CN101286833B - 基于认证的时间同步请求方法、装置以及时间同步方法 - Google Patents

Abstract

本发明公开了一种基于认证的时间同步请求方法，包括：判断键值是否配置且受信；在判断键值未配置或者未受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符，认证字段用于服务器对客户端进行认证；客户端发送请求报文。此外，本发明还公开了一种基于认证的时间同步方法和基于认证的时间同步请求装置。通过上述技术方案，提高了网络的安全性。

Description

基于认证的时间同步请求方法、装置以及时间同步方法 

技术领域

本发明涉及通信领域，并且特别地，涉及一种基于认证的时间同步请求方法、装置以及时间同步方法。 

背景技术

在网络应用中，有时需要对网络中成员的时钟进行同步，但是，在一个网络中，系统之间的时钟不同步的情况很多，并且，不能完全依靠系统管理员来调节各个系统的时钟。 

网络时间协议(Network Time Protocol，简称为NTP)是应用于不同网络成员之间时间同步的协议，实现NTP协议的机构通过交流NTP报文使得彼此的时钟一致，从而实现自动调节各个系统时钟的功能。 

在传统的时间同步技术中，主要由客户端直接向网络中的某台时间服务器请求时间，服务器在接收到请求后，直接将参考时间发送给客户端，然后，利用一定的算法进行时间同步。但是，随着目前网络对安全性要求的不断提高，为了防止恶意修改或复制时间戳造成安全风险，基于认证的网络时间同步技术得到广泛地应用。 

目前，网络时间同步技术主要是针对如何使得同步时间更精确，如何能够使得应用范围更广而提出的，例如，中国专利 CN200710164185.X申请文件公开了一种网络时钟同步的方法、装置及系统，其中的方法包括：接收目标网络发送的包括同步时间的时钟同步报文；转换所述时钟同步报文为网络设备采用的时钟同步协议格式；发送所述转换格式后的包括所述同步时间的时钟同步报文至所述网络设备，实现所述网络设备与所述目标网络的时钟同步。应用上述方法，能够在应用不同时钟同步协议的网络互连的情况下，实现网络间的时钟同步。 

中国专利CN200610061062申请文件也公开了一种网络时钟同步装置、系统及方法，该方法包括如下步骤：步骤A，业务设备每隔一定的时间，向至少一时间服务器发出时间请求；步骤B，比较时间服务器返回的时间样本，选择时间样本计算本地时钟和时间服务器的时间偏差；步骤C，根据获得的时间偏差数据，调整业务设备内的频率调整器，以锁定上级时间服务器的时钟。上述技术方案通过从传输网络获取上级时间服务器的时间信息，根据不同时间获取的时间信息可计算获得本地振荡器的漂移，通过调整频率调整器以消除本地时钟的漂移，最终达到业务设备时钟同步的要求。 

上述两种方案实现了在不同时钟同步协议的网络中进行时间同步的功能，但是，并没有涉及到带认证的网络时间同步的协议包控制方法。 

目前，带认证的网络时间同步过程主要是根据请求注解(Request For Comments，简称为RFC)相关规范进行的，由客户端根据所配置的认证键值和信任键值在发起认证的协议包中增加认证字段，其中，认证字段包括键值标识符和经过加密的键值，服务器接收到时间同步请求报文后，先进行认证字段的比较，如果认证正确，则服务器回应正确的认证字段；如果认证错误，则服务器回应不带加密键值的默认键值标识符。上述规范中只针对服务器端认 证时的报文进行了规定，但是，对于客户端在认证功能使能但认证键值未配置或信任键值未受信的情况，报文内容并没有进行规定。 

如图1所示，目前客户端发送请求报文的流程包括以下步骤： 

步骤102，客户端触发NTP定时器； 

步骤104，判断是否使能NTP客户端功能，如果是，则执行步骤106，如果否，则返回； 

步骤106，进一步判断是否使能NTP认证功能，如果是，则执行步骤108，如果否，则执行步骤110； 

步骤108，继续判断上送服务器的键值是否已经配置且该键值是否是受信的，如果是，则执行112，如果否，则执行步骤110； 

步骤110，构造不带认证字段的请求报文； 

步骤112，构造带有认证键值标识符和加密键值的请求报文； 

步骤114，调用发包接口发送报文。 

从上述流程可以看出，由此导致当客户端的认证功能使能但认证键值未配置或信任键值未受信的情况下，请求报文中未携带任何认证信息，某些服务器在接收到此报文时认为是无需认证的时间同步请求报文，于是就回应不带认证的时间戳报文，使得网络时间同步成功。显然，这样会增加网络的安全风险。然而，目前尚未提出解决上述问题的技术方案。 

发明内容

考虑到在客户端的认证功能使能但认证键值未配置或信任键值未受信情况下，请求报文未携带任何认证信息，服务器直接回应不带认证的时间戳报文，增加了网络的安全风险的问题而做出本发明，为此，本发明的主要目的在于提供一种基于认证的时间同步请求方法、系统以及时间同步方法，以解决相关技术中的上述问题。 

根据本发明的一个方面，提供了一种基于认证的时间同步请求方法，用于使能了网络时间协议认证功能的客户端向服务器请求同步时间。 

根据本发明实施例的基于认证的时间同步请求方法包括：判断键值是否配置且受信；在判断键值未配置或者未受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符，认证字段用于服务器对客户端进行认证；客户端发送请求报文。 

此外，上述方法进一步包括：在判断键值已经配置且已经受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符和加密键值。 

此外，在判断键值是否配置且受信之前，进一步包括：客户端触发网络时间协议定时器，并判断是否使能网络时间协议客户端功能；在判断为是的情况下，客户端判断是否使能网络时间协议认证功能。 

此外，在客户端判断不能使能网络时间协议认证功能的情况下，进一步包括：客户端构造不带认证字段的请求报文。 

其中，上述键值包括认证键值和信任键值，判断键值是否配置且受信的操作具体为：判断认证键值是否配置，并且判断信任键值是否受信。 

根据本发明的另一方面，提供了一种基于认证的时间同步方法，用于使能了网络时间协议认证功能的客户端与服务器同步时间。 

根据本发明实施例的基于认证的时间同步方法包括：判断键值是否配置且受信；在判断键值未配置或者未受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符，认证字段用于服务器对客户端进行认证；客户端发送请求报文；响应于请求报文，服务器向客户端返回不带加密键值的默认键值标识符。 

根据本发明的再一方面，提供了一种基于认证的时间同步请求装置，用于使能了网络时间协议认证功能的客户端向服务器请求同步时间。 

根据本发明实施例的基于认证的时间同步请求装置包括：判断模块，用于判断键值是否配置且受信；构造模块，用于在判断模块判断键值未配置或者未受信的情况下，构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符，认证字段用于服务器对客户端进行认证；发送模块，用于发送构造模块构造的请求报文。 

此外，上述判断模块进一步包括：第一判断模块，用于在客户端触发网络时间协议定时器后，判断是否使能网络时间协议客户端功能；第二判断模块，用于判断在第一判断模块判断使能网络时间协议客户端功能的情况下，判断是否使能网络时间协议认证功能，其中，在第二判断模块判断使能网络时间协议认证功能的情况下，判断键值是否配置且受信。 

此外，上述构造模块还包括：第一构造模块，用于在第二判断模块判断不能使能网络时间协议认证功能的情况下，构造不带认证字段的请求报文；第二构造模块，用于在判断模块判断键值已经配置且已经受信的情况下，构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符和加密键值。 

其中，上述键值包括认证键值和信任键值，判断模块判断认证键值是否配置，并且判断信任键值是否受信。 

借助于本发明的技术方案，通过在客户端的认证功能使能但认证键值未配置或信任键值未受信情况下，构造带有键值标识符的请求报文，提高了网络的安全性。 

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。 

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中： 

图1是相关技术中客户端发送请求报文的流程图； 

图2是根据本发明方法实施例的基于认证的时间同步请求方法的流程图； 

图3是根据本发明实施例请求注释规范中网络时间协议的报文格式； 

图4是根据本发明方法实施例的基于认证的时间同步请求方法的详细处理的流程图； 

图5是根据本发明方法实施例的基于认证的时间同步方法的流程图；以及 

图6是根据本发明装置实施例的基于认证的时间同步请求装置的示意图。 

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。 

方法实施例1 

在本实施例中，提供了一种基于认证的时间同步请求方法，用于使能了NTP认证功能的客户端向服务器请求同步时间。图2是根据本发明方法实施例的基于认证的时间同步请求方法的流程图。 

如图2所示，上述方法包括： 

步骤S202，判断键值是否配置且受信；其中，键值包括认证键值和信任键值，基于此，判断键值是否配置且受信的操作具体为：判断认证键值是否配置，并且判断信任键值是否受信； 

步骤S204，在判断键值未配置或者未受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有键值标识符(Key Identifier)，认证字段用于服务器对客户端进行认证； 

步骤S206，客户端发送请求报文。 

基于上述处理，服务器端在接收到携带由键值标识符的请求报文后，不会将该请求报文作为无需认证的时间同步请求报文来处理，从而可以降低网络安全风险。 

此外，在步骤S204中，在判断键值已经配置且已经受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有Key Identifier和加密键值(Message Digest)，如图3所示，图中为RFC规范中NTP协议报文的格式，其中，认证字段包括4字节的Key Identifier和16字节的Message Digest。 

此外，步骤S202中在判断键值是否配置且受信之前，进一步包括：客户端触发NTP定时器，并判断是否使能NTP客户端功能；在判断为是的情况下，客户端判断是否使能NTP认证功能，在客户端判断不能使能NTP认证功能的情况下，进一步包括：客户端构造不带认证字段的请求报文。 

下面，结合图4，对上述技术方案的处理进行详细的说明，其中，图4是根据本发明方法实施例的基于认证的时间同步请求方法的详细处理的流程图。如图4所示，包括以下步骤： 

步骤402，客户端触发NTP定时器； 

步骤404，判断是否使能NTP客户端功能。如果是，则执行步骤406，如果否，则返回； 

步骤406，进一步判断是否使能NTP认证功能，如果是，则执行步骤408，如果否，则执行步骤410； 

步骤408，继续判断上述服务器的键值是否已经配置且该键值是否是受信的，如果是，则执行步骤412，如果否，则执行步骤414； 

步骤410，构造不带认证字段的请求报文； 

步骤412，构造带有认证Key Identifier和Message Digest的请求报文； 

步骤414，构造只带认证Key Identifier的请求报文； 

步骤416，调用发包接口发送报文。 

方法实施例2 

在本实施例中，提供了一种基于认证的时间同步方法，用于使能了NTP认证功能的客户端与服务器同步时间。该方法可以使用上述实施例中给出的时间同步请求方法。 

图5是根据本发明方法实施例的基于认证的时间同步方法的流程图。如图5所示，上述方法包括： 

步骤S502，判断键值是否配置且受信； 

步骤S504，在判断键值未配置或者未受信的情况下，客户端构造包括认证字段的请求报文，其中，认证字段中携带有KeyIdentifier，认证字段用于服务器对客户端进行认证； 

步骤S506，客户端发送请求报文； 

步骤S508，响应于请求报文，服务器向客户端返回不带MessageDigest的默认Key Identifier。 

该实施例中的其他细节可以参照方法实施例1来理解和实施，对于相同或相似内容，在此不再进行重复描述。 

装置实施例 

在本实施例中，提供了一种基于认证的时间同步请求装置，用于使能了NTP认证功能的客户端向服务器请求同步时间。 

图6是根据本发明装置实施例的基于认证的时间同步请求装置的示意图。如图6所示，上述装置包括判断模块60、构造模块62、发送模块64。以下将进一步详细描述时间同步请求装置的各个组成部分。 

判断模块60用于判断键值是否配置且受信；其中，键值包括认证键值和信任键值，基于此，判断模块60判断认证键值是否配置，并且判断信任键值是否受信； 

构造模块62用于在判断模块判断键值未配置或者未受信的情况下，构造包括认证字段(认证字段用于服务器对客户端进行认证)的请求报文，其中，认证字段中携带有Key Identifier；另一方面，在判断键值已经配置且已经受信的情况下，构造模块62构造包括认证字段的请求报文； 

发送模块64用于发送构造模块构造的请求报文。 

优选地，上述装置进一步包括：第一判断模块，用于在客户端触发NTP定时器后，判断是否使能NTP客户端功能；第二判断模块，用于判断在第一判断模块判断使能NTP客户端功能的情况下，判断是否使能NTP认证功能，其中，在第二判断模块判断使能NTP认证功能的情况下，判断键值是否配置且受信。其中，第一判断模块可以连接至第二判断模块，并且第二判断模块可以连接至判断模块。 

优选地，构造模块62包括： 

第一构造模块，用于在第二判断模块判断不能使能NTP认证功能的情况下，构造不带认证字段的请求报文； 

第二构造模块，用于在判断模块判断键值已经配置且已经受信的情况下，构造包括认证字段的请求报文，其中，认证字段中携带有Key Identifier和Message Digest。 

综上所述，借助于上述技术方案，通过在在客户端的认证功能使能但认证键值未配置或信任键值未受信情况下，构造带有键值标识符的请求报文，提高了网络的安全性。 

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。 

Claims (10)

1.一种基于认证的时间同步请求方法，用于使能了网络时间协议认证功能的客户端向服务器请求同步时间，其特征在于，所述方法包括：

判断键值是否配置且受信；

在判断所述键值未配置或者未受信的情况下，所述客户端构造包括认证字段的请求报文，其中，所述认证字段中携带有键值标识符，所述认证字段用于所述服务器对所述客户端进行认证；

所述客户端发送所述请求报文。

2.根据权利要求1所述的方法，其特征在于，进一步包括：

在判断所述键值已经配置且已经受信的情况下，所述客户端构造包括认证字段的请求报文，其中，所述认证字段中携带有所述键值标识符和加密键值。

3.根据权利要求1或2所述的方法，其特征在于，在判断键值是否配置且受信之前，进一步包括：

所述客户端触发网络时间协议定时器，并判断是否使能网络时间协议客户端功能；

在判断为是的情况下，所述客户端判断是否使能网络时间协议认证功能。

4.根据权利要求3所述的方法，其特征在于，在所述客户端判断不能使能所述网络时间协议认证功能的情况下，进一步包括：

所述客户端构造不带认证字段的请求报文。

5.根据权利要求1或2所述的方法，其特征在于，所述键值包括认证键值和信任键值，所述判断键值是否配置且受信的操作具体为：

判断所述认证键值是否配置，并且判断所述信任键值是否受信。

6.一种基于认证的时间同步方法，用于使能了网络时间协议认证功能的客户端与服务器同步时间，其特征在于，所述方法包括：

判断键值是否配置且受信；

在判断所述键值未配置或者未受信的情况下，所述客户端构造包括认证字段的请求报文，其中，所述认证字段中携带有键值标识符，所述认证字段用于所述服务器对所述客户端进行认证；

所述客户端发送所述请求报文；

响应于所述请求报文，所述服务器向所述客户端返回不带加密键值的默认键值标识符。

7.一种基于认证的时间同步请求装置，用于使能了网络时间协议认证功能的客户端向服务器请求同步时间，其特征在于，所述装置包括：

判断模块，用于判断键值是否配置且受信；

构造模块，用于在所述判断模块判断所述键值未配置或者未受信的情况下，构造包括认证字段的请求报文，其中，所述认证字段中携带有键值标识符，所述认证字段用于所述服务器对所述客户端进行认证；

发送模块，用于发送所述构造模块构造的所述请求报文。

8.根据权利要求7所述的装置，其特征在于，所述判断模块进一步包括：

第一判断模块，用于在所述客户端触发网络时间协议定时器后，判断是否使能网络时间协议客户端功能；

第二判断模块，用于判断在所述第一判断模块判断使能网络时间协议客户端功能的情况下，判断是否使能网络时间协议认证功能，其中，在所述第二判断模块判断使能网络时间协议认证功能的情况下，判断所述键值是否配置且受信。

9.根据权利要求8所述的装置，其特征在于，所述构造模块还包括：

第一构造模块，用于在所述第二判断模块判断不能使能所述网络时间协议认证功能的情况下，构造不带所述认证字段的请求报文；

第二构造模块，用于在所述判断模块判断所述键值已经配置且已经受信的情况下，构造包括认证字段的请求报文，其中，所述认证字段中携带有所述键值标识符和加密键值。

10.根据权利要求7所述的装置，其特征在于，所述键值包括认证键值和信任键值，所述判断模块判断所述认证键值是否配置，并且判断所述信任键值是否受信。

Images