CN105516186B - 一种防止重放攻击的方法和服务器 - Google Patents

Abstract

本发明提供了一种防止重放攻击的方法和服务器，包括：服务器接收业务请求消息，从消息唯一标识中解析出时间戳，确定所述时间戳是否在服务器预设的时间窗内，如果所述时间戳在所述时间窗内，则进一步与保存的已接收消息标识列表中的标识比较，如果列表中没有包含与所述消息唯一标识相同的标识，则认为不是重放攻击，可进行业务处理。本发明进一步提高了网络安全性。

Description

一种防止重放攻击的方法和服务器

技术领域

本发明涉及信息技术领域，尤其涉及一种防止重放攻击的方法和服务器。

背景技术

重放攻击(Replay Attacks)又称重播攻击(Playback Attack)或新鲜性攻击(Freshness Attacks)，是指攻击者拦截并重发一个目标主机已接收过的包，来达到欺骗的目的。这种攻击会不断恶意或欺诈性地重复一个有效的数据传输。攻击者利用网络监听或者其他方式盗取认证凭据，之后再把它重新发给服务器。重放攻击在任何网络通讯过程中都可能发生。目前网络服务的各种服务器常常受到攻击方的重放攻击。

现有技术中，已有一些防止重放攻击的方法，例如问答方法。这种方法就是通信时，客户端设备先从网络服务器获取一个随机数N，后续客户端在发送的消息中携带该随机数。服务器将消息中携带的随机数与自己保存的进行比较，如果不一致，则认为是重放攻击，拒绝该消息。

上述方法对于一次消息发送需要客户端与服务器进行两次交互，系统性能下降了一半，对于网络中的服务器等高并发系统是一个很大的问题。

发明内容

为克服现有技术的缺陷，本发明实施例提供了一种防止重放攻击的方法和服务器，以实现精确的重放攻击检测和防御，提高业务系统的安全性。

第一方面，本发明实施例提供了一种防止重放攻击的方法，包括：服务器接收业务请求消息，所述业务请求消息中包含消息唯一标识；从所述消息唯一标识中解析出时间戳，确定所述时间戳是否在服务器预设的时间窗内；如果所述时间戳在所述时间窗内，则与保存的已接收消息标识列表中的标识比较；如果列表中没有包含与所述消息唯一标识相同的标识，则将所述消息唯一标识加入所述已接收消息标识列表；对所述业务请求消息进行业务处理。通过时间窗和消息唯一标识，实现了精确的重放攻击检测和防御，提高了业务系统的安全性。

在一个可能的设计中，该方法进一步包括：如果所述时间戳不在时间窗内，或者，如果所述列表中包含与所述消息唯一标识相同的标识，则丢弃所述消息或返回错误响应消息。所述确定时间戳是否在服务器预设的时间窗内具体为：判断业务请求消息中的时间戳与服务器的时间的差值是否不超过预设的时长。所述业务请求消息中的时间戳是请求的客户端增加了时间补偿，或者服务器的时间是服务器增加了时间补偿，所述时间补偿是服务器本地时间与请求客户端本地时间的差值。这进一步提高了检测重放攻击的准确性。

在一个可能的设计中，所述服务器判断列表中存储的标识中的时间戳与服务器时间的差值，当差值超过预设时长时，删除所述列表中存储的标识。这样减少了判断的时间，提高了服务器的效率。

第二方面，本发明实施例提供了一种服务器，该服务器具有实现上述方法实现中服务器行为的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块。

在一个可能的设计中，服务器的结构中包括处理器和存储器，所述存储器用于存储支持服务器执行上述方法的应用程序代码，所述处理器被配置为用于执行所述存储器中存储的应用程序。所述服务器还可以包括通信接口，用于服务器与其他客户端通信。

第三方面，本发明实施例提供了一种计算机存储介质，用于储存为上述服务器所用的计算机软件指令，其包含用于执行上述方面为服务器所设计的程序。

本发明实施例提供的上述技术方案通过时间窗和消息唯一标识比较确认，实现了精确的重放攻击检测和防御，提高了业务系统的安全性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获取其他的附图。

图1为本发明实施例提供的一种系统架构图；

图2为本发明实施例提供的一种计算机设备示意图；

图3为本发明实施例提供的一种正常业务请求消息处理的方法流程示意图；

图4为本发明实施例提供的一种重放攻击消息处理的方法流程示意图；

图5为本发明实施例提供的服务器的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下获取的所有其他实施例，都属于本发明保护的范围。

如图1所示，是本发明实施例应用的的一个业务系统，其中包含了服务器101和若干终端102。终端向服务器请求服务，服务器用于为终端提供服务，事实上，互联网中的各种类型的服务器都会受到网络攻击。本发明实施例提供的就是服务器如何区分真正的服务请求和重放攻击，从而防止重放攻击。

图1中的服务器可以以图2中的计算机设备(或系统)的方式来实现。图2所示为本发明实施例提供的计算机设备示意图。该计算机设备包括至少一个处理器201，通信总线202，存储器203以及至少一个通信接口204。

处理器201可以是一个通用中央处理器(CPU)，微处理器，特定应用集成电路(application-specific integrated circuit，ASIC)，或一个或多个用于控制本发明方案程序执行的集成电路。

通信总线202可包括一通路，在上述组件之间传送信息。所述通信接口204，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，无线接入网(RAN)，无线局域网(Wireless Local Area Networks，WLAN)等。

存储器203可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(ElectricallyErasable Programmable Read-Only Memory，EEPROM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过总线与处理器相连接。存储器也可以和处理器集成在一起。

其中，所述存储器203用于存储执行本发明方案的应用程序代码，并由处理器201来控制执行。所述处理器201用于执行所述存储器203中存储的应用程序代码。

在具体实现中，处理器201可以包括一个或多个CPU，每个CPU可以是一个单核(single-core)处理器，也可以是一个多核(multi-Core)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

在具体实现中，作为一种实施例，该计算机设备还可以包括输入/输出(I/O)接口205。例如，输出设备可以是液晶显示器(liquid crystal display，LCD),发光二级管(light emitting diode，LED)显示设备，阴极射线管(cathode ray tube，CRT)显示设备，或投影仪(projector)等。输入设备可以是鼠标、键盘、触摸屏设备或传感设备等。

上述的计算机设备可以是一个通用计算机设备或者是一个专用计算机设备。在具体实现中，计算机设备可以是台式机、便携式电脑、网络服务器、掌上电脑(PersonalDigital Assistant，PDA)、移动手机、平板电脑、无线终端设备、通信设备、嵌入式设备或有图2中类似结构的设备。本发明实施例不限定计算机设备的类型。

如图1中的服务器可以为图2所示的设备，服务器的存储器203中存储了一个或多个软件模块(例如：计算模块和判断模块)。服务器可以通过处理器以及存储器中的程序代码来实现软件模块，完成相应的方法。

本发明实施例还提供一种防止重放攻击的方法，应用于如图1所示的系统中。下面的方法中，提供了一种机制，通过将时间窗和消息唯一标识相结合来防止重放攻击。该方法如图3所示，包括下列步骤：

S301，客户端向服务器发送会话初始化请求。

客户端的应用程序可以调用软件开发包SDK来进行会话初始化。客户端发送会话初始化请求，请求从服务器获取会话标识和时间补偿量。会话初始化请求中包含了客户端的本地时间戳。

S302，服务器初始化会话，返回会话初始化响应。

服务器收到会话初始化请求后，初始化会话，生成会话标识，并将生成的会话标识保存到数据缓存模块。服务器进一步根据客户端的时间戳和服务器的本地时间戳算出时间偏移量(Δt＝服务器时间戳-客户端时间戳)。由于客户端设备和服务器的时间可能不一致，另外，消息的传输本身也耗费时间。因此客户端设备和服务器间存在时间差。

服务器完成会话初始化后，向客户端返回会话初始化响应，其中包含会话标识和时间偏离量。

S303，客户端发送业务请求消息。

客户端收到会话初始化响应消息后，本地保存响应消息中的会话标识和时间偏移量Δt。后续同一会话中的消息将用到这个会话标识和时间偏移量。

客户端根据会话标识和时间偏移量Δt并结合本地时间戳生成包含时间戳生成消息唯一标识。消息唯一标识既可以用会话标识生成，也可以用客户端设备的MAC地址生成，使得服务器能够区分不同的客户端发送的会话和消息。时间戳是客户端本地时间增加时间偏移量补偿后生成的。客户端发送业务请求消息到服务器，携带生成的消息唯一标识。

S304，服务器进行业务处理，返回业务响应消息。

服务器收到业务请求消息后，从消息唯一标识中解析出消息的时间戳。判断该消息的时间戳是否在服务器的时间窗内，假设时间窗的长度是一分钟，即60秒，则判断的方法为判断服务器本地时间戳与消息的时间戳的差值是否小于30秒。时间窗的长度可以由服务器配置。

服务器确定消息时间戳位于服务器时间窗内，则保存消息唯一标识到数据缓存模块。保存时，服务器可以先从消息唯一标识中解析出会话标识，根据会话标识进行分组保存，例如把相同会话的消息唯一标识保存在同一物理存储器中。

保存前，需要检查一下数据缓存模块是否已经保存了相同的消息唯一标识。如果已经保存了相同的消息唯一标识，则可判断这次服务器收到的消息是一次重放攻击消息，后面会详述。如果没有相同的消息唯一标识，则可认为收到的不是重放攻击消息，可以进行后续处理。

服务器解析消息的业务部分，进行业务处理，并返回消息处理结果。

图4所示是一个服务器如何识别判断重放攻击的流程示意图。包括：

S401：攻击方截获客户端已经发送过的业务请求消息，消息中携带消息了消息唯一标识。攻击方根据消息中的目标地址将消息发送给服务器。

S402：服务器收到重放的业务请求消息后，一开始当然并不知道它是一次重放攻击。服务器按照上述同样的流程进行处理。首先从消息唯一标识中解析出消息的时间戳，判断该消息的时间戳是否在服务器的时间窗内。如果消息的时间戳已经超过时间窗，则可以直接拒绝该消息，也可以返回一个错误响应消息，消息中携带指示指明“消息超过有效时限错误”。

S403：如果消息的时间戳在服务器的时间窗范围内，则服务器检查数据缓存模块中是否已经保存了相同的消息唯一标识。如果已经保存了相同的消息唯一标识，则可判断这次服务器收到的消息是一个重放攻击消息。对于重放攻击消息，服务器可以直接丢弃，也可以返回错误响应消息。

本发明实施例中，服务器通过时间窗和消息唯一标识，实现了精确的重放攻击检测和防御，提高了业务系统的安全性。

如图5所示，本发明实施例还提供了一种服务器的结构示意图，包括：接收单元501，判断单元502，业务处理单元503。

其中，接收单元501，用于接收业务请求消息，所述业务请求消息中包含消息唯一标识；判断单元502，用于从所述消息唯一标识中解析出时间戳，确定所述时间戳是否在服务器预设的时间窗内，如果所述时间戳在所述时间窗内，则与保存的已接收消息标识列表中的标识比较，如果列表中没有包含与所述消息唯一标识相同的标识，则将所述消息唯一标识加入所述已接收消息标识列表；业务处理单元503，用于对所述业务请求消息进行业务处理。

在本实施例中，服务器是以功能单元的形式来呈现。这里的“单元”可以指特定应用集成电路(application-specific integrated circuit，ASIC)，电路，执行一个或多个软件或固件程序的处理器和存储器，集成逻辑电路，和/或其他可以提供上述功能的器件。在一个简单的实施例中，本领域的技术人员可以想到服务器可以采用图2所示的形式。例如，判断单元502和业务处理单元503可以通过图2的处理器和存储器来实现，具体的，可以通过由处理器来执行判断模块来实现，而接收单元501可以图2中的通信接口来实现。

本发明实施例还提供了一种计算机存储介质，用于储存为上述图2或图4所示的服务器所用的计算机软件指令，其包含用于执行上述方法实施例所设计的程序。通过执行存储的程序，可以实现防止重放攻击。

尽管在此结合各实施例对本发明进行了描述，然而，在实施所要求保护的本发明过程中，本领域技术人员通过查看所述附图、公开内容、以及所附权利要求书，可理解并实现所述公开实施例的其他变化。在权利要求中，“包括”(comprising)一词不排除其他组成部分或步骤，“一”或“一个”不排除多个的情况。单个处理器或其他单元可以实现权利要求中列举的若干项功能。相互不同的从属权利要求中记载了某些措施，但这并不表示这些措施不能组合起来产生良好的效果。

本领域技术人员应明白，本发明的实施例可提供为方法、装置(设备)、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。计算机程序存储/分布在合适的介质中，与其它硬件一起提供或作为硬件的一部分，也可以采用其他分布形式，如通过Internet或其它有线或无线电信系统。

本发明是参照本发明实施例的方法、装置(设备)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管结合具体特征及其实施例对本发明进行了描述，显而易见的，在不脱离本发明的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所附权利要求所界定的本发明的示例性说明，且视为已覆盖本发明范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (6)

1.一种防止重放攻击的方法，应用于服务器，其特征在于，包括：

接收业务请求消息，所述业务请求消息中包含所述业务请求消息的消息唯一标识；

从所述消息唯一标识中解析出时间戳，确定所述时间戳是否在所述服务器预设的时间窗内；

如果所述时间戳在所述服务器预设的时间窗内，则将所述消息唯一标识与所述服务器保存的已接收的消息唯一标识列表中的标识相比较；

如果所述消息唯一标识列表中没有包含与所述消息唯一标识相同的标识，则将所述消息唯一标识加入所述已接收的消息唯一标识列表，且对所述业务请求消息进行业务处理，并返回消息处理结果；

如果所述时间戳不在所述时间窗内，或者，如果所述消息唯一标识列表中包含与所述消息唯一标识相同的标识，则丢弃所述业务请求消息或返回错误响应消息；以及

还判断所述消息唯一标识列表中存储的标识中的时间戳与所述服务器时间的差值，当所述差值超过预设时长时，删除所述消息唯一标识列表中存储的所述标识。

2.如权利要求1所述的方法，其特征在于，所述确定时间戳是否在所述服务器预设的时间窗内具体为：

判断所述业务请求消息中的时间戳与所述服务器的时间的差值是否不超过所述预设时长。

3.如权利要求2所述的方法，其特征在于，在接收到所述业务请求之前，所述服务器还向发送所述业务请求的客户端发送时间偏移量，所述业务请求消息中的时间戳是发送所述业务请求的客户端本地时间增加了所述时间偏移量后生成的，所述时间偏移量是所述服务器的本地时间与发送所述业务请求的客户端本地时间的差值。

4.一种服务器，其特征在于，包括接收单元，判断单元和业务处理单元，其中：

接收单元用于接收业务请求消息，所述业务请求消息中包含所述业务请求消息的消息唯一标识；

判断单元用于从所述消息唯一标识中解析出时间戳，确定所述时间戳是否在所述服务器预设的时间窗内，如果所述时间戳在所述服务器预设的时间窗内，则将所述消息唯一标识与所述服务器保存的已接收的消息唯一标识列表中的标识相比较，如果所述消息唯一标识列表中没有包含与所述消息唯一标识相同的标识，则将所述消息唯一标识加入所述已接收的消息唯一标识列表；

业务处理单元用于对所述业务请求消息进行业务处理，并返回消息处理结果；

所述判断单元进一步用于确定如果所述时间戳不在所述时间窗内，或者，如果所述消息唯一标识列表中包含与所述消息唯一标识相同的标识，则丢弃所述业务请求消息或返回错误响应消息；

所述判断单元还判断所述消息唯一标识列表中存储的标识中的时间戳与服务器时间的差值，当所述差值超过预设时长时，删除所述消息唯一标识列表中存储的所述标识。

5.如权利要求4所述的服务器，其特征在于，所述确定时间戳是否在服务器预设的时间窗内具体为：

判断单元判断所述业务请求消息中的时间戳与所述服务器的时间的差值是否不超过所述预设时长。

6.如权利要求5所述的服务器，其特征在于，所述服务器还包含在接收到所述业务请求之前向发送所述业务请求的客户端发送时间偏移量的单元，所述业务请求消息中的时间戳是发送所述业务请求的客户端本地时间增加了所述时间偏移量后生成的，所述时间偏移量是所述服务器的本地时间与发送所述业务请求的客户端本地时间的差值。