[發明專利]一種自適應的復合密鑰交換和會話密鑰管理方法

有效

• 申請號: 200810080214.9
• 申請日: 2008-12-25
• 公開（公告）號: CN101442403A
• 公開（公告）日: 2009-05-27
• 發明（設計）人: 竇軍;盧華斌;吳巍;張林杰;羅春雷;于紅增;牛增新;呂霆;何晨澤;李大艷;王彥敏
• 申請（專利權）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/30;H04L9/32;H04L12/18;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

技術領域

本發明涉及通信領域中一種自適應的復合密鑰交換和會話密鑰管理方法，特別適用于通信實體認證中的密鑰交換和管理。

背景技術

密鑰交換用于通信雙方協商會話密鑰，以保證會話的保密性。在IEEE?1363-2000和1363a標準中規定了兩種密鑰交換協議，分別稱為ECKAS-DH和ECKAS-MQV協議。前者以Diffie-Hellman協議為基礎，該協議不能抵抗小子群攻擊和中間人攻擊；后者以MQV協議為基礎，該協議通過臨時公私鑰和長期公私鑰消除了中間人攻擊的可能，并且不存在小子群攻擊。

在實際應用中還有會話密鑰的管理問題，在會話密鑰交換過程中要保證不能中斷通信。在局域網中會有廣播通信的情況，這種情況下的密鑰交換，上述的標準協議也不能解決。

發明內容

本發明所要解決的技術問題在于避免上述背景技術中的不足之處而提供一種通信實體間信息安全、認證的會話密鑰交換和管理技術的自適應的復合密鑰交換和會話密鑰管理方法。本發明采用標準以太網接口，在不改動現有通信實體的情況下，就可以加入安全認證和加解密功能。本發明方法制造的產品具有設備簡單，組網迅速，性能好，使用方便，成本低廉等特點。

本發明的目的是這樣實現的，一種自適應的復合密鑰交換和會話密鑰管理方法，依據國際電氣和電子工程師協會IEEE?1363-2000和IEEE?1363a建議規定的密鑰交換協議ECMQV，進行網絡節點的點對點的會話密鑰交換；依據國際電氣和電子工程師協會IEEE?1363-2000和IEEE?1363a建議規定的橢圓曲線ECIES公鑰加密體系，構建基于公鑰加密的密鑰分發協議和管理協議ECDL，進行網絡節點的點對多點廣播會話密鑰分發；依據國際電氣和電子工程師協會IEEE?802.1x規定的局域網擴展認證協議EAPoL協議，對EAPoL協議的消息類型進行擴展，定義部分消息內容，進行認證信息和密鑰交換信息的傳送，其特征在于包括步驟：

①采用會話密鑰管理實體維護可信終端表，可信終端表中存儲網絡中相鄰的可信終端ID，MAC地址和會話密鑰信息，定時檢測對端終端是否存在，定時啟動認證過程，認證通過的對端終端被加入可信終端表；不能通過認證的或不存在的對端終端，將從可信終端表中刪除；

②會話密鑰管理實體對可信終端表中的每個處于工作狀態的可信終端，啟動ECMQV會話密鑰交換協議，進行網絡節點的點對點的會話密鑰交換；同時啟動基于公鑰加密的密鑰分發協議和管理協議ECDL，進行網絡節點的點對多點廣播會話密鑰分發；

③對網絡節點的點對點會話密鑰，每次交換兩個會話密鑰，存入可信終端表中，每個會話密鑰啟動單獨的定時器，進行定時的重新交換；對網絡節點的廣播會話密鑰每個終端產生兩個會話密鑰，用于本節點終端數據幀加密，并發送到每個對端終端；記錄每個對端終端的兩個會話密鑰，用于對端終端數據幀解密，這些密鑰都存入可信終端表中；每個本節點終端加密密鑰啟動100秒定時器，超時100秒則更新加密密鑰并啟動廣播會話密鑰分發過程；對每個對端終端的廣播會話密鑰啟動200秒定時器，超時200秒則在可信終端表中刪除該密鑰；

④將可信終端采用以太網封裝技術和IP封裝技術，對加密的數據幀進行封裝，采用國際信息處理標準委員會FIPS-PUB-197規定的AES高級加密標準進行對稱加密，加密分組長度為16字節，加密密文長度不大于加密前明文長度16字節；可信終端將以太網數據幀長度從1518字節加長為1518+32字節，在密文數據幀中傳送密鑰序號，與數據終端的明文數據為標準幀長；可信終端在加密明文數據幀時，判斷可信終端表中處于工作狀態的終端個數，如果只有一個可信終端，則采用ECMQV會話密鑰交換協議交換的密鑰進行加密，如果有多于一個可信終端，則采用ECDL密鑰分發協議中分發的加密密鑰進行加密；每種密鑰分發方式都有兩個會話密鑰，加密時二中選一，以保證其中一個會話密鑰在重新認證或重新交換時能不間斷工作；

完成自適應的復合密鑰交換和會話密鑰管理。

本發明與背景技術相比，具有如下優點：

(1)本發明實行自適應的復合的密鑰交換協議和會話密鑰管理方法，適應性更強，自動適應點到點和廣播的密鑰交換。

(2)本發明實行定期100秒交換/更新會話密鑰，根據可信終端表更換密鑰交換協議，安全性和適應性都得到了保障。

(3)本發明實行多密鑰備份，密鑰交換過程中保證了密鑰的可用性。

附圖說明

圖1是本發明密鑰交換協議ECMQV工作原理圖。

具體實施方式