[发明专利]一种IPSec通信的建立方法和系统

权利要求书

1.一种IPSec通信的建立方法，其特征在于，应用于发起端中，包括：

通过与响应端的信息交换，确定出选定的加密参数信息和加密密钥；

生成发起端的公私钥对后，向CA发送证书生成请求，以使CA生成基于发起端公钥信息的数字证书CertA；

利用由所述加密参数信息以及所述加密密钥组成的认证密钥，并结合发起端的身份信息，通过第一算法生成第一数据；

利用发起端私钥将所述第一数据进行加密后得到第一数字签名，并发送至所述响应端，以使响应端从CA中获取所述数字证书CertA后，基于所述数字证书CertA验证所述第一数字签名；

接收到响应端发送的第二数字签名时，从CA中获取基于响应端公钥信息的数字证书CertB，并基于所述数字证书CertB验证所述第二数字签名；

在所述第二数字签名验证通过之后，进行IPSec SA的协商建立以完成IPSec通信的建立；

其中，所述第二数字签名为响应端利用响应端私钥将第二数据进行加密后得到的第二数字签名，所述第二数据为响应端利用由所述加密参数信息以及所述加密密钥组成的认证密钥，并结合响应端的身份信息，通过第一算法生成的第二数据。

2.根据权利要求1所述的IPSec通信的建立方法，其特征在于，还包括：

通过与响应端的信息交换，得到发起端生成的伪随机数nA以及响应端生成的伪随机数nB；

相应的，所述利用由所述加密参数信息以及所述加密密钥组成的认证密钥，并结合发起端的身份信息，通过第一算法生成第一数据，包括：

利用由所述加密参数信息，所述加密密钥，所述伪随机数nA以及所述伪随机数nB组成的认证密钥，并结合发起端的身份信息，通过第一算法生成第一数据；

所述第二数据为响应端利用由所述加密参数信息，所述加密密钥，所述伪随机数nA以及所述伪随机数nB组成的认证密钥，并结合响应端的身份信息，通过第一算法生成的第二数据。

3.根据权利要求2所述的IPSec通信的建立方法，其特征在于，所述通过与响应端的信息交换，得到发起端生成的伪随机数nA以及响应端生成的伪随机数nB，包括：

生成并保存伪随机数nA，并将所述伪随机数nA加密发送至响应端以使响应端进行保存；

接收由响应端生成并保存并加密发送的伪随机数nB；

保存所述伪随机数nB。

4.根据权利要求1所述的IPSec通信的建立方法，其特征在于，所述通过与响应端的信息交换，确定出选定的加密参数信息和加密密钥，包括：

发送一组建议的加密参数到响应端，并根据所述响应端的反馈信息确定出被选定的加密参数信息；

通过与所述响应端的Diffie-Hellman交换确定出加密密钥。

5.根据权利要求1所述的IPSec通信的建立方法，其特征在于，响应端的身份信息为响应端的设备信息，发起端的身份信息为发起端的设备信息，所述第一算法为哈希算法。