CN111371549B - 一种报文数据传输方法、装置及系统 - Google Patents
一种报文数据传输方法、装置及系统 Download PDFInfo
- Publication number
- CN111371549B CN111371549B CN202010146753.9A CN202010146753A CN111371549B CN 111371549 B CN111371549 B CN 111371549B CN 202010146753 A CN202010146753 A CN 202010146753A CN 111371549 B CN111371549 B CN 111371549B
- Authority
- CN
- China
- Prior art keywords
- tunnel
- identifier
- sending
- message data
- target tunnel
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本公开涉及一种报文数据传输方法、装置及系统。该方法包括:确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端。本公开涉及的报文数据传输方法、装置及系统,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
Description
技术领域
本公开涉及计算机信息处理领域,具体而言,涉及一种报文数据传输方法、装置及系统。
背景技术
近年来得益于国家政策支持,中国新能源产业发展迅速。随着光伏发电在一次能源消费中的比例不断提高,其安全运行越来越重要,因此电力系统对新能源接入电网及相关的二次防护方面也提出了更高的要求。其中,对于调度数据网络未覆盖到的监控系统,如负荷管理、配网自动化、分布式电源接入的数据通信是优先采用电力专用通信网络,如果不具备条件,也可以采用公用通信网络(不包括因特网)、无线公网(GPRS、CDMA、WIFI等)等通信方式,如果采用上述方式,必须采用安全隔离、加密传输等安全措施。
目前,经常对现有终端设备使用的应用层通信协议(IEC-104)进行加密,确保数据传输网络的安全运行,从而抵御黑客、恶意代码等方式的,通过各种形式利用分布式电源发起对电网监控系统的恶意破坏和攻击的行为,以及其他非法操作,防止电力系统瘫痪和失控,并由此导致的电网一次系统事故。
在所述背景技术部分公开的上述信息仅用于加强对本公开的背景的理解,因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
有鉴于此,本公开提供一种报文数据传输方法、装置及系统,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
本公开的其他特性和优点将通过下面的详细描述变得显然,或部分地通过本公开的实践而习得。
根据本公开的一方面,提出一种报文数据传输方法,该方法包括:确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端。
在本公开的一种示例性实施例中,基于所述发送端标识和所述接收端标识确定目标隧道标识,包括:基于所述发送端标识和所述接收端标识由策略表中提取目标策略动作;在所述目标策略动作为加密处理时,基于所述发送端标识和所述接收端标识确定目标隧道标识。
在本公开的一种示例性实施例中,基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥,包括:基于所述校验信息所述发送端和所述接收端进行探测协商处理;在所述发送端和所述接收端互相校验通过后,建立所述目标隧道,并生成所述会话秘钥。
在本公开的一种示例性实施例中,还包括:通过所有接收端和所有发送端之间的五元组数据和其对应的策略动作生成所述策略表;其中,五元组数据包括:源地址、目的地址、协议、源端口、目的端口。
在本公开的一种示例性实施例中,还包括:基于当前发送端和所有接收端的证书信息和秘钥建立所述隧道表;其中,所述校验信息包括:证书信息、协商周期、探测周期。
根据本公开的一方面,提出一种报文数据传输方法,该方法包括:接收来自发送端的目标隧道建立请求;基于目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;基于所述目标隧道接收加密数据;通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
在本公开的一种示例性实施例中,还包括:由所述报文数据中提取五元组数据;通过策略表判断所述五元组数据是否满足预设条件,在满足预设条件时,对所述报文数据进行转发。
根据本公开的一方面,提出一种报文数据传输装置,该装置包括:数据模块,用于确定待发送的报文数据的发送端标识和接收端标识;隧道模块,用于基于所述发送端标识和所述接收端标识确定目标隧道标识;信息模块,用于基于所述目标隧道标识由隧道表中提取校验信息;秘钥模块,用于基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;加密模块,用于通过所述会话秘钥对所述报文数据进行加密,生成加密数据;发送模块,用于将所述加密数据通过所述目标隧道发送至所述接收端。
根据本公开的一方面,提出一种报文数据传输装置,该装置包括:请求模块,用于接收来自发送端的目标隧道建立请求;校验模块,用于基于目标隧道标识由隧道表中提取校验信息;建立模块,用于基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;接收模块,用于基于所述目标隧道接收加密数据;解密模块,用于通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
根据本公开的一方面,提出一种报文数据传输系统,该系统包括:发送端,用于确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息和所述接收端建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端;以及接收端,用于接收来自所述发送端的目标隧道建立请求;基于目标隧道标识由隧道表中提取校验信息;基于所述校验信息和所述发送端建立目标隧道并生成会话秘钥;基于所述目标隧道接收加密数据;通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
根据本公开的一方面,提出一种电子设备,该电子设备包括:一个或多个处理器;存储装置,用于存储一个或多个程序;当一个或多个程序被一个或多个处理器执行,使得一个或多个处理器实现如上文的方法。
根据本公开的一方面,提出一种计算机可读介质,其上存储有计算机程序,该程序被处理器执行时实现如上文中的方法。
根据本公开的报文数据传输方法、装置及系统,确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端的方式,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
应当理解的是,以上的一般描述和后文的细节描述仅是示例性的,并不能限制本公开。
附图说明
通过参照附图详细描述其示例实施例,本公开的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本公开的一些实施例,对于本领域的普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1是根据一示例性实施例示出的一种报文数据传输方法及装置的系统框图。
图2是根据一示例性实施例示出的一种报文数据传输方法的流程图。
图3是根据另一示例性实施例示出的一种报文数据传输方法的流程图。
图4是根据一示例性实施例示出的一种报文数据传输方法的示意图。
图5是根据一示例性实施例示出的一种报文数据传输装置的框图。
图6是根据另一示例性实施例示出的一种报文数据传输装置的框图。
图7是根据一示例性实施例示出的一种电子设备的框图。
图8是根据一示例性实施例示出的一种计算机可读介质的框图。
具体实施方式
现在将参考附图更全面地描述示例实施例。然而,示例实施例能够以多种形式实施,且不应被理解为限于在此阐述的实施例;相反,提供这些实施例使得本公开将全面和完整,并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分,因而将省略对它们的重复描述。
此外,所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中,提供许多具体细节从而给出对本公开的实施例的充分理解。然而,本领域技术人员将意识到,可以实践本公开的技术方案而没有特定细节中的一个或更多,或者可以采用其它的方法、组元、装置、步骤等。在其它情况下,不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。
附图中所示的方框图仅仅是功能实体,不一定必须与物理上独立的实体相对应。即,可以采用软件形式来实现这些功能实体,或在一个或多个硬件模块或集成电路中实现这些功能实体,或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
附图中所示的流程图仅是示例性说明,不是必须包括所有的内容和操作/步骤,也不是必须按所描述的顺序执行。例如,有的操作/步骤还可以分解,而有的操作/步骤可以合并或部分合并,因此实际执行的顺序有可能根据实际情况改变。
应理解,虽然本文中可能使用术语第一、第二、第三等来描述各种组件,但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此,下文论述的第一组件可称为第二组件而不偏离本公开概念的教示。如本文中所使用,术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。
本领域技术人员可以理解,附图只是示例实施例的示意图,附图中的模块或流程并不一定是实施本公开所必须的,因此不能用于限制本公开的保护范围。
图1是根据一示例性实施例示出的一种报文数据传输方法、装置及系统的系统框图。
如图1所示,系统架构10可以包括发送终端设备101、102,网络103和接收终端设备104、105。网络103用以在发送终端设备101、102、和接收终端设备104、105之间提供通信链路的介质。网络103可以包括各种连接类型,例如无线通信链路或者光纤电缆等等。
用户可以使用发送终端设备101、102通过网络104与接收终端设备104、105交互,以接收或发送消息等。发送终端设备101、102和接收终端设备104、105上可以安装有各种通讯客户端应用,例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。
发送终端设备101、102和接收终端设备104、105可以是具有显示屏并且支持网页浏览的各种电子设备,包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
可以理解,图1中的终端设备、网络的数目仅仅是示意性的。根据实现需要,可以具有任意数目的终端设备、网络。比如发送终端设备102可以是多个服务器组成的服务器集群或者多个终端组成的系统等。
发送终端设备101、102可例如确定待发送的报文数据的发送端标识和接收端标识;发送终端设备101、102可例如基于所述发送端标识和所述接收端标识确定目标隧道标识;发送终端设备101、102可例如基于所述目标隧道标识由隧道表中提取校验信息;发送终端设备101、102可例如基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;发送终端设备101、102可例如通过所述会话秘钥对所述报文数据进行加密,生成加密数据;发送终端设备101、102可例如将所述加密数据通过所述目标隧道发送至所述接收端。
接收终端设备104、105可例如接收来自发送端的目标隧道建立请求;接收终端设备104、105可例如基于目标隧道标识由隧道表中提取校验信息;接收终端设备104、105可例如基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;接收终端设备104、105可例如基于所述目标隧道接收加密数据;接收终端设备104、105可例如基于所述目标隧道接收加密数据。
需要说明的是,本公开实施例所提供的报文数据传输方法可以由发送终端设备101、102和接收终端设备104、105执行,相应地,报文数据传输装置可以设置于发送终端设备101、102和接收终端设备104、105中。
图2是根据一示例性实施例示出的一种报文数据传输方法的流程图。报文数据传输方法20是对发送端设备处理过程的描述,报文数据传输方法20至少包括步骤S202至S212。
如图2所示,在S202中,确定待发送的报文数据的发送端标识和接收端标识。其中,报文协议可为TCP、UDP、ICMP中任一种。
在S204中,基于所述发送端标识和所述接收端标识确定目标隧道标识。包括:基于所述发送端标识和所述接收端标识由策略表中提取目标策略动作;在所述目标策略动作为加密处理时,基于所述发送端标识和所述接收端标识确定目标隧道标识。
由策略表中提取匹配信息以及动作信息。其中,匹配信息为IP五元组信息,用户可基于IP五元组进行指定特定数据流,即在发送和接收设备满足该条件时则执行策略的指定的动作。策略动作有两种结果,明通放行或加密处理,当匹配结果为加密处理时则获取该策略引用的隧道信息以及会话密钥并将数据下发给加解密模块进行加密处理。
访问策略的用途是可以允许用户进行指定终端与哪些服务器的通信需要进行密文传输,哪些通信是可以明文传输,其余访问是不允许进行的。需要在发送端和接收端均配置策略表和隧道表,当访问策略配置成功,并且隧道协商完成后,有数据流经过时,加密模块会根据访问策略进行数据的分流,如果需要进行数据加密,则将数据发送到对应的隧道中,使用隧道协商的会话密钥进行加密处理,加密完成后将密文数据发送给对端,对端加密设备接收到密文数据后会使用会话密钥进行解密处理,并将明文数据转发,通过该种方式使得数据在中间传输过程中一直以密文形式存在,保证数据的安全可靠。
在S206中,基于所述目标隧道标识由隧道表中提取校验信息。其中,目标隧道用于指定链路对端信息,包括对端IP地址,对端证书等基本信息,隧道配置成功后,开始进行隧道协商,协商过程会使用对端公钥进行加密并使用本端私钥进行签名(支持SM2加密算法),这样用以保证协商过程的安全性以及可靠性,隧道协商过程会产生真随机数,并经过一定的算法运算最终生成本次连接的会话密钥,由于会话密钥生成的基础为两端临时产生的真随机数进行的计算,因此可保证会话密钥的安全可靠,不会被第三方预先获取。
在S208中,基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥。包括:基于所述校验信息所述发送端和所述接收端进行探测协商处理;在所述发送端和所述接收端互相校验通过后,建立所述目标隧道,并生成所述会话秘钥。
在S210中,通过所述会话秘钥对所述报文数据进行加密,生成加密数据。
其中,可通过加密模块进行加密,加密模块可运行在通过裁剪Linux内核和精简文件系统形成设备的基础操作系统平台。剪裁后的系统只保留了必要的管理命令及系统服务,占用空间小,启动速度更快,运行更加稳定;裁剪后的系统后开放的端口只有密码服务,远程安全配置管理功能,最大限度的减少了可能存在的系统漏洞,操作系统安全性也得到了有效增强。
该加密模块可支持国家密码管理局审批的密码算法,使用的密码算法包括对称加密算法、非对称算法、散列算法和随机数生成算法。对称加密算法用于数据加密,采用国密办指定的电力专用分组加密算法,分组长度为128位,密钥长度为128位。非对称算法用于数字签名和数字信封,采用国密办要求的256位SM2算法。散列算法用于数据完整性验证,采用SM3算法。
在S212中,将所述加密数据通过所述目标隧道发送至所述接收端。还可例如,对原始IP报文头及端口号进行数据加密,并添加外部IP报文头及ESP信息生成加密报文,将加密报文转发至接收端设备。
根据本公开的报文数据传输方法,确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端的方式,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
应清楚地理解,本公开描述了如何形成和使用特定示例,但本公开的原理不限于这些示例的任何细节。相反,基于本公开公开的内容的教导,这些原理能够应用于许多其它实施例。
图3是根据另一示例性实施例示出的一种报文数据传输方法的流程图。报文数据传输方法30是对接收端设备处理过程的描述,报文数据传输方法30至少包括步骤S302至S310。
如图3所示,在S302中,接收来自发送端的目标隧道建立请求。
在S304中,基于目标隧道标识由隧道表中提取校验信息。
在S306中,基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥。
在S308中,基于所述目标隧道接收加密数据。
在S310中,通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
在一个实施例中,还包括:由所述报文数据中提取五元组数据;通过策略表判断所述五元组数据是否满足预设条件,在满足预设条件时,对所述报文数据进行转发。
由策略表中提取匹配信息以及动作信息。其中,匹配信息为IP五元组信息,用户可基于IP五元组进行指定特定数据流,即在发送和接收设备满足该条件时则执行策略的指定的动作。策略动作有两种结果,明通放行或加密处理,当匹配结果为加密处理时则获取该策略引用的隧道信息以及会话密钥并将数据下发给加解密模块进行加密处理。
可例如,通过五元组数据可指定发送设备A和接收设备B之间,策略动作为加密处理,则在发送设备A给接收设备B发送报文数据时,数据就会加密之后再发送。同理,可通过五元组数据指定发送设备C和接收设备D之间,策略动作为明通放行,则在发送设备C给接收设备D发送报文数据时,数据不经过加密直接发送。
根据本公开的报文数据传输方法,接收来自发送端的目标隧道建立请求;基于目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;基于所述目标隧道接收加密数据;通过所述会话秘钥对所述加密数据进行解密,生成报文数据的方式,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
图4是根据一示例性实施例示出的一种报文数据传输方法的示意图。图4示例性的说明了隧道表和策略表的内容添加示例。
在一个实施例中,还包括:通过所有接收端和所有发送端之间的五元组数据和其对应的策略动作生成所述策略表;其中,五元组数据包括:源地址、目的地址、协议、源端口、目的端口。
在系统中,为任意两侧(发送侧和接收侧)设备添加一条策略表项,表项中可包含IP地址、端口号、协议号(如TCP、UDP、ICMP)。
由于数据加解密是以成对的方式存在的,对于一对加密设备(发送侧和接收侧),针对各个业务配置策略,可以理解为一个业务就要配置一条策略。设备中可以配置多条策略,这些策略彼此独立,所有策略通常放在一个表中进行管理,这个表叫策略表,其中的每条策略是一个表项,即策略表项。
更进一步的,策略表中的信息分为匹配信息以及动作信息两部分。匹配信息为IP五元组信息,可以允许用户基于IP五元组(源IP、目的IP、协议、源端口、目的端口)进行指定特定数据流,当满足该条件时则执行策略的动作。策略动作有两种结果,明通放行或加密处理,当匹配结果为加密处理时则获取该策略引用的隧道信息以及会话密钥并将数据下发给加解密模块进行加密处理。
在一个实施例中,还包括:基于当前发送端和所有接收端的证书信息和秘钥建立所述隧道表;其中,所述校验信息包括:证书信息、协商周期、探测周期。
隧道表主要包含对端IP地址以及对端证书信息,以及协商周期以及探测周期等附属信息。当隧道配置成功后,发送设备和接收设备会进行探测协商处理,两端互相验证证书及密钥成功后,会成功建立起隧道连接,并生成会话密钥,该密钥用于后期通信加解密处理。
本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时,执行本公开提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中,该存储介质可以是只读存储器,磁盘或光盘等。
此外,需要注意的是,上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明,而不是限制目的。易于理解,上述附图所示的处理并不表明或限制这些处理的时间顺序。另外,也易于理解,这些处理可以是例如在多个模块中同步或异步执行的。
下述为本公开装置实施例,可以用于执行本公开方法实施例。对于本公开装置实施例中未披露的细节,请参照本公开方法实施例。
图5是根据一示例性实施例示出的一种报文数据传输装置的框图。如图5所示,报文数据传输装置50包括:数据模块502,隧道模块504,信息模块506,秘钥模块508,加密模块510,发送模块512。
数据模块502用于确定待发送的报文数据的发送端标识和接收端标识;其中,报文协议可为TCP、UDP、ICMP中任一种。
隧道模块504用于基于所述发送端标识和所述接收端标识确定目标隧道标识;包括:基于所述发送端标识和所述接收端标识由策略表中提取目标策略动作;在所述目标策略动作为加密处理时,基于所述发送端标识和所述接收端标识确定目标隧道标识。
信息模块506用于基于所述目标隧道标识由隧道表中提取校验信息;其中,目标隧道用于指定链路对端信息,包括对端IP地址,对端证书等基本信息,隧道配置成功后,开始进行隧道协商,协商过程会使用对端公钥进行加密并使用本端私钥进行签名。
秘钥模块508用于基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;包括:基于所述校验信息所述发送端和所述接收端进行探测协商处理;在所述发送端和所述接收端互相校验通过后,建立所述目标隧道,并生成所述会话秘钥。
加密模块510用于通过所述会话秘钥对所述报文数据进行加密,生成加密数据;其中,可通过加密模块进行加密,加密模块可运行在通过裁剪Linux内核和精简文件系统形成设备的基础操作系统平台。
发送模块512用于将所述加密数据通过所述目标隧道发送至所述接收端。还可例如,对原始IP报文头及端口号进行数据加密,并添加外部IP报文头及ESP信息生成加密报文,将加密报文转发至接收端设备。
图6是根据另一示例性实施例示出的一种报文数据传输装置的框图。如图6所示,报文数据传输装置60包括:请求模块602,校验模块604,建立模块606,接收模块608,解密模块610。
请求模块602用于接收来自发送端的目标隧道建立请求;
校验模块604用于基于目标隧道标识由隧道表中提取校验信息;
建立模块606用于基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;
接收模块608用于基于所述目标隧道接收加密数据;
解密模块610用于通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
根据本公开的报文数据传输装置,确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端的方式,能够克服现有终端中存在的安全性不足的问题,为终端间报文数据的传输提供了机密性、完整性的保护。
图7是根据一示例性实施例示出的一种电子设备的框图。
下面参照图7来描述根据本公开的这种实施方式的电子设备700。图7显示的电子设备700仅仅是一个示例,不应对本公开实施例的功能和使用范围带来任何限制。
如图7所示,电子设备700以通用计算设备的形式表现。电子设备700的组件可以包括但不限于:至少一个处理单元710、至少一个存储单元720、连接不同系统组件(包括存储单元720和处理单元710)的总线730、显示单元740等。
其中,所述存储单元存储有程序代码,所述程序代码可以被所述处理单元710执行,使得所述处理单元710执行本说明书上述电子处方流转处理方法部分中描述的根据本公开各种示例性实施方式的步骤。例如,所述处理单元710可以执行如图2,图3中所示的步骤。
所述存储单元720可以包括易失性存储单元形式的可读介质,例如随机存取存储单元(RAM)7201和/或高速缓存存储单元7202,还可以进一步包括只读存储单元(ROM)7203。
所述存储单元720还可以包括具有一组(至少一个)程序模块7205的程序/实用工具7204,这样的程序模块7205包括但不限于:操作系统、一个或者多个应用程序、其它程序模块以及程序数据,这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线730可以为表示几类总线结构中的一种或多种,包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备700也可以与一个或多个外部设备700’(例如键盘、指向设备、蓝牙设备等)通信,还可与一个或者多个使得用户能与该电子设备700交互的设备通信,和/或与使得该电子设备700能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口750进行。并且,电子设备700还可以通过网络适配器760与一个或者多个网络(例如局域网(LAN),广域网(WAN)和/或公共网络,例如因特网)通信。网络适配器760可以通过总线730与电子设备700的其它模块通信。应当明白,尽管图中未示出,可以结合电子设备700使用其它硬件和/或软件模块,包括但不限于:微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述,本领域的技术人员易于理解,这里描述的示例实施方式可以通过软件实现,也可以通过软件结合必要的硬件的方式来实现。因此,如图8所示,根据本公开实施方式的技术方案可以以软件产品的形式体现出来,该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM,U盘,移动硬盘等)中或网络上,包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本公开实施方式的上述方法。
所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件,或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括:具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号,其中承载了可读程序代码。这种传播的数据信号可以采用多种形式,包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质,该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输,包括但不限于无线、有线、光缆、RF等等,或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码,所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等,还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中,远程计算设备可以通过任意种类的网络,包括局域网(LAN)或广域网(WAN),连接到用户计算设备,或者,可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
上述计算机可读介质承载有一个或者多个程序,当上述一个或者多个程序被一个该设备执行时,使得该计算机可读介质实现如下功能:确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端。
本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中,也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块,也可以进一步拆分成多个子模块。
通过以上的实施例的描述,本领域的技术人员易于理解,这里描述的示例实施例可以通过软件实现,也可以通过软件结合必要的硬件的方式来实现。因此,根据本公开实施例的技术方案可以以软件产品的形式体现出来,该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM,U盘,移动硬盘等)中或网络上,包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施例的方法。
以上具体地示出和描述了本公开的示例性实施例。应可理解的是,本公开不限于这里描述的详细结构、设置方式或实现方法;相反,本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。
Claims (6)
1.一种报文数据传输方法,其特征在于,
包括有应用于发送端的步骤:
确定待发送的报文数据的发送端标识和接收端标识;
基于所述发送端标识和所述接收端标识确定目标隧道标识,具体包括:
基于所述发送端标识和所述接收端标识由策略表中提取目标策略动作,在所述目标策略动作为加密处理时,基于所述发送端标识和所述接收端标识确定目标隧道标识;
所述由策略表中提取目标策略动作具体为:
由策略表中提取匹配信息以及动作信息,
其中,匹配信息为IP五元组信息,基于IP五元组进行指定特定数据流,在发送和接收设备满足相应的条件时则执行策略的指定的动作,
其中策略动作有两种结果,明通放行或加密处理,当匹配结果为加密处理时则获取该策略引用的隧道信息以及会话密钥并将数据下发给加解密模块进行加密处理;
基于所述目标隧道标识由隧道表中提取校验信息,其中,目标隧道用于指定链路对端信息,隧道配置成功后,开始进行隧道协商,协商过程会使用对端公钥进行加密并使用本端私钥进行签名,隧道协商过程会产生真随机数,并经过算法运算最终生成本次连接的会话密钥;
基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥,具体包括:基于所述校验信息所述发送端和所述接收端进行探测协商处理,在所述发送端和所述接收端互相校验通过后,建立所述目标隧道,并生成所述会话秘钥;
通过所述会话秘钥对所述报文数据进行加密,生成加密数据;
将所述加密数据通过所述目标隧道发送至所述接收端;
所述报文数据传输方法还包括有应用于接收端的步骤:
接收来自发送端的目标隧道建立请求;
基于目标隧道标识由隧道表中提取校验信息;
基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;
基于所述目标隧道接收加密数据;
通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
2.如权利要求1所述的方法,其特征在于,还包括:
通过所有接收端和所有发送端之间的五元组数据和其对应的策略动作生成所述策略表;
其中,五元组数据包括:源地址、目的地址、协议、源端口、目的端口。
3.如权利要求1所述的方法,其特征在于,还包括:
基于当前发送端和所有接收端的证书信息和秘钥建立所述隧道表;
其中,所述校验信息包括:证书信息、协商周期、探测周期。
4.如权利要求1所述的方法,其特征在于,还包括:
由所述报文数据中提取五元组数据;
通过策略表判断所述五元组数据是否满足预设条件,在满足预设条件时,对所述报文数据进行转发。
5.一种报文数据传输装置,适用于如权利要求1所述的一种报文数据传输方法,包括有分别应用于发送端、接收端的装置,其特征在于,所述应用于发送端的装置包括:
数据模块,用于确定待发送的报文数据的发送端标识和接收端标识;
隧道模块,用于基于所述发送端标识和所述接收端标识确定目标隧道标识;
信息模块,用于基于所述目标隧道标识由隧道表中提取校验信息;
秘钥模块,用于基于所述校验信息在所述发送端和所述接收端之间建立目标隧道并生成会话秘钥;
加密模块,用于通过所述会话秘钥对所述报文数据进行加密,生成加密数据;
发送模块,用于将所述加密数据通过所述目标隧道发送至所述接收端;
所述应用于接收端的装置包括;
请求模块,用于接收来自发送端的目标隧道建立请求;
校验模块,用于基于目标隧道标识由隧道表中提取校验信息;
建立模块,用于基于所述校验信息在所述发送端和接收端之间建立目标隧道并生成会话秘钥;
接收模块,用于基于所述目标隧道接收加密数据;
解密模块,用于通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
6.一种报文数据传输系统,适用于如权利要求1所述的一种报文数据传输方法,其特征在于,包括:
发送端,用于确定待发送的报文数据的发送端标识和接收端标识;基于所述发送端标识和所述接收端标识确定目标隧道标识;基于所述目标隧道标识由隧道表中提取校验信息;基于所述校验信息和所述接收端建立目标隧道并生成会话秘钥;通过所述会话秘钥对所述报文数据进行加密,生成加密数据;将所述加密数据通过所述目标隧道发送至所述接收端;以及
接收端,用于接收来自所述发送端的目标隧道建立请求;基于目标隧道标识由隧道表中提取校验信息;基于所述校验信息和所述发送端建立目标隧道并生成会话秘钥;基于所述目标隧道接收加密数据;通过所述会话秘钥对所述加密数据进行解密,生成报文数据。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202010146753.9A CN111371549B (zh) | 2020-03-05 | 2020-03-05 | 一种报文数据传输方法、装置及系统 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202010146753.9A CN111371549B (zh) | 2020-03-05 | 2020-03-05 | 一种报文数据传输方法、装置及系统 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN111371549A CN111371549A (zh) | 2020-07-03 |
CN111371549B true CN111371549B (zh) | 2023-03-24 |
Family
ID=71210275
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN202010146753.9A Active CN111371549B (zh) | 2020-03-05 | 2020-03-05 | 一种报文数据传输方法、装置及系统 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN111371549B (zh) |
Families Citing this family (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN111935243B (zh) * | 2020-07-17 | 2023-06-30 | 杭州海康机器人股份有限公司 | 一种数据信息的传输方法、装置、系统及设备 |
CN112069213A (zh) * | 2020-09-08 | 2020-12-11 | 支付宝(杭州)信息技术有限公司 | 数据报送的方法和系统 |
CN112218292A (zh) * | 2020-09-16 | 2021-01-12 | 浙江双成电气有限公司 | 无线通信的加密方法、系统、电子设备及可读存储介质 |
CN112351040B (zh) * | 2020-11-10 | 2022-07-29 | 宏图智能物流股份有限公司 | 一种应用于物流网络的网络请求有效性验证方法 |
CN112565367B (zh) * | 2020-11-27 | 2021-08-27 | 北京三维天地科技股份有限公司 | 一种基于对称算法的数据交换平台和数据交换方法 |
CN114760166B (zh) * | 2020-12-28 | 2023-05-26 | 国家计算机网络与信息安全管理中心 | 一种隧道报文的处理方法和装置 |
CN114697160B (zh) * | 2020-12-28 | 2023-05-26 | 国家计算机网络与信息安全管理中心 | 一种隧道报文的处理方法和装置 |
CN113037760B (zh) * | 2021-03-15 | 2023-01-06 | 中国建设银行股份有限公司 | 报文发送方法和装置 |
CN114124511A (zh) * | 2021-11-17 | 2022-03-01 | 北京天融信网络安全技术有限公司 | 一种ipsec协商方法、网络设备及可读存储介质 |
CN114422609A (zh) * | 2021-12-30 | 2022-04-29 | 北京机电工程总体设计部 | 一种设备数字标识与名称共存的数据通信方法 |
CN114465775B (zh) * | 2021-12-31 | 2023-10-20 | 华为技术有限公司 | 安全传输方法及装置 |
CN115065735A (zh) * | 2022-03-08 | 2022-09-16 | 阿里巴巴(中国)有限公司 | 报文处理方法及电子设备 |
CN115567208A (zh) * | 2022-09-29 | 2023-01-03 | 中电信量子科技有限公司 | 网络会话数据流细粒度透明加解密方法及系统 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102868522A (zh) * | 2012-09-12 | 2013-01-09 | 汉柏科技有限公司 | 一种ike协商异常的处理方法 |
Family Cites Families (9)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101547132B (zh) * | 2008-03-25 | 2012-06-20 | 华为技术有限公司 | 一种建立数据转发隧道的方法、系统和装置 |
CN101299665B (zh) * | 2008-05-19 | 2011-10-05 | 成都市华为赛门铁克科技有限公司 | 报文处理方法、系统及装置 |
US8544080B2 (en) * | 2008-06-12 | 2013-09-24 | Telefonaktiebolaget L M Ericsson (Publ) | Mobile virtual private networks |
CN105591926B (zh) * | 2015-12-11 | 2019-06-07 | 新华三技术有限公司 | 一种流量保护方法及装置 |
CN105763557B (zh) * | 2016-04-07 | 2019-01-22 | 烽火通信科技股份有限公司 | 交换芯片或np与cpu协同完成报文ipsec加密的方法与系统 |
CN108574589B (zh) * | 2017-03-10 | 2021-09-14 | 华为技术有限公司 | 一种互联网协议安全性隧道的维护方法、装置及系统 |
CN108989342B (zh) * | 2018-08-23 | 2021-02-05 | 新华三信息安全技术有限公司 | 一种数据传输的方法及装置 |
CN109450852B (zh) * | 2018-10-09 | 2020-09-29 | 中国科学院信息工程研究所 | 网络通信加密解密方法及电子设备 |
CN110535748B (zh) * | 2019-09-09 | 2021-03-26 | 北京科东电力控制系统有限责任公司 | 一种vpn隧道模式优化方法及系统 |
-
2020
- 2020-03-05 CN CN202010146753.9A patent/CN111371549B/zh active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102868522A (zh) * | 2012-09-12 | 2013-01-09 | 汉柏科技有限公司 | 一种ike协商异常的处理方法 |
Also Published As
Publication number | Publication date |
---|---|
CN111371549A (zh) | 2020-07-03 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN111371549B (zh) | 一种报文数据传输方法、装置及系统 | |
US8447970B2 (en) | Securing out-of-band messages | |
CN111222155A (zh) | 一种重加密与区块链结合的方法及系统 | |
CN112400299B (zh) | 一种数据交互方法及相关设备 | |
CN106357690B (zh) | 一种数据传输方法、数据发送装置及数据接收装置 | |
CN113806772A (zh) | 基于区块链的信息加密传输方法及装置 | |
CN111131278A (zh) | 数据处理方法及装置、计算机存储介质、电子设备 | |
CN111914291A (zh) | 消息处理方法、装置、设备及存储介质 | |
CN115333839B (zh) | 数据安全传输方法、系统、设备及存储介质 | |
CN110708291A (zh) | 分布式网络中数据授权访问方法、装置、介质及电子设备 | |
CN115065472A (zh) | 基于多密钥加密解密的安全芯片加密解密方法及装置 | |
CN113630412B (zh) | 资源下载方法、资源下载装置、电子设备以及存储介质 | |
CN107276996A (zh) | 一种日志文件的传输方法及系统 | |
Kasodhan et al. | A new approach of digital signature verification based on BioGamal algorithm | |
CN112637230B (zh) | 一种即时通信方法及系统 | |
CN113438210A (zh) | 一种数据传输处理方法、装置和电子设备 | |
CN114650181B (zh) | 电子邮件加解密方法、系统、设备及计算机可读存储介质 | |
CN114745114B (zh) | 基于口令派生的密钥协商方法、装置、设备及介质 | |
CN112995140B (zh) | 安全管理系统及方法 | |
CN115694922A (zh) | 在国产cpu和os下的文件传输加密方法及设备 | |
CN111490876B (zh) | 一种基于usb key的通信方法和usb key | |
JP5932709B2 (ja) | 送信側装置および受信側装置 | |
CN112218292A (zh) | 无线通信的加密方法、系统、电子设备及可读存储介质 | |
Arora et al. | Handling Secret Key Compromise by Deriving Multiple Asymmetric Keys based on Diffie-Hellman Algorithm | |
CN111526128B (zh) | 一种加密管理的方法和装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |