CN101645771A - 密钥同步的方法、装置和系统 - Google Patents

Abstract

本发明实施例公开了一种密钥同步的方法，包括：获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，是，则启用所述当前数据帧的所述密钥标识对应的密钥；否，则不更改密钥。还公开了一种接收端密钥同步的装置、发送端密钥同步的装置、密钥同步的系统以及发送端密钥同步的方法。利用本发明实施例明显减轻了系统负担。

Description

密钥同步的方法、装置和系统

技术领域

本发明涉及通信技术领域，尤其涉及密钥同步的方法、装置和系统。

背景技术

保证临时密钥的同步，对于维持通信过程中所传输数据正常加密、解密，是必不可少的。

802.11协议中使用的临时密钥包括PTK(Pairwise Transient Key，成对结点间的临时密钥)、GTK(Group Transient Key，组播/广播时使用的临时密钥)和STK(Station to station Transient Key，站到站的临时密钥)。PTK用于保护STA(station，站，本文中专指802.11所说的非AP的STA)与AP(AccessPoint，接入点)之间的通信。GTK用于保护AP或STA对其它STA的广播/组播通信。STK用于保护两个直连的STA之间的通信。

PTK、GTK和STK都是在建立会话时产生的临时密钥，通过相应的主密钥派生并加密后分发，或通过协商生成。这些临时密钥主要用于加密会话过程中传输的信息。临时密钥在一些事件后必须更新，以减少被破解的风险。导致临时密钥更新的事件有：临时密钥的使用期满、加密的数据帧中的计数器溢出、移动中的STA切换AP、有STA退出组播组、关键参数发生变化等等。

802.11协议将报文的类型分成管理帧和数据帧等类型。密钥的协商和分发是通过管理帧进行的。管理帧具有较高优先级，因此不能保证先发出的数据帧一定会在后发出的管理帧之前被处理。这就意味着，两个结点协商完成新的临时密钥后，可能仍然会有尚未被处理的、用旧密钥加密的数据帧，对于这些数据帧是无法用新临时密钥解密的。由于STA或AP不能使用新的密钥解密这些用旧密钥加密的数据帧，就不可避免地导致这些数据帧被丢弃，这对连接的连续性产生不利影响。这就是临时密钥不同步所带来的技术问题。

为了解决临时密钥的同步问题，现有技术中的做法是，即当临时密钥更新时，数据接收方先使用新密钥进行解密，如果无法解开，则使用旧密钥解密，当能够用新密钥直接解开收到的数据帧时，就表示密钥已经同步。

在完成本发明的过程中，本发明人发现现有技术中至少存在如下问题：现有的密钥同步方法在密钥达到同步前，需要对同一数据帧使用新密钥和旧密钥进行两次解密，加重了设备的负担，需要处理器有较高的处理能力。

发明内容

有鉴于此，本发明一个或多个实施例的目的在于提供密钥同步的方法、装置和系统，以实现获取密钥标识后，根据密钥标识是否变化，来决定是根据旧密钥进行解密，还是启用新密钥进行解密，而不需要使用密钥试错机制来达到密钥同步，相对于现有技术中的密钥试错机制，本发明的实施例明显减轻了系统负担。

为解决上述问题，本发明实施例提供了一种密钥同步的方法，包括：

获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，否，则启用所述当前数据帧的所述密钥标识对应的密钥；是，则不更改密钥。

还提供了一种接收端密钥同步的装置，包括：

密钥标识获取单元，用于：获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

密钥标识判断单元，用于：判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同；

密钥确定单元，用于：如果所述判断结果为否，则启用所述当前数据帧的所述密钥标识对应的密钥；如果所述判断结果为是，则不更改密钥。

还提供了一种发送端密钥同步的装置，包括：

密钥映射单元，用于设置密钥与密钥标识的对应关系；

密钥标识设置单元，用于：对于各个数据帧，根据密钥与密钥标识的所述对应关系，设置所述各个数据帧的密钥标识。

还提供了一种密钥同步的系统，包括：

密钥发送端和密钥接收端，所述密钥发送端包括本发明的任一项发送端密钥同步的装置实施例所公开的装置，所述密钥接收端包括本发明的任一项接收端密钥同步的装置实施例所公开的装置。

还提供了一种发送端密钥同步的方法，包括：

设置密钥与密钥标识的对应关系；

对于各个数据帧，根据密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。

与现有技术相比，本发明实施例具有以下优点：

首先，通过预置密钥标识的方式来指示数据帧所使用的加密密钥，方式简便，指示明确。

其次，仅仅通过判断密钥标识是否发生变化，就可以知道当前密钥是否已经发生变化，从而为密钥同步提供了明确的指示。避免了现有技术中通过使用新旧密钥进行解密试错的方式才能试验出密钥是否发生变化，才能进行密钥同步所带来的计算量大、系统负担重的技术问题。

再次，相对于现有技术中的处理方式，如果临时密钥的数量不仅仅是两个，而是多个的情况下，现有技术中的试错方式所耗费资源将更为庞大。而本发明的实施例可以通过密钥标识与密钥的对应关系，直接根据密钥标识就可以索引出所需要的密钥，简单方便地实现了密钥同步。在所使用的密钥数量多、变化多的情况下，具有特别明显的优势。

附图说明

图1所示，是802.11协议中规定的MAC帧的结构图；

图2所示，是802.11协议中规定的MAC帧的头部的控制字段的结构图；

图3所示，是采用WEP加密方法时加密指示位的结构图；

图4所示，是采用TKIP加密方法时加密指示位的结构图；

图5所示，是标识密钥改变的“密钥变化”的一种结构图；

图6所示，是本发明的密钥同步的方法的实施例一的流程图；

图7所示，是本发明的密钥同步的方法的实施例二的流程图；

图8所示，是本发明的接收端密钥同步的装置的实施例一的框图；

图9所示，是本发明的接收端密钥同步的装置的优选实施例的框图；

图10所示，是本发明的发送端密钥同步的装置的实施例一的框图；

图11所示，是本发明的发送端密钥同步的装置的优选实施例的框图；

图12所示，是本发明的密钥同步的系统的实施例一的框图；

图13所示，是一种发送端密钥同步的方法的实施例一的流程图。

具体实施方式

下面结合附图对本发明具体实施方式做进一步的详细阐述。

参考图1所示，是802.11协议中规定的MAC帧的结构图。

参考图2所示，是802.11协议中规定的MAC帧的头部有一控制字段，即Frame Control帧控制的结构图。

图2所示控制字段的B14位(加密指示位)表示该帧的内容部分即图2中的Frame Body帧体是否加密。802.11对数据帧的加密采用多种方法，包括WEP、TKIP、CCMP等方法。WEP是最早的加密方法，TKIP、CCMP是在WEP基础上增强的加密方法。采用WEP加密方法时其加密指示位Frame Body帧体的结构如图3所示。其中初始向量字段中有6个比特位保留未使用，规定应该用0填充。

TKIP和CCMP加密方法与WEP加密方法相兼容。图4是TKIP加密方法的帧结构，CCMP方法的帧结构与此类似。

图4的初始向量字段中多使用了一个比特位表示后续是否存在一个32位的扩展初始向量字段，但仍然有5个保留位。

因此，无论802.11的数据帧采用什么加密方法，都可以在不增加帧长的基础上利用未使用的比特位作为一个标识字段，不妨把这个标识字段称为“密钥改变”表示密钥改变，其结构图可以参见图5所示。当然，实际应用并不限于使用图5所示的那个比特位，任何的保留位都可以用来作为这个“密钥变化”标识位。

在上述介绍的基础上，参见图6所示，是本发明的方法的实施例一，包括步骤：

步骤601、获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

步骤602、判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同；

步骤603、如果当前数据帧中的所述密钥标识与上一数据帧的密钥标识不同，则启用新密钥，表明当前数据帧已经使用新密钥加密，相应地，使用新密钥对当前数据帧进行解密，即启用所述当前数据帧的所述密钥标识对应的密钥；

步骤604、如果当前数据帧中的所述密钥标识与上一数据帧的密钥标识相同，则不更改密钥，仍然使用正在使用的密钥，表明当前数据帧仍然是使用正在使用的密钥加密的，相应地，需要使用正在使用的密钥对当前数据帧进行解密。

利用本发明的实施例，通过获取各个数据帧中预置的密钥标识，如果当前数据帧中的所述密钥标识与上一数据帧的密钥标识不同，则启用新密钥；如果当前数据帧中的所述密钥标识与上一数据帧的密钥标识相同，则仍然使用正在使用的密钥，不需要更改密钥。

本实施例所带来的有益效果是：

通过预置密钥标识的方式来指示数据帧所使用的加密密钥，方式简便，指示明确；仅仅通过判断密钥标识是否发生变化，就可以知道当前密钥是否已经发生变化，从而为密钥同步提供了明确的指示。避免了现有技术中通过使用新旧密钥进行解密试错的方式才能试验出密钥是否发生变化，才能进行密钥同步所带来的计算量大、系统负担重的技术问题；相对于现有技术中的处理方式，如果临时密钥的数量不仅仅是两个，而是多个的情况下，现有技术中的试错方式所耗费资源将更为庞大。而本发明的实施例可以通过密钥标识与密钥的对应关系，直接根据密钥标识就可以索引出所需要的密钥，简单方便地实现了密钥同步。在所使用的密钥数量多、变化多的情况下，具有特别明显的优势。

参考图7所示，是本发明的方法的实施例二，实施例二详细披露了一种预置密钥标识的方式，并提供了根据此方式相应地进行密钥同步的方法的完整过程，实施例二的方法包括步骤：

步骤701、密钥发送方将密钥标识“密钥改变”的初始值取为0；当然，其他的初始值都不影响本发明的效果实现；

步骤702、密钥发送方在启用新密钥时，对于使用新密钥加密的数据帧，将其中的密钥标识“密钥改变”的取值改变为其他值，例如取值1；对于所属领域的技术人员而言，可以明白，当密钥发送方所发送的密钥再次发生改变时，相应地，“密钥改变”的取值就要再次变化，例如又改回0，或者是改成2等等；

步骤703、密钥接收方检查接收到的数据帧中密钥标识“密钥改变”，判断密钥标识的取值是否发生变化；如果相对上一个数据帧其取值发生了变化，则进行步骤704，否则，进入步骤705；

步骤704、如果相对上一个数据帧的密钥标识“密钥改变”的值，当前数据帧的取值发生变化，就表示当前数据帧是采用新的密钥进行加密的，则启用新的密钥解密。

步骤705、如果相对上一个数据帧的密钥标识“密钥改变”的值，当前数据帧的取值没有发生变化，就表示当前数据帧是采用的密钥没有发生变化，则不需要更改密钥，仍然使用原来的密钥解密。

通过如此的处理过程，临时密钥可以顺利达到同步，而不需要增加额外处理步骤。这种识别方式的处理量远远小于现有技术中进行两次解密过程的处理量，有效地减轻了系统负担。

其中，在上述实施例中，密钥标识“密钥改变”的取值可以不限于在0和1两个值之间转换。还可以使用多个比特位表示的其他值，取值可以在一定的范围内逐渐递增或递减，并循环使用取值。例如，使用3个比特位，取值可以在0-7范围内变化，初始为0，密钥更新一次后取值变为1，密钥再更新一次后取值变为2，以此类推。当取值为7时，再次更新密钥后取值又变为0。相应地，接收方可以使用一个变量记录上一数据帧中“密钥改变”的取值，并与当前处理帧中的“密钥改变”取值比较。可以将“密钥改变”的取值作为所使用密钥的索引，通过该索引值来选择相应的密钥，然后再对加密数据进行解密。其中，新的密钥可以使用当前“密钥改变”取值的下一个值作为索引；同理，还可以采用符号(譬如：ASCII码)来表示，只要保证“密钥改变”标识位的取值发生变化或倒转，都能够完成本发明的目的。

参考图8所示，是本发明的一种接收端密钥同步的装置的实施例一的框图，本装置实施例主要应用于密钥接收端，包括：

密钥标识获取单元801，用于：获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

其中，所述密钥标识包括：

0和1；或

0、1、2、3、4、5、6和7。

密钥标识判断单元802，用于：判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，根据判断结果指示密钥确定单元工作；

密钥确定单元803，用于：如果所述判断结果为否，则启用所述当前数据帧的所述密钥标识对应的密钥；如果所述判断结果为是，则不更改密钥。

其中，在上述实施例中，所述密钥确定单元还用于：对于所述当前数据帧的密钥标识，根据密钥与所述密钥标识的对应关系，将所述密钥作为当前数据帧的密钥启用。

本发明的装置实施例通过密钥标识获取单元获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；再由密钥标识判断单元判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，根据判断结果指示密钥确定单元工作；然后密钥确定单元确定需要使用的密钥：如果所述判断结果为否，则启用所述当前数据帧的所述密钥标识对应的密钥；如果所述判断结果为是，则不更改密钥。有益效果是：

首先，通过预置密钥标识的方式来指示数据帧所使用的加密密钥，方式简便，指示明确。

其次，仅仅通过判断密钥标识是否发生变化，就可以知道当前密钥是否已经发生变化，从而为密钥同步提供了明确的指示。避免了现有技术中通过使用新旧密钥进行解密试错的方式才能试验出密钥是否发生变化，才能进行密钥同步所带来的计算量大、系统负担重的技术问题。

再次，相对于现有技术中的处理方式，如果临时密钥的数量不仅仅是两个，而是多个的情况下，现有技术中的试错方式所耗费资源将更为庞大。而本发明的实施例可以通过密钥标识与密钥的对应关系，直接根据密钥标识就可以索引出所需要的密钥，简单方便地实现了密钥同步。在所使用的密钥数量多、变化多的情况下，具有特别明显的优势。

参见图9所示，其中，在图8所示实施例的基础上，所述装置还可以包括：

解密单元901，用于：使用所述启用后的密钥，或使用所述未更改的密钥，根据WEP、TKIP或CCMP算法进行解密。

参见图10所示，是本发明的另一种密钥同步的装置的框图，与图8及其优选实施例不同，本装置实施例主要应用于密钥发送端，包括：

密钥映射单元1001，用于设置密钥与密钥标识的对应关系；

密钥标识设置单元1002，用于：对于各个数据帧，根据密钥与密钥标识的所述对应关系，设置所述各个数据帧的密钥标识。

参见图11所示，其中，上述实施例中，所述装置还可以包括：

加密单元1101，用于：根据所述密钥，对所述各个数据帧加密。

其中，上述实施例中，所述密钥标识包括：

0和1；或

0、1、2、3、4、5、6和7。

其中，上述实施例中，所述密钥标识设置单元具体为：

密钥标识设置单元还用于：在所述数据帧的控制字段内的加密指示位设置所述密钥标识。

本发明的主要应用于密钥发送端的装置的各个实施例，通过密钥标识设置单元，对于各个数据帧，根据密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。可以指示密钥接收端直接根据当前数据帧的密钥标识，就可以判断当前数据帧的密钥是否发生变化，并进而进行密钥同步或者仍然使用原来的密钥。

本实施例所带来的有益效果是：避免了现有技术的试错机制带来的系统负担大的技术问题，仅仅通过比较密钥标识是否变化，即可以相应地更换对应的密钥，计算量少，系统负担减轻。

参考图12所示，是本发明的密钥同步的系统的实施例一的框图，包括：

密钥发送端1201和密钥接收端1202，所述密钥发送端1201包括本发明的各个应用于发送端密钥同步的装置，用于设置密钥与密钥标识的对应关系，用于于各个数据帧，根据密钥与密钥标识的所述对应关系，设置所述各个数据帧的密钥标识，根据所述密钥，对所述各个数据帧加密。所述密钥接收端1202包括本发明的任一个应用于接收端密钥同步的装置，用于获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；用于判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，如果所述判断结果为否，则启用所述当前数据帧的所述密钥标识对应的密钥；如果所述判断结果为是，则不更改密钥。只要发送端密钥同步的装置和接收端密钥同步的装置的功能和结构能够相互适应工作即可。

利用本发明的密钥同步的系统的各个实施例，能够在密钥发送端，对于各个数据帧，根据密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。可以指示密钥接收端直接根据当前数据帧的密钥标识，就可以判断当前数据帧的密钥是否发生变化，并进而进行密钥同步或者仍然使用原来的密钥。

参考图13所示，是一种发送端密钥同步的方法的实施例一，包括：

1301、设置密钥与密钥标识的对应关系；

其中，所述密钥标识包括：

0和1；或

0、1、2、3、4、5、6和7。

1302、对于各个数据帧，根据所述密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。

其中，在设置所述各个数据帧的密钥标识之后，还包括：

根据所述密钥，对所述各个数据帧加密。

其中，所述设置所述各个数据帧的密钥标识具体为：

在所述数据帧的控制字段内的加密指示位设置所述密钥标识。

利用本发明的发送端密钥同步的方法各个实施例，能够在密钥发送端，对于各个数据帧，根据密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。可以指示密钥接收端直接根据当前数据帧的密钥标识，就可以判断当前数据帧的密钥是否发生变化，并进而进行密钥同步或者仍然使用原来的密钥。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (15)

1、一种密钥同步的方法，其特征在于，包括：

获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同，否，则启用所述当前数据帧的所述密钥标识对应的密钥；是，则不更改密钥。

2、如权利要求1所述的方法，其特征在于，所述获取各个数据帧中预置的密钥标识中的预置操作具体为：

对于所述各个数据帧，根据所述密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。

3、如权利要求1所述的方法，其特征在于，所述启用所述当前数据帧的所述密钥标识对应的密钥过程具体为：

对于所述当前数据帧的密钥标识，根据密钥与所述密钥标识的对应关系，将所述密钥作为当前数据帧的密钥。

4、如权利要求2所述的方法，其特征在于，所述设置所述各个数据帧的密钥标识过程具体为：

在所述数据帧的控制字段内的加密指示位设置所述密钥标识。

5、如权利要求1所述的方法，其特征在于，还包括：

使用所述启用后的密钥，或使用所述未更改的密钥，根据WEP、TKIP或CCMP算法进行解密。

6、一种接收端密钥同步的装置，其特征在于，包括：

密钥标识获取单元，用于：获取各个数据帧中预置的密钥标识，所述密钥标识与不同的密钥相对应；

密钥标识判断单元，用于：判断当前数据帧中的所述密钥标识与上一数据帧的密钥标识是否相同；

密钥确定单元，用于：如果所述判断结果为否，则启用所述当前数据帧的所述密钥标识对应的密钥；如果所述判断结果为是，则不更改密钥。

7、如权利要求6所述的装置，其特征在于，所述密钥确定单元还用于：对比所述当前数据帧的密钥标识，根据密钥与所述密钥标识的对应关系，将所述密钥作为当前数据帧的密钥启用。

8、如权利要求6所述的装置，其特征在于，还包括：

解密单元，用于：使用所述启用后的密钥，或使用所述未更改的密钥，根据WEP、TKIP或CCMP算法进行解密。

9、一种发送端密钥同步的装置，其特征在于，包括：

密钥映射单元，用于设置密钥与密钥标识的对应关系；

密钥标识设置单元，用于：对于各个数据帧，根据密钥与密钥标识的所述对应关系，设置所述各个数据帧的密钥标识。

10、如权利要求9所述的装置，其特征在于，还包括：

加密单元，用于：根据所述密钥，对所述各个数据帧加密。

11、如权利要求9所述的装置，其特征在于，所述密钥标识设置单元还用于：在所述数据帧的控制字段内的加密指示位设置所述密钥标识。

12、一种密钥同步的系统，其特征在于，包括：

密钥发送端和密钥接收端，所述密钥发送端包括权利要求9-11任一项所述的装置，所述密钥接收端包括权利要求6-8任一项所述的装置。

13、一种发送端密钥同步的方法，其特征在于，包括：

设置密钥与密钥标识的对应关系；

对于各个数据帧，根据密钥与密钥标识的对应关系，设置所述各个数据帧的密钥标识。

14、如权利要求16所述的方法，其特征在于，在设置所述各个数据帧的密钥标识之后，还包括：

根据所述密钥，对所述各个数据帧加密。

15、如权利要求16所述的方法，其特征在于，所述设置所述各个数据帧的密钥标识具体为：

在所述数据帧的控制字段内的加密指示位设置所述密钥标识。

Images