[發明專利]以太網加密認證系統及加密認證方法

有效

• 申請號: 201110425336.9
• 申請日: 2011-12-16
• 公開（公告）號: CN102571348A
• 公開（公告）日: 2012-07-11
• 發明（設計）人: 李德強;時培昕;王博
• 申請（專利權）人: 漢柏科技有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種以太網加密認證系統，其特征在于，包括加密交換機以及安裝于客戶端主機的加密網卡；所述加密網卡包括：

帶有SHA-1的EEPROM存儲器，用于存儲加密網卡的序列號、密鑰，并根據所述序列號、密鑰和用戶自定義數據生成消息認證碼；

CPLD，用于生成隨機數、并產生用來加密重要數據包的控制字；

網絡控制芯片，與所述帶有SHA-1的EEPROM存儲器和CPLD分別連接，用于控制以太網接口；

所述加密交換機包括：SHA-1協處理器，用于存儲加密交換機的序列號、密鑰，生成隨機數，并根據所述序列號、密鑰和所述隨機數生成消息認證碼。

2.如權利要求1所述的以太網加密系統，其特征在于，所述網絡控制芯片設有擴展的IIC接口、GPIO和PCIe接口。

3.如權利要求1或2所述的以太網加密系統，其特征在于，所述網絡控制芯片為intel?82574芯片。

4.一種利用權利要求1-3中任一項所述系統進行加密交換機對主機的認證的方法，其特征在于，包括以下步驟：

A：當加密交換機發現有新的主機與其網絡接口相連時，發送自定義報文給主機，請求其提供加密網卡的序列號；

B：主機通過網卡控制芯片與加密網卡上的帶有SHA-1的EEPROM存儲器通信，讀取加密網卡的序列號發送給加密交換機；

C：加密交換機上的SHA-1協處理器生成隨機數和質詢報文發送給主機，并根據所述隨機數、加密網卡的序列號和密鑰生成驗證消息認證碼；

D：主機收到質詢報文后將其發送給加密網卡上的帶有SHA-1的EEPROM存儲器；

E：帶有SHA-1的EEPROM存儲器根據收到的隨機數、加密網卡的序列號和密鑰生成消息認證碼；

F：主機將加密網卡生成的消息認證碼封裝到響應報文中發送給加密交換機；

G：加密交換機將其生成的驗證消息認證碼與主機發送的消息認證碼相比較，若二者一致，則為主機提供網絡交換服務，否則將與主機相連的端口關閉。

5.一種利用權利要求1-3中任一項所述系統進行主機對加密交換機的認證的方法，其特征在于，包括以下步驟：

A1：主機檢測到其與加密交換機建立連接后發送報文請求加密交換機提供網卡序列號，加密交換機與SHA-1協處理器通信，讀取所述網卡序列號并發送給所述主機；

B1：CPLD生成隨機數、帶有SHA-1的EEPROM存儲器讀出網卡序列號，并將隨機數和網卡序列號封裝到質詢報文發送給加密交換機；

C1：主機將CPLD生成的隨機數發送給帶有SHA-1的EEPROM存儲器，帶有SHA-1的EEPROM存儲器根據隨機數、網卡序列號和密鑰計算出驗證消息認證碼；

D1：加密交換機將其接收的質詢報文中的網卡序列號和隨機數發送給SHA-1協處理器，SHA-1協處理器根據隨機數、網卡序列號和密鑰，計算出消息認證碼；

E1：加密交換機將計算出的消息認證碼封裝到響應報文中發送給主機；

F1：主機將其接收的消息認證碼以及所述驗證消息認證碼發送給CPLD進行比較，若二者一致，則使用加密交換機提供網絡交換服務，否則CPLD將關閉本網卡的網絡連接。

6.一種利用權利要求1-3中任一項所述系統進行加密網卡驅動器與加密網卡之間的相互認證的方法，其特征在于，包括以下步驟：

A2：在主機的PCI插槽或USB接口插入包括SHA-1?Coprocessor的USB?KEY；

B2：加密網卡驅動器向加密網卡發出讀取其序列號的請求，并讀取序列號發送給USB?KEY；

C2：加密網卡驅動器請求USB?KEY產生隨機數，并讀取該隨機數發送給加密網卡；

D2：帶有SHA-1的EEPROM存儲器根據密鑰、所述隨機數和加密網卡的序列號生成消息認證碼并被加密網卡驅動器讀回；

E2：USB?KEY根據密鑰、隨機數和加密網卡的序列號生成驗證消息認證碼并被加密網卡驅動器讀回；

F2：加密網卡驅動器將所述消息認證碼與所述驗證消息認證碼進行比較，若二者一致，則繼續使用該網絡連接，否則，停止使用該網絡連接。

7.如權利要求6所述的進行加密網卡驅動器與加密網卡之間的相互認證的方法，其特征在于，還包括：利用CPLD維護計時器監督加密網卡驅動器定時對加密網卡進行認證的步驟。

8.一種利用權利要求1-3中任一項所述系統對數據報文的進行加解密的方法，其特征在于，包括以下步驟：

A3：加密交換機對主機進行認證后，加密網卡上的帶有SHA-1的EEPROM存儲器生成消息認證碼；

B3：加密網卡上的CPLD將該消息認證碼轉化為控制字，加密網卡利用該控制字對數據報文進行加解密；

C3：加密交換機使用與CPLD同樣的算法產生同樣的控制字對主機的數據報文進行加解密。