[发明专利]具有业务流可见性的端到端的网络安全

说明书

本申请是申请日为2008年11月6日、申请号为200810170453.3的同名专利申请的分案申请。

技术领域

本申请涉及通信和网络领域，具体地涉及维护客户端与服务器之间的端到端的安全性并同时允许业务流(traffic)对中间网络设备具有可见性。

背景技术

许多网络安全协议依赖于在客户端和服务器之间使用昂贵的非对称加密技术的协商会话密钥，并随后需要服务器记录大量的针对每个客户端会话协商的对称密钥。端到端的安全性是指在网络中从一端一直到另一端(例如从客户端到服务器以及从服务器到客户端)的通信的数据可靠性和/或数据机密性。业务流可见性是指中间的服务器以及信息技术(IT)监测设备可以查看受保护的业务流。在一定程度上，这两个目地是相互对立的，但是在可控制的环境中，出于网络安全的目的，这两者都很重要，在所述环境中，经授权的中间设备需要访问数据来执行有价值的网络功能，例如对病毒/蠕虫进行安全扫描。

对于防止第三方对客户端和服务器之间的业务流进行篡改来说，端到端的安全对于客户端和服务器双方都是很重要，其中客户端更易于受到直接的操纵或篡改。因此，客户端保密(密码密钥)的独特性对于防止由于一个客户端的泄密而获得对于其他客户端的业务流的访问来说是极为重要的。业务流可见性对于IT管理来说是至关重要的，其要求IT管理设备观测业务流以检测异常现象。许多当前的主要安全协议只提供了端到端的安全性，而并未涉及业务流的可见性。

近来，为了提升效率，业界已经转向对包加密和认证均采用单密钥组合模式加密(例如AES-GCM和AES-CCM)。因此，就端到端的安全性而言，潜在地具有单密钥的中间网络设备可能在网络业务流的可靠性方面会出现安全问题。换言之，成功地攻入中间网络设备的攻击者可以随意地篡改能够被客户端和服务器端点接受的任何合法的包。[AES=高级加密标准(Advanced Encryption Standard)；GCM=伽罗瓦计数器模式(Galois Counter Mode)；CCM=计数器CBC-MAC(Counter CBC-MAC)；以及CBC-MAC=密码块链消息认证码(Cipher Block Chain Message Authentication Code)。]

附图说明

下面将通过示例性实施例结合附图以非限制性的方式描述本发明的实施例，在附图中，相似的附图标记表示相似的元件，其中：

图1是根据本发明各个实施例的企业网络安全图；

图2是根据各个实施例的客户端平台上的序列的图示；

图3是根据各个实施例的另一客户端平台序列；

图4是根据各个实施例的服务器序列；

图5是根据各个实施例的另一序列；

图6是根据各个实施例的硬件图示；以及

图7是根据各个实施例进一步详细地描述的图6的加密引擎。

具体实施方式

本发明的示例性实施例包括但不限于，用于维持客户端和服务器之间的端到端的安全性、并同时允许业务流对中间网络设备具有可见性的方法和装置。中间网络设备不太可能能够伪造或者仿造消息来欺骗客户端和/或服务器，即使它们被入侵者成功攻入也是如此。

将使用本领域技术人员通常使用的词句来来描述示例性实施例的各个方面，以将这些示例性实施例的作用的实质传递给本领域的其他技术人员。但是，对于本领域技术人员来说显而易见的是，可以只采用所描述的多个方面中的一些方面来实施替代性的实施例。出于说明的目的，阐述了具体的数量、材料和结构以提供对示例性实施例的透彻理解。但是对本领域技术人员来说显而易见的是，无需这些具体细节也能实施替代性的实施例。在其他情形下，略去或者简化了公知的特征，以免对示例性实施例造成模糊。

此外，以最有助于理解示例性实施例的方式将各个操作描述为多个分离的操作；但是，描述的顺序不应该被解释成其意味着这些操作必然地是依赖于其顺序的。具体而言，这些操作无需以本文所呈现的顺序执行。

在本文中反复使用了短语“在一个实施例中”。该短语一般并非指的是同一个实施例；但是它也可以这样指代。除非上下文有相反提示，否则术语“包含”、“具有”和“包括”是同义词。短语“A/B”表示“A或B”。短语“A和/或B”表示“(A)、(B)或者(A和B)”。短语“A、B和C中的至少一个”表示“(A)、(B)、(C)、(A和B)、(A和C)、(B和C)或者(A、B和C)”。短语“(A)B”表示“(B)或者(AB)”，即A是任选的。