CN102647461B - 基于超文本传输协议的通信方法、服务器、终端 - Google Patents

Abstract

本申请提供了一种基于超文本传输协议的网络通信方法和系统、服务器、终端，以抵御HTTP网络通信中的重放攻击。应终端请求向终端发送第一时间戳；接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文；所述时间戳密文由终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成；按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。通过验证包含时间戳信息的时间戳密文的合法性和有效性，进而防止网络请求中时间戳信息被篡改的可能，避免网络重放攻击的发生。

Description

基于超文本传输协议的通信方法、服务器、终端

技术领域

本申请涉及网络安全技术领域，特别是涉及一种基于超文本传输协议的通信方法、服务器、终端。

背景技术

目前随着互联网越来越深入地影响人们日常工作生活，基于互联网的数据通信的安全性就显的尤为重要。

在各种影响网络通信安全的因素中，重放攻击(ReplayAttacks)是最为常见的攻击方式之一。重放攻击又称重播攻击、回放攻击或新鲜性攻击(FreshnessAttacks)，是指攻击者利用网络监听或者其他方式盗取认证凭据，之后再把经伪装的数据包重新发给服务器，来达到欺骗系统的目的。其多用于身份认证过程，破坏认证的正确性。这种攻击会不断恶意或欺诈性地重复一个有效的数据传输，重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。从这个解释上理解，数据加密虽可以有效防止网络请求信息被劫持或篡改，但由于重放攻击是截取有效信息重新发送，因此即使数据加密也无法防止重放攻击。

目前的网络通信技术架构中，传输控制/互联协议(TCP/IP，TransmissionControlProtocol/InternetProtocol)是整个互联网通信的基础。TCP/IP协议采用了4层的层级结构：网络接口层、网络层、传输层和应用层，其每一层都呼叫它的下一层所提供的网络来完成自己的需求。其中，在应用层，基于超文本传送协议(HTTP，HypertextTransferProtocol)的数据通信是当前诸多网络应用的主要通信方式，如大多数网站、论坛等。但由于HTTP协议是一个无连接、无状态的协议，即服务器每处理完终端请求并收到应答后即断开连接，且该协议对事务处理无记忆能力，因此终端每次给服务器发出的HTTP网络请求，前后之间是没有联系的。

HTTP协议的无状态性、无连接性在该协议设计之初就已经决定。因为HTTP协议的目的在于支持超文本的数据传输，那么在终端浏览器向HTTP服务器发送请求，继而HTTP服务器将相应的资源发回给终端这样一个过程中，无论对于终端还是服务器，都没有必要记录这个过程，因为每一次请求和响应都是相对独立的。一般而言，一个统一资源定位符(URL，UniversalResourceLocator)对应着唯一的超文本，而HTTP服务器对任意终端发送的请求，它都会根据接收到的URL请求返回相同的超文本。正是因为这样的唯一性，使得记录用户的行为状态变得毫无意义，所以，HTTP协议被设计为无状态的连接协议。

基于上述原因，一旦终端与服务器在数据传输的过程中请求信息被拦截，由于服务器没有记录任何有关请求的状态等相关信息，因此也就无法识别该请求是否被拦截、重放，也就无法避免重放攻击的发生。

总之，需要本领域技术人员迫切解决的一个技术问题就是：如何防止现有网络通信技术中针对HTTP协议通信的重放攻击。

发明内容

本申请所要解决的技术问题是提供一种基于超文本传输协议的网络通信方法、服务器、终端，以便有效防止因HTTP网络请求被截取而造成的重放攻击，提高了HTTP网络通信的安全性。

为了解决上述问题，本申请公开了一种基于超文本传输协议的网络通信方法，包括：应终端请求向终端发送第一时间戳；

接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文；所述时间戳密文由终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成；

按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

优选的，进一步包括：

验证所述网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。

优选的，所述预置加密算法为签名加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述签名加密算法对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文；

所述验证所述时间戳密文是否有效包括：

按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二数字签名；

验证所述第二数字签名与所述时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

优选的，所述预置加密算法为对称加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述对称加密算法使用对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文；

所述验证所述时间戳密文是否有效包括：

使用所述对称加密算法对应的密钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

优选的，所述预置加密算法为非对称加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述非对称加密算法使用对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文；

所述验证所述时间戳密文是否有效包括：

服务器使用与所述非对称加密算法对应的私钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

优选的，所述终端发送的网络请求信息中还包括由终端生成的凭证标识；且

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，所述接收终端发送的网络请求信息之前还包括：

收到终端的凭证请求信息；

生成与所述凭证请求信息对应的凭证标识；

向所述终端发送所述凭证标识。

优选的，

所述接收的网路请求信息中还包括所述凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，所述凭证标识动态有效，所述方法还包括：

若所述终端发送的网络请求信息中包括凭证标识，则服务器验证该凭证标识是否有效，若无效，则所述网络请求为无效请求。

为解决上述问题，本申请还公开了一种基于超文本传输协议的网络通信方法，包括：

从服务器获取第一时间戳；

向服务器发送网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文；所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成。

优选的，所述预置加密算法为签名加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

根据所述签名加密算法对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文。

优选的，所述预置加密算法为对称加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

使用与所述对称加密算法对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文。

优选的，所述预置加密算法为非对称加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

使用与所述非对称加密算法对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文。

优选的，所述网络请求信息中还包括凭证标识；且

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，所述向服务器发送网络请求信息之前还包括：

向服务器发送凭证请求信息；

接收服务器发送的凭证标识。

为解决上述问题，本申请还公开了一种基于超文本传输协议的服务器，包括：

接收模块、发送模块、时间戳生成模块和密文校验模块；

其中所述接收模块包括：

第一接收单元，用于接收时间戳请求信息；

第二接收单元，用于接收网络请求信息；所述网络请求信息中包含第一时间戳和对应的时间戳密文；所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成；

其中所述时间戳生成模块，用于应所述时间戳请求信息生成第一时间戳；

其中所述发送模块包括：

第一发送单元，用于发送时间戳生成模块所生成的第一时间戳；

其中所述密文校验模块，用于按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

优选的，

所述服务器还包括：

时间戳验证模块，用于验证第二接收单元接收的网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。

优选的，所述预置加密算法为签名加密算法，

所述密文校验模块还包括：

签名生成单元，用于按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二签名；

第一校验单元，用于验证所述签名生成单元所生成的第二数字签名与第二接收单元所接收的时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

优选的，所述预置加密算法为对称加密算法，

所述密文校验模块还包括：

第二校验单元，用于使用所述对称加密算法对应的密钥对第二接收单元所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与第二接收单元所接收的网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

优选的，所述预置加密算法为非对称加密算法，

所述密文校验模块还包括：

第三校验单元，用于使用与所述非对称加密算法对应的私钥对第二接收单元所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

优选的，所述接收模块还包括：

第三接收单元，用于接收终端的凭证请求；

所述服务器还包括：

凭证标识生成单元，用于根据第三接收单元所接收的凭证请求生成凭证标识；

所述发送模块还包括：

第二发送单元，用于发送凭证标识生成单元所生成的凭证标识。

优选的，所述第二接收单元所接收的网络请求信息中还包括凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，所述凭证标识动态有效；

所述服务器还包括：

凭证校验模块，用于验证第二接收单元所接收的网络请求信息中是否包括凭证标识，若包括且该凭证标识无效，则所述网络请求信息无效。

为解决上述问题，本申请还公开了一种基于超文本传输协议的终端，包括：

发送模块、接收模块和密文模块；

其中所述发送模块包括：

第一发送单元，用于发送第一时间戳获取请求；

第二发送单元，用于发送网络请求信息；所述网络请求信息中包含所述接收模块接收的第一时间戳，和对应的由所述密文模块生成的时间戳密文；

其中所述接收模块包括：

第一接收单元，用于接收第一时间戳；

其中所述密文模块用于根据预置加密算法对包含有所述接收的第一时间戳的算法因子加密生成时间戳密文。

优选的，所述预置加密算法为签名加密算法；

所述密文模块还包括：

第一加密单元，用于对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文。

优选的，所述预置加密算法为对称加密算法；

所述密文模块还包括：

第二加密单元，用于使用与所述对称加密算法对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文。

优选的，所述预置加密算法为非对称加密算法；

所述密文模块还包括：

第三加密单元，用于使用与所述非对称加密算法对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文。

优选的，还包括：

凭证标识生成模块，用于生成凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识模块生成的凭证标识；

所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，

所述发送单元还包括：

第三发送单元，用于发送凭证请求信息；

所述接收模块还包括：

第二接收单元，用于接收凭证标识；

所述第二发送单元所发送的网络请求信息中还包括第三接收单元所接收的凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

与现有技术相比，本申请具有以下优点：

考虑到现有基于HTTP协议的网络通信存在无连接、无状态的特性，请求信息被拦截重放后服务器无法识别这一问题，我们提出在终端向服务器发送的请求信息中加入时间戳，服务器通过验证网络请求信息中的时间戳与当前时间的时间间隔是否在其有效期内，若所述时间间隔超出有效期，则认为当前网络请求被拦截重放，是一个无效请求，因此可以有效避免针对HTTP通信重放攻击的发生。

进一步的，在本申请提供的方案中，终端从服务器获取时间戳，并对包含该时间戳的字符串按约定的签名算法规则生成数字签名，并将该数字签名放人向服务器发送的网络请求信息中。服务器按照相同的签名算法规则生成数字签名，并验证服务器生成的数字签名与网络请求信息中所带数字签名是否一致，若不一致，则认为当前网络请求信息中包含时间戳的字符串被篡改，认为该网络请求为无效请求。这样一来，避免了企图通过篡改网络请求信息中时间戳来伪装有效信息欺骗服务器的可能，因而更进一步避免了重放攻击的发生。

附图说明

图1是本申请实施例一所述一种基于HTTP协议的网络通信方法的流程图；

图2是申请实施例二所述一种基于HTTP协议的网络通信方法的流程图；

图3是本申请实施例三所述一种基于HTTP协议的网络通信方法的流程图；

图4是本申请实施例所述一种基于超文本传输协议HTTP服务器的结构示意图；

图5是本申请实施例所述一种基于超文本传输协议HTTP终端的结构示意图；

图6是本申请实施例所述一种基于超文本传输协议HTTP网络通信系统的结构示意图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

参照图1，示出了本申请提供的一种基于HTTP协议的通信方法实施例一的流程示意图，本实施例的基于HTTP协议的通信方法包括以下步骤：

步骤101，终端向服务器发送时间戳请求。

步骤102，服务器生成第一时间戳。

服务器可按照国际标准规则获取当前时间生成第一时间戳。

步骤103，服务器将第一时间戳发送至终端。

步骤104，服务器接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文；所述时间戳密文由终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成。

步骤105，服务器按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

步骤106，服务器验证所述网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。该步骤为可选步骤。

对包含第一时间戳的算法因子加密生成时间戳密文，服务器按照与终端约定的加密算法验证该密文是有效，若无效，则可认为时间戳密文在传输过程中可能被拦截或篡改，因而可进一步认定所述第一时间戳和对应的网络请求无效。

为便于描述，本文将服务器应终端请求生成的时间戳，以及在网络请求信息中直接包含的时间戳称为第一时间戳，将生成时间戳密文的算法因子中的时间戳称为第二时间戳。

由于时间戳由服务器统一生成，可保证该时间戳具有严格的准确性。服务器可根据不同终端所处的网络应用环境设置该终端对应的时间戳的有效期。时间戳有效期通常是一个时间长度，如0.5秒，意思是终端从服务器获取时间戳，以及将含有该时间戳的网络请求发送至服务器这一过程所耗时间应在0.5秒内，若超出，则认为该网络请求在传输过程发生了延迟，可能被拦截或发生了重放攻击，为无效的网络请求。

本领域技术人员容易理解，可根据终端所处的地域、应用复杂度设置该类终端对应的时间戳有效期。

步骤107，服务器向终端返回网络请求的应答信息。

若经验证网络请求信息有效，则服务器向终端返回的应答信息就应包括该网络请求对应的有效信息，如网页资源等，否则，所述应答信息中就含有网络请求失败的通知信息。

参照图2，示出了本申请提供的一种基于HTTP协议的通信方法实施例二的流程示意图，本实施例的基于HTTP协议的通信方法包括以下步骤：

步骤201，终端生成凭证标识。

终端可根据实际应用选择凭证标识的组成方式，如可获取终端的IP地址和端口号、网卡标识和当前时间组成凭证标识等，只要保证不同终端的网络请求或同一终端的多轮网络请求所使用的凭证标识具有唯一性即可。

步骤202，终端向服务器发送时间戳请求；所述时间戳请求信息中包含所述终端的凭证标识。

由于现有基于HTTP协议的网络通信是无连接、无状态的通信，终端向服务器发送的多个请求之间没有联系。因此，我们在终端向服务器发送的多个网络请求中加入统一的凭证标识，即可将前后多个内容上关联的网络请求通过该凭证标识建立起联系，方便终端和服务器管理多个内容关联的网络请求。

步骤203，服务器生成第一时间戳；存储配置信息，所述配置信息存储有当前网络请求信息对应的凭证标识、第一时间戳和对应的第一时间戳有效期。

服务器每收到终端的时间戳获取请求，就存储当前凭证标识新的第二时间戳和有效期，同时也可以清空该凭证标识之前的第二时间戳有效期记录。

步骤204，服务器将第一时间戳发送至终端。

步骤205，服务器接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文；所述时间戳密文由终端根据预置加密算法对包含所述第一时间戳和凭证标识的算法因子加密生成。

步骤206，服务器验证时间戳密文是否有效，若无效，则所述网络请求信息无效。

步骤207，服务器验证网络请求中的第一时间戳是否有效，若无效，则所述网络请求信息无效。

服务器通过当前网络请求中的凭证标识、第一时间戳从存储的配置信息中获取该第一时间戳对应的有效周期，然后判断当前网络请求中的时间戳与服务器当前时间的时间间隔是否在其对应的有效期内，若超出有效期，则认为当前网络请求的时间戳失效，该网络请求为非法请求。

优选的，所述凭证标识动态有效。服务器可根据一定条件判断该凭证标识是否有效，例如该凭证标识对应的终端是否已经离线、断线或长时间无应答、超出有效周期等，若满足无效条件，服务器可将该凭证标识置为无效状态，以及中断当前网络请求的后续处理并向终端返回请求失败的应答信息，这样一来即使该凭证标识被他人窃取或利用也无法合法通信，有效提高了通信过程的安全性。

步骤208，服务器向终端返回应答信息。

在实施例一中，服务器只能对某一类终端使用固定的有效期判断其网络请求时间戳是否有效，而在上述实施例二中，服务器通过配置信息存储终端凭证标识对应的时间戳和该时间戳的有效周期，由于凭证标识对不同终端或使用终端的不同用户具有唯一性，因此，对时间戳有效期的配置和判断可以具体到对各个终端和使用该终端的不同用户，提高了服务器验证时间戳有效性的精细度。

参照图3，示出了本申请提供的一种基于HTTP协议的通信方法实施例三的流程示意图，本实施例的基于HTTP协议的通信方法包括以下步骤：

步骤301，终端向服务器发送凭证请求。

步骤302，服务器响应凭证请求，按规则生成凭证标识；将凭证标识发送至终端。

凭证标识虽然可以由终端自行产生，但当终端数量、并发请求过多时，所生成的凭证标识无法保证绝对唯一。由服务器根据各个终端的凭证请求按预设规则统一生成凭证标识则有效地避免了上述问题，例如可按终端请求信息中包含的IP地址、端口号和时间生成该终端当前唯一的序列号作为凭证标识。

步骤303，终端向服务器发送时间戳请求。

步骤304，服务器生成第一时间戳。

步骤305，服务器将第一时间戳发送至终端。

步骤306，终端按预置加密算法对包含第一时间戳的算法因子加密生成时间戳密文。

步骤307，服务器接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳、凭证标识和对应的时间戳密文。

时间戳密文是按预置加密算法对包含第一时间戳、凭证标识的算法因子加密生成。

优选的，服务器验证当前网络请求信息中的凭证标识是否有效，若无效，执行步骤308。

若当前终端已离线、断线或长时间处于非活动状态，该终端对应的凭证标识可被服务器只为无效。

步骤308，服务器按预置加密算法验证所述时间戳密文是否有效，若无效，执行步骤310。

所述预置加密算法是终端与服务器约定好的加密算法规则。

可选的，所述加密算法是签名加密算法。终端根据所述签名加密算法对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文；服务器按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二数字签名；验证所述第二数字签名与所述时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

所述签名加密算法规则可包括以下步骤：首先按预置规则组织算法因子；然后对该算法因子按签名算法计算得到数字签名。例如，本例中算法因子的组织规则可以是‘时间戳+凭证标识+其它’，甚至可以将整个请求报文作为算法因子；所使用的签名算法可以是消息摘要算法(MD5，MessageDigestAlgorithm5)或其他签名算法。

MD5算法是计算机安全领域广泛使用的一种散列函数，用以提供消息的完整性保护。该算法可以对任意文件或一段信息生成独一无二的MD5信息摘要，即数字签名。若任何人对文件或信息做了任何改动，其MD5值都会发生变化。

可选的，所述预置加密算法是对称加密算法；终端根据所述对称加密算法使用对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文；服务器使用所述对称加密算法对应的密钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

与签名算法是对算法因子的信息摘要进行加密获得签名不同，使用对称加密算法是对整个算法因子字符串进行加密获得时间戳密文；服务器使用相同的密钥或相对应的解密程序对时间戳密文进行解密获得算法因子原文。常用的算法如高级加密标准(AdvancedEncryptionStandard，AES)加密算法。

可选的，所述预置加密算法是非对称加密算法；终端根据所述非对称加密算法使用对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文；服务器使用与所述非对称加密算法对应的私钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。常用的非对称加密算法如RSA加密算法。

若经验证时间戳密文无效，则说明网络请求信息中与算法因子对应的字符串已被篡改，当前网络请求不再被信任且为非法请求。

优选的，本申请按预设规则使用包含时间戳和凭证标识的字符串作为加密算法的算法因子。由于服务器为终端分配的凭证标识具有唯一性，因此由其组成的算法因子也就是唯一不重复的。由于HTTP请求消息中时间戳多为明码，而凭证标识是服务器按预置规则生成，因此除非凭证标识产生规则泄露，那么该凭证标识被篡改的可能性很低；况且算法因子的组成规则由终端和服务器约定，并不对外公开，即使知道算法因子中使用了时间戳和凭证标识，也很难获知其出现的频率和排列组合方式，因此若终端网络请求信息中的时间戳密文无效，则可以认为该字符串中的时间戳被篡改，该请求为非法请求。

本领域技术人员应该理解，在实施本申请时，可根据具体情况决定时间戳和凭证标识组成算法因子的预设规则，以及时间戳和凭证标识在算法因子中出现的顺序及次数，例如可以是时间戳+凭证标识，也可以是凭证标识+时间戳+时间戳+凭证标识等。

步骤309，服务器验证网络请求中的第一时间戳与当前时间的时间间隔是否在其有效周期内，若超出有效期，当前网络请求为无效请求。

步骤310，服务器向终端返回应答信息。

上述实施例中，终端向服务器发送的网络请求信息中包含由服务器统一分配的凭证标识，服务器对含有该凭证标识的网络请求信息可先验证该凭证标识是否有效，若凭证标识为无效状态，则服务器可中断后续操作，直接返回终端无效请求，节约了服务器部分操作指令，因此一定程度节约了服务器资源，降低了服务器载荷。其次，在网络请求信息加入数字签名，可有效防止网络请求信息被篡改，避免了重放攻击的发生。尤其是，本申请使用由服务器统一分配的凭证标识和时间戳作为签名算法因子，保证了签名算法因子的唯一性，避免了不同终端产生相同签名的可能性和时间戳被篡改的可能性，有效防止了网络重放攻击。

以上结合几个实施例对本申请提供的一种基于HTTP协议的通信方法做了描述。下面结合具体应用环境对所述方法做进一步描述：

在下面的实施例中，假设用户通过一终端，使用自己的用户名、密码登录一个网站，若服务器对登录请求验证成功，服务器返回动态密码Key给终端使用。该网站的服务器包括登录服务器、加密服务器。

步骤S01，用户登录，获取凭证标识。

在终端中，用户输入用户名和密码向登录服务器发送登录请求。若登录成功，登录服务器向该终端返回凭证标识。该凭证标识是登录服务器根据该用户的用户名和其它相关信息生成的唯一认证信息串。

步骤S02，终端从加密服务器获取时间戳。

终端调用PostDownloadTimeStamp方法向加密服务器发送一个获得时间戳请求，从加密服务器上获取最新的时间戳，时间戳是加密服务器从全球时间同步服务器上获取的当前的精准时间。

步骤S03，终端生成第一签名组成时间戳密文，并组织验证请求数据包。

若时间戳获取成功，终端调用RequestHeader_Stamp方法生成签名并组成验证请求数据包。

终端使用时间戳、凭证标识计算签名组成时间戳密文，其具体算法为：首先将时间戳+时间戳+凭证标识+时间戳组成算法因子字符串；然后对该算法因子字符串进行MD5生成一个签名字符串组成时间戳密文。

步骤S04，终端使用HTTPS方式向加密服务器发送验证请求

终端使用PostDownloadTimeStamp方法将验证请求发送到加密服务器上。

步骤S05，加密服务器使用与终端相同的规则对时间戳、凭证标识生成第二签名来验证终端发送来的验证请求，若第二签名与时间戳密文对应的第一签名一致，则时间戳密文合法有效。

步骤S06，验证网络请求信息中的第一时间戳与当前时间的时间间隔是否在对应的有效期内，若超出，则所述网络请求无效。

步骤S07，加密服务器向终端返回应答信息。

若验证通过，加密服务器返回正确的动态密码key给终端，否则，向终端返回请求失败的通知信息。

终端所获的动态密码Key可用于该用户的后续操作，如动态密码输入等。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本申请所必须的。

参照图4，是本申请实施例所述一种基于超文本传输协议HTTP服务器的结构示意图。

所述HTTP服务器具体包括：

接收模块410、发送模块420、时间戳生成模块460和密文校验模块430；

其中所述接收模块410包括：

第一接收单元411，用于接收时间戳请求信息；

第二接收单元412，用于接收网络请求信息；所述网络请求信息中包含第一时间戳和对应的时间戳密文；所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成；

其中所述时间戳生成模块460，用于应所述时间戳请求信息生成第一时间戳；

其中所述发送模块420包括：

第一发送单元421，用于发送时间戳生成模块所生成的第一时间戳；

其中所述密文校验模块430，用于按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

优选的，

所述服务器还包括：

时间戳验证模块470，用于验证第二接收单元412接收的网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。

可选的，所述预置加密算法为签名加密算法，

所述密文校验模块430还包括：

签名生成单元431，用于按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二签名；

第一校验单元432，用于验证所述签名生成单元431所生成的第二数字签名与第二接收单元412所接收的时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

可选的，所述预置加密算法为对称加密算法，

所述密文校验模块430还包括：

第二校验单元433，用于使用所述对称加密算法对应的密钥对第二接收单元412所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与第二接收单元所接收的网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

可选的，所述预置加密算法为非对称加密算法，

所述密文校验模块430还包括：

第三校验单元434，用于使用与所述非对称加密算法对应的私钥对第二接收单412元所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

进一步的，所述接收模块410还包括：

第三接收单元413，用于接收终端的凭证请求；

所述服务器还包括：

凭证标识生成单元440，用于根据第三接收单元413所接收的凭证请求生成凭证标识；

所述发送模块420还包括：

第二发送单元422用于发送凭证标识生成单元440所生成的凭证标识。

优选的，所述第二接收单元412所接收的网络请求信息中还包括凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，所述凭证标识动态有效；

所述服务器还包括：

凭证校验模块450，用于验证第二接收单元412所接收的网络请求信息中是否包括凭证标识，若包括且该凭证标识无效，则所述网络请求信息无效。

参照图5，是本申请实施例所述一种基于超文本传输协议HTTP终端的结构示意图。

所述HTTP终端包括：

发送模块510、接收模块520和密文模块530；

其中所述发送模块510包括：

第一发送单元511，用于发送第一时间戳获取请求；

第二发送单元512，用于发送网络请求信息；所述网络请求信息中包含所述接收模块接收的第一时间戳，和对应的由所述密文模块生成的时间戳密文；

其中所述接收模块520包括：

第一接收单元521，用于接收第一时间戳；

其中所述密文模块用于根据预置加密算法对包含有所述接收的第一时间戳的算法因子加密生成时间戳密文。

可选的，所述预置加密算法为签名加密算法；

所述密文模块530还包括：

第一加密单元531，用于对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文。

可选的，所述预置加密算法为对称加密算法；

所述密文模块530还包括：

第二加密单元532，用于使用与所述对称加密算法对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文。

可选的，所述预置加密算法为非对称加密算法；

所述密文模块530还包括：

第三加密单元533，用于使用与所述非对称加密算法对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文。

可选的，所述终端还包括：

凭证标识生成模块540，用于生成凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识模块生成的凭证标识；

所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

优选的，

所述发送单元510还包括：

第三发送单元513，用于发送凭证请求信息；

所述接收模块520还包括：

第二接收单元522，用于接收凭证标识；

所述第二发送单元512所发送的网络请求信息中还包括第二接收单元522所接收的凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

参照图6，是本申请实施例所述一种基于超文本传输协议HTTP的系统的结构示意图。

具体的，所述系统包括HTTP终端6100、HTTP服务器6200；

所述HTTP终端6100包括：

终端发送模块6110、终端接收模块6120和密文模块6130；

其中所述终端发送模块6110包括：

第一发送单元6111，用于发送第一时间戳获取请求；

第二发送单元6112，用于发送网络请求信息；所述网络请求信息中包含所述接收模块接收的第一时间戳，和对应的由所述密文模块生成的时间戳密文；

其中所述终端接收模块6120包括：

第一接收单元6121，用于接收第一时间戳；

其中所述密文模块6130用于根据预置加密算法对包含有所述接收的第一时间戳的算法因子加密生成时间戳密文。

所述HTTP服务器6200包括：

服务器接收模块6210、服务器发送模块6220、时间戳生成模块6230和密文校验模块6240；

其中所述服务器接收模块6210包括：

第一接收单元6211，用于接收时间戳请求信息；

第二接收单元6212，用于接收网络请求信息；所述网络请求信息中包含第一时间戳和对应的时间戳密文；所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成；

其中所述时间戳生成模块6230用于应所述时间戳请求信息生成第一时间戳；

其中所述服务器发送模块6220包括：

第一发送单元6221，用于发送时间戳生成模块所生成的第一时间戳；

其中所述密文校验模块6240用于按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

上述系统的详细结构请参见以上HTTP终端、HTTP服务器，以及方法实施例相关部分的说明。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统和/或装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

而且，上文中的“和/或”表示本文既包含了“和”的关系，也包含了“或”的关系，其中：如果方案A与方案B是“和”的关系，则表示某实施例中可以同时包括方案A和方案B；如果方案A与方案B是“或”的关系，则表示某实施例中可以单独包括方案A，或者单独包括方案B。

以上对本申请所提供的一种基于超文本传输协议HTTP的网络通信方法、服务器、终端，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (25)

1.一种基于超文本传输协议的网络通信方法，其特征在于，包括：

应终端请求向终端发送第一时间戳；

接收终端发送的网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文，所述终端发送的网络请求信息中还包括由终端生成的凭证标识；

所述时间戳密文由终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成，所述包含第一时间戳的算法因子包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成，其中所述凭证标识由终端的IP地址、终端的端口号、网卡标识和当前时间组成；

按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

2.如权利要求1所述的方法，其特征在于，进一步包括：

验证所述网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。

3.如权利要求1所述的方法，其特征在于，所述预置加密算法为签名加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述签名加密算法对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文；

所述验证所述时间戳密文是否有效包括：

按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二数字签名；

验证所述第二数字签名与所述时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

4.如权利要求1所述的方法，其特征在于，所述预置加密算法为对称加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述对称加密算法使用对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文；

所述验证所述时间戳密文是否有效包括：

使用所述对称加密算法对应的密钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

5.如权利要求1所述的方法，其特征在于，所述预置加密算法为非对称加密算法，

所述终端根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

终端根据所述非对称加密算法使用对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文；

所述验证所述时间戳密文是否有效包括：

服务器使用与所述非对称加密算法对应的私钥对所述时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

6.如权利要求1所述的方法，其特征在于，所述接收终端发送的网络请求信息之前还包括：

收到终端的凭证请求信息；

生成与所述凭证请求信息对应的凭证标识；

向所述终端发送所述凭证标识。

7.如权利要求1所述的方法，其特征在于，所述凭证标识动态有效，所述方法还包括：

若所述终端发送的网络请求信息中包括凭证标识，则服务器验证该凭证标识是否有效，若无效，则所述网络请求为无效请求。

8.一种基于超文本传输协议的网络通信方法，其特征在于，包括：

从服务器获取第一时间戳；

向服务器发送网络请求信息；所述网络请求信息中包含所述第一时间戳和对应的时间戳密文，终端发送的网络请求信息中还包括由终端生成的凭证标识；

所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成，所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成，其中所述凭证标识由终端的IP地址、终端的端口号、网卡标识和当前时间组成。

9.如权利要求8所述的方法，其特征在于，所述预置加密算法为签名加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

根据所述签名加密算法对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文。

10.如权利要求8所述的方法，其特征在于，所述预置加密算法为对称加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

使用与所述对称加密算法对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文。

11.如权利要求8所述的方法，其特征在于，所述预置加密算法为非对称加密算法，

所述根据预置加密算法对包含所述第一时间戳的算法因子加密生成时间戳密文包括：

使用与所述非对称加密算法对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文。

12.如权利要求8所述的方法，其特征在于，所述向服务器发送网络请求信息之前还包括：

向服务器发送凭证请求信息；

接收服务器发送的凭证标识。

13.一种基于超文本传输协议的服务器，其特征在于，包括：接收模块、发送模块、时间戳生成模块和密文校验模块；

其中所述接收模块包括：

第一接收单元，用于接收时间戳请求信息；

第二接收单元，用于接收网络请求信息；所述网络请求信息中包含第一时间戳和对应的时间戳密文，所接收的网络请求信息中还包括凭证标识；

所述时间戳密文是根据预置加密算法对包含所述第一时间戳的算法因子加密生成，所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成，其中所述凭证标识由终端的IP地址、终端的端口号、网卡标识和当前时间组成；

其中所述时间戳生成模块，用于应所述时间戳请求信息生成第一时间戳；

其中所述发送模块包括：

第一发送单元，用于发送时间戳生成模块所生成的第一时间戳；

其中所述密文校验模块，用于按所述预置加密算法验证所述时间戳密文是否有效，若无效，则所述网络请求信息为无效请求。

14.如权利要求13所述的服务器，其特征在于，

所述服务器还包括：

时间戳验证模块，用于验证第二接收单元接收的网络请求信息中的第一时间戳与当前时间的间隔是否在有效期内，若超出，则所述网络请求信息无效。

15.如权利要求13所述的服务器，其特征在于，所述预置加密算法为签名加密算法，

所述密文校验模块还包括：

签名生成单元，用于按所述签名加密算法对包含所述第一时间戳的算法因子加密生成第二签名；

第一校验单元，用于验证所述签名生成单元所生成的第二数字签名与第二接收单元所接收的时间戳密文对应的第一数字签名是否一致，若不一致，则所述时间戳密文无效。

16.如权利要求13所述的服务器，其特征在于，所述预置加密算法为对称加密算法，

所述密文校验模块还包括：

第二校验单元，用于使用所述对称加密算法对应的密钥对第二接收单元所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与第二接收单元所接收的网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

17.如权利要求13所述的服务器，其特征在于，所述预置加密算法为非对称加密算法，

所述密文校验模块还包括：

第三校验单元，用于使用与所述非对称加密算法对应的私钥对第二接收单元所接收的时间戳密文进行解密获取其中的时间戳信息作为第二时间戳，判断所述第二时间戳与网络请求信息中的第一时间戳是否一致，若不一致，则所述时间戳密文无效。

18.如权利要求13所述的服务器，其特征在于，所述接收模块还包括：

第三接收单元，用于接收终端的凭证请求；

所述服务器还包括：

凭证标识生成单元，用于根据第三接收单元所接收的凭证请求生成凭证标识；

所述发送模块还包括：

第二发送单元，用于发送凭证标识生成单元所生成的凭证标识。

19.如权利要求18、13所述的服务器，其特征在于，所述凭证标识动态有效；

所述服务器还包括：

凭证校验模块，用于验证第二接收单元所接收的网络请求信息中是否包括凭证标识，若包括且该凭证标识无效，则所述网络请求信息无效。

20.一种基于超文本传输协议的终端，其特征在于，包括：

发送模块、接收模块和密文模块；

其中所述发送模块包括：

第一发送单元，用于发送第一时间戳获取请求；

第二发送单元，用于发送网络请求信息；所述网络请求信息中包含所述接收模块接收的第一时间戳，和对应的由所述密文模块生成的时间戳密文，所述网络请求信息中还包括由终端生成的凭证标识；

其中所述接收模块包括：

第一接收单元，用于接收第一时间戳；

其中所述密文模块用于根据预置加密算法对包含有所述接收的第一时间戳的算法因子加密生成时间戳密文，所述包含第一时间戳的算法因子包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成，其中所述凭证标识由终端的IP地址、终端的端口号、网卡标识和当前时间组成。

21.如权利要求20所述的终端，其特征在于，所述预置加密算法为签名加密算法；

所述密文模块还包括：

第一加密单元，用于对包含所述第一时间戳的算法因子加密生成第一数字签名组成时间戳密文。

22.如权利要求20所述的终端，其特征在于，所述预置加密算法为对称加密算法；

所述密文模块还包括：

第二加密单元，用于使用与所述对称加密算法对应的密钥对包含所述第一时间戳的算法因子加密生成间戳密文。

23.如权利要求20所述的终端，其特征在于，所述预置加密算法为非对称加密算法；

所述密文模块还包括：

第三加密单元，用于使用与所述非对称加密算法对应的公钥对包含所述第一时间戳的算法因子加密生成间戳密文。

24.如权利要求20所述的终端，其特征在于，还包括：

凭证标识生成模块，用于生成凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识模块生成的凭证标识；

所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。

25.如权利要求20所述的终端，其特征在于，

所述发送模块还包括：

第三发送单元，用于发送凭证请求信息；

所述接收模块还包括：

第二接收单元，用于接收凭证标识；

所述第二发送单元所发送的网络请求信息中还包括第二接收单元所接收的凭证标识；

所述包含第一时间戳的算法因子还包括所述凭证标识；所述算法因子由所述第一时间戳和所述凭证标识按预设规则组成。