CN112702417B - 一种边缘计算报文防重放方法 - Google Patents

一种边缘计算报文防重放方法 Download PDF

Info

Publication number
CN112702417B
CN112702417B CN202011519404.3A CN202011519404A CN112702417B CN 112702417 B CN112702417 B CN 112702417B CN 202011519404 A CN202011519404 A CN 202011519404A CN 112702417 B CN112702417 B CN 112702417B
Authority
CN
China
Prior art keywords
message
replay
data
terminal
hash value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011519404.3A
Other languages
English (en)
Other versions
CN112702417A (zh
Inventor
肖龙辉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sichuan Changhong Electric Co Ltd
Original Assignee
Sichuan Changhong Electric Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sichuan Changhong Electric Co Ltd filed Critical Sichuan Changhong Electric Co Ltd
Priority to CN202011519404.3A priority Critical patent/CN112702417B/zh
Publication of CN112702417A publication Critical patent/CN112702417A/zh
Application granted granted Critical
Publication of CN112702417B publication Critical patent/CN112702417B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种边缘计算报文防重放攻击方法，包括以下步骤：在边缘计算系统终端部署防重放数据生成模块、在边缘计算网关部署防重放校验模块；终端业务数据经防重放数据生成模块处理后得到新的报文，将防重放处理后报文上报至边缘计算网关；边缘计算网关收到的报文经防重放校验模块处理，若处理结果正常则执行防重放校验模块返回的业务数据，若处理结果为重放数据或已篡改数据则不处理业务数据。该方法可以实现无精确时间戳环境下边缘计算报文防重放功能。

Description

一种边缘计算报文防重放方法
技术领域
本发明涉及物联网通信技术领域，尤其涉及一种边缘计算报文防重放方法。
背景技术
边缘计算是指在靠近物或数据源头的一侧，采用网络、计算、存储、应用核心能力为一体的开放平台，就近提供服务，边缘计算可以减少甚至不需要数据的流转，进而减少网络流量和响应时间，在一定范围内具备服务器的功能，是近年物联网重点发展方向。
报文重放攻击是物联网常用的攻击方式之一，是攻击者发送一个目的主机已接收过的合法报文，来达到欺骗系统的目的。边缘计算常用到的报文安全措施是报文字段加密、HTTPS传输等，这些措施并不能防止重放攻击，虽然窃听者无法得到数据的准确定义，但是可以从请求的接收方地址分析出这些数据的作用。比如用户登录请求时攻击者虽然无法窃听密码，却可以截取加密后的口令然后将其重放，从而利用这种方式进行有效的攻击。
边缘计算不联网时可以切断来自互联网的攻击，但攻击者可以在边缘计算网关信号覆盖范围内监听边缘计算各终端与网关直接数据传输内容，通过统计学、收发地址分析分析等手段识别数据包意义，通过信号发射设备伪装合法终端重放指定数据包，实现其目的，比如智能家居系统可以重放手机控制门窗开关报文打开门窗，危害严重，因此边缘计算有必要具备抵抗重放攻击能力。
报文防范重放攻击的关键是服务端能够辨认一个报文是否已经被处理过。当前比较成熟的报文防重放方法是基于时间戳和随机数，通过对报文、时间戳、随机数签名，保证报文只在一段时间内有效且这段时间内签名不重复，服务端只需存储一段时间的签名即可判断新到的报文是否已经处理过。此方法对时间戳的准确性要求较高，一般需要向时间服务器校准时间戳。
由于边缘计算系统不一定需要联网，不访问时间服务器情况下其自身时间戳准确性无法保证，因此基于时间戳和随机数的防重放方法不适用于边缘计算系统。
发明内容
为了解决上述技术问题，本发明提供了一种边缘计算报文防重放方法，可以实现无精确时间戳环境下边缘计算报文防重放功能。
为了达到上述技术效果，本发明采用如下技术方案：
一种边缘计算报文防重放方法，包括以下步骤：
(1)在边缘计算系统终端部署防重放数据生成模块、在边缘计算网关部署防重放校验模块；
(2)终端业务数据经防重放数据生成模块处理后得到新的报文，将防重放处理后报文上报至边缘计算网关；
(3)边缘计算网关收到的报文经防重放校验模块处理，若处理结果正常则执行防重放校验模块返回的业务数据，若处理结果为重放数据或已篡改数据则不处理业务数据。
进一步的技术方案为，所述防重放数据生成模块，主要功能是生成并保存设备ID、消息ID管理、不重复随机数生成，将设备ID、消息ID加密；将业务数据、明文设备ID、明文消息ID组合而成的数据进行hash计算，得到hash值。
进一步的技术方案为，所述防重放数据校验模块，主要功能是解密加密数据，将业务数据、设备ID、消息ID组合而成的数据进行hash算法，得到hash值，将该hash值与报文中的hash值比较，一致则消息未被篡改，不一致则存在被篡改风险，消息防篡改校验合法后校验消息ID是否符合预设规则，符合预设规则更新该设备存储的消息ID。
进一步的技术方案为，所述防重放数据生成流程具体为：
(1)获取终端设备ID，若未能提取到设备ID，则生成一个设备ID，设备ID不重复，生成的设备ID存储在终端指定位置；
(2)获取上次消息ID，根据上次消息ID值计算出当前消息ID值；若该设备之前未与边缘网关通信，消息ID置为初始值；消息ID分为多个序列L1，L2...Ln,每个序列设置一个初始值O1，O2...On，每个序列递增量D1，D2...Dn，每个序列值上限U1，U2...Un；从L1开始递增，每次消息上报L1递增D1，当L1达到U1复位为O1，同时L2递增D2，依此类推，当Ln-1增加到Un-1后复位为On-1,，同时Ln递增Dn；序列数量根据终端业务情况设定，保证在终端生命周期内序列容量不超过上限即可；
(3)将终端设备ID和消息ID拼接，然后用加密算法对拼接后数据加密；
(4)拼接业务数据、终端设备ID、消息ID，对拼接后数据进行hash计算，得到hash值；
(5)将业务数据、加密数据、hash值上报至边缘网关或服务器；
(6)更新存储的上次消息ID为当前消息ID。
进一步的技术方案为，所述防重放数据校验流程具体为：
(1)解密报文中密文数据，得到消息中终端设备ID，消息ID数据；
(2)查询该终端上次消息ID，若无该终端记录，则上次消息ID为消息ID初始值；
(3)比较上次消息ID与本次消息ID关系，当上次消息ID递增正整数次后与本次消息ID一致，则消息合法，否则不合法；由于边缘计算系统终端通信方式一般为wifi、蓝牙、zigbee，存在上报消息边缘网关未收到情况，因此校验时当前ID比上次消息ID增加了正整数次即可；
(4)拼接报文中的业务数据、解密后终端ID、解密后消息ID，对拼接后数据进行hash计算得到hash值，该值与报文中的hash值比较，若一致则消息未被篡改；
(5)更新存储的该终端ID对应的消息ID为解密后消息ID。
边缘计算系统网关和设备终端，参与防重放数据生成和校验的各参数作用说明如下：
(1)业务数据(body)，网关需要处理的业务，根据业务数据进行相关业务逻辑工作。
(2)设备ID，该数据由设备端生成，为一个不重复随机序列，便于网关识别终端并对防重放数据进行管理。
(3)消息ID，为递增序列，分成多个子序列，低序列达到一定数后复位，同时高一序列计数递增。子序列数量根据终端上报数据频率设定，保证在设备寿命内的校验消息上报数量均可计数。
以上数据可有效防止利用合法数据或篡改合法数据进行攻击，报文中未出现的明文设备ID和消息ID参与hash计算，保证了hash值生成不透明，报文出现篡改后可识别。消息ID保证报文的时效性，当报文解密后得到的消息ID不大于该终端上次上报的消息ID即可判定处于重放状态。
与现有技术相比，本发明具有如下有益效果：
(1)边缘系统未接入互联网情况下(不能访问时间服务器获取可靠时间戳)也可以实现防重放功能；
(2)加入hash计算，且参与计算参数有不在报文中出现数据，攻击方在篡改报文数据后不能计算出正确hash值，可识别报文是否被篡改；
(3)防重放流程简单，减小系统开销，同时增加了可靠性。
(4)消息ID设为序列，可避免单个计数参数因数据结构限制计数次数，比如终端cpu为16位时整数型上限数据为65535，计数次数也就少于65535，终端生命周期内计数器可能存在复位或数据溢出可能。
附图说明
图1为报文防重放过程。
图2为防重放数据生成流程。
图3为防重放校验流程。
图4为报文防重放处理前后数据结构对比。
具体实施方式
实施例1
如图1所示，本发明提供了一种边缘计算报文防重放方法，包括以下步骤：
(1)在边缘计算系统终端部署防重放数据生成模块、在边缘计算网关部署防重放校验模块；
(2)终端业务数据经防重放数据生成模块处理后得到新的报文，将防重放处理后报文上报至边缘计算网关；
(3)边缘计算网关收到的报文经防重放校验模块处理，若处理结果正常则执行防重放校验模块返回的业务数据，若处理结果为重放数据或已篡改数据则不处理业务数据。
所述防重放数据生成流程具体为：
(1)获取终端设备ID，若未能提取到设备ID，则生成一个设备ID，设备ID不重复，生成的设备ID存储在终端指定位置；
(2)获取上次消息ID，根据上次消息ID值计算出当前消息ID值；若该设备之前未与边缘网关通信，消息ID置为初始值；消息ID分为多个序列L1，L2...Ln,每个序列设置一个初始值O1，O2...On，每个序列递增量D1，D2...Dn，每个序列值上限U1，U2...Un；从L1开始递增，每次消息上报L1递增D1，当L1达到U1复位为O1，同时L2递增D2，依此类推，当Ln-1增加到Un-1后复位为On-1,，同时Ln递增Dn；序列数量根据终端业务情况设定，保证在终端生命周期内序列容量不超过上限即可；
(3)将终端设备ID和消息ID拼接，然后用加密算法对拼接后数据加密；
(4)拼接业务数据、终端设备ID、消息ID，对拼接后数据进行hash计算，得到hash值；
(5)将业务数据、加密数据、hash值上报至边缘网关或服务器；
(6)更新存储的上次消息ID为当前消息ID。
所述防重放数据校验流程具体为：
(1)解密报文中密文数据，得到消息中终端设备ID，消息ID数据；
(2)查询该终端上次消息ID，若无该终端记录，则上次消息ID为消息ID初始值；
(3)比较上次消息ID与本次消息ID关系，当上次消息ID递增正整数次后与本次消息ID一致，则消息合法，否则不合法；由于边缘计算系统终端通信方式一般为wifi、蓝牙、zigbee，存在上报消息边缘网关未收到情况，因此校验时当前ID比上次消息ID增加了正整数次即可；
(4)拼接报文中的业务数据、解密后终端ID、解密后消息ID，对拼接后数据进行hash计算得到hash值，该值与报文中的hash值比较，若一致则消息未被篡改；
(5)更新存储的该终端ID对应的消息ID为解密后消息ID。
尽管这里参照本发明的解释性实施例对本发明进行了描述，上述实施例仅为本发明较佳的实施方式，本发明的实施方式并不受上述实施例的限制，应该理解，本领域技术人员可以设计出很多其他的修改和实施方式，这些修改和实施方式将落在本申请公开的原则范围和精神之内。

Claims (3)

1.一种边缘计算报文防重放方法，其特征在于，包括以下步骤：
（1）在边缘计算系统终端部署防重放数据生成模块、在边缘计算网关部署防重放校验模块；
（2）终端业务数据经防重放数据生成模块处理后得到新的报文，将防重放处理后报文上报至边缘计算网关；
（3）边缘计算网关收到的报文经防重放校验模块处理，若处理结果正常则执行防重放校验模块返回的业务数据，若处理结果为重放数据或已篡改数据则不处理业务数据；
所述防重放数据生成流程具体为：
（1）获取终端设备ID，若未能提取到设备ID，则生成一个设备ID，设备ID不重复，生成的设备ID存储在终端指定位置；
（2）获取上次消息ID，根据上次消息ID值计算出当前消息ID值；若该设备之前未与边缘网关通信，消息ID置为初始值；消息ID分为多个序列L1，L2...Ln,每个序列设置一个初始值O1，O2...On，每个序列递增量D1，D2...Dn，每个序列值上限U1，U2...Un；从L1开始递增，每次消息上报L1递增D1，当L1达到U1复位为O1，同时L2递增D2，依此类推，当Ln-1增加到Un-1后复位为On-1，同时Ln递增Dn；序列数量根据终端业务情况设定，保证在终端生命周期内序列容量不超过上限即可；
（3）将终端设备ID和消息ID拼接，然后用加密算法对拼接后数据加密；
（4）拼接业务数据、终端设备ID、消息ID，对拼接后数据进行hash计算，得到hash值；
（5）将业务数据、加密数据、hash值上报至边缘计算网关；
（6）更新存储的上次消息ID为当前消息ID；
所述防重放数据校验流程具体为：
（1）解密报文中密文数据，得到消息中终端设备ID，消息ID数据；
（2）查询该终端上次消息ID，若无该终端记录，则上次消息ID为消息ID初始值；
（3）比较上次消息ID与本次消息ID关系，当上次消息ID递增正整数次后与本次消息ID一致，则消息合法，否则不合法；由于边缘计算系统终端通信方式一般为wifi、蓝牙、zigbee，存在上报消息边缘网关未收到情况，因此校验时当前ID比上次消息ID增加了正整数次即可；
（4）拼接报文中的业务数据、解密后终端ID、解密后消息ID，对拼接后数据进行hash计算得到hash值，该值与报文中的hash值比较，若一致则消息未被篡改；
（5）更新存储的该终端ID对应的消息ID为解密后消息ID。
2.根据权利要求1所述的边缘计算报文防重放方法，其特征在于，所述防重放数据生成模块，功能是生成并保存设备ID、消息ID管理、不重复随机数生成，将设备ID、消息ID加密；将业务数据、明文设备ID、明文消息ID组合而成的数据进行hash计算，得到hash值。
3.根据权利要求1所述的边缘计算报文防重放方法，其特征在于，所述防重放数据校验模块，功能是解密加密数据，将业务数据、设备ID、消息ID组合而成的数据进行hash算法，得到hash值，将该hash值与报文中的hash值比较，一致则消息未被篡改，不一致则存在被篡改风险，消息防篡改校验合法后校验消息ID是否符合预设规则，符合预设规则更新该设备存储的消息ID。
CN202011519404.3A 2020-12-21 2020-12-21 一种边缘计算报文防重放方法 Active CN112702417B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011519404.3A CN112702417B (zh) 2020-12-21 2020-12-21 一种边缘计算报文防重放方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011519404.3A CN112702417B (zh) 2020-12-21 2020-12-21 一种边缘计算报文防重放方法

Publications (2)

Publication Number Publication Date
CN112702417A CN112702417A (zh) 2021-04-23
CN112702417B true CN112702417B (zh) 2022-03-15

Family

ID=75509708

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011519404.3A Active CN112702417B (zh) 2020-12-21 2020-12-21 一种边缘计算报文防重放方法

Country Status (1)

Country Link
CN (1) CN112702417B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114095177B (zh) * 2021-11-18 2024-01-26 中国银行股份有限公司 信息安全处理的方法及装置、电子设备、存储介质
CN116795741B (zh) * 2023-08-28 2023-11-10 凡澈科技(武汉)有限公司 存储器数据防删除篡改方法及系统
CN118611990B (zh) * 2024-08-07 2024-10-18 奥特酷智能科技(南京)有限公司 一种时间同步系统安全性测试方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101242274A (zh) * 2005-06-24 2008-08-13 华为技术有限公司 保证消息序列号不重复、防止重放攻击的方法及移动终端
CN110995432A (zh) * 2020-03-05 2020-04-10 杭州字节物联安全技术有限公司 基于边缘网关的物联网感知节点认证方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100571124C (zh) * 2005-06-24 2009-12-16 华为技术有限公司 防止重放攻击的方法以及保证消息序列号不重复的方法
CN101583154B (zh) * 2009-07-07 2011-11-16 杭州华三通信技术有限公司 一种无线局域网中的通信方法及装置
US11308227B2 (en) * 2012-01-09 2022-04-19 Visa International Service Association Secure dynamic page content and layouts apparatuses, methods and systems

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101242274A (zh) * 2005-06-24 2008-08-13 华为技术有限公司 保证消息序列号不重复、防止重放攻击的方法及移动终端
CN110995432A (zh) * 2020-03-05 2020-04-10 杭州字节物联安全技术有限公司 基于边缘网关的物联网感知节点认证方法

Also Published As

Publication number Publication date
CN112702417A (zh) 2021-04-23

Similar Documents

Publication Publication Date Title
CN112702417B (zh) 一种边缘计算报文防重放方法
US10958309B2 (en) Systems, methods and apparatuses for prevention of relay attacks
US10587600B2 (en) Systems, methods and apparatuses for determining proximity of communication device
Zhang et al. Distributed privacy-preserving access control in sensor networks
US8484486B2 (en) Integrated cryptographic security module for a network node
CN101800989B (zh) 用于工业无线网络的防重放攻击系统
CN113824705B (zh) 一种Modbus TCP协议的安全加固方法
CN111726346B (zh) 数据安全传输方法、装置及系统
US10491570B2 (en) Method for transmitting data, method for receiving data, corresponding devices and programs
CN113434474B (zh) 基于联邦学习的流量审计方法、设备、存储介质
Bohli et al. Resilient data aggregation for unattended WSNs
CN113949591B (zh) 一种基于区块链的数据加密保护方法及系统
CN113452702B (zh) 一种微服务流量检测系统和方法
CN114499995B (zh) 一种防止重放攻击的方法、装置和系统
Baig et al. Detection of compromised smart meters in the Advanced Metering Infrastructure
CA2902283C (en) Ensuring the proximity of a communication device to its partner device
CN101425925A (zh) 提供数据通信认证的方法、系统和设备
CN117955735B (zh) 一种数据安全访问控制方法、系统及存储介质
Wang et al. Fault-Tolerant Data Aggregation with Error-Checking for Smart Grids
Guerra et al. Formal verification and risk assessment of an implementation of the OPC-UA Protocol
CN118337777A (zh) 一种基于大数据的网络通信安全防护系统
CN102014380B (zh) 基于wapi的鉴证加速装置及高速鉴别认证方法
CN118233894A (zh) 一种基于互联网的安全管理方法
CN109962901A (zh) 一种电力无线公网数据安全传输方法
CN115118438A (zh) 基于区块链的终端数字身份管理方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant