[發明專利]基于認證加密和組密鑰的片上網絡安全域構建方法

在審

• 申請號: 202110821321.8
• 申請日: 2021-07-20
• 公開（公告）號: CN113722750A
• 公開（公告）日: 2021-11-30
• 發明（設計）人: 華屹峰;張穎;陳鑫;毛志明;姚嘉祺;楊濟中
• 申請（專利權）人: 南京航空航天大學
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/60;G06F21/44
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 熊玉瑋

本發明公開基于認證加密和組密鑰的片上網絡安全域構建方法，屬于計算、推算或計數的技術領域。首先將安全域成員分成連續安全域成員、非連續安全域的內部成員、非連續安全域的邊界成員。建立安全域之前，為各安全域成員配置信息。非連續安全域的邊界成員之間通過計算組密鑰傳輸加密數據。三種成員都對數據包的頭切片進行消息摘要處理。連續安全域和非連續安全域的內部成員直接傳輸新數據包。在接收端，對非連續安全域邊界成員的數據包解密后進行頭切片處理后；對其余成員收到的頭切片進行消息摘要處理。接收端比對新的消息摘要與發送端的消息摘要，一致表示本次通信成功，否則表示本次通信受到攻擊，丟棄數據包。該方案提升安全性，降低開銷。

技術領域

本發明公開基于認證加密和組密鑰的片上網絡安全域構建方法，涉及硬件安全領域，屬于計算、推算或計數的技術領域。

背景技術

近年來，隨著半導體行業的興起和全球化，硬件安全問題成為繼軟件安全問題之后的又一大難題。在集成電路方面，為了降低開發成本，電路經常外包給其它外部廠商設計，這給惡意的第三方廠商提供了在電路設計階段中植入木馬良好機會，這些被植入的木馬通常會執行信息泄露、功能改變、拒絕服務、降低性能、永久破壞等惡意行為。因此，迫切需要開展片上系統芯片的安全性研究和設計。

片上網絡是運用網絡結構連接各個IP核的系統芯片，相比于傳統的基于總線連接的片上系統芯片，它支持數據的并發傳輸且具有更高效的數據傳輸效率，但是惡意IP可能引入的攻擊給片上網絡的應用與發展造成了挑戰。惡意IP可以通過修改或竊取片上系統中的敏感數據來實現干擾片上系統正常操作的目的。

安全域是已經被采用的一種保護片上網絡安全的技術，給出片上網絡安全域的定義：片上網絡安全域即將片上網絡內各節點按映射到片上網絡的應用程序的需要分為敏感節點和非敏感節點，敏感節點是安全域成員，存儲和處理重要數據，安全域成員之間可以進行通信；非敏感節點為非安全域成員，易受攻擊并可能影響片上網絡正常工作，不可以與敏感節點通信。敏感節點參與安全域構建的各項步驟以建立動態可配置安全域。為了保護敏感數據的通信，可以引入安全域，應用程序映射到的IP成員可以被認為是相互信任的，通過安全域的保護機制，使得敏感應用程序的IP可以進行安全的數據交換。針對現有的片上網絡安全防護技術如防火墻技術提供的安全機制不能及時根據系統狀態進行安全模塊的動態配置，防護粒度較粗等不足，本申請旨在通過迪菲赫爾曼組密鑰協議、sha256算法提供的完整性保障，以及基于附加安全信息的特殊報文格式的保護機制相結合的方式，在敏感IP之間建立安全域，有效地提高片上系統對惡意攻擊的抵抗能力并支持安全域重配置以適應當前系統工作狀態。

發明內容

本發明的發明目的是針對上述背景技術中片上系統可能遭到惡意IP引入的竊取、修改敏感數據等攻擊的特點，提出基于認證加密和組密鑰的片上網絡安全域構建方法，通過迪菲赫爾曼組密鑰協議、哈希函數提供消息摘要，基于附加安全信息的特殊報文格式的保護機制相結合的方法，有效提高片上網絡抗惡意攻擊的能力，實現建立片上網絡安全域的發明目的，解決現有的片上網絡安全防護技術提供的安全機制不能及時根據系統狀態進行安全模塊的動態配置且防護粒度較粗的技術問題。

本發明為實現上述發明目的采用如下技術方案：

基于認證加密和組密鑰的片上網絡安全域構建方法，具體包括如下7個步驟，

步驟S1：配置階段。首先，上位機為所有成員分配計算組密鑰所需的大素數p及其原根g還有私有密鑰s(1≤s≤p)，并將上述數據連同成員配置信息輸入給管理模塊SM，其中，不同的成員對應的私有密鑰s也不同。配置信息包括安全域成員的路由器編號，p，g，s，標志成員類型的標志位以及組密鑰計算階段將各成員組織成閉環時對應的編號。SM將配置信息分配給所有成員的安全網絡接口模塊，安全網絡接口模塊根據安全域成員的路由器編號確定安全路徑信息存儲區的存儲內容。