TW202145033A

TW202145033A - 加密和驗證敏感參數的電腦程式產品和裝置

Info

Publication number: TW202145033A
Application number: TW109116331A
Authority: TW
Inventors: 陳瑞泰
Original assignee: 昕力資訊股份有限公司
Priority date: 2020-05-15
Filing date: 2020-05-15
Publication date: 2021-12-01
Also published as: TWI729812B

Abstract

本說明書涉及一種電腦程式產品，用於加密敏感參數，包含能夠被客戶端的處理單元載入並執行的程式碼：使用BCrypt演算法對敏感參數加密以產生加密字串；獲得對應於敏感參數的提示索引；依據提示索引和敏感參數產生驗證字串；以及經由網路傳送包含驗證字串的請求給應用程式伺服器，使得應用程式伺服器能通過檢查驗證字串的內容來判斷來源端是否為合法的用戶。

Description

加密和驗證敏感參數的電腦程式產品和裝置

本發明關連於一種通訊安全技術，特別是一種加密和驗證敏感參數的的電腦程式產品和裝置。

為了侵入應用程式伺服器並喬裝成合法用戶來完成惡意行為，例如竊取機密資料、竄改儲存的資料、發佈不實訊息等，駭客通常會攔截從客戶端發送給應用程式伺服器的請求，並觀察請求中的參數變化，據以猜測應用程式伺服器為反應不同請求參數會執行的功能。因此，需要一種電腦程式產品和裝置，用於加密和驗證敏感參數，避免駭客能夠成功解讀出參數意義後所做出的惡意行為。

有鑑於此，如何減輕或消除上述相關領域的缺失，實為有待解決的問題。

本說明書另涉及一種加密敏感參數的裝置，包含通訊介面和處理單元。處理單元使用BCrypt演算法對敏感參數加密以產生加密字串；獲得對應於敏感參數的提示索引；依據提示索引和敏感參數產生驗證字串；以及通過通訊介面經由網路傳送包含驗證字串的請求給應用程式伺服器，使得應用程式伺服器能通過檢查驗證字串的內容來判斷來源端是否為合法的用戶。

本說明書更涉及一種電腦程式產品，用於驗證敏感參數，包含能夠被應用程式伺服器的處理單元載入並執行的程式碼：經由網路從客戶端接收包含驗證字串的請求；從驗證字串獲得加密字串和提示索引；根據提示索引取得敏感參數；使用相應於BCrpyt演算法的驗證演算法來判斷加密字串是否相符於敏感參數；以及當加密字串不相符於敏感參數時，經由網路回覆參數錯誤的訊息給客戶端。

本說明書更另涉及一種加密敏感參數的裝置，包含通訊介面和處理單元。處理單元通過通訊介面經由網路從客戶端接收包含驗證字串的請求；從驗證字串獲得加密字串和提示索引；根據提示索引取得敏感參數；使用相應於BCrpyt演算法的驗證演算法來判斷加密字串是否相符於敏感參數；以及當加密字串不相符於敏感參數時，通過通訊介面經由網路回覆參數錯誤的訊息給客戶端。

本發明的其他優點將搭配以下的說明和圖式進行更詳細的解說。

以下說明為完成發明的較佳實現方式，其目的在於描述本發明的基本精神，但並不用以限定本發明。實際的發明內容必須參考之後的權利要求範圍。

必須了解的是，使用於本說明書中的“包含”、“包括”等詞，用以表示存在特定的技術特徵、數值、方法步驟、作業處理、元件以及/或組件，但並不排除可加上更多的技術特徵、數值、方法步驟、作業處理、元件、組件，或以上的任意組合。

於權利要求中使用如“第一”、“第二”、“第三”等詞是用來修飾權利要求中的元件，並非用來表示之間具有優先順序，前置關係，或者是一個元件先於另一個元件，或者是執行方法步驟時的時間先後順序，僅用來區別具有相同名字的元件。

必須了解的是，當元件描述為“連接”或“耦接”至另一元件時，可以是直接連結、或耦接至其他元件，可能出現中間元件。相反地，當元件描述為“直接連接”或“直接耦接”至另一元件時，其中不存在任何中間元件。使用來描述元件之間關係的其他語詞也可類似方式解讀，例如“介於”相對於“直接介於”，或者是“鄰接”相對於“直接鄰接”等等。

本發明實施例提出一種網路系統架構，包含伺服器（servers）與多部客戶端（clients）。圖1係依據本發明實施例的網路系統架構圖。應用程式伺服器110、桌上型電腦151、平板電腦153以及手機155之間可透過網路100彼此通訊，網路100可為網際網路（Internet）、有線區域網路（wired Local Area Network，LAN）、無線區域網路，或以上的任意組合。桌上型電腦151、平板電腦153以及手機155可稱為客戶端，通過網路100將應用程式部署到應用程式伺服器110上，或者是通過網路100執行應用程式伺服器110上運行的服務。應用程式通常由服務提供者（Service Provider）開發並部署到應用程式伺服器110，包含各式各樣的業務邏輯，可涵蓋但不限於數位銀行管理、網路銀行、行動客服、企業內部流程管理、大數據存儲、大數據資料整合、大數據資料檢索等領域。

圖2係依據本發明實施例的運算裝置的系統架構圖。此系統架構可實施於應用程式伺服器110、桌上型電腦151、平板電腦153以及手機155中之任一者，至少包含處理單元210。處理單元210可使用多種方式實施，例如以專用硬體電路或通用硬體(例如，單一處理器、具平行處理能力的多處理器、圖形處理器或其他具運算能力的處理器)，並且在執行程式碼或軟體時，提供之後所描述的功能。系統架構另包含記憶體250及儲存單元240，記憶體250儲存程式碼執行過程中需要的資料，例如，變數、資料表（Data Tables）等，儲存單元240儲存各式各樣的電子檔案，例如，網頁、文件、音訊檔、視訊檔等。系統架構另包含通訊介面260，讓處理單元210可藉以跟其他電子裝置進行溝通。通訊介面260可以是無線電信通訊模組（Wireless Telecommunications Module）、區域網路（Local Area Network, LAN）通訊模組或無線區域網路通訊模組（WLAN）。無線電信通訊模組（Wireless Telecommunications Module）可包含支援2G、3G、4G或以上技術世代的任意組合的調變解調器(Modem)。輸入裝置230可包含鍵盤、滑鼠、觸控面板等。使用者可按壓鍵盤上的硬鍵來輸入字元，藉由操作滑鼠來控制鼠標，或者是在觸控面板製造手勢來控制執行中的應用程式。手勢可包含單擊、雙擊、單指拖曳、多指拖曳等，但不限定於此。顯示單元220可包含顯示面板（例如，薄膜液晶顯示面板、有機發光二極體面板或其他具顯示能力的面板），用以顯示輸入的字元、數字、符號、拖曳鼠標的移動軌跡、繪製的圖案或應用程式所提供的畫面，提供給使用者觀看。

應用程式伺服器110提供一個應用程式執行的環境，為每個應用程式提供多樣的服務，例如，請求分派與負載平衡、數位認證中心、應用程式介面（Application Programming Interface，API）授權管理、用戶授權/流量/網際網路通訊協定（Internet Protocol，IP）控制、組織階層管理、資安連線（SSL/TLS）管理、數位簽章驗證、機敏資料加密、單一登入主動目錄（Single Sign-On Active Directory，SSO AD）整合、跨站指令（Cross-Site Scripting，XSS）防駭攻擊、API熱部署、區段故障切換（Session Fail-over）、預防重複交易機制、貴賓API優先、異質部署/多版本運行、API偵錯、API軌跡紀錄、伺服器監控/告警、逐API/用戶報表、(Java)DC主機綁定管理、.NET站台綁定管理、註冊主機管理、API服務註冊、API模組佈署發佈、API組合與設計等。從另一面來說，這些功能也可以被多種不同的應用程式使用，因此，如上所述應用程式執行的環境又稱為共用服務平台（Shared Service Platform）。

為了不讓駭客猜出請求中敏感參數的意義，客戶端151、153或155可使用BCrypt演算法對一個或多個敏感參數加密以產生加密字串，獲得分別對應於一個或多個敏感參數的提示索引，依據提示索引和加密字串產生驗證字串。接著，客戶端151、153或155經由網路100傳送包含驗證字串的請求給應用程式伺服器110，使得應用程式伺服器110能通過檢查驗證字串的內容來判斷來源端是否為合法的用戶。接著，應用程式伺服器110可從請求中的驗證字串獲得加密字串和提示索引，依據提示索引取得敏感參數，使用相應於BCrypt演算法的驗證演算法來判斷加密字串是否相符於取得的敏感參數。如果相符，則代表通過驗證，應用程式伺服器110依據參數執行請求的功能並通過網路100回覆執行結果給客戶端151、153或155。

如果一個非法裝置攔截從客戶端151、153或155傳給應用程式伺服器110的請求，依據請求的內容假造出驗證字串，並且通過網路100傳送包含驗證字串的請求給應用程式伺服器110。由於敏感參數是使用BCrypt演算法加密，非法裝置假造出的驗證字串所返回的加密字串和敏感參數通常是對不起來的，無法通過驗證。在應用程式伺服器110發現驗證不通過時，通過網路100回覆參數錯誤的訊息給非法裝置。

圖3係依據本發明實施例的請求執行服務的方法流程圖，由客戶端151、153或155的處理單元210（以下簡稱處理單元210以求簡明）於載入並執行特定軟體模組時實施，用於請求應用程式伺服器110完成特定功能。詳細說明如下：

步驟S310：獲得相應於提示索引的參數，又稱為敏感參數。例如，表1顯示範例的資料表“TSMP_DP_ITEMS”：表1

ITEM_NO	SORT_BY
MEMBER_REG_FLAG	10
API_TYPE	20
NEWS_TYPE	30
REVIEW_STATUS	50
REVIEW_TYPE	60
API_ON_OFF	62
CHK_LAYER	70
API_AUTHORITY	80
FB_FLAG	90
ENABLE_FLAG	100
JOB_STATUS	110

欄位“ITEM_NO”列出敏感參數，而欄位“SORT_BY”列出用來進行排序的數值。於一些實施例中，提示索引是欄位“SORT_BY”的值。於另一些實施例中，提示索引是由小到大排序結果的紀錄編號，例如，參數“MEMBER_REG_FLAG”的提示索引是“0”，參數“API_TYPE”的提示索引是“1”，依此類推。客戶端151、153或155的儲存裝置240（以下簡稱儲存裝置240以求簡明）可儲存資料庫，包含如上所述的範例資料表“TSMP_DP_ITEMS”。處理單元210可發出結構化查詢語言（Structured Query Language，SQL）命令給資料庫管理系統，用於取得範例資料表“TSMP_DP_ITEMS”中的全部或者部分內容。

步驟S320：使用BCrypt演算法對敏感參數加密以產生加密字串。詳細來說，BCrypt演算法先根據目前時間隨機產生鹽值（Salt），然後將鹽值和敏感參數進行雜湊計算（Hashing），用於產生加密字串。由於BCrypt演算法會在不同的時間點產生不同鹽值，因此，在不同時間點加密同一個敏感參數，都會產生不同的加密字串。就算駭客攔截從客戶端151、153或155傳給應用程式伺服器110的多個請求，依然難以歸納出這些加密字串在請求中的意義、規則和邏輯性。

步驟S330：使用Base64演算法對加密字串編碼，用於產生編碼字串。使用Base64演算法的優點在於其編碼後的字串只會包含大寫英文字母“A”至“Z”、小寫英文字母“a”至“z”和數字“0”至“9”的任意組合，而不會包含其他的字元、特殊符號等。需要注意的是，經過Base64演算法的編碼後的字串會讓駭客更難歸納出這些加密字串在請求中的意義、規則和邏輯性。

步驟S340：組合編碼字串和提示索引以產生驗證字串。例如可以將驗證字串組織成以下格式：編碼字串+“,”+提示索引其中，“,”當作編碼字串和提示索引之間的分隔符號。在一些實施例中，分隔符號可以使用大寫英文字母“A”至“Z”、小寫英文字母“a”至“z”和數字“0”至“9”以外的任意字元。在另一些實施例中，編碼字串和提示索引的順序可以顛倒。

在一些實施例中，步驟S330可以省略，而讓驗證字串組織成以下格式：加密字串+“｜”+提示索引其中，“｜”當作加密字串和提示索引之間的分隔符號。在這裡需要注意的是，因為不使用Base64演算法做進一步的編碼，如果要使用其他符號來代替分隔符號“｜”時，需要特別選用不會出現在加密字串的符號。

步驟S350：將驗證字串加入請求。請求可以使用詢問字串（Query String）、格式物件（Form Object）或其他等同的格式包裝。

步驟S360：通過相應通訊介面260經由網路100傳送請求給應用程式伺服器110，用於請求應用程式伺服器110執行特定服務。處理單元210可使用超文本傳輸協定請求（Hypertext Transfer Protocol，HTTP Request）、超文本傳輸安全協定請求（Hypertext Transfer Protocol Secure，HTTPS Request）或其他通訊協定來傳送請求給應用程式伺服器110。

在這裡需要注意的是，請求中的所有參數並不一定都需要進行加密和編碼，可以有部分的參數維持明碼傳送，本發明並不因此侷限。

圖4係依據本發明實施例的執行客戶端所請求服務的方法流程圖，由應用程式伺服器110的處理單元210（以下簡稱處理單元210以求簡明）於載入並執行特定軟體模組時實施，用於驗證客戶端傳送的請求，並且依據驗證結果執行相應的操作。客戶端可以是合法客戶端，例如桌上型電腦151、平板電腦153以及手機155中之任一者，或者是非法裝置。

步驟S410：通過應用程式伺服器110的通訊介面260（以下簡稱通訊介面260以求簡明）經由網路100從客戶端接收請求。請求可包裝於詢問字串、格式物件或其他等同的格式中。處理單元210可使用超文本傳輸協定請求、超文本傳輸安全協定請求或其他通訊協定來從客戶端接收請求。

步驟S420：從請求取出驗證字串。處理單元210可依據如步驟S340中提到的格式解析出驗證字串。

步驟S430：依據預設的分隔符號分割驗證字串，用於獲得編碼字串和提示符號。

步驟S440：使用Base64演算法對編碼字串解碼以產生解碼字串（也可稱為加密字串）。

步驟S450：獲得相應於提示索引的敏感參數。應用程數伺服器110的儲存裝置240（以下簡稱儲存裝置240以求簡明）可儲存資料庫，包含如上所述的範例資料表“TSMP_DP_ITEMS”。處理單元210可發出SQL命令給資料庫管理系統，用於取得相應於提示索引的敏感參數。

步驟S460：使用相應於BCrypt演算法的驗證演算法對解碼字串和參數進行驗證。處理單元210可從解碼字串取出鹽值，然後使用鹽值、解碼字串和敏感參數進行運算，用於驗證解碼字串是否相符於敏感參數。

於另一些實施例中，如果應用程式伺服器110和客戶端間已經約定不進行Base64演算法的編/解碼時，處理單元210可省略步驟S450的處理，而在步驟S440中依據預設的分隔符號分割出加密字串和提示符號，並且在步驟S460中使用BCrypt演算法直接對加密字串和敏感參數進行驗證。

步驟S470：判斷是否通過驗證。如果通過驗證，則繼續進行步驟S480的處理。如果無法通過驗證，則繼續進行步驟S490的處理。

步驟S480：根據請求中的參數執行服務並回覆執行結果給客戶端。在另一些實施例中，其根據的參數可以不包含如上所述隱藏關聯到驗證字串的敏感參數，本發明並不因此侷限。

步驟S490：回覆參數錯誤訊息給客戶端。

本發明所述的方法中的全部或部分步驟可以電腦程式實現，例如電腦的作業系統、電腦中特定硬體的驅動程式、或軟體應用程式。此外，也可實現於如上所示的其他類型程式。所屬技術領域具有通常知識者可將本發明實施例的方法撰寫成電腦程式，為求簡潔不再加以描述。依據本發明實施例方法實施的電腦程式，可儲存於適當的電腦可讀取資料載具，例如DVD、CD-ROM、USB碟、硬碟，亦可置於可通過網路（例如，網際網路，或其他適當載具）存取的網路伺服器。

雖然圖2中包含了以上描述的元件，但不排除在不違反發明的精神下，使用更多其他的附加元件，已達成更佳的技術效果。此外，雖然圖3和圖4的步驟採用指定的順序來執行，但是在不違反發明精神的情況下，熟習此技藝人士可以在達到相同效果的前提下，修改這些步驟間的順序，所以，本發明並不侷限於僅使用如上所述的順序。此外，熟習此技藝人士亦可以將若干步驟整合為一個步驟，或者是除了這些步驟外，循序或平行地執行更多步驟，本發明亦不因此而侷限。

雖然本發明使用以上實施例進行說明，但需要注意的是，這些描述並非用以限縮本發明。相反地，此發明涵蓋了熟習此技藝人士顯而易見的修改與相似設置。所以，申請權利要求範圍須以最寬廣的方式解釋來包含所有顯而易見的修改與相似設置。

100:網路 110:應用程式伺服器 151:桌上型電腦 153:平板電腦 155:手機 210:處理單元 220:顯示單元 230:輸入裝置 240:儲存裝置 250:記憶體 260:通訊介面 S310~S360:方法步驟 S410~S490:方法步驟

圖1係依據本發明實施例的網路系統架構圖。圖2係依據本發明實施例的運算裝置的系統架構圖。圖3係依據本發明實施例的請求執行服務的方法流程圖。圖4係依據本發明實施例的執行客戶端所請求服務的方法流程圖。

S310~S360:方法步驟

Claims

一種加密敏感參數的電腦程式產品，包含能夠被一客戶端的一處理單元載入並執行的程式碼：使用一BCrypt演算法對一敏感參數加密以產生一加密字串；獲得對應於上述敏感參數的一提示索引；依據上述提示索引和上述敏感參數產生一驗證字串；以及經由一網路傳送包含上述驗證字串的一請求給一應用程式伺服器，使得上述應用程式伺服器能通過檢查上述驗證字串的內容來判斷來源端是否為合法的用戶。
一種加密敏感參數的裝置，包含：一通訊介面；以及一處理單元，耦接上述通訊介面，用於使用一BCrypt演算法對一敏感參數加密以產生一加密字串；獲得對應於上述敏感參數的一提示索引；依據上述提示索引和上述敏感參數產生一驗證字串；以及通過上述通訊介面經由一網路傳送包含上述驗證字串的一請求給一應用程式伺服器，使得上述應用程式伺服器能通過檢查上述驗證字串的內容來判斷來源端是否為合法的用戶。
如請求項2所述的加密敏感參數的裝置，其中，上述驗證字串包含上述加密字串、一分隔符號和上述提示索引，並且上述分隔符號位於上述加密字串和上述提示索引之間。
如請求項2所述的加密敏感參數的裝置，其中，上述處理單元使用Base64演算法對上述加密字串編碼以產生一編碼字串，上述驗證字串包含上述編碼字串、一分隔符號和上述提示索引，並且上述分隔符號位於上述編碼字串和上述提示索引之間。
如請求項2所述的加密敏感參數的裝置，其中，上述BCrypt演算法先依據目前時間隨機產生一鹽值，然後將上述鹽值和上述敏感參數進行雜湊計算，用於產生上述加密字串。
一種驗證敏感參數的電腦程式產品，包含能夠被一應用程式伺服器的一處理單元載入並執行的程式碼：經由一網路從一客戶端接收包含一驗證字串的一請求；從上述驗證字串獲得一加密字串和一提示索引；根據上述提示索引取得一敏感參數；使用相應於一BCrpyt演算法的一驗證演算法來判斷上述加密字串是否相符於上述敏感參數；以及當上述加密字串不相符於上述敏感參數時，經由上述網路回覆一參數錯誤的訊息給上述客戶端。
一種驗證敏感參數的裝置，包含：一通訊介面；以及一處理單元，耦接上述通訊介面，用於通過上述通訊介面經由一網路從一客戶端接收包含一驗證字串的一請求；從上述驗證字串獲得一加密字串和一提示索引；根據上述提示索引取得一敏感參數；使用相應於一BCrpyt演算法的一驗證演算法來判斷上述加密字串是否相符於上述敏感參數；以及當上述加密字串不相符於上述敏感參數時，通過上述通訊介面經由上述網路回覆一參數錯誤的訊息給上述客戶端。
如請求項7所述的驗證敏感參數的裝置，其中，當上述加密字串相符於上述敏感參數時，根據上述請求中的參數執行服務並通過上述通訊介面經由上述網路回覆一執行結果給上述客戶端。
如請求項7所述的驗證敏感參數的裝置，其中，上述處理單元分割上述驗證字串以獲得一編碼字串和提示索引，使用一Base64演算法對上述編碼字串解碼以獲得上述加密字串。
如請求項7所述的驗證敏感參數的裝置，其中，上述編碼字串包含上述加密字串、一分隔符號和上述提示索引，上述分隔符號位於上述加密字串和上述提示索引之間。
如請求項7所述的驗證敏感參數的裝置，其中，上述驗證演算法從上述加密字串取出一鹽值，以及使用上述鹽值、上述加密字串和上述敏感參數進行運算，用於驗證上述加密字串是否相符於上述敏感參數。