一种物理隔离条件下远程授权方法、装置、电子设备及存储介质与流程

本发明属于网络安全与访问控制，尤其涉及一种物理隔离条件下远程授权方法、装置、电子设备及存储介质。

背景技术：

1、在高安全等级的信息系统中，通常采用物理隔离方式将内部业务网络与公共互联网进行隔离，以杜绝外部网络入侵风险。部署于内网的业务系统，其鉴权与操作均需在内网终端完成。当需要审批某个事项时，如果具备审批权限的用户不在内网环境，常规审批流程将无法执行。

2、目前业内比较普遍的解决方案主要存在以下问题：

3、（1）vpn远程接入方案：建立外网到内网的反向数据通道，破坏了物理隔离边界，容易引入横向渗透等安全风险。

4、（2）账号密码委托方案：审批人将账号密码告知现场人员代为操作，存在权限扩散风险，且操作日志与实际责任人分离，无法满足审计溯源要求。

5、（3）同步算子验证码方案：内外网采用天然同步的参数（如时间戳）计算验证码。该方法无法实现精细化的任务绑定，验证码与任务范围无绑定关系，存在权限扩大风险。

6、（4）先实施后审批方案：事后补批极易导致职权不清、面临安全监管风险。

7、因此，亟需一种在严格保持物理隔离、不建立任何反向数据通道的前提下，实现精细化、可追溯、强绑定的远程临时授权技术方案。

技术实现思路

1、本发明提出一种物理隔离条件下远程授权方法的技术方案，以解决现有技术中在物理隔离网络下无法兼顾系统安全、精细化任务绑定及操作审计的远程授权难题。

2、本发明第一方面公开了一种物理隔离条件下远程授权方法；所述方法包括：

3、步骤s1、接收在内网业务区发起的紧急审批申请，提取与所述紧急审批申请相关的种子因子，所述种子因子至少包括审批单编号、代审批人用户标识以及发起时间戳；

4、步骤s2、将所述种子因子进行拼接，对拼接后的结果执行单次哈希运算，生成哈希摘要作为完整凭证，并将所述完整凭证与所述代审批人用户标识关联保存至内网的临时凭证表中；

5、步骤s3、对所述完整凭证进行双段截取，截取前段作为登录验证码，截取后段作为审批验证码；

6、步骤s4、将所述登录验证码、所述审批验证码以及审批任务摘要封装为指令报文，通过单向网闸将所述指令报文单向摆渡至外网区域，以使外网区域的服务端将验证码下发给审批人；

7、步骤s5、在内网业务区提供紧急代审批登录模式，接收代审批人输入的用户名、密码以及授权登录校验码，当所述用户名和密码验证通过，且所述授权登录校验码与所述临时凭证表中所述完整凭证的前段一致时，允许所述代审批人登录并赋予其针对当前审批单的临时审批权限；

8、步骤s6、在内网业务区的审批确认环节，接收所述代审批人输入的授权审批校验码，当所述授权审批校验码与所述临时凭证表中所述完整凭证的后段一致时，判定审批通过，并回收所述临时审批权限。

9、进一步，在所述步骤s2中，所述对拼接后的结果执行单次哈希运算，生成哈希摘要作为完整凭证，具体包括：

10、采用sha-256、sha-3或blake2算法中的一种对拼接后的字符串执行哈希运算，生成64位十六进制的哈希摘要；

11、所述截取前段作为登录验证码，截取后段作为审批验证码，具体为：

12、取所述哈希摘要的前32位字符作为所述登录验证码，取所述哈希摘要的后32位字符作为所述审批验证码。

13、进一步，在所述步骤s1中，所述种子因子还包括系统全局盐值，所述系统全局盐值仅存储于内网的配置文件中，不存入业务数据库；所述将所述种子因子进行拼接，具体为：将所述审批单编号、所述代审批人用户标识、所述发起时间戳以及所述系统全局盐值按照预设顺序拼接为输入字符串。

14、进一步，在所述步骤s5中，所述赋予其针对当前审批单的临时审批权限，具体包括：

15、在系统的临时令牌表中写入一条会话记录，所述会话记录包括会话标识、所述代审批人用户标识、当前审批任务标识、权限范围以及过期时间；

16、通过全局拦截器在所述代审批人访问审批接口时，校验所述会话记录的有效性。

17、进一步，在所述步骤s5中，所述回收所述临时审批权限，具体包括：

18、采用事件拦截与超时拦截相结合的双重机制：

19、通过定时任务周期性扫描所述临时令牌表中过期时间早于当前系统时间的会话记录，将其状态更新为已过期；

20、在每次执行验证码校验前进行懒验证，检查所述临时凭证表中的记录是否已过期，若过期则直接判定校验失败并标记失效；

21、当审批提交成功、发起人撤回申请或审批人终止流程时，主动将对应的会话记录标记为已撤销。

22、进一步，在所述步骤s4中，所述将所述登录验证码、所述审批验证码以及审批任务摘要封装为指令报文，通过单向网闸将所述指令报文单向摆渡至外网区域，以使外网区域的服务端将验证码下发给审批人，具体包括：

23、将所述登录验证码与所述审批验证码分别编码为对应的可视化凭证生成参数或短链接，封装入符合所述单向网闸白名单规则的json报文中，并附加校验和字段；

24、外网区域的短信网关读取摆渡后的报文并校验所述校验和字段，校验通过后调用运营商接口，将包含所述可视化凭证生成参数或短链接的信息下发给所述审批人，以供提取二维码或一维码进行扫码输入。

25、进一步，在所述步骤s1中，所述提取与所述紧急审批申请相关的种子因子之前，还包括：

26、在内网系统中预先配置代审批人白名单，所述代审批人白名单自动排除当前审批发起人自身；

27、接收所述发起人在所述代审批人白名单中勾选的代审批人，以确定所述代审批人用户标识。

28、本发明第二方面公开了一种物理隔离条件下远程授权装置；所述装置包括：

29、凭证生成引擎，用于接收在内网业务区发起的紧急审批申请，提取与所述紧急审批申请相关的种子因子，所述种子因子至少包括审批单编号、代审批人用户标识以及发起时间戳；对所述种子因子拼接后执行单次哈希运算生成完整凭证存入临时凭证表；并截取所述完整凭证的前段作为登录验证码，后段作为审批验证码；

30、报文封装模块，用于将所述登录验证码、所述审批验证码及任务摘要封装为指令报文，送至单向网闸以单向摆渡至外网；

31、登录入口控制模块，用于提供紧急代审批登录模式，接收代审批人输入的账户信息及授权登录校验码；

32、本地校验引擎，用于在登录环节将所述授权登录校验码与所述临时凭证表中对应完整凭证的前段进行比对；在审批环节接收授权审批校验码，并与所述完整凭证的后段进行比对；

33、临时权限管控模块，用于在登录比对通过后为所述代审批人开通针对单笔审批任务的临时权限，并在审批完成或超时后自动回收所述临时权限。

34、本发明第三方面公开了一种电子设备。电子设备包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时，实现本公开第一方面中任一项的一种物理隔离条件下远程授权方法中的步骤。

35、本发明第四方面公开了一种计算机可读存储介质。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时，实现本公开第一方面中任一项的一种物理隔离条件下远程授权方法中的步骤。

36、本发明的有益效果如下：

37、1、无反向通道架构：完全不突破内网物理隔离安全红线，无需外部网络数据回传，由本地校验引擎利用预存的哈希摘要完成校验，从根源解决了高安全内网远程授权的合规痛点。

38、2、单凭证双权码生成：仅执行一次sha-256等哈希运算，分段截取生成登录验证码与审批验证码。一套机制实现了权限开通（登录）与操作确认（审批）的分级鉴权，提升了系统的安全性，即使单段泄露也无法完成完整审批。

39、3、一人一事一时一码：种子因子绑定了任务流水号、代审批人账号及时间戳，确保凭证不可跨账号、跨任务复用，实现了极高精度的精细化授权。

40、4、权限自动管控：结合基于rbac扩展的临时token与多重拦截机制，实现了紧急授权时效的自动闭环，有效防范了权限扩散和滞留风险，确保系统审计日志权责清晰。