一种基于可信密码卡的路由协议加固方法技术

本发明专利技术公开了一种基于可信密码卡的路由协议加固方法，包括对路由协议进行可信加固处理和对路由协议进行安全解析。与现有技术相比，本发明专利技术的积极效果是：本发明专利技术在以下几个方面显著提升了网络的安全性：1)抗重放攻击；2)防假冒攻击；3)信息不被窃取；4)路由算法可信度支持。本发明专利技术与其他路由协议安全措施相比，具备的主要技术优势：(1)路由设备内生安全性；(2)降低网络维护成本；(3)自适应多种路由协议；(4)动态调整路由节点可信度。本发明专利技术大幅提升了路由设备上路由协议的安全性，保证整个网络的高安全性和高可靠性要求，适用于军队保密通信高安全需求场景，同时在防范网络信息窃取攻击等高安全目标领域也有重要应用前景。

【技术实现步骤摘要】
一种基于可信密码卡的路由协议加固方法
本专利技术涉及一种基于可信密码卡的路由协议加固方法。
技术介绍
随着互联网的急剧膨胀，加之复杂网络环境的异构性、动态性、欺骗性等特点，网络的信息安全问题日益突出。路由设备作为重要的网络组成节点，提供了异构网的互联机制，路由协议通过在路由设备之间共享路由信息，根据拓扑信息选择其到其他路由设备之间的最佳路径，其重要性在整个通信网络中不言而喻。然而路由协议设计之初将各个节点都认为是可信的，路由协议本身存在许多安全缺陷，而且当前的安全措施注重业务数据加密，网络节点间无认证、路由协议未保护，易被攻击或监控。攻击者很容易利用各种路由协议的漏洞发起网络攻击，比如针对OSPF路由协议攻击(Hello报文重放攻击、MaxAge攻击、最大序列号攻击、伪造LSA攻击等)、IS-IS路由协议攻击、BGP路由协议攻击(伪造合法节点)，达到降低网络性能和破坏网络的目的。路由协议的安全是保证网络安全的重要因素之一，因此对于路由协议的安全改造成为了当前研究的热点之一。近年来，国内外许多研究机构着重在路由协议的分析和改造上提升整个网络通信安全的能力，许多成果已应用于各类涉密网络系统。通过对目前的公开文献和技术资料进行梳理可以发现国内外对路由协议安全防护主要集中在两方面策略，一是针对具体路由协议增加安全措施，研究思路和研究方法上依然是针对路由协议本身所发现的安全漏洞进行修补和完善，需要修改具体协议内容，方法相对复杂，同时存在引入新安全问题的隐患；二是在网络中增加信任管理系统(TMS)，通过路由设备与TMS交互，验证路由协议数据来源的可靠性和路由协议数据的完整性，该策略依赖路由设备与TMS交互，TMS成为整个网络扩展的瓶颈，同时增加了网络的维护成本。
技术实现思路
在高安全性要求的保密通信网络中，典型的军事领域急需安全、可靠、高效的路由通信设备构建一个稳定、安全的保密通信网络。本专利技术的目的在于提供一种基于可信密码卡的路由协议加固方法，针对路由协议攻击解决以下问题：(1)解决路由设备节点实体身份认证问题，确保只有经过身份认证的节点才能接入网络，阻挡非法节点的数据侵入抢占网络带宽，防止其发起洪泛攻击影响网络性能。(2)保证路由协议数据的机密性，不允许非法分子捕获数据并分析出其中的协议内容，阻止其根据路由信息窥探网络分布发起有针对性的攻击。(3)增加路由协议完整性校验，防止非法分子发送伪造或篡改的路由协议数据包破坏网络中节点路由表项等关键信息，同时阻挡重放攻击破坏路由节点正常功能。(4)自动调整邻居节点的可信度，在传统的路由协议算法中引入可信度这个约束条件，衡量路径的可信度，从而计算出最佳可信路径。本专利技术解决其技术问题所采用的技术方案是：一种基于可信密码卡的路由协议加固方法，包括如下内容：一、可信密码卡集成在路由设备内部：在路由设备硬件上，可信密码卡与路由设备主板组成可信硬件平台。可信密码卡工作所需的密码资源在初始化时被注入。二、路由设备间的实体身份认证：在进行路由协议加固前，路由协议交互的网络节点需先通过实体身份认证流程，以确保双方的节点合法性，同时在该过程中获得对端路由设备的证书，即对端公钥。在认证通过之前，只允许身份认证协议数据通过路由设备端口，认证通过以后，路由协议数据才可以顺利通过路由设备以太网端口。三、对路由协议进行可信加固处理：(1)在路由协议数据末补充时间戳值；(2)采用可信密码模块提供的签名算法，对路由协议数据及时间戳进行HASH后计算获取数字签名，并将结果附加在时间戳后；(3)对路由协议数据和时间戳采用可信密码模块提供的对称加密算法加密；(4)将加密后的路由协议数据、时间戳及数字签名的总长度值附加在信息头处；四、对路由协议进行安全解析：(1)根据总长度取数据，定位获取加密的路由协议数据、时间戳和数字签名；(2)利用可信密码模块提供的对称解密算法对路由协议数据和时间戳解密；(3)判断时间戳的合法性，如果不合法，则丢弃协议数据并修改数据源节点的可信度值，如果合法，则进行下一步；(4)进行完整性验证，对解密后的协议数据和时间戳计算消息摘要，采用可信密码模块和节点身份认证过程中获得的对方证书解密数字签名，与计算的消息摘要比对，不同则丢弃协议数据并修改数据源节点的可信度值，相同则进行下一步；(5)去时间戳，成功获取明文协议数据。与现有技术相比，本专利技术的积极效果是：本专利技术在以下几个方面显著提升了网络的安全性：1)抗重放攻击在路由协议加固过程中，每条路由消息都会携带时间戳，同样将该时间戳用在消息报文中作为数字签名字段的一部分，每次过程中的消息报文都是不同的，因此能够很好地抵抗路由协议重放攻击。2)防假冒攻击路由协议加固消息都采用了证书系统的数字签名，任何第三方都不可能伪造合法用户的消息，因此整个过程中能够很好地抵抗假冒攻击。3)信息不被窃取整个路由信息交互过程中，路由协议数据都是通过可信密码卡提供的加密功能加密传输，无明文在链路上传输，同时数据加密密钥保存于密钥卡，不在链路上传输，规避密钥被窃取风险，有效地防止路由信息被窃取和篡改。4)路由算法可信度支持在标准动态路由协议IS-IS、OSPF、BGP的基础上改造，通过引入信任和基于数字签名的安全认证机制实现可信链路状态协议，在路由协议解析过程中利用解析结果动态调整路由节点的可信度值，在计算路由时考虑可信度的约束条件，综合考虑可信度、代价、带宽等因素，决策出最佳路由。本专利技术与其他路由协议安全措施相比，具备的主要技术优势：(1)路由设备内生安全性：将可信密码卡集成到路由设备主板上，硬件和软件一体化设计，通过一体化设计去解决因通信与安防难以协同造成效率低、管控难等问题，既能确保接入网络的路由设备可靠性，也能满足路由设备之间发送的路由协议消息可信的需求。(2)降低网络维护成本：本方法中通过路由设备内部集成可信密码卡，且可信密码卡工作所需的系统卡文件、密钥卡文件和用户卡文件等密码资源在初始化时已被注入，不需要在设备运行或者网络数据交换过程中与集中控制的信任管理系统(TMS)交互，避免了集中控制服务器带来了网络性能瓶颈问题，提高整个安全加固过程效率，同时也避免了可能因其故障带来的整个网络瘫痪的问题，降低了网络维护成本，利于网络的扩展。(3)自适应多种路由协议：本方法不需要修改路由协议自身格式，可适用于多种路由协议，利于协议扩展，使得路由协议加固过程变得简单，同时规避了由于修改路由协议具体内容而引入新的安全问题隐患。(4)动态调整路由节点可信度：在路由协议交互期间，根据对加固的协议消息安全解析过程中消息的合法性自动调整节点的可信度，利用该可信度动态调整路由，路由路径中最大可能的绕过存在安全隐患的路由节点，降低其对网络的影响。本专利技术大幅提升了路由设备上路由协议的安全性，保证整个网络的高安全性和高可靠性要求，适用于军队保密通信高安全需求场景，同时在防范网络信息窃取攻击等高安全目标领域也有重要应用前景。附图说明本专利技术将通过例子并参照附图的方式说明，其中：图1为基于可信密码卡的路由协议加固设备网络示意图；图2为集成可信密码卡的路由设备平台架构示意图；图3为路由协议加固示意图；图4为路由协议加固信息格式；图5为路由协议加固及安全解析流程示意图。具体实施方式本专利技术提出通信本文档来自技高网...

【技术保护点】
1.一种基于可信密码卡的路由协议加固方法，其特征在于：包括如下内容：一、对路由协议进行可信加固处理：(1)在路由协议数据末补充时间戳值；(2)采用可信密码模块提供的签名算法，对路由协议数据及时间戳进行HASH后计算获取数字签名，并将结果附加在时间戳后；(3)对路由协议数据和时间戳采用可信密码模块提供的对称加密算法加密；(4)将加密后的路由协议数据、时间戳及数字签名的总长度值附加在信息头处；二、对路由协议进行安全解析：(1)根据总长度取数据，定位获取加密的路由协议数据、时间戳和数字签名；(2)利用可信密码模块提供的对称解密算法对路由协议数据和时间戳解密；(3)判断时间戳的合法性，如果不合法，则丢弃协议数据，如果合法，则进行下一步；(4)进行完整性验证，对解密后的协议数据和时间戳计算消息摘要，采用可信密码模块和节点身份认证过程中获得的对方证书解密数字签名，与计算的消息摘要比对，不同则丢弃协议数据，相同则进行下一步；(5)去时间戳，成功获取明文协议数据。

【技术特征摘要】
1.一种基于可信密码卡的路由协议加固方法，其特征在于：包括如下内容：一、对路由协议进行可信加固处理：(1)在路由协议数据末补充时间戳值；(2)采用可信密码模块提供的签名算法，对路由协议数据及时间戳进行HASH后计算获取数字签名，并将结果附加在时间戳后；(3)对路由协议数据和时间戳采用可信密码模块提供的对称加密算法加密；(4)将加密后的路由协议数据、时间戳及数字签名的总长度值附加在信息头处；二、对路由协议进行安全解析：(1)根据总长度取数据，定位获取加密的路由协议数据、时间戳和数字签名；(2)利用可信密码模块提供的对称解密算法对路由协议数据和时间戳解密；(3)判断时间戳的合法性，如果不合法，则丢弃协议数据，如果合法，则进行下一步；(4)进行完整性验证，对解密后的协议数据和时间戳计算消息摘要，采用可信密码模块和节点身份认证过程中获得的对方证书解密数字签名，与计算的消息摘要比对，不同则丢弃协议数据，相同则进行下一步；(5)去时间戳，成功获取明...

【专利技术属性】
技术研发人员：田丹，杨宏，吴捷，
申请(专利权)人：中国电子科技集团公司第三十研究所，
类型：发明
国别省市：四川,51