CN114661485A - 基于零信任架构的应用程序接口访问控制的系统及方法 - Google Patents

Abstract

本发明提供的基于零信任架构的应用程序接口访问控制的系统及方法，融合零信任架构和应用的访问控制策略，通过定义管理平台和API网关的相关边界策略，能够为访问者提供最小化授权访问机制，提供安全高效的接入机制，防止企业数据泄露并限制内部横向移动攻击等。

Description

基于零信任架构的应用程序接口访问控制的系统及方法

技术领域

本发明涉及办公及数据保护技术领域，更具体地说，涉及一种基于零信任架构的应用程序接口访问控制的系统及方法。

背景技术

在传统的企业网络建设中，PC机既是基础也是核心。但PC机在网络搭建过程中容易出现诸如配置部署复杂、软件硬升级成本高、机密数据分散以及数据安全保障机制不完善等一系列问题，不便于数据的集中管理和维护。

同时，企业的典型IT基础架构变得越来越复杂，一家企业可能运营多个内部网络，拥有本地基础设施的分支机构、远程办公接入或移动办公的个人，以及云上的服务。图1为现有的零信任架构示意图。

这种复杂性已经超越了传统基于边界防御的网络安全策略，因为没有单一的、可以清晰辨别的企业边界。此外，基于边界防御的网络安全控制已显示出明显的不足，一旦攻击者突破了边界，进一步的横向攻击将不受阻碍。

发明内容

有鉴于此，为解决上述问题，本发明提供一种基于零信任架构的应用程序接口访问控制的系统及方法，技术方案如下：

一种基于零信任架构的应用程序接口访问控制的系统，所述系统包括：

管理平台，用于配置用户信息、所接入的应用的信息和所述应用的访问控制策略，所述应用的信息包括所述应用对应的API网关的地址和应用服务器的地址；接收客户端的登陆信息，并基于所述用户信息验证所述登陆信息；如果所述登陆信息验证通过，接收所述客户端针对目标应用的第一访问请求，并将所述目标应用对应的目标API网关的地址发送至所述客户端；

所述目标API网关，用于接收所述客户端基于所述目标API网关的地址所发起的针对所述目标应用下目标功能的第二访问请求，并基于所述目标应用的访问控制策略验证所述客户端对所述目标功能的访问权限；如果所述客户端具有所述访问权限，基于所述目标应用对应的目标应用服务器的地址将所述第二访问请求转发至所述目标应用服务器，并将所述目标应用服务器的响应信息转发至所述客户端。

优选的，所述管理平台，还用于：

接收所述客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证所述第一认证信息；如果所述第一认证信息验证通过，执行所述接收客户端的登陆信息。

优选的，所述目标API网关，还用于：

接收所述客户端基于所述目标API网关的地址所发起的包含所述登陆信息的第二认证信息，并将所述第二认证信息发送至所述管理平台，以使所述管理平台基于所述用户信息验证所述第二认证信息；如果所述第二认证信息验证通过，执行所述接收所述客户端基于所述目标API网关的地址所发起的针对所述目标应用下目标功能的第二访问请求。

优选的，所述第一认证信息和所述第二认证信息均为单包授权认证SPA报文。

优选的，所述管理平台，还用于：

在执行所述将所述目标API网关的地址发送至所述客户端之后，持续监测所述客户端的会话信息，并基于预设的会话启动条件验证所述会话信息；如果所述会话信息未验证通过，向所述目标API网关发送阻断指令，以使所述目标API网关拒绝响应所述客户端的访问。

优选的，所述目标API网关，还用于：

生成所述客户端的访问日志，并将所述访问日志上传至所述管理平台。

一种基于零信任架构的应用程序接口访问控制的方法，所述方法应用于管理平台，所述方法包括：

配置用户信息、所接入的应用的信息和所述应用的访问控制策略，所述应用的信息包括所述应用对应的API网关的地址和应用服务器的地址；

接收客户端的登陆信息，并基于所述用户信息验证所述登陆信息；

如果所述登陆信息验证通过，接收所述客户端针对目标应用的第一访问请求，并将所述目标应用对应的目标API网关的地址发送至所述客户端，以实现：

所述客户端基于所述目标API网关的地址向所述目标API网关发起针对所述目标应用下目标功能的第二访问请求；所述目标API网关基于所述目标应用的访问控制策略验证所述客户端对所述目标功能的访问权限，如果所述客户端具有所述访问权限，基于所述目标应用对应的目标应用服务器的地址将所述第二访问请求转发至所述目标应用服务器，并将所述目标应用服务器的响应信息转发至所述客户端。

优选的，所述方法还包括：

接收所述客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证所述第一认证信息；

如果所述第一认证信息验证通过，执行所述接收客户端的登陆信息。

优选的，所述第一认证信息为SPA报文。

优选的，所述方法还包括：

在执行所述将所述目标API网关的地址发送至所述客户端之后，持续监测所述客户端的会话信息，并基于预设的会话启动条件验证所述会话信息；

如果所述会话信息未验证通过，向所述目标API网关发送阻断指令，以使所述目标API网关拒绝响应所述客户端的访问。

本发明提供的基于零信任架构的应用程序接口访问控制的系统及方法，融合零信任架构和应用的访问控制策略，通过定义管理平台和API网关的相关边界策略，能够为访问者提供最小化授权访问机制，提供安全高效的接入机制，防止企业数据泄露并限制内部横向移动攻击等。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为现有的零信任架构示意图；

图2为本发明实施例提供的基于零信任架构的应用程序接口访问控制的系统的结构示意图；

图3为本发明实施例提供的基于零信任架构的应用程序接口访问控制的方法的方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

基于图1所示的零信任架构，本发明实施例在此基础上增加相关的边界策略，通过其中的管理平台、API(Application Programming Interface，应用程序接口)网关实现对应用程序接口访问控制。其中，管理平台作为管理零信任安全终端及零信任安全网关的控制中心，API网关作为用户接入应用的访问控制策略的执行中心，应用服务器则为第三方提供的接入管理平台的应用服务。

本发明适用于现有网络环境中，各公司业务系统对于各类用户的细粒度的访问权限的控制的需求，精确到API级别，对于各类访问请求的协议类型都可进行管控。

参见图2所示的基于零信任架构的应用程序接口访问控制的系统的结构示意图，一个API网关对应至少一个应用，该系统包括管理平台10和API网关20。其中，

管理平台10，用于配置用户信息、所接入的应用的信息和应用的访问控制策略，应用的信息包括应用对应的API网关20的地址和应用服务器的地址；接收客户端的登陆信息，并基于用户信息验证登陆信息；如果登陆信息验证通过，接收客户端针对目标应用的第一访问请求，将目标应用对应的目标API网关的地址发送至客户端。

目标API网关，用于接收客户端基于目标API网关的地址所发起的针对目标应用下目标功能的第二访问请求，并基于目标应用的访问控制策略验证客户端对目标功能的访问权限；如果客户端具有访问权限，基于目标应用对应的目标应用服务器的地址将第二访问请求转发至目标应用服务器，并将目标应用服务器的响应信息转发至客户端。

本发明实施例中，管理平台10包括如下使用者：

系统管理员：可以登录至管理平台10的服务页面，具有管理配置管理员与审计管理员、管理系统授权的权限。管理配置管理员与审计管理员指可创建、修改、删除、查询配置管理员与审计管理员账户信息；管理系统授权的权限则是指对零信任架构所支持的用户数以及应用数进行配置。

配置管理员：可以登录至管理平台10的服务页面，具有管理用户、客户端、API网关20、应用服务器、访问控制策略的权限，即指配置用户、客户端、API网关20、应用服务器的详细信息比如用户的用户名称、客户端的IP地址、API网关20的IP地址、应用服务器的IP地址，然后通过这些信息配置访问控制策略。

审计管理员：可以登录至管理平台10的服务页面，具有审计系统管理员与配置管理员的操作日志、用户访问日志的权限，即指可审计系统管理员、配置管理员、用户日常操作所产生的日志，比如系统管理员创建账号、配置管理员修改访问控制策略、用户登录客户端并访问某应用的相关日志。

实际应用中，在安装部署管理平台10、API网关20，并完成初始化部署、授权相关功能项后，系统管理员在其终端上使用预置的管理员账号，登录至管理平台10的管理页面，上传授权文件进行授权(即可申请的用户数量和应用数量)，添加配置管理员及审计管理员登录账户信息。

配置管理员在其终端上使用系统管理员分配的账户，登录至管理平台10的管理页面，配置用户信息、所接入的应用的信息和应用的访问控制策略。其中，用户信息是指用户的个人信息，如手机号、所属部门、用户名称，应用的信息包括应用所使用的协议、应用对应的API网关20的地址以及应用服务器的地址，访问控制策略则是指用户在应用中的角色和相关权限，比如允许访问的时间、允许访问的功能。

此外，配置管理员在管理平台10所配置的API网关20，已在管理平台10上完成注册，所注册的信息包括API网关20的设备标识、地址等等。并且，访问控制策略可以分为两类：1)针对B/S(浏览器/服务器)应用，策略内容包括用户信息、URL地址、访问的请求方式；2)针对C/S(客户端/服务器)应用包括用户信息、应用服务器地址、应用服务器所对应API特征值。

由此，本发明对于B/S应用以及C/S应用都可做到API级的访问控制，支持所有的API接口。所支持的协议包括http、https、socket、WebService、AJAX、MQTT、gRPC、Dubbo等。再者，本发明对于客户端访问API网关20的B/S应用以及C/S应用统一使用专用加密信道。

审计管理员在其终端上使用系统管理员分配的账户，登录至管理平台10的管理页面，可以查看及审计系统管理员与配置管理员的操作日志、用户的访问日志。

用户在客户端上使用配置管理员分配的账户信息进行登录，登陆到客户端后，即可看到对应权限的可访问应用，对应用的进行相关操作。具体的，在用户登陆客户端时，会在登陆页面输入用户名称、密码，以及通过绑定的手机号获取手机动态验证码并输入，点击登录。客户端则向管理平台10发送相关的登陆信息，管理平台10基于配置管理员配置的用户信息对其进行验证，验证内容包括用户名称、密码、手机动态码、登录位置和登录时间等，还可以包括客户端是否有未备案的存储外设接入、客户端所在的终端是否存在高危漏洞、终端系统是否存在病毒等。如果客户端用户名称、密码、手机动态码、登录位置和登录时间均合法、且没有未备案的存储外设接入、终端不存在高危漏洞、终端系统不存在病毒，则管理平台10确认客户端验证通过，向客户端返回消息，所返回的消息包含用户的权限可访问的应用。

进一步，客户端从可访问的应用中选择待访问的目标应用，并将针对目标应用的第一访问请求发送至管理平台10，由管理平台10按照应用与API网关的对应关系确定目标应用对应的目标API网关，从而将目标API网关的地址发送至客户端。基于目标API网关的地址，能够建立客户端与目标API网关的双向数据通道。

客户端基于目标API网关的地址向目标API网关发送针对目标功能的第二访问请求，目标API网关能够基于目标应用的访问控制策略确定客户端是否具有对目标功能的访问权限，如果客户端具有访问权限，目标API网关则完成客户端与目标应用所对应目标应用服务器间的路由或代理功能。

另外，如果客户端不具有访问权限，目标API网关则阻断该第二访问请求，并记录日志上报至管理平台10，供审计管理员进行审计。

需要说明的是，对于API网关20的地址和应用服务器的地址，管理平台10可以对其设置虚拟地址，这就可以防止用户访问应用过程中暴露API网关20以及应用服务器的真实地址。

在其他一些实施例中，为实现客户端与管理平台10的双向数据通道的安全性，管理平台10，还用于：

接收客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证第一认证信息；如果第一认证信息验证通过，执行接收客户端的登陆信息。

本发明实施例中，用户启动客户端程序，客户端即生成相关程序启动信息，包括程序的版本、程序启动的时间等，将包含程序启动信息的第一认证信息发送至管理平台10，由管理平台10基于预设的程序启动条件对其进行验证，比如验证程序的版本是否为最新版本、程序启动时间是否为允许启动时间等。如果第一认证信息验证通过，则管理平台10建立与客户端的双向数据通道，客户端显示管理平台10返回的登陆页面。

此外，如果第一认证信息验证未通过，则管理平台10向客户端返回配置报错信息。

在此基础上，为实现管理平台10的端口隐藏功能，即管理平台10不对外暴露端口，即便使用端口扫描工具无法找到端口。第一认证信息可以以SPA(Single PacketAuthorization，单包授权认证)报文的形式发送。管理平台10首先进行SPA报文解密，解密后获得明文的程序启动信息，程序启动信息验证通过后，管理平台10才打开端口与客户端建立双向数据通信。这就可以有效预防管理平台10被DOS攻击。

在其他一些实施例中，为实现客户端与目标API网关的双向数据通道的安全性，目标API网关，还用于：

接收客户端基于目标API网关的地址所发起的包含登陆信息的第二认证信息，并将第二认证信息发送至管理平台10，以使管理平台10基于用户信息验证第二认证信息；如果第二认证信息验证通过，执行接收客户端基于目标API网关的地址所发起的针对目标应用下目标功能的第二访问请求。

本发明实施例中，目标API网关在与客户端建立双向数据通道之前，需要保证客户端验证通过，具体的，客户端在首先与目标API网关通信时，将包含登陆信息的第二认证信息发送至目标API网关，由目标API网关向管理平台10验证其中的登陆信息，在接收到管理平台10反馈的认证通过的信息后，目标API网关建立与客户端的双向数据通道。

此外，如果第二认证信息验证未通过，则目标API网关则直接丢弃该信息。

在此基础上，为实现目标API网关的端口隐藏功能，即目标API网关不对外暴露端口，即便使用端口扫描工具无法找到端口。第二认证信息可以以SPA报文的形式发送。这就可以有效预防目标API网关被DOS攻击。相应的，目标API网关首先进行SPA报文解密，解密后获得明文的登陆信息，再转发到管理平台10进行认证，在确定认证通过后，目标API网关才打开端口与客户端建立双向数据通信。这就可以减少目标API网关建立双向数据通道时开放的端口数量，降低安全风险。

在其他一些实施例中，为实现持续化、动静态结合的用户权限验证，管理平台10，还用于：

在执行将目标API网关的地址发送至客户端之后，持续监测客户端的会话信息，并基于预设的会话启动条件验证会话信息；如果会话信息未验证通过，向目标API网关发送阻断指令，以使目标API网关拒绝响应客户端的访问。

本发明实施例中，用户使用客户端访问目标应用的过程中，管理平台10会对该用户的会话信息持续监测，基于预设的会话启动条件验证会话信息，验证内容包括本次会话访问时长、针对目标功能的访问时长，还可以包括客户端是否有未备案的存储外设接入、客户端所在的终端是否存在高危漏洞、终端系统是否存在病毒等。

如果本次会话访问时长未超过预设的单次会话访问时长阈值、针对目标功能的访问时长未超过预设的功能访问时长阈值、且没有未备案的存储外设接入、终端不存在高危漏洞、终端系统不存在病毒，则会话信息验证通过。管理平台10允许客户端继续访问目标应用的目标功能。

反之，如果会话信息验证未通过，则管理平台10立即阻断该用户的访问，并记录日志上报至管理平台10，供审计管理员进行审计。此时，目标API网关可以向客户端返回报错信息。

此外，本发明实施例中管理平台10、API网关20、客户端所有的通信连接都可以使用私有加密协议，所有的输入以及输出数据都将经过加密处理，相较于传统的TLS协议，预先定义算法，只需密钥协商，无需经历算法协商的过程，因此协商过程只需一次握手，握手速度更快。

对于密钥协商所需的根密钥存储于安全存储介质中，由管理平台10统一生成与管理，保证了密钥协商过程中的安全性。并且加解密运算由专用加解密芯片来完成，加解密过程更安全更高效。

本发明实施例提供的基于零信任架构的应用程序接口访问控制的系统，融合零信任架构和应用的访问控制策略，通过定义管理平台和API网关的相关边界策略，能够为访问者提供最小化授权访问机制，提供安全高效的接入机制，防止企业数据泄露并限制内部横向移动攻击等。

基于上述实施例提供的基于零信任架构的应用程序接口访问控制的系统，本发明实施例则对应提供基于零信任架构的应用程序接口访问控制的方法，该方法应用于管理平台，方法流程图如图3所示，包括如下步骤：

S10，配置用户信息、所接入的应用的信息和应用的访问控制策略，应用的信息包括应用对应的API网关的地址和应用服务器的地址。

S20，接收客户端的登陆信息，并基于用户信息验证登陆信息。

S30，如果登陆信息验证通过，接收客户端针对目标应用的第一访问请求，并将目标应用对应的目标API网关的地址发送至客户端，以实现：

客户端基于目标API网关的地址向目标API网关发起针对目标应用下目标功能的第二访问请求；目标API网关基于目标应用的访问控制策略验证客户端对目标功能的访问权限，如果客户端具有访问权限，基于目标应用对应的目标应用服务器的地址将第二访问请求转发至目标应用服务器，并将目标应用服务器的响应信息转发至客户端。

可选的，上述方法还包括：

接收客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证第一认证信息；

如果第一认证信息验证通过，执行接收客户端的登陆信息。

优选的，第一认证信息为SPA报文。

可选的，上述方法还包括：

在执行将目标API网关的地址发送至客户端之后，持续监测客户端的会话信息，并基于预设的会话启动条件验证会话信息；

如果会话信息未验证通过，向目标API网关发送阻断指令，以使目标API网关拒绝响应客户端的访问。

需要说明的是，本发明实施例提供的基于零信任架构的应用程序接口访问控制的方法的细化内容可以参见上述基于零信任架构的应用程序接口访问控制的系统实施例公开部分，在此不再赘述。

本发明实施例提供的基于零信任架构的应用程序接口访问控制的方法，融合零信任架构和应用的访问控制策略，通过定义管理平台和API网关的相关边界策略，能够为访问者提供最小化授权访问机制，提供安全高效的接入机制，防止企业数据泄露并限制内部横向移动攻击等。

以上对本发明所提供的一种基于零信任架构的应用程序接口访问控制的系统及方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备所固有的要素，或者是还包括为这些过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种基于零信任架构的应用程序接口访问控制的系统，其特征在于，所述系统包括：

管理平台，用于配置用户信息、所接入的应用的信息和所述应用的访问控制策略，所述应用的信息包括所述应用对应的API网关的地址和应用服务器的地址；接收客户端的登陆信息，并基于所述用户信息验证所述登陆信息；如果所述登陆信息验证通过，接收所述客户端针对目标应用的第一访问请求，并将所述目标应用对应的目标API网关的地址发送至所述客户端；

所述目标API网关，用于接收所述客户端基于所述目标API网关的地址所发起的针对所述目标应用下目标功能的第二访问请求，并基于所述目标应用的访问控制策略验证所述客户端对所述目标功能的访问权限；如果所述客户端具有所述访问权限，基于所述目标应用对应的目标应用服务器的地址将所述第二访问请求转发至所述目标应用服务器，并将所述目标应用服务器的响应信息转发至所述客户端。

2.根据权利要求1所述的系统，其特征在于，所述管理平台，还用于：

接收所述客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证所述第一认证信息；如果所述第一认证信息验证通过，执行所述接收客户端的登陆信息。

3.根据权利要求1所述的系统，其特征在于，所述目标API网关，还用于：

接收所述客户端基于所述目标API网关的地址所发起的包含所述登陆信息的第二认证信息，并将所述第二认证信息发送至所述管理平台，以使所述管理平台基于所述用户信息验证所述第二认证信息；如果所述第二认证信息验证通过，执行所述接收所述客户端基于所述目标API网关的地址所发起的针对所述目标应用下目标功能的第二访问请求。

4.根据权利要求2所述的系统，其特征在于，所述第一认证信息和所述第二认证信息均为单包授权认证SPA报文。

5.根据权利要求1所述的系统，其特征在于，所述管理平台，还用于：

在执行所述将所述目标API网关的地址发送至所述客户端之后，持续监测所述客户端的会话信息，并基于预设的会话启动条件验证所述会话信息；如果所述会话信息未验证通过，向所述目标API网关发送阻断指令，以使所述目标API网关拒绝响应所述客户端的访问。

6.根据权利要求1所述的系统，其特征在于，所述目标API网关，还用于：

生成所述客户端的访问日志，并将所述访问日志上传至所述管理平台。

7.一种基于零信任架构的应用程序接口访问控制的方法，其特征在于，所述方法应用于管理平台，所述方法包括：

配置用户信息、所接入的应用的信息和所述应用的访问控制策略，所述应用的信息包括所述应用对应的API网关的地址和应用服务器的地址；

接收客户端的登陆信息，并基于所述用户信息验证所述登陆信息；

如果所述登陆信息验证通过，接收所述客户端针对目标应用的第一访问请求，并将所述目标应用对应的目标API网关的地址发送至所述客户端，以实现：

所述客户端基于所述目标API网关的地址向所述目标API网关发起针对所述目标应用下目标功能的第二访问请求；所述目标API网关基于所述目标应用的访问控制策略验证所述客户端对所述目标功能的访问权限，如果所述客户端具有所述访问权限，基于所述目标应用对应的目标应用服务器的地址将所述第二访问请求转发至所述目标应用服务器，并将所述目标应用服务器的响应信息转发至所述客户端。

8.根据权利要求7所述的方法，其特征在于，所述方法还包括：

接收所述客户端包含程序启动信息的第一认证信息，并基于预设的程序启动条件验证所述第一认证信息；

如果所述第一认证信息验证通过，执行所述接收客户端的登陆信息。

9.根据权利要求8所述的方法，其特征在于，所述第一认证信息为SPA报文。

10.根据权利要求7所述的方法，其特征在于，所述方法还包括：

在执行所述将所述目标API网关的地址发送至所述客户端之后，持续监测所述客户端的会话信息，并基于预设的会话启动条件验证所述会话信息；

如果所述会话信息未验证通过，向所述目标API网关发送阻断指令，以使所述目标API网关拒绝响应所述客户端的访问。

Images