[实用新型]一种支持客户端环境可信分析决策技术的安全拨号系统

说明书

技术领域

本实用新型涉及一种安全拨号系统，特别涉及一种可对拨号客户端主机环境进行可信分析及安全接入决策，采用数字证书认证及可选用国密局SM1算法进行通信数据加密，并对拨号客户端的网络协议访问、应用协议访问进行安全控制及细粒度安全审计，同时支持声、光、液晶显示实时告警功能的安全拨号系统，属于计算机与网络安全技术领域。

背景技术

对于远程拨号用户实体的身份鉴别认证及访问控制，一般有以下几种典型方式。

第一种是通过拨号服务器提供拨号接入的方式。由管理员建立拨号账户及口令，分配相应访问权限及IP地址,用户接入时采用CHAP或MS-CHAP协议等进行认证。这是目前使用最多也最为普遍的方式，一般利用操作系统（如win2000,winxp系统）本身提供的拨号客户端功能即可实现，其缺点是使用用户名口令方式的验证强度较低，且通信过程均为明文，数据易被窃听及篡改，对用户的访问控制功能较弱。

第二种是通过拨号加VPN方式。客户端先进行拨号，成功后打开VPN客户端软件，进行数字证书认证并和对端的VPN网关建立加密隧道。采用数字证书认证加密，具有一定的安全性，但该方式下的连接及认证过程相对繁琐，不利于管理员统一管理。该方式下对客户端主机环境未进行可信分析，对用户访问内部主机服务的应用层协议报文（如HTTP/TELNET/FTP）没有监听和过滤，也缺乏相应的应用协议访问审计措施。这样，容易造成非法病毒、木马等流入内网，用户的误操作或恶意攻击也会给内网安全造成隐患。该方式下的大多数VPN加密通讯均采用通用的公开加密算法，如DES算法等，数据加密强度及安全性不能得到充分保证。同时大多数系统无实时告警功能或考虑不足。

最后一种是专用安全拨号网关方式，硬件主机上集成了Modem接口及网络接口，软件上集成了拨号接入和VPN接入的功能，对用户进行基于数字证书的拨号接入认证。经检索发现，专利号：200820205700，公开了“一种拨号安全网关装置”，但该专利除克服了第二种方式中拨号和VPN功能分离的缺点外，同样存在其他缺点如无客户端环境可信分析及安全接入决策、未对应用层协议进行访问控制过滤及细粒度安全审计、不支持SM1等专用硬件密码算法，同时无实时告警功能等。

实用新型内容

发明目的：本实用新型针对上述问题，为克服现有技术的不足，提供一种支持客户端环境可信分析与接入决策，集成了安全拨号、智能USBKEY数字证书认证、支持国密局SM1算法加密，并进行网络层、应用层的安全访问控制及细粒度安全审计，同时支持实时告警功能的安全拨号系统。

技术方案： 为实现上述发明目的，本发明采用如下技术方案，以下进行详细阐述。本实用新型主要分为拨号客户端模块和拨号网关模块两大部分。双方的通信信道为PSTN公用电话网络，基于双方系统上的智能USBKEY硬件、PCI加密卡硬件，通过双方的密钥协商模块、数据加解密模块等进行密钥协商，建立双向加密隧道，并对双方通讯的所有数据进行加密，其中对称加密算法由拨号网关安全策略指定，支持SM1/ DES/AES/RC4/RC5/RC6/BLOWFISH/IDEA等对称加密算法加密，业务系统可根据安全等级需求，优先选用SM1算法进行对称数据加密。

拨号客户端模块主要包括包含Modem的拨号PC机、安全拨号软件、支持SM1算法的智能USBKEY等，拨号PC机以电话线连接PSTN网络。支持SM1算法的智能USBKEY对用户进行双因子认证，同时和拨号网关模块进行基于数字证书的双向认证。安全拨号软件包含了拨号客户端的拨号连接、身份认证、密钥协商、数据通信与加密、断开连接、连接配置管理等功能，同时具有客户端主机安全扫描检测与可信分析功能，可对客户端主机进行全面的主机安全可信分析，包括网络服务、系统进程、防火墙、防病毒软件、注册表、重要系统文件等，对可能存在潜在安全隐患的客户端，可阻止其接入，防止其对内网服务器的威胁和攻击。

拨号网关模块主要包括计算机主板及网口、Modem口等外置接口，电源、网口、Modem口状态指示灯等，同时包括支持SM1算法的PCI接口加密卡、双电源冗余备份模块、由扬声器、告警灯、液晶屏所组成的可编程综合告警模块等。其中的PCI接口加密卡支持RSA非对称算法进行密钥协商、SM1对称加密算法进行对称算法加密。双电源冗余备份模块，可实现在某一电源掉电或损坏时进行在线切换。