技術領域

本發明涉及網絡安全性的領域，并且更具體地涉及通信路徑中的加密數據的安全性實施點(enforcement?point)處理。

背景技術

因特網安全性已經日益成為參與全球可接入計算機網絡的信息技術專家的焦點。尤其是，利用寬帶因特網接入的可用性和可承受性，即使在小型企業中，許多計算機和小型計算機網絡享有對因特網的連續接入。然而，連續的高速接入成本較高。特別地，那些因此保持與因特網的安全性危險斷開的計算機和計算機網絡現在已經變成了惡意因特網不法分子(malfeasor)的主要目標。

為了解決暴露于全球因特網的計算設備的弱點，信息技術旨在通過安全通信為因特網中的數據提供真正的端到端安全性。傳輸層安全性(TLS)及其前身安全套接字層(SSL)是密碼協議，其為諸如web瀏覽、電子郵件、因特網傳真、即時消息收發以及其他數據傳輸之類的這些事物提供了因特網上的安全通信。在SSL?3.0和TLS1.0之間存在輕微差別，但是協議基本上保持相同。在操作中，TLS包括兩個處理階段。首先，存在密鑰交換或者“握手”階段，在該階段中服務器和客戶端嘗試就用于數據傳輸的加密工具達成一致。隨后，執行總體加密(bulk?encryption)或者數據傳輸階段，在該階段中使用達成一致的加密工具傳送期望的內容。

在兩個TLS端點之間定義的安全通信路徑經常并入一個或者多個安全性實施點，諸如虛擬專用網絡(VPN)/防火墻。安全性實施點通常與除了支持安全性實施點主機邏輯的計算設備之外的任何其他計算設備沒什么不同，其中所述邏輯包括實現支持諸如IP分組過濾、指令檢測、負載平衡以及服務質量(QoS)設置管理之類的安全性服務的程序代碼。但是，在安全性實施點已被置于TLS安全通信路徑的中部時，實施點在穿越數據中將無法訪問明文(cleartext)數據。因此，安全TLS通信路徑中的安全性實施點的安全性功能將變得無法實行，因為大多數安全性功能要求訪問未加密的、明文數據。

作為響應，用戶經常在不運行加密(或者至少不對整個通信路徑運行加密)或者在逐個跳躍(hop-by-hop)的基礎上運行加密之間進行選擇，使得明文在實施點處可用。在后一種情況下，即使整個通信路徑在逐個跳躍配置中已經受到端到端保護，但是作為整體的認證不是端到端的。而是，給定節點僅認證下一跳躍節點。額外的，在逐個跳躍配置中，連同專用密鑰和證書一起的TLS服務器密鑰和證書必須存儲在每個實施點，這是不期望的結果。

已經提出了其他TLS代理方法以提供安全性網關和SSL知曉的實施點。這些提議通常涉及共享TLS服務器端點的證書和專用密鑰，其中專用密鑰用于監控會話，或者在實施點中終止客戶端到服務器會話(逐個跳躍加密)。但是額外地，已經提出了其他密鑰恢復方案從而節省中央密鑰恢復服務器中來自TLS會話的密鑰，使得記錄的TLS會話的明文在稍后時刻可以被恢復。

發明內容

本發明的實施方式解決了本領域中關于TLS安全通信路徑中的安全性實施點可操作性的缺點并且提供一種用于與信任的實施點安全共享TLS會話密鑰的新穎且非顯而易見的方法、系統以及計算機程序產品。在本發明的一個實施方式中，可以提供一種用于與信任的實施點安全共享TLS會話密鑰的方法。該方法可以包括與TLS客戶端進行TLS握手從而提取并且解密用于與穿越至少一個安全性實施點的TLS客戶端的TLS會話的TLS密鑰。該方法進一步可以包括將含有會話加密密鑰的TLS會話信息提供給通信耦合的密鑰服務器從而分發給至少一個安全性實施點。最后，該方法可以包括在TLS會話上參加與TLS客戶端的安全通信。

在本發明的一個方面中，該方法可以包括：抑制(withhold)與TLS客戶端的TLS握手的完成直到從耦合的密鑰服務器接收以下確認，即至少一個安全性實施點已經安裝了包含會話密鑰的TLS會話信息，所述會話密鑰用于解密從TLS客戶端用于穿越安全性實施點的TLS安全凈荷的經加密的數據。此后，只要一旦已經接收了確認時可以完成TLS握手。在本實施方式的另一方面中，將含有會話密鑰的TLS會話信息提供給通信耦合的密鑰服務器從而分發給至少一個安全性實施點可以包括：將含有會話密鑰的TLS會話信息提供給通信耦合的密鑰服務器從而分發給至少一個安全性實施點中進行訂閱的那些，或者分發給至少一個安全性實施點中進行請求的那些。