CN101997875B - 一种安全的多方网络通信平台及其构建方法、通信方法 - Google Patents

Abstract

本发明涉及一种安全的多方网络通信平台及其构建方法、通信方法，属于分布式系统和计算机网络领域。本发明的多方通信平台由一个管理节点，一组需要互相通信的主机节点构成，通过互联网连接，可实现安全高效的多方通信，为部署在通信节点上的网络应用软件提供安全信道；本发明利用主机标识协议实现通信层面的安全性，管理上利用公钥/密钥系统来实现认证安全；该协议有开源实现，支持多种常用操作系统，因而方案成本非常低；该方法采用的集中成员管理灵活便捷；与洋葱路由协议多跳转发、层层加密不同，主机标制协议的数据在通信双方之间一跳完成，仅加密一次，效率大大提高，而且对上层应用完全透明。

Description

一种安全的多方网络通信平台及其构建方法、通信方法

技术领域

本发明涉及一种安全的多方网络通信平台及其构建方法、通信方法，可以在不安全的互联网上搭建一个安全、易部署、高效的网络通信平台，属于分布式系统和计算机网络领域。

背景技术

互联网应用早已成为人们生活中如同水电气一样的必需品。但是网络通信充满了各种不安全因素：黑客利用木马控制僵尸网络进行分布式拒绝服务攻击可以使目标网站瘫痪；利用被挟持的域名服务器或者ARP(地址解析协议)缓存毒化技术可进行中间人攻击，使被攻击人泄露用户名、密码，或被篡改的信息欺骗；简单的嗅探攻击能从设计简陋的系统中获取关键信息。因而诸如电子商务和电子政务、企事业的办公自动化系统等网络应用花费了大量成本提高网络安全性。尤其是在多方通信的系统中，网络通信的安全问题尤其突出。例如电子政务系统中的公文传输过程需保证完整性和保密性，一种解决方案是让系统中所有计算机从物理上与公共网络隔绝，连入安全的专用网络。这种方法能保障其安全性，但是成本很高。

比较常用的安全方法是公钥认证和加密。IPSEC技术在三层上对数据进行加密，能够在端到端的层面上为通信双方建立安全信道，可抵御中间人攻击和嗅探攻击；并且对上层应用透明。采用双向认证的SSLVPN也能在端到端的层面上实现类似的通信安全。但是在多方通信的场景中采用端到端的信道，管理复杂性随系统规模增大而迅速增长，可管理性不佳。

洋葱路由(Onion Router)是一种安全级别很高的建立安全多方通信平台的工具。它由美国军方根据战时通信的需要研发的通信系统。洋葱路由通信系统由洋葱路由器层层加密之后转发，并且可选加入混淆视听的流量，能提供很高级别的安全性：即便信道中部分洋葱路由器被敌人控制，也能保证通信的保密性和完整性；甚至要分析出谁和谁通信都非常困难。效果上，洋葱路由是建立安全多方通信平台的理想工具，但实际运用时，洋葱路由效率很低，且仅通过代理提供面向连接的服务；另外，要达到理想的安全性还需要大量用户的参与。总而言之，洋葱路由不易部署而且低效。

综上所述，现有的技术在搭建多方通信平台时，无法兼顾成本、安全性、性能和可管理性。

发明内容

本发明的目的是，针对目前现有技术搭建多方通信平台在成本、安全性、性能和易管理四个方面无法兼顾的矛盾，设计了一种兼具安全、低成本、易管理和高效的多方通信平台及其构建方法、通信方法。

本发明的思路是利用主机标识协议实现通信层面的安全性，管理上利用公钥/密钥系统来实现认证安全；该协议有开源实现，支持多种常用操作系统，因而方案成本非常低；该方法采用的集中成员管理灵活便捷；与洋葱路由协议多跳转发、层层加密不同，主机标制协议的数据在通信双方之间一跳完成，仅加密一次，效率大大提高，而且对上层应用完全透明。

多方通信平台由一个管理节点，一组需要互相通信的主机节点(称为通信节点)构成。如图1所示，它们通过互联网连接，可实现安全高效的多方通信，为部署在通信节点上的网络应用软件提供安全信道。

说明几个术语：

●DHT-Distributed Hash Table，分布式哈希表，用于在网络上一组互相通信的计算上有序地存放信息，具有快速查询和容错性的特点。

●DNS-Domain Name System，域名系统是互联网的基础组成部分，负责将有含义的、方便交流和记忆的域名(如www.pku.edu.cn)转换成IP地址。

●RFC-Request For Comments，“请求注解”文档是互联网协议标准化的一种形式，包含了关于互联网技术的一系列标准。

●HIT-Host Identity Tag，主机标识标签是一个128位的二进制串，通过对主机标识进行哈希运算获得；通过把HIT作为IPv6地址使用，上层应用软件无需修改，即可在HIP(主机标识协议栈)环境中运行；每个通信节点有一个唯一的HIT。

●LSI-Local Scope Identifier，本地主机标识是一个32位的二进制串，与HIT类似，是通过对主机标识进行哈希运算获得，通过把LSI作为IPv4地址使用，上层应用软件无需修改，即可在HIP环境中运行；每个通信节点有一个唯一的LSI。

●通讯录，我们称存放在通信节点上，记录与本节点有互访关系的其他节点的域名、HIT/LSI、IPv4/IPv6地址的静态配置文件为通讯录。主机标识协议栈(HIP)可通过通讯录查询到对方的IP地址以建立信道。

●全局通信关系表，一个系统中的通信节点的互访关系是受控的。例如ABCD四个通信节点，A是某个信息服务器，向B，C，D服务；B和C需要传递公文；那么，它们四者的通信关系应是：A与B，C，D之间可以互相访问，而B只能和A，C互相访问，C只能和A，B互相访问，D只能与A互相访问。这个互访通信关系可用一张表记录：{(A，B)，{A，C}，{A，D}，{B，C}}，这张表称为全局通信关系表。

●通信节点信息表，它记录了系统中每个通信节点的域名、HIT/LSI、IPv4/IPv6地址三个属性，由管理节点维护。

管理节点的功能是维护全局通信关系表和通信节点信息表，生成和发布通讯录。全局通信关系表的每一项记录着被允许互相通信的两个节点的HIT。全局通信关系表和通信节点信息表存放在数据库中；如图3所示，管理节点的另两个功能模块：通讯录发布服务器和通信管理模块分别负责通讯录的生成发布任务和两张表的维护工作；为了保证通讯录的完整性，管理节点还需要申请一个服务器证书(及其相应的私钥)，用于对生成的通讯录签名。

通讯录发布服务器的生成和发布流程由通信节点请求触发。通讯录发布服务器收到更新请求，首先根据请求者的HIT在数据库中查询出所有与这个HIT有互访关系的节点，及其对应节点的域名、HIT/LSI、IPv4/IPv6地址；然后把这些信息写入到文本文件，用私钥对文本文件签名后返回给请求者。

通信管理模块是一个数据库管理程序，它一方面连接到数据库，另一方面给管理员提供在本地增加、删除和修改全局通信关系表和通信节点信息表的接口。通信管理模块运行在管理节点上，仅能本地操作，不允许通过网络访问(如禁止通信管理模块打开网络服务端口，并配置防火墙防止管理模块被非法访问)，以保证系统的安全性。

基于管理节点提供的服务，通信节点通过如下的流程实现安全的多方通信：

第一步加入多方通信平台。首先，请求加入节点自己生成主机标识及其相应的HIT/LSI，申请本机域名，并根据应用软件的需求，确定它可与哪些节点通信，把它们的HIT记录下来；接着，该节点把自己的HIT/LSI，IP地址，域名，和希望通信的节点的HIT列表，交给管理节点。

管理节点根据应用系统的需求判断请求是否被允许(应用系统使用平台提供的通信服务，例如电子政务系统就是一个应用系统，其需要分布运行在网络中，如果使用平台提供的服务，那么它们就安装在各个通信节点所在的主机上)；若请求被允许，则通信管理模块，将新节点的信息填入通信节点信息表；然后把新的互访关系(即该请求加入节点的请求互访关系)填入全局通信关系表中。若请求不被允许，那么通信节点加入失败。

与加入多方通信平台相关的过程是节点的退出和通信关系的修改。通信关系的修改由通信管理节点根据要求，增删全局通信关系表项实现；节点的退出由通信管理节点删除通信节点信息表及全局通信关系表中的相关表项实现。在更新各自的通信录时，通信节点获知此变动。

第二步向应用系统提供多方通信服务。事先说明一点：通信节点事先知晓获得对方的HIT/LSI，因为这是应用事先确定好的。通信节点获得对方的HIT和LSI的方式这里不关心。通信节点的应用软件通过访问对方的HIT或LSI发起通信。如图4所示，节点的HIP协议栈收到该请求时，首先用对方的HIT或LSI在本地通讯录中查询IP地址，若查到，则与对方握手，进行HIP关联(握手建立关联的过程在HIP协议RFC第5201号文档中详述，此处不再赘述)。若本地通讯录中未查到，那么触发更新程序及时更新本地通讯录后再次查询。若仍未查到，说明请求非法，通信失败。进行HIP关联的过程中，若对方不允许通信，关联失败；反之，关联成功进行正常的HIP通讯。

需要说明几点：第一，通讯录更新程序从管理节点上下载通讯录也是通过HIP协议进行的，因而受到严格保护；第二，双方通讯录中都必须有对方的信息，关联才能建立起来；因此如果一个节点即便通过某种手段获得了对方的地址，也无法与对方建立信道。第三，由于HIP协议不支持组播，本方法搭建的多方通信平台仅支持单播通信。

与现有技术相比，本发明的积极效果为：

本发明利用主机标识协议实现通信层面的安全性，主机标制协议的数据在通信双方之间一跳完成，仅加密一次，效率大大提高，而且对上层应用完全透明该协议有开源实现，支持多种常用操作系统，因而方案成本非常低，同时该方法采用的集中成员管理灵活便捷；管理上利用公钥/密钥系统来实现认证安全；因而本发明所搭建平台具有成本低，通信效率和通信安全性都相对较高的特点，具有良好的性价比。

附图说明

图1、多方通信平台构成图；

图2、通信节点构成图；

图3、管理节点构成图；

图4、建立信道流程图；

图5、电子政务系统节点互访关系。

具体实施方式

以某电子政务系统为例，说明本方法的具体实施方式。

电子政务系统中有三个应用：办公自动化，电子邮件和视频会议。系统中有五个客户主机使用这三个应用。每个应用均采用BS构架，各自拥有一个独立服务器。其中办公自动化应用和邮件应用是五个客户主机都需要访问的，而视频会议应用只能被客户主机2，3，4访问，其互访关系如图5所示。三个应用服务器和五个客户主机构成了这个多方通信系统中的八个通信节点。假设8台主机的域名已经准备妥当。

通过如下的参考步骤，我们搭建一个安全的多方通信平台支持这个政务系统的运行。

第一步另准备一台主机作为管理节点，为其申请一个公钥证书(可参考VeriSign公司网站)。并在其上安装好数据库。

第二步为八台主机和管理节点安装HIP协议栈。HIP协议栈有开源的实现openHip，可以支持常见的操作系统。接下来，参照openHip的使用说明，为各主机创建主机标识；以linux系统为例，可以在my_host_identities.xml文件中查看到主机的HIT，LSI等信息；启动openHip。

第三步在数据库中创建全局通信关系表和通信节点信息表，整理9台节点的域名，HIT/LSI，IPv4/IPv6地址信息填入通信节点信息表，整理9个节点的互访关系(8个通信节点的互访关系见图5；另外，管理节点与8个通信节点可互访)填入数据库全局通信关系表。

第四步编写通信管理模块，实现对数据库的两张表格的增删改操作。

第五步在管理节点上安装Web服务软件(如开源的Apache服务器)，在其中安装公钥证书；然后按照前述流程编写并部署通讯录发布服务器，作为Web应用在Web服务器中运行。

第六步按照前述流程编写通讯录更新模块，安装于九个节点上。

第七步配置所有通信节点的防火墙，规则是：仅允许通过HIT或LSI地址访问服务。

至此，电子政务系统的通信运行于我们搭建的安全多方通信平台之上。

Claims (10)

1.一种安全的多方网络通信平台构建方法，其步骤为：

1)将一台主机设置为多方通信平台的管理节点，并为所述管理节点申请并安装一公钥证书；

2)分别为所述管理节点、参与多方网络通信平台的通信节点创建主机标识；所述管理节点、通信节点之间通过互联网连接，所述通信节点仅允许利用主机标识进行访问；

3)所述管理节点创建全局通信关系表和通信节点信息表，并将其保存到所述管理节点的数据库中；其中，所述全局通信关系表的每一项记录着被允许互访的两个节点的主机标识，所述管理节点与每一通信节点具有互访关系；所述通信节点信息表记录所述管理节点及所有通信节点的域名、主机标识及其IP地址；

4)在所述管理节点上创建一通讯录发布服务器，所述通讯录发布服务器生成通信节点的通讯录并利用所述公钥证书的私钥对通讯录加密后发送给相应通信节点；其中，通信节点i的通讯录包括与通信节点i有互访关系的其他通信节点的域名、主机标识及其IP地址；

5)所述通信节点根据通讯录建立通信节点之间的通信信道。

2.如权利要求1所述的方法，其特征在于所述管理节点包括一通信管理模块，用于对所述全局通信关系表、所述通信节点信息表进行维护。

3.如权利要求1或2所述的方法，其特征在于所述管理节点、所述通信节点分别包括一通讯录更新模块，用于通过主机标识协议栈更新通讯录。

4.如权利要求3所述的方法，其特征在于所述主机标识采用HIT、IP地址采用IPv4的方式表示；或所述主机标识采用LSI、IP地址采用IPv6的方式表示。

5.一种安全的多方网络通信平台，其特征在于包括一管理节点、多个通信节点；所述管理节点、通信节点之间通过互联网连接，所述管理节点、通信节点分别具有一主机标识，所述通信节点仅允许利用主机标识进行访问；

其中，所述管理节点包括全局通信关系表和通信节点信息表，所述全局通信关系表的每一项记录着被允许互访的两个节点的主机标识，所述管理节点与每一通信节点具有互访关系；所述通信节点信息表记录所述管理节点及所有通信节点的域名、主机标识及其IP地址；

所述管理节点安装一公钥证书；所述管理节点还包括一通讯录发布服务器，用于生成通信节点的通讯录并利用所述公钥证书的私钥对通讯录加密后发送给相应通信节点；

其中，通信节点i的通讯录包括与通信节点i有互访关系的其他通信节点的域名、主机标识及其IP地址。

6.如权利要求5所述的平台，其特征在于所述管理节点还包括一通信管理模块，用于对所述全局通信关系表、所述通信节点信息表进行维护。

7.如权利要求5或6所述的平台，其特征在于所述主机标识采用HIT、IP地址采用IPv4的方式表示；或所述主机标识采用LSI、IP地址采用IPv6的方式表示。

8.一种如权利要求5所述平台的通信方法，其步骤为：

1)请求加入节点生成一主机标识及其相应的IP地址，并申请本节点域名；

2)该请求加入节点上根据应用软件需求，确定需要与本节点互访的节点并记录其主机标识；

3)该请求加入节点把自己的主机标识、IP地址、域名和希望互访的节点的主机标识列表发给管理节点；

4)管理节点根据平台上当前应用系统的需求判断该互访请求是否被允许；若被允许，则管理节点将该请求加入节点的信息填入通信节点信息表；然后将该请求加入节点请求的互访关系填入全局通信关系表中，进行步骤5)，否则该请求加入节点加入失败；

5)该请求加入节点通过访问目标节点的主机标识向目标节点发出访问请求；

6)目标节点用该请求加入节点的主机标识在本地通讯录中查询IP地址，若查到，则与该节点建立通信连接；若未查到，则从管理节点下载并更新本地通讯录后再次查询，若仍未查到，则拒绝通信连接。

9.如权利要求8所述的方法，其特征在于所述管理节点还包括一通信管理模块，用于对所述全局通信关系表、所述通信节点信息表进行维护；其中当通信节点互访关系变化时，根据变化后的互访关系增删全局通信关系表项；当通信节点退出时，删除通信节点信息表及全局通信关系表中的相关表项。

10.如权利要求8或9所述的方法，其特征在于所述主机标识采用HIT、IP地址采用IPv4的方式表示；或所述主机标识采用LSI、IP地址采用IPv6的方式表示。

Images