[发明专利]密钥分发方法、设备及系统

说明书

技术领域

本发明涉及通信网络中的安全管理领域，特别涉及在采用动态主机配置协议(DHCP)进行通信的系统中，进行密钥分发的方法，和该方法中所需要用到的设备，以及这些设备组成的系统。

背景技术

DHCP协议的主要作用是动态地为客户端分配IP地址，并进行网络配置。但DHCP协议分配IP地址的方法存在网络安全的漏洞，容易受到网络攻击者的攻击。在DHCP服务器和DHCP客户端之间传输数据时，或者DHCP服务器和DHCP中继之间传输数据时，所传输的数据报文可能会被篡改。为了防止所传输的数据报文被篡改，IETF(互联网工程任务组)制定了RFC3118(RFC：Request ForComments，请求注解)，该RFC3118中要求对DHCP的每条报文进行完整性认证，这种验证是在DHCP客户端和DHCP服务器端之间进行的。另外IETF还制定的RFC4030，用于验证DHCP中继和DHCP服务器之间信息的完整性。这两篇RFC所使用的方法都是建立在双方有密钥的基础上的。

为了实现RFC4030所规定的完整性认证，现有技术中提出了一种分发会话密钥的方法。密钥都通过AAA协议(认证、授权、计费协议)分发到DHCP中继和DHCP服务器，比如：通过Radius协议(Remote Authentication Dial In UserService：远程用户拨号认证系统)将会话密钥分发到DHCP中继和DHCP服务器，如图1所示，具体步骤如下：

1、DHCP中继向AAA服务器发送Access-Request(接入请求)报文，该报文中包含DHCP服务器的身份标识(ID)。

2、AAA服务器收到Access-Request后，向DHCP中继回复Access-Accept(接入允许)报文，该报文里会携带该DHCP中继所对应的DHCP服务器ID，以及将要被DHCP服务器和DHCP中继之间使用的根密钥(以DHCP-RK表示)。

3、DHCP客户端发送DHCPDISCOVER报文给DHCP中继。

4、DHCP中继按照正常流程将DHCPDISCOVER报文转发给DHCP服务器，并且 添加了基于DHCP中继信息子选项的验证码；该验证码是依据DHCP-RK计算出的。

5、DHCP服务器收到DHCPDISCOVER报文后，发现存在DHCP中继子选项的验证码，则向AAA服务器发送Access-Request报文，并携带DHCP服务器的ID。

6、AAA服务器在回复DHCP服务器的Access-Accept报文里，携带根密钥DHCP-RK。

经过上述流程后，DHCP服务器和DHCP中继之间便可以使用根密钥DHCP-RK或者根密钥的衍生子密钥进行完整性认证，之后，DHCP服务器还需要通过DHCP中继向DHCP客户端发送DHCPOFFER报文(见图1的步骤7和步骤8)。

在上述分发密钥的过程中，由于DHCP中继和DHCP服务器都同时作为AAA客户端使用，所以，DHCP中继和DHCP服务器都可以从AAA服务器上通过AAA协议直接获取根密钥。现有网络中DHCP中继一般同时作为AAA客户端，可以支持AAA协议，但DHCP服务器却一般不直接支持AAA协议，所以需要在DHCP服务器上同时实现AAA客户端的功能，以增加其AAA报文解析功能，才能采用上述的方法来分发密钥。并且，上述的方法实现了DHCP服务器和DHCP中继之间的密钥分发，但未能实现DHCP客户端和DHCP服务器之间的密钥分发，即不能实现RFC3118所规定的完整性认证。

发明内容

一方面，本发明的实施例提供一种密钥分发方法，以实现DHCP客户端和DHCP服务器之间共享密钥的分发。

另一方面，本发明的实施例还提供一种密钥传输方法，通过服务提供商节点分别向DHCP客户端和DHCP服务器传输共享密钥。

再一方面，本发明的实施例还提供一种密钥分发方法，以实现DHCP客户端和DHCP服务器之间共享密钥的分发。

再一方面，本发明的实施例还提供一种密钥传输方法，通过服务提供商节点分别向DHCP客户端和DHCP服务器传输共享密钥。

再一方面，本发明的实施例还提供一种密钥分发方法，以较少的DHCP服务器资源，实现DHCP中继和DHCP服务器的共享密钥分发。

再一方面，本发明的实施例还提供一种密钥传输方法，以较少的DHCP服务 器资源，通过服务提供商节点分别向DHCP中继和DHCP服务器传输共享密钥。