專利名稱：基于分布式管理架構的自適應安全組通信系統的制作方法
技術領域：
本發明屬于信息安全領域，為大規模動態的網絡環境提供一種基于分布式管理架構的自適應安全組通信系統。
背景技術：
近年來，隨著科學技術的快速發展，微電子和計算機技術滲透到了各個領域，人們對電子信息技術的應用已經處于一個迅猛發展的新時期。由于組通信一方面能實現互聯網上資源的互聯互通，另一方面又能消除資源孤島，因此越來越被廣泛運用到視頻會議、軍事和航空航天等領域。組通信作為網絡信息的一種通信方式，其應用范圍和規模不斷擴大，功能不斷增多，對其安全性的要求越來越高，在整個計算機軟件和信息安全技術中占有重要的地位。隨著組通信系統規模的不斷增大，成員的不斷增加，其安全隱患也越來越明顯。由于組通信的泄密常常給人們造成災難性后果，因此，組通信的安全問題引起了軟件工程界和安全部門的高度重視，整個組通信系統的主要問題已經由通信領域逐步轉向安全領域。
目前，基于分布式管理架構的安全組通信系統(如Clique安全組通信系統和Iolus安全組通信系統)所采用的管理策略均是將組成員管理與組成員密鑰管理分開，分別由不同的服務器(或節點機)進行處理。在這些管理策略中，參與組通信的節點是對等的，通過會話協商機制，實現對組成員(成員節點機)與組成員的密鑰管理。因此，這種分布式管理架構的最大優點是不存在單一失效的問題，理論上適合規模較大的組通信系統中。但是，由于會話協商總是需要一定的通信開銷，并且密鑰分配與更新也需要一定的計算開銷，因而存在著一定的通信延遲。當系統規模擴大到一定程度時，面對成員動態變化，現有的這些管理策略缺乏自適應性，它不能根據成員動態變化規律主動獲得系統信息和最佳成員管理策略，也不能根據系統狀態變化規律及時主動的做出正確反應。由此導致的直接后果就是(1)服務器的負荷重，網絡通信延遲長，限制了安全組通信系統的可擴展性和靈活性；(2)出現組密鑰更新與組消息簽名(或加密)之間異步的現象，降低了安全組通信系統的通信效率；(3)成員退出時，系統不能保證組通信的后向安全性；(4)消息在傳遞過程中很容易被截獲，影響了組通信系統的安全性。因此，在大規模動態網絡環境中，這種缺乏自適應的分布式管理架構難以適用于大規模動態組通信的安全需要。

發明內容
本發明的目的在于克服現有安全組通信系統的缺陷，提供一種基于分布式管理架構的自適應安全組通信系統，該系統能夠對組通信成員進行自適應管理，能夠對組成員的密鑰進行自適應分配與更新，能夠使組簽名與消息加密進行融合。從而為大規模動態的網絡環境提供一種基于分布式管理架構的自適應安全組通信系統。
本發明提供的一種基于分布式管理架構的自適應安全組通信系統，該系統包括位于組通信群體中的各成員節點機上的組通信安全處理器和位于服務器中的組通信成員管理器；其中，組通信成員管理器用于與各成員節點機建立連接，對各成員的身份進行認證并將認證結果返回給組通信安全處理器，對各成員節點機進行管理；組通信安全處理器用于向組通信成員管理器發送認證消息，接收組通信成員管理器返回的認證結果，并進行統計；根據組通信的成員信息進行密鑰計算和密鑰分配；對需要發送的消息進行統計、簽名、加密和發送；對需要接收的加密消息進行接收、解密、驗證和統計；對發送的組消息或接收的組消息進行顯示；當某一成員節點機離開時，該節點機上的組通信安全處理器斷開與組通信成員管理器、以及其它成員節點機之間的連接。
本發明系統總體架構依然是分布式的，只是在管理策略上提供一種新的自適應管理策略。本發明采用自適應的管理策略和模塊化的設計方法，以最大限度地降低安全組通信軟件系統對組通信的可擴展性的影響；同時，采用組通信成員管理模塊與密鑰分配模塊分開設計的方法，使它們分別位于服務器和成員的節點機上，這樣既能保證服務器對組成員(成員節點機)進行自適應管理，又能使密鑰分配獨立于具體的成員管理過程之外，具有很好的可擴展性。總之，本發明具有以下技術效果1、安全組通信的自適應分布式管理傳統的組通信系統通常使用集中式管理或者分布式管理。集中式管理就是選擇單一的服務器對系統進行管理，即服務器既要對組通信成員進行管理又要對組成員的密鑰更新進行管理。這種單一的服務器管理使得服務器的負荷特別大，這不僅加大了網絡通信的延遲，也影響了群組通信系統的可擴展性和靈活性。而分布式管理就是將組成員管理與組成員密鑰更新管理進行分開，讓它們分別位于服務器和成員的節點機上(位于客戶端)，這樣既能保證服務器對組成員進行管理，又能使密鑰分配獨立于具體的成員管理過程之外，理論上具有很好的可擴展性。可是，在現有的分布式管理架構中，對組成員的管理缺乏自適應性，不能根據組成員動態變化特性選擇最佳成員管理策略，從而使得系統的可擴展性受到了嚴重約束。而自適應分布式管理能夠根據系統的通信狀態，自動選擇最佳成員管理策略，實現對組成員的管理；同時，又能使密鑰分配獨立于具體的成員管理過程之外，真正減輕成員管理策略對組通信系統可擴展性的影響。
2、組成員密鑰的自適應分配與更新傳統的安全組通信系統通常只是使用一種機制來更新群組密鑰，然而，對組通信而言，組成員會隨著時間的變化而變化，這種單一的密鑰更新方法難以適應大規模動態組通信變化的需要。因此，本系統設計出一種自適應的密鑰分配方法。在這種自適應的密鑰分配方法中，綜合使用邏輯密鑰樹結構(Logical Key Tree)，在密鑰分配過程中，如果系統接收的是組通信成員的退出(Exit)請求，則采用密鑰及時更新機制；如果系統接收的是組通信成員的加入(Join)請求，則采用密鑰批量更新機制，并運用馬爾可夫模型(Markov模型)，自動更新密鑰更新周期。這種自適應的密鑰分配方法能有效地評估成員節點機的狀態，自動地選擇性能較優的密鑰邏輯樹結構來分配密鑰，減少由于密鑰更新所帶來的通信開銷，增強系統對組成員變化的承受能力，增強系統的安全性，在各種情況下都能達到較為理想的密鑰分配效果。
3、組簽名與消息加密的融合傳統的組通信系統使用的安全方法常常是組簽名機制或者是消息加密機制，因為組簽名機制能夠實現對組和成員身份的驗證，消息加密機制能夠實現消息在網絡中的安全傳輸。但是，傳統的組通信系統常常將組簽名機制與消息加密機制割裂使用，不能實現組簽名與消息加密的融合。因此，在本系統設計過程中，設計出了一種新的加密認證機制。這種新的加密認證機制包含四個階段(1)密鑰產生階段；(2)個人簽名的產生和驗證階段；(3)組簽名的產生和加密階段；(4)解密和組簽名的驗證階段。在密鑰產生階段，主要產生組密鑰和組成員的個人密鑰；在個人簽名的產生和驗證階段，主要產生個人簽名和對個人簽名進行驗證；在組簽名的產生和加密階段，先對組進行簽名，對消息進行加密，然后對消息進行解密，對組簽名進行驗證。在這種新的加密認證機制中，密鑰管理者(由組通信成員共同決定)主要負責密鑰(包括個人和組的私鑰、個人和組的公鑰)的產生，它不負責組簽名，組簽名由組通信成員共同決定。因此，通過這種新的加密認證機制，一方面實現組簽名的功能，另一方面實現消息加密功能，從而實現組簽名與消息加密的融合。
4、良好的兼容性和跨平臺性傳統的組通信系統使用的是面向對象的設計方法，而本系統使用的是面向對象與面向服務相結合的設計方法。這種設計方法使任何潛在客戶的請求均能以服務的方式提供，客戶不需要知道服務實現的技術細節，因而具有良好的兼容性。在本系統中，組密鑰管理和組成員管理都是以WebService的方式來提供，從而使得這種分布式管理架構更為靈活。此外，該系統軟件用Java語言編寫，適用于Windows操作平臺和Linux操作平臺。


圖1為基于分布式管理架構的自適應安全組通信系統拓撲結構；圖2為基于分布式管理架構的自適應安全組通信系統體系結構；圖3為組通信成員管理器流程圖；圖4為組通信安全處理器流程圖；圖5為一個運行實例的示意圖。
具體實施例方式
下面結合附圖和實例對本發明作進一步詳細的說明。
如圖1所示，本發明系統從安全組通信的工作角度來說，包括位于客戶端3中的各成員節點機4.1、4.2、……、4.n上的組通信安全處理器5.1、5.2、……、5.n和位于服務器1中的組通信成員管理器2，二部分之間通過網絡通信。為表述方便，以下將各成員節點機4.1、4.2、……、4.n統稱為節點機4，組通信安全處理器5.1、5.2、……、5.n統稱為組通信安全處理器5。
組通信成員管理器2主要負責與客戶端3中的各成員節點機4建立連接、對成員節點機4的身份進行認證并將認證結果返回給組通信安全處理器5、對成員節點4機進行管理。
組通信安全處理器5是組通信成員進行安全通信的核心，它的主要功能是向組通信成員管理器2發送認證消息；接收組通信成員管理器2返回的認證結果；對組通信成員管理器2返回的認證結果進行統計；根據組通信的成員信息進行密鑰計算和密鑰分配；對需要發送的消息進行統計、簽名、加密和發送；對需要接收的加密消息進行接收、解密、驗證和統計；對發送的組消息或接收的組消息進行顯示等。當某一成員節點機離開系統時，該機將斷開與組通信成員管理器2之間的連接，同時也斷開與其它成員節點機之間的連接。
下面結合圖2為上述各部分的具體結構作進一步詳細的說明。
一、位于客戶端的各節點機中的組通信安全處理器組通信安全處理器5包括控制模塊6、成員操作模塊7、密鑰管理模塊8、組通信信息收集模塊9、加密/解密模塊10、組通信模塊11和顯示模塊12。
控制模塊6的功能是接收用戶輸入的加入(或者退出)命令；接收用戶輸入的用戶名和口令；接收用戶輸入的加入(或者退出)組的組名；向成員操作模塊7發送命令；接收成員操作模塊7發送的反饋信息；向組通信信息收集模塊9發送信息收集命令；向顯示模塊12發送成員節點機信息和組通信信息。
成員操作模塊7的功能是向組通信成員管理器2發送加入或者退出命令；對組通信成員管理器2發送來的認證消息和成員節點機的消息進行認證；對成員節點機的成員信息進行收集；向控制模塊6發送成員操作結果；向密鑰管理模塊8發送成員節點機信息；在該節點機離開系統時，斷開與組通信成員管理器2及其它成員節點機的連接。
密鑰管理模塊8的功能是進行密鑰的計算、密鑰的自適應分配與更新；向組通信信息收集模塊9傳輸密鑰信息。
組通信信息收集模塊9的功能是向加密/解密模塊10傳輸需要發送的消息；向加密/解密模塊10傳輸需要解密與驗證的消息；接收組通信模塊11發送來的信息；根據組通信模塊11發送來的信息，對其它成員節點機發送的消息和接收的解密消息進行收集；向控制模塊6傳輸收集到的組通信信息。
加密/解密模塊10的功能是接收組通信信息收集模塊9發送來的各種消息；根據接收的消息和密鑰信息，使用新的認證方法，對需要發送的消息進行組簽名和消息加密；對需要接收的消息進行解密，并進行消息的簽名驗證，并將處理后的這些消息發送到組通信模塊11。
組通信模塊11的功能是接收加密/解密模塊10發送來的消息；當需要向其它成員節點機發送消息時，將其需要發送的消息發送給其它成員節點機；當其它成員節點機向該機發送消息時，接收其消息并將接收的相關消息傳輸到組通信信息收集模塊9。
顯示模塊12的功能是接收從控制模塊6發送來的成員節點機信息和組通信信息；對成員節點機信息進行顯示；對組通信信息進行顯示。
組通信安全處理器5的具體程序流程如下(1)、用戶從控制模塊6輸入用戶名，輸入將要執行的命令(加入或者退處)，輸入需要加入(或者退出)的組名，并將輸入的信息傳輸給成員操作模塊7。
(2)、成員操作模塊7根據控制模塊6傳輸來的命令進行操作。如果是退出命令，則首先斷開與服務器1的連接，再斷開與其它成員節點機的連接。如果是加入命令，則向服務器1提出加入申請；如果申請通過，則對服務器1發來的信息進行認證。如果認證通過，則控制模塊6發送認證成功的消息并接收服務器1發來的信息，否則拒絕接收。如果接收了服務器1發來的信息，則對成員節點機的信息進行收集，并向密鑰管理模塊8發送成員節點機信息。另外，成員操作模塊7將成員操作的結果發送給控制模塊6。
(3)、密鑰管理模塊8根據成員操作模塊7發送來的成員節點機信息，進行密鑰的計算和密鑰的分配，并向組通信信息收集模塊9傳輸密鑰信息。
(4)、組通信信息收集模塊9根據從控制模塊6接收的命令進行組通信的信息收集；接收密鑰管理模塊8發送的密鑰信息并將它傳輸給加密/解密模塊10；如果信息是需要發送的，則向加密/解密模塊10傳輸需要發送的消息和密鑰信息，如果信息是需要接收的，則向加密/解密模塊10傳輸密鑰信息和需要解密的消息。
(5)、加密/解密模塊10根據接收的消息和密鑰信息，使用新的認證方法，對需要發送的消息進行組簽名和消息加密；對需要接收的消息進行解密，并進行消息的簽名驗證，然后將處理后的這些消息發送到組通信模塊11。
(6)、組通信模塊11根據發送來的消息性質進行處理，如果是需要發送的消息，則向其它成員節點機中的組通信模塊發送消息，并將發送消息的相關信息發送給組通信信息收集模塊9，如果是需要接收的，則接收加密/解密模塊10和其它成員節點機中的組通信模塊發送來的信息，并將接收消息的相關信息發送給組通信信息收集模塊9。
(7)、組通信信息收集模塊9將收集到的組通信信息反饋給控制模塊6。
(8)、控制模塊6將根據成員操作模塊7發送來的成員操作結果，接收組通信信息收集模塊9發來的反饋信息并將它發給顯示模塊12。
(9)、顯示模塊12根據從控制模塊6發送來的信息分別進行成員節點機信息和組通信信息的信息顯示。
二、組通信成員管理器組通信成員管理器2包括套接字模塊13、服務器認證模塊14和組通信成員管理模塊15三部分。
套接字模塊13的功能是在端口建立服務器套接字，并等待組通信安全處理器5中的成員操作模塊7的連接；接收成員操作模塊7發送來的“Join”信息(或者“Exit”信息)和需要認證的成員身份消息；將接收的信息發送到服務器認證模塊14。
服務器認證模塊14的功能是接收從套接字模塊13發送來的需要認證的信息；對需要認證的消息進行認證；向組通信成員管理模塊15發送認證的結果；接收組通信成員管理模塊15發送來的成員管理信息；向組通信安全處理器5中的成員操作模塊7發送認證信息和成員管理信息。
成員管理模塊15的功能是接收服務器認證模塊14發送來的認證的結果；根據發送來的認證結果，自動的選擇最佳成員管理策略，實現對組成員的自適應管理；向服務器認證模塊14發送成員管理信息。
組通信成員管理器2的具體程序流程如下(1)、新建服務器套接字，在特定的端口偵聽，等待組通信成員管理器2中的套接字模塊13與組通信安全處理器5中的成員操作模塊7的連接。
(2)、判斷是否接到“Begin”連接請求，如果是，則轉到步驟(3)，如果沒有，則轉到步驟(1)。
(3)、建立與組通信安全處理器5中的成員操作模塊7的連接。
(4)、接收組通信安全處理器5中的成員操作模塊7發送來的“Join”信息(或者“Exit”信息)和需要認證的成員身份消息。
(5)、在服務器認證模塊14，對需要認證的成員身份消息進行認證。
(6)、成員身份消息是否通過認證，如果通過認證，則轉到步驟(7)，如果沒有，則轉到步驟(9)。
(7)、成員管理模塊15根據認證結果信息，自動的選擇最佳成員管理策略，實現對組成員的自適應管理。
(8)、成員管理模塊15將成員管理信息發送給服務器認證模塊14。
(9)、服務器認證模塊14將認證結果和成員管理信息發送給組通信安全處理器5中的成員操作模塊7。
(10)、判斷是否接到“End”連接請求，如果不是，則轉到步驟(1)，如果是，則停止。
下面舉實例對本發明作進一步詳細的說明。
本發明系統被安裝在“集群與網格計算湖北省重點實驗室”，運行環境如圖5所示。使用“集群與網格計算湖北省重點實驗室”的多臺主機(內部網段為192.168.2.0)，在其中一臺機器(如192.161.2.191)上安裝組通信成員管理器和組通信的消息機制(如Java消息系統，簡寫為JMS)，運行組通信成員管理器，實現對組通信成員的自適應管理。在其它計算機上各自安裝組通信安全處理器，再運行組通信安全處理器，實現基于自適應分布式管理架構的可擴展安全組通信。
具體的運行工程如下(1)、在服務器端，安裝組通信成員管理器并啟動組通信成員管理器。
(2)、在服務器端，打開命令行窗口，輸入joram所在路徑(如E:\joram-4.3.1\sample\src\joram)，然后用ant工具啟動組通信的消息機制。
(3)、輸入命令E:\＞adminserver.bat，對組通信的一些成員組分別進行綁定，實現對成員節點機的自適應管理。
(4)、在命令提示符下輸入命令E:\＞guard.bat，打開通信線程。
(5)、在客戶端，安裝組通信安全處理器。
(6)、啟動組通信安全處理器。客戶端總控制界面包括三個下拉菜單、三個顯示框、一個成員節點機的顯示列表、“發送消息”和“接收消息”的輸入和顯示框、一個顯示當前組狀態信息的顯示欄。其中三個下拉菜單分別為“連接(或退出)”、“組操作”和“幫助”；三個顯示框為“服務器”、“當前組”和“組管理器”。
(7)、在客戶端，成員輸入客戶端名稱和口令，待和服務器連接成功后，就可以輸入“Join”命令和要加入的組名，這樣成員可以加入所需要加入的組了。
(8)、在客戶端，用戶如果輸入“Exit”命令和要退出的組名，這樣成員就可以退出所需要退出的組了。
按照上面的方法，合法成員可任意的加入和退出組通信，實現基于分布式管理架構的自適應安全組通信。
權利要求
1.一種基于分布式管理架構的自適應安全組通信系統，其特征在于該系統包括位于組通信群體(3)中的各成員節點機(4.1、4.2、……、4.n)上的組通信安全處理器(5.1、5.2、……、5.n)和位于服務器(1)中的組通信成員管理器(2)；其中，組通信成員管理器(2)用于與各成員節點機(4.1、4.2、……、4.n)建立連接，對各成員的身份進行認證并將認證結果返回給組通信安全處理器(5.1、5.2、……、5.n)，對各成員節點機進行管理；組通信安全處理器(5.1、5.2、……、5.n)用于向組通信成員管理器(2)發送認證消息，接收組通信成員管理器(2)返回的認證結果，并進行統計；根據組通信的成員信息進行密鑰計算和密鑰分配；對需要發送的消息進行統計、簽名、加密和發送；對需要接收的加密消息進行接收、解密、驗證和統計；對發送的組消息或接收的組消息進行顯示；當某一成員節點機離開時，該節點機上的組通信安全處理器斷開與組通信成員管理器(2)、以及其它成員節點機之間的連接。
2.根據權利要求1所述的自適應安全組通信系統，其特征在于組通信安全處理器(5)包括控制模塊(6)、成員操作模塊(7)、密鑰管理模塊(8)、組通信信息收集模塊(9)、加密/解密模塊(10)、組通信模塊(11)和顯示模塊(12)；其中，控制模塊(6)用于接收用戶輸入的命令和成員操作模塊(7)發送的反饋信息，并向成員操作模塊(7)發送命令；向組通信信息收集模塊(9)發送信息收集命令；向顯示模塊(12)發送成員節點機信息和組通信信息；成員操作模塊(7)用于向組通信成員管理器(2)發送加入或者退出命令；對組通信成員管理器(2)發送來消息進行認證；對成員節點機的成員信息進行收集；向控制模塊(6)發送成員操作結果；向密鑰管理模塊(8)發送成員節點機信息；在該節點機離開系統時，斷開與組通信成員管理器(2)及其它成員節點機的連接；密鑰管理模塊(8)用于密鑰的計算和密鑰的自適應分配與更新；向組通信信息收集模塊(9)傳輸密鑰信息。組通信信息收集模塊(9)用于向加密/解密模塊(10)傳輸相關的密鑰信息；向加密/解密模塊(10)傳輸需要發送的消息；向加密/解密模塊(10)傳輸需要解密的消息；接收組通信模塊(11)發送來的信息；根據組通信模塊(11)發送來的信息，對其它成員節點機發送的消息和接收的解密消息進行收集；向控制模塊(6)傳輸收集到的組通信信息；加密/解密模塊(10)的用于接收組通信信息收集模塊(9)發送來的各種消息；根據接收的消息和密鑰信息，對需要發送的消息進行組簽名和消息加密；對需要接收的消息進行解密，并進行消息的簽名驗證，并將處理后的這些消息發送到組通信模塊(11)；組通信模塊(11)用于實現本節點機與其它成員節點機之間的通訊，以及本節點機內加密/解密模塊(10)和組通信信息收集模塊(9)之間的通訊；顯示模塊(12)用于顯示接收的成員節點機信息和組通信信息的信息。
3.根據權利要求1或2所述的自適應安全組通信系統，其特征在于組通信成員管理器(2)包括套接字模塊(13)、服務器認證模塊(14)和組通信成員管理模塊(15)；套接字模塊(13)用于在端口建立服務器套接字，并等待組通信安全處理器(5)中的成員操作模塊(7)的連接，并將接收的信息發送給服務器認證模塊(14)；服務器認證模塊(14)用于對套接字模塊(13)發送來的信息進行認證，其將結果發送給組通信成員管理模塊(15)；發送認證的結果；接收組通信成員管理模塊(15)發送來的成員管理信息；向組通信安全處理器(5)中的成員操作模塊(7)發送認證信息和成員管理信息；成員管理模塊(15)用于接收服務器認證模塊(14)發送來的認證的結果；根據發送來的認證結果，自動的選擇最佳成員管理策略，實現對組成員的自適應管理，并向服務器認證模塊(14)發送成員管理信息。
全文摘要
本發明提供一種基于分布式管理架構的自適應安全組通信系統，包括位于客戶端的組通信安全處理器和位于服務器中的組通信成員管理器。組通信安全處理器負責發送認證消息，對參與組通信的成員信息進行收集、進行密鑰計算和密鑰的自適應分配與更新、對需要發送的消息進行簽名、加密和發送、對需要接收的加密消息進行接收、解密和驗證、對參與組通信的消息進行收集和顯示等。組通信成員管理器負責與成員節點機的各節點機建立連接、對其身份進行認證并將認證結果返回給組通信安全處理器、對成員節點機進行自適應管理。本發明采用新的加密認證方法，能夠保證組通信的安全性。本發明具有安裝簡單、界面人性化、良好的可擴展性和跨平臺性等優點。
文檔編號H04L9/32GK1996835SQ20061016658
公開日2007年7月11日 申請日期2006年12月31日 優先權日2006年12月31日
發明者金海 , 鄒德清, 李運發, 陳潔云, 蔣懷貞, 羌衛中, 韓宗芬 申請人:華中科技大學