CN106453225B - 实现隐秘通信的方法及客户端、服务器 - Google Patents

Abstract

本发明公开了一种实现隐秘通信的方法及客户端、服务器，其中，所述方法包括：与服务器约定NTP协议包的设计规则；根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。本发明实施例提出的基于NTP协议的隐秘通信方法具有穿透力强、隐蔽性好、可用性高等优势，提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

Description

实现隐秘通信的方法及客户端、服务器

技术领域

本发明涉及通信技术领域，尤其涉及一种实现隐秘通信的方法及客户端、服务器。

背景技术

隐蔽通信技术分为密码技术和信息隐藏技术。两者各有优势，密码技术将信息进行加密处理，将明文变成不可识别密文，使加密后的信息变得难以理解。但这样做却带来了另一个问题，加密技术将明文加密成一堆乱码，容易激发非授权者破解机密信息的欲望。而信息隐藏技术则是将特定的机密信息隐藏在某种公开信息中，由于对外表现的是载体信号的内容和特征，用公开信息作掩护，因此非授权者不会感觉到机密信息的存在。非授权者如果面对的是密文，会使其感到是重要的机密信息，想加以破解，如果面对的是明文，则会放松警惕。因此，从解密的角度上看，用信息隐藏技术隐蔽的机密信息被非授权者侦查和恢复的难度更大，从而降低被非法截收者攻击的概率。由此可见，信息隐藏技术是一种安全有效的隐蔽通信方式。

隐蔽通道(Covert Channel，CC)是常见的隐蔽通信方式，是一种允许进程以危害系统安全策略的方式传输信息的通信信道。最初它被提出是为了解决囚犯问题。两个囚犯进行通信，但他们之间的通信可以被狱警监听并决定是否允许。因此囚犯必须设计一种方法来使它们的对话看起来无害却隐藏着秘密消息。

目前，现有的基于隐蔽通道的隐秘通信方法，大多数都是基于DNS、ICMP、FTP等协议的隐蔽通道。但是这些基于DNS、ICMP、FTP等协议的隐蔽通道都已经被列为网络监测的主要对象，对他们的监测、拦截也被IPS、防火墙等网络监测设备写入防护策略，无法安全地实现隐秘通信。而NTP作为互联网中不可或缺的时间同步技术，其对应的隐蔽通道并没有引起应有的重视。因此，如何提供一种基于NTP协议的实现隐秘通信的方法具有重要意义。

发明内容

鉴于上述问题，本发明提出了一种实现隐秘通信的方法及客户端、服务器，在提高隐秘通信的隐蔽性和安全性的同时，进一步地为隐蔽通道的恶意利用提供防范依据。

本发明的一个方面，提供了一种实现隐秘通信的方法，包括：

与服务器约定NTP协议包的设计规则；

根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，以及将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

可选地，所述将所述NTP请求报文发送至服务器，进一步包括：

将当前地址伪装成不同的客户端地址，以不同的客户端地址作为源地址向服务器发送所述NTP请求报文。

可选地，所述方法还包括：

接收所述服务器返回的NTP响应报文，所述NTP响应报文中携带有下行传输数据；

根据所述NTP协议包的设计规则对所述NTP响应报文进行解析，得到所述下行传输数据。

可选地，所述NTP协议包的设计规则包括：指定NTP协议包中用于承载所述上行传输数据和下行传输数据的特定字段，和/或，

指定所述上行传输数据和下行传输数据分别对应的编码和解码方式。

可选地，所述根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，进一步包括：

根据所述NTP协议包的设计规则将所述上行传输数据添加到NTP请求报文的特定字段。

可选地，所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息；

所述方法还包括：根据所述参考标识符字段的信息开启或关闭隐秘通信。

本发明的另一个方面，提供了另一种实现隐秘通信的方法，包括：

与客户端约定NTP协议包的设计规则；

当接收到所述客户端发送的NTP请求报文时，所述NTP请求报文中携带有上行传输数据，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

可选地，所述方法还包括：

根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文，将所述NTP响应报文发送至所述客户端，以供客户端根据约定的所述NTP协议包的设计规则解析所述NTP响应报文，得到所述下行传输数据。

本发明的再一个方面，提供了一种实现隐秘通信的客户端，包括：

配置模块，用于与服务器约定NTP协议包的设计规则；

处理模块，用于根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文；

发送模块，用于将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

本发明的又一个方面，提供了一种实现隐秘通信的服务器，包括：

配置模块，用于与客户端约定NTP协议包的设计规则；

接收模块，用于接收到所述客户端发送的NTP请求报文，所述NTP请求报文中携带有上行传输数据；

解析模块，用于当接收到所述客户端发送的NTP请求报文时，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

本发明实施例提供的实现隐秘通信的方法及客户端、服务器，通过客户端与服务器之间约定NTP协议包的设计规则，根据NTP协议包的设计规则将待传输数据添加到NTP协议包中，以供接收方根据约定的NTP协议包的设计规则解析NTP协议包得到待传输数据，实现基于NTP协议的隐秘通信，本发明实施例具有穿透力强、隐蔽性好、可用性高等优势，有效地提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例的一种实现隐秘通信的方法的流程图；

图2示出了本发明实施例中的NTP隐蔽通道的工作模式示意图；

图3示出了本发明实施例中的伪造源IP发送NTP请求报文的工作模式示意图；

图4示出了本发明另一实施例的一种实现隐秘通信的方法的流程图；

图5示出了本发明另一实施例的一种实现隐秘通信的方法的流程图；

图6示出了本发明另一实施例的一种实现隐秘通信的方法的流程图；

图7示出了本发明实施例的一种实现隐秘通信的客户端的结构示意图；

图8示出了本发明实施例的一种实现隐秘通信的服务器的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非被特定定义，否则不会用理想化或过于正式的含义来解释。

需要说明的是，NTP(Network Time Protocol，网络时间协议)，是为实现高精确度的时间同步，而设计的网络时钟同步协议。它的用途是把计算机的时钟同步到UTC(Coordinated Universal Time，协调世界时)，它可以使计算机对其服务器或时钟源(如石英钟，GPS等等)进行时间同步，提供高精准度的时间校正。其中，UTC协调世界时又称世界统一时间，世界标准时间等。

NTP设备可以采用多种NTP工作模式进行时间同步，包括：客户端/服务器模式、对等体模式、广播模式以及组播模式等。NTP以客户机/服务器模式进行通信时，客户机发送一个请求数据包，服务器接收后回送一个应答数据包。两个数据包都带有发送和接收的时间戳，根据这四个时间戳来确定客户机和服务器之间的时间偏差和网络时延。

NTP使用层次式时间分布模型，具有相当高的灵活性，可以适应各种互联网环境，是互联网上公认的时间同步工具。网络时间同步需要不断地对网络中各台计算机进行时间调整，因此几乎各种类型的网络都允许NTP协议类型的数据报文不受限制地访问网络。这给基于NTP构建隐蔽通道创造了有利条件。对比于基于ICMP、HTTP等协议的隐蔽通道易受防火墙、NAT等网络设备拦截过滤。因此，本发明实施例提出的基于NTP协议的实现隐秘通信的方法具有穿透力强、隐蔽性好、可用性高等优势，提高了通信的隐蔽性和安全性。此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。下面对本发明实施例的实现隐秘通信的方法进行详细地描述。

图1示意性示出了本发明一个实施例的实现隐秘通信的方法的流程图。本实施例以客户端侧作为执行主体对实现隐秘通信的方法进行说明，参照图1，本发明实施例的实现隐秘通信的方法具体包括以下步骤：

S11、与服务器约定NTP协议包的设计规则。

本发明实施例中，通信前客户端与服务器预先约定好NTP协议包的设计规则，以使发送方和接收方均按照这个规则进行数据的发送和提取。

具体的，与服务器约定NTP协议包的设计规则，进一步包括：与服务器配置相同的NTP协议包的设计规则。

S12、根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，以及将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

其中，NTP协议包的设计规则包括但不限于隐藏信息的字段以及待传输数据对应的编码方式等规则。

本发明实施例中提出的实现隐秘通信的方法，基于NTP协议，利用NTP请求和应答建立隐蔽通道，实现数据传输。通信前双方约定好的NTP协议包的设计规则，发送方按照这个规则将隐秘信息伪装、编码、发送，接收方按照约定接收、解码、提取隐秘信息。简单的NTP隐蔽通道的工作模式如图2所示。

可理解的，客户端和服务器均为NTP设备。本实施例中采用客户端/服务器工作模式，其中客户端和服务器仅表示通信过程中NTP设备的工作模式。

本发明实施例提供的实现隐秘通信的方法，通过客户端与服务器之间约定NTP协议包的设计规则，根据NTP协议包的设计规则将待传输数据添加到NTP协议包中，以供接收方根据约定的NTP协议包的设计规则解析NTP协议包得到待传输数据，实现基于NTP协议的隐秘通信，本发明实施例具有穿透力强、隐蔽性好、可用性高等优势，有效地提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

在本发明的一个可选实施例中，所述将所述NTP请求报文发送至服务器，进一步包括以下步骤：将当前地址伪装成不同的客户端地址，以不同的客户端地址作为源地址向服务器发送所述NTP请求报文。

普通的NTP通道在通信过程中会产生大量来自同一主机的NTP请求报文和返回该主机的NTP响应报文，流量分布特征十分显著，很容易被入侵检测系统识别出异常。

可理解的是，UDP协议是面向无连接的，因此很容易伪造请求包的源IP地址，最终服务器的响应包就会返回到其他主机，从而分散流量。以此，针对HTTP、FTP等协议的隐蔽通道流量分布特征明显等缺陷，进一步降低基于NTP隐蔽通道被检测的风险，如图3所示，本发明实施例利用NTP报文基于面向无连接的UDP协议工作的特点，在客户端节点处伪造其他主机IP地址，以不同的客户端地址作为源地址向服务器发送所述NTP请求报，最终服务器返回响应包到伪造IP主机处，从而平衡流量分布。

在本发明的一个可选实施例中，如图4所示，该方法还包括步骤S13～S14：

S13、接收所述服务器返回的NTP响应报文，所述NTP响应报文中携带有下行传输数据。

S14、根据所述NTP协议包的设计规则对所述NTP响应报文进行解析，得到所述下行传输数据。

本发明实施例中，通信前双方约定好的NTP协议包的设计规则，发送方按照这个规则将隐秘信息伪装、编码、发送，接收方按照约定接收、解码、提取隐秘信息，并进一步地进行响应，安全、隐秘地实现基于NTP协议的实现隐秘通信。

本发明实施例中，所述NTP协议包的设计规则包括：指定NTP协议包中用于承载所述上行传输数据和下行传输数据的特定字段，和/或，指定所述上行传输数据和下行传输数据分别对应的编码和解码方式。

本实施例中，上行传输数据即上行通道传输的隐蔽信息，下行传输数据即下行通道传输的隐蔽信息。其中，上行通道是指把客户端的隐蔽信息传送给服务器端，下行通道是指把服务器端的隐蔽信息传送给客户端。

进一步地，所述特定字段包括除NTP协议包头部的首4个字节和末尾的MAC字段以外的字段。例如，特定字段包括时间戳最低有效位、参考标识符字段和扩展域等。

可理解的，NTP时间同步机制是由客户机直接发起时间同步请求，因此在隐秘通信的上行信道只需要考虑哪些字段可以隐藏数据，而不用考虑信道的发起时间和通信频率。根据网络防护设备的一般规则设置，对于NTP协议包的校验主要是报文头部和MAC校验。因此，除去报文头部4个字节的属性特征分布(状态、版本、模式等)和末尾MAC字段常被提取和检查，其余字段都易被检测设备忽略，很适合作为隐藏消息字段。本发明实施例在上行通道使用下面几个字段来隐藏数据。

1、利用时间戳(Timestamp)最低有效位(LSB)：

NTP报文中有四个时间戳字段：参考时间戳、原始时间戳、接受时间戳、传送时间戳。时间戳字段用的是二进制补码编码方式。此时我们将时间戳信息进行轻微的变换而使其仍符合时间信号特征。我们可以利用时间戳的最低有效位来隐藏信息。最低有效位指的是一个二进制数字中的第0位(即最低位)。但是使用这种方式无法携带较多的数据，难以满足文件传送、远程桌面控制等大数据量密集通信应用的需求。

2、利用参考标识符(Reference Identifier)字段：

KOD(Kiss of Death)包是一种当连接状态未定义或者无效时，客户机和服务器之间传递状态报告和访问控制的数据包。这种数据包的参考标识符字段没有格式要求且不认为具有有效数据。NTPV4协议指定时规定：如果客户端或者服务器的一端使用IPV6地址，另一端使用IPV4地址，两方进行通讯时，将无法完成时间循环(time looping)校验。此时参考标识符字段也没有格式限制且不认为具有有效数据。因此，几乎所有的网络分析工具都不把参考标识符字段当成访问控制的判断依据。这为基于该字段的信息隐藏提供了非常有利的条件。

3、利用扩展域(Extension Field)填充字段：

在NTP协议的最新版本NTPV4中，可以在头部之后，MAC校验字段之前添加一个或多个扩展域。RFC5905中，扩展域的内容没有被明确定义，但被强制要求最少填充至16字节，最大填充长度未作要求。这样，根据UDP协议包的最大长度512字节，除去UDP报文首部8字节和NTP报文首部48字节，可以让填充字段扩充到一个十分可观的长度(456字节)。

下面通过一个具体的客户端NTP请求报文对本发明实施例进行解释说明：

进一步地，所述根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，进一步包括：根据所述NTP协议包的设计规则将所述上行传输数据添加到NTP请求报文的特定字段。

在本发明的一个可选实施例中，所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息。

在本发明的一个可选实施例中，所述方法还包括：根据所述参考标识符字段的信息开启或关闭隐秘通信。

为了对上行和下行通道的流量开关和传输速率做出适当的控制。本发明实施例通过使用KOD包中的参考标识符字段作为控制信息。在NTP时间同步过程中，参考标识符字段特定的ASCII字符串(DENY and RSTR、RATE等)原本就是设计来实现客户端和服务器之间的访问控制。本发明实施例沿用参考标识符字段作为隐蔽通道信息传递的控制信号，作为下行信道中服务器端通知客户机开启和关闭隐蔽通道的指令信号，实现可控的隐秘通信。

图5示意性示出了本发明一个实施例的实现隐秘通信的方法的流程图。本实施例以服务器侧作为执行主体对实现隐秘通信的方法进行说明，参照图5，本发明实施例的实现隐秘通信的方法具体包括以下步骤：

S51、与客户端约定NTP协议包的设计规则；

S52、当接收到所述客户端发送的NTP请求报文时，所述NTP请求报文中携带有上行传输数据，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

本发明实施例中提出的实现隐秘通信的方法，基于NTP协议，利用NTP请求和应答建立隐蔽通道，实现数据传输。通信前双方约定好的NTP协议包的设计规则，发送方按照这个规则将隐秘信息伪装、编码、发送，接收方按照约定接收、解码、提取隐秘信息。简单的NTP隐蔽通道的工作模式如图2所示。

本发明实施例提供的实现隐秘通信的方法，通过客户端与服务器之间约定NTP协议包的设计规则，根据NTP协议包的设计规则将待传输数据添加到NTP协议包中，以供接收方根据约定的NTP协议包的设计规则解析NTP协议包得到待传输数据，实现基于NTP协议的隐秘通信，本发明实施例具有穿透力强、隐蔽性好、可用性高等优势，有效地提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

在本发明的一个可选实施例中，如图6所示，该方法还包括步骤S53：

S53、根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文，将所述NTP响应报文发送至所述客户端，以供客户端根据约定的所述NTP协议包的设计规则解析所述NTP响应报文，得到所述下行传输数据。

在本发明的一个可选实施例中，在所述根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文之前，所述方法还包括：根据所述下行传输数据的带宽需求选择相应类型的NTP响应报文。

在实际应用中，当服务器对客户端单向被动下行信道带宽不足时，本发明实施例可以根据下行传输数据的带宽需求选择相应类型的NTP响应报文，具体的可以通过以下NTP响应报文，构建“合法”的通信信道。

1、monlist指令

NTP服务包含一个monlist功能，它被设计用于监控NTP服务器。NTP服务器响应monlist指令后会返回与自己进行过时间同步的最后600个客户端的IP。这意味着，一个很小的请求包，就能获取到大量的活动IP地址组成的连续UDP包。响应包按照每6个IP进行分割，最多有100个响应包，通常每个包为480字节。本发明实施例提供的实现隐秘通信的方法，可以利用monlist指令，得到一个与带宽需求相适应的下行带宽。

本发明实施例，通过利用NTP服务的monlist功能，可以将隐蔽数据伪装成合理的响应包在网络中进行传输。在monlist触发指令下，NTP服务器可以使隐藏信道具有不错的带宽，实现“接受简短命令，返回大量结果”的下行通道模式。

2、listpeers指令

Listpeers指令的使用和monlist指令类似。NTP服务器响应listpeers指令后就会返回与NTP服务器进行过时间同步的所有对等机的IP地址。因此listpeers指令也可以作为下行信道的触发指令来传递隐蔽信息。

下面通过一个具体的服务器NTP响应报文对本发明实施例进行解释说明：

此外，需要说明的是，由于NTP协议具有普遍性和不可替代性，网络监控设备通常不对NTP数据包做检查。但在网络安全措施较为严格的网络中，网络管理员强制关闭123端口，此时只允许从内部网络向外部网络发送NTP请求，而不允许外部网络主动向内部网络发送NTP数据包。为此，本发明实施例可通过以下两种解决办法实现隐秘通信：第一，如果外部主机需要主动对内部主机发起隐蔽通道建立请求，那么就需要把NTP报文Mode字段设置成应答模式，伪装成服务器或对等主机的应答报文，使其穿过防火墙；第二，内部主机首先发起NTP请求，内部主机和外部主机的连接即可建立。

对于实现隐秘通信的下行通道实施例而言，由于其与上行通道实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

图7示意性示出了本发明一个实施例的实现隐秘通信的客户端的结构示意图。参照图7，本发明实施例的实现隐秘通信的客户端具体包括配置模块701、处理模块702以及发送模块703，其中：

配置模块701，用于与服务器约定NTP协议包的设计规则；

处理模块702，用于根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文；

发送模块703，用于将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

本发明实施例提供的实现隐秘通信的方法，通过客户端与服务器之间约定NTP协议包的设计规则，根据NTP协议包的设计规则将待传输数据添加到NTP协议包中，以供接收方根据约定的NTP协议包的设计规则解析NTP协议包得到待传输数据，实现基于NTP协议的隐秘通信，本发明实施例具有穿透力强、隐蔽性好、可用性高等优势，有效地提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

在本发明的一个可选实施例中，所述发送模块703，具体用于将当前地址伪装成不同的客户端地址，以不同的客户端地址作为源地址向服务器发送所述NTP请求报文。

本发明实施例，发送模块利用NTP协议基于UDP报文进行传输的特点，在NTP隐蔽信道的内部网络源主机节点处随机伪造内部网络其他主机IP发送伪装的NTP查询请求，从而平衡流量分布特征。

在本发明的一个可选实施例中，所述客户端还包括附图中未示出的接收模块和解析模块，所述接收模块，用于接收所述服务器返回的NTP响应报文，所述NTP响应报文中携带有下行传输数据；所述解析模块，用于根据所述NTP协议包的设计规则对所述NTP响应报文进行解析，得到所述下行传输数据。

在本发明的一个可选实施例中，所述NTP协议包的设计规则包括：指定NTP协议包中用于承载所述上行传输数据和下行传输数据的特定字段，和/或，

指定所述上行传输数据和下行传输数据分别对应的编码和解码方式。

在本发明的一个可选实施例中，所述特定字段包括除NTP协议包头部的首4个字节和末尾的MAC字段以外的字段。例如，特定字段包括时间戳最低有效位、参考标识符字段和扩展域等。

在本发明的一个可选实施例中，所述处理模块702，具体用于根据所述NTP协议包的设计规则将所述上行传输数据添加到NTP请求报文的特定字段。

在本发明的一个可选实施例中，所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息。

进一步地，所述客户端还包括控制模块，用于根据所述参考标识符字段的信息开启或关闭隐秘通信。

在本发明的一个可选实施例中，所述配置模块701，具体用于与服务器配置相同的NTP协议包的设计规则。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

此外，本发明还提供了一种实现隐秘通信的服务器。图8示意性示出了本发明一个实施例的实现隐秘通信的服务器的结构示意图。

参照图8，本发明实施例的实现隐秘通信的服务器具体包括配置模块801、接收模块802以及解析模块803，其中：

配置模块801，用于与客户端约定NTP协议包的设计规则；

接收模块802，用于接收到所述客户端发送的NTP请求报文，所述NTP请求报文中携带有上行传输数据；

解析模块803，用于当接收到所述客户端发送的NTP请求报文时，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据。

在本发明的一个可选实施例中，所述服务器还包括附图中未示出的处理模块和发送模块，其中，所述处理模块，用于根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文；所述发送模块，用于将所述NTP响应报文发送至所述客户端，以供客户端根据约定的所述NTP协议包的设计规则解析所述NTP响应报文，得到所述下行传输数据。

在本发明的一个可选实施例中，所述服务器还包括附图中未示出的选择模块，所述选择模块，用于在所述处理模块根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文之前，根据所述下行传输数据的带宽需求选择相应类型的NTP响应报文。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本发明实施例提供的实现隐秘通信的方法及客户端、服务器，通过客户端与服务器之间约定NTP协议包的设计规则，根据NTP协议包的设计规则将待传输数据添加到NTP协议包中，以供接收方根据约定的NTP协议包的设计规则解析NTP协议包得到待传输数据，实现基于NTP协议的隐秘通信，本发明实施例具有穿透力强、隐蔽性好、可用性高等优势，有效地提高了通信的隐蔽性和安全性，此外，本发明进一步地为隐蔽通道的恶意利用提供防范依据。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种实现隐秘通信的方法，其特征在于，包括:

与服务器约定NTP协议包的设计规则；

根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，以及将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据，

其中，所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息；

所述方法还包括：根据所述参考标识符字段的信息开启或关闭隐秘通信。

2.根据权利要求1所述的方法，其特征在于，所述将所述NTP请求报文发送至服务器，进一步包括：

将当前地址伪装成不同的客户端地址，以不同的客户端地址作为源地址向服务器发送所述NTP请求报文。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收所述服务器返回的NTP响应报文，所述NTP响应报文中携带有下行传输数据；

根据所述NTP协议包的设计规则对所述NTP响应报文进行解析，得到所述下行传输数据。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述NTP协议包的设计规则包括：指定NTP协议包中用于承载所述上行传输数据和下行传输数据的特定字段，和/或，

指定所述上行传输数据和下行传输数据分别对应的编码和解码方式。

5.根据权利要求4所述的方法，其特征在于，所述根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文，进一步包括：

根据所述NTP协议包的设计规则将所述上行传输数据添加到NTP请求报文的特定字段。

6.一种实现隐秘通信的方法，其特征在于，包括:

与客户端约定NTP协议包的设计规则；

当接收到所述客户端发送的NTP请求报文时，所述NTP请求报文中携带有上行传输数据，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据，

其中，所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息；

所述方法还包括：根据所述参考标识符字段的信息开启或关闭隐秘通信。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

根据所述NTP协议包的设计规则将下行传输数据添加到NTP响应报文，将所述NTP响应报文发送至所述客户端，以供客户端根据约定的所述NTP协议包的设计规则解析所述NTP响应报文，得到所述下行传输数据。

8.一种实现隐秘通信的客户端，其特征在于，包括:

配置模块，用于与服务器约定NTP协议包的设计规则；

处理模块，用于根据所述NTP协议包的设计规则将上行传输数据添加到NTP请求报文；

发送模块，用于将所述NTP请求报文发送至服务器，以供服务器根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据，

所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息，

所述客户端还包括控制模块，用于根据所述参考标识符字段的信息开启或关闭隐秘通信。

9.一种实现隐秘通信的服务器，其特征在于，包括:

配置模块，用于与客户端约定NTP协议包的设计规则；

接收模块，用于接收到所述客户端发送的NTP请求报文，所述NTP请求报文中携带有上行传输数据；

解析模块，用于当接收到所述客户端发送的NTP请求报文时，根据约定的所述NTP协议包的设计规则解析所述NTP请求报文，得到所述上行传输数据，

所述NTP协议包的设计规则还包括：指定所述NTP协议包中的参考标识符字段的信息作为隐秘通信的控制信息，

所述服务器还包括控制模块，用于根据所述参考标识符字段的信息开启或关闭隐秘通信。