WO2011072514A1 - 节点间保密通信方法及系统 - Google Patents

节点间保密通信方法及系统 Download PDF

Info

Publication number
WO2011072514A1
WO2011072514A1 PCT/CN2010/073454 CN2010073454W WO2011072514A1 WO 2011072514 A1 WO2011072514 A1 WO 2011072514A1 CN 2010073454 W CN2010073454 W CN 2010073454W WO 2011072514 A1 WO2011072514 A1 WO 2011072514A1
Authority
WO
WIPO (PCT)
Prior art keywords
switching device
urce
source node
destination node
node
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2010/073454
Other languages
English (en)
French (fr)
Inventor
铁满霞
曹军
李琴
葛莉
黄振海
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Iwncomm Co Ltd
Original Assignee
China Iwncomm Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Iwncomm Co Ltd filed Critical China Iwncomm Co Ltd
Priority to KR1020127018958A priority Critical patent/KR101485231B1/ko
Priority to EP10836951.3A priority patent/EP2515469B1/en
Priority to US13/516,967 priority patent/US8966257B2/en
Priority to JP2012543453A priority patent/JP5507705B2/ja
Publication of WO2011072514A1 publication Critical patent/WO2011072514A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/26—Route discovery packet
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Definitions

  • the present invention relates to the field of network security, and in particular, to a method and system for secure communication between nodes. Background technique
  • Wired LANs are generally broadcast networks. Data sent by one node can be received by other nodes. Each node on the network shares a channel, which brings great security risks to the network. As long as the attacker accesses the network for monitoring, it can capture all the packets on the network.
  • the local area network (LAN) defined by the existing national standard GB/T 15629.3 (corresponding to IEEE 802.3 or ISO/IEC 8802-3) does not provide a data privacy method, which makes it easy for an attacker to steal key information.
  • IEEE 802.1AE provides a data encryption protocol for protecting Ethernet and uses hop-by-hop encryption security measures to securely communicate data between network nodes. This security measure imposes a huge computational burden on the switching devices in the local area network, which is likely to cause an attacker to attack the switching device; and the delay of transmitting the data packet from the sending source node to the destination node is also increased, reducing the network. Transmission efficiency.
  • the topology of wired LAN is more complicated.
  • the number of nodes involved (here, user terminals and switching devices are collectively referred to as nodes) is also relatively large, so the data communication in the network is more complicated. If a shared key is established for all the nodes, the number of shared keys that the node needs to save is relatively large. If the shared key between adjacent nodes is used, the security measures using hop-by-hop encryption will be brought to the network switching device. Come to a huge computing burden.
  • the present invention provides a method and system for inter-node secure communication in which different types of confidential communication strategies are selected based on the type of data communication exchanged between nodes.
  • the technical solution of the present invention is:
  • the present invention provides a method for secure communication between nodes, which is special in that: the method for secure communication between nodes includes the following four processes:
  • the nodes include between the user terminal and the switching device, between the switching devices, and between the two directly connected user terminals under the same switching device;
  • SWkey SWitch key
  • STAkey STAtion key
  • the source node N s is transmitted from the source node. urce to the destination node N Destmatl.
  • the exchange routing information between the nodes is defined as an identification quad: the identification quad includes the ID s . urce, IDsw-first ⁇ ID sw4ast and ID Destmatlon; received from the source node N s. Urce to the destination node N Destinatl .
  • the data packet of n but not the switching device in the exchange routing information identification quad, is called the intermediate switching device. From the source node N s . urce to the destination node N Destmatl. ⁇ Data may not pass through the intermediate switching device during transmission, or may pass through multiple intermediate switching devices;
  • Urce sends the switched route discovery packet to the destination node N Destinatl . n ; the packet mainly includes an identification quad, and the identification quad includes an ID s . urce, IDsw-first ⁇ ID sw4ast to ⁇ IDDestination,
  • IDsource Indicates the source node N S . Urce logo
  • IDsw-first Represents the source node N s from the sending source. The identifier of the first switching device SW-first through which the urce packet to the destination node N Destination passes, if the source node N s is transmitted. Urce is a switching device, ID SW St Is the ID s . Urce ; if the source node N s is sent. Urce is the end user, then ID sw _ flK >fc is the source node
  • IDsw-iast indicates from the source node N s .
  • ID Dest ination represents the destination node N Destinati .
  • Each node receives an exchange route response packet.
  • the destination node N Destinatl . n received from the source node N s .
  • the specific implementation manner of the above step 2.2) is:
  • SW-last information If the destination node N Destinatl . n is the switching device, then the ID sw4ast is the ID Destination, if the destination node N Destinatl . n is the end user, and the ID sw _ last is the identifier of the terminal user directly connected to the switching device;
  • the identification quad group includes ID S . urce, IDsW-first ⁇ ID SW 4ast and IDoestination;
  • the packet contains an identification quad that has all the field values specified, the identity quad including the ID S . urce, IDsW-first ⁇ IDsw- iast and IDoestination.
  • each node receives a Destinatl from the destination node N.
  • the specific implementation manner of the above step 2.3) is:
  • the switching quaternion After receiving the exchange route response packet, if the identity of the switching device is in the identification quaternion in the packet, the switching quaternion is recorded and forwarded; if the identity of the identity is not in the packet The packet is directly forwarded in the tuple; the identification quad is comprised of ID S . urce, IDsW-first ⁇ IDsw- iast and IDoestination;
  • the source node N s is sent.
  • the urce After receiving the exchange route response packet, the urce records the identification quad group to complete the exchange route discovery process, and the identifier quad group includes the ID S. urce, IDsW-first ⁇ IDsw- iast and IDoestination.
  • the specific implementation manner of the foregoing process 3) is: From the source node N s . urce to the destination node N Destmatl.
  • the data communication type of n is determined according to the obtained exchange route quad information, and the quaternion information includes ID S . Urce , IDswiast and ID Destinatl . n , its specific way of judging is:
  • ⁇ Data communication is the communication from the user terminal to the direct-connect switching device, and belongs to the communication type of the user terminal to the direct-connect switching device; otherwise, it is sent from the source node N s .
  • the data from urce to the destination node N Destination passes through more than two switching devices, from the source node N s .
  • the data communication from the urce to the destination node N Destination is the communication from the user terminal to the non-directly connected switching device, and belongs to the communication type of the user terminal to the non-directly connected switching device;
  • the specific implementation of the foregoing process 4) is from the sending source node N s . Urce to the destination node
  • N Destmatl The data communication between nodes of n , according to the type of data communication, the secret communication strategy used in the communication process will also be different.
  • the specific implementation manner of the inter-node secure communication strategy is:
  • the source node N s is sent. exchange key encrypted data packets between 13 ⁇ 4 ⁇ 1 ⁇ urce using the destination node; the transmission source node N s.
  • Urce is a switching device, which is both the sending source node N s . Urce , again the first switching device SW-first; the destination node N Destinatl . n is a switching device, which is both the destination node N Destinatl . n , is the last switching device SW-last;
  • the intermediate switching device receives the communication data packet of the type of the switching device to the switching device and directly forwards the data packet;
  • the specific implementation manner of the inter-node secure communication strategy is:
  • the source node N s is sent. Urce is used with the destination node N Destinatl . A unicast key between n encrypts the data packet; the source node N s . Urce is a switching device, which is both the sending source node N s . Urce , again the first switching device SW-first and the last switching device SW-last; the destination node N Destinatl . n is a user terminal;
  • Destination node N Destmatl . n Use and send source node N s .
  • a unicast key between urce decrypts the packet.
  • the specific implementation manner of the inter-node secure communication strategy is:
  • the intermediate switching device directly forwards the data packet of the type of the switching device to the communication that is not directly connected to the user terminal;
  • the last switching device SW-last uses and transmits the source node N s .
  • Urce exchanges the key to decrypt the packet and then uses the destination node N Destinatl .
  • the unicast key between n encrypts the packet and then forwards; the destination node N Destmatl .
  • n is a user terminal;
  • Destination node N Destinatl . n Decrypt the packet with a unicast key between the last switching device SW-last.
  • the specific implementation manner of the inter-node secure communication policy is:
  • the source node N s is sent. urce the destination node using N Destmatl. A unicast key between n encrypts the data packet; the source node N s . Urce is the user terminal; the destination node N Destinatl . n is a switching device, which is both the destination node N Destinatl . n , is the first switching device SW-first, and is also the last switching device SW-last;
  • Destination node N Destmatl . n Use and send source node N s .
  • a unicast key between urce decrypts the packet.
  • the specific implementation manner of the inter-node secure communication strategy is:
  • the source node N s is sent. unicast key encryption urce packets between a switching device used in the first SW-first; the transmission source node N s. Urce is the user terminal;
  • the first switching device SW-first uses and transmits the source node N s .
  • the unicast key between urce decrypts the packet and then uses the destination node N Destinatl .
  • the exchange key between n encrypts the packet and then forwards; the destination node N Destinatl . n is a switching device, which is both the destination node N Destinatl . n , is the last switching device SW-last;
  • the intermediate switching device directly forwards the data packet of the type of communication from the user terminal to the non-directly connected switching device;
  • Destination node N Destinatl . n decrypts the data packet using the exchange key with the first switching device SW-first.
  • the specific implementation manner of the confidential communication strategy between the nodes is:
  • the first switching device SW-first forwards the data packet of the type user terminal to the communication of other directly connected user terminals under the same switching device; the first switching device SW-first is the last exchange at the same time.
  • the source node N s is sent.
  • Urce encrypts the packet with a unicast key between the directly connected switching device;
  • the first switching device SW-first uses and transmits the source node N s .
  • the unicast key between urce decrypts the packet and then uses the destination node N Destinatl .
  • the unicast key between n encrypts the data packet, and then forwards; the first switching device SW-first is the last switching device SW-last;
  • Destination node N Destinatl . n Decrypt the packet using a unicast key with the directly connected switching device.
  • the specific implementation manner of the inter-node secure communication strategy is:
  • the source node N s is sent. unicast key encryption urce packets between a switching device used in the first SW-first; the transmission source node N s. Urce is the user terminal;
  • the first switching device SW-first uses and transmits the source node N s .
  • the unicast key between urce decrypts the data packet, and then encrypts the data packet using the exchange key with the last switching device SW-last, and then forwards the data packet;
  • the intermediate switching device directly forwards the data packet of the type that is communicated by the user terminal to the directly connected user terminal under different switching devices;
  • the last switching device SW-last is used between the first switching device SW-first Exchange the key to decrypt the packet and then use the destination node N Destinatl .
  • the unicast key between n encrypts the data packet, and then forwards; the destination node N Destmatl .
  • n is a user terminal;
  • Destination node N Destinatl . n Decrypt the packet with a unicast key between the last switching device SW-last.
  • the present invention also provides an inter-node secure communication system, the system comprising: a source node, a first switching device SW-first, a second switching device SW-last, and a destination node N Destination, wherein
  • Urce used to the destination node N Destmatl . n and transmits the packet switching route exploring the encrypted data packet, the destination node receiving the routing exchange 13 ⁇ 4 ⁇ 1 ⁇ probe response packet transmitted and recorded from the source node N s. Urce to the destination node N Destinatl . Exchange routing information of n ;
  • the second switching device SW-last is used for forwarding from the sending source node N s .
  • Urce the packet to the destination node N Destination and record it from the sending source node N s .
  • Exchange routing information of n ; destination node N Destmatl . n for receiving the source node N s .
  • the exchange route sent by urce searches for the packet and encrypts the packet to the source node N s .
  • Urce sends the switched route discovery response packet and records it from the sending source node N s .
  • urce to the destination node N Destmatl.
  • the exchange routing information of n includes IDsource ⁇ IDsw_first, IDsw_last, and IDoestination.
  • the system further includes: an intermediate switching device for directly transmitting transparently from the sending source node N s . urce to the destination node N Destmatl. All packets of n .
  • the present invention has the following advantages:
  • the method and system for secure communication between wired and local area network nodes provided by the present invention need to establish a shared key between adjacent nodes, establish a shared key between the two switching devices, and be the same switching device.
  • the direct connected user terminal establishes a shared key between the two, and obtains the exchange routing information between the nodes according to the exchange route searching process, determines the type of the data communication between the two nodes, and selects the corresponding secure communication strategy.
  • the method provided by the invention divides the type of data communication based on the exchange routing information in the system, and adopts different secret communication strategies for different data communication types.
  • FIG. 1 is a schematic diagram of a basic frame of a local area network according to the present invention.
  • FIG. 2 is a schematic structural diagram of an inter-node exchange routing network according to the present invention.
  • FIG. 3 is a schematic diagram of a switched route discovery protocol according to the present invention.
  • FIG. 4 is a schematic diagram of a process of searching for a route exchange between nodes according to the present invention.
  • FIG. 5 is a schematic flowchart of determining a type of data communication between nodes according to the present invention.
  • FIG. 6-a is a schematic diagram of communication (adjacent) of the switching device to the switching device according to the present invention
  • FIG. 6-b is a schematic diagram of communication (not adjacent) of the switching device to the switching device according to the present invention
  • a schematic diagram of communication between the switching device and the directly connected user terminal
  • FIG. 8 is a schematic diagram of communication between a switching device and a user terminal that is not directly connected to the present invention
  • FIG. 9 is a schematic diagram of communication between the user terminal and the direct-connecting switching device according to the present invention.
  • FIG. 10 is a schematic diagram of communication between a user terminal and a non-directly connected switching device according to the present invention
  • FIG. 11-a is a communication of the user terminal to other directly connected user terminals under the same switching device according to the present invention (establishing an inter-station key)
  • 11-b is a schematic diagram of communication (without establishing an inter-site key) of the user terminal to other directly connected user terminals under the same switching device according to the present invention
  • FIG. 12 is a schematic diagram of communication of a user terminal directly connected to a user terminal under different switching devices according to the present invention.
  • the node N in the present invention refers to a user terminal STA (STAtion) and a switching device SW (Switch) in the network.
  • Physical layer devices such as hubs are not handled as nodes.
  • the direct connection defined in the present invention refers to a connection relationship between switching devices or between a switching device and a user terminal through a physical layer device such as a network cable or a hub. Nodes connected through other devices are not directly connected.
  • the wired local area network node secure communication method mainly includes four processes: establishing a shared key, exchanging route discovery, data communication classification, and inter-node secure communication.
  • the specific implementation is as follows: 1) establishing a shared key; that is, establishing a shared key between the nodes; the nodes include between the user terminal and the switching device, between the switching devices, and between the two directly connected user terminals under the same switching device. Specifically include:
  • STAkey STAtion key
  • the basic framework of the LAN is shown in Figure 1.
  • a unicast key USK between all adjacent nodes, such as between adjacent switching devices SW-A and SW-B, between adjacent switching devices SW-E and user terminal STA2;
  • an exchange key SWkey between, such as between adjacent switching devices SW-B and SW-E, between non-adjacent switching devices SW-E and SW-G; directly connected to the user terminal under the same switching device
  • An inter-station key STAkey may be established between STAs, such as between user terminals STA1 and STA2, and between user terminals STA7 and STA9.
  • the unicast key and the exchange key are established when the node successfully accesses the network, and the inter-station key is sent by the source node N s when the communication occurs.
  • Urce decides whether to establish according to the local policy. Generally, if the amount of data sent by the user terminal STA1 to other directly connected user terminals STA2 of the same switching device is relatively large, an inter-station key needs to be established; if it is only the packet information of the single ticket, the inter-station key is not required to be established. .
  • the unicast key, the exchange key, and the inter-station key may be established by pre-distribution or some security mechanism, and the specific method of establishing the same is not limited and defined by the present invention.
  • IDsource Indicates the source node N S .
  • the identifier of urce where the source node N S is sent.
  • Urce can be a user terminal or a switching device;
  • IDsW-first! represents the slave source node N s .
  • IDsw-iast indicates from the source node N s .
  • IDoestination Indicates the identity of the destination node N Destination , where the destination node N Destinatl . n can be a user terminal or a switching device.
  • NDWta ⁇ urce destination node to exchange routing information [ID S. urce, IDsW-first,
  • N S urce to the destination node but NDestmato ⁇ packet switching device to exchange routing information identifying a four-tuple does not appear, called intermediate switching equipment. From the source node N S . The data from the urce to the destination node N Destination may not pass through the intermediate switching device or through multiple intermediate switching devices during the transmission.
  • the switched route discovery includes an exchange route discovery packet and an exchange route response packet. A detailed description of the exchange route discovery process is shown in FIG.
  • Urce sends the switched route discovery packet to the destination node N Destinatl . n ;
  • the urce construct exchange route discovery packet is sent to the destination node N Destmatl . n ; the group mainly contains the identification quad
  • IDsource Indicates the source node N S . Urce logo
  • IDsW-first! represents the slave source node N s .
  • Urce is the switching device, then ID SW St is ID s .
  • Urce if the source node N s is sent.
  • Urce is the end user, then ID sw _ flK >fc is the source node
  • IDsw-iast indicates from the source node N s .
  • IDoestination Indicates the destination node N Destinati . The identity of n ;
  • Urce the group mainly contains the identification quads [ID S of all the field values that have been identified. urce, IDsw-first, IDswiast, ID DestinationJ.
  • each node receives an exchange route response packet
  • the switching device After receiving the exchange route response packet, the switching device records the identification quad [ID S if its own identity is in the identification quad of the packet. urce, IDsw-first, IDswiast, ID Destmatl. n ] , re-forward; directly forward the packet if its identity is not in the identity quad in the packet;
  • the source node N s is sent. After urce receives the exchange route response packet, it records the identity quad.
  • Urce Only the source node N s is sent throughout the network. Urce , the first switching device SW-first, the last switching device SW-last, and the destination node N Destinatl . n needs to be recorded from the source node N s . Urce to the purpose N Destinatl . Exchange routing information of n . If the source node N s is sent. Urce is the switching device, then the source node N s is sent. Urce to the destination node N Destinatl . The first switching device SW-first through which the n packet passes is itself, ie SW-first is N s . Urce ; If the destination node N Destination is a switching device, then the source node N s is sent. Urce to the destination node N Destinatl . The last switching device SW-last through which n packets pass is N Des tination 'that is SW-laSt is N Destination .
  • Typel communication between the switching device and the switching device
  • Type2 communication between the switching device and the directly connected user terminal
  • Type3 communication between the switching device and the user terminal that is not directly connected
  • Type4 communication between the user terminal and the directly connected switching device
  • STA2 to SW-E STA5 to SW-F data communication in Figure 1;
  • Type5 communication from the user terminal to the non-directly connected switching device
  • STA2 to SW-F STA5 to SW-B data communication in Figure 1;
  • Type6 communication between the user terminal and other directly connected user terminals under the same switching device
  • Type7 communication between the user terminal and the user terminal directly connected to different switching devices
  • ID sw4ast ID sw ⁇ st is true, and if so, from the source node N s . urce to the destination node N Destmatl.
  • the data is only passed through a switching device, from the source node N s . urce to the destination node N Destmatl.
  • n is a data communications switching device to direct the communication terminal user belonging to type the Type2; otherwise, from the source node N s. Urce to the destination node N Destinatl .
  • the data of n passes through more than two switching devices, from the source node N S .
  • NDe ⁇ ata ⁇ is a data communication terminal user to another under the same direct communication switching device of the user terminal, of a type Type6; otherwise, from the source node N s. urce to the destination node N Destmatl.
  • the data of n passes through more than two switching devices, from the source node N s .
  • the data communication from the urce to the destination node N Destination is the communication of the user terminal directly connected to the user terminal under different switching devices, belonging to the type Type 7.
  • the data communication between nodes of n depends on the type of data communication, and the secret communication strategy used in the communication process will also be different.
  • the secret communication strategy adopted by each communication type is described as follows:
  • Typel Communication from the switching device to the switching device
  • the source node N s is sent.
  • Urce (in this case, the switching device, the sending source node N s . urce is also the first switching device SW-first) is used with the destination node N Destinatl .
  • n (in this case, the switching device, the destination node N Destinatlon is also the last switching device SW-last) exchange key encryption packets;
  • the intermediate switching device receives the communication packet of type Type1 and forwards it directly.
  • the communication of the switching device to the switching device includes communication of the switching device to the adjacent switching device (such as the communication between the switching device SW-B and the switching device SW-E in FIG. 6-a), and the communication between the switching device and the non-adjacent switching device ( Figure 6-b shows the communication between the switching device SW-B and the switching device SW-G).
  • the exchange key SWkey B is used directly to encrypt and decrypt the data packet; in Figure 6-b, the exchange key SWkey B is used directly to encrypt and decrypt the data packet, and the intermediate switching device (such as the switching device SW-A, SW-D) ) Direct forwarding is fine.
  • Type2 Communication between the switching device and the directly connected user terminal
  • Destination node N Destmatl . n Use and send source node N s .
  • a unicast key between urce decrypts the packet.
  • the communication between the switching device SW-E and the user terminal STA3 belongs to Type2, the switching device SW-E acts as the transmission source node to encrypt the data packet using the unicast key USK ⁇ E, and the user terminal STA3 uses the unicast as the destination node.
  • the key USK ⁇ E decrypts the packet.
  • Type3 Communication between the switching device and the user terminal that is not directly connected
  • the secure communication strategy used for data communication of type 3 is as follows:
  • Urce (in this case, the switching device, the sending source node N s . urce is also the first switching device SW-first) encrypts the data packet using the exchange key with the last switching device SW-last;
  • the intermediate switching device directly forwards the data packet of type Type3;
  • the last switching device SW-last uses and transmits the source node N s .
  • Urce exchanges the key to decrypt the packet, and then uses the destination node N Destinatl .
  • the unicast key between n (in this case, the user terminal) encrypts the data packet and then forwards it;
  • Destination node N Destinatl . n use the unicast secret between the last switching device SW-last Key decryption packet.
  • the communication between the switching device SW-A and the user terminal STA3 belongs to Type3, and SW-E is the last switching device.
  • the switching device SW-A acts as the sending source node to encrypt the data packet using the exchange key SWkey A with the SW-E;
  • the switching device SW-B belongs to the intermediate switching device to forward the data packet directly;
  • the switching device SW-E acts as the last switching device
  • the data packet is decrypted using the exchange key SWkey A , and then the data packet is encrypted with the unicast key USK E with the user terminal STA3, and then forwarded;
  • the user terminal STA3 acts as the destination node to decrypt the data packet using the unicast key USK 3 _ E ;
  • Type4 Communication from the user terminal to the direct-connect switching device
  • the secure communication strategy adopted by the type 4 data communication is as follows:
  • the source node N s is sent.
  • Urce (in this case, the user terminal) uses the destination node N Destinatl . n (in this case, the switching device, the destination node N Destinatl . n is the first switching device SW-first, the last switching device SW-last) unicast key encryption data packet;
  • Destination node N Destmatl . n Use and send source node N s .
  • a unicast key between urce decrypts the packet.
  • the communication of the user terminal STA3 to the switching device SW-E belongs to Type4, the user terminal STA3 acts as the transmission source node to encrypt the data packet using the unicast key USK ⁇ E; the switching device SW-E uses the unicast as the destination node.
  • the key USK ⁇ E decrypts the packet.
  • Type Type4 Communication and Types Type 2 communication is only in the same direction. It uses a unicast key between the sending source node and the destination node to encrypt and decrypt the data packet.
  • Type5 Communication from the user terminal to the non-directly connected switching device
  • the secure communication strategy used for data communication of type 5 is as follows:
  • Urce (in this case, the user terminal) encrypts the data packet using a unicast key with the first switching device SW-first;
  • the first switching device SW-first uses and transmits the source node N s .
  • the unicast key between urce decrypts the packet and then uses the destination node N Destinatl .
  • n (in this case, the switching device, the destination node N Destinatlon is also the last switching device SW-last) exchanges the key to encrypt the data packet, and then forwards; 4.5.3) If there is an intermediate switching device, the intermediate switching device forwards the data packet of type Type5 directly;
  • Destination node N Destinatl . n decrypts the data packet using the exchange key with the first switching device SW-first.
  • the communication of the user terminal STA3 to the switching device SW-A belongs to Type 5, and SW-E is the first switching device.
  • the user terminal STA3 uses the unicast key USK ⁇ E as the source node to encrypt the data packet; the switching device SW-E uses the unicast key USK ⁇ E as the first switching device to decrypt the data packet, and then uses the destination node SW-A.
  • the exchange key SWkey ⁇ E encrypts the data packet and forwards it; the switching device SW-A acts as the destination node to decrypt the data packet using the exchange key SWkey ⁇ E with the SW-E.
  • the communication of type Type 5 and the communication of type Type 3 are only different in direction. In the opposite process, the keys used in the middle are the same.
  • Type6 The unicast key between the user terminal and the directly connected switching device in the communication network of the other directly connected user terminals on the same switching device, and the user terminal directly connected to the same switching device according to the local The decision can be made to establish an inter-station key (the process of establishing an inter-station key is not defined and limited by the present invention). Data communication of type Type 6 differs depending on whether an inter-station key has been established.
  • the first switching device SW-first (in this case, the first switching device SW-first is also the last switching device), for the Type 6 packet, direct forwarding;
  • Destination node N Destinatl . n Use and send source node N s .
  • the inter-station key between urce decrypts the packet.
  • the source node N s is sent.
  • Urce encrypts the packet with a unicast key between the directly connected switching device;
  • the first switching device SW-first uses and transmits the source node N s .
  • Unicast key between n encrypts the data packet and forwards it;
  • Destination node N Destinatl . n Decrypt the packet using a unicast key with the directly connected switching device.
  • the data communication between the user terminals STA1 and STA3 belongs to the type Type6.
  • Figure 11-a is a communication diagram in which an inter-station key has been established.
  • the user terminal STA1 acts as a transmission source node to encrypt a data packet using the inter-station key STAkeyw with STA3; the switching device SW-E directly forwards the data packet;
  • the terminal STA3 acts as a destination node to decrypt the data packet using the inter-station key STAkeyw with STA1.
  • Figure 11-b is a communication diagram in which no inter-station key is established.
  • the user terminal STA1 acts as a transmission source node to encrypt the data packet using the unicast key USK 1-E between the switching devices SW-E; the switching device SW-E uses USK ⁇ unicast key to decrypt the data packets, and unicast key USK ⁇ E encrypted packet, and then forwards; STA3 using the user terminal 3 _ E decryption key USK unicast packet as the destination node.
  • Type7 Communication between the user terminal and the user terminal directly connected to different switching devices
  • the confidential communication strategy used for data communication of type 7 is as follows:
  • the first switching device SW-first uses and transmits the source node N s .
  • the unicast key between urce decrypts the data packet, and then encrypts the data packet using the exchange key with the last switching device SW-last, and then forwards the data packet;
  • the intermediate switching device forwards the data packet of type Type7 directly;
  • the last switching device SW-last uses the exchange key between the first switching device SW-first to decrypt the packet and then uses the destination node N Destinatl .
  • the unicast key between n (in this case, the user terminal) encrypts the data packet and forwards it;
  • Destination node N Destinatl . n Decrypt the packet with a unicast key between the last switching device SW-last.
  • the communication of the user terminals STA3 to STA9 belongs to the type Type7.
  • Type Type7 The data communication can be divided into three segments, sending the source node to the first switching device, the first switching device to the last switching device, and the last switching device to the destination node.
  • the user terminal STA3 acts as a source node to encrypt the data packet using the unicast key USK E with the switching device SW-E; the switching device SW-E acts as the first switching device between the source node and the transmitting source node.
  • the unicast key USK ⁇ E decrypts the data packet, and then encrypts the data packet with the exchange key SWkey E between the last switching device SW-G, and then forwards it; the switching devices SW-D, SW-A, SW-D The intermediate switching device forwards the data packet directly; the switching device SW-G acts as the last switching device to decrypt the data packet using the exchange key SWkey E between the first switching device SW-E, and then uses the unicast with the destination node.
  • the key USK 9 encrypts the data packet and forwards it again; the user terminal STA9 acts as the destination node to decrypt the data packet using the unicast key USK 9 between the last switching device SW-G.
  • the inter-node secure communication system of the present invention comprises: a transmission source node N s . Urce , the first switching device SW-first, the second switching device SW-last (ie the last switching device SW-last ) and the destination node
  • Urce used to the destination node N Destmatl . n sends the switched route discovery packet and the encrypted data packet, and receives the destination node N Destinatl . n send the probe response packet switching and routing record from the source node N S. Urce to the destination node N ⁇ toto ⁇ exchange routing information [ID S . urce, IDsW-first, ID S W-last,
  • the exchange route sent by urce searches for the packet and encrypts the packet to the source node N s .
  • Urce sends the exchange route discovery response packet and records the slave source node N S .
  • NDWta ⁇ urce destination node to exchange routing information [ID S. urce, IDsW-first, IDsw- iast, ID Destmatlon] 0 wherein s from the transmission source node N. Urce to the destination node N Destinatl .
  • the exchange routing information of n includes ID s . urce, IDsw-first ⁇ ID sw4ast ID Destination ° and
  • the system may further include: an intermediate switching device, configured to directly transparently transmit from the sending source node N s . Urce all packets to the destination node ⁇ .
  • an intermediate switching device configured to directly transparently transmit from the sending source node N s . Urce all packets to the destination node ⁇ .
  • the method for secure communication between nodes provided by the present invention will be based on different communication situations between nodes.
  • Line classification choose the appropriate secure communication strategy.
  • the computational burden of the switching device is reduced, and the transmission delay of the data packet is shortened; the method of protecting the confidentiality of the communication is established with respect to establishing an inter-station key between all the nodes, reducing the key.
  • the number the key management.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种有线局域网节点间保密通信方法及系统，该有线局域网节点间保密通信方法包括以下步骤：1）建立共享密钥；2）交换路由探寻；3）数据通信分类；4）节点间保密通信。本发明中提供的节点间保密通信的方法会根据节点间不同的通信情况进行分类，选择合适的保密通信策略；相对于逐跳加密，减少了交换设备的计算负担，缩短了数据包的传输延时；相对于为所有节点之间两两建立站间密钥来保护通信机密性的方法，减少了密钥的数目，简化了密钥管理。

Description

节点间保密通信方法及系统
本申请要求于 2009 年 12 月 18 日提交中国专利局、 申请号为 200910219572.8、 发明名称为"节点间保密通信方法及系统 "的中国专利申请的 优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及网络安全领域， 特别涉及一种节点间保密通信方法及系统。 背景技术
有线局域网一般为广播型网络，一个节点发出的数据，其他节点都能收到。 网络上的各个节点共享信道， 这给网络带来了极大的安全隐患。 攻击者只要接 入网络进行监听， 就可以捕获网络上所有的数据包。 现有国家标准 GB/T 15629.3(对应 IEEE 802.3或者 ISO/IEC 8802-3 )定义的局域网 LAN( Local Area Network ) 并不提供数据保密方法， 这样就使得攻击者容易窃取到关键信息。
在有线局域网中， IEEE通过对 IEEE 802.3进行安全增强来实现链路层的 安全。 IEEE 802.1AE为保护以太网提供数据加密协议， 并采用逐跳加密的安 全措施来实现网络节点之间数据的安全传达。这种安全措施给局域网中的交换 设备带来了巨大的计算负担， 容易引发攻击者对交换设备的攻击； 且数据包从 发送源节点传递到目的节点的延时也会增大， 降低了网络传输效率。
有线局域网的拓朴结构比较复杂， 涉及到的节点（这里， 用户终端和交换 设备被统称为节点）数目也比较多， 因此网络中的数据通信比较复杂。 若为所 有的节点两两建立共享密钥， 节点需要保存的共享密钥数目比较巨大； 若利用 相邻节点之间的共享密钥，使用逐跳加密的安全措施， 又会给网络交换设备带 来巨大的计算负担。
因此，有必要研究一种方法来解决节点间保密通信的问题， 一方面既能保 证数据在节点间进行保密传输，另一方面又尽量减少密钥的数目和密钥建立的 复杂度， 同时还需要考虑节点的加解密能力。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种以节点间交 换路由信息为基础划分数据通信的类型，选择不同的保密通信策略的节点间保 密通信方法及系统。 本发明的技术解决方案是： 本发明提供了一种节点间保密通信方法， 其特 殊之处在于： 所述节点间保密通信方法包括以下四个过程：
1 )节点之间建立共享密钥； 所述节点之间包括用户终端与交换设备之间、 交换设备两两之间以及同一交换设备下两个直连用户终端之间；
2 )节点之间根据所述交换路由探寻， 得到节点之间的交换路由信息；
3 )节点之间根据所述交换路由信息判断节点之间的数据通信类型；
4 )根据节点之间不同的数据通信类型采用不同的保密通信策略进行节点 间保密通信。
优选的， 上述过程 1 ) 的具体实现方式是：
1.1 )为相邻节点之间建立共享密钥， 称为单播密钥 USK ( Unicast Session
Key );
1.2 )为交换设备两两之间建立共享密钥， 称为交换密钥 SWkey ( SWitch key );
1.3 )根据本地策略选择， 为同一交换设备下两个直连用户终端之间建立 共享密钥， 称为站间密钥 STAkey ( STAtion key )。
优选的， 从发送源节点 Ns。urce到目的节点 NDestmatl。 々节点间交换路由信息 定义为一个标识四元组： 所述标识四元组包括 IDs。urce、 IDsw-first ^ IDsw4ast以及 IDDestmatlon; 接收到从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据包但却未出 现在交换路由信息标识四元组中的交换设备， 称之为中间交换设备。从发送源 节点 Ns。urce到目的节点 NDestmatl。 々数据在传输过程中可能不会通过中间交换设 备， 也可能通过多个中间交换设备；
优选的， 上述过程 2 ) 的具体实现方式是：
2.1 )发送源节点 Ns。urce发送交换路由探寻分组给目的节点 NDestinatl。n; 该分 组中主要包含标识四元组， 所述标识四元组包括 IDs。urce、 IDsw-first ^ IDsw4ast以 ^^IDDestination，
其中：
IDsource: 表示发送源节点 NS。urce的标识；
IDsw-first: 表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的 第一个交换设备 SW-first的标识，若发送源节点 Ns。urce为交换设备，则 IDSW St 就是 IDs。urce; 若发送源节点 Ns。urce为终端用户， 则 IDsw_flK >fc是发送源节点
Nsource直连交换设备的标识；
IDsw-iast:表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的最 后一个交换设备 SW-last的标识； 在交换路由探寻分组中， 该字段是未知的； IDDestination： 表示目的节点 NDestinati。n的标识；
2.2 ) 目的节点 ^11∞发送交换路由响应分组给发送源节点 Ns。urce;
2.3 )各节点接收交换路由响应分组。
优选的， 目的节点 NDestinatl。n收到来自发送源节点 Ns。urce发送的交换路由探 寻分组后， 上述步骤 2.2 ) 的具体实现方式是：
2.2.1 )判断从发送源节点 Ns。urce发来的数据包经过的最后一个交换设备
SW-last的信息： 若目的节点 NDestinatl。n为交换设备， 则 IDsw4ast就是 ID Destination， 若目的节点 NDestinatl。n为终端用户， 则 IDsw_last就是终端用户直连交换设备的标 识；
2.2.2 )记录下标识四元组， 其中 IDs。urce、 IDsw^st及 IDDestinatl。n同接收到的 交换路由探寻分组中各字段的值， 此时四元组的所有字段值都已明确； 所述标 识四元组包括 IDS。urce、 IDsW-first ^ IDSW4ast以及 IDoestination;
2.2.3 )构造交换路由响应分组发送给发送源节点 Ns。urce, 该分组包含已明 确所有字段值的标识四元组， 所述标识四元组包括 IDS。urce、 IDsW-first ^ IDsw-iast 以及 IDoestination。
优选的， 各节点收到来自目的节点 NDestinatl。n 送的交换路由探寻响应分组 后， 上述步骤 2.3 ) 的具体实现方式是：
2.3.1 )交换设备收到交换路由响应分组后， 若自己的标识在该分组中的标 识四元组中， 则记录下标识四元组再转发； 若自己的标识不在该分组中的标识 四元组中则直接转发该分组； 所述标识四元组包括 IDS。urce、 IDsW-first ^ IDsw-iast 以及 IDoestination;
2.3.2 )发送源节点 Ns。urce收到交换路由响应分组后， 记录下标识四元组， 完成此次交换路由探寻过程， 所述标识四元组包括 IDS。urce、 IDsW-first ^ IDsw-iast 以及 IDoestination。
优选的， 上述过程 3 ) 的具体实现方式是： 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据通信类型是根据得到的交 换路由四元组信息进行判断的， 所述四元组信息包括 IDS。urce、
Figure imgf000006_0001
IDswiast 以及 IDDestinatl。n, 其具体的判断方式是：
3.1 )判断 IDsw^st= IDs。urce是否成立， 若成立， 则发送源节点 Ns。urce是交换 设备， 执行步骤 3.2 ); 否则， 发送源节点 Ns。urce是用户终端， 执行步骤 3.4 );
3.2 )判断 IDsw4ast= IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通信是交换设备到交 换设备的通信，属于交换设备到交换设备的通信类型；否则， 目的节点 NDestinatl。n 是用户终端， 执行步骤 3.3 );
3.3 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据通信是交换设备到直连用户终端的通信， 属于交换设备到直连 用户终端的通信类型； 否则， 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据 经过两个以上的交换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通 信是交换设备到不直连用户终端的通信，属于交换设备到不直连用户终端的通 信类型；
3.4 )判断 IDsw4ast=IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 执行步骤 3.5 ); 否则， 目的节点 NDestinatl。n是用户终端， 执行步骤 3.6 );
3.5 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点
NDestmatl。 々数据通信是用户终端到直连交换设备的通信， 属于用户终端到直连 交换设备的通信类型； 否则， 从发送源节点 Ns。urce到目的节点 N Destination的数据 经过两个以上的交换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通 信是用户终端到不直连交换设备的通信，属于用户终端到不直连交换设备的通 信类型；
3.6 )判断 IDsw4ast=IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 NDe^ata^数据通信是用户终端到同一交换设备下其他直连用户终端的通信， 属于用户终端到同一交换设备下其他直连用户终端的通信类型； 否则，从发送 源节点 Ns。urce到目的节点 NDestinatl。n的数据经过两个以上的交换设备， 从发送源 节点 Ns。urce到目的节点 NDestmatl。n的数据通信是用户终端到不同交换设备下直连 的用户终端的通信， 属于用户终端到不同交换设备下直连用户终端的通信类 型。
优选的， 上述过程 4 ) 的具体实现方式是从发送源节点 Ns。urce到目的节点
NDestmatl。n的节点间数据通信， 根据数据通信类型的不同， 通信过程中所采用的 保密通信策略也将有所不同。
优选的， 当数据通信类型是交换设备到交换设备的数据通信类型时， 所述 其节点间保密通信策略的具体实现方式是：
4.1.1 )发送源节点 Ns。urce使用与目的节点 1¾^^1∞之间的交换密钥加密数 据包；所述发送源节点 Ns。urce为交换设备，该交换设备既是发送源节点 Ns。urce, 又是第一个交换设备 SW-first; 所述目的节点 NDestinatl。n为交换设备， 该交换设 备既是目的节点 NDestinatl。n, 又是最后一个交换设备 SW-last;
4.1.2 )若存在中间交换设备， 则中间交换设备收到类型为交换设备到交换 设备的通信数据包， 直接转发；
4.1.3 )目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的交换密钥解密数 据包。
优选的， 当数据通信类型是交换设备到直连用户终端的数据通信类型时， 所述其节点间保密通信策略的具体实现方式是：
4.2.1 )发送源节点 Ns。urce使用与目的节点 NDestinatl。n之间的单播密钥加密数 据包；所述发送源节点 Ns。urce为交换设备，该交换设备既是发送源节点 Ns。urce, 又是第一个交换设备 SW-first同时还是最后一个交换设备 SW-last; 所述目的 节点 NDestinatl。n是用户终端；
4.2.2 ) 目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
优选的， 当数据通信类型是交换设备到不直连用户终端的数据通信类型 时， 所述其节点间保密通信策略的具体实现方式是：
4.3.1 )发送源节点 Ns。urce使用与最后一个交换设备 SW-last之间的交换密 钥加密数据包； 所述发送源节点 Ns。urce为交换设备， 该交换设备既是发送源节 点 Ns。urce, 又是第一个交换设备 SW-first;
4.3.2 )若存在中间交换设备， 则中间交换设备直接转发类型为交换设备到 不直连用户终端的通信的数据包；
4.3.3 )最后一个交换设备 SW-last使用与发送源节点 Ns。urce的交换密钥解 密数据包，然后使用与目的节点 NDestinatl。n之间的单播密钥加密数据包， 然后转 发； 所述目的节点 NDestmatl。n为用户终端；
4.3.4 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密钥 解密数据包。
优选的， 当数据通信类型是用户终端到直连交换设备的数据通信类型时， 所述其节点间保密通信策略的具体实现方式是：
4.4.1 )发送源节点 Ns。urce使用与目的节点 NDestmatl。n之间的单播密钥加密数 据包；所述发送源节点 Ns。urce为用户终端；所述目的节点 NDestinatl。n为交换设备， 该交换设备既是目的节点 NDestinatl。n, 又是第一个交换设备 SW-first, 同时还是 最后一个交换设备 SW-last;
4.4.2 ) 目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
优选的， 当数据通信类型是用户终端到不直连交换设备的数据通信类型 时， 所述其节点间保密通信策略的具体实现方式是：
4.5.1 )发送源节点 Ns。urce使用与第一个交换设备 SW-first之间的单播密钥 加密数据包； 所述发送源节点 Ns。urce是用户终端；
4.5.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包，然后使用与目的节点 NDestinatl。n之间的交换密钥加密数据包， 然后 转发；所述目的节点 NDestinatl。n为交换设备，该交换设备既是目的节点 NDestinatl。n, 又是最后一个交换设备 SW-last;
4.5.3 )若存在中间交换设备， 则中间交换设备直接转发类型为用户终端到 不直连交换设备的通信的数据包；
4.5.4 )目的节点 NDestinatl。n使用与第一个交换设备 SW-first之间的交换密钥解 密数据包。
优选的，当数据通信类型是用户终端到同一交换设备下其他直连用户终端 的数据通信类型时， 所述其节点间保密通信策略的具体实现方式是：
4.6.1 )对已经建立站间密钥、类型为用户终端到同一交换设备下其他直连 用户终端的通信采用的保密通信策略如下：
4.6.1.1 )发送源节点 Ns。urce使用与目的节点 NDestinatl。n之间的站间密钥加密 数据包； 所述目的节点 NDestmatl。n是用户终端；
4.6.1.2 )第一个交换设备 SW-first对于类型用户终端到同一交换设备下其 他直连用户终端的通信的数据包， 直接转发； 所述第一个交换设备 SW-first 同时是最后一个交换设备 SW-last;
4.6.1.3 )目的节点 NDestinatl。n使用与发送源节点 Ns。urce之间的站间密钥解密 数据包；
4.6.2 )对没有建立站间密钥、类型为用户终端到同一交换设备下其他直连 用户终端的通信所采用的保密通信如下：
4.6.2.1 )发送源节点 Ns。urce使用与直连交换设备之间的单播密钥加密数据 包；
4.6.2.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密 钥解密数据包，再使用与目的节点 NDestinatl。n之间的单播密钥加密数据包，再转 发； 所述第一个交换设备 SW-first同时是最后一个交换设备 SW-last;
4.6.2.3 ) 目的节点 NDestinatl。n使用与直连交换设备之间的单播密钥解密数据 包。
优选的，当数据通信类型是用户终端到不同交换设备下直连用户终端的数 据通信类型时， 所述其节点间保密通信策略的具体实现方式是：
4.7.1 )发送源节点 Ns。urce使用与第一个交换设备 SW-first之间的单播密钥 加密数据包； 所述发送源节点 Ns。urce是用户终端；
4.7.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包， 然后使用与最后一个交换设备 SW-last之间的交换密钥加密数据 包， 再转发；
4.7.3 )若存在中间交换设备， 则中间交换设备直接转发类型为用户终端到 不同交换设备下直连用户终端的通信的数据包；
4.7.4 )最后一个交换设备 SW-last使用与第一个交换设备 SW-first之间的 交换密钥解密数据包，然后使用与目的节点 NDestinatl。n之间的单播密钥加密数据 包， 再转发； 所述目的节点 NDestmatl。n是用户终端；
4.7.5 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密 钥解密数据包。
本发明还提供一种节点间保密通信系统， 所述系统包括： 发送源节点 第一个交换设备 SW-first、 第二交换设备 SW-last和目的节点 N Destination , 其中，
发送源节点 Ns。urce,用于向目的节点 NDestmatl。n发送交换路由探寻分组及加 密数据包，接收目的节点 1¾^^1∞发送的交换路由探寻响应分组并记录下从发 送源节点 Ns。urce到目的节点 NDestinatl。n的交换路由信息；
第一个交换设备 SW-first , 用于转发从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据包，并记录下从发送源节点 Ns。urce到目的节点 NDestinatl。n的交换 路由信息；
第二交换设备 SW-last,用于转发从发送源节点 Ns。urce到目的节点 N Destination 的数据包，并记录下从发送源节点 Ns。urce到目的节点 NDestinatl。n的交换路由信息； 目的节点 NDestmatl。n,用于接收发送源节点 Ns。urce发送的交换路由探寻分组 及加密数据包，向发送源节点 Ns。urce发送交换路由探寻响应分组并记录下从发 送源节点 Ns。urce到目的节点 NDestmatl。n的交换路由信息；
其中，所述从发送源节点 Ns。urce到目的节点 NDestmatl。n的交换路由信息包括 IDsource ^ IDsw—first、 IDsw—last以及 IDoestination。
所述系统还包括： 中间交换设备， 用于直接透传从发送源节点 Ns。urce到目 的节点 NDestmatl。n的所有数据包。
本发明的优点是： 本发明所提供的有线局域网节点间保密通信方法和系 统， 需要为相邻节点之间建立共享密钥、 为交换设备两两之间建立共享密钥、 为同一个交换设备下的直连用户终端两两之间建立共享密钥，根据交换路由探 寻过程得到节点间的交换路由信息， 判断两节点之间的数据通信所属的类型， 从而选用对应的保密通信策略。本发明所提供的方法即系统中以交换路由信息 为基础划分数据通信的类型， 对于不同数据通信类型采用不同的保密通信策 略。相对于逐跳加密，减少了交换设备的计算负担，缩短了数据包的传输延时； 相对于为所有节点之间两两建立站间密钥来保护通信机密性的方法，减少了密 钥的数目， 筒化了密钥管理。
附图说明
图 1为本发明所述局域网基本框架示意图；
图 2为本发明所述节点间交换路由网络结构示意图；
图 3为本发明所述交换路由探寻协议示意图；
图 4为本发明所述节点间交换路由探寻过程示意图；
图 5为本发明所述节点间数据通信类型判断流程图示意图；
图 6-a为本发明所述交换设备到交换设备的通信（相邻）示意图； 图 6-b为本发明所述交换设备到交换设备的通信（不相邻）示意图； 图 7为本发明所述交换设备到直连用户终端的通信示意图；
图 8为本发明所述交换设备到不直连的用户终端的通信示意图； 图 9为本发明所述用户终端到直连交换设备的通信示意图；
图 10为本发明所述用户终端到不直连的交换设备的通信示意图； 图 11-a为本发明所述用户终端到同一交换设备下其他直连用户终端的通 信（建立站间密钥）示意图；
图 11-b为本发明所述用户终端到同一交换设备下其他直连用户终端的通 信（不建立站间密钥） 示意图；
图 12为本发明所述用户终端到不同交换设备下直连用户终端的通信示意 图。
具体实施方式
本发明中的节点 N ( Node )是指网络中的用户终端 STA ( STAtion )和交 换设备 SW ( Switch )。 集线器（hub )等物理层设备不作为节点处理。
本发明中定义的直连是指交换设备之间或者交换设备和用户终端之间通 过网线或者集线器 （hub )等物理层设备直接相连的连接关系。 通过其他设备 进行连接的节点之间不属于直连关系。
参见图 1-12,本发明提供的有线局域网节点保密通信方法主要包括四个过 程： 建立共享密钥、 交换路由探寻、 数据通信分类以及节点间保密通信。 其具 体实施方式如下： 1 )建立共享密钥； 即节点之间建立共享密钥； 所述节点之间包括用户终 端与交换设备之间、交换设备两两之间以及同一交换设备下两个直连用户终端 之间， 具体包括：
1.1 )为相邻节点之间建立共享密钥， 称为单播密钥 USK ( Unicast Session Key );
1.2 )为交换设备两两之间建立共享密钥， 称为交换密钥 SWkey ( SWitch key ) , 其中相邻交换设备之间的单播密钥就是它们之间的交换密钥；
1.3 )根据本地策略选择， 为同一交换设备下两个直连用户终端之间建立 共享密钥， 称为站间密钥 STAkey(STAtion key )。
局域网基本框架如图 1所示。 所有相邻的节点之间都有单播密钥 USK, 如相邻的交换设备 SW-A和 SW-B之间、 相邻的交换设备 SW-E与用户终端 STA2之间； 交换设备两两之间都具有交换密钥 SWkey, 如相邻的交换设备 SW-B与 SW-E之间、 不相邻的交换设备 SW-E和 SW-G之间； 同一交换设备 下直连的用户终端 STA之间可建立站间密钥 STAkey, 如用户终端 STA1 和 STA2之间、 用户终端 STA7与 STA9之间。 其中单播密钥和交换密钥是节点 成功接入网络时建立的， 而站间密钥则是在通信发生时， 由发送源节点 Ns。urce 根据本地策略决定是否建立。一般来说若用户终端 STA1发送给同一交换设备 下其他直连用户终端 STA2的数据量比较大， 则需建立站间密钥； 若只是筒单 的数据包信息， 则不需建立站间密钥。 单播密钥、 交换密钥及站间密钥可通过 预分发或某种安全机制建立， 其建立的具体方法本发明不予限制和定义。
2 ) 交换路由探寻； 即节点之间根据所述共享密钥交换路由探寻， 得到节 点之间的交换路由信息， 具体包括：
从发送源节点 Ns。urce到目的节点 NDestmatl。n的节点间交换路由信息定义为一 个标识四元组：
[IDsource, IDsW-first, IDsw—last, IDoestination]
其中：
IDsource: 表示发送源节点 NS。urce的标识， 其中发送源节点 NS。urce可以是用 户终端， 也可以是交换设备；
IDsW-first! 表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的 第一个交换设备 SW-first的标识；
IDsw-iast:表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的最 后一个交换设备 SW-last的标识；
IDoestination： 表示目的节点 N Destination的标识， 其中目的节点 NDestinatl。n可以是 用户终端， 也可以是交换设备。
从发送源节点 NS。urce到目的节点 NDWta^交换路由信息 [IDS。urce, IDsW-first,
IDsw-iast, IDDestinatl。n]对应的网络结构如图 2 所示。 其中接收到从发送源节点
NS。urce到目的节点 NDestmato^^数据包但却未出现在交换路由信息标识四元组中 的交换设备， 称之为中间交换设备。 从发送源节点 NS。urce到目的节点 N Destination 的数据在传输过程中可能不会通过中间交换设备，也可能通过多个中间交换设 备。
在网络中， 当需要知晓从节点 Ns。urce到节点 N Destination的交换路由信息时， 需发起交换路由探寻过程。如图 3所示， 交换路由探寻包括交换路由探寻分组 和交换路由响应分组。 交换路由探寻过程具体描述如图 4所示。
2. 1 )发送源节点 Ns。urce发送交换路由探寻分组给目的节点 NDestinatl。n;
发送源节点 Ns。urce构造交换路由探寻分组发送给目的节点 NDestmatl。n;该分 组中主要包含标识四元组
[IDsource, IDsW-first, IDsw—last, IDoestination]
其中：
IDsource: 表示发送源节点 NS。urce的标识；
IDsW-first! 表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的 第一个交换设备 SW-first的标识，若发送源节点 Ns。urce为交换设备，则 IDSW St 就是 IDs。urce; 若发送源节点 Ns。urce为终端用户， 则 IDsw_flK >fc是发送源节点
Nsource直连交换设备的标识；
IDsw-iast:表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的最 后一个交换设备 SW-last的标识；在交换路由探寻分组中，该字段是未知的（图 4中用问号 （'？ ，）表示）；
IDoestination： 表示目的节点 NDestinati。n的标识；
2.2 ) 目的节点 1¾^^1∞发送交换路由响应分组给发送源节点 Ns。urce; 目的节点 NDestmatl。n收到来自发送源节点 Ns。urce发送的交换路由探寻分组 后， 进行如下处理：
2.2.1 )判断从发送源节点 Ns。urce发来的数据包经过的最后一个交换设备 SW-last的信息： 若目的节点 NDestinatl。n为交换设备， 则 IDsw4ast就是 ID Destination， 若目的节点 NDestinatl。n为终端用户， 则 IDsw_last就是终端用户直连交换设备的标 识；
2.2.2 ) 记录下标识四元组 [IDs。urce, IDsw-first, IDsw4ast, IDDestinatlon] , 其中 IDs。urce、 ^^^及 ^^^同接收到的交换路由探寻分组中各字段的值， 此 时四元组的所有字段值都已明确；
2.2.3 )构造交换路由响应分组发送给发送源节点 Ns。urce, 该分组主要包含 已明确所有字段值的标识四元组 [IDS。urce, IDsw-first, IDswiast, ID DestinationJ。
2.3 )各节点接收交换路由响应分组；
2.3.1 )交换设备收到交换路由响应分组后， 若自己的标识在该分组中的标 识四元组中， 则记录下标识四元组 [IDS。urce, IDsw-first, IDswiast, IDDestmatl。n] , 再转 发； 若自己的标识不在该分组中的标识四元组中则直接转发该分组；
2.3.2 )发送源节点 Ns。urce收到交换路由响应分组后， 记录下标识四元组
[IDsource, IDSW-first, IDSW-last, IDDestination]， 完成此次交换路由探寻过程。
整个网络中只有发送源节点 Ns。urce、 第一个交换设备 SW-first、 最后一个 交换设备 SW-last以及目的节点 NDestinatl。n需要记录下从发送源节点 Ns。urce到目 的 NDestinatl。n的交换路由信息。若发送源节点 Ns。urce是交换设备， 则从发送源节 点 Ns。urce到目的节点 NDestinatl。n的数据包经过的第一个交换设备 SW-first就是它 本身， 即 SW-first就是 Ns。urce; 若目的节点 N Destination是交换设备， 则从发送源 节点 Ns。urce到目的节点 NDestinatl。n的数据包经过的最后一个交换设备 SW-last就 是 NDestination ' 即 SW-laSt就是 NDestination。
3 )数据通信类型分类； 即节点之间根据所述交换路由信息判断节点之间 的数据通信类型， 具体包括：
从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据保密通信根据节点 Ns。urce 与 1¾^11∞之间的物理连接关系及它们本身的节点类型可划分为如下 7种类 型： Typel : 交换设备到交换设备的通信；
例如： 图 1中的 SW-A到 SW-E、 SW-D到 SW-B的数据通信；
Type2: 交换设备到直连用户终端的通信；
例如： 图 1中的 SW-E到 STA1、 SW-G到 STA9的数据通信；
Type3: 交换设备到不直连用户终端的通信；
例如： 图 1中的 SW-A到 STA1、 SW-D到 STA6的数据通信；
Type4: 用户终端到直连交换设备的通信；
例如： 图 1中的 STA2到 SW-E、 STA5到 SW-F的数据通信；
Type5: 用户终端到不直连交换设备的通信；
例如： 图 1中的 STA2到 SW-F、 STA5到 SW-B的数据通信；
Type6: 用户终端到同一交换设备下其他直连用户终端的通信；
例如： 图 1中的 STA2到 STA3、 STA5到 STA6的数据通信；
Type7: 用户终端到不同交换设备下直连的用户终端的通信；
例如： 图 1中的 STA2到 STA6、 STA5到 STA9的数据通信；
从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据通信类型是根据得到的交 换路由四元组信息 [IDS。urce, IDsW-first, IDsw-iast, IDDestmatl。n]进行判断的， 具体的判 断流程如图 5所示。 流程描述如下：
3.1 )判断 IDsw^st= IDs。urce是否成立， 若成立， 则发送源节点 Ns。urce是交换 设备， 执行步骤 3.2 ); 否则， 发送源节点 Ns。urce是用户终端， 执行步骤 3.4 );
3.2 )判断 IDsw4ast= IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通信是交换设备到交 换设备的通信， 属于类型 Typel ; 否则， 目的节点 NDestinatl。n是用户终端， 执行 步骤 3.3 );
3.3 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据通信是交换设备到直连用户终端的通信， 属于类型 Type2; 否 则， 从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据经过两个以上的交换设备， 从发送源节点 NS。urce到目的节点 N^^to^ 数据通信是交换设备到不直连用户 终端的通信， 属于类型 Type3; 3.4 )判断 IDsw4ast=IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 执行步骤 3.5 ); 否则， 目的节点 NDestinatl。n是用户终端， 执行步骤 3.6 );
3.5 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据通信是用户终端到直连交换设备的通信， 属于类型 Type4; 否 则， 从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据经过两个以上的交换设备， 从发送源节点 NS。urce到目的节点 N^^to^ 数据通信是用户终端到不直连交换 设备的通信， 属于类型 Type5;
3.6 )判断 IDsw4ast=IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点
NDe^ata^数据通信是用户终端到同一交换设备下其他直连用户终端的通信， 属于类型 Type6; 否则， 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据经过两 个以上的交换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通信是用 户终端到不同交换设备下直连的用户终端的通信， 属于类型 Type7。
4 )节点间保密通信； 即根据节点之间不同的数据通信类型采用不同的保 密通信策略进行节点间保密通信， 具体包括：
从发送源节点 Ns。urce到目的节点 NDestmatl。n的节点间数据通信，根据数据通 信类型的不同，通信过程中所采用的保密通信策略也将有所不同， 具体每种通 信类型所采用的保密通信策略描述如下：
4.1 ) Typel: 交换设备到交换设备的通信
网络中交换设备两两之间都有交换密钥（交换密钥的建立过程本发明不予 定义和限制）， 类型为 Typel的数据通信采用的保密通信策略如下：
4.1.1 )发送源节点 Ns。urce (此时为交换设备， 发送源节点 Ns。urce同时是第 一个交换设备 SW-first )使用与目的节点 NDestinatl。n (此时为交换设备， 目的节 点 NDestinatlon同时是最后一个交换设备 SW-last )之间的交换密钥加密数据包；
4.1.2 )若存在中间交换设备， 则中间交换设备收到类型为 Typel的通信数 据包， 直接转发。
4.1.3 )目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的交换密钥解密数 据包； 交换设备到交换设备的通信包含交换设备到相邻交换设备的通信（如图 6-a中交换设备 SW-B到交换设备 SW-E的通信）、交换设备到不相邻交换设备 的通信（如图 6-b中交换设备 SW-B到交换设备 SW-G的通信）。 图 6-a中直接 使用交换密钥 SWkeyB 来加密解密数据包； 图 6-b 中直接使用交换密钥 SWkeyB 来加密解密数据包， 中间交换设备（如交换设备 SW- A、 SW-D ) 直 接转发即可。
4.2 ) Type2: 交换设备到直连用户终端的通信
网络中交换设备与直连用户终端之间有单播密钥（单播密钥的建立过程本 发明不予定义和限制）， 类型为 Type2的数据通信采用的保密通信策略如下： 4.2.1 )发送源节点 Ns。urce (此时为交换设备， 发送源节点 Ns。urce同时是第 一个交换设备 SW-first,最后一个交换设备 SW-last ) )使用与目的节点 NDestinatl。n (此时为用户终端）之间的单播密钥加密数据包；
4.2.2 )目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
如图 7所示， 交换设备 SW-E到用户终端 STA3的通信属于 Type2, 交换 设备 SW-E作为发送源节点使用单播密钥 USK^E加密数据包， 用户终端 STA3 作为目的节点使用单播密钥 USK^E解密数据包。
4.3 ) Type3: 交换设备到不直连用户终端的通信
网络中交换设备与直连用户终端之间有单播密钥、交换设备之间有交换密 钥， 类型为 Type3的数据通信采用的保密通信策略如下：
4.3.1 )发送源节点 Ns。urce (此时为交换设备， 发送源节点 Ns。urce同时是第 一个交换设备 SW-first )使用与最后一个交换设备 SW-last之间的交换密钥加 密数据包；
4.3.2 )若存在中间交换设备， 则中间交换设备直接转发类型为 Type3的数 据包；
4.3.3 )最后一个交换设备 SW-last使用与发送源节点 Ns。urce的交换密钥解 密数据包， 然后使用与目的节点 NDestinatl。n (此时为用户终端 )之间的单播密钥 加密数据包， 然后转发；
4.3.4 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密 钥解密数据包。
如图 8所示， 交换设备 SW-A到用户终端 STA3的通信属于 Type3 , SW-E 是最后一个交换设备。交换设备 SW-A作为发送源节点使用与 SW-E之间的交 换密钥 SWkeyA 加密数据包； 交换设备 SW-B属于中间交换设备直接转发数 据包； 交换设备 SW-E作为最后一个交换设备使用交换密钥 SWkeyA 解密数 据包， 然后用与用户终端 STA3之间的单播密钥 USK E加密数据包， 再转发； 用户终端 STA3作为目的节点使用单播密钥 USK3_E解密数据包；
4.4 ) Type4: 用户终端到直连交换设备的通信
网络中用户终端与直连交换设备之间有单播密钥，类型为 Type4的数据通 信采用的保密通信策略如下：
4.4.1 )发送源节点 Ns。urce (此时为用户终端）使用与目的节点 NDestinatl。n (此 时为交换设备， 目的节点 NDestinatl。n同时是第一个交换设备 SW-first, 最后一个 交换设备 SW-last )之间的单播密钥加密数据包；
4.4.2 ) 目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
如图 9所示， 用户终端 STA3到交换设备 SW-E的通信属于 Type4 , 用户 终端 STA3作为发送源节点使用单播密钥 USK^E加密数据包； 交换设备 SW-E 作为目的节点使用单播密钥 USK^E解密数据包。 类型 Type4 的通信和类型 Type2的通信只是方向不同， 都是使用发送源节点与目的节点之间的单播密钥 来加密解密数据包。
4.5 ) Type5: 用户终端到不直连交换设备的通信
网络中用户终端与直连交换设备之间有单播密钥、交换设备之间有交换密 钥， 类型为 Type5的数据通信采用的保密通信策略如下：
4.5.1 ) 发送源节点 Ns。urce (此时为用户终端） 使用与第一个交换设备 SW-first之间的单播密钥加密数据包；
4.5.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包， 然后使用与目的节点 NDestinatl。n (此时为交换设备， 目的节点 NDestinatlon同时是最后一个交换设备 SW-last )之间的交换密钥加密数据包， 然 后转发； 4.5.3 )若存在中间交换设备， 则中间交换设备直接转发类型为 Type5的数 据包；
4.5.4 )目的节点 NDestinatl。n使用与第一个交换设备 SW-first之间的交换密钥 解密数据包。
如图 10所示，用户终端 STA3到交换设备 SW-A的通信属于 Type5 , SW-E 是第一个交换设备。 用户终端 STA3作为发送源节点使用单播密钥 USK^E加 密数据包； 交换设备 SW-E作为第一个交换设备使用单播密钥 USK^E解密数 据包， 然后用与目的节点 SW-A之间的交换密钥 SWkey^E加密数据包， 再转 发； 交换设备 SW-A作为目的节点使用与 SW-E之间的交换密钥 SWkey^E解 密数据包。 类型 Type5的通信和类型 Type3的通信只是方向不同， 过程相反， 中间使用的密钥都是一样的。
3.2.6 ) Type6: 用户终端到同一交换设备下其他直连用户终端的通信 网络中用户终端与直连交换设备之间有单播密钥、同一交换设备下直连的 用户终端之间根据本地决策可选择建立站间密钥（站间密钥的建立过程本发明 不予定义和限制）。 类型为 Type6的数据通信根据是否已建立站间密钥， 所采 用的保密通信有所不同。
4.6.1 )对已经建立站间密钥、类型为 Type6的数据通信采用的保密通信策 略如下：
4.6.1.1 )发送源节点 Ns。urce使用与目的节点 NDestinatl。n (此时为用户终端 ) 之间的站间密钥加密数据包；
4.6.1.2 )第一个交换设备 SW-first (此时， 第一个交换设备 SW-first同时 是最后一个交换设备）对于类型 Type6的数据包， 直接转发；
4.6.1.3 )目的节点 NDestinatl。n使用与发送源节点 Ns。urce之间的站间密钥解密 数据包。
4.6.2 )对没有建立站间密钥、 类型为 Type6所采用的保密通信如下：
4.6.2.1 )发送源节点 Ns。urce使用与直连交换设备之间的单播密钥加密数据 包；
4.6.2.2 )第一个交换设备 SW-first (此时， 第一个交换设备 SW-first同时 是最后一个交换设备）使用与发送源节点 Ns。urce之间的单播密钥解密数据包， 再使用与目的节点 NDestinatl。n之间的单播密钥加密数据包， 再转发；
4.6.2.3 )目的节点 NDestinatl。n使用与直连交换设备之间的单播密钥解密数据 包。
如图 ll-a、 11-b所示， 用户终端 STA1到 STA3之间的数据通信属于类型 Type6。
图 11-a是已建立了站间密钥的通信图示，用户终端 STA1作为发送源节点 使用与 STA3之间的站间密钥 STAkeyw加密数据包； 交换设备 SW-E直接转 发数据包； 用户终端 STA3 作为目的节点使用与 STA1 之间的站间密钥 STAkeyw解密数据包。
图 11-b是没有建立站间密钥的通信图示，用户终端 STA1作为发送源节点 使用交换设备 SW-E之间的单播密钥 USK1-E加密数据包； 交换设备 SW-E使 用单播密钥 USK^解密数据包，然后用单播密钥 USK^E加密数据包，再转发； 用户终端 STA3作为目的节点使用单播密钥 USK3_E解密数据包。
4.7 ) Type7: 用户终端到不同交换设备下直连的用户终端的通信
网络中用户终端与直连交换设备之间有单播密钥，交换设备之间有交换密 钥， 类型为 Type7的数据通信采用的保密通信策略如下：
4.7.1 ) 发送源节点 Ns。urce (此时为用户终端） 使用与第一个交换设备 SW-first之间的单播密钥加密数据包；
4.7.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包， 然后使用与最后一个交换设备 SW-last之间的交换密钥加密数据 包， 再转发；
4.7.3 )若存在中间交换设备， 则中间交换设备直接转发类型为 Type7的数 据包；
4.7.4 )最后一个交换设备 SW-last使用与第一个交换设备 SW-first之间的 交换密钥解密数据包， 然后使用与目的节点 NDestinatl。n (此时为用户终端）之间 的单播密钥加密数据包， 再转发；
4.7.5 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密 钥解密数据包。
如图 12所示，用户终端 STA3到 STA9的通信属于类型 Type7。类型 Type7 的数据通信可以分三段，发送源节点到第一个交换设备、 第一个交换设备到最 后一个交换设备、 最后一个交换设备到目的节点。 图 12 中， 用户终端 STA3 作为发送源节点使用与交换设备 SW-E之间的单播密钥 USK E加密数据包； 交换设备 SW-E 作为第一个交换设备使用与发送源节点之间的单播密钥 USK^E解密数据包， 再使用与最后一个交换设备 SW-G 之间的交换密钥 SWkeyE 加密数据包， 再转发； 交换设备 SW-D、 SW-A、 SW-D作为中间交 换设备直接转发数据包；交换设备 SW-G作为最后一个交换设备使用与第一个 交换设备 SW-E之间的交换密钥 SWkeyE 解密数据包， 再使用与目的节点之 间的单播密钥 USK9 加密数据包， 再转发； 用户终端 STA9作为目的节点使 用与最后一个交换设备 SW-G之间的单播密钥 USK9 解密数据包。
本发明的节点间保密通信系统包括： 发送源节点 Ns。urce、 第一个交换设备 SW-first, 第二交换设备 SW-last (即最后一个交换设备 SW-last ) 和目的节点
^Destination , 中 ,
发送源节点 Ns。urce, 用于向目的节点 NDestmatl。n发送交换路由探寻分组及加 密数据包， 接收目的节点 NDestinatl。n 送的交换路由探寻响应分组并记录下从发 送源节点 NS。urce到目的节点 N^toto^交换路由信息 [IDS。urce, IDsW-first, IDSW-last,
IDDestmatlon] ; 第一个交换设备 SW-first, 用于转发从发送源节点 Ns。urce到目的节 点 NDestinatl。n的数据包，并记录下从发送源节点 Ns。urce到目的节点 NDestinatl。n的交换 路由信息 [IDS。urce, IDsW-first, IDsw-iast, ID Destination」， 第二交换设备 SW-last, 用于转 发从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据包， 并记录下从发送源节点
Nsource到 目 的节点 NDestinati。n的交换路由信息 [IDS。urce, IDSW-first, IDSW-last,
IDDestmatlon]; 目的节点 NDestinatl。n, 用于接收发送源节点 Ns。urce发送的交换路由探 寻分组及加密数据包， 向发送源节点 Ns。urce发送交换路由探寻响应分组并记录 下从发送源节点 NS。urce到目的节点 NDWta^交换路由信息 [IDS。urce, IDsW-first, IDsw-iast, IDDestmatlon] 0 其中， 所述从发送源节点 Ns。urce到目的节点 NDestinatl。n的交 换路由信息包括 IDs。urce、 IDsw-first ^ IDsw4ast以及 ID Destination °
优选的， 所述系统还可以包括： 中间交换设备， 用于直接透传从发送源节 点 Ns。urce到目的节点 ^^^的所有数据包。
本发明中提供的节点间保密通信的方法会根据节点间不同的通信情况进 行分类， 选择合适的保密通信策略。 相对于逐跳加密， 减少了交换设备的计算 负担， 缩短了数据包的传输延时； 相对于为所有节点之间两两建立站间密钥来 保护通信机密性的方法， 减少了密钥的数目， 筒化了密钥管理。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通 技术人员来说， 在不脱离本发明原理的前提下， 还可以作出若干改进和润饰， 这些改进和润饰也应视为本发明的保护范围。

Claims

权 利 要 求
1、 一种有线局域网节点间保密通信方法， 其特征在于： 包括：
1 )节点之间建立共享密钥； 所述节点之间包括用户终端与交换设备之间、 交换设备两两之间以及同一交换设备下两个直连用户终端之间；
2 )节点之间根据所述共享密钥交换路由探寻， 得到节点之间的交换路由 信息；
3 )节点之间根据所述交换路由信息判断节点之间的数据通信类型；
4 )根据节点之间不同的数据通信类型采用不同的保密通信策略进行节点 间保密通信。
2、 根据权利要求 1所述的有线局域网节点间保密通信方法， 其特征在于： 所述步骤 1 ) 的具体实现方式是：
1.1 )为相邻节点之间建立共享密钥， 称为单播密钥 USK ( Unicast Session Key );
1.2 ) 为局域网交换设备两两之间建立共享密钥， 称为交换密钥 SWkey ( SWitch key );
1.3 )根据本地策略选择， 为同一交换设备下两个直连用户终端之间建立 共享密钥， 称为站间密钥 STAkey ( STAtion key )。
3、 根据权利要求 1所述的有线局域网节点间保密通信方法， 其特征在于： 从发送源节点 Ns。urce到目的节点 NDestmatl。n的节点间交换路由信息定义为一 个标识四元组； 接收到从发送源节点 Ns。urce到目的节点 NDestinatl。n的数据包但却 未出现在交换路由信息标识四元组中的交换设备， 称之为中间交换设备； 所述 步骤 2 ) 的具体实现方式是：
2.1 )发送源节点 Ns。urce发送交换路由探寻分组给目的节点 NDestinatl。n;该分 组中主要包含标识四元组， 所述标识四元组包括 IDs。urce、 IDsw-first ^ IDsw4ast以 IDoestination，
其中：
IDsource: 表示发送源节点 NS。urce的标识；
IDsw-first: 表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的 第一个交换设备 SW-first的标识，若发送源节点 Ns。urce为交换设备，则 IDSW St 就是 IDs。urce; 若发送源节点 Ns。urce为终端用户， 则 IDsw_flK >fc是发送源节点
Nsource直连交换设备的标识；
IDsw-iast:表示从发送源节点 Ns。urce到目的节点 N Destination的数据包经过的最 后一个交换设备 SW-last的标识； 在交换路由探寻分组中， 该字段是未知的； IDDestination： 表示目的节点 N Destination的标识； 其中目的节点 NDestmatl。n是用户 终端或交换设备；
2.2 ) 目的节点 1¾^^1∞发送交换路由响应分组给发送源节点 Ns。urce;
2.3 )各节点接收交换路由响应分组。
4、 根据权利 3要求所述的有线局域网节点间保密通信方法， 其特征在于： 目的节点 NDestinatl。n收到来自发送源节点 Ns。urce发送的交换路由探寻分组后， 所 述步骤 2.2 ) 的具体实现方式是：
2.2.1 )判断从发送源节点 Ns。urce发来的数据包经过的最后一个交换设备 SW-last的信息： 若目的节点 NDestinatl。n为交换设备， 则 IDsw4ast就是 ID Destination， 若目的节点 NDestinatl。n为终端用户， 则 IDsw_last就是终端用户直连交换设备的标 识；
2.2.2 )记录下标识四元组， 其中 IDs。urce、 IDsw^st及 IDDestinatl。n同接收到的 交换路由探寻分组中各字段的值， 此时四元组的所有字段值都已明确； 所述标 识四元组包括 IDS。urce、 IDsW-first ^ IDSW4ast以及 IDoestination;
2.2.3 )构造交换路由响应分组发送给发送源节点 Ns。urce, 该分组包含已明 确所有字段值的标识四元组， 所述标识四元组包括 IDS。urce、 IDsW-first ^ IDsw-iast 以及 IDoestination。
5、 根据权利 4要求所述的有线局域网节点间保密通信方法， 其特征在于： 各节点收到来自目的节点 NDestmatl。n发送的交换路由探寻响应分组后， 所述步骤 2.3 ) 的具体实现方式是：
2.3.1 )交换设备收到交换路由响应分组后， 若自己的标识在该分组中的标 识四元组中， 则记录下标识四元组再转发； 若自己的标识不在该分组中的标识 四元组中则直接转发该分组； 所述标识四元组包括 IDS。urce、 IDsW-first ^ IDsw-iast 以及 IDoestination;
2.3.2 )发送源节点 NS。urce收到交换路由响应分组后， 记录下标识四元组， 完成此次交换路由探寻过程， 所述标识四元组包括 IDS。urce、
Figure imgf000025_0001
IDswiast 以及 IDoestination。
6、 根据权利要求 5所述的有线局域网节点间保密通信方法， 其特征在于： 所述步骤 3 ) 的具体实现方式是：
从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据通信类型是根据得到的交 换路由四元组信息进行判断的，所述四元组信息包括 IDS。urce、
Figure imgf000025_0002
IDswiast 以及 IDDestinatl。n, 其具体的判断方式是：
3.1 )判断 IDsw^st= IDs。urce是否成立， 若成立， 则发送源节点 Ns。urce是交换 设备， 执行步骤 3.2 ); 否则， 发送源节点 Ns。urce是用户终端， 执行步骤 3.4 );
3.2 )判断 IDsw4ast= IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通信是交换设备到交 换设备的通信，属于交换设备到交换设备的通信类型；否则， 目的节点 NDestinatl。n 是用户终端， 执行步骤 3.3 );
3.3 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点
NDestmatl。n的数据通信是交换设备到直连用户终端的通信， 属于交换设备到直连 用户终端的通信类型； 否则， 从发送源节点 Ns。urce到目的节点 NDestmatl。n的数据 经过两个以上的交换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通 信是交换设备到不直连用户终端的通信，属于交换设备到不直连用户终端的通 信类型；
3.4 )判断 IDsw4ast=IDDestinatl。n是否成立， 若成立， 则目的节点 NDestinatl。n是交 换设备， 执行步骤 3.5 ); 否则， 目的节点 NDestinatl。n是用户终端， 执行步骤 3.6 );
3.5 )判断 IDsw4ast= IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 1¾^^1∞的数据通信是用户终端到直连交换设备的通信， 属于用户终端到直连 交换设备的通信类型； 否则， 从发送源节点 Ns。urce到目的节点 N Destination的数据 经过两个以上的交换设备， 从发送源节点 Ns。urce到目的节点 N Destination的数据通 信是用户终端到不直连交换设备的通信，属于用户终端到不直连交换设备的通 信类型；
3.6 )判断 IDsw4ast=IDsw^st是否成立， 若成立， 则从发送源节点 Ns。urce到目 的节点 NDestmatl。 々数据只经过一个交换设备， 从发送源节点 Ns。urce到目的节点 NDe^ata^数据通信是用户终端到同一交换设备下其他直连用户终端的通信， 属于用户终端到同一交换设备下其他直连用户终端的通信类型； 否则，从发送 源节点 Ns。urce到目的节点 NDestinatl。n的数据经过两个以上的交换设备， 从发送源 节点 Ns。urce到目的节点 NDestmatl。n的数据通信是用户终端到不同交换设备下直连 的用户终端的通信， 属于用户终端到不同交换设备下直连用户终端的通信类 型。
7、 根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是交换设备到交换设备的数据通信类型时，其节点间保密通信 策略的具体实现方式是：
4.1.1 )发送源节点 Ns。urce使用与目的节点 1¾^^1∞之间的交换密钥加密数 据包； 所述发送源节点 Ns。urce是交换设备或第一个交换设备 SW-first; 所述目 的节点 NDestinatl。n是交换设备或是最后一个交换设备 SW-last;
4.1.2 )若存在中间交换设备， 则中间交换设备收到类型为交换设备到交换 设备的通信数据包， 直接转发；
4.1.3 )目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的交换密钥解密数 据包。
8、 根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是交换设备到直连用户终端的通信时，其节点间保密通信策略 的具体实现方式是：
4.2.1 )发送源节点 Ns。urce使用与目的节点 NDestmatl。n之间的单播密钥加密数 据包； 所述发送源节点 Ns。urce是交换设备、 第一个交换设备 SW-first或是最后 一个交换设备 SW-last; 所述节点 NDestinatl。n是用户终端；
4.2.2 ) 目的节点 NDestinatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
9、 根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是交换设备到不直连用户终端的数据通信类型时，其节点间保 密通信策略的具体实现方式是：
4.3.1 )发送源节点 Ns。urce使用与最后一个交换设备 SW-last之间的交换密 钥加密数据包； 所述发送源节点 Ns。urce是交换设备或是第一个交换设备 SW-first;
4.3.2 )若存在中间交换设备， 则中间交换设备直接转发类型为交换设备到 不直连用户终端的通信的数据包；
4.3.3 )最后一个交换设备 SW-last使用与发送源节点 Ns。urce的交换密钥解 密数据包，然后使用与目的节点 NDestinatl。n之间的单播密钥加密数据包， 然后转 发； 所述目的节点 NDestmatl。n是用户终端；
4.3.4 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密钥 解密数据包。
10、根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是用户终端到直连交换设备的数据通信类型时，其节点间保密 通信策略的具体实现方式是：
4.4.1 )发送源节点 Ns。urce使用与目的节点 NDestmatl。n之间的单播密钥加密数 据包；所述发送源节点 Ns。urce是用户终端，所述目的节点 NDestinatl。n是交换设备、 第一个交换设备 SW-first或是最后一个交换设备 SW-last;
4.4.2 ) 目的节点 NDestmatl。n使用与发送源节点 Ns。urce之间的单播密钥解密数 据包。
11、根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是用户终端到不直连交换设备的数据通信类型时，其节点间保 密通信策略的具体实现方式是：
4.5.1 )发送源节点 Ns。urce使用与第一个交换设备 SW-first之间的单播密钥 加密数据包； 所述发送源节点 Ns。urce是用户终端；
4.5.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包，然后使用与目的节点 NDestinatl。n之间的交换密钥加密数据包， 然后 转发； 所述目的节点 NDestmatl。n是交换设备或是最后一个交换设备 SW-last;
4.5.3 )若存在中间交换设备， 则中间交换设备直接转发类型为用户终端到 不直连交换设备的通信的数据包；
4.5.4 )目的节点 NDestinatl。n使用与第一个交换设备 SW-first之间的交换密钥解 密数据包。
12、根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是用户终端到同一交换设备下其他直连用户终端的数据通信 类型时， 其节点间保密通信策略的具体实现方式是：
4.6.1 )对已经建立站间密钥、类型为用户终端到同一交换设备下其他直连 用户终端的通信采用的保密通信策略如下：
4.6.1.1 )发送源节点 Ns。urce使用与目的节点 NDestinatl。n之间的站间密钥加密 数据包； 所述目的节点 NDestmatl。n是用户终端；
4.6.1.2 )第一个交换设备 SW-first所有交换设备对于类型用户终端到同一 交换设备下其他直连用户终端的通信的数据包， 直接转发； 所述第一个交换设 备 SW-first同时是最后一个交换设备 SW-last;
4.6.1.3 )目的节点 NDestinatl。n使用与发送源节点 Ns。urce之间的站间密钥解密 数据包；
4.6.2 )对没有建立站间密钥、类型为用户终端到同一交换设备下其他直连 用户终端的通信所采用的保密通信如下：
4.6.2.1 )发送源节点 Ns。urce使用与直连交换设备之间的单播密钥加密数据 包；
4.6.2.2 )第一个交换设备 SW-first交换设备使用与发送源节点 Ns。urce之间 的单播密钥解密数据包，再使用与目的节点 NDestinatl。n之间的单播密钥加密数据 包， 再转发； 所述第一个交换设备 SW-first同时是最后一个交换设备 SW-last;
4.6.2.3 ) 目的节点 NDestinatl。n使用与直连交换设备之间的单播密钥解密数据 包。
13、根据权利要求 6所述的有线局域网节点间保密通信方法， 其特征在于： 当数据通信类型是用户终端到不同交换设备下直连用户终端的数据通信类型 时， 其节点间保密通信策略的具体实现方式是：
4.7.1 )发送源节点 Ns。urce使用与第一个交换设备 SW-first之间的单播密钥 加密数据包； 所述发送源节点 Ns。urce是用户终端；
4.7.2 )第一个交换设备 SW-first使用与发送源节点 Ns。urce之间的单播密钥 解密数据包， 然后使用与最后一个交换设备 SW-last之间的交换密钥加密数据 包， 再转发；
4.7.3 )若存在中间交换设备， 则中间交换设备直接转发类型为用户终端到 不同交换设备下直连用户终端的通信的数据包；
4.7.4 )最后一个交换设备 SW-last使用与第一个交换设备 SW-first之间的 交换密钥解密数据包，然后使用与目的节点 NDestinatl。n之间的单播密钥加密数据 包， 再转发； 所述目的节点 NDestmatl。n是用户终端；
4.7.5 )目的节点 NDestinatl。n使用与最后一个交换设备 SW-last之间的单播密钥 解密数据包。
14、 一种有线局域网节点间保密通信系统， 其特征在于： 包括： 发送源节 点 Ns。urce、第一个交换设备 SW-first、第二交换设备 SW-last和目的节点 N Destination , 其中，
发送源节点 Ns。urce, 用于向目的节点 NDestmatl。n发送交换路由探寻分组及加 密数据包， 接收目的节点 NDestinatl。n发送的交换路由探寻响应分组， 并记录下从 发送源节点 Ns。urce到目的节点 NDestmatl。n的交换路由信息；
第一个交换设备 SW-first , 用于转发从发送源节点 Ns。urce到目的节点
NDestlnatl。n的数据包，并记录下从发送源节点 NS。urce到目的节点 Nj^tmato^交换路 由信息；
第二交换设备 SW-last, 用于转发从发送源节点 Ns。urce到目的节点 N Destination 的数据包， 并记录下从发送源节点 Ns。urce到目的节点 NDestmatl。 々交换路由信息 的；
目的节点 NDestmatl。n, 用于接收发送源节点 Ns。urce发送的交换路由探寻分组 及加密数据包， 向发送源节点 Ns。urce发送交换路由探寻响应分组并记录下从发 送源节点 Ns。urce到目的节点 NDestmatl。n的交换路由信息；
其中， 所述从发送源节点 Ns。urce到目的节点 NDestmatl。n的交换路由信息包括 IDsource ^ IDsw—first、 IDsw—last以及 IDoestination。
15、 根据权利要求 14所述的有线局域网节点间保密通信系统， 其特征在 于： 还包括：
中间交换设备， 用于直接透传从发送源节点 Ns。urce到目的节点 N Destination 的所有数据包的中间交换设备。
PCT/CN2010/073454 2009-12-18 2010-06-02 节点间保密通信方法及系统 Ceased WO2011072514A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
KR1020127018958A KR101485231B1 (ko) 2009-12-18 2010-06-02 노드 간 보안 통신 방법 및 시스템
EP10836951.3A EP2515469B1 (en) 2009-12-18 2010-06-02 Method and system for secret communication between nodes
US13/516,967 US8966257B2 (en) 2009-12-18 2010-06-02 Method and system for secret communication between nodes
JP2012543453A JP5507705B2 (ja) 2009-12-18 2010-06-02 ノード間秘密保持通信方法およびシステム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2009102195728A CN101741547B (zh) 2009-12-18 2009-12-18 节点间保密通信方法及系统
CN200910219572.8 2009-12-18

Publications (1)

Publication Number Publication Date
WO2011072514A1 true WO2011072514A1 (zh) 2011-06-23

Family

ID=42464488

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/073454 Ceased WO2011072514A1 (zh) 2009-12-18 2010-06-02 节点间保密通信方法及系统

Country Status (6)

Country Link
US (1) US8966257B2 (zh)
EP (1) EP2515469B1 (zh)
JP (1) JP5507705B2 (zh)
KR (1) KR101485231B1 (zh)
CN (1) CN101741547B (zh)
WO (1) WO2011072514A1 (zh)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101854244B (zh) * 2010-06-07 2012-03-07 西安西电捷通无线网络通信股份有限公司 一种三段式安全网络架构建立和保密通信方法及其系统
CN101917272B (zh) 2010-08-12 2012-07-18 西安西电捷通无线网络通信股份有限公司 一种邻居用户终端间保密通信方法及系统
KR101883437B1 (ko) * 2012-03-07 2018-07-31 구글 테크놀로지 홀딩스 엘엘씨 요구되는 노드 경로들 및 암호 서명들을 이용한 보안 패킷 전송을 위한 정책
US10075471B2 (en) 2012-06-07 2018-09-11 Amazon Technologies, Inc. Data loss prevention techniques
US10084818B1 (en) 2012-06-07 2018-09-25 Amazon Technologies, Inc. Flexibly configurable data modification services
US9286491B2 (en) 2012-06-07 2016-03-15 Amazon Technologies, Inc. Virtual service provider zones
US9590959B2 (en) 2013-02-12 2017-03-07 Amazon Technologies, Inc. Data security service
US10211977B1 (en) 2013-02-12 2019-02-19 Amazon Technologies, Inc. Secure management of information using a security module
US9367697B1 (en) 2013-02-12 2016-06-14 Amazon Technologies, Inc. Data security with a security module
US10467422B1 (en) 2013-02-12 2019-11-05 Amazon Technologies, Inc. Automatic key rotation
US9705674B2 (en) 2013-02-12 2017-07-11 Amazon Technologies, Inc. Federated key management
US10210341B2 (en) 2013-02-12 2019-02-19 Amazon Technologies, Inc. Delayed data access
US9300464B1 (en) 2013-02-12 2016-03-29 Amazon Technologies, Inc. Probabilistic key rotation
US9608813B1 (en) 2013-06-13 2017-03-28 Amazon Technologies, Inc. Key rotation techniques
US9397835B1 (en) 2014-05-21 2016-07-19 Amazon Technologies, Inc. Web of trust management in a distributed system
US9438421B1 (en) 2014-06-27 2016-09-06 Amazon Technologies, Inc. Supporting a fixed transaction rate with a variably-backed logical cryptographic key
US9866392B1 (en) 2014-09-15 2018-01-09 Amazon Technologies, Inc. Distributed system web of trust provisioning
CN105553951B (zh) * 2015-12-08 2019-11-08 腾讯科技（深圳）有限公司 数据传输方法和装置
CN105979570B (zh) * 2016-06-30 2019-02-15 中国传媒大学 一种基于wlan的多跳桥接自动建链的方法
CN107231211A (zh) * 2017-05-22 2017-10-03 四川长虹电器股份有限公司 应用于wdm业务疏导网络中的加密动态恢复方法
CN113542197B (zh) * 2020-04-17 2026-04-17 西安西电捷通无线网络通信股份有限公司 一种节点间保密通信方法及网络节点
KR102202902B1 (ko) * 2020-09-02 2021-01-15 (주)티에이치엔 차량용 통신 제어 장치의 보안 방법 및 그 장치

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101068206A (zh) * 2006-05-05 2007-11-07 美国博通公司 分组交换机、网络节点、分组交换架构及数据包路由方法
CN101155024A (zh) * 2006-09-29 2008-04-02 湖南大学 分簇结构传感器网络的有效密钥管理方法及其运行方法
CN101594271A (zh) * 2008-05-27 2009-12-02 华为技术有限公司 无线自组织网络组建和工作方法以及相关网络和设备

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11239176A (ja) * 1998-02-20 1999-08-31 Nippon Telegr & Teleph Corp <Ntt> アドホックネットワークのパケットルーティング方法
JP3597511B2 (ja) * 2002-02-22 2004-12-08 エヌ・ティ・ティ・コムウェア株式会社 無線装置およびその通信経路制御方法、コンピュータプログラム
GB0220660D0 (en) * 2002-09-05 2002-10-16 Nokia Corp Signal propogation delay routing
EP1475926B1 (en) * 2003-05-05 2009-04-22 Samsung Electronics Co., Ltd. Routing system for establishing optimal route in wireless personal area network (WPAN) and method thereof
JP2005236674A (ja) * 2004-02-19 2005-09-02 Matsushita Electric Ind Co Ltd 無線端末装置、無線通信システム、及び、パケットルーティング方法
CN1599357A (zh) * 2004-07-26 2005-03-23 南京邮电学院 自组网环境下协同能量保护和服务质量保证的模糊选路方法
JP4735157B2 (ja) * 2005-09-22 2011-07-27 ソニー株式会社 無線通信システム、無線通信装置及び無線通信方法、並びにコンピュータ・プログラム
CN101438256B (zh) * 2006-03-07 2011-12-21 索尼株式会社 信息处理设备、信息通信系统、信息处理方法
EP1843542A1 (en) * 2006-04-04 2007-10-10 Alcatel Lucent Method for transferring messages comprising extensible markup language information
JP4948054B2 (ja) * 2006-06-16 2012-06-06 三菱電機株式会社 管理装置及び通信端末装置及び通信システム及び通信管理方法
CN101141241B (zh) * 2006-09-06 2010-08-18 华为技术有限公司 实现mac安全的方法以及网络设备
JP2008104040A (ja) * 2006-10-20 2008-05-01 Fujitsu Ltd 共通鍵生成装置および共通鍵生成方法
JP2008154103A (ja) * 2006-12-19 2008-07-03 Ricoh Co Ltd 通信中継装置
JP4081724B1 (ja) * 2006-12-27 2008-04-30 日本電気株式会社 クライアント端末、中継サーバ、通信システム、及び通信方法
JP2008259148A (ja) * 2007-03-30 2008-10-23 Shimousa Systems:Kk 中継器の負荷を最小限に抑えた高強度暗号通信方式
CN100594691C (zh) * 2007-10-09 2010-03-17 华中科技大学 Manet网络的数据传递加密方法
US10264029B2 (en) * 2009-10-30 2019-04-16 Time Warner Cable Enterprises Llc Methods and apparatus for packetized content delivery over a content delivery network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101068206A (zh) * 2006-05-05 2007-11-07 美国博通公司 分组交换机、网络节点、分组交换架构及数据包路由方法
CN101155024A (zh) * 2006-09-29 2008-04-02 湖南大学 分簇结构传感器网络的有效密钥管理方法及其运行方法
CN101594271A (zh) * 2008-05-27 2009-12-02 华为技术有限公司 无线自组织网络组建和工作方法以及相关网络和设备

Also Published As

Publication number Publication date
EP2515469A4 (en) 2017-08-02
JP2013514682A (ja) 2013-04-25
KR101485231B1 (ko) 2015-01-28
CN101741547A (zh) 2010-06-16
US20120278623A1 (en) 2012-11-01
KR20120106830A (ko) 2012-09-26
EP2515469B1 (en) 2018-08-08
CN101741547B (zh) 2012-05-23
US8966257B2 (en) 2015-02-24
EP2515469A1 (en) 2012-10-24
JP5507705B2 (ja) 2014-05-28

Similar Documents

Publication Publication Date Title
WO2011072514A1 (zh) 节点间保密通信方法及系统
US8386772B2 (en) Method for generating SAK, method for realizing MAC security, and network device
JP5607749B2 (ja) ユーザ端末間の安全な接続の構築方法及びシステム
WO2009021428A1 (en) Secure protection device and method for message transfer
JP5785346B1 (ja) リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法
WO2012083652A1 (zh) 一种具有链路层加解密能力的终端设备及其数据处理方法
WO2011153830A1 (zh) 安全网络架构建立方法、保密通信方法及系统
WO2012019466A1 (zh) 邻居用户终端间保密通信方法、终端、交换设备及系统
CN101572644B (zh) 一种数据封装方法和设备
CN101299665A (zh) 报文处理方法、系统及装置
CN115766172A (zh) 基于dpu和国密的报文转发方法、装置、设备及介质
KR102776245B1 (ko) 노드간 프라이버시 통신 방법 및 네트워크 노드
WO2011072513A1 (zh) 交换设备间安全连接的建立方法及系统
JPH06318939A (ja) 暗号通信システム
CN116015943A (zh) 一种基于多级隧道混淆的隐私保护方法
WO2011153832A1 (zh) 一种交换路由探寻方法、系统及设备
WO2011143945A1 (zh) 一种端到端共享密钥的建立方法、系统及装置
WO2011134293A1 (zh) 一种局域网节点间安全连接建立方法及系统
WO2011143944A1 (zh) 一种端到端通信密钥的建立方法、系统及装置
CN101917336B (zh) 数据链路层安全通信中交换路由探寻方法
CN117134933A (zh) 加密通信方法、装置、电子设备和存储介质
WO2012055171A1 (zh) 通告式安全连接建立系统、方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10836951

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13516967

Country of ref document: US

Ref document number: 2012543453

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 2010836951

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 20127018958

Country of ref document: KR

Kind code of ref document: A