[發(fā)明專利]一種RPKI中認(rèn)證機(jī)構(gòu)資源異常分配的檢測(cè)方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202010043887.8
• 申請(qǐng)日: 2020-01-15
• 公開（公告）號(hào): CN111262683A
• 公開（公告）日: 2020-06-09
• 發(fā)明（設(shè)計(jì)）人: 彭素芳;劉亞萍;張碩
• 申請(qǐng)（專利權(quán)）人: 中南大學(xué)
• 主分類號(hào): H04L9/00
• 分類號(hào): H04L9/00;H04L9/32
• 代理公司: 長(zhǎng)沙中科啟明知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 43226
• 代理人: 匡治兵

1.一種RPKI中認(rèn)證機(jī)構(gòu)資源異常分配的檢測(cè)方法，其特征在于包括以下步驟：

第一步：構(gòu)建認(rèn)證機(jī)構(gòu)即CA資源異常分配檢測(cè)系統(tǒng)，CA資源異常分配檢測(cè)系統(tǒng)添加在CA和RP即依賴方之間；在RPKI即資源公共密鑰基礎(chǔ)架構(gòu)的CA上添加一個(gè)發(fā)送模塊，CA的發(fā)送模塊將需要頒發(fā)的資源證書RC、RC的父證書和證書樹的根證書發(fā)送給CA資源異常分配檢測(cè)系統(tǒng)；CA資源異常分配檢測(cè)系統(tǒng)對(duì)從CA的發(fā)送模塊接收的RC進(jìn)行檢測(cè)；CA資源異常分配檢測(cè)系統(tǒng)由解析模塊、檢測(cè)模塊、存儲(chǔ)模塊組成，存儲(chǔ)模塊中存儲(chǔ)通過CA資源異常分配檢測(cè)系統(tǒng)檢測(cè)的證書，證書擴(kuò)展字段中包含證書的IP資源、AS資源；解析模塊從RPKI的CA發(fā)送模塊接收RC的父證書，判斷RC的父證書是否存儲(chǔ)在存儲(chǔ)模塊中，即判斷RC的父證書是否是CA資源異常分配檢測(cè)系統(tǒng)檢測(cè)通過的證書，存儲(chǔ)在存儲(chǔ)模塊中則解析出RC的父證書中的AS資源或IP資源；解析模塊從RPKI的CA發(fā)送模塊接收RC并解析出RC的AS資源或IP資源，從存儲(chǔ)模塊讀取RC的父證書已頒發(fā)的子證書并解析出子證書中的AS資源或IP資源，將RC、RC的AS資源或IP資源、RC的父證書、RC的父證書的AS資源或IP資源、RC的父證書已頒發(fā)的子證書、子證書中的AS資源或IP資源發(fā)送給檢測(cè)模塊；檢測(cè)模塊從解析模塊獲取RC、RC的AS資源或IP資源、RC的父證書、RC的父證書中的AS資源或IP資源、RC的父證書已頒發(fā)的子證書、子證書中的AS資源或IP資源，根據(jù)RC的父證書的資源和RC的父證書已頒發(fā)的子證書的資源對(duì)RC中的資源進(jìn)行資源未經(jīng)授權(quán)分配、資源重復(fù)分配、資源重疊分配檢測(cè)，如果檢測(cè)通過，檢測(cè)模塊將檢測(cè)通過的資源證書RC、RC的父證書發(fā)送給存儲(chǔ)模塊；存儲(chǔ)模塊一方面存儲(chǔ)從CA的發(fā)送模塊接收的證書樹的根證書，一方面存儲(chǔ)通過檢測(cè)模塊檢測(cè)的RC；存儲(chǔ)模塊采用鍵值對(duì)Key-Value的方式存儲(chǔ)證書樹，每個(gè)Key對(duì)應(yīng)一個(gè)Value，根據(jù)Key可以查詢到對(duì)應(yīng)的Value；Key為證書的哈希值，即將證書作為輸入，通過哈希計(jì)算得到固定長(zhǎng)度的輸出作為證書的哈希值；Value包含證書、證書的子證書哈希值數(shù)組；RP周期性地對(duì)通過CA資源異常分配檢測(cè)系統(tǒng)檢測(cè)的證書進(jìn)行同步即將RP中的證書更新為與存儲(chǔ)模塊中的證書一致；

第二步：CA資源異常分配檢測(cè)系統(tǒng)按第三步到第十六步對(duì)CA頒發(fā)的證書進(jìn)行檢測(cè)，同時(shí)RP周期性地按第十七步到第十九步同步存儲(chǔ)模塊中的證書；

第三步：RPKI的CA生成根證書Root RC并存儲(chǔ)在CA本地；

第四步：RPKI的CA的發(fā)送模塊將Root RC發(fā)送給CA資源異常分配檢測(cè)系統(tǒng)，CA資源異常分配檢測(cè)系統(tǒng)的存儲(chǔ)模塊存儲(chǔ)Root RC；存儲(chǔ)模塊存儲(chǔ)的Key-Value數(shù)據(jù)為：{Key：Root RC的哈希值；Value：Root RC的證書、[]}，[]表示子證書哈希值數(shù)組為空；

第五步：初始化集合變量V＝{Root RC}，V為存儲(chǔ)模塊中存儲(chǔ)的證書的集合；

第六步：RPKI的CA選擇一個(gè)本地存儲(chǔ)的資源證書，命名為Parent RC，用Parent RC簽發(fā)資源證書RC并存儲(chǔ)到CA本地，Parent RC為V中的資源證書，CA將Parent RC的擴(kuò)展字段中的IP、AS資源賦值到RC證書的擴(kuò)展字段；

第七步：RPKI的CA的發(fā)送模塊將RC、Parent RC發(fā)送給CA資源異常分配檢測(cè)系統(tǒng)；

第八步：CA資源異常分配檢測(cè)系統(tǒng)的解析模塊從RPKI的CA的發(fā)送模塊接收RC、ParentRC，對(duì)RC、Parent RC、Parent RC已頒發(fā)的子證書進(jìn)行解析，方法是：

8.1解析模塊從CA的發(fā)送模塊接收Parent RC，將接收的Parent RC發(fā)送給存儲(chǔ)模塊，存儲(chǔ)模塊做哈希計(jì)算得到Parent RC的哈希值，并查詢存儲(chǔ)模塊中是否有與Parent RC的哈希值相同的哈希值，如果成功查詢到，則表明Parent RC存儲(chǔ)在存儲(chǔ)模塊中，解析模塊從Parent RC的擴(kuò)展字段中獲取Parent RC中的資源，轉(zhuǎn)8.2；未查詢到則轉(zhuǎn)第十三步；

8.2解析模塊從RPKI的CA的發(fā)送模塊接收并讀取RC證書，檢測(cè)RC證書的擴(kuò)展字段是否包含AS資源或IP資源，包含則從RC證書的擴(kuò)展字段獲取RC中的資源，轉(zhuǎn)8.3；不包含則轉(zhuǎn)第十四步；

8.3解析模塊從存儲(chǔ)模塊讀取Parent RC已頒發(fā)的所有子證書的資源；

第九步：CA資源異常分配檢測(cè)系統(tǒng)的解析模塊將RC、RC的資源、Parent RC、Parent RC的資源、Parent RC已頒發(fā)的子證書、Parent RC已頒發(fā)的子證書的資源發(fā)送到檢測(cè)模塊，如果讀取的子證書哈希值數(shù)組長(zhǎng)度N＝0，則Parent RC已頒發(fā)的子證書、Parent RC已頒發(fā)的子證書的資源為空；

第十步：CA資源異常分配檢測(cè)系統(tǒng)的檢測(cè)模塊從解析模塊獲取RC、RC的資源、ParentRC、Parent RC的資源、Parent RC已頒發(fā)的子證書、Parent RC已頒發(fā)的子證書的資源，對(duì)RC進(jìn)行資源異常分配的檢測(cè)，方法是：

10.1檢測(cè)模塊檢測(cè)RC中是否包含AS資源，包含則轉(zhuǎn)10.2；不包含則轉(zhuǎn)10.5；

10.2檢測(cè)模塊對(duì)RC進(jìn)行AS資源未經(jīng)授權(quán)分配檢測(cè)：

10.2.1檢測(cè)模塊檢測(cè)RC的AS資源是否包含在Parent RC的AS資源中，不包含則檢測(cè)未通過，轉(zhuǎn)第十五步；包含則轉(zhuǎn)10.3；

10.3若N＝0，轉(zhuǎn)10.5；若N0，轉(zhuǎn)10.4；

10.4檢測(cè)模塊對(duì)RC進(jìn)行AS資源重復(fù)分配檢測(cè)及資源重疊分配檢測(cè)，令變量i＝1：

10.4.1檢測(cè)模塊檢測(cè)RC中的AS資源是否和Parent RC已分配的第i個(gè)子證書中的AS資源相同，相同則檢測(cè)不通過，轉(zhuǎn)第十五步；否則轉(zhuǎn)10.4.2；

10.4.2檢測(cè)模塊檢測(cè)RC中的AS資源是否和Parent RC已分配的第i個(gè)子證書中的AS資源有重疊，有重疊則檢測(cè)不通過，轉(zhuǎn)第十五步；否則轉(zhuǎn)10.4.3；

10.4.3如果i＝N，AS資源重復(fù)分配檢測(cè)及資源重疊分配檢測(cè)完成，轉(zhuǎn)10.5；否則i的值加1，轉(zhuǎn)10.4.1繼續(xù)檢測(cè)；

10.5檢測(cè)模塊檢測(cè)RC中是否包含IP資源，包含則轉(zhuǎn)10.6；不包含則轉(zhuǎn)第十一步；

10.6檢測(cè)模塊對(duì)RC進(jìn)行IP資源未經(jīng)授權(quán)分配檢測(cè)：

10.6.1檢測(cè)模塊檢測(cè)RC的IP資源是否包含在Parent RC的IP資源中，不包含則檢測(cè)未通過，轉(zhuǎn)第十五步；包含則轉(zhuǎn)10.7；

10.7若N＝0，轉(zhuǎn)第十一步；若N0，轉(zhuǎn)10.8；

10.8檢測(cè)模塊對(duì)RC進(jìn)行IP資源重復(fù)分配檢測(cè)及資源重疊分配檢測(cè)，令變量j＝1：

10.8.1檢測(cè)模塊檢測(cè)RC中的IP資源是否和Parent RC已頒發(fā)的第j個(gè)子證書中的IP資源相同，相同則檢測(cè)不通過，轉(zhuǎn)第十五步；否則轉(zhuǎn)10.8.2；

10.8.2檢測(cè)模塊檢測(cè)RC中的IP資源是否和Parent RC已頒發(fā)的第j個(gè)子證書中的IP資源有重疊，有重疊則檢測(cè)不通過，轉(zhuǎn)第十五步；否則轉(zhuǎn)10.8.3；

10.8.3如果j＝N，IP資源重復(fù)分配檢測(cè)及資源重疊分配檢測(cè)完成，轉(zhuǎn)第十一步；否則j的值加1，轉(zhuǎn)10.8.1；

第十一步：檢測(cè)模塊將檢測(cè)通過的RC、Parent RC發(fā)送給存儲(chǔ)模塊，存儲(chǔ)模塊存儲(chǔ)RC；

第十二步：將RC添加到集合變量V中，轉(zhuǎn)第十六步；

第十三步：解析模塊顯示“該資源證書的父證書不存在，解析未通過”錯(cuò)誤信息，轉(zhuǎn)第十六步；

第十四步：解析模塊顯示“資源證書錯(cuò)誤，解析未通過”錯(cuò)誤信息，轉(zhuǎn)第十六步；

第十五步：檢測(cè)模塊顯示“資源分配異常，檢測(cè)未通過”錯(cuò)誤信息，轉(zhuǎn)第十六步；

第十六步：此次資源證書頒發(fā)過程結(jié)束，轉(zhuǎn)第六步；第十七步：初始化時(shí)間變量t＝系統(tǒng)時(shí)間；

第十八步：讀取系統(tǒng)時(shí)間，令為t2，判定t2-t是否大于等于閾值T，T為正整數(shù)，單位為秒；若t2-t大于等于閾值T，轉(zhuǎn)第十九步；

第十九步：RP使用數(shù)據(jù)同步工具獲取CA資源異常分配檢測(cè)系統(tǒng)的存儲(chǔ)模塊中存儲(chǔ)的證書，轉(zhuǎn)第十七步。