CN101258706B

CN101258706B - 用于安全且带宽高效的密码同步的方法

Info

Publication number: CN101258706B
Application number: CN2006800328147A
Authority: CN
Inventors: M·纳斯伦德; K·赖思; V·赖托弗塔; K·诺曼
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2005-09-09
Filing date: 2006-09-08
Publication date: 2011-08-10
Anticipated expiration: 2026-09-08
Also published as: CA2616153C; CN101258706A; US7725709B2; BRPI0615628A2; CA2616153A1; EP1922836A1; JP2009508390A; EP1922836B1; JP4608000B2; DE602006008487D1; ATE439711T1; BRPI0615628B1; WO2007030074A1; US20070113085A1

Abstract

用于数据分组的密码同步的方法。当分组序号的函数等于预定值时，翻转计数器(ROC)值被周期性地追加于数据分组并且与数据分组一起被传送。ROC有效地同步数据分组的密码变换。虽然所公开的方法通常可用于许多传输协议，但是它们尤其适用于其中数据分组是使用在因特网工程任务组(IETF)请求注解(RFC)3711中定义的安全实时传输协议(SRTP)而被传送的系统中。

Description

用于安全且带宽高效的密码同步的方法

相关申请的交叉引用

本申请要求于2005年9月9日提交的美国临时申请号60/715,873的权利，在此其被并入作为参考。

技术领域

本发明大体上涉及通信领域，尤其是安全通信领域。

背景技术

安全或密码协议是执行与安全性有关的功能和应用密码方法的抽象或具体的协议。密码协议被广泛用于安全应用层数据传输。密码协议通常合并以下方面中的至少一些：密钥协商或建立；实体鉴别(authentication)；对称加密和消息鉴别材料构建；安全应用层数据传输；和不可拒绝方法。

在不可靠的传输机制上运行的密码协议需要用于例如由于分组丢失或分组重定序的缘故而同步发送器和接收器的手段。在最低层，接收器必须能够正确地将数据分组组装成“可理解的”数据；例如，它必须知道数据分组是否丢失以使它能够请求重传。同步常常是通过添加序号(sequence number)到每个分组或通过使用已经存在的序号来完成的。这样的序号然后与适当的密钥一起被输入到密码算法，并且同步是在每个分组的基础上获得的。然而，后一种方法是优选的，这是因为它没有增加数据量，因此也没有增加必要的带宽。

由于密码变换的特性的缘故，使得相同的序号绝不应该被和相同的密钥一起使用两次。然而，常规的嵌入式计数器常常只有16位，因此在高速通信中，16位的序号空间可能在大概秒的量级内就“绕回(wrap)”了，从而由于必需的频繁的重新加密而导致低效率。例如，在使用16位的序号的情况下，每2¹⁶个分组就将包含相同的序号，因此接收器无法区别这样的分组。

为了避免该问题，翻转(roll-over)计数器(“ROC”)能够被用于限定“扩展的”序号。对于16位的序号(sequence_number)，扩展的序号(EXTENDED_SEQ)可以等于sequence_number+ROC*2¹⁶。在这样的系统中，每当sequence_number“绕回”模2¹⁶，ROC都应该在发送器和接收器端被更新。然而，ROC值常常不在分组中携带，而是被发送器和接收器隐含地保持。然而，能够表现出的是，只要分组重定序/丢失不超过2¹⁵，就可以通过根据探试法估计ROC值来保持同步；参见例如因特网工程任务组(IETF)请求注解(RFC)3711的附录，“安全实时传输协议”(“SRTP”)。

然而，在其中用户可以加入或离开进行中的会话的一些应用中(例如3GPP多播和广播服务(MBMS)，此处将要使用SRTP)，由于每个用户必须被给予当前ROC值并且如何准确地将该信息传送到用户也不是小事这样事实，使得该“扩展”的机制是不够充分的。SRTP当前不提供用于使用带内信令传输提供ROC值的机制。然而，可以使用密钥管理协议(例如多媒体因特网密钥(“MIKEY”)，IETF RFC3830)来通过带外发信号通知所述值。这种方法的问题是密钥管理常常是通过独立的过程来执行的，并且在用户决定加入会话之前很久就执行密钥管理也不是不可能。在这种情况下，在密钥管理被执行过时所使用过的ROC的值将在用户加入会话时就不会有效。

即使密钥管理是与SRTP流处理或多或少地同步执行的，但是由于SRTP对扩展的序号进行估计的方式的缘故造成ROC值将会不正确也是可能的。例如，假定媒体(SRTP)序号已经刚刚绕回(例如等于0x0000)并且密钥管理在该时间点读取ROC值。接着，ROC值被传输到用户(接收器)，并且用户读取ROC值并且将其存储以供参考。因为分组在媒体服务器和用户之间的路径上可能会被重定序，所以用户所接收的第一媒体(SRTP)分组可能是延迟的分组，该延迟的分组碰巧具有例如等于0xFFFF的序号。在这种情况下，SRTP可能处理该(延迟的)分组，该分组具有的ROC值也高出1。而且，所接收的下一SRTP分组很可能具有等于0x0000的序号。在这种情况下，SRTP将会猜测或估计序号已经绕回并且，因此将使它的ROC值增1。这将会导致同步的失败。在严重的分组丢失的条件下，或者如果用户离开会话并且在ROC已经绕回至少一次这样长的时间段之后重新加入，该问题会重新出现。

因此，在本领域中需要用于安全且带宽高效的密码同步的方法。优选地，这样的方法应该有效利用带宽并且防止未经授权的操纵。

发明内容

为了克服现有技术的缺陷，本发明公开了用于安全且带宽高效的密码同步的方法。通常，当分组序号的函数等于预定值时，翻转计数器(ROC)值被周期性地追加于数据分组并且与数据分组一起被传送。ROC有效地同步数据分组的密码变换。

根据将在下文中更加充分描述的示例性实施例，在发送器接收数据分组以供传输到接收器；所述方法尤其适用于其中数据分组是使用在因特网工程任务组(IETF)请求注解(RFC)3711中定义的安全实时传输协议(SRTP)而被传送的系统中，在此将其并入作为参考。发送器首先确定用于数据分组的分组序号是否能够被R整除，此处R是发送器和接收器事先约定的整数。发送器和接收器能够例如进行带外通信以选择R的值；用于这种用途的适当协议包括：会话发起协议(SIP)、安全实时传输(RTSP)和多媒体因特网密钥(MIKEY)。

如果分组序号能够被R整除，则发送器计算代码并且将其追加于数据分组，其中所述代码是与所述数据分组相关联的鉴别密钥和发送器翻转计数器(ROC)值的函数。发送器ROC值与发送器中的计数器相对应，每当所述发送器中的序号计数器翻转，该计数器都递增。发送器还将发送器ROC值追加于所述数据分组，并且所述数据分组然后被传送到接收器。然而，如果分组序号不能被R整除，则发送器仅仅传送没有追加发送器ROC值的数据分组。

当接收到时，接收器确定发送器ROC值是否被追加于所述数据分组，其中如果分组序号能被R整除，则就表明发送器ROC值的存在。如果数据分组不包括发送器ROC值，则接收器使用依赖于接收器本地保持的ROC值而估计的ROC值来执行分组安全性处理。如果所述数据分组确实包括发送器ROC值，则发送器使用发送器ROC值而不是接收器ROC值(或ROC值的估计)来执行分组安全性处理。作为该安全性处理的一部分，数据分组的完整性(integrity)被确定。如果数据分组的完整性没有被确认，则所述数据分组被丢弃并且不进行进一步处理。否则，如果数据分组的完整性被确认，则接收器ROC值被设置为发送器ROC值。

上文已经相当宽泛地概述了本发明的原理以使本领域技术人员可以更好地理解随后的示例性实施例的详细描述。本领域技术人员应该理解的是，他们能够很容易地将所公开的构思和示例性实施例用作设计或修改用于实现本发明的相同目的的其他结构或方法的基础。本领域技术人员还应该认识到这样的等同构造不会偏离如下文提供的权利要求所定义的本发明的最广泛的精神和范围。

附图说明

为了说明本发明的特征和功能，现在参照结合附图所给出的如下详细描述，在所述附图中：

图1其中图示了根据本发明原理的用于安全且带宽高效的密码同步的系统和方法。

具体实施方式

图1其中图示了根据本发明原理的用于安全且带宽高效的密码同步的系统和方法。所述系统包括发送器101和接收器102，每个都根据下文所描述的原理可操作地执行某些操作。在此关于示例性系统来明确地描述用于密码同步的方法，在所述示例性系统中，数据分组是使用在因特网工程任务组(IETF)请求注解(RFC)3711中定义的安全实时传输协议(SRTP)而被传送的。然而，本领域技术人员将会认识到该方法对基于其他传输协议的系统的普遍适用性以及对这样的其他协议(如果有的话)所需的适应性。

为了在基于SRTP的系统中实施本发明的原理，消息鉴别算法，在此被称作扩展的消息鉴别码(XMAC)，能够被添加到SRTP框架。XMAC能够例如于基于因特网工程任务组(IETF)基于哈希(hash)的消息鉴别码(HMAC)或任何其他安全MAC。从SRTP框架的角度看，本领域技术人员根据如下描述将会认识到：XMAC与其他MAC算法的工作基本上类似。然而，除了鉴别密钥之外，XMAC包括参数R，其是0-2¹⁶范围内的整数。发送器101和接收器102能够使用例如本领域中已知的带外信令传输来约定MAC和R的值；用于这种用途的适当协议包括会话发起协议(SIP)、安全实时传输(RTSP)和多媒体因特网密钥(MIKEY)。

根据本方法，在发送器101接收到数据分组以传输到接收器102(步骤103)。接着(步骤104)，对该数据分组执行SRTP处理，除完整性变换(integrity transform)之外。该步骤涉及导出要被用于数据保护(即加密和完整性保护)的密钥以及处理数据分组直到完整性保护将被应用的点(例如，任何可能的SRTP加密都应该在该步骤期间执行)。

随后的步骤构成对数据分组(包括首部和有效载荷)的XMAC完整性保护。首先(步骤105)，确定该数据分组的序号(sequence_number)(所述序号能够在分组首部中获得)是否能够被R整除(即0模R)。如果分组序号不能被R整除，则不对该数据分组添加MAC标签，并且数据分组的处理继续进行到步骤108，其中在传输(109)之前，完成对数据分组的SRTP处理。如果分组序号能够被R整除，则就要为数据分组计算MAC标签。

在步骤106中，MAC标签被计算并且被添加到数据分组。MAC是与数据分组相关联的SRTP鉴别密钥和发送器翻转(roll-over)计数器(ROC)值的函数，用公示表示为HMAC(密钥，RTP_packet分组||ROC)。发送器ROC值与发送器中的计数器相对应，每当发送器中的序号计数器翻转，所述计数器都递增。接着(步骤107)，发送器ROC值也被追加于数据分组；即，数据分组现在已经被附加了HAMC(密钥，RTP_packet分组||ROC)||ROC。步骤106和107的作用是将发送器ROC值，由MAC值保护的完整性添加到每一第R个分组。对MAC的输入(即，RTP_packet分组||ROC)将由SRTP框架按照这种方式自动地(根据RFC3711)格式化，并且被作为输入来提供。本领域技术人员应该注意到：发送器ROC值将不是作为分组有效载荷的一部分而是作为MAC标签的一部分传送的；即HMAC(密钥，RTP_packet分组||ROC)||ROC能够被视为XMAC的输出鉴别标签。

最终，如同对具有不能被R整除的序号的数据分组一样，对数据分组的处理继续到步骤108，其中在传输(步骤109)到接收器102之前完成对数据分组的SRTP处理。本领域技术人员应该认识到，虽然在接收器102中执行的过程开始于步骤110，但是发送器101和接收器102的操作是异步的。

当接收到数据分组时(步骤110)，SRTP处理就被执行，一直到(但不包括)SRTP密钥导出的步骤为止。接着(步骤112)，确定发送器翻转计数器(ROC)值是否被追加于所述数据分组。如果分组序号能够被R整除(即，sequence_number＝0模R)，就表明追加于数据分组的发送器ROC值以及XMAC的存在。

如果没有ROC/XMAC被追加于数据分组，则处理继续到步骤121，其中使用常规ROC估计来执行标准SRTP密钥导出。在这种情况下，接收器102考虑其本地存储的ROC值(ROC_L)，典型地该值是与先前分组相关联的ROC值。接收器然后检查刚接收到的数据分组中的序号(SEQ)和先前接收到的最高序号(S_L)，其也被接收器跟踪。使用那三个值(ROL_L、SEQ和S_L)，接收器能够估计在数据分组被传送时发送器了使用什么ROC值。这能够以若干种方式完成，例如在IETF RFC 3711的附录中描述的，在其中被称作“索引估计(index estimation)”。作为例子，如果当前ROC_L值是“x”，S_L是三(0x0003)而所接收的SEQ是0xffff，则接收器将猜测当前数据分组是延迟的分组(延迟了四个时间“单位”)，对应于ROC＝ROC_L-1(即，x-1)，这是由于SEQ的“绕回(wrap)”出现在两个分组的接收之间。(本领域技术人员将会认识到在SEQ＝0xffff之后，下一SEQ将会绕回并且下一分组具有SEQ＝0x0000等)。当然还会出现这样的情况：分组确实与相同的ROC_L值相对应，并且事实上，2¹⁶-3个连续的分组已经丢失。然而，该情形的可能性很小，所以能够认为：接收器使用“最大似然”估计技术；即，它在假定最小稳定量的丢失/重排序/延迟已经发生的情况下选择可能性最大的ROC。

如果数据分组确实包括发送器ROC值(步骤112)，则使用发送器ROC值而不是接收器ROC值来执行SRTP密钥导出(步骤113)。接着(步骤114)，数据分组的完整性被确定。这能够通过使用所导出的密钥检查追加于分组的XMAC以验证数据尚未被破坏或篡改(尤其是发送器ROC是正确的的情况下)来完成。例如，设“MAC_INPUT”是由SRTP提供作为对XMAC的数据输入的数据值(即，在RFC3711中定义的SRTP分组的经鉴别的部分)，并且设t′为所接收的标签，也被SRTP提供作为输入。接着，计算t＝HMAC(密钥，MAC_INPUT||t′{4})并且将其与包含在分组中的值t′[4]进行比较，其中X[n]表示与几乎X的n个最右边的所有字节相对应的子串，而X{n}表示X的n个最右边的字节。当且仅当值t和t′[4]相等时，XMAC才通过验证。

如果数据分组的完整性没有被确认(步骤115)，则该数据分组被丢弃(步骤116)。否则，如果数据分组的完整性被确认(步骤115)，则接收器ROC值被设置为包含在数据分组中的发送器ROC值(步骤117)，从而使发送器101和接收器102的ROC值同步。接着，在步骤118中，发送器ROC值和XMAC被从数据分组中移除，继之以完成对数据分组的SRTP处理(例如解密)(步骤119)。最后，数据分组能够被输出到应用(步骤120)。

在上述实施例的可替换的实施例中，具有sequence_number＝0模R的所有数据分组都将携带MAC，所述MAC是在数据分组和ROC上计算的，但是只有每第R个标签将会包含ROC值本身。换言之，发送器ROC值总是在对MAC标签计算的输入中使用，而发送器ROC值仅仅被作为每一第R个分组的MAC的输出的一部分。该实施例能够在会话中的所有数据分组总是应该被进行完整性保护的情况下使用。

熟悉SRTP协议的本领域技术人员将会认识到对实施在此所公开的ROC同步所必需的SRTP框架的唯一改变是使用所接收的发送器ROC值而不是本地接收器ROC值来用于密钥导出。所有其他操作都能够通过XMAC变换而被在内部处理，从SRTP协议的角度来看，这可以被视为“黑盒子”。本领域技术人员还会注意到，虽然先前的描述仅仅示出扩展的sequence_number如何能够被传输，但是在此所公开的原理能够适于运送其他类型的同步数据。类似地，同步数据能够在数据分组的其他位置内传输(例如，密钥指示器、有效载荷、分组首部的一部分，等等)而不是作为MAC标签的一部分进行变换。

在可替换的实施例中，可以使用除能够被R整除以外的方法来判定在数据分组中是否包含ROC。通常，设F为将序号映射到集合{0，1}的任何函数。函数(F)首先在发送者和接收者之间被约定。发送者(和接收者)然后将F应用于给定分组的序号(s)，并且当且仅当F(s)＝1时，才添加ROC信息。在先前的例子中，当且仅当s能够被R整除时，F(s)才是1。

根据上文，将会认识到，本发明相对于现有技术提供了明显的优势。首先，用于ROC值的再同步手段对现有的协议(例如SRTP)进行了最小的改变。第二，通过适当地色绘制R参数值能够节省带宽，这是由于每第R个数据分组中只有一个分组会具有额外的开销。此外，因为发送器ROC值被MAC保护，所以它被安全地传送，从而避免了拒绝服务(DoS)攻击。此外，对于接收器而言，在没有“标记”或其他开销的情况下辨别哪些数据分组包含再同步信息(即，发送器ROC值)就是一件很平常的小事。

Claims

1.一种在发送器中用于数据分组的密码同步的方法，其中所述数据分组是使用在因特网工程任务组(IETF)请求注解(RFC)3711中定义的安全实时传输协议(SRTP)来传送给接收器的，所述方法包括步骤：

接收数据分组以供传输；

对所述数据分组执行SRTP处理，除完整性变换之外；

确定用于所述数据分组的分组序号是否能够被R整除，此处R是由所述发送器和所述接收器事先约定的整数；以及

如果分组序号不能被R整除：

则完成对所述数据分组的SRTP处理；并且

将所述数据分组传送到所述接收器；

如果分组序号能够被R整除：

则计算消息鉴别码(MAC)并将其添加到所述数据分组上，其中所述MAC是与所述数据分组相关联的SRTP密钥和发送器翻转计数器(ROC)值的函数，所述发送器ROC值与所述发送器中的计数器相对应，从而每当所述发送器中的序号计数器翻转，所述发送器中的计数器都递增；

将所述发送器ROC值添加到所述数据分组上；

完成对所述数据分组的SRTP处理；以及

将所述数据分组传送到所述接收器。

2.如权利要求1所述的方法，其中对所述数据分组执行SRTP处理的所述步骤包括步骤：导出用于对所述数据分组进行数据保护的一个或多个密钥。

3.如权利要求1所述的方法，进一步包括步骤：所述发送器与所述接收器进行带外通信以选择R的值。

4.如权利要求1所述的方法，其中所述序号计数器包含16位。

5.如权利要求4所述的方法，其中R在1到216的范围内。

6.如权利要求3所述的方法，其中所述发送器和所述接收器使用从包括如下项的组中选择的协议来约定所述R的值：

会话发起协议(SIP)；

安全实时传输协议(SRTP)；和

多媒体因特网密钥(MIKEY)。

7.一种在接收器中用于数据分组的密码同步的方法，其中，所述数据分组是使用在因特网工程任务组(IETF)请求注解(RFC)3711中定义的安全实时传输协议(SRTP)而从发送器接收的，所述方法包括步骤：

接收来自所述发送器的数据分组；

对所述数据分组执行SRTP处理，除SRTP密钥导出之外；

确定发送器翻转计数器(ROC)值是否被添加到所述数据分组上，其中，如果分组序号能够被R整除，则表明发送器ROC值的存在，此处R是所述发送器和所述接收器事先约定的整数；

如果所述数据分组不包含发送器ROC值：

则使用常规ROC估计来执行标准SRTP密钥导出；

完成对所述数据分组的SRTP处理；

如果所述数据分组确实包含发送器ROC值，则执行如下步骤：

使用该发送器ROC值而不是接收器ROC值来执行SRTP密钥导出；

确定所述数据分组的完整性；并且

如果所述数据分组的完整性没有被确认，则丢弃所述数据分组；否则

如果所述数据分组的完整性被确认：

则将所述接收器ROC值设置为包含在所述数据分组中的发送器ROC值；

从所述数据分组中移除所述发送器ROC值和消息鉴别码(MAC)；以及

完成对所述数据分组的SRTP处理。

8.如权利要求7所述的方法，其中确定所述数据分组的完整性的所述步骤包括步骤：使用利用所述发送器ROC值导出的SRTP密钥来确定所述MAC是有效的。

9.如权利要求7所述的方法，进一步包括步骤：所述接收器与所述发送器进行带外通信以选择R的值。

10.如权利要求7所述的方法，其中R在1到216的范围内。

11.如权利要求9所述的方法，其中所述发送器和所述接收器使用从包括如下项的组中选择的协议来约定所述R的值：

会话发起协议(SIP)；

安全实时传输协议(SRTP)；和

多媒体因特网密钥(MIKEY)。

12.一种用于数据分组的密码同步的方法，所述方法包括步骤：

在发送器处接收数据分组以供传输到接收器，所述数据分组包括分组序号s；

确定所述分组序号的函数F(s)是否等于预定值，此处，F(s)是由所述发送器和所述接收器事先约定的；

如果F(s)等于所述预定值：

则计算代码并且将其添加到所述数据分组上，其中所述代码是与所述数据分组相关联的鉴别密钥和发送器翻转计数器(ROC)值的函数，所述发送器ROC值与所述发送器中的计数器相对应，从而每当所述发送器中的序号计数器翻转，所述发送器中的计数器都递增；

将所述发送器ROC值添加到所述数据分组上；

将所述数据分组传送到所述接收器；否则，

如果F(s)不等于所述预定值：

则在不添加所述发送器ROC值的情况下将所述数据分组传送到所述接收器；

在所述接收器处接收所述数据分组；

确定所述发送器ROC值是否被添加到所述数据分组上，其中如果F(s)等于所述预定值，就表明发送器ROC值的存在；

如果所述数据分组确实包含发送器ROC值：

则使用发送器ROC值而不是接收器ROC值来执行安全性处理，所述安全性处理包括步骤：

确定所述数据分组的完整性；以及

如果所述数据分组的完整性被确认：

则将所述接收器ROC值设置为发送器ROC值；

如果数据分组不包括发送器ROC值：

则使用所述接收器ROC值或所述ROC值的估计值来执行安全性处理。

13.如权利要求12所述的方法，进一步包括步骤：所述发送器与所述接收器进行带外通信以选择F(s)。

14.如权利要求12所述的方法，其中所述序号计数器包含16位。

15.如权利要求12所述的方法，其中F(s)＝1。

16.如权利要求12所述的方法，其中所述发送器和所述接收器使用从包括如下项的组中选择的协议来约定所述F(s)：

会话发起协议(SIP)；

安全实时传输协议(SRTP)；和

多媒体因特网密钥(MIKEY)。