CN109040121A - 基于rssp-ii协议的分布式拒绝服务攻击的防护方法 - Google Patents

基于rssp-ii协议的分布式拒绝服务攻击的防护方法 Download PDF

Info

Publication number
CN109040121A
CN109040121A CN201811072667.7A CN201811072667A CN109040121A CN 109040121 A CN109040121 A CN 109040121A CN 201811072667 A CN201811072667 A CN 201811072667A CN 109040121 A CN109040121 A CN 109040121A
Authority
CN
China
Prior art keywords
communication
ctcs
equipment
data packet
rssp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201811072667.7A
Other languages
English (en)
Inventor
王剑
蔡伯根
董宁
田开元
廖元媛
罗珍珍
王�锋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jiaotong University
China Railway Corp
Original Assignee
Beijing Jiaotong University
China Railway Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jiaotong University, China Railway Corp filed Critical Beijing Jiaotong University
Priority to CN201811072667.7A priority Critical patent/CN109040121A/zh
Publication of CN109040121A publication Critical patent/CN109040121A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明提供了一种基于RSSP‑II协议的分布式拒绝服务攻击的防护方法，属于铁路运输通信安全技术领域，该方法对进行对等实体身份验证的数据包采用加密传输；收集整理合法车地设备的ID；每一个车地设备存储与之通信的其他车地设备的设备编号存入CTCS‑ID表；更新所述CTCS‑ID表；通信方A把请求建立安全连接的通信方B的ID与CTCS‑ID表进行过滤检查，验证其合法性；若通信方B的ID与CTCS‑ID表中所有的ID均不相同，则判定通信方B的ID伪造，断开通信连接。本发明高铁通信时CTCS‑ID作为设备的唯一标识符，通过CTCS‑ID对通信设备的数据包进行过滤，筛选出伪造的数据包，只接受合法的数据包，保证通信的正常进行。

Description

基于RSSP-II协议的分布式拒绝服务攻击的防护方法
技术领域
本发明涉及铁路运输通信安全技术领域，具体涉及一种基于RSSP-II协议的分布式拒绝服务攻击的防护方法。
背景技术
拒绝服务攻击(DoS攻击)，是一类个人或多人利用Internet协议的一些漏洞，占用计算机有限的通信资源，导致拒绝其他用户对系统和信息的合法访问的攻击。而分布式拒绝服务的特点是集中了成百上千台的机器同时进行攻击，致使服务器瘫痪而无法进行正常工作。
RSSP-II(Railway Signal Security Protocol-II)协议能提高RBC与其他铁路设备之间无线通信以及地面设备之间网络通信的安全性，但是也还不够完善，仍旧存在一些安全隐患。目前CTCS-3级的高铁采用的是基于GSM-R的铁路无线移动通信的方式进行车地通信，在建立安全连接的会话过程中，需要进行对等实体身份的验证，进行类似TCP/IP的三次握手通信，故而会存在SYN flooding的拒绝服务的威胁。
发明内容
本发明的目的在于提供一种基于实际的铁路信号系统信息安全的场景，针对RSSP-II协议，在CTCS-3级列控通信过程中存在的拒绝服务攻击的潜在威胁进行安全防护，以确保铁路的正常通信不受影响的基于RSSP-II协议的分布式拒绝服务攻击的防护方法，以解决上述背景技术中存在的技术问题。
为了实现上述目的，本发明采取了如下技术方案：
本发明提供的一种基于RSSP-II协议的分布式拒绝服务攻击的防护方法，该方法包括如下步骤：
步骤S110：对进行对等实体身份验证的数据包采用加密传输；
步骤S120：收集整理合法车地设备的ID；
步骤S130：每一个车地设备存储与之通信的其他车地设备的设备编号存入CTCS-ID表；
步骤S140：更新所述CTCS-ID表；
步骤S150：通信方A把请求建立安全连接的通信方B的ID与CTCS-ID表进行过滤检查，验证其合法性；
步骤S160：若通信方B的ID与CTCS-ID表中所有的ID均不相同，则判定通信方B的ID伪造，断开通信连接。
进一步的，所述步骤S110包括：对进行对等实体身份验证的数据包采用3-DES对称加密算法进行加密。
进一步的，所述步骤S130包括：
在车地通信建立安全连接会话期间，检查通信数据包的标志位，所述通信数据包设有标志位0或1，用于验证通信方向的正确性。
进一步的，所述步骤S140包括：把通信双方的CTCS-ID与所有合法的CTCS-ID存储集合检查，验证其合法性；
当通信集群中有设备更新加入或淘汰删除时，更新CTCS-ID表的内容；
经过周期T时间后定期更新CTCS-ID的内容。
本发明有益效果：高铁通信时，将CTCS-ID作为通信设备的唯一标识符进行智能过滤，对基于GSM-R无线通信的分布式拒绝服务攻击进行有效防护。
本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例所述的RSSP-II协议的架构图。
图2为本发明实施例所述的车地设备通信时数据加密过程示意图。
图3为本发明实施例所述的对等实体身份验证会话通信过程示意图。
图4为本发明实施例所述的基于RSSP-II协议的分布式拒绝服务攻击的防护方法流程示意图。
图5为本发明实施例所述的3-DES加密算法流程图。
具体实施方式
下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的模块。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或模块，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、模块和/或它们的组。
本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。
为便于对本发明实施例的理解，下面将结合附图以具体实施例为例做进一步的解释说明，且实施例并不构成对本发明实施例的限定。
本领域普通技术人员应当理解的是，附图只是一个实施例的示意图，附图中的部件或装置并不一定是实施本发明所必须的。
实施例
如图4所示，本发明提供的一种基于RSSP-II协议的分布式拒绝服务攻击的防护方法，该方法主要包括以下步骤：
步骤S110：对进行对等实体身份验证的数据包采用加密传输；
步骤S120：收集整理合法车地设备的ID；
步骤S130：每一个车地设备存储与之通信的其他车地设备的设备编号存入CTCS-ID表；
步骤S140：更新所述CTCS-ID表；
步骤S150：通信方A把请求建立安全连接的通信方B的ID与CTCS-ID表进行过滤检查，验证其合法性；
步骤S160：若通信方B的ID与CTCS-ID表中所有的ID均不相同，则判定通信方B的ID伪造，断开通信连接。
本发明实施例提供的防护方法，首先验证在RSSP-II协议消息鉴别安全层，检验其数据包标志位的值，判断通信是否异常。其中0代表通信发起方，1代表通信应答方。通过验证标志位可以大致筛选通信数据包，进行一次简单的过滤。
如图3、图5所示，在对等实体身份验证时，对通信的明文进行3-DES加密，以密文的方式传输。在通信设备中存储与之合法通信的车地设备的CTCS-ID。在通信会话期间，对于接受到的CTCS-ID对比存储的合法设备编号集合，验证此次身份验证会话是否正常。若检查CTCS-ID正常，则通信正常进行。若检查CTCS-ID伪造，则立刻断开通话连接。
在铁路信号系统领域，为了保障铁路通信的网络安全，我国制定了本国的铁路通信协议，针对开放环境下的通信协议RSSP进行研究，如图1所示，为安全通信系统(即RSSP-II协议)的结构。
为了保证铁路信号的安全，我们在正常的协议中增加安全模块，保障铁路通信安全。
在本发明的具体实施例中，车地通信时，必须建立安全连接，在建立安全连接之前，首先需要对等实体之间进行身份验证，如图2所示。
在验证身份的会话中，可能会出现类似SYN flooding的分布式拒绝服务的攻击。
如图2所示，为通信发起方A、应答方B和密钥中心的关系。A向B发起通信请求，如图2中①过程，数据包的内容为随机数Ra和Text，Text包括DF：方向标识、SA：主叫CTCS ID。
被叫方B将随机数Ra和主叫方CTCS-ID，自己生成随机数Rb和被叫CTCS-ID发给密钥中心S，验证A、B的身份，即过程②。
身份验证同时，若身份合法，密钥中心给A、B分配验证密钥KMAC。
A、B根据共享的验证密钥KMAC和随机数Ra,Rb，利用CBC-MAC函数生成会话密钥KSMAC，分别对消息加密，生成MAC安全校验码，和本地生成的MAC校验码进行比较是否相同，来验证消息的完整性和对方的身份。
故攻击者在无线通信的范围内，利用大量可进行无线通信的计算机假冒通信设备，对车地设备发送大量身份验证的请求，即图2中①过程，形成拒绝服务攻击，造成设备无法接受合法设备的通信数据包，扰乱通信秩序。
改变以往通信的明文传输，在车地通信期间，对内容采用3-DES算法加密，保障CTCS-ID的保密性。
在连接请求时，第一防护是先检查数据包Text中的方向标志位，查看数据包是否伪造，若通信标志位的值与实际通信方向不符，则认为此次通信处于不安全的情况，立即断开安全连接。
第二防护为：因为在高铁车地通信的实时场景中，车地通信设备的标号CICS-ID是有限且确定的，我们可以将ID作为过滤判定的可靠元素，通过高铁通信设备的CTCS-ID号来判定通信者身份的合法性。
统计记录每个高铁通信集群中通信设备的编号，即CTCS-ID。
每一个车地通信设备将存储与之通信的设备编号存入一个用来筛选的过滤表，即CTCS-ID表；
对于CTCS-ID表的更新有以下两种触发方式：
当通信集群中有设备更新加入或淘汰删除时，需要更新CTCS ID表的内容。
经过周期T时间后定期的更新CTCS ID的内容(周期T可根据实际情况来合理规定)。
在每次的车地通信时，通信方A把请求建立安全连接并进行通信的一方B的CTCS-ID与自己存储的合法CTCS-ID表进行过滤检查，验证其合法性。
若发现通信方B的ID与CTCS ID表中所有的ID均不相同，则判定其ID伪造，此次通信连接不安全，立刻断开通信连接。
通过以上特有的双防护机制，对攻击者发起的分布式拒绝服务的攻击进行一定的防护。
综上所述，本发明实施例所述的基于RSSP-II协议的分布式拒绝服务攻击的防护方法，通过将CTCS-ID作为通信设备的唯一标识，在通信时对其进行加密标识，实现了车地设备通信时对拒绝式服务攻击的有效防护。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (4)

1.一种基于RSSP-II协议的分布式拒绝服务攻击的防护方法，其特征在于，该方法包括如下步骤：
步骤S110：对进行对等实体身份验证的数据包采用加密传输；
步骤S120：收集整理合法车地设备的ID；
步骤S130：每一个车地设备存储与之通信的其他车地设备的设备编号存入CTCS-ID表；
步骤S140：更新所述CTCS-ID表；
步骤S150：通信方A把请求建立安全连接的通信方B的ID与CTCS-ID表进行过滤检查，验证其合法性；
步骤S160：若通信方B的ID与CTCS-ID表中所有的ID均不相同，则判定通信方B的ID伪造，断开通信连接。
2.根据权利要求1所述的基于RSSP-II协议的分布式拒绝服务攻击的防护方法，其特征在于，所述步骤S110包括：对进行对等实体身份验证的数据包采用3-DES对称加密算法进行加密。
3.根据权利要求2所述的基于RSSP-II协议的分布式拒绝服务攻击的防护方法，其特征在于，所述步骤S130包括：
在车地通信建立安全连接会话期间，检查通信数据包的标志位，所述通信数据包设有标志位0或1，用于验证通信方向的正确性。
4.根据权利要求3所述的基于RSSP-II协议的分布式拒绝服务攻击的防护方法，其特征在于，所述步骤S140包括：把通信双方的CTCS-ID与所有合法的CTCS-ID存储集合检查，验证其合法性；
当通信集群中有设备更新加入或淘汰删除时，更新CTCS-ID表的内容；
经过周期T时间后定期更新CTCS-ID的内容。
CN201811072667.7A 2018-09-14 2018-09-14 基于rssp-ii协议的分布式拒绝服务攻击的防护方法 Pending CN109040121A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811072667.7A CN109040121A (zh) 2018-09-14 2018-09-14 基于rssp-ii协议的分布式拒绝服务攻击的防护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811072667.7A CN109040121A (zh) 2018-09-14 2018-09-14 基于rssp-ii协议的分布式拒绝服务攻击的防护方法

Publications (1)

Publication Number Publication Date
CN109040121A true CN109040121A (zh) 2018-12-18

Family

ID=64621728

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811072667.7A Pending CN109040121A (zh) 2018-09-14 2018-09-14 基于rssp-ii协议的分布式拒绝服务攻击的防护方法

Country Status (1)

Country Link
CN (1) CN109040121A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110267266A (zh) * 2019-07-19 2019-09-20 中国铁路总公司 一种改进的列控系统安全数据交互方法
CN114205327A (zh) * 2021-12-28 2022-03-18 卡斯柯信号有限公司 一种用于轨旁安全平台的动态ip通信方法以及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039326A (zh) * 2007-04-28 2007-09-19 华为技术有限公司 业务流识别方法、装置及分布式拒绝服务攻击防御方法、系统
CN101834864A (zh) * 2010-04-30 2010-09-15 中兴通讯股份有限公司 一种三层虚拟专用网中攻击防范的方法及装置
US20180248908A1 (en) * 2017-02-27 2018-08-30 Arbor Networks, Inc. Algorithmically detecting malicious packets in ddos attacks

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101039326A (zh) * 2007-04-28 2007-09-19 华为技术有限公司 业务流识别方法、装置及分布式拒绝服务攻击防御方法、系统
CN101834864A (zh) * 2010-04-30 2010-09-15 中兴通讯股份有限公司 一种三层虚拟专用网中攻击防范的方法及装置
US20180248908A1 (en) * 2017-02-27 2018-08-30 Arbor Networks, Inc. Algorithmically detecting malicious packets in ddos attacks

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
彭宇飞: "铁路信号安全通信协议仿真测试平台研究", 《中国优秀硕士学位论文全文数据库信息科技辑》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110267266A (zh) * 2019-07-19 2019-09-20 中国铁路总公司 一种改进的列控系统安全数据交互方法
CN110267266B (zh) * 2019-07-19 2022-11-04 中国铁路总公司 一种改进的列控系统安全数据交互方法
CN114205327A (zh) * 2021-12-28 2022-03-18 卡斯柯信号有限公司 一种用于轨旁安全平台的动态ip通信方法以及系统
CN114205327B (zh) * 2021-12-28 2024-02-06 卡斯柯信号有限公司 一种用于轨旁安全平台的动态ip通信方法以及系统

Similar Documents

Publication Publication Date Title
Mallik Man-in-the-middle-attack: Understanding in simple words
US6711400B1 (en) Authentication method
US7610619B2 (en) Method for registering a communication terminal
US7224800B1 (en) System and method for authentication of a roaming subscriber
JP4376711B2 (ja) アクセス管理方法及びその装置
Lopez et al. Cyber security analysis of the European train control system
KR101088852B1 (ko) 인터넷 전화 과금우회 공격 탐지 시스템 및 그 탐지 방법
CN109729080A (zh) 基于区块链域名系统的访问攻击防护方法和系统
CN107360175A (zh) 车联网控车安全方法
CN101136748A (zh) 一种身份认证方法及系统
CN109379338A (zh) 一种Web应用系统SessionID攻击的识别方法
CN1764195A (zh) 一种非对等实体安全等级协商方法
CN105471845A (zh) 防止中间人攻击的通信方法及系统
CN109040121A (zh) 基于rssp-ii协议的分布式拒绝服务攻击的防护方法
CN110944300B (zh) 短信服务系统、转发接口装置及防御服务器
CN103441989B (zh) 一种鉴权、信息处理方法及装置
CN110831009B (zh) 一种无线ap防无线dos攻击的测试方法及测试系统
Mallik et al. Understanding Man-in-the-middle-attack through Survey of Literature
CN111510302A (zh) 一种提高安全通信协议中证书验证效率的方法和系统
CN111049640B (zh) 基于硬件指纹和aes加解密算法的物联网鉴权认证方法
CN106096336A (zh) 软件防破解方法和系统
CN112615721B (zh) 一种基于区块链的空间信息网络的访问接入认证以及权限管理控制流程方法
CN205693897U (zh) Lte电力无线专网的二次身份认证系统
Kambourakis et al. Signaling-oriented DoS attacks in UMTS networks
CN116070225A (zh) Api认证鉴权的方法、系统、运行控制装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20181218

RJ01 Rejection of invention patent application after publication