防重放方法及装置与流程

1.本发明涉及自动程序设计技术领域，尤其是涉及一种防重放方法及装置。


背景技术：

2.本部分旨在为权利要求书中陈述的本发明实施例提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。
3.重放攻击是指攻击者发送一个目的主机已接受过的包，来达到欺骗系统的目的。针对网关请求中的重放攻击或重复请求，目前尚未提出更好的应对方案。


技术实现要素：

4.本发明提供了一种防重放方法及装置，可以防范部分非法攻击，保护后线系统。
5.第一方面，本发明实施例提供了一种防重放方法，该方法包括：
6.生成接收端的伪随机序列；所述接收端的伪随机序列与所述发送端的伪随机序列相同；
7.获取发送端发送的加密文件；所述加密文件包括加密原文和加密序列；所述加密原文利用所述发送端的伪随机序列对报文加密生成；所述加密序列通过对所述发送端的伪随机序列加密得到；
8.对所述加密序列进行解密，得到待验证随机序列；
9.对比所述待验证随机序列与所述接收端的伪随机序列，根据对比结果判断所述加密文件是否为重放文件。
10.第二方面，本发明实施例还提供一种防重放装置，该装置包括：
11.序列模块，用于生成接收端的伪随机序列；所述接收端的伪随机序列与所述发送端的伪随机序列相同；
12.文件模块，用于获取发送端发送的加密文件；所述加密文件包括加密原文和加密序列；所述加密原文利用所述发送端的伪随机序列对报文加密生成；所述加密序列通过对所述发送端的伪随机序列加密得到；
13.解密模块，用于对所述加密序列进行解密，得到待验证随机序列；
14.结果模块，用于对比所述待验证随机序列与所述接收端的伪随机序列，根据对比结果判断所述加密文件是否为重放文件。
15.第三方面，本发明实施例还提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述防重放方法。
16.第四方面，本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述防重放方法的计算机程序。
17.第五方面，本发明实施例还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时实现上述防重放方法。
18.本发明实施例带来了以下有益效果：本发明实施例提供了一种防重放方法及装置，该方法包括：生成接收端的伪随机序列；获取发送端发送的加密文件；加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到；接收端的伪随机序列与发送端的伪随机序列相同；对加密序列进行解密，得到待验证随机序列；对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。本发明实施例通过对待验证随机序列进行验证，进而判断加密文件是否为重放文件，能够防范部分非法攻击，保护后线系统。
19.本发明的其他特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。
20.为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。
附图说明
21.为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：
22.图1为本发明实施例提供的防重放方法流程图；
23.图2为本发明实施例提供的一种防重放装置结构框图；
24.图3为本发明实施例提供的结果模块结构框图；
25.图4为本发明实施例提供的序列模块结构框图；
26.图5为本发明实施例提供的另一种防重放装置结构框图；
27.图6为本发明实施例提供的计算机设备的系统组成结构示意图。
具体实施方式
28.为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
29.目前，为了防重放攻击，网关中做了对请求数量的限制，并对部分接口的防重放采用“白名单”机制，需要先请求接收方获取随机序列。例如，a向b发送数据包：a先给b发送一个前置请求，此时b返回一个随机序列，并将其缓存；a发送目标数据包(采用随机序列对原报文对称加密，然后对该随机序列非对称加密)，附带该随机序列，b核实请求；针对一次交易，会多出一倍的http请求数量。
30.基于此，本发明实施例提供的一种防重放方法及装置，该方法可以在发送方做随机序列生成，然后在接收端对特征码比对缓存，可以防范部分非法攻击，保护后线系统。
31.为便于对本实施例进行理解，首先对本发明实施例所公开的一种防重放方法进行详细介绍。
32.首先对涉及的术语进行说明。
33.对称加密：采用单密钥系统的加密方式，同一密钥可以同时作为信息的加密和解密；
34.非对称加密：采用双密钥系统的加密方式，一般由公私密钥组成，用其中一种密钥加密，只能用另一种密钥才能正确解密；
35.中间件：介于应用软件与系统软件之间的一类软件，分布式应用借助这种软件在不同技术之间共享资源。
36.本发明实施例提供了一种防重放方法，该方法应用于接收端，参见图1所示的一种防重放方法流程图，该方法包括以下步骤：
37.步骤s102，生成接收端的伪随机序列。
38.在本发明实施例中，接收端的伪随机序列与发送端的伪随机序列相同。在接收端生成与发送端相同的伪随机序列。
39.需要说明的是，伪随机序列是用确定性的算法计算出来自[0，1]均匀分布的随机数序列。并不真正的随机，但具有类似于随机数的统计特征，如均匀性、独立性等。在计算伪随机数时，若使用的初值(种子)不变，那么伪随机数的数序也不变。伪随机数可以用计算机大量生成，在模拟研究中为了提高模拟效率，一般采用伪随机数代替真正的随机数。模拟中使用的一般是循环周期极长并能通过随机数检验的伪随机数，以保证计算结果的随机性。
[0040]
步骤s104，获取发送端发送的加密文件。
[0041]
在本发明实施例中，加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到。发送端将加密处理后的加密原文和加密序列一起发送给接收端。
[0042]
步骤s106，对加密序列进行解密，得到待验证随机序列。
[0043]
在本发明实施例中，发送端和接收端拥有相同的伪随机序列，该伪随机序列与加密文件一一对应，一个伪随机序列仅可以用于确定一个加密文件。因此，接收端收到发送端发送的加密序列后进行解密，进而对解密后的待验证随机序列进行检验。
[0044]
步骤s108，对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。
[0045]
在本发明实施例中，对比待验证随机序列与接收端的伪随机序列，以判断是否重复收到相同的随机序列，进而判定是否为重放文件。
[0046]
本发明实施例提供了一种防重放方法及装置，该方法包括：生成接收端的伪随机序列；获取发送端发送的加密文件；加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到；接收端的伪随机序列与发送端的伪随机序列相同；对加密序列进行解密，得到待验证随机序列；对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。本发明实施例通过对待验证随机序列进行验证，进而判断加密文件是否为重放文件，能够防范部分非法攻击，保护后线系统。
[0047]
在一个实施例中，根据对比结果判断所述加密文件是否为重放文件，可以按照如下步骤执行：
[0048]
若待验证随机序列与接收端的伪随机序列不一致，则生成报错信息，并将报错信
息发送至报警模块；若待验证随机序列与接收端的伪随机序列一致，则判断待验证随机序列是否为首次收到；若待验证随机序列为首次收到，则确定加密文件不是重放文件；若待验证随机序列不是首次收到，则确定加密文件是重放文件。
[0049]
在本发明实施例中，对解密后的随机序列先进行有效性(长度、字符类型、时间参数等)校验后缓存，若其未通过有效性校验，则会出现待验证随机序列与接收端的伪随机序列不一致的情况，进而生成报错信息，提醒工作人员。在待验证随机序列与接收端的伪随机序列一致的情况下，判断待验证随机序列是否首次收到，如果不是，则说明接收端收到了重复请求或重放攻击。
[0050]
在一个实施例中，生成接收端的伪随机序列，可以按照如下步骤执行：
[0051]
通过量子密码方法生成伪随机序列；伪随机序列中包括时间参数和系统识别参数；利用目标数据库存储接收端的伪随机序列。
[0052]
在本发明实施例中，可以根据实际需求选择合适的随机算法，由于对于随机序列又进行了一次非对称加密，在实际生产环境中，该随机算法对于报文的安全性只有极小的影响。
[0053]
需要说明的是，可以产生包括时间、本系统识别码等特征码的伪随机序列，以尽量避免伪随机序列的重复。
[0054]
目标数据库可以根据实际需求进行确定，本发明实施例对此不作具体限定。例如，缓存的方式，在分布式架构中，需要选择redis或其他中间件对随机序列进行短时间里的保存。
[0055]
另外需要说明的是，在发送端也可以通过量子密码生成随机序列，采用该序列对原文进行对称加密，再对该随机序列应用原有的非对称加密，向接收端上送加密后的原文以及加密后的序列。
[0056]
根据量子密码一次一密的特性，每次生成的随机序列都会不一样，如果通过私钥解密出来的随机序列与缓存中再次相同则视为重复请求，报错返回或过滤该请求。
[0057]
在一个实施例中，加密原文利用发送端的伪随机序列对报文进行对称加密生成；加密序列通过对发送端的伪随机序列进行非对称加密得到。
[0058]
在本发明实施例中，对于进行非对称加密得到的伪随机序列，先对其进行非对称解密，再校验其合法性。
[0059]
在一个实施例中，还可以执行如下步骤：
[0060]
按照预设时长对验证过的随机序列进行缓存。
[0061]
在本发明实施例中，对校验通过的随机序列进行短时间的缓存，以防止再被使用。其中预设时长可以根据实际需求进行设置，本发明实施例对此不作具体限定。
[0062]
下面以一个具体实施例对该方法的实施进行说明，具体可以包括如下步骤：
[0063]
1、生成随机序列并加密；
[0064]
2、由发送方通过某些方式(如使用http进行网络报文的传输，将密文与序列一次性传送至接收方)传送到接收方；
[0065]
3、接收方解密后进行合法性校验；
[0066]
4、与缓存中比对并记录缓存。
[0067]
在具体实施时，当前报文加密是由发送端(或先请求接收端)生成一串随机(自定
义随机算法)序列，先应用随机序列对原始报文进行对称加密，再对该密钥进行非对称加密(公钥由接收端提供)，将加密后的原始报文与随机序列一起发送至接收端；
[0068]
对解密后的随机序列先进行有效性(长度、字符类型、时间参数等)校验后缓存，由于算法的伪随机性与防范重放攻击，可以将缓存过期的时间窗口设置的小一点，也可以在随机算法中引入时间参数，防范攻击方通过大量长期收集报文后进行攻击。将请求报文中的某些属性作为唯一性识别码，保证该请求报文与本次交易请求的唯一映射。
[0069]
本发明实施例提供了一种放重放方法及装置，可以针对接口级实施该方法，只对部分接口而非全量服务，该方法在原有的报文加密基础与不修改原报文结构的基础上，缓存部分特征字段，以实现对重复请求的过滤。
[0070]
本发明实施例中还提供了一种放重放装置，如下面的实施例所述。由于该装置解决问题的原理与放重放方法相似，因此该装置的实施可以参见放重放方法的实施，重复之处不再赘述。参见图2所示的一种放重放装置结构框图，该装置包括：
[0071]
序列模块21，用于生成接收端的伪随机序列；接收端的伪随机序列与发送端的伪随机序列相同；文件模块22，用于获取发送端发送的加密文件；加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到；解密模块23，用于对加密序列进行解密，得到待验证随机序列；结果模块24，用于对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。
[0072]
在一个实施例中，参见图3所示的结果模块结构框图，结果模块，包括：报错单元31，用于若待验证随机序列与接收端的伪随机序列不一致，则生成报错信息，并将报错信息发送至报警模块；判断单元32，用于若待验证随机序列与接收端的伪随机序列一致，则判断待验证随机序列是否为首次收到；第一重放单元33，用于若待验证随机序列为首次收到，则确定加密文件不是重放文件；第二重放单元34，用于若待验证随机序列不是首次收到，则确定加密文件是重放文件。
[0073]
在一个实施例中，参见图4所示的序列模块结构框图，序列模块，包括：随机单元41，用于通过量子密码方法生成伪随机序列；伪随机序列中包括时间参数和系统识别参数；存储单元42，用于利用目标数据库存储接收端的伪随机序列。
[0074]
在一个实施例中，所述加密原文利用所述发送端的伪随机序列对报文进行对称加密生成；所述加密序列通过对所述发送端的伪随机序列进行非对称加密得到。
[0075]
在一个实施例中，参见图5所示的另一种放重放装置结构框图，该装置还包括缓存模块25，用于：按照预设时长对验证过的随机序列进行缓存。
[0076]
基于同一发明构思，本发明实施例中还提供了一种用于实现上述放重放方法中的全部或部分内容的计算机设备实施例。该计算机设备具体包含有如下内容：
[0077]
处理器(processor)、存储器(memory)、通信接口(communications interface)和总线；其中，所述处理器、存储器、通信接口通过所述总线完成相互间的通信；所述通信接口用于实现相关设备之间的信息传输；该计算机设备可以是台式计算机、平板电脑及移动终端等，本实施例不限于此。在本实施例中，该计算机设备可以参照实施例用于实现上述放重放方法的实施例及用于实现上述放重放装置的实施例进行实施，其内容被合并于此，重复之处不再赘述。
[0078]
图6为本发明实施例中提供的一种计算机设备的系统组成结构示意图。如图6所示，该计算机设备70可以包括处理器701和存储器702；存储器702耦合到处理器701。值得注意的是，该图6是示例性的；还可以使用其他类型的结构，来补充或代替该结构，以实现电信功能或其他功能。
[0079]
在一个实施例中，放重放方法实现的功能可以被集成到处理器701中。其中，处理器701可以被配置为进行如下控制：
[0080]
生成接收端的伪随机序列；获取发送端发送的加密文件；加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到；接收端的伪随机序列与发送端的伪随机序列相同；对加密序列进行解密，得到待验证随机序列；对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。
[0081]
由上可知，本发明的实施例中提供的计算机设备，通过对待验证随机序列进行验证，进而判断加密文件是否为重放文件，能够防范部分非法攻击，保护后线系统。
[0082]
在另一个实施例中，放重放装置可以与处理器701分开配置，例如可以将放重放装置配置为与处理器701连接的芯片，通过处理器的控制来实现放重放方法的功能。
[0083]
如图6所示，该计算机设备70还可以包括：通信模块703、输入单元704、音频处理单元705、显示器706、电源707。值得注意的是，计算机设备70也并不是必须要包括图6中所示的所有部件；此外，计算机设备70还可以包括图6中没有示出的部件，可以参考现有技术。
[0084]
如图6所示，处理器701有时也称为控制器或操作控件，可以包括微处理器或其他处理器装置和/或逻辑装置，该处理器701接收输入并控制计算机设备70的各个部件的操作。
[0085]
其中，存储器702，例如可以是缓存器、闪存、硬驱、可移动介质、易失性存储器、非易失性存储器或其它合适装置中的一种或更多种。可储存上述与失败有关的信息，此外还可存储执行有关信息的程序。并且处理器701可执行该存储器702存储的该程序，以实现信息存储或处理等。
[0086]
输入单元704向处理器701提供输入。该输入单元704例如为按键或触摸输入装置。电源707用于向计算机设备70提供电力。显示器706用于进行图像和文字等显示对象的显示。该显示器例如可为lcd显示器，但并不限于此。
[0087]
该存储器702可以是固态存储器，例如，只读存储器(rom)、随机存取存储器(ram)、sim卡等。还可以是这样的存储器，其即使在断电时也保存信息，可被选择性地擦除且设有更多数据，该存储器的示例有时被称为eprom等。存储器702还可以是某种其它类型的装置。存储器702包括缓冲存储器7021(有时被称为缓冲器)。存储器702可以包括应用/功能存储部7022，该应用/功能存储部7022用于存储应用程序和功能程序或用于通过处理器701执行计算机设备70的操作的流程。
[0088]
存储器702还可以包括数据存储部7023，该数据存储部7023用于存储数据，例如联系人、数字数据、图片、声音和/或任何其他由计算机设备使用的数据。存储器702的驱动程序存储部7024可以包括计算机设备的用于通信功能和/或用于执行计算机设备的其他功能(如消息传送应用、通讯录应用等)的各种驱动程序。
[0089]
通信模块703即为经由天线708发送和接收信号的发送机/接收机。通信模块(发送
机/接收机)703耦合到处理器701，以提供输入信号和接收输出信号，这可以和常规移动通信终端的情况相同。
[0090]
基于不同的通信技术，在同一计算机设备中，可以设置有多个通信模块703，如蜂窝网络模块、蓝牙模块和/或无线局域网模块等。通信模块(发送机/接收机)703还经由音频处理单元705耦合到扬声器709和麦克风710，以经由扬声器709提供音频输出，并接收来自麦克风710的音频输入，从而实现通常的电信功能。音频处理单元705可以包括任何合适的缓冲器、解码器、放大器等。另外，音频处理单元705还耦合到处理器701，从而使得可以通过麦克风710能够在本机上录音，且使得可以通过扬声器709来播放本机上存储的声音。
[0091]
本发明的实施例中还提供了一种用于实现上述实施例中放重放方法中全部步骤的一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的放重放方法的全部步骤，例如，该处理器执行该计算机程序时实现下述步骤：
[0092]
生成接收端的伪随机序列；获取发送端发送的加密文件；加密文件包括加密原文和加密序列；加密原文利用发送端的伪随机序列对报文加密生成；加密序列通过对发送端的伪随机序列加密得到；接收端的伪随机序列与发送端的伪随机序列相同；对加密序列进行解密，得到待验证随机序列；对比待验证随机序列与接收端的伪随机序列，根据对比结果判断加密文件是否为重放文件。
[0093]
由上可知，本发明的实施例中提供的计算机可读存储介质，通过对待验证随机序列进行验证，进而判断加密文件是否为重放文件，能够防范部分非法攻击，保护后线系统。
[0094]
本发明的实施例还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时实现上述放重放方法。
[0095]
需要说明的是，本技术技术方案中对数据的获取、存储、使用、处理等均符合国家法律法规的相关规定。
[0096]
虽然本发明提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的劳动可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或客户端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境)。
[0097]
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
[0098]
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
[0099]
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
[0100]
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
[0101]
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
[0102]
在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。术语“上”、“下”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。
[0103]
除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。
[0104]
需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。本发明并不局限于任何单一的方面，也不局限于任何单一的实施例，也不局限于这些方面和/或实施例的任意组合和/或置换。可单独使用本发明的每个方面和/或实施例，或者与一个或更多其他方面和/或其他实施例结合使用。
[0105]
最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。