CN104821951A - 一种安全通信的方法和装置 - Google Patents

Abstract

本发明公开了一种安全通信的方法和装置。该方法包括：代理服务器根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于第一安全通道接收所述客户端发送的与目的服务器的通信请求；代理服务器根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于第二安全通道申请所述客户端与所述目的服务器的会话密钥；代理服务器将申请到的会话密钥通过第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信。应用本发明实施例能够保证通信安全。

Description

一种安全通信的方法和装置

技术领域

本发明涉及通信技术领域，特别是涉及一种安全通信的方法和装置。

背景技术

随着电子商务、移动互联网的爆发式增长，人们通过互联网进行涉及敏感信息的通信越来越频繁，比如，进行互联网金融交易，因此，网络安全也变得越来越重要。

目前，网络安全所面临的威胁包括：通信双方交互的通信数据被第三方窃听；或者，攻击者通过伪造服务器身份，与客户端建立安全加密通道，并通过该安全加密通道与客户端通信，从而套取客户端数据。

因此，如何防止通信数据被窃听，或者攻击者伪造服务器身份套取客户端数据，保证客户端与目的服务器之间的通信安全，成为当前急需解决的技术问题。

发明内容

有鉴于此，本发明提出了一种安全通信的方法和装置，能够保证客户端与目的服务器的通信安全。

本发明提出的技术方案是：

一种安全通信的方法，该方法包括：

代理服务器根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求；

代理服务器根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥；

代理服务器将申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信。

一种安全通信的装置，该装置位于代理服务器中，该装置包括第一安全通信模块和第二安全通信模块；

所述第一安全通信模块，用于根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求，将第二安全通信模块申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信；

所述第二安全通信模块，用于根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥。

由上述技术方案可见，本发明实施例中，在客户端和目的服务器之间设立了代理服务器，由该代理服务器验证客户端的身份和目的服务器的身份，确保两者均是可信的，并且与客户端建立第一安全通道、与目的服务器建立第二安全通道，然后代理服务器通过与目的服务器建立的第二安全通道，为客户端申请与目的服务器之间进行通信的会话密钥，并将申请到的会话密钥通过与客户端建立的第一安全通道返回给客户端，使得客户端和目的服务器可以通过该会话密钥通信，从而确保了客户端和目的服务器之间的通信安全。

进一步，由于客户端只需要安装代理服务器的证书，而海量目的服务器的证书都安装在代理服务器侧，因此，可以节省客户端侧的存储空间、简化客户端侧的证书管理。

并且，当不同的客户端需要分别与海量的目的服务器进行通信时，只需要代理服务器对这些海量的目的服务器执行证书验证、安装和管理操作，不需要各个不同的客户端分别对这些海量的目的服务器执行证书验证、安装和管理操作，各个目的服务器也只需要验证代理服务器的身份、不需要分别验证各个不同的客户端的身份，因此，还能够避免网络节点由于执行相同的验证、安装和管理操作而造成的资源浪费。

附图说明

图1是本发明实施例提供的安全通信的方法流程图。

图2是本发明实施例提供的通信***组成示意图。

图3是本发明实施例提供的代理服务器的硬件结构连接图。

图4是本发明实施例提供的安全通信的装置的结构示意图。

具体实施方式

保证客户端与目的服务器的通信安全的一种方法是：客户端首先获取目的服务器的证书，根据该证书验证目的服务器的身份，如果验证出目的服务器身份可信，则安装该目的服务器的证书，基于该证书与该目的服务器建立安全通道，然后通过该安全通道与目的服务器进行通信，从而保证客户端与目的服务器的通信安全。

其中，客户端验证目的服务器的身份的方法可以包括：客户端检查目的服务器发来的证书是否是由该客户端所信赖的认证(CA)中心所签发的，比如，该服务器的证书已经在客户端本地的信任证书列表中，或者，该服务器证书是经过某一个证书机构授权，且这个授权的证书机构的证书在客户端的本地信任证书列表中。

因此，为了保证安全性，必须在客户端安装需要登录的目的服务器的证书，比如，如果用户需要登录某网银***，就必须使用银行机构提供的U盾等设备安装该银行服务器的证书。

然而，在移动互联快速发展的今天，各种应用日渐丰富，每访问一个目的服务器都需要安装相应目的服务器的证书，这样，在证书达到一定数目后，客户端本地的证书将占用客户端大量的存储空间、证书管理也变得复杂，而且，不同的客户端需要分别对海量的目的服务器的证书进行重复的验证、安装和管理，也造成了网络节点的资源浪费。

基于上述分析，本发明实施例提供了一种用于客户端与目的服务器进行安全通信的方法，能够确保客户端与目的服务器之间的通信安全，而且能够节省客户端侧的存储空间、简化客户端的证书管理，避免重复的证书验证、安装和管理所造成的网络节点资源浪费。

图1是本发明实施例提供的安全通信的方法流程图。

如图1所示，该流程包括：

步骤101，代理服务器根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求。

步骤102，代理服务器根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥。

其中，关于通信请求中所携带的目的服务器的信息内容和客户端信息的内容，以能够实现所述通信请求为准，具体内容本发明实施例不做限制，比如，所述目的服务器的信息可以包括所述目的服务器的身份标识信息或地址信息，所述客户端信息可以包括所述客户端的证书信息、和所述客户端支持的密钥交换算法信息和加密算法信息。

步骤103，代理服务器将申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信。

由图1所示方法可见，通过在客户端和目的服务器之间设立代理服务器，由该代理服务器与客户端建立第一安全通道、与目的服务器建立第二安全通道，然后通过与目的服务器建立的第二安全通道，为客户端申请与目的服务器之间进行通信的会话密钥，并将申请到的会话密钥通过与客户端建立的第一安全通道返回给客户端，使得客户端和目的服务器可以通过该会话密钥通信，从而确保了客户端和目的服务器之间的通信安全。

并且，由于客户端只需要安装代理服务器的证书，而目的服务器的证书都安装在代理服务器侧，因此，还可以节省客户端侧的存储空间、简化客户端侧的证书管理。

图1所示方法中，代理服务器还可以对海量的目的服务器起到汇聚的作用，避免对同一个目的服务器在不同的客户端侧重复执行验证、安装和管理的操作，因此能够节省网络节点的资源。

具体地，代理服务器在根据客户端通过第一安全通道发来的通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道时，可以根据所述通信请求中携带的目的服务器的信息，判断所述代理服务器是否已安装所述目的服务器的证书，如果是，基于已安装的所述目的服务器的证书与所述目的服务器建立第二安全通道，如果否，所述代理服务器获取所述目的服务器的证书，在验证出所述证书合法时，安装所述目的服务器的证书，然后基于已安装的所述目的服务器的证书建立所述第二安全通道。

可见，只要代理服务器已经安装过目的服务器的证书，则如果之后又收到其他客户端发送的与该目的服务器的通信请求，则代理服务器不需要再重复安装该目的服务器的证书，只需要基于已安装的该目的服务器的证书与目的服务器建立第二安全通道，基于该第二安全通道申请客户端与目的服务器之间的会话密钥即可。

下面，进一步结合客户端、目的服务器以及代理服务器之间的关系，对本发明实施例提供的用于客户端与目的服务器进行安全通信的方法进行详细说明，具体请参见图2。

图2是本发明实施例提供的通信***组成示意图。

如图2所示，该***包括客户端201-1到客户端201-n、代理服务器202和目的服务器203-1到目的服务器203-m。

其中，客户端201-1到客户端201-n分别安装了代理服务器202的证书，并且，在需要与目的服务器203-1到目的服务器203-m中的任一目的服务器通信时，分别基于代理服务器202的证书，与代理服务器202建立第一安全通道1-1至第一安全通道1-n，然后通过自身与代理服务器202建立的第一安全通道发送与目的服务器的通信请求。

代理服务器202在收到客户端201-1到客户端201-n中的任一客户端发来的通信请求以后，根据该通信请求中携带的目的服务器的信息，判断该代理服务器202是否已安装了该目的服务器的证书，如果是，基于已安装的该目的服务器的证书与该目的服务器建立第二安全通道，如果否，代理服务器202先获取该目的服务器的证书，并验证该获取的证书是否合法，如果合法，安装所述目的服务器的证书，并基于安装的该目的服务器的证书建立第二安全通道，如果不合法，代理服务器202可以拒绝安装所述目的服务器的证书，并向发送请求的客户端通过第一安全通道反馈目的服务器不可信的消息。

比如，假设客户端201-1安装了代理服务器202的证书，并基于该证书与代理服务器202建立了第一安全通道1-1，通过第一安全通道1-1向代理服务器202发送与目的服务器203-2通信的通信请求1，该通信请求1中携带有目的服务器203-2的信息，那么，代理服务器202将从该通信请求1中读取目的服务器203-2的信息，代理服务器202判断自身是否已安装目的服务器203-2的证书，假设未安装，则代理服务器202获取目的服务器203-2的证书，并验证获取的证书是否合法，假设验证结果是合法的，则代理服务器202安装目的服务器203-2的证书，基于已安装的目的服务器203-2的证书与目的服务器203-2建立第二安全通道2-2。然后代理服务器202通过第二安全通道2-2向目的服务器203-2申请客户端201-1与目的服务器203-2通信的会话密钥，将申请到的会话密钥通过第一安全通道1-1返回给客户端201-1。

继续上例，假设之后代理服务器202又收到客户端201-2通过第一安全通道1-2发送的与目的服务器203-2通信的通信请求2，则代理服务器202判断自身是否已安装目的服务器203-2的证书的结果是已安装，因此，代理服务器202直接基于已安装的目的服务器203-2的证书与目的服务器203-2建立第二安全通道2-2，通过第二安全通道2-2向目的服务器203-2申请客户端201-2与目的服务器203-2通信的会话密钥，将申请到的会话密钥通过第一安全通道1-2返回给客户端201-2。

由上述描述可见，本发明实施例中，客户端在需要与目的服务器通信时，用于申请会话密钥的通信路径与实际使用会话密钥通信路径是分离的，其中，通过客户端与代理服务器之间的第一安全通道以及代理服务器与目的服务器之间的第二安全通道申请客户端与目的服务器进行通信的会话密钥，申请到的会话密钥直接用于所述客户端与所述目的服务器的通信，换言之，客户端和目的服务器基于所述会话密钥对通信数据进行加密，并将加密后的数据通过客户端和目的服务器之间的通信链路发给对方，比如，客户端201-1利用会话密钥对发给目的服务器203-2的通信数据进行加密，将加密后的通信数据通过与目的服务器203-2之间的通信链路1发给目的服务器203-2，客户端201-2利用会话密钥对发给目的服务器203-2的通信数据进行加密，将加密后的通信数据通过与目的服务器203-2之间的通信链路2发给目的服务器203-2。

由于用于申请会话密钥的通信路径与实际使用会话密钥通信路径是分离的，因此，即便使用会话密钥通信路径出现了安全问题，还可以通过申请会话密钥的通信路径重新申请新的会话密钥，使得之后的通信变得安全。

其中，通过申请会话密钥的通信路径重新申请新的会话密钥时，仍可以采用图1所示方法，此时，图1中的通信请求具体是会话密钥更新请求，基于第二安全通道申请客户端与目的服务器的会话密钥时，申请的是更新的会话密钥。

进一步地，由于代理服务器与大量客户端建立第一安全通道，并与大量的目的服务器建立第二安全通道，因此，可以在代理服务器中设置安全策略，使得代理服务器根据安全策略，在接收到客户端发送的建立第一安全通道的请求时，判断是否与所述客户端建立所述第一安全通道，或者，在接收到客户端发送的与目的服务器的通信请求时，判断是否与所述目的服务器建立第二安全通道。因此，通过在代理服务器侧设置安全策略，使得代理服务器根据所述安全策略对与客户端和与目的服务器之间的连接进行控制，能够使得网络安全策略的管理和更新都更加方便，比如，不需要在每个客户端或者每个目的服务器上分别设置相应的安全策略。

其中，代理服务器在网络中的位置可以有多种选择，具体可以根据应用场景和安全性要求来确定，比如，在宽带接入场景下，代理服务器可以是宽带服务器提供商的某个后台服务器。为了提高安全性，代理服务器的防攻击性需要达到一定的级别。

为了进一步提高安全性，本发明实施例提出，客户端侧也可以在自身设置进一步的安全策略，比如，客户端在安装了代理服务器的证书以后，可以禁止安装所述代理服务器以外的其他证书，从而避免客户端上的恶意软件私自安装不可信的服务器的证书，带来安全隐患。

上述实施例中，对于建立第一安全通道和第二安全通道所基于的安全协议和通信协议，本发明实施例不做限制，比如，可以基于安全套接字(Secure SocketLayer，SSL)协议、通过TCP连接建立第一安全通道和第二安全通道。

可见，采用本发明实施例，客户端只需要安装一次代理服务器的证书，之后客户端与所有目的服务器在建立加密会话时，都不需要再安装相应目的服务器的证书，因此节省了客户端本地的证书管理成本。通过将证书管理从客户端迁移到代理服务器，可以很方便地进行安全策略的变更，提高防止网络攻击的能力。而且，除了由代理服务器对目的服务器进行身份认证以外，客户端也可以实施更高级别的安全策略，比如安装了代理服务器的证书以后，缺省情况下禁止客户端本地软件再安装其它证书，这样可以有效防止一些恶意软件私自安装证书的情况。本发明实施例还有利于提高客户端的使用体验，比如，客户端不会再遇到存在未授信站点需要提醒用户甄别的情况。进一步，代理服务器与某目的服务器建立过一次安全连接后，后续其它客户端通过此代理服务器建立与此目的服务器的安全连接时，都不需要对该目的服务器再次进行认证，因此有很好的汇聚作用，可以大大节省网络计算资源。

针对上述方法，本发明实施例还公开了一种代理服务器，该代理服务器中包括用于客户端与目的服务器进行安全通信的装置。

图3是本发明实施例提供的代理服务器的硬件结构连接图。

如图3所示，该代理服务器包括处理器、网络接口、内存和非易失性存储器，且上述各硬件通过总线连接，具体地：

非易失性存储器，用于存储指令代码；所述指令代码被处理器执行时完成的操作主要为内存中的安全通信的装置完成的功能。

处理器，用于与非易失性存储器通信，读取和执行非易失性存储器中存储的所述指令代码，完成上述安全通信的装置完成的功能。

内存，当非易失性存储器中的所述指令代码被执行时完成的操作主要为内存中的安全通信的装置完成的功能。

图4是本发明实施例提供的安全通信的装置的结构示意图。

如图4所示，该装置包括第一安全通信模块401和第二安全通信模块402。

第一安全通信模块401，用于根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求，将第二安全通信模块申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信。

第二安全通信模块402，用于根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥。

其中，第二安全通信模块402，用于根据所述通信请求中携带的目的服务器的信息，判断是否已安装所述目的服务器的证书，如果是，基于已安装的所述目的服务器的证书与所述目的服务器建立第二安全通道，如果否，获取所述目的服务器的证书，在验证出所述证书合法时，安装所述目的服务器的证书，基于已安装的所述目的服务器的证书建立所述第二安全通道。

所述通信请求可以包括会话密钥更新请求。

第二安全通信模块402，可以用于基于所述第二安全通道申请所述客户端与所述目的服务器的更新的会话密钥。

第一安全通信模块401，还可以用于在接收到客户端发送的建立第一安全通道的请求时，根据安全策略判断是否与所述客户端建立所述第一安全通道；

第二安全通信模块402，还可以用于在接收到客户端发送的与目的服务器的通信请求时，根据安全策略判断是否与所述目的服务器建立第二安全通道。

其中，所述目的服务器的信息可以包括所述目的服务器的身份标识信息或地址信息，所述客户端信息可以包括所述客户端的证书信息、和所述客户端支持的密钥交换算法信息和加密算法信息。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种安全通信的方法，其特征在于，该方法包括：

代理服务器根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求；

代理服务器根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥；

代理服务器将申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信。

2.根据权利要求1所述的方法，其特征在于，代理服务器根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道包括：

代理服务器根据所述通信请求中携带的目的服务器的信息，判断所述代理服务器是否已安装所述目的服务器的证书，如果是，基于已安装的所述目的服务器的证书与所述目的服务器建立第二安全通道，如果否，所述代理服务器获取所述目的服务器的证书，在验证出所述证书合法时，安装所述目的服务器的证书，基于已安装的所述目的服务器的证书建立所述第二安全通道。

3.根据权利要求1所述的方法，其特征在于，所述通信请求包括会话密钥更新请求；

基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥包括：

基于所述第二安全通道申请所述客户端与所述目的服务器的更新的会话密钥。

4.根据权利要求1所述的方法，其特征在于，该方法还包括：

代理服务器根据安全策略，在接收到客户端发送的建立第一安全通道的请求时，判断是否与所述客户端建立所述第一安全通道，和/或，在接收到客户端发送的与目的服务器的通信请求时，判断是否与所述目的服务器建立第二安全通道。

5.根据权利要求1所述的方法，其特征在于，

所述目的服务器的信息包括所述目的服务器的身份标识信息或地址信息，所述客户端信息包括所述客户端的证书信息、和所述客户端支持的密钥交换算法信息和加密算法信息。

6.一种安全通信的装置，其特征在于，该装置位于代理服务器中，该装置包括第一安全通信模块和第二安全通信模块；

所述第一安全通信模块，用于根据客户端基于在该客户端侧安装的所述代理服务器的证书发送的建立第一安全通道的请求，与所述客户端建立所述第一安全通道，基于所述第一安全通道接收所述客户端发送的与目的服务器的通信请求，将第二安全通信模块申请到的会话密钥通过所述第一安全通道发给所述客户端，使得所述客户端与所述目的服务器通过所述会话密钥进行通信；

所述第二安全通信模块，用于根据所述通信请求中携带的目的服务器的信息，基于所述目的服务器的证书与所述目的服务器建立第二安全通道，根据所述通信请求中携带的客户端信息，基于所述第二安全通道申请所述客户端与所述目的服务器的会话密钥。

7.根据权利要求6所述的装置，其特征在于，

所述第二安全通信模块，用于根据所述通信请求中携带的目的服务器的信息，判断是否已安装所述目的服务器的证书，如果是，基于已安装的所述目的服务器的证书与所述目的服务器建立第二安全通道，如果否，获取所述目的服务器的证书，在验证出所述证书合法时，安装所述目的服务器的证书，基于已安装的所述目的服务器的证书建立所述第二安全通道。

8.根据权利要求6所述的装置，其特征在于，所述通信请求包括会话密钥更新请求；

所述第二安全通信模块，用于基于所述第二安全通道申请所述客户端与所述目的服务器的更新的会话密钥。

9.根据权利要求6所述的装置，其特征在于，

所述第一安全通信模块，还用于在接收到客户端发送的建立第一安全通道的请求时，根据安全策略判断是否与所述客户端建立所述第一安全通道；

所述第二安全通信模块，还用于在接收到客户端发送的与目的服务器的通信请求时，根据安全策略判断是否与所述目的服务器建立第二安全通道。

10.根据权利要求6所述的装置，其特征在于，

所述目的服务器的信息包括所述目的服务器的身份标识信息或地址信息，所述客户端信息包括所述客户端的证书信息、和所述客户端支持的密钥交换算法信息和加密算法信息。