CN103441983A

CN103441983A - 基于链路层发现协议的信息保护方法和装置

Info

Publication number: CN103441983A
Application number: CN2013102898908A
Authority: CN
Inventors: 陈利利; 杨锐
Original assignee: Centec Networks Suzhou Co Ltd
Current assignee: Centec Networks Suzhou Co Ltd
Priority date: 2013-07-11
Filing date: 2013-07-11
Publication date: 2013-12-11

Abstract

本发明揭示了一种基于链路层发现协议的信息保护方法和装置，本端设备将自身带有的信息组织成若干个不同的TLV报文，并将TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将封装在LLDP报文中的LLDPDU字段抽出，对LLDPDU字段中的TLV报文进行加密后，将加密后的密文发送给与本端设备相邻的邻居设备，邻居设备对密文解密后，对接收到的LLDP报文进行进一步解析，完成信息交互。本发明引入LLDP协议通信双方的加密方法，保证了LLDP协议的通信安全，使得运行LLDP协议的设备不易受到来自互联网等方面的恶意攻击影响，提高了协议运行的安全性。

Description

基于链路层发现协议的信息保护方法和装置

技术领域

本发明涉及计算机网络数据通信安全领域，尤其是涉及一种基于链路层发现协议的信息保护方法和装置。

背景技术

随着网络拓扑和环境中设备越来越多样化，本端设备不能及时地判断问题故障点，而且由于不了解对端设备，因此无法分析与对端设备间的功能差异，从而导致网络环境更加复杂，维护成本越来越高。

为了使不同厂商的设备能够在网络中相互发现并交互各自的系统及配置信息，就需要有一个标准的信息交流平台，LLDP(链路层发现协议)应运而生。它提供了一种标准的链路层发现方式，可以将本端设备的主要能力、管理地址、设备标识、接口标识等信息组织成不同的TLV(类型/长度/值)，并封装在LLDPDU(链路层发现协议数据单元)中发布给与自身直接相连的对端设备。但是在信息交流的同时也存在着潜在的安全隐患，黑客可以通过发送各种非法数据帧，导致电话或交换机崩溃，或者最起码会引起一次拒绝服务攻击。

网络身份验证是网络安全的第一道防线，是指登录用户在安全访问系统之前，首先经过身份认证系统识别身份，然后访问监控器根据用户的身份和授权数据库决定用户是否能够访问某个资源。身份认证在安全系统中的地位极其重要，是最基本的安全服务，其它的安全服务都要依赖于它。一旦身份认证系统被攻破，那么系统的所有安全措施将形同虚设。黑客攻击的目标往往就是身份认证系统，因此身份认证实在是网络安全的关键。目前LLDP协议中，还没有实现对LLDP报文数据帧进行身份认证，所以当各种非法数据帧的入侵后，LLDP协议运行的安全性不能够得到很好的保护。

发明内容

本发明的目的在于克服现有技术的缺陷，提供一种基于链路层发现协议的信息保护方法和装置，将加解密算法引入LLDP协议中，保证协议运行的安全。

为实现上述目的，本发明提出如下技术方案：一种基于链路层发现协议的信息保护方法，本端设备将自身携带的信息组织成若干个不同的TLV报文，所述TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装后发送给与之相邻的邻居设备，在本端设备向邻居设备发送LLDP报文之前，将封装在LLDP报文中的LLDPDU字段抽出，对LLDPDU字段进行加密。

优选地，对LLDPDU字段中的TLV报文进行加密。

所述TLV报文包括TLV报文头和TLV信息字符串，所述TLV报文头中设置用于标识是否对TLV报文进行加密的标识位。

当TLV报文的标识位表示需要对TLV报文进行加密时，TLV报文的加密过程包括以下步骤：

第一步，从TLV信息字符串中取一个字符串，经过MD5算法运算后得到随机数A；

第二步，将所述随机数A与已知的密钥进行乘法运算后得到值B；

第三步，将所述值B进行MD5加密运算后得到密文，将所述密文传送给邻居设备进行信息传输。

所述邻居设备接收到LLDP报文后，对封装在LLDP报文中的TLV报文的标识位进行识别，当标识位表示为加密标识时，对接收到的密文进行解密，解密过程包括以下步骤：

第一步，对接收到的密文进行MD5的反运算，得到值B′；

第二步，将第一步中得到的值B′与上述已知的密钥进行除法运算，得到值A′；

第三步，对第二步中得到的值A′进行MD5的反运算，解密得到从TLV信息字符串中取出的字符串。

本发明还提供了一种基于链路层发现协议的信息保护装置，包括本端设备和与之相邻的邻居设备，所述本端设备将自身携带的信息组织形成若干个不同的TLV报文，并将所述TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装后发送给邻居设备，在本端设备和邻居设备之间设置信息保护单元，所述本端设备携带的信息经所述信息保护单元加密后输出给邻居设备。

优选地，所述信息保护单元将封装在LLDP报文中的LLDPDU字段抽出，对封装在LLDPDU字段中的TLV报文进行加密。

所述信息保护单元包括第一识别单元和加密单元，所述识别单元用于对所述TLV报文中的标识位进行识别；当识别单元识别到TLV的标识位为加密标识时，所述加密单元对TLV报文中的TLV信息字符串进行加密。

所述邻居设备接收由信息保护单元传送过来的LLDP报文，对封装在LLDP报文中的TLV报文标识位进行识别，当识别到TLV的标识位为加密标识时，则对接收的密文进行解密。

本发明的的有益效果是：本发明在本端设备与邻居设备交互信息之前，对信息进行加密操作，引入的LLDP协议通信双方的加密方法，保证了LLDP协议的通信安全，使得运行LLDP协议的设备不易受到来自互联网等方面的恶意攻击影响。

附图说明

图1是封装后的LLDP报文格式示意图；

图2是从链路层发现协议数据单元中抽出的TLV报文格式示意图；

图3是本发明基于链路层发现协议的信息保护方法的流程框图示意图；

图4是TLV报文加密过程的流程框图示意图；

图5是邻居设备对密文进行解密过程的流程框图示意图；

图6是本发明基于链路层发现协议的信息保护装置的结构示意图。

具体实施方式

下面将结合本发明的附图，对本发明实施例的技术方案进行清楚、完整的描述。

本发明所揭示的一种基于链路层发现协议的信息保护方法，在本端设备向与之相邻的邻居设备传递携带的信息之前，对信息进行加密解密操作，将加解密算法引入LLDP协议中，保证协议运行的安全。本端设备将自身携带的信息组织成若干个不同的TLV报文，并将TLV报文封装到链路层发现协议数据单元中形成LLDP报文，本端设备对LLDP报文进行封装后传递给邻居设备，如图1所示，图1为封装后的LLDP报文格式，包括：目的MAC地址(DA)、源MAC地址(SA)、LLDP以太网类型(LLDPEthertype)、数据或数据和填充(Data or Data+pad)和帧校验序列(FCS)，目的MAC地址为LLDP多点播送地址，源MAC地址为链路地址，LLDP以太网类型为88-CC，数据或数据和填充为链路层发现协议数据单元，帧校验序列用于判断LLDP报文是否传输错误，其中若干个不同的TLV报文被封装在链路层发现协议数据单元中。

本发明与现有技术的区别在于，在本端设备向邻居设备发送封装后的LLDP报文之前，对链路层发现协议数据单元中的TLV报文进行加密解密操作。如图2所示，图2为从链路层发现协议数据单元中抽出的TLV报文格式，包括TLV报文头和TLV信息字符串，TLV报文头中设置了7字节的TLV报文类型和9字节的TLV信息字符串长度。TLV报文类型中设置标识是否对TLV报文进行加密的标识位，本实施例中将TLV报文类型中的第一个字节用来做是否加密的标识位，其中设置”0”标识对TLV报文不加密，”1”标识对TLV报文进行加密；TLV信息字符串中用于填充密钥内容。

图3为基于链路层发现协议的信息保护方法的流程框图，本发明揭示的一种基于链路层发现协议的信息保护方法，包括：

步骤一，本端设备将自身带有的信息组织成若干个不同的TLV报文，并将TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装；

步骤二，从封装后的LLDP报文中抽出LLDPDU字段，并进一步从LLDPDU字段中取出TLV报文，对TLV报文的标识位进行识别，如果标识为0，则表示对TLV报文不加密，本端设备直接将封装后LLDP报文发送给邻居设备，并对LLDP报文进行解析；如果标识位1，则对LLDPDU字段中的TLV报文进行加密；

如图4所示，为本端设备对TLV报文进行加密的流程框图，包括：

步骤S1，从TLV信息字符串中取一个字符串，经过MD5算法运算后得到随机数A，如取出的字符串为“centec“，则得到的随机数A＝MD5{centec}；

步骤S2，将所述随机数A与已知的密钥key进行乘法运算后得到值B，即B＝A*key；

步骤S3，将步骤S2中得到的值B进行MD5加密运算后得到密文，即密文＝MD5{B}，将所述密文传送给邻居设备进行信息传输。

步骤三，邻居设备接收到LLDP报文后，对TLV报文的标识位进行识别，如果标识为0，则邻居设备不需要对接收到的LLDP报文进行解密，直接进行LLDP报文的解析；如果标识为1，则需要对接收到的密文进行解密后，对LLDP报文进行进一步解析。

邻居设备对密文的解密过程即为本端设备对TLV报文进行加密过程的反过程，如图5所示，为邻居设备识别到TLV报文的标识为“1“后，对接收到的密文进行解密的流程框图，包括：

步骤A1，对接收到的密文进行MD5的反运算，得到值B′，即B′＝MD5{密文}；

步骤A2，将步骤A1中得到的值B′与上述已知的密钥key进行除法运算，得到值A′，即A′＝B′/key；

步骤A3，将步骤A2中得到的值A′进行MD5的反运算，解密得到从TLV信息字符串中取出的字符串，如上述例子，则得到的字符串为“centec“，即“centec”＝MD5{A′}。

步骤四，邻居设备对接到的LLDP报文进行解析，如果解析出来的数据合法，则对LLDP报文进行进一步的LLDP协议传输；如果解析出来的数据不合法，则LLDP报文无效，此时LLDP报文将被忽略，做丢弃并上报日志记录处理。

本发明还揭示了一种基于链路层发现协议的信息保护装置，如图5所示，包括本端设备、邻居设备和设置在本端设备和邻居设备之间的信息保护单元，信息保护单元用于对本端设备携带的信息进行加密操作。本端设备将自身携带的信息组织形成若干个不同的TLV报文，并将所述TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装后发送给信息保护单元。

信息保护单元包括识别单元和加密单元，识别单元用于对所述TLV报文中的标识位进行识别，当识别单元识别到TLV报文的标识位为“0”时，则TLV报文不需要传输给加密单元，直接传输到邻居设备进行解析；当识别单元识别到TLV的标识位为“1”时，所述加密单元对TLV报文中的TLV信息字符串进行加密，加密操作流程为上面描述的本端设备对TLV报文进行加密的过程。

邻居设备用于接收由信息保护单元传送过来的信息并进行解析。当接收到LLDP报文后，先对封装在LLDP报文中的TLV报文的标识位进行识别，若识别为“0”则直接对接收到的LLDP报文进行解析；若识别为“1”，则对接收到的LLDP报文进行解密后再进行解析，解密过程即为上述邻居设备对密文进行解密的过程。

本发明对LLDP报文的加解密算法不限于使用MD5算法，其他可以对报文进行加密的算法也同样适用。

本发明的技术内容及技术特征已揭示如上，然而熟悉本领域的技术人员仍可能基于本发明的教示及揭示而作种种不背离本发明精神的替换及修饰，因此，本发明保护范围应不限于实施例所揭示的内容，而应包括各种不背离本发明的替换及修饰，并为本专利申请权利要求所涵盖。

Claims

1.基于链路层发现协议的信息保护方法，本端设备将自身携带的信息组织成若干个不同的TLV报文，所述TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装后发送给与之相邻的邻居设备，其特征在于：在本端设备向邻居设备发送LLDP报文之前，将封装在LLDP报文中的LLDPDU字段抽出，对LLDPDU字段进行加密。

2.根据权利要求1所述的基于链路层发现协议的信息保护方法，其特征在于，对LLDPDU字段中的TLV报文进行加密。

3.根据权利要求2所述的基于链路层发现协议的信息保护方法，其特征在于，所述TLV报文包括TLV报文头和TLV信息字符串，所述TLV报文头中设置用于标识是否对TLV报文进行加密的标识位。

4.根据权利要求3所述的基于链路层发现协议的信息保护方法，其特征在于，当TLV报文的标识位表示需要对TLV报文进行加密时，TLV报文的加密过程包括以下步骤：

5.根据权利要求1所述的基于链路层发现协议的信息保护方法，其特征在于，所述邻居设备接收到LLDP报文后，对封装在LLDP报文中的TLV报文的标识位进行识别，当标识位表示为加密标识时，对接收到的密文进行解密，解密过程包括以下步骤：

第一步，对接收到的密文进行MD5的反运算，得到值B′；

6.基于链路层发现协议的信息保护装置，包括本端设备和与之相邻的邻居设备，所述本端设备将自身携带的信息组织形成若干个不同的TLV报文，并将所述TLV报文封装到链路层发现协议数据单元中形成LLDP报文，将所述LLDP报文进行封装后发送给邻居设备，其特征在于，在本端设备和邻居设备之间设置信息保护单元，所述本端设备携带的信息经所述信息保护单元加密后输出给邻居设备。

7.根据权利要求6所述的基于链路层发现协议的信息保护装置，其特征在于，所述信息保护单元将封装在LLDP报文中的LLDPDU字段抽出，对封装在LLDPDU字段中的TLV报文进行加密。

8.根据权利要求7所述的基于链路层发现协议的信息保护装置，其特征在于，所述TLV报文包括TLV报文头和TLV信息字符串，所述TLV报文头中设置用于标识是否对TLV报文进行加密的标识位。

9.根据权利要求8所述的基于链路层发现协议的信息保护装置，其特征在于，所述信息保护单元包括识别单元和加密单元，所述识别单元用于对所述TLV报文中的标识位进行识别；当识别单元识别到TLV的标识位为加密标识时，所述加密单元对TLV报文中的TLV信息字符串进行加密。

10.根据权利要求8所述的基于链路层发现协议的信息保护装置，其特征在于，所述邻居设备接收由信息保护单元传送过来的LLDP报文，对封装在LLDP报文中的TLV报文标识位进行识别，当识别到TLV的标识位为加密标识时，则对接收的密文进行解密。