專利名稱：行動裝置與資料源服務(wù)器安全連結(jié)系統(tǒng)與方法及安全機制的制作方法
技術(shù)領(lǐng)域：
本發(fā)明有關(guān)一種與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，特別是有關(guān)一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法及其安全機制。
背景技術(shù)：
企業(yè)用戶為了保護其信息系統(tǒng)的局域網(wǎng)絡(luò)，通常運用防火墻隔絕外界直接對局域網(wǎng)絡(luò)內(nèi)的服務(wù)器進行聯(lián)機，在這樣的網(wǎng)絡(luò)環(huán)境下，局域網(wǎng)絡(luò)外的行動裝置便無法建立對局域網(wǎng)絡(luò)內(nèi)服務(wù)器的聯(lián)機，且防火墻也禁止外界直接聯(lián)機到局域網(wǎng)絡(luò)內(nèi)讀取資料，因此存在防火墻限制數(shù)據(jù)傳輸至行動裝置的問題。
局域網(wǎng)絡(luò)內(nèi)服務(wù)器為了效率的緣故，通常本身不提供安全加密功能，資料在網(wǎng)際網(wǎng)絡(luò)與無線網(wǎng)絡(luò)之間若以明文格式傳遞，則容易使資料遭到竊取，因此在局域網(wǎng)絡(luò)內(nèi)服務(wù)器與局域網(wǎng)絡(luò)外行動裝置之間傳遞信息時，亦存在資料加密的安全性問題。
有鑒于此，本發(fā)明針對上述的問題，提出一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，可使得行動裝置能夠連接至企業(yè)內(nèi)部服務(wù)器，同時能使機密資料受到保護。

發(fā)明內(nèi)容
本發(fā)明的主要目的，是在提供一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，其使用安全主機通過防火墻與中繼網(wǎng)關(guān)建立聯(lián)機，可使行動裝置連接中繼網(wǎng)關(guān)而進入局域網(wǎng)絡(luò)內(nèi)部服務(wù)器。
本發(fā)明的另一目的，是在提供一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，由行動裝置與安全主機之間建立安全加密通道，提供資料傳遞的安全保護。
本發(fā)明的再一目的，是在提供一種行動裝置與資料源服務(wù)器連結(jié)的安全機制，利用證書驗證安全主機，避免非授權(quán)的安全主機偽裝而獲得重要資料。
根據(jù)本發(fā)明，其包括多個資料源服務(wù)器設(shè)置在局域網(wǎng)絡(luò)內(nèi)部并儲存有多筆資料，安全主機與相對應(yīng)的資料源服務(wù)器連接以傳輸資料，一防火墻位于安全主機與網(wǎng)際網(wǎng)絡(luò)之間，可以阻止文件非經(jīng)允許的使用者經(jīng)由網(wǎng)際網(wǎng)絡(luò)連接至局域網(wǎng)絡(luò)內(nèi)部，中繼網(wǎng)關(guān)一端經(jīng)由網(wǎng)際網(wǎng)絡(luò)通過防火墻與安全主機連接，另一端則連接無線網(wǎng)絡(luò)，可作為網(wǎng)際網(wǎng)絡(luò)與無線網(wǎng)絡(luò)的中繼連接點，行動裝置經(jīng)由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)連接以傳輸資料；另外，本發(fā)明提供的步驟包括安全主機向中繼網(wǎng)關(guān)建立聯(lián)機，行動裝置向中繼網(wǎng)關(guān)建立聯(lián)機，行動裝置與安全主機透過中繼網(wǎng)關(guān)執(zhí)行配對，以及行動裝置與安全主機建立一經(jīng)過安全加密的通道；再者，所提供的安全機制包括有一證書儲存在可被安全主機讀取的儲存裝置中，一中繼網(wǎng)關(guān)連接安全主機并可傳輸資料，以及行動裝置經(jīng)由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)連接并可傳輸資料，且行動裝置內(nèi)設(shè)有證書驗證模組。
本發(fā)明包含的具體方案為一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)，包括至少一資料源服務(wù)器，其設(shè)置在一局域網(wǎng)絡(luò)內(nèi)部并儲存有資料；至少一安全主機，其連接資料源服務(wù)器以傳輸資料；至少一防火墻，其位于該安全主機與網(wǎng)際網(wǎng)絡(luò)之間，可以阻止文件非經(jīng)允許的使用者經(jīng)由網(wǎng)際網(wǎng)絡(luò)聯(lián)機至該局域網(wǎng)絡(luò)；至少一中繼網(wǎng)關(guān)，其一端經(jīng)由網(wǎng)際網(wǎng)絡(luò)通過該防火墻與該安全主機連接，另一端則連接一無線網(wǎng)絡(luò)，作為該局域網(wǎng)絡(luò)與該無線網(wǎng)絡(luò)的中繼連接點；至少一行動裝置，其經(jīng)由該無線網(wǎng)絡(luò)與該中繼網(wǎng)關(guān)連接以傳輸資料。
本發(fā)明另外指出一種行動裝置與資料源服務(wù)器連結(jié)的方法，包括下列步驟一安全主機向一中繼網(wǎng)關(guān)建立聯(lián)機；一行動裝置向該中繼網(wǎng)關(guān)建立聯(lián)機；該行動裝置與該安全主機透過該中繼網(wǎng)關(guān)執(zhí)行配對；該行動裝置與該安全主機建立一經(jīng)過安全加密的通道；以及該行動裝置與該安全主機進行雙向數(shù)據(jù)傳輸。
本發(fā)明還指出一種行動裝置與資料源服務(wù)器連結(jié)的安全機制，包括至少一證書，其儲存在一儲存組件中并可被安全主機讀??；至少一中繼網(wǎng)關(guān)，其連接該安全主機并可傳輸資料；以及至少一行動裝置，其由一無線網(wǎng)絡(luò)與該中繼網(wǎng)關(guān)連接并可傳輸資料，該行動裝置內(nèi)并設(shè)有一證書驗證模組。


圖1為本發(fā)明的系統(tǒng)架構(gòu)圖。
圖2a為本發(fā)明的安全主機的結(jié)構(gòu)示意圖。
圖2b為本發(fā)明的中繼網(wǎng)關(guān)的結(jié)構(gòu)示意圖。
圖3為本發(fā)明的實施方法流程圖。
圖4為本發(fā)明的安全機制架構(gòu)圖。
圖號說明11、11’資料源服務(wù)器 12、12’安全主機13、13’防火墻 14中繼網(wǎng)關(guān)15筆記型計算機 16智能型手機21資料源服務(wù)器連接模組 22網(wǎng)絡(luò)安全模組23中繼網(wǎng)關(guān)連接模組 31安全主機連接模組32連接配對傳輸模組 33行動裝置連接模組52安全主機 54中繼網(wǎng)關(guān)56智能型手機
具體實施例方式
本發(fā)明提供一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，使得行動裝置能夠連接至企業(yè)網(wǎng)絡(luò)內(nèi)的資料源服務(wù)器，并同時得到安全的保障。
請參閱圖1為本發(fā)明的系統(tǒng)架構(gòu)圖，行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)包括，資料源服務(wù)器11、11’設(shè)置在局域網(wǎng)絡(luò)內(nèi)部并儲存有多筆資料，且資料源服務(wù)器11、11’可以是任何可接受TCP協(xié)議的服務(wù)器；安全主機12、12’對應(yīng)資料源服務(wù)器11、11’并與其連接以傳輸資料；防火墻13、13’對應(yīng)安全主機12、12’可以阻檔非經(jīng)允許的使用者經(jīng)由外部網(wǎng)際網(wǎng)絡(luò)聯(lián)機至局域網(wǎng)絡(luò)；一中繼網(wǎng)關(guān)14其一端經(jīng)由網(wǎng)際網(wǎng)絡(luò)通過防火墻13、13’與安全主機12、12’連接，另一端則連接無線網(wǎng)絡(luò)，可作為網(wǎng)際網(wǎng)絡(luò)與無線網(wǎng)絡(luò)的中繼連接點；以及多種行動裝置，如筆記型計算機15或智能型手機16，行動裝置可經(jīng)由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)14連接以傳輸資料。
請參閱圖2a，安全主機包括資料源服務(wù)器連接模組21使安全主機建立與資料源服務(wù)器的連接，中繼網(wǎng)關(guān)連接模組23使安全主機建立與網(wǎng)際網(wǎng)絡(luò)的連接，可與中繼網(wǎng)關(guān)連接以傳輸資料，以及網(wǎng)絡(luò)安全模組22，將來自中繼網(wǎng)關(guān)的資料解密后傳遞至資料源服務(wù)器11，同時亦將資料加密傳遞至中繼網(wǎng)關(guān)，網(wǎng)絡(luò)安全模組22并具有一證書。
請參閱圖2b，中繼網(wǎng)關(guān)包括安全主機連接模組31連接安全主機，并接受與管理由安全主機建立的聯(lián)機；行動裝置連接模組33其經(jīng)由無線網(wǎng)絡(luò)連接行動裝置，并接受與管理由行動裝置建立的聯(lián)機；以及連接配對傳輸模組32，其配對行動裝置與安全主機之間的聯(lián)機，并在配對成功后使資料能在安全主機與行動裝置之間雙向傳輸。
請參閱圖3為本發(fā)明的實施方法流程圖，并一并參閱圖1，步驟S1安全主機12經(jīng)過防火墻13向中繼網(wǎng)關(guān)14建立聯(lián)機；步驟S2智能型手機16透過無線網(wǎng)絡(luò)向中繼網(wǎng)關(guān)14建立聯(lián)機；步驟S3智能型手機16與安全主機12透過中繼網(wǎng)關(guān)14執(zhí)行配對；步驟S4智能型手機16向安全主機12建立經(jīng)過安全加密的通道，智能型手機16透過中繼網(wǎng)關(guān)14向配對成功的安全主機12發(fā)出建立安全通道的請求，安全主機12與智能型手機16進行安全加密握手協(xié)議；步驟S5安全通道建立成功則允許加密資料在智能型手機16與安全主機12之間進行基于TCP協(xié)議的雙向傳輸；其中，安全加密握手協(xié)議使用對稱式加密算法或非對稱式加密算法。
另外，智能型手機可以是任何的行動通訊裝置如筆記型計算機或掌上型裝置，其與中繼網(wǎng)關(guān)連接的無線網(wǎng)絡(luò)可以為任何能傳輸IP協(xié)議封包的無線網(wǎng)絡(luò)。
再者，行動裝置與資料源服務(wù)器連結(jié)的安全機制包括一證書(DigitalCertificate)儲存在儲存裝置中并可被安全主機讀取，一中繼網(wǎng)關(guān)連接安全主機并可傳輸資料，以及行動裝置由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)連接并可傳輸資料，行動裝置內(nèi)并設(shè)有一證書驗證模組，其證書為X.509格式；其中，中繼網(wǎng)關(guān)可將兩條不同傳輸控制協(xié)議(TCP)的通訊聯(lián)機配對并建立一數(shù)據(jù)傳輸通道，數(shù)據(jù)傳輸通道建立后便允許雙向傳輸數(shù)據(jù)。
請參閱圖4為本發(fā)明的安全機制架構(gòu)圖，其運作流程包括智能型手機56經(jīng)由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)54進行聯(lián)機，中繼網(wǎng)關(guān)54將智能型手機56與安全主機52聯(lián)機建立數(shù)據(jù)傳輸通道，安全主機52讀取證書并將證書傳給智能型手機56，智能型手機56與安全主機52運用證書管理完成安全加密握手程序，若證書中的「一般識別名稱」與中繼網(wǎng)關(guān)54的網(wǎng)絡(luò)地址不符合，則智能型手機56將提示用戶證書不符合的相關(guān)信息；若符合，則智能型手機56便可與安全主機52進行資料加密傳輸，最后為一授權(quán)步驟，智能型手機56將用戶的賬號與密碼傳送到安全主機52進行身份驗證，若身份驗證不正確，則提示用戶身份驗證失敗相關(guān)信息。
另外，在上述安全機制中，多個安全主機可讀取不同內(nèi)容的證書或相同內(nèi)容的證書，證書所紀錄的「一般識別名稱」為中繼網(wǎng)關(guān)的域名、中繼網(wǎng)關(guān)的IP地址、或中繼網(wǎng)關(guān)域名的通配模式，且智能型手機的證書管理驗證模組的用途為檢驗證書所紀錄的「一般識別名稱」是否與中繼網(wǎng)關(guān)的網(wǎng)絡(luò)地址相符合。
再者，行動裝置與安全主機運用證書達成安全加密握手流程可使用安全插座層(SSL)協(xié)議、傳輸層安全(TLS)協(xié)議、無線安全傳輸層(WTLS)協(xié)議、網(wǎng)際網(wǎng)絡(luò)安全性(IPSec)協(xié)議、點對點通道協(xié)議(PPTP)或第二層通道通信協(xié)議(L2TP)。
本發(fā)明利用上述行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)，使行動裝置經(jīng)由無線網(wǎng)絡(luò)與中繼網(wǎng)關(guān)連接，再由中繼網(wǎng)關(guān)由網(wǎng)際網(wǎng)絡(luò)通過防火墻與安全主機連接進入局域網(wǎng)絡(luò)內(nèi)的資料源服務(wù)器傳輸資料；行動裝置驗證證書資料，待驗證通過后行動裝置再傳送帳號和密碼至安全主機實施授權(quán)，最后便可在一安全加密的通道傳送數(shù)據(jù)。因此，本發(fā)明不但可有效解決現(xiàn)有的行動裝置無法連接局域網(wǎng)絡(luò)內(nèi)資料源服務(wù)器的問題，提供一種安全連接的方法，可避免重要資料外泄，并且可發(fā)揮行動裝置的便利性。
以上所述是由實施例說明本發(fā)明的特點，其目的在使熟習該技術(shù)者能解本發(fā)明的內(nèi)容并據(jù)以實施，而非限定本發(fā)明的專利范圍，故，凡其它未脫離本發(fā)明所揭示的精神所完成的等效修飾或修改，仍應(yīng)包含在以下所述的申請專利范圍中。
權(quán)利要求
1.一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)，其特征在于，包括至少一資料源服務(wù)器，其設(shè)置在一局域網(wǎng)絡(luò)內(nèi)部并儲存有資料；至少一安全主機，其連接資料源服務(wù)器以傳輸資料；至少一防火墻，其位于該安全主機與網(wǎng)際網(wǎng)絡(luò)之間，可以阻止文件非經(jīng)允許的使用者經(jīng)由網(wǎng)際網(wǎng)絡(luò)聯(lián)機至該局域網(wǎng)絡(luò)；至少一中繼網(wǎng)關(guān)，其一端經(jīng)由網(wǎng)際網(wǎng)絡(luò)通過該防火墻與該安全主機連接，另一端則連接一無線網(wǎng)絡(luò)，作為該局域網(wǎng)絡(luò)與該無線網(wǎng)絡(luò)的中繼連接點；至少一行動裝置，其經(jīng)由該無線網(wǎng)絡(luò)與該中繼網(wǎng)關(guān)連接以傳輸資料。
2.如權(quán)利要求1所述的行動裝置與資料源服務(wù)器連結(jié)的系統(tǒng)，其特征在于，該安全主機包括一資料源服務(wù)器連接模組，其使該安全主機建立與該資料源服務(wù)器的連接；一中繼網(wǎng)關(guān)連接模組，其使該安全主機建立與該網(wǎng)際網(wǎng)絡(luò)的連接，并與該中繼網(wǎng)關(guān)連接以傳輸資料；以及一網(wǎng)絡(luò)安全模組，其一端連接該中繼網(wǎng)關(guān)連接模組將來自該中繼網(wǎng)關(guān)的資料解密后傳遞至該資料源服務(wù)器，另一端則連接該資料源服務(wù)器連接模組，并且將來自資料源服務(wù)器的資料加密之后傳遞至該中繼網(wǎng)關(guān)。
3.如權(quán)利要求1所述的行動裝置與資料源服務(wù)器連結(jié)的系統(tǒng)，其特征在于，該中繼網(wǎng)關(guān)包括一安全主機連接模組，其連接該安全主機，并接受與管理由該安全主機建立的聯(lián)機；一行動裝置連接模組，其經(jīng)由該無線網(wǎng)絡(luò)連接該行動裝置，并接受與管理由該行動裝置建立的聯(lián)機；以及一連接配對傳輸模組，其一端連接該行動裝置連接模組，另一端連接該安全主機連接模組，可配對該行動裝置與該安全主機之間的聯(lián)機，并在配對成功后使資料能在兩者之間雙向傳輸。
4.如權(quán)利要求1所述的行動裝置與資料源服務(wù)器連結(jié)的系統(tǒng)，其特征在于，該無線網(wǎng)絡(luò)可傳遞基于IP協(xié)議封包的無線網(wǎng)絡(luò)。
5.如權(quán)利要求1所述的行動裝置與資料源服務(wù)器連結(jié)的系統(tǒng)，其特征在于，該資料源服務(wù)器是任何可接受傳輸控制協(xié)議的服務(wù)器。
6.一種行動裝置與資料源服務(wù)器連結(jié)的方法，其特征在于，包括下列步驟一安全主機向一中繼網(wǎng)關(guān)建立聯(lián)機；一行動裝置向該中繼網(wǎng)關(guān)建立聯(lián)機；該行動裝置與該安全主機透過該中繼網(wǎng)關(guān)執(zhí)行配對；該行動裝置與該安全主機建立一經(jīng)過安全加密的通道；以及該行動裝置與該安全主機進行雙向數(shù)據(jù)傳輸。
7.如權(quán)利要求6所述的行動裝置與資料源服務(wù)器連結(jié)的方法，其特征在于，該行動裝置與該安全主機建立一經(jīng)過安全加密的通道，更包括該行動裝置透過該中繼網(wǎng)關(guān)向配對成功的該安全主機發(fā)出建立安全通道請求；以及該安全主機與該行動裝置進行安全加密握手協(xié)議，加密算法使用對稱式加密算法或非對稱式加密算法。
8.一種行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，包括至少一證書，其儲存在一儲存組件中并可被安全主機讀??；至少一中繼網(wǎng)關(guān)，其連接該安全主機并可傳輸資料；以及至少一行動裝置，其由一無線網(wǎng)絡(luò)與該中繼網(wǎng)關(guān)連接并可傳輸資料，該行動裝置內(nèi)并設(shè)有一證書驗證模組。
9.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該證書為X.509格式。
10.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該中繼網(wǎng)關(guān)是將兩條不同傳輸控制協(xié)議配對并建立一數(shù)據(jù)傳輸通道，該數(shù)據(jù)傳輸通道建立后便允許雙向傳輸數(shù)據(jù)。
11.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，多個安全主機可讀取不同內(nèi)容的證書。
12.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，多個安全主機可讀取相同內(nèi)容的證書。
13.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該證書所紀錄的「一般識別名稱」為該中繼網(wǎng)關(guān)的域名、該中繼網(wǎng)關(guān)的IP地址、或該中繼網(wǎng)關(guān)域名的通配模式。
14.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該證書驗證模組是檢驗該證書所傳送的「一般識別名稱」是否與該中繼網(wǎng)關(guān)的網(wǎng)絡(luò)地址相符合。
15.如權(quán)利要求8所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，在該安全主機對該中繼網(wǎng)關(guān)進行聯(lián)機后，包括下列步驟該行動裝置經(jīng)由該無線網(wǎng)絡(luò)與該中繼網(wǎng)關(guān)進行聯(lián)機；該中繼網(wǎng)關(guān)將該行動裝置與該安全主機聯(lián)機建立數(shù)據(jù)傳輸通道；該安全主機讀取該證書并將該證書傳給該行動裝置；以及該行動裝置與該安全主機運用證書管理完成安全加密握手程序，該行動裝置便可與該安全主機進行資料加密傳輸。
16.如權(quán)利要求15所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該行動裝置與該安全主機運用證書管理完成安全加密握手程序的步驟更包括，若該證書中的「一般識別名稱」與該中繼網(wǎng)關(guān)的網(wǎng)絡(luò)地址不符合，則該行動裝置將提示用戶證書不符合的相關(guān)信息。
17.如權(quán)利要求15所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該行動裝置與該安全主機進行數(shù)據(jù)傳輸?shù)牟襟E更包括，該行動裝置將用戶的賬號與密碼傳送到該安全主機進行身份驗證，若身份驗證不正確，則提示用戶身份驗證失敗相關(guān)信息。
18.如權(quán)利要求15所述的行動裝置與資料源服務(wù)器連結(jié)的安全機制，其特征在于，該行動裝置與該安全主機運用證書達成安全加密握手流程是選自安全插座層協(xié)議、傳輸層安全協(xié)議、無線安全傳輸層協(xié)議、網(wǎng)際網(wǎng)絡(luò)安全性協(xié)議、點對點通道協(xié)議、第二層通道通信協(xié)議所組成群組的至少其中之一。
全文摘要
本發(fā)明提供一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法及其安全機制，其由安全主機連接局域網(wǎng)絡(luò)內(nèi)的資料源服務(wù)器，再通過防火墻連接網(wǎng)際網(wǎng)絡(luò)的中繼網(wǎng)關(guān)，最后行動裝置經(jīng)由無線網(wǎng)絡(luò)連接中繼網(wǎng)關(guān)，如此可解除防火墻禁止行動裝置直接聯(lián)機局域網(wǎng)絡(luò)內(nèi)部服務(wù)器的限制，并由行動裝置與安全主機之間建立安全加密通道，提供資料傳遞的安全保護。因此本發(fā)明提供一種行動裝置與資料源服務(wù)器安全連結(jié)的系統(tǒng)與方法，可以在不更改防火墻設(shè)置的情況下，讓行動裝置與局域網(wǎng)絡(luò)內(nèi)資料源服務(wù)器進行安全的雙向數(shù)據(jù)傳輸，并且有效發(fā)揮行動裝置的便利性。
文檔編號H04L12/66GK1703029SQ200510058929
公開日2005年11月30日 申請日期2005年3月25日 優(yōu)先權(quán)日2004年5月24日
發(fā)明者邱泊寰, 林炳基, 羅健志, 黃金燦 申請人:卡米爾資訊股份有限公司