CN113904805B - 基于认证卸载的拟态通信方法及系统 - Google Patents

基于认证卸载的拟态通信方法及系统 Download PDF

Info

Publication number
CN113904805B
CN113904805B CN202111036497.9A CN202111036497A CN113904805B CN 113904805 B CN113904805 B CN 113904805B CN 202111036497 A CN202111036497 A CN 202111036497A CN 113904805 B CN113904805 B CN 113904805B
Authority
CN
China
Prior art keywords
authentication
random number
key
client
mimicry
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111036497.9A
Other languages
English (en)
Other versions
CN113904805A (zh
Inventor
雷合磊
冯志峰
郭义伟
顾长顺
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhuhai Comleader Information Technology Co Ltd
Henan Xinda Wangyu Technology Co Ltd
Original Assignee
Zhuhai Comleader Information Technology Co Ltd
Henan Xinda Wangyu Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhuhai Comleader Information Technology Co Ltd, Henan Xinda Wangyu Technology Co Ltd filed Critical Zhuhai Comleader Information Technology Co Ltd
Priority to CN202111036497.9A priority Critical patent/CN113904805B/zh
Publication of CN113904805A publication Critical patent/CN113904805A/zh
Application granted granted Critical
Publication of CN113904805B publication Critical patent/CN113904805B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供了一种基于认证卸载的拟态通信方法及系统，所述方法包括以下步骤：每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；认证模块对客户端进行身份认证，身份认证通过后，共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；因此，本发明不用各个在线执行体分别单独对客户端进行身份认证，从而卸载了认证模块的随机因子进行一对多的分发处理；对于客户端和异构执行体通信双方来说，通过中间的认证模块，使其通信不再关注认证相关问题，只需要做数据交互即可。

Description

基于认证卸载的拟态通信方法及系统
技术领域
本发明涉及拟态防御技术领域，具体的说，涉及了一种基于认证卸载的拟态通信方法及系统。
背景技术
随着数字化和网络化的迅猛发展，数据网络化越来越普及，但是网络环境的复杂性和网络系统的易攻难守性，导致数据在网络上的传输和存储都面临着较大的数据泄露的安全风险。邬江兴院士提出的网络空间拟态防御理论应运而生，颠覆了传统网络空间被动防御思想，内生安全特性大大增强了网络系统的稳定性和安全性，尤其是对未知攻击的防御达到了传统网络安全技术无法实现的技术层面。
HTTP文件存储作为使用HTTP协议传输的存储系统，其能通过浏览器访问后端存储，进而实现文件的上传和下载，具有简单、快捷和灵活的特点，使得HTTP文件存储系统在日益壮大的存储市场中也占据着不可替代的地位。
然而，HTTP文件存储简单、快捷、灵活的特点也引入了安全隐患，虽然HTTPS协议在一定程度上解决了身份伪装和数据传输过程中的泄露问题，但是其并不能做到对后端服务攻击的屏蔽，面对各种各样的攻击，基于其上的后期被动防御难度大大增加，面对网络上各种各样的攻击，网络系统的稳定性和可用性大大降低，同时数据泄露的风险也急剧增加。
拟态存储系统虽然能够降低数据泄露的风险，但是，拟态存储系统需要认证策略来提高安全性，而认证策略必须通过引入随机因子来提升认证安全系数，且需要对拟态执行体中的随机因子进行归一化处理，然而，传统认证策略势必破坏执行体中同一输入、输出相同结果的假设。
为了解决以上存在的问题，人们一直在寻求一种理想的技术解决方案。
发明内容
本发明的目的是针对现有技术的不足，从而提供一种基于认证卸载的拟态通信方法及系统。
为了实现上述目的，本发明所采用的技术方案是：
本发明第一方面提供一种基于认证卸载的拟态通信方法，所述方法包括以下步骤；
在业务处理之前：
每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，每个在线异构执行体分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；其中，所述第一会话密钥与第一拟态通信链路一一对应设置；
认证模块对客户端进行身份认证，身份认证通过后，认证模块与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；
在业务处理时：
客户端生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
认证模块采用预存的第二会话密钥对所述业务数据密文Ⅰ进行解密验证，解密验证通过后，获得所述业务数据明文；
认证模块采用对应的第一会话密钥对所述业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
输入代理的分发模块将所述业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体；
在线异构执行体接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；
在线异构执行体基于所述业务数据明文，生成业务处理结果明文。
进一步的，在线异构执行体基于所述业务数据明文，生成业务处理结果明文之后，还执行：
在线异构执行体采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；
裁决器对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述裁决器，经输出代理将所述裁决结果密文传输至客户端；
所述客户端利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
本发明第二方面提供一种基于认证卸载的拟态通信系统，所述拟态通信系统包括认证模块、客户端、输入代理和在线异构执行体，其中，
所述认证模块，分别与所述客户端和输入代理的分发模块通讯互联，用于对客户端进行身份认证，身份认证通过后，与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；还用于采用预存的第二会话密钥对业务数据密文Ⅰ进行解密验证，解密验证通过后，获得业务数据明文；还用于采用对应的第一会话密钥对业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
所述在线异构执行体，与所述认证模块通讯互联，用于分别对输入代理进行身份认证，身份认证通过后，分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；还用于在接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；还用于基于所述业务数据明文，生成业务处理结果明文；其中，所述第一会话密钥与第一拟态通信链路一一对应设置；
所述客户端，与所述输入代理通讯互联，用于在业务处理时，生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
所述输入代理的分发模块，分别与各个在线异构执行体通讯互联，用于将接收到的业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体。
进一步的，所述拟态通信系统还包括裁决器和输出代理；
所述在线异构执行体，与所述裁决器通讯互联，还用于在生成业务处理结果明文之后，采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器，与所述输出代理通讯互联，用于在接收到业务处理结果密文后，调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；还用于对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述输出代理，分别与所述裁决器和所述客户端通讯互联，用于接收来自所述裁决器的裁决结果密文，并将所述裁决结果密文转发至所述客户端；
所述客户端，还用于利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
本发明相对现有技术具有突出的实质性特点和显著的进步，具体的说：
1）本发明提供了一种基于认证卸载的拟态通信方法及系统，在线异构执行体对输入代理进行身份认证，认证通过后分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；认证模块对客户端进行身份认证，认证通过后建立输入代理与客户端之间的第二拟态通信链路；不用各个在线执行体分别单独对客户端进行身份认证，从而卸载了认证模块的随机因子进行一对多的分发处理；
对于客户端和异构执行体通信双方来说，通过中间的认证模块，使其通信不再关注认证相关问题，只需要做数据交互即可，对于该虚拟拟态通信链路来说，是卸载了认证的数据链路；
2）在认证阶段时，随机因子由在线异构执行体和认证模块生成并使用，或者客户端和认证模块生成并使用，在虚拟拟态通信链路建立后，将使用双方认可的会话秘钥做对称加密，此时不再引入随机因子；
在不降低系统安全系数和不破坏系统原有认证系统的情况下，实现了认证模块的归一化处理，对于伪装和篡改等非法数据，认证模块可以使用自身的安全机制进行过滤，防止非法用户的访问；
3）客户端与输入代理之间约定使用第二拟态通信链路对应的第二会话密钥进行客户端与输入代理之间的业务数据加密传输；输入代理与每个在线异构执行体约定使用第一拟态通信链路对应的第一会话密钥，进行输入代理与各个在线异构执行体之间的业务数据加密传输，后续通信认证能力通过会话密钥来保证；
4）所述第一会话密钥与第一拟态通信链路一一对应设置，不同的在线异构执行体对应不同的第一会话密钥，因此，虽然输入代理使用相同的身份同每个在线异构执行体分别建立连接和进行身份认证，但是由于随机因子的存在，不同的在线异构执行体对应不同的第一拟态通信链路，通过不同的第一会话密钥对输入代理与不同的在线异构执行体之间传输的数据进行加密通信，杜绝了不同在线异构执行体之间的信息传递；
5）本发明还提供了一种基于认证卸载的拟态通信系统，通过对HTTP文件存储系统进行拟态化改造，所有数据存取请求必须由多个后端存储服务执行体进行处理，多个输出的操作执行结果在裁决器中裁决，进行单一输出；使攻击行为无法通过控制某个文件存储服务获取存储系统数据，降低数据泄露风险；
当一个后端存储服务执行体被攻击或自身故障不可服务时，执行体池内其他存储集群依然工作，极大提高了存储系统抵御攻击的能力，增强集群存储服务的连续性。
附图说明
图1是本发明的基于认证卸载的拟态通信系统的结构示意图一；
图2是本发明的基于认证卸载的拟态通信系统的结构示意图二；
图3和图4是本发明的基于认证卸载的拟态通信方法；
图5是本发明的业务处理流程示意图；
图6是本发明的构建第二拟态通信链路的流程示意图；
图7是本发明的构建第一拟态通信链路的流程示意图。
具体实施方式
下面通过具体实施方式，对本发明的技术方案做进一步的详细描述。
实施例1
如附图3和附图4所示，一种基于认证卸载的拟态通信方法，包括以下步骤：
在业务处理之前：
每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，每个在线异构执行体分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；其中，不同的在线异构执行体对应不同的第一会话密钥，所述第一会话密钥与第一拟态通信链路一一对应设置；
认证模块对客户端进行身份认证，身份认证通过后，认证模块与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；
如附图5所示，在业务处理时：
客户端生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
认证模块采用预存的第二会话密钥对所述业务数据密文Ⅰ进行解密验证，解密验证通过后，获得所述业务数据明文；
认证模块采用对应的第一会话密钥对所述业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
输入代理的分发模块将所述业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体；
在线异构执行体接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；
在线异构执行体基于所述业务数据明文，生成业务处理结果明文。
可以理解，认证模块对客户端身份进行认证，并与客户端协商建立客户端与输入代理之间的虚拟加密数据链路，在线异构执行体也分别对输入代理进行认证，并分别与输入代理建立虚拟加密数据链路；客户端与认证模块之间的虚拟加密数据链路，与在线异构执行体与输入代理之间的虚拟加密数据链路不同，客户端发出的业务数据（使用AES对称加密算法）经两类虚拟加密数据链路进行转发；
也就是说，拟态系统的认证过程分割为两部分进行，且每个在线异构执行体独立对输入代理进行认证，不用在线异构执行体单独分别对客户端认证，从而卸载了认证模块的随机因子进行一对多的分发处理，在实现身份认证的同时也提高了拟态系统的安全可靠性。
如附图5所示，在线异构执行体基于所述业务数据明文，生成业务处理结果明文之后，还执行：
在线异构执行体采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；
裁决器对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述裁决器，经输出代理将所述裁决结果密文传输至客户端；
所述客户端利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
可以理解，所述输入代理、所述输出代理、所述裁决器均可以调用认证模块，进行业务数据转发。
需要说明的是，在线异构执行体分别对输入代理进行身份认证，认证通过后将建立第一拟态通信链路，第一拟态通信链路负责承载输入代理与在线异构执行体之间的数据，即认证是为了确认输入代理的身份和生成第一拟态通信链路；
如附图7所示，每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，每个在线异构执行体分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路时，执行：
认证模块生成第一认证请求，并分别传输至每个在线异构执行体；其中，所述第一认证请求包括输入代理标识名、协议号和全局ID，用于进行身份认证和链路标识以及协议选择；
每个在线异构执行体接收到所述第一认证请求，分别生成第一随机数并返回至所述认证模块；
所述认证模块接收到各个在线异构执行体返回的第一随机数后，生成对应的第二随机数；
所述认证模块分别对所述第二随机数和所述第一随机数进行加密处理，生成每个在线异构执行体对应的第一密钥key；
所述认证模块将所述第二随机数和所述第一密钥key封装成第一认证数据包后，传输至对应的在线异构执行体；
每个在线异构执行体分别对接收到第一认证数据包进行解析，获得所述第二随机数和所述第一密钥key，对所述第二随机数和预先生成的第一随机数进行加密处理，生成第一密钥key’；
每个在线异构执行体分别判断生成的第一密钥key’和所述第一认证数据包中的第一密钥key是否一致，若一致，则判定所述输入代理身份认证通过，将所述第一密钥key作为第一会话密钥，从秘钥库中读取所述输入代理的相关信息，生成第一票据；其中，所述第一票据包括输入代理标识名、协议号和全局ID等，用于作为身份标识；
每个在线异构执行体分别采用所述第二随机数对第一票据进行加密后，传输至所述认证模块；
所述认证模块采用所述第二随机数对第一票据密文进行解密验证，验证通过后，将所述第一密钥key与对应的在线异构执行体关联存储，以建立输入代理与对应的在线异构执行体之间的第一拟态通信链路。
可以理解，输入代理与各个在线异构执行体之间的后续通信，双方约定使用第一会话密钥进行加解密传输；因此，随机因子在认证阶段时由输入代理与各个在线异构执行体生成并使用，在第一拟态通信链路建立后，将使用双方认可的第一会话秘钥做对称加密，此时不再引入随机因子，也就是说，本发明采用卸载认证的方式来实现对随机因子的剥离。
需要说明的是，不同的在线异构执行体返回的第一随机数不同，所述认证模块接收不同的第一随机数，对应生成不同的第二随机数；为了简化流程，在其他实施例中，所述认证模块接收不同的第一随机数，对应生成一个第二随机数；
由于不同的在线异构执行体生成的第一随机数不同，所述认证模块基于不同第一随机数生成的第一密钥key也不同；因此，不同的在线异构执行体与输入代理之间能够建立不同的第一拟态通信链路；虽然代理使用相同的身份同每个在线异构执行体分别建立连接，但是由于随机因子的存在，输入代理和每个在线异构执行体之间建立的第一拟态通信链路只能是对应的在线异构执行体和输入代理通信，杜绝了在线异构执行体之间的信息传递。
在一种具体实施方式中，所述认证模块对所述第二随机数和所述第一随机数进行加密处理，生成各个在线异构执行体对应的第一密钥key时，执行：
所述认证模块采用本地预存的密钥对所述第二随机数和所述第一随机数加密处理后获得第一密文，以64比特为单位对所述第一密文进行混淆处理，生成第一密钥key；其中，所述第二随机数、所述第一随机数和所述第一密钥key均为64比特数据。可以理解，混淆处理可以防篡改和中间人攻击，保证第一密钥key的安全可靠性。
需要说明的是，认证模块对客户端进行身份认证，认证通过后将建立第二拟态通信链路，使用第二拟态通信链路传输业务数据；客户端不持有后端在线异构执行体加解密数据所用的第一会话秘钥，认证信息在认证模块卸载；
如附图6所示，认证模块对客户端进行身份认证，身份认证通过后，认证模块与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路时，执行：
客户端生成第二认证请求，并传输至所述认证模块；其中，所述第二认证请求包括客户端实例名、客户端标识名、协议号和全局ID，用于进行身份认证和链路标识以及协议选择；
所述认证模块接收到所述第二认证请求后，生成第三随机数并将所述第三随机数传输至客户端；
所述客户端接收到所述第三随机数后，生成第四随机数，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key；
所述客户端将所述第二密钥key和所述第四随机数封装成第二认证数据包后，传输至所述认证模块；
所述认证模块，对接收到的第二认证数据包进行解析获得所述第四随机数和所述第二密钥key，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key’；
所述认证模块，判断生成的第二密钥key’和所述第二认证数据包中的第二密钥key是否一致，若一致，则判定所述客户端身份认证通过，将所述第二密钥key作为第二会话密钥，从秘钥库中读取所述客户端的相关信息，生成第二票据；
所述认证模块，采用所述第四随机数对所述第二票据加密后，将第二票据密文经输出代理传输至客户端；
所述客户端，基于所述第四随机数对第二票据密文进行解密验证，验证通过后，建立所述客户端与所述输入代理之间的第二拟态通信链路。
在一种具体实施方式中，所述客户端接收到所述第三随机数后，生成第四随机数，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key时，执行：
所述客户端采用本地预存的密钥对所述第三随机数和所述第四随机数进行加密处理后，获得第二密文，以64比特为单位对所述第二密文进行混淆处理，生成第二密钥key；
其中，所述第三随机数、所述第四随机数和所述第二密钥key均为64比特数据。
具体的，生成第二密钥key时，执行以下步骤：
步骤S001，客户端发送第一认证请求（连接建立请求），包含当前客户端标识名、协议号和全局id；
步骤S002，认证模块收到第一认证请求（连接建立请求）后，存储客户端连接建立请求信息，并生成一个64比特的第三随机数，并把第三随机数回复给客户端；
步骤S003，客户端收到认证模块回复的第三随机数后，生成一个64比特的第四随机数，用本地盘上的密钥把认证模块生成的第三随机数和客户端生成的第四随机数加密后，再用64比特为单位混淆生成一个64比特的第二密钥key，并把第二密钥key和客户端生成的第四随机数发给认证模块；
步骤S004，认证模块读取客户端生成的第四随机数和存在自己内存里的第三随机数（认证模块秘钥），用客户端对应的key加密后混淆生成一个64比特的第二密钥key’，并与传过来的第二密钥key比较，如果不相等，则认证不通过；如果相等，则从秘钥库取出客户端相关信息，生成第二票据，并使用第四随机数（客户端秘钥）加密后发送给客户端；
步骤S005，客户端用自身本地盘上的第四随机数（客户端秘钥）解密第二票据，后续通信客户端和认证模块将使用第一会话秘钥对数据进行加解密，从而建立客户端与输入代理之间的虚拟加密数据链路。
其中，第一票据和第二票据用来向其他服务表明身份。
进一步的，在线异构执行体与输入代理之间的第一拟态通信链路状态，由在线异构执行体进行维护：
在某个在线异构执行体下线时，该在线异构执行体自动断开与输入代理之间的第一拟态通信链路；
新的异构执行体上线后，该异构执行体对输入代理进行身份认证，身份认证通过后，与认证模块共同协商生成新的第一会话密钥，建立该在线异构执行体与输入代理之间的第一拟态通信链路。
可以理解，后端在线异构执行体负责维护第一拟态通信链路（虚拟加密数据链路），维护操作包括数据加解密、秘钥轮换、链路断开、链路超时等，但是，在输入代理有转发数据需求时，如果虚拟加密数据链路不可用，则输入代理可以发起新的第一拟态通信链路（虚拟加密数据链路）建立请求，从而建立正常的第一拟态通信链路（虚拟加密数据链路）；
客户端与输入代理建立的第二拟态通信链路（虚拟加密数据链路）由认证模块负责维护，维护操作包括数据加解密、秘钥轮换、链路断开、链路超时等。
实施例2
在上述基于认证卸载的拟态通信方法的基础上，本实施例给出了一种基于认证卸载的拟态通信系统的具体实施方式，如附图1和附图2所示，包括认证模块、客户端、输入代理和在线异构执行体，其中，
所述认证模块，分别与所述客户端和输入代理的分发模块通讯互联，用于对客户端进行身份认证，身份认证通过后，与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；还用于采用预存的第二会话密钥对业务数据密文Ⅰ进行解密验证，解密验证通过后，获得业务数据明文；还用于采用对应的第一会话密钥对业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
所述在线异构执行体，与所述认证模块通讯互联，用于分别对输入代理进行身份认证，身份认证通过后，分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；还用于在接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；还用于基于所述业务数据明文，生成业务处理结果明文；其中，所述第一会话密钥与第一拟态通信链路一一对应设置；
所述客户端，与所述输入代理通讯互联，用于在业务处理时，生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
所述输入代理的分发模块，分别与各个在线异构执行体通讯互联，用于将接收到的业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体。
进一步的，所述基于认证卸载的拟态通信系统还包括裁决器和输出代理，
所述在线异构执行体，与所述裁决器通讯互联，还用于在生成业务处理结果明文之后，采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器，与所述输出代理通讯互联，用于在接收到业务处理结果密文后，调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；还用于对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述输出代理，分别与所述裁决器和所述客户端通讯互联，用于接收来自所述裁决器的裁决结果密文，并将所述裁决结果密文转发至所述客户端；
所述客户端，还用于利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
可以理解，客户端与输入代理交互，作为存储客户端，它认为输入代理即是存储服务端，后端在线异构执行体对客户端不透明。
需要说明的是，后端存储服务执行体采用第一会话密钥与裁决器进行加密通信，向裁决器输出业务处理结果密文，使用加密数据链路保证数据的可靠性；裁决器调用认证模块进行解密验证，验证通过之后，调用第二会话密钥对裁决后采信的输出消息（裁决结果明文）进行加密处理后经输出代理传输至客户端。
进一步的，所述基于认证卸载的拟态通信系统还包括负反馈控制器，
所述负反馈控制器，分别与在线异构执行体和裁决器通讯互联，用于调用认证模块预存的第二会话密钥对所述裁决结果密文进行解密验证，验证通过后，基于所述裁决结果明文对异常的在线异构执行体进行清洗下线，并调用新的异构执行体上线。
进一步的，所述认证模块，具体用于：生成第一认证请求，并分别传输至每个在线异构执行体；以及接收到各个在线异构执行体返回的第一随机数后，生成对应的第二随机数；以及对所述第二随机数和所述第一随机数进行加密处理，生成每个在线异构执行体对应的第一密钥key；以及将所述第二随机数和所述第一密钥key封装成第一认证数据包后，传输至对应的在线异构执行体；以及采用所述第二随机数对第一票据密文进行解密验证，验证通过后，将所述第一密钥key与对应的在线异构执行体关联存储，以建立输入代理与对应的在线异构执行体之间的第一拟态通信链路；
各个在线异构执行体，具体用于：接收到所述第一认证请求，分别生成第一随机数并返回至所述认证模块；以及分别对接收到第一认证数据包进行解析，获得所述第二随机数和所述第一密钥key，对所述第二随机数和预先生成的第一随机数进行加密处理，生成第一密钥key’；以及判断生成的第一密钥key’和所述第一认证数据包中的第一密钥key是否一致，若一致，各个在线异构执行体则判定所述输入代理身份认证通过，将所述第一密钥key作为第一会话密钥，从秘钥库中读取所述输入代理的相关信息，生成第一票据；以及分别采用所述第二随机数对第一票据进行加密后，传输至所述认证模块。
需要说明的是，输入代理的分发模块调用认证模块主动发起对异构执行体的认证操作。
进一步的，所述客户端，具体用于：生成第二认证请求，并传输至所述认证模块；以及接收到所述第三随机数后，生成第四随机数，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key；以及将所述第二密钥key和所述第四随机数封装成第二认证数据包后，传输至所述认证模块；以及基于所述第四随机数对第二票据密文进行解密验证，验证通过后，建立所述客户端与所述输入代理之间的第二拟态通信链路；
所述认证模块，还具体用于：接收到所述第二认证请求后，生成第三随机数并传输至客户端；以及对接收到的第二认证数据包进行解析获得第四随机数和所述第二密钥key，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key’；以及判断生成的第二密钥key’和所述第二认证数据包中的第二密钥key是否一致，若一致，则判定所述客户端身份认证通过，将所述第二密钥key作为第二会话密钥，从秘钥库中读取所述客户端的相关信息，生成第二票据；以及采用所述第四随机数对所述第二票据加密后，并经输出代理传输至客户端。
需要说明的是，将所有数据转发至认证模块，如果是认证请求消息，则认证模块处理后通过输出代理返回给客户端；如果是加密的业务数据，则先读取第二会话密钥进行解密验证，验证通过之后读取第一会话密钥进行加密后转发至分发模块，分发模块将数据分发至对应的后端异构执行体。
具体的，所述认证模块，还用于：判别来自客户端的数据是业务数据密文Ⅰ还是第二认证请求，
若是业务数据密文Ⅰ，则采用预存的第二会话密钥对所述业务数据密文Ⅰ进行解密验证，解密验证通过后，获得所述业务数据明文；采用对应的第一会话密钥对所述业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
若是第二认证请求，则生成第三随机数并将所述第三随机数传输至客户端。
需要说明的是，认证模块负责对客户端身份和权限的认证，客户端身份认证通过客户端实例名和两端本地存储的秘钥（第三随机数和第四随机数）来实现认证；权限同客户端实例名绑定后存储在输入代理，输入代理根据客户端名来获取权限，从而判定是否具备对应操作的权限；
后端在线异构执行体负责对输入代理的身份进行认证，在建立连接和进行身份认证的过程中产生的随机因子在认证模块、各个执行体和客户端内部发生，最终输入代理和各个在线异构执行体、输入代理与客户端之间，分别建立起互相认证通过的数据链路。对于客户端和后端在线异构执行体来说，无需关注认证相关内容，只需要使用虚拟加密数据链路进行通信，关注业务数据本身即可；认证模块优雅的对数据进行认证等安全鉴别任务，此时对于客户端和后端在线异构执行体来说即实现了认证卸载的效果。
因此，客户端的认证过程在认证模块中全部完成，业务数据在客户端和输入代理之间，以及输入代理到后端在线异构执行体之间分别进行认证和加密；客户端与后端在线异构执行体之间交互使用的是代理卸载认证后的虚拟加密数据链路，对于伪装和篡改等非法数据认证模块可以使用自身的安全机制进行过滤，防止非法用户的访问。
在一种具体实施方式中，后端在线异构执行体被配置为后端存储服务执行体，所述后端存储服务执行体用于存储HTTP文件。具体的，所述动态异构执行体池由多个后端存储服务执行体组成，后端存储服务执行体即HTTP文件存储执行体，正常情况下为奇数，执行体池内各个存储服务为初始化完毕的可用存储服务。
以3个后端存储服务执行体组成为例：
基于不同的CPU平台，在CPU平台上构建基于不同操作系统的后端存储服务执行体，构建出9个CPU和操作系统不同的异构执行体，并且每个异构执行体之间进行严格的网络隔离，保证异构执行体之间不会互相通信，在异构执行体与外部通信之间增加物理隔离设备，保证数据流只能通过输入代理、输出代理和负反馈控制器与单个异构执行体通信，每个异构执行体之间，异构执行体和外部网络无法直接通信，网络拓扑图如附图2所示；
负反馈控制器标记3个异构执行体为在线状态，可处理数据存取请求，其它异构执行体为热备状态，当在线异构执行体异常时替换异常的在线执行体。当数据存取请求到达时，由在线执行体处理数据存取请求，并且将操作执行结果发送给裁决器，由裁决器基于预设裁决规则进行裁决。
具体的，预设裁决规则为：接收不同后端存储服务执行体的操作执行结果，进行投票并输出可信数，默认有奇数个后端存储服务执行体，每个后端存储服务执行体起始可信权重为0，该权重在系统部署时初始化，后期会随着后端存储服务执行体操作执行结果发生变化，不再随着执行体清洗或者下线更新，并且记录每次裁决日志。
当操作执行结果为奇数且大于1时，选择操作执行结果一致且占多数的结果输出，并将输出结果一致的后端存储服务执行体的正确处理次数加1，把操作执行结果占少数的执行体信息和未收到操作执行结果的执行体错误处理次数加1，同时把执行体信息发送到负反馈控制器，由负反馈控制器对该执行体进行数据同步或数据清洗；
当操作执行结果数为1时，则直接输出该结果，并对执行体的正确处理次数加1；
当操作执行结果为偶数时：（1）如操作执行结果一致，直接输出任一操作执行结果，并对执行体的正确处理次数加1；（2）如请求数据不一致且投票比例为m:n（m≠n）时，按操作执行结果为奇数情况进行裁决输出；（3）如请求数据不一致且投票比例达n*（1:1），则选择可信权重最大的操作执行结果输出；其中，可信权重的计算公式为：正确处理次数/((错误处理次数+正确处理次数)||1)；如果首次上线，则会出现正确次数和错误次数都为0的情况，此时0为分母，前计算公式为假，取值1；
若可信权重相同，则把数据分布仲裁请求反馈给负反馈控制器，要求客户端重新发起数据分布仲裁请求；当操作执行结果为偶数时，裁决器把未接收请求的执行体信息和权重较小的集群信息均发给负反馈控制器进行数据同步和数据清洗。
具体的，所述负反馈控制器，负责接收裁决器请求和输入控制参数（配置文件或者页面设置，作为负反馈控制器周期调度执行体参数之一），对异构执行体池进行数据更新、同步或清洗，维护执行体状态信息，同时周期性对执行体状态进行检查，对检查到的状态异常的执行体进行下线和数据清洗；记录执行体行为日志等；还用于提供外部对执行体信息的查询和维护接口，例如：执行体状态信息查询、执行体手动上下线操作、执行体操作日志查询等。
需要说明的是，所述基于认证卸载的拟态通信系统在解决由于分布式存储系统自身安全漏洞引起的数据泄露的问题的同时，提高了存储集群服务的连续性和抵御拒绝服务等攻击的能力，同时该系统具有热插拔功能，即无需停用整个集群，可以添加或者删除异构执行体；对原有同源不具备拟态构造的HTTP文件存储集群能够快速拟态化，提高HTTP文件存储系统的安全性。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (10)

1.一种基于认证卸载的拟态通信方法，其特征在于，包括以下步骤；
在业务处理之前：
每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，每个在线异构执行体分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；其中，所述第一会话密钥与第一拟态通信链路一一对应设置；
认证模块对客户端进行身份认证，身份认证通过后，认证模块与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；
在业务处理时：
客户端生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
认证模块采用预存的第二会话密钥对所述业务数据密文Ⅰ进行解密验证，解密验证通过后，获得所述业务数据明文；
认证模块采用对应的第一会话密钥对所述业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
输入代理的分发模块将所述业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体；
在线异构执行体接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；
在线异构执行体基于所述业务数据明文，生成业务处理结果明文。
2.根据权利要求1所述的基于认证卸载的拟态通信方法，其特征在于，在线异构执行体基于所述业务数据明文，生成业务处理结果明文之后，还执行：
在线异构执行体采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；
裁决器对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述裁决器，经输出代理将所述裁决结果密文传输至客户端；
所述客户端利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
3.根据权利要求1所述的基于认证卸载的拟态通信方法，其特征在于，每个在线异构执行体分别对输入代理进行身份认证，身份认证通过后，每个在线异构执行体分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路时，执行：
认证模块生成第一认证请求，并分别传输至每个在线异构执行体；
每个在线异构执行体接收到所述第一认证请求，分别生成第一随机数并返回至所述认证模块；
所述认证模块接收到各个在线异构执行体返回的第一随机数后，生成对应的第二随机数；
所述认证模块分别对所述第二随机数和所述第一随机数进行加密处理，生成每个在线异构执行体对应的第一密钥key；
所述认证模块将所述第二随机数和所述第一密钥key封装成第一认证数据包后，传输至对应的在线异构执行体；
每个在线异构执行体分别对接收到第一认证数据包进行解析，获得所述第二随机数和所述第一密钥key，对所述第二随机数和预先生成的第一随机数进行加密处理，生成第一密钥key’；
每个在线异构执行体分别判断生成的第一密钥key’和所述第一认证数据包中的第一密钥key是否一致，若一致，则判定所述输入代理身份认证通过，将所述第一密钥key作为第一会话密钥，从秘钥库中读取所述输入代理的相关信息，生成第一票据；
每个在线异构执行体分别采用所述第二随机数对第一票据进行加密后，传输至所述认证模块；
所述认证模块采用所述第二随机数对第一票据密文进行解密验证，验证通过后，将所述第一密钥key与对应的在线异构执行体关联存储，以建立输入代理与对应的在线异构执行体之间的第一拟态通信链路。
4.根据权利要求1所述的基于认证卸载的拟态通信方法，其特征在于，认证模块对客户端进行身份认证，身份认证通过后，认证模块与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路时，执行：
客户端生成第二认证请求，并传输至所述认证模块；
所述认证模块接收到所述第二认证请求后，生成第三随机数并将所述第三随机数传输至客户端；
所述客户端接收到所述第三随机数后，生成第四随机数，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key；
所述客户端将所述第二密钥key和所述第四随机数封装成第二认证数据包后，传输至所述认证模块；
所述认证模块，对接收到的第二认证数据包进行解析获得所述第四随机数和所述第二密钥key，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key’；
所述认证模块，判断生成的第二密钥key’和所述第二认证数据包中的第二密钥key是否一致，若一致，则判定所述客户端身份认证通过，将所述第二密钥key作为第二会话密钥，从秘钥库中读取所述客户端的相关信息，生成第二票据；
所述认证模块，采用所述第四随机数对所述第二票据加密后，将第二票据密文经输出代理传输至客户端；
所述客户端，基于所述第四随机数对第二票据密文进行解密验证，验证通过后，建立所述客户端与所述输入代理之间的第二拟态通信链路。
5.根据权利要求1所述的基于认证卸载的拟态通信方法，其特征在于：在线异构执行体与输入代理之间的第一拟态通信链路状态，由在线异构执行体进行维护：
在某个在线异构执行体下线时，该在线异构执行体自动断开与输入代理之间的第一拟态通信链路；
新的异构执行体上线后，该异构执行体对输入代理进行身份认证，身份认证通过后，与认证模块共同协商生成新的第一会话密钥，建立该在线异构执行体与输入代理之间的第一拟态通信链路。
6.一种基于认证卸载的拟态通信系统，其特征在于：包括认证模块、客户端、输入代理和在线异构执行体，其中，
所述认证模块，分别与所述客户端和输入代理的分发模块通讯互联，用于对客户端进行身份认证，身份认证通过后，与客户端之间共同协商生成第二会话密钥，建立输入代理与客户端之间的第二拟态通信链路；还用于采用预存的第二会话密钥对业务数据密文Ⅰ进行解密验证，解密验证通过后，获得业务数据明文；还用于采用对应的第一会话密钥对业务数据明文加密处理后，获得对应的业务数据密文Ⅱ并转发至输入代理的分发模块；
所述在线异构执行体，与所述认证模块通讯互联，用于分别对输入代理进行身份认证，身份认证通过后，分别与认证模块共同协商生成对应的第一会话密钥，分别建立每个在线异构执行体与输入代理之间的第一拟态通信链路；还用于在接收到所述业务数据密文Ⅱ后，采用对应的第一会话密钥对所述业务数据密文Ⅱ进行解密验证，解密验证通过后，获得业务数据明文；还用于基于所述业务数据明文，生成业务处理结果明文；其中，所述第一会话密钥与第一拟态通信链路一一对应设置；
所述客户端，与所述输入代理通讯互联，用于在业务处理时，生成业务数据明文，采用第二会话密钥对所述业务数据明文加密处理后获得业务数据密文Ⅰ，将所述业务数据密文Ⅰ经第二拟态通信链路传输至认证模块；
所述输入代理的分发模块，分别与各个在线异构执行体通讯互联，用于将接收到的业务数据密文Ⅱ经第一拟态通信链路传输至对应的在线异构执行体。
7.根据权利要求6所述的基于认证卸载的拟态通信系统，其特征在于，还包括裁决器和输出代理，
所述在线异构执行体，与所述裁决器通讯互联，还用于在生成业务处理结果明文之后，采用对应的第一会话密钥对业务处理结果明文进行加密，获得业务处理结果密文，并将所述业务处理结果密文传输至裁决器；
所述裁决器，与所述输出代理通讯互联，用于在接收到业务处理结果密文后，调用认证模块预存的对应第一拟态通信链路的第一会话密钥进行解密验证，验证通过后，获得业务处理结果明文；还用于对所有在线异构执行体生成的业务处理结果明文进行裁决，生成裁决结果明文，并调用认证模块预存的第二会话密钥对所述裁决结果明文进行加密，获得裁决结果密文；
所述输出代理，分别与所述裁决器和所述客户端通讯互联，用于接收来自所述裁决器的裁决结果密文，并将所述裁决结果密文转发至所述客户端；
所述客户端，还用于利用第二会话密钥对接收到的裁决结果密文进行解密验证，验证通过后，将裁决结果明文展示给用户。
8.根据权利要求7所述的基于认证卸载的拟态通信系统，其特征在于，还包括负反馈控制器，
所述负反馈控制器，分别与在线异构执行体和裁决器通讯互联，用于调用认证模块预存的第二会话密钥对所述裁决结果密文进行解密验证，验证通过后，基于所述裁决结果明文对异常的在线异构执行体进行清洗下线，并调用新的异构执行体上线。
9.根据权利要求8所述的基于认证卸载的拟态通信系统，其特征在于，
所述认证模块，具体用于：生成第一认证请求，并分别传输至每个在线异构执行体；以及接收到各个在线异构执行体返回的第一随机数后，生成对应的第二随机数；以及对所述第二随机数和所述第一随机数进行加密处理，生成每个在线异构执行体对应的第一密钥key；以及将所述第二随机数和所述第一密钥key封装成第一认证数据包后，传输至对应的在线异构执行体；以及采用所述第二随机数对第一票据密文进行解密验证，验证通过后，将所述第一密钥key与对应的在线异构执行体关联存储，以建立输入代理与对应的在线异构执行体之间的第一拟态通信链路；
各个在线异构执行体，具体用于：接收到所述第一认证请求，分别生成第一随机数并返回至所述认证模块；以及分别对接收到第一认证数据包进行解析，获得所述第二随机数和所述第一密钥key，对所述第二随机数和预先生成的第一随机数进行加密处理，生成第一密钥key’；以及判断生成的第一密钥key’和所述第一认证数据包中的第一密钥key是否一致，若一致，各个在线异构执行体则判定所述输入代理身份认证通过，将所述第一密钥key作为第一会话密钥，从秘钥库中读取所述输入代理的相关信息，生成第一票据；以及分别采用所述第二随机数对第一票据进行加密后，传输至所述认证模块。
10.根据权利要求8所述的基于认证卸载的拟态通信系统，其特征在于，
所述客户端，具体用于：生成第二认证请求，并传输至所述认证模块；以及接收到第三随机数后，生成第四随机数，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key；以及将所述第二密钥key和所述第四随机数封装成第二认证数据包后，传输至所述认证模块；以及基于所述第四随机数对第二票据密文进行解密验证，验证通过后，建立所述客户端与所述输入代理之间的第二拟态通信链路；
所述认证模块，具体用于：接收到所述第二认证请求后，生成第三随机数并传输至客户端；以及对接收到的第二认证数据包进行解析获得第四随机数和所述第二密钥key，对所述第三随机数和所述第四随机数进行加密处理，生成第二密钥key’；以及判断生成的第二密钥key’和所述第二认证数据包中的第二密钥key是否一致，若一致，则判定所述客户端身份认证通过，将所述第二密钥key作为第二会话密钥，从秘钥库中读取所述客户端的相关信息，生成第二票据；以及采用所述第四随机数对所述第二票据加密后，并经输出代理传输至客户端。
CN202111036497.9A 2021-09-06 2021-09-06 基于认证卸载的拟态通信方法及系统 Active CN113904805B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111036497.9A CN113904805B (zh) 2021-09-06 2021-09-06 基于认证卸载的拟态通信方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111036497.9A CN113904805B (zh) 2021-09-06 2021-09-06 基于认证卸载的拟态通信方法及系统

Publications (2)

Publication Number Publication Date
CN113904805A CN113904805A (zh) 2022-01-07
CN113904805B true CN113904805B (zh) 2023-09-08

Family

ID=79188461

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111036497.9A Active CN113904805B (zh) 2021-09-06 2021-09-06 基于认证卸载的拟态通信方法及系统

Country Status (1)

Country Link
CN (1) CN113904805B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114499848B (zh) * 2022-01-26 2023-05-30 无锡融卡科技有限公司 会话密钥生成装置及方法
CN115225311B (zh) * 2022-05-20 2023-07-21 中国人民解放军战略支援部队信息工程大学 基于openSSL改造的拟态括号密文代理方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111010410A (zh) * 2020-03-09 2020-04-14 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法
CN111740964A (zh) * 2020-06-04 2020-10-02 河南信大网御科技有限公司 远程同步通信方法、拟态虚拟终端、异构执行体及介质
CN111800467A (zh) * 2020-06-04 2020-10-20 河南信大网御科技有限公司 远程同步通信方法、数据交互方法、设备及可读存储介质
WO2021169080A1 (zh) * 2020-02-27 2021-09-02 南京红阵网络安全技术研究院有限公司 基于部分同态加密算法的拟态防御裁决方法和系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020087473A1 (en) * 2000-12-29 2002-07-04 Shlomi Harif System, method and program for creating an authenticatable, non-repudiatable transactional identity in a heterogeneous network

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021169080A1 (zh) * 2020-02-27 2021-09-02 南京红阵网络安全技术研究院有限公司 基于部分同态加密算法的拟态防御裁决方法和系统
CN111010410A (zh) * 2020-03-09 2020-04-14 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法
CN111740964A (zh) * 2020-06-04 2020-10-02 河南信大网御科技有限公司 远程同步通信方法、拟态虚拟终端、异构执行体及介质
CN111800467A (zh) * 2020-06-04 2020-10-20 河南信大网御科技有限公司 远程同步通信方法、数据交互方法、设备及可读存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
一种拟态身份认证网关防御方案;高岩;王丹阳;冯四风;顾青;;小型微型计算机系统(第09期);1905-1911 *

Also Published As

Publication number Publication date
CN113904805A (zh) 2022-01-07

Similar Documents

Publication Publication Date Title
CN108599925B (zh) 一种基于量子通信网络的改进型aka身份认证系统和方法
US8291231B2 (en) Common key setting method, relay apparatus, and program
US11736304B2 (en) Secure authentication of remote equipment
CN107659406B (zh) 一种资源操作方法及装置
EP2437461B1 (en) Key derivation for secure communications
US20080162934A1 (en) Secure transmission system
CN113904805B (zh) 基于认证卸载的拟态通信方法及系统
JP2014204444A (ja) センサへの操作及び／又はセンサのセンサデータへの操作を検出するための方法及び装置
CN111740964B (zh) 远程同步通信方法、拟态虚拟终端、异构执行体及介质
CN111405062B (zh) 基于ssh协议的拟态输入代理装置、通信系统及方法
WO1998045981A2 (en) Cryptographic system and protocol for establishing secure authenticated remote access
CN111800467B (zh) 远程同步通信方法、数据交互方法、设备及可读存储介质
WO2023151427A1 (zh) 量子密钥传输方法、装置及系统
CN104243452B (zh) 一种云计算访问控制方法及系统
CN115473655B (zh) 接入网络的终端认证方法、装置及存储介质
US20020018570A1 (en) System and method for secure comparison of a common secret of communicating devices
JPH10242957A (ja) ユーザ認証方法およびシステムおよびユーザ認証用記憶媒体
CN110890959B (zh) 一种账户改密的方法、系统及装置
CN116032556B (zh) 小程序应用的密钥协商方法及装置
CN101442656B (zh) 一种机卡间安全通信的方法及系统
CN110912857B (zh) 移动应用间共享登录的方法、存储介质
CN106789076B (zh) 服务器与智能设备的交互方法及装置
CN112398818B (zh) 一种软件激活方法及其相关装置
US11876789B2 (en) Encrypted data communication and gateway device for encrypted data communication
JP2004274134A (ja) 通信方法並びにこの通信方法を用いた通信システム、サーバおよびクライアント

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant