[发明专利]一种业务系统防伪保护的方法和装置

权利要求书

1.一种业务系统防伪保护的方法，包括以下步骤：

1)在业务系统防伪管理平台设置需要保护的业务系统的IP和端口到业务系统防伪客户端以及业务系统防伪网关设备；

2)用户通过业务系统防伪客户端访问受保护的或伪冒的业务系统，同时，由业务系统防伪客户端发送加密的数据包，所述用户包括合法用户和未部署业务系统防伪客户端的伪冒用户，该步骤又包括：

2-1)合法用户通过业务系统防伪客户端访问受保护的业务系统时，加密的数据包经过受保护的业务系统的业务系统防伪网关设备，业务系统防伪网关设备对接收到的加密数据包进行解密，识别出当前用户是合法的，合法用户自由使用受保护的业务系统；

2-2)合法用户通过业务系统防伪客户端访问伪冒的业务系统时，加密的数据包不经过受保护的业务系统的业务系统防伪网关设备，加密的数据包被伪冒的业务系统接收，伪冒的业务系统无法解析加密的数据包，合法用户此次访问失败；

2-3)伪冒用户通过业务系统防伪客户端访问受保护的业务系统时，业务系统防伪网关设备解析所截获的数据，识别数据包来源于伪冒用户，业务系统防伪网关设备丢弃数据包，禁止连接受保护业务系统。

2.如权利要求1所述的业务系统防伪保护的方法，其特征在于，步骤2)中，所述的伪冒的业务系统的特征，与真实业务系统的特征相同，包括IP和端口。

3.如权利要求1所述的业务系统防伪保护的方法，其特征在于，步骤2)中，所述加密的数据包中加密首部所用的密钥为统一密钥，由管理员设定；加密数据中的随机密钥和密钥长度，由统一密钥加密；加密数据中的具体内容，所用的密钥为随机密钥，通过受保护的真实业务系统的特征与随机数的哈希值获得。

4.一种业务系统防伪保护的装置，包括防伪管理单元、防伪识别单元及防伪保护单元，其中:

防伪管理单元，用于通过IP和端口设定需要进行防伪保护的业务系统；

防伪识别单元，对发送到指定的业务系统的数据包进行加密，加密的数据包只有在到达受保护的业务系统时，会被解密；加密的数据包被发到伪冒的业务系统时，伪冒的业务系统不具有解密数据包的能力，无法获得数据包的原始内容；对接收到的加密数据包进行解密，以识别是否是合法的数据包；以及根据当前访问的业务系统的IP和端口和指定的业务系统的IP和端口，以及当前访问受保护业务系统的用户，识别是否需要进行防伪保护，所述的识别包括识别伪冒的业务系统及伪冒用户；

防伪保护单元，根据防伪识别单元的识别结果，对业务系统进行防伪保护，如果所述防伪识别单元识别出是合法用户访问受保护的业务系统，则所述防伪保护单元允许连接，并对后续的数据包进行解密；如果所述防伪识别单元识别出是伪冒用户访问受保护的业务系统，则所述防伪保护单元拒绝其连接；合法用户访问伪冒的业务系统，不经过防伪识别单元的识别，伪冒的业务系统不可识别当前访问，则合法用户无法访问伪冒的业务系统。

5.如权利要求4所述的业务系统防伪保护的装置，其特征在于，所述加密包括首部加密和数据加密，所述合法的数据包包括加密的首部及加密的数据。

6.如权利要求5所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，对接收到的数据包，用统一密钥解密首部，获得数据包的源特征、目标特征及其他数据包固定格式部分，对获取到的源特征、目标特征，与受保护的业务系统的特征对比，以识别是否是访问受保护的业务系统。

7.如权利要求5所述的业务系统防伪保护的装置，其特征在于，所述的防伪识别单元，用统一密钥对加密的数据的第一部分解密，获得随机密钥，利用随机密钥对数据包中的数据部分进行解密，获得数据源的用户特征，与合法用户对比，以识别是否是合法的用户访问。

8.如权利要求5所述的业务系统防伪保护的装置，其特征在于，所述的首部加密是由统一的密钥对首部进行加密的；所述加密的数据包含三部分：由统一密钥加密的随机密钥和密钥长度；由随机密钥加密的数据包的源用户，以及由随机密钥加密的具体内容。