[发明专利]一种高可用的安全无私钥的CDN支持HTTPS的系统及方法

说明书

本发明属于互联网CDN领域，公开了一种高可用的安全无私钥CDN支持HTTPS的系统及方法，所述系统包括：TLS握手代理装置，查询代理装置，私钥管理装置。所述TLS握手代理装置所在的CDN节点不保存网站私钥，而是在需要使用时，将数据发送给网站的私钥管理装置，私钥管理装置处理后将数据返回给CDN，CDN再进行后续处理。所述查询代理装置设置缓存队列，所述查询代理装置设有主/备两台，所述私钥管理装置设置有多个。本发明使得CDN支持HTTPS同时，又无需将私钥部署在CDN上，保持了私钥拥有者对私钥的绝对私有控制，提高了安全性。同时，本发明的系统中的装置具备高可用性，且能够根据私钥管理装置设备负载和网络状况自动选择最佳线路。

技术领域

本发明涉及互联网CDN领域，尤其是涉及一种高可用的安全无私钥的CDN支持HTTPS的系统及方法。

背景技术

CDN(Content Delivery Network，内容分发网络)通过将资源放置到离客户端更近的互联网节点中，使得客户端访问资源时速度更快，目前已经被广泛应用于互联网领域。对于HTTPS类型的网站，通常需要将网站的私钥部署到CDN的节点中。CDN节点在接收到客户端的https访问请求后，先进行TLS(Transport Layer Security，安全传输层协议)握手，建立TLS连接，然后进行后续处理。

目前，TLS握手具体过程分为两种，RSA类型和DH类型。

RSA类型过程如下：

1客户端发送client random，支持的加密套件列表

2服务端发送server random，公钥，本次会话使用的加密套件

3客户端发送经过公钥加密的premaster

4服务端使用私钥将加密的premaster解密，获得premaster，然后根据clientrandom、server random、premaster生成sessionkey

5客户端根据client random、server random、premaster生成sessionkey

6客户端和服务器使用sessionkey作为后续加密的密钥

DH类型过程如下：

1客户端发送client random，支持的加密套件列表

2服务端发送server random，公钥，本次会话使用的加密套件；生成server DHparam，然后使用私钥对(client random、server random、server DH param)进行DH签名

3服务端发送server DH param，以及DH签名

4客户端验证DH签名是否正确；正确则发送client DH param，否则结束

5客户端根据server DH param和client DH param生成premaster，然后根据client random、server random、premaster生成sessionkey

6服务端根据server DH param和client DH param生成premaster，然后根据client random、server random、premaster生成sessionkey

7客户端和服务器使用sessionkey作为后续加密的密钥

无论是RSA类型和DH类型，它们均将网站私钥部署在CDN节点，如此，具有以下缺点：

1，CDN被攻击时，可能会被盗窃私钥

2，CDN同时管理多个网站的私钥，存在私钥混用风险