[发明专利]GET VPN中GM向KS注册的方法及GM和KS

说明书

技术领域

本发明涉及通信技术领域，特别涉及一种组加密传输虚拟私有网络（GET VPN）中组成员（GM）向密钥服务器（KS）注册的方法及GM和KS。 

背景技术

GET VPN（Group Encrypted Transport Virtual Private Network，组加密传输虚拟私有网络）是一种实现密钥和安全策略集中管理的解决方案。GET VPN的典型应用体现为对组播流量的保护，例如音频、视频广播和组播文件的安全传输。GET VPN提供了一种新的基于组的IP安全（IPsec）模型。组是一个安全策略的集合，属于同一个组的所有成员共享相同的安全策略及密钥。GET VPN由KS（Key Server，密钥服务器）和GM（Group Member，组成员）组成，其中，KS通过划分不同的组来管理不同的安全策略和密钥，GM通过加入相应的组，从KS获取安全策略及密钥，并负责对数据流量加密和解密。 

图1为GET VPN组网结构示意图。在GET VPN组网中，GM需要向KS注册，这个注册过程依次包括两个阶段的协商： 

一阶段Internet密钥交换协议（IKE）协商：GM与KS进行协商，进行双方的身份认证，身份认证通过后，生成用于保护二阶段GDOI协商的IKE SA。 

二阶段GDOI协商：由GDOI协议定义其协商过程，这是一个GM从KS上“拉”策略的过程。 

具体地，注册过程包含如下几个步骤，其流程示意图如图2所示： 

步骤11、GM与KS进行一阶段IKE协商； 

步骤12、GM向KS发送所在组的标识（ID）； 

步骤13、KS根据GM提供的组ID向GM发送相应组的安全关联（SA）策 略，其中安全关联策略包括保护的数据流信息、加密算法、认证算法、封装模式等； 

步骤14、GM对收到的安全关联策略进行验证，如果这些策略是可接受的例如安全协议和加密算法是可支持的，则向KS发送确认消息； 

步骤15、KS收到GM的确认消息后，向GM发送密钥信息，包括加密密钥的密钥（KEK）和加密流量的密钥（TEK）。 

通过上述这个过程，GM把KS上的SA策略和密钥拉到了本地。当GM获取了安全关联策略和密钥之后，就可以在GM之间加、解密数据了。 

在GET VPN中，GM向KS获取安全策略和密钥时只提供了组ID，KS根据GM要加入的组ID来决定下发对应的安全策略和密钥信息。在最新的GDOI协议（RFC6407）中规定，如果GM不接受KS下发的策略，则通知KS删除阶段一的IKE SA，并终止协商。 

现有方案中，如果KS支持了新的加密或者验证算法，必须强制组内的所有GM都升级版本支持新的算法，否则GM将无法再加入到该组。或者，如果一个组内的GM分布在不同的地区，而部分地区对某些算法有限制，如不支持AES256算法，这样当KS配置的加密算法为AES256时，将会导致该部分地区的GM无法注册成功。 

因此，当前方案中KS无法兼容不同能力的GM，扩展性较差。 

发明内容

本发明实施例提供了一种GET VPN中GM向KS注册的方法，提高了KS的兼容性和扩展性。 

一种GET VPN中GM向KS注册的方法，其中，KS管理多个组，属于同一组的多个GM具有相同的组ID，该方法包括：GM与KS进行一阶段IKE协商和二阶段GDOI协商，所述二阶段GDOI协商的方法包括： 

KS接收GM向其发送的组ID，以及携带GM本端所支持的安全关联策略列表； 

KS根据组ID查找到该组对应的KS安全关联策略列表，将所述GM的列表与KS安全关联策略列表根据优先级进行匹配，得到最高优先级的组安全关联策略，保存该组安全关联策略后下发给GM； 

KS得到GM的确认后，向GM发送密钥信息。 

本发明实施例还提供了一种GM，提高了KS的兼容性和扩展性。 

一种GM，用于在GET VPN中向KS注册，其中，KS管理多个组，属于同一组的多个GM具有相同的组ID，该GM包括： 

保存单元，用于保存该GM本端所支持的安全关联策略列表；还用于保存从KS得到的组安全关联策略和密钥信息。 

发送单元，用于将该GM所在的组ID，以及保存单元中的该GM本端所支持的安全关联策略列表发送给KS； 

确认单元，用于根据KS向其下发的组安全关联策略进行确认，并发送确认消息给KS。