[發明專利]一種點對點國密隧道建立方法及裝置

在審

• 申請號: 202010624694.1
• 申請日: 2020-07-02
• 公開（公告）號: CN111865939A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 林藝芳
• 申請（專利權）人: 上海締安科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/06;H04L9/08;H04L9/30;H04L9/32;H04L12/46;H04L29/08
• 代理公司: 蘇州創元專利商標事務所有限公司 32103
• 代理人: 范晴;王凱

1.一種點對點國密隧道建立方法及裝置，包括；

總部端SSL VPN服務器A，并為SSL VPN服務器A配備唯一標識；

分部端SSL VPN服務器B，為SSL VPN服務器B配置一個分部局域網內部IP地址并使其可以訪問因特網；

移動客戶端，移動客戶端程序CCA創建一個虛擬網卡，SSL VPN服務器A會給移動客戶端分配一個IP地址；移動客戶端程序CCA與SSL VPN服務器A間的隧道實現加密數據安全傳輸；

總部端與分部端國密隧道建立包括：

基于通信協議版本列表和SM2_SM4_SM3加密算法，分部端SSL VPN服務器B向總部端SSLVPN服務器A發送訪問請求及隨機數；

總部端SSL VPN服務器A響應分部端SSL VPN服務器B的訪問請求并基于國密證書進行身份認證；

分部端SSL VPN服務器B回應總部端SSL VPN服務器A的身份認定并與部端SSL VPN服務器A進行秘鑰協商；

總部端SSL VPN服務器A回應分部端SSL VPN服務器B的秘鑰協定并驗證通過握手協議建立點對點國密隧道；

總部端與移動端國密隧道建立包括：

基于通信協議版本列表和SM2_SM4_SM3加密算法，移動客戶端向總部端SSL VPN服務器A發送訪問請求及隨機數；

總部端SSL VPN服務器A響應移動客戶端的訪問請求并基于國密證書進行身份認證；

移動客戶端回應總部端SSL VPN服務器A的身份認定并與部端SSL VPN服務器A進行秘鑰協商；

總部端SSL VPN服務器A回應移動客戶端的秘鑰協定并驗證通過握手協議建立點對點國密隧道。

2.根據權利要求1所述的一種點對點國密隧道建立方法，其特征在于：總部端與分部端國密隧道建立步驟包括：

分部端SSL VPN服務器B轉發訪問請求至總部端SSL VPN服務器A并告知其所支持的通信協議版本列表和SM2_SM4_SM3加密算法；另外，分部端SSL VPN服務器B還生成一個隨機數a傳送給總部端SSL VPN服務器A用于生成主密鑰；

總部端SSL VPN服務器A收到分部端SSL VPN服務器B的請求后發送其國密證書及驗證分部端SSL VPN服務器B身份的國密證書請求；同時，總部端SSL VPN服務器A生產一個隨機數b發送至分部端SSL VPN服務器B；總部端SSL VPN服務器A與分部端SSL VPN服務器B使用隨機數a和隨機數b生成主秘鑰；

分部端SSL VPN服務器B對總部端SSL VPN服務器A的國密證書驗證無誤后，分部端SSLVPN服務器B向總部端SSL VPN服務器A發送：基于SM2算法產生的預主秘鑰、表示隨后信息都將使用雙方協定加密方式發送的編碼改變通知、表示分部端SSL VPN服務器B握手階段結束的握手結束通知；

總部端SSL VPN服務器A在收到分部端SSL VPN服務器B傳來的預主密鑰之后使用其私鑰對該加密數據進行解密及數據驗證，總部端SSL VPN服務器A生成工作密鑰后給分部端SSL VPN服務器B發送編碼改變通知并告訴分部端SSL VPN服務器B已經切換到協商過的國密加密套件狀態并準備使用加密套件和工作密鑰加密數據；總部端SSL VPN服務器A會用工作密鑰加密結束消息發送給分部端SSL VPN服務器B以驗證通過握手協議建立的加密通道。