[发明专利]基于密钥交换协议的轻量目录访问协议实现方法和装置

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种基于密钥交换协议的LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）实现方法和装置。

背景技术

LDAP是目前在网络上广泛使用的提供目录服务的协议。LDAP目录几乎可以存储所有类型的数据：电子邮件地址、DNS（Domain Name System，域名系统）信息、NIS（Network Information Service，网络信息服务）映射、安全性密钥、联系人信息列表和计算机名等。在PKI（Public KeyInfrastructure，公钥基础设施）领域，主要用于存储CA（certificateauthority，认证中心）写入的公钥数字证书和CRL（证书撤消列表，Certificate Revocation List）文件。

由于LDAP所具有的查询效率高、树状信息管理模式、分布式部署框架以及灵活而细腻的访问控制等特性，使LDAP广泛地应用于基础性、关键性信息的管理，如用户信息、网络资源信息的管理等。作为目录服务的提供者，保护信息及资源的机密性，完整性及避免有效攻击就成为了LDAP必须考虑的安全方面的重要问题。

现阶段LDAP v3是主流的LDAP版本，其支持的认证机制有匿名认证、简单认证和SASL（Simple Authentication and Security Layer，简单认证和安全层协议）认证。SASL用来在基于链接的协议之间建立一个安全层，是一个在LDAP服务器和LDAP客户端之间进行认证保护双方安全通信的框架，经过双方协商采用某种方式的认证机制来建立这种认证。SASL定义了多种认证机制，LDAP v3服务器与客户端可以使用任意一种认证机制。

目前的LDAP协议还没有标准的SASL实现，由于RSA算法具有重大安全隐患，导致现在的LDAP服务面临极大的安全威胁。因此，在SASL框架的基础上添加更安全的机制，保证整个LDAP服务使用的安全性、保密性是一个亟待解决的问题。

发明内容

本发明的实施例提供了一种基于密钥交换协议的LDAP实现方法和装置，以提高LDAP服务的安全性。

一种基于密钥交换协议和轻量目录访问协议的信息传输方法，包括：

在LDAP服务器和LDAP客户端之间使用SASL协商建立基于SM2密钥交换协议的安全通道；

所述LDAP客户端以协商出的共享对称密钥加密需要传输的信息，将加密后的信息通过所述安全通道传输给所述LDAP服务器，所述LDAP服务器用协商出的共享对称密钥解密所述加密后的信息。

一种基于密钥交换协议和轻量目录访问协议的信息传输系统，包括：

LDAP客户端，用于和LDAP服务器之间使用SASL协商建立基于SM2密钥交换协议的安全通道，以协商出的共享对称密钥加密需要传输的信息，将加密后的信息通过所述安全通道传输给所述LDAP服务器；

LDAP服务器，用于和LDAP客户端之间使用简单认证和安全层协议SASL协商建立基于SM2密钥交换协议的安全通道，用协商出的共享对称密钥解密所述加密后的信息。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过将SM2密钥交换协议算法引入到客户端调用LDAP服务的认证过程中，对现有LDAP安全机制进行了扩展，有效地提高了LDAP服务的安全性，提高了LDAP服务的运算效率。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种基于密钥交换协议和LDAP的信息传输方法的实现原理示意图；

图2为本发明实施例一提供的一种基于密钥交换协议和LDAP的信息传输方法的具体处理流程示意图；

图3为本发明实施例三提供的一种基于密钥交换协议和LDAP的信息传输系统的具体结构示意图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

该实施例提供的一种基于密钥交换协议和LDAP的信息传输方法的实现原理示意图如图1所示，具体处理流程示意图如图2所示，包括如下的处理步骤：