[發明專利]一種插件發布與離線安全認證方法

在審

• 申請號: 202010634198.4
• 申請日: 2020-07-02
• 公開（公告）號: CN111814140A
• 公開（公告）日: 2020-10-23
• 發明（設計）人: 胡旦園;何圣斌
• 申請（專利權）人: 杭州萬為科技有限責任公司
• 主分類號: G06F21/51
• 分類號: G06F21/51
• 代理公司: 合肥鴻知運知識產權代理事務所(普通合伙) 34180
• 代理人: 劉騏鳴

本發明公開了一種插件發布與離線安全認證方法，包括有以下步驟：S1，獲取插件信息；S2，使用插件發布工具對插件信息與插件進行計算獲得插件描述文件；S3，導入插件與插件描述文件，并進行驗證，本發明涉及插件安全認證技術領域。本發明，解決了插件加載無認證來源導致程序加載了非法插件而被惡意攻擊或破壞帶來的負面影響。

技術領域

本發明涉及插件安全認證技術領域，特別是涉及一種插件發布與離線安全認證方法。

背景技術

隨著程序的越來越龐大，考慮程序的可擴展性易維護性，插件加載的方式越來越多，通過插件可以擴展原有程序功能，也能多人快速協同開發。插件開發帶來方便的同時也導致了一些安全隱患，比如惡意插件，一旦加載了該插件可能引起主程序的崩潰、拖累并使得主程序非?？ɑ蛘咭胍欢尾《敬a導致主機被攻擊。

現有插件加載使用分進程分離、線程分離和直接調用，插件使用進程分離的方式可以防止插件導致主程序崩潰導致的問題，但是無法避免惡意插件注入病毒，線程分離與直接調用則都無法防止這些問題發生。因為現有的插件加載方式幾本都不驗證插件來源，一旦使用了插件就只能祈禱插件本身沒有問題，否則無法保證主程序正常運行。

發明內容

為了解決插件來源無認證直接調用的風險，插件使用進程分離無法避免惡意插件注入病毒，線程分離與直接調用則都無法防止惡意情況的發生的問題，本發明的目的是提供一種插件發布與離線安全認證方法。

為了實現上述目的，本發明采用如下技術方案：一種插件發布與離線安全認證方法，包括有以下步驟：

S1，獲取插件信息；

S2，使用插件發布工具對插件信息與插件進行計算獲得插件描述文件；

S3，導入插件與插件描述文件，并進行驗證。

優選的，所述S1中，通過人工輸入插件的發布信息，包括但不限于插件名稱、插件版本號、插件的發布日期、插件發布者信息。

優選的，所述S2中，生成插件描述文件包括有以下步驟：

F1、隨機生成AES的加密key，與插件信息組合后進行json格式化得到原始內容1；

F2、使用RSA私鑰對原始內容1進行加密得到密文1，對密文1進行base64編碼得到字符串1；

F3、對插件二進制數據進行MD5值處理得到的結果進行16進制字符串轉化成二進制數據1，二進制數據1異或AES的加密key得到最終的加密key1；

F4、使用key1對原始內容1進行AES加密然后base64處理得到字符串2；

F5、對字符串1與字符串2的拼接字符串進行哈希簽名得到字符串3；

F6、然后把字符串1、字符串2、字符串3拼接得到一串新的字符串并保存成文件，即插件描述文件。

優選的，所述S3中，插件驗證包括有以下步驟：

H1、從描述文件中取出Encrypt STRING1、Encrypt STRING2、SIGN，分別對應字符串1、字符串2、字符串3；

H2、對字符串1與字符串2的拼接字符串進行哈希簽名得到字符串4，字符串4與字符串3進行比較，如果相同則繼續以下步驟，否則進行步驟H7；

H3、對字符串1進行base64解密，然后使用RSA私鑰對應的公鑰對解密結果進行解密得到原始內容1，然后驗證原始內容1的json格式，查找AES的key，如果非json格式或者沒有這個key則進行步驟H7；