CN117675178A - 传输路径加密方法、装置、设备及存储介质 - Google Patents

Abstract

本发明提供了传输路径加密方法、装置、设备及存储介质，该方法包括：自所接收的数据包的第一包头中提取源地址的地址标识；自配置表查询源地址的地址标识的预配置密钥以及循环位移参数；提取源地址的节点生成的种子密钥；基于预配置密钥、种子密钥、循环位移参数对段列表中的转发路径数据进行解密，获得转发路径原文；基于转发路径原文中下一节点更新目标地址的地址标识，并基于当前节点更新源地址的地址标识；随机生成当前节点的种子密钥；基于种子密钥、预配置密钥以及循环位移参数对转发路径原文进行加密；将加密后的转发路径原文作为转发路径数据更新在段列表中；将种子密钥更新在数据包的第二包头中。本发明提高传输路径安全性。

Description

传输路径加密方法、装置、设备及存储介质

技术领域

本发明涉及通信领域，具体地说，涉及传输路径加密方法、装置、设备及存储介质。

背景技术

基于源路由的分段路由协议SRv6(Segment Routing IPv6，基于IPv6，InternetProtocol Version6转发平面的段路由)协议为互联网络提供了一种高效灵活的管控手段，具有部署简单、灵活扩展的特点，可以更好的实现流量调度和路径优化，并大幅度提升网络带宽的利用率，同时在众多行业中，都可利用SRv6可编程、可定制的传输路径的技术特点实现业务需要，SR(Segment Routing，分段路由)使网络更加简化，并具有良好的可扩展性。

SRv6通过在报文头SRH中插入有顺序的段列表(Segment List)，来指导转发设备按照指定的转发路径进行报文转发。SRv6在转发路径中，会经由多个网络设备。在网络节点中，广泛部署DPI设备对往来的数据包进行分析，而SRH头中Segment List清楚标记了数据包转发的路径。然而，对于某些行业比如金融、物流等对于传输安全比较敏感的行业场景和应用来说，定制化传输路径的暴露存在风险隐患。

由此，如何避免传输路径的暴露在传输过程中被暴露，以保护传输路径的安全，是本领域技术人员亟待解决的技术问题。

需要说明的是，上述背景技术部分公开的信息仅用于加强对本发明的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

针对现有技术中的问题，本发明的目的在于提供传输路径加密方法、装置、设备及存储介质，克服了现有技术的困难，避免传输路径的暴露在传输过程中被暴露，以保护传输路径的安全。

本发明的实施例提供一种传输路径加密方法，响应于当前节点在传输路径中为中间节点，所述传输路径加密方法包括：

自所接收的数据包的第一包头中提取源地址的地址标识；

自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

随机生成当前节点的种子密钥；

基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

将当前节点的种子密钥更新在所述数据包的第二包头中。

在本申请的一些实施例中，所述数据包为SRv6数据包，所述第一包头为IPv6包头，所述第二包头为SRH包头。

在本申请的一些实施例中，所述种子密钥储存在所述SRH包头中的OptionalTLVs字段中。

在本申请的一些实施例中，所述基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密包括：

根据当前节点的种子密钥、当前节点的预配置密钥生成当前节点的加密密钥；

基于当前节点的加密密钥对所述转发路径原文进行加密获得准转发路径数据；

使所述准转发路径数据中的每位数据沿第一循环位移方向，按当前节点的循环位移参数进行循环位移，获得转发路径数据。

在本申请的一些实施例中，所述根据当前节点的种子密钥、当前节点的预配置密钥生成当前节点的加密密钥包括：

对当前节点的种子密钥以及当前节点的预配置密钥执行异或操作，生成当前节点的加密密钥。

在本申请的一些实施例中，所述转发路径原文的加密算法为RC4加密算法。

在本申请的一些实施例中，所述基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文包括：

使所述转发路径数据中的每位数据沿第二循环位移方向，按前一节点的循环位移参数进行循环位移，获得准转发路径数据，所述第二循环位移方向相反于所述第一循环位移方向；

根据前一节点的所述种子密钥以及前一节点的预配置密钥生成前一节点的加密密钥；

基于前一节点的加密密钥对所述准转发路径数据进行解密获得转发路径原文。

在本申请的一些实施例中，响应于当前节点在传输路径中为起始节点，所述传输路径加密方法包括：

基于转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

随机生成当前节点的种子密钥；

基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

将当前节点的种子密钥更新在所述数据包的第二包头中。

在本申请的一些实施例中，响应于当前节点在传输路径中为终止节点，所述传输路径加密方法包括：

自所接收的数据包的第一包头中提取源地址的地址标识；

自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文。

根据本申请的又一方面，还提供一种传输路径加密装置，所述传输路径加密方法装置包括：

第一提取模块，配置成自所接收的数据包的第一包头中提取源地址的地址标识；

第一查询模块，配置成自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

第二提取模块，配置成自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

第一解密模块，配置成基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

第一更新模块，配置成基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

种子密钥生成模块，配置成随机生成当前节点的种子密钥；

第一加密模块，配置成基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

第二更新模块，配置成将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

第三更新模块，配置成将当前节点的种子密钥更新在所述数据包的第二包头中。

根据本发明的又一方面，还提供一种传输路径加密处理设备，包括：

处理器；

存储器，其中存储有所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行如上所述传输路径加密方法的步骤。

本发明的实施例还提供一种计算机可读存储介质，用于存储程序，所述程序被执行时实现上述传输路径加密方法的步骤。

相比现有技术，本发明的目的在于：

各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显。

图1是本发明的应用于中间节点的传输路径加密方法的一种实施例的流程图。

图2是本发明的传输路径加密方法中数据包的结构图。

图3是本发明的传输路径加密方法的配置表的示意图。

图4是本发明的传输路径加密方法的段列表中转发路径的定义。

图5是本发明的传输路径加密方法的示意图。

图6是本发明的应用于起始节点的传输路径加密方法的一种实施例的流程图。

图7是本发明的应用于终止节点的传输路径加密方法的一种实施例的流程图。

图8是本发明的传输路径加密装置的一种实施例的模块图。

图9是本发明的传输路径加密系统的模块图。

图10是本发明的传输路径加密设备的结构示意图。

图11是本发明一实施例的计算机可读存储介质的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式。相反，提供这些实施方式使得本发明将全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的结构，因而将省略对它们的重复描述。

下面参见图1，图1是本发明的传输路径加密方法的一种实施例的流程图。响应于当前节点在传输路径中为中间节点，本发明的实施例提供一种传输路径加密方法，包括以下步骤：

步骤S110：自所接收的数据包的第一包头中提取源地址的地址标识；

步骤S120：自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

步骤S130：自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

步骤S140：基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

步骤S150：基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

步骤S160：随机生成当前节点的种子密钥；

步骤S170：基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密。

具体而言，加密步骤可以包括：根据当前节点的种子密钥、当前节点的预配置密钥生成当前节点的加密密钥；基于当前节点的加密密钥对所述转发路径原文进行加密获得准转发路径数据；使所述准转发路径数据中的每位数据沿第一循环位移方向，按当前节点的循环位移参数进行循环位移，获得转发路径数据。

其中，可以通过对当前节点的种子密钥以及当前节点的预配置密钥执行异或操作，生成当前节点的加密密钥。所述转发路径原文的加密算法可以为RC4加密算法。

对应地，上述解密步骤可以包括：使所述转发路径数据中的每位数据沿第二循环位移方向，按前一节点的循环位移参数进行循环位移，获得准转发路径数据，所述第二循环位移方向相反于所述第一循环位移方向；根据前一节点的所述种子密钥以及前一节点的预配置密钥生成前一节点的加密密钥；基于前一节点的加密密钥对所述准转发路径数据进行解密获得转发路径原文。

步骤S180：将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

步骤S190：将当前节点的种子密钥更新在所述数据包的第二包头中。

具体而言，所述数据包可以为SRv6数据包，所述第一包头可以为IPv6包头，所述第二包头为SRH包头。所述种子密钥可以储存在所述SRH包头中的OptionalTLVs字段中。

由此，各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

进一步地，参见图6，图6是本发明的应用于起始节点的传输路径加密方法的一种实施例的流程图。响应于当前节点在传输路径中为起始节点，所述传输路径加密方法包括：

步骤S311：基于转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

步骤S312：随机生成当前节点的种子密钥；

步骤S313：基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

步骤S314：将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

步骤S315：将当前节点的种子密钥更新在所述数据包的第二包头中。

进一步地，参见图7，图7是本发明的应用于终止节点的传输路径加密方法的一种实施例的流程图。响应于当前节点在传输路径中为终止节点，所述传输路径加密方法包括：

步骤S321：自所接收的数据包的第一包头中提取源地址的地址标识；

步骤S322：自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

步骤S323：自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

步骤S324：基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文。

SRv6的数据包的包头在原IPv6包头后加了一个SRH包，如图2所示。图2示出的SRv6的包头数据结构210，前部是IPv6的包头，紧跟着是SRH包头，SRH包头中，段列表(SegmentList)的字段中是一系列的SID，这些SID定制了IPv6数据包的转发路径中的每一个转发设备，正常的SRv6的数据包中Segment List的所有SID都是明文的，每经过一个转发节点，该节点都会从Segment List中提取下一个SID，将其替换为目标IPv6地址，并转发，整个转发过程中，List中所有SID都可被截取，存在不安全隐患。

由此，本申请可以在参与SRv6转发的网络设备配置预配置密钥，并且每个网络转发设备都存储其它设备的预配置密钥，通过预配置密钥来时间SID的加密保护，解密转发，每台设备都存储一张SRv6转发配置表，如图3所示。配置表220中的SR设备标识是该设备的网络地址标识Locator，Segment List中的SID如图4所示。SID的定义230中，Function字段和Args字段分别的该SRv6数据包在节点处理的功能定义和参数，可以不具备路由信息和标识功能，Locator是设备的网络地址，是路由转发的依据，作为该SR设备的标识，通过表中Locator信息识别定位SR设备。配置表220中预配置密钥则是用来生成SID加密密钥的，而循环位移参数是对目标SID进行循环移位，保护原始信息。在一些具体实现中，Pre_Key_i与LoopSft_Par_i都可以为是128位，且LoopSft_Par_i的值可以在0-127之间。

在一个具体实施例中，Segment List中SID加密保护方法240如图5所示，起始节点、中间节点和终止节点的方法分别如下所述：

若当前节点为起始节点：

1)设定好SRv6转发路径后，起始节点首先生成一个随机密钥种子，Seed_key，这个种子可以为128位，将用于本次所有SID的加密，对于Segment List每个SID的加密，都用本节点的预配置密钥Pre_Key_i以及循环位移参数LoopSft_Par_i来完成；

2)将Pre_Key_i与Seed_key进行异或操作生成加密密钥，这样能保证每次操作使用的加密密钥都不相同；

3)将SID根据LoopSft_Par_i的参数的值大小进行循环移位操作，即SID按LoopSft_Par_i的值大小向右移位，移出的二进制内容填充到SID的左侧头部，形成新的SID值SID’，从而从明文上对SID值进行了保护隐藏；

4)利用步骤2)中生成的加密密钥通过RC4流密码加密算法对SID’进行加密操作，加密后的SID长度不变，还是128位，128位长的RC4加密密钥通常是安全的；

5)第二个SID的加密保护按照步骤2)——4)操作完成，以此类推；

6)所有的SID加密完成后，按顺序压入Segment List中，并将Seed_key存入SRH的OptionalTLVs字段中，从而完成整个SRH的封装。同时将第一个SID的原文作为IPv6地址压入IPv6头的目标地址段中，开始SRv6数据包的转发。

若当前节点为中间节点：

中间节点的既包括解密操作，也包括重新进行加密操作，如果是最后一个节点，则无需加解密操作，直接提取目标IPv6地址进行命中操作即可。

1)中间节点接受到上一节点发送过来的SRv6数据包后，从IPv6包头中提取源IPv6地址，提取其中的Locator值；

2)在本地存储的SRv6转发配置表中进行检索，获取该Locator对应的预配置密钥Pre_Key_i以及循环位移参数LoopSft_Par_i，同时从SRH头中提取OptionalTLVs值，这就是Seed_key；

3)将源Locator对应的密钥Pre_Key_i以及Seed_key进行异或操作，得到解密密钥，并对Segment List中所有加密SID进行RC4流密码的解密操作，获取每一个SID’值；

4)以上节点的循环移位参数LoopSft_Par_i对所有的SID’进行反向的循环移位操作，最终获取所有Segment List中SID原文；

5)提取下一个节点的SID值，替换IPv6包头中目标IPv6地址段，同时以本节点SID值替换IPv6包头中的源IPv6地址段；

6)利用本地的随机种子密钥生成器生成新的Seed_key，并提取本节点的预配置密钥Pre_Key_i与循环移位参数LoopSft_Par_i，利用本地的预配置密钥、循环位移参数以种子密钥，对Segment List中所有SID值进行加密操作，生成新的加密后的Segment List，压入SRH头中，同时将新的Seed_key压入SRH的OptionalTLVs字段中

7)中间节点将封装好的新数据包进行转发给下一节点。

由此，本申请提出了SRv6协议中Segment List的转发路径表的加密和保护，对于哪些希望应用SRv6协议具备的转发路径可编程可定制的技术优势，又希望对路径信息进行保护的场景非常合适和有意义，包括金融领域和物流领域等等。本申请在设计方法和装置的同时，考虑到SRv6是网络层协议，所有操作最好在网络层完成，而不是在CPU和操作系统软件的参与下完成，因此设计的方法和装置架构可以在网卡的ASIC体系下实现，以避免造成转发时延。

以上仅仅是示意性地描述本发明的具体实现方式，本发明并非也以此为限制，步骤的拆分、合并、执行顺序的变化、模块的拆分、合并、信息传输的变化皆在本发明的保护范围之内。

图8是本发明的传输路径加密装置的一种实施例的模块图。本发明的传输路径加密装置400，如图8所示，包括但不限于第一提取模块410、第一查询模块420、第二提取模块430、第一解密模块440、第一更新模块450、种子密钥生成模块460、第一加密模块470、第二更新模块480以及第三更新模块490。

第一提取模块410配置成自所接收的数据包的第一包头中提取源地址的地址标识；

第一查询模块420配置成自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

第二提取模块430配置成自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

第一解密模块440配置成基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

第一更新模块450配置成基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

种子密钥生成模块460配置成随机生成当前节点的种子密钥；

第一加密模块470配置成基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

第二更新模块480配置成将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

第三更新模块490配置成将当前节点的种子密钥更新在所述数据包的第二包头中。

当传输路径加密装置400位于转发路径的中间节点时，传输路径加密装置400的第一提取模块410、第一查询模块420、第二提取模块430、第一解密模块440、第一更新模块450、种子密钥生成模块460、第一加密模块470、第二更新模块480以及第三更新模块490皆执行相应的步骤。

当传输路径加密装置400位于转发路径的起始节点时，仅第一更新模块450、种子密钥生成模块460、第一加密模块470、第二更新模块480以及第三更新模块490执行相应的步骤。

当传输路径加密装置400位于转发路径的终止节点时，仅第一提取模块410、第一查询模块420、第二提取模块430、第一解密模块440执行相应的步骤。

上述模块的实现原理参见传输路径加密方法中的相关介绍，此处不再赘述。

本发明的传输路径加密装置一方面，各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

图8仅仅是示意性的分别示出本发明提供的传输路径加密装置400，在不违背本发明构思的前提下，模块的拆分、合并、增加都在本发明的保护范围之内。本发明提供的传输路径加密装置400可以由软件、硬件、固件、插件及他们之间的任意组合来实现，本发明并非以此为限。

图9是本发明的传输路径加密系统500的模块图。传输路径加密系统500包括：

SRv6数据包加密控制模块520：负责根据业务的运行情况，对整个SRv6加密解密过程及业务需求进行控制调配，协调、管理其它的模块的运行

SRv6转发节点配置数据库540：该数据库持久化保存有各转发节点的关键信息数据，包括设备的Locator标识，预配置密钥以及循环移位参数，通过设备的Locator标识来检索对应的预配置密钥和循环位移参数；

SRv6数据包处理引擎570：该引擎根据IPv6协议和SRv6协议完成对数据包的解析和封装，从SRH头中提取Segment List的SID值，以及完成处理后，完成新的数据包的封装；

随机种子密钥生产器530：用于生成Seed_key，与预配置密钥共同生成加密密钥；

RC4加密算法引擎550：该模块在SRv6转发路径加密控制模块的协调下，完成Segment List中的SID的加密或解密操作；

循环移位算法模块560：该模块依据循环移位算法，以LoopSft_Par_i参数实现对SID内容的循环移位操作或者反向操作，以实现对SID明文的保护和隐藏。

以上仅仅是示意性地示出本申请提供的传输路径加密系统500，各模块的拆分、合并以及其它变化都在本申请的保护范围之内。

本发明实施例还提供一种传输路径加密处理设备，包括处理器。存储器，其中存储有处理器的可执行指令。其中，处理器配置为经由执行可执行指令来执行的传输路径加密方法的步骤。

如上所示，该实施例本发明的传输路径加密处理设备，各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“平台”。

图10是本发明的传输路径加密处理设备的结构示意图。下面参照图10来描述根据本发明的这种实施方式的电子设备800。图10显示的电子设备800仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图10所示，电子设备800以通用计算设备的形式表现。电子设备800的组件可以包括但不限于：至少一个处理单元810、至少一个存储单元820、连接不同平台组件(包括存储单元820和处理单元810)的总线830、显示单元840等。

其中，存储单元存储有程序代码，程序代码可以被处理单元810执行，使得处理单元810执行本说明书上述传输路径加密方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元810可以执行如图2中所示的步骤。

存储单元820可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)8201和/或高速缓存存储单元8202，还可以进一步包括只读存储单元(ROM)8203。

存储单元820还可以包括具有一组(至少一个)程序模块8205的程序/实用工具8204，这样的程序模块8205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线830可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备800也可以与一个或多个外部设备8001(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备800交互的设备通信，和/或与使得该电子设备800能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口850进行。并且，电子设备800还可以通过网络适配器860与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器860可以通过总线830与电子设备800的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备800使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储平台等。

本发明实施例还提供一种计算机可读存储介质，用于存储程序，程序被执行时实现的传输路径加密方法的步骤。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述传输路径加密方法部分中描述的根据本发明各种示例性实施方式的步骤。

如上所示，该实施例的用以执行传输路径加密的计算机可读存储介质中，各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

图11是本发明的计算机可读存储介质的结构示意图。参考图11所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品900，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

综上，各中间节点基于上一节点的种子密钥、预配置密钥和循环位移参数对转发路径数据进行解密，获取转发路径原文以确定下一节点的地址，并根据当前节点的种子密钥、预配置密钥和循环位移参数对转发路径原文进行加密获得转发路径数据，同时更新数据包的相关数据头以便于将数据包发送至下一节点的同时，下一节点能够对转发路径数据进行解密。由此，一方面，预配置密钥和循环位移参数对转发路径原文的加密起到了双重保护；另一方面，本申请设计的加密保护方法为分段解密后再加密，增加了潜在攻击方截获解析的难度；再一方面，通过种子密钥保证每次加密密钥是不同的，进一步提高了转发路径原文的安全性。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (12)

1.一种传输路径加密方法，其特征在于，响应于当前节点在传输路径中为中间节点，所述传输路径加密方法包括：

自所接收的数据包的第一包头中提取源地址的地址标识；

自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

随机生成当前节点的种子密钥；

基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

将当前节点的种子密钥更新在所述数据包的第二包头中。

2.根据权利要求1所述的传输路径加密方法，其特征在于，所述数据包为SRv6数据包，所述第一包头为IPv6包头，所述第二包头为SRH包头。

3.根据权利要求2所述的传输路径加密方法，其特征在于，所述种子密钥储存在所述SRH包头中的OptionalTLVs字段中。

4.根据权利要求1所述的传输路径加密方法，其特征在于，所述基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密包括：

根据当前节点的种子密钥、当前节点的预配置密钥生成当前节点的加密密钥；

基于当前节点的加密密钥对所述转发路径原文进行加密获得准转发路径数据；

使所述准转发路径数据中的每位数据沿第一循环位移方向，按当前节点的循环位移参数进行循环位移，获得转发路径数据。

5.根据权利要求4所述的传输路径加密方法，其特征在于，所述根据当前节点的种子密钥、当前节点的预配置密钥生成当前节点的加密密钥包括：

对当前节点的种子密钥以及当前节点的预配置密钥执行异或操作，生成当前节点的加密密钥。

6.根据权利要求4所述的传输路径加密方法，其特征在于，所述转发路径原文的加密算法为RC4加密算法。

7.根据权利要求4所述的传输路径加密方法，其特征在于，所述基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文包括：

使所述转发路径数据中的每位数据沿第二循环位移方向，按前一节点的循环位移参数进行循环位移，获得准转发路径数据，所述第二循环位移方向相反于所述第一循环位移方向；

根据前一节点的所述种子密钥以及前一节点的预配置密钥生成前一节点的加密密钥；

基于前一节点的加密密钥对所述准转发路径数据进行解密获得转发路径原文。

8.根据权利要求1所述的传输路径加密方法，响应于当前节点在传输路径中为起始节点，其特征在于，所述传输路径加密方法包括：

基于转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

随机生成当前节点的种子密钥；

基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

将当前节点的种子密钥更新在所述数据包的第二包头中。

9.根据权利要求1所述的传输路径加密方法，响应于当前节点在传输路径中为终止节点，其特征在于，所述传输路径加密方法包括：

自所接收的数据包的第一包头中提取源地址的地址标识；

自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文。

10.一种传输路径加密装置，其特征在于，所述传输路径加密方法装置包括：

第一提取模块，配置成自所接收的数据包的第一包头中提取源地址的地址标识；

第一查询模块，配置成自配置表查询所述源地址的地址标识的预配置密钥以及循环位移参数，所述配置表储存有各节点的地址标识、预配置密钥以及循环位移参数；

第二提取模块，配置成自所接收的数据包的第二包头中提取源地址的节点生成的种子密钥；

第一解密模块，配置成基于所获取的前一节点的预配置密钥、种子密钥、循环位移参数对所述数据包的第二包头中的段列表中的转发路径数据进行解密，获得转发路径原文；

第一更新模块，配置成基于所述转发路径原文中下一节点更新所述第一包头中的目标地址的地址标识，并基于当前节点更新所述第一包头中源地址的地址标识；

种子密钥生成模块，配置成随机生成当前节点的种子密钥；

第一加密模块，配置成基于当前节点的种子密钥、当前节点的预配置密钥以及循环位移参数对所述转发路径原文进行加密；

第二更新模块，配置成将加密后的转发路径原文作为转发路径数据更新在所述数据包的第二包头中的段列表中；

第三更新模块，配置成将当前节点的种子密钥更新在所述数据包的第二包头中。

11.一种传输路径加密处理设备，其特征在于，包括：

处理器；

存储器，其中存储有所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行：

权利要求1至9任意一项所述传输路径加密方法。

12.一种计算机可读存储介质，用于存储程序，其特征在于，所述程序被执行时实现：

权利要求1至9任意一项所述传输路径加密方法。