[发明专利]一种密钥的分配与管理方法

说明书

技术领域

本发明涉及计算机网络通讯过程的密钥协商领域，尤其是一种密钥的分配与管理方法。

背景技术

现有计算机网络通讯环境下网络加密传输采用的密钥主要为预共享密钥与IKE密钥交换协议。预共享密钥为通讯双方在通讯前即协商好使用的密钥，双方各保存一份共享密钥，通讯时直接使用该密钥进行加密传输。IKE为IPSec的组成协议之一。现有技术在数据传输的加密算法方面主要支持DES、AES及RC4等算法，使用IKE等密钥交换及认证体系，这些加密算法与协议对于所建立的隧道通路会产生很多不安全的因素，使黑客可以侦测到内部网络的所有连接，给黑客攻击提供了机会，病毒可以从终端感染到内部网络的所有电脑。其中预共享密钥存在密钥泄露的隐患，而IKE协议由于其支持多种安全等级的密钥交换，存在有交换密钥过程中安全等级降低的风险，同时IKE协议还存在设计过于复杂，不利于实现的问题。

发明内容

本发明解决了背景技术中存在的上述技术问题，而提供一种安全性高的密钥的分配与管理方法。

本发明的技术解决方案是：本发明为一种密钥的分配与管理方法，其特殊之处在于：该方法包括以下步骤：

1)移动终端向服务端发起注册请求消息{ID_M}；

2)当服务端收到来自移动终端的注册请求消息{ID_M}，服务端发送注册响应消息{ID_M，ID_LS}给移动终端；

3)当移动终端收到注册响应消息{ID_M，ID_L}后，生成移动终端密钥交换信息KeyEx_M，向服务端发送注册确认消息{ID_M，ID_LS，Nonce1，Nonce2，{KeyEx_M，Para}}；

4)当服务端收到注册确认消息后，生成服务端密钥交换信息KeyEx_LS，计算主密钥BK＝DH{KeyEx_M，KeyEx_LS}，Km|Kd|Ki＝prf(BK，Nonce1，Nonce2，”ID_M|ID_LS|IP”)，发送注册完成消息{Flag，ID_M，ID_LS，Nonce1，Nonce2，{KeyEx_LS，para，result}}给移动终端；

5)当移动终端收到注册完成消息后，注册完成消息表示成功，则比较注册完成消息中的Nonce1和注册确认消息中的Nonce1是否相同，若相同，则移动终端计算BK＝DH{KeyEx_M，KeyEx_LS}，Km|Kd|Ki＝prf(BK，Nonce1，Nonce2，”ID_M|ID_LS|IP”)；

6)完成上述步骤后，移动终端和服务端将共享密钥协商密钥Km、数据加密密钥Kd、数据完整性密钥Ki。

上述步骤2)中，当服务端处于更新状态时，服务端收到注册请求消息中的ID_M后，发送的响应注册响应消息{ID_M，ID_LS}采用相同的Nonce2。

上述步骤4)中当服务端收到注册确认消息后，比较注册确认消息中的Nonce2和注册响应消息中的Nonce2是否相同，若相同，且注册确认消息包括证书时，则服务端向证书鉴别服务端发送证书鉴别请求消息{Nonce1，Nonce2，Cert_M，Cert_LS}；当证书鉴别服务端收到证书鉴别请求消息后，验证移动终端证书Cert_M和服务端Cert_LS的有效性，向服务端发送证书鉴别响应消息{Result，attributes，Sig_AS}，当服务端收到证书鉴别响应消息后，验证签名Sig_AS正确后，若移动终端证书鉴别的结果是有效的，置该移动终端为已注册状态，服务端生成服务端交换密钥KeyEx_LS，若移动终端证书鉴别的结果是无效的，服务端置该移动终端为未注册状态，不发送注册完成消息。

本发明具有以下优点：

1、本发明采用动态生成密钥的方式，以保证传输过程使用密钥的安全性，以此保证数据传输的安全性。