CN102420740B - 用于路由协议的密钥管理方法和系统 - Google Patents
用于路由协议的密钥管理方法和系统 Download PDFInfo
- Publication number
- CN102420740B CN102420740B CN201010501334.9A CN201010501334A CN102420740B CN 102420740 B CN102420740 B CN 102420740B CN 201010501334 A CN201010501334 A CN 201010501334A CN 102420740 B CN102420740 B CN 102420740B
- Authority
- CN
- China
- Prior art keywords
- routing protocol
- ikev2
- load
- field
- expansion
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000000034 method Methods 0.000 title claims abstract description 33
- 230000005540 biological transmission Effects 0.000 claims abstract description 17
- 230000000875 corresponding effect Effects 0.000 claims description 41
- 238000007726 management method Methods 0.000 claims description 27
- 230000008569 process Effects 0.000 claims description 19
- 239000000463 material Substances 0.000 claims description 14
- 238000006243 chemical reaction Methods 0.000 claims description 9
- 238000012545 processing Methods 0.000 claims description 8
- 238000000151 deposition Methods 0.000 claims description 5
- 230000002596 correlated effect Effects 0.000 claims description 3
- 230000000694 effects Effects 0.000 abstract description 4
- 238000010586 diagram Methods 0.000 description 8
- 102100033328 Ankyrin repeat domain-containing protein 42 Human genes 0.000 description 7
- 101000732369 Homo sapiens Ankyrin repeat domain-containing protein 42 Proteins 0.000 description 7
- 238000004364 calculation method Methods 0.000 description 5
- 230000007246 mechanism Effects 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 4
- 230000004044 response Effects 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 238000013461 design Methods 0.000 description 3
- 230000014759 maintenance of location Effects 0.000 description 3
- 230000008859 change Effects 0.000 description 2
- 238000005111 flow chemistry technique Methods 0.000 description 2
- 239000003999 initiator Substances 0.000 description 2
- 101100148729 Caenorhabditis elegans sar-1 gene Proteins 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000000205 computational method Methods 0.000 description 1
- 239000012141 concentrate Substances 0.000 description 1
- 230000006378 damage Effects 0.000 description 1
- 230000003247 decreasing effect Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 238000011084 recovery Methods 0.000 description 1
- 239000007787 solid Substances 0.000 description 1
- 238000003860 storage Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/164—Implementing security features at a particular protocol layer at the network layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种用于路由协议的密钥管理方法和系统，其中，该方法包括：扩展互联网密钥交换协议第二版IKEv2；使用扩展后的上述IKEv2协商生成用于路由协议的安全联盟SA；使用生成的上述SA对路由协议进行密钥管理，并对基于上述路由协议的路由消息的传输实施保护。本发明解决了现有技术中用于路由协议的SA的协商方法导致的效率和正确性较低的问题，达到了路由消息的传送更为安全可靠的效果。
Description
技术领域
本发明涉及通信网络中的路由安全技术，具体而言，涉及一种用于路由协议的密钥管理方法和系统。
背景技术
路由器是现代IP网路最重要和核心的组成设备，为数据包的传输提供路由信息。路由器依靠在其上运行的路由协议进行路由信息的收集并计算和管理最佳路由。由于路由信息在网络中是明文传播的，伪造和篡改路由消息包非常容易。如果路由器接受这种路由消息包，将产生错误的路由，导致部分或全部网络数据包无法到达指定目的地或接收者，数据业务无法正常进行。因此，需要对路由消息进行完整性保护。
目前绝大部分的路由协议都提供完整性保护机制，而实施该机制需要一套密钥材料，被称之为安全联盟(SA)，对于路由协议而言，主要包括完整性算法和密钥。当前主要使用的路由协议都没有提供SA的协商机制，而是靠被称之为管理员(administrator)的人进行手动配置和更新。人手动配置和更新存在的问题是，一方面不可靠、容易出错，另一方面速度慢，不适用于现代大规模网络。随着攻击者计算能力的提高和攻击技术的层出不穷，网络遭受攻击和破坏的概率和频率也越来越高，而业务价值快速增长的现代网络为此付出的代价也越来越大，因此，网络运营者一方面要预防网络攻击和破坏，另一方面在网络遭受攻击和破坏的情况下要快速恢复和修复，这就需要为路由器及路由协议提供自动密钥管理的功能，实现密钥材料的自动配置、更新和协商，也即实现路由安全的密钥管理协议(KMP)。
可见，根据现有的技术，无法通过由系统自动实现路由协议的SA的协商和生成，从而降低了配置SA时的效率和正确性。
发明内容
针对现有技术中用于路由协议的SA的协商方法导致的效率和正确性较低的问题而提出本发明，为此，本发明的主要目的在于提供一种用于路由协议的密钥管理方法和系统，以解决上述问题至少之一。
为了实现上述目的，根据本发明的一个方面，提供了一种用于路由协议的密钥管理方法，其包括：扩展互联网密钥交换协议第二版IKEv2；使用扩展后的上述IKEv2协商生成用于路由协议的安全联盟SA；使用生成的上述SA对路由协议进行密钥管理，并对基于上述路由协议的路由消息的传输实施保护。
进一步地，上述扩展互联网密钥交换协议第二版IKEv2的步骤包括以下之一：在上述IKEv2的原有SA载荷中增加与路由协议相关的字段；或者在上述IKEv2中增加用于路由协议的SA载荷，其中，上述用于路由协议的SA载荷中携带与路由协议相关的字段。
进一步地，在上述IKEv2的原有SA载荷中增加与路由协议相关的字段包括：在上述原有SA载荷中的提议子结构ProposalSubstructure中增加用于路由协议的协议标识符字段和密钥标识符字段；在上述原有SA载荷中的变换子结构Transform Substructure中增加用于路由协议的变换类型字段、变换标识符字段；在上述变换子结构Transform Substructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。
进一步地，上述扩展互联网密钥交换协议第二版IKEv2的步骤还包括：在上述IKEv2中增加用于路由协议的交换类型，其中，上述交换类型用于指示在上述交换类型对应的交换中使用增加了与路由协议相关的字段的上述原有SA载荷。
进一步地，在上述IKEv2中增加用于路由协议的SA载荷包括：构建与上述原有SA载荷的结构相同的SA载荷；在上述构建的SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的SA的生存时间字段以及上述生存时间长度字段；在上述构建的SA载荷中的提议子结构Proposal Substructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。
进一步地，上述扩展互联网密钥交换协议第二版IKEv2的步骤还包括：在上述IKEv2中增加用于路由协议的交换类型，其中，上述交换类型用于指示在上述交换类型对应的交换中使用上述增加的用于路由协议的SA载荷。
进一步地，使用扩展后的上述IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：使用上述IKEv2协商生成用于建立安全通道的SA；使用生成的SA建立安全通道；在上述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。
进一步地，使用扩展后的上述IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：第一路由器将其支持的一组或多组上述与路由协议相关的字段中的每一组填入到上述扩展后的IKEv2中对应的字段中；上述第一路由器通过上述扩展后的IKEv2将上述一组或多组上述与路由协议相关的字段发送给与上述第一路由器对等的第二路由器；上述第二路由器从上述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，并通过上述扩展后的IKEv2发送给上述第一路由器；上述第一路由器与上述第二路由器将上述选择的一组与路由协议相关的字段构建成用于上述第一路由器与上述第二路由器之间通信使用的路由协议的SA。
为了实现上述目的，根据本发明的另一方面，提供了一种用于路由协议的密钥管理系统，其包括：扩展单元，用于扩展互联网密钥交换协议第二版IKEv2；协商单元，用于使用扩展后的上述IKEv2协商生成用于路由协议的安全联盟SA；处理单元，用于使用生成的上述SA对路由协议进行密钥管理，并对基于上述路由协议的路由消息的传输实施保护。
进一步地，上述扩展单元包括：第一扩展模块，用于在上述IKEv2的原有SA载荷中增加与路由协议相关的字段；第二扩展模块，用于在上述IKEv2中增加用于路由协议的SA载荷，其中，上述用于路由协议的SA载荷中携带与路由协议相关的字段。
进一步地，上述第一扩展模块包括：第一处理子模块，用于在上述原有SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的协议标识符字段和密钥标识符字段；第二处理子模块，用于在上述原有SA载荷中的变换子结构Transform Substructure中增加用于路由协议的变换类型字段、变换标识符字段；第三处理子模块，用于在上述变换子结构Transform Substructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。
进一步地，上述第二扩展模块包括：构建子模块，用于构建与上述原有SA载荷的结构相同的SA载荷；第三处理子模块，用于在上述构建的SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的SA的生存时间字段以及上述生存时间长度字段；第四处理子模块，用于在上述构建的SA载荷中的提议子结构Proposal Substructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。
进一步地，上述扩展单元包括：第三扩展模块，用于在上述IKEv2中增加用于路由协议的交换类型，其中，上述交换类型用于指示在上述交换类型对应的交换中使用上述增加了与路由协议相关的字段的IKEv2的原有SA载荷，或者，使用上述增加的用于路由协议的SA载荷。
进一步地，上述协商单元包括：第一协商模块，用于使用上述IKEv2协商生成用于建立安全通道的SA；建立模块，用于使用生成的SA建立安全通道；第二协商模块，用于在上述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。
进一步地，上述协商单元包括：位于第一路由器上的第三协商模块以及位于与上述第一路由器对等的第二路由器上的第四协商模块，其中，上述第三协商模块，用于将上述第一路由器支持的一组或多组上述与路由协议相关的字段中的每一组填入到上述扩展后的IKEv2中对应的字段中，通过上述扩展后的IKEv2将上述一组或多组上述与路由协议相关的字段发送给与上述第四协商模块，并将由上述第四协商模块选择的一组与路由协议相关的字段构建成用于上述第一路由器与上述第二路由器之间通信使用的路由协议的SA；上述第四协商模块，用于从上述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，通过上述扩展后的IKEv2发送给上述第三协商模块，并将上述选择的一组与路由协议相关的字段构建成用于上述第一路由器与上述第二路由器之间通信使用的路由协议的SA。
为了实现上述目的，根据本发明的又一方面，提供了另一种用于路由协议的密钥管理系统，其包括：彼此两两相连的KMP单元、路由协议单元和密钥库单元，其中，上述KMP单元，用于对互联网密钥交换第二版IKEv2进行扩展，并使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA；上述路由协议单元，用于为运行的路由协议与上述KMP单元、上述密钥库单元提供交互和接口功能；上述密钥库单元，用于存储上述KMP单元和上述路由协议单元使用的密钥材料。
进一步地，上述KMP单元包括：SA生成模块、SA使用策略模块和SA库模块，其中，上述SA生成模块，用于根据上述SA使用策略模块的指令调用上述扩展后的IKEv2来协商生成用于路由协议的SA；上述SA库模块，用于存放并管理由上述SA生成模块协商生成的SA；上述SA使用策略模块，用于通过指令指导上述SA生成模块协商生成SA，并通过指令指导上述SA库模块对SA的存取。
进一步地，上述SA生成模块包括：第一扩展子模块，用于在上述IKEv2的原有SA载荷中增加与路由协议相关的字段；第二扩展子模块，用于在上述IKEv2中增加用于路由协议的SA载荷，其中，上述用于路由协议的SA载荷中携带与路由协议相关的字段。
进一步地，上述SA生成模块还包括：第三扩展模块，用于在上述IKEv2中增加用于路由协议的交换类型，其中，上述交换类型用于指示在上述交换类型对应的交换中使用上述增加了与路由协议相关的字段的IKEv2的原有SA载荷，或者，使用上述增加的用于路由协议的SA载荷。
通过本发明，采用扩展后的IKEv2来协商生成用于路由协议的SA，解决了现有技术中用于路由协议的SA的协商方法导致的效率和正确性较低的问题，进而达到了路由消息的传送更为安全可靠的效果。
本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1是根据本发明实施例的用于路由协议的密钥管理系统的一种优选示意图；
图2是图1所示的系统中的KMP单元的结构示意图；
图3是图1所示的KMP单元的数据处理流程示意图；
图4是根据本发明实施例的用于路由协议的密钥管理方法的一种优选流程图；
图5是根据本发明实施例的IKEv2中的SA载荷及其子结构相关字段的示意图；
图6是根据本发明实施例的对IKEv2中的SA载荷及其子结构相关字段的扩展的示意图；
图7是根据本发明实施例的基于IKEv2的SA载荷扩展的两个KMP对等体的OSPFv2 SA协商流程示意图；
图8是根据本发明实施例的基于IKEv2的载荷类型扩展的新增载荷及其子结构示意图；
图9是根据本发明实施例的基于IKEv2的交换类型扩展的新增交换SA协商流程示意图；
图10是根据本发明实施例的用于路由协议的密钥管理系统的另一种优选示意图。
具体实施方式
下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
在描述本发明实施例之前，首先对本发明使用到的KMP以及IKEv2进行描述。
按照设计方式，针对路由安全的KMP分为带内(in-band)和带外(out-band)两种。In-band KMP使用路由协议本身的消息包来管理和分发密钥材料，通过修改路由消息包的某些字段，或者扩展保留字段等手段来装载密钥材料。另一方面，Out-band KMP是以独立于路由协议之外的一个功能模块或一套软件或一个实体的方式为路由协议提供密钥管理，其优点是其规模与功能的可扩展性好，可操作性强，无需改动现有的路由协议，是被业界认可的技术发展方向和趋势。目前存在针对IP层或以上的传输层和应用层的数据安全通信的KMP方法，比如下面将要描述的互联网密钥交换第二版(IKEv2)。
IKEv2是为互联网协议第六版(IPv6)IP层的数据安全传输机制(IPsec)提供SA协商的协议。该协议也支持互联网协议第四版(IPv4)。IKEv2的SA协商过程前后总共可涉及四类交换，即IKE_SA_INIT交换、IKE_AUTH交换、CREATE_CHILD_SA交换和INFORMATIONAL交换，其中前两类交换合称为初始交换(InitialExchange)。IKEv2中的交换(Exchange)由一个请求(request)和一个响应(response)组成，发生在两个网络对等体(peer)之间，其中发起请求的peer称为发起者(Initiator，通常用i表示)，回应的peer称为回应者(Responder，通常用r表示)。
IKE_SA_INIT交换协商密码算法(crytographic algorithms)、交换随机数(nonces)、进行Diffie-Hellman(D-H)交换，为两个peer协商安全参数以生成IKE_SA，为其后的交换提供安全通道。
IKE_AUTH交换是在IKE_SA的保护下进行的，对peer身份进行认证，并协商生成第一个CHILD_SA，为IPsec的封装安全载荷(ESP)或/和认证头(AH)提供SA。
CREATE_CHILD_SA交换生成其他的CHILD_SA，一个CREATE_CHILD_SA生成一个CHILD_SA，这个生成的CHILD_SA可用来更新上述交换生成的IKE_SA或第一个CHILD_SA，也可以是全新的CHILD_SA，供给ESP或/和AH使用。
INFORMATIONAL交换用作传输控制信息，包括报错和事件通知。INFORMATIONAL交换只能发生在Initial Exchange之后，并在已经协商出来的密钥保护下进行。一个INFORMATIONAL交换消息包含零到多个通知、删除(指对SA进行删除)和配置(指在peer之间交换配置信息)载荷。包含零个载荷的request和response消息用作确认peer的生死情况。
IKEv2在IP层为IPsec的ESP和AH协议提供了很好的SA协商机制，但是并没有针对其他协议比如路由协议提供SA的协商和生成。路由协议的SA与ESP和AH的SA内容不同，前者主要包括key ID、认证算法(Authentication Algorithm)、认证密钥(Authentication Key)、生存时间(Life Time)和序列号(SequenceNumber)等。
由于传统的IKEv2无法直接用来协商生成用于路由协议的SA，因此本发明对IKEv2进行了扩展，从而能够使用扩展后的IKEv2来协商生成用于路由协议的SA。
实施例1
如图1所示，本实施例提供了一种用于路由协议的密钥管理系统，优选的，该系统是基于IKEv2扩展的路由协议SA的带外KMP的软件或软硬件结合的系统。该系统具体包括：
1)KMP单元102，用于管理路由协议的SA，为路由协议单元104提供SA的协商生成和使用指导。具体的，KMP单元102用于对互联网密钥交换第二版IKEv2进行扩展，并使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。
优选的，所述KMP单元102包括SA生成模块202、SA库模块204和SA使用策略模块206，其中，SA生成模块202、SA库模块204和SA使用策略模块206彼此连接，具体连接关系如图2所示。
所述SA生成模块202用于根据SA使用策略模块206的指导调用扩展的IKEv2来协商生成用于路由协议的SA，其中，协商生成用于路由协议的SA的具体步骤将在以下的说明书中进行详细的描述。
所述SA库模块204用于存放并管理由SA生成模块202协商生成的SA。
所述SA使用策略模块206用于SA使用策略的设定并实施，以指导SA生成模块202协商生成SA，并指导SA库模块204对SA的存取等。
可选地，除了上述功能模块划分方式之外，上述KMP单元的功能划分还可以有其他多种方式，可以理解的是，其他划分方式或不划分也在本发明的保护范围之内。
2)路由协议单元104，用于为运行的各种路由协议与KMP单元102、密钥库单元106提供交互和接口功能；
3)密钥库单元106，用于为KMP单元102和路由协议单元104存放所使用的各种密钥材料，优选的，这些密钥材料包括各种密码算法和认证材料等；
优选的，本实施例中的系统还可以包括手动配置单元108，用于为管理员手动配置密钥库单元提供接口功能，从而使得本发明可以支持手动配置。
优选的，如图3所示，图1中的KMP单元的数据处理流程是基于相邻链路数和每条相邻链路的接口数，采用循环处理的方式，可以包括但不限于以下步骤：
步骤S302：调用相应的检测程序，KMP单元确定与所驻存的路由器相邻的链路数N和每条相邻链路上的接口数目M；
步骤S304：与每条相邻链路的KMP对等体(KMP Peer)协商该链路的IKE_SA，无论协商成功与否，当处理完一条相邻链路时，N值减1；
步骤S306：如果链路IKE_SA协商不成功，并且还没有穷尽(即，N≠0)，则返回步骤S304进行下一条链路的IKE_SA的协商；如果链路IKE_SA协商成功，或者链路已经穷尽(即，N＝0)，则转至步骤S308；
步骤S308：在步骤S304建立起来的IKE_SA安全通道上，与KMP对等体为该链路上运行路由协议的接口协商路由协议所需的SA，无论协商成功与否，当处理完一个接口时，M值减1；
步骤S310：如果接口路由协议SA协商不成功，并且还没有穷尽(即，M≠0)，则返回步骤S308进行下一个接口的路由协议SA的协商；如果接口路由协议SA协商成功，或者接口已经穷尽(即，M＝0)，则转至下一个步骤S312；
步骤S312：如果链路还没有穷尽(即，N≠0)，则返回步骤S304；否则结束。
可选地，根据SA的使用策略周期性地或基于事件触发式地进行流程处理，如果是基于接口事件触发式地进行流程处理，则上述数据流程改为至少包含步骤S304和S308。
在本实施例中，系统的KMP单元与路由协议单元、密钥库单元、手动配置单元互动，从而完成对不同路由协议的不同SA的协商生成和存取。
实施例2
图4是根据本发明实施例的用于路由协议的密钥管理方法的一种优选流程图，其包括如下步骤：
S402，扩展互联网密钥交换协议第二版IKEv2；
S404，使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA；
S406，使用生成的SA对所述路由协议进行密钥管理，并对基于所述路由协议的路由消息的传输实施保护。
通过本实施例，采用扩展后的IKEv2来协商生成用于路由协议的SA，解决了现有技术中用于路由协议的SA的协商方法导致的效率和正确性较低的问题，进而达到了路由消息的传送更为安全可靠的效果。
优选的，对互联网密钥交换协议第二版IKEv2进行扩展的步骤包括以下之一：在所述IKEv2的原有SA载荷中增加与路由协议相关的字段；或者在所述IKEv2中增加用于路由协议的SA载荷，其中，所述用于路由协议的SA载荷中携带与路由协议相关的字段。通过本优选实施例中提到的两种扩展方式，可以灵活地对IKEv2进行扩展，以便可以实现用于路由协议的SA的协商。
优选的，在所述IKEv2的原有SA载荷中增加与路由协议相关的字段包括：在所述原有SA载荷中的提议子结构ProposalSubstructure中增加用于路由协议的协议标识符字段和密钥标识符字段；在所述原有SA载荷中的变换子结构Transform Substructure中增加用于路由协议的变换类型字段、变换标识符字段；在所述变换子结构Transform Substructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。通过本优选实施例中提到的在原有SA载荷的基础上进行扩展的方式，可以降低扩展所对应的复杂度，便于实现本发明实施例。
优选的，所述对互联网密钥交换协议第二版IKEv2进行扩展的步骤还包括：在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用增加了与路由协议相关的字段的所述原有SA载荷。通过本优选实施例中特定为用于路由协议的SA增加的交换类型，使得SA协商的双方可以更容易进行SA的协商，提高了协商的效率。
优选的，在所述IKEv2中增加用于路由协议的SA载荷包括：构建与所述原有SA载荷的结构相同的SA载荷；在所述构建的SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的SA的生存时间字段以及所述生存时间长度字段；在所述构建的SA载荷中的提议子结构Proposal Substructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。通过本优选实施例中提到的新增SA的扩展方式，可以更好的便于SA协商的双方进行识别，提高了协商的效率。
优选的，所述对互联网密钥交换协议第二版IKEv2进行扩展的步骤还包括：在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用所述增加的用于路由协议的SA载荷。通过本优选实施例中特定为用于路由协议的SA增加的交换类型，使得SA协商的双方可以更容易进行SA的协商，提高了协商的效率。
优选的，在上述各个优选实施例的基础上，使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：使用IKEv2协商生成用于建立安全通道的SA；使用生成的SA建立安全通道；在所述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。通过本优选实施例中提到的安全通道，可以进一步保证协商用于路由协议的SA时的安全性。
优选的，在上述各个优选实施例的基础上，使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：第一路由器将其支持的一组或多组所述与路由协议相关的字段中的每一组填入到所述扩展后的IKEv2中对应的字段中；所述第一路由器通过所述扩展后的IKEv2将所述一组或多组所述与路由协议相关的字段发送给与所述第一路由器对等的第二路由器；所述第二路由器从所述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，并通过所述扩展后的IKEv2发送给所述第一路由器；所述第一路由器与所述第二路由器将所述选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA。通过本优选实施例中提到的SA协商过程，可以有效的完成用于路由协议的SA的协商。
优选的，在上述各个优选实施例的基础上，使用生成的SA对基于所述路由协议进行密钥管理和对路由消息的传输实施保护的步骤包括：作为发送方的路由协议使用生成的SA更新路由协议的密钥材料，对将要发送的路由消息进行认证码计算和填充；作为接收方的路由协议使用生成的SA更新路由协议的密钥材料，对接收到的路由消息进行完整性认证。
本发明提出来以下几种方案来具体实现使用扩展后的IKEv2协商生成用于路由协议的SA，这些方案可以应用到实施例1的系统和实施例2的方法中。
方案一：对于IKEv2中原有的用于SA的字段进行扩展
图5是根据本发明实施例的IKEv2中的SA载荷及其子结构相关字段的示意图。如图5所示，IKEv2中的SA载荷包括通用载荷头部(Generic Payload Header)和提议子结构(Proposal Substructure)，其中，提议子结构包括变换子结构(Transform Substructure)，而变换子结构包括Transform Attributes(变换属性)。
对于IKEv2中原有的用于SA的字段进行扩展具体包括如下操作：
1)扩展IKEv2中原有的SA载荷(SA Payload)中的提议子结构(Proposal Substructure)中的Protocol ID(提议标识符)字段和SPISize(安全参数索引长度)字段，将路由协议包含进去；
2)扩展提议子结构中的变换子结构(Transform Substructure)中的Transform Type(变换类型)字段及其Transform ID(变换标识符)字段，使之可用于路由协议用；
3)扩展变换子结构中的Transform Attributes(变换属性)的Attribute Type(属性类型)字段，使之可以装载路由协议SA所需的密钥长度和SA的生存时间参数。
具体的，如图6所示，对IKEv2的SA载荷的ProposalSubstructure的Protocol ID字段和SPI Size字段、TransformSubstructure的Transform Type字段的3型和Transform Attributes的Attribute Type字段，进行了扩展，以提供路由协议SA所需的key ID、Authentication Algorithm、Authentication Key和Life Time等内容，所述的Protocol ID字段扩展包含路由协议，所述的SPI Size字段扩展包含Key ID的长度，所述的Transform Type字段扩展包含其可以使用于路由协议中，所述的Transform ID字段的扩展包含路由协议使用的Authentication Algorithm，所述的Attribute Type字段扩展包含路由协议SA所需的密钥长度和的生存时间参数，所述的扩展字段所扩展的定义所对应的ID值的分配可以是一种或多种的组合。
方案二：为路由协议安全联盟增加新的payload
在本实施例中，为路由协议安全联盟增加新的payload，标记为SARP，即Security Association for Routing Protocol；SARP载荷的结构与IKEv2的原SA载荷相似，不同的是，在Proposal子结构增加了Length of Life Time(生存时间长度)字段及其装载具体参数的Life Time字段，用Length of Key ID字段取代SPI Size字段，相应的Key ID字段取代SPI(variable)字段。
方案三：为路由协议安全联盟的协商增加新的交换类型(Exchange Type)
在本实施例中，为路由协议安全联盟的协商增加新的交换类型(Exchange Type)，标记为IKE_RP_AUTH，在该交换中，可以使用上述方案一中的扩展SA载荷，也可以使用上述方案二中新增加的SARP载荷，以完成路由协议SA的协商。
为便于对本发明实施例的理解，下面将结合附图对本发明实施例所提供的使用扩展的IKEv2来协商用于路由协议的SA的方案进行详细说明。
实施例3
如图6所示，本实施例通过在IKEv2的原有SA载荷中增加与路由协议相关的字段来实现用于路由协议的SA的协商。其中，对IKEv2的原有SA载荷进行扩展(为了和原SA载荷区别，扩展后的SA载荷用SAe表示，但是并不是新增的载荷类型)包括但不限于以下步骤：
(1)扩展SA载荷(Payload)中的Proposal子结构(Substructure)中的Protocol ID字段和SPI Size字段，其中，Protocol ID字段增加路由协议比如RIPv2(Routing Information Protocol version 2，对应于IANA值4)、OSPFv2(Open Shortest Path First version 2，对应于IANA值5)、ISIS(Intermediate System-to-Intermediate System，对应于IANA值6)等的定义，每种路由协议对应于一个IANA保留值(取值范围是4到200)，其中，SPI映射为路由协议的SA的Key ID字段，由于路由协议的Key ID长度不同，因此对SPI Size字段进行扩展，将RIPv2，OSPFv2，ISIS等路由协议包含进去；
(2)扩展Proposal子结构中的Transform子结构中的TransformType字段的3型Integrity Algorithm(INEG)的Transform ID字段，其中扩展Transform Type字段的3型Integrity Algorithm(INEG)，使之不但用于IKE、AH和ESP，还用于路由协议(Routing Protocols)，比如RIPv2和OSPFv2，其中，Transform ID字段增加了用于路由协议的认证算法的定义，比如AUTH_HMAC_SHA_224(对应于IANA值7)、AUTH_HMAC_SHA_256(对应于IANA值8)、AUTH_HMAC_SHA_384(对应于IANA值9)、AUTH_HMAC_SHA_512(对应于IANA值10)等，每个定义对应于一个IANA保留值(取值范围是6到1023)；
(3)扩展Transform子结构中的Transform Attributes的AttributeType字段，其中Transform Attributes用于存放路由协议SA用到的密钥长度(该密钥用于认证算法)和SA的生存时间参数，以三元组TLV的Type/Length/Value格式或二元组TV的Type/Value格式表示，具体包括：
(a)扩展Attribute Type字段的14型Key Length(in bits)，将其应用范围从加密算法(Encryption Algorithm)扩大至包含认证算法，如果认证算法的密钥长度是固定的(也即是，认证算法的密钥长度是和算法捆绑的，存在一一对应关系)，那么TransformAttributes可省略，如果认证算法的密钥长度需要协商，则使用经过扩展的14型Key Length(in bits)，采用二元组TV格式；
(b)关于认证算法的密钥(Authentication Key)的协商，两个KMP Peer通过KE载荷相互交换随机数(应用Diffie-Hellman交换，简称D-H算法)并计算生成双方共享的Authentication Key；
(c)关于SA的生存时间参数，通过对Attribute Type字段的扩展来实现，增加该字段对Start Time(对应于IANA值18)、StopTime(对应于IANA值19)、Key Start Accept(对应于IANA值20)、Key Start Generate(对应于IANA值21)、Key Stop Generate(对应于IANA值22)和Key Stop Accept(对应于IANA值23)等的定义，每个定义对应于一个IANA保留值(取值范围是18到16383)，而每个定义的长度和取值分别由Attribute Length和Attribute Value字段表示。
以下描述具体的用于路由协议的SA的协商过程。
如图7所示，本发明实施例为在网络类型为点到点(Point-to-point)、非广播多点传送(Nonbroadcast Multiaccess，NBMA)、点到多点(Point-to-multipoint)以及虚拟链路(Virtual links)下运行的路由协议OSPFv2提供基于IKEv2扩展的SA协商的实现方案。
OSPFv2采用RFC 5709建议的完整性认证方式(对应于AuType＝2，即Cryptographic authentication)，采用假设的具体数据作为例子，需要协商的SA的内容包括但不限于：
(1)Key ID：长度为8bits(1 octet)，本例子中假设的Key ID见下面的内容2；
(2)Authentication Algorithm：本例子中假设Initiator提供可选用的有AUTH_HMAC_SHA_256(对应Key ID为1)、AUTH_HMAC_SHA_384(对应Key ID为2)、AUTH_HMAC_SHA_512(对应Key ID为3)，而Responder选择采用AUTH_HMAC_SHA_256(对应Key ID为1)；
(3)Authentication Key：本例子中假设双方采用交换的随机数nonce和路由协议已经配置的统一的Pre-shared Key作为输入，经D-H算法计算得到，本例子中假设路由器采用的身份认证方式为Pre-shared Key，一般是在开局前由administrator统一手动配置的；
(4)Cryptographic sequence number：32位长的不递减的无符号数，取决于路由协议在生成消息包时采用的具体实现算法，不是由本发明所提供的方法协商得到；
(5)Key Start Accept：路由器开始接受由协商出来的Key ID(即Authentication Algorithm和Authentication Key)所生成的消息包的时间，本例子中使用以日即24小时为单位的循环计时时间，假设为6时；
(6)Key Start Generate：路由器开始使用协商出来的Key ID生成消息包的时间，本例子中使用以日即24小时为单位的循环计时时间，假设为8时；
(7)Key Stop Generate：路由器停止使用协商出来的Key ID生成消息包的时间，本例子中使用以日即24小时为单位的循环计时时间，假设为20时；
(8)Key Stop Accept：路由器停止接受由协商出来的Key ID所生成的消息包的时间，本例子中使用以日即24小时为单位的循环计时时间，假设为23时。
OSPFv2有五种消息类型：Hello，Database Description，LinkState Request，Link State Update，Link State Acknowl edgment。本例子假设采用的SA使用策略是：每个OSPFv2接口上的五种消息类型使用同一个SA。
图7所示是协商某个接口上的一个SA的具体流程，分为两个阶段，第一阶段的SA协商产生IKE_SA，用于保护随后的协商通道，第二阶段产生的CHILD_SA用于为路由协议提供其SA所需的KeyID，Authentication Algorithm和Life Time等，而Authentication Key则由D-H交换算法产生。交换的具体内容如下表1所示：
表1
消息载荷中的内容都是来自IKEv2的定义，其中HDR是IKE头部，SAi1是发起者的第一个SA载荷，而SAei2则表示发起者的第二个SA载荷，是经过本实施例扩展的；KEi是发起者的密钥交换(即D-H交换)载荷；Ni是发起者生成的随机数载荷；相应地，SAr1、KEr、Nr依次表示响应者回应的第一个SA载荷、响应者的密钥交换(即D-H交换)载荷和响应者生成的随机数载荷，SAer2表示响应者回应的第二个SA载荷，是经过本实施例扩展的；IDi和IDr分别表示发起者和响应者的身份载荷，TSi和TSr分别表示发起者和响应者的流选择子(traffic selector)载荷；AUTH表示认证载荷，由IKEv2定规的计算方法得到；CERTREQ表示证书请求载荷；[]方括号表示括号内的载荷是可选的，不是必需的；SK{}表示花括号中的载荷都是使用该方向(图7中箭头所指)的SA进行加密和完整性保护的。
其中，本次OSPFv2所协商的SA包含在步骤S704和S706的SA载荷中，主要内容如下表2所示：
表2
其中，KEYMAT表示密钥材料，{6，8，20，23}表示SA生存期的四个参数取值。
实施例4
如图8所示，本实施例通过在IKEv2中增加新的用于路由协议的SA载荷来实现用于路由协议的SA的协商。
具体的，为路由协议SA增加新的载荷，标记为SARP，即Security Association for Routing Protocol，其在Next Payload Type的取值可从RESERVED TO IANA的49-127中选取任一个，优选的，在本实施例中假设取值为49，以和其他载荷区别，特别是和原有SA载荷(其Next Payload Type的值为33)区别。SARP载荷的结构与IKEv2的原SA载荷相似，不同的地方包括但不限于以下内容：
(1)在Proposal子结构增加了Length of Life Time(生存时间长度)字段及其装载具体参数的Life Time字段；
(2)用Length of Key ID字段取代SPI Size字段，相应的KeyID字段取代SPI(variable)字段；
(3)变换子结构的Transform Type(变换类型)可以考虑只定义用于路由协议SA的Pseudo-random Function(PRF，伪随机数函数)、Integrity Algorithm(INTEG，完整性算法)、Sequence Numbers(SN，系列号)等；
(4)变换子结构的变换类型PRF定义可能用于路由协议SA的伪随机数函数的Transform ID；
(5)变换子结构的变换类型INTEG定义可能用于路由协议SA的认证算法的Transform ID；
(6)变换子结构的数据属性部分(Data Attribute)定义可能用于路由协议SA的伪随机数函数或\和认证算法的密钥长度的协商，其中，假设该算法的密钥长度不是定长的。
而路由协议SA用到的Authentication Key则由IKEv2提供的KE载荷、Ni载荷、Nr载荷及上述SARP载荷提供的PRF算法经由计算得到。
在本实施例的扩展方式下，两个KMP对等体的SA协商流程类似实施例3，只是步骤S204和S206的SA载荷分别改为如上所述的SARPi和SARPr。
实施例5
如图9所示，本实施例通过在IKEv2中增加新的用于路由协议的交换类型来实现用于路由协议的SA的协商。
具体的，为路由协议SA的协商增加新的交换类型(ExchangeType)，标记为IKE_RP_AUTH，其在Exchange Type的取值可从RESERVED TO IANA的38-239中选取任一个，优选的，在本实施例中，假设取值为38，以和其他交换类型区别，特别是IKE_AUTH(其Exchange Type的值为35)区别。IKE_RP_AUTH交换涉及的载荷与IKE_AUTH类似，只是SA载荷不同。在该交换中，可以使用实施例3中经过扩展的SA载荷，也可以使用实施例4中的新增加的SARP载荷，来取代IKE_AUTH中的SA载荷，以完成路由协议SA的协商，具体流程见图9，虚线框内的内容表示可选，实线框内的内容表示必选，图中其他相关内容可参考实施例3、实施例4的说明，在此不再赘述。
实施例6
图10是根据本发明实施例的用于路由协议的密钥管理系统的另一种优选示意图，其包括：扩展单元1002，用于扩展互联网密钥交换协议第二版IKEv2；协商单元1004，用于使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA；处理单元1006，用于使用生成的SA对所述路由协议进行密钥管理，并对基于所述路由协议的路由消息的传输实施保护。
通过本实施例，采用扩展后的IKEv2来协商生成用于路由协议的SA，解决了现有技术中用于路由协议的SA的协商方法导致的效率和正确性较低的问题，进而达到了路由消息的传送更为安全可靠的效果。
优选的，所述扩展单元1002包括：第一扩展模块，用于在所述IKEv2的原有SA载荷中增加与路由协议相关的字段；第二扩展模块，用于在所述IKEv2中增加用于路由协议的SA载荷，其中，所述用于路由协议的SA载荷中携带与路由协议相关的字段。通过本优选实施例中提到的两个扩展模块，可以灵活地对IKEv2进行扩展，以便可以实现用于路由协议的SA的协商。
优选的，所述第一扩展模块包括：第一处理子模块，用于在所述原有SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的协议标识符字段和密钥标识符字段；第二处理子模块，用于在所述原有SA载荷中的变换子结构Transform Substructure中增加用于路由协议的变换类型字段、变换标识符字段；第三处理子模块，用于在所述变换子结构Transform Substructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。通过本优选实施例中提到的各个子模块，实现了在原有SA载荷的基础上进行扩展，从而可以降低扩展所对应的复杂度，便于实现本发明实施例。
优选的，所述第二扩展模块包括：构建子模块，用于构建与所述原有SA载荷的结构相同的SA载荷；第三处理子模块，用于在所述构建的SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的SA的生存时间字段以及所述生存时间长度字段；第四处理子模块，用于在所述构建的SA载荷中的提议子结构ProposalSubstructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。通过本优选实施例中提到的新增SA的扩展方式，可以更好的便于SA协商的双方进行识别，提高了协商的效率。
优选的，所述扩展单元1002包括：第三扩展模块，用于在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用所述增加了与路由协议相关的字段的原IKEv2的SA载荷，或者，使用所述增加的用于路由协议的SA载荷。通过本优选实施例中特定为用于路由协议的SA增加的交换类型，使得SA协商的双方可以更容易进行SA的协商，提高了协商的效率。
优选的，所述协商单元1004包括：第一协商模块，用于使用上述IKEv2协商生成用于建立安全通道的SA；建立模块，用于使用生成的SA建立安全通道；第二协商模块，用于在所述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。通过本优选实施例中提到的各个模块，可以进一步保证协商用于路由协议的SA时的安全性。
优选的，所述协商单元1004包括：位于第一路由器上的第三协商模块以及位于与所述第一路由器对等的第二路由器上的第四协商模块，其中，所述第三协商模块，用于将所述第一路由器支持的一组或多组所述与路由协议相关的字段中的每一组填入到所述扩展后的IKEv2中对应的字段中，通过所述扩展后的IKEv2将所述一组或多组所述与路由协议相关的字段发送给与所述第四协商模块，并将由所述第四协商模块选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA；所述第四协商模块，用于从所述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，通过所述扩展后的IKEv2发送给所述第三协商模块，并将所述选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA。通过本优选实施例中提到的协商单元，可以有效的完成用于路由协议的SA的协商。
优选的，在上述各个优选实施例的基础上，处理单元1006使用生成的SA对所述路由协议进行密钥管理并对路由消息的传输实施保护的步骤包括：作为发送方的路由器使用生成的SA更新路由协议的密钥材料，对要发送的路由消息进行认证码计算与填充；作为接收方的路由协议使用生成的SA更新路由协议的密钥材料，对收到的路由消息进行完整性认证。
综上所述，本发明实施例可以解决现有技术存在的问题，使得路由协议可以借助带外KMP基于IKEv2的多种扩展方式协商生成并管理所需要的SA，满足路由安全自动密钥管理和更新的需要，从而满足路由消息安全传输的需要。
需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
Claims (19)
1.一种用于路由协议的密钥管理方法，其特征在于，包括：
扩展互联网密钥交换协议第二版IKEv2；
使用扩展后的所述IKEv2协商生成用于路由协议的安全联盟SA；
使用生成的所述SA对路由协议进行密钥管理，并对基于所述路由协议的路由消息的传输实施保护。
2.根据权利要求1所述的方法，其特征在于，所述扩展互联网密钥交换协议第二版IKEv2的步骤包括以下之一：
在所述IKEv2的原有SA载荷中增加与路由协议相关的字段；或者
在所述IKEv2中增加用于路由协议的SA载荷，其中，所述用于路由协议的SA载荷中携带与路由协议相关的字段。
3.根据权利要求2所述的方法，其特征在于，在所述IKEv2的原有SA载荷中增加与路由协议相关的字段包括：
在所述原有SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的协议标识符字段和密钥标识符字段；
在所述原有SA载荷中的变换子结构TransformSubstructure中增加用于路由协议的变换类型字段、变换标识符字段；
在所述变换子结构Transform Substructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。
4.根据权利要求3所述的方法，其特征在于，所述扩展互联网密钥交换协议第二版IKEv2的步骤还包括：
在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用增加了与路由协议相关的字段的所述原有SA载荷。
5.根据权利要求2所述的方法，其特征在于，在所述IKEv2中增加用于路由协议的SA载荷包括：
构建与所述原有SA载荷的结构相同的SA载荷；
在所述构建的SA载荷中的提议子结构ProposalSubstructure中增加用于路由协议的SA的生存时间字段以及所述生存时间长度字段；
在所述构建的SA载荷中的提议子结构ProposalSubstructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。
6.根据权利要求5所述的方法，其特征在于，所述扩展互联网密钥交换协议第二版IKEv2的步骤还包括：
在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用所述增加的用于路由协议的SA载荷。
7.根据权利要求1至6中任一项所述的方法，其特征在于，使用扩展后的所述IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：
使用所述IKEv2协商生成用于建立安全通道的SA；
使用生成的SA建立安全通道；
在所述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。
8.根据权利要求2至6中任一项所述的方法，其特征在于，使用扩展后的所述IKEv2协商生成用于路由协议的安全联盟SA的步骤包括：
第一路由器将其支持的一组或多组所述与路由协议相关的字段中的每一组填入到所述扩展后的IKEv2中对应的字段中；
所述第一路由器通过所述扩展后的IKEv2将所述一组或多组所述与路由协议相关的字段发送给与所述第一路由器对等的第二路由器；
所述第二路由器从所述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，并通过所述扩展后的IKEv2发送给所述第一路由器；
所述第一路由器与所述第二路由器将所述选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA。
9.一种用于路由协议的密钥管理系统，其特征在于，包括：
扩展单元，用于扩展互联网密钥交换协议第二版IKEv2；
协商单元，用于使用扩展后的所述IKEv2协商生成用于路由协议的安全联盟SA；
处理单元，用于使用生成的所述SA对路由协议进行密钥管理，并对基于所述路由协议的路由消息的传输实施保护。
10.根据权利要求9所述的系统，其特征在于，所述扩展单元包括：
第一扩展模块，用于在所述IKEv2的原有SA载荷中增加与路由协议相关的字段；
第二扩展模块，用于在所述IKEv2中增加用于路由协议的SA载荷，其中，所述用于路由协议的SA载荷中携带与路由协议相关的字段。
11.根据权利要求10所述的系统，其特征在于，所述第一扩展模块包括：
第一处理子模块，用于在所述原有SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的协议标识符字段和密钥标识符字段；
第二处理子模块，用于在所述原有SA载荷中的变换子结构Transform Substructure中增加用于路由协议的变换类型字段、变换标识符字段；
第三处理子模块，用于在所述变换子结构TransformSubstructure中属性类型中增加用于路由协议的密钥长度字段和SA的生存时间字段。
12.根据权利要求10所述的系统，其特征在于，所述第二扩展模块包括：
构建子模块，用于构建与所述原有SA载荷的结构相同的SA载荷；
第三处理子模块，用于在所述构建的SA载荷中的提议子结构Proposal Substructure中增加用于路由协议的SA的生存时间字段以及所述生存时间长度字段；
第四处理子模块，用于在所述构建的SA载荷中的提议子结构Proposal Substructure中将SPI大小字段替换成用于路由协议的密钥标识符字段，并将SPI字段替换成用于路由协议的密钥标识符字段。
13.根据权利要求10所述的系统，其特征在于，所述扩展单元包括：
第三扩展模块，用于在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用所述增加了与路由协议相关的字段的IKEv2的原有SA载荷，或者，使用所述增加的用于路由协议的SA载荷。
14.根据权利要求9所述的系统，其特征在于，所述协商单元包括：
第一协商模块，用于使用所述IKEv2协商生成用于建立安全通道的SA；
建立模块，用于使用生成的SA建立安全通道；
第二协商模块，用于在所述安全通道上使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA。
15.根据权利要求9所述的系统，其特征在于，所述协商单元包括：位于第一路由器上的第三协商模块以及位于与所述第一路由器对等的第二路由器上的第四协商模块，其中，
所述第三协商模块，用于将所述第一路由器支持的一组或多组所述与路由协议相关的字段中的每一组填入到所述扩展后的IKEv2中对应的字段中，通过所述扩展后的IKEv2将所述一组或多组所述与路由协议相关的字段发送给与所述第四协商模块，并将由所述第四协商模块选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA；
所述第四协商模块，用于从所述一组或多组与路由协议相关的字段中选择一组与路由协议相关的字段，通过所述扩展后的IKEv2发送给所述第三协商模块，并将所述选择的一组与路由协议相关的字段构建成用于所述第一路由器与所述第二路由器之间通信使用的路由协议的SA。
16.一种用于路由协议的密钥管理系统，其特征在于，包括：彼此两两相连的KMP单元、路由协议单元和密钥库单元，其中，
所述KMP单元，用于对互联网密钥交换第二版IKEv2进行扩展，并使用扩展后的IKEv2协商生成用于路由协议的安全联盟SA；
所述路由协议单元，用于为运行的路由协议与所述KMP单元、所述密钥库单元提供交互和接口功能；
所述密钥库单元，用于存储所述KMP单元和所述路由协议单元使用的密钥材料。
17.根据权利要求16所述的系统，其特征在于，所述KMP单元包括：SA生成模块、SA使用策略模块和SA库模块，其中，
所述SA生成模块，用于根据所述SA使用策略模块的指令调用所述扩展后的IKEv2来协商生成用于路由协议的SA；
所述SA库模块，用于存放并管理由所述SA生成模块协商生成的SA；
所述SA使用策略模块，用于通过指令指导所述SA生成模块协商生成SA，并通过指令指导所述SA库模块对SA的存取。
18.根据权利要求17所述的系统，其特征在于，所述SA生成模块包括：
第一扩展子模块，用于在所述IKEv2的原有SA载荷中增加与路由协议相关的字段；
第二扩展子模块，用于在所述IKEv2中增加用于路由协议的SA载荷，其中，所述用于路由协议的SA载荷中携带与路由协议相关的字段。
19.根据权利要求18所述的系统，其特征在于，所述SA生成模块还包括：
第三扩展模块，用于在所述IKEv2中增加用于路由协议的交换类型，其中，所述交换类型用于指示在所述交换类型对应的交换中使用所述增加了与路由协议相关的字段的IKEv2的原有SA载荷，或者，使用所述增加的用于路由协议的SA载荷。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201010501334.9A CN102420740B (zh) | 2010-09-28 | 2010-09-28 | 用于路由协议的密钥管理方法和系统 |
| PCT/CN2010/079296 WO2012040971A1 (zh) | 2010-09-28 | 2010-11-30 | 用于路由协议的密钥管理方法和系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201010501334.9A CN102420740B (zh) | 2010-09-28 | 2010-09-28 | 用于路由协议的密钥管理方法和系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN102420740A CN102420740A (zh) | 2012-04-18 |
| CN102420740B true CN102420740B (zh) | 2015-06-10 |
Family
ID=45891841
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201010501334.9A Expired - Fee Related CN102420740B (zh) | 2010-09-28 | 2010-09-28 | 用于路由协议的密钥管理方法和系统 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN102420740B (zh) |
| WO (1) | WO2012040971A1 (zh) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106161224B (zh) * | 2015-04-02 | 2019-09-17 | 阿里巴巴集团控股有限公司 | 数据交换方法、装置及设备 |
| EP3565195A1 (en) * | 2018-04-30 | 2019-11-06 | Hewlett-Packard Enterprise Development LP | Internet protocol security messages for subnetworks |
| JP7188855B2 (ja) | 2018-11-15 | 2022-12-13 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | セキュリティアソシエーションｓａのキー変更の方法、ネットワークデバイス、および、ネットワークシステム |
| US20230099755A1 (en) * | 2021-09-24 | 2023-03-30 | Sap Se | Sql extension to key transfer system with authenticity, confidentiality, and integrity |
| CN116582260B (zh) * | 2023-06-08 | 2024-08-06 | 北京大禹智芯科技有限公司 | 一种基于psp协议的sa信息协商和加密方法 |
| CN117528502B (zh) * | 2024-01-08 | 2024-03-29 | 易联科技(深圳)有限公司 | 一种无线路由器间加密通讯方法及系统 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100369430C (zh) * | 2005-06-21 | 2008-02-13 | 中兴通讯股份有限公司 | 一种ip多媒体子系统接入安全的保护方法 |
| CN1949705B (zh) * | 2005-10-14 | 2010-08-18 | 上海贝尔阿尔卡特股份有限公司 | 一种用于安全访问专用局域网的动态隧道构建方法及用于该方法的装置 |
| CN101510889A (zh) * | 2009-04-03 | 2009-08-19 | 杭州华三通信技术有限公司 | 一种获取动态路由的方法和设备 |
-
2010
- 2010-09-28 CN CN201010501334.9A patent/CN102420740B/zh not_active Expired - Fee Related
- 2010-11-30 WO PCT/CN2010/079296 patent/WO2012040971A1/zh active Application Filing
Non-Patent Citations (1)
| Title |
|---|
| 互联网密钥交换协议IKEv2的分析与改进;曾鹤;《中国优秀硕士学位论文全文数据库 信息科技辑》;20100315;第5-6页，第22-26页，第42页 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN102420740A (zh) | 2012-04-18 |
| WO2012040971A1 (zh) | 2012-04-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110581763B (zh) | 一种量子密钥服务区块链网络系统 | |
| Zhang et al. | A security architecture of VANET based on blockchain and mobile edge computing | |
| US10187209B2 (en) | Cumulative schemes for network path proof of transit | |
| CN109995510B (zh) | 一种量子密钥中继服务方法 | |
| CN102420740B (zh) | 用于路由协议的密钥管理方法和系统 | |
| Hameed et al. | A scalable key and trust management solution for IoT sensors using SDN and blockchain technology | |
| CN104247367B (zh) | 提升IPsec性能和防窃听安全性 | |
| CN103685467B (zh) | 一种物联网互联互通平台及其通信方法 | |
| US11799659B2 (en) | Method, architecture and devices for the realization of an encrypted communication protocol of encrypted data packets named ‘Transport Encrypted Protocol’ (TEP) | |
| CN104660603A (zh) | IPSec VPN中扩展使用量子密钥的方法及系统 | |
| CN104283701A (zh) | 配置信息的下发方法、系统及装置 | |
| CN102065021B (zh) | 基于NetFPGA的IPSecVPN实现系统及方法 | |
| CN101110672A (zh) | 通信系统中建立esp安全联盟的方法和系统 | |
| US8345878B2 (en) | Method for distributing cryptographic keys in a communication network | |
| Alotaibi et al. | Safiov: A secure and fast communication in fog-based internet-of-vehicles using sdn and blockchain | |
| CN107634950A (zh) | 一种利用流水线硬件设计卸载ssl/tls协议的方法 | |
| CN114615006A (zh) | 一种面向配电物联网的边缘层数据安全防护方法、系统及存储介质 | |
| US20210264051A1 (en) | Blockchain system, blockchain management apparatus, network control apparatus, method and program | |
| CN109309622A (zh) | 一种动态的数据发布和网络通信实现方法 | |
| CN112615838A (zh) | 一种可扩展的区块链跨链通信方法 | |
| CN107135226A (zh) | 基于socks5的传输层代理通信方法 | |
| WO2019165235A1 (en) | Secure encrypted network tunnels using osi layer 2 protocol | |
| CN107171786A (zh) | 网络代理账户控制方法 | |
| CN104486082A (zh) | 认证方法和路由器 | |
| Zhang et al. | Research on the protocols of vpn |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20150610 |
|
| CF01 | Termination of patent right due to non-payment of annual fee |