[发明专利]一种面向自主可控环境下的应用虚拟化安全通信方法

说明书

本发明涉及一种面向自主可控环境下的应用虚拟化安全通信方法，涉及网络安全技术领域。本发明通过对原有RDP协议栈进行结构重建，在RDP协议的基础上扩展一种基于国产商用密码套件的安全套接层，将安全套接层添加至协议栈的网络连接层之上，可为客户端到服务器提供安全传输服务，实现了客户端和服务器间的双重身份认证，完成了客户端对服务器的身份信息验证。

技术领域

本发明涉及网络安全技术领域，具体涉及一种面向自主可控环境下的应用虚拟化安全通信方法。

背景技术

由于RDP协议在使用的过程中，通信双方仅为单向身份认证，客户端无法验证服务器的身份和数据包的完整性。在网络传输过程中，此类只具有单向身份认证机制的协议易被中间人攻击的方式对其进行数据窃取。攻击者可伪造一个虚假服务器，利用ARP地址欺骗、DNS欺骗等攻击方式将伪造的服务器公钥传输至客户端，并构建一个完整的RDP会话，从而获取到传输过程中的敏感信息。中间人攻击的具体流程可由图1所示。

在数据传输的过程中，攻击者在客户端面前伪装为服务器，在服务器面前以客户端的身份进行通信，并将所欺骗获得的消息用于与客户端和服务器间的通信。这说明客户端不能对服务器进行身份鉴别，在此种攻击模式下，攻击者充当了一个“代理”的角色。中间人攻击方式具体的攻击流程可以分为以下几个步骤：

第一步，攻击者利用欺骗等方法将自身伪装为服务器，与客户端进行通信，并将原有通信双方的通信数据流进行控制。通过客户端发送的请求数据信息，攻击者将生成自己的公私钥对(Q_P,K_P)。在客户端与服务器进行请求信息发送的过程中，客户端先将请求发送给攻击者，攻击者再伪装为客户端与服务器进行通信。

第二步，当攻击者收到客户端的请求信息后，将客户端的连接请求信息替换为攻击者的连接请求信息，然后向服务器发送自己的连接请求信息。服务器接收到攻击者发送的连接请求信息后，服务器将以明文的形式对服务器产生的公钥Q_S和随机数K_S进行封装，最后将封装完成的数据包发送至攻击者。

第三步，服务器对攻击者发送的请求进行响应，攻击者获得服务器的公钥Q_S和随机数K_S，利用攻击者生成的公钥Q_P和随机数K_S对服务器的公钥和随机数进行互换，将自己伪装为服务器与客户端进行通信，从而发送包含攻击者公钥及随机数的数据包至客户端，以对客户端进行欺骗。

第四步，由于客户端对服务器不进行身份验证，当接收到由攻击者所发送的公钥Q_P和随机数K_S后，将其进行保存。客户端使用攻击者的公钥Q_P对客户端的产生的随机数K_C进行非对称加密，从而生成加密后的私钥K_C'，客户端对加密后的私钥进行封装，以完成对攻击者的请求响应。

第五步，当攻击者接收到客户端发送来的私钥K_C'后，通过使用产生的私钥K_P对客户端私钥K_C'进行解密，从而获取到客户端所生成的私钥K_C。由于RDP协议的单向认证安全策略使服务器需要对客户端的身份信息进行验证，则将通过服务器所生成的公钥Q_S对客户端私钥K_C进行非对称加密，以密文的形式进行密钥传输，生成加密后的客户端私钥K_C”，攻击者将非对称加密后的私钥K_C”封装发送至服务器，以完成对服务器的响应。