專利名稱：安全通信連接的再次激活方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種用于在服務(wù)器重新起動(dòng)之后再次激活在客戶端計(jì) 算機(jī)和服務(wù)器之間的安全的通信連接的方法，其中在服務(wù)器和客戶端計(jì) 算機(jī)之間的安全的通信連接被設(shè)置用于傳輸數(shù)據(jù)包。
背景技術(shù)：
通信網(wǎng)絡(luò)向已通過(guò)例如電腦、終端或其它終端設(shè)備接入通信網(wǎng)絡(luò)的 用戶提供了旨在通信的服務(wù)。這種服務(wù)例如是對(duì)特別是包形式的語(yǔ)音或 數(shù)據(jù)的傳輸。
通信網(wǎng)絡(luò)，例如公司網(wǎng)絡(luò)或LAN,但也可以是在當(dāng)前主要用于(特 別是以包的形式)傳輸數(shù)據(jù)的大的網(wǎng)絡(luò)，如因特網(wǎng)，根據(jù)其架構(gòu)、也就 是說(shuō)，根據(jù)通信網(wǎng)絡(luò)的設(shè)想的結(jié)構(gòu)會(huì)有所不同。除了例如所謂的主系統(tǒng) 或者所謂的對(duì)等系統(tǒng)外，還有所謂的客戶機(jī)服務(wù)器系統(tǒng)，對(duì)于主系統(tǒng)而 言，用戶通過(guò)終端或者數(shù)據(jù)終端設(shè)備與多數(shù)情況下高效率的中央計(jì)算機(jī) 或大型計(jì)算機(jī)連接，對(duì)于對(duì)等系統(tǒng)而言，通信網(wǎng)絡(luò)的所有計(jì)算機(jī)或電腦 都具有均等權(quán)利。
對(duì)于客戶機(jī)服務(wù)器系統(tǒng)而言，在通信網(wǎng)絡(luò)中有兩種不同的計(jì)算機(jī)、 即所謂的服務(wù)器和所謂的客戶機(jī)或客戶端計(jì)算機(jī)。
服務(wù)器在此是通信網(wǎng)絡(luò)中的為多個(gè)其它網(wǎng)元或計(jì)算機(jī)(所謂的客戶 機(jī)或客戶端計(jì)算機(jī))提供集中服務(wù)(即所謂的服務(wù)器應(yīng)用或應(yīng)用程序) 的網(wǎng)元或計(jì)算機(jī)。這些服務(wù)被客戶機(jī)或客戶端計(jì)算機(jī)使用，并通過(guò)用戶 界面或用戶接口給用戶提供對(duì)服務(wù)器的集中服務(wù)的接入。為此，由客戶
端計(jì)算機(jī)建立與服務(wù)器的接觸。該原理也稱為客戶機(jī)服務(wù)器原理。相比 于每個(gè)客戶端計(jì)算機(jī)本身都在本地且長(zhǎng)久地儲(chǔ)備這些資源，卻僅僅為了
偶爾使用，由此可以較好地利用資源(例如應(yīng)用、數(shù)據(jù)庫(kù)等)。
服務(wù)器可以與客戶端計(jì)算機(jī)通過(guò)本地網(wǎng)絡(luò)(例如公司網(wǎng)絡(luò)、局域網(wǎng)
絡(luò)(LAN)等)連接。但從客戶端計(jì)算機(jī)也可以通過(guò)不同類型的電信網(wǎng)
絡(luò)(如因特網(wǎng)等)對(duì)服務(wù)器進(jìn)行訪問(wèn)。
在服務(wù)器和客戶端計(jì)算機(jī)之間的通信(即數(shù)據(jù)交換)通過(guò)通信連接
大多數(shù)情況下按照客戶機(jī)服務(wù)器原理來(lái)進(jìn)行。概念"通信連接"在此例如系指可使用的接通的物理線路，或者也是在通信網(wǎng)絡(luò)的固定定義的點(diǎn) (如服務(wù)器和客戶端計(jì)算機(jī))之間的所謂的虛擬路徑。
確定通過(guò)通信連接所交換的消息和數(shù)據(jù)的格式和含義的規(guī)則被稱 為協(xié)議，該協(xié)議例如可以由多層構(gòu)成，如網(wǎng)絡(luò)層、傳輸層或應(yīng)用層。用 于交換數(shù)據(jù)和消息的協(xié)議取決于服務(wù)器的類型或應(yīng)用領(lǐng)域。因此，例如 為了通過(guò)網(wǎng)絡(luò)(例如因特網(wǎng))傳輸數(shù)據(jù)(例如網(wǎng)頁(yè)等)而在應(yīng)用層上使
用所謂的超文本傳輸協(xié)議(http, Hyper Text Transfer Protocol)的服務(wù)器 也稱為http服務(wù)器。在應(yīng)用層上使用例如文件傳輸協(xié)議(FTP, File Transfer Protocol)作為協(xié)議以便例如將文件從服務(wù)器傳輸至客戶端計(jì)算 機(jī)、從客戶端計(jì)算機(jī)傳輸至服務(wù)器、或者以客戶機(jī)控制的方式在兩個(gè)服 務(wù)器之間傳輸?shù)钠渌?wù)器通常也可以稱為文件服務(wù)器或數(shù)據(jù)服務(wù)器。 對(duì)于http或FTP而言，在所謂的傳輸層上例如使用所謂的傳輸控制協(xié)議
(TCP, Transmission control protocol),通過(guò)所述傳輸控制協(xié)議約定 應(yīng)該采用何種方式在計(jì)算機(jī)之間交換數(shù)據(jù)。在所謂的網(wǎng)絡(luò)層上例如經(jīng)常 使用所謂的因特網(wǎng)協(xié)議(IP),通過(guò)所述因特網(wǎng)協(xié)議做出明確的約定 按照因特網(wǎng)協(xié)議在通過(guò)通信網(wǎng)絡(luò)相互連接的計(jì)算機(jī)或處理器之間交換 數(shù)據(jù)。對(duì)于通信連接而言使用因特網(wǎng)協(xié)議IP的客戶機(jī)服務(wù)器系統(tǒng)也可以 稱為基于IP的客戶機(jī)服務(wù)器系統(tǒng)。
在如下情況下通信連接也稱為安全的通信連接，即至少在建立兩個(gè) 計(jì)算機(jī)(例如服務(wù)器和客戶端計(jì)算機(jī))之間的通信連接時(shí)進(jìn)行鑒權(quán)過(guò)程， 由所述鑒權(quán)過(guò)程確保兩個(gè)計(jì)算機(jī)有權(quán)利實(shí)施所述通信連接。通過(guò)在建立 安全的通信連接時(shí)的這種鑒權(quán)過(guò)程，可以確定，是否也與正確的通信伙 伴、也就是與例如數(shù)據(jù)應(yīng)被傳輸至的計(jì)算機(jī)(例如服務(wù)器)建立通信連 接。附加地例如可以在已有的通信連接期間以不同的時(shí)間間隔進(jìn)行鑒權(quán) 過(guò)程，以便持續(xù)地檢查通信伙伴(例如計(jì)算機(jī)、服務(wù)器、客戶端計(jì)算 機(jī)等)例如是否被給予權(quán)力來(lái)傳輸確定的數(shù)據(jù)，或者例如通信連接是否 始終都仍是安全的連接。通過(guò)這種方式可以保護(hù)通信連接例如免于在傳 輸期間被竊聽(tīng)或者防止未經(jīng)授權(quán)者訪問(wèn)機(jī)密數(shù)據(jù)。
在有些通信網(wǎng)絡(luò)中，為了防止未經(jīng)授權(quán)的訪問(wèn)，使鑒權(quán)過(guò)程還與加 密過(guò)程相結(jié)合。在這種情況下，例如在鑒權(quán)過(guò)程期間，使用由通信伙伴
(例如客戶端計(jì)算機(jī)、服務(wù)器等)之間的請(qǐng)求和應(yīng)答構(gòu)成的方案，其中 參與安全的通信連接的每個(gè)計(jì)算機(jī)都通過(guò)該方案表明，有共同的加密系統(tǒng)，且該計(jì)算機(jī)由此有權(quán)利參與安全的通信連接。在此例如交換共同的 但秘密的數(shù)字證書(shū)或密鑰。
在網(wǎng)絡(luò)層上使用所謂的因特網(wǎng)協(xié)議(IP)的通信網(wǎng)絡(luò)也稱為IP網(wǎng)絡(luò)。
對(duì)于通過(guò)所述網(wǎng)絡(luò)的通信連接而言，自從1998年就開(kāi)發(fā)了一種獨(dú)特的 安全性方法、所謂的IP安全(協(xié)議)(security (protocol)) IPSec，它同 時(shí)i皮互耳關(guān)網(wǎng)工程任務(wù)組IETF規(guī)定成多個(gè)請(qǐng)求注解(RFC, Requests ofr Coments)。在此，1998年的RFC2401和2005年12月的RFC4301(可 以說(shuō)是主要文件)說(shuō)明了 IPSec的結(jié)構(gòu)。
通過(guò)IPSec應(yīng)確保數(shù)據(jù)在IP網(wǎng)絡(luò)中的安全傳輸，從而確保實(shí)現(xiàn)保護(hù) 目的，例如機(jī)密性、可靠性和完整性。通過(guò)IPSec可以實(shí)現(xiàn)建立安全的 通信連接，從而實(shí)現(xiàn)安全的數(shù)據(jù)傳輸。在此，由IPSec提供安全服務(wù)(例 如接入檢查、鑒權(quán)方法、機(jī)密性等)，通過(guò)安全服務(wù)可使得IP網(wǎng)絡(luò)的計(jì) 算機(jī)為了安全的通信連接而選擇相應(yīng)的安全性協(xié)議，確定用于使用 IPSec服務(wù)的算法，并確定用于定義加密參數(shù)(例如密鑰、密鑰長(zhǎng)度等) 的邊界條件，這些加密參數(shù)是IPSec服務(wù)的前提。IPSec在此使用兩種機(jī) 制
-IP鑒權(quán)頭機(jī)制(AH, Authentication Header ),采用該機(jī)制對(duì)數(shù) 據(jù)源進(jìn)行鑒權(quán)和識(shí)別。該機(jī)制被IETF記載在RFC2402或RFC4302中； - 佳十裝安全有-支載荷(ESP, Encapsulation security payload ), 采
用該機(jī)制有選擇地在所謂的傳輸模式下或者在所謂的隧道模式下對(duì)數(shù) 據(jù)進(jìn)行加密，就所述傳輸模式而言，并不將所謂的數(shù)據(jù)包頭加密，就所 述隧道模式而言，將整個(gè)數(shù)據(jù)加密。該機(jī)制被IETF記載在RFC2406或 RFC4303中。
為了管理要使用通信網(wǎng)絡(luò)的哪些計(jì)算機(jī)、或者要使用哪些地址(其 中這些地址被分配給相應(yīng)的計(jì)算機(jī)并且所述計(jì)算機(jī)能夠通過(guò)這些地址 來(lái)響應(yīng))、要使用具有哪些參數(shù)的IPSec，設(shè)有數(shù)據(jù)庫(kù)、所謂的安全策 略數(shù)據(jù)庫(kù)SPD。在該數(shù)據(jù)庫(kù)中為相應(yīng)的計(jì)算機(jī)(根據(jù)源分開(kāi)地)和在發(fā) 送數(shù)據(jù)的情況下為目標(biāo)地址存儲(chǔ)所有必需的信息。于是在發(fā)送數(shù)據(jù)的情 況下在數(shù)據(jù)庫(kù)SPD中查看要如何處理數(shù)據(jù)，其中主要有三種可能性丟 棄數(shù)據(jù)，也就是說(shuō)，阻斷所接收的計(jì)算機(jī)的地址；不改變地轉(zhuǎn)發(fā)數(shù)據(jù)； 或者為這些數(shù)據(jù)使用IPSec。
如果在通信連接情況下為數(shù)據(jù)傳輸使用IPSec,則可以將相應(yīng)的加密參數(shù)(匯總地在所謂的安全關(guān)聯(lián)(Security Association) SA中)從SDP 取出。只有當(dāng)在計(jì)算機(jī)或其地址之間頻繁地交換數(shù)據(jù)時(shí)，才通常存在SA。 如果情況并非如此，則必須在數(shù)據(jù)交換之前在建立安全的通信連接時(shí)建 立SA。這可以經(jīng)由網(wǎng)絡(luò)管理通過(guò)調(diào)節(jié)手動(dòng)地來(lái)進(jìn)行或者使用國(guó)際安全 和密鑰管理協(xié)議(International Security and Key Management Protocol) ISAKMP來(lái)進(jìn)行，所述ISAKMP也可以稱為因特網(wǎng)密鑰交換(IKE )協(xié) 議。
ISAKMP或IKE定義在IETF的RFC2408、 2409中，或者還在4306 中，且在使用IPSec的基于IP的網(wǎng)絡(luò)中被用于管理加密方法。ISAKMP 或IKE在此在利用IPSec真正受保護(hù)的數(shù)據(jù)傳輸之前用于對(duì)發(fā)送計(jì)算機(jī) 和接收計(jì)算機(jī)進(jìn)行鑒權(quán)以及協(xié)商加密方法或計(jì)算機(jī)之間的SA,其中這 被分成兩個(gè)階段來(lái)進(jìn)行。首先，在第一階段中為受保護(hù)的ISAKMP數(shù)據(jù) 傳輸規(guī)定SA、即所謂的階段1 SA (例如計(jì)算機(jī)識(shí)別、所使用的加密方 法等)。然后在第二階段中，為了對(duì)要使用IPSec受保護(hù)地傳輸?shù)臄?shù)據(jù) 進(jìn)行加密，在計(jì)算機(jī)之間協(xié)商SA、即所謂的階段2SA,相應(yīng)的加密信 息多數(shù)情況下已經(jīng)加密地在計(jì)算機(jī)之間被交換。
第 一和第二階段的經(jīng)協(xié)商的SA還可以在其有效持續(xù)時(shí)間方面例如 通過(guò)對(duì)SA適用的時(shí)間間隔或所傳輸?shù)臄?shù)據(jù)量的規(guī)定而得到限制。在SA 有效持續(xù)時(shí)間期滿之后，然后例如需要重新筌權(quán)或者更新加密參數(shù)。
如果參與安全通信連接的計(jì)算機(jī)進(jìn)行所謂的重新啟動(dòng)或重新起動(dòng)，
則如例如在SA形式的IPSec情況下在參與通信連接的計(jì)算機(jī)之間所交 換的安全設(shè)定值和/或加密數(shù)據(jù)(例如加密方法、密鑰、密鑰長(zhǎng)度等)也 可以失效或被丟棄。在重新啟動(dòng)時(shí)，計(jì)算機(jī)重新開(kāi)動(dòng)，也就是說(shuō)，所謂 的操作系統(tǒng)重新加載，并在這種情況下例如計(jì)算機(jī)的主要部件被測(cè)試和 初始化，其中由所述操作系統(tǒng)例如管理計(jì)算機(jī)的操作裝置，如存儲(chǔ)器、 輸入/輸出設(shè)備等，控制程序的執(zhí)行等等。
在重新啟動(dòng)后，通常只有在如下情況下才由計(jì)算機(jī)運(yùn)行用于到其它 計(jì)算機(jī)的安全通信連接的相應(yīng)過(guò)程(例如鑒權(quán)、發(fā)送新的安全設(shè)定值和 /或加密數(shù)據(jù)等)，即應(yīng)該重新向所述計(jì)算機(jī)傳輸數(shù)據(jù)，這也是如下情況， 即在重新啟動(dòng)之前至所述計(jì)算機(jī)已經(jīng)存在安全的通信連接。在使用 IPSec的情況下，例如在重新啟動(dòng)之新的階段l SA以及新的階段2 SA。如果在重新啟動(dòng)之前已經(jīng)存有至所 述另一計(jì)算機(jī)的安全的通信連接且因此在該計(jì)算機(jī)上存儲(chǔ)有相應(yīng)的在
它看來(lái)仍然有效的SA,則丟棄這些SA,并為了繼續(xù)通信而使用新交換 的SA。
對(duì)于按照客戶機(jī)服務(wù)器原理進(jìn)行通信的客戶機(jī)服務(wù)器系統(tǒng)而言，通 信通常由客戶端計(jì)算機(jī)側(cè)發(fā)起，而不是由服務(wù)器發(fā)起。這意味著，在客 戶端計(jì)算機(jī)重新啟動(dòng)時(shí)，盡管立即在與服務(wù)器第一次建立接觸時(shí)進(jìn)行用 于安全通信連接的過(guò)程，但在例如借助于IPSec使用安全的通信連接的 情況下服務(wù)器的重新啟動(dòng)會(huì)導(dǎo)致通信中斷。
如果服務(wù)器不開(kāi)始與客戶端計(jì)算機(jī)接觸，則通過(guò)安全的通信連接發(fā) 送數(shù)據(jù)至服務(wù)器的客戶端計(jì)算機(jī)不識(shí)別重新啟動(dòng)。由客戶端計(jì)算機(jī)例如 還使用在重新啟動(dòng)之前交換的安全設(shè)定值和/或加密數(shù)據(jù)用于通過(guò)安全 的通信連接傳輸數(shù)據(jù)。因?yàn)橛捎诜?wù)器的重新啟動(dòng)而例如使得相應(yīng)的加 密數(shù)據(jù)不再有效，所以通過(guò)安全的通信連接傳輸?shù)臄?shù)據(jù)例如可能不再被 服務(wù)器識(shí)別、解密或者讀出。這些數(shù)據(jù)因此通常被服務(wù)器丟棄。
因?yàn)槔绱鎯?chǔ)在客戶端計(jì)算機(jī)上的安全設(shè)定值和/或加密數(shù)據(jù)的有 效期限期滿，所以只有在由客戶端計(jì)算機(jī)側(cè)發(fā)起用于安全通信連接的相 應(yīng)過(guò)程(例如鑒權(quán)、發(fā)送新的安全設(shè)定值和/或加密數(shù)據(jù)等)時(shí)，才能在 服務(wù)器和客戶端計(jì)算機(jī)之間通過(guò)安全通信連接重新開(kāi)始通信。也就是 說(shuō)，通過(guò)安全通信連接傳輸?shù)臄?shù)據(jù)于是才再次被服務(wù)器識(shí)別。
但由于例如在IPSec的情況下階段1 SA的有效期限可以相對(duì)較長(zhǎng) (例如至24小時(shí))，其中在所述階段1 SA中定義安全設(shè)定值，如計(jì)算 機(jī)標(biāo)識(shí)、所使用的加密方法等，因此在服務(wù)器重新啟動(dòng)之后會(huì)出現(xiàn)長(zhǎng)的 通信中斷。如果階段1 SA的有效期限例如取決于所傳輸?shù)臄?shù)據(jù)量，則 會(huì)發(fā)生如下情況，即由于服務(wù)器重新啟動(dòng)，該SA在客戶端計(jì)算機(jī)側(cè)不 再變?yōu)闊o(wú)效，且用于安全通信連接的過(guò)程因此不能再由客戶端計(jì)算機(jī)發(fā) 起。
防止這一點(diǎn)的一種可能性是例如在服務(wù)器重新啟動(dòng)之后也在這個(gè)/ 這些客戶機(jī)上將已有的SA進(jìn)行復(fù)位或者尤其對(duì)客戶機(jī)進(jìn)行重新啟動(dòng)，
起。但這種實(shí)施方式非常耗費(fèi)，且前提是，這個(gè)或這些客戶機(jī)被通知了 服務(wù)器的每次重新啟動(dòng)。對(duì)于客戶端計(jì)算機(jī)確定安全的通信連接是否還處于激活的另一可
能性例如是所謂的對(duì)等體存活檢測(cè)(Dead Peer Detection) DPD,所述 DPD例如對(duì)于IPSec而言特別是在隧道才莫式下祐:使用。對(duì)于DPD而言， 在服務(wù)器和客戶端計(jì)算機(jī)之間定期地交換狀態(tài)通知，通過(guò)所述狀態(tài)通知 來(lái)確定通信連接是否還處于激活。如果在DPD通知的時(shí)間限制期間沒(méi) 有得到應(yīng)答，則結(jié)束通信連接(例如IPSec隧道)，直至所述通信連接 再次通過(guò)新的數(shù)據(jù)傳輸被激活為止。然而DPD必須為了其使用而既在 服務(wù)器處又在客戶端計(jì)算機(jī)處被激活。但是由于DPD目前尚未標(biāo)準(zhǔn)化， 所以DPD不是在所有的計(jì)算機(jī)系統(tǒng)上被實(shí)施并從而可用。此外，對(duì)于 DPD而言，由于定期發(fā)送狀態(tài)通知，額外地產(chǎn)生數(shù)據(jù)通信業(yè)務(wù)和管理數(shù) 據(jù)。

發(fā)明內(nèi)容
因此本發(fā)明所基于的目的在于，提出一種方法，采用該方法可以以
簡(jiǎn)單的方式在服務(wù)器重新啟動(dòng)或重新起動(dòng)之后由該服務(wù)器開(kāi)始用于再 次激活在服務(wù)器和客戶端計(jì)算機(jī)之間的安全通信連接的過(guò)程。
該目的通過(guò)開(kāi)頭部分所述類型的方法得以實(shí)現(xiàn)，其中在服務(wù)器重新 起動(dòng)之后將數(shù)據(jù)包發(fā)送至客戶端計(jì)算機(jī)的地址，其中由服務(wù)器根據(jù)客戶 端計(jì)算機(jī)的地址來(lái)進(jìn)行發(fā)送。由服務(wù)器根據(jù)客戶端計(jì)算機(jī)的地址識(shí)別 出為了傳輸數(shù)據(jù)包設(shè)有安全的通信連接，該通信連接曾因服務(wù)器的重
客戶端計(jì)算機(jī)之間的安全通信連接的過(guò)程。
通過(guò)本發(fā)明所實(shí)現(xiàn)的優(yōu)點(diǎn)特別是在于，直接在服務(wù)器重新起動(dòng)之后 以簡(jiǎn)單的方式觸發(fā)對(duì)安全通信連接的再次激活，由此使得在服務(wù)器和客 戶端計(jì)算機(jī)之間的可能的通信故障保持得短暫。另一優(yōu)點(diǎn)在于，在服務(wù) 器和客戶端計(jì)算機(jī)之間的安全通信連接已經(jīng)在服務(wù)器啟動(dòng)時(shí)被激活，從 而使得起動(dòng)的持續(xù)時(shí)間保持得短暫。此外，采用本發(fā)明的方法不在服務(wù) 器上產(chǎn)生額外的管理耗費(fèi)。
如果在服務(wù)器和客戶端計(jì)算機(jī)之間的安全通信連接按照因特網(wǎng)安 全協(xié)議IPSec根據(jù)IETF的RFC 2401和/或RFC 4301來(lái)進(jìn)行，則是有益 的，因?yàn)镮PSec已被IETF在多個(gè)RCF、如作為主要文件的RFC 2401或 RFC 4301中標(biāo)準(zhǔn)化。另外，在其它的RFC (例如RFC 2402、 RFC 4302、 RFC 2406、 RFC 2408、 RFC 4306等)中，由IETF定義了 IPSec的諸如IP鑒權(quán)頭機(jī)制、封裝安全有效載荷等的機(jī)制和諸如ISAKMP等的協(xié)議。 本發(fā)明的一種優(yōu)選的改進(jìn)規(guī)定，數(shù)據(jù)包被所謂的啟動(dòng)軟件發(fā)送，所 述啟動(dòng)軟件在服務(wù)器處在操作系統(tǒng)軟件的和應(yīng)用的運(yùn)行(Ablauf)之間 被實(shí)施，其中啟動(dòng)軟件是所謂的中間件軟件(Middelware-Software )的 一部分，由所述中間件軟件在操作系統(tǒng)軟件和應(yīng)用之間進(jìn)行調(diào)解，因此 該中間件軟件在應(yīng)用開(kāi)始之前被實(shí)施。因此有利地已經(jīng)在應(yīng)用開(kāi)始之前 激活了安全通信連接，從而將起動(dòng)的時(shí)間保持得短暫，其中所述應(yīng)用以 在服務(wù)器和客戶端計(jì)算機(jī)之間的安全通信連接為前提。
優(yōu)選地將數(shù)據(jù)包發(fā)送至客戶端計(jì)算機(jī)的所有地址，針對(duì)這些客戶端 計(jì)算機(jī)已經(jīng)在服務(wù)器上配置有安全的配置連接，其中用于發(fā)送數(shù)據(jù)包的 這些地址例如在IPSec的情況下可以從所謂的因特網(wǎng)密鑰交換策略文件 中讀出。在該文件中例如在IPSec情況下對(duì)如下客戶端計(jì)算機(jī)地址進(jìn)行 管理即要與這些客戶端計(jì)算機(jī)地址建立安全的通信連接。因?yàn)檫@些配 置數(shù)據(jù)已經(jīng)存在于服務(wù)器上，因此為了再次激活安全的通信連接而不需 要用于發(fā)送數(shù)據(jù)包的額外的管理耗費(fèi)。
在本發(fā)明的一種優(yōu)選的改進(jìn)中，將數(shù)據(jù)包發(fā)送至如下客戶端計(jì)算機(jī) 的地址即直至重新起動(dòng)為止為所述客戶端計(jì)算機(jī)設(shè)置了有效的安全的 通信連接，其中理想情況下這些地址可能被服務(wù)器例如在重新起動(dòng)之前 或者在第一次與該客戶端計(jì)算機(jī)建立安全通信連接時(shí)暫時(shí)存儲(chǔ)在文件 中。如果對(duì)于IPSec而言例如在因特網(wǎng)密鑰交換策略文件中配置用于安 全通信連接的地址時(shí)，并非管理客戶端計(jì)算機(jī)的各個(gè)地址，而是僅管理 所謂的地址區(qū)域(Adressbereich ),則本發(fā)明方法的該變型是特別有益 的。由此以簡(jiǎn)單方式避免了因?qū)?shù)據(jù)包發(fā)送至所有被管理的地址或地址 區(qū)域而引起的大的數(shù)據(jù)負(fù)荷，特別是在重新起動(dòng)之前并不是對(duì)所有被管 理的客戶端計(jì)算機(jī)均存在安全的通信連接時(shí)，例如因?yàn)榭蛻舳擞?jì)算機(jī)恰 好未被接通。
此外有益的是，為了觸發(fā)用于再次激活安全的通信連接的過(guò)程，按 照用戶數(shù)據(jù)沖艮協(xié)議(User Datagram Protocol) UDP發(fā)送數(shù)據(jù)包，因?yàn)?UDP在RFC 768中已被IEFT標(biāo)準(zhǔn)化，且UDP是用于在所謂的傳輸層上 傳輸數(shù)據(jù)包的最小的無(wú)連接協(xié)議。另外UDP比諸如TCP的其它傳輸層 協(xié)議更快速且具有較小長(zhǎng)度的數(shù)據(jù)包，由此使得由發(fā)送數(shù)據(jù)包產(chǎn)生的數(shù) 據(jù)通信業(yè)務(wù)保持得少。另外有利的是，對(duì)于按照UDP協(xié)議的數(shù)據(jù)包而言，作為目標(biāo)端口 號(hào)一起發(fā)送較高的端口號(hào)，如端口號(hào)33434等。因?yàn)楦叩亩丝谔?hào)例如不 被應(yīng)用使用，因此未^皮占用，所以UDP包如果被客戶端計(jì)算機(jī)接收則 通常不被注意。但盡管如此，UDP包實(shí)現(xiàn)對(duì)用于再次激活安全通信連接 的過(guò)程的觸發(fā)，因?yàn)閮H僅通過(guò)發(fā)送在服務(wù)器上開(kāi)始這些過(guò)程。
此外重要的是，針對(duì)本發(fā)明的方法(特別是結(jié)合IPSec)使用所謂 的"共享安全關(guān)聯(lián)(SAs)"。在共享SAs的情況下，并不為每個(gè)使用 的協(xié)議和為每個(gè)端口號(hào)都產(chǎn)生自己的SAs。因?yàn)橥ㄟ^(guò)共享SAs避免了在 服務(wù)器或客戶端計(jì)算機(jī)上產(chǎn)生附加的數(shù)據(jù)，所以共享SAs通常經(jīng)常被使 用。


下面舉例地借助

本發(fā)明。
圖1示意性示出用于再次激活安全的通信連接的本發(fā)明方法的流程。
具體實(shí)施例方式
本發(fā)明的方法例如針對(duì)基于IP的客戶機(jī)服務(wù)器系統(tǒng)來(lái)說(shuō)明，其中由 所述基于IP的客戶機(jī)服務(wù)器系統(tǒng)使用IPSec作為安全性方法。但本發(fā)明 的方法也可以應(yīng)用于其它(非基于IP的)客戶機(jī)服務(wù)器系統(tǒng)，或者應(yīng)用 于使用其它用于通信連接的安全性方法的情況。
該方法開(kāi)始于開(kāi)始步驟l。在第二方法步驟2中，基于IP的客戶機(jī) 服務(wù)器系統(tǒng)的服務(wù)器進(jìn)行重新起動(dòng)或者重新啟動(dòng)，其中由所述基于IP 的客戶機(jī)服務(wù)器系統(tǒng)為了安全的通信連接而使用IPSec。由于重新啟動(dòng)，
所有激活的安全的通信連接在服務(wù)器側(cè)被去激活，也就是說(shuō)，用于所述 通信連接的已有的階段1和階段2安全關(guān)聯(lián)由于服務(wù)器重新啟動(dòng)而喪失 其有效性，或者在服務(wù)器處被丟棄。
在第三方法步驟3中，例如在啟動(dòng)軟件運(yùn)行中，引起對(duì)按照用戶數(shù) 據(jù)報(bào)協(xié)議UDP的數(shù)據(jù)包(所謂的UDP數(shù)據(jù)包)的發(fā)送，其中所述啟動(dòng) 軟件在操作系統(tǒng)軟件和應(yīng)用軟件之間被執(zhí)行。
在第四方法步驟4中，為了發(fā)送UDP數(shù)據(jù)包，由服務(wù)器從文件中 讀出客戶端計(jì)算機(jī)的地址。為此例如對(duì)于IPSec而言可以使用所謂的IKE 策略文件或者存儲(chǔ)在安全策略數(shù)據(jù)庫(kù)SPD中的數(shù)據(jù)，如果要將例如UDP 數(shù)據(jù)包發(fā)送至所有的客戶端計(jì)算機(jī)的話，針對(duì)所述所有客戶端計(jì)算機(jī)已經(jīng)在服務(wù)器上配置了安全的通信連接。如果要將UDP數(shù)據(jù)包僅發(fā)送至
如下客戶端計(jì)算機(jī)即在重新起動(dòng)之前實(shí)際上對(duì)于所述客戶端計(jì)算機(jī)已 經(jīng)存在安全的激活的通信連接，則可以將所述客戶端計(jì)算機(jī)的地址存儲(chǔ) 在服務(wù)器上的自己的文件中，于是為了發(fā)送UDP數(shù)據(jù)包而考慮該文件。 借助于客戶端計(jì)算機(jī)的地址，或者因?yàn)檫@些地址例如被記錄在安全 策略數(shù)據(jù)庫(kù)SPD或IKE策略文件中，在第五方法步驟5中由服務(wù)器來(lái) 確定必須通過(guò)安全的通信連接將UDP數(shù)據(jù)包傳輸至這些客戶端計(jì)算 機(jī)。在第六方法步驟6中，因此由服務(wù)器例如對(duì)于IPSec而言建立與相 應(yīng)的客戶端計(jì)算機(jī)的階段1安全關(guān)聯(lián)SA。在該階段1SA中，定義用于 受保護(hù)的傳輸?shù)乃^ISAKMP數(shù)據(jù)(例如計(jì)算機(jī)的標(biāo)識(shí)，所使用的加密 方法等)。
在第七方法步驟7中，已由服務(wù)器建立的新的階段1SA被相應(yīng)的 客戶端計(jì)算機(jī)識(shí)別出。然后由客戶端計(jì)算機(jī)丟棄用于與服務(wù)器安全通信 連接的可能還有的SA,并使用新的階段1 SA。
在第八方法步驟8中，然后例如對(duì)于IPSec而言(相應(yīng)于該安全性 方法的兩級(jí)性)由服務(wù)器建立與客戶端計(jì)算機(jī)的新的階段2 SA,在該新 的階段2 SA中例如確定對(duì)待傳輸?shù)臄?shù)據(jù)的加密。然后客戶端計(jì)算機(jī)也 使用該新的階段2 SA。
通過(guò)由服務(wù)器建立新的階段1和階段2 SA,例如對(duì)于IPSec而言， 在第九方法步驟9中再次激活與客戶端計(jì)算機(jī)的安全的通信連接。在第 十方法步驟10中，然后可以按照所使用的安全性方法及其機(jī)制(例如 IPSec)將UDP數(shù)據(jù)包加密地傳輸至相應(yīng)的客戶端計(jì)算機(jī)。在此，對(duì)于 UDP數(shù)據(jù)包而言例如記錄高的端口號(hào)(例如端口號(hào)33434 )作為目標(biāo)端 口號(hào)，因?yàn)閁DP數(shù)據(jù)包實(shí)際上是否被客戶端計(jì)算機(jī)接收并不重要。如 果UDP數(shù)據(jù)包被客戶端計(jì)算機(jī)接收，則由于高的端口號(hào)而例如不再考 慮或丟棄該UDP數(shù)據(jù)包，并且由客戶端計(jì)算機(jī)例如將無(wú)法到達(dá)目標(biāo)端
口號(hào)的應(yīng)答發(fā)送至服務(wù)器。
但因?yàn)樵诜?wù)器和相應(yīng)的客戶端計(jì)算機(jī)之間的安全的通信連接通
過(guò)本發(fā)明的方法以簡(jiǎn)單且迅速的方式被再次激活，因此數(shù)據(jù)可以再次安
全地和例如經(jīng)加密地通過(guò)所述通信連4妻:故傳輸。
權(quán)利要求
1.用于在服務(wù)器重新起動(dòng)之后再次激活與客戶端計(jì)算機(jī)的安全的通信連接的方法，其中所述安全的通信連接被設(shè)置在服務(wù)器和客戶端計(jì)算機(jī)之間用于傳輸數(shù)據(jù)包，其特征在于，-在所述服務(wù)器重新起動(dòng)之后將數(shù)據(jù)包發(fā)送至客戶端計(jì)算機(jī)的地址(2、3)；-由所述服務(wù)器根據(jù)地址來(lái)識(shí)別出，為傳輸所述數(shù)據(jù)包設(shè)有安全的通信連接，其中所述通信連接因所述服務(wù)器的重新起動(dòng)已被中斷(4、5)；-和通過(guò)對(duì)所述數(shù)據(jù)包的發(fā)送觸發(fā)用于再次激活在服務(wù)器和所述客戶端計(jì)算機(jī)之間的安全的通信連接的過(guò)程。
2. 如權(quán)利要求l所述的方法，其特征在于，在服務(wù)器和客戶端計(jì)算 機(jī)之間的安全的通信連接按照因特網(wǎng)安全協(xié)議IPSec根據(jù)IETF的RFC 2401和/或RFC 4301來(lái)進(jìn)行。
3. 如權(quán)利要求1至2中任一項(xiàng)所述的方法，其特征在于，所述數(shù)據(jù) 包被所謂的啟動(dòng)軟件發(fā)送(3),所述啟動(dòng)軟件在服務(wù)器上在操作系統(tǒng) 軟件和應(yīng)用的運(yùn)行之間;波實(shí)施。
4. 如權(quán)利要求1至3中任一項(xiàng)所述的方法，其特征在于，所述數(shù)據(jù) 包被發(fā)送至客戶端計(jì)算機(jī)的所有地址(4),其中對(duì)于所述客戶端計(jì)算 機(jī)在服務(wù)器上配置有安全的通信連接。
5. 如權(quán)利要求4所述的方法，其特征在于，用于發(fā)送數(shù)據(jù)包的地址 從所謂的因特網(wǎng)密鑰交換策略文件中讀出(4)。
6. 如權(quán)利要求1至5中任一項(xiàng)所述的方法，其特征在于，所述數(shù)據(jù) 包被發(fā)送至如下客戶端計(jì)算機(jī)的地址(4),即針對(duì)所述客戶端計(jì)算機(jī) 直至重新起動(dòng)為止設(shè)置有有效的安全的配置連接。
7. 如權(quán)利要求6所述的方法，其特征在于，由服務(wù)器將如下客戶端 計(jì)算機(jī)的地址存儲(chǔ)在文件中，即在所述服務(wù)器重新起動(dòng)之后與所述客戶端計(jì)算機(jī)建立安全的通信連接。
8. 如權(quán)利要求1至7中任一項(xiàng)所述的方法，其特征在于，為了觸發(fā) 用于再次激活安全的通信連接的過(guò)程，按照用戶數(shù)據(jù)報(bào)協(xié)議UDP的數(shù) 據(jù)包被發(fā)送(3)。
9. 如權(quán)利要求8所述的方法，其特征在于，在按照UDP協(xié)議的數(shù) 據(jù)包的情況下，作為目標(biāo)端口號(hào)一起發(fā)送較高的端口號(hào)。
全文摘要
本發(fā)明涉及一種用于在服務(wù)器重新起動(dòng)之后再次激活在客戶端計(jì)算機(jī)和服務(wù)器之間的安全的通信連接的方法，其中所述安全的通信連接被設(shè)置在服務(wù)器和客戶端計(jì)算機(jī)之間用于傳輸數(shù)據(jù)。因此在所述服務(wù)器重新起動(dòng)或重新啟動(dòng)之后將數(shù)據(jù)包發(fā)送至客戶端計(jì)算機(jī)的地址(3)，其中由服務(wù)器根據(jù)客戶端計(jì)算機(jī)的地址來(lái)識(shí)別出，為了傳輸所述數(shù)據(jù)到所述客戶端計(jì)算機(jī)設(shè)有安全的通信連接(4、5)。但所述安全的通信連接因所述服務(wù)器的重新起動(dòng)已被中斷。通過(guò)將所述數(shù)據(jù)包發(fā)送至所述客戶端計(jì)算機(jī)的地址，于是觸發(fā)用于再次激活在服務(wù)器和所述客戶端計(jì)算機(jī)之間的安全的通信連接的過(guò)程(6、8)。通過(guò)本發(fā)明所實(shí)現(xiàn)的優(yōu)點(diǎn)特別是在于，直接在服務(wù)器重新起動(dòng)之后以簡(jiǎn)單的方式觸發(fā)對(duì)安全通信連接的再次激活，由此使得在服務(wù)器和客戶端計(jì)算機(jī)之間的可能的通信故障保持得短暫。此外，采用本發(fā)明的方法在服務(wù)器上不產(chǎn)生額外的管理耗費(fèi)。
文檔編號(hào)H04L29/06GK101529857SQ200780038915
公開(kāi)日2009年9月9日 申請(qǐng)日期2007年7月11日 優(yōu)先權(quán)日2006年8月17日
發(fā)明者J·拉姆哈特 申請(qǐng)人:諾基亞西門(mén)子通信有限責(zé)任兩合公司