WO2012122773A1 - 基于代理网关对访问请求进行控制的方法及装置 - Google Patents

基于代理网关对访问请求进行控制的方法及装置 Download PDF

Info

Publication number
WO2012122773A1
WO2012122773A1 PCT/CN2011/077618 CN2011077618W WO2012122773A1 WO 2012122773 A1 WO2012122773 A1 WO 2012122773A1 CN 2011077618 W CN2011077618 W CN 2011077618W WO 2012122773 A1 WO2012122773 A1 WO 2012122773A1
Authority
WO
WIPO (PCT)
Prior art keywords
access request
terminal
control parameter
https
tls connection
Prior art date
Application number
PCT/CN2011/077618
Other languages
English (en)
French (fr)
Inventor
郭孟振
黄晓兵
海永军
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012122773A1 publication Critical patent/WO2012122773A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer

Definitions

  • the present invention relates to the field of communications, and in particular, to a method and apparatus for controlling an access request of a https (hypertext transfer protocol secure) based on a proxy gateway.
  • a https hypertext transfer protocol secure
  • the WAP gateway Wireless Application Protocol gateway is generally used as an Internet proxy for the end user.
  • the most basic function of the WAP gateway is as a proxy gateway for the terminal.
  • the proxy terminal accesses the WAP website and Internet content, and provides basic http (hypertext). Transfer protocol, hypertext transfer protocol) proxy service and protocol conversion function of WAPl.x.
  • the WAP gateway provides a strong data access channel for the https access request, which is called a Transport Layer Security Protocol (TLS) tunnel.
  • TLS Transport Layer Security Protocol
  • the user performs key negotiation and transmission through both ends of the TLS tunnel. In the process, the data is transmitted with encrypted data, so that important data of the user can be protected.
  • the HTTP CONNECT proxy server that contains the WAP gateway is a proxy gateway that allows users to establish TCP connections to any port, which means that this proxy can be used not only for http proxy services, but also for FTP (File Transfer Protocol). ), IRC (Internet Relay Chat), RM (Real Media) streaming service, etc., can even be used for scanning, attacking, for example, the terminal can use the WAP gateway to treat https access request data can not be processed, use HTTP CONNECT proxy server is heavy on WAP gateway The system should be scanned, attacked, etc.
  • the embodiment of the invention provides a method and a device for controlling an https access request based on a proxy gateway, which are used to improve the security of the proxy gateway application system.
  • a method for controlling an https access request based on a proxy gateway including:
  • the proxy gateway receives an https access request sent by the terminal for establishing a TLS connection, where the https access request carries at least a dual group control parameter;
  • the proxy gateway determines, according to the preset screening policy, whether the dual-group control parameter carried in the https access request is legal, and if yes, allows the terminal to establish a TLS connection by using the https access request, otherwise rejecting the terminal by using the The https access request establishes a TLS connection.
  • the proxy gateway is a WAP gateway or a WEB gateway.
  • the dual group control parameter includes a domain name and a port number that the terminal requests to access, or an IP address and a port number that the terminal requests to access.
  • the proxy gateway After receiving the https access request sent by the terminal, the proxy gateway determines that the TLS access control function is enabled locally, and then determines whether the binary control parameter carried in the https access request is legal according to the preset screening policy.
  • the proxy gateway determines, according to the preset screening policy, whether the binary control parameters carried in the https access request are legal, including:
  • the proxy gateway determines whether the dual group control parameter is recorded in the blacklist, and if it is recorded in the blacklist, determining that the dual group control parameter is invalid. If not recorded in the blacklist, determining that the binary control parameter is legal; If the screening policy is set to a whitelisting policy, the proxy gateway determines whether the dual-group control parameter is recorded in the whitelist, and if the recording is in the whitelist, determining that the dual-group control parameter is legal, if If it is not recorded in the white list, it is determined that the binary control parameter is invalid.
  • the proxy gateway allows the terminal to establish a TLS connection by using the https access request, including: instructing the terminal to establish a TLS connection with a corresponding service providing server, and after establishing a TLS connection, instructing the terminal to directly connect with the service providing server Perform data interaction;
  • the proxy gateway rejects the terminal to establish a TLS connection by using the https access request, and the proxy gateway returns a response message rejecting the establishment of the TLS connection to the terminal, and disconnects the local communication connection with the terminal.
  • a device for controlling an https access request based on a proxy gateway comprising:
  • a communication unit configured to receive an https access request sent by the terminal for establishing a TLS connection, where the https access request carries at least a group control parameter;
  • the control unit is configured to determine, according to the preset screening policy, whether the dual-group control parameter carried in the https access request is legal, and if it is legal, the terminal is allowed to establish a TLS connection by using the https access request, if not, And then rejecting the terminal to establish a TLS connection by using the https access request.
  • the device is a WAP gateway or a WEB gateway.
  • the binary control parameter received by the communication unit includes a domain name and a port number that the terminal requests to access, or an IP address and a port number that the terminal requests to access.
  • the control unit determines that the TLS access control function is enabled locally, and then determines whether the dual group control parameter carried by the https access request is legal according to a preset screening policy. .
  • the control unit determines, according to the preset screening policy, whether the binary control parameters carried in the https access request are legal, including:
  • the control unit determines the dual group Whether the control parameter is recorded in the blacklist, if it is recorded in the blacklist, it is determined that the dual group control parameter is invalid, and if it is not recorded in the blacklist, it is determined that the dual group control parameter is legal; If the screening policy is set to a whitelisting policy, the control unit determines whether the dual group control parameter is recorded in the whitelist, and if it is recorded in the whitelist, determining that the binary group control parameter is legal, if not recorded in the In the white list, it is determined that the binary control parameter is invalid.
  • the control unit allows the terminal to establish a TLS connection through the https access request, including: instructing, by the communication unit, the terminal to establish a TLS connection with a corresponding service providing server, and after establishing a TLS connection, by using the communication
  • the unit instructs the terminal to directly perform data interaction with the service providing server;
  • the control unit rejects the terminal to establish a TLS connection by using the https access request, and includes: returning, by the communication unit, a response message rejecting the establishment of the TLS connection to the terminal, and disconnecting the local communication connection with the terminal.
  • a TLS access control function is added to the proxy gateway, and the https access request for establishing the TLS connection can be flexibly managed and controlled by using the preset dual group control parameter, thereby effectively performing the illegal TLS connection.
  • Blocking provides more flexible protection measures for the proxy gateway application system, improving the security and flexibility of the proxy gateway service control process.
  • FIG. 1 is a schematic structural diagram of a WAP gateway application system according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of a WAP gateway function according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a flow chart for controlling a WAP gateway to access an https access request according to an embodiment of the present invention
  • FIG. 4 is a schematic flowchart of a detailed control of a WAP gateway access request by a WAP gateway according to an embodiment of the present invention. detailed description
  • the terminal In order to implement the control of the proxy gateway to the https access request, the terminal is prevented from performing abnormal operations on the proxy gateway through the TLS tunnel, thereby improving the security of the proxy gateway application system.
  • the proxy gateway receiving terminal sends a connection for establishing a TLS connection.
  • the https access request, the https access request carries at least a binary control parameter, and the proxy gateway determines, according to the preset screening policy, whether the binary control parameter carried in the received https access request is legal, and if it is legal, the terminal is allowed.
  • the TLS connection is established through the https access request. If it is not legal, the terminal is denied to establish a TLS connection through the https access request.
  • the so-called proxy gateway may be a WAP gateway or a WEB gateway
  • the so-called dual group control parameter may include a domain name and a port number that the terminal requests to access, or an IP address that the terminal requests to access.
  • Port number can be configured according to the port number segment.
  • the filtering policy used by the proxy gateway may be recorded in the form of an SP (Server Provide) list, and the filtering policy may be set to black.
  • the list can also be set to whitelist, either one, but not both.
  • the so-called blacklist means: TLS connection is not allowed to be established using the binary control parameters recorded in the SP list
  • the so-called whitelist is Means: Only the binary control parameters recorded in the SP list are allowed to establish a TLS connection; further, the SP list may also be provided with configuration parameters for indicating whether to enable the TLS connection control function; when the proxy gateway is started, read and The preset SP list is loaded, and the https access request sent by the terminal for establishing a TLS connection is controlled according to the configuration content of the SP list.
  • the proxy gateway is a WAP gateway.
  • the WAP gateway application system includes a terminal and a WAP gateway, where the terminal is configured to request various http application services through the WAP gateway, specifically And sending, to the WAP gateway, an https access request for establishing a TLS connection, where the https access request carries at least a dual group control parameter; the WAP gateway is configured to perform TLS access control on the https access request of the terminal, specifically, according to the pre- The filtering policy is set to determine whether the binary control parameter carried in the received https access request is legal. If it is legal, the terminal is allowed to establish a TLS connection through the https access request. If not, the terminal is denied to establish a TLS through the https access request.
  • the WAP gateway application system further includes an SP server (SP Server) for storing various http service resources, establishing a TLS connection with the terminal filtered by the WAP gateway, and providing the terminal with the TLS connection. Stored http service resources.
  • SP Server SP Server
  • proxy gateway is a WEB gateway
  • the above system architecture is also applicable to the WEB gateway application system, and details are not described herein again.
  • the WAP gateway is provided with a communication unit 20 and a control unit 21, where
  • the communication unit 20 is configured to receive an https access request sent by the terminal to establish a TLS connection, where the https access request carries at least a group control parameter;
  • the control unit 21 is configured to determine, according to the preset screening policy, whether the dual-group control parameter carried in the received https access request is legal. If it is legal, the terminal is allowed to establish a TLS connection through the https access request, and if not, refuses The terminal establishes a TLS connection through the https access request.
  • the control unit 21 allows the terminal to establish a TLS connection through the https access request, including: instructing the terminal to establish a TLS connection with the corresponding service providing server through the communication unit 20, and instructing the terminal directly to the service through the communication unit 20 after establishing the TLS connection Provide a server for data interaction;
  • the control unit 21 rejects the terminal to establish a TLS connection through the https access request, and includes: returning, by the communication unit 20, a response message rejecting the establishment of the TLS connection to the terminal, and disconnecting the local communication connection with the terminal.
  • the proxy gateway is a WEB gateway, the same applies to various functional units set in the above WAP gateway, and details are not described herein again.
  • a schematic process of controlling a WAPs access request sent by a terminal by a WAP gateway is as follows:
  • Step 300 The WAP gateway receives an https access request sent by the terminal for establishing a TLS connection, where the https access request carries at least a group control parameter.
  • the WAP gateway supports the radius service (online authentication service), that is, after receiving the https access request sent by the terminal, the WAP gateway queries the MSISDN (such as the mobile phone number) of the terminal, and determines After the MSISDN of the terminal is legal, step 310 is performed.
  • the radius service online authentication service
  • the WAP gateway after receiving the https access request sent by the terminal, the WAP gateway can also
  • step 310 is performed.
  • Step 310 The WAP gateway determines, according to the preset screening policy, whether the binary control parameter carried in the received https access request is legal. If it is legal, the terminal allows the terminal to establish a TLS connection through the https access request. If not, the terminal rejects the terminal. Establish a TLS connection through this https access request.
  • the WAP gateway performs the following operations according to the preset screening policy to determine whether the binary control parameters carried in the received https access request are legal:
  • the WAP gateway determines whether the binary control parameter carried in the https access request message is recorded in the blacklist, and if yes, determines that the binary control parameter is invalid, otherwise, determining the second The tuple control parameters are legal;
  • the WAP gateway determines whether the dual group control parameter carried in the https access request message is recorded in the whitelist, and if yes, determines that the binary control parameter is legal, otherwise, determining the The binary control parameters are invalid.
  • the proxy gateway allows the terminal to establish a TLS connection through the https access request, the package Instructing the terminal to establish a TLS connection with a corresponding service providing server, such as an SP server, and instructing the terminal to directly perform data interaction with the service providing server after establishing a TLS connection; the proxy gateway rejects the terminal passing the The https access request establishes a TLS connection, including: the proxy gateway returns a response message rejecting the establishment of the TLS connection to the terminal, and disconnects the local communication connection with the terminal.
  • a service providing server such as an SP server
  • Step 400 The WAP gateway receives the https access request sent by the terminal.
  • Step 410 The WAP gateway determines whether the received https access request is a request message for requesting to establish a TLS connection, and if yes, proceeds to step 430; otherwise, proceeds to step 420.
  • the WAP gateway may determine whether the https access request is used to request to establish a TLS connection according to the flag bit specified in the https access request.
  • Step 420 The WAP gateway performs service access control on the https access request.
  • Step 430 The WAP gateway determines whether the TLS access control function is enabled locally. If not, proceed to step 480; if it is enabled, proceed to step 440;
  • the button for enabling/disabling the TLS access control function can be set on the operation interface, and the administrator can enable/disable the TLS access control function according to actual needs, and does not need to restart the entire service system, and takes effect immediately.
  • Step 440 The WAP gateway determines whether the locally configured filtering policy is a blacklist policy or a whitelist policy. If the blacklist policy is performed, step 450 is performed;
  • Step 450 The WAP gateway determines whether the dual-group control parameter of the request for establishing the TLS connection carried in the https access request is recorded in the blacklist. If the blacklist is recorded in the blacklist, step 470 is performed; if not recorded in the blacklist, Go to step 480;
  • Step 460 The WAP gateway determines that the request carried in the https access request establishes a TLS connection. Whether the two-group control parameter is recorded in the white list, if it is recorded in the white list, step 480 is performed; if not recorded in the white list, step 470 is performed;
  • Step 470 The WAP gateway denies the terminal to establish a TLS connection through the https access request, and then proceeds to step 490.
  • the WAP gateway may further return a response message rejecting the establishment of the TLS connection to the terminal, and disconnect the communication connection between the local and the terminal, such as a TCP (Transmission Control Protocol) connection.
  • a response message rejecting the establishment of the TLS connection to the terminal, and disconnect the communication connection between the local and the terminal, such as a TCP (Transmission Control Protocol) connection.
  • TCP Transmission Control Protocol
  • Step 480 The WAP gateway allows the terminal to establish a TLS connection through the https access request, and then proceeds to step 490.
  • the WAP gateway instructs the terminal to establish a TLS tunnel (that is, a TLS connection) with the SP server that requests the TLS connection, and after the TLS tunnel is established, instructs the terminal to directly interact with the SP server through the TLS tunnel without going through the WAP.
  • a TLS tunnel that is, a TLS connection
  • Step 490 The WAP gateway records the execution result of the TLS access control process in a log file.
  • the WAP gateway records the access record (also known as https access content) of the TLP tunnel, including the access content, the access start time, the end time, and the access result (such as whether the TLS tunnel establishment is successful or rejected). For subsequent management operations.
  • the access record also known as https access content
  • the access start time the access start time
  • the end time the access result (such as whether the TLS tunnel establishment is successful or rejected).
  • the TLS connection is compatible with an SSL (Secure Sockets Layer) related protocol, and therefore, the same applies to a network environment that uses SSL-related transfer, and is not mentioned in it.
  • SSL Secure Sockets Layer
  • a TLS access control function is added to the proxy gateway, and the https access request for establishing the TLS connection can be flexibly managed and controlled by using the preset dual group control parameter, thereby effectively performing the illegal TLS connection.
  • Blocking, providing a proxy for the gateway application system For flexible protection measures, the security and flexibility of the proxy gateway service control process are improved. Further, the entire TLS access control process does not require the operator to participate, and is transparent to the terminal user, and the illegal https access request can be directly rejected, thereby protecting the security of the operator's device and the operating system, and not only adapting to the WAP gateway.
  • Application system, all other proxy gateway application systems that apply to TLS access can use the invention to block illegal TLS connections and protect corresponding systems, thereby improving the flexibility of service access control and providing users with more secure http services. .

Abstract

本发明涉及通信领域，公开了一种基于代理网关对https访问请求进行控制的方法及装置，用以提高代理网关应用系统的安全性。其中方法为：代理网关接收终端发送的用于建立TLS连接的https访问请求，代理网关根据预设的筛选策略，判断https访问请求携带的二元组控制参数是否合法，若是，则允许终端通过所述https访问请求建立TLS连接，否则拒绝终端通过所述https访问请求建立TLS连接。这样，便可以使用预设的二元组控制参数灵活地管理和控制用于建立TLS连接的https访问请求，有效地对非法TLS连接进行封堵，为代理网关应用系统提供了更为灵活的保护措施，提高了代理网关业务控制流程的安全性和灵活性。

Description

基于代理网关对访问请求进行控制的方法及装置 技术领域 本发明涉及通信领域， 特别涉及一种基于代理网关对 https ( hypertext transfer protocol secure , 安全超文本传输协议 )访问请求进行控制的方法及 装置。 背景技术
随着互联网技术的发展， 用户对互联网提供规模更大， 形式更丰富的 服务的需求也在不断增长。 目前， 通常采用 WAP ( Wireless Application Protocol, 无线应用协议）网关作为终端用户的上网代理， WAP网关最基本 的功能是作为终端的代理网关， 代理终端访问 WAP网站和互联网内容， 提 供基本的 http ( hypertext transfer protocol, 超文本传输协议）代理服务和 WAPl.x的协议转换功能。为了保护用户的私密数据， WAP网关提供了 https 访问请求的力口密数据访问通道，称为 TLS( Transport Layer Security Protocol, 安全传输层协议） 隧道， 用户通过 TLS隧道两端进行密钥协商， 传输过程 中以加密数据进行传输， 使得用户重要数据得以保护。
但 https (指使用了 TLS加密的 http服务）代理服务自身存在的缺陷， 即：
包含 WAP网关的 HTTP CONNECT代理服务器是一种能够允许用户建 立 TCP连接到任何端口的代理网关， 这意味着这种代理不仅可用于 http代 理服务， 还可以用于 FTP ( File Transfer Protocol , 文件传输协议）、 IRC ( Internet Relay Chat, 互联网中继聊天）、 RM ( Real Media )流服务等， 甚 至可以用于扫描、 攻击， 如， 终端可以利用 WAP网关对 https访问请求数 据不能进行处理的缺陷， 使用 HTTP CONNECT代理服务器对 WAP网关重 要系统进行扫描、 攻击等。
有鉴于此， 需要设计一种新的方式，对发往 WAP网站的 TLS请求（即 使用 TLS加密的 https访问请求）进行控制， 对部分非法的 TLS请求及时 进行封堵， 以达到保护代理网关应用系统安全的目的。 发明内容
本发明实施例提供基于代理网关对 https访问请求进行控制的方法及装 置， 用于提高代理网关应用系统的安全性。
本发明实施例提供的具体技术方案如下：
一种基于代理网关对 https访问请求进行控制的方法， 包括：
代理网关接收终端发送的用于建立 TLS连接的 https访问请求， 所述 https访问请求中至少携带有二元组控制参数；
代理网关根据预设的筛选策略， 判断所述 https访问请求携带的二元组 控制参数是否合法，若是，则允许所述终端通过所述 https访问请求建立 TLS 连接， 否则拒绝所述终端通过所述 https访问请求建立 TLS连接。
其中， 所述代理网关为 WAP网关， 或者， 为 WEB网关。
所述二元组控制参数包括终端请求访问的域名和端口号， 或者， 终端 请求访问的 IP地址和端口号。
所述代理网关接收终端发送的 https访问请求后， 确定本地启动了 TLS 访问控制功能时， 再根据预设的筛选策略， 判断所述 https访问请求携带的 二元组控制参数是否合法。
所述代理网关根据预设的筛选策略， 判断所述 https访问请求携带的二 元组控制参数是否合法， 包括：
若所述筛选策略设置为黑名单策略， 则所述代理网关判断所述二元组 控制参数是否记录在黑名单中， 若记录在黑名单中， 则确定所述二元组控 制参数不合法， 若未记录在黑名单中， 则确定所述二元组控制参数合法； 若所述筛选策略设置为白名单策略， 则所述代理网关判断所述二元组 控制参数是否记录在白名单中， 若记录在白名单中， 则确定所述二元组控 制参数合法， 若未记录在白名单中， 则确定所述二元组控制参数不合法。
所述代理网关允许所述终端通过所述 https访问请求建立 TLS连接，包 括： 指示所述终端与相应的服务提供服务器建立 TLS连接， 并在建立 TLS 连接后， 指示终端直接与所述服务提供服务器进行数据交互；
所述代理网关拒绝所述终端通过所述 https访问请求建立 TLS连接，包 括： 所述代理网关向所述终端返回拒绝建立 TLS连接的响应消息， 并断开 本地与所述终端的通信连接。
一种基于代理网关对 https访问请求进行控制的装置， 包括：
通信单元，设置为接收终端发送的用于建立 TLS连接的 https访问请求， 所述 https访问请求中至少携带有二元组控制参数；
控制单元， 设置为根据预设的筛选策略， 判断所述 https访问请求携带 的二元组控制参数是否合法， 若合法， 则允许所述终端通过所述 https访问 请求建立 TLS连接， 若不合法， 则拒绝所述终端通过所述 https访问请求建 立 TLS连接。
其中， 所述装置为 WAP网关， 或者， 为 WEB网关。
所述通信单元接收到的二元组控制参数包括终端请求访问的域名和端 口号， 或者， 终端请求访问的 IP地址和端口号。
所述通信单元接收终端发送的 https访问请求后， 所述控制单元确定本 地启动了 TLS 访问控制功能时， 再根据预设的筛选策略， 判断所述 https 访问请求携带的二元组控制参数是否合法。
所述控制单元根据预设的筛选策略， 判断所述 https访问请求携带的二 元组控制参数是否合法， 包括：
若所述筛选策略设置为黑名单策略， 则所述控制单元判断所述二元组 控制参数是否记录在黑名单中， 若记录在黑名单中， 则确定所述二元组控 制参数不合法， 若未记录在黑名单中， 则确定所述二元组控制参数合法； 若所述筛选策略设置为白名单策略， 则所述控制单元判断所述二元组 控制参数是否记录在白名单中， 若记录在白名单中， 则确定所述二元组控 制参数合法， 若未记录在白名单中， 则确定所述二元组控制参数不合法。
所述控制单元允许所述终端通过所述 https访问请求建立 TLS连接，包 括： 通过所述通信单元指示所述终端与相应的服务提供服务器建立 TLS连 接， 并在建立 TLS连接后， 通过所述通信单元指示终端直接与所述服务提 供服务器进行数据交互；
所述控制单元拒绝所述终端通过所述 https访问请求建立 TLS连接，包 括： 通过所述通信单元向所述终端返回拒绝建立 TLS连接的响应消息， 并 断开本地与所述终端的通信连接。
本发明实施例中， 在代理网关中增设了 TLS访问控制功能， 可以使用 预设的二元组控制参数灵活地管理和控制用于建立 TLS连接的 https访问请 求， 从而有效地对非法 TLS连接进行封堵， 为代理网关应用系统提供了更 为灵活的保护措施， 提高了代理网关业务控制流程的安全性和灵活性。 附图说明
图 1为本发明实施例中 WAP网关应用系统体系架构示意图； 图 2为本发明实施例中 WAP网关功能结构示意图；
图 3为本发明实施例中 WAP网关对 https访问请求进行控制示意流程 示意图；
图 4为本发明实施例中 WAP网关对 https访问请求进行控制详细流程 示意图。 具体实施方式
为了实现代理网关对 https访问请求的控制，防止终端通过 TLS隧道对 代理网关进行非正常操作， 从而提高代理网关应用系统的安全性， 本发明 实施例中， 代理网关接收终端发送用于建立 TLS连接的 https访问请求， 该 https访问请求中至少携带有二元组控制参数， 代理网关根据预设的筛选策 略， 判断接收的 https访问请求携带的二元组控制参数是否合法， 若合法， 则允许终端通过该 https访问请求建立 TLS连接， 若不合法， 则拒绝终端通 过该 https访问请求建立 TLS连接。
本发明实施例中， 所谓的代理网关可以是 WAP网关， 也可以是 WEB 网关， 而所谓的二元组控制参数可以包括终端请求访问的域名和端口号， 也可以是终端请求访问的 IP地址和端口号； 端口号可以按照端口号号段配 置。
另一方面， 本发明实施例中， 为了令代理网关具有对 https访问请求的 控制功能， 可以采用 SP ( Server Provide, 服务提供） 列表的形式记录代理 网关使用的筛选策略， 筛选策略可以设置为黑名单， 也可以设置为白名单， 两者任选其一， 但不可同时使用， 所谓的黑名单是指： 不允许采用 SP列表 中记录的二元组控制参数建立 TLS连接， 而所谓白名单是指： 仅允许使用 SP列表中记录的二元组控制参数建立 TLS连接； 进一步地， SP列表中还 可以设置有用于指示是否启动 TLS连接控制功能的配置参数； 当代理网关 启动后， 读取并加载预设的 SP列表， 以及按照 SP列表的配置内容对终端 发送的用于建立 TLS连接的 https访问请求进行相应控制。
下面以代理网关是 WAP网关为例， 结合附图对本发明优选的实施方式 进行详细说明。
参阅图 1 所示， 本发明实施例中， WAP 网关应用系统中包括终端和 WAP网关， 其中， 终端用于通过 WAP网关请求各种 http应用服务， 具体 地， 向 WAP网关发送用以建立 TLS连接的 https访问请求， 该 https访问请 求中至少携带有二元组控制参数； WAP网关用于对终端的 https访问请求进 行 TLS访问控制， 具体地， 根据预设的筛选策略， 判断接收的 https访问请 求携带的二元组控制参数是否合法， 若合法， 则允许终端通过该 https访问 请求建立 TLS连接， 若不合法， 则拒绝终端通过该 https访问请求建立 TLS 连接， 如图 1所示， WAP网关应用系统中还包括 SP服务器（SP Server ), 用于存储各类 http服务资源， 与通过 WAP网关筛选的终端建立 TLS连接， 通过该 TLS连接向终端提供本地存储的 http服务资源。
若代理网关为 WEB网关， 则上述系统架构同样适用于 WEB网关应用 系统， 在此不再赘述。
参阅图 2所示，本发明实施例中， WAP网关中设置有通信单元 20和控 制单元 21 , 其中，
通信单元 20, 用于接收终端发送的用以建立 TLS连接的 https访问请 求， 该 https访问请求中至少携带有二元组控制参数；
控制单元 21 , 用于根据预设的筛选策略， 判断接收的 https访问请求携 带的二元组控制参数是否合法， 若合法， 则允许终端通过该 https访问请求 建立 TLS连接， 若不合法， 则拒绝终端通过该 https访问请求建立 TLS连 接。
控制单元 21允许终端通过该 https访问请求建立 TLS连接， 包括： 通 过通信单元 20指示终端与相应的服务提供服务器建立 TLS连接，并在建立 TLS连接后， 通过通信单元 20指示终端直接与所述服务提供服务器进行数 据交互；
控制单元 21拒绝终端通过该 https访问请求建立 TLS连接， 包括： 通 过通信单元 20向终端返回拒绝建立 TLS连接的响应消息，并断开本地与终 端的通信连接。 若代理网关为 WEB网关， 同样适用于上述 WAP网关中设置的各种功 能单元， 在此不再赘述。
参阅图 3所示，本发明实施例， WAP网关对终端发送的 https访问请求 进行控制的示意流程如下：
步驟 300: WAP网关接收终端发送的用于建立 TLS连接的 https访问请 求， 该 https访问请求中至少携带有二元组控制参数。
本实施例中， 为了安全起见， WAP网关支持 radius服务（上线鉴权服 务）， 即 WAP 网关在收到终端发送的 https访问请求后， 查询到该终端的 MSISDN(如手机号），并在确定该终端的 MSISDN合法后，再执行步驟 310。
另一方面， WAP 网关接收终端发送的 https访问请求后， 也可以根据
SP列表中记录的配置参数， 确定本地启动了 TLS访问控制功能时， 再执行 步驟 310。
步驟 310: WAP网关根据预设的筛选策略， 判断接收的 https访问请求 携带的二元组控制参数是否合法， 若合法， 则允许终端通过该 https访问请 求建立 TLS连接， 若不合法， 则拒绝终端通过该 https访问请求建立 TLS 连接。
本实施例中， WAP 网关执行根据预设的筛选策略， 判断接收的 https 访问请求携带的二元组控制参数是否合法时， 执行以下操作：
若筛选策略设置为黑名单策略， 则 WAP网关判断 https访问请求消息 中携带的二元组控制参数是否记录在黑名单中， 若是， 则确定该二元组控 制参数不合法， 否则， 确定该二元组控制参数合法；
若筛选策略设置为白名单策略， 则 WAP网关判断 https访问请求消息 中携带的二元组控制参数是否记录在白名单中， 若是， 则确定该二元组控 制参数合法， 否则， 确定该所述二元组控制参数不合法。
所述代理网关允许所述终端通过所述 https访问请求建立 TLS连接，包 括： 指示所述终端与相应的服务提供服务器、 如 SP Server建立 TLS连接， 并在建立 TLS连接后，指示终端直接与所述服务提供服务器进行数据交互； 所述代理网关拒绝所述终端通过所述 https访问请求建立 TLS连接，包 括： 所述代理网关向所述终端返回拒绝建立 TLS连接的响应消息， 并断开 本地与所述终端的通信连接。
基于上述实施例， 参阅图 4所示， 本发明实施例中， WAP网关对终端 发送的 https访问请求进行控制的详细流程如下：
步驟 400: WAP网关接收终端发送的 https访问请求。
步驟 410: WAP 网关判断接收的 https访问请求是否是请求建立 TLS 连接的请求消息， 若是， 则进行步驟 430; 否则， 进行步驟 420。
本实施例中， WAP网关可以根据 https访问请求中指定的标志位来确定 该 https访问请求是否用于请求建立 TLS连接。
步驟 420: WAP网关对所述 https访问请求进行业务访问控制。
步驟 430: WAP网关判断本地是否启用了 TLS访问控制功能， 若未启 用， 则进行步驟 480; 若已启用， 则进行步驟 440;
本实施例中， 启用 /关闭 TLS访问控制功能的按钮可以设置在操作界面 上， 管理人员可以根据实际需要， 启用 /关闭 TLS访问控制功能， 不需要重 启整个业务系统， 即时生效。
步驟 440: WAP网关判断本地配置的筛选策略为黑名单策略还是白名 单策略， 若是黑名单策略， 则执行步驟 450; 若是白名单策略， 则执行步驟 460。
步驟 450: WAP网关判断 https访问请求中携带的请求建立 TLS连接的 二元组控制参数是否记录在黑名单中，若记录在黑名单中，则执行步驟 470; 若未记录在黑名单中， 则执行步驟 480;
步驟 460; WAP网关判断 https访问请求中携带的请求建立 TLS连接的 二元组控制参数是否记录在白名单中，若记录在白名单中，则执行步驟 480; 若未记录在白名单中， 则执行步驟 470;
步驟 470; WAP网关拒绝终端通过 https访问请求建立 TLS连接，接着， 执行步驟 490。
WAP网关执行步驟 470时，可以进一步向终端返回拒绝建立 TLS连接 的响应消息， 并断开本地与终端之间的通信连接， 如 TCP ( Transmission Control Protocol, 传输控制协议）连接。
步驟 480: WAP网关允许终端通过 https访问请求建立 TLS连接，接着， 执行步驟 490。
执行步驟 480 时， WAP 网关指示终端与其请求建立 TLS 连接的 SP Server建立 TLS隧道（即 TLS连接）， 并在建立 TLS隧道后， 指示终端直 接与 SP Server通过 TLS隧道进行数据交互， 无需再经过 WAP网关；
步驟 490: WAP网关将 TLS访问控制流程的执行结果记录在日志文件 中。
在日志文件中， WAP网关会记录 TLP隧道的访问记录（也称为 https 访问内容）， 包含访问内容、 访问开始时间、 结束时间、 访问结果（如 TLS 隧道建立是否成功或被拒绝）等等信息， 用于后续管理操作。
当然， 对于 WEB网关， 上述实施例中记录的流程同样适用， 在此不再 赘述。
本发明实施例中， 上述 TLS连接兼容 SSL ( Secure Sockets Layer, 安 全套接层）相关协议， 因此， 同样适用于采用 SSL相关转文的网络环境， 在 it匕亦不再赞述。
本发明实施例中， 在代理网关中增设了 TLS访问控制功能， 可以使用 预设的二元组控制参数灵活地管理和控制用于建立 TLS连接的 https访问请 求， 从而有效地对非法 TLS连接进行封堵， 为代理网关应用系统提供了更 为灵活的保护措施， 提高了代理网关业务控制流程的安全性和灵活性。 进一步地， 整个 TLS访问控制流程不需要运营商参与， 并且对终端用 户透明， 对非法的 https访问请求可以直接拒绝， 从而保护了运营商的设备 和运行系统的安全， 并且不仅仅适应于 WAP网关应用系统， 其他所有应用 到 TLS访问的代理网关应用系统都可以使用本发明进行非法 TLS连接封 堵， 保护对应的系统， 从而提高了业务访问控制的灵活性， 为用户提供更 为安全的 http服务。
显然， 本领域的技术人员可以对本发明进行各种改动和变型而不脱离 本发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权 利要求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在 内。

Claims

权利要求书
1、 一种基于代理网关对 https访问请求进行控制的方法， 包括： 代理网关接收终端发送的用于建立安全传输层协议 TLS连接的安全超 文本传输协议 https访问请求，所述 https访问请求中至少携带有二元组控制 参数；
代理网关根据预设的筛选策略， 判断所述 https访问请求携带的二元组 控制参数是否合法， 若合法， 则允许所述终端通过所述 https访问请求建立 TLS连接， 若不合法， 则拒绝所述终端通过所述 https访问请求建立 TLS连 接。
2、 如权利要求 1 所述的方法， 其中， 所述代理网关为无线应用协议
WAP网关， 或者， 为 WEB网关。
3、 如权利要求 1所述的方法， 其中， 所述二元组控制参数包括终端请 求访问的域名和端口号， 或者， 终端请求访问的 IP地址和端口号。
4、 如权利要求 1、 2或 3所述的方法， 其中， 所述代理网关接收终端 发送的 https访问请求后， 确定本地启动了 TLS访问控制功能时， 再根据预 设的筛选策略， 判断所述 https访问请求携带的二元组控制参数是否合法。
5、 如权利要求 1、 2或 3所述的方法， 其中， 所述代理网关根据预设 的筛选策略， 判断所述 https访问请求携带的二元组控制参数是否合法， 包 括：
若所述筛选策略设置为黑名单策略， 则所述代理网关判断所述二元组 控制参数是否记录在黑名单中， 若记录在黑名单中， 则确定所述二元组控 制参数不合法， 若未记录在黑名单中， 则确定所述二元组控制参数合法； 若所述筛选策略设置为白名单策略， 则所述代理网关判断所述二元组 控制参数是否记录在白名单中， 若记录在白名单中， 则确定所述二元组控 制参数合法， 若未记录在白名单中， 则确定所述二元组控制参数不合法。
6、 如权利要求 1、 2或 3所述的方法， 其中， 括： 指示所述终端与相应的服务提供服务器建立 TLS连接， 并在建立 TLS 连接后， 指示终端直接与所述服务提供服务器进行数据交互；
所述代理网关拒绝所述终端通过所述 https访问请求建立 TLS连接，包 括： 所述代理网关向所述终端返回拒绝建立 TLS连接的响应消息， 并断开 本地与所述终端的通信连接。
7、 一种基于代理网关对 https访问请求进行控制的装置， 包括： 通信单元，设置为接收终端发送的用于建立 TLS连接的 https访问请求， 所述 https访问请求中至少携带有二元组控制参数；
控制单元， 设置为根据预设的筛选策略， 判断所述 https访问请求携带 的二元组控制参数是否合法， 若合法， 则允许所述终端通过所述 https访问 请求建立 TLS连接， 若不合法， 则拒绝所述终端通过所述 https访问请求建 立 TLS连接。
8、 如权利要求 7所述的装置， 其中， 所述装置为 WAP网关， 或者， 为 WEB网关。
9、 如权利要求 7所述的装置， 其中， 所述通信单元接收到的二元组控 制参数包括终端请求访问的域名和端口号， 或者， 终端请求访问的 IP地址 和端口号。
10、 如权利要求 7、 8或 9所述的装置， 其中， 所述通信单元接收终端 发送的 https访问请求后，所述控制单元确定本地启动了 TLS访问控制功能 时， 再根据预设的筛选策略， 判断所述 https访问请求携带的二元组控制参 数是否合法。
11、 如权利要求 7、 8或 9所述的装置， 其中， 所述控制单元根据预设 的筛选策略， 判断所述 https访问请求携带的二元组控制参数是否合法， 包 括：
若所述筛选策略设置为黑名单策略， 则所述控制单元判断所述二元组 控制参数是否记录在黑名单中， 若记录在黑名单中， 则确定所述二元组控 制参数不合法， 若未记录在黑名单中， 则确定所述二元组控制参数合法； 若所述筛选策略设置为白名单策略， 则所述控制单元判断所述二元组 控制参数是否记录在白名单中， 若记录在白名单中， 则确定所述二元组控 制参数合法， 若未记录在白名单中， 则确定所述二元组控制参数不合法。
12、 如权利要求 7、 8或 9所述的装置， 其中，
所述控制单元允许所述终端通过所述 https访问请求建立 TLS连接，包 括： 通过所述通信单元指示所述终端与相应的服务提供服务器建立 TLS连 接， 并在建立 TLS连接后， 通过所述通信单元指示终端直接与所述服务提 供服务器进行数据交互；
所述控制单元拒绝所述终端通过所述 https访问请求建立 TLS连接，包 括： 通过所述通信单元向所述终端返回拒绝建立 TLS连接的响应消息， 并 断开本地与所述终端的通信连接。
PCT/CN2011/077618 2011-03-16 2011-07-26 基于代理网关对访问请求进行控制的方法及装置 WO2012122773A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110063342.4A CN102685165B (zh) 2011-03-16 2011-03-16 基于代理网关对访问请求进行控制的方法及装置
CN201110063342.4 2011-03-16

Publications (1)

Publication Number Publication Date
WO2012122773A1 true WO2012122773A1 (zh) 2012-09-20

Family

ID=46816528

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/077618 WO2012122773A1 (zh) 2011-03-16 2011-07-26 基于代理网关对访问请求进行控制的方法及装置

Country Status (2)

Country Link
CN (1) CN102685165B (zh)
WO (1) WO2012122773A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016176858A1 (zh) * 2015-05-07 2016-11-10 华为技术有限公司 一种传输请求的方法及客户端

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104811414A (zh) * 2014-01-23 2015-07-29 中国电信股份有限公司 物联网节点接入认证方法和系统以及物联网主节点
CN103873466B (zh) * 2014-03-04 2018-01-19 深信服网络科技（深圳）有限公司 Https网站过滤及阻断告警的方法和装置
CN105577738B (zh) * 2014-11-10 2019-08-02 中国移动通信集团公司 一种处理终端信息的方法、装置及系统
CN105743667B (zh) * 2014-12-08 2019-09-03 中国移动通信集团公司 一种访问管控方法、装置及系统
CN104639555B (zh) * 2015-02-13 2018-07-10 广州华多网络科技有限公司 请求处理方法、系统和装置
CN107079048A (zh) * 2015-03-10 2017-08-18 华为技术有限公司 数据传输方法和设备
CN105245515B (zh) * 2015-09-30 2019-03-05 北京奇虎科技有限公司 一种数据安全传输方法及终端设备
CN105245516B (zh) * 2015-09-30 2019-03-05 北京奇虎科技有限公司 一种数据传输方法及终端设备
CN105282153B (zh) * 2015-09-30 2019-06-04 北京奇虎科技有限公司 一种实现数据传输的方法及终端设备
CN105141705B (zh) * 2015-09-30 2019-05-10 北京奇虎科技有限公司 一种安全传输数据的方法及终端设备
US10225241B2 (en) * 2016-02-12 2019-03-05 Jpu.Io Ltd Mobile security offloader
CN107911398B (zh) * 2018-01-04 2020-12-15 世纪龙信息网络有限责任公司 身份信息的认证方法、装置以及系统
CN110710187B (zh) * 2018-05-30 2022-01-07 Oppo广东移动通信有限公司 用于流量检测的方法和设备以及计算机可读存储介质
CN112954001B (zh) * 2021-01-18 2022-02-15 武汉绿色网络信息服务有限责任公司 一种http转https双向透明代理的方法和装置
CN114095210A (zh) * 2021-10-28 2022-02-25 北京天融信网络安全技术有限公司 基于安全网关自身防御外联的方法、系统以及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090227228A1 (en) * 2008-03-07 2009-09-10 Hu Q James Enhanced policy capabilities for mobile data services
CN101572700A (zh) * 2009-02-10 2009-11-04 中科正阳信息安全技术有限公司 一种HTTP Flood分布式拒绝服务攻击防御方法
CN101600207A (zh) * 2009-06-18 2009-12-09 中兴通讯股份有限公司 一种基于wap的sp访问控制方法和系统
CN101674268A (zh) * 2009-09-25 2010-03-17 中兴通讯股份有限公司 接入因特网控制装置及其方法、网关

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7634572B2 (en) * 2004-12-22 2009-12-15 Slipstream Data Inc. Browser-plugin based method for advanced HTTPS data processing
CN101141243A (zh) * 2006-09-08 2008-03-12 飞塔信息科技（北京）有限公司 一种对通信数据进行安全检查和内容过滤的装置和方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090227228A1 (en) * 2008-03-07 2009-09-10 Hu Q James Enhanced policy capabilities for mobile data services
CN101572700A (zh) * 2009-02-10 2009-11-04 中科正阳信息安全技术有限公司 一种HTTP Flood分布式拒绝服务攻击防御方法
CN101600207A (zh) * 2009-06-18 2009-12-09 中兴通讯股份有限公司 一种基于wap的sp访问控制方法和系统
CN101674268A (zh) * 2009-09-25 2010-03-17 中兴通讯股份有限公司 接入因特网控制装置及其方法、网关

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016176858A1 (zh) * 2015-05-07 2016-11-10 华为技术有限公司 一种传输请求的方法及客户端

Also Published As

Publication number Publication date
CN102685165B (zh) 2015-01-28
CN102685165A (zh) 2012-09-19

Similar Documents

Publication Publication Date Title
WO2012122773A1 (zh) 基于代理网关对访问请求进行控制的方法及装置
US11652792B2 (en) Endpoint security domain name server agent
US10003616B2 (en) Destination domain extraction for secure protocols
KR101093902B1 (ko) 사용자가 ｉｐ 망에 접속시 로컬 관리 도메인에서 사용자를 위한 접속 인증을 관리하는 방법 및 시스템
US8650620B2 (en) Methods and apparatus to control privileges of mobile device applications
JP7393514B2 (ja) モバイルデバイスの効率的なサイバー保護のための方法およびシステム
US9350704B2 (en) Provisioning network access through a firewall
US20170063940A1 (en) Secure communications with internet-enabled devices
US6345299B2 (en) Distributed security system for a communication network
US20080282080A1 (en) Method and apparatus for adapting a communication network according to information provided by a trusted client
US20150058916A1 (en) Detecting encrypted tunneling traffic
US20130055347A1 (en) Hardware interface access control for mobile applications
US20090300739A1 (en) Authentication for distributed secure content management system
JPWO2005101217A1 (ja) アドレス変換方法、アクセス制御方法、及びそれらの方法を用いた装置
WO2010060385A1 (zh) 一种跨越虚拟防火墙发送和接收数据的方法、装置及系统
US11539695B2 (en) Secure controlled access to protected resources
JP5864598B2 (ja) ユーザにサービスアクセスを提供する方法およびシステム
KR101896453B1 (ko) 원격접근의 어플리케이션 제약 해소와 통신 보안성 향상을 위한 게이트웨이 방식의 접근통제 시스템
WO2015080661A1 (en) Method and arrangements for intermediary node discovery during handshake
CN108111536B (zh) 一种应用级安全跨域通信方法及系统
JP2007257507A (ja) 端末のアクセス認証時に端末のソフトウェアをアップデートするシステム
CN104918248A (zh) 应用流量管理、应用加速和安全的企业移动安全网关方法
JP3863441B2 (ja) 認証アクセス制御サーバ装置、認証アクセス制御方法、認証アクセス制御プログラム及びそのプログラムを記録したコンピュータ読み取り可能な記録媒体
JP2007006248A (ja) リモートアクセス方法、およびリモートアクセスシステム
US11736516B2 (en) SSL/TLS spoofing using tags

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11861066

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11861066

Country of ref document: EP

Kind code of ref document: A1