專利名稱：互聯(lián)網(wǎng)上兩方之間建立新連接的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種互聯(lián)網(wǎng)上兩方之間建立新連接的方法。
背景技術(shù)：
互聯(lián)網(wǎng)上一個計算機系統(tǒng)上運行的一個程序?qū)ο笈c另一方之間建立了連接之 后，有時該系統(tǒng)上的另一個程序?qū)ο笮枰谠撨B接的信任關(guān)系與另一方再建立一 個新連接，這樣的一些應用包括HTTP中SessionID的應用，基于IP地址傳遞方 式的應用(如UDP Punching hole)等等。
但目前的方式存在以下問題:SessionID只限于應用在基于HTTP協(xié)議的瀏覽器 程序生成新應用對象，無法兼容其它形式的應用，而且SessionID是在初始對話建 立時生成和傳遞的并且在建立以后多個新連接時是不變的，存在安全隱患；基于IP 地址傳遞的方式在一些NAT應用中必須進行"打洞"，這在一些應用中無法實現(xiàn)。
還有一些利用已建立的連接傳遞特定認證信息實現(xiàn)連接認證的方案中，已建立 的連接只是用戶終端(如即時通訊終端)而不主動參與新連接的建立并不能自動 完成閉合傳遞而需要用戶的手動操作，這就帶來了安全性低、容易出錯和使用不便 等問題。另外，由于用戶終端不能自動完成閉合傳遞而需要用戶操作，閉合傳遞的 時間有效期無法限定于秒級而至少需要設置在分鐘級以上，這既降低了安全性又降 低了實現(xiàn)的價值。

發(fā)明內(nèi)容
本發(fā)明采用一種互聯(lián)網(wǎng)上兩方之間建立新連接的方法來解決以上提到的問題。 本發(fā)明是這樣實現(xiàn)的， 一種互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其中，兩計 算機系統(tǒng)第一方和第二方分別連接于互聯(lián)網(wǎng)，其中第一方上的程序?qū)ο驛能夠通過 一個已建立的連接向第二方發(fā)送信息或者從第二方接收信息，其中，當?shù)谝环缴系?程序?qū)ο驜要與第二方建立一個新連接時，所述兩方將兩個信息分別在程序?qū)ο驛 與第二方之間和程序?qū)ο驜與第二方之間進行傳遞，其中，所述兩個信息是相同的 或者是不同的并具有符合特定數(shù)學運算規(guī)律的對應關(guān)系，所述兩個信息的傳遞構(gòu)成一個在兩方之間的閉合傳遞，所述兩方上運行的程序能夠自動獲取所述兩個信息并 完成所述閉合傳遞，其中，作為閉合傳遞的終點的一方能夠通過比較以上兩個傳遞 的信息是否相同或是否符合對應關(guān)系來驗證收到的信息是否是由另一方發(fā)出的，如 果收到的信息被驗證是由另一方發(fā)出的則程序?qū)ο驜與第二方之間傳遞信息的新 連接被確認并建立。
其中，所述在兩方之間的閉合傳遞是指 一方同時向另一方發(fā)送兩個信息，或 者，發(fā)起方向另一方發(fā)送一個信息然后另一方向發(fā)起方返回一個信息。
其中，所述兩個信息只使用一次并只用于建立一個連接，所述兩個信息無法由 先前發(fā)出的信息推知。例如與SessionID或其它應用層地址的方式不同，所述兩 個信息只用于建立一次連接，而不用于在會話過程中對會話進行標識。
其中， 一方在發(fā)送信息時或者收到第一個信息時還會生成時間標記，時間標記 可以保存在生成時間標記一方的本地或者生成時間標記一方發(fā)送的信息中，作為閉 合傳遞的終點的一方收到信息的時間或者收到第二個信息的時間未超過規(guī)定有效 期時新連接才會被確認并建立。
其中，所述兩個信息不是數(shù)據(jù)報頭中的IP地址和端口號。所述閉合傳遞的信息 不依賴于IP地址和端口號，這在一些應用中更好地解決了 NAT穿透問題。
其中，所述程序?qū)ο驛的已建立的連接可以是所述兩方之間的點對點連接或者 是所述兩方通過第三方的連接，所述已建立的連接可以是雙向的連接或單向的連 接。例如程序?qū)ο驛通過第二方的安全認證后與第二方建立了點對點的連接，然 后基于這個已經(jīng)建立點對點的安全連接建立一個程序?qū)ο驜與第二方的新連接?；?者程序?qū)ο驛和第二方分別登錄共同的服務器并通過該服務器建立了連接，然后基 于這個間接的安全連接建立一個程序?qū)ο驜與第二方的新的點對點連接。
其中，所述程序?qū)ο驜的新連接的傳遞路徑或通訊端口與程序?qū)ο驛的已建立 的連接不同。例如程序?qū)ο驛的連接是通過第三方服務器建立的，而程序?qū)ο驜 的新連接是點對點的直接連接。又如程序?qū)ο驛是通過第一方系統(tǒng)上的特定應用 程序端口建立連接的，而程序?qū)ο驜是通過第一方系統(tǒng)上的HTTPS協(xié)議端口建立 連接的。
其中，所述的作為閉合傳遞的終點的一方是第二方。
其中，所述兩個信息可以是相同的。例如所述信息可以是由一隨機函數(shù)生成的隨機數(shù)。或者，所述兩個信息是不同的。例如所述兩個信息可以是隨機生成的 符合特定規(guī)律的一對數(shù)字，發(fā)出方將這對數(shù)字中的兩個分別發(fā)給另一方，另一方通 過驗證得到的兩個數(shù)字是否符合特定規(guī)律來判斷收到的兩個信息是否是來自發(fā)出 方的。又如所述信息之一可以是一隨機序列，發(fā)起方將該信息發(fā)給另一方，另一 方收到該信息后以約定算法計算其單向散列值并將散列值發(fā)回發(fā)起方，發(fā)起方根據(jù) 該散列值判斷返回的信息是否來自另一方。再如所述信息之一可以是密鑰、單向 散列函數(shù)或其它函數(shù)，發(fā)起方將該信息發(fā)給另一方，另一方收到該認證信息后將約 定值以該密鑰、單向散列函數(shù)或其它函數(shù)進行計算后發(fā)給發(fā)起方，發(fā)起方通過對約 定值驗算來判斷該信息是否來自另一方。
其中，所述分別與程序?qū)ο驛和程序?qū)ο驜建立連接的是第二方上運行的同一 程序?qū)ο蠡虿煌绦驅(qū)ο蟆?br> 其中，所述兩個信息是在進行閉合傳遞時即時生成的或者是預先生成即時獲取的。
其中，所述閉合傳遞的路徑中不包括系統(tǒng)的用戶，系統(tǒng)的用戶不需要知道信息 的內(nèi)容，系統(tǒng)的用戶不需要參與傳遞的過程。
其中，第一方可以為用戶使用的連接于互聯(lián)網(wǎng)的具有計算機功能的終端設備， 第二方為通過互聯(lián)網(wǎng)向用戶提供資源和服務的計算機系統(tǒng)。
其中，所述兩方可以為PC終端、手機終端、服務器、服務器群組等。
其中，所述互聯(lián)網(wǎng)的連接方式包括有線方式和無線方式。
本發(fā)明采用兩個信息的閉合傳遞的方式使兩方基于已建立安全連接的生成一 個對新應用對象的連接。這個方案具體實現(xiàn)方式多樣、工作負荷小、程序簡單且容 易實現(xiàn)。而且，閉合傳遞的信息不依賴于IP地址和端口號，提供更好安全性的同時
可以更好地解決NAT穿透等問題。


圖1是實施例1的信息傳遞路徑圖； 圖2是實施例2的信息傳遞路徑具體實施方式
實施例1
圖1是賣施例1的信息傳遞路徑圖。
本實施例描述的是在互聯(lián)網(wǎng)上實現(xiàn)一個通過第三方實現(xiàn)身份認證的系統(tǒng)，其 中，第一方的程序?qū)ο驛已經(jīng)與第二方通過第三方建立了一個連接，第一方為用戶 網(wǎng)絡終端，第二方為一網(wǎng)絡資源，第三方為在互聯(lián)網(wǎng)上提供第三方身份認證服務的 認證服務系統(tǒng)，所述兩個信息為一隨機數(shù)。
實施例1包括以下步驟-
1) 用戶網(wǎng)絡終端上的程序?qū)ο驛通過認證服務系統(tǒng)的身份認證并與認證服 務系統(tǒng)建立了連接，認證服務系統(tǒng)具有與網(wǎng)絡資源的連接，因而，程序 對象A與網(wǎng)絡資源建立了間接的連接；
2) 用戶網(wǎng)絡終端上的程序?qū)ο驛通過認證服務系統(tǒng)向網(wǎng)絡資源請求服務；
3) 網(wǎng)絡資源生成一隨機數(shù)和時間標記；
4) 網(wǎng)絡資源將隨機數(shù)、網(wǎng)絡資源URL、用戶標識發(fā)送給認證服務系統(tǒng)；
5) 認證服務系統(tǒng)根據(jù)用戶標識將隨機數(shù)和網(wǎng)絡資源URL發(fā)送給用戶網(wǎng)絡 終端上的程序?qū)ο驛;
6) 用戶網(wǎng)絡終端上的程序?qū)ο驛將隨機數(shù)和網(wǎng)絡資源URL賦與程序?qū)ο?B;
7) 程序?qū)ο驜根據(jù)網(wǎng)絡資源URL將隨機數(shù)返回給網(wǎng)絡資源；
8) 網(wǎng)絡資源對比自己生成的隨機數(shù)和從用戶終端返回的隨機數(shù)，如果隨機 數(shù)相同而且未超過規(guī)定的時間有效期則與程序?qū)ο驜建立新連接；
在本實施例中，程序?qū)ο驛可以完成以下步驟程序?qū)ο驛通過已建立連接 收到來自認證服務系統(tǒng)的隨機數(shù)和網(wǎng)絡資源URL;程序?qū)ο驛在終端上運行的瀏 覽器對象中尋找與網(wǎng)絡資源URL相同的，如果沒有找到就生成一個新瀏覽器對象， 程序?qū)ο驛找到的或新生成的瀏覽器對象就是程序?qū)ο驜;程序?qū)ο驜向網(wǎng)絡資源 URL發(fā)送連接請求并將隨機數(shù)添加到的該連接請求中，如將隨機數(shù)加到連接請求 的表單中。
本實施例可以結(jié)合即時通訊工具方便地實現(xiàn)。例如，程序?qū)ο驛可以通過在即 時通訊工具的客戶端軟件上增加一個能夠自動識別閉合傳遞的信息和路徑并執(zhí)行 信息轉(zhuǎn)發(fā)的模塊來實現(xiàn)。其中，網(wǎng)絡資源和客戶端軟件都可以由即時通訊工具提供方來開發(fā)和提供，網(wǎng)絡資源和客戶下載就可以使用，非常方便可行。 實施例2
圖2是實施例2的信息傳遞路徑圖，本實施例的網(wǎng)絡結(jié)構(gòu)請見圖6。 本實施例描述的是用戶終端己經(jīng)與網(wǎng)絡資源建立了一個點對點連接后再通過 新的程序?qū)ο蠼⒁粋€新連接，可能的應用如IM即時通訊工具中點對點通訊的 兩個客戶端對文件進行發(fā)送和接收時需要建立新連接。實施例2中程序?qū)ο驛已經(jīng)
與第二方建立了一個點對點的直接連接。在本實施例中，第一方為用戶網(wǎng)絡終端，
第二方為一網(wǎng)絡資源。所述兩個信息為隨機生成的符合特定規(guī)律的一對數(shù)字，如
一個128位質(zhì)數(shù)和該質(zhì)數(shù)與另一個128位質(zhì)數(shù)的256位的乘積，第二方通過計算收 到的兩個數(shù)中256位的數(shù)是否能被128位的質(zhì)數(shù)整除來判斷信息是否來自第一方。 實施例2包括以下步驟
1) 用戶網(wǎng)絡終端的程序?qū)ο驛與網(wǎng)絡資源建立了一個信任連接；
2) 用戶網(wǎng)絡終端的程序?qū)ο驛隨機生成符合特定規(guī)律的一對數(shù)字；
3) 用戶網(wǎng)絡終端的程序?qū)ο驛通過已建立連接向網(wǎng)絡資源發(fā)送用戶標識和 一對隨機數(shù)之一來請求認證，同時用戶網(wǎng)絡終端的程序?qū)ο驛生成程序 對象B并將用戶標識和一對隨機數(shù)之另一個寫入程序?qū)ο驜根據(jù)網(wǎng)絡資 源URL向網(wǎng)絡資源發(fā)送的連接請求中；
4) 網(wǎng)絡資源對比收到的兩個隨機數(shù)，如果兩個隨機數(shù)符合特定規(guī)律而且收
到的時間差未超過規(guī)定值則用戶通過身份認證； 在本實施例中，程序?qū)ο驛可以完成以下步驟程序?qū)ο驛隨機生成符合特 定規(guī)律的一對數(shù)字；生成程序?qū)ο驜并將用戶標識和一對隨機數(shù)之另一個寫入程序
對象B根據(jù)網(wǎng)絡資源URL向網(wǎng)絡資源發(fā)送的連接請求中。
在本實施例中，步驟l)也可以移動至步驟3)和步驟4)之間來執(zhí)行。 本實施例也可以結(jié)合點對點通訊方式的即時通訊工具IM來實現(xiàn)。在用戶端軟
件中內(nèi)置對象程序A，在網(wǎng)絡資源配置相應的服務軟件，就可以實現(xiàn)本實施例。
當然，本發(fā)明還可有其他多種實施例，在不背離本發(fā)明精神及其實質(zhì)的情況下， 本領(lǐng)域技術(shù)人員當可根據(jù)本發(fā)明作出各種相應的改變和變形，但這些相應的改變和 變形都應屬于本發(fā)明所附的權(quán)利要求的保護范圍。
權(quán)利要求
1、一種互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于，兩計算機系統(tǒng)第一方和第二方分別連接于互聯(lián)網(wǎng)，其中第一方上的程序?qū)ο驛能夠通過一個已建立的連接向第二方發(fā)送信息或者從第二方接收信息，其中，當?shù)谝环缴系某绦驅(qū)ο驜要與第二方建立一個新連接時，所述兩方將兩個信息分別在程序?qū)ο驛與第二方之間和程序?qū)ο驜與第二方之間進行傳遞，其中，所述兩個信息是相同的或者是不同的并具有符合特定數(shù)學運算規(guī)律的對應關(guān)系，所述兩個信息的傳遞構(gòu)成一個在兩方之間的閉合傳遞，所述兩方上運行的程序能夠自動獲取所述兩個信息并完成所述閉合傳遞，其中，作為閉合傳遞的終點的一方能夠通過比較以上兩個傳遞的信息是否相同或是否符合對應關(guān)系來驗證收到的信息是否是由另一方發(fā)出的，如果收到的信息被驗證是由另一方發(fā)出的則程序?qū)ο驜與第二方之間傳遞信息的新連接被確認并建立。
2、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述在兩方之間的閉合傳遞是指 一方同時向另一方發(fā)送兩個信息，或者，發(fā)起方 向另 一方發(fā)送一個信息然后另 一方向發(fā)起方返回 一個信息。
3、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述兩個信息只使用一次并只用于建立一個連接，所述兩個信息無法由先前發(fā)出的 信息推知。
4、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 一方在發(fā)送信息時或者收到第一個信息時還會生成時間標記，時間標記可以保存在 生成時間標記一方的本地或者生成時間標記一方發(fā)送的信息中，作為閉合傳遞的終 點的一方收到信息的時間或者收到第二個信息的時間未超過規(guī)定有效期時新連接 才會被確認并建立。
5、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述兩個信息不是數(shù)據(jù)報頭中的IP地址和端口號。
6、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述程序?qū)ο驛的已建立的連接可以是所述兩方之間的點對點連接或者是所述兩 方通過第三方的連接，所述已建立的連接可以是雙向的連接或單向的連接。
7、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述程序?qū)ο驜的新連接的傳遞路徑或通訊端口與程序?qū)ο驛的已建立的連接不同。
8、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述的作為閉合傳遞的終點的一方是第二方。
9、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于, 所述閉合傳遞的路徑中不包括系統(tǒng)的用戶，系統(tǒng)的用戶不需要知道信息的內(nèi)容，系 統(tǒng)的用戶不需要參與傳遞的過程。
10、 根據(jù)權(quán)利要求1所述的互聯(lián)網(wǎng)上兩方之間建立新連接的方法，其特征在于， 所述兩個信息是在進行閉合傳遞時即時生成的或者是預先生成即時獲取的。
全文摘要
本發(fā)明是一種互聯(lián)網(wǎng)上兩方之間建立新連接的方法。本發(fā)明采用兩個信息的閉合傳遞的方式使兩方基于已建立安全連接的生成一個對新應用對象的連接。這個方案具體實現(xiàn)方式多樣、工作負荷小、程序簡單且容易實現(xiàn)。而且，閉合傳遞的信息不依賴于IP地址和端口號，提供更好安全性的同時可以更好地解決NAT穿透等問題。
文檔編號H04L12/58GK101257511SQ20081005739
公開日2008年9月3日 申請日期2008年2月1日 優(yōu)先權(quán)日2008年2月1日
發(fā)明者任少華 申請人:任少華