本技术涉及通信安全领域,旨在多链路移动通信中保护隐私。通过移动路由器或汇聚路由器使用共享密钥计算数据包哈希值,实现源认证和完整性检测。当tun网卡接收数据包时,进行分片并使用SM4算法加密,添加分片报头后发送。接收端通过普通网卡接收数据,使用SM4算法解密并重组数据包。该技术减少了认证时延,提高了数据传输的安全性和保密性。
背景技术
随着无人机、高铁、公路等移动场景的迅猛发展,单一的网络接入方式已难以满足在复杂场景下用户及时可靠的获取算力等资源的新需求。为提升用户获取算力资源的能力,人们尝试利用多种无线或有线网络实现并行通信。与所有通信和计算网络一样,多链路传输过程中的信息安全问题成为不可忽视的重要环节。
在多链路移动互联通信网络中,往往会采用网络编码技术来提高传输的可靠性,并进一步增强了安全性。尽管我们可以采用数据加密和网络编码等方法来增强数据的保密性,但仍然存在敏感数据流的流量特征被统计分析的风险。这些流量特征包括数据包的大小、数据包之间的到达时间间隔以及数据包的数量和交互方式等。此外,车载设备和地面设备缺乏身份认证,容易受到身份伪装攻击的威胁。同时,由于车载设备在移动过程中,因此隐私保护的同时还需要支持设备的移动性。
为了解决复杂移动环境下的稳定通信问题,《A Bignum Network Coding SchemeforMultipath Transmission inVehicularNetworks》提出了一种在多链路传输中进行大整数网络编码的方法。该方法的原理是通过大整数编码方式,将构成数据包的01序列转化成一个非常大的整数,通常超过了计算机硬件所支持的标准整数范围。多个(假设为K个)数据包在大整数空间进行矩阵运算,输出N(不小于K)个大整数值,随后将数据包从大整数重新映射回数据包格式。这个过程中K个数据包的内容和数量都发生了变化,从而实现对数据包内容的加密和冗余,最后发送端对加密后的数据包进行转发。在接收端根据矩阵运算的性质,同样使用大数编码的方式进行矩阵求解,只要收到N个中的任意K个就可复原原始数据包,从而提升了系统的抗丢包能力。在对数据包进行加密的同时,利用生成的冗余数据包提高了移动传输过程的可靠性。
针对设备的接入认证问题,IKEv2常用于协商和建立安全的通信通道,包括对通信双方的身份验证和安全通信所需密钥的协商。IKEv2要求交换四条消息以完成认证,并且通常需要使用证书。IKEv2的MOBIKE机制支持设备移动性和多宿性。
IKEv2通信始于由发起方(通常是客户端)发送的初始连接请求。该请求包括选择的加密和认证算法、协商密钥材料的方式等信息。接收方(通常是服务器或网关)会对初始请求进行响应。响应中包含服务器选择的加密和认证算法、随机数(Nonce)以及证书等。随后,通信双方使用自己的身份认证方法进行身份验证,并协商出一个"共享密钥"(SharedSecret)。可以选择不同的认证方法,包括预共享密钥、数字证书和扩展认证协议等。成功完成后,通信双方都共享了一个对称密钥,用于后续的通信。这个密钥通常称为IKE SA(IKESecurity Association)。双方再次交换消息,协商出用于数据传输的加密和哈希算法后,通信双方就准备好开始安全通信。它们使用已协商的加密和哈希算法来保护数据。
多链路传输中进行大整数网络编码的方法中,车载端和地面端多路传输的数据包缺乏源身份认证,容易遭受伪装身份攻击,车载设备的移动性需要频繁更换IP地址接入网络,很容易被IP欺骗,同时缺乏数据包的完整性认证,数据包的长度分布容易被统计分析,这可能暴露通信的敏感信息,单条链路传输的数据包是完整的数据包,攻击者窃听单条链路,就能截获完整的数据包,导致安全性不足问题。IKEv2的认证机制通常情况下第一阶段需要六条消息的交换,而第二阶段需要四条消息的交换,以完成身份验证和协商,有更多的认证延迟和切换延迟。
实现思路