CN111538973A

CN111538973A - 基于国密算法的个人授权访问控制系统

Info

Publication number: CN111538973A
Application number: CN202010222288.2A
Authority: CN
Inventors: 莫翼; 丁建; 曾祥发
Original assignee: Chengdu Yunchao Zhilian Technology Co ltd
Current assignee: Chengdu Yunchao Zhilian Technology Co ltd
Priority date: 2020-03-26
Filing date: 2020-03-26
Publication date: 2020-08-14

Abstract

本发明提供一种基于国密算法的个人授权访问控制系统，包括如下模块：用户管理模块、授权策略管理模块、客户端管理模块、用户认证模块及权限判定模块，该基于国密算法的个人授权访问控制系统使用基于策略的访问控制（PBAC）方式对用户资源权限进行控制，比传统基于角色（RBAC）的访问控制拥有更为灵活的控制能力，实现不同颗粒度的权限控制。使用国密SM2、SM3、SM4算法，比传统国际通用算法RSA、SHA、DES拥有更低的资源消耗、更高的安全性和更高的性能。

Description

基于国密算法的个人授权访问控制系统

技术领域

本发明具体涉及一种基于国密算法的个人授权访问控制系统。

背景技术

随着IT技术的持续发展，微服务架构越来越被广泛的采用，已经成为互联网和企业级项目普遍采用的技术架构，通过划分不同业务领域的方式将一个项目中若干相对独立的子系统作为一个独立的服务提供，这使得如果要完成一些复杂的业务需要在多个微服务间频繁的调用，每次服务调用过程中都离不开鉴权，如何保证在大量用户并发访问时频繁的鉴权不会成为整个系统的瓶颈是微服务安全架构所面临的首要问题。同样，在万物互联的今天，企业间的信息互联互通需求也日益增长，如何保证安全的前提下，将企业内部的信息开放给授信的外部企业，安全架构也是首先需要解决的问题。

目前常用的解决方式包括：

①共享会话，将已认证的用户及授权信息存储在共享存储中，由需要鉴权的各个微服务从中提取数据进行权限判定。这种方法解决企业内部各服务间鉴权的问题，但是企业不可能将如此重要的共享存储开放给外部企业来使用，因此明显不支持企业间数据安全地共享需求。

②客户端令牌，客户端从身份证认证服务器请求生成令牌，身份认证服务器对令牌进行RSA算法签名，后续客户端访问其他服务时都将此令牌附加上，这种方法解决了身份认证问题，安全性较好，也能支持跨企业服务间的数据安全地共享，但是随着密码技术和计算机技术的发展，1024位RSA算法已经被证实存在被破解的风险，同时该算法对CPU、内存等要求较高，性能不高。

因此，针对以上问题提出一种基于国密算法的个人授权访问控制系统。

发明内容

本发明的目的在于针对现有技术的不足，提供一种基于国密算法的个人授权访问控制系统，该基于国密算法的个人授权访问控制系统可以很好地解决上述问题。

为达到上述要求，本发明采取的技术方案是：提供一种基于国密算法的个人授权访问控制系统，该基于国密算法的个人授权访问控制系统包括如下模块：

用户管理模块，用于管理能登录系统的用户名、密码、用户属性信息，并保证注册的用户才能登录系统；

授权策略管理模块，用于在用户登录系统后管理自己在所有服务器上的资源授权策略信息；

客户端管理模块，用于保证只有在系统中注册的客户端才能调用系统的用户登录以及权限判定服务；

用户认证模块，用于在用户通过系统授信的客户端进行登录后，生成代表该用户身份的令牌，并对该令牌进行签名，同时使用客户端的公钥对该令牌进行加密保护后返回给客户端；

权限判定模块，用于根据权限判定请求中的资源信息、资源所有者信息、已登录的资源访问者信息、访问目的、对资源所执行的操作信息，判定结果包括允许访问、不允许访问和无法判定。

该基于国密算法的个人授权访问控制系统具有的优点如下：

（1）使用基于策略的访问控制（PBAC）方式对用户资源权限进行控制，比传统基于角色（RBAC）的访问控制拥有更为灵活的控制能力，实现不同颗粒度的权限控制。

（2）使用国密SM2、SM3、SM4算法，比传统国际通用算法RSA、SHA、DES拥有更低的资源消耗、更高的安全性和更高的性能。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，在这些附图中使用相同的参考标号来表示相同或相似的部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1示意性地示出了根据本申请一个实施例的基于国密算法的个人授权访问控制系统的系统框图。

图2示意性地示出了根据本申请一个实施例的基于国密算法的个人授权访问控制系统的数据安全传输流程图。

图3示意性地示出了根据本申请一个实施例的基于国密算法的个人授权访问控制系统的用户认证流程图。

图4示意性地示出了根据本申请一个实施例的基于国密算法的个人授权访问控制系统的权限判定流程图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，以下结合附图及具体实施例，对本申请作进一步地详细说明。

在以下描述中，对“一个实施例”、“实施例”、“一个示例”、“示例”等等的引用表明如此描述的实施例或示例可以包括特定特征、结构、特性、性质、元素或限度，但并非每个实施例或示例都必然包括特定特征、结构、特性、性质、元素或限度。另外，重复使用短语“根据本申请的一个实施例”虽然有可能是指代相同实施例，但并非必然指代相同的实施例。

为简单起见，以下描述中省略了本领域技术人员公知的某些技术特征。

根据本申请的一个实施例，提供一种基于国密算法的个人授权访问控制系统，如图1所示，包括用户管理模块、客户端管理模块、授权策略管理模块、用户认证模块、权限判定模块五大部分，具体功能如下：

用户管理，管理能登录系统的用户名、密码、用户属性等信息，只有注册的用户才能登录系统。

授权策略管理，用户登录系统后，可以管理自己在所有服务器上的资源授权策略信息，授权策略包括受保护的资源、访问资源的主体、对资源进行的操作、用来提供权限判定所必须的其他环境变量信息、以及当匹配策略后是否运行访问等信息。

客户端管理，只有在系统中注册的客户端才能调用系统的用户登录以及权限判定服务。在注册客户端时，需要上传该客户端的SM2密钥对的公钥，系统使用客户端的公钥进行签名验证，识别客户端身份；同时客户端需要下载系统的SM2公钥，客户端使用该公钥识进行系统的签名验证，从而建立起客户端和系统间的高安全的双向信任管理。同时客户端与系统之间在数据交互的过程中，首先对请求消息的部分字段使用SM3摘要算法计算摘要信息，然后将该摘要信息相互使用对方的公钥进行SM2非对称加密形成对称加密密钥，最后使用国密算法SM4和对称密钥对消息体进行对称加密，避免数据在传输过程中被窃取，保证数据的传输安全。

用户认证，系统提供用户认证功能，用户可以通过系统授信的客户端进行登录，登录成功后系统将生成代表该用户身份的令牌，并对该令牌进行签名，同时使用客户端的公钥对该令牌进行加密保护后返回给客户端。拿到访问令牌的客户端在访问其他服务的资源时，需要将获取的令牌附加在请求中，由其他服务进行权限检测，对于不合法或者过期的令牌，直接拒绝访问；对于有效的令牌，则从令牌提取用户身份标识后，发起系统的权限判定请求，由系统根据资源所有者的授权策略判定是否运行用户继续访问。

权限判定，系统根据权限判定请求中的资源信息、资源所有者信息、已登录的资源访问者信息、访问目的、对资源所执行的操作等信息进行判定，判定结果包括允许访问、不允许访问和无法判定。

根据本申请的一个实施例，如图2所示，基于国密算法的个人授权访问控制系统主要的工作流程如下：

（1）客户端根据业务需求准备原始业务数据X；

（2）客户端使用国密SM3算法对原始业务数据X计算出摘要信息DX；

（3）客户端对摘要信息DX使用客户端的SM2私钥CSK进行加密，计算出签名值SX；

（4）客户端生成随机对称加密密钥EK；

（5）客户端使用服务器端的SM2公钥对加密密钥EK进行非对称加密保护，得到加密后的对称加密密钥EEK；

（6）客户端使用对称加密密钥EK对原始护具X、摘要信息DX和签名值SX进行SM4对称加密，得到加密后的数据EX；

（7）客户端将加密后的数据EX、被非对称加密保护的加密密钥EKK、保护EKK所使用的服务端SM2公钥SPK，和与客户端SM2签名私钥CSK所对应的公钥CPK提交到服务端；

（8）服务端接收客户端所提交的数据后，检测服务端公钥SPK是否为自己的SM2公钥，如果是，则使用SPK所对于的SM2私钥SSK解密EKK，得到原始加密密钥EK；

（9）服务端使用EK和SM4算法对加密数据EX进行解密，得到原始数据X、摘要信息DX和签名值SX；

（10）服务端使用客户端公钥CPK对签名值SX进行解密，得到解密后的摘要信息DX'，对DX和DX'进行比较，如果不相同，则说明签名值SX不是该客户端所签名，在传输过程中签名信息可能被篡改，消息不可信，不能再继续处理，异常结束处理；

（11）如果DX和DX'相同，则继续处理，对原始数据X使用SM3算法计算其摘要信息DX''，再将DX''与DX'进行比较，如果DX''与DX'不相同，则说明原始消息X在传输过程中可能被修改，消息不可信，不能再继续处理，异常结束处理；

（12）如果DX''与DX'相同，则按照业务需要对业务数据进行处理。

此流程中客户端和服务端代表交互的双方，图一中的任何一端都可以是服务端也可以是客户端。另外，服务端返回给客户端的数据安全传输与此流程一致，这里不在赘述，也是本专利需要保护的内容。

根据本申请的一个实施例，如图3所示，该基于国密算法的个人授权访问控制系统用户认证流程如下：

（1）客户端获取用户录入信息准备申请客户端令牌的用户数据；

（2）客户端将准备的用户数据按照传输流程进行处理后提交到基于国密算法的用户授权访问控制系统；

（3）基于国密算法的用户授权访问控制系统接收客户端所提交的加密数据，按照数据按照传输流程进行处理，得到原始数据；

（4）基于国密算法的用户授权访问控制系统开始验证用户帐号信息，对于不通过的情况，例如不存在的用户名、用户密码错误等情况直接终止该流程，不返回客户端令牌给客户端；

（5）对于验证通过的情况，系统颁发客户端令牌，并对令牌按照传输流程进行处理后返回给客户端；

（6）客户端数据安全传输流程接收加密后的数据并进行处理，得到加密后的客户端令牌，该令牌已被基于国密算法的用户授权访问控制系统签名。

（7）客户端对原始令牌进行保存，在令牌失效前，可使用该令牌访问其他服务，避免重复调用系统获取令牌，令牌失效后，可调用系统按照此流程重新生成新令牌。

根据本申请的一个实施例，如图4所示，该基于国密算法的个人授权访问控制系统权限判定流程如下：

（1）客户端首先检查用户是否有客户端令牌或者客户端令牌是否过期，对于没有客户端令牌或者已过期的情况，客户端向基于国密算法的用户授权访问控制系统申请客户端令牌，并保存在客户端，此过程参考用户认证流程，在此不再赘述；

（2）客户端准备调用服务A的原始业务数据，并将原始业务数据和客户端令牌组合形成原始请求数据；

（3）客户端按照数据安全传输的流程对原始请求数据进行处理后提交给服务A；

（4）服务A按照数据安全传输的流程接收客户端所发送的加密数据，并对其进行处理，经常处理后得到原始业务数据和客户端令牌；

（5）服务A使用原始业务数据和客户端令牌生成权限判定请求后提交到基于国密算法的用户授权访问控制系统；

（6）基于国密算法的用户授权访问控制系统收到请求后，加载与之相关的所有授权策略，执行权限判定并返回权限判定结果；

（7）服务A接收权限判定结果，进行对于判定结果为无法访问和无法判定的情况，服务A直接拒绝客户端的访问，流程结束；

（8）对于判定结果是可以访问的情况，服务A按照业务逻辑执行相关操作后结束流程操作；

（9）该流程中服务A仅代表某个业务服务，对于客户端访问其他业务服务的情况也与此一致。

以上所述实施例仅表示本发明的几种实施方式，其描述较为具体和详细，但并不能理解为对本发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明保护范围。因此本发明的保护范围应该以所述权利要求为准。

Claims

1.一种基于国密算法的个人授权访问控制系统，其特征在于，包括如下模块：

2.根据权利要求1所述的基于国密算法的个人授权访问控制系统，其特征在于：所述授权策略信息包括受保护的资源、访问资源的主体、对资源进行的操作、用来提供权限判定所必须的其他环境变量信息以及当匹配策略后是否运行访问的信息。

3.根据权利要求1所述的基于国密算法的个人授权访问控制系统，其特征在于：在注册客户端时，需要上传该客户端的SM2密钥对的公钥，系统使用客户端的公钥进行签名验证，识别客户端身份；

同时客户端需要下载系统的SM2公钥，客户端使用该公钥识进行系统的签名验证，从而建立起客户端和系统间的高安全的双向信任管理。

4.根据权利要求1所述的基于国密算法的个人授权访问控制系统，其特征在于：所述客户端与系统之间在数据交互的过程中，首先对请求消息的部分字段使用SM3摘要算法计算摘要信息，然后将该摘要信息相互使用对方的公钥进行SM2非对称加密形成对称加密密钥，最后使用国密算法SM4和对称密钥对消息体进行对称加密，避免数据在传输过程中被窃取，保证数据的传输安全。

5.根据权利要求1所述的基于国密算法的个人授权访问控制系统，其特征在于：拿到访问令牌的所述客户端在访问其他服务的资源时，需要将获取的令牌附加在请求中，由其他服务进行权限检测；

对于不合法或者过期的令牌，拒绝访问；

对于有效的令牌，则从令牌提取用户身份标识后，发起系统的权限判定请求，由系统根据资源所有者的授权策略判定是否运行用户继续访问。