[發(fā)明專利]一種面向自主可控環(huán)境下的應用虛擬化安全通信方法

有效

• 申請?zhí)枺?/td>: 201811121343.8
• 申請日: 2018-09-25
• 公開（公告）號: CN109347809B
• 公開（公告）日: 2021-01-08
• 發(fā)明（設計）人: 李大衛(wèi);王斌;曾穎明;石波;吳朝雄;劉滋潤;姜琦
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/08
• 代理公司: 中國兵器工業(yè)集團公司專利中心 11011
• 代理人: 王雪芬

本發(fā)明涉及一種面向自主可控環(huán)境下的應用虛擬化安全通信方法，涉及網(wǎng)絡安全技術領域。本發(fā)明通過對原有RDP協(xié)議棧進行結構重建，在RDP協(xié)議的基礎上擴展一種基于國產(chǎn)商用密碼套件的安全套接層，將安全套接層添加至協(xié)議棧的網(wǎng)絡連接層之上，可為客戶端到服務器提供安全傳輸服務，實現(xiàn)了客戶端和服務器間的雙重身份認證，完成了客戶端對服務器的身份信息驗證。

技術領域

本發(fā)明涉及網(wǎng)絡安全技術領域，具體涉及一種面向自主可控環(huán)境下的應用虛擬化安全通信方法。

背景技術

由于RDP協(xié)議在使用的過程中，通信雙方僅為單向身份認證，客戶端無法驗證服務器的身份和數(shù)據(jù)包的完整性。在網(wǎng)絡傳輸過程中，此類只具有單向身份認證機制的協(xié)議易被中間人攻擊的方式對其進行數(shù)據(jù)竊取。攻擊者可偽造一個虛假服務器，利用ARP地址欺騙、DNS欺騙等攻擊方式將偽造的服務器公鑰傳輸至客戶端，并構建一個完整的RDP會話，從而獲取到傳輸過程中的敏感信息。中間人攻擊的具體流程可由圖1所示。

在數(shù)據(jù)傳輸?shù)倪^程中，攻擊者在客戶端面前偽裝為服務器，在服務器面前以客戶端的身份進行通信，并將所欺騙獲得的消息用于與客戶端和服務器間的通信。這說明客戶端不能對服務器進行身份鑒別，在此種攻擊模式下，攻擊者充當了一個“代理”的角色。中間人攻擊方式具體的攻擊流程可以分為以下幾個步驟：

第一步，攻擊者利用欺騙等方法將自身偽裝為服務器，與客戶端進行通信，并將原有通信雙方的通信數(shù)據(jù)流進行控制。通過客戶端發(fā)送的請求數(shù)據(jù)信息，攻擊者將生成自己的公私鑰對(Q_P,K_P)。在客戶端與服務器進行請求信息發(fā)送的過程中，客戶端先將請求發(fā)送給攻擊者，攻擊者再偽裝為客戶端與服務器進行通信。

第二步，當攻擊者收到客戶端的請求信息后，將客戶端的連接請求信息替換為攻擊者的連接請求信息，然后向服務器發(fā)送自己的連接請求信息。服務器接收到攻擊者發(fā)送的連接請求信息后，服務器將以明文的形式對服務器產(chǎn)生的公鑰Q_S和隨機數(shù)K_S進行封裝，最后將封裝完成的數(shù)據(jù)包發(fā)送至攻擊者。

第三步，服務器對攻擊者發(fā)送的請求進行響應，攻擊者獲得服務器的公鑰Q_S和隨機數(shù)K_S，利用攻擊者生成的公鑰Q_P和隨機數(shù)K_S對服務器的公鑰和隨機數(shù)進行互換，將自己偽裝為服務器與客戶端進行通信，從而發(fā)送包含攻擊者公鑰及隨機數(shù)的數(shù)據(jù)包至客戶端，以對客戶端進行欺騙。

第四步，由于客戶端對服務器不進行身份驗證，當接收到由攻擊者所發(fā)送的公鑰Q_P和隨機數(shù)K_S后，將其進行保存。客戶端使用攻擊者的公鑰Q_P對客戶端的產(chǎn)生的隨機數(shù)K_C進行非對稱加密，從而生成加密后的私鑰K_C'，客戶端對加密后的私鑰進行封裝，以完成對攻擊者的請求響應。

第五步，當攻擊者接收到客戶端發(fā)送來的私鑰K_C'后，通過使用產(chǎn)生的私鑰K_P對客戶端私鑰K_C'進行解密，從而獲取到客戶端所生成的私鑰K_C。由于RDP協(xié)議的單向認證安全策略使服務器需要對客戶端的身份信息進行驗證，則將通過服務器所生成的公鑰Q_S對客戶端私鑰K_C進行非對稱加密，以密文的形式進行密鑰傳輸，生成加密后的客戶端私鑰K_C”，攻擊者將非對稱加密后的私鑰K_C”封裝發(fā)送至服務器，以完成對服務器的響應。