[發明專利]一種密鑰數據的通知方法和設備

有效

• 申請號: 201310483227.1
• 申請日: 2013-10-15
• 公開（公告）號: CN103532952B
• 公開（公告）日: 2017-04-12
• 發明（設計）人: 王占群
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京鑫媛睿博知識產權代理有限公司11297
• 代理人: 龔家驊

技術領域

本發明涉及通信技術領域，尤其涉及一種密鑰數據的通知方法和設備。

背景技術

GD?VPN（Group?Domain?Virtual?Private?Network，組域虛擬私有網）是一種實現密鑰和安全策略集中管理的解決方案，傳統的IPsec（IP?security，IP安全）VPN是一種點到點的隧道連接，而GD?VPN是一種點到多點的無隧道連接。其中，GD?VPN用于實現對組播流量的保護，且GD?VPN的典型應用場景包括對音頻廣播和組播文件、視頻廣播和組播文件的安全傳輸。

GD?VPN提供了一種基于組的IPsec安全模型，組是一個安全策略的集合，屬于同一個組的所有成員共享相同的安全策略及密鑰。如圖1所示，為GD?VPN的網絡示意圖，GD?VPN網絡包括KS（Key?Server，密鑰服務器）和GM（Group?Member，組成員）。KS通過劃分不同的組來管理不同的安全策略和密鑰，GM通過加入相應的組，從KS獲取安全策略及密鑰，并負責對數據流加密和解密。

在GD?VPN網絡中，GM向KS發起的注冊過程如圖2所示，該注冊過程包括：（1）GM與KS進行IKE（Internet?Key?Exchange，Internet密鑰交換協議）協商；（2）GM向KS發送所在組的ID；（3）KS根據GM提供的組ID向GM發送相應組的安全策略（如保護的數據流信息、加密算法、認證算法、封裝模式等）；（4）GM對收到的安全策略進行驗證，如果這些安全策略是可以接受的（例如安全協議和加密算法是可支持的），則向KS發送確認消息；（5）KS在收到GM的確認消息之后，向GM發送密鑰；其中，該密鑰為KEK（Key?Encryption?Key，加密密鑰的密鑰）、TEK（Traffic?Encryption?Key，加密流量的密鑰）等。

現有技術中，KS在刪除密鑰數據后，會向各GM發送PUSH（推送）消息，且PUSH消息的Delete（刪除）載荷中會攜帶本地刪除的密鑰數據；各GM在收到PUSH消息后，利用Delete載荷中攜帶的密鑰數據刪除GM本地的密鑰數據。

但是，如果KS刪除的密鑰數據較多，則PUSH消息中需要攜帶大量Delete載荷，從而使得Delete載荷占用大量帶寬，且由于PUSH消息能夠承載的內容有限，因此大量的Delete載荷會影響PUSH消息攜帶其它內容。進一步的，KS向GM發送PUSH消息后，在收到GM的確認消息之前，KS還需要維護已經刪除的密鑰數據，以在未收到確認消息時，周期性向各GM發送PUSH消息，顯然，維護大量已經刪除的密鑰數據，會顯著增加KS的資源占用和消耗。

發明內容

本發明實施例提供一種密鑰數據的通知方法和設備，以降低KS的資源占用和消耗，并且能夠避免Delete載荷占用大量的帶寬。

為了達到上述目的，本發明實施例提供一種密鑰數據的通知方法，應用于包括密鑰服務器KS和組成員GM的組域虛擬私有網GD?VPN網絡中，所述方法包括以下步驟：

所述KS在刪除密鑰數據時，生成第一PUSH消息，所述第一PUSH消息的安全關聯SA載荷中攜帶本地所有密鑰數據以及組關聯策略GAP載荷，所述GAP載荷攜帶UPDATE屬性，且所述UPDATE屬性用于通知GM利用所述SA載荷中攜帶的本地所有密鑰數據更新GM本地的密鑰數據；

所述KS向所述GM發送所述第一PUSH消息，由所述GM利用所述第一PUSH消息的SA載荷中攜帶的所有密鑰數據更新GM本地的密鑰數據。

所述KS在刪除密鑰數據時，生成所述第一PUSH消息的過程，具體包括：

所述KS在刪除密鑰數據時，統計被刪除的密鑰數據的數量；當所述被刪除的密鑰數據的數量大于預設數值時，所述KS生成所述第一PUSH消息，且所述第一PUSH消息中未攜帶Delete載荷；或者，所述KS在刪除密鑰數據時，如果未記錄被刪除的密鑰數據的信息，則所述KS生成所述第一PUSH消息，且所述第一PUSH消息中未攜帶Delete載荷。

在所述KS統計被刪除的密鑰數據的數量之后，所述方法進一步包括：

當所述被刪除的密鑰數據的數量不大于預設數值時，所述KS生成第二PUSH消息，所述第二PUSH消息中攜帶Delete載荷，且第二PUSH消息的SA載荷中未攜帶GAP載荷，所述Delete載荷中攜帶本地刪除的密鑰數據；

所述KS向所述GM發送所述第二PUSH消息，由所述GM利用所述第二PUSH消息的Delete載荷中攜帶的密鑰數據刪除GM本地的密鑰數據。