[發明專利]一種可信路由器認證系統和方法

有效

• 申請號: 200710175725.4
• 申請日: 2007-10-10
• 公開（公告）號: CN101145915A
• 公開（公告）日: 2008-03-19
• 發明（設計）人: 張珺;劉靖;許智君;張玉軍;李軍;葉新銘
• 申請（專利權）人: 中國科學院計算技術研究所
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 北京律誠同業知識產權代理有限公司
• 代理人: 梁揮;陳振

技術領域

本發明涉及通信安全領域，特別是涉及一種可信路由器認證系統和方法，其提供一種用于通信網絡上的終端設備安全的認證接入路由器合法身份的方法。

背景技術

在IPv6(Internet?protocol?v6，互聯網協議版本6)通信網絡中，終端設備正常接入通信網絡(如國際互聯網Internet)的前提是根據收到的路由器宣告(Router?Announcement，RA)消息配置自己的IPv6地址，并選擇發布該路由器宣告(RA)消息的路由器作為接入路由器(Access?Router，AR)，通過其完成接入通信網絡的功能。(見互聯網工程任務組第2461號協議文件，即IETF(Internet?Engineering?Task?Force)[RFC2461])

如何更安全、更高效地認證接入路由器的合法身份，并使用該路由器宣告的地址前綴作為配置自身地址的重要依據，對每一個接入設備而言都具有非常重要的意義，如果接入路由器不可信，則終端設備容易受到惡意路由器的攻擊，甚至無法正常接入通信網絡。

在IETF[RFC3971](互聯網工程任務組第3971號協議文件)中，提出了IPv6安全鄰居發現協議(SEcure?Neighbor?Discovery，SEND)，采用授權代理發現(Authorization?Delegation?Discovery，ADD)機制，保障IPv6路由器發現過程能夠安全可靠地運行。

授權代理發現過程是在終端設備連接到本地鏈路時，認證可能成為其默認路由器的合法身份，其通過驗證該路由器到主機相信的某個信任錨(TrustAnchor，TA)的證書鏈，實現路由器身份認證。

但是，這種授權代理發現的機制對于IPv6接入設備而言，要求在其上運行復雜的證書鏈驗證過程，以確定接入路由器的合法身份，終端設備的計算開銷大，這對于某些計算能力較弱、能量受限的移動手持終端尤其不適用。另外，在路由器和接入終端之間傳輸證書鏈中大量證書，增加了本地網絡的傳輸開銷，尤其在無線通信環境下，消耗了寶貴的無線網絡帶寬資源。而且，在終端設備和路由器之間傳輸較長證書鏈的過程中，也會使網絡、路由器及終端更多地暴露于惡意的攻擊之下，增加了被惡意攻擊的可能性。

發明內容

本發明所要解決的問題在于提供一種可信路由器認證系統及方法。其能夠更安全、高效、快速地進行接入路由器的認證。

為實現本發明而提供的一種可信路由器認證系統，包括終端設備，接入路由器，信任錨路由器，所述路由器間構成一個分級的路由器層次信任結構；

所述終端設備包括終端認證模塊，用于在收到一未經認證的接入路由器宣告消息后，向該接入路由器發起可信路由器許可請求；在收到可信路由器許可宣告消息后，驗證該可信路由器許可宣告消息中的內容，完成接入路由器的可信身份認證；

所述接入路由器包括第一認證模塊，用于接收終端設備發出的可信路由器許可請求消息，并向信任錨路由器發送可信路由器間許可請求消息；接收信任錨路由器發送的可信路由器間許可宣告消息，并向終端設備發送可信路由器許可宣告消息；

所述信任錨路由器包括第三認證模塊，用于頒發一路由器授權許可證，并通過可信路由器間許可宣告消息發送給接入路由器。

所述的可信路由器認證系統，還包括多級中間路由器；

所述中間路由器包括第二認證模塊，用于接收可信路由器許可請求消息/可信路由器間許可請求消息，并驗證該消息后，向上一級節點的路由器發送包含自己數字簽名的可信路由器間許可請求消息。

所述接入路由器還包括第一加解密模塊，用于使用路由器層次信任結構中其上一級節點的路由器的公鑰對所述構造的可信路由器間許可請求消息加密；并在收到由一信任錨路由器回復的加密可信路由器間許可宣告消息后，使用自身的私鑰將其解密后得到可信路由器間許可宣告消息中的內容；在構造形成可信路由器許可宣告消息后，采用終端設備的公鑰將該可信路由器許可宣告消息加密形成加密可信路由器許可宣告消息；

所述中間路由器還包括第二加解密模塊，用于使用自身的私鑰解密得到可信路由器間許可請求消息的內容；用層次信任結構中上一級節點的路由器的公鑰對自身構造的可信路由器間許可請求消息加密；

所述信任錨路由器還包括第三加解密模塊，用于使用自身的私鑰解密得到可信路由器間許可請求消息的內容；將可信路由器間許可宣告消息使用接入路由器的公鑰進行加密。

所述可信路由器許可請求消息構成為：

TRPS＝{Nonce；TAs}