[發(fā)明專利]一種消息認(rèn)證方法、系統(tǒng)和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201210036909.3
• 申請(qǐng)日: 2012-02-17
• 公開(kāi)（公告）號(hào): CN103259768B
• 公開(kāi)（公告）日: 2018-06-19
• 發(fā)明（設(shè)計(jì)）人: 韋銀星;夏正雪;萬(wàn)長(zhǎng)勝
• 申請(qǐng)（專利權(quán)）人: 中興通訊股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L1/16
• 代理公司: 北京派特恩知識(shí)產(chǎn)權(quán)代理有限公司 11270
• 代理人: 蔣雅潔;程立民

本發(fā)明公開(kāi)了一種消息認(rèn)證方法、系統(tǒng)和裝置，方法包括：發(fā)送端和接收端為每個(gè)建立的連接保存初始化的時(shí)間戳，并定期更新該時(shí)間戳，該時(shí)間戳包括發(fā)送時(shí)間戳和接收時(shí)間戳；在需要通過(guò)該連接發(fā)送數(shù)據(jù)時(shí)，發(fā)送端依據(jù)待發(fā)送的數(shù)據(jù)報(bào)文、保存的發(fā)送時(shí)間戳和密鑰材料，生成消息認(rèn)證碼，并將生成的消息認(rèn)證碼隨同發(fā)送數(shù)據(jù)的消息一起發(fā)送給接收端；接收端收到該消息時(shí)，依據(jù)保存的接收時(shí)間戳、密鑰材料和消息中的數(shù)據(jù)報(bào)文，認(rèn)證消息認(rèn)證碼的正確性。通過(guò)本發(fā)明，能夠解決現(xiàn)有傳輸控制協(xié)議認(rèn)證選項(xiàng)(TCP?AO)技術(shù)中存在的重放攻擊問(wèn)題。

技術(shù)領(lǐng)域

本發(fā)明涉及通信網(wǎng)絡(luò)中的路由安全技術(shù)，尤其涉及一種消息認(rèn)證方法、系統(tǒng)和裝置。

背景技術(shù)

現(xiàn)有數(shù)據(jù)網(wǎng)絡(luò)大多以互聯(lián)網(wǎng)協(xié)議(IP，Internet Protocol)技術(shù)為基礎(chǔ)，路由器是以IP技術(shù)為基礎(chǔ)的網(wǎng)絡(luò)上的核心設(shè)備，它通過(guò)運(yùn)行在其上的路由協(xié)議，維護(hù)一套路由表，并根據(jù)路由表轉(zhuǎn)發(fā)接收到的IP數(shù)據(jù)包。發(fā)送者發(fā)出的IP數(shù)據(jù)包經(jīng)多個(gè)路由器轉(zhuǎn)發(fā)后，被傳輸?shù)侥康牡亍榱司S護(hù)一套路由表，不同路由器上的路由協(xié)議之間需要交互路由消息，以實(shí)現(xiàn)路由表信息的創(chuàng)建、更新、學(xué)習(xí)功能。由于路由消息在公共網(wǎng)絡(luò)中傳輸，其信道由多個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)共享，因此攻擊者可以很容易的攔截并偽造或篡改路由消息。路由器一旦接收這種錯(cuò)誤的路由消息，將產(chǎn)生錯(cuò)誤的路由表；路由協(xié)議根據(jù)錯(cuò)誤的路由表轉(zhuǎn)發(fā)IP數(shù)據(jù)包時(shí)，將無(wú)法把數(shù)據(jù)包傳輸?shù)侥康牡亍榻鉀Q這一問(wèn)題，必須為路由協(xié)議提供完整性保護(hù)機(jī)制，以防止攻擊者偽造或篡改路由消息。完整性保護(hù)機(jī)制的基本思路是使用密鑰材料為路由消息生成消息認(rèn)證碼(這一過(guò)程通常使用單向函數(shù)或限門(mén)單向函數(shù))，并將消息認(rèn)證碼隨同消息一起發(fā)送給接收者，接收者收到路由消息和認(rèn)證碼后，使用對(duì)應(yīng)的密鑰材料對(duì)消息和其認(rèn)證碼進(jìn)行驗(yàn)證，只有通過(guò)驗(yàn)證的路由消息才是未被攻擊者篡改的正確消息。由于攻擊者沒(méi)有密鑰材料，其將無(wú)法偽造、篡改消息，并生成正確的消息認(rèn)證碼。這種機(jī)制使得只有擁有密鑰材料的路由器生成的路由消息才能通過(guò)驗(yàn)證，沒(méi)有密鑰材料的攻擊者生成的路由消息將無(wú)法通過(guò)驗(yàn)證，從而有效防止了攻擊者偽造和篡改路由消息。

傳輸控制協(xié)議認(rèn)證選項(xiàng)(TCP-AO，Transmission Control ProtocolAuthentication Option)是很多路由協(xié)議如邊界網(wǎng)關(guān)協(xié)議(BGP，Border GatewayProtocol)、路徑計(jì)算單元(PCE，Path Computation Element)、標(biāo)簽分發(fā)協(xié)議(LDP，LabelDistribution Protocol)、組播源發(fā)現(xiàn)協(xié)議(MSDP，Multicast Source DiscoveryProtocol)等的完整性保護(hù)機(jī)制。它定義了一個(gè)新的TCP選項(xiàng)：authentication(認(rèn)證)選項(xiàng)。路由協(xié)議將生成的消息認(rèn)證碼存儲(chǔ)在該選項(xiàng)中，隨著路由協(xié)議一起傳輸給對(duì)端，對(duì)端則通過(guò)驗(yàn)證authentication選項(xiàng)的正確性來(lái)判斷路由協(xié)議數(shù)據(jù)是否被修改了。

TCP-AO技術(shù)采用sequence number(序列號(hào))來(lái)防止replay(重放)攻擊。TCP協(xié)議頭有一個(gè)序列號(hào)(sequence number)字段，該字段長(zhǎng)度為32bit。在建立連接時(shí)，TCP協(xié)議會(huì)隨機(jī)生成一個(gè)初始序列號(hào)，之后每次收發(fā)數(shù)據(jù)序列號(hào)都會(huì)相應(yīng)的增加。這樣每次發(fā)送路由協(xié)議數(shù)據(jù)包時(shí)，TCP的序列號(hào)都不同。TCP-AO就是利用這種機(jī)制防止重放攻擊的。然而，這種基于序列號(hào)的技術(shù)存在如下問(wèn)題：

一、當(dāng)sequence number在序列號(hào)取值范圍中取遍所有的值時(shí)，TCP-AO協(xié)議將會(huì)重復(fù)使用之前的序列號(hào)，此時(shí)攻擊者將可使用之前相同序列號(hào)的數(shù)據(jù)包對(duì)路由協(xié)議執(zhí)行重放攻擊；

二、當(dāng)路由器之間的TCP連接斷開(kāi)后又重新連接時(shí)，斷鏈前后的序列號(hào)可能有重疊部分，此時(shí)攻擊者也可能實(shí)行重放攻擊；

三、當(dāng)路由器重啟時(shí)，重啟前后建立的TCP連接的序列號(hào)也可能重疊，此時(shí)攻擊者也可能實(shí)行重放攻擊。