WO2012083653A1 - 支持链路层保密传输的交换设备及其数据处理方法 - Google Patents

支持链路层保密传输的交换设备及其数据处理方法 Download PDF

Info

Publication number
WO2012083653A1
WO2012083653A1 PCT/CN2011/075856 CN2011075856W WO2012083653A1 WO 2012083653 A1 WO2012083653 A1 WO 2012083653A1 CN 2011075856 W CN2011075856 W CN 2011075856W WO 2012083653 A1 WO2012083653 A1 WO 2012083653A1
Authority
WO
WIPO (PCT)
Prior art keywords
frame
port
field
key
data
Prior art date
Application number
PCT/CN2011/075856
Other languages
English (en)
French (fr)
Inventor
铁满霞
李琴
杜志强
Original Assignee
西安西电捷通无线网络通信股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 西安西电捷通无线网络通信股份有限公司 filed Critical 西安西电捷通无线网络通信股份有限公司
Priority to KR1020137019230A priority Critical patent/KR101485279B1/ko
Priority to JP2013545016A priority patent/JP2014505402A/ja
Priority to US13/995,593 priority patent/US9264405B2/en
Publication of WO2012083653A1 publication Critical patent/WO2012083653A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Definitions

  • Switching device supporting link layer secure transmission and data processing method thereof
  • the invention belongs to the field of network security, and relates to a switching device supporting link layer confidential transmission and a data processing method thereof.
  • Wired LANs are generally broadcast networks. Data sent by one node can be received by other nodes. Each node on the network shares a channel, which brings great security risks to the network. As long as the attacker accesses the network for monitoring, it can capture all the packets on the network. The LAN does not provide a method of data privacy, which makes it easy for an attacker to steal critical information.
  • the IEEE 802.1AE standard developed by IEEE provides a data encryption protocol for protecting Ethernet, and uses hop-by-hop encryption security measures to securely communicate data between network nodes.
  • the switching device supporting GB/T 15629.3 directly forwards all data packets, does not have the link layer security transmission capability, and the transmitted data packet information is easily intercepted; the IEEE 802.1 AE-enabled switching device only supports hop-by-hop encryption. All the encrypted data packets that are forwarded are decrypted and then encrypted, and the switching device has a heavy computing burden, and the network data transmission delay is large.
  • the embodiment of the present invention provides a switching device and a data processing method thereof, which can reduce the computational burden of the switching device and the network upgrade cost, and support the link layer security transmission.
  • the embodiment of the present invention provides a switching device that supports link layer security transmission, where the switching device includes a switching module and multiple port modules, and each port module is electrically connected to the switching module respectively; the port module supports the link layer. Key management capability for establishing a shared key for encrypting and decrypting data frames between the switching device and other network nodes.
  • the embodiment of the invention further provides a data processing side of a switching device that supports link layer secure transmission.
  • Method includes:
  • Port X receives the data frame Frame Al and submits it to the security processing module of the port Port X;
  • the data frame Frame A1 includes the first frame header and the first valid load;
  • the security processing module of the switching device port Port X processes the Frame A1 according to the information of the first frame header of the Frame Al, the key management module and the algorithm module of the port Port X, constructs the frame A2, and submits the switching module to the switching device;
  • the data frame Frame A2 includes a second frame header and a second payload;
  • the switching module of the switching device extracts the information of the second frame header of the frame A2. If the DA field in the second frame header is consistent with the MAC address of the switching device, the switching device delivers the second payload of the Frame A2 to the upper layer of the link layer. (such as network layer, application layer, etc.) processing; if they are inconsistent, the switching device will correctly exchange Frame A2 to the security processing module of port Port Y according to the local MAC address learning information;
  • the security processing module of the switching device port Port Y according to the information of the second frame header, the key management module and the algorithm module of the port Port Y are processed to process the frame A2, the frame A3 is constructed, and the frame A3 is output through the interface module of the port Port Y.
  • the data frame Frame A3 includes a third frame header and a third payload;
  • Port X The first port module of the switching device, the Port X is used as the input port of the data frame Frame A;
  • Port Y The second port module of the switching device, the Port Y is used as the output port of the data frame Frame A;
  • Frame A 1 indicates the data frame received by the interface module of port Port X.
  • Frame A2 indicates the data frame submitted by the security processing module of the port Port X to the switching module;
  • Frame A3 indicates the data frame finally output by the interface module of the port Port Y;
  • the switching device needs to decrypt the data frame and then encrypt and process the data frame, and then decrypt the data frame Frame A1 to construct the key used by Frame A2.
  • KEY1 The data key Frame A2 is encrypted and the key used by Frame A3 is KEY2; then the switching device Port X decrypts Frame A 1 with KEY1 to construct Frame A2; Port Y uses ⁇ 2 to encrypt Frame A2.
  • the switching device supporting the link layer secure transmission provided by the embodiment of the present invention can support standard ISO/IEC 8802-3 data frames and various link layer encryption protocol data frames, including IEEE 802.1AE protocol data frames. While implementing forward compatibility, support for various link layer encryption protocols can be implemented, and data frames can be securely transmitted at the link layer to improve network security.
  • the switching device supporting the link layer secure transmission provided by the embodiment of the present invention has the capability of processing the link layer encryption protocol data frame including the MAClist field, in addition to supporting the link layer secure transmission, compared with the IEEE 802.1 AE switching device. The operation of decrypting, encrypting, and forwarding all data frames to be forwarded is not required, thereby reducing the computational burden of the switching device.
  • the switching device of the embodiment of the present invention supports multiple data frames, and thus has the capability of hybrid networking with other switching devices, and the network upgrade cost is smaller.
  • FIG. 1 is a schematic diagram of a switching device supporting link layer secure transmission according to an embodiment of the present invention
  • FIG. 2 is a flow chart of data processing of a switching device supporting link layer secure transmission according to an embodiment of the present invention.
  • a switching device supporting a link layer secure transmission includes a switching module and a plurality of port modules; wherein all port modules are electrically connected to the switching module respectively; each port module includes an algorithm.
  • Each port module supports link layer key management capability, and may establish a shared key between the switching device and other network nodes for encrypting and decrypting data frames; the established shared key may be pre-shared. It can also be negotiated after the node identity authentication succeeds, and is managed and stored by the key management module of the port module.
  • the algorithm module involves an encryption and decryption algorithm and/or an integrity check algorithm, which may be a hardware implementation or a software implementation.
  • the switching device supporting the link layer secure transmission provided by the embodiment of the present invention supports the standard ISO/IEC
  • the 8802-3 data frame also supports the link layer encryption protocol data frame.
  • the supported link layer encryption protocol data frame includes the frame header and the payload, as shown in Table 1 below:
  • the frame header is shown in Table 2 below:
  • DA field indicates the identifier of the destination node, which is the MAC address of the destination node.
  • SA field indicates the identifier of the source node, and the MAC address of the source node.
  • Ethertype field indicates an Ethernet type field, which is an Ethernet type field of the link layer encryption protocol; and is used to identify a corresponding link layer encryption protocol and a frame structure;
  • the isE field indicates an encryption flag bit, which is used to identify whether the payload of the data frame is plaintext information of the user data or ciphertext information, and the receiver of the data packet regards the field as a determining factor of whether decryption is required;
  • Keylndex field indicates the identifier of the key that protects the payload
  • MAClist field indicates a specific MAC address list information, the field is an optional field;
  • payload field represents user data information, which may be plaintext information of user data or ciphertext information of user data;
  • the MAC address field is present, if the switching device in the specific MAC address list given by the MAClist field is the destination node, the received data frame needs to be decrypted and received; if not, the destination node needs to receive the received data frame. If the data device is not the destination node, Only need to forward the received ciphertext data packet directly;
  • the MAClist field does not exist, if the switching device that receives the data frame is the destination node, the received data frame needs to be decrypted and received. If it is not the destination node, the received number is required. Decrypt according to the frame, then encrypt and then forward.
  • the retrieval information of the key used by the switching device in the specific MAC address list given by the field to decrypt the ciphertext packet includes MAClist, SA, keylndex; the retrieval information of the key used for encryption includes MAClist, DA.
  • the switching device needs to decrypt and re-encrypt all the ciphertext data packets to be forwarded, and the retrieval information of the key used for decrypting the ciphertext data packet includes SA and keylndex; the key used for encryption The retrieved information contains the DA.
  • the specific method for determining the key retrieval information is not limited in the embodiment of the present invention, and is defined by an Ethertype-identified link layer encryption protocol specifically supported by the switching device.
  • Ethertype-identified link layer encryption protocol specifically supported by the switching device.
  • the port module of the switching device supporting the link layer security transmission may be an entry of the switching device or an exit of the switching device.
  • the data frame Frame A is taken as an example.
  • Frame A is input from the port Port X of the switching device and is output from the port Port Y.
  • the frame A 1 - A3 is used for identification. among them:
  • Frame A1 indicates the data frame received by the port Port X interface module.
  • Frame A2 indicates the data frame submitted by the port X security processing module to the switch module;
  • Frame A3 Indicates the data frame finally output by the port Port Y interface module.
  • the switching device needs to decrypt the data frame and then encrypt and process the data frame
  • the key used for decrypting the data frame Frame A1 to construct Frame A2 is recorded as KEY1; Frame A2 encryption processing structure
  • the key used by Frame A3 is denoted as KEY2; then the switching device Port X decrypts Frame A 1 with KEY1 to construct Frame A2; Port Y encrypts frame A2 with ⁇ 2 to construct Frame A3.
  • the implementation manner of the data processing flow of the switching device supporting the link layer security transmission in the embodiment of the present invention is as follows: 1) The interface module of the switching device port Port X receives the data frame Frame Al and submits it to the security processing module of the port Port X;
  • Switching device port Port X's security processing module according to the frame header information of Frame Al, combines the key management module and algorithm module of port Port X to process Frame A1, constructs Frame A2, and submits the switching module to the switching device;
  • the switching module of the switching device extracts the frame header 2 information of Frame A2. If the DA field in the frame header 2 is consistent with the MAC address of the switching device, the switching device delivers the Frame A2 payload 2 to the upper layer of the link layer (such as the network layer). , application layer, etc.); otherwise, the switching device will learn the information according to the local MAC address, and correctly exchange Frame A2 to the security processing module of port Port Y;
  • the security processing module of the switching device port Port Y according to the information of the frame header 2, the key management module and the algorithm module of the port Port Y are used to process the frame A2, the frame A3 is constructed, and the frame module of the port Port Y is outputted by the interface module;
  • step 2) The specific process of step 2) above is:
  • the port Port X security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in the data frame Frame Al, and determines whether the payload 1 is encrypted according to the isE field, and if there is encryption, step 2.2); Otherwise, frame A1 is directly used as Frame A2, that is, frame header 2 is the same as frame header 1, payload 2 is the same as payload 1, and step 2.6 is performed;
  • step 2.3 If there is a MAClist field in the data frame Frame Al, it is determined whether the MAC address of the switching device is in the specific MAC address list given by the MAClist field. If not in the list, Frame A 1 is directly used as Frame A2, ie Frame header 2 is the same as frame header 1, payload 2 is the same as payload 1, and step 2.6) is performed. If the MAC address of the switching device is in the list, step 2.3); if there is no MAClist field in the data frame Frame Al, Directly perform step 2.3);
  • the port Port X security processing module determines the retrieval information of the key KEY1 for performing confidential processing on the Frame Al according to the keylndex field and the SA field of the data frame Frame Al or the keylndex field, the SA field and the MAClist field of the data frame Frame Al.
  • the retrieval information of the key KEY1 is sent to the key management module of the port Port X;
  • the port X key management module searches for the corresponding information based on the retrieval information of the key KEY1. Key KEY1, and feedback key KEY1 to the security processing module of port Port X;
  • Port Port X's security processing module calls the algorithm module, enters the key KEY1 and the payload 1 of Frame A1, decrypts the plaintext information of Frame A1 payload 1, and constructs FrameA2:
  • the plaintext information of Frame A1 payload 1 is used as The payload 1 of Frame A2, the frame header 1 information of Frame A1 is directly used as the frame header 2 information of Frame A2, that is, frame header 2 is the same as frame header 1, and payload 2 is the plaintext information of payload 1;
  • Port Port X's security processing module submits Frame A2 to the switch module.
  • step 4 The specific process of step 4) above is:
  • the port Y security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in Frame A2, and determines whether the payload 2 needs to be encrypted and transmitted in the ciphertext according to the isE field. If encryption is required, go to step 4.2); otherwise, frame A2 is directly used as Frame A3, that is, frame header 3 is the same as frame header 2, payload 3 is the same as payload 2, and step 4.6 is performed;
  • step 4.3 If there is a MAClist field in the data frame Frame A2, it is determined whether the MAC address of the switching device is in the specific MAC address list given by the MAClist field. If not in the list, Frame A2 is directly used as Frame A3, ie, frame. The first header is the same as the header 2, the payload 3 is the same as the payload 2, and step 4.6 is directly executed. If the MAC address of the switching device is in the list, step 4.3); if there is no MAClist field in the data frame Frame A2, Perform step 4.3);
  • the port processing security module of PortY determines the retrieval information of the key KEY2 for secret processing of Frame A2 according to the DA field of the data frame Frame A2 or the DA field and the MAClist field of the data frame Frame A2, and retrieves the information of the key KEY2.
  • the key management module sent to the port Port Y, 4.4);
  • the key management module of the port Port Y searches for the available key according to the retrieval information of the key KEY2, selects a key KEY2 according to the local policy, and feeds back the key KEY2 and the key KEY2 of the key KEY2 to the port port.
  • the port UI Y security processing module invokes the algorithm module, inputs the key KEY2 and the payload 2 of Frame A2, encrypts the ciphertext information of the payload 2 of Frame A2, and constructs FrameA3:
  • the ciphertext information of the frame A2 payload 2 is used as the payload 3 of the frame A3, and the keylndex field in the frame header 2 of the frame A2 is updated as the frame header 3 information of the frame A3 by using the key LUN2 of KEY2 according to the used key KEY2.
  • frame header 3 is the frame header 2 after updating the keylndex field with the keylndex of KEY2
  • the payload 3 is the ciphertext information of the payload 2;
  • Port Port Y's security processing module outputs Frame A3 through the interface module.
  • the link layer encryption protocol data frame supported by the switching device supporting the link layer secure transmission in the embodiment of the present invention may further include an MIC field (such as MIC1, MIC2, and MIC3 in FIG. 2), and the MIC
  • the field indicates an integrity check code, which is an integrity check value calculated for the data frame Frame (such as Frame Al, Frame A2, and Frame A3 in FIG. 2); the integrity check MIC calculates the coverage of the field range according to The link layer encryption protocol corresponding to the Ethertype supported by the switching device is determined; in the implementation supporting the MIC field, the key for performing confidential processing on the data frame includes two parts, one part is an integrity check key, and the other part is session encryption. Key; The integrity check key is used to calculate the integrity check code MIC for the data frame; the session encryption key is used to encrypt the data frame payload.
  • the switching device that supports the link layer security transmission may perform the security processing on the data frame by first calculating the integrity check code for the data frame to construct the MIC field, and then encrypting the data frame user data to construct the payload field;
  • the data frame user data is encrypted to construct a payload field, and then the integrity check code is constructed to construct an MIC field.
  • the integrity check code is first calculated to construct the MIC field.
  • step 2 When the MIC field is constructed by first calculating the integrity check code for the data frame, and then considering the data frame user data encryption constructing the payload field processing, the specific process of the above step 2) is:
  • Port X security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in the data frame Frame A1;
  • the MAC address of the switching device is determined. Whether in the specific MAC address list given in the MAClist field, if not in the list, Frame A1 is directly used as Frame A2, that is, frame header 2 is the same as frame header 1, payload 2 is the same as payload 1, MIC2 and If the MIC1 is the same, go to step 2.9); if the MAC address of the switching device is in the list, go to step 2.3); if there is no MAClist field in the data frame Frame A1, go directly to step 2.3);
  • Port Port X security processing module determines the key KEY1 required for the security processing of Frame A1 according to the keylndex field and the SA field of the data frame Frame A1 or the keylndex field, the SA field and the MAClist field of the data frame Frame A1. Information, sending the retrieval information of the key KEY1 to the key management module of the port Port X;
  • Port X searches for the corresponding key KEY1 according to the retrieval information of the key KEY1, and feeds the key KEY1 to the security processing module of the port Port X;
  • the port X security processing module determines whether the payload 1 is encrypted according to the isE field. If there is encryption, execute step 2.6); otherwise, the payload 1 of the frame A1 is the plaintext information of the payload 1, and directly execute step 2.7) ;
  • Port Port X's security processing module invokes the algorithm module, enters the session encryption key of the key KEY1 and the payload of Frame A1, and decrypts the plaintext information of the payload of Frame A1;
  • the port X security processing module calls the algorithm module, enters the integrity check key of the key KEY1 and the plaintext information of the payload 1 of the Frame A1, and verifies the correctness of the MIC1 field; if correct, executes 2.8); Otherwise, discard the packet;
  • Port Port X security processing module constructs FrameA2: The plaintext information of Frame A1 payload 1 is used as the payload 2 of Frame A2, and the frame header 1 information of Frame A1 is directly used as the frame header 2 information of Frame A2, that is, frame header 2 Same as frame header 1, payload 2 is the plaintext of payload 1;
  • Port Port X's security processing module submits Frame A2 to the switch module.
  • step 4 The specific process of step 4) above is:
  • Port Port Y's security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in Frame A2;
  • step 4.3 If there is a MAClist field in the data frame Frame A2, it is determined whether the MAC address of the switching device is in the specific MAC address list given in the MAClist field, if not in the list, directly Frame A2 is used as Frame A3, that is, frame header 3 is the same as frame header 2, payload 3 is the same as payload 2, MIC3 is the same as MIC2, and step 4.9 is directly executed; if the MAC address of the switching device is in the list, steps are performed. 4.3); If there is no MAClist field in the data frame Frame A2, perform step 4.3);
  • the port Y security processing module determines the retrieval information of the key KEY2 required for the security processing of the frame A2 according to the DA field of the data frame Frame A2 or the DA field and the MAClist field of the data frame Frame A2, and the key KEY2
  • the retrieval information is sent to the key management module of port Port Y, and 4.4);
  • the key management module of the port Port Y searches for the available key according to the retrieval information of the key KEY2, selects a key KEY2 according to the local policy, and feeds back the key KEY2 and the key KEY2 of the key KEY2 to the port port.
  • Port Port Y's security processing module invokes the algorithm module, enters the integrity of the key KEY2, the verification key and the payload of Frame A2, and calculates the integrity check code MIC3 field;
  • the Port X security processing module determines whether the payload 2 needs to be encrypted and transmitted in the ciphertext according to the isE field of the data frame Frame A2. If encryption is required, perform step 4.7); otherwise, perform step 4.8);
  • the port UI Y security processing module invokes the algorithm module, inputs the session encryption key of the key KEY2 and the payload 2 of the Frame A2, encrypts the ciphertext information of the payload 2 of the Frame A2, and constructs the FrameA3: Frame A2
  • the ciphertext information of payload 2 is used as the payload 3 of Frame A3, and the keylndex field in frame header 2 of Frame A2 is updated as the frame header 3 information of Frame A3 according to the keyInfo information of the used key KEY2, using step 4.5)
  • the calculated MIC3 is used as the MIC3 field of Frame A3, that is, the frame header 3 is the frame header 2 after updating the keylndex field with the keylndex of KEY2, the payload 3 is the ciphertext information of the payload 2, and the MIC3 is the MIC3 calculated in step 4.5).
  • perform step 4.9
  • Port Port Y security processing module constructs FrameA3: Frame A2 payload 2 is directly used as the payload 3 of Frame A3, and the keylndex field in frame header 2 of Frame A2 is updated according to the keylndex information of the used key KEY2.
  • Frame A3 frame header 3 information using step 4.5) calculated MIC3 as Frame A3 MIC3 field, that is, frame header 3 is updated with KEY2 keylndex Frame 2 after the keylndex field, payload 3 is the same as payload 2, MIC3 is the MIC3 calculated in step 4.5); step 4.9);
  • Port Port Y's security processing module outputs Frame A3 through the interface module.
  • step 2 When the data frame user data is first considered to be encrypted to construct the payload field, and then the integrity check code is constructed to construct the MIC field, the specific process of the above step 2) is:
  • Port X security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in the data frame Frame A1;
  • step 2.2 If there is a MAClist field in the data frame Frame A1, it is determined whether the MAC address of the switching device is in the specific MAC address list given in the MAClist field. If not in the list, Frame A1 is directly used as Frame A2, ie, frame. Head 2 is the same as frame header 1, payload 2 is the same as payload 1, MIC2 is the same as MIC1, and step 2.9) is performed; if the MAC address of the switching device is in the list, step 2.3); if there is no data frame Frame A1 For the MAClist field, go directly to step 2.3);
  • Port Port X security processing module determines the key KEY1 required for the security processing of Frame A1 according to the keylndex field and the SA field of the data frame Frame A1 or the keylndex field, the SA field and the MAClist field of the data frame Frame A1. Information, sending the retrieval information of the key KEY1 to the key management module of the port Port X;
  • Port X searches for the corresponding key KEY1 according to the retrieval information of the key KEY1, and feeds the key KEY1 to the security processing module of the port Port X;
  • the port X security processing module calls the algorithm module, enters the integrity check key of the key KEY1 and the payload 1 of the Frame A1, and verifies the correctness of the MIC1 field; if correct, executes 2.6); otherwise, discards The grouping;
  • the port X security processing module determines whether the payload 1 is encrypted according to the isE field. If there is encryption, execute step 2.7); otherwise, the payload 1 of Frame A1 is the plaintext information of the payload 1, and directly execute step 2.8) ;
  • Port Port X's security processing module invokes the algorithm module, enters the session encryption key of key KEY1 and the payload of Frame A1, and decrypts the plaintext information of Frame A1 payload 1.
  • Port Port X's security processing module constructs FrameA2: will be the frame A1 payload As the payload of Frame A2, the frame header 1 information of Frame A 1 directly serves as the frame header 2 information of Frame A2, that is, frame header 2 is the same as frame header 1, and payload 2 is the plaintext information of payload 1;
  • Port Port X's security processing module submits Frame A2 to the switch module.
  • step 4 The specific process of step 4) above is:
  • Port Port Y's security processing module determines the link layer encryption protocol used by the data encapsulation according to the Ethertype field in Frame A2;
  • step 4.3 If there is a MAClist field in the data frame Frame A2, it is determined whether the MAC address of the switching device is in the specific MAC address list given by the MAClist field. If not in the list, Frame A2 is directly used as Frame A3, ie, frame. Head 3 is the same as frame header 2, payload 3 is the same as payload 2, MIC3 is the same as MIC2, and step 4.9 is directly executed; if the MAC address of the switching device is in the list, step 4.3); if the data frame is in Frame A2 If there is no MAClist field, go to step 4.3);
  • the port Y security processing module determines the retrieval information of the key KEY2 required for the security processing of the frame A2 according to the DA field of the data frame Frame A2 or the DA field and the MAClist field of the data frame Frame A2, and the key KEY2
  • the retrieval information is sent to the key management module of port Port Y, and 4.4);
  • the key management module of the port Port Y searches for the available key according to the retrieval information of the key KEY2, selects a key KEY2 according to the local policy, and feeds back the key KEY2 and the key KEY2 of the key KEY2 to the port port.
  • the port Port X security processing module determines whether the payload 2 needs to be encrypted and transmitted in the ciphertext according to the isE field of the data frame Frame A2. If encryption is required, step 4.6); otherwise, step 4.8);
  • Port Y invokes the algorithm module, inputs the session encryption key of the key KEY2 and the payload 2 of the frame A2, and encrypts the ciphertext information of the payload 2 of the frame A2;
  • the port UI Y security processing module invokes the algorithm module, inputs the integrity check key of the key KEY2 and the ciphertext information of the payload 2 of the Frame A2, and calculates the integrity check code MIC3 field; and constructs the FrameA3:
  • the ciphertext information of Frame A2 payload 2 is taken as the payload 3 of Frame A3, and the frame header 2 of Frame A2 is updated according to the keylndex information of the used key KEY2.
  • the keylndex field is used as the frame header 3 information of Frame A3, and the calculated MIC3 is used as the MIC3 field of Frame A3, that is, the frame header 3 is the frame header 2 after updating the keylndex field with the keylndex of KEY2, and the payload 3 is the density of the payload 2
  • the text information, MIC3 is the MIC3 calculated in step 4.7), and step 4.9);
  • the port UI Y security processing module invokes the algorithm module, inputs the integrity check key of the key KEY2 and the payload 2 of the Frame A2, and calculates the integrity check code MIC3 field; constructs the FrameA3: the Frame A2 payload 2 directly as the payload 3 of Frame A3, and update the keylndex field in the frame header 2 of Frame A2 as the frame header 3 information of Frame A3 according to the keylndex information of the used key KEY2, and use the calculated MIC3 as the frame A3.
  • frame header 3 is the frame header 2 after updating the keylndex field with the keylndex of KEY2, the payload 3 is the same as the payload 2, and the MIC3 is the MIC3 calculated in step 4.8); step 4.9);
  • Port Port Y's security processing module outputs Frame A3 through the interface module.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)

Abstract

一种支持链路层保密传输的交换设备及其数据处理方法，该支持链路层保密传输的交换设备包括交换模块以及多个端口模块，各端口模块分别与交换模块电性相连；所述端口模块支持链路层密钥管理能力，用于为所述交换设备与其他网络节点之间建立用于对数据帧的加解密的共享密钥。

Description

支持链路层保密传输的交换设备及其数据处理方法
本申请要求于 2010 年 12 月 20 日提交中国专利局、 申请号为 201010596665.5、 发明名称为"支持链路层保密传输的交换设备及其数据处理 方法"的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明属于网络安全领域，涉及一种支持链路层保密传输的交换设备及其 数据处理方法。
背景技术
有线局域网一般为广播型网络，一个节点发出的数据，其它节点都能收到。 网络上的各个节点共享信道， 这给网络带来了极大的安全隐患。 攻击者只要接 入网络进行监听， 就可以捕获网络上所有的数据包。 域网 LAN并不提供数据保密方法，这样就使得攻击者容易窃取到关键信息。在 国际研究领域里， IEEE所制定的 IEEE 802.1AE标准为保护以太网提供数据加 密协议， 并采用逐跳加密的安全措施来实现网络节点之间数据的安全传达。
支持 GB/T 15629.3的交换设备对所有的数据包均直接转发， 不具备链路 层保密传输能力， 所传输的数据包信息易被截获； 支持 IEEE 802.1 AE的交换 设备只支持逐跳加密， 需要对所有转发的加密数据包都进行解密再加密操作， 交换设备计算负担重， 且网络数据传输延迟大。
发明内容
为了解决背景技术中存在的上述技术问题，本发明实施例提供了一种可降 低交换设备的计算负担以及网络升级代价小的支持链路层保密传输的交换设 备及其数据处理方法。
本发明实施例提供了一种支持链路层保密传输的交换设备，所述交换设备 包括交换模块以及多个端口模块，各端口模块分别与交换模块电性相连； 所述 端口模块支持链路层密钥管理能力，用于为所述交换设备与其他网络节点之间 建立用于对数据帧的加解密的共享密钥。
本发明实施例还提供一种支持链路层保密传输的交换设备的数据处理方 法， 所述方法包括：
1 )交换设备端口 Port X的接口模块接收数据帧 Frame Al ,并将其提交给端 口 Port X的保密处理模块； 所述数据帧 Frame A1包括第一帧头以及第一有效负 载；
2 ) 交换设备端口 Port X的保密处理模块根据 Frame Al的第一帧头的信息， 结合端口 Port X的密钥管理模块和算法模块处理 Frame A1 , 构造 Frame A2, 提 交给交换设备的交换模块；所述数据帧 Frame A2包括第二帧头以及第二有效负 载；
3 ) 交换设备的交换模块提取 Frame A2的第二帧头的信息， 若第二帧头中 DA字段与交换设备 MAC地址一致， 则交换设备将 Frame A2第二有效负载递交 给链路层的上层（譬如网络层、 应用层等）处理； 若不一致， 则交换设备将根 据本地的 MAC地址学习信息，正确地将 Frame A2交换至端口 Port Y的保密处理 模块；
4 ) 交换设备端口 Port Y的保密处理模块， 根据第二帧头的信息结合端口 Port Y的密钥管理模块和算法模块处理 Frame A2 ,构造 Frame A3 ,通过端口 Port Y的接口模块将 Frame A3输出； 所述数据帧 Frame A3包括第三帧头以及第三有 效负载；
其中：
Port X: 交换设备的第一端口模块， 该 Port X作为数据帧 Frame A的输入端 口；
Port Y: 交换设备的第二端口模块， 该 Port Y作为数据帧 Frame A的输出端 口；
Frame A 1： 表示端口 Port X的接口模块收到的数据帧；
Frame A2: 表示端口 Port X的保密处理模块提交给交换模块的数据帧； Frame A3： 表示端口 Port Y的接口模块最终输出的数据帧；
若交换设备收到的 Frame Al是加密数据帧，交换设备需要对该数据帧解密 再加密处理后转发，则记对数据帧 Frame A1解密处理构造 Frame A2使用的密钥 为 KEY1; 记对数据帧 Frame A2加密处理构造 Frame A3使用的密钥为 KEY2; 则 交换设备 Port X用 KEY1对 Frame A 1进行解密处理构造 Frame A2; Port Y利用 ΚΕΥ2对 Frame A2进行加密处理构造 Frame A3。
本发明实施例所提供的支持链路层保密传输的交换设备既可以支持标准 的 ISO/IEC 8802-3数据帧， 也支持各种链路层加密协议数据帧， 包括 IEEE 802.1AE协议数据帧。 在实现前向兼容的同时， 可以实现对各种链路层加密协 议的支持， 实现数据帧在链路层的保密传输， 提高网络的安全性。 本发明实施 例所提供的支持链路层保密传输的交换设备， 相对于 IEEE 802.1 AE交换设备， 除支持链路层保密传输外， 因为具有处理含 MAClist字段的链路层加密协议数 据帧的能力， 不需要对所有要转发的数据帧都进行解密再加密再转发的操作， 从而可降低交换设备的计算负担。 另外， 本发明实施例的交换设备支持多种数 据帧， 因此具备与其他交换设备的混合组网的能力， 网络升级代价更小。
附图说明
图 1为本发明实施例所提供的支持链路层保密传输的交换设备的示意图； 图 2为本发明实施例所提供的支持链路层保密传输的交换设备数据处理流 程图。
具体实施方式
参见图 1 , 本发明实施例提供的支持链路层保密传输的交换设备， 包括交 换模块以及多个端口模块； 其中所有的端口模块与交换模块之间分别电性相 连；每一端口模块包含算法模块、接口模块、保密处理模块以及密钥管理模块， 其中保密处理模块分别与接口模块、 算法模块、 密钥管理模块之间电性相连。
每一端口模块支持链路层密钥管理能力，可以为该交换设备与其他网络节 点之间建立共享密钥， 用于对数据帧的加解密； 所建立的共享密钥可以是预共 享的，也可以是在节点身份鉴别成功后协商的， 均由端口模块的密钥管理模块 进行管理存储。
算法模块涉及加解密算法和 /或完整性校验算法， 可以是硬件实现也可以 是软件实现。
本发明实施例提供的支持链路层保密传输的交换设备支持标准的 ISO/IEC 8802-3数据帧， 还支持链路层加密协议数据帧， 所支持的链路层加密协议数据 帧中包括帧头和有效负载， 如下表 1所示：
表 1
Figure imgf000005_0001
其中帧头如下表 2所示:
表 2:
Figure imgf000005_0002
其中：
DA字段： 表示目的节点的标识， 取值目的节点的 MAC地址；
SA字段： 表示源节点的标识， 取值源节点的 MAC地址；
Ethertype字段： 表示以太类型字段， 取值为链路层加密协议的以太类型字 段； 用于标识对应的链路层加密协议及帧结构；
isE字段： 表示加密标志位， 用于标识数据帧的有效负载是用户数据的明 文信息还是密文信息，数据包的接收方将该字段作为是否需要解密的一个判断 因素；
keylndex字段： 表示对有效负载进行保护的密钥的标识；
MAClist字段： 表示特定 MAC地址列表信息， 该字段是可选字段； 有效负载字段： 表示用户数据信息，可以是用户数据的明文信息也可以是 用户数据的密文信息；
上述 MAClist字段存在时， 所述 MAClist字段所给出的特定 MAC地址列表 中的交换设备若为目的节点， 则需要对接收到的数据帧进行解密接收； 若不为 目的节点， 则需要对接收到的数据帧进行解密再加密再转发； 所述 MAClist字 段所给出的特定 MAC地址列表外的交换设备若为目的节点， 则需要对接收到 的数据帧进行解密接收； 若不为目的节点， 则只需要对接收到的密文数据包直 接转发；
上述 MAClist字段不存在时， 接收到该数据帧的交换设备若为目的节点， 则需要对接收到的数据帧进行解密接收； 若不为目的节点， 则需对接收到的数 据帧进行解密再加密再转发。
上述 MAClist存在时， 该字段所给出的特定 MAC地址列表中的交换设备对 密文数据包解密所使用的密钥的检索信息包含 MAClist、 SA、 keylndex; 加密 所使用的密钥的检索信息包含 MAClist、 DA。
上述 MAClist不存在时， 交换设备需要对所有要转发的密文数据包解密再 加密再转发， 对密文数据包进行解密所使用的密钥的检索信息包含 S A、 keylndex; 加密所使用的密钥的检索信息包含 DA。
密钥检索信息的具体判断方法本发明实施例不予限定，依据交换设备具体 支持的由 Ethertype标识链路层加密协议限定。 解密时， 根据密钥检索信息只会 检索得到唯一的密钥； 加密时， 根据密钥检索信息可能检索得到多个密钥， 交 换设备根据本地策略从上述多个密钥中选择一个， 并将所选密钥的 keylndex填 写到数据帧的帧头中。
参见图 2, 支持链路层保密传输的交换设备的端口模块可以是交换设备的 入口， 也可以是交换设备的出口。
以数据帧 Frame A为例进行说明， Frame A从交换设备的端口 Port X输入， 从端口 Port Y输出； 为了区分不同模块之间传输的 Frame A的不同， 分别用 Frame A 1 - A3进行标识， 其中：
Frame A1： 表示端口 Port X接口模块收到的数据帧；
Frame A2: 表示端口 Port X保密处理模块提交给交换模块的数据帧；
Frame A3： 表示端口 Port Y接口模块最终输出的数据帧。
若交换设备收到的 Frame A1是加密数据帧，交换设备需要对该数据帧解密 再加密处理后转发，则将对数据帧 Frame A1解密处理构造 Frame A2使用的密钥 记为 KEY1 ; 将对数据帧 Frame A2加密处理构造 Frame A3使用的密钥记为 KEY2;则交换设备 Port X用 KEY1对 Frame A 1进行解密处理构造 Frame A2; Port Y利用 ΚΕΥ2对 Frame A2进行加密处理构造 Frame A3。
本发明实施例支持链路层保密传输的交换设备数据处理流程的实施方式 如下： 1 )交换设备端口 Port X的接口模块接收数据帧 Frame Al ,并将其提交给端 口 Port X的保密处理模块；
2 ) 交换设备端口 Port X的保密处理模块根据 Frame Al的帧头 1的信息， 结 合端口 Port X的密钥管理模块和算法模块处理 Frame A1 , 构造 Frame A2, 提交 给交换设备的交换模块；
3 )交换设备的交换模块提取 Frame A2的帧头 2信息， 若帧头 2中 DA字段与 交换设备 MAC地址一致， 则交换设备将 Frame A2有效负载 2递交给链路层的上 层（譬如网络层、 应用层等）处理； 否则交换设备将根据本地的 MAC地址学 习信息， 正确地将 Frame A2交换至端口 Port Y的保密处理模块；
4 )交换设备端口 Port Y的保密处理模块，根据帧头 2的信息结合端口 Port Y 的密钥管理模块和算法模块处理 Frame A2, 构造 Frame A3 , 通过端口 Port Y的 接口模块将 Frame A3输出；
其中， 上述步骤 2 ) 的具体流程是：
2.1 )端口 Port X保密处理模块根据数据帧 Frame Al中的 Ethertype字段确定 数据封装所使用的链路层加密协议， 并根据 isE字段判断有效负载 1是否加密， 若有加密， 则执行步骤 2.2 ); 否则， 直接将 Frame A1作为 Frame A2, 即帧头 2 与帧头 1相同， 有效负载 2与有效负载 1相同， 执行步骤 2.6 );
2.2 )若数据帧 Frame Al中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A 1作为 Frame A2 ,即帧头 2与帧头 1相同，有效负载 2与有效负载 1相同， 执行步骤 2.6 ), 若交换设备的 MAC地址在该列表中则执行步骤 2.3 ); 若数据帧 Frame Al中没有 MAClist字段， 则直接执行步骤 2.3 );
2.3 )端口 Port X保密处理模块根据数据帧 Frame Al的 keylndex字段及 S A字 段或根据数据帧 Frame Al的 keylndex字段、 S A字段及 MAClist字段判断对 Frame Al进行保密处理的密钥 KEY1的检索信息， 将密钥 KEY1的检索信息发送给端 口 Port X的密钥管理模块；
2.4 )端口 Port X的密钥管理模块根据密钥 KEY1的检索信息， 查找对应的 密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.5 )端口 Port X的保密处理模块调用算法模块，输入密钥 KEY1和 Frame A1 的有效负载 1 , 解密得到 Frame A1有效负载 1的明文信息， 并构造 FrameA2: 将 Frame A1有效负载 1的明文信息作为 Frame A2的有效负载 2, Frame A1的帧头 1 信息直接作为 Frame A2的帧头 2信息， 即帧头 2与帧头 1相同，有效负载 2是有效 负载 1的明文信息；
2.6 )端口 Port X的保密处理模块将 Frame A2提交给交换模块。
其中上述步骤 4 ) 的具体流程是：
4.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定数 据封装所使用的链路层加密协议， 并根据 isE字段判断有效负载 2是否需要进行 加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4.2 ); 否则， 直接将 Frame A2作为 Frame A3, 即帧头 3与帧头 2相同， 有效负载 3与有效负载 2相同， 执行步骤 4.6 );
4.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A2作为 Frame A3 ,即帧头 3与帧头 2相同，有效负载 3与有效负载 2相同， 直接执行步骤 4.6 ), 若交换设备的 MAC地址在该列表中则执行步骤 4.3 ); 若数 据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.3 );
4.3 )端口 PortY的保密处理模块根据数据帧 Frame A2的 DA字段或根据数据 帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管理模 块， 执行 4.4 );
4.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使用 的密钥， 结合本地策略选择一个密钥 KEY2, 将该密钥 KEY2及密钥 KEY2的标 识 keylndex反馈给端口 Port Y的保密处理模块；
4.5 )端口 Port Y的保密处理模块调用算法模块，输入密钥 KEY2和 Frame A2 的有效负载 2, 加密得到 Frame A2的有效负载 2的密文信息， 并构造 FrameA3: 将 Frame A2有效负载 2的密文信息作为 Frame A3的有效负载 3 ,并根据所使用的 密钥 KEY2, 用 KEY2的 keylndex更新 Frame A2的帧头 2中的 keylndex字段作为 Frame A3的帧头 3信息，即帧头 3是用 KEY2的 keylndex更新 keylndex字段后的帧 头 2, 有效负载 3是有效负载 2的密文信息；
4.6 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。
在其他实施方式中，本发明实施例支持链路层保密传输的交换设备所支持 的链路层加密协议数据帧还可包括 MIC字段（如图 2中的 MIC1、 MIC2、 MIC3 ), 所述 MIC字段表示完整性校验码， 是对数据帧 Frame (如图 2中的 Frame Al、 Frame A2、 Frame A3 )计算得到的完整性校验值； 所述完整性校验 MIC计算覆 盖的字段范围根据交换设备支持的 Ethertype对应的链路层加密协议确定；在支 持 MIC字段的实施方式中， 对数据帧进行保密处理的密钥包含两部分， 一部分 是完整性校验密钥， 另一部分是会话加密密钥； 完整性校验密钥用于对数据帧 计算完整性校验码 MIC; 会话加密密钥用于对数据帧有效负载进行加密。
支持链路层保密传输的交换设备对数据帧的保密处理可以是先对数据帧 计算完整性校验码构造 MIC字段，后对数据帧用户数据进行加密处理构造有效 负载字段； 也可以是先对数据帧用户数据进行加密处理构造有效负载字段，后 计算完整性校验码构造 MIC字段。
由于进行的加密处理存在加密和不加密两种策略，则先计算完整性校验码 构造 MIC字段的方式， 在接收时， 需要先考虑是否需要解密， 后确认 MIC字段 的正确性；
后计算完整性校验码构造 MIC字段的方式， 在接收时， 是要先确认 MIC字 段的正确性， 后考虑是否需要解密。 其中：
一、 当对数据帧先计算完整性校验码构造 MIC字段， 后考虑对数据帧用户 数据加密构造有效负载字段处理时， 上述步骤 2 ) 的具体流程是：
2.1 )端口 Port X保密处理模块根据数据帧 Frame A1中的 Ethertype字段确定 数据封装所使用的链路层加密协议；
2.2 )若数据帧 Frame Al中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A1作为 Frame A2,即帧头 2与帧头 1相同，有效负载 2与有效负载 1相同， MIC2与 MIC1相同， 执行步骤 2.9 ); 若交换设备的 MAC地址在该列表中则执行 步骤 2.3 ); 若数据帧 Frame A1中没有 MAClist字段， 则直接执行步骤 2.3 );
2.3 )端口 Port X保密处理模块根据数据帧 Frame A1的 keylndex字段及 SA字 段或根据数据帧 Frame A1的 keylndex字段、 S A字段及 MAClist字段判断对 Frame A1的进行保密处理所需要的密钥 KEY1的检索信息， 将密钥 KEY1的检索信息 发送给端口 Port X的密钥管理模块；
2.4 )端口 Port X的密钥管理模块根据密钥 KEY1的检索信息， 查找对应的 密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.5 )端口 Port X的保密处理模块根据 isE字段判断有效负载 1是否加密， 若 有加密， 则执行步骤 2.6 ); 否则， Frame A1的有效负载 1就是有效负载 1的明文 信息， 直接执行步骤 2.7 );
2.6 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的会话加 密密钥和 Frame A1的有效负载 1 , 解密得到 Frame A1有效负载 1的明文信息；
2.7 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的完整性 校验密钥和 Frame A1的有效负载 1的明文信息， 验证 MIC1字段的正确性； 若正 确， 则执行 2.8 ); 否则， 丢弃该分组；
2.8 )端口 Port X的保密处理模块构造 FrameA2: 将 Frame A1有效负载 1的 明文信息作为 Frame A2的有效负载 2, Frame A1的帧头 1信息直接作为 Frame A2 的帧头 2信息， 即帧头 2与帧头 1相同， 有效负载 2是有效负载 1的明文；
2.9 )端口 Port X的保密处理模块将 Frame A2提交给交换模块。
上述步骤 4 ) 的具体流程是：
4.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定数 据封装所使用的链路层加密协议；
4.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A2作为 Frame A3 ,即帧头 3与帧头 2相同，有效负载 3与有效负载 2相同， MIC3与 MIC2相同， 直接执行步骤 4.9 ); 若交换设备的 MAC地址在该列表中则 执行步骤 4.3 ); 若数据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.3 );
4.3 )端口 Port Y的保密处理模块根据数据帧 Frame A2的 DA字段或根据数 据帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理所需要 的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管 理模块， 执行 4.4 );
4.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使用 的密钥， 结合本地策略选择一个密钥 KEY2, 将该密钥 KEY2及密钥 KEY2的标 识 keylndex反馈给端口 Port Y的保密处理模块；
4.5 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的完整性 校验密钥和 Frame A2的有效负载， 计算得到完整性校验码 MIC3字段；
4.6 )端口 Port X保密处理模块根据数据帧 Frame A2的 isE字段判断有效负 载 2是否需要进行加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4.7 ); 否则， 执行步骤 4.8 );
4.7 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的会话加 密密钥和 Frame A2的有效负载 2, 加密得到 Frame A2的有效负载 2的密文信息， 并构造 FrameA3： 将 Frame A2有效负载 2的密文信息作为 Frame A3的有效负载 3 , 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的帧头 2中的 keylndex字段作为 Frame A3的帧头 3信息， 用步骤 4.5 )计算得到的 MIC3作为 Frame A3的 MIC3字段， 即帧头 3是用 KEY2的 keylndex更新 keylndex字段后的帧 头 2, 有效负载 3是有效负载 2的密文信息， MIC3是步骤 4.5 )计算得到的 MIC3 , 执行步骤 4.9 );
4.8 )端口 Port Y的保密处理模块构造 FrameA3: 将 Frame A2有效负载 2直接 作为 Frame A3的有效负载 3 , 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的帧头 2中的 keylndex字段作为 Frame A3的帧头 3信息， 用步骤 4.5 )计 算得到的 MIC3作为 Frame A3的 MIC3字段， 即帧头 3是用 KEY2的 keylndex更新 keylndex字段后的帧头 2, 有效负载 3与有效负载 2相同， MIC3是步骤 4.5 )计算 得到的 MIC3; 执行步骤 4.9 );
4.9 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。
二、 当对数据帧用户数据先考虑加密处理构造有效负载字段，后计算完整 性校验码构造 MIC字段时， 上述步骤 2 ) 的具体流程是：
2.1 )端口 Port X保密处理模块根据数据帧 Frame A1中的 Ethertype字段确定 数据封装所使用的链路层加密协议；
2.2 )若数据帧 Frame A1中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A1作为 Frame A2,即帧头 2与帧头 1相同，有效负载 2与有效负载 1相同， MIC2与 MIC1相同， 执行步骤 2.9 ); 若交换设备的 MAC地址在该列表中则执行 步骤 2.3 ); 若数据帧 Frame A1中没有 MAClist字段， 则直接执行步骤 2.3 );
2.3 )端口 Port X保密处理模块根据数据帧 Frame A1的 keylndex字段及 SA字 段或根据数据帧 Frame A1的 keylndex字段、 S A字段及 MAClist字段判断对 Frame A1的进行保密处理所需要的密钥 KEY1的检索信息， 将密钥 KEY1的检索信息 发送给端口 Port X的密钥管理模块；
2.4 )端口 Port X的密钥管理模块根据密钥 KEY1的检索信息， 查找对应的 密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.5 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的完整性 校验密钥和 Frame A1的有效负载 1 , 验证 MIC1字段的正确性； 若正确， 则执行 2.6 ); 否则， 丢弃该分组；
2.6 )端口 Port X的保密处理模块根据 isE字段判断有效负载 1是否加密， 若 有加密， 则执行步骤 2.7 ); 否则， Frame A1的有效负载 1就是有效负载 1的明文 信息， 直接执行步骤 2.8 );
2.7 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的会话加 密密钥和 Frame A1的有效负载 1 , 解密得到 Frame A1有效负载 1的明文信息；
2.8 )端口 Port X的保密处理模块构造 FrameA2: 将 Frame A1有效负载的明 文信息作为 Frame A2的有效负载， Frame A 1的帧头 1信息直接作为 Frame A2的 帧头 2信息， 即帧头 2与帧头 1相同， 有效负载 2是有效负载 1的明文信息；
2.9 )端口 Port X的保密处理模块将 Frame A2提交给交换模块。
上述步骤 4 ) 的具体流程是：
4.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定数 据封装所使用的链路层加密协议；
4.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地址 是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则直接 将 Frame A2作为 Frame A3 ,即帧头 3与帧头 2相同，有效负载 3与有效负载 2相同， MIC3与 MIC2相同， 直接执行步骤 4.9 ); 若交换设备的 MAC地址在该列表中则 执行步骤 4.3 ); 若数据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.3 );
4.3 )端口 Port Y的保密处理模块根据数据帧 Frame A2的 DA字段或根据数 据帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理所需要 的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管 理模块， 执行 4.4 );
4.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使用 的密钥， 结合本地策略选择一个密钥 KEY2, 将该密钥 KEY2及密钥 KEY2的标 识 keylndex反馈给端口 Port Y的保密处理模块；
4.5 )端口 Port X保密处理模块根据数据帧 Frame A2的 isE字段判断有效负 载 2是否需要进行加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4.6 ); 否则， 执行步骤 4.8 );
4.6 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的会话加 密密钥和 Frame A2的有效负载 2, 加密得到 Frame A2的有效负载 2的密文信息；
4.7 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的完整性 校验密钥和 Frame A2的有效负载 2的密文信息，计算得到完整性校验码 MIC3字 段； 并构造 FrameA3: 将 Frame A2有效负载 2的密文信息作为 Frame A3的有效 负载 3 , 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的帧头 2中的 keylndex字段作为 Frame A3的帧头 3信息， 用计算得到的 MIC3作为 Frame A3的 MIC3字段， 即帧头 3是用 KEY2的 keylndex更新 keylndex字段后的帧头 2 , 有效 负载 3是有效负载 2的密文信息， MIC3是步骤 4.7 )计算得到的 MIC3 , 执行步骤 4.9 );
4.8 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的完整性 校验密钥和 Frame A2的有效负载 2, 计算得到完整性校验码 MIC3字段； 构造 FrameA3 : 将 Frame A2有效负载 2直接作为 Frame A3的有效负载 3 , 并根据所使 用的密钥 KEY2的 keylndex信息更新 Frame A2的帧头 2中的 keylndex字段作为 Frame A3的帧头 3信息， 用计算得到的 MIC3作为 Frame A3的 MIC3 , 即帧头 3是 用 KEY2的 keylndex更新 keylndex字段后的帧头 2,有效负载 3与有效负载 2相同， MIC3是步骤 4.8 )计算得到的 MIC3; 执行步骤 4.9 );
4.9 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。

Claims

权 利 要 求
1、 一种支持链路层保密传输的交换设备， 其特征在于： 所述支持链路层 保密传输的交换设备包括交换模块以及多个端口模块，各端口模块分别与交换 模块电性相连； 所述端口模块支持链路层密钥管理能力， 用于为所述交换设备 与其他网络节点之间建立用于对数据帧的加解密的共享密钥。
2、 根据权利要求 1所述的支持链路层保密传输的交换设备， 其特征在于： 所述共享密钥是预共享的或是在节点身份鉴别成功后协商建立的； 所述端口模块包括： 算法模块、接口模块、 保密处理模块以及密钥管理模 块，所述保密处理模块分别与接口模块、算法模块以及密钥管理模块电性相连； 所述密钥管理模块用于管理并存储所述共享密钥；
所述算法模块涉及加解密算法和 /或完整性校验算法， 是由硬件实现或软 件实现。
3、 一种支持链路层保密传输的交换设备的数据处理方法， 其特征在于： 所述方法包括：
1 )交换设备端口 Port X的接口模块接收数据帧 Frame A1 ,并将其提交给端 口 Port X的保密处理模块； 所述数据帧 Frame A1包括第一帧头以及第一有效负 载；
2 ) 交换设备端口 Port X的保密处理模块根据 Frame A1的第一帧头的信息， 结合端口 Port X的密钥管理模块和算法模块处理 Frame A1 , 构造 Frame A2, 提 交给交换设备的交换模块；所述数据帧 Frame A2包括第二帧头以及第二有效负 载；
3 ) 交换设备的交换模块提取 Frame A2的第二帧头的信息， 若第二帧头中 DA字段与交换设备 MAC地址一致， 则交换设备将 Frame A2第二有效负载递交 给链路层的上层处理； 若不一致， 则交换设备将根据本地的 MAC地址学习信 息， 正确地将 Frame A2交换至端口 Port Y的保密处理模块；
4 ) 交换设备端口 Port Y的保密处理模块， 根据第二帧头的信息结合端口 Port Y的密钥管理模块和算法模块处理 Frame A2,构造 Frame A3 ,通过端口 Port Y的接口模块将 Frame A3输出； 所述数据帧 Frame A3包括第三帧头以及第三有 效负载；
其中：
Port X: 交换设备的第一端口模块， 该 Port X作为数据帧 Frame A的输入端 口；
Port Y: 交换设备的第二端口模块， 该 Port Y作为数据帧 Frame A的输出端 口；
Frame A1: 表示端口 Port X的接口模块收到的数据帧；
Frame A2: 表示端口 Port X的保密处理模块提交给交换模块的数据帧；
Frame A3： 表示端口 Port Y的接口模块最终输出的数据帧；
若交换设备收到的 Frame A1是加密数据帧，交换设备需要对该数据帧解密 再加密处理后转发，则将对数据帧 Frame A1解密处理构造 Frame A2使用的密钥 记为 KEY1; 将对数据帧 Frame A2加密处理构造 Frame A3使用的密钥为 KEY2; 则交换设备 Port X用 KEY1对 Frame A 1进行解密处理构造 Frame A2; Port Y利用
ΚΕΥ2对 Frame A2进行加密处理构造 Frame A3。
4、 根据权利要求 3所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 所述交换设备支持标准的 ISO/IEC 8802-3数据帧或支持链路 层加密协议数据帧。
5、 根据权利要求 4所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 所述交换设备支持链路层加密协议数据帧时， 所述链路层加 密协议数据帧中包括帧头字段和有效负载字段；
帧头字段包括： DA字段、 SA字段、 Ethertype字段、 isE字段、 keylndex字 段以及 MAClist字段；
其中：
DA字段： 表示目的节点的标识， 取值目的节点的 MAC地址；
SA字段： 表示源节点的标识， 取值源节点的 MAC地址；
Ethertype字段： 表示以太类型字段， 取值为链路层加密协议的以太类型字 段； 用于标识对应的链路层加密协议及帧结构；
isE字段： 表示加密标志位， 用于标识数据帧的有效负载是用户数据的明 文信息还是密文信息，数据包的接收方将该字段作为是否需要解密的一个判断 因素；
keylndex字段： 表示对有效负载进行保护的密钥的标识；
MAClist字段： 表示特定 MAC地址列表信息， 该字段是可选字段； 有效负载字段： 表示用户数据信息，所述用户数据信息是用户数据的明文 信息或者是用户数据的密文信息。
6、 根据权利要求 5所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 当所述 MAClist字段存在时， 所述 MAClist字段所给出的特定 MAC地址列表中的交换设备若为目的节点， 则需要对接收到的数据帧进行解 密接收； 若不为目的节点， 则需要对接收到的数据帧进行解密再加密再转发； 需要对接收到的数据帧进行解密接收； 若不为目的节点， 则只需要对接收到的 密文数据包直接转发；
当所述 MAClist字段不存在时，接收到该数据帧的交换设备若为目的节点， 则需要对接收到的数据帧进行解密接收； 若不为目的节点， 则需对接收到的数 据帧进行解密再加密再转发；
当所述 MAClist字段存在时， 所述 MAClist字段所给出的特定 MAC地址列 表中的交换设备对密文数据包解密所使用的密钥的检索信息包含 MAClist、 SA、 keylndex; 加密所使用的密钥的检索信息包含 MAClist、 DA;
当所述 MAClist字段不存在时， 交换设备需要对所有要转发的密文数据包 解密再加密再转发， 对密文数据包进行解密所使用的密钥的检索信息包含 SA、 keylndex; 加密所使用的密钥的检索信息包含 DA。
7、 根据权利要求 6所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 所述步骤 2 ) 包括：
2.1.1 )端口 Port X保密处理模块根据数据帧 Frame A1中的 Ethertype字段确 定数据封装所使用的链路层加密协议， 并根据 isE字段判断第一有效负载是否 加密，若有加密，则执行步骤 2.1.2 );若没有加密，则将 Frame Al作为 Frame A2, 执行步骤 2.1.6 );
2.1.2 )若数据帧 Frame Al中存在 MAClist字段， 则判断交换设备的 MAC地
Frame A1作为 Frame A2 ,执行步骤 2.1.6 );若交换设备的 MAC地址在该列表中， 则执行步骤 2.1.3 ); 若数据帧 Frame Al中没有 MAClist字段， 则执行步骤 2.1.3 );
2.1.3 )端口 Port X保密处理模块根据数据帧 Frame A1的 keylndex字段及 SA 字段或根据数据帧 Frame A1的 keylndex字段、 SA字段及 MAClist字段判断对 Frame Al进行保密处理的密钥 KEY1的检索信息，将密钥 KEY1的检索信息发送 给端口 Port X的密钥管理模块；
2.1.4 )端口 Port X的密钥管理模块根据密钥 KEYl的检索信息， 查找对应 的密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.1.5 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1和 Frame A1的第一有效负载， 解密得到 Frame A1第一有效负载的明文信息， 并构造 Frame A2: 将 Frame A1第一有效负载的明文信息作为 Frame A2的第二有效负 载， Frame Al的第一帧头信息作为 Frame A2的第二帧头信息；
2.1.6 )端口 Port X的保密处理模块将 Frame A2提交给交换模块；
所述步骤 4 ) 包括：
4.1.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定 数据封装所使用的链路层加密协议， 并根据 isE字段判断第二有效负载是否需 要进行加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4丄 2 ); 若不 需要加密， 则将 Frame A2作为 Frame A3 , 执行步骤 4.1.6 );
4.1.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地
Frame A2作为 Frame A3 , 执行步骤 4.1.6 ); 若交换设备的 MAC地址在该列表中 则执行步骤 4.1.3 ); 若数据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.1.3 );
4.1.3 )端口 PortY的保密处理模块根据数据帧 Frame A2的 DA字段或根据数 据帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管理模 块；
4.1.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使 用的密钥， 结合本地策略选择一个密钥 KEY2, 将密钥 KEY2及密钥 KEY2的标 识 keylndex反馈给端口 Port Y的保密处理模块；
4.1.5 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2和 Frame A2的第二有效负载， 加密得到 Frame A2的第二有效负载的密文信息， 并构造 FrameA3: 将 Frame A2第二有效负载的密文信息作为 Frame A3的第三有效负 载， 并根据所使用的密钥 KEY2, 用 KEY2的 keylndex更新 Frame A2的第二帧头 中的 keylndex字段作为 Frame A3的第三帧头信息；
4.1.6 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。
8、 根据权利要求 5所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 所述支持链路层保密传输的交换设备支持链路层加密协议数 据帧时， 所述支持的链路层加密协议数据帧中的帧头还包括 MIC字段， 所述 MIC字段表示完整性校验码， 是对数据帧 Frame计算得到的完整性校验值； 所 述完整性校验 MIC计算覆盖的字段范围根据交换设备支持的 Ethertype对应的 链路层加密协议确定； 所述对数据帧进行保密处理时，所述数据帧进行保密处 理的密钥包含两部分， 一部分是完整性校验密钥， 另一部分是会话加密密钥； 完整性校验密钥用于对数据帧计算完整性校验码 MIC;会话加密密钥用于对数 据帧有效负载进行加密；
MIC1是数据帧 Frame A1计算得到的完整性校验值；
MIC2是数据帧 Frame A2计算得到的完整性校验值；
MIC3是数据帧 Frame A3计算得到的完整性校验值。
9、 根据权利要求 8所述的支持链路层保密传输的交换设备的数据处理方 法，其特征在于： 所述保密处理，先对数据帧计算完整性校验码构造 MIC字段， 后对数据帧用户数据进行加密处理构造有效负载字段时，
所述步骤 2 ) 包括：
2.2.1 )端口 Port X保密处理模块根据数据帧 Frame Al中的 Ethertype字段确 定数据封装所使用的链路层加密协议；
2.2.2 )若数据帧 Frame A1中存在 MAClist字段， 则判断交换设备的 MAC地
Frame Al作为 Frame A2 ,执行步骤 2.2.9 );若交换设备的 MAC地址在该列表中， 则执行步骤 2.2.3 ); 若数据帧 Frame A1中没有 MAClist字段， 则执行步骤 2.2.3 );
2.2.3 )端口 Port X保密处理模块根据数据帧 Frame Al的 keylndex字段及 S A 字段或根据数据帧 Frame Al的 keylndex字段、 SA字段及 MAClist字段判断对 Frame Al的进行保密处理所需要的密钥 KEY1的检索信息，将密钥 KEY1的检索 信息发送给端口 Port X的密钥管理模块；
2.2.4 )端口 Port X的密钥管理模块根据密钥 KEY1的检索信息， 查找对应 的密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.2.5 )端口 Port X的保密处理模块根据 isE字段判断第一有效负载是否加 密， 若有加密， 则执行步骤 2.2.6 ); 否则， Frame A1的第一有效负载就是第一 有效负载的明文信息， 执行步骤 2.2.7 );
2.2.6 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的会话 加密密钥和 Frame Al的第一有效负载，解密得到 Frame Al第一有效负载的明文 信息；
2.2.7 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的完整 性校验密钥和 Frame A1的第一有效负载的明文信息，验证 MIC1字段的正确性； 若正确， 则执行 2.2.8 ); 否则， 丢弃该分组；
2.2.8 )端口 Port X的保密处理模块构造 FrameA2: 将 Frame Al第一有效负 载的明文信息作为 Frame A2的第二有效负载， Frame Al的第一帧头信息作为 Frame A2的第二帧头信息；
2.2.9 )端口 Port X的保密处理模块将 Frame A2提交给交换模块； 所述步骤 4 ) 包括：
4.2.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定 数据封装所使用的链路层加密协议；
4.2.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地 址是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则将 Frame A2作为 Frame A3 , 执行步骤 4.2.9 ); 若交换设备的 MAC地址在该列表中 则执行步骤 4.2.3 ); 若数据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.2.3 );
4.2.3 )端口 Port Y的保密处理模块根据数据帧 Frame A2的 DA字段或根据数 据帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理所需要 的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管 理模块；
4.2.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使 用的密钥， 结合本地策略选择一个密钥 KEY2, 将该密钥 KEY2及密钥 KEY2的 标识 keylndex反馈给端口 Port Y的保密处理模块；
4.2.5 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的完整 性校验密钥和 Frame A2的有效负载， 计算得到完整性校验码 MIC3字段；
4.2.6 )端口 Port X保密处理模块根据数据帧 Frame A2的 isE字段判断第二有 效负载是否需要进行加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4.2.7 ); 否则， 执行步骤 4.2.8 );
4.2.7 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的会话 加密密钥和 Frame A2的第二有效负载，加密得到 Frame A2的第二有效负载的密 文信息， 并构造 FrameA3： 将 Frame A2第二有效负载的密文信息作为 Frame A3 的第三有效负载， 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的 第二帧头中的 keylndex字段作为 Frame A3的第三帧头信息， 用步骤 4.2.5 )计算 得到的 MIC3作为 Frame A3的 MIC3 , 即第三帧头是用 KEY2的 keylndex更新 keylndex字段后的第二帧头，第三有效负载是第二有效负载的密文信息， MIC3 是步骤 4.2.5 )计算得到的 MIC3, 执行步骤 4.2.9 );
4.2.8 )端口 Port Y的保密处理模块构造 FrameA3 , 包括： 将 Frame A2的第 二有效负载作为 Frame A3的第三有效负载， 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的第二帧头中的 keylndex字段作为 Frame A3的第二 帧头信息， 用步骤 4.2.5 )计算得到的 MIC3作为 Frame A3中的MIC3字段；
4.2.9 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。
10、 根据权利要求 8所述的支持链路层保密传输的交换设备的数据处理方 法， 其特征在于： 所述保密处理， 先对数据帧用户数据进行加密处理构造有效 负载字段， 后计算完整性校验码构造 MIC字段时，
所述步骤 2 ) 包括：
2.3.1 )端口 Port X保密处理模块根据数据帧 Frame A1中的 Ethertype字段确 定数据封装所使用的链路层加密协议；
2.3.2 )若数据帧 Frame A1中存在 MAClist字段， 则判断交换设备的 MAC地 址是否在 MAClist字段所给出的特定 MAC地址列表中， 若不在该列表中， 则将 Frame A1作为 Frame A2, 执行步骤 2.3.9 ); 若交换设备的 MAC地址在该列表中 贝' J执行步骤 2.3.3 ); 若数据帧 Frame A1中没有 MAClist字段， 则执行步骤 2.3.3 );
2.3.3 )端口 Port X保密处理模块根据数据帧 Frame A1的 keylndex字段及 S A 字段或根据数据帧 Frame A1的 keylndex字段、 SA字段及 MAClist字段判断对 Frame A1的进行保密处理所需要的密钥 KEY1的检索信息，将密钥 KEY1的检索 信息发送给端口 Port X的密钥管理模块；
2.3.4 )端口 Port X的密钥管理模块根据密钥 KEY1的检索信息， 查找对应 的密钥 KEY1 , 并将密钥 KEY1反馈给端口 Port X的保密处理模块；
2.3.5 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的完整 性校验密钥和 Frame A1的第一有效负载， 验证 MIC1字段的正确性； 若正确， 则执行 2.3.6 ); 否则， 丢弃该分组；
2.3.6 )端口 Port X的保密处理模块根据 isE字段判断第一有效负载是否加 密， 若有加密， 则执行步骤 2.3.7 ); 否则， Frame A1的第一有效负载就是第一 有效负载的明文信息， 执行步骤 2.3.8 );
2.3.7 )端口 Port X的保密处理模块调用算法模块， 输入密钥 KEY1的会话 加密密钥和 Frame A1的第一有效负载 1 , 解密得到 Frame A1第一有效负载的明 文信息；
2.3.8 )端口 Port X的保密处理模块构造 FrameA2: 将 Frame A1的第一有效 负载的明文信息作为 Frame A2的第二有效负载， Frame A1的第一帧头信息作为 Frame A2的第二帧头信息；
2.3.9 )端口 Port X的保密处理模块将 Frame A2提交给交换模块；
所述步骤 4 ) 包括：
4.3.1 )端口 Port Y的保密处理模块根据 Frame A2的中的 Ethertype字段确定 数据封装所使用的链路层加密协议；
4.3.2 )若数据帧 Frame A2中存在 MAClist字段， 则判断交换设备的 MAC地
Frame A2作为 Frame A3, 执行步骤 4.3.9 ); 若交换设备的 MAC地址在该列表中 贝' J执行步骤 4.3.3 ); 若数据帧 Frame A2中没有 MAClist字段， 则执行步骤 4.3.3 );
4.3.3 )端口 Port Y的保密处理模块根据数据帧 Frame A2的 DA字段或根据数 据帧 Frame A2的 DA字段及 MAClist字段判断对 Frame A2进行保密处理所需要 的密钥 KEY2的检索信息， 将密钥 KEY2的检索信息发送给端口 Port Y的密钥管 理模块， 执行 4.3.4 );
4.3.4 )端口 Port Y的密钥管理模块， 根据密钥 KEY2的检索信息查找可使 用的密钥， 结合本地策略选择一个密钥 KEY2, 将该密钥 KEY2及密钥 KEY2的 标识 keylndex反馈给端口 Port Y的保密处理模块；
4.3.5 )端口 Port X保密处理模块根据数据帧 Frame A2的 isE字段判断有效负 载 2是否需要进行加密以密文形式在网络中传输， 若需要加密， 则执行步骤 4.3.6 ); 若不需要加密， 则执行步骤 4.3.8 );
4.3.6 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的会话 加密密钥和 Frame A2的第二有效负载，加密得到 Frame A2的第二有效负载的密 文信息；
4.3.7 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 ΚΕΥ2的完整 性校验密钥和 Frame A2的第二有效负载的密文信息， 计算得到完整性校验码 MIC3字段； 并构造 FrameA3 : 将 Frame A2的第二有效负载的密文信息作为 Frame A3的第三有效负载， 并根据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的第二帧头中的 keylndex字段作为 Frame A3的第三帧头信息， 用计算 得到的 MIC3作为 Frame A3中的 MIC3字段， 执行步骤 4.3.9 );
4.
3.8 )端口 Port Y的保密处理模块调用算法模块， 输入密钥 KEY2的完整 性校验密钥和 Frame A2的第二有效负载， 计算得到完整性校验码 MIC3字段； 构造 FrameA3： 将 Frame A2第二有效负载作为 Frame A3的第三有效负载， 并根 据所使用的密钥 KEY2的 keylndex信息更新 Frame A2的第二帧头中的 keylndex 字段作为 Frame A3的第三帧头信息， 计算得到的 MIC3作为 Frame A3中的 MIC3 字段；
4.3.9 )端口 Port Y的保密处理模块将 Frame A3通过接口模块输出。
PCT/CN2011/075856 2010-12-20 2011-06-17 支持链路层保密传输的交换设备及其数据处理方法 WO2012083653A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
KR1020137019230A KR101485279B1 (ko) 2010-12-20 2011-06-17 링크 계층 보안 전송을 지원하는 스위칭 장치 및 그의 데이터 처리 방법
JP2013545016A JP2014505402A (ja) 2010-12-20 2011-06-17 リンク層セキュリティー伝送を支援する交換設備およびデータ処理方法本出願は、２０１０年１２月２０日に中国特許局に提出し、出願番号が２０１０１０５９６６６５．５であり、発明名称が「リンク層セキュリティー伝送を支援する交換設備およびデータ処理方法」である中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。
US13/995,593 US9264405B2 (en) 2010-12-20 2011-06-17 Switch equipment and data processing method for supporting link layer security transmission

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010596665.5 2010-12-20
CN2010105966655A CN102035845B (zh) 2010-12-20 2010-12-20 支持链路层保密传输的交换设备及其数据处理方法

Publications (1)

Publication Number Publication Date
WO2012083653A1 true WO2012083653A1 (zh) 2012-06-28

Family

ID=43888168

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/075856 WO2012083653A1 (zh) 2010-12-20 2011-06-17 支持链路层保密传输的交换设备及其数据处理方法

Country Status (5)

Country Link
US (1) US9264405B2 (zh)
JP (2) JP2014505402A (zh)
KR (1) KR101485279B1 (zh)
CN (1) CN102035845B (zh)
WO (1) WO2012083653A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014110466A (ja) * 2012-11-30 2014-06-12 Toshiba Corp 通信装置、通信方法およびコンピュータプログラム
CN114666047A (zh) * 2022-03-23 2022-06-24 北京从云科技有限公司 一种网络数据加密解密的装置和方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102035845B (zh) * 2010-12-20 2012-07-18 西安西电捷通无线网络通信股份有限公司 支持链路层保密传输的交换设备及其数据处理方法
CN103441983A (zh) * 2013-07-11 2013-12-11 盛科网络（苏州）有限公司 基于链路层发现协议的信息保护方法和装置
CN103685247A (zh) * 2013-12-04 2014-03-26 冯丽娟 安全通信方法、装置、系统以及安全主板
US10382595B2 (en) * 2014-01-29 2019-08-13 Smart Security Systems Llc Systems and methods for protecting communications
US10080185B2 (en) * 2015-04-10 2018-09-18 Qualcomm Incorporated Method and apparatus for securing structured proximity service codes for restricted discovery
CN105897669A (zh) * 2015-11-11 2016-08-24 乐卡汽车智能科技（北京）有限公司 数据发送、接收方法、发送端、接收端和can总线网络
US10708245B2 (en) * 2017-12-06 2020-07-07 Hewlett Packard Enterprise Development Lp MACsec for encrypting tunnel data packets
DE102019004790A1 (de) * 2019-07-11 2021-01-14 Infineon Technologies Ag Authentizität und Sicherheit auf der Sicherungsschicht für Fahrzeugkommunikationssystem
CN114389884B (zh) * 2022-01-14 2023-11-24 北京光润通科技发展有限公司 一种单端口以太网隔离卡及其隔离方法
CN115277200B (zh) * 2022-07-27 2023-08-15 北京国领科技有限公司 一种链路层透明加密系统多节点密钥自动协商管理的方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101588345A (zh) * 2008-05-23 2009-11-25 深圳华为通信技术有限公司 站与站之间信息发送、转发和接收方法、装置和通信系统
CN101729249A (zh) * 2009-12-21 2010-06-09 西安西电捷通无线网络通信有限公司 用户终端之间安全连接的建立方法及系统
CN101741548A (zh) * 2009-12-18 2010-06-16 西安西电捷通无线网络通信有限公司 交换设备间安全连接的建立方法及系统
CN102035845A (zh) * 2010-12-20 2011-04-27 西安西电捷通无线网络通信股份有限公司 支持链路层保密传输的交换设备及其数据处理方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100675836B1 (ko) * 2004-12-10 2007-01-29 한국전자통신연구원 Ｅｐｏｎ 구간내에서의 링크 보안을 위한 인증 방법
US7917944B2 (en) * 2004-12-13 2011-03-29 Alcatel Lucent Secure authentication advertisement protocol
CN1667999A (zh) * 2005-01-18 2005-09-14 中国电子科技集团公司第三十研究所 一种移动自组网络中移动节点间的保密通信方法
CN101056456A (zh) * 2006-04-10 2007-10-17 华为技术有限公司 无线演进网络实现认证的方法及安全系统
KR100787128B1 (ko) * 2006-04-20 2007-12-21 한국정보통신주식회사 통신 프로토콜 스택의 스위칭 기능을 이용한 이종의 무선 통신망에 대한 종단간 보안 통신 방법
US7729276B2 (en) * 2006-11-29 2010-06-01 Broadcom Corporation Method and system for tunneling MACSec packets through non-MACSec nodes
JP5060081B2 (ja) * 2006-08-09 2012-10-31 富士通株式会社 フレームを暗号化して中継する中継装置
JP2008104040A (ja) * 2006-10-20 2008-05-01 Fujitsu Ltd 共通鍵生成装置および共通鍵生成方法
CN101394270B (zh) * 2008-09-27 2011-01-19 上海交通大学 基于模块化路由的无线网状网络链路层加密方法
CN101834722B (zh) * 2010-04-23 2012-06-13 西安西电捷通无线网络通信股份有限公司 一种加密设备和非加密设备混合组网的通信方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101588345A (zh) * 2008-05-23 2009-11-25 深圳华为通信技术有限公司 站与站之间信息发送、转发和接收方法、装置和通信系统
CN101741548A (zh) * 2009-12-18 2010-06-16 西安西电捷通无线网络通信有限公司 交换设备间安全连接的建立方法及系统
CN101729249A (zh) * 2009-12-21 2010-06-09 西安西电捷通无线网络通信有限公司 用户终端之间安全连接的建立方法及系统
CN102035845A (zh) * 2010-12-20 2011-04-27 西安西电捷通无线网络通信股份有限公司 支持链路层保密传输的交换设备及其数据处理方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014110466A (ja) * 2012-11-30 2014-06-12 Toshiba Corp 通信装置、通信方法およびコンピュータプログラム
CN114666047A (zh) * 2022-03-23 2022-06-24 北京从云科技有限公司 一种网络数据加密解密的装置和方法

Also Published As

Publication number Publication date
US20130283044A1 (en) 2013-10-24
JP2015181233A (ja) 2015-10-15
US9264405B2 (en) 2016-02-16
KR20130096320A (ko) 2013-08-29
JP5785346B1 (ja) 2015-09-30
KR101485279B1 (ko) 2015-01-21
CN102035845A (zh) 2011-04-27
JP2014505402A (ja) 2014-02-27
CN102035845B (zh) 2012-07-18

Similar Documents

Publication Publication Date Title
KR101421399B1 (ko) 링크 계층 암호화/복호화 능력을 구비하는 단말 장치 및 그의 데이터 처리 방법
WO2012083653A1 (zh) 支持链路层保密传输的交换设备及其数据处理方法
CN108599925B (zh) 一种基于量子通信网络的改进型aka身份认证系统和方法
US10298595B2 (en) Methods and apparatus for security over fibre channel
US20050135625A1 (en) Communication apparatus and method
CN102036230B (zh) 本地路由业务的实现方法、基站及系统
JP5527906B2 (ja) セキュリティアソシエーションに関連した多数の接続パケットを連結し、暗号化オーバーヘッドを減少させるシステム及び方法
US9872175B2 (en) Packet processing method, apparatus, and system
WO2012019466A1 (zh) 邻居用户终端间保密通信方法、终端、交换设备及系统
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
WO2011072514A1 (zh) 节点间保密通信方法及系统
JP2013514681A (ja) ユーザ端末間の安全な接続の構築方法及びシステム
WO2009000209A1 (fr) Procédé et système pour transmettre et recevoir des données
CN108599926B (zh) 一种基于对称密钥池的HTTP-Digest改进型AKA身份认证系统和方法
CN117201200B (zh) 基于协议栈的数据安全传输方法
CN101834862B (zh) 一种节点间安全连接建立方法及系统
KR20220148880A (ko) 노드간 프라이버시 통신 방법 및 네트워크 노드
CN115208632B (zh) 一种前后端数据加密传输方法及系统
CN119052000B (zh) 基于计数器模式高速数据安全传输的实现方法
WO2011134292A1 (zh) 一种节点间通信密钥的建立方法、系统及装置
CN117812581A (zh) 会话数据的安全通信方法、后量子安全通道装置及系统
CN117201052A (zh) 基于量子密码qvpn一次一密能源数据传输的方法、存储装置及智能终端
Roepke et al. A Survey on Protocols securing the Internet of Things: DTLS, IPSec and IEEE 802.11 i
Rekik et al. A Robust Stream Control Transmission Protocol (SCTP)-Based Authentication Protocol
WO2012055172A1 (zh) 节点间会话密钥的建立系统、方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11850083

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2013545016

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13995593

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20137019230

Country of ref document: KR

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 11850083

Country of ref document: EP

Kind code of ref document: A1