[发明专利]避免服务器对客户端状态的存储

说明书

技术领域

本发明一般地涉及计算机网络的认证、授权和安全性机制。更具体而言，本发明涉及用于避免在服务器上存储客户端状态的方法和装置。

背景技术

本部分中描述的方法可以被实行，但却不一定是先前构想或实行过的方法。因此，除非这里另有指示，否则本部分中的方法并不是本申请的权利要求的现有技术，并且并不因为被包括在本部分中就被承认是现有技术。

为了保持私有计算机网络的安全性，客户端计算机(“客户端”)可能需要通过充当到网络的接入点的服务器计算机(“服务器”)来访问网络。在允许客户端访问网络之前，服务器可能要求客户端向服务器提供认证证书，以便服务器可以确信客户端确实是客户端声称它是的那个实体。客户端的认证证书指示客户端的身份。如果客户端的认证证书不与存储在服务器上的认证证书相匹配，则服务器拒绝客户端访问网络。即使在客户端成功认证自身之后，服务器也可以基于与存储在服务器上的客户端相关联的授权特性来限制客户端对网络资源的访问和/或客户端可以对网络资源执行的操作。

未经授权的计算机尝试窃听在经授权的客户端和服务器之间传输的信息并非罕见情况。为了防止未经授权的计算机利用未经授权的计算机不应当接收到的信息，客户端和服务器可以采用加密机制来保护将在客户端和服务器之间传输的信息。根据一种加密机制，客户端和服务器都从只有客户端和服务器拥有的共享密钥得出一个或多个会话密钥。在向彼此发送消息之前，客户端和服务器利用会话密钥对消息加密。利用会话密钥，客户端和服务器可以对从彼此接收到的经加密的消息进行解密。没有共享密钥的计算机无法得出会话密钥，因而无法对在客户端和服务器之间传输的经加密的消息进行解密。

多个客户端可以通过同一个服务器访问私有网络。为了防止一个客户端伪装成另一个客户端，不同的客户端一般与不同的认证证书相关联。不同的客户端可以与不同的授权特性相关联。为了防止一个客户端利用仅打算用于另一客户端的信息，不同的客户端一般被提供以不同的共享密钥。客户端的认证证书、授权特性和共享密钥被统称为该客户端的状态信息。

根据一种方法，服务器为每个客户端存储单独的客户端状态信息。在存在许多客户端的情况下，为每个客户端存储单独的客户端状态信息会使用大量存储器。服务器的花费与服务器存储客户端状态信息所需的存储器的量成比例。

许多现有的网络设备不包含足以存储大量客户端的客户端状态信息的存储器。例如，当大量客户端将会访问网络时，某些网络路由器可获得的相对少量的存储器妨碍了这些网络路由器执行上述服务器功能。许多网络路由器不具有足够的存储器来同时存储许多不同的认证证书、授权特性和共享密钥。此外，许多设备使用诸如闪存这样的非易失性存储器系统，这些系统的使用是有局限性的。闪存能被写的次数是固定的，并且每次写操作可能会花费大量时间。由于这些局限性，闪存系统不适合于存储诸如客户端状态信息这样的动态数据。

在当今的越来越无线的世界中，存储器局限性并不是与客户端状态信息的存储有关的唯一问题。无线客户端可能从一个位置漫游到另一个位置。在无线客户端离开一个位置并进入另一个位置时，无线客户端可能尝试通过不同的服务器访问相同的私有网络。如果客户端通过其尝试访问的服务器没有客户端的状态信息，则服务器将不能对去往客户端的消息进行加密，也不能对来自客户端的消息进行解密。

解决上述问题的一种可能的方法是以这样一种方式来管理一组服务器，该方式使得存储在一个服务器上的客户端状态信息被复制在域中的每个服务器上。但是，在存在许多客户端和许多服务器的情况下，在每个服务器上复制所有客户端状态信息是令人生畏的工作，尤其是在新的客户端不断被添加到客户端池的情况下更是如此。如果域中的每个服务器都需要被配备以很大量的存储器来存储所有客户端的所有客户端状态信息，则管理域的花费将会是无法承受的。实际上，如果客户端的数目以充分快的速度增长，则管理员将会发现不可能跟得上增长。

附图说明

在附图中以示例方式而非限制方式示出了本发明，附图中类似的标号是指类似的元件，其中：

图1是示出其中客户端状态信息主要存储在客户端上而不是服务器上的系统的概况的框图；

图2是示出用于避免在服务器上存储客户端状态信息的方法的一个实施例的高级别概况的流程图；

图3A和3B是示出用于避免在服务器上存储客户端授权特性的方法的一个实施例的流程图；

图4A和4B是示出用于替换存储在客户端上的经加密的客户端状态信息的方法的一个实施例的流程图；