CN101465727A

CN101465727A - 一种保证通信安全的方法、网络设备、装置和通信系统

Info

Publication number: CN101465727A
Application number: CNA2008102416302A
Authority: CN
Inventors: 孙宏; 张战兵; 陈爱平
Original assignee: Huawei Symantec Technologies Co Ltd
Current assignee: Huawei Digital Technologies Chengdu Co Ltd
Priority date: 2008-12-17
Filing date: 2008-12-17
Publication date: 2009-06-24
Anticipated expiration: 2028-12-17
Also published as: CN101465727B

Abstract

本发明实施例公开了一种保证通信安全的方法、网络设备、装置和通信系统。该网络设备包括：存储单元，用于存储至少两个加密对象的信息，所述至少两个加密对象由对应的至少两个保护密钥对安全对象进行加密得到；获取单元，用于获取来自保护密钥存储装置的保护密钥的信息；解密单元，用于根据所述获取单元获取到的保护密钥的信息，对所述存储单元存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象。通过本发明实施例，可以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险。

Description

一种保证通信安全的方法、网络设备、装置和通信系统

技术领域

本发明实施例涉及信息安全领域，特别是涉及一种保证通信安全的方法、网络设备、装置和通信系统。

背景技术

对于VPN(Virtual Private Network，虚拟专用网络)网关、加密机等安全设备，其管理的安全也十分重要。业界一般通过USB KEY(Universal SerialBUS，通用串行总线)或者智能IC卡(Integrated Circuit，集成电路)等对安全设备进行管理。安全设备中往往会存有证书密钥、预共享密钥或者其他的重要的敏感信息。这些敏感信息一旦被恶意攻击者获取，安全设备的安全性也不复存在。因此，像证书密钥、预共享密钥以及其他重要敏感信息要安全存储，加密存储是一种常用的做法。

对预置在安全设备的密钥、预共享密钥或者其他机密信息进行加密存储也需要考虑这些加密密钥的安全保存问题，单纯设备本身而言，这个问题是无法解决的。因此，业界一般借助USBKEY、智能IC卡等来存储加密设备加密信息的密钥。

在应用时，USBKEY或者IC智能卡的持有者，将USBKEY或智能卡插入设备，经过认证后，USBKEY或智能卡中的密钥(我们称之为保护密钥)安全传送到安全设备，安全设备使用保护密钥解密机密信息，设备正常工作。

从安全上考虑，保护密钥往往由安全设备自身产生，将机密信息加密后可以存放在智能卡中。

在这种情况下，如果USBKEY或智能卡损坏或者丢失，则设备无法恢复正常工作。因此，需要USBKEY或智能卡备份机制，来解决这种问题。

因此，安全地将保护密钥存放于智能卡至关重要。

发明人在实现本发明的过程中，发现现有技术至少存在以下缺点：

只用一张USBKEY或智能卡存储保护密钥，如果USBKEY或智能卡丢失或者破坏，安全设备加密信息将无法恢复，因此无法恢复正常工作。

发明内容

本发明实施例提供一种保证通信安全的方法、网络设备、装置和通信系统，以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险。

本发明实施例提供一种保证通信安全的方法，包括：

利用至少两个保护密钥分别对安全对象进行加密，得到相应的至少两个加密对象；将所述至少两个保护密钥的信息分别存储在至少两个保护密钥存储装置中；将所述至少两个加密对象的信息存储在网络设备中；

当所述网络设备进行通信时，所述网络设备获取来自所述至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥的信息，根据所述保护密钥的信息，对所述网络设备存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象；

所述网络设备利用所述安全对象进行通信。

本发明实施例还提供一种网络设备，包括：

存储单元，用于存储至少两个加密对象的信息，所述至少两个加密对象由对应的至少两个保护密钥对安全对象进行加密得到；

获取单元，用于获取来自保护密钥存储装置的保护密钥的信息；

解密单元，用于根据所述获取单元获取到的保护密钥的信息，对所述存储单元存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象。

本发明实施例还提供一种保护密钥存储装置，包括：

保护密钥存储单元，用于存储保护密钥的信息，所述保护密钥的信息包括：保护密钥及其标识；

发送单元，用于将保护密钥存储单元存储的保护密钥的信息向网络设备发送，以供所述网络设备根据来自所述保护密钥存储装置的保护密钥标识，查找到相应的加密对象，利用来自所述保护密钥存储装置的保护密钥对所述加密对象进行解密，得到安全对象，利用所述安全对象进行通信。

本发明实施例还提供一种通信系统，包括网络设备和至少两个保护密钥存储装置，其中：

所述至少两个保护密钥存储装置，用于分别存储至少两个保护密钥的信息，所述至少两个保护密钥用于对安全对象分别进行加密，得到相应的至少两个加密对象；

所述网络设备，用于存储所述至少两个加密对象的信息；获取来自所述至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥的信息，根据所述保护密钥的信息，对该网络设备存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象；利用所述安全对象进行通信。

与现有技术相比，通过本发明实施例至少可以产生以下有益效果：实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一的保证网络设备通信安全的方法流程图；

图2为本发明实施例二的保证网络设备通信安全的方法流程图；

图3为本发明实施例三的网络设备组成示意图；

图4为本发明实施例三的网络设备的另一组成示意图；

图5为本发明实施例三的网络设备的另一组成示意图；

图6为本发明实施例四的网络设备的组成示意图；

图7为本发明实施例五的保护密钥存储装置的组成示意图；

图8为本发明实施例六的通信系统的组成示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一：

如图1所示，本发明实施例提供一种保证网络设备通信安全的方法，包括：

步骤S102，利用至少两个保护密钥分别对安全对象进行加密，得到相应的至少两个加密对象；将所述至少两个保护密钥的信息分别存储在至少两个保护密钥存储装置中；将所述至少两个加密对象的信息存储在网络设备中；

本步骤加密动作的执行主体可以是网络设备，也可以是第三方的其他设备。

可选地，在S102之前还可以包括：

步骤S100，生成至少两个不同的保护密钥；

本步骤的执行主体可以是网络设备，也可以是第三方的其他设备；可以是利用设备上的随机数发生器生成一组给定长度的密钥。

当所述网络设备进行通信时，该方法包括：

步骤S104，网络设备获取来自所述至少两个不同的保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥的信息；

步骤S106，根据所述保护密钥的信息，对该网络设备本地存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象；

步骤S108，所述网络设备利用所述安全对象进行通信。

安全对象可以是证书密钥、或预共享密钥等。加密对象可以是加密后的证书密钥、或加密后的预共享密钥等。保护密钥存储装置可以是智能IC卡、或USB KEY、或射频智能卡等。网络设备可以是安全网关、或路由器等。

具体地，以SSL(Secure Socket Layer，安全套接字层)VPN网关设备为例，在该网关提供正常的SSL VPN服务之前，该网关设备需要预置设备证书以及其对应的证书密钥，设备证书和证书密钥是在SSL握手过程用于协商会话密钥的。如果证书密钥以明文的方式存储于网关设备的存储设备中，比如Flash、EEPROM或者硬盘等，这种存储方式不安全，容易被攻击者采用探测或者其他手段获得。一旦证书密钥泄漏，攻击者通过侦听SSL握手，很容易获得会话密钥，解密经SSL加密的会话。这样，SSL VPN网关无法提供安全的通信。

在本实施例中，SSL VPN网关设备的安全对象为证书密钥K，可以由该网关来生成保护密钥——利用设备上的随机数发生器生成多个(个数可以按照需求智能卡个数设定)给定长度的密钥，比如A、B、C三个保护密钥，利用这三个保护密钥分别对证书密钥K进行加密，生成三个加密后的证书密钥D、E、F，将这三个加密后的证书密钥D、E、F存储在本地，比如存储在网关设备的Flash上，将A、B、C三个保护密钥分别存储在三个智能卡G、H、I中。当所述VPN网关进行通信时，选取三个智能卡G、H、I中的任一个，比如选择智能卡G，插入智能卡G，输入用户名和口令，验证通过后，智能卡正常工作，VPN网关获取来自智能卡G存储的保护密钥A的信息，根据保护密钥A的信息，对本地存储的与A对应的加密后的证书密钥D进行解密，得到证书密钥K；利用证书密钥K进行通信。

这样，每个合法的智能卡都能够恢复SSL VPN网关的证书密钥，使SSLVPN网关提供正常的服务。只要有一个智能卡正常，就能够使设备正常使用。避免了用于存储保护密钥的智能卡丢失或者损坏，导致证书密钥无法恢复的问题发生。

本发明实施例方法的各个步骤可以根据实际需要对顺序进行调整。

通过本发明实施例，可以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险。

实施例二：

在实施例一的基础上，本发明实施例提供一种保证网络设备通信安全的方法，如图2所示，在步骤S102之前可以进一步包括：

步骤S202，生成所述至少两个保护密钥对应的标识，保护密钥与其对应的加密对象具有相同的标识；即通过标识建立保护密钥与加密对象的对应关系；

本步骤的执行主体可以是网络设备，也可以是第三方的其他设备。

所述保护密钥的信息可以包括：保护密钥及其标识；

所述加密对象的信息可以包括：加密对象及其标识；

步骤S104可以更具体地包括：

步骤S204，网络设备获取所述至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥及其标识；

步骤S106可以更具体地包括：

步骤S206，网络设备根据所述标识在本地存储的加密对象信息中查找与该标识对应的加密对象，利用所述保护密钥对查找到的加密对象进行解密，得到所述安全对象。

同样基于实施例一中的具体例子进行说明。

在本实施例中，可以在生成保护密钥A、B、C的同时生成其对应的标识，标识可以是随机的，比如为1、2、3，于是保护密钥A、B、C对应的三个加密后的证书密钥D、E、F的标识也分别为1、2、3。通过标识，加密后的证书密钥与其对应的保护密钥之间建立了一种简单的索引关系。保护密钥A与其标识1所组成的保护密钥的信息，存储在智能卡G中，同样地B和2，C和3分别存储在智能卡H、I中。加密后的证书密钥D及其标识1所组成的加密对象的信息、E及其标识2所组成的加密对象的信息、F及其标识3所组成的加密对象的信息，一并存储在网关设备中。插入智能卡G后，输入用户名和口令，验证通过后，智能卡G正常工作。SSL VPN网关获取智能卡的保护密钥A和标识1，根据标识1查找到网关Flash上存储的标识为1对应的加密后的证书密钥D，根据A对D进行解密得到证书密钥K，利用证书密钥K进行通信。

通过本发明实施例，可以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险；通过标识，使任一张合法的智能卡插入VPN网关后，能够快速地查找到其对应的加密后的证书密钥并解密，减少了解密的时延。

实施例三：

如图3所示，本发明实施例提供一种网络设备，可以包括：

存储单元302，用于存储至少两个加密对象的信息，所述至少两个加密对象由对应的至少两个保护密钥对安全对象进行加密得到；

获取单元304，用于获取来自保护密钥存储装置的保护密钥的信息；

解密单元306，用于根据所述获取单元获取到的保护密钥的信息，对所述存储单元存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象。

如图4所示，可选地，本发明实施例的网络设备还可以包括：

保护密钥生成单元308，用于生成所述至少两个保护密钥。

如图5所示，可选地，本发明实施例的网络设备还可以包括：

通信单元310，用于利用所述解密单元得到的安全对象进行通信。

本发明实施例的安全对象可以是证书密钥、或预共享密钥等；加密对象可以是加密后的证书密钥、或加密后的预共享密钥等；保护密钥存储装置可以是智能IC卡、或USB KEY、或射频智能卡等；网络设备可以是安全网关、或路由器等。

本发明实施例设备的各个单元可以集成于一体，也可以分离部署。上述单元可以合并为一个单元，也可以进一步拆分成多个子单元。

实施例四：

实施例三中的获取单元304获取到的保护密钥的信息包括：保护密钥及其标识；存储单元302中存储的加密对象的信息包括：加密对象及其标识；

在实施例三的基础上，如图6所示，本发明实施例提供一种网络设备，解密单元306可以包括：

查找单元602，用于根据所述保护密钥标识在本地存储的加密对象信息中查找与该标识对应的加密对象；

执行单元604，用于利用所述保护密钥对所述查找单元查找到的加密对象进行解密，得到所述安全对象。

通过本发明实施例，可以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险；通过标识，使任一张合法的智能卡插入VPN网关后，能够快速地查找到其对应的加密对象并解密，减少了解密的时延。

实施例五：

如图7所示，本发明实施例提供一种保护密钥存储装置，可以包括：

保护密钥存储单元702，用于存储保护密钥的信息，所述保护密钥的信息包括：保护密钥及其标识；

发送单元704，用于将保护密钥存储单元存储的保护密钥的信息向网络设备发送，以供该网络设备根据来自保护密钥存储装置的保护密钥标识，查找到相应的加密对象，利用来自保护密钥存储装置的保护密钥对加密对象进行解密，得到安全对象，利用安全对象进行通信。本发明实施例装置可以是智能IC卡、或USBKEY、或射频智能卡等。

本发明实施例装置的各个单元可以集成于一体，也可以分离部署。上述单元可以合并为一个单元，也可以进一步拆分成多个子单元。

实施例六：

本发明实施例提供一种通信系统，利用至少两个保护密钥分别对安全对象进行加密，得到相应的至少两个加密对象，所述系统可以包括网络设备和至少两个保护密钥存储装置，如图8所示，比如包括n个保护密钥存储装置(n≥2)，其中：

所述至少两个保护密钥存储装置1～n，用于分别存储所述至少两个保护密钥的信息；所述至少两个保护密钥用于安全对象分别进行加密，得到相应的至少两个加密对象；

所述网络设备802，用于存储所述至少两个加密对象的信息；获取来自所述至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥的信息，根据所述保护密钥的信息，对该网络设备本地存储的所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象；利用所述安全对象进行通信。

本发明实施例系统的各个单元可以集成于一个装置，也可以分布于多个装置。上述单元可以合并为一个单元，也可以进一步拆分成多个子单元。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过本发明实施例，可以实现保护密钥的冗余备份，降低保护密钥丢失或损坏带来的风险；通过设置标识，使任一张合法的智能卡插入VPN网关后，能够快速地查找到其对应的加密对象并解密，减少了解密的时延。

结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或任意其它形式的存储介质中。

以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1、一种保证通信安全的方法，其特征在于，包括：

所述网络设备利用所述安全对象进行通信。

2、如权利要求1所述的保证通信安全的方法，其特征在于，在利用至少两个保护密钥分别对安全对象进行加密之前还包括：

生成所述至少两个保护密钥。

3、如权利要求1所述的保证通信安全的方法，其特征在于，进一步包括：

为所述至少两个保护密钥和加密对象分别设置标识，加密对象与其对应的保护密钥具有相同的标识；

所述保护密钥的信息包括：保护密钥及其标识；

所述加密对象的信息包括：加密对象及其标识；

所述网络设备获取来自至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥的信息，根据所述保护密钥的信息，对所述至少两个加密对象中的一个加密对象进行解密，得到所述安全对象包括：

网络设备获取所述至少两个保护密钥存储装置中的一个保护密钥存储装置存储的保护密钥及其标识，根据所述标识在本地存储的加密对象信息中查找与该标识对应的加密对象；

利用所述保护密钥对查找到的加密对象进行解密，得到所述安全对象。

4、如权利要求1～3任一项所述的保证通信安全的方法，其特征在于，所述安全对象的类型包括：证书密钥、或预共享密钥。

5、如权利要求1～3任一项所述的保证通信安全的方法，其特征在于，所述加密对象的类型包括：加密后的证书密钥、或加密后的预共享密钥。

6、一种网络设备，其特征在于，包括：

7、如权利要求6所述的网络设备，其特征在于，进一步包括：

通信单元，用于利用所述解密单元得到的安全对象进行通信。

8、如权利要求6所述的网络设备，其特征在于，进一步包括：

保护密钥生成单元，用于生成所述至少两个保护密钥。

9、如权利要求6所述的网络设备，其特征在于，所述获取单元获取到的保护密钥的信息包括：保护密钥及其标识；所述存储单元存储的加密对象的信息包括：加密对象及其标识；

所述解密单元包括：

查找单元，用于根据所述保护密钥标识在本地存储的加密对象信息中查找与该标识对应的加密对象；

执行单元，用于利用所述保护密钥对所述查找单元查找到的加密对象进行解密，得到所述安全对象。

10、如权利要求6～9任一项所述网络设备，其特征在于，所述网络设备的类型包括：安全网关、或路由器。

11、一种保护密钥存储装置，其特征在于，包括：

12、如权利要求11所述的保护密钥存储装置，其特征在于，该装置的类型包括：智能IC卡、或USB KEY、或射频智能卡。

13、一种通信系统，其特征在于，包括网络设备和至少两个保护密钥存储装置，其中：

14、如权利要求13所述的通信系统，其特征在于，所述网络设备的类型包括：安全网关、或路由器。

15、如权利要求13或14所述的通信系统，其特征在于，所述保护密钥存储装置的类型包括：智能IC卡、或USB KEY、或射频智能卡。