CN105635145A - Capwap dtls隧道的芯片级安全防护方法 - Google Patents

Capwap dtls隧道的芯片级安全防护方法 Download PDF

Info

Publication number
CN105635145A
CN105635145A CN201511019394.6A CN201511019394A CN105635145A CN 105635145 A CN105635145 A CN 105635145A CN 201511019394 A CN201511019394 A CN 201511019394A CN 105635145 A CN105635145 A CN 105635145A
Authority
CN
China
Prior art keywords
message
chip
dtls
value
capwap
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201511019394.6A
Other languages
English (en)
Other versions
CN105635145B (zh
Inventor
龚海东
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Centec Communications Co Ltd
Original Assignee
Centec Networks Suzhou Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Centec Networks Suzhou Co Ltd filed Critical Centec Networks Suzhou Co Ltd
Priority to CN201511019394.6A priority Critical patent/CN105635145B/zh
Publication of CN105635145A publication Critical patent/CN105635145A/zh
Application granted granted Critical
Publication of CN105635145B publication Critical patent/CN105635145B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/215—Flow control; Congestion control using token-bucket
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明揭示了一种CAPWAP？DTLS隧道的芯片级安全防护方法，包括对CAPWAP明文报文的限速处理：查询CAPWAP条目表得到相应条目的业务ID属性，每个业务ID对应一令牌桶K和一令牌桶D，令牌桶D用于记录令牌桶K产生报文丢弃的数目，当令牌桶D的令牌数大于3时，芯片上报中断；及对CAPWAP？DTLS密文的DTLS？SeqID检查处理：将业务ID下当前解密报文的DTLS？SeqID值B2与上一个解密报文的DTLS？SeqID值B1相比较，根据比较结果丢弃或通过报文。本发明在交换路由芯片中实现CAPWAP？DTLS报文的安全防护，使得AC设备可以基于硬件高速、高效地拦截恶意攻击报文，减轻设备被恶意攻击时CPU的负荷，此外还能有效遏制重放的密文流量进入网络。

Description

CAPWAP DTLS隧道的芯片级安全防护方法
技术领域
本发明涉及一种CAPWAPDTLS隧道的防护技术，尤其是涉及一种CAPWAPDTLS隧道的芯片级安全防护方法。
背景技术
在“AC-瘦AP”无线架构下，无线控制器(AC)和无线接入点(AP)间通过CAPWAP(ControlAndProvisioningofWirelessAccessPointsProtocolSpecification，无线接入点的控制和配置协议)协议进行通信。无线数据帧，原样或经过802.11到802.3格式的转换后被封入CAPWAP隧道中送往AC。而CAPWAP报文可使用DTLS加密。
CAPWAPDTLS隧道建立阶段，CAPWAPDTLS控制通道报文的交互是隧道安全的关键。由于AP一般安装在公共场所，若不进行防护，有可能导致AC被攻击，轻则影响单台AP的CAPWAPDTLS隧道建立和正常使用，重则影响到整个网络。
现有CAPWAPDTLS控制通道报文在芯片层面全部上CPU，由CPU使用软件方法进行安全性检查。但是，CPU往往会受到恶意攻击报文的冲击，影响设备整体性能。
发明内容
本发明的目的在于克服现有技术的缺陷，提供一种CAPWAPDTLS隧道的芯片级安全防护方法，在交换路由芯片中实现CAPWAPDTLS报文的安全防护，以使AC设备可以基于硬件高速、高效地拦截恶意攻击报文。
为实现上述目的，本发明提出如下技术方案：一种CAPWAPDTLS隧道的芯片级安全防护方法，包括：对CAPWAP明文报文的限速处理及对CAPWAPDTLS密文的DTLS序列号检查处理，其中，
所述对CAPWAP明文报文的限速处理过程包括：在芯片内设置CAPWAP条目表，根据报文中的查询字段查询CAPWAP条目表得到相应条目的业务ID属性，每个所述业务ID对应一令牌桶K和一令牌桶D，每有一个报文匹配所述业务ID时，所述令牌桶K的K值减去1，若当前K值为0，则丢弃报文，当每个所述业务ID对应的令牌桶K产生报文丢弃时，对应的所述令牌桶D的令牌数加1，当令牌桶D的令牌数大于3时，芯片上报中断；
所述对CAPWAPDTLS密文的DTLS序列号检查处理过程包括：每个所述业务ID对应一个寄存器，将所述业务ID下当前解密报文的DTLS序列号值B2与上一个解密报文的DTLS序列号值B1相比较，根据比较结果丢弃或通过报文并更新所述寄存器的值为当前解密报文的DTLS序列号值B2。
优选地，查找所述CAPWAP条目表所用的查询字段为：报文的目的IP地址加源IP地址加四层特征信息L4Type，所述四层特征信息L4Type由芯片内的解析模块解析得到。
优选地，对于未查找到结果的报文，对应的业务ID属性值为0。
优选地，所述令牌桶K的桶深为N，芯片定期递增令牌桶K内的令牌数，若已到达最大值N，则保持最大值，其中N为不小于1的整数。
优选地，所述令牌桶D的桶深为M，且所述令牌桶D对应一个计数器，芯片定期清空令牌桶D，清空时，若令牌数不为0，则计数器值加1；清空时若令牌数为0，计数器值归0，其中M为不小于1的整数。
优选地，所述CAPWAP明文报文包括：DTLS发现请求报文、DTLS握手报文、DTLS修改密码参数报文，所述CAPWAPDTLS密文包括：DTLS应用报文。
优选地，若DTLS序列号值B2≤DTLS序列号值B1，则丢弃报文，若DTLS序列号值B2-DTLS序列号值BI＞W，则丢弃报文，其中W为允许的滑动窗大小，W≥1，若DTLS序列号值B2-DTLS序列号值B1≤W，则通过报文并更新寄存器的值为B2，W≥1，所述滑动窗大小W可配置在业务ID的属性中。
本发明的有益效果是：本发明在交换路由芯片中实现CAPWAPDTLS报文的安全防护，使得AC设备可以基于硬件高速、高效地拦截恶意攻击报文，减轻设备被恶意攻击时CPU的负荷，此外还能有效遏制重放的密文流量进入网络。
附图说明
图1是本发明CAPWAPDTLS隧道的芯片级安全防护方法的原理示意图；
图2是本发明对CAPWAP明文报文的限速处理的原理示意图；
图3是本发明对CAPWAPDTLS密文的DTLSSeqID检查处理的原理示意图。
具体实施方式
下面将结合本发明的附图，对本发明实施例的技术方案进行清楚、完整的描述。
AP和AC间的隧道协议RFC5415协议规定了CAPWAP有两个通道：控制通道(UDP端口号＝5246)和数据通道(UDP端口号＝5247)，两个通道可以独立建立DTLS加密连接。
在控制通道上，AC可能收到的CAPWAP明文报文有：
A1：DiscoveryRequest报文(DTLS发现请求报文)
A2：DTLSHandshake报文(DTLS握手报文)
A3：DTLSChangeCipherSpec报文(DTLS修改密码参数报文)
在控制通道上，AC可能收到的CAPWAP加密报文有：
A4：DTLSApplication报文(DTLS应用报文)
在数据通道上，AC可能收到的CAPWAP明文报文有：
B1：DTLSHandshake报文
B2：DTLSChangeCipherSpec报文
在数据通道上，AC可能收到的CAPWAP加密报文有：
B3：DTLSApplication报文
通常来说，部署完AP后，AC的端口和AP的IP及MAC关系已经确定，AC的端口上会启用绑定检查。
MACSA1+IPSA1→通过
MACSA2+IPSA2→通过
……
MACSAn+IPSAn→通过
其余流量无法进入AC的端口，目前交换芯片普遍支持该功能，这里不再详述。
故而本发明只需特别防护两种攻击类别：1、采用冒充MAC地址和IP地址方式的恶意通信；2、报文重放攻击。
本发明所揭示的一种CAPWAPDTLS隧道的芯片级安全防护方法，主要针对上述两种攻击类别，在交换路由芯片中实现CAPWAPDTLS隧道的安全防护，使得AC设备可以基于硬件高速高效地拦截恶意攻击报文，减轻设备被恶意攻击时对CPU造成的负荷，此外还能有效遏制重放的密文流量进入网络。
如图1所示，本发明所揭示的一种CAPWAPDTLS隧道的芯片级安全防护方法，主要包括对CAPWAP明文报文的限速处理及对CAPWAPDTLS密文的DTLS序列号(SeqID)检查处理。
CAPWAP启用DTLS加密后，网络完成部署后，正常情况下，CAPWAP明文报文数量极少。具体地，如图2所示，对CAPWAP明文报文的限速处理过程包括：在芯片内设置CAPWAP条目表，芯片接收到CAPWAP明文报文后，根据报文中的查询字段查询CAPWAP条目表得到相应条目的业务ID属性。对于未查找到结果的报文，设置其对应的业务ID为默认值0。
查找CAPWAP条目表所用的查询字段为：报文的目的IP地址(IPDA)+源IP地址(IPSA)+L4Type(即CAPWAP)，L4Type＝CAPWAP由芯片内的解析模块解析得到。这里的L4Type是四层特征信息，按照CAPWAP协议，当UDPPORT＝5246或5247时，认为是CAPWAP报文，即四层特征值为CAPWAP，也就是L4Type＝CAPWAP。
本发明配置每个业务ID对应一个令牌桶K，其桶深为N，即令牌桶K内的令牌数取值范围为[0，N]，芯片定期递增桶K内的令牌数，若已到达最大值N，则保持最大值。每有一个报文匹配该业务ID，K的值便减去1。若当前K值为0，则丢弃当前报文。
本发明还配置每个业务ID对应一个令牌桶D，其桶深为M，即令牌桶D内的令牌数取值范围为[0，M]，令牌桶D对应一个计数器C。芯片定期清空令牌桶D，清空时若令牌数不为0，则计数器C值加1；清空时若令牌数为0，则计数器C值归0。
对应的，当每个业务ID对应的桶K产生报文丢弃时，令牌桶D内的令牌数便对应加1。本实施例中，当令牌桶D的令牌数大于3时，芯片便上报中断。即在连续3个计数周期内，均有丢包，这里的丢包阈值不限于这里的3，可为大于等于0的任意自然数。
这样，通过以上技术方案，可以遏制明文报文[A1/A2/A3/B1/B2]的大流量重放攻击。
如图3所示，对CAPWAPDTLS密文的DTLSSeqID检查处理过程包括：
每个业务ID对应一个寄存器A，在寄存器A中保存该业务ID下上一个成功解密的DTLS报文的DTLSSeqID值。假定当前成功解密报文的DTLSSeqID值为B2，寄存器A中保存的值为B1，那么，将DTLSSeqID值B1与DTLSSeqID值B2相比较：
若B2＜＝B1，则丢弃该报文；
若B2-B1＞W，同样丢弃该报文。其中滑动W窗为允许的连续丢包个数，如果丢包严重，DTLS连接会断开并尝试重新建立连接，W可配置在业务ID的属性中，且W＞＝1。
若B2-B1＜＝W，则正常通过报文并更新寄存器A的值为B2。
这样，通过以上技术方案，可以遏制加密报文[A4/B3]的大流量重放攻击。
本发明的技术内容及技术特征已揭示如上，然而熟悉本领域的技术人员仍可能基于本发明的教示及揭示而作种种不背离本发明精神的替换及修饰，因此，本发明保护范围应不限于实施例所揭示的内容，而应包括各种不背离本发明的替换及修饰，并为本专利申请权利要求所涵盖。

Claims (10)

1.一种CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，包括：对CAPWAP明文报文的限速处理及对CAPWAPDTLS密文的DTLS序列号检查处理，其中，
对CAPWAP明文报文的限速处理过程包括：在芯片内设置CAPWAP条目表，根据报文中的查询字段查询CAPWAP条目表得到相应条目的业务ID属性，每个所述业务ID对应一令牌桶K和一令牌桶D，每有一个报文匹配所述业务ID时，所述令牌桶K的K值减去1，若当前K值为0，则丢弃报文，当每个所述业务ID对应的令牌桶K产生报文丢弃时，对应的所述令牌桶D的令牌数加1，当令牌桶D的令牌数大于阈值P时，芯片上报中断，其中P代表在连续P个计数周期内，均有丢包，且P大于等于0；
对CAPWAPDTLS密文的DTLS序列号检查处理过程包括：每个所述业务ID对应一个寄存器，将所述业务ID下当前解密报文的DTLS序列号值B2与上一个解密报文的DTLS序列号值B1相比较，根据比较结果丢弃或通过报文并更新所述寄存器的值为当前解密报文的DTLS序列号值B2。
2.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，查找所述CAPWAP条目表所用的查询字段为：报文的目的IP地址加源IP地址加四层特征信息L4Type，所述四层特征信息L4Type由芯片内的解析模块解析得到。
3.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，对于未查找到结果的报文，对应的业务ID属性值为0。
4.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，所述令牌桶K的桶深为N，芯片定期递增令牌桶K内的令牌数，若已到达最大值N，则保持最大值，其中N为不小于1的整数。
5.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，所述令牌桶D的桶深为M，且所述令牌桶D对应一个计数器，芯片定期清空令牌桶D，清空时，若令牌数不为0，则计数器值加1；清空时若令牌数为0，计数器值归0，其中M为不小于1的整数。
6.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，所述CAPWAP明文报文包括：DTLS发现请求报文、DTLS握手报文、DTLS修改密码参数报文，所述CAPWAPDTLS密文包括：DTLS应用报文。
7.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，若DTLS序列号值B2≤DTLS序列号值B1，则丢弃报文。
8.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，若DTLS序列号值B2-DTLS序列号值B1＞W，则丢弃报文，其中W为滑动窗大小，W≥1。
9.根据权利要求1所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，若DTLSSeqID值B2-DTLSSeqID值B1≤W，则通过报文并更新寄存器的值为B2，W≥1。
10.根据权利要求8或9所述的CAPWAPDTLS隧道的芯片级安全防护方法，其特征在于，所述滑动窗大小W配置在业务ID的属性中。
CN201511019394.6A 2015-12-31 2015-12-31 Capwap dtls隧道的芯片级安全防护方法 Active CN105635145B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201511019394.6A CN105635145B (zh) 2015-12-31 2015-12-31 Capwap dtls隧道的芯片级安全防护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201511019394.6A CN105635145B (zh) 2015-12-31 2015-12-31 Capwap dtls隧道的芯片级安全防护方法

Publications (2)

Publication Number Publication Date
CN105635145A true CN105635145A (zh) 2016-06-01
CN105635145B CN105635145B (zh) 2019-01-04

Family

ID=56049635

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201511019394.6A Active CN105635145B (zh) 2015-12-31 2015-12-31 Capwap dtls隧道的芯片级安全防护方法

Country Status (1)

Country Link
CN (1) CN105635145B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790200A (zh) * 2016-12-30 2017-05-31 盛科网络（苏州）有限公司 Capwap控制通道dtls加解密的芯片协处理方法
CN111400210A (zh) * 2020-03-10 2020-07-10 盛科网络（苏州）有限公司 一种集中式MACsec包处理芯片的中断处理方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040071166A1 (en) * 2002-10-15 2004-04-15 Broadcom Corporation Programmable inter-packet gap generator with byte granularity
CN1787483A (zh) * 2004-12-10 2006-06-14 华为技术有限公司 一种流量控制方法
CN102984081A (zh) * 2012-10-30 2013-03-20 盛科网络（苏州）有限公司 网络设备中报文处理方法及系统
CN104980367A (zh) * 2014-04-03 2015-10-14 深圳市中兴微电子技术有限公司 一种令牌桶限速方法和装置
CN105141625A (zh) * 2015-09-18 2015-12-09 郑州信大捷安信息技术股份有限公司 基于密码隔离方式的安全移动智能终端及其实现的方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040071166A1 (en) * 2002-10-15 2004-04-15 Broadcom Corporation Programmable inter-packet gap generator with byte granularity
CN1787483A (zh) * 2004-12-10 2006-06-14 华为技术有限公司 一种流量控制方法
CN102984081A (zh) * 2012-10-30 2013-03-20 盛科网络（苏州）有限公司 网络设备中报文处理方法及系统
CN104980367A (zh) * 2014-04-03 2015-10-14 深圳市中兴微电子技术有限公司 一种令牌桶限速方法和装置
CN105141625A (zh) * 2015-09-18 2015-12-09 郑州信大捷安信息技术股份有限公司 基于密码隔离方式的安全移动智能终端及其实现的方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790200A (zh) * 2016-12-30 2017-05-31 盛科网络（苏州）有限公司 Capwap控制通道dtls加解密的芯片协处理方法
CN106790200B (zh) * 2016-12-30 2020-04-14 盛科网络（苏州）有限公司 Capwap控制通道dtls加解密的芯片协处理方法
CN111400210A (zh) * 2020-03-10 2020-07-10 盛科网络（苏州）有限公司 一种集中式MACsec包处理芯片的中断处理方法及装置
CN111400210B (zh) * 2020-03-10 2022-05-06 苏州盛科通信股份有限公司 一种集中式MACsec包处理芯片的中断处理方法及装置

Also Published As

Publication number Publication date
CN105635145B (zh) 2019-01-04

Similar Documents

Publication Publication Date Title
US11863570B2 (en) Blockchain-based network security system and processing method
CN101800707B (zh) 建立流转发表项的方法及数据通信设备
CN104767752A (zh) 一种分布式网络隔离系统及方法
Gilad et al. Maxlength considered harmful to the RPKI
CN101257379B (zh) 防止攻击的网络的配置方法、防止攻击的方法和装置
CN111800436B (zh) IPSec隔离网卡设备及安全通信方法
US10841840B2 (en) Processing packets in a computer system
CN113873512B (zh) 一种物联网边缘网关安全架构系统
Gao et al. A review of P4 programmable data planes for network security
Wu et al. Fmd: A DoS mitigation scheme based on flow migration in software‐defined networking
CN104038505A (zh) 一种IPSec防重放的方法和装置
CN104333549A (zh) 一种用于分布式防火墙系统的数据包过滤方法
Simsek et al. Dropppp: a P4 approach to mitigating dos attacks in SDN
US20110145572A1 (en) Apparatus and method for protecting packet-switched networks from unauthorized traffic
CN105635145A (zh) Capwap dtls隧道的芯片级安全防护方法
Müller et al. Protecting PROFINET cyclic real-time traffic: A performance evaluation and verification platform
CN108737414A (zh) 一种互联网数据安全传输方法及其安全传输装置及其实现方法
US10122686B2 (en) Method of building a firewall for networked devices
Ibhaze et al. A review on smart grid network security issues over 6LoWPAN
WO2016078696A1 (en) Security of sdn traffic in a communication cloud environment of multiple applications on top of an sdn controller
Dhawale et al. Mobile computing security threats and solution
Zhan et al. GUARDBOX: A high-performance middlebox providing confidentiality and integrity for packets
Wang et al. SICS: Secure and dynamic middlebox outsourcing
Guruprasad et al. Security features in Ethernet switches for access networks
US20100157806A1 (en) Method for processing data packet load balancing and network equipment thereof

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address

Address after: 215100 unit 13 / 16, 4th floor, building B, No. 5, Xinghan street, Suzhou Industrial Park, Jiangsu Province

Patentee after: Suzhou Shengke Communication Co.,Ltd.

Address before: 215021 unit 13 / 16, floor 4, building B, No. 5, Xinghan street, industrial park, Suzhou, Jiangsu Province

Patentee before: CENTEC NETWORKS (SU ZHOU) Co.,Ltd.

CP03 Change of name, title or address