CN1863070A - 提供不同安全级别的应用服务的系统和方法 - Google Patents

Abstract

本发明提供了一种提供不同安全级别的应用服务的方法和系统，该方法主要包括：在服务器中保存各种应用的标识和对应的安全级别信息；根据客户端发出的请求消息和所述服务器中保存的应用的标识和对应的安全级别信息，给客户端提供相应安全级别的应用服务。该系统主要包括服务器和客户端。利用本发明所述方法和系统，可以实现针对不同的应用提供不同的安全级别的服务。

Description

提供不同安全级别的应用服务的系统和方法

技术领域

本发明涉及通讯领域，尤其涉及一种提供不同安全级别的应用服务的系统和方法。

背景技术

随着无线数据网络的逐渐成熟，各种无线业务也快速发展，除传统的语音业务外，更多的诸如多媒体业务、数据业务、电子商务、电子贸易等业务的应用也越来越广泛。针对无线数据网络中各种各样的无线应用业务来说，通信的安全问题是每一个业务都需要考虑并解决的一个通用问题。因此在无线应用中如何保证业务信息的安全已经成为一个迫切关注的问题。它不仅关系到用户、CP(内容提供商)、SP(服务提供商)和运营商的切身利益，而且直接影响到无线业务的推广使用。

现有技术中一种在无线应用中保证业务信息的安全的方法为：各个业务都各自实现自己的安全方案。该安全方案一般包括认证、授权、保密、完整性保护等几个方面。

该方法的缺点为：由于各个业务都各自实现自己的安全方案，造成许多安全功能被重复开发，没有有效地被重用，开发成本高。

现有技术中另一种在无线应用中保证业务信息的安全的方法为：使用OMA(开放移动联盟)中的安全工作组提出的一个统一的安全功能框架。利用该安全功能框架，各个业务在开发或者部署时可以通过重用安全框架的功能或使用安全框架的服务来保证安全性。

该方法的缺点为：OMA提供的公共安全功能框架提供对业务引擎的安全服务，并没有考虑到同时为多个引擎服务时，不同的业务引擎有不同的安全需求，甚至使用统一业务引擎上的不同应用也可能有不同的安全需求。实际上业务的安全级别应该由具体的应用来设置，而不应该由使用的业务引擎来统一设置。而且，对于同一业务上的不同用户，其安全级别也可以是有差别的。

比如，在实际应用中，服务器同时提供的各种各样的应用对安全的需求往往是不同的，如对于一般的应用，只要一般的完整性和保密性服务就可以满足要求，而对于涉及到付费、用户隐私，或经常传输高价值数据的应用，而且，对于不同的用户，其所要求的安全级别也是不同的。如对于使用该应用的用户是VIP用户，就有可能有提高安全级别的要求时，这样就要求服务器能够提供多种安全级别。

如对于移动游戏业务引擎来说，当游戏用户通过游戏服务器同时玩多个游戏时，游戏数据交换的安全级别应该由相应的游戏来决定，而不应该由与客户端直接交户的游戏平台来统一设置。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种提供不同安全级别的应用服务的系统和方法，从而可以实现针对不同的应用提供不同的安全级别的服务。

本发明的目的是通过以下技术方案实现的：

一种提供不同安全级别的应用服务的方法，包括：

A、在服务器中保存各种应用的标识和对应的安全级别信息；

B、根据客户端发出的请求消息和所述服务器中保存的应用的标识和对应的安全级别信息，给客户端提供相应安全级别的应用服务。

所述的步骤A具体包括：

各种应用向服务器发出包括应用的标识和对应的安全级别信息的注册信息，服务器将接收到的各种应用的标识和对应的安全级别信息进行保存。

所述的步骤A具体包括：

在服务器中手工配置和保存各种应用的标识和对应的安全级别信息。

所述的步骤A还包括：

服务器根据各种应用的安全级别信息，确定各种应用的保密性算法、完整性算法和密钥长度信息，给各种应用配置相应的安全参数。

所述的步骤B具体包括：

B1、客户端向服务器发出包括所需要使用的应用的标识的请求消息；

B2、服务器根据接收到的应用标识和保存的应用的标识和对应的安全级别信息，和客户端协商确定客户端所需要使用的应用的安全级别信息，客户端根据该安全级别信息通过服务器和相应的应用进行通信。

所述的步骤B2具体包括：

B21、服务器根据接收到的应用标识，查询其保存的应用的标识和对应的安全级别信息，获得对应的应用安全级别信息；

B22、服务器根据获得的对应应用安全级别信息，和客户端的浏览器性质、安全级别设置情况、客户端本身的能力，和客户端协商确定客户端所需要使用的应用的安全级别信息，客户端根据该安全级别信息通过服务器和相应的应用进行通信。

所述的步骤B22具体包括：

在服务器和客户端进行安全级别协商时：

当独立的客户端代理作为客户端时，则确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；

当公共的浏览器作为客户端时，如果客户端的能力能够满足服务器中保存的对应安全级别要求，则确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；否则，根据实际情况，确定相应的安全级别为客户端所需要使用的应用的安全级别；

当允许客户端自己设置安全级别时，则确定客户端设置的安全级别为客户端所需要使用的应用的安全级别；或者，确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；或者，比较客户端设置的安全级别和服务器中保存的对应安全级别，选择其中高的安全级别为客户端所需要使用的应用的安全级别。

一种提供不同安全级别的应用服务的系统，包括：

服务器：用于保存各种应用的安全级别信息，根据客户端发出的请求消息和保存的安全级别信息，和客户端协商确定客户端所需要使用的应用的安全级别；

客户端：用于向服务器发出包括所需要使用的应用的标识的请求消息，和服务器协商确定所需要使用的应用的安全级别，根据确定的安全级别通过服务器和相应的应用进行通信。

所述服务器包括安全组件单元，该安全组件单元包括：

控制模块：用于接收各种应用的注册消息，将其中的各种应用的标识信息和安全级别信息传递给安全配置库，接收客户端发出的请求消息，将该请求消息中的应用标识信息传递给安全配置库，和客户端协商确定客户端所需要使用的应用的安全级别；

安全配置库：用于保存各种应用的标识和对应的安全级别信息，根据接收到的应用标识信息，向控制模块返回相应的应用安全级别信息。

所述控制模块包括：

注册模块：用于接收各种应用的注册消息，接收客户端发出的请求消息，和客户端进行相互鉴权操作或者将请求消息传递给相应的应用，由应用和客户端进行相互鉴权操作，将请求消息中的应用标识信息传递给安全配置库；

安全级别协商模块：用于根据安全配置库返回的应用的安全级别信息和客户端的浏览器性质、安全级别设置情况和客户端本身的能力信息，在通信时和客户端进行协商，确定客户端所请求使用的应用的安全级别。

所述控制模块包括：

安全级别定义模块：用于根据各种应用的安全级别信息，确定各种应用的保密性算法、完整性算法和密钥长度信息，给各种应用配置配置相应的安全参数，该安全参数包括加密算法、摘要算法、密钥级别和是否强制使用等。

由上述本发明提供的技术方案可以看出，本发明通过在安全配置库中保存各种应用的标识和安全级别信息，从而可以在为上层的各种应用提供统一的安全服务的同时，还可以根据实际情况给不同的应用设置不同的安全级别，并提供不同的安全级别的服务。在本发明中不需要对每个应用单独开发其安全特性。

附图说明

图1为每个客户端分别与服务器进行交互的组网示意图；

图2为所有客户端通过一个代理部件和服务器进行交互的组网示意图；

图3为本发明所述系统的结构图；

图4为当应用的安全级别信息由服务器之外的其它装置或模块来确定时，安全配置库保存安全级别信息的具体处理流程图；

图5为本发明所述方法的具体处理流程图。

具体实施方式

本发明提供了一种提供不同安全级别的应用服务的系统和方法，本发明的核心为：在安全配置库中保存各种应用的标识和安全级别信息，根据用户申请的应用返回相应的安全级别信息，并和客户端协商确定最终的安全级别。

本发明所述系统和方法必须运行在C/S(Client/Server，客户端和服务器端)架构下。下面我们简单介绍一下C/S架构。

基于网络(包括互联网和无线网络)的C/S架构的最基本的实现方式是分别开发客户端和服务器端的应用，并分别部署在终端侧和服务器侧。在C/S架构中，服务器侧提供一个统一的运营支持平台，为上层开发的具体应用提供统一的管理和服务，并提供统一的接口供应用程序调用。

C/S架构的客户端可以有两种实现方案，一种实现方案是每个客户端独立开发，通过服务器与对应的具体应用进行交互，该实现方案的组网示意图如图1所示；另一种实现方案是所有客户端共用一个通用的代理部件，通过该代理部件连接到服务器端，该代理部件可以为所有客户端的应用提供统一的功能接口，该实现方案的组网示意图如图2所示。

在图1和图2中的服务器可以看作通用的安全服务代理，为各个应用或者业务提供安全服务。在C/S架构中，服务器与应用之间的通信是安全的，客户端与客户端代理之间的通信也是安全的。

下面结合附图来详细描述本发明，本发明所述系统的结构图如图3所示。该系统包括服务器和客户端。

服务器：用于保存各种应用的安全级别信息，根据客户端发出的请求消息和保存的安全级别信息，和客户端协商确定客户端所需要使用的应用的最终安全级别。该服务器中包括安全组件单元和其它组件单元。安全组件单元包括控制模块、安全配置库和其它模块。

控制模块：用于控制整个安全会话在应用层的安全级别。是系统的核心调度模块，负责各种应用的初始级别注册、与客户端安全级别的协商及其它各种具体算法模块的调度。控制模块包括注册模块、安全级别定义模块和安全级别协商模块。

其中，注册模块：用于接收客户端发出的初始请求消息，和客户端进行相互鉴权过程，相互鉴权完成后，将所述初始请求消息中的用户标识和应用标识信息传递给安全配置库。

其中，安全级别定义模块：用于定义并保存安全级别信息。根据保密性算法(加密算法)、完整性算法(摘要算法)和密钥长度等信息定义应用的安全级别，并供安全配置库查找、使用。为应用在通信时定义具体的安全算法。

其中，安全级别协商模块：用于根据安全配置库返回的应用的安全级别信息和客户端的浏览器性质、安全级别设置情况等信息，和客户端进行协商，确定用户请求使用的应用的最终安全级别。

安全配置库：用于存储各种应用的标识和对应的安全级别信息。所述存储的信息可以在应用注册时录入也可以直接由控制模块传递过来。在用户登录时，根据客户端发出的请求消息中的应用标识信息向控制模块返回相应的应用安全级别信息。

客户端：用于在登录时，向服务器发出包括用户标识和所请求使用的应用标识的初始请求消息，和服务器进行相互鉴权过程和安全级别协商操作。根据最终确定的安全级别通过服务器和相应的应用进行通信。

下面我们基于上述系统来描述本发明所述方法。

本发明所述方法首先需要在安全配置库中存储各种应用的ID(标识)信息和安全级别信息。该存储过程可以在服务器中通过手工配置各种应用的安全级别来实现，也可以在应用注册到服务器时提供安全级别注册信息来实现。其中应用的安全级别信息可以由服务器中的控制模块中的安全级别定义模块来确定，也可以由服务器之外的其它装置或模块来确定。

服务器中的控制模块中的安全级别定义模块对各种应用进行安全级别的定义主要是从以下几个方面来考虑：保密性算法(加密算法)，完整性算法(摘要算法)和密钥长度。安全级别定义模块可以为每个安全级别定义安全参数，该安全参数包括加密算法、摘要算法、密钥级别和是否强制使用等。

其中，加密算法参数可以指定具体的加密算法(如DES)，加密算法参数为NULL表示不用加密，加密算法参数为ANY表示可以使用任意的加密算法。

其中，摘要算法参数可以指定具体的算法(如MD5)，加密算法参数为NULL表示不用加密，加密算法参数为ANY表示可以使用任意的加密算法。

其中，密钥级别参数可以指定对称加密算法的密钥的长度，分为高强度＞128bit，中等强度＝128bit，低强度＜128bit。

其中，是否强制使用参数是指如果已经在传输层实施了安全策略的前提下是否仍然在应用层进行安全保护，默认为否。

服务器对各种应用进行安全级别定义完成后，可以将确定的各种应用的的标识信息和对应的安全级别信息和保存在安全配置库中。

当安全配置库中保存的信息通过应用的注册来实现时，其具体处理流程如图4所示。包括如下步骤：

步骤41、各个应用向服务器中的控制模块发送注册消息，该注册信息至少包括应用的标识和应用的安全级别信息，其中的应用的安全级别信息是由服务器之外的其它装置或模块确定的。

步骤42、服务器中的控制模块将接收到的注册消息中的应用的标识和应用的安全级别信息，传递给服务器中的安全配置库。安全配置库将收到的信息进行存储。

步骤43、安全配置库在将收到的应用的标识和应用的安全级别信息存储成功后，向应用返回注册成功消息。

基于上述系统，本发明所述提供不同安全级别的应用服务的方法的具体处理流程图如图5所示，包括如下步骤：

步骤5-1、客户端/代理向服务器发送初始消息，和控制模块/应用完成相互鉴权过程。

首先，客户端或客户端代理向服务器发送初始请求消息，该初始请求消息中至少包括用户id(标识)和应用id(标识)信息。然后，服务器中控制模块与客户端或客户端代理进行相互的鉴权操作；或者，服务器根据接收到的应用id信息，将初始请求消息转发给相应的应用，由相应的应用与客户端或客户端代理进行相互的鉴权操作。

步骤5-2、控制模块向安全配置库请求用户要求使用的应用的安全级别。

在相互鉴权操作完成后，服务器中的控制模块向安全配置库发出请求安全级别消息，该消息中包括用户id和应用id信息。安全配置库查询其保存的应用的标识和应用的安全级别信息，然后，向服务器中的控制模块返回用户要求使用的应用的安全级别信息。

步骤5-3、控制模块和客户端/客户端代理协商确定用户要求使用的应用的最终安全级别。

控制模块在接收到安全配置库返回的应用的安全级别信息后，还需要根据实际情况，和客户端/客户端代理协商确定用户要求使用的应用的最终安全级别。

协商最终安全级别的过程描述如下：

最终安全级别的协商的一般原则是根据服务端的设置来执行的，客户端处于被动的地位。因为业务的提供者或开发者对于业务有很深的了解，可以对自己开放的业务定义适合的安全级别。本发明分如下三种情况分别来处理安全级别的协商过程：

第一种情况：针对独立的客户端代理作为客户端的情况。因为独立的客户端代理可以与服务器端的安全服务组件一起开发，因此，客户端对服务器端的安全均可以支持。安全级别协商时直接使用服务器端请求的算法和级别进行通信，即直接使用安全配置库返回的安全级别进行通信。

第二种情况：针对公共的浏览器作为客户端的情况。在鉴权过程中，客户端需要上报其支持的安全算法和级别，服务器的控制模块将比较客户端支持的安全级别与服务器设置的安全级别，如果客户端的能力能够满足服务器的安全级别要求，则直接应用服务器设置的安全级别；如果客户端的能力满足不了服务器的安全级别要求，则根据服务器的设置判断是否继续执行，同时向客户端发送提示，客户端也可以判断是否继续执行，执行时选择最接近应用安全级别的算法。

第三种情况：针对允许客户端设置安全级别的情况。在该情况中客户端可以在应用中或客户端代理中设置安全级别。对于客户端的安全级别策略，可以在服务器中配置，配置项包括以下几种：只应用服务器端的安全策略；对于客户端安全级别高于服务器端安全级别的，采用客户端安全策略；对于未设置服务器端安全级别的应用，采用客户端安全策略；只应用客户端安全策略(安全隐患大)。

同时，当应用中使用客户端之间的通信时，可以在两个客户端之间进行协商安全级别，在协商的过程中把被请求方看作服务器来处理。

步骤5-4、客户端/代理通过服务器和应用进行安全的通信。

控制模块在和客户端/客户端代理协商确定了用户要求使用的应用的最终安全级别后，客户端/代理便根据确定的终安全级别，通过服务器和应用进行安全的通信。

如果需要对某个应用对应的安全级别进行修改，则通过在服务器上修改安全配置库中指定应用的安全级别信息。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (11)

1、一种提供不同安全级别的应用服务的方法，其特征在于，包括：

A、在服务器中保存各种应用的标识和对应的安全级别信息；

B、根据客户端发出的请求消息和所述服务器中保存的应用的标识和对应的安全级别信息，给客户端提供相应安全级别的应用服务。

2、根据权利要求1所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤A具体包括：

各种应用向服务器发出包括应用的标识和对应的安全级别信息的注册信息，服务器将接收到的各种应用的标识和对应的安全级别信息进行保存。

3、根据权利要求1所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤A具体包括：

在服务器中手工配置和保存各种应用的标识和对应的安全级别信息。

4、根据权利要求1所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤A还包括：

服务器根据各种应用的安全级别信息，确定各种应用的保密性算法、完整性算法和密钥长度信息，给各种应用配置相应的安全参数。

5、根据权利要求1、2、3或4所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤B具体包括：

B1、客户端向服务器发出包括所需要使用的应用的标识的请求消息；

B2、服务器根据接收到的应用标识和保存的应用的标识和对应的安全级别信息，和客户端协商确定客户端所需要使用的应用的安全级别信息，客户端根据该安全级别信息通过服务器和相应的应用进行通信。

6、根据权利要求5所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤B2具体包括：

B21、服务器根据接收到的应用标识，查询其保存的应用的标识和对应的安全级别信息，获得对应的应用安全级别信息；

B22、服务器根据获得的对应应用安全级别信息，和客户端的浏览器性质、安全级别设置情况、客户端本身的能力，和客户端协商确定客户端所需要使用的应用的安全级别信息，客户端根据该安全级别信息通过服务器和相应的应用进行通信。

7、根据权利要求6所述提供不同安全级别的应用服务的方法，其特征在于，所述的步骤B22具体包括：

在服务器和客户端进行安全级别协商时：

当独立的客户端代理作为客户端时，则确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；

当公共的浏览器作为客户端时，如果客户端的能力能够满足服务器中保存的对应安全级别要求，则确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；否则，根据实际情况，确定相应的安全级别为客户端所需要使用的应用的安全级别；

当允许客户端自己设置安全级别时，则确定客户端设置的安全级别为客户端所需要使用的应用的安全级别；或者，确定服务器中保存的对应安全级别为客户端所需要使用的应用的安全级别；或者，比较客户端设置的安全级别和服务器中保存的对应安全级别，选择其中高的安全级别为客户端所需要使用的应用的安全级别。

8、一种提供不同安全级别的应用服务的系统，其特征在于，包括：

服务器：用于保存各种应用的安全级别信息，根据客户端发出的请求消息和保存的安全级别信息，和客户端协商确定客户端所需要使用的应用的安全级别；

客户端：用于向服务器发出包括所需要使用的应用的标识的请求消息，和服务器协商确定所需要使用的应用的安全级别，根据确定的安全级别通过服务器和相应的应用进行通信。

9、根据权利要求8所述提供不同安全级别的应用服务的系统，其特征在于，所述服务器包括安全组件单元，该安全组件单元包括：

控制模块：用于接收各种应用的注册消息，将其中的各种应用的标识信息和安全级别信息传递给安全配置库，接收客户端发出的请求消息，将该请求消息中的应用标识信息传递给安全配置库，和客户端协商确定客户端所需要使用的应用的安全级别；

安全配置库：用于保存各种应用的标识和对应的安全级别信息，根据接收到的应用标识信息，向控制模块返回相应的应用安全级别信息。

10、根据权利要求9所述提供不同安全级别的应用服务的系统，其特征在于，所述控制模块包括：

注册模块：用于接收各种应用的注册消息，接收客户端发出的请求消息，和客户端进行相互鉴权操作或者将请求消息传递给相应的应用，由应用和客户端进行相互鉴权操作，将请求消息中的应用标识信息传递给安全配置库；

安全级别协商模块：用于根据安全配置库返回的应用的安全级别信息和客户端的浏览器性质、安全级别设置情况和客户端本身的能力信息，在通信时和客户端进行协商，确定客户端所请求使用的应用的安全级别。

11、根据权利要求10所述提供不同安全级别的应用服务的系统，其特征在于，所述控制模块包括：

安全级别定义模块：用于根据各种应用的安全级别信息，确定各种应用的保密性算法、完整性算法和密钥长度信息，给各种应用配置相应的安全参数，该安全参数包括加密算法、摘要算法、密钥级别和是否强制使用等。

Images