TW515182B - Establishing network security using Internet protocol security policies - Google Patents

Description

515182 A7 B7 五、發明説明（丨 ） 背景 本發明係關於使用網際網路協定安全（IPsec)策略建立網 路安全。 IPsec是一種用於履行經由密碼金鑰管理程序與協定的使 用來使用網際網路協定（IP)之網路通訊安全的網路層安全 架構。在個別的IP封包基底利用IPsec協定來使得IP運輸流 量之兩個末端點之間的通訊安全。在連接末端點的IPsec實 體有權利使用與參與使得平常連接安全的操作。 IPsec建立並使用一種安全連結以識別兩末端點之間的安 全通道。安全連結是一種在兩個-終端末端點之間的單向交 談。一個末端點送出IP封包，而第二個末端點接收此IP封 包。對於安全’雙向通訊而了需要兩個安全連結的最小 值。此兩個末端點可以使用網際網路金鑰交換（IKE)協定來 協商彼此可接受的加密演算法，相關參數與安全金鑰以保 護網路運輸。IKE協定支援不同的認證機制，包括預先共用 金鑰，X.509公開金鑰憑證與Kerberos執照。 策略基底網路管理（PMNM)通常用於決定誰可以使用相關 於此網路的資源與服務，他們在什麼條件下以及何時使 用。例如，安全策略定義一組管理加密與存取控制決定的 規則。這個策略可以表示為一組每個包括一個述語與一個 動作的規則。換言之，一個規則可以表示為”如果滿足 < 狀 況 >，則做 < 動作〉。” 一個在IPsec層的示範動作可以提出一個特定組的安全演 算法。目前的IPsec協定履行典型地使用封包流量資訊，例 本紙張尺度適用中國國家標準(CNS) A4規格(210X 297公釐)

裝 訂 515182 A7 ______B7_ 五、發明説明（2 ) 如IP位址，協定與埠，來評估策略決定。 圖式簡述 圖1說明一種包括具I p S e C能力裝置的系統。 圖2為一種建立安全連結方法的流程圖。 圖.3說明在一種策略基底網路管理内部結構的工作群 組。 圖4顯示一組相關於圖3工作群組的規則。 詳細描述 圖1說明一種有可以在網路1 6通訊之具IPsec能力裝置 1 2，1 4的系統。裝置1 2，14每，包括一種有IPsec成分1 8 與IKE成分2 0的層協定堆疊。裝置1 2也包括一種儲存相關 於履行此裝置安全要求的安全策略之規則的資料庫22。策 略代理人2 4重新獲得資料庫2 2儲存的規則並翻譯與評估此 規則。如下面更詳細的描述，策略代理人2 4可以與IKE層 成分2 0以及不同資訊提供者交換資訊來增加驅動策略決定 的網路流量資訊。 如圖2所示，當裝置1 2試圖傳送或接收IP資料到其他裝 置1 4時，在裝置1 2的:[Psec層1 8試圖找出4 0 —組安全連 結，換言之，一組加密，認證和/或壓縮演算法與金瑜來 保護此運輸。如果安全連結還沒有建立，則IPsec層1 8開始 實施4 2 —種程序以建立一個或更多的安全連結用於匹配相 同IP位址，埠以及協定，的未來運輸。IKE協定用於協商安 全連結的金鑰與演算法。在第一 IKE階段，裝置1 2，1 4交 換並認證身分資訊以及建立一種由IKE安全連結保護的安全 本纸張尺度適用中國國家標準(CNS) A4規格(210X297公釐) 515182 A7 ___ _ B7 五、發明説明（3 ) ，道以用於第二IKE階段。在第二階段期間，裝置ΐ2，μ 協商欲由IPsec保護之j p運輸的安全連結。 如所提到的，在第-IKE階段期間，裝置12的腿層2〇獲 得44來自裝置14的已認證身分資訊28。此身分資訊可以 包括’例如’ 一種數位憑證種使用者名稱_密碼對或 一種Kerberos執照。此身分資訊可以識別同等的裝置並可以 與—種特定的裝置例如裝置14或裝置群組結合。此身分资 訊可以選擇地與-種特定的個體或個體群組結合。例如了 -家醫院可以有醫生’護士與管理工作人員組成工作群 組，每個群組可以有特定的使用身權與安全要求。此身分 資説可以與醫院工作人員的特定群組結合。圖3說明在^ 略基底網路管理内部結構的三種示範工作群組。在工作群 組的每個客戶（機器或使用者）有一個策略目標的條列表， 而每個策略目標包括一組應用於兩個末端點表之間之運輸 流量的規則。例如’來源表可以識別在來源工作群组的機 器，而目的地表可以識別在目的地群組的機器。可以以安 全方法儲存憑證的電腦卡可以有聯繫此憑證給一個或更多 的使用者而不是機器的能力。此憑證接著將識別此使用者 或此機器是否為特定群組的成員。此非封包流量資訊可以 包括也是識別此使用者的生物統計學資料。 一旦裝置12的IKE層20獲得已識別的身分資訊，此身分 資訊從策略代理人24獲得46。ίΚΕ層20可以包括一種允許 策略代理人2 4以取得已認證身分資訊的應用程式介面 (API) ° IKE層2 0可選擇地傳送已識別之身分資訊給策略代 1 本紙張尺度適用中S S家標準(CNS) A4規格(210 X297公茇___________ 515182

理人。朿略代理人24可以使用此身分資訊來解 釋與評估4 8 儲存万、貝料庫22與包括與ΙΚ£層身分資訊有關之狀況的策 略例如’一種特疋的策略可以指出如果此身分資訊包括 種特疋的數位憑證’則運輸必須無危險地傳送，使用一 組安.全參數拒絕或保護。相關於圖3工作群組之—之規則 的示範格式顯示於圖4。_般而言，這組規則應該是對稱 並同步於所有的群組。 策略代理人24也可以傳遞5·〇已認證身分資訊給可以存在 於策略代理人之内或可以與策略代理人分開的流量背景模 組30。可以履行於，例如，.隨娘存取記憶體（ram)，的模 組30作為可以流向策略代理人24之資訊的貯藏處。模組 3 0也可以從其他來源，例如層服務提供者2 6或其他網路遮 斷器，獲得額外的資訊。然後從層服務提供者2 6獲得的資 訊可以傳遞5 2到策略代理人2 4並用於評估5 4儲存於資料 庫22的IPsec策略。這允許1]?似策略基於一種特定的應用， 以及登入使用者身分和/或同等身分。例如，在一些履行 中’層服務提供者26將決定某一應用負責特定的連接要求 並將公佈此應用的名字為” Application=XYZ，，。表示延伸資訊 的格式可以類似於表示身分資訊的格式。因此，當在策田各 中包含IKE層身分資訊或來自層提供者2 6的資訊於述音五 時，可以使用相同的語法。一些背景資訊的來源，例如使 用者可載入程式與動態連結資料庫（DLLs)可以要求策略許 估者的認證以保證他們提供資訊的可靠度。這樣的認塔可 以使用雙邊軟體認證技術提供。從其他來源例如層服務提

裝 訂

A7 B7 五、發明説明（ 供者26獲得的資訊較佳地用診增加，但不是推翻，在從 IKE層2 0獲得之已認證身分資訊的數值。 例如經由流量背景模組3 〇接收到的非封包流量資訊可以 視為一組屬性，每個皆有其相對的數值。此封包流量本身 利用.¾個參數識別，包括來源位址，來源埠，目的地位 址，目的地埠以及協定。這些參數可以加到流量背景資訊 以便g處理#料封包時，有足夠的資訊來查詢相關的流量 背景資訊以評估此策略規則α這樣的技術可以幫助非封包 流量資訊與封包流量資訊的整合。 一旦策略代理人2 4評估在資料-庫2 2的策略，策略代理人 24傳遞56—個或更多之保護組提案的優先順序表給在裝置 12的IKE層20。在裝置12的IKE層20接著傳遞58此保護組· 提案的優先順序表給在裝置丨4的IIG^ 2 〇。裝置丨4檢查6 〇 此提出的保護組並試圖在表中找出可以接受的保護組。一 旦裝置1 2 ’ 1 4對一種可以接受的安全配置意見一致，則在 IKE協疋的第二階段期間組態6 2在每個裝置的正微層1 8使 用意見一致的安全配置組。 如同先前所提及的，不同類型的非封包流量資訊可以包 含於IPsec策略的述語中。特定的範例包括使用者身分資 料，應用識別符號’與應用模式。例如，使用者身分資料 可以從電腦卡或雙邊裝置獲得。這樣的身分資料也可以包 括一種例如當使用者登入此系統時進入的密碼。此數位憑 證資訊可以包括例如憑證序號，主題名稱，主題公開金 鑰’主題選擇名稱，金鑰識別符號以及憑證期滿日期的範 本紙張尺度適用中國國家標準(CNS) A4規格(210X297公釐) 515182 A7 B7 五、發明説明 疇。在任何這些範疇的資訊可以包含於一個或更多之策略 規則的述語，而接收到的數位憑證可以用於評估此規則。 如果在IKE階段期間第一裝置的IKE層2 〇不能評估來自第 一裝置1 4的身分資訊，則IKE層本身可以扮演資訊提供 者。例如，IKE層2 0可以指示策略代理人2 4對於特定連接 要求已認證身分資訊是無法利用的。接著策略代理人24將 使用此事貫來評估在資料庫2 2的一個或更多内定策略。 在一種特疋的局面，一種應用識別符號可以用於評估 IPsec策略如下。一種應用（沒有顯示）自動載入一種層服務 提供者DLL當它載入Winsock 2以實〜行網路通訊。此層服務提 供者重新表述此應用二元執行檔案並在已知應用的資料庫 查詢它。接著層服務提供者簽署應用識別符號並傳遞此簽 署數值Ik著封包流量資訊（即位址，埠以及協定）給模組 〇模、、且3 0產生種用於資料流量的紀錄，檢查應用識別 符號的效力，並將此識別符號加到流量背景中。當策略代 理人2 4 #估在貝料庫2 2中的策略時，對照在背景紀錄的應 用識別符號來評估具體指定應用識別符號的規則。 一種應用也可以宣告並簽署他正在進行的模式。範例包 括種在女全插槽層（SSL)，一種傳送與接收訊息的電子郵 件（e mail) 用’以及-種在特定區域存取網站的圈覽器。 當策略代理人24評估在資料庫22的策略時，對照此應用正 在進仃的貫際模式來評估具體指定應用模式的規則。 然前面的㈣係關於在ΙΚ£交談的第—階段自間非封包 流量資訊的使用以評估策略並協商一種安全連結，此非封 本紙張尺度適用中國國家標準(CNS) M規格(摩297公——— -----

裝 515182 A7 B7 五、發明説明（7 ) 包流量資訊也可以使用於IKE交談的隨後階段期間以評估策 略並協商安全連結。 此系統的不同特徵可以履行於硬體，軟體，或硬體與軟 體的結合。例如，此系統的某些方面可以履行於在可程式 化電腦執行的電腦程式。每個程式可以履行於高階程序或 物件導向程式語言來與電腦系統通訊。此外，每個這樣的 電腦程式可以儲存於一種儲存媒介，例如一般或特定目的 的可程式化電腦可讀的唯讀記憶體（ROM)，以用於再此儲 存媒介由電腦讀取以實行上述功能時組態與操作此電腦。 其他履行是在下述申請專利範喁的領域之内。 _ 本紙張尺度適用中國國家標準(CNS) A4規格(210 X 297公釐）

Claims (1)

1. A8 B8 C8 D8 申請專利範圍 1·. 一種建立網路安全的方法，包括： 獲得非封包流量資訊； 基於此獲得資訊評估一種策略規則；以及 基於此評估提出一種安全配置。 2·如申請專利範圍第1項之方法，其中此非封包流量資訊 包括同等身分資訊。 3·如申請專利範圍第！項之方法，其中此非封包流量資訊 包括使用者身分資訊。 4·如申印專利範圍第3項之方法，包括從電腦卡獲得使用 者身分資訊。 „ 5·如申凊專利範圍第3項之方法，其中此非封包流量資訊 包括雙邊資料。 6·如申請專利範圍第卜頁之方法，其中此非封包資訊包括 在網際網路金敎換協定交談期間獲得的已認證身分資 訊0 其中此身分資訊包括於 其中此身分資訊包括於 包括從一種網路遮斷器 其中此非封包流量資訊 其中此非封包流量資訊 7.如申請專利範圍第6項之方法 一種數位憑證中。 8.如申請專利範圍第6项之方法 一種K e r b e r 〇 s執照中。 9·如申請專利範圍第1 ,之方法 獲付的非封包流量資訊。 10.如申請專利範圍第1 ,之方法 包括一種應用識別符號。 11·如申請專利範圍第1项之方法 -11 - 圍範 利 專請 t' A B c D .匕栝一種應用正在執行之模式的識別。 12·如申請專利範圍第1項之方法， 栗各狄 万法包括根據提出的安全配 罝組怨一種網際網路安全層。 13.—種有安全能力的裝置，包括： 一協定堆疊； 一策略規則的資料庫；以及 「組態以獲得從第二裝置接收到之非封包流量資訊， 基於此獲得資訊評估—種儲存於資料庫的策略規則，以 及基於與第二裝置未來通訊之評估提出—種安全配置的 策略代理人。 如申請專利範圍第13項之裝置，其中組態此策略代理人 以從網路遮斷器接收非封包流量資訊以及基於此接收到 的資訊評估儲存於資料庫的策略規則，其中此提出的安 全配置取決於此接收到的非封包流量資訊。 A如申請專利範圍第1 3項之裝置，其中如果在一種網際網 路金鑰交換交談期間第二裝置同意使用提出的安全配 置’根據提出的安全配置安排此策略代理人組態一種網 際網路協定安全成分。 16· —種包括儲存電腦可執行指令之電腦可讀媒介的物件， 用於導致電腦： 獲得非封包流量資訊； 基於此獲得資訊評估一種策略規則；以及 基於此評估提出一種安全配置。 17·如申凊專利範圍第1 6項之物件，其中此非封包流量資訊 -12- 本紙張尺度適用中國國家標準(CNS) A4規格(210 X 297公釐)

   申請專利範圍 A BCD .巴括同寺身分資訊。 is·如申請專利範圍第10 ., 物件，其中此非封包流量資訊 包括使用者身分資訊。 h 0 19·如申請專利範圍第16項之 _ ^ 物件，其中此封包資訊包括在 ”、罔際網路金鍮交換協定交 人4期間獲得的已認證身分資 訊。 其中此身分資訊包括於 其中此身分資訊包括於 其中此非封包流量資訊 其中此非封包流量資訊 其中此非封包流量資訊 其中此非封包流量資訊 2〇·如申請專利範圍第1 9項之物件， 一種數位憑證中。 21·如申請專利範圍第19項之物件， —種K e r b e r 〇 s執照中。一〜 22·如申請專利範圍第1 6項之物件， 從一種層服務提供者獲得。 23·如申請專利範圍第16項之物件， 包括一種應用識別符號。 24·如申請專利範圍第1 6項之物件， 包括雙邊資料。 25·如申請專利範圍第1 6項之物件， 包括應用正在執行之模式的評估 26·如申凊專利範圍第1 6項之物件，包括如果在一種網際網 路金輸又換X談期間第二裝置同意使用提出的安全配 置，根據提出的安全配置組態一種網際網路協定安全層 的指令。 27· —種通訊系統，包括： 第一與第二網際網路協定有安全能力的裝置，其中兩 -13 - 本紙張尺度適用中國國家標準(CNS) A4規格(210X297公釐） 515182 A8 B8 C8 D8

   .個裝置皆包括個別有一種網際網路金鑰交換成分及一種 網際網路協定安全成分；以及 一種弟一與苐一裝置可以通訊的網路， 其中第一裝置進一步地包括一種策略規則資料庫與一 種策略代理人，其中組態此策略代理人以獲得來自第二 裝置之網際網路金鑰交換成分係利用第一裝置之網際網 路金鑰交換成分接收到的非封包流量資訊，基於此獲得 資訊評估一種儲存於資料庫的策略規則，以及基於用於 在一種網際網路金鑰交換交談與第二裝置未來通訊之評 估提出一種網際網路協定安全$己置。 28·如申請專利範圍第2 7項之系統，其中組態此策略代理人 以從一種網路遮斷器接收非封包流量資訊病基於此接收 資訊評估一種儲存於資料庫的策略規則，其中提出的安 全配置取決於此接收到的非封包流量資訊。 29·如申請專利範圍第2 7項之系統，其中如果在一種網際網 路金输交換交談期間第二裝置同意使用提出的安全配 置’安排此策略代理人根據提出的安全配置組態第一裝 置的網際網路協定安全成分。 -14- 本紙張尺度適用中g g家標準(CNS) A4規格(21GX297公董]—