[發明專利]一種密鑰信息的傳輸方法和設備

有效

• 申請號: 201410481971.2
• 申請日: 2014-09-19
• 公開（公告）號: CN104270350B
• 公開（公告）日: 2018-10-09
• 發明（設計）人: 羅忠海
• 申請（專利權）人: 新華三技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/08
• 代理公司: 北京睿博行遠知識產權代理有限公司 11297
• 代理人: 龔家驊

本發明公開了一種密鑰信息的傳輸方法和設備，該方法包括：KS確定本KS的分級角色；當分級角色為分發KS時，分發KS生成安全策略和密鑰信息，并將安全策略和密鑰信息下發給分發KS的下一級KS；當分級角色為中轉KS時，中轉KS接收來自中轉KS的上一級KS的安全策略和密鑰信息，并在本地存儲安全策略和密鑰信息，并將本地存儲的安全策略和密鑰信息下發給中轉KS的下一級KS；當分級角色為接入KS時，接入KS接收來自接入KS的上一級KS的安全策略和密鑰信息，并在本地存儲安全策略和密鑰信息；接入KS確定GM所在組對應的安全策略和密鑰信息，并以單播方式將當前確定的安全策略和密鑰信息下發給所述GM。本發明實施例中，使GDVPN系統的網絡規模不再受限于KS的CPU性能。

技術領域

本發明涉及通信技術領域，尤其涉及一種密鑰信息的傳輸方法和設備。

背景技術

GDVPN(Group Domain Virtual Private Network，組域虛擬專用網絡)提供了一種基于組的IPsec(Internet Protocol Security，IP協議安全)安全模型。組是安全策略的集合，屬于同一個組的所有成員共享相同的安全策略和密鑰。

如圖1所示，為GDVPN系統的組網示意圖，KS(Key Server，密鑰服務器)通過劃分不同的組來管理不同的安全策略和密鑰，GM(Group Member，組成員)通過加入相應的組，以從KS獲取該組對應的安全策略和密鑰。

具體的，GM向KS發送所在組的組ID(標識)。KS根據GM提供的組ID向GM發送相應組的安全策略(保護的數據流信息、加密算法、認證算法、封裝模式等)。GM對收到的安全策略進行驗證，如果這些策略是可接受的(例如安全協議和加密算法是可支持的)，則向KS發送確認消息。KS收到GM的確認消息后，向GM發送密鑰信息，由GM利用該密鑰信息對數據進行加密和解密。

進一步的，如果在KS上配置了Rekey(密鑰更新)的相關參數，則KS還會周期性的向GM發送密鑰更新消息，且該密鑰更新消息中攜帶了最新的SA(Security Association，安全聯盟)信息。其中，KS是通過向每個GM發送單播的密鑰更新消息，以通過密鑰更新消息將最新的SA信息通知給各GM的。

當GDVPN系統中存在大量的GM時，KS需要周期性的向每個GM發送密鑰更新消息，導致KS在每個發送周期內，均需要發送大量的密鑰更新消息，從而導致GDVPN系統的網絡規模將受限于KS的CPU(Central Processing Unit，中央處理器)性能，并且GDVPN系統中能夠部署的GM數量有限。

發明內容

本發明實施例提供一種密鑰信息的傳輸方法，所述方法包括以下步驟：

密鑰服務器KS確定本KS的分級角色；

當分級角色為分發KS時，所述分發KS生成安全策略和密鑰信息，并將安全策略和密鑰信息下發給所述分發KS的下一級KS；

當分級角色為中轉KS時，所述中轉KS接收來自所述中轉KS的上一級KS的安全策略和密鑰信息，并在本地存儲安全策略和密鑰信息，并將本地存儲的安全策略和密鑰信息下發給所述中轉KS的下一級KS；

當分級角色為接入KS時，所述接入KS接收來自所述接入KS的上一級KS的安全策略和密鑰信息，并在本地存儲安全策略和密鑰信息；

所述接入KS確定組成員GM所在組對應的安全策略和密鑰信息，以單播方式將當前確定的安全策略和密鑰信息下發給所述GM。

所述方法進一步包括：