[发明专利]一种基于单包授权机制的访问控制方法及密码机

说明书

本发明公开了一种基于单包授权机制的访问控制方法及密码机，其中方法包括：登录密码机，初始化业务主机身份USBKey；将初始化完成的USBKey接入到业务主机，该业务主机部署有需要使用密码机的业务系统及密码机的HSM‑SDK；业务系统封装并发送单包授权认证请求报文；密码机对请求报文进行多重检查，根据请求报文中的源IP地址选择服务端口并启动独立的密码服务进程，并生成并启用防火墙的访问策略；密码机封装单包授权认证响应报文；业务主机收到响应报文并进行解析和验证；业务系统使用响应报文中的服务端口与密码机进行TCP通信，调用密码服务。本发明可有效解决密码机无法验证业务主机身份真实性等问题。

技术领域

本发明涉及信息安全密码技术领域，尤其涉及一种基于单包授权机制的访问控制方法及密码机。

背景技术

密码机作为密码基础设备，为应用提供最为基础和底层的密钥管理和密码运算服务。密码机提供服务时，通常采用基于防火墙的网络白名单机制实现业务主机的访问控制，即由管理人员在密码机的管理界面登记业务主机的IP地址到白名单中；当密码机工作时，仅允许白名单中的IP地址通过防火墙使用密码服务。

传统基于IP地址的网络白名单访问控制方法，仅验证请求IP地址是否在白名单当中，无法保证IP地址对应的业务主机身份是否真实，存在恶意第三方冒用IP地址对密码机发起攻击，致使密码机不能安全可靠地提供密码服务，为业务系统的稳定运行带来风险。

此外，若业务主机IP地址发生变化，需要管理人员再次登录到密码机调整白名单以变更访问控制策略；而密码机通常署在核心机房且不允许远程管理，频繁进入核心机房变更配置既增加管理成本，同时也为机房管理带来风险。

发明内容

为了解决上述问题，本发明提出一种基于单包授权机制的访问控制方法及密码机，解决了密码机无法验证业务主机身份真实性问题，解决了业务主机IP地址变化带来的配置频繁变更问题，实现了密码机对业务主机的身份认证以及访问策略的动态控制，从而更加安全、灵活地提供密码服务。

本发明采用的技术方案如下：

一种基于单包授权机制的访问控制方法，包括：

步骤1：登录密码机，初始化业务主机身份USBKey，在USBKey中生成签名密钥对并写入设备签名公钥，在密码机中登记该USBKey的标识ID与签名公钥的映射关系；

步骤2：将初始化完成的USBKey接入到业务主机，所述业务主机部署有需要使用密码机的业务系统及密码机的HSM-SDK，业务系统通过HSM-SDK与密码机进行交互；

步骤3：业务系统调用HSM-SDK封装单包授权认证请求报文，并以UDP报文方式发送到已知IP地址的密码机；

步骤4：密码机收到单包授权认证请求报文，对报文进行多重检查；

步骤5：密码机根据请求报文中的源IP地址选择服务端口并启动独立的密码服务进程；

步骤6：密码机根据请求报文中的源IP地址动态生成并启用防火墙的访问策略；

步骤7：密码机封装单包授权认证响应报文；

步骤8：业务主机收到响应报文并进行解析和验证；

步骤9：业务系统使用响应报文中的服务端口与密码机进行TCP通信，调用密码服务。

进一步地，所述步骤3中，单包授权认证请求报文的内容至少包括：USBKey标识、时间戳、源IP地址即业务主机IP地址、采用USBKey签名私钥对前述内容进行私钥加密运算得到的签名值。

进一步地，所述步骤4中，多重检查过程至少包括：

步骤4.1：密码机解析出请求报文中的源IP地址，检查该IP地址是否命中密码机的网络黑名单；