CN102348203B

CN102348203B - 加密同步实现方法

Info

Publication number: CN102348203B
Application number: CN201010241157.5A
Authority: CN
Inventors: 朱锋; 李瑞林; 陈光杰
Original assignee: Potevio Institute of Technology Co Ltd
Current assignee: Potevio Institute of Technology Co Ltd
Priority date: 2010-07-29
Filing date: 2010-07-29
Publication date: 2014-05-14
Anticipated expiration: 2030-07-29
Also published as: CN102348203A

Abstract

本发明提供了加密同步实现方法，将集群通信系统中原有的全局同步码(SSC)或序列同步码(SNSC)作为同步码进行加密同步，而不是像现有技术中一样为了实现加密同步在业务数据帧中专门增设同步序列码，因此节省了带宽资源。另外，本发明所述方案中，当将SSC作为同步码实现加密同步时，无需用到密钥同步帧，这样，本来发送该帧的位置即可用于发送业务数据帧，从而进一步节省了带宽资源。再有，现有技术中，当发送密钥同步帧时，对应的业务数据帧则需要抛弃或延迟处理，这样无疑会导致通信质量下降，而将SSC作为同步码实现加密同步后，将无需用到密钥同步帧，从而提高了通信质量。

Description

加密同步实现方法

技术领域

本发明涉及集群通信技术，特别涉及由集群通信系统为端到端加密系统提供同步码的加密同步实现方法。

背景技术

现有技术中，为实现集群通信中端到端加密系统的加密同步，通常采用以下方式：1)集群通信系统建立透明业务通道；2)集群通信系统通知端到端加密系统透明业务通道建立成功；3)端到端加密系统在透明业务通道中传输密钥协商信息，建立会话密钥；4)发送方移动终端，即加密方利用会话密钥以及待发送的明文帧的帧序号(如第一帧、第二帧等)对待发送的明文帧进行加密，得到密文帧，发送给接收方移动终端，即解密方；相应地，接收方移动终端根据帧序号以及会话密钥对接收到的密文帧进行解密；5)端到端加密系统通知集群通信系统加密通信结束。

在实际应用中，为确保无线信道加密通信的稳定可靠以及一次一密，通常会建立周期密钥同步机制，即设置一个密钥同步周期，假设密钥同步周期为10，那么则表示每隔10帧更新一次会话密钥，并通过增加的密钥同步帧通知给接收方移动终端。

图1为现有密钥同步帧的增加方式示意图。如图1所示，发送方端到端加密卡通常位于发送方移动终端内，负责完成加密，并在每隔10帧之后，重新生成一个会话密钥(明文帧1～10利用之前的会话密钥进行加密，随后的明文帧则用更新后的会话密钥进行加密)，携带在密钥同步帧中，发送给接收方移动终端，接收方移动终端将利用更新后的会话密钥对在密钥同步帧之后接收到的密文帧进行解密；由于密钥同步帧占用了明文帧11对应的密文帧11的位置，因此需要对明文帧11进行一些特殊的处理，如可将明文帧11直接丢弃，即所谓的“偷帧”，或者，也可将明文帧11延后一帧处理。

上述方式虽然能够实现加密同步，但也存在一定的问题，比如：依据之前的介绍可知，加解密过程均需要用到帧序号信息，而该信息只能靠发送方移动终端和接收方移动终端自己进行统计和记忆，一旦统计错误，比如针对某一密文帧，发送方移动终端统计为第10帧，而由于无线信道干扰和破坏等原因，接收方移动终端统计出的帧序号不为第10帧，则会导致解密错误。

针对上述问题，现有技术中提出以下解决方式，即在每个密文帧和密钥同步帧中均增加一个序列同步码，用以标识各帧的帧序号。图2为现有序列同步码的增加方式示意图，假设密钥同步周期为10，则每个序列同步码占用4bit即可，该序列同步码可以参与加解密运算。图2所示明文帧11的处理方式同样为既可直接丢弃，也可延后一帧处理。但是，这种方式也会存在问题：加密同步由端到端加密系统来完成，而同步信息即序列同步码需要占用业务数据帧(用于传输通信数据的明文帧和密文帧均称为业务数据帧)带宽，这样就会导致可用于通信数据传输的带宽资源减少。

发明内容

有鉴于此，本发明的主要目的在于提供两种加密同步实现方法，能够节省带宽资源。

为达到上述目的，本发明的技术方案是这样实现的：

一种加密同步实现方法，包括：

发送方移动终端将明文帧及其对应的全局同步码SSC发送给发送方端到端加密卡；发送方端到端加密卡利用预先得到的会话密钥和SSC对明文帧进行加密，并将加密后得到的密文帧发送给发送方移动终端；所述SSC由高位码+序列同步码SNSC两部分组成；

发送方移动终端将密文帧及其对应的SNSC发送给发送方无线基站；发送方无线基站确定接收到的SNSC对应的SSC，将密文帧和确定出的SSC通过核心网发送给接收方无线基站；接收方无线基站将密文帧及其对应的SNSC发送给接收方移动终端；

接收方移动终端确定接收到的SNSC对应的SSC，并将密文帧和确定出的SSC发送给接收方端到端加密卡，接收方端到端加密卡根据预先得到的会话密钥和SSC对密文帧进行解密。

一种加密同步实现方法，包括：

发送方移动终端将明文帧及其对应的序列同步码SNSC发送给发送方端到端加密卡；发送方端到端加密卡利用预先得到的会话密钥和SNSC对明文帧进行加密，并将加密后得到的密文帧发送给发送方移动终端；

发送方移动终端将密文帧及其对应的SNSC发送给发送方无线基站；发送方无线基站将密文帧及其对应的SNSC通过核心网发送给接收方无线基站；接收方无线基站将密文帧及其对应的SNSC发送给接收方移动终端；

接收方移动终端将密文帧及其对应的SNSC发送给接收方端到端加密卡，接收方端到端加密卡根据预先得到的会话密钥和SNSC对密文帧进行解密。

可见，采用本发明的技术方案，将集群通信系统中原有的SSC或SNSC作为同步码进行加密同步，而不是像现有技术中一样为了实现加密同步在业务数据帧中专门增设同步序列码，因此节省了带宽资源。另外，本发明所述方案中，当将SSC作为同步码实现加密同步时，无需用到密钥同步帧，这样，本来发送该帧的位置即可用于发送业务数据帧，从而进一步节省了带宽资源。再有，现有技术中，当发送密钥同步帧时，对应的业务数据帧则需要抛弃或延迟处理，这样无疑会导致通信质量下降，而将SSC作为同步码实现加密同步后，将无需用到密钥同步帧，从而提高了通信质量。

附图说明

图1为现有密钥同步帧的增加方式示意图。

图2为现有序列同步码的增加方式示意图。

图3为现有集群通信系统与端到端加密系统的组成结构示意图。

图4为现有集群通信系统中的同步码应用方式示意图。

图5为本发明集群通信系统为端到端加密系统提供同步码的示意图。

图6为本发明加密同步实现方法第一实施例的流程图。

图7为本发明加密同步实现方法第二实施例的流程图。

图8为本发明方法实施例中SSC的应用方式示意图。

图9为本发明方法实施例中SNSC的应用方式示意图。

图10为现有LTE用户面协议栈示意图。

图11为基于LTE技术的集群通信系统与端到端加密系统的组成结构示意图。

图12为本发明加密同步实现方法第一较佳实施例的流程图。

图13为本发明加密同步实现方法第二较佳实施例的流程图。

具体实施方式

针对现有技术中存在的问题，本发明中提出一种全新的加密同步实现方法，即由集群通信系统来为端到端加密系统提供同步码，包括全局同步码(SSC，System synchronous Code)和序列同步码(SNSC，Sequence Numbersynchronous Code)，该同步码由集群通信系统进行维护，不需要占用额外的带宽，从而节省了带宽资源。

图3为现有集群通信系统与端到端加密系统的组成结构示意图。如图3所示，其中的端到端加密卡1、端到端加密卡2和密钥管理中心(用于进行与密钥相关的处理)组成端到端加密系统，移动终端1、移动终端2、无线基站1、无线基站2和核心网组成集群通信系统；另外，端到端加密卡与移动终端之间通过专用接口进行连接，核心网与无线基站之间采用IP连接，无线基站和移动终端之间采用空口连接，具体来说，移动终端1和无线基站1相连接，移动终端2和无线基站2相连接，核心网负责调度无线基站和1和无线基站2，密钥管理中心可以是一个移动终端，也可以是一个与核心网直接相连的设备。

在集群通信系统中，SSC为空口业务数据帧传输固有的同步帧号，由高位码+SNSC两部分组成，高位码的长度比SNSC的长度要长，因为SNSC要与业务数据帧一起通过空口传输。

图4为现有集群通信系统中的同步码应用方式示意图。如图4所示，SNSC随业务数据帧经空口传送到无线基站，SSC由移动终端和无线基站进行维护，无需随业务数据帧进行传送，但因为SSC由高位码和SNSC两部分组成，而按照协商好的某种规则，每个业务数据帧对应的高位码移动终端和无线基站都是已知的，所以得到SNSC，也就等于得到SSC；每发送一个业务数据帧，SNSC则增加1，SNSC溢出后置0，高位码加1，SSC的初始化由通信系统维护，保证移动终端和无线基站之间同步。另外，核心网不传送任何同步码，也就是说，同步码仅用于移动终端和无线基站之间。

本发明所述方案中，为实现加密同步，可由集群通信系统来为端到端加密系统提供同步码。图5为本发明集群通信系统为端到端加密系统提供同步码的示意图。如图5所示，业务数据帧及其对应的SSC或SNSC一起送入端到端加密卡，核心网接收并传送同步码到无线基站，另外，业务数据帧在网络中传送时均为密文形式。

图6为本发明加密同步实现方法第一实施例的流程图。假设本实施例中采用的同步码为SSC。如图6所示，包括以下步骤：

步骤61：发送方移动终端将明文帧及其对应的SSC发送给发送方端到端加密卡；发送方端到端加密卡利用会话密钥和SSC对明文帧进行加密，并将加密后得到的密文帧发送给发送方移动终端；发送方移动终端将密文帧及其对应的SNSC发送给发送方无线基站。

如何确定不同明文帧对应的SSC和SNSC以及如何获取会话密钥均为现有技术，不再赘述。

步骤62：发送方无线基站确定接收到的SNSC对应的SSC，将密文帧和确定出的SSC通过核心网发送给接收方无线基站；接收方无线基站将密文帧及其对应的SNSC发送给接收方移动终端。

步骤63：接收方移动终端确定接收到的SNSC对应的SSC，并将密文帧和确定出的SSC发送给接收方端到端加密卡；接收方端到端加密卡根据会话密钥和SSC对密文帧进行解密。

由于SSC由高位码和SNSC两部分组成，而高位码对于移动终端来说是已知的，因此接收方移动终端可以确定出接收到的SNSC对应的SSC。

另外，本步骤所述接收方端到端加密卡如何进行解密以及步骤61所述发送方端到端加密卡如何进行加密均为现有技术，不再赘述。

图7为本发明加密同步实现方法第二实施例的流程图。假设本实施例中采用的同步码为SNSC。如图7所示，包括以下步骤：

步骤71：发送方移动终端将明文帧及其对应的SNSC发送给发送方端到端加密卡；发送方端到端加密卡利用会话密钥和SNSC对明文帧进行加密，并将加密后得到的密文帧发送给发送方移动终端；发送方移动终端将密文帧及其对应的SNSC发送给发送方无线基站。

进一步地，发送方端到端加密卡还需要建立周期密钥同步机制，即根据SNSC的长度确定密钥同步周期T，假设SNSC的长度Lbit，则T的取值不能大于2的L次方，这样，每经过T个明文帧之后则需要更新一次会话密钥，即将每T个明文帧之后的第T+1帧作为密钥同步帧，其中携带有更新后的会话密钥，之后的明文帧将利用更新后的会话密钥进行加密。如何更新会话密钥为现有技术，不再赘述。

步骤72：发送方无线基站将密文帧及其对应的SNSC通过核心网发送给接收方无线基站；接收方无线基站将密文帧及其对应的SNSC发送给接收方移动终端。

步骤73：接收方移动终端将密文帧及其对应的SNSC发送给接收方端到端加密卡；接收方端到端加密卡根据会话密钥和SNSC对密文帧进行解密。

进一步地，如果接收方端到端加密卡接收到密钥同步帧，则验证并获取其中携带的更新后的会话密钥，并根据更新后的会话密钥对后续接收到的密文帧进行解密，直到接收到新的密钥同步帧。

另外，如果接收方端到端加密卡确定接收到密文帧的SNSC序号不连续，或密钥同步帧未通过预定的验证，或密钥同步帧接收错误，则确定发生失步，按预定失步方式进行处理，如抛弃随后接收到的密文帧，直到正确接收到下一密钥同步帧，或者，继续正常处理后续接收到的密文帧，具体方式可根据实际需要而定，不作限制。

图8为本发明方法实施例中SSC的应用方式示意图。图9为本发明方法实施例中SNSC的应用方式示意图。具体实现可参照上述介绍，不再赘述。

对于不同的集群通信系统，上述SSC和SNSC可表现为不同的形式。比如，对于基于长期演进(LTE)技术的集群通信系统，所述SSC是指分组数据汇聚协议层(PDCP)协议数据单元(PDU)对应的32bit计数器COUNT，由超帧号(HFN)和序列号(SN)两部分组成，其中SN的长度根据不同业务可以为5、7或12bit，相应地，HFN的长度可为27、25或20bit，SNSC即指SN；HFN由移动终端和无线基站进行维护，SN随数据帧空口传送。

图10为现有LTE用户面协议栈示意图。如图10所示，主要包括物理层(PHY)、媒体接入控制层(MAC)、无线链路控制层(RLC)和PDCP层；PDCP层从应用平面接收服务数据单元(SDU)，提供PDU给RLC层。PDU对应两个计数器，分别为上行计数器和下行计数器，每个方向出现一个PDU，对应的计算器就将加1。

基于LTE技术的集群通信系统通过在LTE架构上增加集群单元来实现。图11为基于LTE技术的集群通信系统与端到端加密系统的组成结构示意图。

基于图11所示系统，可按以下方式实现加密同步：

阶段1：发送方移动终端侧的处理

步骤1：发送方移动终端形成明文帧M_F，该帧以后会通过增加IP报头等形成PDU，对应一个COUNT(上行)，发送方移动终端将M_F和COUNT发送给发送方端到端加密卡。

如果发送方移动终端将M_F和SN发送给发送方端到端加密卡，并假设SN的长度为Lbit，那么则需要建立周期密钥同步机制，密钥同步周期T不大于2的L次方，即每经过T个明文帧之后应更新一次会话密钥，用于下一个周期内的各明文帧的加密。

步骤2：发送方端到端加密卡利用会话密钥和COUNT对M_F进行加密，形成密文帧CM_F，发送给发送方移动终端。

如果采用的同步码为SN，则利用会话密钥和SN对M_F进行加密。

步骤3：发送方移动终端给CM_F增加IP报头等形成数据PDU，对应一个COUNT(上行)，将PDU及其COUNT对应的SN发送给发送方无线基站。

阶段2：发送方无线基站和接收方无线基站侧的处理

步骤1：发送方无线基站接收到PDU(IP报头+CM_F)和SN后，确定SN对应的COUNT(上行)，并将其加在CM_F后面，相应修改IP报头中的数据长度(增加4字节)，然后将“IP报头+CM_F+COUNT”通过S-GW等发送给接收方无线基站。

如果采用的同步码为SN，则传送“IP报头+CM_F+SN”(增加字节数由SN长度确定)。

步骤2：接收方无线基站接收到“IP报头+CM_F+COUNT”或“IP报头+CM_F+SN”后，还原IP报头中的数据长度，恢复原“IP报头+CM_F”。

如接收到的COUNT的HFN与下行COUNT的HFN不一致，则需要与接收方移动终端维护下行COUNT的HFN与上行COUNT的HFN一致。

步骤3：接收方无线基站将PDU(IP报头+CM_F)及其对应的SN发送给接收方移动终端。

阶段3：接收方移动终端侧的处理

步骤1：接收方移动终端利用接收到的SN确定出其对应的COUNT(下行，和上行COUNT是一致的)，并得到CM_F。

步骤2：接收方移动终端将COUNT(下行)和CM_F发送给接收方端到端加密卡，接收方端到端加密卡利用COUNT(下行)和会话密钥对CM_F进行解密，得到M_F。

如果采用的同步码为SN，则利用会话密钥和SN进行解密，另外，如果接收到密钥同步帧，则验证并获取更新后的会话密钥，用于后续解密，如失步，则按之前提到的预定失步方式进行处理。

下面通过两个较佳实施例，对基于图11所示系统实现的加密同步进行进一步地说明。

图12为本发明加密同步实现方法第一较佳实施例的流程图。假设本实施例中采用的同步码为COUNT。如图12所示，包括以下步骤：

步骤121：发送方移动终端形成明文帧M_F，该帧以后会通过增加IP报头等形成PDU，对应一个COUNT(上行)，发送方移动终端将M_F和COUNT(上行)发送给发送方端到端加密卡。

步骤122～123：发送方端到端加密卡利用会话密钥和COUNT(上行)对M_F进行加密，形成密文帧CM_F，发送给发送方移动终端。

步骤124：发送方移动终端给CM_F增加IP报头等形成数据PDU，对应一个COUNT(上行)。

步骤125：发送方移动终端将PDU及其对应的SN发送给发送方无线基站。

步骤126～127：发送方无线基站接收到PDU(IP报头+CM_F)和SN后，确定SN对应的COUNT(上行)，并将其加在CM_F后面，相应修改IP报头中的数据长度(增加4字节)，然后将“IP报头+CM_F+COUNT”通过S-GW等发送给接收方无线基站。

步骤128～129：接收方无线基站接收到“IP报头+CM_F+COUNT”后，还原IP报头中的数据长度，用SN对应一个COUNT(下行)；接收方无线基站将PDU(IP报头+CM_F)及其对应的SN发送给接收方移动终端。

步骤1210：接收方移动终端利用接收到的SN确定出其对应的COUNT(下行)，并得到CM_F。

步骤1211～1213：接收方移动终端将COUNT(下行)和CM_F发送给接收方端到端加密卡；接收方端到端加密卡利用COUNT(下行)和会话密钥对CM_F进行解密，得到M_F；接收方端到端加密卡将得到的M_F发送给接收方移动终端。

图13为本发明加密同步实现方法第二较佳实施例的流程图。假设本实施例中采用的同步码为SN。如图13所示，包括以下步骤：

步骤131：发送方移动终端形成明文帧M_F，该帧以后会通过增加IP报头等形成PDU，对应一个SN，发送方移动终端将M_F和SN发送给发送方端到端加密卡。

另外，假设SN的长度为Lbit，那么还需要建立周期密钥同步机制，密钥同步周期T不大于2的L次方，即每经过T个明文帧之后应更新一次会话密钥，用于下一个周期内的各明文帧的加密。

需要说明的是，按照这种方式建立周期密钥同步机制仅为一种举例说明，如果采用其它方式也是可以的。

步骤132～133：发送方端到端加密卡利用会话密钥和SN对M_F进行加密，形成密文帧CM_F，并将CM_F发送给发送方移动终端。

步骤134～135：发送方移动终端给CM_F增加IP报头等形成数据PDU，将PDU及其对应的SN发送给发送方无线基站。

步骤136～137：发送方无线基站接收到PDU(IP报头+CM_F)和SN后，将SN加在CM_F后面，相应修改IP报头中的数据长度(比如，如果SN的长度为7bit，则增加1字节，如果为12bit，则增加2字节)，然后将“IP报头+CM_F+SN”通过S-GW等发送给接收方无线基站。

步骤138～139：接收方无线基站接收到“IP报头+CM_F+SN”后，还原IP报头中的数据长度(比如，如果SN的长度为7bit，则减少1字节，如果为12bit，则减少2字节)；接收方无线基站将和PDU(IP报头+CM_F)及其对应的SN发送给接收方移动终端。

步骤1310～1311：接收方得到CM_F和SN，并将SN和CM_F发送给接收方端到端加密卡。

步骤1312～1313：接收方端到端加密卡利用SN和会话密钥对CM_F进行解密，得到M_F，发送给接收方移动终端。

如果接收到密钥同步帧，则验证并获取更新后的会话密钥，用于后续解密，如失步，则按之前提到的预定方式进行处理。

至此，即完成了关于本发明所述加密同步实现方法的介绍。需要说明的是，上述仅以单呼为例进行介绍，同样适用于集群组呼，不再赘述。

总之，采用本发明的技术方案，将集群通信系统中原有的SSC或SNSC作为同步码进行加密同步，而不是像现有技术中一样为了实现加密同步在业务数据帧中专门增设同步序列码，从而节省了带宽资源。另外，本发明所述方案中，当将SSC作为同步码实现加密同步时，无需使用到密钥同步帧，这样，本来发送该帧的位置即可用于发送业务数据帧，从而进一步节省了带宽资源。再有，现有技术中，当发送密钥同步帧时，对应的业务数据帧则需要抛弃或延迟处理，这样无疑会导致通信质量下降，而将SSC作为同步码实现加密同步后，将无需用到密钥同步帧，从而提高了通信质量。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种加密同步实现方法，其特征在于，该方法包括：

接收方移动终端将密文帧及其对应的SNSC发送给接收方端到端加密卡，接收方端到端加密卡根据预先得到的会话密钥和SNSC对密文帧进行解密；

该方法进一步包括：

发送方端到端加密卡根据SNSC的长度确定密钥同步周期T，每经过T个明文帧之后即更新一次会话密钥，即将每T个明文帧之后的第T＋1帧作为密钥同步帧，密钥同步帧中包含有更新后的会话密钥信息，该更新后的会话密钥用于随后的明文帧的加密，该密钥同步帧发送给接收方端到端加密卡；

接收方端到端加密卡接收到密钥同步帧后，验证并获取其中携带的更新后的会话密钥，并利用更新后的会话密钥对后续接收到的密文帧进行解密。

2.根据权利要求1所述的方法，其特征在于，所述根据SNSC的长度确定密钥同步周期T包括：

将所述密钥同步周期T的取值设置为小于或等于2的L次方，所述L表示SNSC的长度。

3.根据权利要求1所述的方法，其特征在于，该方法进一步包括：如果所述接收方端到端加密卡确定接收到的密文帧的SNSC序号不连续，或密钥同步帧未通过预定的验证，或密钥同步帧接收错误，则确定发生失步，按预定失步方式进行处理。