[發明專利]一種基于通用瀏覽器的零信任單包認證系統及方法

有效

• 申請號: 202111369305.6
• 申請日: 2021-11-15
• 公開（公告）號: CN114640495B
• 公開（公告）日: 2023-03-17
• 發明（設計）人: 肖相生;李新順;楊望星;李津;戴向春
• 申請（專利權）人: 江蘇云涌電子科技股份有限公司;北京云涌科技發展有限責任公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 南京行高知識產權代理有限公司 32404
• 代理人: 李曉

本發明公開了一種基于通用瀏覽器的零信任單包認證系統，包括通用瀏覽器、單包認證代理服務器及安全接入網關；所述單包認證代理服務器包括TCP代理服務模塊和UDP代理服務模塊，所述TCP代理服務模塊用于支持發起與所述通用瀏覽器直接連接，所述UDP代理服務模塊用于實現TCP到UDP的協議轉換。通過本發明的技術方案，任何用戶在通過單包認證前，安全接入網關的所有的業務服務端口不會接受TCP連接請求，避免了TCP協議的各種握手攻擊和TLS漏洞攻擊，各種端口嗅探和DOS攻擊，實現了先認證后連接的高安全保護。

技術領域

本發明涉及零信任技術領域，具體是一種基于通用瀏覽器的零信任單包認證系統及方法。

背景技術

零信任的網絡接入是一種先進的網絡安全理念。零信任技術實現中，先認證再連接，是對傳統的TCP協議先連接后認證的重大技術改進，先認證后連接能使受保護的服務對未授權用戶及設備完全不可見，無法通過端口掃描發現服務。這些服務默認在互聯網實現“隱藏”，要實現嚴格的終端單包認證機制，由于TCP協議發送認證數據包前，必須通過三次握手。為了達到這個目地，只能通過編寫特定的應用通過UDP協議，在第一個包中包含所有的認證信息。但是通用瀏覽器不支持直接發送UDP包，所以通常零信任產品提供商會開發一個專門的客戶端APP軟件,或者通過開發定制專用的瀏覽器來實現。比如中國專利公開了一種基于企業瀏覽器的代理訪問方法和裝置，申請號為201911222759.3，其技術方案就是采用開發定制專用的瀏覽器來實現。采用專用的APP要企業的管理員或用戶額外安裝程序，產品的分發和管理成本大，用戶體驗差。采用定制專用的瀏覽器除了產品的分發和管理成本大缺點外，還無法滿足業務需求，因為有的業務程序只兼容某個通用的瀏覽器，企業開發的專用的瀏覽器可能導致某些功能失。

發明內容

本發明的目的在于克服以上存在的技術問題，提供一種基于通用瀏覽器的零信任單包認證系統。

一種基于通用瀏覽器的零信任單包認證系統，其特征在于：包括通用瀏覽器、單包認證代理服務器及安全接入網關；

所述單包認證代理服務器包括TCP代理服務模塊和UDP代理服務模塊，所述TCP代理服務模塊用于支持發起與所述通用瀏覽器直接連接，所述UDP代理服務模塊用于實現TCP到UDP的協議轉換；

所述安全接入網關包含防火墻服務模塊、UDP單包認證端口及TCP端口；所述防火墻服務模塊實現了動態防火墻，無需運維手工配置規則，根據單包認證的結果自動動態添加刪除更新規則；所述UDP單包認證端口用于實現通過第一個數據包就能鑒權，規避TCP協議需要多次握手連接成功才能發送認證數據的弱點；所述TCP端口是業務的真正服務端口；

所述安全接入網關啟動時，默認所述TCP端口拒絕訪問，只開放一個所述UDP單包認證端口；

用戶通過所述通用瀏覽器發起HTTPS請求到所述單包認證代理服務器，所述HTTPS請求包含認證所需要的數據信息；所述單包認證代理服務器對所述數據信息進行解析后，獲取所述數據信息和所述通用瀏覽器源IP地址，并通知所述通用瀏覽器請求操作完畢；

所述單包認證代理服務器對所述數據信息和所述源IP地址加密后，通過其所述UDP代理服務模塊使用UDP協議發送到所述UDP單包認證端口；

所述安全接入網關對所述UDP單包認證端口接收到的數據進行認證，如果認證成功，則通知所述防火墻服務模塊，對于是所述源IP地址開放TCP端口，所述通用瀏覽器通過TCP協議連接訪問所述安全接入網關的TCP端口，由所述TCP端口路由到內部的業務服務；如果認證不成功，則對應端口拒絕所述源IP地址的TCP連接。

進一步地，瀏覽器是谷歌瀏覽器、火狐瀏覽器、IE瀏覽器、360瀏覽器、QQ瀏覽器、搜狗瀏覽器中的任意一種。

進一步地，所述數據信息包括用戶名、密碼、動態驗證碼、令牌、隨機數證書簽名中的任意一個或者多個。