CN116684869B

CN116684869B - 一种基于IPv6的园区无线网可信接入方法、系统及介质

Info

Publication number: CN116684869B
Application number: CN202310893239.5A
Authority: CN
Inventors: 于俊清; 王泽昊; 李冬; 王英童
Original assignee: Huazhong University of Science and Technology
Current assignee: Huazhong University of Science and Technology
Priority date: 2023-07-20
Filing date: 2023-07-20
Publication date: 2023-09-29
Anticipated expiration: 2043-07-20
Also published as: CN116684869A

Abstract

本发明公开了一种基于IPv6的园区无线网可信接入方法、系统及介质，属于无线网络中的网络安全领域。方法包括：终端请求地址时，DHCPv6服务器验证终端是否注册，若未注册，则分配一个限制访问的IPv6临时地址给终端，并将接入终端的HTTP请求重定向到注册页面，实现新终端入网；身份管理服务器根据终端提供的用户信息形成网络身份NID，然后将含有用户信息和访问控制信息的NID与时间信息合并生成唯一IPv6地址；若已注册，DHCPv6服务器为终端分配嵌入NID的IPv6地址。当网络中发生安全事件时，身份管理服务器提取出发生安全事件的IPv6地址的后64位AID，并获取AID中的时间哈希；再根据时间哈希在数据库中索引到对应的加密密钥，从而对IPv6地址进行解密溯源。

Description

一种基于IPv6的园区无线网可信接入方法、系统及介质

技术领域

本发明属于无线网络中的网络安全领域，更具体地，涉及一种基于IPv6的园区无线网可信接入方法、系统及介质。

背景技术

IPv6是设计用于替代IPv4的下一代IP协议，具有地址空间巨大、安全性更高和允许扩充的特点。其巨大的地址空间给解决当前IPv4网络存在的问题提供了可能。

当前网络环境下的安全几乎是被动的：传统的网络安全思维模式和技术路线限于“尽力而为、问题归零”的惯性思维，挖漏洞、打补丁、查毒杀马，设蜜罐、布沙箱，层层叠叠的附加式防护措施，无法在源头对攻击进行限制。且在引入安全功能的同时不可避免的会引入新的安全隐患。此外，现有的溯源技术如反向渗透、恶意样本分析等技术均需要依靠大量的数据分析，溯源过程复杂且耗时较长。但攻击者却可以较为轻松的知晓已有的安全策略，针对这些策略隐藏自己和改变攻击形式，即当前网络环境下攻防成本不对称。造成网络攻防成本不对称的一个重要原因是当前IP网络的设计缺乏安全考虑，基于目的地址进行转发而缺乏对于源地址的验证，给了攻击者隐藏自己真实身份的机会。

当前已经有学者致力于IP网络中源地址验证和真实地址生成的研究。目前，与IPv6源地址验证相关的研究分为两大类：不对IP地址本身处理的验证方法和嵌入安全特性的IP地址方案。不对IP地址本身处理的验证方法有加密认证方法、预先过滤方法、事后追踪方法，其不对IP地址本身增加安全特性，而是采用某类验证过滤方法在某一层面对伪冒地址进行过滤；嵌入安全特性的IP地址方案给IP地址增加安全特性，利用这些特性识别伪冒地址。嵌入安全特性的IP地址方案中比较有代表性的是NIDTGA系统，NIDTGA利用网络用户的身份信息生成网络身份标识NID并使用动态密钥加密嵌入到IPv6地址中，发生安全事件时使用密钥解密得到NID并进一步得到用户详细身份信息。主要存在以下几个问题：

（1）不对IP地址本身处理的验证方法因为其特点不为IP地址本身增加安全特性，攻击者总能找到方法隐藏自己，回溯追踪的过程也复杂费时。

（2）嵌入安全特性的IP地址方案NIDTGA系统生成IP地址时不存储地址与加密密钥之间的对应关系使得回溯异常困难，解密时只能遍历密钥尝试解密，时间复杂度极高。

（3）现有方案用户在接入IPv6网络前注册地址时或使用IPv4地址，引入不必要的依赖，可能带来新的安全隐患；或依赖管理人员后台手工操作注册，用户操作繁琐，也给管理员工作带来负担。

（4）现有方案如NIDTGA系统基于 IEEE 802.1x 的对用户身份进行验证，虽然解决了DHCP协议扩展、DHCP客户端修改以及租约维护的问题，但仍然存在拓扑复杂以及时间开销大的问题。使用802.1x认证，引入新的服务器使得系统拓扑更加复杂，单独的双向交互认证增加了系统运行的时间和资源开销。

（5）现有方案大多只支持单用户单设备方案，已不适合当前复杂多变的网络环境。

发明内容

针对现有技术的缺陷和改进需求，本发明提供了一种基于IPv6的园区无线网可信接入方法、系统及介质，该方法基于IPv6临时地址实现可信终端注册，避免IPv4、IPv6双栈技术带来的部署困难以及可能引入的安全问题；取消802.1x认证而采用mac地址验证；并在生成地址时嵌入访问控制信息和时间戳信息，降低网络用户管理成本，回溯时直接索引到对应密钥，快速溯源定位并采取防御措施，从源头上隔离恶意主机，保护网络环境的安全性。

为实现上述目的，第一方面，本发明提供了一种基于IPv6的园区无线网可信接入方法，包括以下步骤：

S1，终端发送DHCPv6 solicit报文，DHCPv6服务器提取solicit报文中的mac地址，在数据库中查询对应的NID；若查询结果为空，执行S2；若查询结果不为空，DHCPv6服务器为终端分配嵌入NID的IPv6地址，并执行S4；

S2，若终端与身份管理服务器能够进行通信，执行S3；否则，DHCPv6服务器为终端分配一个访问受限的IPv6临时地址，同时将终端的HTTP请求重定向到注册页面供终端注册身份，并执行S3；

S3，身份管理服务器根据终端提供的用户信息形成网络身份NID，再拼接（A+B）位NID、C位mac序号和D位时间信息形成64位明文块raw-AID；将raw-AID前A位置零后使用加密密钥进行加密，取密文后（64-A）位与NID前A位作为pre-AID；在pre-AID中嵌入时间哈希形成最终的AID；再将最终的AID与64位前缀拼接形成嵌入NID的IPv6地址，并将其分配给终端；其中，A、B、C、D均为大于0的整数，且满足A+B+C+D=64；

S4，当网络中发生安全事件时，身份管理服务器提取出发生安全事件的IPv6地址的后64位AID，并获取AID中的时间哈希；再根据所述时间哈希在数据库中索引到对应的加密密钥，从而对IPv6地址进行解密溯源。

进一步地，所述S3中，身份管理服务器根据终端提供的用户信息形成网络身份NID，包括：

身份管理服务器将终端提供的用户信息进行拼接，加盐后使用哈希算法求摘要，再截取哈希值的B位信息与A位访问控制信息拼接形成网络身份NID。

进一步地，所述哈希算法为SM3算法。

进一步地，所述S3中，所述加密密钥生成流程如下：

对当前时刻向下取整后，使用哈希算法计算时间哈希，调用密钥生成算法生成动态密钥作为下一个整点到来前的加密密钥；

保存时间哈希与加密密钥的对应关系。

进一步地，所述S3中，A=2，B=38，C=2，D=22。

第二方面，本发明提供了一种基于IPv6的园区无线网可信接入系统，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行第一方面所述的基于IPv6的园区无线网可信接入方法。

第三方面，本发明提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现第一方面所述的基于IPv6的园区无线网可信接入方法。

总体而言，通过本发明所构思的以上技术方案，能够取得以下有益效果：

（1）引入IPv6临时地址供终端注册身份，彻底摆脱对IPv4的依赖并简化管理人员操作。

（2）在生成IPv6地址时嵌入时间哈希和访问控制信息，同时增加mac序号位，并保存了时间哈希与密钥对应关系。访问控制信息降低了网络用户管理成本，mac序号位将mac信息索引编码进IPv6地址中，使得单用户多终端成为可能，时间哈希保证检测到恶意事件后，能及时回溯地址定位到问题主机并下发防御措施，从源头隔离攻击流量。

（3）在终端申请地址时采用mac地址进行身份验证，省去了单独的双向交互认证阶段，实现无感网络认证，不影响安全性和回溯的同时提升系统效率，也简化了网络拓扑结构，使得系统更易于部署。

附图说明

图1是本发明提供的基于IPv6的园区无线网可信接入方法的流程图。

图2是本发明提供的基于IPv6的园区无线网可信接入方法的总体交互图。

图3是本发明提供的基于IPv6的园区无线网可信接入方法的系统架构图。

图4是本发明提供的身份验证和IPv6地址分配流程图。

图5是本发明提供的IPv6地址生成流程图。

图6是本发明提供的密钥管理流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

在本发明中，本发明及附图中的术语“第一”、“第二”等（如果存在）是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

实施例1：

参阅图1，结合图2至图6，本发明提供了一种基于IPv6的园区无线网可信接入方法，包括操作S1至S4。

操作S1，终端发送DHCPv6 solicit报文，DHCPv6服务器提取solicit报文中的mac地址，在数据库中查询对应的NID；若查询结果为空，执行S2；若查询结果不为空，DHCPv6服务器为终端分配嵌入NID的IPv6地址，并执行S4。

操作S2，若终端与身份管理服务器能够进行通信，执行S3；否则，DHCPv6服务器为终端分配一个访问受限的IPv6临时地址，同时将终端的HTTP请求重定向到注册页面供终端注册身份，并执行S3。

需要说明的是，身份管理服务器可以理解成未注册的终端获取IPv6地址时需要访问的服务器，主要用于处理终端注册身份、回溯地址的请求等。

对于操作S1和操作S2，在一些可选的实施例中，如图4所示，如果数据库中不存在mac地址对应的NID则证明终端尚未注册，DHCPv6服务器会在相应子网下为其分配一个未被占用的受限IPv6临时地址，并将该临时地址的所有HTTP请求重定向到身份管理服务器的注册页面，供终端注册身份。

如果数据库中存在mac地址对应的NID则身份验证成功，证明终端已被授权。DHCPv6服务器会从数据库中查找注册时为其生成的嵌入NID的IPv6长期地址，分配给终端。

与此同时，DHCPv6服务器还会发送<mac,ip>二元组给源地址验证模块，用于用户上网时的身份验证。

这一方法可以十分简单的完成终端的身份认证，并且能够为地址回溯提供前提。并且避免了为不同操作系统开发DHCP客户端、对DHCPv6协议的扩展以及临时地址租约的维护，极大程度上增加了系统的可部署性并大大降低了系统部署的成本，简化了系统运行流程。

操作S3，身份管理服务器根据终端提供的用户信息形成网络身份NID，再拼接（A+B）位NID、C位mac序号和D位时间信息形成64位明文块raw-AID；将raw-AID前A位置零后使用加密密钥进行加密，取密文后（64-A）位与NID前A位作为pre-AID；在pre-AID中嵌入时间哈希形成最终的AID；再将最终的AID与64位前缀拼接形成嵌入NID的IPv6地址，并将其分配给终端；其中，A、B、C、D均为大于0的整数，且满足A+B+C+D=64。

需要说明的是，mac地址是每台终端设备都会有的48位固定地址，而mac序号可以理解成终端设备编号，每个编号对应一个mac地址。

操作S3主要包括网络身份NID以及地址标识（address identify，AID）的生成。

（1）NID生成

在一些可选的实施例中，将用户信息编码进IPv6地址中，目前存在的方法包括将公共签名密钥与IPv6地址绑定、直接加密用户的私有相同属性，如将SSN作为整体接口IP地址。将公共签名密钥与IPv6地址绑定可以保障一定的私密性，但是需要引入新的公共设施，并且生成地址和溯源时需要与其他机构进行交互，网络拓扑复杂且溯源时间长；直接将SSN作为整体接口IP地址存在隐私泄露的风险。本发明采用根据终端提供的用户信息形成网络身份NID，再将NID嵌入IPv6地址的方式，具有足够的安全性并且回溯算法简单高效。

示例性的，根据IPv6接口地址长度64位，设计NID长度40位。如果NID只包含“用户的名字”这样的信息，虽然也能完成地址的溯源，但溯源时查找用户身份时的复杂度为O(n)。在网络中存在大量用户时（地址空间巨大正是IPv6的显著特点），溯源所需时间开销大，且难以对用户进行精细化管理。在进行NID设计时需要保证层次化结构，这样根据NID可以很容易的由用户所属的组织溯源用户，提高溯源效率、且便于系统建立层次规则，实现精细化管理。具体流程如下：

①首先身份管理服务器将用户提供的用户信息（包括姓名、电话号、学号等信息）进行拼接。

②加入无关信息（盐）后使用SM3哈希算法求摘要。

③截取哈希值的38位信息与2位访问控制信息拼接形成网络身份NID。

为了防止攻击者从NID中恶意获取用户信息，用户部分的数据不能直接使用，而是经过哈希算法处理后才嵌入NID中。本系统的哈希算法采用比SHA-256等效率更高的SM3算法，同时在求哈希的过程中加盐进一步增加安全性，可以防御彩虹表等攻击。在发生哈希碰撞时，本发明采用二次探测法来处理。

访问控制信息位使得NID的结构具有层次性，2位访问控制信息放在NID前端，包含4种形式。在实验模拟的校园环境中，访问控制信息位的“00”、“01”、“10”分别对应学生学号的“U”、“M”和“D”，即本科生、硕士生和博士生，“11”代表教职工。给系统提供了针对不同组织成员授予不同权限的精细化管理的可能。后续也可扩展以方便跨域回溯的实现。

（2）AID生成

AID即IPv6地址的后64位。

在一些可选的实施例中，设计包含40位NID信息、2位mac序号信息和22位时间信息。如图5所示，IPv6地址生成流程如下：

①首先身份管理服务器将40位NID信息、2位mac序号信息和22位时间信息进行简单的拼接形成64位明文块raw-AID。

②将raw-AID前2位置零后使用加密密钥进行加密，取密文后62位与NID前2位作为pre-AID；优选地，采用IDEA加密算法进行加密。

③在pre-AID中嵌入时间哈希形成最终的AID。

④ AID与64位前缀拼接后即是最终的嵌入了NID的IPv6地址；

IPv6地址结构信息如表1所示，其中NID前两位以明文形式存在，可以保证系统便捷的进行访问控制，mac序号的嵌入使得单用户最多可以支持4台终端设备。

在流程②中，涉及动态密钥管理：

虽然针对加密算法的蛮力攻击并不容易，但其它类型的攻击是无法消除的。此外，在传输密钥的过程中也存在密钥泄露的风险。所以系统需要对密钥进行特殊管理以进一步保证安全性。为了提高系统中加密算法的安全性，身份管理服务器会定期更新IDEA密钥。当终端请求地址时，身份管理服务器使用最新的密钥对40位NID信息、2位mac序号信息和22位时间信息进行加密得到pre-AID，然后再将当前密钥对应的时间哈希编码到AID中，并存储当前密钥和时间哈希、以及pre-AID与AID的对应关系。在回溯时再根据存储的密钥和时间哈希等信息进行解密。

IDEA动态密钥的生成过程如图6所示。除系统开始运行的第一个密钥外，其他密钥都是在整点时刻生成的。系统启动时调用一次密钥更新函数updatekey，此后使用循环执行定时任务工具crontab来控制每个整点时刻执行一次密钥更新函数。密钥生成流程如下：

①密钥生成前系统提取当前时刻t1。

②对t1向下取整点时刻t2后，使用哈希算法计算整点时刻t2的时间哈希H。

③此时再调用IDEA密钥生成算法生成动态密钥作为下一个整点到来前的加密密钥。

④保存时间哈希与密钥的对应关系，以便回溯时根据IPv6地址的生成时间哈希快速索引到对应的IDEA密钥，加快解密回溯速度。

操作S4，当网络中发生安全事件时，身份管理服务器提取出发生安全事件的IPv6地址的后64位AID，并获取AID中的时间哈希；再根据所述时间哈希在数据库中索引到对应的加密密钥，从而对IPv6地址进行解密溯源。

在一些可选的实施例中，用户身份回溯是本发明的目的所在，即，在安全事件发生时能够迅速找到问题主机所在，以便及时的隔离以防扩大印象和后续追责。

NIDTGA采用简单的密钥遍历尝试，算法简单但时间复杂度极高，为O(n)，随着系统中密钥数量的增多，解密耗时线性增长。本发明中在地址生成阶段将时间信息加入到地址中去，并保存时间信息和密钥的对应关系，在回溯时解析出时间信息，进而迅速的找到时间信息对应的密钥，快速溯源地址。其工作流程如下：

①当网络中发生安全事件时，身份管理服务器提取出发生安全事件的IPv6地址的后64位AID。

②提取出AID中的时间哈希。

③获取时间哈希后快速的在数据库中索引到IDEA密钥。

④迅速进行地址回溯和下一步的隔离与追责。

溯源完成后，与源地址验证模块交互，在绑定表中删除相应地址的二元组，对问题主机进行隔离。

实施例2：

一种基于IPv6的园区无线网可信接入系统，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行实施例1所述的基于IPv6的园区无线网可信接入方法。

相关技术方案同实施例1，在此不再赘述。

实施例3：

一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现实施例1所述的基于IPv6的园区无线网可信接入方法。

相关技术方案同实施例1，在此不再赘述。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于IPv6的园区无线网可信接入方法，其特征在于，包括以下步骤：

2.根据权利要求1所述基于IPv6的园区无线网可信接入方法，其特征在于，所述S3中，身份管理服务器根据终端提供的用户信息形成网络身份NID，包括：

3.根据权利要求2所述基于IPv6的园区无线网可信接入方法，其特征在于，所述哈希算法为SM3算法。

4.根据权利要求1所述基于IPv6的园区无线网可信接入方法，其特征在于，所述S3中，所述加密密钥生成流程如下：

保存时间哈希与加密密钥的对应关系。

5.根据权利要求1所述的基于IPv6的园区无线网可信接入方法，其特征在于，所述S3中，A=2，B=38，C=2，D=22。

6.一种基于IPv6的园区无线网可信接入系统，其特征在于，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1-5任一项所述的基于IPv6的园区无线网可信接入方法。

7.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，当处理器执行所述计算机执行指令时，实现如权利要求1-5任一项所述的基于IPv6的园区无线网可信接入方法。