[发明专利]一种MACsec密钥更新方法及设备

摘要

本发明公开一种MACsec密钥更新方法和设备，应用于包括多个网络设备的连接联盟CA中，本发明实施例中，通过使网络设备在检测到攻击后，生成并发布新的SAK或者触发作为密钥服务器的网络设备生成并发布新的SAK，能够在CA内的网络设备检测到受到攻击后，及时更换当前CA所使用的SAK，从而提高MACsec密钥更新的及时性，最大限度的保障网络安全。

主权项

一种媒体接入控制安全MACsec密钥更新方法，应用于包括多个网络设备的连接联盟CA中，所述CA中的各个网络设备使用相同的安全联盟密钥SAK对传输的报文进行解密或加密处理，所述多个网络设备中存在有一个网络设备作为密钥服务器，其特征在于，所述方法包括：网络设备检测到非法攻击后，当作为所述CA中的密钥服务器时，生成并向所述CA内的其他网络设备发布新的SAK及所述新SAK对应的安全联盟SA编号AN，并存储所述新的SAK及所述新SAK对应的AN；当不是所述CA中的密钥服务器时，通知所述CA内的作为密钥服务器的网络设备生成并发布新的SAK及所述新SAK对应的AN，并接收所述作为密钥服务器的网络设备发布的新的SAK及所述新SAK对应的AN，以及存储所述新的SAK及所述新SAK对应的AN；其中，网络设备检测到非法攻击具体为：所述网络设备统计接收到的非法报文的数量，所述非法报文包括AN字段为本设备当前未使用的AN的报文和报文编号PN字段小于本设备已收到报文的PN的最大值的报文；若在预设时间周期内接收到的非法报文的数量大于预设阈值，则判定遭受到非法攻击；当所述网络设备作为所述CA中的密钥服务器时，所述方法还包括：所述网络设备接收到非密钥服务器的网络设备发送的用于请求发布新的SAK以及所述新的SAK对应的AN的密钥更新请求信息后，发布新的SAK以及所述新的SAK对应的AN；或，所述网络设备接收非密钥服务器的网络设备发送的保活协议报文，并在确定所述保活协议报文中的PN值为用于指示PN即将耗尽的设定值时，发布新的SAK以及所述新的SAK对应的AN。