CN103490887B - 一种网络设备及其认证和密钥管理方法 - Google Patents
一种网络设备及其认证和密钥管理方法 Download PDFInfo
- Publication number
- CN103490887B CN103490887B CN201210195842.8A CN201210195842A CN103490887B CN 103490887 B CN103490887 B CN 103490887B CN 201210195842 A CN201210195842 A CN 201210195842A CN 103490887 B CN103490887 B CN 103490887B
- Authority
- CN
- China
- Prior art keywords
- mac
- network
- control module
- bsk
- network equipment
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000007726 management method Methods 0.000 title claims abstract description 37
- 238000005516 engineering process Methods 0.000 claims abstract description 41
- 238000000034 method Methods 0.000 claims abstract description 35
- 230000003993 interaction Effects 0.000 claims abstract description 28
- 238000004891 communication Methods 0.000 claims description 39
- 230000004927 fusion Effects 0.000 claims description 34
- 241001112258 Moca Species 0.000 claims description 14
- 238000009795 derivation Methods 0.000 claims description 12
- 238000004422 calculation algorithm Methods 0.000 claims description 10
- 238000004364 calculation method Methods 0.000 claims description 10
- 238000012545 processing Methods 0.000 claims description 9
- 230000008569 process Effects 0.000 abstract description 14
- 238000012795 verification Methods 0.000 abstract 1
- 230000004044 response Effects 0.000 description 6
- 238000012790 confirmation Methods 0.000 description 4
- 238000010586 diagram Methods 0.000 description 2
- 239000002699 waste material Substances 0.000 description 2
- 230000002457 bidirectional effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000006855 networking Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
- H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/041—Key generation or derivation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/162—Implementing security features at a particular protocol layer at the data link layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开了一种网络设备及其认证和密钥管理方法,方法包括:网络设备生成网络密钥(NK);网络设备与通信对端设备进行认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥(BSK);网络设备根据所述BSK计算得到各种接入技术的媒体接入控制(MAC)和物理(PHY)层所使用的链路加密密钥(EK),并将各EK分别提供给对应的MAC和PHY层功能模块。通过本发明,实现了对异构的网络设备执行一次认证过程验证该设备的合法性,并对各种不同的MAC层技术实现了统一的密钥管理。
Description
技术领域
本发明涉及异构网络融合技术,尤其涉及一种网络设备及其认证和密钥管理方法。
背景技术
目前家庭网络可以通过多种网络技术接入,例如:以太网IEEE 802.3、电力线通信(PLC,Power Line Communication)、同轴电缆(MoCA,Multimedia over Coax Alliance)和无线局域网(WiFi,Wireless Fidelity)技术等等,每种接入技术都对应网络***模型的物理(PHY)层和媒体接入控制(MAC,Media Access Control)层。这些异构网络技术的融合是实现家庭网络信息共享和无缝连接的基础。
如图1所示,图1是现有技术中异构网络融合的结构示意图。图中的设备1和设备2是具有三种MAC层和PHY层接入技术的家庭网络设备。由于各种网络接入技术使用的通信介质、媒体控制接入方式和传输帧的格式等都不相同,因此对应的网络***的PHY层和MAC层使用的技术也不一样。从而,当多种网络接入技术在一个设备上实现时,需要一个融合控制模块实现各种MAC层和PHY层技术的协调和调度,以实现无缝的技术融合。每个设备对应一个融合控制模块,每个融合控制模块可以协调和管理至少两种的MAC层和PHY层功能模块。
目前,家庭组网最常用的安全配置是通过用户在网络设备上输入口令密码的方式来实现的,虽然PLC、MoCA和WiFi等MAC层技术里都有支持用户输入口令密码的安全配置方式,但是各种MAC层技术的认证和密钥管理流程对用户输入的口令密码的处理过程是不相同的,这就导致了各种安全管理处理流程互不相通。例如,在图1中的设备1和设备2上同时配置了相同的用户口令密码,如果两个设备仅通过PLC链路连接,那么他们将用户口令密码按照PLC的认证和密钥协商过程进行处理并计算出PLC的链路加密密钥;如果设备1和设备2通过了三种MAC层技术连接,那么这两个设备需要使用用户口令密码分别按照三种MAC层指定的认证和密钥协商过程进行处理,分别得到三种链路的链路加密密钥。也就是说,现有技术中的安全认证和密钥管理过程是对一个网络设备上的各种MAC层接口执行的,而不是对设备本身执行的;由于各种MAC层的认证和密钥管理方法都不相同,因此当网络设备之间通过多种MAC层技术连接时,需要分别按照各MAC层指定的认证和密钥协商过程进行处理,这无疑会造成执行认证过程的计算资源浪费。
发明内容
有鉴于此,本发明的主要目的在于提供一种网络设备及其认证和密钥管理方法,以解决现有技术中各种MAC层的认证和密钥管理方法不相同,造成执行认证过程的计算资源浪费的问题。
为达到上述目的,本发明的技术方案是这样实现的:
本发明提供了一种网络设备的认证和密钥管理方法,该方法包括:
网络设备生成网络密钥NK;
所述网络设备与通信对端设备进行认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥BSK;
所述网络设备根据所述BSK计算得到各种接入技术的媒体接入控制MAC和物理PHY层所使用的链路加密密钥EK,并将各EK分别提供给对应的MAC和PHY层功能模块。
较佳的,所述网络设备根据获取的口令密钥生成NK、或者所述网络设备通过在无线局域网WiFi中使用安全对码按钮的方式生成NK。
较佳的,在将各EK分别提供给对应的MAC和PHY层功能模块之后,该方法还包括:
所述MAC和PHY层功能模块根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。
较佳的,在网络设备根据获取的口令密码生成NK之前,该方法还包括:
所述网络设备和通信对端设备交互设备能力信息,并在确认双方都支持特定的认证和密钥管理功能时,才执行后续的处理操作。
较佳的,所述网络设备根据BSK计算得到各种接入技术的MAC和PHY层所使用的EK,并将各EK分别提供给对应的MAC和PHY层功能模块,包括:
将所述BSK输入到哈希函数实现的密钥推导算法进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。
较佳的,所述各种接入技术的MAC和PHY层包括:
电力线通信PLC的MAC和PHY层;
同轴电缆MoCA的MAC和PHY层;
无线局域网WiFi的MAC和PHY层。
较佳的,所述认证协议交互的参数包括:所述网络设备的融合控制模块标识、所述网络设备选取的随机数、所述通信对端设备的融合控制模块标识、所述通信对端设备选取的随机数;
所述网络设备的融合控制模块标识为,所述网络设备的融合控制模块的MAC地址、或唯一标识所述网络设备身份的MAC地址;
所述通信对端设备的融合控制模块标识为,所述通信对端设备的融合控制模块的MAC地址、或唯一标识所述通信对端设备身份的MAC地址。
较佳的,所述BSK包括:单播的BSK、和/或组播的BSK;
相应的,该方法进一步包括:
网络设备根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;
网络设备的MAC和PHY层功能模块根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
本发明还提供了一种网络设备,包括:融合控制模块和各种接入技术的媒体接入控制MAC和物理PHY层功能模块;其中,
所述融合控制模块,用于生成网络密钥NK;还用于执行所述网络设备与通信对端设备之间的认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥BSK,根据所述BSK计算得到各种接入技术的MAC和PHY层所使用的链路加密密钥EK,并将各EK分别提供给对应的MAC和PHY层功能模块;
所述MAC和PHY层功能模块,用于接收所述融合控制模块提供的对应EK。
较佳的,所述融合控制模块根据获取的口令密钥生成NK、或者通过在无线局域网WiFi中使用安全对码按钮的方式生成NK。
较佳的,所述MAC和PHY层功能模块还用于,根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。
较佳的,所述融合控制模块还用于,在根据获取的口令密码生成NK之前,与所述通信对端设备交互设备能力信息,并在确认网络设备和通信对端设备都支持特定的认证和密钥管理功能时,才执行后续的处理操作。
较佳的,所述融合控制模块进一步用于,将所述BSK输入到哈希函数实现的密钥推导算法密钥导出函数进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。
较佳的,所述各种接入技术的MAC和PHY层包括:
电力线通信PLC的MAC和PHY层;
同轴电缆MoCA的MAC和PHY层;
无线局域网WiFi的MAC和PHY层。
较佳的,所述认证协议交互的参数包括:所述网络设备的融合控制模块标识、所述网络设备选取的随机数、所述通信对端设备的融合控制模块标识、所述通信对端设备选取的随机数;
所述网络设备的融合控制模块标识为,所述网络设备的融合控制模块的MAC地址、或唯一标识所述网络设备身份的MAC地址;
所述通信对端设备的融合控制模块标识为,所述通信对端设备的融合控制模块的MAC地址、或唯一标识所述通信对端设备身份的MAC地址。
较佳的,所述BSK包括:单播的BSK、和/或组播的BSK;
相应的,所述融合控制模块进一步用于,根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;
所述MAC和PHY层功能模块进一步用于,根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
本发明所提供的一种网络设备及其认证和密钥管理方法,网络设备仅需要融合控制模块执行一次统一的认证协议流程,不需要网络设备上的多个MAC和PHY层功能模块分别使用用户输入的口令密码执行各种MAC和PHY层的认证协议流程,就可以实现网络对设备、设备对设备之间的合法性认证,从而节省了认证过程的计算资源。另外,本发明对各种不同的MAC和PHY层技术实现统一的密钥管理,能够保持各种MAC和PHY层功能模块使用的数据加解密方式不做改变,因此设备实现该功能的升级代价不会太大。
附图说明
图1为现有技术中异构网络融合的结构示意图;
图2为本发明实施例一的一种网络设备的认证和密钥管理方法的流程图;
图3为本发明实施例二的一种网络设备的认证和密钥管理方法的流程图;
图4为本发明实施例三的一种网络设备的认证和密钥管理方法的流程图;
图5为本发明实施例中设备能力信息交互的流程图;
图6为本发明实施例中认证协议交互的流程图。
具体实施方式
下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。
本发明实施例一提供的一种网络设备的认证和密钥管理方法,如图2所示,
主要包括:
步骤201,网络设备生成网络密钥(NK)。
网络设备可以根据获取的口令密钥生成NK,具体包括:用户从网络设备的用户接口输入口令密码,口令密码的长度不能超出用户接口设定的最大长度,网络设备将用户输入的口令密码输入到伪随机函数进行计算,得到长度固定的NK。
除了通过用户输入口令密码的方式获取NK以外,如果网络设备按照WiFi简单配置的实施规范实现了简单安全配置的功能,那么网络设备还可以通过在WiFi中使用安全对码按钮的方式生成NK,具体包括:
通信双方的网络设备上都有安全对码按钮并且都具有WiFi简单配置规范中的通信协议功能,那么这两个网络设备通过物理介质连接后的特定时间(如2分钟)内分别按下两个网络设备上的安全对码按钮,两个网络设备会按照WiFi简单配置规范中的通信协议进行交互。协议执行成功后,两个网络设备上会获得长度固定的NK。
步骤202,网络设备与通信对端设备进行认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥(BSK)。
网络设备将认证协议交互的参数、以及所述NK,输入到哈希函数进行计算得到BSK。
所述认证可以是网络侧对网络设备的认证,也可以是网络设备对网络设备的认证;如果是网络侧对网络设备的认证,那么通信对端设备为网络侧的认证设备,如果是网络设备对网络设备的认证,那么通信对端设备为另一台网络设备。
认证协议交互的过程由网络设备与通信对端设备各自的融合控制模块来执行,具体的认证协议交互过程将在后续的实施例中详细阐述。
步骤203,网络设备根据所述BSK计算得到各种接入技术的MAC和PHY层所使用的链路加密密钥(EK),并将各EK分别提供给对应的MAC和PHY层功能模块。
本发明实施例中,各种接入技术的MAC和PHY层至少包括:PLC的MAC和PHY层、MoCA的MAC和PHY层、WiFi的MAC和PHY层等等。
网络设备的融合控制模块将所述BSK输入到哈希函数实现的密钥推导算法进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。其中,哈希函数实现的密钥推导算法能够输出足够长度的密钥,假设PLC的MAC和PHY层需要使用的密钥长度为m,WiFi的MAC和PHY层需要使用的密钥长度为n,MoCA的MAC和PHY层需要使用的密钥长度为t,那么所述哈希函数实现的密钥推导算法能够输出的密钥长度x应该大于等于m、n、t中最大的数值。
融合控制模块按照特定MAC和PHY层需要使用的密钥长度输出相应长度的EK,所述特定MAC和PHY层可以是WiFi的MAC和PHY层、或者是MoCA的MAC和PHY层、或者是PLC的MAC和PHY层。由于哈希函数实现的密钥推导算法产生的密钥长度x大于等于m、n、t中最大的数值,因此假设该特定MAC和PHY层需要使用的密钥长度n小于x时,融合控制模块需要从长度为x的密钥串中提取长度为n的部分(可以从密钥串的任意位置提取)作为该特定MAC和PHY层的EK输出。融合控制模块将输出的EK传递给特定的MAC和PHY层功能模块。例如:哈希函数实现的密钥推导算法产生的密钥串长度为512bit,PLC的MAC和PHY层所需的密钥长度为256bit,那么从密钥串中提取前256bit作为PLC的MAC和PHY层的EK;融合控制模块将提取的256bit的EK输出给PLC的MAC和PHY层功能模块。
作为本发明的一种较佳实施例,如图3所示,在步骤203之后,还可以执行步骤204:MAC和PHY层功能模块根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。具体的,MAC和PHY层功能模块对获取的EK进行保存并安装,使用安装的EK对后续所述网络设备与通信对端设备通信的数据进行加解密保护。例如:PLC的MAC和PHY层功能模块获取的是融合控制模块输出的对应PLC的MAC和PHY层的EK,MoCA的MAC和PHY层功能模块获取的是融合控制模块输出的对应MoCA的MAC和PHY层的EK,WiFi的MAC和PHY层功能模块获取的是融合控制模块输出的对应WiFi的MAC和PHY层的EK。
需要说明的是,本发明实施例的BSK包括:单播的BSK、和/或组播的BSK;相应的,网络设备根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;网络设备的MAC和PHY层功能模块根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
作为本发明的另一种较佳实施例,如图4所示,在步骤201之前,还可以执行步骤200:所述网络设备和通信对端设备交互设备能力信息,并在确认双方都支持本发明实施例的特定认证和密钥管理功能(即具备执行步骤201~204的功能)时,才执行后续的处理操作(即步骤201~204)。以设备A和设备B交互设备能力信息为例,具体流程如图5所示,主要包括:
步骤501,设备B向设备A发起设备能力请求消息。
所述设备能力请求消息中包含设备B是否具有本发明实施例所述的特定认证和密钥管理功能。例如:该请求消息中的某个特定字段的取值为0,表示设备B不支持本发明实施例所述的特定认证和密钥管理功能;所述特定字段的取值为1,表示设备B支持本发明实施例所述的特定认证和密钥管理功能。
步骤502,设备A向设备B发送设备能力响应消息。
所述设备能力响应消息中包含设备A是否具有本发明实施例所述的特定认证和密钥管理功能。例如:该请求消息中的某个特定字段的取值为0,表示设备A不支持本发明实施例所述的特定认证和密钥管理功能;所述特定字段的取值为1,表示设备A支持本发明实施例所述的特定认证和密钥管理功能。
只有在设备A和设备B都支持本发明实施例所述的特定认证和密钥管理功能时,才能执行后续步骤201~204的操作。
下面结合图6对本发明实施例的认证协议交互流程进行详细阐述,如图6所示,主要包括以下步骤:
步骤601,设备B向设备A发起认证请求消息。
所述认证请求消息中至少包括:所述设备B上的融合控制模块标识(简称IDB),以及设备B选取的随机数(简称RNB)。
步骤602,设备A收到认证请求消息后,向设备B回复认证响应消息。
所述认证响应消息中至少包括:所述设备A上的融合控制模块标识(简称IDA),设备A选取的随机数(简称RNA),以及验证该认证响应消息合法性的消息认证码。
步骤603,设备B收到认证响应消息后,向设备A回复认证确认消息。
所述认证确认消息中至少包括:认证成功或者失败的状态信息,设备B上的融合控制模块标识(IDB),以及验证该认证确认消息合法性的消息认证码。
步骤604,设备A收到设备B回复的认证确认消息后,发送完成消息给设备B。
所述完成消息中至少包括:认证成功或者失败的状态信息,以及验证该完成消息合法性的消息认证码。
上述涉及的融合控制模块标识在具体应用中可以使用融合控制模块的MAC,也可以使用能够唯一标识设备身份的MAC地址。
通过上述认证协议交互,设备A和设备B实现了基于预共享网络密钥的双向认证。在认证成功后,设备A和设备B将设备B上的IDB、设备A上的IDA、设备B选取的RNB和设备A选取的RNA,作为上述步骤204中的认证协议交互的参数,与上述步骤203中得到的NK一起输入到哈希函数计算出BSK。
由此可以看出,在网络设备与通信对端设备输入相同的口令密钥,并执行上述相同的步骤200~204后,网络设备的PLC的MAC和PHY层功能模块、与通信对端设备的PLC的MAC和PHY层功能模块,能够获得相同的EK,并能根据该EK对它们之间通信的数据进行加解密保护;同样的,网络设备的MoCA的MAC和PHY层功能模块、与通信对端设备的MoCA的MAC和PHY层功能模块,也能够获得相同的EK,并能根据该EK对它们之间通信的数据进行加解密保护;网络设备的WiFi的MAC和PHY层功能模块、与通信对端设备的WiFi的MAC和PHY层功能模块,也能够获得相同的EK,并能根据该EK对它们之间通信的数据进行加解密保护。
通过本发明的实施例,网络设备仅需要融合控制模块执行一次统一的认证协议流程,不需要网络设备上的多个MAC和PHY层功能模块分别使用用户输入的口令密码执行各种MAC和PHY层的认证协议流程,就可以实现网络对设备、设备对设备之间的合法性认证,从而节省了认证过程的计算资源。另外,本发明对各种不同的MAC和PHY层技术实现统一的密钥管理,能够保持各种MAC和PHY层功能模块使用的数据加解密方式不做改变,因此设备实现该功能的升级代价不会太大。
对应上述认证和密钥管理方法,本发明的实施例还提供了一种网络设备,包括:融合控制模块和各种接入技术的MAC和PHY层功能模块,其中,
融合控制模块,用于生成NK;还用于执行所述网络设备与通信对端设备之间的认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到BSK,根据所述BSK计算得到各种接入技术的MAC和PHY层所使用的EK,并将各EK分别提供给对应的MAC和PHY层功能模块;
MAC和PHY层功能模块,用于接收所述融合控制模块提供的对应EK。
所述各种接入技术的MAC和PHY层至少包括:PLC的MAC和PHY层;MoCA的MAC和PHY层;WiFi的MAC和PHY层。
较佳的,融合控制模块可以根据获取的口令密钥生成NK、或者通过在WiFi中使用安全对码按钮的方式生成NK。
较佳的,MAC和PHY层功能模块还用于,根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。
较佳的,融合控制模块还用于,在根据获取的口令密码生成NK之前,与所述通信对端设备交互设备能力信息,并在确认网络设备和通信对端设备都支持特定的认证和密钥管理功能时,才执行后续的处理操作。
较佳的,融合控制模块进一步用于,将所述BSK输入到哈希函数实现的密钥推导算法进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。
认证协议交互的参数包括:所述网络设备的融合控制模块标识、所述网络设备选取的随机数、所述通信对端设备的融合控制模块标识、所述通信对端设备选取的随机数;
所述网络设备的融合控制模块标识为,所述网络设备的融合控制模块的MAC地址、或唯一标识所述网络设备身份的MAC地址;
所述通信对端设备的融合控制模块标识为,所述通信对端设备的融合控制模块的MAC地址、或唯一标识所述通信对端设备身份的MAC地址。
所述BSK包括:单播的BSK、和/或组播的BSK;
相应的,所述融合控制模块进一步用于,根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;单播的BSK计算得到单播的EK、与组播的BSK计算得到组播的EK,所采用的方法相同;
所述MAC和PHY层功能模块进一步用于,根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
以上所述,仅为本发明的较佳实施例而已,并非用于限定本发明的保护范围。
Claims (14)
1.一种网络设备的认证和密钥管理方法,其特征在于,该方法包括:
网络设备生成网络密钥NK;
所述网络设备与通信对端设备进行认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥BSK;
所述网络设备根据所述BSK计算得到各种接入技术的媒体接入控制MAC和物理PHY层所使用的链路加密密钥EK,并将各EK分别提供给对应的MAC和PHY层功能模块;
其中,所述网络设备根据BSK计算得到各种接入技术的MAC和PHY层所使用的EK,并将各EK分别提供给对应的MAC和PHY层功能模块,包括:
将所述BSK输入到哈希函数实现的密钥推导算法进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。
2.根据权利要求1所述网络设备的认证和密钥管理方法,其特征在于,所述网络设备根据获取的口令密钥生成NK、或者所述网络设备通过在无线局域网WiFi中使用安全对码按钮的方式生成NK。
3.根据权利要求1所述网络设备的认证和密钥管理方法,其特征在于,在将各EK分别提供给对应的MAC和PHY层功能模块之后,该方法还包括:
所述MAC和PHY层功能模块根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。
4.根据权利要求2所述网络设备的认证和密钥管理方法,其特征在于,在网络设备根据获取的口令密钥生成NK之前,该方法还包括:
所述网络设备和通信对端设备交互设备能力信息,并在确认双方都支持特定的认证和密钥管理功能时,才执行后续的处理操作。
5.根据权利要求1、2或3所述网络设备的认证和密钥管理方法,其特征在于,所述各种接入技术的MAC和PHY层包括:
电力线通信PLC的MAC和PHY层;
同轴电缆MoCA的MAC和PHY层;
无线局域网WiFi的MAC和PHY层。
6.根据权利要求1、2或3所述网络设备的认证和密钥管理方法,其特征在于,所述认证协议交互的参数包括:所述网络设备的融合控制模块标识、所述网络设备选取的随机数、所述通信对端设备的融合控制模块标识、所述通信对端设备选取的随机数;
所述网络设备的融合控制模块标识为,所述网络设备的融合控制模块的MAC地址、或唯一标识所述网络设备身份的MAC地址;
所述通信对端设备的融合控制模块标识为,所述通信对端设备的融合控制模块的MAC地址、或唯一标识所述通信对端设备身份的MAC地址。
7.根据权利要求1、2或3所述网络设备的认证和密钥管理方法,其特征在于,所述BSK包括:单播的BSK、和/或组播的BSK;
相应的,该方法进一步包括:
网络设备根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;
网络设备的MAC和PHY层功能模块根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
8.一种网络设备,其特征在于,包括:融合控制模块和各种接入技术的媒体接入控制MAC和物理PHY层功能模块;其中,
所述融合控制模块,用于生成网络密钥NK;还用于执行所述网络设备与通信对端设备之间的认证协议交互,并根据认证协议交互的参数、以及所述NK,计算得到基础会话密钥BSK,根据所述BSK计算得到各种接入技术的MAC和PHY层所使用的链路加密密钥EK,并将各EK分别提供给对应的MAC和PHY层功能模块;
所述MAC和PHY层功能模块,用于接收所述融合控制模块提供的对应EK;
其中,所述融合控制模块进一步用于,将所述BSK输入到哈希函数实现的密钥推导算法密钥导出函数进行计算,并按照各种接入技术的MAC和PHY层所需使用的EK长度,输出对应长度的EK给对应的MAC和PHY层功能模块。
9.根据权利要求8所述网络设备,其特征在于,所述融合控制模块根据获取的口令密钥生成NK、或者通过在无线局域网WiFi中使用安全对码按钮的方式生成NK。
10.根据权利要求8所述网络设备,其特征在于,所述MAC和PHY层功能模块还用于,根据获取的EK,对所述网络设备与通信对端设备通信的数据进行加解密保护。
11.根据权利要求9所述网络设备,其特征在于,所述融合控制模块还用于,在根据获取的口令密钥生成NK之前,与所述通信对端设备交互设备能力信息,并在确认网络设备和通信对端设备都支持特定的认证和密钥管理功能时,才执行后续的处理操作。
12.根据权利要求8、9或10所述网络设备,其特征在于,所述各种接入技术的MAC和PHY层包括:
电力线通信PLC的MAC和PHY层;
同轴电缆MoCA的MAC和PHY层;
无线局域网WiFi的MAC和PHY层。
13.根据权利要求8、9或10所述网络设备,其特征在于,所述认证协议交互的参数包括:所述网络设备的融合控制模块标识、所述网络设备选取的随机数、所述通信对端设备的融合控制模块标识、所述通信对端设备选取的随机数;
所述网络设备的融合控制模块标识为,所述网络设备的融合控制模块的MAC地址、或唯一标识所述网络设备身份的MAC地址;
所述通信对端设备的融合控制模块标识为,所述通信对端设备的融合控制模块的MAC地址、或唯一标识所述通信对端设备身份的MAC地址。
14.根据权利要求8、9或10所述网络设备,其特征在于,所述BSK包括:单播的BSK、和/或组播的BSK;
相应的,所述融合控制模块进一步用于,根据单播的BSK计算得到单播的EK,根据组播的BSK计算得到组播的EK;
所述MAC和PHY层功能模块进一步用于,根据单播的EK,对单播的数据进行加解密保护;根据组播的EK,对组播的数据进行加解密保护。
Priority Applications (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201210195842.8A CN103490887B (zh) | 2012-06-14 | 2012-06-14 | 一种网络设备及其认证和密钥管理方法 |
US14/407,525 US9698978B2 (en) | 2012-06-14 | 2013-05-28 | Network equipment and authentication and key management method for same |
PCT/CN2013/076315 WO2013185531A1 (zh) | 2012-06-14 | 2013-05-28 | 一种网络设备及其认证和密钥管理方法 |
EP13804786.5A EP2863578B1 (en) | 2012-06-14 | 2013-05-28 | Network device and authentication thereof and key management method |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201210195842.8A CN103490887B (zh) | 2012-06-14 | 2012-06-14 | 一种网络设备及其认证和密钥管理方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN103490887A CN103490887A (zh) | 2014-01-01 |
CN103490887B true CN103490887B (zh) | 2017-06-13 |
Family
ID=49757495
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201210195842.8A Active CN103490887B (zh) | 2012-06-14 | 2012-06-14 | 一种网络设备及其认证和密钥管理方法 |
Country Status (4)
Country | Link |
---|---|
US (1) | US9698978B2 (zh) |
EP (1) | EP2863578B1 (zh) |
CN (1) | CN103490887B (zh) |
WO (1) | WO2013185531A1 (zh) |
Families Citing this family (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE112014006810B4 (de) * | 2014-07-14 | 2022-12-08 | Mitsubishi Electric Corporation | Funkkommunikationssystem und Funkkommunikationsverfahren |
CN106301793B (zh) * | 2016-09-06 | 2018-04-10 | 中国电子技术标准化研究院 | 一种plc认证和安全通信的方法 |
US20180092138A1 (en) * | 2016-09-29 | 2018-03-29 | Intel Corporation | Wireless connection through remote wi-fi protected setup |
US11294417B2 (en) * | 2020-03-10 | 2022-04-05 | Cisco Technology, Inc. | Distribution of trusted physical layer timing information using attestation |
CN111629012B (zh) * | 2020-07-28 | 2020-10-30 | 杭州海康威视数字技术股份有限公司 | 通信方法、装置及门禁***、设备、存储介质 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101304319A (zh) * | 2007-03-21 | 2008-11-12 | 三星电子株式会社 | 移动通信网络以及用于认证其中的移动节点的方法和装置 |
Family Cites Families (16)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7876772B2 (en) * | 2003-08-01 | 2011-01-25 | Foundry Networks, Llc | System, method and apparatus for providing multiple access modes in a data communications network |
US20060236116A1 (en) | 2005-04-18 | 2006-10-19 | Lucent Technologies, Inc. | Provisioning root keys |
US7788494B2 (en) * | 2005-06-28 | 2010-08-31 | Intel Corporation | Link key injection mechanism for personal area networks |
DE102006038037A1 (de) * | 2006-08-14 | 2008-02-21 | Siemens Ag | Verfahren und System zum Bereitstellen eines zugangsspezifischen Schlüssels |
CN101141241B (zh) | 2006-09-06 | 2010-08-18 | 华为技术有限公司 | 实现mac安全的方法以及网络设备 |
CN101068143B (zh) * | 2007-02-12 | 2012-04-11 | 中兴通讯股份有限公司 | 一种网络设备认证方法 |
KR100924168B1 (ko) | 2007-08-07 | 2009-10-28 | 한국전자통신연구원 | 주파수 오버레이 기반의 통신 시스템의 인증키 생성 방법및 인증 방식 협상 방법 |
CN101516090B (zh) | 2008-02-20 | 2013-09-11 | 华为技术有限公司 | 网络认证通信方法及网状网络*** |
CN101621374A (zh) | 2008-06-30 | 2010-01-06 | 华为技术有限公司 | 一种网络认证的方法、装置、***及服务器 |
CN101815294B (zh) | 2009-02-20 | 2013-08-14 | 华为技术有限公司 | P2p网络的接入认证方法、设备和*** |
US8385549B2 (en) * | 2009-08-21 | 2013-02-26 | Industrial Technology Research Institute | Fast authentication between heterogeneous wireless networks |
US8886935B2 (en) * | 2010-04-30 | 2014-11-11 | Kabushiki Kaisha Toshiba | Key management device, system and method having a rekey mechanism |
CN102447690B (zh) * | 2010-10-12 | 2015-04-01 | 中兴通讯股份有限公司 | 一种密钥管理方法与网络设备 |
WO2012125758A1 (en) * | 2011-03-14 | 2012-09-20 | Qualcomm Atheros, Inc. | Hybrid networking master passphrase |
US9369448B2 (en) * | 2011-06-01 | 2016-06-14 | Broadcom Corporation | Network security parameter generation and distribution |
GB2495550A (en) * | 2011-10-14 | 2013-04-17 | Ubiquisys Ltd | An access point that can be used to establish connections with UE devices using both cellular and wifi air interfaces |
-
2012
- 2012-06-14 CN CN201210195842.8A patent/CN103490887B/zh active Active
-
2013
- 2013-05-28 EP EP13804786.5A patent/EP2863578B1/en active Active
- 2013-05-28 US US14/407,525 patent/US9698978B2/en active Active
- 2013-05-28 WO PCT/CN2013/076315 patent/WO2013185531A1/zh active Application Filing
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101304319A (zh) * | 2007-03-21 | 2008-11-12 | 三星电子株式会社 | 移动通信网络以及用于认证其中的移动节点的方法和装置 |
Also Published As
Publication number | Publication date |
---|---|
CN103490887A (zh) | 2014-01-01 |
US9698978B2 (en) | 2017-07-04 |
EP2863578B1 (en) | 2019-10-30 |
EP2863578A4 (en) | 2015-09-02 |
EP2863578A1 (en) | 2015-04-22 |
US20150172047A1 (en) | 2015-06-18 |
WO2013185531A1 (zh) | 2013-12-19 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP2522100B1 (en) | Secure multi-uim authentication and key exchange | |
CN101371550B (zh) | 自动安全地向移动通信终端的用户供给在线服务的服务访问凭证的方法和*** | |
EP3334084B1 (en) | Security authentication method, configuration method and related device | |
CN102957584B (zh) | 家庭网络设备的管理方法、控制设备和家庭网络设备 | |
WO2008145059A1 (fr) | Procédé pour une transmission sécurisée de données dans un réseau de capteurs sans fil | |
JP2018532325A (ja) | ユーザ機器ueのアクセス方法、アクセスデバイス、およびアクセスシステム | |
CN101540669A (zh) | 一种无线移动通信网络的密钥分发和信息保护方法 | |
CN101282208B (zh) | 安全连接关联主密钥的更新方法和服务器及网络*** | |
CN103490887B (zh) | 一种网络设备及其认证和密钥管理方法 | |
CN110808834B (zh) | 量子密钥分发方法和量子密钥分发*** | |
CN109962781B (zh) | 一种数字证书分发装置 | |
CN110691358B (zh) | 无线传感器网络中基于属性密码体制的访问控制*** | |
CN105262662A (zh) | 装置配对方法和通信装置 | |
CN107135228B (zh) | 一种基于中心节点的认证***与认证方法 | |
CN113098830B (zh) | 通信方法及相关产品 | |
CN101646172B (zh) | 一种分布式mesh网络中产生密钥的方法和装置 | |
CN107276755B (zh) | 一种安全关联方法、装置及*** | |
WO2011127732A1 (zh) | 下一代网络中多接入认证方法及*** | |
CN113271586B (zh) | 电力设备体域网安全通信方法及***、存储介质 | |
WO2018076299A1 (zh) | 数据传输方法及装置 | |
CN112751664B (zh) | 一种物联网组网方法、装置和计算机可读存储介质 | |
CN103974245B (zh) | 设备配置方法、设备及*** | |
KR101451163B1 (ko) | 무선 네트워크 접속 인증 방법 및 그 시스템 | |
Reddy et al. | Multifactor Authentication Key Management System based Security Model Using Effective Handover Tunnel with IPV6 | |
CN115037504A (zh) | 通信方法及装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |