用于多媒體通信系統(tǒng)中的安全通信的分級密鑰管理技術(shù)方案

在通信系統(tǒng)中，其中第一計算設(shè)備被配置為對于第一用戶裝置執(zhí)行密鑰管理功能，第二計算設(shè)備被配置為對于第二用戶裝置執(zhí)行密鑰管理功能，其中第一用戶裝置尋求發(fā)起與第二用戶裝置的通信，其中第一計算設(shè)備和第二計算設(shè)備彼此之間不具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備被配置為執(zhí)行密鑰管理功能，并與第一計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，與第二計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備執(zhí)行一種方法，其包括以下步驟：從第一計算設(shè)備和第二計算設(shè)備中的一個接收請求；以及響應(yīng)于該請求，幫助在第一計算設(shè)備與第二計算設(shè)備之間建立安全關(guān)聯(lián)，以致第一計算設(shè)備和第二計算設(shè)備接著能夠幫助在第一用戶裝置與第二用戶裝置之間建立安全關(guān)聯(lián)。第一計算設(shè)備、第二計算設(shè)備和第三計算設(shè)備包括密鑰管理分級結(jié)構(gòu)的至少一部分，其中第一計算設(shè)備和第二計算設(shè)備在該分級結(jié)構(gòu)的低級別，第三計算設(shè)備在該分級結(jié)構(gòu)的高級別。

【技術(shù)實現(xiàn)步驟摘要】
【國外來華專利技術(shù)】用于多媒體通信系統(tǒng)中的安全通信的分級密鑰管理
本專利技術(shù)通常涉及通信安全，更具體地，涉及在諸如多媒體通信系統(tǒng)的媒體平面的環(huán)境中的安全通信中使用的密鑰管理協(xié)議。
技術(shù)介紹
在傳統(tǒng)的多媒體通信系統(tǒng)中提供的現(xiàn)有的多媒體應(yīng)用并不充分地支持媒體平面中的安全。在諸如因特網(wǎng)協(xié)議（IP）多媒體子系統(tǒng)（IMS）的傳統(tǒng)多媒體通信系統(tǒng)中的現(xiàn)有的安全建議根據(jù)基于令牌的對稱密鑰方法；并使用潛在地創(chuàng)建和分發(fā)密鑰的密鑰管理服務(wù)進(jìn)行管理。3GPP（第三代伙伴計劃）技術(shù)規(guī)范（TS）33.328和33.828論述了現(xiàn)有的用于IMS媒體平面加密的建議，其公開的內(nèi)容在此被結(jié)合作為參考。如在RFC3830中所公開的，多媒體因特網(wǎng)密鑰（MIKEY）是基于預(yù)共享密鑰的媒體安全協(xié)議的一個例子，其公開的內(nèi)容在此被結(jié)合作為參考。一種嘗試的MIKEY協(xié)議的改進(jìn)被稱為MIKEY-TICKET，并在國際專利公開號為No.WO2009/070075的專利申請中公開，其公開的內(nèi)容在此被結(jié)合作為參考。MIKEY-TICKET是如在TS33.328和TS33.828中公開的Rel-9IMS媒體平面安全的一部分。MIKEY-TICKET方案使用一個或多個密鑰管理服務(wù)（KMS），其向用戶設(shè)備發(fā)布證書（憑據(jù)）和密鑰生成信息，以用于與另一個用戶設(shè)備建立會話密鑰。然后，該會話密鑰被用戶設(shè)備用于相互進(jìn)行通信。當(dāng)使用兩個KMS時（對于每個用戶設(shè)備有一個KMS），這兩個KMS不僅必須與它們正在服務(wù)的用戶設(shè)備建立安全關(guān)聯(lián)，而且這兩個KMS還必須在彼此之間有預(yù)先存在的一對一安全關(guān)聯(lián)，以便MIKEY-TICKET協(xié)議工作。這并不總是優(yōu)選或可能的，特別是當(dāng)每個KMS屬于不同的管理域時。因此，需要一種改進(jìn)的密鑰管理方案，其用于在諸如多媒體通信系統(tǒng)的媒體平面的環(huán)境中的安全通信。
技術(shù)實現(xiàn)思路
本專利技術(shù)的原理提供一種或多種分級密鑰管理方法，用于在例如諸如多媒體通信系統(tǒng)的媒體平面的環(huán)境中進(jìn)行安全通信。作為本專利技術(shù)一個示例性方面，在通信系統(tǒng)中，其中第一計算設(shè)備被配置為對于第一用戶裝置執(zhí)行密鑰管理功能，第二計算設(shè)備被配置為對于第二用戶裝置執(zhí)行密鑰管理功能，其中第一用戶裝置尋求發(fā)起與第二用戶裝置的通信，其中第一計算設(shè)備和第二計算設(shè)備彼此之間不具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備被配置為執(zhí)行密鑰管理功能，并與第一計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，與第二計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備執(zhí)行一種方法，其包括以下步驟：從第一計算設(shè)備和第二計算設(shè)備中的一個接收請求；以及響應(yīng)于該請求，幫助在第一計算設(shè)備與第二計算設(shè)備之間建立安全關(guān)聯(lián)，以致第一計算設(shè)備和第二計算設(shè)備接著能夠幫助在第一用戶裝置與第二用戶裝置之間建立安全關(guān)聯(lián)。第一計算設(shè)備、第二計算設(shè)備和第三計算設(shè)備包括密鑰管理分級結(jié)構(gòu)的至少一部分，其中第一計算設(shè)備和第二計算設(shè)備在該分級結(jié)構(gòu)的低級別，第三計算設(shè)備在該分級結(jié)構(gòu)的高級別。在一個示例性實施例中，由第三計算設(shè)備執(zhí)行的幫助步驟還包括：向第一計算設(shè)備發(fā)送數(shù)據(jù)項和加密信息。然后，第一計算設(shè)備將數(shù)據(jù)項發(fā)送到第二計算設(shè)備。第一計算設(shè)備還根據(jù)從第三計算設(shè)備接收的加密信息計算密鑰，并使用所計算的密鑰以保護(hù)一個或多個消息傳輸?shù)降诙嬎阍O(shè)備。可選擇地，當(dāng)?shù)谝挥嬎阍O(shè)備從第三計算設(shè)備接收的加密信息是預(yù)先計算的密鑰時，第一計算設(shè)備使用該預(yù)先計算的密鑰以保護(hù)一個或多個消息傳輸?shù)降诙嬎阍O(shè)備。然后，第二計算設(shè)備向第三計算設(shè)備發(fā)送數(shù)據(jù)項。然后，響應(yīng)于從第二計算設(shè)備接收數(shù)據(jù)項，第三計算設(shè)備向第二計算設(shè)備發(fā)送與被發(fā)送到第一計算設(shè)備的相同的加密信息。在一個例子中，第二計算設(shè)備可根據(jù)從第三計算設(shè)備接收的加密信息來計算密鑰，并使用所計算的密鑰以保護(hù)一個或多個消息傳輸?shù)降谝挥嬎阍O(shè)備。在另一個例子中，當(dāng)?shù)诙嬎阍O(shè)備從第三計算設(shè)備接收的加密信息是預(yù)先計算的密鑰時，第二計算設(shè)備使用該預(yù)先計算的密鑰以保護(hù)一個或多個消息傳輸?shù)降谝挥嬎阍O(shè)備。在一個實施例中，第一計算設(shè)備、第二計算設(shè)備和第三計算設(shè)備每一個是密鑰管理服務(wù)，數(shù)據(jù)項包括憑據(jù)或證書。另外，根據(jù)示例性的方法，一旦在第一計算設(shè)備與第二計算設(shè)備之間建立安全關(guān)聯(lián)，則在第一用戶裝置與第二用戶裝置之間建立會話密鑰和安全關(guān)聯(lián)。另外，第一計算設(shè)備可由與管理第二計算設(shè)備的管理域不同的管理域進(jìn)行管理。應(yīng)當(dāng)知道，盡管本專利技術(shù)的原理主要適用于因特網(wǎng)協(xié)議多媒體子系統(tǒng)的環(huán)境，但本專利技術(shù)并不意味著限于此。即，本專利技術(shù)的原理通常應(yīng)用于任何合適的期望提供密鑰管理特性的通信系統(tǒng)。根據(jù)以下結(jié)合附圖閱讀的本專利技術(shù)的示例性實施例的詳細(xì)說明，本專利技術(shù)的這些和其它目的、特征和優(yōu)點會變得明顯。附圖說明圖1A表示使用單個密鑰管理服務(wù)的密鑰管理體系和方法；圖1B表示使用兩個密鑰管理服務(wù)的密鑰管理體系和方法；圖2A表示根據(jù)本專利技術(shù)的實施例的分級密鑰管理體系和方法；圖2B表示根據(jù)本專利技術(shù)的實施例的分級密鑰管理消息傳送協(xié)議；圖3表示適合于實現(xiàn)根據(jù)本專利技術(shù)的實施例的一個或多個方法和協(xié)議的通信系統(tǒng)和計算設(shè)備的一部分的通用硬件體系。具體實施方式在此所使用的短語“多媒體通信系統(tǒng)”通常被定義為任何能夠傳送兩種或更多種類型的媒體的通信系統(tǒng)，其中媒體包括但不限于基于文本的數(shù)據(jù)、基于圖形的數(shù)據(jù)、基于語音的數(shù)據(jù)和基于視頻的數(shù)據(jù)。在此所使用的短語“媒體平面”通常被定義為多媒體通信系統(tǒng)的一種或多種類型的媒體在呼叫會話的兩方或多方之間進(jìn)行交換的功能部分。這與“控制平面”相對，“控制平面”是多媒體通信系統(tǒng)的執(zhí)行呼叫協(xié)商/調(diào)度以便建立呼叫會話的功能部分。可使用本專利技術(shù)的技術(shù)的媒體平面應(yīng)用的例子包括但不限于基于IP的語音（VoIP）、即時消息（IM）、視頻/音頻IM和視頻共享。應(yīng)當(dāng)理解，媒體平面包含應(yīng)用層業(yè)務(wù)。在此所使用的術(shù)語“密鑰”通常被定義為加密協(xié)議或方法的輸入，用于諸如但不限于實體認(rèn)證、私密性、消息完整性等。短語“安全關(guān)聯(lián)”通常被定義為兩個或更多個實體之間的關(guān)系，它基于為了認(rèn)證關(guān)系中的一個或多個實體和/或加密、解密、驗證等而生成的某些加密或安全數(shù)據(jù)（例如一個或多個密鑰）。短語“管理域”通常被定義為由指定管理機(jī)構(gòu)管理的諸如主機(jī)和路由器的網(wǎng)絡(luò)單元和互連網(wǎng)絡(luò)的集合。短語“用戶設(shè)備”通常被定義為通信設(shè)備或客戶機(jī)設(shè)備，其可由一方（用戶）使用以參與在此描述的方法，并可包括但不限于蜂窩電話、智能電話、桌上型電話、個人數(shù)字助理、膝上型計算機(jī)、個人計算機(jī)等。短語“密鑰管理服務(wù)”通常被定義為加密系統(tǒng)中提供有關(guān)生成、交換、存儲、保護(hù)、使用、審閱和替換加密密鑰的功能的邏輯單元。例如，密鑰管理服務(wù)可以通過一個或多個服務(wù)器實現(xiàn)。短語“憑據(jù)”或“證書”通常被定義為一個信息，其由發(fā)布KMS進(jìn)行完整性保護(hù)，并可包括元數(shù)據(jù)、參與方的身份、創(chuàng)建時間、有效性時間、序列號、所允許的通信使用的類型等中的一個或多個。該憑據(jù)還可包括一個或多個密鑰或需要進(jìn)行私密性保護(hù)的其它信息。如上所述，用于IMS媒體安全的密鑰分發(fā)的MIKEY-TICKET方法需要一個或多個密鑰管理服務(wù)（KMS）以與通信網(wǎng)絡(luò)中的一個或多個設(shè)備（即用戶設(shè)備（UE））具有安全關(guān)聯(lián)。在正在建立密鑰的UE屬于不同的管理域和不同的KMS的情況下，要求這些KMS在彼此之間具有預(yù)先存在的一對一安全關(guān)聯(lián)。在某些實現(xiàn)中，這種要求不可能被滿足。例如，這樣的網(wǎng)絡(luò)結(jié)構(gòu)是兩個或更多個KMS，其屬于兩個本文檔來自技高網(wǎng)...

【技術(shù)保護(hù)點】

【技術(shù)特征摘要】
【國外來華專利技術(shù)】2010.01.14 US 12/687,5151.一種用于分級密鑰管理的方法，包括：在通信系統(tǒng)中，其中第一計算設(shè)備被配置為對于第一用戶裝置執(zhí)行密鑰管理功能，第二計算設(shè)備被配置為對于第二用戶裝置執(zhí)行密鑰管理功能，其中第一用戶裝置尋求發(fā)起與第二用戶裝置的通信，其中第一計算設(shè)備和第二計算設(shè)備彼此之間不具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備被配置為執(zhí)行密鑰管理功能，并與第一計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，與第二計算設(shè)備具有預(yù)先存在的安全關(guān)聯(lián)，第三計算設(shè)備執(zhí)行以下步驟：從第一計算設(shè)備和第二計算設(shè)備中的一個接收請求；響應(yīng)于該請求，在第一計算設(shè)備和第二計算設(shè)備之間建立第一安全關(guān)聯(lián)，以致第一計算設(shè)備和第二計算設(shè)備接著在第一用戶裝置和第二用戶裝置之間建立不同于所述第一安全關(guān)聯(lián)的第二安全關(guān)聯(lián)；以及向第一計算設(shè)備發(fā)送加密信息和包括憑據(jù)或證書的數(shù)據(jù)項；其中，第一計算設(shè)備和第二計算設(shè)備在密鑰管理分級結(jié)構(gòu)的低級別，第三計算設(shè)備在所述分級結(jié)構(gòu)的高級別。2.如權(quán)利要求1所述的方法，其中，第一計算設(shè)備向第二計算設(shè)備發(fā)送所述數(shù)據(jù)項，第二計算設(shè)備向第三計算設(shè)備發(fā)送所述數(shù)據(jù)項。3.如權(quán)利要求2所述的方法，其中，響應(yīng)于從第二計算設(shè)備接收所述數(shù)據(jù)項，第三計算設(shè)備向第二計算設(shè)備發(fā)送與被發(fā)送到第一計算設(shè)備的相同的加密信息。4.如權(quán)利要求1所述的方法，其中，一旦在第一計算設(shè)備與第二計算設(shè)備之間建立所述第一安全關(guān)聯(lián)，則在第一用戶裝置與第二用戶裝置之間建立會話密鑰和所述第二安全關(guān)聯(lián)。5.如權(quán)利要求1所述的方法，其中，通信系統(tǒng)包括因特網(wǎng)協(xié)議多媒體子系統(tǒng)。6.如權(quán)利要求1所述的方法，其中，第一計算設(shè)備由與管理第二計算設(shè)備的管理域不同的管理域管理。7.一種用于分級密鑰管理的裝置，包括：在通信系統(tǒng)中，其中第一計算設(shè)備被配置為對于第一...

【專利技術(shù)屬性】
技術(shù)研發(fā)人員：A·布魯斯洛夫斯基，V·卡庫萊夫，
申請(專利權(quán))人：阿爾卡特朗訊公司，
類型：發(fā)明
國別省市：