[发明专利]一种自动检测IPsec协议中间人攻击的方法

说明书

本发明涉及一种自动检测IPsec协议中间人攻击的方法与装置，包括步骤如下：(1)在IPsec建立安全隧道时，在客户端或服务器端获取各数据报的发送、返回时间；(2)计算相邻两个数据报之间的时间间隔；(3)计算相邻两个数据报之间的时间间隔的方差；(4)比较方差与设置阈值的大小，如果方差大于设置阈值，则发出中间人攻击警报，提醒工作人员进行处理；否则，则认为是正常连接；本发明提出的自动检测IPsec中间人攻击的方法和装置，可以在IKE协商阶段就对IPsec流量是否遭受中间人攻击进行识别，以便工作人员尽早发现，及时处理。

技术领域

本发明涉及一种自动检测IPsec协议中间人攻击的方法与装置，属于网络安全技术领域。

背景技术

随着网络通信技术的发展，人们越来越发现，Internet缺乏安全性已是不争的事实，所以，各种安全协议也应运而生。作为一个开放的IP层安全框架协议，IPsec协议位于网络层，在有效地保障了高层各协议安全性的同时，还减少了在TCP/IP网络上部署安全的复杂性。

目前，IPsec协议有多种实现，例如Linux的2.6版本目前已经内嵌IPsec的功能，Freeswan等开源项目也使得Linux的2.4版本可以支持IPsec；Windows2000以上的Windows系列操作系统也都提供对IPsec的支持。因为IPsec协议的诸多优点，很多企业或单位使用IPsec协议建立安全隧道，保护机密信息，同时保障员工可以对公司内网进行访问，这是IPsec协议应用较为广泛的场景之一。

IPsec协议包括AH(验证头)和ESP(封装安全载荷)等核心协议，还有HASH算法、安全策略、安全联盟、ISAKMP等作为支撑。在第一阶段，通信双方通过协商建立IKE SA，即安全联盟(Security Association)，里面包含了接下来协商、认证、加密所使用的协议和加解密算法，以及生命周期等。第二阶段则在IKE SA的保护下，为接下来对建立的隧道和通信数据的保护进行进一步协商，来确定最终的密钥和算法。所以IPsec安全隧道的安全性建立在IKE协商的基础之上，而DH交换是IKE协商的安全基础。由于DH交换本身的缺点，IKE协商比较容易受到中间人攻击，所以需要PSK(预共享密钥)或者CA认证的方式对通信双方的身份进行认证。现在，已经有人对于预共享密钥的暴力破解的可行性进行了验证，一旦预共享密钥被破解，中间人便可以冒充普通用户对保密数据进行访问。

发明内容

针对现有技术的不足，本发明提供了一种自动检测IPsec协议中间人攻击的方法；

本发明还提供了一种自动检测IPsec协议中间人攻击的装置；

本发明通过对IPsec协议正常连接的数据包和中间人攻击数据包，以及PSK中间人攻击的原理的分析，总结得到被中间人攻击的IPsec协议流量的关键特征，进而对目标流量进行识别，得出判断结论，可以有效地帮助网络安全事件处理人员对IPsec中间人攻击进行及早识别和处理。

本发明的技术方案为：

一种自动检测IPsec协议中间人攻击的方法，包括步骤如下：

A、IKE协商第一阶段：

(1)在IPsec建立安全隧道时，在客户端或服务器端获取IKE协商第一阶段各数据报的发送、返回时间；

(2)计算相邻两个数据报之间的时间间隔，即t2、t3、t4、t5、t6；相邻两个数据报之间的时间间隔是指发出或接收到上一个数据包后至接收到或发出下一个数据包之间的时间间隔；

(3)计算相邻两个数据报之间的时间间隔t2、t3、t4、t5、t6的方差e1；