UA58439A - Спосіб авторизації та аутентифікації клієнта при підключенні до сервера - Google Patents

Abstract

Спосіб авторизації та аутентифікації клієнта при підключенні до сервера включає встановлення SSL-з'єднання з проксі-сервером, надсилання проксі-серверу GUID - унікального номера клієнта та службової інформації, перевірку наявності такого клієнта по базі даних білінгової системи, генерування та надсилання клієнтові двох або більше випадкових чисел, розривання SSL-з'єднання, з'єднання клієнта з broadcast-сервером, надсилання одержаних ним реквізитів, перевірку їх достовірності, здійснення або відмову в з'єднанні.

Description

Опис винаходу

Винахід відноситься до галузей зв'язку та обчислювальної техніки, до засобів захисту інформації, зокрема, 2 до технологій цифрового захисту інформаційних потоків від несанкціонованого доступу. Його доцільно використовувати в системах передачі та обміну інформацією ( в тому числі і мультимедійною), які вимагають обмеження доступу до неї.

Поширення різноманітних технологій передачі інформації, в т.ч. мультимедійної, гостро ставить питання про регулювання або обмеження доступу до неї. Ріст кількості компаній, що пропонують комерційні рішення для 70 передачі інформаційних потоків через Інтернет робить актуальним розробку технологій захисту інформації.

Досить поширеним є надання доступу до сервісів мовлення через проксі (ргоху - англ, ,довіряти") - сервери або сервери авторизації та аутентифікації (АА - сервери). Під аутентифікацією (ацшепіїсайоп) ми розуміємо персоніфікацію клієнта шляхом перевірки того, чи дозволено йому підключатися до сервера в цілому, а під авторизацією (аціРогігайоп) - встановлення його повноважень. Зараз використовуються як вбудовані в сервери 712 засоби АА, так і окремі продукти, що забезпечують дуже широкий спектр протоколів авторизації та аутентифікації. Це поширені реалізації КАСІ - протоколу (КетоїіеАціПпепіїсайоп Оіа! іп Овег бегмісе), що описується документом КЕС(Кедцеві їТог Соптттепів) Мо 2058: Сівігоп Кайіив /(млум/.сівігоп.гадіив.пІ) та

ЕгееКадіив (м/млу їТеегадіив.ога), ТАСАСея (Тегптіпа!І Ассезз СопігоЇ!Ї Ассезз бЗегуег Рів) протокол та його реалізації, зокрема російська розробка - іасрра (ргомідег.КНіЕ ги/ргодисівЛасрра).

Але ці сервери використовують ОР - протокол (Озег Юагадгат Ргоїіосої), який на відміну від ТСР - протоколу (Тгапзтіввіоп Сопіго! Ргоїосої) по-перше, не орієнтований на встановлення з'єднання, а передає інформацію порціями, тому кожна посилка містить авторизаційну інформацію, а по-друге, є т. з. /ненадійним", тобто не гарантує надходження інформаційної порції. Якщо ж встановлюється постійне з'єднання, то відпрацьовується наступна схема: клієнт відкриває ТОР -сокет (за термінологією зосКеї - англ, ,гніздо", означає з'єднання) - дісля встановлення з'єднання клієнт обмінюється з сервером аутентифікаційною та авторизаційною « інформацією, після чого сервер або дає дозвіл на зв'язок, або розриває його. Якщо канал лередачі незахищений, то аутентифікаційна та авторизаційна інформація може бути перехоплена та стане відомою іншим.

Для захисту каналів на рівні з'єднання використовують шифрування переданої інформації. Більшість існуючих алгоритмів шифрування використовує криптографічні ключі, якими кодується та декодується о інформація. Зараз дуже поширений протокол 551 (ЗоскКеї зесиге Іауег) шифрування з відкритим ключем. Версія со

З цього протоколу дозволяє шифрувати дані 128 - бітним ключем, що відповідає усім вимогам до захисту переважної більшості каналів обміну інформацією. З

Цей відомий 55ІЇ протокол з'єднання взято за прототип. Але він має недоліки, які уповільнюють обмін с інформацією, що обмежує його область використання. 3о Проблема полягає в тому, що З5І є протоколом верхнього рівня щодо ТСР, тому якщо встановлено о з'єднання по протоколу 551, то надалі змінити його протокол на ТСР неможливо, в якому на етапі аутентифікації та авторизації немає необхідності, але після цього дані, зокрема, мультимедійні, теж передаються по закритому

ЗІ - каналу з цифрацією та необхідною З5І - інформацією , що призводить до зайвого зростання трафіку і « загального уповільнення обміну інформацією. Особливо це актуально для мультимедійної інформації, адже З після початку обміну інформацією необхідність в її шифруванні відпадає. А перехід до відкритого каналу с вимагає розриву з'єднання та повторного підключення, яке анулює попередню аугетифікацію та авторизацію.

Із» В основу винаходу покладена задача створення такого способу аутентифікації та авторизації, який завдяки новим операціям виключав би можливість несанкціонованого доступу до інформації та сприяв би швидкості обміну інформацією, а також давав би можливість керування інформаційними потоками.

Поставлена задача вирішується способом авторизації та аутентифікації клієнта при підключенні до сервера, і-й який передбачає встановлення З5І - з'єднання з проксі - сервером, при цьому після встановлення 551 -

Ге | з'єднання надсилають проксі - серверу СШІО-унікальний номер клієнта та службову інформацію, яка містить, наприклад, характер інформації, що має бути отримана, перевіряють наявність такого клієнта по базі даних шк білінгової системи і у випадку позитивного результату перевірки генерують та надсилають клієнтові два чи со 20 більше випадкових числа, які співвідносять з (з3ШІО- унікальним номером клієнта та заносять до бази даних в інформацію про поточне з'єднання, потім 551 - з'єднання розривають, з'єднують клієнта з Бгоаасаві - сервером со по відкритому ТСР - каналу та надсилають одержані ним реквізити, дійсних тільки протягом поточної сесії, де перевіряють їх достовірність, та по результату перевірки здійснюють, або відмовляють в з'єднанні, і в разі з'єднання передають інформацію. 25 Сутність запропонованого способу пояснюється кресленнями, що додаються, де зображені клієнти (будь-які в. електронні пристрої, що здатні одержувати інформацію через інтернет або Інтранет), сервер авторизації, аутентифікації та обліку (ААА - сервер, де ААА - АпшіПепіїсайоп, Ап Погігайоп апа Ассоипііпо), що складається з проксі - сервера та білінгової системи та сервер передачі будь - якої споживчої інформації або база даних. 60 На першій стадії клієнт створює 551 - з'єднання з проксі - сервером. Клієнт надсилає серверу свій ЗШІО - унікальний номер, що зберігається в захищеному вигляді в ПЗП(постійному запам'ятовуючому пристрої) клієнта та іншу службову інформацію, наприклад, характер інформації, що має бути отримана, тощо. Усі (ЗШІО клієнтів зберігаються в базі даних білінгової системи.

Проксі - сервер перевіряє наявність такого клієнта по базі даних і у випадку позитивного результату бо перевірки генерує та надсилає клієнтові два чи більше випадкових числа (наприклад, ідентифікатор сесії та пароль сесії). Ці ж числа співвідносяться з ЗЦІЮО клієнта та заносяться-до бази даних в інформацію про поточне з'єднання. Потім 551. - з'єднання розривається і перша стадія на цьому завершується. На другій стадії клієнт з'єднується вже з Бгоадсавзі - сервером (сервером мовлення, або іншим інформаційним сервером) по відкритому

ТОР - каналу та надсилає одержані реквізити, що мають цінність тільки протягом поточної сесії. Вгоаасаві - сервер перевіряє їх достовірність, звіряючи значення зі збереженими в базі даних, та дозволяє з'єднання або відмовляє клієнтові. В разі встановлення зв'язку починається передача інформації. Таким чином, навіть якщо будуть перехоплені ідентифікатори сесії, вони не будуть мати ніякого практичного значення, бо дійсні тільки на одну сесію. А дійсно секретна інформація - ЗЦШІО клієнта передається тільки по зашифрованому 5513 каналу. 7/0 Кількість тимчасових параметрів має значення тільки для підвищення рівня захисту при підключенні по відкритому каналу і може бути легко збільшена для зменшення вірогідності їх співпадіння при достатньо великій кількості одночасних підключень.

Наведений спосіб авторизації та аутентифікації при підключенні має велике значення для розвитку інформаційної індустрії, бо надає можливість надійно контролювати доступ до інформації користувачів з боку її /5 постачальників. Адже, по - перше, розвиток комерційних систем веде до підвищення якості мовлення, стимулює розвиток усієї галузі в цілому, а по - друге, з'являється можливість керування інформаційними потоками.

Claims (2)

Формула винаходу , Щі , Щі , , , й

1. Спосіб авторизації та аутентифікації клієнта при підключенні до сервера, який включає встановлення З5І -з'єднання з проксі-сервером, який відрізняється тим, що після встановлення 551 -з'єднання надсилають проксі-серверу СОЦІО - унікальний номер клієнта та службову інформацію, перевіряють наявність такого клієнта по базі даних білінгової системи і у випадку позитивного результату перевірки генерують та надсилають клієнтові два чи більше випадкових чисел, які співвідносять з ЗШІО - унікальним номером клієнта та заносять до бази даних в інформацію про поточне з'єднання, потім ЗІ -з'єднання розривають, з'єднують клієнта з « ргоадсазі-сервером по відкритому ТСР-каналу та надсилають одержані ним реквізити, дійсні тільки протягом поточної сесії, де перевіряють їх достовірність, та по результату перевірки здійснюють або відмовляють в з'єднанні, і в разі з'єднання передають інформацію. о зо

2. Спосіб по п. 1, який відрізняється тим, що службова інформація містить, наприклад, характер інформації, що має бути отримана. о « (ее) Іс)

- . и? 1 (ее) щ» (95) 3е) 60 б5