[发明专利]防范安全套接层潜信道密钥恢复的方法

说明书

本发明公开了一种防范安全套接层潜信道密钥恢复的方法，主要解决现有技术中随机信息不具备可认证性的问题。其技术方案是：通过监管机构为客户端派发令牌，客户端使用令牌产生的随机信息填充客户问候信息；监管机构通过监听通信过程，获取客户端填充的随机信息并对其进行验证，以检验随机信息的产生方式是否安全及其在通信过程中是否被篡改；通过检验的协议将继续执行并建立安全连接以传输应用数据，未通过检验的协议由监管机构将其终止。本发明能够检测并终止那些具有潜信道密钥恢复隐患的安全套接层协议，有效地防范了基于安全套接层通信协议的潜信道密钥恢复，可用于对安全套接层通信协议的改进。

技术领域

本发明涉及通信技术领域，更进一步涉及一种防范潜信道密钥恢复的方法，可用于对安全套接层SSL通信协议的改进。

背景技术

安全套接层SSL协议广泛应用于保护Web服务器和浏览器之间的通信，大多涉及在线交易安全，可保护基于传输控制协议TCP的通信安全。SSL协议通过对应用程序传送的数据进行加密，确保传送数据的机密性和完整性，提高了网络传输的安全性。

目前，有一些提高SSL协议安全性的方法，但是这些方法并未对基于潜信道的密钥恢复机制采取相应的防范措施。如二次密钥协商和动态策略建立安全网络SSL连接的方法等，这些方法往往只做到对标准SSL协议连接进行补充和加固，使得成本降低，系统安全性得以改善。但是，这一类方法并不能防范客户端向服务器端发送的客户问候信息ClientHello的随机信息作为潜信道，系统存在潜信道密钥恢复的风险。

成都卫士通信息产业股份有限公司拥有的专利“一种加固网络SSL服务的方法”(专利申请号：200810045472.3，授权公告号：CN 101304310A)公开了一种加固网络SSL服务的方法。该方法基于客户端和服务器的SSL服务加固模块和两个安全通道实现，在不改变当前Web服务架构的基础上，通过一些成本较低的扩展方案，在客户端和服务器各增加一个SSL服务加固模块，实现客户端与服务器端的双通道安全连接。其中，一条安全通道用于传送SSL密钥协商策略和管理信息，另一条通道用于传输个人机密信息。该专利技术存在的不足是：在用于SSL协议通信时，客户端向服务器端发送的客户问候信息ClientHello的随机信息域并未受到严格的监管，随机信息域可以作为潜信道，存在潜信道密钥恢复的风险。

成都三零盛安信息系统有限公司拥有的专利“一种SSL中间代理用户证书的隧道传输方法”(专利申请号：02128124.6，授权公告号：CN 1512378A)公开了一种SSL中间代理用户证书的隧道传输方法。该方法的实现思路是：在浏览器与SSL中间代理之间建立的安全通道中进行用户身份认证，SSL中间代理根据经认证信息生成包含上网用户身份信息的临时数字证书，从而在SSL中间代理与网站间建立的安全通道使用临时数字证书进行身份认证。该专利技术存在的不足是：并未检测SSL协议的随机信息的可靠性，对潜信道密钥恢复未采取任何防范措施，使得系统的安全性受到威胁。

发明内容

本发明的目的在于提出一种防范安全套接层潜信道密钥恢复的方法，以克服上述已有技术在随机信息产生方式和监管方面的不足，提高系统的安全性。

防范安全套接层潜信道密钥恢复的方法，包括：

(1)监管机构向客户端派发一个令牌，该令牌具有唯一的标识ID，含有秘密信息M，监管机构保存该令牌的秘密信息M；

(2)客户端填充客户问候信息并发送：

(2a)客户端在使用安全套接层SSL协议建立与服务端的连接时，产生客户问候信息ClientHello，该客户问候信息包括32字节长度的随机数R；

(2b)客户端根据当前时间产生时间戳T，并使用监管机构派发令牌内置的随机信息生成算法生成客户端所需的随机信息A；