[发明专利]用于对服务提供安全访问的系统和方法

说明书

技术领域

本发明公开了一种用于对服务器上的服务提供授权用户访问的系统和方法。

背景技术

虚拟私有网络（VPN）是控制访问以允许客户端连接的通信环境。VPN创建计算机通信私有范围和/或经由不安全通信网络（诸如互联网）提供私有网络的安全扩展。

互联网协议安全性（IPsec）、第2层隧道协议（L2TP）和安全套接字层（SSL）是用于在通信网络（诸如互联网）上建立VPN的加密协议以确保安全访问VPN中给授权用户的数据和服务的实例。

SSL是应用层协议，且将公开密钥和对称密钥加密的组合用于使数据包安全。SSL保护在通信主机之间发送的数据，但不保护通信主机的身份。

L2TP是用于建立VPN的隧道协议。L2TP本身不提供任何加密或保密，且L2TP通常结合IPsec协议来使用以提供加密和保密。

IPsec协议族为互联网协议（IP）层上的流量提供安全性服务。如本领域众所周知，互联网协议（IP）数据包未内建安全性机制。IPsec被设计为能实现在IP网络上使用IP数据包的安全私有通信。IPsec协议族能实现保密性、源认证和数据完整性。IPsec使用认证标头（AH）协议和封装安全性有效载荷（ESP）协议来提供流量安全性。AH和ESP协议在题为“用于封装安全性有效载荷（ESP）和认证标头（AH）的加密算法实现要求（Cryptographic Algorithm Implementation Requirements for Encapsulating Security Payload(ESP)and Authentication Header(AH)）”的RFC4835中被描述，将其内容结合于此供参考。

IPsec提供两个操作模式以跨通信网络交换数据，即隧道模式和传输模式。传输模式仅保护IP数据包的数据，而隧道模式保护包括IP标头的整个IP数据包。因此，除IP数据包的数据之外，隧道模式提供主机的身份保护。IPsec协议以及传输模式和隧道模式在题为“用于互联网协议的安全架构（Security Architecture for the Internet Protocol）”的RFC4301中被描述，将其内容结合于此供参考。

ESP协议和AH协议的安全性特征仅可在通信主机之间有现有安全性关联（SA）时使用。SA为一组算法（诸如安全散列算法1（SHA1））和参数（诸如安全性密钥），所述安全性密钥被用于加密和认证在一个方向上的给定IP数据包流。因此，对于双向通信，IP数据包流由一对SA确保安全。SA是在两个实体之间描述实体如何使用安全性服务来进行安全通信的关系。在无限制情况下，在形成SA的通信方之间的协定包括：

●加密算法；

●认证算法；

●IPsec操作模式，即，隧道模式或传输模式；以及

●会话密钥和会话密钥的有效期。

IPsec使用安全性参数索引（SPI）、安全性关联数据库（SADB）索引以及在数据包标头中的目标地址来唯一识别对于给定出站IP数据包的安全性关联。对于入站数据包执行类似程序，其中，IPsec从安全性关联数据库采集解密和验证密钥。

如上所讨论，若通信主机之间有现有SA，则IP数据包仅可由IPsec确保安全和保护。SA可手动创建，例如由系统管理员创建，或者SA可自动创建。IPsec将互联网密钥交换（IKE）协议用于动态建立和配置在通信主机之间的SA。IKE使用迪菲-赫尔曼（Diffie-Hellman）密钥交换来设置共享会话秘密，从共享会话秘密推导出加密密钥。此外，IKE使用公开密钥技术或预共享密钥以能使通信主机相互手动认证。

IKE分两个阶段操作，即第1阶段和第2阶段。第1阶段通过使用迪菲-赫尔曼密钥交换算法来建立安全认证通信信道，以产生共享密钥来加密通信主机之间的其他IKE通信。第1阶段协商产生单个双向互联网安全性关联和密钥管理协议（ISAKMP）SA。第1阶段可在主模式（其保护通信主机的身份）或积极模式（其不保护通信主机的身份）下操作。

在第2阶段期间，通信主机使用在第1阶段建立的安全信道来协商代表其他服务（如IPsec）的SA。在设置中，诸如在通信主机正在建立用于IPsec通信的SA的情况下，第2阶段执行至少两次以创建两个单向SA，一个入站和一个出站。应当理解，根据通信主机之间的通信约定，第2阶段可执行多于两次。