CN115567310A - 零信任模式下基于网络隐身的客户端安全分发方法 - Google Patents

零信任模式下基于网络隐身的客户端安全分发方法 Download PDF

Info

Publication number
CN115567310A
CN115567310A CN202211244817.4A CN202211244817A CN115567310A CN 115567310 A CN115567310 A CN 115567310A CN 202211244817 A CN202211244817 A CN 202211244817A CN 115567310 A CN115567310 A CN 115567310A
Authority
CN
China
Prior art keywords
user
client
sdp
controller
employee
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211244817.4A
Other languages
English (en)
Inventor
杨安印
杨正权
秦益飞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiangsu Yianlian Network Technology Co ltd
Original Assignee
Jiangsu Yianlian Network Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jiangsu Yianlian Network Technology Co ltd filed Critical Jiangsu Yianlian Network Technology Co ltd
Priority to CN202211244817.4A priority Critical patent/CN115567310A/zh
Publication of CN115567310A publication Critical patent/CN115567310A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开一种零信任模式下基于网络隐身的客户端安全分发方法，通过邮件或者短信有针对性的定向分发客户端，并且在SDP控制器配置客户端软件时自动把SDP控制器信息动态内置进去，这样使得给每个用户分发的客户端都是独一无二的。也就实现了“专端专用”，即使是合法的两个用户之间也不能混用对方的客户端。本发明中内置的敲门码code第一次使用后即变化，反向更新到已经安装的客户端上，使得已经下载的客户端软件自动失效。同时，由于本发明在合法用户已下载的客户端中内置有最新的SDP控制器全局策略和用户策略，使得在敲门SDP控制器前就能够获得全局策略和用户策略，并在用户登录前能执行相应全局策略和用户策略。

Description

零信任模式下基于网络隐身的客户端安全分发方法
技术领域
本发明属于计算机网络领域，具体涉及一种零信任模式下基于网络隐身的客户端安全分发方法。
背景技术
零信任SDP安全模型包括SDP控制器、SDP网关和SDP客户端，SDP客户端发起连接请求，SDP控制器认证客户端请求，并控制SDP客户端与SDP网关建立数据通道。
SDP客户端通过敲门技术携带认证信息，包含用户名、密码、终端信息、网络环境等，然后由SDP控制器对这些认证信息组合的多因素身份进行验证，向客户端返回SDP网关列表及权限列表；SDP控制器自身具备安全策略管理，能够动态管控用户的认证和访问行为，以及与企业已有的身份管理、态势感知等系统对接；默认情况下，SDP网关拒绝一切连接请求，只有SDP控制器下发认证策略后，才动态接受指定SDP客户端的连接，通过加密传输的方式代理SDP客户端和应用的数据通信，同时根据控制器下发的控制策略，管理通信过程。
SDP网络隐身作为零信任SDP最关键的技术之一，其目标之一是克服传输控制协议/互联网协议地址TCP/IP开放和不安全的基本特性，实现“先认证后连接”，使得只有被授权的用户才能可靠地访问，而未授权用户则看不到这些服务。SDP网络隐身的核心网络安全协议为单包授权SPA，单包授权SPA在允许访问控制器、网关等相关系统组件所在的网络之前，先验证设备和用户身份，实现零信任“先认证，再连接”的安全模型。
单包授权SPA包括包含有请求方的IP地址等在内的连接请求的信息，在单一的网络信息中被加密和认证，通过配置默认丢弃(Default-Drop)的防火墙策略使保护的服务对外不可见，该防火墙系统丢弃所有TCP和用户数据报协议UDP数据包，不回复连接尝试，从而不为潜在的攻击者提供任何关于该端口是否正被监听的信息。用户尝试访问时，必须先验证用户的身份、设备和网络信息，然后允许用户网络访问零信任系统组件SDP控制器和SDP网关，最后用户才被允许访问该服务。所以，单包授权SPA对于零信任SDP安全模型不可或缺。
但是，现有的零信任SDP安全模型以及单包授权SPA方法则存在以下技术缺陷：
1)现有大多数方案是分发出去的客户端是标准品，没有内置管理端信息，客户端要登录之前需要配置管理端信息，易用性不好；
2)有些客户端为了解决易用性问题，针对某个特定的局点控制器安装情况，在发出客户端之前先把控制器信息内置进去，然后再把这个客户端提供给用户下载；这里就存在着每遇到一个部署局点都要手工把控制器信息内置进去的动作；
3)由于现有技术提供的是通用客户端下载页面，使得黑客也能拿到客户端软件，拿到客户端软件后，成功攻破控制器的概率就大大增加；
4)现有技术方案中，客户端一旦被下载下来，就可以被随处复制使用，对端设备的管控造成了很大的风险；
5)现存技术方案没有办法判断是否允许一个新终端敲门，比如有些公司约定一个人只能有一台设备可以敲门；
6)现有方案在敲门成功前没有办法从控制器把全局策略拉取下来。
发明内容
发明目的：本发明的目的在于解决现有技术中存在的不足，提供一种零信任模式下基于网络隐身的客户端安全分发方法；通过本发明能够保证端定向发放给指定人员，实现专端专用，每个合法用户都有一个或者多个指定的端可以用控制器主动把自己需要的安全信息内置到端里面去，解决第一次需要敲开门才能获取到全局策略和用户策略的疑难问题。
技术方案：本发明的一种零信任模式下基于网络隐身的客户端安全分发方法，包括以下步骤：
步骤(1)生成SDP客户端软件的具体步骤为：
步骤(1.1)安装好SDP控制器和SDP应用网关；管理员到SDP控制器配置页里面配置要分发的客户端软件；保存配置后SDP控制器立即在指定的客户端软件文件中放置controller加密文件，controller加密文件中含有安装SDP控制器过程配置的控制器参数；此处由于controller加密文件是依据SDP控制器自动配置的，其运维成本较低；同时又因为controller加密文件是内置到客户端软件中的，因此用户在后续安装并登录时，可以省去输入SDP控制器信息的步骤，能够解决现有技术中的易用性问题；
步骤(1.2)管理员在SDP控制器的策略模块中配置和具体用户无关的全局策略；当管理员点击保存以后，自动在客户端软件生成加密的globalPolicy文件，globalPolicy文件中存储有全局策略；
步骤(1.3)管理员在SDP控制器的用户管理模块创建用户名为employee的用户，并绑定用户邮箱地址或者手机号，同时设定employee用户的数字化唯一标识为employeeKey；
步骤(1.4)点击保存后系统为用户employee分配全局唯一的敲门码encryptedCode；在SDP控制器管理端记录下用户名到code码的映射关系：employeeKey:[encryptedCode]；此处敲门码code还可以结合固定资产来生成，即将敲门码code用于设备标识,这样能够实现只允许使用公司的固定资产接入IT系统；进一步提高安全性能；
步骤(1.5)然后生成供用户employee下载客户端软件的链接，同时通过邮件或手机短信将该链接发送给用户employee；
步骤(2)下载SDP客户端软件的具体步骤为
步骤(2.1)管理员在SDP控制器用户配置页面针对用户employee创建一个用户策略，同时生成一个放置该用户策略的employeePolicy文件；
步骤(2.2)当用户employee点击收到的下载客户端软件的链接时；下载中心首先解析出链接中用户employee的唯一标识employeeKey和对应敲门码encryptedCode；
步骤(2.3)查询SDP控制器是否存在employeeKey-encryptedCode这个映射，如果不存在，则返回错误页面；如果存在，则生成一个code文件，code文件中存放加密后的employeeKey-encryptedCode键值对；
步骤(2.4)先复制一份客户端软件，然后把code文件和employeePolicy文件均都放入该客户端软件，接着将修改后的客户端软件返回给用户employee。
至此生成及下载的客户端带有敲门所需的认证信息，因此保留有零信任SDP安全模型的敲门机制和网络隐身功能；只有合法客户端和用户才能登录过程敲开SDP控制器的门，所以能够在客户登录成功前就能从控制器拿到全局策略；本发明能够结合不同合法的客户端之间混用乱用问题，例如禁止用户employeeB想使用分发给用户employeeA的客户端，安全性更高。
进一步地，还包括登录SDP客户端软件，SDP客户端登录的详细过程为：
步骤(3.1)用户employee安装下载的修改后的客户端软件，然后打开客户端的登录页，此时客户端内置有SDP控制器地址；然后执行客户端中globalPolicy文件的全局策略；
步骤(3.2)全局策略执行结束后，在登录页输入用户名，然后判断该用户名与code文件中的用户名是否匹配，如果不匹配则返回登录页，如果匹配则先执行用户策略；
步骤(3.3)客户端使用code文件开始对SDP控制器进行敲门；如果敲门不成功，则说明内置的code文件有误，重新反馈登录页；如果敲门成功，则SDP控制器针对用户employee重新生成一个映射关系，即生成新敲门码：employeeKey-encryptedCodeNew；
步骤(3.4)然后把新敲门码反写到employee接入时使用的客户端(即含有全局策略的客户端)的code文件中；完成客户端更新，将SDP控制器中原来保存的employeeKey-encryptedCode更新为employeeKey-encryptedCodeNew；同时删除本地一开始存储的给employee的专用客户端软件。
此处，假设用户employee已经成功登录客户端，生成阶段原有的用户名到code码的映射关系已被修改，因此即使有黑客再次点击用户邮件或者短信里面的链接，也会返回错误页面，也就是说，本发明中下载的客户端软件一旦被使用过一次，就不能被再次下载，减少了端被分发的次数。
哪怕是用户employee利用已被下载使用过一次的客户端软件再注册一台设备，(比如想通过自己家里的一台设备访问公司资源)，由于code码已经被修改，该内置的code码也不能敲开SDP控制器。同理，即使黑客拿到已经被分发出去并被使用过的端,也是不能通过这个端再次敲开SDP控制器。
有益效果：通过本发明分发的客户端是标准品，和具体的部署环境无关，但是在提供给用户下载之前，又可以基于SDP控制器的安装环境自动预置实际环境信息；与现有技术相比，本发明具有以下优点：
第一、因为本发明所描述的方法解决了受限的端的分发问题，而端是用来做敲门的工具，所以较少了恶意敲门的数量，极大的降低了风险；
第二、这里的端实际起到了类似“用过即焚”的效果，所以端被再次安装时相当于已经失效，即使黑客拿到这个端也没有用
第三、客户端内置的控制器地址是自动填充的，不需要人工干预或者定制
第四、最新的全局策略和用户策略已经内置到端里面了，在敲门之前就能执行。
附图说明
图1为现有技术中零信任SDP安全模型示意图；
图2为现有技术中网络隐身原理示意图；
图3为本发明中客户端软件生成和下载流程图；
图4为本发明中客户端登录流程图。
具体实施方式
下面对本发明技术方案进行详细说明，但是本发明的保护范围不局限于所述实施例。
为便于对技术方案的理解，现对下述技术做出解释。
SPA：在计算机网络领域，端口敲门是指通过在一系列事先指定的关闭端口上做一系列连接动作，一旦连接顺序正确，则防火墙规则会被动态修改掉，以允许发送连接请求的主机能连接上指定的端口。SPA是端口敲门的一种特殊实现，它只需要做一次连接动作(也叫敲门)就能成功打开防火墙上的端口。使用端口敲门的主要目的是防止攻击者通过扫描系统潜在的服务(以端口方式暴露)，进而做有针对性的攻击。
BYOD：自带设备(一般是指员工携带自己的设备办公)。
零信任场景下中，为解决网络隐身和通讯双方端口需要暴漏的问题，现有技术通常采用SPA敲门机制。以客户端访问控制器为例，当客户端使用SPA敲开机制敲开控制器的门，控制器才会临时对该客户端放开指定的端口，别的客户端仍然访问不了这个端口。理想情况下，SPA报文里面一般都会包含用户信息和设备特征信息，在敲门过程中，需要对设备特征信息做一致性比较，如果报文里面的设备特征信息和对端存有的设备特征信息不同，是不能敲开门的。
目前的SPA解决方法在面对下面几种场景时都会面临一些问题：
(1)新客户端接入
考虑用户使用新客户端连接控制器的场景(比如新员工入职时领取了一个台式机)，由于此新设备在SDP控制器上没有被注册过，即控制器会发现SPA里面的设备特征信息是查询不到的，所以这个新端是不可能敲开控制器的门的。为解决这个问题，实际工程实施过程中通常采用以下两种方法：
A)关闭SPA敲门功能，即通信对端的端口是长时间敞开的，该方法的缺陷是，端口直接对外暴漏，受攻击面变大。
B)SPA报文中不含设备信息，但是这样会导致员工可以使用任意BYOD设备访问公司资源，而BYOD设备的安全性大打折扣，通过它访问应用资源，应用资源的安全性会受到危险，也不方便公司对终端设备做统一管控。
(2)全局策略场景
为应对护网行动，有部分现有技术会设定设备注册策略，比如2022年7月1日之后不允许注册新设备。此时，一个新设备能否做设备注册要依赖于控制器上配置的设备注册策略，所以在敲门之前就需要先把设备注册策略同步到客户端上，但是能同步过来的前提条件是设备能敲开控制器的门，而策略本身又禁止敲门，所以这变成了先有鸡还是先有蛋的问题，没有办法解决。
(3)账密被攻陷场景
如果攻击者攻破账密系统就可以拿到合法用户信息，只要攻击者拿到一个客户端并安装在任意一台电脑上，这个攻击者就能从这台电脑上敲开SDP控制器的门(因为SPA敲门时不含设备信息，主要识别依据是用户认证信息)。
实施例1：
如图3和图4所示，本实施例的一种零信任模式下基于网络隐身的客户端安全分发方法，设置泛域名为“*.c.com”，同时设置三种身份：管理员、用户employeeA和用户employeeB。具体包括以下步骤。
步骤(1)生成SDP客户端软件
步骤(1.1)安装好SDP控制器和SDP应用网关；
步骤(1.2)管理员到SDP控制器配置页里面配置要分发的客户端软件，本实施中假设客户端软件名叫clientInstaller.tar，此时直接从随机安装盘里面获取clientInstaller.tar，原始clientInstaller.tar不含有管理端安装环境的任何信息；
步骤(1.3)保存配置后立即在指定的客户端软件clientInstaller.tar文件中放置controller加密文件，controller加密文件中含有安装SDP控制器过程配置的控制器参数，此处控制器参数包括SDP控制器IP和端口、SPA敲门端口等信息，这样能够解决客户端内置特定服务器信息的问题；
步骤(1.4)管理员配置和具体用户无关的全局策略，比如最多只允许一个用户能从两个不同的客户端进行登录，或者在可以登录前要确保端所在设备已经安装杀毒软件；
步骤(1.5)当管理员点击保存以后，自动在客户端软件clientInstaller.tar生成加密的globalPolicy文件(如果globalPolicy文件已经存在，则进行完整覆盖)，globalPolicy文件中存储有全局策略；在后续任何时间更新(添加、修改或者删除)全局策略并保存后，clientInstaller.tar文件里面的globalPolicy文件也都会立即随之更新；
步骤(1.6)管理员在用户管理模块创建用户名为employeeA的用户(当然数据也可以从别的系统同步过来)，假定用户employeeA在系统中的数字化唯一标识为employeeAKey；创建用户employeeA时需同时填写用户邮箱地址或者用户手机号，
步骤(1.7)点击保存后系统为用户employeeA分配一个全局唯一的敲门码：encryptedCodeA；在管理端记录用户名到敲门码code的映射关系：employeeAKey:[encryptedCodeA]；
步骤(1.8)然后生成供用户employeeA下载客户端软件用的链接，构成方式为:https://employeeAKey.c.com/download/client？code＝encryptedCodeA；
步骤(1.9)通过步骤(1.6)的邮箱地址或手机号码给用户employeeA发送邮件或者短信，邮件或者短信附有下载客户端软件的专用链接；
步骤(2)下载SDP客户端软件
步骤(2.1)管理员针对用户employeeA创建一个用户策略，比如employeeA只允许每天09:00-12:00接入系统，此时还生成一个employeeAPolicy文件，employeeAPolicy文件中放置有最新的针对用户employeeA的用户策略；
步骤(2.2)用户employeeA收到邮件或者短信后点击专用链接；下载中心首先解析出域名部分的employeeAKey和参数部分的encryptedCodeA，即找出用户ID和敲门码；
步骤(2.3)查询SDP控制器是否存在employeeAKey-encryptedCodeA这个映射，如果不存在，则返回错误页面；如果存在，则执行步骤(2.4)；
步骤(2.4)生成一个code文件，code文件中存放加密后的employeeAKey-encryptedCodeA键值对，通过该键值对SPA敲门；
步骤(2.5)复制一份clientInstaller.tar，把code文件和employeeAPolicy文件都放进客户端软件clientInstaller.tar里，然后把修改后的新客户端软件clientInstaller.tar返回给用户employeeA。
步骤(3)登录SDP客户端软件
步骤(3.1)用户employeeA下载和安装新客户端软件clientInstaller.tar，然后打开客户端，此时的客户端内置有SDP控制器地址；
步骤(3.2)执行内置在客户端里面的全局策略，即globalPolicy文件里面内置的全局策略；执行完毕后，进入登录页面，在登录页输入用户名employeeA；
步骤(3.3)输入完毕后(输入焦点离开用户名输入框)，首先依据code文件里面用户信息判断是否允许当前用户登录(即判断输入的用户名与code文件中的用户名是否匹配)，如果不匹配，则一直停留在输入用户名页面；如果用户名检验合法，则先执行用户策略；然后客户端使用code文件开始对SDP控制器敲门；
步骤(3.4)如果敲门不成功，则说明内置的code文件有误(比如这个端依据被别人安装过一次后code已经失效了)，返回登录页面，重新输入用户名；如果敲门成功，SDP控制器则会针对用户employeeA重新生成一个新映射关系：employeeAKey-encryptedCodeANew；
步骤(3.5)将新映射关系反写到用户employeeA接入时的客户端code文件中，以完成敲门码的更新；
步骤(3.6)敲门码更新成功后，再更新SDP控制器中原来的映射更，即将employeeAKey-encryptedCodeA更新为employeeAKey-encryptedCodeANew；同时删除本地存储的给employeeA的专用客户端软件clientInstaller.tar。
由实施例1可以看出，本发明的客户端是通过邮件或者短信有针对性的定向分发，并且在SDP控制器配置客户端软件时自动把SDP控制器信息动态内置进去，这样使得给每个用户分发的客户端都是独一无二的。也就实现了“专端专用”，即使是合法的两个用户之间也不能混用对方的客户端。本发明中内置的敲门码code第一次使用后即变化，反向更新到已经安装的客户端上，使得已经下载的客户端软件自动失效。同时，由于本发明在合法用户已下载的客户端中内置有最新的SDP控制器全局策略和用户策略，使得在敲门SDP控制器前就能够获得全局策略和用户策略，并在用户登录前能执行相应全局策略和用户策略。

Claims (2)

1.一种零信任模式下基于网络隐身的客户端安全分发方法，其特征在于：包括以下步骤：
步骤(1)生成SDP客户端软件的具体步骤为：
步骤(1.1)安装好SDP控制器和SDP应用网关；管理员到SDP控制器配置页里面配置要分发的客户端软件；保存配置后SDP控制器立即在指定的客户端软件文件中放置controller加密文件，controller加密文件中含有安装SDP控制器过程配置的控制器参数；
步骤(1.2)管理员在SDP控制器的策略模块中配置和具体用户无关的全局策略；当管理员点击保存以后，自动在客户端软件生成加密的globalPolicy文件，globalPolicy文件中存储有全局策略；
步骤(1.3)管理员在SDP控制器的用户管理模块创建用户名为employee的用户，并绑定用户邮箱地址或者手机号，同时设定用户employee的数字化唯一标识为employeeKey；
步骤(1.4)点击保存后系统为用户employee分配全局唯一的敲门码encryptedCode；在SDP控制器管理端记录下用户名到code码的映射关系：employeeKey:[encryptedCode]；
步骤(1.5)然后生成供用户employee下载客户端软件的链接，同时通过邮件或手机短信将该链接发送给用户employee；
步骤(2)下载SDP客户端软件的具体步骤为
步骤(2.1)管理员在控制器用户配置页面针对用户employee创建一个用户策略，同时生成一个放置该用户策略的employeePolicy文件；
步骤(2.2)当用户employee点击收到的下载客户端软件的链接时；下载中心首先解析出链接中用户employee的唯一标识employeeKey和对应敲门码encryptedCode；
步骤(2.3)查询SDP控制器是否存在employeeKey-encryptedCode这个映射，如果不存在，则返回错误页面；如果存在，则生成一个code文件，code文件中存放加密后的employeeKey-encryptedCode键值对；
步骤(2.4)复制一份客户端软件，然后把code文件和employeePolicy文件均放入该客户端软件，接着将修改后的客户端软件返回给用户employee。
2.根据权利要求1所述零信任模式下基于网络隐身的客户端安全分发方法，其特征在于：还包括登录SDP客户端软件，SDP客户端登录的详细过程为：
步骤(3.1)用户employee安装下载的修改后的客户端软件，然后打开客户端的登录页，此时客户端内置有SDP控制器地址；然后用户employee执行客户端中globalPolicy文件的全局策略；
步骤(3.2)全局策略执行结束后，在登录页输入用户名，然后判断该用户名与code文件中的用户名是否匹配，如果不匹配则返回登录页，如果匹配则先执行用户策略；
步骤(3.3)客户端使用code文件开始对SDP控制器进行敲门；如果敲门不成功，则说明内置的code文件有误，返回登录页；如果敲门成功，则SDP控制器针对用户employee重新生成新映射关系，即生成新敲门码：employeeKey-encryptedCodeNew；
步骤(3.4)然后把新敲门码反写到employee接入时使用的客户端的code文件中；完成客户端更新，将SDP控制器中原来保存的employeeKey-encryptedCode更新为employeeKey-encryptedCodeNew；同时删除本地一开始存储的给employee的专用客户端软件。
CN202211244817.4A 2022-10-12 2022-10-12 零信任模式下基于网络隐身的客户端安全分发方法 Pending CN115567310A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211244817.4A CN115567310A (zh) 2022-10-12 2022-10-12 零信任模式下基于网络隐身的客户端安全分发方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211244817.4A CN115567310A (zh) 2022-10-12 2022-10-12 零信任模式下基于网络隐身的客户端安全分发方法

Publications (1)

Publication Number Publication Date
CN115567310A true CN115567310A (zh) 2023-01-03

Family

ID=84744856

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211244817.4A Pending CN115567310A (zh) 2022-10-12 2022-10-12 零信任模式下基于网络隐身的客户端安全分发方法

Country Status (1)

Country Link
CN (1) CN115567310A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116346505A (zh) * 2023-05-30 2023-06-27 浙江鹏信信息科技股份有限公司 物联网数据安全通信方法、系统及计算机可读存储介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116346505A (zh) * 2023-05-30 2023-06-27 浙江鹏信信息科技股份有限公司 物联网数据安全通信方法、系统及计算机可读存储介质
CN116346505B (zh) * 2023-05-30 2023-07-21 浙江鹏信信息科技股份有限公司 物联网数据安全通信方法、系统及计算机可读存储介质

Similar Documents

Publication Publication Date Title
CN113572738B (zh) 一种零信任网络架构及构建方法
US11647003B2 (en) Concealing internal applications that are accessed over a network
US7360237B2 (en) System and method for secure network connectivity
US8831011B1 (en) Point to multi-point connections
US8156231B2 (en) Remote access system and method for enabling a user to remotely access terminal equipment from a subscriber terminal
CN102047262B (zh) 用于分布式安全内容管理系统的认证
US20070143408A1 (en) Enterprise to enterprise instant messaging
US20180198786A1 (en) Associating layer 2 and layer 3 sessions for access control
US20100306820A1 (en) Control of message to be transmitted from an emitter domain to a recipient domain
CN113472758B (zh) 访问控制方法、装置、终端、连接器及存储介质
CN112016073B (zh) 一种服务器零信任连接架构的构建方法
CN114661485A (zh) 基于零信任架构的应用程序接口访问控制的系统及方法
CN115567310A (zh) 零信任模式下基于网络隐身的客户端安全分发方法
JP2006324980A (ja) 通信端末および通信端末制御方法
US20030226037A1 (en) Authorization negotiation in multi-domain environment
CN117768137A (zh) 远程办公系统和在远程办公系统中提供安全机制的方法
CN116248405A (zh) 一种基于零信任的网络安全访问控制方法及采用该方法的网关系统、存储介质
CN115277237A (zh) 移动终端接入企业内网的控制方法及装置
CN114254352A (zh) 一种数据安全传输系统、方法和装置
US10560478B1 (en) Using log event messages to identify a user and enforce policies
CN114640495A (zh) 一种基于通用浏览器的零信任单包认证系统及方法
JP4878043B2 (ja) アクセス制御システム、接続制御装置および接続制御方法
CN117640211A (zh) 可信安全网络系统、会话建立方法及相关设备
CN117319080A (zh) 隔离保密通信的移动终端及通信方法
CN116132160A (zh) 针对企业Web浏览器或小程序网络安全保护方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination