專利名稱：：一種組播密鑰管理方法
技術領域：
：本發(fā)明是一套在IPv6網(wǎng)絡環(huán)境下使用的新型的組播密鑰管理方案。主要用于解決面向用戶的大規(guī)?？蓴U展組播服務的密鑰管理問題。屬于計算機網(wǎng)絡應用
技術領域：
。
背景技術：
：組播作為一種針對多點傳輸和多方協(xié)作應用的組通信模型，在多媒體會議、視頻點播、多方網(wǎng)絡游戲、計算機協(xié)同工作等方面有著廣闊的應用前景。組播發(fā)送方僅需傳輸一份數(shù)據(jù)，由網(wǎng)絡元素(如路由器和交換機)為接收方復制并轉(zhuǎn)發(fā)，這樣既能降低發(fā)送方的處理開銷，又能降低網(wǎng)絡上的傳輸開銷，使得高效的大規(guī)模內(nèi)容分發(fā)成為可能。組播良好的擴展性得益于其開放性的模型，即任意用戶可以接收組中的數(shù)據(jù)、任意源也可以向組中發(fā)送數(shù)據(jù)。但由于缺乏對接收者和發(fā)送者的有效控制，無法保證合法用戶的權益，組播技術的應用也受到其安全性的限制。對組播報文加密傳輸是實現(xiàn)安全組播的一種方法。組播密鑰管理為參與組播的成員生成、分發(fā)和更新組密鑰。組密鑰作為所有組成員都知道的密鑰，被用來對組播報文進行加密和解密操作。相比單播的密鑰管理，組播密鑰管理存在特有的問題(1)前向加密確保主動退出或被強制退出的組成員無法利用所知道的密鑰破解后繼的組播報文。(2)后向加密確保新加入的組成員無法利用所知道的密鑰破解它加入前的組播報文。(3)同謀破解避免多個組成員聯(lián)合起來破解系統(tǒng)(或減少發(fā)生的概率)，使得無論系統(tǒng)如何更新密鑰都可以獲得更新后的密鑰，導致前向加密和后向加密的失敗。此外，組播密鑰管理還需要考慮通信實體間的差異、系統(tǒng)的可擴展性、健壯性和可靠性等因素的影響。目前，對于組播密鑰管理的研究主要集中在三個方向(l)集中式控制存在一個節(jié)點負責全組的密鑰生成、分發(fā)和更新，這個節(jié)點通常被稱為根或組控制器。集中式控制分為平坦型和層次型兩種形式。平坦型的集中式控制采用星型結(jié)構(gòu)，典型方案是簡單密鑰分發(fā)中心SKDC和組播密鑰管理協(xié)議GKMP;層次型的集中式控制采用樹型結(jié)構(gòu)或密鑰圖，典型方案是邏輯密鑰樹LKH和單向函數(shù)樹OFT。(2)分布式協(xié)商參與通信的節(jié)點是對等的，通過某種密鑰協(xié)商算法(如D-H算法)生成組密鑰。分布式協(xié)商方案的典型方案是TGDH(Tree-basedGroupDiffie-Hellman)禾口Clique。(3)分層式管理將參與組播的成員進行分組，每個小組存在一個控制節(jié)點，這些控制節(jié)點組成了密鑰管理的層次I，小組內(nèi)部的密鑰管理屬于層次II。兩個層次可以獨立選擇集中式控制或分布式協(xié)商的管理方案。分層式管理的典型代表是Iolus和基于IPSec的GDOI(ISAKMPDomainofInterpretationforGroupKeyManagement)協(xié)i義。42/7頁這些研究成果互有優(yōu)劣，更多的只是以方案、協(xié)議或框架的形式存在，很少有在實際應用中付諸實現(xiàn)的，在此基礎上進一步深入和完善很有意義。參考文獻[l]HardjonoT，WeisB.TheMulticastGroupSecurityArchitecture.正TFRFC3740,2004.[2]HarneyH，MuckenhirnC.GroupKeyManagementProtocol(GKMP)Architecture.RFC2094,1997.[3]SetinerM，TaudikG，WaidnetM.Cliques:Anewapproachtogroupkeyagreement.TechnicalReport,RZ2984,IBMResearch,1997.[4]MittraS.Iolus:AFrameworkforScalableSecureMulticasting.Proc.ofACMSIGCOMM，Cannes,France,1997.[5]WallnerD，HarderE，AgeeR.Keymanagementformulticast:Issuesandarchitectures.RFC2627，1999.[6]XuMW，DongXH，XuK.Asurveyofresearchonkeymanagementformulticast.JournalofSoftware,2004，15(1):141150.
發(fā)明內(nèi)容技術問題本發(fā)明的目的是提供一套在因特網(wǎng)協(xié)議第6版IPv6網(wǎng)絡環(huán)境下使用，應用于面向用戶的大規(guī)?？蓴U展組播服務的密鑰管理方案。該方案為安全組播應用提供了一個基礎設施，使切實可行的密鑰管理成為可能，具有可控制、可管理、安全性高、通用性強的優(yōu)點，并解決了傳統(tǒng)方案所存在的不易實現(xiàn)和擴展的問題。技術方案本發(fā)明的一種組播密鑰管理方法包括組播認證、二層訪問控制列表ACL配置、組密鑰的生成、組成員初始化觸發(fā)的密鑰分發(fā)、組成員關系變動觸發(fā)的密鑰更新和定時器超時觸發(fā)的密鑰更新；其中，組播認證以會話初始化協(xié)議SIP為承載，對用戶的組播權限進行認證；通過簡單網(wǎng)絡管理協(xié)議SNMP或安全套接字層SSL接口對接入交換機進行二層訪問控制列表ACL配置，實現(xiàn)組播偵聽者發(fā)現(xiàn)協(xié)議MLD的報文過濾功能，過濾非法用戶的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的組成員關系報告報文；組成員初始化觸發(fā)的密鑰分發(fā)采用客戶機/服務器結(jié)構(gòu)，由組播控制服務器MCS根據(jù)用戶的初始化請求，結(jié)合用戶的身份密鑰以單播方式發(fā)送給用戶；組成員關系變動和定時器超時觸發(fā)的密鑰更新采用周期性更新模式，組播控制服務器MCS每隔一段時間，向組成員組播更新密鑰，接入交換機的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的報文過濾功能和各二層交換機的組播偵聽者發(fā)現(xiàn)協(xié)議偵聽MLDSnooping,維護一棵安全的二層組播流量樹，保障組播更新的效率和安全性，以二層控制的方式解決組成員離開時的密鑰更新難題。所述的組播認證方法為2a.用戶在組播控制服務器MCS進行注冊，獲取身份密鑰，并申請相應的組播業(yè)務；2b.用戶組播認證時，觸發(fā)組播認證客戶端程序，以用戶名和密碼為輸入，向組播控制服務器MCS發(fā)出認證請求，發(fā)起一次組播認證過程；2c.組播控制服務器MCS收到認證請求，將用戶名與數(shù)據(jù)庫中的用戶名表對比，找到該用戶名對應的密碼信息，用隨機生成的一個加密字對它進行單向函數(shù)計算，同時也將該加密字發(fā)送給客戶端程序；2cL客戶端程序收到加密字后，用該加密字對密碼部分進行單向函數(shù)計算，發(fā)送給組播控制服務器MCS;2e.組播控制服務器MCS將收到的已計算的密碼信息和本地經(jīng)過單向函數(shù)計算后的密碼信息進行對比，如果相同，則認為該用戶為合法用戶，反饋認證通過的消息。所述的二層訪問控制列表ACL配置方法為3a.預先在各接入交換機配置二層訪問控制列表ACL過濾關于特定組播地址的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的成員關系報告報文；3b.用戶組播認證時上報媒介訪問控制MAC地址，認證通過后，建立用戶名與媒介訪問控制MAC地址的關聯(lián)，組播控制服務器MCS根據(jù)用戶的媒介訪問控制MAC地址定位其所在的接入交換機，并結(jié)合用戶具備權限的組地址，遠程配置二層訪問控制列表ACL，放行用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文；若定位失敗，即時發(fā)起媒介訪問控制MAC表采集過程，重新進行定位和配置操作；3c.用戶退出組播認證，組播控制服務器MCS根據(jù)用戶名對應的媒介訪問控制MAC地址定位其所在的接入交換機，并結(jié)合用戶具備權限的組地址，遠程配置二層訪問控制列表ACL，過濾用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文；由于用戶已通過認證，不存在定位失敗，即時發(fā)起媒介訪問控制MAC表采集過程的情況；同時，刪除用戶名與媒介訪問控制MAC地址的關聯(lián)；3d.通過認證后，用戶在退出認證前試圖獲得其它組播組的訪問權限時，需要重新進行組播認證，認證時會自動獲得這些組的訪問權限；3e.通過認證后，用戶在退出認證前，若失去其當前擁有的部分組的訪問權限，組播控制服務器MCS配合密鑰管理的更新間隔，周期性地對相應的接入交換機進行二層訪問控制列表ACL配置，過濾用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文，配合組播偵聽者發(fā)現(xiàn)協(xié)議偵聽MLDSnooping的查詢機制，能有效阻斷用戶對于該組數(shù)據(jù)的接收，也為密鑰以組播方式更新提供了保障；若不存在用戶名關聯(lián)的媒介訪問控制MAC地址，說明用戶尚未認證，用戶組播認證時會自動失去這些組的訪問權限。所述的組成員初始化觸發(fā)的密鑰分發(fā)方法為4&用戶在通過組播認證后接收組播數(shù)據(jù)前，會向組播控制服務器MCS發(fā)送初始化請求；組播控制服務器MCS將對應組當前使用的組密鑰經(jīng)由用戶的身份密鑰安全處理后，以單播方式發(fā)送給該用戶；4b.組成員收到組密鑰信息后，使用身份密鑰還原出組密鑰。所述的組成員關系變動和定時器超時觸發(fā)的周期性密鑰更新的方法為5&每隔一段時間，組播控制服務器MCS用隨機生成的一個數(shù)與當前使用的組密鑰一起做單向函數(shù)運算，將所得的值作為更新后的組密鑰，同時向所有組成員以組播方式發(fā)送這個隨機數(shù)；5b.組成員收到隨機數(shù)后，結(jié)合當前使用的組密鑰，利用單向函數(shù)計算獲得更新后的組密鑰。以下為本發(fā)明中的英文名詞解釋MCS，MulticastControlServer組播控制服務器IPv6，InternetProtocolversion6因特網(wǎng)協(xié)議第6版SNMP，SimpleNetworkManagementProtocol簡單網(wǎng)絡管理協(xié)議SSL，SecureSocketsLayer安全套接字層ACL，AccessControlList訪問控制列表MAC,MediaAccessControl媒介訪問控制SIP，SessionInitiationProtocol會話初始化協(xié)議MLD，MulticastListenerDiscovery組播偵聽者發(fā)現(xiàn)協(xié)議MLDSnooping組播偵聽者發(fā)現(xiàn)協(xié)議偵聽有益效果(1)良好的通用性和擴展性現(xiàn)有的組播控制方法通過在接入交換機上截獲用戶的MLD成員關系報告報文進行本地或遠程組播認證，這種方法需要對接入交換機的實現(xiàn)進行修改，并依賴于二層認證方法(如802.1X)，適用于用戶位置相對固定的可控組播應用。在IPv6網(wǎng)絡中，用戶位置與組播權限的變化相對頻繁，不能簡單地將接入認證與組播認證進行綁定，本方案將組播認證從接入交換機中剝離，通過配置二層ACL對MLD成員關系報告報文進行過濾，對接入交換機的實現(xiàn)不做修改。組播認證將獨立于接入認證的方式，不同的接入認證方式也不會對組播認證產(chǎn)生影響。同時，方案所涉及到的SNMP管理、SSL接口、二層ACL和MLDSnooping均為當前的標準技術，組播認證的方式也可按需制定，擴展性強，并且易于實現(xiàn)和部署。(2)良好的計算開銷本方案中，采用基于單向函數(shù)的摘要算法代替了傳統(tǒng)密鑰管理方案中的加密、解密操作，明顯降低了密鑰服務器和組成員的計算開銷。(3)良好的存儲開銷本方案中，密鑰服務器存儲組密鑰和所有用戶的身份密鑰，用戶端存儲組密鑰和自己的身份密鑰，與SKDC方案一樣，達到了最小的密鑰存儲(4)良好的通信開銷和安全性本方案中，組成員初始化時以單播方式分發(fā)，與傳統(tǒng)密鑰管理方案的通信次數(shù)相同；由于接入交換機的MLD報文過濾功能和各二層交換機的MLDSnooping機制維護了一棵安全的二層組播流量樹，非法用戶將無法以組播方式接收相應組的報文和密鑰更新信息；同時，相比傳統(tǒng)密鑰管理方案中組成員離開需進行O(logn)次通信，本方案中，組成員關系變動時只需采用一次組播通信更新和二層ACL的遠程配置，通信開銷明顯降低。本發(fā)明所提出的新型的組播密鑰管理方案可用于研究并應用具有自主知識產(chǎn)權的高性能芯片和核心網(wǎng)絡設備，實現(xiàn)并構(gòu)建面向用戶的大規(guī)?？蓴U展組播服務的試驗環(huán)境。圖1是組播密鑰管理方案的部署示意圖。圖2是組播密鑰管理方案的具體實施流程圖。具體實施例方式本發(fā)明提供了一套完整的組播密鑰管理方案，包括組播認證、二層訪問控制列表ACL配置、組密鑰的生成、組成員初始化觸發(fā)的密鑰分發(fā)、組成員關系變動(用戶獲得/失去組的訪問權限)觸發(fā)的密鑰更新和定時器超時觸發(fā)的密鑰更新。本發(fā)明提出了基于會話初始化協(xié)議SIP的組播認證方法，對用戶的組播權限進行認證；通過簡單網(wǎng)絡管理協(xié)議SNMP或安全套接字層SSL接口對接入交換機進行二層ACL配置，實現(xiàn)了組播偵聽者發(fā)現(xiàn)協(xié)議MLD的報文過濾功能，從接入交換機端口對組成員進行了精細控制。在此基礎上，本發(fā)明提出了一套密鑰分發(fā)和更新方案，結(jié)合交換機的組播偵聽者發(fā)現(xiàn)協(xié)議偵聽MLDSnooping和MLD報文過濾功能，保障了組密鑰分發(fā)和更新過程的安全性和高效性，以二層控制的方式解決了組成員離開時的密鑰更新難題?！Ⅲw系結(jié)構(gòu)本發(fā)明所述的新型的組播密鑰管理方案體系結(jié)構(gòu)包括客戶端系統(tǒng)、二層交換機和組播控制服務器MCS?？蛻舳讼到y(tǒng)代表用戶與MCS交互以進行身份認證，接收并管理組密鑰，以及用組密鑰解密已經(jīng)接收的組播數(shù)據(jù)。MCS起樞紐作用(1)作為SNMP管理站，定期采集各個接入交換機的媒介訪問控制MAC表，根據(jù)用戶上報的MAC地址定位其所在的接入交換機，利用SNMP或SSL接口進行二層ACL的遠程配置；(2)作為認證服務器，與客戶端系統(tǒng)交互以驗證用戶身份；(3)作為密鑰服務器，在組成員初始化、組成員關系變動和定時器超時情況下進行組密鑰的分發(fā)和更新。核心/匯聚交換機和接入交換機均啟用MLDSnooping機制以約束IPv6組播，維持二層組播流量樹；同時，接入交換機接收MCS的遠程查詢和配置，通過二層ACL放行合法成員的MLD成員關系報告報文，過濾非法成員的MLD成員關系報告報文。二、方法流程本發(fā)明所述的新型的組播密鑰管理方案的流程包括組播認證流程、二層ACL配置流程、組成員初始化觸發(fā)的密鑰分發(fā)流程、組成員關系變動觸發(fā)的密鑰更新流程和定時器超時觸發(fā)的密鑰更新流程。本發(fā)明中，組成員關系變動中的加入情況對應用戶通過認證獲得相應組的訪問權限；組成員關系變動中的離開情況對應用戶結(jié)束認證失去相應組的訪問權限，以及在通過認證后，結(jié)束認證前的使用中，失去其中部分組的訪問權限。大規(guī)模組播服務中，組成員關系的變動可能導致頻繁的密鑰更新，一方面會使密鑰服務器的計算負荷過量，另一方面也會增加密鑰更新的通信開銷。這種情況下，考慮犧牲部分前向加密和后向加密需求來降低組成員關系變動觸發(fā)的密鑰更新開銷，為此，可以每隔一段時間進行一次密鑰更新，結(jié)合定時器超時觸發(fā)的密鑰更新，采用周期性密鑰更新作為這兩種情況共同的密鑰更新模式。在現(xiàn)代網(wǎng)絡的典型結(jié)構(gòu)中，一個網(wǎng)絡通常有許多個用戶接入網(wǎng)，并且由一個高速的核心網(wǎng)將它們連接起來。網(wǎng)絡的使用者都位于用戶接入網(wǎng)中，而核心網(wǎng)上不允許直接接入用戶。這樣的網(wǎng)絡體系結(jié)構(gòu)更易于部署路由策略、路由歸納，能夠提供故障隔離能力并且有更好的擴展性。因為核心網(wǎng)由網(wǎng)絡運營商控制，沒有用戶直接接入，所以安全性要比用戶接入網(wǎng)高得多。而用戶接入網(wǎng)位于網(wǎng)絡邊緣，很容易遭受安全威脅，例如搭線竊聽。因此，在接入網(wǎng)內(nèi)控制用戶的訪問，將能夠極大地提高組播應用的安全水平，同時核心網(wǎng)不必發(fā)生任何變化。8基于對這樣的網(wǎng)絡結(jié)構(gòu)的認識，本發(fā)明提出的新型的組播密鑰管理方案采用MCS集中式管理的部署方式，參見附圖l。每個用戶接入網(wǎng)的組播認證和密鑰管理由各自的MCS負責管理，各接入網(wǎng)相對獨立。組密鑰只在本接入網(wǎng)有效。這樣，只有組成員關系變動的接入網(wǎng)重新分配組密鑰，而對其它接入網(wǎng)沒有任何影響。因此，組成員關系變動的影響被限制在了有限的范圍內(nèi)，方法擴展性非常高；而且MCS部署在網(wǎng)絡的邊緣，核心網(wǎng)不必發(fā)生任何變化。具體實施流程參見附圖2。接入交換機預先配置二層ACL過濾關于特定組播地址(段)的MLD成員關系報告報文；用戶通過認證獲得相應組的訪問權限時，接入交換機根據(jù)下發(fā)的二層ACL放行用戶關于對應組的MLD成員關系報告報文；用戶退出認證時或在認證后的使用中失去相應組的訪問權限時，接入交換機根據(jù)下發(fā)的二層ACL過濾用戶關于對應組的MLD成員關系報告報文。作為SNMP管理站的MCS定期從各個接入交換機采集MAC表，時間間隔應適中，太長不能適應用戶位置的變化，也會影響到組播認證的效率；太短會導致采集頻繁，影響接入交換機的性能和網(wǎng)絡帶寬。本發(fā)明提出的組播密鑰管理方案的具體實施流程如下(l)用戶在MCS進行注冊，獲取身份密鑰，并申請相應的組播業(yè)務。(2)用戶有組播需求時觸發(fā)組播認證客戶端程序，輸入已經(jīng)申請、登記過的用戶名和密碼，向MCS發(fā)送起認證請求(SIPINVITE消息)，開始啟動組播認證過程。(3)MCS收到認證請求后，需要驗證用戶身份的合法性，向用戶發(fā)送SIP401Unauthorized錯誤消息，表示質(zhì)疑(challenge)。其中的WWW-Authenticate標題頭攜帶了驗證的方法(MD5)和參數(shù)(包含時間戳信息的隨機數(shù)串nonce和作用域realm)。(4)客戶端程序收到錯誤消息后，向MCS返回一個ACK。(5)客戶端程序根據(jù)收到的nonce和realm,以及輸入的用戶名和密碼，按照驗證的方法(MD5)計算出響應值response。將用戶名、nonce、realm和response等信息放入SIPINVITE消息的Authorization標題頭，用戶的MAC地址放入消息體，發(fā)送給MCS。(6)MCS收到消息后，將用戶名與數(shù)據(jù)庫中的用戶名表對比，找到該用戶名對應的密碼信息后驗證nonce是否正確。如果正確，根據(jù)用戶名、密碼、nonce和realm計算出response,并與收到的response進行匹配，如果匹配，確認用戶合法，建立用戶名與MAC地址的關聯(lián)。(7)MCS根據(jù)用戶的MAC地址定位其所在的接入交換機；若定位失敗，即時發(fā)起MAC表采集，重新進行定位。(8)MCS根據(jù)用戶的MAC地址、組地址和添加標志生成二層ACL，向用戶所在的接入交換機進行遠程配置。(9)MCS向用戶發(fā)送SIP200OK消息。(10)用戶收到SIP200OK消息后，向MCS返回一個ACK。(11)用戶在通過組播認證后接收組播數(shù)據(jù)前，會向MCS發(fā)送密鑰初始化請求，包括用戶名和組地址。(12)MCS根據(jù)用戶名，用戶地址和組地址，結(jié)合用戶的身份密鑰，向用戶以單播方式發(fā)送組密鑰信息，報文格式如下從左到右依次是組地址、組密鑰版本號、組密鑰密文信息、隨機數(shù)和組密鑰摘要。(13)用戶收到單播報文后，利用身份密鑰Ki和收到的r計算出f(Ki，r)，并通過異或操作還原出SEK:((認《/(《力)/(《力=&^。(14)MCS周期性地向組成員以組播方式進行密鑰更新，報文格式如下<table>tableseeoriginaldocumentpage10</column></row><table>從左到右依次是組密鑰版本號、隨機數(shù)和組密鑰摘要。(15)用戶收到組播報文后，利用當前使用的組密鑰SEK^和收到的隨機數(shù)計算出更新后的組密鑰SEKnew:SEKnew=f(SEK^，r)。(16)通過認證后，用戶在退出認證前，若失去其當前擁有的部分組的訪問權限，MCS配合密鑰管理的更新間隔，周期性地對相應的接入交換機進行二層ACL配置。若不存在用戶名關聯(lián)的MAC地址，說明用戶尚未認證，無需即時發(fā)起二層ACL配置過程，用戶組播認證時會自動失去這些組的訪問權限。(17)接入交換機上的二層ACL形成了MLD報文過濾功能，與MLDSnooping的查詢機制結(jié)合，阻止已經(jīng)通過認證，但失去某些組的訪問權限的用戶繼續(xù)接收這些組的數(shù)據(jù)。(18)用戶退出組播認證時，客戶端程序會向MCS發(fā)送SIPBYE消息。(19)MCS以SIP200OK應答，刪除用戶名與MAC地址的關聯(lián)。(20)MCS根據(jù)用戶的MAC地址定位其所在的接入交換機，由于用戶已通過認證，定位必能成功。(21)MCS根據(jù)用戶的MAC地址、組地址和移除標志生成二層ACL，向用戶所在的接入交換機進行遠程配置。權利要求一種組播密鑰管理方法，其特征在于該方法包括組播認證、二層訪問控制列表ACL配置、組密鑰的生成、組成員初始化觸發(fā)的密鑰分發(fā)、組成員關系變動觸發(fā)的密鑰更新和定時器超時觸發(fā)的密鑰更新；其中，組播認證以會話初始化協(xié)議SIP為承載，對用戶的組播權限進行認證；通過簡單網(wǎng)絡管理協(xié)議SNMP或安全套接字層SSL接口對接入交換機進行二層訪問控制列表ACL配置，實現(xiàn)組播偵聽者發(fā)現(xiàn)協(xié)議MLD的報文過濾功能，過濾非法用戶的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的組成員關系報告報文；組成員初始化觸發(fā)的密鑰分發(fā)采用客戶機/服務器結(jié)構(gòu)，由組播控制服務器MCS根據(jù)用戶的初始化請求，結(jié)合用戶的身份密鑰以單播方式發(fā)送給用戶；組成員關系變動和定時器超時觸發(fā)的密鑰更新采用周期性更新模式，組播控制服務器MCS每隔一段時間，向組成員組播更新密鑰，接入交換機的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的報文過濾功能和各二層交換機的組播偵聽者發(fā)現(xiàn)協(xié)議偵聽MLDSnooping，維護一棵安全的二層組播流量樹，保障組播更新的效率和安全性，以二層控制的方式解決組成員離開時的密鑰更新難題。2.根據(jù)權利要求1所述的組播密鑰管理方法，其特征在于所述的組播認證方法為2a.用戶在組播控制服務器MCS進行注冊，獲取身份密鑰，并申請相應的組播業(yè)務；2b.用戶組播認證時，觸發(fā)組播認證客戶端程序，以用戶名和密碼為輸入，向組播控制服務器MCS發(fā)出認證請求，發(fā)起一次組播認證過程；2c.組播控制服務器MCS收到認證請求，將用戶名與數(shù)據(jù)庫中的用戶名表對比，找到該用戶名對應的密碼信息，用隨機生成的一個加密字對它進行單向函數(shù)計算，同時也將該加密字發(fā)送給客戶端程序；2cL客戶端程序收到加密字后，用該加密字對密碼部分進行單向函數(shù)計算，發(fā)送給組播控制服務器MCS;2e.組播控制服務器MCS將收到的已計算的密碼信息和本地經(jīng)過單向函數(shù)計算后的密碼信息進行對比，如果相同，則認為該用戶為合法用戶，反饋認證通過的消息。3.根據(jù)權利要求1所述的組播密鑰管理方法，其特征在于所述的二層訪問控制列表ACL配置方法為3a.預先在各接入交換機配置二層訪問控制列表ACL過濾關于特定組播地址的組播偵聽者發(fā)現(xiàn)協(xié)議MLD的成員關系報告報文；3b.用戶組播認證時上報媒介訪問控制MAC地址，認證通過后，建立用戶名與媒介訪問控制MAC地址的關聯(lián)，組播控制服務器MCS根據(jù)用戶的媒介訪問控制MAC地址定位其所在的接入交換機，并結(jié)合用戶具備權限的組地址，遠程配置二層訪問控制列表ACL，放行用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文；若定位失敗，即時發(fā)起媒介訪問控制MAC表采集過程，重新進行定位和配置操作；3c.用戶退出組播認證，組播控制服務器MCS根據(jù)用戶名對應的媒介訪問控制MAC地址定位其所在的接入交換機，并結(jié)合用戶具備權限的組地址，遠程配置二層訪問控制列表ACL，過濾用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文；由于用戶已通過認證，不存在定位失敗，即時發(fā)起媒介訪問控制MAC表采集過程的情況；同時，刪除用戶名與媒介訪問控制MAC地址的關聯(lián)；3cl通過認證后，用戶在退出認證前試圖獲得其它組播組的訪問權限時，需要重新進行組播認證，認證時會自動獲得這些組的訪問權限；3e.通過認證后，用戶在退出認證前，若失去其當前擁有的部分組的訪問權限，組播控制服務器MCS配合密鑰管理的更新間隔，周期性地對相應的接入交換機進行二層訪問控制列表ACL配置，過濾用戶關于這些組的組播偵聽者發(fā)現(xiàn)協(xié)議MLD成員關系報告報文，配合組播偵聽者發(fā)現(xiàn)協(xié)議偵聽MLDSnooping的查詢機制，能有效阻斷用戶對于該組數(shù)據(jù)的接收，也為密鑰以組播方式更新提供了保障；若不存在用戶名關聯(lián)的媒介訪問控制MAC地址，說明用戶尚未認證，用戶組播認證時會自動失去這些組的訪問權限。4.根據(jù)權利要求1所述的組播密鑰管理方法，其特征在于所述的組成員初始化觸發(fā)的密鑰分發(fā)方法為4&用戶在通過組播認證后接收組播數(shù)據(jù)前，會向組播控制服務器MCS發(fā)送初始化請求；組播控制服務器MCS將對應組當前使用的組密鑰經(jīng)由用戶的身份密鑰安全處理后，以單播方式發(fā)送給該用戶；4b.組成員收到組密鑰信息后，使用身份密鑰還原出組密鑰。5.根據(jù)權利要求1所述的組播密鑰管理方法，其特征在于所述的組成員關系變動和定時器超時觸發(fā)的周期性密鑰更新的方法為5&每隔一段時間，組播控制服務器MCS用隨機生成的一個數(shù)與當前使用的組密鑰一起做單向函數(shù)運算，將所得的值作為更新后的組密鑰，同時向所有組成員以組播方式發(fā)送這個隨機數(shù)；5b.組成員收到隨機數(shù)后，結(jié)合當前使用的組密鑰，利用單向函數(shù)計算獲得更新后的組密鑰。全文摘要一種組播密鑰管理方法是第一個引入二層設備控制技術輔助組播密鑰管理的方案。該方案包括了一套完整的組播密鑰管理機制，包括組播認證、二層訪問控制列表ACL配置、組密鑰的分發(fā)和更新。本發(fā)明提出了基于會話初始化協(xié)議SIP的組播認證方法，對用戶的組播權限進行認證，并通過簡單網(wǎng)絡管理協(xié)議SNMP或安全套接字層SSL接口對接入交換機進行二層ACL配置，實現(xiàn)了組播偵聽者發(fā)現(xiàn)協(xié)議MLD報文過濾功能。在此基礎上，本發(fā)明提出了一套密鑰分發(fā)和更新方案，以二層控制的方式解決了傳統(tǒng)的密鑰管理方案在組成員離開時的密鑰更新難題，保障了組密鑰分發(fā)和更新過程的安全性和高效性，在計算開銷、存儲開銷、通信開銷等方面都具備了明顯的優(yōu)越性。文檔編號H04L9/08GK101692637SQ20091003537公開日2010年4月7日申請日期2009年9月23日優(yōu)先權日2009年9月23日發(fā)明者曹爭,殷鵬鵬,陸正軍申請人:東南大學