[发明专利]虚拟客户端设备的完整性认证方法及装置

说明书

本发明提供一种虚拟客户端设备的完整性认证方法及装置，该方法包括：SD‑WAN控制器向虚拟客户端设备发送完整性挑战信令；接收虚拟客户端设备发送的第一完整性度量列表，第一完整性度量列表由虚拟客户端设备利用完整性度量体系结构生成并利用虚拟可信计算芯片签名；根据第一完整性度量列表对虚拟客户端设备进行完整性认证；若虚拟客户端设备的完整性认证通过，向虚拟客户端设备发送指示信息，指示信息用于指示虚拟客户端设备所在的物理客户端设备的可信性。本发明中，由SD‑WAN控制器对虚拟客户端设备进行完整性认证，能够确保虚拟客户端设备的虚拟操作系统没有被篡改，确保其行为的预期性，提高系统的安全性。

技术领域

本发明实施例涉及信息安全技术领域，尤其涉及一种虚拟客户端设备的完整性认证方法及装置。

背景技术

SD-WAN(Software Defined WAN，软件定义广域网)，是将SDN(Software DefinedNetwork，软件定义网络)技术应用到广域网场景中所形成的一种服务。这种服务用于连接广阔地理范围的企业网络、数据中心、互联网应用及云服务，旨在帮助用户降低广域网的开支(成本低廉)和提高网络连接灵活性。通过软件定义的方式，提供智能选路，部署便捷，维护简单的广域网络。

CPE(Customer Premise Equipment，客户端设备)是SD-WAN的关键设备，该设备部署在用户侧，为用户提供基于软件定义的虚拟广域网服务。现有情况下，SD-WAN中的专用CPE设备正在向虚拟CPE转变。专用CPE设备虽然易于部署但是存在着许多缺点。例如，设备功能无法更新、缺乏灵活性，不同的网络功能需要多种网络设备实现，导致用户侧设备繁多，成本上升。虚拟CPE采用通用的白盒硬件+虚拟化的方式实现各种网络功能。在虚拟CPE中，网络功能被抽象成为模块化的软件，并在标准硬件平台上部署，向用户提供更灵活的服务。虚拟CPE可提供多样化的功能，如路由、网络地址转换、VPN(Virtual Private Network，虚拟专用网络)、防火墙等。

在这种趋势下，承载虚拟CPE的通用设备以及其系统的安全性将变得至关重要。随着软件系统的复杂化，虚拟CPE的暴露面也越来越多，其安全性也将受到挑战。一旦虚拟CPE受到安全攻击，整个SD-WAN网络的安全性将无法得到保障。

发明内容

本发明实施例提供一种虚拟客户端设备的完整性认证方法及装置，用于解决目前SD-WAN架构下的虚拟CPE的安全性无法保障的问题。

为了解决上述技术问题，本发明是这样实现的：

第一方面，本发明实施例提供了一种虚拟客户端设备的完整性认证方法，由SD-WAN控制器执行，包括：

接收物理客户端设备发送的其创建的虚拟客户端设备的身份信息，所述身份信息由所述物理客户端设备采用其创建的身份验证密钥进行签名；

根据所述身份信息，向所述虚拟客户端设备发送完整性挑战信令；

接收所述虚拟客户端设备发送的第一完整性度量列表，所述第一完整性度量列表由所述虚拟客户端设备利用完整性度量体系结构生成并利用虚拟可信计算芯片签名；

根据所述第一完整性度量列表对所述虚拟客户端设备进行完整性认证；

若所述虚拟客户端设备的完整性认证通过，向所述虚拟客户端设备发送指示信息，所述指示信息用于指示所述虚拟客户端设备所在的物理客户端设备的可信性。

可选的，接收物理客户端设备发送的其创建的虚拟客户端设备的身份信息之前还包括：

向所述物理客户端设备发送完整性挑战信令；

接收所述物理客户端设备发送的第二完整性度量列表，所述第二完整性度量列表由所述物理客户端设备利用完整性度量体系结构生成并利用可信计算芯片签名；