CN1700638A - 借助安全认证网关的企业网安全接入方法 - Google Patents

Abstract

本发明涉及一种借助安全认证网关的企业网安全接入方法，该方法在拨号服务器、VPN设备与企业互联网之间部署一台安全认证网关，并通过要求出示用户的数字证书、到CA中心验证数字证书的有效性、生成随机数发送到用户端、用户用签名私钥进行数字签名并发送给安全认证网关、使用用户的公钥进行验签等步骤，确认合法的用户，使其安全接入内网。本发明通过实现与CA中心的有机联系，提供了一种强身份认证的方法，可以确保内网接入的安全性。与现有技术相比，本发明不仅更具安全认证的权威性，安全性明显增强，而且部署方便，可以根据需求灵活的配置和管理安全策略，实用性强，并利用了原有的拨号服务器设备和VPN设备，节约了投资。

Description

借助安全认证网关的企业网安全接入方法

技术领域

本发明涉及一种基于PKI(Public Key Infrastructure)技术的网络安全接入方法，用于实现企业内外网络的安全接入，为远程移动办公提供安全保障。

背景技术

员工在外面出差的时候，经常需要连接到企业内网中进行远程办公(处理公文、收发电子邮件等)，传统接入到内网的方式有两种：使用拨号服务器通过拨号软件接入到内网，或者使用VPN(VirtualPrivate Network虚拟专用网)设备建立VPN通道接入到内网。

使用拨号服务器的优点是部署简单、快速。但是使用拨号服务器是一种非常不安全的方式，存在如下诸多安全隐患：

●普遍存在帐号盗用现象，无法根据拨号帐号来确定用户的真实身份或作为用户抗抵赖性证据；

●由于用户数据通常是以明文的形式传输，因此很容易被攻击者截获并取得帐号、密码和通信内容等重要信息；

●拨号服务器通常接入内网，一旦和拨号服务器连接成功就可自由在内网中访问资源，是内网中最大的安全漏洞之一；

●对拨号服务器缺少统一接入认证。

虚拟专用网(VPN)被定义为通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。利用加密技术对经过隧道的数据进行加密，以保证数据仅被指定的发送者或接收者所了解，从而保证数据的私有性和安全性。

使用虚拟专用网技术从Internet连接到企业内网从技术上来讲是比较安全的，安全强度比使用拨号方式高的多，但是VPN技术也存在一些安全隐患：

●数据的安全性取决于加密的算法和强度，由于目前大部分VPN设备协商阶段加密算法是基于对称密钥方式，并且以IP地址标识连接的端点，这种方法存在IP欺骗攻击的可能性。而且算法的强度、密钥的长度都不符合国家有关普密的要求。

●一旦黑客侵入了远程办公计算机，便能够远程运行员工的VPN客户端软件，从而通过合法用户的身份访问公司的资源。

检索发现，申请号为01141650.5、申请日为2001.09.29的中国发明专利申请公开了一种PC客户端的安全认证方法，该方法包括：PC客户端通过用户ID号码和密码，向服务器发起登录请求；服务器根据用户ID号码和密码进行第一次认证，若认证通过，生成一个用于再次认证的字段，并随认证通过消息返回给PC客户端；当PC客户端发起呼叫时，将用户ID号码和登录时获得的再次认证的字段一起传送给媒体网关控制器；媒体网关控制器将该用户ID号码、再次认证的字段一起传送给服务器进行第二次的认证，若认证没有通过，则拒绝呼叫，否则接受呼叫返回被叫信息。本发明将呼叫和登录关联起来，较好地解决了合法已登录PC用户的安全性使用的问题，大大地增加了用户资源使用的安全性。然而，这种方法未能与CA中心(Certificate Authority)有机联系，因此不仅缺乏认证的权威性，而且依然不够安全。

发明内容

本发明的目的是针对拨号服务器或使用VPN设备接入到企业内网的安全隐患，提出借助安全认证网关的企业网安全接入方法，该方法利用PKI(pub key Infrastrcture)即公共密钥基础设施安全平台来实现远程接入内网的安全认证，从而确保内网接入的安全性。

本发明的目的是这样实现的：在拨号服务器、VPN设备与企业互联网之间部署一台安全认证网关，安全认证的接入步骤如下：

1)、用户通过拨号服务器或VPN设备发出接入企业网的IP包；

2)、安全认证网关检测到用户要接入企业内网的IP包后，要求出示用户的数字证书；

3)、安全认证网关接到用户出示的数字证书后，到CA中心验证数字证书的有效性；

4)、如果数字证书有效，安全认证网关生成随机数发送到用户端；

5)、用户使用自己的签名私钥对随机数进行数字签名并发送给安全认证网关；

6)、安全认证网关使用用户的公钥进行验签，确认确实是证书的持有者提交的请求；

7)、对于合法的用户，安全认证网关转发其IP包，使用户安全接入内网。

在接入之后，安全认证网关还定期检查用户的流量和令牌，当流量超过阀值或令牌不存在，则要求用户重新提交数字证书进行以上认证。此外，必要时，在步骤6)和7)之间安全认证网关还可以进行权限的校验。

由此可见，本发明通过实现与CA中心的有机联系，使用户可以自己的签名私钥对随机数进行数字签名，继而使用用户的公钥进行验签，即采用以PKI为基础的数字签名，提供了一种强身份认证的方法，从而可以确保内网接入的安全性。与现有技术相比，本发明不仅更具安全认证的权威性，安全性明显增强，而且部署方便，可以根据需求灵活的配置和管理安全策略，实用性强，并利用了原有的拨号服务器设备和VPN设备，节约了投资。

附图说明

下面结合附图对本发明作进一步的说明。

图1为本发明的总体框架图。

图2为本发明一个系统图。

图3为本发明一个实施例的认证接入流程图。

具体实施方式

实施例一

本实施例的PKI安全认证网关如图1和图2所示。

认证客户端：安装在用户客户端的程序，用来读取证书并和安全认证网关进行交互操作。

Keep alive模块：判断流量是否到达阀值或Token令牌是否有效，当流量到达阀值或Token无效时进行第二次重新认证。

管理配置：只能在内网使用，用于对安全认证网关进行初始化、各种策略配置、权限管理。只能使用点到点的连接进行初始化，初始化后，必须持有管理员的数字证书才能够登录到安全认证网关进行管理。

日志模块：记录各种事件的日志。

在线用户SN查询模块：可以查询目前使用安全认证网关登录用户的用户信息。

软路由转发模块：软件实现IP的路由功能。

NAT模块：对内网、外网地址做地址映射。

身份认证模块：和CA中心验证数字证书合法性以及验证客户端数字签名的模块。

基于策略的IP监控模块：监控IP的包和流量。

本实施例的系统如图2所示，在拨号服务器、VPN设备与江苏省电力公司企业内联网中之间部署了一台安全认证网关，用户仍旧使用拨号服务器或VPN设备进入到企业互联网，但是只能访问到安全认证网关，只有通过安全认证网关的安全认证，才能被路由到江苏省电力公司企业内联网中进行远程移动办公，这样既利用了原有的拨号服务器设备和VPN设备，节约了投资，又能充分保证远程办公的安全。具体安全认证的接入流程如图3所示，步骤如下：

1)、用户通过拨号服务器或VPN设备发出接入企业网的IP包；

2)、安全认证网关检测到用户要接入企业内网的IP包后，要求出示用户的数字证书，例如在用户接入安全认证网关的时候，安全认证网关要求用户提供用户的数字证书，用户的数字证书存放在用户的IC卡中，用户客户端通过读卡器将用户个人的数字证书传送给安全认证网关，数字证书如下：

MIIDAzCCAmygAwIBAgIQMgAUBAIHAAAAAAAAAAAEHjANBgkqhkiG9w0

BAQUFADCBkDELMAkGA1UEBhMCQ04xDzANBgNVBAgeBmxfgs93ATENMA

sGA1UEBx4EU1dOrDElMCMGA1UEChMcSmlhbmdTdUVsZWN0cmljUG93Z

XIgQ29tcGFueTElMCMGA1UECxMcSmlhbmdTdUVsZWN0cmljUG93ZXIg

Q29tcGFueTETMBEGA1UEAxMKU1VCQ0FKU0VQQzAeFw0wNDAyMDcwNzQ

yMzNaFw0wNjAyMDcwNzQyMzNaMIGDMQswCQYDVQQGEwJDTjEPMA0GA1

UECB4GbF+Cz3cBMQ0wCwYDVQQHHgRTV06sMREwDwYDVQQLHghsX4LPU

1dOrDFBMBcGA1UEAxMQVVNFUklEMDAwMTExMDQ1MTALBgNVBAMeBF6E

XK0wGQYDVQQDExIzMjAzMTExOTczMTIyNjA0MzcwgZ8wDQYJKoZIhvc

NAQEBBQADgY0AMIGJAoGBAKHAq/qpGUKSktxpw7VhVypiABXr1HQSti

wzdFlzMZJ2aSF8R04uU5XHr/bKEFTY/tgrVyUOZprtiQInlzsUvvhnh

SwP8pDfk3fi58RnmXVkjLRshD+BMGUPNdHZm7+aduK2rXniPCbVtVrM

5gRh9YEuYOn6t5Eg6D1BuRWjKynJAgMBAAGjaTBnMCAGA1UdDgEBAAQ

WBBQSRqQjIKzt1JaCANmpqrxQJ3S1nTAOBgNVHQ8BAQAEBAMCBsAwIg

YDVR0jAQEABBgwFoAUrL7VeiDEOvVh7v375YErEUSHMS0wDwYDVR0TA

QH/BAUwAwEBADANBgkqhkiG9w0BAQUFAAOBgQBerKF6Msf9+lPvl5ts

H7jD07XPscT0T93FV4tCCBZHnrsgfgHznhIfxZfEQEwI6N2vEzrJuZG

/y9efU5Cr/41u0p87Ny96Q7fqokFPN9ZSDibXlmukIujd6T5fts4oP3

BfHrTbiNYcYXnfm5lbGfThoudKdU06Wc0dK6gkOFmmcw＝＝。

3)、安全认证网关接到用户出示的数字证书后，到CA中心验证数字证书的有效性，例如在安全认证网关接收到上述数字证书后使用CheckCert()函数通过OCSP向CA中心验证证书的有效性，返回True。

4)、如果数字证书有效，安全认证网关生成随机数发送到用户端，例如生成随机数：

a12qhyk7QAaXw43diUy9yTsmy7HnQbApvZYlt1QaPNM7Jsux50GwKb2

WJbdUGjzTOybLsedBsCm91iW3VBo8077YmrxnA/d6jfJc+30+5/a+2J

q8ZwP3eo3yXPt9Puf2vtiavGcD93qN8lz7fT7n9r7YmrxnA/d6jfJc+

30+5/Y＝

5)、用户使用自己的签名私钥对随机数进行数字签名并发送给安全认证网关，签名数据如下：

MIICKAYJKoZIhvcNAQcCMIICGQIBATANMQsGCSqGSIb3DQEBBQSBuGE

xMnFoeWs3UUFhWHc0M2RpVXk5eVRzbXk3SG4NClFiQXB2WllsdDFRYV

BOTTdKc3V4NTBHd0tiMg0KV0piZFVHanpUT3liTHNlZEJzQ205bGlXM

1ZCbw0KODA3N1ltcnhuQS9kNmpmSmMrMzArNS9hKzJKcThadw0KUDNl

bzN5WFB0OVB1ZjJ2dGlhdkdjRDkzcU44bHo3Zg0KVDduOXI3WW1yeG5

BL2Q2amZKYyszMCs1L1k9DQoxggFIMIIBRAIBATCBpTCBkDELMAkGA1

UEBhMCQ04xDzANBgNVBAgeBmxfgs93ATENMAsGA1UEBx4EUldOrDElM

CMGAlUEChMcSmlhbmdTdUVsZWN0cmljUG93ZXIgQ29tcGFueTElMCMG

A1UECxMcSmlhbmdTdUVsZWN0cmljUG93ZXIgQ29tcGFueTETMBEGA1U

EAxMKU1VCQ0FKU0VQQwIQMgAUBAIHAAAAAAAAAAAEHgYJKoZIhvcNAQ

EFBgkqhkiG9w0BAQEEgYAujUgd8P+hF2FEt21pw6V1865zwXikTESLG

Ip5ErBmm6k58oeX6jm8fn7m7Jdj7hf+0ZHJJZHpg9aXiwvahZEHRXvG

wtVCzE0UTPCAvuItjeoasWAvY0rbnuD7jIoJkAy3NI6jgqIgwcQp0b6

WrrjJkMWuYBtCxlSPNQMhMxwNDg＝＝

6)、安全认证网关使用用户的公钥进行验签，确认确实是证书的持有者提交的请求；

6)’安全认证网关进行权限的校验，安全认证网关在权限表内查找该证书是否被授权；

7)、对于合法的用户，安全认证网关转发其IP包，使用户安全接入内网；

8)、安全认证网关定期检查用户的流量和令牌，当流量超过阀值或令牌不存在，则要求用户重新提交数字证书进行以上认证，例如用户在3分钟内到企业内网无任何流量(该策略可配置)，用户再次访问内网的时候必须重复上述步骤。

以上步骤中任何一次认证结果为否，安全认证网关将提示安全认证未通过安全认证，用户不能登录到内网，在一定的时间内同一用户被拒绝三次后(该时间策略也可以配置)，安全认证网关将会将其作为恶意用户并记录其IP地址、证书序列号、恶意登录时间等信息。

实践证明，由于通过实现与CA中心的有机联系，使用户可以自己的签名私钥对随机数进行数字签名，继而使用用户的公钥进行验签，因此提供了一种强身份认证的方法，可以确保内网接入的安全性。

Claims (5)

1.一种借助安全认证网关的企业网安全接入方法，在拨号服务器、VPN设备与企业互联网之间部署一台安全认证网关，安全认证的接入步骤如下：

1)、用户通过拨号服务器或VPN设备发出接入企业网的IP包；

2)、安全认证网关检测到用户要接入企业内网的IP包后，要求出示用户的数字证书；

3)、安全认证网关接到用户出示的数字证书后，到CA中心验证数字证书的有效性；

4)、如果数字证书有效，安全认证网关生成随机数发送到用户端；

5)、用户使用自己的签名私钥对随机数进行数字签名并发送给安全认证网关；

6)、安全认证网关使用用户的公钥进行验签，确认确实是证书的持有者提交的请求；

7)、对于合法的用户，安全认证网关转发其IP包，使用户安全接入内网。

2.根据权利要求1所述借助安全认证网关的企业网安全接入方法，其特征在于：所述步骤7)之后，安全认证网关定期检查用户的流量和令牌，当流量超过阀值或令牌不存在，则要求用户重新提交数字证书进行以上认证。

3.根据权利要求2所述借助安全认证网关的企业网安全接入方法，其特征在于：所述在步骤6)和7)之间安全认证网关还进行权限校验。

4.根据权利要求2或3所述借助安全认证网关的企业网安全接入方法，其特征在于：所述步骤3)在安全认证网关接收到数字证书后，使用CheckCert()函数通过OCSP向CA中心验证证书的有效性。

5.根据权利要求2或3所述借助安全认证网关的企业网安全接入方法，其特征在于：认证客户端安装Keep alive模块，用以判断流量是否到达阀值或Token令牌是否有效、当流量到达阀值或Token无效时进行第二次重新认证。

Images