一种安全参数索引冲突处理方法及组密钥服务器ks的制作方法
【技术领域】
[0001]本发明涉及通信技术领域，特别涉及一种安全参数索引冲突处理方法。本发明同时涉及一种组密钥服务器KS。
【背景技术】
[0002]GD VPN (Group Domain Virtual Private Network，组域虚拟私有网络)是一种实现密钥和安全策略集中管理的解决方案，主要用于对组播流量进行保护(例如音频、视频广播和组播文件的安全传输)。相对于传统的IPsec VPN的点到点的隧道连接，⑶VPN是一种点到多点的无隧道连接，并提供了一种新的基于组的IPsec安全模型。
[0003]⑶VPN由KS (Key Server，密钥服务器)和GM(Group Member，组成员)设备组成，KS通过不同的组来实现多个不同的安全策略和密钥的管理。如图1所示，为现有技术中的一种⑶VPN组网的结构示意图，该⑶VPN组网中的GM设备在加入之前首先需要向KS进行注册，在此过程中KS生成SA (Security Associat1n，安全联盟)策略和密钥，同时还生成与该SA策略和密钥对应的SPI (Security Parameter Index，安全参数索引)，并将SA策略、密钥及与SA策略和密钥对应的SPI下发至GM设备。其中，SA策略包括:Rekey SA策略或IPsec SA策略。GM设备根据Rekey SA策略和密钥生成Rekey SA, Rekey SA用于保护GM和KS交互的密钥更新的协议报文。GM设备根据IPsec SA策略和密钥生成IPsec SA’IPsec SA用于保护GM设备之间转发的数据报文。
[0004]GM设备接收到KS下发的SA策略、密钥及SPI后，还保存SA策略、密钥及SPI三者之间的对应关系。在后续GM设备利用Rekey SA策略、密钥及SPI三者之间的对应关系查找密钥，并利用查找到的密钥对该GM设备与KS交互过程中的协议报文进行加密或者解密；利用IPsec SA策略、密钥及SPI三者之间的对应关系找查找密钥，并利用查找到的密钥对该GM设备与其它GM设备交互过程中的数据报文进行加密或者解密
[0005]然而，发明人在实现本发明的过程中发现，由于同一个GM设备可以向不同的KS注册，这样由不同KS生成的不同密钥对应的SPI可能会出现相同的情况，因此在当GM设备中同一个SPI对应了多个不同密钥的情况下，该GM设备在需要使用密钥时可能会基于SPI获取到错误的密钥，从而无法正确接收或发送与KS交互的协议报文或者无法对与其它GM设备之间转发的数据报文进行正确的加密或者解密，给网络的稳定性带来影响。
【发明内容】
[0006]本发明提供了一种安全参数索引冲突处理方法，用以解决下发至GM设备的密钥与GM设备已有的密钥对应同一 SPI而造成互相冲突的问题，从而提高GM设备对协议报文或数据报文进行加密或解密的正确性，以提高网络的稳定性，所述方法应用于包括KS以及GM设备的⑶VPN中，该方法包括:
[0007]所述KS接收所述GM设备在确认本地存在与第一安全参数索引SPI冲突的SPI时发送的冲突通告报文，所述冲突通告报文携带所述第一 SPI，所述第一 SPI与所述KS生成的第一 SA策略及第一密钥对应；
[0008]所述KS生成与第一 SA策略及第一密钥对应的第二 SPI，所述第二 SPI与所述第一SPI不同；
[0009]所述KS向所述GM设备下发所述第一 SA策略、所述第一密钥及所述第二 SPI ;
[0010]所述KS删除本地保存的所述第一 SP1、第一 SA策略及第一密钥三者之间的对应关系，保存所述第二 SP1、第一 SA策略及第一密钥三者之间的对应关系。
[0011]相应地，本发明还提出了一种组密钥服务器KS，其特征在于，所述KS应用于包括所述KS以及组成员GM设备的域虚拟专用网络⑶VPN中，包括:
[0012]接收模块，用于接收所述GM设备在确认本地存在与第一安全参数索引SPI冲突的SPI时发送的冲突通告报文，所述冲突通告报文携带所述第一 SPI，所述第一 SPI与所述KS生成的第一 SA策略及第一密钥对应；
[0013]生成模块，用于生成与第一 SA策略及第一密钥对应的第二 SPI，所述第二 SPI与所述第一 SPI不同；
[0014]下发模块，用于向所述GM设备下发所述第一 SA策略、所述第一密钥及所述第二SPI ；
[0015]处理模块，用于删除本地保存的所述第一 SP1、第一 SA策略及第一密钥三者之间的对应关系，保存所述第二 SP1、第一 SA策略及第一密钥三者之间的对应关系。
[0016]由此可见，通过应用本发明的技术方案，KS在接收到GM设备在确认本地存在与第一SPI冲突的SPI时所发送的冲突通告报文后，所述第一 SPI对应于第一 SA策略及第一密钥，KS生成与第一 SA策略及第一密钥对应的第二 SPI，所述第二 SPI与所述第一 SPI不同，并向GM设备下发第一 SA策略、第一密钥及第二 SPI。从而解决了 KS下发至GM设备的密钥与GM设备已有的密钥对应同一 SPI而造成互相冲突的问题，从而提高GM设备对协议报文或数据报文进行加密或解密的正确性，以提高网络的稳定性。
【附图说明】
[0017]图1为现有的⑶VPN组网结构示意图；
[0018]图2为本发明提出的一种安全参数索引冲突处理方法的流程示意图；
[0019]图3为本发明提出的一种KS的结构示意图。
【具体实施方式】
[0020]为解决该技术问题，本发明提出了一种安全参数索引冲突处理方法，如图3所示，该方法包括以下步骤:
[0021]S201，KS接收GM设备在确认本地存在与第一 SPI冲突的SPI时发送的冲突通告报文，所述冲突通告报文携带所述第一 SPI，所述第一 SPI与所述KS生成的第一 SA策略及第一密钥对应。
[0022]在GM设备在向一个新的KS进行注册时，KS会向该GM设备首先下发一个SA策略以及与该SA策略对应的SPI，所下发的SPI即为该KS将要在注册完成时发送给该GM设备的密钥对应的SPI，只有GM设备在确认该SA策略可接受并向KS发送对应该SA策略的确认报文后，KS后续才会继续向该GM设备下发与该SA策略对应的密钥以及SPI。而在GM设备向当前KS注册成功后，为了保持GM设备中密钥的新鲜性，KS也会定期地生成与已下发的SA策略和密钥对应的新SPI，并将该SA策略、密钥以及新SPI发送至GM设备。对于GM设备来说，无论是在注册阶段还是后续SPI更新阶段，都需要在接收到SA策略、密钥以及SPI后，保存SA策略、密钥以及SPI三者之间的对应关系。
[0023]与现有技术中GM设备针对SPI不做任何处理所不同的是，本发明技术方案中的GM设备在接收到KS下发给自身的SA策略和SPI后或接收到KS下发给自身的SA策略、密钥和SPI后，会将该SPI与本地保存的各SA策略、密钥与SPI三者之间的对应关系中的SPI进行对比判断，确认本地是否存在与该SPI发生冲突的SPI。本实施例中将该KS下发的SPI，该KS生成的与该SPI对应的SA策略以及该KS生成的与该SPI对应的密钥即分别为第一SP1、第一 SA策略以及第一密钥。在确认本地存在与第一 SPI冲突的SPI后，GM设备随即生成冲突通告报文，并将第一 SPI携带在该冲突通告报文中发送给KS，KS设备在获取到该冲突通告报文中的SPI后，即可获知产生冲突的第一 SPI以及与该第一 SPI对应的第一 SA策略及第一密钥。在具体的实施例中，该冲突通告报文可以采用CONFLICT-SPI类型的info报文，本领域技术人员在此基础上也可以采用其他能够实现相同目的类型的报文，这些都属于本发明的保护范围。
[0024]此外，为了防止该重要的设备出现故障而导致网络瘫痪，可针对KS采用冗余备份的方案，即设置一台主KS以及一台或多台备KS，正常情况下由主KS进行执行KS的所有功能，备KS仅需负责转发报文。为了能够实现故障时能够平滑切换，对于GM设备来说主KS和备KS的标识都是一样的，这样也导致了 GM设备在发送冲突通告报文时并不区分主KS和备KS，因此主KS和备KS都有可能接收到来自于GM设备的冲突通告报文。针对该情况，本发明针对每个KS设置了在接收到由GM设备发送的冲突通告报文时，首先断自身当前是否处于冗余备份状态，并根据判断结果