CN101521582A - 一种组播数据的传输方法、装置及系统 - Google Patents

Abstract

本发明涉及数据传输领域，公开了一种组播数据的传输方法，包括步骤：接收组播服务器发送的根据组播密钥进行加密的组播数据；解密所述组播数据，并根据链路密钥对所述组播数据重新加密；发送所述重新加密的组播数据至用户终端。应用本发明技术方案所提供的方法，在组播数据的下发过程中对组播数据进行二级加密法，能够有效降低密钥服务器的用户负担，减少组播网络中密钥服务器的数量，降低组播服务运营成本。相应地，本发明还公开了一种组播数据的传输装置及系统。

Description

一种组播数据的传输方法、装置及系统

技术领域

本发明涉及数据传输领域，特别是一种组播数据的传输方法、装置及系统。

背景技术

伴随着信息技术与网络技术的发展，网络已成为信息传输的主要载体。基于因特网协议(Internet Protocol，IP)网络的数据传输方式可以分为IP单播、IP组播以及IP广播。其中，IP单播是指源主机发送单播IP报文，该单播IP报文的目的地址是IP网络中的惟一IP地址，也就是说，只有在所述惟一地址上的主机才能够接收到所述单播IP报文。IP广播是指源主机发送广播IP报文，该广播IP报文的目的地址为某一网段内的子网广播地址，在该子网内的所有主机均能够接收到所述广播IP报文，若所述广播IP报文的目的地址为255.255.255.255时，则IP网络上的任何主机均能够接收到所述广播报文。而在IP组播方式中，源主机发送的组播IP报文的目的地址是一个D类IP地址(或称为组地址)，只有加入到所述组播IP报文的目标组中的主机才能够接收到所述组播IP报文。

IP组播技术可以应用于视频会议、网络电视(IPTV)等服务，以IPTV服务为例，IPTV是近年来发展迅速的基于网络传输流媒体信号的电视服务。IPTV服务不仅需要应用IP组播技术，将流媒体数据的复制任务分派到转发设备上，再通过所述转发设备将流媒体数据发送至IPTV终端；同时，在IPTV服务中还需要对用户进行鉴权，只有经过授权的用户才可以接收IPTV服务器所发送的流媒体数据。因此，阻止非法的未授权用户加入组播组，防止组播数据被非法用户获得是实现IPTV服务所必须解决的问题。

为了解决上述问题，因特网工程任务组(Internet Engineering Task Force，IETF)制定了一系列的标准以实现组播技术的安全性，其中主要的方法为：通过组控制及密钥服务器(Group Control and Key Server，GCKS)发下组安全密钥至IPTV的组播组，同时为了保证前向机密性和后向机密性，当所述组播组中有用户离开或有新的用户加入时，所述密钥服务器GCKS对所述安全密钥进行更新，然后再重新下发给所述组播组中的用户。采用这种方案可以保证避免组播的数据泄漏，同时也可以保证密钥的安全性。但是，伴随着IPTV服务的普及，IPTV用户数量增长迅速，因此每个组播组中可能包括成千上万个用户，同时用户离开或加入组播组的现象时刻都在发生，导致所述密钥服务器GCKS必须不断更新并下发新的安全密钥，至使所述密钥服务器GCKS工作负担异常繁重。

针对这种情况，IETF推出了一种分布式密钥服务器GCKS方案，对组播网络进行区域划分，每个网络区域内分配一个密钥服务器GCKS负责本网络区域内组播密钥的分发，不同的网络区域之间的组播密钥是通过各密钥服务器GCKS间的协商而保持一致，从而实现整个组播网络内组播密钥的一致。

但是，在现有的IP组播技术中，是对组播网络进行区域划分，在每一个区域采用一个密钥服务器GCKS。因此整个组播网络是采用多密钥服务器GCKS的方案，从而缓解每个密钥服务器GCKS的用户负担，但是伴随着用户数量的不断增加，需要更多的密钥服务器GCKS进行密钥管理，导致运营商运营成本的增加；另外，密钥服务器GCKS之间的信令交互频繁，加重了网络负担，同样增加了运营商的运营成本。

发明内容

本发明实施例提供一种组播数据的传输方法、装置及系统，以解决在传输组播数据的过程中，组播网络为保持密钥一致性而导致密钥服务器负担过重，以及提供组播服务的运营成本过高的问题。

为解决上述问题，本发明实施例提供一种组播数据的传输方法，包括：

接收组播服务器发送的根据组播密钥进行加密的组播数据后解密所述组播数据；

根据链路密钥对解密后的所述组播数据重新加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

发送所述重新加密的组播数据至用户终端。

相应地，本发明实施例还提供一种组播数据的传输装置，包括：

接收单元，用于接收组播服务器发送的根据组播密钥进行加密的组播数据；

组播数据解密单元，用于解密接收到的所述根据组播密钥进行加密的组播数据；

组播数据加密单元，用于根据链路密钥对所述解密后的组播数据重新进行加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

发送单元，用于发送所述重新加密的组播数据至所述用户终端。

相应地，本发明实施例还提供一种组播数据的传输系统，包括：

组播服务器，用于根据组播密钥对组播数据进行加密，并将加密后的组播数据发送出去；

组播复制点，用于接收所述组播服务器加密的所述组播数据，利用组播密钥对所述组播数据解密后，根据链路密钥对所述组播数据重新加密，并将重新加密后的组播数据发送至用户终端，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

用户终端，用于从所述组播复制点接收所述重新加密后的组播数据，并根据所述链路密钥进行解密。

与现有技术相比，本发明实施例在组播网络中采用两级加密的方式，组播网络中的组播复制点接收到组播服务器的加密数据后，将其解密，并根据与用户终端之间的另一密钥，对解密后的组播数据重新进行加密，并发送至用户终端。具有以下优点：

首先，应用本发明技术方案所提供的对组播数据二级加密的方法，由组播复制点完成与众多终端之间的二级加密，密钥服务器只与数量较少的组播服务点之间进行组播密钥的发送，因此，能够有效降低密钥服务器的用户负担，减少组播网络中密钥服务器的数量，降低组播服务运营成本。

其次，密钥服务器更新密钥后，只需要与数量较少的组播服务点之间进行组播密钥的发送，组播服务器的数据发送量明显减少，减少了系统负担。

再次，由于组播复制点在网络中不需要像用户终端那样，进行频繁的上线、下线操作，从而减少了密钥服务器的数据处理负担，节约了系统资源。

最后，由于对组播密钥的使用过程中，没有用户终端的参与，用户终端仅仅使用链路密钥进行加密解密，而没有获取使用组播密钥的机会，从而使得组播密钥的安全性得到了明显提高。

附图说明

图1是本发明的方法的实施例的流程图；

图2是本发明的方法的优选实施例的流程图；

图3是本发明的装置的实施例的框图；

图4是本发明的系统的实施例的框图。

具体实施方式

下面结合附图及实施例对本发明作详细的说明。请参阅图1所示为本发明实施例的方法流程图，具体包括步骤：

步骤S101：接收组播服务器发送的根据组播密钥进行加密的组播数据后，解密所述组播数据；

步骤S102：根据链路密钥对解密后的所述组播数据重新加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

步骤S103：发送所述重新加密的组播数据至用户终端。

与现有技术相比，本发明实施例在组播网络中采用两级加密的方式，组播网络中的组播复制点接收到组播服务器的加密数据后，将其解密，并根据与用户终端之间的另一密钥，对解密后的组播数据重新进行加密，并发送至用户终端。具有以下优点：

首先，应用本发明技术方案所提供的对组播数据二级加密的方法，由组播复制点完成与众多终端之间的二级加密，密钥服务器只与数量较少的组播服务点之间进行组播密钥的发送，因此，能够有效降低密钥服务器的用户负担，减少组播网络中密钥服务器的数量，降低组播服务运营成本。

其次，密钥服务器更新密钥后，只需要与数量较少的组播服务点之间进行组播密钥的发送，组播服务器的数据发送量明显减少，减少了系统负担。

再次，由于组播复制点在网络中不需要像用户终端那样，进行频繁的上线、下线操作，从而减少了密钥服务器的数据处理负担，节约了系统资源。

最后，由于对组播密钥的使用过程中，没有用户终端的参与，用户终端仅仅使用链路密钥进行加密解密，而没有获取使用组播密钥的机会，从而使得组播密钥的安全性得到了明显提高。

本发明的优选实施例的具体流程请参阅图2所示，具体包括步骤：

步骤S201：组播复制点、组播服务器分别向密钥服务器GCKS发起注册请求，在所述密钥服务器GCKS上注册；

通过注册过程，所述密钥服务器GCKS可以获知组播网络中组播服务器与组播复制点的具体情况；所述组播服务器与组播复制点通过所述注册过程，向所述密钥服务器GCKS告知自身的存在。在所述的注册过程中，还可以包括密钥服务器GCKS对所述组播复制点和组播服务器的认证过程，该认证过程为本领域的公知技术，在此不再赘述。

步骤S202：在所述密钥服务器GCKS与组播复制点之间、密钥服务器GCKS与组播服务器之间建立IP安全(IP Security，IPsec)通道；

建立安全通道的目的是了更加安全地将所述密钥服务器GCKS生成的组播密钥传输至所述组播复制点与组播服务器，在本优选实施例中，采用的是IPsec技术。

步骤S203：密钥服务器GCKS经由所述IPsec通道，发送组播密钥K1至所述组播复制点与组播服务器；

所述组播密钥K1是由密钥服务器GCKS生成，并发送至所述组播复制点与组播服务器；另外，在组播网络中的各密钥服务器GCKS之间可以通过协商生成组播密钥，并发送至组播复制点与组播服务器。

步骤S204：组播复制点发起组播认证流程，向用户终端发送认证触发消息；

步骤S205：所述用户终端对认证做出响应，向所述组播复制点回复认证消息(credential)；

步骤S206：所述组播复制点转发所述credential消息至鉴权服务器；

步骤S207：所述鉴权服务器根据所述credential消息对所述用户终端进行认证，若认证成功，经由所述组播复制点发送认证成功消息至所述用户终端，并继续执行步骤S208，若认证不成功，则终止向该用户终端发送组播数据的流程；

在本优选实施例中所采用的为EAP MD5认证方法，但不仅限于此，在实际应用场合中，可以使用EAP其它的认证方法或其它种类的认证方法。

步骤S208：所述组播复制点与用户终端协商生成链路密钥K2，从而在所述组播复制点与用户终端均保存有链路密钥K2；

步骤S209：所述组播服务器根据所述组播密钥K1，对要发送的组播数据进行加密，并发送所述加密后的组播数据至所述组播复制点；

步骤S210：所述组播复制点根据所述组播密钥K1解密所述组播数据，并使用所述链路密钥K2重新对组播数据进行加密；

步骤S211：所述组播复制点发送所述重新加密的组播数据至用户终端；

步骤S212：所述用户终端接收到所述组播数据，根据链路密钥K2对所述组播数据进行解密。

根据本优选实施例所提供的方法，密钥服务器GCKS生成组播密钥K1，分别发送至组播复制点与组播服务器；所述组播复制点与用户终端协商生成链路密钥K2。所述组播服务器根据所述组播密钥K1对组播数据进行加密后，发送至组播复制点；所述组播复制点解密所述组播数据，并根据链路密钥K2重新对所述组播数据进行加密，而后发送至用户终端；所述数据终端对接收到的组播数据进行解密，从而实现组播服务。应用本优选实施例，不但可以保证组播服务的安全性，同时所采用的两级加密方式，在组播复制点中对组播数据解密后重新加密，发送至用户终端，能够有效降低密钥服务器GCKS的用户负担，减少组播网络中密钥服务器的数量，从而降低组播服务运营成本。

在本发明的另一优选实施例中，所述链路密钥K2的生成方式与上述优选实施例略有不同。当所述鉴权服务器完成对用户终端的认证后，所述组播复制点向所述鉴权服务器发送链路密钥分发请求，所述鉴权服务器根据所述请求，生成链路密钥K2，并发送至所述组播复制点与用户终端。本优选实施例中实现组播数据安全传输的其它过程与上述优选实施例相同，在此不再赘述。

相应地，本发明实施例还提供一种组播数据的传输装置，具体请参阅图3所示，包括：

接收单元301，用于接收组播服务器发送的根据组播密钥进行加密的组播数据；

组播数据解密单元302，用于解密接收到的所述根据组播密钥进行加密的组播数据；

组播数据加密单元303，用于根据链路密钥对所述解密后的组播数据重新进行加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

发送单元304，用于发送所述重新加密的组播数据至所述用户终端。

应用所述组播数据的安全传输装置，当接收单元301接收到组播服务器发送的根据组播密钥K1进行加密的组播数据后，通过组播数据解密单元302对所述组播数据进行解密，然后通过组播数据加密单元303根据链路密钥K2对所述组播数据重新进行加密，再经由发送单元304发送所述重新加密的组播数据至用户终端，从而实现组播服务。

与现有技术相比，本发明实施例在组播网络中采用两级加密的方式，组播网络中的组播复制点接收到组播服务器的加密数据后，将其解密，并根据与用户终端之间的另一密钥，对解密后的组播数据重新进行加密，并发送至用户终端。具有以下优点：

首先，应用本发明技术方案所提供的对组播数据二级加密的方法，由组播复制点完成与众多终端之间的二级加密，密钥服务器只与数量较少的组播服务点之间进行组播密钥的发送，因此，能够有效降低密钥服务器的用户负担，减少组播网络中密钥服务器的数量，降低组播服务运营成本。

其次，密钥服务器更新密钥后，只需要与数量较少的组播服务点之间进行组播密钥的发送，组播服务器的数据发送量明显减少，减少了系统负担。

再次，由于组播复制点在网络中不需要像用户终端那样，进行频繁的上线、下线操作，从而减少了密钥服务器的数据处理负担，节约了系统资源。

最后，由于对组播密钥的使用过程中，没有用户终端的参与，用户终端仅仅使用链路密钥进行加密解密，而没有获取使用组播密钥的机会，从而使得组播密钥的安全性得到了明显提高。

其中，在述实施例中，所述装置还可以包括：

第一组播密钥接收单元，用于接收密钥服务器GCKS生成的组播密钥；或

第二组播密钥接收单元，用于接收由各密钥服务器GCKS协商生成的组播密钥。

其中，在述实施例中，所述装置还可以包括：

注册单元，用于向密钥服务器GCKS注册。

其中，在述实施例中，所述装置还可以包括：

链路密钥获取单元，用于获取链路密钥。

其中，在述实施例中，所述链路密钥获取单元还可以包括：

协商子单元，用于与用户终端协商链路密钥；

生成子单元，用于根据所述协商结果，生成相应的链路密钥。

其中，在述实施例中，所述装置还可以包括：

第一组播密钥接收单元，用于接收密钥服务器GCKS生成的组播密钥；或

第二组播密钥接收单元，用于接收由各密钥服务器GCKS协商生成的组播密钥。

对于上述优选装置，实现组播数据的安全传输的具体过程可以为：

组播服务器向密钥服务器GCKS发起注册请求，在所述密钥服务器GCKS上注册；同时，所述优选装置通过注册单元向密钥服务器GCKS发起注册请求，进行注册。通过上述注册过程，所述密钥服务器GCKS可以获知组播网络中组播服务器与组播复制点的具体情况；所述组播服务器与优选装置通过所述注册过程，向所述密钥服务器GCKS告知自身的存在。在所述的注册过程中，还可以包括密钥服务器GCKS对所述优选装置和组播服务器的认证过程，该认证过程为本领域的公知技术，在此不再赘述。

注册过程完成之后，所述密钥服务器GCKS分别与所述优选装置和组播服务器之间建立IPsec通道。完成IPsec通道的建立后，所述密钥服务器GCKS通过该通道发送组播密钥K1分别至所述优选装置与组播服务器。其中，所述组播密钥K1可以由所述密钥服务器GCKS生成，也可以由组播网络中的各密钥服务器GCKS之间通过协商生成。

所述优选装置通过组播密钥接收单元接收到组播密钥K1后，发起组播认证流程，向用户终端发送触发消息，所述用户终端对该触发消息做出响应，通过所述优选装置将credential消息转发至鉴权服务器。

所述鉴权服务器根据所述credential消息对所述用户终端进行认证，若认证成功，经由所述优选装置发送认证成功消息至所述用户终端，若认证不成功，则终止向该用户终端发送组播数据的流程。

所述优选装置通过链路密钥获取单元获取到链路密钥K2。其具体的过程如下：协商子单元与用户终端进行协商，根据协商结果，通过生成子单元生成链路密钥K2。在所述优选装置与用户终端，均保存有该链路密钥K2，用于对组播数据的加密与解密。

完成上述密钥的分发过程后，所述组播服务器根据所述组播密钥K1，对要发送的组播数据进行加密，并发送所述加密后的组播数据至所述优选装置。所述优选装置通过接收单元接收到所述加密的组播数据，使用组播数据解密单元对该组播数据进行解密，再使用组播数据加密单元根据链路密钥K2重新对所述解密的组播数据重新进行加密，最后通过发送单元将所述重新加密的组播数据发送至所述用户终端。

所述用户终端接收到所述组播数据，根据链路密钥K2对其解密，从而实现相应的组播服务。

根据本优选实施例所提供的方法，密钥服务器GCKS生成组播密钥K1，分别发送至所述优选装置与组播服务器；所述优选装置与用户终端协商生成链路密钥K2。所述组播服务器根据所述组播密钥K1对组播数据进行加密后，发送至所述优选装置；所述优选装置解密所述组播数据，并根据链路密钥K2重新对所述组播数据进行加密，而后发送至用户终端；所述数据终端对接收到的组播数据进行解密，从而实现组播服务。应用本优选实施例，不但可以保证组播服务的安全性，同时所采用的两级加密方式，在所述优选装置中对组播数据解密后重新加密，发送至用户终端，能够有效降低密钥服务器GCKS的用户负担，减少组播网络中密钥服务器的数量，从而降低组播服务运营成本。

在本发明的另一优选实施例中，所述链路密钥K2的生成方式与上述优选实施例略有不同。当所述鉴权服务器完成对用户终端的认证后，所述优选装置向所述鉴权服务器发送链路密钥分发请求，所述鉴权服务器根据所述请求，生成链路密钥K2，并发送至所述优选装置与用户终端。本优选实施例中实现组播数据安全传输的其它过程与上述优选实施例相同，在此不再赘述。

相应地，本发明实施例还提供一种组播数据的传输系统，包括：

组播服务器401，用于根据组播密钥对组播数据进行加密，并将加密后的组播数据发送出去；

组播复制点402，用于接收所述组播服务器加密的所述组播数据，利用组播密钥对所述组播数据解密后，根据链路密钥对所述组播数据重新加密，并将重新加密后的组播数据发送至用户终端，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

用户终端403，用于从所述组播复制点接收所述重新加密后的组播数据，并根据所述链路密钥进行解密。

其中，在上述实施例中，所述系统还可以包括：

密钥服务器GCKS，用于生成组播密钥，并将生成的组播密钥发送至所述组播复制点和所述组播服务器。

其中，在上述实施例中，所述系统还可以包括：

鉴权服务器，用于根据所述组播复制点的请求，下发所述链路密钥至所述组播复制点与所述用户终端。

其中，在上述实施例中，所述系统的所述鉴权服务器还包括：

认证单元，用于在所述组播复制点触发认证后，对所述用户终端进行认证。

其中，在上述实施例中，所述组播复制点还包括第一链路密钥协商单元，所述用户终端还包括第二密钥协商单元；

所述第一链路密钥协商单元，用于和所述第二密钥协商单元协商生成所述链路密钥。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (17)

1、一种组播数据的传输方法，其特征在于，包括：

接收组播服务器发送的根据组播密钥进行加密的组播数据后解密所述组播数据；

根据链路密钥对解密后的所述组播数据重新加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

发送所述重新加密的组播数据至用户终端。

2、根据权利要求1所述的方法，其特征在于，接收组播服务器发送的根据组播密钥进行加密的组播数据之前，所述方法还包括：

接收密钥服务器GCKS生成的组播密钥；或

接收由各密钥服务器GCKS协商生成的组播密钥。

3、根据权利要求2所述的方法，其特征在于，接收组播服务器发送的根据组播密钥进行加密的组播数据之前，所述方法还包括：

所述组播复制点和所述组播服务器在密钥服务器GCKS注册。

4、根据权利要求2所述的方法，其特征在于，所述接收密钥服务器GCKS生成的组播密钥步骤之后，所述方法还包括：

所述组播复制点与所述用户终端获取链路密钥。

5、根据权利要求4所述的方法，其特征在于，组播复制点与所述用户终端获取链路密钥具体为：

所述组播复制点与所述用户终端协商生成所述链路密钥；或

所述组播复制点请求鉴权服务器下发链路密钥至所述组播复制点和所述用户终端。

6、根据权利要求4所述的方法，其特征在于，在所述接收密钥服务器GCKS生成的组播密钥步骤之后，所述组播复制点与所述用户终端获取链路密钥步骤之前，所述方法还包括：

所述组播复制点对所述用户终端进行身份认证，若认证通过，则继续执行所述获取链路密钥步骤。

7、根据权利要求6所述的方法，其特征在于，所述组播复制点对所述用户终端进行身份认证具体为：

所述组播复制点触发组播认证；

所述组播复制点接收所述用户终端回复的认证响应，并转发至所述鉴权服务器；

所述鉴权服务器对所述认证响应进行认证，向所述组播复制点回复认证结果。

8、一种组播数据的传输装置，其特征在于，包括：

接收单元，用于接收组播服务器发送的根据组播密钥进行加密的组播数据；

组播数据解密单元，用于解密接收到的所述根据组播密钥进行加密的组播数据；

组播数据加密单元，用于根据链路密钥对所述解密后的组播数据重新进行加密，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

发送单元，用于发送所述重新加密的组播数据至所述用户终端。

9、根据权利要求8所述的装置，其特征在于，所述装置还包括：

第一组播密钥接收单元，用于接收密钥服务器GCKS生成的组播密钥；或

第二组播密钥接收单元，用于接收由各密钥服务器GCKS协商生成的组播密钥。

10、根据权利要求8所述的装置，其特征在于，所述装置还包括：

注册单元，用于向密钥服务器GCKS注册。

11、根据权利要求8所述的装置，其特征在于，所述装置还包括：

链路密钥获取单元，用于获取链路密钥。

12、根据权利要求11所述的装置，其特征在于，所述链路密钥获取单元具体包括：

协商子单元，用于与用户终端协商链路密钥；

生成子单元，用于根据所述协商结果，生成相应的链路密钥。

13、一种组播数据的传输系统，其特征在于，包括：

组播服务器，用于根据组播密钥对组播数据进行加密，并将加密后的组播数据发送出去；

组播复制点，用于接收所述组播服务器加密的所述组播数据，利用组播密钥对所述组播数据解密后，根据链路密钥对所述组播数据重新加密，并将重新加密后的组播数据发送至用户终端，所述链路密钥用于组播复制点和用户终端间数据加密和解密；

用户终端，用于从所述组播复制点接收所述重新加密后的组播数据，并根据所述链路密钥进行解密。

14、根据权利要求13所述的系统，其特征在于，所述系统还包括：

密钥服务器GCKS，用于生成组播密钥，并将生成的组播密钥发送至所述组播复制点和所述组播服务器。

15、根据权利要求13所述的系统，其特征在于，所述系统还包括：

鉴权服务器，用于根据所述组播复制点的请求，下发所述链路密钥至所述组播复制点与所述用户终端。

16、如权利要求15所述的系统，其特征在于，所述鉴权服务器还包括：

认证单元，用于在所述组播复制点触发认证后，对所述用户终端进行认证。

17、如权利要求13所述的系统，其特征在于，所述组播复制点还包括第一链路密钥协商单元，所述用户终端还包括第二密钥协商单元；

所述第一链路密钥协商单元，用于和所述第二密钥协商单元协商生成所述链路密钥。

Images