CN108540461A - 一种基于滑动时间窗口的IPv6地址跳变主动防御方法 - Google Patents

一种基于滑动时间窗口的IPv6地址跳变主动防御方法 Download PDF

Info

Publication number
CN108540461A
CN108540461A CN201810254708.8A CN201810254708A CN108540461A CN 108540461 A CN108540461 A CN 108540461A CN 201810254708 A CN201810254708 A CN 201810254708A CN 108540461 A CN108540461 A CN 108540461A
Authority
CN
China
Prior art keywords
saltus step
time window
ipv6
communication
address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810254708.8A
Other languages
English (en)
Other versions
CN108540461B (zh
Inventor
王禹
陈素霞
孔亚洲
黄全振
柏杏丽
张连成
李松阳
王淼
李嘉宾
张艳杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ningbo Zhongke Intelligent Computing Technology Co.,Ltd.
Original Assignee
Henan Institute of Engineering
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Henan Institute of Engineering filed Critical Henan Institute of Engineering
Priority to CN201810254708.8A priority Critical patent/CN108540461B/zh
Publication of CN108540461A publication Critical patent/CN108540461A/zh
Application granted granted Critical
Publication of CN108540461B publication Critical patent/CN108540461B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/27—Evaluation or update of window size, e.g. using information derived from acknowledged [ACK] packets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2557—Translation policies or rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种基于滑动时间窗口的IPv6地址跳变主动防御方法，在IPv6通信发起者和IPv6通信接收者之间对滑动窗口大小、跳变间隔时长等参数的协商的基础上，执行基于IPv6地址跳变的通信过程，由于引入了时间窗口自适应调整算法，使IPv6节点间的通信呈现随机化、动态化的特点，且能适应较复杂的网络环境；本发明针对IPv6网络节点地址跳变过程中存在的同步延迟高、事件触发难和通信效率低等问题，借鉴移动目标防御技术思路，提出基于滑动时间窗口的IPv6地址跳变主动防御方法，能够在保证端节点间通信整体效率的前提下，增大对于攻击者探测的代价，提高IPv6节点间通信的安全性。

Description

一种基于滑动时间窗口的IPv6地址跳变主动防御方法
技术领域
本发明涉及一种面向IPv6主机通信的主动防御方法，尤其是结合滑动时间窗口进行跳变的主动防御方法。
背景技术
IPv6网络恢复了端到端通信，每个IPv6节点对应一个全球可路由的单播地址。由于地址空间的充足，无需再使用网络地址转换(Network Address Translation,NAT)等技术。在此情况下，攻击者能够更加准确的对目标IPv6节点实施探测攻击，因此如何增强IPv6通信的隐蔽性，保证IPv6节点的安全性已受到愈来愈多的关注。
移动目标防御(Moving Target Defense,MTD)是美国提出的“改变游戏规则”的革命性技术之一，旨在增加信息系统随机性、多样性和动态性，从而提升攻击难度与代价。地址跳变(Address Hopping,AH)是指通信双方按照既定协议伪随机地改变通信地址，实现网络主动防御，是移动目标防御在网络层的一种典型应用。现有的地址跳变技术主要存在以下三方面的问题，一是依赖时间同步机制，对网络延迟等要求较高；二是依赖事件触发机制，相应报文存在被截获的可能；三是地址跳变过程中容易产生数据包的丢失，影响会话效率。
发明内容
本发明为了解决IPv6网络节点地址跳变过程中存在的延迟高、触发难和效率低等问题，提出一种基于滑动时间窗口的IPv6地址跳变主动防御方法(Address Hopping basedon Sliding Time Window in IPv6，AHSTW)，通信双方利用共享密钥协商地址跳变参数，引入时间窗口机制，通信双方仅接收处于时间窗口内的通信数据包，既保证了通信安全性，又保证了通信效率。
本发明所采用的技术方案：
一种基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：包括下述步骤：
1)定义该方法中的发送时间窗口(Sender Time Window)为：通信发送者向接收者发送数据包的窗口；
2)定义该方法中的接收时间窗口(Receiver Time Window)为：通信接收者接收发送者数据包的窗口；
3)定义该方法中的地址跳变间隔为：通信双方根据地址跳变方案从一个IPv6地址跳变到下一个IPv6地址的时间间隔；
4)定义该方法中的参数协商过程为：通信双方对滑动窗口大小、跳变间隔时长等参数进行协商的过程；
5)定义该方法中的地址跳变通信过程为：参数协商完成后，通信双方进行通信的过程。
6)当通信发起者初次与通信接收者进行通信，或通信发起者欲更改时间窗口等参数时，将执行参数协商过程。
7)当参数协商过程完成之后，通信发起者与通信接收者将执行地址跳变通信过程。
步骤1)中发送时间窗口和步骤2)中接收时间窗口，均需要利用时间窗口自适应调整算法进行计算。时间窗口自适应调整算法根据IPv6网络传输往返时延(Round-TripTime，RTT)，自适应调整通信双方的时间窗口。时间窗口自适应调整算法为：
步骤6)的参数协商过程包括：①通信发起者生成随机数Nonce、地址跳变间隔τ、以及发送者时间窗口stw(stw≥1)；②通信发起者将Nonce、τ和stw加密后发送至通信接收者；③通信接收者接收后解密，利用三个参数信息生成接收者时间窗口rtw(rtw≥stw)，并向通信发起者确认；④如果通信发起者受到了确认，则可以进行跳变通信，如果没有收到确认，则返回①重新执行。
步骤7)的地址跳变通信过程包括：①通信发起者和通信接收者生成一个哈希链(Hashchain)；②根据哈希链生成跳变地址信息列表(Address Hopping List，AHL)；③通信发起者和通信接收者根据地址跳变间隔τ和各自当前系统时间Tcurrent进行地址跳变，选择采用跳变地址信息列表中的某一项实施通信过程。
步骤7)地址跳变通信过程中，哈希链hashchain＝{hc0,hc1,...,hcn}的生成公式为：
其中，Hashi(nonce)＝Hashi-1(Hash(nonce))。
步骤7)地址跳变通信过程中，跳变地址信息列表的表项生成公式为：
本发明的有益积极效果：
1、本发明鉴于IPv6地址暴露于网络的易探测特征，利用主动防御能够有效扰乱潜在攻击者对于端地址的窥测和对通信流量的分析。
2、本发明提出基于滑动时间窗口的IPv6地址跳变，为下一代互联网移动目标防御的研究和应用具有非常重要的理论价值和现实意义。
3、本发明提出的基于滑动时间窗口的IPv6地址跳变模型，通过引入时间窗口自适应调整算法，使IPv6节点间的通信呈现随机化、动态化的特点，且能适应较复杂的网络环境。
4、本发明在保证IPv6节点间通信的安全性的同时，能够保证其通信的整体效率不受太大影响。同时，对外表现出较好的抗流量截获分析能力和抗DoS攻击能力。
附图说明
图1为基于滑动时间窗口的IPv6地址跳变模型结构；
图2为跳变地址信息列表的表项结构图；
图3为滑动时间窗口基本思想示意图。
具体实施方式
下面结合说明书附图对本发明进行详细说明：图1中，其中Alice和Bob为模型中的IPv6通信节点，Alice为通信发起者，Bob为通信接收者。AR表示IPv6子网的接入路由器；虚线单向箭头表示通信节点的地址跳变过程，双向实箭头表示通信节点间的通信。
实施例：本发明基于滑动时间窗口的IPv6地址跳变主动防御方法，具体包括下述步骤：
步骤1：以Alice与Bob之间的通信为例，当Alice初次与Bob进行通信或Alice欲更改时间窗口等参数时，将执行参数协商过程；
步骤2：当Alice与Bob之间完成参数传递与确认之后，双方进行基于滑动时间窗口的IPv6地址跳变通信过程。
下面详细说明步骤1和步骤2所包含的相关内容：
(一)步骤1：
①首先，Alice以时间戳为种子生成一个随机数nonce，同时，生成一个地址跳变间隔τ和发送者时间窗口stw(stw≥1)，即：
Alice:nonce＝GenerateRandom(seedtimestamp),stw＝GenerateSTW()
②之后，Alice将随机数nonce、地址跳变间隔τ和发送者时间窗口stw用共享密钥key加密后发送给Bob，即：
Alice→Bob:Encryptkey(nonce|τ|stw)
③Bob收到Alice发送的消息后，用共享密钥进行解密并提取出其中的参数信息，生成接收者时间窗口rtw(rtw≥stw)，然后向Alice发送确认消息；
Bob:Decryptkey(nonce|τ|stw)
rtw＝GenerateRTW(stw)
Bob→Alice:Encryptkey(Ack)
④Alice判断是否收到Bob发回的确认消息，若未收到，返回①；若收到，Alice和Bob将进行地址跳变通信过程。
(二)步骤1中的时间窗口自适应调整：
实际IPv6通信过程中的网络时延是不可避免的，包括发送时延Delaysend、传输时延Delaytransit、处理时延Delayhandle和排队时延Delayqueue等，为提高跳变通信模型的适应能力，采用时间窗口自适应调整算法(Time Window Adaptive Adjustment Algorithm,TWAA)，其基本思想是根据IPv6网络传输往返时延(Round-Trip Time,RTT)自适应调整通信双方的时间窗口。具体算法如表1所示：
表1时间窗口自适应调整算法
在TWAA算法中，假设发送者与接收者之间的传输时延是相同的，且只考虑接收者回复数据包时的处理时延、排队时延和发送时延。通过TWAA算法，通信双方能够自适应调整时间窗口的大小，保证数据传输的效率与网络环境适应能力，其中stw≤rtw，因为发送者时间窗口若大于接收者时间窗口，容易出现以下问题，即发送者的数据包到达接收者后，接收者判断出可接收时间已超出窗口范围，接收者丢弃该数据包，引起通信效率降低或终止等后果。
滑动时间窗口的基本思想如图3，由图3可知，根据TWAA算法，发送者在时间窗口内选择IPv6地址和端口与接收者进行通信，每经过地址跳变间隔，通信双方的时间窗口就向前滑动一次。
(三)步骤2：
①Alice和Bob按照以下公式(1)生成一个哈希链hashchain＝{hc0,hc1,...,hcn}：
其中，Hashi(nonce)＝Hashi-1(Hash(nonce))。
②Alice和Bob根据哈希链hashchain生成跳变地址信息列表(Address HoppingList，AHL)，该表中的每项通过下面公式(2)生成，每个表项的结构如图2所示。
③Alice和Bob根据地址跳变间隔τ和各自当前系统时间Tcurrent进行地址跳变，进而决定采用AHL中的哪一项进行通信。假设初始系统时间为Tinit，那么从初始系统时间到当前系统时间所经过的地址跳变间隔次数可由下面公式(3)计算：
如果Indexold＜Indexnew，那么Indexold←Indexnew，按照公式(1)和公式(2)分别计算和
如果Indexold＝Indexnew，那么Alice和Bob按照中的信息进行通信，此过程可描述为：
Extract(SuffixAlice,PortAlice,SuffixBob,PortBob)
其中，tupleAlice＝＜PrefixAlice||SuffixAlice,PortAlice＞，且
tupleBob＜PrefixBob||SuffixBob,PortBob＞。
以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (7)

1.一种基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：包括下述步骤：
1)定义该方法中的发送时间窗口为：通信发送者向接收者发送数据包的窗口；
2)定义该方法中的接收时间窗口为：通信接收者接收发送者数据包的窗口；
3)定义该方法中的地址跳变间隔为：通信双方根据地址跳变方案从一个IPv6地址跳变到下一个IPv6地址的时间间隔；
4)定义该方法中的参数协商过程为：通信双方对滑动窗口大小、跳变间隔时长等参数进行协商的过程；
5)定义该方法中的地址跳变通信过程为：参数协商完成后，通信双方进行通信的过程；
6)当通信发起者初次与通信接收者进行通信，或通信发起者欲更改时间窗口等参数时，将执行参数协商过程；
7)当参数协商过程完成之后，通信发起者与通信接收者将执行地址跳变通信过程。
2.根据权利要求1所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：步骤1)中发送时间窗口和步骤2)中接收时间窗口，均需要利用时间窗口自适应调整算法进行计算。
3.根据权利要求2所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：所述时间窗口自适应调整算法根据IPv6网络传输往返时延，自适应调整通信双方的时间窗口，时间窗口自适应调整算法为：
4.根据权利要求1所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：步骤6)的参数协商过程包括：①通信发起者生成随机数Nonce、地址跳变间隔τ、以及发送者时间窗口stw(stw≥1)；②通信发起者将Nonce、τ和stw加密后发送至通信接收者；③通信接收者接收后解密，利用三个参数信息生成接收者时间窗口rtw(rtw≥stw)，并向通信发起者确认；④如果通信发起者受到了确认，则可以进行跳变通信，如果没有收到确认，则返回①重新执行。
5.根据权利要求1所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：步骤7)的地址跳变通信过程包括：①通信发起者和通信接收者生成一个哈希链(Hashchain)；②根据哈希链生成跳变地址信息列表(Address Hopping List，AHL)；③通信发起者和通信接收者根据地址跳变间隔τ和各自当前系统时间Tcurrent进行地址跳变，选择采用跳变地址信息列表中的某一项实施通信过程。
6.根据权利要求5所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：所述地址跳变通信过程中，哈希链hashchain＝{hc0,hc1,...,hcn}的生成公式为：
其中，Hashi(nonce)＝Hashi-1(Hash(nonce))。
7.根据权利要求5所述的基于滑动时间窗口的IPv6地址跳变主动防御方法，其特征是：所述地址跳变通信过程中，跳变地址信息列表的表项生成公式为：
CN201810254708.8A 2018-03-26 2018-03-26 一种基于滑动时间窗口的IPv6地址跳变主动防御方法 Active CN108540461B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810254708.8A CN108540461B (zh) 2018-03-26 2018-03-26 一种基于滑动时间窗口的IPv6地址跳变主动防御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810254708.8A CN108540461B (zh) 2018-03-26 2018-03-26 一种基于滑动时间窗口的IPv6地址跳变主动防御方法

Publications (2)

Publication Number Publication Date
CN108540461A true CN108540461A (zh) 2018-09-14
CN108540461B CN108540461B (zh) 2020-09-11

Family

ID=63484855

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810254708.8A Active CN108540461B (zh) 2018-03-26 2018-03-26 一种基于滑动时间窗口的IPv6地址跳变主动防御方法

Country Status (1)

Country Link
CN (1) CN108540461B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113595769A (zh) * 2021-07-09 2021-11-02 武汉大学 一种跳变网络多节点网络延迟时间窗计算方法
CN114024623A (zh) * 2021-11-03 2022-02-08 中南大学 一种波长攻击方法、主动防御方法及用其的连续变量量子通信系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101267312A (zh) * 2008-04-30 2008-09-17 中兴通讯股份有限公司 一种网络中防止地址冲突检测欺骗的方法
CN101931627A (zh) * 2010-08-26 2010-12-29 福建星网锐捷网络有限公司 安全检测方法、装置和网络侧设备
CN101945143A (zh) * 2010-09-16 2011-01-12 中兴通讯股份有限公司 一种在混合组网下防止报文地址欺骗的方法及装置
US20170272242A1 (en) * 2016-03-17 2017-09-21 Christopher F. Morrell Process and system for establishing a moving target connection for secure communications in client/server systems

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101267312A (zh) * 2008-04-30 2008-09-17 中兴通讯股份有限公司 一种网络中防止地址冲突检测欺骗的方法
CN101931627A (zh) * 2010-08-26 2010-12-29 福建星网锐捷网络有限公司 安全检测方法、装置和网络侧设备
CN101945143A (zh) * 2010-09-16 2011-01-12 中兴通讯股份有限公司 一种在混合组网下防止报文地址欺骗的方法及装置
US20170272242A1 (en) * 2016-03-17 2017-09-21 Christopher F. Morrell Process and system for establishing a moving target connection for secure communications in client/server systems

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
刘慧生 等: "一种基于多穴跳变的IPv6主动防御模型", 《电子与信息学报》 *
马子川 等: "基于滑动地址窗口的IPv6动态地址隧道模型", 《电信科学》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113595769A (zh) * 2021-07-09 2021-11-02 武汉大学 一种跳变网络多节点网络延迟时间窗计算方法
CN113595769B (zh) * 2021-07-09 2022-06-07 武汉大学 一种跳变网络多节点网络延迟时间窗计算方法
CN114024623A (zh) * 2021-11-03 2022-02-08 中南大学 一种波长攻击方法、主动防御方法及用其的连续变量量子通信系统
CN114024623B (zh) * 2021-11-03 2023-06-30 中南大学 一种主动防御方法

Also Published As

Publication number Publication date
CN108540461B (zh) 2020-09-11

Similar Documents

Publication Publication Date Title
Kong et al. ANODR: Anonymous on demand routing with untraceable routes for mobile ad-hoc networks
Rohrer et al. Kadcast: A structured approach to broadcast in blockchain networks
Levine et al. Timing attacks in low-latency mix systems
Ling et al. A new cell-counting-based attack against Tor
Thornburgh Adobe's Secure Real-Time Media Flow Protocol
Arena et al. Evaluating and improving the scalability of RPL security in the Internet of Things
Hossain et al. Secupan: A security scheme to mitigate fragmentation-based network attacks in 6lowpan
Shi et al. ARDEN: Anonymous networking in delay tolerant networks
Lu et al. Group-based secure source authentication protocol for VANETs
CN108540461A (zh) 一种基于滑动时间窗口的IPv6地址跳变主动防御方法
Wang et al. T-IP: A self-trustworthy and secure Internet protocol
Jiang et al. A mix route algorithm for mix-net in wireless mobile ad hoc networks
Danezis Covert communications despite traffic data retention
Al-Riyami et al. Impact of hash value truncation on ID anonymity in wireless sensor networks
Salmanian et al. A modular security architecture for managing security associations in MANETs
Ahmad et al. On the secure optimized link state routing (SOLSR) protocol for MANETs
Raoof et al. The effect of buffer management strategies on 6lowpan's response to buffer reservation attacks
Blaze et al. Anonymity in wireless broadcast networks
Liu et al. AEH-MTD: Adaptive moving target defense scheme for SDN
CN106685952A (zh) 一种网络属性随机跳变的控制方法
Fan et al. An efficient privacy-preserving scheme for wireless link layer security
Alicherry et al. Evaluating a collaborative defense architecture for manets
Pirzada et al. Reliable routing in ad hoc networks using direct trust mechanisms
Bai et al. Access control scheme based on fuzzy identity in opportunistic network
Shokri et al. Anonymous routing in manet using random identifiers

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20230904

Address after: 518102 Mingyou Procurement Center A808, Baoyuan Road, Xixiang Street, Bao'an District, Shenzhen City, Guangdong Province

Patentee after: Shenzhen Lingwuerlu Technology Co.,Ltd.

Address before: 451191 No. 1 Xianghe Road, Longhu Town, Zhengzhou City, Henan Province

Patentee before: HENAN INSTITUTE OF ENGINEERING

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20231222

Address after: 9-6, No. 38, Building 7, East Zone, Ningbo New Materials Innovation Center, High tech Zone, Ningbo City, Zhejiang Province, 315100

Patentee after: Ningbo Zhongke Intelligent Computing Technology Co.,Ltd.

Address before: 518102 Mingyou Procurement Center A808, Baoyuan Road, Xixiang Street, Bao'an District, Shenzhen City, Guangdong Province

Patentee before: Shenzhen Lingwuerlu Technology Co.,Ltd.