CN107248911A - 一种基于地址敲门的扩展序列隐蔽认证方法 - Google Patents

Abstract

本发明实施例提供了一种基于地址敲门的扩展序列隐蔽认证方法。客户端通过地址敲门扩展序列的方式进行访问，服务器记录尝试访问序列，并对数据包中地址字段进行提取并认证。本发明将地址敲门序列采用二进制序列的方式表示，通过转化隐藏于源端口字段进行敲门序列的自携带，利用矩阵转置相乘的原理将尝试访问序列与解析得到的序列进行匹配，匹配通过的可信客户端将获取服务或进行通信。

Description

一种基于地址敲门的扩展序列隐蔽认证方法

技术领域

本发明为网络安全领域，涉及一种端口关闭时通信或服务双方身份认证问题，从端口的安全性及身份认证的隐蔽性角度出发设计实现一种基于端址敲门的扩展序列隐蔽认证方法。

背景技术

随着互联网的不断发展，网络信息的不安全性以及系统存在的漏洞导致网络安全问题频发，合理的网络防御策略对保护网络通信双方信息与系统安全具有重要意义。防火墙作为网络防御的第一道屏障通过一定的控制策略对流入流出的网络流量进行控制，正常的网络通信与服务是通过防火墙开放端口进行的。客户端通过固定的端口向服务器发起请求，获取服务或进行信息交换，但开放的端口同时为攻击者提供了便利。攻击者通过扫描获取当前端口信息，进而监听开放的端口窃取信息或发起攻击等，因此端口安全问题引起了研究者的广泛关注。

端口敲门是由M.Krzywinski提出的一种绕过防火墙等安全措施进行认证的方法，可以在端口关闭的情况下进行身份的认证，进而在主机之间建立连接。所谓的敲门是由一个尝试访问系统上关闭端口的序列组成，这些尝试访问的过程被后台进程记录下来，如果尝试序列与预先设定的序列相符合，就可以打开某个端口进行服务与通信。这就像我们要去敲朋友家的门，事先约定暗号，先敲几下，再敲几下，如果敲门序列动作符合我们事先的约定，门则打开，否则就保持关闭，由此实现了在端口关闭的情况下进行身份的认证，从而保证保护端口的安全。但端口敲门是与上层协议有关的一种敲门方式，需要记录对上层端口访问进行验证。地址敲门技术与端口敲门相比最大的优点是与上层协议无关，当敲门尝试到达时，即可通过获取敲门序列的目的地址字段进行验证判断是否为合法的请求。同时地址敲门中采用虚假地址池的方式，从中选择并利用虚假的目的地址进行访问，攻击者无法获取真实地址，保证了被访问服务器的安全。地址敲门是对于一个完整序列的验证，此方式进行服务的请求与通信使网络流量增大且杂乱无章，相对于传统的请求认证方式来说隐蔽性强，同时定期更换虚假地址池能够达到更好地迷惑攻击者的目的。

采用敲门序列进行认证的优点是其伪装成正常的访问尝试对关闭的端口进行访问，在攻击者看来是不可达的访问，实现了认证的隐蔽性与安全性；当攻击者进行截获攻击获取某一序列元素时，由于不能在大量访问中准确识别出完整的敲门序列，部分信息的获取对其来说并无价值，从而抵抗截获攻击；利用敲门序列进行服务的获取，传统的连接方式无法进行访问，从而保证了服务的隐蔽性与安全性。

发明内容

针对上述利用地址敲门进行身份认证的方法，本发明提供了一种地址敲门序列的生成与验证方法，以实现快速识别敲门序列的目的，应用于可信双方通信过程中。地址敲门序列的生成采取随机选取的方式，通信双方共享秘密地址池和秘密数，并从中选取生成随机地址序列，通过序列自携带的方式进行目标序列的设定，无需提前协商固定序列，增加序列灵活性。地址敲门序列的验证利用矩阵转置相乘原理，将尝试访问序列与敲门序列进行匹配，提高验证速度，保证验证的安全性与隐蔽性。

为达到上述目的，提出的一种基于地址敲门的扩展序列隐蔽认证方法，主要包括服务器端和客户端两部分：

客户端部分含有以下几个模块：

地址敲门序列生成模块：从秘密地址池中随机选取随机数量的地址作为敲门序列，将序列转化为二进制形式，即将被选中地址的对应位置置为1；

地址敲门模块：通过序列自携带的方式将秘密数处理后的十进制数作为源端口封装在敲门数据包中，通过发送敲门数据包进行地址敲门；

通信模块：发送请求验证通过后与服务器进行通信；

服务器端部分含有以下几个模块：

尝试敲门数据包监听模块：对尝试敲门序列进行监听，当有数据包来临时，对其源端口与源地址进行初步验证，符合条件的进行下一步解析，否则，继续监听；

地址敲门序列解析模块：将源端口信息利用秘密数进行解析，得到地址敲门的二进制扩展序列，并通过矩阵转置相乘法得到本次敲门的目标常数；

地址敲门序列认证模块：通过秘密地址池验证当前目的地址，验证成功后得当前序列，并将其与目标序列的转置相乘得当前常数后，与目标常数比较相等时本次敲门成功；

通信模块：与身份认证成功的服务器建立连接进行通信。

本发明的进一步技术方案是，还包括可信客户端与服务器共享秘密地址池与秘密数，秘密地址池用于地址敲门序列的选择，秘密数用于敲门序列的隐藏，采用共享秘密地址池与秘密数的方式进行可信客户端与非法用户的识别，利用随机生成的方式进行序列设定，并采用二进制形式对序列进行表示，秘密地址池用于虚假敲门地址的选择，地址池的大小为扩展序列的长度，秘密数用于扩展序列的隐藏，将二进制序列转化为十进制，并利用秘密数将十进制数进一步处理。

本发明的进一步技术方案是，还包括随机生成地址敲门序列并进行序列自携带的数据包封装，采用敲门序列自携带的方式，增加敲门序列的灵活性及抗攻击性，通过将部分二进制序列转化后得到的十进制数作为敲门数据包的源端口封装在数据包中，从而将地址敲门序列隐藏在源端口中进行序列自携带。

本发明的进一步技术方案是，还包括服务器记录分析尝试访问序列，利用矩阵转置相乘的方法验证当前序列与目标序列是否匹配，服务器对解析得到的二进制序列进行验证，采用目标序列自身转置相乘的常数和当前序列与目标序列转置相乘的常数进行比较，相等时即通过验证，将其转化为一维矩阵，利用一维矩阵与一维矩阵的转置进行相乘得到目标常数，当敲门序列中单个尝试验证成功后，将当前序列与目标序列的转置相乘获得当前常数，然后用当前常数与目标常数比较，若成功则本次验证成功。

以上技术方案可以看出，本发明提出一种地址敲门序列的生成与认证方法，敲门序列的生成采用从秘密地址池中随机选择及秘密数处理后的序列自携带方式，使认证序列无规律可循；敲门序列的认证采用二进制序列转置相乘的方法，能够在大量信息中快速识别地址敲门序列，使认证速度增加同时，能够增强身份认证的安全性与隐蔽性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图：

图1为本发明的一种基于地址敲门的扩展隐蔽序列认证方法验证方法流程图；

图2为本发明的一种基于地址敲门的扩展隐蔽序列认证方法的服务器流程图；

图3为本发明的一种基于地址敲门的扩展隐蔽序列认证方法的客户端流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步清楚、完整地描述。

提出的一种基于地址敲门的扩展序列隐蔽认证方法，主要包括服务器端和客户端两部分：

客户端部分含有以下几个模块：

地址敲门序列生成模块：从秘密地址池中随机选取随机数量的地址作为敲门序列，将序列转化为二进制形式，即将被选中地址的对应位置置为1；

地址敲门模块：通过序列自携带的方式将秘密数处理后的十进制数作为源端口封装在敲门数据包中，通过发送敲门数据包进行地址敲门；

通信模块：发送请求验证通过后与服务器进行通信；

服务器端部分含有以下几个模块：

尝试敲门数据包监听模块：对尝试敲门序列进行监听，当有数据包来临时，对其源端口与源地址进行初步验证，符合条件的进行下一步解析，否则，继续监听；

地址敲门序列解析模块：将源端口信息利用秘密数进行解析，得到地址敲门的二进制扩展序列，并通过矩阵转置相乘法得到本次敲门的目标常数；

地址敲门序列认证模块：通过秘密地址池验证当前目的地址，验证成功后得当前序列，并将其与目标序列的转置相乘得当前常数后，与目标常数比较相等时本次敲门成功；

通信模块：与身份认证成功的服务器建立连接进行通信。

本发明的进一步技术方案还包括可信客户端与服务器共享秘密地址池与秘密数，秘密地址池用于地址敲门序列的选择，秘密数用于敲门序列的隐藏，采用共享秘密地址池与秘密数的方式进行可信客户端与非法用户的识别，利用随机生成的方式进行序列设定，并采用二进制形式对序列进行表示，秘密地址池用于虚假敲门地址的选择，地址池的大小为扩展序列的长度，秘密数用于扩展序列的隐藏，将二进制序列转化为十进制，并利用秘密数将十进制数进一步处理。

本发明的进一步技术方案还包括随机生成地址敲门序列并进行序列自携带的数据包封装，采用敲门序列自携带的方式，增加敲门序列的灵活性及抗攻击性，通过将部分二进制序列转化后得到的十进制数作为敲门数据包的源端口封装在数据包中，从而将地址敲门序列隐藏在源端口中进行序列自携带。

本发明的进一步技术方案还包括服务器记录分析尝试访问序列，利用矩阵转置相乘的方法验证当前序列与目标序列是否匹配，服务器对解析得到的二进制序列进行验证，采用目标序列自身转置相乘的常数和当前序列与目标序列转置相乘的常数进行比较，相等时即通过验证，将其转化为一维矩阵，利用一维矩阵与一维矩阵的转置进行相乘得到目标常数，当敲门序列中单个尝试验证成功后，将当前序列与目标序列的转置相乘获得当前常数，然后用当前常数与目标常数比较，若成功则本次验证成功。

实施例：

本实施例的基础在于，在局域网内部进行客户端与服务器的通信，利用本发明中基于地址敲门的扩展序列隐蔽认证方法进行身份认证。

首先客户端与服务器共享秘密地址池(大小为10)和秘密数a，当客户端要向服务器发起连接验证时，从地址池中随机选取随机数量地址，本次选中IP1，IP4，IP6，IP9作为敲门序列，则敲门序列为(IP₁，0，0，IP4，0，IP6，0，0，IP9，0)。

将敲门序列转化为二进制表示形式，被选中的地址用1表示，序列为(1,0,0,1,0,1,0,0,1,0)。将其看作是一个二进制数0100101001，转换为十进制并用秘密数处理后封装在源端口字段。将敲门序列中被选中地址作为敲门数据包的目的地址字段，利用相同的源端口和源地址逐个发送，等待服务器端响应。

服务器端进行敲门尝试序列的监听，当监听到尝试敲门数据包时，对其进行解析。通过秘密数a与源端口获取本次敲门目标序列的二进制表示0100101001，将二进制表示转化为一维矩阵形式并进行转置相乘(1,0,0,1,0,1,0,0,1,0)*(1,0,0,1,0,1,0,0,1,0)T＝4，即为本次敲门过程的目标数。

验证目标地址是否与秘密地址池中地址相匹配，若匹配成功，将对应位置置为1。例如，当仅有IP1匹配成功时，本次敲门包验证成功，当前序列为(1,0,0,0,0,0,0,0,0,0)。将当前序列与目标序列的转置进行相乘，得(1,0,0,0,0,0,0,0,0,0)*(1,0,0,1,0,1,0,0,1,0)T＝1，检查此值与目标数是否匹配，若匹配则本次敲门过程成功，不匹配时继续监听敲门尝试数据包。

按照此方案，当地址敲门身份验证成功后，服务器端发起通信连接与客户端进行通信。

Claims (4)

1.一种基于地址敲门的扩展序列隐蔽认证方法其特征在于，主要包括服务器端和客户端两部分：

客户端部分含有以下几个模块：

地址敲门序列生成模块：从秘密地址池中随机选取随机数量的地址作为敲门序列，将序列转化为二进制形式，即将被选中地址的对应位置置为1；

地址敲门模块：通过序列自携带的方式将秘密数处理后的十进制数作为源端口封装在敲门数据包中，通过发送敲门数据包进行地址敲门；

通信模块：发送请求验证通过后与服务器进行通信；

服务器端部分含有以下几个模块：

尝试敲门数据包监听模块：对尝试敲门序列进行监听，当有数据包来临时，对其源端口与源地址进行初步验证，符合条件的进行下一步解析，否则，继续监听；

地址敲门序列解析模块：将源端口信息利用秘密数进行解析，得到地址敲门的二进制扩展序列，并通过矩阵转置相乘法得到本次敲门的目标常数；

地址敲门序列认证模块：通过秘密地址池验证当前目的地址，验证成功后得当前序列，并将其与目标序列的转置相乘得当前常数后，与目标常数比较相等时本次敲门成功；

通信模块：与身份认证成功的服务器建立连接进行通信。

2.根据权利要求1所述的一种基于地址敲门的扩展序列隐蔽认证方法，其特征在于，包括可信客户端与服务器共享秘密地址池与秘密数，秘密地址池用于地址敲门序列的选择，秘密数用于敲门序列的隐藏，采用共享秘密地址池与秘密数的方式进行可信客户端与非法用户的识别，利用随机生成的方式进行序列设定，并采用二进制形式对序列进行表示，秘密地址池用于虚假敲门地址的选择，地址池的大小为扩展序列的长度，秘密数用于扩展序列的隐藏，将二进制序列转化为十进制，并利用秘密数将十进制数进一步处理。

3.根据权利要求1所述和权利要求2所述的一种基于地址敲门的扩展序列隐蔽认证方法，其特征在于，包括随机生成地址敲门序列并进行序列自携带的数据包封装，采用敲门序列自携带的方式，增加敲门序列的灵活性及抗攻击性，通过将部分二进制序列转化后得到的十进制数作为敲门数据包的源端口封装在数据包中，从而将地址敲门序列隐藏在源端口中进行序列自携带。

4.根据权利要求3所述的一种基于地址敲门的扩展序列隐蔽认证方法，其特征在于，包括服务器记录分析尝试访问序列，利用矩阵转置相乘的方法验证当前序列与目标序列是否匹配，服务器对解析得到的二进制序列进行验证，采用目标序列自身转置相乘的常数和当前序列与目标序列转置相乘的常数进行比较，相等时即通过验证，将其转化为一维矩阵，利用一维矩阵与一维矩阵的转置进行相乘得到目标常数，当敲门序列中单个尝试验证成功后，将当前序列与目标序列的转置相乘获得当前常数，然后用当前常数与目标常数比较，若成功则本次验证成功。