CN100375431C - 通信网和移动代理迁移的管理 - Google Patents

Abstract

提议一种用于管理将移动代理者迁移到通信网节点的技术。检查网络中至少一个节点(102b)的可信赖性(301)。如果该可信赖性超过一个预置的可信赖阈值，为被检查的节点(102b)产生(306)可信赖标记并将该可信赖标记存入(303)该网中。在将移动代理者(104a)迁移到网络节点以前，检验(108，109)相应的节点(102b)是否存在有效的可信赖标记，移动代理者(104a)的迁移被限制(107)到具有有效可信赖标记的节点上。

Description

通信网和移动代理迁移的管理

技术领域

本发明涉及一种通信网、一种用于管理通信网的方法和用于管理移动代理(agent)到通信网节点的迁移的方法。

背景技术

本发明在通信网领域中有其应用，并最好应用于移动计算、无线通信、移动多媒体中间件和所谓的移动代理的领域中。一种特别的应用是控制(管理)所谓的移动代理在网络中的位置之间的迁移。

通信涉及在(例如无线)网络上给用户提供连网服务。所谓的移动代理是一种新的计算概念，能够将一种软件(码)的执行分段从计算机网络的一个节点传送到另一个节点。移动码系统的一个例子是在Web浏览器系统中在因特网上加载的Java小应用程序(applet)。

移动代理的概念是在US-A-5603031中详细提出的。因此，有关移动代理技术的一般概念作为对所述的现有技术的参考。

图1示出一种移动代理系统的基本操作。一个代理系统提供移动代理一种称为位置(place)的执行环境。移动代理是一种执行软件，能够从一个代理系统迁移到另一个。在所有的位置上，移动代理可以接入所提供的本地服务。

图1示出一个移动代理104a在两个代理系统101a，101b之间的迁移。代理系统包含称为位置102a，102b的执行环境。在这些位置中，本地服务103a，103b对移动代理104a提供服务106。在迁移过程105中移动代理在位置102a上被串行化并且代理的状态和代码被传送到位置102b。在位置102b中，移动代理104a被从所传送的状态和代码中重建。然后，移动代理104a的执行线程可在位置102b中执行。

在当前技术状态下，代理在因特网上的计算节点之间迁移。有几个与移动代理相关的有关安全的问题，例如，保护代理位置防止恶意代理。保护一个代理防止恶意宿主是一个难题。

一个恶意宿主可以对一个移动代理进行几种类型的攻击，例如，探出其代码或数据，操纵其代码或数据，不正确地执行它或者根本就拒绝执行。此时没有已知的安全机制保护一个代理对付所有的这些攻击，除非使用可信硬件。

恶意宿主只是其拥有者不能信赖位置操作者的代理的一个问题。信赖在本上下文中意味着代理的拥有者知道(或至少希望)此位置将不攻击它的代理中的一个。因为对于保护代理防止恶意位置还没有解决办法，所以通过允许代理只移动到被移动代理的拥有者信赖的宿主，有几种遏制这种问题的方案。

当事先不知道一个代理的行程时，这些方案措施尤其重要。在大多数代理环境中，一个代理者在运行时间期间可以检索某些服务的地点，并且然后访问这些地点。在这种情况下，代理行程被动态地确定。这与事先通知移动代理有关哪些位置未被移动代理的拥有者信赖的静态办法不同。应该指出，甚至可信赖位置可随时间改变，也就是，一个值得信赖的位置可在以后变为不可信赖，当在事先通知一个移动代理关于要访问的位置的可信赖性时就会出问题。

一个移动代理的拥有者可能希望以这样的方法限制代理，即不允许其迁移到移动代理的拥有者不信赖的位置。为了实现这一点，代理需要一种手段来找出一个给定的位置是否被他的使用者信赖。

这可通过一种“组织化”方案来实现，这意味着只有可信赖的用户可开始一个位置。这种方案的缺点是其导致一种不再是“开放的”代理环境(开放的意义是每个人都可以开始一个位置)。

另一种办法是事先指定一个代理被允许迁移的可信赖位置。在这种情况下，代理携带一份可信赖位置的目录(list)，或者代理系统或者代理者本身在迁移时检验是否代理者被允许到它的目的地。

这种办法也有一个大缺点：事先并不总是清楚是否一个位置是可信赖的，这可能严重地减少一个代理者被允许迁移的位置数。一个用户通常只“知道”代理环境中的少数位置。当然，他只可能判断他知道的代理系统。因为他将有可能不信赖大多数的位置，这意味着他的代理只被允许迁移到非常有限的一组位置。这可能大大地限制一个代理环境的有用性。

发明内容

鉴于以上的现有技术，本发明的一个目的是提供一种允许在网络中方便地进行可信赖检验的技术。提供这样一种可信赖检验用于管理移动代理在通信网中的迁移尤其是本发明的目的。

而且，对于动态在线可信赖检验方案来说，可信赖检验技术应该是开放的。

因此，依据本发明，提供一种用于管理通信网的方法。检验该网络的至少一个节点的可信赖性。将该可信赖性与一个预置阈值进行比较，如果该可信赖性超过预置阈值，则对于被检验的节点产生一个信赖标记(trust token)，并且该信赖标记指明这样的事实，即将已经通过可信赖性检验的相应节点存储在该网中。

标记的有效性可通过密码措施例如f.e.数字签名来保证。

检验网络的至少一个节点的可信赖性的步骤可由网络中具有信托中心功能(在以下的描述中被称为信托中心)的另一个节点来执行。

一种限制信赖标记生命期的预定的到期日期可加到该信赖标记上。

依据本发明的另一方面，提供一种用于管理移动代理到通信网的节点的迁移的方法。网络中至少一个节点的可信赖性被检验，如果该可信赖性超过一个预置的可信赖阈值，则为被检验的节点产生一个信赖标记，并存储在该网络中。在移动代理迁移到网络的一个节点之以前，检验对于相应的节点是否存在一个有效的信赖标记。移动代理的迁移限制于具有有效信赖标记的节点。

可在一个移动代理的运行时间期间动态地执行对信赖标记的检验。

网络中至少一个节点的可信赖性检验步骤可由网络中具有信托中心功能的至少一个第三节点执行。

可将一份信托中心节点的名称的目录附于移动代理上，这份目录可利用密码措施例如f.e.数字签名来防止各种操纵的企图。

在移动代理迁移之前检验对于相应的节点是否存在一个有效的信赖标记的步骤可通过查询相应的目标节点的有效信赖标记来实现。附加地或交替地，至少一个信托中心节点可被查询和/或至少一个存储有效信赖标记的存储单元和网络中的相应节点可被查询。

而且，依据本发明，提供一种通信网络。网络中的至少一个信托中心节点检验网络中至少一个节点的可信赖性。信托中心节点具有一个标记建立器，用于在可信赖性超过一个预置可信赖阈值时为被检验的节点产生一个信赖标记。该信托中心可以像每个被检验的节点那样是网络中的另一个节点。该信赖标记和相应的被检验节点可被存储在一个信托管理者数据库中，该数据库是信托中心节点的一部分或者被连接到信托中心。

在网络中可以提供至少一个移动代理位置，用于管理通信网中移动代理的迁移。移动代理位置可被签署，以访问至少一个信托中心节点的信托管理者数据库。

该移动代理位置可以包括一个本地数据库，以存储从一个信托中心节点的信托管理者数据库中提取的信息。

可将一份信托中心节点的目录附加到由一个移动代理位置管理的移动代理。

附图说明

下面将参考附图说明本发明的最佳实施方案。

图1示出一个移动代理的迁移，

图2示出一种无线计算的景象，

图3示出信托中心节点、代理位置和索引(directory)服务之间的关系，

图4示出用于一个信托中心的系统结构，

图5示出一个带有某些相关数据区(field)的信赖标记，和

图6解释一个代理系统的结构。

具体实施方式

图1在本描述的引言部分中已被解释过。

图2示出一种典型的无线计算景象。几个移动设备201a、201b被在无线网链路上连到基站204a、204b。它们利用不同的无线网设备。基站被在网上(例如因特网)互相连接并和网络服务器206a、206b连接。

图3示出信托中心301、代理位置102a和索引服务之间的关系。信托中心产生信赖标记并将它发送到代理位置。该位置然后可利用所发布的信赖标记宣告其可信赖性。想要迁移的代理可从几个位置(目标代理位置，信托中心，索引或其他)请求信赖标记。可由代理或代理系统执行检验。

一个位置可从各个信托中心得到信赖标记。信赖标记也可以被信托中心或位置做成公共的，所以每人可通过一个专门的信托中心(“信托中心出版者Publishing of the trust centre”)检验一个位置是可信赖的。这可以通过利用像国际X.500索引那样的索引服务来完成。图3解释这个过程。

图4示出用于一个信托中心的系统结构。信托中心包含一个标记建立器模块306，在一个代理位置的可信度被检验后建立信赖标记。利用密码和数字签名来保证他的声明的有效性。由信托管理者模块108管理信赖标记，在信赖标记数据库303中存储信赖标记和附加信息。撤销管理者模块307是一个辅助模块，它在标记被发布以后被撤销时可以确定标记。虽然这并不是一种100％的解决办法，但它增加防止意外迁移到不可信赖位置的似然率，撤销目录可被分配到感兴趣的代理位置以改善对信赖标记的检验。标记请求者模块305处理从代理位置对于所发布的信赖标记的请求。索引访问模块308允许访问索引服务。

对于撤销程序有许多实现的可能性：

-给移动代理提供撤销目录

-访问信托中心，以查询被撤销的位置，和/或

-提供一个中央撤销管理者

如图4所示，一个信托中心由几个模块组成，每个执行一个特定的任务。标记建立器模块306建立信赖标记，信赖标记由几种关于可信赖代理位置的信息组成。这种信息是用信托中心的专用密钥被数字签名的，所以信赖标记的用户可以验证它的内容是由信托中心建立的。

在代理位置侧，信赖标记由信赖标记管理者302管理。该模块可保持一个已经可用的信赖标记的超高速缓存，撤销目录管理者模块存储被撤销的信赖标记目录，它可将其内容与来自信托中心的撤销目录数据库304同步。

一个位置是否是可信赖的信息在代理的运行时间期间被动态地确定。这是通过提供附加可信赖第三方-被称为信托中心来实现的。一个代理的拥有者不能只规定他信赖的位置，也应该指定信托中心信赖的位置。因此一个代理携带的目录由位置名字和信托中心名字组成。此目录被称为“系统允许目录”(SPL)。图5作为一个信赖标记的示范性实施方案来解释系统允许目录。数据区具有以下意义：

trustLevel        -由信托中心给予所参考的代理位

                   置的可信赖等级

agentPlace        -代理位置的名字

startDate         -信赖标记有效的开始日期

expiryDate        -信赖标记到期的日期

IssuingAuthority  -发布信托中心的名字

serialNumber      -信赖标记的序号

owner             -代理位置的拥有者

取决于应请要求，信赖标记可以有附加的数据区。

图6结合信托机制解释一种“代理系统”的结构。当一个代理想要迁移到另一个代理位置时，它就呼叫迁移操作(通常称为“Go”)。然后执行控制被传送到迁移管理者107。该模块依次呼叫信托管理者108以保证此代理被允许迁移。信托管理者108利用信赖标记管理者105就地检验是否所要求的信赖标记已被存储。它进一步利用撤销目录管理者106检验以保证信赖标记的状态。如果不可能就地找到所要求的标记，它利用信赖标记请求者109从代理位置、索引服务或者信托中心得到信赖标记。如果新的信赖标记通过撤销目录管理者测试，代理被递交迁移处理机模块110，执行迁移处理。

如果信托中心相信此位置是可信赖的，该位置可从信托中心得到一种许可证(信赖标记)。为了确定是否一个位置是可信赖的，信托中心可以例如检验该位置、软件的拥有者等。人们甚至可以想象检验操作该代理位置的组织的每天工作。每个信托中心具有在一个位置从它处得到许可证之前必须满足的不同要求。甚至一个单独的信托中心可以有不同等级的导致不同等级的许可证的这样的要求。

如果一个位置满足一个信托中心的要求，它就得到此许可证(“发布信赖标记”)。此类许可证被称为信赖标记。信赖标记是由发布的信托中心数字签署的声明，包含受发布者信赖的一个特定位置的信息，并且也有某些附加的信息。信赖标记非常类似于在验证协议中使用的证书。信托中心非常类似于本文中的证书授权者。

信托中心可以为它们的服务向位置收费。

图6解释一种发送代理系统的结构。一个想要迁移到另一个代理位置的代理将这个请求发送到迁移管理者107。迁移管理者询问信托管理者108有关其他代理的可信赖性。信赖标记请求者109利用可能方法之一(例如，访问同等的代理位置111、访问索引113或访问发布信托中心112)检索信赖标记。

如果信赖标记允许迁移，移动代理将被递交到执行迁移步骤的迁移处理机110。

现在如果一个代理想要迁移到一个位置并且该位置并未被包含在可信赖的位置目录中，它试图检验是否该位置具有来自该代理信赖的信托中心的信赖标记。这可用若干方法来完成。

1.该代理可通过询问目的地位置得到所要的信赖标记之一。

2.他可询问信托中心。

3.他可以询问存储和管理信赖标记的其他服务(例如，索引服务)

如果该代理可以得到由一个信托中心发布的信赖标记，在他的SPL中他被允许迁移。否则，该代理不被允许迁移。整个测试可通过代理自己或代理位置来完成。

如果该代理被允许迁移，那末存在象信赖链那样的关系：用户信赖信托中心，而信托中心又信赖目的地位置。

信赖标记概念的一个问题是有时被发布的信赖标记必须被撤销。这是一个困难的问题，因为信赖标记是不受信托中心控制的情况下被分发的。通过加上到期时期，信赖标记具有有限的生命时间，使得信托中心可确信一个信赖标记不再有效。而且，信托中心可以保持一个撤销目录，其中包含在它们到期日期以前被撤销的所有标记。

为本发明所需要的系统由信托中心，信赖标记数据结构和将信托管理者整合到代理系统三部分组成。

被建立的信赖标记存储在标记管理者数据库中。数据库管理所有被发布的信赖标记以及当该地点被检验时那些测试已被执行等的附加信息。然后信赖标记被传送到代理位置，可以将信赖标记加到它的就地管理的信赖标记数据库中，这种数据库由一个代理位置的信赖标记管理者部件管理。

如果一个信赖标记必须提前撤销，被撤销的信赖标记被存储在由撤销管理者管理的数据库中。注意，由于系统的分布式性质，信赖标记仍然是有效的，直到它们的到期日期结束为止。撤销操作对于代理位置来说恰恰是一种附加的措施，以检验一个给定的信赖标记仍是有效的。因为这种与信托中心撤销目录的比较不是强制性的，信赖标记不可能被可靠地提前撤销。

而且信托中心可以利用索引访问模块将信赖标记存储在通常可访问的索引服务中。利用标记请求器，任何人可为一个特定的代理位置请求一个已发布的信赖标记。

在一个代理位置中，一批信赖标记被就地存储在由信赖标记管理者管理的数据库中。如果信赖标记被从另一个位置请求，信赖标记被从数据库抽取并传送到请求器。因而，此时，请求一个信赖标记可以利用，或者是代理位置，索引或信托中心本身，其他的措施也是可能的。

示例：

代理a想要从位置P1迁移到位置P2。他的SPL并不包含P2，但包含信托中心tc1和tc2。现在必须检查是否P2拥有一个来自tc1或tc2的信赖标记。为了达到这点，P2被要求提供所有它拥有的信赖标记。P2拥有来自信托中心tc3，tc2和tc4的信赖标记。它把这些标记发送到P1。现在P1检查是否来自P2的信赖标记之一与a的SPL中一个信托中心匹配。当P2拥有来自tc2的一个信赖标记和tc2是在a的SPL中就是这种情况，因此代理被允许迁移。

本发明与现有技术状态之间的主要优点差异

通过引入第三方我们得到的好处是用户不一定知道他的代理本身可以移动的所有位置，并且不允许代理访问非可信赖的位置。因此我们的办法并不限制位置的数目像原来的办法一样多。

因为信托中心可以对一个位置执行许多检查或者与位置拥有者签订一份合同，在信托中心和位置之间的信托关系在大多数情况下要比在一个代理拥有者和位置之间的信托关系更加有理。

原来办法的问题是当用户规定单一位置时，SPL可能变得非常大。因为这个目录必须与代理一起移动。这并非一件好事-尤其是如果该代理在具有有限带宽的无线网链路上移动时，依据本办法SPL比较短，因为用户可以用一个入口隐含地规定一整套代理系统。

本发明一种应用的例子是依据移动代理提供银行服务，为移动代理提供几个位置。对于这些位置来说该银行是它自己的信托中心并为所述的位置发布信赖标记，想要利用该银行提供的服务的一个移动代理包括在其SPL中银行的信赖标记。

如上所示的本发明提出用于管理一个移动代理系统中可信赖位置的装置和方法。该设备将移动代理的迁移操作限制在由可信赖位置规定的范围内。本发明包含用于控制一个代理位置可信赖性的装置和方法。一个移动代理的迁移操作受到一种利用可信赖系统概念的系统的限制。该系统访问由用户或信赖标记授权者规定的可信赖系统目录。它可根据该网络的目标节点是否可信赖检验迁移是否被允许。

本发明集中在一个位置的可信赖性如何被确定的方法上。除了通常的允许被访问的位置目录之外，用户可以规定一份可信赖检验代理目录(信托中心)。这些信托中心是用于验证可信赖性的代理位置。如果一个位置被认为是可信赖的，可信赖检验代理机构发布被存储在代理位置上的可信赖证书，可信赖证书是编码的以防止操纵。在迁移到一个代理位置以前，代理可以请求该位置的可信赖证书并对照它自己的可信赖检验代理机构的目录检验它们，如果可信赖证书合适，该代理被允许迁移。

Claims (10)

1.一种用于管理移动代理迁移到通信网络的节点的方法，包括以下步骤：

检验该网络的至少一个节点的可信赖性；

将该网络中被检验的节点的可信赖性与一个预置可信赖阈值进行比较；

在该可信赖性超过预置可信赖阈值的情况中，对于被检验的节点产生和数字签署信赖标记，并将该信赖标记存储在该网络中，

其中该信赖标记表明相应的节点已经通过可信赖性检验；

在移动代理者迁移到网络中的一个节点之前，检验对于相应的节点是否存在一个有效的可信赖标记；和

将移动代理的迁移限制到具有有效的信赖标记的节点，其中

检验该网络的至少一个节点的可信赖性的步骤是由该网络中具有信托中心的至少一个第三节点执行的。

2.依据权利要求1的方法，其特征在于，检验对于相应的节点是否存在有效的信赖标记是在移动代理的运行时间期间动态地执行的。

3.依据权利要求1的方法，其特征在于，具有信托中心的节点的目录被附加到移动代理上。

4.依据任何一项前面权利要求的方法，其特征在于，在移动代理迁移之前检验对于相应的节点是否存在有效的信赖标记的步骤是通过以下方式实现的：

对于有效的信赖标记，查询相应的目标节点；

查询至少一个具有信托中心的节点；和/或

查询至少一个存储有效的信赖标记和网络中的相应节点的存储单元。

5.依据权利要求4的方法，其特征在于，将预定的到期日期加到信赖标记上的步骤。

6.一种通信网络，

包括至少一个具有信托中心的节点，用于检验该网络的至少一个节点的可信赖性，将该网络中被检验的节点的可信赖性与一个预置可信赖阈值进行比较，并且在该可信赖性超过预置可信赖阈值的情况中，具有信托中心的节点具有一个标记建立器，用于为被检验的节点产生和数字签署信赖标记，具有信托中心的节点是该网络中与每个被检验节点一样的另一节点，

其中信赖标记和相应被检验的节点被存储在信托管理者数据库中，该信托管理者数据库是具有信托中心的节点的一部分或连接到具有信托中心的节点。

7.依据权利要求6的通信网络，其特征在于，

至少一个移动代理位置，管理移动代理在该通信网络中的迁移，

所述移动代理位置被设计为访问至少一个具有信托中心的节点的信托管理者数据库。

8.依据权利要求7的通信网络，其特征在于，

移动代理位置包括本地数据库，以存储从具有信托中心的节点的信托管理者数据库中提取的信息。

9.依据权利要求6-8之中任一项权利要求的通信网络，其特征在于，

具有信托中心的节点的目录被附加到由移动代理位置管理的移动代理上。

10.依据权利要求9的通信网络，其特征在于，

每个信赖标记包括一个到期日期。

Images