安全超文本传输方法
安全超文本传输方法
【技术领域】
[0001] 本发明设及计算机技术领域，尤其设及一种安全超文本传输方法。
【背景技术】
[000引当前的互联网体系中，肥B流量已经占据了一个相当高的位置。在肥B中通常使 用两种传输协议进行信息交换；超文本传输协议（HyperTextTransferProtocol,HTTP) 和W安全为目的的超文本传输协议（Hyper"TextTransferProtocoloverSe州reSocket Layer,HTTP巧。其中HTTPS协议提供了S种有效的安全策略；服务器端的实体身份鉴别，数 据的完整性鉴别和数据的机密性鉴别。但是随之而来的是HTTPS往往会有占用更多的系统 资源，响应速度较慢等问题。而HTTP协议虽然具有资源消耗较小，响应更快的优点，但HTTP 协议不提供任何的安全保障策略。
[0003] 现有技术中，HTTPS协议提供的S种安全策略并不能适用于所有应用数据的传 输，部分网络应用可能只需要其中一种或两种安全策略，因此，对于所有的网络应用使用 HTTPS协议，网络资源的浪费量较高，且影响数据的传输速度和网络响应速度。例如，相同 的welcome页面，该些页面的数据相同，只需要对页面数据的完整性进行鉴别，而不需要 对welcome页面的数据进行数字证书验证或加密传输，但采用HTTPS协议传输welcome页 面，HTTPS协议不仅会对welcome页面数据的完整性进行鉴别，而且会对welcome页面的 数据进行数字证书验证和加密传输。而对welcome页面的数据进行数字证书验证会牵设 到数字证书的验证路径和公钥密码学的计算，且浏览器会向在线证书状态协议（online certificatestatusprotocol，OSCP)或者受CA委托发布证书撤销列表（CI?LIssuer)查 询证书状态，从而增加了welcome页面的传输时间，造成了网络资源的浪费，降低了网络响 应速度和数据传输速度。
【发明内容】
[0004] 本发明提供一种安全超文本传输方法，用于解决现有技术中所采用的HTTPS协议 浪费的网络资源较高，数据传输速度和网络响应速度差的问题。
[0005] 本发明提供一种安全超文本传输方法，包括：
[0006] 按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为 =个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段；
[0007] 为所述会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过所 述API接口接收用户终端所选择的安全策略的标识；
[000引根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对 应的会话连接阶段对应用数据进行处理并传输。
[0009] 进一步地，所述的方法还包括；针对所述会话连接的各个阶段分别设置对应的通 信管道；
[0010] 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对 应的会话连接阶段对应用数据进行处理并传输，包括：
[0011] 根据所述用户终端所选择的安全策略的标识，将所述标识对应的安全策略分别设 置在对应的会话连接阶段的通信管道内，W便各个会话连接阶段的数据通过对应的通信管 道时，根据所述通信管道内的安全策略对所述数据进行处理并传输。
[0012] 进一步地，根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述 安全策略对应的会话连接阶段对应用数据进行处理并传输之前，还包括：
[0013] 通过所述API接口将对应的安全策略的标识提供给用户终端，W便用户终端为待 传输的应用数据选择需要使用的安全策略的标识。
[0014] 进一步地，所述可用的安全策略包括：
[0015] 服务器端的实体身份鉴别SA、数据的完整性鉴别MI、数据的机密性鉴别MC和客户 端的实体身份鉴别CA。
[0016] 进一步地，服务器端的实体身份鉴别SA设置在所述会话连接的建立阶段或所述 会话连接的结束阶段；
[0017] 数据的完整性鉴别MI和数据的机密性鉴别MC设置在所述会话连接的持续阶段； [001引客户端的实体身份鉴别CA设置在所述会话连接的建立阶段或所述会话连接的结 束阶段。
[0019] 进一步地，所述数据的机密性鉴别MC所采用的对称密钥为在所述会话连接的建 立阶段随机生成的对称密钥。
[0020] 进一步地，服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA的身份验证 方法采用公钥基础设施PKI系统的数字证书进行。
[0021] 进一步地，信息的完整性鉴别MI采用MD5算法或者HA甜算法对应用数据进行计 算，根据计算得到的值对应用数据进行加密传输。
[0022] 进一步地，信息的机密性鉴别MC采用对称密钥对应用数据进行加密后使用安全 套接层S化进行安全传输。
[0023] 本发明中，按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连 接划分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过API接口接收用 户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策 略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传 输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网 络响应速度。
【附图说明】
[0024] 图1为本发明提供的安全超文本传输方法实施例的流程图；
[0025] 图2为本发明提供的安全超文本传输方法实施例的框架示意图；
[0026] 图3为本发明提供的安全超文本传输方法实施例中信息的完整性MI的安全策略 的使用示意图；
[0027] 图4为本发明提供的安全超文本传输方法实施例中四种安全策略的功能实现示 意图。
【具体实施方式】
[002引为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例 中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是 本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员 在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0029] 图1为本发明提供的安全超文本传输方法实施例的流程图，如图1所示，包括：
[0030] 101、按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划 分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段。
[0031] 本发明中提供的安全超文本传输方法具体可自适应的安全超文本传输协议 (AdaptiveframeworkofHTTPS,AHTTP巧的形式实现。
[0032] 其中，网络具体可W分为；物理层、数据链路层、网络层、传输层、会话层、表示层和 应用层。会话连接的建立阶段指的是终端或客户端向服务器发送请求建立连接的过程。会 话连接的持续阶段指的是终端或客户端与服务器进行数据通信的过程。会话连接的 结束阶 段指的是终端或客户端与服务器断开连接的过程。
[0033] 本实施例中，使用模块化的设计思想进行设计，按照模块化的设计思想将会话区 分成=个阶段进行；会话的建立阶段，会话持续阶段，会话结束阶段，使得安全超文本传输 协议可W针对会话的不同阶段设置不同的安全策略，从而能够为会话的各个阶段提供安全 性保证。
[0034] 102、为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过 API接口接收用户终端所选择的安全策略的标识。
[0035] 可用的安全策略包括：服务器端的实体身份鉴别SA(ServerAuthentication)、 客户端的实体身份鉴别CA(ClientAuthentication)、数据的完整性鉴别MI(Message Integrity)和数据的机密性鉴别MC(MessageConfidentially)。上述安全策略的设置，能 够避免应用数据传输中的各种问题，例如客户端的实体身份鉴别可W避免应用数据传输过 程中的冒充客户端进行破坏的问题；服务器端的实体身份鉴别可W避免应用数据传输过程 中的冒充服务器进行破坏的问题；数据的完整性鉴别和数据的机密性鉴别可W避免应用数 据传输过程中的截取机密信息或者对传输的数据进行更改替换的问题。
[0036] 其中，服务器端的实体身份鉴别SA可W设置在会话连接的建立阶段或会话连接 的结束阶段，客户端的实体身份鉴别CA可W设置在会话连接的建立阶段或会话连接的结 束阶段，对于服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA可W使用公钥基础 设置（PublicK巧In化astruc化re,PKI)系统的数字证书进行验证。在PKI中，用户可W 根据自己的公钥生成自己的数字签名，根据数字签名形成数字证书，其算法为公钥加密RSA 算法。利用RSA算法，对需要在网络上传输的关键数据进行签名和验签，达到我们对数据保 护的要求。如图2所示，为本发明提供的安全超文本传输方法实施例的框架示意图。服务 器端可W将四种安全策略分别设置在对应的会话阶段，W便为通过不安全信道传输的会话 各个阶段的数据提供安全性保证。
[0037] 需要进行说明的是，可用的安全策略包括但不限于上述四种安全策略。可用的安 全策略还可W包括其他可W作为安全策略适用到协议中的安全策略，此处不做限定，可W 根据实际需要进行添加。
[003引其中，数据的完整性鉴别MI可W设置在会话连接的持续阶段，对于数据的完整性 鉴别MI的安全策略，服务器端可W采用资源消耗较小的MD5算法或者HA甜哈希算法进行 计算，并将计算得到的值进行加密传输，在客户端只需要通过再次计算MD5值或者HASH值， 与加密的值进行对比就可W判断信息是否在传输过程中更改。如图3所示，为数据的完整 性MI的安全策略的使用示意图。
[0039] 其中，数据的机密性鉴别MC可W设置在会话连接的持续阶段，对于数据的机密 性鉴别MC的安全策略，服务器端可W对应用数据进行加密后使用安全套接层（Secure SocketsLayer,SSL)进行安全传输，保证数据的高度机密性。不同于传统的HTTPS实现过 程，在该里SSL的使用不仅仅只针对过程中的数据机密性做出承诺，还负责验证通信对方 的实体身份鉴别。对于加密所使用的对称密钥，为了避免SSL传输的延迟和计算时间，可W 在会话连接的建立阶段，随机生成一组密钥对信息进行加密，并且加密方式可W选择。注意 至IJ，在该个情况下即便没有对通信双方进行实体身份鉴别，同样可W-定程度能够抵御欺 骗攻击，因为密钥只在建立一开始进行分配，过程中新加入的第=方无法获得密钥从而无 法对通信进行破密。如表1所示，为采用四种安全策略的情况下，安全策略所能防御的攻 山〇
[0040]表1
[0041]
[004引 应用程序编程接口（ApplicationProgrammingInte;rface，API)是一些预先定义 的函数，目的是提供应用程序与开发人员基于某软件或硬件得W访问一组例程的能力，而 又无需访问源码，或理解内部工作机制的细节。API接口的设计，使得开发人员不需要去关 屯、底层具体怎么实现某项功能从而将编程变得模块化，更加的方便使用和改善。对于客户 端来讲，接收到的是方便与浏览器显示的语言，在一定程度上可W保护源代码不会轻易的 泄露。
[0043] API接口使得开发人员使用相对应的关键字进行程序编写，从而可W很方便的使 用其相对应的安全策略。其中对于服务器端的和客户端的实体身份鉴别的功能在经过解析 过后变成了一系列的命令，从而提交给底层的应用程序执行。相对应的，有关HTML的代码 格式的超文本则被解析成了带有标签的文本，传递给底层程序执行。从而完成安全策略解 析的过程。编程人员不需要了解解析的过程具体怎样实现，大幅度减小了编程人员的负担。 如图4所示，为本发明提供的安全超文本传输方法实施例中四种安全策略的功能实现示意 图。其中，自适应的安全超文本传输协议AHTTPS使用类似于HTML超文本标记的格式进行 相关程序的编程，使用相对应的关键字进行编写，可W很方便的使用其相对应的安全策略。 其中对于服务器端的和客户端的实体身份鉴别的功能在经过AHTTPS解析过后变成了一系 列的命令，从而提交给底层的应用程序执行。相对应的，有关超文本标记语言（HyperText MarkupLanguage,HTML)的代码格式的超文本则被解析成了带有标签的文本，传递给底层 程序执行，从而完成四个安全策略解析的过程。其中，解析的过程全部由AHTTPS协议进行， 编程人员不需要了解其具体怎样实现，大幅度按减小了编程人员的负担。
[0044] AHTWS提供封装，编程人员或用户无需关屯、内部实现细节，通过控制SA、CA、MI、 MC四个选项，实现网络应用，并达到合适的安全性要求。如采用类似HTML语言的编程方式， WHTML属性值表示SA、CA、MI、MC选项，并将页面源代码"包裹"起来。该个框架提供的该 四个可自由选择组合的安全策略选项，能帮助编程人员平衡安全性和复杂性。
[0045] 本实施例中，安全超文本传输协议支持四种可选的安全策略，四种安全策略所对 应的会话阶段是不同的阶段。如果四种安全策略都选择了，那么服务器端的实体身份鉴别 和客户端的实体身份鉴别将在会话的建立阶段和会话的结束阶段进行；而信息完整性鉴别 和信息的机密性鉴别将在会话的持续阶段中进行。如果四种安全策略都不启用，那么整个 协议会退化到普通的HTTP协议上，从而在最大程度上保持可拓展性。
[0046] 103、根据用户终端所选择的安全策略的标识对应的安全策略，在安全策略对应的 会话连接阶段对应用数据进行处理并传输。
[0047] 进一步地，步骤103之前，还可W包括；通过API接口将对应的安全策略的标识提 供给用户终端，W便用户终端为待传输的应用数据选择需要使用的安全策略的标识。
[0048] 另外，需要进行说明的是，所述的方法还包括；针对会话连接的各个阶段分别设置 对应的通信管道。对应的，步骤103具体可W包括；根据用户终端所选择的安全策略的标 识，将标识对应的安全策略分别设置在对应的会话连接阶段的通信管道内，W便各个会话 连接阶段的数据通过对应的通信管道时，根据通信管道内的 安全策略对数据进行处理并传 输。也就是说，将应用数据通过安全策略对应的管道进行处理并传输，从而实现应用数据的 加密等操作，实现应用数据的传输安全性。其中，标识对应的安全策略可W设置在对应的通 信管道的入口位置或出口位置，或者标识对应的安全策略可W分别设置在对应的通信管道 的入口位置和出口位置。
[0049] AHTTPS协议框架可W支持四种可选的安全策略，四种安全策略所对应的会话连接 阶段是不同的阶段。如果四种安全策略都选择了，那么服务器端的实体身份鉴别和客户端 的实体身份鉴别将在会话连接的建立阶段和会话连接的结束阶段进行；而数据完整性的鉴 别和信息的机密性鉴别将在会话连接的持续阶段进行。如果四种安全策略都不启用，那么 整个协议会退化到普通的HTTP协议上，从而在最大程度上保持可拓展性。
[0050]AHTTPS协议框架使用四个可选的安全策略选项--SA，CA，MC，MI，不同的组合可 W使得其具有极大的灵活性，可W适应多种网络应用环境。编程人员和用户在使用AHTTPS 协议框架进行编程时，不再束缚于传统HTTPS和HTTP协议功能的限制，可W根据自己的产 品的需求"定制"AHTTPS。用户可W根据自己实际的需求选择合适自己的安全策略选项，也 可W根据自己的实际需求取消已选择的安全策略选项，从而保证了资源占用速度响应和数 据安全的反对称性质，即更少的信息安全的保证一定会减小资源的占用和提高信息的响应 速度。例如，如表2所示，AHTTPS协议的四种安全策略都是可选的。
[0化1] 表2 [0化2]
[0053] 其中，SA:服务器端的实体身份鉴别；CA:客户端的实体身份鉴别;MI:数据的完整 性鉴别；MC:数据的机密性鉴别；Y:代表协议支持此安全策略；N:代表协议不支持此安全 策略；*:代表协议对此安全协议可选。
[0054] AHTTPS协议框架可W在持底层各种协议不变的情况的同时，增加应用的丰富性， 从而一定程度上满足更多用户实际的要求。并且对于机密敏感数据加密传输相比对于一般 情况，即对于普通数据不使用加密传输的情况，虽然在建立连接的时候会付出比传统HTTPS 协议更多的成本，但是在信息量传输满足一定条件时，比传统的HTTPS更快。
[0055] 本实施例中，按照预设的划分策略将网络应用层的待传输的应用数据对应的会话 连接划分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过API接口接收用 户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策 略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传 输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网 络响应速度。
[0化6] 本领域普通技术人员可W理解；实现上述各方法实施例的全部或部分步骤可W通 过程序指令相关的硬件来完成。前述的程序可W存储于一计算机可读取存储介质中。该程 序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括；ROM、RAM、磁碟 或者光盘等各种可W存储程序代码的介质。
[0057]最后应说明的是；W上各实施例仅用W说明本发明的技术方案，而非对其限制； 尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其 依然可W对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征 进行等同替换；而该些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技 术方案的范围。
【主权项】
1. 一种安全超文本传输方法，其特征在于，包括： 按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为三个 阶段：会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为所述会话连接的各个阶段的可用的安全策略设置对应的API接口，以便通过所述API接口接收用户终端所选择的安全策略的标识； 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对应的 会话连接阶段对应用数据进行处理并传输。2. 根据权利要求1所述的方法，其特征在于，还包括： 针对所述会话连接的各个阶段分别设置对应的通信管道； 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对应的 会话连接阶段对应用数据进行处理并传输，包括： 根据所述用户终端所选择的安全策略的标识，将所述标识对应的安全策略分别设置 在对应的会话连接阶段的通信管道内，以便各个会话连接阶段的数据通过对应的通信管道 时，根据所述通信管道内的安全策略对所述数据进行处理并传输。3. 根据权利要求1所述的方法，其特征在于，根据所述用户终端所选择的安全策略的 标识对应的安全策略，在所述安全策略对应的会话连接阶段对应用数据进行处理并传输之 前，还包括： 通过所述API接口将对应的安全策略的标识提供给用户终端，以便用户终端为待传输 的应用数据选择需要使用的安全策略的标识。4. 根据权利要求1所述的方法，其特征在于，所述可用的安全策略包括： 服务器端的实体身份鉴别SA、数据的完整性鉴别MI、数据的机密性鉴别MC和客户端的 实体身份鉴别CA。5. 根据权利要求4所述的方法，其特征在于， 服务器端的实体身份鉴别SA设置在所述会话连接的建立阶段或所述会话连接的结束 阶段； 数据的完整性鉴别MI和数据的机密性鉴别MC设置在所述会话连接的持续阶段； 客户端的实体身份鉴别CA设置在所述会话连接的建立阶段或所述会话连接的结束阶 段。6. 根据权利要求4所述的方法，其特征在于，所述数据的机密性鉴别MC所采用的对称 密钥为在所述会话连接的建立阶段随机生成的对称密钥。7. 根据权利要求4所述的方法，其特征在于， 服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA的身份验证方法采用公钥基 础设施PKI系统的数字证书进行。8. 根据权利要求4所述的方法，其特征在于， 信息的完整性鉴别MI采用MD5算法或者HASH算法对应用数据进行计算，根据计算得 到的值对应用数据进行加密传输。9. 根据权利要求4所述的方法，其特征在于， 信息的机密性鉴别MC采用对称密钥对应用数据进行加密后使用安全套接层SSL进行 安全传输。
【专利摘要】本发明提供一种安全超文本传输方法，该方法包括：按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为三个阶段：会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段；为会话连接的各个阶段的可用的安全策略设置对应的API接口，以便通过API接口接收用户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网络响应速度。
【IPC分类】H04L29/08, H04L29/06
【公开号】CN104901974
【申请号】CN201510365000
【发明人】刘慧 , 项川, 魏炜
【申请人】中国科学院大学
【公开日】2015年9月9日
【申请日】2015年6月26日
【技术领域】
[0001] 本发明设及计算机技术领域，尤其设及一种安全超文本传输方法。
【背景技术】
[000引当前的互联网体系中，肥B流量已经占据了一个相当高的位置。在肥B中通常使 用两种传输协议进行信息交换；超文本传输协议（HyperTextTransferProtocol,HTTP) 和W安全为目的的超文本传输协议（Hyper"TextTransferProtocoloverSe州reSocket Layer,HTTP巧。其中HTTPS协议提供了S种有效的安全策略；服务器端的实体身份鉴别，数 据的完整性鉴别和数据的机密性鉴别。但是随之而来的是HTTPS往往会有占用更多的系统 资源，响应速度较慢等问题。而HTTP协议虽然具有资源消耗较小，响应更快的优点，但HTTP 协议不提供任何的安全保障策略。
[0003] 现有技术中，HTTPS协议提供的S种安全策略并不能适用于所有应用数据的传 输，部分网络应用可能只需要其中一种或两种安全策略，因此，对于所有的网络应用使用 HTTPS协议，网络资源的浪费量较高，且影响数据的传输速度和网络响应速度。例如，相同 的welcome页面，该些页面的数据相同，只需要对页面数据的完整性进行鉴别，而不需要 对welcome页面的数据进行数字证书验证或加密传输，但采用HTTPS协议传输welcome页 面，HTTPS协议不仅会对welcome页面数据的完整性进行鉴别，而且会对welcome页面的 数据进行数字证书验证和加密传输。而对welcome页面的数据进行数字证书验证会牵设 到数字证书的验证路径和公钥密码学的计算，且浏览器会向在线证书状态协议（online certificatestatusprotocol，OSCP)或者受CA委托发布证书撤销列表（CI?LIssuer)查 询证书状态，从而增加了welcome页面的传输时间，造成了网络资源的浪费，降低了网络响 应速度和数据传输速度。
【发明内容】
[0004] 本发明提供一种安全超文本传输方法，用于解决现有技术中所采用的HTTPS协议 浪费的网络资源较高，数据传输速度和网络响应速度差的问题。
[0005] 本发明提供一种安全超文本传输方法，包括：
[0006] 按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为 =个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段；
[0007] 为所述会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过所 述API接口接收用户终端所选择的安全策略的标识；
[000引根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对 应的会话连接阶段对应用数据进行处理并传输。
[0009] 进一步地，所述的方法还包括；针对所述会话连接的各个阶段分别设置对应的通 信管道；
[0010] 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对 应的会话连接阶段对应用数据进行处理并传输，包括：
[0011] 根据所述用户终端所选择的安全策略的标识，将所述标识对应的安全策略分别设 置在对应的会话连接阶段的通信管道内，W便各个会话连接阶段的数据通过对应的通信管 道时，根据所述通信管道内的安全策略对所述数据进行处理并传输。
[0012] 进一步地，根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述 安全策略对应的会话连接阶段对应用数据进行处理并传输之前，还包括：
[0013] 通过所述API接口将对应的安全策略的标识提供给用户终端，W便用户终端为待 传输的应用数据选择需要使用的安全策略的标识。
[0014] 进一步地，所述可用的安全策略包括：
[0015] 服务器端的实体身份鉴别SA、数据的完整性鉴别MI、数据的机密性鉴别MC和客户 端的实体身份鉴别CA。
[0016] 进一步地，服务器端的实体身份鉴别SA设置在所述会话连接的建立阶段或所述 会话连接的结束阶段；
[0017] 数据的完整性鉴别MI和数据的机密性鉴别MC设置在所述会话连接的持续阶段； [001引客户端的实体身份鉴别CA设置在所述会话连接的建立阶段或所述会话连接的结 束阶段。
[0019] 进一步地，所述数据的机密性鉴别MC所采用的对称密钥为在所述会话连接的建 立阶段随机生成的对称密钥。
[0020] 进一步地，服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA的身份验证 方法采用公钥基础设施PKI系统的数字证书进行。
[0021] 进一步地，信息的完整性鉴别MI采用MD5算法或者HA甜算法对应用数据进行计 算，根据计算得到的值对应用数据进行加密传输。
[0022] 进一步地，信息的机密性鉴别MC采用对称密钥对应用数据进行加密后使用安全 套接层S化进行安全传输。
[0023] 本发明中，按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连 接划分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过API接口接收用 户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策 略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传 输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网 络响应速度。
【附图说明】
[0024] 图1为本发明提供的安全超文本传输方法实施例的流程图；
[0025] 图2为本发明提供的安全超文本传输方法实施例的框架示意图；
[0026] 图3为本发明提供的安全超文本传输方法实施例中信息的完整性MI的安全策略 的使用示意图；
[0027] 图4为本发明提供的安全超文本传输方法实施例中四种安全策略的功能实现示 意图。
【具体实施方式】
[002引为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例 中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是 本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员 在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
[0029] 图1为本发明提供的安全超文本传输方法实施例的流程图，如图1所示，包括：
[0030] 101、按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划 分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段。
[0031] 本发明中提供的安全超文本传输方法具体可自适应的安全超文本传输协议 (AdaptiveframeworkofHTTPS,AHTTP巧的形式实现。
[0032] 其中，网络具体可W分为；物理层、数据链路层、网络层、传输层、会话层、表示层和 应用层。会话连接的建立阶段指的是终端或客户端向服务器发送请求建立连接的过程。会 话连接的持续阶段指的是终端或客户端与服务器进行数据通信的过程。会话连接的 结束阶 段指的是终端或客户端与服务器断开连接的过程。
[0033] 本实施例中，使用模块化的设计思想进行设计，按照模块化的设计思想将会话区 分成=个阶段进行；会话的建立阶段，会话持续阶段，会话结束阶段，使得安全超文本传输 协议可W针对会话的不同阶段设置不同的安全策略，从而能够为会话的各个阶段提供安全 性保证。
[0034] 102、为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过 API接口接收用户终端所选择的安全策略的标识。
[0035] 可用的安全策略包括：服务器端的实体身份鉴别SA(ServerAuthentication)、 客户端的实体身份鉴别CA(ClientAuthentication)、数据的完整性鉴别MI(Message Integrity)和数据的机密性鉴别MC(MessageConfidentially)。上述安全策略的设置，能 够避免应用数据传输中的各种问题，例如客户端的实体身份鉴别可W避免应用数据传输过 程中的冒充客户端进行破坏的问题；服务器端的实体身份鉴别可W避免应用数据传输过程 中的冒充服务器进行破坏的问题；数据的完整性鉴别和数据的机密性鉴别可W避免应用数 据传输过程中的截取机密信息或者对传输的数据进行更改替换的问题。
[0036] 其中，服务器端的实体身份鉴别SA可W设置在会话连接的建立阶段或会话连接 的结束阶段，客户端的实体身份鉴别CA可W设置在会话连接的建立阶段或会话连接的结 束阶段，对于服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA可W使用公钥基础 设置（PublicK巧In化astruc化re,PKI)系统的数字证书进行验证。在PKI中，用户可W 根据自己的公钥生成自己的数字签名，根据数字签名形成数字证书，其算法为公钥加密RSA 算法。利用RSA算法，对需要在网络上传输的关键数据进行签名和验签，达到我们对数据保 护的要求。如图2所示，为本发明提供的安全超文本传输方法实施例的框架示意图。服务 器端可W将四种安全策略分别设置在对应的会话阶段，W便为通过不安全信道传输的会话 各个阶段的数据提供安全性保证。
[0037] 需要进行说明的是，可用的安全策略包括但不限于上述四种安全策略。可用的安 全策略还可W包括其他可W作为安全策略适用到协议中的安全策略，此处不做限定，可W 根据实际需要进行添加。
[003引其中，数据的完整性鉴别MI可W设置在会话连接的持续阶段，对于数据的完整性 鉴别MI的安全策略，服务器端可W采用资源消耗较小的MD5算法或者HA甜哈希算法进行 计算，并将计算得到的值进行加密传输，在客户端只需要通过再次计算MD5值或者HASH值， 与加密的值进行对比就可W判断信息是否在传输过程中更改。如图3所示，为数据的完整 性MI的安全策略的使用示意图。
[0039] 其中，数据的机密性鉴别MC可W设置在会话连接的持续阶段，对于数据的机密 性鉴别MC的安全策略，服务器端可W对应用数据进行加密后使用安全套接层（Secure SocketsLayer,SSL)进行安全传输，保证数据的高度机密性。不同于传统的HTTPS实现过 程，在该里SSL的使用不仅仅只针对过程中的数据机密性做出承诺，还负责验证通信对方 的实体身份鉴别。对于加密所使用的对称密钥，为了避免SSL传输的延迟和计算时间，可W 在会话连接的建立阶段，随机生成一组密钥对信息进行加密，并且加密方式可W选择。注意 至IJ，在该个情况下即便没有对通信双方进行实体身份鉴别，同样可W-定程度能够抵御欺 骗攻击，因为密钥只在建立一开始进行分配，过程中新加入的第=方无法获得密钥从而无 法对通信进行破密。如表1所示，为采用四种安全策略的情况下，安全策略所能防御的攻 山〇
[0040]表1
[0041]
[004引 应用程序编程接口（ApplicationProgrammingInte;rface，API)是一些预先定义 的函数，目的是提供应用程序与开发人员基于某软件或硬件得W访问一组例程的能力，而 又无需访问源码，或理解内部工作机制的细节。API接口的设计，使得开发人员不需要去关 屯、底层具体怎么实现某项功能从而将编程变得模块化，更加的方便使用和改善。对于客户 端来讲，接收到的是方便与浏览器显示的语言，在一定程度上可W保护源代码不会轻易的 泄露。
[0043] API接口使得开发人员使用相对应的关键字进行程序编写，从而可W很方便的使 用其相对应的安全策略。其中对于服务器端的和客户端的实体身份鉴别的功能在经过解析 过后变成了一系列的命令，从而提交给底层的应用程序执行。相对应的，有关HTML的代码 格式的超文本则被解析成了带有标签的文本，传递给底层程序执行。从而完成安全策略解 析的过程。编程人员不需要了解解析的过程具体怎样实现，大幅度减小了编程人员的负担。 如图4所示，为本发明提供的安全超文本传输方法实施例中四种安全策略的功能实现示意 图。其中，自适应的安全超文本传输协议AHTTPS使用类似于HTML超文本标记的格式进行 相关程序的编程，使用相对应的关键字进行编写，可W很方便的使用其相对应的安全策略。 其中对于服务器端的和客户端的实体身份鉴别的功能在经过AHTTPS解析过后变成了一系 列的命令，从而提交给底层的应用程序执行。相对应的，有关超文本标记语言（HyperText MarkupLanguage,HTML)的代码格式的超文本则被解析成了带有标签的文本，传递给底层 程序执行，从而完成四个安全策略解析的过程。其中，解析的过程全部由AHTTPS协议进行， 编程人员不需要了解其具体怎样实现，大幅度按减小了编程人员的负担。
[0044] AHTWS提供封装，编程人员或用户无需关屯、内部实现细节，通过控制SA、CA、MI、 MC四个选项，实现网络应用，并达到合适的安全性要求。如采用类似HTML语言的编程方式， WHTML属性值表示SA、CA、MI、MC选项，并将页面源代码"包裹"起来。该个框架提供的该 四个可自由选择组合的安全策略选项，能帮助编程人员平衡安全性和复杂性。
[0045] 本实施例中，安全超文本传输协议支持四种可选的安全策略，四种安全策略所对 应的会话阶段是不同的阶段。如果四种安全策略都选择了，那么服务器端的实体身份鉴别 和客户端的实体身份鉴别将在会话的建立阶段和会话的结束阶段进行；而信息完整性鉴别 和信息的机密性鉴别将在会话的持续阶段中进行。如果四种安全策略都不启用，那么整个 协议会退化到普通的HTTP协议上，从而在最大程度上保持可拓展性。
[0046] 103、根据用户终端所选择的安全策略的标识对应的安全策略，在安全策略对应的 会话连接阶段对应用数据进行处理并传输。
[0047] 进一步地，步骤103之前，还可W包括；通过API接口将对应的安全策略的标识提 供给用户终端，W便用户终端为待传输的应用数据选择需要使用的安全策略的标识。
[0048] 另外，需要进行说明的是，所述的方法还包括；针对会话连接的各个阶段分别设置 对应的通信管道。对应的，步骤103具体可W包括；根据用户终端所选择的安全策略的标 识，将标识对应的安全策略分别设置在对应的会话连接阶段的通信管道内，W便各个会话 连接阶段的数据通过对应的通信管道时，根据通信管道内的 安全策略对数据进行处理并传 输。也就是说，将应用数据通过安全策略对应的管道进行处理并传输，从而实现应用数据的 加密等操作，实现应用数据的传输安全性。其中，标识对应的安全策略可W设置在对应的通 信管道的入口位置或出口位置，或者标识对应的安全策略可W分别设置在对应的通信管道 的入口位置和出口位置。
[0049] AHTTPS协议框架可W支持四种可选的安全策略，四种安全策略所对应的会话连接 阶段是不同的阶段。如果四种安全策略都选择了，那么服务器端的实体身份鉴别和客户端 的实体身份鉴别将在会话连接的建立阶段和会话连接的结束阶段进行；而数据完整性的鉴 别和信息的机密性鉴别将在会话连接的持续阶段进行。如果四种安全策略都不启用，那么 整个协议会退化到普通的HTTP协议上，从而在最大程度上保持可拓展性。
[0050]AHTTPS协议框架使用四个可选的安全策略选项--SA，CA，MC，MI，不同的组合可 W使得其具有极大的灵活性，可W适应多种网络应用环境。编程人员和用户在使用AHTTPS 协议框架进行编程时，不再束缚于传统HTTPS和HTTP协议功能的限制，可W根据自己的产 品的需求"定制"AHTTPS。用户可W根据自己实际的需求选择合适自己的安全策略选项，也 可W根据自己的实际需求取消已选择的安全策略选项，从而保证了资源占用速度响应和数 据安全的反对称性质，即更少的信息安全的保证一定会减小资源的占用和提高信息的响应 速度。例如，如表2所示，AHTTPS协议的四种安全策略都是可选的。
[0化1] 表2 [0化2]
[0053] 其中，SA:服务器端的实体身份鉴别；CA:客户端的实体身份鉴别;MI:数据的完整 性鉴别；MC:数据的机密性鉴别；Y:代表协议支持此安全策略；N:代表协议不支持此安全 策略；*:代表协议对此安全协议可选。
[0054] AHTTPS协议框架可W在持底层各种协议不变的情况的同时，增加应用的丰富性， 从而一定程度上满足更多用户实际的要求。并且对于机密敏感数据加密传输相比对于一般 情况，即对于普通数据不使用加密传输的情况，虽然在建立连接的时候会付出比传统HTTPS 协议更多的成本，但是在信息量传输满足一定条件时，比传统的HTTPS更快。
[0055] 本实施例中，按照预设的划分策略将网络应用层的待传输的应用数据对应的会话 连接划分为=个阶段；会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为会话连接的各个阶段的可用的安全策略设置对应的API接口，W便通过API接口接收用 户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策 略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传 输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网 络响应速度。
[0化6] 本领域普通技术人员可W理解；实现上述各方法实施例的全部或部分步骤可W通 过程序指令相关的硬件来完成。前述的程序可W存储于一计算机可读取存储介质中。该程 序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括；ROM、RAM、磁碟 或者光盘等各种可W存储程序代码的介质。
[0057]最后应说明的是；W上各实施例仅用W说明本发明的技术方案，而非对其限制； 尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其 依然可W对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征 进行等同替换；而该些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技 术方案的范围。
【主权项】
1. 一种安全超文本传输方法，其特征在于，包括： 按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为三个 阶段：会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段； 为所述会话连接的各个阶段的可用的安全策略设置对应的API接口，以便通过所述API接口接收用户终端所选择的安全策略的标识； 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对应的 会话连接阶段对应用数据进行处理并传输。2. 根据权利要求1所述的方法，其特征在于，还包括： 针对所述会话连接的各个阶段分别设置对应的通信管道； 根据所述用户终端所选择的安全策略的标识对应的安全策略，在所述安全策略对应的 会话连接阶段对应用数据进行处理并传输，包括： 根据所述用户终端所选择的安全策略的标识，将所述标识对应的安全策略分别设置 在对应的会话连接阶段的通信管道内，以便各个会话连接阶段的数据通过对应的通信管道 时，根据所述通信管道内的安全策略对所述数据进行处理并传输。3. 根据权利要求1所述的方法，其特征在于，根据所述用户终端所选择的安全策略的 标识对应的安全策略，在所述安全策略对应的会话连接阶段对应用数据进行处理并传输之 前，还包括： 通过所述API接口将对应的安全策略的标识提供给用户终端，以便用户终端为待传输 的应用数据选择需要使用的安全策略的标识。4. 根据权利要求1所述的方法，其特征在于，所述可用的安全策略包括： 服务器端的实体身份鉴别SA、数据的完整性鉴别MI、数据的机密性鉴别MC和客户端的 实体身份鉴别CA。5. 根据权利要求4所述的方法，其特征在于， 服务器端的实体身份鉴别SA设置在所述会话连接的建立阶段或所述会话连接的结束 阶段； 数据的完整性鉴别MI和数据的机密性鉴别MC设置在所述会话连接的持续阶段； 客户端的实体身份鉴别CA设置在所述会话连接的建立阶段或所述会话连接的结束阶 段。6. 根据权利要求4所述的方法，其特征在于，所述数据的机密性鉴别MC所采用的对称 密钥为在所述会话连接的建立阶段随机生成的对称密钥。7. 根据权利要求4所述的方法，其特征在于， 服务器端的实体身份鉴别SA和客户端的实体身份鉴别CA的身份验证方法采用公钥基 础设施PKI系统的数字证书进行。8. 根据权利要求4所述的方法，其特征在于， 信息的完整性鉴别MI采用MD5算法或者HASH算法对应用数据进行计算，根据计算得 到的值对应用数据进行加密传输。9. 根据权利要求4所述的方法，其特征在于， 信息的机密性鉴别MC采用对称密钥对应用数据进行加密后使用安全套接层SSL进行 安全传输。
【专利摘要】本发明提供一种安全超文本传输方法，该方法包括：按照预设的划分策略将网络应用层的待传输的应用数据对应的会话连接划分为三个阶段：会话连接的建立阶段、会话连接的持续阶段和会话连接的结束阶段；为会话连接的各个阶段的可用的安全策略设置对应的API接口，以便通过API接口接收用户终端所选择的安全策略的标识；根据用户终端所选择的安全策略的标识对应的安全策略，在安全策略对应的会话连接阶段对应用数据进行处理并传输，从而在保证应用数据传输的安全性的基础上提高了安全超文本传输协议的适用性，并提高了数据的传输速度和网络响应速度。
【IPC分类】H04L29/08, H04L29/06
【公开号】CN104901974
【申请号】CN201510365000
【发明人】刘慧 , 项川, 魏炜
【申请人】中国科学院大学
【公开日】2015年9月9日
【申请日】2015年6月26日
最新回复(0)