[發明專利]防火墻的簽名認證方法及基于防火墻的抗網絡拓撲發現系統

在審

• 申請號: 202310607750.4
• 申請日: 2023-05-26
• 公開（公告）號: CN116633556A
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 張宇;李琪;王斌;史建燾;朱國普
• 申請（專利權）人: 哈爾濱工業大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/40;H04L9/00
• 代理公司: 哈爾濱市松花江聯合專利商標代理有限公司 23213
• 代理人: 岳昕

1.一種防火墻的簽名認證方法，其特征在于，包括可信端簽名過程和防火墻認證的過程；

所述可信端簽名過程如下：

可信端首先配置已經協商好的初始序號BASE_ID與種子信息SEED，即令可信端的序號ID₁＝BASE_ID、m₁＝SEED，并初始化報文計數下標i＝1；然后，通過哈希算法分別計算序號ID_i與探測包的正文消息m_i的哈希值h(ID_i)與h(m_i)，通過哈希鏈迭代構造本次報文的哈希鏈塊HC_i，再將Traceroute探測包p_i＝(m_i，HC_i)發送給內網節點，其中(m_i，HC_i)為探測包的載荷字段；然后，令i＝i+1，同時更新ID_i與m_i，再利用更新后的ID_i與m_i重新計算下一個探測包的對應哈希值，以繼續進行新的Traceroute探測；

所述防火墻認證的過程如下：

防火墻端首先配置已經協商好的初始序號BASE_ID，即令防火墻的序號ID′₁＝BASE_ID，同時令HC′₀＝NULL，NULL表示空字符，并初始化報文計數下標i＝1；

在防火墻端收到Traceroute探測包p_i＝(m_i，HC_i)后，通過提取m_i，同時迭代ID′_i，并根據m_i與ID’_i與HC′_i-1構造哈希鏈塊HC’_i；然后將收到的哈希鏈塊HC_i與防火墻端自行計算的哈希鏈塊HC’_i相比較；若二者相同則通過驗證，放行該探測包，并令報文計數下標i＝i+1，同時計算更新ID_i；否則阻斷丟棄該探測數據包；

在防火墻認證的過程中，如果發生網絡層數據包丟失或亂序，則進行超時重傳和/或哈希跳躍處理，具體過程包括以下步驟：

假設一個可信探測端向受保護的內網發送了p_i、p_i+1、p_i+2三個連續的Traceroute探測包；在這個場景下，可能會出現以下兩種情景：

情景一：p_i探測包成功到達防火墻，可信探測端的收到防火墻發送的對應的響應包r_i；但是p_i+1探測包在未到達防火墻的途中就丟失，假設此時可信探測端并不知曉探測包已經丟失，并且繼續發送第三個探測包p_i+2；

此時防火墻接收到探測包p_i+2，由于之前的p_i+1丟失，可信端更新了哈希鏈塊信息，而防火墻端未能及時更新，導致可信端與防火墻維護的哈希鏈塊不匹配，從而造成哈希鏈斷裂；由于防火墻無法根據哈希鏈判定其正確性，探測包最終被防火墻丟棄并拒絕回應，從而導致可信端無法收到后續響應包；

針對該情景，進行超時重傳：當可信端發送Traceroute探測包后，會立即開啟一個超時計時器；只有當可信端在計時器超時之前收到該探測包的響應包時，才會更新哈希鏈塊和相關信息，并發送下一個探測包；如果超時計時器到期而沒有收到響應包，可信探測端會立即重發當前探測包，并保持原有的哈希鏈塊等相關信息和TTL值不變；

情景二：探測包p_i成功到達防火墻，但響應包r_i在傳輸過程中丟失；

針對上述情景，進行哈希跳躍：當防火墻收到預期之外的非法Traceroute探測流量時，會丟棄該包并主動返回一個ICMP主機不可達報文；如果可信端收到ICMP主機不可達報文，則認為前序的探測包發生了響應包丟失；讓可信端立即放棄當前探測包，并更新哈希塊信息，跳躍過本次的哈希塊信息，保證可信端與防火墻的哈希鏈塊信息同步，同時需要保證Traceroute探測包的TTL值不變，然后繼續發送下一個探測包。