[發明專利]一種基于國家商用密碼算法的網絡安全通信系統及方法

在審

• 申請號: 201610135687.9
• 申請日: 2016-03-10
• 公開（公告）號: CN107181716A
• 公開（公告）日: 2017-09-19
• 發明（設計）人: 許小青;杜宇中;李偉
• 申請（專利權）人: 上海傳真通信設備技術研究所有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 上海科盛知識產權代理有限公司31225
• 代理人: 葉敏華

1.一種基于國家商用密碼算法的網絡安全通信系統，其特征在于，包括：

國密IPsec驅動模塊(1)，嵌入TCP/IP協議處理模塊(4)，位于網絡層(42)的IPsec協議處理與網絡接口層(41)之間，對于外發的IP包，在IPsec協議處理之后按過濾規則表進行攔截，獲得向通信對方IP地址外發的IP包，對于來自網絡的ESP包，在IPsec協議處理之前按過濾規則表進行攔截，獲得來自通信對方IP地址的ESP包，所述過濾規則表包括通信對方IP地址；

國密算法硬件模塊(3)，用于實現包含SM1算法、SM2算法、SM3算法和SM4算法的國家商用密碼算法；

國密應用模塊(2)，分別連接國密IPsec驅動模塊(1)和國密算法硬件模塊(3)，通過IKE協商過程建立通信雙方的IPsec信道和SA，并通過ESP包安全通信過程基于SA進行接收ESP包解析、解密和發送IP包加密、組包，ESP包安全通信過程具體為：

對于來自通信對方IP地址的ESP包，國密應用模塊(2)利用國密算法硬件模塊(3)對來自通信對方IP地址的ESP包進行解密后得到明文IP包，該明文IP包經國密IPsec驅動模塊(1)進入IPsec協議處理，對于向通信對方IP地址外發的IP包，國密應用模塊(2)利用國密算法硬件模塊(3)對向通信對方IP地址外發的IP包進行加密后得到密文ESP包，該密文ESP包經國密IPsec驅動模塊(1)和網絡接口層(41)發送到網絡上。

2.根據權利要求1所述的一種基于國家商用密碼算法的網絡安全通信系統，其特征在于，還包括連接國密應用模塊(2)的安全策略配置模塊，所述安全策略配置模塊用于添加、編輯或刪除安全策略配置文件，所述安全策略配置文件包括支持IKE協商過程的第一配置參數、支持ESP包安全通信過程的第二配置參數和遠端IP地址，所述國密應用模塊(2)讀取安全策略配置文件，根據第一配置參數設置IKE協商過程的加解密算法，根據第二配置參數設置ESP包安全通信過程的加解密算法，并將遠端IP地址設置為通信對方IP地址后發送給國密IPsec驅動模塊(1)，國密IPsec驅動模塊(1)將接收到的通信對方IP地址添加到過濾規則表中。

3.根據權利要求2所述的一種基于國家商用密碼算法的網絡安全通信系統， 其特征在于，所述第一配置參數設置IKE協商過程的對稱分組密碼算法為SM1算法或SM4算法，密碼雜湊算法為SM3算法，公鑰算法為SM2算法。

4.根據權利要求2所述的一種基于國家商用密碼算法的網絡安全通信系統，其特征在于，所述第二配置參數設置ESP包安全通信過程的對稱加密算法為SM1算法或SM4算法，密碼雜湊算法為SM3算法。

5.根據權利要求1所述的一種基于國家商用密碼算法的網絡安全通信系統，其特征在于，所述國密IPsec驅動模塊(1)內嵌有用于支持不同windows系統運行環境的驅動單元，所述驅動單元包含不同windows系統對應的NDIS版本的驅動程序，當國密IPsec驅動模塊(1)嵌入TCP/IP協議處理模塊(4)后，國密IPsec驅動模塊(1)通過驅動單元識別出當前windows系統并安裝對應的NDIS版本的驅動程序。

6.根據權利要求1所述的一種基于國家商用密碼算法的網絡安全通信系統，其特征在于，所述國密IPsec驅動模塊(1)通過第一回調函數向國密應用模塊(2)傳輸來自通信對方IP地址的ESP包或向通信對方IP地址外發的IP包，所述第一回調函數的內容包括待處理包緩沖區、待處理包長度、包處理后緩沖區和包標識，所述待處理包緩沖區和包處理后緩沖區均由國密IPsec驅動模塊(1)分配，并在國密應用模塊(2)處理后由國密IPsec驅動模塊(1)釋放，對于來自通信對方IP地址的ESP包，待處理包緩沖區和包處理后緩沖區指向相同的緩沖區地址，對于向通信對方IP地址外發的IP包，待處理包緩沖區指向的緩沖區地址和包處理后緩沖區指向的緩沖區地址存在設定的偏置量，所述包標識指向包處理后緩沖區的緩沖區地址；

所述國密應用模塊(2)通過第二回調函數向國密IPsec驅動模塊(1)發送處理后的明文IP包或密文ESP包，所述第二回調函數的內容包括包標識、包處理后緩沖區和包處理后長度。