CN110391902B - 一种互联网密钥交换ike协商的方法及装置 - Google Patents

一种互联网密钥交换ike协商的方法及装置 Download PDF

Info

Publication number
CN110391902B
CN110391902B CN201910611879.6A CN201910611879A CN110391902B CN 110391902 B CN110391902 B CN 110391902B CN 201910611879 A CN201910611879 A CN 201910611879A CN 110391902 B CN110391902 B CN 110391902B
Authority
CN
China
Prior art keywords
cookie
cookie data
ike negotiation
ike
negotiation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910611879.6A
Other languages
English (en)
Other versions
CN110391902A (zh
Inventor
李闯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
New H3C Security Technologies Co Ltd
Original Assignee
New H3C Security Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by New H3C Security Technologies Co Ltd filed Critical New H3C Security Technologies Co Ltd
Priority to CN201910611879.6A priority Critical patent/CN110391902B/zh
Publication of CN110391902A publication Critical patent/CN110391902A/zh
Application granted granted Critical
Publication of CN110391902B publication Critical patent/CN110391902B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供了一种互联网密钥交换IKE协商的方法及装置，响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。

Description

一种互联网密钥交换IKE协商的方法及装置
技术领域
本发明涉及网络安全技术领域，特别是涉及一种互联网密钥交换IKE协商的方法及装置。
背景技术
IPSec(Internet Protocol Security，互联网协议安全)是一种开放标准的框架结构，通过使用加密的安全服务以确保在IP(Internet Protocol，互联网协议)网络上进行保密而安全地通讯。IPSec协议给出了应用于IP层上网络数据安全的一整套体系结构，包括AH(Authentication Header，网络认证)协议、ESP(Encapsulating Security Payload，封装安全载荷)协议、IKE(Internet Key Exchange，互联网密钥交换)协议和用于网络认证及加密的一些算法等。
IKE(Internet Key Exchange，互联网密钥交换)协议利用ISAKMP(InternetSecurity Association and Key Management Protocol，互联网安全联盟和密钥管理协议)语言定义密钥交换的过程，是一种对安全服务进行协商的手段。IKE协议负责密钥管理，定义了通信的网络设备之间进行身份认证、协商加密算法以及生成共享的会话密钥的方法。IKE协商过程分为两个阶段，第一阶段协商的目的是建立IKE SA(SecurityAssociation，安全联盟)，以保护第二阶段的协商能够安全进行；第二阶段在第一阶段后进行协商建立IPSec SA和相应的密钥，为真正的应用数据通信提供保护。
在IKE协商的第一阶段中，响应方设备在接收到发送方设备发送的第一个IKE协商报文时，首先对IKE协商报文进行响应，然后再接收发送方设备的验证消息、以进行身份验证，验证通过后即可建立IKE SA，继续进行第二阶段的IKE协商。由上可以看出，在IKE协商过程中，响应方设备是先响应IKE协商报文，然后再验证发起方设备的身份信息。然而，一旦攻击者获得发起方设备的地址信息，可以在IKE协商的初始阶段，通过伪造发起方设备的地址信息，向响应方设备发送大量的IKE协商报文，产生DoS(Denial of Service，拒绝服务)攻击，影响IKE协商的安全性。
发明内容
本发明实施例的目的在于提供一种互联网密钥交换IKE协商的方法及装置，以提高IKE协商的安全性。具体技术方案如下：
第一方面，本发明实施例提供了一种互联网密钥交换IKE协商的方法，应用于响应方设备，该方法包括：
接收发起方设备发送的第一个IKE协商报文，其中，第一个IKE协商报文包括用于表示发起方设备与响应方设备进行本次IKE协商的Cookie数据；
校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，其中，Cookie列表中包括各发起方设备与响应方设备进行IKE协商的可信任Cookie数据；
若Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则结束本次IKE协商。
第二方面，本发明实施例提供了一种互联网密钥交换IKE协商的方法，应用于服务器，该方法包括：
接收各发起方设备发送的注册请求报文，其中，注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据；
对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至响应方设备，以使响应方设备建立Cookie列表，存储可信任Cookie数据，并利用Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送第一个IKE协商报文的发起方设备进行IKE协商。
第三方面，本发明实施例提供了一种互联网密钥交换IKE协商的装置，应用于响应方设备，该装置包括：
接收模块，用于接收发起方设备发送的第一个IKE协商报文，其中，第一个IKE协商报文包括用于表示发起方设备与响应方设备进行本次IKE协商的Cookie数据；
校验模块，用于校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，其中，Cookie列表中包括各发起方设备与响应方设备进行IKE协商的可信任Cookie数据；
协商模块，用于若校验模块的校验结果为Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则结束本次IKE协商。
第四方面，本发明实施例提供了一种互联网密钥交换IKE协商的装置，应用于服务器，该装置包括：
接收模块，用于接收各发起方设备发送的注册请求报文，其中，注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据；
发送模块，用于对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至响应方设备，以使响应方设备建立Cookie列表，存储可信任Cookie数据，并利用Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送第一个IKE协商报文的发起方设备进行IKE协商。
第五方面，本发明实施例提供了一种网络设备，包括处理器和机器可读存储介质，其中，机器可读存储介质存储有能够被处理器执行的机器可执行指令，机器可执行指令由处理器加载并执行，以实现本发明实施例第一方面所提供的方法步骤。
第六方面，本发明实施例提供了一种机器可读存储介质，机器可读存储介质内存储有机器可执行指令，机器可执行指令在被处理器加载并执行时，实现本发明实施例第一方面所提供的方法步骤。
第七方面，本发明实施例提供了一种服务器，包括处理器和机器可读存储介质，其中，机器可读存储介质存储有能够被处理器执行的机器可执行指令，机器可执行指令由处理器加载并执行，以实现本发明实施例第二方面所提供的方法步骤。
第八方面，本发明实施例提供了一种机器可读存储介质，机器可读存储介质内存储有机器可执行指令，机器可执行指令在被处理器加载并执行时，实现本发明实施例第二方面所提供的方法步骤。
本发明实施例提供的一种互联网密钥交换IKE协商的方法及装置，响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例的应用于响应方设备的IKE协商的方法的流程示意图；
图2为本发明实施例的应用于服务器的IKE协商的方法的流程示意图；
图3为本发明实施例的组网中各设备进行Cookie列表建立和IKE协商报文校验的交互流程示意图；
图4为本发明实施例的应用于响应方设备的IKE协商的装置的结构示意图；
图5为本发明实施例的应用于服务器的IKE协商的装置的结构示意图；
图6为本发明实施例的网络设备的结构示意图；
图7为本发明实施例的服务器的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
为了提高IKE协商的安全性，本发明实施例提供了一种IKE协商的方法、装置、网络设备、服务器及机器可读存储介质。下面，首先对本发明实施例所提供的IKE协商的方法进行介绍。
本发明实施例所提供的IKE协商的方法的执行主体为进行IKE协商的响应方设备，响应方设备可以为路由器、交换机等。如图1所示，本发明实施例所提供的一种IKE协商的方法，至少包括如下步骤。
S101，接收发起方设备发送的第一个IKE协商报文，其中，第一个IKE协商报文包括用于表示发起方设备与响应方设备进行本次IKE协商的Cookie数据。
组网中的网络设备在进行IKE协商时，发起IKE协商的发起方设备会向响应方设备发送IKE协商报文。
初始协商阶段，发起方设备向响应方设备发送第一个IKE协商报文，第一个IKE协商报文中除了包括用于协商的消息以外，还包括发起方设备向响应方设备发起IKE协商时建立连接的Cookie数据。两个网络设备每次进行IKE协商的Cookie数据都不同。具体的，基于用户输入的用户名、密码等用户数据、以及网络设备的IP地址、MAC地址、ID值等设备数据和时间等随机数据通过运算生成Cookie数据，作为本次IKE协商的Cookie数据。
第一个IKE协商报文的报文格式包括IP头、UDP(User Datagram Protocol，用户数据报协议)头和ISAKMP(Internet Security Association and Key ManagementProtocol，安全连接和密钥管理协议)头，Cookie数据携带在ISAKMP头中，具体的第一个IKE协商报文的报文格式以及ISAKMP头结构是本领域技术人员公知的，这里不再赘述。
S102，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，其中，Cookie列表中包括各发起方设备与响应方设备进行IKE协商的可信任Cookie数据。
响应方设备上预先创建有一个Cookie列表，Cookie列表用于存储组网中各发起方设备与响应方设备进行IKE协商的可信任Cookie数据。
在一个示例中，可信任Cookie数据是指在服务器上进行过注册的Cookie数据，由于服务器对这些Cookie数据进行过注册，可以说明对应的发起方设备的合法性。因此，Cookie列表一般是基于服务器发送的可信任Cookie数据建立的，服务器在对Cookie数据进行注册后，将注册后的可信任Cookie数据发送给响应方设备，由响应方设备基于各可信任Cookie数据创建Cookie列表。
在接收到第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，如果包括则说明第一个IKE协商报文中的Cookie数据为可信任Cookie数据，发送第一个IKE协商报文的发起方设备为合法设备，如果不包括则说明第一个IKE协商报文中的Cookie数据不是可信任Cookie数据，发送第一个IKE协商报文的发起方设备可能为非法设备。
可选的，在执行S101之前，本发明实施例所提供的IKE协商的方法还包括Cookie列表的建立过程，具体可以包括如下步骤：
接收服务器发送的各可信任Cookie数据，其中，各可信任Cookie数据为各发起方设备发送的注册请求报文携带的Cookie数据，注册请求报文携带的Cookie数据为发起方设备与响应方设备进行IKE协商时使用的Cookie数据；
建立Cookie列表，并在Cookie列表中存储各可信任Cookie数据。
由于组网中网络设备的数量可能较多，为了便于管理，各发起方设备可以采用云技术，将统计的各自与响应方设备进行IKE协商的Cookie数据(携带在注册请求报文中)发送到服务器进行注册，服务器对各Cookie数据进行注册，注册成功的Cookie数据为可信任Cookie数据。服务器统一将完成注册的各Cookie数据作为可信任Cookie数据下发到响应方设备，由响应方设备创建Cookie列表，对这些可信任Cookie数据进行缓存。
S103，若Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则结束本次IKE协商。
响应方设备在接收到发起方设备发送的第一个IKE协商报文后，从第一个IKE协商报文中提取Cookie数据，与Cookie列表中存储的可信任Cookie数据进行对比，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发送第一个IKE协商报文的发起方设备可能是非法设备，因此，需要结束本次IKE协商，丢弃第一个IKE协商报文，形成有效的抗DoS攻击，保护开放IKE服务的网络设备。
可选的，在执行S103时，在确定Cookie列表中不包括Cookie数据之后，在结束本地IKE协商之前，本发明实施例所提供的IKE协商的方法还可以执行如下步骤。
第一步，向服务器发送查询指令，其中，查询指令包括第一个IKE协商报文中的Cookie数据，查询指令用于指示服务器查询各发起方设备与响应方设备进行IKE协商的可信任Cookie数据是否包括查询指令中的Cookie数据。
第二步，接收服务器发送的反馈信息。
第三步，若根据反馈信息，确定发起方设备与响应方设备进行IKE协商的可信任Cookie数据不包括查询指令中的Cookie数据，则丢弃第一个IKE协商报文。
如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，有一种情况是响应方设备已收到发起方设备发送的第一个IKE协商报文，而Cookie列表可能还未对可信任Cookie数据进行存储更新。因此，为了应对这种情况，如果响应方设备判断出Cookie列表中不包括第一个IKE协商报文中的Cookie数据，可以将该Cookie数据以查询指令的方式发送到服务器，服务器用于对各可信任Cookie数据进行注册、存储，由服务器去查询发起方设备与响应方设备进行IKE协商的可信任Cookie数据中是否包括第一个IKE协商报文中的Cookie数据。如果不包括，则说明发送第一个IKE协商报文的发起方设备是非法设备，则需要丢弃第一个IKE协商报文，形成有效的抗DoS攻击，保护开放IKE服务的网络设备。
可选的，本发明实施例所提供的IKE协商的方法还可以执行：若根据反馈信息，确定发起方设备与响应方设备进行IKE协商的可信任Cookie数据包括查询指令中的Cookie数据，则将该Cookie数据存储至Cookie列表，并基于第一个IKE协商报文，与发起方设备进行IKE协商。
如果服务器查询出发起方设备与响应方设备进行IKE协商的可信任Cookie数据中包括第一个IKE协商报文中的Cookie数据，则说明发送第一个IKE协商报文的发起方设备合法设备，则响应方设备可以将该Cookie数据缓存至Cookie列表，并基于第一个IKE协商报文，与发起方设备进行后续的IKE协商。后续IKE协商的过程可以采用传统的IKE协商过程，通过第一阶段和第二阶段的IKE协商，建立网络设备之间的安全数据通道。
可选的，本发明实施例所提供的IKE协商的方法还可以执行：若Cookie列表中包括第一个IKE协商报文中的Cookie数据，则基于第一个IKE协商报文，与发起方设备进行IKE协商。
响应方设备如果可以从Cookie列表中查询到包括第一个IKE协商报文中的Cookie数据，则说明发送第一个IKE协商报文的发起方设备合法设备，则响应方设备可以基于第一个IKE协商报文，与发起方设备进行后续的IKE协商。后续IKE协商的过程可以采用传统的IKE协商过程，通过第一阶段和第二阶段的IKE协商，建立网络设备之间的安全数据通道。
应用本发明实施例，响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。
不同于传统的IKE协商的组网，在本发明实施例的组网中，可以采用云技术，由服务器对各网络设备进行IKE协商的可信任Cookie数据进行验证、注册，则相应的，本发明实施例所提供的一种IKE协商的方法，还可以应用于服务器，如图2所示，该IKE协商方法可以包括如下步骤。
S201，接收各发起方设备发送的注册请求报文，其中，注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据。
在进行IKE协商之前，各发起方设备将统计的各自与响应方设备进行IKE协商的Cookie数据(携带在注册请求报文中)发送到服务器进行注册。
S202，对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至响应方设备，以使响应方设备建立Cookie列表，存储可信任Cookie数据，并利用Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送第一个IKE协商报文的发起方设备进行IKE协商。
服务器收到各发起方设备发送的Cookie数据后，对各Cookie数据进行注册，完成注册后，能完成注册的Cookie数据为合法的数据，则可以将这些Cookie数据作为可信任Cookie数据下发到响应方设备，由响应方设备创建Cookie列表，对这些可信任Cookie数据进行存储。
这样，在有发起方设备发起IKE协商时，响应方设备在接收到第一个IKE协商报文后，从第一个IKE协商报文中提取Cookie数据，利用Cookie列表对该Cookie数据进行校验，得到发送第一个IKE协商报文的发起方设备是否合法的结论，从而判定是否与发送第一个IKE协商报文的发起方设备进行后续的IKE协商过程。具体的校验、判定过程如图1所示实施例中的具体描述，这里不再赘述。
可选的，本发明实施例所提供的IKE协商的方法还可以执行如下步骤：
第1步，接收响应方设备发送的查询指令，其中，查询指令为响应方设备在确定Cookie列表中未存储第一个IKE协商报文中的Cookie数据时，向服务器发送的指令，查询指令包括第一个IKE协商报文中的Cookie数据。
第2步，在注册后的各Cookie数据中，查询是否包括第一个IKE协商报文中的Cookie数据。
第3步，向响应方设备发送包含查询结果的反馈信息，以使响应方设备根据反馈信息，判定是否与发起方设备进行IKE协商。
由上可知，服务器用于对各可信任Cookie数据进行收集、注册。如果响应方设备在进行校验时，确定Cookie列表不包括第一个IKE协商报文中的Cookie数据，可以将对该Cookie数据以查询指令的方式发送到服务器。由服务器去查询发起方设备与响应方设备进行IKE协商的可信任Cookie数据中是否包括第一个IKE协商报文中的Cookie数据，并向响应方设备反馈查询结果，响应方设备可以根据查询结果，判定是否与发起方设备进行IKE协商。具体什么情况下进行IKE协商或者不进行IKE协商，详见图1所示实施例，这里不再详述。
本发明实施例中，采用云技术，由服务器对各可信任Cookie数据进行验证、注册，实现了服务器对所有网络设备进行IKE协商的可信任Cookie数据的统一管理，对IKE协商的实现提供了有力的支撑。
为了便于理解，下面以Cookie列表建立和IKE协商报文校验两个阶段的设备交互过程，对本发明实施例所提供的IKE协商方法进行详细介绍，如图3所示。
在触发IKE协商，进行IKE初始化的阶段，IKE协商的发起方设备首先检查本地的IKE策略是否完整，如果完整，则向服务器发送注册请求报文，以申请服务器对Cookie数据进行注册，如果不完整则回显错误等提示信息。
服务器在收到注册请求报文后，对注册请求报文中的Cookie数据进行注册，并向IKE协商的响应方设备发送完成注册的可信任Cookie数据，以使响应方设备更新Cookie列表。至此，Cookie列表的建立过程结束。
IKE协商的发起方组装第一个IKE协商报文，并将第一个IKE协商报文发送至IKE协商的响应方设备。该IKE协商报文中携带发起方设备与响应方设备进行本次协商的Cookie数据。
IKE协商的响应方设备在接收到第一个IKE协商报文后，从该IKE协商报文中提取Cookie数据，检查Cookie列表中是否包括该Cookie数据。若包括，则进行后续的IKE协商。若不包括，则向服务器发送查询指令，发起Cookie查询，以使服务器查询已注册的发起方设备的可信任Cookie数据中是否包括该Cookie数据，向IKE协商的响应方设备发送包含查询结果的反馈信息。若IKE协商的响应方设备确定已注册的发起方设备的可信任Cookie数据中包括该Cookie数据包括则更新Cookie列表，并进行后续的IKE协商，若不包括则丢弃第一个IKE协商报文。
相应于上述应用于响应方设备的方法实施例，本发明实施例提供了一种IKE协商的装置，应用于响应方设备，如图4所示，该装置可以包括：
接收模块410，用于接收发起方设备发送的第一个IKE协商报文，其中，第一个IKE协商报文包括用于表示发起方设备与响应方设备进行本次IKE协商的Cookie数据；
校验模块420，用于校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，其中，Cookie列表中包括各发起方设备与响应方设备进行IKE协商的可信任Cookie数据；
协商模块430，用于若校验模块420的校验结果为Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则结束本次IKE协商。
可选的，接收模块410，还可以用于接收服务器发送的各可信任Cookie数据，其中，各可信任Cookie数据为各发起方设备发送的注册请求报文携带的Cookie数据，注册请求报文携带的Cookie数据为发起方设备与响应方设备进行IKE协商时使用的Cookie数据；
装置还可以包括：
存储模块，用于建立Cookie列表，并在Cookie列表中存储各可信任Cookie数据。
可选的，所述装置还可以包括：
发送模块，用于若校验模块420的校验结果为Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则向服务器发送查询指令，其中，查询指令包括第一个IKE协商报文中的Cookie数据，查询指令用于指示服务器查询各发起方设备与响应方设备进行IKE协商的可信任Cookie数据是否包括查询指令中的Cookie数据；
接收模块410，还可以用于接收服务器发送的反馈信息；
协商模块430，还可以用于若根据反馈信息，确定发起方设备与响应方设备进行IKE协商的可信任Cookie数据不包括查询指令中的Cookie数据，则丢弃第一个IKE协商报文。
可选的，协商模块430，还可以用于若根据反馈信息，确定发起方设备与响应方设备进行IKE协商的可信任Cookie数据包括查询指令中的Cookie数据，则将该Cookie数据存储至Cookie列表，并基于第一个IKE协商报文，与发起方设备进行IKE协商。
可选的，协商模块430，还可以用于若校验模块420的校验结果为Cookie列表中包括第一个IKE协商报文中的Cookie数据，则基于第一个IKE协商报文，与发起方设备进行IKE协商。
应用本发明实施例，响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。
相应于上述应用于服务器的方法实施例，本发明实施例提供了一种IKE协商的装置，应用于服务器，如图5所示，该装置可以包括：
接收模块510，用于接收各发起方设备发送的注册请求报文，其中，注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据；
发送模块520，用于对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至响应方设备，以使响应方设备建立Cookie列表，存储可信任Cookie数据，并利用Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送第一个IKE协商报文的发起方设备进行IKE协商。
可选的，接收模块510，还可以用于接收响应方设备发送的查询指令，其中，查询指令为响应方设备在确定Cookie列表中未存储第一个IKE协商报文中的Cookie数据时，向服务器发送的指令，查询指令包括第一个IKE协商报文中的Cookie数据；
装置还可以包括：
查询模块，用于在注册后的各Cookie数据中，查询是否包括第一个IKE协商报文中的Cookie数据；
发送模块520，还可以用于向响应方设备发送包含查询结果的反馈信息，以使响应方设备根据反馈信息，判定是否与发起方设备进行IKE协商。
应用本发明实施例，采用云技术，由服务器对各可信任Cookie数据进行验证、注册，实现了服务器对所有网络设备进行IKE协商的可信任Cookie数据的统一管理，对IKE协商的实现提供了有力的支撑。
本发明实施例还提供了一种网络设备，如图6所示，包括处理器601和机器可读存储介质602，其中，所述机器可读存储介质602存储有能够被所述处理器601执行的机器可执行指令，所述机器可执行指令由所述处理器601加载并执行，以实现本发明实施例所提供的应用于响应方设备的IKE协商的方法。
机器可读存储介质602与处理器601之间可以通过有线连接或者无线连接的方式进行数据传输，并且网络设备与其他设备之间可以通过有线通信接口或者无线通信接口进行通信。图6所示的仅为通过总线进行数据传输的示例，不作为具体连接方式的限定。
本实施例中，处理器通过读取机器可读存储介质中存储的机器可执行指令，并通过加载和执行机器可执行指令，能够实现：响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。
另外，本发明实施例提供了一种机器可读存储介质，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令在被处理器加载并执行时，实现本发明实施例所提供的应用于响应方设备的IKE协商的方法。
本实施例中，机器可读存储介质存储有在运行时执行本发明实施例所提供的应用于响应方设备的IKE协商的方法的机器可执行指令，因此能够实现：响应方设备在接收到发起方设备发送的第一个IKE协商报文后，校验Cookie列表中是否包括第一个IKE协商报文中的Cookie数据，若Cookie列表中不包括该Cookie数据，则结束本次IKE协商。由于Cookie列表中缓存的是各发起方设备与响应方设备进行IKE协商的可信任Cookie数据，如果Cookie列表中不包括第一个IKE协商报文中的Cookie数据，则说明发起方设备发送的第一个IKE协议报文是非法的报文，则立即结束本地IKE协商，避免了非法攻击者的DoS攻击，从而提高了IKE协商的安全性。
本发明实施例还提供了一种服务器，如图7所示，包括处理器701和机器可读存储介质702，其中，所述机器可读存储介质702存储有能够被所述处理器701执行的机器可执行指令，所述机器可执行指令由所述处理器701加载并执行，以实现本发明实施例所提供的应用于服务器的IKE协商的方法。
机器可读存储介质702与处理器701之间可以通过有线连接或者无线连接的方式进行数据传输，并且服务器与其他设备之间可以通过有线通信接口或者无线通信接口进行通信。图7所示的仅为通过总线进行数据传输的示例，不作为具体连接方式的限定。
本实施例中，处理器通过读取机器可读存储介质中存储的机器可执行指令，并通过加载和执行机器可执行指令，能够实现：采用云技术，由服务器对各可信任Cookie数据进行验证、注册，实现了服务器对所有网络设备进行IKE协商的可信任Cookie数据的统一管理，对IKE协商的实现提供了有力的支撑。
另外，本发明实施例还提供了一种机器可读存储介质，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令在被处理器加载并执行时，实现本发明实施例所提供的应用于服务器的IKE协商的方法。
本实施例中，机器可读存储介质存储有在运行时执行本发明实施例所提供的应用于服务器的IKE协商的方法的机器可执行指令，因此能够实现：采用云技术，由服务器对各可信任Cookie数据进行验证、注册，实现了服务器对所有网络设备进行IKE协商的可信任Cookie数据的统一管理，对IKE协商的实现提供了有力的支撑。
上述机器可读存储介质可以包括RAM(Random Access Memory，随机存取存储器)，也可以包括NVM(Non-volatile Memory，非易失性存储器)，例如至少一个磁盘存储器。可选的，机器可读存储介质还可以是至少一个位于远离前述处理器的存储装置。
上述处理器可以是通用处理器，包括CPU(Central Processing Unit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field-Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。
对于网络设备、服务器及机器可读存储介质实施例而言，由于其涉及的方法内容基本相似于前述的方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、网络设备、服务器及机器可读存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (6)

1.一种互联网密钥交换IKE协商的方法，其特征在于，应用于响应方设备，所述方法包括：
接收服务器发送的各可信任Cookie数据，所述各可信任Cookie数据为各发起方设备发送的注册请求报文携带的Cookie数据，所述注册请求报文携带的Cookie数据为发起方设备与响应方设备进行IKE协商时使用的Cookie数据；
建立Cookie列表，并在所述Cookie列表中存储所述各可信任Cookie数据；
接收发起方设备发送的第一个IKE协商报文，所述第一个IKE协商报文包括用于协商的消息以外，还包括所述发起方设备与所述响应方设备进行本次IKE协商时建立连接的Cookie数据，所述发起方设备与所述响应方设备每次进行IKE协商的Cookie数据都不同；
校验Cookie列表中是否包括所述Cookie数据，所述Cookie列表中包括各发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据；
若所述Cookie列表中不包括所述Cookie数据，向服务器发送查询指令，所述查询指令包括所述Cookie数据，所述查询指令用于指示所述服务器查询各发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据是否包括所述Cookie数据；
接收所述服务器发送的反馈信息；
若根据所述反馈信息，确定所述发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据不包括所述Cookie数据，则丢弃所述第一个IKE协商报文，结束本次IKE协商；
若根据所述反馈信息，确定所述发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据包括所述Cookie数据，则将所述Cookie数据存储至所述Cookie列表，并基于所述第一个IKE协商报文，与所述发起方设备进行IKE协商。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
若所述Cookie列表中包括所述Cookie数据，则基于所述第一个IKE协商报文，与所述发起方设备进行IKE协商。
3.一种互联网密钥交换IKE协商的方法，其特征在于，应用于服务器，所述方法包括：
接收各发起方设备发送的注册请求报文，所述注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据；
对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至所述响应方设备，以使所述响应方设备建立Cookie列表，存储所述可信任Cookie数据，并利用所述Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送所述第一个IKE协商报文的发起方设备进行IKE协商；
接收响应方设备发送的查询指令，所述查询指令为所述响应方设备在确定所述Cookie列表中未存储所述第一个IKE协商报文中的Cookie数据时，向所述服务器发送的指令，所述查询指令包括所述第一个IKE协商报文中的Cookie数据；
在注册后的各Cookie数据中，查询是否包括所述Cookie数据；
向所述响应方设备发送包含查询结果的反馈信息，以使所述响应方设备根据所述反馈信息，判定是否与所述发起方设备进行IKE协商。
4.一种互联网密钥交换IKE协商的装置，其特征在于，应用于响应方设备，所述装置包括：
接收模块，用于接收服务器发送的各可信任Cookie数据，所述各可信任Cookie数据为各发起方设备发送的注册请求报文携带的Cookie数据，所述注册请求报文携带的Cookie数据为发起方设备与响应方设备进行IKE协商时使用的Cookie数据；
存储模块，用于建立Cookie列表，并在所述Cookie列表中存储所述各可信任Cookie数据；
所述接收模块还用于接收发起方设备发送的第一个IKE协商报文，所述第一个IKE协商报文包括用于协商的消息以外，还包括所述发起方设备与所述响应方设备进行本次IKE协商时建立连接的Cookie数据，所述发起方设备与所述响应方设备每次进行IKE协商的Cookie数据都不同；
校验模块，用于校验Cookie列表中是否包括所述Cookie数据，所述Cookie列表中包括各发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据；
发送模块，用于若所述校验模块的校验结果为所述Cookie列表中不包括所述Cookie数据，向服务器发送查询指令，所述查询指令包括所述Cookie数据，所述查询指令用于指示所述服务器查询各发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据是否包括所述Cookie数据；
所述接收模块，还用于接收所述服务器发送的反馈信息；
协商模块，还用于若根据所述反馈信息，确定所述发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据不包括所述Cookie数据，则丢弃所述第一个IKE协商报文，结束本次IKE协商；
所述协商模块，还用于若根据所述反馈信息，确定所述发起方设备与所述响应方设备进行IKE协商的可信任Cookie数据包括所述Cookie数据，则将所述Cookie数据存储至所述Cookie列表，并基于所述第一个IKE协商报文，与所述发起方设备进行IKE协商。
5.根据权利要求4所述的装置，其特征在于，所述协商模块，还用于若所述校验模块的校验结果为所述Cookie列表中包括所述Cookie数据，则基于所述第一个IKE协商报文，与所述发起方设备进行IKE协商。
6.一种互联网密钥交换IKE协商的装置，其特征在于，应用于服务器，所述装置包括：
接收模块，用于接收各发起方设备发送的注册请求报文，所述注册请求报文包括发起方设备与响应方设备进行IKE协商的Cookie数据；
发送模块，用于对各Cookie数据进行注册，并将注册后的各Cookie数据作为可信任Cookie数据发送至所述响应方设备，以使所述响应方设备建立Cookie列表，存储所述可信任Cookie数据，并利用所述Cookie列表，对接收到的第一个IKE协商报文中的Cookie数据进行校验，基于校验结果，判定是否与发送所述第一个IKE协商报文的发起方设备进行IKE协商；
所述接收模块，还用于接收响应方设备发送的查询指令，所述查询指令为所述响应方设备在确定所述Cookie列表中未存储所述第一个IKE协商报文中的Cookie数据时，向所述服务器发送的指令，所述查询指令包括所述第一个IKE协商报文中的Cookie数据；
所述装置还包括：
查询模块，用于在注册后的各Cookie数据中，查询是否包括所述Cookie数据；
所述发送模块，还用于向所述响应方设备发送包含查询结果的反馈信息，以使所述响应方设备根据所述反馈信息，判定是否与所述发起方设备进行IKE协商。
CN201910611879.6A 2019-07-08 2019-07-08 一种互联网密钥交换ike协商的方法及装置 Active CN110391902B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910611879.6A CN110391902B (zh) 2019-07-08 2019-07-08 一种互联网密钥交换ike协商的方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910611879.6A CN110391902B (zh) 2019-07-08 2019-07-08 一种互联网密钥交换ike协商的方法及装置

Publications (2)

Publication Number Publication Date
CN110391902A CN110391902A (zh) 2019-10-29
CN110391902B true CN110391902B (zh) 2022-10-25

Family

ID=68286339

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910611879.6A Active CN110391902B (zh) 2019-07-08 2019-07-08 一种互联网密钥交换ike协商的方法及装置

Country Status (1)

Country Link
CN (1) CN110391902B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114268473B (zh) * 2021-12-10 2023-07-11 北京天融信网络安全技术有限公司 IKEv1协议主模式抵御DDOS攻击的方法、系统、终端及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101197664A (zh) * 2008-01-03 2008-06-11 杭州华三通信技术有限公司 一种密钥管理协议协商的方法、系统和装置
CN105763318A (zh) * 2016-01-29 2016-07-13 杭州华三通信技术有限公司 一种预共享密钥获取、分配方法及装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7536719B2 (en) * 2003-01-07 2009-05-19 Microsoft Corporation Method and apparatus for preventing a denial of service attack during key negotiation
CN101022458B (zh) * 2007-03-23 2010-10-13 杭州华三通信技术有限公司 会话的控制方法及控制装置
CN102291441B (zh) * 2011-08-02 2015-01-28 杭州迪普科技有限公司 一种防范SYN Flood攻击的方法及安全代理装置
CN104219217B (zh) * 2013-06-05 2020-03-10 中国移动通信集团公司 安全关联协商方法、设备和系统
CN103347016A (zh) * 2013-06-28 2013-10-09 天津汉柏汉安信息技术有限公司 一种攻击的防御方法
CN104079558B (zh) * 2014-05-22 2018-02-13 汉柏科技有限公司 一种防止DoS攻击的方法及防火墙
CN104320375B (zh) * 2014-08-28 2018-02-16 福建天晴数码有限公司 一种防止非法注册的方法和装置
CN105376239B (zh) * 2015-11-25 2019-01-18 成都三零瑞通移动通信有限公司 一种支持移动终端进行IPSec VPN报文传输方法及装置
CN106330968B (zh) * 2016-10-31 2021-02-26 杭州迪普科技股份有限公司 一种访问设备的身份认证方法及装置
CN107438074A (zh) * 2017-08-08 2017-12-05 北京神州绿盟信息安全科技股份有限公司 一种DDoS攻击的防护方法及装置
CN107800723A (zh) * 2017-12-06 2018-03-13 中盈优创资讯科技有限公司 Cc攻击防护方法及设备
CN108366059A (zh) * 2018-02-07 2018-08-03 迈普通信技术股份有限公司 通信协商方法、响应方设备及发起方设备

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101197664A (zh) * 2008-01-03 2008-06-11 杭州华三通信技术有限公司 一种密钥管理协议协商的方法、系统和装置
CN105763318A (zh) * 2016-01-29 2016-07-13 杭州华三通信技术有限公司 一种预共享密钥获取、分配方法及装置

Also Published As

Publication number Publication date
CN110391902A (zh) 2019-10-29

Similar Documents

Publication Publication Date Title
Forsberg et al. Protocol for carrying authentication for network access (PANA)
Tschofenig et al. Transport layer security (tls)/datagram transport layer security (dtls) profiles for the internet of things
US10097525B2 (en) System, apparatus and method for generating dynamic IPV6 addresses for secure authentication
KR101158956B1 (ko) 통신 시스템에 증명서를 배분하는 방법
US8418242B2 (en) Method, system, and device for negotiating SA on IPv6 network
CN111901355B (zh) 一种认证方法及装置
US20050102514A1 (en) Method, apparatus and system for pre-establishing secure communication channels
CN107547559B (zh) 一种报文处理方法及装置
US20180069836A1 (en) Tiered attestation for resource-limited devices
WO2012026855A1 (en) Methods and arrangements for secure communication over an ip network
Fossati RFC 7925: Transport Layer Security (TLS)/Datagram Transport Layer Security (DTLS) Profiles for the Internet of Things
JP2009526455A (ja) モバイルインタネットプロトコルに準拠して交換されるメッセージの真正性を保証する方法
CN110474922B (zh) 一种通信方法、pc系统及接入控制路由器
CN110391902B (zh) 一种互联网密钥交换ike协商的方法及装置
CN113055357B (zh) 单包验证通信链路可信的方法、装置、计算设备及存储介质
EP3381208B1 (en) Charging record authentication for anonymized network service utilization
WO2023036348A1 (zh) 一种加密通信方法、装置、设备及介质
JP2004194196A (ja) パケット通信認証システム、通信制御装置及び通信端末
EP1836559B1 (en) Apparatus and method for traversing gateway device using a plurality of batons
Sangster et al. A posture transport protocol over TLS (PT-TLS)
US10079857B2 (en) Method of slowing down a communication in a network
Forsberg et al. RFC 5191: Protocol for Carrying Authentication for Network Access (PANA)
WO2010003326A1 (zh) 保护代理邻居发现的方法、系统和相关装置
Zhu et al. A web database Security model using the Host identity protocol
JP2008199420A (ja) ゲートウェイ装置および認証処理方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant