WO2010139210A1 - 提高网络应用安全性的方法和系统 - Google Patents

提高网络应用安全性的方法和系统 Download PDF

Info

Publication number
WO2010139210A1
WO2010139210A1 PCT/CN2010/071900 CN2010071900W WO2010139210A1 WO 2010139210 A1 WO2010139210 A1 WO 2010139210A1 CN 2010071900 W CN2010071900 W CN 2010071900W WO 2010139210 A1 WO2010139210 A1 WO 2010139210A1
Authority
WO
WIPO (PCT)
Prior art keywords
protocol
network
module
packet
driver
Prior art date
Application number
PCT/CN2010/071900
Other languages
English (en)
French (fr)
Inventor
陆舟
于华章
Original Assignee
北京飞天诚信科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京飞天诚信科技有限公司 filed Critical 北京飞天诚信科技有限公司
Priority to US12/863,444 priority Critical patent/US8504820B2/en
Publication of WO2010139210A1 publication Critical patent/WO2010139210A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering

Definitions

  • the present invention relates to the field of information security, and in particular, to a method and system for improving network application security.
  • BACKGROUND With the rapid development of the Internet, people are increasingly relying on the network for various activities, such as online banking and online shopping, which have already penetrated people's lives, but hackers attacked and hacked user passwords for illegal transactions. The more, the more losses are caused. People enjoy the convenience of the network and are increasingly concerned about network security. At this time, identity technology is particularly important. At present, the identification technology has been widely developed and applied in various fields, mainly online banking, government websites, BS (Browser/Server, browser/server) architecture ERP (Enterprise Resource Planning) system and Various areas where confidentiality requirements are relatively high.
  • BS Borrowser/Server, browser/server
  • ERP Enterprise Resource Planning
  • Digital signature is one of them. Download and install digital certificates in the client, and use USB Key (Universal Serial BUS Key) with higher security. Interface hardware device)
  • the smart key device performs operations such as signing data transmitted by the network, but the data signed in the USB Key is still sent by the client host, and there is still a security risk.
  • most of the existing security methods are too cumbersome to operate.
  • various plug-ins and software programs corresponding to the smart key device are required, and the existing program plug-ins are mostly developed for the IE kernel, for some Browsers such as Firefox do not support it, causing some users to fail to communicate securely online.
  • a method for improving security of a network application includes: generating, by a client software in a client host, a protocol packet according to information input by a user, and splitting into multiple IP data packets; the client host The network filtering driver receives and caches the plurality of IP data packets, and performs a group packet operation to obtain the protocol message; the network filtering driver parses the protocol according to an agreed protocol, and determines the protocol.
  • the network filtering driver Whether the network filtering driver, the smart key device, and the application server pre-agreed key information exist in the text; if the key information exists in the protocol, the network filtering driver sends the protocol packet to the a smart key device, the smart key device parsing the protocol message to obtain the key information, and outputting the key information for user confirmation; if receiving a signal that the user confirms that the key information is correct, the smart key device Signing the protocol 4, returning the signature result to the network filtering driver, and the network filtering driver according to the signature node Generating a new protocol packet with the protocol packet, splitting the new protocol packet into multiple IP data packets, and sending the packet to the application server through the network card driver; if the user confirms that the key information is incorrect
  • the smart key device performs exception processing when the signal does not receive the signal for confirmation by the user within a preset time; if the key information does not exist in the protocol packet, the network filtering driver caches The plurality of IP data packets are sent to the application server
  • the network filtering driver in the client host receives and caches the plurality of IP data packets, and performs a group packet operation to obtain the protocol packet, specifically: the network filtering driver in the client host receives and caches the Multiple IP data packets; comparing the destination address in the plurality of IP data packets with a pre-stored address of the application server; and setting the destination addresses in the plurality of IP data packets as described Applying a packet operation to the data packet of the address of the server, and obtaining the protocol, and transmitting, to the network card, a data packet whose destination address is not the address of the application server in the plurality of IP data packets drive.
  • the network filtering driver parses the protocol according to an agreed protocol, and determines whether the network filtering driver, the smart key device, and the key information pre-agreed by the application server are present in the protocol, including:
  • the network filtering driver parses the protocol according to an agreed protocol, and determines whether the network filter driver, the smart key device, and the application server pre-agreed key information identifiers exist in the protocol, if any, Determining that the key information exists in the protocol.
  • the network filtering driver parses the protocol packet according to the agreed protocol, and finds the network filtering driver and the smart key in the protocol packet. A field specified by the device and the application server determines whether data exists in the field. If yes, it determines that the key information exists in the protocol packet.
  • Both the protocol and the new protocol include a request header field in which the address of the application server is written.
  • the network filtering driver sends the protocol packet to the smart key device, specifically: the network filtering driver parses a request header field of the protocol, and determines that the request header field is written. Whether the incoming server server address is consistent with the application server address stored by the network filtering driver; if they are consistent, executing the network filtering driver to send the protocol message to the smart key device Step 4: If not, the network filtering driver prompts the user to apply the server error, and the process ends.
  • the smart key device parses the protocol packet to obtain the key information, and specifically includes: the smart key device parses the protocol, and determines whether the network filtering driver exists in the protocol a key information identifier pre-agreed by the smart key device and the application server, if present, the key information is found according to the key information identifier; or the smart key device parses the protocol The network found in the protocol 4
  • the filter driver, the smart key device, and the field specified by the application server determine whether there is data in the field, and if so, read the data to obtain the key information.
  • the outputting the key information for the user to confirm comprises: displaying, by the smart key device, the key information by the liquid crystal display for the user to confirm, or playing the key information for confirmation by the user by means of voice broadcast.
  • the smart key device performs the exception processing, and the method includes: the smart key device notifying the network filtering driver to stop the operation, and prompting the user to fail the operation; or the smart key device returns one to the network filtering driver Wrong signature result.
  • the smart key device signatures the protocol packet, specifically: the smart key device performs a personal identification code or a personal biometric on the identity of the user, and the personal biometric includes a fingerprint, an iris, or Static ⁇ ⁇ identification; if it is legal, the protocol is signed; if it is not legal, it refuses to sign the protocol 4, the process ends.
  • the network filtering driver generates a new protocol according to the signature result and the protocol, and specifically includes: the network filtering driver inserts the received signature result into the protocol packet, and according to the foregoing
  • the agreed protocol performs 4 tampering on the request header field in the protocol, and obtains a new protocol.
  • the network filtering driver uses the received signature result to specify a part of the protocol packet. The replacement is performed, and the pre-agreed protocol tampers with the request header field in the protocol to obtain a new protocol message.
  • the agreed protocol includes a hypertext transfer protocol http and/or a secure hypertext transfer protocol
  • a system for improving security of a network application comprising: a smart key device and a network filtering driver in a client host; the network filtering driver includes: a first interface module, configured to receive a client in a client host a plurality of IP data packets sent by the end software, wherein the plurality of IP data packets are obtained by splitting the protocol software according to the information input by the user, and communicating with the smart key device, The smart key device sends the protocol message, receives the signature result returned by the smart key device, and is further configured to send a plurality of IP data packets split by the new protocol message to the network card driver, where The NIC driver is sent to the application server; the storage module is configured to cache the plurality of IP data packets received by the first interface module, and the group packet module is configured to receive the received by the first interface module The plurality of IP data packets are grouped to obtain the protocol packet, and the parsing and determining module is configured
  • the smart key device if the key information does not exist, send, by the first interface module, the plurality of IP data packets buffered by the storage module to the application server through the network card driver; a message generating module, configured to generate a new protocol according to the signature result received by the first interface module and the protocol obtained by the grouping module; The new protocol packet obtained by the packet generating module is split into a plurality of IP data packets, and is sent to the network card driver in the client host by the first interface module.
  • the smart key device includes: a second interface module, configured to communicate with the network filtering driver, receive a protocol sent by the network filtering driver, and send a signature result to the network filtering driver; And parsing the protocol packet received by the second interface module of the smart key device, to obtain the key information; An output module, configured to output key information obtained by the filtering module for confirmation by a user; an confirmation module, configured to receive information input by the user to confirm whether the key information is correct; and a signature module, configured to be received by the confirmation module When the information is correct for the user to confirm that the key information is correct, the protocol packet received by the second interface module of the smart key device is signed, and the signature result is returned to the network by the second interface module of the smart key device.
  • An exception handling module is configured to perform exception processing when the information received by the confirmation module is that the user confirms that the key information is incorrect, or the confirmation module does not receive the confirmation information of the user within a preset time.
  • the storage module is further configured to store an address of the application server, and the group module includes: a comparison unit, configured to receive the plurality of the first interface module of the network filtering driver The destination address in the IP data packet is compared with the address of the application server stored by the storage module; the packet unit is configured to compare the multiple IPs according to the result of the comparison unit comparison The packet in the data packet whose destination address is the address of the application server is grouped, and the protocol is obtained, and the destination address of the plurality of IP data packets is not the application server.
  • the data packet of the address is sent to the network card driver through the first interface module of the network filtering driver.
  • Both the protocol and the new protocol include a request header field in which the address of the application server is written, and the storage module is further configured to store the application month.
  • the address of the server, the parsing and determining module specifically includes: a determining unit, configured to parse the protocol packet obtained by the group packet module according to an agreed protocol, and determine whether the protocol packet exists in the protocol packet The network filtering driver, the smart key device, and the key information pre-agreed by the application server; the first processing unit is configured to: if the determining unit determines that the key information exists in the protocol, the protocol is The request header field of the file is parsed, and it is determined whether the application server address written in the request header field is consistent with the application server address stored by the storage module, and if they are consistent, pass the first interface
  • the module sends the protocol packet to the smart key device, and if not, prompts the user to apply the server error;
  • the parsing and determining module specifically includes: an identifier parsing judging unit, configured to parse the protocol packet obtained by the group packet module according to an agreed protocol, and determine whether the network exists in the protocol packet And the key information identifier pre-agreed by the filter driver, the smart key device, and the application server, if yes, determining that the key information exists in the protocol packet, and sending, by using the first interface module of the network filtering driver, Sending the protocol packet to the smart key device, if the key information does not exist, sending, by the first interface module, the multiple IP data packets buffered by the storage module to the application by using the network card driver a server; or a field parsing judging unit, configured to parse the protocol packet obtained by the group packet module according to an agreed protocol, and find the network filtering driver, the smart key device, and the protocol packet in the protocol packet
  • the pre-specified field of the application server determines whether there is data in the field, and if yes, determines the protocol packet.
  • the key information is sent by the first interface module of the network filtering driver to send the protocol message to the smart key device. If not, it is determined that the protocol message does not exist.
  • the key information is that, by using the first interface module, the plurality of IP data packets buffered by the storage module are sent to the application server by using the network card driver.
  • the filtering module specifically includes: an identifier filtering unit, configured to determine whether the network filtering driver, the smart key device, and the application server pre-agreed in the protocol packet received by the second interface module of the smart key device The key information identifier, if present, the key information is found according to the key information identifier; or the field filtering unit is configured to be used in the protocol packet received by the second interface module of the smart key device Finding a pre-specified field of the network filtering driver, the smart key device, and the application server, determining whether data exists in the field, and if so, reading the data to obtain the key information.
  • the output module is a liquid crystal display or an audio device.
  • the exception processing module specifically includes: a first exception processing unit, configured to: when the information received by the confirmation module is that the user confirms that the key information is incorrect, or the confirmation module does not receive the user within a preset time
  • the second interface module of the smart key device notifies the network filtering driver to stop the operation, and prompts the user to fail the operation
  • the second abnormality processing unit is configured to receive the information received by the confirming module.
  • the second interface module of the smart key device returns an error to the network filtering driver. Signature results.
  • the signature module of the smart key device specifically includes: a signature unit, configured to perform a personal identification or a personal biometric on the identity of the user when the information received by the confirmation module is correct for the user to confirm the key information, If it is legal, the protocol packet received by the second interface module of the smart key device is signed, and the signature result is returned to the network filtering driver by the second interface module of the smart key device; If it is legal, it refuses to sign the agreement.
  • a signature unit configured to perform a personal identification or a personal biometric on the identity of the user when the information received by the confirmation module is correct for the user to confirm the key information, If it is legal, the protocol packet received by the second interface module of the smart key device is signed, and the signature result is returned to the network filtering driver by the second interface module of the smart key device; If it is legal, it refuses to sign the agreement.
  • the network filter driving module includes: a first generating unit, configured to insert a signature result received by the first interface module of the network filtering driver into the protocol, and then The pre-agreed protocol tampers with the request header field in the protocol to obtain a new protocol message; or the second generating unit is configured to receive the first interface module of the network filtering driver.
  • the signature result replaces the specified part of the protocol packet, and the request header field in the protocol packet is modified according to a pre-agreed protocol to obtain a new protocol packet.
  • the technical solution provided by the embodiment of the present invention determines whether the key information exists in the protocol packet by using the network filtering driver of the client. If yes, the smart key device signs the protocol packet.
  • FIG. 1 is a flow chart of a method for improving network application security according to Embodiment 1 of the present invention
  • FIG. 2 is a system structure diagram for improving network application security according to Embodiment 2 of the present invention.
  • the embodiment of the invention provides a method for improving the security of a network application, including: the client software in the client host generates a protocol packet according to the information input by the user, and splits into multiple IP data packets to be sent; the client host The network filtering driver receives and caches the plurality of IP data packets, and performs the group packet operation to obtain the protocol packet. The network filtering driver resolves the protocol packet according to the agreed protocol, and determines whether the network filtering driver exists in the protocol packet.
  • the key information pre-agreed by the smart key device and the application server if the key information exists in the protocol packet, the network filtering driver sends the protocol packet to the smart key device, and the smart key device parses the protocol packet. Obtaining the key information, and outputting the key information for the user to confirm; if receiving the user confirming that the key information is correct, the smart key device signs the protocol message, returns the signature result to the network filtering driver, and the network filtering driver The signature result and the agreement 4 generate a new agreement 4, the new association
  • the message is split into multiple IP data packets and sent to the application server through the network card driver; if the user receives the signal that the key information is incorrect or does not receive the signal for confirmation by the user within a preset time, the smart The key device performs exception processing.
  • the network filtering driver sends the cached plurality of IP data packets to the application server through the network card driver.
  • the application server in the embodiment of the present invention refers to a destination site server that the client requests for service, and has various types, including but not limited to: an e-commerce system server, an online banking system server, and the like.
  • the network filter driver refers to a function module installed in the client host, and the function module can receive, cache and process the data packet sent by the upper layer application of the computer to the network card, wherein the network card can be Think of ordinary PC network card, wireless network card, etc.
  • Embodiment 1 Referring to FIG.
  • this embodiment provides a method for improving network application security, which specifically includes: Step 4: 101: A user logs in to the application server on the client, in this embodiment, to log in to the network. For example, the bank enters the login related information. In this step, the user can access the online banking through the client software program such as IE or other browsers provided by the system, without installing other plug-ins or doing the client software. change. Step 102: After receiving the information input by the user, the client software generates a protocol packet according to the information. Further, the client, the smart key device, and the application server may also pre-agreed the key information in the protocol packet as the user confirmation.
  • an identifier of the key information may be added to the protocol message to identify the key information input by the user, and the identifier of the key information may be a smart key device, an application server, and a proxy server.
  • the user transfers the account on the Internet as an example, and specifically describes the protocol generated by the client, including the protocol content and the request header field. The following describes the protocol content in the XML format:
  • ⁇ /SignatureData> ⁇ /TradeInfo>
  • the three types of information input by the user in the transfer operation are pre-agreed: transfer to the account name, transfer to the account and the amount of the transfer, ie, Zhang San, 4367420037465985234 and 134.22 are key information, and use the following key information to identify Symbol: ⁇ AccountName> Zhang San ⁇ /AccountName> ⁇ ! - Transfer to the name of the dew -! ⁇
  • ⁇ TradeMoney> and ⁇ /TradeMoney> identify the transfer amount, the network filter driver and the 4 ⁇ application server can determine whether there is key information in the protocol message through the above key information identifier, and can determine the key information. position.
  • the ⁇ SignatureData> ⁇ /SignatureData> field is empty because there is no signature value in the ten content.
  • the pre-determined ten-conference may be a Hypertext Transfer Protocol (Hypertext Transfer Protocol) and/or a Hypers Transfer Protocol over Secure Socket Layer (Secure Hypertext Transfer Protocol), and Not limited to these two.
  • HTTP Hypertext Transfer Protocol
  • Secure Hypertext Transfer Protocol Hypertext Transfer Protocol
  • request header fields corresponding to the http protocol include but are not limited to: OPTIONS, GET, HEAD, POST, PUT, DELETE, and TRACE.
  • Step 103 The client software splits the protocol 4 into multiple IP data packets, and then sends the data. Specifically, the client software can invoke the interface of the system, and the upper layer protocol packet is according to the lower layer.
  • the TCP/IP protocol is split into fixed-length IP packets and sent to the network card driver, which is then sent to the network through hardware conversion.
  • the operating system because there is a network filtering driver between the operating system and the network card driver, the operating system sends the plurality of IP data packets to the network filtering driver first, and the network filtering driver drives the plurality of IP data packets. Forward to the NIC driver.
  • Each of the data packets includes a destination address to be sent, a source address, a sequence number of the IP data packet, a part of the protocol packet, and a length of the protocol packet.
  • Step 104 The network filtering driver receives the multiple IP data packets and buffers them, sorts the received multiple IP data packets, and then performs a group packet operation to obtain the foregoing protocol packet.
  • the network filtering driver The specific process of group packet operation is as follows: The network filter driver processes one IP packet at a time. For each IP packet, the destination address in the packet is parsed. If the destination address is not the address of the pre-stored application server, the network filter driver does not perform any additional processing and directly sends the IP data packet to the network card driver. If the destination address is the address of the pre-stored application server, the IP data packet is buffered and is not sent to the network card driver until all the IP data packets obtained by the above protocol are obtained.
  • the IP packet contains the length of the entire protocol.
  • the NIC filter driver determines the number of IP packets according to the above length. Once all the IP packets obtained after the protocol packet is split are received, The protocol message part contained in each IP data packet is taken out, and the sequence number of the IP data packet is 4, and the above protocol is obtained.
  • the network filtering driver may pre-store addresses of multiple application servers, and may modify the configuration as needed. To further improve security, the addresses of multiple application servers may be encrypted and stored.
  • Step 105 The network filtering driver parses the protocol obtained by the group packet, and determines whether the network filtering driver, the smart key device, and the key information pre-agreed by the application server exist in the protocol 4, if not, execute step 4 Poly 106, if it exists, then step 4 is performed 107; Wherein, the parsing refers to the protocol of the current application splitting the protocol 4 into a request header field part and a protocol content part. After parsing, the network filter driver determines whether there is key information in the protocol content. In this step, the network filtering driver can use any of the following two methods to determine whether there is key information in the ten-reported message: 1) Determine whether there is a network filtering driver or smart key in the protocol packet.
  • Key information identifiers pre-scheduled by the key device and the application server, if yes, it is determined that there is key information in the protocol packet; otherwise, there is no key information in the protocol packet; for example, after parsing the protocol packet to obtain the protocol content, Determine whether there are key information tags in the content of the agreement: ⁇ AccountName> and ⁇ /AccountName> , ⁇ The existence of the word, the data read between J3 ⁇ 4'J ⁇ AccountName> and ⁇ /AccountName> is transferred to the key name of the beacon number Information; determine whether there is a key identifier in the content of the agreement: ⁇ AccountValue> and ⁇ /AccountValue>, ⁇ If the word exists, then the data read between ⁇ " ⁇ AccountValue> ⁇ /AccountValue> is transferred to the key information of the account; Determine whether there are key identifiers in the content of the agreement: ⁇ TradeMoney> and ⁇ /TradeMoney>, ⁇ There are words, the data read between M
  • the key information is considered to exist in the protocol content. If the three key information identifiers are all empty (that is, no data is written), it is considered that there is no key information in the protocol content.
  • the network filtering driver parses the protocol according to the agreed protocol, and finds the fields specified by the network filtering driver, the smart key device and the application server in the protocol, and determines whether there is data in the field, if If yes, it is determined that the key information exists in the protocol packet. Further, in this step, if there is key information, the network filtering driver may first verify the application server address written in the request header field of the protocol packet obtained by the group packet, and if it is correct, the network filtering driver is pre-stored. If the address of the application server is the same, step 107 is performed; if not, the user is prompted to apply the server error, and the process ends.
  • Step 106 The network filtering driver sends the cached plurality of IP data packets to the network card driver, and sends the information to the application server in the network through the network card.
  • the server sends the server to the online banking server, and then the client interacts with the application server.
  • the process ends:
  • the USB Key can use any of the following two methods to resolve the protocol packet to obtain key information:
  • the USB Key determines whether there is a network filter driver, a smart key device, and a key information identifier pre-scheduled by the application server in the protocol packet, and if so, reading the key information according to the key information identifier;
  • USB Key Resolution Protocol 4 find the fields specified by the network filter driver, smart key device and application server in the protocol 4 text, determine whether there is data in the field, if it exists, read the data, get the key information.
  • the USB Key can display and output the key information for confirmation by the user through the liquid crystal display, or the USB Key can also play the key information by means of voice broadcast for the user to confirm.
  • the USB Key can form the key information into a standard format and then output it.
  • the USB Key receives the confirmation information input by the user, and determines whether the user confirms that the key information is correct. If the user confirms that the key information is correct, step 4 is performed, if the user confirms that the key information is incorrect or within the agreed time. If the USB key does not receive the confirmation information from the user, the step 4 is performed.
  • the time of the appointment is the time reserved by the USB Key for the user to input the confirmation information, and the confirmation information input during the time period is valid. If the user enters the confirmation message again after this time, it will be considered invalid.
  • Step 109 The USB Key signs the received protocol packet, and sends the signature result to the USB key.
  • the network filter driver specifically, before the USB Key signs the protocol packet, the user identity may be verified first, wherein the manner of the identity of the risk certificate user may include a PIN (Personal Identification Number) code or a fingerprint.
  • PIN Personal Identification Number
  • the way of personal biometrics such as iris, static and i features, in this embodiment, the method of extracting the PIN code is as follows:
  • the USB Key prompts the user to input the PIN code by means of display output or voice broadcast.
  • the user types the PIN code by using the keyboard provided by the USB Key, and the USB Key receives and risks the PIN code correctly. If correct, the protocol 4 Sign the signature and send the signature result to the network filter driver. If it is wrong, prompt the user to enter the PIN code again or stop the operation.
  • the process of the above USB Key-risk PIN can also be replaced by the following process:
  • the USB Key sends a request for verifying the PIN code to the client software.
  • the client software prompts the user to input the PIN code and receives the PIN code input by the user and then sends the PIN code to the USB Key.
  • the PIN code is correct.
  • the protocol 4 is signed, and the result of the signature is sent to the network filtering driver. If the error occurs, the user is prompted to input the PIN again or stop the operation.
  • the USB Key can only authenticate the PIN code once at the beginning of the transaction, or verify the PIN code before each signature operation.
  • the USB Key performs the signature operation on the protocol 4
  • the entire protocol content of the protocol 4 may be signed, or part of the protocol content may be selected for signature, for example, only the key information part of the protocol content is signed.
  • the hash algorithm can be used to calculate the three key information, and the following signature results are obtained:
  • Step 110 the network filter driver receiving the signature data, generates a new packet according to the protocol and the results of the signature 4 Gen protocol packets, and then split into a plurality of IP packets sent to the The network card driver is processed by the network card driver and sent to the network through the network card hardware, and finally reaches the application server; wherein, the network filter driver generates a new protocol.
  • the text can be specifically as follows:
  • the result of the signature returned by the USB Key is inserted into the protocol content, and the combination is obtained within the new protocol. Rong, and tampering with the request header field in the protocol 4 according to the pre-agreed agreement, to obtain a new agreement.
  • the inserted signature result can be retrieved in a base64 encoding manner.
  • the signature result is specifically inserted in the word ⁇ SignatureData> ⁇ /SignatureData>:
  • the network filtering driver may also use the signature result to replace the specified part in the protocol, and modify the request header field in the protocol 4 in a pre-agreed protocol to obtain a new protocol message.
  • the specified part is preset by the network filtering driver, and may be the entire protocol content or part of the protocol content of the protocol message. For example, replace the data in the specified field ⁇ SignatureData> ⁇ /SignatureData> in the protocol content with the signature result.
  • the client software may insert a fake signature result into the field as the initial value when generating the protocol content, and when the network filtering driver generates a new protocol packet, replace the original signature result returned by the USB Key.
  • the network filtering driver splits the new protocol packet to obtain multiple IP data packets.
  • the specific process is as follows:
  • the TCP/IP protocol is preferably used, and the new protocol is used according to a certain length.
  • the essay is divided into multiple pieces of data, and a new IP protocol header is added for each piece of data.
  • the above-mentioned data divided into multiple segments are sequentially arranged and assigned a sequence number to be written into the IP protocol header, wherein the IP protocol header also includes IP.
  • Step 111 After receiving the plurality of IP data packets, the application server obtains the new protocol packet, parses and verifies the signature, and provides services for the client after the verification, and performs online transfer. End; Step 112: The USB Key performs exception processing, and the process ends.
  • the exception handling method includes: the USB Key refuses to sign the protocol packet, and notifies the network filtering driver to stop the operation and prompts the user to error; or the USB Key returns an incorrect signature result to the network filtering driver, causing the online transaction to fail. .
  • step 106 may be replaced by the following process: The network filtering driver sends the protocol 4 to the USB Key, and the USB Key signs the protocol and signs the signature. The result is returned to the network filtering driver, and the network filtering driver generates a new protocol according to the signature result and the protocol (insertion or replacement), splits into multiple IP data packets, and then sends the data to the network card driver.
  • Embodiment 2 This embodiment provides a system for improving security of a network application, including: a network filtering driver 1 and a smart key device 2.
  • the network filter driver 1 is installed in the client host, and specifically includes: an interface module 11 configured to receive multiple IP data packets sent by the client software in the client host, where the multiple IP data packets are client software.
  • the protocol packet After the protocol packet is generated according to the information input by the user, it is also used to communicate with the smart key device, and the protocol information is sent to the smart key device, and the signature result returned by the smart key device is received, and is also used for Send a new protocol 4 multiple IPs after splitting
  • the data packet is sent to the network card driver, and is sent by the network card driver to the application server;
  • the storage module 12 is configured to cache a plurality of IP data packets received by the interface module 11;
  • the packet module 13 is configured to receive the interface module 11
  • the plurality of IP data packets are grouped to obtain the foregoing protocol.
  • the parsing and determining module 14 is configured to parse the protocol 4 obtained by the group module 13 to determine whether the protocol packet exists in the protocol packet.
  • the module 11 sends the plurality of IP data packets buffered by the storage module 12 to the application server through the network card driver;
  • the message generation module 15 is configured to use the signature result received by the interface module 11 and the protocol obtained by the group package module 13 A new protocol is generated.
  • the splitting module 16 is configured to split the new protocol packet obtained by the packet generating module 15 into multiple IP data packets, and send the information through the interface module 11.
  • the network card driver in the client host; the smart key device 2 includes: an interface module 21, configured to communicate with the network filter driver 1, receive the protocol message sent by the network filter driver 1, and send the signature result to the network filter driver 1;
  • the filtering module 22 is configured to parse the protocol packet received by the interface module 21 of the smart key device to obtain the key information, and the output module 23 is configured to output the key information obtained by the filtering module 22 for confirmation by the user; And a message for receiving the user input to confirm whether the key information is correct;
  • the signing module 25 is configured to receive, when the information received by the confirmation module 24 is correct, that the user confirms that the key information is correct, to the interface module 21 of the smart key device
  • the protocol packet is signed, and the signature result is returned to the network filtering driver 1 through the interface module 21 of the smart key device.
  • the exception processing module 26 is configured to: when the information received by the confirmation module 24 is incorrect for the user to confirm that the key information is incorrect, or When the confirmation module 24 does not receive the user's confirmation information within the preset time, the exception processing is performed.
  • the storage module 12 is further configured to store an address of the application server
  • the group module 13 specifically includes: a comparison unit, configured to use the interface module 11 of the network filter driver 1 to receive the plurality of IP data packets. The address is compared with the address of the application server stored by the storage module 12; the grouping unit is configured to receive multiple of the interface module 11 according to the result of the comparison unit comparison
  • the data packet in the IP data packet whose destination address is the address of the application server is group-packed, and the protocol packet is obtained, and the destination address of the plurality of IP data packets received by the interface module 11 is not the application server.
  • the data packet of the address is sent to the network card driver through the interface module 11.
  • the protocol and the new protocol include a request header field, and the address in the request header field is written by the application server, and the storage module 12 is further configured to store the The application of the server of the server, and the parsing and determining module 14 of the network filtering driver 1 specifically includes: a determining unit, configured to parse the protocol packet obtained by the group module 13 according to the agreed protocol, and determine the protocol.
  • the first processing unit is configured to: if the determining unit determines that the key information exists in the protocol, the The request header field of the protocol packet is parsed, and it is determined whether the application server address written in the request header field is consistent with the application server address stored in the storage module 12, and if they are consistent, the interface module 11 Sending the protocol packet to the smart key device 2, if not, prompting the user to apply the server error; the second processing unit is configured to determine, if the determining unit Said key information is not present in the text protocol Gen 4, the interface module 11 via a plurality of IP data buffer memory module 12 to the application server via the packet transmission network card driver.
  • the parsing and determining module 14 specifically includes: an identifier parsing judging unit, configured to parse the protocol packet obtained by the group packet module 13 by using the agreed protocol, and determine whether the network filtering driver exists in the protocol packet.
  • the key information identifier pre-agreed by the smart key device 2 and the application server, if yes, it is determined that the key information exists in the protocol packet, and the protocol packet is sent to the smart key device 2 through the interface module 11, if If there is no key information, the interface module 11 sends the plurality of IP data packets buffered by the storage module 12 to the application server through the network card driver;
  • the field parsing judging unit is configured to parse the protocol packet obtained by the group packet module 13 according to the agreed protocol, and find the network filtering driver 1, the smart key device 2, and the pre-specified field of the application server in the protocol.
  • determining whether the data exists in the field if yes, determining that the key information exists in the protocol packet, and sending the protocol packet to the smart key device 2 through the interface module 11, if not, determining the The key information does not exist in the protocol packet, and the plurality of IP data packets buffered by the storage module 12 are sent to the application server through the network card driver through the interface module 11.
  • the filtering module 22 specifically includes: an identifier filtering unit, configured to determine whether the network filtering driver, the smart key device 2, and the key information identifier pre-agreed by the application server exist in the protocol packet received by the interface module 21 The key information is found according to the key information identifier; or the field filtering unit is configured to find the network filtering driver 1 in the protocol packet received by the interface module 21 of the smart key device 2 The key device 2 and the pre-specified field of the application server determine whether there is data in the field, and if so, read the data to obtain the key information.
  • the output module 23 is a liquid crystal display or an audio device.
  • the exception processing module 26 specifically includes: a first exception processing unit, configured to: when the information received by the confirmation module 24 is that the user confirms that the key information is incorrect, or the confirmation module 24 does not receive the preset time
  • the interface module 21 notifies the network filter driver 1 to stop the operation, and prompts the user to fail the operation
  • the second exception processing unit is configured to: when the information received by the confirmation module 24 is that the user confirms that the key information is incorrect.
  • the interface module 21 returns an incorrect signature result to the network filtering driver 1.
  • the interface module 11 of the network filter driver 1 is further configured to: when the parsing judging module 14 determines that there is no key information in the protocol packet, the plurality of IP addresses buffered by the storage module 12 The packet is sent to the network card driver, and is sent by the network card driver to the application server.
  • the signature module 25 of the smart key device 2 specifically includes: a signature unit, configured to: when the information received by the confirmation module 24 is correct for the user to confirm the key information, the identity of the user according to the personal identification number or the personal biometric If the authentication is successful, the protocol packet received by the interface module 21 is signed, and the signature result is returned to the network filtering driver 1 through the interface module 21; if not, the protocol packet is rejected.
  • the data generating module 15 of the network filtering driver 1 specifically includes: a first generating unit, configured to insert a signature result received by the interface module 11 of the network filtering driver 1 into the protocol, and The request header field in the protocol 4 is modified according to a pre-agreed protocol to obtain a new protocol message; or the second generating unit is configured to use the signature received by the interface module 11 of the network filter driver 1 As a result, the specified part of the protocol packet is replaced, and the request header field in the protocol packet is modified according to a pre-agreed protocol to obtain a new protocol packet.
  • the technical solution provided by the embodiment of the present invention determines whether there is key information in the protocol according to the network filtering driver of the client.
  • the smart key device signs the protocol packet and returns the signature result to the network filtering driver.
  • the network filtering driver The signature result generates a new protocol.
  • the message is sent to the network card driver, and is sent to the application server through the network card.
  • the security of the network application is improved without changing the original client, and can be applied to various clients. Software, with good compatibility and ease of use.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种提高网络应用安全性的方法和系统，属于信息安全领 域。该方法包括：客户端软件生成协议报文，拆分为多个IP数据包发送，网络过滤驱动收到并缓存及组包得到协议报文，判断其中是否有关键信息；若有则发送协议报文给智能密钥设备，智能密钥设备解析后输出关键信息给用户，用户确认正确时，对协议报文签名返回签名结果，网络过滤驱动根据签名结果和协议报文生成新的协议报文，再拆分为多个IP数据包后通过网卡驱动发给应用服务器；用户确认错误或超时未确认时，智能密钥设备做异常处理。该系统包括：智能密钥设备和客户端主机内的网络过滤驱动。本发明在不改动客户端的前提下提高了网络应用的安全性，具有良好的兼容性、易用性。

Description

提高网各应用安全性的方法和系统 技术领域 本发明涉及信息安全领域，特别涉及一种提高网络应用安全性的方法和 系统。 背景技术 随着网络蓬勃的发展， 人们越来越依赖网络进行各种活动， 网上银行、 网上购物等都已经深入人们的生活当中， 但是黑客攻击窃取用户密码进行非 法交易等事件也发生得越来越多， 造成了许多的损失， 人们在享受网络的方 便快捷的同时也越来越担忧网络安全问题， 这时， 身份识别技术就显得尤为 重要了。 目前， 身份识别技术得到了广泛的发展并已经应用在各个领域， 主 要是网上银行、政府网站、 BS ( Browser/Server, 浏览器 /服务器）架构的 ERP ( Enterprise Resource Planning , 企业资源管理） 系统以及对保密性要求比较 高的各个领域。 目前， 已经出现了多种针对网络安全的保护方法， 数字签名就是其中一 种， 在客户端中下载并安装数字证书， 也有安全性更高的使用 USB Key ( Universal Serial BUS Key, 通用串行总线接口硬件设备） 等智能密钥设备 对网络传输的数据进行签名等操作 ,但是 USB Key内签名的数据仍然是由客 户端主机发送过去的， 仍然存在安全风险。 而且， 现有的安全手段大多操作过于繁瑣， 为了完成签名的操作需要安 装各种插件、 与智能密钥设备相应的软件程序， 并且现有的程序插件大多是 针对 IE内核进行开发， 对一些如 Firefox等浏览器并不支持， 导致部分用户 不能正常的进行网上安全的通讯。 综上所述， 现有网络安全手段存在的缺点就是操作繁瑣， 兼容性、 易用 性差， 安全程度不够高。 发明内容 基于现有技术的不足，本发明提供了一种提高网络应用安全性的方法和 系统。 所述技术方案如下： 一种提高网络应用安全性的方法， 所述方法包括: 客户端主机内的客户端软件根据用户输入的信息生成协议报文，并拆分 为多个 IP数据包发送； 所述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据包， 进 行组包操作得到所述协议报文； 所述网络过滤驱动 -据约定的协议解析所述协议 4艮文，判断所述协议 4艮 文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器预先约定的关 键信息； 如果所述协议 4艮文中存在所述关键信息 ,则所述网络过滤驱动将所述协 议报文发送给所述智能密钥设备， 所述智能密钥设备解析所述协议报文得到 所述关键信息， 输出该关键信息供用户确认； 如果接收到用户确认关键信息正确的信号，则所述智能密钥设备对所述 协议 4艮文进行签名， 返回签名结果给所述网络过滤驱动， 所述网络过滤驱动 根据所述签名结果和协议报文生成新的协议报文， 将该新的协议报文拆分为 多个 IP数据包， 通过网卡驱动发送给所述应用月艮务器； 如果接收到用户确认关键信息不正确的信号或在预设的时间内没有接 收到用户进行确认的信号， 则所述智能密钥设备进行异常处理； 如果所述协议报文中不存在所述关键信息，则所述网络过滤驱动将緩存 的所述多个 IP数据包通过所述网卡驱动发送给所述应用月艮务器。 所述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据包， 进 行组包操作得到所述协议报文， 具体包括： 所述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据包； 将所述多个 IP数据包中的目的地址与预先存储的所述应用月艮务器的地 址进行比对； 将所述多个 IP数据包中目的地址均为所述应用月艮务器的地址的数据包 进行组包操作， 得到所述协议 4艮文， 将所述多个 IP数据包中目的地址不为所 述应用服务器的地址的数据包发送给所述网卡驱动。 所述网络过滤驱动 -据约定的协议解析所述协议 4艮文，判断所述协议 4艮 文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器预先约定的关 键信息， 具体包括： 所述网络过滤驱动 -据约定的协议解析所述协议 4艮文，判断所述协议 4艮 文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器预先约定的关 键信息标识符， 如果存在， 则判断出所述协议 4艮文中存在所述关键信息； 或， 所述网络过滤驱动根据约定的协议解析所述协议报文，在所述协议报文 中找到所述网络过滤驱动、 智能密钥设备和应用服务器指定的字段， 判断该 字段中是否存在数据， 如果存在， 则判断出所述协议报文中存在所述关键信 息。 所述协议 4艮文和新的协议 4艮文均包含有请求头域，所述请求头域中写有 所述应用月艮务器的地址。 所述网络过滤驱动将所述协议报文发送给所述智能密钥设备， 具体包 括： 所述网络过滤驱动对所述协议 4艮文的请求头域进行解析，判断所述请求 头域中写入的应用月艮务器地址是否与所述网络过滤驱动存储的应用月艮务器地 址一致； 如果一致，则执行所述网络过滤驱动将所述协议报文发送给所述智能密 钥设备的步 4聚； 如果不一致，则所述网络过滤驱动提示用户应用月艮务器错误，流程结束。 所述智能密钥设备解析所述协议报文得到所述关键信息， 具体包括： 所述智能密钥设备解析所述协议 4艮文 ,判断所述协议 4艮文中是否存在所 述网络过滤驱动、 智能密钥设备和应用服务器预先约定的关键信息标识符， 如果存在， 则根据所述关键信息标识符找到所述关键信息； 或， 所述智能密钥设备解析所述协议 4艮文，在所述协议 4艮文中找到所述网络 过滤驱动、 智能密钥设备和应用服务器指定的字段， 判断该字段中是否存在 数据， 如果存在， 则读出所述数据， 得到所述关键信息。 所述输出该关键信息供用户确认， 具体包括： 所述智能密钥设备通过液晶显示器显示输出所述关键信息供用户确认 , 或者通过语音播报的方式播放所述关键信息供用户确认。 所述智能密钥设备进行异常处理， 具体包括： 所述智能密钥设备通知所述网络过滤驱动停止操作，向用户提示操作失 败； 或者， 所述智能密钥设备向所述网络过滤驱动返回一个错误的签名结果。 所述智能密钥设备对所述协议报文进行签名， 具体包括： 所述智能密钥设备 居个人识别码或个人生物特征对用户的身份进行 ^-, 所述个人生物特征包括指紋、 虹膜或静^ ^识别； 如果合法， 则对所述协议 ^艮文进行签名； 如果不合法， 则拒绝对所述协议 4艮文进行签名， 流程结束。 所述网络过滤驱动 -据所述签名结果和协议 4艮文生成新的协议 4艮文，具 体包括： 所述网络过滤驱动将接收到的签名结果插入到所述协议报文中，并根据 预先约定的协议对所述协议 4艮文中的请求头域进行 4爹改，得到新的协议 4艮文； 或者， 所述网络过滤驱动使用接收到的签名结果对所述协议报文中的指定部 分进行替换，并 居预先约定的协议对所述协议 4艮文中的请求头域进行爹改， 得到新的协议报文。 所述约定的协议包括超文本传输协议 http和 /或安全的超文本传输协议 一种提高网络应用安全性的系统， 所述系统包括： 智能密钥设备和客户 端主机内的网络过滤驱动； 所述网络过滤驱动包括： 第一接口模块， 用于接收客户端主机内的客户端软件发来的多个 IP数 据包，所述多个 IP数据包为所述客户端软件根据用户输入的信息生成协议报 文后拆分得到的， 并与所述智能密钥设备通讯， 向所述智能密钥设备发送所 述协议艮文， 接收所述智能密钥设备返回的签名结果， 还用于发送新的协议 报文拆分后的多个 IP数据包给网卡驱动，由所述网卡驱动发送给所述应用服 务器； 存储模块， 用于緩存所述第一接口模块收到的所述多个 IP数据包； 组包模块， 用于对所述第一接口模块收到的所述多个 IP数据包进行组 包操作， 得到所述协议报文； 解析判断模块，用于根据约定的协议对所述组包模块得到的所述协议报 文进行解析， 判断所述协议 4艮文中是否存在所述网络过滤驱动、 智能密钥设 备和应用服务器预先约定的关键信息， 如果存在所述关键信息， 通过所述第 一接口模块发送所述协议报文给所述智能密钥设备， 如果不存在所述关键信 息 ,通过所述第一接口模块将所述存储模块緩存的所述多个 IP数据包通过所 述网卡驱动发送给所述应用月艮务器； 报文生成模块 ,用于根据所述第一接口模块收到的签名结果和所述组包 模块得到的所述协议 4艮文， 生成新的协议 4艮文； 拆分模块，用于将所述报文生成模块得到的所述新的协议报文拆分为多 个 IP数据包， 通过所述第一接口模块发送给所述客户端主机内的网卡驱动； 所述智能密钥设备包括： 第二接口模块， 用于与所述网络过滤驱动通讯， 接收所述网络过滤驱动 发送的协议 4艮文， 向所述网络过滤驱动发送签名结果； 过滤模块， 用于解析所述智能密钥设备的第二接口模块收到的协议报 文， 得到所述关键信息； 输出模块， 用于输出所述过滤模块得到的关键信息供用户确认； 确认模块， 用于接收用户输入的确认所述关键信息是否正确的信息； 签名模块， 用于当所述确认模块收到的信息为用户确认关键信息正确 时， 对所述智能密钥设备的第二接口模块收到的协议报文进行签名， 并通过 所述智能密钥设备的第二接口模块返回签名结果给所述网络过滤驱动； 异常处理模块，用于当所述确认模块收到的信息为用户确认关键信息不 正确时， 或者所述确认模块在预设的时间内未收到用户的确认信息时， 进行 异常处理。 所述存储模块还用于存储所述应用月艮务器的地址，所述组包模块具体包 括： 比对单元，用于将所述网络过滤驱动的第一接口模块收到的所述多个 IP 数据包中的目的地址与所述存储模块存储的所述应用月艮务器的地址进行比 对； 组包单元， 用于根据所述比对单元比对的结果， 将所述多个 IP数据包 中目的地址均为所述应用服务器的地址的数据包进行组包操作， 得到所述协 议 4艮文，将所述多个 IP数据包中目的地址不为所述应用月艮务器的地址的数据 包通过所述网络过滤驱动的第一接口模块发送给所述网卡驱动。 所述协议 4艮文和新的协议 4艮文均包含有请求头域，所述请求头域中写有 所述应用月艮务器的地址， 所述存储模块还用于存储所述应用月艮务器的地址， 所述解析判断模块具体包括： 判断单元，用于根据约定的协议对所述组包模块得到的所述协议报文进 行解析， 判断所述协议报文中是否存在所述网络过滤驱动、 智能密钥设备和 应用服务器预先约定的关键信息； 第一处理单元，用于如果所述判断单元判断出所述协议 4艮文中存在所述 关键信息， 则对所述协议 4艮文的请求头域进行解析， 判断所述请求头域中写 入的应用月艮务器地址是否与所述存储模块存储的应用月艮务器地址一致， 如果 一致， 则通过所述第一接口模块将所述协议报文发送给所述智能密钥设备， 如果不一致， 则提示用户应用服务器错误； 第二处理单元，用于如果所述判断单元判断出所述协议 4艮文中不存在所 述关键信息，则通过所述第一接口模块将所述存储模块緩存的所述多个 IP数 据包通过所述网卡驱动发送给所述应用月艮务器。 所述解析判断模块具体包括： 标识符解析判断单元 ,用于才艮据约定的协议对所述组包模块得到的所述 协议报文进行解析， 判断所述协议报文中是否存在所述网络过滤驱动、 智能 密钥设备和应用服务器预先约定的关键信息标识符， 如果存在， 则判断出所 述协议报文中存在所述关键信息， 通过所述网络过滤驱动的第一接口模块发 送所述协议报文给所述智能密钥设备， 如果不存在所述关键信息， 通过所述 第一接口模块将所述存储模块緩存的所述多个 IP 数据包通过所述网卡驱动 发送给所述应用服务器； 或者， 字段解析判断单元，用于根据约定的协议对所述组包模块得到的所述协 议报文进行解析， 在所述协议报文中找到所述网络过滤驱动、 智能密钥设备 和应用服务器预先指定的字段， 判断该字段中是否存在数据， 如果存在， 则 判断出所述协议报文中存在所述关键信息， 通过所述网络过滤驱动的第一接 口模块发送所述协议 4艮文给所述智能密钥设备， 如果不存在， 则判断出所述 协议报文中不存在所述关键信息， 通过所述第一接口模块将所述存储模块緩 存的所述多个 IP数据包通过所述网卡驱动发送给所述应用月艮务器。 所述过滤模块具体包括： 标识符过滤单元，用于判断所述智能密钥设备的第二接口模块收到的协 议报文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器预先约定 的关键信息标识符， 如果存在， 则根据所述关键信息标识符找到所述关键信 息； 或者， 字段过滤单元，用于在所述智能密钥设备的第二接口模块收到的协议报 文中找到所述网络过滤驱动、 智能密钥设备和应用服务器预先指定的字段， 判断该字段中是否存在数据， 如果存在， 则读出所述数据， 得到所述关键信 息。 所述输出模块为液晶显示器或音频装置。 所述异常处理模块具体包括： 第一异常处理单元，用于当所述确认模块收到的信息为用户确认关键信 息不正确时， 或者所述确认模块在预设的时间内未收到用户的确认信息时， 通过所述智能密钥设备的第二接口模块通知所述网络过滤驱动停止操作， 向 用户提示操作失败； 或者， 第二异常处理单元，用于当所述确认模块收到的信息为用户确认关键信 息不正确时， 或者所述确认模块在预设的时间内未收到用户的确认信息时， 通过所述智能密钥设备的第二接口模块向所述网络过滤驱动返回一个错误的 签名结果。 所述智能密钥设备的签名模块具体包括： 签名单元， 用于当所述确认模块收到的信息为用户确认关键信息正确 时， 居个人识别或个人生物特征对用户的身份进行-险证， 如果合法， 则对 所述智能密钥设备的第二接口模块收到的协议报文进行签名， 并通过所述智 能密钥设备的第二接口模块返回签名结果给所述网络过滤驱动；如果不合法， 则拒绝对所述协议 4艮文进行签名。 所述网络过滤驱动的 4艮文生成模块具体包括： 第一生成单元，用于将所述网络过滤驱动的第一接口模块接收到的签名 结果插入到所述协议 4艮文中， 并才艮据预先约定的协议对所述协议 4艮文中的请 求头域进行 4爹改， 得到新的协议艮文； 或者， 第二生成单元，用于使用所述网络过滤驱动的第一接口模块接收到的签 名结果对所述协议报文中的指定部分进行替换， 并根据预先约定的协议对所 述协议报文中的请求头域进行修改， 得到新的协议报文。 本发明实施例提供的技术方案通过客户端的网络过滤驱动判断协议报 文中是否存在关键信息， 如果存在， 由智能密钥设备对协议报文进行签名后 返回签名结果给网络过滤驱动， 网络过滤驱动 居签名结果生成新的协议 4艮 文发给网卡驱动程序， 通过网卡发送给应用月艮务器， 在不改动原有客户端的 前提下提高了网络应用的安全性， 可以适用于各种客户端软件， 具有良好的 兼容性、 易用性。 附图说明 图 1是本发明实施例 1提供的提高网络应用安全性的方法流程图； 图 2是本发明实施例 2提供的提高网络应用安全性的系统结构图。 具体实施方式 为使本发明的目的、技术方案和优点更加清楚， 下面将结合附图对本发 明实施方式作进一步地详细描述。 本发明实施例提供了一种提高网络应用安全性的方法， 包括： 客户端主机内的客户端软件根据用户输入的信息生成协议报文，并拆分 为多个 IP数据包发送； 客户端主机内的网络过滤驱动接收并緩存该多个 IP 数据包， 进行组包操作得到该协议报文； 网络过滤驱动根据约定的协议解析 该协议报文， 判断该协议报文中是否存在网络过滤驱动、 智能密钥设备和应 用服务器预先约定的关键信息； 如果该协议报文中存在所述关键信息， 则网 络过滤驱动将该协议报文发送给智能密钥设备， 智能密钥设备解析该协议报 文得到所述关键信息， 输出该关键信息供用户确认； 如果接收到用户确认该 关键信息正确的信号， 则智能密钥设备对该协议报文进行签名， 返回签名结 果给网络过滤驱动， 网络过滤驱动 居签名结果和协议 4艮文生成新的协议 4艮 文， 将该新的协议报文拆分为多个 IP数据包， 通过网卡驱动发送给应用服务 器； 如果接收到用户确认所述关键信息不正确的信号或在预设的时间内没有 接收到用户进行确认的信号， 则智能密钥设备进行异常处理； 如果所述协议 报文中不存在所述关键信息，则网络过滤驱动将緩存的所述多个 IP数据包通 过网卡驱动发送给应用月艮务器。 本发明实施例中的应用服务器是指客户端请求服务的目的站点服务器， 有多种类型， 包括但不限于： 电子商务系统服务器、 网上银行系统服务器等 等。 网络过滤驱动是指安装于客户端主机内的功能模块， 该功能模块可以对 计算机上层应用向网卡发送的数据包进行接收、緩存和处理,其中上述网卡可 以为普通 PC机网卡、 无线网卡等。 实施例 1 参见图 1 ,本实施例提供了一种提高网络应用安全性的方法，具体包括： 步 4聚 101 : 用户在客户端登录应用月艮务器， 在本实施例中， 以登录网上 银行为例进行说明， 用户输入登录相关信息； 在本步骤中， 用户可以通过系统自带的 IE或其他的浏览器等客户端软 件程序访问网上银行， 不需要安装其他插件或对客户端软件做更改。 步骤 102: 客户端软件接收到用户输入的信息后， 根据该信息生成协议 报文； 进一步地， 客户端、 智能密钥设备和应用服务器还可以预先约定协议报 文中的关键信息， 作为用户确认的基础， 当协议 4艮文中包含关键信息时， 需 要用户对该关键信息进行确认， 如将网上银行交易的一些重要信息作为关键 信息给用户进行确认， 用户确认后才可以进行网上银行交易。 为了便于以后判断提取关键信息，还可以在协议报文中添加关键信息的 标识符， 对用户输入的关键信息进行标识， 该关键信息的标识符可以为智能 密钥设备、 应用服务器和代理服务器预先约定。 在本实施例中， 以用户在网 上 4艮行进行转账为例， 具体说明客户端生成的协议 4艮文， 包括协议内容和请 求头域， 下面列出 XML格式的协议内容：
<?xml version:" 1.0" encoding="gb2312"?> <！—业务数据—! >
<TradeInfo>
<AccountInfo name="To"><！—碑舍入帳号―！ > <AccountName>张三 </AccountName><!—转入贝长户姓名―!〉
<AccountValue>4367420037465985234</AccountValue><!~转入帳号
<!—转入行信息—! > <BankInfo>
<BankName> ib京分行 </BankName>< !—转入分行一!〉
</BankInfo>
</AccountInfo>
<AccountInfo name="From">
<AccountName>李四 </AccountName><!—转出贝长户姓名一！ >
<AccountValue>4367420074923372387</AccountValue><!--转 出 帳号
<!--转出行信息—! >
<BankInfo>
<BankName>J 海分行 </BankName><!—转出分行—！〉
</BankInfo>
</AccountInfo>
<TradeData>
<TradeMoney> 134.22</TradeMoney> <！—转贝长金额— >
<TradeType> 1 </TradeType> <！—交易类型—〉
<MoneyType>2</MoneyType> <！—货币类型— >
<TradeTime>20090206152645</TradeTime><!~交易时间 -->
<OtherData></OtherData> <！—其它数据— >
</TradeData>
<SignatureData>
</SignatureData> </TradeInfo> 其中， 预先约定在转账操作中用户输入的三种信息： 转入账户姓名、 转 入露户和转露金额， 即张三、 4367420037465985234和 134.22为关键信息， 并使用如下关键信息标识符： <AccountName>张三 </AccountName> 〈！—转入露户姓 名—！〉
<AccountValue>4367420037465985234</AccountValue> 〈！—转入帳号
-! >
<TradeMoney> 134.22</TradeMoney> <，，-转露金额 -- > 其中 ， <AccountName>和 </AccountName>标 转入贝长户姓名 ， <AccountValue>和 </AccountValue>标识转入露号 ， <TradeMoney>和 </TradeMoney>标识转账金额， 网络过滤驱动和 4艮行应用月艮务器可以通过上 述关键信息标识符， 判断出协议报文中是否存在关键信息， 并且可以确定出 关键信息的位置。 上例中， 因十办议内容中没有签名值， <SignatureData></SignatureData> 字段为空。 上述协议 4艮文中还有客户端软件按照预先约定的协议添加的请求头域。 本实施例中， 预先预定的十办议可以为 http十办议 ( Hypertext Transfer Protocol, 超文本传输协议 ) 和 /或 https协议 ( Hypertext Transfer Protocol over Secure Socket Layer, 安全的超文本传输协议）， 且不局限于这两种。 每种协议对应 的请求头域都有多种， 例如， http 协议对应的请求头域包括但不限于： OPTIONS , GET, HEAD, POST, PUT, DELETE和 TRACE等等。 优选地， 可以使用 POST请求头 i或， 具体如下： POST /transfer, cgi HTTP/ 1.1 V\n
Host: 219.168.0.1\r\n
Content-Length: 512\r\n\r\n
POST=M 其中， Μ为上述 XML格式的协议内容， 请求头域使用的是 httpl. l协 议， /transfer.cgi为银行服务器端处理网上银行交易的程序， 219.168.0.1为所 要访问的银行服务器地址， 报文长度 512。 步骤 103 : 客户端软件将协议 4艮文拆分为多个 IP数据包， 然后发送； 具体地， 客户端软件可以调用系统的接口， 将上层的协议报文根据下层
TCP/IP协议拆分为固定长度的 IP数据包发送给网卡驱动程序， 再通过硬件 转换发送到网络中。 在本实施例中， 由于操作系统和网卡驱动程序之间存在 网络过滤驱动， 因此操作系统会将上述多个 IP 数据包先发送给网络过滤驱 动， 由网络过滤驱动再将该多个 IP数据包转发给网卡驱动。 其中每个数据包 都包括发送的目的地址、 源地址、 IP数据包的序列号、 协议报文的一部分、 该协议报文的长度。 步骤 104: 网络过滤驱动接收该多个 IP数据包并进行緩存， 对接收到 的多个 IP数据包进行排序， 然后进行组包操作， 得到上述协议报文； 在本实施例中， 网络过滤驱动进行组包操作的具体过程如下： 网络过滤驱动每次处理一个 IP数据包。 对每一个 IP数据包， 解析出数 据包中的目的地址。 如果目的地址不是所述预先存储的应用月艮务器的地址， 则网络过滤驱动不做任何额外处理， 直接将该 IP数据包发给网卡驱动。 如果 目的地址是所述预先存储的应用 艮务器的地址， 则緩存该 IP数据包， 并不将 其发送给网卡驱动， 直到得到上述协议 4艮文被拆分后得到的所有 IP数据包。 IP 数据包中写有整个协议 4艮文的长度， 网卡过滤驱动才艮据上述长度判断 IP 数据包的个数， 一旦该协议报文被拆分后得到的所有 IP 数据包均接收到之 后， 将每个 IP数据包中所包含的协议报文部分取出， 按 IP数据包的序列号 顺序 4 列， 得到上述协议 4艮文。 其中， 网络过滤驱动可以预先存储有多个应用服务器的地址， 并可根据 需要修改该配置， 为了进一步提高安全性， 还可以加密存储多个应用服务器 的地址。 步骤 105 : 网络过滤驱动对组包得到的协议 4艮文进行解析， 判断协议 4艮 文中是否存在网络过滤驱动、 智能密钥设备和应用服务器预先约定的关键信 息， 如果不存在， 则执行步 4聚 106, 如果存在， 则执行步 4聚 107; 其中，解析是指 居当前应用的协议将协议 4艮文拆分为请求头域部分和 协议内容部分。 解析之后网络过滤驱动判断协议内容中是否存在关键信息。 在本步 4聚中，网络过滤驱动可以釆用以下两种方式中的任一种来判断十办 议报文中是否存在关键信息： 1 ) 判断协议报文中是否存在网络过滤驱动、 智能密钥设备和应用服务 器预先预定的关键信息标识符， 如果存在， 则判断出该协议报文中存在关键 信息， 否则， 协议报文中不存在关键信息； 例如， 解析协议报文得到协议内容后， 判断协议内容中是否存在关键信 息标 符 ： <AccountName>和 </AccountName> , ^口果存在 ， J¾'J <AccountName>和</AccountName>之间的数据读出得到转入贝长号姓名关键 信息； 判断该协议内容中是否存在关键标识符： <AccountValue>和 </AccountValue>, ^口果存在， 则^ "<AccountValue> </AccountValue>之间的 数据读出得到转入账号关键信息； 判断该协议内容中是否存在关键标识符： <TradeMoney>和 </TradeMoney> , ^口果存在 ， M <TradeMoney>和 </TradeMoney>之间的数据读出得到转账金额关键信息。 如果网络过滤驱动、 智能密钥设备和应用服务器预先约定的上述三种关键信息标识符中有一个不 为空（即中间写有数据）， 则认为协议内容中存在关键信息， 如果该三种关键 信息标识符均为空 （即都未写有数据）， 则认为协议内容中不存在关键信息。
2 ) 网络过滤驱动才艮据约定的协议解析所述协议 4艮文， 在该协议 4艮文中 找到网络过滤驱动、 智能密钥设备和应用服务器指定的字段， 判断该字段中 是否存在数据， 如果存在， 则判断出所述协议报文中存在所述关键信息。 进一步地， 本步骤中， 如果存在关键信息， 网络过滤驱动还可以先对组 包得到的协议报文的请求头域中写入的应用服务器地址进行验证，如果正确， 即与网络过滤驱动预先存储的应用服务器的地址一致， 则执行步骤 107; 如 果不正确， 则向用户提示应用月艮务器错误， 流程结束。 步骤 106: 网络过滤驱动将緩存的多个 IP数据包发送给网卡驱动程序， 通过网卡发送到网络中的应用服务器， 在本实施例中发送给网上银行的服务 器， 然后客户端与应用服务器进行交互， 流程结束； 步骤 107: 网络过滤驱动将组包得到的协议报文发送给 USB Key, USB Key收到该协议报文后进行解析， 得到上述关键信息， 并且输出该关键信息 供用户进行确认； 在本步骤中， USB Key 可以釆用以下两种方式中的任一种来解析协议 报文得到关键信息：
1 ) USB Key判断协议报文中是否存在网络过滤驱动、 智能密钥设备和 应用服务器预先预定的关键信息标识符， 如果存在， 则根据该关键信息标识 符读出关键信息；
2 ) USB Key解析协议 4艮文， 在协议 4艮文中找到网络过滤驱动、 智能密 钥设备和应用服务器指定的字段， 判断该字段中是否存在数据， 如果存在， 则读出该数据， 得到关键信息。 具体地， USB Key可以通过液晶显示器显示输出该关键信息供用户进 行确认，或者 USB Key也可以通过语音播报的方式播放该关键信息供用户进 行确认。 其中， USB Key可以将得到的关键信息组成标准格式后再输出， 例 ^口： USB Key得 i l转入贝长号 4367420037465985234、 转入贝长号姓名张三和转 账金额 134.22后， 在显示器上输出以下关键信息供用户进行确认： 帳号： 4367420037465985234 户名： 张三 金额： 134.22 另外， USB Key也可以将该关键信息传给客户端主机， 由客户端主机 提示用户对该关键信息进行确认。 步骤 108: USB Key接收用户输入的确认信息， 判断是否用户确认该关 键信息正确， 如果用户确认该关键信息正确， 则执行步 4聚 109, 如果用户确 认该关键信息不正确或在约定的时间内 USB Key没有接到用户的确认信息， 则执行步 4聚 112; 其中，所述约定的时间为 USB Key为用户输入确认信息所预留的时间， 在该时间段内输入的确认信息有效， 如果超过该时间用户再输入确认信息， 则视为无效。 步骤 109: USB Key对收到的协议报文进行签名， 并将签名结果发送给 网络过滤驱动; 具体地， USB Key对协议报文进行签名前， 还可以先验证用户的身份， 其中， -险证用户的身份的方式可以包括 PIN ( Personal Identification Number, 个人识别码） 码或指紋、 虹膜、 静^ i特征等个人生物特征的方式， 在本实施 例中釆取 -险证 PIN码的方式， 具体如下：
USB Key用显示输出或语音播报的方式提示用户输入 PIN码， 用户利 用 USB Key自带的键盘键入 PIN码， USB Key接收并-险证该 PIN码是否正 确， 如果正确， 则对协议 4艮文进行签名， 并将签名结果发送给网络过滤驱动， 如果错误， 则提示用户再次输入 PIN码或停止操作。 另夕卜， 上述 USB Key -险证 PIN码的过程还可以由以下过程替换：
USB Key向客户端软件发送验证 PIN码的请求， 客户端软件提示用户 输入 PIN码并接收用户输入的 PIN码然后发送给 USB Key, USB Key收到 后-险证该 PIN码是否正确， 如果正确， 则对协议 4艮文进行签名， 并将签名结 果发送给网络过滤驱动，如果错误，则提示用户再次输入 PIN码或停止操作。 本发明实施例中， USB Key可以在一次网 4艮交易初始时只-险证一次 PIN 码， 也可以在每次签名操作前验证 PIN码。 另外， USB Key对协议 4艮文进行签名操作时， 可以对协议 4艮文的全部 协议内容进行签名， 也可以选择部分协议内容进行签名， 如约定仅对协议内 容中的关键信息部分进行签名， 即上例中对帳号： 4367420037465985234 , 户名： 张三和金额： 134.22这三个关键信息进行签名， 优选地， 可以使用哈 希算法， 对该三个关键信息进行计算， 得到以下签名结果：
"MualIO9msIOElIuIiH22Z8N57PzagkURnlxUgknTTXi88t+9ulTzg01tcY ZWdG+D3LOgDXfejPtjx01HSt293usQhRTt5SW8qte241Uvw0eMC0YHzH3Iwu 0Jb5KErXrsg0OMWFZMnhbjF33pGloQWMC23pe6Z98XCcnKR3nqBdY="„ 步骤 110: 网络过滤驱动接收到该签名结果， 根据该签名结果和协议报 文生成新的协议 4艮文， 然后拆分成多个 IP数据包发送给网卡驱动程序， 网卡 驱动程序处理后通过网卡硬件发送到网络中， 最后到达应用月艮务器； 其中， 网络过滤驱动生成新的协议 4艮文可以具体如下： 在组包得到的协 议 4艮文的协议内容中插入 USB Key返回的签名结果， 组合得到新的协议内 容， 并且才艮据预先约定的协议对协议 4艮文中的请求头域进行爹改， 得到新的 协议 4艮文。 插入的签名结果可以釆取 base64编码的方式， 在本实施例中， 具 体为在字 <SignatureData></SignatureData>中插入签名结果：
<SignatureData>
MualIO9msIOElIuIiH22Z8N57PzagkURnlxUgknTTXi88t+9ulTzg01tcYZW dG+D3LOgDXfejPtjx01HSt293usQhRTt5SW8qte241Uvw0eMC0YHzH3Iwu0Jb 5KErXrsg0OMWFZMnhbjF33pGloQWMC23pe6Z98XCcnKR3nqBdY=
</SignatureData> 由于插入操作后协议报文的长度发生变化，因此对协议报文中的请求头 域进行如下爹改：
POST /transfer, cgi HTTP/1. l\r\n
Host: www. domain. com\r\n
Content-Length: 528\r\n\r\n
POST=N 其中， N为插入签名结果后的协议内容。 除上述插入签名结果的方式外，网络过滤驱动还可以使用签名结果替换 协议 4艮文中的指定部分， 并 居预先约定的协议对协议 4艮文中的请求头域进 行修改， 得到新的协议报文。 该指定部分由网络过滤驱动预先设置， 可以为 协议报文的全部协议内容或部分协议内容。 例如， 将协议内容中的指定字段 <SignatureData></SignatureData>中的数据替换为签名结果。 其中， 客户端软 件在生成协议内容时，可以在该字段中插入一段假的签名结果，作为初始值， 当网络过滤驱动生成新的协议报文时，使用上述 USB Key返回的签名结果替 换原有的假的签名结果， 并相应地修改请求头域， 得到新的协议报文。 在本步骤中， 网络过滤驱动将新的协议报文进行拆分得到多个 IP数据 包的具体过程如下： 在本实施例中， 优选地使用 TCP/IP 协议， 按一定长度 将新的协议 4艮文分为多段数据， 并为每一段数据添加新的 IP协议包头， 将上 述被分成多段的数据按顺序排列并分配一个序号写入到 IP 协议包头中， 其 中， IP协议头中还包括 IP版本、 IP协议包长度、 该 IP数据包的总长度、 目 的地址、 源地址等， 完成拆包操作后， 将上述拆分得到的 IP数据包发送给网 卡驱动。 步骤 111 : 应用月艮务器收到该多个 IP数据包后， 组包得到上述新的协议 报文， 进行解析并验证其中的签名， 验证通过后为客户端提供服务， 进行网 上转账， 流程结束； 步骤 112: USB Key进行异常处理， 流程结束。 其中， 异常处理的方式包括： USB Key拒绝对协议报文进行签名， 并 通知网络过滤驱动停止操作及向用户提示错误； 或者， USB Key返回一个错 误的签名结果给网络过滤驱动， 导致网上交易失败。 在本实施例中， USB Key还可以在得到关键信息后， 不输出该关键信 息给用户进行确认， 而是， 直接对协议报文进行签名， 然后返回签名结果给 代理服务器， 代理服务器根据该签名结果和协议内容生成新的协议报文， 发 送该新的协议报文给应用服务器。 在本实施例中， 如果需要更高的安全性， 步骤 106还可以替换为以下过 程： 网络过滤驱动将协议 4艮文发送给 USB Key, USB Key对该协议 4艮文进 行签名， 并将签名结果返回给网络过滤驱动， 网络过滤驱动根据该签名结果 和协议 4艮文（插入或替换方式）， 生成新的协议 4艮文， 拆分成多个 IP数据包， 然后发送给网卡驱动程序， 通过网卡发送到应用月艮务器， 应用月艮务器收到后 组包得到该新的协议报文， 解析验证其中的签名， 验证通过后为客户端提供 服务。 实施例 2 本实施例提供了一种提高网络应用安全性的系统， 包括： 网络过滤驱动 1 和智能密钥设备 2。 其中， 网络过滤驱动 1安装于客户端主机内， 具体包 括： 接口模块 11 , 用于接收客户端主机内的客户端软件发来的多个 IP数据 包，该多个 IP数据包为客户端软件根据用户输入的信息生成协议报文后拆分 得到的， 还用于与智能密钥设备通讯， 向智能密钥设备发送该协议 4艮文， 接 收智能密钥设备返回的签名结果， 还用于发送新的协议 4艮文拆分后的多个 IP 数据包给网卡驱动， 由网卡驱动发送给应用月艮务器； 存储模块 12 , 用于緩存接口模块 11收到的多个 IP数据包； 组包模块 13 , 用于对接口模块 11收到的多个 IP数据包进行组包操作， 得到上述协议 4艮文； 解析判断模块 14, 用于 居约定的协议对组包模块 13得到的协议 4艮文 进行解析， 判断该协议报文中是否存在网络过滤驱动 1、 智能密钥设备 2和 应用服务器预先约定的关键信息， 如果存在该关键信息， 通过接口模块 11 发送该协议报文给智能密钥设备 2, 如果不存在该关键信息， 通过接口模块 11将存储模块 12緩存的多个 IP数据包通过网卡驱动发送给应用服务器； 报文生成模块 15 ,用于根据接口模块 11收到的签名结果和组包模块 13 得到的协议 4艮文， 生成新的协议 4艮文； 拆分模块 16, 用于将报文生成模块 15得到的新的协议报文拆分为多个 IP数据包， 通过接口模块 11发送给客户端主机内的网卡驱动； 智能密钥设备 2包括： 接口模块 21 , 用于与网络过滤驱动 1通讯， 接收网络过滤驱动 1发送 的协议 4艮文， 向网络过滤驱动 1发送签名结果； 过滤模块 22, 用于解析智能密钥设备的接口模块 21收到的协议报文， 得到所述关键信息； 输出模块 23 , 用于输出过滤模块 22得到的关键信息供用户确认； 确认模块 24, 用于接收用户输入的确认所述关键信息是否正确的信息； 签名模块 25 , 用于当确认模块 24收到的信息为用户确认关键信息正确 时， 对智能密钥设备的接口模块 21 收到的协议报文进行签名， 并通过智能 密钥设备的接口模块 21返回签名结果给网络过滤驱动 1; 异常处理模块 26 , 用于当确认模块 24收到的信息为用户确认关键信息 不正确时， 或者确认模块 24 在预设的时间内未收到用户的确认信息时， 进 行异常处理。 本实施例中， 存储模块 12还用于存储应用服务器的地址， 组包模块 13 具体包括： 比对单元， 用于将网络过滤驱动 1的接口模块 11收到的多个 IP数据包 中的目的地址与存储模块 12存储的应用服务器的地址进行比对； 组包单元， 用于根据比对单元比对的结果， 将接口模块 11收到的多个
IP数据包中目的地址均为所述应用服务器的地址的数据包进行组包操作， 得 到所述协议报文， 将接口模块 11收到的多个 IP数据包中目的地址不为所述 应用服务器的地址的数据包， 通过接口模块 11发送给网卡驱动。 本实施例中， 所述协议 4艮文和新的协议 4艮文均包含有请求头域， 请求头 域中写有所述应用月艮务器的地址， 存储模块 12 还用于存储所述应用月艮务器 的地址， 相应地， 网络过滤驱动 1的解析判断模块 14具体包括： 判断单元， 用于根据约定的协议对组包模块 13得到的所述协议报文进 行解析， 判断该协议 4艮文中是否存在网络过滤驱动 1、 智能密钥设备 2和应 用服务器预先约定的关键信息； 第一处理单元， 用于如果判断单元判断出所述协议 4艮文中存在关键信 息， 则对所述协议报文的的请求头域进行解析， 判断该请求头域中写入的应 用月艮务器地址是否与存储模块 12 存储的应用月艮务器地址一致， 如果一致， 则通过接口模块 11将所述协议报文发送给智能密钥设备 2, 如果不一致， 则 提示用户应用服务器错误； 第二处理单元，用于如果判断单元判断出所述协议 4艮文中不存在关键信 息，则通过接口模块 11将存储模块 12緩存的多个 IP数据包通过网卡驱动发 送给应用服务器。 本实施例中， 解析判断模块 14具体包括： 标识符解析判断单元， 用于 居约定的协议对组包模块 13得到的协议 报文进行解析， 判断该协议报文中是否存在网络过滤驱动 1、 智能密钥设备 2 和应用服务器预先约定的关键信息标识符， 如果存在， 则判断出该协议报 文中存在所述关键信息，通过接口模块 11发送该协议报文给智能密钥设备 2, 如果不存在关键信息，则通过接口模块 11将存储模块 12緩存的多个 IP数据 包通过网卡驱动发送给应用月艮务器； 或者, 字段解析判断单元， 用于根据约定的协议对组包模块 13得到的协议报 文进行解析， 在该协议 4艮文中找到网络过滤驱动 1、 智能密钥设备 2和应用 服务器预先指定的字段， 判断该字段中是否存在数据， 如果存在， 则判断出 该协议报文中存在所述关键信息，通过接口模块 11发送该协议报文给智能密 钥设备 2, 如果不存在， 则判断出该协议报文中不存在所述关键信息， 通过 接口模块 11将存储模块 12緩存的多个 IP数据包通过网卡驱动发送给应用服 务器。 本实施例中， 过滤模块 22具体包括： 标识符过滤单元， 用于判断接口模块 21收到的协议报文中是否存在网 络过滤驱动 1、 智能密钥设备 2和应用服务器预先约定的关键信息标识符， 如果存在， 则根据该关键信息标识符找到所述关键信息； 或者， 字段过滤单元， 用于在智能密钥设备 2的接口模块 21收到的协议报文 中找到网络过滤驱动 1、 智能密钥设备 2和应用服务器预先指定的字段， 判 断该字段中是否存在数据， 如果存在， 则读出该数据， 得到所述关键信息。 本实施例中， 输出模块 23为液晶显示器或音频装置。 本实施例中， 异常处理模块 26具体包括： 第一异常处理单元， 用于当确认模块 24收到的信息为用户确认关键信 息不正确时， 或者确认模块 24 在预设的时间内未收到用户的确认信息时， 通过接口模块 21通知网络过滤驱动 1停止操作， 向用户提示操作失败； 或者， 第二异常处理单元， 用于当确认模块 24收到的信息为用户确认关键信 息不正确时， 或者确认模块 24 在预设的时间内未收到用户的确认信息时， 通过接口模块 21向网络过滤驱动 1返回一个错误的签名结果。 本实施例中， 网络过滤驱动 1的接口模块 11还用于当解析判断模块 14 判断出所述协议报文中不存在关键信息时， 将存储模块 12緩存的多个 IP数 据包发送给网卡驱动， 由网卡驱动发送给所述应用月艮务器。 本实施例中， 智能密钥设备 2的签名模块 25具体包括: 签名单元，用于当确认模块 24收到的信息为用户确认关键信息正确时， 根据个人识别码或个人生物特征对用户的身份进行验证， 如果合法， 则对接 口模块 21收到的协议报文进行签名， 并通过接口模块 21返回签名结果给网 络过滤驱动 1; 如果不合法， 则拒绝对所述协议报文进行签名。 本实施例中， 网络过滤驱动 1的 4艮文生成模块 15具体包括： 第一生成单元， 用于将网络过滤驱动 1的接口模块 11接收到的签名结 果插入到所述协议 4艮文中， 并才艮据预先约定的协议对所述协议 4艮文中的请求 头域进行修改， 得到新的协议报文； 或者， 第二生成单元， 用于使用网络过滤驱动 1的接口模块 11接收到的签名 结果对所述协议报文中的指定部分进行替换， 并根据预先约定的协议对所述 协议报文中的请求头域进行修改， 得到新的协议报文。 本发明实施例提供的技术方案通过客户端的网络过滤驱动判断协议 4艮 文中是否存在关键信息， 如果存在， 由智能密钥设备对协议报文进行签名后 返回签名结果给网络过滤驱动， 网络过滤驱动 居签名结果生成新的协议 4艮 文发给网卡驱动程序， 通过网卡发送给应用月艮务器， 在不改动原有客户端的 前提下提高了网络应用的安全性， 可以适用于各种客户端软件， 具有良好的 兼容性、 易用性。 以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明 的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发 明的保护范围之内。

Claims

权 利 要 求 书 一种提高网络应用安全性的方法， 其特征在于， 所述方法包括: 客户端主机内的客户端软件根据用户输入的信息生成协议报文， 并拆分为多个 IP数据包发送； 所述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据 包， 进行组包操作得到所述协议报文； 所述网络过滤驱动 据约定的协议解析所述协议 4艮文， 判断所述 协议报文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器 预先约定的关键信息； 如果所述协议 4艮文中存在所述关键信息， 则所述网络过滤驱动将 所述协议艮文发送给所述智能密钥设备， 所述智能密钥设备解析所述 协议报文得到所述关键信息， 输出该关键信息供用户确认； 如果接收到用户确认关键信息正确的信号， 则所述智能密钥 设备对所述协议 4艮文进行签名， 返回签名结果给所述网络过滤驱 动， 所述网络过滤驱动 居所述签名结果和协议 4艮文生成新的协 议报文， 将该新的协议报文拆分为多个 IP数据包， 通过网卡驱动 发送给所述应用服务器； 如果接收到用户确认关键信息不正确的信号或在预设的时 间内没有接收到用户进行确认的信号， 则所述智能密钥设备进行 异常处理； 如果所述协议 4艮文中不存在所述关键信息， 则所述网络过滤驱动 将緩存的所述多个 IP 数据包通过所述网卡驱动发送给所述应用月艮务
根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据包， 进行 组包操作得到所述协议 4艮文， 包括： 所述客户端主机内的网络过滤驱动接收并緩存所述多个 IP数据 包; 将所述多个 IP数据包中的目的地址与预先存储的所述应用月艮务 器的地址进行比对； 将所述多个 IP数据包中目的地址均为所述应用月艮务器的地址的 数据包进行组包操作， 得到所述协议报文， 将所述多个 IP数据包中目 的地址不为所述应用月艮务器的地址的数据包发送给所述网卡驱动。 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述网络过滤驱动根据约定的协议解析所述协议报文， 判断所述协议报 文中是否存在所述网络过滤驱动、 智能密钥设备和应用服务器预先约 定的关键信息， 具体包括： 所述网络过滤驱动 据约定的协议解析所述协议 4艮文， 判断所述 协议 4艮文中是否存在所述网络过滤驱动、 所述智能密钥设备和所述应 用服务器预先约定的关键信息标识符， 如果存在， 则判断出所述协议 报文中存在所述关键信息； 或者， 所述网络过滤驱动 -据约定的协议解析所述协议 4艮文， 在所述协 议报文中找到所述网络过滤驱动、 所述智能密钥设备和所述应用服务 器指定的字段， 判断该字段中是否存在数据， 如果存在， 则判断出所 述协议 4艮文中存在所述关键信息。 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述协议 4艮文和新的协议 4艮文均包含有请求头域， 所述请求头域中写有 所述应用月艮务器的地址。 根据权利要求 4所述的提高网络应用安全性的方法， 其特征在于， 所 述网络过滤驱动将所述协议报文发送给所述智能密钥设备， 包括： 所述网络过滤驱动对所述协议报文的请求头域进行解析， 判断所 述请求头域中写入的应用月艮务器地址是否与所述网络过滤驱动存储的 应用月艮务器地址一致； 如果一致， 则执行所述网络过滤驱动将所述协议报文发送给所述 智能密钥设备的步骤； 如果不一致， 则所述网络过滤驱动提示用户应用月艮务器错误， 流 程结束。
6. 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述智能密钥设备解析所述协议报文得到所述关键信息， 包括： 所述智能密钥设备解析所述协议 4艮文， 判断所述协议 4艮文中是否 存在所述网络过滤驱动、 所述智能密钥设备和所述应用服务器预先约 定的关键信息标识符， 如果存在， 则根据所述关键信息标识符找到所 述关键信息； 或者， 所述智能密钥设备解析所述协议报文， 在所述协议报文中找到所 述网络过滤驱动、 所述智能密钥设备和所述应用服务器指定的字段， 判断该字段中是否存在数据， 如果存在， 则读出所述数据， 得到所述 关键信息。
7. 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述输出该关键信息供用户确认， 包括： 所述智能密钥设备通过液晶显示器显示输出所述关键信息供用 户确认， 或者通过语音播报的方式播放所述关键信息供用户确认。
8. 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述智能密钥设备进行异常处理， 包括： 所述智能密钥设备通知所述网络过滤驱动停止操作， 向用户提示 操作失败； 或者， 所述智能密钥设备向所述网络过滤驱动返回一个错误的签名结 果。
9. 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述智能密钥设备对所述协议报文进行签名， 包括： 所述智能密钥设备 居个人识别码或个人生物特征对用户的身 份进行验证， 所述个人生物特征包括指紋、 虹膜或静脉识别； 如果合法， 则对所述协议 4艮文进行签名； 如果不合法， 则拒绝对所述协议 ^艮文进行签名， 流程结束。
10. 根据权利要求 1所述的提高网络应用安全性的方法， 其特征在于， 所 述网络过滤驱动 居所述签名结果和协议 4艮文生成新的协议 4艮文， 包 括： 所述网络过滤驱动将接收到的签名结果插入到所述协议报文中， 并才艮据预先约定的协议对所述协议 4艮文中的请求头域进行爹改， 得到 新的协议 4艮文； 或者， 所述网络过滤驱动使用接收到的签名结果对所述协议报文中的 指定部分进行替换， 并根据预先约定的协议对所述协议报文中的请求 头域进行修改， 得到新的协议报文。
11. 根据权利要求 1至 10中任一权利要求所述的提高网络应用安全性的方 法， 其特征在于， 所述约定的协议包括超文本传输协议 http和 /或安全 的超文本传输协议 https„
12. 一种提高网络应用安全性的系统， 其特征在于， 所述系统包括： 智能 密钥设备和客户端主机内的网络过滤驱动； 所述网络过滤驱动包括： 第一接口模块， 用于接收客户端主机内的客户端软件发来的 多个 IP数据包， 所述多个 IP数据包为所述客户端软件才艮据用户 输入的信息生成协议报文后拆分得到的， 并与所述智能密钥设备 通讯， 向所述智能密钥设备发送所述协议艮文， 接收所述智能密 钥设备返回的签名结果， 还用于发送新的协议 4艮文拆分后的多个
IP数据包给网卡驱动， 由所述网卡驱动发送给所述应用月艮务器； 存储模块， 用于緩存所述第一接口模块收到的所述多个 IP 数据包； 组包模块， 用于对所述第一接口模块收到的所述多个 IP数 据包进行组包操作， 得到所述协议报文； 解析判断模块， 用于才艮据约定的协议对所述组包模块得到的 所述协议 4艮文进行解析， 判断所述协议 4艮文中是否存在所述网络 过滤驱动、 智能密钥设备和应用服务器预先约定的关键信息， 如 果存在所述关键信息， 通过所述第一接口模块发送所述协议报文 给所述智能密钥设备， 如果不存在所述关键信息， 通过所述第一 接口模块将所述存储模块緩存的所述多个 IP数据包通过所述网卡 驱动发送给所述应用月艮务器； 报文生成模块， 用于根据所述第一接口模块收到的签名结果 和所述组包模块得到的所述协议 4艮文， 生成新的协议 4艮文； 拆分模块， 用于将所述报文生成模块得到的所述新的协议报 文拆分为多个 IP数据包， 通过所述第一接口模块发送给所述客户 端主机内的网卡驱动； 所述智能密钥设备包括： 第二接口模块， 用于与所述网络过滤驱动通讯， 接收所述网 络过滤驱动发送的协议 4艮文 ,向所述网络过滤驱动发送签名结果； 过滤模块， 用于解析所述智能密钥设备的第二接口模块收到 的协议报文， 得到所述关键信息； 输出模块， 用于输出所述过滤模块得到的关键信息供用户确 认； 确认模块， 用于接收用户输入的确认所述关键信息是否正确 的信息； 签名模块， 用于当所述确认模块收到的信息为用户确认关键 信息正确时， 对所述智能密钥设备的第二接口模块收到的协议报 文进行签名， 并通过所述智能密钥设备的第二接口模块返回签名 结果给所述网络过滤驱动； 异常处理模块， 用于当所述确认模块收到的信息为用户确认 关键信息不正确时， 或者所述确认模块在预设的时间内未收到用 户的确认信息时， 进行异常处理。
13. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述存储模块还用于存储所述应用月艮务器的地址， 所述组包模块包括： 比对单元， 用于将所述网络过滤驱动的第一接口模块收到的所述 多个 IP数据包中的目的地址与所述存储模块存储的所述应用服务器的 地址进行比对； 组包单元， 用于才艮据所述比对单元比对的结果， 将所述多个 IP 数据包中目的地址均为所述应用服务器的地址的数据包进行组包操 作， 得到所述协议 4艮文， 将所述多个 IP数据包中目的地址不为所述应 用月艮务器的地址的数据包通过所述网络过滤驱动的第一接口模块发送 给所述网卡驱动。
14. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述协议 4艮文和新的协议 4艮文均包含有请求头域， 所述请求头域中写有 所述应用月艮务器的地址， 所述存储模块还用于存储所述应用月艮务器的 地址， 所述解析判断模块具体包括： 判断单元， 用于根据约定的协议对所述组包模块得到的所述协议 报文进行解析， 判断所述协议报文中是否存在所述网络过滤驱动、 智 能密钥设备和应用服务器预先约定的关键信息； 第一处理单元， 用于如果所述判断单元判断出所述协议 4艮文中存 在所述关键信息， 则对所述协议 4艮文的请求头域进行解析， 判断所述 请求头域中写入的应用服务器地址是否与所述存储模块存储的应用服 务器地址一致， 如果一致， 则通过所述第一接口模块将所述协议报文 发送给所述智能密钥设备， 如果不一致， 则提示用户应用服务器错误； 第二处理单元， 用于如果所述判断单元判断出所述协议 4艮文中不 存在所述关键信息， 则通过所述第一接口模块将所述存储模块緩存的 所述多个 IP数据包通过所述网卡驱动发送给所述应用月艮务器。
15. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述解析判断模块具体包括： 标识符解析判断单元， 用于才艮据约定的协议对所述组包模块得到 的所述协议 4艮文进行解析， 判断所述协议 4艮文中是否存在所述网络过 滤驱动、 智能密钥设备和应用服务器预先约定的关键信息标识符， 如 果存在， 则判断出所述协议 4艮文中存在所述关键信息， 通过所述网络 过滤驱动的第一接口模块发送所述协议报文给所述智能密钥设备， 如 果不存在所述关键信息， 通过所述第一接口模块将所述存储模块緩存 的所述多个 IP数据包通过所述网卡驱动发送给所述应用月艮务器； 或者， 字段解析判断单元， 用于根据约定的协议对所述组包模块得到的 所述协议 4艮文进行解析， 在所述协议 4艮文中找到所述网络过滤驱动、 智能密钥设备和应用服务器预先指定的字段， 判断该字段中是否存在 数据， 如果存在， 则判断出所述协议报文中存在所述关键信息， 通过 所述网络过滤驱动的第一接口模块发送所述协议 4艮文给所述智能密钥 设备， 如果不存在， 则判断出所述协议报文中不存在所述关键信息， 通过所述第一接口模块将所述存储模块緩存的所述多个 IP数据包通过 所述网卡驱动发送给所述应用月艮务器。
16. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述过滤模块具体包括： 标识符过滤单元， 用于判断所述智能密钥设备的第二接口模块收 到的协议报文中是否存在所述网络过滤驱动、 智能密钥设备和应用服 务器预先约定的关键信息标识符， 如果存在， 则根据所述关键信息标 识符找到所述关键信息； 或者， 字段过滤单元， 用于在所述智能密钥设备的第二接口模块收到的 协议报文中找到所述网络过滤驱动、 智能密钥设备和应用服务器预先 指定的字段， 判断该字段中是否存在数据， 如果存在， 则读出所述数 据， 得到所述关键信息。
17. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述输出模块为液晶显示器或音频装置。
18. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述异常处理模块包括： 第一异常处理单元， 用于当所述确认模块收到的信息为用户确认 关键信息不正确时， 或者所述确认模块在预设的时间内未收到用户的 确认信息时， 通过所述智能密钥设备的第二接口模块通知所述网络过 滤驱动停止操作， 向用户提示操作失败； 或者， 第二异常处理单元， 用于当所述确认模块收到的信息为用户确认 关键信息不正确时， 或者所述确认模块在预设的时间内未收到用户的 确认信息时， 通过所述智能密钥设备的第二接口模块向所述网络过滤 驱动返回一个错误的签名结果。
19. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述智能密钥设备的签名模块具体包括： 签名单元， 用于当所述确认模块收到的信息为用户确认关键信息 正确时， 根据个人识别或个人生物特征对用户的身份进行验证， 如果 合法， 则对所述智能密钥设备的第二接口模块收到的协议报文进行签 名， 并通过所述智能密钥设备的第二接口模块返回签名结果给所述网 络过滤驱动； 如果不合法， 则拒绝对所述协议报文进行签名。
20. 根据权利要求 12所述的提高网络应用安全性的系统， 其特征在于， 所 述网络过滤驱动的报文生成模块包括： 第一生成单元， 用于将所述网络过滤驱动的第一接口模块接收到 的签名结果插入到所述协议 4艮文中， 并 居预先约定的协议对所述协 议报文中的请求头域进行修改， 得到新的协议报文； 或者， 第二生成单元， 用于使用所述网络过滤驱动的第一接口模块接收 到的签名结果对所述协议报文中的指定部分进行替换， 并根据预先约 定的协议对所述协议报文中的请求头域进行修改，得到新的协议报文。
PCT/CN2010/071900 2009-05-31 2010-04-19 提高网络应用安全性的方法和系统 WO2010139210A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US12/863,444 US8504820B2 (en) 2009-05-31 2010-04-19 Method for improving network application security and system thereof

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910086341A CN101635715B (zh) 2009-05-31 2009-05-31 提高网络应用安全性的方法和系统
CN200910086341.4 2009-05-31

Publications (1)

Publication Number Publication Date
WO2010139210A1 true WO2010139210A1 (zh) 2010-12-09

Family

ID=41594776

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/071900 WO2010139210A1 (zh) 2009-05-31 2010-04-19 提高网络应用安全性的方法和系统

Country Status (3)

Country Link
US (1) US8504820B2 (zh)
CN (1) CN101635715B (zh)
WO (1) WO2010139210A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113132043A (zh) * 2019-12-31 2021-07-16 瞻博网络公司 跨网络运输客户端定时信息

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101635714B (zh) * 2009-05-31 2012-02-29 飞天诚信科技股份有限公司 提高网络应用安全性的方法和系统
CN101635715B (zh) * 2009-05-31 2012-09-12 飞天诚信科技股份有限公司 提高网络应用安全性的方法和系统
CN102521186B (zh) * 2011-11-22 2015-01-14 飞天诚信科技股份有限公司 一种USB Key及其与终端进行通信的方法
CN103713934A (zh) * 2012-09-29 2014-04-09 京信通信系统（中国）有限公司 应用程序访问物理外设的方法和系统
CA2903830C (en) 2013-03-05 2021-08-24 Fasetto, Llc System and method for cubic graphical user interfaces
DK3022638T3 (en) 2013-07-18 2018-07-23 Fasetto L L C SYSTEM AND PROCEDURE FOR MULTIPLINE VIDEOS
GB201315826D0 (en) * 2013-09-05 2013-10-23 Trw Ltd Safety filter
US10095873B2 (en) 2013-09-30 2018-10-09 Fasetto, Inc. Paperless application
US9584402B2 (en) 2014-01-27 2017-02-28 Fasetto, Llc Systems and methods for peer to peer communication
AU2015287705B2 (en) 2014-07-10 2019-09-12 Fasetto, Inc. Systems and methods for message editing
US10437288B2 (en) 2014-10-06 2019-10-08 Fasetto, Inc. Portable storage device with modular power and housing system
JP6695868B2 (ja) 2014-10-06 2020-05-20 ファセット・インコーポレーテッド ポータブル・ストレージ・デバイスのためのシステムおよび方法
KR102452169B1 (ko) 2015-03-11 2022-10-11 파세토, 인크. 웹 api 통신을 위한 시스템 및 방법
US10929071B2 (en) 2015-12-03 2021-02-23 Fasetto, Inc. Systems and methods for memory card emulation
US10956589B2 (en) 2016-11-23 2021-03-23 Fasetto, Inc. Systems and methods for streaming media
CA3054681A1 (en) 2017-02-03 2018-08-09 Fasetto, Inc. Systems and methods for data storage in keyed devices
JP7118708B2 (ja) * 2017-04-07 2022-08-16 トゥルソナ，インコーポレイテッド 通信検証のためのシステムおよび方法
CN109428916B (zh) 2017-08-25 2022-02-22 中兴通讯股份有限公司 数据传输方法和装置、终端及服务器
WO2019079628A1 (en) 2017-10-19 2019-04-25 Fasetto, Inc. PORTABLE ELECTRONIC DEVICE CONNECTING SYSTEMS
WO2019109033A1 (en) 2017-12-01 2019-06-06 Fasetto, Inc. Systems and methods for improved data encryption
KR20210018217A (ko) 2018-04-17 2021-02-17 파세토, 인크. 실시간 피드백이 있는 디바이스 프레젠테이션
CN111510300B (zh) * 2020-04-10 2023-04-18 中国联合网络通信集团有限公司 数据处理方法、装置、设备及计算机可读存储介质
CN111541775B (zh) * 2020-05-09 2023-06-16 飞天诚信科技股份有限公司 一种认证报文的安全转换方法及系统
US11895193B2 (en) * 2020-07-20 2024-02-06 Juniper Networks, Inc. Data center resource monitoring with managed message load balancing with reordering consideration

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1556449A (zh) * 2004-01-08 2004-12-22 中国工商银行 对网上银行数据进行加密、认证的装置和方法
CN101051907A (zh) * 2007-05-14 2007-10-10 北京握奇数据系统有限公司 面向签名数据的安全认证方法及其系统
CN101183456A (zh) * 2007-12-18 2008-05-21 中国工商银行股份有限公司 加密装置、利用该加密装置加密、认证的系统与方法
CN101635714A (zh) * 2009-05-31 2010-01-27 北京飞天诚信科技有限公司 提高网络应用安全性的方法和系统
CN101635715A (zh) * 2009-05-31 2010-01-27 北京飞天诚信科技有限公司 提高网络应用安全性的方法和系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7263102B2 (en) * 2002-11-27 2007-08-28 At&T Intellectual Property, Inc. Multi-path gateway communications device
US20060168653A1 (en) * 2005-01-27 2006-07-27 Contrera Suzanne H Personal network security token
CN100589390C (zh) * 2007-12-21 2010-02-10 北京飞天诚信科技有限公司 一种认证方法和认证系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1556449A (zh) * 2004-01-08 2004-12-22 中国工商银行 对网上银行数据进行加密、认证的装置和方法
CN101051907A (zh) * 2007-05-14 2007-10-10 北京握奇数据系统有限公司 面向签名数据的安全认证方法及其系统
CN101183456A (zh) * 2007-12-18 2008-05-21 中国工商银行股份有限公司 加密装置、利用该加密装置加密、认证的系统与方法
CN101635714A (zh) * 2009-05-31 2010-01-27 北京飞天诚信科技有限公司 提高网络应用安全性的方法和系统
CN101635715A (zh) * 2009-05-31 2010-01-27 北京飞天诚信科技有限公司 提高网络应用安全性的方法和系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113132043A (zh) * 2019-12-31 2021-07-16 瞻博网络公司 跨网络运输客户端定时信息
CN113132043B (zh) * 2019-12-31 2024-04-09 瞻博网络公司 跨网络运输客户端定时信息

Also Published As

Publication number Publication date
CN101635715A (zh) 2010-01-27
US8504820B2 (en) 2013-08-06
US20110113251A1 (en) 2011-05-12
CN101635715B (zh) 2012-09-12

Similar Documents

Publication Publication Date Title
WO2010139210A1 (zh) 提高网络应用安全性的方法和系统
RU2718237C2 (ru) Системы и способы для аутентификации онлайнового пользователя с использованием сервера безопасной авторизации
US10783260B2 (en) Method for providing simplified account registration service and user authentication service, and authentication server using same
JP6992105B2 (ja) 認証能力を決定するためのクエリシステム及び方法
WO2010139203A1 (zh) 提高网络应用安全性的方法和系统
JP5658745B2 (ja) Ｈｔｔｐベースの認証
RU2411668C2 (ru) Расширение информации сопоставления пользователя для протоколов
US9122865B2 (en) System and method to establish and use credentials for a common lightweight identity through digital certificates
MX2008015958A (es) Estructura de verificacion de credencial biometrica.
CN112953970B (zh) 一种身份认证方法及身份认证系统
CN101453334B (zh) 基于Novell网络的访问管理方法和系统
JPWO2007110951A1 (ja) ユーザ確認装置、方法及びプログラム
WO2014048749A1 (en) Inter-domain single sign-on
CN109495486B (zh) 一种基于JWT的单页Web应用集成CAS的方法
CN111949958B (zh) Oauth协议中的授权认证方法及装置
JP2011100489A (ja) ユーザ確認装置、方法及びプログラム
CN110071937A (zh) 基于区块链的登录方法、系统及存储介质
CN115022047A (zh) 基于多云网关的账户登录方法、装置、计算机设备及介质
JP5456842B2 (ja) ユーザ確認装置、方法及びユーザ認証システム
CN112073963A (zh) 通信交互数据传输方法及装置
US20200280544A1 (en) Symmetric account authentication
CN104301285B (zh) 用于web系统的登录方法
US20080022004A1 (en) Method And System For Providing Resources By Using Virtual Path
CN116319070B (zh) 工业互联网标识解析系统、方法、电子设备及存储介质
JP5216904B2 (ja) ユーザ確認装置、方法及びプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 12863444

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10782914

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10782914

Country of ref document: EP

Kind code of ref document: A1