CN113872992B - 一种在BMC系统中实现远程Web访问强安全认证的方法 - Google Patents

Abstract

本发明公开了一种在BMC系统中实现远程Web访问强安全认证的方法，通过非对称密钥以及特殊设计的密钥认证步骤，实现对操作用户的强安全认证和有效期管理，包括非对称密钥的生成和分发、用户发起认证和服务器端认证用户三大步骤，其中每个大步骤中又包括了具体的子步骤。本发明可以使用户在与BMC系统交互过程中，无需通过传输密钥即可对用户进行认证；支持对用户密钥的有效期进行管理，只有在有效时间窗口内，用户才能够通过认证和授权；支持对用户的操作行为进行记录与审计。

Description

一种在BMC系统中实现远程Web访问强安全认证的方法

技术领域

本发明属于现代互联网信息技术领域，具体涉及一种在BMC系统中实现远程Web访问强安全认证的方法。

背景技术

BMC,全称为Baseboard Management Controller，即基板管理控制器，一种可以在远程对计算机进行加电、关机或状态监控的管理系统。

非对称密码体制也叫公钥加密技术，该技术是针对私钥密码体制(对称加密算法)的缺陷被提出来的。与对称密码体制不同，公钥加密系统中，加密和解密是相对独立的，加密和解密会使用两把不同的密钥，加密密钥(公开密钥)向公众公开，谁都可以使用，解密密钥(秘密密钥)只有解密人自己知道，非法使用者根据公开的加密密钥无法推算出解密密钥，这样就大大加强了信息保护的力度。

随着大数据和云计算的发展，越来越多的数据存储和计算任务转移到了云上，也就是由数据中心进行处理。由于数据中心需要消耗大量的电能并产生巨大的热量，因此大部分的数据中心都位于能源价格较低且具备优良散热条件的地区，以中国为例，大量的数据中心建设在位于贵州的溶洞之内。这些数据中心位置偏僻，再加上其本身噪声很大，因此数据中心的管理人员通常通过远程管理的方式对其进行监控和维护。这种远程管理通常通过BMC系统(一种由焊接在计算机主板上的管理芯片及在其上运行的配套固件组成的远程操作系统)来完成。

BMC(Baseboard Management Controller)系统是一类对服务器或交换机进行监控并提供远程控制接口的管理系统。该类系统通过LPC或USB等接口与主机内部的其他软硬件进行通信，并通过网络等远程传输接口向远程操作者提供查询和控制功能，可以让管理员远程接入主机发送指令或执行各种任务。

随着BMC系统功能的扩展，越来越多的操作可以通过远程完成，包括但不限于开关机、监控系统状态、安装操作系统、升级主板BIOS固件等。这些操作关乎系统安全和稳定，如果受到攻击或者由未经授权的用户操作，很可能导致系统崩溃或发生数据泄露。

在传统BMC系统中，通常使用账户权限控制来实现不同管理者对不同级别资源的访问权限控制。每一个管理员都拥有一个账户以及对应的密码，管理员通过该账户和密码登录至系统后执行操作。这种方法存在较多的安全隐患，比如：

1.系统存在出厂密码，用户在部署系统时常常忘记修改出厂密码；

2.为了管理的方便，用户常常设置弱密码，导致其极易被攻击者破解；

3.当系统存在多个管理员时，常常多人共用一套账户和密码，导致系统无法确认具体的操作命令究竟是由哪一个管理员发出的；

4.密码没有有效期，管理人员离职或转岗后仍然可以登录账号进行操作。

发明内容

本发明为解决上述技术问题而采用的技术方案是提供一种在BMC系统中实现远程Web访问强安全认证的方法，通过非对称密钥以及特殊设计的密钥认证步骤，实现对操作用户的强安全认证和有效期管理。具体采用的技术方案如下：

第一步，非对称密钥的生成和分发，包括下面具体步骤：

1.使用非对称密码体制算法为每一个用户生成其独有的公私密钥对，用户公钥KeyPub存储在BMC系统的服务端，用户私钥KeyPri由用户保存；

2.服务端使用用户公钥KeyPub对由用户id、密钥有效期和随机盐数据Salt组成的数据组进行加密并生成密文InfoA；

3.将用户id、密钥有效期、随机盐数据Salt及用户公钥KeyPub保存在BMC系统的服务端，加密后生成的密文InfoA由用户保存；

密钥分发完成后，每一个用户自身拥有用户id、用户私钥KeyPri和密文InfoA；BMC服务端存储有用户id、用户公钥KeyPub、密钥有效期和随机盐数据Salt；

第二步，用户发起认证，包括下面具体步骤：

1.用户向BMC服务端发送请求，获取当前会话的会话id；

2.用户浏览器使用用户私钥KeyPri解密密文InfoA，获得用户id、密钥有效期和盐数据Salt；

3.用户浏览器将用户id、密钥有效期、会话id和访问资源的路径组成组合数据TextB；

4.用户浏览器使用摘要算法对上述数据TextB进行摘要提取，获得摘要HashB；

5.用户浏览器使用用户私钥KeyPri对HashB进行签名，获得SignB；

6.用户浏览器根据本地时间生成时间戳Timestamp；

7.用户浏览器使用随机盐数据Salt和时间戳Timestamp组合生成传输密钥KeyTransfer；

8.用户浏览器使用传输密钥KeyTransfer对TextB和SignB组成的数据组进行加密获得密文InfoB；

9.用户浏览器在访问服务端资源时，将时间戳Timestamp和密文InfoB以参数或访问头部键值对的形式发送给服务端，作为认证的令牌；

第三步，服务器端认证用户，包括下面具体步骤：

1.用户浏览器向服务端发起资源访问请求，并发送请求访问资源路径、时间戳Timestamp和InfoB；

2.服务端接收到用户的资源访问请求后首先查询该用户对应的用户公钥KeyPub、密钥有效期及盐数据Salt是否存在；

3.若上述信息不存在或密钥有效期已经过期，则停止认证流程，并向用户返回拒绝服务的错误信息；

4.若密钥有效期未过期，服务端使用用户随机盐数据Salt和用户浏览器发送的时间戳Timestamp拼接获得传输密钥KeyTransfer’，并使用KeyTransfer’对用户发送的密文InfoB进行解密；

5.若正确解密，则可获得由用户id、密钥有效期、会话id和访问资源路径组成的数据组TextB’以及签名SignB’；若解密失败，则向用户浏览器返回错误信息，并停止服务；

6.服务端使用摘要算法对TextB’签名获得摘要HashB’，并使用用户公钥KeyPub对HashB’和SignB’进行验签操作；若验签未通过，则返回错误信息，并停止服务；

7.若验签通过，则服务端对下列每个条件进行判断，若触发其中任何一个条件，则服务端均向用户返回错误信息，并停止服务：

a)解密获得的用户id与发起请求的用户id不一致；

b)解密获得的密钥有效期与服务端存储的密钥有效期不一致；

c)解密获得的会话id在服务端不存在或已过期；

d)解密获得的访问资源路径与用户当前Web请求的访问资源路径不相等；

8.若上述每个条件均未触发，则认证通过，服务端向用户返回其请求的资源。

本发明的具体技术方案原理，进一步阐述如下：

现有BMC系统的用户认证流程为：

1.用户使用浏览器访问BMC登录页面，并将用户名和密码填写在输入框；

2.浏览器将用户名和密码发送至服务端；

3.服务端验证用户名和密码是否正确，如果正确则随机生成一个令牌(Token)返回给浏览器，并将该令牌记录在内存中；如用户名和密码不正确则返回认证失败；

4.浏览器将获得的令牌加入到之后所有浏览器的请求头(Header)中，服务端接收并确认请求头中的令牌后即认可该请求为用户已登录后的合法请求，并提供服务。

对比现有的BMC系统的用户认证流程，本发明是一种新的用户认证方法，可在原有用户名和密码认证的基础上新增，也可完全取代现有的认证流程，其具体步骤如下：

第一，非对称密钥的生成和分发。分为下面几个子步骤：

1.使用非对称密码体制算法为每一个用户生成其独有的公私密钥对，公钥存储在BMC系统的服务端。私钥由用户保存。在下文中，用户公钥称为KeyPub，用户私钥称为KeyPri。

2.服务端使用用户公钥KeyPub对由下列信息组成的数据组进行加密并生成密文InfoA：

·用户id

·密钥有效期

·随机盐数据，下文中称为Salt。

3.将用户id、密钥有效期、盐数据Salt及用户公钥KeyPub保存在BMC系统的服务端。加密后生成的密文InfoA，交由用户保存。

密钥分发完成后，每一个用户自身拥有：

·用户id；

·用户私钥KeyPri；

·密文InfoA；

BMC服务端存储有：

·用户id；

·用户公钥KeyPub；

·密钥有效期；

·盐数据Salt；

第二，用户发起认证，分为下面几个子步骤：

1.用户向BMC服务端发送请求，获取当前会话的会话id(Session id)。在浏览器和服务器的交互中，会话Session可以代表当前服务器与该浏览器建立的唯一的通信通道。

2.用户浏览器使用私钥KeyPri解密密文InfoA，获得用户id、密钥有效期和盐数据Salt。

3.用户浏览器将下列数据组成组合数据TextB，包括：

·用户id；

·密钥有效期；

·会话id(Session id)；

·访问资源的路径；

4.用户浏览器使用摘要算法对上述数据TextB进行摘要提取，获得摘要HashB。

5.用户浏览器使用私钥KeyPri对HashB进行签名，获得SignB。

6.用户浏览器根据本地时间生成时间戳Timestamp。

7.用户浏览器使用盐数据Salt和时间戳Timestamp组合生成传输密钥KeyTransfer。

8.用户浏览器使用传输密钥KeyTransfer对TextB、SignB组成的数据组进行加密获得InfoB。

9.用户浏览器在访问服务端资源时，将时间戳Timestamp和密文InfoB以参数或访问头(Header)键值对的形式发送给服务器端，作为认证的令牌。

第三，服务器端认证用户的步骤：

1.用户浏览器向服务端发起资源访问请求，并发送：

·请求资源地址；

·时间戳Timestamp；

·InfoB；

2.服务端接收到用户的访问请求后首先查询该用户对应的公钥KeyPub、密钥有效期及盐数据Salt是否存在；

3.若上述信息不存在或密钥已经过期，则停止认证流程，并向用户返回拒绝服务的错误信息。

4.若密钥未过期，服务端使用用户盐数据Salt和浏览器发送的时间戳拼接获得传输密钥KeyTransfer’，并使用KeyTransfer’对用户发送的InfoB进行解密。

5.如正确解密可获得由用户id、密钥有效期、会话id(Session id)和访问资源路径组成的数据组TextB’以及签名SignB’。若解密失败，则向浏览器返回错误信息，并停止服务。

6.服务端使用摘要算法对TextB’签名获得摘要HashB’，并使用公钥KeyPub对HashB’和SignB’进行验签操作。若验签未通过则返回错误信息，并停止服务。

7.若验签通过，则服务端对下列条件进行判断，触发其中任何一个条件，服务端均向用户返回错误信息，并停止服务。

①解密获得的用户id与发起请求的用户id不一致；

②解密获得的公钥有效期与服务端存储的公钥有效期不一致；

③解密获得的会话id(Session id)在服务端不存在或已过期；

④解密获得的访问资源路径与用户当前Web请求的资源路径不相等；

8.若上述条件均未触发，则认证通过，服务端向用户返回其请求的资源

通过上述方法，可以在用户不发送私钥的情况下实现对用户私钥的认证。本发明的关键点是提供了一种强安全认证方法，可以提高BMC系统的安全防护水平。其创新点包括：

1.在用户与BMC系统交互过程中，无需通过传输密钥即可对用户进行认证。

2.支持对用户密钥的有效期进行管理，只有在有效时间窗口内，用户才能够通过认证和授权。

3.支持对用户的操作行为进行记录与审计。

本发明达到的有益效果如下：

1.使用本发明的安全认证方法，BMC系统的操作认证不仅基于用户名和密码，还需要用户持有私钥，并通过正确的方式进行认证，该方法可解决用户密码被破译或泄露带来的安全风险。

2.本发明支持对用户密钥的有效期进行管理，只有在有效时间内，用户才能够通过认证和授权。从而，可降低人员流转、密码泄露或密钥泄露带来的安全风险。

3.本发明支持对所有持有私钥的用户进行操作行为记录，记录的信息包括私钥持有人、操作客户端IP、操作内容等，可以实现对用户操作行为的安全审计。

总之，利用本发明可以降低密码泄露带来的安全风险，提高恶意攻击者发起攻击的难度，从整体上提升BMC系统的安全等级。

附图说明

图1为现有BMC系统的用户认证流程示意图。

图2为本发明非对称密钥的生成和分发流程框图。

图3为本发明用户发起认证流程框图。

图4为本发明服务端认证用户流程框图。

具体实施方式

本发明为一种在BMC系统中实现远程Web访问强安全认证的方法，方法分为三个主要的部分：

·密钥的生成和分发

·用户发起认证

·服务器对用户进行认证

下面分别对三部分进行详细描述。

一、密钥的生成和分发。密钥的生成和分发是将密钥生成并分发给用户和服务端的过程。在本发明中，密钥由非对称加密体制算法生成。具体算法可选择RSA1024、RSA2048、ECC128、ECC256、ECC512、SM2中的任意一种。非对称加密体制算法会生成一组密钥对：公钥和对应的私钥。在本发明中，公钥分发给服务端，私钥分发给用户。其具体步骤如下：

1.根管理员在密钥生成和分发系统(下文简称密钥系统)发起密钥生成请求。

2.密钥系统使用非对称加密体制算法生成公钥KeyPub和私钥KeyPri。

3.密钥系统使用随机数算法生成一段盐数据Salt，数据的长度可以为64、128或256比特。

4.密钥系统按照设置的规则设定该组密钥对的过期时间ExpireTime。为了防止用户和服务端时区不一致带来的影响，该时间统一转换为UTC时间保存。

5.密钥系统将上述数据拼接成一个完整的字符串TextA：{用户id，ExpireTime，Salt}，并使用MD5或SHA256摘要算法对TextA生成摘要HashA。

6.系统使用公钥KeyPub对TextA和HashA加密，生成InfoA。

7.系统将私钥KeyPri、密文InfoA发送给用户，并将用户id，过期时间ExpireTime，盐数据Salt和用户公钥KeyPub保存在服务端数据库。

8.用户接收到私钥KeyPri后，使用私钥解密密文InfoA得到明文TextA’以及摘要HashA’,用户使用与服务端相同摘要算法对TextA’生成摘要签名HashA”，若HashA’与HashA”相等，则将私钥KeyPri和密文InfoA保存在本地，并向服务端发送成功信息；如不等则向服务端发送失败消息。

9.服务端接收到成功消息后则密钥分发完成；服务端收到失败消息后，将数据库存储的公钥条目删除，密钥分发失败。

二、用户发起认证。当用户需要发起服务端资源请求时，需要附带可供服务端认证的信息，以确认发送方的身份合法。以对资源Url发起请求为例，其过程如下：

1.用户首先向服务端发送请求，获取当前会话的会话id(Session id)。

2.用户浏览器使用私钥KeyPri解密密文InfoA，获得用户id、密钥有效期和盐数据Salt

3.用户浏览器将下列数据组成组合数据TextB：{用户id，ExpireTime，Sessionid，Url}。

4.用户浏览器使用摘要算法MD5或SHA256对TextB进行摘要提取获得HashB。

5.用户浏览器使用私钥KeyPri对HashB进行签名获得SignB。

6.用户浏览器使用盐Salt和当前时间的时间戳Timestamp拼接生成传输密钥KeyTransfer。

7.用户浏览器使用KeyTransfer加密由TetxB和SignB组成的数据组，并获得InfoB。加密使用的加密算法为AES或SM4。

8.用户浏览器发起对资源Url的请求时，将时间戳Timestamp和InfoB作为令牌，以参数或访问头(Header)键值对的形式发送给服务器端。

三、服务端对用户进行认证。服务端接收到用户对资源Url的访问时，需要利用请求附带的InfoB对发送方进行认证，其过程如下：

1.服务端获得用户浏览器向服务端发起资源访问请求，并接收到：

·请求资源地址Url

·时间戳Timestamp

·密文InfoB

2.服务端按照用户id查询本地数据库，获得该用户对应的公钥KeyPub、密钥有效期及盐数据Salt。

3.若上述信息不存在或密钥已经过期，则停止认证流程，并向用户返回拒绝服务的错误信息。

4.若密钥未过期，服务端使用盐数据Salt和时间戳拼接为传输密钥KeyTransfer。

5.服务端使用传输密钥KeyTransfer对用户发送的InfoB进行解密，解密算法与客户端的加密算法保持一致。获得TextB’：{用户id’，ExpireTime’，Session id’，Url’}以及签名SignB’。若解密失败，则返回拒绝服务的错误信息。

6.服务端使用与客户端一致的摘要算法对TextB’提取摘要获得HashB’，并使用KeyPub对HashB’和SignB’进行验签，若验签不通过，则返回错误信息，并停止服务。

7.若验签通过，则服务端对下列条件进行判断，触发其中任何一个条件，服务端均向用户返回错误信息，并停止服务。

①解密获得的用户id’与发起请求的用户id不一致；

②解密获得的密钥有效期ExpireTime’与服务端存储的密钥有效期不一致；

③解密获得的Session id’在服务端不存在或已过期；

④解密获得的访问资源路径Url’与用户当前Web请求的资源路径Url不相等；

8.若上述条件均未触发，则认证通过，服务端向用户返回其请求的资源。

9.在服务端记录本次请求的详细信息作为审计留档。

Claims (1)

1.一种在BMC系统中实现远程Web访问强安全认证的方法，其特征在于，包括以下步骤：

第一步，非对称密钥的生成和分发，包括下面具体步骤：

①使用非对称密码体制算法为每一个用户生成其独有的公私密钥对，用户公钥KeyPub存储在BMC系统的服务端，用户私钥KeyPri由用户保存；

②服务端使用用户公钥KeyPub对由用户id、密钥有效期和随机盐数据Salt组成的数据组进行加密并生成密文InfoA；

③将用户id、密钥有效期、随机盐数据Salt及用户公钥KeyPub保存在BMC系统的服务端，加密后生成的密文InfoA由用户保存；

密钥分发完成后，每一个用户自身拥有用户id、用户私钥KeyPri和密文InfoA；BMC服务端存储有用户id、用户公钥KeyPub、密钥有效期和随机盐数据Salt；

第二步，用户发起认证，包括下面具体步骤：

①用户向BMC服务端发送请求，获取当前会话的会话id；

②用户浏览器使用用户私钥KeyPri解密密文InfoA，获得用户id、密钥有效期和随机盐数据Salt；

③用户浏览器将用户id、密钥有效期、会话id和访问资源的路径组成组合数据TextB；

④用户浏览器使用摘要算法对上述数据TextB进行摘要提取，获得摘要HashB；

⑤用户浏览器使用用户私钥KeyPri对HashB进行签名，获得SignB；

⑥用户浏览器根据本地时间生成时间戳Timestamp；

⑦用户浏览器使用随机盐数据Salt和时间戳Timestamp组合生成传输密钥KeyTransfer；

⑧用户浏览器使用传输密钥KeyTransfer对TextB和SignB组成的数据组进行加密获得密文InfoB；

⑨用户浏览器在访问服务端资源时，将时间戳Timestamp和密文InfoB以参数或访问头部键值对的形式发送给服务端，作为认证的令牌；

第三步，服务端认证用户，包括下面具体步骤：

①用户浏览器向服务端发起资源访问请求，并发送请求访问资源路径、时间戳Timestamp和密文InfoB；

②服务端接收到用户的资源访问请求后首先查询该用户对应的用户公钥KeyPub、密钥有效期及随机盐数据Salt是否存在；

③若上述信息不存在或密钥有效期已经过期，则停止认证流程，并向用户返回拒绝服务的错误信息；

④若密钥有效期未过期，服务端使用用户随机盐数据Salt和用户浏览器发送的时间戳Timestamp拼接获得传输密钥KeyTransfer’，并使用KeyTransfer’对用户发送的密文InfoB进行解密；

⑤若正确解密，则获得由用户id、密钥有效期、会话id和访问资源路径组成的数据组TextB’以及签名SignB’；若解密失败，则向用户浏览器返回错误信息，并停止服务；

⑥服务端使用摘要算法对TextB’签名获得摘要HashB’，并使用用户公钥KeyPub对HashB’和SignB’进行验签操作；若验签未通过，则返回错误信息，并停止服务；

⑦若验签通过，则服务端对下列每个条件进行判断，若触发其中任何一个条件，则服务端均向用户返回错误信息，并停止服务：

a)解密获得的用户id与发起请求的用户id不一致；

b)解密获得的密钥有效期与服务端存储的密钥有效期不一致；

c)解密获得的会话id在服务端不存在或已过期；

d)解密获得的访问资源路径与用户当前Web请求的访问资源路径不相等；

⑧若上述每个条件均未触发，则认证通过，服务端向用户返回其请求的资源。

Images