[发明专利]一种SSL/TLS代理方法、装置、设备及存储介质

说明书

本发明公开了一种SSL/TLS代理方法、装置、设备及存储介质。该方法包括：识别数据是否满足降级容错规则库中的规则；当数据满足所述降级容错规则库中的任一规则时，将SSL/TLS连接代理模式降级为透传模式/TCP代理模式，并基于透传模式/TCP代理模式将数据进行传输。本发明对于匹配降级容错特征库的数据流量做降级处理，通过透传模式/TCP模式自动旁路SSL/TLS代理，从而避免移动终端的应用因SSL/TLS代理劫持失败而导致无法访问互联网的问题，提高SSL/TLS代理连接的成功率，也提高SSL/TLS代理的整体处理性能。

技术领域

本发明涉及移动通信技术领域，特别是涉及一种SSL/TLS代理方法、装置、设备及存储介质。

背景技术

近年来，在分组域移动通讯网络中，基于SSL（Secure Socket Layer，安全套接层）/TLS（Transport Layer Security，传输层安全）协议的流量占比越来越大。电信运营商在互联网网关设备上部署SSL/TLS代理，对SSL/TLS数据进行劫持解密。SSL/TLS代理需要通过伪造服务器证书进而实现劫持解密的目的。但是，对于客户端，尤其是移动终端的应用程序，通常采用证书钉扎（Pinning）验证技术对服务器证书进行签名验证，从而对抗SSL/TLS代理的劫持行为。因此，SSL/TLS代理无法对采用此类技术的数据进行劫持解密，致使移动终端应用程序无法正常访问互联网。

发明内容

本发明提供一种SSL/TLS代理方法、装置、设备及存储介质，用以解决现有技术中SSL/TLS代理无法对应用程序的数据进行劫持解密的问题。

为实现上述发明目的，本发明采用下述的技术方案：依据本发明的一个方面，提供一种SSL/TLS代理方法，包括：识别数据是否携带降级容错规则库中的规则所包含的信息，其中，所述降级容错规则库中的规则至少包括以下任一种信息：服务器IP地址、服务器IP地址与端口的组合或者服务器DNS域名，每种信息与所述降级容错规则库中的规则一一对应；当所述数据携带所述降级容错规则库中的任一信息时，按照所述数据携带的信息在所述降级容错规则库中对应的规则，将SSL/TLS连接代理模式降级为透传模式/TCP代理模式，并基于透传模式/TCP代理模式将所述数据进行传输。

可选的，所述降级容错规则库包括：动态规则库和/或预置静态规则库。

可选的，在识别数据是否携带降级容错规则库中的规则所包含的信息时，根据预设的规则识别优先级依序对所述数据进行识别。

可选的，所述降级容错规则库中的规则至少包括以下任一种信息：服务器IP地址、服务器IP地址与端口的组合或者服务器DNS域名。

可选的，所述将SSL/TLS连接代理模式降级为透传模式/TCP代理模式，包括：

当所述规则中包括服务器IP地址、或者服务器IP地址与端口组合时，将SSL/TLS连接代理模式降级为透传模式；或者，当所述规则中包括服务器DNS域名时，将SSL/TLS连接代理模式降级为TCP代理模式；或者，当所述规则中包括服务器DNS域名，获取DNS域名与服务器IP地址的映射关系；当所述服务器IP地址包含在某一种规则中时，将SSL/TLS连接代理模式降级为透传模式。

可选的，所述方法还包括：当所述数据不携带所述降级容错规则库中的规则所包含的信息时，与客户端进行SSL/TLS协商；当与客户端协商失败，根据失败告警异常信息生成降级容错规则，对所述动态规则库进行更新。

可选的，所述失败告警异常信息至少包括以下任一种：SSL警报级别、SSL警报描述、SSL/TLS/TCP协议失败消息、SSL/TLS/TCP异常信息、TCP连接统计信息。

可选的，对所述动态规则库进行更新，包括：若某条降级容错规则的作用域为系统级，则当检测所述规则出现次数达到预设阈值后，将该条规则更新至所述动态规则库中；若某条降级容错规则的作用域为用户级，直接将该条规则更新至所述动态规则库中。