[發明專利]一種基于聚合認證的高效網絡路徑認證方法

有效

• 申請號: 202110790384.1
• 申請日: 2021-07-13
• 公開（公告）號: CN113507473B
• 公開（公告）日: 2022-06-14
• 發明（設計）人: 卜凱;何安瀟;傅建棟;周瑞祺;繆晨露
• 申請（專利權）人: 浙江大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32;H04L9/08
• 代理公司: 杭州天勤知識產權代理有限公司 33224
• 代理人: 彭劍

本發明公開了一種基于聚合認證的高效網絡路徑認證方法，包括：(1)源在處理數據包時先依據生成的特殊標識符將若干個數據包聚合成一組，對組進行路徑認證計算后發送至下一跳；(2)路由器在收到數據包后將它們在輸入隊列中聚合成組，取出這一組數據包作為單個輸入進行處理；(3)路由器重新計算路徑認證，將得到的路徑證明與從所有數據包中提取的各單個數據包攜帶證明拼接而成的完整證明進行比較；如果匹配，則整組數據包通過驗證；驗證成功后，則路由器進一步用自身憑證來更新路徑證明并將其重新分割到組內的所有數據包中；(4)路由器將這組數據包放入輸出隊列中并轉發至下一跳。利用本發明，可以在不犧牲安全性的同時極大的提升效率。

技術領域

本發明屬于網絡安全領域，尤其是涉及一種基于聚合認證的高效網絡路徑認證方法。

背景技術

在當前的互聯網中，終端主機對數據包的轉發路徑缺乏控制。數據包在網絡中的傳輸路徑完全由路由器決定，其轉發決策取決于每個路由器的本地路由表，而源和目的地都無法干涉。這種終端不可見的轉發可能會被用來破壞網絡服務的質量以及安全性。比如惡意的因特網服務提供商可能會在劣質路徑上轉發數據包而向客戶聲稱在高級路徑上提供服務。此外，缺乏路徑控制還會導致其他問題，如當數據不被允許離開某個特定的管轄區時會出現合規性問題。

路徑認證(path validation)使得路由器能夠驗證數據包是否以正確的順序通過了指定的路徑，其被視為保障未來互聯網架構安全性的可靠解決方案。路徑認證通過路徑執行和路徑驗證這兩個互補的操作來確保數據包轉發的安全性。路徑執行在數據包包頭中指定了數據包應遵循的給定路徑，路徑上的路由器應遵守數據包攜帶的路徑指示來做出轉發決策。路徑驗證則通過將不可偽造的加密證明嵌入到數據包包頭中來確認數據包的轉發是否嚴格遵循指定路徑。

數據包在傳輸過程中，要求能安全、快速地傳輸到指定地點，因此路徑認證方案必須同時滿足安全性和效率這兩個要求。但這兩個要求是相互對立的，一方面數據包包頭短、計算簡單才能保證快速處理，另一方面數據包攜帶的驗證域長、計算復雜才能保證傳輸的安全性。

在已有文獻中，尚未有能在安全性和效率方面同時取得平衡的方案被提出。大多數方案都是在安全性和效率之間做出一定的取舍：降低效率來提高安全性或是降低安全性來提高效率。這些方案主要分為三類：第一類是通過強力的安全假設來保證安全性，對效率的要求較弱，如J.Naous等(Verifying and enforcing network paths with ICING，CoNEXT，2011年)提出的；第二類是通過改進加密算法來略微弱化安全性從而提高效率，如J.Kim等(Lightweight source authentication and path validation，SIGCOMM，2014年)以及M.Legner等(EPIC:Every packet is checked in the data plane of a path-awareInternet，USENIX Security，2020年)提出的；第三類方法是通過依概率抽樣數據包進行驗證更新來提高效率，如B.Wu等(Enabling efficient source and path verification viaprobabilistic packet marking)提出的。

第一種方法通過強力的安全假設來保證安全性。如協議要求在路徑上的路由器之間兩兩共享一個密鑰，用于計算只能由相鄰路由驗證的認證域以保證其不可偽造性。路由器需要確認其上游節點都以正確的順序處理了數據包，因此需要重新計算驗證域進行對比。此外，路由器還要為其所有下游節點單獨計算一個更新值用于后續計算的驗證和更新。雖然這種方法極大的確保了安全性，但其效率大大降低，使其適用性被局限于復雜的網絡環境下。