一種dhcp安全通信方法、裝置和系統的製作方法

2023-04-27 02:00:41 1

專利名稱：一種dhcp安全通信方法、裝置和系統的製作方法
技術領域：
本發明實施例涉及網絡技術領域，尤其是一種DHCP (Dynamic HostConfiguration Protocol，動態主機配置協議)安全通信方法、裝置以及系統。
背景技術：
隨著網絡技術的發展，網絡設備得到了大量應用。由於網絡的拓撲結構易於變化，很多網絡設備需要通過動態獲取IP位址來接入網絡。在目前實現方案中，這些網絡設備很 多支持DHCP，由外部DHCP SERVER (伺服器)分配動態IP位址。但是DHCP本身並沒有考慮 任何安全措施，實際應用中會存在比較多的安全隱患，使DHCP SERVER容易受到非法攻擊。在現有的一種解決方案中，網絡設備(即客戶端)向DHCP SERVER(即伺服器端) 發起請求時，在請求中攜帶自己的ID (身份)，伺服器端根據客戶端的ID來識別客戶端是否 可信，如果可信，則允許客戶端接入。由於客戶端的ID由客戶端自身提供，攻擊者可以很容 易地截取客戶端的身份信息，從而偽造身份對伺服器端發起非法攻擊，導致網絡系統的安 全性較差。

發明內容
本發明實施例在於提供一種DHCP安全通信方法、裝置和系統。一方面，本發明實施例提供一種DHCP安全通信方法，該方法包括伺服器端接收 客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器 端對該客戶端進行認證；伺服器端生成伺服器端消息，並進行加密得到伺服器端密文；月艮 務器端向客戶端發送第一響應，第一響應包括伺服器端密文；伺服器端接收客戶端返回的 第二消息，第二消息包括伺服器端消息，其中第二消息中的伺服器端消息由客戶端對服務 器端密文解密後得到；伺服器端驗證第二消息中的伺服器端消息和伺服器端本地保存的服 務器端是否消息一致，若一致則伺服器端確認客戶端可信。一方面，本發明實施例提供還一種DHCP安全通信方法，該方法包括伺服器端接 收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求服務 器端對該客戶端進行認證；伺服器端生成伺服器端消息，並進行加密得到伺服器端密文； 伺服器端向客戶端發送第一響應，第一響應包括伺服器端密文；伺服器端接收客戶端返回 的第二消息，第二消息包括客戶端第二密文；其中客戶端第二密文由客戶端對伺服器端消 息和客戶端消息的組合進行加密得到，伺服器端消息由客戶端對伺服器端密文解密後得 到；伺服器端解密客戶端第二密文得到伺服器端消息；伺服器端驗證解密後得到的伺服器 端消息和伺服器端本地保存的伺服器端消息是否一致，若一致則伺服器端確認客戶端可信。一方面，本發明實施例提供還一種DHCP安全通信方法，該方法包括客戶端向服 務器端發送第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器端 對該客戶端進行認證；客戶端接收伺服器端返回的第一響應，第一響應包括伺服器端密文；客戶端解密所述伺服器端密文得到伺服器端消息，客戶端生成客戶端消息，以及對客戶端 消息進行加密得到客戶端第一密文或者對伺服器端消息和客戶端消息的組合進行加密得 到客戶端第二密文；客戶端向伺服器端發送第二消息，第二消息包括伺服器端消息和客戶 端第一密文，或者第二消息包括客戶端第二密文；客戶端接收伺服器端返回的第二響應，第 二響應包括客戶端消息，其中客戶端消息由伺服器端對客戶端第一密文或客戶端第二密文 解密後得到；客戶端驗證接收到的客戶端消息與客戶端本地保存的客戶端消息是否一致； 若是，則客戶端確認伺服器端可信。另一方面，本發明實施例提供一種伺服器端裝置，包括第一接收模塊，用於接收 客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器 端對該客戶端進行認證；生成模塊，用於在第一接收模塊接收到接入挑戰請求後生成服務 器端密文；第一發送模塊，用於向客戶端發送第一響應，第一響應包括生成模塊生成的服務 器端密文；第二接收模塊，用於接 收客戶端返回的第二消息，第二消息包括客戶端對伺服器 端密文進行解密後得到的伺服器端消息；驗證模塊，用於驗證第二消息中的伺服器端消息 和伺服器端本地保存的伺服器端消息是否一致，在一致時確認客戶端可信。另一方面，本發明實施例還提供一種伺服器端裝置，包括第一接收模塊，用於接 收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求服務 器端對該客戶端進行認證；生成模塊，用於在第一接收模塊接收到接入挑戰請求後生成服 務器端密文；第一發送模塊，用於向客戶端發送第一響應，第一響應包括生成模塊生成的服 務器端密文；第二接收模塊，用於接收客戶端返回的第二消息，第二消息包括客戶端第二密 文；其中客戶端第二密文由客戶端對伺服器端消息和客戶端消息的組合進行加密得到，月艮 務器端消息由客戶端對伺服器端密文解密後得到；解密模塊，用於解密客戶端第二密文得 到伺服器端消息；第二接收模塊伺服器端消息和伺服器端本地保存的伺服器端消息是否一 致，若一致時確認客戶端可信。又一方面，本發明實施例還提供一種客戶端裝置，包括第一發送模塊，用於向服 務器端發送第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器端 對該客戶端進行認證；第一接收模塊，用於接收伺服器端返回的第一響應，第一響應包括服 務器端密文；第一解密模塊，用於對伺服器端密文進行解密得到伺服器端消息；生成模塊， 用於生成客戶端消息；加密模塊，用於對客戶端消息進行加密得到客戶端第一密文或者對 伺服器端消息和客戶端消息的組合進行加密得到客戶端第二密文；第二發送模塊，用於向 伺服器端發送第二消息，第二消息包括伺服器端消息和客戶端第一密文，或者第二消息包 括客戶端第二密文；第二接收模塊，用於接收伺服器端返回的第二響應，第二響應包括客戶 端消息，其中第二響應中的客戶端消息由伺服器端對客戶端第一密文或客戶端第二密文解 密後得到；驗證模塊，用於驗證第二接收模塊接收到的客戶端消息與客戶端本地保存的客 戶端消息是否一致，在一致時確認伺服器端可信。再一方面，本發明實施例提供一種系統，包括上述客戶端裝置以及伺服器端裝置。本發明實施例中伺服器端向客戶端發送加密後的伺服器端消息，並驗證客戶端返 回的伺服器端消息和伺服器端本地保存的伺服器端消息是否一致，若一致，則確認客戶端 可以正確解密，從而伺服器端確認客戶端可信。該方法可以有效驗證客戶端的合法性，減少 或避免伺服器端遭受的非法攻擊，提高網絡應用的安全性。


圖1為本發明實施例提供的一種DHCP安全通信方法流程示意圖。圖2為本發明實施例提供的另一種DHCP安全通信方法流程示意圖。圖3為本發明實施例提供的另一種DHCP安全通信方法流程示意圖。圖4為本發明實施例提供的另一種DHCP安全通信方法流程示意圖。圖5為本發明實施例提供的一種伺服器端裝置結構示意圖。圖6為本發明實施例提供的另一種伺服器端裝置結構示意圖。圖7為本發明實施例提供的一種客戶端裝置結構示意圖。
具體實施例方式下面結合附圖對本發明實施例作具體說明，顯然，下面所描述的實施例僅僅是本 發明一部分實施例，而不是全部的實施例。請參閱圖1，圖1為本發明實施例提供的一種DHCP安全通信方法。該方法主要包 括如下步驟。步驟102，伺服器端接收客戶端發送的第一消息，其中第一消息包括接入挑戰請 求，所述接入挑戰請求用於請求伺服器端對該客戶端進行認證。步驟104，伺服器端生成伺服器端消息，並對伺服器端消息進行加密得到伺服器端 密文。伺服器端在接收到接入挑戰請求後，生成伺服器密文用來驗證客戶端是否可靠或 可信。在具體應用時，伺服器端消息可以是隨機數，對該隨機數進行加密即可得到伺服器端 密文。伺服器端採用的加密算法可以為非對稱算法或者對稱算法。以非對稱算法為例，考 慮到一個伺服器端往往對應多個客戶端，為了降低伺服器端的工作量，可以採用伺服器端 和該客戶端上一次認證過程中生成的伺服器端共享密鑰對該隨機數進行加密。步驟106，伺服器端向客戶端發送第一響應，其中第一響應包括伺服器端密文。步驟108，伺服器端接收客戶端返回的第二消息，第二消息包括伺服器端消息；其 中第二消息中的伺服器端消息由客戶端對伺服器端密文解密後得到。客戶端對伺服器端密文解密時，可以採用伺服器端和該客戶端上一次認證過程中 生成的客戶端私鑰來解密。進一步地，第二消息中還可以包括客戶端第一密文，本實施例中客戶端第一密文 由客戶端對客戶端消息進行加密後得到。客戶端消息也可以是一個隨機數，在進行加密時， 可以採用伺服器端和該客戶端上一次認證過程中生成的客戶端共享密鑰對該隨機數進行 加密，得到客戶端第一密文。步驟110，伺服器端驗證接收到的伺服器端消息和伺服器端本地保存的伺服器端
消息一致。為驗證客戶端是否可信，伺服器端可以通過驗證客戶端能否正確解密伺服器端密 文來進行。具體來說，伺服器驗證客戶端返回的伺服器端消息(即第二消息中包括的服務 器端消息)是否與伺服器端本地保存的伺服器端消息一致。步驟112，若伺服器端接收到的伺服器端消息和伺服器端本地保存的伺服器端消息一致，則伺服器端確認客戶端可信。在伺服器端接收到的伺服器端消息和伺服器端本地保存的伺服器端消息一致時，伺服器端認為客戶端可以正確解密伺服器端密文，從而認為客戶端是可信的。進一步地，若第二消息中還可以包括客戶端第一密文，則伺服器端還可以對客戶 端第一密文進行解密得到客戶端消息，並發送第二響應給客戶端，其中第二響應包括該解 密後得到的客戶端消息。通過向客戶端發送客戶端消息可以起到由客戶端來驗證伺服器端 是否可信的作用。本實施例中伺服器端向客戶端發送加密後的伺服器端消息即伺服器端密文，並驗 證客戶端返回的伺服器端消息和伺服器端本地保存的客戶端消息是否一致，若一致，則確 認客戶端可以正確解密，從而確認客戶端可信。該方法可以有效驗證客戶端的合法性，減少 或避免伺服器端遭受的非法攻擊，提高網絡應用的安全性需要指出的是，本發明實施例除應用於網際網路之外，還可以應用於支持DHCP協議 和I P協議的通信網絡系統，例如無線通信網絡，其中客戶端具體可以是基站，伺服器端具 體可以是基站控制器，或者是其它應用方式，本發明實施例對此不作限定。請參閱圖2，圖2為本發明實施例提供的另一種DHCP安全通信方法。該方法主要 包括如下步驟。其中步驟202-206與步驟102-106大致相同，具體可參見上一實施例，此處不再詳 述。步驟208，伺服器端接收客戶端返回的第二消息，第二消息包括客戶端第二密文； 其中客戶端第二密文由客戶端對伺服器端消息和客戶端消息的組合進行加密得到，伺服器 端消息由客戶端對伺服器端密文解密後得到。伺服器端消息、客戶端消息均可以是一個隨機數，將伺服器端消息和客戶端消息 組合後得到一個隨機數串，對該隨機數串進行加密得到客戶端第二密文。如果採用的是非 對稱算法，可以採用伺服器端和該客戶端上一次認證過程中生成的客戶端共享密鑰對該隨 機數串進行加密。步驟210，伺服器端解密客戶端第二密文，得到伺服器端消息。伺服器端解密客戶端第二密文後，得到伺服器端消息和客戶端消息的組合，例如 一個隨機數串，進而可以根據該組合的結構得到伺服器端消息和客戶端消息。通常在一個消息中，會包含如下部分消息類型，消息長度和消息內容。伺服器端 消息和客戶端消息在進行組合時，一種組合結構可以是伺服器端消息類型，伺服器端消息 長度，伺服器端消息內容，客戶端消息類型，客戶端消息長度，客戶端消息內容。或者可以是 其它組合結構，例如將客戶端消息置於伺服器端消息之前，本發明實施例對此不作限定。在進行解密時，還是以非對稱算法為例進行說明，由於客戶端採用伺服器端和該 客戶端上一次認證過程中生成的客戶端共享密鑰對該隨機數串進行加密，相應地，伺服器 端可以採用伺服器端和該客戶端上一次認證過程中生成的伺服器端私鑰對該隨機數串進 行解密。步驟212，伺服器端驗證解密後得到的伺服器端消息和伺服器端本地保存的服務 器端消息是否一致。為驗證客戶端是否可信，伺服器端可以通過驗證客戶端能否正確解密伺服器端密文來進行。具體來說，伺服器解密客戶端返回的第二消息得到伺服器端消息後，驗證該解密 後得到的伺服器端消息是否與伺服器端本地保存的伺服器端消息一致。步驟214，若伺服器端解密後得到的伺服器端消息和伺服器端本地保存的伺服器 端消息一致，則伺服器端確認客戶端可信。在伺服器端解密後得到的伺服器端消息和伺服器端本地保存的伺服器端消息一 致時，伺服器端認為客戶端可以正確解密伺服器端密文，從而認為客戶端是可信的。
本實施例中伺服器端向客戶端發送加密後的伺服器端消息即伺服器端密文，並解 密客戶端返回的第二消息，通過比較解密得到的伺服器端消息和伺服器端本地保存的客戶 端消息是否一致，來確認客戶端是否可以正確解密，從而確認客戶端是否可信。該方法可以 有效驗證客戶端的合法性，減少或避免伺服器端遭受的非法攻擊，提高網絡應用的安全性。請參閱圖3，圖3為本發明實施例提供的另一種DHCP安全通信方法。該方法主要 包括如下步驟。步驟302，客戶端向伺服器端發送第一消息，其中第一消息包括接入挑戰請求，所 述接入挑戰請求用於請求伺服器端對該客戶端進行認證。步驟304，客戶端接收伺服器端返回的第一響應，第一響應包括伺服器端密文。伺服器端密文由伺服器端對伺服器端消息進行加密得到。在具體應用時，伺服器 端消息可以是隨機數，對該隨機數進行加密即可得到伺服器端密文。伺服器端採用的加密 算法可以為非對稱算法或者對稱算法。以非對稱算法為例，考慮到一個伺服器端往往對應 多個客戶端，為了降低伺服器端的工作量，可以採用伺服器端和該客戶端上一次認證過程 中生成的伺服器端共享密鑰對該隨機數進行加密。步驟306，客戶端解密所述伺服器端密文得到伺服器端消息，並生成客戶端第一密 文或客戶端第二密文。客戶端生成客戶端消息，對客戶端消息進行加密得到客戶端第一密文；或者客戶 端對伺服器端消息和客戶端消息的組合進行加密得到客戶端第二密文。在具體應用時，客戶端消息可以是一個隨機數。對該隨機數進行加密，得到客戶端 第一密文；或者將伺服器端消息和客戶端消息組合後得到一個隨機數串，對該隨機數串進 行加密得到客戶端第二密文，以非對稱算法為例進行說明，在進行加密時，可以採用伺服器 端和該客戶端上一次認證過程中生成的客戶端共享密鑰進行加密。步驟308，客戶端向伺服器端發送第二消息，第二消息包括伺服器端消息和客戶端 第一密文，或者第二消息包括客戶端第二密文。以非對稱算法為例，在實際應用時，在步驟308之前，客戶端在本次認證過程中還 可以重新生成一個客戶端私鑰和客戶端公鑰(即生成一個新的客戶端私鑰和一個新的客 戶端公鑰)，具體算法可以參考現有技術，此處不再詳述。客戶端可以進一步保存該重新生成的客戶端私鑰。客戶端還可以在第二消息中攜帶該新的客戶端公鑰，以保證伺服器端能夠在本次 認證過程中根據該新的客戶端公鑰來生成一個新的伺服器端共享密鑰。步驟310，客戶端接收伺服器端返回的第二響應，第二響應包括客戶端消息。伺服器端在接收到第二消息後，若驗證出第二消息中包含的伺服器端消息和服務 器端本地保存的伺服器端消息一致，會確認客戶端可信。進一步地，伺服器端會對客戶端第一密文進行解密得到伺服器端消息；伺服器端將對客戶端第一密文解密後得到的伺服器端 消息發送給客戶端，以便客戶端可以來驗證伺服器端是否可信。或者伺服器端在接到第二消息後，對客戶端第二密文解密得到伺服器端消息和客 戶端消息，並驗證出解密後得到的伺服器端消息和伺服器端本地保存的伺服器端消息一致 時，會確認客戶端可信。進一步地，伺服器端將對客戶端第二密文解密後得到的伺服器端消 息發送給客戶端，以便客戶端可以來驗證伺服器端是否可信。步驟312，客戶端驗證接收到的客戶端消息和客戶端本地保存的客戶端消息是否一致。步驟314，若客戶端接收到的客戶端消息和客戶端本地保存的客戶端消息一致，則 客戶端確認伺服器端可信。在客戶端接收到的客戶端消息和客戶端本地保存的客戶端消息一致時，客戶端認 為伺服器端可以正確解密客戶端密文，從而認為伺服器端是可信的。在實際應用時，為了進一步加強伺服器端和客戶端之間的安全通信，步驟310中 的客戶端消息也可以是伺服器端重新加密後的客戶端消息，伺服器端在加密時可以利用上 一次認證過程中生成的伺服器端共享密鑰；相應地，對客戶端而言，利用上一次認證過程中 客戶端生成的私鑰來進行解密。或者，伺服器端在加密時也可以利用本次認證過程中生成 的伺服器端共享密鑰，這時伺服器端還需要進一步將本次認證過程中生成的新的伺服器端 公鑰發給客戶端，客戶端基於該新的伺服器端公鑰生成一個新的客戶端共享密鑰，即本次 認證過程中生成的客戶端共享密鑰。此外，在步驟310中，第二響應中還可以包括伺服器端分配給客戶端的IP位址；則 在步驟314中客戶端確認伺服器端可信之後還可以包括客戶端獲取該IP位址，與伺服器 端建立連接。本實施例中在伺服器端通過對客戶端的認證之後，進一步由客戶端來對伺服器端 進行認證，能夠進一步加強伺服器端和客戶端之間的安全通信。請參閱圖4，圖4為本發明實施例提供的另一種DHCP安全通信方法。該實施例中 採用的加密算法為非對稱算法。該方法主要包括如下步驟。步驟402，客戶端向伺服器端發送第一消息，其中第一消息包括接入挑戰請求，所 述接入挑戰請求用於請求伺服器端對該客戶端進行認證。 考慮到和DHCP協議的兼容，本實施例中第一消息可以是DHCPDISC0VER/0PTI0N消 息。進一步地，該DHCP DISCOVER/OPTION消息中還可以攜帶客戶端ID，時間戳。步驟404，伺服器端生成伺服器端消息並加密，以及生成伺服器端第一信息摘要。本實施例中伺服器端消息可以是隨機數s，對隨機數s進行加密即可得到伺服器 端密文。伺服器端第一信息摘要可以用於防止伺服器端密文被篡改。考慮到一個伺服器端往往對應多個客戶端，為了降低伺服器端的工作量，可以採 用伺服器端和該客戶端上一次認證過程中生成的伺服器端共享密鑰對隨機數s進行加密。步驟406，伺服器端向客戶端發送第一響應，其中第一響應包括伺服器端密文和服 務器端第一信息摘要。這裡，第一響應可以是DHCP OFFER/OPTION消息。步驟408，客戶端對伺服器端密文進行解密，得到伺服器端消息。客戶端生成客戶端消息，對伺服器端消息和客戶端消息的組合進行加密得到客戶端第二密文。客戶端還生 成客戶端信息摘要。此外，客戶端還生成客戶端公鑰和客戶端私鑰。顯然，步驟408中所生成的客戶端公鑰和客戶端私鑰在本次認證過程中生成的新 的客戶端公鑰和客戶端私鑰。客戶端信息摘要可以用於防止客戶端第二密文被篡改。本實施例中客戶端消息可以是隨機數C，伺服器端消息和客戶端消息的一種組合 為C-S，即將隨機數C和隨機數S進行合併得到隨機數串C-S，對隨機數C-S進行加密得到 客戶端第二密文，例如可以採用伺服器端和該客戶端上一次認證過程中生成的客戶端共享 密鑰對該隨機數串C-S進行加密。步驟410，客戶端向伺服器端發送第二消息，第二消息包括客戶端第二密文，客戶 端公鑰和客戶端信息摘要。具體實現時，第二消息可以是DHCP REQUEST/OPTION消息，該DHCPREQUEST/ OPTION消息攜帶客戶端公鑰、客戶端信息摘要以及加密後的隨機數串c-s。步驟412，伺服器端解密客戶端第二密文，得到伺服器端消息和客戶端消息，在該 解密後得到的伺服器端消息和伺服器端本地保存的伺服器端消息一致時，確認客戶端可
fn °具體地，在進行解密時，採用上一次伺服器端和該客戶端認證過程中生成的服務 器端私鑰對該隨機數串C-S進行加密，得到隨機數C和隨機數S，若隨機數S沒有發生改變， 則確認客戶端可信。伺服器端還生成伺服器端公鑰和伺服器端私鑰，以及生成伺服器端第二信息摘要。此外，伺服器端根據客戶端公鑰生成伺服器端共享密鑰；進一步地，伺服器端利用 該伺服器端共享密鑰對客戶端消息例如隨機數c進行加密。步驟414，伺服器端向客戶端返回第二響應，第二響應包括伺服器端公鑰，加密後 的客戶端消息，以及伺服器端第二信息摘要。伺服器端第二信息摘要用於防止加密後的客戶端消息被篡改。具體地，第二響應可以是DHCP ACK消息，該DHCP ACK消息攜帶伺服器端公鑰，力口 密後的隨機數c，以及伺服器端第二信息摘要。步驟416，客戶端進行解密得到客戶端消息，在該解密後得到的客戶端消息和客戶 端本地保存的客戶端消息一致時，確認伺服器端可信。具體地，在進行解密時，客戶端利用本次認證過程中生成的客戶端私鑰(即步驟 408中生成的客戶端私鑰)進行解密，得到隨機數c，若隨機數c沒有發生改變，則確認服務
器端可信。本實施例中對伺服器端來說，可以有效驗證客戶端的合法性，對客戶端來說，可以 有效驗證伺服器端的合法性，從而保證客戶端和伺服器端之間的安全通信，減少或避免服 務器端遭受的非法攻擊，提高網絡應用的安全性。圖5為本發明實施例提供的一種伺服器端裝置結構示意圖。該裝置主要包括第一接收模塊502，生成模塊504，第一發送模塊506，第二接收模塊508以及驗證模塊510。其中第一接收模塊502，用於接收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器端對該客戶端進行認證；生成模塊504，用於在第 一接收模塊502接收到接入挑戰請求後生成伺服器端密文；第一發送模塊506，用於向客戶 端發送第一響應，第一響應包括生成模塊504生成的伺服器端密文；第二接收模塊508，用 於接收客戶端返回的第二消息，第二消息包括客戶端對伺服器端密文進行解密後得到的服 務器端消息；驗證模塊510，用於驗證第二消息中的伺服器端消息和伺服器端本地保存的 伺服器端消息是否一致，在一致時確認客戶端可信。其中生成模塊504在生成伺服器端密文時，生成伺服器端消息並進行加密得到伺服器端密文，例如對非對稱算法來說，可以採用伺服器端和該客戶端上一次認證過程中生 成的伺服器端共享密鑰對該隨機數進行加密。若第二消息中還包括客戶端第一密文，則伺服器端還可以包括解密模塊以及第二 發送模塊，其中解密模塊用於在驗證模塊510確認客戶端可信後，對客戶端第一密文進行 解密得到客戶端消息，第二發送模塊用於發送第二響應給客戶端，其中第二響應包括客戶 端消息。本實施例中伺服器端向客戶端發送加密後的伺服器端消息即伺服器端密文，並驗 證客戶端返回的伺服器端消息和伺服器端本地保存的客戶端消息是否一致，若一致，則確 認客戶端可以正確解密，從而確認客戶端可信。該方法可以有效驗證客戶端的合法性，減少 或避免伺服器端遭受的非法攻擊，提高網絡應用的安全性圖6為本發明實施例提供的另一種伺服器端裝置結構示意圖。該裝置主要包括 第一接收模塊602，生成模塊604，第一發送模塊606，第二接收模塊608，解密模塊610以及 驗證模塊612。其中第一接收模塊602，用於接收客戶端發送的第一消息，第一消息包括接入挑 戰請求，所述接入挑戰請求用於請求伺服器端對該客戶端進行認證；生成模塊604，用於在 第一接收模塊接收到接入挑戰請求後生成伺服器端密文；第一發送模塊606，用於向客戶 端發送第一響應，第一響應包括生成模塊604生成的伺服器端密文；第二接收模塊608，用 於接收客戶端返回的第二消息，第二消息包括客戶端第二密文；其中客戶端第二密文由客 戶端對伺服器端消息和客戶端消息的組合進行加密得到，伺服器端消息由客戶端對伺服器 端密文解密後得到；解密模塊610，用於解密客戶端第二密文得到伺服器端消息；驗證模塊 612，用於驗證解密後得到的伺服器端消息和伺服器端本地保存的伺服器端消息是否一致， 若一致時確認客戶端可信。其中生成模塊602在生成伺服器端密文時，生成伺服器端消息並進行加密得到服 務器端密文，例如對非對稱算法來說，可以採用伺服器端和該客戶端上一次認證過程中生 成的伺服器端共享密鑰對該隨機數進行加密。由於解密模塊610解密客戶端第二密文除得到伺服器端消息外，還可以得到客戶 端消息，因而伺服器端還可以進一步包括第二發送模塊，用於發送第二響應給客戶端，其中 第二響應包括客戶端消息。本實施例中伺服器端向客戶端發送加密後的伺服器端消息即伺服器端密文，並解 密客戶端返回的第二消息，通過比較解密得到的伺服器端消息和伺服器端本地保存的客戶 端消息是否一致，來確認客戶端是否可以正確解密，從而確認客戶端是否可信。該方法可以 有效驗證客戶端的合法性，減少或避免伺服器端遭受的非法攻擊，提高網絡應用的安全性。
圖7為本發明實施例提供的一種客戶端裝置結構示意圖。該裝置主要包括第一發送模塊702，第一接收模塊704，第一解密模塊706，生成模塊708，加密模塊710，第二發送 模塊712，第二接收模塊714，驗證模塊716。其中，第一發送模塊702用於向伺服器端發送第一消息，第一消息包括接入挑戰 請求，所述接入挑戰請求用於請求伺服器端對該客戶端進行認證；第一接收模塊704，用於 接收伺服器端返回的第一響應，第一響應包括伺服器端密文；第一解密模塊706，用於對服 務器端密文進行解密得到伺服器端消息；生成模塊708，用於生成客戶端消息；加密模塊 710，用於對客戶端消息進行加密得到客戶端第一密文或者對伺服器端消息和客戶端消息 的組合進行加密得到客戶端第二密文；第二發送模塊712，用於向伺服器端發送第二消息， 第二消息包括伺服器端消息和客戶端第一密文，或者第二消息包括客戶端第二密文；第二 接收模塊714，用於接收伺服器端返回的第二響應，第二響應包括客戶端消息，其中客戶端 消息由伺服器端對客戶端第一密文或客戶端第二密文解密後得到；驗證模塊716，用於驗 證接收到的客戶端消息與客戶端本地保存的客戶端消息是否一致，在一致時確認伺服器端 可信。進一步地，若第二響應中的客戶端消息為伺服器端重新加密後的客戶端消息；則 所述客戶端裝置還包括第二解密模塊，用於對所述重新加密後的客戶端消息進行解密。驗 證模塊716用於確認解密後得到的客戶端消息與客戶端本地保存的客戶端消息是否一致， 在一致時確認伺服器端可信。此外，若第二響應中還包括伺服器端分配給客戶端的IP位址，則客戶端裝置還可 以包括連接建立模塊，用於獲取伺服器端分配給客戶端的IP位址，並與伺服器端建立連 接。本實施例中在伺服器端通過對客戶端的認證之後，向客戶端返回客戶端消息，由 客戶端來驗證該返回的客戶端消息是否保持不變，從而實現對伺服器端的認證，能夠進一 步加強伺服器端和客戶端之間的安全通信。此外，本發明實施例還提供了一種系統，該系統包括有伺服器端裝裝置和客戶端 裝置。其中，客戶端裝置或伺服器端裝孩子具體實現方式可以參照上述實施例，此處不再詳 敘。本領域普通技術人員可以理解實現上述所有實施例方法中的全部或部分步驟是 可以通過程序來指令相關的硬體完成，該程序可以存儲於一種計算機可讀存儲介質中。最後應說明的是以上實施例僅用以說明本發明的技術方案，而非對其限制；盡 管參照前述實施例對本發明進行了詳細的說明，本領域的普通技術人員應當理解其依然 可以對前述各實施例所記載的技術方案進行修改，或者對其中部分技術特徵進行等同替 換；而這些修改或者替換，並不使相應技術方案的本質脫離本發明各實施例技術方案的精 神和範圍。
權利要求
一種DHCP安全通信方法，其特徵在於，包括伺服器端接收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用於請求伺服器端對該客戶端進行認證；伺服器端生成伺服器端消息，並進行加密得到伺服器端密文；伺服器端向客戶端發送第一響應，第一響應包括伺服器端密文；伺服器端接收客戶端返回的第二消息，第二消息包括伺服器端消息，第二消息中的伺服器端消息由客戶端對伺服器端密文解密後得到；伺服器端驗證第二消息中的伺服器端消息和伺服器端本地保存的伺服器端消息是否一致，若一致則伺服器端確認客戶端可信。
2.根據權利要求1所述的方法，其特徵在於，所述第二消息還包括客戶端第一密文，所 述方法還包括伺服器端解密客戶端第一密文得到客戶端消息；伺服器端發送第二響應給客戶端，第二響應包括客戶端消息。
3.—種DHCP安全通信方法，其特徵在於，包括伺服器端接收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接入挑戰請 求用於請求伺服器端對該客戶端進行認證；伺服器端生成伺服器端消息，並進行加密得到伺服器端密文； 伺服器端向客戶端發送第一響應，第一響應包括伺服器端密文； 伺服器端接收客戶端返回的第二消息，第二消息包括客戶端第二密文；其中客戶端第 二密文由客戶端對伺服器端消息和客戶端消息的組合進行加密得到，伺服器端消息由客戶 端對伺服器端密文解密後得到；伺服器端解密客戶端第二密文得到伺服器端消息；伺服器端驗證解密後得到的伺服器端消息和伺服器端本地保存的伺服器端消息是否 一致，若一致則伺服器端確認客戶端可信。
4.根據權利要求3所述的方法，其特徵在於，伺服器端解密客戶端第二密文後還得到 客戶端消息，所述方法還包括伺服器端發送第二響應給客戶端，第二響應包括客戶端消息。
5.一種DHCP安全通信方法，其特徵在於，包括客戶端向伺服器端發送第一消息，第一消息包括接入挑戰請求，所述接入挑戰請求用 於請求伺服器端對該客戶端進行認證；客戶端接收伺服器端返回的第一響應，第一響應包括伺服器端密文； 客戶端解密所述伺服器端密文得到伺服器端消息，客戶端生成客戶端消息，以及對客 戶端消息進行加密得到客戶端第一密文或者對伺服器端消息和客戶端消息的組合進行加 密得到客戶端第二密文；客戶端向伺服器端發送第二消息，第二消息包括伺服器端消息和客戶端第一密文，或 者第二消息包括客戶端第二密文；客戶端接收伺服器端返回的第二響應，第二響應包括客戶端消息，第二響應中的客戶 端消息由伺服器端對客戶端第一密文或客戶端第二密文解密後得到；客戶端驗證接收到的客戶端消息與客戶端本地保存的客戶端消息是否一致；若是，則客戶端確認伺服器端可信。
6.根據權利要求5所述的方法，其特徵在於，第二響應中的客戶端消息為伺服器端重 新加密後的客戶端消息；在所述驗證之前所述方法還包括客戶端對重新加密後的客戶端消息進行解密。
7.根據權利要求5所述的方法，其特徵在於，第二響應中還包括伺服器端分配給客戶 端的IP位址；客戶端確認伺服器端可信之後所述方法還包括 客戶端獲取該IP位址，與伺服器端建立連接。
8.一種伺服器端裝置，其特徵在於，包括第一接收模塊，用於接收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接 入挑戰請求用於請求伺服器端對該客戶端進行認證；生成模塊，用於在第一接收模塊接收到接入挑戰請求後生成伺服器端密文； 第一發送模塊，用於向客戶端發送第一響應，第一響應包括生成模塊生成的伺服器端 密文；第二接收模塊，用於接收客戶端返回的第二消息，第二消息包括客戶端對伺服器端密 文進行解密後得到的伺服器端消息；驗證模塊，用於驗證第二消息中的伺服器端消息和伺服器端本地保存的伺服器端消息 是否一致，在一致時確認客戶端可信。
9.根據權利要求8所述的伺服器端裝置，其特徵在於，若第二消息中還包括客戶端第 一密文，則伺服器端裝置還包括解密模塊，用於在驗證模塊確認客戶端可信後，對客戶端第一密文進行解密得到客戶 端消息；第二發送模塊，用於發送第二響應給客戶端，其中第二響應包括客戶端消息。
10.一種伺服器端裝置，其特徵在於，包括第一接收模塊，用於接收客戶端發送的第一消息，第一消息包括接入挑戰請求，所述接 入挑戰請求用於請求伺服器端對該客戶端進行認證；生成模塊，用於在第一接收模塊接收到接入挑戰請求後生成伺服器端密文； 第一發送模塊，用於向客戶端發送第一響應，第一響應包括生成模塊生成的伺服器端 密文；第二接收模塊，用於接收客戶端返回的第二消息，第二消息包括客戶端第二密文；其中 客戶端第二密文由客戶端對伺服器端消息和客戶端消息的組合進行加密得到，伺服器端消 息由客戶端對伺服器端密文解密後得到；解密模塊，用於解密客戶端第二密文得到伺服器端消息；驗證模塊，用於驗證解密模塊解密得到的伺服器端消息和伺服器端本地保存的伺服器 端消息是否一致，若一致時確認客戶端可信。
11.根據權利要求10所述的伺服器端裝置，其特徵在於，若第二消息中還包括客戶端 第一密文，則伺服器端還包括第二發送模塊，用於發送第二響應給客戶端，其中第二響應包括客戶端消息，其中客戶端消息由解密模塊解密客戶端第二密文得到。
12.—種客戶端裝置，其特徵在於，包括第一發送模塊，用於向伺服器端發送第一消息，第一消息包括接入挑戰請求，所述接入 挑戰請求用於請求伺服器端對該客戶端進行認證；第一接收模塊，用於接收伺服器端返回的第一響應，第一響應包括伺服器端密文； 第一解密模塊，用於對伺服器端密文進行解密得到伺服器端消息； 生成模塊，用於生成客戶端消息；加密模塊，用於對客戶端消息進行加密得到客戶端第一密文或者對伺服器端消息和客 戶端消息的組合進行加密得到客戶端第二密文；第二發送模塊，用於向伺服器端發送第二消息，第二消息包括伺服器端消息和客戶端 第一密文，或者第二消息包括客戶端第二密文；第二接收模塊，用於接收伺服器端返回的第二響應，第二響應包括客戶端消息，第二響 應中的客戶端消息由伺服器端對客戶端第一密文或客戶端第二密文解密後得到；驗證模塊，用於驗證第二接收模塊接收到的客戶端消息與客戶端本地保存的客戶端消 息是否一致，在一致時確認伺服器端可信。
13.根據權利要求12所述的客戶端裝置，其特徵在於，所述第二響應中還包括伺服器 端分配給客戶端的IP位址；所述客戶端裝置還包括連接建立模塊，用於獲取伺服器端分配給客戶端的IP位址，並與伺服器端建立連接。
14.根據權利要求12所述的客戶端裝置，其特徵在於，第二響應中的客戶端消息為服 務器端重新加密後的客戶端消息；所述客戶端裝置還包括第二解密模塊，用於對所述第二接收模塊接收到的重新加密後的客戶端消息進行解密；所述驗證模塊，用於驗證第二解密模塊解密後得到的客戶端消息與客戶端本地保存的 客戶端消息是否一致，在一致時確認伺服器端可信。
15.一種系統，包括伺服器端裝置，以及如權利要求12-14中任意一項所述的客戶端裝置。
全文摘要
本發明實施例提供一種DHCP安全通信方法，包括伺服器端接收客戶端發送的第一消息，第一消息包括接入挑戰請求，用於請求伺服器端對該客戶端進行認證；伺服器端生成伺服器端消息，並進行加密得到伺服器端密文；伺服器端向客戶端發送第一響應，第一響應包括伺服器端密文；伺服器端接收客戶端返回的第二消息，第二消息包括伺服器端消息，其中伺服器端消息由客戶端對伺服器端密文解密後得到；伺服器端驗證第二消息中的伺服器端消息和伺服器端本地保存的伺服器端是否消息一致，若一致則伺服器端確認客戶端可信。此外，本發明實施例還提供一種伺服器端裝置和客戶端裝置。
文檔編號H04L29/06GK101827106SQ201010166238
公開日2010年9月8日 申請日期2010年4月29日 優先權日2010年4月29日
發明者徐煒 申請人:華為技術有限公司