專利名稱：實現(xiàn)Portal認證服務(wù)器防攻擊的方法及寬帶接入服務(wù)器的制作方法
技術(shù)領(lǐng)域：
本申請涉及服務(wù)器防攻擊技術(shù)領(lǐng)域，尤其涉及實現(xiàn)Portal認證服務(wù)器防攻擊的方法及寬帶接入服務(wù)器。
背景技術(shù)：
目前，基于Web進行Portal接入認證的方案，因為不涉及客戶端，方便部署，在校園網(wǎng)、運營商寬帶接入中得到廣泛應(yīng)用?；赪eb進行Portal接入認證的典型組網(wǎng)如圖I所示，其基本原理是未通過Portal認證時,用戶訪問外網(wǎng)的Http請求均會被BAS設(shè)備重 定向，通過Portal服務(wù)器將認證頁面推給用戶，用戶輸入正確的賬戶、密碼信息后，繼續(xù)后續(xù)的認證計費流程，認證通過后，用戶可以正常訪問外網(wǎng)資源。如圖I所示,例如,用戶去往www. sina. com. cn的Http請求,到達寬帶接入服務(wù)器BAS端后，BAS仿冒用戶想去往的目的端，向用戶回應(yīng)Http重定向報文，重定向報文中包含有BAS設(shè)備本地預(yù)先配置的Portal Server地址,告知用戶訪問Portal服務(wù)器,用戶端接收到重定向報文，向Portal服務(wù)器發(fā)出請求，Portal服務(wù)器將認證頁面推給用戶。在現(xiàn)網(wǎng)中應(yīng)用時發(fā)現(xiàn)，由于用戶終端(PC主機、移動設(shè)備等)的多樣性、及應(yīng)用軟件的豐富性，用戶終端上的很多軟件、或基于互聯(lián)網(wǎng)的應(yīng)用程序(統(tǒng)稱為非瀏覽器應(yīng)用程序)，會不斷主動發(fā)出Http探測或更新報文，發(fā)送頻率有的甚至達到10幾毫秒一次。對BAS設(shè)備而言，無法區(qū)分其接收到的Http請求是用戶瀏覽器的上網(wǎng)請求，還是來自非瀏覽器應(yīng)用程序的業(yè)務(wù)流量，只要是Http請求報文，都會進行重定向處理，即向Http請求報文的發(fā)送方回應(yīng)重定向報文，告知發(fā)送方訪問Portal服務(wù)器，這樣就會導(dǎo)致大量來自非瀏覽器應(yīng)用程序的Http報文也發(fā)往Portal認證服務(wù)器,嚴重影響了 Portal Server的性能,造成一種事實上的攻擊。如圖2所示，大量的Http請求被BAS重定向后發(fā)往Portal認證服務(wù)器，Portal
Server會--回應(yīng)；對于非瀏覽器應(yīng)用程序發(fā)出的Http請求，Portal Server也會--回
應(yīng)，但由于非瀏覽器應(yīng)用程序不具備瀏覽器的頁面解析、并以交互方式提供用戶身份信息的能力，收到來自Portal Server的回應(yīng)報文后無法進行響應(yīng)，這些回應(yīng)報文最終被客戶端的非瀏覽器應(yīng)用程序丟棄，白白浪費了 Portal認證服務(wù)器的資源。由于BAS設(shè)備無法有效區(qū)分，真正來自客戶端瀏覽器的上網(wǎng)請求和非瀏覽器應(yīng)用程序產(chǎn)生的業(yè)務(wù)流量，最終導(dǎo)致Portal服務(wù)器受到攻擊。

發(fā)明內(nèi)容
有鑒于此，本申請?zhí)岢鲆环N實現(xiàn)Portal認證服務(wù)器防攻擊的方法，可有效避免Portal服務(wù)器受到攻擊。本申請還提出一種寬帶接入服務(wù)器，可有效避免Portal服務(wù)器受到攻擊。為達到上述目的，本申請實施例的技術(shù)方案是這樣實現(xiàn)的一種實現(xiàn)Portal認證服務(wù)器防攻擊的方法，包括以下步驟
寬帶接入服務(wù)器BAS獲取來自客戶端的未通過Portal認證的Http請求報文,建立TCP連接，向客戶端發(fā)送質(zhì)詢認證請求報文；BAS接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端的瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文。一種寬帶接入服務(wù)器BAS，包括Http請求報文獲取模塊、質(zhì)詢認證模塊、重定向模塊，其中Http請求報文獲取模塊,用于獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接,并將所述Http請求報文發(fā)送至質(zhì)詢認證模塊；質(zhì)詢認證模塊，用于接收來自Http請求報文獲取模塊的所述Http請求報文，向客戶端發(fā)送質(zhì)詢認證請求報文，接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，將認證成功的信息發(fā)送至重定向模塊；·重定向模塊，用于接收質(zhì)詢認證模塊發(fā)送的認證成功的信息，向所述客戶端的瀏覽器發(fā)送含有Portal服務(wù)器URL地址的重定向報文。本申請的有益效果為，BAS在重定向報文發(fā)送之前，通過對去往外網(wǎng)的Http請求報文引入Http質(zhì)詢認證，達到對客戶端瀏覽器的上網(wǎng)請求和非瀏覽器應(yīng)用程序產(chǎn)生的業(yè)務(wù)流量的有效區(qū)分，非瀏覽器應(yīng)用程序不具備http質(zhì)詢認證頭www-authenticate的解析識別能力，無法響應(yīng)質(zhì)詢認證請求，因此也無法獲取到真正的Portal服務(wù)器地址，從而可有效屏蔽來自客戶端非瀏覽器應(yīng)用程序的業(yè)務(wù)流量，避免了 Portal服務(wù)器受到攻擊。同時，通過了上述質(zhì)詢認證的客戶端，才能在重定向報文中獲取到Portal服務(wù)器的URL地址，并向Portal Server發(fā)起認證頁面請求，Portal服務(wù)器便會將認證頁面推給客戶端，如此，所述客戶端實際需通過二次認證，更嚴格地保證了接入用戶的安全性。


圖I為現(xiàn)有技術(shù)的Portal Web認證組網(wǎng)示意圖；圖2為現(xiàn)有技術(shù)的Portal Web認證報文流程示意圖； 圖3為本申請實施例的方法流程圖；圖4為本申請實施例的實現(xiàn)Portal服務(wù)器防攻擊的流程示意圖；圖5為本申請實施例的寬帶接入服務(wù)器結(jié)構(gòu)圖。
具體實施例方式為了使本申請的目的、技術(shù)方案及優(yōu)點更加清楚明白，以下通過具體實施例并參見附圖，對本申請進行詳細說明。本申請采用各瀏覽器均支持的Http認證機制，對用戶訪問外網(wǎng)的Http請求進行認證保護；只有認證通過，才向客戶端回應(yīng)包含Portal服務(wù)器URL地址的重定向報文；否貝U，客戶端無法獲取到Portal服務(wù)器的真實地址。同時，獲取到Portal服務(wù)器URL地址的客戶端，訪問Portal服務(wù)器時，Portal服務(wù)器會將認證頁面推給客戶端，如此，所述客戶端實際需通過二次認證，更嚴格地保證了接入用戶的安全性。該方案具有良好的通用性，BAS在發(fā)送重定向報文前先對客戶端進行一次Http質(zhì)詢認證，對認證無法通過的客戶端，屏蔽了 Portal服務(wù)器URL地址，從而避免了冗余的訪問攻擊；對認證成功的客戶端，通過重定向報文告知Portal服務(wù)器真實地址，后續(xù)認證流程與原有方案完全一致，有很好的兼容性。本申請實施例的方法流程如圖3所示，一種實現(xiàn)Portal認證服務(wù)器防攻擊的方法，包括以下步驟步驟301 :寬帶接入服務(wù)器BAS獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接?？蛻舳税l(fā)送Http請求報文的可能是瀏覽器，也可能是非瀏覽器的應(yīng)用程序，因此，BAS接收到的Http請求報文既包括客戶端瀏覽器發(fā)送的Http請求報文，也包括客戶端的非瀏覽器應(yīng)用程序發(fā)送的Http請求報文(實際上是非瀏覽器應(yīng)用程序產(chǎn)生的業(yè)務(wù)流量)。
若來自客戶端的Http請求已是Portal服務(wù)器認證過的，貝U所述Http請求通過五元組能夠匹配BAS設(shè)備上維護的動態(tài)訪問控制列表ACL，直接訪問外網(wǎng)。即BAS獲取來自客戶端的已通過Portal認證的Http請求報文時,設(shè)定該客戶端直接訪問外網(wǎng)。若來自客戶端的Http請求未通過Portal服務(wù)器認證時,BAS截獲Http請求報文后上送CPU，建立TCP連接，然后進行后續(xù)的Http質(zhì)詢認證及Http重定向處理，即依次執(zhí)行步驟302、步驟303，而不是如現(xiàn)有技術(shù)中向客戶端直接返回包含有Portal服務(wù)器URL地址的重定向報文，造成Portal服務(wù)器地址提前泄露，從而對Portal服務(wù)器形成事實上的訪問攻擊。因此，客戶端瀏覽器或非瀏覽器應(yīng)用程序，向外網(wǎng)發(fā)出Http訪問請求，BAS截獲Http請求報文后,發(fā)現(xiàn)該Http請求未通過Portal服務(wù)器認證，即向客戶端進行質(zhì)詢認證，參見步驟302和步驟303。步驟302 BAS向客戶端發(fā)送質(zhì)詢認證請求報文。無論是客戶端的瀏覽器還是非瀏覽器應(yīng)用程序，只要BAS接收到了來自于它們的Http請求報文，BAS都向其發(fā)送質(zhì)詢認證請求報文。所述質(zhì)詢認證請求報文符合Http狀態(tài)碼401的規(guī)定。Http狀態(tài)碼401 (Unauthorized)規(guī)定，Http質(zhì)詢認證請求報文必須包含消息頭Wffff-Authenticate,客戶端收到這個質(zhì)詢認證請求報文后，就知道訪問的外部URL地址需要認證。所述WffW-Authenticate 消息頭格式為 WffW-Authenticate :challenge,其中challenge為質(zhì)詢信息，質(zhì)詢信息格式的具體定義參見RFC2617，支持基本認證和摘要認證，同時也可以進一步擴展，目前主要的認證方式有基本認證、摘要認證和證書認證，具體采用哪種認證方式，在此不作具體限定，只要客戶端與BAS端提前約定好就可以。步驟303 =BAS接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端的瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文?？蛻舳藶g覽器收到質(zhì)詢請求報文后，能正確解析質(zhì)詢認證報文頭，并彈出質(zhì)詢窗口，供用戶輸入賬號和密碼；之后，向BAS返回質(zhì)詢認證應(yīng)答報文。也就是說，只有客戶端的瀏覽器才可以返回質(zhì)詢認證應(yīng)答報文。
與質(zhì)詢認證請求報文不同的是,質(zhì)詢認證應(yīng)答報文會攜帶一個Authorization消息頭。所述Authorization 消息頭格式為 Authorization !credentials,其中credentials為認證信息，通常攜帶客戶端上傳的賬號/密碼信息。所述認證信息格式對應(yīng)于所述質(zhì)詢認證請求報文中的質(zhì)詢信息格式。對于返回質(zhì)詢認證應(yīng)答報文的客戶端，BAS接收到客戶端瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文得到賬號和密碼，并對其進行身份認證，既可以選擇本地認證，也可以選擇去遠端AAA服務(wù)器進行認證，認證方式例如挑戰(zhàn)握手認證協(xié)議CHAP或密碼認證協(xié)議PAP等。當(dāng)認證成功時，向所述客戶端發(fā)送符合Http狀態(tài)碼302的重定向報文，所述重定向報文中包含有Portal服務(wù)器URL地址?？蛻舳藶g覽器收到包含Portal服務(wù)器URL地址的重定向報文后，向Portal服務(wù)器發(fā)起認證頁面請求；后續(xù)流程與現(xiàn)有技術(shù)完全一致，用戶進行接入網(wǎng)絡(luò)的第二次身份認證，同時配合AAA下發(fā)計費、訪問控制及流量限速等策略，認證通過后用戶可以按策略訪問網(wǎng)絡(luò)資源。當(dāng)認證失敗時，執(zhí)行步驟A、寬帶接入服務(wù)器BAS向所述客戶端發(fā)送符合Http狀態(tài)碼401的質(zhì)詢認證請求報文，用戶修改賬戶/密碼信息后，繼續(xù)返回質(zhì)詢認證應(yīng)答報文，BAS接收該客戶端返回的質(zhì)詢認證應(yīng)答報文，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端發(fā)送包含有Portal服務(wù)器URL地址的重定向報文，否則，重復(fù)執(zhí)行步驟A，直至認證通過。客戶端的非瀏覽器應(yīng)用程序無法解析步驟302中的質(zhì)詢認證請求報文，只有客戶端的瀏覽器才可以解析所述質(zhì)詢認證請求報文。因此，對于沒有返回質(zhì)詢認證應(yīng)答報文的客戶端非瀏覽器應(yīng)用程序，BAS不進行進一步處理。也就是說，客戶端的非瀏覽器應(yīng)用程序收到來自BAS的質(zhì)詢認證請求報文后，由于無法解析質(zhì)詢認證請求報文中的WffW-Authenticate消息頭,使得質(zhì)詢認證請求報文丟失，客戶端的非瀏覽器應(yīng)用程序與BAS的交互結(jié)束，因沒有獲取到Portal服務(wù)器的URL地址，攻擊也無從發(fā)生。本申請中，如圖4所示，對比圖2可知，BAS獲取到用戶去往外網(wǎng)的Http請求時，在重定向報文發(fā)送之前，通過對客戶端身份進行一次質(zhì)詢認證，可有效區(qū)分上述Http請求是來自客戶端瀏覽器的請求還是非瀏覽器應(yīng)用程序的業(yè)務(wù)流量。若是來自客戶端瀏覽器的Http請求，客戶端瀏覽器必能通過質(zhì)詢認證，即能正確解析質(zhì)詢認證請求報文，返回質(zhì)詢認證應(yīng)答報文給BAS，BAS解析所述質(zhì)詢認證應(yīng)答報文得到賬號和密碼，并對其進行身份認證，身份認證通過后，BAS才向客戶端瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文。若是來自非瀏覽器應(yīng)用程序的業(yè)務(wù)流量，則非瀏覽器應(yīng)用程序無法通過質(zhì)詢認證，即不能正確解析質(zhì)詢認證請求報文，無法返回質(zhì)詢認證應(yīng)答報文給BAS，BAS將不會向非瀏覽器應(yīng)用程序發(fā)送包含有Portal服務(wù)器URL地址的重定向報文，最終實現(xiàn)PortalServer免受攻擊。 本申請實施例的寬帶接入服務(wù)器結(jié)構(gòu)如圖5所示，一種寬帶接入服務(wù)器BAS，包括Http請求報文獲取模塊、質(zhì)詢認證模塊、重定向模塊，其中Http請求報文獲取模塊,用于獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接，并將所述Http請求報文發(fā)送至質(zhì)詢認證模塊；獲取到來自客戶端的已通過Portal認證的Http請求報文時,設(shè)定所述客戶端直接訪問外網(wǎng)。質(zhì)詢認證模塊,用于接收來自Http請求報文獲取模塊的所述Http請求報文，向客戶端發(fā)送質(zhì)詢認證請求報文，接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，將認證成功的信息發(fā)送至重定向模塊；當(dāng)認證不成功時，執(zhí)行步驟B、向所述客戶端發(fā)送質(zhì)詢認證請求報文，接收該客戶端返回的質(zhì)詢認證應(yīng)答 報文，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，若認證成功，將認證成功的信息發(fā)送至重定向模塊，否則，重復(fù)執(zhí)行步驟B。所述質(zhì)詢認證請求報文符合Http狀態(tài)碼401的規(guī)定。所述質(zhì)詢認證請求報文包含WffW-Authenticate消息頭，所述WffW-Authenticate消息頭格式為WWW-Authenticate :challenge,其中challenge為RFC2617定義的質(zhì)詢信
肩、O所述質(zhì)詢認證應(yīng)答報文包含Authorization消息頭,所述Authorization消息頭格式為Authorization :credentials,其中credentials為認證信息,所述認證信息格式對應(yīng)于所述質(zhì)詢認證請求報文中的質(zhì)詢信息格式。重定向模塊，用于接收質(zhì)詢認證模塊發(fā)送的認證成功的信息，向所述客戶端的瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文。以上所述僅為本申請的較佳實施例而已，并不用以限制本申請，凡在本申請的精神和原則之內(nèi)，所做的任何修改、等同替換、改進等，均應(yīng)包含在本申請保護的范圍之內(nèi)。
權(quán)利要求
1.一種實現(xiàn)Portal認證服務(wù)器防攻擊的方法，其特征在于，包括以下步驟 寬帶接入服務(wù)器BAS獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接，向客戶端發(fā)送質(zhì)詢認證請求報文； BAS接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端的瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文。
2.根據(jù)權(quán)利要求I所述的方法，其特征在于，所述質(zhì)詢認證請求報文符合Http狀態(tài)碼.401的規(guī)定。
3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述質(zhì)詢認證請求報文包含Wffff-Authenticate 消息頭，所述 WffW-Authenticate 消息頭格式為 WffW-Authenticate challenge,其中challenge為RFC2617定義的質(zhì)詢信息。
4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述質(zhì)詢認證應(yīng)答報文包含Authorization 消息頭，所述 Authorization 消息頭格式為 Authorization !credentials,其中credentials為認證信息,所述認證信息格式對應(yīng)于所述質(zhì)詢認證請求報文中的質(zhì)詢信息格式。
5.根據(jù)權(quán)利要求I所述的方法，其特征在于，所述BAS解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證之后進一步包括，當(dāng)認證不成功時，執(zhí)行 步驟A、寬帶接入服務(wù)器BAS向所述客戶端發(fā)送符合Http狀態(tài)碼401的質(zhì)詢認證請求報文，接收該客戶端返回的質(zhì)詢認證應(yīng)答報文，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端發(fā)送包含有Portal服務(wù)器URL地址的重定向報文，否貝U，重復(fù)執(zhí)行步驟A。
6.一種寬帶接入服務(wù)器BAS，其特征在于，包括=Http請求報文獲取模塊、質(zhì)詢認證模塊、重定向模塊，其中 Http請求報文獲取模塊,用于獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接,并將所述Http請求報文發(fā)送至質(zhì)詢認證模塊； 質(zhì)詢認證模塊，用于接收來自Http請求報文獲取模塊的所述Http請求報文，向客戶端發(fā)送質(zhì)詢認證請求報文，接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，將認證成功的信息發(fā)送至重定向模塊； 重定向模塊，用于接收質(zhì)詢認證模塊發(fā)送的認證成功的信息，向所述客戶端的瀏覽器發(fā)送含有Portal服務(wù)器URL地址的重定向報文。
7.根據(jù)權(quán)利要求6所述的寬帶接入服務(wù)器BAS，其特征在于，所述質(zhì)詢認證請求報文符合Http狀態(tài)碼401的規(guī)定。
8.根據(jù)權(quán)利要求7所述的寬帶接入服務(wù)器BAS，其特征在于，所述質(zhì)詢認證請求報文包含 WffW-Authenticate 消息頭，所述 WffW-Authenticate 消息頭格式為 WffW-Authenticate challenge,其中challenge為RFC2617定義的質(zhì)詢信息。
9.根據(jù)權(quán)利要求8所述的寬帶接入服務(wù)器BAS，其特征在于，所述質(zhì)詢認證應(yīng)答報文包含Authorization消息頭，所述Authorization消息頭格式為Authorization credentials,其中credentials為認證信息,所述認證信息格式對應(yīng)于所述質(zhì)詢認證請求報文中的質(zhì)詢信息格式。
10.根據(jù)權(quán)利要求6所述的寬帶接入服務(wù)器BAS，其特征在于，所述質(zhì)詢認證模塊，進一步用于在解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證時，若認證不成功，執(zhí)行 步驟B、向所述客戶端發(fā)送質(zhì)詢認證請求報文，接收所述客戶端返回的質(zhì)詢認證應(yīng)答報文，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，若認證成功，將認證成功的信息發(fā)送至重定向模塊，否則，重復(fù)執(zhí)行步驟B。
全文摘要
本申請公開了一種實現(xiàn)Portal認證服務(wù)器防攻擊的方法，包括以下步驟寬帶接入服務(wù)器BAS獲取來自客戶端的未通過Portal認證的Http請求報文，建立TCP連接，向客戶端發(fā)送質(zhì)詢認證請求報文；BAS接收到所述客戶端的瀏覽器返回的質(zhì)詢認證應(yīng)答報文后，解析所述質(zhì)詢認證應(yīng)答報文并對其進行身份認證，當(dāng)認證成功時，向所述客戶端的瀏覽器發(fā)送包含有Portal服務(wù)器URL地址的重定向報文。本申請還公開一種寬帶接入服務(wù)器BAS。本申請中，BAS在重定向報文發(fā)送前，對獲取的Http請求引入質(zhì)詢認證，可屏蔽客戶端非瀏覽器應(yīng)用程序產(chǎn)生的業(yè)務(wù)流量，避免Portal服務(wù)器受到攻擊；同時，引入上述質(zhì)詢認證后，客戶端實際需通過二次認證，更嚴格地保證了接入用戶的安全性。
文檔編號H04L29/08GK102710667SQ20121021710
公開日2012年10月3日 申請日期2012年6月25日 優(yōu)先權(quán)日2012年6月25日
發(fā)明者高平利 申請人:杭州華三通信技術(shù)有限公司