[發明專利]基于身份的命名數據網絡通信方法和通信系統

有效

• 申請號: 202110055022.8
• 申請日: 2021-01-15
• 公開（公告）號: CN112738130B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 張麗;朱明悅
• 申請（專利權）人: 北京工業大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/63;H04L9/32
• 代理公司: 北京匯信合知識產權代理有限公司 11335
• 代理人: 林聰源

本發明公開了一種基于身份的命名數據網絡通信方法和通信系統，方法包括：基于HIBC的根PKG的私鑰，對系統公共參數進行簽名，并記錄至數據包的簽名信息字段；以生產者的身份信息、數據信息和系統公共參數的有效期構成數據包的名稱；消費者在獲取數據包過程中，向生產者發送包括數據包名稱的興趣包，生產者向消費者發送數據包；消費者向第三方權威機構發送請求公鑰的興趣包；第三方權威機構向消費者發送包括根PKG對應公鑰的數字證書；消費者利用接收到的數字證書中的公鑰，對數據包的簽名信息進行驗證，驗證成功后獲取數據包中的數據包內容。通過本發明的技術方案，能夠防止惡意用戶進行數據注入攻擊，實現了通信安全的保障。

技術領域

本發明涉及命名數據網絡通信技術領域，尤其涉及一種基于身份的命名數據網絡通信方法和一種基于身份的命名數據網絡通信系統。

背景技術

與當前的IP網絡相比，NDN(Named?Data?Networking，命名數據網絡)完全開放、去中心化且面向內容的網絡模型，使其不僅更容易受到IP網絡中一些傳統的網絡攻擊，也引入了很多在傳統網絡中不存在的新型攻擊。

命名數據網絡采用緩存機制，并且沒有網絡連接的概念，那么數據的安全不再依賴于數據所在的地址。NDN只關注數據本身，數據的安全建立在數據本身的安全之上，而不是通道安全。因此NDN在設計之初就將‘安全’作為了沙漏模型中的一層，試圖將安全融入網絡協議中。NDN中生產者對數據簽名，消費者通過驗證數字簽名，確定數據的完整性。若要確定數據是否可信，還需要提供合適的信仼機制，使數據消費者信任接收到的數據。生產者使用私鑰對數據進行簽名，消費者使用公鑰驗證數字簽名，驗證成功表明某個私鑰對數據進行了簽名，用戶想要確定數據是否可信，需采用合適的信任機制認證其公鑰所屬者的身份，若公鑰所屬者可信，則其產生的數據也可信。

雖然這種基礎的安全措施無法抵御所有的網絡攻擊，但是至少應該滿足以下幾種安全需求：

(1)完整性：由于內容包在非安全信道上傳輸的過程中容易受到篡改攻擊，需要提供一種安全機制保證合法發布者發岀的有效數據包不被修改、破壞和丟失。

(2)可認證性：NDN中的可認證性一方面要能夠從數據包中得出消息的發布源頭，驗證數據發布者的真實性，確認他沒有被冒充；另一方面要能夠保證數據名與內容的相關性。

(3)不可否認性：建立有效的責任機制，防止用戶否認發布或者請求過某條內容。即內容發布者不能否認發布過的數據包，消費者不能否認發布過的興趣包。這樣就可以有效避免興趣包泛洪攻擊和虛假內容包注入攻擊。

(4)保密性：對于需要保密的信息，如電子郵件、機要文件和通信密鑰等，只有被授權的合法用戶才有閱讀該信息的能力。

而在現有的NDN通信方法中，大多存在效率低下的問題，而且未在數據包名稱和公共密鑰之間建立唯一關聯，導致攻擊者可以按以下方式發起數據注入攻擊：攻擊者攔截興趣包，并向請求者發送了一個偽造的數據包，其中包含相同的名稱、虛假的數據、有關他自己的密鑰信息以及相關的簽名，則請求者接收此興趣包可以恢復公鑰和攻擊者的證書，但他無法發現被攻擊，因此無法有效保證數據通信的安全性。

發明內容

針對上述問題，本發明提供了一種基于身份的命名數據網絡通信方法和通信系統，基于HIBC(hierarchical?identity?based?cryptography，基于身份的層次加密)和PKI的混合信任模型，利用PKG(Private-Key?Generator，私鑰生成器)對NDN的層次命名結構進行擴展設計，在數據包名稱和公共密鑰之間建立唯一關聯，防止惡意用戶進行數據注入攻擊，此外，通過HIBC根PKG的私鑰對PARAM(系統公共參數)簽名，并通過PKI(Public?KeyInfrastructure，公鑰基礎設施)的第三方權威機構驗證證書簽名從而獲取對PARAM的信任，實現了通信安全的保障。