[發(fā)明專利]安全性處理方法、裝置及處理芯片、網(wǎng)絡(luò)設(shè)備

有效

• 申請?zhí)枺?/td>: 201110245563.3
• 申請日: 2011-08-25
• 公開（公告）號: CN102263794A
• 公開（公告）日: 2011-11-30
• 發(fā)明（設(shè)計）人: 汪星星
• 申請（專利權(quán)）人: 北京星網(wǎng)銳捷網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/06
• 代理公司: 北京同達(dá)信恒知識產(chǎn)權(quán)代理有限公司 11291
• 代理人: 黃志華

技術(shù)領(lǐng)域

本發(fā)明涉及通信技術(shù)領(lǐng)域，尤其涉及一種安全性處理方法、裝置及處理芯片、網(wǎng)絡(luò)設(shè)備。

背景技術(shù)

互聯(lián)網(wǎng)協(xié)議安全性(IPsec，Internet?Protocol?security)是互聯(lián)網(wǎng)工程任務(wù)組(IETF，Internet?Engineering?Task?Force)制定的三層隧道加密協(xié)議，是一種開放標(biāo)準(zhǔn)的框架結(jié)構(gòu)，使用安全性處理機(jī)制以確保在IP網(wǎng)絡(luò)上進(jìn)行保密及安全的通信。

處理芯片提供了兩種對IPsec數(shù)據(jù)進(jìn)行安全性處理的機(jī)制：加密處理和認(rèn)證處理，對IPsec數(shù)據(jù)進(jìn)行加密處理以及認(rèn)證處理統(tǒng)稱為進(jìn)行安全性處理。對IPsec數(shù)據(jù)進(jìn)行安全性處理時，采用的算法包括數(shù)據(jù)加密標(biāo)準(zhǔn)(DES，Data?Encryption?Standard)算法、先進(jìn)加密標(biāo)準(zhǔn)(AES，Advanced?Encryption?Standard)算法以及認(rèn)證(AH，Authentication)算法，其中，DES算法和AES算法為進(jìn)行加密處理的算法，AH為進(jìn)行認(rèn)證處理的算法，此外，也可以先對IPsec數(shù)據(jù)進(jìn)行加密，然后再進(jìn)行認(rèn)證，此時使用的算法為DES+AH或AES+AH。

由于使用軟件加密方式對IPsec數(shù)據(jù)進(jìn)行加密會耗費(fèi)處理芯片較多的處理資源，因此現(xiàn)有技術(shù)一般使用硬件加密方式對IPsec數(shù)據(jù)進(jìn)行加密，使用硬件認(rèn)證方式對IPsec數(shù)據(jù)進(jìn)行認(rèn)證，處理芯片提供了對IPsec數(shù)據(jù)進(jìn)行硬件加密的硬件加密單元，主要包含硬件DES單元和硬件AES單元，也提供了對IPsec數(shù)據(jù)進(jìn)行硬件認(rèn)證的硬件認(rèn)證單元，主要為硬件信息摘要執(zhí)行(MDE，Message?Digest?Execution)單元，其中，硬件DES單元使用DES算法對IPsec數(shù)據(jù)進(jìn)行加密，硬件AES單元使用AES算法對IPsec數(shù)據(jù)進(jìn)行加密，硬件MDE單元使用AH算法對IPsec數(shù)據(jù)進(jìn)行認(rèn)證，硬件加密單元和硬件認(rèn)證單元統(tǒng)稱為硬件安全性處理單元。

現(xiàn)有技術(shù)中，對IPsec數(shù)據(jù)進(jìn)行安全性處理時，是以串行的方式進(jìn)行的，圖1為處理原理示意圖，如圖2所示，其具體處理流程如下：

步驟21，處理芯片從IPsec上層處理單元中獲取需進(jìn)行安全性處理的IPsec數(shù)據(jù)以及對該IPsec數(shù)據(jù)進(jìn)行安全性處理時的處理參數(shù)，上述處理參數(shù)包含安全性處理方式(AES、DES、AH、DES+AH或AES+AH)以及安全性處理密鑰，若需要進(jìn)行加密處理，則安全性處理密鑰中包含加密密鑰，若需要進(jìn)行認(rèn)證處理，則安全性處理密鑰中包含認(rèn)證密鑰；

步驟22，處理芯片存儲獲取的IPsec數(shù)據(jù)，得到該IPsec數(shù)據(jù)的存儲地址信息；

步驟23，處理芯片將該IPsec數(shù)據(jù)進(jìn)行數(shù)據(jù)描述(PD，Packet?Description)處理，生成對應(yīng)的PD表，PD表中包含該IPsec數(shù)據(jù)的存儲地址信息和上述處理參數(shù)(安全性處理方式以及安全性處理密鑰)；

步驟24，處理芯片將生成的PD表放入PD隊列中；

步驟25，每個硬件加密單元(硬件AES單元和硬件DES單元可以統(tǒng)稱為硬件加密單元)依次針對PD隊列中的每個PD表，分別根據(jù)該P(yáng)D表中的安全性處理方式，判斷該P(yáng)D表對應(yīng)的IPsec數(shù)據(jù)是否需要自身進(jìn)行加密處理；

步驟26，若判斷出需要，則硬件加密單元從PD隊列中提取出該P(yáng)D表；

步驟27，硬件加密單元根據(jù)PD表中的存儲地址信息，提取出對應(yīng)的IPsec數(shù)據(jù)；

步驟28，硬件加密單元根據(jù)PD表中的加密密鑰，對提取出的IPsec數(shù)據(jù)進(jìn)行加密處理；

步驟29，硬件加密單元根據(jù)PD表中的安全性處理方式，判斷該IPsec數(shù)據(jù)是否需要在加密處理之后進(jìn)行認(rèn)證處理，若判斷結(jié)果為是，則轉(zhuǎn)至步驟210，若判斷結(jié)果為否，則轉(zhuǎn)至步驟212；

步驟210，硬件加密單元將加密處理后的IPsec數(shù)據(jù)以及對應(yīng)的PD表發(fā)送給硬件認(rèn)證單元(硬件MDE單元)進(jìn)行認(rèn)證；

步驟211，硬件認(rèn)證單元根據(jù)PD表中的認(rèn)證密鑰，對硬件加密單元發(fā)過來的IPsec數(shù)據(jù)進(jìn)行認(rèn)證；

步驟212，硬件加密單元或硬件認(rèn)證單元產(chǎn)生一個中斷，通知上層處理單元提取加密或認(rèn)證后的IPsec數(shù)據(jù)；

步驟213，硬件認(rèn)證單元依次針對PD隊列中的每個PD表，分別根據(jù)該P(yáng)D表中的安全性處理方式，判斷該P(yáng)D表對應(yīng)的IPsec數(shù)據(jù)是否只需要進(jìn)行認(rèn)證處理，即判斷PD表中的安全性處理方式是否為AH；

步驟214，若判斷結(jié)果為是，則硬件認(rèn)證單元從PD隊列中提取出該P(yáng)D表；