CN115580410B - 一种基于认证同步的端信息跳变主动防御方法 - Google Patents

一种基于认证同步的端信息跳变主动防御方法 Download PDF

Info

Publication number
CN115580410B
CN115580410B CN202211277805.1A CN202211277805A CN115580410B CN 115580410 B CN115580410 B CN 115580410B CN 202211277805 A CN202211277805 A CN 202211277805A CN 115580410 B CN115580410 B CN 115580410B
Authority
CN
China
Prior art keywords
hopping
user
certificate
sig
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202211277805.1A
Other languages
English (en)
Other versions
CN115580410A (zh
Inventor
石乐义
李方晓
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China University of Petroleum East China
Original Assignee
China University of Petroleum East China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China University of Petroleum East China filed Critical China University of Petroleum East China
Priority to CN202211277805.1A priority Critical patent/CN115580410B/zh
Publication of CN115580410A publication Critical patent/CN115580410A/zh
Application granted granted Critical
Publication of CN115580410B publication Critical patent/CN115580410B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明提供了一种去中心化身份认证的端信息跳变同步方法，该方法采用去中心化认证体及椭圆曲线加解密的方法。针对端信息跳变通信双方身份认证以及同步需要第三方参与的问题。本方法通过利用去中心化的身份认证方式，使认证过程中无需第三方介入，大大缩短了身份认证所需要的时间；同时，利用椭圆曲线求解的离散对数问题，服务器方在验证成功以后，将相应的跳变策略映射到用户所随机生成的椭圆曲线上，保障了双方跳变策略的安全性。

Description

一种基于认证同步的端信息跳变主动防御方法
技术领域
本发明涉及一种去中心化身份认证的端信息跳变同步方法，针对端信息跳变通信双方身份认证以及同步问题，采用一种无中心认证方式，认证过程无需第三方参与，极大缩短了认证时间。在双方跳变策略同步方面，通过将通信双方的跳变策略映射到椭圆曲线并将部分椭圆曲线参数嵌入到身份证书中，根据椭圆曲线中的离散对数问题，保障了双方跳变策略的安全性，实现了端信息跳变中的认证同步。
背景技术
随着网络技术的发展，人们越发感受到网络所提供到的便利服务，但同时，现如今越发复杂的网络环境也携带了众多的安全问题。传统的网络安全防御已经为信息安全和网络保护创造了屏障，如防火墙、入侵检测系统等，但是以上的防护手段本质上都为敌暗我明的被动式防御。服务器或者重要的主机仍旧暴露在潜在的地方的攻击之下。而且在采取防范行动的前提是敌方攻击已经或者正在发生，这使得被攻击方的网络安全防护处于十分不利的地位。
在此背景下出现了诸如移动目标防御、拟态防御、端信息跳变等主动网络防御手段。
主动网络防御是一种前卫的、主动的防御思想，其在攻击者尚未发动攻击之前对可能收到攻击的设别惊醒部署从而采取防御措施，使防御者在网络对抗中处于相对有利的地位。端信息跳变技术是指在端到端的数据传输中，通信双方或一方按协定伪随机地改变双方的端信息，核心内容为网络层面，包括IP地址、端口、服务时隙、协议的伪随机变化。以动态的思想进行主动网络防御，打破了传统防御中受攻击者一成不变的静态特性，增加了攻击者的攻击成本，实现通信的隐蔽性。
传统端信息跳变系统，需要在服务器与可信客户端之间加入同步服务器。同步服务器维持可信客户端与所访问服务器通信过程中的跳变策略的同步。当用户需要加入跳变系统时，需要预先访问同步服务器，待同步服务器确定用户身份后，将跳变服务器的工作模式以及基础同步策略算法发送给可信客户端。可信客户端解析工作模式以后，与跳变服务器采取同种工作模式，并发起进一步服务请求。可信客户端每次加入跳变系统时，需要可信第三方的参与，增加了通信开销时延。采用一种去中心化的身份认证方式，使得跳变服务器直接验证可信客户端，认证过程无需第三方介入，能够大大缩短身份认证时间。
椭圆曲线加密算法(Elliptic Curve Cryptography，ECC)，是基于椭圆曲线数学理论实现的一种非对称加密算法。在未知私钥的前提下，仅用公钥以及椭圆曲线的点来破译和求解ECC，难度一般来说是指数级的。而RSA的破译和求解难度为压指数级，也正是由于RSA算法和ECC算法这一明显不同，使得ECC算法的单位安全强度高于RSA算法，也就是说，要达到同样的安全强度，ECC算法所需的密钥长度远比RSA算法低。
发明内容
为了加快通信双方身份认证速度以及跳变策略的安全性问题，本发明提出了一种基于认证同步的端信息跳变主动防御方法，通过结合去中心化身份认证技术，并将跳变服务器采用的跳变策略嵌入到证书中，根据椭圆曲线密码学中的离散对数难以求解的问题，从而降低了可信客户端加入整个跳变系统过程的时延以及跳变策略的安全性。
其内容主要在于以下步骤：
(1)证书获取与注销
证书申请方将带有自身标识的ID签名加密后将证书申请请求发送到证书管理中心CMC(Certificate Management Center)，CMC验证用户ID的合法性以及唯一性，使用CMC私钥对证书请求进行签名，再经过CMC的签名获得身份证书CertPN，返回给申请方；注销时，证书注销方向CMC发送注销请求，CMC验证注销方身份为合法用户后，通过等同于颁发身份证书的方式颁发获得注销证书，将注销证书发送给注销方，注销方收到注销证书以后，替换原来的证书，完成注销；
(2)在证书后附加椭圆曲线映射信息
证书申请方在接收证书管理中心CMC颁发身份证书CertPN后，在访问跳变服务器时，从椭圆曲线参数池中随机产生一组参数，将参数附加在身份证书后，一并发给跳变服务器；
(3)将跳变策略映射到椭圆曲线中
跳变服务器接收到客户端传来身份认证请求，验证客户端的身份证书CertPN成功后，从跳变策略池中选取一种跳变策略标识IDhopping，并跳变标识映射为椭圆曲线上的点，将此点同身份认证通过的标识反馈给客户端；
(4)认证同步
在接收到跳变服务器返回的信息后，从反馈请求中利用解密出所对应的跳变策略，用户端信息根据跳变策略随服务器进行跳变，用户加入到整个跳变系统中。
具体实施方式
下面结合发明内容对本发明进一步详细的描述，本发明主要包括以下几个步骤：
(1)证书注册与注销
证书注册：
1)证书申请方PN选取一组具有标识性的身份信息IDPN，用随机私钥RASK对用户IDPN签名后得到SigID＝SIGNRASK{ID}；
2)用户创建证书申请ReqCert＝{ID||SigID}，将其发送到证书管理中心CMC；
3)证书管理中心CMC接收到ReqCert＝{ID||SigID}并对比证书申请内容中的ID与用户ID数据库，确保其满足真实性和唯一性，验证通过后，CMC使用另一私钥CMCSK对证书请求进行签名SigCGCSK＝SIGNCGCSK{ID||SigID}；
4)证书管理中心CMC在签名加入有效时间ValTime，打包组成身份证书CertPN＝{ID||SigID||SigCMCSK||ValTime}，并将其发送回证书申请方。
证书注销：
1)证书注销端以随机私钥RASK为密钥，对CertPN以及注销标识“REVOKE”进行签名得到SigREVOKE；
2)证书注销端向证书管理中心CMC发送证书注销请求ReqREVOKE；
2.1)证书管理中心CMC收到注销请求后，验证注销签名值SigREVOKE的正确性；
2.2)证书管理中心CMC验证CMC的签名SigCMCSK；
2.3)证书管理中心CMC验证用户的签名SigID；
3)证书管理中心CMC以CMCSK为私钥，对ID与注销标识“REVOKE”进行签名得CertREVOKE，将注销证书发送给证书注销端；
4)证书注销端将原证书CertPN更新为注销证书CertREVOKE，完成整个身份证书的注销过程。
(2)用户端从已经产生的随机椭圆曲线池中随机挑选一组椭圆曲线参数Ep(a,b)，随机选取椭圆曲线上的一点G，作为基点；产生一个随机数r，作为私钥，并利用r计算出公钥K＝rG；将点K、G附加在身份证书CertPN后，待客户端需要加入跳变系统时，发送给跳变服务器。
(3)跳变服务器的验证模块接收到用户方的请求，对身份证书CertPN进行验证
1)跳变服务器读取客户端身份证书，陆续判断证书ID，有效时间ValTieme，CMC的签名以及用户方签名的真实性；
1.1)服务器端首先验证证书内的ID的真实性以及唯一性，只有当ID正常的前提下才能继续验证；
1.2)服务器端查找证书中是否包含注销标识“REVOKE”，只有证书未被注销的情况下才能继续验证；
1.3)计算当前的时间戳，判断时间戳是否在证书的有效范围之内，有效时间满足条件后再进行下一步验证；
1.4)跳变服务器验证证书管理中心签名SigCMCSK；
1.5)跳变服务器验证用户的签名SigID；
2)身份验证成功以后，解析出用户端所提供的椭圆曲线参数，跳变服务器将跳变策略生成标识IDhopping，将IDhopping编码到椭圆曲线Ep(a,b)上一点M，对M进行加密得C＝ENC(M)，将本次的验证结果“TRUE”，连同加密信息C作为反馈请求Rev＝{TRUE||IDhopping||C}，告知客户端本次验证结果，并将用户加入到合法用户数据库中，以便下次该用户可以更快速便捷地访问；当身份验证结果为“FALSE”时，立即告知客户端，不需要将跳变策略映射到椭圆曲线，并拒绝连接请求，当多次身份认证失败后，将加入黑名单实施封禁；
(4)认证同步
1)可信客户端在接收到跳变服务器正确的返回信息Rev后，从请求中解析出包含跳变策略的加密信息C；
2)可信客户端对C进行解密，得到包含跳变策略的点M＝DEC(C)；
3)对点M进行解码获得服务器所采用的跳变策略标识IDhopping，通过IDhopping得到服务器所采用的跳变策略，可信客户端确定跳变服务器采用何种工作模式与跳变服务器进行同步发送进一步服务请求。

Claims (1)

1.一种基于认证同步的端信息跳变主动防御方法，其特征在于包含以下步骤：
a.用户使用用户身份标识IDPN，利用随机私钥RASK对用户身份标识IDPN签名后获得SigID＝SIGNRASK{IDPN}；
b.用户创建证书申请请求ReqCert＝{IDPN||SigID}，将其发送给证书管理中心CMC；
c.证书管理中心验证证书申请请求ReqCert＝{IDPN||SigID}通过后，通过密钥管理中心私钥CMCSK对证书申请请求进行签名SigCMCSK＝SIGNCMCSK{IDPN||SigID}，并加入有效时间ValTime后，打包组成身份证书CertPN＝{IDPN||SigID||SigCMCSK||ValTime}，返回用户；
d.用户挑选一组椭圆曲线Ep(a,b)，随机选取椭圆曲线上一点G，作为基点，生成一个随机数r，作为私钥，计算出公钥K＝rG，将点K、G附加在身份证书CertPN后，发送给跳变服务器；
e.跳变服务器接受用户身份证书CertPN后，依次判断用户身份标识IDPN、有效时间ValTime、证书管理中心CMC签名SigCMCSK以及用户签名SigID，当验证为合法用户时，跳变服务器将跳变策略生成跳变策略标识IDhopping，并将所述跳变策略标识IDhopping编码到椭圆曲线Ep(a,b)上一点M，并对M进行加密得C＝ENC(M)，将本次的验证结果TRUE，连同加密信息C作为反馈请求Rev，告知用户；
f.用户在收到跳变服务器返回的请求Rev后，得到包含跳变策略的点M＝DEC(C)，解码M后获得跳变服务器所采用的跳变策略标识IDhopping，用户确定跳变服务器采用的工作模式后，与跳变服务器进行同步并发送进一步服务请求。
CN202211277805.1A 2022-10-19 2022-10-19 一种基于认证同步的端信息跳变主动防御方法 Active CN115580410B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211277805.1A CN115580410B (zh) 2022-10-19 2022-10-19 一种基于认证同步的端信息跳变主动防御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211277805.1A CN115580410B (zh) 2022-10-19 2022-10-19 一种基于认证同步的端信息跳变主动防御方法

Publications (2)

Publication Number Publication Date
CN115580410A CN115580410A (zh) 2023-01-06
CN115580410B true CN115580410B (zh) 2024-03-29

Family

ID=84584797

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211277805.1A Active CN115580410B (zh) 2022-10-19 2022-10-19 一种基于认证同步的端信息跳变主动防御方法

Country Status (1)

Country Link
CN (1) CN115580410B (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104853003A (zh) * 2015-04-30 2015-08-19 中国人民解放军国防科学技术大学 一种基于Netfilter的地址、端口跳变通信实现方法
CN107707559A (zh) * 2017-11-01 2018-02-16 中国石油大学(华东) 一种用于端信息高速跳变的跳扩混合同步方法
CN108989316A (zh) * 2018-07-26 2018-12-11 中国电子科技集团公司第二十九研究所 一种适用于专用网络的端口跳变通信方法及系统
WO2021179449A1 (zh) * 2020-03-09 2021-09-16 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8170203B2 (en) * 2008-12-31 2012-05-01 King Fahd University Of Petroleum & Minerals Message authentication code with elliptic polynomial hopping

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104853003A (zh) * 2015-04-30 2015-08-19 中国人民解放军国防科学技术大学 一种基于Netfilter的地址、端口跳变通信实现方法
CN107707559A (zh) * 2017-11-01 2018-02-16 中国石油大学(华东) 一种用于端信息高速跳变的跳扩混合同步方法
CN108989316A (zh) * 2018-07-26 2018-12-11 中国电子科技集团公司第二十九研究所 一种适用于专用网络的端口跳变通信方法及系统
WO2021179449A1 (zh) * 2020-03-09 2021-09-16 南京红阵网络安全技术研究院有限公司 一种基于证书身份认证的拟态防御系统及证书签发方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
端信息跳扩混合的主动网络防御技术研究;石乐义等;《通信学报》;20190410;第第40卷卷(第第5期期);125-135 *

Also Published As

Publication number Publication date
CN115580410A (zh) 2023-01-06

Similar Documents

Publication Publication Date Title
Ying et al. Anonymous and lightweight authentication for secure vehicular networks
CN108964919B (zh) 基于车联网的具有隐私保护的轻量级匿名认证方法
Azees et al. EAAP: Efficient anonymous authentication with conditional privacy-preserving scheme for vehicular ad hoc networks
Cui et al. HCPA-GKA: A hash function-based conditional privacy-preserving authentication and group-key agreement scheme for VANETs
CN104683112B (zh) 一种基于rsu协助认证的车‑车安全通信方法
CN104639329B (zh) 基于椭圆曲线码的用户身份相互认证方法
CN102164033B (zh) 防止服务被攻击的方法、设备及系统
US10742426B2 (en) Public key infrastructure and method of distribution
CN110020524B (zh) 一种基于智能卡的双向认证方法
CN105471833A (zh) 一种安全通讯方法和装置
CN109639426B (zh) 一种基于标识密码的双向自认证方法
KR100842267B1 (ko) 다중 인증 수단을 가지는 시스템의 통합 사용자 인증 서버,클라이언트 및 방법
CN114430552B (zh) 一种基于消息预认证技术的车联网v2v高效通信方法
Ahamed et al. EMBA: An efficient anonymous mutual and batch authentication schemes for vanets
Zhang et al. A Novel Privacy‐Preserving Authentication Protocol Using Bilinear Pairings for the VANET Environment
He et al. An accountable, privacy-preserving, and efficient authentication framework for wireless access networks
CN106936833A (zh) 一种基于混合加密和匿名群的内容中心网络隐私保护方法
Khalil et al. Sybil attack prevention through identity symmetric scheme in vehicular ad-hoc networks
CN114726583B (zh) 基于区块链分布式标识的可信硬件跨链交易隐私保护系统及方法
Xie et al. [Retracted] Provable Secure and Lightweight Vehicle Message Broadcasting Authentication Protocol with Privacy Protection for VANETs
Ogundoyin An Efficient, Secure and Conditional Privacy-Preserving Authentication Scheme for Vehicular Ad-hoc Networks.
CN117375841A (zh) 一种网络访问控制方法、系统、电子设备及程序产品
JP2020510356A (ja) 信号を発信する送信機と信号を受信する受信機
Sun et al. Ridra: A rigorous decentralized randomized authentication in VANETs
CN115580410B (zh) 一种基于认证同步的端信息跳变主动防御方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant