專利名稱：信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)及其工作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)及其工作方法。
背景技術(shù)：
對大型的企業(yè)或組織機(jī)構(gòu)來說，一般存在著眾多信息系統(tǒng)或信息設(shè)備(如服務(wù)器、數(shù)據(jù)庫、防火墻、路由器的它應(yīng)用系統(tǒng))，其網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、系統(tǒng)繁多。使用和管理這些系統(tǒng)，一般都需要通過身份認(rèn)證，即分別使用各自系統(tǒng)的帳號(hào)和口令直接登錄到各系統(tǒng)中進(jìn)行操作。因此無論從用戶角度還是系統(tǒng)管理員角度來看，要登錄或管理這眾多的系統(tǒng)都面臨著極大的困難。具體表現(xiàn)在1.帳號(hào)/口令太多，難以記憶。由于信息系統(tǒng)越來越多，而每套系統(tǒng)中又有一套獨(dú)有的用戶名/口令的用戶身份管理體系，用戶需要同時(shí)記憶多個(gè)用戶名/口令對，有時(shí)甚至需要記憶上百個(gè)用戶名/口令對，這無疑給用戶帶來了沉重負(fù)擔(dān)。因此，在實(shí)際使用過程中，很多用戶往往把一些常用的用戶名/口令粘貼在計(jì)算機(jī)旁，或?qū)⒂脩裘?口令存放到一個(gè)容易記憶的文本文件中，其結(jié)果是進(jìn)一步降低了本來就不高的系統(tǒng)安全性。
2.存在多人共用帳號(hào)現(xiàn)象。有時(shí)用戶為了方便和省事，可能多人同時(shí)使用一個(gè)帳號(hào)，這不僅難以確定帳號(hào)的實(shí)際使用者，而且難以對帳號(hào)的擴(kuò)散范圍進(jìn)行控制，造成安全漏洞。
3.系統(tǒng)繁多，切換麻煩。經(jīng)常需要在各個(gè)系統(tǒng)之間切換，每次從一個(gè)系統(tǒng)切換到另一系統(tǒng)時(shí)，都需要單獨(dú)進(jìn)行登錄，給用戶的工作帶來不便，影響了工作效率。
4.帳號(hào)及口令容易被竊取。由于大多數(shù)信息系統(tǒng)的認(rèn)證方式如raduis、telnet、ftp、防火墻、數(shù)據(jù)庫等等在使用帳號(hào)/口令進(jìn)行用戶身份認(rèn)證時(shí)，帳號(hào)/口令都是以明文的方式在網(wǎng)絡(luò)上傳輸?shù)?，因此，只需要利用簡單的嗅探工具就可以輕而易舉地獲取用戶的帳號(hào)及口令。
5.由于口令設(shè)置得過于簡單或有規(guī)律可循，口令極容易被猜解或是利用工具進(jìn)行窮舉破解。
6.如果口令太長太復(fù)雜，則在難以記憶的同時(shí)，在使用輸入時(shí)也極易出錯(cuò)，特別是在緊急情況下使用口令時(shí)更易出錯(cuò)。
7.權(quán)限管理粗放，難以貫徹最小授權(quán)原則。各種類型的系統(tǒng)以及這些系統(tǒng)對應(yīng)的用戶權(quán)限間的關(guān)系多樣復(fù)雜，缺乏確實(shí)可行的完全管理的辦法。系統(tǒng)管理員為了不因?yàn)闄?quán)限控制的原因而影響用戶的正常使用，會(huì)草率地把系統(tǒng)的權(quán)限對所有用戶的都放開。此外在人員離職、崗位變動(dòng)時(shí)，難以完全徹底地注銷用戶在各系統(tǒng)中的相應(yīng)權(quán)限。系統(tǒng)的權(quán)限不能集中統(tǒng)一有效的管理，給企業(yè)帶來安全隱患。
8.難以實(shí)現(xiàn)統(tǒng)一的安全策略，使得企業(yè)的信息安全處于較低的水平。按照安全策略，往往要求口令定期進(jìn)行更改，或者要求所有的口令都要滿足其它某些規(guī)定。但是，在實(shí)際使用過程中，用戶往往由于各種原因而沒有執(zhí)行；同時(shí)，應(yīng)用系統(tǒng)中有些帳號(hào)可能在創(chuàng)建之后從來就沒有人使用過，更不用說對其口令進(jìn)行更換了。再有，由于用戶名/口令在各個(gè)系統(tǒng)中各自進(jìn)行管理，難以適用統(tǒng)一的安全管理策略，而且由于應(yīng)用系統(tǒng)日益增多，用戶名/口令的管理也成為管理人員的一項(xiàng)沉重負(fù)擔(dān)。
9.用戶操作行為、責(zé)任難以確定。企業(yè)眾多的系統(tǒng)，其中有很大一部分系統(tǒng)不能對用戶所做的操作進(jìn)行有效的審計(jì)，難以進(jìn)行事后追查。或是還有一些系統(tǒng)，雖然具備對用戶的操作行為進(jìn)行審計(jì)的功能，但是，黑客甚至是系統(tǒng)管理員可以輕易地修改或直接刪除系統(tǒng)審計(jì)信息，以逃避追查。
中國專利文獻(xiàn)CN1547343公開了一種基于數(shù)字證書的單點(diǎn)登錄實(shí)現(xiàn)方法。通過在應(yīng)用服務(wù)器存放數(shù)字證書及公/私鑰對，利用服務(wù)器公/私鑰，將用戶信息加密保存應(yīng)用于多應(yīng)用系統(tǒng)之間，實(shí)現(xiàn)安全單點(diǎn)登錄。用戶可一次登錄，無須重復(fù)輸入登錄信息。增加數(shù)字證書身份認(rèn)證，用戶在多應(yīng)用系統(tǒng)之間切換，無須重復(fù)校驗(yàn)身份。
中國專利文獻(xiàn)CN1581771公開了一種驗(yàn)證系統(tǒng)、服務(wù)器和驗(yàn)證方法及程序。其目的是向驗(yàn)證系統(tǒng)提供對服務(wù)性能影響較小的一次性登錄，以便通過網(wǎng)絡(luò)提供服務(wù)。驗(yàn)證系統(tǒng)包括提供服務(wù)的提供者，安全性權(quán)標(biāo)服務(wù)，和置于安全性權(quán)標(biāo)服務(wù)和提供者之間的代理服務(wù)。代理服務(wù)保存安全性權(quán)標(biāo)服務(wù)的驗(yàn)證結(jié)果，并在某些條件下，可在不把從提供者接收的驗(yàn)證請求傳送給安全性權(quán)標(biāo)服務(wù)的情況下，根據(jù)自己保存的驗(yàn)證結(jié)果，代理執(zhí)行客戶驗(yàn)證。此外，當(dāng)根據(jù)提供者自己保存的客戶的服務(wù)使用歷史，顯然可向客戶提供服務(wù)時(shí)，提供者向客戶提供服務(wù)，而不必發(fā)出驗(yàn)證請求。
上述幾篇對比文獻(xiàn)的不足之處在于信息系統(tǒng)或設(shè)備為了管理需要，均設(shè)有特權(quán)帳號(hào)；但具有系統(tǒng)管理特權(quán)的超級管理員可隨意使用系統(tǒng)，且可以做到不留下任何操作痕跡即日志，因此超級管理員本身就成為系統(tǒng)中的安全隱患。
另外，為了實(shí)現(xiàn)多個(gè)不同類型的應(yīng)用客戶端能集中訪問控制，需支持眾多的信息系統(tǒng)或設(shè)備通訊時(shí)使用的各種不同的協(xié)議。這些協(xié)議使用不同的端口進(jìn)行通訊，如telnet默認(rèn)服務(wù)端口為23，smtp默認(rèn)服務(wù)端口為25，甚至一些協(xié)議使用的是動(dòng)態(tài)服務(wù)端口，這些服務(wù)端口變化不定，如ftp的數(shù)據(jù)傳輸端口就是動(dòng)態(tài)端口。要正常訪問這些信息系統(tǒng)或設(shè)備，防火墻就必須放開對這些端口的限制，但這樣必將增大潛在的安全風(fēng)險(xiǎn)，在當(dāng)前對安全問題越來越重視的情況下，這種對外敞開大門的做法是需要盡量避免的。安全的做法是，只允許指定的源機(jī)器的訪問，對來自不明源機(jī)器的訪問全部拒絕，防火墻對外關(guān)閉內(nèi)部信息系統(tǒng)或設(shè)備的服務(wù)端口，只保留盡可能少的服務(wù)端口對外提供服務(wù)，但如此處理勢必影響對系統(tǒng)的正常使用。如ftp服務(wù)的數(shù)據(jù)傳輸端口，其數(shù)據(jù)傳輸端口在每完成了一個(gè)文件的上傳或下載就變換一次，且變化范圍無法確定，因此，要使ftp服務(wù)能夠正常使用，就必須放開所有可能的端口，一旦防火墻限制了過多的端口的使用，ftp服務(wù)便無法正常使用。此外還有tuxedo中間件，oracle數(shù)據(jù)庫等等都屬于此種情況。
發(fā)明的技術(shù)內(nèi)容為解決上述現(xiàn)有技術(shù)中的問題，本發(fā)明提出了一種信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)及其工作方法。
為實(shí)現(xiàn)上述發(fā)明目的，本發(fā)明提出一種信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，具有多個(gè)客戶機(jī)，用于經(jīng)網(wǎng)絡(luò)訪問多個(gè)信息系統(tǒng)或設(shè)備；訪問控制單元，設(shè)置于客戶機(jī)與所述各信息系統(tǒng)或設(shè)備之間，使客戶機(jī)通過數(shù)字證書對各信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元，與訪問控制單元配合，對通過數(shù)字證書登錄的用戶進(jìn)行身份鑒別，并在通過鑒別后獲取其相應(yīng)的訪問權(quán)限列表，包括在所有可訪問的信息系統(tǒng)或設(shè)備上的帳號(hào)及口令；帳號(hào)管理單元，預(yù)存有數(shù)字證書主體標(biāo)識(shí)與用于訪問各信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，用于實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)或設(shè)備帳號(hào)及口令的關(guān)聯(lián)；客戶機(jī)與訪問控制單元相互配合，從訪問權(quán)限列表中取得信息系統(tǒng)或設(shè)備的帳號(hào)及口令信息，完成對信息系統(tǒng)或設(shè)備的登錄過程。
一種上述權(quán)利要求所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，包括帳號(hào)管理單元通過數(shù)據(jù)存儲(chǔ)系統(tǒng)建立數(shù)字證書主體標(biāo)識(shí)與信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)帳號(hào)的關(guān)聯(lián)；由客戶機(jī)的應(yīng)用客戶端啟動(dòng)ACCA，并通過數(shù)字證書對信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元與訪問控制單元配合對所述數(shù)字證書進(jìn)行認(rèn)證；在認(rèn)證通過后，根據(jù)數(shù)字證書主體標(biāo)識(shí)獲取其唯一標(biāo)識(shí)及其相應(yīng)的訪問權(quán)限，包括所有可訪問的信息系統(tǒng)或設(shè)備及其對應(yīng)的帳號(hào)及口令；由ACCA與ACSA相互配合完成對信息系統(tǒng)或設(shè)備的登錄過程并實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的數(shù)據(jù)通訊。
本發(fā)明的上述技術(shù)方案相比現(xiàn)有技術(shù)具有以下優(yōu)點(diǎn)(1)本發(fā)明中，數(shù)字證書與用戶身份進(jìn)行綁定，使用戶在網(wǎng)絡(luò)世界中有唯一代表其身份的憑證，通過利用數(shù)字證書代替帳號(hào)及口令登錄信息系統(tǒng)的方法，實(shí)現(xiàn)對所有信息系統(tǒng)的單點(diǎn)登錄，即可在其權(quán)限范圍內(nèi)暢通無阻，無需再逐個(gè)地登錄到各系統(tǒng)。這對需要頻繁切換系統(tǒng)的用戶來說，無疑減少了很大的工作量。(2)本發(fā)明中，審計(jì)服務(wù)單元記錄客戶機(jī)訪問信息系統(tǒng)或設(shè)備的操作日志，解決了超級管理員本身的安全隱患。(3)本發(fā)明中，帳號(hào)管理單元對帳號(hào)及口令進(jìn)行維護(hù)管理，并由訪問控制單元配合實(shí)現(xiàn)對帳號(hào)及口令進(jìn)行定期更新，提高了安全性。(4)本發(fā)明中，ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議如http協(xié)議進(jìn)行通訊數(shù)據(jù)的傳輸，且所述標(biāo)準(zhǔn)協(xié)議可通過加密套接字層加密即SSL加密，所有其它應(yīng)用客戶端的協(xié)議都通過協(xié)議轉(zhuǎn)換，轉(zhuǎn)換成標(biāo)準(zhǔn)協(xié)議后進(jìn)行傳輸。以http協(xié)議為例，這種把所有其它的協(xié)議轉(zhuǎn)換為http協(xié)議，通過與同一個(gè)服務(wù)端口建立http連接，并使用建立起來的http連接做為傳輸數(shù)據(jù)的通道進(jìn)行通訊的方法就是“http遂道技術(shù)”。其好處是可以利用現(xiàn)有的http代理服務(wù)器，通過多級代理，以適應(yīng)復(fù)雜的網(wǎng)絡(luò)結(jié)構(gòu)，且無需對現(xiàn)有系統(tǒng)做改造，實(shí)現(xiàn)多個(gè)不同類型的應(yīng)用客戶端的集中訪問控制，同時(shí)支持眾多的信息系統(tǒng)或設(shè)備通訊時(shí)使用的各種不同的協(xié)議。另外，大多數(shù)防火墻不對http連接進(jìn)行攔截，使用http的連接一般可以暢通無阻。(5)本發(fā)明實(shí)現(xiàn)信息系統(tǒng)的集中帳號(hào)管理、身份認(rèn)證、授權(quán)及審計(jì)(4A框架)，有利于減輕系統(tǒng)維護(hù)和管理人員的工作負(fù)擔(dān)，提高工作效率；有利于對各業(yè)務(wù)系統(tǒng)實(shí)現(xiàn)統(tǒng)一的安全策略，從而提高業(yè)務(wù)系統(tǒng)的安全性。


為了使本發(fā)明的內(nèi)容更容易被清楚的理解，下面根據(jù)本發(fā)明的具體實(shí)施例并結(jié)合附圖，對本發(fā)明作進(jìn)一步詳細(xì)的說明，其中圖1是本發(fā)明的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的結(jié)構(gòu)示意圖；
圖2是本發(fā)明通過“http遂道技術(shù)”實(shí)現(xiàn)集中訪問控制的邏輯結(jié)構(gòu)示意圖；圖3是本發(fā)明的一種具體實(shí)施的結(jié)構(gòu)圖；圖4是本發(fā)明的ACSA的模塊結(jié)構(gòu)示意圖；圖5是本發(fā)明的ACCA的模塊結(jié)構(gòu)示意圖。
具體實(shí)施例方式
實(shí)施例1本實(shí)施例的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)具有多個(gè)客戶機(jī)、訪問控制單元即訪問控制服務(wù)器、帳號(hào)管理單元即帳號(hào)管理服務(wù)器、認(rèn)證授權(quán)單元包括認(rèn)證服務(wù)器和授權(quán)服務(wù)器、審計(jì)服務(wù)單元即審計(jì)服務(wù)器、多個(gè)信息系統(tǒng)或設(shè)備。
見圖3，所述帳號(hào)管理服務(wù)器、認(rèn)證服務(wù)器、授權(quán)服務(wù)器和審計(jì)服務(wù)器合稱為4A服務(wù)器。
如圖1和圖3，所述信息系統(tǒng)或設(shè)備包括主機(jī)系統(tǒng)，如Windows、Unix、Unix類(Unix Like)操作系統(tǒng)，數(shù)據(jù)庫系統(tǒng)、應(yīng)用信息系統(tǒng)和網(wǎng)絡(luò)設(shè)備如路由器(Router)、防火墻(Firewall)、打印設(shè)備、移動(dòng)通訊設(shè)備等一切與信息技術(shù)相關(guān)的軟硬件系統(tǒng)或設(shè)備。
客戶機(jī)用于經(jīng)網(wǎng)絡(luò)(廣域網(wǎng)WAN或局域網(wǎng)LAN)訪問多個(gè)信息系統(tǒng)或設(shè)備；訪問控制單元設(shè)置于客戶機(jī)與所述各信息系統(tǒng)或設(shè)備之間，使由客戶機(jī)通過數(shù)字證書對各信息系統(tǒng)或設(shè)備進(jìn)行登錄；帳號(hào)管理單元預(yù)存有數(shù)字證書主體標(biāo)識(shí)與用于訪問各信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，用于實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)或設(shè)備帳號(hào)及口令的關(guān)聯(lián)；認(rèn)證授權(quán)單元與訪問控制單元配合，對通過數(shù)字證書登錄的用戶進(jìn)行身份鑒別，并在通過鑒別后獲取其相應(yīng)的訪問權(quán)限列表，包括在所有可訪問的信息系統(tǒng)或設(shè)備上的帳號(hào)及口令；帳號(hào)管理單元，預(yù)存有數(shù)字證書主體標(biāo)識(shí)與用于訪問各信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，用于實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)或設(shè)備帳號(hào)及口令的關(guān)聯(lián)；客戶機(jī)與訪問控制單元相互配合，從訪問權(quán)限列表中取得信息系統(tǒng)或設(shè)備的帳號(hào)及口令信息，完成對信息系統(tǒng)或設(shè)備的登錄過程。
審計(jì)服務(wù)單元用于對客戶機(jī)與訪問控制單元之間的通信數(shù)據(jù)進(jìn)行攔截分析，以記錄客戶機(jī)訪問信息系統(tǒng)或設(shè)備的操作日志。將所有操作過程作為日志記錄下來，并做有選擇性地保存，保存的日志信息經(jīng)過數(shù)字簽名，防止非法對其修改。
帳號(hào)管理單元具有數(shù)據(jù)存儲(chǔ)系統(tǒng)，其預(yù)存用于訪問信息系統(tǒng)或設(shè)備的至少一對帳號(hào)及口令；帳號(hào)管理單元通過訪問控制單元對所述帳號(hào)及口令進(jìn)行定期更新。
本實(shí)施例的數(shù)字證書由CA(認(rèn)證權(quán)威)來生成、頒發(fā)并管理。
所述數(shù)據(jù)存儲(chǔ)系統(tǒng)包括如LDAP(輕量目錄訪問協(xié)議)、數(shù)據(jù)庫、文件系統(tǒng)等一切可存儲(chǔ)數(shù)據(jù)的系統(tǒng)。其中，LDAP是用來存儲(chǔ)用戶身份信息及用戶權(quán)限列表、應(yīng)用系統(tǒng)帳號(hào)等信息的。它是一個(gè)數(shù)據(jù)存儲(chǔ)設(shè)備，不同于關(guān)系型數(shù)據(jù)庫，其存儲(chǔ)結(jié)構(gòu)是一種樹型的，方便擴(kuò)展，此外，它也符合當(dāng)前對用戶身份信息存儲(chǔ)和管理的標(biāo)準(zhǔn)。
訪問控制單元具有終端仿真單元，用于對信息系統(tǒng)或設(shè)備的帳號(hào)及口令進(jìn)行修改或定期更新，并仿真登錄信息系統(tǒng)或設(shè)備。
見圖2，各客戶機(jī)設(shè)有應(yīng)用客戶端和訪問控制客戶端代理即ACCA，應(yīng)用客戶端與ACCA之間采用socket連接；訪問控制單元設(shè)有訪問控制服務(wù)器代理即ACSA，ACSA設(shè)置于各ACCA與各信息系統(tǒng)或設(shè)備的服務(wù)器之間，ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議建立連接；ACSA與信息系統(tǒng)或設(shè)備的服務(wù)器之間為socket連接；各應(yīng)用客戶端與各信息系統(tǒng)或設(shè)備的服務(wù)器之間的通訊數(shù)據(jù)格式分別由ACCA與ACSA進(jìn)行協(xié)議轉(zhuǎn)換，以實(shí)現(xiàn)ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議進(jìn)行通訊數(shù)據(jù)的傳輸。
其中，所謂socket通常也稱作″套接字″，用于描述IP地址和端口，是一個(gè)通信鏈的句柄。應(yīng)用客戶端包括telnet客戶端、ftp客戶端和smtp客戶端等。
圖4示出了ACSA的模塊結(jié)構(gòu)。ACSA屏蔽對信息系統(tǒng)或設(shè)備的非授權(quán)訪問。用戶通過ACCA對信息系統(tǒng)或設(shè)備進(jìn)行訪問時(shí)，必須先提交其數(shù)字證書，然后ACSA通過證書驗(yàn)證模塊檢查該證書是否合法、有效，并由策略驗(yàn)證模塊檢查用戶是否有訪問該信息系統(tǒng)或設(shè)備的權(quán)限，在上述檢查通過后客戶機(jī)經(jīng)協(xié)議轉(zhuǎn)換模塊與所述信息系統(tǒng)或設(shè)備建立連接。ACSA與ACCA一起，構(gòu)筑加密通道(SSL)，防止非法竊聽、篡改。日志模塊記錄對信息系統(tǒng)或設(shè)備的所有訪問日志。為防止系統(tǒng)崩潰，ACSA監(jiān)視進(jìn)程對ACSA進(jìn)行監(jiān)視，若發(fā)現(xiàn)ACSA崩潰即重啟ACSA，同時(shí)也可以接受SecurityCenter即安全中心的管理要求，停止、啟動(dòng)、重啟動(dòng)ACSA服務(wù)，或接受對ACSA的狀態(tài)查詢。
圖5示出了ACCA的模塊結(jié)構(gòu)?？蛻舳俗C書管理模塊用于調(diào)用保存在硬件Key中的證書、證書私鑰進(jìn)行信息加解密等。ACCA啟動(dòng)后，先讓用戶選證書，然后通過ACSA從授權(quán)服務(wù)器下載該用戶的權(quán)限列表，用戶再從中選擇需要訪問的信息系統(tǒng)或設(shè)備。一個(gè)用戶只能有一張證書，但可以訪問多個(gè)ACSA所保護(hù)的信息系統(tǒng)或設(shè)備。用戶的權(quán)限列表可以在啟動(dòng)ACCA的時(shí)候自動(dòng)獲取，也可以在啟動(dòng)后手工刷新。地址分配模塊管理權(quán)限列表中的信息系統(tǒng)或設(shè)備的訪問地址。策略處理模塊用于處理獲取的權(quán)限列表，使用戶能夠直觀地了解其有權(quán)限訪問的信息系統(tǒng)或設(shè)備的情況及訪問這些信息系統(tǒng)或設(shè)備可以使用的帳號(hào)。由于ACSA中的IP Filter已經(jīng)屏蔽了受保護(hù)服務(wù)器端的應(yīng)用端口，因此受保護(hù)服務(wù)的客戶端不能再像原來一樣去連接這些服務(wù)的地址和端口，只能訪問由地址分配模塊動(dòng)態(tài)分配的地址。為了減少用戶使用上的復(fù)雜度，地址分配模塊自動(dòng)維護(hù)本地端的DNS列表，這樣用戶只需要在應(yīng)用客戶端中設(shè)置需訪問的域名，ACCA維護(hù)域名/地址映射，即可建立連接。在地址分配模塊將服務(wù)映射成本地IP后，在本地還需要啟動(dòng)端口監(jiān)聽線程，服務(wù)監(jiān)聽模塊對策略中指定的所有服務(wù)的端口進(jìn)行監(jiān)聽，在監(jiān)聽到受保護(hù)客戶端發(fā)出的連接建立請求后，提取用戶證書，往ACSA端發(fā)出建立連接請求。協(xié)議轉(zhuǎn)換模塊用于按照受保護(hù)服務(wù)所需的傳輸協(xié)議，對數(shù)據(jù)流進(jìn)行轉(zhuǎn)換。客戶端證書管理模塊用于客戶端證書選取、證書口令保護(hù)、口令更改等。
本實(shí)施例的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，包括帳號(hào)管理單元通過數(shù)據(jù)存儲(chǔ)系統(tǒng)建立數(shù)字證書主體標(biāo)識(shí)與信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)帳號(hào)的關(guān)聯(lián)；由客戶機(jī)的應(yīng)用客戶端啟動(dòng)ACCA，并通過數(shù)字證書對信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元與訪問控制單元配合對所述數(shù)字證書進(jìn)行認(rèn)證；在認(rèn)證通過后，根據(jù)數(shù)字證書主體標(biāo)識(shí)獲取其唯一標(biāo)識(shí)及其相應(yīng)的訪問權(quán)限，包括所有可訪問的信息系統(tǒng)或設(shè)備及其對應(yīng)的帳號(hào)及口令；由ACCA與ACSA相互配合完成對信息系統(tǒng)或設(shè)備的登錄過程并實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的數(shù)據(jù)通訊。
審計(jì)服務(wù)單元對客戶機(jī)與訪問控制單元之間的通信數(shù)據(jù)進(jìn)行攔截分析，以記錄客戶機(jī)的訪問信息系統(tǒng)或設(shè)備的操作日志。
帳號(hào)管理單元通過數(shù)據(jù)存儲(chǔ)系統(tǒng)預(yù)存用于訪問信息系統(tǒng)或設(shè)備的至少一對帳號(hào)及口令，并制定帳號(hào)及口令更新策略，即通過訪問控制單元對所述帳號(hào)及口令實(shí)現(xiàn)定期更新的計(jì)劃任務(wù)。帳號(hào)及口令更新策略包括更新時(shí)間、更新周期、口令強(qiáng)度、手動(dòng)更新還是系統(tǒng)自動(dòng)更新。
帳號(hào)管理單元定期啟動(dòng)自動(dòng)更新所述帳號(hào)及口令的計(jì)劃任務(wù)，并通知訪問控制單元通過終端仿真單元執(zhí)行更新信息系統(tǒng)或設(shè)備的口令的過程。
訪問控制單元按帳號(hào)管理單元的帳號(hào)及口令更新策略，通過終端仿真單元執(zhí)行帳號(hào)及口令的更新。其執(zhí)行更新的步驟如下注冊所管理的信息系統(tǒng)或設(shè)備的帳號(hào)到帳號(hào)管理單元；設(shè)定與各帳號(hào)一一對應(yīng)的初始口令；自動(dòng)更新時(shí)，帳號(hào)管理單元按預(yù)設(shè)時(shí)間間隔用隨機(jī)函數(shù)產(chǎn)生各帳號(hào)一一對應(yīng)的新口令(手動(dòng)更新時(shí)，由管理員輸入所需的新口令)，然后通知訪問控制單元執(zhí)行更新；由訪問控制單元的仿真單元模擬應(yīng)用客戶端，使用具有超級管理員權(quán)限的帳號(hào)及口令登錄信息系統(tǒng)或設(shè)備，使用新口令修改信息系統(tǒng)或設(shè)備中各帳號(hào)的舊口令；使用新口令登錄一次，若登錄成功，由返回修改成功的消息至帳號(hào)管理單元，帳號(hào)管理單元將新、舊口令加密后保存。
應(yīng)用客戶端與ACCA之間采用socket連接；ACSA設(shè)置于各ACCA與各信息系統(tǒng)或設(shè)備的服務(wù)器之間，ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議建立連接，且所述標(biāo)準(zhǔn)協(xié)議通過SSL加密；ACSA與信息系統(tǒng)或設(shè)備的服務(wù)器之間為socket連接；各應(yīng)用客戶端與各信息系統(tǒng)或設(shè)備的服務(wù)器之間的通訊數(shù)據(jù)格式分別由ACCA與ACSA進(jìn)行協(xié)議轉(zhuǎn)換，以實(shí)現(xiàn)ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議進(jìn)行通訊數(shù)據(jù)的傳輸。
所述標(biāo)準(zhǔn)協(xié)議為http協(xié)議，也可以是其它標(biāo)準(zhǔn)協(xié)議。所述信息系統(tǒng)或設(shè)備的服務(wù)器包括telnet服務(wù)器、ftp服務(wù)器和smtp服務(wù)器等。
由ACCA與ACSA相互配合接管用戶的登錄過程包括由ACCA自動(dòng)完成登錄信息系統(tǒng)或設(shè)備的過程、由ACSA自動(dòng)完成登錄信息系統(tǒng)或設(shè)備的過程及由ACCA與ACSA相互協(xié)調(diào)完成登錄信息系統(tǒng)或設(shè)備的過程；登錄時(shí)，仍使用信息系統(tǒng)或設(shè)備內(nèi)部帳號(hào)及口令，通過使用終端仿真、數(shù)據(jù)攔載替換或直接通過ACCA模擬用戶輸入，實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的登錄。
實(shí)現(xiàn)單點(diǎn)登錄sso的方法需按具體的信息系統(tǒng)或是設(shè)備情況來決定采取哪種方式。此外，對于安全級別較高的應(yīng)用系統(tǒng)或設(shè)備服務(wù)器，要求其帳號(hào)及口令不能到達(dá)客戶機(jī)，此時(shí)，適用2，3種情況來完成對應(yīng)用系統(tǒng)或設(shè)備的登錄過程。
由ACCA自動(dòng)完成登錄信息系統(tǒng)或設(shè)備時(shí)，主要由ACCA完成對應(yīng)用系統(tǒng)或設(shè)備的登錄。通過ACCA捕獲應(yīng)用客戶端的登錄界面，代替用戶完成輸入用戶名和密碼的過程，實(shí)現(xiàn)應(yīng)用客戶端的自動(dòng)登錄；此種方式適合C/S結(jié)構(gòu)的應(yīng)用，且應(yīng)用客戶端的窗口元素容易獲取的情況，同時(shí)可實(shí)現(xiàn)對大多數(shù)信息系統(tǒng)的支持。
由ACSA自動(dòng)完成登錄信息系統(tǒng)或設(shè)備時(shí)，ACSA對還未完成登錄過程的請求，分析其數(shù)據(jù)流，判斷應(yīng)用客戶端是否正在請求登錄到應(yīng)用系統(tǒng)或設(shè)備服務(wù)器。通過攔截且使用替換、插入、修改等手段干預(yù)其登錄過程中的數(shù)據(jù)，完成對應(yīng)用系統(tǒng)或設(shè)備的登錄。此種方式適合C/S結(jié)構(gòu)的應(yīng)用中無法準(zhǔn)確獲取客戶端的窗口元素的情況，同時(shí)也適應(yīng)B/S結(jié)構(gòu)的應(yīng)用。
由ACCA與ACSA相互協(xié)調(diào)完成登錄信息系統(tǒng)或設(shè)備時(shí)，ACCA模擬應(yīng)用系統(tǒng)或設(shè)備服務(wù)器端的功能，ACSA模擬應(yīng)用系統(tǒng)或設(shè)備的應(yīng)用客戶端功能。ACSA仿真模擬登錄后，ACSA與應(yīng)用系統(tǒng)或設(shè)備的服務(wù)器端建立一個(gè)會(huì)話；同時(shí)，ACCA與應(yīng)用客戶端建立起一個(gè)會(huì)話。把兩個(gè)會(huì)話通過ACCA與ACSA間的橋接作用聯(lián)結(jié)起來，實(shí)現(xiàn)正常的通訊。此種情況適應(yīng)不能簡單使用上述兩種中的任何一種方式來實(shí)現(xiàn)的情況。
認(rèn)證授權(quán)單元包括認(rèn)證服務(wù)單元和授權(quán)服務(wù)單元；認(rèn)證授權(quán)單元與訪問控制單元配合對數(shù)字證書進(jìn)行合法性認(rèn)證及完成登錄并訪問信息系統(tǒng)或設(shè)備的過程包括通過客戶機(jī)提交數(shù)字證書到ACCA；ACSA對由ACCA得到的數(shù)字證書的信息進(jìn)行驗(yàn)證，判斷所述數(shù)字證書是否合法，包括是不是由可信的CA機(jī)構(gòu)(即證書授證中心)頒發(fā)，是不是在有效期，數(shù)字證書有無被撤銷。
若數(shù)字證書沒有通過合法性驗(yàn)證，則直接返回相應(yīng)信息給ACCA，ACCA與ACSA的通信便結(jié)束；認(rèn)證服務(wù)單元返回是否通過認(rèn)證的信息到ACSA；若通過合法性驗(yàn)證，則認(rèn)證服務(wù)單元對所述數(shù)字證書的唯一標(biāo)識(shí)進(jìn)行查詢并認(rèn)證，檢查此數(shù)字證書所代表的用戶是否已經(jīng)注冊并處于正常狀態(tài)。
認(rèn)證服務(wù)單元返回用戶是否合法的信息到ACSA；若沒有通過認(rèn)證，則直接返回相應(yīng)信息給ACCA，ACCA與ACSA的通信便結(jié)束；若通過認(rèn)證，則認(rèn)證服務(wù)單元將所述唯一標(biāo)識(shí)提交到授權(quán)服務(wù)單元，并查詢此用戶的權(quán)限列表；授權(quán)服務(wù)單元返回所述權(quán)限列表至ACSA，ACSA緩存所述權(quán)限列表；ACSA返回所述權(quán)限列表到ACCA，ACCA根據(jù)該用戶的權(quán)限列表，打開相應(yīng)的服務(wù)端口；應(yīng)用客戶端與ACCA對應(yīng)的服務(wù)端口建立連接，并向ACCA發(fā)送數(shù)據(jù)請求；ACCA通過服務(wù)地址及端口識(shí)別應(yīng)用客戶端所需訪問的真正的信息系統(tǒng)或設(shè)備的映射名稱，并向ACSA請求與相應(yīng)的信息系統(tǒng)或設(shè)備打開一個(gè)連接；ACSA檢查用戶是否有訪問此應(yīng)用的權(quán)限，若沒有，則直接返回權(quán)限錯(cuò)誤信息；若有，則ACSA與應(yīng)用服務(wù)器間建立起一個(gè)連接；ACCA通過應(yīng)用客戶端請求的地址與端口判斷此應(yīng)用客戶端請求的是哪種類型的信息系統(tǒng)或設(shè)備，以決定使用何種方式實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的登錄，ACCA與ACSA建立相應(yīng)連接，完成登錄信息系統(tǒng)或設(shè)備的過程。
當(dāng)ACCA向ACSA請求寫入數(shù)據(jù)時(shí)，ACCA把由應(yīng)用客戶端得到的數(shù)據(jù)發(fā)送到ACSA；ACSA對數(shù)據(jù)進(jìn)行分析判斷，在對一些未經(jīng)授權(quán)的操作或命令加以阻攔后，把由ACCA得到的數(shù)據(jù)寫入到對應(yīng)的信息系統(tǒng)或設(shè)備；當(dāng)ACCA向ACSA請求讀取數(shù)據(jù)時(shí)，ACCA從ACSA讀取信息系統(tǒng)或設(shè)備的響應(yīng)數(shù)據(jù)。ACCA返回所述響應(yīng)數(shù)據(jù)到應(yīng)用客戶端。
其中，授權(quán)服務(wù)單元可以精確到實(shí)體級集中授權(quán)，也可以精確到實(shí)體內(nèi)部資源級集中授權(quán)，授權(quán)粒度精確到應(yīng)用、設(shè)備、主機(jī)內(nèi)的資源。資源包括應(yīng)用的功能模塊、HTML頁面、數(shù)據(jù)庫表或字段；主機(jī)內(nèi)的文件或目錄等。
另外，審計(jì)服務(wù)器將來自不同區(qū)域、不同設(shè)備、不同系統(tǒng)的日志信息集中起來，置于一個(gè)數(shù)據(jù)庫中，便于檢索和分析。審計(jì)內(nèi)容包括對帳號(hào)分配情況的審計(jì)、對帳號(hào)授權(quán)的審計(jì)、對登錄過程的審計(jì)、對身份認(rèn)證的審計(jì)、對登錄后用戶行為的審計(jì)。
顯然，本發(fā)明的上述實(shí)施例僅僅是為清楚地說明本發(fā)明所作的舉例，而并非是對本發(fā)明的實(shí)施方式的限定。對于所屬領(lǐng)域的普通技術(shù)人員來說，在上述說明的基礎(chǔ)上還可以做出其它不同形式的變化或變動(dòng)。這里無需也無法對所有的實(shí)施方式予以窮舉。而這些屬于本發(fā)明的精神所引伸出的顯而易見的變化或變動(dòng)仍處于本發(fā)明的保護(hù)范圍之中。
權(quán)利要求
1.一種信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，具有多個(gè)客戶機(jī)，用于經(jīng)網(wǎng)絡(luò)訪問多個(gè)信息系統(tǒng)或設(shè)備；其特征在于還包括訪問控制單元，設(shè)置于客戶機(jī)與所述各信息系統(tǒng)或設(shè)備之間，使客戶機(jī)通過數(shù)字證書對各信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元，與訪問控制單元配合，對通過數(shù)字證書登錄的用戶進(jìn)行身份鑒別，并在通過鑒別后獲取其相應(yīng)的訪問權(quán)限列表，包括在所有可訪問的信息系統(tǒng)或設(shè)備上的帳號(hào)及口令；帳號(hào)管理單元，預(yù)存有數(shù)字證書主體標(biāo)識(shí)與用于訪問各信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，用于實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)或設(shè)備帳號(hào)及口令的關(guān)聯(lián)；客戶機(jī)與訪問控制單元相互配合，從訪問權(quán)限列表中取得信息系統(tǒng)或設(shè)備的帳號(hào)及口令信息，完成對信息系統(tǒng)或設(shè)備的登錄過程。
2.根據(jù)權(quán)利要求1所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，其特征在于還包括審計(jì)服務(wù)單元，用于對客戶機(jī)與訪問控制單元之間的通信數(shù)據(jù)進(jìn)行攔截分析，以記錄客戶機(jī)訪問信息系統(tǒng)或設(shè)備的操作日志。
3.根據(jù)權(quán)利要求1或2所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，其特征在于帳號(hào)管理單元具有數(shù)據(jù)存儲(chǔ)系統(tǒng)，其預(yù)存用于訪問信息系統(tǒng)或設(shè)備的至少一對帳號(hào)及口令；帳號(hào)管理單元通過訪問控制單元對所述帳號(hào)及口令進(jìn)行定期更新。
4.根據(jù)權(quán)利要求3所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，其特征在于訪問控制單元具有終端仿真單元，用于對信息系統(tǒng)或設(shè)備的帳號(hào)及口令進(jìn)行修改或定期更新，并仿真登錄信息系統(tǒng)或設(shè)備。
5.根據(jù)權(quán)利要求1或2所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)，其特征在于各客戶機(jī)設(shè)有應(yīng)用客戶端和訪問控制客戶端代理即ACCA，應(yīng)用客戶端與ACCA之間采用socket連接；訪問控制單元設(shè)有訪問控制服務(wù)器代理即ACSA，ACSA設(shè)置于各ACCA與各信息系統(tǒng)或設(shè)備的服務(wù)器之間，ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議建立連接；ACSA與信息系統(tǒng)或設(shè)備的服務(wù)器之間為socket連接；各應(yīng)用客戶端與各信息系統(tǒng)或設(shè)備的服務(wù)器之間的通訊數(shù)據(jù)格式分別由ACCA與ACSA進(jìn)行協(xié)議轉(zhuǎn)換，以實(shí)現(xiàn)ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議進(jìn)行通訊數(shù)據(jù)的傳輸。
6.一種上述權(quán)利要求所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，包括帳號(hào)管理單元通過數(shù)據(jù)存儲(chǔ)系統(tǒng)建立數(shù)字證書主體標(biāo)識(shí)與信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)帳號(hào)的關(guān)聯(lián)；由客戶機(jī)的應(yīng)用客戶端啟動(dòng)ACCA，并通過數(shù)字證書對信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元與訪問控制單元配合對所述數(shù)字證書進(jìn)行認(rèn)證；在認(rèn)證通過后，根據(jù)數(shù)字證書主體標(biāo)識(shí)獲取其唯一標(biāo)識(shí)及其相應(yīng)的訪問權(quán)限，包括所有可訪問的信息系統(tǒng)或設(shè)備及其對應(yīng)的帳號(hào)及口令；由ACCA與ACSA相互配合完成對信息系統(tǒng)或設(shè)備的登錄過程并實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的數(shù)據(jù)通訊。
7.根據(jù)權(quán)利要求6所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于還包括審計(jì)服務(wù)單元，對客戶機(jī)與訪問控制單元之間的通信數(shù)據(jù)進(jìn)行攔截分析，以記錄客戶機(jī)訪問信息系統(tǒng)或設(shè)備時(shí)的操作日志。
8.根據(jù)權(quán)利要求6或7所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于帳號(hào)管理單元通過數(shù)據(jù)存儲(chǔ)系統(tǒng)預(yù)存用于訪問信息系統(tǒng)或設(shè)備的至少一對帳號(hào)及口令，并通過訪問控制單元對所述帳號(hào)及口令實(shí)現(xiàn)定期更新的計(jì)劃任務(wù)。
9.根據(jù)權(quán)利要求8所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于帳號(hào)管理單元定期啟動(dòng)自動(dòng)更新所述帳號(hào)及口令的計(jì)劃任務(wù)，并通知訪問控制單元通過終端仿真單元執(zhí)行更新信息系統(tǒng)或設(shè)備的口令的過程，包括以下步驟注冊所管理的各信息系統(tǒng)或設(shè)備的帳號(hào)到帳號(hào)管理單元；設(shè)定與各帳號(hào)一一對應(yīng)的初始口令；按預(yù)設(shè)時(shí)間間隔用隨機(jī)函數(shù)產(chǎn)生各帳號(hào)一一對應(yīng)的新口令，把帳號(hào)及對應(yīng)的新口令和具有超級管理員權(quán)限的帳號(hào)及口令傳送給訪問控制服務(wù)器，訪問控制服務(wù)器的仿真單元通過模擬應(yīng)用客戶端的操作，使用具有超級管理員權(quán)限的帳號(hào)及口令登錄信息系統(tǒng)或設(shè)備，再模擬超級管理員的管理操作，實(shí)現(xiàn)使用新口令修改信息系統(tǒng)或設(shè)備中各帳號(hào)的舊口令；使用帳號(hào)及對應(yīng)的新口令登錄一次，若登錄成功，訪問控制服務(wù)器返回成功的消息到帳號(hào)管理服務(wù)器，帳號(hào)管理服務(wù)器則將新、舊口令加密后保存。
10.根據(jù)權(quán)利要求6或7所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于應(yīng)用客戶端與ACCA之間采用socket連接；ACSA設(shè)置于各ACCA與各信息系統(tǒng)或設(shè)備的服務(wù)器之間，ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議建立連接；ACSA與信息系統(tǒng)或設(shè)備的服務(wù)器之間為socket連接；各應(yīng)用客戶端與各信息系統(tǒng)或設(shè)備的服務(wù)器之間的通訊數(shù)據(jù)格式分別由ACCA與ACSA進(jìn)行協(xié)議轉(zhuǎn)換，以實(shí)現(xiàn)ACCA與ACSA之間通過標(biāo)準(zhǔn)協(xié)議進(jìn)行通訊數(shù)據(jù)的傳輸。
11.根據(jù)權(quán)利要求6或7所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于由ACCA與ACSA相互配合接管用戶的登錄過程，登錄時(shí)，仍使用信息系統(tǒng)或設(shè)備內(nèi)部帳號(hào)及口令，通過使用終端仿真、數(shù)據(jù)攔載替換或直接通過ACCA模擬用戶輸入，實(shí)現(xiàn)對信息系統(tǒng)或設(shè)備的登錄。
12.根據(jù)權(quán)利要求6或7所述的信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)的工作方法，其特征在于認(rèn)證授權(quán)單元包括認(rèn)證服務(wù)單元和授權(quán)服務(wù)單元；認(rèn)證授權(quán)單元與訪問控制單元配合對數(shù)字證書進(jìn)行認(rèn)證及完成對信息系統(tǒng)或設(shè)備的登錄并訪問的過程包括通過客戶機(jī)提交數(shù)字證書到ACCA；ACSA對由ACCA得到的數(shù)字證書的信息進(jìn)行驗(yàn)證，判斷所述數(shù)字證書是否合法；若沒有通過驗(yàn)證，則直接返回相應(yīng)信息給ACCA，ACCA與ACSA的通信便結(jié)束；若通過驗(yàn)證，則認(rèn)證服務(wù)單元對所述數(shù)字證書進(jìn)行查詢并認(rèn)證；認(rèn)證服務(wù)單元返回是否通過認(rèn)證的信息到ACSA；若沒有通過認(rèn)證，則直接返回相應(yīng)信息給ACCA，ACCA與ACSA的通信便結(jié)束；若通過認(rèn)證，則認(rèn)證服務(wù)單元將所述唯一標(biāo)識(shí)提交到授權(quán)服務(wù)單元，并查詢此用戶的權(quán)限列表；授權(quán)服務(wù)單元返回所述權(quán)限列表至ACSA，ACSA緩存所述權(quán)限列表；ACSA返回所述權(quán)限列表到ACCA，ACCA根據(jù)該用戶的權(quán)限列表，打開相應(yīng)的服務(wù)端口；應(yīng)用客戶端與ACCA對應(yīng)的服務(wù)端口建立連接，并向ACCA發(fā)送數(shù)據(jù)請求；ACCA通過服務(wù)地址及端口識(shí)別應(yīng)用客戶端所需訪問的真正的信息系統(tǒng)或設(shè)備的映射名稱，并向ACSA請求與相應(yīng)的信息系統(tǒng)或設(shè)備打開一個(gè)連接；ACSA檢查用戶是否有訪問此應(yīng)用的權(quán)限，若沒有，則直接返回權(quán)限錯(cuò)誤信息；若有，則ACSA與應(yīng)用服務(wù)器間建立起一個(gè)連接；ACCA通過應(yīng)用客戶端請求的地址與端口判斷此應(yīng)用客戶端請求的是哪種類型的信息系統(tǒng)或設(shè)備，以決定采用何種方式登錄信息系統(tǒng)或設(shè)備，ACCA與ACSA建立相應(yīng)連接，完成登錄信息系統(tǒng)或設(shè)備的過程；當(dāng)ACCA向ACSA請求寫入數(shù)據(jù)時(shí)，ACCA把由應(yīng)用客戶端得到的數(shù)據(jù)發(fā)送到ACSA；ACSA對數(shù)據(jù)進(jìn)行分析判斷，在對一些未經(jīng)授權(quán)的操作或命令加以阻攔后，把由ACCA得到的數(shù)據(jù)寫入到對應(yīng)的信息系統(tǒng)或設(shè)備；當(dāng)ACCA向ACSA請求讀取數(shù)據(jù)時(shí)，ACCA從ACSA讀取信息系統(tǒng)或設(shè)備的響應(yīng)數(shù)據(jù)；ACCA返回所述響應(yīng)數(shù)據(jù)到應(yīng)用客戶端。
全文摘要
本發(fā)明涉及一種信息系統(tǒng)或設(shè)備的安全防護(hù)系統(tǒng)及其工作方法，具有多個(gè)客戶機(jī)，用于經(jīng)網(wǎng)絡(luò)訪問多個(gè)信息系統(tǒng)或設(shè)備；訪問控制單元，設(shè)置于客戶機(jī)與所述各信息系統(tǒng)或設(shè)備之間，使客戶機(jī)通過數(shù)字證書對各信息系統(tǒng)或設(shè)備進(jìn)行登錄；認(rèn)證授權(quán)單元，與訪問控制單元配合，對通過數(shù)字證書登錄的用戶進(jìn)行身份鑒別，并在通過鑒別后獲取其相應(yīng)的訪問權(quán)限列表；帳號(hào)管理單元，預(yù)存有數(shù)字證書主體標(biāo)識(shí)與用于訪問各信息系統(tǒng)或設(shè)備的帳號(hào)及口令的映射，用于實(shí)現(xiàn)數(shù)字證書主體與信息系統(tǒng)或設(shè)備帳號(hào)及口令的關(guān)聯(lián)；客戶機(jī)與訪問控制單元相互配合，從訪問權(quán)限列表中取得信息系統(tǒng)或設(shè)備的帳號(hào)及口令信息，完成對信息系統(tǒng)或設(shè)備的登錄過程。
文檔編號(hào)H04L29/06GK101064717SQ20061007649
公開日2007年10月31日 申請日期2006年4月26日 優(yōu)先權(quán)日2006年4月26日
發(fā)明者朱建華, 張瑞乾, 董廣峰, 李海寧 申請人:北京華科廣通信息技術(shù)有限公司