[發明專利]一種基于通用瀏覽器的零信任單包認證系統及方法

有效

• 申請號: 202111369305.6
• 申請日: 2021-11-15
• 公開（公告）號: CN114640495B
• 公開（公告）日: 2023-03-17
• 發明（設計）人: 肖相生;李新順;楊望星;李津;戴向春
• 申請（專利權）人: 江蘇云涌電子科技股份有限公司;北京云涌科技發展有限責任公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 南京行高知識產權代理有限公司 32404
• 代理人: 李曉

1.一種基于通用瀏覽器的零信任單包認證系統，其特征在于：包括通用瀏覽器、單包認證代理服務器和安全接入網關；

所述單包認證代理服務器包括TCP代理服務模塊和UDP代理服務模塊，所述TCP代理服務模塊用于支持發起與所述通用瀏覽器直接連接，所述UDP代理服務模塊用于實現TCP到UDP的協議轉換；

所述安全接入網關包含防火墻服務模塊、UDP單包認證端口及TCP端口;所述防火墻服務模塊實現了動態防火墻，無需運維手工配置規則，根據單包認證的結果自動動態添加刪除更新規則；所述UDP單包認證端口用于實現通過第一個數據包就能鑒權，規避TCP協議需要多次握手連接成功才能發送認證數據的弱點；所述TCP端口是業務的真正服務端口；

所述安全接入網關啟動時，默認所述TCP端口拒絕訪問，只開放一個所述UDP單包認證端口；

用戶通過所述通用瀏覽器發起HTTPS請求到所述單包認證代理服務器，所述HTTPS請求包含認證所需要的數據信息；所述單包認證代理服務器對所述數據信息進行解析后，獲取所述數據信息和通用瀏覽器源IP地址，并通知所述通用瀏覽器請求操作完畢；

所述單包認證代理服務器對所述數據信息和所述源IP地址加密后，通過其所述UDP代理服務模塊使用UDP協議發送到所述UDP單包認證端口；

所述安全接入網關對所述UDP單包認證端口接收到的數據進行認證，如果認證成功，則通知所述防火墻服務模塊，對于是所述源IP地址開放所述TCP端口，所述通用瀏覽器通過TCP協議連接訪問所述安全接入網關的TCP端口，由所述TCP端口路由到內部的業務服務；如果認證不成功，則對應端口拒絕所述源IP地址的TCP連接。

2.根據權利要求1所述的基于通用瀏覽器的零信任單包認證系統，其特征在于：所述通用瀏覽器是谷歌瀏覽器、火狐瀏覽器、IE瀏覽器、360瀏覽器、QQ瀏覽器、搜狗瀏覽器中的任意一種。

3.根據權利要求1所述的基于通用瀏覽器的零信任單包認證系統，其特征在于：所述數據信息包括用戶名、密碼、動態驗證碼、令牌、隨機數證書簽名中的任意一個或者多個。

4.一種如權利要求1所述的基于通用瀏覽器的零信任單包認證系統的認證方法，其特征在于，包括以下步驟：

S1:安全接入網關從CA獲取一個p12證書，所述p12證書包含非對稱加密的公鑰和私鑰，并上傳所述公鑰到單包認證代理服務器，所述安全接入網關啟動時，默認其所有的TCP端口全部拒絕訪問，只開放其一個UDP單包認證端口；

S2:用戶通過瀏覽器向所述單包認證代理服務器發送 HTTPS請求，所述HTTPS請求包含認證所需要的數據信息；

S3:所述單包認證代理服務器解析所述數據信息，獲取所述數據信息和瀏覽器源IP地址，并通知所述瀏覽器請求完畢;

S4:所述單包認證代理服務器加密所述數據信息和瀏覽器源IP地址，使用UDP協議，發送到所述安全接入網關的UDP單包認證端口；

S5：所述安全接入網關對所述UDP單包認證端口接收到的數據進行認證，如果認證成功，則通知防火墻服務模塊，對所述瀏覽器源IP地址開放所述TCP端口，所述瀏覽器通過TCP協議連接訪問所述安全接入網關的TCP端口，由所述TCP端口路由到內部的業務服務；如果認證不成功，則對應端口拒絕所述瀏覽器源IP地址的TCP連接。

5.根據權利要求4所述的認證方法，其特征在于：所述步驟S2中的數據信息是用戶名、密碼、動態驗證碼、令牌、隨機數證書簽名中的任意一個或者多個。

6.根據權利要求4所述的認證方法，其特征在于：所述步驟S4的具體方法為：

所述單包認證代理服務器通過所述CA頒發的所述公鑰加密所述數據信息和瀏覽器源IP地址，并用UDP協議發送到所述安全接入網關的UDP單包認證端口。