一种基于软件定义边界的CoAP网络安全访问方法技术

本发明专利技术实施例属于信息安全技术领域，涉及一种基于软件定义边界的CoAP网络安全访问方法。为了缓解资源有限的CoAP服务器的安全问题，将软件定义边界技术与CoAP网络进行结合，包括以下步骤：在CoAP通信系统中引入SDP控制器和SDP网关；客户端上线时在SDP控制器处进行注册；客户端发送包含自身身份信息和CoAP请求上下文信息的SPA数据包到SDP控制器；SDP控制器对该请求进行多因素身份认证和多维度的信任评估；对于可信的请求，SDP控制器会控制SDP网关将该客户端的数据转发到CoAP服务器。从而实现在不需要占用CoAP服务器的资源情况下，提高CoAP服务器的通信安全性能。高CoAP服务器的通信安全性能。高CoAP服务器的通信安全性能。

【技术实现步骤摘要】
一种基于软件定义边界的CoAP网络安全访问方法


[0001]本专利技术属于CoAP网络安全访问
，尤其涉及一种基于软件定义边界的CoAP网络安全访问方法。

技术介绍

[0002]随着物联网的广泛应用，物联网设备的数量呈现出快速增长趋势。全球物联网(Internet of Things，IoT)设备的数量预计将从2020年的87.4亿台增加到2030年的超过254亿台。海量的物联网设备中相当一部分是资源有限的小型设备，许多设备的能源来自于电池，它们只能通过尽量节省能量消耗来延长寿命。
[0003]考虑到物联网设备的资源有限性和异构性，研究者为物联网开发了各种轻量级通信协议，其中最常用的协议是消息队列遥测传输协议(Message Queuing Telemetry Transport，MQTT)和约束应用协议(Constrained Application Protocol，CoAP)。其中CoAP协议是一种专为物联网小型设备设计的类HTTP的请求/响应协议，其传输层采用UDP协议，多用于类web通信的无线传感器网络等受限的环境中。C本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，该方法包括以下步骤：S1：CoAP服务器添加SDP网关和SDP控制器；S2：客户端在SDP控制器上注册；S3：客户端向SDP控制器发送SPA数据包；S4：SDP控制器根据SPA包中的信息对客户端进行身份认证，如果身份认证通过，则跳转到S5；S5：SDP控制器对本次请求进行信任计算，如果信任值大于阈值，则跳转到S6；S6：SDP控制器将客户端的信息发送到SDP网关；S7：客户端向SDP网关发送SPA数据包；SDP网关将SPA包中的信息与从SDP控制器接收到信息进行交叉验证，若验证通过，SDP网关更新其防火墙规则，在预设时间内对该客户端开启指定的服务端口；若验证失败，则通信失败；S8：用户通过网关与CoAP服务器建立DTLS连接进行通信。2.根据权利要求1所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述S1包括：服务器为每个服务或资源编号，称为sdpid，并将资源信息提供给SDP控制器和SDP网关，SDP控制器和SDP网关保存sdpid与服务器的映射关系。3.根据权利要求1所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述S2包括：客户端向SDP控制器注册自己的用户名和密码，SDP控制器为客户端生成用于加密SPA数据包的对称加密密钥和用于生成摘要的HMAC密钥，并且，SDP网关的地址、所有服务的sdpid以及其所映射在SDP网关的端口号一起提供给客户端。4.根据权利要求1所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述S3包括：客户端发送的SPA数据包包含了自己的IP，用户名和密码，CoAP请求的上下文，摘要HMAC，并对SPA包进行加密。5.根据权利要求1所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述S4包括：SDP控制器使用对称密钥解密SPA数据包，并且验证SPA中包含的IP、用户名、密码哈希和HMAC是否正确。6.根据权利要求1所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述S5包括：SDP控制器采取基于多维属性的计算综合信任值和信任阈值，综合信任值大于资源所需的信任阈值，该客户端是可信的，否则，不可信。7.根据权利要求6所述的一种基于软件定义边界的CoAP网络安全访问方法，其特征在于，所述信任值和信任阈值的计算方法如下：信任值的计算由两个部分构成，分别是直接信任值DT和综合信任值CT；直接信任值由四部分组成：客户端的初始可信度T
i
，DTLS安全性可信度T
dtls
，环境信任值T
e
，异常行为信任评估值T
d
；T
i
是根据客户端经过了身份验证后得到的初始信任分数，设置为100；T
dtls
取决于DTLS隧道的加密方式，不同的加密方式对应不同的安全级别sl，sl取[0,3]之间的正整数，如果DTLS是NoSec模式，sl取值为0；如果DTLS是PresharedKey模式，sl取值为1；如果DTLS是RawPublicKey模式，sl取值为2；如果DTLS...

【专利技术属性】
技术研发人员：张伟，李子轩，陈云芳，
申请(专利权)人：南京邮电大学，
类型：发明
国别省市：