[发明专利]一种基于FPGA的IPSec数据流高速处理系统及方法

说明书

本发明提出了一种基于FPGA的IPSec数据流高速处理系统，包括：密钥协商模块和FPGA；密钥协商模块在主控CPU中以软件方式完成，FPGA部分包括：输入处理模块，输出处理模块，SADB模块，SPDB模块，加/解密、认证处理模块，包括：认证处理模块，ESP加/解密处理模块，认证处理模块包括ESP认证处理模块和AH认证处理模块。本发明的基于FPGA的IPSec数据流高速处理系统及方法，处理速率高，集成度高，支持算法的扩展。

技术领域

本发明涉及网络通信领域，特别涉及一种基于FPGA的IPSec数据流高速处理系统，还涉及一种基于FPGA的IPSec数据流高速处理方法。

背景技术

安全性对于网络通信而言至关重要，IPSec是一套在IP层实现数据安全传输的协议框架，其处理流程主要包括密钥协商，SA(安全关联)、SP(安全策略)的管理以及AH(认证首部)、ESP(封装安全载荷)协议处理。其中密钥协商以及SA、SP的管理由于不是针对每个通信数据报文都需要进行的，因而不是影响IPSec处理速度的关键；而AH、ESP协议处理每个通信数据报文都要进行，因此AH、ESP的处理速度是影响IPSec处理速度的瓶颈。

AH为IP报文提供数据完整性、数据原始身份验证等服务；ESP为IP报文提供机密性、数据源验证、抗重播以及数据完整性等服务。AH和ESP都是用符合国际标准的加密算法和散列算法，如DES、3DES、AES、MAC-MD5、MAC-SHA等。这些加密和散列算法计算复杂，寻找高速的处理实现方法成为IPSec大规模应用的关键。目前，主要可以分为两种技术路线：基于软件的形式以及基于硬件的形式。基于软件的形式有灵活且成本较低的优点，但处理速度低，不能支持高速的加密通信需要；而基于硬件的形式与基于软件的形式相比，成本较高，但处理速度快，可以满足高速的加密通信需要。基于硬件的形式主要有专用安全处理芯片，目前也是主流的高速加密通信解决方案，但这类芯片的一个缺点是算法固定，无法支持动态扩展。

发明内容

为解决IPSec数据流高速处理并兼顾算法的可扩展性问题，本发明给出了一种基于FPGA的IPSec数据流高速处理具体实现方法，在关键的AH、ESP协议处理上，不需要额外硬件资源配合，即可实现高速的加解密与认证运算，不仅支持DES、3DES、AES、HMAC-MD5、HMAC-SHA1等常见算法，也支持算法的扩展。

本发明的技术方案是这样实现的：

一种基于FPGA的IPSec数据流高速处理系统，包括：密钥协商模块和FPGA；

密钥协商模块在主控CPU中以软件方式完成，FPGA部分包括：输入处理模块、输出处理模块、SADB模块、SPDB模块、加/解密、认证处理模块；

输入处理模块，从输入数据中提取特征数据，利用这些特征数据对SPDB以及SADB进行搜索，得到输入数据的处理参数；

输出处理模块，对经过AH以及ESP处理的数据进行组合，送给输出；

SADB模块，存储与IPSec数据流处理相关的参数信息；

SPDB模块，存储对IP数据报提供何种保护以及具体的保护措施；

加/解密、认证处理模块，包括：ESP加/解密处理模块和认证处理模块；

ESP加/解密处理模块，根据SADB的搜索结果调用相应的加/解密算法对输入数据进行计算，得到加/解密后的数据；

认证处理模块，包括ESP认证处理模块和AH认证处理模块，根据SADB的搜索结果调用相应的认证算法对输入数据进行计算，得到认证结果；

可选地，所述加/解密、认证处理模块的具体结构包括：