CN116319073B - 基于量子随机数的api接口防重放攻击方法及系统 - Google Patents

Abstract

本发明公开的基于量子随机数的API接口防重放攻击方法及系统，涉及通信安全技术领域，包括接收客户端发起的HTTP请求，获取HTTP请求携带时间戳Timestamp及真随机数QuantumNonce，校验Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime，若T不大于IntervalTime，则校验QuantumNonce是否存在于缓存中，若QuantumNonce存在于缓存中，则确定HTTP请求为合法请求，删除缓存中存在的QuantumNonce并放行HTTP请求，将HTTP请求发送至目标服务器，提高了API接口重放攻击的能力，保证了API接口的安全性。

Description

基于量子随机数的API接口防重放攻击方法及系统

技术领域

本发明涉及通信安全技术领域，具体涉及一种基于量子随机数的API接口防重放攻击方法及系统。

背景技术

随着互联网、云计算技术的高速发展，API接口已经成为企业中常用的核心技术，也成为各类服务及应用传输数据的核心通道。在API接口备受青睐的同时，也成为了攻击者的主要攻击目标，其中重放攻击就是一种常见的针对API接口的攻击方式，因此，如何防范API接口受到重放攻击保障其安全变得重要而紧急。

现有的防重放攻击的方法采用的是时间戳Timestamp与随机数Nonce结合的方案，其中，随机数Nonce为唯一的随机字符串，用来标识各个HTTP请求。具体方案如下：

客户端每次发起HTTP请求前均会生成时间戳Timestamp和随机数Nonce，在发起HTTP请求时携带时间戳Timestamp和Nonce参数给服务器。一次正常的HTTP请求，从发出至到达服务器的时间一般都不会超过60s，所以当服务器接收到HTTP请求时，会先判断时间戳Timestamp的值与当前时间的时间差是否超过60s，若未超过，则将该HTTP请求视为合法请求。服务器进一步校验随机数Nonce，判断随机数Nonce是否存在缓存中，若不存在则将该HTTP请求视为合法请求，并将该随机数Nonce存储到缓存中，过期时间设置成60s。该方案存在的缺陷是：

随机数Nonce是客户端基于软件算法生成的随机数，属于伪随机数。伪随机数具有规律性、周期性、可预测性的特性。攻击者可利用伪随机数的弱点，绕过拦截进行攻击，API接口的安全性无法得到保证。此外，由于伪随机数的特性，使得随机数Nonce很难保证绝对唯一，也会导致合法的HTTP请求被当作非法请求拦截。

发明内容

针对现有技术存在的缺陷，本发明实施例提供了一种基于量子随机数的API接口防重放攻击方法及系统，其中：

第一方面，本发明实施例提供的基于量子随机数的API接口防重放攻击方法包括以下步骤：

接收客户端发起的HTTP请求。

获取HTTP请求携带的时间戳Timestamp及真随机数QuantumNonce。

校验时间戳Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime。

若时间差T不大于时间差IntervalTime，则校验真随机数QuantumNonce是否存在于缓存中。

若真随机数QuantumNonce存在于缓存中，则确定HTTP请求为合法请求，删除缓存中预先存在的真随机数QuantumNonce并放行HTTP请求，将HTTP请求发送至目标服务器。

在一些实施例中，在接收客户端发起的HTTP请求之前，该方法还包括：

响应于客户端发起的量子随机数生成请求，向量子随机数生成器发送量子随机数获取请求；

基于量子随机数生成器返回的量子随机数，生成真随机数QuantumNonce并将所述真随机数QuantumNonce发送给客户端。

在一些实施例中，在将真随机数QuantumNonce发送给客户端之前，该方法还包括：

存储真随机数QuantumNonce，为真随机数QuantumNonce设置过期时间ExpirationTime。

在一些实施例中，在接收客户端发起的HTTP请求之前，该方法还包括：

分别为注册过的各个API接口配置匹配参数及目标服务器；

根据各个API接口的实际业务需求，确定需要配置防重放功能的API接口并为该API接口打上标记。

在一些实施例中，时间差IntervalTime为60s。

在一些实施例中，过期时间ExpirationTime为60s。

第二方面，本发明实施例提供了一种基于量子随机数的API接口防重放攻击系统，包括：

接收模块，被配置为接收客户端发起的HTTP请求；

获取模块，被配置为获取HTTP请求携带的时间戳Timestamp及真随机数QuantumNonce；

校验模块，被配置为校验时间戳Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime；

校验模块，还被配置为校验真随机数QuantumNonce是否存在于缓存中；

发送模块，被配置为放行HTTP请求并将该HTTP请求发送至目标服务器。

第三方面，本发明实施例提供了一种电子设备，该电子设备包括处理器以及存储有计算机程序指令的存储器；该电子设备执行计算机程序指令时实现如第一方面公开的基于量子随机数的API接口防重放攻击方法。

第四方面，本发明实施例提供了一种计算机可读存储介质，该计算机存储介质上存储有计算机程序指令，该计算机程序指令被处理器执行时实现如第一方面公开的基于量子随机数的API接口防重放攻击方法。

第五方面，本发明实施例提供了一种计算机程序产品，包括计算机程序指令，该计算机程序指令被处理器执行时实现如第一方面公开的基于量子随机数的API接口防重放攻击方法。

与现有技术相比，本发明实施例提供的基于量子随机数的API接口防重放攻击方法及系统具有以下有益效果：

基于量子随机数生成真随机数QuantumNonce，具备对抗量子攻击的能力，较现有方案中的使用的易被预测造成攻击的伪随机数方案，提高了API接口重放攻击的能力，保证了API接口的安全性；

真随机数QuantumNonce来源于API接口，校验于API接口，从源头上保证了真随机数QuantumNonce的合法性，并采用了授权认证机制进行访问控制，保障了真随机数QuantumNonce不会被非法获取。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的基于量子随机数的API接口防重放攻击方法流程示意图。

图2为本发明实施例提供的客户端向API接口获取量子随机数的过程示意图。

图3为本发明实施例提供的基于量子随机数的API接口防重放攻击系统结构示意图。

图4是根据本发明一个实施例的上位机功能原理框图。

图5是根据本发明一个实施例的电子设备的硬件结构原理框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供的基于量子随机数的API接口防重放攻击方法，该方法的执行主体为API接口，包括以下步骤：

S101，接收客户端发起的HTTP请求，其中，该HTTP请求携带时间戳Timestamp及真随机数QuantumNonce。

具体地，API接口接收到客户端发起的HTTP请求后，从该HTTP请求的请求头中获取时间戳Timestamp及真随机数QuantumNonce。

在一些实施例中，在接收客户端发起的HTTP请求之前，该方法还包括：

响应于客户端发起的量子随机数生成请求，API网关向量子随机数生成器发送量子随机数获取请求；

API网关基于该量子随机数生成器返回的量子随机数，生成真随机数QuantumNonce并将该真随机数QuantumNonce发送给客户端。

具体地，客户端获取真随机数QuantumNonce的具体过程如图2所示。

在一些实施例中，在将该真随机数QuantumNonce发送给客户端之前，API网关存储该真随机数QuantumNonce，为该真随机数QuantumNonce设置过期时间ExpirationTime。

其中，真随机数QuantumNonce来源于API接口，校验于API接口，从源头上保证了真随机数QuantumNonce的合法性，并采用了授权认证机制进行访问控制，保障了真随机数QuantumNonce不被非法获取。通过采用真随机数QuantumNonce，本发明实施例提供的基于量子随机数的API接口防重放攻击方法具备了对抗量子攻击的能力，较现有方案中的使用的易被预测造成攻击的伪随机数方案，防API接口重放攻击的安全能力更优。

具体地，过期时间ExpirationTime一般设置为60s，即真随机数QuantumNonce的有效期为60s。

具体地，真随机数QuantumNonce为基于量子随机数生成器发送的量子随机数生成的真随机数，为设定位数的、不可重复、不可预测的字符串（含大小写字母、数字及字符），相当于会话ID，用于标识HTTP请求，具有唯一性。

在一些实施例中，在接收客户端发起的HTTP请求之前，该方法还包括：

S201，API网关分别为注册过的各个API接口配置匹配参数及目标服务器。

具体地，匹配参数包括各个API接口的路径、请求方法（包括GET、POST、PUT、PATCH、DELETE请求方法）和目标服务器访问地址，其中，目标服务器地址用于将HTTP请求转发到对应的服务器中。匹配规则：分别判断是否存在与HTTP请求中的路径一致的API接口的路径、是否存在与HTTP请求中的请求方法一致的API接口的请求方法，若两者均一致，则匹配成功，进入判断该API接口是否需要配置“防重放”功能的流程；若两者中有一个不一致，则匹配不成功，则响应异常提示信息。

S202，API网关根据各个API接口的实际业务需求，确定需要配置防重放功能的API接口并为该API接口打上标记。

具体地，在从该HTTP请求的请求头中获取时间戳Timestamp及真随机数QuantumNonce之前，API接口判断当前已注册的API接口中是否存在与该HTTP请求匹配的API接口，若存在，则根据该API接口的标识，进一步根据该API接口被预先打上的标记，判断该API接口是否需要配置防重放功能，若确定该API接口需要配置防重放功能，则转至步骤S102。

具体地，针对实际业务需求涉及转账、汇款等需要重点保护的API接口时，则确定该类API接口需要配置防重放功能并为该类API接口打上相应的标识。

获取该HTTP请求携带的时间戳Timestamp及真随机数QuantumNonce。

具体地，从该HTTP请求的请求头中获取HTTP请求携带时间戳Timestamp及真随机数QuantumNonce。

S103，校验时间戳Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime。

S104，若时间差T不大于时间差IntervalTime，则校验真随机数QuantumNonce是否存在于缓存中。

具体地，若T大于时间差IntervalTime，则拦截该HTTP请求。

S105，若真随机数QuantumNonce存在于缓存中，则确定该HTTP请求为合法请求，删除缓存中预先存在的真随机数QuantumNonce并放行该HTTP请求，将该HTTP请求发送至目标服务器。

具体地，若真随机数QuantumNonce不存在于缓存中，则确定该HTTP请求为非法请求并拦截该HTTP请求，时间差IntervalTime设置为60s。

如图3所示，本发明实施例提供的基于量子随机数的API接口防重放攻击系统包括：

接收模块，被配置为接收客户端发起的HTTP请求。

获取模块，被配置为获取该HTTP请求携带的时间戳Timestamp及真随机数QuantumNonce。

校验模块，被配置为校验时间戳Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime。

校验模块，还被配置为校验真随机数QuantumNonce是否存在于缓存中。

发送模块，被配置为放行该HTTP请求并将该HTTP请求发送至目标服务器。

图4是根据本发明一个实施例的上位机功能原理框图。该上位机包括数据处理系统30、交互界面40和数据库50，其中，数据库50也可以位于其他位置，如某个与上位机连网的服务器中。交互界面40作为人机交互接口，其与数据处理系统30相连接，既可以显示数据，也可以设置相应的参数，如API接口的标识、路径、请求方法及目标服务器。在一个应用场景中，当接收到客户端发送的HTTP请求时，数据处理系统30根据预先设定的匹配规则，分别判断API接口的路径与该HTTP请求中的路径是否一致、API接口的请求方法与该HTTP请求中的请求方法是否一致，若两者均一致，则确定接收的HTTP请求与对应的API接口匹配成功，数据处理系统30进入判断该API接口是否需要配置防重放功能流程；若两者中有一个不一致，则匹配不成功，则响应异常提示信息。

在一个实施例中，当确定该API接口需要配置防重放功能时，数据处理系统30获取从该HTTP请求的请求头中获取时间戳Timestamp及真随机数QuantumNonce并校验时间戳Timestamp与当前时间的时间差T是否大于预设的时间差IntervalTime，若T不大于时间差IntervalTime，则校验真随机数QuantumNonce是否存在于缓存中，若真随机数QuantumNonce存在于缓存中，则确定该HTTP请求为合法请求，删除该缓存中存在的真随机数QuantumNonce并放行该HTTP请求，将HTTP请求发送至目标服务器。

在另一个实施例中，在接收该HTTP请求之前，数据处理系统30响应于客户端发起的量子随机数生成请求，向量子随机数生成器发送量子随机数获取请求，量子随机数生成器基于量子随机数获取请求，生成量子随机数并将该量子随机数发送给数据处理系统30，数据处理系统30基于该基于量子随机数生成器返回的量子随机数，生成真随机数QuantumNonce并将该真随机数QuantumNonce发送给客户端。

在另一个实施例中，在接收该HTTP请求之前，数据处理系统30分别为注册过的各个API接口配置匹配参数及目标服务器，根据各个API接口的实际业务需求，确定需要配置防重放功能的API接口并为该API接口打上标记。

图5示出了本发明提供的电子设备的一个实施例的硬件结构原理框图。电子设备包括处理器601以及存储有计算机程序指令的存储器602。处理器执行计算机程序指令时实现上述任意一项实施例的基于量子随机数的API接口防重放攻击方法。

具体地，上述处理器601可以包括中央处理器（CPU），或者特定集成电路（Application Specific Integrated Circuit ，ASIC），或者可以被配置成实施本发明实施例的一个或多个集成电路。

存储器602可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器602可包括硬盘驱动器（Hard Disk Drive，HDD）、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线（Universal Serial Bus，USB）驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器602可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器602可在综合网关容灾设备的内部或外部。在特定实施例中，存储器602是非易失性固态存储器。

存储器可包括只读存储器（ROM），随机存取存储器（RAM），磁盘存储介质设备，光存储介质设备，闪存设备，电气、光学或其他物理/有形的存储器存储设备。因此，通常，存储器包括一个或多个编码有包括计算机可执行指令的软件的有形（非暂态）计算机可读存储介质（例如，存储器设备），并且当该软件被执行（例如，由一个或多个处理器）时，其可操作来执行参考根据本公开的一方面的方法所描述的操作。

在一个示例中，电子设备还可包括通信接口603和总线610。其中，如图5所示，处理器601、存储器602、通信接口603通过总线610连接并完成相互间的通信。本发明实施例中的电子设备可以是服务器或其他计算设备，也可以是云端服务器。

通信接口603，主要用于实现本发明实施例中各模块、装置、单元和/或设备之间的通信。

总线610包括硬件、软件或两者，将在线数据流量计费设备的部件彼此耦接在一起。举例来说而非限制，总线可包括加速图形端口（AGP）或其他图形总线、增强工业标准架构（EISA）总线、前端总线（FSB）、超传输（HT）互连、工业标准架构（ISA）总线、无限带宽互连、低引脚数（LPC）总线、存储器总线、微信道架构（MCA）总线、外围组件互连（PCI）总线、PCI-Express（PCI-X）总线、串行高级技术附件（SATA）总线、视频电子标准协会局部（VLB）总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线610可包括一个或多个总线。尽管本发明实施例描述和示出了特定的总线，但本发明考虑任何合适的总线或互连。

本发明还提供了一种计算机程序产品，其包括计算机程序指令，所述计算机程序指令被处理器执行时实现基于量子随机数的API接口防重放攻击方法。该计算机程序产品例如软件安装包、与相关软件系统兼容的插件等。

需要明确的是，本发明并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后，作出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述，仅为本发明的具体实施方式，所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、模块和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。应理解，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。

可以理解的是，上述装置中的相关特征可以相互参考。以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

需要说明的是，上述实施例不以任何形式限制本发明，凡采用等同替换或等效变换的方式所获得的技术方案，均落在本发明的保护范围内。

Claims (8)

1.一种基于量子随机数的API接口防重放攻击方法，其特征在于，包括以下步骤：

分别为注册过的各个API接口配置匹配参数及目标服务器；

根据各个所述API接口的实际业务需求，确定需要配置防重放功能的API接口并为所述API接口打上标记；

接收客户端发起的HTTP请求；

获取所述HTTP请求携带的时间戳TimesTamp及真随机数QuanTumNonce；

校验时间戳TimesTamp与当前时间的时间差T是否大于预设的时间差InTervalTime；

若时间差T不大于时间差InTervalTime，则校验真随机数QuanTumNonce是否存在于缓存中；

若真随机数QuanTumNonce存在于缓存中，则确定所述HTTP请求为合法请求，删除所述缓存中预先存在的真随机数QuanTumNonce并放行所述HTTP请求，将所述HTTP请求发送至目标服务器。

2.根据权利要求1所述的基于量子随机数的API接口防重放攻击方法，其特征在于，在接收客户端发起的HTTP请求之前，所述方法还包括：

响应于所述客户端发起的量子随机数生成请求，向量子随机数生成器发送量子随机数获取请求；

基于所述量子随机数生成器返回的量子随机数，生成所述真随机数QuanTumNonce并将所述真随机数QuanTumNonce发送给客户端。

3.根据权利要求2所述的基于量子随机数的API接口防重放攻击方法，其特征在于，在将所述真随机数QuanTumNonce发送给客户端之前，所述方法还包括：

存储所述真随机数QuanTumNonce，为所述真随机数QuanTumNonce设置过期时间ExpiraTionTime。

4.根据权利要求1所述的基于量子随机数的API接口防重放攻击方法，其特征在于，所述时间差InTervalTime为60s。

5.根据权利要求3所述的基于量子随机数的API接口防重放攻击方法，其特征在于，所述过期时间ExpiraTionTime为60s。

6.一种基于量子随机数的API接口防重放攻击系统，其特征在于，包括：

配置模块，被配置为分别为注册过的各个API接口配置匹配参数及目标服务器；

确定模块，被配置为根据各个所述API接口的实际业务需求，确定需要配置防重放功能的API接口并为所述API接口打上标记；

接收模块，被配置为接收客户端发起的HTTP请求；

获取模块，被配置为获取所述HTTP请求携带的时间戳TimesTamp及真随机数QuanTumNonce；

校验模块，被配置为校验时间戳TimesTamp与当前时间的时间差T是否大于预设的时间差InTervalTime；

所述校验模块，还被配置为校验真随机数QuanTumNonce是否存在于缓存中；

发送模块，被配置为放行所述HTTP请求并将所述HTTP请求发送至目标服务器。

7.一种电子设备，其特征在于，所述电子设备包括处理器以及存储有计算机程序指令的存储器；所述电子设备执行所述计算机程序指令时实现如权利要求1-5中任一项所述的基于量子随机数的API接口防重放攻击方法。

8.一种计算机可读存储介质，其特征在于，所述计算机存储介质上存储有计算机程序指令，所述计算机程序指令被处理器执行时实现如权利要求1-5中任一项所述的基于量子随机数的API接口防重放攻击方法。