CN101286871A - 基于数字证书和安全协议的隔离***配置方法 - Google Patents
基于数字证书和安全协议的隔离***配置方法 Download PDFInfo
- Publication number
- CN101286871A CN101286871A CNA2008100378221A CN200810037822A CN101286871A CN 101286871 A CN101286871 A CN 101286871A CN A2008100378221 A CNA2008100378221 A CN A2008100378221A CN 200810037822 A CN200810037822 A CN 200810037822A CN 101286871 A CN101286871 A CN 101286871A
- Authority
- CN
- China
- Prior art keywords
- configuration
- processing unit
- configuration information
- identity
- office terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
一种基于数字证书和安全协议的隔离***配置方法，属于信息安全领域。本发明采用证书验证管理终端和用户身份的合法性和可靠性，并通过SSL协议实现管理终端和网络隔离***配置信息的安全性，同时通过内网管理单元来实现对外网处理单元配置信息的的认证和转发，这样不再需要隔离***管理员进行两次配置。最终由外网处理单元对配置信息进行接收，内网处理单元的配置信息和外网处理单元的配置信息通过不同的SSL连接发送。本发明主要利用安全通信协议，同时利用数字证书方面的成果来保证管理的安全性，具有非常高的可靠性，能有效解决目前***管理不够方便，安全性低的缺点。
Description
技术领域
本发明涉及一种隔离***配置方法，具体是一种基于数字证书和安全协议的隔离***配置方法，属于信息安全技术领域。
背景技术
信息技术和网络互联技术的应用和发展，一方面给人们的工作和生活带来极大的便利，另一方面，网络与信息安全问题日益突出，网络安全问题越来越难以得到保证。目前普遍采用的网络安全机制主要有防火墙、VPN、数据加密技术、入侵监测和网络漏洞扫描等。但是，由于网络攻击方法和黑客技术不断提高和发展，普通的网络安全产品无法满足重要网络和数据的安全需求。对于金融、政府和科研机构等对网络安全有高等级要求的用户，它们往往是建立一个专用的内部网络，和公网之间采用物理或逻辑隔离。这就给不同信任域之间的信息交换带来了不便，各种隔离技术应运而生。
双主机***是实现网络隔离***的重要方案，即一主机***对应内网处理单元负责连接内部网络，另一主机***对应外网处理单元，负责连接外部网络，两个网络处理单元之间通过安全数据交换通道相连接。目前几乎所有的网络隔离***都采用这种方案，不同处在于连接两个网络处理单元之间的安全数据交换通道的实现方式不同。
管理配置是网络隔离***的重要内容，在很大程度上决定了网络隔离***的安全性。因两个网络处理单元都需要管理和配置，这给网络隔离***的管理安全性带来挑战。目前的管理方案主要有：1)两个网络管理单元分别进行管理，如用一台PC机通过串口，先连接到内网处理单元实现对内网处理单元的管理，然后连接到外网处理单元实现对外网处理单元的管理；2)只连接到一个网络处理单元上进行管理，管理配置信息通过安全数据交换通道发送到另外一个网络处理单元上，从而实现对另外一个网络处理单元的管理。前者隔离***管理方案最大的问题在于***管理不方便，而且容易出错，类似的安全策略要进行两次配置，经常会出现配置不一致的情况。后者的隔离***管理方案容易带来一定的安全隐患，如果连接配置的那个网络管理单元被攻击或被非法控制，就可以给另外一个管理单元发送刻意设计出的管理配置信息，进而实现对另外一个网络处理单元的非法控制，从而内外网直接非法连通。
经对现有技术的文献检索发现，同济大学的赵平等在《计算机安全》2006年11期第9页上发表的“网络隔离监控管理平台设计与实现”，该文提出了一种网络隔离***的管理和配置方法，具体内容包括，用户管理、日志管理，及***配置管理等，具体方法是：通过普通客户服务器模式，基于windowsocket来实现配置信息的通信，其不足在与：隔离***配置的安全性不能得到保障。
发明内容
本发明针对现有技术的不足和缺陷，提出一种基于数字证书和安全协议的隔离***配置方法，以增强目前网络隔离***中的安全管理。本发明主要利用安全通信协议，同时利用数字证书方面的成果来保证管理的安全性，具有非常高的可靠性，能有效解决目前***管理不够方便，安全性低的缺点。
本发明是通过以下技术方案实现的，本发明采用证书验证管理终端和用户身份的合法性和可靠性，并通过SSL协议实现管理终端和网络隔离***配置信息的安全性，同时通过内网管理单元来实现对外网处理单元配置信息的的认证和转发，这样不再需要隔离***管理员进行两次配置。最终由外网处理单元对配置信息进行接收。内网处理单元的配置信息和外网处理单元的配置信息通过不同的SSL连接发送。
所述采用证书验证管理终端和用户身份，是指主要借助身份证书来验证管理终端的可靠性，身份证书也用来验证用户的身份，只有通过证书验证的终端和管理者才能实施远程***配置管理。管理员通过管理终端进行隔离***的管理配置时，要求将保存身份证书的USBkey***到管理终端上，管理终端该USBkey上的身份证书提交给内外网处理单元，待内外网处理单元验证身份证书的合法性后，管理员才能进行隔离***的配置操作。
所述通过SSL协议实现管理终端和网络隔离***配置信息，是指基于SSL协议和证书在主机***和管理终端间建立起一条虚拟的安全通道。在发送来自管理终端的配置数据时，管理终端利用身份证书的私钥对配置数据进行加密，内网网处理单元接收到该配置数据的密文后，能够利用该身份证书的对应公钥进行解密从而得到正确的配置数据。即使攻击者能够获得数据信息的密文，也只能通过公钥解析出配置信息内容，因为攻击者不知道身份证书的私钥，因而不可能自己生成相应的配置数据密文，即不可能成功篡改配置数据。
所述通过内网管理单元来实现对外网处理单元配置信息的认证和转发，具体为：内网处理单元在接收到来自于配置管理终端的配置信息后，首先区分哪些是针对本单元的管理配置信息，哪些是针对外网处理单元的管理配置信息。对针对本单元进行基于证书的身份认证，认证通过后基于配置信息完成本网络处理单元的配置；对针对外网处理单元的配置信息，自己不进行任何处理，直接通过内网间的安全数据交换通道发送到外网处理单元。
所述外网处理单元对配置信息进行接收，具体为：外网处理单元在接收到来自内网处理单元转发来的配置信息后，对本单元进行基于证书的身份认证，认证通过后基于配置信息完成本网络处理单元的配置。
本发明提出一种安全、便捷的配置方法，以增强目前网络隔离***中的管理问题。本发明重点考虑了两个方面的问题：管理配置的便捷性和管理配置的安全性。管理配置的便捷性在本发明中主要体现在两个方面：只需要通过PC机连接到一个网络处理单元上就能对整个网络隔离***进行管理，无需再依次连接到两个网络处理单元；类似的网络安全控制策略配置一次即可，而无需配置两次，这可以在很大程度上减少网络隔离***出错的概率。管理配置的安全性也体现在两个方面：采用数字证书技术对管理信息进行相应的权限认证，只有拥有相应证书才能实施网络隔离***的配置管理；安全协议保证管理配置信息在传输过程中的安全性，即使内网处理单元被攻击和非法控制，攻击者也不能控制外网处理单元，在内外网间也不能实现不符合既定安全策略的数据交换。
附图说明
图1是本发明实施例采用的***结构示意图。
具体实施方式
下面结合附图对本发明的实施例作详细说明：本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。
如图1所示，基于数字证书技术和安全协议相结合的网络隔离***配置实施主要包括三方面的工作：管理终端操作实施，内网处理单元操作实施，外网处理单元操作实施。
(1)管理终端操作实施
管理终端提供给管理员相应的管理配置界面，管理员通过该界面实现对***的管理。在实施***管理之前，管理员需要向管理终端提交数字身份证书，然后把管理员的身份证书提交给管理配置服务器，验证通过后，管理终端和管理配置服务器协商出一个会话密钥，利用该会话密钥从而建立起一条可靠的通信连接，即所传递的管理信息通过会话密钥进行加密处理。
具体流程主要包括：管理界面接收管理员配置，形成相应的配置信息，然后基于身份证书与内网处理单元间建立起SSL连接，将网络隔离***的配置信息发送到内网处理单元。在建立SSL连接和配置信息的过程中，内网处理单元的配置信息和外网处理单元的配置信息通过不同的SSL连接发送。
(2)内网处理单元配置处理
内网处理单元配置处理主要对应于内网处理单元的配置实施，以及将对应于外网处理单元的配置信息区分出来，并转发给外网处理单元。内网处理单元配置处理具体包括如下功能：
①配置分发：依据SSL连接的不同，区分出对应外网处理单元的SSL连接，将这些连接对应的SSL数据转发给外网处理单元；将其它SSL连接数据交给本单元的SSL协议处理模块。
②SSL协议处理：接收SSL连接传来的配置信息，基于证书验证模块提供的功能，验证配置管理信息是否合法，对于合法的配置信息交给配置信息实施模块进行处理。
③证书验证：主要用于完成身份证书的认证，从而防止配置信息的非法篡改。
④配置实施：针对管理终端发来的操作请求，管理配置实施模块根据不同的操作请求来执行具体的管理操作，从而满足管理终端发来的操作请求，实现管理员的管理意图。
(3)外网处理单元配置处理
外网处理单元配置处理主要对应于外网处理单元的配置实施，具体包括如下流程：
①SSL协议处理：接收SSL连接传来的配置信息，基于证书验证模块提供的功能，验证配置管理信息是否合法，对于合法的配置信息交给配置信息实施模块进行处理。
②证书验证：主要用于完成身份证书的认证，从而防止配置信息的非法篡改。
③配置实施：针对管理终端发来的操作请求，管理配置实施模块需要根据不同的操作请求来执行具体的管理操作，从而满足管理终端发来的操作请求，实现管理员的管理意图。
本发明能够提供便捷的***管理配置方式，对内外网处理单元进行配置，不再需要配置终端同时或依次分别与内外网单元进行物理连接，只要将管理终端的网络与内网处理单元的配置网络接口连接即可，具有较好的易用性。另一方面，网络安全隔离与数据交换***的配置安全也得到很好的保证，即使内网处理单元完全被非法控制，攻击者也不能伪造配置数据给外网处理单元，也不能达到控制外网处理单元的目的。
Claims (8)
1、一种基于数字证书和安全协议的隔离***配置方法，其特征在于：采用证书验证管理终端和用户身份的合法性和可靠性，并利用SSL协议实现管理终端和网络隔离***配置信息的安全性，同时通过内网管理单元来实现对外网处理单元配置信息的的认证和转发，最终由外网处理单元对配置信息进行接收，内网处理单元的配置信息和外网处理单元的配置信息通过不同的SSL连接发送。
2、根据权利要求1所述的基于数字证书和安全协议的隔离***配置方法，其特征是：所述采用证书验证管理终端和用户身份，是指借助身份证书来验证管理终端的可靠性，身份证书也用来验证用户的身份，只有通过证书验证的终端和管理者才能实施远程***配置管理，管理员通过管理终端进行隔离***的管理配置时，要求将保存身份证书的USBkey***到管理终端上，管理终端该USBkey上的身份证书提交给内外网处理单元，待内外网处理单元验证身份证书的合法性后，管理员才能进行隔离***的配置操作。
3、根据权利要求1所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述通过SSL协议实现管理终端和网络隔离***配置信息，是指基于SSL协议和证书在主机***和管理终端间建立起一条虚拟的安全通道，在发送来自管理终端的配置数据时，管理终端利用身份证书的私钥对配置数据进行加密，内网网处理单元接收到该配置数据的密文后，能够利用该身份证书的对应公钥进行解密从而得到正确的配置数据，即使攻击者能够获得数据信息的密文，也只能通过公钥解析出配置信息内容，因为攻击者不知道身份证书的私钥，因而不可能自己生成相应的配置数据密文，即不可能成功篡改配置数据。
4、根据权利要求1或2或3所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述管理终端提供给管理员相应的管理配置界面，管理员通过该界面实现对***的管理，在实施***管理之前，管理员需要向管理终端提交数字身份证书，然后把管理员的身份证书提交给管理配置服务器，验证通过后，管理终端和管理配置服务器协商出一个会话密钥，利用该会话密钥从而建立起一条可靠的通信连接，即所传递的管理信息通过会话密钥进行加密处理。
5、根据权利要求1所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述通过内网管理单元来实现对外网处理单元配置信息的认证和转发，具体为：内网处理单元在接收到来自于配置管理终端的配置信息后，首先区分哪些是针对本单元的管理配置信息，哪些是针对外网处理单元的管理配置信息，对针对本单元进行基于证书的身份认证，认证通过后基于配置信息完成本网络处理单元的配置；对针对外网处理单元的配置信息，自己不进行任何处理，直接通过内网间的安全数据交换通道发送到外网处理单元。
6、根据权利要求1或5所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述内网处理单元，其配置处理内容包括：
①配置分发：依据SSL连接的不同，区分出对应外网处理单元的SSL连接，将这些连接对应的SSL数据转发给外网处理单元，将其它SSL连接数据交给本单元的SSL协议处理模块；
②SSL协议处理：接收SSL连接传来的配置信息，基于证书验证提供的功能，验证配置管理信息是否合法，对于合法的配置信息进行配置实施处理；
③证书验证：用于完成身份证书的认证，从而防止配置信息的非法篡改；
④配置实施：针对管理终端发来的操作请求，管理配置实施模块根据操作请求来执行具体的管理操作，从而满足管理终端发来的操作请求，实现管理员的管理意图。
7、根据权利要求1所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述外网处理单元对配置信息进行接收，具体为：外网处理单元在接收到来自内网处理单元转发来的配置信息后，对本单元进行基于证书的身份认证，认证通过后基于配置信息完成本网络处理单元的配置。
8、根据权利要求1或5或7所述的基于数字证书和安全协议的隔离***配置方法，其特征是，所述外网处理单元，其配置处理内容包括：
①SSL协议处理：接收SSL连接传来的配置信息，基于证书验证提供的功能，验证配置管理信息是否合法，对于合法的配置信息进行配置实施处理；
②证书验证：用于完成身份证书的认证，从而防止配置信息的非法篡改；
③配置实施：针对管理终端发来的操作请求，管理配置实施模块需要根据操作请求来执行具体的管理操作，从而满足管理终端发来的操作请求，实现管理员的管理意图。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2008100378221A CN101286871B (zh) | 2008-05-22 | 2008-05-22 | 基于数字证书和安全协议的隔离***配置方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2008100378221A CN101286871B (zh) | 2008-05-22 | 2008-05-22 | 基于数字证书和安全协议的隔离***配置方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN101286871A true CN101286871A (zh) | 2008-10-15 |
| CN101286871B CN101286871B (zh) | 2010-12-01 |
Family
ID=40058853
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN2008100378221A Expired - Fee Related CN101286871B (zh) | 2008-05-22 | 2008-05-22 | 基于数字证书和安全协议的隔离***配置方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN101286871B (zh) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101459559B (zh) * | 2008-12-26 | 2011-05-11 | 中兴通讯股份有限公司 | 一种对监控用户配置信息进行存储及管理的方法与*** |
| CN104092743A (zh) * | 2014-06-27 | 2014-10-08 | 清华大学 | 云环境下用户数据的保护方法及*** |
| CN104578422A (zh) * | 2015-01-13 | 2015-04-29 | 国电南瑞科技股份有限公司 | 一种变电站远动转发表的远程维护方法 |
| WO2017177866A1 (en) * | 2016-04-11 | 2017-10-19 | Huawei Technologies Co., Ltd. | Activation of mobile devices in enterprise mobile management |
| CN113329002A (zh) * | 2021-05-20 | 2021-08-31 | 普天通信有限责任公司 | 一种物联网数据汇聚*** |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1305271C (zh) * | 2004-04-29 | 2007-03-14 | 上海交通大学 | 基于代理映射的网络安全隔离与信息交换***及方法 |
| CN1905460A (zh) * | 2005-07-29 | 2007-01-31 | 上海恩梯梯通信工程有限公司 | 高级隔离区网络*** |
| CN101083607B (zh) * | 2006-05-30 | 2010-12-08 | 倪海生 | 一种用于内外网络隔离的因特网访问服务器及其处理方法 |
| CN101083669A (zh) * | 2007-07-10 | 2007-12-05 | 梁雁文 | 计算机网络隔离***及其控制与切换方法 |
-
2008
- 2008-05-22 CN CN2008100378221A patent/CN101286871B/zh not_active Expired - Fee Related
Cited By (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101459559B (zh) * | 2008-12-26 | 2011-05-11 | 中兴通讯股份有限公司 | 一种对监控用户配置信息进行存储及管理的方法与*** |
| CN104092743A (zh) * | 2014-06-27 | 2014-10-08 | 清华大学 | 云环境下用户数据的保护方法及*** |
| CN104092743B (zh) * | 2014-06-27 | 2017-08-11 | 清华大学 | 云环境下用户数据的保护方法及*** |
| CN104578422A (zh) * | 2015-01-13 | 2015-04-29 | 国电南瑞科技股份有限公司 | 一种变电站远动转发表的远程维护方法 |
| WO2017177866A1 (en) * | 2016-04-11 | 2017-10-19 | Huawei Technologies Co., Ltd. | Activation of mobile devices in enterprise mobile management |
| CN108886530A (zh) * | 2016-04-11 | 2018-11-23 | 华为技术有限公司 | 企业移动管理中移动设备的激活 |
| US10142323B2 (en) | 2016-04-11 | 2018-11-27 | Huawei Technologies Co., Ltd. | Activation of mobile devices in enterprise mobile management |
| CN108886530B (zh) * | 2016-04-11 | 2021-02-12 | 华为技术有限公司 | 企业移动管理中移动设备的激活方法和移动设备 |
| CN113329002A (zh) * | 2021-05-20 | 2021-08-31 | 普天通信有限责任公司 | 一种物联网数据汇聚*** |
| CN113329002B (zh) * | 2021-05-20 | 2022-06-21 | 普天通信有限责任公司 | 一种物联网数据汇聚*** |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101286871B (zh) | 2010-12-01 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102215221B (zh) | 从移动设备对计算机的安全远程唤醒、引导及登录的方法和*** | |
| CN1926837B (zh) | 在网络域中与网络端点上的嵌入式代理共享密钥的方法、装置 | |
| CN100534036C (zh) | 一种基于三元对等鉴别的可信网络连接方法 | |
| CN100496025C (zh) | 一种基于三元对等鉴别的可信网络接入控制方法 | |
| KR101198120B1 (ko) | 홍채정보를 이용한 양방향 상호 인증 전자금융거래시스템과 이에 따른 운영방법 | |
| CN101005361B (zh) | 一种服务器端软件保护方法及*** | |
| US20190096210A1 (en) | Methods and Apparatus for Management of Intrusion Detection Systems using Verified Identity | |
| CN100566252C (zh) | 一种基于三元对等鉴别的可信网络连接*** | |
| CN102075522A (zh) | 一种结合数字证书和动态密码的安全认证与交易方法 | |
| CN104955047B (zh) | 一种针对无人机提供鉴权服务的鉴权中心及鉴权方法 | |
| US8838800B2 (en) | Binding resources in a shared computing environment | |
| CN104767731A (zh) | 一种Restful移动交易***身份认证防护方法 | |
| CN101393628A (zh) | 一种新型的网上安全交易***和方法 | |
| CN101286871B (zh) | 基于数字证书和安全协议的隔离***配置方法 | |
| CN110147666A (zh) | 物联网场景下的轻量级nfc身份认证方法、物联网通信平台 | |
| CN104079413A (zh) | 增强型一次性动态口令的认证方法及*** | |
| CN101478547A (zh) | 对智能密码钥匙进行可信数字签名的装置及其工作方法 | |
| CN101867588A (zh) | 一种基于802.1x的接入控制*** | |
| CN101123509B (zh) | 信息交互***和方法 | |
| CN202206419U (zh) | 网络安全终端以及基于该终端的交互*** | |
| CN110519222A (zh) | 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和*** | |
| CN102819799A (zh) | 基于U-Key的多通道安全认证***及认证方法 | |
| CN101547098B (zh) | 公共网络数据传输安全认证方法及*** | |
| CN100589384C (zh) | 一种用户终端接入软交换***的安全交互方法 | |
| CN114401087B (zh) | 一种基于国密算法的无源锁身份认证与密钥协商的*** |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| C17 | Cessation of patent right | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20101201 Termination date: 20130522 |