CN102047605A - 有效的多方密钥交换 - Google Patents

Abstract

一种用于提供安全通信的系统包括电信网络。该系统包括与网络进行通信以形成会话的N个节点和一个新节点，其中N大于或等于3，并且为整数。各节点具有媒体流以及各节点通过电信网络向会话的每一个其它节点发送的各媒体流的唯一密码媒体密钥。N个节点之一是密钥主控，它通过网络将主密钥分发给会话中的每一个其它节点。各节点采用它自己相应的媒体密钥和主密钥对其媒体流的每个进行加密。当新节点第一次参加会话时，该新节点向会话的这N个节点发送每个其媒体流的其唯一密码媒体密钥。然后，密钥主控采用新节点的媒体密钥来生成新的主密钥，并且在无需任何其它信令消息的情况下仅使用送往N个节点的每个和新节点的单个信令消息将新的主密钥分发给新节点和N个节点，以便建立新节点与会话中的N个节点之间的安全通信。

Description

有效的多方密钥交换

技术领域

本发明涉及通过向会话的多方或节点传递密钥来形成安全会话。(本文所使用的“本发明”或“发明”的提法涉及示范实施例，但不一定涉及所附权利要求书所包含的每一个实施例。)更具体来说，本发明涉及通过向会话的多方或节点传递密钥来形成安全会话，其中在无需任何其它信令消息的情况下仅使用送往各方和新的一方的单个信令消息将主密钥分发给新的一方或新节点，以便建立新的一方与会话中的各方之间的安全通信。

背景技术

这一部分打算向读者介绍可能涉及本发明的各个方面的现有技术的各个方面。以下论述打算提供便于更好地理解本发明的信息。相应地，应当理解，要就此来阅读以下论述中的陈述，而不是认可现有技术。

本发明提供一种在多方多媒体会话中的多个参与方之间交换密码安全密钥的机制。存在保护多个参与方之间的多媒体流安全的两种主要方式。

第一种也是最简易的方式是创建单个‘私有’密钥，并且将这个密钥分发给各参与方。这个单一密钥然后由所有参与方用于对他们自己所传送的媒体流进行加密。这同一个密钥还由各参与方用于对每个所接收的媒体流进行解密。虽然这看起来是对媒体流进行加密和解密的良好方法，但它具有很大的缺陷。该缺陷是全部使用相同密码密钥的可用媒体分组的大数量。这使得攻击者易于捕获所有消息，并且‘破解’这个单一密钥。一旦攻击者具有这个单一密钥，则来自每一个参与方的‘所有’媒体流是完全可见的。随着参与方和/或流的数量增加，破解的简易性也因此增加，因为可用媒体分组的总数也增加。

使用多个密钥对媒体流进行加密的第二种方式是让每一个参与方为每个所传送的媒体流创建唯一的密码密钥。密钥分发任务这时大许多，因为每一个参与方需要将其唯一密钥分发给每一个其他参与方。当参与方接收到多媒体流时，它必须使用各发送方的唯一密钥对这个流进行解密。但是，这种多密钥方式确实使捕获流攻击更困难，因为攻击者只能检查单个媒体流以甚至尝试‘破解’该密钥。这要求花费更多时间收集足够的媒体流分组以尝试破解该密钥。即使攻击者可发现单个密钥，但他们‘仅’能够对单个媒体流进行解密。来自每一个其他参与方的所有其它流仍然受到保护。

存在多方会话需要变更安全密钥的若干原因。显而易见的原因之一是当参与方之一离开会话时。在这种情况下，密钥需要被变更，以便防止断开连接的参与方捕获媒体流并且使用旧的密钥来窃听将来的媒体流。其它相似情况是当新的参与方加入会话时。在这种情况下，如果他们在参加该会话之前已经捕获媒体流，则他们能够使用旧的加密密钥对所有先前的媒体流进行解密。因此，当参与方加入多方会话或者从多方会话中去除时，基本上所有密钥都必须变更。变更密钥的其它原因之一是防止长久媒体会话被破解。这一般通过周期性的密钥交换来处理，取决于多少媒体流分组已使用同一密钥来加密。

主要的存在问题是如何交换密钥。由于密钥将需要在会话的寿命中变更，所以多方密钥交换非常重要。处理加密的多密钥方法所要求的信令消息的数量会是相当大。要考虑的另一个因素是生成各密码密钥的计算需求。具有‘M’个传送媒体流的各参与方需要生成‘M’个密码密钥。如果在多媒体会话中有‘N’个参与方，则各参与方需要发送‘N-1’个信令消息来告诉每一个其他参与方关于其唯一媒体流密钥。总之，每次需要变更密钥时，需要生成‘M’בN’个密码密钥并且需要发送至少‘N’×(‘N’-1)个信令消息。如果这些信令消息经由SIP或IMS网络来发送，则多个SIP代理服务器均可需要涉及这些信令消息。现有解决方案的问题是弱加密、极高的信令开销以及密钥生成期间的计算负荷。

本发明设计成减小来自所有密码密钥生成的负荷并且极大地减少信令消息的数量。

发明内容

本发明涉及用于提供安全通信的系统。该系统包括电信网络。该系统包括与网络进行通信以形成会话的N个节点和一个新节点，其中N大于或等于3，并且为整数。各节点具有媒体流以及各节点通过电信网络向会话的每一个其它节点发送的各媒体流的唯一密码媒体密钥。N个节点之一是密钥主控(key master)，它通过网络将主密钥分发给会话中的每一个其它节点。各节点采用它自己相应的媒体密钥和主密钥对其媒体流的每个进行加密。当新节点第一次参加会话时，该新节点向会话的N个节点发送每个其媒体流的其唯一密码媒体密钥。然后，密钥主控采用新节点的媒体密钥来生成新的主密钥，并且在无需任何其它信令消息的情况下仅使用送往N个节点的每个和新节点的单个信令消息将新的主密钥分发给新节点和N个节点，以便建立新节点与会话中的N个节点之间的安全通信。

本发明涉及一种用于提供安全通信的方法。该方法包括下列步骤：由N方的各方通过电信网络向会话的每一个其他方发送用于各方的各媒体流的唯一密码媒体密钥的步骤，其中N大于或等于3并且为整数。存在将主密钥分发给会话中的各方的步骤。存在由各方采用它自己相应的媒体密钥和主密钥对其媒体流的每个进行加密的步骤。存在由各方将其加密媒体流发送给其他方的步骤。存在将新的一方添加到会话的步骤。存在由新的一方将每个其媒体流的其唯一密码媒体密钥发送给会话的其他方的步骤。存在采用新的一方的媒体密钥生成新的主密钥的步骤。存在下列步骤：在无需任何其它信令消息的情况下仅使用送往N方的每个和新的一方的单个信令消息将新的主密钥分发给新的一方和N方，以便建立新的一方与会话中的N方之间的安全通信。

附图说明

附图中示出本发明的优选实施例和实施本发明的优选方法，附图包括：

图1是本发明的系统的框图。

具体实施方式

现在参照附图，其中，相似的参考标号在若干视图中表示相似或相同的部分，更具体来说参照其中图1，示出用于提供安全通信的系统10。系统10包括电信网络12。系统10包括与网络12进行通信以形成会话的N个节点14和一个新节点16，其中N大于或等于3，并且为整数。各节点具有媒体流以及各节点通过电信网络12向会话的每一个其它节点发送的各媒体流的唯一密码媒体密钥。N个节点14其中之一是密钥主控18，它通过网络12将主密钥分发给会话中的每一个其它节点。各节点采用它自己相应的媒体密钥和主密钥对其媒体流的每个进行加密。当新节点16第一次参加会话时，新节点16向会话的N个节点14发送每个其媒体流的其唯一密码媒体密钥。然后，密钥主控18采用新节点16的媒体密钥来生成新的主密钥，并且在无需任何其它信令消息的情况下仅使用送往N个节点14的每个和新节点16的单个信令消息将新的主密钥分发给新节点16和N个节点14，以便建立新节点16与会话中的N个节点14之间的安全通信。

优选地，在新节点16第一次参加会话之后，各节点采用它自己相应的媒体密钥和新的主密钥对其媒体流的每个进行加密，并且将它的使用新的主密钥所加密的媒体流发送给其它节点14。密钥主控18优选地生成主密钥和新的主密钥。

本发明涉及一种用于提供安全通信的方法。该方法包括下列步骤：由N方的各方通过电信网络12向会话的每一个其他方发送各方的各媒体流的唯一密码媒体密钥的步骤，其中N大于或等于3并且为整数。存在将主密钥分发给会话中的各方的步骤。存在由各方采用它自己相应的媒体密钥和主密钥对其媒体流的每个进行加密的步骤。存在由各方将其加密媒体流发送给其他方的步骤。存在将新的一方添加到会话的步骤。存在由新的一方将每个其媒体流的其唯一密码媒体密钥发送给会话的其他方的步骤。存在采用新的一方的媒体密钥生成新的主密钥的步骤。存在下列步骤：在无需任何其它信令消息的情况下仅使用送往N方的每个和新的一方的单个信令消息将新的主密钥分发给新的一方和N方，以便建立新的一方与会话中的N方之间的安全通信。

优选地，存在由各方采用它自己相应的媒体密钥和新的主密钥对其媒体流的每个进行加密的步骤。优选地存在由各方将其使用新的主密钥所加密的媒体流发送给其他方的步骤。优选地，存在将N方之一指定为密钥主控18的步骤。

优选地存在由密钥主控18生成主密钥的步骤。优选地，生成新的主密钥的步骤包括由密钥主控18生成新的主密钥的步骤。优选地存在下列步骤：将N方之一与会话断开连接，因此新的一方和N方中的N-1方保持在会话中。优选地存在由密钥主控18生成另一个新的主密钥的步骤。

优选地存在将另一个新的主密钥分发给新的一方和所述N-1方的步骤。优选地，存在由新的一方和N-1方中的每个采用其自己相应的媒体密钥和另一个新的主密钥对其媒体流的每个进行加密的步骤。优选地，存在由新的一方和N-1方中的每个相互发送其相应的使用另一个新的主密钥所加密的媒体流的步骤。

在本发明的操作中，生成与‘参与方流’特定密码密钥进行组合的至少一个‘会话’特定密码密钥。由于它是对媒体流加密时使用的会话和参与方密钥的组合，所以它需要所有密钥来对任何流成功地解密。这个会话中的所有流的加密上下文仅通过变更和分发‘会话’特定密钥的任一个就会变更。可以对仅‘会话’密钥使用附加的基于PKI的密钥保护方案，以便提供端对端安全性的附加层。

当新的一方加入会话时，它必须为它将要传送的各媒体流生成唯一密码密钥。这些唯一密钥必须发送给多媒体会话中的所有现有参与方。多方会话中的参与方之一被称作‘密钥主控’。这通常是会话的发起方，但它实际上可以是任何参与方。由于新的一方被加入多方会话，所以会议‘密钥主控’还将需要生成新的‘会话’密钥。然后，密钥主控将这个新的会话密钥分发给包括新参与方在内的所有参与方。一旦参与方具有它自己的媒体流密钥和新的会话密钥，它可开始对其外出媒体流进行加密。参与方还可使用新的会话密钥和其它参与方的流密钥的组合，以对来自每个其它参与方的进入流进行解密。

可使用多个密码密钥的组合的方式之一是通过将密钥相加或者对密钥进行“异或”来形成新的“主密钥”。这个新的‘主密钥’可在要求唯一密钥的任何媒体加密过程中使用。

如上所述的单个会话密钥的使用并不排除任何可按照相似方式进行组合的其它附加‘会话’或‘全局’密码密钥的使用。

这种‘组合’主密钥的一种可能的使用是，它可用于代替单个SRTP主密钥。“安全实时传输协议“(SRTP)在IETF RFC RFC-3711中定义，通过引用结合到本文中。用于交换SRTP密钥的标准方法是通过遵循RFC-4568“媒体流的安全描述”(SDES)，通过引用结合到本文中。该同一SDES消息可用于携带来自各参与方的媒体流唯一密钥，同时使用单独消息来携带会话密钥。在一个实现中，SIP通知方法用于单独地携带‘会话密钥。这是小型轻量信令消息，它便于更新会话密钥的低开销信令。这还使得易于只对这个消息单独加密，以便获得附加安全性。

需要时，可通过使用例如来自公有密钥基础设施(PKI)的公有/私有密钥对来增加附加保护层。密钥主控可在将会话密钥发送给相应参与方之前，使用参与方的公有密钥对会话密钥进行加密。然后，各参与方将使用它自己的私有密钥来对会话密钥解密。这确保媒体加密/解密必需的所需密钥的至少一个已经端对端加密地传播。这防止甚至来自受损的中间流代理服务器的任何可能的密钥截取。这给密钥主控增加略多的计算开销，并且还要求可靠方法来访问各参与方的公有密钥。

在建立多媒体会话之后，下列步骤可用于交换加密密钥。在这种情况下，假定3个参与方标记为‘A’、‘B’和‘C’。

初始密钥交换步骤是交换密钥的标准方式之一。

-A将生成它的会话密钥并且将其发送给B和C。

-B将生成它的会话密钥并且将其发送给A和C。

-C将生成它的会话密钥并且将其发送给A和B。

对于这个示例，向A分配‘密钥主控’的职责。

-A将生成新的‘主密钥’并且将其发送给所有其它参与方(B和C)。

注意：各参与方将在接收到新的‘主密钥’时立即开始使用它。

在这里，所有方都具有彼此的‘会话密钥’，并且他们还具有‘主密钥’。使用主密钥与彼此的会话密钥的组合来对媒体流进行加密和解密。

1)这些是将新的参与方‘D’添加到会话的步骤。

-A邀请D进入会话

-D将生成它的会话密钥并且将其发送给A、B和C

-A向D发送来自A、B和C的会话密钥

-A将生成新的‘主密钥’并且将其发送给B、C和D

2)这些是从会话中删除参与方‘D’的步骤。

-D与会话断开连接

-A将生成新的‘主密钥’并且将其发送给B和C

3)这些是用于定期变更会话中使用的密码密钥的步骤。

-A将生成新的‘主密钥’并且将其发送给所有其它参与方

这个示例用于参与方，但同样基本上可适用于会话中的任何数量的参与方，不管是4个还是40个。

定义：

“会话”-这可以是涉及3方或者更多方的ViPr会议呼叫或者任何多媒体应用。

“会话密钥”-这是当今所有参与方生成和使用的标准密码密钥。(与媒体流密钥相同。)

“主密钥”-这是所有参与方将与其它‘会话密钥’进行组合以形成真正密码密钥的单个密钥。

“密钥主控”-这是‘会话’参与方之一承担的生成和分发‘主密钥’的角色。

以下是实施以上所述的基础。

“会话初始协议”(SIP)在IETF RFC-3261中描述，通过引用结合到本文中。这是在几乎所有“基于因特网协议的语音”或VoIP电话的世界中使用的基本协议。这个协议设计成采用将大因特网网络12用作电话网络12的易扩展构架完全取代旧的PSTN电话系统。SIP形成携带呼叫中使用的所有信令消息的信令构架。但是，要实现新服务的简单开发，RFC-3261没有准确定义这些信令消息中包含的内容。要实现各种SIP装置之间的互操作性，与RFC-3261同时制订通过引用结合到本文中的RFC-3264。RFC-3264的标题为“采用SDP的提供/应答模型”。在SIP构架中携带的最普遍的‘有效载荷’是“会话描述协议”(SDP)，它在RFC-4566中定义，通过引用结合到本文中。这3个RFC(RFC-3261、RFC-3264和RFC-4566)形成几乎每一个VoIP电话和许多会议和电话系统的信令基础。虽然SDP消息包含与媒体流有关的网络12的信息，但是它们没有携带实际音频和视频流本身。媒体流使用在RFC-3550中定义的“实时传输协议”或RTP来传输。

通过遵循这种技术，它极大地减少密钥交换操作期间的密钥生成开销。还极大地减少每当执行密钥交换过程时交换的信令消息。由于大多数VoIP信令消息SIP或IMS，因此所有这些消息必须通过一个或多个SIP代理服务器来传播。可消除的每一个信令消息消除这些代理之间的许多附加信令消息。在使用多个密钥的现有安全密钥交换中，包含大群组的会话可产生数千个更新密钥消息以及数千个随之而来的代理消息。

本文的节点可以是例如Ericsson Inc.销售的ViPr等视频电话。参见专利申请序列号10/114402，通过引用结合到本文中。

缩写词

IMS-IP多媒体子系统

SIP-会话初始协议

参考文献(通过引用将其全部结合到本文中)

IETF：RFC3061，RFC3064，RFC3711，RFC4568

虽然为了便于说明而在上述实施例中详细描述本发明，但是要理解，这种细节只是用于便于说明，并且在没有背离本发明的精神和范围的情况下可由本领域的技术人员对其中进行变更，它仅可由以下权利要求书来描述。

Claims (14)

1.一种用于提供安全通信的方法，包括下列步骤：

由N方的各方通过电信网络向会话的每一个其他方发送各方的各媒体流的唯一密码媒体密钥，其中N大于或等于3并且为整数；

将主密钥分发给所述会话中的各方；

由各方采用它自己相应的媒体密钥和所述主密钥对其媒体流的每个进行加密；

由各方将其加密媒体流发送给所述其他方；

将新的一方添加到所述会话；

由所述新的一方将每个其媒体流的其唯一密码媒体密钥发送给所述会话的所述其他方；

采用所述新的一方的所述媒体密钥来生成新的主密钥；以及

在无需任何其它信令消息的情况下仅使用送往所述N方的每个和所述新的一方的单个信令消息将所述新的主密钥分发给所述新的一方和所述N方，以便建立所述新的一方与所述会话中的所述N方之间的安全通信。

2.如权利要求1所述的方法，包括下列步骤：由各方采用它自己相应的媒体密钥和所述新的主密钥对其媒体流的每个进行加密。

3.如权利要求2所述的方法，包括下列步骤：由各方将其使用所述新的主密钥所加密的媒体流发送给所述其他方。

4.如权利要求3所述的方法，包括：将所述N方之一指定为密钥主控。

5.如权利要求4所述的方法，包括下列步骤：由所述密钥主控生成所述主密钥。

6.如权利要求5所述的方法，其中，所述生成所述新的主密钥步骤包括由所述密钥主控生成所述新的主密钥的步骤。

7.如权利要求6所述的方法，包括下列步骤：将所述N方之一与所述会话断开连接，因此所述新的一方和所述N方中的N-1方保持在所述会话中。

8.如权利要求7所述的方法，包括下列步骤：由所述密钥主控生成另一个新的主密钥。

9.如权利要求8所述的方法，包括下列步骤：将所述另一个新的主密钥分发给所述新的一方和所述N-1方。

10.如权利要求9所述的方法，包括下列步骤：由所述新的一方和所述N-1方中的每个采用其自己相应的媒体密钥和所述另一个新的主密钥对其媒体流的每个进行加密。

11.如权利要求10所述的方法，包括下列步骤：由所述新的一方和所述N-1方中的每个相互发送其相应的使用所述另一个新的主密钥所加密的媒体流。

12.一种用于提供安全通信的系统，包括：

电信网络；以及

与所述网络进行通信以形成会话的N个节点和一个新节点，其中N大于或等于3并且为整数，各节点具有媒体流以及各节点通过所述电信网络向所述会话的每一个其它节点发送的各媒体流的唯一密码媒体密钥，所述N个节点之一是密钥主控，它通过所述网络将主密钥分发给所述会话中的每一个其它节点，各节点采用它自己相应的媒体密钥和所述主密钥对其媒体流的每个进行加密；当所述新节点第一次参加所述会话时，所述新节点向所述会话的所述N个节点发送每个其媒体流的其唯一密码媒体密钥，所述密钥主控则采用所述新节点的所述媒体密钥来生成新的主密钥，并且在无需任何其它信令消息的情况下仅使用送往所述N个节点的每个和所述新节点的单个信令信息将所述新的主密钥分发给所述新节点和所述N个节点，以便建立所述新节点与所述会话中的所述N个节点之间的安全通信。

13.如权利要求12所述的系统，其中，在所述新节点第一次参加所述会话之后，各节点采用它自己相应的媒体密钥和所述新的主密钥对其媒体流的每个进行加密，并且将它的使用所述新的主密钥所加密的媒体流发送给所述其它节点。

14.如权利要求13所述的系统，其中，所述密钥主控生成所述主密钥和所述新的主密钥。

Images