[發明專利]基于密鑰交換協議的輕量目錄訪問協議實現方法和裝置

在審

• 申請號: 201210514666.X
• 申請日: 2012-12-04
• 公開（公告）號: CN103856463A
• 公開（公告）日: 2014-06-11
• 發明（設計）人: 耿方;林文輝;郭向國;林涼;杜悅琨
• 申請（專利權）人: 航天信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 北京工信聯合知識產權代理事務所(普通合伙) 11266
• 代理人: 黃曉軍

1.一種基于密鑰交換協議和輕量目錄訪問協議的信息傳輸方法，其特征在于，包括：

在LDAP服務器和LDAP客戶端之間使用SASL協商建立基于SM2密鑰交換協議的安全通道；

所述LDAP客戶端以協商出的共享對稱密鑰加密需要傳輸的信息，將加密后的信息通過所述安全通道傳輸給所述LDAP服務器，所述LDAP服務器用協商出的共享對稱密鑰解密所述加密后的信息。

2.根據權利要求1所述的基于密鑰交換協議和輕量目錄訪問協議的信息傳輸方法，其特征在于，所述的在LDAP服務器和LDAP客戶端之間使用SASL協商建立基于SM2密鑰交換協議的安全通道之前，包括：

認證中心根據對應加密機中指定的SM2密鑰對，生成所述LDAP服務器和LDAP客戶端的SM2算法的數字證書和證書鏈，將所述LDAP服務器的數字證書和證書鏈發送給所述LDAP服務器，將所述LDAP客戶端的SM2算法的數字證書和證書鏈發送給所述LDAP客戶端。

3.根據權利要求2所述的基于密鑰交換協議和輕量目錄訪問協議的信息傳輸方法，其特征在于，所述的在LDAP服務器和LDAP客戶端之間使用SASL協商建立基于SM2密鑰交換協議的安全通道，包括：

所述LDAP客戶端將本方的SM2密鑰協商算法標識、橢圓曲線點、本方公鑰、隨機值，以及數字證書、證書鏈和簽名信息發送給所述LDAP服務器；

所述LDAP服務器驗證所述LDAP客戶端的數字證書、證書鏈，如果驗證成功，所述LDAP服務器根據所述LDAP客戶端發送來的SM2密鑰協商算法標識、橢圓曲線點、本方公鑰、隨機值和本地數據計算出SM1共享對稱密鑰，同時將本方的SM2密鑰協商算法標識、橢圓曲線點、本方公鑰、隨機值，以及數字證書、證書鏈和簽名信息發送給所述LDAP客戶端；

所述LDAP客戶端驗證所述LDAP服務器的數字證書、證書鏈，如果驗證通過，則所述LDAP客戶端同樣根據所述LDAP服務器發送來的SM2密鑰協商算法標識、橢圓曲線點、本方公鑰、隨機值和本地數據計算出SM1共享對稱密鑰；

所述LDAP服務器和所述LDAP客戶端之間SASL協商通信完畢，建立基于SM2密鑰交換協議的安全通道。

4.根據權利要求3所述的基于密鑰交換協議和輕量目錄訪問協議的信息傳輸方法，其特征在于，所述的LDAP服務器驗證所述LDAP客戶端的數字證書、證書鏈，包括：

所述LDAP服務器驗證所述LDAP客戶端的數字證書、證書鏈是否為認證中心頒發的有效證書，并且，所述LDAP客戶端的數字證書、證書鏈和所述LDAP服務器的數字證書、證書鏈是否在同一認證體系內，如果是，則確定所述LDAP客戶端的數字證書、證書鏈有效；否則，確定所述LDAP客戶端的數字證書、證書鏈無效，返回數字證書、證書鏈驗證失敗信息給所述LDAP客戶端；

在驗證所述LDAP客戶端的數字證書、證書鏈有效后，所述LDAP服務器從所述LDAP客戶端的數字證書中獲取所述LDAP客戶端的權限信息，根據所述LDAP客戶端的權限信息判斷所述LDAP客戶端是否有權限寫入信息到LDAP服務，如果是，則所述LDAP服務器和所述LDAP客戶端進行后續的安全通路建立操作；否則，返回身份驗證失敗信息給所述LDAP客戶端。

5.根據權利要求3所述的基于密鑰交換協議和輕量目錄訪問協議的信息傳輸方法，其特征在于，所述的LDAP客戶端驗證所述LDAP服務器的數字證書、證書鏈，包括：

所述LDAP客戶端驗證所述LDAP服務器的數字證書、證書鏈是否為認證中心頒發的有效證書，并且，所述LDAP服務器的數字證書、證書鏈和所述LDAP客戶端的數字證書、證書鏈是否在同一認證體系內，如果是，則確定所述LDAP服務器的數字證書、證書鏈有效；否則，確定所述LDAP服務器的數字證書、證書鏈無效，返回數字證書、證書鏈驗證失敗信息給所述LDAP服務器。

6.一種基于密鑰交換協議和輕量目錄訪問協議的信息傳輸系統，其特征在于，包括：

LDAP客戶端，用于和LDAP服務器之間使用SASL協商建立基于SM2密鑰交換協議的安全通道，以協商出的共享對稱密鑰加密需要傳輸的信息，將加密后的信息通過所述安全通道傳輸給所述LDAP服務器；

LDAP服務器，用于和LDAP客戶端之間使用SASL協商建立基于SM2密鑰交換協議的安全通道，用協商出的共享對稱密鑰解密所述加密后的信息。