WO2012083652A1 - 一种具有链路层加解密能力的终端设备及其数据处理方法 - Google Patents

一种具有链路层加解密能力的终端设备及其数据处理方法 Download PDF

Info

Publication number
WO2012083652A1
WO2012083652A1 PCT/CN2011/075854 CN2011075854W WO2012083652A1 WO 2012083652 A1 WO2012083652 A1 WO 2012083652A1 CN 2011075854 W CN2011075854 W CN 2011075854W WO 2012083652 A1 WO2012083652 A1 WO 2012083652A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
field
data
data frame
terminal device
Prior art date
Application number
PCT/CN2011/075854
Other languages
English (en)
French (fr)
Inventor
李琴
曹军
铁满霞
Original Assignee
西安西电捷通无线网络通信股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安西电捷通无线网络通信股份有限公司 filed Critical 西安西电捷通无线网络通信股份有限公司
Priority to US13/995,641 priority Critical patent/US9009466B2/en
Priority to KR1020137019262A priority patent/KR101421399B1/ko
Publication of WO2012083652A1 publication Critical patent/WO2012083652A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords

Definitions

  • the invention belongs to the field of network security, and relates to a terminal device with link layer encryption and decryption capability and a data processing method thereof.
  • Wired LANs are generally broadcast networks. Data sent by one node can be received by other nodes. Each node on the network shares a channel, which brings great security risks to the network. As long as the attacker accesses the network for monitoring, it can capture all the packets on the network.
  • the LAN does not provide a method of data privacy, which makes it easy for an attacker to steal critical information.
  • the link layer data packets are transmitted in the network in clear text, and the transmitted information is easily intercepted, which poses a large security risk.
  • IEEE 802.1AE provides a hop-by-hop encryption link layer data privacy method for LANs. This mechanism restricts the terminal device to encrypt and decrypt data frames at the link layer only by using the key with the nearest access switching device. For processing, the data packet may not be encrypted or decrypted at the link layer by directly using a key with other terminal devices or other switching devices.
  • This link layer processing mode of the IEEE 802.1AE-enabled terminal device makes the calculation load of the nearest access switching device heavy; and because the data frame constructed in this way requires each switching device on the link to decrypt and re-encrypt The forwarding operation can reach the destination terminal device, and the data transmission delay is large; and the IEEE 802.1AE-enabled terminal device does not support the hybrid networking of the general switching device and the IEEE 802.1AE-enabled switching device.
  • the embodiment of the present invention provides a terminal device with link layer encryption and decryption capability and a data processing method thereof.
  • the embodiment of the invention provides a terminal device with link layer encryption and decryption capability, and the terminal device is provided.
  • the link layer processing module includes a control module, a data frame encryption processing module, a data frame decryption processing module, a key management module, an algorithm module, a sending port, and a receiving port.
  • the control module passes The data frame encryption processing module accesses the sending port; the receiving port accesses the control module through the data frame decryption processing module; the control module is connected to the key management module; and the data frame encryption processing module passes the key management module and the data
  • the frame decryption processing module is connected; the data frame encryption processing module is connected to the data frame decryption processing module by the algorithm module;
  • the control module has policy management and control capabilities
  • the key management module has a link layer key management capability, and is established between the terminal device and other terminal devices in the network and/or between the terminal device and the switching device in the network according to the policy requirements of the control module.
  • a shared key and is responsible for storing, updating, or deleting management operations of the key;
  • the established shared key is pre-shared or negotiated after the terminal device successfully authenticates with other terminal devices or switching devices;
  • the data frame encryption processing module After receiving the user data that needs to be sent out, the data frame encryption processing module obtains a corresponding key by interacting with the key management module, and then invokes an algorithm module to implement encryption processing on the user data to obtain a confidentiality of the user data. And constructing a link layer to encrypt the data frame, and sending the encrypted data frame through the sending port;
  • the data frame decryption processing module After receiving the data frame through the receiving port, the data frame decryption processing module obtains a corresponding key by interacting with the key management module, and then calls the algorithm module to decrypt the data frame to obtain the plaintext information of the user data. And submit the plaintext information to the upper layer through the control module;
  • the algorithm module relates to an encryption and decryption algorithm and/or an integrity check algorithm.
  • the embodiment of the invention further provides a data processing method for a terminal device with link layer encryption and decryption capability, the method comprising:
  • the link layer control module of the terminal device receives user data that is sent by the upper layer and needs to be sent by the link layer;
  • the control module selects the link layer encryption protocol type and the security processing policy to be used according to the local policy; and selects the selected link layer encryption protocol type, the security processing policy, and the user data information. Sending a data frame encryption processing module;
  • the data frame encryption processing module processes the user data according to the corresponding link layer encryption protocol and the security processing policy, determines whether the user data needs to be encrypted, and constructs Frame A1;
  • the data frame encryption processing module sends the constructed Frame A1 through the sending port, thereby completing the transmission of the link layer data frame;
  • the terminal device receives the data frame Frame A2 sent to the terminal device through the physical layer, and passes the received data frame Frame A2 to the data frame decryption processing module through the receiving port;
  • the data frame decryption processing module determines the corresponding link layer encryption protocol according to the received data frame Frame A2;
  • the data frame decryption processing module determines whether the user data is plaintext according to the corresponding link layer encryption protocol, and parses Frame A2 to obtain user data:
  • the data frame decryption processing module submits the obtained plaintext of the user data to the upper layer through the control module, thereby completing the reception of the link layer data frame;
  • the frame A1 is a data frame sent by the terminal device through the sending port; the frame
  • A2 is the data frame received by the terminal device through the receiving port.
  • the terminal device with the link layer encryption and decryption capability in the embodiment of the present invention can maintain the shared key with other terminal devices in the network and the key between the other switching devices, and can directly use the destination terminal device when transmitting the data frame.
  • the security of the data frame between the key or the key exchange with other switching devices can effectively reduce the computational burden of the access switching device closest to the terminal device and reduce the data transmission delay.
  • the terminal device with link layer encryption and decryption capability can support standard ISO/IEC 8802-3 data frames and various link layer encryption protocol data frames, including IEEE 802.1AE protocol data frames. While implementing forward compatibility, support for various link layer encryption protocols can be implemented, and data frames can be encrypted and decrypted at the link layer to improve network security.
  • 1 is a schematic diagram of a terminal device with link layer encryption and decryption capability according to an embodiment of the present invention
  • 2 is a schematic diagram of an implementation manner of using an inter-station key according to an embodiment of the present invention
  • a link layer processing module of a terminal device with link layer encryption and decryption capability includes a control module, a data frame encryption processing module, a data frame decryption processing module, a key management module, and an algorithm module.
  • the key management module and the algorithm module are both connected to the data frame encryption processing module and the data frame decryption processing module.
  • the control module has policy management and control capabilities
  • the key management module has a link layer key management capability, and is established between the terminal device and other terminal devices in the network and/or between the terminal device and a switching device in the network according to a policy requirement of the control module.
  • the shared key and is responsible for the management operations of storing, updating, and deleting these keys; the established shared key may be pre-shared, or the identity of the terminal device and other terminal devices or switching devices may be successfully authenticated. Established after consultation;
  • the data frame encryption processing module After receiving the user data that needs to be sent out, the data frame encryption processing module obtains a corresponding key by interacting with the key management module, and then invokes the algorithm module to implement encryption processing on the user data to obtain user data.
  • the ciphertext constructing a link layer to encrypt the data frame, and transmitting the encrypted data frame through the sending port;
  • the data frame decryption processing module After receiving the data frame through the receiving port, the data frame decryption processing module obtains a corresponding key by interacting with the key management module, and then invokes the algorithm module to perform decryption processing on the data frame to obtain user data. Clear text information, and the clear text information is delivered to the upper layer through the control module.
  • the algorithm module relates to an encryption and decryption algorithm and/or an integrity verification algorithm, and may be a hardware implementation or a software implementation.
  • the ISO/IEC 8802-3 data frame also supports the link layer encryption protocol data frame.
  • the supported link layer encryption protocol data frame includes a Frame Header field and a Payload field, as shown in Table 1 below: Frame Header Payload
  • the Frame Header field indicates the frame header information, as shown in Table 2 below:
  • DA field indicates the identifier of the destination node, which is the MAC address of the destination node.
  • SA field indicates the identifier of the source node, and the MAC address of the source node.
  • Ethertype field indicates an Ethernet type field, which is an Ethernet type field of the link layer encryption protocol; and is used to identify a corresponding link layer encryption protocol and a frame structure;
  • the isE field indicates an encryption flag bit, which is used to identify whether the payload of the data frame is plaintext information of the user data or ciphertext information, and the receiver of the data packet regards the field as a determining factor of whether decryption is required;
  • Keylndex field an identifier indicating a key for protecting user data (encryption and/or computation integrity check); the key protecting the user data may be a key between the terminal device and the switching device; It may also be a key between the terminal device and the destination terminal device;
  • the Payload field which indicates the payload of the data frame, may be plaintext information of the user data or ciphertext information of the user data; when the isE field indicates encryption, the payload is ciphertext information of the user data; when the isE field indicates no encryption , the payload is the plaintext information of the user data;
  • a description when describing each field of a data frame, a description will be made using a "frame name. field name".
  • the DA field of Frame A1 is recorded as Frame Al .DA
  • the Payload field of Frame A2 is recorded as Frame A2. Payload.
  • the terminal device of the embodiment of the present invention sends the value of the SA field in the data frame sent by the sending port to the network through the data encryption processing module to the MAC address of the terminal device.
  • the terminal device in the embodiment of the present invention sends the data to the data decryption processing module through the receiving port.
  • the DA field value in the processed data frame is the MAC address of the terminal device.
  • the data frame sent by the terminal device of the embodiment of the present invention through the sending port is recorded as Frame Al;
  • the data frame received by the terminal device through the receiving port is recorded as Frame A2;
  • the Payload field in the data frame Frame A1 sent by the terminal device in the embodiment of the present invention is the ciphertext information of the user data
  • the key used to construct the Frame A1 is KEY1
  • the data frame received by the terminal device of the present invention is in the Frame A2
  • Payload The field is the ciphertext information of the user data
  • the key used to parse Frame A2 is KEY2.
  • the upper layer sends the user data that needs to be sent by the link layer to the link layer control module of the terminal device;
  • the control module selects the link layer encryption protocol type and the security processing policy to be used according to the local policy; and sends the selected link layer encryption protocol type, the security processing policy and the user data information to the data frame encryption processing module;
  • the data frame encryption processing module processes the user data according to the corresponding link layer encryption protocol and the confidential processing strategy, and constructs Frame A1, where:
  • Frame A1 is constructed as follows: Frame A1.DA field, value The MAC address of the destination node;
  • the frame A1.SA field is the MAC address of the terminal device.
  • the Ethertype field is the value of the Ethernet type field of the corresponding link layer encryption protocol.
  • Frame Al.keylndex field the value is not limited (this field has no meaning when the user data is not encrypted);
  • Payload field the value is user data
  • the data frame encryption processing module calls the key management module, and obtains the key KEY1 for encrypting the user data and the identifier keylndex1 of the key KEY1; 1.3.2.2) The data frame encryption processing module invokes the algorithm module to encrypt the user data according to the obtained key KEY1, and obtains the ciphertext of the user data;
  • the data frame encryption processing module completes the construction of Frame A1 as follows:
  • the Frame A1.DA field is the MAC address of the destination node.
  • the frame A1.SA field is the MAC address of the terminal device.
  • the Ethertype field is the value of the Ethernet type field of the corresponding link layer encryption protocol.
  • Payload field which is a ciphertext of user data
  • the data frame encryption processing module sends the constructed Frame Al through the sending port to complete the transmission of the link layer data frame.
  • the terminal device with link layer encryption and decryption capability When the terminal device with link layer encryption and decryption capability provided by the embodiment of the present invention receives the link layer encryption protocol data frame, the operation is as follows:
  • the terminal device receives the data frame Frame A2 sent to the terminal device through the physical layer, and passes the received data frame Frame A2 to the data frame decryption processing module through the receiving port;
  • the data frame decryption processing module determines the corresponding link layer encryption protocol according to the received data frame Frame A2;
  • the data frame decryption processing module parses Frame A2 according to the corresponding link layer encryption protocol to obtain user data, where:
  • the data frame decryption processing module submits the frame A2.keyIndex field information to the key management module, and retrieves the key KEY2 for decrypting the Frame A2. Payload; 2.3.2.2) The data frame decryption processing module calls the algorithm module to decrypt the Frame A2. Payload according to the obtained key KEY2, and obtains the plaintext of the user data, and completes the parsing of the Frame A2;
  • the data frame decryption processing module submits the obtained plaintext of the user data to the upper layer through the control module, thereby completing the reception of the link layer data frame.
  • the link layer encryption protocol data frame supported by the terminal device of the embodiment of the present invention may further include an integrity check MIC field in addition to the frame header Frame Header and the payload Payload; the MIC field is a link layer decryption protocol.
  • the integrity check value calculated by all fields or partial fields of the data frame (such as Frame Al, Frame A2) except the MIC field.
  • the key for performing security processing on the data frame (such as KEY1, KEY2) includes two parts: an integrity check key and an encryption key;
  • the verification key is used to calculate or verify the MIC field;
  • the encryption key portion is used to encrypt user data or decrypt the ciphertext of the user data.
  • the specific implementation manner of the step 1.3) when the terminal device in the foregoing embodiment of the present invention sends the data frame is:
  • the data frame encryption processing module calls the key management module to obtain the key KEY1 for secret processing of the data frame and the identifier of the key KEY1 keylndexl;
  • the data frame encryption processing module constructs a field other than the Frame A1.MIC field of Frame A1 as follows:
  • Frame Al.DA field the value is the MAC address of the destination node
  • the frame A1.SA field is the MAC address of the terminal device.
  • the Frame Al.Ethertype field is a value of the Ethernet type field of the corresponding link layer encryption protocol.
  • Frame Al. Payload field the value is user data
  • the data frame encryption processing module calls the corresponding algorithm module except for Frame A except the Frame A 1.
  • MIC field and calculates the value of the Frame Al.MIC field by using the integrity check key of KEY1; The construction of Frame Al;
  • the data frame encryption processing module calls the key management module to obtain the key KEY1 for secret processing of the data frame and the identifier of the key KEY1 keylndexl;
  • the data frame encryption processing module calls the algorithm module according to the obtained key KEY1, and encrypts the user data by using the encryption key of KEY1 to obtain the ciphertext of the user data;
  • the data frame encryption processing module constructs a field of Frame Al except the Frame Al.MIC field as follows:
  • Frame Al.DA field the value is the MAC address of the destination node
  • the frame A1.SA field is the MAC address of the terminal device.
  • the Frame Al.Ethertype field is a value of the Ethernet type field of the corresponding link layer encryption protocol.
  • Frame Al .isE field the value is encrypted
  • Payload field which is a ciphertext of user data
  • the data frame encryption processing module calls the corresponding algorithm module for Frame Al except the frame Al.MIC field, and calculates the Frame Al.MIC field value by using the integrity check key of KEY1; Construction.
  • step 2.3 In an implementation manner in which the supported link layer encryption protocol data frame includes the MIC field, when the terminal device of the present invention receives the data frame, the specific implementation manner of step 2.3) is:
  • the data frame decryption processing module submits the frame A2.keyIndex field information to the key management module, and retrieves the key KEY2 for performing confidential processing on the Frame A2; 2.3.1.2)
  • the data frame decryption processing module uses the obtained integrity check key portion of the key KEY2 to call the algorithm module to verify the correctness of the Frame A2.MIC field in Frame A2; if the Frame A2.MIC is correct, execute Step 2.3.1.3); otherwise, discard the packet;
  • the data frame decryption processing module extracts the Frame A2. Payload field as the plaintext of the user data, and completes the parsing of Frame A2;
  • the data frame decryption processing module submits the frame A2.keyIndex field information to the key management module, and retrieves the key KEY2 for performing confidential processing on the frame A2;
  • the data frame decryption processing module uses the obtained integrity check key of the key KEY2 to call the algorithm module to verify the correctness of the Frame A2.MIC field in Frame A2; if the Frame A2.MIC is correct, the steps are performed. 2.3.2.3); otherwise, discard the packet;
  • the data frame decryption processing module uses the obtained encryption key of the key KEY2, and calls the algorithm module to decrypt the Frame A2. Payload, and obtains the plaintext of the user data, and completes the parsing of the Frame A2.
  • the encryption and integrity check involved in protecting the user data by the terminal device of the present invention may be implemented as the data frame encryption in step 1.3).
  • the processing module first encrypts the user data to construct a Payload field of the payload of the data frame, and then performs integrity check on the data frame to construct an MIC field.
  • the data frame decryption processing module in step 2.3) first verifies the MIC field. The correctness, only after determining that the MIC field is correct, decrypting the payload of the data frame Payload field to obtain the plaintext information of the user data, and submit it to the upper layer.
  • the encryption and integrity check involved in protecting the user data by the terminal device of the present invention may also be implemented as the data in step 1.3).
  • the frame encryption processing module first uses the plaintext of the user data as the payload Payload field, calculates the integrity check on the data frame, constructs the MIC field, encrypts the plaintext of the user data, and updates the payload of the data frame with the obtained user data ciphertext Payload.
  • the data frame decryption processing module in step 2.3) first decrypts the payload Payload field of the data frame to obtain the plaintext information of the user data; and then verifies the correctness of the MIC field, and only determines the user data obtained before decrypting the MIC field.
  • the plaintext information is valid only before it can be submitted to the upper level.
  • the key between the terminal device and the terminal device is an inter-station key.
  • any of the embodiments mentioned above may be used in a terminal device when the terminal device is specifically implemented.
  • the inter-station key between the STA-A and the terminal device STA-B implements link layer secure transmission. As shown in Figure 2, the link between the end devices STA-B is only required to protect the data frame to be transmitted (encryption and/or calculation) using the inter-station key KEY_AB between the terminal device STA-B. Integrity check); when the terminal device STA-B receives the data frame from the terminal device STA-A, regardless of the terminal device
  • the switching device between the terminal device STA-A and the terminal device STA-B does not need to perform encryption and decryption processing on the data frames between them, and can directly forward the data frames.
  • the switching device between the terminal device STA-A and the terminal device STA-B may have link layer encryption and decryption capability, or may not have link layer encryption and decryption capability;
  • the inter-station key a hybrid networking of a switching device with link layer encryption and decryption capability and a switching device without link layer encryption and decryption capability is supported.
  • the MAC header field may also be included in the Frame Header; the MAClist field is used to indicate the specific MAC address list information, and the switching device in the specific MAC address list given by the field needs to encrypt and decrypt the received ciphertext data frame; A switching device outside the specific MAC address list only needs to forward the ciphertext data frame directly unless it is the destination node.
  • the presence of the MAClist field allows the switching device to eliminate the need to decrypt, re-encrypt, and forward all data frames to be forwarded.
  • the MAClist field may be defined as the first switching layer with link layer encryption and decryption capability on the link from the transmitting terminal device to the destination terminal device, and finally A list of MAC addresses of a switching device with link layer encryption and decryption capabilities.
  • Device SW ⁇ SW MAC address of the switching device 2 sent from the terminal apparatus to STA- A data terminal STA-B frame, only the switching device and a switching device SW SWi 2 needs to be decrypted and then re-encrypted forwarding, other switching devices (For example, other switching devices SW M located on the link between the terminal device STA-A and the terminal device STA-B) can be directly forwarded;
  • the MAC address of S and SW 2 is transmitted as a MAClist field when constructing the data frame;
  • the user data is encrypted in the transmitted data frame, and the MIC field is calculated using the terminal device STA-A and the switching device SWi.
  • the key KEY is processed, and the value of key ⁇ keylndexii ⁇ is transmitted to the keylndex field of the data frame;
  • the terminal device STA-B When receiving the data frame sent by the terminal device STA-A, the terminal device STA-B, which is the destination terminal device, processes the key KEY 2 with the switching device SW 2 to obtain the plaintext information of the user data.
  • the switching device 8 receives the data sent by the terminal device STA-A to the terminal device STA-B.
  • the user data is decrypted by using the key 5 identified by the keylndex;
  • the switching device SW 2 uses the key KE Y with the STA-B. 2 Encrypt the user data, and update the keylndex2 of ⁇ 2 to the keylndex field in the data frame for transmission.
  • the switching device 8 may also be used ⁇ ⁇ encrypted transmission between the key and the switch device SW 2, an embodiment of the present invention is not defined ;
  • the STA-A and the terminal equipment between SWr ⁇ , ⁇ between 2 there may be one or more without having to exchange encryption and decryption capability link layer between terminal device SW 2 and STA-B

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

一种具有链路层加解密能力的终端设备及其数据处理方法，该终端设备包括链路层处理模块，所述链路层处理模块包括控制模块、数据帧加密处理模块、数据帧解密处理模块、密钥管理模块、算法模块、发端口和收端口；所述控制模块通过数据帧加密处理模块接入发端口；所述收端口通过数据帧解密处理模块接入控制模块；所述控制模块和密钥管理模块相连；所述数据帧加密处理模块通过密钥管理模块和数据帧解密处理模块相连；所述数据帧加密处理模块通过算法模块和数据帧解密处理模块相连。

Description

一种具有链路层加解密能力的终端设备及其数据处理方法 本申请要求于 2010 年 12 月 20 日提交中国专利局、 申请号为 201010596663.6、 发明名称为"一种具有链路层加解密能力的终端设备及其数 据处理方法"的中国专利申请的优先权，其全部内容通过引用结合在本申请中。 技术领域
本发明属于网络安全领域，涉及一种具有链路层加解密能力的终端设备及 其数据处理方法。
背景技术
有线局域网一般为广播型网络，一个节点发出的数据，其它节点都能收到。 网络上的各个节点共享信道， 这给网络带来了极大的安全隐患。 攻击者只要接 入网络进行监听， 就可以捕获网络上所有的数据包。 域网 LAN并不提供数据保密方法，这样就使得攻击者容易窃取到关键信息。遵 加解密能力，链路层数据包都是以明文形式在网络中进行传输， 所传输的信息 易被截获， 安全隐患大。
IEEE 802.1AE为局域网 LAN提供了逐跳加密的链路层数据保密方法， 这 种机制限制终端设备只能使用与最近的接入交换设备之间的密钥在链路层对 数据帧进行加解密处理，不得直接使用与其他终端设备或其他交换设备之间的 密钥在链路层对数据包进行加解密处理。 支持 IEEE 802.1AE的终端设备的这 种链路层处理方式使得最近的接入交换设备的计算负担重；且因为这种方式构 造的数据帧需要链路上的每一个交换设备都进行解密再加密再转发的操作才 能到达目的端终端设备， 数据传输延迟大； 且支持 IEEE 802.1AE的终端设备 不支持一般交换设备和支持 IEEE 802.1AE的交换设备的混合组网。
发明内容
为了解决背景技术中存在的上述技术问题，本发明实施例提供了一种具有 链路层加解密能力的终端设备及其数据处理方法。
本发明实施例提供了一种具有链路层加解密能力的终端设备，所述终端设 备包括链路层处理模块， 所述链路层处理模块包括控制模块、数据帧加密处理 模块、 数据帧解密处理模块、 密钥管理模块、 算法模块、 发端口和收端口； 所 述控制模块通过数据帧加密处理模块接入发端口；所述收端口通过数据帧解密 处理模块接入控制模块； 所述控制模块和密钥管理模块相连； 所述数据帧加密 处理模块通过密钥管理模块和数据帧解密处理模块相连；所述数据帧加密处理 模块通过算法模块和数据帧解密处理模块相连； 其中，
所述控制模块具有策略管理和控制能力；
所述密钥管理模块具有链路层密钥管理能力， 并根据控制模块的策略需 要， 为终端设备与网络中的其他终端设备之间和 /或该终端设备与网络中的交 换设备之间建立共享的密钥， 并负责对密钥进行存储、 更新或删除管理操作； 所建立的共享密钥是预共享的或是在终端设备与其他终端设备或交换设备身 份鉴别成功后协商建立的；
所述数据帧加密处理模块在收到需要发送出去的用户数据后，通过与密钥 管理模块进行交互得到对应的密钥，再调用算法模块， 实现对用户数据的加密 处理， 得到用户数据的密文， 构造链路层加密数据帧， 并通过发端口将加密数 据帧发送出去；
所述数据帧解密处理模块在通过收端口接收到数据帧后，通过与密钥管理 模块进行交互得到对应的密钥，再调用算法模块，实现对数据帧进行解密处理， 得到用户数据的明文信息， 并通过控制模块将明文信息递交给上层；
所述算法模块涉及加解密算法和 /或完整性校验算法。
本发明实施例还提供一种具有链路层加解密能力的终端设备的数据处理 方法， 所述方法包括：
1 )所述终端设备发送链路层加密协议数据帧时，
1.1 )所述终端设备的链路层控制模块接收上层所发送的需要链路层发送 的用户数据；
1.2 ) 由控制模块根据本地策略， 选择使用的链路层加密协议类型及保密 处理策略；并将选择的链路层加密协议类型及保密处理策略及用户数据信息发 送给数据帧加密处理模块；
1.3 )数据帧加密处理模块根据对应的链路层加密协议及保密处理策略处 理用户数据， 判断是否需要对用户数据进行加密操作， 并构造 Frame A1 ;
1.4 )数据帧加密处理模块将构造好的 Frame A1 , 通过发端口发送出去， 从而完成链路层数据帧的发送；
2 )所述终端设备接收链路层加密协议数据帧时，
2.1 )终端设备通过物理层收到发给该终端设备的数据帧 Frame A2, 通过 收端口将接收到的数据帧 Frame A2交给数据帧解密处理模块；
2.2 )数据帧解密处理模块根据接收到的数据帧 Frame A2, 判断对应的链 路层加密协议；
2.3 )数据帧解密处理模块根据对应的链路层加密协议判断用户数据是否 是明文， 并解析 Frame A2, 得到用户数据：
2.4 )数据帧解密处理模块将得到的用户数据的明文通过控制模块提交给 上层， 从而完成链路层数据帧的接收；
其中，所述 Frame A1是所述终端设备通过发端口发出的数据帧；所述 Frame
A2是终端设备通过收端口收到的数据帧。
本发明实施例具有链路层加解密能力的终端设备可维持和网络中其他终 端设备的共享密钥、与其他交换设备之间的密钥，在发送数据帧时可以直接使 用和目的端终端设备之间的密钥或者与其他交换设备之间的密钥对数据帧进 行保密处理， 可有效降低离终端设备最近的接入交换设备的计算负担， 降低数 据传输延迟。
本发明实施例具有链路层加解密能力的终端设备既可支持标准的 ISO/IEC 8802-3数据帧， 也支持各种链路层加密协议数据帧， 包括 IEEE 802.1AE协议数 据帧。 在实现前向兼容的同时， 可以实现对各种链路层加密协议的支持， 实现 数据帧在链路层的加解密处理， 提高网络的安全性。
附图说明
图 1是本发明实施例所提供的具有链路层加解密能力的终端设备示意图； 图 2是本发明实施例所提供的使用站间密钥实施方式示意图； 具体实施方式
参见图 1 , 本发明实施例提供的具有链路层加解密能力的终端设备其链路 层处理模块包括控制模块、数据帧加密处理模块、 数据帧解密处理模块、 密钥 管理模块、 算法模块、 发端口和收端口； 其中， 控制模块与数据帧加密处理模 块、 数据帧解密处理模块、 密钥管理模块相连， 数据帧加密处理模块与发端口 相连，数据帧解密处理模块与收端口相连， 密钥管理模块和算法模块均与数据 帧加密处理模块、 数据帧解密处理模块相连。
所述控制模块具有策略管理和控制能力；
所述密钥管理模块具有链路层密钥管理能力， 根据控制模块的策略需要， 为该终端设备与网络中的其他终端设备之间和 /或该终端设备与网络中的交换 设备之间建立共享的密钥， 并负责对这些密钥进行存储、 更新、 删除等管理操 作； 所建立的共享密钥可以是预共享的，也可以是在该终端设备与其他终端设 备或交换设备身份鉴别成功后协商建立的；
所述数据帧加密处理模块在收到需要发送出去的用户数据后，通过与密钥 管理模块进行交互得到对应的密钥，再调用算法模块， 即可实现对用户数据的 加密处理， 得到用户数据的密文， 构造链路层加密数据帧， 并通过发端口将加 密数据帧发送出去；
所述数据帧解密处理模块在通过收端口接收到数据帧后，通过与密钥管理 模块进行交互得到对应的密钥，再调用算法模块， 即可实现对数据帧进行解密 处理， 得到用户数据的明文信息， 并通过控制模块将明文信息递交给上层。
所述算法模块涉及加解密算法和 /或完整性校验算法， 可以是硬件实现也 可以是软件实现。
本发明实施例提供的具有链路层加解密能力的终端设备支持标准的
ISO/IEC 8802-3数据帧， 还支持链路层加密协议数据帧， 所支持的链路层加密 协议数据帧中包括 Frame Header字段和 Payload字段， 如下表 1所示： Frame Header Payload
其中 Frame Header字段， 表示帧头信息， 如下表 2所示:
表 2:
Figure imgf000007_0001
其中：
DA字段： 表示目的节点的标识， 取值目的节点的 MAC地址；
SA字段： 表示源节点的标识， 取值源节点的 MAC地址；
Ethertype字段： 表示以太类型字段， 取值为链路层加密协议的以太类型字 段； 用于标识对应的链路层加密协议及帧结构；
isE字段： 表示加密标志位， 用于标识数据帧的有效负载是用户数据的明 文信息还是密文信息，数据包的接收方将该字段作为是否需要解密的一个判断 因素；
keylndex字段： 表示对用户数据进行保护（加密和 /或计算完整性校验）的 密钥的标识；所述对用户数据进行保护的密钥可以是该终端设备和交换设备之 间的密钥； 也可以是该终端设备和目的端终端设备之间的密钥；
Payload字段， 表示数据帧有效负载， 可以是用户数据的明文信息也可以 是用户数据的密文信息； 当 isE字段表示加密时， 有效负载是用户数据的密文 信息； 当 isE字段表示不加密时， 有效负载是用户数据的明文信息；
在本发明实施例中，对数据帧的各个字段在描述时，将使用"帧名.字段名" 的方式进行描述。 比如 Frame A1的 DA字段记为 Frame Al .DA; Frame A2的 Payload字段记为 Frame A2. Payload。
本发明实施例的终端设备通过数据加密处理模块由发端口发往网络的数 据帧中 SA字段取值为该终端设备的 MAC地址； 本发明实施例的终端设备通过 收端口送至数据解密处理模块处理的数据帧中 DA字段值是该终端设备的 MAC地址。
将本发明实施例的终端设备通过发端口发出的数据帧记为 Frame Al ;将本 发明终端设备通过收端口收到的数据帧记为 Frame A2;
若本发明实施例的终端设备发送的数据帧 Frame A1中 Payload字段是用户 数据的密文信息， 记构造 Frame A1所使用的密钥为 KEY1 ; 若本发明终端设备 接收的数据帧 Frame A2中 Payload字段是用户数据的密文信息， 记解析 Frame A2所使用的密钥为 KEY2。
本发明实施例的提供的具有链路层加解密能力的终端设备在发送链路层 加密协议数据帧时， 操作如下：
1.1 )上层将需要链路层发送的用户数据发送给终端设备链路层控制模块；
1.2 ) 由控制模块根据本地策略， 选择使用的链路层加密协议类型及保密 处理策略；并将选择的链路层加密协议类型及保密处理策略及用户数据信息发 送给数据帧加密处理模块；
1.3 )数据帧加密处理模块根据对应的链路层加密协议及保密处理策略处 理用户数据， 并构造 Frame A1 , 其中：
1.3.1 )当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略 判断不需要对用户数据进行加密时， 按照如下说明完成构造 Frame A1的构造： Frame A1.DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame A 1.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al.isE字段， 取值为不加密；
Frame Al.keylndex字段， 取值不限制 （用户数据不加密时该字段没有意 义）；
Frame Al. Payload字段， 取值为用户数据；
1.3.2 )当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略 判断需要对用户数据进行加密时， 按照如下步骤执行：
1.3.2.1 )数据帧加密处理模块调用密钥管理模块， 得到对用户数据进行加 密的密钥 KEY1以及密钥 KEY1的标识 keylndexl； 1.3.2.2 )数据帧加密处理模块根据得到的密钥 KEY1 , 调用算法模块对用 户数据进行加密， 得到用户数据的密文；
1.3.2.3 )数据帧加密处理模块按照如下说明完成 Frame A1的构造：
Frame A1.DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame A 1.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al.isE字段， 取值为加密；
Frame Al .keylndex字段， 取值为密钥 KEY1的标识 keylndexl；
Frame Al. Payload字段， 取值为用户数据的密文；
1.4 )数据帧加密处理模块将构造好的 Frame Al , 通过发端口发送出去， 从而完成链路层数据帧的发送。
本发明实施例的提供的具有链路层加解密能力的终端设备在接收链路层 加密协议数据帧时， 操作如下：
2.1 )终端设备通过物理层收到发给该终端设备的数据帧 Frame A2, 通过 收端口将接收到的数据帧 Frame A2交给数据帧解密处理模块；
2.2 )数据帧解密处理模块根据接收到的数据帧 Frame A2, 判断对应的链 路层加密协议；
2.3 )数据帧解密处理模块根据对应的链路层加密协议， 解析 Frame A2, 得到用户数据， 其中：
2.3.1 ) 当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段是用户数据的明文时，则提取 Frame A2. Payload字段即为用户数据 的明文， 完成对 Frame A2的解析；
2.3.2 ) 当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段是用户数据的密文时， 执行如下步骤：
2.3.2.1 )数据帧解密处理模块将 Frame A2.keyIndex字段信息， 提交给密钥 管理模块， 检索得到对 Frame A2. Payload进行解密的密钥 KEY2; 2.3.2.2 ) 数据帧解密处理模块根据得到的密钥 KEY2, 调用算法模块对 Frame A2. Payload进行解密， 得到用户数据的明文， 完成对 Frame A2的解析；
2.4 )数据帧解密处理模块将得到的用户数据的明文通过控制模块提交给 上层， 从而完成链路层数据帧的接收。
本发明实施例的的终端设备所支持的链路层加密协议数据帧中除包含帧 头 Frame Header和有效负载 Payload外， 还可包含完整性校验 MIC字段； MIC字 段是对链路层解密协议数据帧（如 Frame Al、 Frame A2 )除 MIC字段外所有字 段或部分字段计算得到的完整性校验值。
在支持的链路层加密协议数据帧包含 MIC字段的实施方式中，对数据帧进 行保密处理的密钥（如 KEY1、 KEY2 )包含完整性校验密钥和加密密钥两部分； 完整性校验密钥用于计算或验证 MIC字段；加密密钥部分用于加密用户数据或 解密用户数据的密文。在支持的链路层加密协议数据帧包含 MIC字段的实施方 式中， 上述本发明实施例的终端设备在发送数据帧时， 步骤 1.3 ) 的具体实施 方式是：
1.3.1 )当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略 判断不需要对用户数据进行加密时， 按照如下步骤执行：
1.3.1.1 )数据帧加密处理模块调用密钥管理模块， 得到对数据帧进行保密 处理的密钥 KEY1以及密钥 KEY1的标识 keylndexl；
1.3.1.2 )数据帧加密处理模块按照如下说明构造 Frame A1除 Frame A1.MIC 字段外的字段；
Frame Al .DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame Al.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al.isE字段， 取值为不加密；
Frame Al.keylndex字段， 取值为密钥 KEY1的标识 keylndexl；
Frame Al. Payload字段， 取值为用户数据； 1.3.1.3 )数据帧加密处理模块对构造好的除 Frame A 1. MIC字段外的 Frame Al , 调用对应的算法模块， 利用 KEY1的完整性校验密钥计算 Frame Al.MIC字 段的值； 完成 Frame Al的构造；
1.3.2 )当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略 判断需要对用户数据进行加密时， 按照如下步骤执行：
1.3.2.1 )数据帧加密处理模块调用密钥管理模块， 得到对数据帧进行保密 处理的密钥 KEY1以及密钥 KEY1的标识 keylndexl；
1.3.2.2 )数据帧加密处理模块根据得到的密钥 KEY1 , 调用算法模块， 利 用 KEY1的加密密钥对用户数据进行加密， 得到用户数据的密文；
1.3.3.3 )数据帧加密处理模块按照如下说明构造 Frame Al除 Frame Al.MIC 字段外的字段；
Frame Al .DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame Al.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al .isE字段， 取值为加密；
Frame Al.keylndex字段， 取值为密钥 KEY1的标识 keylndexl；
Frame Al. Payload字段， 取值为用户数据的密文；
1.3.3.4 )数据帧加密处理模块对构造好的除 Frame Al.MIC字段外的 Frame Al , 调用对应的算法模块， 利用 KEY1的完整性校验密钥计算 Frame Al.MIC字 段值； 完成 Frame A1的构造。
在支持的链路层加密协议数据帧包含 MIC字段的实施方式中，上述本发明 终端设备在接收数据帧时， 步骤 2.3 ) 的具体实施方式是：
2.3.1 ) 当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段是用户数据的明文时， 按照如下步骤执行：
2.3.1.1 )数据帧解密处理模块将 Frame A2.keyIndex字段信息， 提交给密钥 管理模块， 检索得到对 Frame A2进行保密处理的密钥 KEY2; 2.3.1.2 )数据帧解密处理模块利用得到的密钥 KEY2的完整性校验密钥部 分， 调用算法模块， 验证 Frame A2中 Frame A2.MIC字段的正确性； 若 Frame A2.MIC正确， 则执行步骤 2.3.1.3 ); 否则， 丢弃该分组；
2.3.1.3 )数据帧解密处理模块提取 Frame A2. Payload字段作为用户数据的 明文， 完成对 Frame A2的解析；
2.3.2 ) 当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段是用户数据的密文时， 按照如下步骤执行：
2.3.2.1 )数据帧解密处理模块将 Frame A2.keyIndex字段信息， 提交给密钥 管理模块， 检索得到对 Frame A2进行保密处理的密钥 KEY2;
2.3.2.2 )数据帧解密处理模块利用得到的密钥 KEY2的完整性校验密钥， 调用算法模块，验证 Frame A2中 Frame A2.MIC字段的正确性；若 Frame A2.MIC 正确， 则执行步骤 2.3.2.3 ); 否则， 丢弃该分组；
2.3.2.3 )数据帧解密处理模块利用得到的密钥 KEY2的加密密钥， 调用算 法模块对 Frame A2. Payload进行解密， 得到用户数据的明文， 完成对 Frame A2 的解析。
在终端设备支持链路层加密协议数据帧包含 MIC字段的实施方式中，具体 实施时，本发明终端设备对用户数据进行保护涉及的加密和完整性校验可实现 为步骤 1.3 ) 中数据帧加密处理模块先对用户数据进行加密构造数据帧的有效 负载 Payload字段，再对数据帧进行完整性校验， 构造 MIC字段； 此种实施方式 下， 步骤 2.3 )中数据帧解密处理模块先验证 MIC字段的正确性， 只有确定 MIC 字段正确后， 再解密数据帧的有效负载 Payload字段得到用户数据明文信息， 提交给上层。
在终端设备支持链路层加密协议数据帧包含 MIC字段的实施方式中，具体 实施时，本发明终端设备对用户数据进行保护涉及的加密和完整性校验可还可 实现为步骤 1.3 ) 中数据帧加密处理模块先将用户数据明文作为有效负载 Payload字段， 对数据帧计算完整性校验， 构造 MIC字段，再对用户数据明文进 行加密， 用得到的用户数据密文更新数据帧的有效负载 Payload字段； 此种实 施方式下， 步骤 2.3 ) 中数据帧解密处理模块先解密数据帧的有效负载 Payload 字段得到用户数据明文信息； 然后再验证 MIC字段的正确性， 只有确定 MIC字 段正确后， 之前解密得到的用户数据明文信息才有效， 才可提交给上层。
记终端设备与终端设备之间的密钥为站间密钥。
上文中所提到的任意实施例在具体实施时， 终端设备可使用终端设备
STA-A与终端设备 STA-B之间的站间密钥实现链路层保密传输。 如图 2所示， 端设备 STA-B之间的链路情况如何， 只需要使用与终端设备 STA-B之间的站间 密钥 KEY_AB对要发送的数据帧进行保护（加密和 /或计算完整性校验）即可； 终端设备 STA-B在接收来自终端设备 STA-A的数据帧时， 不管终端设备
STA-A与终端设备 STA-B之间的链路情况如何， 只需要使用与终端设备 STA-A 之间的站间密钥 KEY_AB对接收到的数据帧进行解保护 （解密和 /或验证完整 性校验）处理即可。
在使用站间密钥的实施方式中， 在终端设备 STA- A与终端设备 STA-B之间 的交换设备不需要对他们之间的数据帧进行加解密处理， 直接转发即可。
在使用站间密钥的实施方式中， 终端设备 STA-A和终端设备 STA-B之间的 交换设备可以具有链路层加解密能力，也可以不具有链路层加解密能力； 也即 使用站间密钥的实施方式中，支持具有链路层加解密能力的交换设备和不具有 链路层加解密能力的交换设备的混合组网。
另夕卜，本发明实施例的终端设备所支持的链路层加密协议数据帧中的帧头
Frame Header中，还可包含 MAClist字段； MAClist字段用于表示特定 MAC地址 列表信息， 该字段所给出的特定 MAC地址列表中的交换设备需要对接收到的 密文数据帧进行加解密处理； 该特定 MAC地址列表外的交换设备除非为目的 节点， 否则都只需要对该密文数据帧直接转发。 MAClist字段的存在可以使交 换设备不需要对所有要转发的数据帧都进行解密再加密再转发的操作。
如图 3所示， MAClist字段在具体实施时， 可定义为从发送端终端设备到目 的端终端设备的链路上的第一个具有链路层加解密能力的交换设备以及最后 一个具有链路层加解密能力的交换设备的 MAC地址列表。 设备 SW^交换设备 SW2的 MAC地址， 从终端设备 STA- A发往终端设备 STA-B 的数据帧， 只有交换设备 SWi和交换设备 SW2需要进行解密再加密再转发的处 理， 其他交换设备（如位于终端设备 STA-A到终端设备 STA-B的链路上其他交 换设备 SWM )直接转发即可；
SW2的 MAC地址信息后， 在构造数据帧时将 S 和 S W2的 MAC地址作为 MAClist字段进行传输； 发送的数据帧中加密用户数据以及计算 MIC字段使用 终端设备 STA-A与交换设备 SWi之间的密钥 KEY进行处理， 将 ΚΕΥ^ keylndexii^值到数据帧的 keylndex字段进行传输；
作为目的端终端设备的终端设备 STA-B在收到终端设备 STA-A发来的数 据帧时， 使用与交换设备 SW2之间的密钥 KEY2进行处理， 得到用户数据明文 信息。
在上述 MAClist字段实施方式中， 从终端设备 STA-A到终端设备 STA-B的 数据帧在传输过程中， 交换设备 8\^在收到终端设备 STA-A发给终端设备 STA-B的数据帧后， 利用 keylndex标识的密钥 5 解密用户数据； 交换设备 S W2在收到终端设备 STA- A发给终端设备 STA-B的数据帧后， 利用与 STA-B之 间的密钥 KE Y2加密用户数据， 并将 ΚΕ Υ2的 keylndex2更新至数据帧中的 keylndex字段进行传输。 其中， 数据帧在交换设备 SWi与交换设备 SW2之间可 以是明文传输， 也可以使用交换设备 8\^与交换设备 SW2之间的密钥进行加密 传输， 本发明实施例的不予限定；
在上述 MAClist字段实施方式中， 终端设备 STA-A与 SWr^间、 ^^ 2 之间、 SW2与终端设备 STA-B之间可以存在一个或多个不具有链路层加解密能 力的交换设备； 且 8\¥1与8\¥2之间还可存在一个或多个具有链路层加解密能力 层加解密能力的交换设备与不具有链路层加解密能力的交换设备的混合组网。

Claims

权 利 要 求
1、 一种具有链路层加解密能力的终端设备， 其特征在于： 所述终端设备 包括链路层处理模块， 所述链路层处理模块包括控制模块、数据帧加密处理模 块、 数据帧解密处理模块、 密钥管理模块、 算法模块、 发端口和收端口； 所述 控制模块通过数据帧加密处理模块接入发端口；所述收端口通过数据帧解密处 理模块接入控制模块； 所述控制模块和密钥管理模块相连； 所述数据帧加密处 理模块通过密钥管理模块和数据帧解密处理模块相连；所述数据帧加密处理模 块通过算法模块和数据帧解密处理模块相连； 其中，
所述控制模块具有策略管理和控制能力；
所述密钥管理模块具有链路层密钥管理能力， 并根据控制模块的策略需 要， 为终端设备与网络中的其他终端设备之间和 /或该终端设备与网络中的交 换设备之间建立共享的密钥， 并负责对密钥进行存储、 更新或删除管理操作； 所建立的共享密钥是预共享的或是在终端设备与其他终端设备或交换设备身 份鉴别成功后协商建立的；
所述数据帧加密处理模块在收到需要发送出去的用户数据后，通过与密钥 管理模块进行交互得到对应的密钥，再调用算法模块， 实现对用户数据的加密 处理， 得到用户数据的密文， 构造链路层加密数据帧， 并通过发端口将加密数 据帧发送出去；
所述数据帧解密处理模块在通过收端口接收到数据帧后，通过与密钥管理 模块进行交互得到对应的密钥，再调用算法模块，实现对数据帧进行解密处理， 得到用户数据的明文信息， 并通过控制模块将明文信息递交给上层；
所述算法模块涉及加解密算法和 /或完整性校验算法。
2、一种具有链路层加解密能力的终端设备的数据处理方法， 其特征在于： 所述方法包括：
1 )所述终端设备发送链路层加密协议数据帧时，
1.1 )所述终端设备的链路层控制模块接收上层所发送的需要链路层发送 的用户数据；
1.2 ) 由控制模块根据本地策略， 选择使用的链路层加密协议类型及保密 处理策略；并将选择的链路层加密协议类型及保密处理策略及用户数据信息发 送给数据帧加密处理模块；
1.3 )数据帧加密处理模块根据对应的链路层加密协议及保密处理策略处 理用户数据，判断是否需要对用户数据进行加密操作，并构造数据帧 Frame A1 ;
1.4 )数据帧加密处理模块将构造好的数据帧 Frame A1 , 通过发端口发送 出去， 从而完成链路层数据帧的发送；
2 )所述终端设备接收链路层加密协议数据帧时，
2.1 )终端设备通过物理层收到发给该终端设备的数据帧 Frame A2, 通过 收端口将接收到的数据帧 Frame A2交给数据帧解密处理模块；
2.2 )数据帧解密处理模块根据接收到的数据帧 Frame A2, 判断对应的链 路层加密协议；
2.3 )数据帧解密处理模块根据对应的链路层加密协议判断用户数据是否 是明文， 并解析数据帧 Frame A2, 得到用户数据：
2.4 )数据帧解密处理模块将得到的用户数据的明文通过控制模块提交给 上层， 从而完成链路层数据帧的接收；
其中， 所述数据帧 Frame A1是所述终端设备通过发端口发出的数据帧； 所 述数据帧 Frame A2是终端设备通过收端口收到的数据帧。
3、根据权利要求 2所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于： 该方法支持标准的 ISO/IEC 8802-3数据帧或链路层加密协议 数据帧， 所支持的链路层加密协议数据帧中包括： 帧头 Frame Header字段以及 有效负载 Payload字段：
所述 Frame Header字段， 表示帧头信息， 包括 DA字段、 SA字段、 Ethertype 字段、 isE字段以 eylndex字段；
其中：
DA字段： 表示目的节点的标识， 取值目的节点的 MAC地址；
SA字段： 表示源节点的标识， 取值源节点的 MAC地址； Ethertype字段： 表示以太类型字段， 取值为链路层加密协议的以太类型字 段； 用于标识对应的链路层加密协议及帧结构；
isE字段： 表示加密标志位， 用于标识数据帧的有效负载是用户数据的明 文信息还是密文信息，数据包的接收方将该字段作为是否需要解密的一个判断 因素；
keylndex字段： 表示对用户数据进行保护的密钥的标识； 所述对用户数据 进行保护的方式是加密和 /或计算完整性校验的； 所述对用户数据进行保护的 密钥是该终端设备和交换设备之间的密钥或是该终端设备和目的端终端设备 之间的密钥；
Payload字段， 表示数据帧有效负载， 所述 Payload字段是用户数据的明文 信息或是用户数据的密文信息； 当 isE字段表示加密时， 有效负载是用户数据 的密文信息； 当 isE字段表示不加密时， 有效负载是用户数据的明文信息。
4、根据权利要求 3所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于：
当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略判断 不需要对用户数据进行加密时， 所述步骤 1.3 ) 包括：
数据帧加密处理模块构造数据帧 Frame A1 ,所述数据帧 Frame A1各字段取 值如下：
Frame A1.DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame A 1.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al .isE字段， 取值为不加密；
Frame A 1. keylndex字段， 取值不限制 （用户数据不加密时该字段没有意 义）；
Frame Al. Payload字段， 取值为用户数据；
当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略判断 需要对用户数据进行加密时， 所述步骤 1.3 ) 包括：
1.3.1.1 )数据帧加密处理模块调用密钥管理模块， 得到对用户数据进行加 密的密钥 KEY1以及密钥 KEY1的标识 keylndexl；
1.3.1.2 )数据帧加密处理模块根据得到的密钥 KEY1 , 调用算法模块对用 户数据进行加密， 得到用户数据的密文；
1.3.1.3 )数据帧加密处理模块构造数据帧 Frame A1 ; 所述数据帧 Frame A1 各字段取值如下：
Frame A1.DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame Al.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al.isE字段， 取值为加密；
Frame A 1.keylndex字段， 取值为密钥 KEY 1的标识 keylndex 1；
Frame Al. Payload字段， 取值为用户数据的密文；
所述 KEY1是终端设备发送的数据帧 Frame A1中 Payload字段是用户数据 的密文信息时， 构造数据帧 Frame A1所使用的密钥。
5、根据权利要求 3所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于：
当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段 是用户数据的明文时， 所述步骤 2.3 )包括： 提取 Frame A2. Payload字段， 完成 对数据帧 Frame A2的解析， 得到用户数据；
当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段 是用户数据的密文时， 所述步骤 2.3 ) 包括：
2.3.1.1 )数据帧解密处理模块将 Frame A2.keylndex字段信息提交给密钥管 理模块， 检索得到对 Frame A2. Payload进行解密的密钥 KEY2;
2.3.1.2 ) 数据帧解密处理模块根据得到的密钥 KEY2 , 调用算法模块对 Frame A2. Payload进行解密， 得到用户数据的明文， 完成对 Frame A2的解析， 得到用户数据；
所述 KEY2是终端设备接收的数据帧 Frame A2中 Payload字段是用户数据 的密文信息时， 解析 Frame A2所使用的密钥。
6、根据权利要求 3所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于： 所述方法所支持的链路层加密协议数据帧中还包含完整性校 验 MIC字段； 所述 MIC字段是对链路层解密协议数据帧除 MIC字段外所有字段 或部分字段计算得到的完整性校验值；所述数据帧进行保密处理的密钥包含完 整性校验密钥和加密密钥两部分；所述完整性校验密钥用于计算或验证 MIC字 段； 所述加密密钥部分用于加密用户数据或解密用户数据的密文。
7、根据权利要求 6所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于：
当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略判断 不需要对用户数据进行加密时， 所述步骤 1.3 ) 包括：
1.3.2.1 )数据帧加密处理模块调用密钥管理模块， 得到对数据帧进行保密 处理的密钥 KEY1以及密钥 KEY1的标识 keylndexl；
1.3.2.2 )数据帧加密处理模块构造数据帧 Frame A1除 Frame A1.MIC字段外 所有字段； 所述数据帧 Frame Al除 Frame A 1. MIC外所有字段取值如下：
Frame Al .DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame Al.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al .isE字段， 取值为不加密；
Frame Al.keylndex字段， 取值为密钥 KEY1的标识 keylndexl；
Frame Al. Payload字段， 取值为用户数据；
1.3.2.3 ) 数据帧加密处理模块对构造好的除 Frame A1.MIC字段外的帧
Frame A1 , 调用对应的算法模块， 利用 KEY1的完整性校验密钥计算完整性校 验 Frame A1.MIC字段值； 完成帧 Frame Al的构造； 当数据帧加密处理模块根据对应的链路层加密协议及保密处理策略判断 需要对用户数据进行加密时， 所述步骤 1.3 ) 包括：
1.3.3.1 )数据帧加密处理模块调用密钥管理模块， 得到对数据帧进行保密 处理的密钥 KEY1以及密钥 KEY1的标识 keylndexl；
1.3.3.2 )数据帧加密处理模块根据得到的密钥 KEY1 , 调用算法模块， 利 用 KEY1的加密密钥对用户数据进行加密， 得到用户数据的密文；
1.3.3.3 )数据帧加密处理模块构造数据帧 Frame A1除 Frame A1.MIC字段外 所有字段； 所述数据帧 Frame A 1除 Frame A 1.MIC外所有字段取值如下：
Frame Al .DA字段， 取值为目的节点的 MAC地址；
Frame A1.SA字段， 取值为该终端设备的 MAC地址；
Frame Al.Ethertype字段， 取值为对应的链路层加密协议的以太类型字段 值；
Frame Al .isE字段， 取值为加密；
Frame Al.keylndex字段， 取值为密钥 KEY1的标识 keylndexl；
Frame Al. Payload字段， 取值为用户数据的密文；
1.3.3.4 )数据帧加密处理模块对构造好的除 Frame A1.MIC字段外的数据帧 Frame A1 , 调用对应的算法模块， 利用 KEY1的完整性校验密钥计算完整性校 验 Frame A1.MIC字段值； 完成数据帧 Frame Al的构造。
8、根据权利要求 6所述的具有链路层加解密能力的终端设备的数据处理方 法， 其特征在于：
当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段 是用户数据的明文时， 所述步骤 2.3 ) 包括：
2.3.2.1 )数据帧解密处理模块将 Frame A2.keyIndex字段信息， 提交给密钥 管理模块， 检索得到对数据帧 Frame A2进行解保密处理的密钥 KEY2;
2.3.2.2 )数据帧解密处理模块利用得到的密钥 KEY2的完整性校验密钥部 分， 调用算法模块， 验证数据帧 Frame A2中 Frame A2.MIC字段的正确性； 若 Frame A2.MIC正确， 则执行步骤 2.3.2.3 ); 若不正确， 则丢弃该分组；
2.3.2.3 )数据帧解密处理模块提取 Frame A2. Payload字段作为用户数据的 明文， 完成对数据帧 Frame A2的解析；
当数据帧解密处理模块根据 Frame A2.isE字段判断 Frame A2. Payload字段 是用户数据的密文时， 所述步骤 2.3 ) 包括：
2.3.3.1 )数据帧解密处理模块将 Frame A2.keyIndex字段信息， 提交给密钥 管理模块， 检索得到对数据帧 Frame A2进行解保密处理的密钥 KEY2;
2.3.3.2 )数据帧解密处理模块利用得到的密钥 KEY2的完整性校验密钥， 调用算法模块， 验证数据帧 Frame A2中 Frame A2.MIC字段的正确性； 若 Frame A2.MIC正确， 则执行步骤 2.3.3.3 ); 否不正确， 则丢弃该分组；
2.3.3.3 )数据帧解密处理模块利用得到的密钥 KEY2的加密密钥， 调用算 法模块对 Frame A2. Payload进行解密， 得到用户数据的明文， 完成对数据帧 Frame A2的解析。
9、根据权利要求 6所述的具有链路层加解密能力的终端设备的数据处理方 法，其特征在于：当终端设备对用户数据进行保护涉及的加密和完整性校验时， 若所述步骤 1.3 ) 中数据帧加密处理模块是先对用户数据进行加密构造数据帧 的有效负载 Payload字段，再对数据帧进行完整性校验构造 MIC字段时，所述步 骤 2.3 ) 中数据帧解密处理模块在接收到数据帧时， 先验证 MIC字段的正确性， 只有确定 MIC字段正确后，再解密数据帧的有效负载 Payload字段得到用户数据 明文信息， 提交给上层；
当终端设备对用户数据进行保护涉及的加密和完整性校验时，若所述步骤
1.3 ) 中数据帧加密处理模块是先将用户数据明文作为有效负载 Payload字段， 对数据帧计算完整性校验构造 MIC字段， 再对用户数据明文进行加密， 用得到 的用户数据密文更新数据帧的有效负载 Payload字段时， 所述步骤 2.3 ) 中数据 帧解密处理模块先解密数据帧的有效负载 Payload字段得到用户数据明文信 息； 然后再验证 MIC字段的正确性， 只有确定 MIC字段正确后， 之前解密得到 的用户数据明文信息才有效， 提交给上层。
10、 根据权利要求 2-9中任意一项所述的具有链路层加解密能力的终端设 备的数据处理方法， 其特征在于： 上述步骤 1.3 )、 2.3 ) 中 Frame Al.Keylndex 和 Frame A2.KeyIndex都指示具有链路层加解密能力的终端设备与对端终端设 备的站间密钥时，具有链路层加解密能力的终端设备在发送数据帧给对端终端 设备时，使用与对端终端设备之间的站间密钥对要发送的数据帧进行保护，所 述保护指加密和 /或计算完整性校验； 具有链路层加解密能力的终端设备在接 收来自对端终端设备的数据帧时，使用与对端终端设备之间的站间密钥对接收 到的数据帧进行解保护处理， 所述解保护指解密和 /或验证完整性校验。
11、 根据权利要求 2-9中任意一项所述的具有链路层加解密能力的终端设 备的数据处理方法， 其特征在于： 所述方法所支持的链路层加密协议数据帧帧 头 Frame Header中，还包括 MAClist字段； 所述 MAClist字段用于表示特定 MAC 地址列表信息， 该字段所给出的特定 MAC地址列表中的交换设备需要对接收 到的密文数据帧进行解密再加密再转发的处理； 该特定 MAC地址列表外的交 换设备除非为目的节点， 否则都只需要对该密文数据帧直接转发。
12、根据权利要求 11所述的具有链路层加解密能力的终端设备的数据处理 方法， 其特征在于： 上述 MAClist字段用于定义从发送端终端设备到目的端终 端设备的链路上的第一个具有链路层加解密能力的交换设备以及最后一个具 有链路层加解密能力的交换设备的 MAC地址列表，
上述步骤 1.3 )中具有链路层加解密能力的终端设备作为发送端终端设备， 对端终端设备作为目的端终端设备；具有链路层加解密能力的终端设备在获得 从具有链路层加解密能力的终端设备到对端终端设备链路上的第一个具有链 路层加解密能力的交换设备 sw^、及最后一个具有链路层加解密能力的交换 设备 SW2的 MAC地址信息后， 在构造数据帧时 MAClist字段包含 SW^PSW2的 MAC地址， 并使用发送端终端设备和从发送端终端设备到目的端终端设备的 链路上的第一个具有链路层加解密能力的交换设备之间的密钥对数据帧进行 保密处理， 即使用具有链路层加解密能力的终端设备与 SWi之间的密钥 KEY 对数据帧进行保密处理， 将 KEY^^keylndeXi赋值到数据帧的 keylndex字段进 行传输； 所述对数据帧进行保密处理指加密或 /和计算完整性校验； 上述步骤 2.3 )中具有链路层加解密能力的终端设备作为目的端终端设备， 对端终端设备作为发送端终端设备；具有链路层加解密能力的终端设备在收到 来自对端终端设备发来的数据帧时， 提取 MAClist字段得到从发送端终端设备 到目的端终端设备的链路上的最后一个具有链路层加解密能力的交换设备的 MAC地址信息， 并使用与这个交换设备之间的密钥对数据帧进行解保密处理， 即具有链路层加解密能力的终端设备提取 MAClist字段得到 SWi的 MAC地址信 息， 使用与 SWi之间的密钥 KEY进行解保密处理， 得到用户数据明文信息； 所述对数据帧进行解保密处理指解密或 /和验证完整性校验。
PCT/CN2011/075854 2010-12-20 2011-06-17 一种具有链路层加解密能力的终端设备及其数据处理方法 WO2012083652A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/995,641 US9009466B2 (en) 2010-12-20 2011-06-17 Terminal device capable of link layer encryption and decryption and data processing method thereof
KR1020137019262A KR101421399B1 (ko) 2010-12-20 2011-06-17 링크 계층 암호화/복호화 능력을 구비하는 단말 장치 및 그의 데이터 처리 방법

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2010105966636A CN102130768B (zh) 2010-12-20 2010-12-20 一种具有链路层加解密能力的终端设备及其数据处理方法
CN201010596663.6 2010-12-20

Publications (1)

Publication Number Publication Date
WO2012083652A1 true WO2012083652A1 (zh) 2012-06-28

Family

ID=44268668

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/075854 WO2012083652A1 (zh) 2010-12-20 2011-06-17 一种具有链路层加解密能力的终端设备及其数据处理方法

Country Status (4)

Country Link
US (1) US9009466B2 (zh)
KR (1) KR101421399B1 (zh)
CN (1) CN102130768B (zh)
WO (1) WO2012083652A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111510916A (zh) * 2020-04-08 2020-08-07 国网上海市电力公司 一种wams数据加密、解密方法、装置及系统
CN111541699A (zh) * 2020-04-24 2020-08-14 国网河北省电力有限公司电力科学研究院 一种基于iec102通信规约安全传输数据的方法

Families Citing this family (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9219709B2 (en) * 2012-03-27 2015-12-22 Saife, Inc. Multi-wrapped virtual private network
US9286491B2 (en) 2012-06-07 2016-03-15 Amazon Technologies, Inc. Virtual service provider zones
US9590959B2 (en) 2013-02-12 2017-03-07 Amazon Technologies, Inc. Data security service
US10075471B2 (en) 2012-06-07 2018-09-11 Amazon Technologies, Inc. Data loss prevention techniques
US10084818B1 (en) 2012-06-07 2018-09-25 Amazon Technologies, Inc. Flexibly configurable data modification services
US10467422B1 (en) 2013-02-12 2019-11-05 Amazon Technologies, Inc. Automatic key rotation
US9367697B1 (en) 2013-02-12 2016-06-14 Amazon Technologies, Inc. Data security with a security module
US10211977B1 (en) 2013-02-12 2019-02-19 Amazon Technologies, Inc. Secure management of information using a security module
US9608813B1 (en) 2013-06-13 2017-03-28 Amazon Technologies, Inc. Key rotation techniques
US9705674B2 (en) 2013-02-12 2017-07-11 Amazon Technologies, Inc. Federated key management
US9300464B1 (en) 2013-02-12 2016-03-29 Amazon Technologies, Inc. Probabilistic key rotation
US10210341B2 (en) * 2013-02-12 2019-02-19 Amazon Technologies, Inc. Delayed data access
US9730268B2 (en) 2013-06-07 2017-08-08 Apple Inc. Communication between host and accessory devices using accessory protocols via wireless transport
CN103441983A (zh) * 2013-07-11 2013-12-11 盛科网络（苏州）有限公司 基于链路层发现协议的信息保护方法和装置
CN103685247A (zh) * 2013-12-04 2014-03-26 冯丽娟 安全通信方法、装置、系统以及安全主板
CN103795715A (zh) * 2014-01-20 2014-05-14 冯丽娟 隐私保护方法、恢复方法及隐私保护系统
US9397835B1 (en) 2014-05-21 2016-07-19 Amazon Technologies, Inc. Web of trust management in a distributed system
US9438421B1 (en) 2014-06-27 2016-09-06 Amazon Technologies, Inc. Supporting a fixed transaction rate with a variably-backed logical cryptographic key
US9509717B2 (en) * 2014-08-14 2016-11-29 Masergy Communications, Inc. End point secured network
US9866392B1 (en) 2014-09-15 2018-01-09 Amazon Technologies, Inc. Distributed system web of trust provisioning
US20160285834A1 (en) * 2014-11-10 2016-09-29 Qualcomm Incorporated Techniques for encrypting fields of a frame header for wi-fi privacy
CN105471711A (zh) * 2015-11-23 2016-04-06 天津光电安辰信息技术有限公司 一种基于智能手机的邮件加密系统及其实现方法
CN105681329A (zh) * 2016-02-29 2016-06-15 浪潮（苏州）金融技术服务有限公司 一种数据处理的方法和装置
CN105827659B (zh) * 2016-05-30 2019-11-15 中国邮政储蓄银行股份有限公司 应用于移动终端的安全控制系统
CN106301765B (zh) * 2016-10-14 2020-01-14 盛科网络（苏州）有限公司 加密和解密芯片及其实现加密和解密的方法
CN106790741B (zh) * 2016-11-24 2020-07-14 上海易杵行智能科技有限公司 一种基于链路层数据通信的级联设备自动分配网络地址的方法
CN107040376A (zh) * 2017-05-18 2017-08-11 烽火通信科技股份有限公司 一种量子保密光通信的方法及系统
KR102023416B1 (ko) 2017-08-18 2019-09-23 (주)한드림넷 네트워크 스위치 및 그것에 의해 수행되는 데이터 링크 계층에서의 암호화 구간 설정 방법
CN107612679B (zh) * 2017-09-05 2021-02-05 郑州中科集成电路与信息系统产业创新研究院 一种基于国密算法的以太网桥加扰终端
CN107911369A (zh) * 2017-11-20 2018-04-13 济南浪潮高新科技投资发展有限公司 一种支持快速加解密的数据存储交换系统及方法
CN108055268A (zh) * 2017-12-17 2018-05-18 天津津航计算技术研究所 一种基于PCIe链路数据透传加解密的方法
CN110009499B (zh) * 2019-04-17 2021-05-11 北京八分量信息科技有限公司 一种基于区块链和隐藏地址的交易方法及系统
US10944550B2 (en) * 2019-07-12 2021-03-09 Providence Interests, Llc Over-the-top end-to-end information security in a data center operating environment
US11528601B1 (en) 2021-06-09 2022-12-13 T-Mobile Usa, Inc. Determining and ameliorating wireless telecommunication network functionalities that are impaired when using end-to-end encryption
US12052229B2 (en) * 2021-07-30 2024-07-30 Cisco Technology, Inc. Secure frame encryption as a service
CN114584302B (zh) * 2022-03-08 2023-09-19 中国人民解放军国防科技大学 一种实时以太网总线式工控系统的数据加密通信方法
CN115277200B (zh) * 2022-07-27 2023-08-15 北京国领科技有限公司 一种链路层透明加密系统多节点密钥自动协商管理的方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1342376A (zh) * 1999-12-27 2002-03-27 三菱电机株式会社 无线通讯装置及无线通讯方法
CN101431408A (zh) * 2007-11-09 2009-05-13 北京华旗资讯数码科技有限公司 可实现通信终端与无线局域网连接的加密装置
US20100166183A1 (en) * 2008-12-31 2010-07-01 David Johnston Optimizing security bits in a media access control (mac) header

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7693284B2 (en) * 2004-09-23 2010-04-06 Motorola, Inc. Method and apparatus for encryption of over-the-air communications in a wireless communication system
US8160244B2 (en) * 2004-10-01 2012-04-17 Broadcom Corporation Stateless hardware security module
KR100723832B1 (ko) * 2004-12-22 2007-05-31 한국전자통신연구원 링크 보안을 위한 매체 접근 제어 보안 장치 및 송수신방법
KR100749849B1 (ko) * 2005-12-10 2007-08-16 한국전자통신연구원 무선 인터넷 시스템의 하위 매체 접근 계층 장치 및 그를이용한 데이터 처리 방법
CN101043335A (zh) * 2007-03-12 2007-09-26 中国建设银行股份有限公司 一种信息安全控制系统
US8271775B2 (en) * 2008-12-17 2012-09-18 Cisco Technology, Inc. Layer two encryption for data center interconnectivity
CN101741548B (zh) * 2009-12-18 2012-02-01 西安西电捷通无线网络通信股份有限公司 交换设备间安全连接的建立方法及系统
CN101917272B (zh) * 2010-08-12 2012-07-18 西安西电捷通无线网络通信股份有限公司 一种邻居用户终端间保密通信方法及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1342376A (zh) * 1999-12-27 2002-03-27 三菱电机株式会社 无线通讯装置及无线通讯方法
CN101431408A (zh) * 2007-11-09 2009-05-13 北京华旗资讯数码科技有限公司 可实现通信终端与无线局域网连接的加密装置
US20100166183A1 (en) * 2008-12-31 2010-07-01 David Johnston Optimizing security bits in a media access control (mac) header

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111510916A (zh) * 2020-04-08 2020-08-07 国网上海市电力公司 一种wams数据加密、解密方法、装置及系统
CN111541699A (zh) * 2020-04-24 2020-08-14 国网河北省电力有限公司电力科学研究院 一种基于iec102通信规约安全传输数据的方法

Also Published As

Publication number Publication date
CN102130768B (zh) 2012-11-07
US20130283045A1 (en) 2013-10-24
CN102130768A (zh) 2011-07-20
KR101421399B1 (ko) 2014-07-18
KR20130107348A (ko) 2013-10-01
US9009466B2 (en) 2015-04-14

Similar Documents

Publication Publication Date Title
WO2012083652A1 (zh) 一种具有链路层加解密能力的终端设备及其数据处理方法
KR101485279B1 (ko) 링크 계층 보안 전송을 지원하는 스위칭 장치 및 그의 데이터 처리 방법
US10298595B2 (en) Methods and apparatus for security over fibre channel
CN105553981B (zh) 一种wlan网络快速认证和密钥协商方法
WO2012019466A1 (zh) 邻居用户终端间保密通信方法、终端、交换设备及系统
JP2005184463A (ja) 通信装置および通信方法
WO2011038620A1 (zh) 一种移动通讯网络中的接入认证方法、装置及系统
AU2005226659B2 (en) Methods and apparatus for confidentiality protection for fibre channel common transport
WO2010135890A1 (zh) 基于对称加密算法的双向认证方法及系统
JP2012010254A (ja) 通信装置、通信方法及び通信システム
WO2011072513A1 (zh) 交换设备间安全连接的建立方法及系统
Cho et al. Secure open fronthaul interface for 5G networks
Yang et al. An improved security scheme in WMAN based on IEEE standard 802.16
WO2011143945A1 (zh) 一种端到端共享密钥的建立方法、系统及装置
WO2011134293A1 (zh) 一种局域网节点间安全连接建立方法及系统
Dubroca MACsec: Encryption for the wired LAN
WO2014117524A1 (zh) Wlan接入网络中传递成对主密钥的方法和系统
WO2011134291A1 (zh) 一种节点间密钥的建立方法、系统及装置
KR100729729B1 (ko) 무선 휴대 인터넷 시스템의 액세스 포인트의 인증 장치 및그 방법
WO2011134292A1 (zh) 一种节点间通信密钥的建立方法、系统及装置
CN117201200B (zh) 基于协议栈的数据安全传输方法
JP2017135527A (ja) 通信装置
Roepke et al. A Survey on Protocols securing the Internet of Things: DTLS, IPSec and IEEE 802.11 i
CN117201052A (zh) 基于量子密码qvpn一次一密能源数据传输的方法、存储装置及智能终端
KR100411436B1 (ko) 가상 사설망에서 라우터의 계산을 분산시키는 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11850084

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13995641

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20137019262

Country of ref document: KR

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 11850084

Country of ref document: EP

Kind code of ref document: A1