[發明專利]一種基于強化代理保護證書的系統和方法

在審

• 申請號: 201710538310.2
• 申請日: 2017-07-04
• 公開（公告）號: CN107342999A
• 公開（公告）日: 2017-11-10
• 發明（設計）人: 錢兵;王幸福;張百林;張沖
• 申請（專利權）人: 鄭州云海信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 北京集佳知識產權代理有限公司11227
• 代理人: 羅滿

1.一種基于強化代理保護證書的方法，其特征在于，包括：

步驟1，攔截來自用戶計算機的網絡數據信息；

步驟2，判斷所述網絡數據信息對應的所述用戶計算機是否具有對要通信的遠程計算機訪問的權限；

若是，步驟3，對所述網絡數據信息進行加密簽名，授權所述用戶計算機對所述遠程計算機進行訪問。

2.如權利要求1所述基于強化代理保護證書的方法，其特征在于，所述步驟2，包括：

識別所述用戶計算機將要通信的遠程計算機的憑證和所述網絡數據信息的網絡請求；

計算所述憑證的加密信息，并輸出所述網絡數據信息的加密序列；

判斷所述遠程計算機的證書、所述加密序列和所述網絡數據信息是否包含在白名單數據庫中，且不包含在黑名單數據庫中。

3.如權利要求2所述基于強化代理保護證書的方法，其特征在于，還包括：

防火墻檢查所述網絡數據信息，判斷是否具有所述加密簽名；

若是，授權所述網絡數據信息對所述遠程計算機進行訪問，否則，拒絕所述網絡數據信息對所述遠程計算機進行訪問。

4.如權利要求3所述基于強化代理保護證書的方法，其特征在于，所述對所述網絡數據信息進行加密簽名為通過向應用層協議添加加密序列字段對網絡數據信息進行加密簽名。

5.如權利要求4所述基于強化代理保護證書的方法，其特征在于，所述向所述網絡數據信息中添加加密序列字段為將所述加密序列添加到IPv4報頭選項字段或將所述加密序列添加到IPv6報頭鏈字段。

6.一種基于強化代理保護證書的系統，其特征在于，包括基于主機的憑證管理代理、可信憑證數據庫和授權服務器，所述可信憑證數據庫包含標識可信實體和相應加密證書的信息，所述基于主機的憑證管理代理與用戶計算機連接，用于攔截來自所述用戶計算機訪問的遠程計算機的網絡流量信息，并根據所述網絡流量信息識別所述遠程計算機的證書和計算所述證書的機密信息，獲得所述網絡數據信息的加密序列后，將所述網絡數據信息和所述加密序列發送到所述授權服務器，所述授權服務器判斷所述遠程計算機的證書、所述加密序列、所述網絡數據信息是否包含在所述可信憑證數據庫中的白名單數據庫、黑名單數據庫，若均包含在所述白名單數據庫，且不包含在所述黑名單數據庫，通過使用授權服務器密鑰對所述網絡流量信息進行加密簽名，以授權網絡訪問被攔截的所述網絡數據信息。

7.如權利要求6所述基于強化代理保護證書的系統，其特征在于，還包括防火墻，所述防火墻與所述授權服務器、所述用戶計算機連接，用于檢查來自所述用戶計算機的網絡數據信息是否具有所述授權服務器的授權服務器秘鑰簽名的加密簽名，若有，授權所述網絡數據信息對所述遠程計算機進行訪問，否則，拒絕所述網絡數據信息對所述遠程計算機進行訪問。

8.如權利要求7所述基于強化代理保護證書的系統，其特征在于，所述授權服務器為工作在公共計算機服務器的授權服務器或工作在獨立網絡設備的授權服務器。

9.如權利要求8所述基于強化代理保護證書的系統，其特征在于，所述基于主機的憑證管理代理為工作在所述用戶計算機的基于主機的憑證管理代理或工作在專用的計算機的基于主機的憑證管理代理。

10.如權利要求9所述基于強化代理保護證書的系統，其特征在于，還包括與所述防火墻、所述授權服務器、所述用戶計算機連接的不信任反饋裝置，用于向所述用戶計算機反饋不能與所述遠程計算機通信的原因。