CN100403673C - 基于保密通信的无缝换钥技术 - Google Patents

Abstract

本发明应用在基于密码机的全双工保密通信系统中，由密钥分配管理中心KDMC统一对系统中相应的密码机进行密钥库的在线式更换。在传统的更换密钥库方式的基础上，通过采用密钥库缓存和MK握手切换等技术改进，实现了在全网密码机更换密钥库时，不中断密码机之间正常数据保密通信的无缝换钥。

Description

基于保密通信的无缝换钥技术

技术领域

本发明涉及一种应用在全双工安全保密通信系统中，针对密钥分发管理中心统一对系统中各密码机进行定期密钥库在线更换，以及密码机自身定时更换会话消息密钥时，不中断正常通信的无缝换钥技术。

技术背景

在一个基于密码机组建的安全保密通信系统中，系统换钥主要针对密码机的工作密钥库(后续简称密钥库)以及每次会话所使用的会话消息密钥进行定期(或定时)更换。其中，对密码机密钥库的管理是整个系统中非常重要的部分。

现阶段，相当多的安全系统普遍采用在线式密钥管理，即对密码机密钥库的管理是通过与网络中一台专用密钥分配管理中心(后续简称KDMC)相连接来实现的，由KDMC统一对系统中所有同类型的密码机进行密钥库的分发、更换和管理。这样管理方式方便了密钥库数据的统一采集和管理，但同时在进行密钥库更换的时候存在一个难点：系统中数量众多的密码机需要进行密钥库的更换，而密钥分发管理中心通常不可能同时更换所有密码机的密钥库，而只能逐一对密码机进行操作；于是，密码机在进行密钥更换的期间内可能存在不同版本的密钥库，导致保密通信无法正常继续工作，从而中断用户的正常通信。另外一种密钥管理的方式是使用脱线发卡系统，通过更换系统卡实现密钥库的定期更换。该方式，系统密钥管理人员(后续简称密管人员)需发行管理大量的系统卡，在确保所有下属站点用户均收到系统卡后，统一指定更换密钥时间进行密钥库更换，增加了密管人员的工作量和工作难度，同时系统卡容易丢失，直接影响整个系统的安全性。

此外，当系统采用的是24小时实时通信(如租用专线等线路)的方式时，为确保保密通信的安全强度，系统要求定时进行会话消息密钥的更换，而该消息密钥的更换同样存在上述中断正常通信的问题。

在以往的安全系统设计方案中，所使用的换钥方式都以换钥期内中断用户的正常通信为代价，即在换钥期间，所有密码机之间不允许进行保密通信，直至它们均完成密钥库更换且密钥同步为止。这样，如果系统中密码机数量较多，而通信的传输速率又较低的情况下，因密码机更换密钥而导致的通信中断时间就会延长，影响用户的正常通信。

发明内容

本发明旨在解决以往安全保密通信系统换钥过程中必然出现通信中断的弊端，在信道通信状态正常的情况下，既使系统中密码机数量比较多，在整个更换密钥库和会话消息密钥的期间，密码机之间都能正常的进行保密通信。为达到上述目的，本发明所采用的技术方案如下：

一种基于保密通信的无缝换钥的方法，应用于基于密码机的全双工保密通信系统中，由密钥分配管理中心KDMC统一对系统中相应的密码机进行密钥库的在线式更换，在全双工通信过程中，对由终端收到的数据进行加密处理，并向网络发送密文的密码机称为加密密码机，对由网络收到的数据进行解密处理，并将解密明文发送到终端的密码机称之为解密密码机，其特征在于：该密码机系统设计有两个工作密钥库WKB存储区，用于同时保存新旧两套密钥库，通过使用密钥库缓存方式实现系统无缝换钥；该技术方法包括密钥分配管理中心KDMC与密码机间进行全网密钥库定期更换，及密码机之间消息密钥MK的定时更换握手，系统的密钥管理流程如下：

I、密钥分配管理中心KDMC向全网密码机在线加注工作密钥库WKB，之后启用工作密钥库WKB；当密码机首次加注工作密钥库WKB时，新密钥库和老密钥库同时加注同一版本工作密钥库WKB；正常换钥时，在加密密码机未收到启用新库命令时，密码机之间不进行消息密钥MK的重新握手，双方继续使用老库；在加密密码机收到启用新库命令时，加密密码机将重新进行消息密钥MK握手，并指定工作密钥库WKB编号使用新密钥库；

II、在每次保密通信时，加密密码机在下述①或②条件下，更新消息密钥MK并通知解密密码机进行消息密钥MK握手：

①在系统完成全网密钥库更换，加密密码机从KDMC处接收到启用新密钥库命令帧后；

②在正常保密通信过程中MK工作计时超时情况下；

III、解密密码机在收到消息密钥MK验证通过后，向加密密码机发送确认帧；

IV、在通信双方密码机确定消息密钥MK后，开始进行正常的保密通信；

V、当系统采用的是24小时实时通信方式时，激活消息密钥MK工作计时，系统定时超时，加密密码机将自动重新执行第II～IV步进行消息密钥MK的定时更换；

VI、当工作密钥库WKB工作定时超时，密钥分配管理中心KDMC将重复第I步进行全网密钥库定期更换；

本发明密钥分配管理中心KDMC更换密钥库的操作流程如下：

a、密钥分配管理中心KDMC向密码机分别发送身份验证请求帧；

b、密码机收到请求后即发送自己的密码机身份标识ID；

c、密钥分配管理中心KDMC对密码机发回的身份标识ID进行验证；

d、密钥分配管理中心KDMC向合法且工作正常的密码机分别发送工作密钥库WKB；

e、密码机收到工作密钥库WKB，经过解密验证通过后存放在新密钥库存储区，并向密钥分配管理中心KDMC发送确认帧或错误帧；

f、当密钥分配管理中心KDMC确认全网所有密码机都有新密钥库后，向合法且工作正常的密码机分别发送启用新密钥库命令帧；

g、密码机接收启用新密钥库命令帧，验证通过后开始启用新的密钥库，并发送接收确认帧或错误帧；

h、密钥分配管理中心KDMC收到全网密码机启用新密钥库确认帧后，密钥分配管理中心KDMC再发出删除老密钥库命令帧；

i、密码机收到删除老密钥库帧，验证通过后老密钥库停止工作，即用新密钥库存储区内的工作密钥库WKB覆盖老密钥库存储区内的工作密钥库WKB，并发送接收确认帧或错误帧；

j、密钥分配管理中心KDMC确认全网所有密码机都删除老密钥库，换钥完成。

如上所述，当密钥分配管理中心KDMC对全网所有密码机均完成身份验证后，仅对合法且工作正常的密码机进行后续换钥操作，如握手失败、握手无效或者密码机无响应则判定用户通信故障，不继续后续操作，待用户通信恢复正常后再单独进行换钥操作，密钥分配管理中心KDMC支持对指定密码机更换新密钥库。

如前所述，解密密码机如果尚未收到启用新密钥库命令帧，其反向信道仍然使用老密钥库进行保密通信，直至解密密码机收到启用新密钥库命令后，密码机之间的两个信道均使用新密钥库工作。

如上所述，当保密通信首次建立时，加密密码机首先发送消息密钥MK会话帧，之后传输用消息密钥MK产生工作密钥WK对传输数据加密后的密文数据流；而后续更换消息密钥MK时，加密密码机自动在传输数据中插入消息密钥MK会话帧。

本发明加密密码机消息密钥MK握手操作流程如下：

当加密密码机收到终端传输的数据帧时，通过读取MK会话帧的握手标志，判断本信道是否与解密密码机进行了消息密钥MK握手，如握手标志有效即表明已经握手成功，随即判定消息密钥MK工作计时，如未超时则转向数据加密处理操作，而如果握手标志无效或定时超时，则需先进行消息密钥MK握手操作，加密密码机通过更换MK，作为新一轮保密通信的会话消息密钥MK，并指定使用的工作密钥库WKB编号，封装成帧后发往解密密码机；

解密密码机消息密钥MK握手操作流程如下：

解密密码机在接收到数据时，首先判定数据流中是否包含消息密钥MK会话帧，如包含则提取，在对消息密钥MK进行完整性和正确性验证通过后即使用该消息密钥MK，确定工作密钥库WKB，并向加密密码机发送确认帧，完成此次消息密钥MK握手。

本发明的有益效果表现在：

本发明针对以往设计中系统换钥期内中断用户正常通信的弊端，通过采用双密钥库备份设计以及严格的换钥验证机制，不仅解决了系统换钥期内中断用户正常通信的问题，同时也克服了发卡换钥的周期性长和人员操作繁琐的缺陷，简化了安全保密通信系统的密管人员的操作流程和工作量，不仅满足了不同技术水平的密管人员的使用操作需求，同时有利地增强整个安全保密通信系统市场适应性和用户可管理性，提高了整个安全保密通信系统自身的性价比。

附图说明

图1为本发明数据保密通信传输处理示意图

图2为本发明密钥分配管理中心KDMC更换密钥库操作流程图

图3为本发明消息密钥MK握手操作流程图

图4为本发明加密密码机MK握手操作流程图

图5为本发明解密密码机MK握手操作流程图

具体实施方式

在全双工通信过程中，每一台密码机主要有两个方面的工作，一是对由终端收到的数据进行加密处理，之后将密文向网络发送；二是对由网络收到的数据进行解密处理，之后将解密明文发送到终端。对应图1所示，即有信道1和信道2两个独立的传输信道。为简化起见，我们只讨论一个信道方向的数据传输处理。如图1所示，在数据经过发送端的密码机A时，密码机A对数据进行了加密处理；在数据经过接收端的密码机B时，密码机B对数据进行相应的解密处理，从而保证数据在两台密码机之间的信道上始终处于密文状态。

在这里，我们把密码机A称为加密密码机，将密码机B称为解密密码机。无缝换钥技术方法主要是由两部分构成的，一是KDMC与密码机间进行全网密钥库定期更换；二是密码机之间MK的定时更换握手。

全网密钥库更换原理：

KDMC进行全网密钥库更换是指在理想通信环境中(不考虑传输丢失或传输误码问题)，在不中断正常通信的前提下完成全网所有密码机的WKB更换过程。整个更换过程，KDMC与密码机之间有严格的验证机制，同时传输数据采用专用算法加密保护，最终确保安全系统换钥的安全性要求。

密码机所涉及的密钥管理流程如下：

1、KDMC向全网密码机加注WKB，之后激活WKB；

2、在每次保密通信时，加密密码机更新MK并进行MK握手通知解密密码机；

3、解密密码机在收到MK验证通过后，向加密密码机发确认帧；

4、在通信双方密码机确定MK后，开始进行正常的保密通信；

5、当系统采用的是24小时实时通信方式时，激活MK工作计时，系统定时超时，加密密码机将自动重新执行第2-4步，进行MK的定时更换；

6、当WKB工作定时超时，KDMC将重复第1步，进行全网密钥库定期更换。

KDMC与全网所有密码机都能进行通信。在整个WKB交换过程中，KDMC始终处于主导地位，它控制着整个密钥更换的时间和进程。

KDMC更换密钥库操作流程如下：

首先，KDMC向密码机分别发送身份验证请求帧，以鉴别密码机的身份；密码机收到请求后即发送自己的密码机身份标识ID；KDMC对密码机发回的身份标识ID进行验证，确认是本系统的合法密码机后即判定该密码机通信正常，当KDMC对全网所有密码机均完成身份认证后，仅对合法且工作正常的密码机进行后续换钥操作；如握手失败、握手无效或者密码机无响应则判定用户通信故障，不继续后续操作，待用户通信恢复正常后再单独进行换钥操作。

然后，KDMC向合法且工作正常的密码机分别发送WKB；密码机收到WKB，经过解密验证通过后存放在新密钥库存储区(具体见后续说明)，并向KDMC发送确认帧；一旦那些先前通信故障的密码机恢复正常通信工作后，KDMC支持对指定密码机更换新密钥库。

当KDMC确认全网所有密码机都有新密钥库后，KDMC分别发送启用密钥库命令帧；此时，密码机收到后开始允许使用新的密钥库对数据进行加密处理，此时，新老密钥库都能够正常进行加解密工作。

KDMC收到全网密码机启用新密钥库确认帧后，KDMC再发出删除老密钥库命令帧，密码机收到后老密钥库停止工作，即用新密钥库存储区内的WKB覆盖老密钥库存储区内的WKB。具体操作流程见图2所示。

密码机WKB存储分区：如上所述，密码机系统设计了两个WKB存储区，即密码机同时保存新旧两套密钥库，通过使用密钥库缓存技术实现系统无缝换钥。其中，密码机首次加注WKB时，新密钥库和老密钥库同时加注同一版本WKB。

在正常换钥时，当加密密码机未收到启用新库命令时，密码机之间不进行MK的重新握手，双方继续使用老库。而当加密密码机收到启用新库命令时，加密密码机将重新进行MK握手，并指定WKB编号使用新密钥库。而此时，解密密码机如果尚未收到启用新密钥库命令帧，其反向信道(图1中信道2，即解密密码机到加密密码机的通信信道)仍然使用老密钥库进行保密通信。这样，在密钥库更换的过程中，系统中可以同时使用新旧两套密钥库，避免了通信中断，从而实现了无缝换钥。直至解密密码机收到启用新密钥库命令后，密码机之间的两个信道(图1中的信道1和信道2)均使用新密钥库工作。这里，由于KDMC是在确保网中所有密码机均接收到新密钥库后再发送启用新库命令，所以此时解密密码机忽略未收到新密钥库的情况。解密密码机收到MK会话帧后，检查自己是否收到新密钥库，如收到即使用新密钥库。

MK握手原理：

MK握手是指在理想通信环境中(不考虑传输丢失或者传输误码问题)，在不中断正常通信的前提下完成加密密码机和解密密码机之间的MK更换及握手过程；同时，在密码机内已经存在统一的密钥库的前提下，交换的MK帧中指定所使用的密钥库，最终完成加解密工作密钥的更换。

MK握手有两种启动条件：

一是系统完成全网密钥库更换后，密码机立即自动进行MK握手；二是在正常保密通信过程中，一旦系统定时计数超时，密码机自动进行MK握手。在交换MK的过程中，加密密码机始终处于主导地位，它控制着消息密钥更换的时间和进程。

系统定义MK会话帧主要由三部分组成。其中，握手标志表示通信双方是否已经握手成功；会话消息密钥MK为此次握手所使用的MK；WKB编号表示密码机当前使用哪个版本的WKB。

当保密通信首次建立时，加密密码机首先发送MK会话帧，之后传输用MK产生WK对传输数据加密后的密文数据流；而后续更换MK时，加密密码机自动在传输数据中插入MK会话帧。

MK握手操作流程：

当加密密码机收到终端传输的数据帧时，通过读取MK会话帧的握手标志，判断本信道是否与解密密码机进行了MK握手，如握手标志有效即表明已经握手成功，随即判定MK工作计时，如未超时则转向数据加密处理操作。而如果握手标志无效或定时超时，则需先进行MK握手操作。加密密码机通过更换MK，作为新一轮保密通信的会话消息密钥MK，并指定使用的WKB编号，封装成帧后发往解密密码机。

解密密码机在接收数据时，首先判定数据流中是否包含MK会话帧。如包含则提取，在对MK进行完整性和正确性验证通过后即使用该MK，确定WKB，并向加密密码机发送确认帧，完成次此MK握手。整个握手操作流程如图3所示。

密码机间MK握手实施加密密码机MK握手操作流程：

加密密码机MK握手及更换的流程如图4所示。在通信开始之前，密码机完成初始化及自检工作，MK会话帧“握手标志”被赋为False，表明密码机未进行MK握手，需要进行MK更换握手操作。密码机首先判定系统定时计数是否超时，如超时则将“握手标志”的值为False，重新进行MK握手，将本信道MK会话帧“握手标志”的值置为True，密码机更换固定MK编号或者动态提取MIX；并指定“WKB编号”，即加密所使用的WKB；MK会话帧封装后发送到网络，完成此次数据处理；如MK握手已完成，则直接对终端接收到的数据进行加密处理后发送到网络。

解密密码机MK握手操作流程：

解密密码机MK握手及更换的流程如图5所示。在通信开始前，密码机完成初始化及自检工作，MK会话帧“握手标志”被赋为False，表明密码机未进行MK握手或者MK更换未成功。密码机判断收到数据后即判定数据中是否包含MK会话帧，如包含则将MK会话帧“MK握手标志”置为True，并提取MK和指定的WKB，并向加密密码机发送MK确认帧，之后完成此次数据处理；如接收数据中不包含MK会话帧，则判定本信道MK会话帧“MK握手标志”是否为True，如果是则表明MK握手已经成功，随即对接收到的数据进行解密处理，并将明文发送到终端，之后完成此次数据处理。

本说明书中关键词的中英文对照：

密钥分配管理中心  KeyDistribution Management Center(KDMC)

消息密钥          MessageKey(MK)

工作密钥          WorkingKey(WK)

工作密钥库        WorkingKeyBank(WKB)

Claims (6)

1.一种基于保密通信的无缝换钥的方法，应用于基于密码机的全双工保密通信系统中，由密钥分配管理中心KDMC统一对系统中相应的密码机进行密钥库的在线式更换，在全双工通信过程中，对由终端收到的数据进行加密处理，并向网络发送密文的密码机称为加密密码机，对由网络收到的数据进行解密处理，并将解密明文发送到终端的密码机称为解密密码机，其特征在于：该密码机系统设计有两个工作密钥库WKB存储区，用于同时保存新旧两套密钥库，通过使用密钥库缓存方式实现系统无缝换钥；该方法包括密钥分配管理中心KDMC与密码机间进行全网密钥库定期更换，及密码机之间消息密钥MK的定时更换握手，系统的密钥管理流程如下：

I、密钥分配管理中心KDMC向全网密码机在线加注工作密钥库WKB，之后启用工作密钥库WKB；当密码机首次加注工作密钥库WKB时，新密钥库和老密钥库同时加注同一版本工作密钥库WKB；正常换钥时，在加密密码机未收到启用新库命令时，密码机之间不进行消息密钥MK的重新握手，双方继续使用老库；在加密密码机收到启用新库命令时，加密密码机将重新进行消息密钥MK握手，并指定工作密钥库WKB编号使用新密钥库；

II、在每次保密通信时，加密密码机在下述①或②条件下更新消息密钥MK并通知解密密码机进行消息密钥MK握手：

①在系统完成全网密钥库更换，加密密码机从KDMC处接收到启用新密钥库命令帧后；

②在正常保密通信过程中MK工作计时超时情况下；

III、解密密码机在收到消息密钥MK验证通过后，向加密密码机发送确认帧；

IV、在通信双方密码机确定消息密钥MK后，开始进行正常的保密通信；

V、当系统采用的是24小时实时通信方式时，激活消息密钥MK工作计时，系统定时超时，加密密码机将自动重新执行第II～IV步进行消息密钥MK的定时更换；

VI、当工作密钥库WKB工作定时超时，密钥分配管理中心KDMC将重复第I步进行全网密钥库定期更换。

2.根据权利要求1所述的基于保密通信的无缝换钥的方法，其特征在于：密钥分配管理中心KDMC更换密钥库的操作流程如下：

a、密钥分配管理中心KDMC向密码机分别发送身份验证请求帧；

b、密码机收到请求后即发送自己的密码机身份标识ID；

c、密钥分配管理中心KDMC对密码机发回的身份标识ID进行验证；

d、密钥分配管理中心KDMC向合法且工作正常的密码机分别发送工作密钥库WKB；

e、密码机收到工作密钥库WKB，经过解密验证通过后存放在新密钥库存储区，并向KDMC发送确认帧或错误帧；

f、当密钥分配管理中心KDMC确认全网所有密码机都有新密钥库后，向合法且工作正常的密码机分别发送启用新密钥库命令帧；

g、密码机接收启用新密钥库命令帧，验证通过后开始启用新的密钥库，并发送接收确认帧或错误帧；

h、密钥分配管理中心KDMC收到全网密码机启用新密钥库确认帧后，密钥分配管理中心KDMC再发出删除老密钥库命令帧；

i、密码机收到删除老密钥库帧，验证通过后老密钥库停止工作，即用新密钥库存储区内的工作密钥库WKB覆盖老密钥库存储区内的工作密钥库WKB，并发送接收确认帧或错误帧；

j、密钥分配管理中心KDMC确认全网所有密码机都删除老密钥库，换钥完成。

3.根据权利要求2所述的基于保密通信的无缝换钥的方法，其特征在于：当密钥分配管理中心KDMC对全网所有密码机均完成身份验证后，仅对合法且工作正常的密码机进行后续换钥操作，如握手失败、握手无效或者密码机无响应则判定用户通信故障，不继续后续操作，待用户通信恢复正常后再单独进行换钥操作，密钥分配管理中心KDMC支持对指定密码机更换新密钥库。

4.根据权利要求1所述的基于保密通信的无缝换钥的方法，其特征在于：解密密码机如果尚未收到启用新密钥库命令帧，其反向信道仍然使用老密钥库进行保密通信，直至解密密码机收到启用新密钥库命令后，密码机之间的两个信道均使用新密钥库工作。

5.根据权利要求1所述的基于保密通信的无缝换钥的方法，其特征在于：当保密通信首次建立时，加密密码机首先发送消息密钥MK会话帧，之后传输用消息密钥MK产生工作密钥WK加密传输数据后的密文数据流；而后续更换消息密钥MK时，加密密码机自动在传输数据中插入消息密钥MK会话帧。

6.根据权利要求1所述的基于保密通信的无缝换钥的方法，其特征在于：加密密码机消息密钥MK握手操作流程如下：

当加密密码机收到终端传输的数据帧时，通过读取MK会话帧的握手标志，判断本信道是否与解密密码机进行了消息密钥MK握手，如握手标志有效即表明已经握手成功，随即判定消息密钥MK工作计时，如未超时则转向数据加密处理操作，而如果握手标志无效或定时超时，则需先进行消息密钥MK握手操作，加密密码机通过更换MK，作为新一轮保密通信的会话消息密钥MK，并指定使用的工作密钥库WKB编号，封装成帧后发往解密密码机；

解密密码机消息密钥MK握手操作流程如下：

解密密码机在接收到数据时，首先判定数据流中是否包含消息密钥MK会话帧，如包含则提取，在对消息密钥MK进行完整性和正确性验证通过后即使用该消息密钥MK，确定工作密钥库WKB，并向加密密码机发送确认帧，完成此次消息密钥MK握手。

Images