[发明专利]一种密钥数据的通知方法和设备

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种密钥数据的通知方法和设备。

背景技术

GD VPN（Group Domain Virtual Private Network，组域虚拟私有网）是一种实现密钥和安全策略集中管理的解决方案，传统的IPsec（IP security，IP安全）VPN是一种点到点的隧道连接，而GD VPN是一种点到多点的无隧道连接。其中，GD VPN用于实现对组播流量的保护，且GD VPN的典型应用场景包括对音频广播和组播文件、视频广播和组播文件的安全传输。

GD VPN提供了一种基于组的IPsec安全模型，组是一个安全策略的集合，属于同一个组的所有成员共享相同的安全策略及密钥。如图1所示，为GD VPN的网络示意图，GD VPN网络包括KS（Key Server，密钥服务器）和GM（Group Member，组成员）。KS通过划分不同的组来管理不同的安全策略和密钥，GM通过加入相应的组，从KS获取安全策略及密钥，并负责对数据流加密和解密。

在GD VPN网络中，GM向KS发起的注册过程如图2所示，该注册过程包括：（1）GM与KS进行IKE（Internet Key Exchange，Internet密钥交换协议）协商；（2）GM向KS发送所在组的ID；（3）KS根据GM提供的组ID向GM发送相应组的安全策略（如保护的数据流信息、加密算法、认证算法、封装模式等）；（4）GM对收到的安全策略进行验证，如果这些安全策略是可以接受的（例如安全协议和加密算法是可支持的），则向KS发送确认消息；（5）KS在收到GM的确认消息之后，向GM发送密钥；其中，该密钥为KEK（Key Encryption Key，加密密钥的密钥）、TEK（Traffic Encryption Key，加密流量的密钥）等。

现有技术中，KS在删除密钥数据后，会向各GM发送PUSH（推送）消息，且PUSH消息的Delete（删除）载荷中会携带本地删除的密钥数据；各GM在收到PUSH消息后，利用Delete载荷中携带的密钥数据删除GM本地的密钥数据。

但是，如果KS删除的密钥数据较多，则PUSH消息中需要携带大量Delete载荷，从而使得Delete载荷占用大量带宽，且由于PUSH消息能够承载的内容有限，因此大量的Delete载荷会影响PUSH消息携带其它内容。进一步的，KS向GM发送PUSH消息后，在收到GM的确认消息之前，KS还需要维护已经删除的密钥数据，以在未收到确认消息时，周期性向各GM发送PUSH消息，显然，维护大量已经删除的密钥数据，会显著增加KS的资源占用和消耗。

发明内容

本发明实施例提供一种密钥数据的通知方法和设备，以降低KS的资源占用和消耗，并且能够避免Delete载荷占用大量的带宽。

为了达到上述目的，本发明实施例提供一种密钥数据的通知方法，应用于包括密钥服务器KS和组成员GM的组域虚拟私有网GD VPN网络中，所述方法包括以下步骤：

所述KS在删除密钥数据时，生成第一PUSH消息，所述第一PUSH消息的安全关联SA载荷中携带本地所有密钥数据以及组关联策略GAP载荷，所述GAP载荷携带UPDATE属性，且所述UPDATE属性用于通知GM利用所述SA载荷中携带的本地所有密钥数据更新GM本地的密钥数据；

所述KS向所述GM发送所述第一PUSH消息，由所述GM利用所述第一PUSH消息的SA载荷中携带的所有密钥数据更新GM本地的密钥数据。

所述KS在删除密钥数据时，生成所述第一PUSH消息的过程，具体包括：

所述KS在删除密钥数据时，统计被删除的密钥数据的数量；当所述被删除的密钥数据的数量大于预设数值时，所述KS生成所述第一PUSH消息，且所述第一PUSH消息中未携带Delete载荷；或者，所述KS在删除密钥数据时，如果未记录被删除的密钥数据的信息，则所述KS生成所述第一PUSH消息，且所述第一PUSH消息中未携带Delete载荷。

在所述KS统计被删除的密钥数据的数量之后，所述方法进一步包括：

当所述被删除的密钥数据的数量不大于预设数值时，所述KS生成第二PUSH消息，所述第二PUSH消息中携带Delete载荷，且第二PUSH消息的SA载荷中未携带GAP载荷，所述Delete载荷中携带本地删除的密钥数据；

所述KS向所述GM发送所述第二PUSH消息，由所述GM利用所述第二PUSH消息的Delete载荷中携带的密钥数据删除GM本地的密钥数据。