[發明專利]一種改進的SDN網絡安全認證方法及系統

在審

• 申請號: 201911136014.5
• 申請日: 2019-11-19
• 公開（公告）號: CN110855695A
• 公開（公告）日: 2020-02-28
• 發明（設計）人: 段彬
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/08;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種改進的SDN網絡安全認證方法，其特征在于，所述方法包括：

獲取網絡流量數據，根據網絡特征，識別網絡的類型；

當識別網絡為SDN網絡時，下發控制指令給控制器和交換機，所述控制指令攜帶有網絡中間可信任機構CA的標識和地址；

所述控制器和交換機接收所述控制指令，分別向網絡中間可信任機構CA發送身份認證請求，所述身份認證請求攜帶有控制器和交換機各自的公鑰、用戶身份信息和設備標識；

所述可信任機構CA接收到所述身份認證請求，根據設備標識查詢數據庫，判斷所述控制器和交換機是否合法，如果判斷結果為合法，則所述可信任機構CA將一條明文消息以及使用CA私鑰對明文消息的數字簽名證書一起返回給所述控制器和交換機；如果判斷結果為不合法，則所述可信任機構CA返回認證失敗的通知；

所述控制器和交換機接收到所述可信任機構CA發送的數字簽名證書，使用所述可信任機構CA的公鑰對所述數字簽名證書進行驗證，若驗證成功，則所述控制器和交換機將所述數字簽名證書替換為各自的身份信息；若驗證不成功，則所述控制器和交換機向所述可信任機構CA發送認證錯誤的通知；

所述控制器和交換機在驗證成功后，交換機向控制器發送加密安全連接請求，所述加密安全連接請求攜帶有版本信息、所支持的加密算法和第一隨機數；

所述控制器接收到所述加密安全連接請求后，向所述交換機返回響應消息，所述響應消息包括確認的加密算法、隨機生成的第二隨機數和控制器的數字簽名證書；

所述交換機接收到所述響應消息后，使用所述可信任機構CA的公鑰對控制器的數字簽名證書進行驗證，如果驗證成功，則生成第三隨機數，并使用控制器的公鑰對所述第三隨機數進行加密，與交換機的數字簽名證書一起發送給所述控制器；

所述控制器接收到所述交換機發送的消息后，使用所述可信任機構CA的公鑰對交換機的數字簽名證書進行驗證，如果驗證成功，則使用控制器的私鑰解密消息中的所述第三隨機數密文，完成控制器和交換機的密鑰協商；

所述控制器和交換機使用協商好的加密算法和密鑰對建立的加密安全連接進行加密通信。

2.根據權利要求1所述的方法，其特征在于，所述數字簽名證書采用了哈希運算。

3.根據權利要求1-2任一項所述的方法，其特征在于，所述加密算法包括DES、MD5、AES中任意一種。

4.根據權利要求1-3任一項所述的方法，其特征在于，所述網絡中間可信任機構CA可以是認證服務器、密鑰服務器、數字證書服務器中任意一種。