[发明专利]用于在不用局部可访问的私有密钥的情况下终止SSL连接的方法、装置和系统

说明书

本申请基于并要求2011年12月16日提出的序列号No.61/554,571的优先权。

技术领域

本申请一般涉及利用诸如SSL之类的加密协议的基于网络安全的通信。

背景技术

分布式计算机系统在现有技术中是公知的。一个这样的分布式计算机系统是由服务提供者操作并管理的“内容传递网络”或“CDN”。服务提供者通常代表使用服务提供者的基础设施的第三方(用户)提供内容传递服务。此类型的分布式系统通常是指由网络或多个网络与软件、系统、协议和技术一起链接的独立计算机的集合，所述技术被设计以便于各种服务，诸如内容传递、网络应用加速、或外包源站点基础设施的其它支持。CDN服务提供者通常经由数字属性(诸如网站)提供服务传递，其被在用户门户中提供并且然后被布置到网络。数字属性通常被绑定到允许服务提供者负责业务并给它的用户开帐单的一个或多个边缘配置。

安全套接层(SSL)是用于通过诸如互联网之类的网络进行安全通信的公知的加密协议。诸如SSL之类的加密协议通常基于公共密钥加密录系统，诸如RSA(Rivest，Shamir和Adelman)加密算法。对于传统的基于RSA的SSL会话，连接的两方达成用于生成用于会话的其余部分的参数的“预主秘密”(PMS)的协议。通常，两方使用RSA非对称加密以建立预主秘密而不用明文交换实际值。在操作中，SSL客户端生成预主秘密并且利用SSL服务器的公开可用的RSA密钥加密它。这生成加密的预先主秘密(ePMS)，其然后被提供到SSL服务器。SSL服务器具有私有解密密钥，其用于解密加密的预主秘密。在这一点上，客户端和服务器都具有原始的预主秘密并且可以使用它以生成用于实际加密和安全数据交换的对称密钥。

解密加密的预先主秘密是在SSL连接中需要私有密钥的仅有的时机。此解密出现在所谓的SSL终点处。在许多实例中，SSL终点是不安全的，并且因此那里的密钥的储存和使用呈现重大的安全风险。

发明内容

互联网基础设施传递平台(例如，由服务提供者操作的)提供RSA代理“服务”作为SSL协议的增强，其将加密的预主秘密(ePMS)的解密卸载给外部服务器。利用此服务，代替“局部地”解密ePMS，SSL服务器向RSA代理服务器组件代理(转发)ePMS并且在响应中接收解密的预主秘密。以这样的方式，解密密钥不需要与SSL服务器关联地存储。

在一个系统实施例中，第一网络可访问位置中的至少一个机器包括RSA代理服务器软件程序，并且第二网络可访问位置中的至少一个机器包括RSA代理客户端软件程序。RSA代理服务器软件程序与RSA代理客户端软件程序每个都包括用于建立并且维护其间的安全(例如，相互验证的SSL)连接的代码。RSA代理客户端软件通常与SSL服务器组件(诸如OpenSSL)联合运行。但是，根据此公开，SSL解密密钥不可被RSA代理客户端软件访问。相反地，加密的预主秘密的解密被卸载到RSA代理服务器软件程序。在操作中，RSA代理客户端软件程序通过相互验证的SSL连接接收并且向RSA代理服务器软件程序转发与从终端用户客户端程序(例如，SSL启动的网络浏览器、本地移动应用，等)接收(在RSA代理客户端处)的新的SSL握手请求相关联的加密的预主秘密。RSA代理服务器软件程序利用在RSA代理服务器软件程序处维持并且否则RSA代理客户端软件程序不可访问的解密密钥来解密加密的预主秘密。RSA代理服务器软件程序然后通过相互验证的SSL连接将解密的预先主秘密返回到RSA代理客户端软件程序。终端终用户客户端程序和SSL服务器组件二者都然后拥有预主秘密(并且可以使用它生成用于加密它们之间的连接的对称密钥)。

虽然不意指限制，但是第一网络可访问位置是与实体相关联的数据中心，并且第二网络可访问位置是远离第一网络可访问位置的物理位置。在两个位置之间，数据中心(在其处RSA代理服务器组件运行)是更安全的。

上文已经概述了本发明的更多相关特征中的一些。这些特征应当被解释为仅仅说明性的。可以通过以不同的方式应用公开的发明或通过修改将描述的发明获得许多其它有益结果。

附图说明

为了更完全地理解本发明和它的优点，现在结合附图参考以下描述，其中：

图1是示出了配置为内容传递网络(CDN)的公知的分布式计算机系统的方框图；

图2是代表性的CDN边缘机器配置；

图3示出了在一个实施例中可以实践本主题公开的代表性防火墙后网络配置；以及

图4示出了此公开的RSA代理技术。