1、SJ 中华人民共和国电子行业军用标准FL 5810 SJ 20952-2005 短波、超短波电台保密机无线密钥分配协议Protocol for wireless key distribution of HF orVHF几JHFradio secret set 2006-0118发布2006-06-01实施中华人民共和国信息产业部批准目IJ 本标准由信息产业部电子第四研究所归口。本标准由中国电子科技集团公司第三十研究所负责起草。本标准主要起草人:代祥军、苏肠、黄怀信。SJ 20952-2005 SJ 20952-2005 短波、超短波电台保密机无线密钥分配协议1 范围本标准规定了短波、超短波电台
2、保密机无线密钥分配的通用协议，包括短波、超短波电台密钥分配中心与电台的接口、保密机对无线密钥分配的判别、双向身份认证、无线密钥分配流程、误差控制方式、密钥数据存储等。本标准适用于短波、超短波电台密钥华且才击毒草机、超短波保密机的设计与研制。2 引用文件下列文件中的有改单(不包括勘误的本的可能性。GBff 61 GJB 321 3. 1. 1 短波、会话密钥加密或解密3. 1. 3 主密钥mast 3. 2 缩略语下列缩略语适用于本标准。-盲节，、h、DB9一一通用计算机标准串口插座:KDC一一密钥分配中心:PTT一一电台键控:SEC一一保密机;SLJP一一串行线网际协议。4要求4. 1 KDC
3、与电台的接口4. 1. 1 与数字电台的接口4. 1. 1. 1 描述|用文件，其后的任何修方探讨使用其最新版SJ 20952-2005 。c与数字电台的接口应符合GB厅6107-2000的规定。4. 1. 1.2 连接器KDC端连接器采用DB9插座，各引脚定义见表l。表1与数字电台接口引脚定义。B9信号名称说明信号去向管脚序号 丐2 RXD (收数据)KDC收数据电台KDC3 TXD (发数据)KDC发数据KDC电台4 空5 GND (地)6 。.L守7 。守-8 二写在; 9 空4. 1. 1.3 电气特性电气特性应符合GB厅6107-2o第2章电气信号特性的规定。4. 1. 1. 4 通
4、信字格式采用异步通信方式:1位起始位低电平)，8位数据位(最低有效位在先)，1位停止位(高电平)。4. 1. 1.5 通信协议符合SLIP的规定。4.1.2 与短波电台的音频接口4. 1.2.1 连接器KDC端连接器采用DB9插座，各引脚定义见表2。DB9 管脚序号1 2 3 4 5 6 7 8 9 4.1.2.2 电气特性电气特性包括:a)音频信号表2与短波电台引脚定义信号名称说明MI1 音颇输入lMI2 音频输入2GND 电台地MOl 音颇输出lM02 音频输出2AGND 信号地PTT 电台键控空世L之输入电平OdBm(标称值)，阻抗600X (1 :t 10%) Q，平衡:输出电平(0士
5、3)dBm，阻抗100X(1士10%)Q，平衡。2 信亏去:J电台KDC电台KDCKDC电台KDC电台KDC电台SJ 20952一2005b)控制信号PTT有效:闭合(电压OV，电流100mA) ; PTT无效:开路(输出阻抗不小于9kQ)。4.1 . 3 与超短波电台的基带接口4. 1. 3. 1 连接器KDC端连接器采用DB9插座，各引脚定义见表3。表3与超短波电台引脚定义DB9 管脚序号信号名称说明信号去向4.1.3.2电a)基带输入输出2-3-4-5-6-7-8-9 电台KDC电台KDC电台键控4. 2 4. 2. 2 保密机主密钥主密钥不少于16组，每组不少机的主密钥存储区。4. 2
6、. 3 保密机工作密钥的存储工作密钥分为A、B区存储。4. 2. 4 保密机对信道设备的控制保密机应能控制信道设备(短波、超短波电台)收、发状态。一般可以主动控制电台PTT。注入设备注入到保密机并存储在保密4. 3 无线密钥分配的方式无线密钥分配一般采用点对点分配方式，无线密钥分配时，保密机与电台、KDC的关系如图l所刁。3 SJ 20952-2005 短波(模拟)电台短波(模拟)电台短波保密机超短波(模拟)电台超短波(模拟电台超短波保密机短波或超短波数字电台短波或超短波数字电台保密机图1无线密钥分配示意图当在紧急情况下和需要快速分发密钥时，可以采用广播式密钥分配方式。4.4 无线密钥分配可靠
7、性当信道误码率优于5X 10-2时，短波、超短波数传设备工作在数据传输方式时，无线密钥分配可靠性不小于99%。4.5 差错控制无线密钥分配时采用前向纠错(阳C)、自动反馈重传(ARQ)混合方式，最大重传次数为三次。当在广播密钥分配方式时，差错控制无效。4.6 纠错编码无线密钥分配时采用的纠错编码为RS(36, 24)。4. 7 检错码无线密钥分配时采用的检错码为循环冗余检验码(CRC)，信息段长度为70个字节，校验段长度为两个字节，表示为CRC(72 , 70) ，生成多项式为X16+X15+X5+1o4.8 数据打包4.8.1 点对点分配方式发送端发送数据时数据打包的步骤框图如图2所示。数据
8、用私有J密切加密CRC校验问RS纠错编码图2点对点分配方式数据打包框图4.8.2 广播分配方式发送端发送数据时数据打包的步骤框图如图3所示。数据月1通播主密非j加密CRC校验码RS纠错编码图3广播分配方式数据打包框图4.9 数据提取4 SJ 20952- 2005 4. 9.1 点对点密钥分配方式接收端提取数据的步骤框图如图4所示。RS纠错解码用私有主密钥解密数据图4点对点式分配数据提取框图数据记为:形式1，如图6所示。图7数据组织结构形式24. 10.2 特征码描述特征码用于区别无线密钥分发和业务通信。特征码用一组CRC( 9, 7)码表示，重发九组。保密机对接收到的特征码进行CRC校验;当
9、正确收到五组以上特征码时，则判定此次通信为为无线密钥分配。4. 10. 3 控制帧4. 10. 3. 1 描述控制帧是通过RS( 36, 24)编码后的带有命令字和控制信息的帧，共36个字节。其中进行RS编码前的信息段长度为24字节，各宇段定义如图8所示。5 SJ 20952-2005 24字节主密钥加密保护的字段(16字节)字l字节2字节2字节1字节2字节l字节4字节4字节1字节l字节3字节2字节图8控制帧结构4.10.3.2 命令字命令字标示通信的功能，长度为一个字节。其定义如表4所示。表4命令字定义序号命令名称符号命令字编码方向数据结构形式说明KDC联络KDCCALL OxF2 KDC
10、SEC 形式22 KDC联络应答KDCANSWER OxEC SEC KDC 形式23 KDC分配密钥DK OxEA KDC SEC 形式1数据帧携带密钥数据4 KDC重发数据-EXT OxEO 形式1数据帧携带密KDC SEC 钥数据5 请求重传REPEAT OxE6 SEC KDC 形式26 差错重传形式1数据帧携带出RETX OxDA SEC KDC 错包序7 确认应答ACK OxFO KDCSEC 形式28 KDC更换密钥区CHAB OxE8 KDC SEC 形式29 SEC申请密钥ASK OxE4 SEC KDC 形式210 KDC毁钥DESK OxE2 KDC SEC 形式211
11、KDC查询QUERY OxD8 KDC SEC 形式212 KDC迫出命令CANCEL OxD4 KDC SEC 形式213 SEC联络SECCALL OxD2 SEC KDC 形式214 SEC联络应答SECANSWER OxCC KDC SEC 形式2KDC广播密钥分发形式l数据帧携带密15 BROADDK OxCE KDC SEC 钥数据16 SEC广播分发应符BACK OxAE SEC KDC 形式2一一一L二-4.10.3.3 接收方设备号设备标识符，长为二个字节，全网统一编号。4.10.3.4 发送方设备号设备标识符，长为二个字节，全网统一编号。4.10.3.5 主密钥号表示该次通
12、信中使用的主密钥分组编号，长度为一个字节。4.10.3.6 有效数据字节长度6 SJ 20952- 2005 长度为二个字节，用来表示数据帧中所携带的有效数据字节数量。有效数据字节长度不含CRC校验码以及RS校验码长度。同时对数据帧中多余的填充数据不计算在内。4. 10. 3. 7 保密机类型用来标识该次操作的保密机类型，长度为一个字节。短波保密机的类型码为Ox45;超短波保密机的类型码为OxBAo4.10. 3. 8 本地指纹发送方产生的四字节的随机数，用于确认通信双方的身份。4. 10. 3.9 对端指纹取反将发方指纹取反后的数据。4. 10. 3. 10 密钥AlB区标志用来表示当前命令
13、所针对的工作表示对A和B区同时操作;Ox45 口dd棚认气陆阳密月f当的毛，工密钥一不应?1表对21来一本JX3用表j阳山子m4数4成多项式为:4. 10. 3. 14 主密钥反、密钥AIB4.10.4.1描数据帧仅出数据帧分为若干包4. 10.4. 2 数据帧的数据帧分为分配密4. 10. 4. 3 数据帧的生成首先使用控制帧中主密钥(72 , 70)打包(对于有效宇节不是进行纠错编码，生成数据帧。4.10. 4.4 数据帧的数据提取首先使用RS(36, 24)进行纠错解码，其次进行CRC(72 , 70)检错，再执行ARQ协议，最后使用控制帧中密钥号所对应的主密钥和保护算法对相应的数据段进
14、行解密。4.10. 4. 5 ARQ信息数据帧的形成ARQ信息数据帧仅出现在差错重传(RETX)命令的控制帧之后，用于发送出错包序号，其中每一序号使用一一个字节表示。4. 11 无线密钥分配协议及流程4.11 . 1 KDC密钥分配流程KDC密钥分配流程如下:7 SJ 20952-2005 a) KDC发送KDC联络CKDCCALL) 命令到保密机，保密机在收到该命令后判断ID号是否对应的是自己，如果是，则应回答KDC联络应答CKDCANSWER)命令:b)如果在规定时间内KDC没有收到KDC联络应答CKDCANSWER) 命令，则重复a)，连续三次重复a)后还没有收到保密机的KDC联络应答C
15、KDCANSWER) 命令，则宣告联络通信失败:c) KDC收到保密机KDC联络应答CKDCANSWER) 命令则转d);d) KDC发送KDC分配密钥CDK)命令到保密机，保密机收到后应根据检错情况回答请求重传CREPEAT)、差错重传CRETX)和确认应答CACK)之中的一种命令:的如果KDC在规定时间内没有收到保密机发来的请求重传CREPEAT)、差错重传CRETX) 和确认应答CACK)之中的一种命令，则重复d)，连续三次重复d)后还没有收到这三种命令之一，则分配通信失败:f) KDC若收到确认应答CACK)命令，则表示本次密钥分配成功并结束:g)如果KDC收到请求重传CREPEAT)
16、则重复d);h)如果KDC收到差错重传CRETX)命令，则组织好重发数据的包，发送KDC重发数据CEXT) 到保密机:i) KDC在连续三次收到请求重传CREPEAT)或差错重传CRETX)命令，则表示分配通信失败。4.1 1. 2 KDC查询命令流程KDC查询命令流程如下:a) KDC发送KDC联络CKDCCALL) 命令到保密机，保密机在收到该命令后判断ID号对应的是否本机，如果是应回答KDC联络应答CKDCANSWER) 命令:b)如果在规定时间内KDC没有收到KDC联络应答CKDCANSWER) 命令，则重复a)，连续三次重复a)后还没有收到KDC联络应答CKDCANSWER) 命令，
17、则宣告联络通信失败:c) KDC收到KDC联络应答CKDCANSWER) 命令则转d);d) KDC发送KDC查询CQUERY)命令到保密机，保密机收到该命令后组织好自己的密钥信息并发送确认应答CACK) ; e)如果在规定时间KDC内没有收到确认应答CACK)命令则跳到d)，连续三次后宣告查询通信失败:KDC收到确认应答CACK)命令则本次查询成功并结束。4.1 1. 3 KDC更换密钥区命令流程KDC更换密钥区命令流程如下:a) KDC发送KDC联络CKDCCALL) 命令到保密机，保密机在收到该命令后判断ID号对应的是否本机，如果是应回答KDC联络应答CKDCANSWER) 命令:b)如
18、果在规定时间内KDC没有收到KDC联络应答CKDCANSWER)命令，则重复a)，连续三次重复a后还没有收到KDC联络应答CKDCANSWER) 命令，则宣告联络通信失败:c) KDC收到KDC联络应答CKDCANSWER )命令则转d);d) KDC发送KDC更换密钥区CCHAB)命令到保密机，保密机正确收到后发送确认应答CACK)命令到KDC;e)如果在规定时间内KDC没有收到确认应答CACK)命令则跳到d)，连续三次后宣告更换通信失败:。KDC如果收到确认应答CACK)命令则本次密钥区更换成功并结束。4.1 1. 4 KDC遥控毁钥命令流程8 SJ 20952-2005 KDC遥控毁钥命
19、令流程如下:a) KDC发送KDC联络(KDCCALL)命令到保密机，保密机在收到该命令后判断ID号对应的是否本机，如果是应回答KDC联络应答(KDCANSWER)命令:b)如果在规定时间内KDC没有收到KDC联络应答(KDCANSWER)命令，则重复时，连续三次重复的后压没有收到KDC联络应答(KDCANSWER)命令，则宣告联络通信失败:c) KDC收到KDC联络应答(KDCANSWER) 命令则转d);d) KDC发送KDC毁钥(DESK)命令到保密机，保密机正确收到后发送确认应答(ACK) 命令到KDC;e)如果在规定时间内KDC没有收到确认应答(ACK)命令则跳到d)，连续三次后宣告
20、毁钥通信失败:KDC如果收到确认应答(4. 11 . 5 保密机主动申请保密机主动申请密的保密机发送法性，如果b)如果在规重复a)c)保密机a)命令用b)收端在对加密后a) KDC使用通播主密命令到保密机，保密机收到存该密钥，否则则丢弃;，判断该保密机的合密机;复a)，连续三次失败:反字段采值取反后填充，用主密钥KDC广播密钥分发(DK) 成功或者失败;如果接收正确将保b) 20秒后，KDC使用通播主密钥加密信息数据和工作密钥，发送第二次KDC广播密钥分发:(DK) 命令到保密机，保密机收到后应根据检错情况确定接收密钥成功或者失败:如果接收正确，将和本机的己有的工作密钥库版本号比较，相同则丢弃
21、;如果接收错误则丢弃:c) 20秒后，KDC使用通播主密钥加密信息数据和工作密钥，发送第三次KDC广播密钥分发(DK)命令到保密机，保密机收到后应根据检错情况确定接收密钥成功或者失败;如果接收正确，将和本机的己有的工作密钥库版本号比较，相同则丢弃;如果接收错误则去弃:d)网内各保密机在各自规定的时间内，发送SEC广播分发应答(ACK)到KDC，该命令可以根据具体信道空闲情况安排应答时间。9 的OON-NmOON，中华人民共和国电子行业军用标准短波、超短波电台保密机无线密钥分配协议SJ 20952-2005 编制发行* 中国电子技术标准化研究所中国电子技术标准化研究所电话:(010) 84029065 传真:(010) 64007812 地址:北京市安定门东大街1号邮编:100007 网址: * 字数:28千字7 印张:百2006年9月第一版2006年9月第一次印刷印数:200册定价:17元1/16 开本:880X 1230 版权专有不得翻印举报电话:(010) 64007804
