[發(fā)明專利]通信系統(tǒng)中建立ESP安全聯(lián)盟的方法和系統(tǒng)

無(wú)效

• 申請(qǐng)?zhí)枺?/td>: 200610103524.9
• 申請(qǐng)日: 2006-07-19
• 公開（公告）號(hào): CN101110672A
• 公開（公告）日: 2008-01-23
• 發(fā)明（設(shè)計(jì)）人: 梁文亮;謝勇
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): H04L9/32
• 分類號(hào): H04L9/32;H04L9/08;H04L12/46;H04L12/56;H04L29/06
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司
• 代理人: 胡晶;逯長(zhǎng)明

技術(shù)領(lǐng)域

本發(fā)明涉及通信領(lǐng)域中通信系統(tǒng)中建立安全聯(lián)盟的方法及系統(tǒng)，尤其涉及移動(dòng)節(jié)點(diǎn)(Mobile?Node，MN)和家鄉(xiāng)代理(Home?Agent，HA)之間建立ESP(Encapsulating?Security?Payload，安全載荷封裝)安全聯(lián)盟的方法和系統(tǒng)。

背景技術(shù)

在現(xiàn)有的移動(dòng)IP技術(shù)中，移動(dòng)IPv6是今天最有效地可移動(dòng)建議之一。如圖1所示，其為一個(gè)基本的移動(dòng)Ipv6組成示意圖。移動(dòng)Ipv6包含三個(gè)實(shí)體：移動(dòng)節(jié)點(diǎn)MN、家鄉(xiāng)代理HA和通信節(jié)點(diǎn)CN。一個(gè)Ipv6移動(dòng)節(jié)點(diǎn)是一個(gè)多主機(jī)地址節(jié)點(diǎn)。它同時(shí)擁有一個(gè)轉(zhuǎn)交地址和一個(gè)家鄉(xiāng)地址，其中轉(zhuǎn)交地址用來(lái)路由IP包，其前綴是所訪問(wèn)鏈路網(wǎng)絡(luò)的前綴。轉(zhuǎn)交地址是臨時(shí)的，必須要對(duì)它進(jìn)行返回路由能力檢查之后才能使用該地址參與通信；家鄉(xiāng)地址用來(lái)識(shí)別移動(dòng)節(jié)點(diǎn)，其前綴是家鄉(xiāng)鏈路網(wǎng)絡(luò)的前綴。移動(dòng)Ipv6允許移動(dòng)節(jié)點(diǎn)從一個(gè)鏈路移動(dòng)到另一個(gè)鏈路而無(wú)需改變家鄉(xiāng)地址。

移動(dòng)節(jié)點(diǎn)和通信節(jié)點(diǎn)有兩種通信模式。第一種模式是從通信節(jié)點(diǎn)發(fā)出的數(shù)據(jù)包會(huì)路由到家鄉(xiāng)代理，再通過(guò)隧道發(fā)往移動(dòng)節(jié)點(diǎn)；從移動(dòng)節(jié)點(diǎn)發(fā)出的數(shù)據(jù)包先通過(guò)隧道發(fā)往家鄉(xiāng)代理，再路由到通信節(jié)點(diǎn)。在這種模式中，家鄉(xiāng)代理在家鄉(xiāng)鏈路上使用代理鄰居發(fā)現(xiàn)協(xié)議截取指向移動(dòng)節(jié)點(diǎn)家鄉(xiāng)地址的數(shù)據(jù)包。被截取的數(shù)據(jù)包通過(guò)隧道發(fā)往到移動(dòng)節(jié)點(diǎn)當(dāng)前的轉(zhuǎn)交地址。這種模式雙向的數(shù)據(jù)都必須經(jīng)過(guò)家鄉(xiāng)代理HA，容易引出網(wǎng)絡(luò)阻塞，并且當(dāng)家鄉(xiāng)代理和相關(guān)鏈路發(fā)生故障后影響移動(dòng)節(jié)點(diǎn)和通信節(jié)點(diǎn)之間的通信。

第二種模式是路由優(yōu)化模式。雙方通信的數(shù)據(jù)不必經(jīng)由HA，而直接經(jīng)過(guò)路由進(jìn)行通信。這種模式由于對(duì)路由進(jìn)行了優(yōu)化而得到了極大的發(fā)展。在路由優(yōu)化模式下，移動(dòng)Ipv6引入了一個(gè)返回可路由過(guò)程(RRP)，通過(guò)它保證MN與CN通信時(shí)的安全，其原理是通過(guò)對(duì)MN與CN之間交換的信令進(jìn)行加密來(lái)對(duì)它們之間的登記進(jìn)行認(rèn)證。通過(guò)RRP，CN知道是否能夠使用MN通告的轉(zhuǎn)交地址和家鄉(xiāng)地址訪問(wèn)MN；如果RRP測(cè)試失敗，CN將既不能直接發(fā)送分組到MN的轉(zhuǎn)交地址。其測(cè)試方法是通過(guò)兩個(gè)消息對(duì)(HoTI和HoT，CoTI和CoT)分別測(cè)試目的地址是家鄉(xiāng)地址和轉(zhuǎn)換地址的分組是否能夠到達(dá)MN，據(jù)此接收來(lái)自MN的綁定(請(qǐng)參閱圖2)。

在RRP過(guò)程中，HoTI用于把MN的家鄉(xiāng)地址和Cookie通知CN，請(qǐng)求CN提供家鄉(xiāng)密鑰生成令牌。而CoTI主要是把MN的轉(zhuǎn)交地址和Cookie通知CN，請(qǐng)求CN提供轉(zhuǎn)交密鑰生成令牌。MN通過(guò)對(duì)家鄉(xiāng)密鑰生成令牌、轉(zhuǎn)交密鑰生成令牌進(jìn)行SHA1散列運(yùn)算得到一個(gè)共享密鑰Kbm。通過(guò)該共享密鑰Kbm對(duì)后續(xù)MN和CN之間的BU(綁定更新)和BA(綁定響應(yīng))進(jìn)行認(rèn)證。

在PPR過(guò)程中，HoTI和HoT這兩個(gè)消息是以明文方式進(jìn)行傳輸，無(wú)法保證移動(dòng)節(jié)點(diǎn)MN和家鄉(xiāng)代理HA之間返回可路由過(guò)程的私密性，由此容易被監(jiān)聽。當(dāng)惡意攻擊者得到HoT和CoT消息中的H-Token以及C-Token后，可以計(jì)算出后續(xù)MN和CN之間BU過(guò)程的密鑰信息kbm，由此不能保證后續(xù)通信如預(yù)期那樣發(fā)生在移動(dòng)節(jié)點(diǎn)MN和相關(guān)節(jié)點(diǎn)CN之間。最終，WiMax等無(wú)線網(wǎng)絡(luò)將無(wú)法正常支持路由優(yōu)化R0，降低了WiMax網(wǎng)絡(luò)效率。也就是說(shuō)WiMAX等無(wú)線網(wǎng)絡(luò)如果要支持IPv6的R0，就必須考慮移動(dòng)節(jié)點(diǎn)MN和家鄉(xiāng)代理HA之間的ESP安全聯(lián)盟，以保證路由優(yōu)化R0信令的私密性。

除了上述提到的RRP過(guò)程需要預(yù)先建立MN和HA之間的ESP安全聯(lián)盟，在其它一些場(chǎng)合，如移動(dòng)前綴請(qǐng)求過(guò)程、MN和HA的數(shù)據(jù)傳輸過(guò)程都需要保證MN和HA之間業(yè)務(wù)的安全性，同樣也需要建立MN和HA之間的ESP安全聯(lián)盟。

發(fā)明內(nèi)容

本發(fā)明的目的在于提供一種通信系統(tǒng)中建立ESP安全聯(lián)盟的方法和系統(tǒng)，以增加MN和HA之間業(yè)務(wù)的安全性。

為了達(dá)到上述目的，本發(fā)明提供了公開了一種通信系統(tǒng)中建立ESP安全聯(lián)盟的方法，包括以下步驟：

(1)AAA服務(wù)器生成ESP安全聯(lián)盟的安全密鑰，并將所述安全密鑰通知家鄉(xiāng)代理HA；

(2)移動(dòng)節(jié)點(diǎn)MN接收從AAA服務(wù)器發(fā)送的安全密鑰，或者M(jìn)N按照與AAA服務(wù)器預(yù)約定的生成規(guī)則生成相同的安全密鑰；

(3)MN和HA采用所述安全密鑰、預(yù)先設(shè)定或由AAA服務(wù)器指定的加密算法及預(yù)先配置的安全參數(shù)索引SPI建立ESP安全聯(lián)盟。