[发明专利]数据传输方法、装置、电子设备及机器可读存储介质

说明书

本申请提供一种数据传输方法、装置、电子设备及机器可读存储介质。在本申请中，基于所述本端设备与所述对端设备基于IPSec阶段协商获取的目标SPI，在所述共享密钥块中获取与所述目标SPI对应的目标子密钥；基于所述目标子密钥生成的本端SA，对所述数据执行加密；将加密后的数据传输至所述对端设备；以使，所述对端设备在基于所述目标SPI，获取与所述目标SPI对应的所述目标子密钥、以及与所述本端SA对应的对端SA后，基于所述对端SA对所述加密后的数据执行解密，实现了IPSec VPN与第三方密钥技术相结合，提高了IPSec VPN数据传输的安全性。

技术领域

本申请涉及通信技术领域，尤其涉及数据传输方法、装置、电子设备及机器可读存储介质。

背景技术

由于经济和社会的快速发展，企业信息化程度的提高，一个常见的需求就是各地分公司或办事处同企业总部的需要跨越互联网进行信息交互以及传递，而VPN(VirtualPrivate Network，虚拟专用网络)就是应对上述需求的一种远程访问技术。VPN按不同协议划分包括多种类型，其中，基于IPSec(Internet Protocol Security，互联网安全协议)的VPN，是常用的一种VPN。IPSec VPN对数据的加密是以数据包为单位的，而不是以整个数据流为单位，这不仅灵活而且有助于进一步提高IP数据包的安全性，可以有效防范网络攻击。

基于IPSec的VPN，为互联网上传输的数据提供了高质量的、可互操作的、基于密码学的安全保证。基于IPSec VPN系统中的多个通信方之间在IP层通过加密与数据源认证等方式，提供了数据机密性、数据完整性、数据来源认证等安全服务。

发明内容

本申请提供一种数据传输方法，所述方法应用于IPSec VPN系统中的IPSec对等体，所述IPSec VPN系统在运行时，所述IPSec对等体可被配置为本端设备或对端设备，所述IPSec对等体从第三方密钥管理系统已获得了共享密钥块；其中，所述共享密钥块包括若干子密钥，当所述IPSec对等体为本端设备时，所述方法包括：

基于所述本端设备与所述对端设备的在IPSec阶段协商获取的目标SPI，在所述共享密钥块中获取与所述目标SPI对应的目标子密钥；

基于所述目标子密钥生成的本端SA，对所述数据执行加密；

将加密后的数据传输至所述对端设备；以使，所述对端设备在基于所述目标SPI，获取与所述目标SPI对应的所述目标子密钥、以及与所述本端SA对应的对端SA后，基于所述对端SA对所述加密后的数据执行解密。

可选的，若满足预设的时间计划和或若所述共享密钥块的已使用子密钥达到预设的阈值，所述基于所述本端设备与所述对端设备在IPSec阶段协商的目标SPI，在所述共享密钥块中获取与所述目标SPI对应的目标子密钥，还包括：

从所述第三方密钥管理系统获取新增密钥块；

基于所述新增密钥块，更新所述共享密钥块。

可选的，所述本端设备已保存所述目标SPI，所述基于所述目标子密钥生成的本端SA，包括：

将所述目标子密钥及所述目标SPI，作为入参传入到IPSec阶段协商获得的SA生成算法中，生成所述本端SA。

可选的，当所述IPSec对等体为对端设备时，还包括：

获取所述本端设备已发送的数据；

基于所述对端SA，对所述数据执行解密；

若解密失败，则基于所述对端SA对应的历史对端SA，对所述数据尝试二次解密。