一种安全路由发现方法和系统

本公开涉及路由安全，尤其涉及一种安全路由发现方法和系统。

背景技术：

1、传统的网络架构中，主机(比如，计算机)利用无状态地址自动配置(slaac)机制，从使用icmpv6的路由请求(routersolicitation，即rs)消息和路由通告(routeradvertisement，即ra)消息中获取配置信息。具体地，路由器向网络中的主机广播ra消息，ra消息中包括路由器的ip地址、网络前缀等关键配置信息，主机基于接收到的ra消息执行路由发现(routerdiscovery，即rd)，识别网络中的路由器，获取网络前缀以从使用icmpv6的rs和ra中获取配置信息。

2、slaac机制虽然简化了网络设置，但会增加ra消息存在路由器通告攻击(raattack)等安全威胁的风险。raattack是一种发生在ipv6网络中的网络攻击，其攻击点位于路由器与主机交互的ra消息广播阶段。由于标准的rd过程中缺乏足够的安全机制用以验证接收到的ra消息的合法性，尤其是ra消息中的路由器地址和网络前缀的验证，导致rd过程容易受到攻击者广播的虚假路由器通告攻击(fakeraattack)，使得主机被误导，错误地使用攻击者fakera消息执行rd，rd过程中的rd消息会被攻击者指定的恶意设备劫持，导致主机无法访问网络中的合法服务。

3、为了克服以上rd过程中主机和路由器之间缺乏有效信任机制的缺陷，常用的方法是信任邻居发现(trust-neighbordiscovery，即trust-nd)防御技术，利用数字签名身份验证、授权状态校验、公钥基础设施加密和建立安全通路等措施，确保信息来源可信、设备身份可靠、设备操作权限正确、消息完整及数据传输安全，增强认证和授权机制，防止数据泄露或被非法访问。然而，一方面，trust-nd机制的身份验证和授权状态校验步骤相对复杂，需要额外的信任值和信任标签的计算，计算成本较高；另一方面，trust-nd机制的公钥基础设施加密采用sha-1哈希算法保证消息完整性，极其容易受到哈希冲突攻击(攻击者利用两个不同的输入产生相同哈希输出)，破坏了数据安全。

技术实现思路

1、有鉴于此，本公开实施例提供一种安全路由发现方法和系统，能够解决现有的主机和路由器之间的信任机制计算成本高，rd过程极其容易受到哈希冲突攻击、数据安全性差，存在虚假路由通告攻击等安全威胁风险的问题。

2、为实现上述目的，根据本公开的一方面，提供了一种安全路由发现方法，方法应用于主机，包括：

3、选取主机随机数，通过主机随机数、哈希函数与伪随机函数生成请求消息认证码；

4、组合第一时间戳、随机生成的一次性数字一和请求消息认证码，得到请求消息安全标签；将请求消息安全标签嵌入控制信息协议请求报文的控制消息选项，利用路由器多播地址作为控制信息协议请求报文中的目标地址，将控制信息协议请求报文封装至路由请求消息，生成安全路由请求消息；

5、将安全路由请求消息广播至目标地址。

6、根据本公开的另一方面，提供了一种安全路由发现方法，方法应用于存储有主机随机数的路由器，方法包括：

7、接收一个或多个安全路由请求消息；

8、解析安全路由请求消息，得到请求消息安全标签和路由请求消息，请求消息安全标签包括第一时间戳、一次性数字一和请求消息认证码；

9、对第一时间戳和一次性数字一进行参数校验，并利用主机随机数和路由请求消息对请求消息认证码进行认证校验，确定第二参数校验结果和第二认证校验结果；

10、在第二参数校验结果和第二认证校验结果皆为校验成功的情况下，生成安全路由通告消息，并广播至路由请求消息中的源地址或者网络中。

11、根据本公开的再一方面，提供了一种安全路由发现系统，包括主机和路由器，主机和路由器分别存储有第一随机密钥和第二随机密钥，其中：

12、主机，用于选取主机随机数，向路由器同步主机随机数；利用主机随机数，通过主机随机数、哈希函数与伪随机函数生成请求消息认证码；组合第一时间戳、随机生成的一次性数字一和请求消息认证码，得到请求消息安全标签；将请求消息安全标签嵌入控制信息协议请求报文的控制消息选项，利用路由器多播地址作为控制信息协议请求报文的目标地址，将控制信息协议请求报文封装至路由请求消息，生成安全路由请求消息；将安全路由请求消息广播至目标地址。

13、路由器，用于接收安全路由请求消息；解析安全路由请求消息，得到请求消息安全标签和路由请求消息，请求消息安全标签包括第一时间戳、一次性数字一和请求消息认证码；对第一时间戳和一次性数字一进行参数校验，并利用主机随机数和路由请求消息对请求消息认证码进行认证校验，确定第二参数校验结果和第二认证校验结果；在第二参数校验结果和第二认证校验结果皆为校验成功的情况下，选取路由器随机数，向主机同步路由器随机数；通过路由器随机数、哈希函数与伪随机函数生成通告消息认证码；组合第二时间戳、随机生成的一次性数字二和通告消息认证码，得到通告消息安全标签；将通告消息安全标签嵌入控制信息协议通告报文的控制消息选项，并将控制信息协议通告报文封装至路由通告消息，生成安全路由通告消息；将安全路由通告消息广播至路由请求消息中的源地址或者网络中；

14、主机，还用于接收安全路由通告消息；解析安全路由通告消息，得到通告消息安全标签和路由通告消息，通告消息安全标签包括第二时间戳、一次性数字二和通告消息认证码；对第二时间戳和一次性数字二进行参数校验，并利用路由器随机数和路由通告消息对通告消息认证码进行认证校验，确定第一参数校验结果和第一认证校验结果；在第一参数校验结果和第一认证校验结果皆为校验成功的情况下，将路由通告消息中的路由器物理地址添加至邻居缓存表。

15、本申请实施例中提供的一个或多个技术方案，通过配置srd(securityrouterdiscovery)机制模块的主机和路由器，生成消息认证码、安全标签和安全rs消息、安全ra消息，结合参数校验和认证校验，实现合法路由器和合法主机之间的安全互信，可以实现基于启发式安全研发机制，降低rd消息的处理时间，进而缩减计算成本的消耗，提高处理和计算效率的同时有效防止ipv6网络中链路本地通信的虚假路由通告消息的攻击威胁，避免设备被误导，免受虚假路由通告的影响，实现网络设备和路由器之间的有效信任的技术效果。

技术特征：

1.一种安全路由发现方法，其特征在于，所述方法应用于主机，包括：

2.如权利要求1所述的安全路由发现方法，其特征在于，所述主机存储有第一随机密钥和第二随机密钥；所述通过所述主机随机数、哈希函数与伪随机函数生成请求消息认证码，包括：

3.如权利要求1所述的安全路由发现方法，其特征在于，所述主机还存储有路由器随机数；还包括：

4.如权利要求3所述的安全路由发现方法，其特征在于，所述对所述第二时间戳和所述一次性数字二进行参数校验，确定第一参数校验结果，包括：

5.如权利要求3所述的安全路由发现方法，其特征在于，所述利用所述路由器随机数和所述路由通告消息对所述通告消息认证码进行认证校验，确定第一认证校验结果，包括：

6.一种安全路由发现方法，其特征在于，所述方法应用于存储有主机随机数的路由器，所述方法包括：

7.如权利要求6所述的安全路由发现方法，其特征在于，所述路由器还存储有第一随机密钥和第二随机密钥；所述利用所述主机随机数和所述路由请求消息对所述请求消息认证码进行认证校验，确定第二认证校验结果，包括：

8.如权利要求6所述的安全路由发现方法，其特征在于，所述对所述第一时间戳和所述一次性数字一进行参数校验，确定第二参数校验结果，包括：

9.如权利要求6所述的安全路由发现方法，其特征在于，所述生成安全路由通告消息，包括：

10.一种安全路由发现系统，其特征在于，包括主机和路由器，所述主机和所述路由器分别存储有第一随机密钥和第二随机密钥，其中：

技术总结
本公开实施例提供一种安全路由发现方法和系统，涉及路由安全技术领域。该方法的具体实施方式包括：主机通过主机随机数、哈希函数与伪随机函数生成请求消息认证码，组合第一时间戳、随机生成的一次性数字一得到请求消息安全标签，封装生成安全RS消息并广播；路由器解析安全路由请求消息得到请求消息安全标签和路由请求消息，进行参数校验和认证校验，校验成功后通过路由器随机数、哈希函数与伪随机函数生成通告消息认证码，组合第二时间戳、随机生成的一次性数字二得到通告消息安全标签，封装生成安全路由通告消息并广播；主机解析安全路由通告消息得到通告消息安全标签和路由通告消息，进行参数校验和认证校验，校验成功后将路由器物理地址添加至邻居缓存表。该实施方式能够有效防止虚假路由通告消息的攻击威胁，防止设备被误导，避免哈希冲突攻击，安全校验速度快、处理效率高，在大大降低计算成本的同时保证数据安全，免受虚假路由通告的影响，实现网络设备和路由器之间的有效信任。

技术研发人员：杨琼,马礼,李阳,马东超,傅颖勋
受保护的技术使用者：北京工业大学
技术研发日：
技术公布日：2024/5/8