[發明專利]安全保護部件互聯結構化系統及實現方法

有效

• 申請號: 201711072942.0
• 申請日: 2017-11-04
• 公開（公告）號: CN107846279B
• 公開（公告）日: 2021-08-27
• 發明（設計）人: 陶源;李明
• 申請（專利權）人: 公安部第三研究所
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32
• 代理公司: 上海天翔知識產權代理有限公司 31224
• 代理人: 劉常寶

本發明公開了安全保護部件互聯結構化系統及實現方法，本方案通過密鑰分發模塊、可信度量模塊以及可信傳輸模塊來實現，密鑰分發模塊作為可信認證基，支持主機證書請求及下發，接收并處理可信身份驗證請求；可信度量模塊用于接收安全保護部件的可信度量請求，將度量請求發送到密鑰分發模塊，收到度量成功結果則轉發連接請求到可信傳輸模塊，收到度量失敗結果則終止通信；可信傳輸模塊用于接收安全保護部件的可信傳輸請求，并進行協商密鑰，密鑰交換。本發明通過可信計算技術保證通信部件的可信性，通過通道完整性保護實現部件連接的可信。

技術領域

本發明涉及網絡安全技術，具體涉及安全保護部件互聯結構化技術。

背景技術

傳統的通信方式，是在進程間通信，通過連接發起方發出連接請求，接收方處理接收請求，連接過程成功則建立通道進行通信。

以TCP連接過程三次握手連接過程為例，所謂三次握手(Three-Way Handshake)即建立TCP連接，就是指建立一個TCP連接時，需要客戶端和服務端總共發送3個包以確認連接的建立。在socket編程中，這一過程由客戶端執行connect來觸發，如圖1所示，整個流程如下：

(1)第一次握手：Client將標志位SYN置為1，隨機產生一個值seq＝J，并將該數據包發送給Server，Client進入SYN_SENT狀態，等待Server確認。

(2)第二次握手：Server收到數據包后由標志位SYN＝1知道Client請求建立連接，Server將標志位SYN和ACK都置為1，ack＝J+1，隨機產生一個值seq＝K，并將該數據包發送給Client以確認連接請求，Server進入SYN_RCVD狀態。

(3)第三次握手：Client收到確認后，檢查ack是否為J+1，ACK是否為1，如果正確則將標志位ACK置為1，ack＝K+1，并將該數據包發送給Server，Server檢查ack是否為K+1，ACK是否為1，如果正確則連接建立成功，Client和Server進入ESTABLISHED狀態，完成三次握手，隨后Client與Server之間可以開始傳輸數據了。

傳統通信方式存在兩個安全問題：1、通信的主體Client和Server的身份可能被冒用；2、通信過程容易被截獲、竊聽甚至通信信息被惡意篡改。

發明內容

針對現有通信方式在安全方面所存在的問題，需要一種新的安全通信方案。

為此，本發明的目的在于提供一種安全保護部件互聯結構化系統及實現方法，以實現安全保護部件通信連接的結構化。

為了達到上述目的，本發明提供的安全保護部件互聯結構化系統，包括：

密鑰分發模塊，所述密鑰分發模塊作為可信認證基，支持主機證書請求及下發，接收并處理可信身份驗證請求；

可信度量模塊，所述可信度量模塊用于接收安全保護部件的可信度量請求，將度量請求發送到密鑰分發模塊，收到度量成功結果則轉發連接請求到可信傳輸模塊，收到度量失敗結果則終止通信；

可信傳輸模塊，所述可信傳輸模塊用于接收安全保護部件的可信傳輸請求，并進行協商密鑰，密鑰交換。

進一步的，所述系統還包括信息截取模塊，所述信息截取模塊截取安連接請求，并將其轉至可信度量模塊。

進一步的，所述信息截取模塊為鉤子模塊。

為了達到上述目的，本發明提供的安全保護部件互聯結構化實現方法，在安全保護部件之間的通信建立連接之前，對通信雙方的身份可信度量，在可信度量通過后在安全保護部件之間建立可信通道。

進一步的，所述實現方法包括：

截取作為通信雙方的安全保護部件之間的通信連接請求；