CN103312514A - 基于单播转发模式的组播接收者接入验证方法 - Google Patents

Abstract

本发明涉及一种基于单播转发模式的组播接收者接入验证方法，包含1)：组播接收者向组播管理服务器进行合法注册，组播管理服务器保存合法组播接收者信息并进行授权，发送授权签名；2)：组播接收者向验证路由器发送组播加入信息并利用该加入信息携带的授权签名供验证路由器验证，若通过验证，则局域网组播接收者转发表采用组地址与组播源地址相分离的存储方式，且组播接收转发表相对应的组播频道出接口列表中添加虚拟接口，建立组播分发树，实现组播数据的转发，本发明易于部署实现，效率高，有效保证组播传输中的安全性，提高了组播技术的实用价值。

Description

基于单播转发模式的组播接收者接入验证方法

技术领域

本发明涉及IPv6互联网技术领域，特别涉及一种基于单播转发模式的组播接收者接入验证方法。 

背景技术

组播技术在网络中采用了复制转发技术，可以极大的节约网络资源，但其在设计之初并没有考虑到接收者接入验证的问题，只要知道组播地址的接收者主机都可以向与其直连的路由器申请加入组播组。这样恶意接收者可以利用组播组进行攻击。而且，路由器在收到组播数据后，采用广播模式向局域网转发，那么局域网内的任何主机都可以接收组播数据，不利于对组播接收者进行收费和管理。

针对上述问题，研究者提出了许多接入验证方案。但现有的设计方案大部分都只实现了以局域网为单位的验证，即同一局域网内只要有一个用户通过验证，那么组播数据将在该局域网进行广播。这些方案并没有完全解决组播接收者接入验证的问题，这也是由组播数据向局域网广播的技术特性做造成的。因而，又有研究者提出了在局域网内加载特殊设备或者是对组播流进行加密的技术来进一步完善组播接收者接入验证技术，但这些技术不便于在网络中普及。所以，设计出一种方便易于普及的组播接入验证技术是亟待解决的问题。

现有的组播接收者接入验证方案大概分为网络层方案和密码方案。

密码方案主要是将组播数据进行加密，只有合法的组播接收者才能够解密数据。这种方案对设备要求不高，安全性较高，但是效率会受到一定影响，而且对客户端的要求较高。

网络层方案主要是通过交换机、路由器、专用网关等网络设备记录合法组播接收者的某些身份信息，每次收到组播加入消息时，利用合法的组播接收者的身份信息对其进行验证，通过验证则建立组播状态，同时，为了实现局域网内的组播接收者管理，需要在交换机中记录合法接收者所在的端口号，每次组播数据包发送时，交换机只向被记录的端口号转发。

为了实现网络层方案,需要在网络中建立验证服务器，每个主机的组播加入消息都要通过这个服务器进行合法性验证，同时需要专用的交换机设备。具体步骤如下。

步骤1：当合法主机要求加入某一组播组时，它首先向验证服务器发送请求，验证服务器向其发放验证码，该验证码与主机唯一的身份绑定。

步骤2：主机向与其直连的路由器发送加入消息，同时将验证码发送给路由器。当消息经过专用交换机时，交换机记录主机所在位置。

步骤3：路由器收到主机的加入消息后，将验证码发送给验证服务器进行验证，若通过验证则建立组播状态，并向上游建立组播分发树（Shared Distribution Tree，由组播源到组播接收者的树型传输路径），同时通知专用交换机该主机所在端口为合法端口，否则忽略加入消息。

步骤4：路由器收到组播数据并向局域网广播转发时，专用交换机只向其所记录的合法端口转发。

这种方案验证效率高，但是不够灵活，需要大量部署专用的交换机设备。 

发明内容

为克服现有技术中的不足，本发明提供一种易于部署实现、安全性好、效率高的基于单播转发模式的组播接收者接入验证方法。

本发明主要涉及到三个实体：组播管理服务器（Group Manager Server，GM），与组播接收者主机直连的验证路由器（Authentication Router，AR）以及组播接收者。

所述组播管理服务器是设置在网络中的一台服务器，主要用以储存合法用户的信息，对组播接收者进行管理，并向合法用户发送验证信息。一台组播管理服务器可以管理一个或多个组播频道。该服务器拥有一对公私钥：(PKs, SKs)，其中，公钥PKs向外发布，私钥SKs用于为合法组播接收者生成签名。在本发明中采用RSA算法生成签名。

所述组播接收者为准备加入组播频道的用户。

所述验证路由器是一台与组播接收者直连的组播路由器，它除了实现常规的组播路由功能外，还加载了实现组播接收者接入验证的功能模块，能够对组播接收者发送的组播加入消息中的签名进行验证的，能够实现将组播数据单播发送给组播接收者的路由器。

按照本发明所提供的设计方案，一种基于单播转发模式的组播接收者接入验证方法，包含如下步骤：

步骤1：组播接收者向组播管理服务器进行合法注册，组播管理服务器以列表Lusers的形式保存每个合法组播接收者的信息，组播管理服务器向组播接收者进行授权并发送基于公钥签名算法生成的授权签名；

步骤2：验证路由器验证组播接收者的授权，组播接收者向验证路由器发送组播加入信息并利用该加入信息携带的授权签名供验证路由器验证，若通过验证，则通过局域网组播接收者转发表采用组地址与组播源地址相分离的存储方式，并通过在组播接收转发表相对应的组播频道出接口列表中添加虚拟接口的方式，建立组播分发树，实现组播数据的转发。

所述步骤1包含如下步骤：

步骤1.1：合法组播接收者注册；

步骤1.2：组播接收者用组播管理服务器的公钥PKs对随机数Random、组播接收者注册信息Uid、当前组播接收者使用的主机MAC地址以及所要加入的频道<s,g>进行加密，生成加密信息EncryptPKs(MAC, Random, Uid)，把生成的加密信息发送给组播管理服务器，申请授权签名；

步骤1.3：组播管理服务器收到组播接收者请求后，使用其私钥SKs进行解密，将解密得到的Uid和随机数Random与列表Lusers中对应的表项进行比较，如果在列表中能找到对应表项，则说明该组播接收者是合法的；否则，说明该组播接收者非法，丢弃该请求信息；

步骤1.4：组播管理服务器使用其私钥SKs对MAC地址、频道信息以及当前时间进行签名运算，将运算结果SignSKs(MAC‖<s,g>)作为响应信息发送给组播接收者；

步骤1.5：组播接收者主机收到响应信息后，使用之前收到的公钥PKs对该响应信息进行解密，若其中的MAC地址信息部分与主机的MAC地址一致，则主机认为该信息是来自组管理服务器，否则，丢弃该响应信息，主机重新发送授权申请。

所述步骤1.1包含如下步骤：

步骤1.1.1：合法组播接收者以其全局唯一的元素Uid作为身份到组播管理服务器进行注册；

步骤1.1.2：组播管理服务器收到组播接收者注册请求后，记录下该组播接收者的Uid，并为其生成一个随机数Random，并连同接收者所能加入的频道信息一起保存到列表Lusers中；

步骤1.1.3：组播管理服务器将随机数Random发送给组播接收者。

所述步骤2包含如下步骤：

步骤2.1：组播接收者将携带有授权签名的MLDv2组播加入消息发送给与组播接收者主机直连的验证路由器；

步骤2.2：验证路由器收到来自组播接收者主机的MLDv2组播加入消息后，获取该组播接收者主机的MAC地址，并解析组播接收者所要加入的频道<s,g>和授权签名，验证授权签名中的MAC地址和频道<s,g>是否与验证路由器获取的信息是否相同，若无法解开签名，或者是签名中的信息与验证路由器获取的信息不同，则丢弃该消息，反之则验证通过；

步骤2.3：验证路由器为组播接收者主机建立组播分发树；

步骤2.4：验证路由器转发组播数据。

所述步骤2.3包含如下步骤：

步骤2.3.1：在局域网组播接收者转发表中添加组地址、组播源地址、接收者主机MAC地址以及接收者主机所连接的路由器端口；

步骤2.3.2：查看组播转发表中相应的组播频道出接口列表中是否已加入虚拟接口，若没有，则添加虚拟接口，若已存在，则进入步骤2.3.3；

步骤2.3.3：验证路由器向组播源方向发送协议无关特定源组播协议PIM-SSM组播加入消息，组播分发树建立完成。

所述步骤2.4包含如下步骤：

步骤2.4.1：查找组播路由表，按照组播路由表中对应的组播频道出接口列表，发送组播数据；

步骤2.4.2：若组播频道出接口列表中存在虚拟接口Virtual Port，则进入步骤2.4.3，若不存在，则组播数据转发结束；

步骤2.4.3：依据局域网组播接收者转发表中相应频道的数据，将组播数据封装成以组播源地址为源地址，目的地址为目的地址的单播包发送给相应主机；

步骤2.4.4：目的主机对包进行解封装，接收组播数据，完成组播数据转发。

本发明基于单播转发模式的组播接收者接入验证方法的有益效果：

1.       本发明可以在只对现有的路由设备进行升级的前提下，构建一个适用于现有的复杂的网络环境的组播接收者接入验证体系，直接在路由器上实现对组播接收者的接入验证，利用虚拟端口实现组播数据的转发，易于部署实现。

2.       本发明基于单播转发模式的组播接收者接入验证方法，组播接收转发表中采用组地址与源地址相分离的存储方式，效率高，可以解决同一局域网下的组播接收者认证的难题，利用基于公钥的签名算法生成授权签名，进一步保证了组播传输的安全，提高了组播技术的实用价值。

附图说明：

图1为本发明基于单播转发模式的组播接收者接入验证方法的步骤1的流程示意图；

图2为本发明基于单播转发模式的组播接收者接入验证方法的合法组播接收者注册流程示意图；

图3为本发明基于单播转发模式的组播接收者接入验证方法的步骤2流程示意图；

图4为本发明基于单播转发模式的组播接收者接入验证方法的建立组播分发树流程示意图；

图5为本发明基于单播转发模式的组播接收者接入验证方法的转发组播数据流程示意图；

图6为本发明基于单播转发模式的组播接收者接入验证方法的扩充后的MLDv2消息示意图；

图7为本发明基于单播转发模式的组播接收者接入验证方法的局域网组播接收者转发表的示意图；

图8为本发明基于单播转发模式的组播接收者接入验证方法的组播数据包封装示意图；

图9为本发明基于单播转发模式的组播接收者接入验证方法的Lusers列表格式示意图。

具体实施方式：

参见图1~9，一种基于单播转发模式的组播接收者接入验证方法，包含如下步骤：

步骤1：组播接收者向组播管理服务器进行合法注册，组播管理服务器将每个合法组播接收者的身份信息Uid、分配给该组播接收者的随机数Random及该组播接收者所能加入的频道<s,g>，以列表Lusers的形式保存，组播管理服务器向组播接收者进行授权并发送基于公钥签名算法生成的授权签名；

步骤2：验证路由器验证组播接收者的授权，组播接收者向验证路由器发送组播加入信息并利用该加入信息携带的授权签名供验证路由器验证，若通过验证，则通过局域网组播接收者转发表采用组地址与组播源地址相分离的存储方式，并通过在组播接收转发表相对应的组播频道出接口列表中添加虚拟接口的方式，建立组播分发树，实现组播数据的转发。

所述步骤1包含如下步骤：

步骤1.1：合法组播接收者注册；

步骤1.2：组播接收者用组播管理服务器的公钥PKs对随机数Random、组播接收者注册信息Uid、当前组播接收者使用的主机MAC地址以及所要加入的频道<s,g>进行加密，生成加密信息EncryptPKs(MAC, Random, Uid)，把生成的加密信息发送给组播管理服务器，申请授权签名；

步骤1.3：组播管理服务器收到组播接收者请求后，使用其私钥SKs进行解密，将解密得到的Uid和随机数Random与列表Lusers中对应的表项进行比较，如果在列表中能找到对应表项，则说明该组播接收者是合法的；否则，说明该组播接收者非法，丢弃该请求信息；

步骤1.4：组播管理服务器使用其私钥SKs对MAC地址、频道信息以及当前时间进行签名运算，将运算结果SignSKs(MAC‖<s,g>)作为响应信息发送给组播接收者；

步骤1.5：组播接收者主机收到响应信息后，使用之前收到的公钥PKs对该响应信息进行解密，若其中的MAC地址信息部分与主机的MAC地址一致，则主机认为该信息是来自组管理服务器，否则，丢弃该响应信息，主机重新发送授权申请。

所述步骤1.1包含如下步骤：

步骤1.1.1：合法组播接收者以其全局唯一的元素Uid作为身份到组播管理服务器进行注册；

步骤1.1.2：组播管理服务器收到组播接收者注册请求后，记录下该组播接收者的Uid，并为其生成一个随机数Random，并连同接收者所能加入的频道信息一起保存到列表Lusers中；

步骤1.1.3：组播管理服务器将随机数Random发送给组播接收者。

所述步骤2包含如下步骤：

步骤2.1：组播接收者将携带有授权签名的扩充后的MLDv2组播加入消息发送给与组播接收者主机直连的验证路由器，扩充后的消息将授权签名添加到消息的最后，消息中的其他部分参数以及各参数所占报文长度均未改变；

步骤2.2：验证路由器收到来自组播接收者主机的MLDv2组播加入消息后，获取该组播接收者主机的MAC地址，并解析组播接收者所要加入的频道<s,g>和授权签名，验证授权签名中的MAC地址和频道<s,g>是否与验证路由器获取的信息是否相同，若无法解开签名，或者是签名中的信息与验证路由器获取的信息不同，则丢弃该消息，反之则验证通过；

步骤2.3：验证路由器为组播接收者主机建立组播分发树；

步骤2.4：验证路由器转发组播数据。

所述步骤2.3包含如下步骤：

步骤2.3.1：在局域网组播接收者转发表中添加组地址、组播源地址、接收者主机MAC地址以及接收者主机所连接的路由器端口；

步骤2.3.2：查看组播转发表中相应的组播频道出接口列表中是否已加入虚拟接口，若没有，则添加虚拟接口，若已存在，则进入步骤2.3.3；

步骤2.3.3：验证路由器向组播源方向发送协议无关特定源组播协议PIM-SSM组播加入消息，组播分发树建立完成。

所述步骤2.4包含如下步骤：

步骤2.4.1：查找组播路由表，按照组播路由表中对应的组播频道出接口列表，发送组播数据；

步骤2.4.2：若组播频道出接口列表中存在虚拟接口Virtual Port，则进入步骤2.4.3，若不存在，则组播数据转发结束；

步骤2.4.3：依据局域网组播接收者转发表中相应频道的数据，将组播数据封装成以组播源地址为源地址，目的地址为目的地址的单播包发送给相应主机；

步骤2.4.4：目的主机对包进行解封装，接收组播数据，完成组播数据转发。

本发明可以在只对现有的路由设备进行升级的前提下，构建一个适用于现有的复杂的网络环境的组播接收者接入验证体系，直接在路由器上实现对组播接收者的接入验证，利用虚拟端口实现组播数据的转发，易于部署实现，组播接收转发表中采用组地址与源地址相分离的存储方式，效率高，可以解决同一局域网下的组播接收者认证的难题，利用基于公钥的签名算法生成授权签名，进一步保证了组播传输的安全，提高了组播技术的实用价值。 

Claims (6)

1.一种基于单播转发模式的组播接收者接入验证方法，其特征在于：包含如下步骤：

步骤1：组播接收者向组播管理服务器进行合法注册，组播管理服务器以列表Lusers的形式保存每个合法组播接收者的信息，组播管理服务器向组播接收者进行授权并发送基于公钥签名算法生成的授权签名；

步骤2：验证路由器验证组播接收者的授权，组播接收者向验证路由器发送组播加入信息并利用该加入信息携带的授权签名供验证路由器验证，若通过验证，则通过局域网组播接收者转发表采用组地址与组播源地址相分离的存储方式，并通过在组播接收转发表相对应的组播频道出接口列表中添加虚拟接口的方式，建立组播分发树，实现组播数据的转发。

2.根据权利要求1所述的基于单播转发模式的组播接收者接入验证方法，其特征在于：所述步骤1包含如下步骤：

步骤1.1：合法组播接收者注册；

步骤1.2：组播接收者用组播管理服务器的公钥PKs对随机数Random、组播接收者注册信息Uid、当前组播接收者使用的主机MAC地址以及所要加入的频道进行加密，生成加密信息，把生成的加密信息发送给组播管理服务器，申请授权签名；

步骤1.3：组播管理服务器收到组播接收者请求后，使用其私钥SKs进行解密，将解密得到的Uid和随机数Random与列表Lusers中对应的表项进行比较，如果在列表中能找到对应表项，则该组播接收者是合法的；否则，该组播接收者非法，丢弃该请求信息；

步骤1.4：组播管理服务器使用其私钥SKs对MAC地址、频道信息以及当前时间进行签名运算，将运算结果作为响应信息发送给组播接收者；

步骤1.5：组播接收者主机收到响应信息后，使用之前收到的公钥PKs对该响应信息进行解密，若其中的MAC地址信息部分与主机的MAC地址一致，则主机认为该信息是来自组管理服务器，否则，丢弃该响应信息，主机重新发送授权申请。

3.根据权利要求2所述的基于单播转发模式的组播接收者接入验证方法，其特征在于：所述步骤1.1包含如下步骤：

步骤1.1.1：合法组播接收者以其全局唯一的元素Uid作为身份到组播管理服务器进行注册；

步骤1.1.2：组播管理服务器收到组播接收者注册请求后，记录下该组播接收者的Uid，并为其生成一个随机数Random，并连同接收者所能加入的频道信息一起保存到列表Lusers中；

步骤1.1.3：组播管理服务器将随机数Random发送给组播接收者。

4.根据权利要求1所述的基于单播转发模式的组播接收者接入验证方法，其特征在于：所述步骤2包含如下步骤：

步骤2.1：组播接收者将携带有授权签名的MLDv2组播加入消息发送给与组播接收者主机直连的验证路由器；

步骤2.2：验证路由器收到来自组播接收者主机的MLDv2组播加入消息后，获取该组播接收者主机的MAC地址，并解析组播接收者所要加入的频道和授权签名，验证授权签名中的MAC地址和频道是否与验证路由器获取的信息是否相同，若无法解开签名，或者是签名中的信息与验证路由器获取的信息不同，则丢弃该消息，反之则验证通过；

步骤2.3：验证路由器为组播接收者主机建立组播分发树；

步骤2.4：验证路由器转发组播数据。

5.根据权利要求4中所述的基于单播转发模式的组播接收者接入验证方法，其特征在于：所述步骤2.3包含如下步骤：

步骤2.3.1：在局域网组播接收者转发表中添加组地址、组播源地址、接收者主机MAC地址以及接收者主机所连接的路由器端口；

步骤2.3.2：查看组播转发表中相应的组播频道出接口列表中是否已加入虚拟接口，若没有，则添加虚拟接口，若已存在，则进入步骤2.3.3；

步骤2.3.3：验证路由器向组播源方向发送协议无关特定源组播协议PIM-SSM组播加入消息，组播分发树建立完成。

6.根据权利要求4中所述的基于单播转发模式的组播接收者接入验证方法，其特征在于：所述步骤2.4包含如下步骤：

步骤2.4.1：查找组播路由表，按照组播路由表中对应的组播频道出接口列表，发送组播数据；

步骤2.4.2：若组播频道出接口列表中存在虚拟接口，则进入步骤2.4.3，若不存在，则组播数据转发结束；

步骤2.4.3：依据局域网组播接收者转发表中相应频道的数据，将组播数据封装成以组播源地址为源地址，目的地址为目的地址的单播包发送给相应主机；

步骤2.4.4：目的主机对包进行解封装，接收组播数据，完成组播数据转发。

Images