一种安全认证方法、系统及装置制造方法及图纸

本发明专利技术公开了一种安全认证方法、系统及装置，在会话层和传输层建立连接过程中，借助非对称加密和挑战应答机制实现客户端与服务端的双向身份证明和鉴别，从而杜绝黑客假冒双方身份的行为，使通信过程真实可信；在会话密钥协商阶段，基于客户端和服务端证书执行双向身份认证和交叉加密的密钥协商机制，从而杜绝了会话劫持和中间人攻击；在接受客户端请求后，生成解析结果并使用服务端私钥对结果数据进行签名，客户端获得查询结果后可通过验证签名确保结果数据无法被篡改。确保结果数据无法被篡改。确保结果数据无法被篡改。

【技术实现步骤摘要】
一种安全认证方法、系统及装置


[0001]本专利技术涉及信息安全领域，特别涉及一种安全认证方法、系统及装置。

技术介绍

[0002]当前，随着工业互联网和信息技术的快速发展，基于Handle的标识解析在国内也有了丰富的应用场景。身份鉴别和访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常规访问。它也是维护网络系统安全、保护网络资源的重要手段。访问控制规定了主体对客体访问的限制，并在身份认证的基础上，对提出资源访问的请求加以控制。它是对信息系统资源进行保护的重要措施，也是计算机系统最重要和最基础的安全机制。身份认证是实现访问控制的前提和基础。
[0003]传统互联网中TCP/IP协议作为网络的基础协议，从设计之初并没有考虑到网络将会面临如此多的威胁，导致目前出现了许多种攻击方法。IP协议为了将数据信息包从原设备传送到目的设备，需要依赖IP地址与IP路由器。IP地址是机器语言，通常较长，所以尽管IP地址具有唯一性，但是不方便记忆与使用，人们便在此基础上专利技术了DNS(Domain Name System)即域名解析系统，域名通常较短，兼具可读性与实用性。由于域名与IP地址呈一一对应关系，因此，上网时只需在地址栏输入域名，系统会直接进行域名解析，将域名翻译成IP地址。
[0004]针对DNS服务的常见攻击主要是两种：一种是“域名劫持”，当DNS域名服务器执行完域名检索，域名服务器会保存域名记录，每条记录都会包含域名与IP地址的唯一对应关系，如果域名服务器中被攻击，导致用户欲访问的域名真实对应的IP地址被篡改，那么攻击者就可以人为操纵用户的最终访问地址，而在此过程中用户无法判断DNS解析的IP地址的真实性；另一种是“域名欺骗”或“域名污染”，当用户通过电脑发送“域名查询”至域名服务器后，域名服务器解析域名对应的IP地址后会将应答回应发送回用户电脑，发送请求与接收信息过程中间会出现时间差，攻击者可能会利用网络中间人攻击在用户接收信息应答前，伪造错误IP应答至电脑，导致用户访问错误的IP地址。
[0005]由于标识解析技术的发展路径仍基于DNS服务原理，而DNS解析过程对解析请求身份鉴别脆弱而导致攻击频繁。因此急需一种安全认证手段，能够避免黑客的DNS服务攻击。

技术实现思路

[0006]针对现有技术在解析过程中容易被攻击的问题，本专利技术提供了一种安全认证方法、系统及装置，主要针对Handle标识解析过程中的身份认证风险，使用密码技术对解析过程进行加强，避免黑客使用类似DNS服务攻击的手法来攻击Handle标识解析。
[0007]以下是本专利技术的技术方案。
[0008]一种安全认证方法，包括以下步骤：客户端获取私钥以及服务端的公钥；所述客户端根据所述私钥生成第一密钥协商数据，并将所述第一密钥协商数据通
过所述公钥加密后生成第二密钥协商数据发送给服务端；所述客户端接收服务端发送的第三密钥协商数据，并利用第一密钥协商数据和第三密钥协商数据计算会话密钥，其中所述第三密钥协商数据是由所述服务端利用服务端的私钥生成；所述客户端基于该会话密钥与服务端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；所述客户端请求向服务端进行敏感数据操作时，接收来自服务端的挑战质询消息，所述客户端生成应答值并回复服务端，认证通过后所述客户端获得敏感数据操作权限。
[0009]本专利技术在会话层和传输层建立连接过程中，基于非对称加密和挑战应答机制实现客户端与服务端的双向身份证明和鉴别，从而杜绝黑客假冒双方身份的行为，使通信过程真实可信；在会话密钥协商阶段，基于客户端和服务端证书执行双向身份认证和交叉加密的密钥协商机制，从而杜绝了会话劫持和中间人攻击；在接受客户端请求后，生成解析结果并使用服务端私钥对结果数据进行签名，客户端获得查询结果后可通过验证签名确保结果数据无法被篡改。
[0010]作为优选，接收来自服务端的挑战质询消息，所述客户端生成应答值并回复服务端，包括：所述客户端使用客户端私钥对挑战质询消息中的挑战值进行数字签名，生成应答值，通过所述质询应答消息将所述应答值发送给服务端；其中所述质询应答消息中的应答值的数字签名值如经服务端使用客户端公钥进行验证且通过，则完成安全认证。
[0011]作为优选，所述客户端获得敏感数据操作权限，包括：所述客户端发送标识解析请求消息查询指定的Handle标识对应的数据；客户端收到由服务端采用服务端私钥对Handle标识对应的数据检索结果进行签名后生成的标识解析响应消息；客户端使用服务端公钥验证标识解析响应消息中数字签名的有效性，以确定Handle解析结果的正确性和完整性。
[0012]作为优选，所述私钥和公钥通过SM2算法获得。
[0013]作为优选，还包括：当所述挑战质询未通过时，客户端与服务器端重新进行会话密钥协商，且在会话密钥协商的同时再次进行挑战质询。
[0014]本专利技术还提供一种安全认证方法，包括以下步骤：服务端获取私钥以及客户端的公钥；所述服务端接收客户端发来的第二密钥协商数据，利用私钥进行解密得到第一密钥协商数据；所述服务端根据所述私钥生成第三密钥协商数据，并将所述第三密钥协商数据通过所述客户端的公钥加密后生成第四密钥协商数据发送给客户端；所述服务端利用第一密钥协商数据和第三密钥协商数据计算会话密钥；所述服务端端基于该会话密钥与客户端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；服务端收到客户端的敏感数据操作请求时，发送挑战质询消息至客户端，收到客
户端生成的应答值并认证通过后，所述服务端给予客户端敏感数据操作权限。
[0015]作为优选，收到客户端生成的应答值并认证，包括：对应答值中的数字签名值使用客户端公钥进行验证，如通过则完成安全认证。
[0016]作为优选，所述服务端给予客户端敏感数据操作权限，包括：服务端根据客户端发送的标识解析请求消息查询指定的Handle标识对应的数据；对Handle标识对应的数据检索结果进行签名后生成的标识解析响应消息，发送至客户端。
[0017]本专利技术还提供一种安全认证系统，包括客户端及服务端，所述客户端，用于获取私钥以及服务端的公钥；根据所述私钥生成第一密钥协商数据，并将所述第一密钥协商数据通过所述公钥加密后生成第二密钥协商数据发送给服务端；接收服务端发送的第三密钥协商数据，并利用第一密钥协商数据和第三密钥协商数据计算会话密钥，其中所述第三密钥协商数据是由所述服务端利用服务端的私钥生成；基于该会话密钥与服务端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；请求向服务端进行敏感数据操作时，将接收来自服务端的挑战质询消息，所述客户端生成应答值并回复服务端，认证通过后所述客户端获得敏感数据操作权限。
[0018]所述服务端，用于获取私钥以及客户端的公钥；接收客户端发来的第二密钥协商数据，利用私钥进行解密得到第一密钥协商数据；根据所述私钥生成第三密钥协商数据，并将所述本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种安全认证方法，其特征在于，包括以下步骤：客户端获取私钥以及服务端的公钥；所述客户端根据所述私钥生成第一密钥协商数据，并将所述第一密钥协商数据通过所述公钥加密后生成第二密钥协商数据发送给服务端；所述客户端接收服务端发送的第三密钥协商数据，并利用第一密钥协商数据和第三密钥协商数据计算会话密钥，其中所述第三密钥协商数据是由所述服务端利用服务端的私钥生成；所述客户端基于该会话密钥与服务端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；所述客户端请求向服务端进行敏感数据操作时，接收来自服务端的挑战质询消息，所述客户端生成应答值并回复服务端，认证通过后所述客户端获得敏感数据操作权限。2.根据权利要求1所述的一种安全认证方法，其特征在于，，接收来自服务端的挑战质询消息，所述客户端生成应答值并回复服务端，包括：所述客户端使用客户端私钥对挑战质询消息中的挑战值进行数字签名，生成应答值，通过所述质询应答消息将所述应答值发送给服务端；其中所述质询应答消息中的应答值的数字签名值如经服务端使用客户端公钥进行验证且通过，则完成安全认证。3.根据权利要求1所述的一种安全认证方法，其特征在于，所述客户端获得敏感数据操作权限，包括：所述客户端发送标识解析请求消息查询指定的Handle标识对应的数据；客户端收到由服务端采用服务端私钥对Handle标识对应的数据检索结果进行签名后生成的标识解析响应消息；客户端使用服务端公钥验证标识解析响应消息中数字签名的有效性，以确定Handle解析结果的正确性和完整性。4.根据权利要求1所述的一种安全认证方法，其特征在于，所述私钥和公钥通过SM2算法获得。5.根据权利要求1所述的一种安全认证方法，其特征在于，还包括：当所述挑战质询未通过时，客户端与服务器端重新进行会话密钥协商，且在会话密钥协商的同时再次进行挑战质询。6.一种安全认证方法，其特征在于，包括以下步骤：服务端获取私钥以及客户端的公钥；所述服务端接收客户端发来的第二密钥协商数据，利用私钥进行解密得到第一密钥协商数据；所述服务端根据所述私钥生成第三密钥协商数据，并将所述第三密钥协商数据通过所述客户端的公钥加密后生成第四密钥协商数据发送给客户端；所述服务端利用第一密钥协商数据和第三密钥协商数据计算会话密钥；所述服务端端基于该会话密钥与客户端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；服务端收到客户端的敏感数据操作请求时，发送挑战质询消息至客户端，收到客户端
生成的应答值并认证通过后，所述服务端给予客户端敏感数据操作权限。7.根据权利要求6所述的一种安全认证方法，其特征在于，收到客户端生成的应答值并认证，包括：对应答值中的数字签名值使用客户端公钥进行验证，如通过则完成安全认证。8.根据权利要求6所述的一种安全认证方法，其特征在于，所述服务端给予客户端敏感数据操作权限，包括：服务端根据客户端发送的标识解析请求消息查询指定的Handle标识对应的数据；对Handle标识对应的数据检索结果进行签名后生成的标识解析响应消息，发送至客户端。9.一种安全认证系统，包括客户端及服务端，其特征在于，所述客户端，用于获取私钥以及服务端的公钥；根据所述私钥生成第一密钥协商数据，并将所述第一密钥协商数据通过所述公钥加密后生成第二密钥协商数据发送给服务端；接收服务端发送的第三密钥协商数据，并利用第一密钥协商数据和第三密钥协商数据计算会话密钥，其中所述第三密钥协商数据是由所述服务端利用服务端的私钥生成；基于该会话密钥与服务端建立安全会话通道，客户端与服务端之间的会话通讯数据由该会话密钥加密和解密；请求向...

【专利技术属性】
技术研发人员：崔建业，戴向文，倪旭明，赵凯美，盛辉，厉立锋，卢文达，王焕娟，杨珂，罗开明，
申请(专利权)人：国网浙江省电力有限公司国网电子商务有限公司许继集团有限公司，
类型：发明
国别省市：