CN110768972B - 一种安全验证方法和路由器 - Google Patents

Abstract

本申请公开了一种安全验证方法和路由器，涉及网络安全技术领域，用于保护数据的安全。该方法包括：路由器获取第一列表，其中，所述第一列表包括预设数量的第一IP地址与所述预设数量的用户标识的对应关系；所述路由器获取请求接入所述路由器的终端的标识和所述终端指定的IP地址；所述路由器根据所述终端的标识、所述IP地址、所述第一列表和所述预设数量，进行安全验证；在验证通过时，所述路由器允许所述终端访问网络。本申请实施例应用于安全验证。

Description

一种安全验证方法和路由器

技术领域

本申请涉及网络安全技术领域，尤其涉及一种安全验证方法和路由器。

背景技术

随着网络的发展，数据安全的问题受到重视，如何能够最大程度地保护数据的安全，永远是用户极为关注的一点。现有安全方法通常采用特定身份信息，如白名单验证、接入点名称(access point name，APN)验证，活动目录(active directory，AD)域验证等，对用户的身份进行验证，只允许验证通过的用户访问受保护数据。但这种身份信息被非法用户获取后，非法用户可以通过伪装身份信息等方法来通过验证，安全性较低。如通过设置MAC地址白名单的方式，来对用户终端的MAC地址进行验证时，非法用户可以通过修改MAC地址为白名单中的MAC地址，或窃取白名单中的用户终端的网卡等硬件进行替换，从而达到通过验证的目的。

发明内容

本申请的实施例提供一种安全验证方法和路由器，用于解决现有技术中采用特定身份信息来对用户的身份进行验证，安全性较低的问题。

为达到上述目的，本申请的实施例采用如下技术方案：

第一方面，本申请的实施例提供了一种安全验证方法，包括：

路由器获取第一列表，其中，所述第一列表包括预设数量的第一IP地址与所述预设数量的用户标识的对应关系；

所述路由器获取请求接入所述路由器的终端的标识和所述终端指定的IP地址；

所述路由器根据所述终端的标识、所述IP地址、所述第一列表和所述预设数量，进行安全验证；

在验证通过时，所述路由器允许所述终端访问网络。

第二方面，本申请的实施例提供了一种安全验证装置，包括:

收发模块，用于获取第一列表，其中，所述第一列表包括预设数量的第一IP地址与所述预设数量的用户标识的对应关系；

所述收发模块，还用于获取请求接入所述路由器的终端的标识和所述终端指定的IP地址；

处理模块，用于根据所述终端的标识、所述IP地址、所述第一列表和所述预设数量，进行安全验证；

所述处理模块，还用于在验证通过时，允许所述终端访问网络。

第三方面，提供了一种存储一个或多个程序的计算机可读存储介质，所述一个或多个程序包括指令，所述指令当被计算机执行时使所述计算机执行如第一方面所述的安全验证方法。

第四方面，提供了一种包含指令的计算机程序产品，当所述指令在计算机上运行时，使得计算机执行如第一方面所述的安全验证方法。

第五方面，提供一种安全验证装置，包括：处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行上述第一方面所述的安全验证方法。

本申请的实施例提供的安全验证方法和路由器，通过路由器获取包括随机IP地址和允许访问网络的用户标识对应关系的第一列表，使路由器进行安全验证时所使用的信息是随机生成的。在进行安全验证时，同时验证终端的标识和IP地址与第一列表中的用户标识和用户标识对应的第一IP地址是否相同，二者相同的终端的数量与预设数量是否相同，避免了使用固定的身份信息来进行安全验证。通过确定终端的标识和IP地址与第一列表中的用户标识和用户标识对应的第一IP地址是否相同，确保只有第一列表中的用户标识对应的终端才能接入路由器。通过验证二者都相同的终端数量与预设数量是否相同，确保了在部分用户标识和IP地址泄漏的情况下，非法用户也无法伪装所有用户标识和IP地址方法来通过安全验证。从而解决了现有技术中采用特定身份信息来对用户的身份进行验证，安全性较低的问题，保证了数据的安全。

附图说明

图1为本申请的实施例提供的一种网络通信系统的结构示意图；

图2为本申请的实施例提供的路由器的一种硬件结构示意图；

图3为本申请的实施例提供的服务端的一种硬件结构示意图；

图4为本申请的实施例提供的一种路由器的结构示意图；

图5为本申请的实施例提供的一种服务端的结构示意图；

图6为本申请的实施例提供的安全验证方法的流程示意图一；

图7为本申请的实施例提供的安全验证方法的流程示意图二；

图8为本申请的实施例提供的安全验证方法的流程示意图三。

具体实施方式

下面结合附图对本申请的具体实施方式做进一步的详细说明。

如图1所示，本申请的实施例提供了一种网络通信系统的结构示意图，该网络通信系统包括：路由器10、服务端20、终端30、网络40。其中，服务端20可以是服务器、台式电脑、笔记本电脑等设备，终端30可以是手机、笔记本电脑、个人数字助理、可穿戴移动电子设备等设备。

终端30与路由器10可以通过有线或无线进行通信。服务端20与路由器10可以通过有线进行通信。终端30可以通过路由器10访问网络40中的图片、文字等数据。路由器10可以在路由器10中生成或从服务端20接收第一列表、第二列表、验证周期等信息，获取终端30的标识和指定的IP地址等信息，以执行本申请下述实施例中的安全验证方法，其中，终端30的用户标识可以是国际移动设备识别码(international mobile equipment identity，IMEI)、媒体存取控制位址(media access control address，MAC)等能够标识终端30或使用终端30的用户的唯一身份的标识。

路由器10或服务端20可以接收用户输入的用户标识，如允许访问网络的终端30的MAC地址等。路由器10或服务端20可以根据接收的用户标识的数量，确定预设数量，随机生成预设数量的IP地址，并根据预设数量的IP地址和用户标识生成第一列表、第二列表等信息，以执行本申请下述实施例中的安全验证方法。

网络40可以是万维网、存储有受保护数据的内部网络、服务器等。

在某些实施例中，网络40可以是万维网等安全要求较低的网络，用户通过路由器10执行下述安全验证方法，对接入路由器10的终端30进行验证，以避免存储有受保护数据的终端30访问网络40，并将受保护数据发送给网络40中的非法服务器、非法用户等，以保证终端30内存储的数据的安全性。

在某些实施例中，网络40可以是存储有受保护数据的内部网络，如公司内网等安全要求较高的网络。用户通过路由器10执行下述安全验证方法，对接入路由器10的终端30进行验证，以避免非法用户的终端30通过路由器10访问网络40中存储的数据，以保证网络40中存储的数据的安全性。

在某些实施例中，网络40可以是存储有机密数据的特定服务器，用户通过路由器10执行下述安全验证方法，对接入路由器10的终端30进行验证，只让具有访问权限的终端30通过路由器10访问服务器中存储的数据，避免机密数据被其他没有权限的终端30访问。

如图2所示，本申请的实施例提供了路由器10的一种硬件结构示意图。该路由器10包括一个或多个(图中仅示出一个)处理器101、存储器102、通信接口103以及通信总线104。

通信总线104用于路由器10中各部分部件之间的通信。通信接口103用于路由器10与外部进行互相通信，该通信接口103主要包括有有线接口和无线接口，例如RJ45接口等。存储器102可用于存储安全验证程序及模块，数据库及操作系统，如执行本发明实施例中的安全验证方法对应的程序及模块。存储器102可包括高速随机存储器，还可包括非易失性存储器，如一个或多个磁性存储装置、闪存或其他非易失性存储器。处理器101通过运行存储在存储器102内的安全验证程序及模块，从而执行各种功能应用及数据处理。

如图3所示，本申请的实施例提供了服务端20的一种硬件结构示意图。该服务端20包括：一个或多个(图中仅示出一个)处理器201、存储器202、通信接口203以及通信总线204。

通信总线204用于服务端20中各部分部件之间的通信。通信接口203用于服务端20与外部进行互相通信。存储器202可用于存储安全验证程序及模块，数据库及操作系统，如执行本发明实施例中的安全验证方法对应的程序及模块。处理器201通过运行存储在存储器202内的安全验证程序及模块，从而执行各种功能应用及数据处理。

本领域普通技术人员可以理解，图2、图3所示的结构仅为示意，其并不对路由器10、服务端20的结构造成限定。例如，路由器10还可包括比图2中所示更多或者更少的组件，或者具有与图2所示不同的配置。

如图4所示，本申请的实施例提供的一种路由器10的结构示意图，该路由器10包括：收发模块11、处理模块12。

具体的，收发模块11可以通过图2所示的路由器10中的通信接口103实现发送和/或接收功能，处理模块12可以通过图2所示的路由器10中的处理器101调用存储器102中存储的计算机执行指令来实现本申请下述实施例的安全验证方法。

如图5所示，本申请的实施例提供了一种服务端20的结构示意图，该服务端20包括：收发模块21、处理模块22。

具体的，收发模块21可以通过图3所示的服务端20中的通信接口203实现发送和/或接收功能，处理模块22可以通过图3所示的服务端20中的处理器201调用存储器202中存储的计算机执行指令来实现本申请下述实施例的安全验证方法。

实施例1、

图6为本申请的实施例提供的一种安全验证方法的流程示意图，应用于如图1所示的网络通信系统中。该安全验证方法具体包括如下步骤：

S601、路由器获取第一列表。

具体的，路由器10的收发模块11获取第一列表。

路由器10或服务端20可以根据用户指令或预设配置，随机生成预设数量的第一IP地址，并将预设数量的第一IP地址与预设数量的用户标识的建立对应关系。通过随机生成的第一IP地址并与用户标识建立对应关系，使每次执行安全验证方法时所使用的第一列表中用户标识对应的IP地址都不相同，避免了固定的IP地址、用户标识被泄露时的风险，提高了安全性。

路由器10可以根据用户指令或预设配置，选择从何处获取第一列表。当路由器10被配置为从服务端20接收时，路由器10接收服务端20发送的第一列表并保存；当路由器10被配置为自行生成第一列表时，路由器10随机生成预设数量的第一IP地址，并根据预设数量的第一IP地址与预设数量的用户标识的对应关系得到第一列表。

S602、路由器获取请求接入路由器的终端的标识和终端指定的IP地址。

具体的，路由器10的收发模块11获取请求接入路由器10的终端30的标识和终端30指定的IP地址。

用户可以通过从路由器10或服务端20处，获取第一列表中与终端30的标识相同的用户标识对应的第一IP地址，并根据第一IP地址配置终端30指定的IP地址。在完成终端30的配置后，用户可以指示终端30向路由器10发起接入请求。

S603、路由器根据终端的标识、IP地址、第一列表和预设数量，进行安全验证。

具体的，路由器10的处理模块12根据终端30的标识、IP地址、第一列表和预设数量进行安全验证。

路由器10的处理模块12通过第一列表中的用户标识和第一IP地址，对终端的标识、IP地址进行验证，确认请求接入路由器10的终端30是否允许通过路由器10访问网络40的终端30，仅允许标识和IP地址与第一列表中的用户标识和第一IP地址相同的终端30接入路由器10，拒绝不相同的终端30接入路由器10。再结合预设数量对确认通过的终端30的数量进行确认。通过多重验证，以保证数据的安全。

可选的，路由器10的处理模块12在终端30的标识与第一列表中的用户标识相同，且IP地址与第一列表中用户标识对应的第一IP地址相同时，确定二者均相同的终端30的数量与预设数量是否相同；如果相同则验证通过，否则验证不通过。

示例性的，第一列表可以包括：IP地址1.1.1.1与用户标识A的对应关系、IP地址1.1.1.2与用户标识B的对应关系、IP地址1.1.1.3与用户标识C的对应关系，此时预设数量为3。路由器10的收发模块11获取的请求接入路由器10的终端30的标识和指定的IP地址为:第一终端的标识为A、IP地址1.1.1.1，第二终端的标识为B、IP地址1.1.1.2，第三终端的标识为C、IP地址1.1.1.3、第四终端的标识为C、IP地址为1.1.1.4。路由器10的处理模块12根据第一列表中的IP地址和用户标识对第一终端、第二终端、第三终端和第四终端的标识和指定的IP地址进行验证，判断第四终端的标识C与第一列表中的用户标识C相同，但第四终端的IP地址1.1.1.4与第一列表中用户标识C对应的IP地址1.1.1.3不同，第四终端不是允许访问网络40的终端40。因此，只允许第一终端、第二终端、第三终端接入路由器10，拒绝第四终端接入路由器10。而后，确定二者相同的终端30的数量为3，与预设数量相同，验证结果为验证通过。

S604、在验证通过时，路由器允许终端访问网络。

具体的，在验证通过时，路由器10的处理模块12允许终端30访问网络40。

路由器10的处理模块12在确定验证结果为验证通过后，判断当前与路由器建立连接的终端30为允许访问网络40的终端30，此时处理模块12运行终端30通过路由器10访问网络40。

可选的，在路由器10允许终端30访问网络40后，路由器10的处理模块12禁止其他终端30接入路由器10。在路由器10完成安全验证后，为了避免第一列表泄露，非法用户通过伪装第一列表中的用户标识和第一IP地址来接入路由器10，进一步保证数据的安全。

可选的，在验证不通过时，路由器10向服务端20发送警示通知。服务端20在接收到警示通知后，可以向用户发送语言或短信提醒，以提醒用户有不符合要求的用户试图通过路由器10访问网络40。

本申请实施例提供的安全验证方法，通过路由器获取包括随机IP地址和允许访问网络的用户标识对应关系的第一列表，使路由器进行安全验证时所使用的信息是随机生成的。在进行安全验证时，同时验证终端的标识和IP地址与第一列表中的用户标识和用户标识对应的第一IP地址是否相同，二者相同的终端的数量与预设数量是否相同，避免了使用固定的身份信息来进行安全验证。通过确定终端的标识和IP地址与第一列表中的用户标识和用户标识对应的第一IP地址是否相同，确保只有第一列表中的用户标识对应的终端才能接入路由器。通过验证二者都相同的终端数量与预设数量是否相同，确保了在部分用户标识和IP地址泄漏的情况下，非法用户也无法伪装所有用户标识和IP地址方法来通过安全验证。从而解决了现有技术中采用特定身份信息来对用户的身份进行验证，安全性较低的问题，保证了数据的安全。

可选的，如图7所示，该安全验证方法还包括步骤S605-S608，用于在路由器10允许终端30访问网络40后，周期性的对允许访问网络40的终端30进行安全验证，以避免非法用户访问网络40，该方法包括：

S605、路由器获取验证周期。

具体的，路由器10的收发模块11获取验证周期。

可选的，路由器10的收发模块11从服务端20接收验证周期。

路由器10可以根据用户设置被配置为自动生成验证周期，或者从服务端20接收验证周期。

其中，验证周期可以是路由器10或服务端20随机生成的，还可以是用户预先设置的。示例性的，验证周期可以是每2分钟进行一次验证，还可以是在5分钟内随机进行3次验证。

S606、路由器获取允许访问网络的终端的标识、IP地址。

具体的，路由器10的收发模块11获取允许访问网络40的终端30的标识、IP地址。

路由器10获取允许访问网络40的终端30当前的标识和IP地址，以进行安全验证。

S607、路由器根据验证周期、第一列表、允许访问网络的终端的标识和IP地址，进行安全验证。

具体的，路由器10的处理模块12根据验证周期、第一列表、允许访问网络40的终端30的标识和IP地址，进行安全验证。

可选的，在验证周期到来时，路由器10的处理模块12验证允许访问网络40的终端30的标识与第一列表中的用户标识是否相同、允许访问网络40的终端30的IP地址与第一列表中用户标识对应的第一IP地址是否相同。在二者均相同时，验证通过，否则验证不通过。

示例性的，验证周期可以是每2分钟进行一次验证，在路由器10允许终端30访问网络40的第2分钟、4分钟、6分钟等时间，进行安全验证。验证允许访问网络40的终端30的标识与第一列表中的用户标识是否相同、允许访问网络40的终端30的IP地址与第一列表中的第一IP地址是否相同。

S608、在验证不通过时，路由器禁止终端访问网络。

具体的，在验证不通过时，路由器10的处理模块12禁止终端30访问网络。

在验证不通过时，则表明允许访问网络40的终端30中，存在IP地址与标识与第一列表中的用户标识和用户标识对应的第一IP地址不同的终端30，路由器10的处理模块12禁止所有的终端30访问网络40，以保证数据的安全。

进一步的，如图8所示，该安全验证方法还包括步骤S609-S612，用于在路由器10允许终端30访问网络40后，对请求接入路由器10的终端30进行验证。该方法包括：

S609、在路由器允许终端访问网络后，获取第二列表。

具体的，在路由器允许终端30访问网络40后，路由器10的收发模块11获取第二列表。

其中，第二列表包括预设数量的第二IP地址与预设数量的用户标识的对应关系。

路由器10可以通过处理模块12生成第二列表或通过收发模块从服务端20接收第二列表。

S610、路由器获取请求接入路由器的终端的标识和终端指定的IP地址。

具体的，路由器10的收发模块11获取请求接入路由器10的终端30的标识和终端30指定的IP地址。

获取终端30的标识和IP地址以进行安全验证。

S611、路由器根据第二列表、终端的标识和IP地址，进行安全验证。

具体的，路由器10的处理模块12根据第二列表对此时请求接入路由器10的终端30进行验证。

路由器10根据第二列表、终端30的标识、IP地址和预设数量，进行安全验证的方法与S605中的方法相同，在此不再重复。

在某些特殊情况下，如非法用户得知第一列表和第二列表中的某些用户标识和对应的IP地址后，非法用户会尝试根据第一列表或第二列表中的用户标识和IP地址，来进行伪装，从而达到非法访问网络40的目的。

为了避免这一问题，通过第二列表来验证在路由器10允许访问网络40后，请求接入路由器10的终端30的标识和IP地址。此时，为了通过验证，非法用户只能将终端30伪装为第二列表中的用户标识和第二IP地址，从而达到接入路由器10的目的。

路由器10的处理模块12会根据验证周期和第一列表，周期性的对允许访问网络40的终端30进行安全验证。即使非法用户的终端30通过伪装为第二列表中的用户标识和IP地址，从而通过安全验证，接入路由器10，也会因为使用的是第二列表中的第二IP地址，与第一列表中的第一IP地址完全不同，而造成路由器10周期性的安全验证的结果为验证不通过，使路由器10禁止所有的终端30访问网络40，从而避免了在用户标识和IP地址泄漏的情况下，非法用户通过伪装合法用户访问网络40的情况。

S612、在验证通过时，路由器允许终端访问网络。

具体的，在验证通过时，路由器10的处理模块12允许终端30访问网络40。

本申请的实施例提供一种存储一个或多个程序的计算机可读存储介质，所述一个或多个程序包括指令，所述指令当被计算机执行时使计算机执行如图6-图8中所述的安全验证方法。

本申请的实施例提供一种包含指令的计算机程序产品，当指令在计算机上运行时，使得计算机执行如图6-图8中所述的安全验证方法。

本申请的实施例提供一种安全验证装置，包括：处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行如图6-图8中所述的安全验证方法。

由于本申请的实施例中的安全验证装置、计算机可读存储介质、计算机程序产品可以应用于上述安全验证方法，因此，其所能获得的技术效果也可参考上述方法实施例，本申请的实施例在此不再赘述。

需要说明的是，上述各单元可以为单独设立的处理器，也可以集成在控制器的某一个处理器中实现，此外，也可以以程序代码的形式存储于控制器的存储器中，由控制器的某一个处理器调用并执行以上各单元的功能。这里所述的处理器可以是一个中央处理器(Central Processing Unit，CPU)，或者是特定集成电路(Application SpecificIntegrated Circuit，ASIC)，或者是被配置成实施本申请实施例的一个或多个集成电路。

应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

Claims (8)

1.一种安全验证方法，其特征在于，包括：

路由器获取第一列表，其中，所述第一列表包括预设数量的第一IP地址与所述预设数量的用户标识的对应关系；所述第一IP地址为随机生成的；

所述路由器获取请求接入所述路由器的终端的标识和所述终端指定的IP地址；

在所述终端的标识与所述第一列表中的用户标识相同，且所述IP地址与所述第一列表中用户标识对应的第一IP地址相同时，确定二者均相同的终端的数量与所述预设数量是否相同；

如果相同则验证通过，否则验证不通过；

在验证通过时，所述路由器允许所述终端访问网络。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述路由器获取验证周期；

所述路由器获取允许访问网络的所述终端的标识、IP地址；

所述路由器根据所述验证周期、所述第一列表、允许访问网络的所述终端的标识和IP地址，进行安全验证；

在验证不通过时，所述路由器禁止所述终端访问网络。

3.根据权利要求2所述的方法，其特征在于，所述路由器根据所述验证周期、所述第一列表、允许访问网络的所述终端的标识和IP地址，进行安全验证，包括：

在所述验证周期到来时，验证允许访问网络的所述终端的标识与所述第一列表中的用户标识是否相同、允许访问网络的所述终端的IP地址与所述第一列表中用户标识对应的第一IP地址是否相同；

在二者均相同时，验证通过，否则验证不通过。

4.一种路由器，其特征在于，包括：

收发模块，用于获取第一列表，其中，所述第一列表包括预设数量的第一IP地址与所述预设数量的用户标识的对应关系；

所述收发模块，还用于获取请求接入所述路由器的终端的标识和所述终端指定的IP地址；所述第一IP地址为随机生成的；

处理模块，用于在所述终端的标识与所述第一列表中的用户标识相同，且所述IP地址与所述第一列表中用户标识对应的第一IP地址相同时，确定二者均相同的终端的数量与所述预设数量是否相同；如果相同则验证通过，否则验证不通过；

所述处理模块，还用于在验证通过时，允许所述终端访问网络。

5.根据权利要求4所述的路由器，其特征在于，

所述收发模块，还用于获取验证周期，获取允许访问网络的所述终端的标识、IP地址；

所述处理模块还用于：

根据所述验证周期、所述第一列表、允许访问网络的所述终端的标识和IP地址，进行安全验证；

在验证不通过时，所述路由器禁止所述终端访问网络。

6.根据权利要求5所述的路由器，其特征在于，所述处理模块还具体用于：

在所述验证周期到来时，验证允许访问网络的所述终端的标识与所述第一列表中的用户标识是否相同、允许访问网络的所述终端的IP地址与所述第一列表中用户标识对应的第一IP地址是否相同；

在二者均相同时，验证通过，否则验证不通过。

7.一种存储一个或多个程序的计算机可读存储介质，其特征在于，所述一个或多个程序包括指令，所述指令当被计算机执行时使所述计算机执行如权利要求1-3任一项所述的安全验证方法。

8.一种安全验证装置，其特征在于，包括：处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行如权利要求1-3任一项所述的安全验证方法。

Images