法律状态公告日
法律状态信息
法律状态
2011-11-30
授权
授权
2010-08-11
实质审查的生效 IPC(主分类):H04L9/08 申请日:20091221
实质审查的生效
2010-06-09
公开
公开
技术领域
本发明涉及一种用户终端之间安全连接的建立方法及系统。
背景技术
有线局域网一般为广播型网络，一个节点发出的数据，其他节点都能收到。网络上的各个节点共享信道，这给网络带来了极大的安全隐患。攻击者只要接入网络进行监听，就可以捕获网络上所有的数据包，从而窃取关键信息。
现有国家标准GB/T 15629.3(对应IEEE 802.3或者ISO/IEC 8802-3)定义的局域网LAN(Local Area Network)并不提供安全接入及数据保密方法，只要用户能接入局域网控制设备(如局域网交换设备)，就可以访问局域网中的设备或资源。这在早期企业网有线LAN应用环境下并不存在明显的安全隐患，但是随着网络的大规模发展，用户对信息的私密性要求不断提高，有必要实现数据链路层的数据保密。
在有线局域网中，IEEE通过对IEEE 802.3进行安全增强来实现链路层的安全。IEEE802.1AE为保护以太网提供数据加密协议，并采用逐跳加密的安全措施来实现网络实体之间信息的安全传达。但是，逐跳加密的这种安全措施要求交换设备对每一个需要转发的数据包都进行解密后再加密再转发，无疑给局域网中的交换设备带来了巨大的计算负担，容易引发攻击者对交换设备的攻击；且数据包从发送方传递到接收方的延时也会增大，降低了网络传输效率。
在有线局域网中，同一个交换设备SW(SWitch)下直连用户终端STA(STAtion)之间往往有大量的通信数据，这些通信数据的保密传输都会经过该交换设备。若通过交换设备的数据包要经过解密再加密后再进行转发，不但会增加交换设备的计算负担，增加网络的延时，也会大大降低了网络的传输效率。
发明内容
为了解决背景技术中存在的上述技术问题，本发明提供了一种用户终端之间安全连接的建立方法及系统，通过交换设备为其直连两个用户终端之间建立站间密钥来保护用户终端之间用户数据的机密性和完整性。
本发明的技术解决方案是：本发明提供了一种用户终端之间安全连接的建立方法，其特殊之处在于：所述方法包括以下步骤：
1)第一用户终端STA1向交换设备SW发送站间密钥请求分组；
2)交换设备SW收到第一用户终端STA1发来的站间密钥请求分组后，产生站间密钥，构造站间密钥通告分组并发送给第二用户终端STA2；
3)第二用户终端STA2收到交换设备SW发送的站间密钥通告分组后，构造站间密钥通告响应分组并发送给交换设备SW；
4)交换设备SW收到第二用户终端STA2发送的站间密钥通告响应分组后，构造站间密钥通告分组并发送给第一用户终端STA1；
5)第一用户终端STA1收到交换设备SW发送的站间密钥通告分组后，构造站间密钥通告响应分组并发送给交换设备SW；
6)交换设备SW接收第一用户终端STA1发送的站间密钥通告响应分组。
上述步骤1)的具体实现方式是：
当第一用户终端STA1要与第二用户终端STA2进行保密通信时，若用户终端STA1与用户终端STA2是同一交换设备SW下直连用户终端，第一用户终端STA1首先检查本地是否保存有与第二用户终端STA2共享的站间密钥，若有，则使用站间密钥加密数据包；若没有，则第一用户终端STA1构造站间密钥请求分组，发送给交换设备SW；所述站间密钥请求分组的主要内容包括：KN1字段以及MIC1字段；
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值为一个整数，初始值为一定值，在每次站间密钥请求时该字段值加1或增加一个定值使用；
MIC1字段：表示消息鉴别码，其值为第一用户终端STA1利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1对站间密钥请求分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
上述步骤2)的具体实现方式是：
2.1)交换设备SW收到第一用户终端STA1发来的站间密钥请求分组后，首先检查KN1字段是否单调递增，若不是，则丢弃该分组；若是，则执行步骤2.2)；
2.2)利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1验证站间密钥请求分组中MIC1字段的正确性，若正确，则执行步骤2.2)；若不正确，则丢弃该分组；
2.3)生成一个随机数作为第一用户终端STA1和第二用户终端STA2之间的站间密钥STAkey1-2，构造站间密钥通告分组，将其发送给第二用户终端STA2；站间密钥通告分组的主要内容包括：KN2字段、E2字段以及MIC2字段；
其中：
KN2字段：表示第二用户终端STA2的密钥通告标识，其值为一个整数，初始值为一定值，在每次站间密钥通告时该字段值加1或增加一个定值使用；
E2字段：表示密钥加密数据，是交换设备SW利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2对站间密钥STAkey1-2加密后的数据；
MIC2字段：表示消息鉴别码，其值为交换设备SW利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2对站间密钥通告分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
上述步骤3)的具体实现方式是：
3.1)第二用户终端STA2收到交换设备SW发送的站间密钥通告分组后，检查KN2字段是否单调递增，若不是，则丢弃该分组；若是，则执行步骤3.2)；
3.2)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2验证MIC2字段是否正确，若不正确，则丢弃该分组；若正确，则执行步骤3.3)；
3.3)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2解密E2字段即可得到与第一用户终端STA1之间的站间密钥STAkey1-2；
3.4)保存此次的密钥通告标识KN2字段的值，并构造站间密钥通告响应分组，发送给交换设备SW；站间密钥通告响应分组主要内容包括：KN2字段和MIC3字段；
其中：
KN2字段：表示第二用户终端STA2的密钥通告标识，其值同收到的站间密钥通告分组中的KN2字段的值；
MIC3字段：表示消息鉴别码，由第二用户终端STA2利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2对站间密钥通告响应分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
上述步骤4)的具体实现方式是：
4.1)交换设备SW收到第二用户终端STA2发送的站间密钥通告响应分组后，比较KN2字段与之前发送给第二用户终端STA2的站间密钥通告分组中的KN2字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤4.2)；
4.2)利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2验证MIC3字段的正确性，若不正确，则丢弃该分组；若正确，则保存此次的密钥通告标识KN2字段的值，完成将第一用户终端STA1与第二用户终端STA2之间的站间密钥STAkey1-2对第二用户终端STA2通告的过程，执行步骤4.3)；
4.3)根据之前通告给第二用户终端STA2的站间密钥STAkey1-2，构造站间密钥通告分组，将其发送给第一用户终端STA1；站间密钥通告分组主要内容包括：KN1字段、E1字段以及MIC4字段；
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值同之前收到的第一用户终端STA1发送的站间密钥请求分组中的KN1字段的值；
E1字段：表示密钥加密数据，是交换设备SW利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1对站间密钥STAkey1-2加密后的数据，其中站间密钥STAkey1-2同通告给第二用户终端STA2的站间密钥STAkey1-2；
MIC4字段：表示消息鉴别码，其值为交换设备SW利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1对站间密钥通告分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
上述步骤5)的具体实现方式是：
5.1)当第一用户终端STA1收到交换设备SW发送的站间密钥通告分组后，比较KN1字段值与之前发送的站间密钥请求分组中的KN1字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤5.2)；
5.2)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1验证MIC4字段是否正确，若不正确，则丢弃该分组；若正确，则执行步骤5.3)；
5.3)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1解密E1字段即可得到与第二用户终端STA2之间的站间密钥STAkey1-2；
5.4)保存此次的密钥通告标识KN1字段的值，并构造站间密钥通告响应分组，发送给交换设备SW；站间密钥通告响应分组内容包括：KN1字段以及MIC5字段；
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值同收到的站间密钥通告分组中的KN1字段的值；
MIC5字段：表示消息鉴别码，由第一用户终端STA1利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1对站间密钥通告响应分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
上述步骤6)的具体实现方式是：
6.1)当交换设备SW收到第一用户终端STA1发送的站间密钥通告响应分组后，比较KN1字段与之前发送给第一用户终端STA1的站间密钥通告分组中的KN1字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤6.2)；
6.2)利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1验证MIC5字段的正确性，若正确，则保存此次的密钥通告标识KN1字段的值，完成将第一用户终端STA1与第二用户终端STA2之间的站间密钥STAkey1-2对第一用户终端STA1通告的过程；若不正确，则丢弃该分组。
上述用户终端之间安全连接的建立方法还包括：
7)当第一用户终端STA1需要更新或者撤销与第二用户终端STA2之间的站间密钥时，构造站间密钥请求分组，发送给交换设备SW，或者当第二用户终端STA2需要更新或者撤销与第一用户终端STA1之间的站间密钥时，构造站间密钥请求分组，发送给交换设备SW，请求更新或撤销第一用户终端STA1和第二用户终端STA2之间的站间密钥STAkey1-2；该站间密钥的更新或撤销过程同站间密钥的建立过程，在具体实现时，通过在上述的每个分组中增加一个标识字段进行区分，用于标识通过交换设备SW完成第一用户终端STA1和第二用户终端STA2之间站间密钥的建立、撤销或者更新过程。
一种用户终端之间安全连接的建立系统，其特殊之处在于：所述同一交换设备下直连用户终端之间安全连接的建立系统包括向交换设备SW发送站间密钥请求分组和站间密钥通告响应分组、接收交换设备SW的站间密钥通告分组并和第二用户终端STA2进行保密通信的第一用户终端STA1；接收站间密钥请求分组并向第二用户终端STA2发送站间密钥通告分组、接收第二用户终端STA2发送的站间密钥通告响应分组、向第一用户终端STA1发送站间密钥通告分组、接收第一用户终端STA1发送的站间密钥通告响应分组的交换设备SW以及接收交换设备SW发送的站间密钥通告分组并向交换设备SW发送站间密钥通告响应分组并和第一用户终端STA1进行保密通信的第二用户终端STA2。
本发明的优点是：本发明所提供的用户终端之间安全连接的建立方法及系统，是在交换设备与直连用户终端之间通过预分发或其他安全机制已建立共享的单播密钥基础上，通过交换设备SW为该交换设备下两直连用户终端之间建立共享密钥，即站间密钥STAkey，并将该密钥用于彼此之间数据的通信过程，保证了数据链路层同一交换设备下直连用户终端之间数据传递过程的机密性，并使得交换设备对其下的站间通信数据实现透传。相比传统方法，减轻了交换设备的计算负担，提高了网络传输效率。
附图说明
图1为本发明所提供站间密钥建立方法示意图；
图2为本发明所提供的用户终端间安全连接建立示意图。
具体实施方式
本发明中定义的交换设备SW下的直连用户终端是指直接连接在交换设备SW某个端口下的用户终端，包括通过网线直接连接到交换设备SW的用户终端及通过集线器(hub)等物理层设备连接到交换设备SW的用户终端。通过其他设备连接到交换设备SW的用户终端不属于交换设备SW的直连用户终端。
第一用户终端STA1和第二用户终端STA2分别与交换设备SW已建立安全连接，即已分别具有共享的单播密钥，本发明可以通过交换设备SW为第一用户终端STA1和第二用户终端STA2之间建立共享的站间密钥，即建立它们之间的安全连接。
本发明中定义的单播密钥包含协议数据密钥PDK(Protocol Data Key)和用户数据密钥UDK(User Data Key)两部分，其中协议数据密钥PDK用于保护设备之间协议数据中密钥数据的机密性及协议数据的完整性，用户数据密钥UDK用于保护设备之间用户数据的机密性和完整性。在实际应用时，协议数据密钥PDK和用户数据密钥UDK的结构可以根据分组密码算法工作的模式不同而有所变化，用于保护数据机密性和完整性的密钥可相同，也可不同。本发明对单播密钥的建立机制不予定义和限制。
假设，在网络中，交换设备与用户终端之间通过预分发或其他安全机制已经建立了安全连接，即已具有共享的单播密钥。参见图1和图2，本发明提供了一种用户终端之间安全连接的建立方法及系统，该方法为同一交换设备下直连用户终端两两之间建立站间密钥。
以交换设备SW下第一用户终端STA1和第二用户终端STA2建立站间密钥STAkey1-2为例，其建立过程是由第一用户终端STA1发送站间密钥请求给交换设备SW，之后由交换设备SW生成一个随机数，作为第一用户终端STA1和第二用户终端STA2的站间密钥STAkey1-2，并先后将此站间密钥STAkey1-2秘密通告给第二用户终端STA2和第一用户终端STA1。整个过程共包含五个步骤：第一用户终端STA1向交换设备SW发送站间密钥请求，请求建立第一用户终端STA1和第二用户终端STA2的站间密钥；交换设备SW对第二用户终端STA2进行站间密钥通告，第二用户终端STA2进行站间密钥通告响应；接着交换设备SW对第一用户终端STA1进行站间密钥通告以及第一用户终端STA1进行站间密钥通告响应。其中交换设备SW对第一用户终端STA1的通告及第一用户终端STA1的响应与交换设备SW对第二用户终端STA2的通告及第二用户终端STA2的响应类似，只是通告站间密钥所使用的协议数据密钥PDK不同而已。
交换设备SW对用户终端STA1/STA2的站间密钥通告过程可以是通知用户终端STA1/STA2建立与用户终端STA2/STA1之间的站间密钥，也可以是通知用户终端STA1/STA2更新与用户终端STA2/STA1之间的站间密钥，还可以是通知用户终端STA1/STA2撤销与用户终端STA2/STA1之间的站间密钥。建立、更新、撤销的过程是一样的，在具体实现时可以通过携带一个标识字段进行区分。
站间密钥建立的具体方案如下：
1)站间密钥请求：
当第一用户终端STA1要与第二用户终端STA2进行保密通信时，若用户终端STA1与用户终端STA2是同一交换设备SW下的直连用户终端，第一用户终端STA1首先检查本地是否保存有与第二用户终端STA2共享的站间密钥，若有，则使用站间密钥加密数据包；若没有，则第一用户终端STA1构造站间密钥请求分组，发送给交换设备SW；
站间密钥请求分组的主要内容包括：
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值为一个整数，初始值为一定值，在每次站间密钥请求时该字段值加1或增加一个定值使用；
MIC1字段：表示消息鉴别码，其值为第一用户终端STA1利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1对站间密钥请求分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
2)交换设备SW对第二用户终端STA2进行站间密钥通告：
交换设备SW收到第一用户终端STA1发来的站间密钥请求分组后，进行如下处理：
2.1)检查KN1字段是否单调递增，若不是，则丢弃该分组；若是，则执行步骤2.2)；
2.2)利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1验证站间密钥请求分组中MIC1字段的正确性，若正确，则执行步骤2.2)；若不正确，则丢弃该分组；
2.3)生成一个随机数作为第一用户终端STA1和第二用户终端STA2之间的站间密钥STAkey1-2，构造站间密钥通告分组，将其发送给第二用户终端STA2；
站间密钥通告分组的主要内容包括：
其中：
KN2字段：表示第二用户终端STA2的密钥通告标识，其值为一个整数，初始值为一定值，在每次站间密钥通告时该字段值加1或增加一个定值使用；
E2字段：表示密钥加密数据，是交换设备SW利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2对站间密钥STAkey1-2加密后的数据；
MIC2字段：表示消息鉴别码，其值为交换设备SW利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2对站间密钥通告分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
3)第二用户终端STA2进行站间密钥通告响应：
当第二用户终端STA2收到交换设备SW发送的站间密钥通告分组后，进行如下处理：
3.1)检查KN2字段是否单调递增，若不是，则丢弃该分组；若是，则执行步骤3.2)；
3.2)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2验证MIC2字段是否正确，若不正确，则丢弃该分组；若正确，则执行步骤3.3)；
3.3)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2解密E2字段即可得到与第一用户终端STA1之间的站间密钥STAkey1-2；
3.4)保存此次的密钥通告标识KN2字段的值，并构造站间密钥通告响应分组，发送给交换设备SW。
站间密钥通告响应分组主要内容包括：
其中：
KN2字段：表示第二用户终端STA2的密钥通告标识，其值同收到的站间密钥通告分组中的KN2字段的值；
MIC3字段：表示消息鉴别码，由第二用户终端STA2利用与交换设备SW共享的单播密钥中的协议数据密钥PDK2对站间密钥通告响应分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
4)交换设备SW对第一用户终端STA1进行站间密钥通告：
交换设备SW收到第二用户终端STA2发送的站间密钥通告响应分组后进行如下处理：
4.1)比较KN2字段与之前发送给第二用户终端STA2的站间密钥通告分组中的KN2字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤4.2)；
4.2)利用与第二用户终端STA2共享的单播密钥中的协议数据密钥PDK2验证MIC3字段的正确性，若不正确，则丢弃该分组；若正确，则保存此次的密钥通告标识KN2字段的值，完成将第一用户终端STA1与第二用户终端STA2之间的站间密钥STAkey1-2对第二用户终端STA2通告的过程，并执行步骤4.3)；
4.3)根据之前通告给第二用户终端STA2的站间密钥STAkey1-2，构造站间密钥通告分组，将其发送给第一用户终端STA1。
站间密钥通告分组的主要内容包括：
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值同之前收到的第一用户终端STA1发送的站间密钥请求分组中的KN1字段的值；
E1字段：表示密钥加密数据，是交换设备SW利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1对站间密钥STAkey1-2加密后的数据，其中站间密钥STAkey1-2同通告给第二用户终端STA2的站间密钥STAkey1-2；
MIC4字段：表示消息鉴别码，其值为交换设备SW利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1对站间密钥通告分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
5)第一用户终端STA1进行站间密钥通告响应：
当第一用户终端STA1收到交换设备SW发送的站间密钥通告分组后，进行如下处理：
5.1)比较KN1字段值与之前发送的站间密钥请求分组中的KN1字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤5.2)；
5.2)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1验证MIC4字段是否正确，若不正确，则丢弃该分组；若正确，则执行步骤5.3)；
5.3)利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1解密E1字段即可得到与第二用户终端STA2之间的站间密钥STAkey1-2；
5.4)保存此次的密钥通告标识KN1字段的值，并构造站间密钥通告响应分组，发送给交换设备SW。
站间密钥通告响应分组主要内容包括：
其中：
KN1字段：表示第一用户终端STA1的密钥通告标识，其值同收到的站间密钥通告分组中的KN1字段的值；
MIC5字段：表示消息鉴别码，由第一用户终端STA1利用与交换设备SW共享的单播密钥中的协议数据密钥PDK1对站间密钥通告响应分组中本字段外的其他字段通过杂凑函数计算得到的杂凑值。
6)交换设备SW收到第一用户终端STA1发送的站间密钥通告响应分组后进行如下处理：
6.1)比较KN1字段与之前发送给第一用户终端STA1的站间密钥通告分组中的KN1字段值是否一致，若不一致，则丢弃该分组；若一致，则执行步骤6.2)；
6.2)利用与第一用户终端STA1共享的单播密钥中的协议数据密钥PDK1验证MIC5字段的正确性，若正确，则保存此次的密钥通告标识KN1字段的值，完成将第一用户终端STA1与第二用户终端STA2之间的站间密钥STAkey1-2对第一用户终端STA1通告的过程；若不正确，则丢弃该分组。
在此，对上述用户终端STA的密钥通告标识KN字段的维护和使用补充解释如下：每个用户终端STA将维护一个密钥通告标识KN，其取值为一个整数，初始值为一个定值，在每次发起站间密钥请求分组时会主动对该值加1或增加一个定值后使用，并在每次收到正确的站间密钥通告分组后会根据其中的密钥通告标识KN字段的值对该值进行更新；交换设备SW为其下所有直连用户终端分别维护一个密钥通告标识KN，当其需要为某用户终端主动通告站间密钥时会对该用户终端的密钥通告标识KN的值加1或增加一个定值后使用，并在每次收到正确的站间密钥通告响应分组后会根据其中的密钥通告标识KN字段的值对该值进行更新。在上述实施例中，交换设备SW对第二用户终端STA2的站间密钥通告过程即为主动通告过程，对第一用户终端STA1的站间密钥通告过程则为被动通告过程。在上述实施例中，第一用户终端STA1维护一个密钥通告标识KN1，第二用户终端STA2维护一个密钥通告标识KN2，交换设备SW分别为第一用户终端STA1和第二用户终端STA2维护密钥通告标识KN1和密钥通告标识KN2；第一用户终端STA1对自己维护的密钥通告标识KN1加1或增加一个定值后用于发起站间密钥请求分组，交换设备SW对维护的第二用户终端STA2的密钥通告标识KN2加1或增加一个定值后用于主动向第二用户终端STA2发起站间密钥通告分组，第二用户终端STA2收到正确的站间密钥通告分组后会根据其中的密钥通告标识KN2字段的值对自己维护的密钥通告标识KN2的值进行更新，交换设备SW收到正确的第二用户终端STA2发送的站间密钥通告响应分组后会根据其中的密钥通告标识KN2字段的值对自己维护的密钥通告标识KN2的值进行更新，交换设备SW使用站间密钥请求分组中的密钥通告标识KN1被动地向第一用户终端STA1发起站间密钥通告分组，第一用户终端STA1收到正确的站间密钥通告分组后会根据其中的密钥通告标识KN1字段的值对自己维护的密钥通告标识KN1的值进行更新，当交换设备SW收到正确的第一用户终端STA1发送的站间密钥通告响应分组后会根据其中的密钥通告标识KN1字段的值对自己维护的密钥通告标识KN1的值进行更新。
交换设备SW根据第一用户终端STA1的请求为第一用户终端STA1和第二用户终端STA2建立站间密钥过程中，需要先完成对第二用户终端STA2的通告，再完成对第一用户终端STA1的通告。只有对第二用户终端STA2和第一用户终端STA1的通告都成功才完成整个站间密钥建立过程。
若用户终端STA1/STA2需要更新或者撤销与用户终端STA2/STA1之间的站间密钥，也需要构造站间密钥请求分组，发送给交换设备SW，请求更新或撤销用户终端STA1和用户终端STA2之间的站间密钥STAkey1-2。站间密钥的更新或撤销过程和站间密钥的建立过程相同，在具体实现时，可通过在上述的每个分组中增加一个标识字段进行区分，用于标识通过交换设备SW完成用户终端STA1和用户终端STA2之间站间密钥的建立、撤销或者更新过程。
实际实现时，若对用户终端STA2和STA1的通告不成功，可通过重新通告机制重新发起通告。若对第二用户终端STA2的通告在达到设定的最大重新通告次数仍没有取得成功，则认为无法为用户终端STA1和STA2建立站间密钥；若对第二用户终端STA2的通告取得成功，但对第一用户终端STA1的通告在达到设定的最大重新通告次数仍没有取得成功，则认为无法为用户终端STA1和STA2建立站间密钥，此时需要通知第二用户终端STA2撤销刚建立的与第一用户终端STA1之间的站间密钥，即交换设备SW构造站间密钥通告分组给第二用户终端STA2，并且分组中需要设置撤销标识。
在用户终端STA1和STA2之间需要保密通信时，用户终端STA1和STA2均可发起站间密钥请求。根据本地策略，若站间密钥是双向的，可选择由MAC地址大的用户终端发起建立的站间密钥作为它们之间数据保密传输使用的密钥；若站间密钥是单向的，则用户终端STA1/STA2发送数据包到用户终端STA2/STA1时，使用用户终端STA1/STA2发起的站间密钥建立过程建立的站间密钥加密数据包，用户终端STA1/STA2接收来自用户终端STA2/STA1的数据包时，使用用户终端STA2/STA1发起的站间密钥建立过程建立的站间密钥解密数据包。
如图2所示，用户终端STA1和STA2均为交换设备SW的直连用户终端，在站间密钥建立之前，假设用户终端STA1和STA2均分别与交换设备SW建立了安全连接，即分别和交换设备SW共享有单播密钥，见图2中的(PDK1、UDK1)和(PDK2、UDK2)。用户终端STA1和STA2利用交换设备SW通过站间密钥建立过程，即执行完图2中的消息1-5后，建立起站间密钥，见图2中的(STAkey1-2)，此时，用户终端STA1和STA2之间的通信数据包就直接使用该站间密钥STAkey1-2进行加密解密，交换设备SW对于这些数据包直接透传，无需加解密处理，相比传统技术降低了交换设备的处理负担，减小了数据传输时延。
一种用户终端之间安全连接的建立系统，其特殊之处在于：所述同一交换设备下直连用户终端之间安全连接的建立系统包括向交换设备SW发送站间密钥请求分组和站间密钥通告响应分组、接收交换设备SW的站间密钥通告分组并和第二用户终端STA2进行保密通信的第一用户终端STA1；接收站间密钥请求分组并向第二用户终端STA2发送站间密钥通告分组、接收第二用户终端STA2发送的站间密钥通告响应分组、向第一用户终端STA1发送站间密钥通告分组、接收第一用户终端STA1发送的站间密钥通告响应分组的交换设备SW以及接收交换设备SW发送的站间密钥通告分组并向交换设备SW发送站间密钥通告响应分组并和第一用户终端STA1进行保密通信的第二用户终端STA2。
上述同一交换设备下两直连用户终端之间的站间密钥建立方法还可以适应于下述情况：在局域网中，当两个用户终端通过交换设备系统进行数据通信时，其中交换设备系统可由多台交换设备组成，若这些交换设备中有的属于二层交换设备，有的属于三层交换设备，此时在两个用户终端数据交换路由中，可建立(1)发送用户终端和发送路由中第一个三层交换设备之间的安全连接，(2)发送路由中相邻三层交换设备之间的安全连接，(3)发送路由中最末一个三层交换设备和接收用户终端之间的安全连接，从而实现两个用户终端之间的保密通信。这三种安全连接中(1)和(3)的建立方法可以采用本发明中上述的站间密钥建立方法来实现，其中(1)中安全连接建立时，图1和图2中SW设备由与STA1直连的交换设备来担当，STA2由发送路由中第一个三层交换设备来担当；(3)中安全连接建立时，图1和图2中SW设备由与STA2直连的交换设备来担当，STA1由发送路由中最末一个三层交换设备来担当。对于安全连接(2)即三层交换设备之间的安全连接建立方法本发明不予定义和限制。
机译： 建立用户终端之间安全连接的方法和系统
机译： 建立用户终端之间安全连接的方法和系统
机译： 建立用户终端之间安全连接的方法和系统
