[发明专利]基于证书属性的IP安全证书交换

权利要求书

1.一种计算机实现的安全系统，包括：

本地端点的通信组件，所述通信组件从远程端点接收数字证书，所述数字证书具有证书属性；以及

所述本地端点的安全组件，所述安全组件处理所述证书属性中的一个或多个以确认与所述远程端点的因特网协议安全（IPsec）通信。

2.如权利要求1所述的系统，其特征在于，所述安全组件还使用根证书来确认所述通信。

3.如权利要求1所述的系统，其特征在于，所述数字证书包括定义所述数字证书的安全上下文的一个或多个证书属性。

4.如权利要求1所述的系统，其特征在于，所述数字证书锁定到特定证书属性。

5.如权利要求1所述的系统，其特征在于，所述数字证书锁定到特定的地址或一组地址。

6.如权利要求1所述的系统，其特征在于，还包括证书机构，所述证书机构为多个区上的IPsec通信签发所述数字证书和其他数字证书。

7.如权利要求1所述的系统，其特征在于，所述安全组件根据属性优先级来处理证书属性。

8.如权利要求1所述的系统，其特征在于，所述一个或多个证书属性包括代理系统的IP地址和区。

9.一种计算机实现的安全方法，包括：

在端点处从对等端点接收数字证书，所述证书具有一个或多个证书属性；

在所述端点处基于所述一个或多个证书属性确认所述对等端点的安全上下文；以及

基于对所述安全上下文的确认来建立所述端点与所述对等端点之间的IPsec会话。

10.如权利要求9所述的方法，其特征在于，还包括：从管理多个区的证书机构向所述端点和所述对等端点签发数字证书。

11.如权利要求9所述的方法，其特征在于，还包括：将所述证书锁定到特定属性。

12.如权利要求9所述的方法，其特征在于，还包括：将一属性定义成特定端点的IP地址。

13.如权利要求9所述的方法，其特征在于，还包括：将一属性定义成一个组的一定范围的IP地址。

14.如权利要求9所述的方法，其特征在于，还包括：将所述安全上下文定义成所述属性中的一个或多个。

15.如权利要求9所述的方法，其特征在于，还包括：将端点数字证书的属性与所述端点的安全数据相比较以向所述端点确认所述对等端点。