CN1404267A - 一种安全网络传输方法及其系统 - Google Patents

Abstract

一种安全网络传输方法及其系统为网络中报文的安全传输提供了一种主动防御技术，该技术可用于信息安全领域，建立安全的虚拟专用网络，为网络中的数据传输提供安全服务。本发明综合运用“主—僚”机通信技术、伪随机序列产生技术、扩展路由协议和扩展控制消息协议，通过安全路由器之间互相发送的伪随机序列报文的认证结果来标记系统路由的安全性，在现有的网络中提取出安全路径，提供给报文传输。同时，端系统中进行数据传输的服务器的身份能够随机切换，可以防止对特定主机或者特定端口的攻击，保证数据的安全传输。

Description

一种安全网络传输方法及其系统

技术领域

本发明属于网络信息安全技术，具体涉及一种安全网络传输方法及其系统。

背景技术

TCP/IP协议是Internet使用的网络协议标准。它是一个协议族包括了TCP协议(Transport Control Protocol，传输控制协议)、IP协议(InternetProtocol)及其它协议，协议族分为如下4层：网络接口层、网络层、传输控制层、应用层。

目前使用TCP/IP技术的网络的安全措施及其相应的网络安全产品主要有两大类：开放型(如数据加密)和被动防御型(如防火墙)。由于网络的攻击具有无边界性、蔓延性和隐蔽性等特点，这些都增加了网络安全防御的困难。对网络信息攻击进行防御的困难尤其体现在，一个攻击者只需要发起一个成功的攻击，并且这种攻击是在动态变化的，而防御者却需要考虑所有可能的攻击，目前所采用的技术大都是被动防御型的。在对网络的攻击中，有一种情况尤为严重，就是当数据在网络上传输时，攻击者根据数据报文的统计特性，可以很方便地确定以密文传输的重要通信流，并进行“搞乱”攻击，使合法用户无法对密文进行解读。因为现有的网络只提供数据传输的功能，没有提供传输过程中对数据的主动保护措施。到目前为止，还没有防止这种攻击的有效技术。

人们一般采用密码技术和防火墙技术来提高网络安全性，但是，这两项技术也不能完全地解决现有网络传输过程中的安全问题。现举例说明，在采用安全协议(如TLS/SSL、IPSec协议框架)的数据传输中，从源端发出的加密报文由路由器根据网络中当前的通信状况来选择传输路由的，如果报文在传输过程中被篡改，该报文数据就不能通过目端安全系统的认证，导致传输失败。现在的防火墙也不能防范所有的攻击。防火墙的配置一般有三种结构：双宿主机、屏蔽主机、屏蔽子网。如果恶意攻击者针对其中的特定主机(代理服务器、堡垒主机)或者特定端口进行拒绝服务等类型的攻击，那么整个网络的性能将降低或者是崩溃。因为防火墙这种防御模型只是被动地防御，它不能主动地改变提供服务手段。

此外，在网络规划或者应用系统设计中，设计人员一般只注重本地网络的设计，其内容包括防火墙、网关配置、网络性能等，而没有考虑数据报文在网路传输过程中可能发生的情况。因为人们认为IP网络本来是一个网间网，是一种通信资源，使用者不能对整个网络进行动态的控制。因此，网路设计者很难将发、送端的端系统和Internet网络联系起来作为一个系统来考虑，使得上述的“搞乱”攻击有机可乘，这是由技术现状决定的。

总之，现有的网络安全技术没有对报文在网络传输过程中的安全提供动态控制和保护，即没有一种近乎实时的安全保证。在端系统(发送端和接收端)中也没有提供很好的技术手段来保护特定的主机或者特定的端口免受攻击。

发明内容

本发明的目的在于提供一种能克服上述缺陷的安全网络传输方法及其系统，本发明可用于防止对网络传输数据的篡改和对特定主机的某些攻击，并能提供报警服务，为网络安全提供主动防御的手段。

为实现上述发明目的，本发明提供的一种安全网络传输方法，利用计算机技术和网络技术实现，其特征在于：该方法包括报文传输中的身份切换过程、接收方接收报文过程、路由器中安全路径提取过程和报警过程，其中，

发送方报文传输中的身份切换过程的步骤为：

(1)通过手工设置或密钥匙交换方式为收发两端的传输系统分配真、假

   种子值，设置报警服务器地址；

(2)发送域中通信控制服务器通知本方若干传输服务器与接收域中传

   输服务器建立好连接链，这个连接链为：发送方控制服务器—发送

   方传输服务器—接收方传输服务器—接收方控制服务器；

(3)发送方通信控制服务器从多个传输服务器中随机选取主机和僚机，

   其中主机发送真实报文，僚机发送虚假报文；

(4)发送方确定或使用伪随机数、散列算法，根据主机或僚机身份选择

   真、假种子值，计算散列值，用随机数、算法标识、散列值、用户

   数据填写加密的用户数据报文；

(5)随机切换时间或事件到之后，如果传输没有结束，准备切换主机和

   僚机，转入本过程步骤(3)；否则，进行关闭连接处理；

 接收方接收报文的步骤为：

(1)接收方收到报文后，提取报文随机数、算法标识、散列值，将该随

   机数和已协商好的真、假种子值分别作用于算法标识表示的散列算

   法，得到真、假散列值；

(2)将接收到的散列值与本方产生真、假散列值进行比较，如与真散列

   值同，通过接收域中的通信服务器进行保存；如与假散列值相同，

   抛弃该报文；否则，根据报警服务器地址向报警服务器报警，并抛

   弃该报文；

安全路由的提取过程为：

(1)在路由器中采用手工设置或密钥匙交换方式设置用于认证的种子

   值和报警服务器地址；

(2)产生伪随机数，确定散列算法，计算散列值；根据随机数、算法标

   识、散列值数据填写认证报文；

(3)根据安全路由信息向其它路由器发送认证报文，核心模块填写路由

   记录设置，查路由表并发送报文；

(4)收到认证报文后，提取该报文的路由信息；提取随机数、算法标识、

   散列值，将该随机数和协商好的种子值作用于算法标识表示的散列

   算法，得到散列值；

(5)将接收的散列值与产生的散列值进行比较，如相同，转本过程步骤

   (1)；否则，转本过程步骤6；

(6)如散列值不同，将该传输路径标记为不安全；

(7)向报警服务器发送报警消息，向其它的路由器发送更新安全路由信

   息；

报警过程为：

报警服务器接收到报警消息，对消息进行处理，通过有线和/或无线的手段进行报警。

实现上述的系统，包括服务器子系统和路由器子系统二大部分，特征在于：所述服务器子系统包括传输服务器、通信控制服务器和报警服务器，所述通信控制服务器和客户工作站通过交换机与所述传输服务器相连，各个域中的传输服务器通过另一交换机与Internet中的路由器相连；

    所述传输服务器由通用服务器上设置发送子模块和接收模块、第

一认证模块和扩展IP模块构成，

    所述传输模块包括发送子模块和接收子模块，分别负责数据的发

送和接收；第一认证处理模块用于对网络安全实体认证报文的发送和

接收处理；

    扩展IP模块包括控制模块、扩展控制消息协议模块、安全报文协

议处理模块，扩展控制消息协议模块用于对安全报文传输进行控制，

报告差错报文和网络情况，并向报警服务器发送报警消息；安全报文

协议处理模块用于负责IPIP报文的封装和解封装，封装后的报文通过

控制模块传送给第一IP模块进行处理；控制模块用于负责各个模块的

调度和通信，维护与第一IP模块间的通信；

    所述通信控制服务器由通用服务器上设置通信控制模块构成，该

通信控制模块用于负责数据的存取和主、僚机选择，对本域中的数据

传输进行控制；

    所述报警服务器由通用服务器上设置报警模块构成，该报警模块

用于本系统中的告警；

    所述路由器上设置有第二同步认证模块和扩展路由协议模块和扩

展路由IP模块，构成安全路由器，扩展路由IP模块包括：

    扩展控制消息协议模块，用于对安全报文传输进行控制，报告差

错报文和网络通信状况，并用于向报警服务器发送报警消息，该消息

传给安全报文协议处理模块进行封装；

    扩展路由表和查询模块，用于提供安全路由表的维护和查询功能，

接收同步认证模块、扩展控制消息协议模块和扩展路由协议模块的消

息来更新路由表，提供给控制模块查询路由；

    安全报文协议模块，用于IPIP报文的封装和解封装，其中封装后

的报文通过控制模块传送给第二IP模块；

    扩展控制模块用于整个扩展路由IP模块的控制。

    其应用层的模块包括：

    扩展路由协议模块用于安全路由信息的维护，周期性地向相邻安

全路由器发送和接收安全路由信息，并对安全路由表进行更新；

    第二认证模块用于对接收的同步认证报文进行认证，向其它的安

全路由器发送；

本发明为网络中报文的安全传输提供了一种主动防御技术，该技术可用于信息安全领域，建立安全的虚拟专用网络，为网络中的数据传输提供安全服务。本发明综合运用＂主—僚＂机通信技术、伪随机序列产生技术、扩展路由协议和扩展控制消息协议，通过安全路由器之间互相发送的伪随机序列报文的认证结果来标记系统路由的安全性，在现有的网络中提取出安全路径，提供给报文传输。同时，端系统中进行数据传输的服务器的身份能够随机切换，可以防止对特定主机或者特定端口的攻击。系统中安全路由器之间、安全路由器和安全服务器之间通过发送认证报文进行路径安全认证。安全路由器之间和安全路由器与安全服务器之间周期性地发送同步认证报文，如果报文被篡改，接收方发现后，立即将该报文传送的路径标为不安全路由，并修改安全路由信息表并报警，而安全服务器只修改其安全路由器设置。之后，接收方将更新过的安全路由信息向其它路由器发送，其它路由器对扩展路由表进行更新，同时对安全路由进行重新计算。系统中还辅以其它的检测手段来检测路由的安全性。这样，本发明的网络系统能动态地提供安全路由，使得报文进行路由选择的过程中，能“绕过”不安全的传输路径，保证了数据报文能沿安全路径传输。进行数据传输的计算机系统分为主机和僚机，其中主机发送真实报文，僚机发送虚假报文(也叫诱骗报文)。它们根据一定的调度机制动态地改变身份(主机和僚机)和端口，互相配合，随机地切换通信流，使得对特定主机(或特定端口)的恶意攻击不能破坏整个系统的通信传输，通过这种主动切换的手段提供系统的安全，保证了数据的安全传输。

附图说明

图1为本发明系统的结构示意图；

图2为本发明系统中使用的报文格式示意图；

图3为本发明系统中报文类型和“协议”域值对应表；

图4为安全服务器的结构示意图；

图5为安全路由器的结构示意图；

图6为安全服务器的通信连接示意图；

图7.1为传输服务器的身份切换流程图；

图7.2为发送和接收方对不同类型应用报文处理流程图；

图8为传输服务器发送安全数据流程图；

图9为安全路由器接收数据处理流程图；

图10为应用层的应用数据格式；

图11.1为安全路由器发送认证数据流程图。

图11.2为安全路由器接收认证数据流程图。

图12为传输服务器接收用安全数据流程图。

具体实施方式

本发明方法是利用计算机技术和网络技术实现的，其主要特点有：

(1)系统中传输服务器的应用传输的报文包括真实报文和诱骗报文：传输报文中除传输加密的真实报文外，还传输与真实报文具有相同密码学特性的伪随机序列，诱骗一些恶意的攻击，传输系统中的数据格式提供了识别不同类型报文的功能；

(2)传输中身份随机切换：本系统中通信控制服务器和多个传输服务器构成集群系统，共同完成数据传输任务。集群中各系统在应用层或传输层自动进行身份切换和端口切换，以保护集群中主机和端口的安全；

(3)动态认证和提供安全路由：系统中安全路由器之间互相发送认证报文，对传输路由进行安全标记，从网络中提取安全传输路由；

(4)报警：通过上述的认证和检测过程，发现恶意攻击，提供有线或无线的报警手段。

上述方法可具体采用以下软、硬件设置加以实现，发明人通过下面说明对本发明作详细的。

本发明适用的典型环境为采用TCP/IP协议的Internet网络环境，系统由两大部分构成，安全服务器子系统和安全路由器子系统。图1所示的是安装有安全路由器的Internet。为了便于系统规划，本发明设置了“域”，域的数量没有限制。域是由一个局部网中的“安全服务器”和客户工作站构成，其中，安全服务器根据其功能分为不同的类型：即通信控制服务器、传输服务器和报警服务器。客户工作站数据传输的安全性就是由每个域中设置的安全服务器的功能来保证的。如图1所示，系统中有多个“域”挂接到Internet上。

现在以图1和图4为例来详细说明本发明的结构和功能。本发明的安全服务器是对通用服务器进行功能扩充而形成的，通过添加不同的安全模块，形成具有不同功能的安全服务器。其中，负责数据存取和通信控制的服务器称为“通信控制服务器”，如1.1和1.2，它是在通用服务器上添加通信控制模块29而形成；用于报警的服务器称为“报警服务器”，如域1中3.1和域2中3.2，它是在通用服务器上添加报警服务模块30而形成；用于数据传输的服务器，称为“传输服务器”如域1中2.1.1，2.1.2，…，2.1.n，域2中2.2.1，2.2.2，…，2.2.n，该服务器是在通用服务器上添加“传输模块”形成，传输模块分为发送子模块27和接收子模块28，分别负责数据的发送和接收。在传输服务器中，传输加密真实报文的服务器称为“主机”，而发送虚假报文的服务器为“僚机”。虚假报文又叫诱骗报文，是一些伪随机序列，其密码学统计特性与加密的真实报文相同。这些服务器互相配合，为客户工作站提供安全的数据传输服务。这里给出的安全功能模块是应用层模块，实际有些服务器还利用了其它的扩展功能模块，其配置和使用在下面给出说明。

同样，本发明对通用路由器进行了功能扩展，扩展后的路由器称为“安全路由器”。本发明中，将工作站、服务器和路由器称为“网络实体”，将安全路由器和安全服务器称为“安全网络实体”。

上述各安全服务器和安全路由器之间的连接关系如图1所示。各个域中的传输服务器通过交换机(图1中的第二交换机和第三交换机)与Internet中的路由器相连，因此，本发明的系统中各个域通过Internet实现通信连接。在Internet中配置的若干安全路由器，如5.1、5.2、…、5.k、…、5.t，通过这些安全路由器中的扩展功能模块来保证域间的通信在Internet中的安全性。域内的通信控制服务器和相应的客户工作站通过连接设备(图1中第一交换机和第四交换机)与传输服务器相连。因此，传输服务器是一种多端口的传输服务器，整个域在传输服务器的保护之下。这种连接的配置方式灵活，适合不同的应用环境，同时系统还可以根据不同的需求添加其它的功能模块，如添加防火墙模块等。

根据TCP/IP协议，Internet报文传输的格式为IP协议格式。为了便于进行识别和路由选择，本发明中安全实体之间传送的安全报文是采用IPIP报文方式进行封装。现在参照图2说明本发明采用的安全报文的格式。本发明中的安全报文在IP报文的“数据”域内再放置一个IP报文，被封装的IP报文称为内部报文，内部报文的IP协议头称为“内IP头”，外部的IP报文头称为“外IP头”。因此，从外部看来，IPIP报文仍然是一个IP报文，可以在现有的Internet上传输。外IP报文中的“协议”域的值为4，表示该报文采用IPIP格式封装，安全实体收到该报文后，就将该报文提交给扩展的网络层软件进行处理，而扩展的功能模块又根据内部IP头的协议域的值来确定对内部报文进行处理的协议模块。内部IP报文中的“8位内部协议”域说明该安全报文的类型。由上可知，安全数据报文的封装和解封装需要进行两次IP报文处理操作，这种封装方式可以提供更广泛的应用，如加密等。

图3说明本发明网络层软件扩充的安全报文类型与内IP头的“协议”域值的对应表。本发明称采用上述的报文封装方式的报文称为“安全报文”，分别有安全数据报文、扩展控制消息报文，网络层中提供不同的扩展功能模块对之进行处理。其中，安全数据报文所封装的内容为应用层的用户数据，而扩展控制消息报文，用于系统中安全报文传输过程中的控制和网络状态报告。这两种报文是本发明中网络层软件需要采用的封装方式，需要说明的是，本发明为实现身份切换和诱骗作用，为系统应用层定义了专门的数据格式，如报警数据格式、用户真实数据格式、虚假数据格式和认证数据，这些数据格式是按照应用软件模块需求来确定，后面有详细的说明。

扩展消息报文是通过对标准的网络控制消息协议(Internet ControlMessage Protocol)的报文格式进行扩展得到的，这些报文的格式与通用的控制消息报文格式相似，本发明对其进行了IPIP封装；应用层中扩展路由协议是对通用路由协议扩充而形成的，因此，在安全路由信息中添加了了一个“安全域”，同样在其数据格式中相应地添加了一个数据格式。路由信息存放在路由数据库中，在系统核心层中，扩充了一个路由搜索表，其中也添加了一个“安全域”，用于说明该路由的安全性。本领域的专业人士对于上述协议、协议报文格式和应用层数据格式的制订是熟知的。

上述给出了网络层软件中的安全报文的格式，同时本发明的系统为应用层模块制定了一个数据格式，现在参照图10说明该格式。不同功能的软件模块使用不同的格式，每个数据域中的数字表示该域占用的字节。其中，类型域表示该格式的类型，有用户数据、同步报文和报警报文等类型；算法域为散列算法的代号，有MD5，SHA-1等，不同算法用不同的数字表示，如果其值为0表示没有用算法，那么随机数域和散列值域为空，长度为0；长度域为报文长度，随机数域给出是散列算法使用的随机数，散列值域存放散列算法产生的输出值；数据域是用户填入的数据。上述的应用需要实现有一些约定，如算法的标识号，随机数的取值长度定义为96(12字节)，直接截取散列输出的前96位。对于认证报文来说，其数据域为空。对于应用模块传输来说，其数据域用于系统中存放用户的数据。本发明系统中的安全数据报文采用了加密技术，本发明的系统中诱骗报文和真实的报文有相同的密码学统计特性，通过其中的散列值来识别真假报文，在后面有详细的说明。

上述的应用数据格式对于不同的应用模块其实施的格式是不相同的，例如，安全路由信息的数据格式为：报文类型+长度+安全路由信息，它不使用散列函数；认证报文数据格式为：报文类型+长度+算法+随机数+散列值；用户报文数据格式为：报文类型+长度+算法+随机数+散列值+数据；

为了说明系统中数据传输的保护过程，现参照图4、图5说明系统中的安全服务器和安全路由器的结构、功能和实现方法。

下面参照图4说明安全服务器的结构、功能和实现。安全服务器是对现有的服务器系统进行功能扩充，在系统的应用层添加了以下模块：传输模块、通信控制模块29、报警模块30和第一认证模块36，传输模块又分为发送子模块27和接收子模块28。本发明还对系统中网络层功能进行了扩充，增加了扩展IP模块12。各个应用层模块功能分别为：通信控制模块29，运行在通信控制服务器中，负责数据的存取，控制一个域的数据发送的通信连接和身份切换，它按照任务号对同域中的服务器通信连接进行管理；传输模块中的发送子模块27用于数据发送，按照任务号与同域中的通信控制服务器进行连接，同时它维护与接收端接收模块的通信连接，它相当于一个中转站；传输模块中的接收子模块28，用于数据的接收，并根据域号和任务号码维护与发送端的连接，同时保持与本域通信控制进程的连接；报警模块30，用于本系统中的告警，告警消息来源于系统中的安全路由器和安全服务器，收到报警消息后，报警模块采用有线和无线的手段进行告警。可选用如本发明人申请的“无线寻呼动态密码系统(申请号为99116517.9)中所述的报警方法。第一同步认证模块用于与其配置的安全路由器互相发送同步认证报文，进行同步认证，后面将给出详细的认证过程。图4给出的是图1中的各个服务器中所有模块的集合，图1中的各个服务器是将不同的功能模块进行组合来实现的，下面将给出详细说明。

同时，本发明对安全服务器系统的网络层进行了功能扩充，扩充的模块为扩展IP模块12，它分为功能不同的子模块，各扩充子模块的功能和连接关系为：扩展控制消息协议模块34对安全报文传输的过程进行控制，报告差错报文和网络情况；安全报文协议处理模块35负责IPIP报文的封装和解封装，封装后的报文通过控制模块33传送给第一IP模块32进行处理。控制模块33是扩展IP模块12的核心，它负责各个模块的调度和通信，维护与第一IP模块32间的通信；

安全服务器类型主要是由运行的应用层模块的功能决定，同时还辅以其它模块。通信控制服务器运行的模块为：通信控制模块29，它的扩展IP模块12不工作。传输服务器中运行的模块为：发送子模块27和接收子模块28，第一认证模块36，扩展IP模块12。报警服务器中运行的模块为：报警模块30。应用层的模块运行于系统中不同的端口，与核心模块建立了连接。

一台服务器可以同时运行两个应用软件模块，但是从应用效率和分工考虑，一般将它们分开运行。如果从成本上考虑，也可以让多个功能模块在一台服务器上运行。因为它们运行于系统中不同协议层或不同端口，不会产生冲突，本领域技术人员对上述的设计、应用技术是熟知的。

安全服务器在用通用计算机和通用操作系统基础上实现，扩展了一些功能模块。本发明实现的实例中采用通用Intel P4芯片的通用微机系统，操作系统为Linux7.1。应用层模块和核心模块以及设备驱动的开发的设计采用Linux系统中的GNU C/C++进行设计，本领域的技术人员对上述的设计技术和系统是熟知的。

下面参照图5说明安全路由器的结构功能和实现手段。安全路由器对常规路由器的IP模块进行功能扩充，扩充的功能模块为：第二认证模块23、扩展路由协议模块25和扩展路由IP模块11。

第二认证模块23用于安全路由器间、安全路由器和传输服务器间发送认证报文进行路由的安全性测试，同时根据认证结果来对路由进行更新，通过进程通信机制建立连接F3与扩展路由协议模块进行通信，获取路由信息。

扩展路由协议模块25中维护着网络中的安全路由信息库，对每个路由信息行添加了一个安全域，表示这条路由的安全性。它根据路由扩展协议规范向其它安全路由器发送和接收安全路由信息，并根据第二认证模块的结果来更新路由信息。它与认证模块通过F3进行通信。

扩展路由IP模块11是系统核心层中功能模块，包括子模块有：

扩展控制消息协议模块22，该模块对安全报文传输进行控制，报告安全报文传输过程中的差错和网络通信状况，该模块的消息封装由安全报文协议处理模块24处理；

扩展路由表和查询模块20，该模块提供安全路由表的维护和查询功能，接收扩展路由协议模块25的安全路由信息，并将它转换为路由表，向其它模块提供路由查询功能；

安全报文协议模块24，该模块负责IPIP报文的封装和解封装，其中封装后的报文通过控制模块传送给常规IP处理模块，即第二IP模块18；接收到安全报文后，解封装，取出内部报文发送给相应的处理模块。

扩展控制模块19是扩展路由IP模块的控制核心，它负责各个模块的调度和通信，对于本发明中的各种报文进行初步的处理，并维护与第二IP模块间的通信。

路由器是用于网络报文转发的专用计算机，市场上有多种系列的路由器产品。如Cisco公司的路由器R2600系列。本发明中的安全路由器采用BBIagent路由系统，其操作系统为Linux系列，按照上述的功能需求采用该系统中的设计工具进行开发。本领域技术人员对上述的技术和实现手段是熟知的，有相应的硬件设备和软件供应。

上述说明了系统中安全实体之间的连接关系，安全实体的结构和功能。下面根据上述的功能说明，来分析系统的通信过程。

首先参照图1说明系统中示例的配置。在下面的说明中，各安全服务器上所带的模块的标号用“安全服务器的标号.模块标号”的方式来表示，如传输服务器2.1.1，2.1.2上的发送子模块标号为2.1.1.27和2.1.2.27，接收子模块为2.1.1.28和2.1.2.28，以下类同。在域1和域2中设置的传输服务器为2.1.1，2.1.2，…，2.1.n和2.2.1，2.2.2，…，2.2.n。现假设域1为发送方，域2为接收方。其中，传输服务器2.1.1和2.1.2上运行传输模块中的发送子模块2.1.1.27和模块2.1.2.27，负责数据发送；域2中的传输服务器2.2.1，2.2.2运行传输模块中的接收子模块2.2.1.28和2.2.2.28，负责数据接收。安全服务器1.1和1.2为通信控制服务器，服务器3.1和3.2为报警服务器。

现参照图6和图7.1说明安全数据传输过程中应用层的通信连接流程。图6为图1中发送和接收的通信连接关系图。在通信控制服务器1.1和1.2中运行通信控制模块1.1.29、1.2.29。在传输服务器2.1.1、2.1.2中运行传输模块2.1.1.27，2.1.2.27负责发送，在传输服务器2.2.1、2.2.2中运行传输服务模块2.2.1.28、2.2.2.28，负责接收。

现参照图7.1说明各个服务器中模块建立连接的步骤。各模块初始化后，当域1中的通信控制服务器中通信控制模块1.1.29接到客户的传输任务时，对任务进行编号，向本域的传输服务器2.1.1、2.1.2中的传输模块2.1.1.27、2.1.2.27发送任务请求，请求建立通信连接F1和F2。域1的传输服务器2.1.1、2.1.2中的传输模块2.1.1.27、2.1.2.27成功响应该任务请求后，连接F1和F2建立。通信控制模块1.1.29在传输服务器2.1.1、2.1.2中随机地选择一台服务器作为主机。之后，域1的传输模块2.1.1.27、2.1.2.27向域2中接收模块2.2.1请求建立连接，传输模块2.1.1.27、2.1.2.27与负责接收的传输模块2.2.1.28成功建立连接F3、F4后，通过连接F3-F1和F4-F2向发送端的通信控制模块1.1.29报告连接成功消息。域2中的接收模块2.2.1.28与域2中的通信控制模块1.2.29建立连接F5，通过连接F5-F3-F1和F5-F4-F2向发送端的通信控制模块1.1.29报告成功消息。此时，从发送端到接收端的两条通道建立好。本实现示例中给出了建立两条连接的过程。连接建立好之后，系统可以进行数据传输。发送方的通信控制模块1.1.29通过连接F5-F3-F1和F5-F4-F2向接受方通信控制模块1.2.29发送数据。根据上述选择，传输服务器2.1.1为发送主机，而传输服务器2.1.2为“僚”机，通过主机的连接F5-F3-F1发送真实的报文，通过“僚”机中的连接F5-F4-F2连接发送虚假的报文。这样系统根据通信连接来确定其中发送的是何种报文，传输服务器不了解传输的何种报文。在开始数据传输后，在某时刻如有身份切换的时间到，通信控制服务器在传输服务器中随机地选择一个“主机”，而将真实的报文通过该主机的连接进行传输。在本示例中，即将传输服务器2.1.2为主机，而传输服务器2.1.1为“僚”机，连接F5-F3-F1和F5-F4-F2中传输的报文类型交换，从而完成主—僚机的身份切换。这个过程完成了身份切换过程，因此，本发明系统中的身份切换是通过对系统中应用层通信连接进行数据转换来达到的。

这里给出的是系统中域之间的发送和接收关系以及中主-僚机模型的说明。实际上系统的最初数据的发送端为通信控制模块，接收模块为接收方的通信控制模块(在安全服务器中的功能给予了说明)，同样数据的存储由通信控制模块来操作。上述的说明是针对应用层的通信连接来说明的，实际上，这种思想可以运用在网络通信的其它的协议软件层，如在传输控制层，对它的通信连接进行管理，也可以实现系统间的身份切换。

需要说明的是，根据系统的配置，本发明的系统可以建立多条从发送域到接收域的通信连接，再在建立好的连接的通信服务器中选择主机和僚机，因此，其连接的数量没有限制。另外，在应用层模块进行通信传输的过程中，服务器需要完成建立连接、数据传输和身份切换的任务，这些通过制定相应应用层的数据格式即可完成。这对于熟练的技术人员是可以完成的。同时，上述的模型也适用于其它的功能需求，如负载均衡、系统功能冗余等等。因此，本发明中端系统通信模型有利于功能扩展。

上述给出了安全数据报文的传输，其中主机传送真实的报文，而僚机传送虚假的报文，但是二者的密码学统计特性相同。在接收方根据散列值来辨别真假报文。现在参照图7.2和图10来说明发送和接收双方对不同类型应用数据的处理过程。其实现的方法为：发送方和接收方先约定好真实报文和虚假报文使用的两个种子值，取名为真种子和假种子，如果要传送用户数据报文，通信控制服务器根据应用数据报文的真假来选取种子值，选定随机数和散列算法，将随机数、种子值作用于算法标识表示的算法，得到散列值，将散列值、算法类型标识、随机数按照图10说明的应用数据格式填写。接收方收到应用数据报文后，提取出随机数、散列算法标识，利用约定好的两个种子值和接收到的随机数作用于散列算法标识所表示的散列函数，进行散列，得到两个散列值班，将接收到的散列值与产生的两个散列值比较，如果散列值与假种子所产生的散列值相同，则接收到的应用数据为诱骗报文，抛弃该报文；如与真种子产生的散列值相同，则接收到的应用数据为真实的数据报文，提交通信控制服务器处理；如果与上述两者均不相同，向报警服务器发送报警消息。需要说明的是：本发明中种子值设置是通过手工或者自动设置方式，其中自动设置为通过密钥交换的方式来进行。

上述的传输过程是将安全服务器系统中核心层软件和网络中安全路由器功能模块作为透明的实体来说明的。实际上，为了实现主动、安全地传输，上述的工作只是完成了主机的切换功能和端口的切换，安全报文在网络层经过了IPIP封装和初始地安全路由过程，这些由传输服务器底层的功能模块来完成。

下面参照安全服务器的结构图图4、图8的流程说明传输服务器扩展模块对安全报文处理过程。服务器网络层软件模块扩展IP模块12接收报文后，由控制模块33执行进行安全策略检查，取出报文协议域值和端口号，与系统中设置的安全策略进行比较，判断是否要进行安全传输，如果不执行安全传输，直接将报文返回给第一IP模块32进行处理。如要执行安全传输，则由控制模块33查询安全路由设置，判断是否有安全路由器地址，如没有安全路由器地址，给出出错信息，将出错信息返回上一层软件模块，同时形成控制消息报文向发送方传送。如果有安全路由，根据路由地址，控制模块33将安全路由信息一起提交给安全报文协议模块35对报文进行安全报文封装。控制模块33将封装好的报文提交给第一IP模块32进行处理。

上述给出了在网络数据传输过程中收发两端的身份切换过程和服务器中数据处理的过程。它实现的主-僚机通信模型可以避免对于特定主机的攻击，而采用端口切换的方法则可避免针对特定的端口的攻击。在传输层可以进行同样的切换方式，此时切换的对象为传输层的连接和相应的连接状态。安全报文从传输服务器向安全路由器发送后，安全报文进入网络传输中，为了实现安全报文的安全传输，上述的安全数据报文还需要安全的路由。安全报文传输的安全路由是由本发明所配置的安全路由器提供动态的安全路由功能提供的。

现参照安全路由器的结构图图5和安全路由器数据处理流程图9来说明其安全报文的接收处理。安全路由器中第二IP模块18收到网络IP报文，提交给扩展路由IP模块11中的扩展控制模块19来判断是否是本地安全报文，即其中的目的地址为本机地址，且其中“协议”域为4。如不是本地安全报文，将该报文返回第二IP模块18进行正常发送。若为本地安全报文，取出内部IP报文，并根据其中的目的地址判断该报文是否为本地报文，根据判定的结果进一步处理。

若内部报文不为本地报文，则根据其协议域和应用端口进行不同的处理。先提取该报文的目的地址，通过扩展路由表和查找模块20来查找安全路由，如果没有安全路由，则根据该报文的类型来处理。如果该安全报文为扩展控制消息报文，则抛弃该报文，如果该安全报文为安全数据报文，抛弃该报文，同时产生相应的控制消息(目标不可达)，提交给扩展控制消息模块22进行处理。如果有安全路由，则根据路由填写外部报文头，将该报文提交给第二IP模块进行处理。

若内部报文为本地报文，也根据其协议域和应用端口进行不同的处理。若为安全数据报文，提交给通用网络模块第二TCP模块和第二IP模块处理，如果没用相应的应用模块进行接收，抛弃该报文，同时产生控制消息，提交给控制消息协议处理模块进行处理。如果有相应的应用模块接收，则正常处理。若为扩展控制消息报文，按照协议进行处理。

上述说明了安全路由器中接收安全报文处理过程。同时，安全路由器还要认证工作：安全路由器间、安全路由器和传输服务器间发送认证报文。通过发送认证报文在网络中发现安全路径，需要说明的是，系统中还可以辅助运行入侵检测系统来保护本系统的安全。这里是系统中应用模块的报文，上述安全报文是核心层中的协议报文。

现参考图5和图10和图11.1和图11.2说明安全路由器互相发送同步认证报文的过程。当认证时间到，安全路由器按照一定策略设定的散列算法、种子值，产生一个随机数，经过算法作用后，输出散列值，按照图10的应用数据报文格式填写认证报文、设置目的安全路由器的地址。报文提供给路由器的核心层软件，安全路由器的核心模块，核心层中模块中的扩展控制模块19检测为认证报文后，填写路径记录选项，从扩展路由表和查询模块中取出路由信息，按照该路由信息进行报文发送。注意这里的认证报文不使用IPIP封装。

同时，安全路由器中的认证模块一直监听认证报文，收到报文后，提取算法标识、随机数和散列值1，提取路由信息，在将按照算法表示和随机数作用于标识所说明的算法，产生散列值2，将散列值2和散列值1进行比较，如果相等，返回等待；如果不等，说明路径中，包报文有篡改现象，通过进程通信机制建立的连接F3向扩展路由协议模块25报告，模块25修改路由信息，并按照扩展路由协议，向其它的安全路由器发送路由更新报文。之后，通知核心层的扩展路由和查询模块对路由查询表进行修改，向告警模块发送报警信息。注意，核心层中的扩展路由表和查询模块中维护的是系统中的查询树，在每个节点中除了扩充安全域之外，还有扩充了其它的详细的路由信息域，提高查询效率和报文封装速度。

上述的认证过程是本发明中系统实施的认证过程，能够防止对报文的篡改，该模块还可以扩充其它的认证手段和对攻击的检测手段，使得提取的路由信息更安全。

路由器之间除了认证报文之外，当发生了安全路由更改事件时，安全路由器之间还发送安全路由更新报文。这些事件为网络不通、认证报文没有通过认证和其它的妨碍安全报文传输的事件，这些事件由认证模块发出，同时提供相应的路由信息，扩展路由协议模块根据提供的消息，更改路由信息库中的相关表项，向其它的安全路由器发送更新安全路由安全报文，同时向系统中的扩展路由表和查询模块发送更新的信息。

上述说明了系统中安全路由器中的安全报文的传输和应用层中用户数据的传送过程。下面说明在接收域的处理过程。现结合系统结构图1和服务器结构功能图4和数据接收流程图12说明接收的过程。

域2中的传输服务器2.2.1和2.2.2中运行的接收模块2.2.1.28和2.2.2.28(图6)，其中核心层运行扩展IP模块2.2.1.12和2.2.2.12(图6)。

下面给出接收过程的详细说明。网络中传送来的报文首到达传输服务器2.2.1中的控制模块33，该模块判断是否是本地安全报文，如不是本地报文，抛弃该报文。如果是本地报文，

将该报文提交给由安全报文协议模块35取出其内部报文，进行协议检查，判断内部报文是否是本地报文，如果不是本地报文，抛弃报文。如果是本地报文，根据报文的协议域(参见图3)进行不同的处理。

如果是扩展控制消息报文，控制模块33将该报文提交给扩展控制消息模块34，该模块判断是否是告警消息，如果是告警消息，控制模块33向模块8.2发送报警信息。如果不是告警消息，则是传输控制消息，提出报文，转第一IP模块处理。

如果是安全数据报文，由控制模块33转第一IP模块32处理，将该报文提交给应用层的软件模块2.2.1.28，如果没有应用模块来接收，通过扩展控制消息协议模块34发送控制消息。

下面根据图4、图5和流程图11和图12说明报警过程。在安全路由器和安全传输服务器(模块2.x.x)中设置报警服务器的地址。报警模块3.1和3.2启动时与核心建立了连接F9，等待报警消息，前面的报警消息发送报警模块3.x.30。告警模块通过有线或无线通信技术向管理人员报警。在本发明的实施实例中，通过移动电话的短消息发送功能，系统将告警消息报告给管理人员。具体实施方法是报警模块3.2.30登录263网站提供的短消息网页(http：//sms.263.com)，然后，提交管理员的手机号、登陆密码和告警消息，通过该网络发送告警信息。这样，在很短的时间内，通过该网页向管理人员发送报警的短消息。

上述实施实例说明本发明的主—僚机身份切换、安全报文在网络安全路由器中的传送和告警处理。网络中的安全传输主要是利用安全路由器互相认证来确保安全报文路由的安全性，为报文的传输提供主动防护手段。而通过主机僚机的身份切换，防止针对特定主机的攻击。

此外，还应理解，在本申请的保护范围内存在其它可能的实施示例以及其它的安全服务类型。

Claims (4)

1、一种安全网络传输方法，利用计算机技术和网络技术实现，其特征在于：该方法包括报文传输中的身份切换过程、接收方接收报文过程、路由器中安全路径提取过程和报警过程，其中，

发送方报文传输中的身份切换过程的步骤为：

(1)通过手工设置或密钥匙交换方式为收发两端的传输系统分配真、假

   种子值，设置报警服务器地址；

(2)发送域中通信控制服务器通知本方若干传输服务器与接收域中传

   输服务器建立好连接链，这个连接链为：发送方控制服务器—发送

   方传输服务器—接收方传输服务器—接收方控制服务器；

(3)发送方通信控制服务器从多个传输服务器中随机选取主机和僚机，

   其中主机发送真实报文，僚机发送虚假报文；

(4)发送方确定或使用伪随机数、散列算法，根据主机或僚机身份选择

   真、假种子值，计算散列值，用随机数、算法标识、散列值、用户

   数据填写加密的用户数据报文；

(5)随机切换时间或事件到之后，如果传输没有结束，准备切换主机和

   僚机，转入本过程步骤(3)；否则，进行关闭连接处理；

 接收方接收报文的步骤为：

(1)接收方收到报文后，提取报文随机数、算法标识、散列值，将该随

   机数和已协商好的真、假种子值分别作用于算法标识表示的散列算

   法，得到真、假散列值；

(2)将接收到的散列值与本方产生真、假散列值进行比较，如与真散列

   值同，通过接收域中的通信服务器进行保存；如与假散列值相同，

   抛弃该报文；否则，根据报警服务器地址向报警服务器报警，并抛

   弃该报文；

安全路由的提取过程为：

(1)在路由器中采用手工设置或密钥匙交换方式设置用于认证的种子

   值和报警服务器地址；

(2)产生伪随机数，确定散列算法，计算散列值；根据随机数、算法标

   识、散列值数据填写认证报文；

(3)根据安全路由信息向其它路由器发送认证报文，核心模块填写路由

   记录设置，查路由表并发送报文；

(4)收到认证报文后，提取该报文的路由信息；提取随机数、算法标识、

   散列值，将该随机数和协商好的种子值作用于算法标识表示的散列

   算法，得到散列值；

(5)将接收的散列值与产生的散列值进行比较，如相同，转本过程步骤

   (1)；否则，转本过程步骤6；

(6)如散列值不同，将该传输路径标记为不安全；

(7)向报警服务器发送报警消息，向其它的路由器发送更新安全路由信

   息；

报警过程为：

报警服务器接收到报警消息，对消息进行处理，通过有线和/或无线的手段进行报警。

2.一种实现权利要求1所述方法的系统，包括服务器子系统和路由器子系统二大部分，其特征在于：所述服务器子系统包括传输服务器、通信控制服务器和报警服务器，所述通信控制服务器和客户工作站通过交换机与所述传输服务器相连，各个域中的传输服务器通过另一交换机与Internet中的路由器相连；

    所述传输服务器由通用服务器上设置传输模块、第一认证模块

(36)和扩展IP模块(12)构成，

    所述传输模块包括发送子模块(27)和接收子模块(28)，分别负

责数据的发送和接收；第一认证处理模块(36)用于对网络安全实体

认证报文的发送和接收处理；

    扩展IP模块(12)包括控制模块(33)、扩展控制消息协议模块

(34)、安全报文协议处理模块(35)，扩展控制消息协议模块(34)

用于对安全报文传输进行控制，报告差错报文和网络情况，并向报警

服务器发送报警消息；安全报文协议处理模块(35)用于负责IPIP报

文的封装和解封装，封装后的报文通过控制模块(33)传送给第一IP

模块(32)进行处理；控制模块(33)用于负责各个模块的调度和通

信，维护与第一IP模块(32)间的通信；

    所述通信控制服务器由通用服务器上设置通信控制模块(29)构

成，该通信控制模块用于负责数据的存取和主/僚机选择，对本域中的

数据传输进行控制；

所述报警服务器由通用服务器上设置报警模块(30)构成，该报警模块用于本系统中的告警；

所述路由器上设置有第二同步认证模块(23)和扩展路由协议模块(25)和扩展路由IP模块(11)，构成安全路由器，扩展路由IP模块(11)包括：

    扩展控制消息协议模块(22)，用于对安全报文传输进行控制，报

告差错报文和网络通信状况，并用于向报警服务器发送报警消息，该

消息传给安全报文协议处理模块(24)进行封装；

    扩展路由表和查询模块(20)，用于提供安全路由表的维护和查询

功能，接收同步认证模块(23)、扩展控制消息协议模块(22)和扩展

路由协议模块(21)的消息来更新路由表，提供给控制模块(19)查

询路由；

    安全报文协议模块(24)，用于IPIP报文的封装和解封装，其中

封装后的报文通过控制模块传送给第二IP模块(18)；

    扩展控制模块(19)用于整个扩展路由IP模块的控制。

    其应用层的模块包括：

    扩展路由协议模块(25)用于安全路由信息的维护，周期性地向

相邻安全路由器发送和接收安全路由信息，并对安全路由表进行更新；

    第二认证模块(23)用于对接收的同步认证报文进行认证，向其

它的安全路由器发送；

3.根据权利要求2所述的安全网络传输系统，其特征在于：所述通信控制服务器位于系统的应用层。

4.根据权利要求2所述的安全网络传输系统，其特征在于：所述通信控制服务器位于系统的传输层。

Images