CN101843039A - 用于分析同时传输的加密数据流的方法 - Google Patents

用于分析同时传输的加密数据流的方法 Download PDF

Info

Publication number
CN101843039A
CN101843039A CN200880113444A CN200880113444A CN101843039A CN 101843039 A CN101843039 A CN 101843039A CN 200880113444 A CN200880113444 A CN 200880113444A CN 200880113444 A CN200880113444 A CN 200880113444A CN 101843039 A CN101843039 A CN 101843039A
Authority
CN
China
Prior art keywords
data
data flow
key
grouping
key information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN200880113444A
Other languages
English (en)
Other versions
CN101843039B (zh
Inventor
S·哈特曼
J·克鲁姆博克
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Unify GmbH and Co KG
Original Assignee
Siemens Enterprise Communications GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Enterprise Communications GmbH and Co KG filed Critical Siemens Enterprise Communications GmbH and Co KG
Publication of CN101843039A publication Critical patent/CN101843039A/zh
Application granted granted Critical
Publication of CN101843039B publication Critical patent/CN101843039B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M3/00—Automatic or semi-automatic exchanges
    • H04M3/16—Automatic or semi-automatic exchanges with lock-out or secrecy provision in party-line systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/60—Network streaming of media packets
    • H04L65/65—Network streaming protocols, e.g. real-time transport protocol [RTP] or real-time control protocol [RTCP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/60—Network streaming of media packets
    • H04L65/70—Media network packetisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M7/00—Arrangements for interconnection between switching centres
    • H04M7/006—Networks other than PSTN/ISDN providing telephone service, e.g. Voice over Internet Protocol (VoIP), including next generation networks with a packet-switched transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N17/00—Diagnosis, testing or measuring for television systems or their details
    • H04N17/004—Diagnosis, testing or measuring for television systems or their details for digital television systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/43—Processing of content or additional data, e.g. demultiplexing additional data from a digital video stream; Elementary client operations, e.g. monitoring of home network or synchronising decoder's clock; Client middleware
    • H04N21/434—Disassembling of a multiplex stream, e.g. demultiplexing audio and video streams, extraction of additional data from a video stream; Remultiplexing of multiplex streams; Extraction or processing of SI; Disassembling of packetised elementary stream
    • H04N21/4341—Demultiplexing of audio and video streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/43—Processing of content or additional data, e.g. demultiplexing additional data from a digital video stream; Elementary client operations, e.g. monitoring of home network or synchronising decoder's clock; Client middleware
    • H04N21/434—Disassembling of a multiplex stream, e.g. demultiplexing audio and video streams, extraction of additional data from a video stream; Remultiplexing of multiplex streams; Extraction or processing of SI; Disassembling of packetised elementary stream
    • H04N21/4347—Demultiplexing of several video streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/43—Processing of content or additional data, e.g. demultiplexing additional data from a digital video stream; Elementary client operations, e.g. monitoring of home network or synchronising decoder's clock; Client middleware
    • H04N21/435—Processing of additional data, e.g. decrypting of additional data, reconstructing software from modules extracted from the transport stream
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/43—Processing of content or additional data, e.g. demultiplexing additional data from a digital video stream; Elementary client operations, e.g. monitoring of home network or synchronising decoder's clock; Client middleware
    • H04N21/438—Interfacing the downstream path of the transmission network originating from a server, e.g. retrieving encoded video stream packets from an IP network
    • H04N21/4385—Multiplex stream processing, e.g. multiplex stream decrypting
    • H04N21/43853—Multiplex stream processing, e.g. multiplex stream decrypting involving multiplex stream decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/43—Processing of content or additional data, e.g. demultiplexing additional data from a digital video stream; Elementary client operations, e.g. monitoring of home network or synchronising decoder's clock; Client middleware
    • H04N21/44—Processing of video elementary streams, e.g. splicing a video clip retrieved from local storage with an incoming video stream or rendering scenes according to encoded video stream scene graphs
    • H04N21/4405—Processing of video elementary streams, e.g. splicing a video clip retrieved from local storage with an incoming video stream or rendering scenes according to encoded video stream scene graphs involving video stream decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/40—Client devices specifically adapted for the reception of or interaction with content, e.g. set-top-box [STB]; Operations thereof
    • H04N21/47—End-user applications
    • H04N21/478—Supplemental services, e.g. displaying phone caller identification, shopping application
    • H04N21/4788—Supplemental services, e.g. displaying phone caller identification, shopping application communicating with other users, e.g. chatting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/60—Network structure or processes for video distribution between server and client or between remote clients; Control signalling between clients, server and network components; Transmission of management data between server and client, e.g. sending from server to client commands for recording incoming content stream; Communication details between server and client 
    • H04N21/63—Control signaling related to video distribution between client, server and network components; Network processes for video distribution between server and clients or between remote clients, e.g. transmitting basic layer and enhancement layers over different transmission paths, setting up a peer-to-peer communication via Internet between remote STB's; Communication protocols; Addressing
    • H04N21/633—Control signals issued by server directed to the network components or client
    • H04N21/6332—Control signals issued by server directed to the network components or client directed to client
    • H04N21/6334—Control signals issued by server directed to the network components or client directed to client for authorisation, e.g. by transmitting a key
    • H04N21/63345—Control signals issued by server directed to the network components or client directed to client for authorisation, e.g. by transmitting a key by transmitting keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N21/00—Selective content distribution, e.g. interactive television or video on demand [VOD]
    • H04N21/60—Network structure or processes for video distribution between server and client or between remote clients; Control signalling between clients, server and network components; Transmission of management data between server and client, e.g. sending from server to client commands for recording incoming content stream; Communication details between server and client 
    • H04N21/63—Control signaling related to video distribution between client, server and network components; Network processes for video distribution between server and clients or between remote clients, e.g. transmitting basic layer and enhancement layers over different transmission paths, setting up a peer-to-peer communication via Internet between remote STB's; Communication protocols; Addressing
    • H04N21/643—Communication protocols
    • H04N21/6437—Real-time Transport Protocol [RTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N7/00—Television systems
    • H04N7/14—Systems for two-way working
    • H04N7/141—Systems for two-way working between two video terminals, e.g. videophone
    • H04N7/147—Communication arrangements, e.g. identifying the communication as a video-communication, intermediate storage of the signals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N7/00—Television systems
    • H04N7/16—Analogue secrecy systems; Analogue subscription systems
    • H04N7/167—Systems rendering the television signal unintelligible and subsequently intelligible
    • H04N7/1675—Providing digital key or authorisation information for generation or regeneration of the scrambling sequence
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N7/00—Television systems
    • H04N7/16—Analogue secrecy systems; Analogue subscription systems
    • H04N7/173—Analogue secrecy systems; Analogue subscription systems with two-way working, e.g. subscriber sending a programme selection signal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Multimedia (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

作为密钥数据分组(sp1..n)所形成的数据分组被插入到以特定于数据流的方式加密的各数据流(ds1..n)中，利用所述数据流传输用于各数据流(ds1..n)的特定于数据流的密钥信息(si1..n)。为了分析和/或记录，在各数据流(ds1..n)中搜索至少一个密钥数据分组(sp1..n)并且确定特定于数据流的密钥信息(si1..n)以及借助于该特定于数据流的密钥信息(si1..n)对所属的数据流(ds1..n)进行解密。可以用少的管理成本来进行对密钥信息(si1..n)的形成和插入，由此显著地减少用于分析或诊断同时被传输的加密数据流(ds1..n)的成本。有利地，可以只在当前执行对所述数据流的诊断或分析和/或记录时，才开启或促使对密钥数据分组的插入。

Description

用于分析同时传输的加密数据流的方法
背景技术
在通信网络中、尤其是在网络电话(VoIP)通信网络中，通常提供RTP协议(Real Time Protocol，实时协议)以用于传输由数据分组形成的数据流或多媒体数据流、即有用信息或语音信息。该RTP协议在RFC标准1889中或自从2003年起在RFC标准3550中被定义。由于增长的安全性要求，相当长时间以来都以加密的方式传输数据流，其中在RFC标准3711中描述有该安全的RTP协议。在此，以特定于数据流的方式分配或使用加密所需的密钥信息。例如，对于基于IP的通信网络中的两个终端之间的多媒体会话，分别在一个传输方向上传输音频数据流和视频数据流。在涉及两个传输方向的情况下，在一个多媒体会话中要传输四个数据流，这些数据流被分别独立地加密、即以特定于数据流的方式被加密。在连接信令期间-例如SIP协议(Session InitiationProtocol，会话初始化协议)-为相应的会话或相应的数据流分配或协商所述密钥信息，其中使用特定密钥-例如Preshared Secrets(预共享密钥)-对该连接信令进行加密，该特定密钥即使在所述数据流被盗读(Mitlesen)时也不能够被识别。
在通信网络中，在大多数情况下有多个数据流或多媒体数据流通过传输路段或传输段被传输。对于在通信网络中所出现的问题状况，对所传输的数据流的分析或诊断是必要的，以便对错误进行定位或限定范围。对于错误分析或诊断来说，对未加密数据流的重构在大多数情况下是必要的。通常在传输段中对多个同时按照RTP协议进行传输的数据流执行分析或诊断，其中数据流、例如RTP数据流中的加密信息不可用并且即使在连接信令期间也不能被确定，因为信令信息被加密且密钥信息被再次加密以及所使用的密钥信息不可用。
发明内容
本发明所基于的任务在于，改进对单独或同时传输的具有数据分组的数据流的分析或诊断，其中按照用于传输数据流的网络协议以特定于数据流的方式形成数据流并且对该数据流以特定于数据流的方式进行加密。该任务通过权利要求1和10的特征解决。
根据本发明方法的重要特征在于，作为密钥数据分组所形成的数据分组被插入到所形成的各数据流中，利用所述数据流传输用于各数据流的特定于数据流的密钥信息。为了分析，在所述数据流中搜索至少一个密钥数据分组并且确定特定于数据流的密钥信息以及借助于所确定的特定于数据流的密钥信息对所属的数据流进行解密。
本发明的重要优点在于，可以用少的管理成本形成和插入密钥信息，并且用于分析或诊断同时传输的数据流的成本可以显著减少。有利地，可以只在当前执行对数据流的诊断或分析时，才开启或促使密钥数据分组的插入。
根据本发明的实施方案，在所述网络协议中为密钥数据分组确定数据分组类型，使得在根据网络协议接收到所述数据流时丢弃所述密钥数据分组。由此保证，在根据网络协议传输数据分组时，所述密钥信息不能被根据网络协议的数据接收方读取。可替换地，作为用于所述密钥数据分组的数据分组类型，定义对于所述网络协议是新的数据分组类型，或提供未被使用的数据分组类型，其中在根据网络协议进行传输时，所述数据分组不被根据网络协议的接收方读取。
根据本发明的另一有利的实施方案，所述密钥数据分组由数据分组来表示，其中在该数据分组的报头或扩展报头中插入所述密钥信息，其中报头信息被形成为使得在根据网络协议接收到数据流时丢弃所述密钥信息。
根据本发明方法的其它有利的扩展方案以及根据本发明分析单元的实施方案可以从其它权利要求中获悉。
附图说明
下面，参照两个附图进一步解释本发明及其扩展方案。在此：
图1以方框图示出用于执行根据本发明方法的通信装置，以及
图2示出被提供用于该通信装置的根据本发明的密钥数据分组。
具体实施方式
图1以方框图示例性地示出一种通信装置，在该通信装置中实现根据本发明的方法，其中只示出根据本发明的方法被实施在其中或对于阐述根据本发明的方法来说是必要的那些部件。
图1以方框图示例性地示出一种通信装置，在该通信装置中实现根据本发明的方法，其中只示出根据本发明的方法被实施在其中或对于阐述根据本发明的方法来说是必要的那些部件。
该通信装置被提供用于Voice Over IP(网络电话)，即用于以IP协议来传输语音信息，其中用标准化H.323或SIP协议来执行该信令。对于语音和/或视频传输来说，优选使用RTP协议(Real Time Protocol，实时协议)，其中所述语音和/或视频信息直接在通过该信令连接的部件之间进行传输。该RTP协议在RFC标准1889或3550中被定义，并且是一种针对通过基于IP的网络对实时数据、例如视听数据或多媒体数据进行连续传输的协议。在此，对待传输的数据分组进行编码并且插入数据分组中以便通过基于IP的网络进行传输，其中向每个会话分配至少一个数据流ds或者多个数据流。RTP协议RTP被提供用于单个数据流ds的传输，以及用于多个数据流ds1..n或数据分组的同时传输。对于该实施例假设，在基于IP的网络的部件之间同时传输多个数据流ds1..n、即多媒体流。
由于在传输数据流ds时增长的安全性要求，越来越多地对数据流ds、优选地对根据RTP协议RTP所传输的数据流ds进行加密。为此，使用密钥信息si来进行加密，该密钥信息si对于相互间传输基于IP的网络内的数据流的部件是已知的。用于对RTP数据流进行加密的协议在根据RFC标准3711的SRTP协议(Secured Real Time Protocoll，安全实时传输协议)中被定义。在此，使用提供高安全程度的对称加密系统。
所述通信装置包括第一部件K1，该第一部件在该实施例中通过网关GW来表示。该网关GW示例性地通过局域网LAN-在后面被称为LAN并且在图1中通过虚线描绘的椭圆形来表明-与第二部件K2相连接，其中该第二部件在该实施例中通过因特网终端IP-E、例如多媒体终端设备MME来表示。该LAN例如可以以物理方式和程序方式实现为以太网。
此外对于该实施例假设，同时有多个按照RTP协议RTP形成的数据流ds1′..n′或多媒体数据流要从网关GW传输到因特网终端IP-E。所述多个数据流ds1′..n′例如由音频数据流和视频数据流形成，其中可以向每个会话分配音频数据流和视频数据流。另外，所述按照RTP协议RTP形成的数据流ds1′..n′借助于加密单元VE以特定于数据流的方式被加密。这意味着，为每个数据流ds1′..n′提供不同的密钥信息si1..n用于加密。对于RTP数据流ds来说，优选地借助于根据RFC标准3711的SRTP协议SRTP来执行所述加密。
根据本发明，应该从以特定于数据流的方式被加密的数据流ds1..n中重新解密出所加密的数据流ds1..n，以便通过诊断单元DE对所述数据流进行分析。通常，诊断单元DE不参与基于IP的网络的建立有连接的部件之间的信令，其中在该信令的范围内为每个数据流ds协商所使用的密钥信息si。虽然该信令也可以通过诊断单元DE来分析，但是不能确定用于数据流ds1..n的密钥信息si1..n，因为该信令被加密且密钥信息si1..n被再次加密，并且用于该加密的密钥信息在诊断单元中不可用，也不能从信令信息中确定出来。这意味着，诊断单元DE不具有关于在数据流ds1..n中所使用的密钥信息si的信息。
尽管如此，为了对按照SRTP协议所形成的数据流ds1..n进行解密，使用根据本发明的方法，其中根据本发明的方法在该实施例的情况下涉及多个按照SRTP协议所形成的数据流sds1..n从网关GW到IP终端IP-E的同时传输。可以在相对的传输方向上相应地实现下面描述的方法和部件。
在网关GW中，在加密单元VE中根据SRTP协议SRTP对数据流ds1′..n′进行加密，其中该加密单元VE与插入单元IE一起设置在传输单元UE中。所需的密钥信息si1..n被存储在密钥单元SE中并且供所述密钥单元SE使用-在图1中通过用si1..n表示的箭头来表明。在此，为每个数据流ds1′..n′提供一个密钥信息si1..n，也就是说以特定于数据流的方式对数据流ds1′..n′进行加密。
在密钥单元SE中，额外地为每个数据流ds1..n形成密钥数据分组sp1..n，其中在所述密钥数据分组sp1..n中插入密钥信息si1..n，该密钥信息si1..n对于以特定于数据流的方式加密的数据流ds1..n的解密来说是必要的。密钥数据分组sp1..n和加密的数据流ds1..n被传送给传输单元UE。在传输单元UE中，密钥数据分组sp1..n被以特定于数据流的方式插入到数据流ds1..n中，即在第一数据流ds1中插入第一密钥数据分组sp1，在第二数据流ds2中插入第二密钥数据分组sp2等等。优选地，分别连续地将密钥数据分组sp1..n插入到加密的数据流ds1..n中。将密钥数据分组sp1..n插入到数据流ds1..n中通常通过数据分组复用器来实现-在图1中由复用器三角形(Multiplexerdreieck)来表明。
为了在传输密钥数据分组sp1..n时提高安全性，可以对所述密钥数据分组(sp1..n)进行额外加密。为此需要额外的密钥信息，该额外的密钥信息由公共密钥spublic和专用密钥spriv形成。在此，在网关GW中的密钥单元SE中提供该公共密钥spub以用于额外的加密，并且该公共密钥被传送给传输单元UE以用于对密钥数据分组(sp1..n)进行加密-在图1中由以spub表示的箭头来表明。在诊断单元DE中，专用密钥spriv由解密单元EE提供并且用于对额外加密的密钥数据分组(sdp1..n)的解密-在图1中由解密单元EE中的附图标记spriv来表明。
包含密钥数据分组sp1..n的数据流sds1..n通过LAN被传输到IP终端IP-E。为了对数据流sds1..n进行诊断或分析的目的，提供有与LAN连接的诊断单元DE。为了使包含密钥数据分组sp1..n的数据流sds1..n能够被分析，必须对加密的数据流sds1..n进行解密。对此如开头已经所阐述的那样，对于每个加密的数据流ds1..n，需要解密所需的密钥信息si1..n。因为根据本发明，包含密钥信息si1..n的密钥数据分组sp1..n被插入到数据流sds1..n中，所以在诊断单元DE中借助于监视单元UEE搜索、读取以及存储各数据流ds1..n中的密钥数据分组sp1...n。优选地，不对完整的密钥数据分组sp1..n、而是只对其中所包含的密钥信息si1..n进行确定和存储。与各密钥信息si1..n一起地，还应从密钥数据分组sp1..n中确定和存储信息i(ds1..n)，为此为包含密钥数据分组sp1..n的数据流sds1..n提供密钥信息si1..n以用于解密。此外在该实施例中假设，借助于在监视装置UEE中所提供的解复用功能-在图1中由三角形表明-在从包含密钥数据分组sp1..n的数据流sds1..n中确定和存储所述密钥数据分组sp1..n之后移除所发现的密钥数据分组sp1..n，并且只将加密的数据流ds1..n传送给解密单元EE。
密钥信息si1..n以及包括信息i(ds1..n)同样被输送给解密单元ESE。在该解密单元中，借助于各密钥信息si1..n、即利用解密信息和所述信息i(ds1..n)来对加密的数据流sds1..n进行解密。在解密之后，未加密的数据流ds1′..n′对于诊断单元DE中的诊断或分析来说是可用的。
在诊断单元DE中，有利地还提供有插入在例如LAN与诊断单元DE之间的记录单元REC，在该记录单元REC中可以记录包含密钥数据分组sp1..n的数据流sds1..n。这样，对所记录的数据流sds1..n的分析或诊断可以在稍后的时刻进行，例如在夜间记录时以及稍后在白天进行诊断时。可替换地，记录装置REC还可以在对加密的数据流sds1..n解密后被插入-未示出，其中数据流ds1′..n′以未加密的形式提供用于诊断或分析。
图2示出插入有密钥信息si1..n的密钥数据分组s p的协议结构。该密钥数据分组sp根据RTP标准RTP形成并且按照RFC3550具有报头RTPH-在行业中被称为Header(报头)-以及有用部分RTPP-在行业中被称为有用载荷。该RTP协议RTP被嵌入在UDP协议UDP中，其报头UDPH被附加到RTP协议的报头RTPH上。因为是基于IP的传输，所以UDP协议被打包在IP协议IPP中，为此附IP报头IPH。在通过LAN、尤其是以太网LAN进行传输时，还要考虑相应的协议元素-出于清楚的原因没有示出这些协议元素。
在RTP协议的报头RTP中，关于有效载荷类型PT的信息是根据本发明方法的重要信息。根据本发明使用有效载荷类型PT，虽然在RTP协议RTP中对该有效载荷类型PT进行说明，但是没有为该RTP协议RTP分配有效载荷类型PT，其中在标准化阶段中定义有效载荷类型PT为“19”，然而该有效载荷类型在后面并不被使用且目前被给出为“保留的”。因此，对于确定作为密钥数据分组sp1..n的RTP数据分组来说，使用有效载荷类型19是有利的。
有效载荷类型TP根据下面的表1定位在标准化的RTP报头RTPH中，其中编号0..9分别表示1位。
0                   1                   2                   3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+---+-+-+-------+-+-------------+-------------------------------+
|V＝2|P|X|  CC  |M|     PT      |  序列号                       |
+---+-+-+-------+-+-------------+-------------------------------+
表1
用于各数据流ds1..n的密钥信息si1..n被插入到密钥数据分组sp的有用部分RTPP中，其中在下面的表2中示出用于根据标准化的SRTP协议SRTP来解密的密钥信息si，其中编号0..9分别表示1位。
0                   1                   2                   3
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|    Version    |   BeaconType  |F  Rsv | NbCtx |    NbKeys     |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| SCIAuthTagLen |  KEK SPI len  |     Encrypted KEK length      |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
～                          Contexts                            ～
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
～                            Keys                              ～
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
～                        Encrypted KEK                         ～
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
～                           KEK SPI                            ～
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
～                   SCI Authentication tag                     ～
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
表2
在此，在表1中存在的说明根据标准具有以下含义。
Version(版本)：
跟踪信标的版本。
BeaconType：
在跟踪信标的内容中。
F：
指示可变字段的长度是否固定在其最大值(如果F＝＝1，则长度固定)。
Rsv：
保留位。
NbCtx：
指示分组中所包含的语区(context)的数目。语区是指导(Tx/Rx)与SSRC之间的关联部分。已经断定，最多15个语区应该足以用于当前的目的。
NbKeys：
指示分组中所包含的密钥的数目。
SCIAuthTagLen：
附加于跟踪信标的认证标签的长度。该长度目前将一直为零，因为在短期内未预期使用认证。
KEK SPI Len：
获取对KEK进行加密的密钥所需的SPI的字节长度。如果在跟踪信标中不存在加密的KEK，则该长度可以为零。
Encrypted KEK length(加密的KEK长度)：
使用RSA加密的对称密钥的长度，单位为字节。如果跟踪信标不包含该密钥，则该长度可以为零。因为Encrypted KEK(加密的KEK)可能是跟踪信标中的最长部分，所以例如两个跟踪信标之一中发送Encrypted KEK(加密的KEK)可导致所发送的跟踪信标的平均大小的明显增加。
Contexts(语区)：
语区的配置信息(参见下一图表)。
Keys(密钥)：
密钥的配置信息(参见下一图表)。
Encrypted KEK(加密的KEK)：
使用RSA加密的对称密钥。当公共密钥具有2048个位且不需要在32位边界处终止时，该字段可以采用高达256个字节。该字段也是可选的，因为该字段的长度可以为零。
KEK SPI：
允许获取对KEK进行解密所需的密钥的标识符。在这里(Inyour case)，该字段对应于证书Id。该字段不需要在32位边界处终止。类似于Encrypted KEK，该字段是可选的，因为其长度可以为零。
SCI Authentication tag(SCI认证标签)：
跟踪信标的认证标签。跟踪信标的经过认证的部分将会是前八位字节，即语区和密钥部分。该字段是可选的，因为认证标签的长度可以为零。实际上不期望该字段存在于跟踪信标的该版本中。
借助于根据标准化SRTP协议SRTP的前述密钥信息si1..n对加密的数据流ds1..n进行解密，即转化为初始的数据流ds1′..n′。可以在诊断单元DE中相应于所实施的诊断例程-未示出-来处理所述数据流ds1′..n′。

Claims (13)

1.一种用于对至少一个具有加密数据分组(dp)的数据流(ds1..n)进行解密的方法，其中按照用于对数据流进行加密和传输的网络协议(SRTP)以特定于数据流的方式形成数据流(ds1..n)并以特定于数据流的方式加密数据流(ds1..n)，
-在所形成的、加密的各数据流(ds1..n)中插入被形成为密钥数据分组(sp1..n)的数据分组，用所述数据流传输用于相应数据流(ds1..n)的特定于数据流的密钥信息(si1..n)，
-其中对具有密钥数据分组(sp1..n)的每个数据流(ds1..n)中的至少一个密钥数据分组(sp1..n)进行搜索并且确定特定于数据流的密钥信息(si1..n)，以及
-其中借助于所述特定于数据流的密钥信息(si1..n)来对所属的经过加密的数据流(ds1..n)进行解密。
2.根据权利要求1所述的方法，其特征在于，在所述网络协议(SRTP)中为所述密钥数据分组(sp1..n)确定数据分组类型(PT)，使得在根据网络协议接收到所述数据流(ds1..n)时丢弃所述密钥数据分组(sp1..n)。
3.根据权利要求2所述的方法，其特征在于，作为用于所述密钥数据分组(sp1..n)的数据分组类型(PT)，定义对于所述网络协议(SRTP)来说新的数据分组类型或者提供未使用的数据分组类型(PT，19)。
4.根据权利要求1所述的方法，其特征在于，所述密钥数据分组(sp1..n)由数据分组表示，在该数据分组的报头(RTPH)或扩展报头中插入有密钥信息(si1..n)，其中报头信息被形成为使得在根据网络协议接收到所述数据流(ds1..n)时丢弃所述密钥信息(si1..n)。
5.根据前述权利要求之一所述的方法，其特征在于，所述密钥数据分组(sp1..n)被连续地插入所述数据流(ds1..n)中。
6.根据前述权利要求之一所述的方法，其特征在于，至少一个密钥数据分组(sp1..n)被额外加密，其中额外的密钥信息被提供用于分析。
7.根据前述权利要求之一所述的方法，其特征在于，所述额外的密钥信息由非对称的密钥信息来表示，其中与对数据流(ds1..n)的解密不同的密钥信息被提供用于对密钥数据分组(sp1..n)的加密。
8.根据前述权利要求之一所述的方法，其特征在于，所述网络协议由安全实时协议来表示。
9.根据前述权利要求之一所述的方法，其特征在于，为了分析或诊断和/或记录所述数据流(ds1..n)，能够开启并随后关闭对密钥数据分组(sp1..n)的插入。
10.一种用于对至少一个具有加密数据分组(dp)的数据流(ds1..n)进行解密的装置，其中按照用于对数据流进行加密和传输的网络协议(SRTP)以特定于数据流的方式形成数据流(ds1..n)并以特定于数据流的方式加密该数据流(ds1..n)，
-具有密钥单元(SE)，用于形成用于各数据流(ds1..n)的密钥数据分组(sp1..n)，其中在所述密钥数据分组(sp1..n)中分别包含有用于各数据流(ds1..n)的特定于数据流的密钥信息(si1..n)，
-具有传输单元(UE)，用于将所述密钥数据分组(ds1..n)插入到所形成的各数据流(ds1..n)中，
-具有监视单元(UEE)，用于在各数据流(ds1..n)中搜索至少一个密钥数据分组(sp1..n)并且用于确定特定于连接的密钥信息(si1..n)，以及
-具有解密单元(EE)，用于借助于所属的特定于连接的密钥信息(si1..n)对具有密钥数据分组(sp1..n)的各数据流(ds1..n)进行解密。
11.根据权利要求10所述的装置，其特征在于，所述监视单元(UEE)和所述解密单元(EE)被集成在用于对所解密的数据流(ds1′..n′)进行分析的诊断单元(DE)中。
12.根据权利要求10或11所述的装置，其特征在于，提供记录装置(REC)，用于记录包含所述密钥数据分组(si1..n)的数据流(sds1..n)和/或用于记录加密的数据流(ds1..n)和/或用于记录所解密的数据流(ds1′..n′)。
13.根据权利要求10至12之一所述的装置，其特征在于，所述密钥单元(SE)被配置为，为了分析和/或记录所述数据流(sds1..n，ds1..n，ds1′..n′)，能够开启和关闭对密钥数据分组(sp1..n)到所加密的数据流(ds1..n)中的插入。
CN2008801134449A 2007-08-30 2008-07-23 用于分析同时传输的加密数据流的方法 Expired - Fee Related CN101843039B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102007041145.8 2007-08-30
DE102007041145A DE102007041145A1 (de) 2007-08-30 2007-08-30 Verfahren zum Analysieren von gleichzeitig übertragenen, verschlüsselten Datenströmen
PCT/EP2008/059631 WO2009027157A1 (de) 2007-08-30 2008-07-23 Verfahren zum analysieren von gleichzeitig übertragenen, verschlüsselten datenströmen

Publications (2)

Publication Number Publication Date
CN101843039A true CN101843039A (zh) 2010-09-22
CN101843039B CN101843039B (zh) 2013-11-20

Family

ID=39816781

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2008801134449A Expired - Fee Related CN101843039B (zh) 2007-08-30 2008-07-23 用于分析同时传输的加密数据流的方法

Country Status (6)

Country Link
US (1) US8380986B2 (zh)
EP (1) EP2186261B1 (zh)
CN (1) CN101843039B (zh)
CA (1) CA2697799C (zh)
DE (1) DE102007041145A1 (zh)
WO (1) WO2009027157A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107948676A (zh) * 2017-12-08 2018-04-20 苏州科达科技股份有限公司 视频数据传输方法及装置

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120092432A (ko) * 2011-02-11 2012-08-21 삼성전자주식회사 디지털 방송 시스템에서 컨텐츠 송수신 장치 및 방법
US8850182B1 (en) 2012-09-28 2014-09-30 Shoretel, Inc. Data capture for secure protocols
US9838476B2 (en) * 2014-03-26 2017-12-05 Rockwell Automation Technologies, Inc. On-premise data collection and ingestion using industrial cloud agents
US9614963B2 (en) 2014-03-26 2017-04-04 Rockwell Automation Technologies, Inc. Cloud-based global alarm annunciation system for industrial systems
US10764255B2 (en) 2016-09-21 2020-09-01 Rockwell Automation Technologies, Inc. Secure command execution from a cloud monitoring system to a remote cloud agent
US11327473B2 (en) 2017-07-11 2022-05-10 Rockwell Automation Technologies, Inc. Dynamically reconfigurable data collection agent for fracking pump asset
US10482063B2 (en) 2017-08-14 2019-11-19 Rockwell Automation Technologies, Inc. Modular control manifest generator for cloud automation
US10416660B2 (en) 2017-08-31 2019-09-17 Rockwell Automation Technologies, Inc. Discrete manufacturing hybrid cloud solution architecture

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NZ506002A (en) 2000-07-26 2003-01-31 Rpk New Zealand Ltd Encryption processing for streaming media by assigning tag value, creating packet key, encrypting data and adding tag value
SE0101295D0 (sv) * 2001-04-10 2001-04-10 Ericsson Telefon Ab L M A method and network for delivering streaming data
DE10142498A1 (de) * 2001-08-30 2003-03-27 Siemens Ag Verfahren zur Ver- und Entschlüsselung von Kommunikationsdaten
US7356147B2 (en) * 2002-04-18 2008-04-08 International Business Machines Corporation Method, system and program product for attaching a title key to encrypted content for synchronized transmission to a recipient
US7020287B2 (en) * 2002-09-30 2006-03-28 Sony Corporation Method and system for key insertion for stored encrypted content
JP3821086B2 (ja) * 2002-11-01 2006-09-13 ソニー株式会社 ストリーミングシステム及びストリーミング方法、クライアント端末及びデータ復号方法、並びにプログラム
US7450579B2 (en) * 2003-09-09 2008-11-11 Broadcom Corporation Downstream synchronous multichannels for a communications management system
US7308101B2 (en) * 2004-01-22 2007-12-11 Cisco Technology, Inc. Method and apparatus for transporting encrypted media streams over a wide area network
AU2005223962C1 (en) 2004-03-18 2009-12-10 Qualcomm Incorporated Efficient transmission of cryptographic information in secure real time protocol
US20060034321A1 (en) * 2004-07-09 2006-02-16 Nokia Corporation Method for receiving a time slice burst of data
US7657036B2 (en) * 2004-09-21 2010-02-02 Qualcomm Incorporated Determining a session encryption key during a broadcast/multicast service session using secure real-time transport protocol
US9241066B2 (en) * 2006-08-22 2016-01-19 Cisco Technology, Inc. Secure call analysis and screening of a secure connection
US8023654B2 (en) * 2006-12-18 2011-09-20 Palo Alto Research Center Incorporated Securing multimedia network communication

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107948676A (zh) * 2017-12-08 2018-04-20 苏州科达科技股份有限公司 视频数据传输方法及装置

Also Published As

Publication number Publication date
CA2697799A1 (en) 2009-03-05
WO2009027157A1 (de) 2009-03-05
EP2186261A1 (de) 2010-05-19
DE102007041145A1 (de) 2009-03-05
US8380986B2 (en) 2013-02-19
EP2186261B1 (de) 2016-09-14
CN101843039B (zh) 2013-11-20
US20110060907A1 (en) 2011-03-10
CA2697799C (en) 2014-10-07

Similar Documents

Publication Publication Date Title
CN101843040B (zh) 用于分析在ip网络中同时传输的加密数据流的方法
CN101843039B (zh) 用于分析同时传输的加密数据流的方法
US7308101B2 (en) Method and apparatus for transporting encrypted media streams over a wide area network
KR100838556B1 (ko) 보안 실시간 프로토콜에서 암호정보의 효율적 전송
US20090182668A1 (en) Method and apparatus to enable lawful intercept of encrypted traffic
US7752449B1 (en) System and method for generating a non-repudiatable record of a data stream
US20060010321A1 (en) Network system, data transmission device, session monitor system and packet monitor transmission device
US20100005179A1 (en) Multi-Level Secure Network
CN104717220B (zh) 基于硬件加密的控制信令安全传输方法
RU2008105041A (ru) Защита содержимого элементарных потоков
US20090070586A1 (en) Method, Device and Computer Program Product for the Encoded Transmission of Media Data Between the Media Server and the Subscriber Terminal
CN110061962B (zh) 一种视频流数据传输的方法和装置
WO2022161369A1 (zh) 一种光传送网的安全管理信息处理方法及装置
CN114826748B (zh) 基于rtp、udp及ip协议的音视频流数据加密方法和装置
KR101457455B1 (ko) 클라우드 네트워크 환경에서의 데이터 보안 장치 및 방법
CN100450119C (zh) 在ip视频会议系统中进行密文传输的方法
CN115428402A (zh) 用于数据传输的方法和通信系统
US8744083B2 (en) System and method for early cut through of encrypted and unencrypted voice streams
JPH0677954A (ja) 任意選択的ステータスエンコーディングを有する暗号処理装置及び方法
JP2009213018A (ja) コールセンタシステム
Hong et al. Impacts of security protocols on real-time multimedia communications

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20131120

Termination date: 20210723