[發明專利]一種輕量級地址自動分配協議安全認證方法

在審

• 申請號: 201610196389.0
• 申請日: 2016-03-31
• 公開（公告）號: CN105721496A
• 公開（公告）日: 2016-06-29
• 發明（設計）人: 陳琳;張富強;黃杰;王寶生;王宏;南洋;張飛朋
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L9/32
• 代理公司: 湖南兆弘專利事務所 43008
• 代理人: 周長清

1.一種輕量級地址自動分配協議安全認證方法，其特征在于，步驟為：

S1：服務器使用Hash(Mac+Ks)為每個客戶端計算Key，其中Mac是每個客戶端的唯 一標示即鏈路層地址，客戶端私密保存Key以備認證模塊使用；

S2：客戶端認證模塊使用Hash(currentTime+Key)計算得Kcs，其中Hash法在Option 格式的算法一項中設定，然后使用Hash(DHCPDiscover+Kcs)產生MAC，將MAC添加到 Option的認證消息字段，將客戶端產生的DHCPDiscover消息發送到DHCP服務端；

S3：DHCPDiscover消息發送到服務端，首先會被服務端的認證模塊接收，對其消息進行 認證，從DHCPDiscover報文中取出客戶端的Mac地址和消息認證碼，通過Hash(Mac+Ks) 計算得到Key；認證模塊根據Option的算法字段獲得客戶端使用的Hash算法，通過Hash (currentTime+Key)得到Kcs；最后將計算Hash(DHCPDiscover+Kcs)的值與報文中取出的 消息認證碼對比，如果相等則認證模塊發送報文給服務器，服務器分配IP地址和網絡配置參 數進入步驟S4，如果不相等說明報文消息被修改或者是重放的DHCPDiscover消息，直接丟 棄；

S4：DHCP服務器收到通過認證模塊報文后，直接分配IP地址；

S5：客戶端認證模塊接收到DHCPOffer消息之后，首先取出消息中的MAC，使用發送 DHCPDiscover報文時計算的Kcs與MAC對比；如果不相等直接丟棄，如相等就發送給客戶 端處理；

S6：客戶端將DHCPRequest報文發給認證模塊，認證模塊將添加含有MAC的Option并 將消息發送給服務端；

S7：服務端認證模塊對DHCPRequest報文進行認證，認證通過直接發送給服務器，不通 過則直接丟棄。

2.根據權利要求1所述的輕量級地址自動分配協議安全認證方法，其特征在于，所述步 驟S4中，將產生的DHCPOffer報文發給服務端的認證模塊，認證模塊會使用步驟S3計算保 存下的Kcs產生Hash(DHCPOffer+Kcs)將這一MAC加入Option的認證消息字段，最后發 送出去。

3.根據權利要求1所述的輕量級地址自動分配協議安全認證方法，其特征在于，所述步 驟S6中，MAC通過Hash(DHCPRequest+Kcs)計算得出的。

4.根據權利要求1所述的輕量級地址自動分配協議安全認證方法，其特征在于，所述步 驟S7中，如果通過認證服務器會發確認報文DHCPAck給客戶端，同樣也會加入MAC讓客 戶端認證模塊去認證。

5.根據權利要求1～4中任意一項所述的輕量級地址自動分配協議安全認證方法，其特征 在于，對于DHCP報文中不存在自定義Option的報文的處理根據需求而定義模塊，如果報文 中不存在該Option讓認證模塊選擇丟棄，也可以不處理直接通過。

6.根據權利要求1～4中任意一項所述的輕量級地址自動分配協議安全認證方法，其特征 在于，在上述步驟中，客戶端和服務器保持時鐘同步，在用戶采用DHCP協議申請IP地址之 前進行設置。

7.根據權利要求1～4中任意一項所述的輕量級地址自動分配協議安全認證方法，其特征 在于，在上述步驟中，客戶端提前得到服務器為自己計算Key，服務器使用特定的哈希算法 和密鑰Ks計算得到。