公开(公告)号：US20090119510A1

公开(公告)日：2009-05-07

申请号：US11935783

申请日：2007-11-06

申请人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karanvir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

发明人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karanvir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

IPC分类号： H04L9/32

CPC分类号： H04L63/0428 ,  H04L9/0631 ,  H04L9/3242 ,  H04L63/08 ,  H04L63/1466 ,  H04L63/168 ,  H04L2209/12 ,  H04L2209/38

摘要： End-to-end security between clients and a server, and traffic visibility to intermediate network devices, achieved through combined mode, single pass encryption and authentication using two keys is disclosed. In various embodiments, a combined encryption-authentication unit includes a cipher unit and an authentication unit coupled in parallel to the cipher unit, and generates an authentication tag using an authentication key in parallel with the generation of the cipher text using an encryption key, where the authentication and encryption key have different key values. In various embodiments, the cipher unit operates in AES counter mode, and the authentication unit operates in parallel, in AES-GMAC mode Using a two key, single pass combined mode algorithm preserves network performance using a limited number of HW gates, while allowing an intermediate device access to the encryption key for deciphering the data, without providing that device the ability to compromise data integrity, which is preserved between the end to end devices.

摘要翻译： 公开了客户机与服务器之间的端到端安全性，以及通过组合模式，单程加密和使用两个密钥的认证实现的对中间网络设备的流量可见性。 在各种实施例中，组合加密认证单元包括与密码单元并行耦合的密码单元和认证单元，并且使用加密密钥与密文生成并行地使用认证密钥生成认证标签，其中 认证和加密密钥具有不同的密钥值。 在各种实施例中，密码单元以AES计数器模式运行，并且认证单元以AES-GMAC模式并行操作。使用双键单通组合模式算法使用有限数量的HW门保留网络性能，同时允许 中间设备访问用于解密数据的加密密钥，而不提供该设备损害数据完整性的能力，这在端到端设备之间保留。

公开(公告)号：US20120096270A1

公开(公告)日：2012-04-19

申请号：US13337919

申请日：2011-12-27

申请人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karavir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

发明人： Men Long ,  Jesse Walker ,  David Durham ,  Marc Millier ,  Karavir Grewal ,  Prashant Dewan ,  Uday Savagaonkar ,  Steven D. Williams

IPC分类号： H04L9/32

CPC分类号： H04L63/0428 ,  H04L9/0631 ,  H04L9/3242 ,  H04L63/08 ,  H04L63/1466 ,  H04L63/168 ,  H04L2209/12 ,  H04L2209/38

摘要： End-to-end security between clients and a server, and traffic visibility to intermediate network devices, achieved through combined mode, single pass encryption and authentication using two keys is disclosed. In various embodiments, a combined encryption-authentication unit includes a cipher unit and an authentication unit coupled in parallel to the cipher unit, and generates an authentication tag using an authentication key in parallel with the generation of the cipher text using an encryption key, where the authentication and encryption key have different key values. In various embodiments, the cipher unit operates in AES counter mode, and the authentication unit operates in parallel, in AES-GMAC mode Using a two key, single pass combined mode algorithm preserves network performance using a limited number of HW gates, while allowing an intermediate device access to the encryption key for deciphering the data, without providing that device the ability to compromise data integrity, which is preserved between the end to end devices.

摘要翻译： 公开了客户机与服务器之间的端到端安全性，以及通过组合模式，单程加密和使用两个密钥的认证实现的对中间网络设备的流量可见性。 在各种实施例中，组合加密认证单元包括与密码单元并行耦合的密码单元和认证单元，并且使用加密密钥与密文生成并行地使用认证密钥生成认证标签，其中 认证和加密密钥具有不同的密钥值。 在各种实施例中，密码单元以AES计数器模式运行，并且认证单元以AES-GMAC模式并行操作。使用双键单通组合模式算法使用有限数量的HW门保留网络性能，同时允许 中间设备访问用于解密数据的加密密钥，而不提供该设备损害数据完整性的能力，这在端到端设备之间保留。

公开(公告)号：US20080022388A1

公开(公告)日：2008-01-24

申请号：US11478986

申请日：2006-06-30

申请人： Karanvir Grewal ,  David Durham ,  Hormuzd Khosravi ,  Men Long ,  Prashant Dewan

发明人： Karanvir Grewal ,  David Durham ,  Hormuzd Khosravi ,  Men Long ,  Prashant Dewan

IPC分类号： G06F15/16

CPC分类号： H04L63/105

摘要： A method and apparatus to define multiple zones in a data packet for inclusion in processing by security operations of a security protocol. In one embodiment, each defined zone has an associated list of security operations to which the zone is subjected. In another embodiment, the list of security operations for a zone includes parameters to be passed when performing the security operations on the zone.

摘要翻译： 一种在数据分组中定义多个区域以包括在安全协议的安全操作的处理中的方法和装置。 在一个实施例中，每个定义的区域具有该区域经受的安全操作的关联列表。 在另一个实施例中，区域的安全操作的列表包括在区域上执行安全操作时要传递的参数。

公开(公告)号：US20080002724A1

公开(公告)日：2008-01-03

申请号：US11479157

申请日：2006-06-30

申请人： Karanvir Grewal ,  David Durham ,  Hormuzd Khosravi ,  Men Long ,  Prashant Dewan

发明人： Karanvir Grewal ,  David Durham ,  Hormuzd Khosravi ,  Men Long ,  Prashant Dewan

IPC分类号： H04L12/56

CPC分类号： H04L63/0428 ,  H04L63/104 ,  H04L63/164 ,  H04L69/22

摘要： A method and apparatus to define multiple zones in a data packet for exclusion from processing by security operations of a security protocol. In one embodiment, each defined zone has an associated list of security operations from which the zone is protected.

摘要翻译： 一种在数据分组中定义多个区域以便通过安全协议的安全操作排除在处理之外的方法和装置。 在一个实施例中，每个定义的区域具有相关的安全操作列表，从该区域被保护。

公开(公告)号：US20080244268A1

公开(公告)日：2008-10-02

申请号：US11731562

申请日：2007-03-30

申请人： David Durham ,  Men Long ,  Prashant Dewan ,  Karanvir Grewal

发明人： David Durham ,  Men Long ,  Prashant Dewan ,  Karanvir Grewal

IPC分类号： H04L9/00

CPC分类号： H04L9/0866 ,  H04L63/062 ,  H04L2463/061

摘要： Both end-to-end security and traffic visibility may be achieved by a system using a controller that derives a cryptographic key that is different for each client based on a derivation key and a client identifier that is conveyed in each data packet. The controller distributes the derivation key to information technology monitoring devices and a server to provide traffic visibility. The key may be derived using a cryptographic one way function and a client identifier so that end-to-end security may be achieved.

摘要翻译： 端到端安全性和流量可见性可以由使用控制器的系统来实现，所述控制器基于在每个数据分组中传送的导出密钥和客户端标识符来导出每个客户端不同的密码密钥。 控制器将派生密钥分发到信息技术监控设备和服务器，以提供流量可视性。 可以使用密码单向函数和客户端标识来导出密钥，使得可以实现端到端的安全性。

公开(公告)号：US20090210699A1

公开(公告)日：2009-08-20

申请号：US12032618

申请日：2008-02-15

申请人： Karanvir Grewal ,  Men Long ,  Prashant Dewan

发明人： Karanvir Grewal ,  Men Long ,  Prashant Dewan

IPC分类号： H04L9/32

CPC分类号： H04L63/061 ,  H04L9/083 ,  H04L9/321 ,  H04L9/3247

摘要： Methods and apparatus are disclosed to provide for security within a network enclave. In one embodiment authentication logic initiates authentication with a central network authority. Packet processing logic receives a key and an identifier from the central network authority. Security protocol logic then establishes a client-server security association through a communication that includes a client identifier and an encrypted portion and/or an authorization signature, wherein a client authorization key allocated by the central network authority can be reproduced by a server, other than said central network authority, from the client identifier and a derivation key provided to the server by the central network authority to decrypt the encrypted portion and/or to validate the communication using the authorization signature. The server may also provide the client with new session keys and/or new client session identifiers using server-generated derivation keys if desired, protecting these with the client authorization key.

摘要翻译： 公开了提供网络飞地内的安全性的方法和装置。 在一个实施例中，认证逻辑启动与中央网络授权机构的认证。 分组处理逻辑从中央网络机构接收密钥和标识符。 然后，安全协议逻辑通过包括客户端标识符和加密部分和/或授权签名的通信来建立客户机 - 服务器安全关联，其中由中央网络机构分配的客户机授权密钥可以由服务器再现，除了 所述中央网络机构根据客户端标识符和由中央网络机构提供给服务器的导出密钥来解密加密部分和/或使用授权签名验证通信。 如果需要，服务器还可以使用服务器生成的导出密钥向客户端提供新的会话密钥和/或新的客户端会话标识符，并用客户端授权密钥来保护它们。

公开(公告)号：US09319220B2

公开(公告)日：2016-04-19

申请号：US12032618

申请日：2008-02-15

申请人： Karanvir Grewal ,  Men Long ,  Prashant Dewan

发明人： Karanvir Grewal ,  Men Long ,  Prashant Dewan

IPC分类号： H04L29/06 ,  H04L9/08 ,  H04L9/32

CPC分类号： H04L63/061 ,  H04L9/083 ,  H04L9/321 ,  H04L9/3247

摘要： Methods and apparatus are disclosed to provide for security within a network enclave. In one embodiment authentication logic initiates authentication with a central network authority. Packet processing logic receives a key and an identifier from the central network authority. Security protocol logic then establishes a client-server security association through a communication that includes a client identifier and an encrypted portion and/or an authorization signature, wherein a client authorization key allocated by the central network authority can be reproduced by a server, other than said central network authority, from the client identifier and a derivation key provided to the server by the central network authority to decrypt the encrypted portion and/or to validate the communication using the authorization signature. The server may also provide the client with new session keys and/or new client session identifiers using server-generated derivation keys if desired, protecting these with the client authorization key.

摘要翻译： 公开了提供网络飞地内的安全性的方法和装置。 在一个实施例中，认证逻辑启动与中央网络授权机构的认证。 分组处理逻辑从中央网络机构接收密钥和标识符。 然后，安全协议逻辑通过包括客户端标识符和加密部分和/或授权签名的通信来建立客户机 - 服务器安全关联，其中由中央网络机构分配的客户机授权密钥可以由服务器再现，除了 所述中央网络机构根据客户端标识符和由中央网络机构提供给服务器的导出密钥来解密加密部分和/或使用授权签名验证通信。 如果需要，服务器还可以使用服务器生成的导出密钥向客户端提供新的会话密钥和/或新的客户端会话标识符，并用客户端授权密钥来保护它们。

公开(公告)号：US08266707B2

公开(公告)日：2012-09-11

申请号：US12039456

申请日：2008-02-28

申请人： Uday Savagaonkar ,  Prashant Dewan ,  Men Long

发明人： Uday Savagaonkar ,  Prashant Dewan ,  Men Long

IPC分类号： G06F21/00

CPC分类号： G06F21/10

摘要： An apparatus and system provide a tamper-resistant scheme for portability of DRM-protected digital content. According to embodiments of the invention, a portable crypto unit may be utilized in conjunction with a VT integrity services (VIS) scheme as well as a Virtual Machine Manager (VMM) and a TPM to provide a secure scheme to protect digital content. Additionally, in one embodiment, the digital content may be partitioned into blocks comprising multiple segments to further enhance the security of the scheme.

摘要翻译： 一种装置和系统为DRM保护的数字内容的便携性提供防篡改方案。 根据本发明的实施例，便携式加密单元可以与VT完整性服务（VIS）方案以及虚拟机管理器（VMM）和TPM结合使用，以提供保护数字内容的安全方案。 此外，在一个实施例中，数字内容可以被划分为包括多个段的块，以进一步增强该方案的安全性。

公开(公告)号：US20090220090A1

公开(公告)日：2009-09-03

申请号：US12039456

申请日：2008-02-28

申请人： Uday Savagaonkar ,  Prashant Dewan ,  Men Long

发明人： Uday Savagaonkar ,  Prashant Dewan ,  Men Long

IPC分类号： H04L9/06 ,  H04L9/32

CPC分类号： G06F21/10

摘要： An apparatus and system provide a tamper-resistant scheme for portability of DRM-protected digital content. According to embodiments of the invention, a portable crypto unit may be utilized in conjunction with a VT integrity services (VIS) scheme as well as a Virtual Machine Manager (VMM) and a TPM to provide a secure scheme to protect digital content. Additionally, in one embodiment, the digital content may be partitioned into blocks comprising multiple segments to further enhance the security of the scheme.

摘要翻译： 一种装置和系统为DRM保护的数字内容的便携性提供防篡改方案。 根据本发明的实施例，便携式加密单元可以与VT完整性服务（VIS）方案以及虚拟机管理器（VMM）和TPM结合使用，以提供保护数字内容的安全方案。 此外，在一个实施例中，数字内容可以被划分为包括多个段的块，以进一步增强该方案的安全性。

公开(公告)号：US08467527B2

公开(公告)日：2013-06-18

申请号：US12327137

申请日：2008-12-03

申请人： Men Long ,  Jesse Walker ,  Karanvir Grewal

发明人： Men Long ,  Jesse Walker ,  Karanvir Grewal

IPC分类号： H04L9/00 ,  G06F7/04 ,  G06F21/00

CPC分类号： H04L9/0866 ,  H04L9/0631 ,  H04L63/0428 ,  H04L63/06 ,  H04L2209/125

摘要： Both end-to-end security and traffic visibility may be achieved by a system using a controller that derives a cryptographic key that is different for each client based on a derivation key and a client identifier that is conveyed in each data packet. The controller distributes the derivation key to information technology monitoring devices and a server to provide traffic visibility. For large key sizes, the key may be derived using a derivation formula as follows: client_key—MSB=AES128(base_key_1, client_ID),  (1) client_key—LSB=AES128(base_key_2, client_ID+pad), and  (2) client_key=client_key_MSB∥client_key_LSB, where (1) and (2) are executed in parallel. The client key and a client identifier may be used so that end-to-end security may be achieved.

摘要翻译： 端到端安全性和流量可见性可以由使用控制器的系统来实现，所述控制器基于在每个数据分组中传送的导出密钥和客户端标识符来导出每个客户端不同的密码密钥。 控制器将派生密钥分发到信息技术监控设备和服务器，以提供流量可视性。 对于较大的密钥大小，密钥可以使用以下推导公式导出：client_key-MSB = AES128（base_key_1，client_ID），（1）client_key-LSB = AES128（base_key_2，client_ID + pad）和（2）cli​​ent_key = client_key_MSB‖client_key_LSB，其中（1）和（2）并行执行。 可以使用客户端密钥和客户端标识符，以便可以实现端到端的安全性。