CN103458046A - 一种基于核心网络的数据秘密共享系统及方法 - Google Patents

Abstract

本发明涉及一种基于核心网络的数据秘密共享系统及方法，包括信息发布端将待发送的目标信息隐藏在掩体信息中，将掩体信息发布到特定网络应用中，当有无辜用户下载特定网络应用中的资源时，下载的信息流经转发路由器，转发路由器识别下载的信息是否为掩体信息，如果是则复制掩体信息，将原信息发送给无辜用户，将复制的掩体信息通过后台服务器发送给真正的信息接收端；上述隐蔽握手过程只需要信息的发布端和路由器参与，不需要信息接收端参与，这种方式在提高隐蔽通信效率的同时，也增加了敌手检测的难度，并且将待发送的目标信息隐藏在掩体信息中，提高信息传输的隐蔽性。

Description

一种基于核心网络的数据秘密共享系统及方法

技术领域

本发明涉及隐私保护、隐蔽通信、匿名通信领域，尤其涉及一种基于核心网络的数据秘密共享系统及方法。

背景技术

近年来，Internet逐渐成为人们日常生活和娱乐的重要工具。然而，随着Internet的发展，以及人们对于隐私保护的追求，网络监视也得到了越来越多的关注，对人们网络行为的审计与分析给人们的通信安全和个人隐私带来了极大的威胁。

长久以来，匿名通信系统成为一种有效的保护用户隐私方式，然而，研究表明，检测并并发现传统的匿名通信系统（例如Tor）服务节点并不困难。因为这些匿名通信系统往往依赖于入口节点的分发，而这些入口节点指纹特征又极易被敌手发现。另外，传统的匿名通信系统对加密通道的使用，也会使其容易引起敌手的怀疑，更糟糕的是，这些匿名通信系统往往具有特定的通信特征和流量模式，敌手可以以此识别匿名通信行为并进行处理。

传统的隐蔽通信信道主要有两种：基于存储的隐蔽信道和基于计时的隐蔽信道两种类型.存储隐蔽信道主要是将隐蔽信息寄居于各种协议的数据包的掩体信息中。为了实现隐蔽传输，一般将信息附加在不常用的数据段中，包括未用的IP头字段(TOS字段、DF和URG位)、IP头的扩展和填充段、IP标识和碎片偏移等。也有的网络存储隐蔽信道将信息隐藏在应用层编码中。更好的方式是利用信息隐藏学将目标信息隐藏于某些掩体信息中。网络时间隐蔽信道则一般利用网络中传输数据包的时间特性来表示信息,这些时间特性包括数据包的发送/到达时刻、间隔时间等。

发明内容

本发明所要解决的技术问题是针对现有匿名通信技术的不足，提供一种基于核心网络的数据秘密共享系统及方法。

本发明解决上述技术问题的基本思路如下：在信息发布端和信息接收端之间的核心网络中部署转发路由器，信息发布端、转发路由器和信息接收端通过带外方式协商共享秘钥，信息发布端利用共享秘钥将目标信息加密，冗余编码，进而隐藏到掩体信息（普通的网络资源，如文本、图片、视频等）中，信息发布端生成密标，并封装在特定网络应用协议的协议头中，通过特定网络应用协议将掩体信息发布到特定网络应用中；转发路由器一般部署在某一个大的网络社区出入口路由上，如某一个高校的出口路由，一旦位于该路由器后面的普通用户搜索并下载特定网络（如P2P）网络上流行的资源，则该用户充当一个掩体用户，该用户下载的资源流经转发路由器，转发路由器对其进行检测，如果包含密标，则做镜像，将原数据发送给普通用户，将复制的数据发送给真正的信息接收端。

具体实现包括如下步骤：

步骤1：在信息发布端和信息接收端之间的核心网络中部署转发路由器；

步骤2：信息发布端将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；

步骤3：信息发布端生成密标，并将其封装到特定网络应用协议的协议头中；

步骤4：将嵌有密标的应用协议和掩体信息封装成网络数据包，并将该网络数据包发布到特定网络应用中；

步骤5：无辜用户在特定网络应用中搜索并下载感兴趣的信息，所下载的网络数据包要流经核心网络的转发路由器；

步骤6：转发路由器检测接收的网络数据包的应用协议头中是否包含密标，如果不包含密标，则表明该网络数据包中不包含掩体信息，执行步骤7；如果包含密标，则表明该网络数据包中包含掩体信息，执行步骤8；

步骤7：将接收的网络数据包直接转发给无辜用户，结束；

步骤8：复制网络数据包，将原网络数据包发送给无辜用户，将复制的网络数据包通过后台服务器发送给真正的信息接收端；

步骤9：信息接收端提取隐藏分片网络数据包中掩体信息中的文件分片，对提取的若干文件分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息，结束。

本发明的有益效果是：信息发布端将待发送的目标信息隐藏在掩体信息中，将掩体信息发布到特定网络应用中，当有无辜用户下载特定网络应用中的资源时，下载的信息流经转发路由器，转发路由器识别下载的信息是否为带有密标的掩体，如果是则复制掩体信息，将原掩体信息发送给无辜用户，将复制的掩体信息通过后台服务器发送给真正的信息接收端；上述隐蔽握手过程只需要信息的发布端和路由器参与，不需要信息接收端参与，这种方式在提高隐蔽通信效率的同时，也增加了敌手检测的难度，并且将待发送的目标信息隐藏在掩体信息中，提高信息传输的隐蔽性。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，上述技术方案还包括信息发布端、转发路由器和信息接收端通过带外方式协商共享密钥Ks，信息发布端利用共享密钥Ks将待发送的目标信息加密，转发路由器利用共享秘钥Ks检测应用协议头是否包含密标，信息接收端利用共享秘钥Ks解密掩体信息。

采用上述进一步方案的有益效果是：只有知道共享秘钥的才能进行相应的处理，如信息发布端对目标信息加密，转发路由器识别掩体信息，信息接收端解密收到的掩体信息，提高了信息传输的安全性。

进一步，步骤2中将加密的目标信息进行冗余编码处理是利用阈值秘密分享算法实现的，具体步骤为：

步骤2.1：将加密的目标信息分割成K个分块；

步骤2.2：通过编码生成N个分片，其中K<N,任意K个分片可重构目标信息。

采用上述进一步方案的有益效果是：可以防止由于某些分片丢失导致整个文件不可用，也可以防止从某一个节点（UGC网站）能够访问到所有的文件分片，保证了秘密数据的完整性与安全性。

进一步，步骤2中利用outguess信息隐藏算法将各文件分片隐藏到一系列的掩体信息中。

采用上述进一步方案的有益效果是：将文件分片利用信息隐藏算法隐藏到一系列掩体信息中，提高信息传输的隐蔽性。

进一步，所述步骤3信息发布端生成密标，并将其封装到特定网络应用协议的协议头中的具体实现为：

步骤3.1：信息发布端与转发路由器通过带外方式协商一个魔法数Mv；

步骤3.2:信息发布端生成一个n字节的强随机数RS(n)，并利用共享密钥Ks和随机数RS(n)按照哈西算法生成魔法数秘钥Km;

步骤3.3：根据AES加密算法，并利用魔法数秘钥Km对魔法数Mv进行加密，得到密标Em;

步骤3.4：将生成的密标Em封装到特定网络应用协议的协议头中。

采用上述进一步方案的有益效果是：信息发布端生成密标，并封装在特定网络应用协议的协议头中，在转发路由器接收到数据包时，利于分辨哪些网络数据包中包含掩体信息，进而进行相应处理。

进一步，执行步骤8的同时，转发路由器在其路由表中插入一个包含源地址IP、目的地址IP、源地址端口和目的地址端口4元组的IP规则，且信息发布端与信息接收端传递的后续隐蔽通信数据根据上述IP规则传递。

采用上述进一步方案的有益效果是：该信息发布端后续发布的信息，转发路由器检测出来自改信息发布端，可不比对后续的数据包识别是否包含密标，直接根据IP规则发送给相应的信息接收端，大大提高传输效率。

进一步，步骤5中的无辜用户为在特定网络中找到并下载感兴趣数据的普通用户。

采用上述进一步方案的有益效果是：利用普通用户充当掩体用户，使通信行为更不易被发现。

进一步，步骤9中重构目标信息所需的文件分片的数量取决于冗余编码算法的冗余比率。

采用上述进一步方案的有益效果是：不必获取所有文件分片即可重构目标信息，防止目标信息因某些分片丢失而导致整个文件不可用，提高网络传输的可靠性和安全性。

本发明解决上述技术问题的另一技术方案为：一种基于核心网络的数据秘密共享系统，包括信息发布端、特定网络、防火墙、核心网络、转发路由器、无辜用户、后台服务器和信息接收端；

所述信息发布端，其用于将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；还用于生成密标，并将其封装到特定网络应用协议的协议头中；通过封装有密标的应用协议将掩体信息发布到特定网络应用中；

所述特定网络，其用于将信息发布端发布的信息隐藏在该网络的网络资源中；

所述防火墙，其用于网络流量分析和数据包检测；

所述核心网络，利用其基础设施构建隐蔽信道，以实现信息发布端与信息接收端的隐蔽匿名通信；

所述转发路由器，其由网络服务提供商部署，并根据与信息发布端和信息接收端共享的秘钥来检测接收的网络数据包中是否包含掩体信息，并复制包含有掩体信息的网络数据包，将原网络数据包发送给无辜用户，将复制的网络数据包传递给后台服务器；

所述无辜用户，其为在特定网络中找到并下载感兴趣数据的普通用户；

所述后台服务器，其接收转发路由器转发的数据流量，并发送给信息接收端；

所述信息接收端，其用于提取网络数据包中掩体信息中的信息分片，对提取的若干信息分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息。

附图说明

图1为本发明所述一种基于核心网络的数据秘密共享系统结构图；

图2为本发明所述一种基于核心网络的数据秘密共享方法流程图；

图3为本发明所述步骤3的流程图。

附图中，各标号所代表的部件列表如下：

1、信息发布端，2、特定网络，3、防火墙，4、核心网络，4-1、转发路由器，5、无辜用户，6、后台服务器，7、信息接收端。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

传统的隐蔽通信方式都是端到端的通信方式，一般将隐蔽信道寄居于其他掩体信道之中，与传统的隐蔽通信需要双方共同参与隐蔽握手不同，本发明其核心思想是将端到端的隐蔽信道，移到端到中间（信息发布端与转发路由器）的通信方式，即在隐蔽握手过程中借助于核心网络中的转发路由器，只需要信息发布端和转发路由器参与，不需要信息接收端参与，这种方式在提高隐蔽通信效率的同时，也增加了敌手检测的难度。

本发明需要在信息发布端和信息接收端之间的核心网络路中部署转发路由器。该转发路由器一般部署在某一个大的网络社区出口路由上，如某一个高校的出口路由，一旦位于该路由器后面的普通（如P2P用户）用户搜索并下载特定网络（如P2P网络或https等）上流行的资源，则该用户充当一个无辜用户，隐蔽通信的目的就是利用大量无辜的用户来充当掩体用户，并利用这些用户将秘密资源分享到不可追踪的目的地。

如图1所示，一种基于核心网络的数据秘密共享系统，包括信息发布端1、特定网络2、防火墙3、核心网络4、转发路由器4-1、无辜用户5、后台服务器6和信息接收端7；

所述信息发布端1，其用于将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；还用于生成密标，并将其封装到特定网络应用协议的协议头中；通过封装有密标的应用协议将掩体信息发布到特定网络2中；

所述特定网络2，其用于将信息发布端发布的信息隐藏在该网络的网络资源中；

所述防火墙3，其用于网络流量分析和数据包检测；

所述核心网络4，利用其基础设施构建隐蔽信道，以实现信息发布端1与信息接收端7的隐蔽匿名通信；

所述转发路由器4-1，其由网络服务提供商部署，并根据与信息发布端1和信息接收端7共享的秘钥来检测接收的网络数据包中是否包含掩体信息，并复制包含有掩体信息的网络数据包，将原网络数据包发送给无辜用户5，将复制的网络数据包传递给后台服务器6；

所述无辜用户5，其为在特定网络中找到并下载感兴趣数据的普通用户；

所述后台服务器6，其接收转发路由器4-1转发的数据流量，并发送给信息接收端7；

所述信息接收端7，其用于提取网络数据包中掩体信息中的信息分片，对提取的若干信息分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息。

流量审查系统：能够监视和过滤网络流量，它试图发现隐蔽通信行为，并追踪到通信双方，本发明的目的是要躲避该系统的审查。

如图2所示，一种基于核心网络的数据秘密共享方法，包括如下步骤：

步骤1：在信息发布端和信息接收端之间的核心网络中部署转发路由器；

步骤2：信息发布端将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；

步骤3：信息发布端生成密标，并将其封装到特定网络应用协议的协议头中；

步骤4：将嵌有密标的应用协议和掩体信息封装成网络数据包，并将该网络数据包发布到特定网络应用中；

步骤5：无辜用户在特定网络应用中搜索并下载感兴趣的信息，所下载的网络数据包要流经核心网络的转发路由器；

步骤6：转发路由器检测接收的网络数据包的应用协议头中是否包含密标，如果不包含密标，则表明该网络数据包中不包含掩体信息，执行步骤7；如果包含密标，则表明该网络数据包中包含掩体信息，执行步骤8；

步骤7：将接收的网络数据包直接转发给无辜用户，结束；

步骤8：复制网络数据包，将原网络数据包发送给无辜用户，将复制的网络数据包通过后台服务器发送给真正的信息接收端；

步骤9：信息接收端提取隐藏分片网络数据包中掩体信息中的文件分片，对提取的若干文件分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息，结束。

上述技术方案还包括信息发布端、转发路由器和信息接收端通过带外方式协商共享密钥Ks，信息发布端利用共享密钥Ks将待发送的目标信息加密，转发路由器利用共享秘钥Ks检测应用协议头是否包含密标，信息接收端利用共享秘钥Ks解密掩体信息。因此，只有知道共享秘钥的才能进行相应的处理，如信息发布端对目标信息加密，转发路由器识别掩体信息，信息接收端解密收到的掩体信息，提高了信息传输的安全性。

其中，执行步骤8的同时，转发路由器在其路由表中插入一个包含源地址IP、目的地址IP、源地址端口和目的地址端口4元组的IP规则，且信息发布端与信息接收端传递的后续隐蔽通信数据根据上述IP规则传递。因此，该信息发布端后续发布的信息，转发路由器检测出来自改信息发布端，可不比对后续的数据包识别是否包含密标，直接根据IP规则发送给相应的信息接收端，大大提高传输效率。

其中，步骤2中将加密的目标信息进行冗余编码处理是利用阈值秘密分享算法实现的，具体步骤为：

步骤2.1：将加密的目标信息分割成K个分块；

步骤2.2：通过编码生成N个分片，其中K<N,任意K个分片可重构目标信息。

上述操作可以防止由于某些分片丢失导致整个文件不可用，也可以防止从某一个节点（UGC网站）能够访问到所有的文件分片，保证了秘密数据的完整性与安全性。

步骤2中利用outguess信息隐藏算法将各文件分片隐藏到一系列的掩体信息中，可隐藏到图片文件里面，图片文件格式一般有高频部分，这些部分可以用于隐藏目标信息的文件分片，当然也可以用视频和文本等作为掩体信息，提高信息传输的隐蔽性。

步骤9中通过冗余编码算法重构目标信息，只需要其中一部分分片文件，所需要的分片数量取决于冗余比率，若比率为0.5则需要大于50%的分片数量。

如图3所示，所述步骤3信息发布端生成密标，并将其封装到特定网络应用协议的协议头中的具体实现为：

步骤3.1：信息发布端与转发路由器通过带外方式协商一个魔法数Mv；

步骤3.2:信息发布端生成一个n字节的强随机数RS(n)，并利用共享密钥Ks和随机数RS(n)按照哈西算法MAC（Ks+RS（n））生成魔法数秘钥Km;

步骤3.3：根据AES加密算法，并利用魔法数秘钥Km对魔法数Mv进行加密，得到密标Em;

步骤3.4：将生成的密标Em封装到特定网络应用协议的协议头中。

其中，如信息发布端将信息发布到P2P网络，则信息发布者重构P2P节点的ID，使其前n字节为强随机数RS（n）,最后4个字节为密标Em，若信息发布端利用HTTPS网络协议，则信息发布端重构HTTPS协议中TCP封包包头的随机域字段，使得该字段为密标Em。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于核心网络的数据秘密共享方法，其特征在于，包括如下步骤：

步骤1：在信息发布端和信息接收端之间的核心网络中部署转发路由器；

步骤2：信息发布端将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；

步骤3：信息发布端生成密标，并将其封装到特定网络应用协议的协议头中；

步骤4：将嵌有密标的应用协议和掩体信息封装成网络数据包，并将该网络数据包发布到特定网络应用中；

步骤5：无辜用户在特定网络应用中搜索并下载感兴趣的信息，所下载的网络数据包要流经核心网络的转发路由器；

步骤6：转发路由器检测接收的网络数据包的应用协议头中是否包含密标，如果不包含密标，则表明该网络数据包中不包含掩体信息，执行步骤7；如果包含密标，则表明该网络数据包中包含掩体信息，执行步骤8；

步骤7：将接收的网络数据包直接转发给无辜用户，结束；

步骤8：复制网络数据包，将原网络数据包发送给无辜用户，将复制的网络数据包通过后台服务器发送给真正的信息接收端；

步骤9：信息接收端提取隐藏分片网络数据包中掩体信息中的文件分片，对提取的若干文件分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息，结束。

2.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，上述技术方案还包括信息发布端、转发路由器和信息接收端通过带外方式协商共享密钥Ks，信息发布端利用共享密钥Ks将待发送的目标信息加密，转发路由器利用共享秘钥Ks检测应用协议头是否包含密标，信息接收端利用共享秘钥Ks解密掩体信息。

3.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，步骤2中将加密的目标信息进行冗余编码处理是利用阈值秘密分享算法实现的，具体步骤为：

步骤2.1：将加密的目标信息分割成K个分块；

步骤2.2：通过编码生成N个分片，其中K<N,任意K个分片可重构目标信息。

4.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，步骤2中利用outguess信息隐藏算法将各文件分片隐藏到一系列的掩体信息中。

5.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，所述步骤3信息发布端生成密标，并将其封装到特定网络应用协议的协议头中的具体实现为：

步骤3.1：信息发布端与转发路由器通过带外方式协商一个魔法数Mv；

步骤3.2:信息发布端生成一个n字节的强随机数RS(n)，并利用共享密钥Ks和随机数RS(n)按照哈西算法生成魔法数秘钥Km;

步骤3.3：根据AES加密算法，并利用魔法数秘钥Km对魔法数Mv进行加密，得到密标Em;

步骤3.4：将生成的密标Em封装到特定网络应用协议的协议头中。

6.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，执行步骤8的同时，转发路由器在其路由表中插入一个包含源地址IP、目的地址IP、源地址端口和目的地址端口4元组的IP规则，且信息发布端与信息接收端传递的后续隐蔽通信数据根据上述IP规则传递。

7.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，步骤5中的无辜用户为在特定网络中找到并下载感兴趣数据的普通用户。

8.根据权利要求1所述一种基于核心网络的数据秘密共享方法，其特征在于，步骤9中重构目标信息所需的文件分片的数量取决于冗余编码算法的冗余比率。

9.一种基于核心网络的数据秘密共享系统，其特征在于，包括信息发布端、特定网络、防火墙、核心网络、转发路由器、无辜用户、后台服务器和信息接收端；

所述信息发布端，其用于将待发送的目标信息进行加密、冗余编码处理，进而隐藏到一系列掩体信息中；还用于生成密标，并将其封装到特定网络应用协议的协议头中；通过封装有密标的应用协议将掩体信息发布到特定网络应用中；

所述特定网络，其用于将信息发布端发布的信息隐藏在该网络的网络资源中；

所述防火墙，其用于网络流量分析和数据包检测；

所述核心网络，利用其基础设施构建隐蔽信道，以实现信息发布端与信息接收端的隐蔽匿名通信；

所述转发路由器，其由网络服务提供商部署，并根据与信息发布端和信息接收端共享的秘钥来检测接收的网络数据包中是否包含掩体信息，并复制包含有掩体信息的网络数据包，将原网络数据包发送给无辜用户，将复制的网络数据包传递给后台服务器；

所述无辜用户，其为在特定网络中找到并下载感兴趣数据的普通用户；

所述后台服务器，其接收转发路由器转发的数据流量，并发送给信息接收端；

所述信息接收端，其用于提取网络数据包中掩体信息中的信息分片，对提取的若干信息分片进行冗余编码处理，获取目标信息的密文，解密密文获得目标信息。

Images