[实用新型]一种移动设备与安全接入网关间密钥交换协商系统

说明书

技术领域

本实用新型属于计算机通信和数据安全领域，主要涉及安全密钥协商技术，远程访问技术，特别是移动设备与安全接入网关间密钥交换协商系统。

背景技术

智能终端和无线网络通讯的迅速发展使得人们可以很方便地利用智能移动终端随时随地接入因特网，但是目前机密性要求较高的业务在移动终端上的应用却很少，这是由于移动网络是开放的网络，它除了需要面对固定网络所具有的安全威胁之外，还面临着带宽低、干扰大、稳定性差，容易丢包，更容易受到窃听等问题。同时，智能移动终端还具有计算能力低、存储容量小、IP地址不固定的特点。采用基于IPSec的VPN技术来保障移动终端安全接入是目前的研究热点。

IKE(Internet Key Exchange)为IPSec提供自动协商密钥交换，建立安全联盟的服务，其具有一套自保护机制，可以在不安全的网络上安全地分发密钥、验证身份、建立IPSec安全联盟。然而，对于远程接入用户，除了需要建立安全联盟，还需要获得安全接入服务器的内部网络信息，而这些在标准IKE中均未定义，针对此问题，现在广泛应用的解决方案有IETF提出的基于IKE的IPSec隧道模式下的DHCP配置方法，以及微软提出的基于L2TP/IPSec的解决方案，都有广泛应用。DHCP/IPSec方案是由IPSec远程接入客户端首先生成临时DHCP SA，然后在此SA保护下产生DHCP请求消息，IPSec远程接入服务器作为DHCP中继代理，将消息传送到内网的DHCP服务器，为远程接入客户端分配内网IP。此方案的不足之处是需要临时建立一个DHCP SA，不仅延长IKE交互时间，同时也给远程接入服务器带来较大负担，而且由于接入服务器难以控制DHCP服务器，使得不同的用户身份能够选择不同的地址池分配内部地址，引发访问控制困难。而将L2TP(Layer TwoTunneling Protocol)与IPSec结合的方案虽然可以实现内网地址动态分配以及用户名、密码扩展认证，但此方案需要额外进行L2TP协商，并且在IPSec数据传输过程中需要多次封装，导致效率低下。如何设计合理的IKE协商过程，并且不影响系统的安全性以及效率性就显得非常重要。

实用新型内容

为了克服目前基于标准IKE的远程接入方案在系统效率和用户访问控制方面的缺陷，本实用新型在标准IKE的基础上，提供了一种移动设备与安全接入网关间密钥交换协商系统，该系统既支持动态内网IP分配，又支持扩展用户身份认证，从而在接入服务器端可以方便地进行基于内网IP的访问控制管理。

本实用新型解决其技术问题所采用的技术方案如下：

这种移动设备与安全接入网关间密钥交换协商系统主要涉及三个部分：包含IKE协商模块的移动设备，安全接入网关以及用户管理服务器。其中移动设备是进行IKE协商的客户端，其上安装的IKE协商模块具体负责IKE协商工作；安全接入网关是负责与发起连接请求的移动设备完成IKE协商的主体；用户管理服务器主要负责接收安全接入网关发送来的用户身份信息(从IKE主模式第五条消息的用户身份信息载荷中提取)，根据用户身份选择合适的内网IP地址分配IP，并将结果返回给安全接入网关，如果用户身份认证失败，则返回空值。当IKE SA过期或收到IKE终止消息时，安全接入网关模块会向地址管理模块发送地址回收消息，地址管理模块回收此地址。

上述系统中，所述的移动设备为智能手机、便携式电脑等智能终端。

上述系统中，所述的移动设备安装Windows Mobile 5.0以上操作系统。

上述系统中，所述的安全接入网关和用户管理服务器在一台服务器上。

本实用新型的有益效果为：通过修改IKE交互流程，在保证系统安全及效率的基础上，不仅实现了客户端的动态内网IP分配，而且增加对用户身份的扩展认证。系统中采用的基于用户组的内网IP分配策略，有利于进一步进行访问控制。

附图说明

图1为本实用新型所述移动设备与安全接入网关间密钥交换协商系统环境框图；

图2为本实用新型所述的移动设备与接入网关之间进行密钥交换协商的步骤流程图；

图3为本实用新型在具体实施例中IKE协商第一阶段消息交换过程示意图；

图4为本实用新型在具体实施例中自定义用户身份载荷(UserInfo)格式示意图；

图5为本实用新型在具体实施例中自定义内网地址载荷(InnerAddr)格式示意图；

图6为本实用新型在具体实施例中标准IKE协商中第五六条消息更改后的处理流程示意图；