ZHCAEZ1 January 2025 DP83TC817S-Q1
3 MACsec 如何在系統中工作
MACsec 在鏈路層提供加密功能，而 IEEE 802.1X 則提供了一種對希望加入網絡的器件進行身份驗證的方法，確保只有受信任的器件才能訪問網絡。MACsec 使用一種稱為 EAPOL 的協議來處理身份驗證過程，在 MACsec 中，MKA 協議有助于安全交換密鑰以進行加密通信。
為使 MACsec 正常工作，SoC 必須具有專用數據庫來存儲連接關聯密鑰 (CAK) 和連接關聯密鑰名稱 (CKN)。在許多實現中，SoC 依靠 WPA Supplicant 來管理 CAK-CKN 數據庫，以便與更高級別的身份驗證協議和網絡安全標準集成。
圖 3-1 MACsec 系統架構表 3-1 MACsec 關鍵術語
| MACsec 術語 | 定義 |
|---|---|
| CKN/CAK | CKN（連接關聯密鑰名稱）和 CAK（連接關聯密鑰）由用戶配置，必須在鏈路兩端匹配才能初始啟用 MACsec。這必須在兩個處理器上預設。CAK 是一個 32 十六進制或 64 十六進制密鑰。CKN 是長度不超過 32 個字符的十六進制數字字符串。 |
| SecY | 表示網絡器件上啟用 MACsec 的端口或接口的實體。 |
| 安全通道 (SC) | 通常是兩個節點之間的邏輯連接。該連接為 MACsec 提供了安全的通信路徑。負責管理 MACsec 密鑰和多個 Secy 的安全關聯。 |
| 安全通道標識符 (SCI) | 與每個 SC 關聯。這是傳輸器件的 MAC 地址和端口標識符的組合。與每個 SecY 關聯，用于標識 MACsec 會話中的參與者。 |
| 安全關聯 (SA) | 表示兩個 MACsec 器件之間的安全關聯，SA 定義了用于保護器件之間通信的算法和密鑰等安全參數。每個安全通道包含兩個安全關聯。還包含數據包編號。 |
| 安全關聯密鑰 (SAK) | 用于保護 SA 中器件的加密密鑰。SAK 是動態生成的，在器件之間分發。SAK 使用 AES-GCM 算法對數據幀進行加密和解密，在 MKA 過程中推導出來，且在特定安全通道中是唯一的。 |