CN102170407B - 基于反舞弊控制逻辑单元的电子邮件可信管理实现方法 - Google Patents

Abstract

本发明提供一种基于反舞弊控制逻辑单元的电子邮件可信管理实现方法。本发明在不破坏现有网络系统中传统电子邮件协议结构的基础上，通过增加一个反舞弊控制逻辑单元，从而实现邮件交互行为的可预期、可管理，包括信度管理组件、信任配置组件、证据管理组件、不可否认组件和信任管理组件。在该电子邮件可信管理框架内，从邮件交互前的信度配置、交互中的控制管理，到交互后的纠纷解决与信度反馈，整个过程使得邮件交互成为一个闭环自反馈系统，满足邮件交互的安全性需求。

Description

基于反舞弊控制逻辑单元的电子邮件可信管理实现方法

技术领域

本发明涉及到网络安全与管理领域，具体来说是一种基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，用于确保邮件交互行为的可预期、可管理，为未来的安全电子邮件提供基础结构。

背景技术

作为异构网络环境下一种跨平台的、通用的分布式系统，电子邮件伴随着互联网的普及和电子商务、电子政务等应用的迅猛发展，已成为一种最为广泛的网络应用；但与此同时，诸如敏感信息泄漏、病毒传播和垃圾邮件泛滥等与电子邮件安全攸关的问题正陆续引起业界的广泛关注。

(1) 敏感信息泄漏：电子邮件在抵达目标主机前需要在多个邮件服务器间转发，传统邮件协议SMTP和POP3的不加密导致大部分邮件都是明文传输，这使得攻击者通过截获邮件转发路径上的邮件数据包，或截获POP3服务器所在网络的访问权限，可以轻易窃取到用户邮件信息，用户隐私遭到破坏。

(2) 病毒传播：电子邮件已成为病毒传播的主要渠道，据调查，83%的病毒主要借助电子邮件实施传播。电脑感染邮件病毒后通常都会自动转发病毒邮件，甚至通过消耗网络资源来达到瘫痪网络服务的目的；众所周知的尼姆达、红色代码等病毒就是借助电子邮件实施了快速传播，并最终导致大量电子邮件服务被迫关闭，造成巨大的经济损失。

(3) 垃圾邮件泛滥：邮件服务器通常没有限制转发功能，邮件发送无需进行特殊认证，这为垃圾邮件产生与繁殖提供了温床；据统计，全球有75%的电子信箱都曾收到过垃圾邮件，这种未经用户许可就强行发送到用户邮箱中的电子邮件非但严重干扰了用户的日常生活和工作，而且还有可能会侵占大量网络带宽、影响网络正常运行。

2005年11月7日信息产业部(现工信部)依据《中华人民共和国电信条例》和《互联网信息服务管理办法》等法规，颁发了第38号令《互联网电子邮件服务管理办法》，明确规定需要加强对电子邮件服务系统的安全管理，这表明全社会针对电子邮件安全的呼声已是越来越高。

为解决电子邮件的安全问题，业界进行了大量努力，给出了电子邮件端到端安全技术、电子邮件安全传输技术，以及邮件服务器安全技术。

1. 电子邮件端到端安全技术

在电子邮件端到端的安全技术方面，较具影响力的协议和标准包括PEM(Privacy Enhanced Mail, RFC989, 1421-1424), MOSS(MIME Object Security Services, RFC1848), S/MIME(Secure/Multipurpose Internet Mail Extensions, RFC2311-2312, RFC2632-2634), PGP(Pretty Good Privacy, RFC2015, 2440), GPG(Gnu Privacy Guard, RFC3156)以及MDN(Message Disposition Notification, RFC3798), IMDN(Instant Message Disposition Notification, RFC 5438)和ESS-S/MIME(Enhanced Security Services for S/MIME, RFC2634)等；它们的主要内容如下：

(1) PEM

PEM是IETF安全研究小组制定的邮件保密与增强规范，由美国RSA实验室基于RSA和DES算法开发而成。作为建立安全电子邮件的首次努力，PEM规范极其复杂，其中信息安全协议和公开密钥基础设施体系分别定义于RFC1421和RFC1422。PEM在电子邮件标准格式RFC822基础上增设了数据加密、鉴别、消息完整性及密钥管理等功能，并融合了对称密码与非对称密码两种方案实施身份认证与密钥管理，完全基于PKI公钥基础结构并遵循X.509认证协议，支持多种加密工具。目前PEM有TIS/PEM、RIPEM、MSP等多种实现版本。

PEM基于层次信任关系来实施邮件的安全认证，并为此制定了一个简单而又严格的全球认证等级；PEM采用的信任模型严格要求参与认证的实体之间必须彼此信任，这种过于严格的机制结构和应用灵活性的缺失使得该标准不适用于大规模企业组织，再加上PEM与同期发展起来的多用途网际邮件扩充协议MIME并不兼容，导致其在商用领域未获成功。

(2) MOSS

MOSS融合了PEM和MIME两者之特性，它是一种在MIME信息内容上实施端到端加密和数字签名的安全电子邮件解决方案，其用途在于保密邮件消息的完整MIME结构；MOSS分别使用对称密码实施加密，以及非对称密码实施密钥分发与数字签名；MOSS对密码算法并无特殊要求，同时也没推荐特定的密码算法。

相比于PEM中严格信任分级机制而言，MOSS中信任机制过于简单。MOSS继承了PEM大部分特性及协议规范，导致其与PEM一样缺失灵活性与通用性，因而也未得到广泛应用。

(3) S/MIME

S/MIME由RSA数据安全公司牵头开发，对PEM和MIME进行了安全功能扩展，版本3已成为IETF标准。S/MIME信息格式继承自MIME，数字签名采用PKCS。S/MIME利用单向散列和公钥加密体系，通过封装MIME实体为安全对象来实施信息保密，所采用的算法包括SHA-1、MD5、RSA、DSS、DES、RC2/40等，可提供包括数据加密、数据签名、数据净签名以及签名且加密数据等安全功能。此外，S/MIME通过使用application/pkcs7-MIME、multipart/signed、application/pkcs7-signature之类的复合数据类型来提供数据保密、完整性保护、认证和鉴定服务等安全功能。

S/MIME的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织（根证书）之间相互认证，整个信任关系基本是树状的，这就是所谓的Tree of Trust。S/MIME的证书格式采用X.509，但与一般浏览器网上购物使用的SSL证书还有一定差异，支持的厂商相对少一些。在国外，Verisign免费向个人提供S/MIME电子邮件证书；在国内也有公司提供支持该标准的产品。而在客户端，Netscape Messenger和Microsoft Outlook都支持S/MIME。

(4) PGP

PGP由Phil R. Zimmermann开发，可提供数据加密、数字签名、密钥管理、压缩、电子邮件分段等功能，是一种应用较为广泛的邮件加密方案(保密磁盘文件而非MIME方式)，其标准化工作由IETF具体负责，核心协议为Open PGP。PGP采用单向散列算法DSS/SHA/RSA实现邮件内容的数字签名，基于CAST/IDEA/3key-DES/RSA实现数据加密，借助ZIP实现数据压缩，通过Radix 64-convension实现数据编码，利用RSA实现密钥管理。现有PGP/MIME融合了PGP与MIME功能，采用与传统PGP相同的算法、认证格式和信任管理，两者差别在于信息格式。

PGP以网络实体为中心实施信任管理，没有统一的集中的机构进行公钥/私钥的签发，每个用户都是自身CA，信任关系的传递采用网状形式(WEB of Trust)，并通过信任链关联彼此信任的用户。鉴于PGP标准伸缩性差，无法建立可靠的信任关系，因此不宜应用于网络实体规模较大的环境，也不宜传输机密敏感信息。

(5) GPG

作为PGP非商业化(免费)版本，GPG完全遵循GNU公共许可证与PGP模式，使用非对称加密算法，可对Email数据实施加密与签名验证，以确保邮件通信的可靠性与真实性，当前版本1.0.6，并存在一个安全补丁。GPG标准完全兼容Open-PGP，安全性能高于PGP2，支持PGP 5.X格式的信息加密与校验、多种加密算法(未受专利保护)、模块扩展、匿名信息的收发、HKP密钥服务以及多种语言。GPG用户标识完全遵循标准结构，并提供在线帮助系统，以及拥有众多GUI界面，如Win PT(Windows Privacy Tools)和GPG Shell。

在密钥管理方面，GPG引入复杂的信任管理系统，该系统借助对密匙实施签名，将每个用户与其拥有的密钥实施绑定，通过映射用户信任级别到密钥可信级别，大大增强了系统对密钥安全性的鉴别能力。

(6) MDN

MDN扩展定义了MIME内容类型，以提供诸如X.400和专用“基于局域网”等信息系统所提供的回执、确认等安全功能，以便在确保邮件正确递交的同时关注用户隐私。通过MDN，邮件用户代理(MUA)或电子邮件网关可在邮件成功传递到收件人后向邮件发送者报告邮件递交情况，诸如邮件内容被阅读、被打印、被删除，以及消息接收者拒绝提供消息递交通知书(MDNs)等情况。MDNs提供五方面的功能：其一，在邮件递交成功后以独立于人类语言的方式通知消息发送者；其二，支持邮件用户代理在信息传输早期通过反馈消息通知书来追踪邮件投递情况；其三，支持通过网关在内外部邮件系统间传送递交通知请求与递交通知；其四，支持外部通知以隧道方式通过支持MIME格式的邮件系统，直至返回源端或第三方邮件系统；其五，支持交付语言独立、表述准确的消息递交标识。

此外，考虑到许多邮件收发会在互联网及其他消息系统(如X.400或专用的“基于局域网”的系统)间进行，MDN协议被设计成可用于多种协议邮件环境，即该协议除了正常用于Internet邮件之外，还可使用外部地址集。MDN中附加属性也可定义为借助Internet邮件以隧道模式递交外部通知。

(7) IMDN

与MDN功能类似，IMDN提供了一种用于端系统请求即时邮件(用户间邮件实时传递)投递通知的机制，包括递交、处理和通知显示等内容，同时为方便端系统请求IMDNs(即时消息投递通知书)，IMDN对RFC 3862中定义的数据格式CPIM(Common Presence and Instant Messaging)的头域进行了扩展，给出了用于传递IMDN通知书的信息格式。

(8) ESS-S/MIME

与MDN和IMDN中邮件递交通知机制类似，ESS-S/MIME使用了一种称为签名收据的机制来标识邮件递交情况。ESS-S/MIME会在邮件收发过程中向邮件发送方反馈签名收据，第三方可以通过验证该收据签名的正确性来判定邮件接收方是否已经收到该邮件，最近十多年来备受关注的签收邮件(Certified Mail)服务就部分采用了该技术，该类增值服务中所有端(邮件客户端和服务端)系统间的直接交互都捆绑对应的不可否认证据，日后通过审查这些证据就可以掌握邮件传递的真实情况。由于ESS-S/MIME利用签名绑定具体邮件信息，因此只要提供了消息签名的场合就可以使用该服务。除此之外，为确保收据自身保密性，ESS-S/MIME允许收据发送方选择采用适当的加密技术。

2. 电子邮件安全传输技术

考虑到端到端安全电子邮件技术一般只对信体进行加密和签名，而信头则由于邮件传输中寻址和路由的需要，必须保证原封不动。然而，一些特定的应用可能会要求信头在传输过程中也能保密，这就需要传输层技术作为后盾。目前主要有两种方式实现电子邮件在传输过程中的安全，一种是利用SSL SMTP和SSL POP，利用SSL所建立的安全传输通道运行SMTP和POP协议，同时又对这两种协议作了一定的扩展，以更好地支持加密认证和数据传输。这种模式要求邮件客户端与服务器端都能提供相应的支持，诸如必须安装SSL证书。另一种是利用VPN或者其他的IP通道技术，封装所有的TCP/IP服务，当然也包括电子邮件。

3. 邮件服务器安全技术

对邮件服务器自身的攻击由来已久，第一个通过Internet传播的病毒WORM就是利用了邮件服务器SendMail早期版本的一个安全漏洞。目前邮件服务器面临的最大安全威胁仍然是拒绝服务攻击。对拒绝服务攻击的防范通常从3个角度展开。其一是防止来自外部网络的攻击，包括拒绝来自指定地址和域名的邮件服务连接请求，拒绝收信人数量大于预定上限的的邮件，限制单个IP地址的连接数量，暂时搁置可疑的信件等；其二是防止来自内部网络的攻击，包括拒绝来自指定用户、IP地址和域名的邮件服务请求，强制实施SMTP认证，实现SSL POP和SSL SMTP以确认用户身份等；其三是防止中继攻击，包括完全关闭中继功能，按照发信和收信的IP地址和域名灵活地限制中继，按照收信人数限制中继等。当然，为了灵活地制定规则以实现上述的防范措施，邮件服务器应有专门的编程接口。

从以上讨论可以看出，其一，在电子邮件端到端安全技术方面，虽然PEM, MOSS, S/MIME, PGP和GPG等通过加密、签名、信任管理等安全机制为电子邮件提供了认证、访问控制、保密性、完整性等安全服务，以及MDN, IMDN和ESS- S/MIME等借助传统邮件的挂号信技术为电子邮件提供了诸如追踪与抗抵赖等增值服务，但通过研究不难发现，现有安全电邮协议及标准要么将安全重点放在邮件收发事前的安全堵截和事中的信任管理，即信任控制上，却忽略了对邮件收发行为完成后的安全责任追究，要么将安全重点放在邮件收发行为事后的追究上，即抵赖控制上，却忽略了对邮件收发事前及事中的管理控制。其二，在电子邮件安全传输技术和邮件服务器安全技术方面，虽然现有技术在一定程度上保证了邮件交互的安全性和可信赖性，然而正如Clark认为的一样，目前许多安全机制的设计很少触及体系结构的核心内容，大多通过单一的防御、单一的信息安全和打补丁等附加的机制在外围对非法用户和越权访问进行封堵，并没有一套规则将这些安全机制进行有效整合以确保网络系统中邮件交互的安全可信性。

总之，现有安全电邮技术都无法真正确保邮件交互的安全性。未来电子邮件必须存在一个统一的安全架构及规则，能够对邮件交互过程中尚未奏效的恶意行为或尚未被发现的破坏结果进行事前事中控制，能够对邮件交互中业已奏效的欺骗行为或被抵赖的破坏结果进行事后控制，从而确保任意诚实的用户间可以进行安全可预期的邮件交互，而使恶意用户或遭到破坏的网络组元无法干预这种交互。

发明内容

为克服现有技术的不足，本发明认为，要确保电子邮件的安全性，一种可行的出路是研制出电子邮件可信管理技术，其一，从用户的角度来讲确保电子邮件服务的可信性，从体系结构设计的角度来讲确保电子邮件执行的可控性；其二，可信管理技术的部署实现必须能够与现有电子邮件框架做到很好的融合。为此，本发明旨在不破坏传统电子邮件协议结构的基础上，通过增加一个反舞弊控制逻辑单元，籍此引入不可否认和信任管理两类服务，从而构建出一种电子邮件可信管理结构，使得邮件交互在满足方便管理的同时具备安全性，实现对邮件交互行为的可预期、可管理。为此，本发明提供一种基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，用于实现对邮件用户行为、邮件协议运行和邮件协议资源的可信管理，在网络受到内外干扰的情况下，对邮件协议状态还对用户行为进行持续的检测、分析和决策，进而对协议设备、协议机制的控制参数进行自适应优化配置，使邮件协议的数据传输、协议资源分配和用户服务达到可以预期的程度，为电子邮件的安全提供基础结构，从根本上解决当前电子邮件中舞弊缺乏有效控制的棘手问题，以确保最终向用户提供安全可信的电子邮件服务。

本发明所采用的技术方案是：一种基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，是在传统电子邮件协议结构的基础上增加一个反舞弊控制逻辑单元，从而实现邮件交互行为的可预期和可管理，反舞弊控制逻辑单元包括信度管理组件、信任配置组件、证据管理组件、不可否认组件和信任管理组件；具体实现步骤如下：

步骤ⅰ，邮件交互前的信任配置，该步骤包括2个子环节：(1₁) 信度管理组件检索目标实体当前信度，以信任视图形式提交给信任配置组件；(1₂) 信任配置组件基于该视图进行信任决策，并依据决策结果形成可直接作用于目标邮件实体的交互控制配置命令。控制配置命令的制定因应用场合不同而异，诸如允许邮件继续交互、禁止邮件发送、禁止邮件接收和禁止邮件继续交互等。

步骤ⅱ，邮件交互中的控制管理，该步骤包括4个子环节：(2₁) 不可否认组件利用不可否认机制为目标实体间的邮件交互行为生成并绑定相应的抗抵赖证据；(2₂) 证据管理组件从不可否认组件处收集存储与本次邮件交互相关的抗抵赖证据；(2₃) 不可否认组件利用合同签名及公平交换两种安全机制向信任管理组件提供信任信息精确性服务；(2₄) 信任管理组件使用信任信息精确性服务对目标实体间信任信息的共享实施管控，包括虚假邮件交互检测以及非诚实信度反馈过滤，以便确保信任信息共享的一致性。

步骤ⅲ，邮件交互后的纠纷解决与信度反馈，该步骤包括6个子环节：(3₁) 不可否认组件受理目标实体间引发的交互纠纷；(3₂) 证据管理组件依据纠纷仲裁需求向不可否认组件提供纠纷仲裁依据；(3₃) 不可否认组件依据仲裁依据对纠纷实施仲裁，并将结果提交给信任管理组件作为未来信任评估的依据；(3₄) 信任管理组件依据目标实体异常行为特征及历史纠纷仲裁结果实施信任评估；(3₅) 信度管理组件以历史信任流的形式向信任管理组件提供目标实体信度变化历史序列；(3₆) 信任管理组件依据目标实体信度变化的历史序列对信任评估结果实施信任重估，其结果以可靠信度的形式反馈给信度管理组件，用于未来邮件交互的控制配置。

本发明的基于反舞弊控制逻辑单元的电子邮件可信管理实现方法的步骤ⅲ中所述历史信任流的特征除了包含邮件实体历史行为的时序变化，也包含基于时间序列的邮件用户历史行为信息；步骤ⅰ中所述信任视图的特征为历史信任流在当前时刻处的信度切片。

本发明中步骤ⅱ中所说的不可否认机制是本领域人员所熟知的方式，诸如数字签名及时间戳等。

图2给出了在上述电子邮件可信管理框架内对传统邮件协议(SMTP和POP3)实施反舞弊控制的场景；该图左侧虚框部分为对SMTP协议交互(标号1-4)实施控制，右侧虚框部分为对POP3协议交互(标号5-7)实施控制，通过对这两个协议交互逐一实施反舞弊控制以实现对整个邮件交互的可信管理。该图中异常行为、交互纠纷、控制配置命令、检测过滤和证据绑定依次对应于图1中反舞弊控制逻辑单元(虚框部分)上的2个输入和3个输出。

图3给出了反舞弊控制逻辑单元所采用的13对关键的显式控制序列，每对序列分为主从两个子序列，从序列i'(由虚线标识)用于完成对主序列i(由实线标识)的应答确认或命令实施。对控制序列采用主从模式进行设计的好处在于方便了电子邮件可信管理结构对控制信息可达性的判定，避免了控制实施过程中因控制等待和控制配置命令重传引发的额外开销。对13对关键控制序列的具体解释如下(图中发送方为邮件协议信源实体，接收方为邮件协议信宿实体，信任配置代理完成信任配置组件功能，信度管理代理完成信度管理组件功能)：

其一，反舞弊控制序列1(1')为发送方依据来自自身的邮件发送需求向信任配置代理发起控制配置请求，以及信任配置代理对该请求作出确认；

其二，反舞弊控制序列2(2')为信任配置代理在分析发送方请求的基础上向信度管理代理发出信度检索请求，以及信度管理代理通过反馈全局信任视图作为响应；

其三，反舞弊控制序列3(3')和4(4')为信任配置代理依据信任视图向发送方和接收方反馈控制配置命令；

其四，反舞弊控制序列5(5')、6(6')、7(7')、8(8')和9(9')为不可否认组件利用证据绑定实施抗抵赖控制，通过在邮件协议运行时为发送方和接收方产生、收集有关本次邮件交互的抗抵赖证据，以便为日后的纠纷解决提供仲裁依据；图中可信第三方在真实网络环境中通常就是PKI(Public Key Infrastructure)系统一部分，它是信源信宿双方公平收集抗抵赖证据的保证；

其五，反舞弊控制序列10(10')和11(11')用于当信源实体和/或信宿实体对先前对方的交互行为存有异议时，争议方通过携带先前收集到的抗抵赖证据向纠纷仲裁方发出仲裁请求，仲裁方将依据相关证据在不可否认框架内对纠纷做出仲裁；仲裁结果将作为未来信任管理组件实施信任评估的重要依据，由不可否认组件提交给信任管理组件；

其六，反舞弊控制序列12(12')和13(13')为邮件交互行为完成后，信任管理组件从感知与监测到的目标实体行为中抽取异常行为特征，将其同序列10'和11'中的仲裁结果一并提交给信任管理组件等待信任评估；信任评估结果经过信任重估后，最终以可靠信度的形式反馈给信度管理代理(信度管理组件的功能实体)，由其实施信度数据接纳控制与入库保存，以便作为未来邮件交互前信任配置的依据。

本发明还公开了用于上述实现电子邮件可信管理的反舞弊控制逻辑单元，该单元结构如图1所示，包括信度管理组件、信任配置组件、证据管理组件、不可否认组件和信任管理组件，其中：

信度管理组件以信任视图的形式向信任配置组件提供目标实体当前信度、以历史信任流的形式向信任管理组件提供目标实体信度的历史变化情况，以及接纳信任管理组件反馈的目标实体可靠信度；

信任配置组件依据信任视图实施信任决策，并基于决策结果形成可直接作用于目标实体的邮件交互控制配置命令；

证据管理组件收集不可否认组件生成的邮件交互证据、向不可否认组件提供交互纠纷仲裁依据；

不可否认组件为邮件协议交互提供证据绑定服务、向信任管理组件提供信任信息精确性机制、受理邮件交互纠纷并实施仲裁；

信任管理组件借助精确性机制对目标实体间信息共享实施检测与过滤、依据目标实体异常行为特征及纠纷仲裁结果实施信任评估、结合目标实体历史信任流对评估结果进行信任重估，以可靠信度的形式提交给信度管理组件。

本发明还公开了一种电子邮件可信管理的实现，它是在传统电子邮件协议结构的基础上增加一个上述的反舞弊控制逻辑单元。该系统中反舞弊控制逻辑单元通过其内嵌的信任配置组件、信任管理组件和不可否认组件与传统电子邮件协议结构进行连接，两者之间的工作原理为：

(1) 在邮件收发前，反舞弊控制逻辑单元通过信任配置组件向传统电子邮件协议结构中目标实体传递交互控制配置命令；

(2) 在邮件收发中，反舞弊控制逻辑单元通过不可否认组件为传统电子邮件协议结构中目标实体间的邮件交互行绑定抗抵赖证据；通过信任管理组件抽取传统电子邮件协议中目标实体的异常行为；通过信任管理组件对传统电子邮件协议结构中目标实体间信任共享实施检测及过滤；

(3) 在邮件收发后，反舞弊控制逻辑单元通过不可否认组件对来自传统电子邮件协议结构的实体纠纷进行受理并处理。

目前围绕电子邮件的可信管理问题并没有一个完整清晰的认识，现有的网络理论及工具还不足以对恶意行为存在时邮件交互的安全与可信性进行分析，电子邮件可信技术尚待探讨，尚没有一个电子邮件可信模型或一套邮件交互控制方法能够满足GENI认为的可信的网络控制应具备的三个基本特征：可靠的系统信息来源、可信的决策诊断机制和自适应的系统控制方法。

本发明在不破坏传统电子邮件协议结构的基础上，通过增设信任配置组件、不可否认组件、信任管理组件、证据管理组件和信度管理组件五大安全组件，籍此引入不可否认与信任管理两类安全机制，给出了一种用于实现电子邮件可信管理的方法。该方法通过确保邮件实体行为具备可控性的前提下，对电子邮件交互过程依次实施事前的信任配置、事中的控制管理和事后的纠纷解决及信度反馈，最终实现了邮件交互的安全可预期。

新的电子邮件可信管理结构中，虽然数据流与控制流两者占用了相同的物理信道，但在逻辑上两者是分离的；新的电子邮件可信管理结构中，将一切基于时间序列的邮件协议状态参数、邮件协议实体行为参数、邮件协议提供的服务运行情况都以抽象层面的信任流来描述，实现行为与服务在描述上的一致，为描述的可观性提供了基础；基于新的电子邮件可信管理结构，邮件交互能够以闭环形式自反馈地运行，确保了交互过程的安全与可信。

本发明与现有技术相比，具有以下优点：

(1) 本发明弥补了现有电子邮件端到端安全技术的弊端，本发明不仅考虑到邮件系统中恶意行为区别于一般邮件交互故障的特殊性，更是将反应方式提前，基于自适应信任管理提供的信度反馈及信度监测与评估分析获得的系统信度变化态势，构建了恶意行为尚未奏效或破坏结果尚未被发现的邮件交互控制方法；同时本发明考虑到欺骗行为区别与恶意实体的攻击或破坏行为的特殊性，将与邮件交互事件和行为密切相关的抗抵赖证据的收集、维护和验证融入到邮件协议执行过程，构建了欺骗行为业已奏效或破坏结果被抵赖的邮件交互执行方法；

(2) 本发明弥补了现有电子邮件传输安全和邮件服务器安全技术的弊端，本发明通过建立基于信任视图的一致性原则，给出了邮件协议的可信可控设计，提供了以信任流为统一规范的协议故障、恶意攻击和服务质量下降等异常现象及用户异常行为标准描述，用以反映邮件协议服务及协议资源的运行情况、入侵情况，解决了目前邮件协议控制体系中管理逻辑复杂多样化，缺乏统一规则及架构的问题；

(3) 本发明有机融合了可信性和可控性，能够满足多样化的安全邮件协议运行目标，及时建立准确的邮件交互视图，实施便捷高效的邮件协议交互控制，是对现有邮件协议设计、控制与管理理论的完善与创新；

(4) 本发明将传统的针对电子邮件的安全性研究推进到可信研究，并和网络管理机制结合，强调对邮件协议交互行为和用户行为的可信性及可控性测量与评估，改变传统邮件系统中单一的防御、单一的信息安全补丁，为有效解决邮件交互的安全问题提供了新思路。

当今社会，随着电子邮件应用的日益普及，邮件交互安全已成为影响社会经济和谐发展和国家安全的重要因素。然而随着网络技术与应用的飞速发展、多终端的出现、多业务的融合，互联网日益呈现复杂、异构和泛在等特点，当前的电子邮件体系已随之暴露出严重不足，电子邮件正面临着严峻的安全与管理等重大现实挑战，保障电子邮件交互的安全性已成为当今电子邮件发展的迫切需求。在此背景下，我们提出基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，以系统的、开放的、统一的灵活方式解决邮件交互的可信与可控问题，实现邮件安全交互的全面考虑，为更大规模电子邮件系统的部署创建安全的关键交互技术，必将为我国下一代电子邮件系统的研究与建设贡献力量。

附图说明

图1为本发明实现的基于反舞弊控制逻辑单元的电子邮件可信管理结构图。

图2为本发明实现的电子邮件可信管理实施场景图。

图3为本发明实现的反舞弊控制逻辑单元内部关键控制序列图。

图4为本发明实现的反舞弊控制决策判断图。

图5为本发明实现的电子邮件可信管理系统软件模块划分。

图6为本发明实现的电子邮件可信管理试验床部署图。

图7为本发明实现的电子邮件可信管理系统运行测试的信任配置界面。

图8为本发明实现的电子邮件可信管理系统运行测试时的信任选择界面。

图9为本发明实现的电子邮件可信管理系统运行测试时的邮件协议执行界面。

图10为本发明实现的电子邮件可信管理系统运行测试时的邮件状态监控界面。

图11为本发明实现的电子邮件可信管理系统运行测试时的抗抵赖证据收集界面。

图12为本发明实现的电子邮件可信管理系统运行测试时的信任评估界面。

具体实施方式

实施例1：一种电子邮件可信管理实现方法如图1所示，它不是推翻现有网络系统中广泛采用的任意电子邮件协议结构来重建一类新的邮件协议结构，而是在此基础上增加一个反舞弊控制逻辑单元，它包含信度管理、信任配置、证据管理、不可否认和信任管理五大组件，其中信度管理组件以信任视图的形式向信任配置组件提供目标实体当前信度、以历史信任流的形式向信任管理组件提供目标实体信度的历史变化情况，以及接纳信任管理组件反馈的目标实体可靠信度；信任配置组件依据信任视图实施信任决策，并基于决策结果形成可直接作用于目标实体的邮件交互控制配置命令；证据管理组件收集不可否认组件生成的邮件交互证据、向不可否认组件提供交互纠纷仲裁依据；不可否认组件为邮件协议交互提供证据绑定服务、向信任管理组件提供信任信息精确性机制、受理邮件交互纠纷并实施仲裁；信任管理组件借助精确性机制对目标实体间信息共享实施检测与过滤、依据目标实体异常行为特征及纠纷仲裁结果实施信任评估、结合目标实体历史信任流对评估结果进行信任重估，以可靠信度的形式提交给信度管理组件。在该电子邮件可信管理逻辑框架内，从邮件交互前信度配置、交互中控制管理，到交互后纠纷解决与信度反馈，整个过程使得邮件交互成为一个闭环的自反馈系统，满足邮件交互的安全性需求。

本实施方式定义实体X的信度是一个三元组<施信方E, 信誉值T_X , 信任阀值V_X >, 其中T_X 用于标识X呈现给E的可信度，V_X 用于标识X所能忍受其它实体的信任底限。

本实施方式中反舞弊控制逻辑单元使用的信任控制决策函数定义为：设 为信任主体S在时刻t处利用评估模型获得的信任客体R_i 的信誉值；S为邮件发送者，R={r ₁, r ₂, ¼, r_n }为邮件接收者集合，且{ R ₁, R ₂, ¼, R_m }(此处

)为其的一个划分；H₁(允许交互)、H₂(禁止发送)、H₃(禁止接收)、H₄(禁止交互)分别标识TCM的4种交互控制策略，时刻t处邮件发送者S与邮件接收者集R间邮件交互的控制决策函数

定义为：

图4给出了基于上述控制决策函数的一对一通信拓扑下A(Alice), B(Bob), C(Charley)三个邮件实体间邮件交互的信任决策方案，以A和B之间的交互为例，描述如下：A要发送邮件给B，反舞弊控制逻辑单元内信任配置组件依据该时刻A的信度<B, a1, b1>和B的信度<A, a2, b2>实施决策判断：(1) 若a1(=0.9)>b2(=0.5), a2(=0.9)>b1(=0.5)，则允许继续交互，即A可发送，B可接收；(2) 若a1(=0.9)>b2(=0.5), a2(=0.3)<b1(=0.5)，则禁止接收，即A可发送，B不可接收；(3) 若a1(=0.3)<b2(=0.5), a2(=0.9)>b1(=0.5)，则禁止发送，即A不可发送，B可接收；(4) 若a1(=0.3)<b2(=0.5), a2(=0.3)<b1(=0.5)，则禁止继续交互，即A不可发送，B不可接收；

同理，邮件群发(一对多拓扑)时决策控制过程为：Alice要群发邮件给Bob, Charley等n-1个实体，反舞弊控制逻辑单元内信任配置组件依据该时刻Alice的信度<{Bob, Charley等n-1个实体}, a1, b1>、Bob的信度< A, a2, b2>、Charley的信度< A, a3, b3>，¼，< A, an, bn>实施决策判断：首先，将a2, a3, ¼, an 从小到大计数排序，得有序序列MayReceive[n-1]，时间复杂度O(n)；其次，将序列MayReceive[n-1]中小于b1的ai对应的实体剔除，得序列MayReceive[k] (此处k£ n-1)，时间复杂度O(n)；接着，将b2, b3, ¼, bn 从大到小计数排序，得有序序列MaySend[n-1]，时间复杂度O(n)；再次，将序列MaySend[n-1]中大于a1的bi对应的实体剔除，得序列MaySend[j] (此处j£ n-1)，时间复杂度O(n)；最后，计算序列MaySend[j]对应实体集与序列MayReceive[k]对应实体集的交集，得实体序列Entity[m]，即Alice可将邮件群发给Entity[m]，时间复杂度

或

。

图5给出了本发明中电子邮件可信管理系统内反舞弊控制逻辑单元的软件模块划分，主要包括不可否认模块、信任管理模块、信度数据管理模块、证据管理模块、行为接管模块、信任配置模块、证书管理模块，以及系统预留模块等。此处的行为接管模块主要用于实时截获邮件客户端与服务端产生所有SMTP与POP3协议交互行为。除行为接管模块和系统预留接口模块外，其余模块用于实现图1中相关组件待提供的功能。

图5中实线部分是反舞弊控制单元中不依赖于任何实际系统与环境的部分，它的表现形式为动态连接库，也可以其它形式提供，该部分可以不实施任何大的修改就能轻易地移植到其它系统中。四周所示的各种接口封装是对核心模块所依赖的外围功能的逻辑抽象。实线中最为核心的是不可否认模块和信任管理模块。

(1) 本实施方式中不可否认模块采用了一种通用的公平多方不可否认机制(NKM)，该模块实现了舞弊行为的抗抵赖证据绑定。图5中列出的证书管理、证据管理和时间、密码算法等外围模块作为其底层依赖模块，主要用于提供安全的证书管理服务、电子证据管理服务、密码服务以及精确时间服务。

(2) 本实施方式中信任管理模块采用了一种通用的EigenTrust算法，该模块实现了的信任评估逻辑和信度重估逻辑；图5中列出的信度管理模块是其依赖模块，主要用于提供安全的信度数据管理服务。

图6给出了本发明中电子邮件可信管理系统在网络试验床上的部署。目前网络试验床拓扑牵涉到5个自治域(AS 65534, AS 65539, AS 65532, AS 23486, AS 65537)、5个域内控制节点(CN 65534, CN 65539, CN 65532, CN 23486, CN 65537)、9台软件路由器(rB, rC, rD, rE, rF, rG, rH, rI, rJ)、若干台交换机和用户主机；该试验床核心功能由Click1.7(http://read.cs.ucla.edu/click/download)的数据包转发功能和XORP1.6(http://www.xorp.org)的路由决策功能共同实现。其中，Click由美国MIT大学Eddie Kohler博士提出，由MIT计算机技术系并行与分布式操作系统实验室开发完成，它是一款新型模块化的软件路由器，其设计目标是使路由器软件更加灵活并且易于配置与管理，当前最高版本为1.8；XORP(extensible open router platform)是工业界重要的可扩展开放路由平台，隶属加州大学伯克利分校国际计算机科学委员会发起的一个项目，其支持大部分路由协议，包括单播路由协议、组播路由协议，有效地填补了网络路由研究和互联网应用之间的空白，目前得到了Intel、NSF、微软和Vyatta等机构与公司的支持，当前最高版本为1.6。

在打通试验床内路由通路方面，试验床对网络设备和网络控制节点做了如下封装：

其一，网络设备(诸如9台路由器rB, rC, rD, rE, rF, rG, rH, rI, rJ)是试验床网络中被控对象，采用Click模块进行封装，以充分利用该模块的路由重划分重配置功能来确保路由具备可控性；

其二，网络控制节点(诸如CN 65534, CN 65539, CN 65532, CN 23486, CN 65537)是试验床网络中控制实施主体，是网络控制逻辑集散地，采用XORP模块进行封装，以充分利用该模块的路由决策功能来形成路由控制策略；

其三，网络控制节点对网络设备进行控制，共同完成网络的可控接入及可控互联，从而确保网络接入和互联的可信可预期。

本发明中电子邮件可信管理系统的部署在两个活动的自治域AS 65534和AS 65539上展开；其中，AS 65534作为试验床上当前最大的活动域，实施电子邮件可信管理两个方面的部署，其一是在该域控制节点CN65534上部署反舞弊控制逻辑单元(反舞弊控制逻辑集散地)，对源于该域内的邮件交互行为实施控制；其二是在该域内路由器F上连接部署一台用户机，用于实施电子邮件的发送与接收任务。AS 65539作为较小的一个活动域，实施电子邮件可信管理单方面的部署，在该域路由器G上连接部署一台可提供SMTP和POP3服务的电子邮件服务器。

当自治域AS 65534内用户Alice给该域内用户Bob发送电子邮件时，邮件报文首先从邮件发件方所在主机出发，横跨自治域AS 65534到达自治域AS 65539内所在邮件服务器(过程如图中标识1所示)，在此之后，报文从邮件服务器出发，经过AS 65534 (标识2所示)并最终到达用户Bob所在主机。其中，路径标识1中的邮件数据交互完全基于SMTP协议，标识2中的邮件数据交互完全基于POP3协议，整个邮件交互的安全可预期性由CN65534上部署的反舞弊控制逻辑单元以自适应控制的方式提供保证。

系统运行及测试过程如下：

以Alice(发送者)与Bob(接收者)间的邮件交互为例，图7－图12给出了本发明中电子邮件可信管理系统运行时对邮件交互实施可信管理的3个阶段过程。

(1) 在邮件交互前的信任配置阶段，给出信任配置界面和信任选择界面：

图7(a)和(b)为信任配置界面，具体配置有用户名、用户口令、证书失效日期、实体信度值、信度阀值等；初次运行时信度配置依赖专家知识开展，之后通过检索信度数据库自动完成。图8(a)为信任选择界面，Alice依据信度知识选取可信任的邮件接收者(此时为Bob)。图8(b)给出了因为发送者Alice信度低于接收者Bob信度阀值时无法实施邮件发送的选择结果。

(2) 在邮件交互中的控制管理阶段，给出邮件协议执行界面和邮件状态监控界面：

图9(a)和(b)为邮件协议执行界面。实施邮件收发期间，除基于SMTP和POP3进行邮件数据传输外，还会对邮件交互异常行为实施信任控制和抵赖控制；这其中所有与邮件交互相关的抗抵赖证据的产生与收集都是自动进行的。收发行为完成后，邮件储存于inbox，outbox等目录中。图10(a)和(b)为邮件状态监控界面，用于实时监控整个系统中邮件发送个数、TTP抗抵赖证据发布情况等系统重要运行参数。需要说明的是，该系统可以TTP角色运行，它的功能是以邮件形式为其他用户产生并发送证据。

(3) 在邮件交互后的纠纷解决与信度反馈阶段，给出证据收集界面和信任评估界面：

图11(a)和(b)为抗抵赖电子证据收集界面，给出本次邮件交互中收集到的所有证据信息。图12(a)和(b)为信度反馈界面，邮件交互实体对交互对方在本次交互中的表现给予信任评价，系统会依据收集到的信度反馈自动计算出该实体的最新信度，并提交给信度数据库。

为测试本发明中电子邮件可信管理系统的功能，特意构造了恶意实体经常会表现的2类共7种舞弊行为，诸如发送方提供假密钥、发送方拖延邮件发送、邮件虚假收发、接收方诋毁收到邮件这4种典型的恶意抵赖行为，以及诸如邮件实体行为策略波动、虚假信度共享、恶意信度反馈这3种典型的策略扰动行为。通过依次对这2类共7种典型舞弊行为进行针对性测试，检验了舞弊行为存在情况下邮件执行结果与预期目标之间的一致性情况，结果见表1。

表1为本发明实现的电子邮件可信管理系统的功能测试结果

为测试本发明中电子邮件可信管理系统中信任管理与不可否认两种反舞弊控制机制的联动性，对2类共7种典型舞弊行为进行了如下7种组合：(1) 发送方提供假密钥，并在交互过程中实施策略行为波动；(2) 发送方提供假密钥，并在信度评价中恶语中伤接收方；(3) 发送方拖延邮件发送，并在交互过程中实施策略行为波动；(4) 发送方拖延邮件发送，并在信度评价中恶语中伤接收方诋毁邮件；(5) 发送方和接收方串通实施虚假邮件收发和虚假信度共享以哄抬彼此信度；(6) 接收方诋毁收到邮件，并在交互过程中实施策略行为扰动；(7) 接收方诋毁收到邮件，并在信度评价中恶语中伤发送方。通过依次对舞弊行为未实施和舞弊行为实施两种情形下的邮件交互状况进行实测，检验了舞弊行为的实施与邮件交互结果的调整之间的关联性，结果如表2所示。

表2为本发明实现的电子邮件可信管理系统的联动测试结果

为测试本发明中电子邮件可信管理系统反舞弊控制的压力情况，选用了联动测试环节中的7种舞弊行为组合，构造了批量单发和多次群发两种压力环境，并分别对2种压力环境下7种恶意行为组合逐一实施时的反舞弊控制效果进行了实测，结果如表3所示。

表3为本发明实现的电子邮件可信管理系统的压力测试结果

从系统运行结果可以看出，基于反舞弊控制逻辑单元的电子邮件可信管理系统能够稳定运行，这表明本发明提供的反舞弊控制逻辑单元与传统电子邮件协议在兼容共生、可过渡可演变方面具备可行性。从系统功能测试结果可以看出，邮件交互结果与预期目标之间具备一致性，这表明基于反舞弊控制逻辑单元的电子邮件可信管理实现方法在确保网络交互可信可控方面具备有效性。 从系统联动测试结果可以看出，邮件实体抵赖和策略波动等舞弊行为的实施与邮件交互结果的调整之间具备关联性，这表明本发明提供的反舞弊控制逻辑单元内抵赖控制与信任控制的联动实施具备可行性。从系统压力测试结果可以看出，在舞弊行为存在情况下批量单发和多次群发时反舞弊控制具备稳定性，这表明反舞弊控制逻辑单元内抵赖控制和信任控制联动实施具备鲁棒性。

以上运行及测试结果表明，本发明给出的基于反舞弊控制逻辑单元的电子邮件可信管理实现方法是有效可行的。

Claims (5)

1.一种基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，其特征在于：在不破坏传统电子邮件协议结构的基础上增加一个反舞弊控制逻辑单元，从而实现邮件交互行为的可预期、可管理，反舞弊控制逻辑单元包括信度管理组件、信任配置组件、证据管理组件、不可否认组件和信任管理组件；具体实现步骤如下：

步骤ⅰ，邮件交互前的信任配置，该步骤包括2个子环节：

(1₁) 信度管理组件检索目标实体当前信度，以信任视图形式提交给信任配置组件；

(1₂) 信任配置组件基于该视图进行信任决策，并依据决策结果形成可直接作用于目标邮件实体的交互控制配置命令，控制配置命令的制定因应用场合和服务质量的不同而异；

步骤ⅱ，邮件交互中的控制管理，该步骤包括4个子环节：

(2₁) 不可否认组件利用不可否认机制为目标实体间的邮件交互行为生成并绑定相应的抗抵赖证据；

(2₂) 证据管理组件从不可否认组件处收集存储与本次邮件交互相关的抗抵赖证据；

(2₃) 不可否认组件利用合同签名及公平交换两种安全机制向信任管理组件提供信任信息精确性服务；

(2₄) 信任管理组件使用信任信息精确性服务对目标实体间信任信息的共享实施管控，包括虚假邮件交互检测以及非诚实信度反馈过滤，以便确保信任信息共享的一致性；

步骤ⅲ，邮件交互后的纠纷解决与信度反馈，该步骤包括6个子环节：

(3₁) 不可否认组件受理目标实体间的交互纠纷；

(3₂) 证据管理组件依据纠纷仲裁需求向不可否认组件提供纠纷仲裁依据；

(3₃) 不可否认组件依据仲裁依据对纠纷实施仲裁，并将结果提交给信任管理组件作为未来信任评估的依据；

(3₄) 信任管理组件抽取目标实体的异常行为特征，将其作为信任评估的依据；

(3₅) 信度管理组件以历史信任流的形式向信任管理组件提供目标实体信度变化历史序列；

(3₆) 信任管理组件依据目标实体信度变化的历史序列对信任评估结果实施信任重估，其结果以可靠信度的形式反馈给信度管理组件，用于未来邮件交互的控制配置。

2.根据权利要求1所述的基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，其特征在于：步骤ⅲ中所述历史信任流的特征除了包含邮件实体历史行为的时序变化，也包含基于时间序列的邮件用户历史行为信息；步骤ⅰ中所述信任视图的特征为历史信任流在当前时间点上的信度切片。

3.根据权利要求1所述的基于反舞弊控制逻辑单元的电子邮件可信管理实现方法，其特征在于：(1₂)中所说的控制配置命令包括允许邮件继续交互、禁止邮件发送、禁止邮件接收和禁止邮件继续交互。

4.一种实现电子邮件可信管理的反舞弊控制逻辑单元，其特征在于，包括信度管理组件、信任配置组件、证据管理组件、不可否认组件和信任管理组件；

其中，信度管理组件以信任视图的形式向信任配置组件提供目标实体当前信度、以历史信任流的形式向信任管理组件提供目标实体信度的历史变化情况，以及接纳信任管理组件反馈的目标实体可靠信度；

信任配置组件依据信任视图实施信任决策，并基于决策结果形成可直接作用于目标实体的邮件交互控制配置命令；

证据管理组件收集不可否认组件生成的邮件交互证据、向不可否认组件提供交互纠纷仲裁依据；

不可否认组件为邮件协议交互提供证据绑定服务、向信任管理组件提供信任信息精确性机制、受理邮件交互纠纷并实施仲裁；

信任管理组件借助精确性机制对目标实体间信息共享实施检测与过滤、依据目标实体异常行为特征及纠纷仲裁结果实施信任评估、结合目标实体历史信任流对评估结果进行信任重估，以可靠信度的形式提交给信度管理组件。

5.一种实现电子邮件可信管理的系统，包括传统电子邮件协议结构，其特征在于在传统电子邮件协议结构的基础上增加一个如权利要求4所述的反舞弊控制逻辑单元。

Images