智简园区交换机MACsec技术白皮书

华为智简园区交换机 MACsec

技术白皮书

前言

摘要

MACsec（802.1AE）提供同一个局域网内，设备端口MAC 层之间的安全通信服务，主

要包含以下方面：数据机密性、数据完整性、数据来源真实性以及重放保护。

关键词

MACsec 802.1AE

目录

前言 (ii)

1概述 (4)

2MACsec 技术原理 (5)

2.1 MACsec 典型组网模式 (5)

2.1.1面向主机点到点模式 (5)

2.1.2面向设备点到点模式 (6)

2.2 MACsec 基本概念 (6)

2.3 MACsec 运行机制 (8)

2.4 MACsec 密钥体系 (10)

2.4.1密钥体系结构 (10)

2.4.2密钥派生关系 (11)

2.5 MKA 密钥协商交互流程 (12)

2.6 MACsec 数据加解密转发 (13)

3典型组网应用 (15)

3.1 局域网MACsec 典型组网 (15)

3.2 中间有传输设备MACsec 典型组网 (15)

4 附录 (17)

1 概述

MACsec（Media Access Control Security）定义了基于IEEE 802 局域网络的数据安全通信的方法。MACsec 可为用户提供安全的MAC 层数据发送和接收服务，包括用户数据加密（C o n fid e n tia l ity）、数据帧完整性检查（D a ta in te g rit y）、数据源真实性校验（D a t a o rigin a u th e n tic it y）及重放保护（Re p l ay p r o te c tio n）。

MACsec 主要涉及IEEE802.1AE 和802.1X 两个协议规范：IEEE802.1AE-2006 定义了数据封装、加密和认证的帧格式；802.1X-2010 中的MKA（MACsec Key Agreement）定义了密钥管理协议，提供了Peer-to-Peer 方式或Group 方式的密钥建立机制，使用MKA 协议协商生成的密钥对已认证的用户数据进行加密和完整性检查，可以避免端口处理未认证设备的报文或者未认证设备篡改的报文。

MACsec 不是对现有端到端IPSec、TLS 等三层安全技术的替代，而是它们的互补技术。MACsec 使用二层加密技术，提供逐跳设备的数据安全传输，适用于政府、军队、金融等对数据机密性要求较高的场合，如局域网两台交换机设备之间经过光传输设备，通过MACsec 加密技术可保证数据在中间传输设备上安全传输。

2 MACsec 技术原理

2.1 MACsec 典型组网模式

MACsec 常用的组网模式有：面向主机点到点模式、面向设备点到点模式。

2.1.1面向主机点到点模式

如图2-1 所示，面向主机点到点模式用于保护Client 主机和设备之间的数据帧传输。

图2-1 面向主机点到点模式

该组网模式包括以下三个组成元素：

●客户端（Client）

客户端是请求接入局域网的用户终端，由局域网中接入设备对其进行认证，并执行

MACsec 密钥协商和报文加密功能。

●接入设备（Device）

接入设备控制客户端的接入，通过与认证服务器的交互，对连接的客户端进行802.1X

认证，并执行MACsec 密钥协商和报文加密功能。

●认证服务器（Authentication Server）

认证服务器通常是AAA 服务器，用于对客户端进行Radius 认证、授权和计费。客户端

通过认证后，认证服务器为客户端和接入设备分发密钥,用于后续的MACsec 密钥协商。

2.1.2面向设备点到点模式

如图2-2 所示，面向设备点到点模式用于保护两台设备之间的数据帧传输。该模式下，

无客户端和接入设备角色之分，可以不需要认证服务器，互连的两台设备可直接通过命令

行配置CAK 密钥进行MACsec 密钥协商和报文加密功能。

图2-2 面向设备点到点模式

?说明

华为交换机MACsec 暂不支持面向主机点到点模式，支持面向设备点到点模式，本文后续

主要介绍该模式原理。

2.2 MACsec 基本概念

MKA

MKA（MACsec Key Agreement protocol）用于MACsec 数据加密密钥的协商协议。

CA

CA（Secure Connectivity Association，安全连接关联）指通过一个LAN 互连的支持

MACsec 的全连接的端口集合。CA 由MKA 创建和维护，CA 成员称为CA 的参与者。

CAK

CAK（Secure Connectivity Association Key，安全连接关联密钥）不直接用于数据报

文的加密，由它和其他参数派生出数据报文的加密密钥。CAK 可以在802.1X 认证过程

中下发，也可以由用户直接静态配置。

CKN

CKN（Secure Connectivity Association Key Name，安全连接关联密钥名称）是对应

CAK 的名称。

SC

SC（Secure Channel，安全通道）是CA 参与者之间用于传输MAC 安全数据的安全通

道。每个SC 提供单向点到点或点到多点的通信。如对于点对点的两台设备A 和设备B，A

到B 单向数据转发链路可认为一个SC(a) ，B 到A 单向数据转发链路可认为另外一个

SC(b) 。

SCI

SCI（Secure Channel Identifier，安全通道标识符）是由6 字节的MAC 地址和2 字节的Port Identifier 组成，唯一标识系统内的安全通道。

SA

SA（Secure Association，安全关联）是SC 安全通道的安全参数集合。包括对数据进行加密算法套件、进行完整性检查的密钥等。一个安全通道中可包含多个SA，每一个SA 拥有一个不同的密钥，这个密钥称为SAK。

SAK

SAK（Secure Association Key，安全关联密钥）由CAK 根据算法推导产生，用于加密安全通道间传输的数据。MKA 对每一个SAK 可加密的报文数目有所限制，当使用某SAK 加密的PN 耗尽，该SAK 会被刷新。例如，在10Gbps 的链路上，SAK 最快4.8 分钟刷新一次。

ICV

ICV（Integrity Check Value，完整性校验值）是报文完整性检验值，在报文发送端，通过某种算法对报文数据单元计算产生一个检验值，将此检验值放在报文的尾部，报文接收端通过相同算法得到ICV 值与报文携带的ICV 进行比对，如果这两个ICV 相同说明报文没有被修改，否则该报文被丢弃，保证了报文的数据完整性。

ICK

ICK（ICV Key，ICK 密钥）由CAK 根据算法推导产生，只用于计算MKA 协议层面报文的ICV 值，而数据层面没有专门的ICK。

KEK

KEK（Key Encrypting Key，密钥加密密钥）由CAK 根据算法推导产生，用于加密SAK，通过MKA 密钥协议报文将SAK 密钥发送给同一个CA 内的参与者，防止用于数据加密的SAK 在传输过程中被窃取。

PN

PN（Packet Number，报文编号）对应SECTAG 中的一个字段，发送方发报文每次按1 递增，用于接收方进行重放保护，当SA 的PN 达到0xFFFFFFFF 时，SAK 必须要进行切换，以10GE 链路为例，最快4.8 分钟PN 就会耗尽，一般PN 即将耗尽时（假设PN达到0xC0000000），也可以对SA K进行切换。

Key Server

Key Server 决定加密方案和进行密钥分发的MKA 实体。

Supplicant

选举出Key Server 之后，Supplicant 是确定为非Key Server 的实体。

Confidentiality Offset

指加密偏移，取值｛0, 30, o r 50｝，S E CT A G后面的C o n fid e n t ia l i ty O ff se t个字节不加

密，目的是为了适应某些需要识别IPv4/v6 头的应用（比如负载均衡）。

MACsec Mode

指加密模式，包含No n e（即不加密，不校验，不封装）、No r m a l（即既加密又校验），

In te g ri ty-o n l y（只做完整性验证、不加密），默认为No n e。

2.3 MACsec 运行机制

MACsec 运行机制主要分为三个阶段：CAK 获取、MKA 密钥协商、MACsec 数据加解

密。

如图2-3 所示，面向设备点到点MACsec 组网运行机制，网络管理员在两台设备上通过

命令行预配置相同的CAK，两台设备会通过MKA 协议选举出一个Key Server，Key

Server 决定加密方案，Key Server 会根据CAK 等参数使用某种加密算法生成SAK 数

据密钥，由Key Server 将SAK 分发给对端设备，这样两台设备拥有相同的SAK 数据密

钥，可以进行后续MACsec 数据报文加解密收发。

图2-3 面向设备点到点MACsec 运行机制图

如图2-4 所示，面向主机点到点MACsec 组网运行机制，用户终端做802.1X 接入认证，

接入交换机做认证设备，在用户终端通过认证之后，由认证服务器给接入设备和用户终端

下发CAK，后续过程同面向设备点到点MACsec 模式。

图2-4 面向主机点到点MACsec 运行机制图

2.4 MACsec 密钥体系

2.4.1密钥体系结构

图2-5 基于静态CAK 的MACsec 密钥体系结构图:

如图2-5 所示，基于静态CAK 的MACsec 密钥体系结构，生成SAK 密钥流程如下：

1、在同一个安全链接关联CA 成员CA(a)和CA(b)上，用户静态配置相同的(CKN，CAK)

产生的（ICK，KEK）是一样的，用于后续发布SAK 对其本身进行加密，防止SAK 明文

传递过程中泄密；

2、在Key Server 基于用户配置的（CKN，CAK）会生成SAK，并且在本地安装SAK，

用于Key Server 端收发数据报文的加解密；

3、Key Server 将SAK 发布给对端Supplicant 时，通过KEK 加密SAK 密钥本身，由

ICK 通过某种算法生成ICVs 用于校验报文的完整性，在Key Server 上将ICVs 值放在

MKA 协议报文尾部，将经过KEK 加密的SAK 一起通过MKA 协议报文发送给Supplicant；

4、Supplicant 接收到MKA 协议报文时，根据其中的CKN 查找CAK 和ICK，如果没有

查找到则认为不是来自相同的CA 并丢弃，查找到之后对MKA 报文主体进行ICV 计算

得到ICVc，如果与报文中的ICVs 不相同，则认为报文被修改（MKA 报文中的CKN 和

I CV s没有经过KE K加密）；

5、经过ICV 校验通过之后，使用KEK 解密出SAK，Supplicant 进行SAK 安装，用于

Supplicant 端收发数据报文的加解密。

2.4.2密钥派生关系

图2-6 密钥派生关系图

如图2-6 所示，CKN、CAK 采用KDF 算法生成SAK、KEK、ICK、ICV，该图展示了它

们之间的派生关系。

Key Server 和Supplicant 两边配置（CKN，CAK）生成KEK、ICK、ICV，Key Server

同时生成SAK 并且在本地安装，然后Key Server 将SAK 用KEK 加密，将加密后的

SAK 通过MKA 协议报文发送给Supplicant，MKA 协议报文中尾部包含ICV 字段。

Supplicant 收到协议报文通过ICV 检验之后，将SAK 密钥解密并在Supplicant 上安

装，这样Key Server 和Supplicant 两边转发层面都用相同的SAK 密码，可以对收发

的数据报文进行加解密通信。

2.5 MKA 密钥协商交互流程

图2-7 MKA 协议协商流程图

如图2-7 所示，SAK 密钥协商交互流程如下：

1、选举Key Server

CA 成员之间通过EAPOL-MKA 协议报文交互选举出一个Key Server，负责加密套件的

选择、密钥管理及分发。CA 成员可以设置Key Server Priority 优先级用于Key Server

角色的协商，Key Server Priority 值越小，优先级越高。如果Key Server Priority 相等，

则选择安全通道标识SCI（即MAC 地址+端口ID）小的为Key Server。

2、SAK 密钥协商

Key Server 由CKN 和CAK 计算生成SAK 密钥后，先在本地转发层面安装SAK，同时使

能允许接收方向数据解密，然后将加密SAK 通过EAPOL-MKA 发布给对端Supplicant；

Supplicant 接收到SAK 解密之后在本地安装，同时使能数据双向收发加解密；接着

Supplicant 再发送消息通知Key Server 打开发送方向的数据加密，Key Server 再给

Supplicant 应答一个确认消息，这样CA 成员之间完成密钥协商能够开始正常转发数据。

MI（Member Identifier）是成员标识符，MN（Message Number）是消息编号，

（MIA,MN=i）代表成员标识符A 的设备当前发送报文消息编号为i。如（MIA，MN=2）

（MIB，MN=1）表示当前A 向B 发送消息编号为2 的报文时，最新收到过对端B 报文

编号是1 的协商报文。

3、会话Hello 探测

CA 成员之间完成密钥协商之后，就进入正常数据转发阶段，成员互发Hello 报文维护

会话状态，MKA Life Time 内如果收不到hello 报文，就会导致协议重新协商。MKA

Hello Time 一般为2s，MKA Life Time 对端生存时间一般为6s，MKA Life Time 可配

置。

4、外界条件变化触发密钥切换或重新协商

外部条件发生变化会触发SAK 密钥切换或重新协商，外界触发条件可能如下：

M KA Life T i m e超时，会导致SA K切换（仅在Ke y Se rv e r上生效）；

Key Server 转发层面上报报文编号PN 即将或已经耗尽；

如果是非MN 翻转导致的MI 变化，会导致协议重新协商；

Key Server 接收到对端Supplicant 的报文编号PN 即将或已经耗尽；

用户配置CAK、Confidentiality Offset（只在Key Server 侧生效，由Key Server

通知系统内其他成员）、MACsec Mode 等配置；

用户配置Key Server Priority 需要重新启动Key Server 选举。

2.6 MACsec 数据加解密转发

图2-8 MACsec 数据加密报文图

如图2-8 所示，CA 成员之间完成SAK 密钥协商和密钥安装之后就开始数据报文的转发。在数据报文的发送端，可以采用加密算法GCM-AES-128 对原始数据报文的MSDU 部分和SA K一起加密变成密文（Se c ure D a t a），对源/目的M A C、SE C T A G、密文（Se c ure Data）与SAK 一起进行加密计算输出ICV 放在报文尾部，这样组装成一个完整的MACsec 加密报文发送给对端。在数据的接收端，将密钥SAK 和密文经过算法GCM- AES-128 计算得到明文，同时采用加密算法计算出ICV 与报文携带的ICV 作比较，如果一致表明报文合法没有被修改，组装成原始报文进行后续的LAN 转发，否则会丢弃该报文。

MACsec 支持重放保护功能，MACsec 封装的数据帧在网络中传输时，可能出现报文顺序的重排。MACsec 重放保护机制允许数据帧有一定的乱序，这些乱序的报文序号在两边约定的窗口范围内可以被合法接收，超出窗口的报文会被丢弃。SecTAG 中的报文编号PN 字段可用于重放保护机制，发送方在每发送一个报文会PN 计数会加一，接收方会记录已接收报文的编号，报文编号PN 在重放窗口范围内的报文都允许接收。

3 典型组网应用

3.1 局域网MACsec 典型组网

组网需求：

在金融、军队、政府等对安全比较严格网络中，需要对网络进行端到端的安全防护，通常

网络接入设备通常数量比较多、分布比较分散，难以管理且安全隐患比较大，这部分设备

可采用MACsec 进行数据转发安全保护，接入终端可采用802.1X 等认证方法进行安全

接入控制，同时交换机上可采用端口隔离技术避免未认证的终端可横向互访，园区网出口

可部署IPSec、TLS 等技术保证Internet/WAN 网络中的数据安全传输，如图3- 1 所示。

图3-1 局域网MACsec 典型组网图

3.2 中间有传输设备MACsec 典型组网

组网需求：

当两个局域网之间有传输设备时，传输设备对数据报文做透明传送，客户为防止数据在中间传输过程中被窃取或修改，可在两个局域网边缘设备出端口上采用MACsec 进行数据加密，如图3-2 所示。

图3-2 中间有传输设备MACsec 典型组网图

4 附录MACsec 数据报文格式如下：

ICV 格式：

SECTAG 格式：

TCI 字段：