CN114726575A - 一种检测加密流量关键数据的方法及系统 - Google Patents

Abstract

本发明公开了一种检测加密流量关键数据的方法及系统，该方法包括：通过中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；当判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；基于检测处理数据结果，对所述访问数据进行相应的处理。该方法实现了加密传输过程中非法数据的检测，即提高了数据传输安全性的同时，也提高了数据的合法性；该方法对原有网络环境的改造较少，可以对原有的网络环境做到无感知，解决了在加密传输环境下无法针对传输内容的合法性进行检测的问题。

Description

一种检测加密流量关键数据的方法及系统

技术领域

本发明涉及安全通信技术领域，特别涉及一种检测加密流量关键数据的方法及系统。

背景技术

随着人们对安全意识的加强,人们开始将自己的通信内容进行加密传输, 无论是国际的加解密算法还是国密的加解密算法.这样既保护了合法人的数据,但也掩盖了非法人的做的非法数据,如图1所示，客户端与服务端的数据交互为加密传输，那么检测设备则对加密传输的数据无任何的检测能力。

而且，目前从政府到金融，从军事到海关各个方面都开始部署安全的传输通道。

但是如何对加密传输内容的合法性检测，有的是对规定的协议进行检测处理,有的是将明文处理后的数据进行解密后明文传输给业务服务,无法单独的部署到一个网络检测环境中。特别是基于国际加解密算法和国密加解密算法通信的网络通信环境中，对网络中非法关键数据无法进行检测。

因此，如何针对加密传输的数据是否具有非法数据的检测，成为了急需解决的关键问题。

发明内容

本发明的主要目的在于提出一种检测加密流量关键数据的方法及系统，在安全的加密传输通道下,也能对网络加密流量关键数据进行有效检测，解决了在加密传输环境下无法针对传输内容的合法性进行检测的问题。

为实现上述目的，本发明采取的技术方案为：

第一方面，本发明实施例提供一种检测加密流量关键数据的方法，包括：

S100、通过中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；

S101、当判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；

S200、基于检测处理数据结果，对所述访问数据进行相应的处理。

进一步地，当判断所述访问数据为加密数据时，所述S200步骤包括：

S201、当检测解密处理的结果存在非法数据时，则直接冻结所述客户端的数据发送；

S202、当检测解密处理的结果为合法数据时，根据所述中间设备与业务服务器配置的通信规则，将所述合法数据通过预设加密规则加密后发送给后端的业务服务器，完成正常的数据通信。

进一步地，所述S200步骤中，检测处理数据结果包括两种情况：

其一、根据用户需求，将延迟性要求较强的数据采用异步的检测处理；在检测的同时，执行S202步骤；

当检测解密处理的结果存在非法数据时，中断后续所述中间设备与所述业务服务器的数据传输；

其二、根据用户需求，将延迟性要求较弱的数据采用同步的检测处理；先将数据交由检测设备检测，当不存在非法数据时，再执行S202步骤。

进一步地，还包括：

S102、当判断所述访问数据为明文数据时，则直接由检测设备进行检测处理。

进一步地，当判断所述访问数据为明文数据时，所述S200步骤包括：

S2001、当检测所述明文数据为非法数据时，则直接冻结所述客户端的数据发送；

S2002、当检测所述明文数据为合法数据时，根据所述中间设备与业务服务器配置的通信规则，将所述合法数据直接发送给后端的业务服务器，完成正常的数据通信。

进一步地，所述S200步骤中，检测处理数据结果包括两种情况：包括：

其一、根据用户需求，将延迟性要求较强的数据采用异步的检测处理；在检测的同时，执行第S2002步骤；

当检测所述明文数据存在非法数据时，中断后续所述中间设备与所述业务服务器的数据传输；

其二、根据用户需求，将延迟性要求较弱的数据采用同步的检测处理；先将数据交由检测设备检测，当不存在非法数据时，再执行第S2002步骤。

第二方面，本发明实施例还提供一种检测加密流量关键数据的系统，包括：客户端、中间设备、检测设备和业务服务器；客户端与中间设备、业务服务器依次通信连接；所述中间设备与检测设备连接；

其中，所述中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；

当所述中间设备判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；

所述中间设备基于检测处理数据结果，对所述访问数据进行相应的处理。

本发明的有益效果是：

本发明提出了一种检测加密流量关键数据的方法，包括：通过中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；当判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；基于检测处理数据结果，对所述访问数据进行相应的处理。该方法实现了加密传输过程中非法数据的检测，即提高了数据传输安全性的同时，也提高了数据的合法性。另外，对明文和加密混合传输的环境中也可以正常使用；再有，中间设备和检测设备部署简单方便，既可以和业务服务器放在一个环境下,也可以单独的部署在一个检测环境中，可以对原有的网络环境做到无感知,减少对原有网络环境的改造。

附图说明

图1为现有的客户端访问服务端的场景示意图；

图2为本发明实施例提供的检测加密流量关键数据的方法的流程图；

图3为本发明实施例提供的检测加密流量关键数据的系统示意图。

具体实施方式

为使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体实施方式，进一步阐述本发明。

在本发明的描述中，需要说明的是，术语“上”、“下”、“内”、“外”“前端”、“后端”、“两端”、“一端”、“另一端”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“设置有”、“连接”等，应做广义理解，例如“连接”，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

实施例1：

本发明提供的一种检测加密流量关键数据的方法，参照图2所示，该方法包括：

S100、通过中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；

S101、当判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；

S200、基于检测处理数据结果，对所述访问数据进行相应的处理。

该方法应用于用户客户端和业务服务器构成的架构中，在具体实施时，如果之前有明文数据的检测设备，则直接在原有设备的基础上使用。没有则需要添加适合业务网络的专业非法数据检测设备。

上述步骤S100中，通过在用户客户端和业务服务器构成的架构中，配置中间设备和检测设备，在中间设备中配置正常IP地址或域名，该正常IP地址或域名对应客户端对原业务服务器的访问地址。中间设备直接接管客户端对业务服务器的访问数据；且该中间设备对客户端发送的加密访问数据具有解密能力。

在S101步骤中，当中间设备判断该访问数据为加密数据时，中间设备根据和客户端握手的相关证书的密钥数据对访问数据进行解密，握手的相关证书比如为TCP协议；其中，该加密数据比如为SSL/TLS协议的流量数据。解密后，通过检测设备进行检测处理。在S200中，当检测解密处理的结果存在非法数据时，则直接冻结所述客户端的数据发送；当检测解密处理的结果为合法数据时，根据中间设备与业务服务器的配置的通信规则，将合法数据通过预设加密规则加密后发送给后端的业务服务器，完成正常的数据通信。

中间设备和检测设备部署简单方便，既可以和业务服务器放在一个环境下,也可以单独的部署在一个检测环境中，可以对原有的网络环境做到无感知, 减少对原有网络环境的改造。该方法实现了加密传输过程中非法数据的检测，即提高了数据传输安全性的同时，也提高了数据的合法性。

进一步地，针对访问数据是明文数据时，参照图2所示，该方法还包括：

S102、当判断所述访问数据为明文数据时，则直接由检测设备进行检测处理。此时相应的S200步骤则包括：当检测明文数据为非法数据时，则直接冻结客户端的数据发送；当检测明文数据为合法数据时，根据中间设备与业务服务器配置的通信规则，可以是TCP协议，也可以是UDP协议，将合法数据直接发送给后端的业务服务器，完成正常的数据通信。本实施例中，该方法对明文和加密混合传输的环境中也可以正常使用。

下面通过三部分来详细说明本发明的技术方案：

本发明的主要方案分为：数据接管过程，数据的密文处理过程，以及数据的正常发送过程。

1数据接管过程：

客户端对原有业务服务器的访问地址，直接接管到称之为中间设备上，就是将配置正常IP地址或域名的，直接配置到中间的网络设备上。这样所有客户端对服务器的访问数据，就传输到了访问中间设备，完成对访问数据的一个接管，对客户端的安全交换阶段，在客户端和中间服务器之间完成,因此中间设备对客户端的发过来的加密具有解密能力。

2数据的处理过程：

中间设备接收到访问数据，首先根据访问数据的特征判断是明文数据，还是加密的数据。

2.1如果是明文数据，则直接转发给数据的检测设备或检测服务器进行检测处理，在此过程中对那些定义为延迟性要求较强的数据采用异步的检测处理，即检测的同时，也往业务服务器进行发送，在发现有异常数据时，中断该对应客户端的数据后续的向业务服务器发送，严重时对客户端的进行冻结，或对使用该客户端的人员进行相关法律处理。比如，针对远程手术、远程视频会议等对延迟性要求比较高，时延为1毫秒，可选择异步检测处理方式；在具体实施时可根据应用场景进行设置。

对于延迟性要求较弱的数据，可以采用同步的检测处理，即先将数据交由检测服务器检测，没有非法数据时，再执行第3步的过程。检测为非法数据时，直接冻结客户端的数据发送，对使用该客户端的人或组织进行相关法律处理。比如，针对QQ聊天、微信聊天，对时延要求比较低的场景，可采用同步的检测方式。

2.2如果检测到数据时密文时，根据和客户端握手的相关证书的密钥数据对数据进行解密，那些定义为延迟性要求较强的数据采用异步的检测处理，即检测的同时，执行第3步过程，在发现有异常数据时，中断往该对应客户端的数据往后面第3步过程，严重时对客户端的进行冻结，或对使用该客户端的人员进行相关法律处理；

对于延迟性要求较弱的数据，可以采用同步的检测处理，即先将数据交由检测服务器检测，没有非法数据时，再执行第3步的过程。检测为非法数据时，直接冻结客户端的数据发送，对使用该客户端的人或组织进行相关法律处理。

3数据的正常发送过程：

针对加密数据时当检测为合法的数据，根据设定的规则中间设备和业务服务器进行握手通信，将数据加密后发送给后端的业务服务器，完成正常的数据通信。从业务服务器到客户端的数据则直接通过中间设备转交给客户端。

而针对明文数据时当检测为合法的数据，根据设定的规则中间设备和业务服务器进行通信，将明文数据直接发送给后端的业务服务器，完成正常的数据通信。从业务服务器到客户端的数据则直接通过中间设备转交给客户端。

如图3所示，其中，C表示客户端；B表示中间设备；K表示检测设备： S表示业务服务端。其加解密流程如下：

(1)正常情况下，C→S由于是密文通信，K无法进行数据的检测。

(2)改造后情况：

情况1：

C→B，加密通信，C和B进行密钥协商，B负责解密数据，将解密数据发送给K，K检测完后，给B一个回应，B根据回应决定是否要跟S进行加密通信。即：安全就和S进行密钥协商，并进行加密传输，属于同步处理方式。

情况2：

C→B，加密通信，C和B进行密钥协商，B负责解密数据，将解密数据发送给K。同时，B与S进行密钥协商，并加密将数据传输给S，K检测完后，给B一个回应，B来决定是否后续还要跟S进行加密通信，另外根据严重程度，还要对C进行追责。即：属于异步处理方式。

其中，

单独密钥协商，不需要C的密文直接转给S，因为在于最开始C和B进行握手协商，将密文直接转给S，而S解不开加密数据。另外，B还将多个和C的通信数据进行汇总与S进行通信。例如有10个C进行和B通信，在还是第一个C经B与S访问通信时，到了B→S通信时，有可能就会是一个通道了，称为通道的复用，也可以进一步地提高通信效率。

实施例2：

基于同一发明构思，参照图3所示，本发明实施例还提供一种检测加密流量关键数据的系统，包括：客户端C、中间设备B、检测设备K和业务服务器S；客户端C与中间设备B、业务服务器S依次通信连接；中间设备B 与检测设备K连接；

其中，中间设备B直接接管客户端C对业务服务器S的访问数据；中间设备B对客户端C发送的加密访问数据具有解密能力；

当中间设备B判断访问数据为加密数据时，中间设备B根据和客户端C 握手的相关证书的密钥数据对访问数据进行解密；将解密后的数据通过检测设备K进行检测处理；中间设备B基于检测处理数据结果，对访问数据进行相应的处理。

进一步地，当检测密文数据解密处理的结果或明文数据存在非法数据时，则直接冻结客户端的数据发送；

当检测密文数据解密处理的结果或明文数据为合法数据时，根据中间设备与业务服务器配置的通信规则，将合法数据通过预设加密规则加密后或直接将合法数据发送给后端的业务服务器，完成正常的数据通信。

且在检测过程中，还包括同步和异步检测方式：可参照实施例1中的具体阐述。

本发明实施例提供的一种检测加密流量关键数据的系统，实现了加密传输过程中非法数据的检测，即提高了数据传输安全性的同时，也提高了数据的合法性，对明文和加密混合传输的环境中也可以正常使用，部署简单方便, 即中间设备和检测设备可以与业务服务器放在一个环境下,也可以单独的部署在一个检测环境中，可以对原有的网络环境做到无感知,减少对原有网络环境的改造。

以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (7)

1.一种检测加密流量关键数据的方法，其特征在于，包括：

S100、通过中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；

S101、当判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；

S200、基于检测处理数据结果，对所述访问数据进行相应的处理。

2.根据权利要求1所述的方法，其特征在于，当判断所述访问数据为加密数据时，所述S200步骤包括：

S201、当检测解密处理的结果存在非法数据时，则直接冻结所述客户端的数据发送；

S202、当检测解密处理的结果为合法数据时，根据所述中间设备与业务服务器配置的通信规则，将所述合法数据通过预设加密规则加密后发送给后端的业务服务器，完成正常的数据通信。

3.根据权利要求2所述的方法，其特征在于，所述S200步骤中，检测处理数据结果包括两种情况：

其一、根据用户需求，将延迟性要求较强的数据采用异步的检测处理；在检测的同时，执行S202步骤；

当检测解密处理的结果存在非法数据时，中断后续所述中间设备与所述业务服务器的数据传输；

其二、根据用户需求，将延迟性要求较弱的数据采用同步的检测处理；先将数据交由检测设备检测，当不存在非法数据时，再执行S202步骤。

4.根据权利要求1所述的方法，其特征在于，还包括：

S102、当判断所述访问数据为明文数据时，则直接由检测设备进行检测处理。

5.根据权利要求4所述的方法，其特征在于，当判断所述访问数据为明文数据时，所述S200步骤包括：

S2001、当检测所述明文数据为非法数据时，则直接冻结所述客户端的数据发送；

S2002、当检测所述明文数据为合法数据时，根据所述中间设备与业务服务器配置的通信规则，将所述合法数据直接发送给后端的业务服务器，完成正常的数据通信。

6.根据权利要求5所述的方法，其特征在于，所述S200步骤中，检测处理数据结果包括两种情况：包括：

其一、根据用户需求，将延迟性要求较强的数据采用异步的检测处理；在检测的同时，执行第S2002步骤；

当检测所述明文数据存在非法数据时，中断后续所述中间设备与所述业务服务器的数据传输；

其二、根据用户需求，将延迟性要求较弱的数据采用同步的检测处理；先将数据交由检测设备检测，当不存在非法数据时，再执行第S2002步骤。

7.一种检测加密流量关键数据的系统，其特征在于，包括：客户端、中间设备、检测设备和业务服务器；客户端与中间设备、业务服务器依次通信连接；所述中间设备与检测设备连接；

其中，所述中间设备直接接管客户端对业务服务器的访问数据；所述中间设备对所述客户端发送的加密访问数据具有解密能力；

当所述中间设备判断所述访问数据为加密数据时，所述中间设备根据和客户端握手的相关证书的密钥数据对所述访问数据进行解密；将解密后的数据通过检测设备进行检测处理；

所述中间设备基于检测处理数据结果，对所述访问数据进行相应的处理。

Images