[发明专利]一种组播密钥管理方法

权利要求书

1.一种组播密钥管理方法，其特征在于该方法包括组播认证、二层访问控制列表ACL配置、组密钥的生成、组成员初始化触发的密钥分发、组成员关系变动触发的密钥更新和定时器超时触发的密钥更新；其中，组播认证以会话初始化协议SIP为承载，对用户的组播权限进行认证；通过简单网络管理协议SNMP或安全套接字层SSL接口对接入交换机进行二层访问控制列表ACL配置，实现组播侦听者发现协议MLD的报文过滤功能，过滤非法用户的组播侦听者发现协议MLD的组成员关系报告报文；组成员初始化触发的密钥分发采用客户机/服务器结构，由组播控制服务器MCS根据用户的初始化请求，结合用户的身份密钥以单播方式发送给用户；组成员关系变动和定时器超时触发的密钥更新采用周期性更新模式，组播控制服务器MCS每隔一段时间，向组成员组播更新密钥，接入交换机的组播侦听者发现协议MLD的报文过滤功能和各二层交换机的组播侦听者发现协议侦听MLD Snooping维护一棵安全的二层组播流量树，保障组播更新的效率和安全性，以二层控制的方式解决组成员离开时的密钥更新难题；

所述的二层访问控制列表ACL配置方法为：

3a.预先在各接入交换机配置二层访问控制列表ACL过滤关于特定组播地址的组播侦听者发现协议MLD的成员关系报告报文；

3b.用户组播认证时上报媒介访问控制MAC地址，认证通过后，建立用户名与媒介访问控制MAC地址的关联，组播控制服务器MCS根据用户的媒介访问控制MAC地址定位其所在的接入交换机，并结合用户具备权限的组地址，远程配置二层访问控制列表ACL，放行用户关于这些组的组播侦听者发现协议MLD成员关系报告报文；若定位失败，即时发起媒介访问控制MAC表采集过程，重新进行定位和配置操作；

3c.用户退出组播认证，组播控制服务器MCS根据用户名对应的媒介访问控制MAC地址定位其所在的接入交换机，并结合用户具备权限的组地址，远程配置二层访问控制列表ACL，过滤用户关于这些组的组播侦听者发现协议MLD成员关系报告报文；由于用户已通过认证，不存在定位失败，即时发起媒介访问控制MAC表采集过程的情况；同时，删除用户名与媒介访问控制MAC地址的关联；

3d.通过认证后，用户在退出认证前试图获得其它组播组的访问权限时，需要重新进行组播认证，认证时会自动获得这些组的访问权限；

3e.通过认证后，用户在退出认证前，若失去其当前拥有的部分组的访问权限，组播控制服务器MCS配合密钥管理的更新间隔，周期性地对相应的接入交换机进行二层访问控制列表ACL配置，过滤用户关于这些组的组播侦听者发现协议MLD成员关系报告报文，配合组播侦听者发现协议侦听MLD Snooping的查询机制，能有效阻断用户对于该组数据的接收，也为密钥以组播方式更新提供了保障；若不存在用户名关联的媒介访问控制MAC地址，说明用户尚未认证，用户组播认证时会自动失去这些组的访问权限。

2.根据权利要求1所述的组播密钥管理方法，其特征在于所述的组播认证方法为：

2a.用户在组播控制服务器MCS进行注册，获取身份密钥，并申请相应的组播业务；

2b.用户组播认证时，触发组播认证客户端程序，以用户名和密码为输入，向组播控制服务器MCS发出认证请求，发起一次组播认证过程；

2c.组播控制服务器MCS收到认证请求，将用户名与数据库中的用户名表对比，找到该用户名对应的密码信息，用随机生成的一个加密字对它进行单向函数计算，同时也将该加密字发送给客户端程序；

2d.客户端程序收到加密字后，用该加密字对密码部分进行单向函数计算，发送给组播控制服务器MCS；

2e.组播控制服务器MCS将收到的已计算的密码信息和本地经过单向函数计算后的密码信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息。

3.根据权利要求1所述的组播密钥管理方法，其特征在于所述的组成员初始化触发的密钥分发方法为：

4a.用户在通过组播认证后接收组播数据前，会向组播控制服务器MCS发送初始化请求；组播控制服务器MCS将对应组当前使用的组密钥经由用户的身份密钥安全处理后，以单播方式发送给该用户；

4b.组成员收到组密钥信息后，使用身份密钥还原出组密钥。

4.根据权利要求1所述的组播密钥管理方法，其特征在于所述的组成员关系变动和定时器超时触发的周期性密钥更新的方法为：

5a.每隔一段时间，组播控制服务器MCS用随机生成的一个数与当前使用的组密钥一起做单向函数运算，将所得的值作为更新后的组密钥，同时向所有组成员以组播方式发送这个随机数；

5b.组成员收到随机数后，结合当前使用的组密钥，利用单向函数计算获得更新后的组密钥。