CN102629928A

CN102629928A - 一种基于公共密钥的互联网彩票***安全链路实施方法

Info

Publication number: CN102629928A
Application number: CN2012101082777A
Authority: CN
Inventors: 耿喆; 刘洪马; 吴仲喜; 刘峰; 王学奎; 黄海波
Original assignee: JIANGSU XINCAI SOFTWARE CO Ltd
Current assignee: JIANGSU XINCAI SOFTWARE CO Ltd
Priority date: 2012-04-13
Filing date: 2012-04-13
Publication date: 2012-08-08
Anticipated expiration: 2032-04-13
Also published as: CN102629928B

Abstract

本发明公开了一种基于公共密钥的互联网彩票***安全链路实施方法，涉及互联网彩票销售***技术领域。该方法通过路由向量协议下已验证的动态链路向量记录和用户身份***，强化链路级的安全认证，从而在用户使用门户网站购彩时将个人身份信息，链路向量信息及鉴权策略相结合，保证用户在购彩与支付的日常业务在网络传输过程中的安全机制上的可靠性和稳定性。优点：在用户使用门户网站购彩时将个人身份信息，链路向量信息及鉴权策略相结合，保证用户在购彩与支付的日常业务在网络传输过程中的安全机制上的可靠性和稳定性。

Description

一种基于公共密钥的互联网彩票***安全链路实施方法

技术领域

本发明涉及互联网彩票销售***技术领域，具体是一种基于公共密钥的互联

网彩票***安全链路实施方法。

背景技术

HTTP是一个属于应用层的面向对象的协议，由于其简捷、快速的方式，适用于分布式超媒体信息***。它于1990年提出，经过几年的使用与发展，得到不断地完善和扩展。目前在WWW中使用的是HTTP/1.0的第六版，HTTP/1.1的规范化工作正在进行之中，而且HTTP-NG(Next Generation of HTTP)的建议已经提出。HTTP协议是基于请求／响应范式的。一个客户机与服务器建立连接后，发送一个请求给服务器，请求方式的格式为，统一资源标识符、协议版本号，后边是MIME信息包括请求修饰符、客户机信息和可能的内容。服务器接到请求后，给予相应的响应信息，其格式为一个状态行包括信息的协议版本号、一个成功或错误的代码，后边是MIME信息包括服务器信息、实体信息和可能的内容。

安全传输层协议（TLS）用于在两个通信应用程序之间提供保密性和数据完整性。该协议由两层组成： TLS 记录协议（TLS Record）和 TLS 握手协议（TLS Handshake）。较低的层为 TLS 记录协议，位于某个可靠的传输协议（例如 TCP）上面。TLS 协议包括两个协议组―― TLS 记录协议和 TLS 握手协议，每组具有很多不同格式的信息。TLS 记录协议是一种分层协议。每一层中的信息可能包含长度、描述和内容等字段。记录协议支持信息传输、将数据分段到可处理块、压缩数据、应用 MAC 、加密以及传输结果等。对接收到的数据进行解密、校验、解压缩、重组等，然后将它们传送到高层客户机。

TLS 连接状态指的是TLS 记录协议的操作环境。它规定了压缩算法、加密算法和 MAC 算法。TLS 记录层从高层接收任意大小无空块的连续数据。密钥计算：记录协议通过算法从握手协议提供的安全参数中产生密钥、 IV 和 MAC 密钥。TLS 握手协议由三个子协议组构成，允许对等双方在记录层的安全参数上达成一致、自我认证、例示协商安全参数、互相报告出错条件。当前HTTPS网络的缺陷：

(1)不能防止盗用公钥证书后的Distributed Denial of service (分布式拒绝服务攻击)。

不能防止盗用公钥证书后的盗链技术发起的入侵性操作。

不能结合用户使用的网络环境进行身份识别。

不能结合用户个人信息保证高等级的业务安全。

不能结合历史登录和当前操作时间进行时间轴的操作安全性甄别。

发明内容

针对上述现有技术的缺点，本发明提供一种基于公共密钥的互联网彩票***安全链路实施方法；该方法能够在用户购彩过程中使用自主认证服务提供的CA证书，启用HTTPS的TLS隧道技术，保障用户的链路安全。

本发明是以如下技术方案实现的：一种基于公共密钥的互联网彩票***安全链路实施方法，具体步骤如下：

（1）通过自主认证授权方法生成的公钥、私钥、安全证书和用户身份***相结合；

（2）自主认证凭证的HTTPS协议处理，在TLS链路建立前，使用用户身份***和动态链路向量，进行身份认证和链路认证；

（3）会话初始阶段检查认证向量是否来自授权网络，再检查用户身份***是否是签约用户，会话初始阶段检查认证向量是否来自授权网络，再检查用户身份***是否是签约用户，如果不是签约用户则web浏览器跳转至自主门户的注册页面提示用户注册，注册成功后，录入用户身份***；如果是签约用户，颁发公钥证书认证和进行密钥协商，建立TLS隧道进行正常会话与数据交互。

本发明的有益效果是：通过路由向量协议下已验证的动态链路向量记录和用户身份***，强化链路级的安全认证，从而在用户使用门户网站购彩时将个人身份信息，链路向量信息及鉴权策略相结合，保证用户在购彩与支付的日常业务在网络传输过程中的安全机制上的可靠性和稳定性。

附图说明

下面结合附图对本发明作进一步详细说明。

图1是本发明的流程框图。

具体实施方式

如图1所示，一种基于公共密钥的互联网彩票***安全链路实施方法，具体实现步骤如下：

具体操作过程如下：

（1）用户使用浏览器登录自主门户网站，网站前端代码首先获取用户当前IP地址（以下简称IP），代理网关地址（Gateway），浏览器类型（Browser information）和登录时间（time）；四者组合为当前链路可识别的向量（Vector）：

首先，HTTP头返回的Browser information 通过认证***服务（CA_server）的浏览器类型表比对，获取Browserid，将登录时间进行时间戳运算为timesten；Vector = IP ^Gateway&( Browserid | timesten)；

然后将Vector信息传送给链路/用户身份***(Link/User server)，链路/用户身份***根据当前认证***服务的此次访问时间生成时间戳timeserversten，

最后对Vector进行MD5运算，生成摘要Vector_MD5，并返回给认证***服务。

（2)客户端用户登录， CA_server根据用户名和密码，获取当前用户在***中的唯一用户ID（User_id），并发送给Link/User server 。Link/User server根据userid查找用户注册表，获取用户注册时填写的身份证号码（identity_id），经MD5加密后将此身份证号码返回给CA_server。

（3）CA_server使用MD5解码获取identity_id和Vector，根据自己记录的timesten和获取的timeserversten，保存时间戳对timesten/timeserversten，并使用JVM（java虚拟机）标配keytools工具，回答IP问题答案：Vector，回答用户名问题：identity_id；回答密码问题：timesten^timeserversten，生成CA证书和公钥/私钥对。

（4）颁发公钥载体（keystore）给web浏览器自动安装此证书，建立TLS隧道，进行HTTPS会话。

（5）当HTTPS第一次会话时，CA_Server重新计算此次会话的vector。

首先对会话内容进行私钥解密，比对上述三项信息（身份信息、链路向量信息、时间戳信息）。比对当前会话vector与记录vector是否相同，已防止链路盗用；通过后，再将时间戳信息传送给Link/User server，比对当前状态是否超时；将身份信息传送给Link/User server，比对用户是否已受对应的业务限制；以上通过后，Link/User server返回给CA_Server唯一通信ID，CA_Server对此ID进行公钥加密传送给web浏览器，Web浏览器自此使用此ID为牌照，进行正常HTTPS会话交互。

Claims

1.一种基于公共密钥的互联网彩票***安全链路实施方法，其特征在于：具体步骤如下：

（3）会话初始阶段检查认证向量是否来自授权网络，再检查用户身份***是否是签约用户，如果不是签约用户,则web浏览器跳转至自主门户的注册页面提示用户注册，注册成功后，录入用户身份***；如果是签约用户，颁发公钥证书认证和进行密钥协商，建立TLS隧道进行正常会话与数据交互。