JP2017536776A - ネットワーク機密データの平文の収集方法及びシステム - Google Patents

ネットワーク機密データの平文の収集方法及びシステム Download PDF

Info

Publication number
JP2017536776A
JP2017536776A JP2017529339A JP2017529339A JP2017536776A JP 2017536776 A JP2017536776 A JP 2017536776A JP 2017529339 A JP2017529339 A JP 2017529339A JP 2017529339 A JP2017529339 A JP 2017529339A JP 2017536776 A JP2017536776 A JP 2017536776A
Authority
JP
Japan
Prior art keywords
collection system
data collection
server
server side
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2017529339A
Other languages
English (en)
Inventor
ソン，レイ
ドン，ハイタオ
ヨウ，シャオチャオ
ティエン，ジン
ジョン，ヤンウェイ
ファン，ハオ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Institute of Acoustics CAS
Beijing Intellix Technologies Co Ltd
Original Assignee
Institute of Acoustics CAS
Beijing Intellix Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Institute of Acoustics CAS, Beijing Intellix Technologies Co Ltd filed Critical Institute of Acoustics CAS
Publication of JP2017536776A publication Critical patent/JP2017536776A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/76—Proxy, i.e. using intermediary entity to perform cryptographic operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Technology Law (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)

Abstract

本発明は、ネットワーク機密データの平文の収集方法及びシステムに関し、前記方法は、クライアント側とサーバー側との間にTCP接続を構築した上で、データ収集システムを導入し、データ収集システムはSSL/TLSハンドシェイクメッセージを修正することによってクライアント側とサーバー側とそれぞれの互いに関連するSSL/TLS接続を確立し、この２つの接続は会話暗号化キーを共有する。これらの暗号化キーを有するデータ収集システムは、機密データの平文を回復することができる。本発明におけるデータ収集システムは、クライアント側及びサーバー側との間でそれぞれ確立したSSL/TLS接続が会話暗号化キーを共有するものであるため、応答時間を短縮して、SSLスループットを大幅に向上させ、メモリリソースを節約して、さらに最大ユーザ接続数を増加させることができる。【選択図】図１

Description

本出願はネットワーク情報セキュリティの技術分野に関し、特にセキュアソケットレイヤー/トランスポート層セキュリティ(Secure Socket Layer/Transport Layer Security、SSL/TLS)プロトコルにおけるネットワーク機密データの平文の収集方法及びシステムに関する。
SSL/TLSプロトコルは伝送制御プロトコル(Transmission Control Protocol、TCP)の上で、様々なアプリケーション層プロトコルの下に作動して、クライアント側及びサーバー側アプリケーションプログラム間の通信におけるメッセージ盗聴、改ざん（tamper）及び偽造を防止することができ、それによりインターネットにおけるデータ通信のためにセキュリティサービスを提供する。SSL/TLSは階層化プロトコルであり、下位層の記録層プロトコル、上位層の変更暗号化説明プロトコル（Change Cipher Protocol）、アラートプロトコル及びハンドシェイクプロトコルを含む。記録層では、上位層のデータは１つの記録（record）にパッケージされ、圧縮、メッセージ認証コード(Message Authentication Codes、MAC)の計算、暗号化を経て、最終的に、TCPによって送信される。一方、TCPから受け取ったデータを、暗号解読、MAC検証及び展開解凍して、上位層に提供する。記録はSSL/TLSプロトコルデータを送信及び受信する基本単位である。上位層の３つのプロトコルのうち、ハンドシェイクプロトコルの役割は、クライアント側とサーバー側との間で機密パラメータをネゴシエーションして、それにより安全な接続を確立し、変更暗号化説明プロトコルは、これから送信するメッセージを、新しくネゴシエーションした機密パラメータを使用して保護することを相手に通知し、アラートプロトコルは、エラーの発生及びその重要度を相手に通知する役割を担う。
ネットワーク情報の伝送過程において、クライアント側とサーバー側との間にSSL/TLSプロトコルを使用して伝送するアプリケーション層データは暗号化されたものであり、平文は用いない。このような暗号化データはデータ監査時に困難を生ずる。例えば、企業サービスシステムにおいて、顧客データ情報、課金情報、料金請求情報及び企業内部の重要なデータ等の機密情報が漏洩されたかどうかを審査する必要があるが、これらの情報は暗号文の形式で伝送された可能性がある。従来の技術では、サーバー側とクライアント側との間にSSL/TLS代理サーバーを取り入れ、SSL/TLS代理サーバーはサーバー側とクライアント側との間にそれぞれ互いに独立するSSL/TLS接続を確立し、SSL/TLS代理サーバーは暗号化データを取得した後に、暗号化データを暗号解読して、平文を抽出した後に、再びデータを暗号化して、相手（peer）側に送信する。２つの接続が独立であるため、以下の問題は発生する。即ち、SSL/TLS代理サーバーがデータを取得した後に、データパケットのペイロードを修正する必要があるため、応答時間が長くなる。また、SSL/TLS代理サーバーはデータを平文に暗号解読した後に、再び暗号文に暗号化して相手側に送信するため、SSLスループットが顕著に低下する。さらに、SSL/TLS代理サーバーは各ユーザのために２通の暗号化キー情報を維持することが要求され、大きなメモリリソースを占用する等の問題がある。
本出願は、クライアント側とサーバー端との間に、機密データの平文を回復することができるデータ収集システムを導入した、ネットワーク機密データの平文の収集方法及びシステムを提供することを目的とする。データ収集システムとクライアント側及びサーバー側とはそれぞれ互いに関連するSSL/TLS接続を確立するため、この２つの接続が会話暗号化キーを共有し、データ収集システムは暗号文を１通コピーして転送する。したがって、暗号文を暗号解読して再び暗号化する必要がなく、且つ各ユーザのために１通の暗号化キー情報を維持するだけでよいため、応答時間の短縮、SSLスループットの向上、占用するメモリリソースの節約が実現できる。
上記の目的を実現するために、第１態様によれば、本出願はネットワーク機密データ平文の収集方法を提供し、該方法は、
サーバー側が、データ収集システムに、サーバー側の公開キーを含むサーバー側証明書を含む第１サーバー側証明書メッセージを送信するステップと、
前記データ収集システムが、前記サーバー側証明書を検証するステップと、
検証が合格した場合に、前記データ収集システムが、前記サーバー側証明書に基づいて前記サーバー側の公開キーを抽出し、且つ前記サーバー側の公開キーを保存するステップと、
前記データ収集システムが、前記サーバー側証明書を、前記データ収集システムの公開キーを含む前記データ収集システム証明書に取り替えるステップと、
前記データ収集システムが、前記データ収集システム証明書を含む第２サーバー側証明書メッセージを前記クライアント側に送信するステップと、
前記クライアント側が、前記データ収集システム証明書を検証するステップと、
検証が合格した場合に、前記クライアント側が、前記データ収集システム公開キーを利用してプリマスターシークレット（preset master secret）を暗号化し、第１暗号化プリマスターシークレットを取得するステップと、
前記クライアント側が、前記データ収集システムに、前記第１暗号化プリマスターシークレットを含む第１クライアント側暗号化キー交換メッセージを送信するステップと、
前記データ収集システムが、前記データ収集システムの非公開キーを利用して前記第１暗号化プリマスターシークレットを暗号解読して、前記プリマスターシークレットを取得するステップと、
前記データ収集システムが、前記プリマスターシークレットに基づいて暗号化キーを生成し、前記データ収集システムが前記暗号化キーに基づいてネットワークにおいて伝送する機密データを暗号解読することに用いられるステップとを含む。
第２態様によれば、本出願はネットワーク機密データの平文の収集システムを提供して、該システムは、
本出願の実施例におけるサーバー側と、データ収集システムと、クライアント側とを備える。
本出願によるネットワーク機密データ平文の収集方法及びシステムは、クライアント側とサーバー側との間にTCP接続を構築した上で、データ収集システムを導入し、データ収集システムは、SSL/TLSハンドシェイクメッセージを修正することによって、クライアント側とサーバー側とそれぞれ互に関連するSSL/TLS接続を確立し、この２つの接続は会話暗号化キーを共有する。これらの暗号化キーを把握するデータ収集システムは、機密データを平文に回復することができ、且つ暗号文を１通コピーすれば転送することができる。これにより、応答時間を短縮して、SSLスループットを向上させ、各ユーザのために１通の暗号化キー情報を維持するだけでよいので、メモリリソースの節約とユーザの最大接続数の増加をもたらす。
本出願の実施例１に係るネットワーク機密データ平文の収集方法のフロ−チャートである。 本出願の実施例２に係るSSL/TLSデータ伝送処理の模式図である。 本出願の実施例２に係るネットワーク機密データ平文の収集システムの模式図である。
以下、図面及び実施例によって、本出願の技術的解決手段を更に詳細に説明する。
図１は本出願の実施例１に係るネットワーク機密データ平文の収集方法のフローチャートである。図１に示すように、前記方法は、具体的には、以下のステップS101〜S109を含む。
ステップS101、クライアント側は、データ収集システムにクライアント側グリーティングメッセージを送信し、データ収集システムは、クライアント側乱数を記録した後に、前記クライアント側グリーティングメッセージをサーバー側に転送する。
具体的には、クライアント側は、データ収集システムに送信したクライアント側グリーティングメッセージ(ClientHello)に暗号化キーの計算に必要なクライアント側乱数を含む。データ収集システムは、クライアント側グリーティングメッセージを受信した後に、前記乱数を記録する必要があるが、その内容に対しては、いずれの修正を行う必要がなく、直ちにサーバー側に転送する。データ収集システムは、メッセージ全体を保存する必要があり、ハンドシェイク終了階段でクライアント側とサーバー側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側とサーバー側に送信することに用いられる。
説明する必要があるのは、ステップS101の前に、クライアント側とサーバー側との間にTCP接続を確立していることである。
ステップS102、サーバー側は、データ収集システムにサーバー側グリーティングメッセージを送信し、前記データ収集システムは、プロトコルバージョン情報、サーバー側乱数及び暗号化キット情報を記録した後に、前記サーバー側グリーティングメッセージをクライアント側に送信する。
具体的には、サーバー側がデータ収集システムに送信したサーバー側グリーティングメッセージ(ServerHello)には、プロトコルバージョン情報、サーバー側乱数及び暗号化キット情報が含まれる。前記プロトコルバージョン情報は、サーバー側及びクライアント側が安全通信に使用されるSSL又はTLSプロトコルバージョンであってよく、前記暗号化キット情報は、一連の暗号化アルゴリズムであってよく、前記サーバー側乱数は、暗号化キーを計算することに用いられる。データ収集システムはこれらの情報を記録する必要がある。データ収集システムは、サーバー側グリーティングメッセージ内容に対していずれの修正を行う必要がなく、直ちにクライアント側に転送する。データ収集システムは、メッセージ全体を保存する必要があり、ハンドシェイク終了階段でクライアント側とサーバー側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側とサーバー側に送信することに用いられる。
ステップS103、サーバー側は、データ収集システムに第１サーバー側証明書メッセージを送信し、前記データ収集システムは、第１サーバー側証明書への検証が合格した後に、サーバー側公開キーを抽出してサーバー側証明書をデータ収集システム証明書に取り替え、第２サーバー側証明書メッセージをクライアント側に送信する。
具体的には、サーバー側は、データ収集システムに第１サーバー側証明書メッセージを送信し(Certificate)、第１サーバー側証明書メッセージにサーバー側証明書が含まれ、前記サーバー側証明書にはサーバー側公開キーが含まれる。データ収集システムは、第１サーバー側証明書メッセージを受信した後に、まずサーバー側の証明書を検証する必要がある。検証が合格した後に、サーバー側との後続のハンドシェイク過程を続行するために、データ収集システムはサーバー側証明書からサーバー側公開キーを抽出して保存する必要がある。この時、データ収集システムは、メッセージ全体を保存し、ハンドシェイク終了階段でサーバー側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してサーバー側に送信することに用いられる。クライアント側との間にSSL/TLS接続を確立するために、データ収集システムはサーバー側証明書メッセージにおけるサーバー側証明書をデータ収集システム証明書に取り替えた第２サーバー側証明書メッセージを取得する必要がある。この時、データ収集システムは、メッセージ全体を保存し、ハンドシェイク終了階段でクライアント側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側に送信することに用いられる。その後、データ収集システムは、第２サーバー側証明書メッセージをクライアント側に送信し、前記クライアント側は、第２サーバー側証明書メッセージを受信した後に、データ収集システム証明書を検証する必要があり、検証が合格した後に再び後続のメッセージ伝送を行う。
ステップS104、サーバー側はデータ収集システムにサーバー側グリーティング終了メッセージを送信し、データ収集システムは前記サーバー側グリーティング終了メッセージをクライアント側に送信する。
具体的には、サーバー側がデータ収集システムに送信したサーバー側グリーティング終了メッセージ(ServerHelloDone)には、SSL/TLSプロトコル機密データの平文の収集に必要ないずれの情報が含まれないため、データ収集システムは、このメッセージを修正する必要がなく、直ちにクライアント側に転送する。データ収集システムは、メッセージ全体を保存する必要があり、ハンドシェイク終了階段でクライアント側とサーバー側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側とサーバー側に送信することに用いられる。
ステップS105、クライアント側はデータ収集システムに第１クライアント側暗号化キー交換メッセージを送信し、前記データ収集システムは第１暗号化プリマスターシークレットを取得してデータ収集システムの非公開キーで暗号解読することにより、プリマスターシークレットを取得し、サーバー側公開キーで前記プリマスターシークレットを暗号化した後に、第２クライアント側暗号化キー交換メッセージをサーバー側に送信する。
具体的には、クライアント側はプリマスターシークレットを生成して、暗号化キー交換アルゴリズムとデータ収集システムの公開キーを利用して前記プリマスターシークレットを暗号化し、第１暗号化プリマスターシークレットを取得する。暗号化キー交換アルゴリズムはRSA公開キー暗号化アルゴリズム(ロナルド・リベスト、アディ・シャミア及びレオナルド・エーデルマンの三人により提案され、RSAは三人の姓の頭文字の組み合わせである)であってよい。クライアント側がデータ収集システムに送信した第１クライアント側暗号化キー交換メッセージ(ClientKeyExchange)には前記第１暗号化プリマスターシークレットが含まれる。データ収集システムは、第１クライアント側暗号化キー交換メッセージを受信した後に、データ収集システムの非公開キーで前記第１暗号化プリマスターシークレットを暗号解読する必要があり、それによりプリマスターシークレットを取得する。この時、データ収集システムは、メッセージ全体を保存し、ハンドシェイク終了階段でクライアント側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側に送信することに用いられる。その後、サーバー側と後続のハンドシェイク過程を続行するために、データ収集システムはサーバー側公開キーでプリマスターシークレットを改めて暗号化する必要があり、それにより、第２暗号化プリマスターシークレットを取得して改めてパッケージし、第２クライアント側暗号化キー交換メッセージとてサーバー側に送信する。この時、データ収集システムはメッセージ全体を保存し、ハンドシェイク終了階段でクライアント側とサーバー側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してサーバー側に送信することに用いられる。データ収集システムはプリマスターシークレットを取得した後に、継続してマスターシークレットと暗号化キーを計算し、後続のハンドシェイク終了メッセージの暗号化、暗号解読及びSSL/TLSプロトコル機密データの暗号解読に使用される。
ステップS106、クライアント側は、データ収集システムに変更暗号化説明メッセージを送信し、前記データ収集システムは、前記変更暗号化説明メッセージを前記サーバー側に送信する。
具体的には、クライアント側がデータ収集システムに送信した変更暗号化説明メッセージ(ChangeCipherSpec)には、SSL/TLS平文の収集に必要な何れの情報が含まれないため、データ収集システムはそれを修正する必要がなく、直ちにサーバー側に伝送することができる。
ステップS107、クライアント側は、データ収集システムにクライアント側ハンドシェイク終了メッセージを送信し、前記データ収集システムは、前記クライアント側ハンドシェイク終了メッセージを検証し、その後サーバー側と交互するハンドシェイクメッセージに基づいてクライアント側ハンドシェイク終了メッセージを改めて構築してサーバー側に送信する。
具体的には、データ収集システムは、クライアント側からのクライアント側ハンドシェイク終了メッセージ(Client Finished)を暗号解読して検証する必要がある。検証が合格した後に、メッセージ全体を保存し、ハンドシェイク終了階段でクライアント側からのハンドシェイク終了メッセージをチェックし、ハンドシェイク終了メッセージを改めて構築してクライアント側に送信することに用いられる。クライアント側からのハンドシェイク終了メッセージが廃棄され、データ収集システムは、その前に保存したサーバー側と交信する全てのSSL/TLSハンドシェイクメッセージに基づいてハンドシェイク終了メッセージを改めて構築し、サーバー側に送信する。この改めて構築したメッセージを保存して、サーバー側からのハンドシェイク終了メッセージをチェックすることに用いられる。
ステップS108、サーバー側は、データ収集システムに変更暗号化説明メッセージを送信し、前記データ収集システムは、前記変更暗号化説明メッセージを前記クライアント側に送信する。
具体的には、サーバー側がデータ収集システムに送信した変更暗号化説明メッセージ(ChangeCipherSpec)にSSL/TLS平文の収集に必要な何れの情報が含まれないため、データ収集システムはそれを修正せず、直ちにクライアント側に転送することができる。
ステップS109、サーバー側は、データ収集システムにサーバー側ハンドシェイク終了メッセージを送信し、データ収集システムは、前記サーバー側ハンドシェイク終了メッセージを検証し、その後クライアント側と交信するハンドシェイクメッセージに基づいてサーバー側ハンドシェイク終了メッセージを改めて構築してクライアント側に送信する。
具体的には、データ収集システムは、サーバー側からのハンドシェイク終了メッセージ(Server Finished)を暗号解読して検証する必要がある。検証が合格した後に、前記サーバー側ハンドシェイク終了メッセージを廃棄し、その前に保存したクライアント側と交信する全てのSSL/TLSハンドシェイクメッセージに基づいてハンドシェイク終了メッセージを改めて構築し、クライアント側に送信する。
以上のステップを経て、データ収集システムとクライアント側及びサーバー側とはそれぞれ１つのSSL/TLS接続SSLとSSL’を確立し、２本の接続は同じ会話暗号化キーを有する。SSL/TLSアプリケーションデータ伝送過程において、データ収集システムは両方のSSL/TLS接続の全ての秘密情報を有するため、SSL/TLSプロトコルによって保護したデータを暗号解読することができる。
図２は本出願の実施例１によるSSL/TLSデータ伝送処理の模式図である。データの高速処理を確保するために、データ収集システムは、データを受信した後に１通をコピーして直ちに転送し、データパケットペイロードに対していずれの修正も行う必要がない。その後、データ収集システムは、負荷が許可できる範囲でSSL/TLS暗号文データを暗号解読して、機密データの平文を取得する。
本出願によるネットワーク機密データ平文の収集方法は、クライアント側とサーバー側との間にTCP接続を構築した上で、データ収集システムを導入し、該データ収集システムは、SSL/TLSハンドシェイクメッセージを修正することによってクライアント側とサーバー側とはそれぞれ互に関連するSSL/TLS接続を確立し、この２つの接続は会話暗号化キーを共有する。これらの暗号化キーを有するデータ収集システムは、機密データの平文を回復することができ、また、暗号文を１通コピーすれば転送することができるので、応答時間を短縮して、SSLスループットを向上させる。また、各ユーザのために１通の暗号化キー情報を維持するだけでよいので、メモリリソースの節約とユーザの最大接続数の増加を実現する。
上記ネットワーク機密データの平文の収集方法に対応し、本出願の実施例２は機密データ平文の収集システムを更に提供する。図３は本出願の実施例２によるシステム模式図であり、前記システムは、クライアント側21、データ収集システム22及びサーバー側23を備える。クライアント側21とサーバー側23とはTCP接続を確立し、データ収集システム22はクライアント側21及びサーバー側23とそれぞれ１つのSSL/TLS接続を確立し、２本の接続は同じ会話暗号化キーを有する。
本出願の実施例２によるシステムは、本出願の実施例１による方法を採用するので、本出願によるシステムの具体的な動作過程については、ここでは説明を省略する。
本出願によるネットワーク機密データの平文の収集システムは、クライアント側とサーバー側との間にTCP接続を構築した上で、データ収集システムを導入する。データ収集システムは、SSL/TLSハンドシェイクメッセージを修正することによってクライアント側とサーバー側とそれぞれ互に関連するSSL/TLS接続を確立し、この２つの接続は会話暗号化キーを共有する。これらの暗号化キーを把握するデータ収集システムは、機密データの平文を回復することができ、また、暗号文を１通コピーすれば転送することができるので、応答時間を短縮して、SSLスループットを向上させる。また、各ユーザのために１通の暗号化キー情報を維持するだけでよいので、メモリリソースの節約とユーザの最大接続数の増加を実現する。
当業者は更に、本文で開示された実施例によって説明した各例示の対象及びアルゴリズムステップは、電子ハードウエア、コンピュータソフトウェア又は両者の組み合わせによって実現されうることが理解できよう。ハードウエアとソフトウェアの互換可能性を明確に説明するために、上記の説明では機能に応じて一般的に各例示の組成及びステップを記載した。これらの機能をハードウエア或いはソフトウェアの方式によって実行するかは、技術的解決手段の具体的なアプリケーションと設計の制約条件によって決められることを当業者は理解できる。当業者は、各具体的なアプリケーションに対して異なる方法を使用することによって上述した機能を実現することができるが、このような実現も本出願の範囲に属する。
本文で開示された実施例によって記載した方法又はアルゴリズムのステップは、ハードウエア、プロセッサが実行するソフトウェアモジュール、或いは両者の組み合わせによって実施されることができる。ソフトウェアモジュールはランダムアクセスメモリ(RAM)、メモリ、読み取り専用メモリ(ROM)、電気プログラマブルROM、電気的に消去可能なプログラマブルROM、レジスタ、ハードディスク、リムーバブルディスクCD-ROM、又は技術分野内の公知の任意のその他の形式の記憶媒体に配置されうる。
最後に、以上の実施例は本発明の技術的解決手段を説明するためのものだけであり、制限するためのものではない。実施例を参照して本発明を詳細に説明したが、当業者は、本発明の技術的解決手段に対する修正や均等な置き換えは、本発明の技術的解決手段の精神及び範囲を逸脱せず、本発明の請求項の範囲に含まれることを理解すべきである。

Claims (5)

  1. サーバー側が、データ収集システムに、サーバー側の公開キーを含むサーバー側証明書を含む第１サーバー側証明書メッセージを送信するステップと、
    前記データ収集システムが、前記サーバー側証明書を検証するステップと、
    検証が合格した場合に、前記データ収集システムが、前記サーバー側証明書に基づいて前記サーバー側の公開キーを抽出し、且つ前記サーバー側の公開キーを保存するステップと、
    前記データ収集システムが、前記サーバー側証明書を前記データ収集システムの公開キーを含むデータ収集システム証明書に取り替えるステップと、
    前記データ収集システムが、前記データ収集システム証明書を含む第２サーバー側証明書メッセージをクライアント側に送信するステップと、
    前記クライアント側が、前記データ収集システム証明書を検証するステップと、
    検証が合格した場合に、前記クライアント側が、前記データ収集システムの公開キーを利用してプリマスターシークレットを暗号化し、第１暗号化プリマスターシークレットを取得するステップと、
    前記クライアント側が、前記データ収集システムに、前記第１暗号化プリマスターシークレットを含む第１クライアント側暗号化キー交換メッセージを送信するステップと、
    前記データ収集システムが、前記データ収集システムの非公開キーを利用して前記第１暗号化プリマスターシークレットを暗号解読して、前記プリマスターシークレットを取得するステップと、
    前記データ収集システムが、前記プリマスターシークレットに基づいて暗号化キーを生成して、前記データ収集システムが前記暗号化キーに基づいてネットワークにおいて伝送する機密データを暗号解読するステップと
    を含むことを特徴とするネットワーク機密データの平文の収集方法。
  2. サーバー側がデータ収集システムに第１サーバー側証明書メッセージを送信する前記ステップの前に、
    前記サーバー側と前記クライアント側とが伝送制御プロトコル接続を確立するステップと、
    前記クライアント側が、前記データ収集システムに、クライアント側乱数を含むクライアント側グリーティングメッセージを送信するステップと、
    前記データ収集システムが、前記クライアント側乱数を記録して、且つ前記サーバー側に前記クライアント側グリーティングメッセージを送信するステップと、
    前記サーバー側が、前記データ収集システムに、プロトコルバージョン情報、サーバー側乱数及び暗号化キット情報を含むサーバー側グリーティングメッセージを送信するステップと、
    前記データ収集システムが、前記プロトコルバージョン情報、サーバー側乱数及び暗号化キット情報を記録して、且つ前記クライアント側に前記サーバー側グリーティングメッセージを送信するステップと
    を更に含むことを特徴とする請求項１に記載の方法。
  3. 前記データ収集システムが前記データ収集システムの非公開キーを利用して前記第１暗号化プリマスターシークレットを暗号解読して、前記プリマスターシークレットを取得する前記ステップの後に、
    前記データ収集システムが、前記サーバー側の公開キーを利用して前記プリマスターシークレットを暗号化し、第２暗号化プリマスターシークレットを取得するステップと、
    前記データ収集システムが、前記サーバー側に、前記第２暗号化プリマスターシークレットを含む第２クライアント側暗号化キー交換メッセージを送信するステップと
    を更に含むことを特徴とする請求項２に記載の方法。
  4. 前記クライアント側が前記データ収集システムの公開キーを利用してプリマスターシークレットを暗号化し、第１暗号化プリマスターシークレットを取得する前記ステップの前に、
    前記クライアント側がプリマスターシークレットを生成するステップを更に含む、ことを特徴とする請求項３に記載の方法。
  5. 請求項１に記載された前記サーバー側と、前記データ収集システムと、前記クライアント側とを備えたネットワーク機密データの平文の収集システム。
JP2017529339A 2014-12-02 2015-03-12 ネットワーク機密データの平文の収集方法及びシステム Pending JP2017536776A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN201410721300.9 2014-12-02
CN201410721300.9A CN104468560B (zh) 2014-12-02 2014-12-02 网络保密数据明文的采集方法及系统
PCT/CN2015/074079 WO2016086546A1 (zh) 2014-12-02 2015-03-12 网络保密数据明文的采集方法及系统

Publications (1)

Publication Number Publication Date
JP2017536776A true JP2017536776A (ja) 2017-12-07

Family

ID=52913932

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017529339A Pending JP2017536776A (ja) 2014-12-02 2015-03-12 ネットワーク機密データの平文の収集方法及びシステム

Country Status (4)

Country Link
EP (1) EP3232632A4 (ja)
JP (1) JP2017536776A (ja)
CN (1) CN104468560B (ja)
WO (1) WO2016086546A1 (ja)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104683359B (zh) * 2015-03-27 2017-11-21 成都三零瑞通移动通信有限公司 一种安全通道建立方法及其数据保护方法和安全通道秘钥更新方法
CN106161363B (zh) * 2015-04-03 2020-04-17 阿里云计算有限公司 一种ssl连接建立的方法及系统
CN105429962B (zh) * 2015-11-03 2018-10-19 清华大学 一种通用的面向加密数据的中间网络服务构建方法与体系
CN107306260B (zh) * 2016-04-22 2020-02-04 中国科学院声学研究所 一种网络保密数据采集系统ssl/tls会话重用的支持方法
CN107517183B (zh) * 2016-06-15 2021-02-12 华为技术有限公司 加密内容检测的方法和设备
CN106941401B (zh) * 2017-03-23 2021-06-04 深信服科技股份有限公司 加速设备以及基于加速设备获取会话秘钥的方法
CN110190955B (zh) * 2019-05-27 2022-05-24 新华三信息安全技术有限公司 基于安全套接层协议认证的信息处理方法及装置
CN110336666B (zh) * 2019-07-17 2022-08-05 武汉信安珞珈科技有限公司 一种增强ssl/tls协议中随机数随机性的方法
CN110830431A (zh) * 2019-07-25 2020-02-21 杭州美创科技有限公司 SQL Server数据库密码托管方法
CN112035851A (zh) * 2020-07-22 2020-12-04 北京中安星云软件技术有限公司 一种基于ssl的mysql数据库审计方法
CN113158226A (zh) * 2021-03-05 2021-07-23 北京中安星云软件技术有限公司 基于SSL连接PostGreSQL数据库审计的实现方法及系统
CN113347010B (zh) * 2021-08-05 2021-11-05 深圳市财富趋势科技股份有限公司 基于ssl-tls协议的双向认证方法、系统
CN114139192B (zh) * 2022-02-07 2022-07-05 奇安信科技集团股份有限公司 加密流量处理方法、装置、电子设备、介质及程序

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080060055A1 (en) * 2006-08-29 2008-03-06 Netli, Inc. System and method for client-side authenticaton for secure internet communications
WO2008146395A1 (ja) * 2007-05-31 2008-12-04 Panasonic Corporation ネットワーク中継装置、通信端末及び暗号化通信方法
US20130205360A1 (en) * 2012-02-08 2013-08-08 Microsoft Corporation Protecting user credentials from a computing device
US20140095865A1 (en) * 2012-09-28 2014-04-03 Blue Coat Systems, Inc. Exchange of digital certificates in a client-proxy-server network configuration
US20140189821A1 (en) * 2013-01-02 2014-07-03 Htc Corporation Accessory interface system
KR20140091221A (ko) * 2013-01-11 2014-07-21 주식회사 시큐아이 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
US8843750B1 (en) * 2011-01-28 2014-09-23 Symantec Corporation Monitoring content transmitted through secured communication channels

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101567784B (zh) * 2008-04-21 2016-03-30 华为数字技术（成都）有限公司 一种获取密钥的方法、系统和设备
CN101546366B (zh) * 2009-02-11 2011-11-30 广州杰赛科技股份有限公司 数字版权管理系统及管理方法
CN102082796B (zh) * 2011-01-20 2014-04-09 北京融易通信息技术有限公司 一种基于http的产生会话密钥的方法及系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080060055A1 (en) * 2006-08-29 2008-03-06 Netli, Inc. System and method for client-side authenticaton for secure internet communications
WO2008146395A1 (ja) * 2007-05-31 2008-12-04 Panasonic Corporation ネットワーク中継装置、通信端末及び暗号化通信方法
US8843750B1 (en) * 2011-01-28 2014-09-23 Symantec Corporation Monitoring content transmitted through secured communication channels
US20130205360A1 (en) * 2012-02-08 2013-08-08 Microsoft Corporation Protecting user credentials from a computing device
US20140095865A1 (en) * 2012-09-28 2014-04-03 Blue Coat Systems, Inc. Exchange of digital certificates in a client-proxy-server network configuration
US20140189821A1 (en) * 2013-01-02 2014-07-03 Htc Corporation Accessory interface system
KR20140091221A (ko) * 2013-01-11 2014-07-21 주식회사 시큐아이 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법

Also Published As

Publication number Publication date
WO2016086546A1 (zh) 2016-06-09
EP3232632A4 (en) 2017-11-15
CN104468560A (zh) 2015-03-25
EP3232632A1 (en) 2017-10-18
CN104468560B (zh) 2017-09-19

Similar Documents

Publication Publication Date Title
JP2017536776A (ja) ネットワーク機密データの平文の収集方法及びシステム
CN111835752B (zh) 基于设备身份标识的轻量级认证方法及网关
CN108650227B (zh) 基于数据报安全传输协议的握手方法及系统
US10270601B2 (en) Providing forward secrecy in a terminating SSL/TLS connection proxy using ephemeral Diffie-Hellman key exchange
WO2017045552A1 (zh) 一种在ssl或tls通信中加载数字证书的方法和装置
EP2792100B1 (en) Method and device for secure communications over a network using a hardware security engine
CN108200028B (zh) 一种区块链安全获取服务器可信数据的方法及系统
KR100319256B1 (ko) 통신 프로토콜 운용 방법
EP3633949B1 (en) Method and system for performing ssl handshake
CN106941401B (zh) 加速设备以及基于加速设备获取会话秘钥的方法
WO2009076811A1 (zh) 密钥协商方法、用于密钥协商的系统、客户端及服务器
CN112422507B (zh) 一种基于标识算法的国密ssl加密方法
WO2008030523A2 (en) Real privacy management authentication system
CN102082796A (zh) 一种基于http的信道加密方法、信道简化加密方法及系统
JP2008503778A (ja) シンクｍｌ同期データを送信するための方法
WO2016070538A1 (zh) 安全外壳ssh2协议数据的采集方法和装置
US8281122B2 (en) Generation and/or reception, at least in part, of packet including encrypted payload
KR101508859B1 (ko) 클라이언트와 서버 간 보안 세션을 수립하기 위한 방법 및 장치
TW201537937A (zh) 統一身份認證平臺及認證方法
CN108040071A (zh) 一种VoIP音视频加密密钥动态切换方法
CN112035851A (zh) 一种基于ssl的mysql数据库审计方法
KR101448866B1 (ko) 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
US10218682B1 (en) Secure network protocol cryptographic processing
CN113708928B (zh) 一种边缘云通信方法及相关装置
CN116248290A (zh) 身份认证的方法、装置及电子设备

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170725

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20180725

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20180807

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20190305