CN101188498B - 一种通信终端及通信方法 - Google Patents

Abstract

一种通信终端及其通信方法，其中，该通信方法包括以下步骤：与最高安全等级通信网络建立通信连接；判断是否对通信数据进行加密；若判断结果为不加密通信数据，通过最高安全等级通信网络传输通信数据。本发明可选择安全程度高的网络进行通信数据传输；防止通信双方在建立通信连接时遭到中间人的攻击。

Description

一种通信终端及通信方法

技术领域

本发明关于通信技术，特别关于通信网路的数据安全传输，具体的讲是一种通信终端及通信方法。

背景技术

如图1所示，中间人攻击(Man-in-the-Middle Attack，简称“MITM攻击”)是一种“间接”的入侵攻击，这种攻击模式是通过各种技术手段将由入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为“中间人”。然后入侵者把这台计算机模拟一台或两台原始计算机，使“中间人”能够与原始计算机建立活动连接并允许其读取或篡改传递的信息，然而两个原始计算机用户却认为他们是在互相通信，因而这种攻击方式并不很容易被发现。所以中间人攻击很早就成为了一种攻击手段，并且一直到今天还具有极大的扩展空间。

MITM攻击在网络安全方面中使用非常广泛的，例如：会话劫持、DNS欺骗等技术都是典型的MITM攻击手段。如今，MITM攻击已成为对网上银行、网络游戏、网上交易等网络通信业务最有威胁并且最具破坏性的一种攻击方式。随着IP通信方式的发展，电信的IP化程度越来越高，运营商级和企业级的电信***遭受此类攻击的可能性也会不断提高。

为避免中间人攻击，现有技术通过采用的公钥基础设施(PKI：Public KeyInfrastructure)提供公钥加密、数字签名服务的***或平台，进行密钥和证书管理。一个第三方机构通过采用PKI框架管理密钥和证书可以建立一个安全的网络环境。

***中存在的第三方的机构，认证中心(CA：Certificate Authority)对所有参与方的公钥进行签名认证，当密钥的接收方收到一个公钥的签名证书的时候，他会将这份证书交给上述的第三方进行认证，由于攻击者无法修改这个公钥的签名，所以也无法替换双方交换的公钥，导致其无法完成中间人攻击。

但由于PKI体系建立比较复杂，现阶段内并非所有的***都部署了PKI，同时PKI中的认证中心(CA)会有分级设置的方式，较为低级的认证中心(CA)同样也面临着安全方面的风险。而且PKI还需要得到终端的支持，若终端无法支持PKI，那么用户在没有部署PKI的环境中的通信连接将面临很大的安全问题。

发明内容

本发明实施例提供了一种通过选择具有最高安全等级值的通信网络建立网络连接并传输通信数据的通信方法。本发明实施例还提供了一种利用通信网络安全等级值选择通信网络建立通信连接以进行通信数据传输及密钥交换的通信终端。本发明实施例提供了一种通信方法，该通信方法包括以下步骤：发送探测报文至通信网络的节点设备；接收所述节点设备发送的安全等级报文；根据所述安全等级报文中携带的节点设备信息来判断通信网络的安全等级值；根据所述通信网络的所述安全等级值来确定最高安全等级通信网络；与所述最高安全等级通信网络建立通信连接；判断是否对通信数据进行加密；若判断结果为不加密通信数据，通过最高安全等级通信网络传输通信数据。本发明实施例提供了一种通信方法，该通信方法包括以下步骤：发送探测报文至通信网络的节点设备；接收所述节点设备发送的安全等级报文；根据所述安全等级报文中携带的通信网络类型和通信网络通信方式来判断所述通信网络的安全等级值；根据所述通信网络的所述安全等级值来确定最高安全等级通信网络。与所述最高安全等级通信网络建立通信连接；判断是否对通信数据进行加密；若判断结果为不加密通信数据，通过所述最高安全等级通信网络传输所述通信数据。

本发明实施例还提供了一种通信终端，该通信终端包括：存储单元，控制单元，网络切换单元，通信单元；存储单元，存储安全等级值列表及密钥；存储安全等级值列表用于记录通信网络数据以及与通信网络数据对应的安全等级值；控制单元包括列表读取单元和切换信号生成单元，列表读取单元用于读取安全等级值列表中与最高的安全等级值对应的通信网络数据至切换信号生成单元；切换信号生成单元，根据接收的通信网络数据生成网络切换信号并输出至网络切换单元；网络切换单元，与网络切换信号对应的通信网络建立通信连接；

通信单元，与建立通信连接的通信网络交换密钥以及通过建立通信连接的通信网络发送/接收的通信数据。

本发明实施例的有益效果在于，通信终端可通过内部存储的网络安全等级值或通过检测的通信网络的网络安全等级值感知网络的安全程度，进而选择安全程度最高的网络进行通信数据传输。此外，本发明实施例通过不同的通信网络进行密钥交换以及通信数据传输，在不利用复杂的PKI体系的前提下，同样能够防止通信双方在建立通信连接时遭到中间人的攻击。

附图说明

图1所示为中间人攻击示意图；

图2所示为本发明实施例的通信网络的架构示意图；

图3所示为图2中本发明实施例的安全网络进行数据通信的流程图。

图4所示为图2中本发明实施例的通信终端的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明实施方式做进一步详细说明。在此，本发明的示意性实施方式及其说明是用于解释本发明，但并不作为对本发明的限定。

图2为本发明实施方式中的安全通信***的架构示意图。如图2所示，该***架构中的各通信终端如果使用安全通信方式进行会话建立则均需要在通信终端所连接的两个或者两个以上的通信网络中选择一通信网络作为接入网以接入***架构中的基于IP的核心网(图2中未示)，需要说明的是，由于监听和窃取一般都是在接入侧完成。因而本发明实施方式中的核心网不应当只限于基于IP的核心网。本实施方式中的基于IP的核心网只是用于说明各通信终端可以通过各自不同的接入网接入同一个核心网实现相互之间的数据通信和密钥交换。

各通信网络中可设置有用于评估通信网络安全等级值的网络安全评估装置，该网络安全等级值评估装置可单独设置(如：如图2所示的安全评估装置)，也可合设于基站等其它网络设备中(图2中未示)。虽然图2中仅在无线局域网和局域网中设置了网络安全等级值评估装置，但该网络安全等级值评估装置亦可设置于图2所示的安全通信***的其它通信网络中。

以下，将参照图2、图3详细说明本发明的通信方法实施方式的实施过程：

当通信终端，如计算机与智能终端，进行数据传输时，获得各自连接的各通信网络对应的安全等级值。计算机与智能终端分别选择与各自连接的通信网络中的最高安全等级通信网络建立通信连接。当计算机与智能终端分别与各自的最高安全等级通信网络建立通信连接后，计算机与智能终端判断是否需要对通信数据进行加密传输。

当计算机与智能终端不需要对通信数据进行加密传输时，通信终端双方可直接通过已建立通信连接的最高安全等级通信网络进行数据传输。当计算机与智能终端间的通信数据传输结束后，计算机与智能终端断开已建立通信连接的通信网络，以便在下次通信数据传输之前，重新选择具有最高安全等级通信网络建立通信连接并传输通信数据。通信终端间传输的通信数据的通信内容包括但不限于各种文本文件，视音频文件，二进制文件，流媒体等。

当通信双方需要对通信数据进行加密传输时，计算机与智能终端选择各自已建立通信连接的最高安全等级的通信网络作为密钥交换网络，进行密钥交换。当通信双方的密钥交换完成后，计算机与智能终端分别断开与各自密钥交换网络建立的通信连接并将交换的密钥进行本地存储。之后，通信双方的通信终端选择与各自密钥交换网络不同的通信网络传输通信数据。当计算机与智能终端完成通信数据传输后，通信终端双方再次断开通信连接，并利用本地存储的密钥对接收的通信数据进行解密。

以下将参照图2、图4，以计算机为例详细说明本发明实施方式选择最高安全等级通信网络建立通信连接，进行通信数据传输及密钥交换的实施过程：

如图4所示，通信终端包括：控制单元、存储单元、通信单元、网络切换单元以及网络安全等级值评估单元。其中，控制单元由列表读取单元和切换信号生成单元组成；安全等级值评估单元由探测报文发送模块、探测报文接收模块、安全等级值计算单元以及安全等级值比较模块组成；存储单元中存储有的安全等级值列表，该安全等级值列表用于存储通信终端连接的各通信网络的对应的安全等级值。各安全等级值可以通过数字的数值大小表示各通信网络安全等级的高低。

本实施方式中以计算机为例，说明本发明图2***中各通信终端选择最高安全等级通信网络并建立网络连接的过程：

实施方式一：

计算机的安全等级值评估单元的探测报文发送模块向电信网络、无线局域网、以及局域网的节点设备发送探测报文，如互联网控制消息协议(InternetControl Message Protocol，ICMP)报文、国际互联网协议(Internet GroupMessage Protocol，IGMP)报文、简单网络管理协议(Simple Network ManagementProtocol，SNMP)报文，以请求获得上述通信网络的节点设备的设备信息。

电信网络的电信交换机、无线局域网的无线接入点、以及局域网的路由器收到探测报文后，电信交换机发送携带TDM(时分复用)设备类型(电信交换机的设备类型，现有的PSTN网络中的所有的设备都是TDM类型的，包括不同电话机和交换局)的安全等级报文至计算机的探测报文接收模块，无线接入点发送携带无线设备类型(无线接入点设备类型)的安全等级报文至计算机的探测报文接收模块，路由器发送携带IP设备类型(局域网接入设备类型)安全等级报文至计算机的探测报文接收模块。计算机的探测报文接收模块将携带TDM设备类型安全等级报文、无线设备类型安全等级报文、IP设备类型安全等级报文转发至计算机的安全等级计算单元。

安全等级值计算单元根据电信交换机TDM设备类型、无线接入点安全等级报文中的无线设备类型、以及路由器安全等级报文中的IP设备类型计算分别与电信网络、无线局域网、以及局域网对应的安全等级值。由于TDM设备的安全性高于IP设备，而有线设备的安全性高于无线设备。假设安全等级值计算单元计算得到电信网络、局域网以及无线局域网的安全等级值从高到低分别为1、2、3(或A、B、C)。计算机的安全等级值计算单元将电信网络、局域网以及无线局域网的安全等级值输出至计算机的安全等级值比较单元。计算机的安全等级值比较单元比较得到电信网络的安全等级值最高。安全等级值比较单元生成电信网络数据并输出至计算机的切换信号生成单元。计算机的切换信号生成单元根据电信网络数据生成与电信网络对应的网络切换信号并输出至网络切换单元。网络切换单元与电信网络建立通信连接。计算机的通信单元通过电信网络进行交换密钥或传输通信数据。

实施方式二：

计算机的安全等级值评估单元的探测报文发送模块发送探测报文至电信网络的电信交换机、无线局域网的无线接入点、以及局域网的路由器。电信交换机、无线接入点以及路由器收到探测报文后，电信交换机发送携带的网络类型为公共开关电话网络(PSTN)，通信方式为模拟信号的(电信网络的网络类型为PSTN、通信方式为模拟信号)的安全等级报文至计算机的探测报文接收模块。无线接入点发送携带的网络类型为WiFi，通信方式为实时传输RTP)安全等级报文(无线局域网的网络类型为WiFi、通信方式为RTP)至计算机的探测报文接收模块，路由器发送携带网络类型为LAN，通信方式为IP的安全等级报文(局域网的网络类型为、通信方式为)至计算机的探测报文接收模块。安全等级值计算单元根据电信交换机安全等级报文、无线接入点安全等级报文以及路由器的安全等级报文中的网络类型和通信方式计算相应的安全等级值。安全等级值计算单元计算得到电信网络、局域网以及无线局域网的安全等级值从高到低分别为1、2、3(或A、B、C)。计算机的安全等级值计算单元将电信网络、局域网以及无线局域网的安全等级值输出至计算机的安全等级值比较单元。计算机的安全等级值比较单元比较得到电信网络的安全等级值最高。安全等级值比较单元生成电信网络数据并输出至计算机的网络切换单元。计算机的切换信号生成单元根据电信网络数据生成与电信网络对应的网络切换信号并输出至网络切换单元。网络切换单元与电信网络建立通信连接。计算机的通信单元通过电信网络进行交换密钥或传输通信数据。

实施方式三：

电信网络、无线局域网以及局域网中的网络安全等级值评估装置的结构和功能与计算机的安全等级评估单元的相类似。网络安全等级评估装置可以参照实施方式一与实施方式二中记载的计算机安全等级评估单元的工作方式，计算各通信网络对应的安全等级值并发送至计算机的通信单元。由计算机的通信单元将接收的网络安全等级评估装置计算的安全等级值输出至计算机的安全等级值比较单元。

实施方式四：

计算机存储单元中的安全等级值列表存储的各安全等级值分别与电信网络、无线局域网、局域网对应。计算机的列表读取单元读取安全等级值列表中与最高安全等级值对应的电信网络数据至切换信号生成单元。切换信号生成单元根据接收的电信网络数据生成网络切换信号并输出至网络切换单元。网络切换单元与网络切换信号对应的电信网络建立通信连接。

安全等级值列表中的各通信网络对应的安全等级值可采用人工设定的方式设定。设定各通信网络的安全等级值时，可将自己部署的网络安全等级值设定为最高安全等级值，将专用网络或公共网络的安全等级值设定为相对较低的安全等级值。

同理，图2***实施方式中的其它通信终端，如智能终端、普通电话、IP电话可按照实施方式一至四中计算机选择最高安全等级的通信网络的方式，选择最高安全等级的通信网络。

需要说明的是，图2***实施方式中，通信双方的通信终端可能选择的不同的通信网络传输数据或交换密钥。但是由于各通信终端都是通过不同的通信网络接入同一个核心网。因而通信双方的通信终端并非必须选择同一个网络。通信终端选择的不同的通信网络只是在接入方式上的不同，对于通信双方传输的通信数据和密钥都没有影响。譬如：计算机可以通过ASDL拨号，光纤、调制解调器拨号、直接网线相连，GPRS，CDMA方式接入。即，当计算机与智能终端进行通讯时，计算机可选择无线局域网建立通信连接作为密钥交换网络，而智能终端可选择电信网络建立作为密钥交换网络进行双方的密钥交换。当密钥交换结束后，计算机再选择局域网建立通信连接，智能终端选择无线局域网建立通信连接，双方进行通信数据的传输。

在本发明的上述实施方式中，通信双方不对通信数据进行加密时，可按照上述各实施方式的内容选择最高安全等级通信网络传输通信数据。若通信双方需要对通信数据加密时，可按照上述各实施方式选择最高安全等级网络作为密钥交换网络。在密钥交换结束，与密钥交换网络断开通信连接后，通信双方可按照现有技术的方法选择与密钥交换网络不同的其它通信网络建立通信连接并传输通信数据。因而本发明实施方式中不再对密钥交换网络通信连接断开后选择与密钥交换网络不同的其它通信网络建立通信连接的方法进行详细描述。

本发明实施方式的有益效果在于，通信终端可通过内部存储的网络安全等级值或通过检测的通信网络的安全等级值感知网络的安全程度，进而选择安全程度最高的网络进行通信数据传输。此外，本发明实施方式通过不同的通信网络进行密钥交换以及通信数据传输，在不利用复杂的PKI体系的前提下，同样能够防止通信双方在建立通信连接时遭到中间人的攻击。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种通信方法，其特征在于，所述通信方法包括以下步骤：

发送探测报文至通信网络的节点设备；

接收所述节点设备发送的安全等级报文；

根据所述安全等级报文中携带的节点设备信息来判断通信网络的安全等级值；

根据所述通信网络的所述安全等级值来确定最高安全等级通信网络；

与所述最高安全等级通信网络建立通信连接；

判断是否对通信数据进行加密；

若判断结果为不加密通信数据，通过所述最高安全等级通信网络传输所述通信数据。

2.根据权利要求1所述的方法，其特征在于，若判断结果为对通信数据进行加密时，所述通信方法还包括以下步骤：

选择所述最高安全等级通信网络为密钥交换网络；

利用所述密钥交换网络进行密钥交换；

断开与所述密钥交换网络的通信连接；

选择与所述密钥交换网络不同的通信网络建立通信连接并传输所述通信数据。

3.根据权利要求1或2所述的方法，其特征在于，所述节点设备至少包括：IP交换机、电信交换机、路由器、无线接入点或PSTN网关中的一个；

所述节点设备信息是指所述节点设备的类型，所述节点设备的类型至少包括：IP设备、TDM设备、有线设备或无线设备中的一个。

4.根据权利要求1或2所述的方法，其特征在于，与所述最高安全等级通信网络建立通信连接的步骤之前，所述通信方法还包括以下步骤：根据设定的通信网络的安全等级值来确定所述最高安全等级通信网络。

5.一种通信方法，其特征在于，所述通信方法包括以下步骤：

发送探测报文至通信网络的节点设备；

接收所述节点设备发送的安全等级报文；

根据所述安全等级报文中携带的通信网络类型和通信网络通信方式来判断所述通信网络的安全等级值；

根据所述通信网络的所述安全等级值来确定最高安全等级通信网络；

与所述最高安全等级通信网络建立通信连接；

判断是否对通信数据进行加密；

若判断结果为不加密通信数据，通过所述最高安全等级通信网络传输所述通信数据。

6.根据权利要求5所述的方法，其特征在于，若判断结果为对通信数据进行加密时，所述通信方法还包括以下步骤：

选择所述最高安全等级通信网络为密钥交换网络；

利用所述密钥交换网络进行密钥交换；

断开与所述密钥交换网络的通信连接；

选择与所述密钥交换网络不同的通信网络建立通信连接并传输所述通信数据。

7.一种通信终端，其特征在于，所述通信终端包括：存储单元、控制单元、网络切换单元和通信单元，其中，

所述存储单元，用于存储安全等级值列表及密钥；所述安全等级值列表用于记录通信网络数据以及与通信网络数据对应的安全等级值；

所述控制单元包括列表读取单元和切换信号生成单元，所述列表读取单元用于读取所述安全等级值列表中与最高的安全等级值对应的通信网络数据至所述切换信号生成单元；所述切换信号生成单元，根据接收的所述通信网络数据生成网络切换信号并输出至所述网络切换单元；

所述网络切换单元，与所述网络切换信号对应的所述通信网络建立通信连接；

所述通信单元，与建立通信连接的所述通信网络交换所述密钥以及通过建立通信连接的所述通信网络发送或接收的通信数据。

8.根据权利要求7所述的通信终端，其特征在于，所述通信终端还包括：网络安全评估单元；所述网络安全评估单元包括：

探测报文发送模块，发送探测报文至所述通信网络的节点设备以请求获得节点设备信息或获得所述通信网络的网络类型和通信方式；

探测报文接收模块，接收所述节点设备发送的携带所述节点设备信息的安全等级报文或接收所述节点设备发送的携带所述通信网络的所述网络类型及所述通信方式的所述安全等级报文，输出携带所述节点设备信息的所述安全等级报文或携带所述通信网络的所述网络类型及所述通信方式的所述安全等级报文至安全等级值计算单元；

所述安全等级值计算单元，根据所述安全等级报文携带的所述节点设备信息或所述通信网络的所述网络类型及所述通信方式计算与所述通信网络对应的所述安全等级值，并输出与所述通信网络对应的所述安全等级值至所述安全等级值比较模块；

所述安全等级值比较模块，比较与所述通信网络的所述安全等级值以生成与最高安全等级值对应的所述通信网络数据并输出至所述网络切换单元。

9.根据权利要求8所述的通信终端，其特征在于，所述通信单元还用于接收所述通信网络中的网络安全评估装置传送的与所述通信网络对应的所述安全等级值并输出至所述安全等级值比较单元。

Images