一种安全抵御网络劫持的方法与流程

本发明涉及通信技术领域，特别涉及一种安全抵御网络劫持的方法。

背景技术：

随着网络技术的蓬勃发展，互联网已经在人们日常的生活和工作中占着举足轻重的地位，甚至可以说现在的人们已经离不开互联网了。然而随着连接网络的用户数量日益激增，在公寓，商场，学校等场所当中不能只使用少量的交换机来构建一个稳定而又快速的局域网，因此使用大量的交换机构建出多层交换机层的虚拟局域网技术应运而生。大量的底层交换机安装在指定区域中，负责为该区域用户提供网络服务，同时用户的上网信息也通过逐层的交换机传递到广域网当中。然而众多的交换机层存在着严重的网络劫持的安全隐患，其中最常见的要数中间人攻击这一网络劫持手段。

因为用户设备(即client设备)会优先处理最先接收到的serviceoffer信息，当认为最先接收到的offer没问题就会使用该offer的内容，用户设备对后续到达的offer将不予理会。然而出现中间人攻击时，劫持者因为不需要经过多层的交换机层，所以回复用户设备的offer的速度总比正常回复的offer时长要短，因此用户设备会优先处理非法的offer而对合法的offer不予理会。

劫持者接入众多交换机层中的某一层的交换机后，该交换机所负责的区域下的用户通信链路就会被劫持者所劫持，劫持者有可能伪造虚假的网站以套取用户的账号密码等敏感信息，也有可能是篡改用户的上网信息后再转发出去，显而易见中间人攻击会对用户造成难以想象的损失。然而目前还没有一种能有效的解决上述中间人攻击的方法。

技术实现要素：

针对上述现有技术中存在的缺陷，本发明要解决的技术问题是提供一种安全抵御网络劫持的方法，解决现有技术中交换机层存在着严重的网络劫持的安全隐患、无法避免用户设备因遭受中间人攻击而造成损失的问题，安全性好、能够有效避免用户设备因遭受中间人攻击而造成损失，且保证了用户设备的信息安全，极大地保护了用户的隐私。

为了解决上述技术问题，本发明的技术方案是：

一种安全抵御网络劫持的方法，包括以下步骤：

步骤s1、启动安全模块，所述安全模块模拟用户设备向服务器发送第一报文信息，并根据所述服务器返回的第一响应信息计算出合理时间范围及标准标识码；所述用户设备向所述服务器发送第二报文信息，所述安全模块记录所述第二报文信息中的随机生成码；

步骤s2、通过时间认证模块检测所述服务器发送给所述用户设备的第二响应信息，并判断其接收到所述第二响应信息所需的时间是否位于所述合理时间范围内，若是，则将所述第二响应信息发送至用户设备；若否，则进行步骤s3；

步骤s3、通过标识码认证模块判断所述第二响应信息中的标识码及随机生成码是否分别与所述标准标识码及随机生成码一致，若是，则将所述第二响应信息发送至用户设备，若否，则将所述第二响应信息列入可疑信息名单中，并进行步骤s4；

步骤s4、所述安全模块检测所述用户设备在所述合理时间范围的最大时间值范围内是否继续接收到所述第二响应信息，若是，则返回步骤s3；若否，则进行步骤s5；

步骤s5、所述安全模块判断所述可疑信息名单中的第二响应信息之间的内容是否相同，若是，则将所述第二响应信息从所述可疑信息名单中删除，并将所述第二响应信息发送至用户设备；若否；则将所述用户设备最后接收到的所述第二响应信息发送至用户设备，并发出警告信息。

优选地，在所述步骤s1中，所述标准标识码为uuid地址、mac地址、systemid地址及ip地址中的一种。

优选地，在所述步骤s1中，所述安全模块根据所述服务器返回的第一响应信息计算出合理时间范围包括：所述安全模块记录其接收到所述第一响应信息所需的时间数据，并根据所述时间数据计算出所述合理时间范围。

优选地，所述安全检测模块及用户设备均与所述服务器通信连接，所述时间认证模块、标识码认证模块均与所述用户设备通信连接。

优选地，在所述步骤s4中，所述安全模块发出警告信息包括：所述安全模块向所述用户设备发出所述用户设备最后接收到的所述第二响应信息存在安全风险的警告信息，并通知网络管理员相应的安全处理。

优选地，所述随机生成码为transactionid地址、sessionid地址、messagesequencenumber地址、clientid地址、messageid地址中的一种。

采用上述技术方案，该技术方案提供的一种安全抵御网络劫持的方法，该方法通过安全模块模拟用户设备向服务器发送报文信息，并根据服务器返回的第一响应信息计算出合理时间范围及标准标识码，并记录用户设备向服务器发送的第二报文信息中的随机生成码；再通过时间认证模块及标识码认证模块分别判断其接收到第二响应信息所需的时间是否位于合理时间范围及第二响应信息中的标识码与所述标准标识码及随机生成码是否一致来决定是否将该第二响应信息发送至用户设备，并通过安全检测模块根据用户设备继续接收的第二响应信息来判断是否发出警告信息，从而通知后台网络管理员采取相应的安全措施进行及时处理，解决了交换机层存在着严重的网络劫持的安全隐患、无法避免用户设备因遭受中间人攻击而造成损失的问题，安全性好、能够有效避免用户设备因遭受中间人攻击而造成损失，且保证用户设备的信息安全，极大地保护了用户的隐私。

附图说明

图1为本发明一种安全抵御网络劫持的方法的流程图；

图2为本发明一种安全抵御网络劫持的方法的第一实施例的流程图。

具体实施方式

下面结合附图对本发明的具体实施方式作进一步说明。在此需要说明的是，对于这些实施方式的说明用于帮助理解本发明，但并不构成对本发明的限定。此外，下面所描述的本发明各个实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互组合。

如图1所示，在本发明一种安全抵御网络劫持的方法的流程图中，该方法包括以下步骤：步骤s1、启动安全模块，该安全模块模拟用户设备向服务器发送第一报文信息，并根据该服务器返回的第一响应信息计算出合理时间范围及标准标识码；当用户设备连接网络时，该用户设备向该服务器发送第二报文信息，该安全模块记录该第二报文信息中的随机生成码；步骤s2、通过时间认证模块检测该服务器发送给该用户设备的第二响应信息，并判断其接收到该第二响应信息所需的时间是否位于该合理时间范围内，若是，则将该第二响应信息发送至用户设备；若否，则进行步骤s3；步骤s3、通过标识码认证模块判断该第二响应信息中的标识码及随机生成码是否分别与该标准标识码及随机生成码一致，若是，则将该第二响应信息发送至用户设备，若否，则将该第二响应信息列入可疑信息名单中，并进行步骤s4；步骤s4、该安全模块检测该用户设备在该合理时间范围的最大时间值范围内是否继续接收到该第二响应信息，若是，则返回步骤s3；若否，则进行步骤s5；步骤s5、该安全模块判断该可疑信息名单中的第二响应信息之间的内容是否相同，若是，则将该第二响应信息从该可疑信息名单中删除，并将该第二响应信息发送至用户设备；若否；则将该用户设备最后接收到的该第二响应信息发送至用户设备，并发出警告信息。可以理解的，该安全模块可以安装在交换机、无线路由器等网络设备上，该标准标识码为uuid地址、mac地址、systemid地址及ip地址中的一种，该随机生成码可以是transactionid地址、sessionid地址、messagesequencenumber地址、clientid地址、messageid地址等。

具体地，在步骤s1中，该标准标识码为可信的常用服务器的ip地址和mac地址，该该transactionid地址是用户设备每次发送报文信息时随机生成的，服务器返回的响应信息中同样包含有该transactionid地址。该安全模块根据该服务器返回的第一响应信息计算出合理时间范围包括：该安全模块记录其接收到该第一响应信息所需的时间数据，并根据该时间数据计算出该合理时间范围。可以理解的，启动安全模块x后，模块x会初始化一个合理的时长t(a)来评判交换机s所接收到的回复client的第一响应信息(即serviceoffer信息)是否可信。该时长t(a)可以通过手动设定，也可以自动设定，其中自动设定方式是安全模块x多次模拟用户设备(即client设备)发送报文信息(即servicerequest信息)，收集各次发送后直到接收到serviceoffer的时长，对收集到的时长进行计算整理，得出可信时长t(a),并认为在时间区间[t(a)-t,t(a)+t]内接收到的serviceoffer信息是可信的，允许交换机把该信息发送给client设备。在自动设置t(a)时，计算时长t(a)时可以对采集的多个数据求平均，求中位数等等计算方法，算出一个合理的时长t(a)。其中t值已经预设好，根据实际需求可以对它们进行手动微调。

可以理解的，该安全检测模块及用户设备均与该服务器通信连接，该时间认证模块、标识码认证模块均与该用户设备通信连接。结束初始化后，当client设备请求网络连接的servicerequest信息通过交换机时，安全模块x启动计时器，计时持续到安全模块x接收到回复该client设备的serviceoffer后结束，记录该时长为t(c)。该t(c)需要满足t(a)-t<＝t(c)<＝t(a)+t这个条件才可以认为该serviceoffer是可信。如果t(c)<t(a)-t，那么模块x将认为该serviceoffer可疑，并把该serviceoffer信息记录在一张缓存列表当中，等待t(a)+t时长的过程中，如果接收到新的offer则一并放入该列表中，直至t(a)+t时长过后，停止接收新的serviceoffer，根据列表中serviceoffer信息中所包含的识别码筛选出相对安全合理的serviceoffer通过交换机发送到client设备上,并把列表中的所有serviceoffer记录清空。

具体地，在步骤s3中，通过标识码认证模块判断该第二响应信息中的标识码及transactionid地址是否与该报文信息中的标准标识码和transactionid地址是否一致，若是，则将该第二响应信息发送至用户设备，若否，则将该第二响应信息列入该可疑信息名单中。

具体地，在步骤s4中，该安全模块发出警告信息包括：该安全模块向后台网络管理设备发出警告信息，并通知该后台网络管理设备进行相应的安全处理。可以理解的，如果在t(a)+t时长内没有接受到新的serviceoffer，则把等待中的serviceoffer信息发送给client设备。如果接收到新的serviceoffer，比较可疑名单中的所有offer中的内容是否一致，如果一致就把所述offer发送给用户设备，如果不一致就把最后到达的offer发送给用户设备，并提示该offer存在安全隐患，请用户注意信息安全，并记录该事件发生的次数，当到达一定次数后，通知网络管理员对网络进行安全检查。

具体地，图2为本发明一种安全抵御网络劫持的方法第一实施例的流程图，网络设备s11遭到中间人攻击，s11通过广播的方式转发收到的servicediscover后，discover会被劫持者和交换机s21收到。那么非法的offr(b)因为不需要经过多层的交换机层，到达的时间t(b)会远比合法offer(a)到达的时间t(a)和记录在s11里面的合理时间t(a)要小。当先到达的offer(b)被client设备接收到后，client认为offer(b)可以使用，那么后来到达的offer(a),将不予理会。

正常情况下而言，从合法服务器a中的发出的offer(a)到达s11的时间t(a)应该在s11记录的时间t(a)附近即在区间[t(a)-t,t(a)+t]内，其中t很小，代表在一定范围的波动。

当s11监测到offer(b)到达的时间出现异常，那么s11暂时不转发offer(b)，并把它放入可疑名单中。然后等待一段时间，直至发出discover时间到达t(a)+t后，停止等待，并监测是否有发往相同的client设备的serviceoffer到达。如果有新的offer到达，则比较可以名单中所有offer的合法性，选出较为安全的发送给用户设备client。

上述两个模块同样可以应用在ap及其他交换机上，当某一网络设备遭到劫持时，能迅速定位劫持者的位置，并采取相应的措施，保证了登入设备的信息安全。

可以理解的，本发明通过安全模块模拟用户设备向服务器发送报文信息，并根据服务器返回的第一响应信息计算出合理时间范围及标准标识码，再通过时间认证模块及标识码认证模块分别判断其接收到第二响应信息所需的时间是否位于合理时间范围及第二响应信息中的标识码是否与所述标准标识码一致来决定是否将该第二响应信息发送至用户设备，并通过安全检测模块根据用户设备接收的第三响应信息来发出警告信息，从而通知后台网络管理员采取相应的安全措施进行及时处理。该方法可以应用在client向在dhcp(动态主机配置协议，dynamichostconfigurationprotocol)服务器获取ip地址时，通过检测时间的异常判断接收到的offer是否是非法的，从而避免使用非法ip后私密信息的泄漏。在这个基础上进行优化后，该方法也可以应对在其他方面的攻击如：dns欺骗，tcp/ip会话劫持及https中间人攻击劫持等。

以上结合附图对本发明的实施方式作了详细说明，但本发明不限于所描述的实施方式。对于本领域的技术人员而言，在不脱离本发明原理和精神的情况下，对这些实施方式进行多种变化、修改、替换和变型，仍落入本发明的保护范围内。