一种分布式系统的网络安全验证方法和系统的制作方法
【专利摘要】本发明提出一种分布式系统的网络安全验证方法和系统。方法包括：将密钥分发中心(KDC)和服务票证许可服务组件(KDC-TGS)分别集成到各个HBase服务器以形成各个网络安全认证服务器，将Kerberos客户端分别集成到各个HBase客户端以形成各个网络安全认证客户端；网络安全认证客户端向任意的网络安全认证服务器发送验证请求；网络安全认证服务器在验证通过之后，创建登陆会话密钥(lsk)和服务会话密钥(ssk)，向网络安全认证客户端返回lsk和ssk；并将lsk和ssk存储在各个网络安全认证服务器均可访问的数据中心；网络安全认证客户端利用ssk与任意的网络安全认证服务器进行请求交互，被请求的网络安全认证服务器根据数据中心所存储的ssk对该网络安全认证客户端进行验证。
【专利说明】一种分布式系统的网络安全验证方法和系统
【技术领域】
[0001] 本发明属于分布式系统【技术领域】，特别是一种分布式系统的网络安全验证方法和 系统。
【背景技术】
[0002] 随着计算机技术和网络技术的飞速发展，互联网（Internet)技术在人们的日常 生活、学习和工作中发挥的作用也越来越大。而且，随着移动互联网的发展，互联网也在向 移动化发展。在当今的信息时代中，各种信息设备应运而生：有用于话音传输的固定电话、 移动终端；有用于信息资源共享、处理的服务器和个人电脑；有用于视频数据显示的各种 电视机等等。这些设备都是在特定领域内为解决实际需求而产生的。随着电子消费、计算 机、通信（3C)融合的到来，人们越来越多地将注意力放到了对各个不同领域的信息设备进 行综合利用的研究上，以充分利用现有资源设备来为人们更好的服务。
[0003] 分布式系统（distributed system)是建立在网络之上的软件系统。正是因为软 件的特性，所以分布式系统具有高度的内聚性和透明性。因此，网络和分布式系统之间的区 别更多的在于高层软件（特别是操作系统），而不是硬件。内聚性是指每一个数据库分布节 点高度自治，有本地的数据库管理系统。透明性是指每一个数据库分布节点对用户的应用 来说都是透明的，看不出是本地还是远程。在分布式数据库系统中，用户感觉不到数据是分 布的，即用户不须知道关系是否分割、有无副本、数据存于哪个站点以及事务在哪个站点上 执行等。
[0004] 在目前的HBase等分布式系统的安全网络验证中，具有不易维护和不易扩展等问 题，而且kerberos协议中具有单点问题。
【发明内容】
[0005] 本发明实施方式提出一种分布式系统的网络安全验证方法，以提高维护和扩展程 度。
[0006] 本发明实施方式提出一种分布式系统的网络安全验证系统，以提高维护和扩展程 度。
[0007] 本发明实施方式的技术方案如下：
[0008] -种分布式系统的网络安全验证方法，该方法包括：
[0009] 将密钥分发中心KDC和服务票证许可服务组件KDC-TGS分别集成到各个HBase服 务器以形成各个网络安全认证服务器，将Kerberos客户端分别集成到各个HBase客户端以 形成各个网络安全认证客户端；
[0010] 网络安全认证客户端向任意的网络安全认证服务器发送验证请求；网络安全认证 服务器在验证通过之后，创建登陆会话密钥lsk和服务会话密钥ssk，向所述网络安全认证 客户端返回所述lsk和ssk ;并将所述lsk和ssk存储在各个网络安全认证服务器均可访 问的数据中心；
[0011] 网络安全认证客户端利用所述ssk与任意的网络安全认证服务器进行请求交互， 被请求的网络安全认证服务器根据数据中心所存储的ssk对该网络安全认证客户端进行 验证。
[0012] 所述验证请求包括：客户端用户名、利用长期密码UK加密的认证符T1以及请求服 务操作信息Sinfo ;
[0013] 网络安全认证服务端根据所述客户端用户名查询得到长期密码UK，利用所述长期 密码UK对利用长期密码UK加密的认证符T1进行解密以得到认证符T1，并当验证认证符 T1有效时创建登陆会话密钥lsk和服务会话密钥ssk，将所述lsk和ssk存储在各个网络 安全认证服务器均可访问的数据中心，并向网络安全认证客户端发送使用长期密码UK加 密的lsk、使用lsk加密的ssk以及使用ssk加密的认证符T1 ;
[0014] 网络安全认证客户端利用长期密码UK解密使用长期密码UK加密的lsk，以得到 lsk ;利用lsk对使用lsk加密的ssk进行解密以得到ssk ;利用ssk对使用ssk加密的认 证符T1进行解密以得到认证符T1，将解密得到的认证符T1与发送验证请求中的认证符T1 进行对比，当验证通过时确定通过安全网络认证，并且缓存所述lsk和所述ssk。
[0015] 所述数据中心为常驻内存表、关系数据库或分布式缓存。
[0016] 该方法进一步包括：当ssk有效时间到达后，数据中心清除所保存的ssk ;
[0017] 网络安全认证客户端利用所述lsk向任意的网络安全认证服务器更新ssk。
[0018] 该方法进一步包括：当lsk有效时间到达后，数据中心清除所保存的lsk ;
[0019] 网络安全认证客户端利用所述长期密码UK向任意的网络安全认证服务器更新 ssk〇
[0020] 一种分布式系统的网络安全验证系统，该网络安全验证系统包括：将密钥分发中 心KDC和服务票证许可服务组件KDC-TGS分别集成到各个HBase服务器以形成的各个网络 安全认证服务器；以及将Kerberos客户端分别集成到各个HBase客户端以形成的各个网络 安全认证客户端；
[0021] 网络安全认证客户端，用于向任意的网络安全认证服务器发送验证请求；
[0022] 网络安全认证服务器，用于在验证通过之后，创建登陆会话密钥lsk和服务会话 密钥ssk,向所述网络安全认证客户端返回所述lsk和ssk ;并将所述lsk和ssk存储在各 个网络安全认证服务器均可访问的数据中心；
[0023] 网络安全认证客户端，还用于利用所述ssk与任意的网络安全认证服务器进行请 求交互，被请求的网络安全认证服务器，用于根据数据中心所存储的ssk对该网络安全认 证客户端进行验证。
[0024] 所述验证请求包括：客户端用户名、利用长期密码UK加密的认证符T1以及请求服 务操作信息Sinfo ;
[0025] 网络安全认证服务端，用于根据所述用户名查询得到长期密码UK，利用所述长期 密码UK对利用长期密码UK加密的认证符T1进行解密以得到认证符T1，并当验证认证符 T1有效时创建登陆会话密钥lsk和服务会话密钥ssk，将所述lsk和ssk存储在各个网络 安全认证服务器均可访问的数据中心，并向网络安全认证客户端发送使用长期密码UK加 密的lsk、使用lsk加密的ssk以及使用ssk加密的认证符T1 ;
[0026] 网络安全认证客户端，用于利用长期密码UK解密使用长期密码UK加密的lsk，以 得到lsk ;利用lsk对使用lsk加密的ssk进行解密以得到ssk ;利用ssk对使用ssk加密 的认证符T1进行解密以得到认证符T1，将解密得到的认证符T1与发送验证请求中的认证 符T1进行对比，当验证通过时确定通过安全网络认证，并且缓存所述lsk和所述ssk。
[0027] 所述数据中心为常驻内存表、关系数据库或分布式缓存。
[0028] 当ssk有效时间到达后，数据中心清除所保存的ssk ;网络安全认证客户端，进一 步用于利用所述lsk向任意的网络安全认证服务器更新ssk。
[0029] 当lsk有效时间到达后，数据中心清除所保存的lsk ;网络安全认证客户端，进一 步用于利用所述长期密码UK向任意的网络安全认证服务器更新ssk。
[0030] 从上述技术方案可以看出，本发明的实施方式中，将密钥分发中心KDC和服务票 证许可服务组件KDC-TGS分别集成到各个HBase服务器以形成各个网络安全认证服务器， 将Kerberos客户端分别集成到各个HBase客户端以形成各个网络安全认证客户端；网络安 全认证客户端向任意的网络安全认证服务器发送验证请求；网络安全认证服务器在验证通 过之后，创建登陆会话密钥lsk和服务会话密钥ssk，向所述网络安全认证客户端返回所述 lsk和ssk ;并将所述lsk和ssk存储在各个网络安全认证服务器均可访问的数据中心；网 络安全认证客户端利用所述ssk与任意的网络安全认证服务器进行请求交互，被请求的网 络安全认证服务器根据数据中心所存储的ssk对该网络安全认证客户端进行验证。
[0031] 本发明具有下列优点：
[0032] (1)、有两个会话密钥的优势：
[0033] 假如ssk过期时间为5分钟，当服务端发现ssk失效，则告知用户需要重新获取 ssk。用户此时请求新ssk,此时请求携带的内容仍然是E(lsk, Τη)和用户名等信息。如果 没有lsk，则需要携带的内容变为：E(UK，Τη)和用户名，以及服务端信息，以获取得到新的 ssk。如果有lsk且过期时间是10个小时，即10个小时后lsk才会失效，才会使用自己的 用户密码去获取新的会话密钥。如果没有lsk,则如ssk失效时间为5分钟，则每5分钟就 会使用自己的长期密钥UK去请求新的会话密钥。有个原则为：使用长期密钥加密的数据， 尽量不要在网络上传输。因此，增加了 lsk，则登陆会话密钥失效后才会使用UK加密的数据 去请求新的会话密钥。这样就减少了使用长期密钥加密的数据在网络上传输的次数。
[0034] (2)、防窃听、防重演（Replay Attac)
[0035] 防窃听：因为服务会话密钥ssk的有效时间比较短，如果你窃听到用户发出的数 据，即使你将密钥解密出来，此时该密钥也过期了。防重演：因为每次访问使用的ssk服务 会话密钥加密的认证符的内容包含有时间戳，如果重演，时间戳是无效的。
[0036] (3)、稳定性和易扩展维护
[0037] 稳定性：网络安全验证的瓶颈在于HBase表的服务的单点性，因为数据中心的表 存储在一张 HBase表中，该表被一个RegionServer服务，如果该RegionServer岩机后，月艮 务将被中段，但是该region可以被重新分配到另一台RegionServer上进行服务，并且， RegionServer岩机的几率是很小的，因为HBase的ROOT表也是服务于一个RegionServer 上，可以放心HBase的稳定性。
[0038] 易扩展维护：当添加新的HBase服务器时，和正常的扩展一样，无需多余的操作。
【专利附图】
【附图说明】
[0039] 图1为Kerberos的认证原理流程图。
[0040] 图2为根据本发明分布式系统的网络安全验证方法流程图。
[0041] 图3为根据本发明分布式系统的网络安全验证系统结构图。
[0042] 图4为根据本发明客户端与服务端的安全网络验证交互示意图。
[0043] 图5为根据本发明更新ssl示意图。
【具体实施方式】
[0044] 为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步 的详细描述。
[0045] 为了描述上的简洁和直观，下文通过描述若干代表性的实施方式来对本发明的方 案进行阐述。实施方式中大量的细节仅用于帮助理解本发明的方案。但是很明显，本发明的 技术方案实现时可以不局限于这些细节。为了避免不必要地模糊了本发明的方案，一些实 施方式没有进行细致地描述，而是仅给出了框架。下文中，"包括"是指"包括但不限于"，"根 据……"是指"至少根据……，但不限于仅根据……"。由于汉语的语言习惯，下文中没有特 别指出一个成分的数量时，意味着该成分可以是一个也可以是多个，或可理解为至少一个。
[0046] 本发明首先基于Kerberos协议作了修改，将其单点的服务方式改为分布式的服 务方式，然后使用数据中心（比如HBase表）来管理会话密钥等信息，从而发明了一套关于 分布式系统（比如HBase系统）的网络安全验证方法。该发明能满足分布式系统对网络安 全验证的高安全，高可靠，易扩展和维护，且高稳定性的高要求。
[0047] 首先，对Kerberos协议进行说明。
[0048] 在kerberos协议中，有几个角色分别是：
[0049] KDC :key distribute center,密钥分发中心，向用户提供身份认证，并为其分发 TGT :服务许可票证和登录会话密钥（取名：lsk)。
[0050] KDC-TGS :KDC_ticket granting service,服务票证许可服务组件，向用户分发ST 服务票证和服务会话密钥（ssk)。KDC和KDC-TGS可以在一个主机上，它们共享一个数据 中心（可以是数据库或者缓存池），该数据中心存储了所有用户的长期密码（UK)以及服务 (SERVER)的长期密码（SK)，并且KDC自己的长期密码（KK)也放在数据中心。
[0051] SERVER :向用户提供具体的服务的服务器，需要预先在KDC中注册，使得KDC知道 自己的服务，以及自己的长期密码（KK)。
[0052] CLIENT :客户端，也需要预先在KDC中注册。
[0053] kerberos中的密钥和票证区别如下：
[0054] 密钥分为长期密钥和短期会话密钥，长期密钥一般是很长时间段有效的，比如用 户的密码可能就从来不会更改。短期会话密钥用以在用户和服务器（包括KDC-TGS和 SERVER)之间交互的密钥，这种密钥当超过一个时间就会失效。其中：
[0055] 用户密码：UK，长期有效密钥。
[0056] KDC的密钥：KK，KDC和KDC-TGS共享的长期密钥。
[0057] SERVER的密钥：SK，SERVER的长期密钥。
[0058] 登陆会话密钥：lsk，短期密钥，由KDC生成，并分发给用户，用户以此密钥与TGS交 互。
[0059] 服务会话密钥：ssk，短期密钥，由TGS生成，并响应给用户，用户以此密钥与 SERVER 交互。
[0060] TGT :服务许可票证，包含lsk和用户信息，由KDC创建。此票证相当于到TGS的门 票，TGS从门票中可以获取到1 sk，然后认证用户。
[0061] ST :服务票证，包含ssk和用户信息，有TGS创建。此票证相当于到SERVER的门 票。SERVER从门票中可以获取ssk，以此认证用户。
[0062] 图1为Kerberos的认证原理流程图。
[0063] 如图1所示：
[0064] 第一步：客户端（Client)向KDC请求身份认证，需要向KDC提供三个信息：
[0065] A、用户名：name ;B、请求TGT所需要的服务信息：Sinfo ;C、用户密码加密的认证 符（一般可为时间戳）：E(UK，T1)。E(UK，T1)表示用用户的密码UK将认证符即时间戳T1 加密。
[0066] 第二步：KDC先从数据中心中根据client传过来的name查找出client的UK，然 后用UK解密加密的T1 (D (UK，T1))，如果时间戳是解密有效的，则身份认证通过，证明请求 的用户没有被冒充。然后KDC根据用户信息等创建一个登陆会话密钥lsk，并且创建一个 TGT，TGT的内容包含了 lsk和用户信息。
[0067] 第三步：身份认证通过后，KDC响应client,响应内容如下：A、E(UK, lsk):经过用 户密码UK加密的登陆会话密钥lsk ;B、E (KK，TGT):经KDC的密码KK加密的TGT。
[0068] 第四步：客户端用户使用自己的长期密码UK解密获取得到lsk :即D(UK，lsk)。并 将lsk缓存在本地，同时将KDC传过来的用KK加密的TGT也缓存在本地。
[0069] 第五步：用户向KDC-TGS请求服务票证ST和服务会话密钥ssk。请求携带的内容 如下：A、E(lsk，T2):使用登陆会话密钥加密的T2 ;B、E(KK，TGT):缓存中的使用KDC的密码 KK加密的TGT ;C、Sinfo :用户想访问的服务和服务器的名称等。
[0070] 第六步：TGS先用与KDC共享的KDC密码KK解密TGT，然后从中获取得到lsk并缓 存之，再用lsk解密T2,验证时间戳是否有效，验证通过则根据Sinfo信息，查看用户是否有 访问SERVER的权限，如果有，则下一步。
[0071] 第七步：根据用户信息等生成一个服务会话密钥：ssk，以及生成一个服务票证 ST(C(ssk，ST)即表示生成ssk和ST)，ST中包含了 ssk和用户信息等。然后根据Sinfo找 到SERVER的长效密钥SK。
[0072] 第八步：使用lsk加密ssk :E (lsk，ssk)，使用SK加密ST :E (SK，ST)，然后将加密 后的ssk和ST响应给client。
[0073] 第九步：用户使用lsk解密获取得到ssk :D (lsk, ssk)，并将ssk缓存在本地。并 且将使用SK加密的ST也缓存在本地。
[0074] 第十步：然后用户向真正的服务SERVER请求，携带内容如下：A、E(ssk，T3):使用 服务会话密钥加密的认证符T3 ;B、E (SK，ST):使用服务端的长期密码SK加密的ST，此数据 时缓存在本地的，用户不知道SK。
[0075] 第十一步：服务端先使用SK解密获取的到ST，然后从ST中获取得到ssk，然后用 ssk解密获取得到T3,验证时间戳是否有效，验证通过后缓存ssk,响应client。
[0076] 第十二步：用ssk加密T4(也可以直接是T3)，请求用户验证。
[0077] 第十三步：用户使用ssk解密T4,验证时间戳是否有效。如果有效，证明服务端没 有被冒充，因为它能解密得出ST，然后获取到ssk，说明它是知道SK的。
[0078] 在本发明中，将KDC和KDC-TGS，即身份认证和服务认证，实现为一种可被调用的 jar包。而且，修改HBase的客户端和服务端，在网络发送和接收层，加入认证申请和响应的 代码，然后在每个HBase的服务器上安装修改后的HBase服务。HBase的所有服务器视为一 个服务SERVER。所有的HBase SERVER共享一张 HBase表，表中存储的是用户名称和密钥 对，以及登陆会话密钥lsk和服务会话秘钥ssk，定时会话密钥失效，并通过事务操作更新 会话密钥。
[0079] 客户端用户使用自己的长期密钥UK和用户名，发送到任意一个HBase集群的服务 器上都可以作安全权限验证，验证通过后的短期会话密钥存储在HBase表中。然后用户就 可以使用服务会话密钥进行服务的请求。服务会话密钥过期后会从表中清除，然后用户再 使用自己的登陆会话密钥申请新的服务会话密钥。服务会话密钥的过期时间远小于登陆会 话密钥。如果新申请服务会话密钥时，登陆会话密钥失效，这时用户才使用自己的长期密钥 UK去申请新的登陆会话密钥和服务会话密钥。
[0080] 图2为根据本发明分布式系统的网络安全验证方法流程图。
[0081] 如图2所示，该方法包括：
[0082] 步骤201 :将密钥分发中心KDC和服务票证许可服务组件KDC-TGS分别集成到 各个HBase服务器以形成各个网络安全认证服务器，将Kerberos客户端分别集成到各个 HBase客户端以形成各个网络安全认证客户端。
[0083] 步骤202 :网络安全认证客户端向任意的网络安全认证服务器发送验证请求；网 络安全认证服务器在验证通过之后，创建登陆会话密钥lsk和服务会话密钥ssk，向所述网 络安全认证客户端返回所述lsk和ssk ;并将所述lsk和ssk存储在各个网络安全认证服 务器均可访问的数据中心。
[0084] 步骤203 :网络安全认证客户端利用所述ssk与任意的网络安全认证服务器进行 请求交互，被请求的网络安全认证服务器根据数据中心所存储的ssk对该网络安全认证客 户端进行验证。
[0085] 在一个实施方式中：
[0086] 所述验证请求包括：客户端用户名、利用长期密码UK加密的认证符T1以及请求服 务操作信息Sinfo ;
[0087] 网络安全认证服务端根据所述客户端用户名查询得到长期密码UK，利用所述长期 密码UK对利用长期密码UK加密的认证符T1进行解密以得到认证符T1，并当验证认证符 T1有效时创建登陆会话密钥lsk和服务会话密钥ssk，将所述lsk和ssk存储在各个网络 安全认证服务器均可访问的数据中心，并向网络安全认证客户端发送使用长期密码UK加 密的lsk、使用lsk加密的ssk以及使用ssk加密的认证符T1 ;
[0088] 网络安全认证客户端利用长期密码UK解密使用长期密码UK加密的lsk，以得到 lsk ;利用lsk对使用lsk加密的ssk进行解密以得到ssk ;利用ssk对使用ssk加密的认 证符T1进行解密以得到认证符T1，将解密得到的认证符T1与发送验证请求中的认证符T1 进行对比，当验证通过时确定通过安全网络认证，并且缓存所述lsk和所述ssk。
[0089] 在一个实施方式中：
[0090] 所述数据中心为常驻内存表、关系数据库或分布式缓存。
[0091] 在一个实施方式中：
[0092] 该方法进一步包括：当ssk有效时间到达后，数据中心清除所保存的ssk ;
[0093] 网络安全认证客户端利用所述lsk向任意的网络安全认证服务器更新ssk。
[0094] 在一个实施方式中：
[0095] 该方法进一步包括：当lsk有效时间到达后，数据中心清除所保存的lsk ;
[0096] 网络安全认证客户端利用所述长期密码UK向任意的网络安全认证服务器更新 ssk〇
[0097] 基于上述分析，本发明还提出了一种分布式系统的网络安全验证系统。
[0098] 图3为根据本发明分布式系统的网络安全验证系统结构图。
[0099] 如图3所示，该网络安全验证系统包括：将密钥分发中心KDC和服务票证许可服务 组件KDC-TGS分别集成到各个HBase服务器以形成的各个网络安全认证服务器（比如命名 为Kserver);以及将Kerberos客户端分别集成到各个HBase客户端以形成的各个网络安 全认证客户端（比如命名为KClient)。其中HBase服务器是HBase系统的服务器，可以是 HMaster，也可以是RegionServer。HBase客户端为访问HBase系统的客户端。Kerberos服 务是服务端的kerberos服务，包含了 KDC服务和KDC-TGS服务，每个HBase服务器都包含 有该服务。Kerberos客户端是客户端新加的一层用以请求安全网络验证的kerberos访问 客户端。Kerberos客户端可以请求任意的Kerberos服务。
[0100] 网络安全认证客户端，用于向任意的网络安全认证服务器发送验证请求；
[0101] 网络安全认证服务器，用于在验证通过之后，创建登陆会话密钥lsk和服务会话 密钥ssk,向所述网络安全认证客户端返回所述lsk和ssk ;并将所述lsk和ssk存储在各 个网络安全认证服务器均可访问的数据中心；
[0102] 网络安全认证客户端，还用于利用所述ssk与任意的网络安全认证服务器进行请 求交互，被请求的网络安全认证服务器，用于根据数据中心所存储的ssk对该网络安全认 证客户端进行验证。
[0103] 对于HBase，数据中心可以是常驻内存的一张表。当然也可以是关系数据库，也可 以是分布式缓存。数据中心要满足或者基于数据中心实现以下接口：
[0104] 写操作是原子性的：一个客户写的时候不能让其他客户端写。
[0105] 可以定时清除内容：lsk和ssk的定期失效。
[0106] checkAndPut事务操作：查询，更改在一个事务中完成。
[0107] 这里以HBase为例：
[0108] HBase的写操作是原子的，对行加锁。可以定时清除类容，通过设定表CF的TT1可 以达到效果。HBase支持checkAndPut的原子事务操作。
[0109] 根据HBase的特性，设计了一张存储密钥对的HBase表。
[0110]
【权利要求】
1. 一种分布式系统的网络安全验证方法，其特征在于，该方法包括： 将密钥分发中心KDC和服务票证许可服务组件KDC-TGS分别集成到各个HBase服务器 以形成各个网络安全认证服务器，将Kerberos客户端分别集成到各个HBase客户端以形成 各个网络安全认证客户端； 网络安全认证客户端向任意的网络安全认证服务器发送验证请求；网络安全认证服务 器在验证通过之后，创建登陆会话密钥lsk和服务会话密钥ssk，向所述网络安全认证客户 端返回所述lsk和ssk ;并将所述lsk和ssk存储在各个网络安全认证服务器均可访问的 数据中心； 网络安全认证客户端利用所述ssk与任意的网络安全认证服务器进行请求交互，被请 求的网络安全认证服务器根据数据中心所存储的ssk对该网络安全认证客户端进行验证。
2. 根据权利要求1所述的网络安全验证方法，其特征在于，所述验证请求包括：客户端 用户名、利用长期密码UK加密的认证符T1以及请求服务操作信息Sinfo ; 网络安全认证服务端根据所述客户端用户名查询得到长期密码UK，利用所述长期密码 UK对利用长期密码UK加密的认证符T1进行解密以得到认证符T1，并当验证认证符T1有效 时创建登陆会话密钥lsk和服务会话密钥ssk，将所述lsk和ssk存储在各个网络安全认证 服务器均可访问的数据中心，并向网络安全认证客户端发送使用长期密码UK加密的lsk、 使用lsk加密的ssk以及使用ssk加密的认证符T1 ; 网络安全认证客户端利用长期密码UK解密使用长期密码UK加密的lsk，以得到lsk ; 利用lsk对使用lsk加密的ssk进行解密以得到ssk ;利用ssk对使用ssk加密的认证符 T1进行解密以得到认证符T1，将解密得到的认证符T1与发送验证请求中的认证符T1进行 对比，当验证通过时确定通过安全网络认证，并且缓存所述lsk和所述ssk。
3. 根据权利要求1所述的网络安全验证方法，其特征在于，所述数据中心为常驻内存 表、关系数据库或分布式缓存。
4. 根据权利要求1所述的网络安全验证方法，其特征在于，该方法进一步包括：当ssk 有效时间到达后，数据中心清除所保存的ssk ; 网络安全认证客户端利用所述lsk向任意的网络安全认证服务器更新ssk。
5. 根据权利要求1所述的网络安全验证方法，其特征在于，该方法进一步包括：当lsk 有效时间到达后，数据中心清除所保存的lsk ; 网络安全认证客户端利用所述长期密码UK向任意的网络安全认证服务器更新ssk。
6. -种分布式系统的网络安全验证系统，其特征在于，该网络安全验证系统包括：将 密钥分发中心KDC和服务票证许可服务组件KDC-TGS分别集成到各个HBase服务器以形成 的各个网络安全认证服务器；以及将Kerberos客户端分别集成到各个HBase客户端以形成 的各个网络安全认证客户端； 网络安全认证客户端，用于向任意的网络安全认证服务器发送验证请求； 网络安全认证服务器，用于在验证通过之后，创建登陆会话密钥lsk和服务会话密钥 ssk,向所述网络安全认证客户端返回所述lsk和ssk ;并将所述lsk和ssk存储在各个网 络安全认证服务器均可访问的数据中心； 网络安全认证客户端，还用于利用所述ssk与任意的网络安全认证服务器进行请求交 互，被请求的网络安全认证服务器，用于根据数据中心所存储的ssk对该网络安全认证客 户端进行验证。
7. 根据权利要求6所述的网络安全验证系统，其特征在于，所述验证请求包括：客户端 用户名、利用长期密码UK加密的认证符T1以及请求服务操作信息Sinfo ; 网络安全认证服务端，用于根据所述用户名查询得到长期密码UK，利用所述长期密码 UK对利用长期密码UK加密的认证符T1进行解密以得到认证符T1，并当验证认证符T1有效 时创建登陆会话密钥lsk和服务会话密钥ssk，将所述lsk和ssk存储在各个网络安全认证 服务器均可访问的数据中心，并向网络安全认证客户端发送使用长期密码UK加密的lsk、 使用lsk加密的ssk以及使用ssk加密的认证符T1 ; 网络安全认证客户端，用于利用长期密码UK解密使用长期密码UK加密的lsk，以得到 lsk ;利用lsk对使用lsk加密的ssk进行解密以得到ssk ;利用ssk对使用ssk加密的认 证符T1进行解密以得到认证符T1，将解密得到的认证符T1与发送验证请求中的认证符T1 进行对比，当验证通过时确定通过安全网络认证，并且缓存所述lsk和所述ssk。
8. 根据权利要求6所述的网络安全验证系统，其特征在于，所述数据中心为常驻内存 表、关系数据库或分布式缓存。
9. 根据权利要求6所述的分布式系统的网络安全验证系统，其特征在于，当ssk有效时 间到达后，数据中心清除所保存的ssk ;网络安全认证客户端，进一步用于利用所述lsk向 任意的网络安全认证服务器更新ssk。
10. 根据权利要求6所述的网络安全验证系统，其特征在于，当lsk有效时间到达后，数 据中心清除所保存的lsk ;网络安全认证客户端，进一步用于利用所述长期密码UK向任意 的网络安全认证服务器更新ssk。
【文档编号】H04L29/06GK104092702SQ201410350382
【公开日】2014年10月8日 申请日期:2014年7月22日 优先权日:2014年7月22日
【发明者】唐平 申请人:北京京东尚科信息技术有限公司