CN101651944A - 集群系统和加密通信方法 - Google Patents

Abstract

本发明提出了一种集群系统和加密通信方法。其中，加密通信方法包括以下步骤：根据客户端或集群终端发起的加密呼叫产生密钥；加密机和集群终端分别获取所述密钥；所述加密机利用所述密钥对来自所述客户端的语音信息进行加密，并向调度子系统发送加密的语音信息；所述调度子系统将来自所述加密机的加密的语音信息转发给集群终端；以及所述集群终端利用所述密钥对接收到的来自所述调度子系统的加密的语音信息进行解密。在本发明中，通过利用与通话呼叫相对应的密钥对通信内容进行加密和解密，使得能够在客户终端和集群终端之间进行加密的语音通信。

Description

集群系统和加密通信方法

技术领域

本发明涉及通信领域，更具体地，涉及一种集群系统和加密通信方法。

背景技术

移动通信技术已经发展到第三代，其中集群通信也日益成为一种不可或缺的通信业务。集群通信是指一种专用的调度通信方式，包括专用指挥和调度通信，在使用中，集群用户可以同时加入呼叫，其中，通话以单工方式工作。从广义上讲，包括无线对讲系统在内的具有调度通信功能的各种无线通信系统均可纳入集群通信系统的范畴。

集群通信经历了简单对讲系统(一对一对讲形式)到单基站小系统(同频单工组网形式、异频单(双)工组网形式、单信道一呼百应形式、带选择呼叫形式、及多信道自动拨号形式)，再到大容量多区域系统(多信道用户共享形式)的发展历程，后又经历了从模拟集群到数字集群的飞跃。这个飞跃使得集群通讯在信令编码、采用的多址方式、语音编码、调制解调技术、同步技术、检错纠错以及分集技术等方面均可以采用更可靠的数字处理方式。目前广泛应用的两种数字集群系统是基于TDMA多址技术的iDEN(integratedDigital Enhanced Network)和TETRA(Terrestrial Trunked Radio)。为了促进数字集群系统的规模应用，同时进一步提高频率资源利用率，集群通信系统在应用上出现了一个新的应用趋势，就是将多个数字集群系统结合在一起统一使用和管理，从而达到能够共用频道和信道，共享覆盖区域、通信业务，共担费用的目的，最终将集群应用从面向个别专业用户发展为面向多个集团用户从而实现共网运营。

图1是示出现有技术中的集群系统的示意图。如图1所示，在原支持调度台功能的数字集群系统网络结构中，包括以下部分：(1)MS：集群终端，能够支持存储用户信息，群组信息，调度区域判断，响应传统式组呼寻呼等集群业务的终端设备；(2)BSS：基站子系统(Base SubSystem，简称BSS)，包括支持集群呼叫的收发信机(Base Transceiver System，简称BTS)，基站控制器(Base StationController，简称BSC)和与网络侧交互的调度客户端(PTT DispatchClient，简称PDC)；(3)PDS：调度服务器(PTT Dispatch Server，简称PDS)，实现集群呼叫的呼叫控制和话权管理；(4)PHR：调度归属寄存器(PTT Home Register，简称PHR)，保存集群用户和群组的注册信息和位置信息，实现对集群用户的鉴权、授权和计费功能，以及位置更新和群组管理功能；(5)DAS：调度代理服务器(Dispatch Agent Server，简称DAS)，支持对行业用户进行群组管理、实时调度等功能；(6)DAC：调度台客户端(Dispatch AgentClient)，进行集团群组管理、实时调度的客户端PC机。

对于安全性要求较高的行业用户而言，诸如警察、军队、及国家安保部门等，需要在数字集群系统中提供端到端的加密功能。终端类型可能包括：普通终端、车载终端和调度台客户端等。其中，调度台是提供对行业用户进行编组管理和实时调度的操作平台，是专业生产调度中必备的操作台。但现有技术不能提供端到端的加密功能，无法满足对保密安全性要求较高的行业用户的使用需要。

发明内容

鉴于以上所述的一个或多个问题，本发明的目的在于提供一种能够实现客户端和集群终端之间的语音加密通信的集群系统和加密通信方法。

根据本发明的一个方面，提供了一种集群系统，该集群系统包括：客户端，用于发起加密呼叫，以及向加密机发送语音信息并接收来自加密机的语音信息；加密机，用于获取密钥分配中心产生的密钥，利用密钥对来自客户端的语音信息进行加密并向调度子系统发送加密的语音信息，以及利用密钥对来自调度子系统的语音信息进行解密并向客户端发送解密的语音信息；调度子系统，用于在加密机和集群终端之间转发语音信息；密钥分配中心，用于根据客户端发起的加密呼叫产生密钥；以及集群终端，用于获取密钥分配中心产生的密钥，利用密钥对接收到的来自调度子系统的语音信息进行解密，以及利用密钥对要发送给调度子系统的语音信息进行加密。

其中，在客户端发起加密呼叫的情况下，调度子系统向密钥分配中心发起密钥分配请求，接收来自密钥分配中心的密钥，并向客户端和集群终端转发密钥，客户端向加密机发送密钥。

此外调度子系统可以包括：调度服务器，响应于加密呼叫向调度归属服务器发送密钥请求，在接收到来自调度归属服务器的密钥之后向集群终端和客户端转发密钥，将来自加密机的加密的语音信息转发给集群终端，以及将来自集群终端的语音信息转发给加密机；以及调度归属寄存器，响应于密钥请求向密钥分配中心发送密钥分配请求，在接收到来自密钥分配中心的密钥之后向调度服务器转发密钥。

另外，如果话权发生切换，密钥分配中心产生更新后的密钥；加密机和话权切换后对应的新的集群终端获取更新后的密钥；以及加密机根据更新后的密钥对语音进行加密、解密、及转发。

其中，客户端和加密机可以位于同一局域网内。客户端和加密机可以在物理上相邻。加密呼叫可以是单呼、组呼、或临时组呼。密钥可以是组密钥、用户密钥、临时组密钥、或集团密钥。

根据本发明的另一个方面，提出了一种加密通信方法，该加密通信方法包括以下步骤：根据客户端或集群终端发起的加密呼叫产生密钥；加密机和集群终端分别获取密钥；加密机利用密钥对来自客户端的语音信息进行加密，并向调度子系统发送加密的语音信息；调度子系统将来自加密机的加密的语音信息转发给集群终端；以及集群终端利用密钥对接收到的来自调度子系统的加密的语音信息进行解密。

该加密通信方法还可以包括以下步骤：集群终端利用密钥对要发送的语音信息进行加密，并将该语音信息发送给调度子系统；调度子系统将来自集群终端的语音信息转发给加密机；以及加密机利用密钥对来自调度子系统的语音信息进行解密，并将解密后的语音信息发送给客户端。

该加密通信方法还可以包括以下步骤：如果话权发生切换，产生更新后的密钥；加密机和话权切换后对应的新的集群终端获取更新后的密钥；以及加密机根据更新后的密钥对语音进行加密、解密、及转发。

其中，客户端和加密机可以位于同一局域网内。客户端和加密机可以在物理上相邻。加密呼叫可以是单呼、组呼、或临时组呼。密钥可以是组密钥、用户密钥、临时组密钥、或集团密钥。

总之，在本发明中，通过利用与通话呼叫相对应的密钥对通信内容进行加密和解密，使得能够在客户终端和集群终端之间进行加密的语音通信。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是示出现有技术中的集群系统的示意图；

图2是示出根据本发明实施例的集群系统的框图；

图3是示出根据本发明实施例的集群系统的示意图；

图4是示出根据本发明实施例的调度台加密呼叫网络实体间交互的流程图；

图5是示出根据本发明实施例的加密呼叫过程中调度台语音传输图；

图6是示出根据本发明实施例的加密呼叫过程中话权切换时密钥更新流程图；以及

图7是示出根据本发明实施例的加密通信方法的流程图。

具体实施方式

下面参考附图，详细说明本发明的具体实施方式。

本发明的目的就是在现有的数字集群网络实体基础上，通过引入密钥分发中心、鉴权中心、调度台加密机等网元，实现包括调度台客户端在内的端到端的集群业务加密功能，用于满足对保密安全性要求较高的行业用户的使用需要。

具体而言，包括：能够通过调度台客户端发起加密呼叫，包括组呼、单呼、临时组呼等；能够通过终端对调度台发起加密呼叫；能够通过调度台客户端对终端加密呼叫进行实时的监控和调度；能够通过调度台客户端对加密通话进行录音、保存等；本发明所述的涉及端到端的数字集群加密系统(终端类型可能是调度台客户端、手持终端、车载终端等)，通过在现有数字集群系统基础上，引入密钥分配中心和鉴权中心(KDC/SAC)、调度台加密机(DEM)等网元，在实现集群业务的同时，满足了对于保密性的特殊要求。在本发明的实施例中：调度台客户端向调度系统发起加密呼叫，呼叫类型可能包括：单呼、组呼、临时组呼等；加密呼叫建立过程中，调度系统除了对呼叫的主叫、被叫进行鉴权之外，还要向密钥分配中心申请工作密钥，在本次呼叫使用；调度服务器将调度台客户端使用的工作密钥信息发送给调度台客户端，进而调度台客户端将工作密钥信息发送给调度台加密机，用于对语音进行加密和解密时使用；调度台加密机主要功能是对调度台客户端相关的语音进行加密和解密，和调度台客户端相关的加密语音均通过调度台加密机进行传输；调度台客户端、调度台加密机和调度服务器之间在传输语音报文之前，需要先协商语音通道，通道信息包括发送和接收的地址、端口号等；调度台客户端和调度台加密机之间语音报文为明文传输，调度台加密机和调度服务器之间的语音为加密传输；为了保密安全起见，调度台客户端和调度台加密机通常位于同一局域网内，甚至物理上相邻，确保它们之间传输的明文报文不会被窃听；在加密呼叫过程中，如果话权发生切换，调度台客户端会通知调度台加密机进行密钥信息更新，确保能够对语音进行正确的加密和解密；在加密呼叫释放过程时，调度台客户端和调度台加密机需要事先协商，并释放对应的通道资源。

本发明主要涉及在数字集群通信领域中通过调度台提供加密的语音调度，实现全方位端到端的加密集群呼叫。该业务功能包括下面几方面的内容：引入独立的调度台加密机网元，实现语音的加密和解密；在加密呼叫建立前，实现密钥的事先分配，语音通道的分配；在加密通话过程中，实现实时的语音加密和解密；在呼叫释放过程中，实现语音通道的释放。本发明还涉及到密钥分配中心和鉴权中心网元，主要实现终端的鉴权，密钥的产生、分发和更新等功能，是实现端到端加密业务的核心部分。

图2是示出根据本发明实施例的集群系统的框图。如图2所示，根据本发明实施例的集群系统包括：客户端202，用于发起加密呼叫，以及向加密机发送语音信息并接收来自加密机的语音信息；加密机204，用于获取密钥分配中心产生的密钥，利用密钥对来自客户端的语音信息进行加密并向调度子系统发送加密的语音信息，以及利用密钥对来自调度子系统的语音信息进行解密并向客户端发送解密的语音信息；调度子系统206，用于在加密机和集群终端之间转发语音信息；密钥分配中心208，用于根据客户端发起的加密呼叫产生密钥；以及集群终端210，用于获取密钥分配中心产生的密钥，利用密钥对接收到的来自调度子系统的语音信息进行解密，以及利用密钥对要发送给调度子系统的语音信息进行加密。

其中，在客户端发起加密呼叫的情况下，调度子系统向密钥分配中心发起密钥分配请求，接收来自密钥分配中心的密钥，并向客户端和集群终端转发密钥，客户端向加密机发送密钥。

此外调度子系统可以包括：调度服务器，响应于加密呼叫向调度归属服务器发送密钥请求，在接收到来自调度归属服务器的密钥之后向集群终端和客户端转发密钥，将来自加密机的加密的语音信息转发给集群终端，以及将来自集群终端的语音信息转发给加密机；以及调度归属寄存器，响应于密钥请求向密钥分配中心发送密钥分配请求，在接收到来自密钥分配中心的密钥之后向调度服务器转发密钥。

另外，如果话权发生切换，密钥分配中心产生更新后的密钥；加密机和话权切换后对应的新的集群终端获取更新后的密钥；以及加密机根据更新后的密钥对语音进行加密、解密、及转发。

其中，客户端和加密机可以位于同一局域网内。客户端和加密机可以在物理上相邻。加密呼叫可以是单呼、组呼、或临时组呼。密钥可以是组密钥、用户密钥、临时组密钥、或集团密钥。

图3是示出根据本发明实施例的集群系统的示意图。如图3所示，根据本发明实施例的支持调度台语音加密功能的数字集群系统网络结构在图1的基础上新增了以下组成部分：

(1)KDC/SAC：加密子系统，由密钥分配中心(Key DistributeCenter，简称KDC)和鉴权中心(Security Authority Center，简称SAC)组成。KDC负责对加密业务中使用的密钥进行管理，包括密钥生成、密钥分发以及密钥更新等；SAC根据双向鉴权的原则，负责终端和加密系统之间的安全性认证。

(2)DEM：调度台加密机(Dispatch Encript Machine，简称DEM)，主要完成语音的加密和解密。加密机和调度台客户端(Dispatch Agent Client)之间传输明文语音，为了安全起见，实际部署时一般位于一个局域网内。

图4是示出根据本发明实施例的调度台加密呼叫网络实体间交互的流程图，步骤如下：

步骤S402，调度台客户端(DAC)通过调度代理服务器(DAS)向调度服务器(PDS)发起加密呼叫，呼叫类型可能包括单呼、组呼、临时组呼等；

步骤S404，调度服务器(PDS)向调度归属寄存器(PHR)发送呼叫鉴权请求及密钥申请请求；

步骤S406，调度归属寄存器(PHR)在进行鉴权的同时，向密钥分配中心(KDC)请求密钥信息，密钥类型可能包括：组密钥、用户密钥、临时组密钥、集团密钥等；

步骤S408，密钥分配中心(KDC)根据密钥申请类型及密钥申请参数，产生此次呼叫使用的工作密钥，并返回给调度归属寄存器(PHR)；

步骤S410，调度归属寄存器(PHR)根据呼叫鉴权结果及密钥申请结果，向调度服务器(PDS)返回鉴权结果和密钥信息；

步骤S412，调度服务器(PDS)保存工作密钥参数后，对终端(MS)和调度台客户端(DAC)进行寻呼请求，寻呼请求中同时携带工作密钥信息。由于本文重点调度台客户端(DAC)参与的呼叫加密流程，对终端的寻呼流程、加密业务处理流程不作为重点描述；

步骤S414，调度台客户端(DAC)分配呼叫通道及资源后，向调度台加密机(DEM)请求语音通道，请求中携带呼叫相关信息，及密钥相关信息(密钥相关信息用于在呼叫建立后，加密机对语音进行加密和解密处理)；

步骤S416，调度台加密机(DEM)分配语音通道及资源，保存密钥参数信息后，向调度台客户端(DAC)进行响应；

步骤S418，调度台客户端(DAC)通过调度台加密机(DEM)向调度服务器(PDS)请求建立加密语音通道；

步骤S420，调度服务器(PDS)分配相关资源后，通过调度台加密机(DEM)向调度台客户端(DAC)进行通道建立响应。完成该协商过程后，在调度台客户端(DAC)、调度台加密机(DEM)和调度服务器(PDS)之间建立了一条语音通道，其中，在调度台加密机(DEM)和调度服务器(PDS)之间传输加密语音，在调度台客户端(DAC)和调度台加密机(DEM)之间传输明文语音；

步骤S422，调度台客户端(DAC)通过调度代理服务器(DAS)给调度服务器(PDS)发送呼叫建立完成指示，呼叫资源建立完成；

步骤S424，调度服务器(PDS)通过调度代理服务器(DAS)向调度台客户端(DAC)授予话权；

步骤S426，调度台客户端(DAC)通过调度代理服务器(DAS)向调度服务器(PDS)进行话权响应；

步骤S428，调度台客户端(DAC)语音通过调度台加密机(DEM)进行加密后向调度服务器(PDS)传输，进而通过基站控制器(BSC)和基站(BS)传输给终端(MS)；反之，终端(MS)语音通过终端加密模块进行加密后，进而再通过调度服务器(PDS)传输给调度台加密机(DEM)，调度台加密机(DEM)对语音进行解密后传输给调度台客户端(DAC)；

步骤S430，通话完成后，调度服务器(PDS)开始释放呼叫，通过调度代理服务器(DAS)向调度台客户端(DAC)发送呼叫释放请求；

步骤S432，调度台客户端(DAC)收到释放请求后，首先向调度台加密机(DEM)请求释放语音通道；

步骤S434，调度台加密机(DEM)释放呼叫通道相关资源，向调度台客户端(DAC)进行响应；以及

步骤S436，调度台客户端(DAC)通过调度代理服务器(DAS)向调度服务器(PDS)发送呼叫释放指示，调度服务器(PDS)释放相关资源后，呼叫释放完成。

图5是示出根据本发明实施例的加密呼叫过程中调度台语音传输图，作为图4中步骤S428语音传输的详细说明，步骤如下：

步骤S502，调度服务器(PDS)向调度台加密机(DEM)转发加密语音；

步骤S504，调度台加密机(DEM)根据保存的密钥信息，对语音流进行解密操作，将解密后的明文语音流向调度台客户端(DAC)转发；

步骤S506，调度台客户端(DAC)作为讲话方时，向调度台加密机(DEM)传输明文语音；以及

步骤S508，调度台加密机(DEM)根据保存的密钥信息，对语音流进行加密操作，将加密后的语音流向调度服务器(PDS)转发。

图6是示出根据本发明实施例的加密呼叫过程中话权切换时密钥更新流程图，步骤如下：

步骤S602，在加密呼叫过程中，如果话权发生切换，调度服务器(PDS)通过调度代理服务器(DAS)向调度台客户端(DAC)发送话权切换通知；

步骤S604，调度台客户端(DAC)向调度台加密机(DEM)发送密钥更新通知，通知其更新密钥；

步骤S606，调度台加密机(DEM)向密钥分配中心(KDC)进行密钥更新请求；

步骤S608，密钥分配中心(KDC)根据保存的密钥更新信息，向调度台加密机(DEM)进行密钥更新应答；以及

步骤S610，调度台加密机(DEM)密钥更新完成后，可以根据最新的密钥信息对语音进行加密和解密转发。

图7是示出根据本发明实施例的加密通信方法的流程图。如图7所示，根据本发明实施例的加密通信方法包括以下步骤：

步骤S702，根据客户端或集群终端发起的加密呼叫产生密钥；

步骤S704，加密机和集群终端分别获取所述密钥；

步骤S706，所述加密机利用所述密钥对来自所述客户端的语音信息进行加密，并向调度子系统发送加密的语音信息；

步骤S708，所述调度子系统将来自所述加密机的加密的语音信息转发给集群终端；以及

步骤S710，所述集群终端利用所述密钥对接收到的来自所述调度子系统的加密的语音信息进行解密。

该加密通信方法还可以包括以下步骤：所述集群终端利用所述密钥对要发送的语音信息进行加密，并将该语音信息发送给所述调度子系统；所述调度子系统将来自所述集群终端的语音信息转发给所述加密机；以及所述加密机利用所述密钥对来自所述调度子系统的语音信息进行解密，并将解密后的语音信息发送给所述客户端。

该加密通信方法还可以包括以下步骤：如果话权发生切换，产生更新后的密钥；所述加密机和话权切换后对应的新的集群终端获取所述更新后的密钥；以及所述加密机根据所述更新后的密钥对语音进行加密、解密、及转发。

其中，所述客户端和所述加密机可以位于同一局域网内。所述客户端和所述加密机可以在物理上相邻。所述加密呼叫可以是单呼、组呼、或临时组呼。所述密钥可以是组密钥、用户密钥、临时组密钥、或集团密钥。

综上所述，本发明提出了一种在现有数字集群网络的基础上，引入密钥分配中心和鉴权中心(KDC/SAC)，以及调度台加密机(DEM)等网元，实现调度台客户端(DAC)和终端(MS)之间端到端的加密呼叫。对于安全性要求较高的行业而言，可以通过调度台客户端对集团内加密终端进行实时管理和调度操作，充分体现集群业务优越性的同时，达到了较高的保密性。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种集群系统，其特征在于，包括：

客户端，用于发起加密呼叫，以及向加密机发送语音信息并接收来自所述加密机的语音信息；

所述加密机，用于获取所述密钥分配中心产生的所述密钥，利用所述密钥对来自所述客户端的语音信息进行加密并向所述调度子系统发送加密的语音信息，以及利用所述密钥对来自所述调度子系统的语音信息进行解密并向所述客户端发送解密的语音信息；

所述调度子系统，用于在所述加密机和所述集群终端之间转发语音信息；

所述密钥分配中心，用于根据所述客户端发起的加密呼叫产生所述密钥；以及

所述集群终端，用于获取所述密钥分配中心产生的所述密钥，利用所述密钥对接收到的来自所述调度子系统的语音信息进行解密，以及利用所述密钥对要发送给调度子系统的语音信息进行加密。

2.根据权利要求1所述的集群系统，其特征在于，在所述客户端发起所述加密呼叫的情况下，所述调度子系统向所述密钥分配中心发起密钥分配请求，接收来自所述密钥分配中心的所述密钥，并向所述客户端和所述集群终端转发所述密钥，所述客户端向所述加密机发送所述密钥。

3.根据权利要求2所述的集群系统，其特征在于，所述调度子系统包括：

调度服务器，响应于所述加密呼叫向调度归属服务器发送密钥请求，在接收到来自所述调度归属服务器的所述密钥之后向所述集群终端和所述客户端转发所述密钥，将来自所述加密机的加密的语音信息转发给所述集群终端，以及将来自所述集群终端的语音信息转发给所述加密机；以及

所述调度归属寄存器，响应于所述密钥请求向所述密钥分配中心发送密钥分配请求，在接收到来自所述密钥分配中心的所述密钥之后向所述调度服务器转发所述密钥。

4.根据权利要求1所述的集群系统，其特征在于，如果话权发生切换，所述密钥分配中心产生更新后的密钥；所述加密机和话权切换后对应的新的集群终端获取所述更新后的密钥；以及所述加密机根据所述更新后的密钥对语音进行加密、解密、及转发。

5.根据权利要求1至4中任一项所述的集群系统，其特征在于，所述客户端和所述加密机位于同一局域网内。

6.根据权利要求1至4中任一项所述的集群系统，其特征在于，所述客户端和所述加密机在物理上相邻。

7.根据权利要求1至4中任一项所述的集群系统，其特征在于，所述加密呼叫为单呼、组呼、或临时组呼。

8.根据权利要求1至4中任一项所述的集群系统，其特征在于，所述密钥为组密钥、用户密钥、临时组密钥、或集团密钥。

9.一种加密通信方法，其特征在于，包括以下步骤：

根据客户端或集群终端发起的加密呼叫产生密钥；

加密机和集群终端分别获取所述密钥；

所述加密机利用所述密钥对来自所述客户端的语音信息进行加密，并向调度子系统发送加密的语音信息；

所述调度子系统将来自所述加密机的加密的语音信息转发给集群终端；以及

所述集群终端利用所述密钥对接收到的来自所述调度子系统的加密的语音信息进行解密。

10.根据权利要求9所述的加密通信方法，其特征在于，还包括以下步骤：

所述集群终端利用所述密钥对要发送的语音信息进行加密，并将该语音信息发送给所述调度子系统；

所述调度子系统将来自所述集群终端的语音信息转发给所述加密机；以及

所述加密机利用所述密钥对来自所述调度子系统的语音信息进行解密，并将解密后的语音信息发送给所述客户端。

11.根据权利要求9所述的加密通信方法，其特征在于，还包括以下步骤：

如果话权发生切换，产生更新后的密钥；

所述加密机和话权切换后对应的新的集群终端获取所述更新后的密钥；以及

所述加密机根据所述更新后的密钥对语音进行加密、解密、及转发。

12.根据权利要求9至11中任一项所述的加密通信方法，其特征在于，所述客户端和所述加密机位于同一局域网内。

13.根据权利要求9至11中任一项所述的加密通信方法，其特征在于，所述客户端和所述加密机在物理上相邻。

14.根据权利要求9至11中任一项所述的加密通信方法，其特征在于，所述加密呼叫为单呼、组呼、或临时组呼。

15.根据权利要求9至11中任一项所述的加密通信方法，其特征在于，所述密钥为组密钥、用户密钥、临时组密钥、或集团密钥。

Images