CN115529193B - 一种云边协同隧道的安全通信方法 - Google Patents

Abstract

本发明公开了一种云边协同隧道的安全通信方法，属于数字信息传输技术领域，具体方法包括：设置隧道资产中心、隧道云服务和隧道边缘客户端，所述隧道资产中心和隧道云服务均工作在云计算中心，所述隧道边缘客户端工作在边缘节点；当隧道边缘客户端向隧道云服务发起注册申请时，隧道云服务从隧道资产中心检查是否存在该节点的资产模型，当具有对应的资产模型时，将节点注册到隧道资产中心；当不具有对应的资产模型时，丢弃对应的注册请求；隧道云服务验证隧道边缘客户端的身份并创建合法的云边隧道，当云服务访问边缘服务时，所有通信流量都经过隧道云服务器转发给隧道边缘客户端；隧道边缘客户端主动注册隧道云服务，并创建云边通信隧道。

Description

一种云边协同隧道的安全通信方法

技术领域

本发明属于数字信息传输技术领域，具体是一种云边协同隧道的安全通信方法。

背景技术

随着边缘计算技术的高速发展，边缘计算已经成为云计算的延伸，同时也成为轻量级私有化部署的优选方案。但是，随着边缘计算的外延发展，云计算和边缘计算之间的通信隧道，需要在公网环境下进行部署，因而其安全问题也备受关注。因此为了完善其通信安全，本发明提供了一种云边协同隧道的安全通信方法。

发明内容

为了解决上述方案存在的问题，本发明提供了一种云边协同隧道的安全通信方法。

本发明的目的可以通过以下技术方案实现：

一种云边协同隧道的安全通信方法，具体方法包括：

设置隧道资产中心、隧道云服务和隧道边缘客户端，所述隧道资产中心和隧道云服务均工作在云计算中心，所述隧道边缘客户端工作在边缘节点；当隧道边缘客户端向隧道云服务发起注册申请时，隧道云服务从隧道资产中心检查是否存在该节点的资产模型，当具有对应的资产模型时，将节点注册到隧道资产中心；当不具有对应的资产模型时，丢弃对应的注册请求；

隧道云服务验证隧道边缘客户端的身份并创建合法的云边隧道，当云服务访问边缘服务时，所有通信流量都经过隧道云服务器转发给隧道边缘客户端；

隧道边缘客户端主动注册隧道云服务，并创建云边通信隧道。

进一步地，云边隧道的所有通信采用符合国家密码标准的SM2方案进行加密。

进一步地，云边隧道采用基于QUIC的HTTP 3协议。

进一步地，云边隧道采用的加密算法的推荐方法包括：

获取符合云边隧道的加密方案，标记为待选方案，获取各待选方案对应的加密信息，根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数，根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值，将优先值大于阈值X1的待选方案标记为推荐加密方案，将推荐加密方案根据对应优先值按照从大到小的顺序进行排序，获得推荐列表，将获得的推荐列表发送给对应的工作人员。

进一步地，根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数的方法包括：

将获得的加密信息按照符合值、改编值、安全值和应用反馈系数对应分为四个分析数据集，对对应的分析数据集进行分析，获得对应的符合值、改编值、安全值和应用反馈系数。

进一步地，对对应的分析数据集进行分析的方法包括：

构建人工智能模型；建立各分析数据数据集对应的训练集，通过建立的训练集对人工智能模型进行训练，将训练成功后的人工智能模型标记为智能分析模型，通过智能分析模型对对应的分析数据集进行分析，输出对应的分析值。

进一步地，根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值的方法包括：

根据公式QY=b1×FH+b2×GB+b3×AQ×β计算各待选方案的优先值，其中b1、b2、b3均为比例系数，取值范围为0<b1≤1，0<b2≤1，0<b3≤1；FH为符合值；GB为改编值；AQ为安全值；β为应用反馈系数。

与现有技术相比，本发明的有益效果是：采用国密SM2算法，结合性能更好的通信协议HTTP 3，将隧道DNS服务升级为边缘资产中心，增强边缘节点身份验证，对gRPC云边隧道的加密方式进行改造，解决安全性和稳定性问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例二原理框图；

图2为本发明实施例一原理框图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1至2所示，实施例一：一种云边协同隧道的安全通信方法，云边隧道通信的建立过程如下：

边缘节点tunnel-edge服务主动连接云计算tunnel-cloud服务，tunnel-cloud对tunnel-edge进行身份鉴权之后，建立起gRPC通信隧道；gRPC的通信方式采用HTTP/2协议，并且启用SSL/TLS进行加密通信；

云端需要访问边缘端时，云端应用向tunnel-cloud发送指令，并经由gRPC隧道向tunnel-edge转发数据，tunnel-edge收到数据后，再转发给边缘端应用服务，由边缘应用服务进行处理。处理完成后，数据经由tunnel-edge和tunnel-cloud返回给服务端应用，从而完成交互过程。整个过程对应用层是透明的，以SSH为例，其云边通信过程如图2所示。

由于gRPC的通信方式采用HTTP/2协议，并且启用SSL/TLS进行加密通信，其安全性基本上是能够满足大部分需求的。

实施例二：上述实施例中，对于部署在家庭和企业内部网络的边缘计算机而言，其安全性稍显不足。众所周知，家庭WIFI网络由于使用者的计算机水平参差不齐，常被破解，蹭网现象时有发生。再观企业内网，除了边缘节点之外，还有不少员工电脑，使用电脑的人员计算机水平也同样参差不齐，很容易遭受各类攻击，进而被利用来破解边缘节点。边缘计算将原本应该在云计算内网完成的部分计算能力延伸到了边缘节点，如前面所述的家庭和企业的内部网络，而其安全性参差不齐，SSL/TLS被破解已经不是什么新闻，很难确保安全性。

虽然HTTP2解决了HTTP1.x版本的很多问题，但是它还是存在一个巨大的问题，主要是底层支撑的TCP协议造成的。HTTP2使用了多路复用，一般来说同一域名下只需要使用一个TCP连接。但当这个连接中出现了丢包的情况，那就会导致HTTP2的表现情况反倒不如HTTP1.x了。因为在出现丢包的情况下，整个TCP都要开始等待重传，这也就导致了后面的所有数据通信都被阻塞了。但是对于HTTP1.1来说，可以开启多个TCP连接，出现这种情况反倒只会影响其中一个连接，剩余的TCP连接还可以正常传输数据。

如图1所示，因此在本实施例中提出了如下方法：

设置隧道资产中心、隧道云服务和隧道边缘客户端，所述隧道资产中心和隧道云服务均工作在云计算中心，所述隧道边缘客户端工作在边缘节点；当隧道边缘客户端向隧道云服务发起注册申请时，隧道云服务从隧道资产中心检查是否存在该节点的资产模型，当具有对应的资产模型时，将节点注册到隧道资产中心；当不具有对应的资产模型时，丢弃对应的注册请求；

隧道云服务验证隧道边缘客户端的身份并创建合法的云边隧道，当云服务访问边缘服务时，所有通信流量都经过隧道云服务器转发给隧道边缘客户端；

隧道边缘客户端主动注册隧道云服务，并创建云边通信隧道，供其他服务使用。

云边隧道的所有通信采用符合国家密码标准的SM2方案进行加密，应用层无需过度关注加密性能，且其安全性经过对应权威机构认证，具有更好的安全性。

SM2中采用了ECC 256来产生秘钥，比起SSL/TLS中普遍采用的RSA 2048/4096算法，不仅安全性更好，其加密计算的性能也更高。

云边隧道采用基于QUIC的HTTP 3协议；通过采用基于QUIC的HTTP 3协议，具有更好的多路通信性能，能够有效解决HTTP 2多路复用时，单一TCP链接带来的隧道阻塞问题。

实施例三：本实施例与实施例二的区别在于：智能分析现有的通信加密方案，实现加密方案的智能推荐，因为随着时间的变化和加密技术的更新换代，当前合适的SM2方案后续可能就不合适了，因此需要进行智能分析，在建立通道时进行加密方案的智能推荐，辅助对应的工作人员进行通道的建立；因此，云边隧道采用的加密算法的推荐方法包括：

获取符合云边隧道的加密方案，标记为待选方案，获取各待选方案对应的加密信息，根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数，根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值，将优先值大于阈值X1的待选方案标记为推荐加密方案，将推荐加密方案根据对应优先值按照从大到小的顺序进行排序，获得推荐列表，将获得的推荐列表发送给对应的工作人员。

根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数的方法包括：

将获得的加密信息按照符合值、改编值、安全值和应用反馈系数对应分为四个分析数据集，对对应的分析数据集进行分析，获得对应的符合值、改编值、安全值和应用反馈系数。

加密信息包括加密方式、历史应用安全效果等数据，加密方式即为该待选方案采用何种方式进行加密，加密算法是什么等，历史应用安全效果即加密效果评价、加密效果等数据；

将获得的加密信息按照符合值、改编值、安全值和应用反馈系数对应分为四个分析数据集，通过人工的方式设置符合值、改编值、安全值和应用反馈系数对应的分类项数据，一个分类项数据可以对应多个参数，如加密方式可以对应符合值和改编值，具体的通过人工的方式进行设置，根据对应的关系进行提取复制等，获得对应的分析数据集。

对对应的分析数据集进行分析的方法包括：

构建人工智能模型；人工智能模型包括误差逆向传播神经网络、RBF神经网络和深度卷积神经网络，通过人工的方式建立各分析数据数据集对应的训练集，通过建立的训练集对人工智能模型进行训练，将训练成功后的人工智能模型标记为智能分析模型，通过智能分析模型对对应的分析数据集进行分析，输出对应的分析值，即符合值、改编值、安全值或应用反馈系数。因神经网络为本领域常规技术，因此具体的建立和训练过程不进行详细叙述。

符合值是根据对应的加密算法是否适合云边隧道的加密进行分析设置的；改编值是基于对应加密算法和对应企业员工的业务能力进行设置的；安全值即该加密算法的加密安全能力；应用反馈系数是根据当前已经在各领域应用的安全反馈效果进行设置的。

根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值的方法包括：

根据公式QY=b1×FH+b2×GB+b3×AQ×β计算各待选方案的优先值，其中b1、b2、b3均为比例系数，取值范围为0<b1≤1，0<b2≤1，0<b3≤1；FH为符合值；GB为改编值；AQ为安全值；β为应用反馈系数。

上述公式均是去除量纲取其数值计算，公式是由采集大量数据进行软件模拟得到最接近真实情况的一个公式，公式中的预设参数和预设阈值由本领域的技术人员根据实际情况设定或者大量数据模拟获得。

以上实施例仅用以说明本发明的技术方法而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方法进行修改或等同替换，而不脱离本发明技术方法的精神和范围。

Claims (3)

1.一种云边协同隧道的安全通信方法，其特征在于，具体方法包括：

设置隧道资产中心、隧道云服务和隧道边缘客户端，所述隧道资产中心和隧道云服务均工作在云计算中心，所述隧道边缘客户端工作在边缘节点；当隧道边缘客户端向隧道云服务发起注册申请时，隧道云服务从隧道资产中心检查是否存在该节点的资产模型，当具有对应的资产模型时，将节点注册到隧道资产中心；当不具有对应的资产模型时，丢弃对应的注册请求；

隧道云服务验证隧道边缘客户端的身份并创建合法的云边隧道，当云服务访问边缘服务时，所有通信流量都经过隧道云服务器转发给隧道边缘客户端；

隧道边缘客户端主动注册隧道云服务，并创建云边通信隧道；

云边隧道采用的加密算法的推荐方法包括：

获取符合云边隧道的加密方案，标记为待选方案，获取各待选方案对应的加密信息，根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数，根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值，将优先值大于阈值X1的待选方案标记为推荐加密方案，将推荐加密方案根据对应优先值按照从大到小的顺序进行排序，获得推荐列表，将获得的推荐列表发送给对应的工作人员；

根据获得的符合值、改编值、安全值和应用反馈系数计算对应的优先值的方法包括：

根据公式QY=b1×FH+b2×GB+b3×AQ×β计算各待选方案的优先值，其中b1、b2、b3均为比例系数，取值范围为0<b1≤1，0<b2≤1，0<b3≤1；FH为符合值；GB为改编值；AQ为安全值；β为应用反馈系数。

2.根据权利要求1所述的一种云边协同隧道的安全通信方法，其特征在于，根据获得的加密信息设置对应的符合值、改编值、安全值和应用反馈系数的方法包括：

将获得的加密信息按照符合值、改编值、安全值和应用反馈系数对应分为四个分析数据集，对对应的分析数据集进行分析，获得对应的符合值、改编值、安全值和应用反馈系数。

3.根据权利要求2所述的一种云边协同隧道的安全通信方法，其特征在于，对对应的分析数据集进行分析的方法包括：

构建人工智能模型；建立各分析数据数据集对应的训练集，通过建立的训练集对人工智能模型进行训练，将训练成功后的人工智能模型标记为智能分析模型，通过智能分析模型对对应的分析数据集进行分析，输出对应的分析值。

Images