用于保护客户端及服务器的方法技术

服务提供者使用基于客户端／服务器模式并在诸如因特网、内联网、外联网等网络上执行的系统为服务使用者提供服务。如果服务使用者向服务提供者请求服务，服务提供者便在服务使用者的系统中安装保护区并在该保护区内执行服务使用者所请求的程序，从而使服务使用者的系统及服务提供者的系统都得到安全地保护。基于虚拟机分配的软件分发使得不熟悉计算机的使用者也能容易、快捷地使用个人计算机。

【技术实现步骤摘要】
【国外来华专利技术】
本专利技术涉及一种用于保护客户端/服务器模式的服务提供系统免受外部黑客攻击的方法，其构建并运行于网络环境中，包括内联网或外联网环境。具体地说，在客户端系统中创建一独立于现有操作系统环境的保护区，并且客户端应用程序都只在该保护区内运行。服务器应用程序仅信任那些由运行于保护区的客户端应用程序创建的网络数据包。因此，服务器系统和/或客户端系统可以免受外部黑客的攻击。
技术介绍
一般来说，执行于网络环境的服务提供系统包括配置客户端的服务使用者(以下称为用户)及配置服务器的服务提供者(以下称为提供者)。提供者在服务器中安装服务器应用程序；用户则在其系统中安装由提供者分发的客户端应用程序，以使用提供者的服务。服务器应用程序与客户端应用程序进行交互以提供服务。然而，在许多情况下，用户并不能信任提供者，反过来，提供者也不能信任用户。这种信任的缺乏阻碍了基于信息科技(IT)的服务业的发展，而且有时还作为犯罪手段被滥用。由于提供者分发的应用程序可能是一种恶意程序，例如间谍软件、广告软件或是一些可能感染电脑病毒的配置文件，所以用户不能信任提供者。在这种情况下，如果安装了恶意程序或感染病毒的文件，用户系统也会被恶意程序或病毒感染。反过来说，由于用户系统在安全性方面通常是脆弱的，所以提供者不能够信任用户。提供者系统会由于用户系统的漏洞而变得脆弱。有时，用户可以通过逆向工程技术分析由提供者分发的应用程序并攻-->击重要逻辑。在诸如网上银行或类似的金融交易服务中，内部逻辑应该得到保护免受黑客攻击，并且一个通过外联网向合作企业提供商业服务的企业应该保护自身服务系统不会由于合作企业系统的安全漏洞而变得不稳定。已提出多种用于在此类客户端及服务器之间建立相互可靠性的方法。在通过网络环境提供的常规服务中，客户端防止黑客攻击的安全防护设备包括防病毒产品、补丁管理系统等等，而服务器或网络侧的安全防护设备则包括网络防火墙、WEB(应用)防护墙、漏洞扫描工具、源代码分析工具等等。以下将对各种技术的细节及局限性加以说明。防病毒产品利用列举有知名恶意代码的签名清单来诊断每个文件，并确定该文件是否感染了恶意代码。然而，由于恶意代码是直到其为众所周知并被向呼叫中心报告后才包含在该签名清单中，因此其在诊断恶意代码上存在局限性。补丁管理系统将最新的安全补丁应用于操作系统或应用程序，从而将个人计算机(PC)保持在一个安全的状态。然而，一个没有对应补丁发布的漏洞则不能得到保护。网络防火墙拦截外部黑客利用存在于网络层及传输层的漏洞所进行的攻击，网络层即OSI(Open Systems Interconnection，开放系统互联)7层中的层3，传输层即OSI7层中的层4。图1概念性地显示了网络防火墙150的功能，图中用户以网络防火墙为基础使用IP(Inernet Protocol，互联网协议)地址及端口号建立了一个访问控制规则151，并拦截了来自未经授权攻击者的网络数据包。例如，如果一个经授权使用FTP(File Transfer Protocol，文件传输协议)服务的用户100尝试连接到FTP服务160，网络防火墙150会允许相应的连接；而如果一个未经授权使用FTP服务的人110尝-->试连接到FTP服务160，网络防火墙150会拦截相应的连接。然而，由于在启用防火墙时，基于IP地址及端口号允许或拒绝连接，因此，如果黑客攻击进入一个授权用户的机器并使用授权用户的机器进行攻击，或者授权用户恶意进行攻击，则无法对此类攻击进行防护。另一方面，由于所有用户120都被允许访问网络服务170，网络防火墙150会允许所有指向网络服务170的数据包。然而，如果类似网络服务这样属于一个向外界开放的服务器的网络应用程序易受攻击，则任何人都可以攻击对应的漏洞，因此网络防火墙150不能防护该漏洞免受外部黑客的攻击。也就是说，网络防火墙150可以控制被允许的服务及不被允许的服务，但不能防护对被允许服务漏洞的攻击。为解决上述问题提出了应用防火墙。应用防火墙运行于应用层，也即OSI7层中的层7，从而可以识别各种协议，例如HTTP(hyper texttransfer protocol，超文本传输协议)、文件传输协议FTP、SMTP(simple message transfer protocol，简易消息传输协议)等等，并且能防护对存在于对应程序上的漏洞的攻击。图2显示了网络应用防火墙220，其是一种典型的应用防火墙。网络应用防火墙220提供了数据包过滤系统222并以数据包过滤的方式运行，在该方式中接收的数据包要与预先确定的格式221比较。如果接收的数据包为恶意数据包200，则会被拦截；如果接收端的数据包为正常数据包210，则会被转发给网络服务器230。然而，由于网络应用服务器220是基于已知的攻击技术来创建上述格式221，因此存在的问题是，攻击者可以通过稍微转换现有的攻击技术来绕过格式过滤系统222，未知的攻击技术则得不到防护。由于所有传入的数据包都需要与数以万计预先确定的格式221进行比较，因此网络服务的速度会显著变慢。此外，如果一个正常的数据包210偶然地与预先确定的格式221匹配，该数据包会被误认为恶意数-->据包，从而可能存在正常用户被拦截而无法使用网络服务的副作用。另外，因为网络应用服务器220仅能监视普通攻击方式，所以定位于某个具体网站的漏洞则难于防护。例如，由于一种针对与家庭购物有关的网站将商品价格由10,000韩元修改为1,000韩元的攻击，仅仅对相应的网站有意义，这样网络应用服务器220不能有效地防护这种攻击。网络应用防火墙220是一种拦截针对应用程序漏洞进行攻击的方法，而不对相应的漏洞进行处理。相反地，漏洞扫描工具或源代码分析工具使用的是消除漏洞本身的方法。漏洞扫描工具通过从应用程序服务器外部传送用于诊断漏洞的数据包并确认其响应来检测漏洞的存在，源代码分析工具则直接检查源代码并确定漏洞的存在。图3显示了使用漏洞扫描工具及源代码分析工具的过程。如果步骤300开始应用程序的开发，通常要进行设计及编码步骤310。如果应用程序的某一部分完成，则进行漏洞分析步骤320，在该步骤中漏洞扫描工具或源代码分析工具被执行用于确认目前为止所创建的代码中是否存在漏洞。此时，如果发现漏洞，则应用程序执行修改步骤330，并重复执行直本文档来自技高网...

【技术保护点】
一种由服务提供者通过网络向服务使用者提供服务的方法，该方法包括以下步骤：　接收所述服务使用者的服务请求；　由所述服务提供者通过网络在所述服务使用者的系统中创建保护区；及　在所述保护区内运行由所述服务提供者提供的服务应用程序 ，　其中，所述保护区独立于服务使用者系统中保护区以外的区域。

【技术特征摘要】
【国外来华专利技术】KR 2006-5-18 10-2006-0044601;KR 2007-3-20 10-2007-1、一种由服务提供者通过网络向服务使用者提供服务的方法，
该方法包括以下步骤：
接收所述服务使用者的服务请求；
由所述服务提供者通过网络在所述服务使用者的系统中创建保
护区；及
在所述保护区内运行由所述服务提供者提供的服务应用程序，
其中，所述保护区独立于服务使用者系统中保护区以外的区域。
2、如权利要求1所述的方法，其特征在于，所述保护区是通过
传送虚拟机的镜像创建的。
3、如权利要求2所述的方法，其特征在于，所述虚拟机的镜像
包括至少一部分提供服务所需的应用程序。
4、如权利要求2所述的方法，其特征在于，所述保护区是通过
虚拟化操作系统创建的，从而所述服务使用者系统被分为宿主操作系
统及客户操作系统，并且所述客户操作系统形成所述保护区。
5、如权利要求4所述的方法，其特征在于，所述方法还包括：
校验所述宿主操作系统的对象是否为可访问的；
其中，如果为可访问的，则所述宿主操作系统的对象在所述客户
操作系统中是可用的。
6、如权利要求4所述的方法，其特征在于，所述方法还包括：
校验所述宿主操作系统的资源是否是安全的；
其中，如果是安全的，则所述宿主操作系统的资源共享于所述客
户操作系统。
7、如权利要求1所述的方法，其特征在于，所述服务提供者仅
接收从所述保护区中创建的数据。
8、如权利要求1或7所述的方法，其特征在于，所述方法还包
括：
校验所述服务提供者传送或接收的数据的完整性。
9、如权利要求8所述的方法，其特征在于，所述数据完整性的
校验是通过在一端对数据进行加密并在另一端对数据进行解密而实
现的。
10、如权利要求8所述的方法，其特征在于，所述数据完整性的
校验是通过在一端为数据附加哈希值并对接收数据所附加的哈希值
进行确认而实现的。
11、一种分发程序的方法，该方法包括以下步骤：
接收服务使用者对至少一个程序的请求；
向所述服务使用者传送虚拟机镜像；及
在所述服务使用者的系统中安装所述虚拟机镜像；
其中所述服务...

【专利技术属性】
技术研发人员：李尚奎，
申请(专利权)人：李尚奎，
类型：发明
国别省市：KR[韩国]