[发明专利]分散式互联网安全协议密钥协商

说明书

提供了分散式密钥协商的方法。一种方法包括由来自多个互联网密钥交换(IKE)节点中的第一IKE节点发起用于互联网安全协议(IPSec)通信会话的密钥更新过程，该IPSec通信会话是与客户端设备建立的并由多个IKE节点中的第二IKE节点服务，并且其中使用第一加密密钥来加密数据流。该方法还包括：由第一IKE节点从密钥值存储设备获得关于IPSec通信会话的信息；以及由第一IKE节点执行密钥更新过程的至少一部分，其中，第一加密密钥被第二加密密钥替换以用于IPSec通信会话。

相关申请的交叉引用

本申请要求优先于2019年5月16日提交的标题为“DECENTRALIZED IPSEC KEYNEGOTIATION SPLIT ACROSS DISPARATE IKE NODES”的第62/848692号美国临时专利申请。以上申请通过引用全部并入本文。

技术领域

本公开涉及互联网安全协议，并且具体而言涉及互联网安全协议密钥更新(rekeying)过程。

背景技术

在互联网安全协议(IPSec)环境中，互联网密钥交换(IKE)和封装安全有效负载(ESP)两者的安全关联(SA)的密钥协商都在单个主机上执行。以这种方式，客户端或服务器可以发起密钥更新过程。出于安全原因，IKE和ESP安全关联(SA)的经协商的密钥仅用于有限量的时间和/或保护有限量的数据。这意味着每个安全关联(SA)应该在特定使用期之后过期，该使用期可以用时间或数据量来测量。为避免中断，可以在使用期到期之前协商替换SA。这种功能称为“密钥更新”。密钥更新过程涉及数据分组的交换，借此客户端和服务器两者协商一组新的密钥。在IKE SA的情况下，这是为IKE会话本身执行的。对于ESP SA(也称为子SA)，IKE交换用于为流经IPSec隧道的数据流(traffic)所使用的ESP加密进行密钥更新。当客户端和服务器设置隧道时，这些密钥更新过程在协商的时间间隔内发生。

从服务器的角度来看，协商密钥的实际过程始终通过单个主机执行。也就是说，包括协商密钥在内的整个密钥更新协议在单个主机上执行，使得一旦发起过程，该过程就在单个主机上处理。这种单个主机的过程可能会导致扩展限制。

附图说明

图1是示出根据示例性实施例的被配置为实现密钥协商过程的IPSec架构的方框图。

图2是示出根据示例性实施例的单个IKE服务器环境中的IPSec密钥协商的梯形图。

图3是示出根据示例性实施例的分散式IPSec密钥协商的梯形图。

图4是示出根据另一示例性实施例的分散式IPSec密钥协商的梯形图。

图5是示出根据示例性实施例的分散式IPSec失效对等体检测(dead peerdetection)生成的梯形图。

图6是示出根据示例性实施例的由IKE节点设备执行的分散式IPSec密钥协商的方法的流程图。

图7是示出根据示例性实施例的由密钥值存储设备执行的分散式IPSec密钥协商的方法的流程图。

图8是示出根据另一示例性实施例的由IKE节点设备执行的分散式IPSec密钥协商的方法的流程图。

图9是根据各种示例性实施例的被配置为执行分散IPSec密钥协商的计算设备的硬件方框图。

具体实施方式

概述

提供了可用于执行分散式IPSec密钥协商的方法、装置和计算机可读介质。