[發(fā)明專利]一種基于SSL/TLS協(xié)議的流量快速轉(zhuǎn)發(fā)方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201910324087.0
• 申請(qǐng)日: 2019-04-22
• 公開（公告）號(hào): CN111835688B
• 公開（公告）日: 2021-07-30
• 發(fā)明（設(shè)計(jì)）人: 宋磊;李傳宏;閆露;郭志川;韓陸超;劉磊
• 申請(qǐng)（專利權(quán)）人: 中國科學(xué)院聲學(xué)研究所;北京中科視云科技有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L12/727;H04L12/729;H04L9/08
• 代理公司: 北京方安思達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11472
• 代理人: 陳琳琳;楊青

1.一種基于SSL/TLS協(xié)議的流量快速轉(zhuǎn)發(fā)方法，其特征在于，該方法包括：

接收由客戶端發(fā)送的客戶端問候消息，并對(duì)其進(jìn)行修改，同時(shí)記錄客戶端隨機(jī)數(shù)；

轉(zhuǎn)發(fā)修改后的客戶端問候消息至服務(wù)端；

根據(jù)修改后的客戶端問候消息，獲得服務(wù)端問候消息；

發(fā)送服務(wù)端問候消息至數(shù)據(jù)采集器，記錄服務(wù)端問候消息中的協(xié)議版本信息和加密套件信息，以及服務(wù)端隨機(jī)數(shù)；

根據(jù)支持SSL/TLS流量快速轉(zhuǎn)發(fā)的判斷準(zhǔn)則，判斷當(dāng)前連接是否支持快速轉(zhuǎn)發(fā)；如果當(dāng)前連接支持快速轉(zhuǎn)發(fā)，則通過快速轉(zhuǎn)發(fā)通道轉(zhuǎn)發(fā)密文數(shù)據(jù)至客戶端或服務(wù)端；如果當(dāng)前連接不支持快速轉(zhuǎn)發(fā)，則通過常規(guī)轉(zhuǎn)發(fā)通道轉(zhuǎn)發(fā)加密后的數(shù)據(jù)至客戶端或服務(wù)端；

建立SSL/TLS協(xié)議連接具體包括：

根據(jù)支持SSL/TLS流量快速轉(zhuǎn)發(fā)的判斷準(zhǔn)則，判斷當(dāng)前連接是否支持快速轉(zhuǎn)發(fā)；

如果服務(wù)端問候消息中包含帶有流密碼的加密套件信息，且具有當(dāng)前支持的版本號(hào)信息，則建立SSL/TLS協(xié)議連接，該連接支持快速轉(zhuǎn)發(fā)，對(duì)該連接添加一個(gè)標(biāo)志位進(jìn)行標(biāo)記；其中，所述當(dāng)前支持的版本號(hào)信息包括：SSL v3.0、TLS v1.0、TLS v1.1或TLS v1.2；

如果服務(wù)端問候消息中包含帶有CBC模式的分組密碼的加密套件信息，且具有當(dāng)前支持的版本號(hào)信息，則建立SSL/TLS協(xié)議連接，該連接支持快速轉(zhuǎn)發(fā)，對(duì)該連接添加一個(gè)標(biāo)志位進(jìn)行標(biāo)記；其中，所述當(dāng)前支持的版本號(hào)信息包括：TLS v1.1或TLS v1.2；

如果服務(wù)端問候消息中包含帶有AEAD密碼的加密套件信息，且具有當(dāng)前支持的版本號(hào)信息，則建立SSL/TLS協(xié)議連接，該連接支持快速轉(zhuǎn)發(fā)，對(duì)該連接添加一個(gè)標(biāo)志位進(jìn)行標(biāo)記；其中，所述當(dāng)前支持的版本號(hào)信息包括：TLS v1.2；

如果服務(wù)端問候消息中包含帶有流密碼、CBC模式的分組密碼或AEAD密碼的加密套件信息，且具有當(dāng)前不支持的版本號(hào)信息，則當(dāng)前建立的SSL/TLS連接不支持快速轉(zhuǎn)發(fā)；

所述支持SSL/TLS流量快速轉(zhuǎn)發(fā)的判斷準(zhǔn)則，判斷當(dāng)前連接是否支持快速轉(zhuǎn)發(fā)具體包括：

如果當(dāng)前連接中具有標(biāo)志位，則當(dāng)前連接支持快速轉(zhuǎn)發(fā)，對(duì)密文數(shù)據(jù)解密，解密出明文數(shù)據(jù)，計(jì)算該明文數(shù)據(jù)的消息認(rèn)證碼，確認(rèn)該明文數(shù)據(jù)正確后，再解析該明文數(shù)據(jù)，并同時(shí)通過快速轉(zhuǎn)發(fā)通道轉(zhuǎn)發(fā)密文數(shù)據(jù)至客戶端或服務(wù)端；

如果當(dāng)前連接中沒有標(biāo)志位，則當(dāng)前連接不支持快速轉(zhuǎn)發(fā)，則對(duì)，密文數(shù)據(jù)解密，解密出明文數(shù)據(jù)，計(jì)算該明文數(shù)據(jù)的消息認(rèn)證碼，再解析該明文數(shù)據(jù)，計(jì)算解析后的明文數(shù)據(jù)的消息認(rèn)證碼MAC，加密解析后的明文數(shù)據(jù)及其消息認(rèn)證碼MAC，并通過常規(guī)轉(zhuǎn)發(fā)通道轉(zhuǎn)發(fā)加密后的數(shù)據(jù)至客戶端或服務(wù)端。

2.根據(jù)權(quán)利要求1所述的基于SSL/TLS協(xié)議的流量快速轉(zhuǎn)發(fā)方法，其特征在于，所述接收由客戶端發(fā)送的客戶端問候消息，并對(duì)其進(jìn)行修改具體包括：

接收由客戶端發(fā)送的客戶端問候消息，并刪除未采用RSA密鑰交換算法的加密套件信息，獲得修改后的客戶端問候消息，并記錄下客戶端隨機(jī)數(shù)；其中，修改后的客戶端問候消息包括：帶有采用RSA密鑰交換算法的加密套件信息。

3.根據(jù)權(quán)利要求1所述的基于SSL/TLS協(xié)議的流量快速轉(zhuǎn)發(fā)方法，其特征在于，所述獲得服務(wù)端問候消息具體包括：

記錄修改后的客戶端問候消息的加密套件列表信息以及支持的版本號(hào)列表信息，選擇其中靠前的且支持的加密套件信息和支持的版本號(hào)信息，作為服務(wù)端問候消息。

4.根據(jù)權(quán)利要求1所述的基于SSL/TLS協(xié)議的流量快速轉(zhuǎn)發(fā)方法，其特征在于，所述客戶端、數(shù)據(jù)采集器、服務(wù)端有相同的會(huì)話密鑰。