[發明專利]基于信任管理系統的IP路由協議的可信改造方法

無效

• 申請號: 201010115699.8
• 申請日: 2010-03-02
• 公開（公告）號: CN101888328A
• 公開（公告）日: 2010-11-17
• 發明（設計）人: 孫斌;谷利澤;鄭世慧;楊榆;陳波;郭玲玲;李道豐;鈕心忻
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于信任管理系統的IP路由協議的可信改造方法。其特征在于在OSPF協議基礎上，對整個協議的工作過程進行適當的可信改造，在不影響OSPF協議原有擴展性和快速匯聚性能的基礎上，添加以信任值為評估機制的路由器之間的信任評估策略，根據這一策略計算可信最短路徑樹，生成可信路由表。可信路由表中的distance值融合了路由器之間的信任值。

2.如權利1所述的對OSPF路由協議工作過程的可信改造，其實現過程包括以下步驟：

1)路由器申請注冊入網：路由器接入網之前需要向信任管理系統(Trust?Management?System)申請注冊入網，獲取自己的信任證書。

2)路由器發送Hello消息探知鄰居：每個路由器需要得到所有鄰居的信任證書，并從中獲取鄰居的綜合信任值，信任證書的載體是hello消息包，每個路由器設置一個計時器，用來在信任證書的有效期限內定時向鄰居發送一次hello消息(消息中包含從信任管理系統TMS獲取的信任證書)，從而來維持鄰居間的鄰接關系。

3)計算對鄰居路由器的總信任值：每個路由器獲取五個參數(鏈路流量、丟包率、延時、包的轉發率、包的可信度)，計算出對鄰居路由器的主觀信任值，再與綜合信任值計算出總的信任值，總的信任值用來參與路由表的計算。

4)計算可信路由表：路由協議的核心是計算路由表，在3)中已經計算出對鄰居路由器的總信任值，然后把總信任值填入Router_LSA的16bit的metric字段中，每個路由器生成自身的Router_LSA，然后同步連接狀態數據庫，計算可信最短路徑樹，生成可信路由表。

5)信任值定時更新：路由器定期將本路由器中存儲的各鄰居路由器的主觀信任值上報給TMS，由TMS進行各路由器的信任值更新。

3.如權利2所述的信任證書、信任證書的有效期限、綜合信任值、總信任值的特征為：

信任證書：是信任管理系統(TMS)對路由器的客觀評價，對該路由器的信任程度的客觀反映。包含該路由器的信任值、信任有效期、應用類型等信任信息。信任證書與路由器的具體行為和時間密切相關，是動態變化的，生命周期很短。信任證書將路由器標識和信任信息綁定在一起，由信任管理系統(TMS)審核并簽發。

信任證書的有效期限：每個路由器的信任證書都有自己的有效期限，路由器將定期獲取鄰居路由器的信任證書，一旦鄰居的信任證書過期，則解除與此鄰居路由器的鄰接關系。

綜合信任值：由信任管理系統(TMS)通過一定的模型計算得出的每個路由器本身的一個信任值，主要包括IDS數據，漏洞掃描數據，防火墻數據等。按照策略要求，定期啟動安全設備掃描域內各個路由器，獲取這些數據。綜合信任值通過信任證書傳遞，路由器通過與TMS通信獲得綜合信任值，并通過信任證書使用hello消息傳遞給鄰居，鄰居路由器使用綜合信任值計算對該路由器的總信任值，從而計算可信最短路徑樹和可信路由表。

主觀信任值：路由器通過一定的模型計算得出的對鄰居路由器的一個信任值，計算主觀信任值需要的參數有鏈路流量、丟包率、延時、包的轉發率以及包的可信度。按照策略要求，路由器定時修改計算主觀信任值的五個參數以保持信息的可靠性和實時性。

鏈路流量：路由器中單位時間內流過的數據包。

丟包率：每個路由器都有一個計數器，統計單位時間內發送給某個鄰居的包P_A和某個鄰居接收到的包P_R，丟包率R1=PA-PRPA.]]>

延時：每個數據包都有時間戳，用來計算到達鄰居路由器所需的時間。

包的轉發率：單位時間內路由器轉發的來自鄰居路由器的數據包與接收到的該鄰居路由器發送的所有包的比率。

包的可信度：設置一個策略，單位時間內接收到來自某個鄰居路由器的包超過一定的界限，則認為是攻擊，將調整對該鄰居路由器的信任值，降低該鄰居路由器發送的數據包的可信度。

總信任值：路由器通過一定的模型將對鄰居路由器的主觀信任值和鄰居自身的綜合信任值結合起來計算得到的信任值，總信任值用來參與可信路由表的計算。