CN112016073B - 一种服务器零信任连接架构的构建方法 - Google Patents
一种服务器零信任连接架构的构建方法 Download PDFInfo
- Publication number
- CN112016073B CN112016073B CN202010896122.9A CN202010896122A CN112016073B CN 112016073 B CN112016073 B CN 112016073B CN 202010896122 A CN202010896122 A CN 202010896122A CN 112016073 B CN112016073 B CN 112016073B
- Authority
- CN
- China
- Prior art keywords
- server
- management center
- communication
- certificate
- connection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000010276 construction Methods 0.000 title claims abstract description 14
- 230000006854 communication Effects 0.000 claims abstract description 96
- 238000004891 communication Methods 0.000 claims abstract description 80
- 238000000034 method Methods 0.000 claims abstract description 64
- 230000008569 process Effects 0.000 claims abstract description 46
- 238000012795 verification Methods 0.000 claims abstract description 33
- 238000005259 measurement Methods 0.000 claims abstract description 29
- 230000005540 biological transmission Effects 0.000 claims abstract description 18
- 230000003993 interaction Effects 0.000 claims abstract description 9
- 101100234002 Drosophila melanogaster Shal gene Proteins 0.000 claims description 6
- 235000015076 Shorea robusta Nutrition 0.000 claims description 6
- 244000166071 Shorea robusta Species 0.000 claims description 6
- 238000004458 analytical method Methods 0.000 claims description 6
- 238000005516 engineering process Methods 0.000 abstract description 17
- 238000009792 diffusion process Methods 0.000 abstract description 3
- 238000011160 research Methods 0.000 abstract description 3
- 230000009286 beneficial effect Effects 0.000 description 7
- 238000007726 management method Methods 0.000 description 6
- 230000007246 mechanism Effects 0.000 description 5
- 101100217298 Mus musculus Aspm gene Proteins 0.000 description 4
- 241000700605 Viruses Species 0.000 description 4
- 238000009434 installation Methods 0.000 description 4
- 238000012550 audit Methods 0.000 description 2
- 230000006399 behavior Effects 0.000 description 2
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 2
- 238000011900 installation process Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000006467 substitution reaction Methods 0.000 description 2
- 239000008358 core component Substances 0.000 description 1
- 238000005538 encapsulation Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000009545 invasion Effects 0.000 description 1
- 239000012466 permeate Substances 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- General Health & Medical Sciences (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种服务器零信任连接架构的构建方法，包括以下步骤：S1：利用内部网络部署管理中心，并在各个服务器中安装客户端；S2：通过用户将管理中心与各个客户端建立通信连接；S3：对需要进行信息交互的服务器依次进行身份验证、进程鉴别验证和通信传输加密，完成服务器零信任连接架构的构建。本发明针对信息系统攻击的方式、方法和途径进行了大量的研究，进一步结合可信计算技术，集网络访问权限控制技术、服务器身份认证技术、通信主体度量技术和网络链路透明加密技术，建立了一种服务器零信任架构通信保障体系，确保信息系统中服务器的安全性，有效避免了信息系统安全威胁扩散和敏感信息被窃。
Description
技术领域
本发明属于网络安全技术领域，具体涉及一种服务器零信任连接架构的构建方法。
背景技术
随着互联网技术的普及，网络因其便捷高效的通信特性渗透到人们日常生活的方方面面，给我们的学习以及工作带来了极大的便利，但是随之而来的各种安全风险(信息泄露和病毒传播等)威胁着整个服务器通讯系统。因此在数字化通信时代的今天，网络连接和服务器通信的安全问题也来越受到人们的重视。
服务器作为信息系统的核心组成部分，承载着信息系统关键的业务服务，随着信息化的不断完善，各式各样的业务服务也越来越多，在这些业务服务正常运行的同时，也面临着严重的安全问题，例如非法访问、身份冒充、嗅探和窃听等攻击等手段以及蠕虫病毒和恶意程序的入侵，导致信息系统遭到破坏或敏感的数据信息被窃取、篡改和滥用，使信息系统安全遭受到严重的威胁。
随着黑客丛出不穷的攻击，以及企业业务系统与外部服务器之间不可避免的数据交互，给企业内部网络带来安全风险。而传统的服务器连接安全技术越来越难以应对日益复杂的网络安全现状。因此本申请提出了一种针对服务器零信任连接架构的安全传输方法，旨在进一步维护服务器之间的安全通信。
发明内容
本发明的目的是为了解决服务器零信任连接架构的安全传输问题，提出了一种服务器零信任连接架构的构建方法。
本发明的技术方案是：一种服务器零信任连接架构的构建方法包括以下步骤：
S1：利用内部网络部署管理中心，并在各个服务器中安装客户端；
S2：通过用户将管理中心与各个客户端建立通信连接；
S3：利用管理中心与各个客户端之间的通信连接，对需要进行信息交互的服务器依次进行身份验证、进程鉴别验证和通信传输加密，完成服务器零信任连接架构的构建。
本发明的有益效果是：
(1)本发明针对信息系统攻击的方式、方法和途径进行了大量的研究，进一步结合可信计算技术，集网络访问权限控制技术、服务器身份认证技术、通信主体度量技术和网络链路透明加密技术，建立了一种服务器零信任架构通信保障体系，确保信息系统中服务器的安全性，有效避免了信息系统安全威胁扩散和敏感信息被窃。
(2)系统安装过程透明，不改变网络拓扑及业务应用，采用B/S管理模式，可对系统内部终端主机进行集中管理。
(3)采用数字证书确保内部通信主机身份安全可信，支持对服务器进站和出站数据进行权限控制，支持对通信主机双方的主机身份进行安全认证，支持对通信主机双方的通信进程进行安全认证，支持对通信数据加密，防止非法程序或用户窃听。
(4)支持服务器网络通信学习，允许自主构建通信安全防护策略。
(5)兼容适应性强，能够支持Windows xp以上系统和Linux操作系统等多个操作系统。
进一步地，步骤S2包括以下子步骤：
S21：通过客户端，在管理中心进行用户注册；
S22：利用管理中心批准通过用户注册，并与各个客户端建立通信连接。
进一步地，步骤S3中，各个服务器之间采用零信任模式，默认全部拒绝连接。
上述进一步方案的有益效果是：在本发明中，业务系统服务器之间的网络访问以及通信连接采用零信任模式，默认全部拒绝连接，切断一切数据信息的交互，保证服务器业务的绝对安全。
进一步地，步骤S3中，身份验证包括以下子步骤：
A31：利用管理中心向注册成功的服务器下发管理中心根证书和平台身份证书；
A32：利用服务器PA向服务器PB发送平台身份证书和加密字符串；
A33：利用管理中心接受平台身份证书和加密字符串；
A34：利用管理中心根证书对服务器PA的平台身份证书进行验证，若验证成功则进入步骤A35，否则进入步骤A38；
A35：利用管理中心解析服务器PA的加密字符串，若解析成功则进入步骤A36，否则进入步骤A38；
A36：利用管理中心根证书对服务器PB的平台身份证书进行验证，若验证成功则进入步骤A37，否则进入步骤A38；
A37：利用管理中心解析服务器PB的加密字符串，若解析成功则进入步骤A39，否则进入步骤A38；
A38：发送证书验证失败指令，拒绝服务器PA对服务器PB的访问请求；
A39：放行服务器PA对服务器PB的访问请求，完成身份验证。
上述进一步方案的有益效果是：在本发明中，管理中心向信息业务系统的每一台服务器颁发数字证书来标示服务器的身份并确保服务器唯一性，在信息业务系统内部服务器之间进行通信时，自动对通信双方进行身份认证，只有双方身份都经过认证后，才允许主机之间建立通信会话，否则将拒绝主机建立通信会话，有效防止内部私自接入的主机与业务系统建立通信，避免信息系统内部出现内部违规破坏。同时身份认证采用数字证书认证，用来保证通信对方的平台的可信性。用户向管理中心注册成功后，本地会收到管理中心下发的两个数字证书：管理中心根证书和平台身份证书，其中平台证书为安全管理中心签过名的本地平台证书。服务器PA和服务器PB代表不同的主机。服务器PA的进程M准备访问服务器PB的进程N。
进一步地，步骤S3中，进程鉴别验证包括以下子步骤：
B31：利用管理中心对所有服务器进行可信度量，得到进程哈希表；
B32：将服务器PA的可信度量与服务器PB的可信度量进行匹配校验，若服务器PA和服务器PB的可信度量均与管理中心的进程哈希表匹配成功，则允许建立连接，否则不允许连接，完成进程鉴别验证。
上述进一步方案的有益效果是：在本发明中，根据信息系统内部业务服务器的网络访问的需求，信息系统内部的服务器进行通信进程采集，当服务器发起通信时，能够根据通信内容自动分析出源通信进程及目标通信进程，并对通信双方通信进程进行可信鉴别，当通信进程不可信或通信进程被篡改时，将拒绝双方通信请求，避免因程序被非法篡改、系统被植入病毒木马后向其他业务主机发起通信而导致的业务数据被窃或导致业务程序错误。可信进程在学习模式时，采集到的通信连接对应的进程文件，计算其HASH值，并把数据上传管理中心。进程度量用来保证学习时的进程和真正走可信连接时的进程的一致性，防止同名程序替换和非可信进程占用端口伪装等行为。
进一步地，步骤B31中，进行可信度量的方法为：采用SHAL+密码的形式，利用SHAL计算HASH值时，加入密码，完成可信度量。
上述进一步方案的有益效果是：在本发明中，进程的Hash算法采用SHA1+密码的方式，在用SHA1计算文件内容Hash过程时加入自己的密码，得出自己独有的算法结果值。可以根据需要在特定版本出货时改变算法的密码，使只有该版本的可信平台可通过验证，保证更高的安全性。
进一步地，通信传输加密包括以下子步骤：
C31：通过服务器PA向服务器PB发送加密信息；
C32：利用服务器PB接收加密信息并确认加密方式、数字安全证书和第二随机数；
C33：利用服务器PA确认数字安全证书的有效性，并生成第三随机数；
C34：利用服务器PB的数字安全证书公钥对第三随机数进行加密，并发送给服务器PA；
C35：利用服务器PB的数字安全证书私钥解密第三随机数；
C36：利用服务器PB的加密方式将第一随机数、第二随机数和第三随机数生成对话密钥，完成通信传输加密。
上述进一步方案的有益效果是：在本发明中，传输加密以openSSL加密协议为基础，其中的设置的加密过程为：信息+密钥+算法＝密文，其原理如下：服务器PA开启对服务器PB的安全通信时，会先让PA安装一个数字证书，这个证书主要包含的是管理中心的公钥。服务器PB发来管理中心给自己的证书，通过管理中心公钥解密被管理中心私钥加密的hash1，然后再用服务器PB的证书里面的hash算法将信息生成一个hash2，通过比较两个hash，若相等，确认这个数字证书的有效性(是服务器PB的)。
进一步地，步骤C31中，加密信息包括支持的SSL版本、第一随机数和服务器PA支持的加密方式。
附图说明
图1为构建方法的流程图。
具体实施方式
下面结合附图对本发明的实施例作进一步的说明。
在描述本发明的具体实施例之前，为使本发明的方案更加清楚完整，首先对本发明中出现的缩略语和关键术语定义进行说明：
身份验证：身份验证，也称为“身份认证”或“身份鉴别”，是指在计算机及计算机网络系统中确认操作者身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限。
OpenSSL加密：OpenSSL是一个强大的安全套接字层密码库，囊括主要的密码算法、常用的密钥和证书封装管理功能及SSL协议，并提供丰富的应用程序供测试或其它目的使用。
在服务器连接默认零信任的基础下，根据用户业务系统的实际需求建立服务器网络通信连接安全验证机制，针对系统业务员及服务器连接双方身份认证机制，通信进程文件HASH校验的进程度量机制以及通信内容OpenSSL数据加密机制。在满足服务器连接安全的基础上保证用户以及企业业务的正常进行。
本发明提出的一种服务器零信任连接架构的构建方法，对因实际业务需求而建立的安全连接，进行三步安全校验：服务器通信双方身份认证；通信进程度量，进程文件HASH校验；传输通信OpenSSL协商加密，支持用户自定义网络安全策略。采用多种当今最为流行的网络安全传输技术。除非能够实现以上安全防护机制，才有可能完全替代本方案。
如图1所示，本发明提供了一种服务器零信任连接架构的构建方法，包括以下步骤：
S1：利用内部网络部署管理中心，并在各个服务器中安装客户端；
S2：通过用户将管理中心与各个客户端建立通信连接；
S3：利用管理中心与各个客户端之间的通信连接，对需要进行信息交互的服务器依次进行身份验证、进程鉴别验证和通信传输加密，完成服务器零信任连接架构的构建。
在本发明实施例中，如图1所示，步骤S2包括以下子步骤：
S21：通过客户端，在管理中心进行用户注册；
S22：利用管理中心批准通过用户注册，并与各个客户端建立通信连接。
进一步地，步骤S3中，各个服务器之间采用零信任模式，默认全部拒绝连接。
在本发明中，业务系统服务器之间的网络访问以及通信连接采用零信任模式，默认全部拒绝连接，切断一切数据信息的交互，保证服务器业务的绝对安全。
在本发明实施例中，如图1所示，步骤S3中，身份验证包括以下子步骤：
A31：利用管理中心向注册成功的服务器下发管理中心根证书和平台身份证书；
A32：利用服务器PA向服务器PB发送平台身份证书和加密字符串；
A33：利用管理中心接受平台身份证书和加密字符串；
A34：利用管理中心根证书对服务器PA的平台身份证书进行验证，若验证成功则进入步骤A35，否则进入步骤A38；
A35：利用管理中心解析服务器PA的加密字符串，若解析成功则进入步骤A36，否则进入步骤A38；
A36：利用管理中心根证书对服务器PB的平台身份证书进行验证，若验证成功则进入步骤A37，否则进入步骤A38；
A37：利用管理中心解析服务器PB的加密字符串，若解析成功则进入步骤A39，否则进入步骤A38；
A38：发送证书验证失败指令，拒绝服务器PA对服务器PB的访问请求；
A39：放行服务器PA对服务器PB的访问请求，完成身份验证。
在本发明中，管理中心向信息业务系统的每一台服务器颁发数字证书来标示服务器的身份并确保服务器唯一性，在信息业务系统内部服务器之间进行通信时，自动对通信双方进行身份认证，只有双方身份都经过认证后，才允许主机之间建立通信会话，否则将拒绝主机建立通信会话，有效防止内部私自接入的主机与业务系统建立通信，避免信息系统内部出现内部违规破坏。同时身份认证采用数字证书认证，用来保证通信对方的平台的可信性。用户向管理中心注册成功后，本地会收到管理中心下发的两个数字证书：管理中心根证书和平台身份证书，其中平台证书为安全管理中心签过名的本地平台证书。服务器PA和服务器PB代表不同的主机。服务器PA的进程M准备访问服务器PB的进程N。
在本发明实施例中，如图1所示，步骤S3中，进程鉴别验证包括以下子步骤：
B31：利用管理中心对所有服务器进行可信度量，得到进程哈希表；
B32：将服务器PA的可信度量与服务器PB的可信度量进行匹配校验，若服务器PA和服务器PB的可信度量均与管理中心的进程哈希表匹配成功，则允许建立连接，否则不允许连接，完成进程鉴别验证。
在本发明中，根据信息系统内部业务服务器的网络访问的需求，信息系统内部的服务器进行通信进程采集，当服务器发起通信时，能够根据通信内容自动分析出源通信进程及目标通信进程，并对通信双方通信进程进行可信鉴别，当通信进程不可信或通信进程被篡改时，将拒绝双方通信请求，避免因程序被非法篡改、系统被植入病毒木马后向其他业务主机发起通信而导致的业务数据被窃或导致业务程序错误。可信进程在学习模式时，采集到的通信连接对应的进程文件，计算其HASH值，并把数据上传管理中心。进程度量用来保证学习时的进程和真正走可信连接时的进程的一致性，防止同名程序替换和非可信进程占用端口伪装等行为。
在本发明实施例中，如图1所示，步骤B31中，进行可信度量的方法为：采用SHAL+密码的形式，利用SHAL计算HASH值时，加入密码，完成可信度量。
在本发明中，进程的Hash算法采用SHA1+密码的方式，在用SHA1计算文件内容Hash过程时加入自己的密码，得出自己独有的算法结果值。可以根据需要在特定版本出货时改变算法的密码，使只有该版本的可信平台可通过验证，保证更高的安全性。
在本发明实施例中，如图1所示，通信传输加密包括以下子步骤：
C31：通过服务器PA向服务器PB发送加密信息；
C32：利用服务器PB接收加密信息并确认加密方式、数字安全证书和第二随机数；
C33：利用服务器PA确认数字安全证书的有效性，并生成第三随机数；
C34：利用服务器PB的数字安全证书公钥对第三随机数进行加密，并发送给服务器PA；
C35：利用服务器PB的数字安全证书私钥解密第三随机数；
C36：利用服务器PB的加密方式将第一随机数、第二随机数和第三随机数生成对话密钥，完成通信传输加密。
在本发明中，传输加密以openSSL加密协议为基础，其中的设置的加密过程为：信息+密钥+算法＝密文，其原理如下：服务器PA开启对服务器PB的安全通信时，会先让PA安装一个数字证书，这个证书主要包含的是管理中心的公钥。服务器PB发来管理中心给自己的证书，通过管理中心公钥解密被管理中心私钥加密的hash1，然后再用服务器PB的证书里面的hash算法将信息生成一个hash2，通过比较两个hash，若相等，确认这个数字证书的有效性(是服务器PB的)。
在本发明实施例中，如图1所示，步骤C31中，加密信息包括支持的SSL版本、第一随机数和服务器PA支持的加密方式。
本发明的工作原理及过程为：本发明由管理中心和客户端共同组成，采用C/S部署模式和B/S管理方式，管理中心由WEB管理平台、策略及审计数据库和通信代理组成，用户可通过一键安装包安装管理中心，安装后可直接通过浏览器登陆WEB管理中心进行系统管理、安全策略配置和审计查看。客户端是在用户信息系统服务器中通过访问管理中心下载客户端程序进行在线安装，安装后用户通过填写服务器基本信息将服务器流程注册到管理中心。
本发明采用根据信息系统内部业务主机的网络访问需求制定基于五元组(源地址、端口、目的地址、端口、协议)的主机网络访问策略。采用零信任连接加工模式，默认拒绝一切进站和出站请求。并对因业务需要而建立的每一次服务连接，进行身份认证、进程度量以及通信加密等方式进行安全验证；进一步控制主机服务器网络进站和出站访问的权限，只允许符合业务要求的网络进站或出站请求，拒绝不符合业务要求的网络进站或出站请求，有效防止外部非法人员入侵系统以后将信息系统内部主机作为跳板，从而对整个内部网络造成安全隐患。其主要流程如下：(1)业务系统服务器之间的网络访问以及通信连接采用零信任模式，默认全部拒绝连接，切断一切数据信息的交互，保证服务器业务的绝对安全。(2)因实际业务需求，需要建立通信连接或进行服务器之间的信息交互，需要学习连接，对需要开启的连接进行三次安全验证：分别是服务前安全连接身份认证；进程鉴别度量；通信和数据传输加密。
本发明的有益效果为：
(1)本发明针对信息系统攻击的方式、方法和途径进行了大量的研究，进一步结合可信计算技术，集网络访问权限控制技术、服务器身份认证技术、通信主体度量技术和网络链路透明加密技术，建立了一种服务器零信任架构通信保障体系，确保信息系统中服务器的安全性，有效避免了信息系统安全威胁扩散和敏感信息被窃。
(2)系统安装过程透明，不改变网络拓扑及业务应用，采用B/S管理模式，可对系统内部终端主机进行集中管理。
(3)采用数字证书确保内部通信主机身份安全可信，支持对服务器进站和出站数据进行权限控制，支持对通信主机双方的主机身份进行安全认证，支持对通信主机双方的通信进程进行安全认证，支持对通信数据加密，防止非法程序或用户窃听。
(4)支持服务器网络通信学习，允许自主构建通信安全防护策略。
(5)兼容适应性强，能够支持Windows xp以上系统和Linux操作系统等多个操作系统。
本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的原理，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。
Claims (4)
1.一种服务器零信任连接架构的构建方法，其特征在于，包括以下步骤：
S1：利用内部网络部署管理中心，并在各个服务器中安装客户端；
S2：通过用户将管理中心与各个客户端建立通信连接；
S3：利用管理中心与各个客户端之间的通信连接，对需要进行信息交互的服务器依次进行身份验证、进程鉴别验证和通信传输加密，完成服务器零信任连接架构的构建；
所述步骤S3中，身份验证包括以下子步骤：
A31：利用管理中心向注册成功的服务器下发管理中心根证书和平台身份证书；
A32：利用服务器PA向服务器PB发送平台身份证书和加密字符串；
A33：利用管理中心接受平台身份证书和加密字符串；
A34：利用管理中心根证书对服务器PA的平台身份证书进行验证，若验证成功则进入步骤A35，否则进入步骤A38；
A35：利用管理中心解析服务器PA的加密字符串，若解析成功则进入步骤A36，否则进入步骤A38；
A36：利用管理中心根证书对服务器PB的平台身份证书进行验证，若验证成功则进入步骤A37，否则进入步骤A38；
A37：利用管理中心解析服务器PB的加密字符串，若解析成功则进入步骤A39，否则进入步骤A38；
A38：发送证书验证失败指令，拒绝服务器PA对服务器PB的访问请求；
A39：放行服务器PA对服务器PB的访问请求，完成身份验证；
进程鉴别验证包括以下子步骤：
B31：利用管理中心对所有服务器进行可信度量，得到进程哈希表；
B32：将服务器PA的可信度量与服务器PB的可信度量进行匹配校验，若服务器PA和服务器PB的可信度量均与管理中心的进程哈希表匹配成功，则允许建立连接，否则不允许连接，完成进程鉴别验证；
所述通信传输加密包括以下子步骤：
C31：通过服务器PA向服务器PB发送加密信息；
所述步骤C31中，加密信息包括支持的SSL版本、第一随机数和服务器PA支持的加密方式；
C32：利用服务器PB接收加密信息并确认加密方式、数字安全证书和第二随机数；
C33：利用服务器PA确认数字安全证书的有效性，并生成第三随机数；
C34：利用服务器PB的数字安全证书公钥对第三随机数进行加密，并发送给服务器PA；
C35：利用服务器PB的数字安全证书私钥解密第三随机数；
C36：利用服务器PB的加密方式将第一随机数、第二随机数和第三随机数生成对话密钥，完成通信传输加密。
2.根据权利要求1所述的服务器零信任连接架构的构建方法，其特征在于，所述步骤S2包括以下子步骤：
S21：通过客户端，在管理中心进行用户注册；
S22：利用管理中心批准通过用户注册，并与各个客户端建立通信连接。
3.根据权利要求1所述的服务器零信任连接架构的构建方法，其特征在于，所述步骤S3中，各个服务器之间采用零信任模式，默认全部拒绝连接。
4.根据权利要求1所述的服务器零信任连接架构的构建方法，其特征在于，所述步骤B31中，进行可信度量的方法为：采用SHAL+密码的形式，利用SHAL计算HASH值时，加入密码，完成可信度量。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010896122.9A CN112016073B (zh) | 2020-08-31 | 2020-08-31 | 一种服务器零信任连接架构的构建方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010896122.9A CN112016073B (zh) | 2020-08-31 | 2020-08-31 | 一种服务器零信任连接架构的构建方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN112016073A CN112016073A (zh) | 2020-12-01 |
| CN112016073B true CN112016073B (zh) | 2023-12-19 |
Family
ID=73504045
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010896122.9A Active CN112016073B (zh) | 2020-08-31 | 2020-08-31 | 一种服务器零信任连接架构的构建方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112016073B (zh) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114666080A (zh) * | 2020-12-23 | 2022-06-24 | 息象(北京)科技发展有限公司 | 通信方法、零信任架构体系下的目标系统及网络系统 |
| CN112291071B (zh) * | 2020-12-24 | 2021-04-06 | 飞天诚信科技股份有限公司 | 一种适用于零信任网络的密码管理方法及系统 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN110708337A (zh) * | 2019-10-30 | 2020-01-17 | 山东浪潮商用系统有限公司 | 一种基于身份认证的大数据安全框架系统 |
| CN111212095A (zh) * | 2020-04-20 | 2020-05-29 | 国网电子商务有限公司 | 一种身份信息的认证方法、服务器、客户端及系统 |
| CN111490993A (zh) * | 2020-04-13 | 2020-08-04 | 江苏易安联网络技术有限公司 | 一种应用访问控制安全系统及方法 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10771435B2 (en) * | 2018-11-20 | 2020-09-08 | Netskope, Inc. | Zero trust and zero knowledge application access system |
-
2020
- 2020-08-31 CN CN202010896122.9A patent/CN112016073B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN110708337A (zh) * | 2019-10-30 | 2020-01-17 | 山东浪潮商用系统有限公司 | 一种基于身份认证的大数据安全框架系统 |
| CN111490993A (zh) * | 2020-04-13 | 2020-08-04 | 江苏易安联网络技术有限公司 | 一种应用访问控制安全系统及方法 |
| CN111212095A (zh) * | 2020-04-20 | 2020-05-29 | 国网电子商务有限公司 | 一种身份信息的认证方法、服务器、客户端及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112016073A (zh) | 2020-12-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9781114B2 (en) | Computer security system | |
| US7853783B2 (en) | Method and apparatus for secure communication between user equipment and private network | |
| US8024488B2 (en) | Methods and apparatus to validate configuration of computerized devices | |
| US8978125B2 (en) | Identity controlled data center | |
| CN109687965B (zh) | 一种保护网络中用户身份信息的实名认证方法 | |
| US9043589B2 (en) | System and method for safeguarding and processing confidential information | |
| US20090240936A1 (en) | System and method for storing client-side certificate credentials | |
| US20050132229A1 (en) | Virtual private network based on root-trust module computing platforms | |
| WO2018157247A1 (en) | System and method for securing communications with remote security devices | |
| CN110198297B (zh) | 流量数据监控方法、装置、电子设备及计算机可读介质 | |
| Jeong et al. | An efficient authentication system of smart device using multi factors in mobile cloud service architecture | |
| CN112016073B (zh) | 一种服务器零信任连接架构的构建方法 | |
| US9021253B2 (en) | Quarantine method and system | |
| JP2022512352A (ja) | リダイレクションを含むタイムスタンプベースの認証 | |
| CN102333098A (zh) | 一种安全私有云系统的实现方法 | |
| Purchina et al. | Securing an Information System via the SSL Protocol. | |
| CN106576050B (zh) | 三层安全和计算架构 | |
| CN116248405A (zh) | 一种基于零信任的网络安全访问控制方法及采用该方法的网关系统、存储介质 | |
| CN115277237A (zh) | 移动终端接入企业内网的控制方法及装置 | |
| KR101009261B1 (ko) | 네트워크 필터링장치를 이용한 인증서 기반 네트워크 접근 제어시스템 | |
| WO2009005698A1 (en) | Computer security system | |
| CN117749393B (zh) | 基于协同签名的sslvpn用户身份验证方法及系统 | |
| Xu et al. | Research on FIDO Authentication Based on IPv6 | |
| Tatavarthi et al. | Cyber security of an industrial IoT gateway device-a threat model view and security aspects | |
| CN117834218A (zh) | 一种基于零信任架构的统一身份认证方法及平台 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |