[发明专利]实现对计算机网络中服务的安全访问的系统和方法

说明书

本发明一般涉及到计算机网络，更具体地说涉及到实现对计算机网络中服务的安全访问的系统和方法。

在初期，互联网提供了面向研究的环境，用户和主机对那里的信息的自由、开放式的交换很感兴趣，并且在那里用户和主机相互信赖。然而，互联网络戏剧性地增长，目前大约有100,000互相连接的计算机网络和几百万用户。由于互联网络的规模和公开性，它变成了数据盗窃、数据蚀变和其它恶作剧的目标。

事实上，在互联网上的每个人都是有弱点的。在连接之前，公司会权衡互联网连接与安全性损失的利弊。当前的安全技术用来提供客户机和服务器认证、数据机密性、系统完整性以及系统访问控制等。

当前的安全技术中最流行的是防火墙，它包括在可信赖的网络和互联网之间安置的一个中间系统。为避免可信赖网络和互联网之间未经认证的通信，防火墙提供了安全性能的外部参数。一个防火墙可以包括屏蔽路由器、代理服务器和应用层网关。

为了能够访问可信赖的网络中受到保护的服务，互联网上的用户需要用某种方法，例如输入口令、或者利用硬件令牌完成对于询问的回答，向防火墙提供身份。通过适当的认证，用户可以通过防火墙进入局域网络，但是它通常被限制在预定的服务设置之内，例如电子邮件、FTP(文件传输协议)等等。

一些局域网络管理员只是将服务器放置在防火墙之外，该服务器经常被称为“献身的羔羊”，该服务器存储那些可以被远程用户很容易访问的非机密数据，因而具有很少的安全性能。

一个非军事化区域、或DMZ，处于用来保护可信赖网络的两个防火墙之间。在DMZ中，外部防火墙在允许超级文本传送协议(HTTP)请求的同时保护服务器免受外部威胁。如果在DMZ中一个服务器受到危害，内部防火墙就会保护可信赖的网络。许多公司利用DMZ来维护它们的网络服务器。

另一种保护计算机网络的安全技术是公用密钥证书的发行和使用。证书机构把公用密钥证书发布给用户，并且通过某一方法使用户的身份生效、并且发布一个描述用户姓名和公用密钥的证书。作为可靠性的证据，利用本人的私用密匙，该证书机构用计数法标记用户的证书。

这样，当用户经由一台客户计算机连接到一台服务器上时，这台客户计算机就会和服务器交换公用密钥证书。通过利用证书机构的公用密钥来检验证书的署名，每一个用户都会检验该接收证书的可靠性。接着，通过用服务器公用密钥加密信息，用户能够给服务器发送安全的通信联络，并且用用户公用密钥加密信息，服务器能够给用户发送安全通信联络。虽然任何用户可以给出一个公用密钥证书，但是仅有该真实用户和该真实主机才拥有解密信息所需的相应私用密匙。认证和密钥分配的计算机安全系统的实例包括由麻省理工学院开发的KerberosTM安全系统和由IBM公司开发的NetSPTM安全系统。

这些安全技术无法解决与漫游(移动的)用户相关的问题。对于漫游用户来说，维护识别和认证信息例如口令、证书、密钥等等是一个烦琐的处理过程。另外，访问多机系统要求多个密钥，这经常使得跟踪和利用变得过于复杂。而且对防火墙之后的系统的直接访问会危害到安全性能。因此，容易、安全地对计算机服务实现远端访问的系统和方法是必需的。

本发明提供一种实现对计算机网络中服务的安全访问的系统和方法。此网络系统包括一个全球服务器，经由一个计算机网络与计算机服务器连接。全球服务器包括一个通信引擎，用于建立与客户机的通信联络；安全装置，用于与确定客户机特权的通信引擎连接；一个与安全装置连接的小服务程序(servlet)主机引擎，基于客户机特权给客户机提供一个应用小程序，此程序使得客户机与安全服务之间能够进行输入/输出操作；以及一个密钥保存(文件)，用于存储使得能够对安全服务进行访问的密匙。全球服务器可以与多个站点连接，其中每一个站点提供多种服务。每一个站点都可以被防火墙保护。相应地，全球服务器存储此密匙，用于通过防火墙与服务进行通信。

此方法包括下列步骤：与客户机建立通信联络；识别和认证客户机；确定客户机特权；基于客户机特权，提供一个应用小程序给客户机，此程序使得客户机与安全服务之间能够进行输入/输出操作；检索使访问安全服务密匙；