[发明专利]卸载密码保护处理

说明书

背景技术

安全性是计算机之间通信的重要方面。计算机间通信中的安全性的一个重要部分是访问控制。例如，计算机系统可以实施规定在计算机系统中允许什么类型的网络业务的访问控制策略。例如，这些策略可以规定允许什么类型的网络业务从什么客户机发送到什么服务器。

在联网的计算设备之间提供安全通信的另一个重要部分是密码保护。一种类型的密码保护是加密。存在采用加密的各种通信协议。一个示例是因特网协议安全（IPSec）协议（Internet Protocol Security (IPsec) Protocol），该协议可以用于因特网协议（Internet Protocol）（IP）层上的安全通信，并且其采用验证和加密二者。在IPSec中，两个计算设备可以首先彼此验证，并交换建立加密会话所需要的信息。随后，每个设备可以加密至另一设备的输出分组，并解密来自另一设备的输入分组。传输层安全（Transport Layer Security）（TLS）及其前身即安全套接层（Secure Sockets Layer）（SSL）是采用加密的通信协议的其他示例。

另一类型的密码保护是完整性保护，其用于保护在联网的计算设备之间交换的数据以免拦截计算机尝试篡改所交换的数据。发送计算机通过将标签（有时称为签名、消息验证代码或消息完整性代码）和数据包括在一起来执行完整性保护，其中使用依靠将对于任何特定数据正确计算的秘密密钥的键控数据完整性算法来计算所述标签。接收计算机具有正确密钥，并因此能执行与发送器相同的计算，以便完整性验证：由拥有正确密钥的实体发送所述的数据。可以对同一数据执行完整性保护和加密二者，或者可以对也没有被加密的数据执行完整性保护。

例如可以用于将计算机连接至诸如以太网之类的计算机网络的一些网络接口卡（NIC）可以在NIC自身中包括专用硬件来执行密码保护处理，诸如加密/解密和/或完整性保护。配备有具有密码保护硬件支持的NIC的计算机可以将网络分组的密钥保护卸载到NIC。将密码保护相关的任务卸载到NIC在一些情形中是合乎需要的，这是因为这可以减轻计算机的CPU上的处理负担，使之能够更有效地执行其他的任务。

发明内容                      

一些计算机系统可以包括转发设备，例如交换机、集线器或路由器，其对于根据诸如TCP/IP、UDP或HTTP之类的协议在两个其他计算机之间发送的网络分组执行安全相关的处理。在两个其他计算机之间的网络通信可以经由转发设备进行引导，以致转发设备能够在分组到达目标计算机之前处理这些分组。在某些情况下，由转发设备执行的处理可以牵涉：加密或解密分组，或者在访问控制策略指示用以发送分组的连接不应该被允许时阻止这些分组到达目标计算机。

虽然这样的转发设备在其减轻通信计算机上执行计算密集型的安全相关处理、诸如加密处理的负担方面是有用的，但是这样的转发设备也可能具有限制。例如，通信计算机的用户可能希望使用不被转发设备支持的非标准（例如，专用）安全协议。此外，虽然转发设备可能能够实施简单的策略，诸如基于源和目标IP地址以及端口号的那些策略，但是它可能不能实施使用其他标准的更复杂的访问控制策略。

根据本发明的一些实施例，转发设备可以经由通信链路与网关服务器相耦合，其中网关服务器可以与转发设备协力来执行安全相关的处理。一旦接收到在两个其他计算机之间发送的网络分组，转发设备可以至少部分地处理分组，并且在一些情况中（例如，如果分组处理牵涉转发设备不支持的处理的类型），转发设备可以将分组转发至网关服务器，用于附加处理。例如，由网关服务器执行的附加处理可以包括识别哪些访问控制策略可应用于该分组或者使用至不被转发设备支持的安全协议的扩展来建立安全连接。网关服务器随后可以向转发设备传送其处理的结果，诸如在连接建立期间获得的密码密钥或可应用的访问控制策略。

上述的是在先设备的一些缺陷的示例以及解决这些缺陷的一些实施例的非限制性概述。应该意识到，本发明并不限于这些实施例，也不限于解决现有技术中的所有或一些上述缺陷的系统或处理。相反，本发明完全利用所附的权利要求书来定义。

附图说明

附图没有打算按比例绘制。在附图中，在各个附图中示出的每一个相同或几乎相同的组件利用相似的数字来表示。为了清楚起见，可能没有在每一个附图中标记每一个组件。在附图中：

图1是其中来自客户机的通信可以通过转发设备被发送到服务器的现有技术计算机系统的框图；

图2是其中可以实施本发明的一些实施例的计算机系统的图示；