[发明专利]一种建立安全数据隧道的方法及设备

权利要求书

1.一种建立安全数据隧道的方法，其特征在于，所述方法包括：

接收第一设备通过移动IP信令消息发送的安全参数；

根据所述安全参数，选择本设备和所述第一设备都支持的协商安全参数， 并生成用于保护数据隧道的第一密钥；

通过移动IP信令消息将所述协商安全参数发送给所述第一设备，用于所述 第一设备根据所述协商安全参数生成第二密钥，所述第二密钥与所述第一密钥 相同。

2.如权利要求1所述的方法，其特征在于，所述安全参数包括安全算法、 安全机制以及计算密钥的参数中至少一种；

所述安全算法包括完整性算法和加密算法中至少一种；

所述安全机制包括所述数据隧道中传递的IP数据所使用的保护协议和安全 措施中至少一种；

所述计算密钥的参数包括随机数和迪菲赫尔曼DH交换所需参数中至少一 种。

3.如权利要求2所述的方法，其特征在于，

如果所述数据隧道的封装类型采用IP封装IP，所述安全机制为基于IP的安 全协议；

如果所述数据隧道的封装类型采用通用路由封装GRE，所述安全机制为先 将所述数据隧道中传递的IP数据进行保护，然后将所述保护后的数据封装在 GRE中的安全措施。

4.如权利要求2所述的方法，其特征在于，所述第一密钥的生成或所述第 二密钥的生成步骤包括：

以保护所述移动IP信令消息的密钥作为根密钥，再通过所述随机数和/或 DH交换所需参数计算保护数据隧道的密钥；或，

以本设备与所述第一设备间的共享密钥作为根密钥，再通过所述随机数和/ 或DH交换所需参数计算保护数据隧道的密钥；或，

直接通过DH交换所需参数计算保护数据隧道的密钥。

5.如权利要求2所述的方法，其特征在于，所述安全参数还包括：

数据的源端点指示参数及目的端点指示参数，分别用于指示数据隧道中传 递的数据的源端点和目的端点。

6.一种移动通讯设备，其特征在于，包括：

获取单元，用于获取安全参数；

发送单元，用于通过移动IP信令消息将所述安全参数发送给家乡代理通讯 设备；

接收单元，用于接收所述家乡代理通讯设备通过移动IP信令消息发送的协 商安全参数，所述协商安全参数为所述家乡代理通讯设备从所述移动通讯设备 发送的安全参数中选择的，所述移动通讯设备和所述家乡代理通讯设备都支持 的安全参数；

生成单元，用于根据所述协商安全参数生成用于保护数据隧道的第一密钥。

7.如权利要求6所述的移动通讯设备，其特征在于，所述获取单元获取的 安全参数包括安全算法、安全机制以及计算密钥的参数中至少一种；

所述获取单元包括下述第一获取子单元、第二获取子单元以及第三获取子 单元中至少一个单元；

第一获取子单元，用于获取安全算法，所述安全算法包括完整性算法和加 密算法中至少一种；

第二获取子单元，用于获取安全机制，所述安全机制包括所述数据隧道中 传递的IP数据所使用的保护协议和安全措施中至少一种；

第三获取子单元，用于获取计算密钥的参数，所述计算密钥的参数包括随 机数和迪菲赫尔曼DH交换所需参数中至少一种。

8.如权利要求6所述的移动通讯设备，其特征在于，为外地代理、移动节 点或移动IP代理中任一个；

所述家乡代理通讯设备为家乡代理或本地移动性锚点中任一个。