[發明專利]防止偽造報文攻擊的方法及其適用的上游設備和下游設備

有效

• 申請號: 201010219595.1
• 申請日: 2010-06-25
• 公開（公告）號: CN102299906A
• 公開（公告）日: 2011-12-28
• 發明（設計）人: 王芳
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/56
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 牛崢;王麗琴

1.一種防止偽造報文攻擊的方法，用于包括下游設備和上游設備的系統中，所送下游設備創建并發送特定報文給所述上游設備，所述特定報文可以使該上游設備進行表項刪除的操作，其特征在于，所述方法包括以下步驟：

所述上游設備判斷其接收的所述特定報文是否帶有安全信息，如果是則所述上游設備對所述特定報文進行安全認證，如果通過安全認證則所述上游設備進行表項刪除的操作，如果沒有通過安全認證則所述上游設備丟棄所述特定報文。

2.根據權利要求1所述的方法，其特征在于，所述上游設備判斷所述特定報文帶有安全信息之后，且所述上游設備對所述特定報文進行安全認證之前，所述方法進一步包括：所述上游設備判斷所述特定報文是安全信息傳遞報文還是通知報文；

所述上游設備對所述特定報文進行安全認證，所述上游設備根據安全認證的結果表項刪除的操作或者丟棄所述特定報文的具體方法為：

如果是所述安全信息傳遞報文，則所述上游設備對所述安全信息傳遞報文進行安全認證，如果認證成功則所述上游設備保存所述安全信息傳遞報文帶有的安全信息，供所述上游設備對以后的所述特定報文進行安全認證使用，否則所述上游設備丟棄該報文；

如果是所述通知報文，所述上游設備對所述通知報文進行安全認證，如果認證成功，則所述上游設備進行表項刪除的操作，否則所述上游設備丟棄該報文。

3.根據權利要求2所述的方法，其特征在于，所述特定報文包括第一字段和第二字段；所述第一字段含有的值可以區分所述特定報文是否帶有安全信息以及在帶有安全信息的情況下區分所述特定報文是安全信息傳遞報文還是帶有安全信息的通知報文；所述第二字段含有安全信息；所述方法具體包括以下步驟：

步驟A：所述上游設備提取所述特定報文中的所述第一字段含有的值；

步驟B：所述上游設備根據所述第一字段含有的值判斷所述特定報文是否帶有安全信息，如果否則丟棄所述特定報文，如果是是則轉到步驟C；

步驟C：所述上游設備根據所述第一字段含有的值判斷所述特定報文是所述安全信息傳遞報文還是所述通知報文，如果是所述安全信息傳遞報文則轉到步驟D，如果是所述通知報文否則轉到步驟E；

步驟D：所述上游設備提取所述第二字段中的安全信息，并在本地查找已經儲存的安全信息：如查找成功則將本步驟中提取到的安全信息與本地儲存的安全信息進行比對，如比對結果一致則保存該本步驟中提取到的安全信息，如比對結果不一致則丟棄所述特定報文；如查找不成功，則將該本步驟中提取到的安全信息儲存在本地；

步驟E：所述上游設備提取所述第二字段中的安全信息，判斷本步驟中提取到的安全信息與本地儲存的安全信息進行比對，如果如比對結果一致則所述上游設備進行表項刪除的操作，否則所述上游設備丟棄該報文。

4.根據權利要求1至3任一所述的方法，其特征在于，

所述特定報文為靈活鏈路組中的Flush報文，或者動態主機設置協議中的RELEASE報文，或者組播中的離開報文；

所述上游設備為靈活鏈路組中的上游交換機，或者動態主機設置協議中的服務器，或者組播中的服務器。

5.一種上游設備，其可以接收由下游設備發送過來的特定報文，所述特定報文可以使該上游設備進行表項刪除的操作，其特征在于，所述上游設備包括判斷模塊和認證模塊：

所述判斷模塊，與所述認證模塊相連接，用于判斷所述特定報文是否帶有安全信息；

所述認證模塊，與所述判斷模塊相連接，如果所述特定報文帶有安全信息，則所述認證模塊用于對所述安全信息進行安全認證；該安全認證通過后，所述上游設備進行表項刪除的操作。