[發(fā)明專利]防止服務(wù)被攻擊的方法、設(shè)備及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201010119764.4
• 申請(qǐng)日: 2010-02-24
• 公開（公告）號(hào): CN102164033A
• 公開（公告）日: 2011-08-24
• 發(fā)明（設(shè)計(jì)）人: 王志華;陳謙
• 申請(qǐng)（專利權(quán)）人: 騰訊科技(深圳)有限公司
• 主分類號(hào): H04L9/32
• 分類號(hào): H04L9/32;H04L9/28;H04L9/14;H04L29/06
• 代理公司: 北京三高永信知識(shí)產(chǎn)權(quán)代理有限責(zé)任公司 11138
• 代理人: 何文彬

技術(shù)領(lǐng)域

本發(fā)明涉及信息安全技術(shù)領(lǐng)域，特別涉及一種防止服務(wù)被攻擊的方法、設(shè)備及系統(tǒng)。

背景技術(shù)

很多服務(wù)器為了方便用戶的訪問，直接暴露在公網(wǎng)，因而容易遭到黑客的攻擊。黑客攻擊服務(wù)器一般都是在掃描到網(wǎng)絡(luò)服務(wù)的端口后，通過構(gòu)造或者篡改數(shù)據(jù)包，對(duì)服務(wù)器發(fā)起攻擊。當(dāng)服務(wù)器受到攻擊后，無法鑒別數(shù)據(jù)包的來源，導(dǎo)致錯(cuò)誤的服務(wù)非法用戶，造成系統(tǒng)的繁忙。

為了使服務(wù)器在收到數(shù)據(jù)包時(shí)，能夠有效鑒別數(shù)據(jù)包的來源，從而達(dá)到保護(hù)服務(wù)器正常服務(wù)的作用。現(xiàn)有技術(shù)采取的第一種防止服務(wù)被攻擊的方式是對(duì)數(shù)據(jù)包進(jìn)行加密，并使用安全的數(shù)據(jù)通道傳送經(jīng)加密的數(shù)據(jù)包。現(xiàn)有技術(shù)采取的第二種防止服務(wù)被攻擊的方式是在數(shù)據(jù)包中增加數(shù)據(jù)簽名等信息，證明數(shù)據(jù)包來源的合法性，該種方式下，客戶端根據(jù)服務(wù)器下發(fā)的數(shù)據(jù)做不可逆的算法，然后利用自身存儲(chǔ)的私鑰制做簽名，當(dāng)服務(wù)器收到客戶端發(fā)送的簽名后，再用客戶端發(fā)布的公鑰對(duì)數(shù)據(jù)包進(jìn)行解密來驗(yàn)證客戶端簽名的合法性。

在實(shí)現(xiàn)本發(fā)明的過程中，發(fā)明人發(fā)現(xiàn)現(xiàn)有技術(shù)至少存在以下缺點(diǎn)：

第一種方式的整個(gè)加密體系非常嚴(yán)密，適合安全性要求較高的傳輸場(chǎng)合，因?yàn)榻⒁淮伟踩ǖ溃谏矸莸尿?yàn)證以及密鑰的交互中需要較多的消耗，因而對(duì)于安全性要求不是特別高的情況，該種方式過于復(fù)雜，且消耗過大，一般適用于對(duì)服務(wù)器端的驗(yàn)證；第二種以數(shù)據(jù)包中增加數(shù)字簽名的方式來驗(yàn)證客戶端合法性的方式，需要把客戶端的公鑰發(fā)布到服務(wù)器可以查詢的地方，而這一過程存在危險(xiǎn)漏洞。

發(fā)明內(nèi)容

為了在不增加過多開銷的前提下，實(shí)現(xiàn)對(duì)安全不嚴(yán)格的服務(wù)帶來安全的保障機(jī)制，預(yù)防服務(wù)器的服務(wù)被攻擊，本發(fā)明實(shí)施例提供了一種防止服務(wù)被攻擊的方法、設(shè)備及系統(tǒng)。所述技術(shù)方案如下：

一方面，提供了一種防止服務(wù)被攻擊的方法，所述方法包括：

接收客戶端發(fā)送的服務(wù)申請(qǐng)，并向所述客戶端下發(fā)驗(yàn)證信息，所述驗(yàn)證信息至少包括隨機(jī)產(chǎn)生的明文及用私鑰加密的用戶標(biāo)識(shí)；

接收所述客戶端返回的根據(jù)所述驗(yàn)證信息用公鑰加密得到的簽名；

根據(jù)所述客戶端返回的所述簽名驗(yàn)證所述客戶端的合法性，如果驗(yàn)證通過，則繼續(xù)為所述客戶端服務(wù)，否則，確定所述客戶端為非法客戶端，丟棄所述非法客戶端發(fā)送的數(shù)據(jù)包。

其中，所述接收所述客戶端返回的根據(jù)所述驗(yàn)證信息用公鑰加密得到的簽名，具體包括：

在所述客戶端將所述驗(yàn)證信息中的明文及用私鑰加密的用戶標(biāo)識(shí)連接構(gòu)成數(shù)字簽名明文信息，并用公鑰對(duì)所述數(shù)字簽名明文信息進(jìn)行加密得到簽名后，接收所述客戶端返回的所述簽名；

相應(yīng)地，所述根據(jù)所述簽名驗(yàn)證所述客戶端的合法性，具體包括：

將發(fā)送的所述明文及用私鑰加密的用戶標(biāo)識(shí)連接構(gòu)成數(shù)字簽名明文信息，并以私鑰對(duì)所述數(shù)字簽名明文信息進(jìn)行加密得到簽名后，判斷得到的所述簽名與所述客戶端返回的簽名是否一致，如果一致，則判斷所述客戶端通過驗(yàn)證，否則，判斷所述客戶端未通過驗(yàn)證。

優(yōu)選地，所述確定所述客戶端為非法客戶端之后，還包括：

記錄所述非法客戶端對(duì)應(yīng)的網(wǎng)際協(xié)議IP地址，且在所述非法客戶端連續(xù)大量發(fā)送數(shù)據(jù)包時(shí)，將所述非法客戶端對(duì)應(yīng)的IP地址加入到本地的防火墻策略。

具體地，所述繼續(xù)為所述客戶端服務(wù)，具體包括：

接收并處理所述客戶端發(fā)送的攜帶所述簽名的數(shù)據(jù)包。

可選地，所述向所述客戶端下發(fā)的驗(yàn)證信息中還包括有效期；

相應(yīng)地，繼續(xù)為所述客戶端服務(wù)，具體包括：

接收所述客戶端發(fā)送的攜帶所述簽名的數(shù)據(jù)包，并驗(yàn)證所述簽名是否在所述有效期之內(nèi)，如果是，則處理所述數(shù)據(jù)包，否則，丟棄所述數(shù)據(jù)包。

另一方面，提供了一種服務(wù)器，所述服務(wù)器包括：

第一接收模塊，用于接收客戶端發(fā)送的服務(wù)申請(qǐng)；

發(fā)送模塊，用于在所述第一接收模塊接收到所述客戶端發(fā)送的服務(wù)申請(qǐng)后，向所述客戶端下發(fā)驗(yàn)證信息，所述驗(yàn)證信息至少包括隨機(jī)產(chǎn)生的明文及用私鑰加密的用戶標(biāo)識(shí)；

第二接收模塊，用于接收所述客戶端返回的根據(jù)所述發(fā)送模塊發(fā)送的驗(yàn)證信息用公鑰加密得到的簽名；

驗(yàn)證模塊，用于根據(jù)所述第二接收模塊接收到的所述客戶端返回的所述簽名驗(yàn)證所述客戶端的合法性；

第一處理模塊，用于在所述客戶端通過所述驗(yàn)證模塊的驗(yàn)證后，繼續(xù)為所述客戶端服務(wù)；

第二處理模塊，用于在所述客戶端未通過所述驗(yàn)證模塊的驗(yàn)證時(shí)，確定所述客戶端為非法客戶端，丟棄所述非法客戶端發(fā)送的數(shù)據(jù)包。