基于协议的外置授权系统及授权方法技术方案

本发明专利技术公开了基于协议的外置授权系统及授权方法，包括授权主机、协议网关、安全盒以及授权协议接口；所述授权主机，记录全部所述安全盒的ID和密钥；所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机所述授权主机；所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。本发明专利技术克服了现有的数据加密和授权，严重依赖于特定操作系统，语言的等问题，也克服了系统运维人员具有超级权限及漏洞的问题。

【技术实现步骤摘要】
基于协议的外置授权系统及授权方法
本专利技术涉及通信
，具体为基于协议的外置授权系统及授权方法。
技术介绍
随着技术的进步，大量的数据（包括但不限于视频，音频）需要加密，但是，实时对全体数据进行全文加密，再在内部授权节点上，对全体数据做全文解密成为了一个难点。而且对于关键机构，数据被泄密引起的后果，要较市场机构的数据泄密严重得多！目前，市场机构（银行/证券/运营商）采用的是防火墙隔离的策略，即，内部的授权的客户端，可以访问关键数据；外部的视为非授权客户端，不允许访问关键数据。即使有防火墙，内部的大量客户端和服务器各自都有各种漏洞，虽然来自外部的攻击和盗取风险被限制了，但是来自内部人士的攻击和盗取风险无法被限制；而且至关重要的数据，仅仅只是在传输过程中被保护，到了内部的服务器上，实际上又回到了明文状态，并没有被妥善处理。目前也有很多设计方通过采用许多复杂的协议来减少漏洞，但譬如TCP/IP（或者3G/4G/5G）均存在协议漏洞，潜在的攻击者可以基于这些漏洞破解加密的消息，也不是很安全。
技术实现思路
本专利技术的目的在于提供一种基于协议的外置授权系统及授权方法，克服了现有的数据加密和授权，严重依赖于特定操作系统，数据库，开发工具，语言的问题，也克服了系统运维人员具有超级权限的问题。避免了操作系统的漏洞，数据库的漏洞，开发工具的漏洞，语言的漏洞，协议实现的漏洞，系统运维人员的错误等导致发生的严重后果。为实现上述目的，本专利技术采用的技术方案是：提供基于协议的外置授权系统，包括授权主机、协议网关、安全盒以及授权协议接口；所述授权主机，记录全部所述安全盒的ID和密钥；所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机所述授权主机；所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。优选的，本技术方案中，所述协议网关为SIGN协议网关、VIEW协议网关及MAKE协议网关中的任一种。优选的，本技术方案中，所述授权协议包括数据备份协议、放号协议、登录获取临时密钥进行加密的协议、请求临时密钥进行解密的协议以及配置非安全盒设备的协议中一种或多种组合。本专利技术的另一个目的在于提供一种基于协议的外置授权系统的授权方法，包括如下步骤：S000，对安全盒分配ID，将安全盒的ID和密钥登记在安全盒和授权主机上；S010，安全盒与授权主机进行协议互认S011，安全盒通过协议网关过滤消息，再转发至授权主机S012，授权主机基于协议，做出处理结果并转回安全盒S013，授权主机和安全盒双方核对正确，则安全盒基于临时密钥进行数据加密S014，内部设备基于安全盒获取加密数据的临时密钥在节点上恢复及并访问数据S015，授权主机和安全盒双方核对异常，则授权主机或安全盒传送报警信号至管理员做出处理。优选的，本技术方案中，所述步骤S000对所述安全盒分配ID是指在安全环境，对一系列的所述安全盒分配ID，基于串口、网口、USB或各种内部网络通信将各个所述安全盒的ID和密钥同时登记于本安全盒及所述授权主机上。优选的，本技术方案中，所述步骤S010中安全盒与授权主机进行协议互认，是指所述安全盒与所述授权主机基于定义好的协议，进行只扫包括所述安全盒ID和密钥参数的协议互认，互认后的参数将被同时存入所述安全盒和所述授权主机。优选的，本技术方案中，所述步骤S013中安全盒基于临时密钥进行数据加密，是指采用XOR加密算法对原始数据的帧头部分做加密，并将加密数据上报给数据存储节点。与现有技术对比，本专利技术具备以下有益效果：1、本专利技术通过唯ID和密钥，来制造安全盒，安全盒基于协议，为节点设备提供加密保护，授权访问。2、本专利技术独立于任何操作系统、数据库、开发工具、语言，基于协议，实现授权。具体是不受任何操作系统、数据库以及开发工具的缺陷和漏洞所影响，也不因语言的问题，协议实现的漏洞，所影响。3、本专利技术不给系统运维人员提供超级权限，从而杜绝了系统运维人员私下盗取关键内部数据的问题。附图说明图1为本专利技术系统结构示意图；图2为本专利技术系统的授权方法流程图。具体实施方式下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。如图1所示基于协议的外置授权系统，包括授权主机(英文缩写：MAIN)、协议网关(英文缩写：SIGN/VIEW/MAKE)、安全盒(英文缩写：AUTH)以及授权协议接口(英文缩写：AUTHPROTOCAL)。具体应用时本专利技术的系统采用分布式部署，授权主机部署在安全机房的内网（或者云上），协议网关部署在安全机房的内网和外网之间，数据加密的安全盒，可以基于互联网接入机房，数据解密的安全盒，总是位于内网的指定位置。进一步的，本专利技术的授权主机，记录了全部安全盒的ID和密钥。安全盒可直接访问协议网关，或借助于节点设备建立的链路，访问协议网关，从而实现授权主机与安全盒的互认，互认通过后，则可以进行实时的数据加密传输。具体是授权主机记录了全部安全盒的ID盒密钥，它只接收来自协议网关转发的过滤后的消息。系统不允许BACK消息直接到达授权主机，以防止ID和密钥被盗取，只有在获得安全授权的情况下，才能直接从物理上访问授权主机，被对授权主机的ID和密钥进行基于BACK消息备份。当然，也可以强制取消客户的运维人员的安全授权，由专门的安全人员负责BACK备份。进一步的，本专利技术的协议网关，由内部双节点组成，双节点之间，采用裸协议转发（即过滤掉任何非法消息），只转发约定的协议消息到所述授权主机授权主机，从而，确保授权主机收到的消息格式，全部为预定格式的消息，确保了授权主机的安全。更具体的是协议网关由内部双节点组成，可以是SIGN协议网关，VIEW协议网关，MAKE协议网关中的任一种，且每一种协议网关，将只支持一种已知协议的过滤。采用内部裸协议转发的设计方案，是指外部协议不管基于TCP/UDP/3G/4G/5G/工业互联网中的任一种，内部接口都是裸协议的（目前是采用TTL串口转发，也可以是SPI/USB等接口或自定义的接口），无论在何种接口上，协议本身规定的格式和定义都完全一致；如此，即使是TCP/UDP协议栈的实现存在漏洞，也不会影响裸协议的转发。或者说，任何针对特定协议栈的，已知或未知的漏洞攻击，均无法给裸协议的转发制造障碍。进一步的，本专利技术的安全盒，它在生产环境下，从授权主机获得了ID和密钥（它可以有多种尺寸和形态，基于TTL串口或USB或其他方式与节点设备通讯）；在工作环境下，在协议接口中只许可本文档来自技高网...

【技术保护点】
1.基于协议的外置授权系统，其特征在于，包括授权主机、协议网关、安全盒以及授权协议接口；/n所述授权主机，记录全部所述安全盒的ID和密钥；/n所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；/n所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机；/n所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。/n

【技术特征摘要】
1.基于协议的外置授权系统，其特征在于，包括授权主机、协议网关、安全盒以及授权协议接口；
所述授权主机，记录全部所述安全盒的ID和密钥；
所述安全盒，在生产环境下，从所述授权主机获取ID和密钥；在工作环境下，在所述授权协议接口中只许可ID和密钥经过变换之后的数据传递；
所述协议网关，由内部双节点组成，双节点之间采用裸协议转发，只转发约定的协议消息到所述授权主机；
所述授权协议接口，是一组允许所述协议网关转发消息到所述授权主机的规定协议。


2.根据权利要求1所述的基于协议的外置授权系统，其特征在于，所述协议网关为SIGN协议网关、VIEW协议网关及MAKE协议网关中的任一种。


3.根据权利要求1所述的基于协议的外置授权系统，其特征在于，所述授权协议包括数据备份协议、放号协议、登录获取临时密钥进行加密的协议、请求临时密钥进行解密的协议以及配置非安全盒设备的协议中一种或多种组合。


4.根据权利要求1-3任一所述的基于协议的外置授权系统的授权方法，其特征在于，包括如下步骤：
S000，对安全盒分配ID，将安全盒的ID和密钥登记在安全盒和授权主机上；
S010，安全盒与授权主机进行协议互认<...

【专利技术属性】
技术研发人员：王志东，王志晓，
申请(专利权)人：王志东，
类型：发明
国别省市：河北;13