TWI278209B - Method and system for accelerating the conversion process between encryption schemes - Google Patents

Description

1278209 ⑴ (發明說明應敘明··發明所屬之技術領域、先前技術、内容、貫施方式及圖式簡單說明） 技術領域 本發明係關於網路安全通訊協定轉換領域。具體而f ’ 本發明係關於無線傳輸層安全與安全插座層通訊協定間的 轉換。 先前技術 無線應用通訊協定（Wireless Application Protocol; WAP)為無線通訊 應用定義了 一組通訊協定。無線傳輸層安全（Wireless TransPort

Layer Security; WTLS)係WAP的安全層並為WAP服務提供隱私、資 料完整性及鑑定。 WTLS 係基於傳輸層安全（Transport Layer Security; TLS)，一廣泛 應用於網際網路之安全層，經過修改而提供了無線通訊中 常見的頻寬、資料報（datagram)連結、處理能力、記憶體容量 及密碼限制。 安全插座層（Secure Sockets Layer; SSL)係用於經網際網路傳送 私人文件的一種通訊協定。SSL目前並未與WTLS直接相容。. 因此，不將資料解密則無法在WTLS加密資料與SSL加密資料 間轉換。 一般在wtls資料與ssl資料間轉換的方法，係使用在wap 閘道器内執行之軟體。無線訊息穿過空氣傳至一載波接收 器，由其接收並轉送至閘道器。若該訊息係經WTLS加密， 則先解密該加密訊息再使用SSL加密。若該訊息係經SSL加 密，則先解密該加密訊息再使用WTLS加密。接著將該加密 訊息從該閘道器傳送出去。 1278209 發明說明續頁 ⑺ 該等資料先經解密並暫時儲存在該WAP閘道器之記憶體 内，使該訊息未加密且無保護地存在該WAP閘道器中一段 時間。此方式造成一項安全漏洞。此外，由於轉換係使用 軟體完成，會消耗相當數量的CPU資源，且在回應一用戶 請求時可能出現潛伏時間（latency)。 發明内容及實施方式 所說明的具體實施例係加速加密機制間轉換程序之一種 系統與方法。於以下說明中，提供了許多特定細節，以使 讀者對本發明之具體實施例徹底暸解。然而，熟悉技術人 士應明瞭，可不需其中一或多個特定細節而實施本發明， 或可配合其他方法、組件、材料等等。在其他實例中，並 不顯示或詳細描述眾所熟知的結構、材料或操作，以避免 使本發明之觀點模糊。 整份說明書中提及的「一項具體實施例」或「一具體實施 例」表示結合該具體實施例說明的特定功能、結構或特徵 係包含於本發明的至少一項具體實施例中。因此，整份說 明書各處出現的「在一項具體實施例中」或「於一具體實施 例中」之辭令不一定全部代表同一項具體實施例。另外， 特定功能、結構或特徵可在一項或一項以上的具體實施例 中以任何適當的方式組合。 參考圖1，一方塊圖說明實施本發明之一系統100的一項 具體實施例。熟習技術人士應明白，系統100可包括比圖1 所示更多之組件。然而不必為揭示用以實踐本發明之一說 明性具體實施例，而顯示所有常用傳統組件。系統100包括 1278209 _ (3) 發明說明續頁 一服務提供者102、一用戶104及一内容提供者106。該用戶 具有一裝置110。在本發明之一項具體實施例中，裝置110係 一無線裝置，其通常使用無線應用通訊協定（WAP)，其為供 無線通訊應用的一組通訊協定。内容提供者106具有一伺服 器112用於儲存内容。服務提供者102提供一閘道器108。閘 道器108將用戶104連接至内容提供者106。閘道器108根據需 要加密及解密資料，以便在用戶及内容提供者所使用的不 同通訊協定間提供相容性。例如，用戶裝置110加密資料通 常係依據無線傳輸層安全通訊協定（WTLS)，其為一 WAP之安 全層，用以為WAP服務提供隱私、資料完整性及鑑定。網 際網路上的資料通常係依據安全插座層通訊協定（SSL)來加 密。因此，若用戶要存取一網際網路網頁，閘道器將把該 等資料由WTLS解密再力口密至SSL，反之亦然。 閘道器108包含一安全加速板114，用以解密並加密資料。 在本發明之一項具體實施例中，機板114係可裝於周邊組件 互連（Peripheral Component Intercorlnect; PCI)插槽或單行或雙行記憶體 模組（single or dual inline memory module; SIMM or DIMM)插槽的一隨插 即用裝置。 用戶利用裝置110發送一請求116，其依據一加密機制來加 密。例如，用戶可利用一蜂巢式電話發送一網際網路網頁 請求。請求116係在閘道器108内接收。機板114解密請求116 ，再依據另一加密機制加密該請求。在本發明之一項具體 實施例中，該請求係依據WTLS加密。機板114可依據SSL加 密及解密該請求。請求118係發送至一内容提供者106。該内 1278209 ‘ (4) 卷提供者存取該 加密機制加密。 依據SSL加密。E 該回應，再依據 項具體實施例中 回應。然後，再 參考圖2，其中 實施例所實施的 間會有一安全通 用戶對閘遒器提 密碼參數。然後 機制加密的資料 蒼數傳送至該機 阻止由機板外存 起與伺服器的安 參數。接著在步 接奢在步驟214中 ’並傳送該等資 送該等加密資料 接收並傳送至用 圖3說明本發甲 機板包括一控制 一匯流排306之資 例中，該控制器 發明說明續頁 請求内容，再發送一回應120，其係依據一 在本發明之一項具體實施例中，該回應係 j應120係在閘道器1〇8内接收。機板H4解密 另一加密機制加密該回應。在本發明之一 ，該機板解密該回應，再依據WTLS加密該 將回應122發送至用戶裝置110。 所說明之範例係本發明之方法的一項具體 一安全程序。在步騾200中，用戶與閘遒器 訊協定交握（handshake)。接著在步騾202中， 供一安全參數指示，包括安全通訊協定及 ，在步驟204中，閘道器接收依據第一加密 。接著’在步·驟2〇6中，將該等資料及安全 板。接著在208，該機板解密該等資料，並 取該等貧料。接著在步騾210中，閘道器發 全通訊協定交握，兩者皆同意所需的安全 驟212中’該機板從閘道器接收安全參數。 ’該機板依據第二加密機制加密該等資料 料至間道咨。接著在步驟216中，閘道器傳 至祠服咨。當來自伺服器的資料由閘道器 戶時’所使用的為相似的安全程序。 3足文全加速板m的一項具體實施例。該 器300及一硬體裝置3〇2。該控制器接收來自 料及安全麥數。在本發明之一項具體實施 係一現場可程式閘極陣列（Field Programmable 1278209 _ (5) 發明說明續頁

Gate Array; FPGA)。該等資料係依據一加密機制加密。控制器 300決定需要作如何的轉換，然後傳送該等資料至硬體裝置 302。在本發明之一項具體實施例中，硬體裝置302係一可程 式硬體裝置。例如，硬體裝置302可為一 FPGA。在本發明之 另一項具體實施例中，硬體裝置302係一非可程式硬體裝置 。例如，硬體裝置302可為一特殊應用積體電路（Application Specific Integrated Circuit; ASIC)。硬體裝置302解密接收自控制器的 該等資料，然後依據另一加密機制加密該等資料。 在本發明之一項具體實施例中，該等資料在轉換過程中 係儲存於一記憶體308内。控制器300控制對記憶體308的存 取。在一項具體實施例中，控制器300阻止由機板114外存取 該記憶體。如此會阻止閘道器108及閘道器外的來源存取該 記憶體。在本發明之一項具體實施例中，在轉換過程中可 有多個記憶體用來儲存該等資料。該等資料由一加密機制 轉換為另一加密機制後，會傳送至控制器300並由閘道器108 轉送出去。 在本發明之一項具體實施例中，機板114包括一第二硬體 裝置304。在此項具體實施例中，硬體裝置302依據一加密機 制解密與加密，而第二硬體裝置304依據另一加密機制解密 與加密。例如，假設使用機板114將資料從WTLS轉換至SSL 並從SSL轉換至WTLS。硬體裝置302可設定為SSL加密與解密 ，而第二硬體裝置304則可設定為WTLS加密與解密。因此， 若控制器300接收到的該等資料係經SSL加密，控制器會把 該等資料傳送至硬體裝置302以解密該等資料。接著，硬體 1278209 _ (6) 發明說明續頁 ' 裝置302將會傳送該等資料至第二硬體裝置304以依據WTLS 加密該等資料。然後將該等資料傳送至控制器，以從閘道 器轉送出去。相反地，若控制器接收到的該等資料係經 WTLS加密，控制器會把該等資料傳送至第二硬體裝置304以 解密該等資料。接著，第二硬體裝置304將會傳送該等資料 至硬體裝置302，以依據SSL加密該等資料。 · 在本發明之一項具體實施例中，第二硬體裝置304係一可 -程式硬體裝置，例如一 FPGA。在本發明之另一項具體實施 ® 例中，第二硬體裝置304係一非可程式硬體裝置，例如一 ASIC。 圖4說明本發明之方法的一項具體實施例。在步驟400中 ，在一第一硬體裝置接收依據一第一加密機制加密之資料 。在本發明之一項具體實施例中，該等資料係接收自一控 制器。在本發明之一項具體實施例中，資料與安全參數係 在第一硬體裝置接收。接著在步騾402中，該等資料在第一 硬體裝置解密。在本發明之一項具體實施例中，該等資料 鲁 接著傳送至一第二硬體裝置。在步驟404中，該等資料依據 一第二加密機制加密。在本發明之一項具體實施例中，該 等資料在第一硬體裝置依據一第二加密機制加密。在本發 _ 明之另一項具體實施例中，該等資料在第二硬體裝置依據 « 一第二加密機制加密。在本發明之一項具體實施例中，該 等經解密的資料係在第一加密機制轉換為第二加密機制過 程中儲存和擷取。該等資料可儲存於一記憶體内。在本發 明之一項具體實施例中，不允許從機板114外存取所儲存的 -10- 1278209 _ (7) 發明說明續頁 該等已解密資料。如此會阻止從閘道器108以及閘道器外的 任何來源存取所儲存的該已解密資料。在本發明之一項具 體實施例中，控制器300阻止存取所儲存的該等已解密資料 。在本發明之一項具體實施例中，依據第二加密機制加密 的該等資料會傳送至控制器，並從閘道器轉送出去。 上述對本發明之具體實施例的說明，包含發明摘要中的 說明，並非詳盡無遺或以精確敘述限制本發明。此處所述 本發明之特定具體實施例及實例係為說明之目的，熟悉技 術人士應明白，針對本發明之範圍可進行各種等效的修改。 這些修改可依據上述詳細說明，實施於本發明中。下列 申請專利範圍中使用的條款不應視為將本發明限制於所發 表的特定具體實施例之規格及申請專利範圍中。反之，本 發明之範疇應完全決定於以下申請專利範圍，且依據其已 確立的意義加以ί全釋。 圖式簡單說明 本發明已藉由附圖中顯示的範例來解說，但其並非限制 ，圖式中相似的參照數字代表相似的元件。 圖1說明實施本發明之一系統的具體實施例； 圖2說明本發明之方法的一項具體實施例所實施的一安全 程序之範例； 圖3說明根據本發明之一機板的具體實施例； 圖4說明本發明之方法的一項具體實施例。 圖式代表符號說明 系統 100 發明說明續頁 服務提供者 用戶 内容提供者 閘道器 裝置 伺服器 安全加速板 請求 請求 回應 回應 控制器 硬體裝置 第二硬體裝置 匯流排 記憶體 -12-

Claims (1)

1. •換頁 127§2β84516號專利申請案 中文申請專利範圍替換本(95年6月） 拾、申請專利範圍 1. 一種用於加密機制間轉換之裝置，其包括： 一控制器，用以接收依據一第一加密機制加 料，並控制該等資料之傳送；以及 一硬體裝置，耦合該控制器以解密該等資料 據一第二加密機制加密該等資料。 2. 如申請專利範圍第1項之裝置，其中用以接收依 一加密機制加密之資料的該控制器包含一控制 控制器用以接收依據一安全插座層通訊協定加 料。 3. 如申請專利範圍第1項之裝置，其中用以接收依 一加密機制加密之資料的該控制器包含一控制 控制器用以接收依據一無線傳輸層安全通訊協 之資料。 4. 如申請專利範圍第1項之裝置，其中耦合該控制 密該等資料，並依據該第二加密機制加密該等 該硬體裝置包含一硬體裝置，該硬體裝置耦合 器以解密該等資料，並依據一無線傳輸層安全 定加密該等資料。 5. 如申請專利範圍第1項之裝置，其中耦合該控制 密該等資料，並依據該第二加密機制加密該等 該硬體裝置包含一硬體裝置，該硬體裝置耦合 器以解密該等資料，並依據一安全插座層通訊 密該等資料。 密之資 ，並依 據該第 器，該 密之資 據該第 器，該 定加密 器以解 資料之 該控制 通訊協 器以解 資料之 該控制 協定加

   1278209 6. 如申請專利範圍第1項之裝置，其進一步包括一記憶體 ，該記憶體用以在該第一加密機制轉換至該第二加密 機制過程中儲存該等資料。 7. 如申請專利範圍第6項之裝置，其中該控制器用以進一 步阻止該第一加密機制轉換至該第二加密機制過程中 從該裝置外對該記憶體存取。 8. 如申請專利範圍第1項之裝置，其中該硬體裝置包括一 特殊應用積體電路。 9. 如申請專利範圍第1項之裝置，其中該硬體裝置包括一 現場可程式閘極陣列。 10. —種用於加密機制間轉換之方法，其包括： 在一硬體裝置接收依據一第一加密機制加密之資料； 在該硬體裝置解密該等資料；及 依據一第二加密機制加密該等已解密資料。 11. 如申請專利範圍第10項之方法，其中依據一第二加密機 制加密該等已解密資料，包括在該硬體裝置依據一第 二加密機制加密該等已解密資料。 12. 如申請專利範圍第10項之方法，其進一步包括傳送該等 已解密資料至一第二硬體裝置，且其中依據一第二加 密機制加密該等已解密資料，包括在該第二硬體裝置 依據一第二加密機制加密該等已解密資料。 13. 如申請專利範圍第10項之方法，其中在該硬體裝置接收 資料，包括在該硬體裝置接收資料及安全參數。 14.如申請專利範圍第10項之方法，其進一步包括在該第一

   1278209 加密機制轉換至該第二加密機制過程中，儲存該等已 解密資料以及擷取該等資料。 15. 如申請專利範圍第14項之方法，其進一步包括在一閘道 器内之一控制器接收資料，該等資料已依據一第一加 密機制加密。 16. 如申請專利範圍第15項之方法，其進一步包括將依據該 第二加密機制加密之該等資料傳送至該閘道器内之該 控制器，以及將該等資料由該閘道器傳送出去。 17. 如申請專利範圍第15項之方法，其進一步包括阻止該閘 道器存取該等儲存的已解密資料。 18. 如申請專利範圍第15項之方法，其進一步包括阻止該閘 道器外任何來源存取該等儲存的已解密資料。 19. 如申請專利範圍第10項之方法，其中在該硬體裝置接收 依據該第一加密機制加密之資料，包括在該硬體裝置 接收依據一安全插座層通訊協定加密之資料。 20. 如申請專利範圍第10項之方法，其中在該硬體裝置接收 依據一第一加密機制加密之資料，包括在該硬體裝置 接收依據一無線傳輸層安全通訊協定加密之資料。 21. 如申請專利範圍第10項之方法，其中依據該第二加密機 制將該等已解密資料加密，包括依據一無線傳輸層安 全通訊協定將該等已解密資料加密。 22. 如申請專利範圍第10項之方法，其中依據該第二加密機 制將該等已解密資料加密，包括依據一安全插座層通 訊協定將該等已解密資料加密。 1278209 ,7¾修(更)正，'

   23. —種用於加密機制間轉換之裝置，其包括： 一控制器，用於接收依據一第一加密機制加密之資 料； 一第一硬體裝置，用於將該等資料解密；及 耦合該第一硬體裝置及該控制器的一第二硬體裝置 ，用於接收該等已解密資料並依據一第二加密機制加 密該等資料。 24. 如申請專利範圍第23項之裝置，其中該等第一及第二硬 φ 體裝置皆係現場可程式閘極陣列。 25. 如申請專利範圍第23項之裝置，其中該等第一及第二硬 體裝置皆係特殊應用積體電路。 26. 如申請專利範圍第23項之裝置，其中用以接收依據一第 一加密機制加密之資料的一控制器包括用以接收依據 一安全插座層通訊協定加密之資料的一控制器。 27. 如申請專利範圍第23項之裝置，其中用以接收依據一第 一加密機制加密之資料的一控制器包括一控制器，該 控制器用以接收依據一無線傳輸層安全通訊協定加密 _ 之資料。 28. 如申請專利範圍第27項之裝置，其中耦合該第一硬體裝 置及該控制器的用於接收該等已解密資料，並依據該 第二加密機制加密該等資料之該第二硬體裝置包含一 第二硬體裝置，該第二硬體裝置耦合該第一硬體裝置 及該控制器的用於接收該等已解密資料，並依據一安 全插座層通訊協定加密該等資料。 1278209 29. 如申請專利範圍第26項之裝置，其中耦合該第一硬體裝 置及該控制器的用於接收該等已解密資料，並依據一 第二加密機制加密該等資料之該第二硬體裝置包括一 第二硬體裝置，該第二硬體裝置耦合該第一硬體裝置 及該控制器的用於接收該等已解密資料，並依據一無 線傳輸層安全通訊協定加密該等資料。 30. 如申請專利範圍第23項之裝置，進一步包括一記憶體， 用以在該第一加密機制轉換至該第二加密機制過程中 儲存該等資料，該控制器用以進一步在該第一加密機 制轉換至該第二加密機制過程中阻止由該裝置外存取 該記憶體。

   1278209 圖式續頁 第092104516號專利申請案(劃線） 中文圖式替換頁(95年6月） 在依據一第一加密機制加密之一第一硬體裝置 接收資料 400 1 於第一硬體裝置解密資料 402 1 依據一第二加密機制加密已解密資料 404 圖 -4-