CN103916359A - 防止网络中arp中间人攻击的方法和装置 - Google Patents

Abstract

本发明实施例提供了一种防止网络中ARP中间人攻击的方法和系统。该方法主要包括：发送方将加密后的ARP数据包发送给接收方主机，接收方主机接收到ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求，可信任主机根据发送方的MAC地址和IP地址查询主机信息数据表获取对应的加密密钥，将对应的加密密钥返回给接收方主机，接收方主机用加密密钥对ARP数据包进行解密。本发明实施例可以比较好的防范网络中的ARP中间人攻击。并且本发明实施例的方案的实际部署比较容易和易于扩充，对于大的企业级的网络环境还是比较小级别的网络，都可以使用。

Description

防止网络中ARP中间人攻击的方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种防止网络中ARP（AddressResolution Protocol，地址解析协议）中间人攻击的方法和装置。

背景技术

电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然，统一通讯已成为发展的趋势。以IP技术为核心进行网络改造并承载多种新型业务以提升竞争力，是固网运营商的发展方向。而以太网技术由于标准化程度高、应用广泛、带宽提供能力强、扩展性良好、技术成熟，设备性价比高，对IP的良好支持，成为城域网和接入网的发展趋势。但是，由于以太网技术的开放性和其应用广泛，也带来了一些安全上的问题。特别是当网络由原有的单业务承载转为多业务承载时，安全问题带来的影响愈发明显，已经逐步影响到业务的开展和部署。

ARP是获取物理地址的一个TCP（Transmission Control Protocol，传输控制协议）/IP协议。某节点的IP地址的ARP请求被广播到网络上后，这个节点会收到确认其物理地址的应答，这样的数据包才能被传送出去。

按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP中间人”创造了条件。

网络节点A和网络节点C进行通信。此时，如果有黑客(节点B)想探听节点A和节点C之间的通信，它可以分别给这两台主机发送伪造的ARP应答报文，使节点A和节点C用B的MAC（Medium Access Control，媒体接入控制）地址更新自身ARP映射表中与对方IP地址相应的表项，于是，节点A和节点C之间的通信，却都是通过黑客所在的主机间接进行的，即节点B担当了“中间人”的角色，可以对信息进行了窃取和篡改。这种攻击方式就称作“ARP中间人攻击”。现有技术中还没有一种有效地防止上述网络中ARP中间人攻击的方法。

发明内容

本发明的实施例提供了一种防止网络中ARP中间人攻击的方法和装置，以防范网络中的ARP中间人攻击。

一种防止网络中ARP中间人攻击的方法，包括：

发送方主机用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，将加密后的ARP数据包发送给接收方主机；

所述接收方主机接收到所述ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求；

所述可信任主机根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，将该对应的加密密钥返回给所述接收方主机，所述接收方主机用所述对应的加密密钥对所述ARP数据包进行解密。

一种防止网络中ARP中间人攻击的系统，包括：

发送方主机，用于用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，将加密后的ARP数据包发送给接收方主机；

接收方主机，用于接收到所述ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求，用所述可信任主机返回的加密密钥对所述ARP数据包进行解密；

可信任主机，用于根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，将该对应的加密密钥返回给所述接收方主机。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过可信任主机将网络内所有合法的主机的基本信息存储在主机信息数据表，接收方主机从可信任主机获取发送方主机的加密密钥，可以比较好的防范网络中的ARP中间人攻击。并且本发明实施例的方案的实际部署比较容易和易于扩充，对于大的企业级的网络环境还是比较小级别的网络，都可以使用。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种防止网络中ARP中间人攻击的方法的处理流程示意图；

图2为本发明实施例二提供的一种防止网络中ARP中间人攻击的系统的具体结构示意图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

该实施例提供的一种防止网络中ARP中间人攻击的方法的处理流程示意图如图1所示，包括如下的处理步骤：

步骤11、首先系统管理员和部署人员在网络内中设置一台可信任主机，该可信任主机将网络内所有合法的主机的基本信息存储在主机信息数据表中，主机的基本信息包括IP地址、MAC地址、主机密钥、加密密钥等信息，在开始时，上述加密密钥可以默认为主机密钥。

上述网络内的每个新加入的合法的主机必须要通过安全的途径（可以是管理员人工行为）来将其相应的基本信息存储到上述可信任主机中。上述安全的途径可以为用可信任主机的公钥加密等方法。

步骤12、上述网络中的多个主机互相进行通信时，每个主机先用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，然后再发送该ARP数据包。在发送ARP数据包后，每个主机将其本次加密数据内容用的加密密钥以安全的途径发送给上述可信任主机。

每个主机设定的加密密钥可以默认为该主机的主机密钥，也可以为每个主机自己设定的其他密钥。

在实际应用中，某个主机在将其加密密钥发送给上述可信任主机后，如果该某个主机的加密密钥没有改变，则该某个主机在后续发送了ARP数据包后，不再将加密密钥发送给上述可信任主机。只有再该某个主机的加密密钥改变后，才将加密密钥发送给上述可信任主机。

步骤13、上述可信任主机收到某个主机发送的加密密钥后，根据该某个主机的MAC地址和IP信息查询其存储的上述主机信息数据表，获取上述主机信息数据表中存储的对应的加密密钥，当接收到的加密密钥和上述主机信息数据表中存储的对应的加密密钥不一致时，则用接收到的加密密钥更新上述主机信息数据表中存储的对应的加密密钥。

当接收到的加密密钥和上述主机信息数据表中存储的对应的加密密钥一致时，则不对上述主机信息数据表中存储的对应的加密密钥进行更新。

当上述可信任主机收到某个主机发送的加密密钥后，根据该某个主机的MAC地址和IP信息查询其存储的上述主机信息数据表，没有查询到对应的加密密钥，则说明该某个主机没有被登记，可能是非法主机，则不将该某个主机发送的加密密钥登记在上述主机信息数据表中。

步骤14、当接收方主机接收到发送方主机发送的ARP数据包后，先获取该ARP数据包中的发送方的MAC地址和IP地址。然后，向上述可信任主机发送携带上述发送方的MAC地址和IP地址的加密密钥查询请求。

步骤15、上述可信任主机接收到上述加密密钥查询请求后，根据上述发送方的MAC地址和IP地址查询其存储的上述主机信息数据表，获取上述发送方的MAC地址和IP地址对应的加密密钥，将该发送方的MAC地址和IP地址对应的加密密钥返回给上述接收方主机。

然后，上述接收方主机用上述可信任主机返回的加密密钥解密上述其他主机发送的ARP数据包，如果解密成功，则说明上述发送方主机发送的ARP数据包是正常通信的ARP数据包。如果解密不成功，则上述接收方主机将上述发送方主机发送的ARP数据包丢弃，同时上述接收方主机会将这一情况报告给可信任主机和网络管理员，网络管理员会根据情况进行相应的排查动作。

当所述可信任主机根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，没有查询到对应的加密密钥，则向所述接收方主机返回错误信息，所述接收方主机将所述ARP数据包丢弃。

上述对称加密算法可以为国密SM4算法，国密SM4是一个分组对称密钥算法，明文、密钥、密文都是16字节，加密和解密密钥相同。加解密速度快，效率比之前的算法更高，破解难度更大、更安全。

本发明实施例可有效地抵御上述“ARP中间人攻击”。比如，首先网络中正常加入的主机必须将其MAC地址、IP地址和主机密钥保存在可信任主机内，非法主机则无法将其MAC地址、IP地址和主机密钥在可信任主机中保存，因而无法成为网络内合法一员，这样它就无法具有和取得相应的密钥来加解密，从而也就无法进行截获或者更改这些动作。

即使攻击者伪造P地址使用网络内合法节点来充当中间人攻击者的角色的时候，比如，中间人B发送A一个伪造的ARP数据包，该数据包中的IP地址是C的IP地址，但是MAC地址是B的MAC地址，并用B自身的加密密钥来加密，并将其加密密钥发送给可信任主机。可信任主机根据B的MAC地址、C的IP地址查询其存储的上述主机信息数据表，没有查询到对应的加密密钥，则说明B没有被登记，可能是非法主机，则不将该B发送的加密密钥登记在上述主机信息数据表中。

A收到B发送的上述ARP数据包后，于是向可信任主机发送携带B的MAC地址、C的IP地址的加密密钥查询请求，上述可信任主机接收到上述加密密钥查询请求后，根据上述发送方的MAC地址和IP地址查询其存储的上述主机信息数据表，没有查询到对应的加密密钥。于是，可信任主机向A返回错误报告，A由于得到不到加密密钥，无法对上述B发送的上述ARP数据包解密，于是B的ARP欺骗失败。从而A节点的ARP缓存表也不会更新。

实施例二

该实施例提供的一种防止网络中ARP中间人攻击的系统的具体结构示意图如图2所述，包括如下的模块：

发送方主机21，用于用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，将加密后的ARP数据包发送给接收方主机；

接收方主机22，用于接收到所述ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求，用所述可信任主机返回的加密密钥对所述ARP数据包进行解密；

可信任主机23，用于根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，将该对应的加密密钥返回给所述接收方主机。

具体的，所述的可信任主机23，还用于将网络内所有合法的主机的基本信息存储在主机信息数据表中，主机的基本信息包括IP地址、MAC地址、主机密钥、加密密钥信息，在开始时，所述加密密钥默认为主机密钥。

具体的，所述发送方主机21，还用于在发送了所述ARP数据包后，将其本次加密数据内容用的加密密钥发送给所述可信任主机；

在将其加密密钥发送给所述可信任主机后，如果该发送方主机的加密密钥没有改变，则该发送方主机在后续发送了ARP数据包后，不再将加密密钥发送给所述可信任主机，只有在该发送方主机的加密密钥改变后，才将新的加密密钥发送给所述可信任主机。

具体的，所述可信任主机23，还用于收到所述发送方主机发送的加密密钥后，根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥不一致时，则用接收到的加密密钥更新所述主机信息数据表中存储的对应的加密密钥；

当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥一致时，则不对所述主机信息数据表中存储的对应的加密密钥进行更新。

当根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，没有查询到对应的加密密钥，则说明所述发送方主机没有被登记，是非法的，不将所述发送方主机发送的加密密钥登记在所述主机信息数据表中。

具体的，所述可信任主机23，还用于接收到所述加密密钥查询请求后，根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，没有查询到对应的加密密钥，则向所述接收方主机返回错误信息；

所述的接收方主机，还用于将所述ARP数据包丢弃。

用本发明实施例的系统进行防止网络中ARP中间人攻击的具体过程与前述方法实施例类似，此处不再赘述。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域普通技术人员可以理解：实施例中的设备中的模块可以按照实施例描述分布于实施例的设备中，也可以进行相应变化位于不同于本实施例的一个或多个设备中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

综上所述，本发明实施例通过可信任主机将网络内所有合法的主机的基本信息存储在主机信息数据表，接收方主机从可信任主机获取发送方主机的加密密钥，可以比较好的防范网络中的ARP中间人攻击。并且本发明实施例的方案的实际部署比较容易和易于扩充，对于大的企业级的网络环境还是比较小级别的网络，都可以使用。

本发明实施例中的对称加密算法可以为国密SM4算法，加解密速度快，破解难度更大、更安全。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种防止网络中ARP中间人攻击的方法，其特征在于，包括：

发送方主机用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，将加密后的ARP数据包发送给接收方主机；

所述接收方主机接收到所述ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求；

所述可信任主机根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，将该对应的加密密钥返回给所述接收方主机，所述接收方主机用所述对应的加密密钥对所述ARP数据包进行解密。

2.根据权利要求1所述的防止网络中ARP中间人攻击的方法，其特征在于，所述的方法还包括：

在网络内中设置可信任主机，该可信任主机将网络内所有合法的主机的基本信息存储在主机信息数据表中，主机的基本信息包括IP地址、MAC地址、主机密钥、加密密钥信息，在开始时，所述加密密钥默认为主机密钥。

3.根据权利要求2所述的防止网络中ARP中间人攻击的方法，其特征在于，所述的方法还包括：

所述发送方主机在发送了所述ARP数据包后，将其本次加密数据内容用的加密密钥发送给所述可信任主机；

所述可信任主机收到所述发送方主机发送的加密密钥后，根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥不一致时，则用接收到的加密密钥更新所述主机信息数据表中存储的对应的加密密钥；

当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥一致时，则不对所述主机信息数据表中存储的对应的加密密钥进行更新。

当所述可信任主机根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，没有查询到对应的加密密钥，则说明所述发送方主机没有被登记，是非法的，不将所述发送方主机发送的加密密钥登记在所述主机信息数据表中。

4.根据权利要求3所述的防止网络中ARP中间人攻击的方法，其特征在于，所述的方法还包括：

发送方主机在将其加密密钥发送给所述可信任主机后，如果该发送方主机的加密密钥没有改变，则该发送方主机在后续发送了ARP数据包后，不再将加密密钥发送给所述可信任主机，只有在该发送方主机的加密密钥改变后，才将新的加密密钥发送给所述可信任主机。

5.根据权利要求1至4任一项所述的防止网络中ARP中间人攻击的方法，其特征在于，所述的方法还包括：

当所述可信任主机接收到所述加密密钥查询请求后，根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，没有查询到对应的加密密钥，则向所述接收方主机返回错误信息，所述接收方主机将所述ARP数据包丢弃。

6.一种防止网络中ARP中间人攻击的系统，其特征在于，包括：

发送方主机，用于用自己设定的加密密钥通过对称加密算法对ARP数据包中的数据内容进行加密，将加密后的ARP数据包发送给接收方主机；

接收方主机，用于接收到所述ARP数据包后，向网络中的可信任主机发送携带发送方的MAC地址和IP地址的加密密钥查询请求，用所述可信任主机返回的加密密钥对所述ARP数据包进行解密；

可信任主机，用于根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，将该对应的加密密钥返回给所述接收方主机。

7.根据权利要求6所述的防止网络中ARP中间人攻击的系统，其特征在于：

所述的可信任主机，还用于将网络内所有合法的主机的基本信息存储在主机信息数据表中，主机的基本信息包括IP地址、MAC地址、主机密钥、加密密钥信息，在开始时，所述加密密钥默认为主机密钥。

8.根据权利要求7所述的防止网络中ARP中间人攻击的系统，其特征在于：

所述发送方主机，还用于在发送了所述ARP数据包后，将其本次加密数据内容用的加密密钥发送给所述可信任主机；

所述可信任主机，还用于收到所述发送方主机发送的加密密钥后，根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，获取所述主机信息数据表中存储的对应的加密密钥，当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥不一致时，则用接收到的加密密钥更新所述主机信息数据表中存储的对应的加密密钥；

当接收到的加密密钥和所述主机信息数据表中存储的对应的加密密钥一致时，则不对所述主机信息数据表中存储的对应的加密密钥进行更新。

当根据所述发送方主机的MAC地址和IP信息查询其存储的所述主机信息数据表，没有查询到对应的加密密钥，则说明所述发送方主机没有被登记，是非法的，不将所述发送方主机发送的加密密钥登记在所述主机信息数据表中。

9.根据权利要求7所述的防止网络中ARP中间人攻击的系统，其特征在于：

所述的发送方主机，还用于在将其加密密钥发送给所述可信任主机后，如果该发送方主机的加密密钥没有改变，则该发送方主机在后续发送了ARP数据包后，不再将加密密钥发送给所述可信任主机，只有在该发送方主机的加密密钥改变后，才将新的加密密钥发送给所述可信任主机。

10.根据权利要求6至9任一项所述的防止网络中ARP中间人攻击的系统，其特征在于：

所述的可信任主机，还用于接收到所述加密密钥查询请求后，根据所述发送方的MAC地址和IP地址查询其存储的主机信息数据表，没有查询到对应的加密密钥，则向所述接收方主机返回错误信息；

所述的接收方主机，还用于将所述ARP数据包丢弃。