[發明專利]基于內存分析的SSL/TLS網絡加密通信信息實時解密方法

有效

• 申請號: 202010043247.7
• 申請日: 2020-01-15
• 公開（公告）號: CN111224995B
• 公開（公告）日: 2022-06-14
• 發明（設計）人: 唐彰國;李煥洲;云勝強;陳桂樺;牛亞超;嚴得榮
• 申請（專利權）人: 成都安舟信息技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 成都環泰專利代理事務所(特殊普通合伙) 51242
• 代理人: 李斌;李輝

1.一種基于內存分析的SSL/TLS網絡加密通信信息實時解密方法，其特征在于，包括以下步驟：

S1、通過Agent利用進程注入技術和API Hook技術對網絡加密通信會話密鑰生成函數及加密通信會話ID生成函數進行監控，獲取加密通信會話ID和相應的加密通信會話密鑰；

S2、通過Agent獲取客戶端本地IP地址；

S3、將獲取的加密通信會話ID、網絡加密通信會話密鑰和客戶端本地IP地址通過臨時生成的對稱加密密鑰進行加密，并將加密后的數據發送至網絡解密端；

S4、接收到加密后的數據后，獲取客戶端本地IP地址、加密通信會話ID和對應會話的解密密鑰，對相應的網絡加密通信會話進行實時解密并保存；

步驟S1包括以下步驟：

S11、通過Agent利用進程注入技術和API Hook技術分別對系統進程創建函數和系統模塊加載函數進行Hook；

S12、分別對網絡通信進程和加密模塊進行監控，當監控到網絡通信進程創建和加密模塊加載時，分別對網絡加密通信會話密鑰生成函數及加密通信會話ID生成函數進行Hook；

S13、獲取加密通信會話ID和相應的加密密鑰；

步驟S3包括以下步驟：

S31、在Agent中內置網絡解密端公鑰；

S32、Agent生成對稱加密密鑰；

S33、通過內置的網絡解密端公鑰對生成的對稱加密密鑰進行加密，并發送至網絡解密端；

S34、通過對稱加密密鑰對加密通信會話ID、網絡加密通信會話密鑰和客戶端本地IP地址進行加密并發送至網絡解密端；其中，在局域網絡中的數據發送客戶端上安裝Agent軟件，Agent軟件利用進程注入技術和API Hook技術對網絡加密通信會話密鑰生成函數及加密通信會話ID生成函數進行監控，以獲取加密通信會話ID和相應的加密通信會話密鑰，同時Agent軟件也對客戶端本地IP地址進行獲取，以便網絡解密端系統能夠準確識別與密鑰相對應的加密數據包；Agent軟件將提取到的IP地址、會話ID、加密密鑰信息，經過臨時生成的對稱密鑰加密后，傳回網絡解密端，網絡解密端接收到回傳的加密數據進行解密，獲取客戶端本地IP地址、加密通信會話ID和對應會話的解密密鑰，最終針對相應的網絡會話進行實時解密，并將解密后的數據包本地保存或傳輸給第三方檢測系統檢測；

該方法采用分布式的Agent代理內存分析方法對網絡加密會話密鑰進行獲取，結合網絡解密端實現對監控網絡中的加密通信會話進行實時解密，從而解決了當前因網絡通信加密無法對網絡數據內容監控和檢測的問題，進而降低了安全檢測的誤報率，提升網絡空間安全。

2.根據權利要求1所述的基于內存分析的SSL/TLS網絡加密通信信息實時解密方法，其特征在于，步驟S4包括以下步驟：

S41、接收到加密后的數據后，判斷接收到的加密后數據是否包含會話密鑰，如果是，則進入步驟S44；如果否，則進入步驟S42；

S42、根據客戶端本地IP地址，發送相應的會話密鑰提取請求至Agent；

S43、Agent接收到密鑰提取請求后，從密鑰提取請求中獲取相應的加密通信會話ID；根據獲取的加密通信會話ID，利用內存分析技術獲取會話密鑰，并將獲取的網絡通信會話密鑰、加密通信會話ID及客戶端IP地址信息進行加密并回傳至網絡解密端；

S44、根據接收的網絡通信會話密鑰信息，獲取對應會話的解密密鑰并對相應的網絡加密通信會話進行實時解密并保存。

3.根據權利要求2所述的基于內存分析的SSL/TLS網絡加密通信信息實時解密方法，其特征在于，步驟S43包括以下步驟：

S431、Agent接收到密鑰提取請求后，獲取網絡會話ID信息；

S432、根據SSL/TLS加密機制的內存密鑰管理策略，采用內存特征字符搜索算法獲取網絡加密的會話密鑰；

S433、將獲取的網絡加密的會話密鑰、加密通信會話ID及客戶端IP地址信息進行加密并回傳至網絡解密端。

4.根據權利要求3所述的基于內存分析的SSL/TLS網絡加密通信信息實時解密方法，其特征在于，步驟S432還包括以下步驟：

判斷采用內存特征字符搜索算法獲取網絡加密的會話密鑰是否成功，如果是，則進入步驟S433；如果否，則利用信息熵技術對內存數據進行熵計算，并根據網絡加密算法進行驗證進而獲取網絡加密的會話密鑰。