CN101388757B - 一种网络保密传输方法及系统 - Google Patents

Abstract

本发明公开了一种网络保密传输方法及系统，属于计算机网络通信领域，该方法由发送端生成远程端口伪随机序列，作为发送数据包的发送目的端口号，发送数据包；接收端生成本地端口伪随机序列，与接收到的数据包中的目的端口号进行比对，如果相等说明接收的数据包有效，准备发送确认数据包；接收端生成远程端口伪随机序列，作为确认数据包的目的端口号，发送确认数据包；发送端生成本地端口伪随机序列，与接收到的确认数据包的目标端口比较，如果相等说明该数据包为有效的确认数据包，继续发送新的数据包。该发明使传统的网络监控设备无法通过监控单一的端口来截获有效信息，增加了网络监控系统对其监控的难度，提高了网络通信的安全性。

Description

一种网络保密传输方法及系统 

技术领域

本发明属于计算机网络通信领域，具体的说属于网络通信领域的一种计算机网络保密传输方法。 

背景技术

传统的计算机网络通讯模式中无论是TCP面向连接传输还是UDP非面向连接传输，一般的过程都是接收端绑定接收端的指定监听端口，发送端通过向接收端的指定监听端口发送指定协议格式的数据。接收端设备通过接收到数据中的协议格式来判断数据包传输的正确性，及各数据包的前后顺序。在这种模式下实现保密通信的方法主要是内容加密，一般以数据包为单位加密，数据包的先后顺序是无法保密的，通过数据包在单一端口的发送顺序或是协议格式中的数据包序号都可以判断出来。对于传统的加密通信方法，知道获得了解密用的密钥就能获得所有的通信内容。 

发明内容

本发明针对传统网络通讯中安全性不足的问题，提出一种双方使用伪随机数作为动态变化的端口进行通信，从而增加了网络监控系统对其监控的难度，使传统的网络监控设备无法通过监控单一的端口来截获有效信息，提高了网络通信的安全性。 

本发明的技术方案概述如下： 

一种网络保密传输方法，包括以下步骤： 

1)获取要发送的数据内容； 

2)发送端生成远程端口伪随机序列，该伪随机序列的各个数字作为发送数据包的发送目的端口号，发送数据包； 

3)接收端接收数据包，并生成本地端口伪随机序列，将接收到的数据包中的目的端口号与伪随机序列进行比对，如果两者相等说明接收的数据包有效，准备发送确认数据包； 

4)接收端生成远程端口伪随机序列，该伪随机序列的各个数字作为确认数据包的目的端口号，发送确认数据包； 

5)发送端生成本地端口伪随机序列，并将该伪随机序列与接收到的确认数据包的目标端口比较，如果相等，则说明该数据包为有效的确认数据包，继续发送新的数据包。

所述步骤2)发送的每个数据包内容都进行了加密，且加密密钥值与该数据包的目的端口号的值相关。 

所述步骤2)采用单个数据包发送模式或多个数据包一起发送模式，多个数据包发送模式采用了滑动窗口技术。 

所述步骤2)发送数据包之后还发送大量伪造的干扰数据包。 

所述步骤2)打乱相邻数据包的发送顺序。 

所述步骤3)接收端生成的本地端口伪随机序列与步骤2)发送端生成的远程端口伪随机序列相同。 

所述步骤5)发送端生成的本地端口伪随机序列与步骤4)接收端生成的远程端口伪随机序列相同。 

一种网络保密传输系统，包括发送装置和接收装置，发送装置包括：发送数据的获取模块、生成远程端口伪随机序列模块、生成本地端口伪随机序列模块、发送数据包构造模块、数据发送接收模块、接收确认数据包的处理模块，其中： 

所述发送数据的获取模块获取所要发送的数据的内容，传入到发送数据包构造模块；所述生成远程端口伪随机序列模块生成一系列的伪随机序列，发送数据包构造模块从中取出一个伪随机数作为发送数据包目的端的端口号，将构造好的数据包传入数据发送接收模块；所述数据发送接收模块负责发送数据包，并接收返回的确认数据包；所述接收确认数据包的处理模块将所述生成本地端口伪随机序列模块生成的一系列的伪随机序列，与接收到确认数据包目的端的端口号对比，相同则确认数据包正确有效，返回数据发送接收模块； 

接收装置包括生成远程端口伪随机序列模块、生成本地端口伪随机序列模块、数据接收和发送确认数据包模块、接收数据包的处理模块、确认数据包构造模块，其中： 

所述接收数据包的处理模块将数据包中的目的端口值与“生成本地端口伪随机序列模块”中生成的伪随机数进行比对，如果两者相等说明是发送装置发来的有效数据包，则通知“确认数据包构造模块”构造确认数据包，所述确认数据包构造模块从“生成远程端口伪随机序列模块”产生的伪随机序列中提取一个伪随机数作为确定数据包目的端的端口值，并将构造好的确认数据包传递给“数据接收和发送确认数据包模块”发送确认数据包。 

所述的发送装置与接收装置中都有伪造数据发送模块，负责发送干扰性数据包，加大数据通信的隐蔽性。 

其中，所述发送装置中的生成本地端口伪随机序列模块所生成的伪随机序列与接收装置中的生成远程端口伪随机序列模块所生成的伪随机序列相同；所述接收装置中的生成本地端口伪随机序列模块所生成的伪随机序列与发送装置中的生成远程端口伪随机序列模块所生成的伪随机序列相同。 

本发明的有益效果是：与传统的计算机网络的加密传输方法及系统相比，除了在对数据进行加密外，还对数据的发送顺序进行加密，数据包的顺序号不保存在数据包的特定字段中，而是通过伪随机数生成模块来生成使通信双方都共知的一系列目的端口序列，通过数据包中的目的端口值，来判断正确数据顺序。采用这种方法，数据通信的双方可以准确无误的进行数据通信，即使在通信过程中有大量的干扰数据包。而如果通讯过程被第三方截获，即使获得了解密密钥只能对单个数据包进行加密，在众多数据包中哪些是有效数据包，以及有效数据包的顺序，在不知道双方制定的伪随机序列的前提下，是无法获得的。这无疑增加了一层安全保障。 

而更进一步的，如果发送每个数据包数据部分的加密密钥的值与该数据包的目的端口号的值相关，那么就导致了每个数据包的加密密钥都是不同的，其值与伪随机数相关，则其通信的保密强度更大，安全性更高。 

附图说明

图1为本发明系统结构图 

图2本发明为发送装置流程图 

图3本发明为接收装置流程图 

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细描述： 

如图1所示为本发明系统结构图，该系统包括发送装置和接收装置。 

1、发送装置所包含的各模块 

(1)、生成远程端口伪随机序列模块 

该模块的作用在于生成一系列的伪随机序列，该伪随机序列的各个数字分别用来构造发送数据包中发送目的端的端口。保证每个发送数据包都有一个与相邻数据包不同的端口号。而所要发送的数据信息的内容，被保存到这些数据包的数据内容字段中。 

本模块所生成的伪随机序列与接收装置中的“生成本地端口伪随机序列模块”所生成的伪随机序列相同。从而保证了接收装置能够通过比较两个伪随机数有效的识别有效通信数据包。 

(2)、发送数据的获取模块 

主要功能是从其他介质中获取所要发送的数据的内容，比如从一个指定的文件中读取要发送的数据，为下一步的数据发送做好准备。 

(3)、发送数据包构造模块

从“发送数据获取模块”获得要发送的数据，并装入正在构造的数据包中，从“生成远程端口伪随机序列模块”中取出一个伪随机数作为发送数据包目的端的端口号，即远程端的端口号，源端的端口号没有特殊限制。 

(4)、数据发送接收模块 

负责数据包的发送和接收。 

从“发送数据包构造模块”中获得需要发送的数据包，这里可以支持单个数据包发送等停模式，也可以支持使用滑动窗口技术实现到多个数据包连续发送的模式。 

其中： 

单个数据包发送的等停模式：是指发送端发送一个数据包到接收端，接收端收到数据包后发回确认数据包，当发送端收到接收端发回的确认数据包后，再发送下一个数据包。 

多个数据包连续发送的模式：是指发送端连续发送多个数据包到接收端，在这个过程中不必等待接收端发回确认数据包。接收端根据收到的一系列的数据包的情况，发回相应的确认数据包。具体细节在滑动窗口技术中有详细论述。 

(5)、生成本地端口伪随机序列模块(用于识别接收到的确认数据包) 

该模块用来生成一系列的伪随机数，所生成的伪随机数的序列与接收装置中的“生成远程端口伪随机序列模块”中生成的为随机序列相同。本模块所生成的伪随机序列被用来识别正确的确认数据包。 

(6)、接收确认数据包的处理模块 

从“数据发送接收模块”中，获得接收到的数据包，将这些数据包中的目的端口与从“生成本地端口伪随机序列模块”中获得的伪随机数进行比对，如果相等便是找出了正确的确认数据包，并把接收到确认数据包的情况返回给“数据发送接收模块”，从而保证后面的数据包顺利发送。 

(7)、伪造数据发送模块 

为了加强真正发送数据的保密性，该模块负责发送大量无效的干扰数据包。 

2、接收装置所包含的各模块 

(1)、生成远程端口伪随机序列模块(用于构造确认数据包) 

本模块负责生成伪随机序列数，所生成的伪随机数用来构造确认数据包中的目标端口号，该模块生成的伪随机序列，与发送装置中的“生成本地端口伪随机序列模块”所生成的伪随机数序列相同。 

(2)、生成本地端口伪随机序列模块

本模块用于生成伪随机序列数，所生成的伪随机数用来与“接收数据包的处理模块”中解析出来的发送数据包的目的端口值进行比较，从而由已接收到的所有数据包中，找到全部的有效数据包。本模块所生成的伪随机序列数与发送装置中的“生成远程端口伪随机序列模块”所生成的伪随机序列相同。 

(3)、数据接收和发送确认数据包模块 

本模块负责接收“发送装置”发送来的数据包，并将接收到的数据包转交给“接收数据包的处理模块”来进一步处理，并根据是否成功处理，向发送装置发回确认数据包。 

(4)、接收数据包的处理模块 

本模块接受“数据接收和发送确认数据包模块”转来的接收到的数据包，将数据包中的目的端口值与“生成本地端口伪随机序列模块”中生成的伪随机数进行比对，如果两者相等说明是发送装置发来的有效数据包，则通知“确认数据包构造模块”构造确认数据包，交由“数据接收和发送确认数据包模块”发送确认数据包。如果不相等，则为其他无效数据包，不做任何处理。 

(5)、确认数据包构造模块 

本模块负责确认数据包的构造任务，本模块当收到“接收数据包的处理模块”发出的构造确认数据包的指令后，从“生成远程端口伪随机序列模块”提取一个伪随机数作为确定数据包目的端的端口值，构造确认数据包，并将构造好的确认数据包传递给“数据接收和发送确认数据包模块”。 

(6)、伪造数据发送模块 

为了加强真正发送数据的保密性，该模块负责发送大量无效的干扰数据，最终有效的达到不仅在数据包内容上的加密，同时也是对数据包发送序列上加密。 

如图2所示，数据发送装置工作流程为： 

(1)、由“发送数据获取模块”，根据用户的需要，通过指定的途径获取本次要发送的所有数据，比如要将一个文件发送到接收装置，则该模块负责将文件的内容读入程序。 

(2)、“生成远程端口伪随机序列模块”生成一系列伪随机数据序列，并将生成的伪随机数序列传入发送数据包构造模块。 

(3)、“发送数据包构造模块”负责按照TCP/IP体系结构，分别填充链路层、网络层、传输层的数据包头，以及数据包的数据内容。这里要注意的是传输层的目的端口号值是从“生成远程端口伪随机序列模块”中取到的一系列伪随机数，所以这里构造的各个数据包中的目的端口是不同的，并且其值是按照伪随机序列变化的。另外填充数据内容时， 要根据数据最大长度等限制，从“发送数据获取模块”读取相应长度的发送内容，并对这些原始数据进行加密，之后将密文数据填入发送数据包中。 

(4)、由“发送数据包构造模块”构造好的数据包，传入“数据发送接收模块”，由“数据发送接收模块”负责将构造好的数据包发送出去。(在支持滑动窗口技术的前提下，可以连续发送多个数据包。) 

(5)、“数据发送接收模块”除了有发送数据包的功能外，还负责接收返回的确认数据包。并负责将接收到的数据包，交给“接收确认数据包的处理模块”来对数据包进行进一步的处理。特别注意的是：由于本发送接收模块，所发送接收的数据包中的端口号需要频繁变化，所以使用常规的套接字网络通讯技术会降低性能，所以这里选择使用特殊的技术直接调用底层驱动，来完成数据的发送和接收(这里使用的是程序从数据链路层、网络层、一直到传输层来构造完全可控的数据包，然后将数据包直接交给底层的驱动程序来处理，而不增加不通过传统的套接字)。 

(6)、“接收确认数据包的处理模块”会通过调用“生成本地端口伪随机序列模块”来获得一个伪随机数值，并将这个数值与接收到的确认数据包的目标端口比较，如果比较不相同的说明该数据包不是有效的确认数据包，不做任何处理；如果相等，则说明该数据包为有效的确认数据包，于是将相应的数据包发送成功的信息，反馈给“数据发送接收模块”。(使用滑动窗口技术的话，该模块中的比较过程会复杂一些，但基本的原理是一致的。) 

(7)、“数据发送接收模块”根据“接收确认数据包的处理模块”反馈的信息，决定是发送新的数据包，还是继续等待确认数据包的到来。 

(8)、“伪造数据发送模块”与上面的各模块基本没有联系，主要负责发送干扰性数据包，加大数据通信的隐蔽性。 

如图3所示，数据接收装置工作流程为： 

(1)、“数据接收和发送确认数据包模块”从互联网上接收数到由发送装置发送来的数据包，将接收到的数据包传递给“接收数据包的处理模块”。 

(2)、“接收数据包的处理模块”会调用“生成本地端口伪随机序列模块”来获得当前将要接收到的有效数据包的端口号信息，将获得的端口号与由“数据接收和发送确认数据包模块”传递来的数据包中的端口号进行比较，如果两值相等则说明该数据包正式当前要接收的有效数据包；如果不相等则将由“数据接收和发送确认数据包模块”模块传来的数据包丢掉，继续比较后面的数据包。

(3)、如果接收到有效数据包，则“接收数据包的处理模块”负责解密数据包中的密文，并将解密后的明文数据进行保存，并将已经接收到指定数据包的消息传递给“确认数据包构造模块”。 

(4)、“确认数据包构造模块”接收到消息后，调用“生成远程端口伪随机序列模块”来获得确认数据包中的目的端口。构造确认数据包，将确认数据包传给“数据接收和发送确认数据包模块”。 

(5)、“数据接收和发送确认数据包模块”向发送装置发送确认数据包。 

(6)、此外还有“伪造数据发送模块”用来伪造无效的确认数据包，来加大数据传输的隐蔽性。 

为了进一步提高系统的安全性，对每一个数据包都进行加密，数据内容加密的密钥可以不是用固定的密钥，而是使用一个与该数据包目的端口号的值相关的一个值作为密钥，从而保证每个数据包的加密密钥都是不同的。具体方法如下： 

选定一个基础密钥baseKey， 

各数据包的目的端口号用Port_i，这里的i表示数据包的序号，i取值范围是0到n，n为本次通讯的总的有效数据包数，Port_i为伪随机序列中的第i个数字，即第i个数据包的端口号，Port_i由伪随机序列生成模块生成； 

对应的每个数据包的加密密钥为Key_i； 

则有Key_i＝f(baseKey，Port_i) 

其中f()是一个生成单包密钥的函数变换关系。 

这样就保证每个数据包都有单独的一个密钥。 

为使系统更加安全，还可以打乱数据包发送顺序 

互联网本身的特性就决定了，数据包发送的先后顺序与数据包到达的先后顺序是不一致的。但是为了进一步打乱数据包发送的先后顺序，使监听的第三方更加无法得知真正的有效数据的发送顺序，可以打乱相邻的数据包的发送顺序，比如先发送第二个数据包，再发送第一个数据包，然后发送第三个数据包，如果使用滑动窗口技术，打乱顺序的发送不会给接收端带来困难，而通信的双方由于事先可以计算出，相应数据包的端口号，通过端口号接收端可以判断出正确的数据包顺序，所以不会对双方的通信造成影响。而双方的通信安全性会进一步增加。

Claims (8)

1.一种网络保密传输方法，包括以下步骤：

1)获取要发送的数据内容；

2)发送端生成远程端口伪随机序列，该伪随机序列的各个数字作为数据包的发送目的端口号，发送数据包，且每个发送数据包都有一个与相邻数据包不同的端口号；

3)接收端接收数据包，并生成本地端口伪随机序列，并且接收端生成的本地端口伪随机序列与步骤2)发送端生成的远程端口伪随机序列相同，将接收到的数据包中的目的端口号与接收端生成的本地端口伪随机序列进行比对，如果两者相等说明接收的数据包有效，准备发送确认数据包；

4)接收端生成远程端口伪随机序列，该接收端生成的远程端口伪随机序列的各个数字作为确认数据包的目的端口号，发送确认数据包；

5)发送端生成本地端口伪随机序列，并且发送端生成的本地端口伪随机序列与步骤4)接收端生成的远程端口伪随机序列相同，并将该发送端生成的本地端口伪随机序列与接收到的确认数据包的目的端口号比较，如果相等，则说明该数据包为有效的确认数据包，继续发送新的数据包。

2.如权利要求1所述的方法，其特征在于，所述步骤2)发送的每个数据包内容都进行了加密，且加密密钥值与该数据包的目的端口号的值相关。

3.如权利要求1所述的方法，其特征在于，所述步骤2)采用单个数据包发送等停模式或多个数据包连续发送模式。

4.如权利要求3所述的方法，其特征在于，多个数据包连续发送模式采用滑动窗口技术。

5.如权利要求1所述的方法，其特征在于，所述步骤2)发送数据包之后还发送大量伪造的干扰数据包。

6.如权利要求1所述的方法，其特征在于，所述步骤2)打乱相邻数据包的发送顺序。

7.一种网络保密传输系统，包括发送装置和接收装置，其特征在于，发送装置包括：发送数据的获取模块、生成远程端口伪随机序列模块、生成本地端口伪随机序列模块、发送数据包构造模块、数据发送接收模块、接收确认数据包的处理模块，其中：

所述发送数据的获取模块获取所要发送的数据的内容，传入到发送数据包构造模块；所述生成远程端口伪随机序列模块生成一系列的伪随机序列，发送数据包构造模块从中取出一个伪随机数作为发送数据包目的端的端口号，且每个发送数据包都有一个与相邻数据包不同的端口号，将构造好的数据包传入数据发送接收模块；所述数据发送接收模块负责发送数据包，并接收返回的确认数据包；所述接收确认数据包的处理模块将所述生成本地端口伪随机序列模块生成的一系列的伪随机序列，与接收到的确认数据包目的端的端口号对比，相同则确认数据包正确有效，相应的数据包发送成功的信息返回数据发送接收模块；

接收装置包括生成远程端口伪随机序列模块、生成本地端口伪随机序列模块、数据接收和发送确认数据包模块、接收数据包的处理模块、确认数据包构造模块，其中：

所述接收数据包的处理模块将数据包中的目的端口号与生成本地端口伪随机序列模块中生成的伪随机数进行比对，如果两者相等说明是发送装置发来的有效数据包，则通知确认数据包构造模块构造确认数据包，所述确认数据包构造模块从生成远程端口伪随机序列模块生的伪随机序列中提取一个伪随机数作为确定数据包目的端的端口号，并将构造好的确认数据包传递给数据接收和发送确认数据包模块发送确认数据包；

其中，所述发送装置中的生成本地端口伪随机序列模块所生成的伪随机序列与接收装置中的生成远程端口伪随机序列模块所生成的伪随机序列相同；所述接收装置中的生成本地端口伪随机序列模块所生成的伪随机序列与发送装置中的生成远程端口伪随机序列模块所生成的伪随机序列相同。

8.如权利要求7所述的系统，其特征在于，发送装置与接收装置中都有伪造数据发送模块，负责发送干扰性数据包，加大数据通信的隐蔽性。

Images