CN106341375A - 实现资源加密访问的方法及*** - Google Patents

Abstract

本发明公开了一种实现资源加密访问的方法及***，该实现资源加密访问的方法包括：通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的；及根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文；其中，解密得到的所述主密钥明文用于生成所述业务服务器与客户端之间资源加密访问的密钥。该实现资源加密访问的***与该方法对应，其包括：业务服务器及与所述业务服务器交互的解密服务器，所述解密服务器包括接收单元及解密单元。本发明可以避免业务服务器的业务处理能力低下，还能同时提高资源访问的安全性。

Description

实现资源加密访问的方法及***

技术领域

本发明涉及计算机应用技术领域，尤其涉及一种实现资源加密访问的方法及***。

背景技术

随着万维网的电子商务、网上银行等新兴业务的兴起，极大地方便了用户的日常生活，受到了广大用户的青睐。由于该类新兴业务都需要在网络上进行在线交易，使得它们对网络通信的安全性的要求要高于一般业务。而传统的万维网HTTP协议（Hyper Text Transfer Protocol，超文本传输协议）并不具备安全机制，这就导致应用传统的HTTP协议对该类新兴业务进行的资源访问无法满足安全性要求。

为了解决资源访问的上述缺陷，较常见的一种解决方法是在HTTP协议的基础上加入SSL（Secure Socket Layer，安全套接层）协议，以形成HTTPS协议（Hyper Text Transfer Protocol over SSL，基于SSL的超文本传输协议），进而通过SSL协议对互联网络中的资源进行加密来保证其传输的安全性。

通常，客户端为访问业务服务器中的资源，将发起用户接入请求，即HTTPS请求，此时，首先需要通过客户端与业务服务器之间的握手以建立安全链接，然后再基于该安全链接进行客户端对业务服务器中资源的加密访问。

而安全链接的建立是同步进行的，即业务服务器在接收用户接入请求的同时，还使用业务服务器私钥对接收到的由客户端产生的主密钥密文进行解密，并通过解密得到的主密钥明文生成用于对客户端与业务服务器之间的资源访问进行加密的密钥。由于解密所涉及的过程非常缓慢，需要消耗业务服务器大量的CPU资源，而不能及时地接收更多的用户接入请求，从而导致了业务服务器的业务处理能力低下，影响了用户的体验及访问质量。

发明内容

基于此，有必要提供一种可以避免业务服务器的业务处理能力低下，还能同时提高资源访问的安全性的实现资源加密访问的方法。

此外，还有必要提供一种可以避免业务服务器的业务处理能力低下，还能同时提高资源访问的安全性的实现资源加密访问的***。

为了解决上述技术问题，本发明所采用的技术方案为：

一种实现资源加密访问的方法包括：通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的；及根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文；其中，解密得到的所述主密钥明文用于生成所述业务服务器与客户端之间资源加密访问的密钥。

一种实现资源加密访问的***包括：业务服务器及与所述业务服务器交互的解密服务器，所述解密服务器包括：接收单元，用于通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的；及解密单元，用于根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文；其中，解密得到的所述主密钥明文用于生成所述业务服务器与客户端之间资源加密访问的密钥。

与现有技术相比，本发明具有以下有益效果：

对客户端所触发进行的资源加密访问中，通过设置的解密服务器接收业务服务器所转发的主密钥密文，并在解密服务器中根据部署的私钥证书对该主密钥密文进行解密，以通过设置的解密服务器实现资源访问中主密钥密文的异步处理，摒弃了现有的同步建立安全链接的方法，即，使得主密钥密文的解密并不在业务服务器中实现。也就是说，在解密服务器的配合下，通过异步处理主密钥密文的方式，将客户端与业务服务器实现资源加密访问过程中最消耗业务服务器CPU资源的主密钥密文的处理交由后端的解密服务器完成，从而减少了业务服务器CPU资源的消耗，使得业务服务器能够更高效地处理更多业务，在保证资源访问安全性的同时，解决了一直以来业务服务器业务处理能力低下的问题。

此外，由于私钥证书被部署于解密服务器上，相对业务服务器，其对于客户端而言是透明的，使得私钥证书不必暴露于公网中，从而减少了私钥证书泄漏的风险，进一步提高了业务服务器中资源访问的安全性。

附图说明

图1为一实施例的实现资源加密访问的方法流程图；

图2为另一实施例的实现资源加密访问的方法流程图；

图3为另一实施例的实现资源加密访问的方法流程图；

图4为另一实施例的实现资源加密访问的方法流程图；

图5为图1中解密服务器根据部署的私钥证书对主密钥密文进行解密，以向业务服务器提供主密钥明文的方法流程图；

图6为另一实施例的实现资源加密访问的方法流程图；

图7为一具体实施例的实现资源加密访问的***的拓扑结构图；

图8为一具体实施例的实现资源加密访问的时序图；

图9为一实施例的实现资源加密访问的***的结构框图；

图10为另一实施例的实现资源加密访问的***的结构框图；

图11为另一实施例的实现资源加密访问的***的结构框图；

图12为另一实施例的实现资源加密访问的***的结构框图；

图13为图9中解密单元的结构框图；

图14为另一实施例的实现资源加密访问的***的结构框图；

图15是本发明实施例的服务器的结构示意图。

具体实施方式

体现本发明特征与优点的典型实施方式将在以下的说明中详细叙述。应理解的是本发明能够在不同的实施方式上具有各种的变化，其皆不脱离本发明的范围，且其中的说明及图示在本质上是当作说明之用，而非用以限制本发明。

如前所述，现有的用以实现业务服务器中资源的安全性访问是基于SSL协议实现的，在该SSL协议的配合下，通过HTTP协议所进行的资源访问将首先建立客户端与业务服务器之间的安全链接，进而为后续的资源访问提供安全性保证。

但是，该安全链接尚存在着缺陷，即对于业务服务器而言，其与客户端之间安全链接的建立需要消耗较多的CPU资源，这就导致了为海量客户端实现资源加密访问的业务服务器的业务处理能力低下，并且由于实现安全链接建立的私钥证书部署于业务服务器中，也就是说，私钥证书会被暴露于公网中，增加了私钥证书泄漏的风险，从而导致资源访问的安全性降低。

因此，为了提高业务服务器的业务处理能力，同时提高资源访问的安全性，特提出了一种实现资源加密访问的方法。该方法可依赖于计算机程序，该计算机程序将运行在服务器之上。

请参阅图1，在一实施例中，一种实现资源加密访问的方法包括：

步骤110，通过解密服务器接收业务服务器转发的主密钥密文，主密钥密文是在业务服务器与客户端的握手过程中生成的。

业务服务器中存储了各种资源，并为客户端所进行的资源访问提供入口，以通过存储的资源实现客户端所请求的各种服务，例如，若客户端为浏览器，相应地，业务服务器则是某一站点所在的服务器，其上存储了该站点可向浏览器所提供的各种网页等资源；若客户端为虚拟社交网络工具，相应地，业务服务器则是存储了虚拟社交网络资源的服务器，其可为虚拟社交网络工具所触发的资源访问请求返回图片等资源。

为保证资源访问的安全性，在任一客户端触发访问业务服务器中的资源时，将首先建立该客户端与业务服务器之间的安全链接，该安全链接的建立是通过业务服务器与客户端之间的握手过程实现的，在此过程中，业务服务器将接收到的客户端发送的主密钥密文转发至解密服务器中。

解密服务器是用于实现主密钥密文处理的高性能服务器，其具备强大的计算能力和业务无关性，因此，对于其所实现的主密钥密文处理而言，具有非常高的处理效率。

主密钥密文是在握手过程中经客户端加密生成的，具有一定的安全性，因此，在转发过程中，业务服务器将不再对该主密钥密文进行任何处理，而是直接转发给解密服务器进行解密，在保证安全性的同时也兼顾了高效的处理效率。

步骤130，根据部署的私钥证书对主密钥密文进行解密，以向业务服务器提供主密钥明文。其中，解密得到的主密钥明文用于生成业务服务器与客户端之间资源加密访问的密钥。

在解密服务器中，对业务服务器转发的主密钥密文进行解密，打破了现有的资源加密访问中同步建立安全链接的方式，即主密钥密文的解密不再由业务服务器实现，而是由后端的解密服务器以异步的方式完成非常消耗CPU资源的主密钥密文解密，使得业务服务器上大量的CPU资源可用于更多业务的处理，进而提高了业务服务器的业务处理能力。

另一方面，由于主密钥密文的解密处理已从业务服务器剥离，而被置于后端的解密服务器中，使得用于主密钥密文解密的私钥证书也将部署于解密服务器中，而解密服务器对于客户端而言是透明的，使得私钥证书不必再暴露于客户端与业务服务器所在的公网中，从而减少了私钥证书泄漏的风险，提高了资源访问的安全性。

在解密服务器的配合下，业务服务器将获取到主密钥明文，此时，触发进行资源访问的客户端与提供资源访问的业务服务器中均拥有了主密钥明文，即可根据握手过程中预先协商的加解密算法对主密钥明文进行计算以各自生成密钥，该密钥将用于为后续业务服务器与客户端之间的资源传输提供安全通道，进而实现客户端的资源加密访问。

由上可知，通过解密服务器以异步的方式对主密钥密文进行解密，使得业务服务器从繁重的解密主密钥密文的工作中解脱出来，而只是承担了轻松的中转主密钥密文的工作，进而使得业务服务器可以运用更多的CPU资源承担与业务相关的各种客户端请求的处理，从而解决了长久以来业务服务器的业务处理能力低下的问题。

请参阅图2，在一实施例中，步骤110之前，实现资源加密访问的方法还包括：

步骤210，通过业务服务器响应客户端发送的用户接入请求，以使业务服务器存储与客户端握手时得到的随机数，并向客户端提供公钥证书。

用户接入请求包括握手请求及资源访问请求。其中，握手请求的目的在于发起客户端与业务服务器之间的握手过程，以建立二者之间进行资源传输的安全链接，从而使得后续的资源加密访问可以基于建立的安全链接进行。资源访问请求则是在握手过程完成之后客户端对业务服务器中资源进行资源访问时发起的，以使业务服务器通过响应该资源访问请求而返回包含有相应资源的资源响应消息。

在握手过程中，客户端与业务服务器分别随机产生各自的随机数并进行交换。为进一步保证安全合法性，业务服务器还向客户端提供公钥证书，以在客户端中对业务服务器的身份进行验证，并通过客户端在验证公钥证书通过后对生成的随机密码串进行加密，以得到主密钥密文。

进一步的，客户端与业务服务器之间会协商用于资源加密访问的加密算法，然后基于协商的加密算法计算出相应的密钥，以用于保护客户端与业务服务器之间后续的资源访问。

如上所述的，客户端与业务服务器分别产生的随机数及主密钥密文均是用于相应密钥的计算，而公钥证书一方面可以用于客户端中业务服务器身份的验证，另一方面则是用于主密钥密文的生成，以保证客户端与业务服务器之间密钥交换的安全性。

当然，在握手过程中，客户端与业务服务器之间还会协商可用的协议版本号、用于密钥交换的密钥交换算法、以及用于消息完整性验证的MAC（Message Authentication Codes，消息验证码）算法，从而保证握手信息不被窃取和篡改，有利于进一步地提高资源访问的安全性。

步骤230，接收由客户端根据公钥证书对生成的随机密码串加密得到的主密钥密文。

其中，客户端首先对业务服务器的公钥证书进行合法性验证，若验证成功，则从业务服务器的公钥证书中提取业务服务器公钥，并使用该业务服务器公钥对客户端随机生成的随机密码串进行加密，以生成待发送至业务服务器的主密钥密文。

当然，在其他实施例中，在发送主密钥密文至业务服务器之前，业务服务器可以要求对客户端的身份作进一步地验证。在验证过程中，客户端使用客户端私钥对历史握手信息进行加密，并将加密后的历史握手信息与携带客户端公钥的公钥证书一同发送至业务服务器，业务服务器验证客户端的公钥证书合法后，通过使用从客户端的公钥证书中提取的客户端公钥对该加密后的历史握手信息进行解密并匹配，以保证安全链接的安全性，从而进一步地提高资源访问的安全性。

步骤250，向分配的解密服务器转发主密钥密文。

本实施例中，用于解密主密钥密文的解密服务器的数量为多个，每一个解密服务器上均会部署业务服务器的私钥证书。

进一步地，在进行主密钥密文转发之前，可预先对业务服务器所分配的解密服务器进行状态监控，以保证接收了业务服务器转发的主密钥密文的解密服务器的可靠性，从而有效地保障了资源加密访问过程的顺畅性。

在一实施例中，步骤130之前，实现资源加密访问的方法还包括：

通过业务服务器根据主密钥明文、与客户端握手时得到的随机数生成密钥。

其中，业务服务器与客户端握手时得到的随机数包括了客户端随机产生的随机数、以及其自身随机产生的随机数，而通过业务服务器所生成的密钥仅是业务服务器侧的密钥。

具体地，业务服务器根据握手过程中协商的加解密算法对主密钥明文、客户端随机产生的随机数、其自身随机产生的随机数进行计算生成第一会话密钥，即业务服务器侧的密钥。

同时，客户端也根据握手过程中协商的加解密算法对主密钥明文、业务服务器随机产生的随机数、其自身随机产生的随机数进行计算生成第二会话密钥，即客户端侧的密钥。

其中，第一会话密钥与第二会话密钥是对称一致的，通过该第一、第二会话密钥即可建立安全链接，实现客户端与业务服务器之间后续的资源访问的对称加密传输，以保护二者之间的资源访问不被窃取和篡改，实现网络传输的高安全性要求。

请参阅图3，在一实施例中，步骤250之前，实现资源加密访问的方法还包括：

步骤310，通过业务服务器获取下发的可用解密服务器消息。

其中，可用解密服务器消息是由与业务服务器交互的另一服务器下发至业务服务器的，业务服务器与该服务器之间的交互过程可以采用网络传输协议，但也可根据传输需求采用其它传输协议，采用何种协议将取决于二者之间的交互方式。本实施例中，该服务器与业务服务器之间通过HTTP协议进行可用解密服务器消息的传输。

该可用解密服务器消息中可以包含有可用解密服务器的数量、可用解密服务器的IP地址、以及可用解密服务器的状态信息。通过可用解密服务器消息即可实现解密服务器的分配。

针对业务服务器所进行的可用解密服务器消息的下发过程可以是定时进行，也可以是在可用解密服务器消息有更新时进行。例如，当某一个解密服务器发生故障，可用解密服务器的数量就会发生相应变化，进而更新可用解密服务器消息，以使该服务器下发更新后的可用解密服务器消息。

步骤330，根据可用解密服务器消息分配对接收到的主密钥密文进行解密的解密服务器。

若业务服务器根据获取到的可用解密服务器消息得知与其交互的可用解密服务器的具体数量及相应的IP地址（Internet Protocol Address，网际协议地址），相应地，业务服务器可以根据轮询机制将接收到的主密钥密文依次分配到不同的解密服务器上进行解密。

若业务服务器根据获取到的可用解密服务器消息得知与其交互的可用解密服务器的状态信息，例如，该状态信息中包含有各解密服务器的CPU资源占用率，相应地，业务服务器也可以将接收到的主密钥密文均分配到同一个CPU资源消耗最少的解密服务器上进行解密。

在实际的运营中，如上所述的过程将通过解密调度服务器实现，进而保证了解密服务器的合理分配，也保证了解密服务器的可用性。

请参阅图4，在一实施例中，步骤310之前，实现资源加密访问的方法还包括：

步骤410，通过解密调度服务器接收解密服务器上报的状态信息，以监控解密服务器的状态。

解密服务器的状态信息由解密服务器上报至解密调度服务器，解密调度服务器与解密服务器之间的交互过程可以采用网络传输协议，但也可根据传输需求采用其它传输协议，采用何种协议将取决于二者之间的交互方式。本实施例中，解密调度服务器与解密服务器之间通过HTTP协议进行状态信息的传输。

状态信息中包括解密服务器在每个周期处理的请求数、失败数、健康状态以及解密服务器的CPU、内存、硬盘及网卡的负载。通过状态信息对解密服务器的状态进行监控，以进一步判断该解密服务器是否为可用解密服务器，从而有利于生成相应的可用解密服务器消息。

优选地，解密调度服务器将负载合理且可用性强的解密服务器判定为可用解密服务器。其中，负载合理可以理解为解密服务器的CPU、内存、硬盘及网卡的负载在预设范围内，可用性强可以理解为解密服务器在每个周期处理的请求数、失败数在预设范围内，和/或，解密服务器的健康状态为健康。

例如，根据解密服务器的监听端口是否可用、解密服务器的服务进程是否存在判断解密服务器的健康状态，若监听端口不可用则判定该解密服务器的健康状态为不健康，该解密服务器为可用性差解密服务器。

针对解密调度服务器所进行的状态信息的上报过程可以是定时进行，也可以是在解密服务器每完成一次主密钥密文的解密时进行，以使解密调度服务器及时掌握各解密服务器的状态，从而更高效地将部署有私钥证书的可用解密服务器调度给业务服务器进行分配。

步骤430，根据解密服务器的状态生成可用解密服务器消息，并向业务服务器下发可用解密服务器消息。

进一步地，解密调度服务器根据解密服务器上报的状态信息判断该状态信息是否在预设范围，以根据解密服务器的状态生成可用解密服务器消息。

若为是，则上报该状态信息的解密服务器为可用解密服务器。例如，状态信息中解密服务器的CPU资源占用率不高于75%，则判定上报该状态信息的解密服务器为可用解密服务器，进而解密调度服务器以数据包打包的方式对该可用解密服务器的相关信息进行打包，以生成相应的可用解密服务器消息。其中，该可用解密服务器的相关信息中至少包含有解密服务器的IP地址，以便于业务服务器与该可用解密服务器之间后续的交互。

若为否，则上报该状态信息的解密服务器为可用性差解密服务器。进一步地，解密调度服务器将按照预定处理方式对该可用性差解密服务器进行处理。例如，直接自动将其屏蔽，即下发的可用解密服务器消息中不包含与该解密服务器相关的任何信息，或者，通过人工干预的方式对其进行故障检测，以对该解密服务器进行修复，或者，对该解密服务器所能接收的主密钥密文的数量进行限定，以防止该解密服务器超负荷运行。

本实施例中，在减少不必要成本的前提下，可以根据实际的业务需要控制解密服务器的具体数量以形成解密服务器集群，解密调度服务器则负责通过解密服务器上报的状态信息对各解密服务器进行监控，以保证该解密服务器集群的可用性，同时也有利于对该解密服务器集群进行动态地扩容或缩容，以更好地与业务服务器配合。

请参阅图5，在一实施例中，步骤130包括：

步骤131，在指定位置接收由解密调度服务器部署的私钥证书。

具体地，解密调度服务器首先将业务服务器的私钥证书预先存储于某一位置。

然后，根据私钥证书的存储位置对该私钥证书进行复制，并通过加密信道将该私钥证书发送至解密服务器的指定位置，从而完成私钥证书的部署。

所谓加密信道是指解密调度服务器在发送复制的私钥证书之前，使用加密算法及加密密钥对该私钥证书进行加密后发送给解密服务器，解密服务器接收到经加密的私钥证书后，再利用相应的解密算法及解密密钥对其进行解密以从中获取私钥证书，从而保证了私钥证书在解密调度服务器与解密服务器之间传输的安全性。该加密信道可以是SSH（Secure Shell，安全Shell）加密信道，或者使用其他安全协议加密的信道。

步骤133，执行与解密服务进程对应的指令将私钥证书加载至解密服务进程。

步骤135，加载解密服务进程，以通过私钥证书中的业务服务器私钥对主密钥密文进行解密。

在客户端与业务服务器之间的握手过程中，主密钥密文是由客户端使用经验证的公钥证书中的业务服务器公钥对随机产生的随机密码串进行加密而生成的，相应地，在非对称的解密过程中，解密服务器通过加载解密服务进程，进而使用私钥证书中的业务服务器私钥对主密钥密文进行解密，即可得到用于提供业务服务器的主密钥明文。

本实施例中，部署有私钥证书的解密服务器的数量为多个，以形成解密服务器集群更好地进行主密钥密文的解密。由于解密服务器仅用于解密，具有业务无关性，即解密服务器可以运用全部的CPU资源进行加解密算法的运算，从而相较于业务服务器具有更强大的计算能力。通过利用该解密服务器集群强大的计算能力对非对称加密算法生成的主密钥密文进行解密，不仅减少了业务服务器的CPU资源的消耗，提高了业务服务器的业务处理性能，而且避免将私钥证书部署于暴露公网中的业务服务器上，而是将私钥证书的部署范围限制在解密服务器集群之内，减少了私钥证书的泄漏风险，提高了资源访问的安全性。

请参阅图6，在一实施例中，步骤130之后，实现资源加密访问的方法还包括：

步骤510，解密服务器通过约定的密钥交换算法对主密钥明文进行加密以得到第一密文。

密钥交换算法是由解密服务器与业务服务器预先约定的，可以采用非对称加密算法，也可以采用对称加密算法。通过约定的该密钥交换算法对主密钥明文进行加密，提高了解密服务器与业务服务器之间传输的安全性。

本实施例中，该密钥交换算法为高强度的对称加密算法，即解密服务器与业务服务器使用相同的密钥，从而降低了业务服务器解密第一密文的复杂度。

步骤530，发送第一密文至业务服务器，以供业务服务器根据该密钥交换算法解密后得到主密钥明文。

业务服务器通过使用步骤510中高强度的对称加密算法对接收到的第一密文进行解密，使得解密时不会占用过多的CPU资源，这不同于现有的解密过程中非对称加密算法的运算速度缓慢会占用较多的CPU资源，从而使得业务服务器可以释放更多的CPU资源去接收更多地用户接入请求，以提高业务服务器的请求处理性能，从而提高业务服务器的业务处理能力。

在一实施例中，步骤130之后，实现资源加密访问的方法还包括：

根据客户端通过密钥对业务服务器中的资源发起的资源加密访问，向客户端返回经密钥加密的资源。

也就是说，在客户端与业务服务器各自生成密钥后，客户端与业务服务器之间的资源访问过程，例如，客户端发起的资源访问请求，或者，业务服务器响应该资源访问请求而返回的资源，都必须先使用该密钥加密后才能进行。

进一步地，业务服务器中的资源可以是word文档、网页或者图片，相应地，对业务服务器中的不同资源发起资源加密访问的客户端也可以对应于不同的应用，例如，若是对网页发起资源加密访问，客户端可以是浏览器，若是对图片发起资源加密访问，客户端则可以是各种虚拟社交网络工具，例如微信等应用。

值得一提的是，在其他实施例中，在客户端对业务服务器中的资源发起资源加密访问之前，还可以根据消息完整性验证机制判断历史握手消息是否被篡改，以保证客户端与业务服务器之间的交互安全性，从而进一步提高资源访问的安全性。例如，客户端与业务服务器各自通过握手过程中协商的MAC算法计算历史握手消息的MAC值，并使用密钥加密后通过Finish消息进行交换，若验证彼此的MAC值完全一致，则表明握手过程中的历史握手消息未被篡改，且加密算法及密钥协商成功，从而完成客户端与业务服务器之间的握手过程。

图7为一具体实施例的实现资源加密访问的***的拓扑结构图。图8为一具体实施例的实现资源加密访问的时序图。在一具体实施例中，业务服务器中保存的微信公众帐号的图片部分使用了HTTPS协议，则欲选取该图片的用户通过作为客户端的微信进行的资源加密访问过程包括两个阶段：1）握手阶段，2）资源访问阶段。该资源加密访问过程是基于SSL协议实现的，现结合图7与图8，对该资源加密访问过程加以说明如下。

步骤601，客户端向业务服务器发起握手请求，以将客户端所支持的协议版本号、所支持的加密算法等等发送至业务服务器。

步骤602，业务服务器响应该握手请求而返回响应消息，该响应消息包括业务服务器所选定的协议版本号、所选定的加密算法等等。在客户端接收到该响应消息后，即可认为客户端与业务服务器之间的握手信息交换完毕，二者完成了协议版本号、加密算法等的协商。

步骤603，待协商完毕后，客户端根据随机生成的随机密码串产生主密钥密文并发送至业务服务器。

步骤604，业务服务器将客户端的主密钥密文直接转发至解密服务器。

步骤605，解密服务器对业务服务器转发的主密钥密文进行解密及重加密处理，以将解密服务器的第一密文应答至业务服务器。

步骤606，业务服务器对解密服务器的第一密文进行解密，以得到与客户端一致的主密钥明文，业务服务器与客户端各自根据该主密钥明文生成用于后续资源加密访问的密钥，至此，客户端与业务服务器之间的握手过程完成，即握手阶段完成。

步骤607，客户端使用该密钥对资源访问请求进行加密，并将加密后的资源访问请求发送至业务服务器。

步骤608，业务服务器根据资源访问请求中客户端所请求的内容，将加密后的图片返回给客户端。在客户端接收到该加密后的图片后，资源访问阶段完成，从而实现了客户端对业务服务器中图片资源的加密访问。

同时，在上述资源加密访问过程中，还包括以下步骤：

步骤609，解密服务器集群中的解密服务器将状态信息上报至解密调度服务器，以通过解密调度服务器监控解密服务器的状态。

步骤610，解密调度服务器根据解密服务器的状态判断出可用解密服务器，并将私钥证书部署于可用解密服务器，以使可用解密服务器通过私钥证书对主密钥密文进行解密。

步骤611，解密调度服务器根据解密服务器的状态生成可用解密服务器消息，并下发至业务服务器，以使业务服务器对用于解密的可用解密服务器进行分配。

其中，步骤609至步骤611只需要在业务服务器进行主密钥密文转发之前完成即可，即在步骤604之前完成，本实施例并未对其加以限制。

请参阅图9，在一实施例中，一种实现资源加密访问的***700包括业务服务器80及与业务服务器80交互的解密服务器70，解密服务器70包括：接收单元710及解密单元730。

其中，接收单元710，用于通过解密服务器接收业务服务器转发的主密钥密文，主密钥密文是在业务服务器与客户端的握手过程中生成的。

解密单元730，用于根据部署的私钥证书对主密钥密文进行解密，以向业务服务器提供主密钥明文。

其中，解密得到的主密钥明文用于生成业务服务器与客户端之间资源加密访问的密钥。

请参阅图10，在一实施例中，业务服务器80还包括：请求响应单元810、主密钥密文接收单元830及转发单元850。

其中，请求响应单元810，用于通过业务服务器80响应客户端发送的用户接入请求，以使业务服务器80存储与客户端握手时得到的随机数，并向客户端提供公钥证书。

主密钥密文接收单元830，用于接收由客户端根据公钥证书对生成的随机密码串加密得到的主密钥密文。

转发单元850，用于向分配的解密服务器转发主密钥密文。

在一实施例中，业务服务器还包括：密钥生成单元。

其中，密钥生成单元，用于通过业务服务器根据主密钥明文、与客户端握手时得到的随机数生成密钥。

请参阅图11，在一实施例中，业务服务器80还包括：消息获取单元910及分配单元930。

其中，消息获取单元910，用于通过业务服务器获取下发的可用解密服务器消息。

分配单元930，用于根据可用解密服务器消息分配对接收到的主密钥密文进行解密的解密服务器。

请参阅图12，在一实施例中，实现资源加密访问的***700还包括与解密服务器70及业务服务器80交互的解密调度服务器90，解密调度服务器90包括：监控单元1010及消息下发单元1030。

其中，监控单元1010，用于通过解密调度服务器接收解密服务器上报的状态信息，以监控解密服务器的状态。

消息下发单元1030，用于根据解密服务器的状态生成可用解密服务器消息，并向业务服务器下发可用解密服务器消息。

请参阅图13，在一实施例中，解密单元730包括：私钥证书接收模块731、私钥证书加载模块733、私钥解密模块735。

其中，私钥证书接收模块731，用于在指定位置接收由解密调度服务器部署的私钥证书。

私钥证书加载模块733，用于执行与解密服务进程对应的指令将私钥证书加载至解密服务进程。

私钥解密模块735，用于加载解密服务进程，以通过私钥证书中的私钥对主密钥密文进行解密。

请参阅图14，在一实施例中，解密服务器70还包括：主密钥明文加密单元1110及第一密文发送单元1130。

其中，主密钥明文加密单元1110，用于解密服务器通过约定的密钥交换算法对主密钥明文进行加密以得到第一密文。

第一密文发送单元1130，用于发送第一密文至业务服务器，以供业务服务器根据该密钥交换算法解密后得到主密钥明文。

在一实施例中，业务服务器还包括：资源返回单元。

其中，资源返回单元，用于根据客户端通过密钥对业务服务器中的资源发起的资源加密访问，向客户端返回经密钥加密的资源。

请参阅图15，图15是本发明实施例的一种服务器1200的结构示意图。上述实施例中的由业务服务器所执行的步骤，或者，由解密服务器所执行的步骤，或者，由解密调度服务器所执行的步骤均可以基于该图中所示的服务器的结构。

该服务器1200可因配置或者性能的不同而产生较大的差异，其包括：电源1210、接口1230、至少一存储介质1250、以及至少一中央处理器（CPU ，Central Processing Units）1270。

具体地，电源1210用于为服务器1200上的各硬件设备提供工作电压。

接口1230包括至少一有线或无线网络接口1231、至少一串并转换接口1233、至少一输入输出接口1235以及至少一USB接口1237等，用于与外部设备通信。

存储介质1250作为资源存储的载体，可以是随机存储介质、磁盘或者光盘等，其上所存储的资源包括操作***1251、应用程序1253及数据1255等，存储方式可以是短暂存储或者永久存储。其中，操作***1251用于管理与控制服务器1200上的各硬件设备以及应用程序1253，以实现中央处理器1270对海量数据1255的计算与处理，其可以是Windows ServerTM、Mac OS XTM、UnixTM、LinuxTM、FreeBSDTM等。应用程序1253是基于操作***1251之上完成至少一项特定工作的计算机程序，其可以包括至少一模块（图示未示出），每个模块都可以分别包含有对服务器1200的一系列操作指令。数据1255可以是存储于磁盘中的word文档、网页、图片等等。

中央处理器1270可以包括一个或多个以上的处理器，并设置为通过总线与存储介质1250通信，用于计算与处理存储介质1250中的海量数据1255。

通过中央处理器1270读取存储介质1250中存储的一系列操作指令，并基于存储介质1250上的操作***1251在服务器1200上执行，进而使得上述实施例的全部或者部分步骤可以通过在服务器上运行相关的计算机程序来完成。

上述内容，仅为本发明的较佳实施例，并非用于限制本发明的实施方案，本领域普通技术人员根据本发明的主要构思和精神，可以十分方便地进行相应的变通或修改，故本发明的保护范围应以权利要求书所要求的保护范围为准。

Claims (16)

1.一种实现资源加密访问的方法，其特征在于，包括：

通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的；及

根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文；

其中，解密得到的所述主密钥明文用于生成所述业务服务器与客户端之间资源加密访问的密钥。

2.如权利要求1所述的方法，其特征在于，所述通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的步骤之前，所述方法还包括：

通过所述业务服务器响应所述客户端发送的用户接入请求，以使所述业务服务器存储与所述客户端握手时得到的随机数，并向所述客户端提供公钥证书；

接收由所述客户端根据所述公钥证书对生成的随机密码串加密得到的主密钥密文；及

向分配的所述解密服务器转发所述主密钥密文。

3.如权利要求2所述的方法，其特征在于，所述根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文的步骤之后，所述方法还包括：

通过所述业务服务器根据所述主密钥明文、与所述客户端握手时得到的随机数生成所述密钥。

4.如权利要求2所述的方法，其特征在于，所述向分配的所述解密服务器转发所述主密钥密文的步骤之前，所述方法还包括：

通过所述业务服务器获取下发的可用解密服务器消息；及

根据所述可用解密服务器消息分配对接收到的所述主密钥密文进行解密的解密服务器。

5.根据权利要求4所述的方法，其特征在于，所述通过所述业务服务器获取下发的可用解密服务器消息的步骤之前，所述方法还包括：

通过解密调度服务器接收所述解密服务器上报的状态信息，以监控所述解密服务器的状态；及

根据所述解密服务器的状态生成可用解密服务器消息，并向所述业务服务器下发所述可用解密服务器消息。

6.如权利要求1所述的方法，其特征在于，所述根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文的步骤包括：

在指定位置接收由解密调度服务器部署的所述私钥证书；

执行与解密服务进程对应的指令将所述私钥证书加载至所述解密服务进程；及

加载所述解密服务进程，以通过所述私钥证书中的业务服务器私钥对所述主密钥密文进行解密。

7.如权利要求1所述的方法，其特征在于，所述根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文的步骤之后，所述方法还包括：

所述解密服务器通过约定的密钥交换算法对所述主密钥明文进行加密以得到第一密文；及

发送所述第一密文至所述业务服务器，以供所述业务服务器根据该密钥交换算法解密后得到所述主密钥明文。

8.如权利要求1所述的方法，其特征在于，所述根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文的步骤之后，所述方法还包括：

根据所述客户端通过所述密钥对所述业务服务器中的资源发起的资源加密访问，向所述客户端返回经所述密钥加密的资源。

9.一种实现资源加密访问的***，其特征在于，包括业务服务器及与所述业务服务器交互的解密服务器，所述解密服务器包括：

接收单元，用于通过解密服务器接收业务服务器转发的主密钥密文，所述主密钥密文是在所述业务服务器与客户端的握手过程中生成的；及

解密单元，用于根据部署的私钥证书对所述主密钥密文进行解密，以向所述业务服务器提供主密钥明文；

其中，解密得到的所述主密钥明文用于生成所述业务服务器与客户端之间资源加密访问的密钥。

10.如权利要求9所述的***，其特征在于，所述业务服务器包括：

请求响应单元，用于通过所述业务服务器响应所述客户端发送的用户接入请求，以使所述业务服务器存储与所述客户端握手时得到的随机数，并向所述客户端提供公钥证书；

主密钥密文接收单元，用于接收由所述客户端根据所述公钥证书对生成的随机密码串加密得到的主密钥密文；及

转发单元，用于向分配的所述解密服务器转发所述主密钥密文。

11.如权利要求10所述的***，其特征在于，所述业务服务器还包括：

密钥生成单元，用于通过所述业务服务器根据所述主密钥明文、与所述客户端握手时得到的随机数生成所述密钥。

12.如权利要求10所述的***，其特征在于，所述业务服务器还包括：

消息获取单元，用于通过所述业务服务器获取下发的可用解密服务器消息；及

分配单元，用于根据所述可用解密服务器消息分配对接收到的所述主密钥密文进行解密的解密服务器。

13.如权利要求12所述的***，其特征在于，还包括与所述解密服务器及业务服务器交互的解密调度服务器，所述解密调度服务器包括：

监控单元，用于通过解密调度服务器接收所述解密服务器上报的状态信息，以监控所述解密服务器的状态；及

消息下发单元，用于根据所述解密服务器的状态生成可用解密服务器消息，并向所述业务服务器下发所述可用解密服务器消息。

14.如权利要求9所述的***，其特征在于，所述解密单元包括：

私钥证书接收模块，用于在指定位置接收由解密调度服务器部署的所述私钥证书；

私钥证书加载模块，用于执行与解密服务进程对应的指令将所述私钥证书加载至所述解密服务进程；及

私钥解密模块，用于加载所述解密服务进程，以通过所述私钥证书中的业务服务器私钥对所述主密钥密文进行解密。

15.如权利要求9所述的***，其特征在于，所述解密服务器还包括：

主密钥明文加密单元，用于所述解密服务器通过约定的密钥交换算法对所述主密钥明文进行加密以得到第一密文；及

第一密文发送单元，用于发送所述第一密文至所述业务服务器，以供所述业务服务器根据该密钥交换算法解密后得到所述主密钥明文。

16.如权利要求9所述的***，其特征在于，所述业务服务器还包括：

资源返回单元，用于根据所述客户端通过所述密钥对所述业务服务器中的资源发起的资源加密访问，向所述客户端返回经所述密钥加密的资源。