CN110098939B - 消息认证方法及装置 - Google Patents

Abstract

本发明提供的消息认证方法，包括：按预设的消息发送周期，向消息接收设备发送消息发送设备的设备身份标识，若当前消息发送周期内，存在待发送至消息接收设备的实时数据，则将当前待发送至消息接收设备的实时数据确定为目标实时数据；为目标实时数据分配目标序列号；依据设备身份标识及目标序列号生成第一消息密钥；依据目标实时数据、目标序列号和第一消息密钥生成第一消息认证码；将目标实时数据、目标序列号和第一消息认证码封装为实时数据报文，并将实时数据报文发送至所述消息接收设备，触发消息接收设备对实时数据报文进行消息认证。不依赖于消息发送设备和消息接收设备的时序同步性，使消息接收设备在规模较大的对等网络进行数据源认证。

Description

消息认证方法及装置

技术领域

本发明涉及数据处理领域，特别涉及一种消息认证方法及装置。

背景技术

工业控制系统是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成的，广泛运用于石油、石化、冶金、电力、燃气、煤矿、烟草以及市政等领域，用于控制关键生产设备的运行。这些领域中的工业控制系统一旦遭到破坏，不仅会影响产业经济的持续发展，更会对社会安全造成巨大的损害，因此保障工业控制系统的信息安全至关重要。数据源认证是保障工业控制系统通讯的完整性和来源认证的一种方式。

发明人经过研究发现，现有技术中，对使用对等网络的工业控制系统进行数据源认证时，数据发送设备与数据接收设备交换时间戳，根据时间戳进行数据源认证。这种方式对通信双方的时序同步性有较高要求，不适用于规模较大的对等网络，因此，在工业控制系统领域中，如何实现控制组件在规模较大的对等网络进行数据源认证，成为本领域技术人员迫切解决的问题。

发明内容

本发明所要解决的技术问题是提供一种消息认证方法，将包含有消息认证码的实时数据报文发送至消息接收设备，以触发消息接收设备对所述实时数据报文进行消息认证，使消息发送设备与消息接收设备能在规模较大的对等网络中完成数据源认证。

本发明还提供了一种消息认证装置，用以保证上述方法在实际中的实现及应用。

一种消息认证方法，应用于消息接收设备，所述方法包括：

按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

为所述目标实时数据分配与其对应的目标序列号；

依据所述设备身份标识及所述目标序列号生成第一消息密钥；

依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；

将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

上述的方法，可选的，为所述目标实时数据分配与其对应的目标序列号，包括：

判断所述目标实时数据是否为检测到的当前所述消息发送周期内首个待发送至所述消息接收设备的实时数据；

若是，则获取与当前所述消息发送周期对应的随机数，对所述随机数及预先设定的序列值进行求和运算以获得所述目标实时数据对应的目标序列号；

若否，则获取所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，并对所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，与所述预先设定的序列值进行求和运算，以获得所述目标实时数据对应的目标序列号。

上述的方法，可选的，所述依据所述设备身份标识及所述目标序列号生成第一消息密钥，包括：

将所述设备身份标识和所述目标序列号按预设的拼接顺序进行拼接，获得密钥材料队列；

对所述密钥材料队列进行哈希运算以生成所述第一消息密钥。

上述的方法，可选的，所述依据所述实时数据、所述目标序列号和所述消息密钥生成第一消息认证码，包括：

确定所述目标实时数据的数据大小；

依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；

调用预设设定的消息认证算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；

按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码。

上述的方法，可选的，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，包括：

依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识；

获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置；

分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

一种消息认证装置，应用于消息发送设备，所述装置包括：

第一发送单元，用于按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识；

检测单元，用于实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

确定单元，用于在当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据时，将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

分配单元，用于为所述目标实时数据分配与其对应的目标序列号；

第一生成单元，用于依据所述设备身份标识及所述目标序列号生成第一消息密钥；

第二生成单元，用于依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；

第二发送单元，用于将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

上述的消息认证装置，可选的，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文的第二发送单元，包括：

生成子单元，用于依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识；

第一填充子单元，用于获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置；

第二填充子单元，分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

一种消息认证方法，应用于消息接收设备，所述方法包括：

接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；

依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

上述的方法，可选的，所述提取所述第一消息认证码的过程，包括：

按预先设置的第一提取规则提取所述实时数据报文中的消息认证码位置标识；

依据所述消息认证码位置标识，确定所述第一消息认证码在所述实时数据报文中的存放字段，在所述存放字段中提取所述第一消息认证码。

一种消息认证装置，应用于消息接收设备，所述装置包括：

第一接收单元，用于接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

第三生成单元，用于依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；

第四生成单元，用于依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

认证单元，用于判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

与现有技术相比，本发明包括以下优点：

本发明提供的消息认证方法，包括：按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；为所述目标实时数据分配与其对应的目标序列号；依据所述设备身份标识及所述目标序列号生成第一消息密钥；依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证，不依赖于消息发送设备和消息接收设备的时序同步性，使消息接收设备在规模较大的对等网络进行数据源认证。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种消息认证方法的方法流程图；

图2为本发明提供的一种消息认证方法的又一方法流程图；

图3为本发明提供的一种消息认证方法的一示例图；

图4为本发明提供的一种消息认证装置的结构示意图；

图5为本发明提供的又一种消息认证方法的方法流程图；

图6为本发明提供的一种消息认证方法的又一示例图；

图7为本发明提供的一种消息认证方法的又一示例图；

图8为本发明提供的一种消息认证装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明可用于众多通用或专用的计算装置环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器装置、包括以上任何装置或设备的分布式计算环境等等。

本发明实施例提供了一种消息认证方法，该方法可以应用于具有对等网络结构的工业控制系统，该方法的执行主体可以为消息发送设备的处理器，所述消息发送设备可以为该工业控制系统中的控制器，所述方法的方法流程图如图1所示，具体包括：

S101：按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据。

本发明实施例提供的方法中，在每个消息发送周期都向消息接收设备发送包含设备身份标识、正在运行的组态文件标志符和设备运行时产生的动态诊断信息的设备信息报文，所述设备身份标识包括设备的生产序列号、产品序列号、IP地址和MAC地址等一种或多种；可选的，向消息接收设备发送设备信息报文之前，获取预先存储的密钥将设备信息报文进行加密。

S102：若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据。

S103：为所述目标实时数据分配与其对应的目标序列号。

本发明实施例提供的方法中，为每个待发送至消息接收设备的实时数据分配一个序列号，将该序列号作为该实时数据的发包序列号；目标实时数据对应的目标序列号，即为该目标实时数据对应的发包序列号。

S104：依据所述设备身份标识及所述目标序列号生成第一消息密钥。

本发明实施例提供的方法中，将所述目标序列号和所述设备身份标识等作为密钥材料，通过散列算法生成消息密钥。

本发明实施例提供的方法中，所述密钥材料还可以包括消息认证码长度标识、消息认证码位置标识和一个固定字符串。

S105：依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码。

本发明实施例提供的方法中，将所述实时数据、所述目标序列号和所述消息密钥作为消息认证算法的输入参数，以得到第一消息认证码。

本发明所实施例提供的方法，所述消息认证算法的输入参数还可以包括消息认证码长度标识和/或消息认证码位置标识。

本发明实施例中，所述消息认证算法是依据消息发送设备和/或消息接收设备的嵌入式系统资源、性能以及整个系统的安全需求选择的；所述消息认证算法可以为CCM认证加密算法、GCM认证加密算法和HMAC-SHA1算法等上述一种或多种加密算法，优选的，本发明实施例采用的是HMAC-SHA1算法。

S106：将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

本发明实施例提供的方法中，通过目标序列号生成消息认证码，并将包含有消息认证码的实时数据报文发送至消息接收设备，以触发消息接收设备对所述实时数据报文进行消息认证，使得消息认证时对消息发送设备和消息接收设备的时序同步性要求不高，进而使消息发送设备与消息接收设备能在规模较大的对等网络中完成数据源认证。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，为所述目标实时数据分配与其对应的目标序列号，包括：

判断所述目标实时数据是否为检测到的当前所述消息发送周期内首个待发送至所述消息接收设备的实时数据；

若是，则获取与当前所述消息发送周期对应的随机数，对所述随机数及预先设定的序列值进行求和运算以获得所述目标实时数据对应的目标序列号；

若否，则获取所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，并对所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，与所述预先设定的序列值进行求和运算，以获得所述目标实时数据对应的目标序列号。

本发明实施例提供的方法中，可选的，该预先设定的序列值可以为“1”，具体可由技术人员进行调整。

本发明实施例提供的方法中，在一个消息发送周期，生成一个随机数“N”，实时检测当前周期是否存在待发送至消息接收设备的实时数据，当检测到第首个待发送至消息接收设备的实时数据时，将该随机数“N”与预设的序列值“1”进行求和运算，得到目标序列号“N+1”，并将该目标序列号“N+1”分配给首个待发送至消息接收设备的实时数据；当检测到第二个待发送至消息接收设备的实时数据时，将首个待发送至消息接收设备的实时数据对应的目标序列号“N+1”与预设的序列值“1”进行求和运算，得到与第二个待发送至消息接收设备的实时数据对应的目标序列号“N+2”，这样，就可以使得消息发送设备发送的每一个实时数据的目标序列号都不同。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，所述依据所述设备身份标识及所述目标序列号生成第一消息密钥，包括：

将所述设备身份标识和所述目标序列号按预设的拼接顺序进行拼接，获得密钥材料队列；

对所述密钥材料队列进行哈希运算以生成所述第一消息密钥。

本发明实施例提供的方法中，通过将表征所述消息发送设备身份信息的设备身份标识、当前待发送的实时数据对应的目标序列号及消息标志字段按特定的顺序进行排列并应用散列算法进行哈希运算，获得固定长度的消息密钥。

可选的，将目标序列号、消息认证码长度标识、消息认证码位置标识、IP地址及MAC地址按预设的拼接顺序进行拼接获得密钥材料队列，将该密钥材料队列通过散列算法进行运算，生成一个消息摘要，将该消息摘要作为消息密钥，用于生成消息认证码。通过所述目标序列号及所述设备身份标识生成消息密钥，使得在具有对等网络结构的工业控制系统中，每个消息发送设备发送的实时数据所使用的消息密钥不同，且同一个消息发送设备发送的每一包数据所使用的密钥不同，可抵御暴力破解攻击。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，所述依据所述实时数据、所述目标序列号和所述消息密钥生成第一消息认证码，包括：

确定所述目标实时数据的数据大小；

依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；

调用预设设定的消息认证算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；

按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码。

本发明实施例提供的方法中，第一消息认证码的长度可以为多种规格，例如可以是1字节、2字节、4字节或8字节等。

需要说明的是，通过确认目标实时数据的大小，并依据该实时数据的大小生成认证码标识，并获取消息认证码位置标识；调用HMAC-SHA1算法，对所述目标实时数据、所目标序列号、所述消息认证码长度标识、所述消息认证码位置标识及所述实时数据的消息密钥等进行运算，以生成初始消息认证码；并按预设截取的截取方式在初始消息认证码中，与所述消息认证码长度标识表征的消息长度相同的消息字段作为第一消息认证码。

本发明实施例提供的方法中，可以截取初始消息认证码中的任意位置作为第一消息认证码，具体由技术人员进行设定。

可选的，若目标实时数据为小于128字节，可确定消息认证码长度为8字节；若目标实时数据长度为大于等于128字节且小于256字节，可确定消息认证码长度为4字节；若目标实时数据长度大于等于256字节且小于等于512字节，可确定消息认证码长度为2字节；若目标实时数据为大于512字节，则确定消息认证码长度为1字节。

本发明实施例提供的方法中，依据目标实时数据的大小生成消息认证码长度标识，以确认所述第一消息认证码的长度，使得所述消息发送设备发送多个实时数据报文的情况下，不同的实时数据报文对应的第一消息认证码的长度不一定相同，提升了数据传输的安全性。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，如图2所示，具体包括：

S201：依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识。

本发明实施例提供的方法中，若消息认证码标识记录为空，则生成的消息认证码位置标识表征的第一消息认证码的位置可以为实时数据模板的首部或尾部；若消息认证码标识记录为首部，则生成的消息认证码位置标识表征的第一消息认证码的位置可以为实时数据模板的尾部；若消息认证码标识记录为尾部，则生成的消息认证码位置标识表征的第一消息认证码的位置可以为实时数据模板的首部。

S202：获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置。

本发明实施例提供的方法中，所述消息认证码位置标识表征的位置可以是实时数据报文模板的首部或尾部。

S203：分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

本发明实施例提供的方法中，通过设置消息认证码位置标识，使得所述消息发送设备发送多个实时数据报文的情况下，不同的实时数据报文对应的第一消息认证码的位置可能是不同的，提升了数据传输的安全性。

本发明实施例提供的方法中，消息发送设备设置有消息发送周期，一个周期长为500ms，所述消息发送设备与所述消息接收设备的数据传输示例图，如图3所示，t0为初始时刻，T为周期，n为设备信息报文序数，m为实时数据报文序数，其中，一个周期内数据传输的具体过程可以为：

在一个周期内，所述消息发送设备先发送一个包含所述消息发送设备设备身份标识的设备信息报文，所述消息发送设备存在待发送至消息接收设备的实时数据时，将该实时数据确认为目标实时数据，并为该目标实时数据分配目标序列号；依据该目标实时数据的大小确定与该目标实时数据对应的消息认证码长度标识，依据当前周期的消息认证码位置标识记录确定该目标实时数据对应的消息认证码位置标识；依据设备身份标识、目标序列号、消息认证码长度标识、消息认证码位置标识生成消息密钥；将目标实时数据、目标序列号、消息认证码长度标识和消息认证码位置标识作为认证数据区，将所述认证数据区与所述消息密钥作为HMAC-SHA1算法的输入，得到初始消息认证码；按预设的截取方式在该初始消息认证码中，截取与消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码；获取预先设置的报文模板，依据所述消息认证码位置标识将第一消息认证码填充至实时数据报文模板中的相应位置，并按预设的报文填充协议将所述目标序列号、消息认证码长度标识和消息认证码位置标识填充至所述实时数据报文模板的相应位置中得到实时数据报文；将所述实时数据报文发送至消息接收设备。

本发明实施例提供的方法，在预设周期内向消息发送设备发送设备信息报文之前，获取预先存储的密钥将所述设备信息报文进行加密。

上述各个具体的实现方式，及各个实现方式的衍生过程，均在本发明保护范围内。

与图1所述的方法相对应，本发明实施例还提供了一种消息认证装置，应用于消息发送设备，用于对图1中方法的具体实现，本发明实施例提供的消息认证装置可以应用计算机终端或各种移动设备中，其结构示意图如图4所示，具体包括：

第一发送单元301，用于按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识；

检测单元302，用于实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

确定单元303，用于在当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据时，将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

分配单元304，用于为所述目标实时数据分配与其对应的目标序列号；

第一生成单元305，用于依据所述设备身份标识及所述目标序列号生成第一消息密钥；

第二生成单元306，用于依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；

第二发送单元307，用于将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

本发明实施例提供的消息认证装置，通过按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；为所述目标实时数据分配与其对应的目标序列号；依据所述设备身份标识及所述目标序列号生成第一消息密钥；依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。不依赖于消息发送设备和消息接收设备的时序同步性，使消息接收设备在规模较大的对等网络进行数据源认证。

本发明实施例提供的消息认证装置，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文的第二发送单元，包括：

生成子单元，用于依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识；

第一填充子单元，用于获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置；

第二填充子单元，分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

本发明实施例提供了一种消息认证方法，所述方法可以应用于具有对等网络结构的工业控制系统，该方法的执行主体可以为消息接收设备的处理器，所述消息接收设备可以为该工业控制系统中的监控站，所述方法的方法流程图如图5所示，具体包括：

S401：接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据。

S402：依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥。

本发明实施例提供的方法中，该设备身份标识是通过预先接收消息发送设备发送的设备信息报文得到的；该设备信息报文的结构示意图如图6所示，包括设备身份标识、正在运行的组态文件标志符和设备运行时产生的动态诊断信息等，所述设备身份标识是消息发送设备的设备身份标识，包括消息发送设备的生产序列号、产品序列号、IP地址和MAC地址等上述一种或多种。

需要说明的是，在预设周期内接收消息发送设备发送的设备信息报文时，依据预先存储的密钥对该设备信息报文进行解密。

本发明实施例提供的方法中，通过预先设置的散列算法对所述目标序列号和所述设备身份标识进行运算，生成消息密钥；可选的，通过散列算法对目标序列号、设备身份标识、消息认证码长度标识、消息认证码位置标识和一个固定字符串进行运算，生成消息密钥。

S403：依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码。

本发明实施例提供的方法中，调用预先设定的消息认证算法对实时数据报文中的目标实时数据、目标序列号和消息密钥进行运算，获得第二消息认证码；可选的，通过消息认证算法对目标实时数据、目标序列号和消息密钥、消息认证码长度标识、消息认证码位置标识进行运算，获得第二消息认证码。

本发明实施例提供的方法中，所述消息认证算法是依据消息发送设备和/或消息接收设备的嵌入式系统资源、性能以及整个系统的安全需求选择的；所述消息认证算法可以为CCM认证加密算法、GCM认证加密算法或HMAC-SHA1算法等，优选的，本发明实施例采用的是HMAC-SHA1算法。

S404：判断所述第一消息认证码及所述第二消息认证码是否一致，若是，执行步骤S405，若否，执行步骤S406。

S405：通过对所述实时数据报文的消息认证。

S406：对所述实时数据报文的消息认证失败。

本发明实施例提供的方法，在执行S406的过程中，若所述第一消息认证码及所述第二消息认证码不相同，则确定认证失败，删除该实时数据报文，记录当前认证失败信息。

本发明实施例提供的消息认证方法，包括：接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。本发明实施例提供的方法，依据目标实时数据、目标序列号和第二消息密钥生成第二消息认证，并判断第一消息认证码与第二消息认证码是否一致，实现了消息认证，对数据发送设备和数据接收设备的的时序同步性不高，使通信双方能够在规模较大的工业对等网络中实现数据源认证。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，所述提取所述第一消息认证码的过程，包括：

按预先设置的第一提取规则提取所述实时数据报文中的消息认证码位置标识；

依据所述消息认证码位置标识，确定所述第一消息认证码在所述实时数据报文中的存放字段，在所述存放字段中提取所述第一消息认证码。

本发明实施例提供的方法中，第一消息认证码在实时数据报文中的位置是由消息认证码位置标识决定的，第一消息认证码可以处于实时数据报文的首部，也可以处于所述实时数据报文的尾部，如图7所示，为所述第一消息认证码处于所述实时数据报文尾部的示例图，图7中的MAC为第一消息认证码。

本发明实施例提供的方法中，在上述实施过程的基础上，具体的，依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码，包括：

按预先设置的第二提取规则提取所述实时数据报文中的消息认证码长度标识，

调用预设设定的消息认证算法，对所述目标实时数据、所述目标序列号及所述第二消息密钥进行运算，生成初始消息认证码；

按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码。

本发明实施例提供的方法，第二消息认证码的长度是由认证码长度标识确定的，认证码长度标识是依据实时数据报文中的目标实时数据的大小决定的。若目标实时数据为小于128字节，则确定消息认证码长度为8字节；若所述目标实时数据长度为大于等于128字节且小于256字节，则确定消息认证码长度为4字节；若目标实时数据长度大于等于256字节且小于等于512字节，则确定消息认证码长度为2字节；若目标实时数据为大于512字节，则确定消息认证码长度为1字节。

本发明实施例提供的方法，生成第二消息认证码的过程，可以包括：将目标实时数据、目标序列号、消息认证码长度标识、所述消息认证码位置标识及目标实时数据的消息密钥等信息作为消息认证算法的输入，以获得初始消息认证码；按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第二消息认证码。

上述各个具体的实现方式，及各个实现方式的衍生过程，均在本发明保护范围内。

与图5所述的方法相对应，本发明实施例还提供了一种消息认证装置，应用于消息接收设备，用于对图5中方法的具体实现，本发明实施例提供的消息认证装置可以应用计算机终端或各种移动设备中，其结构示意图如图8所示，具体包括：

第一接收单元501，用于接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

第三生成单元502，用于依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；

第四生成单元503，用于依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

认证单元504，用于判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

本发明实施例提供的消息认证装置中，通过接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。本发明实施例提供的消息认证装置，通过判断第一消息认证码和第二消息认证码进行消息认证，对消息发送设备和消息接收设备的时序同步性要求不高，能实现消息接收设备在规模较大的对等网络中进行数据的完整性认证和数据来源认证。

本发明实施例还提供了一种存储介质，所述存储介质包括存储的指令，其中，在所述指令运行时控制所述存储介质所在的设备执行上述应用于消息发送设备的消息认证方法。

本发明实施例还提供了一种电子设备，具体包括存储器，以及一个或者一个以上的指令，其中一个或者一个以上指令存储于存储器中，且经配置以由一个或者一个以上处理器执行所述一个或者一个以上指令进行以下操作：

按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

为所述目标实时数据分配与其对应的目标序列号；

依据所述设备身份标识及所述目标序列号生成第一消息密钥；

依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；

将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

本发明实施例还提供了一种存储介质，所述存储介质包括存储的指令，其中，在所述指令运行时控制所述存储介质所在的设备执行上述应用于消息接收设备的消息认证方法。

本发明实施例还提供了一种电子设备，具体包括存储器，以及一个或者一个以上的指令，其中一个或者一个以上指令存储于存储器中，且经配置以由一个或者一个以上处理器执行所述一个或者一个以上指令进行以下操作：

接收到所述消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

依据所述目标序列号及已接收到的与所述实时报文对应的设备身份标识生成第二消息密钥；

依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本发明时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

以上对本发明所提供的一种消息认证方法及装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (9)

1.一种消息认证方法，其特征在于，应用于消息发送设备，所述方法包括：

按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识，并实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

若当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据，则将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

为所述目标实时数据分配与其对应的目标序列号；

依据所述设备身份标识及所述目标序列号生成第一消息密钥；

依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码，包括：确定所述目标实时数据的数据大小；依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；调用HMAC-SHA1算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码；

将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

2.根据权利要求1所述的方法，其特征在于，所述为所述目标实时数据分配与其对应的目标序列号，包括：

判断所述目标实时数据是否为检测到的当前所述消息发送周期内首个待发送至所述消息接收设备的实时数据；

若是，则获取与当前所述消息发送周期对应的随机数，对所述随机数及预先设定的序列值进行求和运算以获得所述目标实时数据对应的目标序列号；

若否，则获取所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，并对所述目标实时数据的前一个待发送至所述消息接收设备的实时数据对应的目标序列号，与所述预先设定的序列值进行求和运算，以获得所述目标实时数据对应的目标序列号。

3.根据权利要求1所述的方法，其特征在于，所述依据所述设备身份标识及所述目标序列号生成第一消息密钥，包括：

将所述设备身份标识和所述目标序列号按预设的拼接顺序进行拼接，获得密钥材料队列；

对所述密钥材料队列进行哈希运算以生成所述第一消息密钥。

4.根据权利要求1所述的方法，其特征在于，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，包括：

依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识；

获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置；

分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

5.一种消息认证装置，其特征在于，应用于消息发送设备，所述装置包括：

第一发送单元，用于按预设的消息发送周期，向消息接收设备发送所述消息发送设备的设备身份标识；

检测单元，用于实时检测当前所述消息发送周期内，是否存在待发送至所述消息接收设备的实时数据；

确定单元，用于在当前所述消息发送周期内，存在待发送至所述消息接收设备的实时数据时，将当前待发送至所述消息接收设备的实时数据确定为目标实时数据；

分配单元，用于为所述目标实时数据分配与其对应的目标序列号；

第一生成单元，用于依据所述设备身份标识及所述目标序列号生成第一消息密钥；

第二生成单元，用于依据所述目标实时数据、所述目标序列号和所述第一消息密钥生成第一消息认证码；

所述第二生成单元，具体用于：确定所述目标实时数据的数据大小；依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；调用HMAC-SHA1算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码；

第二发送单元，用于将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文，并将所述实时数据报文发送至所述消息接收设备，触发所述消息接收设备对所述实时数据报文进行消息认证。

6.根据权利要求5所述的装置，其特征在于，所述将所述目标实时数据、所述目标序列号和所述第一消息认证码封装为实时数据报文的第二发送单元，包括：

生成子单元，用于依据当前所述消息发送周期的消息认证码位置标识记录，生成与所述第一消息认证码对应的消息认证码位置标识；

第一填充子单元，用于获取预先设置的实时数据报文模板，将所述第一消息认证码填充至所述实时数据报文模板中所述消息认证码位置标识表征的位置；

第二填充子单元，分别将所述目标实时数据、所述目标序列号、所述消息认证码长度标识和所述消息认证码位置标识按预设的填充规则填充至所述报文模板的相应位置得到实时数据报文。

7.一种消息认证方法，其特征在于，应用于消息接收设备，所述方法包括：

接收到消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

所述第一消息认证码是所述消息发送设备依据目标实时数据、目标序列号和第一消息密钥生成的，具体包括：确定所述目标实时数据的数据大小；依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；调用HMAC-SHA1算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码；

依据所述目标序列号及已接收到的与所述实时数据报文对应的设备身份标识生成第二消息密钥；

依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

8.根据权利要求7所述的方法，其特征在于，所述提取所述第一消息认证码的过程，包括：

按预先设置的第一提取规则提取所述实时数据报文中的消息认证码位置标识；

依据所述消息认证码位置标识，确定所述第一消息认证码在所述实时数据报文中的存放字段，在所述存放字段中提取所述第一消息认证码。

9.一种消息认证装置，其特征在于，应用于消息接收设备，所述装置包括：

第一接收单元，用于接收到消息发送设备发送的实时数据报文时，提取所述实时数据报文中的第一消息认证码、目标序列号和目标实时数据；

所述第一消息认证码是所述消息发送设备依据目标实时数据、目标序列号和第一消息密钥生成的，具体包括：确定所述目标实时数据的数据大小；依据所述数据大小生成与所述目标实时数据对应的消息认证码长度标识；调用HMAC-SHA1算法，对所述目标实时数据、所述目标序列号及所述第一消息密钥进行运算，生成初始消息认证码；按预设的截取方式在所述初始消息认证码中，截取与所述消息认证码长度标识表征的消息长度相同的消息字段作为所述第一消息认证码；

第三生成单元，用于依据所述目标序列号及已接收到的与所述实时数据报文对应的设备身份标识生成第二消息密钥；

第四生成单元，用于依据所述目标实时数据、所述目标序列号和所述第二消息密钥生成第二消息认证码；

认证单元，用于判断所述第一消息认证码及所述第二消息认证码是否一致，若一致，则通过对所述实时数据报文的消息认证。

Images