CN106059700A - 一种认证方法及装置 - Google Patents
一种认证方法及装置 Download PDFInfo
- Publication number
- CN106059700A CN106059700A CN201610551344.0A CN201610551344A CN106059700A CN 106059700 A CN106059700 A CN 106059700A CN 201610551344 A CN201610551344 A CN 201610551344A CN 106059700 A CN106059700 A CN 106059700A
- Authority
- CN
- China
- Prior art keywords
- key
- interim
- target
- interim key
- list
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04J—MULTIPLEX COMMUNICATION
- H04J3/00—Time-division multiplex systems
- H04J3/02—Details
- H04J3/06—Synchronising arrangements
- H04J3/0635—Clock or time synchronisation in a network
- H04J3/0638—Clock or time synchronisation among nodes; Internode synchronisation
- H04J3/0658—Clock or time synchronisation among packet nodes
- H04J3/0661—Clock or time synchronisation among packet nodes using timestamps
- H04J3/0667—Bidirectional timestamps, e.g. NTP or PTP for compensation of clock drift and for compensation of propagation delays
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Telephonic Communication Services (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本申请实施例公开了一种认证方法及装置，涉及通信技术领域，其中，上述方法包括：接收目标报文；当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。应用本申请实施例提供的方案对报文进行认证时，在未完成基于NTP的系统时钟同步的情况下，无需网络管理人员手动调整系统时间，完成报文认证。
Description
技术领域
本申请涉及通信技术领域，特别涉及一种认证方法及装置。
背景技术
设备在网络中运行时，如果系统时间与实际时间不一致，会对管理设备带来很多困难，影响一些需要参考实际时间运行的特性，因此，实际应用中需要保证系统时间与实际时间一致。
例如，网络设备接收报文时，在对所接收的报文进行处理之前需对该报文进行认证，具体的，对于支持keychain特性的路由设备而言，根据keychain特性确定用于进行认证的加密规则(key)，然后根据所确定的key对所接收的报文进行认证。其中，上述keychain可以理解为：加密规则的集合，用来为应用程序提供动态认证功能。
其中，根据keychain特性确定用于进行认证的key时，通常是根据系统时间确定的，然而，在网络设备出现异常掉电现象重启设备后，未基于NTP(Network Time Protocol，网络时间协议)完成时钟同步的情况下，若网络设备无法记录掉电前的系统时间，则网络设备重启后其系统时间与网络中其他正常运行的设备的系统时间不同，也就是重启后网络设备的系统时间与实际时间不一致，这样上述网络设备的系统时间是错误的，这种情况下，根据系统时间确定的用于进行认证的key是错误的，进而无法对所接收的报文进行正常认证。
现有技术中，为保证正常对所接收的报文进行认证，往往需要网络管理人员手动调整重启的网络设备的系统时间，使其与网络中其他设备的系统时间一致。应用上述方式虽然可以保证系统时间一致，但是网络管理人员的工作量较大，且会影响网络设备异常掉电情况下业务的收敛速度。
发明内容
本申请实施例公开了一种认证方法及装置，以减轻网络管理人员的工作压力，并减少对业务的影响
为达到上述目的，本申请实施例公开了一种认证方法，所述方法包括：
接收目标报文；
当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。
在本申请的一种实现方式中，所述根据所述目标报文从keychain中确定目标key，并通过所述目标key对所述目标报文进行认证，包括：
判断接收所述目标报文的目标接口是否存在目标key；
若存在，则通过所述目标key对所述目标报文进行认证；
若不存在，则根据所述目标报文从keychain中确定目标key。
在本申请的一种实现方式中，所述根据所述目标报文从keychain中确定目标key，包括：
根据所述目标报文所携带的认证字段从keychain中匹配临时key，并根据匹配到的临时key，更新与所述目标接口对应的临时key列表中认证计数；
根据所述认证计数，从临时key列表所存储的临时key中确定目标key。
在本申请的一种实现方式中，所述根据匹配到的临时key，更新与所述目标接口对应的临时key列表中的认证计数，包括：
当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，所述匹配到的临时key所对应的认证成功计数累加，所述临时key列表中的其他临时key认证失败计数累加；
当与所述目标接口对应的临时key列表中未存储有匹配到的临时key时，在所述临时key列表中添加匹配到的临时key，所述临时列表中的其他临时key认证失败计数累加；
所述根据所述认证计数，从临时key列表所存储的临时key中确定目标key，包括：
当所述临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除所述临时key列表中的其他临时key；
当所述临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从所述临时key列表中删除该认证失败计数大于第二阈值的临时key。
在本申请的一种实现方式中，所述临时key列表还包括老化时间；
所述方法还包括：
当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；
当所述目标报文通过认证时，更新匹配到的目标key的老化时间；
当所述临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
在本申请的一种实现方式中，所述方法还包括：
在完成基于NTP的系统时钟同步后，根据系统时钟选取key对进行目标报文的认证。
为达到上述目的，本申请实施例公开了一种认证装置，所述装置包括：
接收单元，用于接收目标报文；
认证单元，用于当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。
在本申请的一种实现方式中，所述认证单元，包括：
判断模块，用于判断接收所述目标报文的目标接口是否存在目标key；
认证模块，用于在所述判断模块的判断结果为是的情况下，通过所述目标key对所述目标报文进行认证；
确定模块，用于在所述判断模块的判断结果为否的情况下，根据所述目标报文从keychain中确定目标key。
在本申请的一种实现方式中，所述确定模块，包括：
匹配子模块，用于根据所述目标报文所携带的认证字段从keychain中匹配临时key；
更新子模块，用于根据匹配到的临时key，更新与所述目标接口对应的临时key列表中认证计数；
确定子模块，用于根据所述认证计数，从临时key列表所存储的临时key中确定目标key。
在本申请的一种实现方式中，所述更新子模块，具体用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，所述匹配到的临时key所对应的认证成功计数累加，所述临时key列表中的其他临时key认证失败计数累加；当与所述目标接口对应的临时key列表中未存储有匹配到的临时key时，在所述临时key列表中添加匹配到的临时key，所述临时列表中的其他临时key认证失败计数累加；
所述确定子模块，具体用于当所述临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除所述临时key列表中的其他临时key；当所述临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从所述临时key列表中删除该认证失败计数大于第二阈值的临时key。
在本申请的一种实现方式中，所述临时key列表还包括老化时间；
所述装置还包括：
老化单元，用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；当所述目标报文通过认证时，更新匹配到的目标key的老化时间；当所述临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
在本申请的一种实现方式中，所述认证模块，还用于在完成基于NTP的系统时钟同步后，根据系统时钟选取key进行目标报文的认证。
由以上可见，本申请实施例提供的方案中，接收到目标报文后，未完成基于NTP的系统时钟同步时，根据目标报文从keychain中确定目标key，并通过目标key对目标报文进行认证。可见在未完成基于NTP的系统时钟同步的情况下，网络管理人员未手动调整系统时间时，依然能够完成报文认证，减少了网络管理人员的工作压力，提高了报文认证的速度，进而减少了对业务的影响。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的一种认证方法的流程示意图；
图2为本申请实施例提供的另一种认证方法的流程示意图；
图3为本申请实施例提供的一种认证装置的结构示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
下面先对本申请实施例中涉及的几个概念进行介绍。
NTP(Network Time Protocol，网络时间协议)可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致，并提供较高的时间同步精度。
keychain是加密规则(key)的集合，用来为应用程序提供动态认证功能。keychain在不中断业务的前提下，通过定期更改用于认证的密钥和算法来提升网络数据传输的安全性。
key由认证密钥、认证算法和生命周期三部分组成，一个keychain中的不同key可配置各自的认证密钥、认证算法和生命周期。当系统时间处于key的生命周期内时，应用程序可以利用它对发送的报文进行加密和对接收的报文进行校验。当keychain内各个key的生命周期具有连续性时，随着系统时间的推移，各个key能够依次生效，从而实现动态地更改应用程序使用的认证算法和认证密钥。
keychain支持绝对时间模式和周期性时间模式，不同时间模式下，key的生命周期不同：
绝对时间模式：该模式的keychain中，key的生命周期是UTC(CoordinatedUniversal Time，国际协调时间)绝对时间，不受系统的时区和夏令时的影响。
周期性时间模式：该模式的keychain中，key的生命周期是根据系统的本地时间计算的，会受到系统的时区和夏令时的影响。包括以下四种模式：
daily：按天的周期性时间模式，key的生命周期是从一天之内的指定起始时间到指定结束时间，每天重复。
weekly：按周的周期性时间模式，key的生命周期是从一周之内的指定起始日到指定结束日，每周重复。
monthly：按月的周期性时间模式，key的生命周期是从一月之内的指定起始日期到指定结束日期，每月重复。
yearly：按年的周期性时间模式，key的生命周期是从一年之内的指定起始月到指定结束月，每年重复。
下面通过具体实施例对本申请提供的认证方法进行详细说明。
图1为本申请实施例提供的第一种认证方法的流程示意图，该方法包括：
S101：接收目标报文。
S102：当未完成基于NTP的系统时钟同步时，根据目标报文从keychain中确定目标key，并通过目标key对目标报文进行认证。
其中，keychain为由多个key构成的集合。
具体的，网络设备刚刚上电启动或者刚刚配置NTP后，系统时钟一般还没有同步完毕，所以，网络设备完成启动后以及配置完成NTP后，均可以理解为未完成基于NTP的系统时钟同步的情况。
值得一提的是，对于接收上述目标报文的目标接口而言，未完成基于NTP的系统时钟同步时，若目标接口不存在目标key，则网络设备仅仅通过该目标接口接收报文，不向外发送报文，但是若目标接口存在目标key，则网络设备可以通过目标key对要向外发送的报文进行认证，并尝试向外发送报文。
在本申请的一种可选实现方式中，根据目标报文从keychain中确定目标key，并通过目标key对目标报文进行认证时，可以先判断接收目标报文的目标接口是否存在目标key；若存在，则通过目标key对目标报文进行认证；若不存在，则根据目标报文从keychain中确定目标key。
具体的，针对一个接口会选出一个目标key，当存在这个目标key时，则网络设备会根据这个目标key对接收到的目标报文进行认证。当不存在这个目标key时，则需要根据目标报文从keychain中选出一个key作为目标key，此时，因为针对这个接口存在了目标key，则根据这个目标key对目标报文进行认证。
可以理解的，若长时间无法完成基于NTP的系统时钟同步，则说明网络中可能存在故障，鉴于此，在本申请的一种可选实现方式中，上述认证方法还可以包括：在由已完成基于NTP的系统时钟同步的状态切换至未完成基于NTP的系统时钟同步的状态后，启动自解析状态定时器。
这样判断目标接口是否存在目标key时，可以在上述自解析状态定时器未超时的情况下，判断目标接口是否存在目标key。
如果上述自解析状态定时器未超时，完成了基于NTP的系统时钟同步，则删除该自解析状态定时器；
如果上述自解析状态定时器超时后依然没有完成基于NTP的系统时钟同步，则网络设备不再根据目标报文从keychain中确定目标key，并删除该自解析状态定时器，并进行报错，以告知系统无法根据NTP完成系统时钟的同步，需要检查网络。
在本申请的另一种可选实现方式中，根据目标报文从keychain中确定目标key时，可以根据目标报文所携带的认证字段从keychain中匹配临时key，更新与目标接口对应的临时key列表中认证计数；根据认证计数，从临时key列表所存储的临时key中确定目标key。
针对一个接口会存储有对应该接口的临时key列表，该临时key列表包括key值、认证计数以及老化时间等参数。其中，key值可以为keychain中key的标号，认证计数用于表示该key的认证成功或认证失败的次数。老化时间，用于记录key可以使用的时间。在该临时key列表中至少存在两种key，一种是作为目标key备选的临时key，另一种是对目标报文进行认证的目标key。
当临时key列表中的一个临时key的认证计数不满足条件时，则标记为临时key，当临时key列表中的一个临时key的认证计数满足条件时，则将该临时key标记为目标key，以用于对目标报文进行认证。
在一个接口(即目标接口)接收到报文时，先判断临时key列表中是否存在目标key。如果存在目标key，则根据目标key对该报文(即目标报文)进行认证；如果不存在目标key，则根据报文中携带的认证信息从该接口所配置的keychain中查找，在未查找到匹配的key时，则直接丢弃该报文，在查到到匹配的key时，则将该key作为临时key存储到临时key列表中，并进行计数和计时，但这是因为还没有选出目标key，所以该报文在选出临时key后仍做丢弃处理，直至从临时key选出目标key。
可选的，每个临时key可以通过两个计数进行表示，一个记录认证成功的次数，一个记录认证失败的次数。
这种情况下，更新与目标接口对应的临时key列表中的认证计数可以包括：
当与目标接口对应的临时key列表中存储有匹配到的临时key时，匹配到的临时key所对应的认证成功计数累加，临时key列表中的其他临时key认证失败计数累加；
当与目标接口对应的临时key列表中未存储有匹配到的临时key时，在临时key列表中添加匹配到的临时key，临时列表中的其他临时key认证失败计数累加。
这样一来，当根据认证报文中的认证字段能够匹配到一个存在于keychain中的key时，则表明认证成功计数可以累加，而如果不存在则认证失败次数累加。
当认证成功计数大于预设的第一阈值时，则可以说明这个该临时key满足了条件，可以作为对目标报文进行认证的目标key；当认证成功计数大于预设的第二阈值时，则说明该临时key存在隐患，从临时key列表中删除该临时key。
基于此，根据认证计数，从临时key列表所存储的临时key中确定目标key可以包括：
当临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除临时key列表中的其他临时key；
当临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从临时key列表中删除该认证失败计数大于第二阈值的临时key。
另外，每个临时key还可以仅仅通过一个计数器进行表示，例如，一个临时key加入临时列表时，其初始值设置为一个设定的中间值，如，4，认证成功时，该计数器累加1，认证失败时该计数器减1，当该计数器的数值小于第一预设阈值时，如，第一阈值为2，可以从临时列表中删除该临时key，而当该计数器的数值大于第二预设阈值时，如第二阈值为6，将该临时key确定为目标key，其中，上述第二阈值大于上述第一阈值。
其中，目标报文携带的认证字段可以是key ID或者是一段认证信息。
例如，基于某些路由协议的报文，其中携带有key ID。例如：当网络系统基于OSPF(Open Shortest Path First，开放式最短路径优先)路由协议时，根据目标报文中携带的认证字段从keychain中匹配临时key的过程，可以视为根据目标报文中携带的key ID在前述keychain中进行ID匹配，选择出临时key。
另外，基于另一些路由协议的报文，其中目标报文可以不携带key ID，这种情况下，根据目标报文中携带的认证信息从前述keychain中匹配临时key时，可以根据目标报文中携带的认证字段逐一与上述keychain中的key进行匹配，选择出临时key。
需要说明的是，本申请只是以上述为例进行说明，实际应用中并不对根据目标报文中携带的认证字段从keychain中匹配临时key的方式进行限定。
在本申请的另一种可选实现方式中，临时key列表还包括老化时间；
基于此，上述认证方法方法还可以包括：
当与目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；
当目标报文通过认证时，更新匹配到的目标key的老化时间；
当临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
在接收到报文时，如果匹配到临时key或目标key，则会刷新老化时间，比如定时器清零或者延长老化时间等。
在接收到报文选出临时key作为表项存储到临时key列表或者该临时key列表中存储有一个目标key时，该表项中包含老化时间，并启动一个定时器对该表项进行计时。如果计时到达了该老化时间，则删除该临时key或目标key。
可选的，上述更新老化时间，可以将老化时间更新为路由协议的生存时间(HoldTime)。
由于在通信过程中，路由协议本身存在生存时间，超出该生存时间后，存储的邻居信息则会清除，此时，保留临时key列表中的临时key或目标key的意义不大，则可以清除掉临时key或目标key。
可以理解的，在网络通信中网络设备可能会接收到恶意攻击报文，另外，对于网络设备的各个接口而言，一般情况下，一个接口对应的用于进行报文认证的key是不变的，且采用不同keychain的各个接口用于进行报文认证的key也是不同的。基于上述情况，在本申请的一种可选实现方式中，上述认证方法还可以包括：
监测目标临时key的变化速度是否大于预设的第三阈值，若大于预设的第三阈值，则说明上述目标临时key的具体值频繁变化，也就是目标接口用于进行报文认证的key频繁变化，这时可以认为目标接口接收的报文为攻击报文的概率较高，因此，可以拒绝处理目标接口接收的报文。
举例来说，对于变化速度而言，认证过程中的报文发送周期一般是10s，如果这10s内仅接收到一个报文，则可以理解为变化速度满足要求，但如果在10s内接收到的报文数大于1，则可以理解为临时key变化频繁，存在攻击的可能较大，此时，便可以拒绝从该接口接收报文，以避免攻击对设备造成的影响。
另外，一个设备上可能存在多个接口，每个接口所应用的keychain可能相同也可能不同。如果采用的keychain是相同的，因为其他设备与系统时钟是同步的，那么便可以认为其他设备发送过来的报文中所携带的认证信息也应该是相同的。此时，设备可以判断采用相同keychain的接口所产生的目标key如果是不同的，则其中之一便可能存在攻击。这样一来，设备可以分别删除这两个接口上的目标key，重新进行目标key的选举，以避免攻击所带来的影响。
由以上可见，上述各个实施例提供的方案中，接收到目标报文后，未完成基于NTP的系统时钟同步时，根据目标报文从keychain中确定目标key，并通过目标key对目标报文进行认证。可见在未完成基于NTP的系统时钟同步的情况下，网络管理人员未手动调整系统时间时，依然能够完成报文认证，减少了网络管理人员的工作压力，提高了报文认证的速度，进而减少了对业务的影响。
在本申请的一种具体实现方式中，参见图2，提供了另一种认证方法的流程示意图，与前述实施例相比，本实施例中，上述认证方法还包括：
S103：在完成基于NTP的系统时钟同步后，根据系统时钟进行目标报文的认证。
这样在完成基于NTP的系统时钟同步后，可以不需先根据目标报文从keychain中确定目标key，再采用目标key对目标报文进行认证，而是直接根据系统时钟选取一个key对目标报文进行认证，提高了认证效率。
与上述认证方法相对应，本申请实施例还提供了一种认证装置。
图3为本申请实施例提供的一种认证装置的结构示意图，该装置包括：
接收单元301，用于接收目标报文；
认证单元302，用于当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。
具体的，所述认证单元302可以包括：
判断模块，用于判断接收所述目标报文的目标接口是否存在目标key；
认证模块，用于在所述判断模块的判断结果为是的情况下，通过所述目标key对所述目标报文进行认证；
确定模块，用于在所述判断模块的判断结果为否的情况下，根据所述目标报文从keychain中确定目标key。
具体的，所述确定模块，包括：
匹配子模块，用于根据所述目标报文所携带的认证字段从keychain中匹配临时key；
更新子模块，用于更新与所述目标接口对应的临时key列表中认证计数；
确定子模块，用于根据所述认证计数，从临时key列表所存储的临时key中确定目标key。
具体的，所述更新子模块，具体用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，所述匹配到的临时key所对应的认证成功计数累加，所述临时key列表中的其他临时key认证失败计数累加；当与所述目标接口对应的临时key列表中未存储有匹配到的临时key时，在所述临时key列表中添加匹配到的临时key，所述临时列表中的其他临时key认证失败计数累加；
所述确定单元，具体用于当所述临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除所述临时key列表中的其他临时key；当所述临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从所述临时key列表中删除该认证失败计数大于第二阈值的临时key。
具体的，所述临时key列表还包括老化时间；
所述装置还包括：
老化单元，用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；当所述目标报文通过认证时，更新匹配到的目标key的老化时间；当所述临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
具体的，所述认证单元，还用于在完成基于NTP的系统时钟同步后，根据系统时钟选取key进行目标报文的认证。
由以上可见，本申请实施例提供的方案中，接收到目标报文后，未完成基于NTP的系统时钟同步时，根据目标报文从keychain中确定目标key，并通过目标key对目标报文进行认证。可见在未完成基于NTP的系统时钟同步的情况下，网络管理人员未手动调整系统时间时，依然能够完成报文认证，减少了网络管理人员的工作压力，提高了报文认证的速度，进而减少了对业务的影响。
对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。
以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。
Claims (12)
1.一种认证方法，其特征在于，所述方法包括：
接收目标报文；
当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。
2.根据权利要求1所述的方法，其特征在于，所述根据所述目标报文从keychain中确定目标key，并通过所述目标key对所述目标报文进行认证，包括：
判断接收所述目标报文的目标接口是否存在目标key；
若存在，则通过所述目标key对所述目标报文进行认证；
若不存在，则根据所述目标报文从keychain中确定目标key。
3.根据权利要求2所述的方法，其特征在于，
所述根据所述目标报文从keychain中确定目标key，包括：
根据所述目标报文所携带的认证字段从keychain中匹配临时key，并根据匹配到的临时key，更新与所述目标接口对应的临时key列表中认证计数；
根据所述认证计数，从临时key列表所存储的临时key中确定目标key。
4.根据权利要求3所述的方法，其特征在于，所述根据匹配到的临时key，更新与所述目标接口对应的临时key列表中的认证计数，包括：
当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，所述匹配到的临时key所对应的认证成功计数累加，所述临时key列表中的其他临时key认证失败计数累加；
当与所述目标接口对应的临时key列表中未存储有匹配到的临时key时，在所述临时key列表中添加匹配到的临时key，所述临时列表中的其他临时key认证失败计数累加；
所述根据所述认证计数，从临时key列表所存储的临时key中确定目标key，包括：
当所述临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除所述临时key列表中的其他临时key；
当所述临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从所述临时key列表中删除该认证失败计数大于第二阈值的临时key。
5.根据权利要求3所述的方法，其特征在于，所述临时key列表还包括老化时间；
所述方法还包括：
当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；
当所述目标报文通过认证时，更新匹配到的目标key的老化时间；
当所述临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
6.根据权利要求1所述的方法，其特征在于，所述方法还包括：
在完成基于NTP的系统时钟同步后，根据系统时钟选取key对进行目标报文的认证。
7.一种认证装置，其特征在于，所述装置包括：
接收单元，用于接收目标报文；
认证单元，用于当未完成基于网络时间协议NTP的系统时钟同步时，根据所述目标报文从加密规则集合keychain中确定目标加密规则key，并通过所述目标key对所述目标报文进行认证，其中，所述keychain为由多个key构成的集合。
8.根据权利要求7所述的装置，其特征在于，所述认证单元，包括：
判断模块，用于判断接收所述目标报文的目标接口是否存在目标key；
认证模块，用于在所述判断模块的判断结果为是的情况下，通过所述目标key对所述目标报文进行认证；
确定模块，用于在所述判断模块的判断结果为否的情况下，根据所述目标报文从keychain中确定目标key。
9.根据权利要求8所述的装置，其特征在于，所述确定模块，包括：
匹配子模块，用于根据所述目标报文所携带的认证字段从keychain中匹配临时key；
更新子模块，用于根据匹配到的临时key，更新与所述目标接口对应的临时key列表中认证计数；
确定子模块，用于根据所述认证计数，从临时key列表所存储的临时key中确定目标key。
10.根据权利要求9所述的装置，其特征在于，
所述更新子模块，具体用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，所述匹配到的临时key所对应的认证成功计数累加，所述临时key列表中的其他临时key认证失败计数累加；当与所述目标接口对应的临时key列表中未存储有匹配到的临时key时，在所述临时key列表中添加匹配到的临时key，所述临时列表中的其他临时key认证失败计数累加；
所述确定子模块，具体用于当所述临时key列表中所存储的临时key的认证成功计数大于第一阈值时，将该临时key确定为目标key，并删除所述临时key列表中的其他临时key；当所述临时key列表中所存储的临时key的认证失败计数大于第二阈值时，从所述临时key列表中删除该认证失败计数大于第二阈值的临时key。
11.根据权利要求9所述的装置，其特征在于，所述临时key列表还包括老化时间；
所述装置还包括：
老化单元，用于当与所述目标接口对应的临时key列表中存储有匹配到的临时key时，更新匹配到的临时key的老化时间；当所述目标报文通过认证时，更新匹配到的目标key的老化时间；当所述临时key列表中所存储的临时key或目标key到达老化时间时，则删除所对应的临时key或目标key。
12.根据权利要求7所述的装置，其特征在于，
所述认证单元，还用于在完成基于NTP的系统时钟同步后，根据系统时钟选取key进行目标报文的认证。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610551344.0A CN106059700B (zh) | 2016-07-11 | 2016-07-11 | 一种认证方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610551344.0A CN106059700B (zh) | 2016-07-11 | 2016-07-11 | 一种认证方法及装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN106059700A true CN106059700A (zh) | 2016-10-26 |
| CN106059700B CN106059700B (zh) | 2020-06-05 |
Family
ID=57186363
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201610551344.0A Active CN106059700B (zh) | 2016-07-11 | 2016-07-11 | 一种认证方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106059700B (zh) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109428868A (zh) * | 2017-08-31 | 2019-03-05 | 中兴通讯股份有限公司 | 对OSPFv3进行加密的方法、加密装置、加密设备及存储介质 |
| CN110191114A (zh) * | 2019-05-24 | 2019-08-30 | 新华三技术有限公司 | 一种安全防护的方法、装置、电子设备及介质 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101286833A (zh) * | 2008-05-26 | 2008-10-15 | 中兴通讯股份有限公司 | 基于认证的时间同步请求方法、系统以及时间同步方法 |
| CN105279449A (zh) * | 2014-05-30 | 2016-01-27 | 苹果公司 | 基于上下文的数据访问控制 |
| CN105721496A (zh) * | 2016-03-31 | 2016-06-29 | 中国人民解放军国防科学技术大学 | 一种轻量级地址自动分配协议安全认证方法 |
-
2016
- 2016-07-11 CN CN201610551344.0A patent/CN106059700B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101286833A (zh) * | 2008-05-26 | 2008-10-15 | 中兴通讯股份有限公司 | 基于认证的时间同步请求方法、系统以及时间同步方法 |
| CN105279449A (zh) * | 2014-05-30 | 2016-01-27 | 苹果公司 | 基于上下文的数据访问控制 |
| CN105721496A (zh) * | 2016-03-31 | 2016-06-29 | 中国人民解放军国防科学技术大学 | 一种轻量级地址自动分配协议安全认证方法 |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109428868A (zh) * | 2017-08-31 | 2019-03-05 | 中兴通讯股份有限公司 | 对OSPFv3进行加密的方法、加密装置、加密设备及存储介质 |
| CN109428868B (zh) * | 2017-08-31 | 2021-10-12 | 中兴通讯股份有限公司 | 对OSPFv3进行加密的方法、加密装置、加密设备及存储介质 |
| CN110191114A (zh) * | 2019-05-24 | 2019-08-30 | 新华三技术有限公司 | 一种安全防护的方法、装置、电子设备及介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN106059700B (zh) | 2020-06-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109165229B (zh) | 本地区块同步的检验方法、装置、设备及存储介质 | |
| CN109688012A (zh) | 一种联盟链节点热备切换的方法 | |
| CN110505065B (zh) | 一种可信时间戳添加方法、装置和存储介质 | |
| CN111212110A (zh) | 一种基于区块链的联邦学习系统及方法 | |
| CN106372533A (zh) | 基于区块链技术的内容存储方法 | |
| CN100461708C (zh) | 告警同步方法 | |
| CN101808351B (zh) | 业务影响分析方法和系统 | |
| CN107197036A (zh) | 一种基于区块链的信息一致处理方法及终端 | |
| CN106095814A (zh) | 联系人处理方法及服务器 | |
| CN111444211A (zh) | 区块链共识节点校验方法、装置、设备以及存储介质 | |
| CN106612308A (zh) | 数据传输方法及装置 | |
| CN100561946C (zh) | 一种snmp协议网管系统的告警同步方法及其装置 | |
| CN107017958B (zh) | 一种基于ntp的时间同步方法及相应系统 | |
| WO2017071337A1 (zh) | 管理数据库表数据的方法、装置及系统 | |
| CN105528264B (zh) | 防误操作的数据恢复方法及其系统 | |
| CN108234057A (zh) | 基于bmc的服务器的时间同步方法、装置及存储介质 | |
| CN106059700A (zh) | 一种认证方法及装置 | |
| JP2022130491A (ja) | 独立したコンピューティングリソースを管理し、および同期させるためのシステム、方法、装置、およびコンピュータプログラム製品 | |
| CN110457334A (zh) | 信息推送方法、装置、电子设备及可读存储介质 | |
| CN109949006A (zh) | 一种项目管理方法、装置以及相关设备 | |
| CN106331152A (zh) | 一种实现模块间信息同步的方法及装置 | |
| US8972225B2 (en) | Method and system for constructing optimized network simulation environment | |
| CN106202461A (zh) | 一种同步方法及装置 | |
| CN103957230A (zh) | 一种客户端用户数确定方法、服务器、客户端及系统 | |
| CN108882230B (zh) | 通话记录管理方法、装置及系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| CB02 | Change of applicant information |
Address after: 310052 Binjiang District Changhe Road, Zhejiang, China, No. 466, No. Applicant after: Xinhua three Technology Co., Ltd. Address before: 310053 Hangzhou science and Technology Industrial Park, high tech Industrial Development Zone, Zhejiang Province, No. six and road, No. 310 Applicant before: Huasan Communication Technology Co., Ltd. |
|
| CB02 | Change of applicant information | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |