适用于网络内容审计的SSL/TLS保密数据高效明文采集方法

为解决互联网上使用安全套接层/传输层安全(SSL/TLS)协议保密的数据难以审计的问题,提出了一种基于中间人原理的SSL/TLS保密网络数据的明文采集方法,将作为合法中间人的数据采集器串行接入服务端与客户端之间,在SSL/TLS握手阶段通过修改通信双方传输的握手消息,取得通信双方用于数据加密的密钥,达到解密保密数据、采集其明文的目的。该方法比已有的基于代理服务器原理的采集方法传输时延更短,SSL吞吐率更大,占用内存资源更少;比已有的采集器持有服务端私钥的方案应用范围更广,且不受网络丢包的影响。实验结果表明提出的方法与基于代理服务器原理的采集方法相比,传输时延降低了约27.5%;SSL吞吐率提高了约10.4%,且SSL吞吐率已接近理想情况下的上限值。

针对SSL/TLS协议会话密钥的安全威胁与防御方法

分析安全套接层/安全传输层(SSL/TLS)协议在客户端的具体实现,利用浏览器处理SSL/TLS协议会话主密钥和协议握手过程中传递安全参数存在的漏洞与缺陷,结合Netfilter机制进行会话劫持,提出一种针对SSL/TLS协议的安全威胁方案(SKAS)并对其进行安全研究,给出随机数单向加密、双向加密及保护会话主密钥安全的3种防御方法。经过实验验证了SKAS威胁的有效性,其攻击成功率达到90%以上且攻击范围广、威胁程度高,提出的3种防御方法均能抵御SKAS威胁,保证了客户端和服务器间SSL/TLS协议的数据通信安全。

基于身份的TLS协议及其BAN逻辑分析

基于身份的密码体制(IBC)轻量、高效,密钥管理方式简单,但缺乏有效安全协议的支持限制了其应用。通过增加支持IBC的加密套件,引入IBC公钥代替RSA证书公钥,减少消息交换数量,提出支持IBC的、高效的基于身份的IB_TLS协议。使用BAN逻辑对其进行形式化分析,证明IB_TLS协议是安全的。

基于IBC的TLS握手协议设计与分析

为了克服当前广泛使用的传输层安全协议存在的证书管理复杂和握手延迟高的缺点,通过分析基于身份的密码体制的特点,设计了使用基于身份的加密方案的握手协议,以及适合双向认证条件的使用基于身份的认证的密钥协商方案的握手协议。安全性分析和性能仿真实验结果表明,在同等安全强度下,与基于证书的方案相比,基于IBC的握手协议具有相称的密码算法处理开销,但是减少了协议通信量,明显降低了握手延迟,提高了协议的运行效率。

基于数字签名和属性证书的TLS协议改进方法

分析TLS(transport layer security)协议的安全性和性能问题。针对TLS协议在抗抵赖性和访问控制方面的缺陷,按照TLS协议扩展标准,对协议的消息流程进行扩展。在协议内部增加数字签名和属性证书机制,提高协议的安全性,并对扩展后的协议进行性能上的优化。最后通过实验证明改进后的协议比原协议更加安全高效。

基于参数优化批处理的TLS协议(英文)

TLS(transport layer security)协议的基本设计目标是为两个通信实体之间提供数据的保密性和完整性.由于在传输层安全握手协议中最耗费计算资源的步骤是服务器RSA解密运算,优化的批处理的RSA方法提出可以用于加速 TLS 会话的初始化.首先指出了以前的批处理方法由于要求多证书实现而实用性不强.然后提出了单一证书策略的方法,从而克服了这一问题.还提出结合用户对于因特网服务质量的要求优化了批处理参数.为了选择优化的批处理的参数,不仅考虑了服务器的性能,而且还考虑了客户可容忍的等待时间.通过分析并在阐述平均排队时间、批处理服务时间和系统稳定性的基础上提出了一种新颖的优化批处理调度算法,已部署在服务器上.最后通过分析和模拟两种方法验证了所提出方案的实用性和有效性.

基于TLS和JWT远程救助系统安全的API

为满足用户隐私安全的需求,设计实现了一套相对安全的API(Application Programming Interface)。该安全接口采用TLS(Transport Layer Security)安全套接技术和JSON(Java Script Object Notation)Web Token验证技术,通过在HTTP传输层加密和用户权限token验证的双层验证机制为用户构筑相对安全的API访问模式。通过相关系统安全性测试与分析,该系统可在实现监护者和被监护者之间的交流、信息发布及定位等功能的基础上,实现安全的信息传输,以提高用户隐私的安全性。

TLS协议认证测试模型与形式化分析

TLS协议是一种重要的传输层安全协议,得到了广泛的应用。在结合串空间理论和方法的基础上,通过构造TLS握手协议的认证测试模型,提出了TLS协议的DH参数签名认证测试方案,分析和证明了协议的保密性和认证性等关键属性。结果表明TLS协议满足其安全性说明。

基于IEEE 802．1x和EAP-TLS的无线局域网认证和密钥管理的研究与实现

分析了基于IEEE802.11无线局域网的安全问题。针对安全隐患,提出了基于IEEE802.1x和EAP-TLS双向认证和密钥管理的方案。详细阐述了其中最重要的两部分-基于数字证书认证和密钥产生的具体实现。分析结果表明该方案能提供可靠的基于数字证书的双向认证,可有效提高无线局域网的安全性。

基于哈希的TLS会话重用数据采集方法

网络安全审计系统用以审计用户行为保障内网安全,已受到越来越多的关注和重视。数据采集作为后续分析审计工作的基础,对系统起着至关重要的作用。传输层安全协议TLS是网络上应用广泛的安全协议,为建立起一条安全的TLS连接,客户端和服务器需要额外的握手过程进行协商,这一过程是十分耗时的。TLS会话重用特性使得双方重用已经协商好的会话参数,从而减轻握手开销。作为提高TLS性能的有效方式,会话重用已得到广泛的支持和应用。本文讨论了TLS协议重用会话的数据采集问题,通过分析session ID和session ticket两种会话重用方式的流程和特性,提出了基于哈希的会话重用采集方法。最后,在多核网络处理器平台上实现了该方法,实验证明了方法的有效性。

TLS协议组密底泄露缺陷及改进

提出了TLS协议组(SSL3.0和TLS1.0及其衍生的系列协议)共同存在的一个安全缺陷:密文的最前面4个字节其底码是可以猜测的。攻击者利用该缺陷蛮力搜索密钥攻击该类协议时可以大幅度减少工程量。给出了协议改进方案;针对改进前后的协议,详细描述了蛮力攻击方法,并进行了攻击复杂度分析。

TLS协议函数库的设计与实现

在分析TLS协议的基础上,采用面向对象的方法设计并实现了TLS协议函数库,并进行了初步测试。实验证明该TLS函数库能满足TLS协议的通信要求。

一种改进的EAP-TLS快速重鉴权方法

EAP-TLS作为最安全的EAP标准之一,虽然具有良好的安全性,但在进行用户重鉴权时会对鉴权服务器造成较高的负荷,针对此缺陷本文提出一种改进的快速重鉴权方法,该方法通过修改重鉴权的发起方式并且在初始鉴权建立的安全性基础上简化重鉴权流程,可有效降低鉴权服务器的负荷,提高重鉴权的速度,同时不失安全性。

基于模型检测的TLS协议实现库安全性分析

针对传统模糊测试方法虽能发现传输层安全性(transport layer security,TLS)协议实现库内存漏洞,但无法找到其中逻辑漏洞的问题,基于模型检测的方法,提取TLS协议实现库的状态机模型,建立协议安全属性模型,寻找协议实现中可能存在的异常行为,实现对协议实现库的自动化和系统化的分析。对利用测试用例生成的协议实现库状态机进行安全属性建模,利用NuSMV工具,对提取的模型进行模型检测。实验结果证明所提方法能够有效分析TLS协议实现库的状态机模型,找到协议实现库存在的逻辑漏洞及与规范不一致的缺陷。

基于状态机学习算法的TLS实现库安全性分析

通过状态机学习算法,可以提取传输层安全(transport layer security,TLS)协议的实现库状态机模型来分析其安全性。当前在状态机学习中需要解决状态机学习时间随目标系统状态数增长而呈指数级增长的问题。提出一种改进的状态机学习算法,通过TLS协议特定套接字约简所需测试序列;结合检查点算法构造测试序列的前缀树,简化目标系统对测试序列测试步骤。测试结果表明,提出的改进算法能够大幅减少状态机学习过程生成的等价查询数量,加速状态机学习过程。同时通过学习到的状态机模型,分析其异常状态,找到一个OpenSSl的逻辑错误,证明学习到的模型是有效的。

一种基于TLS的日志传输方案

针对syslog日志管理系统在传输中存在的机密性和可靠性等安全缺陷,提出一种基于传输层安全(TLS)协议的日志传输方案。该方案通过调用OpenSSL库中包含的完整SSL协议接口来建立传输安全层的方法,为两个通信主体提供保密、可靠的信道。性能分析表明该方案具有很高的安全性和很强的应用性。

TLS在无线环境下的改进及安全性分析

在有线的公钥基础设施 PKI(Public Key Infrastructure)中,大多数都是采用 TLS(Transport LayerSecurity)建立安全通道,保证了数据传输的安全性。但在无线领域中,TLS 的某些特点不能适应无线应用环境,因此本文针对无线终端以及协议层的不同,重点介绍了无线安全层安全协议 WTLS 中对 TLS 的改进(WirelessTransport Layer Security),并对 WTLS 的安全性进行了简要的分析。

TLS会话复用的客户端安全分析与改进措施

为了减少不对称计算带来的性能降低和资源消耗,在传输层安全性协议(TLS)中设计了会话复用机制。该机制使TLS1.2握手过程降为1个往返时延(RTT),并且使TLS1.3实现了0-RTT。基于此,通过研究会话标识(session id)、会话票据(session ticket)和预共享密钥(PSK)3种实现方式,并分析了会话复用在客户端存在的漏洞和缺陷,提出了采用关联数据的认证加密(AEAD)算法和基于密钥相关的哈希运算消息认证码的密钥推导(HKDF)函数导出的密钥对客户端信息进行加密和认证的改进措施,保障了后续在握手和应用数据阶段信息不被窃听和篡改。

支持国产密码算法的OpenSSL设计实现及应用

OpenSSL是一套应用广泛的、开源的支持传输层安全协议的密码学基础库和全功能软件包.将国产密码算法集成到OpenSSL中,使之支持国密认证体系及国密TLS协议,有着十分重要的意义·介绍如何将国密算法及国密TLS协议集成到OpenSSL中,实现国产密码套件ECC-SM4-SM3和ECDHE-SM4-SM3,并简述支持国产密码算法的OpenSSL应用.

基于Stacking与多特征融合的加密恶意流量检测

加密技术保护网络通信安全的同时,大量恶意软件也采用加密协议来隐藏其恶意行为。在现有基于机器学习的TLS加密恶意流量检测模型中,存在单模型检测算法对多粒度特征适用性差和混合流量检测误报率高的问题。提出基于Stacking策略和多特征融合的非解密TLS加密恶意流量检测方法。分析加密恶意流量特征多粒度的特点,提取流量的流特征、连接特征和TLS握手特征。对所提取的特征通过特征工程进行规约处理,从而减少计算开销。对规约处理后的3类特征分别建立随机森林、XGBoost和高斯朴素贝叶斯分类器模型学习隐藏在流量内部的规律。在此基础上,使用流指纹融合处理后的多维特征,利用Stacking策略组合3个分类器,构成DMMFC检测模型来识别网络中的TLS加密恶意流量。基于CTU-13公开数据集对构建的模型进行性能评估,实验结果表明,该方法在二分类实验上识别召回率高达99.93%,恶意流量检测的误报率低于0.10%,能够有效检测非解密的TLS加密恶意流量。