一种网络信息的安全保护方法及系统技术方案

本发明专利技术公开了一种网络信息的安全保护方法，包括：用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全插件加载至当前页面中；在当前页面环境条件下，客户端和服务器对一次性安全插件进行防劫持认证；当防劫持认证成功后，客户端使用一次性安全插件对用户信息和用户密码信息加密，并发送至服务器对用户信息和用户密码信息进行登录认证；当用户信息和用户密码信息登录认证成功后，客户端使用一次性安全插件对在登录时间内的网络信息加密，并发送至服务器。其目的是在浏览器信息不更改的前提下进行安全加强认证，防止中间人劫持或修改请求后模拟请求获取非法数据，以及对浏览器端的用户敏感数据进行保护。

【技术实现步骤摘要】

本专利技术涉及网络安全防护领域，特别是涉及一种网络信息的安全保护方法及系统。
技术介绍
随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。现有的解决方案如短信验证码、电子签名、加密算法等，存在的问题有：公共的加密算法(md5、sha1等)容易破解，所有用户使用同一种加密算法；登录用户权限等信息和sessionId存储方式(cookie存储、localStorage存储)，所以存在所有客户端都易被攻击的风险，使其自身利益得不到保障；短信验证容易被截取、私钥存储安全无法保证。
技术实现思路
本专利技术的提供了一种网络信息的安全保护方法及系统，其目的是在浏览器信息不更改的前提下进行安全加强认证，防止中间人劫持或修改请求后模拟请求获取非法数据，以及对浏览器端的用户敏感数据进行保护。本专利技术提供的技术方案如下：一种网络信息的安全保护方法，包括：步骤S100用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全插件加载至所述当前页面中；步骤S200在所述当前页面环境条件下，所述客户端和所述服务器对所述一次性安全插件进行防劫持认证；步骤S300当所述防劫持认证成功后，所述客户端使用所述一次性安全插件对用户信息和用户密码信息加密，并发送至服务器对所述用户信息和用户密码信息进行登录认证；步骤S400当所述用户信息和用户密码信息登录认证成功后，所述客户端使用所述一次性安全插件对在登录时间内的网络信息加密，并发送至服务器。在本专利技术中，实现了通过一次session会话(浏览器信息不更改前提下)进行安全加强认证，防止中间人劫持或修改请求后模拟请求获取非法数据，以及对浏览器端的用户敏感数据进行保护。优选的，包括：S310当所述防劫持认证失败时，所述服务器作废所述一次性安全插件。在本专利技术中，当认证失败，即在用户登录当前页面时，对唯一标识信息进行认证与初始的唯一标识信息中的内容不一致，说明当前登录时，网络受到攻击，发现异常，此时退出登录，换取新的浏览器，或者重新下发对JS插件信息的申请；本实施例的认证措施进一步的保证网络信息的安全。优选的，所述步骤S200包括：步骤S210所述客户端向所述服务器请求防劫持认证；步骤S220所述服务器生成挑战码，并记录后发送给所述客户端；所述S230所述客户端再次获取当前页面所属的浏览器唯一标识信息，使用所述一次性安全插件、以及再次获取的唯一标识信息，对接收到的挑战码加密生成一次性动态口令，并发送至服务器；步骤S240所述服务器使用记录的一次性安全插件和记录的唯一标识信息，对接收到的一次性动态口令解密得出挑战码，并将解密得出的挑战码与记录的挑战码进行比对；步骤S250当解密得出的挑战码与记录的挑战码相同时，所述防劫持认证成功；否则，所述防劫持认证失败。优选的，所述步骤S324将解密得出的挑战码与记录的挑战码进行比对包括：将所述步骤S100中客户端获取的当前页面所属的浏览器唯一标识信息与所述步骤S230中所述客户端再次获取的当前页面所属的浏览器唯一标识信息对比时否一致，和/或，客户端的ID信息是否一致。在本专利技术中，通过设备信息、页面信息、用户信息以及生成的JS插件信息实现对网络登录信息的加密、解密、安全认证等过程，加强了敏感信息的防护，以保证整个session会话过程中网络请求的安全，防止中间人劫持或者修改请求后迷你获取非法数据，对浏览器端的用户的敏感数据进行保护。优选的，所述步骤S220包括：步骤S221所述客户端根据所述当前页面所属的浏览器的信息向所述服务器申请挑战码；步骤S222所述服务器根据所述当前页面所属的浏览器的信息根据预设的算法生成随机数；步骤S223所述服务器根据生成的所述随机数生成挑战码；步骤S224所述服务器将生成的所述挑战码记录，并发送至所述客户端。在本专利技术中，通过生成的挑战码为一次动态密码的生提供保证基础，使在页面登录时，对于敏感数据的安全等到保证。优选的，所述步骤S100包括：步骤S110用户准备登录时，所述客户端获取当前页面所属的浏览器唯一标识信息，并发送所述唯一标识信息向所述服务器申请一次性安全插件；步骤S120所述服务器根据所述申请提供相应的一次性安全插件，并记录所述的唯一标识信息、和所述相应的一次性安全插件，其中根据所述唯一标识信息的变化不同提供的所述一次性安全插件相应的变化不同；步骤S130所述客户端接收所述一次性安全插件，并将获取的所述一次性安全插件加载至所述当前页面中。在本专利技术中，客户端请求JS插件，在发送请求时与uuid进行绑定，为进一步的验证提供基础，使数据信息更加安全的可靠地运行。一种网络信息的安全保护系统，包括：申请登录模块，用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全插件加载至所述当前页面中；信息认证模块，与所述信息记录模块电连接，在所述当前页面环境条件下，所述客户端和所述服务器对所述一次性安全插件进行防劫持认证；登录认证模块，与所述信息记录模块电连接，当所述信息认证模块对所述一次性安全插件进行防劫持认证成功后，所述客户端使用所述一次性安全插件对用户信息和用户密码信息加密，并发送至服务器对所述用户信息和用户密码信息进行登录认证；信息发送模块，与所述登录认证模块电连接，当所述登录认证模块对所述服务器对所述用户信息和用户密码信息进行登录认证成功后，所述客户端使用所述一次性安全插件对在登录时间内的网络信息加密，并发送至服务器。在本专利技术中，实现了通过一次session会话(浏览器信息不更改前提下)进行安全加强认证，防止中间人劫持或修改请求后模拟请求获取非法数据，以及对浏览器端的用户敏感数据进行保护。优选的，还包括：信息处理模块，当所述登录认证模块对所述服务器对所述用户信息和用户密码信息进行登录认证失败时，所述服务器作废所述一次性安全插件。具体的，在本专利技术中，当认证失败，即在用户登录当前页面时，对唯一标识信息进行认证与初始的唯一标识信息中的内容不一致，说明当前登录时，网络受到攻击，发现异常，此时退出登录，换取新的浏览器，或者重新下发对JS插件信息的申请；本实施例的认证措施进一步的保证网络信息的安全。优选的，所述信息认证模块包括：认证请求子模块，所述客户端向所述服务器请求防劫持认证；挑战码生成子模，所述服务器生成挑战码，并记录后发送给所述客户端；动态口令生成子模块，所述客户端再次获取当前页面所属的浏览器唯一标识信息，使用所述一次性安全插件、以及再次获取的唯一标识信息，对接收到的挑战码加密生成一次性动态口令，并发送至服务器；挑战码比对子模块，所述服务器使用记录的一次性安全插件和记录的唯一标识信息，对接收到的一次性动态口令解密得出挑战码，并将解密得出的挑战码与记录的挑战码进行比对；挑战码比对判定子模块，当解密得出的挑战码与记录的挑战码相同时，所述防本文档来自技高网...

【技术保护点】
一种网络信息的安全保护方法，其特征在于，包括：步骤S100用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全插件加载至所述当前页面中；步骤S200在所述当前页面环境条件下，所述客户端和所述服务器对所述一次性安全插件进行防劫持认证；步骤S300当所述防劫持认证成功后，所述客户端使用所述一次性安全插件对用户信息和用户密码信息加密，并发送至所述服务器对所述用户信息和用户密码信息进行登录认证；步骤S400当所述用户信息和用户密码信息登录认证成功后，所述客户端使用所述一次性安全插件对在登录时间内的网络信息加密，并发送至所述服务器。

【技术特征摘要】
1.一种网络信息的安全保护方法，其特征在于，包括：步骤S100用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全插件加载至所述当前页面中；步骤S200在所述当前页面环境条件下，所述客户端和所述服务器对所述一次性安全插件进行防劫持认证；步骤S300当所述防劫持认证成功后，所述客户端使用所述一次性安全插件对用户信息和用户密码信息加密，并发送至所述服务器对所述用户信息和用户密码信息进行登录认证；步骤S400当所述用户信息和用户密码信息登录认证成功后，所述客户端使用所述一次性安全插件对在登录时间内的网络信息加密，并发送至所述服务器。2.根据权利要求1所述的网络信息的安全认证方法，其特征在于，还包括：S310当所述防劫持认证失败时，所述服务器作废所述一次性安全插件。3.根据权利要求1所述的网络信息的安全认证方法，其特征在于，所述步骤S200包括：步骤S210所述客户端向所述服务器请求防劫持认证；步骤S220所述服务器生成挑战码，并记录后发送给所述客户端；所述S230所述客户端再次获取当前页面所属的浏览器唯一标识信息，使用所述一次性安全插件、以及再次获取的唯一标识信息，对接收到的挑战码加密生成一次性动态口令，并发送至所述服务器；步骤S240所述服务器使用记录的一次性安全插件和记录的唯一标识信息，对接收到的一次性动态口令解密得出挑战码，并将解密得出的挑战码与记录的挑战码进行比对；步骤S250当解密得出的挑战码与记录的挑战码相同时，所述防劫持认证成功；否则，所述防劫持认证失败。4.根据权利要求3所述的网络信息的安全认证方法，其特征在于，所述步骤S324将解密得出的挑战码与记录的挑战码进行比对包括：将所述步骤S100中客户端获取的当前页面所属的浏览器唯一标识信息与所述步骤S230中所述客户端再次获取的当前页面所属的浏览器唯一标识信息对比时否一致，或，唯一标识信息对比时否一致和客户端的ID信息是否一致。5.根据权利要求4所述的网络信息的安全认证方法，其特征在于，所述步骤S220包括：步骤S221所述客户端根据所述当前页面所属的浏览器的信息向所述服务器申请挑战码；步骤S222所述服务器根据所述当前页面所属的浏览器的信息根据预设的算法生成随机数；步骤S223所述服务器根据生成的所述随机数生成挑战码；步骤S224所述服务器将生成的所述挑战码记录，并发送至所述客户端。6.根据权利要求1所述的网络信息的安全保护方法，其特征在于，所述步骤S100包括：步骤S110用户准备登录时，所述客户端获取当前页面所属的浏览器唯一标识信息，并发送所述唯一标识信息向所述服务器申请一次性安全插件；步骤S120所述服务器根据所述申请提供相应的一次性安全插件，并记录所述的唯一标识信息、和所述相应的一次性安全插件，其中根据所述唯一标识信息的变化不同提供的所述一次性安全插件相应的变化不同；步骤S130所述客户端接收所述一次性安全插件，并将获取的所述一次性安全插件加载至所述当前页面中。7.一种网络信息的安全保护系统，其特征在于，包括：申请登录模块，用户准备登陆时，客户端获取当前页面所属的浏览器唯一标识信息，并将向服务器申请的一次性安全...

【专利技术属性】
技术研发人员：谈剑锋，田长凯，姜立稳，胡剑波，谢勇，钱金金，
申请(专利权)人：上海众人网络安全技术有限公司，
类型：发明
国别省市：上海;31