CN101964802B - 集中式安全连接建立系统及方法 - Google Patents
集中式安全连接建立系统及方法 Download PDFInfo
- Publication number
- CN101964802B CN101964802B CN 201010518562 CN201010518562A CN101964802B CN 101964802 B CN101964802 B CN 101964802B CN 201010518562 CN201010518562 CN 201010518562 CN 201010518562 A CN201010518562 A CN 201010518562A CN 101964802 B CN101964802 B CN 101964802B
- Authority
- CN
- China
- Prior art keywords
- key
- connection device
- sta
- terminal equipment
- center
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Small-Scale Networks (AREA)
Abstract
本发明涉及集中式安全连接建立系统及方法，该系统包括终端设备和连接设备，所述终端设备包括发起端终端设备以及接收端终端设备，所述连接设备包括核心连接设备、在发起端终端设备与核心连接设备之间链路上的发起端连接设备以及在接收端终端设备与核心连接设备之间链路上的接收端连接设备；使得局域网合法节点之间可以灵活建立及更新它们之间的密钥，以建立起它们之间的安全连接。本发明可以灵活的建立节点间的安全连接，不需要为网络的节点间分配静态密钥对；且通过建立节点间的安全连接就可以保证节点间的数据进行保密传输，攻击者即使接入网络窃取到的信息也是密文信息，无法获得实质信息。
Description
技术领域
本发明涉及网络通信技术领域，具体涉及一种集中式安全连接建立系统及方法。
背景技术
有线局域网一般为广播型网络，一个节点发出的数据，其它节点都能收到。网络上的各个节点共享信道，这给网络带来了极大的安全隐患。攻击者只要接入网络进行监听，就可以捕获网络上所有的数据包。
现有国家标准GB/T 15629.3(对应IEEE 802.3或ISO/IEC 8802-3)定义的局域网LAN并不提供数据保密方法，这样就使得攻击者容易窃取到关键信息。在国际研究领域里，IEEE所制定的IEEE 802.1AE标准为保护以太网提供数据加密协议，并采用逐跳加密的安全措施来实现网络节点之间数据的安全传达。这种安全措施给局域网中的交换设备带来了巨大的计算负担，容易引发攻击者对交换设备的攻击；且数据包从发送节点传递到目的节点的延时也会增大，降低了网络传输效率。
有线局域网的拓扑结构比较复杂，涉及到的节点(这里，终端和交换设备被统称为节点)数目也比较多，因此网络中的数据通信比较复杂。如果为局域网节点间分配静态的密钥对来建立端到端的安全连接，其分配和更新过程极为复杂。因此，静态密钥对的方式并不适合建立局域网端到端的安全连接。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种集中式安全连接建立系统及方法，使得局域网合法节点之间可以灵活建立及更新它们之间的密钥，以建立起它们之间的安全连接。
一种集中式安全连接建立系统，该系统包括两种类型的设备，分别用终端设备和连接设备表示；其中，连接设备在网络中可以不断级联，终端设备只能通过连接设备连接到网络中，任何设备均不能通过终端设备接入网络；连接设备中选定或者指定一个特定连接设备作为这些连接设备中的核心连接设备；所有的连接设备均需要和该核心连接设备建立安全连接；所有的终端设备都和直接相连的连接设备(该连接设备即为离终端设备最近的连接设备)建立安全连接；该系统中，任何的两个终端设备之间均可通过直接相连的连接设备以及核心连接设备建立两者之间的安全连接。
以系统中第一终端设备STA-A、第二终端设备STA-B为例进行说明，第一终端设备STA-A与第一连接设备SW1直接相连，第二终端设备STA-B与第二连接设备SW2直接相连，该系统中连接设备SW-Center是核心连接设备；则所述第一连接设备SW1以及第二连接设备SW2分别与核心连接设备SW-Center存在安全连接，所述第一连接设备SW1与第一终端设备STA-A存在安全连接，所述第二连接设备SW2与第二终端设备STA-B存在安全连接；第一终端设备STA-A和第二终端设备STA-B之间会话密钥的建立是由第一终端设备STA-A向核心连接设备SW-Center发出请求后，由核心连接设备SW-Center生成一个随机数作为第一终端设备STA-A和第二终端设备STA-B之间的共享密钥，并将该密钥秘密通告给第二终端设备STA-B和第一终端设备STA-A。该系统中，所有的终端设备间的安全连接均依赖于核心核心连接设备SW-Center集中管理建立。
一种集中式安全连接建立方法，其包括以下步骤：
1]第一终端设备STA-A与第一连接设备SW1之间、第一连接设备SW1与核心连接设备SW-Center之间、核心连接设备SW-Center与第二连接设备SW2之间、第二连接设备SW2与第二终端设备STA-B之间建立安全连接：
2]第一终端设备STA-A发送密钥请求分组M1给核心连接设备SW-Center；请求核心连接设备SW-Center协助建立第一终端设备STA-A与第二终端设备STA-B之间的安全连接；
3]核心连接设备SW-Center收到密钥请求分组M1后发送第一密钥通告分组M2给第二连接设备SW2；核心连接设备SW-Center通过第一密钥通告分组M2将核心连接设备SW-Center生成的随机数作为第一终端设备STA-A和第二终端设备STA-B之间的共享密钥秘密通告给第二连接设备SW2；
4]第二连接设备SW2收到第一密钥通告分组M2后发送第二密钥通告分组M3给第二终端设备STA-B；第二连接设备SW2通过第二密钥通告分组M3将得到的共享密钥秘密通告给第二终端设备STA-B；
5]第二终端设备STA-B收到第二密钥通告分组M3后发送第二密钥通告响应分组M4给第二连接设备SW2；第二终端设备STA-B通过第二密钥通告响应分组M4告知第二连接设备SW2已收到共享密钥；
6]第二连接设备SW2收到第二密钥通告响应分组M4后发送第一密钥通告响应分组M5给核心连接设备SW-Center；第二连接设备SW2通过第一密钥通告响应分组M5告知核心连接设备SW-Center已将共享密钥秘密传递给第二终端设备STA2；
7]核心连接设备SW-Center收到第一密钥通告响应分组M5后发送第一密钥响应分组M6给第一连接设备SW1；核心连接设备SW-Center通过第一密钥响应分组M6将核心连接设备SW-Center生成的随机数作为第一终端设备STA-A和第二终端设备STA-B之间的共享密钥秘密通告给第一连接设备SW1；
8]第一连接设备SW1收到第一密钥响应分组M6后发送第二密钥响应分组M7给第一终端设备STA-A；第一终端设备STA-B通过第二密钥响应分组M7将得到的共享密钥秘密通告给第一终端设备STA-A；
9]第一终端设备STA-A接收第二密钥响应分组M7，得到共享密钥，完成与第二终端设备STA-B之间安全连接的建立。
上述的集中式安全连接建立方法，其具体包括以下步骤：
1]第一终端设备STA-A与第一连接设备SW1之间、第一连接设备SW1与核心连接设备SW-Center之间、核心连接设备SW-Center与第二连接设备SW2之间、第二连接设备SW2与第二终端设备STA-B之间建立安全连接：
1.1]第一终端设备STA-A与第一连接设备SW1之间建立具有第一共享密钥KEYA-1的安全连接；所述第一连接设备SW1是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的第一个连接设备；
1.2]第一连接设备SW1与核心连接设备SW-Center之间建立具有第二共享密钥KEY1-Center的安全连接；所述核心连接设备SW-Center是一个特定的连接设备，所有其他的连接设备都需要建立和核心连接设备SW-Center之间的安全连接；
1.3]第二连接设备SW2与核心连接设备SW-Center之间建立具有第三共享密钥KEY2-Center的安全连接；所述第二连接设备SW2是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的最后一个连接设备；
1.4]第二连接设备SW2与第二终端设备STA-B之间建立具有第四共享密钥KEYB-2的安全连接；
2]第一终端设备STA-A发送密钥请求分组M1给核心连接设备SW-Center；所述密钥请求分组M1包括表示第二终端设备STA-B的标识的IDSTA-B字段；
3]核心连接设备SW-Center收到密钥请求分组M1后，生成一随机数，作为第一终端设备STA-A与第二终端设备STA-B之间的共享密钥KEYA-B；然后构造第一密钥通告分组M2发送给第二连接设备SW2；所述第一密钥通告分组M2包括IDSTA-A字段、IDSTA-B字段、E1(KEYA-B)字段；其中：IDSTA-A字段表示第一终端设备STA-A的标识；E1(KEYA-B)字段表示密钥资料数据，由核心连接设备SW-Center利用与第二连接设备SW2之间的第三共享密钥KEY2-Center对共享密钥KEYA-B加密后的数据；
4]第二连接设备SW2收到第一密钥通告分组M2后，进行如下处理：
4.1]利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center解密E1(KEYA-B)字段即可得到共享密钥KEYA-B；
4.2]构造第二密钥通告分组M3发送给第二终端设备STA-B；该第二密钥通告分组M3包括：IDSTA-A字段、E2(KEYA-B)字段；其中：E2(KEYA-B)字段表示密钥资料数据，由第二连接设备SW2利用与第二终端设备STA-B之间的第四共享密钥KEYB-2对共享密钥KEYA-B加密后的数据；
5]第二终端设备STA-B收到第二密钥通告分组M3后，进行如下处理：
5.1]利用与第二连接设备SW2之间的密第四共享钥KEYB-2解密E2(KEYA-B)字段，即可得到与第一终端设备STA-A之间的共享密钥KEYA-B；
5.2]构造第二密钥通告响应分组M4发送给第二连接设备SW2；该第二密钥通告响应分组M4包括IDSTA-A字段；
6]第二连接设备SW2收到第二密钥通告响应分组M4后，进行如下处理：
6.1]验证分组中的IDSTA-A字段和之前发送的第二密钥通告分组M3中对应字段值是否一致，若不一致，则丢弃该分组；否则，执行6.2]；
6.2]构造第一密钥通告响应分组M5发送给核心连接设备SW-Center；该第一密钥通告响应分组M5包括IDSTA-A字段、IDSTA-B字段；
7]核心连接设备SW-Center收到第一密钥通告响应分组M5后，进行如下处理：
7.1]验证分组中的IDSTA-A字段、IDSTA-B字段和之前发送的第一密钥通告分组M2中对应字段值是否一致，若都一致，则执行7.2]；否则，丢弃该分组；
7.2]构造第一密钥响应分组M6发送给第一连接设备SW1；该第一密钥响应分组M6包括IDSTA-A字段、IDSTA-B字段、E3(KEYA-B)字段；其中：E3(KEYA-B)字段表示密钥资料数据，由核心连接设备SW-Center利用与第一连接设备SW1之间的第二共享密钥KEY1-Center对共享密钥KEYA-B加密后的数据；
8]第一连接设备SW1收到第一密钥响应分组M6后，进行如下处理：
8.1]利用与核心连接设备SW-Center之间的第二共享密钥KEY1-Center解密E3(KEYA-B)字段，即可得到共享密钥KEYA-B；
8.2]构第二密钥响应分组M7发送给第一终端设备STA-A；该第二密钥响应分组M7包括IDSTA-B字段、E4(KEYA-B)字段；其中：E4(KEYA-B)字段表示密钥资料数据，由第一连接设备SW1利用与第一终端设备STA-A之间的第一共享密钥KEYA-1对共享密钥KEYA-B加密后的数据；
9]第一终端设备STA-A收到第二密钥响应分组M7后，进行如下处理：
利用与第二连接设备SW2之间的第四共享密钥KEYB-2解密E4(KEYA-B)字段即可得到与第一终端设备STA-A之间的共享密钥KEYA-B，即完成了第一终端设备STA-A和第二终端设备STA-B之间端到端安全连接的建立；
10]第一终端设备STA-A和第二终端设备STA-B之间采用共享密钥KEYA-B进行秘密通信。
上述的集中式安全连接建立方法，其具体包括以下步骤：)
1]第一终端设备(STA-A)与第一连接设备SW1之间、第一连接设备SW1与核心连接设备SW-Center之间、核心连接设备SW-Center与第二连接设备SW2之间、第二连接设备SW2与第二终端设备STA-B之间建立安全连接：
1.1]第一终端设备STA-A与第一连接设备SW1之间建立具有第一共享密钥KEYA-1的安全连接；所述第一连接设备SW1是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的第一个交换设备；
1.2]第一连接设备SW1与核心连接设备SW-Center之间建立具有第二共享密钥KEY1-Center的安全连接；所述核心连接设备SW-Center是局域网中离网关最近的交换设备；
1.3]第二连接设备SW2与核心连接设备SW-Center之间建立具有第三共享密钥KEY2-Center的安全连接；所述第二连接设备SW2是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的最后一个交换设备；
1.4]第二连接设备SW2与第二终端设备STA-B之间建立具有第四共享密钥KEYB-2的安全连接；
2]第一终端设备STA-A发送密钥请求分组M1给核心连接设备SW-Center；所述密钥请求分组M1包括表示第二终端设备STA-B的标识的IDSTA-B字段；
3]核心连接设备SW-Center收到密钥请求分组M1后，生成一随机数，作为第一终端设备STA-A与第二终端设备STA-B之间的共享密钥KEYA-B；然后构造第一密钥通告分组M2发送给第二连接设备SW2；所述第一密钥通告分组M2包括IDSTA-A字段、IDSTA-B字段、E1(KEYA-B)字段以及MIC1字段；其中：IDSTA-A字段表示第一终端设备STA-A的标识；E1(KEYA-B)字段表示密钥资料数据，由核心连接设备SW-Center利用与第二连接设备SW2之间的第三共享密钥KEY2-Center对共享密钥KEYA-B加密后的数据；MIC1字段表示消息完整性验证码，由核心连接设备SW-Center利用与第二连接设备SW2之间的第三共享密钥KEY2-Center对该第一密钥通告分组M2中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
4]第二连接设备SW2收到第一密钥通告分组M2后，进行如下处理：
4.1]利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center验证MIC1是否正确，若不正确，则丢弃该分组；否则，执行4.2]；
4.2]利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center解密E1(KEYA-B)字段即可得到共享密钥KEYA-B；
4.3]构造第二密钥通告分组M3发送给第二终端设备STA-B；该第二密钥通告分组M3包括：IDSTA-A字段、E2(KEYA-B)字段以及MIC2字段；其中：E2(KEYA-B)字段表示密钥资料数据，由第二连接设备SW2利用与第二终端设备STA-B之间的第四共享密钥KEYB-2对共享密钥KEYA-B加密后的数据，MIC2字段表示消息完整性验证码，由第二连接设备SW2利用与第二终端设备STA-B之间的第四共享密钥KEYB-2对该第二密钥通告分组M3中本字段外的其他字段通过杂凑函数计算得到的杂凑值；；
5]第二终端设备STA-B收到第二密钥通告分组M3后，进行如下处理：
5.1]利用与第二连接设备SW2之间的第四共享密钥KEYB-2验证MIC2是否正确，若不正确，则丢弃该分组，否则，执行5.2]；
5.2]利用与第二连接设备SW2之间的第四共享密钥KEYB-2解密E2(KEYA-B)字段，即可得到与第一终端设备STA-A之间的共享密钥KEYA-B；
5.3]构造第二密钥通告响应分组M4发送给第二连接设备SW2；该第二密钥通告响应分组M4包括IDSTA-A字段以及MIC3字段；其中：MIC3字段表示消息完整性验证码，由第二终端设备STA-B利用与第二连接设备SW2之间的第四共享密钥KEYB-2对该第二密钥通告响应分组M4中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
6]第二连接设备SW2收到第二密钥通告响应分组M4后，进行如下处理：
6.1]验证分组中的IDSTA-A字段和之前发送的第二密钥通告分组M3中对应字段值是否一致，若不一致，则丢弃该分组；否则，执行6.2]；
6.2]利用与第二终端设备STA-B之间的第四共享密钥KEYB-2验证MIC3是否正确，若不正确，则丢弃该分组，否则，执行6.3]；
6.3]构造第一密钥通告响应分组M5发送给核心连接设备SW-Center；该第一密钥通告响应分组M5包括IDSTA-A字段、IDSTA-B字段以及MIC4字段；其中：MIC4字段表示消息完整性验证码，由第二连接设备SW2利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center对该第一密钥通告响应分组M5中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
7]核心连接设备SW-Center收到第一密钥通告响应分组M5后，进行如下处理：
7.1]验证分组中的IDSTA-A字段、IDSTA-B字段和之前发送的第一密钥通告分组M2中对应字段值是否一致，若都一致，则执行7.2]；否则，丢弃该分组；
7.2]利用与第二连接设备SW2之间的第三共享密钥KEY2-Center验证MIC4是否正确，若不正确，则丢弃该分组，否则，执行7.3]；
7.3]构造第一密钥响应分组M6发送给第一连接设备SW1；该第一密钥响应分组M6包括IDSTA-A字段、IDSTA-B字段、E3(KEYA-B)字段以及MIC5字段；其中：E3(KEYA-B)字段表示密钥资料数据，由核心连接设备SW-Center利用与第一连接设备SW1之间的第二共享密钥KEY1-Center对共享密钥KEYA-B加密后的数据；MIC5字段表示消息完整性验证码，由核心连接设备SW-Center利用与第一连接设备SW1之间的第二共享密钥KEY1-Center对该第一密钥响应分组M6中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
8]第一连接设备SW1收到第一密钥响应分组M6后，进行如下处理：
8.1]利用与核心连接设备SW-Center之间的第二共享密钥KEY1-Center验证MIC5是否正确，若不正确，则丢弃该分组；否则，执行8.2]；
8.2]利用与核心连接设备SW-Center之间的第二共享密钥KEY1-Center解密E3(KEYA-B)字段，即可得到共享密钥KEYA-B；
8.3]构造第二密钥响应分组M7发送给第一终端设备STA-A；该第二密钥响应分组M7包括IDSTA-B字段、E4(KEYA-B)字段以及MIC6字段；其中：E4(KEYA-B)字段表示密钥资料数据，由第一连接设备SW1利用与第一终端设备STA-A之间的第一共享密钥KEYA-1对共享密钥KEYA-B加密后的数据；MIC6字段表示消息完整性验证码，由第一连接设备SW1利用与第一终端设备STA-A之间的第一共享密钥KEYA-1对该第二密钥响应分组M7中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
9]第一终端设备STA-A收到第二密钥响应分组M7后，进行如下处理：
9.1]利用与第一连接设备SW1之间的第一共享密钥KEYA-1验证MIC6是否正确，若不正确，则丢弃该分组，否则，执行9.2]；
9.2]利用与第一连接设备(SW1)之间的第一共享密钥(KEYA-1)解密E4(KEYA-B)字段即可得到与第二终端设备(STA-B)之间的密钥KEYA-B，即完成了第一终端设备STA-A和第二终端设备STA-B之间安全连接的建立；
10]第一终端设备STA-A和第二终端设备STA-B之间采用共享密钥KEYA-B进行秘密通信。
上述的集中式安全连接建立方法，所述的密钥请求分组M1生成一个消息新鲜性标识；所述第一密钥通告分组M2、第二密钥通告分组M3、第二密钥通告响应分组M4、第一密钥通告响应分组M5、第一密钥响应分组M6、第二密钥响应分组M7中均包括该消息新鲜性标识；所述第二连接设备SW2收到第二密钥通告响应分组M4后，验证该分组中的标识值与其之前接收的第一密钥通告分组M2中的标识值是否一致；核心连接设备SW-Center收到第一密钥通告响应分组M5后，验证该分组中的标识值与其之前接收的密钥请求分组M1中的标识值是否一致；第一终端设备STA-A收到第二密钥响应分组M7后，验证该分组中的标识值与其之前发送的密钥请求分组M1中的标识值是否一致。
上述消息新鲜性标识为时钟、顺序号或随机数。
上述的密钥请求分组M1、第一密钥通告分组M2、第二密钥通告分组M3分别生成各自的消息新鲜性标识；所述的第二密钥通告响应分组M4携带消息新鲜性标识与第二密钥通告分组M3中对应标识一致、第一密钥通告响应分组M5携带消息新鲜性标识与第一密钥通告分组M2中对应标识一致、第一密钥响应分组M6及第二密钥响应分组M7携带消息新鲜性标识与密钥请求分组M1中对应标识一致；所述第二连接设备SW2收到第二密钥通告响应分组M4后，验证该分组中的标识值与之前发送的第二密钥通告分组M3中的标识值是否一致；核心连接设备SW-Center收到第一密钥通告响应分组M5后，验证该分组中的标识值与之前发送的第一密钥通告分组M2中的标识值是否一致；第一终端设备STA-A收到第二密钥响应分组M7后，需验证该分组中的标识值与之前发送的密钥请求分组M1中的标识值是否一致。
上述消息新鲜性标识为时钟、顺序号或随机数。
一种集中式安全连接建立方法，其特殊之处在于：第一连接设备(SW1)以及第二连接设备(SW2)分别与核心连接设备(SW-Center)建立安全连接，第一连接设备(SW1)与第一终端设备(STA-A)建立安全连接，第二连接设备(SW2)与第二终端设备(STA-B)建立安全连接；第一终端设备STA-A向核心连接设备(SW-Center)发出请求，由核心连接设备SW-Center生成一个随机数作为第一终端设备(STA-A)和第二终端设备(STA-B)之间的共享密钥并将该共享密钥秘密通告给第二终端设备(STA-B)和第一终端设备(STA-A)。
本发明的优点是：
本发明可以灵活的建立节点间的安全连接，不需要为网络的节点间分配静态密钥对；且通过建立节点间的安全连接就可以保证节点间的数据进行保密传输，攻击者即使接入网络窃取到的信息也是密文信息，无法获得实质信息。
核心连接设备SW-Center只需要保存与网络中的交换设备之间的密钥，无需建立与用户终端之间的密钥；每一个交换设备只需要保存与相邻交换设备之间的密钥以及与核心连接设备SW-Center之间的密钥；每一个用户终端只需要保持与相邻交换设备之间的密钥。第一终端设备STA-A和第二终端设备STA-B之间的共享密钥是由核心连接设备SW-Center临时生成后，分别秘密通告给第二终端设备STA-B和第一终端设备STA-A的。这种安全措施给局域网中的交换设备带来的计算负担小，且数据包从发送节点传递到目的节点的延时也小，提高了网络传输效率。
附图说明
图1为本发明所提供的集中式安全连接建立过程示意图。
具体实施方式
在网络中，所有的连接设备都与网络中的核心连接设备SW-Center之间通过预分发或其他安全机制已建立安全连接，即已具有共享的密钥；所有的终端设备仅与相邻的连接设备之间通过预分发或其他安全机制已建立安全连接，即已具有共享的密钥(此处所述安全连接的建立机制本发明中不予限制和定义)。
图1以第一终端设备STA-A和第二终端设备STA-B之间建立安全连接的步骤为例来说明，本发明所提供的集中式安全连接的建立方法的具体方案如下：
1)SWCenter为网络中的核心连接设备，第一连接设备SW1是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的第一个连接设备，第二连接设备SW2是指从第一终端设备STA-A到第二终端设备STA-B的数据包经过的最后一个连接设备。第一终端设备STA-A与第一连接设备SW1之间已建立安全连接，具有的第一共享密钥记为KEYA-1；第一连接设备SW1与核心连接设备SW-Center之间已建立安全连接，具有的第二共享密钥记为KEY1-Center；第二连接设备SW2与核心连接设备SW-Center之间已建立安全连接，具有的第三共享密钥记为KEY2-Center；第二终端设备STA-B与第二连接设备SW2之间已建立安全连接，具有的第四共享密钥记为KEYB-2。且第一连接设备SW1与核心连接设备SW-Center之间可存在0个或多个交换设备；核心连接设备SW-Center与第二连接设备SW2之间可存在0个或多个交换设备。
2)第一终端设备STA-A发送密钥请求分组M1给核心连接设备SW-Center；
该密钥请求分组M1包括：
| IDSTA-B |
其中：
IDSTA-B字段：表示第二终端设备STA-B的标识；
3)核心连接设备SW-Center发送第一密钥通告分组M2给第二连接设备SW2；
核心连接设备SW-Center收到密钥请求分组M1后，生成一随机数，作为第一终端设备STA-A与第二终端设备STA-B之间的共享密钥KEYA-B；构造第一密钥通告分组M2发送给第二连接设备SW2。
该第一密钥通告分组M2包括：
| IDSTA-A | IDSTA-B | E1(KEYA-B) | MIC1 |
其中：
IDSTA-A字段：表示第一终端设备STA-A的标识；
E1(KEYA-B)字段：是密钥资料数据，由核心连接设备SW-Center利用与第二连接设备SW2之间的第三共享密钥KEY2-Center对共享密钥KEYA-B加密后的数据；
MIC1字段：表示消息完整性验证码，由核心连接设备SW-Center利用与第二连接设备SW2之间的第三共享密钥KEY2-Center对该第一密钥通告分组M2中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
4)第二连接设备SW2发送第二密钥通告分组M3给第二终端设备STA-B；
第二连接设备SW2收到第一密钥通告分组M2后，进行如下处理：
4.1)利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center验证MIC1是否正确，若不正确，则丢弃该分组；否则，执行4.2)；
4.2)利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center解密E1(KEYA-B)字段即可得到共享密钥KEYA-B；
4.3)构造第二密钥通告分组M3发送给第二终端设备STA-B。
该第二密钥通告分组M3包括：
| IDSTA-A | E2(KEYA-B) | MIC2 |
其中：
E2(KEYA-B)字段：表示密钥资料数据，由第二连接设备SW2利用与第二终端设备STA-B之间的第四共享密钥KEYB-2对共享密钥KEYA-B加密后的数据；
MIC2字段：表示消息完整性验证码，由第二连接设备SW2利用与第二终端设备STA-B之间的第四共享密钥KEYB-2对该第二密钥通告分组M3中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
5)第二终端设备STA-B发送第二密钥通告响应分组M4给第二连接设备SW2；
第二终端设备STA-B收到第二密钥通告分组M3后，进行如下处理：
5.1)利用与第二连接设备SW2之间的第四共享密钥KEYB-2验证MIC2是否正确，若不正确，则丢弃该分组，否则，执行5.2)；
5.2)利用与第二连接设备SW2之间的第四共享密钥KEYB-2解密E2(KEYA-B)字段，即可得到与第一终端设备STA-A之间的共享密钥KEYA-B；
5.3)构造第二密钥通告响应分组M4发送给第二连接设备SW2。
该第二密钥通告响应分组M4包括：
| IDSTA-A | MIC3 |
其中：
MIC3字段：表示消息完整性验证码，由第二终端设备STA-B利用与第二连接设备SW2之间的第四共享密钥KEYB-2对该第二密钥通告响应分组M4中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
6)第二连接设备SW2发送第一密钥通告响应分组M5给核心连接设备SW-Center；
第二连接设备SW2收到第二密钥通告响应分组M4后，进行如下处理：
6.1)验证分组中的IDSTA-A字段和之前发送的第二密钥通告分组M3中对应字段值是否一致，若不一致，则丢弃该分组；否则，执行6.2)；
6.2)利用与第二终端设备STA-B之间的第四共享密钥KEYB-2验证MIC3是否正确，若不正确，则丢弃该分组，否则，执行6.3)；
6.3)构造第一密钥通告响应分组M5发送给核心连接设备SW-Center。
该第一密钥通告响应分组M5包括：
| IDSTA-A | IDSTA-B | MIC4 |
其中：
MIC4字段：表示消息完整性验证码，由第二连接设备SW2利用与核心连接设备SW-Center之间的第三共享密钥KEY2-Center对该第一密钥通告响应分组M5中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
7)核心连接设备SW-Center发送第一密钥响应分组M6给第一连接设备SW1；
核心连接设备SW-Center收到第一密钥通告响应分组M5后，进行如下处理：
7.1)验证分组中的IDSTA-A字段、IDSTA-B字段和之前发送的第一密钥通告分组M2中对应字段值是否一致，若都一致，则执行7.2)；否则，丢弃该分组；
7.2)利用与第二连接设备SW2之间的第三共享密钥KEY2-Center验证MIC4是否正确，若不正确，则丢弃该分组，否则，执行7.3)；
7.3)构造第一密钥响应分组M6发送给第一连接设备SW1。
该第一密钥响应分组M6包括：
| IDSTA-A | IDSTA-B | E3(KEYA-B) | MIC5 |
其中：
E3(KEYA-B)字段：是密钥资料数据，由核心连接设备SW-Center利用与第一连接设备SW1之间的第二共享密钥KEY1-Center对共享密钥KEYA-B加密后的数据；
MIC5字段：表示消息完整性验证码，由核心连接设备SW-Center利用与第一连接设备SW1之间的第二共享密钥KEY1-Center对该第一密钥响应分组M6中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
8)第一连接设备SW1发送第二密钥响应分组M7给第一终端设备STA-A；
第一连接设备SW1收到第一密钥响应分组M6后，进行如下处理：
8.1)利用与核心连接设备SW-Center之间的第二共享密钥KEY1-Center验证MIC5是否正确，若不正确，则丢弃该分组；否则，执行8.2)；
8.2)利用与核心连接设备SW-Center之间的第二共享密钥KEY1-Center解密E3(KEYA-B)字段，即可得到共享密钥KEYA-B；
8.3)构第二密钥响应分组M7发送给第一终端设备STA-A。
该第二密钥响应分组M7包括：
| IDSTA-B | E4(KEYA-B) | MIC6 |
其中：
E4(KEYA-B)字段：表示密钥资料数据，由第一连接设备SW1利用与第一终端设备STA-A之间的第一共享密钥KEYA-1对共享密钥KEYA-B加密后的数据；
MIC6字段：表示消息完整性验证码，由第一连接设备SW1利用与第一终端设备STA-A之间的第一共享密钥KEYA-1对该第二密钥响应分组M7中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
9)第一终端设备STA-A接收第二密钥响应分组M7。
第一终端设备STA-A收到第二密钥响应分组M7后，进行如下处理：
9.1)利用与第一连接设备SW1之间的第一共享密钥KEYA-1验证MIC6是否正确，若不正确，则丢弃该分组，否则，执行9.2)；
9.2)利用与第一连接设备(SW1)之间的第一共享密钥(KEYA-1)解密E4(KEYA-B)字段即可得到与第二终端设备(STA-B)之间的共享密钥KEYA-B，即完成了第一终端设备STA-A和第二终端设备STA-B之间端到端安全连接的建立。
10)此后，第一终端设备STA-A和第二终端设备STA-B之间可采用该共享密钥KEYA-B进行秘密通信。
当对上述方案进行具体实施时，第一终端设备STA-A还可生成一个数值，作为此次安全连接建立过程的标识，该标识可为时钟、顺序号或随机数，且在每个分组中进行携带。相应地，第二连接设备SW2收到第二密钥通告响应分组M4后，需验证该分组中的标识值与其之前接收的第一密钥通告分组M2中的标识值是否一致；核心连接设备SW-Center收到第一密钥通告响应分组M5后，需验证该分组中的标识值与其之前接收的密钥请求分组M1中的标识值是否一致；第一终端设备STA-A收到第二密钥响应分组M7后，需验证该分组中的标识值与其之前发送的密钥请求分组M1中的标识值是否一致。
当利用上述方案进行具体实施时，也可以由第一终端设备STA-A、核心连接设备SW-Center以及第二连接设备SW2在发送密钥请求分组M1、第一密钥通告分组M2及第二密钥通告分组M3时，各自独立生成一个数值(可为时钟、顺序号或随机数)作为消息新鲜性标识分别携带在上述分组中；第二终端设备STA-B发送的第二密钥通告响应分组M4中应携带与第二密钥通告分组M3中一样的标识值；第二连接设备SW2发送的第一密钥通告响应分组M5中应携带与第一密钥通告分组M2中一样的标识值；核心连接设备SW-Center发送的第一密钥响应分组M6中应携带与密钥请求分组M1中一样的标识值；第一连接设备SW1发送的第二密钥响应分组M7中应携带与第一密钥响应分组M6中一样的标识值。相应地，第二连接设备SW2收到第二密钥通告响应分组M4后，需验证该分组中的标识值与之前发生的第二密钥通告分组M3中的标识值是否一致；核心连接设备SW-Center收到第一密钥通告响应分组M5后，需验证该分组中的标识值与之前发送的第一密钥通告分组M2中的标识值是否一致；第一终端设备STA-A收到第二密钥响应分组M7后，需验证该分组中的标识值与之前发送的密钥请求分组M1中的标识值是否一致。
一种集中式安全连接建立系统，包括向核心连接设备SW-Center发送密钥请求分组M1、接收第一连接设备SW1发送的第二密钥响应分组M7的第一终端设备STA-A；接收核心连接设备SW-Center发送的第一密钥响应分组M6、向第一终端设备STA-A发送第二密钥响应分组M7的第一连接设备SW1；接收第一终端设备STA-A发送的密钥请求分组M1、向第二连接设备SW2发送第一密钥通告分组M2、接收第二连接设备SW2发送的第一密钥通告响应分组M5、向第一连接设备SW1发送第一密钥响应分组M6的核心连接设备SW-Center；接收核心连接设备SW-Center发送的第一密钥通告分组M2、向第二终端设备STA-B发送第二密钥通告分组M3、接收第二终端设备STA-B发送的第二密钥通告响应分组M4、向核心连接设备SW-Center发送第一密钥通告响应分组M5的第二连接设备SW2以及接收第二连接设备SW2发送的第二密钥通告分组M3、向第二连接设备SW2发送第二密钥通告响应分组M4的第二终端设备STA-B。
在具体实施时，若将本发明用于局域网，则局域网中的用户终端作为终端设备，局域网中的交换设备作为连接设备，其中一个特定的交换设备为核心连接设备；局域网中的集线器等物理层设备不视为连接设备或终端设备处理，通过本发明即可实现由核心连接设备SW-Center为任意两个用户终端之间安全连接的建立。
Claims (8)
1.一种集中式安全连接建立系统，其特征在于：该系统包括终端设备和连接设备，所述终端设备包括发起端终端设备以及接收端终端设备，所述连接设备包括核心连接设备、在发起端终端设备与核心连接设备之间链路上的发起端连接设备以及在接收端终端设备与核心连接设备之间链路上的接收端连接设备，所述核心连接设备是局域网中离网关最近的交换设备；
所述发起端终端设备向核心连接设备发出请求，由核心连接设备生成一个随机数作为该发起端终端设备和接收端终端设备之间的共享密钥，并将该共享密钥秘密通告给发起端终端设备和接收端终端设备;
所述发起端连接设备包括第一连接设备（SW1），所述接收端连接设备包括第二连接设备（SW2），所述发起端终端设备包括第一终端设备（STA-A），所述接收端终端设备包括第二终端设备（STA-B）；所述第一终端设备（STA-A）与第一连接设备（SW1）之间建立具有第一共享密钥（KEYA-1）的安全连接；所述第一连接设备（SW1）是指从第一终端设备（STA-A）到第二终端设备（STA-B）的数据包经过的第一个连接设备；所述第一连接设备（SW1）与核心连接设备（SW-Center）之间建立具有第二共享密钥（KEY1-Center）的安全连接；所述第二连接设备（SW2）与核心连接设备（SW-Center）之间建立具有第三共享密钥（KEY2-Center）的安全连接；所述第二连接设备（SW2）是指从第一终端设备（STA-A）到第二终端设备（STA-B）的数据包经过的最后一个连接设备；所述第二连接设备（SW2）与第二终端设备（STA-B）之间建立具有第四共享密钥（KEYB-2）的安全连接；
所述第一终端设备（STA-A）向核心连接设备（SW-Center）发出安全连接建立请求，由核心连接设备（SW-Center）生成一个随机数作为该第一终端设备（STA-A）和第二终端设备（STA-B）之间的共享密钥并将该共享密钥秘密通告给第一终端设备（STA-A）和第二终端设备（STA-B），完成安全连接的建立，具体是：
第一终端设备（STA-A）发送密钥请求分组（M1）给核心连接设备（SW-Center）；请求核心连接设备（SW-Center）协助建立第一终端设备（STA-A）与第二终端设备（STA-B）之间的安全连接；
核心连接设备（SW-Center）收到密钥请求分组（M1）后发送第一密钥通告分组（M2）给第二连接设备（SW2）；核心连接设备（SW-Center）通过第一密钥通告分组（M2）将核心连接设备（SW-Center）生成的随机数作为第一终端设备（STA-A）和第二终端设备（STA-B）之间的共享密钥秘密通告给第二连接设备（SW2）；
第二连接设备（SW2）收到第一密钥通告分组（M2）后发送第二密钥通告分组（M3）给第二终端设备（STA-B）；第二连接设备（SW2）通过第二密钥通告分组（M3）将得到的共享密钥秘密通告给第二终端设备（STA-B）；
第二终端设备（STA-B）收到第二密钥通告分组（M3）后发送第二密钥通告响应分组（M4）给第二连接设备（SW2）；第二终端设备（STA-B）通过第二密钥通告响应分组（M4）告知第二连接设备（SW2）已收到共享密钥；
第二连接设备（SW2）收到第二密钥通告响应分组（M4）后发送第一密钥通告响应分组（M5）给核心连接设备（SW-Center）；第二连接设备（SW2）通过第一密钥通告响应分组（M5）告知核心连接设备（SW-Center）已将共享密钥秘密传递给第二终端设备（STA-B）；
核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后发送第一密钥响应分组（M6）给第一连接设备（SW1）；核心连接设备（SW-Center）通过第一密钥响应分组（M6）将核心连接设备（SW-Center）生成的随机数作为第一终端设备（STA-A）和第二终端设备（STA-B）之间的共享密钥秘密通告给第一连接设备（SW1）；
第一连接设备（SW1）收到第一密钥响应分组（M6）后发送第二密钥响应分组（M7）给第一终端设备（STA-A）；第一连接设备（SW1）通过第二密钥响应分组（M7）将得到的共享密钥秘密通告给第一终端设备（STA-A）；
第一终端设备（STA-A）接收第二密钥响应分组（M7），得到共享密钥，完成与第二终端设备（STA-B）之间安全连接的建立。
2.一种集中式安全连接建立方法，其特征在于：其包括以下步骤：
1] 第一终端设备（STA-A）与第一连接设备（SW1）之间建立具有第一共享密钥（KEYA-1）的安全连接；第一连接设备（SW1）是指从第一终端设备（STA-A）到第二终端设备（STA-B）的数据包经过的第一个连接设备；所述第一连接设备（SW1）与核心连接设备（SW-Center）之间建立具有第二共享密钥（KEY1-Center）的安全连接；第二连接设备（SW2）与核心连接设备（SW-Center）之间建立具有第三共享密钥（KEY2-Center）的安全连接；第二连接设备（SW2）是指从第一终端设备（STA-A）到第二终端设备（STA-B）的数据包经过的最后一个连接设备；第二连接设备（SW2）与第二终端设备（STA-B）之间建立具有第四共享密钥（KEYB-2）的安全连接，所述核心连接设备SW-Center是局域网中离网关最近的交换设备；
2] 第一终端设备（STA-A）发送密钥请求分组（M1）给核心连接设备（SW-Center）；请求核心连接设备（SW-Center）协助建立第一终端设备（STA-A）与第二终端设备（STA-B）之间的安全连接；
3] 核心连接设备（SW-Center）收到密钥请求分组（M1）后发送第一密钥通告分组（M2）给第二连接设备（SW2）；核心连接设备（SW-Center）通过第一密钥通告分组（M2）将核心连接设备（SW-Center）生成的随机数作为第一终端设备（STA-A）和第二终端设备（STA-B）之间的共享密钥秘密通告给第二连接设备（SW2）；
4] 第二连接设备（SW2）收到第一密钥通告分组（M2）后发送第二密钥通告分组（M3）给第二终端设备（STA-B）；第二连接设备（SW2）通过第二密钥通告分组（M3）将得到的共享密钥秘密通告给第二终端设备（STA-B）；
5] 第二终端设备（STA-B）收到第二密钥通告分组（M3）后发送第二密钥通告响应分组（M4）给第二连接设备（SW2）；第二终端设备（STA-B）通过第二密钥通告响应分组（M4）告知第二连接设备（SW2）已收到共享密钥；
6] 第二连接设备（SW2）收到第二密钥通告响应分组（M4）后发送第一密钥通告响应分组（M5）给核心连接设备（SW-Center）；第二连接设备（SW2）通过第一密钥通告响应分组（M5）告知核心连接设备（SW-Center）已将共享密钥秘密传递给第二终端设备（STA-B）；
7] 核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后发送第一密钥响应分组（M6）给第一连接设备（SW1）；核心连接设备（SW-Center）通过第一密钥响应分组（M6）将核心连接设备（SW-Center）生成的随机数作为第一终端设备（STA-A）和第二终端设备（STA-B）之间的共享密钥秘密通告给第一连接设备（SW1）；
8] 第一连接设备（SW1）收到第一密钥响应分组（M6）后发送第二密钥响应分组（M7）给第一终端设备（STA-A）；第一连接设备（SW1）通过第二密钥响应分组（M7）将得到的共享密钥秘密通告给第一终端设备（STA-A）；
9] 第一终端设备（STA-A）接收第二密钥响应分组（M7），得到共享密钥，完成与第二终端设备（STA-B）之间安全连接的建立。
3.根据权利要求2所述的集中式安全连接建立方法，其特征在于：
所述步骤2]中密钥请求分组（M1）包括表示第二终端设备（STA-B）的标识的IDSTA-B字段；
所述步骤3]中核心连接设备（SW-Center）收到密钥请求分组（M1）后，生成一随机数，作为第一终端设备（STA-A）与第二终端设备（STA-B）之间的共享密钥KEYA-B；
所述第一密钥通告分组（M2）包括IDSTA-A字段、IDSTA-B字段、E1(KEYA-B)字段；其中：IDSTA-A字段表示第一终端设备（STA-A）的标识； E1(KEYA-B)字段表示密钥资料数据，由核心连接设备（SW-Center）利用与第二连接设备（SW2）之间的第三共享密钥（KEY2-Center）对共享密钥KEYA-B加密后的数据；
所述步骤4]中第二连接设备（SW2）收到第一密钥通告分组（M2）后，利用与核心连接设备（SW-Center）之间的第三共享密钥（KEY2-Center）解密E1(KEYA-B)字段即可得到共享密钥KEYA-B；
所述第二密钥通告分组（M3）包括：IDSTA-A字段、E2(KEYA-B)字段；其中：E2(KEYA-B)字段表示密钥资料数据，由第二连接设备（SW2）利用与第二终端设备（STA-B）之间的第四共享密钥（KEYB-2）对共享密钥KEYA-B加密后的数据；
所述步骤5]中第二终端设备（STA-B）收到第二密钥通告分组（M3）后，利用与第二连接设备（SW2）之间的第四共享钥（KEYB-2）解密E2(KEYA-B)字段，即可得到与第一终端设备（STA-A）之间的共享密钥KEYA-B；
所述第二密钥通告响应分组（M4）包括IDSTA-A字段；
所述步骤6]中第二连接设备（SW2）收到第二密钥通告响应分组（M4）后，进行如下处理：
6.1] 验证分组中的IDSTA-A字段和之前发送的第二密钥通告分组（M3）中对应字段值是否一致，若不一致，则丢弃该分组；否则，执行6.2]；
6.2] 构造第一密钥通告响应分组（M5）发送给核心连接设备（SW-Center）；该第一密钥通告响应分组（M5）包括IDSTA-A字段、IDSTA-B字段；
所述步骤7]中核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后，进行如下处理：
7.1] 验证分组中的IDSTA-A字段、IDSTA-B字段和之前发送的第一密钥通告分组（M2）中对应字段值是否一致，若都一致，则执行7.2]；否则，丢弃该分组；
7.2] 构造第一密钥响应分组（M6）发送给第一连接设备（SW1）；该第一密钥响应分组（M6）包括IDSTA-A字段、IDSTA-B字段、E3(KEYA-B)字段；其中：E3(KEYA-B)字段表示密钥资料数据，由核心连接设备（SW-Center）利用与第一连接设备（SW1）之间的第二共享密钥（KEY1-Center）对共享密钥KEYA-B加密后的数据；
所述步骤8]中第一连接设备（SW1）收到第一密钥响应分组（M6）后，利用与核心连接设备（SW-Center）之间的第二共享密钥（KEY1-Center）解密E3(KEYA-B)字段，即可得到共享密钥KEYA-B；
所述第二密钥响应分组（M7）包括IDSTA-B字段、E4(KEYA-B)字段；其中：E4(KEYA-B)字段表示密钥资料数据，由第一连接设备（SW1）利用与第一终端设备（STA-A）之间的第一共享密钥（KEYA-1）对共享密钥KEYA-B加密后的数据；
所述步骤9]中第一终端设备（STA-A）收到第二密钥响应分组（M7）后， 利用与第一连接设备（SW1）之间的第一共享密钥（KEYA-1）解密E4(KEYA-B)字段即可得到与第二终端设备（STA-B）之间的共享密钥KEYA-B，即完成了第一终端设备（STA-A）和第二终端设备（STA-B）之间安全连接的建立。
4.根据权利要求2所述的集中式安全连接建立方法，其特征在于：
所述步骤2]中密钥请求分组（M1）包括表示第二终端设备（STA-B）的标识的IDSTA-B字段；
所述步骤3]中核心连接设备（SW-Center）收到密钥请求分组（M1）后，生成一随机数，作为第一终端设备（STA-A）与第二终端设备（STA-B）之间的共享密钥KEYA-B；
所述第一密钥通告分组（M2）包括IDSTA-A字段、IDSTA-B字段、E1(KEYA-B)字段以及MIC1字段；其中：IDSTA-A字段表示第一终端设备STA-A的标识；E1(KEYA-B)字段表示密钥资料数据，由核心连接设备（SW-Center）利用与第二连接设备（SW2）之间的第三共享密钥（KEY2-Center）对共享密钥KEYA-B加密后的数据；MIC1字段表示消息完整性验证码，由核心连接设备（SW-Center）利用与第二连接设备（SW2）之间的第三共享密钥（KEY2-Center）对该第一密钥通告分组（M2）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所述步骤4]中第二连接设备（SW2）收到第一密钥通告分组（M2）后，进行如下处理：
4.1] 利用与核心连接设备（SW-Center）之间的第三共享密钥（KEY2-Center）验证MIC1是否正确，若不正确，则丢弃该分组；否则，执行4.2]；
4.2] 利用与核心连接设备（SW-Center）之间的第三共享密钥（KEY2-Center）解密E1(KEYA-B)字段即可得到共享密钥KEYA-B；
所述第二密钥通告分组（M3）包括：IDSTA-A字段、E2(KEYA-B)字段以及MIC2字段；其中：E2(KEYA-B)字段表示密钥资料数据，由第二连接设备（SW2）利用与第二终端设备（STA-B）之间的第四共享密钥（KEYB-2）对共享密钥KEYA-B加密后的数据，MIC2字段表示消息完整性验证码，由第二连接设备（SW2）利用与第二终端设备（STA-B）之间的第四共享密钥（KEYB-2）对该第二密钥通告分组（M3）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所述步骤5]中第二终端设备（STA-B）收到第二密钥通告分组（M3）后，进行如下处理：
5.1] 利用与第二连接设备（SW2）之间的第四共享密钥（KEYB-2）验证MIC2是否正确，若不正确，则丢弃该分组，否则，执行5.2]；
5.2] 利用与第二连接设备（SW2）之间的第四共享密钥（KEYB-2）解密E2(KEYA-B)字段，即可得到与第一终端设备（STA-A）之间的共享密钥KEYA-B；
所述第二密钥通告响应分组（M4）包括IDSTA-A字段以及MIC3字段；其中：MIC3字段表示消息完整性验证码，由第二终端设备（STA-B）利用与第二连接设备（SW2）之间的第四共享密钥（KEYB-2）对该第二密钥通告响应分组（M4）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所述步骤6]中第二连接设备（SW2）收到第二密钥通告响应分组（M4）后，进行如下处理：
6.1] 验证分组中的IDSTA-A字段和之前发送的第二密钥通告分组（M3）中对应字段值是否一致，若不一致，则丢弃该分组；否则，执行6.2]；
6.2] 利用与第二终端设备（STA-B）之间的第四共享密钥（KEYB-2）验证MIC3是否正确，若不正确，则丢弃该分组，否则，执行6.3]；
6.3] 构造第一密钥通告响应分组（M5）发送给核心连接设备（SW-Center）；该第一密钥通告响应分组（M5）包括IDSTA-A字段、IDSTA-B字段以及MIC4字段；其中：MIC4字段表示消息完整性验证码，由第二连接设备（SW2）利用与核心连接设备（SW-Center）之间的第三共享密钥（KEY2-Center）对该第一密钥通告响应分组（M5）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所属步骤7]中核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后，进行如下处理：
7.1] 验证分组中的IDSTA-A字段、IDSTA-B字段和之前发送的第一密钥通告分组（M2）中对应字段值是否一致，若都一致，则执行7.2]；否则，丢弃该分组；
7.2] 利用与第二连接设备（SW2）之间的第三共享密钥（KEY2-Center）验证MIC4是否正确，若不正确，则丢弃该分组，否则，执行7.3]；
7.3] 构造第一密钥响应分组（M6）发送给第一连接设备（SW1）；该第一密钥响应分组（M6）包括IDSTA-A字段、IDSTA-B字段、E3(KEYA-B)字段以及MIC5字段；其中：E3(KEYA-B)字段表示密钥资料数据，由核心连接设备（SW-Center）利用与第一连接设备（SW1）之间的第二共享密钥（KEY1-Center）对共享密钥KEYA-B加密后的数据；MIC5字段表示消息完整性验证码，由核心连接设备（SW-Center）利用与第一连接设备（SW1）之间的第二共享密钥（KEY1-Center）对该第一密钥响应分组（M6）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所述步骤8]中第一连接设备（SW1）收到第一密钥响应分组（M6）后，进行如下处理：
8.1] 利用与核心连接设备（SW-Center）之间的第二共享密钥（KEY1-Center）验证MIC5是否正确，若不正确，则丢弃该分组；否则，执行8.2]；
8.2] 利用与核心连接设备（SW-Center）之间的第二共享密钥（KEY1-Center）解密E3(KEYA-B)字段，即可得到共享密钥KEYA-B；
所述第二密钥响应分组（M7）包括IDSTA-B字段、E4(KEYA-B)字段以及MIC6字段；其中：E4(KEYA-B)字段表示密钥资料数据，由第一连接设备（SW1）利用与第一终端设备（STA-A）之间的第一共享密钥（KEYA-1）对共享密钥KEYA-B加密后的数据；MIC6字段表示消息完整性验证码，由第一连接设备（SW1）利用与第一终端设备（STA-A）之间的第一共享密钥（KEYA-1）对该第二密钥响应分组（M7）中本字段外的其他字段通过杂凑函数计算得到的杂凑值；
所述步骤9]中第一终端设备（STA-A）收到第二密钥响应分组（M7）后，进行如下处理：
9.1] 利用与第一连接设备（SW1）之间的第一共享密钥（KEYA-1）验证MIC6是否正确，若不正确，则丢弃该分组，否则，执行9.2]；
9.2] 利用与第一连接设备（SW1）之间的第一共享密钥（KEYA-1）解密E4(KEYA-B)字段即可得到与第二终端设备（STA-B）之间的共享密钥KEYA-B，即完成了第一终端设备（STA-A）和第二终端设备（STA-B）之间安全连接的建立。
5.根据权利要求3或4所述的集中式安全连接建立方法，其特征在于：所述的密钥请求分组（M1）生成一个消息新鲜性标识；所述第一密钥通告分组（M2）、第二密钥通告分组（M3）、第二密钥通告响应分组（M4）、第一密钥通告响应分组（M5）、第一密钥响应分组（M6）、第二密钥响应分组（M7）中均包括该消息新鲜性标识；所述第二连接设备（SW2）收到第二密钥通告响应分组（M4）后，验证该分组中的标识值与其之前接收的第一密钥通告分组（M2）中的标识值是否一致；核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后，验证该分组中的标识值与其之前接收的密钥请求分组（M1）中的标识值是否一致；第一终端设备（STA-A）收到第二密钥响应分组（M7）后，验证该分组中的标识值与其之前发送的密钥请求分组（M1）中的标识值是否一致。
6.根据权利要求5所述的集中式安全连接建立方法，其特征在于：所述消息新鲜性标识为时钟、顺序号或随机数。
7.根据权利要求3或4所述的集中式安全连接建立方法，其特征在于：所述的密钥请求分组（M1）、第一密钥通告分组（M2）、第二密钥通告分组（M3）分别生成各自的消息新鲜性标识；所述的第二密钥通告响应分组（M4）携带消息新鲜性标识与第二密钥通告分组（M3）中对应标识一致、第一密钥通告响应分组（M5）携带消息新鲜性标识与第一密钥通告分组（M2）中对应标识一致、第一密钥响应分组（M6）及第二密钥响应分组（M7）携带消息新鲜性标识与密钥请求分组（M1）中对应标识一致；所述第二连接设备SW2收到第二密钥通告响应分组（M4）后，验证该分组中的标识值与之前发送的第二密钥通告分组（M3）中的标识值是否一致；核心连接设备（SW-Center）收到第一密钥通告响应分组（M5）后，验证该分组中的标识值与之前发送的第一密钥通告分组（M2）中的标识值是否一致；第一终端设备STA-A收到第二密钥响应分组（M7）后，需验证该分组中的标识值与之前发送的密钥请求分组（M1）中的标识值是否一致。
8.根据权利要求7所述的集中式安全连接建立方法，其特征在于：所述消息新鲜性标识为时钟、顺序号或随机数。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 201010518562 CN101964802B (zh) | 2010-10-25 | 2010-10-25 | 集中式安全连接建立系统及方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 201010518562 CN101964802B (zh) | 2010-10-25 | 2010-10-25 | 集中式安全连接建立系统及方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN101964802A CN101964802A (zh) | 2011-02-02 |
| CN101964802B true CN101964802B (zh) | 2013-02-13 |
Family
ID=43517534
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN 201010518562 Active CN101964802B (zh) | 2010-10-25 | 2010-10-25 | 集中式安全连接建立系统及方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN101964802B (zh) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106921630A (zh) * | 2015-12-25 | 2017-07-04 | 航天信息股份有限公司 | 数据交换方法及设备 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1439661A1 (en) * | 2003-01-14 | 2004-07-21 | Samsung Electronics Co., Ltd. | Secure communication system and method for integrated mobile communication terminals comprising a short-distance communication module |
| CN1783777A (zh) * | 2004-12-02 | 2006-06-07 | 华为技术有限公司 | 固定通信安全、数据加密方法和系统及固定终端鉴权方法 |
| WO2006087781A1 (ja) * | 2005-02-17 | 2006-08-24 | Fujitsu Limited | 認証マッチング方法及び装置 |
| CN101005359A (zh) * | 2006-01-18 | 2007-07-25 | 华为技术有限公司 | 一种实现终端设备间安全通信的方法及装置 |
| CN101729249A (zh) * | 2009-12-21 | 2010-06-09 | 西安西电捷通无线网络通信有限公司 | 用户终端之间安全连接的建立方法及系统 |
-
2010
- 2010-10-25 CN CN 201010518562 patent/CN101964802B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1439661A1 (en) * | 2003-01-14 | 2004-07-21 | Samsung Electronics Co., Ltd. | Secure communication system and method for integrated mobile communication terminals comprising a short-distance communication module |
| CN1783777A (zh) * | 2004-12-02 | 2006-06-07 | 华为技术有限公司 | 固定通信安全、数据加密方法和系统及固定终端鉴权方法 |
| WO2006087781A1 (ja) * | 2005-02-17 | 2006-08-24 | Fujitsu Limited | 認証マッチング方法及び装置 |
| CN101005359A (zh) * | 2006-01-18 | 2007-07-25 | 华为技术有限公司 | 一种实现终端设备间安全通信的方法及装置 |
| CN101729249A (zh) * | 2009-12-21 | 2010-06-09 | 西安西电捷通无线网络通信有限公司 | 用户终端之间安全连接的建立方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101964802A (zh) | 2011-02-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101729249B (zh) | 用户终端之间安全连接的建立方法及系统 | |
| CN101917272B (zh) | 一种邻居用户终端间保密通信方法及系统 | |
| CN102625995B (zh) | 无线网络中的伽罗瓦/计数器模式加密 | |
| CN101741547B (zh) | 节点间保密通信方法及系统 | |
| CN101841413B (zh) | 一种端到端安全连接的建立方法及系统 | |
| CN102130768A (zh) | 一种具有链路层加解密能力的终端设备及其数据处理方法 | |
| CN107317674A (zh) | 密钥分发、认证方法，装置及系统 | |
| CN101741548B (zh) | 交换设备间安全连接的建立方法及系统 | |
| CN101854244B (zh) | 一种三段式安全网络架构建立和保密通信方法及其系统 | |
| CN101964708B (zh) | 一种节点间会话密钥的建立系统及方法 | |
| CN101841547B (zh) | 一种端到端共享密钥的建立方法及系统 | |
| CN101814987B (zh) | 一种节点间密钥的建立方法及系统 | |
| CN101834862B (zh) | 一种节点间安全连接建立方法及系统 | |
| CN101834863B (zh) | 一种局域网节点间安全连接建立方法及系统 | |
| CN101964802B (zh) | 集中式安全连接建立系统及方法 | |
| CN101902324B (zh) | 一种节点间通信密钥的建立方法及系统 | |
| CN101841414B (zh) | 一种端到端通信密钥的建立方法及系统 | |
| CN101969375B (zh) | 通告式安全连接建立系统及方法 | |
| CN107483197A (zh) | 一种vpn网络终端密钥分发方法及装置 | |
| CN101964803B (zh) | 节点间会话密钥的建立系统及方法 | |
| CN116233767B (zh) | 集群对讲通信方法、装置、设备及存储介质 | |
| CN117061108A (zh) | 一种任意距离安全传输的量子密钥分配方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant |