[发明专利]生成安全关联密钥SAK的方法、网络设备、网络系统有效

专利信息
申请号: 200610162146.1 申请日: 2006-12-06
公开(公告)号: CN101197662A 公开(公告)日: 2008-06-11
发明(设计)人: 普云 申请(专利权)人: 华为技术有限公司
主分类号: H04L9/08 分类号: H04L9/08
代理公司: 北京集佳知识产权代理有限公司 代理人: 逯长明
地址: 518129广东省*** 国省代码: 广东;44
权利要求书: 查看更多 说明书: 查看更多
摘要:
搜索关键词: 生成 安全 关联 密钥 sak 方法 网络设备 网络 系统
【说明书】:

技术领域

发明涉及通信领域,特别的涉及通信安全领域中的一种生成安全关联密钥SAK的方法、网络设备、网络系统。

背景技术

网络链路层的安全技术是网络通信的重大研究课题,IEEE 802.1.ae任务组对该课题进行了研究,提出使用MAC安全(Media Access Control Security,简称MACsec)来保护二层通信的安全,防范二层攻击。该MACsec方法具体来说就是MACsec实体(MAC Security Entity,简称SecY)使用安全关联密钥(Secure Association Key,简称SAK),来对要发送的数据进行加密,接收SecY在接收到数据后,使用相同的密钥来解密,从而获得数据,这样保证了数据的机密性。同时的,接收SecY通过检查完整性校验值,来判断接收到的数据和发送SecY发出来的数据一致,保证数据的完整性,以及正确性。

在IEEE 802.1.ae任务组目前在协议中规定的MACsec是基于LAN的。各个SecY要进行通讯,就必须同属于一个安全连接关联(Secure ConnectivityAssociation,简称CA),同一个CA中的各个SecY拥有相同的安全关联主密钥(Secure Connectivity Association Key,简称CAK)。CAK可以是手工配置,也可以在通过认证后,从认证服务器获得。各个SecY使用CAK来协商产生一个SAK,SAK是不断变化更新的,而CAK则是固定不变的,即使设备重启,CAK也将保持不变。SAK的不断变化更新,极大地提高了数据的安全性。

图1为处于同一共享介质LAN中的媒体访问控制(Media Access Control,简称MAC)设备的通信示意图,如图示,MAC设备A、B、C、D同处于以共享介质LAN中,各设备之间可以互相访问通信。假设MAC设备A、B、C同属于一个CA,拥有相同的SAK,而MAC设备D则排除在外,那么如图2所示,显然,MAC设备A、B、C上的SecY可以进行MACsec安全通信,而MAC设备D由于没有该SAK,即使抓到了A、B或C发出来的MACsec帧,也不能解密。

SAK具体是使用MAC安全密钥协商协议(MAC Key AgreementProtocol,简称MKP),通过密钥选举协议数据单元(MAC Key AgreementProtocol Data Units,简称MKPDU)的交互通信产生的。如图3所示为MKPDU的帧格式示意图,在协议IEEE902.1af中规定,MKPDU帧的目的MAC地址(Destination Address)使用组播地址,使得同一LAN内的所有MAC设备都能接收到MKPDU。网桥不对MKPDU进行转发,而是过滤掉MKPDU,这样就把MKPDU局限在同一LAN内。实现了LAN内的MACsec安全密钥协商。

然而,由于现有的MACsec技术都是针对LAN的,MKPDU经过任何网桥时,将被网桥过滤掉,所以MKPDU被限制在一个LAN内,密钥协商也只能在相邻的网络设备间进行,因此MKP的应用范围受到极大的限制。

随着MAC安全通信技术的发展,后来提出了一种SAK协商的方法,该方法具体是在协议IEEE.802.1af中重新定义了一种EAPOL消息类型(记为EAPOL-MKP消息),从而,将MKPDU置于局域网间的扩展认证协议(EAPOver LAN,简称EAPOL)帧来承载实现的。但是,这样MKPDU的传递范围就决定于EAPOL-MKP消息的传递范围,而EAPOL缺省采用802.X的端口认证实体(Port Access Entity,简称PAE)组播地址:01-80-C2-00-03,此组播地址只能被MAC网桥、VLAN网桥过滤而送交MAC安全密钥协商实体(MAC Security Key Agreement Entity,简称KAY)进行密钥协商生成SAK,所以MKPDU相应只会被MAC网桥、VLAN网桥所终结,而将MKP应用只限制在MAC网桥之间或VLAN网桥之间的网络。

下载完整专利技术内容需要扣除积分,VIP会员可以免费下载。

该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于华为技术有限公司,未经华为技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服

本文链接:http://www.vipzhuanli.com/pat/books/200610162146.1/2.html,转载请声明来源钻瓜专利网。

×

专利文献下载

说明:

1、专利原文基于中国国家知识产权局专利说明书;

2、支持发明专利 、实用新型专利、外观设计专利(升级中);

3、专利数据每周两次同步更新,支持Adobe PDF格式;

4、内容包括专利技术的结构示意图流程工艺图技术构造图

5、已全新升级为极速版,下载速度显著提升!欢迎使用!

请您登陆后,进行下载,点击【登陆】 【注册】

关于我们 寻求报道 投稿须知 广告合作 版权声明 网站地图 友情链接 企业标识 联系我们

钻瓜专利网在线咨询

周一至周五 9:00-18:00

咨询在线客服咨询在线客服
tel code back_top