(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210575485.1 (22)申请日 2022.05.25 (71)申请人 深圳市证通电子股份有限公司 地址 518107 广东省深圳市光明区玉塘街 道田寮社区同观大道3号证通电子产 业园二期-101 申请人 深圳市证通云计算有限公司 　 长沙证通云计算有限公司 (72)发明人 尹旦　马兴旺　唐卓　 (74)专利代理 机构 湖南仁翰律师事务所 4325 0 专利代理师 邹灿 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/08(2006.01) H04L 9/40(2022.01) (54)发明名称 一种基于国密加密机的堡垒机安全提升方 法 (57)摘要 本发明公开了一种基于国密加密机的堡垒 机安全提升方法， 其包括修改堡垒机所支持通信 协议源码， 增加密钥生成函数， 调用国密加密机， 获取SM2密钥对及私钥索引； 堡垒机将资产信息 与私钥索引、 公钥信息进行组合后形成密钥文 件； 调用国密加密机对用户信息进行签名， 将国 密证书下发到UKEY中； 读取国密证书， 客户端对 应用户发起 登陆请求； 建立用户 ‑堡垒机‑目标资 产的通信连接。 本发明通过在堡垒机所支持的通 信协议的源码中增加对国密算法的支持， 同时增 加密钥生成函数来， 使得用户 ‑堡垒机‑目标资产 的通信连接过程中产生的密钥由国密加密机保 存， 同时国密加密机参与到堡垒机通信协议密钥 交换， 全程密钥不出加密机， 具有极高的安全性。 权利要求书2页 说明书6页 附图1页 CN 115001703 A 2022.09.02 CN 115001703 A 1.一种基于国密加密机的堡 垒机安全提升方法， 其特 征在于， 包括如下步骤： 步骤S110、 修改堡垒机所支持通信协议源码， 增加密钥生成函数， 调用国密加密机， 获 取SM2密钥对及私钥索引； 步骤S120、 堡垒机根据资产类型， 将资产信息与私钥索引、 公钥信息进行组合后形成密 钥文件， 将密钥文件添加到堡 垒机中进行存 储， 禁用密码登陆的方式登陆到服 务端； 步骤S130、 堡垒机根据客户端对应的用户信息生成国密证书， 调用国密加密机对用户 信息进行签名， 将国密证书下发到UKE Y中； 步骤S140、 读取UKE Y内的国密证书， 客户端对应用户发起登陆请求； 步骤S150、 堡垒机生成挑战码， 客户端利用UKEY对挑战码进行签名， 将挑战码的签名数 据返回给堡 垒机； 步骤S160、 堡垒机调用国密加密机对步骤S140中用户信息的签名数据进行验签， 验签 通过后堡 垒机赋予客户端对应的用户登陆权限； 步骤S170、 堡 垒机向目标资产发送登录请求； 步骤S180、 堡垒机根据目标资产信息调用国密加密机， 通过国密加密机生成的SM2私钥 对用户信息进行签名； 步骤S190、 建立用户 ‑堡垒机‑目标资产的通信连接 。 2.根据权利要求1所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 步 骤S110的方法， 具体操作包括： 步骤S111、 修改LIBSSH2源码中的加密算法， 增加对SM2、 SM3、 SM4国密算法的支持及将 客户端密钥的生成过程 修改为由堡 垒机调用国密加密机生成； 步骤S112、 修改LIBVNCSERVER源码， 增加对SM2、 SM3、 SM4国密 算法的支持及将客户端密 钥的生成过程 修改为由堡 垒机调用国密加密机生成； 步骤S113、 设备兼容层调用国密加密机， 国密加密机生成SM2密钥对及私钥索引； 其 中， 所述堡垒机中设置有设备兼容层及密钥管理工具， 设备兼容层通过标准SDF接口来调用国 密加密机； 步骤S114、 国密加密机将私钥索引和公钥 信息返回给堡 垒机的设备兼容层。 3.根据权利要求2所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 所 述步骤S114之后， 还 包括 步骤S115、 设备兼容层将获取的私钥索引和公钥 信息发送给堡 垒机的密钥管理工具。 4.根据权利要求2所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 所 述步骤S120的方法， 具体操作为： 堡垒机的密钥管理工具将私钥索引、 公钥 信息与资产信息进行组合后形成密钥文件； 调用ansible运维工具， 将密钥文件添加到堡 垒机中进行存 储； 禁用密码登录的方式登陆到服 务端。 5.根据权利要求4所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 所 述步骤禁用密码登录的方式登陆到服 务端的方法， 具体操作为： 在通信协议的服务端， 通过修改对应通信协议文件中 的配置PasswordAuthentication   no， 禁止采用密码登录 。 6.根据权利要求1或2所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在权　利　要　求　书 1/2 页 2 CN 115001703 A 2于， 所述步骤S130的方法， 具体操作包括： 添加堡垒机客户端对应的用户信息； 堡垒机根据客户端对应的用户信息生成国密证书； 堡垒机调用国密加密机对用户信息进行签名； 堡垒机将国密证书发送到与客户端连接的UKE Y中。 7.根据权利要求1或2所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在 于， 所述步骤S180的方法， 具体操作为： 步骤S181、 修改堡垒机上各个通讯协议对应源码中的加密算法文件， 增加堡垒机上各 个通讯协议对国密算法的支持； 步骤S182、 堡 垒机根据目标资产信息查找目标资产对应的私钥索引； 步骤S183、 堡垒机通过JNI接口， 把用户信息、 公钥信息以及私钥索引发送给设备兼容 层； 步骤S184、 设备兼容层根据私钥索引， 调用加机密对用户信息、 公钥 信息进行签名； 步骤S185、 把用户信息、 公钥 信息对应的签名数据返回给堡 垒机的设备兼容层。 8.根据权利要求7所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 所 述步骤S181之后， 还 包括 步骤S186、 基于预设的通讯协议， 堡垒机利用DH算法和目标资产通过会话方式协商出 使用SM4算法的会话密钥。 9.根据权利要求1或2所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在 于， 所述步骤S190的方法， 包括以下步骤： 步骤S191、 堡 垒机发送用户信息、 公钥 信息对应的签名数据到目标资产； 步骤S192、 目标资产调用国密加密机， 实现对用户信息、 公钥信息对应的签名数据的验 签操作； 步骤S193、 验签通过后， 建立用户 ‑堡垒机‑目标资产的通信连接， 完成客户端用户的登 陆请求操作。 10.根据权利要求9所述的一种基于国密加密机的堡垒机安全提升方法， 其特征在于， 所述步骤S192之前， 还 包括 步骤S194、 修改堡垒机上各个通讯协议对应源码中的加密算法文件， 增加对国密加密 机的调用操作。权　利　要　求　书 2/2 页 3 CN 115001703 A 3