一种基于单包授权机制的访问控制方法及密码机技术

本发明专利技术公开了一种基于单包授权机制的访问控制方法及密码机，其中方法包括：登录密码机，初始化业务主机身份USBKey；将初始化完成的USBKey接入到业务主机，该业务主机部署有需要使用密码机的业务系统及密码机的HSM

【技术实现步骤摘要】
一种基于单包授权机制的访问控制方法及密码机


[0001]本专利技术涉及信息安全密码
，尤其涉及一种基于单包授权机制的访问控制方法及密码机。

技术介绍

[0002]密码机作为密码基础设备，为应用提供最为基础和底层的密钥管理和密码运算服务。密码机提供服务时，通常采用基于防火墙的网络白名单机制实现业务主机的访问控制，即由管理人员在密码机的管理界面登记业务主机的IP地址到白名单中；当密码机工作时，仅允许白名单中的IP地址通过防火墙使用密码服务。
[0003]传统基于IP地址的网络白名单访问控制方法，仅验证请求IP地址是否在白名单当中，无法保证IP地址对应的业务主机身份是否真实，存在恶意第三方冒用IP地址对密码机发起攻击，致使密码机不能安全可靠地提供密码服务，为业务系统的稳定运行带来风险。
[0004]此外，若业务主机IP地址发生变化，需要管理人员再次登录到密码机调整白名单以变更访问控制策略；而密码机通常署在核心机房且不允许远程管理，频繁进入核心机房变更配置既增加管理成本，同时也为机房管理带来风险。

技术实现思路

[0005]为了解决上述问题，本专利技术提出一种基于单包授权机制的访问控制方法及密码机，解决了密码机无法验证业务主机身份真实性问题，解决了业务主机IP地址变化带来的配置频繁变更问题，实现了密码机对业务主机的身份认证以及访问策略的动态控制，从而更加安全、灵活地提供密码服务。
[0006]本专利技术采用的技术方案如下：
[0007]一种基于单包授权机制的访问控制方法，包括：
[0008]步骤1：登录密码机，初始化业务主机身份USBKey，在USBKey中生成签名密钥对并写入设备签名公钥，在密码机中登记该USBKey的标识ID与签名公钥的映射关系；
[0009]步骤2：将初始化完成的USBKey接入到业务主机，所述业务主机部署有需要使用密码机的业务系统及密码机的HSM
‑
SDK，业务系统通过HSM
‑
SDK与密码机进行交互；
[0010]步骤3：业务系统调用HSM
‑
SDK封装单包授权认证请求报文，并以UDP报文方式发送到已知IP地址的密码机；
[0011]步骤4：密码机收到单包授权认证请求报文，对报文进行多重检查；
[0012]步骤5：密码机根据请求报文中的源IP地址选择服务端口并启动独立的密码服务进程；
[0013]步骤6：密码机根据请求报文中的源IP地址动态生成并启用防火墙的访问策略；
[0014]步骤7：密码机封装单包授权认证响应报文；
[0015]步骤8：业务主机收到响应报文并进行解析和验证；
[0016]步骤9：业务系统使用响应报文中的服务端口与密码机进行TCP通信，调用密码服
务。
[0017]进一步地，所述步骤3中，单包授权认证请求报文的内容至少包括：USBKey标识、时间戳、源IP地址即业务主机IP地址、采用USBKey签名私钥对前述内容进行私钥加密运算得到的签名值。
[0018]进一步地，所述步骤4中，多重检查过程至少包括：
[0019]步骤4.1：密码机解析出请求报文中的源IP地址，检查该IP地址是否命中密码机的网络黑名单；
[0020]步骤4.2：密码机解析出请求报文中的时间戳，检查时间戳是否满足时效性；
[0021]步骤4.3：密码机解析出USBKey的标识，检查是否存在与该标识匹配的签名公钥；
[0022]步骤4.4：密码机使用步骤4.3中获取到的签名公钥验证报文中的签名值。
[0023]进一步地，所述步骤4中，仅当所有检查通过后，才允许执行步骤5；否则任一项检查失败，直接丢弃报文，不做任何回应。
[0024]进一步地，所述步骤5中，密码机根据请求报文中的源IP地址，先检查是否已为其启动独立的密码服务进程，若未查找到进程，再为该IP地址选择服务端口并启动独立的密码服务进程。
[0025]进一步地，所述步骤6中，密码机根据请求报文中的源IP地址动态生成并启用防火墙的访问策略，允许该IP地址通过选定的服务端口调用密码机的密码服务。
[0026]进一步地，所述步骤7中，密码机封装单包授权认证响应报文至少包括：服务端口、当次授权失效时间以及使用设备签名私钥对前述内容的签名值。
[0027]进一步地，所述步骤8中，业务主机收到响应报文后，由HSM
‑
SDK解析出报文签名值，并从USBKey中读取出密码机的设备公钥，使用设备公钥验证报文的签名值；若验证通过，则执行步骤9；否则，单包授权认证失败，向业务系统返回错误码。
[0028]进一步地，所述步骤9中，在当次授权失效时间到来之前，由HSM
‑
SDK重新发起单包授权认证请求。
[0029]一种基于单包授权机制的密码机，包括：
[0030]单包授权模块，用于处理业务系统发起的单包认证请求，并在认证通过后，启动密码服务进程以及动态调整密码机的访问控制策略；
[0031]设备管理模块，用于进行各种管理操作，包括初始化业务主机配用的USBKey，登记USBKey的标识信息与签名公钥的映射关系；
[0032]密钥管理模块，用于对密码机内部存储的各类密钥进行全生命周期的安全管理，包括对设备签名密钥对的管理；
[0033]N个密码服务模块，用于为业务系统提供各类密码服务，不同IP地址对应不同的密码服务进程；
[0034]动态策略库，用于缓存单包授权模块认证通过后生成的所有防火墙策略；
[0035]网络黑名单，用于记录当前网络环境中被禁止使用密码服务的所有IP地址信息。
[0036]本专利技术的有益效果在于：
[0037]密码机使用USBKey作为业务主机的物理身份介质，采用数字签名技术实现单包授权机制，实现业务主机的强身份认证以及访问控制策略的动态调整，既能有效减少恶意主机发起的网络攻击，又带来了设备管理上的便捷性。同时，结合网络黑名单、动态服务端口
以及密码服务进程隔离等技术手段，进一步增强了密码机的服务安全性。
附图说明
[0038]图1为本专利技术实例1提供的一种基于单包授权机制实现的访问控制方法流程图。
[0039]图2为本专利技术实例2提供的一种密码机内部软件结构示意图。
具体实施方式
[0040]为了对本专利技术的技术特征、目的和效果有更加清楚的理解，现说明本专利技术的具体实施方式。应当理解，此处所描述的具体实施例仅用以解释本专利技术，并不用于限定本专利技术，即所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本专利技术保护的范围。
[0041]实施例1
[0042]本实施例提供了一种基于单包授权机制的访问控制方法，使用智能密码钥匙(USBKey)作为业务系统的物理身份介质，采用数字签名本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于单包授权机制的访问控制方法，其特征在于，包括：步骤1：登录密码机，初始化业务主机身份USBKey，在USBKey中生成签名密钥对并写入设备签名公钥，在密码机中登记该USBKey的标识ID与签名公钥的映射关系；步骤2：将初始化完成的USBKey接入到业务主机，所述业务主机部署有需要使用密码机的业务系统及密码机的HSM
‑
SDK，业务系统通过HSM
‑
SDK与密码机进行交互；步骤3：业务系统调用HSM
‑
SDK封装单包授权认证请求报文，并以UDP报文方式发送到已知IP地址的密码机；步骤4：密码机收到单包授权认证请求报文，对报文进行多重检查；步骤5：密码机根据请求报文中的源IP地址选择服务端口并启动独立的密码服务进程；步骤6：密码机根据请求报文中的源IP地址动态生成并启用防火墙的访问策略；步骤7：密码机封装单包授权认证响应报文；步骤8：业务主机收到响应报文并进行解析和验证；步骤9：业务系统使用响应报文中的服务端口与密码机进行TCP通信，调用密码服务。2.根据权利要求1所述的基于单包授权机制的访问控制方法，其特征在于，所述步骤3中，单包授权认证请求报文的内容至少包括：USBKey标识、时间戳、源IP地址即业务主机IP地址、采用USBKey签名私钥对前述内容进行私钥加密运算得到的签名值。3.根据权利要求1所述的基于单包授权机制的访问控制方法，其特征在于，所述步骤4中，多重检查过程至少包括：步骤4.1：密码机解析出请求报文中的源IP地址，检查该IP地址是否命中密码机的网络黑名单；步骤4.2：密码机解析出请求报文中的时间戳，检查时间戳是否满足时效性；步骤4.3：密码机解析出USBKey的标识，检查是否存在与该标识匹配的签名公钥；步骤4.4：密码机使用步骤4.3中获取到的签名公钥验证报文中的签名值。4.根据权利要求1所述的基于单包授权机制的访问控制方法，其特征在于，所述步骤4中，仅当所有检查通过后，才允许执行步骤5；否则任一项检查失败，直接丢弃报文，不做任何回应。5.根据权利要求1所述的基于单包授...

【专利技术属性】
技术研发人员：李欣，李元正，唐伟，
申请(专利权)人：成都国泰网信科技有限公司，
类型：发明
国别省市：