CN1728632A - 一种安全等级握手协商方法和系统 - Google Patents

Abstract

本发明提出了一种安全等级握手协商方法和系统，通过在移动终端和服务器中分别设置有安全等级描述层和安全协议层，安全等级描述层将安全保障能力分为不同等级，将来自安全协议层的安全协议参数转换成安全等级以及接收对端安全等级描述层发来的安全等级信息，将发送到安全协议层的安全等级转换成安全协议参数；安全协议层中存储需要的安全协议参数，以及接收对端安全协议层发来的安全协议参数信息。本发明完全利用安全协议原有的握手信令携带等级描述信息，可以避免由于增加安全等级描述信令而带来潜在的安全漏洞；一方面使安全技术易于配置和使用，另一方面促进安全服务个性化，方便计费，使安全服务有条件成为增值服务内容。

Description

一种安全等级握手协商方法和系统

技术领域

本发明涉及移动通讯和信息安全领域，具体涉及一种安全等级握手协商方法。

背景技术

随着移动网络和业务的发展，移动网络必须支持越来越多的安全协议和安全算法。这种动力主要来自以下几个方面：(1)随着移动网络日益走向融合，如3G与WLAN的融合等，移动网络必须同时支持种类繁多的移动终端，然而不同的移动终端可能由不同的安全协议支持，因此服务器必须支持的安全协议就日渐增多。(2)由于移动终端的移动性，支持某种安全协议的移动终端一旦投入使用，客观上要求运营商对该移动终端可能漫游范围内的服务器配置该安全协议。(3)不同国家由于国家安全的需要，也可能要求本国移动通信网络支持本国的加密算法。这就要求移动网络服务器需要支持复杂全面的安全协议，以满足漫游和互通的需要。

大多数移动终端计算能力，显示能力以及内存有限，难以支持和服务器等同数量的安全协议。移动终端只能根据自身应用范围和特点，支持有限安全协议种类。若移动终端和服务器由安全协议直接握手协商安全策略，服务器在每次发出初次握手信令时，就必须将所支持的各种类型安全协议和相关参数发给移动终端。虽然从单一的移动终端和服务器的通信过程来说，安全协议参数的增加对带宽的消耗很小，但是考虑到移动终端的移动性，从服务器发出的安全参数需要将所有可能的参数传给个性化的移动终端，整体对网络带宽的消耗就会明显增加。比如支持某种类型安全协议的移动终端只占所有网络移动终端数量的一小部分，然而为了支持该类型移动终端的移动性，服务器每次和各种移动终端建立通信时，就有必要在安全协议参数中增加该类型的安全参数。随着移动终端应用范围，应用领域不断扩大，移动终端个性化日益明显情况下，整体安全参数在全网中的传输量会不断增加，这不但增加整体网络带宽消耗，也增加所有移动终端计算资源和内存消耗。

另一方面，移动网络所有安全协议参数在每次呼叫过程传输，将不利于网络的升级。随着安全技术的不断发展和不同应用的需要，安全协议参数数量的不断扩展有可能受到现有信令格式的限制。如果发生无法扩展的情况，就需要对所有移动终端和服务器进行升级，这是很难办到的。

随着移动网络传输能力的增大，各种新业务也随着发展。业务范围已经不局限于移动终端之间通话的语音业务，或移动终端访问特定服务器内容的数据业务，而是移动终端全面参与多方信息交互的多媒体业务，移动终端既是多媒体信息的接收者，也是多媒体信息的提供者。日渐丰富的应用需要有足够的安全保障。然而，并不是所有信息都需要同样级别的安全保障，因此有必要针对不同业务需要，提供不同等级的安全保障服务。因此，在各种安全协议基础上，对安全协议所能提供的安全保障服务进行等级划分，让业务根据需要，使用不同等级的安全保障服务就成为现实的需要。

安全保障的实现需要运营商在移动网络上增加投资。这种投资需要融入产业的价值链中，转化为符合各方利益的增值服务，促进安全服务良性发展。在安全技术的基础上，划分不同等级的安全保障，可以为安全服务成为增值服务提供技术条件。

移动用户的日益普及，移动终端成为大众化的产品。然而大部分用户安全知识有限，也难以在移动终端对安全策略进行专业的配置。从这个意义上讲，需要根据不同信息的不同安全要求，实施简单，直观的安全级别选择机制。用户根据通信要求，灵活选择合适的安全级别进行通信。这就要求网络在技术上能够支持不同等级的安全服务。

发明内容

本发明的目的之一是提出了一种安全等级握手协商系统，解决了现有技术中安全协议参数扩展可能受到信令格式限制的问题，适应了移动网络多种安全协议并存，移动终端多样化以及移动业务日益丰富所带来的网络安全协议参数增多的特点。

本发明的另一个目的是提出了一种安全等级握手协商方法，能够在移动终端实现用户根据安全需求简单配置，减少网络带宽和终端计算资源的消耗，而且不需要改变现有安全协议自身的握手协商方式，支持各种安全协议自身的安全策略的配置，为安全服务成为增值服务提供技术实现机制。

本发明所述安全等级握手协商系统由以下几部分组成：在移动终端和服务器部份中分别设置有安全等级描述层和安全协议层；所述安全等级描述层具备以下功能：(1)将安全保障能力分为不同等级，对应于不同的安全保障能力和应用环境，(2)将来自安全协议层的握手信令中的安全协议参数转换成安全等级。(3)将安全等级转换成安全协议参数。(4)接收对端安全等级描述层发来的安全等级信息。安全等级所规定的安全保障能力由安全协议层的安全技术支持。安全协议层中存储需要的安全协议参数，并可接收对端安全协议层发来的安全协议参数信息；

安全等级协商涉及协商双方一方发起，另一方响应的过程。因此，本发明涵盖4种协商过程中的任何一种，分别为：(1)服务器通过安全等级描述层发起协商；(2)服务器通过安全协议层发起协商；(3)移动终端通过安全等级描述层发起协商；(4)移动终端通过安全协议层发起协商。对每一种协商过程描述如下：

(1)服务器通过安全等级描述层发起协商：

第一步：服务器的安全协议层发起安全协议参数握手信令给服务器的安全等级描述层；

第二步：服务器的安全等级描述层接收到安全协议参数后，将其转化为安全等级，并发送给移动终端的安全等级描述层；

第三步：移动终端的安全等级描述层接收到安全等级信息，经过移动终端内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

移动终端内部安全策略决定采用的安全协议参数具体包括以下三种情况：

移动终端认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级转化为相应的其他安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送其他安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并拒绝通信。

(2)服务器通过安全协议层发起协商

第一步：服务器的安全协议层发起安全协议参数握手信令；

第二步：移动终端的安全协议层接收到安全协议参数握手信令，将安全协议参数发给移动终端的安全等级描述层；

第三步：移动终端的安全等级描述层接收到安全协议参数后，将其转化为安全等级，经过移动终端内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

移动终端内部安全策略决定采用的安全协议参数具体包括以下处理方式：

移动终端认同所述的安全等级，并由安全等级描述层将安全等级转成安全协议参数握手信令，并传给移动终端安全协议层；由移动终端的安全协议层发送安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并确定其他安全等级；安全等级描述层将其他安全等级转化为相应的其他安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送其他安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并拒绝通信。

(3)移动终端通过安全等级描述层发起协商

第一步：移动终端安全协议层发起协议参数握手信令给移动终端安全等级描述层；

第二步：移动终端的安全等级描述层接收到安全协议参数后，将其转化为安全等级，并发送给服务器的安全等级描述层；

第三步：服务器的安全等级描述层接收到安全等级信息，经过服务器内部安全策略决定采用的安全协议参数，并进行后续与移动终端的握手协商过程或对握手协商进行终止。

服务器内部安全策略决定采用的安全协议参数具体包括以下处理方式：

服务器认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送安全协议参数给移动终端的安全协议层；

服务器不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级信息转化为相应的其他安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送其他安全协议参数给移动终端的安全协议层；

服务器移动终端不认同所述的安全等级，并拒绝通信。

(4)移动终端通过安全协议层发起协商

第一步：移动终端的安全协议层发起安全协议参数握手信令；

第二步：服务器的安全协议层接收到安全协议参数握手信令，将安全协议参数发给服务器的安全等级描述层；

第三步：服务器的安全等级描述层接收到安全协议参数后，将其转化为安全等级，过服务器内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

服务器内部安全策略决定采用的安全协议参数具体包括以下处理方式：

服务器认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送安全协议参数给移动终端的安全协议层；

服务器不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级信息转化为相应的其他安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送其他安全协议参数给移动终端的安全协议层；

服务器移动终端不认同所述的安全等级，并拒绝通信。

本发明的特点是利用安全等级描述层提供与具体安全技术没有直接相关的安全保障程度接口信息，供用户和具体业务调用。优点是：(1)完全利用安全协议原有的握手信令携带等级描述信息，可以避免由于增加安全等级描述信令而带来潜在的安全漏洞。(2)提供技术实现机制，一方面使安全技术易于配置和使用，另一方面促进安全服务个性化，方便计费，使安全服务有条件成为增值服务内容。

附图说明

图1安全等级握手协商系统框架图；

图2由服务器通过安全协议层发起协商进程示意图；

图3由服务器通过安全等级描述层发起协商进程示意图；

图4由移动终端通过安全等级描述层发起协商进程示意图；

图5由移动终端通过安全协议层发起协商进程示意图。

具体实施方式

下面结合附图对技术方案的实施作进一步的详细描述：

在安全协议层之外增加安全等级描述层，规则如图1所示。安全协议层泛指移动终端和服务器内，所能支持的安全协议的总称。它为安全等级描述层提供安全技术支持。安全等级描述层的功能实体可以根据应用需要，将安全级别分成n级，其中n为等级代号。每一级的安全级别对应特定的协议参数，实现一定程度的安全保障。

安全协议层所发出的握手信令在通过安全等级描述层时，安全等级描述层根据需要将协议参数转换成带等级代号的信令，供移动终端识别和配置。来自安全等级描述层的握手信令在送往安全协议层之前，将握手信令中的等级代号转换成相应的协议参数。

当服务器通过等级描述层发起协商时，规则如图2所示。步骤21显示握手信令Serverhello(协议参数)经过安全等级描述层时，被安全等级描述层屏蔽安全协议参数信息，并替换上相应的安全等级代号，即Serverhello(等级代号)。步骤22显示Serverhello(等级代号)被移动终端由安全等级描述层直接接收。在安全等级描述层内部，安全等级代号被移动终端确认或进一步选择，然后将确认后信令Serverhello(等级代号)转换为相应的移动终端支持的安全协议参数，即Clienthello(协议参数)。步骤23显示安全等级描述层将Clienthello(协议参数)传给安全协议层。步骤24显示安全协议层将Clienthello(协议参数)传给服务器的安全协议层。后续的握手协商由双方的安全协议层根据所用协议的策略规定继续进行协商。

服务器通过安全协议层发起协商时，规则如图3所示。步骤31显示握手信令Serverhello(协议参数)从服务器安全协议层发送到移动终端的安全协议层。步骤32显示在移动终端内部，(协议参数)被发送到安全等级描述层。在安全等级描述层内部，(协议参数)被转换成(等级代号)。安全等级代号被移动终端确认或进一步选择，然后将确认后(等级代号)转换为相应的移动终端支持的安全(协议参数)。步骤33显示安全等级描述层将(协议参数)传给安全协议层。步骤34显示安全协议层将Clienthello(协议参数)传给服务器的安全协议层。后续的握手协商由双方的安全协议层根据所用协议的策略规定继续进行协商。从这种协商方式中，可以看出移动终端的安全等级描述层并不参与发送握手信令给服务器端，因此在移动终端内部，安全等级描述层和安全协议层之间的通信，例如步骤32和33，不需要传递完整的信令，只需要传递协议参数即可。如果步骤32和33传递完整的信令，也是一种可行的方式。

移动终端通过等级描述层发起协商时，规则如图4所示。首先由移动终端根据应用需要在安全等级描述层设定相应的安全等级代号。步骤41显示安全协议层根据安全等级代号，向移动终端安全等级描述层发送握手信令Clienthello(协议参数)。移动终端安全等级描述层将其转换成Clienthello(等级代号)，发送给服务器的安全等级描述层，如步骤42所示。服务器安全等级描述层根据策略配置，将安全等级代号转换成服务器安全协议层支持的安全协议参数，并将Serverhello(协议参数)传给安全协议层，如步骤43所示。步骤44显示服务器安全协议层收到Serverhello(协议参数)后，和移动终端的安全协议层进行后续的协商。

当移动终端通过安全协议层发起协商时，规则如图5所示。首先由移动终端根据应用需要在安全等级描述层设定相应的安全等级代号。安全等级描述层根据安全等级代号，转换成相应的安全协议参数。安全协议层根据获得的安全协议参数，组成握手信令Clienthello(协议参数)发送给服务器的安全协议层，如步骤51所示。服务器的安全协议层将Clienthello(协议参数)发送给安全等级描述层，如步骤52所示。步骤53显示服务器安全等级描述层根据策略规定，确定合适的安全等级，然后将其转换成对应的协议参数，并把Serverhello(协议参数)传给服务器的安全协议层。步骤54显示服务器的安全协议层和移动终端的安全协议层进行后续的协商。

这里，服务器泛指配置安全协议功能的实体，既可以是单独的服务器，安全网关，也可以是系统中的一个功能实体，或者集成安全功能的安全模块。Clienthello()和Serverhello()泛指包含协商安全协议参数的握手信令。

Claims (9)

1、安全等级握手协商系统，所述系统包括：移动终端和服务器，其特征在于，所述的移动终端和服务器中分别设置一个安全等级描述层和安全协议层；所述安全等级描述层将安全保障能力分为不同等级，对应于不同的安全保障能力和应用环境，并可将来自安全协议层的握手信令中的安全协议参数转换成安全等级以及接收对端安全等级描述层发来的安全等级信息，并可将发送到安全协议层的握手信令中的安全等级转换成安全协议参数；安全协议层中存储需要的安全协议参数，以及接收对端安全协议层发来的安全协议参数信息；安全等级所规定的安全保障能力由安全协议层的安全技术支持。

2、如权利要求1所述系统的安全等级协商方法，其特征在于，当服务器通过安全等级描述层发起协商时，包括以下处理步骤：

第一步：服务器的安全协议层发起安全协议参数握手信令给服务器的安全等级描述层；

第二步：服务器的安全等级描述层接收到安全协议参数后，将其转化为安全等级，并发送给移动终端的安全等级描述层；

第三步：移动终端的安全等级描述层接收到安全等级信息，经过移动终端内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

3、如权利要求2所述的方法，其特征在于，所述第三步中移动终端内部安全策略决定采用的安全协议参数具体包括以下三种情况：

移动终端认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级转化为相应的其他安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送其他安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并拒绝通信。

4、如权利要求1所述系统的安全等级协商方法，其特征在于，当服务器通过安全协议层发起协商时，包括以下处理步骤：

第一步：服务器的安全协议层发起安全协议参数握手信令；

第二步：移动终端的安全协议层接收到安全协议参数握手信令，将安全协议参数发给移动终端的安全等级描述层；

第三步：移动终端的安全等级描述层接收到安全协议参数后，将其转化为安全等级，经过移动终端内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

5、如权利要求4所述的方法，其特征在于，所述第三步中移动终端内部安全策略决定采用的安全协议参数具体包括以下处理方式：

移动终端认同所述的安全等级，并由安全等级描述层将安全等级转成安全协议参数握手信令，并传给移动终端安全协议层；由移动终端的安全协议层发送安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并确定其他安全等级；安全等级描述层将其他安全等级转化为相应的其他安全协议参数握手信令，并传给移动终端安全协议层，由移动终端的安全协议层发送其他安全协议参数给服务器的安全协议层；

移动终端不认同所述的安全等级，并拒绝通信。

6、如权利要求1所述系统的安全等级协商方法，其特征在于，当移动终端通过安全等级描述层发起协商时，包括以下处理步骤：

第一步：移动终端安全协议层发起协议参数握手信令给移动终端安全等级描述层；

第二步：移动终端的安全等级描述层接收到安全协议参数后，将其转化为安全等级，并发送给服务器的安全等级描述层；

第三步：服务器的安全等级描述层接收到安全等级信息，经过服务器内部安全策略决定采用的安全协议参数，并进行后续与移动终端的握手协商过程或对握手协商进行终止。

7、如权利要求6所述的方法，其特征在于，所述第三步中服务器内部安全策略决定采用的安全协议参数具体包括以下处理方式：

服务器认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送安全协议参数给移动终端的安全协议层；

服务器不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级信息转化为相应的其他安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送其他安全协议参数给移动终端的安全协议层；服务器移动终端不认同所述的安全等级，并拒绝通信。

8、如权利要求1所述系统的安全等级协商方法，其特征在于，当移动终端通过安全协议层发起协商时，包括以下处理步骤：

第一步：移动终端的安全协议层发起安全协议参数握手信令；

第二步：服务器的安全协议层接收到安全协议参数握手信令，将安全协议参数发给服务器的安全等级描述层；

第三步：服务器的安全等级描述层接收到安全协议参数后，将其转化为安全等级，过服务器内部安全策略决定采用的安全协议参数，并进行后续与服务器的握手协商过程或对握手协商进行终止。

9、如权利要求8所述的方法，其特征在于，所述第三步中服务器内部安全策略决定采用的安全协议参数具体包括以下处理方式：

服务器认同所述的安全等级，安全等级描述层将安全等级转化为相应的安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送安全协议参数给移动终端的安全协议层；

服务器不认同所述的安全等级，选择其他安全等级；安全等级描述层将其他安全等级信息转化为相应的其他安全协议参数握手信令，并传给服务器安全协议层，由服务器的安全协议层发送其他安全协议参数给移动终端的安全协议层；

服务器移动终端不认同所述的安全等级，并拒绝通信。

Images