CN104243413A - 对局域网中的arp中间人攻击进行防范的方法和系统 - Google Patents

Abstract

本发明实施例提供了一种对局域网中的ARP中间人攻击进行防范的方法和系统。该方法主要包括：局域网内的第一节点接收到第二节点发送的用第二节点的私钥签名后的ARP数据包，当第一节点在本地没有查询到第二节点的IP地址对应的公钥时，向所述局域网中的可信任节点发送携带第二节点的IP地址的查询请求。可信任节点向第一节点发送第二节点的公钥，第一节点用第二节点的公钥验签所述ARP数据包。本发明实施例可以有效地防止局域网中的ARP中间人攻击，保证局域网中的各个节点之间的通信安全。

Description

对局域网中的ARP中间人攻击进行防范的方法和系统

技术领域

本发明涉及局域网安全领域，具体是涉及到一种对局域网中的ARP（Address Resolution Protocol，地址解析协议）中间人攻击进行防范的方法和系统。

背景技术

电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然，统一通讯已成为发展的趋势。以IP技术为核心进行网络改造并承载多种新型业务以提升竞争力，是固网运营商的发展方向。而以太网技术由于标准化程度高、应用广泛、带宽提供能力强、扩展性良好、技术成熟，设备性价比高，对IP的良好支持，成为城域网和接入网的发展趋势。但是，由于以太网技术的开放性和其应用广泛，也带来了一些安全上的问题。特别是当网络由原有的单业务承载转为多业务承载时，安全问题带来的影响愈发明显，已经逐步影响到业务的开展和部署。

ARP（Address Resolution Protocol，地址解析协议）是获取物理地址的一个TCP（Transmission Control Protocol，传输控制协议）/IP协议。按照ARP协议的设计，一个节点即使收到的ARP数据包并非自身请求得到的，也会将上述ARP数据包中携带的IP地址和MAC（Medium/MediaAccessControl，介质访问控制）地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP中间人”创造了条件。

网络节点A和网络节点C进行通信。此时，如果有黑客(节点B)想探听节点A和节点C之间的通信，节点B可以分别给节点A和节点C发送伪造的ARP数据包，使节点A和节点C用B的MAC地址更新自身ARP映射表中与对方IP地址相应的表项。之后，节点A和节点C之间的通信，却都是通过黑客所在的节点B间接进行的，即节点B担当了“中间人”的角色，可以对信息进行了窃取和篡改。这种攻击方式就称作“ARP中间人(Man-In-The-Middle)攻击”。显而易见，该种攻击对于网络具有极大的危害性。

目前，现有技术中还没有一种有效地解决上述ARP中间人攻击的方法。

发明内容

本发明的实施例提供了一种对局域网中的ARP中间人攻击进行防范的方法和系统，以有效地解决上述局域网中的ARP中间人攻击。

一种对局域网中的ARP中间人攻击进行防范的方法，包括：

局域网内的第一节点接收到第二节点发送的地址解析协议ARP数据包，所述ARP数据包用所述第二节点的私钥进行签名，所述第一节点获取所述ARP数据包中携带的所述第二节点的IP地址；

当所述第一节点在本地没有查询到所述第二节点的IP地址对应的公钥时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求；

所述可信任节点向所述第一节点发送所述第二节点的公钥，所述第一节点用所述第二节点的公钥验签所述ARP数据包。

所述的局域网内第一节点接收到第二节点发送的ARP数据包之前还包括：

在所述局域网中设置可信任节点，所述可信任节点向所述局域网内的所有节点发送该可信任节点的公钥和介质访问控制MAC地址；

所述各个节点接收到所述可信任节点的公钥和MAC地址后，将所述可信任节点的公钥进行存储，利用可信任节点的公钥生成各个节点自身的公钥和私钥，再将其IP地址和公钥用可信任节点的公钥签名之后发送到所述可信任节点；

所述可信任节点接收到所述各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

所述的当所述第一节点在本地没有查询到所述第二节点的IP地址对应的公钥时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求，包括：

所述第一节点根据所述第二节点的IP地址查询本地ARP缓存表，当所述第一节点从所述本地ARP缓存表中没有查询到所述第二节点的公钥时；或者，查询到的所述第二节点的公钥过期或者错误，而不能验签所述ARP数据包时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求。

所述的可信任节点向所述第一节点发送所述第二节点的公钥，包括：

所述可信任节点接收到所述第一节点发送的所述查询请求后，根据所述查询请求中携带的所述第二节点的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述第二节点的公钥，将所述第二节点的公钥用自身的私钥加密后发送给所述第一节点。

所述的第一节点用所述第二节点的公钥验签所述ARP数据包，包括：

所述第一节点接收到所述可信任节点发送的加密后的所述第二节点的公钥后，使用所述可信任节点的公钥进行解密处理，得到所述第二节点的公钥；

所述第一节点用所述第二节点的公钥验签所述ARP数据包，若验签成功，则将所述第二节点的公钥和IP地址之间的对应关系存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述第二节点的公钥抛弃。

一种对局域网中的ARP中间人攻击进行防范的系统，包括：设置在局域网中的第一节点、第二节点和可信任节点，

所述的第二节点，用于向所述第一节点发送地址解析协议ARP数据包，所述ARP数据包用所述第二节点的私钥进行签名

所述的第一节点，用于接收到所述第二节点发送的所述ARP数据包后，获取所述ARP数据包中携带的所述第二节点的IP地址；当在本地没有查询到所述第二节点的IP地址对应的公钥时，向所述可信任节点发送携带所述第二节点的IP地址的查询请求；

所述的可信任节点，用于接收到所述第一节点发送的所述查询请求后，向所述第一节点发送所述第二节点的公钥，

所述的第一节点，还用于用所述可信任主机发送过来的第二节点的公钥验签所述ARP数据包。

所述的可信任节点，具体用于向所述局域网内的各个节点发送该可信任节点的公钥和介质访问控制MAC地址，以使得所述各个节点将所述可信任节点的公钥进行存储，利用可信任节点的公钥生成各个节点自身的公钥和私钥，接收到所述各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

所述的第一节点，具体用于根据所述第二节点的IP地址查询本地ARP缓存表，当从所述本地ARP缓存表中没有查询到所述第二节点的公钥时；或者，查询到的所述第二节点的公钥过期或者错误，而不能验签所述ARP数据包时，向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求。

所述的可信任节点，具体用于接收到所述第一节点发送的所述查询请求后，根据所述查询请求中携带的所述第二节点的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述第二节点的公钥，将所述第二节点的公钥用自身的私钥加密后发送给所述第一节点。

所述的第一节点，具体用于接收到所述可信任节点发送的加密后的所述第二节点的公钥后，使用所述可信任节点的公钥进行解密处理，得到所述第二节点的公钥；

用所述第二节点的公钥验签所述ARP数据包，若验签成功，则将所述第二节点的公钥和IP地址之间的对应关系存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述第二节点的公钥抛弃。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过在局域网中设置可信任主机，该可信任节点中存储各个节点的公钥和IP地址，节点发送的ARP数据包用节点的私钥进行签名，可以有效地防止局域网中的ARP中间人攻击，保证局域网中的各个节点之间的通信安全。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种对局域网中的ARP中间人攻击进行防范的方法的实现原理示意图；

图2为本发明实施例一提供的一种对局域网中的ARP中间人攻击进行防范的方法的处理流程图；

图3为本发明实施例二提供的一种对局域网中的ARP中间人攻击进行防范的系统的具体实现结构图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

局域网中的ARP中间人攻击在局域网中是一种不仅具有非常大的威胁而且是极其难于发觉的威胁，是局域网中的重大危害。在本发明实施例中，局域网内的第一节点接收到第二节点发送的用第二节点的私钥进行签名后的ARP数据包后，在本地没有查询到所述第二节点的IP地址对应的公钥时，从局域网中可信任节点获取第二节点的公钥，用所述第二节点的公钥验签所述ARP数据包。

该实施例提供了一种对局域网中的ARP中间人攻击进行防范的方法的实现原理示意图如图1所示，具体处理流程如图2所示，包括如下的处理步骤：

步骤21、在局域网中设置一台可信任节点，该可信任节点中存储各个节点的公钥和IP地址。

首先，系统管理员和部署人员在局域网中设置一台可信任节点，用于存储各个节点的公钥和IP地址。该可信任节点在网络内处于绝对重要的地位，该可信任节点向局域网内的所有节点（包括新加入的节点）发送该可信任节点的公钥和MAC地址，该发送方式必须保证绝对安全，可以由网络管理员通过专用网络来传送。上述局域网中的节点可以为主机。

局域网内的各个节点接收到上述可信任节点的公钥和MAC地址后，将上述可信任节点的公钥进行存储。利用可信任节点的公钥采用非对称加密算法SM2生成各个节点自身的公钥和私钥，再将其IP地址和公钥用可信任节点的公钥签名之后通过专用网络传送到可信任节点。可信任节点接收到各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

步骤22、节点A接收到节点B发送的ARP数据包，节点A在本地没有查询到节点B的IP地址对应的公钥时，向可信任节点发送携带节点B的IP地址的查询请求。

上述局域网中的各个节点包括新加入的合法节点A（即第一节点）和合法节点B（即第二节点），当第一节点和第二节点需要进行通信时，第一节点和第二节点之间互相交互自己的IP地址。

节点B构造ARP数据包，将该ARP数据包中的除了源IP地址（节点B的IP地址）、MAC地址、目的IP地址（节点A的IP地址）之外的其它部分用哈希提取摘要，再用节点B的私钥进行签名，然后，节点B将签名后的上述ARP数据包发送给节点A。节点A接收到节点B发送的上述ARP数据包后，获取所述ARP数据包中携带的所述节点B的IP地址（源IP地址）。

上述节点A在本地查询所述节点B的IP地址对应的公钥，比如，所述节点A根据所述节点B的IP地址查询本地ARP缓存表，当所述节点A从所述本地ARP缓存表中没有查询到所述节点B的公钥时；或者，查询到的所述节点B的公钥过期或者错误，而不能验签上述ARP数据包时，所述节点A向所述局域网中上述可信任节点发送携带所述节点B的IP地址的查询请求。

步骤23。可信任节点将所述节点B的公钥用自身的私钥加密后发送给节点A。

上述可信任节点接收到上述节点A发送的所述节点B的IP地址的查询请求后，根据所述查询请求中携带的所述节点B的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述节点B的公钥。

上述可信任节点将所述节点B的公钥和对应的时间戳用自身的私钥加密后发送给所述节点A。

步骤24、节点A用节点B的公钥验签上述ARP数据包，在验签成功后将节点B的公钥和IP地址之间的对应关系存储在本地ARP缓存表中。

节点A接收到所述可信任节点发送过来的加密后的所述节点B的公钥后，用预先存储的所述可信任节点的公钥进行解密处理，得到所述节点B的公钥。

上述节点A用所述节点B的公钥验签所述ARP数据包，若验签成功，则将所述节点B的公钥存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述节点B的公钥抛弃。同时节点A会将这一情况报告给可信任节点和网络管理员，网络管理员会根据情况进行相应的排查动作。

在本发明实施例中，即使中间人节点B想截获或者篡改节点A和C之间的ARP数据包也是无法做到的。因为即使攻击者B知道了A和C的MAC地址，因为它不知A和C的私钥，所以无法对发送给A和C的ARP数据包进行签名，从而无法对原信息进行恶意篡改，也即无法进行ARP欺骗。所以当节点A和C对于伪造的ARP应答包进行验签的时候，破绽立显，不会按照黑客节点B的意思来更新ARP缓存表。同时收到伪造ARP数据包的节点会将这一情况报告可信任主机和管理员，从而打掉和排查掉黑客中间人网络节点。这样就达到了在局域网中比较好的防范ARP中间人攻击的目的了。

实施例二

该实施例提供了一种对局域网中的ARP中间人攻击进行防范的系统，其具体实现结构如图3所示，具体包括设置在局域网中的第一节点31、第二节点32和可信任节点33。

所述的第二节点32，用于向所述第一节点发送地址解析协议ARP数据包，所述ARP数据包用所述第二节点的私钥进行签名

所述的第一节点31，用于接收到所述第二节点发送的所述ARP数据包后，获取所述ARP数据包中携带的所述第二节点的IP地址；当在本地没有查询到所述第二节点的IP地址对应的公钥时，向所述可信任节点发送携带所述第二节点的IP地址的查询请求；

所述的可信任节点33，用于接收到所述第一节点发送的所述查询请求后，向所述第一节点发送所述第二节点的公钥，

所述的第一节点31，还用于用所述可信任主机发送过来的第二节点的公钥验签所述ARP数据包。

具体的，所述的可信任节点33，具体用于向所述局域网内的各个节点发送该可信任节点的公钥和介质访问控制MAC地址，以使得所述各个节点将所述可信任节点的公钥进行存储，利用可信任节点的公钥生成各个节点自身的公钥和私钥，接收到所述各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

具体的，所述的第一节点31，具体用于根据所述第二节点的IP地址查询本地ARP缓存表，当从所述本地ARP缓存表中没有查询到所述第二节点的公钥时；或者，查询到的所述第二节点的公钥过期或者错误，而不能验签所述ARP数据包时，向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求。

具体的，所述的可信任节点33，具体用于接收到所述第一节点发送的所述查询请求后，根据所述查询请求中携带的所述第二节点的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述第二节点的公钥，将所述第二节点的公钥用自身的私钥加密后发送给所述第一节点。

具体的，所述的第一节点31，具体用于接收到所述可信任节点发送的加密后的所述第二节点的公钥后，使用所述可信任节点的公钥进行解密处理，得到所述第二节点的公钥；

用所述第二节点的公钥验签所述ARP数据包，若验签成功，则将所述第二节点的公钥和IP地址之间的对应关系存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述第二节点的公钥抛弃。

用本发明实施例的系统进行对局域网中的ARP中间人攻击进行防范的具体过程与前述方法实施例类似，此处不再赘述。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域普通技术人员可以理解：实施例中的设备中的模块可以按照实施例描述分布于实施例的设备中，也可以进行相应变化位于不同于本实施例的一个或多个设备中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）或随机存储记忆体（Random AccessMemory，RAM）等。

综上所述，本发明实施例通过在局域网中设置可信任主机，该可信任节点中存储各个节点的公钥和IP地址，节点发送的ARP数据包用节点的私钥进行签名，可以有效地防止局域网中的ARP中间人攻击，保证局域网中的各个节点之间的通信安全。

本发明实施例的方法的实际部署比较容易和易于扩充，对于大的企业级的网络环境还是比较小级别的网络，都可以使用。另外本发明实施例的方法采用了国密SM2算法，SM2是由国家密码管理局编制的一种基于ECC（Elliptic Curves Cryptography，椭圆曲线密码编码学）算法的非对称算法，SM2算法规定了签名、验证、密钥交换等具体细节，效率比之前的算法更高，破解难度更大、更安全。

本发明实施例在ARP协议使用的过程中，增加了国产SM2算法的加验签和签名保护之后，可以比较好的防范ARP中间人攻击。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种对局域网中的ARP中间人攻击进行防范的方法，其特征在于，包括：

局域网内的第一节点接收到第二节点发送的地址解析协议ARP数据包，所述ARP数据包用所述第二节点的私钥进行签名，所述第一节点获取所述ARP数据包中携带的所述第二节点的IP地址；

当所述第一节点在本地没有查询到所述第二节点的IP地址对应的公钥时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求；

所述可信任节点向所述第一节点发送所述第二节点的公钥，所述第一节点用所述第二节点的公钥验签所述ARP数据包。

2.根据权利要求1所述的对局域网中的ARP中间人攻击进行防范的方法，其特征在于，所述的局域网内第一节点接收到第二节点发送的ARP数据包之前还包括：

在所述局域网中设置可信任节点，所述可信任节点向所述局域网内的所有节点发送该可信任节点的公钥和介质访问控制MAC地址；

所述各个节点接收到所述可信任节点的公钥和MAC地址后，将所述可信任节点的公钥进行存储，利用可信任节点的公钥生成各个节点自身的公钥和私钥，再将其IP地址和公钥用可信任节点的公钥签名之后发送到所述可信任节点；

所述可信任节点接收到所述各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

3.根据权利要求2所述的对局域网中的ARP中间人攻击进行防范的方法，其特征在于，所述的当所述第一节点在本地没有查询到所述第二节点的IP地址对应的公钥时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求，包括：

所述第一节点根据所述第二节点的IP地址查询本地ARP缓存表，当所述第一节点从所述本地ARP缓存表中没有查询到所述第二节点的公钥时；或者，查询到的所述第二节点的公钥过期或者错误，而不能验签所述ARP数据包时，所述第一节点向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求。

4.根据权利要求2所述的对局域网中的ARP中间人攻击进行防范的方法，其特征在于，所述的可信任节点向所述第一节点发送所述第二节点的公钥，包括：

所述可信任节点接收到所述第一节点发送的所述查询请求后，根据所述查询请求中携带的所述第二节点的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述第二节点的公钥，将所述第二节点的公钥用自身的私钥加密后发送给所述第一节点。

5.根据权利要求1至4任一项所述的对局域网中的ARP中间人攻击进行防范的方法，其特征在于，所述的第一节点用所述第二节点的公钥验签所述ARP数据包，包括：

所述第一节点接收到所述可信任节点发送的加密后的所述第二节点的公钥后，使用所述可信任节点的公钥进行解密处理，得到所述第二节点的公钥；

所述第一节点用所述第二节点的公钥验签所述ARP数据包，若验签成功，则将所述第二节点的公钥和IP地址之间的对应关系存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述第二节点的公钥抛弃。

6.一种对局域网中的ARP中间人攻击进行防范的系统，其特征在于，包括：设置在局域网中的第一节点、第二节点和可信任节点，

所述的第二节点，用于向所述第一节点发送地址解析协议ARP数据包，所述ARP数据包用所述第二节点的私钥进行签名

所述的第一节点，用于接收到所述第二节点发送的所述ARP数据包后，获取所述ARP数据包中携带的所述第二节点的IP地址；当在本地没有查询到所述第二节点的IP地址对应的公钥时，向所述可信任节点发送携带所述第二节点的IP地址的查询请求；

所述的可信任节点，用于接收到所述第一节点发送的所述查询请求后，向所述第一节点发送所述第二节点的公钥，

所述的第一节点，还用于用所述可信任主机发送过来的第二节点的公钥验签所述ARP数据包。

7.根据权利要求6所述的对局域网中的ARP中间人攻击进行防范的系统，其特征在于：

所述的可信任节点，具体用于向所述局域网内的各个节点发送该可信任节点的公钥和介质访问控制MAC地址，以使得所述各个节点将所述可信任节点的公钥进行存储，利用可信任节点的公钥生成各个节点自身的公钥和私钥，接收到所述各个节点发送的IP地址和公钥信息后，将各个节点的IP地址和公钥信息在节点信息数据库中进行关联存储。

8.根据权利要求7所述的对局域网中的ARP中间人攻击进行防范的系统，其特征在于：

所述的第一节点，具体用于根据所述第二节点的IP地址查询本地ARP缓存表，当从所述本地ARP缓存表中没有查询到所述第二节点的公钥时；或者，查询到的所述第二节点的公钥过期或者错误，而不能验签所述ARP数据包时，向所述局域网中预先设置的可信任节点发送携带所述第二节点的IP地址的查询请求。

9.根据权利要求7所述的对局域网中的ARP中间人攻击进行防范的系统，其特征在于：

所述的可信任节点，具体用于接收到所述第一节点发送的所述查询请求后，根据所述查询请求中携带的所述第二节点的IP地址查询所述节点信息数据库中关联存储的各个节点的IP地址和公钥信息，获取所述第二节点的公钥，将所述第二节点的公钥用自身的私钥加密后发送给所述第一节点。

10.根据权利要求6至9任一项所述的对局域网中的ARP中间人攻击进行防范的系统，其特征在于：

所述的第一节点，具体用于接收到所述可信任节点发送的加密后的所述第二节点的公钥后，使用所述可信任节点的公钥进行解密处理，得到所述第二节点的公钥；

用所述第二节点的公钥验签所述ARP数据包，若验签成功，则将所述第二节点的公钥和IP地址之间的对应关系存储在本地ARP缓存表中，若验签不成功，则将所述ARP数据包和所述第二节点的公钥抛弃。