CN115549983B - 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法 - Google Patents

一种基于时间同步的IPv6网络传输设备的安全认证装置及方法 Download PDF

Info

Publication number
CN115549983B
CN115549983B CN202211113114.8A CN202211113114A CN115549983B CN 115549983 B CN115549983 B CN 115549983B CN 202211113114 A CN202211113114 A CN 202211113114A CN 115549983 B CN115549983 B CN 115549983B
Authority
CN
China
Prior art keywords
information
module
authentication
key
transmission
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202211113114.8A
Other languages
English (en)
Other versions
CN115549983A (zh
Inventor
汪文勇
杨江川
张开程
喻海生
邹赛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
University of Electronic Science and Technology of China
Original Assignee
University of Electronic Science and Technology of China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by University of Electronic Science and Technology of China filed Critical University of Electronic Science and Technology of China
Priority to CN202211113114.8A priority Critical patent/CN115549983B/zh
Publication of CN115549983A publication Critical patent/CN115549983A/zh
Application granted granted Critical
Publication of CN115549983B publication Critical patent/CN115549983B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04J—MULTIPLEX COMMUNICATION
    • H04J3/00—Time-division multiplex systems
    • H04J3/02—Details
    • H04J3/06—Synchronising arrangements
    • H04J3/0635—Clock or time synchronisation in a network
    • H04J3/0638—Clock or time synchronisation among nodes; Internode synchronisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种基于时间同步的IPv6网络传输设备的安全认方法，包括以下步骤：S1:控制器模块选取加密方法和初始化密钥信息；S2:同步模块同步网络传输设备间的时间并维护设备间的传输时延信息；S3：认证模块基于IPv6网络层协议创建认证辅助信息并获取同步模块的发送时间戳信息，传输模块通过加密模块进行单向加密后填入认证协议字段并发送数据包；S4：认证模块调用加密模块完成对时间戳的单向加密获取认证辅助信息并根据认证结果决定数据包的传输是否继续。本发明实现对确定性网络中高成本的高精度时间同步能力的充分利用和数据包传输的额外安全保障，以显著减少基于传统网络的数据包对本网络的负载影响。

Description

一种基于时间同步的IPv6网络传输设备的安全认证装置及 方法
技术领域
本发明的技术领域为新一代信息技术领域，尤其涉及一种面向IPv6的基于时间同步的安全认证装置及方法。
背景技术
随着我国互联网技术的普及与广泛应用，大量行业展现出了对具有延迟保证和超低数据包损失的确定性网络服务迫切的需求。同时观察到实际应用的网络范围正变得越来越大，确定性网络服务需求将不再限制在局域网内，需要超越局域网边界的确定性转发，将过往局域网中提供的确定性保障能力通过网络层技术拓展到广域网中。
在互联网IPv6确定性传输的过程中，由于确定性的网络技术通常需要中间节点能够感知确定性传输过程中必要的转发和控制信息，并且随着IPv6将确定性的网络技术拓展到广域网之后，其将面临更加广泛和多变的安全威胁，迫切需要将安全性提升到一个更高的级别。故需要提出一种新的高效安全认证机制为IPv6将确定性的网络技术拓展到广域网提供安全保障。
由于高精度时间同步技术的发展和推广，网络中各设备间的时间同步精度从毫秒级提高到了微秒级，甚至在部分特殊网络中达到了纳秒级。目前网络中3个较为常用的时间同步方案设计包括网络时间协议NTP、精密时间协议PTP和广义精密时间协议gPTP。
网络时间协议(NTP)是互联网中最初的时间同步协议，其初代版本于1985年之前便已开始运行了。当前形成标准的最新版本为NTPv4，其在RFC5905-5908中给出了协议和算法规范和数据交换格式。NTP的时间同步实现是通过一个UDP服务的应用程序，这意味着它只在NTP服务器和NTP客户端之间的终端系统上运行。NTP服务器通常采用GNSS或原子时钟来确保一个可靠的时间源，然后通过网络逐级拓展范围，实现NTP广泛部署。NTP通过软件实现，故不需要特定的硬件支持，具有很好的成本优势，并且由于其层次结构的可扩展性。
精确时间协议(PTP)最初是由IEEE仪器和测量委员会在2001年提出的标准IEEE1588规定，2007年修订的IEEE 1588v2应用广泛，最新版本为IEEE 1588v2.1，其能够在微秒到亚微秒范围内实现异构系统的精确时钟同步。其支持的协议有UDP、IEEE 802.3(以太网)、DeviceNet、ControlNet和PROFINET等。然而，在非PTP路由器存在多跳通信的情况下，在存在非对称延迟的情况下，测量到的同步精度会明显下降至NTP级别。因此，PTP对应用程序环境和需求有一定的局限性。为了达到较好的时间同步精度，通常需要通过硬件实现包括时间戳功能等PTP特性功能，成本较高，部署较为复杂。
gPTP是IEEE 802.1时间敏感网络(TSN)标准体系中规定的时间同步算法，用于在基于IEEE 802的网络上支持时间同步的低延迟流量传输。相关标准为IEEE 802.1AS，其根据IEEE1588发展而来，在最新的IEEE1588v2.1和IEEE 802.1AS-2020完成了一致性的统一。与IEEE1588相比，IEEE 802.1AS简化了一些特性，提高了大型网络的稳定性，并放宽了设备的硬件需求。由于IEEE 802.1AS采用的底层原理和技术与IEEE1588相似，他们在时间精度上基本一致。由于IEEE 802.1AS降低了硬件成本，扩大了网络拓扑，提高了应用范围，其产品制造和落地应用的进程推进得较为迅速。
随着这些时间同步技术的发展，基于设备间的高精度时间同步信息能够被用来实现一些更加丰富的应用需求，能够利用设备间传输延时信息和同步时间戳的动态维护来为网络提供一些额外的安全保障。
发明内容
本发明要解决的技术问题是，现有技术确定性网络服务安全认证机制效率较低。
本发明提供一种基于时间同步的IPv6网络传输设备的安全认证方法，包括以下步骤：
S1:控制器模块选取加密方法和初始化密钥信息；
S2:同步模块同步网络传输设备间的时间并维护设备间的传输时延信息；
S3：传输模块发送数据包前，认证模块基于IPv6网络层协议创建认证辅助信息并获取同步模块的发送时间戳信息，传输模块通过加密模块进行单向加密后填入认证协议字段并发送数据包；
S4：当传输模块接收数据包时，同步模块记录接收时间戳，认证模块解析IPv6网络层协议并基于同步模块记录的接收时间戳信息和传输时延信息对数据包进行认证，认证模块调用加密模块完成对时间戳的单向加密获取认证辅助信息并根据认证结果决定数据包的传输是否继续。
进一步的，所述步骤S1包括，
S101：控制器模块响应管理人员操作，选取认证中需要使用的加密方法，加密方法类型包括单向散列算法；
S1011：单向散列算法H是一系列具备不可逆性质的比特串映射函数的组合；
S1012：单向散列算法H将输入数据M打乱混合，创建加密串Y：
所述单向散列算法包括，
S10121：按对应算法规定填充输入数据M，使其比特长度为区块大小的整倍数；
S10122：通过异或与运算'∧'、或运算'∨'、位移运算'＜＜＜','＞＞＞'操作，迭代压缩数据，具体迭代算法依照选取的单向散列算法类型执行；
S10123：输出具备不可逆性的信息M加密串Y；
S102：管理人员使用控制器生成装置中所有网络传输设备在认证中需要使用的密钥信息；
S1021：密钥信息key的初始化和派生使用如下公式生成密钥：
key＝KDF(source,salt,iterations)
其中KDF为密钥派生函数，source为原始密钥，salt为充当加密盐的随机数，iterations为迭代次数；
S103：控制器模块统一配置或更换所有网络传输设备配置的加密方法：
所述步骤S103包括：
S1031：控制器模块向网络传输设备发送单向散列算法信息和身份验证信息；
S1032：网络传输设备接收到单向散列算法信息后，校验身份验证信息，确定为本设备的控制器模块后根据单向散列算法信息更新设备参数；
S104：控制器模块进行密钥信息初始化时，控制器根据步骤S102中生成的密钥设置装置内设备的密钥信息，所述步骤S104包括：
S1041：控制器模块向装置中网络传输设备发送密钥信息和控制器身份验证信息；
S1042：网络传输设备接收到密钥信息后，校验控制器身份验证信息，确定为本设备的控制器模块后设置密钥；
进一步的，所述步骤S3包括，
S301：认证模块利用IPv6网络层扩展首部中的逐跳选项头完成安全认证信息的传输；
所述步骤S301包括：
S3011：将一个或多个TLV编码格式的子选项填入逐跳选项首部的选项字段，子选项TLV的值包括六个字段，分别为：选项、时间戳长度、标志位、填充位长度、时间戳信息和认证信息；
S3012：选项字段长度为4位，表示采用的时间同步技术方案选项，根据使用的时间同步机制，设置具体时间同步技术类型；
S3013：时间戳长度字段长度为8位，用于记录时间戳信息的总长度；
S3014：标志位flag字段长度为1位，用于记录该字段内容是否完整，flag＝0表示协议内容的长度未超过TLV承载的最大值，信息已完整；flag＝1表示协议内容的长度超过TLV承载的最大值，需要继续读取；
S3015：填充位长度字段长度为3位，用于记录协议末尾填充的位数，填充位数为0到7位，填充方式为将末尾处的填充位全置0；
S3016：时间戳信息字段用于携带具体时间同步技术使用过程中所必需的时间戳，格式和内容由具体的时间同步技术来决定，采用单向加密的形式携带该信息；
S3017：认证信息字段用于携带单向散列算法的类型信息和密钥信息，由S1中的控制器模块配置后默认填充该字段；
S302：网络传输设备的传输模块发送数据包前，认证模块首先为IPv6数据包添加逐跳选项头，并按照设备运行情况填充步骤S3011提及的选项、时间戳长度、标志位、填充位长度和认证信息字段，预留时间戳信息字段至发送前填充；
S303：认证模块从同步模块获取发送时刻设备上的时间信息tsend，并对其作基于时间同步精度tsa的四舍五入取整处理，[x]表示x的整数部分，之后得到发送时刻的取整值t′send，即
S304：认证模块预处理控制器配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’，即
ipad＝0x3636…36，字节长度与单向散列算法H中的块大小相同
opad＝0x5C5C…5C，字节长度与单向散列算法H中的块大小相同
S305：认证模块将发送时刻的取整值t′send通过HMAC进行加密S(t′send，key)得到密文Ysend后填入即将发送的IPv6数据包中步骤S3016定义的时间戳信息字段，即
Ysend＝S(t′send，key)＝HMAC(H，key，t′send)；
所述步骤S305包括：
S3051：HMAC(H，key，t′send)的计算分成以下两步，′H′为第S1步中控制器配置的单向散列算法，为二进制的异或运算，′||′表示连接前后两个比特串，下面步骤提及的单向散列算法H计算均由加密模块完成；
所述步骤S3051包括
S30511：将处理过的密钥K’和ipad异或的结果连接在加密内容t′send之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S30512：将处理过的密钥K’和opad异或的结果连接在第一次内部加密串Yin之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S306：传输模块将完成所有认证信息填充的数据包发送给下一跳网络传输设备；
进一步的，所述步骤S4包括：
S401：传输模块在接收数据包时，同步模块记录接收时刻设备上的时间信息treceive；
S402：认证模块解析传输模块传来的IPv6数据包的逐跳选项头，验证数据包是否安全认证要求；
S403：认证模块从同步模块获取接收时刻信息treceive和传输时延信息tdelay后进行处理，通过接收时刻信息treceive减去相邻设备间的传输时延tdelay，得到tsend的估计值
S404：认证模块对时间信息tsend的估计值作基于时间同步精度的四舍五入取整处理，得到发送时刻估计值的取整值t'send，即
S405：认证模块预处理控制器配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’
S406：对三个时间信息通过S305步S(t'send,key)加密，得到Y1，Y2，Y3三个密文，下面公式中的单向散列算法H计算均由加密模块完成，各自的计算公式如下；
S407：认证模块进行认证信息的比对，当IPv6数据包对应时间戳信息字段携带的Ysend与Y1，Y2，Y3三个密文中其中任意一个相同时，该数据包通过本方法的安全认证，数据包进入传输模块进行转发；否则不传输该数据包。
为了保证上述方法的实施，本发明还提供一种基于时间同步的IPv6网络传输设备的安全认证装置，包括，
控制器模块，用于全局负责网络的控制及相关信令的发送；
传输模块，用于负责网络层协议的处理及数据包的转发；
同步模块，用于实现本设备与网络其他设备的时间同步；
加密模块，用于数据包的加密，通过ASIC实现，处理各类单向加密算法且处理速度不会影响时间同步精度的判断；
认证模块，用于数据包的认证。
本发明的有益效果是，从确定性网络传输设备中提供的高精度时间同步技术特性出发，面向IPv6的需求设计，综合考虑确定性与安全性等因素，提供了一种基于时间同步的高效安全认证的装置及方法，旨在利用确定性网络传输设备间的高精度时间同步信息来实现高效的安全认证机制，实现对确定性网络中高成本的高精度时间同步能力的充分利用和数据包传输的额外安全保障，以显著减少基于传统网络的数据包对本网络的负载影响。
附图说明：
图1为本发明实施例提供的基于时间同步的IPv6网络传输设备的安全认证装置中网络传输设备的模块示意图；
图2为本发明实施例提供的基于时间同步的IPv6网络传输设备的安全认证装置运行流程图；
图3为本发明实施例提供的基于时间同步的IPv6网络传输设备的安全认证数据包发送流程图；
图4为本发明实施例提供的基于时间同步的IPv6网络传输设备的安全认证数据包接收流程图；
图5为本发明实施例提供的基于时间同步的IPv6网络传输设备的安全认证算法示意图。
具体实施方式
本发明的发明构思是，基于时间同步技术，针对IPv6确定性传输的需求，提出了一种基于时间同步的IPv6网络传输设备的安全认证装置及方法。该装置由控制器模块和网络传输设备(传输模块、同步模块、加密模块、认证模块等四个功能模块)组成。该方法通过控制器模块对所有模块的加密方法和密钥信息进行初始化，并通过同步模块实现网络传输设备间的时间同步。当传输模块需要发送数据包前，认证模块基于IPv6网络层协议创建认证辅助信息，并获取同步模块的发送时间戳信息，通过加密模块进行单向加密后填入认证协议字段，随后数据包通过传输模块进行发送。当传输模块接收数据包时，同步模块记录接收时间戳，认证模块解析IPv6网络层协议并基于同步模块记录的接收时间戳信息和传输时延信息对数据包进行认证，期间调用加密模块完成对时间戳的单向加密获取认证辅助信息，随后根据认证结果决定数据包的传输是否继续。
本发明提供了一种面向IPv6的基于时间同步的安全认证方法，包括以下步骤：
S1:控制器模块统一完成装置内所有网络传输设备的加密方法选取和密钥信息的初始化。
S2:同步模块实现网络传输设备间的时间同步，使得网络传输设备间的时间偏移量符合时间同步精度要求，同时维护设备间的传输时延信息。
S3：当传输模块需要发送数据包前，认证模块基于IPv6网络层协议创建认证辅助信息，并获取同步模块的发送时间戳信息，通过加密模块进行单向加密后填入认证协议字段，随后数据包通过传输模块进行发送。
S4：当传输模块接收数据包时，同步模块记录接收时间戳，认证模块解析IPv6网络层协议并基于同步模块记录的接收时间戳信息和传输时延信息对数据包进行认证，期间调用加密模块完成对时间戳的单向加密获取认证辅助信息，随后根据认证结果决定数据包的传输是否继续。
S1具体实现过程如下所示：
S101：由管理人员使用控制器模块选取装置中所有网络传输设备在认证中需要使用的加密方法，加密方法类型为单向散列算法且加密模块支持。
S1011：单向散列算法H为一系列具备不可逆(无法逆向演算回原本的数值)性质的比特串映射函数的组合。
S1012：单向散列算法H将输入数据M(长度为L bit)打乱混合，创建加密串Y的处理流程如下：
S10121：按对应算法规定填充输入数据M，使其比特长度为区块大小的整倍数
S10122：通过异或与运算′∧′、或运算′V′、位移运算′<<<′，′>>>′等操作，迭代压缩数据，具体迭代算法依照选取的单向散列算法类型执行。
S10123：输出具备不可逆性的信息M加密串Y
S102：由管理人员使用控制器模块生成装置中所有网络传输设备在认证中需要使用的密钥信息。
S1021：密钥信息key的初始化和派生使用如下方法，可以生成在密码学上安全的密钥：
key＝KDF(source，salt，iterations)
其中KDF为密钥派生函数(采用单向散列算法H，且可以与配置参数中选取单向散列算法类型的不同)，source为原始密钥，salt为充当加密盐的随机数，iterations为迭代次数。
S103：控制器模块统一配置或更换装置中所有网络传输设备配置的加密方法，通信流程如下：
S1031：控制器模块向装置中网络传输设备发送单向散列算法信息和身份验证信息。
S1032：装置中网络传输设备接收到单向散列算法信息后，校验身份验证信息，确定为本设备的控制器模块后根据信息更新设备参数。
S104：控制器模块进行密钥信息初始化时，控制器模块根据步骤S102中生成的密钥设置装置内设备的密钥信息，通信流程如下
S1041：控制器模块向装置中网络传输设备发送密钥信息和控制器模块身份验证信息。
S1042：装置中网络传输设备接收到密钥信息后，校验控制器模块身份验证信息，确定为本设备的控制器模块后设置密钥。
S2具体实现过程如下所示：
S201：同步模块实现网络传输设备间的时间同步，记设备1和设备2之间的同步误差为Offect，传输时延为tdelay。
S202：设备1在t1时刻向设备2发送同步报文，设备2在t2时刻收到该同步报文。
S203：随后设备1把t1时刻信息发送给设备2
S204：设备2在t3时刻发送请求报文，设备1在t4时刻收到该请求报文
S205：随后设备1把t4时刻信息发送给设备2
S206：设备2通过上述信息即可进行同步误差Offect和传输时延tdelay的计算：
S207：通过上述同步误差Offect和传输时延tdelay，还需要根据同步模块实现的时间同步算法中的额外要求对数据进行补偿，随后设备2通过补偿后Offsct校准时钟，完成两个设备间的时间同步。
S3具体实现过程如下所示：
S301：如果数据包使用本方法的认证，则认证模块利用IPv6网络层扩展首部中的逐跳选项头来完成安全认证信息的传输；
S3011：本方法将一个或多个TLV(类型-长度-值)编码格式的子选项填入逐跳选项首部的选项字段，子选项TLV的值包括六个字段，分别为：选项、时间戳长度、标志位、填充位长度、时间戳信息和认证信息；
S3012：选项字段长度为4位，表示采用的时间同步技术方案选项。当所在网络设备支持时间同步，根据使用的时间同步机制，设置具体时间同步技术类型；
S3013：时间戳长度字段长度为8位，用于记录时间戳信息的总长度(最大长度为255位)。便于快速读取协议中的主要信息或是跳过该字段信息处理其余扩展首部信息；
S3014：标志位flag字段长度为1位，用于记录该字段内容是否完整。flag＝0表示协议内容的长度未超过TLV承载的最大值，信息已完整；flag＝1表示协议内容的长度超过TLV承载的最大值，需要继续读取；
S3015：填充位长度字段长度为3位，用于记录协议末尾填充的位数，填充位数为0到7位，以保证该协议内容总长度为8位的整数倍，填充方式为将末尾处的填充位全置0；
S3016：时间戳信息字段，可变长度，用于携带具体时间同步技术使用过程中所必需的时间戳，格式和内容由具体的时间同步技术来决定，采用单向加密的形式携带该信息；
S3017：认证信息字段，可变长度字段，用于携带单向散列算法的类型信息和密钥信息，由S1中的控制器模块配置后默认填充该字段；
S302：网络传输设备的传输模块发送数据包前，认证模块首先为IPv6数据包添加逐跳选项头，并按照设备运行情况填充步骤S3011提及的选项、时间戳长度、标志位、填充位长度和认证信息字段，预留时间戳信息字段至发送前填充；
S303：认证模块从同步模块获取发送时刻设备上的时间信息tsend，并对其作基于时间同步精度tsa的四舍五入取整处理，[x]表示x的整数部分,之后得到发送时刻的取整值t'send，即
S304：认证模块预处理控制器模块配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’，即
ipad＝0x3636…36，字节长度与单向散列算法H中的块大小相同
opad＝0x5C5C…5C，字节长度与单向散列算法H中的块大小相同
S305：认证模块将发送时刻的取整值t′send通过HMAC进行加密S(t′send，key)得到密文Ysend后填入即将发送的IPv6数据包中步骤S3016定义的时间戳信息字段，即
Ysend＝S(t′send，key)＝HMAC(H，key，t′send)
S3051：其中HMAC(H，key，t′send)的计算分成以下两步，其中′H′为第S1步中控制器模块配置的单向散列算法，为二进制的异或运算，′||′表示连接前后两个比特串，下面步骤提及的单向散列算法H计算均由加密模块完成；
S30511：首先将处理过的密钥K’和ipad异或的结果连接在加密内容t′send之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S30512：其次将处理过的密钥K’和opad异或的结果连接在第一次内部加密串Yin之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S306：通过传输模块将完成所有认证信息填充的数据包发送给下一跳网络传输设备。
S4具体实现过程如下所示：
S401：下一跳网络传输设备的传输模块在接收数据包时，同步模块记录接收时刻设备上的时间信息treceive；
S402：认证模块解析传输模块传来的IPv6数据包的逐跳选项头，如果数据包启用本方法的认证，验证数据包是否安全认证要求；
S403：认证模块从同步模块获取接收时刻信息treceive和传输时延信息tdelay后进行处理，通过接收时刻信息treceive减去相邻设备间的传输时延tdelay，得到tsend的估计值
S404：认证模块对时间信息tsend的估计值作基于时间同步精度的四舍五入取整处理，得到发送时刻估计值的取整值t′send，即
S405：认证模块预处理控制器模块配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’
S406：对三个时间信息通过S加密，得到Y1，Y2，Y3三个密文，下面公式中的单向散列算法H计算均由加密模块完成，各自的计算公式如下；
S407：认证模块进行认证信息的比对，当IPv6数据包对应时间戳信息字段携带的Ysend与Y1，Y2，Y3三个密文中其中任意一个相同时，该数据包即可通过本方法的安全认证，数据包进入传输模块进行转发；否则，未本方法的安全认证，不继续传输该数据包。
本发明的有益效果是，从确定性网络传输设备中提供的高精度时间同步技术特性出发，面向IPv6的需求设计，综合考虑确定性与安全性等因素，提供了一种基于时间同步的高效安全认证的装置及方法，旨在利用确定性网络传输设备间的高精度时间同步信息来实现高效的安全认证机制，实现对确定性网络中高成本的高精度时间同步能力的充分利用和数据包传输的额外安全保障，以显著减少基于传统网络的数据包对本网络的负载影响。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种基于时间同步的IPv6网络传输设备的安全认证方法，其特征在于，包括以下步骤：
S1：控制器模块选取加密方法和初始化密钥信息；
S2：同步模块同步网络传输设备间的时间并维护设备间的传输时延信息；
S3：传输模块发送数据包前，认证模块基于IPv6网络层协议创建认证辅助信息并获取同步模块发送的时间戳信息，传输模块通过加密模块对数据包进行单向加密后填入认证协议字段并发送数据包，所述字段分别为：选项、时间戳长度、标志位、填充位长度、时间戳信息和认证信息；
S4：当传输模块接收数据包时，同步模块记录接收的时间戳信息，认证模块解析IPv6网络层协议并基于同步模块记录接收的时间戳信息和传输时延信息对数据包进行认证，认证模块调用加密模块完成对时间戳的单向加密获取认证辅助信息并根据认证结果决定数据包的传输是否继续，具体步骤包括：
S401：传输模块在接收数据包时，同步模块记录接收时刻设备上的时间信息treceive；
S402：认证模块解析传输模块传来的IPv6数据包的逐跳选项头，验证数据包是否安全认证要求；
S403：认证模块从同步模块获取接收时刻信息treceive和传输时延信息tdelay后进行处理，通过接收时刻信息treceive减去相邻设备间的传输时延tdelay，得到tsend的估计值
S404：认证模块对时间信息tsend的估计值作基于时间同步精度的四舍五入取整处理，得到发送时刻估计值的取整值
S405：认证模块预处理控制器配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’
S406：对三个时间信息通过S305步S(t′send，key)加密，得到Y1，Y2，Y3三个密文，下面公式中的单向散列算法H计算均由加密模块完成，各自的计算公式如下；
S407：认证模块进行认证信息的比对，当IPv6数据包对应时间戳信息字段携带的Ysend与Y1，Y2，Y3三个密文中其中任意一个相同时，该数据包通过本方法的安全认证，数据包进入传输模块进行转发；否则不传输该数据包。
2.如权利要求1所述的一种基于时间同步的IPv6网络传输设备的安全认证方法，其特征在于，
所述步骤S1包括，
S101：控制器模块响应管理人员操作，选取认证中需要使用的加密方法，加密方法类型包括单向散列算法；
S1011：单向散列算法H是一系列具备不可逆性质的比特串映射函数的组合；
S1012：单向散列算法H将输入数据M打乱混合，创建加密串Y：
所述单向散列算法包括，
S10121：按对应算法规定填充输入数据M，使其比特长度为区块大小的整倍数；
S10122：通过异或与运算′∧′、或运算′∨′、位移运算′<<<′，′>>>′操作，迭代压缩数据，具体迭代算法依照选取的单向散列算法类型执行；
S10123：输出具备不可逆性的信息M加密串Y；
S102：管理人员使用控制器生成装置中所有网络传输设备在认证中需要使用的密钥信息；
S1021：密钥信息key的初始化和派生使用如下公式生成密钥：
key＝KDF(source，salt，iterations)
其中KDF为密钥派生函数，source为原始密钥，salt为充当加密盐的随机数，iterations为迭代次数；
S103：控制器模块统一配置或更换所有网络传输设备配置的加密方法：
所述步骤S103包括：
S1031：控制器模块向网络传输设备发送单向散列算法信息和身份验证信息；
S1032：网络传输设备接收到单向散列算法信息后，校验身份验证信息，确定为本设备的控制器模块后根据单向散列算法信息更新设备参数；
S104：控制器模块进行密钥信息初始化时，控制器根据步骤S102中生成的密钥设置装置内设备的密钥信息，所述步骤S104包括：
S1041：控制器模块向装置中网络传输设备发送密钥信息和控制器身份验证信息；
S1042：网络传输设备接收到密钥信息后，校验控制器身份验证信息，确定为本设备的控制器模块后设置密钥。
3.如权利要求1所述的一种基于时间同步的IPv6网络传输设备的安全认证方法，其特征在于，
所述步骤S3包括，
S301：认证模块利用IPv6网络层扩展首部中的逐跳选项头完成安全认证信息的传输；
所述步骤S301包括：
S3011：将一个或多个TLV编码格式的子选项填入逐跳选项首部的选项字段，子选项TLV的值包括六个字段，分别为：选项、时间戳长度、标志位、填充位长度、时间戳信息和认证信息；
S3012：选项字段长度为4位，表示采用的时间同步技术方案选项，根据使用的时间同步机制，设置具体时间同步技术类型；
S3013：时间戳长度字段长度为8位，用于记录时间戳信息的总长度；
S3014：标志位flag字段长度为1位，用于记录该字段内容是否完整，flag＝0表示协议内容的长度未超过TLV承载的最大值，信息已完整；flag＝1表示协议内容的长度超过TLV承载的最大值，需要继续读取；
S3015：填充位长度字段长度为3位，用于记录协议末尾填充的位数，填充位数为0到7位，填充方式为将末尾处的填充位全置0；
S3016：时间戳信息字段用于携带具体时间同步技术使用过程中所必需的时间戳，格式和内容由具体的时间同步技术来决定，采用单向加密的形式携带该信息；
S3017：认证信息字段用于携带单向散列算法的类型信息和密钥信息，由S1中的控制器模块配置后默认填充该字段；
S302：网络传输设备的传输模块发送数据包前，认证模块首先为IPv6数据包添加逐跳选项头，并按照设备运行情况填充步骤S3011提及的选项、时间戳长度、标志位、填充位长度和认证信息字段，预留时间戳信息字段至发送前填充；
S303：认证模块从同步模块获取发送时刻设备上的时间信息tsend，并对其作基于时间同步精度tsa的四舍五入取整处理，[x]表示x的整数部分，之后得到发送时刻的取整值t′send，即
S304：认证模块预处理控制器配置的单向散列算法H和密钥串key，根据单向散列算法中需要的块大小生成对应的ipad、opad和K’，即
ipad＝0x3636…36，字节长度与单向散列算法H中的块大小相同
opad＝0x5C5C…5C，字节长度与单向散列算法H中的块大小相同
S305：认证模块将发送时刻的取整值t′send通过HMAC进行加密S(t′send，key)得到密文Ysend后填入即将发送的IPv6数据包中步骤S3016定义的时间戳信息字段，即
Ysend＝S(t′send，key)＝HMAC(H，key，t′send)；
所述步骤S305包括：
S3051：HMAC(H，key，t′send)的计算分成以下两步，′H′为第S1步中控制器配置的单向散列算法，为二进制的异或运算，′||′表示连接前后两个比特串，下面步骤提及的单向散列算法H计算均由加密模块完成；
所述步骤S3051包括
S30511：将处理过的密钥K’和ipad异或的结果连接在加密内容t′send之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S30512：将处理过的密钥K’和opad异或的结果连接在第一次内部加密串Yin之前，对该次连接生成的内容做一次单向散列算法H得到第一次内部加密串Yin；
S306：传输模块将完成所有认证信息填充的数据包发送给下一跳网络传输设备。
4.一种应用于权利要求1-3任一所述基于时间同步的IPv6网络传输设备的安全认证方法的装置，包括，
控制器模块，用于全局负责网络的控制及相关信令的发送；
传输模块，用于负责网络层协议的处理及数据包的转发；
同步模块，用于实现本设备与网络其他设备的时间同步；
加密模块，用于数据包的加密，通过ASIC实现，处理各类单向加密算法且处理速度不会影响时间同步精度的判断；
认证模块，用于数据包的认证。
CN202211113114.8A 2022-09-14 2022-09-14 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法 Active CN115549983B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211113114.8A CN115549983B (zh) 2022-09-14 2022-09-14 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211113114.8A CN115549983B (zh) 2022-09-14 2022-09-14 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法

Publications (2)

Publication Number Publication Date
CN115549983A CN115549983A (zh) 2022-12-30
CN115549983B true CN115549983B (zh) 2023-07-25

Family

ID=84728247

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211113114.8A Active CN115549983B (zh) 2022-09-14 2022-09-14 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法

Country Status (1)

Country Link
CN (1) CN115549983B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116192365B (zh) * 2023-01-18 2024-03-22 无锡航天江南数据系统科技有限公司 基于电文服务系统的PPP-B2b信号传输方法及系统

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114389835A (zh) * 2021-12-01 2022-04-22 青海师范大学 一种IPv6选项显式源地址加密安全验证网关及验证方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6557102B1 (en) * 1997-09-05 2003-04-29 Koninklijke Philips Electronics N.V. Digital trust center for medical image authentication
CN103581173B (zh) * 2013-09-11 2017-02-22 北京东土科技股份有限公司 一种基于工业以太网的数据安全传输方法、系统及装置
CN114520751A (zh) * 2021-12-29 2022-05-20 中国电信股份有限公司 一种基于软件定义广域网的隧道传输方法及装置

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114389835A (zh) * 2021-12-01 2022-04-22 青海师范大学 一种IPv6选项显式源地址加密安全验证网关及验证方法

Also Published As

Publication number Publication date
CN115549983A (zh) 2022-12-30

Similar Documents

Publication Publication Date Title
EP3216143B1 (en) Transmitting residence time information in a network
CN101455014B (zh) 传送所发送的或者所接收的消息的发送时间信息或者接收时间信息的方法和装置
Buldas et al. Keyless signatures’ infrastructure: How to build global distributed hash-trees
CN101473622B (zh) 用于数据网络上的通信的带外鉴别方法和系统
US9615258B2 (en) Method and apparatus for securing timing packets over untrusted packet transport network
WO2009071029A1 (fr) Système et procédé de synchronisation d&#39;informations de temps et équipement associé
US11165527B2 (en) Time synchronization for encrypted traffic in a computer network
US10158441B1 (en) Securing time between nodes
US20120128011A1 (en) Method on a network element for the purpose of synchronization of clocks in a network
CN102356603B (zh) 调度定时分组以增强电信网络中的时间分布的装置和方法
CN115549983B (zh) 一种基于时间同步的IPv6网络传输设备的安全认证装置及方法
CN102347831B (zh) 时间消息处理方法、装置及系统
WO2018120549A1 (zh) 以太网无源光网络时间戳处理方法和装置、存储介质
Langer et al. NTS4PTP—A comprehensive key management solution for PTP networks
Treytl et al. Securing IEEE 1588 by IPsec tunnels-an analysis
EP3883153B1 (en) System and method of synchronizing a distributed clock in a packet-compatible network
Treytl et al. Secure tunneling of high-precision clock synchronization protocols and other time-stamped data
US20210351933A1 (en) Secure time synchronization
Kerö et al. Can ST 2059-2 Benefit From PTP Version 2.1?
KR102550048B1 (ko) 5g 시스템의 tsn 네트워크 브리지 기능을 이용한 보안채널 생성 방법 및 그 장치
Chowdhury Packet Timing: Precision Time Protocol
US20230171015A1 (en) Secured clock synchronization in a packet-compatible network
Xie et al. Quantifying effect of network latency and clock drift on time-driven key sequencing
CN115987635A (zh) 一种基于EtherCAT总线的数据通信方法和装置
CN117639997A (zh) 网络安全时间同步方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant