[发明专利]采用基于IP层虚拟专用网建立安全组播隧道的技术

说明书

所属技术领域：

本发明涉及网络安全技术，采用Internet安全协议IPSec构建的虚拟专用网(VPN)技术来建立用于保护组播通信的安全组播隧道，是对组播通信进行保护的一种新颖的实现方式。

技术背景：

IPSec是一种实现网络安全的重要手段，它采用加密和认证等方式形成主机或者网段之间的安全通道VPN。IPSec对数据包进行处理时需要两个基本步骤：第一，查阅安全策略库(SPDB)，决定对数据采取的安全策略(比如对数据是接受、转发还是丢弃)，SPDB是一种粗略的处理。第二，被SPDB接收的数据传给安全关联数据库(SADB)，SADB决定了具体采用的安全措施，如加密算法、数据分块长度、密钥长度等。由于SPDB和SADB中缺乏针对组播地址的安全策略(SP)和安全关联(SA)，因此本专利中需要进行扩充。

数据传送有三种基本方式，一种叫单播，针对主机到主机通信；一种叫广播，针对一台主机到子网内所有主机的通信；第三种叫组播，采用Internet规定的组播地址(从224.0.0.0到239.255.255.255)，只有组成员能收到组播数据。组的生成采用Internet组管理协议(IGMP)控制。组播节省了大量网络带宽，可以实现视频点播等运用，是宽带运用下的热点，也是未来发展的重点。现有的组播缺点是不安全，任何人都可以加入组，也可以退出组，这对一些采用组播技术的运用如电子政务会议的安全威胁很大，因此安全组播越来越受重视。但是由于组播针对的是组地址，它的实体是许多台机器，如果采用单播下的安全协议如Internet密钥交换协议(IKE)，那么连接的发起者只有一个，但是响应者却有许多个，如何进行协商呢？如何对组成员身份进行鉴别呢？因此，单播下的安全协议IKE、IPSec不能直接用于组播。这是组播发展的难点。

组播的发展，是由于需要以一种可扩展的方式支持一对多或多对多的运用。目前组播的商业运用越来越受重视，但是安全性却构成组播广泛运用的制约因素之一。实现安全组播的关键问题是用户权限撤销问题：即新用户加入组时的安全策略配置问题(如密钥分发问题)和用户退出组的策略更新问题(或密钥更新问题)。解决该关键问题的方法有：

第一种基本的方法是每个用户分别与组播源拥有一个共同的密钥(预共享密钥一Ks)，组播源采用在Ks保护下分发组播数据加密密钥(Kd)；当用户加入时，组播源采用Kd重新分发给老用户Kd’，用Ks给新用户分发Kd’；当用户退出时，组播源采用Ks重新分发Kd”。该方法的缺点是当用户数量较多时，密钥分发效率低，此外预共享密钥缺乏足够的用户身份认证。

第二种方法是在第一种方法的基础上将组播组分为若干层次树，每一个树枝具有一个控制点，在每个控制点内按照第一种方法来进行，同层次的控制点又有一个更高一级的控制点，以此类推。该方法的缺点是控制节点不能随意更改和撤销，也即控制节点成为安全的薄弱点。

第三种方法是采用公开密钥技术，如采用Diffie-Hellman(简称为D-H)来进行密钥的更新，D-H交换安全性较差，容易受到中间人攻击。

IPSec VPN是一种在不安全的Internet线路上构建的IP层安全的虚拟专用网络，它主要用于保护主机和个人的通信，将保护主机或网段的IPSec VPN用于安全组播是一种新颖的实现方式。

发明内容：

本发明提出了一种采用IPSec VPN实现安全组播的新方法。该方法采用组播源和组播用户进行IKE协商，进而形成IPSec VPN，在此基础上进行组播密钥的分发，然后对安全策略数据库(SPDB)和安全关联数据库(SADB)进行扩充，形成组安全关联(GSA)，在此基础上进行组数据发送。