[发明专利]一种密钥对的管理方法和设备

说明书

本发明公开了一种密钥对的管理方法和设备，该方法包括：主KS获得第一密钥对，在第一密钥对同步载荷中添加所述第一密钥对，在第一冗余备份协议报文中添加所述第一密钥对同步载荷，并将所述第一冗余备份协议报文发送给备KS；所述第一密钥对包括第一公钥和第一私钥；所述主KS定期更新密钥对，得到更新后的第二密钥对；所述主KS在第二密钥对同步载荷中添加所述第二密钥对，在第二冗余备份协议报文中添加所述第二密钥对同步载荷，并将所述第二冗余备份协议报文发送给所述备KS；其中，所述第二密钥对包括第二公钥和第二私钥。本发明实施例中，无需人工在备KS上配置密钥对，提高了易用性。并且通过定期更新密钥对，可提高系统安全性。

技术领域

本发明涉及通信技术领域，尤其是涉及一种密钥对的管理方法和设备。

背景技术

如图1所示，为GD VPN(Group Domain Virtual Private Network，组域虚拟私有网络)组网结构示意图，GD VPN提供一种基于组的安全模型。组是一个安全策略的集合，属于同一个组的所有成员共享相同的安全策略、KEK(Key Encryption Key，加密密钥的密钥)、TEK(Traffic Encryption Key，加密流量的密钥)。进一步的，GD VPN由KS(KeyServer，密钥服务器)和GM(Group Member，组成员)组成，KS通过划分不同的组来管理不同的安全策略、KEK、TEK等，且GM通过加入相应的组，从KS获取安全策略、KEK、TEK等。

为了使GM验证从KS获取的安全策略、KEK、TEK等的安全性，管理员需要在KS上配置密钥对(包括公钥和私钥)，并由KS将公钥发送给GM。KS在向GM发送安全策略、KEK、TEK等信息时，使用私钥对信息进行签名。GM在得到安全策略、KEK、TEK等信息时，使用公钥对签名进行验证，并在验证通过时确定相关信息合法，在验证不通过时确定相关信息不合法。

为提高GD VPN网络的可靠性，并实现负载分担，GD VPN网络中可以部署多个KS，这些KS以冗余备份的方式工作。如图2所示，为KS冗余备份的组网结构示意图，在互为冗余备份的一组KS中，包括一个主KS和至少一个备KS。其中，主KS负责维护GM的安全策略、KEK、TEK等信息，并将GM的安全策略、KEK、TEK等信息发送给备KS。主KS和所有备KS都可以接受GM的注册。

在上述组网结构下，需要由管理员在一个KS(如主KS)上创建密钥对，然后将密钥对从该KS中导出，再导入到其它KS(如各备KS)上。上述方式需要管理员在每个KS上创建相同密钥对，费时费力，易用性较差。并且，由于是人工配置，因为会出现长期不更新密钥对的情况，影响系统安全性。

发明内容

本发明实施例提供一种密钥对的管理方法，该方法应用于包括主密钥服务器KS和备KS的组域虚拟私有网络GD VPN中，所述方法包括以下步骤：

所述主KS获得第一密钥对，在第一密钥对同步载荷中添加所述第一密钥对，在第一冗余备份协议报文中添加所述第一密钥对同步载荷，并将所述第一冗余备份协议报文发送给备KS；所述第一密钥对包括第一公钥和第一私钥；

所述主KS定期更新密钥对，得到更新后的第二密钥对；

所述主KS在第二密钥对同步载荷中添加所述第二密钥对，在第二冗余备份协议报文中添加所述第二密钥对同步载荷，并将所述第二冗余备份协议报文发送给所述备KS；其中，所述第二密钥对包括第二公钥和第二私钥。

在所述主KS定期更新密钥对，得到更新后的第二密钥对之后，所述方法进一步包括：所述主KS向组成员GM发送下线通知消息，以使所述GM下线并重新向所述主KS或所述备KS注册；

在所述GM重新向所述主KS注册时，所述主KS将所述第二公钥发送给所述GM，以使所述GM将当前使用的公钥更新为所述第二公钥。