探测客户机和服务器之间的安全传输，形成一个策略，确定加密材料是否需要被解密，以及如果内容要被解密，则从客户机和服务器获得解密信息。所形成的纯文本将被部署到处理器、存储器或接口等实体。可以检查或修改该纯文本。客户机和服务器之间的传输可以被阻止、以及未经解密、解密并在修改或未经修改的情况下重新加密后而被传送。每个传输都被赋予一个ID和策略标签。
1.一种用于处理从一个第一设备至一个第二设备的安全数字电子传输的系统，该系统包括：一个传输ID提供和识别装置，用于在来自该第一设备的每个传输被启动时为该传输提供一个ID，以及用于随后对该传输ID进行识别；
一个确定装置，用于确定该传输是否需要解密，并且用于为每个传输提供一个与该传输ID关联的策略标签，该标签指示是否有内容要被解密；
一个解密信息获取装置，用于如果需要对加密内容进行解密，则从该第一设备或第二设备或从这两个设备获取对该加密内容进行解密所需的信息；
一个解密装置，用于如果需要解密，则对该传输的加密内容进行解密；以及一个部署装置，用于将至少一部分解密内容部署到一个实体。
2.权利要求1所述的系统，其中包括一个重新加密装置，用于对将要发送至第二设备的材料进行重新加密。
3.权利要求2所述的系统，其中所述确定装置还确定与一个传输关联的材料是否要被重新加密，以及用于提供一个指示该材料要被重新加密的策略标签。
4.权利要求1所述的系统，其中包括一个旁路装置，用于将一个传输的至少一部分原始加密内容路由至第二设备。
5.权利要求4所述的系统，其中所述确定装置还确定该原始加密内容的全部或部分是否应该通过该旁路装置被提供给第二设备，以及提供一个指示该传输能够被旁路的策略标签。
6.权利要求1所述的系统，其中所述确定装置在一个传输被启动时确定该传输是否需要被解密。
7.权利要求1所述的系统，其中所述确定装置在一个传输被启动后确定该传输是否需要被解密。
8.权利要求6或7所述的系统，其中所述确定装置在确定该传输应该被解密后，随后确定该传输不需要被解密并终止解密。
9.权利要求1所述的系统，其中所选实体选自以下组，该组包括处理装置、存储装置和转发装置。
10.权利要求9所述的系统，其中所述确定装置还确定解密内容应该被部署在其上的所选实体，以及提供一个指示所选实体的身份的策略标签。
11.权利要求9所述的系统，其中所述部署装置将解密内容以只读形式部署至所选实体。
12.权利要求11所述的系统，其中包括一个重新加密装置，用于对材料进行重新加密，以及在该重新加密装置中，响应一个来自所选实体的信号，解密内容被重新加密并被转发至第二设备。
13.权利要求9所述的系统，其中所述部署装置将解密内容以能够修改形式部署至所选实体。
14.权利要求13所述的系统，其中所述部署装置包括一个接收装置，用于接收来自所选实体的内容。
15.权利要求14所述的系统，其中包括一个重新加密装置，用于对材料进行重新加密，以及在该重新加密装置中，将从所选实体接收的内容重新加密并将其转发至第二设备。
16.权利要求1所述的系统，其中包括一个传输阻止装置，用于阻止将至少一部分传输转发至第二设备。
17.权利要求1所述的系统，其中所述确定装置临时确定一个传输需要被解密，并随后确定其不需要被解密，于是该确定装置也在最初时提供一个指示需要解密的策略标签，接着提供一个指示不需要进行解密的修改后的策略标签。
18.权利要求1所述的系统，其中包括一个探测装置，用于探测一个安全传输。
19.一种处理从第一设备至第二设备的安全数字电子传输的方法，该方法包括：确定该传输是否需要被解密；
在来自该第一设备的每个传输被启动时为该传输提供一个ID，以及随后对传输ID进行识别；
为每个传输提供一个与该传输ID关联的策略标签，该标签指示是否有内容要被解密；
如果需要对加密内容进行解密，则从该第一设备或第二设备或从这两个设备获取对该加密内容进行解密所需的信息；
20.权利要求19所述的方法，其中包括对将要发送到第二设备的材料进行重新加密。
21.权利要求20所述的方法，其中包括确定与一个传输相关的材料是否要被重新加密，以及提供一个指示该材料要被重新加密的策略标签。
22.权利要求19所述的方法，其中包括将一个传输的至少一部分原始加密内容通过一个旁路路由路由至第二设备。
23.权利要求22所述的方法，其中包括确定该原始加密内容的全部或部分是否应该通过该旁路路由路由到第二设备，以及提供一个指示该传输应该被旁路的策略标签。
24.权利要求19所述的方法，其中在一个传输被启动时确定该传输是否需要被解密。
25.权利要求19所述的方法，其中在一个传输被启动后确定该传输是否需要被解密。
26.权利要求24或25所述的方法，其中包括在最初确定该传输应该被解密后，随后确定该传输不需要被解密并终止解密。
27.权利要求19所述的方法，其中包括通过实体对解密内容进行处理、存储和转发。
28.权利要求19所述的方法，其中解密内容能够被部署至多个实体，而且包括确定一个该至少一部分解密内容应该被部署至的所选实体，以及提供一个指示该至少一部分解密内容将被部署至该所选实体的策略标签。
29.权利要求28所述的方法，其中该解密内容或该至少一部分解密内容以只读形式被部署至该所选实体。
30.权利要求29所述的方法，其中包括响应一个来自该所选实体的信号，对材料进行重新加密并将该重新加密的内容转发至第二设备。
31.权利要求28所述的方法，其中该解密内容或该至少一部分解密内容以能够修改的形式部署至该所选实体。
32.权利要求31所述的方法，其中包括从该所选实体接收内容。
33.权利要求32所述的方法，其中包括对从该所选实体接收的内容进行重新加密并将其转发至第二设备。
34.权利要求19所述的方法，其中包括阻止将至少一部分传输转发至第二设备。
35.权利要求19所述的方法，其中包括临时确定一个传输需要被解密，并随后确定该传输不需要被解密，而且也在最初时提供一个指示需要解密的策略标签，接着提供一个指示不需要进行解密的修改后的策略标签。
36.权利要求19所述的方法，其中包括探测一个传输为安全传输。
用于处理安全传输的系统和方法
[0001] 本发明涉及一种用于处理安全数字电子传输的系统和方法。
[0002] 根据本发明，提供了一种用于处理从一个第一设备至一个第二设备的安全数字电子传输的系统，该系统包括：
[0003] 一个确定装置，用于确定该传输是否需要解密；
[0004] 一个解密信息获取装置，用于如果需要对加密内容进行解密，则从该第一设备或第二设备或从这两个设备获取对该加密内容进行解密所需的信息；
[0005] 一个解密装置，用于对该传输的加密内容进行解密；以及
[0006] 一个部署装置，用于将至少一部分解密内容部署到一个实体。
[0007] 该系统可以包括一个传输ID提供和识别装置，用于在来自第一设备的每个传输被启动时为该传输提供一个ID，以及用于随后对该传输ID进行识别。
[0008] 所述确定装置可以为每个传输提供一个与该传输ID关联的策略标签，该标签指示是否有内容要被解密。
[0009] 该系统还可以包括一个重新加密装置，用于对将要发送至第二设备的材料进行重新加密。所述确定装置还可以确定与一个传输关联的材料是否要被重新加密，以及可用于提供一个指示该材料要被重新加密的策略标签。
[0010] 另外，该系统可以包括一个旁路装置，用于将一个传输的至少一部分原始加密内容路由至第二设备。所述确定装置还可以确定该原始加密内容的全部或部分是否应该通过该旁路装置被提供给第二设备，以及提供一个指示该传输可被旁路的策略标签。
[0011] 可以理解，在使用中，该系统还可以接收非安全的传输信息。因此该系统还可以具备一个用于探测安全传输的探测装置，然后所述确定装置确定已被探测到的安全传输是否要被解密。任何非安全的传输还可以通过所述旁路装置被旁路。
[0012] 当一个传输被启动时，所述确定装置可以确定该传输是否需要被解密。替代地，该确定装置可以在一个传输启动后确定该传输是否需要被解密。此外，即使该确定装置确定了一个传输应该被解密，随后还可以将该确定改变为该传输无需被解密和解密终止。因此该确定装置也在最初时提供一个指示需要解密的策略标签，接着提供一个指示无需解密的修改后的标签。然后，该原始加密内容可被传输至第二设备。
[0013] 在其上部署解密内容的实体可以对该内容进行处理、存储或转发。可以由所述确定装置来确定解密内容被部署在其上的合适实体，该确定装置还可以选择该解密内容应该被部署在其上的实体，以及提供一个指示所选实体的身份的策略标签。
[0014] 所述重新加密装置响应一个来自所选实体的信号，可以对材料重新加密，并将该重新加密的材料转发至第二设备。
[0015] 所述部署装置可以将解密内容以只读形式或可修改形式部署至所选实体。如果解密内容以一个可修改的形式发送至所选实体，那么该所选实体就可以对其进行修改并将其返回。于是这种部署装置还可以包括一个接收装置，用于从所选实体接收修改后的内容。然后从所选实体接收的修改后的内容可以被所述重新加密装置重新加密，并被转发至第二设备。
[0016] 该系统还可以包括一个传输阻止装置，用于阻止将至少一部分传输转发至第二设备。
[0017] 另外，根据本发明，还提供了一种用于处理从第一设备至第二设备的安全数字电子传输的方法，该方法包括：
[0018] 确定该传输是否需要被解密；
[0019] 如果需要对加密内容进行解密，则从该第一设备或第二设备或从这两个设备获取对该加密内容进行解密所需的信息；
[0020] 对传输的加密内容进行解密；以及
[0021] 将解密内容部署到一个实体。
[0022] 该方法可以包括在来自第一设备的每个传输被启动时为该传输提供一个ID，以及随后对传输ID进行识别。
[0023] 该方法还可以包括为每个传输提供一个与该传输ID关联的策略标签，该标签指示是否有内容要被解密。
[0024] 另外，该方法可以包括对将要发送至第二设备的材料进行重新加密。如果要执行重新加密，则提供一个指示该材料要被重新加密的策略标签。
[0025] 如上所述，如果内容无需解密，则传输的至少一部分原始加密内容可以通过一个旁路路由路由至第二设备。因此，该方法可以包括确定原始加密内容的全部或部分是否应该通过该旁路路由被路由至第二设备，以及提供一个指示该传输应该被旁路的策略标签。
[0026] 可以在传输被启动时或传输被启动后来确定该传输是否需要解密。可以作出需要解密这一初始确定，随后可以将该确定改变为不需要解密。
[0027] 解密内容可以由所述实体进行处理、存储或转发。该解密内容可以被部署至多个实体。可以选择一个至少一部分解密内容应该被部署在其上的理想实体。还可以提供一个指示至少一部分解密内容将被部署至所选实体的策略标签。
[0028] 解密内容可以以只读形式或可修改形式部署至所选实体。然后响应一个来自所选实体的信号可以将解密内容的重新加密版本发送至第二设备。
[0029] 如果所选实体对其接收到的材料进行修改，该修改后的材料可以被返回。于是可以将该修改后的材料重新加密，并将其发送至第二设备。
[0030] 至少一部分传输可以被阻止，而不被发送至第二设备。
[0031] 为了满足非安全传输信息，该方法可以包括探测传输为一个安全传输。
[0032] 从上可以理解，一个安全传输可以未经修改或经修改、解密、未改变但已重新加密或经修改并已重新加密的形式而被转发至第二设备。
[0033] 从上还可以理解，实体可以只是检查解密材料或对其进行处理。因此，为了探测一些值得注意的内容，例如违法行为，可以检查解密材料。解密材料还可以被过滤以防止一些非法侵入。还可以，以一种适合于进一步应用的格式——取决于该应用，打包解密材料，以便对于该应用来说，该传输信息在此打包之前好像没有被加密。
[0034] 所述实体可以是软件模块或程序、信息处理设备或诸如路由器或服务器之类的转发或处理信息的网络节点，或它们的任何组合。如上所指示的，实体也可以是被动的，就其并不对解密的材料进行修改这点而言，或者可以是主动的，就其能对所述材料进行修改而言。
[0035] 解密材料可以通过一个应用接口或作为一个流被发送至实体，因此该系统可以具有一个流生成器组件。因此该流生成器组件设置可以允许那些标准的未经修改的应用，这些应用已被设计对非加密纯文本进行操作，从而以操作解密材料。
[0036] 传输可通过数据报或分组形式进行。
[0037] 所述解密信息获取装置可以有一个密钥协议组件，用于提供对传输进行解密和重新加密所需的信息。该组件完成协商加密算法、对话密钥，以及任何随机的“混淆器(obfuscator)”或“种子”信息。
[0038] 如果系统确定传输不需要解密，或者如果系统确定需要进行解密但没有其他实体需要对解密信息进行修改，则系统可以不终止有密码会话嵌入其中的连接，诸如其中嵌入SSL/TLS传输信息的传输控制协议(TCP)连接。
[0039] 在系统确定该传输必须被解密的情况下，该系统可以终止其中有密码会话嵌入的连接，而可以发起一个新的至第二设备的连接与传输。第二设备可能没有意识到已经发生了这种“劫持”。因此系统每一层的地址或其他连接标识符，诸如TCP端口，可以被设置为与第一和第二设备所用的相同的地址和标识符。如果正在使用的协议不允许对地址或其他连接特定标识符进行替换，则该替换将不会进行。
[0040] 如果其上将被部署解密材料的实体仅可以只修改数据，而不可以插入或移去数据，也不可以改变其中数据被拆分成诸多数据或诸多分组的方式，那么系统只可以修改传输的有效载荷。在这种模式下，如果使用流生成器，那么这个流生成器组件可以将数据发送至其他实体，并且接收由该实体修改后的数据。在此情况下，该其他实体更像是一个物理实体，诸如一个装置或者在一个服务器上运行的装置，其中多个物理网络或通信链路可以被连接到实体上或者该实体所处的平台上；或者是一个虚拟实体，例如运行在系统内或其他地方的虚拟机，在该实体通过虚拟网络接口卡(VNIC)处理该传输信息后，该实体可获得或获取该传输信息；或者是一个应用，该应用被设计或配置成与流生成器互相作用——在处理了其所接收的信息后将该信息发送回流生成器。
[0041] 该系统可以包括一个网关，该网关是某个网络的一部分。该网关可以被连接在网络中，以此方式网络传输信息或其它通信被强制穿过该网关。因此，该网关可以是路由器、交换机或“线路中的块”桥。另外，该网关可以包括一个或多个处理器或协处理器。如果该网关包括多个处理器，则这些处理器可以通过一个真实的可信链路相连，这种可信链路可以是共享存储器，类似PCI Express之类的传统服务器背板总线，或者是类似吉比特以太网的网络链路；或者是通过一个通道相连，这个通道由于其被加密而是安全的。
[0042] 所述第一设备可以是一个客户机，所述第二设备可以是一个服务器。使用安全套接字层(SSL)或传输层安全(TLS)协议作为安全层，客户机可以与服务器建立一个安全的通信会话。而传输层则可以是TCP。
[0043] 所述确定装置可在确定传输是否需要被解密中使用多种标准。这些标准可以包括：连接客户机的系统的端口或接口；连接服务器的端口或接口；客户机和服务器的源地址和目的地地址；其他源和目的地设备内部或应用的标识符；服务器公共密钥证书或客户机公共密钥证书内的字段；与协商加密算法相关的信息；以及传输内容。
[0044] 如果使用的标准是一个源地址或目的地地址，那么就可以将其所属的组考虑在内。例如，它可以来自一个可信的或不可信的源、或者来自一个公共源或私有源，也可以来自其自身的或其他的组织。
[0045] 类似地，如果考虑一个公共密钥证书内的字段或关于加密算法的信息，则可以将它们和常数或范围进行比较，也可以将它们和诸如正则表达式之类的任意模式进行匹配。
[0046] 如果考虑传输内容，则可以参考诸如应用协议标识符或发起实体或目标实体的身份之类的信息。对于后者来说，则可以和一个用户名或正在访问的资源相关。此外，所考虑的信息可以是未加密或加密的传输的一部分。未加密部分先于加密部分的协议的例子有：带有STARTTLS选项的SMTP、POP3或IMAP，其中，客户机发出STARTTLS命令来请求TLS加密的开始。
[0047] 可以理解，第一和第二设备可以是网络中的节点，该节点建立对等通信会话。通信双方之间的差别可以根据所使用的加密协议而继续存在。例如，一方可以作为发起者，另一方则可以作为目标。
[0048] 该系统中的组件可以被实现为：实时操作系统或虚拟机管理程序层中的任务或模块，操作系统内核中的组件，用户级库、组件或应用程序，直接运行在硬件上而无需操作系统介入的软件或者实现在固定的或可重新配置的设备中的硬件协处理器。
[0049] 该系统和方法也适用于设备间未加密的隧道或其他传输，例如被压缩的、被编码的或被封装的传输信息。在这种情况下，该系统的优势依旧保留，它能够识别哪些传输是所要关注的，并以适当的形式对这些传输进行打包或存储转发，以供其他实体进行检查或处理。
[0050] 还可以理解的是，对于穿过该系统的诸如网络分组或其他信息片段之类的数据，该系统识别出数据所属的传输。因此，那些正穿过相同的网络或其他通信通道或介质的并发的传输被分开。
[0051] 此外还可以理解的是，该系统在识别某个传输后确定一个与该传输关联的策略。该策略可以包含以下成分：
[0052] -该传输是否要被解密或者它是否未改变地穿过系统；
[0053] -解密信息需要被转发到哪些目的地，并且要经由哪些机制、协议或封装；以及[0054] -系统以何种模式对传输进行操作，如：允许只读地访问解密材料，或者允许读写访问。
[0055] 如果与传输相关的策略是已知的，则仅仅将该策略拿来应用就可以了。如果相关策略还没有形成，那么可以对该数据中的信息进行分析，以确定所需的策略。
[0056] 如果确定没有其他实体需要接收解密材料，则系统用于通信解密材料的组件可被禁用或设置为空闲。如果得到加密协议的支持，那么系统可以触发一个新会话密钥协商过程以移去对传输进行解密和重新加密的需求。另外，如果原始加密传输与解密或重新加密的传输相同，那么一旦确定为无需解密，就可以仅仅将其转发，或者在解密后而没有重新加密的情况下将其转发。如果协商加密协议、算法和参数与其系统配置(scheme)兼容时，这种优化方式是可行的。在使用SSL/TLS的情况下，应在连接的客户机至系统段以及系统至服务器段上协商达成相同的会话密钥。这需要在密钥协议处理过程中交换的随机数据在未经修改的情况下各自从一方转发至另一方；而且加密算法不得使用块密码链(Cypher Block Chaining)。合适的算法的例子是类似RC4/ARCFOUR的流密码。这种公开的算法可以在会话密钥协议阶段进行修改，以确保合适。
[0057] 如果系统修改该传输，将由第一设备或第二设备所提供的原始证书用发给服务器地址/主机名的、并且被第一设备和第二设备所信任的认证机构签署的证书来代替，而该系统又未对后一证书进行修改，则可能产生一个警告或错误消息，这是由于证书上的名称与目的地主机名或IP地址不一致导致的。因此，优选的是重新签署证书。
[0058] 为使设备接受一个重新签署的证书而不显示警告消息，就需要将属于系统的认证机构(CA)证书安装在此类设备上。该CA证书可以通过如下方法安装：
[0059] -通过插入HTML/XML标签或其他适合于协议和内容的信息来修改流，这使得设备可以临时访问系统上的信息，也可以在并发地加载原始被请求信息的同时访问系统上的信息，其中，由系统提供的信息具有安装CA证书这一附加作用。例如，它是CA证书本身，或者导致ActiveX，Java或其他插件被调用，当这些插件被运行时，安装CA证书；或者[0060] -通过远程自动软件安装、远程桌面配置或其他中央管理机制来分配CA证书。
[0061] 流生成器组件可以使解密材料作为一个流对另一个处理器上运行的其他实体可用、或对一个在形成系统的一部分的一个处理器上运行的其他实体可用、或一个连接至与系统相同的网络上的其他实体可用，或对上述的组合可用。这个流生成器可以提供多种流类型，包括TCP、套接字直接协议(SDP)或其他类似协议。流生成器可以包括原始分组或流头信息，如TCP目的地或源地址，源端口或目的地端口。此外，流生成器可以对此信息进行修改，以满足所附应用的需求。可以同样地修改流内容，例如通过修改流内容以反映数据不是原始加密的，或者通过添加流内容以反映数据是加密的，或者以将诸如证书字段、原始地址和端口等一些原始流参数通信给所附的应用。这将使其他实体无需请求对其硬件或软件进行修改即可获得对解密材料的访问。
[0062] 可以理解，将要接收流的实体、所要求的对流的修改，以及其他流相关参数将通过所配置的策略组来管理。由于所遵循的策略是由传输分类和识别组件来确定的，因此可以对各类传输定义不同的策略，且本发明扩展至此类策略的定义。
[0063] 对于被动实体而言，流生成器可以忽略此类实体提供的数据分组或其他数据的有效载荷，而执行所有确保流通信得以维持所需的处理，如执行握手步骤以建立流和处理，以及发送确认。这种情况下，流生成器可以探测并处理多种与由其他的被动实体提供的控制消息或分组相关的流，如ICMP端口不可达或TCP RESET消息。采取一个由系统配置和传输处理策略定义的合适的行为，例如：如果至该其他实体的解密流无法建立或毁坏，那么系统能够毁坏至第一或第二设备的加密流。
[0064] 现参考所附示图，以实施例的方式来描述本发明，该所附的示图示意性地显示了一个根据本发明的连接在客户机和服务器之间的系统。
[0065] 参见图1，一个根据本发明的用于处理安全数字电子传输的系统，总体以参考数字6表示。该系统6包括一个连接在客户机10和服务器12之间的网关8。网关8是一个网络的一部分，它被连接以使得客户机10和服务器12之间的网络传输信息被强制穿过该网关8。
[0066] 客户机10通过网络接口14.1连接至网关8，服务器12通过网络接口14.2连接至网关8。接口14.1连接至第一传输ID和策略标签模块16.1。而接口14.2连接至第二传输ID和策略标签模块16.2。传输I D和策略标签模块16.1和16.2在每个传输第一次被接收时为该传输提供一个ID以及为每个传输应用一个指示该传输内容是否要被解密的标签。随后，在接收到其他传输的传输信息时，传输ID和策略标签模块16.1和16.2会认出该传输，识别其ID，并根据相关的标签应用策略。可以理解，传输ID和策略标签模块16.1着眼于来自客户机10的传输，而传输ID和策略标签模块16.2着眼于来自服务器12的传输。
[0067] 网关8具有一个用于探测传输是否是安全的单元20，如果是，则探测其内容是否需要被解密。然后为传输ID和策略标签模块16.1和16.2提供对于相关标签来说合适的策略。
[0068] 提供旁路组件18，以使传输在接口14.1和14.2之间直接通过，而无需路由穿过其他下述组件。
[0069] 以密钥协议组件22的形式提供一个解密信息获取装置，用于获取对加密内容进行解密和重新加密内容所需的信息。密钥协议组件22确保网关8具有所需信息，以使从客户机10和服务器12接收的传输可以如下所述地被解密和重新加密。
[0070] 网关8还有“加解密(crypting)”组件24和26，每个加解密组件24，26都可以对材料进行解密或重新加密。网关8另外还有部署和接收模块28、处理器30、存储器32和转发模块34。转发模块34连接至一个其他接口14.3，网关通过该接口与外部应用36进行通信。
[0071] 使用中，客户机10使用SSL或TLS协议作为安全层，以及使用TCP传输层与服务器12建立安全通信会话。因此在客户机10与服务器12之间产生了第一流。属于这个第一流的分组通过网络接口14.1进入网关。单元20探测已经接收到一个加密的安全传输。随后使用前述的标准和策略来确定一个解密策略，即确定是否需要解密、解密产生的纯文本需要发送至哪个其他实体。这个解密策略然后会被传输ID和策略标签模块16.1标以传输ID。如果该传输内容要被解密，则从客户机10和服务器12获得合适的解密信息。随后，加解密单元24对相关内容进行解密。
[0072] 如上所述，密钥协议组件22获得对传输进行解密所需的信息，并将此信息提供给加解密组件24。如先前讨论的，该信息可以包括客户机10和服务器12之间协商的加密算法、会话密钥、随机混淆器和/或种子信息。对于客户机10来说，密钥协议组件22作为一个服务器，而对于服务器12来说，密钥协议组件22则作为一个客户机。
[0073] 一旦完成密钥协议处理，属于该传输的分组则被发送至加解密组件24。从第一客户机10至服务器12的传输随后被加解密组件24解密，以提供该传输的一个纯文本版本。形成的纯文本然后通过部署和接收模块28被发送，并被部署至处理器30、或存储器32或应用36。进一步如上所述，如果该纯文本被发送至一个被动实体，例如存储器32，则它以只读形式发送，而如果该纯文本被发送至一个主动实体，例如处理器30或应用36，则它以读写形式发送。该纯文本版本可以作为流发送。如上所述，通过将该纯文本打包成新流，可以利用那些已被设计对纯文本进行操作的标准的、未经修改的应用。
[0074] 处理器30对该纯文本进行检查，以探测任何违法材料。如果未测得违法材料，则会向加解密组件26发送一个指令，使用由单元20提供的信息对来自第一流的纯文本进行重新加密，随后通过接口14.2将其传送至服务器12。
[0075] 类似地，应用36对加解密组件24提供的纯文本进行处理，然后将修改后的纯文本返回至加解密组件26，加解密组件26对其进行重新加密并将其转发至服务器12.[0076] 如果单元20确定传输不需要被解密，那么该传输就会路由至旁路18而被直接传送至目标。
[0077] 如上所述，在配有处理器30和应用36等主动实体时，系统6以一个读写解密和重新加密模式进行操作。在这种模式下，多数情况是客户机10和服务器12之间的流在网关8处被终止，然后网关8会发起一个通向服务器12的新流。
[0078] 本领域普通技术人员可以理解，从服务器12到客户机10的传输信息可以作类似处理，在适当时由加解密单元26进行解密，由加解密单元24进行重新加密。
