[发明专利]一种大规模动态组播安全体系构架设计

说明书

技术领域

本发明涉及一种大规模网络环境下的大规模动态安全组播系统构架。针对IPv6协议的特点和要求，实现了一套比较完整的组密钥管理机制，以适用于第二代中国教育科研网(CERNET2)及同类网络环境中绝大多数组播应用的安全性和实用性要求。

背景技术

Internet的迅猛发展和普及为组播业务发展提供了强大的市场动力，组播正变得日益流行。

组播是基于UDP/IP协议、面向多接收者的通信方式，相比单播能有效节省服务器资源和网络带宽。因特网组管理协议(IGMP)用于管理组播。IGMP不提供成员接入控制，用户只要获知特定业务使用的组播地址就可向路由器发送IGMP成员报告，不经审核地加入群组并获得UDP数据的拷贝。因此，现有组播通信并不保障数据的安全。保护组播数据机密、建立安全通信系统是安全组播研究的主要目标。

IP组播的有以下几大特征：

(1)所有成员能够接收到发往该组播地址的数据包；

(2)组播提供了一个开放的组模式，使得组成员不确定数据具体来自哪个成员；

(3)任何主机能够向该组播地址发送数据包。

这三个特征反映出组播技术在本质上缺少网络层的访问控制，可以总结为缺乏对加入组控制，缺乏组成员发送、接收数据的控制，缺乏数据源真实性的验证。

既然组播存在固有的不安全问题，作为一个安全组播体系结构就需要针对这些问题提供相应的安全服务。组安全策略、组密钥管理、数据源认证、组成员管理和访问控制以及组播数据的机密性是体系结构保证安全的重要内容。

在组播体系结构的设计方面，已有的工作主要有：

专利CN03153932.7公开了一种实现组安全关联共享的方法。该专利中组播源节点只与该组中第一个发起创建SA请求的节点创建安全关联，生成共享CHILD_SA，组中其它节点再向组播源节点发起创建SA请求时，组播源节点通知该发起创建SA请求的节点从已生成共享CHILD_SA节点获取共享CHILD_SA。该方法能在IPsec框架下，支持组播通信中采用一个共享的安全关联。对于组播组中的成员节点，每次通信前都要首先创建共享CHILD_SA或与其他节点间的连接IKE_SA，当节点数目很大的时候会极大地影响性能和效率，因而不适用于大规模组播应用。

RFC3740中介绍了一种IETF组播安全体系结构。该体系结构具备了为大规模组播组通信提供许多方面的安全保证的功能，并考虑到了伸缩性对于大规模组播组的影响。但IETF结构的由于组成员变化造成的安全处理代价比较大，虽然可以通过增加分布式组播组的办法来降低该影响，但是相应增加了组播组部署的代价；在管理多个组播组的时候，存在额外的通信开销让对等实体进行联系以保证组播组之间的安全服务。

本专利以IETF结构为基础加以改进，设计了一套新的动态安全组播系统构架，将整体组播划分为不同区域，使每个组内的成员发生变化后只对本组密钥进行更新，避免了由于频繁地组成员变化而造成的整体组密钥更新所带来的系统开销，实现了在各个子域内关于密钥管理和数据分发方面灵活的扩展机制，并在Kerberos的基础上实现了安全的认证机制，进而从控制安全和数据安全的观点对组播组进行管理。本专利针对IPv6协议的特点和要求，实现了一套比较完整的组密钥管理机制，适用于CERNET2及同类网络中绝大多数组播应用的安全性和实用性要求。

发明内容

本发明的目的是通过定义不同的区域，各种互相独立的区域可以使用不同的群组密钥管理方案当系统中某个叶子域中成员发生变化时，只需本域内的密钥进行更新即可，从而大大减少因整体更新系统密钥而带来的开销。

本发明大规模动态组播安全体系构架设计，包括：系统框架设计方法；

本发明大规模动态组播安全体系构架设计，包括：密钥管理方案结构；

本发明大规模动态组播安全体系构架设计，包括：临时跨接域服务器策略。

本系统框架将整体组播域分为“主干”和“叶子”两部分：

A、主干域：由密钥产生器，密钥管理器，节点组控制器，策略和认证服务器，路由器等组成。主干域构成了密钥管理平台，在组播网络中，其包括和安全相关的协议(如Kerberos认证协议等)。主干域以节点组控制器和密钥服务器为边界，且不含任何成员主机。

B、叶子域：网络基础设施平台，包含用来构建网络的实体，由组播成员，子组控制器及针对基于IPv6组播网络的各种不同协议和实现组件等组成。每个叶子域都和一个边界节点组控制器和密钥服务器相关联，不同的叶子节点可能有不同的组密钥管理方案。