知安全漏洞影响。

授权协议接口，可以自行定义，或者直接基于我们定义的MAKE，VIEW，SIGN，BACK，INIT等，进行实现。协议被设计为裸协议，它可以跑在TTL串口，SPI接口，USB接口等点到点的连接上，也可以跑在TCP/IP协议栈上（基于TCP/UDP协议），还可以跑在各种自定义协议上。无论是基于那种协议，在协议网关处，都需要经过双节点之间的裸协议转发，从而确保任何已知或者未知的协议攻击，都不影响发到授权主机的消息的可靠性与安全性。

更进一步的，本实施例的授权协议包括BACK（数据备份协议）、MAKE（放号协议）、SIGN（登录获取临时密钥进行加密的协议）、VIEW（请求临时密钥进行解密的协议）以及INIT（配置非安全盒设备的协议）中一种或多种组合。

或者说，本发明的系统可以在COTERX-M4、M7内核单片机上应用，也可以在INTELCPU上或者是FPGA、RISC-V上运行，它不需要底层OS，本身就可以在任意具备足够资源的CPU上运行，因此，它是独立于任何系统（操作系统、数据库、协议栈等）的外置授权系统，由此也就不存在现有系统所固有的已知漏洞，也不会出现将来才会被发现的漏洞。

本发明的基于协议的外置授权系统包括如下步骤：

S000, 在安全环境中对安全盒放号(分配ID），将安全盒的ID和密钥登记在安全盒和授权主机；

具体是，在安全环境（即在具备保密资质的安全人员的监控下），对一系列的安全盒放号（分配ID），再将各个安全盒的ID和密钥同时登记于本安全盒及授权主机上，登记过程是基于串口、网口、USB以及各种内部网络通信进行；

S010，安全盒与授权主机进行至少包括安全盒ID和密钥的协议互认；

具体是，安全盒与授权主机基于定义好的协议，进行协议互认，互认协议时包括安全盒ID、密钥等参数，互认后的参数将被同时存入安全盒和授权主机；

S011，安全盒的消息将先到达协议网关，经过内部裸协议转发（即过滤之后）再提交给授权主机；

具体是，安全盒的发送的任何消息都将基于独立的AUTH网络传输，并由安全协议网关过滤，最终，裸协议被转发位于安全内网的授权主机，从而不存在黑客能够获取的任何漏洞（已知或未知）；

S012，授权主机处理经过过滤的协议消息，并基于协议向安全盒转回处理结果；

具体是，授权主机仅仅处理来自于安全协议网关过滤后的AUTH协议，并基于协议返回处理结果，提交给到安全协议网关，最终回到原始请求者处；

S013，如果双方均核对正常时，则安全盒基于临时密钥进行数据加密；

具体是，如果双方均认可消息，则核对正常后，安全盒基于临时密钥，对需要处理的数据进行数据的加密。通常，安全盒临时加密是对原始数据的帧头部分做加密，采用的加密算法可以是XOR或者某个公式，加密数据将上报给数据存储节点，并由位于内网的数据访问节点，独家获取数据存储节点的加密数据。由于该数据，不允许访问时保存、转发等，只能临时申请密钥看，因此，可以确保加密数据的安全性；

S014，需要访问数据的内部设备，基于安全盒获取加密数据的临时密钥在节点上恢复数据，并访问数据；

具体是，需要访问数据的数据访问节点，完全位于网络内部，不允许其具备外部访问接口和路由，它的内部设备总是基于与之用USB串口相连接的安全盒，来获取加密数据的文件名和参数，从文件名或参数中，基于从授权主机返回临时密钥，从而可以利用该密钥在本地节点上临时的恢复原始数据的片段，并访问。在任意永久性介质上，均不存在解密之后的数，要远远优于VPN数据库加密；

S015，出现异常时，授权主机或安全盒按照设备丢失、访问出错等报警信号通知管理员做出处理。

本发明通过设计一套裸转发的授权协议，以及定义授权主机，协议网关，安全盒，从而独立于操作系统、数据库、开发工具、开发语言、协议栈，实现了一个基于协议的外置的授权系统。它可以避免受到各类环境本身的漏洞的影响，确保数据始终处于安全的状态。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims

1.基于协议的外置授权系统，其特征在于，包括授权主机、协议网关、安全盒以及授权协议接口；

所述授权主机，记录全部所述安全盒的ID和密钥；

所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；

所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机；

所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。

2.根据权利要求1所述的基于协议的外置授权系统，其特征在于，所述协议网关为SIGN协议网关、VIEW协议网关及MAKE协议网关中的任一种。

3.根据权利要求1所述的基于协议的外置授权系统，其特征在于，所述授权协议包括数据备份协议、放号协议、登录获取临时密钥进行加密的协议、请求临时密钥进行解密的协议以及配置非安全盒设备的协议中一种或多种组合。

4.根据权利要求1-3任一所述的基于协议的外置授权系统的授权方法，其特征在于，包括如下步骤：

S010，安全盒与授权主机进行协议互认

S011，安全盒通过协议网关过滤消息，再转发至授权主机

S012，授权主机基于协议，做出处理结果并转回安全盒

5.根据权利要求4所述的授权方法，其特征在于，所述步骤S000对所述安全盒分配ID是指在安全环境，对一系列的所述安全盒分配ID，基于串口、网口、USB或各种内部网络通信将各个所述安全盒的ID和密钥同时登记于本安全盒及所述授权主机上。

6.根据权利要求4所述的授权方法，其特征在于，所述步骤S010中安全盒与授权主机进行协议互认，是指所述安全盒与所述授权主机基于定义好的协议，进行只扫包括所述安全盒ID和密钥参数的协议互认，互认后的参数将被同时存入所述安全盒和所述授权主机。

7.根据权利要求4所述的授权方法，其特征在于，所述步骤S013中安全盒基于临时密钥进行数据加密，是指采用XOR加密算法对原始数据的帧头部分做加密，并将加密数据上报给数据存储节点。