[發明專利]一種基于鄰居發現協議的NDP-ESP網絡安全方法

在審

• 申請號: 201910818987.0
• 申請日: 2019-08-30
• 公開（公告）號: CN110430221A
• 公開（公告）日: 2019-11-08
• 發明（設計）人: 王寶亮;代佳增
• 申請（專利權）人: 天津大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 天津市北洋有限責任專利代理事務所 12201
• 代理人: 程毓英

1.一種基于鄰居發現協議的NDP-ESP網絡安全方法，包括下列步驟：

(1)在要傳送的NDP數據包的選項中增加源MAC地址選項和源IP地址選項；

(2)在NDP數據包發送前進行ESP加密處理：

1)節點分發NDP報文時，若是一對一通信，則查詢安全策略數據庫SPDB中的匹配記錄，再到安全關聯數據庫SADB中查詢適用的安全關聯SA，如果有就進行下一步，如果沒有則利用IKE協議進行SA的協商，利用IKE協議進行SA創建時計數器單元要置0；若是一對多的組播，則查詢組播安全策略數據庫GSPDB中的匹配信息，根據查到的應用策略，到組播安全關聯數據庫GSADB中去查詢適用的組安全關聯GSA，如果有就進行下一步，若沒有，則用組播密鑰協商協議GIKE進行協商，建立合適的GSA。

2)ESP頭的安全參數索引SPI取對應SA或GSA的SPI，ESP加密時序列號依次遞增；

3)根據SA或GSA相關參數加密數據包；

4)計算完整性校驗值；如需分段，則進行分段處理，再將ESP加密數據包發送出去；

(3)接收端接收到ESP加密數據包后，先將分段重新組合后再進行ESP解密處理：

(4)接收節點在處理完NDP增強報文之后，提取出源IP地址和MAC地址，與NDP報文頭的源IP地址和源MAC地址作比對，都相同則更新緩存，不同則不更新緩存。

2.根據權利要求1所述的網絡安全方法，其特征在于，步驟(3)的方法如下：

1)查看ESP加密頭的目的地、IP地址和其附帶的SPI到GSADB或SADB中去查詢合適的GSA或SA，如果沒有就丟掉此數據包，如果有就進行下一步；

2)使用包中的SPI在進入GSPDB或SPDB中查找一條和包選擇符匹配的策略，如果和第一步找到的安全關聯不匹配，則舍棄，如果匹配，則進行下一步；

3)查看ESP加密頭中的序列號，如果此序列號與前面接收到的數據包序列號相同，則認為非法，直接丟棄，如果不同則進行下一步；

4)核對數據摘要ICV，根據GIKE協商約定的算法，進行ICV計算，再與接收到的ICV進行比對；不同則丟棄數據包，相同則進行下一步；

5)解密數據包內容。