專利名稱：一種組播方法、網(wǎng)絡(luò)設(shè)備及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，尤其涉及一種組播方法、網(wǎng)絡(luò)設(shè)備及系統(tǒng)。
背景技術(shù)：
隨著互聯(lián)網(wǎng)中流媒體、視頻會(huì)議和視頻點(diǎn)播等多媒體業(yè)務(wù)的發(fā)展，組 播技術(shù)已成為寬帶多媒體應(yīng)用的關(guān)鍵技術(shù)，組播報(bào)文在網(wǎng)絡(luò)中的傳輸越來 越多。但是，目前組播網(wǎng)絡(luò)的可管理、可運(yùn)營特性卻比較差，無法適應(yīng)未 來的網(wǎng)絡(luò)建設(shè)需求。
當(dāng)前組播網(wǎng)絡(luò)中， 一個(gè)合法的單播IP (網(wǎng)際協(xié)議)地址可以作為一個(gè) 組播報(bào)文發(fā)送者，以一個(gè)組播地址為目的地址向組播網(wǎng)絡(luò)發(fā)送組播報(bào)文。同時(shí)網(wǎng)絡(luò)中的終端通過IGMP (Internet Group Management Protocol,國 際互聯(lián)網(wǎng)組管理協(xié)議)向組播網(wǎng)絡(luò)聲明其需要某個(gè)組播地址的組播報(bào)文， 如果網(wǎng)絡(luò)支持組播協(xié)議，則組播報(bào)文會(huì)通過組播協(xié)議指定的路徑到達(dá)接收者。
上述組播報(bào)文發(fā)送者發(fā)送組播報(bào)文的方法，存在兩個(gè)問題。第一，任 何一個(gè)終端都可以通過IGMP向組播網(wǎng)絡(luò)聲明其需要某個(gè)組播地址的組播報(bào) 文，即使該組播組的所有者并不希望自己的組播報(bào)文被沒有經(jīng)過授權(quán)的終 端所接收；第二，如果一個(gè)網(wǎng)絡(luò)終端設(shè)備存在惡意，以一個(gè)合法的單播IP 地址為組播報(bào)文發(fā)送者地址，惡意向組播網(wǎng)絡(luò)發(fā)送大量組播報(bào)文，將使組 播網(wǎng)絡(luò)傳輸大量的無意義的組播報(bào)文，從而大量占用網(wǎng)絡(luò)資源，干擾組播 系統(tǒng)的正常運(yùn)行，嚴(yán)重時(shí)會(huì)使組播系統(tǒng)處于癱瘓狀態(tài)。
為了解決上述第一個(gè)問題，IETF (The Internet Engineering TaskForce,互連網(wǎng)工程任務(wù)組)的MSEC (Multicast Security,組^潘安全)工 作組提出了一種解決方法，主要是對(duì)每個(gè)加入到某個(gè)特定組的組成員，包 括發(fā)送者和接收者，進(jìn)行認(rèn)證，判定組成員是否具有加入到該組的權(quán)限， 如果具備加入到該組的權(quán)限，則在接入設(shè)備上創(chuàng)建組播樹并通過GCKS (Group Controller and Key Server,組控制密鑰服務(wù)器)給組成員下發(fā) 一個(gè)密鑰，之后發(fā)送者發(fā)送的該組的所有組播寺艮文都是經(jīng)過該密鑰加密后 通過組播樹發(fā)送到其他的接收者中。采用上述處理方法，沒有權(quán)限的終端 不能通過認(rèn)證，所以無法獲得這個(gè)特定組的密鑰，也就無法對(duì)這個(gè)特定組 的經(jīng)過加密的組播寺艮文進(jìn)行解密，從而可以有效地防止沒有權(quán)限的終端獲 得某個(gè)特定組的組^^艮文。但是上述處理方法仍然存在問題。目前的加密技術(shù)存在兩種。 一種是 對(duì)稱加密，也就是加密方和解密方擁有相同的密鑰，加密方用該密鑰進(jìn)行 正向加密，而解密方用該密鑰進(jìn)行逆向解密。這種加密方法的特點(diǎn)是運(yùn)算 量小，需要的資源少，運(yùn)算速度快，但安全性不是太高，無法根據(jù)密鑰來 識(shí)別加密方的身份。對(duì)稱加密的方法大量應(yīng)用于普通報(bào)文的加密傳輸中。 另一種是非對(duì)稱加密，也就是加密方和解密方擁有不同的密鑰，加密方擁 有的密鑰稱之為公鑰，解密方擁有的密鑰稱之為私鑰，加密方用公鑰加密， 解密方用私鑰解密。非對(duì)稱加密方法的特點(diǎn)是運(yùn)算量大，約為對(duì)稱加密方 法的300倍，需要大量的資源，運(yùn)算速度慢，但是安全性高，可以根據(jù)密鑰 來識(shí)別加密方的身份，非對(duì)稱加密方法主要應(yīng)用于密鑰協(xié)商過程中的加密 和需要進(jìn)行身份識(shí)別的加密過程。當(dāng)只有兩方用戶參與通信時(shí)，可以通過 對(duì)稱加密方法來進(jìn)行身份識(shí)別，例如，當(dāng)A和B進(jìn)行加密傳輸時(shí)，他們擁有 一個(gè)只有A和B才知道的密鑰KEY, A為發(fā)送者，B為接收者；如果A收到一個(gè) 用KEY加密的報(bào)文，而且A知道這個(gè)報(bào)文不是自己發(fā)的，那么A就可以確定這 個(gè)用KEY加密的報(bào)文是B發(fā)來的。但是，當(dāng)有三方或者三方以上的用戶參與 通信時(shí)，對(duì)稱加密方法將無法用于身份的識(shí)別，例如當(dāng)A、 B和C進(jìn)行加密傳
輸時(shí)，他們擁有一個(gè)只有他們?nèi)齻€(gè)才知道的密鑰KEY， A為發(fā)送者，B、 C為 接收者；當(dāng)A收到一個(gè)用KEY加密的報(bào)文時(shí)，而且A知道這個(gè)報(bào)文不是自己發(fā) 的，那么A并不能判斷出這個(gè)報(bào)文是B發(fā)來的還是C發(fā)來的，因?yàn)锽、 C都擁有 這個(gè)密鑰KEY。所以，如何在保證組播報(bào)文安全的前提下，利用最小的代價(jià)， 譬如說，最好是對(duì)稱加密方法，實(shí)現(xiàn)對(duì)發(fā)送者的識(shí)別就成了亟待解決的問 題。為了解決這一問題，使組播系統(tǒng)避免受到惡意組播報(bào)文的攻擊，需要 對(duì)組播報(bào)文發(fā)送者進(jìn)行嚴(yán)格的控制管理，只有被允許的組播報(bào)文發(fā)送者才 可以向組播網(wǎng)絡(luò)發(fā)送組播報(bào)文?，F(xiàn)在的組播網(wǎng)絡(luò)通常采用ACL (Access Control List,訪問控制列表)來限制組播報(bào)文發(fā)送者的地址范圍，進(jìn)而 控制組播報(bào)文發(fā)送者發(fā)送的組播報(bào)文。ACL中的信息包括組^^艮文發(fā)送者地 址和組播地址的對(duì)應(yīng)關(guān)系。ACL的規(guī)則包括1)在ACL規(guī)則缺省的情況下， 表示不允許以該組播地址為目的地址的組播報(bào)文進(jìn)入組播網(wǎng)絡(luò)；2 )如果ACL 中某組播地址對(duì)應(yīng)某個(gè)組播報(bào)文發(fā)送者地址，則表示允許以該組播報(bào)文發(fā) 送者地址為組纟番l艮文的發(fā)送者地址并且以該組4番地址為目的地址的組^番才艮 文進(jìn)入組播網(wǎng)絡(luò)。其中，規(guī)則2)的優(yōu)先級(jí)高于規(guī)則l)的優(yōu)先級(jí)。通過ACL 來實(shí)現(xiàn)組播報(bào)文發(fā)送者的控制管理，在組播網(wǎng)絡(luò)的接入層路由器、交換機(jī) 中配置ACL,交換機(jī)、路由器支持ACL規(guī)則并根據(jù)ACL過濾掉不允許向特定組 播地址發(fā)送組播報(bào)文的組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，或者說，只對(duì)特 定的組播報(bào)文發(fā)送者向特定的組播組發(fā)送的組播報(bào)文進(jìn)行組播報(bào)文的轉(zhuǎn) 發(fā)。具體過程為當(dāng)交換機(jī)或接入層路由器接收到組播報(bào)文時(shí)，根據(jù)其配 置的ACL判斷接收到的組播報(bào)文的發(fā)送者地址是否在ACL指定的范圍內(nèi)，如 果在ACL指定的范圍內(nèi)，則表示允許組播報(bào)文的發(fā)送者地址向組播報(bào)文的目 的地址發(fā)送組播報(bào)文，交換機(jī)或接入層路由器采取對(duì)組播報(bào)文轉(zhuǎn)發(fā)等方法 允許該組播報(bào)文進(jìn)入組播網(wǎng)絡(luò)；相反地，如果不在ACL指定的范圍內(nèi)，則表 示不允許組播報(bào)文的發(fā)送者地址向組播報(bào)文的目的地址發(fā)送組播報(bào)文，交 換機(jī)或接入層路由器采用丟棄組播報(bào)文、不為其建立轉(zhuǎn)發(fā)路由等方法不允 許該組播報(bào)文進(jìn)入組播網(wǎng)絡(luò)。從而實(shí)現(xiàn)對(duì)組播報(bào)文發(fā)送者的控制。
但是，上述方案中，要在組播網(wǎng)絡(luò)的接入層路由器、交換機(jī)中配置的ACL是靜態(tài)的，當(dāng)對(duì)組播報(bào)文發(fā)送者或組播地址的限制需要更改，即對(duì)ACL 中的內(nèi)容需要更改時(shí)，需要人為的修改各接入層路由器、交換機(jī)中的ACL。 ACL內(nèi)容變化不靈活，需要人工參與，這樣一來就不適合組播網(wǎng)絡(luò)對(duì)組播報(bào) 文發(fā)送者的自動(dòng)實(shí)時(shí)管理，致使組播網(wǎng)絡(luò)管理和維護(hù)的成本高，組播網(wǎng)絡(luò) 的可管理性和可運(yùn)營性差。因此，如何實(shí)現(xiàn)無需手動(dòng)配置，如何自動(dòng)識(shí)別 發(fā)送者和接收者之間的區(qū)別也成了需要重點(diǎn)關(guān)注的問題。
為了解決這個(gè)問題，出現(xiàn)了一種修改對(duì)稱加密算法的方法，使之可以 具備非對(duì)稱加密算法的優(yōu)點(diǎn)，可以進(jìn)行發(fā)送者的鑒別同時(shí)又可以實(shí)現(xiàn)發(fā)送 者的自動(dòng)識(shí)別，防止不是發(fā)送者的終端發(fā)送組播報(bào)文。該方法在IETF的RFC (Request For Comment,請(qǐng)求注解)4082、 RFC4383、 RFC4442等標(biāo)準(zhǔn)進(jìn)行 了闡述。簡單來說，在對(duì)稱加密方法中，發(fā)送者和接收者共享一個(gè)對(duì)稱密 鑰并協(xié)商出相應(yīng)的一段明文字段，發(fā)送者和接收者都用該對(duì)稱密鑰和這段 明文字段通過原先協(xié)商好的哈希算法生成一個(gè)MAC (Message Authentication Code,消息認(rèn)i正碼)，才巴該消息認(rèn)證碼添力口到凈艮文中發(fā)送， 如圖1所示，是現(xiàn)有技術(shù)中加密發(fā)送的報(bào)文示意圖。通信方只有雙方時(shí)，雙 方通過比4交MAC即可實(shí)現(xiàn)對(duì)對(duì)方的識(shí)別。但是通過上面的闡述可以看出，在組播環(huán)境下，前面的對(duì)稱加密算法 并不適用，于是引入TESLA (Timed Efficient Stream Loss-Tolerant Authentication,基于時(shí)間的高效的容忍丟包的流認(rèn)證協(xié)議)，主要是通 過時(shí)間上的非對(duì)稱實(shí)現(xiàn)對(duì)稱加密算法在功能上的非對(duì)稱進(jìn)而實(shí)現(xiàn)算法的非 對(duì)稱，也就是說接收者不知道當(dāng)前時(shí)間的當(dāng)前密鑰，需要過一段時(shí)間之后， 接收者才得以知道當(dāng)前時(shí)間段的密鑰。該方法包括
(1)發(fā)送者定義參數(shù) 發(fā)送者根據(jù)自身需要發(fā)送的組播內(nèi)容定義出總的時(shí)間長度，再把總的時(shí)間長度劃分成k個(gè)長度為T的時(shí)間間隔，其中，k是自然數(shù)；定義顯密時(shí)延，顯密時(shí)延是指經(jīng)過多長的時(shí)間以后把當(dāng)前的密鑰通告 給接收者， 一般來說是幾個(gè)長度為T的時(shí)間間隔，我們假設(shè)為n個(gè)，其中n是 自然數(shù)；定義一個(gè)單向函數(shù)f，該單向函數(shù)的作用為如果知道第k個(gè)時(shí)間段的密 鑰KEY(k)，那么通過單向函數(shù)f，可以計(jì)算出第(k-l)個(gè)時(shí)間段的密鑰 KEY(k-l),同樣的，當(dāng)計(jì)算出KEY(k-l)后，就可以計(jì)算出KEY (k-2)，所以， 當(dāng)知道第k個(gè)時(shí)間段的密鑰KEY (k)后，就可以計(jì)算出第k個(gè)時(shí)間段以前的所 有時(shí)間段的密鑰；單向函數(shù)的另一個(gè)特點(diǎn)是它是單向的，也就是說知道第k 個(gè)時(shí)間段的密鑰KEY(k),無法計(jì)算出第(k+l)個(gè)時(shí)間段的密鑰KEY(k+l)。當(dāng)上述參數(shù)定義出來以后，發(fā)送者就可以利用定義出來的密鑰進(jìn)行報(bào) 文的加密以及密鑰的通告了，圖2是現(xiàn)有技術(shù)中加密發(fā)送的報(bào)文示意圖，如 圖2所示，是在第i個(gè)時(shí)間段內(nèi)的某個(gè)報(bào)文，其中Pi是經(jīng)過當(dāng)前時(shí)間段密鑰 KEY(i)加密的組播報(bào)文，KEY(i-n)是第(i-n)個(gè)時(shí)間段的密鑰，該字段是通 告給接收者第(i-n)個(gè)時(shí)間段該組的組播密鑰，消息認(rèn)證碼MAC(K， (i))用 于使接收者能夠在第i個(gè)時(shí)間段進(jìn)行該報(bào)文的源信息認(rèn)證，這里需要介紹一 下K， (i)。通過上面的介紹，如果知道KEY(i)以后，就可以通過單向函數(shù)f 計(jì)算出第i個(gè)時(shí)間段以前的所有密鑰，所以密鑰KEY (i)是個(gè)很機(jī)密的信息， 是不允許被其他設(shè)備獲得的，因此就需要對(duì)KEY(i)進(jìn)行保護(hù)，就又定義了 單向函數(shù)g，單向函數(shù)g的主要作用就是把密鑰KEY(i)單向的轉(zhuǎn)換為K， (i)， 但是卻無K， (i)單向的轉(zhuǎn)換為KEY(i),這一過程如圖3所示。 (2 )接收者向發(fā)送者協(xié)商參數(shù)當(dāng)一個(gè)接收者加入到一個(gè)組后，會(huì)到發(fā)送者進(jìn)行注冊(cè)，注冊(cè)過程中需 要協(xié)商參數(shù)獲取時(shí)間段長度T、單向函數(shù)f、單向函數(shù)g、顯密時(shí)延等信息， 并保證接收者和發(fā)送者時(shí)間上的同步。同時(shí)和發(fā)送者進(jìn)行非對(duì)稱加密，對(duì)
發(fā)送者進(jìn)行認(rèn)證，也就是說，在整個(gè)過程中，只進(jìn)行這一次的非對(duì)稱加密， 獲得發(fā)送者的信息，對(duì)發(fā)送者的身份進(jìn)行認(rèn)證，在對(duì)發(fā)送者進(jìn)行認(rèn)證的基礎(chǔ)上獲得整個(gè)密鑰鏈中的第一個(gè)密鑰KEY(O)。 (3 )接收者接收到組播報(bào)文的處理當(dāng)接收者接收到第k個(gè)時(shí)間段的組播報(bào)文時(shí)，因?yàn)榇藭r(shí)接收者并沒有第 k個(gè)時(shí)間段的組播密鑰KEY(k),所以接收者把這個(gè)時(shí)間段的組播報(bào)文進(jìn)行緩 存，當(dāng)收到第k+n個(gè)時(shí)間段的報(bào)文時(shí)，從第k+n個(gè)時(shí)間段的報(bào)文中提取出第k 個(gè)時(shí)間段的密鑰后，才能對(duì)原先緩存的組播報(bào)文進(jìn)行解密。從上述方案可以看出，TESLA協(xié)議可以有效的進(jìn)行組播源認(rèn)證，并能夠 解決上面提到的幾個(gè)問題。然而，本發(fā)明的發(fā)明人，在發(fā)明過程中發(fā)現(xiàn) TESLA協(xié)議中，雖然接收者通過TESLA協(xié)議對(duì)于不具備當(dāng)前密鑰的發(fā)送者所 發(fā)送的組播報(bào)文，可以進(jìn)行丟棄；但是網(wǎng)絡(luò)設(shè)備，例如組播路由器、接入 路由器等卻無法察覺該組播報(bào)文是否合法，因?yàn)榫W(wǎng)絡(luò)設(shè)備沒有參與到TESLA 的認(rèn)證過程中，所以， 一直要把組播報(bào)文發(fā)送到接收者處才能察覺該組播 報(bào)文是否合法，這樣就可能造成網(wǎng)絡(luò)帶寬的大量浪費(fèi)。發(fā)明內(nèi)容基于上述分析，本發(fā)明的實(shí)施例提供一種組播方法，包括 網(wǎng)絡(luò)設(shè)備獲取密鑰；網(wǎng)絡(luò)設(shè)備接收到組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文時(shí)，根據(jù)所述密鑰認(rèn) 證所述組播報(bào)文發(fā)送者是否合法及所述組播報(bào)文是否合法，當(dāng)二者均合法 時(shí)，轉(zhuǎn)發(fā)所述組播"t艮文，否則，丟棄所述組播4艮文。本發(fā)明的實(shí)施例還提供了一種網(wǎng)絡(luò)設(shè)備，包括注冊(cè)管理單元，用于向組播報(bào)文發(fā)送者進(jìn)行注冊(cè)，從所述組播報(bào)文發(fā)送者獲取密鑰；報(bào)文處理單元，用于接收所述組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù) 發(fā)送者的合法性和所述組播報(bào)文的合法性進(jìn)行認(rèn) 證，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文到接收者，否則，丟棄所述組播 報(bào)文。本發(fā)明的實(shí)施例還提供了一種組播系統(tǒng)，包括組播"^艮文發(fā)送者，向網(wǎng)絡(luò)設(shè)備發(fā)送組播報(bào)文和密鑰；網(wǎng)絡(luò)設(shè)備，接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)密鑰認(rèn)證組播 報(bào)文發(fā)送者是否合法以及組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，將組播報(bào) 文發(fā)送給接收者，否則丟棄組播報(bào)文。本發(fā)明的實(shí)施例又提供了一種網(wǎng)絡(luò)設(shè)備，包括注冊(cè)管理單元，向組控制密鑰服務(wù)器GCKS進(jìn)行注冊(cè)，從GCKS獲取密鑰；報(bào)文處理單元，用于接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)所述 密鑰對(duì)組播報(bào)文發(fā)送者的合法性和組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均 合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文。本發(fā)明的實(shí)施例又提供了一種組播系統(tǒng)，包括策略服務(wù)器、組控制密鑰服務(wù)器GCKS、組播l艮文發(fā)送者和網(wǎng)絡(luò)設(shè)備， 其中，所述策略服務(wù)器，用于響應(yīng)所述組控制密鑰服務(wù)器GCKS的請(qǐng)求，下發(fā) 密鑰給所述組控制密鑰服務(wù)器GCKS。所述組控制密鑰服務(wù)器GCKS，用于向所述策略服務(wù)器請(qǐng)求密鑰，接收 到所述組播報(bào)文發(fā)送者的注冊(cè)請(qǐng)求和所述網(wǎng)絡(luò)設(shè)備的注冊(cè)請(qǐng)求時(shí)，將所述 密鑰下發(fā)給所述組播報(bào)文發(fā)送者和所述網(wǎng)絡(luò)設(shè)備；所述組播報(bào)文發(fā)送者，用于從所述組控制密鑰服務(wù)器GCKS獲取所述密 鑰，利用所述密鑰對(duì)組播報(bào)文進(jìn)行加密，向所述網(wǎng)絡(luò)設(shè)備發(fā)送加密后的組 播報(bào)文；所述網(wǎng)絡(luò)設(shè)備，從所述組控制密鑰服務(wù)器GCKS獲取所述密鑰，接收所 述加密后的組播報(bào)文，根據(jù)所述密鑰對(duì)所述組播報(bào)文發(fā)送者的合法性和所
述加密后的組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述加密 后的組播報(bào)文，否則丟棄所述加密后的組播報(bào)文。在本發(fā)明的實(shí)施例中，網(wǎng)絡(luò)設(shè)備獲取密鑰，利用密鑰對(duì)組播報(bào)文發(fā)送 者的合法性進(jìn)行判斷，并對(duì)其發(fā)送的組播報(bào)文的合法性進(jìn)行判斷，只要二 者中有一項(xiàng)不合法，則丟棄組播報(bào)文。這樣一來，對(duì)于非法的組播報(bào)文， 網(wǎng)絡(luò)設(shè)備不會(huì)再進(jìn)行轉(zhuǎn)發(fā)，從而能夠避免對(duì)網(wǎng)絡(luò)帶寬的大量浪費(fèi)。


圖l為現(xiàn)有技術(shù)中加密發(fā)送的報(bào)文示意圖；圖2為現(xiàn)有技術(shù)中加密發(fā)送的報(bào)文示意圖；圖3為現(xiàn)有技術(shù)中密鑰轉(zhuǎn)換過程示意圖；圖4為本發(fā)明的一個(gè)實(shí)施例中的信令流程圖；圖5為本發(fā)明的 一個(gè)實(shí)施例中的網(wǎng)絡(luò)i殳備的簡化結(jié)構(gòu)示意圖；圖6為組播安全架構(gòu)的簡化示意圖；圖7為本發(fā)明的又一實(shí)施例中的信令流程圖。
具體實(shí)施方式
下面結(jié)合附圖對(duì)本發(fā)明的實(shí)施例進(jìn)行詳細(xì)說明。在本發(fā)明的實(shí)施例中，為了避免當(dāng)一個(gè)非法的發(fā)送者發(fā)送的組播報(bào)文 經(jīng)過整個(gè)網(wǎng)絡(luò)，到達(dá)接收者時(shí)才讓接收者發(fā)現(xiàn)該組播凈艮文非法，就需要在 與非法發(fā)送者相連的網(wǎng)絡(luò)設(shè)備上判斷組播報(bào)文是否合法。非法發(fā)送者與網(wǎng) 絡(luò)設(shè)備可以直接相連，也可以不直接相連，舉例來說，非法發(fā)送者和三層 組播路由器之間很可能存在多個(gè)二層設(shè)備，那么可以認(rèn)為非法發(fā)送者和三 層組播路由器在三層是直接相連的，比如屬于同一個(gè)子網(wǎng)。換句話說，網(wǎng) 絡(luò)需要具有TESLA協(xié)議中的密鑰，根據(jù)密鑰在網(wǎng)絡(luò)設(shè)備上判斷組播報(bào)文發(fā)送 者是否合法以及組播報(bào)文是否合法。當(dāng)然，上述非法的發(fā)送者可能是一個(gè)
合法的接收者，只是沒有發(fā)送組播報(bào)文的權(quán)限。圖4是本發(fā)明的一個(gè)實(shí)施例中的信令流程圖，如圖4所示，該過程包括0. IGMP注冊(cè)；1. 組播樹建立；上述兩個(gè)過程，也就是說，當(dāng)一個(gè)預(yù)接收者想加入到一個(gè)組^i且時(shí)， 該預(yù)接收者會(huì)發(fā)送注冊(cè)報(bào)文，例如IGMP報(bào)文，到與之連接的網(wǎng)絡(luò)設(shè)備上， 這里的網(wǎng)絡(luò)設(shè)備一般是組播路由器，也可以是二層交換機(jī)，如果是二層交 換機(jī)則可能會(huì)做IGMP snooping后再轉(zhuǎn)發(fā)該IGMP報(bào)文。網(wǎng)絡(luò)設(shè)備收到IGMP報(bào) 文后，向組播樹的匯聚點(diǎn)發(fā)送組播路由協(xié)議加入報(bào)文，例如PIM-SM (Protocol Independent Multicast-Sparse Mode, 稀疏模式協(xié)議無關(guān)組 播)加入報(bào)文，進(jìn)而建立起組播樹。如果涉及到安全組播，可能在發(fā)送組 播路由協(xié)議加入報(bào)文之前需要先對(duì)該IGMP報(bào)文進(jìn)行認(rèn)證，判斷該預(yù)接收者 是否具備加入到該組的權(quán)限，如果不具備加入到該組的權(quán)限，則不發(fā)送組 播路由協(xié)議加入報(bào)文；如果具備加入到該組的權(quán)限，則發(fā)送組播路由協(xié)議 加入才艮文建立起組播樹，該預(yù)接收者加入組后則成為接收者。接收者向發(fā)送者注冊(cè)，獲得TESLA的相關(guān)信息以便接收組播報(bào)文。2. TESLA注冊(cè)；3. 注冊(cè)成功；上述兩個(gè)過程，也就是說，為了防止發(fā)送組播報(bào)文的一方是非法發(fā)送 者，就需要網(wǎng)絡(luò)設(shè)備也擁有TESLA的相關(guān)信息，使網(wǎng)絡(luò)設(shè)備在接收到組播報(bào) 文發(fā)送者發(fā)來的組播報(bào)文時(shí)就可以判斷組播報(bào)文發(fā)送者是否合法以及該組 播報(bào)文是否合法，只要有一者不合法則丟棄該組播報(bào)文。所以，網(wǎng)絡(luò)設(shè)備 也要向發(fā)送者進(jìn)行注冊(cè)，注冊(cè)過程中需要協(xié)商參數(shù)獲取時(shí)間段長度T、單向 函數(shù)f、單向函數(shù)g、顯密時(shí)延等信息，并保證網(wǎng)絡(luò)設(shè)備和發(fā)送者時(shí)間上的 同步。4. 請(qǐng)求密鑰；
5.通告當(dāng)前密鑰；上述兩個(gè)過程，也就是說，網(wǎng)絡(luò)設(shè)備向發(fā)送者請(qǐng)求密鑰，和發(fā)送者進(jìn) 行非對(duì)稱加密，對(duì)發(fā)送者進(jìn)行認(rèn)證。在對(duì)發(fā)送者進(jìn)行認(rèn)證的基礎(chǔ)上獲得整 個(gè)密鑰鏈中第一個(gè)密鑰KEY(O)。也可以采用其他方案來獲取KEY(O)，譬如， 因?yàn)榫W(wǎng)絡(luò)設(shè)備可能屬于運(yùn)營商設(shè)備，安全系數(shù)較高，所以不采用非對(duì)稱密 鑰進(jìn)行加密而直接獲取KEY (0)。網(wǎng)絡(luò)設(shè)備處理來自發(fā)送者的組播報(bào)文時(shí)，需要獲知各個(gè)時(shí)間段的密鑰 并根據(jù)這些密鑰來判斷收到的組播報(bào)文是否是合法的組播報(bào)文。網(wǎng)絡(luò)設(shè)備 獲知各個(gè)時(shí)間段的密鑰的方式多種多樣，譬如，如果網(wǎng)絡(luò)設(shè)備的安全能夠 完全保證，那么發(fā)送者可以在第一個(gè)時(shí)間段直接發(fā)送KEY (k)給網(wǎng)絡(luò)設(shè)備， 直接向網(wǎng)絡(luò)設(shè)備發(fā)送KEY (k)的最大好處是，后續(xù)將不再需要每隔長度為T的 時(shí)間間隔向網(wǎng)絡(luò)設(shè)備發(fā)送一個(gè)密鑰，因?yàn)榫W(wǎng)絡(luò)設(shè)備可以根據(jù)KEY (k)結(jié)合單 向函數(shù)f直接算出第k個(gè)時(shí)間段之前任何時(shí)間段的密鑰。又如，發(fā)送者在第i 個(gè)時(shí)間段發(fā)送KEY(i)給網(wǎng)絡(luò)設(shè)備(i的取值從O到k)。再如，發(fā)送者在第i+n 個(gè)時(shí)間段發(fā)送KEY(i)給網(wǎng)絡(luò)設(shè)備(i的取值從0到k),在這種情況下，網(wǎng)絡(luò) 設(shè)備需要對(duì)第i個(gè)時(shí)間段接收到的組播報(bào)文進(jìn)行緩存，經(jīng)過n個(gè)時(shí)間間隔T后 才能獲知到第i個(gè)時(shí)間賴^妄收到的組纟番l艮文所對(duì)應(yīng)的密鑰。網(wǎng)絡(luò)設(shè)備對(duì)組播報(bào)文的處理包括當(dāng)網(wǎng)絡(luò)設(shè)備收到發(fā)送者發(fā)來的組播 報(bào)文時(shí)，提出組播報(bào)文的MAC字段，根據(jù)該組播報(bào)文對(duì)應(yīng)時(shí)間段的密鑰進(jìn)行 MAC的校驗(yàn)，如果MAC合法，則將該組播報(bào)文轉(zhuǎn)發(fā)給接收者，如果MAC不合法， 則網(wǎng)絡(luò)設(shè)備丟棄該組播才艮文。圖5是本發(fā)明的一個(gè)實(shí)施例中網(wǎng)絡(luò)設(shè)備的簡化結(jié)構(gòu)示意圖。如圖5所示， 該網(wǎng)絡(luò)設(shè)備包括注冊(cè)管理單元和報(bào)文處理單元。注冊(cè)管理單元向組播報(bào)文 發(fā)送者進(jìn)行注冊(cè)，從該組播報(bào)文發(fā)送者獲取密鑰；報(bào)文處理單元用于接收 組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)該密鑰對(duì)組播報(bào)文發(fā)送者的合法性 和組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)組播凈艮文；否則，
丟棄組播報(bào)文。在本發(fā)明的又一實(shí)施例中，網(wǎng)絡(luò)設(shè)備還可以包括接收者認(rèn)證單元，接 收預(yù)接收者發(fā)來的注冊(cè)請(qǐng)求，將該預(yù)接收者注冊(cè)為接收者。如果涉及安全 組播，可能需要對(duì)預(yù)接收者發(fā)來的注冊(cè)請(qǐng)求進(jìn)行認(rèn)證，判斷該預(yù)接收者是 否具備加入到該組的權(quán)限。所以，在這種情況下，接收者認(rèn)證單元中則包 括權(quán)限認(rèn)證模塊，對(duì)預(yù)接收者發(fā)來的注冊(cè)請(qǐng)求進(jìn)行認(rèn)證，當(dāng)認(rèn)證合法時(shí)， 將該預(yù)接收者注冊(cè)為接收者。在本發(fā)明的一個(gè)實(shí)施例中，組播系統(tǒng)包括組播報(bào)文發(fā)送者，向網(wǎng)絡(luò)設(shè)備發(fā)送組播報(bào)文和密鑰；網(wǎng)絡(luò)設(shè)備，接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)密鑰認(rèn)證組播 報(bào)文發(fā)送者是否合法以及組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，將組播報(bào) 文發(fā)送給接收者，否則丟棄組播報(bào)文。圖6是組播安全架構(gòu)的簡化示意圖。目前在MSEC工作組中已有定義，其 中的組播密鑰都是通過GCKS來分發(fā)的，其中，l-m表示一點(diǎn)到多點(diǎn)的報(bào)文傳 輸，m-m表示多點(diǎn)到多點(diǎn)的報(bào)文傳輸。結(jié)合圖6所示的安全組播架構(gòu)，圖7是 本發(fā)明的又一實(shí)施例中的信令流程圖。如圖7所示，該過程包括1. 發(fā)送者向GCKS發(fā)起注冊(cè)，告知自身的相關(guān)信息，包括時(shí)間段長度T、 單向函數(shù)f、單向函數(shù)g、顯密時(shí)延等信息，并保證發(fā)送者和GCKS時(shí)間上的 同步。2. 網(wǎng)絡(luò)設(shè)備向GCKS發(fā)起注冊(cè)，由GCKS對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行認(rèn)證，保證網(wǎng)絡(luò) 設(shè)備的安全性。3. 接收者向GCKS發(fā)起注冊(cè)，由GCKS對(duì)接收者進(jìn)行認(rèn)證，保證接收者的 安全性。4. GCKS向策略服務(wù)器(圖7中未示出)進(jìn)行查詢，根據(jù)查詢到的策略向 發(fā)送者發(fā)送密鑰。具體發(fā)送方式存在多種方案，譬如，如果當(dāng)前時(shí)間為第i 個(gè)時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。又如，當(dāng)前時(shí)間為第i+n
個(gè)時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。再如， 一開始就根據(jù)策 略發(fā)送KEY(k)，即最后一個(gè)時(shí)間段的密鑰。當(dāng)然，也可以采用其他方式來 發(fā)送密鑰。
5. GCKS向策略服務(wù)器(圖7中未示出)進(jìn)行查詢，根據(jù)查詢到的策略 向網(wǎng)絡(luò)設(shè)備發(fā)送密鑰。具體發(fā)送方式存在多種方案，譬如，如果當(dāng)前時(shí)間 為第i個(gè)時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。又如，當(dāng)前時(shí)間 為第i+n個(gè)時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。再如， 一開始 就根據(jù)策略發(fā)送KEY(k),即最后一個(gè)時(shí)間段的密鑰。當(dāng)然，也可以采用其 他方式來發(fā)送密鑰。
6. GCKS向策略服務(wù)器(圖7中未表示)進(jìn)行查詢，才艮據(jù)查詢的策略向接 收者發(fā)送密鑰，具體發(fā)送方式存在多種方案，譬如，如果當(dāng)前時(shí)間為第i個(gè) 時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。又如，當(dāng)前時(shí)間為第i+n 個(gè)時(shí)間段，則發(fā)送第i個(gè)時(shí)間段的組播密鑰KEY(i)。再如， 一開始就根據(jù)策 略發(fā)送KEY(k),即最后一個(gè)時(shí)間段的密鑰。當(dāng)然，也可以采用其他方式來 發(fā)送密鑰。
上述步驟的編號(hào)并不用于限定這些步驟之間的先后順序， 這些步驟之間并不存在必然的先后關(guān)系。
發(fā)送者發(fā)送報(bào)文時(shí)，利用來自GCKS的密鑰對(duì)組播報(bào)文進(jìn)行加密，然后 發(fā)送給網(wǎng)絡(luò)設(shè)備，網(wǎng)絡(luò)設(shè)備利用來自GCKS的密鑰判斷發(fā)送者是否合法，以 及收到的組播報(bào)文是否合法，如果二者均合法，則轉(zhuǎn)發(fā)組播報(bào)文，否則丟 棄組播報(bào)文。接收者接收到網(wǎng)絡(luò)設(shè)備轉(zhuǎn)發(fā)來的組播報(bào)文后，利用來自GCKS 的密鑰對(duì)"l艮文進(jìn)行解密。
在本發(fā)明的又一個(gè)實(shí)施例中，網(wǎng)絡(luò)設(shè)備包括
注冊(cè)管理單元，向組控制密鑰服務(wù)器GCKS進(jìn)行注冊(cè)，從GCKS獲取密鑰； 報(bào)文處理單元，用于接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)密鑰 對(duì)組播報(bào)文發(fā)送者的合法性和組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均合法
時(shí)，轉(zhuǎn)發(fā)組播報(bào)文給接收者，否則丟棄組播報(bào)文。在本發(fā)明的又一個(gè)實(shí)施例中，組播系統(tǒng)包括策略服務(wù)器、組控制密鑰服務(wù)器GCKS、組播報(bào)文發(fā)送者和網(wǎng)絡(luò)設(shè)備，其中，組控制密鑰服務(wù)器GCKS 向策略服務(wù)器請(qǐng)求密鑰，策略服務(wù)器響應(yīng)組控制密鑰服務(wù)器GCKS的請(qǐng)求， 下發(fā)密鑰給組控制密鑰服務(wù)器GCKS。組控制密鑰服務(wù)器GCKS接收到組播報(bào) 文發(fā)送者的注冊(cè)請(qǐng)求和網(wǎng)絡(luò)設(shè)備的注冊(cè)請(qǐng)求時(shí)，將密鑰下發(fā)給組播報(bào)文發(fā) 送者和網(wǎng)絡(luò)設(shè)備。組播報(bào)文發(fā)送者利用密鑰向所述網(wǎng)絡(luò)設(shè)備加密發(fā)送組播 報(bào)文。網(wǎng)絡(luò)設(shè)備接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)密鑰認(rèn)證組播 報(bào)文發(fā)送者是否合法以及組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)組播 報(bào)文，否則丟棄組播寺艮文。在本發(fā)明的實(shí)施例中，網(wǎng)紹4殳備獲取密鑰，利用密鑰對(duì)組播報(bào)文發(fā)送 者的合法性進(jìn)行判斷，并對(duì)其發(fā)送的組播報(bào)文的合法性進(jìn)行判斷，只要二 者中有一項(xiàng)不合法，則丟棄組播報(bào)文。這樣一來，對(duì)于非法的組播"R文， 網(wǎng)絡(luò)設(shè)備不會(huì)再進(jìn)行轉(zhuǎn)發(fā)，從而能夠避免對(duì)網(wǎng)絡(luò)帶寬的大量浪費(fèi)。以上所述，僅為本發(fā)明較佳的具體實(shí)施方式
，但本發(fā)明的保護(hù)范圍并 不局限于此，任何熟悉該技術(shù)的人在本發(fā)明所揭露的技術(shù)范圍內(nèi)，可輕易 想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。
權(quán)利要求
1、一種組播方法，其特征在于，包括網(wǎng)絡(luò)設(shè)備獲取密鑰；網(wǎng)絡(luò)設(shè)備接收到組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文時(shí)，根據(jù)所述密鑰認(rèn)證所述組播報(bào)文發(fā)送者是否合法及所述組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文，否則，丟棄所述組播報(bào)文。
2、 如權(quán)利要求l所述的方法，其特征在于，所述網(wǎng)絡(luò)設(shè)備獲取密鑰， 包括所述網(wǎng)絡(luò)設(shè)備向所述組播報(bào)文發(fā)送者注冊(cè)，從所述組播報(bào)文發(fā)送者獲 取所述密鑰。
3、 如權(quán)利要求2所述的方法，其特征在于，所述從所述組播報(bào)文發(fā)送 者獲取所述密鑰，包括在第i個(gè)時(shí)間段獲取密鑰KEY(i),或者， 在第i+n個(gè)時(shí)間段獲取密鑰KEY(i),或者，在第一個(gè)時(shí)間段獲取密鑰KEY(k),其中，i是從O到k的非負(fù)整數(shù)，n 自然it， k是自然凄史。
4、 如權(quán)利要求l所述的方法，其特征在于，所述網(wǎng)絡(luò)設(shè)備獲取密鑰， 包括所述網(wǎng)絡(luò)設(shè)備向組控制密鑰服務(wù)器注冊(cè)，從所述組控制密鑰服務(wù)器獲 耳又所述密鑰。
5、 如權(quán)利要求4所述的方法，其特征在于，所述組播纟艮文發(fā)送者發(fā)來 的組播報(bào)文經(jīng)過加密密鑰加密，所述加密密鑰來自所述組控制密鑰服務(wù)器。
6、 如權(quán)利要求4或5所述的方法，其特征在于，所述從所述組控制密 鑰服務(wù)器獲^^密鑰，包括在第i個(gè)時(shí)間段獲取密鑰KEY(i),或者， 在第i+n個(gè)時(shí)間段獲取密鑰KEY(i),或者，在第一個(gè)時(shí)間段獲取密鑰KEY(k)，其中，i是從O到k的非負(fù)整數(shù)，n 自然凄史，k是自然凄史。
7、 一種網(wǎng)絡(luò)設(shè)備，其特征在于，包括注冊(cè)管理單元，用于向組播報(bào)文發(fā)送者進(jìn)行注冊(cè)，從所述組播報(bào)文發(fā) 送者獲取密鑰；報(bào)文處理單元，用于接收所述組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù) 所述密鑰對(duì)所述組播報(bào)文發(fā)送者的合法性和所述組播報(bào)文的合法性進(jìn)行認(rèn) 證，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文到接收者，否則，丟棄所述組播報(bào)文。
8、 如權(quán)利要求7所述的網(wǎng)絡(luò)設(shè)備，其特征在于，所述網(wǎng)絡(luò)設(shè)備還包括 接收者認(rèn)證單元用于接收預(yù)接收者發(fā)來的注冊(cè)請(qǐng)求，將該預(yù)接收者注冊(cè)為所述^^妄收者。
9、 如權(quán)利要求8所述的網(wǎng)絡(luò)設(shè)備，其特征在在于，所述接收者認(rèn)證單 元包括權(quán)限認(rèn)證模塊，用于對(duì)所述預(yù)接收者發(fā)來的注冊(cè)請(qǐng)求進(jìn)行認(rèn)證，當(dāng)認(rèn) 證合法時(shí)，將所述預(yù)接收者注冊(cè)為接收者。
10、 一種組播系統(tǒng)，其特征在于，包括 組播報(bào)文發(fā)送者，向網(wǎng)絡(luò)設(shè)備發(fā)送組播報(bào)文和密鑰；網(wǎng)絡(luò)設(shè)備，接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)密鑰認(rèn)證組播 報(bào)文發(fā)送者是否合法以及組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，將組播報(bào) 文發(fā)送給接收者，否則丟棄組播報(bào)文。
11、 一種網(wǎng)絡(luò)設(shè)備，其特征在于，包括注冊(cè)管理單元，向組控制密鑰服務(wù)器GCKS進(jìn)行注冊(cè)，從GCKS獲取密鑰； 報(bào)文處理單元，用于接收組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文，根據(jù)所述 密鑰對(duì)組播報(bào)文發(fā)送者的合法性和組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均 合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文。
12、 一種組播系統(tǒng)，其特征在于，包括策略服務(wù)器、組控制密鑰服務(wù) 器GCKS、組播報(bào)文發(fā)送者和網(wǎng)絡(luò)設(shè)備，其中，所述策略服務(wù)器，用于響應(yīng)所述組控制密鑰服務(wù)器GCKS的請(qǐng)求，下發(fā) 密鑰給所述組控制密鑰服務(wù)器GCKS。所述組控制密鑰服務(wù)器GCKS,用于向所述策略服務(wù)器請(qǐng)求密鑰，接收 到所述組播報(bào)文發(fā)送者的注冊(cè)請(qǐng)求和所述網(wǎng)絡(luò)設(shè)備的注冊(cè)請(qǐng)求時(shí)，將所述 密鑰下發(fā)給所述組播報(bào)文發(fā)送者和所述網(wǎng)絡(luò)設(shè)備；所述組播報(bào)文發(fā)送者，用于從所述組控制密鑰服務(wù)器GCKS獲取所述密 鑰，利用所述密鑰對(duì)組播l艮文進(jìn)行加密，向所述網(wǎng)絡(luò)設(shè)備發(fā)送加密后的組 播報(bào)文；所述網(wǎng)絡(luò)設(shè)備，從所述組控制密鑰服務(wù)器GCKS獲取所述密鑰，接收所 述加密后的組播報(bào)文，根據(jù)所述密鑰對(duì)所述組播報(bào)文發(fā)送者的合法性和所 述加密后的組播報(bào)文的合法性進(jìn)行認(rèn)證，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述加密 后的組纟番纟艮文，否則丟棄所述加密后的組播纟艮文。
全文摘要
本發(fā)明涉及通信領(lǐng)域，公開了一種組播方法，包括網(wǎng)絡(luò)設(shè)備獲取密鑰；網(wǎng)絡(luò)設(shè)備接收到組播報(bào)文發(fā)送者發(fā)來的組播報(bào)文時(shí)，根據(jù)所述密鑰認(rèn)證所述組播報(bào)文發(fā)送者是否合法及所述組播報(bào)文是否合法，當(dāng)二者均合法時(shí)，轉(zhuǎn)發(fā)所述組播報(bào)文，否則，丟棄所述組播報(bào)文。本發(fā)明還公開了一種網(wǎng)絡(luò)設(shè)備及組播系統(tǒng)。本發(fā)明實(shí)施例公開的技術(shù)方案中，網(wǎng)絡(luò)設(shè)備對(duì)組播報(bào)文發(fā)送者的合法性以及其發(fā)送的組播報(bào)文的合法性進(jìn)行判斷，只要一項(xiàng)不合法，則丟棄組播報(bào)文。這樣一來，網(wǎng)絡(luò)設(shè)備不再轉(zhuǎn)發(fā)非法的組播報(bào)文，從而能夠避免對(duì)網(wǎng)絡(luò)帶寬的大量浪費(fèi)。
文檔編號(hào)H04L12/56GK101106470SQ200710076310
公開日2008年1月16日 申請(qǐng)日期2007年6月30日 優(yōu)先權(quán)日2007年6月30日
發(fā)明者吳國敏 申請(qǐng)人:華為技術(shù)有限公司