[發(fā)明專利]基于地址即公鑰的自信任網(wǎng)絡(luò)地址及密鑰分配方法

有效

• 申請?zhí)枺?/td>: 201310300284.1
• 申請日: 2013-07-17
• 公開（公告）號: CN103414691B
• 公開（公告）日: 2017-02-08
• 發(fā)明（設(shè)計）人: 王小峰;蘇金樹;胡曉峰;吳純青;黃杰;虞萬榮;彭偉;陶靜;時向泉
• 申請（專利權(quán)）人: 中國人民解放軍國防科學(xué)技術(shù)大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L9/00
• 代理公司: 湖南兆弘專利事務(wù)所(普通合伙)43008
• 代理人: 周長清

技術(shù)領(lǐng)域

本發(fā)明主要涉及到可信安全網(wǎng)絡(luò)基礎(chǔ)設(shè)施領(lǐng)域，特指一種基于地址即公鑰的自信任網(wǎng)絡(luò)地址及密鑰分配方法，在保持現(xiàn)有網(wǎng)絡(luò)地址語義情況下構(gòu)建地址及其對應(yīng)公私鑰綁定的體系，并可信安全地分發(fā)網(wǎng)絡(luò)地址及其私鑰。

背景技術(shù)

經(jīng)過40多年的發(fā)展，互聯(lián)網(wǎng)（Internet）已經(jīng)從誕生之初僅僅連接美國數(shù)所高校的小型科研網(wǎng)絡(luò)變成如今覆蓋全球的信息通信網(wǎng)絡(luò)，成為集信息采集、傳輸、存儲與處理于一體的信息社會的重要基礎(chǔ)設(shè)施，為人類社會的生產(chǎn)、大眾生活、政府管理和商貿(mào)往來提供不可或缺的紐帶和平臺。

盡管計算技術(shù)、通信技術(shù)與應(yīng)用模式不斷進(jìn)步，但作為互聯(lián)網(wǎng)最重要技術(shù)基礎(chǔ)的TCP/IP體系結(jié)構(gòu)基本保持不變，這也成為互聯(lián)網(wǎng)能夠取得如今巨大成功的重要原因。可以認(rèn)為TCP/IP是目前互聯(lián)網(wǎng)成功的“基因”。但TCP/IP設(shè)計之初是面向一個相對封閉、可控的網(wǎng)絡(luò)范圍，沒有考慮安全可信的問題。而如今互聯(lián)網(wǎng)已發(fā)展成為一個開放、不可控的復(fù)雜系統(tǒng)，網(wǎng)絡(luò)層固有的脆弱性使得互聯(lián)網(wǎng)的安全可信問題越來越嚴(yán)重。在控制平面，網(wǎng)絡(luò)自治域之間對相互通告的路由信息缺乏認(rèn)證和保護(hù)，因此BGP前綴地址劫持和路由篡改攻擊可能造成網(wǎng)絡(luò)癱瘓，使得有網(wǎng)不能通，用戶無法正常鏈接網(wǎng)絡(luò)。在數(shù)據(jù)平面，IP協(xié)議在分組轉(zhuǎn)發(fā)過程中，缺乏對報文的認(rèn)證、加密和完整性保護(hù)機(jī)制，因此報文嗅探、篡改、源地址欺騙以及DDoS等攻擊可能造成網(wǎng)絡(luò)混亂，使得有網(wǎng)不能用，用戶無法正常使用網(wǎng)絡(luò)。

為了解決網(wǎng)絡(luò)層控制平面的安全可信問題，學(xué)術(shù)界和工業(yè)界提出過多個路由協(xié)議安全機(jī)制，例如S-BGP、So-BGP、IRV、OA、SPV、psBGP，其中S-BGP和So-BGP影響最大。S-BGP的安全機(jī)制主要建立在三個安全實施模塊之上：PKI、路由屬性證明和IPsec。S-BGP使用的PKI基于X.509(v3)的擴(kuò)展證書，以此來驗證AS號碼和IP地址前綴的持有者的身份和授權(quán)。路由屬性證明模塊完成對路由信息的數(shù)字化簽名授權(quán)，主要包括地址證明和路由證明。地址證明來授權(quán)它管轄范圍內(nèi)的AS可以發(fā)起到該地址前綴的路由，而路由證明用來授權(quán)其鄰居可以通告發(fā)布給它的路由。IPsec模塊確保路由器之間點到點傳輸?shù)腂GP流量的安全。不同于S-BGP采用PKI證書來完成網(wǎng)絡(luò)前綴、自治域號、路由器等與路由屬性的綁定，So-BGP基于網(wǎng)狀信任模型(Web?of?trust)，可以依賴于VeriSign這樣的知名認(rèn)證服務(wù)提供商的公鑰來認(rèn)證。So-BGP設(shè)計了3類證書來實現(xiàn)路由認(rèn)證：EntityCert，AuthCert(authorization?certificate)和ASPolicyCert。

為了解決網(wǎng)絡(luò)層數(shù)據(jù)平面的安全可信問題，IPsec協(xié)議給出了IP層上數(shù)據(jù)傳輸安全的協(xié)議組，包括網(wǎng)絡(luò)認(rèn)證協(xié)議Authentication?Header（AH）、封裝安全載荷協(xié)議Encapsulating?Security?Payload（ESP）、密鑰管理協(xié)議Internet?Key?Exchange（IKE）等。IKE協(xié)議用于密鑰管理，對密碼算法進(jìn)行協(xié)商，其結(jié)果應(yīng)用于AH和ESP協(xié)議中的密碼操作。IKE協(xié)議通過協(xié)商雙方的公私鑰進(jìn)行身份認(rèn)證，并在此基礎(chǔ)上采用ISAKMP/Oakly協(xié)議協(xié)商密鑰。ESP協(xié)議確保IP數(shù)據(jù)包的機(jī)密性、數(shù)據(jù)的完整性及對數(shù)據(jù)源的身份驗證。AH也提供了數(shù)據(jù)完整性、數(shù)據(jù)源驗證及抗重播攻擊的能力，但不能用它來保證數(shù)據(jù)的機(jī)密性。

總結(jié)可以發(fā)現(xiàn)，解決互聯(lián)網(wǎng)網(wǎng)絡(luò)層安全可信問題的核心包括兩點：1.綁定網(wǎng)絡(luò)層基本元素（地址前綴、域編號、IP地址）和基本元素?fù)碛姓邔?yīng)的公鑰，并在此基礎(chǔ)上進(jìn)行基本網(wǎng)絡(luò)行為（路由信息通告、報文傳輸）的認(rèn)證和授權(quán)，2.通過加密和摘要技術(shù)保護(hù)基本網(wǎng)絡(luò)行為（路由信息通告、報文傳輸）的私密性和完整性。