CN106603182A - 一种面向空间环境的安全的时间同步方法 - Google Patents

Abstract

本发明公开了一种面向空间环境的安全的时间同步方法，首先进行协议安全增强认证，具体是通过表示有通信双方身份的数字证书交换来实现身份认证，同时双方共同协商后续时间同步阶段的数据传输密钥；再完成协议安全增强认证之后进入时间同步阶段，具体由客户端与服务端交换时间戳，并由所述客户端根据传输数据报重置本地时间，达到时间同步的目的。该方法在尽可能保证安全的情况下减少计算量和数据传输量，通信双方通过初始共享的密钥验证身份，然后协商传输密钥，从而在不安全的开放信道上建立起一条比较安全的数据链路。

Description

一种面向空间环境的安全的时间同步方法

技术领域

本发明涉及时间同步协议技术领域，尤其涉及一种面向空间环境的安全的时间同步方法。

背景技术

目前，随着空间技术的发展，空间网络节点也在日益增加，空间节点之间和空间地面之间安全准确的时间同步变的越来越重要。为了增加节点之间的通信效率、改善用户体验、保护用户隐私等，研究高效安全的空间时间同步协议有着重要的意义。现阶段的高精度的空间时间同步方式有GPS和IEEE1588，然而前者由于是基于美国的全球定位系统的，有一定风险、成本高、GSP服务的稳定性差，不是最佳选择。

而IEEE1588虽然目前应用广泛且精度较高，但是在安全性方面欠缺，虽然已经提出设计了SEIEEE1588协议对IEEE1588进行安全增强，包括身份认证，密钥协商，消息完整性保护等一系列安全措施，但是在身份认证、密钥协商设计上存在一些问题，而且对于密钥更新机制也考虑欠缺。

发明内容

本发明的目的是提供一种面向空间环境的安全的时间同步方法，该方法在尽可能保证安全的情况下减少计算量和数据传输量，通信双方通过初始共享的密钥验证身份，然后协商传输密钥，从而在不安全的开放信道上建立起一条比较安全的数据链路。

一种面向空间环境的安全的时间同步方法，所述方法包括：

首先进行协议安全增强认证，具体是通过表示有通信双方身份的数字证书交换来实现身份认证，同时双方共同协商后续时间同步阶段的数据传输密钥；

再完成协议安全增强认证之后进入时间同步阶段，具体由客户端与服务端交换时间戳，并由所述客户端根据传输数据报重置本地时间，达到时间同步的目的。

所述协议安全增强认证的具体过程为：

首先，客户端向服务端发送client hello消息，具体包括：客户端包含有一对对称密钥，即客户端公钥PC和客户端私钥VC，对客户端公钥和客户端的信息取摘要HC，使用对称密钥VCA加密客户端公钥和HC生成客户端证书CAc，并上注到客户端；所述客户端生成一段随机数据Rdatal取摘要后使用客户端公钥加密成随机数据Rcdatal；再将客户端证书、随机数据明文和Rcdatal生成报文，将全部报文数据信息取摘要MC，并放到数据包尾以验证数据完整性，再发送给服务端；

然后，所述服务端向所述客户端回复server hello消息，具体包括：所述服务端校验所收到的数据包的完整性，使用对称密钥PCA从客户端证书中解出所述客户端的客户端公钥，然后使用客户端公钥解出随机数据明文跟Rcdatal数据作对比，校验所述客户端的身份；所述服务端也包含有一对对称密钥，即服务端公钥PS和服务端私钥VS，对服务端公钥和服务端信息取摘要HS，使用对称密钥VCA加密服务端公钥和HS生成服务端证书CAS，并上注到服务端；所述服务端生成一段随机数据Rdata2取摘要后使用服务端公钥加密成随机数据Rsdata2；所述服务端同时生成两个随机数RS1和RS2，并分别使用服务端私钥、提前协商好的对称密钥RAB进行加密，再将所述服务端证书、Rsdata2、加密后的随机数RS1和RS2以及全部报文数据的摘要放到数据包末尾后回复给所述客户端；

所述客户端再向所述服务端发送client done消息，具体包括：所述客户端在收到所述服务端回复的数据包之后，首先对所述数据包的完整性进行校验，使用对称密钥PCA从服务端证书中解出所述服务端的服务端公钥；然后使用服务端公钥解出随机数据跟Rcdatal数据作对比，以校验所述服务端的身份；所述客户端再使用服务端公钥和提前协商好的对称密钥RAB解出两个随机数RS1和RS2，同时客户端也生成两个随机数RC1和RC2，并分别使用客户端私钥VC和RAB进行加密；然后将两个随机数RC1、RC2及数据包哈希值发送给所述服务端；

所述服务端再向所述客户端回复server done消息，具体包括：所述服务端再收到数据包后，从数据包中解出客户端生成的两个随机数RC1和RC2，并结合自身生成的两个随机数RS1和RS2，使用PRF算法及四个随机数生成传输数据的密钥Kmaster，并更新RAB的值，获取RAB的前16个字节的内容和RS1，CS1使用PRF算法生成RABnew；然后所述服务端对所述客户端随机生成一个SessionID，以完成密钥协商过程。

所述时间同步阶段的具体过程为：

首先进行时钟偏移测量，具体包括：主时钟向从时钟发送同步Sync数据包，并同时在Sync数据包的原始时间戳originTimestamp字段中记录时间戳T1，当从时钟接收到主时钟发送的Sync数据包时记录所述Sync数据包到达的时间戳T2；然后主时钟把Sync数据包中的发送时间戳T1存储在Follow_Up包的preciseOriginTimestamp字段中，发送给从时钟；

然后进行时钟延迟测量，具体包括：从时钟发送Delay_Req包给主时钟，记录发送时间戳T3到原始时间戳originTimestamp字段中，当主时钟接收到从时钟发送的Delay_Req包时记录接收时间戳T4；然后主时钟将时间戳T4存储在Delay_Resp数据包中发送给从时钟；

所述客户端根据上述四个时间戳计算准确时间，并重置时钟，具体包括：从时钟获取到四个时间戳T1，T2，T3，T4之后，根据这些时间戳计算出偏移量和传播延迟，具体公式如下：

Delay＝((t2-t1)+(t4-t3))/2

Offset＝((t4-t3)-(t2-t1))/2；

再由所述客户端根据所计算出偏移量和传播延迟计算准确时间，并重置本地时间，达到时间同步的目的。

由上述本发明提供的技术方案可以看出，该方法在尽可能保证安全的情况下减少计算量和数据传输量，通信双方通过初始共享的密钥验证身份，然后协商传输密钥，从而在不安全的开放信道上建立起一条比较安全的数据链路。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍；显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例所提供面向空间环境的安全的时间同步方法流程示意图；

图2为本发明实施例所提供的协议安全增强认证的过程示意图；

图3为本发明实施例所提供的时间同步阶段的过程示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

下面结合附图对本发明实施例作进一步地详细描述。如图1所示为本发明实施例所提供面向空间环境的安全的时间同步方法流程示意图，所述方法包括：

少骤11：首先进行协议安全增强认证

在该步骤中，具体是通过表示有通信双方身份的数字证书交换来实现身份认证，防止攻击者假冒终端干扰或授权错误时间戳，同时双方共同协商后续时间同步阶段的数据传输密钥，以保证时间同步的完整、安全进行。

具体实现中，如图2所示为本发明实施例所提供的协议安全增强认证的过程示意图，所述协议安全增强认证的具体过程为：

首先，客户端向服务端发送client hello消息，具体包括：客户端包含有一对对称密钥，即客户端公钥PC和客户端私钥VC，对客户端公钥和客户端的信息取摘要HC，使用对称密钥VCA加密客户端公钥PC和HC生成客户端证书CAc，并上注到客户端；所述客户端生成一段随机数据Rdatal取摘要后使用客户端公钥PC加密成随机数据Rcdatal；再将客户端证书CAc、随机数据明文和Rcdatal生成报文，将全部报文数据信息取摘要MC，并放到数据包尾以验证数据完整性，再发送给服务端；

然后，所述服务端向所述客户端回复server hello消息，具体包括：所述服务端校验所收到的数据包的完整性，使用对称密钥PCA从客户端证书CAc中解出所述客户端的客户端公钥PC，然后使用客户端公钥PC解出随机数据明文跟Rcdatal数据作对比，校验所述客户端的身份；所述服务端也包含有一对对称密钥，即服务端公钥PS和服务端私钥VS，对服务端公钥PS和服务端信息取摘要HS，使用对称密钥VCA加密服务端公钥PS和HS生成服务端证书CAS，并上注到服务端；所述服务端生成一段随机数据Rdata2取摘要后使用服务端公钥PS加密成随机数据Rsdata2；所述服务端同时生成两个随机数RS1和RS2，并分别使用服务端私钥VS、提前协商好的对称密钥RAB进行加密，再将所述服务端证书CAS、Rsdata2、加密后的随机数RS1和RS2以及全部报文数据的摘要放到数据包末尾后回复给所述客户端；

所述客户端再向所述服务端发送client done消息，具体包括：所述客户端在收到所述服务端回复的数据包之后，首先对所述数据包的完整性进行校验，使用对称密钥PCA从服务端证书CAS中解出所述服务端的服务端公钥PS；然后使用服务端公钥PS解出随机数据跟Rcdatal数据作对比，以校验所述服务端的身份；所述客户端再使用服务端公钥PS和提前协商好的对称密钥RAB解出两个随机数RS1和RS2，同时客户端也生成两个随机数RC1和RC2，并分别使用客户端私钥VC和RAB进行加密；然后将两个随机数RC1、RC2及数据包哈希值发送给所述服务端；

所述服务端再向所述客户端回复server done消息，具体包括：所述服务端再收到数据包后，从数据包中解出客户端生成的两个随机数RC1和RC2，并结合自身生成的两个随机数RS1和RS2，使用PRF算法(这里，PRF算法是一种伪随机数算法，具体是通过对两个随机数带密钥的MD5签名算法和带密钥SHA签名算法得到的结果异或而得到传输密钥。)及四个随机数生成传输数据的密钥Kmaster，并更新RAB的值，获取RAB的前16个字节的内容和RS1，RC1使用PRF算法生成RABnew；然后所述服务端对所述客户端随机生成一个SessionID，以完成密钥协商过程。

步骤12：再完成协议安全增强认证之后进入时间同步阶段，具体由客户端与服务端交换时间戳，并由所述客户端根据传输数据报重置本地时间，达到时间同步的目的。

在该步骤中，如图3所示为本发明实施例所提供的时间同步阶段的过程示意图，所述时间同步阶段的具体过程为：

首先进行时钟偏移测量，具体包括：主时钟向从时钟发送同步Sync数据包，并同时在Sync数据包的原始时间戳originTimestamp字段中记录时间戳T1，当从时钟接收到主时钟发送的Sync数据包时记录所述Sync数据包到达的时间戳T2；然后主时钟把Sync数据包中的发送时间戳T1存储在Follow_Up包的精确源时间戳preciseOriginTimestamp字段中，发送给从时钟；

然后进行时钟延迟测量，具体包括：从时钟发送Delay_Req包给主时钟，记录发送时间戳T3到原始时间戳originTimestamp字段中，当主时钟接收到从时钟发送的Delay_Req包时记录接收时间戳T4；然后主时钟将时间戳T4存储在Delay_Resp数据包中发送给从时钟；

所述客户端根据上述四个时间戳计算准确时间，并重置时钟，具体包括：从时钟获取到四个时间戳T1，T2，T3，T4之后，根据这些时间戳计算出偏移量和传播延迟，具体公式如下：

Delay＝((t2-t1)+(t4-t3))/2

Offset＝((t4-t3)-(t2-t1))/2；

再由所述客户端根据所计算出偏移量和传播延迟计算准确时间，并重置本地时间，达到时间同步的目的。

山以上实施例可知，由于空间节点的节点运算能力有限、链路延迟高等，所以本发明实施例所提供的方法在尽可能保证安全的情况下减少计算量和数据传输量，通信双方通过初始共享的密钥，验证身份，然后协商传输密钥，从而在不安全的开放信道上建立起一条比较安全的数据链路。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (3)

1.一种面向空间环境的安全的时间同步方法，其特征在于，所述方法包括：

首先进行协议安全增强认证，具体是通过表示有通信双方身份的数字证书交换来实现身份认证，同时双方共同协商后续时间同步阶段的数据传输密钥；

再完成协议安全增强认证之后进入时间同步阶段，具体由客户端与服务端交换时间戳，并由所述客户端根据传输数据报重置本地时间，达到时间同步的目的。

2.如权利要求1所述面向空间环境的安全的时间同步方法，其特征在于，所述协议安全增强认证的具体过程为：

首先，客户端向服务端发送client hello消息，具体包括：客户端包含有一对对称密钥，即客户端公钥PC和客户端私钥VC，对客户端公钥和客户端的信息取摘要HC，使用对称密钥VCA加密客户端公钥和HC生成客户端证书CAc，并上注到客户端；所述客户端生成一段随机数据Rdatal取摘要后使用客户端公钥加密成随机数据Rcdatal；再将客户端证书、随机数据明文和Rcdatal生成报文，将全部报文数据信息取摘要MC，并放到数据包尾以验证数据完整性，再发送给服务端；

然后，所述服务端向所述客户端回复server hello消息，具体包括：所述服务端校验所收到的数据包的完整性，使用对称密钥PCA从客户端证书中解出所述客户端的客户端公钥，然后使用客户端公钥解出随机数据明文跟Rcdatal数据作对比，校验所述客户端的身份；所述服务端也包含有一对对称密钥，即服务端公钥PS和服务端私钥VS，对服务端公钥和服务端信息取摘要HS，使用对称密钥VCA加密服务端公钥和HS生成服务端证书CAS，并上注到服务端；所述服务端生成一段随机数据Rdata2取摘要后使用服务端公钥加密成随机数据Rsdata2；所述服务端同时生成两个随机数RS1和RS2，并分别使用服务端私钥、提前协商好的对称密钥RAB进行加密，再将所述服务端证书、Rsdata2、加密后的随机数RS1和RS2以及全部报文数据的摘要放到数据包末尾后回复给所述客户端；

所述客户端再向所述服务端发送cliont done消息，具体包括：所述客户端在收到所述服务端回复的数据包之后，首先对所述数据包的完整性进行校验，使用对称密钥PCA从服务端证书中解出所述服务端的服务端公钥；然后使用服务端公钥解出随机数据跟Rcdatal数据作对比，以校验所述服务端的身份；所述客户端再使用服务端公钥和提前协商好的对称密钥RAB解出两个随机数RS1和RS2，同时客户端也生成两个随机数RC1和RC2，并分别使用客户端私钥VC和RAB进行加密；然后将两个随机数RC1、RC2及数据包哈希值发送给所述服务端；

所述服务端再向所述客户端回复server done消息，具体包括：所述服务端再收到数据包后，从数据包中解出客户端生成的两个随机数RC1和RC2，并结合自身生成的两个随机数RS1和RS2，使用PRF算法及四个随机数生成传输数据的密钥Kmaster，并更新RAB的值，获取RAB的前16个字节的内容和RS1，RC1使用PRF算法生成RABnew；然后所述服务端对所述客户端随机生成一个SessionID，以完成密钥协商过程。

3.如权利要求1所述面向空间环境的安全的时间同步方法，其特征在于，所述时间同步阶段的具体过程为：

首先进行时钟偏移测量，具体包括：主时钟向从时钟发送同步Sync数据包，并同时在Sync数据包的原始时间戳originTimestamp字段中记录时间戳T1，当从时钟接收到主时钟发送的Sync数据包时记录所述Sync数据包到达的时间戳T2；然后主时钟把Sync数据包中的发送时间戳T1存储在Follow_Up包的精确源时间戳preciseOriginTimestamp字段中，发送给从时钟；

然后进行时钟延迟测量，具体包括：从时钟发送Delay_Req包给主时钟，记录发送时间戳T3到原始时间戳originTimestamp字段中，当主时钟接收到从时钟发送的Delay_Req包时记录接收时间戳T4；然后主时钟将时间戳T4存储在Delay_Resp数据包中发送给从时钟；

所述客户端根据上述四个时间戳计算准确时间，并重置时钟，具体包括：从时钟获取到四个时间戳T1，T2，T3，T4之后，根据这些时间戳计算出偏移量和传播延迟，具体公式如下：

Delay＝((t2-t1)+(t4-t3))/2

Offset＝((t4-t3)-(t2-t1))/2；

再由所述客户端根据所计算出偏移量和传播延迟计算准确时间，并重置本地时间，达到时间同步的目的。