[發明專利]用于實現VPN網關與客戶端之間的通信的方法、設備及系統

在審

• 申請號: 202110977682.1
• 申請日: 2021-08-24
• 公開（公告）號: CN114070672A
• 公開（公告）日: 2022-02-18
• 發明（設計）人: 張大江;沈捷;黃瑞瑞;朱松
• 申請（專利權）人: 阿里云計算有限公司
• 主分類號: H04L12/66
• 分類號: H04L12/66;H04L12/46;H04L9/40
• 代理公司: 北京展翼知識產權代理事務所(特殊普通合伙) 11452
• 代理人: 屠長存

公開了一種用于實現VPN網關與客戶端之間的通信的方法、設備及系統。在VPN網關所在的物理機上附接硬件密碼設備；在硬件密碼設備中對相關密鑰進行保護；響應于VPN網關接收到客戶端發送的加密信息，基于硬件密碼設備中的解密密鑰對加密信息進行解密，得到用于對VPN網關與客戶端之間傳輸的消息進行對稱加密的密鑰，其中，加密信息是由所述客戶端使用與解密密鑰對應的加密密鑰對密鑰進行加密得到的。由此，在降低KMS的壓力的同時，可以提升VPN網關對國家密碼標準要求的合規程度。

技術領域

本公開涉及VPN技術領域，特別是涉及一種用于實現VPN網關與客戶端之間的通信的方法、設備及系統。

背景技術

傳統的VPN網關，包括IPSEC VPN、SSL VPN、安全認證網關等都是以硬件形態呈現，并且可以依據相應的國家密碼標準進行認證，獲得產品認證證書。

不同于傳統的VPN網關，云上VPN網關是以服務化方式提供給用戶的VPN網關。云上VPN網關以軟件方式部署，不依賴硬件設備。

云上VPN網關的密鑰生成和管理依賴密鑰管理系統(Key Management System，簡稱KMS)。簽名驗簽在KMS上執行，通過驗簽得到的密鑰由KMS傳送到云上VPN產品。

由于云上VPN網關是軟件形態，云上VPN網關通常使用軟件密碼模塊進行與密鑰相關的密碼運算，例如可以包括使用密鑰對要發送給客戶端的消息進行加密、使用密鑰對客戶端發送的消息進行解密。這種模式缺少標準依據，在云計算密碼應用評估中面臨諸多挑戰。

首先，軟件密碼模塊的最高等級是一級，而等保三級以上系統要求使用二級及以上密碼模塊。

而且，將密鑰從KMS傳送到VPN網關需要安全傳輸通道，如何建立一條符合標準/規范要求的安全傳輸通道是一個問題，傳輸方案的安全性難以確保，很難得到認可。

另外，為了實現密鑰的周期性更新，不僅需要KMS執行多次驗簽，還需要KMS通過安全傳輸通道多次向VPN網關發送密鑰，進一步加劇了KMS的成本以及密鑰傳輸的不安全性。

因此，仍然需要一種改進的云上VPN網關的密鑰管理方案。

發明內容

本公開的目的在于提供一種新的云上VPN網關的密鑰管理方案，以解決上述問題。

根據本公開的第一個方面，提供了一種用于實現VPN網關與客戶端之間的通信的方法，包括：在VPN網關所在的物理機上附接硬件密碼設備；在硬件密碼設備中對相關密鑰進行保護；響應于VPN網關接收到客戶端發送的加密信息，基于硬件密碼設備中的解密密鑰對加密信息進行解密，得到用于對VPN網關與客戶端之間傳輸的消息進行對稱加密的密鑰，其中，加密信息是由客戶端使用與解密密鑰對應的加密密鑰對密鑰進行加密得到的。

可選地，解密密鑰是由密鑰管理系統管理的，該方法還可以包括：由VPN網關通過安全傳輸通道從密鑰管理系統獲取解密密鑰，并將解密密鑰存儲在硬件密碼設備中；或者預先將解密密鑰設置在硬件密碼設備中。

可選地，安全傳輸通道為使用預先配置的一次性使用的共享密鑰對傳輸數據進行加密的數據傳輸方式。

可選地，該方法還可以包括：將密鑰存儲在硬件密碼設備中；以及/或者由硬件密碼設備基于解密密鑰對加密信息進行解密；以及/或者由硬件密碼設備基于密鑰對VPN網關發送給客戶端的消息進行加密，并且/或者基于密鑰對客戶端發送給VPN網關的消息進行解密。

可選地，該方法還可以包括：在密鑰需要更新的情況下，基于硬件密碼設備中的解密密鑰對VPN網關再次從客戶端新接收到的加密信息進行解密得到新的密鑰，并將硬件密碼設備中的密鑰替換為新的密鑰。