WO2010000171A1 - 一种通信的建立方法、系统和装置 - Google Patents

一种通信的建立方法、系统和装置 Download PDF

Info

Publication number
WO2010000171A1
WO2010000171A1 PCT/CN2009/072156 CN2009072156W WO2010000171A1 WO 2010000171 A1 WO2010000171 A1 WO 2010000171A1 CN 2009072156 W CN2009072156 W CN 2009072156W WO 2010000171 A1 WO2010000171 A1 WO 2010000171A1
Authority
WO
WIPO (PCT)
Prior art keywords
cga
communication
request
signature
parameter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2009/072156
Other languages
English (en)
French (fr)
Inventor
刘利锋
张东
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Digital Technologies Chengdu Co Ltd
Original Assignee
Huawei Symantec Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Symantec Technologies Co Ltd filed Critical Huawei Symantec Technologies Co Ltd
Priority to EP09771941.3A priority Critical patent/EP2285041B1/en
Publication of WO2010000171A1 publication Critical patent/WO2010000171A1/zh
Priority to US12/976,701 priority patent/US8880891B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/20—Manipulating the length of blocks of bits, e.g. padding or block truncation

Definitions

  • the embodiments of the present invention relate to the field of communications technologies, and in particular, to a method, system, and device for establishing communications. Background technique
  • IP Internet Protocol
  • the source address after masquerading can implement some other forms of attacks, such as DDOS (Distribute Denial of Service) attacks, and it is very difficult to detect;
  • DDOS Distribute Denial of Service
  • the URPF Unicast Reverse Path Forwarding
  • the URPF sets the following packet forwarding mechanism.
  • the router checks the routing table to determine whether the route of the source IP address of the returned packet goes out of the interface that received the packet. If yes, then The packet is forwarded normally, otherwise the packet is dropped.
  • the URPF attack on the network boundary to block the forged source IP address does not work for the current DDoS attack.
  • the root cause of the URPF is that the router determines the source address of the egress traffic. If the source address of the egress traffic is not The address belonging to the internal subnet blocks the egress traffic.
  • an attacker can forge a DDoS attack on the IP address of the subnet on which it is located. This completely bypasses the URPF protection policy. Therefore, the prior art still passes packets with spurious source addresses. Summary of the invention
  • the embodiment of the invention provides a method, a system and a device for establishing a communication, so as to verify the authenticity of an address and prevent IP address spoofing through CGA parameters and CGA signatures.
  • An embodiment of the present invention provides a method for establishing a communication, which is used to establish communication between at least two communication parties, including a first communication party and a second communication party, including:
  • the CGA parameter and the CGA signature are verified, and after the verification is successful, communication is established with the first correspondent party.
  • an embodiment of the present invention further provides a communication establishment system, including:
  • a first communication party configured to receive an encrypted generated address CGA request, and reply to the CGA parameter and the CGA signature
  • a second communication party configured to send the CGA request to the first communication party, receive a CGA parameter and a CGA signature replied by the first communication party, and verify the CGA parameter and the CGA signature, where the verification succeeds Thereafter, communication is established with the first correspondent party.
  • the embodiment of the invention further provides a communication device, including:
  • the embodiment of the present invention further provides a transmission frame format, where the transmission frame format includes an encrypted generation address CGA request data, and is used in the process of establishing communication by two communication parties using a communication establishment method, in two A CGA request is transmitted between the communicating parties, and the transport frame format includes a type field and a reserved field field.
  • the embodiment of the present invention has the following advantages: In the process of establishing communication, the communication party determines the authenticity of the CGA by verifying the CGA parameters and the CGA signature included in the CGA extension header. Effectively prevent IP address spoofing, prevent or mitigate some network security problems caused by IP address spoofing. DRAWINGS
  • FIG. 1 is a flowchart of a method for establishing communication according to an embodiment of the present invention
  • Embodiment 1 is a flowchart of Embodiment 1 of a method for establishing communication according to the present invention
  • Embodiment 3 is a flowchart of Embodiment 2 of a method for establishing communication according to the present invention
  • Embodiment 4 is a flowchart of Embodiment 3 of a method for establishing communication according to the present invention.
  • FIG. 5 is a schematic diagram of a transmission frame format according to an embodiment of the present disclosure.
  • FIG. 6 is a schematic diagram of another transmission frame format according to an embodiment of the present disclosure.
  • Figure ⁇ is a schematic diagram of still another transmission frame format provided by an embodiment of the present invention.
  • FIG. 8 is a structural diagram of a system for establishing a communication according to an embodiment of the present invention.
  • FIG. 9 is another structural diagram of a system for establishing communication according to an embodiment of the present invention.
  • FIG. 10 is a structural diagram of a communication device according to an embodiment of the present invention.
  • FIG. 11 is another structural diagram of a communication device according to an embodiment of the present invention. detailed description
  • the embodiments of the present invention provide a method for establishing a communication, which solves the problem of IP address spoofing, such as IP address forgery and counterfeiting, and solves or mitigates a series of network security problems caused by IP address spoofing.
  • a CGA (Cryptographically Generated Address) extension header is included, and the CGA extension header includes a CGA Request (CGA Request), CGAParams (CGA parameters), CGA Sig (CGA signatures).
  • FIG. 1 it is a flowchart of a method for establishing communication according to an embodiment of the present invention, which specifically includes:
  • the second communication party receives the session request sent by the first communication party, and checks the session request, when the IPv6 extension header in the session request does not include the CGA extension header, or the session request includes a CGA extension header with empty content
  • the second communicating party sends a CGA request to the first communicating party.
  • the first communication direction After receiving the CGA request sent by the second correspondent party, the first communication direction returns the CGA parameter and the CGA signature to the second communication party.
  • a CGA extension header is added in the IPv6 extension header, and the CGA parameter and the CGA signature replied by the first communication party are carried in the CGA extension header of the IPv6 extension header.
  • the second communication party may further receive the CGA request sent by the first communication party, and verify the CGA parameter and the reply of the first communication party.
  • the first communication party in the second communication direction replies to the CGA parameter and the CGA signature of the second communication party.
  • the second communicating party establishes communication with the first communicating party. At this time, the first communication party and the second communication party mutually verify the authenticity of the other party's CGA.
  • the communication party determines the authenticity of the CGA by verifying the CGA parameters and the CGA signature included in the CGA extension header, effectively preventing IP address spoofing, and preventing or mitigating the IP address spoofing.
  • Embodiment 1 As shown in FIG. 2, it is a flowchart of Embodiment 1 of a method for establishing communication according to the present invention, in Embodiment 1
  • the first communicating party is the responder and the second communicating party is the initiator. Specifically include:
  • the originating party sends a CGA request to the responder.
  • the responder After receiving the CGA request, the responder replies to the initiator with the CGA parameter and the CGA signature.
  • the initiator verifies the CGA parameter and the CGA signature, and after the verification succeeds, the subsequent communication is started. If the verification fails, the communication process is stopped.
  • the originating party sends a CGA request, and after receiving the CGA parameter and the CGA signature replied by the responder, the initiator verifies the CGA parameter and the signature of the CGA, and determines the authenticity of the responder CGA, thereby preventing the IP.
  • Address spoofing prevents or mitigates some network security issues caused by IP address spoofing.
  • Embodiment 2 As shown in FIG. 3, it is a flowchart of Embodiment 2 of a method for establishing communication according to the present invention.
  • the first communication party is an initiator
  • the second communication party is a response party. Specifically include:
  • the initiator initiates a session request.
  • the responder After receiving the session request, the responder checks whether there is a CGA extension header in the IP extension header. If yes, further determines whether the content of the CGA extension header is empty. When the content of the CGA extension header is not empty, the execution is performed. S304; If there is no CGA extension header in the IP extension header, or the content of the CGA extension header in the session request is empty, the responder sends a CGA request to the initiator.
  • the initiator receives the CGA request, and if the initiator supports the CGA extension, replies to the CGA parameter and the CGA signature; if the initiator does not support the CGA extension, the initiator discards the CGA request.
  • the responder After receiving the CGA parameter and the CGA signature sent by the sender, the responder verifies the CGA parameter and the CGA signature, and after the verification succeeds, the subsequent communication is started. If the verification fails, the responder discards the CGA parameters and CGA signatures sent by the sender.
  • the response direction initiator After the response party receives the session request from the initiator, the response direction initiator sends a CGA request, and verifies the CGA parameter and the CGA signature replied by the initiator, and determines the authenticity of the initiator CGA, thereby preventing the IP. Address spoofing prevents or mitigates some network security issues caused by IP address spoofing.
  • Embodiment 3 As shown in FIG. 4, it is a flowchart of Embodiment 3 of a method for establishing communication according to the present invention.
  • the first communication party is an initiator
  • the second communication party is a response party.
  • the initiator initiates a session request, where the session request includes a CGA extension header whose content is empty.
  • S402. After receiving the session request, the responder sends a CGA request to the initiator.
  • the initiator After receiving the CGA request, the initiator sends a CGA parameter, a CGA signature to the responder, and sends a CGA request to the responder.
  • the responder After the responder receives the CGA request sent by the initiator, the responder first verifies the CGA parameter and the CGA signature of the initiator, and after the verification succeeds, the response direction initiator replies to the CGA parameter and the CGA signature of the responder; If it fails, the responder discards the CGA parameters, CGA signature, and CGA request sent by the initiator.
  • the initiator receives the CGA parameter replied by the responder. After the CGA signature, the CGA parameter and the CGA signature are verified. After the verification succeeds, the subsequent communication is started. If the verification fails, the initiator discards the CGA parameter, CGA signature.
  • the response direction initiator After the response party receives the session request from the initiator, the response direction initiator sends a CGA request, and verifies the CGA parameter and the CGA signature replied by the initiator, and the initiator also sends a CGA request to the responder, and the verification is performed.
  • the CGA parameters and CGA signatures replied by the responder, the initiator and the responder mutually determine the authenticity of the other party's CGA, thereby preventing IP address spoofing and preventing or alleviating some network security problems caused by IP address spoofing.
  • the communication party by adding a CGA extension header, in the process of establishing communication, the communication party is required to add an extension header including a CGA parameter and a CGA signature to the message, for verifying the authenticity of the CGA, preventing IP address spoofing, preventing or Relieve some network security issues caused by IP address spoofing.
  • TCP Transmission Control Protocol
  • SYN Synchronization
  • the server after receiving the SYN request, the server does not immediately respond to the SYN-ACK (Acknowledgement) and establish a semi-connected state, but first checks whether there is a CGA extension header in the SYN request. 1) If the SYN request does not have a CGA extension header, the server sends a CGA request and does not need to establish state information for the SYN request. Since the source address in the SYN request is a fake address, the server will not receive a response again; 2) If the SYN request With the CGA extension header, the server will first verify the validity of the CGA.
  • the server only needs to do a simple hash operation to determine that the SYN request is illegal and discard the SYN request.
  • the server still needs to consume some resources for the SYN request of the fake address, the resource consumption is small compared to the response to the SYN-ACK and the semi-connected state is established, and the semi-connected state is not required for the request of the fake address. , largely solved the TCP-SYN flood attack problem.
  • the "middleman" (host C, attacker) is between the communication initiator (host A) and the responder (host B), and pretends to be the address of the initiator and the responder, and communicates with host A and host B respectively. If the host A knows the address of the host B, the attacker cannot tamper with the message sent by the host B to the host A when applying the embodiment of the present invention, because the identity of the host B and the CGA are bound by applying the CGA signature, the attacker I don't know the private key of host B, and I can't get the correct signature of the message after tampering.
  • a CGA extension header is added in the IPv6 extension header, and the CGA extension header includes a CGA request, a CGA parameter, and a CGA signature.
  • CGA related information may also be carried in the existing IPv6 Destination Options header, and the CGA related information includes a CGA request, a CGA parameter, and a CGA signature.
  • the embodiment of the present invention further provides a transmission frame format, where the transmission frame format includes CGA request data, and is used in two communication parties to establish communication by using the communication establishment method provided by the embodiment of the present invention, in two The CGA request is transmitted between the communicating parties.
  • either party to the communication can request CGA parameters and CGA signatures from the other party by sending an IP packet that includes the CGA request option.
  • the communicating party that receives the IP packet needs to include the CGA parameter and the CGA signature in the reply packet.
  • the format of the CGA request option proposed by the embodiment of the present invention is as shown in FIG. 5, and the CGA request option includes:
  • the Type field is an 8-bit unsigned integer. In this embodiment, when the value of the type field is 193, it indicates that the packet is a CGA request. In other embodiments, other values may be used to indicate that the packet is a CGA request.
  • the Reserved field is 24 bits long for future expansion. This reserved field field must be set to 0.
  • Sequence Number field which is a 32-bit random number, including protection against replay attacks. Information.
  • the embodiment of the present invention further provides a transmission frame format, where the transmission frame format includes CGA parameter data, and is used in two communication parties to establish communication by using the communication establishment method provided by the embodiment of the present invention, in two The CGA parameters are transmitted between the communicating parties, and the communicating party receiving the CGA parameters verifies the CGA according to the CGA parameters.
  • the format of the CGA parameter option proposed by the embodiment of the present invention is shown in FIG. 6.
  • the CGA parameter options include:
  • the Type field is an 8-bit unsigned integer. In this embodiment, when the value of the type field is 194, it indicates that the data packet is a CGA parameter. In other embodiments, other values may also be used to indicate that the packet is a CGA parameter.
  • the Length field an 8-bit unsigned integer, in bytes, indicating the length of the entire CGA parameter, such as type field, length field, padding length field, reserved field field, sequence number field, CGA parameter field, and The sum of the lengths of the fields such as padding fields, in another embodiment, the length field may be 8 bytes.
  • the Pad Length field is an 8-bit unsigned integer representing the length of the padding field in bytes.
  • the Reserved field is an 8-bit field for future expansion. This reserved field field must be set to 0.
  • the Sequence Number field which is a 32-bit integer, contains information to prevent replay attacks. If the CGA parameter is used to respond to a CGA request, the value of the sequence number field is incremented by 1 for the value of the sequence number in the CGA request; otherwise, the sequence number field is set to 0.
  • the Parameters field has a variable length and includes CGA parameter information.
  • Padding field variable length field, used to make the packet length an integer multiple of 8 bytes. The content of this padding field must be 0.
  • the embodiment of the present invention further provides a transmission frame format, where the transmission frame format includes CGA signature data, and is used in two communication methods in the process of establishing communication by using the communication establishment method provided by the embodiment of the present invention.
  • the CGA signature is transmitted between the parties, and the CGA signature is used to send a signature of the data packet using the private key corresponding to the public key in the CGA parameter.
  • the format of the CGA signature option proposed by the embodiment of the present invention is as shown in FIG. 7, and the CGA signature option includes:
  • the Type field is an 8-bit unsigned integer. In this embodiment, if the value of the type field is 195, it indicates that the data packet is a CGA signature. In other embodiments, other values may also be used to indicate that the packet is a CGA signature.
  • the Length field is an 8-bit unsigned integer indicating the length of the entire CGA signature in bytes, such as type field, length field, padding length field, reserved field field, CGA signature field, and padding field. The sum of the lengths.
  • the Pad Length field is an 8-bit unsigned integer representing the length of the padding field in bytes.
  • the Reserved field is 8 bits long for future use. This reserved field field must be set to 0.
  • the Signature field which is a variable length field, includes the signature of the packet content with the sender's private key.
  • the Padding field which is a variable length field, is used to make the packet length an integer multiple of 8 bytes.
  • the content of this padding field must be 0.
  • a structural diagram of a communication establishment system includes: a first communication party 81, configured to receive a CGA request, and reply to a CGA parameter and a CGA signature; and a second communication party 82, configured to send The CGA requests to the first communication party 81 to receive the first communication party
  • the CGA parameter and the CGA signature are returned by 81, and the CGA parameter and the CGA signature are verified. After the verification is successful, communication is established with the first communication party 81.
  • the second communication party 82 may include: a sending module 821, configured to send a CGA request to the first communication party 81;
  • the receiving module 822 is configured to receive the CGA parameter and the CGA signature that are sent by the first communication party 81.
  • the verification module 823 is configured to verify the CGA parameter and the CGA signature received by the receiving module 822.
  • the communication establishing module 824 is configured to establish communication with the first communication party 81 after the verification module 823 successfully verifies.
  • the sending module 821 can include:
  • the session request receiving submodule 8211 is configured to receive a session request sent by the first communication party 81.
  • the CGA request sending submodule 8212 is configured to not include the CGA extension header in the IPv6 extension header of the session request received by the session request receiving submodule 8211.
  • the session request includes a CGA extension header whose content is empty, or the destination option header is not included in the IPv6 extension header of the session request, or the CGA related information header of the IPv6 request header does not include CGA related information, and the CGA request is sent to The first communication party 81.
  • the second communication party 82 can also include:
  • the CGA request receiving module 825 is configured to receive the CGA request sent by the first communication party 81 while the receiving module 822 receives the CGA parameter and the CGA signature replied by the first communication party 81;
  • the CGA reply module 826 is configured to: after the CGA request receiving module 825 receives the CGA request sent by the first communication party 81, and after the verification module 823 verifies that the CGA parameter and the CGA signature are successful, the second communication party 82 is replied to the first communication party 81. CGA parameters and CGA signatures.
  • the second communication party 82 determines the authenticity of the first communication party 81CGA by verifying the CGA parameters and the CGA signature replied by the first communication party 81, and effectively prevents IP address spoofing. Prevent or mitigate some network security issues caused by IP address spoofing.
  • FIG. 10 it is a structural diagram of a communication device 10 according to an embodiment of the present invention, including:
  • a sending module 101 configured to send a CGA request to another communication device
  • the receiving module 102 is configured to receive a CGA parameter and a CGA signature replied by another communication device
  • the verification module 103 is configured to verify the CGA parameter and the CGA signature received by the receiving module 102.
  • the communication establishing module 104 is configured to establish communication with another communication device after the verification module 103 successfully authenticates.
  • the sending module 101 may include: a session request receiving sub-module 1011, configured to receive a session request sent by another communication device; and a CGA request sending sub-module 1012, configured to: when the session request receiving sub-module 1011 receives the session request Ip V 6 does not include the header extension CGA extension header, the session request includes or is empty The CGA extension header, or the IPv6 extension header of the session request does not include the destination option header, or the destination option header in the IPv6 extension header of the session request does not include CGA related information, and sends the CGA request to another communication device.
  • the communication device 10 can also include:
  • the CGA request receiving module 105 is configured to receive the CGA request sent by the another communication device while receiving the CGA parameter and the CGA signature replied by the other communication device;
  • the CGA reply module 106 is configured to receive, by the CGA request receiving module 105, a CGA request sent by another communication device, and after the verification module 103 verifies that the CGA parameter and the CGA signature are successful, reply the CGA parameter of the communication device to another communication device. Signed with CGA.
  • the sending module 101 sends a CGA request to another communication device
  • the receiving module 102 receives the CGA parameter and the CGA signature replied by the other communication device
  • the verification module 103 receives the module.
  • the received CGA parameters and the CGA signature are verified to determine the authenticity of the first communicating party 51CGA.
  • the communication establishing module 104 establishes communication with another communication device.
  • the present invention can be implemented by hardware, or by software plus a necessary general hardware platform.
  • the technical solution of the present invention may be embodied in the form of a software product, which may be stored in a non-volatile storage medium (which may be a CD-ROM, a USB flash drive, a mobile hard disk, etc.), including several The instructions are for causing a computer device (which may be a personal computer, server, or network device, etc.) to perform the methods described in various embodiments of the present invention.
  • modules in the apparatus in the embodiments may be distributed in the apparatus of the embodiment according to the embodiment, or may be correspondingly changed in one or more apparatuses different from the embodiment.
  • the modules of the above embodiments may be combined into one module, or may be further split into a plurality of sub-modules.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

说 明 书 一种通信的建立方法、 系统和装置
本申请要求于 2008年 06月 30日提交中国专利局、申倚号为 200810129174.2、 发明名称为"一种通信的建立方法、 系统和装置"的中国专利申请的优先权，其 全部内容通过引用结合在本申请中。 技术领域
本发明实施例涉及通信技术领域， 特别涉及一种通信的建立方法、 系统和 装置。 背景技术
在 IP ( Internet Protocol , 因特网协议）地址、 子网段和自动系统中， 部分 容许 IP地址欺骗。 因此， 大部分的互联网都很容易遇到 IP地址欺骗的问题， 而 且持续频发的这种 IP地址欺骗可能成为一个非常严重的问题。 例如：
a )伪装源地址的能力会衍生出某种类型的网络攻击， 比如回应攻击， 中 间人攻击；
b ) 伪装以后的源地址可以实现某些其他形式的攻击， 比如 DDOS ( Distribute Denial of Service , 分布式拒绝服务攻击） 攻击， 而且非常难以被 发觉；
c ) 允许伪装的源地址进入网络将无法通过查看源地址来得知 IP数据包的 来源。
现有技术中的 URPF ( Unicast Reverse Path Forwarding , 单播反向路径转 发 ) 方法可以很好地解决 IP地址欺骗的问题。 URPF设定了以下数据包转发机 制， 当路由器接收到一个数据包时， 该路由器检查路由表， 确定返回数据包 的源 IP地址的路由是否从接收到该数据包的接口出去，如果是， 则正常转发该 数据包， 否则， 就会丟弃该数据包。
在实现本发明的过程中， 发明人发现现有技术至少存在以下问题： 采用 URPF在网络边界阻断伪造源地址 IP的攻击， 对于当前的 DDoS攻击， 并不能奏效， 其根本原因就在于 URPF的基本原理是路由器判断出口流量的源 地址， 如果该出口流量的源地址不属于内部子网的地址， 则阻断出口流量。 但是攻击者完全可以伪造其所在子网的 IP地址进行 DDoS攻击， 这样就完全可 以绕过 URPF的防护策略。 因此， 现有技术仍然会使带有虚假源地址的数据包 通过。 发明内容
本发明实施例提供一种通信的建立方法、 系统和装置， 以实现通过 CGA 参数和 CGA签名， 验证地址的真实性， 防止 IP地址欺骗。
本发明实施例一方面提供一种通信的建立方法， 用于建立至少两个通信 方之间的通信， 包括第第一通信方和第二通信方， 包括：
发送加密生成地址 CGA请求至所述第一通信方；
接收所述第一通信方回复的 CGA参数和 CGA签名；
对所述 CGA参数和 CGA签名进行验证， 在验证成功之后， 与所述第一 通信方建立通信。
另一方面， 本发明实施例还提供一种通信的建立系统， 包括：
第一通信方，用于接收加密生成地址 CGA请求，并回复 CGA参数和 CGA 签名；
第二通信方， 用于发送所述 CGA请求至所述第一通信方， 接收所述第一 通信方回复的 CGA参数和 CGA签名， 并对所述 CGA参数和 CGA签名进行 验证， 在验证成功之后， 与所述第一通信方建立通信。
再一方面， 本发明实施例还提供一种通信设备， 包括：
发送模块， 用于发送加密生成地址 CGA请求至另一通信设备； 接收模块， 用于接收所述另一通信设备回复的 CGA参数和 CGA签名； 验证模块，用于对所述接收模块接收的 CGA参数和 CGA签名进行验证； 通信建立模块， 用于在所述验证模块验证成功之后， 与所述第一通信方 建立通信。 再一方面， 本发明实施例还提供一种传输帧格式， 所述传输帧格式包括 加密生成地址 CGA请求数据， 用于在两个通信方采用通信的建立方法建立通 信的过程中， 在两个通信方之间传输 CGA请求， 所述传输帧格式包括类型字 段和预留域字段。
与现有技术相比， 本发明实施例具有以下优点： 通过本发明实施例， 在 建立通信的过程中， 通信方通过验证 CGA扩展头所包括的 CGA参数和 CGA 签名， 确定 CGA的真实性， 有效防止了 IP地址欺骗， 防止或减轻了由于 IP 地址欺骗引起的一些网络安全问题。 附图说明
为了更清楚地说明本发明实施例的技术方案， 下面将对实施例描述中所 需要使用的附图作筒单地介绍， 显而易见地， 下面描述中的附图仅仅是本发 明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动的前 提下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例通信的建立方法的流程图；
图 2为本发明通信的建立方法实施例一的流程图；
图 3为本发明通信的建立方法实施例二的流程图；
图 4为本发明通信的建立方法实施例三的流程图；
图 5为本发明实施例提供的一种传输帧格式的示意图；
图 6为本发明实施例提供的另一种传输帧格式的示意图；
图 Ί为本发明实施例提供的再一种传输帧格式的示意图；
图 8为本发明实施例通信的建立系统的一种结构图；
图 9为本发明实施例通信的建立系统的另一种结构图；
图 10为本发明实施例通信设备的一种结构图；
图 11为本发明实施例通信设备的另一种结构图。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明的一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有 做出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明实施例提供一种通信的建立方法， 解决了 IP地址伪造、 仿冒等 IP 地址欺 问题， 解决或者减轻了由于 IP地址欺骗引起的一系列网络安全问题。
本发明实施例在 IPv6 ( Internet Protocol version 6 , 因特网协议版本 6 )扩 展头中增力口 CGA ( Cryptographically Generated Addresses , 力口密生成地址 )扩 展头， 该 CGA扩展头包括 CGA Request ( CGA请求）、 CGAParams ( CGA参 数）、 CGA Sig ( CGA签名）。
如图 1所示， 为本发明实施例通信的建立方法的流程图， 具体包括：
5101 , 发送 CGA请求至第一通信方。 具体可以为：
第二通信方接收第一通信方发送的会话请求 , 并对该会话请求进行检查， 当该会话请求中的 IPv6扩展头不包括 CGA扩展头， 或者该会话请求包括内 容为空的 CGA扩展头时， 第二通信方发送 CGA请求至第一通信方。
5102 , 接收第一通信方回复的 CGA参数和 CGA签名。
在接收到第二通信方发送的 CGA请求之后， 第一通信方向第二通信方回 复 CGA参数和 CGA签名。本发明实施例在 IPv6扩展头中增加 CGA扩展头， 第一通信方回复的 CGA参数和 CGA签名携带在 IPv6扩展头的 CGA扩展头 中。
5103 , 对 CGA参数和 CGA签名进行验证， 在验证成功之后， 与第一通 信方建立通信。
另外， 在第二通信方接收第一通信方回复的 CGA参数和 CGA签名的同 时， 该第二通信方还可以接收第一通信方发送的 CGA请求， 在验证第一通信 方回复的 CGA参数和 CGA签名成功之后， 第二通信方向第一通信方回复该 第二通信方的 CGA 参数和 CGA签名。 在第一通信方验证该第二通信方的 CGA参数和 CGA签名成功之后， 第二通信方与第一通信方建立通信。 这时， 第一通信方和第二通信方相互验证了对方 CGA的真实性。
上述通信的建立方法， 在建立通信的过程中， 通信方通过验证 CGA扩展 头所包括的 CGA参数和 CGA签名， 确定 CGA的真实性， 有效防止了 IP地 址欺骗， 防止或减轻了由于 IP地址欺骗引起的一些网络安全问题。
如图 2 所示， 为本发明通信的建立方法实施例一的流程图， 在实施例一 中， 第一通信方为应答方， 第二通信方为发起方。 具体包括：
5201 , 发起方向应答方发送 CGA请求。
5202, 应答方收到 CGA请求后， 向发起方回复 CGA参数、 CGA签名。
5203 , 发起方验证 CGA参数及 CGA签名， 在验证成功之后， 开始后续 通信。 如果验证失败， 则停止通信过程。
上述通信的建立方法， 发起方向应答方发送 CGA请求， 在接收到应答方 回复的 CGA参数及 CGA签名之后， 发起方验证 CGA参数及 CGA的签名， 确定应答方 CGA的真实性， 从而防止了 IP地址欺骗， 防止或减轻了由于 IP 地址欺骗引起的一些网络安全问题。
如图 3所示， 为本发明通信的建立方法实施例二的流程图， 实施例二中， 第一通信方为发起方， 第二通信方为应答方。 具体包括：
5301 , 发起方发起会话请求。
5302, 应答方收到会话请求后， 检查 IP扩展头中是否有 CGA扩展头， 如果有， 则进一步判断该 CGA扩展头的内容是否为空， 当该 CGA扩展头的 内容不为空时， 执行 S304; 如果 IP扩展头中没有 CGA扩展头， 或者会话请 求中的 CGA扩展头的内容为空时， 应答方发送 CGA请求至发起方。
5303 , 发起方接收 CGA请求， 如果发起方支持 CGA扩展， 则回复 CGA 参数、 CGA签名； 如果发起方不支持 CGA扩展， 则该发起方丢弃该 CGA 请求。
5304, 应答方收到发送方回复的 CGA参数、 CGA签名后， 验证该 CGA 参数及 CGA签名， 在验证成功之后， 开始后续通信。 如果验证失败， 则应答 方丢弃发送方回复的 CGA参数和 CGA签名。
上述通信的建立方法， 在应答方收到发起方的会话请求之后， 应答方向 发起方发送 CGA请求， 并验证发起方回复的 CGA参数及 CGA签名，确定发 起方 CGA的真实性， 从而防止了 IP地址欺 ， 防止或减轻了由于 IP地址欺 骗引起的一些网络安全问题。
如图 4所示， 为本发明通信的建立方法实施例三的流程图， 实施例三中， 第一通信方为发起方， 第二通信方为应答方。 具体包括： S401， 发起方发起会话请求， 该会话请求包括内容为空的 CGA扩展头。 S402, 应答方收到会话请求后， 发送 CGA请求至发起方。
S403， 发起方收到 CGA请求后， 向应答方回复 CGA参数、 CGA签名， 并向应答方发送 CGA请求。
5404 , 应答方收到发起方发送的 CGA请求后， 应答方先验证发起方回复 的 CGA参数及 CGA签名， 在验证成功之后， 应答方向发起方回复该应答方 的 CGA参数及 CGA签名； 如果验证失败， 则应答方丢弃发起方发送的 CGA 参数、 CGA签名和 CGA请求。
5405 , 发起方收到应答方回复的 CGA参数， CGA签名后， 验证 CGA参 数及 CGA签名， 在验证成功之后， 开始后续通信。 如果验证失败， 则发起方 丢弃该 CGA参数， CGA签名。
上述通信的建立方法， 在应答方收到发起方的会话请求之后， 应答方向 发起方发送 CGA请求， 并验证发起方回复的 CGA参数及 CGA签名， 同时发 起方也向应答方发送 CGA请求， 验证应答方回复的 CGA参数及 CGA签名， 发起方和应答方相互确定对方 CGA的真实性， 从而防止了 IP地址欺骗， 防 止或减轻了由于 IP地址欺骗引起的一些网络安全问题。
本发明实施例通过增加 CGA扩展头， 在建立通信的过程中， 要求通信方 在消息中添加包括 CGA参数和 CGA签名的扩展头，用于验证 CGA的真实性， 防止 IP地址欺编， 防止或减轻由于 IP地址欺骗引起的一些网络安全问题。
以 TCP ( Transmission Control Protocol , 传输控制协议 ) -SYN ( Synchronization, 同步 )洪水攻击为例， 攻击者通过僵尸网络发起大量虚 支 地址的 SYN请求。
应用本发明实施例， 服务器收到 SYN请求后， 不会立即回应 SYN-ACK ( Acknowledgement, 确认） 并建立半连接状态， 而是先检查 SYN请求里面 有没有 CGA扩展头。 1 )如果 SYN请求没有 CGA扩展头， 服务器发送 CGA 请求且不需要为该 SYN请求建立状态信息， 由于 SYN请求中的源地址为虚 假地址， 所以服务器不会再收到回应； 2 )如果 SYN请求中带有 CGA扩展头， 服务器会先验证 CGA的有效性， 如果 SYN请求中的源地址为虚假地址， 服 务器只需做简单的哈希运算， 即可判断该 SYN请求是非法的， 丢弃该 SYN 请求即可。 应用本发明实施例， 虽然服务器仍需要为虚假地址的 SYN请求耗 费一些资源， 但相对于回应 SYN-ACK 并建立半连接状态， 资源消耗很小， 并且不需要为虚假地址的请求保持半连接状态， 很大程度上解决了 TCP-SYN 洪水攻击问题。
以中间人攻击为例：
"中间人" （主机 C, 攻击者） 处于通信发起方 （主机 A ) 与应答方 （主 机 B )之间， 同时冒充发起方和应答方的地址， 分别与主机 A、 主机 B通信。 若主机 A知道主机 B的地址， 那么在应用本发明实施例时， 攻击者无法篡改 主机 B发给主机 A的消息，因为通过应用 CGA签名，将主机 B的身份和 CGA 进行绑定， 攻击者不知道主机 B的私钥， 无法得出篡改后消息的正确签名。
上述实施例是在 IPv6扩展头中增加 CGA扩展头， 该 CGA扩展头包括 CGA请求、 CGA参数、 CGA签名。 此外， 在另一个实施例中， 还可以在现 有 IPv6的目的选项头 ( Destination Options header )携带 CGA相关信息 , 该 CGA相关信息包括 CGA请求、 CGA参数、 CGA签名。
本发明实施例还提供了一种传输帧格式， 该传输帧格式包括 CGA请求数 据， 用于在两个通信方釆用本发明实施例提供的通信的建立方法建立通信的 过程中， 在两个通信方之间传输 CGA请求。 在通信过程中， 通信任意一方均 可以通过发送包括了 CGA请求选项的 IP数据包来向对方请求 CGA参数和 CGA签名。 接收到该 IP数据包的通信方需要在回复的数据包中包括 CGA参 数、 CGA签名。
本发明实施例提出的 CGA请求选项的格式如图 5所示， 该 CGA请求选 项包括：
类型 （Type ) 字段， 为 8 比特无符号整数， 在本实施例中， 当该类型字 段的数值为 193时， 表明该数据包为 CGA请求。 在其它实施例中， 也可用其 它数值表明该数据包为 CGA请求。
预留域（Reserved )字段， 长度为 24比特， 以备将来扩展使用。 该预留 域字段必须设为 0。
序列号（ Sequence Number )字段， 为 32比特随机数， 包括防止重放攻击 的信息。
本发明实施例还提供了一种传输帧格式， 该传输帧格式包括 CGA参数数 据， 用于在两个通信方釆用本发明实施例提供的通信的建立方法建立通信的 过程中， 在两个通信方之间传输 CGA参数， 接收到 CGA参数的通信方根据 该 CGA参数对 CGA进行验证。
本发明实施例提出的 CGA参数选项的格式如图 6所示， 该 CGA参数选 项包括：
类型 （Type ) 字段， 为 8 比特无符号整数。 在本实施例中， 当该类型字 段的数值为 194时， 表明该数据包为 CGA参数。 在其它实施例中， 也可用其 它值表明该数据包为 CGA参数。
长度（Length ) 字段， 为 8 比特无符号整数， 以字节为单位， 表明整个 CGA参数的长度， 为类型字段、 长度字段、 填充长度字段、 预留域字段、 序 列号字段、 CGA参数字段以及填充字段等各字段长度的总和， 在另一个实施 例中， 长度字段可以是 8字节。
填充长度 ( Pad Length )字段， 为 8比特无符号整数， 表示填充字段的长 度， 单位为字节。
预留域（Reserved )字段， 长度为 8比特字段， 以备将来扩展使用。 该预 留域字段必须设为 0。
序列号（ Sequence Number )字段， 为 32比特整数， 包括防止重放攻击的 信息。如果该 CGA参数用于响应 CGA请求， 该序列号字段的值为 CGA请求 中的序列号的值加 1 ; 否则， 将该序列号字段置为 0。
参数 ( Parameters ) 字段， 长度可变， 包括 CGA参数信息。
填充 （Padding ) 字段， 可变长度域， 用于使数据包长度为 8字节的整数 倍。 该填充字段的内容必须为 0。
本发明实施例还提供一种传输帧格式，该传输帧格式包括 CGA签名数据， 用于在两个通信方釆用本发明实施例提供的通信的建立方法建立通信的过程 中， 在两个通信方之间传输 CGA签名， CGA签名用于发送使用 CGA参数中 的公钥所对应的私钥对数据包的签名。 本发明实施例提出的 CGA签名选项的格式如图 7所示， 该 CGA签名选 项包括：
类型 （Type ) 字段， 为 8 比特无符号整数。 在本实施例中， 若类型字段 的数值为 195时， 表明该数据包为 CGA签名。 在其它实施例中， 也可用其它 数值表明该数据包为 CGA签名。
长度（Length )字段， 为 8比特无符号整数， 以字节为单位表明整个 CGA 签名的长度， 为类型字段、 长度字段、 填充长度字段、 预留域字段、 CGA签 名字段和填充字段等各字段长度的总和。
填充长度 ( Pad Length )字段， 为 8比特无符号整数， 表示填充字段的长 度， 单位为字节。
预留域（Reserved )字段， 长度为 8比特， 以备将来 展使用。 该预留域 字段必须设为 0。
签名 （Signature )字段， 为可变长度字段， 包括用发送者私钥对数据包内 容的签名。
填充 （Padding ) 字段， 为可变长度字段， 用于使数据包长度为 8字节的 整数倍。 该填充字段的内容必须为 0。
如图 8所示， 为本发明实施例通信的建立系统的结构图， 包括： 第一通信方 81 , 用于接收 CGA请求， 并回复 CGA参数和 CGA签名； 第二通信方 82， 用于发送 CGA请求至第一通信方 81， 接收第一通信方
81回复的 CGA参数和 CGA签名， 并对该 CGA参数和 CGA签名进行验证， 在验证成功之后， 与第一通信方 81建立通信。
在本发明的另一实施例中， 如图 9所示， 第二通信方 82可以包括： 发送模块 821 , 用于发送 CGA请求至第一通信方 81；
接收模块 822 , 用于接收第一通信方 81回复的 CGA参数和 CGA签名； 验证模块 823， 用于对接收模块 822接收的 CGA参数和 CGA签名进行 验证；
通信建立模块 824， 用于在验证模块 823 验证成功之后， 与第一通信方 81建立通信。 该发送模块 821可以包括：
会话请求接收子模块 8211 , 用于接收第一通信方 81发送的会话请求； CGA请求发送子模块 8212, 用于当会话请求接收子模块 8211接收的会 话请求的 IPv6扩展头中不包括 CGA扩展头， 或者该会话请求包括内容为空 的 CGA扩展头， 或该会话请求的 IPv6扩展头中不包括目的选项头， 或该会 话请求的 IPv6的目的选项头不包括 CGA相关信息时，发送 CGA请求至第一 通信方 81。
该第二通信方 82还可以包括：
CGA请求接收模块 825, 用于在接收模块 822接收第一通信方 81回复的 CGA参数和 CGA签名的同时， 接收第一通信方 81发送的 CGA请求；
CGA回复模块 826, 用于在 CGA请求接收模块 825接收到第一通信方 81发送的 CGA请求， 且验证模块 823验证 CGA参数和 CGA签名成功之后， 向第一通信方 81回复第二通信方 82的 CGA参数和 CGA签名。
上述通信的建立系统， 在建立通信的过程中， 第二通信方 82通过验证第 一通信方 81回复的 CGA参数和 CGA签名， 确定第一通信方 81CGA的真实 性，有效防止了 IP地址欺骗， 防止或减轻了由于 IP地址欺骗引起的一些网络 安全问题。
如图 10所示， 为本发明实施例通信设备 10的结构图， 包括：
发送模块 101 , 用于发送 CGA请求至另一通信设备；
接收模块 102 , 用于接收另一通信设备回复的 CGA参数和 CGA签名； 验证模块 103 , 用于对接收模块 102接收的 CGA参数和 CGA签名进行 验证；
通信建立模块 104， 用于在验证模块 103验证成功之后， 与另一通信设备 建立通信。
在本发明的另一实施例中， 如图 11所示， 发送模块 101可以包括： 会话请求接收子模块 1011， 用于接收另一通信设备发送的会话请求； CGA请求发送子模块 1012， 用于当会话请求接收子模块 1011接收的会 话请求的 IpV6扩展头中不包括 CGA扩展头， 或者该会话请求包括内容为空 的 CGA扩展头， 或该会话请求的 IPv6扩展头中不包括目的选项头， 或该会 话请求的 IPv6扩展头中目的选项头不包括 CGA相关信息时，发送该 CGA请 求至另一通信设备。
该通信设备 10还可以包括：
CGA请求接收模块 105 , 用于在接收模块 102接收另一通信设备回复的 CGA参数和 CGA签名的同时， 接收所述另一通信设备发送的 CGA请求；
CGA回复模块 106,用于在 CGA请求接收模块 105接收到另一通信设备 发送的 CGA请求， 且在验证模块 103验证 CGA参数和 CGA签名成功之后， 向另一通信设备回复该通信设备的 CGA参数和 CGA签名。
上述通信设备， 在与另一通信设备建立通信的过程中， 发送模块 101 发 送 CGA请求至另一通信设备， 接收模块 102接收另一通信设备回复的 CGA 参数和 CGA签名，验证模块 103对接收模块 102接收的 CGA参数和 CGA签 名进行验证， 确定第一通信方 51CGA的真实性， 在验证模块 103验证成功之 后， 通信建立模块 104 与另一通信设备建立通信。 使用本发明实施例提供的 上述通信设备， 可以有效防止 IP地址欺骗， 防止或减轻由于 IP地址欺骗？ I起 的一些网络安全问题。
通过以上的实施方式的描述， 本领域的技术人员可以清楚地了解到本 发明可以通过硬件实现， 也可以借助软件加必要的通用硬件平台的方式来 实现。 基于这样的理解， 本发明的技术方案可以以软件产品的形式体现出 来， 该软件产品可以存储在一个非易失性存储介质（可以是 CD- R0M， U盘， 移动硬盘等） 中， 包括若干指令用以使得一台计算机设备 （可以是个人计 算机， 服务器， 或者网络设备等） 执行本发明各个实施例所述的方法。
本领域技术人员可以理解附图只是一个优选实施例的示意图， 附图中 的模块或流程并不一定是实施本发明所必须的。
本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描 述进行分布于实施例的装置中， 也可以进行相应变化位于不同于本实施例 的一个或多个装置中。 上述实施例的模块可以合并为一个模块， 也可以进 一步拆分成多个子模块。
上述本发明实施例序号仅仅为了描述， 不代表实施例的优劣。 以上公开的仅为本发明的几个具体实施例， 但是， 本发明并非局限于此, 任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

1、 一种通信的建立方法， 用于建立至少两个通信方之间的通信， 包括第 一通信方和第二通信方， 其特征在于， 包括：
发送加密生成地址 CGA请求至所述第一通信方；
接收所述第一通信权方回复的 CGA参数和 CGA签名；
对所述 CGA参数和 CGA签名进行验证，在验证成功之后， 与所述第一通 信方建立通信。
2、 如权利要求 1所述通信的建立方法， 其特征在于， 在所述发送 CGA请 求至第一通信方之前， 还包括： 接收所述第一通信方发送的会话请求， 当所述 求的 IPv6扩展头中不包括目的选项头时， 发送 CGA请求至所述第一通信方。
3、 如权利要求 1所述通信的建立方法， 其特征在书于， 在所述发送 CGA请 求至第一通信方之前， 还包括： 接收所述第一通信方发送的会话请求， 当所述 会话请求包括内容为空的 CGA扩展头， 或所述会话请求的 IPv6扩展头的目的 选项头不包括 CGA相关信息时， 发送 CGA请求至所述第一通信方。
4、 如权利要求 1 所述通信的建立方法， 其特征在于， 在所述接收第一通 信方回复的 CGA参数和 CGA签名的同时，还接收所述第一通信方发送的 CGA 请求；
在验证所述 CGA参数和 CGA签名成功之后 ,向所述第一通信方回复所述 第二通信方的 CGA参数和 CGA签名；
在所述第一通信方验证所述第二通信方的 CGA参数和 CGA签名成功之 后， 建立与所述第一通信方通信。
5、 如权利要求 1至 4任意一项所述通信的建立方法， 其特征在于， 所述 CGA参数和 CGA签名携带在 IPv6扩展头的 CGA扩展头中或携带在 IPv6的 目的选项头中。
6、 一种通信设备， 其特征在于， 包括：
发送模块， 用于发送加密生成地址 CGA请求至另一通信设备；
接收模块， 用于接收所述另一通信设备回复的 CGA参数和 CGA签名； 验证模块， 用于对所述接收模块接收的 CGA参数和 CGA签名进行验证； 通信建立模块， 用于在所述验证模块验证成功之后， 与所述另一通信设备 建立通信。
7、 如权利要求 6所述通信设备， 其特征在于， 所述发送模块包括： 会话请求接收子模块， 用于接收所述另一通信设备发送的会话请求；
CGA请求发送子模块， 用于当所述会话请求接收子模块接收的会话请求 的 IPv6扩展头中不包括 CGA扩展头，或者所述会话请求包括内容为空的 CGA 扩展头， 或所述会话请求的 IPv6扩展头中不包括目的选项头， 或所述会话请 求的 IPv6扩展头中目的选项头不包括 CGA相关信息时， 发送所述 CGA请求 至所述另一通信设备。
8、 如权利要求 6所述通信设备， 其特征在于， 还包括：
CGA请求接收模块， 用于在所述接收模块接收所述另一通信设备回复的 CGA参数和 CGA签名的同时， 接收所述另一通信设备发送的 CGA请求；
CGA回复模块， 用于在所述 CGA请求接收模块接收到所述另一通信设备 发送的 CGA请求，且所述验证模块验证所述 CGA参数和 CGA签名成功之后， 向所述另一通信设备回复所述通信设备的 CGA参数和 CGA签名。
9、 一种通信的建立系统， 其特征在于， 包括：
第一通信方，用于接收加密生成地址 CGA请求，并回复 CGA参数和 CGA 签名；
第二通信方， 用于发送所述 CGA请求至所述第一通信方， 接收所述第一 通信方回复的 CGA参数和 CGA签名 , 并对所述 CGA参数和 CGA签名进行 验证， 在验证成功之后， 与所述第一通信方建立通信。
10、 如权利要求 9所述通信的建立系统， 其特征在于， 所述第二通信方的 特征如权利要求 6 - 8任一项所述。
11、 一种传输帧格式， 其特征在于， 所述传输帧格式包括加密生成地址 CGA请求数据， 用于在两个通信方采用权利要求 1 所述的通信的建立方法建 立通信的过程中， 在两个通信方之间传输 CGA请求， 所述传输帧格式包括类 型字段和预留域字段。
12、 如权利要求 11 所述传输帧格式， 其特征在于， 所述传输帧格式还包 序列号字段， 所述序列号字段， 包括防止重放攻击的信息。
13、 如权利要求 11 所述传输帧格式， 其特征在于， 所述类型字段标识所 述传输帧为 CGA请求帧。
14、 如权利要求 11 所述传输帧格式， 其特征在于， 所述传输帧格式还包 括：
长度字段、 填充长度字段、 参数字段和填充字段， 其中， 所述参数字段， 包括 CGA参数信息。
15、 如权利要求 14所述传输帧格式， 其特征在于， 所述类型字段， 标识 所述传输帧为 CGA参数帧；
所述长度字段， 以字节为单位表示整个传输帧的长度。
16、 如权利要求 11 所述传输帧格式， 其特征在于， 所述传输帧格式还包 括：
长度字段、 填充长度字段、 签名字段和填充字段， 其中， 所述签名字段， 包括用发送者私钥对数据包内容的签名。
17、 如权利要求 16所述传输帧格式， 其特征在于， 所述类型字段， 标识 所述传输帧为 CGA签名帧；
所述长度字段， 以字节为单位表示整个传输帧的长度。
PCT/CN2009/072156 2008-06-30 2009-06-05 一种通信的建立方法、系统和装置 Ceased WO2010000171A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09771941.3A EP2285041B1 (en) 2008-06-30 2009-06-05 Communication establishing method, system and device
US12/976,701 US8880891B2 (en) 2008-06-30 2010-12-22 Method, system and apparatus for establishing communication

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN 200810129174 CN101299668A (zh) 2008-06-30 2008-06-30 一种通信的建立方法、系统和装置
CN200810129174.2 2008-06-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/976,701 Continuation US8880891B2 (en) 2008-06-30 2010-12-22 Method, system and apparatus for establishing communication

Publications (1)

Publication Number Publication Date
WO2010000171A1 true WO2010000171A1 (zh) 2010-01-07

Family

ID=40079365

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/072156 Ceased WO2010000171A1 (zh) 2008-06-30 2009-06-05 一种通信的建立方法、系统和装置

Country Status (4)

Country Link
US (1) US8880891B2 (zh)
EP (1) EP2285041B1 (zh)
CN (1) CN101299668A (zh)
WO (1) WO2010000171A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8880891B2 (en) 2008-06-30 2014-11-04 Chengdu Huawei Symantec Technologies Co., Ltd. Method, system and apparatus for establishing communication

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101741820B (zh) 2008-11-13 2013-12-18 华为技术有限公司 Cga公钥识别和cga公钥确定的方法、系统及装置
CN101610255B (zh) * 2009-07-10 2012-10-24 清华大学 基于密码学生成地址的源地址验证装置
US20110055551A1 (en) * 2009-08-27 2011-03-03 Telefonaktiebolaget Lm Ericsson (Publ) Method and network nodes for generating cryptographically generated addresses in mobile ip networks
CN105099952B (zh) * 2014-05-23 2018-12-07 华为技术有限公司 一种资源分配方法及装置
US10248365B2 (en) 2016-12-30 2019-04-02 Konica Minolta Laboratory U.S.A., Inc. Method and system of using OAuth2 to secure neighbor discovery
CN111079140B (zh) * 2018-10-18 2023-06-27 中国人寿保险股份有限公司 用于防作弊的方法、设备和系统
CN110401646B (zh) * 2019-07-15 2020-05-05 中国人民解放军战略支援部队信息工程大学 IPv6安全邻居发现过渡环境中CGA参数探测方法及装置
US11838267B2 (en) * 2020-07-16 2023-12-05 Twistlock, Ltd. Distributed identity-based firewall policy evaluation
CN112767722B (zh) * 2020-12-31 2022-05-24 北京北大千方科技有限公司 交通信号机的控制方法、装置、计算机设备和存储介质
US12192351B2 (en) * 2021-11-27 2025-01-07 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1505308A (zh) * 2002-12-04 2004-06-16 �Ҵ���˾ 保护服务器免受拒绝服务攻击的系统和方法
CN1921488A (zh) * 2006-09-19 2007-02-28 清华大学 IPv6子网内基于签名认证的防止源地址伪造的方法
US20070113075A1 (en) * 2005-11-10 2007-05-17 Ntt Docomo, Inc. Secure route optimization for mobile network using multi-key crytographically generated addresses
CN101106568A (zh) * 2007-07-25 2008-01-16 华为技术有限公司 生成转交地址及提高路由优化安全性的方法、装置和系统
CN101299668A (zh) * 2008-06-30 2008-11-05 华为技术有限公司 一种通信的建立方法、系统和装置
CN101404579A (zh) * 2008-10-31 2009-04-08 成都市华为赛门铁克科技有限公司 一种防止网络攻击的方法及装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2889780A1 (fr) * 2005-08-10 2007-02-16 Alcatel Sa Controle d'acces d'un equipement mobile a un reseau de communication ip par modification dynamique des politiques d'acces
US8281383B2 (en) * 2006-12-11 2012-10-02 Cisco Technology, Inc. Secured IPv6 traffic preemption
US9516495B2 (en) * 2007-03-01 2016-12-06 Futurewei Technologies, Inc. Apparatus and methods of PMIPv6 route optimization protocol

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1505308A (zh) * 2002-12-04 2004-06-16 �Ҵ���˾ 保护服务器免受拒绝服务攻击的系统和方法
US20070113075A1 (en) * 2005-11-10 2007-05-17 Ntt Docomo, Inc. Secure route optimization for mobile network using multi-key crytographically generated addresses
CN1921488A (zh) * 2006-09-19 2007-02-28 清华大学 IPv6子网内基于签名认证的防止源地址伪造的方法
CN101106568A (zh) * 2007-07-25 2008-01-16 华为技术有限公司 生成转交地址及提高路由优化安全性的方法、装置和系统
CN101299668A (zh) * 2008-06-30 2008-11-05 华为技术有限公司 一种通信的建立方法、系统和装置
CN101404579A (zh) * 2008-10-31 2009-04-08 成都市华为赛门铁克科技有限公司 一种防止网络攻击的方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2285041A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8880891B2 (en) 2008-06-30 2014-11-04 Chengdu Huawei Symantec Technologies Co., Ltd. Method, system and apparatus for establishing communication

Also Published As

Publication number Publication date
US8880891B2 (en) 2014-11-04
US20110093716A1 (en) 2011-04-21
EP2285041A1 (en) 2011-02-16
EP2285041B1 (en) 2014-01-22
EP2285041A4 (en) 2012-03-21
CN101299668A (zh) 2008-11-05

Similar Documents

Publication Publication Date Title
US8499146B2 (en) Method and device for preventing network attacks
WO2010000171A1 (zh) 一种通信的建立方法、系统和装置
US8418242B2 (en) Method, system, and device for negotiating SA on IPv6 network
US9438592B1 (en) System and method for providing unified transport and security protocols
Nikander et al. End-host mobility and multihoming with the host identity protocol
US8800001B2 (en) Network authentication method, method for client to request authentication, client, and device
US8650397B2 (en) Key distribution to a set of routers
CN110392128B (zh) 提供准无地址IPv6公开万维网服务的方法及系统
CN102014110A (zh) 认证通信流量的方法、通信系统和防护装置
EP1574009B1 (en) Systems and apparatuses using identification data in network communication
Cao et al. 0-rtt attack and defense of quic protocol
CN105207778A (zh) 一种在接入网关设备上实现包身份标识及数字签名的方法
Shi et al. OverDoSe: A generic DDoS protection service using an overlay network
CN1921487A (zh) 基于签名的自治系统间IPv6真实源地址验证方法
CN113904807B (zh) 一种源地址认证的方法、装置、电子设备及存储介质
Biagioni Preventing UDP flooding amplification attacks with weak authentication
WO2011035618A1 (zh) 路由地址的安全处理方法和系统
Noureldien et al. Block Spoofed Packets at Source (BSPS): a method for detecting and preventing all types of spoofed source IP packets and SYN Flooding packets at source: a theoretical framework
CN107579984B (zh) 一种面向网络层的安全通信链路建立方法
Wang et al. Inter-domain routing validator based spoofing defence system
Sairam et al. Defeating reflector based denial-of-service attacks using single packet filters
Feng et al. A Reliable Lightweight Communication Method via Chain Verification
Chu et al. The security research of SIP-based Denial of Service attack
Choudhari et al. SCTP-Sec: A secure Transmission Control Protocol
Jeyanthi et al. MAC Based Routing Table Approach to Detect and Prevent DDoS Attacks and Flash Crowds in VoIP Networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09771941

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2009771941

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE