[发明专利]一种MACsec密钥更新方法及设备

权利要求书

1.一种媒体接入控制安全MACsec密钥更新方法，应用于包括多个网络设备的连接联盟CA中，所述CA中的各个网络设备使用相同的安全联盟密钥SAK对传输的报文进行解密或加密处理，所述多个网络设备中存在有一个网络设备作为密钥服务器，其特征在于，所述方法包括：

网络设备检测到非法攻击后，当作为所述CA中的密钥服务器时，生成并向所述CA内的其他网络设备发布新的SAK及所述新SAK对应的安全联盟SA编号AN，并存储所述新的SAK及所述新SAK对应的AN；

当不是所述CA中的密钥服务器时，通知所述CA内的作为密钥服务器的网络设备生成并发布新的SAK及所述新SAK对应的AN，并接收所述作为密钥服务器的网络设备发布的新的SAK及所述新SAK对应的AN，以及存储所述新的SAK及所述新SAK对应的AN；

其中，网络设备检测到非法攻击具体为：

所述网络设备统计接收到的非法报文的数量，所述非法报文包括AN字段为本设备当前未使用的AN的报文和报文编号PN字段小于本设备已收到报文的PN的最大值的报文；

若在预设时间周期内接收到的非法报文的数量大于预设阈值，则判定遭受到非法攻击；

当所述网络设备作为所述CA中的密钥服务器时，所述方法还包括：

所述网络设备接收到非密钥服务器的网络设备发送的用于请求发布新的SAK以及所述新的SAK对应的AN的密钥更新请求信息后，发布新的SAK以及所述新的SAK对应的AN；或，

所述网络设备接收非密钥服务器的网络设备发送的保活协议报文，并在确定所述保活协议报文中的PN值为用于指示PN即将耗尽的设定值时，发布新的SAK以及所述新的SAK对应的AN。

2.如权利要求1所述的方法，其特征在于，所述网络设备通知所述CA内的作为密钥服务器的网络设备生成并发布新的SAK及所述新SAK对应的AN，具体为：

所述网络设备向所述作为密钥服务器的网络设备发送密钥更新请求信息，所述密钥更新请求信息用于请求所述作为密钥服务器的网络设备发布新的SAK以及所述新的SAK对应的AN；或，

所述网络设备将下一个发送给作为密钥服务器的网络设备的保活协议报文中的PN值修改为用于指示PN即将耗尽的设定值，以使所述作为密钥服务器的网络设备在接收到所述保活协议报文后根据所述设定值判定需要发布新的SAK以及所述新的SAK对应的AN。

3.如权利要求1所述的方法，其特征在于，所述网络设备作为密钥服务器生成并向所述CA内的其他网络设备发布新的SAK及所述新SAK对应的AN后，所述方法还包括：

所述网络设备接收所述CA内的其他网络设备在接收到所述新的SAK及所述新SAK对应的AN后返回的响应，并在接收到所有其他网络设备返回的响应后，删除自身存储的除所述新的SAK对应的AN以外的其他AN及所述其他AN对应的SAK，并将发送给其他网络设备的数据报文中携带的更新标识的值设置为第一数值，以使所述其他网络设备在接收到所述数据报文后，根据所述更新标识的值判定需要删除除数据报文中携带的AN以外的其他AN及所述其他AN对应的SAK。

4.如权利要求1所述的方法，其特征在于，所述网络设备作为非密钥服务器接收所述作为密钥服务器的网络设备发布的新的SAK及所述新SAK对应的AN后，所述方法还包括：

所述网络设备向所述作为密钥服务器的网络设备返回响应，并在接收到所述作为密钥服务器的网络设备发送的数据报文后，获取所述数据报文中携带的AN和更新标识，当所述更新标识的值为第一数值时，删除除所述数据报文中携带的AN以外的其他AN以及所述其他AN对应的SAK。

5.如权利要求3或4所述的方法，其特征在于，所述数据报文中携带的更新标识的值具体为数据报文的SecTAG字段中的SL字段的第七个比特位或者第八个比特位的比特值。