[发明专利]生成安全关联密钥SAK的方法、网络设备、网络系统有效
申请号: | 200610162146.1 | 申请日: | 2006-12-06 |
公开(公告)号: | CN101197662A | 公开(公告)日: | 2008-06-11 |
发明(设计)人: | 普云 | 申请(专利权)人: | 华为技术有限公司 |
主分类号: | H04L9/08 | 分类号: | H04L9/08 |
代理公司: | 北京集佳知识产权代理有限公司 | 代理人: | 逯长明 |
地址: | 518129广东省*** | 国省代码: | 广东;44 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 生成 安全 关联 密钥 sak 方法 网络设备 网络 系统 | ||
技术领域
本发明涉及通信领域,特别的涉及通信安全领域中的一种生成安全关联密钥SAK的方法、网络设备、网络系统。
背景技术
网络链路层的安全技术是网络通信的重大研究课题,IEEE 802.1.ae任务组对该课题进行了研究,提出使用MAC安全(Media Access Control Security,简称MACsec)来保护二层通信的安全,防范二层攻击。该MACsec方法具体来说就是MACsec实体(MAC Security Entity,简称SecY)使用安全关联密钥(Secure Association Key,简称SAK),来对要发送的数据进行加密,接收SecY在接收到数据后,使用相同的密钥来解密,从而获得数据,这样保证了数据的机密性。同时的,接收SecY通过检查完整性校验值,来判断接收到的数据和发送SecY发出来的数据一致,保证数据的完整性,以及正确性。
在IEEE 802.1.ae任务组目前在协议中规定的MACsec是基于LAN的。各个SecY要进行通讯,就必须同属于一个安全连接关联(Secure ConnectivityAssociation,简称CA),同一个CA中的各个SecY拥有相同的安全关联主密钥(Secure Connectivity Association Key,简称CAK)。CAK可以是手工配置,也可以在通过认证后,从认证服务器获得。各个SecY使用CAK来协商产生一个SAK,SAK是不断变化更新的,而CAK则是固定不变的,即使设备重启,CAK也将保持不变。SAK的不断变化更新,极大地提高了数据的安全性。
图1为处于同一共享介质LAN中的媒体访问控制(Media Access Control,简称MAC)设备的通信示意图,如图示,MAC设备A、B、C、D同处于以共享介质LAN中,各设备之间可以互相访问通信。假设MAC设备A、B、C同属于一个CA,拥有相同的SAK,而MAC设备D则排除在外,那么如图2所示,显然,MAC设备A、B、C上的SecY可以进行MACsec安全通信,而MAC设备D由于没有该SAK,即使抓到了A、B或C发出来的MACsec帧,也不能解密。
SAK具体是使用MAC安全密钥协商协议(MAC Key AgreementProtocol,简称MKP),通过密钥选举协议数据单元(MAC Key AgreementProtocol Data Units,简称MKPDU)的交互通信产生的。如图3所示为MKPDU的帧格式示意图,在协议IEEE902.1af中规定,MKPDU帧的目的MAC地址(Destination Address)使用组播地址,使得同一LAN内的所有MAC设备都能接收到MKPDU。网桥不对MKPDU进行转发,而是过滤掉MKPDU,这样就把MKPDU局限在同一LAN内。实现了LAN内的MACsec安全密钥协商。
然而,由于现有的MACsec技术都是针对LAN的,MKPDU经过任何网桥时,将被网桥过滤掉,所以MKPDU被限制在一个LAN内,密钥协商也只能在相邻的网络设备间进行,因此MKP的应用范围受到极大的限制。
随着MAC安全通信技术的发展,后来提出了一种SAK协商的方法,该方法具体是在协议IEEE.802.1af中重新定义了一种EAPOL消息类型(记为EAPOL-MKP消息),从而,将MKPDU置于局域网间的扩展认证协议(EAPOver LAN,简称EAPOL)帧来承载实现的。但是,这样MKPDU的传递范围就决定于EAPOL-MKP消息的传递范围,而EAPOL缺省采用802.X的端口认证实体(Port Access Entity,简称PAE)组播地址:01-80-C2-00-03,此组播地址只能被MAC网桥、VLAN网桥过滤而送交MAC安全密钥协商实体(MAC Security Key Agreement Entity,简称KAY)进行密钥协商生成SAK,所以MKPDU相应只会被MAC网桥、VLAN网桥所终结,而将MKP应用只限制在MAC网桥之间或VLAN网桥之间的网络。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于华为技术有限公司,未经华为技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/200610162146.1/2.html,转载请声明来源钻瓜专利网。
- 上一篇:一种超声波破乳除油设备
- 下一篇:复合阳极电池