CN101795301A - 增强源地址真实性保障的密钥申诉方法 - Google Patents
增强源地址真实性保障的密钥申诉方法 Download PDFInfo
- Publication number
- CN101795301A CN101795301A CN200910244175A CN200910244175A CN101795301A CN 101795301 A CN101795301 A CN 101795301A CN 200910244175 A CN200910244175 A CN 200910244175A CN 200910244175 A CN200910244175 A CN 200910244175A CN 101795301 A CN101795301 A CN 101795301A
- Authority
- CN
- China
- Prior art keywords
- terminal
- packet
- complaint
- access
- token
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明提供一种增强源地址真实性保障的密钥申诉方法，该方法在终端安全接入网络后，使用刚刚得到的令牌在准入服务器中建立申诉表<终端接入地址，申诉信息ID>表；准入服务器建立申诉表后，接受本地终端的申诉请求优先处理申诉消息，即收到申诉消息时验证申诉信息正确即可更新<终端接入地址，终端公钥>表。根据本发明方法，终端可以在丢失密钥或者密钥被非法终端获知后能够及时更换密钥，从而解决终端接入地址和密钥对应关系不可更改的问题，使得终端密钥丢失后不能使用原接入地址接入网络的问题得到了彻底解决。
Description
技术领域
本发明涉及一种地址分离映射网络中增强源地址真实性保障的密钥申诉方法，属于网络安全技术领域。
背景技术
在互联网体系结构中，IP地址双重身份的问题一直制约着网络安全性能的改进，于是出现了将身份与位置分离的思想，如Farinacci等人的LISP协议(参看D.Farinacci，V.Fuller，D.Meyer and D.Lewis.Locator/ID SeparationProtocol(LISP)，draft-farinacci-lisp-12，March 2，2009)。
地址分离映射机制基于身份与位置分离的思想而产生，其引入两种地址：接入地址和路由地址，其中，接入地址代表终端的公开身份信息，路由地址代表终端的位置信息。地址分离映射机制中，用户在入网时得到一个表示自己身份的接入地址，而在用户与对端通信时，需要从接入路由器获得一个可用的路由地址，用以在核心网内对数据包进行选路和转发，如图1所示。结合图1对一次通信流程的介绍如下：
步骤1：接入网1中的终端A向接入网2中的终端D发送数据，数据包的源地址为终端A的接入地址，数据包的目的地址为终端D的接入地址。
步骤2：接入路由器AR1将数据包中的源接入地址和目的接入地址映射为相对应的路由地址。
步骤3：接入路由器AR1把映射后的数据包转发到核心网中，核心网中的核心路由器E、F和G等根据数据包中的路由地址将该数据包转发给接入路由器AR2。
步骤4：接入路由器AR2将数据包的源地址路由和目的地址由路由地址映射回接入地址。
步骤5：地址映射后，接入路由器AR2向终端D进行转发，最后终端D收到终端A发送的数据包。
地址分离映射机制下的源地址真实性的含义是指，一个合法终端的接入地址不能被其他终端所伪造。地址分离映射机制增强了网络的安全性，可以有效地保护用户的身份隐私和位置隐私。但是，地址分离映射机制仍然存在一定的安全问题，比如其不能避免攻击者伪造接入地址对其他终端或者网络进行攻击的行为，即源地址真实性得不到保障。
因此，为了加强源地址真实性保障技术，需要对源地址进行认证。张宏科、王凯、周华春等人在申请号为“200910242626.2”的发明专利“使用令牌机制保障源地址真实性的安全接入系统及方法”中，对地址分离映射网络的源地址真实性保障提出了一种新的安全接入方案，其通过在地址分离映射网络的接入网中部署准入服务器，并在所述准入服务器中安装准入协商控制模块和令牌分配模块；在接入路由器上安装接入协商模块和数据包验证模块；在终端安装接入客户端软件模块，以负责用户接入时发送请求消息，从而达到保障地址分离映射网络中源地址真实性的目的。该安全接入方法发明专利的流程图如图2所示，其具体步骤如下：
步骤1：终端向所述准入服务器发送数据包X，请求接入；其中，数据包X中：源地址为终端的接入地址，目的地址为所述准入服务器的地址，用于激发安全接入过程；
步骤2：所述准入服务器从预先生成的挑战中随机选择一个挑战SHA1(Nq|K)，将SHA1(Nq|K)和签名函数sigs{Nq|SHA1(Nq|K)}插入到数据包Y中，将数据包Y发给终端；其中，数据包Y中包含：Nq是准入服务器预先生成的随机数之一；SHA1(Nq|K)为160bit，是准入服务器预先生成的挑战，用于发给终端要求其应答；所述签名函数sigs{Nq|SHA1(Nq|K)}是使用准入服务器私钥对Nq和挑战SHA1(Nq|K)的数字签名；
步骤3：终端使用所述准入服务器的公钥验证所述签名函数sigs{Nq|SHA1(Nq|K)}成功后，根据Y中的所述挑战SHA1(Nq|K)，穷举法得出应答K，然后发送数据包A到所述准入服务器；其中，数据包A中包含：K是终端对Y中挑战的应答；Nq是数据包Y中的随机数；Na是终端在本次会话中生成的随机数；sige(IPcae|K|Nq|Na)代表使用终端私钥对终端接入地址IPcae、应答K、随机数Nq和随机数Na的数字签名；Pube是终端公钥；
步骤4：准入服务器检查数据包A中应答K是否正确，若正确则提取A中接入地址和公钥，按照接入地址结构中归属前缀查找该终端归属域准入服务器的<终端接入地址，终端公钥>表：
若终端归属域为本准入服务器所在域，A中携带的接入地址和公钥在表中均不存在即终端还未注册或者都存在且对应关系一致，则本准入服务器使用步骤3数据包A中携带的公钥Pube验证sige(IPcae|K|Nq|Na)，验证成功则为终端生成令牌(Token)，并且将终端接入地址和公钥保存到<终端接入地址，终端公钥>表，如果该表原先已存在，则覆盖原记录；否则接入失败；
若终端归属域不是本准入服务器所在域，则通过本准入服务器查询其归属域准入服务器，若A中携带的接入地址和公钥在其归属域准入服务器的表中都存在且对应关系与表中一致，则本准入服务器使用步骤3数据包A中携带的公钥Pube验证sige(IPcae|K|Nq|Na)，验证成功后为终端生成令牌(Token)；若A中携带的接入地址或公钥在表中不存在，或者存在但对应关系与表中不一致则不进行验证，接入失败；
验证成功并生成令牌后，本准入服务器回复数据包B至终端；其中，数据包B中包含：Na是A中的随机数；Nb是准入服务器在本次会话中生成的随机数；ecte{sigs(IPcae|Na|Nb)|Token}代表先使用准入服务器私钥对A中的IPcae、Na和随机数Nb进行数字签名，后用终端公钥对数字签名和Token加密生成的密文，其中Token是准入服务器为终端生成的令牌；
步骤5：终端使用自身私钥和准入服务器公钥验证B中密文部分即ecte{sigs(IPcae|Na|Nb)|Token}，若验证成功则将令牌Token保存，然后终端回复数据包C至准入服务器；否则不予理睬；其中，数据包C中包含：Nb是B中的随机数；SHA1{IPcae|Token|Nb)}是对终端接入地址、令牌Token和Nb的哈希值；
步骤6：准入服务器验证数据包C中哈希值SHA1{IPcae|Token|Nb)}，验证成功则发送数据包D至接入路由器，通知接入地址IPcae和令牌的对应关系，所述准入服务器和所述接入路由器采用单独高速安全的连接；其中，数据包D中包含：IPcae是A中的终端接入地址；Token是B中分配给终端的令牌；
步骤7：接入路由器将数据包D中接入地址IPcae和令牌的对应关系保存在<终端接入地址，令牌>表中，若表中已存在该接入地址对应令牌，则使用新令牌覆盖原令牌，并将该接入地址添加到本地用户映射表LMT中，接着向终端分配路由地址，并通知映射服务器更新该终端的地址映射信息，然后，接入路由器向准入服务器发送数据包E，通告准入服务器接入地址IPcae的<终端接入地址，令牌>表成功建立在了接入路由器上；其中，数据包E中包含：IPcae是A中的终端接入地址；
步骤8：所述准入服务器收到所述接入路由器发来的数据包E后，发送数据包F至终端，通知终端启用令牌，终端验证F中哈希值SHA1{IPcae|Token|Nc)}，验证成功则启用步骤5中保存的令牌，否则继续等待数据包F；其中，数据包F中包含：Nc是准入服务器在本次会话中生成的随机数；SHA1{IPcae|Token|Nc)}是对终端接入地址、令牌和Nc的哈希值；
步骤9：终端以接入地址、令牌和一个随机生成的序号Ne为输入生成哈希值SHA1{IPcae|Token|Ne)}，将所述SHA1{IPcae|Token|Ne)}插入到通信数据包M中，发送M至接入路由器；其中，数据包M中包含：Ne是终端为每个数据包随机生成的序号；SHA1{IPcae|Token|Ne)}是对终端接入地址、令牌和Ne的哈希值，data是需要发送的数据；
步骤10：所述接入路由器查找数据包M的接入地址IPcae的<终端接入地址，令牌>表，从表中查到IPcae对应的令牌L，然后使用M中接入地址、Ne以及表中查到的令牌L进行哈希运算得到哈希值Y：若Y和数据包M中携带的SHA1{IPcae|Token|Ne)}相等，则证明源地址是真实的，此后将哈希值SHA1{IPcae|Token|Ne)}和随机数Ne从数据包中去除后还原为普通数据包V，然后接入路由器查找V中接入地址的本地用户映射表LMT进行地址映射变为数据包P，将P转发到核心网中进行路由；否则，证明源地址是伪造的，直接丢弃不予转发；其中，数据包P中使用的地址为路由地址，data为数据包M中的数据。
终端在每个接入网内只需要进行一次从步骤1到步骤8的安全接入过程，如果终端关机或者移动到外网后又回到本网，则使用终端上一次从本网得到的令牌直接从步骤9开始执行即可，不需要重新协商令牌。这种方式大大减少了准入服务器的负担，同时也方便了终端用户。另外，终端为提高安全性还可以重新申请新令牌通信，将原先令牌弃用，见步骤7。
通过以上步骤，终端安全地得到了唯一绑定到接入地址的令牌，使得接入地址和令牌存在一一对应的关系；接入路由器建立了<终端接入地址，令牌>表，用于验证终端接入地址和令牌的绑定关系；准入服务器中保存了<终端接入地址，终端公钥>表，终端请求接入时准入服务器发送挑战要求终端穷举法找出应答以及先验证该表中两元素的对应关系而不是直接验证数字签名，都从很大程度上抵御了对准入服务器的DoS攻击。
上述现有技术的缺点如下：
上述现有技术方案中<终端接入地址，终端公钥>表在终端第一次入网后就保存在了准入服务器中，并且终端接入地址和该终端公钥的绑定关系是不变的，万一用户丢失私钥或者私钥被别人获知，则会导致用户不能再使用原接入地址接入网络或者被他人非法利用其原接入地址接入网络；而私钥被别人获知还会致使他人使用合法用户的接入地址进行通信，造成源地址伪造，将恶意行为嫁祸于丢失该私钥的合法用户。
发明内容
为了克服现有技术的不足，本发明提供地址分离映射网络中增强源地址真实性保障的密钥申诉方法，其作为地址分离映射网络中“使用令牌机制保障源地址真实性的安全接入系统及方法”的安全增强方案，适用于增强地址分离映射网络源地址真实性的保障力度，解决了原方案不能更换密钥的重大安全隐患问题。由于申诉表中的申诉信息ID是一些用户自身信息的集合，由用户自己选定，具有很强的私密性，并且申诉信息ID只在申诉阶段才会在数据包中加密发送，因此被监听的概率很低，从而极大地增强了终端的安全保障。
本发明解决其技术问题所采用的技术方案是：
增强源地址真实性保障的密钥申诉方法，本方法在终端安全接入网络后，使用刚刚得到的令牌在准入服务器中建立申诉表<终端接入地址，申诉信息ID>表，准入服务器建立申诉表后，优先处理申诉消息，即收到申诉消息时验证申诉信息正确即可更新<终端接入地址，终端公钥>表，从而增强终端的安全保障。
本发明的密钥申诉过程的步骤如下：
步骤1：终端完成安全接入得到令牌后，立即发送数据包X至接入路由器，请求建立终端申诉表，即<终端接入地址，申诉信息ID>表。所述数据包X中包括：SHA1(IPcae|N1|Token)，所述SHA1(IPcae|N1|Token)是IPcae、N1和Token的160bit哈希值，其中，IPcae是终端接入地址，N1是终端为本次会话生成的随机数，Token是终端令牌；以及，ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}，所述ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}是申诉信息ID的密文，所述密文是先使用终端私钥对随机数N1、哈希值SHA1(IPcae|N1|Token)进行数字签名，后使用准入服务器公钥对数字签名和申诉信息ID进行加密的密文。
步骤2：所述接入路由器根据所述数据包X中的终端接入地址，查找<终端接入地址，令牌>表，使用数据包X中终端接入地址IPcae和随机数N1以及查表得到的令牌Token作SHA1运算，若得到的结果和数据包X中携带的哈希值SHA1(IPcae|N1|Token)相等，则验证成功，此时复制数据包X中的N1和ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}，并将其插入到数据包Y中，然后发送数据包Y至准入服务器；若验证失败则不响应申诉请求；所述数据包Y中包含：N1和SHA1(IPcae|N1|Token)均为从数据包X中复制而来。
步骤3：准入服务器使用自身私钥解密密文ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}，并使用终端公钥验证密文中签名成功后，建立该终端的申诉表，即<终端接入地址，申诉信息ID>表，并发送数据包Z通知终端其申诉表已经成功建立，数据包Z中包含数字签名sigs(IPcae|N1|N2)。数据包Z中：N1是Y中的随机数；N2是准入服务器生成的随机数；sigs(IPcae|N1|N2)是准入服务器使用自身私钥对终端接入地址IPcae、随机数N1和N2的数字签名。
步骤4：当终端发觉自身私钥被其他用户非法使用需要更新密钥时，自选新的公钥-私钥对；然后发送数据包A至准入服务器请求更换密钥，即更新准入服务器中的<终端接入地址，终端公钥>表，数据包A中：N3是终端为本次会话生成的随机数，且数据包A中仅包含一个随机数N3。
步骤5：所述准入服务器使用数据包B回复终端，数据包B中包含准入服务器预先生成的对申诉终端的挑战SHA1(N4|K)和数字签名sigs{N4|SHA1(N4|K)}。数据包B中：N4是准入服务器预先生成的随机数之一；SHA1(N4|K)为160bit，是准入服务器预先生成的挑战，用于发给终端要求其应答，因为hash函数的单向性，终端需使用穷取法选择一个合适的K得出该挑战的值，从而有效缓解恶意终端对准入服务器的DoS攻击；sigs{N4|SHA1(N4|K)}是预先生成的、使用准入服务器私钥对随机数N4和挑战的数字签名。
步骤6：终端使用穷举法得到挑战的应答K，发送数据包C回复准入服务器，数据包C中：K是终端对B中挑战的应答；N4是数据包B中的随机数；sige1(IPcae|K|N4|ID)代表使用终端新私钥对终端接入地址IPcae、应答K、随机数N4和申诉信息ID的数字签名；Pube1是终端新公钥。
步骤7：准入服务器验证数据包C中的应答K正确后，使用数据包C中携带来的终端新公钥Pube1验证数字签名sige1(IPcae|K|N4|ID)：即先通过查找该终端在准入服务器中预先存有的申诉表<终端接入地址，申诉信息ID>得到ID，然后以查得的ID和C中IPcae、K、N4进行哈希运算得到一个值W1，然后使用Pube1处理C中签名sige(IPcae|K|N4|ID)后得到一个值W2，若W1＝W2，则验证成功；若验证成功则使用新公钥Pube1替换该接入地址对应的<终端接入地址，终端公钥>表中的旧公钥，完成了该终端接入地址和公钥绑定关系的更新；然后受理申诉的本地准入服务器通知其他准入服务器，通过发送数据包D告知各个接入路由器删除该终端对应的<终端接入地址，令牌>表。数据包D中：IPcae是进行密钥更新的终端的接入地址。
终端申诉发生的时间间隔一般较大，故对于一次申诉通过所有准入服务器发送数据包D的方案可行。
通过以上步骤，准入服务器中建立了终端的申诉表，即<终端接入地址，申诉信息ID>表，终端在安全接入网络后应在较短时间内进行以上步骤1到步骤3，完成申诉表的建立；在自身密钥泄露的情况下便可使用新密钥进行以上步骤4到步骤7的更换密钥过程。通过以上步骤，使得终端可以在丢失密钥或者密钥被非法终端获知后能够及时更换密钥，解决了终端接入地址和密钥对应关系不可更改的问题，使得终端密钥丢失后不能使用原接入地址接入网络的问题得到了彻底解决。
本发明方法的技术方案进一步还包括：
所述终端建立申诉表是指，终端在本地准入服务器中建立申诉表，所述准入服务器接受本地终端的申诉请求。
本发明的有益效果
本发明提供了终端丢失密钥或者密钥被他人非法获取后更换密钥的方案，通过对密钥的及时更换，进一步增强了源地址真实性的保障力度，减少地址分离映射网络的源地址伪造的可能性，提高网络的安全性能。在张宏科、王凯、周华春等人在申请号为“200910242626.2”的发明专利“使用令牌机制保障源地址真实性的安全接入系统及方法”中，一旦终端的密钥由于各种原因而意外地被别人获知，网络通信过程中源地址真实性就得不到保障。本发明通过更换用户密钥来增加用户对密钥选择的灵活性，进而增强源地址真实性保障，极大地提高了整体网络的安全性。
附图说明
图1为现有技术中地址分离映射网络拓扑示意图；
图2为现有技术中终端安全接入方案示意图；
图3为根据本发明的具体实施例的网络部署示意图；
图4为根据本发明的终端密钥申诉过程。
具体实施方式
下面结合附图和具体实施方式对本发明作进一步详细描述：
实施例1：本发明的核心思想是在地址分离映射网络中，设计一种密钥申诉方案来增强源地址真实性保障力度，通过密钥更换功能，可以进一步防止终端接入地址的欺骗行为，更好地保障了源地址的真实性。
如图3所示的根据本发明的网络部署示意图，本发明通过在接入网准入服务器的身份认证模块中添加实现申诉功能的代码、在接入网的接入路由器接入协商模块中添加代码、在终端上接入客户端软件中添加代码来实现增强“使用令牌机制保障源地址真实性的安全接入系统及方法”的安全性。图4为本发明的终端密钥申诉过程，结合图3中终端A，本实施例中的密钥申诉过程的步骤如下：
步骤1：终端A完成安全接入得到令牌后，立即发送包含有接入地址、随机数和令牌哈希值以及包含申诉信息密文的数据包a至接入路由器AR1，请求建立终端申诉表，即<终端接入地址，申诉信息ID>表。所述密文是先使用终端私钥对随机数以及接入地址、随机数和令牌哈希值进行数字签名，后使用准入服务器公钥对数字签名和申诉信息ID进行加密的密文。
步骤2：接入路由器AR1接收到终端A发送来的数据包a，查找终端A的<终端接入地址，令牌>表，使用终端A的接入地址和数据包a中随机数以及查表得到的令牌作SHA1运算得到一个值M，若M和数据包a中携带的哈希值相等，则验证成功，此时复制数据包a中的随机数和包含申诉信息的密文，将其插入到数据包b中，发送数据包b至准入服务器1。若验证失败则不响应申诉请求。
步骤3：准入服务器1使用自身私钥和终端A的公钥验证密文成功后，建立该终端A的申诉表，即<A接入地址，A申诉信息>表，并发送数据包c通知终端A其申诉表已经成功建立。数据包c中包含：数据包b中的随机数；准入服务器为本次会话生成的随机数；准入服务器使用自身私钥对终端接入地址、数据包b中的随机数和准入服务器为本次会话生成的随机数的数字签名。
步骤4：终端A发觉自身私钥被终端C非法使用时，自选新的公钥-私钥对；然后发送数据包d至准入服务器1请求更换密钥，即更新准入服务器中的<A接入地址，A公钥>表。数据包d中仅包含一个随机数。
步骤5：准入服务器1使用数据包e回复终端A，e中包含准入服务器1预先生成的对终端A的挑战。数据包e中包含：准入服务器预先为应答申诉终端生成的随机数；准入服务器预先生成的挑战，用于发给终端要求其应答，因为hash函数的单向性，终端需使用穷取法选择一个合适的数值作为该挑战的应答，从而有效缓解恶意终端对准入服务器的DoS攻击；预先生成的、使用准入服务器私钥对会话使用的随机数和挑战的数字签名。
步骤6：终端A使用穷举法得到挑战的应答，发送数据包f回复准入服务器1，数据包f中包含：终端对e中挑战的应答；数据包B中的随机数；使用终端新私钥对终端接入地址、终端对e中挑战的应答、数据包B中的随机数和申诉信息ID的数字签名；终端新公钥Pube1。
步骤7：准入服务器1验证数据包f中的应答正确并验证数据包f成功后，使用数据包f中携带来的终端A的新公钥Pube1替换原<A接入地址，A公钥>表中的旧公钥，完成了该终端接入地址和公钥绑定关系的更新；然后准入服务器1通知准入服务器2，通过发送数据包g告知接入路由器1和2删除该终端对应的<终端接入地址，令牌>表。数据包g中仅包含：进行密钥更新的终端的接入地址。
终端A使用新密钥重新进行安全接入过程，若终端C原先非法获得了终端A的旧密钥而假冒终端A在接入网2中非法接入，则此时终端C将不能继续在接入网2中使用终端A的旧密钥接入网络，因为在步骤7中旧密钥已经失效并且旧令牌已经删除。
以上仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。
Claims (4)
1.一种增强源地址真实性保障的密钥申诉方法，其特征是：终端安全接入网络后，使用刚刚得到的令牌在准入服务器中建立申诉表<终端接入地址，申诉信息ID>表，准入服务器建立所述申诉表后，优先处理申诉消息，即收到申诉消息时验证申诉信息正确即可更新<终端接入地址，终端公钥>表，从而增强终端的安全保障，该方法的密钥申诉过程步骤如下：
步骤1：终端完成安全接入得到令牌后，立即发送数据包X至接入路由器，请求建立终端申诉表，即<终端接入地址，申诉信息ID>表，所述数据包X中包括：SHA1(IPcae|N1|Token)和申诉信息ID的密文ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}；所述SHA1(IPcae|N1|Token)是IPcae、N1和Token的160bit哈希值，其中，IPcae是终端接入地址，N1是终端为本次会话生成的随机数，Token是终端令牌；所述密文ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}是先使用终端私钥对随机数N1、哈希值SHA1(IPcae|N1|Token)进行数字签名，后使用准入服务器公钥对数字签名和申诉信息ID进行加密的密文；
步骤2：所述接入路由器根据所述数据包X中的终端接入地址，查找所述<终端接入地址，令牌>表，使用所述数据包X中终端接入地址IPcae和随机数N1以及查表得到的令牌Token作SHA1运算，若得到的结果和所述数据包X中携带的哈希值SHA1(IPcae|N1|Token)相等，则验证成功，此时复制所述数据包X中的N1和ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}，并将其插入到数据包Y中，然后发送所述数据包Y至准入服务器；若验证失败则不响应申诉请求；
步骤3：所述准入服务器使用自身私钥解密密文ects{sige[N1|SHA1(IPcae|Nq|Token)]，ID}，并使用终端公钥验证密文中签名sige[N1|SHA1(IPcae|Nq|Token)]成功后，完成该终端申诉表的建立，即完成<终端接入地址，申诉信息ID>表的建立，并发送数据包Z通知终端其申诉表已经成功建立，所述数据包Z中：N1是Y中的随机数；N2是准入服务器生成的随机数，sigs(IPcae|N1|N2)是准入服务器使用自身私钥对终端接入地址IPcae、随机数N1和N2的数字签名；
步骤4：当终端发觉自身私钥被其他用户非法使用而需要更新密钥时，自选新的公钥一私钥对；然后发送数据包A至准入服务器请求更换密钥，即更新准入服务器中的<终端接入地址，终端公钥>表，数据包A中：N3是终端为本次会话生成的随机数，且数据包A中仅包含一个随机数N3；
步骤5：所述准入服务器使用数据包B回复终端，数据包B中包含准入服务器预先生成的对申诉终端的挑战SHA1(N4|K)和预先生成的数字签名sigs{N4|SHA1(N4|K)}，数据包B中：N4是准入服务器预先生成的随机数之一；SHA1(N4|K)是160bit的准入服务器预先生成的挑战，用于发给终端要求其应答；sigs{N4|SHA1(N4|K)}是预先生成的、使用准入服务器私钥对随机数N4和挑战的数字签名；
步骤6：终端使用穷举法得到挑战的应答K，发送数据包C回复准入服务器，所述数据包C中：所述应答K是终端对所述数据包B中挑战的应答；N4是数据包B中的随机数；sige1(IPcae|K|N4|ID)代表使用终端新私钥对终端接入地址IPcae、应答K、随机数N4和申诉信息ID的数字签名；Pube1是终端新公钥；
步骤7：所述准入服务器验证数据包C中的应答K正确后，使用数据包C中携带的终端新公钥Pube1验证数字签名sige1(IPcae|K|N4|ID)，其中，验证过程中所使用的申诉信息ID的获得来自于步骤3已经建立的申诉表；验证成功则使用新公钥Pube1替换该接入地址对应的<终端接入地址，终端公钥>表中的旧公钥，完成了该终端接入地址和公钥绑定关系的更新；然后受理申诉的本地准入服务器通知其他准入服务器，通过发送数据包D告知各个接入路由器删除该终端对应的<终端接入地址，令牌>表，从而在自身密钥泄露的情况下使用新密钥完成更换密钥的过程，所述数据包D中仅包含：IPcae是进行密钥更新的终端的接入地址。
2.根据权利要求1所述的增强源地址真实性保障的密钥申诉方法，其特征是：步骤1中，所述终端建立申诉表是指，终端在本地准入服务器中建立申诉表，所述准入服务器接受本地终端的申诉请求。
3.根据权利要求1所述的增强源地址真实性保障的密钥申诉方法，其特征是：步骤6中，由于hash函数的单向性，终端需使用穷取法选择一个合适的应答K得出该挑战SHA1(N4|K)的值，从而有效缓解恶意终端对准入服务器的DoS攻击。
4.根据权利要求1所述的增强源地址真实性保障的密钥申诉方法，其特征是：步骤7中，所述使用数据包C中携带的终端新公钥Pube1验证数字签名sige1(IPcae|K|N4|ID)是指：先通过查找该终端在准入服务器中预先存有的申诉表<终端接入地址，申诉信息ID>得到ID，然后以查得的ID和所述数据包C中IPcae、K、N4进行哈希运算得到一个值W1，最后使用Pube1处理所述数据包C中签名sige(IPcae|K|N4|ID)后得到一个值W2，若W1＝W2，则验证成功。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN200910244175.6A CN101795301B (zh) | 2009-12-30 | 2009-12-30 | 增强源地址真实性保障的密钥申诉方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN200910244175.6A CN101795301B (zh) | 2009-12-30 | 2009-12-30 | 增强源地址真实性保障的密钥申诉方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN101795301A true CN101795301A (zh) | 2010-08-04 |
| CN101795301B CN101795301B (zh) | 2013-03-13 |
Family
ID=42587724
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN200910244175.6A Expired - Fee Related CN101795301B (zh) | 2009-12-30 | 2009-12-30 | 增强源地址真实性保障的密钥申诉方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN101795301B (zh) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103139218A (zh) * | 2013-02-27 | 2013-06-05 | 石家庄铁道大学 | 分离机制网络中可信域间映射更新认证方法 |
| CN109905348A (zh) * | 2017-12-07 | 2019-06-18 | 华为技术有限公司 | 端到端认证及密钥协商方法、装置及系统 |
| CN110463146A (zh) * | 2017-03-14 | 2019-11-15 | 弗劳恩霍夫应用研究促进协会 | 用于发射信号的发送器和用于接收信号的接收器 |
| CN112073421A (zh) * | 2020-09-14 | 2020-12-11 | 深圳市腾讯计算机系统有限公司 | 通信处理方法、装置、终端及存储介质 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100512105C (zh) * | 2004-09-30 | 2009-07-08 | 西安西电捷通无线网络通信有限公司 | 一种柔性ip网络技术体系的安全密钥管理方法 |
| CN101047493A (zh) * | 2006-06-02 | 2007-10-03 | 华为技术有限公司 | 获取简单网络管理协议管理密钥的方法及系统 |
| CN101212465B (zh) * | 2006-12-26 | 2011-10-26 | 中兴通讯股份有限公司 | 因特网密钥交换协议第二版证书有效性验证的方法 |
-
2009
- 2009-12-30 CN CN200910244175.6A patent/CN101795301B/zh not_active Expired - Fee Related
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103139218A (zh) * | 2013-02-27 | 2013-06-05 | 石家庄铁道大学 | 分离机制网络中可信域间映射更新认证方法 |
| CN103139218B (zh) * | 2013-02-27 | 2017-05-10 | 石家庄铁道大学 | 分离机制网络中可信域间映射更新认证方法 |
| CN110463146A (zh) * | 2017-03-14 | 2019-11-15 | 弗劳恩霍夫应用研究促进协会 | 用于发射信号的发送器和用于接收信号的接收器 |
| US11089472B2 (en) | 2017-03-14 | 2021-08-10 | Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V. | Transmitter for emitting signals and receiver for receiving signals |
| CN110463146B (zh) * | 2017-03-14 | 2022-03-15 | 弗劳恩霍夫应用研究促进协会 | 用于发射信号的发送器和用于接收信号的接收器 |
| CN109905348A (zh) * | 2017-12-07 | 2019-06-18 | 华为技术有限公司 | 端到端认证及密钥协商方法、装置及系统 |
| CN109905348B (zh) * | 2017-12-07 | 2020-10-23 | 华为技术有限公司 | 端到端认证及密钥协商方法、装置及系统 |
| CN112073421A (zh) * | 2020-09-14 | 2020-12-11 | 深圳市腾讯计算机系统有限公司 | 通信处理方法、装置、终端及存储介质 |
| CN112073421B (zh) * | 2020-09-14 | 2022-07-08 | 深圳市腾讯计算机系统有限公司 | 通信处理方法、装置、终端及存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101795301B (zh) | 2013-03-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101741851B (zh) | 一种增强源地址真实性保障的令牌更新方法 | |
| Bush et al. | The resource public key infrastructure (RPKI) to router protocol | |
| CN101729568B (zh) | 使用令牌机制保障源地址真实性的安全接入系统及方法 | |
| Chen et al. | Security enhancement on an improvement on two remote user authentication schemes using smart cards | |
| US8843751B2 (en) | IP address delegation | |
| CN111262692B (zh) | 基于区块链的密钥分发系统和方法 | |
| CN102761630A (zh) | 一种面向真实用户身份信息的IPv6地址分配方法 | |
| WO2011088658A1 (zh) | 对dns报文中的身份信息进行认证的方法、服务器和系统 | |
| CN102231725B (zh) | 一种动态主机配置协议报文的认证方法、设备及系统 | |
| CN108964896B (zh) | 一种基于群组密钥池的Kerberos身份认证系统和方法 | |
| CN101039181B (zh) | 防止通用鉴权框架中服务功能实体受攻击的方法 | |
| CN111182497A (zh) | V2x匿名认证方法、设备及存储介质 | |
| CN101795301B (zh) | 增强源地址真实性保障的密钥申诉方法 | |
| CN108964895B (zh) | 基于群组密钥池和改进Kerberos的User-to-User身份认证系统和方法 | |
| Jiang et al. | Secure DHCPv6 Using CGAs | |
| CN103220174A (zh) | 配置节点的方法、相关节点和配置服务器 | |
| CN108600152A (zh) | 基于量子通信网络的改进型Kerberos身份认证系统和方法 | |
| CN107948124A (zh) | 一种arp条目更新管理方法、装置及系统 | |
| Luo et al. | A security communication model based on certificateless online/offline signcryption for Internet of Things | |
| US8275987B2 (en) | Method for transmission of DHCP messages | |
| US8364949B1 (en) | Authentication for TCP-based routing and management protocols | |
| CN108965266B (zh) | 一种基于群组密钥池和Kerberos的User-to-User身份认证系统和方法 | |
| CN103458060A (zh) | 一种多级网络地址转换下主机标识符的传递方法及装置 | |
| CN101783792A (zh) | 基于互联网的加密通信方法及系统 | |
| WO2013060160A1 (zh) | 一种无线传感网络双向身份认证方法及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| C17 | Cessation of patent right | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20130313 Termination date: 20131230 |