关键词:
计算机网络
网络传输层
链式验证
恶意报文注入
摘要:
传输层是网络协议栈的关键组成部分,负责为不同主机间的应用程序提供端到端的服务.已有的传输层协议如TCP等为用户提供了基本的差错控制和确认应答等安全保护机制,在一定程度上保证了不同主机间应用程序收发报文的一致性.但现有的传输层安全保护机制存在严重的缺陷,如TCP报文的序列号容易被猜测推理,报文校验和的计算依赖于有漏洞的补码求和算法等.这导致现有的传输层安全机制并不能保证报文的完整性和安全性,从而允许一个远程的攻击者伪造出一个报文,注入到目标网络流中,对目标网络流形成污染或攻击.针对传输层的攻击发生在网络协议栈的基础层次,可以旁路掉上层应用的安全保护机制,对网络基础设施造成严重的危害.深入研究近年来针对网络协议栈的各种攻击和相关安全漏洞,提出一种基于轻量级链式验证的传输层安全性增强方法LightCTL.所提方法基于哈希验证的方式,使TCP连接双方能够对传输层报文形成彼此可验证的共识,避免攻击者或中间人窃取和伪造敏感信息,从而解决网络协议栈面临的典型安全威胁,包括基于序列号推理的TCP连接重置攻击、TCP劫持攻击、SYN洪泛攻击、中间人攻击、报文重放攻击等.LightCTL不需要修改中间网络设备如路由器等的协议栈,只需对终端协议栈中的校验和相关部分进行修改,因此方法易于部署,同时显著提升了网络系统的安全性.