WO2010048865A1 - 一种防止网络攻击的方法及装置 - Google Patents

一种防止网络攻击的方法及装置 Download PDF

Info

Publication number
WO2010048865A1
WO2010048865A1 PCT/CN2009/074578 CN2009074578W WO2010048865A1 WO 2010048865 A1 WO2010048865 A1 WO 2010048865A1 CN 2009074578 W CN2009074578 W CN 2009074578W WO 2010048865 A1 WO2010048865 A1 WO 2010048865A1
Authority
WO
WIPO (PCT)
Prior art keywords
cga
data packet
verification
signature information
parameter
Prior art date
Application number
PCT/CN2009/074578
Other languages
English (en)
French (fr)
Inventor
冯鸿雁
刘利锋
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Priority to EP09823057.6A priority Critical patent/EP2346205B1/en
Publication of WO2010048865A1 publication Critical patent/WO2010048865A1/zh
Priority to US13/097,676 priority patent/US8499146B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/604—Address structures or formats
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2101/00—Indexing scheme associated with group H04L61/00
    • H04L2101/60—Types of network addresses
    • H04L2101/618—Details of network addresses
    • H04L2101/659—Internet protocol version 6 [IPv6] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the present invention relates to the field of network information security technologies, and in particular, to a method and apparatus for preventing network attacks. Background technique
  • a denial of service (DoS) attack is a malicious attack that is very harmful to the network. It is usually attacked by a host and distributed denial of service (DDoS).
  • DDoS distributed denial of service
  • Distribute Denial of Service is a collective attack that controls a large number of hosts on the network to initiate a server attack.
  • DoS attacks include Packet Internet grope, Ping of Death, TearDrop attack, User Datagram Protocol ( Flooding Attack), SYN flood attack, Land attack, IP spoofing DoS, etc.
  • a typical DDoS attack using the TCP protocol is as follows:
  • TCP Network Transmission Control Protocol
  • the client When establishing a connection, the client sends a SYN message indicating the port of the server to which the client intends to connect, and the initial sequence number X;
  • the server sends back a SYN message containing the initial sequence number y of the server as a response, and at the same time, confirms that the sequence number ACK is set to (X + 1) to confirm the SYN message of the client, and one SYN will occupy a sequence number;
  • the client will confirm the sequence number ACK to (y+1) to confirm the SYN message of the server. These three messages complete the establishment of the TCP connection. Also known as the "three-way handshake" process.
  • a DoS attack is an attack method for the "three-way handshake" process of a TCP connection.
  • the client maliciously does not send the third acknowledgement packet, causing the server to wait for the third acknowledgement message repeatedly, and repeatedly sends the second response packet to the client, thereby occupying A large number of server resources eventually result in the server not being able to provide normal services to other customers.
  • Methods for preventing DDoS attacks by properly configuring routers include: using extended access lists, using a single address for reverse forwarding, using TCP interception, and using content-based access control.
  • Content-based access control technology is a method of intelligently filtering TCP and UDP packets based on application layer session information to prevent DoS attacks. It determines the duration of the session and when to remove the semi-join by setting the timeout limit and the session threshold. It is to prevent flood attacks by monitoring the number of semi-joins and the frequency of generation. Whenever there is an abnormal half-connection establishment or a large number of semi-joins appear in a short time, the user can judge that he has suffered a flood attack.
  • Content-based access timing detects the number of existing semi-joins and the frequency of attempts to establish a connection.
  • the router deletes some semi-joins to ensure new To establish a connection, the router continues to delete the semi-join until the number of semi-joins that exist is lower than the other threshold.
  • the frequency of trying to establish a connection exceeds the threshold, the router takes the same action and deletes part of the connection request. And continue until the number of requested connections is below the other threshold.
  • Embodiments of the present invention provide a method and apparatus for preventing network attacks, which can improve network security.
  • An embodiment of the present invention provides a method for preventing a network attack, including:
  • the data packet includes the encrypted generation address CGA parameter and signature information, then the CGA The parameters are verified, and the signature information is verified according to the verified CGA parameters;
  • the data packet is sent to the target address.
  • the embodiment of the invention further provides a method for preventing a network attack, including:
  • the data packet source address, the CGA parameter, and the signature information are appended to the data packet, and the data packet is sent, and the source address is an encrypted generation address CGA generated according to the public key.
  • An embodiment of the present invention provides an apparatus for preventing a network attack, including:
  • a data packet receiving module configured to acquire a data packet, where a source address of the data packet is an encrypted generation address CGA;
  • a packet inspection module configured to check the received data packet, determine whether it contains CGA parameters and signature information, and send the first inspection result
  • the CGA verification module is configured to: when the first check result is that the CGA parameter is checked, verify the CGA parameter of the obtained data packet, and send the CGA parameter verification result;
  • a signature verification module configured to: the verification result sent by the CGA verification module is that the CGA parameter is verified, and the signature information is verified according to the CGA parameter verification verification passed, and the signature information verification result is sent;
  • a main control module configured to process, according to the first check result, the CGA parameter verification result sent by the CGA verification module or the signature information verification result sent by the signature verification module, the data packet sent to the server; the module verification succeeds, the main The control module sends the data packet to the target address.
  • An embodiment of the present invention further provides an apparatus for preventing a network attack, including:
  • a parameter generating module configured to generate CGA parameters and signature information according to the source address and the public key
  • a parameter adding module configured to attach the source address, the CGA parameter, and the signature information to the data packet, where the source address is a public address Key generated encryption generated address CGA
  • a data packet sending module configured to send the data packet.
  • the CGA parameter and the signature information are attached to the data packet, and when the data packet is received, it is checked whether the data packet includes the CGA parameter and the signature information.
  • the pass will be The verified data packet is sent to the target address, and the CGA parameter used by the data packet is directly used to ensure the non-forgery of the address of the data packet, thereby preventing the network attack from being carried out by forging the address.
  • the authenticity of the identity of the sender of the data packet and its address binding is further ensured. Therefore, illegal data packets are filtered out to prevent network attacks on the server and improve network security performance.
  • FIG. 1 is a flowchart of a method for preventing network attacks according to Embodiment 1 of the present invention
  • FIG. 2 is a flowchart of a method for preventing network attacks according to Embodiment 2 of the present invention
  • 3(a) and (b) are schematic diagrams showing the data structure of a CGA parameter and a CGA extension header according to an embodiment of the present invention
  • FIG. 5 is a flowchart of a method for preventing network attacks according to Embodiment 4 of the present invention.
  • FIG. 6 is a schematic structural diagram of an apparatus for preventing network attacks according to Embodiment 5 of the present invention
  • FIG. 7 is a schematic structural diagram of an apparatus for preventing network attacks according to Embodiment 6 of the present invention.
  • IPv6 Internet Protocol Version 6
  • IPv4 Internet Protocol Version 6
  • IPv4 Internet Protocol Version 6
  • IPv4 has the following characteristics over current IP (ie, IPv4): extended addressing capabilities, header format, improved header and option support, ability to identify streams, authentication and encryption capabilities.
  • an embodiment of the present invention provides a method for preventing network attacks, which is sent in a data packet.
  • the delivery party includes the following steps:
  • Step 11 Generate CG A parameters and signature information according to the source address and the public key
  • the network address is planned more reasonably.
  • the network addresses in the same subnet have the same network prefix.
  • the network prefix in the network address can determine whether the address is an address in the subnet.
  • the IPv6 address has 128 bits, the first 64 bits are the subnet prefix, and the last 64 bits are the interface identifier. In the embodiment of the present invention, it is assumed that all the data packets are sent by the client. When the client joins the network, the network system allocates a public key to the client, and the subnet prefix is also fixed.
  • the client is based on the public key and some additional
  • the parameter generates an interface identifier by calculating a one-way hash function, and the generated interface identifier and the subnet prefix together form a CGA, and the generated CGA acts as the IP address of the client.
  • the interface identifier is generated according to the algorithm defined in RFC3972.
  • the data structure of the CGA parameter is shown in Figure 3 (a), which includes the modified domain, subnet prefix, public key, and extended domain. It may also include the collision count.
  • the CGA parameters generated based on the source address include: subnet prefix, public key, and conflict. Counts are inserted into fixed data structures to generate CGA parameters;
  • the generating the signature information according to the source address specifically includes: encrypting the data packet payload by using a private key to obtain signature information, where the private key corresponds to a public key that generates the CGA address.
  • Step 12 Attach the source address, the CGA parameter, and the signature information to the data packet, and send the data packet, where the source address is an encrypted generation address CGA generated according to the public key.
  • An IPv6 packet contains a basic header, an extended number of extension headers, and their payloads.
  • the basic header contains the source and destination addresses and indicates the next extension header.
  • the CGA extension header structure is shown in Figure 3 (b).
  • the extension header also contains the field indicating the next header. It also contains the options associated with this extension header.
  • the CGA extension header also contains CGA parameters and signature information.
  • the CGA parameter and the signature information are generated according to the source address, and are attached to the data packet to prove the reliability of the sender address of the data packet; the CGA parameter is generated according to the public key, and the signature information is generated according to the private key corresponding to the public key. Because public and private keys have certain identity and privacy, it is not easy for others to perform identity forgery.
  • an embodiment of the present invention provides a method for preventing network attacks.
  • the data packet receiver includes the following steps:
  • Step 21 Acquire a data packet, where the source address of the data packet is an encrypted generation address CGA; Step 22: Detect the obtained data packet, and determine whether the encrypted generation address CG A parameter and the signature information are included in the data packet.
  • the CGA extension header structure contains CGA parameters and signature information; if the CGA parameter and signature information are not included or only one parameter is included, the data packet is discarded.
  • Step 23 If the data packet includes the CGA parameter and the signature information, the CGA parameter is verified, and the signature information is verified according to the verified CGA parameter.
  • the step of verifying the CGA parameter of the data packet in the embodiment includes: performing a hash calculation on the public key in the CGA parameter to obtain a hash value, and comparing with the interface identifier in the source address, if two Inconsistent, the CGA verification fails;
  • the signature information is verified according to the CGA parameters passed by the verification, including:
  • Step 24 After the verification of the signature information is passed, the data packet is sent to the target address; the signature verification is passed, indicating that the source address of the data packet is correct, and the data packet is considered to be secure without being forged.
  • the source address of the data packet may be forged by another person. Then, the data packet sent by the attacker may be a packet sent by the attacker. If the data packet is malicious, the data packet is discarded. , Send an error report to the client.
  • Step 25 Determine that the data packet does not include the CGA parameter and the signature information, discard the data packet, and send an error report to the client.
  • the DDoS attack defense device queries a source IP address maintained in the device and a record table of the corresponding public key, and determines whether the source address of the data packet is in the table. If there is a source address entry in the table, the corresponding public key in the table is used. Verify the signature information.
  • the CGA parameter used by the data packet can be directly used to ensure the non-forgery of the address of the data packet, thereby preventing the network attack from being implemented by forging the address. And through the verification of the signature information, the authenticity of the identity of the sender of the data packet and its address binding is further ensured. Therefore, illegal IPv6 packets are filtered out to prevent network attacks on the server and improve network security performance.
  • the network attack is a DDoS attack
  • the server is an object protected by the network attack defense device.
  • the method for preventing the network attack from the data packet receiving end is described in detail. Referring to FIG. 4, in this embodiment, The specific implementation process of the network attack includes the following steps:
  • Step S100 The client sends a data packet to the server, and the source address is an IPv6 address generated by the CGA.
  • Step S101 The network attack defense device receives the data packet.
  • Step S102 Check whether the CGA parameter and the signature are included in the IP data packet. If only the signature information option is included, or both the CGA parameter and the signature information are included, proceed to step 103; if only the CGA parameter option is included, or the CGA parameter and the signature information are not included, proceed to step 107;
  • the signature information is obtained by the client encrypting the data packet payload by using a private key corresponding to the public key that generates the source address.
  • Step S103 Query a record table, and determine whether the source address exists in the lookup table
  • the record table is pre-built, and the record table stores the source address and the corresponding public key after successful verification for use by subsequent verification queries.
  • Step S104 If the source address record does not exist in the record table, the CGA parameter is first verified, and the signature information is verified according to the CGA parameter passed through the verification;
  • the steps for verifying the CGA parameters in this embodiment include:
  • the verification of the signature information in this embodiment includes:
  • Step S105 After the verification is successful, save the source address and the corresponding public key to the record table, and forward the data packet to the server;
  • the source address does not exist in the record table, and the CGA parameter and the signature information can be verified again, indicating that this is the first time the client sends a data packet to the server;
  • Step S106 If the source address is recorded in the record table, verify the signature information by using the corresponding public key in the record table;
  • the verification of the signature information in this embodiment includes:
  • Step S107 If the CGA parameter option and the signature information are not included in the data packet, or only the CGA parameter option is included, the network attack defense device discards the data packet and returns an error report to the client.
  • Step S108 If one of the two verifications is unsuccessful, the data packet is discarded; Step S109: The verification succeeds, and the network attack defense device sends the verified data packet to the service.
  • the network attack defense device clears the record of the client source address and the corresponding public key in the record table.
  • the CGA parameter used by the client can be directly used to ensure the non-forgery of the client address, thereby preventing the DDoS attack from being implemented by forging the address. And through the verification of the signature of the message sent by the client, the authenticity of the client identity and its address binding is further ensured. Sex. Therefore, illegal IPv6 data packets are filtered out to prevent DDoS attacks on the server and improve network security performance.
  • this embodiment provides a method for preventing network attacks.
  • the network attack is still a DDoS attack, and the server is an object protected by the network attack defense device.
  • Step S200 the client sends a data packet to the server, and the source address is an IPv6 address generated by the CGA;
  • Step S201 The network attack defense device receives the data packet.
  • Step S202 The network attack defense device checks whether the CGA parameter and the signature are included in the data packet.
  • Step S203 if not included, discarding the data packet, and the network attack defense device sends an error report to the source end, to prompt the client to send the data packet including the CGA parameter and the signature;
  • Step S204 if included, verifying the CGA parameter first, and verifying the signature information according to the CGA parameter passed by the verification;
  • Step S205 if one of the two verifications fails, the verification fails, and the data packet is discarded.
  • Step S206 If the CGA parameter verification and the signature verification succeed, the network attack defense device sends the data packet to the server.
  • the network attack anti-discharge device in the third embodiment needs to maintain a record list of the verified source address and the corresponding public key.
  • the network attack defense device needs to verify the CGA parameters and signature information in each data packet sent by the client.
  • the second embodiment eliminates the overhead of repeatedly verifying the CGA parameters, but needs to create, maintain and destroy a record table and needs to query the record table.
  • the IP data packet includes the CGA parameter and the signature information.
  • the verified data packet is sent to the server, so that the data packet can be confirmed.
  • the sender is legal and filters out illegal IPv6 packets, thus preventing DDoS attacks on the server and improving network security performance.
  • an embodiment of the present invention further provides an apparatus 300 for preventing network attacks, including a data packet receiving module 310, a data packet checking module 320, a CGA verification module 330, a signature verification module 340, and a main control module 350, where:
  • a data packet receiving module 310 configured to acquire a data packet, where a source address of the data packet is an encrypted generation address CGA;
  • the packet inspection module 320 checks the received data packet, determines whether the data packet contains the CGA parameter and the signature information, and generates a first inspection result and sends the result to the CGA verification module 330 and the main control module 350;
  • the CGA parameter includes a correction domain, a subnet prefix, a public key, a collision count, and an extension field.
  • the signature information is encrypted by the sender by using a private key corresponding to the public key that generates the source address. .
  • the CGA verification module 330, the CGA parameter of the acquired data packet is verified, and the verification result is sent to the signature verification module 340 and the main control module 350;
  • the signature verification module 340 uses the public key of the CGA parameter to verify the signature information of the data packet, and returns the verification result to the main control module 350;
  • the main control module 350 is configured to process the data packet according to the first check result sent by the received data packet check module 320, the verification result of the CGA verification module 330 or the signature verification module 340, and if the data packet check module 320 determines If the data packet does not contain signature information, the main control module 350 discards the data packet;
  • the main control module 350 discards the data packet
  • the main control module 350 transmits the data packet to the destination address.
  • the device 300 for preventing network attacks further includes:
  • a storage module 360 configured to store a record table, where the record table includes the CGA verification mode The source address of the block verified packet and its corresponding public key;
  • the record query module 370 queries the record table in the storage module according to the source address of the received IP data packet, and returns the generated second check result to the main control module.
  • the signature verification module uses the public key in the record table to verify the signature; after the signature verification is passed, the data packet is sent to the Said server, otherwise, discarding the data packet;
  • the received second check result indicates that the source address of the data packet does not exist in the record table, and the CGA parameter and the signature information of the data packet are respectively sent to the CGA verification module and the signature verification module for verification, and the save is performed.
  • the CGA parameters and signature information after verification are passed in the record table.
  • the network attack prevention device sends the verified data packet to the target network device, so that the illegal IPv6 data packet can be filtered out, thereby preventing the pair.
  • an embodiment of the present invention further provides an apparatus for preventing a network attack, including: a parameter generating module 601, configured to generate CGA parameters and signature information according to a source address and a public key, where the source address is generated according to a public key.
  • the encryption generation address CGA, the source address is usually an IPv6 address; the public key is automatically issued by the network when the device for preventing network attacks provided by the embodiment is entered into the network.
  • the parameter generation module includes:
  • the CGA parameter generating unit 6011 is configured to insert a subnet prefix, a public key, and a collision count of the source address into a fixed data structure to generate a CGA parameter.
  • the signature information generating unit 6012 is configured to encrypt the data packet payload by using a private key to obtain signature information, where the private key corresponds to a public key that generates the CGA address.
  • the parameter appending module 602 is configured to attach the source address, the CGA parameter, and the signature information to the data packet;
  • the IPv6 data packet includes a basic header, an extended number of extension headers, and a payload thereof.
  • the basic header contains the source address and the destination address, and indicates the next extension header.
  • the CGA extension header structure is shown in Figure 3 (b), and the extension header also contains the field indicating the next header, and also contains the definition and the extension. For header related options, the CGA extension header also contains CGA parameters and signature information.
  • the data packet sending module 603 is configured to send the data packet. Specifically, a packet including a basic header, an extended header, and a payload is transmitted.
  • the CGA parameter and the signature information are generated according to the source address, and are attached to the data packet to prove the reliability of the sender address of the data packet; the CGA parameter is generated according to the public key, and the signature information is generated according to the private key corresponding to the public key. Because public and private keys have certain identity and privacy, it is not easy for others to perform identity forgery.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

一种防止网络攻击的方法及装置 本申请要求于 2008 年 10 月 31 日提交中国专利局、 申请号为 200810174681.8、 发明名称为"一种防止网络攻击的方法及装置"的中国专利 申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及网络信息安全技术领域， 具体涉及防止网络攻击的方法及装 置。 背景技术
拒绝服务（DoS , Denial of Service )攻击是一种对网络危害很大的恶意 攻击， 通常是由一台主机攻击目标， 而分布式拒绝服务攻击 （DDoS,
Distribute Denial of Service )是控制网络上大量的主机来对服务器发起的集 体攻击。
DoS攻击具有代表性的攻击手段包括死亡之因特网包探索器 ping (Packet internet grope), ( Ping of Death ) 、 泪滴 TearDrop攻击、 用户数据艮 协议 UDP ( User Datagram Protocol ) 洪水攻击 （ Flooding Attack ) 、 SYN洪 水攻击、 Land攻击、 IP欺骗 DoS等。
一个典型的利用 TCP协议的 DDoS攻击方式如下：
网络传输控制协议（TCP )是一个面向连接的协议， 在网络中的通信 双方通过此协议进行通信之前， 需要建立一条连接。 连接的建立分为三个 步骤：
一、 建立连接时， 客户端发送一个 SYN报文， 指明客户端打算连接的 服务器的端口， 以及初始序号 X；
二、 服务器发回一个包含服务器的初始序号 y的 SYN报文作为应答， 同 时，将确认序号 ACK设置为（ X + 1 )以对客户的 SYN报文进行确认，一个 SYN 将占用一个序号；
三、 客户端将确认序号 ACK设置为 （y+1 )来对服务器的 SYN报文进行 确认。 这三个报文完成 TCP连接的建立。 也称为 "三次握手"过程。
DoS攻击就是一种针对 TCP连接的 "三次握手"过程的攻击方式。在第二 步服务器端发送连接应答报文后， 客户端恶意地不发送第三次确认报文， 导 致服务器端一直等待第三次确认消息， 并会反复发送第二次应答报文给客户 端， 从而占用大量的服务器资源， 最终导致服务器无法为其它客户提供正常 的服务。
现有技术中的一种防止 DDoS攻击的方法如下：
通过正确配置路由器来防止 DDoS攻击的方法， 包括： 使用扩展访问列 表， 使用单一地址逆向转发， 使用 TCP拦截， 使用基于内容的访问控制的方 法。
基于内容的访问控制技术是根据应用层会话信息， 智能地过滤 TCP和 UDP数据包， 防止 DoS攻击的方法。 它通过设置超时时限值和会话门限值来 决定会话的维持时间以及何时删除半连接。 它正是通过监视半连接的数量和 产生的频率来防止洪水攻击。每当有不正常的半连接建立或者在短时间内出 现大量半连接的时候， 用户可以判断是遭受了洪水攻击。
基于内容的访问定时（如， 每分钟）检测一次已经存在的半连接数量和 试图建立连接的频率， 当已经存在的半连接数量超过了门限值， 路由器就会 删除一些半连接， 以保证新建立连接的需求， 路由器持续删除半连接， 直到 存在的半连接数量低于另一个门限值， 同样， 当试图建立连接的频率超过门 限值， 路由器就会采取相同的措施， 删除一部分连接请求， 并持续到请求连 接的数量低于另一个门限值。 通过这种连续不断的监视和删除， 可以有效防 止 SYN洪水攻击。 但是， 通过设置半连接的门限值的方法有一定的误差， 不能精确地判断 DDos攻击的连接和正常连接中可能产生的半连接。 发明内容
本发明实施例提供一种防止网络攻击的方法及装置， 可提高网络安全 性。
本发明实施例提供一种防止网络攻击的方法， 包括：
获取数据包， 所述数据包的源地址为加密生成地址 CGA;
检测所获取的数据包， 判断所述数据包中是否包含所述加密生成地址 CGA参数和签名信息；
若所述数据包包含所述加密生成地址 CGA参数和签名信息， 则对 CGA 参数进行验证， 并根据通过验证的 CGA参数验证签名信息；
当所述签名信息验证通过后， 将所述数据包发送给目标地址。
本发明实施例还提供一种防止网络攻击的方法， 包括：
根据源地址和公钥生成 CGA参数和签名信息；
将数据包源地址、 所述 CGA参数和签名信息附加在数据包， 发送所述 数据包， 所述源地址为根据所述公钥生成的加密生成地址 CGA。
本发明实施例提供一种防止网络攻击的装置， 包括：
数据包接收模块， 用于获取数据包， 所述数据包的源地址为加密生成地 址 CGA;
数据包检查模块，用于对收到的数据包进行检查，判断其是否包含 CGA 参数和签名信息， 发送第一检查结果；
CGA验证模块，用于当所述第一检查结果为检查到有 CGA参数，对所获 取数据包的 CGA参数进行验证， 发送 CGA参数验证结果；
签名验证模块，用于所述 CGA验证模块发送的验证结果为所述 CGA参 数通过验证， 根据验证通过的 CGA参数验证签名信息， 发送签名信息验证 结果；
主控制模块， 用于根据收到所述第一检查结果、 CGA验证模块发送的 CGA参数验证结果或签名验证模块发送的签名信息验证结果处理发送给服 务器的数据包； 模块验证成功， 所述主控制模块将所述数据包发送给目标地址。
本发明实施例还提供一种防止网络攻击的装置， 包括：
参数生成模块， 用于根据源地址和公钥生成 CGA参数和签名信息； 参数附加模块， 用于将所述源地址、 CGA参数和签名信息附加在数据 包， 所述源地址为才艮据公钥生成的加密生成地址 CGA;
数据包发送模块， 用于发送所述数据包。
本发明实施例提供的技术方案中， 在数据包中附上 CGA参数及签名信 息， 在接收到数据包时检查数据包是否包含 CGA参数及签名信息。 通过对 CGA参数及签名信息进行验证， 如果对 CGA参数及签名验证均成功， 将通 过验证的数据包发给目标地址， 直接利用数据包使用的 CGA参数来保证数 据包发送地地址的非伪造性， 从而防止了通过伪造地址来实施网络攻击。 并 且通过对签名信息的验证， 进一步保证了数据包发送方身份及其地址绑定的 真实性。 从而将非法的数据包过滤掉， 防止对服务器的网络攻击， 提高网络 安全性能。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作筒单地介绍， 显而易见地， 下面 描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例一提供的防止网络攻击方法流程图；
图 2为本发明实施例二提供的防止网络攻击方法流程图；
图 3 ( a )及（b )分别为本发明实施例 CGA参数和 CGA扩展头的数据 结构的示意图；
图 4为本发明实施例三提供的防止网络攻击方法流程图；
图 5为本发明实施例四提供的防止网络攻击方法流程图；
图 6为本发明实施例五提供的防止网络攻击的装置结构示意图； 图 7为本发明实施例六提供的防止网络攻击的装置结构示意图。 具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
IPv6 ( Internet Protocol Version 6 )作为下一代互联网协议， 将越来越广 泛地被应用。 IPv6相对于现在的 IP (即 IPv4 )有如下特点： 扩展的寻址能 力， 筒化的报头格式， 对扩展报头和选项支持的改进， 标识流的能力， 认证 和加密能力。
实施例一
如图 1(a)所示， 本发明实施例提供一种防止网络攻击方法， 在数据包发 送方， 具体包括以下步骤：
步骤 11： 根据源地址和公钥生成 CG A参数和签名信息；
在 IPv6网络中， 网络地址的规划更为合理， 同一子网内的网络地址都 有相同的网络前缀， 通过网络地址中的网络前缀就可以确定出这个地址是 否是这个子网内的地址。 IPv6地址有 128位， 前 64位为子网前缀， 后 64位为 接口标识符。 本发明实施例中， 假定发送数据包的都是客户端， 客户端在 加入网络时， 网络系统会分配一个公钥给客户端， 同时子网前缀也是固定 的， 客户端根据公钥和一些附加参数通过计算单向哈希函数生成接口标识 符， 生成的接口标识符和子网前缀共同组成 CGA, 生成的 CGA就作为客户 端的 IP地址。 具体地， 接口标识符根据 RFC3972中定义的算法生成。
CGA参数的数据结构如图 3 ( a ), 包含修正域、 子网前缀、 公钥和扩展 域，还可能包括冲突计数；根据源地址生成 CGA参数具体包括：将子网前缀、 公钥和冲突计数分别插入固定的数据结构中， 生成 CGA参数；
根据源地址生成签名信息具体包括： 采用私钥对数据包载荷进行加密得 到签名信息， 该私钥与生成所述 CGA地址的公钥所对应。
步骤 12: 将所述源地址、 CGA参数和签名信息附加在数据包， 发送所述 数据包， 所述源地址为根据公钥生成的加密生成地址 CGA。
IPv6数据包包含基本头， 数目不固定的扩展头及其载荷。 其中， 基本 头中包含源地址和目的地址， 并指明下一个扩展头。 CGA扩展头结构如图 3 ( b )所示， 扩展头中也包含指明下一个头的字段， 还包含定义的与此扩展 头相关的选项， CGA扩展头中还包含 CGA参数和签名信息。
本发明实施例通过根据源地址生成 CGA参数和签名信息， 并附在数据 包中， 来证明数据包发送方地址的可靠性； CGA参数根据公钥产生， 签名 信息根据公钥对应的私钥产生， 由于公钥和私钥具有一定的身份标识性和 私密性， 他人不容易进行身分伪造。
实施例二
如图 2所示， 本发明实施例提供一种防止网络攻击方法， 在数据包接收 方， 具体包括以下步骤：
步骤 21: 获取数据包， 该数据包的源地址为加密生成地址 CGA; 步骤 22: 检测所获取的数据包， 判断所述数据包中是否包含所述加密生 成地址 CG A参数和签名信息；
具体地， 确定数据包 CGA扩展头结构里是否包含有 CGA参数和签名信 息； 如果没有包含 CGA参数和签名信息或只包含一种参数， 则丟弃数据包。
步骤 23: 若所述数据包包含所述加密生成地址 CGA参数和签名信息， 则 对 CGA参数进行验证， 根据通过验证的 CGA参数验证签名信息；
具体地， 本实施例中所述对数据包的 CGA参数进行验证的步骤包括： 对 CGA参数中的公钥重新进行哈希计算得到哈希值， 与源地址中的接 口标识符比较， 如果两者不一致， 则 CGA验证失败；
或者检查 CGA参数数据结构中的子网前缀是否为所述加密生成地址的 子网前缀， 若不是， 则 CGA验证失败；
或者检查 CGA参数数据结构中的冲突计数是否在预定的范围内，若不在 预定的范围内， 贝忙 GA验证失败。
具体地， 本实施例中根据验证通过的 CGA参数对签名信息进行验证， 包 括：
提取验证通过的 CGA参数中的公钥，采用与签名时相应的加密算法利用 该公钥对所述签名进行计算， 将计算得到的值与签名计算之前的值进行比 较， 若相同， 则签名验证通过。
步骤 24: 当所述签名信息验证通过后， 将所述数据包发送给目标地址； 签名验证通过， 说明数据包源地址是正确的， 没有经过伪造， 可以认为 数据包是安全的。
如果 CGA参数和签名信息没有认证通过，则说明数据包源地址可能是他 人伪造的， 那么可能是攻击者所利用的傀儡机发送的数据包， 那么数据包是 恶意的， 则丟弃该数据包， 向客户端发送错误报告。
步骤 25:确定所述数据包不包括 CGA参数和签名信息，则丟弃该数据包， 向客户端发送错误报告。
若数据包包含 CG A参数和签名信息， 或仅包含签名信息时， 则 DDoS 攻击防御设备查询设备中维护的一个源 IP地址与相应公钥的记录表， 判断 数据包的源地址是否在表中， 若表中有该源地址项， 则用表中对应的公钥 对签名信息进行验证。
本发明实施例可以直接利用数据包使用的 CGA参数来保证数据包发送 地地址的非伪造性， 从而防止了通过伪造地址来实施网络攻击。 并且通过对 签名信息的验证， 进一步保证了数据包发送方身份及其地址绑定的真实性。 从而将非法的 IPv6数据包过滤掉， 防止对服务器的网络攻击， 提高网络安全 性能。
实施例三
在这个实施例中， 以网络攻击为 DDoS攻击， 服务器为网络攻击防御设 备保护的对象为例， 从数据包接收端对防止网络攻击方法进行详细说明， 参 照图 4, 在本实施例中， 防止网络攻击的具体实现过程包括如下步骤：
步骤 S100: 客户端向服务器发送一个数据包， 其源地址是由 CGA生成 的 IPv6地址；
在这个步骤中， 客户端和服务器之间建立会话。
步骤 S101: 网络攻击防御设备接收该数据包；
步骤 S102: 检查 IP数据包中是否包含 CGA参数及签名。 如果仅包含签 名信息选项， 或者 CGA参数和签名信息两个选项都包含时， 转入步骤 103; 如果仅包含 CGA参数选项，或者 CGA参数和签名信息都不包含时，转入步骤 107;
所述签名信息由客户端采用与生成所述源地址的公钥所对应的私钥对 数据包载荷进行加密得到。
步骤 S103: 查询记录表， 判断查询表中是否存在该源地址；
所述记录表是预先构建的， 记录表保存的是验证成功后的源地址和对应 公钥， 以供后续验证查询使用。
提取所接收的数据包的源地址， 查询所述记录表是否保存有该源地址。 步骤 S104:如果记录表不存在此源地址记录，则先对 CGA参数进行验证， 根据验证通过的 CGA参数对签名信息进行验证；
具体地， 本实施例中对 CGA参数进行验证的步骤包括：
检查 CGA参数数据结构中的子网前缀是否为所述加密生成地址的子网 前缀， 若不是， 则 CGA验证失败； 检查 CGA参数数据结构中的冲突计数是否在预定的范围内，若不在预定 的范围内， 贝忙 GA验证失败。
具体地， 本实施例中对签名信息进行验证， 包括：
提取验证通过的 CGA参数中的公钥，采用与签名时相应的加密算法利用 该公钥对所述签名进行计算， 将计算得到的值与签名计算之前的值进行比 较， 若相同， 则签名验证通过。
步骤 S105: 验证成功后， 将源地址和对应的公钥保存到记录表中， 并将 数据包转给服务器；
源地址不存在记录表中， CGA参数和签名信息又能够通过验证， 说明这 是客户端第一次发送数据包给服务器；
步骤 S106: 如果记录表中记载有该源地址， 则利用记录表中对应的公钥 对签名信息进行验证；
因为记录表中保存的都是成功通过 CGA验证的源地址， 因此不需要再对 源地址进行 CGA验证；
具体地， 本实施例中对签名信息进行验证， 包括：
提取验证通过的 CGA参数中的公钥，采用与签名时相应的加密算法利用 该公钥对所述签名进行计算， 将计算得到的值与签名计算之前的值进行比 较， 若相同， 则签名验证通过。
步骤 S107: 如果数据包中不包含 CGA参数选项和签名信息， 或仅包含 CGA参数选项时， 网络攻击防御设备丟弃该数据包， 并向客户端返回错误报 告.
步骤 S108: 如果这两个验证中有一个验证不成功， 则丟弃该数据包； 步骤 S109:验证成功， 网络攻击防御设备将通过验证的数据包发给服务 哭
当会话结束后， 网络攻击防御设备清除记录表中的客户端源地址和对应 公钥的记录。
本发明实施例可以直接利用客户端使用的 CGA参数来保证客户端地址 的非伪造性， 从而防止了通过伪造地址来实施 DDoS攻击。 并且通过对客户 端发送的消息的签名的验证， 进一步保证了客户端身份及其地址绑定的真实 性。 从而将非法的 IPv6数据包过滤掉， 防止对服务器的 DDoS攻击， 提高网 络安全性能。
实施例四
参照图 5 , 本实施例提供一种防止网络攻击的方法， 仍以网络攻击为 DDoS攻击， 服务器为网络攻击防御设备保护的对象为例， 对防止网络攻击 方法进行详细说明：
步骤 S200,客户端向服务器发送一个数据包， 其源地址是由 CGA生成的 IPv6地址；
步骤 S201 , 网络攻击防御设备接收该数据包；
步骤 S202, 网络攻击防御设备检查此数据包中是否包含 CGA参数及签 名；
步骤 S203, 如果不包含， 则丟弃该数据包， 网络攻击防御设备向源端发 送错误报告， 来提示客户端发送包含 CGA参数及签名的数据包；
步骤 S204, 如果包含， 则先对 CGA参数进行验证， 根据验证通过的 CGA参数对签名信息进行验证；
步骤 S205, 如果这两个验证中有一个验证失败， 则验证失败， 丟弃该数 据包；
步骤 S206, 如果 CGA参数验证和签名验证成功， 则网络攻击防御设备将 该数据包发送给服务器。
本实施例与实施例三的不同之处在于， 实施例三中网络攻击防卸设备 需要维护一个通过验证的源地址和相应公钥的记录表， 在客户端与服务器 的一次会话期间，只需要在第一次发起会话的通信中对 CGA参数进行验证， 到会话结束之前， 期间只需验证签名信息。 而在实施例三中， 网络攻击防 御设备需要验证客户端发送的每一个数据包中的 CGA参数和签名信息。 显 然， 与实施例三相比实施例二省去了对 CGA参数重复验证的开销， 但需要 创建、 维护和销毁一个记录表并需要对记录表进行查询。
本实施例提供的技术方案中，通过检查判断 IP数据包是否包含 CGA参 数及签名信息。通过对 CGA参数及签名信息进行验证，如果对 CGA参数及 签名验证均成功， 将通过验证的数据包发给服务器， 这样可确认数据包的发 送方合法， 将非法的 IPv6数据包过滤掉， 从而防止对服务器的 DDoS攻击， 提高网络安全性能。
实施例五
参照图 5 , 本发明实施例还提供一种防止网络攻击的装置 300, 包括数 据包接收模块 310、 数据包检查模块 320、 CGA验证模块 330、 签名验证模 块 340和主控制模块 350, 其中：
数据包接收模块 310, 用于获取数据包， 该数据包的源地址为加密生成 地址 CGA;
数据包检查模块 320, 对收到的数据包进行检查， 确认数据包是否包含 CGA参数和签名信息， 并生成第一检查结果发送给 CGA验证模块 330和主 控制模块 350;
所述 CGA参数包含修正域、 子网前缀、 公钥、 冲突计数和扩展域； 所述签名信息由发送端采用与生成所述源地址的公钥所对应的私钥对 数据包载荷进行加密得到。
CGA验证模块 330, 对所获取数据包的 CGA参数进行验证， 将验证结果 发送给签名验证模块 340和主控制模块 350;
签名验证模块 340, 利用 CGA参数的公钥对数据包的签名信息进行验 证， 并将验证结果返回给主控制模块 350;
主控制模块 350, 用于根据收到的数据包检查模块 320发送的第一检查 结果、 CGA验证模块 330或签名验证模块 340的验证结果， 处理数据包； 若所述数据包检查模块 320判断所述数据包不包含签名信息，则主控制 模块 350将所述数据包丟弃；
若所述 CGA验证模块 330对 CGA参数的验证失败或所述签名验证模块 340验证签名信息失败， 则所述主控制模块 350将所述数据包丟弃；
若 CGA验证模块 330对所获取数据包的 CGA参数验证成功且所述签名 验证模块 340验证成功， 则所述主控制模块 350将所述数据包发送给目的地 址。
所述防止网络攻击的装置 300还包括：
存储模块 360, 用于存储记录表， 所述记录表包括通过所述 CGA验证模 块验证的数据包的源地址及其所对应公钥；
记录查询模块 370, 根据收到的 IP数据包的源地址查询存储模块中的记 录表， 将生成的第二检查结果返回给主控制模块。
若记录查询模块 370查询确定所述源地址存在于记录表中， 所述签名验 证模块利用记录表中的公钥对签名进行验证； 当所述签名验证通过后， 将所 述数据包发送给所述服务器， 否则， 将所述数据包丟弃；
接收到的所述第二检查结果表示记录表中不存在所述数据包的源地址， 将所述数据包的 CGA参数和签名信息分别发给所述 CGA验证模块和签名验 证模块进行验证， 保存验证通过后的 CGA参数和签名信息在所述记录表中。
本实施例提供的防止网络攻击的装置中，通过检查判断数据包是否包含
CGA参数及签名信息。 通过对 CGA参数及签名进行验证， 如果对 CGA参数 及签名验证均成功， 该防止网络攻击装置将通过验证的数据包发给目标网络 设备， 这样可将非法的 IPv6数据包过滤掉， 从而防止对目标网络设备的网络 攻击， 从而提高网络安全性能。
实施例六
参照图 7, 本发明实施例还提供一种防止网络攻击的装置， 包括： 参数生成模块 601 , 用于根据源地址和公钥生成 CGA参数和签名信息， 所述源地址为 ^据公钥生成的加密生成地址 CGA , 源地址通常为 IPv6地址； 公钥为本实施例提供的防止网络攻击的装置在进入网络时由网络自动发放 的。
具体地， 参数生成模块包括：
CGA参数生成单元 6011 , 用于将源地址的子网前缀、公钥和冲突计数分 别插入固定的数据结构中， 生成 CGA参数；
签名信息生成单元 6012, 用于采用私钥对数据包载荷进行加密得到签名 信息， 该私钥与生成所述 CGA地址的公钥所对应。
参数附加模块 602, 用于将所述源地址、 CGA参数和签名信息附加在数 据包； IPv6数据包包含基本头， 数目不固定的扩展头及其载荷。 其中， 基本 头中包含源地址和目的地址， 并指明下一个扩展头。 CGA扩展头结构如图 3 ( b )所示， 扩展头中也包含指明下一个头的字段， 还包含定义的与此扩展 头相关的选项， CGA扩展头中还包含 CGA参数和签名信息。
数据包发送模块 603 , 用于发送所述数据包。 具体地， 发送包括了基本 头、 扩展头和载荷的数据包。
本发明实施例通过根据源地址生成 CGA参数和签名信息， 并附在数据 包中， 来证明数据包发送方地址的可靠性； CGA参数根据公钥产生， 签名 信息根据公钥对应的私钥产生， 由于公钥和私钥具有一定的身份标识性和 私密性， 他人不容易进行身分伪造。
显然， 本领域的技术人员应该明白， 上述的本发明的各单元或各步骤可 以用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布 在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程 序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 或 者将它们分别制作成各个集成电路模块，或者将它们中的多个单元或步骤制 作成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬件和软 件结合。
以上所述仅为本发明的较佳实施例而已， 并非用于限定本发明的保护范 围。 凡在本发明的精神和原则之内所作的任何修改、 等同替换、 改进等， 均 包含在本发明的保护范围内。

Claims

权 利 要 求
1、 一种防止网络攻击的方法， 其特征在于， 包括：
获取数据包， 所述数据包的源地址为加密生成地址 CGA;
检测所获取的数据包， 判断所述数据包中是否包含所述加密生成地址 CGA参数和签名信息；
若所述数据包包含所述加密生成地址 CGA参数和签名信息， 则对 CGA 参数进行验证， 并根据通过验证的 CGA参数验证签名信息；
当所述签名信息验证通过后， 将所述数据包发送给目标地址。
2、如权利要求 1所述的方法，其特征在于，所述对 CGA参数进行验证， 并根据通过验证的 CGA参数验证签名信息包括：
查询记录表是否存在所述数据包的源地址；
如果不存在所述源地址， 则对 CGA参数进行验证， 并根据验证通过的 CGA参数对签名信息进行验证， 验证通过后， 保存所述源地址和对应的公 钥在所述记录表中； 如果验证失败， 则丟弃所述数据包；
如果存在所述源地址， 则利用记录表中对应的公钥对签名信息进行验 证， 如果验证失败， 则丟弃所述数据包。
3、 如权利要求 1或 2所述的方法， 其特征在于， 所述 CGA参数包含公 钥、 子网前缀和冲突计数， 所述对 CGA参数进行验证包括：
对 CGA参数中的公钥进行哈希计算得到哈希值， 与源地址中的接口标 识符比较， 如果两者不一致， 则 CGA验证失败； 或者
检查 CGA参数中的子网前缀是否为所述加密生成地址的子网前缀， 若 不是， 则 CGA验证失败； 或者
检查 CGA参数中的冲突计数是否在预定的范围内， 若不在预定的范围 内， 则 CGA验证失败。
4、 如权利要求 1或 2所述的方法， 其特征在于， 所述 CGA参数包括公 钥， 所述根据验证通过的 CGA参数验证签名信息包括：
采用与签名时相应的加密算法利用所述公钥对所述签名进行计算， 将计 算得到的值与签名计算之前的值进行比较， 若相同， 则签名验证通过。
5、 如权利要求 2所述的方法， 其特征在于， 进一步包括： 丟弃所述数据包后， 向发送所述数据包的源地址返回错误报告。
6、 一种防止网络攻击的方法， 其特征在于， 包括：
根据源地址和公钥生成 CGA参数和签名信息；
将数据包源地址、 所述 CGA参数和签名信息附加在数据包， 发送所述 数据包， 所述源地址为根据所述公钥生成的加密生成地址 CGA。
7、 如权利要求 6所述的方法， 其特征在于， 所述签名信息采用私钥对 数据包载荷进行加密得到， 所述私钥与生成所述 CGA的公钥相对应。
8、如权利要求 6所述的方法，其特征在于，所述 CGA参数包括修正域、 子网前缀、 公钥、 冲突计数和扩展域。
9、 如权利要求 6所述的方法， 其特征在于， 所述数据包包括基本头、 扩展头和载荷， 所述基本头包括源地址和目的地址， 扩展头包括 CGA参数 和签名信息。
10、 一种防止网络攻击的装置， 其特征在于， 包括：
数据包接收模块， 用于获取数据包， 所述数据包的源地址为加密生成地 址 CGA;
数据包检查模块，用于对收到的数据包进行检查，判断其是否包含 CGA 参数和签名信息， 发送第一检查结果；
CGA验证模块，用于当所述第一检查结果为检查到有 CGA参数，对所获 取数据包的 CGA参数进行验证， 发送 CGA参数验证结果；
签名验证模块，用于所述 CGA验证模块发送的验证结果为所述 CGA参 数通过验证， 根据验证通过的 CGA参数验证签名信息， 发送签名信息验证 结果；
主控制模块， 用于根据收到所述第一检查结果、 CGA验证模块发送的 CGA参数验证结果或签名验证模块发送的签名信息验证结果处理发送给服 务器的数据包； 模块验证成功， 所述主控制模块将所述数据包发送给目标地址。
11、 如权利要求 10所述的装置， 其特征在于， 还包括：
存储模块， 用于存储记录表， 所述记录表包括通过所述 CGA验证模块验 证的数据包的源地址及其所对应公钥。
12、 如权利要求 11所述的装置， 其特征在于， 还包括：
记录查询模块， 根据所述数据包的源地址查询存储模块中的记录表， 向 所述主控制模块发送第二检查结果；
所述主控制模块还用于，接收到的所述第二检查结果表示记录表中存在 所述数据包的源地址， 利用记录表中对应的公钥对签名信息进行验证， 如果 验证不通过， 丟弃所述数据包；
接收到的所述第二检查结果表示记录表中不存在所述数据包的源地址， 将所述数据包的 CGA参数和签名信息分别发给所述 CGA验证模块和签名验 证模块进行验证，保存验证通过后的 CGA参数和签名信息在所述记录表中。
13、 一种防止网络攻击的装置， 其特征在于， 包括：
参数生成模块， 用于根据源地址和公钥生成 CGA参数和签名信息； 参数附加模块， 用于将所述源地址、 CGA参数和签名信息附加在数据 包， 所述源地址为才艮据公钥生成的加密生成地址 CGA;
数据包发送模块， 用于发送所述数据包。
14、 如权利要求 13所述的装置， 其特征在于， 所述参数生成模块包括： CGA参数生成单元， 用于将源地址的子网前缀、公钥和冲突计数分别插 入固定的数据结构中， 生成 CGA参数；
签名信息生成单元， 用于采用私钥对数据包载荷进行加密得到签名信 息， 所述私钥与生成所述 CGA地址的公钥所对应。
PCT/CN2009/074578 2008-10-31 2009-10-23 一种防止网络攻击的方法及装置 WO2010048865A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09823057.6A EP2346205B1 (en) 2008-10-31 2009-10-23 A method and device for preventing network attack
US13/097,676 US8499146B2 (en) 2008-10-31 2011-04-29 Method and device for preventing network attacks

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810174681.8 2008-10-31
CN200810174681.8A CN101404579B (zh) 2008-10-31 2008-10-31 一种防止网络攻击的方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/097,676 Continuation US8499146B2 (en) 2008-10-31 2011-04-29 Method and device for preventing network attacks

Publications (1)

Publication Number Publication Date
WO2010048865A1 true WO2010048865A1 (zh) 2010-05-06

Family

ID=40538457

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/074578 WO2010048865A1 (zh) 2008-10-31 2009-10-23 一种防止网络攻击的方法及装置

Country Status (4)

Country Link
US (1) US8499146B2 (zh)
EP (1) EP2346205B1 (zh)
CN (1) CN101404579B (zh)
WO (1) WO2010048865A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111556020A (zh) * 2020-03-27 2020-08-18 江苏大学 一种基于兴趣包签名边缘校验的ndn访问控制方法

Families Citing this family (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7162035B1 (en) 2000-05-24 2007-01-09 Tracer Detection Technology Corp. Authentication method and system
US8171567B1 (en) 2002-09-04 2012-05-01 Tracer Detection Technology Corp. Authentication method and system
US7995196B1 (en) 2008-04-23 2011-08-09 Tracer Detection Technology Corp. Authentication method and system
CN101299668A (zh) * 2008-06-30 2008-11-05 华为技术有限公司 一种通信的建立方法、系统和装置
CN101404579B (zh) * 2008-10-31 2011-02-09 成都市华为赛门铁克科技有限公司 一种防止网络攻击的方法及装置
CN101931662B (zh) * 2010-08-30 2015-05-13 清华大学 冲突地址检测、地址解析/地址不可达探测的方法及系统
KR101807700B1 (ko) * 2011-12-09 2017-12-14 한국전자통신연구원 근원지 주소 위／변조 패킷 탐지 및 차단을 위한 인증 방법 및 장치
CN103259764B (zh) * 2012-02-17 2017-12-15 精品科技股份有限公司 一种局域网络防护系统与方法
WO2013187963A2 (en) * 2012-03-30 2013-12-19 The University Of North Carolina At Chapel Hill Methods, systems, and computer readable media for rapid filtering of opaque data traffic
US9009465B2 (en) * 2013-03-13 2015-04-14 Futurewei Technologies, Inc. Augmenting name/prefix based routing protocols with trust anchor in information-centric networks
JP5986546B2 (ja) * 2013-08-29 2016-09-06 ヤフー株式会社 情報処理装置、および情報処理方法
CN103560889B (zh) * 2013-11-05 2017-01-18 江苏先安科技有限公司 一种x509数字证书与证书应用之间的精确化身份认证方法
CN105451101B (zh) * 2014-08-13 2019-01-25 北京金山安全软件有限公司 一种视频播放方法及装置
CN106656914A (zh) 2015-10-29 2017-05-10 阿里巴巴集团控股有限公司 防攻击数据传输方法及装置
CN106953835B (zh) * 2016-01-06 2020-05-22 中兴通讯股份有限公司 一种检测报文的方法、装置和系统
CN107104929B (zh) * 2016-02-23 2021-03-09 阿里巴巴集团控股有限公司 防御网络攻击的方法、装置和系统
US10097525B2 (en) * 2016-03-08 2018-10-09 Qualcomm Incorporated System, apparatus and method for generating dynamic IPV6 addresses for secure authentication
CN107342964B (zh) * 2016-04-28 2019-05-07 华为技术有限公司 一种报文解析方法及设备
CN106998366B (zh) * 2017-05-23 2020-12-22 金华市智甄通信设备有限公司 一种云控制器负载均衡方法及其装置、一种云控制器
CN109150890A (zh) * 2018-09-05 2019-01-04 杭州迪普科技股份有限公司 新建连接攻击的防护方法及相关设备
CN109831260A (zh) * 2018-12-04 2019-05-31 南京时代大数据网络安全技术与发展战略研究院有限公司 数据传输系统及方法、存储装置
CN110032862B (zh) * 2019-04-01 2022-12-16 中科天御(苏州)科技有限公司 一种防撞库攻击的数据动态防护方法及装置
CN110309082A (zh) * 2019-04-23 2019-10-08 深圳市全智芯科技有限公司 数据存储方法、存储系统及微控制器
US11606346B2 (en) 2020-06-29 2023-03-14 Rockwell Automation Technologies, Inc. Method and apparatus for managing reception of secure data packets
US11599649B2 (en) * 2020-06-29 2023-03-07 Rockwell Automation Technologies, Inc. Method and apparatus for managing transmission of secure data packets
CN113904807B (zh) * 2021-09-08 2023-11-21 北京世纪互联宽带数据中心有限公司 一种源地址认证的方法、装置、电子设备及存储介质
US20230171099A1 (en) * 2021-11-27 2023-06-01 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification
CN114389835B (zh) * 2021-12-01 2024-04-16 青海师范大学 一种IPv6选项显式源地址加密安全验证网关及验证方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060077908A1 (en) * 2004-10-07 2006-04-13 Park So H Method for generating and authenticating address automatically in IPv6-based internet and data structure thereof
CN101162999A (zh) * 2006-10-15 2008-04-16 柏建敏 基于身份的公钥密码系统与加密地址在网络中的认证方法
CN101404579A (zh) * 2008-10-31 2009-04-08 成都市华为赛门铁克科技有限公司 一种防止网络攻击的方法及装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7203837B2 (en) * 2001-04-12 2007-04-10 Microsoft Corporation Methods and systems for unilateral authentication of messages
JP2006139747A (ja) * 2004-08-30 2006-06-01 Kddi Corp 通信システムおよび安全性保証装置
US7925027B2 (en) 2005-05-02 2011-04-12 Ntt Docomo, Inc. Secure address proxying using multi-key cryptographically generated addresses
US8281383B2 (en) * 2006-12-11 2012-10-02 Cisco Technology, Inc. Secured IPv6 traffic preemption
US8065515B2 (en) * 2007-04-23 2011-11-22 Cisco Technology, Inc. Autoconfigured prefix delegation based on distributed hash
CN101106568B (zh) 2007-07-25 2010-06-02 华为技术有限公司 生成转交地址及提高路由优化安全性的方法、装置和系统
US7779136B2 (en) * 2007-11-01 2010-08-17 Telefonaktiebolaget L M Ericsson (Publ) Secure neighbor discovery between hosts connected through a proxy

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060077908A1 (en) * 2004-10-07 2006-04-13 Park So H Method for generating and authenticating address automatically in IPv6-based internet and data structure thereof
CN101162999A (zh) * 2006-10-15 2008-04-16 柏建敏 基于身份的公钥密码系统与加密地址在网络中的认证方法
CN101404579A (zh) * 2008-10-31 2009-04-08 成都市华为赛门铁克科技有限公司 一种防止网络攻击的方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"AURA MICROSOFT RESEARCH T: "Cryptographically Generated Addresses (CGA); rfc3972.txt"", IETF STANDARD, INTERNET ENGINEERING TASK FORCE, IETF, CH, March 2005 (2005-03-01), XP008137045 *
See also references of EP2346205A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111556020A (zh) * 2020-03-27 2020-08-18 江苏大学 一种基于兴趣包签名边缘校验的ndn访问控制方法
CN111556020B (zh) * 2020-03-27 2022-09-16 江苏大学 一种基于兴趣包签名边缘校验的ndn访问控制方法

Also Published As

Publication number Publication date
EP2346205B1 (en) 2013-06-12
CN101404579B (zh) 2011-02-09
US8499146B2 (en) 2013-07-30
EP2346205A1 (en) 2011-07-20
US20110264908A1 (en) 2011-10-27
CN101404579A (zh) 2009-04-08
EP2346205A4 (en) 2012-03-21

Similar Documents

Publication Publication Date Title
WO2010048865A1 (zh) 一种防止网络攻击的方法及装置
US9438592B1 (en) System and method for providing unified transport and security protocols
US8418242B2 (en) Method, system, and device for negotiating SA on IPv6 network
JP4410791B2 (ja) アドレス詐称チェック装置およびネットワークシステム
Bruschi et al. S-ARP: a secure address resolution protocol
Mahy et al. Traversal using relays around nat (turn): Relay extensions to session traversal utilities for nat (stun)
Touch Defending TCP against spoofing attacks
WO2010048838A1 (zh) 网络认证方法、客户端请求认证的方法、客户端和装置
US8862871B2 (en) Network with protocol, privacy preserving source attribution and admission control and method
WO2010000171A1 (zh) 一种通信的建立方法、系统和装置
Kaufman et al. DoS protection for UDP-based protocols
JP2004295891A (ja) パケットペイロードを認証する方法
WO2011029357A1 (zh) 认证通信流量的方法、通信系统和防护装置
EP3442195B1 (en) Reliable and secure parsing of packets
CN105207778A (zh) 一种在接入网关设备上实现包身份标识及数字签名的方法
JP2011504332A (ja) Ｗａｐｉユニキャストシークレットキー交渉方法
Cao et al. 0-rtt attack and defense of quic protocol
Barham et al. Techniques for lightweight concealment and authentication in IP networks
Moskowitz et al. Rfc 5201: Host identity protocol
Mahy et al. Rfc 5766: Traversal using relays around nat (turn): relay extensions to session traversal utilities for nat (stun)
EP1154610A2 (en) Methods and system for defeating TCP Syn flooding attacks
Biagioni Preventing udp flooding amplification attacks with weak authentication
WO2011035618A1 (zh) 路由地址的安全处理方法和系统
Deng et al. Advanced flooding attack on a SIP server
KR100960851B1 (ko) 디지털 메시지 전송 장비의 통신 프로토콜에서 인증 처리를위한 인트라넷 프로토콜의 헤더 구조 및 인증 처리 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09823057

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009823057

Country of ref document: EP