CN104067595A - 用于在网络环境中的传输层安全会话票证的创新管理的***和方法 - Google Patents

用于在网络环境中的传输层安全会话票证的创新管理的***和方法 Download PDF

Info

Publication number
CN104067595A
CN104067595A CN201380006256.7A CN201380006256A CN104067595A CN 104067595 A CN104067595 A CN 104067595A CN 201380006256 A CN201380006256 A CN 201380006256A CN 104067595 A CN104067595 A CN 104067595A
Authority
CN
China
Prior art keywords
session
tls
ticket
token
hashed value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201380006256.7A
Other languages
English (en)
Other versions
CN104067595B (zh
Inventor
S·布鲁加纳哈利
V·维萨姆塞蒂
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
McAfee LLC
Original Assignee
McAfee LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by McAfee LLC filed Critical McAfee LLC
Publication of CN104067595A publication Critical patent/CN104067595A/zh
Application granted granted Critical
Publication of CN104067595B publication Critical patent/CN104067595B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/146—Markers for unambiguous identification of a particular session, e.g. session cookie or URL-encoding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

示例方法包括识别在客户端和服务器之间的传输层安全(TLS)会话，解析一个或多个TLS消息以识别与会话相关联的会话票证，将会话票证转换成固定尺寸的会话令牌，以及使用会话令牌来管理会话以识别会话。转换可包括使用散列算法计算会话票证的散列值。如果TLS消息中的任一个跨多于一个TLS协议记录散布，则该方法可包括使用散列算法计算在TLS协议记录中遇到的会话票证的一部分的散列值，根据之前计算的散列值递增地计算在随后的TLS协议记录中遇到的会话票证的另一部分的另一散列值，以及重复递增计算直到会话票证的各部分被处理。

Description

用于在网络环境中的传输层安全会话票证的创新管理的***和方法
技术领域
本公开通常涉及网络安全的领域，且更具体地涉及用于在网络环境中的传输层安全会话票证的创新管理的***和方法。
背景技术
私有和公共、物理和虚拟网络的激增导致对信息的空前访问，而同时增加了来自各种威胁(包括恶意软件、零日攻击、僵尸网络、拒绝服务企图、以及先进针对性攻击)的对网络的未授权访问的风险。而且，因为企业合并数据中心、采用云服务、并虚拟化关键基础设施，它们越来越多地寻找跨物理和虚拟基础设施以统一安全管理的方法，例如通过提供针对多种网络攻击的实时威胁预防的综合网络安全解决方案。
附图说明
为了提供对本公开及其特征和优点的更完全的理解，以下的描述中结合附图给出参考，其中相似的参考数字表示相似的部分，其中：
图1是用于网络环境中的传输层安全(TLS)会话票证的创新管理的通信***的一个实施例的简化图；
图2是示出TLS消息的示例交换的简化流程图；
图3是示出示例TLS会话票证的简化图；
图4是根据通信***的实施例的示出细节的简化方框图；以及
图5是根据本公开的示出可与通信***的实施例相关联的一组示例活动的简化流程图。
具体实施例
概述
示例方法包括识别在客户端和服务器之间的传输层安全(TLS)会话，以及解析一个或多个TLS消息以识别与会话相关联的会话票证。术语“解析”在这个意义上包括任何类型的评估、判定、处理、分割、分析等。该方法还包括将会话票证转换(例如改变、修改、变换、计算等)成固定(例如小的)尺寸会话令牌，以及使用会话令牌来管理会话以识别会话。在一些实施例中，会话票证在尺寸上范围从32字节到64千字节。
在特定的实施例中，转换可包括使用散列算法计算会话票证的散列值并将散列值指派给会话令牌。如果TLS消息中的任一个跨多于一个TLS协议记录散布，则该方法包括使用散列算法计算在第一TLS协议记录中遇到的会话票证的一部分的散列值，根据之前计算出的散列值递增地计算在随后的TLS协议记录中遇到的会话票证的另一部分的散列值，以及重复递增计算直到会话票证的各部分已被处理。在特定的实施例中，散列算法可选自包括下列项的组：GOST、MD5、SHA-1、SHA-256、RIPEMD-160、以及WHIRLPOOL。
在其它实施例中，管理会话可包括选自包括下列活动的组的至少一个活动：将会话令牌分配给一个或多个处理元件；使用会话令牌将TLS会话映射到之前的TLS会话；以及执行网络安全操作以探测对由会话令牌和其它特征识别出的TLS会话的网络攻击。
示例实施例
转到图1，图1是根据本公开的实施例的用于网络环境中的传输层安全(TLS)会话票证的创新管理的通信***10的简化方框图。图1的架构可包括在TLS会话中与一个或多个服务器14通信的一个或多个客户端12。传感器16横跨TLS通信会话，并监控在客户端12和服务器14之间的网络流量以找到任何网络攻击。服务器14可将特定TLS会话的会话状态封装到会话票证18中，并将它转发到客户端12。客户端12可随后使用会话票证18继续会话。根据TLS标准，会话票证18可具有范围从32字节到64千字节的可变尺寸。为了通过传感器16容易管理TLS会话，与传感器16相关联的转换器20可促进将会话票证18从可变尺寸转换到小固定尺寸的令牌。
TLS是提供在互联网上的通信安全的加密协议。TLS使用用于密钥交换的非对称加密、对私密性的对称加密、和消息完整性的消息认证代码，对在传输层之上(例如应用层、表示层、会话层)的网络连接的分段加密。TLS协议允许客户端-服务器应用以被设计成防止窃听和篡改的方式跨网络通信。每一方(例如客户端12、服务器14、以及传感器16)为每个会话保存会话信息(例如会话票证18、同级设备的X.503证书、压缩方法、密码规范、主秘密等)和连接信息(例如，用于加密的服务器和客户端密钥、密码的初始化向量等)，直到会话被终止。
例如，假设客户端12和服务器14已决定使用TLS协议用于通信会话。客户端12和服务器14通过使用握手过程来协商状态连接。会话票证18可由服务器14在握手期间创建并被发送到客户端12。会话票证18可用于使用一组相关联的主秘密、加密算法等来识别特定的TLS会话。如果会话由于任何原因被中断，则客户端12可向服务器14呈现会话票证18以继续会话。会话票证18可被认证并加密以防止由攻击者修改或窃听。
会话票证18在不透明结构(例如对客户端12不透明)中用于携带会话特定状态信息。例如，会话票证18允许：(i)客户端12给服务器14提供它正联系的服务器的名称(例如为了促进安全连接到在单个基础网络地址处作为多个虚拟服务器的主机的服务器)；(ii)客户端12和服务器14协商待发送的最大分片长度(例如为了符合在一些客户端当中的存储器约束和在一些接入网络当中的带宽约束)；以及(iii)在客户端12和服务器14之间交换与特定的TLS会话有关的其它信息。当传感器16处理TLS通信会话以寻找网络侵入时，它可在其存储器元件中分派数据结构，所述存储器元件大到足以保存64千字节，因为特定会话的会话票证的尺寸不是提前已知的，且可能是可变的。
根据各种实施例，传感器16可以是为了探测和防止网络侵入、网络滥用、以及分布式拒绝服务(DoS)攻击连同其它网络威胁而构建的内容处理器具。传感器16如由网络管理员配置的可提供实时流量监控以探测恶意活动并对恶意活动做出响应。例如，传感器16可分析在选定网络分段上的流量并在探测到攻击时做出响应。在各种实现中，传感器16可检查网络分组的报头和数据部分，寻找在网络流量中指示恶意活动的模式和行为。传感器16可根据用户配置的规则来检查分组。如果探测到攻击，则传感器16可根据它的所配置的规则做出响应(例如产生警报和分组日志、重置TCP连接、清除恶意分组等)。在各种实施例中，传感器16可通过提供网络分组内容检查并抵御被防火墙可能感知为看似良性的网络流量内嵌入的攻击，来补充在企业中部署的防火墙和反病毒软件。
在特定的实施例中，传感器16可向其基本协议元件分析并验证网络流量(例如在客户端12和服务器14之间)，并检查特定的协议字段，同时维持完全流和应用状态。传感器16可执行IP分片重新组合和传输控制协议(TCP)流重新组合，并执行彻底的协议分析。一旦分组被捕获，分组就可被分析成其相应的协议字段。在传感器16分析协议之后，它证实分组符合协议规范,并接着通过其引擎传递所解析的分组以探测各种类型的网络攻击。“网络攻击”是以阻碍、损坏、无效化、或破坏网络的安全为意图所采取的任何未授权行动。网络攻击可以是主动的，其中目标是直接利用在设备或软件封装中的某种漏洞。网络攻击也可以是被动的，通常包括以观看或捕获敏感数据为意图的对流量的监控或窃听。
在各种实施例中，多个客户端12可通过传感器16参加与一个或多个服务器14的TLS会话。传感器16可根据相应的所有者基于每个流的会话票证来分开各种网络流，并对每个这样的流执行分析。例如，传感器16可通过其相应的会话票证来识别每个流。因为相应的会话票证的尺寸对于每个流是可变的，传感器16可为每个流分派64千字节的存储器，从而将约束置于传感器16内的存储资源和附属网络器具(例如管理器器具、路由器等)上。指派大的数据结构以识别特定的TLS会话也可增加中央处理单元(CPU)对查找表的利用率，其中长会话票证可与为处理协议的每个新连接或中间器具存储的其它会话票证匹配。
为了减轻这样的忧虑(除了别的以外)，传感器16中的转换器20可通过应用一般或专用算法将会话票证18转换成独特的小固定尺寸的令牌，例如32字节。小固定尺寸的令牌可帮助优化在传感器16内的以每连接为基础的资源的分派，例如解析、存储、分配(例如到多核心***中的处理元件)、CPU利用等，因而有助于传感器16和相关联部件例如服务器具、路由器、交换机等的总体性能和比例调整。
转换器20是可在传感器16上或在其它网络元件上实现以促进本文讨论的活动的应用(例如计算机程序)。转换器20可与传感器16和/或其它网络元件和相关联的***软件绑定，或它可被单独地公布。如在本文使用的，术语“网络元件”意指包括计算机、网络器具、服务器、路由器、交换机、网关、桥、负载均衡器、防火墙、处理器、模块、或可操作用来在网络环境中交换信息的任何其它合适的设备、部件、元件、或对象。而且，网络元件可包括促进其中操作的任何适当的硬件、软件、部件、模块、接口、或对象。这可包括允许数据或信息的有效交换的适当的算法和通信协议。
图1的元件可通过使用任何合适连接(有线或无线)的一个或多个接口耦合到彼此，该连接提供电子通信的可行通路。此外，图1的这些元件中的任一个或多个可基于特定的配置需要而被组合或从架构移除。通信***10可包括能够进行传输控制协议/互联网协议(TCP/IP)通信的配置，用于网络中的分组的电子传输或接收。通信***10也可在适当的场合并基于特定的需要，结合用户数据报协议/IP(UDP/IP)或任何其它合适的协议来操作。
转到图1的基础设施，传感器16被示为在客户端12和服务器14之间的联机模式中，在客户端12和服务器14之间传达流量流，并在恶意分组到达其预期目标之前基于粒度规则丢弃恶意分组。在各种实施例中，传感器16可部署在端口群集中，使在单个设备(例如路由器或交换机)上的多个端口所监控的流量能够聚集到一个流量流中用于状态检查分析。在其它实施例中，通信***10可使用冗余传感器支持高可用性部署，避免单点故障。也可在交换机端口分析器(SPAN)和跟踪分析(tap)模式中使用传感器16。在SPAN模式中，传感器16可监控在多个交换机上的集线器或SPAN端口，并可注入几个响应行动，例如TCP重置，以通过监控端口本身来终止恶意连接。在跟踪分析模式中，全双工监控可允许网络流量的方向敏感视图，实现流量的状态分析。在网络具有穿过两个不同传感器接口的两个不同活动路径的实施例中，在每个路径上的流量可被独立地分析。
传感器16可设置在处理TLS协议的任何设备(包括服务器、负载均衡器、SSL/TLS终端器具、代理、网络缓存引擎、解密引擎、侵入防止***、防火墙、或其它安全器具)上，或形成这些设备的整体部分，或与这些设备相关联。转换器20可在使用如网页浏览器等的TLS的任何应用上实现。在客户端12和服务器14之间的每个网络连接可由多于一个传感器16处理。而且，多个传感器可部署在每个网络中，且每个传感器可设置有转换器20。
在图1中未示出的是可与传感器16相关联的部件，例如管理器硬件/控制器、路由器、交换机、以及其它网络元件。例如，与传感器16相关联的管理器平台可包括作为管理器平台软件的主机的专用服务器，用来配置/控制传感器16的操作。管理器平台可允许从企业网内远程访问传感器16。通信***10还可包括可与传感器16通信的数据库(例如用于存储持久配置信息、规则、漏洞、会话票证表等)。与传感器16相关联的各种部件可提供收集并分析来自主机和应用的流量以探测蠕虫、僵尸网络等。
如在本文使用的，术语“客户端”和“服务器”包括执行与客户端/服务器分布式计算机联网架构相关联的功能的应用(例如网页浏览器)和设备(例如计算机、膝上型计算机、移动电话、移动计算设备、大型计算机等)。客户端(例如12)一般在网络上从服务器(例如14)例如通过发送消息来请求并接收信息。服务器(例如14)可通过作用于每个请求并返回结果来响应它们的客户端。一个服务器(例如14)通常支持多个客户端(例如12)，且多个服务器可在池中联网在一起，以当客户端的数量增长时处理增加的处理负荷。在一些情况下，设备(其对一个应用来说是服务器)可同时针对不同应用作为其它服务器的客户端。
通信***10的网络提供在图1的任何部件之间的通信接口，且可以是任何局域网(LAN)、无线局域网(WLAN)、城域网(MAN)、广域网(WAN)、虚拟专用网(VPN)、内联网、或在网络环境中促进通信的任何其它适当的架构或***。在本公开的特定实施例中，网络可实现UDP/IP连接并使用TCP/IP通信语言协议。然而，网络可以替代地实现用于在通信***10内传输并接收数据分组的任何其它合适的通信协议。
为了说明通信***10的某些示例技术的目的，理解可遍历网络的通信很重要。下面的基本信息可被视为基础，可根据该基础正确地解释本公开。这样的信息仅为了解释的目的而被认真地提供，且因此不应被解释为以任何方式限制本公开及其潜在的应用的宽泛范围。
TLS协议的目标是提供两个通信应用之间的私密性和数据完整性。协议由两层组成：作为较下层的TLS记录协议和作为较上层的TLS握手协议。TLS记录协议(其在一些可靠的传输协议例如TCP之上被分层)提供具有两个属性的连接安全性：(i)连接是私有的；以及(ii)连接是可靠的。为了确保连接的私密性，对称加密被用于数据加密。用于这个对称加密的密钥针对每个连接唯一地产生，并基于由另一协议(例如TLS握手协议)协商的秘密。TLS记录协议也可在没有加密的情况下使用。
消息传输包括使用有密钥的消息认证代码(MAC)的消息完整性检查。安全散列函数(例如SHA-1等)用于MAC计算。TLS记录协议是分层协议。在每层，消息可包括长度、描述、以及内容的字段。TLS记录协议携带待传输的消息，将数据分片成可管理的块，可选地压缩数据，应用MAC，加密，并传输结果。所接收的数据被解密、验证、解压缩、重新组合、并接着传递到更高级客户端。
TLS记录协议用于封装允许服务器和客户端认证彼此并在应用协议传输或接收其第一字节的数据之前协商加密算法和加密密钥的各种较高级协议，例如TLS握手协议。TLS握手协议提供具有三个特性的连接安全性：(i)同级设备的身份可使用非对称或公共密钥、加密方法来认证；(ii)共享秘密的协商是安全的(例如，所协商的秘密是窃听者不可得到的，且对于任何所认证的连接，秘密甚至不能由可将自己置于连接的中间的攻击者得到)；以及(iii)协商是可靠的(例如，没有攻击者可修改协商通信，而不由通信方探测到)。
转到图2，图2是示出在支持会话票证的实现中的TLS握手协议的简化流程图。图2所示的示例协议是根据TLS标准，例如由Internet EngineeringTask Force(IETF)standards track提出的Request for Comments(RFC)4507。使用TLS协议的通信通过TLS消息方式而出现，TLS消息建立一组协商的安全算法。TLS协议以协议记录的形式交换消息，协议记录封装待交换的数据。每个协议记录可被压缩、填补、附加有MAC、或加密等，取决于连接的状态。每个记录可包括规定记录的内容类型字段、长度字段、和TLS版本字段。单个TLS记录可在长度上多达16384个八位字节，但TLS消息可跨越多个TLS记录。在很多实现中最大可接受的消息长度的合理选择可以是64KB。
例如，客户端12可指示它通过将会话票证扩展部分包括在ClientHello消息30中来支持用于会话票证18的机制。如果客户端12不是已经拥有服务器14的会话票证(例如在新连接中)，则扩展部分可以是空的。如果客户端12拥有它想使用来继续会话的会话票证，则它可将会话票证包括在ClientHello消息30中的会话票证扩展部分中。服务器14可使用ServerHello消息32中的空会话票证扩展部分做出响应以指示它将之后发送新的会话票证。
在某些情况下，服务器14使用ServerHello消息32发送ServerKeyExchange消息，包括建立共享秘密所需的额外信息(例如用于RSA导出密钥交换的512位导出等级RSA密钥)。如果服务器14希望客户端12认证自己，则它也发送列出可接受的证书类型和客户端的证书链的证书授予机构名称的CertificateRequest消息。
如果服务器14请求客户端认证，则客户端12使用以下内容来开始其响应消息34：包括其证书链的证书消息、ClientKeyExchange消息(包括判定共享秘密所必需的任何信息)、和包括到那一点在握手消息的摘要上的其签名的CertificateVerify消息。客户端12还发送ChangeCipherSpec消息，用信号通知它的交换机最新协商的参数和秘密密钥。在安全参数被约定之后，改变密码规范消息在握手期间被发送。客户端12最后发送包括握手消息的摘要的加密和压缩已完成消息。
服务器14也反过来发送ChangeCipherSpec消息和包括握手消息的摘要的已完成消息(直到客户端的已完成消息)。服务器14可将其会话状态(例如密码系列和主秘密)存储到票证，其由仅服务器14已知的密钥加密和保护完整性。票证使用NewSessionTicket消息36被分配到客户端，消息36包括在用于创建并验证已完成消息的散列中。客户端12缓存这个票证连同主秘密和与当前会话相关联的其它参数。当客户端12希望继续会话时，它包括在ClientHello消息30内的会话票证扩展部分中的票证。服务器14接着对所接收的票证解密，验证票证的有效性，从票证的内容取回会话状态，并使用这个状态来继续会话。应用数据38可随后被加密并在客户端12和服务器14之间交换。
转到图3，图3是示例会话票证18的简化图。会话票证18可以对客户端12是不透明的，所以结构不受互操作性忧虑影响，且实现可脱离这个格式。图3所示的示例结构是根据TLS标准，例如RFC5077。会话票证18可包括密钥名称，其可识别用于保护会话票证18的一组特定的密钥。密钥使服务器14能够容易识别它发出的票证。在一个实现中，密钥名称可随机地产生。
状态信息40使用高级加密标准(AES)的128位密钥在具有给定的初始化向量(IV)的密码块链接(CBC)模式加密中被加密。可在key_name(16个八位字节)和IV(16个八位字节)(后面是encrypted_state字段(2个八位字节)及其内容(可变长度)的长度)上使用散列算法，例如基于散列的消息认证代码-安全散列算法256(HMAC-SHA-256)来计算MAC。状态信息40的内容可包括协议版本、密码组、压缩方法、主秘密、客户端身份、客户端认证类型等。各种实现可存储不同的信息；例如Kerboros认证机制可存储可不同于图3所示的示例的客户端身份数据。
会话票证18可防止在TLS会话中的安全性缺口。例如，如果窃听者得到会话票证并试图使用票证来建立与服务器的会话，因为票证被加密且攻击者不知道密钥，被盗票证不帮助攻击者继续会话。在另一示例中，恶意用户可伪造或改变票证以便继续会话、延长其寿命、假扮为另一用户、或得到额外的特权。然而，如果使用强完整性保护算法，例如有秘钥的HMAC-SHAl保护票证，则这样的攻击是不可能的。因此，出于各种安全考虑因素，包括在会话票证中携带的信息的量，会话票证的尺寸是可变的，范围从32字节到64千字节(与固定长度(32字节)的安全套接层(SSL)会话标识符不同)。
TLS是用于提供应用安全性的默认标准，并由用于处理安全事务的几个客户端/服务器应用全局地广泛地使用。TLS会话票证被定义为克服在以前的SSL/TLS协议中看到的一些安全问题和限制。实现没有状态的会话继续的TLS会话票证是相对新的且得到牵引力，用于由支持超文本传输协议安全(HTTPS)的服务器和由各种终端***应用如网页浏览器等使用。然而，TLS通常使用用于加密/解密的RSA认证算法，导致在计算上昂贵的过程。例如，TLS网页服务器相对于在同一平台上运行的常规网页服务器引起相当大的性能损失。通过重新使用会话票证的会话缓存可帮助加速TLS计算；然而，由于会话票证的大的可用尺寸，会话缓存将额外的约束置于存储资源、查找表等上。处理TLS协议的任何设备例如服务器、负载均衡器、SSL/TLS终端应用、代理、网络缓存引擎、解密引擎、防火墙、或任何安全器具和应用如网页浏览器等，可能面对资源约束，例如每连接的存储器、分布和CPU周期。这可影响总体处理能力(例如性能、带宽等)，导致减小的可扩展性。
根据各种实施例的通信***10可在提供在网络环境中的TLS会话票证的创新管理中克服这些问题(和其它问题)。转到图4，图4是示出通信***10的细节的简化方框图。会话票证18可由转换器20处理成可具有小固定尺寸(例如32字节或20字节等)的会话令牌50。转换器20中的解析器52检查在客户端12和服务器14之间的连接是否是SSL或TLS。对于TLS连接，解析器52从消息(例如ClientHello消息30、ServerHello消息32、NewSessionTicket消息36等)识别会话票证18。
散列54可将可变的会话票证数据馈送到散列算法以产生会话令牌50。散列算法可在硬件例如处理器56和存储器元件58上实现。散列算法可实质上是任何加密散列算法，包括以下各项之一：GOST、MD5、SHA-1、SHA-256、RIPEMD-160、以及WHIRLPOOL。会话令牌50的尺寸可随着所使用的特定散列算法而改变。例如，专用散列算法可将尺寸64千字节的会话票证18转换成尺寸32字节的会话令牌50；MD5可产生尺寸16字节的会话令牌50；SHA-1算法可产生20字节的会话令牌50；GOST可产生32字节的会话令牌50；WHIRLPOOL可产生64字节的会话令牌50。
在一个示例中，MD5可将可变长度会话票证18处理成固定长度会话令牌50(例如具有16字节)。在一些实现中，会话票证18可分片成512位块的大块；会话票证18可被填补，使得它的长度可被512整除。填补可通过将单个位1附加到会话票证18的末尾来实现，后面是按要求多的零，使消息的长度一直加到少于512的倍数的64位。其余位用64位小端字节整数来填补，其中64位小端字节整数代表以位形式的原始消息(例如会话票证18)的长度。128位(16字节)MD5散列(例如会话令牌50)通常被表示为32个十六进制数字的序列。
在一些实施例中，会话票证18(最大尺寸64千字节)可跨几个TLS协议记录分割/分片。这可出现在例如当NewSessionTicket消息36跨越多个协议记录时。在一些这样的实施例中，递增散列可在各种协议记录(例如通过状态的方式被跟踪)上被计算成会话令牌50。例如，可对在第一个遇到的TLS协议记录中的会话票证的一部分计算散列μ。可使用合适的递增散列方法对来自旧有散列μ的下一协议记录计算新散列μ*。该过程可继续，直到包含会话票证18的部分的所有TLS协议记录被处理。作为结果的散列值可被分配到会话令牌50。
在另一实施例中，可对会话票证的一部分解析每个TLS协议记录，并可将会话票证的该部分存储在分片中。分片可聚集以产生包含在会话票证18中的信息。因为会话票证18减小到固定尺寸的会话令牌50(例如具有32字节)，它可配合在一个缓存行中，且因此比较可以更快，从而减小在这样的票证的分布和存储中的复杂性。用于将可变尺寸会话票证18转换成固定尺寸会话令牌50的各种其它散列方法可在本公开的宽泛的范围内实现。
可使用会话令牌50来代替会话票证18以管理在传感器16和相关联部件内的会话。在一个实施例中，在会话令牌50产生之后，会话票证18可由传感器16丢弃。在另一实施例中，会话票证18可被存储而不被丢弃。根据各种实施例，会话令牌50可由分配器60使用来例如将其中信息分配到各种处理核心以执行与传感器16相关联的功能。会话令牌50可由映射器62使用来例如使其中的信息与包含在会话票证表64中的信息匹配。会话票证表64可包括与状态有关的信息和由传感器16处理的每个网络流的其它参数。
传感器16可处理在由相应的会话令牌50识别的每个网络流中的分组。在一些实施例中，传感器16可使用在会话票证18中提供的信息解密TSL流量，并被存储为会话令牌50。一旦被解密，传感器16就可检查流量寻找侵入。例如，可以检查到来的分组以寻找匹配已知的攻击签名的串。结论可被总结并连同由会话令牌50表示的网络流标识符一起被发送到适当的响应模块。适当的规则和响应可在由会话令牌50识别的网络流上实现。
在各种实施例中，协议版本和会话票证18的存在或不存在可被维持在每连接状态变量中。TLS协议记录可单独地被解析以得到尺寸和其它会话票证数据。TLS协议记录可包含管理下列功能中的一个或多个的信息：(i)将外发消息划分成可管理的块，并重新组合到来的消息；(ii)压缩外发块并对到来的块解压缩；(iii)将MAC应用于外发消息，并使用MAC验证到来的消息；以及(iv)对外发消息加密并对到来的消息解密。
转到图5，图5是示出可与通信***10的实施例相关联的示例操作的简化流程图。操作100在102处开始，此时客户端12发起与服务器14的TLS会话。在104，解析器52可解析协议交换消息以识别会话是否是TLS会话或SSL会话。在106，做出关于会话是否是TLS会话的判定。如果会话是SSL会话，则操作在108结束。否则，如果会话是TLS会话，则可在110识别会话票证18。协议版本，以及会话票证18的存在/不存在，可在112被维持在状态变量中。在114，TLS协议记录可被解析以判定包含在会话票证18中的数据。在一些情况下，所有数据可存在于包括会话票证18的一个数据分组中。在其它情况下，数据可跨几个数据分组散布，取决于分组长度的尺寸。
在116，会话票证数据可被馈送到散列54用于使用合适的散列算法来处理。在118，可以产生会话令牌50。在120，会话令牌50(而不是会话票证18)可用于通过传感器16管理会话。例如，传感器16可将会话令牌50分配到多个处理元件；使用会话令牌50将会话映射到以前的会话；执行网络安全操作以探测对由会话令牌50识别的会话的网络攻击；以及使用会话令牌50按需要执行其它操作以识别特定的会话。例如当会话被终止时，操作在122结束。
虽然通信***10在本文被描述为促进转换在TLS会话中的会话票证18，可注意到，本文描述的***和操作然而可通常应用于将SSL或TSL协议所特有的任何其它大或可变尺寸数据结构转换成小固定尺寸的令牌，用以节省CPU带宽、管理、增强的性能折衷和按比例调整。例如，整个SSL/TLS证书或证书的部分，例如公共密钥可转换成相应的小固定尺寸的令牌。
在示例实施例中，在本文概述的活动的至少一些部分可在例如传感器16中(或客户端12或服务器14中)设置的非暂时性逻辑(即，软件)中实现。这可包括设置在网络的各个位置上的转换器20(例如包括解析器52和/或散列54)的一个或多个实例。在一些实施例中，这些特征中的一个或多个可以以硬件实现、在这些元件外部提供、或以任何适当的方式合并，以实现预期的功能。传感器16、客户端12、和/或服务器14可包括可协调以便实现如本文概述的操作的软件(或往复式软件)。在又一些其它实施例中，这些元件可包括促进其中操作的任何合适的算法、硬件、软件、部件、模块、接口、或对象。
此外，在本文描述和显示的通信***10的部件还可包括用于在网络环境中接收、传输、和/或另外通信数据或信息的合适接口。此外，与各种网络元件相关联的处理器和存储器中的一些可被移除或者另外合并，使得单个处理器和单个存储器位置负责某些活动。在通常意义上，在附图中描绘的布置可能在它们的表示中是符合逻辑的，而物理架构可包括这些元件的各种置换、组合和/或混合。必须注意，无数可能的设计配置可用于实现这里概述的操作目标。因此，相关联的基础设施具有无数替代布置、设计选择、设备可能性、硬件配置、软件实现、设备选项等。
在一些示例实施例中，一个或多个存储器(例如存储器元件58)可存储用于本文描述的操作的数据。这包括存储器能够存储被执行来实现在这个说明书中描述的活动的指令(例如软件、逻辑、代码等)。处理器可执行与数据相关联的任何类型的指令以实现在这个说明书中在这里描述的操作。在一个示例中，一个或多个处理器(例如处理器56)可将元件或物品(例如数据)从一种状态或事物转换成另一状态或事物。在另一示例中，在本文中概述的活动可使用固定逻辑或可编程逻辑(例如由处理器执行的软件/计算机指令)来实现，且在本文标识的元件可以是某种类型的可编程处理器、可编程数字逻辑(例如现场可编程门阵列(FPGA)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM))、包括数字逻辑、软件、代码、电子指令的ASIC、闪存、光盘、CD-ROM、DVDROM、磁卡或光卡、适合于存储电子指令的其它类型的机器可读介质、或其中任何合适的组合。
这些设备可在适当时和基于特定的需要进一步将信息保存在任何合适类型的存储器元件(例如随机存取存储器(RAM)、只读存储器(ROM)、现场可编程门阵列(FPGA)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)等)、软件、硬件中，或在任何其它合适的部件、设备、元件、或对象中。可基于特定的需要和实现，在任何数据库、寄存器、表、缓存、队列、控制列表、或存储结构中提供被跟踪、发送、接收、或存储在通信***10中的信息，其中所有可在任何合适的时间帧中参考。本文讨论的任何存储器项目应被解释为包括在宽泛术语“存储器元件”内。类似地，在这个说明书中描述的任何潜在的处理元件、模块、以及机器应被解释为包括在宽泛的术语“处理器”内。
注意，使用本文提供的多个示例，可从两个、三个、四个、或更多个网络元件方面描述交互作用。然而，这仅为了清楚和示例的目的而完成。应认识到，可以用任何合适的方式合并***。连同类似的设计可选方案，附图的所示计算机、模块、部件、以及元件中的任一个可在各种可能的配置中组合，其所有明确地处于这个说明书的宽泛的范围内。在某些情况下，可能更容易通过只参考有限数量的网络元件来描述给定的一组流程的一个或多个功能。应认识到，附图的通信***10及其教导是可容易扩展的，并可容纳大量部件以及更复杂和/或精细的布置和配置。因此，所提供的示例不应限制范围或抑制如潜在地应用于无数其它架构的通信***10的宽泛教导。
注意，在这个说明书中，对包括在“一个实施例”、“示例实施例”、“实施例”、“另一实施例”、“一些实施例”、“各种实施例”、“其它实施例”、“替代实施例”等中的各种特征(例如元件、结构、模块、部件、步骤、操作、特征等)的参考是用来意指任何这样的特征被包括在本公开的一个或多个实施例中，但可能或可能不一定被组合在相同的实施例中。
也重要地注意到，关于前述附图描述的操作和步骤仅仅示出可由***或在***内执行的一些可能的场景。这些操作中的一些在适当的场合可以被删除或移除，或这些步骤可被明显修改或改变，而不偏离所讨论的概念的范围。此外，这些操作的时序可明显改变且仍然实现在本公开中教导的结果。为了示例和讨论的目的，提供前述操作流程。***提供相当大的灵活性，因为可提供任何合适的布置、按时间排列事件、配置、以及时序机制，而不偏离所讨论的概念的教导。
虽然关于特定的布置和配置详细描述了本公开，这些示例配置和布置可明显改变，而不偏离本公开的范围。例如，虽然关于涉及某些网络访问和协议的特定通信交换描述了本公开，通信***10可应用于其它交换或路由协议(其中分组被交换)，以便提供移动性数据、连接参数、访问管理等。而且，虽然关于促进通信过程的特定的元件和操作示出了通信***10，这些元件和操作可由实现通信***10的预期功能的任何适当的架构或过程代替。
本领域中的技术人员可确定很多其它变化、替代、改变、变更和修改，且意图是本公开包括所有这样的变化、替代、改变、变更和修改作为落在所附权利要求的范围内。为了帮助美国专利商标局(USPTO)和此外在本申请上发布的任何专利的任何读者解释附到其的权利要求，申请人希望指出，申请人：(a)并不打算任何所附权利要求援引美国法典第35编第112章的第六(6)段，如它在其提交日时存在，除非词“用于…的装置”或“用于…的步骤”在特定的权利要求中被特别使用；以及(b)不打算通过说明书中的任何陈述，来以在所附权利要求中没有另外反映的任何方式限制本公开。

Claims (20)

1.一种方法，包括：
识别在客户端和服务器之间的传输层安全(TLS)会话；
解析一个或多个TLS消息以识别与所述TLS会话相关联的会话票证；
将所述会话票证转换成小固定尺寸的会话令牌；以及
使用所述会话令牌来管理所述TLS会话以识别所述TLS会话。
2.如权利要求1所述的方法，其中所述会话票证在尺寸上范围从32字节到64千字节。
3.如权利要求1所述的方法，其中转换包括：
使用散列算法计算所述会话票证的散列值；以及
将所述散列值指派给所述会话令牌。
4.如权利要求3所述的方法，其中所述会话令牌的尺寸取决于所述散列算法。
5.如权利要求3所述的方法，其中所述散列算法选自包括下列项的组：GOST、MD5、SHA-1、SHA-256、RIPEMD-160、以及WHIRLPOOL。
6.如权利要求1所述的方法，其中管理包括选自包括下列活动的组中的至少一个活动：
将所述TLS会话令牌分配给一个或多个处理元件；
使用所述会话令牌将所述TLS会话映射到之前的会话；以及
执行网络安全操作以探测对由所述会话令牌识别出的所述TLS会话的网络攻击。
7.如权利要求1所述的方法，其中如果所述TLS消息中的任一个跨多于一个TLS协议记录散布，则所述转换包括：
使用散列算法计算在TLS协议记录中遇到的会话票证的一部分的散列值；
根据之前计算出的散列值递增地计算在随后的TLS协议记录中遇到的会话票证的另一部分的另一散列值；
重复递增计算直到所述会话票证的各部分已被处理；以及
将作为结果的散列值指派给所述会话令牌。
8.一种装置，包括：
存储器元件，其配置成存储指令；
处理器，其能操作来执行所述指令；以及
转换器，其中所述装置被配置用来：
识别在客户端和服务器之间的TLS会话；
解析一个或多个TLS消息以识别与所述TLS会话相关联的会话票证；
将所述会话票证转换成固定尺寸的会话令牌；以及
使用所述会话令牌来管理所述TLS会话以识别所述TLS会话。
9.如权利要求8所述的装置，其中所述会话票证在尺寸上范围从32字节到64千字节。
10.如权利要求8所述的装置，其中转换包括：
使用散列算法计算所述会话票证的散列值；以及
将所述散列值指派给所述会话令牌。
11.如权利要求10所述的装置，其中所述会话令牌的尺寸取决于所述散列算法。
12.如权利要求10所述的装置，其中所述散列算法选自包括下列项的组：GOST、MD5、SHA-1、SHA-256、RIPEMD-160、以及WHIRLPOOL。
13.如权利要求8所述的装置，其中管理包括选自包括下列活动的组中的至少一个活动：
将所述TLS会话令牌分配给一个或多个处理元件；
使用所述会话令牌将TLS会话映射到之前的会话；以及
执行网络安全操作以探测对由所述会话令牌识别出的所述TLS会话的网络攻击。
14.如权利要求8所述的装置，其中如果所述TLS消息中的任一个跨多于一个TLS协议记录散布，则所述转换包括：
使用散列算法计算在TLS协议记录中遇到的会话票证的一部分的散列值；
根据之前计算出的散列值递增地计算在随后的TLS协议记录中遇到的会话票证的另一部分的另一散列值；
重复递增计算直到所述会话票证的各部分已被处理；以及
将作为结果的散列值指派给所述会话令牌。
15.一种在包括用于执行的代码的非暂时性介质中编码的逻辑，所述代码在被处理器执行时能操作来执行包括以下的操作：
识别在客户端和服务器之间的TLS会话；
解析一个或多个TLS消息以识别与所述TLS会话相关联的会话票证；
将所述会话票证转换成固定尺寸的会话令牌；以及
使用所述会话令牌来管理所述TLS会话以识别所述TLS会话。
16.如权利要求15所述的逻辑，其中所述会话票证在尺寸上范围从32字节到64千字节。
17.如权利要求15所述的逻辑，其中转换包括：
使用散列算法计算所述会话票证的散列值；以及
将所述散列值指派给所述会话令牌。
18.如权利要求17所述的逻辑，其中所述散列算法选自包括下列项的组：GOST、MD5、SHA-1、SHA-256、RIPEMD-160、以及WHIRLPOOL。
19.如权利要求15所述的逻辑，其中如果所述TLS消息中的任一个跨多于一个TLS协议记录散布，则转换包括：
使用散列算法计算在TLS协议记录中遇到的会话票证的一部分的散列值；
根据之前计算出的散列值递增地计算在随后的TLS协议记录中遇到的会话票证的另一部分的另一散列值；
重复递增计算直到所述会话票证的各部分已被处理；以及
将作为结果的散列值指派给所述会话令牌。
20.如权利要求15所述的逻辑，其中管理包括选自包括下列活动的组中的至少一个活动：
将所述会话令牌分配给一个或多个处理元件；
使用所述会话令牌将TLS会话映射到之前的TLS会话；以及
执行网络安全操作以探测对由所述会话令牌识别出的所述TLS会话的网络攻击。
CN201380006256.7A 2012-01-26 2013-01-25 用于在网络环境中的传输层安全会话票证的创新管理的***和方法 Active CN104067595B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/358,836 2012-01-26
US13/358,836 US9026784B2 (en) 2012-01-26 2012-01-26 System and method for innovative management of transport layer security session tickets in a network environment
PCT/US2013/023121 WO2013112816A1 (en) 2012-01-26 2013-01-25 System and method for innovative management of transport layer security session tickets in a network environment

Publications (2)

Publication Number Publication Date
CN104067595A true CN104067595A (zh) 2014-09-24
CN104067595B CN104067595B (zh) 2017-06-27

Family

ID=48871364

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201380006256.7A Active CN104067595B (zh) 2012-01-26 2013-01-25 用于在网络环境中的传输层安全会话票证的创新管理的***和方法

Country Status (4)

Country Link
US (2) US9026784B2 (zh)
EP (1) EP2807813A4 (zh)
CN (1) CN104067595B (zh)
WO (1) WO2013112816A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107925567A (zh) * 2015-07-31 2018-04-17 英特尔公司 用于使用由证书状态检查服务提供商发布的票证来优化对称密钥高速缓存的***、装置和方法
CN110622482A (zh) * 2017-06-01 2019-12-27 国际商业机器公司 Tls检查中的无高速缓存会话票证支持
CN112260986A (zh) * 2020-09-04 2021-01-22 浪潮云信息技术股份公司 一种基于iso/osi参考模型的电子公文交换方法及工具
CN113904950A (zh) * 2021-12-06 2022-01-07 广东睿江云计算股份有限公司 基于流的网络监测方法、装置、计算机设备及存储介质
CN115296847A (zh) * 2022-07-06 2022-11-04 杭州涂鸦信息技术有限公司 流量控制方法、装置、计算机设备和存储介质

Families Citing this family (50)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7739724B2 (en) * 2005-06-30 2010-06-15 Intel Corporation Techniques for authenticated posture reporting and associated enforcement of network access
US9026784B2 (en) 2012-01-26 2015-05-05 Mcafee, Inc. System and method for innovative management of transport layer security session tickets in a network environment
WO2014130807A1 (en) 2013-02-21 2014-08-28 Fastly Inc. Dynamic secure packet block sizing
WO2016028198A1 (en) * 2014-08-20 2016-02-25 Telefonaktiebolaget L M Ericsson (Publ) Methods, devices and management terminals for establishing a secure session with a service
US9628455B2 (en) * 2014-12-09 2017-04-18 Akamai Technologies, Inc. Filtering TLS connection requests using TLS extension and federated TLS tickets
CN104580260B (zh) * 2015-02-10 2017-08-11 成都英力拓信息技术有限公司 一种适用于物联网智能终端的安全方法
EP3270317B1 (en) * 2015-03-13 2022-02-02 Everspin Corp. Dynamic security module server device and operating method thereof
US9667635B2 (en) * 2015-03-26 2017-05-30 Cisco Technology, Inc. Creating three-party trust relationships for internet of things applications
US20160330221A1 (en) 2015-05-07 2016-11-10 Cyber-Ark Software Ltd. Systems and Methods for Detecting and Reacting to Malicious Activity in Computer Networks
US10142353B2 (en) * 2015-06-05 2018-11-27 Cisco Technology, Inc. System for monitoring and managing datacenters
US10536357B2 (en) 2015-06-05 2020-01-14 Cisco Technology, Inc. Late data detection in data center
US10015208B2 (en) 2015-06-09 2018-07-03 Cisco Technology, Inc. Single proxies in secure communication using service function chaining
US10020941B2 (en) * 2015-09-30 2018-07-10 Imperva, Inc. Virtual encryption patching using multiple transport layer security implementations
US10146625B2 (en) * 2015-10-28 2018-12-04 Dell Products L.P. Systems and methods for intelligent data manager for offloading of bulk data transfers
US10218698B2 (en) * 2015-10-29 2019-02-26 Verizon Patent And Licensing Inc. Using a mobile device number (MDN) service in multifactor authentication
EP3409032B1 (en) * 2016-01-27 2020-01-01 Telefonaktiebolaget LM Ericsson (publ) Method for setting up a secure connection between lwm2m devices
US10582022B2 (en) * 2016-05-20 2020-03-03 Citrix Systems, Inc. Adaptive session reliability over multiple transports
US10250596B2 (en) * 2016-06-29 2019-04-02 International Business Machines Corporation Monitoring encrypted communication sessions
EP3319288A1 (en) * 2016-11-07 2018-05-09 Secucloud GmbH Protocol detection by parsing layer-4 packets in a network security system
US10855694B2 (en) * 2017-05-30 2020-12-01 Keysight Technologies Singapore (Sales) Pte. Ltd. Methods, systems, and computer readable media for monitoring encrypted packet flows within a virtual network environment
US10547641B2 (en) * 2017-06-01 2020-01-28 International Business Machines Corporation Transparently converting a TLS session connection to facilitate session resumption
US11143010B2 (en) 2017-06-13 2021-10-12 Schlumberger Technology Corporation Well construction communication and control
US20180359130A1 (en) * 2017-06-13 2018-12-13 Schlumberger Technology Corporation Well Construction Communication and Control
US11021944B2 (en) 2017-06-13 2021-06-01 Schlumberger Technology Corporation Well construction communication and control
US10382481B2 (en) * 2017-08-18 2019-08-13 eSentire, Inc. System and method to spoof a TCP reset for an out-of-band security device
US10903985B2 (en) 2017-08-25 2021-01-26 Keysight Technologies Singapore (Sales) Pte. Ltd. Monitoring encrypted network traffic flows in a virtual environment using dynamic session key acquisition techniques
US10992652B2 (en) 2017-08-25 2021-04-27 Keysight Technologies Singapore (Sales) Pte. Ltd. Methods, systems, and computer readable media for monitoring encrypted network traffic flows
US11088981B2 (en) * 2017-09-26 2021-08-10 Amazon Technologies, Inc. Receiving a data object at a device
US10581948B2 (en) 2017-12-07 2020-03-03 Akamai Technologies, Inc. Client side cache visibility with TLS session tickets
CN107888710A (zh) * 2017-12-26 2018-04-06 新华三信息安全技术有限公司 一种报文转发方法及装置
US10972455B2 (en) 2018-04-24 2021-04-06 International Business Machines Corporation Secure authentication in TLS sessions
CN108900471B (zh) * 2018-05-31 2022-02-25 北京证大向上金融信息服务有限公司 用于传输数据的服务器、客户端、网络***及方法
US10893030B2 (en) 2018-08-10 2021-01-12 Keysight Technologies, Inc. Methods, systems, and computer readable media for implementing bandwidth limitations on specific application traffic at a proxy element
US11019034B2 (en) 2018-11-16 2021-05-25 Akamai Technologies, Inc. Systems and methods for proxying encrypted traffic to protect origin servers from internet threats
US11836256B2 (en) * 2019-01-24 2023-12-05 International Business Machines Corporation Testing adversarial robustness of systems with limited access
EP3921976A1 (en) * 2019-02-06 2021-12-15 ABB Power Grids Switzerland AG Method for authenticating messages in resource limited systems
US11657162B2 (en) * 2019-03-22 2023-05-23 Intel Corporation Adversarial training of neural networks using information about activation path differentials
US11516253B1 (en) * 2019-03-28 2022-11-29 Amazon Technologies, Inc. Identity-aware filtering proxy for virtual networks
US11727265B2 (en) * 2019-06-27 2023-08-15 Intel Corporation Methods and apparatus to provide machine programmed creative support to a user
SG10201906806XA (en) * 2019-07-23 2021-02-25 Mastercard International Inc Methods and computing devices for auto-submission of user authentication credential
US11190417B2 (en) 2020-02-04 2021-11-30 Keysight Technologies, Inc. Methods, systems, and computer readable media for processing network flow metadata at a network packet broker
US20210377240A1 (en) * 2020-06-02 2021-12-02 FLEX Integration LLC System and methods for tokenized hierarchical secured asset distribution
US11611588B2 (en) * 2020-07-10 2023-03-21 Kyndryl, Inc. Deep learning network intrusion detection
CN111866172A (zh) * 2020-07-30 2020-10-30 北京金山云网络技术有限公司 会话票证的处理方法、装置及电子设备
US11411997B2 (en) * 2020-08-13 2022-08-09 Salesforce, Inc. Active fingerprinting for transport layer security (TLS) servers
US11824841B2 (en) * 2020-08-18 2023-11-21 T-Mobile Usa, Inc. Secure transport session resumption for constrained devices
US12003639B2 (en) * 2020-10-15 2024-06-04 Netflix, Inc. Techniques for sharing secure communication sessions within a computer network
US11601257B2 (en) * 2020-12-04 2023-03-07 International Business Machines Corporation Creating deterministic ciphertext using wide-block encryption
US11716325B2 (en) * 2021-01-20 2023-08-01 International Business Machines Corporation Limiting scopes in token-based authorization systems
US20220191003A1 (en) * 2021-12-10 2022-06-16 Tamas Mihaly Varhegyi Complete Tree Structure Encryption Software

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101297517A (zh) * 2005-10-31 2008-10-29 微软公司 总体交换会话安全
US20100250951A1 (en) * 2007-11-07 2010-09-30 Nippon Telegraph And Telephone Corporatiion Common key setting method, relay apparatus, and program
US20110302653A1 (en) * 2010-03-01 2011-12-08 Silver Tail Systems, Inc. System and Method for Network Security Including Detection of Attacks Through Partner Websites

Family Cites Families (99)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5907621A (en) * 1996-11-15 1999-05-25 International Business Machines Corporation System and method for session management
US6061741A (en) * 1997-05-28 2000-05-09 International Business Machines Corporation Method and apparatus for synchronization of connectionless applications across a network by using simple encryption tokens
US7290288B2 (en) 1997-06-11 2007-10-30 Prism Technologies, L.L.C. Method and system for controlling access, by an authentication server, to protected computer resources provided via an internet protocol network
US6073142A (en) 1997-06-23 2000-06-06 Park City Group Automated post office based rule analysis of e-mail messages and other data objects for controlled distribution in network environments
JP3791131B2 (ja) * 1997-07-14 2006-06-28 富士ゼロックス株式会社 電子チケットシステム
US5987610A (en) 1998-02-12 1999-11-16 Ameritech Corporation Computer virus screening methods and systems
US6601171B1 (en) 1999-02-18 2003-07-29 Novell, Inc. Deputization in a distributed computing system
CA2370471A1 (en) * 1999-04-09 2000-10-19 General Instrument Corporation Built-in manufacturer's certificates for a cable telephony adapter to provide device and service certification
US7409704B1 (en) 1999-07-15 2008-08-05 Telefonaktiebolaget L M Ericsson (Publ) System and method for local policy enforcement for internet service providers
US6460050B1 (en) 1999-12-22 2002-10-01 Mark Raymond Pace Distributed content identification system
US6766373B1 (en) * 2000-05-31 2004-07-20 International Business Machines Corporation Dynamic, seamless switching of a network session from one connection route to another
US6901519B1 (en) 2000-06-22 2005-05-31 Infobahn, Inc. E-mail virus protection system and method
US20050203673A1 (en) * 2000-08-18 2005-09-15 Hassanayn Machlab El-Hajj Wireless communication framework
US7089585B1 (en) * 2000-08-29 2006-08-08 Microsoft Corporation Method and system for authorizing a client computer to access a server computer
US7248691B1 (en) * 2000-10-31 2007-07-24 Microsoft Corporation Hashing using multiple sub-hashes
GB2373418A (en) * 2001-03-16 2002-09-18 Kleinwort Benson Ltd Method and system to provide and manage secure access to internal computer systems from an external client
US7421083B2 (en) * 2001-04-05 2008-09-02 General Instrument Corporation System for seamlessly updating service keys with automatic recovery
GB2378349A (en) * 2001-07-28 2003-02-05 Dresdner Kleinwort Wasserstein A system for managing a computer network
US8001594B2 (en) 2001-07-30 2011-08-16 Ipass, Inc. Monitoring computer network security enforcement
US7111162B1 (en) * 2001-09-10 2006-09-19 Cisco Technology, Inc. Load balancing approach for scaling secure sockets layer performance
US7313816B2 (en) * 2001-12-17 2007-12-25 One Touch Systems, Inc. Method and system for authenticating a user in a web-based environment
US7299349B2 (en) * 2002-01-31 2007-11-20 Microsoft Corporation Secure end-to-end notification
US7231663B2 (en) * 2002-02-04 2007-06-12 General Instrument Corporation System and method for providing key management protocol with client verification of authorization
US7818792B2 (en) * 2002-02-04 2010-10-19 General Instrument Corporation Method and system for providing third party authentication of authorization
US8818833B2 (en) * 2002-02-14 2014-08-26 International Business Machines Corporation Method and system for managing service requests across multiple systems
US7523490B2 (en) * 2002-05-15 2009-04-21 Microsoft Corporation Session key security protocol
US7565537B2 (en) * 2002-06-10 2009-07-21 Microsoft Corporation Secure key exchange with mutual authentication
US7805606B2 (en) * 2002-07-29 2010-09-28 Bea Systems, Inc. Computer system for authenticating a computing device
JP4553565B2 (ja) * 2002-08-26 2010-09-29 パナソニック株式会社 電子バリューの認証方式と認証システムと装置
US7454785B2 (en) * 2002-12-19 2008-11-18 Avocent Huntsville Corporation Proxy method and system for secure wireless administration of managed entities
US20050195975A1 (en) * 2003-01-21 2005-09-08 Kevin Kawakita Digital media distribution cryptography using media ticket smart cards
US7644290B2 (en) * 2003-03-31 2010-01-05 Power Measurement Ltd. System and method for seal tamper detection for intelligent electronic devices
US7644275B2 (en) * 2003-04-15 2010-01-05 Microsoft Corporation Pass-thru for client authentication
JP4425859B2 (ja) * 2003-07-11 2010-03-03 日本電信電話株式会社 アドレスに基づく認証システム、その装置およびプログラム
US7826614B1 (en) * 2003-11-05 2010-11-02 Globalfoundries Inc. Methods and apparatus for passing initialization vector information from software to hardware to perform IPsec encryption operation
US20050132122A1 (en) 2003-12-16 2005-06-16 Rozas Carlos V. Method, apparatus and system for monitoring system integrity in a trusted computing environment
US20050138417A1 (en) 2003-12-19 2005-06-23 Mcnerney Shaun C. Trusted network access control system and method
US7685434B2 (en) * 2004-03-02 2010-03-23 Advanced Micro Devices, Inc. Two parallel engines for high speed transmit IPsec processing
US7185847B1 (en) 2004-05-13 2007-03-06 Raytheon Company Winged vehicle with variable-sweep cantilevered wing mounted on a translating wing-support body
EP1601153B1 (en) 2004-05-28 2010-07-28 Sap Ag Client authentication using a challenge provider
US20060041938A1 (en) * 2004-08-20 2006-02-23 Axalto Inc. Method of supporting SSL/TLS protocols in a resource-constrained device
US7748032B2 (en) * 2004-09-30 2010-06-29 Citrix Systems, Inc. Method and apparatus for associating tickets in a ticket hierarchy
US7272719B2 (en) 2004-11-29 2007-09-18 Signacert, Inc. Method to control access between network endpoints based on trust scores calculated from information system component analysis
US8224754B2 (en) * 2004-12-15 2012-07-17 Microsoft Corporation Generation, distribution and verification of tokens using a secure hash algorithm
US8042165B2 (en) * 2005-01-14 2011-10-18 Citrix Systems, Inc. Method and system for requesting and granting membership in a server farm
US8365293B2 (en) * 2005-01-25 2013-01-29 Redphone Security, Inc. Securing computer network interactions between entities with authorization assurances
US7900247B2 (en) * 2005-03-14 2011-03-01 Microsoft Corporation Trusted third party authentication for web services
US7739724B2 (en) 2005-06-30 2010-06-15 Intel Corporation Techniques for authenticated posture reporting and associated enforcement of network access
GB0517303D0 (en) * 2005-08-23 2005-10-05 Netronome Systems Inc System and method for processing secure transmissions
WO2007035655A2 (en) * 2005-09-16 2007-03-29 The Trustees Of Columbia University In The City Of New York Using overlay networks to counter denial-of-service attacks
US9942271B2 (en) 2005-12-29 2018-04-10 Nextlabs, Inc. Information management system with two or more interactive enforcement points
WO2007073766A1 (en) * 2005-12-29 2007-07-05 Telecom Italia S.P.A. A method for communicating entitlement data from a server, related server, client systems and computer program product
US7865730B2 (en) * 2006-01-30 2011-01-04 Kronos Technology Systems Limited Partnership Bcencryption (BCE)—a public-key based method to encrypt a data stream
WO2007100916A2 (en) * 2006-02-28 2007-09-07 The Trustees Of Columbia University In The City Of New York Systems, methods, and media for outputting a dataset based upon anomaly detection
US7925023B2 (en) * 2006-03-03 2011-04-12 Oracle International Corporation Method and apparatus for managing cryptographic keys
US7702333B2 (en) * 2006-05-11 2010-04-20 Intel Corporation Wireless local area network and methods for secure resource reservations for fast roaming
KR100834570B1 (ko) * 2006-06-23 2008-06-02 한국전자통신연구원 실시간 상태 기반 패킷 검사 방법 및 이를 위한 장치
WO2008015659A1 (en) * 2006-08-03 2008-02-07 Provost Fellows And Scholars Of The College Of The Holy And Undivided Trinity Of Queen Elizabeth Near Dublin A network access method and system
US8095787B2 (en) * 2006-08-21 2012-01-10 Citrix Systems, Inc. Systems and methods for optimizing SSL handshake processing
US8352728B2 (en) * 2006-08-21 2013-01-08 Citrix Systems, Inc. Systems and methods for bulk encryption and decryption of transmitted data
US8245285B1 (en) * 2006-09-22 2012-08-14 Oracle America, Inc. Transport-level web application security on a resource-constrained device
US8719954B2 (en) * 2006-10-11 2014-05-06 Bassilic Technologies Llc Method and system for secure distribution of selected content to be protected on an appliance-specific basis with definable permitted associated usage rights for the selected content
US8225093B2 (en) * 2006-12-05 2012-07-17 Qualcomm Incorporated Providing secure inter-application communication for a mobile operating environment
US8788836B1 (en) * 2006-12-22 2014-07-22 Symantec Corporation Method and apparatus for providing identity claim validation
US9021250B2 (en) * 2007-04-22 2015-04-28 International Business Machines Corporation Security enforcement point inspection of encrypted data in an encrypted end-to end communications path
WO2009037582A2 (en) * 2007-07-09 2009-03-26 Gregor Garbajs System and method for securely communicating on- demand content from closed network to dedicated devices, and for compiling content usage data in closed network securely communicating content to dedicated devices
US7992200B2 (en) * 2007-07-16 2011-08-02 International Business Machines Corporation Secure sharing of transport layer security session keys with trusted enforcement points
US8332922B2 (en) * 2007-08-31 2012-12-11 Microsoft Corporation Transferable restricted security tokens
US8387130B2 (en) * 2007-12-10 2013-02-26 Emc Corporation Authenticated service virtualization
KR101495722B1 (ko) * 2008-01-31 2015-02-26 삼성전자주식회사 홈 네트워크에서의 통신 보안성을 보장하는 방법 및 이를위한 장치
US20090198619A1 (en) * 2008-02-06 2009-08-06 Motorola, Inc. Aggregated hash-chain micropayment system
US8239927B2 (en) * 2008-02-29 2012-08-07 Microsoft Corporation Authentication ticket validation
US8930550B2 (en) * 2008-03-11 2015-01-06 International Business Machines Corporation Selectable non-interactive entity application proxy method and system
US8788830B2 (en) * 2008-10-02 2014-07-22 Ricoh Co., Ltd. Method and apparatus for logging based identification
US20100088752A1 (en) * 2008-10-03 2010-04-08 Vikram Nagulakonda Identifier Binding for Automated Web Processing
WO2010053416A1 (en) * 2008-11-07 2010-05-14 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for forwarding data packets using aggregating router keys
US20100146280A1 (en) * 2008-12-10 2010-06-10 Industrial Technology Research Institute Remote assisting method and system
AU2010215040B2 (en) * 2009-02-19 2015-02-19 Securekey Technologies Inc. System and methods for online authentication
CN102342142A (zh) * 2009-03-06 2012-02-01 交互数字专利控股公司 无线设备的平台确认和管理
US8078870B2 (en) * 2009-05-14 2011-12-13 Microsoft Corporation HTTP-based authentication
US8082351B1 (en) * 2009-05-26 2011-12-20 Adobe Systems Incorporated Software load balancing for session requests that maintain state information
US8639922B2 (en) * 2009-06-01 2014-01-28 Dhananjay S. Phatak System, method, and apparata for secure communications using an electrical grid network
US8775810B1 (en) * 2009-09-30 2014-07-08 Amazon Technologies, Inc. Self-validating authentication token
US8478996B2 (en) * 2009-12-21 2013-07-02 International Business Machines Corporation Secure Kerberized access of encrypted file system
US8375373B2 (en) * 2010-04-19 2013-02-12 Microsoft Corporation Intermediate language support for change resilience
US8615651B1 (en) * 2010-05-17 2013-12-24 Google Inc. Offline shared security key calculation
US8707420B2 (en) * 2010-05-21 2014-04-22 Microsoft Corporation Trusted e-mail communication in a multi-tenant environment
US8984597B2 (en) * 2010-05-27 2015-03-17 Microsoft Technology Licensing, Llc Protecting user credentials using an intermediary component
US8819424B2 (en) * 2010-09-30 2014-08-26 Microsoft Corporation Token-based authentication using middle tier
US9209976B2 (en) * 2010-10-29 2015-12-08 Code Systems Corporation Method and system for restricting execution of virtual applications to a managed process environment
EP2495658A1 (en) * 2011-03-02 2012-09-05 Accenture Global Services Limited Computer network, computer system, computer implemented method, and computer program product for managing session tokens
US9130937B1 (en) * 2011-03-07 2015-09-08 Raytheon Company Validating network communications
US9112682B2 (en) * 2011-03-15 2015-08-18 Red Hat, Inc. Generating modular security delegates for applications
US8661253B2 (en) * 2011-07-18 2014-02-25 Motorola Solutions, Inc. Methods of providing an integrated and mutual authentication in a communication network
US8799647B2 (en) * 2011-08-31 2014-08-05 Sonic Ip, Inc. Systems and methods for application identification
US9148478B2 (en) * 2011-10-25 2015-09-29 Alcatel Lucent Verification of integrity of peer-received content in a peer-to-peer content distribution system
US9531691B2 (en) * 2011-12-16 2016-12-27 Akamai Technologies, Inc. Providing forward secrecy in a terminating TLS connection proxy
US9026784B2 (en) 2012-01-26 2015-05-05 Mcafee, Inc. System and method for innovative management of transport layer security session tickets in a network environment
US8776194B2 (en) * 2012-02-01 2014-07-08 Amazon Technologies, Inc. Authentication management services

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101297517A (zh) * 2005-10-31 2008-10-29 微软公司 总体交换会话安全
US20100250951A1 (en) * 2007-11-07 2010-09-30 Nippon Telegraph And Telephone Corporatiion Common key setting method, relay apparatus, and program
US20110302653A1 (en) * 2010-03-01 2011-12-08 Silver Tail Systems, Inc. System and Method for Network Security Including Detection of Attacks Through Partner Websites

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107925567A (zh) * 2015-07-31 2018-04-17 英特尔公司 用于使用由证书状态检查服务提供商发布的票证来优化对称密钥高速缓存的***、装置和方法
CN110622482A (zh) * 2017-06-01 2019-12-27 国际商业机器公司 Tls检查中的无高速缓存会话票证支持
CN112260986A (zh) * 2020-09-04 2021-01-22 浪潮云信息技术股份公司 一种基于iso/osi参考模型的电子公文交换方法及工具
CN112260986B (zh) * 2020-09-04 2022-12-27 浪潮云信息技术股份公司 一种基于iso/osi参考模型的电子公文交换方法及工具
CN113904950A (zh) * 2021-12-06 2022-01-07 广东睿江云计算股份有限公司 基于流的网络监测方法、装置、计算机设备及存储介质
CN115296847A (zh) * 2022-07-06 2022-11-04 杭州涂鸦信息技术有限公司 流量控制方法、装置、计算机设备和存储介质
CN115296847B (zh) * 2022-07-06 2024-02-13 杭州涂鸦信息技术有限公司 流量控制方法、装置、计算机设备和存储介质

Also Published As

Publication number Publication date
US20130198509A1 (en) 2013-08-01
EP2807813A4 (en) 2016-04-06
US9026784B2 (en) 2015-05-05
CN104067595B (zh) 2017-06-27
US20160014152A1 (en) 2016-01-14
US9680869B2 (en) 2017-06-13
EP2807813A1 (en) 2014-12-03
WO2013112816A1 (en) 2013-08-01

Similar Documents

Publication Publication Date Title
CN104067595A (zh) 用于在网络环境中的传输层安全会话票证的创新管理的***和方法
US11477037B2 (en) Providing forward secrecy in a terminating SSL/TLS connection proxy using ephemeral Diffie-Hellman key exchange
CN104081711B (zh) 用于在不用局部可访问的私有密钥的情况下终止ssl连接的方法、装置和***
US8082574B2 (en) Enforcing security groups in network of data processors
CN104219217B (zh) 安全关联协商方法、设备和***
US11924491B2 (en) Securing an overlay network against attack
Patni et al. Man-in-the-middle attack in HTTP/2
EP3216163B1 (en) Providing forward secrecy in a terminating ssl/tls connection proxy using ephemeral diffie-hellman key exchange
Cho et al. Secure open fronthaul interface for 5G networks
CN114584386A (zh) 全局多级加密网络通信方法
Pujolle et al. Secure session management with cookies
Cisco Introduction to Cisco IPsec Technology
Khan et al. An HTTPS approach to resist man in the middle attack in secure SMS using ECC and RSA
Cisco Introduction to Cisco IPsec Technology
Hussain et al. Enc‐DNS‐HTTP: Utilising DNS Infrastructure to Secure Web Browsing
Alhumrani et al. Cryptographic protocols for secure cloud computing
Arora et al. Comparison of VPN protocols–IPSec, PPTP, and L2TP
WO2021032304A1 (en) Gateway devices and methods for performing a site-to-site communication
Premalatha et al. A certificate based authorization and protected application layer protocol for IoT
Ahmed et al. Architecture based on tor network for securing the communication of northbound interface in sdn
Chen et al. A Robust Protocol for Circumventing Censoring Firewalls
US11343089B2 (en) Cryptography system and method
Ying-lan et al. Research and implementation of key technology based on internet encryption and authentication
MM SECURING IN-SITU OAM USING OPTIMISED AND QUANTUM RESISTANT METHOD
Rose et al. Network Working Group T. Pauly Internet-Draft Apple Inc. Intended status: Informational C. Perkins Expires: January 1, 2019 University of Glasgow

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address

Address after: American California

Patentee after: McAfee limited liability company

Address before: American California

Patentee before: Mcafee Inc

CP03 Change of name, title or address