[發明專利]一種面向自主可控環境下的應用虛擬化安全通信方法

有效

• 申請號: 201811121343.8
• 申請日: 2018-09-25
• 公開（公告）號: CN109347809B
• 公開（公告）日: 2021-01-08
• 發明（設計）人: 李大衛;王斌;曾穎明;石波;吳朝雄;劉滋潤;姜琦
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/08
• 代理公司: 中國兵器工業集團公司專利中心 11011
• 代理人: 王雪芬

1.一種面向自主可控環境下的應用虛擬化安全通信方法，其特征在于，包括以下步驟：

步驟S1、由網絡連接層對套接字進行創建，完成對服務器與客戶端之間通信網絡的連接，為通信雙方的數據交互和網絡通信提供基礎，當網絡連接建立完成，通過使用安全套接層來完成對通信雙方的雙向身份認證，客戶端對網絡連接層所生成的套接字發起連接，并向服務器發送請求報文，服務器收到請求后對客戶端進行響應；

步驟S2、服務器向客戶端發送其證書報文及簽名信息，證書中包括服務器生成的隨機數、公鑰這些用于進行密鑰交換的信息，客戶端接收到服務器發送的數據報文后，對服務器進行認證，若認證成功則生成客戶端隨機數與公鑰，并將客戶端證書與簽名發送至服務器，否則結束，認證過程中，安全套接層利用生成的國密加密套件對客戶端和服務器端進行雙向身份驗證，若通信雙方身份驗證成功，則表示雙方可進行收發有效信息，否則結束，通信雙方身份驗證成功時服務器對客戶端所發送的證書與簽名進行驗證，若驗證成功則利用客戶端的隨機數與服務器公鑰生成共享密鑰，從而對雙方所生成的共享密鑰進行配對，驗證不成功則結束；當雙方的共享密鑰一致時，則安全套接層建立成功，可對通信數據進行基于SM4對稱加密算法的加密解密；

步驟S3、安全套接層成功連接建立后，傳輸數據層對通信會話進行初始化，客戶端向服務器發送傳輸數據層的請求連接數據包，服務器收到后對其進行響應，從而返回一個連接確認數據包，則傳輸數據層建立連接，客戶端生成多虛擬通道的初始化數據包，并與服務器進行交互，將初始化數據包發送至服務器，等待服務器發送響應數據包；服務器接收到初始化數據包后，發送連接響應數據包，當虛擬通道層建立連接后，完成對多虛擬通道的創建，將數據直接傳送至加密解密層，加密解密層為數據傳輸提供安全傳遞服務，加密解密操作將在安全套接層建立連接后，利用密鑰協商過程中所生成的共享密鑰，對虛擬應用數據實現基于SM4分組密碼算法的加密處理，當功能數據層之上的其他層均成功建立連接后，客戶端向服務器發送報文，服務器返回一個協議數據單元作為響應，表示功能數據層建立連接，即可開始傳輸虛擬應數據及圖像塊信息，從而完成安全傳輸協議的最終交互。

2.如權利要求1所述的方法，其特征在于，步驟S1中，由客戶端向服務器發送所述請求報文Client hello，客戶端請求報文包括由版本號Version、隨機數Random、會話標識符Session、加密套件Cipher suite和壓縮方法Compression method，其中版本號為客戶端所支持協議的最高版本；隨機數為通信雙方的身份驗證提供加密服務；會話標識符為客戶端與服務器的通信連接進行標識，若會話標識符為0則通信雙方需創建一個新的連接，若該值為非0值則表示通信雙方連接已建立成功；加密套件提供客戶端支持加密算法的列表，并根據各算法的優先級進行排序；壓縮方法為服務器提供客戶端可支持的壓縮算法；

當客戶端將hello請求報文發送至服務器后，等待服務器對其進行響應，服務器響應客戶端的請求報文對其發送hello響應報文，此響應報文中包含的字段與客戶端的請求報文字段相同，但服務器的響應報文可對客戶端提供的加密算法、壓縮算法及版本號進行比對與選擇，服務器根據客戶端所發送的請求報文中的字段與服務器自身所支持的協議版本號選擇通信雙方均可支持的版本，并根據客戶端的會話標識符生成服務器響應報文中的會話標識符，由于服務器的響應報文與客戶端的請求報文相同，故服務器依據請求報文中的隨機數字段生成獨立于客戶端的隨機大整數，以作為響應報文中的隨機數字段發送至客戶端，同時，服務器根據客戶端請求報文中的加密套件與壓縮算法，選取用于此通信過程中的加密套件及壓縮算法，當服務器將所有字段生成完畢后，對其進行封裝作為響應報文發送至客戶端，以建立客戶端與服務器間的通信連接；

當通信雙方在建立通信連接的過程中，客戶端的Client Hello請求報文中包含了客戶端支持的所有通信加密套件，服務器需通過對客戶端支持的加密套件進行選取，以實現客戶端與服務器之間的雙向身份認證及密鑰協商，在建立連接時，服務器所選取的加密算法以標準的加密套件為依據，包括密鑰交換算法、對稱加密算法及雜湊算法，安全通信方法所使用的加密套件為國產商用密碼算法SM2-SM3-SM4，該加密套件為雙方的通信連接提供安全服務，從而實現通信雙方的身份校驗、密鑰協商及加密傳輸，其中密鑰交換算法及通信雙方的認證算法采用國密SM2算法，雜湊算法采用國密SM3算法，并以國密SM4算法實現對遠程虛擬應用的數據進行加密。