CN116846679A - 一种计算机加密通信信道分离系统及其通信方法 - Google Patents

Abstract

本发明公开了一种计算机加密通信信道分离系统及其通信方法，通过将在TLS客户端与TLS服务器之间传输的原始数据识别拆分为易受攻击数据与非易受攻击数据，并在TLS客户端与TLS服务器引入第一、第二转发模块，在第一、第二转发模块之间建立至少包括一条可信数据通道的若干数据通道，将易受攻击数据通过可信数据通道传输，将非易受攻击数据通过其余数据通道传输，进而实现原始数据的在相互隔离的数据通道上进行拆分传输，降低了数据受到攻击的可能性；通过将原始数据进行拆分，使易受攻击数据与非易受攻击数据被获取，由于原始数据的拆分的类型信息与时序信息难以获取，故第三方也难以将还原得到原始数据，进一步提升数据传输过程的安全性。

Description

一种计算机加密通信信道分离系统及其通信方法

技术领域

本发明属于数据通信的技术领域，涉及一种计算机加密通信信道分离系统及其通信方法。

背景技术

常用的HTTPS访问的网站就是使用TLS协议进行传输层加密，TLS协议是为了提供安全通信而设计的加密协议，TLS协议的加密协商流程一般包括以下步骤：

TLS客户端向TLS服务端发送客户端协商信息，包括TLS客户端支持的加密方式、版本号以及随机数等。TLS服务端收到TLS客户端协商信息后，向TLS客户端发送TLS服务端协商信息，包括TLS服务端选择的加密方式、版本号、证书等。TLS客户端和TLS服务端进行预共享密钥协商，确定本次通信使用的密钥。TLS客户端向TLS服务端发送完成信息，表明协商过程已经完成，同时包含TLS客户端生成的随机数。TLS服务端向TLS客户端发送完成信息，表明协商过程已经完成，同时包含TLS服务端生成的随机数。在TLS协议的加密协商流程中，TLS客户端协商信息和TLS服务端协商信息是通过单一的数据通道进行明文传输的。在实际使用中，这些明文信息中易受到攻击的部分可能被攻击者窃取或篡改，单一的数据通道也难以保障数据传输的安全性与可靠性，从而导致整个通信的安全性受到威胁。

因此，针对传统的TLS客户端与TLS服务器之间通过单一数据通道进行数据传输存在的安全性难以保障的问题，本发明公开了一种计算机加密通信信道分离系统及其通信方法。

发明内容

本发明的目的在于提供一种计算机加密通信信道分离系统及其通信方法，能够将TLS客户端与TLS服务器之间传输的数据分为易受攻击数据与非易受攻击数据，并在TLS客户端与TLS服务器之间建立若干相互独立的数据通道，且保证至少一个数据通道为可信数据通道，进而将易受攻击数据在可信数据通道中传输，将非易受攻击数据在非可信数据通道中传输，进而提高了数据传输过程的安全性。

本发明通过下述技术方案实现：

一种计算机加密通信信道分离系统，包括TLS客户端和TLS服务器，还包括数据识别模块、数据还原模块、数据记录模块，所述TLS客户端与数据识别模块连接，所述TLS服务器与数据还原模块连接，所述数据识别模块与数据还原模块之间设置有相互独立的至少两个数据通道，且至少一个数据通道为可信数据通道；所述数据记录模块分别与数据识别模块、数据还原模块连接。

为了更好地实现本发明，进一步的，所述数据识别模块的与第一转发模块连接，所述数据还原模块的与第二转发模块连接，所述第一转发模块与第二转发模块之间通过相互独立的至少两个数据通道连接，且至少一个数据通道为可信数据通道。

为了更好地实现本发明，进一步的，所述数据识别模块包括识别层、数据拆分层，所述识别层用于判别来自于TLS客户端的原始数据的受攻击程度，所述数据拆分层根据受攻击程度将原始数据拆分为易受攻击数据与非易受攻击数据，并记录易受攻击数据与非易受攻击数据的类型信息以及易受攻击数据与非易受攻击数据在原始数据中的时序信息，所述数据记录模块接收时序信息；所述易受攻击数据通过第一转发模块传输至可信数据通道，所述非易受攻击数据通过第一转发模块传输至非可信数据通道。

为了更好地实现本发明，进一步的，所述数据记录模块包括类型记录层、时序记录层，所述类型记录层用于记录易受攻击数据与非易受攻击数据的类型信息，所述时序记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息。

为了更好地实现本发明，进一步的，所述数据还原模块包括数据解密层、数据还原层，所述数据解密层用于对易受攻击数据与非易受攻击数据进行解密；所述数据还原层用于将解密后的易受攻击数据与非易受攻击数据按照时序信息进行组合还原得到原始数据。

为了更好地实现本发明，进一步的，还包括可信度评估模块，所述可信度评估模块用于提取若干数据通道的物理空间信息、安全防护信息，并根据物理空间信息、安全防护信息判断数据通道的可信度，将可信度大于等于可信度阈值的数据通道标记为可信数据通道，将可信度小于可信度阈值的数据通道标记为非可信数据通道。

为了更好地实现本发明，进一步的，还包括敏感度判别模块，所述TLS客户端通过敏感度判别模块与数据识别模块连接，所述敏感度判别模块用于判断TLS客户端的原始数据的敏感度，然后根据敏感度对原始数据匹配优先级，所述数据识别模块按照优先级从高至低的顺序对原始数据进行识别。

一种计算机加密通信信道通信方法，通过上述计算机加密通信信道分离系统实现，包括以下步骤：

步骤1、通过敏感度判别模块提取原始数据中的敏感字段，并将敏感字段与敏感度数据库中的对比字段进行比对以判断原始数据的敏感度，然后按照敏感度从高至低的顺序为原始数据匹配优先级；

步骤2、数据识别模块的识别层按照优先级提取原始数据的秘钥类型以及秘钥阶段，并根据秘钥类型以及秘钥阶段判别原始数据的受攻击程度；所述识别模块的数据拆分层将受攻击程度大于等于攻击阈值的数据封装为易受攻击数据，将受攻击程度小于攻击阈值的数据封装为非易受攻击数据；

步骤3、通过数据记录模块的类型记录层记录易受攻击数据与非易受攻击数据的类型信息，通过数据记录模块的时序记录层记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息；

步骤4、第一转发模块将易受攻击数据发送至可信数据通道，将非易受攻击数据发送至非可信数据通道；

步骤5、第二转发模块通过可信数据通道接收易受攻击数据，通过非可信数据通道接收非易受攻击数据，并将易受攻击数据与非易受攻击数据发送至数据还原模块；

步骤6、数据还原模块提取数据记录模块中的类型信息、时序信息，并根据类型信息、时序信息将易受攻击数据与非易受攻击数据还原组合为原始数据，然后将原始数据发送至TLS服务器。

本发明与现有技术相比，具有以下优点及有益效果：

本发明通过将在TLS客户端与TLS服务器之间传输的原始数据识别拆分为易受攻击数据与非易受攻击数据，并在TLS客户端与TLS服务器引入第一转发模块与第二转发模块，在第一转发模块与第二转发模块之间建立若干数据通道，且保证其中至少一条数据通道为可信数据通道，进而将易受攻击数据通过可信数据通道传输，将非易受攻击数据通过非可信数据通道传输，进而实现原始数据的在相互隔离的数据通道上进行拆分传输，降低了数据受到攻击的可能性；同时通过将原始数据进行拆分，即使易受攻击数据与非易受攻击数据被获取，由于第三方不知道原始数据的拆分的类型信息与时序信息，故第三方也难以将易受攻击数据与非易受攻击数据还原合并为原始数据，进一步提升数据传输过程的安全性。

附图说明

图1为本计算机加密通信信道分离系统的架构示意图。

具体实施方式

以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本发明使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

需注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非本发明另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

为方便叙述，本发明中如果出现“上”、“下”、“左”“右”字样，仅表示与附图本身的上、下、左、右方向一致，并不对结构起限定作用,仅仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的设备或元件必须具有特定的方位，以特定的方位构造和操作，因此不能理解为对本发明的限制。

术语解释部分:本发明中的术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或为一体；可以是机械连接，也可以是电连接，可以是直接连接，也可以是通过中间媒介间接相连，可以是两个元件内部连接，或者两个元件的相互作用关系，对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明的具体含义。

实施例1：

本实施例的一种计算机加密通信信道分离系统，如图1所述，包括TLS客户端和TLS服务器，还包括数据识别模块、数据还原模块、数据记录模块，所述TLS客户端与数据识别模块连接，所述TLS服务器与数据还原模块连接，所述数据识别模块与数据还原模块之间设置有相互独立的至少两个数据通道，且至少一个数据通道为可信数据通道；所述数据记录模块分别与数据识别模块、数据还原模块连接。

所述数据识别模块的与第一转发模块连接，所述数据还原模块的与第二转发模块连接，所述第一转发模块与第二转发模块之间通过相互独立的至少两个数据通道连接，且至少一个数据通道为可信数据通道。

实施例2：

本实施例的一种计算机加密通信信道分离系统，所述数据识别模块包括识别层、数据拆分层，所述识别层用于判别来自于TLS客户端的原始数据的受攻击程度，所述数据拆分层根据受攻击程度将原始数据拆分为易受攻击数据与非易受攻击数据，并记录易受攻击数据与非易受攻击数据的类型信息以及易受攻击数据与非易受攻击数据在原始数据中的时序信息，所述数据记录模块接收时序信息；所述易受攻击数据通过第一转发模块传输至可信数据通道，所述非易受攻击数据通过第一转发模块传输至非可信数据通道。

本实施例的其他部分与实施例1相同，故不再赘述。

实施例3：

本实施例的一种计算机加密通信信道分离系统，在实施例1或2的基础上进行改进，所述数据记录模块包括类型记录层、时序记录层，所述类型记录层用于记录易受攻击数据与非易受攻击数据的类型信息，所述时序记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息。

本实施例的其他部分与实施例1或2相同，故不再赘述。

实施例4：

本实施例的一种计算机加密通信信道分离系统，在实施例1-3任一项的基础上进行改进，所述数据还原模块包括数据解密层、数据还原层，所述数据解密层用于对易受攻击数据与非易受攻击数据进行解密；所述数据还原层用于将解密后的易受攻击数据与非易受攻击数据按照时序信息进行组合还原得到原始数据。

本实施例的其他部分与实施例1-3任一项相同，故不再赘述。

实施例5：

本实施例的一种计算机加密通信信道分离系统，在实施例1-4任一项的基础上进行改进，还包括可信度评估模块，所述可信度评估模块用于提取若干数据通道的物理空间信息、安全防护信息，并根据物理空间信息、安全防护信息判断数据通道的可信度，将可信度大于等于可信度阈值的数据通道标记为可信数据通道，将可信度小于可信度阈值的数据通道标记为非可信数据通道。

还包括敏感度判别模块，所述TLS客户端通过敏感度判别模块与数据识别模块连接，所述敏感度判别模块用于判断TLS客户端的原始数据的敏感度，然后根据敏感度对原始数据匹配优先级，所述数据识别模块按照优先级从高至低的顺序对原始数据进行识别。

本实施例的其他部分与实施例1-4任一项相同，故不再赘述。

实施例6：

一种计算机加密通信信道通信方法，通过实施例1-5任一项所述的计算机加密通信信道分离系统实现，包括以下步骤：

步骤1、通过敏感度判别模块提取原始数据中的敏感字段，并将敏感字段与敏感度数据库中的对比字段进行比对以判断原始数据的敏感度，然后按照敏感度从高至低的顺序为原始数据匹配优先级；

步骤2、数据识别模块的识别层按照优先级提取原始数据的秘钥类型以及秘钥阶段，并根据秘钥类型以及秘钥阶段判别原始数据的受攻击程度；所述识别模块的数据拆分层将受攻击程度大于等于攻击阈值的数据封装为易受攻击数据，将受攻击程度小于攻击阈值的数据封装为非易受攻击数据；

步骤3、通过数据记录模块的类型记录层记录易受攻击数据与非易受攻击数据的类型信息，通过数据记录模块的时序记录层记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息；

步骤4、第一转发模块将易受攻击数据发送至可信数据通道，将非易受攻击数据发送至非可信数据通道；

步骤5、第二转发模块通过可信数据通道接收易受攻击数据，通过非可信数据通道接收非易受攻击数据，并将易受攻击数据与非易受攻击数据发送至数据还原模块；

步骤6、数据还原模块提取数据记录模块中的类型信息、时序信息，并根据类型信息、时序信息将易受攻击数据与非易受攻击数据还原组合为原始数据，然后将原始数据发送至TLS服务器。

具体为：

在第一转发模块与第二转发模块之间建立至少两个数据通道，且至少一个数据通道为可信数据通道，可信数据通道与其余数据通道相互隔离相互独立以实现数据通道分离；

没有进行数据通道分离：若TLS客户端要与TLS服务器通信，TLS客户端需要连接TLS服务器的IP地址和相应服务端口，表示为IP-TLS服务器、Port-TLS服务器，连接成功后即可进行网络通信，此时无论通信内容是否易受攻击，所有数据都在一个数据通道上进行传输；

进行数据通道分离：引入第一转发模块与第二转发模块，第一转发模块部署在TLS客户端，第二转发模块部署在TLS服务器端，且第一转发模块与第二转发模块之间设置有至少两条数据通道，且至少一条数据通道为可信数据通道，例如一个数据通道为智能手机的移动蜂窝网络、另一个数据通道为可信的家庭内部WIFI通道），数据通道的安全性由其所处的物理空间以及所具备的安全防护措施所决定。

数据通道分离场景下，TLS客户端要与TLS服务器不再直接通信，而是TLS客户端先连接数据识别模块，数据识别模块提取原始数据的秘钥类型以及秘钥阶段，并根据秘钥类型以及秘钥阶段判别原始数据的受攻击程度。如秘钥阶段处于密钥协商阶段，则判断当前数据的受攻击程度大于等于攻击阈值，即当前数据为易受攻击数据。若秘钥阶段处于协商完成的加密阶段，则判断当前数据的受攻击程度小于攻击阈值，即当前数据为非易受攻击数据。然后第一转发模块将易受攻击数据发送至可信数据通道，将非易受攻击数据发送至非可信数据通道，实现易受攻击数据与非易受攻击数据的分离传输。使得易受攻击数据在更加安全的可信数据通道传输，提高了数据通信的安全性。即使易受攻击数据与非易受攻击数据均被获取，由于第三方不知道易受攻击数据与非易受攻击数据的类型信息与时序信息，因此第三方也难以将易受攻击数据与非易受攻击数据组合还原为原始数据。

第二转发模块接收到易受攻击数据与非易受攻击数据后，将易受攻击数据与非易受攻击数据发送至数据还原模块，数据还原模块根据数据记录模块中记录的类型信息与时序信息将易受攻击数据与非易受攻击数据组合还原为原始数据，并将原始数据发送至TLS服务器。TLS服务器发送数据至TLS客户端的过程也与上述TLS客户端发送数据至TLS服务器的过程相同。

以上，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (8)

1.一种计算机加密通信信道分离系统，包括TLS客户端和TLS服务器，其特征在于，还包括数据识别模块、数据还原模块、数据记录模块，所述TLS客户端与数据识别模块连接，所述TLS服务器与数据还原模块连接，所述数据识别模块与数据还原模块之间设置有相互独立的至少两个数据通道，且至少一个数据通道为可信数据通道；所述数据记录模块分别与数据识别模块、数据还原模块连接。

2.根据权利要求1所述的一种计算机加密通信信道分离系统，其特征在于，所述数据识别模块的与第一转发模块连接，所述数据还原模块的与第二转发模块连接，所述第一转发模块与第二转发模块之间通过相互独立的至少两个数据通道连接，且至少一个数据通道为可信数据通道。

3.根据权利要求2所述的一种计算机加密通信信道分离系统，其特征在于，所述数据识别模块包括识别层、数据拆分层，所述识别层用于判别来自于TLS客户端的原始数据的受攻击程度，所述数据拆分层根据受攻击程度将原始数据拆分为易受攻击数据与非易受攻击数据，并记录易受攻击数据与非易受攻击数据的类型信息以及易受攻击数据与非易受攻击数据在原始数据中的时序信息，所述数据记录模块接收时序信息；所述易受攻击数据通过第一转发模块传输至可信数据通道，所述非易受攻击数据通过第一转发模块传输至非可信数据通道。

4.根据权利要求3所述的一种计算机加密通信信道分离系统，其特征在于，所述数据记录模块包括类型记录层、时序记录层，所述类型记录层用于记录易受攻击数据与非易受攻击数据的类型信息，所述时序记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息。

5.根据权利要求4所述的一种计算机加密通信信道分离系统，其特征在于，所述数据还原模块包括数据解密层、数据还原层，所述数据解密层用于对易受攻击数据与非易受攻击数据进行解密；所述数据还原层用于将解密后的易受攻击数据与非易受攻击数据按照时序信息进行组合还原得到原始数据。

6.根据权利要求5所述的一种计算机加密通信信道分离系统，其特征在于，还包括可信度评估模块，所述可信度评估模块用于提取若干数据通道的物理空间信息、安全防护信息，并根据物理空间信息、安全防护信息判断数据通道的可信度，将可信度大于等于可信度阈值的数据通道标记为可信数据通道，将可信度小于可信度阈值的数据通道标记为非可信数据通道。

7.根据权利要求6所述的一种计算机加密通信信道分离系统，其特征在于，还包括敏感度判别模块，所述TLS客户端通过敏感度判别模块与数据识别模块连接，所述敏感度判别模块用于判断TLS客户端的原始数据的敏感度，然后根据敏感度对原始数据匹配优先级，所述数据识别模块按照优先级从高至低的顺序对原始数据进行识别。

8.一种计算机加密通信信道通信方法，通过权利要求1-7任一项所述的计算机加密通信信道分离系统实现，其特征在于，包括以下步骤：

步骤1、通过敏感度判别模块提取原始数据中的敏感字段，并将敏感字段与敏感度数据库中的对比字段进行比对以判断原始数据的敏感度，然后按照敏感度从高至低的顺序为原始数据匹配优先级；

步骤2、数据识别模块的识别层按照优先级提取原始数据的秘钥类型以及秘钥阶段，并根据秘钥类型以及秘钥阶段判别原始数据的受攻击程度；所述识别模块的数据拆分层将受攻击程度大于等于攻击阈值的数据封装为易受攻击数据，将受攻击程度小于攻击阈值的数据封装为非易受攻击数据；

步骤3、通过数据记录模块的类型记录层记录易受攻击数据与非易受攻击数据的类型信息，通过数据记录模块的时序记录层记录层用于记录易受攻击数据与非易受攻击数据在原始数据中的时序信息；

步骤4、第一转发模块将易受攻击数据发送至可信数据通道，将非易受攻击数据发送至非可信数据通道；

步骤5、第二转发模块通过可信数据通道接收易受攻击数据，通过非可信数据通道接收非易受攻击数据，并将易受攻击数据与非易受攻击数据发送至数据还原模块；

步骤6、数据还原模块提取数据记录模块中的类型信息、时序信息，并根据类型信息、时序信息将易受攻击数据与非易受攻击数据还原组合为原始数据，然后将原始数据发送至TLS服务器。