[发明专利]零信任模式下基于网络隐身的客户端安全分发方法

说明书

本发明公开一种零信任模式下基于网络隐身的客户端安全分发方法，通过邮件或者短信有针对性的定向分发客户端，并且在SDP控制器配置客户端软件时自动把SDP控制器信息动态内置进去，这样使得给每个用户分发的客户端都是独一无二的。也就实现了“专端专用”，即使是合法的两个用户之间也不能混用对方的客户端。本发明中内置的敲门码code第一次使用后即变化，反向更新到已经安装的客户端上，使得已经下载的客户端软件自动失效。同时，由于本发明在合法用户已下载的客户端中内置有最新的SDP控制器全局策略和用户策略，使得在敲门SDP控制器前就能够获得全局策略和用户策略，并在用户登录前能执行相应全局策略和用户策略。

技术领域

本发明属于计算机网络领域，具体涉及一种零信任模式下基于网络隐身的客户端安全分发方法。

背景技术

零信任SDP安全模型包括SDP控制器、SDP网关和SDP客户端，SDP客户端发起连接请求，SDP控制器认证客户端请求，并控制SDP客户端与SDP网关建立数据通道。

SDP客户端通过敲门技术携带认证信息，包含用户名、密码、终端信息、网络环境等，然后由SDP控制器对这些认证信息组合的多因素身份进行验证，向客户端返回SDP网关列表及权限列表；SDP控制器自身具备安全策略管理，能够动态管控用户的认证和访问行为，以及与企业已有的身份管理、态势感知等系统对接；默认情况下，SDP网关拒绝一切连接请求，只有SDP控制器下发认证策略后，才动态接受指定SDP客户端的连接，通过加密传输的方式代理SDP客户端和应用的数据通信，同时根据控制器下发的控制策略，管理通信过程。

SDP网络隐身作为零信任SDP最关键的技术之一，其目标之一是克服传输控制协议/互联网协议地址TCP/IP开放和不安全的基本特性，实现“先认证后连接”，使得只有被授权的用户才能可靠地访问，而未授权用户则看不到这些服务。SDP网络隐身的核心网络安全协议为单包授权SPA，单包授权SPA在允许访问控制器、网关等相关系统组件所在的网络之前，先验证设备和用户身份，实现零信任“先认证，再连接”的安全模型。

单包授权SPA包括包含有请求方的IP地址等在内的连接请求的信息，在单一的网络信息中被加密和认证，通过配置默认丢弃(Default-Drop)的防火墙策略使保护的服务对外不可见，该防火墙系统丢弃所有TCP和用户数据报协议UDP数据包，不回复连接尝试，从而不为潜在的攻击者提供任何关于该端口是否正被监听的信息。用户尝试访问时，必须先验证用户的身份、设备和网络信息，然后允许用户网络访问零信任系统组件SDP控制器和SDP网关，最后用户才被允许访问该服务。所以，单包授权SPA对于零信任SDP安全模型不可或缺。

但是，现有的零信任SDP安全模型以及单包授权SPA方法则存在以下技术缺陷：

1)现有大多数方案是分发出去的客户端是标准品，没有内置管理端信息，客户端要登录之前需要配置管理端信息，易用性不好；

2)有些客户端为了解决易用性问题，针对某个特定的局点控制器安装情况，在发出客户端之前先把控制器信息内置进去，然后再把这个客户端提供给用户下载；这里就存在着每遇到一个部署局点都要手工把控制器信息内置进去的动作；

3)由于现有技术提供的是通用客户端下载页面，使得黑客也能拿到客户端软件，拿到客户端软件后，成功攻破控制器的概率就大大增加；

4)现有技术方案中，客户端一旦被下载下来，就可以被随处复制使用，对端设备的管控造成了很大的风险；

5)现存技术方案没有办法判断是否允许一个新终端敲门，比如有些公司约定一个人只能有一台设备可以敲门；

6)现有方案在敲门成功前没有办法从控制器把全局策略拉取下来。

发明内容