CN104160673A

CN104160673A - 基于信任度的安全路由

Info

Publication number: CN104160673A
Application number: CN201380007914.4A
Authority: CN
Inventors: D·惠兰; G·M·格特; D·G·劳伦斯; M·L·奥康纳; A·艾亚加利
Original assignee: Boeing Co
Current assignee: Boeing Co
Priority date: 2012-02-03
Filing date: 2013-01-07
Publication date: 2014-11-19
Anticipated expiration: 2033-01-07
Also published as: JP2015515764A; CN104160673B; WO2013115943A1; EP2810419A1; EP2810419B1; JP6207528B2

Abstract

本文公开了一种基于信任度的安全路由的系统、方法和装置。所公开的方法涉及向至少一个网络节点分配信任级，以及利用该信任级确定网络节点(一个或更多)的安全程度。网络节点(一个或更多)的信任级与网络节点(一个或更多)的物理位置的确定性的量有关。该确定性的量从位于已知安全位置的网络节点(一个或更多)获得，和/或通过使用卫星地理定位技术或通过使用网络ping测距测量从网络节点(一个或更多)的物理位置的验证获得。该方法进一步包括利用网络节点(一个或更多)的信任级确定用于路由数据的至少一条路径的信任度，其中该路径(一条或更多)包括网络节点中的至少一个。

Description

基于信任度的安全路由

背景技术

本公开涉及安全路由。尤其是，本公开涉及基于信任程度的安全路由。往往隐藏在匿名下的现有网络攻击已产生额外的有关问题。更大的攻击往往排除始发者采取更小步骤以更好了解系统漏洞，为以后更具破坏性的攻击奠定基础的未来开发的尝试。迄今为止，许多大型的网络攻击不仅未留下从留下的破坏恢复的攻击的受领者，而且他们也无法通过报复或以其他方式阻止任何进一步的破坏，如同缺乏对攻击始发者的清晰可追溯性一样，以及因此，往往缺乏权威回应。如果攻击的动机不清楚，受领者更不大可能告诉攻击是人为破坏的单纯的行为，是有目的的盗窃，还是威胁到国家安全的更险恶做法。因此，有助于拒绝恶意用户的网络访问和/或提供有助于识别始发者的可追溯数据的任何系统会具有降低和减轻拒绝服务(DoS)以及网络数据截取攻击的很大效用。

发明内容

本公开涉及用于基于信任度的安全路由的方法、系统和装置。尤其是，本公开教导了提高涉及向至少一个网络节点分配至少一个信任级的路由安全性的方法。该方法进一步包括利用至少一个信任级确定网络节点的安全程度。

在至少一个实施例中，至少一个网络节点是路由器、服务器、个人计算装置、个人数字助理(PDA)、蜂窝电话、计算机节点、互联网协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、全球互通微波接入(WiMAX)节点、第二代(2G)无线节点、第三代(3G)无线节点和/或第四代(4G)无线节点。

在一个或多个实施例中，信任级有一个以上级别。在某些实施例中，至少一个网络节点的信任级(一个或更多)是非常高、高、中等和/或低。在至少一个实施例中，至少一个网络节点的至少一个信任级与该网络节点(一个或更多)的物理位置的确定程度或确定性的量(theamount of certainty)有关。在某些实施例中，至少一个网络节点的物理位置的确定性的量从位于已知安全位置的网络节点(一个或更多)获得。

在至少一个实施例中，至少一个网络节点的物理位置的确定性的量通过使用卫星地理定位技术，从网络节点(一个或更多)的物理位置的验证获得。在某些实施例中，卫星地理定位技术使用至少一个认证信号(authentication signal)，以便获得网络节点(一个或更多)的物理位置。在一个或多个实施例中，至少一个认证信号通过至少一个传送源传送，以及由与网络节点(一个或更多)关联的至少一个接收源接收。在某些实施例中，至少一个传送源在至少一个卫星和/或至少一个伪卫星中采用。在至少一个实施例中，至少一个卫星是低地球轨道(LEO)卫星，中等地球轨道(MEO)卫星，和/或地球同步轨道(GEO)卫星。在某些实施例中，LEO卫星是铱LEO卫星。

在一个或多个实施例中，所公开的方法采用铱LEO卫星星座。在至少一个实施例中，在星座中的每个铱LEO卫星具有天线几何形状，其传送具有区别的点波束图案的四十八个(48)点波束。在至少一个实施例中，至少一个认证信号可以从星座中的至少一个铱卫星传送。铱卫星的四十八(48)个点波束可以用于向位于地球表面上或接近地球表面的接收源传送定位的认证信号。与这些信号关联的广播消息突发内容包括伪随机噪声(PRN)数据。由于给定的消息突发在指定的时间在指定的卫星点波束内发生，包括PRN和唯一波束参数(例如，时间，卫星识别(ID)，波束识别(ID)，时间偏差，轨道数据等)的消息突发内容可以用于验证目标节点(一个或更多)的位置。需要指出的是，当采用上述铱LEO卫星中的一个时，传送信号功率强到足以允许认证信号可靠穿透到室内环境中，并且可以采用信号编码方法以便信号功率能够如此强。这允许这些地理定位技术用于许多室内应用。需要进一步指出的是，这种系统可以采用至少一个下一代铱卫星，或现有铱卫星与下一代铱卫星配置的组合。

在至少一个实施例中，至少一个网络节点的物理位置的确定性的量通过使用网络ping(平)测距测量，从估算该网络节点(一个或更多)的物理位置获得。在某些实施例中，在从具有所验证的物理位置的至少一个所验证的节点(也被称为信任节点(一个或更多))到网络节点(一个或更多)(也被称为目标节点(一个或更多))来回发送ping或ping类的消息期间，该网络平测距测量从所逝去的时间的量获得。在一个或多个实施例中，具有所验证的物理位置的至少一个所验证的节点(即，信任节点)具有通过卫星地理定位技术验证的物理位置。

在一个或多个实施例中，该方法进一步包括利用至少一个网络节点的至少一个信任级确定用于路由数据的至少一条路径的信任度，其中路径(一条或多条)包括该网络节点中的至少一个。在一个或多个实施例中，该信任度有一个以上级别。在至少一个实施例中，至少一条路径的信任度是非常高、高、中等或低。在某些实施例中，至少一条路径的信任度等于分配给路径(一个或更多)中的至少一个网络节点的最低信任级。在其他实施例中，至少一条路径的信任度等于沿该路径的网络节点的总体信任级。在一个或多个实施例中，该方法还包括根据路径的信任度，选择该路径中的哪一条路径以路由所通过的数据。

在至少一个实施例中，该方法还进一步包括用至少一个处理器加密数据。而且，该方法包括用网络节点的至少一个传送所加密的数据。此外，该方法包括用网络节点的至少一个接收所加密的数据。另外，该方法包括用至少一个处理器解密所加密的数据。这种通过至少一个网络节点传送所加密的数据和通过另外的至少一个网络节点接收所加密的数据的技术被称为“加密隧道”。这种技术允许以较高的信任度穿过具有较低信任度的路径安全地传送和接收数据。

在至少一个实施例中，至少一个处理器在路由器、个人计算装置、个人数字助理(PDA)、蜂窝电话、计算机节点、互联网协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、全球互通微波接入(WiMAX)节点、第二代(2G)无线节点、第三代(3G)无线节点和/或第四代(4G)无线节点中采用。

在一个或多个实施例中，该方法进一步包括由网络节点的至少一个利用至少一个安全路由器传送数据。在至少一个实施例中，该方法进一步包括由网络节点的至少一个利用至少一个安全路由器接收数据。

在至少一个实施例中，该方法进一步包括向数据分配信任度。在某些实施例中，该方法进一步包括基于数据已行进通过的路径的信任度，由网络节点(一个或更多)的至少一个利用至少一个边界防火墙路由器确定是否允许该数据穿过边界防火墙路由器(一个或更多)。在至少一个实施例中，路径中的至少一个包括用于路由所通过的数据的至少一个安全自主系统。在至少一个实施例中，至少一个安全自主系统具有分配给该安全自主系统的整体信任级。

在某些实施例中，该方法进一步包括用至少一个处理器生成至少一个网络节点的物理位置的图谱，其中该图谱指示每个网络节点的至少一个信任级。

在一个或多个实施例中，至少一个网络节点的至少一个信任级与该至少一个网络节点的行为有关。在至少一个实施例中，至少一个网络节点的行为与穿过网络节点(一个或更多)数据类型和/或穿过网络节点(一个或更多)的数据的数量有关。

在一个或多个实施例中，所公开的提高路由安全性的系统包括至少一个网络节点，以及至少一个处理器，所述至少一个处理器经配置向网络节点(一个或更多)分配至少一个信任级。至少一个处理器经配置利用至少一个信任级确定网络节点(一个或更多)的安全程度。

在至少一个实施例中，至少一个处理器经进一步配置利用至少一个网络节点的至少一个信任级确定用于路由数据的至少一条路径的信任度，其中路径(一条或多条)包括该网络节点中的至少一个。在某些实施例中，至少一个处理器经进一步配置根据路径的信任度，选择该路径中的哪一条路径以路由所通过的数据。在某些实施例中，至少一个处理器经进一步配置使用用于至少一个网络节点的至少一个信任级选择路径中的哪一个路径以路由所通过的数据。

在一个或多个实施例中，至少一个处理器经进一步配置加密数据。在至少一个实施例中，至少一个网络节点经配置传送所加密的数据。在某些实施例中，至少一个网络节点经配置接收所加密的数据。在一个或多个实施例中，至少一个处理器经进一步配置解密所加密的数据。

在至少一个实施例中，该系统进一步包括至少一个安全路由器，以及网络节点的至少一个，其经进一步配置利用安全路由器(一个或更多)传送数据。在某些实施例中，该系统进一步包括至少一个安全路由器，以及网络节点的至少一个，其经进一步配置利用安全路由器(一个或更多)接收数据。在至少一个实施例中，至少一个处理器经进一步配置向该数据分配信任度。

在一个或多个实施例中，该系统进一步包括至少一个边界防火墙路由器，所述至少一个边界防火墙路由器经配置基于数据已行进通过的路径的信任度，确定是否允许该数据通过该边界防火墙路由器(一个或更多)行进。在至少一个实施例中，该系统进一步包括至少一个安全自主系统，该至少一个安全自主系统经配置路由所通过的数据，其中该路径中的至少一个包括该安全自主系统(一个或更多)中的至少一个。

在至少一个实施例中，至少一个处理器经进一步配置生成至少一个网络节点的物理位置的图谱，其中该图谱指示每个网络节点的至少一个信任级。

所述特征、功能和优点可以在本发明的不同实施例中单独实现，或可以在其他实施例中组合。

附图说明

通过下列具体实施方式，附属的权利要求以及随附的绘图，本公开的这些和其他特征、方面和优点将变得更加易于理解，其中：

图1示出根据本公开的至少一个实施例，已经被分配不同信任级的网络节点的抽象网络的示意图。

图2是根据本公开的至少一个实施例的不同网络节点的示意图，所述不同网络节点具有通过卫星地理定位技术以及通过网络ping测距测量所认证的他们的物理位置。

图3是根据本公开的至少一个实施例，示出所公开的加密隧道的特征的示意图。

图4是根据本公开的至少一个实施例，示出所公开的利用自主系统的特征的示意图。

图5是根据本公开的至少一个实施例，示出所公开的边界防火墙节点的特征的示意图。

图6到图10针对所公开的系统和方法，其基于网络节点的网络测距，用于地理位置认证。

图6是根据本公开的至少一个实施例，所公开的用于认证目标节点的物理位置的系统的示意图。

图7A是根据本公开的至少一个实施例，所公开的用于认证目标节点的物理位置的方法的流程图，其中该目标节点发送地理位置认证请求。

图7B是根据本公开的至少一个实施例，所公开的用于验证目标节点的物理位置的方法的流程图，其中具有已知位置的至少一个信任节点发送查询消息。

图8是根据本公开的至少一个实施例的两个网络路由器的示意图，其中所述两个网络路由器中的每个采用用于发送消息的响应消息硬件装置。

图9是根据本公开的至少一个实施例，附接到路由器的响应消息硬件装置的示意图，其示出该设备被安置为与进入的数据线连线。

图10A、10B和图10C是根据本公开的至少一个实施例的示意图，当图10A、10B和图10C在一起观看时，其示出新的节点(例如，目标节点)进入网络以及该新节点具有通过所公开的系统验证的物理位置。

图11到图14针对所公开的系统和方法，其用于网络节点的基于点波束的认证。

图11是根据本公开的至少一个实施例的基于卫星的通信系统的示意图，该通信系统可以由所公开的基于点波束的认证系统采用。

图12A、12B和图12C是根据本公开的至少一个实施例，示出基于卫星的认证系统的示意图。

图13A是根据本公开的至少一个实施例，可以适用于实施所公开的基于卫星的认证系统的计算装置的示意图。

图13B是根据本公开的至少一个实施例，可以被所公开的基于点波束的认证系统采用的基于卫星的通信系统的示意图。

图14是根据本公开的至少一个实施例的流程图，其示出所公开的用于验证目标节点的基于点波束的认证方法。

具体实施方式

本文公开的方法和装置提供基于信任度用于安全路由的有效系统。尤其是，该系统涉及向至少一个网络节点分配信任级，以及利用该信任级确定网络节点(一个或更多)的安全程度。网络节点(一个或更多)的信任级与网络节点(一个或更多)的物理位置的确定性的量有关。至少一个网络节点的物理位置的确定性的量从位于已知安全位置的网络节点(一个或更多)获得，和/或通过使用卫星地理定位技术或通过使用网络ping测距测量从网络节点(一个或更多)的物理位置的验证获得。在一个或多个实施例中，该卫星地理定位技术利用低地球轨道(LEO)卫星的铱星座。在至少一个实施例中，该系统利用参与的网络节点的信任级确定用于路由数据的至少一条路径的信任度，其中该路径(一条或多条)包括所述参与的网络节点中的至少一个。

目前，随着电子系统变得根深蒂固于日常的商务和社交工作，网络安全变得越来越重要。许多之前管理的业务流程已扩展到在线的电子数据处理，从而使得持续的信息与计算安全进步的技术成为必然要求以便保护这些日常的系统。使用从与国家基础设施相关的信息到社会安全号码的信息的重要文件和其他数据存储在联网系统中，如果被未授权团体访问，将会产生从危害到灾难性的社会基础设施的崩溃的不同程度的社会影响。在对电子系统的依赖增加的同时，国家也看到了恐怖主义和电脑黑客的急剧增加，因此需要社会朝改善保护我们的联网计算机系统的方法努力工作。

网络攻击和网络渗透变得很常见，其通过在前沿的商业和军事环境中的外部威胁已经带来网络渗透的危险性的讨论。当前的访问控制方案主要基于或者静态密码或者基于密码和/或徽章凭据的认证。由于系统攻击往往通过扮演终端用户(或网络节点或路由器)进行，出现了一些组织专注于用户身份认证方法以减少网络数据截取网络漏洞的一种趋势。这些方案对复杂的攻击仍然是脆弱的，因此，借助附加信息例如用户位置(或网络结点或路由位置)，以提供保护的附加和正交层的访问控制的新范例的需求已经展开，其提供位置与从集成物理地理位置到逻辑网络的情境意识之间增强的相关性和信息管理视界。

为了提高网络的安全性，该系统必须从节点级和系统的角度两方面来考虑。每个节点和节点之间的随后路径含有受到威胁的机会。本公开专注于用一种下到上(即，节点到系统)的方法改善网络的安全。因此，所公开的系统和方法专注于节点的安全和至少两个节点之间路径的安全。

所公开的系统和方法具有与改善网络安全有关的至少六个主要特征。第一特征与信任级的分配和/或信任度有关。特别是，这个特征基于表征的能力，以及进一步改善网络节点的信任级以及包括至少两个网络节点的网络路径的信任度。网络节点的信任级可以通过其物理位置的确定性进行确定。通过将该节点放置在已知的安全位置(例如军事基地或政府建筑物)；通过使用卫星地理定位技术验证物理位置；或通过使用网络ping测距测量估算物理位置，可以获得节点的物理位置。特定网络节点的关联信任级可以取决于该节点能够执行确认其物理位置的认证类型。例如，能够执行具有降低节点被黑客攻击/欺骗或以其他方式受到威胁的可能性的特性的认证方法的节点将相对于另一个节点固有地被给予更高的关联信任级，该另一个节点仅可以执行比前者更不可靠的认证方法。

网络路径的信任度可以通过其节点中发现的最低信任级进行确定。此外，应当指出，可替代的方法可以基于包括权衡位置的确定性与其他方面的节点的这类属性，例如给定节点已受到威胁的可能性/概率(即，某些网络节点可能对黑客入侵/欺骗的企图固有地更容忍或对其他可替代的方式更易受影响)，用于限定信任度。例如，终端节点会造成网络云的更显著风险，并且因此可以被权衡，使得其固有地更不值得信任。

所公开的系统和方法的第二主要特征涉及加密隧道。加密隧道允许具有更高信任度的两个网络节点能够经由具有较低信任度的网络路径彼此安全地发送数据。在至少一个示例中，这种情况当两个网络节点要求至少一个附加网络节点在他们之间路由数据时会发生，其中例如，该至少一个附加网络节点具有较低信任度。对于这个特征，具有要发送的数据的初始传送网络节点在传送之前首先对数据加密。在数据加密后，初始传送网络节点经由具有较低信任度的路径向目的地接收网络节点发送所加密的数据。一旦目的地接收网络节点接收所加密的数据后，该目的地接收网络节点就解密所加密的数据。然而，在至少一个实施例中，数据可以通过节点链路由，其中至少一个节点具有较低的信任级而剩余节点具有可接受的信任级。在这个实施例中，一旦数据被具有可接受的信任级的节点接收，就可以解密该数据。在至少一个实施例中，这个节点可以不是目的地接收节点，而是该链(即，路径)中在到达目的地接收节点之前的节点。

在一个或多个实施例中，第二特征使用用于数据的路由的由网络节点采用的路由器或关联的硬件。对于这个特征，该路由器或关联的硬件确定路径，该路径可以采用至少一个加密的隧道以路由通过的数据，从而保持较高的信任度。例如，初始传送网络节点E可以被分配以形成在其自身与目的地接收网络节点A之间具有高信任度的安全连接，对于这个示例，网络路径E(高信任级)-D(中等信任级)-C(中等信任级)-B(高信任级)-A(高信任级)被识别为网络节点E与网络节点A之间的最安全路径。然而，存在位于这条路径的具有中等信任级的网络节点。由于网络节点D和网络节点C具有中等信任级，网络节点E将路由数据穿过在其自身与网络节点B之间形成的加密隧道。因此，可以为这个特定路径产生而又保持高信任级的最直接(即，最短)隧道是网络节点E与网络节点B之间的加密隧道。因此，产生的用于该数据行进的网络路径将是E(高信任级)-加密隧道-B(高信任级)-A(高信任级)。图3示出这个特定特征。

所公开的系统的第三主要特征涉及安全路由器的使用。这个特征允许网络节点使用安全路由器传送和/或接收数据，该安全路由器具有比该网络节点更高的信任级。由于这个特征被具有比该安全路由器更低的信任级的网络节点采用，这个特征允许具有较低信任级的网络节点能够以较高信任度安全传送数据和/或接收数据。应当指出，对于这个特征，初始传送网络节点和目的地接收网络节点两者均可以利用安全路由器，或者相反，只有一个网络节点，或者初始传送节点或者目的地网络节点可以采用安全路由器。

所公开的系统和方法的第四主要特征涉及至少一个边界防火墙路由器的使用。对于这个特征，至少一个边界防火墙路由器作为尝试穿过该网络的数据的网守被采用。具体地，边界防火墙路由器用于确定是否允许数据穿过该边界防火墙路由器。特别地，如果数据之前穿过具有足够高的信任度的路径，那么边界防火墙路由器会让该数据穿过所述边界防火墙路由器。因此，每个边界防火墙路由器将具有其会要求数据的路径具有的一组阀值信任度，以便其允许数据穿过。在某些实施例中，该系统和方法使用至少一个边界防火墙路由器作为数据流量尝试从公共网络跨越到私人网络的网守，这要求进入的数据已经行进通过具有较高信任度的路径。图5的描述详细说明了使用边界防火墙路由器的特征。

所公开的系统和方法的第五主要特征涉及由关联的硬件辅助的路由的最小信任级。这个特征使用由该网络节点所采用的路由器或关联的硬件实现数据路由的最小信任级。该路由器或关联的硬件被该网络节点用于报告位于一个端点网络节点与另一个端点网络节点之间的特定路径的网络节点的最小信任级。这个特征允许该网络节点能够沿特定网络路径递归探索以确定该路径的整体信任度。对于这个特征，路径的信任度等于位于该路径内的任何网络节点的最低信任级。

例如，对于网络节点的网络路径：A(高信任级)-B(高信任级)-C(高信任级)-D(中等信任级)，网络节点A可以要求网络节点B的信任级在网络节点B与网络节点D之间。网络节点B接着可以请求网络节点C的信任级在网络节点C与网络节点D之间。由于网络节点C连接到网络节点D以及网络节点D的信任级是中等，网络节点C向网络节点B回报最小信任级是中等。网络节点B可以具有高信任级，但是现在得知顺流的最小信任级是中等，因此其可以报告沿网络路径B-C-D的最小信任级是中等。在这个示例中的网络节点A也具有高信任级，以及其得知沿A-B-C-D的最小信任级不是其自身的信任级，而是其与顺流的最小信任级，即中等信任级关联。

所公开的系统的第六特征涉及自主系统的使用。对于这个特征，至少一个自主系统用于路由所穿过的数据。每个自主系统具有其自身的信任级。如果自主系统具有数据的路由所需要的可接受的信任级(即，足够高的信任级)，如果该自主系统位于初始传送网络节点与目的地接收网络节点之间，该数据可以通过该自主系统路由。图4的描述详细说明了使用自主系统的特征。

在一个或多个实施例中，自主系统的信任级可以被定义为等于位于该自主系统内的任何网络节点(或路由器)的最低信任级。例如，如果自主系统包括具有高信任级的网络节点以及具有中等信任级的网络节点，用于该自主系统的信任级将是中等。在其他实施例中，如果自主系统能够形成通过其具有较高信任级的网络节点(或路由器)的路径，该路径可以包括或不包括加密隧道，该自主系统的信任级可以被定义为等于该较高信任级。例如，如果自主系统包括具有高信任级的网络节点和具有中等信任级的网络节点，并且能够在具有高信任级的自主系统的网络节点之间形成包括或不包括加密隧道的路径，那么，该自主系统的信任级将是高的。

所公开的系统和方法的第八主要特征涉及室内信号接收。当所公开的系统和方法采用至少一个铱低地球轨道(LEO)卫星作为传送源向地球传送至少一个认证信号，所述至少一个认证信号被卫星地理定位技术使用，以便验证至少一个网络节点(或路由器)的位置时，这个特征是可应用的。如上面简略地提到的，从铱LEO卫星传送的信号能够穿透到室内环境中。因此，铱LEO卫星的使用允许验证位于室内的网络节点的物理位置。因此，这个特征允许所公开的系统和方法用于各种室内应用。

在下列描述中，众多的细节被阐述，以便提供所述系统的更彻底的描述。然而，所公开的系统可以在没有这些具体细节的情况下被实践，这对于本领域的技术人员来说是显而易见的。在其他实例中，众所周知的特征并没有被详细描述，以免不必要地混淆本系统。

图1示出根据本公开的至少一个实施例，已经被分配不同信任级的网络节点的抽象网络1000的示意图。在这个绘图中，网络节点的网络1000被示出包括网络节点A、B、C、D、E、F和G，以及其他附加网络节点。网络1000中的每个网络节点被分配信任级。对于图1，该网络节点已经被分配三种信任级中的一种，所述三种信任级是非常高信任级(由字母“V”表示)，高信任级(由字母“H”表示)，以及低信任级(由字母“L”表示)。因此，如图所示，网络节点A、B和E已经被分配非常高信任级；网络节点C、D和F已经被分配高信任级；以及网络节点G已经被分配低信任级。

应当指出，在某些实施例中，所公开的系统和方法可以采用不止三种信任级或少于三种信任级。此外，在某些实施例中，信任级可以具有不同于在本公开中所使用的各种不同名称。例如，在某些实施例中，所公开的系统和方法采用四种信任级。在至少一个实施例中，所述四种信任级被称为非常高信任级，高信任级，中等信任级和低信任级。

所公开的系统和方法利用各种手段和方式确定哪种特定信任级分配给网络节点。在一个或多个实施例中，网络节点的物理位置的确定性的量是用于确定哪种信任级分配给网络节点的因素或指示器。存在网络节点的物理位置可以被验证或估算的各种方式，以及该物理位置被验证或估算的方式可以用作确定应当被分配给网络节点的信任级的指示器或因素。

例如，网络节点的物理位置可以被验证的一个方式是该网络节点是否位于已知的安全位置，例如军事基地或政府建筑物中。在一个或多个实施例中，在已知物理位置中的网络节点被分配非常高信任级。

网络节点的物理位置可以被验证的另一个方式是通过使用卫星地理定位技术。不同的卫星地理定位技术类型可以由所公开的系统采用。包括图11到图14的描述的本公开的基于点波束的认证部分讨论了可以由所公开的系统利用的一个示例卫星地理定位技术(即，基于点波束的认证)。此外，图2的描述说明所公开的系统和方法如何使用基于点波束的认证卫星地理定位技术验证网络节点的物理位置。在至少一个实施例中，具有通过卫星地理定位技术所验证的物理位置的网络节点被分配非常高信任级。

网络节点的物理位置可以被估算的示例方式是通过使用网络ping测距测量。各种类型的网络测距测量和技术可以由所公开的系统使用。包括图6到图10的描述的本公开的基于网络测距的地理位置认证部分详细描述了可以由所公开的系统采用的一个示例网络测距技术。

当所公开的系统和方法利用基于网络测距技术的地理位置认证估算网络节点(被称为目标节点)的物理位置时，在一个或多个实施例中，具有所验证的物理位置(以及因此是“受信任的”)的节点(被称为所验证的节点)首先向需要所验证的其自身的物理位置的网络节点(即，目标节点)发送查询ping或ping类消息。在一个或多个实施例中，所验证的节点具有通过卫星地理定位技术(例如基于点波束的认证技术)验证的其自身的物理位置。一旦网络节点接收查询消息，该网络节点就向所验证的节点(即，受信任的节点)回发响应ping或ping类消息。从所验证的节点发送查询消息到该所验证的节点接收响应消息所逝去的时间的量用于生成测距测量。利用测距测量计算网络节点(即，目标节点)的物理位置的估算。在一个或多个实施例中，具有通过卫星网络ping测距测量所估算的物理位置的网络节点可以被分配高信任级。

应当指出，某些网络节点不能具有所述的方法(例如通过位于已知安全位置或通过卫星地理定位技术)所验证的他们的物理位置，或不能具有通过网络ping测距测量所估算的他们的物理位置。在一个或多个实施例中，这些网络节点可以被分配低信任级。

再回到图1，在这个绘图中，如之前所提到的，该网络节点被分配如所述图所指示的各种不同信任级。当网络节点(即，初始传送网络节点)想向另一个网络节点(即，目的地接收网络节点)发送数据时，在用于发送数据的两个网络节点之间展开的特定路径必须被确定。类似于该网络节点，每个路径具有信任度。在一个或多个实施例中，网络路径的信任度可以通过在其节点中发现的最低信任级进行确定。例如，网络节点A(非常高信任级)-B(非常高信任级)-C(高信任级)-D(高信任级)-E(非常高信任级)的网络路径将被给予高信任度，这是因为在其节点中发现的最低信任级是高的(即，对于网络节点C和D)。

图2是根据本公开的至少一个实施例的不同网络节点的示意图2000，所述不同网络节点具有通过卫星地理定位技术以及通过网络ping测距测量所验证的他们的物理位置。在这个绘图中，包含五个网络节点的网络被示出。对于这个绘图，如果网络节点位于已知的安全位置，以及他们的物理位置通过卫星地理定位技术进行验证，则该网络节点被分配非常高信任级(由字母“V”表示)。在这个绘图中，网络节点2100在已知的安全位置，以及其位置通过卫星地理定位技术进行验证。

如果网络节点不位于已知的安全位置，但是他们的物理位置通过卫星地理定位技术进行验证，则该网络节点被分配高信任级(由字母“H”表示)。网络节点2200和2300在不安全位置，但是他们的物理位置通过卫星地理定位技术进行验证。而且，如果网络节点不位于已知的安全位置，但是他们的物理位置通过网络ping测距测量进行估算，则该网络节点被分配中等信任级(由字母“M”表示)。网络节点2400在不安全位置，但是其物理位置通过网络ping测距测量进行估算。此外，如果网络节点不位于已知的安全位置并且不能具有通过卫星地理定位技术验证或通过网络ping测距测量估算的物理位置，则该网络节点被分配低信任级(由字母“L”表示)。在这个绘图中，网络节点2500和2600位于不安全位置并且不能具有通过卫星地理定位技术验证或通过网络ping测距测量估算的物理位置。

在图2中，示出起传送源作用的卫星2700向地球传送点波束2800和2900。点波束2800和2900包含至少一个认证信号。认证信号(一个或更多)用于验证位于点波束2800和2900内的任何网络节点的物理位置。在本公开的基于点波束认证部分中的讨论详细描述认证信号(一个或更多)如何用于验证其物理位置。在这个绘图中，示出网络节点2100位于点波束2800中，以及示出网络节点2200和2300位于点波束2900内。网络节点2100被分配非常高信任级，这是因为其位于已知的安全位置(例如军事基地)并且其物理位置通过采用卫星2700的卫星地理定位技术进行验证。网络节点2200和2300被分配高信任级，这是因为他们的物理位置通过卫星地理定位技术进行验证，以及他们不位于已知的安全位置。

在这个绘图中，网络节点2400具有通过网络ping测距测量所估算的其自身的物理位置。为了获得该网络ping测距测量，在一个或多个实施例中，网络节点2100和/或网络节点2300向网络节点2400发送查询消息，其中网络节点2100和/或网络节点2300两者均具有如图所示的通过卫星地理定位技术所验证的他们的物理位置。一旦网络节点2400接收该查询消息，网络节点2400向网络节点2100和/或网络节点2300回送响应消息。从网络节点2100和/或2300发送查询消息到接收响应消息所逝去的时间的量用于生成网络测距ping测量。网络测距ping测量用于生成网络节点2400的物理位置的估算。由于网络节点2400具有通过网络ping测距测量所估算的其自身的物理位置并且其不位于已知的安全位置，该网络节点2400被分配中等信任级。网络节点2500被分配低信任级，这是因为其不位于已知的安全位置，并且其不具有通过卫星地理定位技术验证或通过网络ping测距测量估算的其自身的物理位置。

图3是根据本公开的至少一个实施例，示出所公开的加密隧道的特征的示意图。在这个绘图中，包含若干网络节点的网络3000被示出。网络节点A想要经由具有非常高信任级的路径向网络节点E传送数据。为了实现这点，路由器或关联的硬件确定保持非常高信任度的路由所通过的数据的指定路径。在这种情况下，网络路径A(非常高信任级)-B(非常高信任级)-C(高信任级)-D(高信任级)-E(非常高信任级)被识别为网络节点A与网络节点E之间的最安全路径。由于这个特定路径包括具有非常高信任级的网络节点和具有高信任级的网络节点，并且路径的信任度被定义为其网络节点的最低信任级，这个特定路径被分配高信任度。

具有非常高信任级的网络节点A可以向网络节点B传送数据，这是因为网络节点B也具有非常高信任级。然而，网络节点B不能通过任何网络节点向网络节点E传送数据，这是因为位于网络节点B与网络节点E之间的任何网络节点不具有非常高信任级。为了使网络节点B能够向网络节点E传送该数据并保持非常高信任度，网络节点B经由在网络节点B与网络节点E之间形成的加密隧道3100传送数据。所产生的用于数据行进的网络路径是A(非常高信任级)-B(非常高信任级)-加密隧道-E(非常高信任级)。

为了形成加密隧道3100，网络节点B在数据传送之前对该数据加密。在一个或多个实施例中，与网络节点B关联的处理器执行加密。在网络节点B加密数据后，网络节点B通过网络节点C和D向网络节点E传送该数据，其中网络节点C和D均具有高信任级。应当指出，虽然图3示出加密隧道3100从网络节点B直接跨越到网络节点E，但是这仅仅是该加密隧道的象征性说明，以及实际上，数据实际通过网络节点C和网络节点D从网络节点B路由到网络节点E。在一个或多个实施例中，一旦网络节点E接收所加密的数据，与网络节点E关联的处理器就解密所加密的数据。

在其他实施例中，如果类似于网络节点E的网络节点D具有非常高信任级，可选地，一旦网络节点D接收来自网络节点C的所加密的数据，网络节点D就可以解密所加密的数据。一旦网络节点D解密所加密的数据，那么，网络节点D就会将所解密的数据转发到网络节点E。

图4是根据本公开的至少一个实施例，示出所公开的利用自主系统的特征的示意图4000。在这个绘图中，示出包含节点的网络的自主系统4100。所公开的系统和方法可以采用至少一个自主系统以路由所通过的数据。可以采用各种不同类型的自主系统。可以被所公开的系统利用的自主系统的示例包括但不限于，AT&T网络，Sprint网络，3级网络，Qwest网络，UUnit网络，以及环球电讯网络。

类似于网络路径，自主系统被分配信任度。在一个或多个实施例中，自主系统的信任度等于其网络节点中的最低信任级。由于自主系统4100包括具有非常高信任级的网络节点，具有高信任级的网络节点，以及具有低信任级的网络节点，对于这些实施例，自主系统4100具有低信任级。

不过在其他实施例中，自主系统的信任度等于穿越该自主系统的路径的信任度。在这个绘图中，路径被示出从具有非常高信任级的网络节点A开始，并且路由到也具有非常高信任级的网络节点B。加密隧道从网络节点B到网络节点E形成，网络节点E也具有非常高信任级。由于在自主系统4100中的这个特定路径仅通过具有非常高信任级的网络节点行进，因此这个路径具有非常高信任度。因此，对于这些实施例，自主系统4100具有非常高信任度。

在这个绘图中，网络节点4200想要在具有非常高信任度的路径上向网络节点4300发送数据。由于如上所述，该数据可以通过自主系统4100被路由到具有非常高信任级的路径上，网络节点4200通过自主系统4100向网络节点4300传送该数据。

图5是根据本公开的至少一个实施例，示出所公开的边界防火墙节点的特征的示意图5000。在这个绘图中，周长5100被示出与两个边界防火墙节点5200连线。边界防火墙节点(或路由器)5200被用作数据尝试穿过周长5100到安全设施5500中的网络节点5600的网守。每个边界防火墙节点5200确定尝试穿过周长5100或边界防火墙节点5200的数据是否之前已经通过具有足够高的信任度的路径行进。如果数据之前已经通过具有足够高的信任度的路径行进，边界防火墙节点5200将允许该数据穿过边界防火墙节点5200。每个边界防火墙节点5200具有一组阀值信任度的要求，并且其要求数据之前通过行进的路径具有至少该阀值信任度，以便边界防火墙节点5200允许该数据穿过。在这个绘图中，边界防火墙节点5200将只允许之前通过具有非常高信任级或高信任级的路径行进的数据穿过网络节点5400的公共区域5300，通过周长5100，到达安全设施5500的网络节点5600中。

基于网络测距的地理位置认证

用于基于网络测距的地理位置认证的系统和方法涉及通过使用从具有已知物理位置的至少一个节点提取的测距测量，认证网络节点(即，目标节点)的物理位置。至少一个节点的物理位置经由卫星地理定位技术获得。各种类型的卫星地理定位技术可以由所公开的系统采用。本公开中的图11到图14的描述讨论了可以被所公开的系统利用的一个示例性卫星地理定位技术(即，基于点波束的认证)。

当前的打击日益增多的网络攻击的访问控制方案主要基于或者静态密码或者基于密码和/或徽章凭据的认证。由于攻击往往通过扮演终端用户进行，出现了一些组织专注于用户身份认证方法以减小网络漏洞的一种趋势。这些方案对复杂的攻击仍然是脆弱的，并且因此，有必要开发利用额外的信息(例如用户的物理位置)的访问控制的新典范。这种信息提供保护的附加和正交层，这产生位置与从集成物理地理定位到逻辑网络的情境意识之间增强的相关性和信息管理视界。这意味着，特定网络节点的进入的数据可以根据其物理位置进行诊断，并基于这类信息对其授予各种访问权限。

目前难以用现有的工具来确定网络节点的物理位置。网络节点的位置可以通过检查互联网协议(IP)地址和主机名进行推断，但是这些识别符可能是欺骗或混淆的。可替换地，以及更安全地，网络节点的物理位置可以通过使用网络ping测距测量估算获得。

在本公开中，ping命令是用于测试互联网协议(IP)网络上节点的可达性和测量消息从初始节点(即，发送查询ping消息的节点)发送到目的地节点(即，接收该查询ping消息并发送响应ping消息的节点)的往返时间的计算机网络管理工具。ping命令通过初始节点向目的地节点发送互联网控制消息协议(ICMP)回送请求数据包并等待响应工作。在这个过程中，处理器用于测量查询ping消息的传送的往返时间，以及记录任何数据包损失。

用于基于网络测距的地理位置认证的系统和方法具有四种主要特征。第一主要特征是使用网络ping测距测量，以估算网络节点的物理位置。这类确定可以增加网络中的信任级，以及这类确定通过从具有已知位置的安全受信任的网络节点(一个或更多)向有问题的目标网络节点发送ping命令实现。在一个或多个实施例中，该初始节点(即，发送查询ping消息的节点)然后将检查发送时间与接收时间之间的差别，并导出物理测距估算。执行ping测距的一个以上初始节点可以遵循这个过程，以便提高最终结果的准确性和可靠性。

第二主特征是ping预协调和/或优先化的使用。这个特征基于ping命令从目的地节点立即返回(即，立即发送ping响应消息)的需要，这对于该方法的第一主特征的准确性是至关重要的。由响应延迟引起的任何关联的延迟将增加所测量的网络距离，并且因此增加所测量的最大物理距离。这增加了网络节点的实际物理位置的不确定性。因此，这个特征建议各种“快速跟踪”方法的使用，该方法通过使用查询ping命令和响应ping命令的预协调和/或优先化使得结果得以改善，其允许目的地节点尽可能快地对ping请求作出回应，从而降低距离误差和改善最终结果的准确性。

第三主特征是专用ping响应“快速跟踪”硬件的利用。专用ping响应“快速跟踪”硬件的使用更好启用第二主特征的“快速跟踪”的方法。这类硬件附接到和/或连接到涉及网络测距的装置中，以及还可以通过预协调和/或优先化对ping查询的响应用于提高最终结果的准确性。

第四主特征是使用查询ping消息内唯一识别符(例如，由一些随机位组成的伪随机码(PRC))，使得所述唯一识别符不能被预测并且可以被目的地节点(一个或更多)复制到响应ping消息中。这些唯一识别符起作用以确保被初始节点接收的响应ping消息(一条或多条)实际上是对由该初始节点发送的查询ping消息的响应。

应当指出，在对所述绘图的整个描述中，遵循了网络节点的一定命名约定。该命名约定如下所述。目标节点是所公开的系统和方法将通过验证其物理位置尝试认证的有问题的网络节点。受信任的节点(一个或更多)是具有已知物理位置的网络节点(一个或更多)。在一个或多个实施例中，受信任的节点(一个或更多)的物理位置从卫星地理定位技术获得。然而，在某些实施例中，至少一个受信任的节点的物理位置通过其他手段获得，该其他段包括但不限于地面测绘数据。而且，初始节点是发送查询ping消息的网络节点，以及目的地节点是接收该查询ping消息并向该初始节点回送响应ping消息的网络节点。

图6是根据本公开的至少一个实施例的所公开的用于认证目标节点(路由器3)110的物理位置的系统100的示意图。在这个绘图中，网络节点110、120、130(其通过路由器实施)的网络被示出，其中需要路由器3 110的物理位置的认证。路由器1 120和路由器2 130在所验证的物理位置(因此，他们被称为受信任的节点)，但是路由器3 110的物理位置是未知或未经验证的。

路由器1 120和路由器2 130(即，受信任的节点)的物理位置通过卫星地理定位技术获得。如这个绘图所示，卫星1 140和卫星2 150两者均传送多个点波束160、170到地球180上。路由器1 120和路由器2 130分别被从卫星1 140和卫星2 150传送的多个点波束160、170中的至少一个照亮。路由器1 120和路由器2 130的物理位置从各种不同类型的地理定位认证系统和方法获得。

在一个或多个实施例中，基于点波束的认证系统和方法被系统100用于验证路由器1 120和路由器2 130的物理位置。对于这些实施例，LEO铱卫星被卫星140、150采用，卫星140、150中的每个传送用于验证路由器1 120和路由器2130的物理位置的至少一个认证信号。与路由器1 120关联的接收源(未示出)和与路由器2 130关联的接收源(未示出)用于分别接收从卫星1 140和卫星2 150(即，传送源)传送的认证信号。关于基于点波束的认证系统和方法的详细讨论在下面本公开的基于点波束的认证部分中阐述。此外，需要指出，验证器装置(未示出)可以被所公开的系统100采用，其通过评估从卫星140、150中的每个传送的至少一个认证信号，验证路由器1 120和路由器2130的物理位置。此外，应当指出，在各种实施例中，认证信号可以从在相同频率和/或不同频率的相同传送源、不同传送源传送。

多个点波束160、170的点波束可以具有如在这个绘图中所示的圆形覆盖，或在其他实施例中，可以是具有不规则形状的覆盖的成形点波束。各种类型的卫星和/或伪卫星可以用于所公开的系统100的卫星1 140和/或卫星2 150。可以用于卫星140、150的卫星的类型包括但不限于，低地球轨道(LEO)卫星，中等地球轨道(MEO)和地球同步轨道(GEO)卫星。在一个或多个实施例中，对于卫星140、150，系统100采用LEO铱卫星。采用这种类型的卫星是有利的，这是因为其传送信号强到足以穿过衰减环境传播，包括在室内传播。

应当指出，在某些实施例中，除了路由器，各种其他类型的装置可以用于所公开的系统100的网络节点110、120、130的实施。可以用于网络节点110、120、130的装置的类型包括但不限于服务器、个人计算装置、个人数字助理、蜂窝电话、计算机节点、互联网协议(IP)节点、网关、Wi-Fi节点、网络节点、个人区域网(PAN)节点、局域网(LAN)节点、广域网(WAN)节点、蓝牙节点、ZigBee节点、全球互通微波接入(WiMAX)节点、第二代(2G)无线节点、第三代(3G)无线节点和第四代(4G)无线节点。

在所公开的系统100的操作期间，路由器1 120(即，初始节点)向路由器3110(即，目的地节点)发送查询ping消息(参照路由R₁₃)。响应于接收该查询ping消息，路由器3 110向路由器1 120发送响应ping消息(参照路由R₁₃)。与路由器1 120关联的处理器(未示出)通过使用从路由器1 120发送查询ping消息到路由器1 120接收响应ping消息所逝去的时间的量，计算从路由器1 120到路由器3 110的测距测量。被称为网络ping测距的这种测距测量产生两个网络节点(例如，路由器1 120与路由器3 110)之间的物理距离的近似值和最大范围，并且可以通过使用下列方程式进行计算：

(方程式1)RoD＝c[(t_Da-t_Oa)+(t_Ob-t_Db)+d]/2，其中t＝时间，以及c＝信号的速度

其中“O”指的是通过向“D”发送查询ping消息初始化该方法的初始节点(即，路由器1 120)，其中“D”指的是目的地节点(即，路由器3 110)，其向该初始节点响应发送响应ping消息；以及其中“d”指的是与信号行进时间无关的时间延迟，例如该目的地节点在接收该查询ping消息后生成所述响应ping消息所需要的时间。在某些实施例中，执行网络测距的一个以上网络节点可以遵循这个过程，以提高结果的准确性和可靠性。这可以涉及单个节点(即，路由器、服务器、个人计算装置(例如笔记本、台式机、掌上电脑、手机等))，或更集中作为所述网络节点的系统。

进一步地，如果信号速度(c)可以保证低于最大速度(c_MAX)，那么，该测量通过下列方程式不仅可以建立距离估算，而且可以建立最大距离：

(方程式2)R_{OD_MAX}＝c_MAX[(t_Da-t_Oa)+(t_Ob-t_Db)+d_MIN]/2，其中t＝时间，以及c_MAX＝信号的最大速度

其中“d_MIN”指的是该系统的最小可能延迟时间(最保守的假设是假设d_MIN＝0)。对于特定的一对网络节点，可以采取多个测量，而不是被平均，可以依赖报告最小R_MAX的测量作为两个网络节点之间的最大距离。

应当指出，在其他实施例中，不与路由器1 120关联的处理器可以执行测距测量计算。对于这些实施例，路由器1 120必须向该处理器传送从路由器1 120发送查询ping消息到路由器1 120接收该响应ping消息所逝去的时间的量。一旦该处理器接收该时间的量，该处理器将能够执行测距测量计算。

接着，处理器(例如，与路由器1 120关联的处理器，与路由器2130关联的处理器，或某些其他处理器)使用从路由R₁₃所计算的测距测量获得和/或验证路由器3 110的物理位置。

如这个绘图所示，路由器2 130还向路由器3 110发送查询ping消息(参照路由R₂₃)。响应于接收该查询ping消息，路由器3 110向路由器2 130发送响应ping消息(参照路由R₂₃，也被称为网络反射23(CyberBounce23))。与路由器2 130关联的处理器(未示出)通过使用从路由器2 130发送查询ping消息到路由器2 130接收响应ping消息所逝去的时间的量，计算从路由器2 130到路由器3 110的测距测量。

在可选实施例中，不与路由器2 130关联的处理器可以执行测距测量计算。对于这些实施例，路由器2 130必须向该处理器传送从路由器2 130发送查询ping消息到路由器2 130接收该响应ping消息所逝去的时间的量。一旦该处理器接收这个时间的量，该处理器就能够执行测距测量计算。

接着，处理器(例如，与路由器1 120关联的处理器，与路由器2130关联的处理器，或某些其他处理器)使用从路由R₂₃所计算的测距测量连同从路由R₁₃所计算的测距测量，以便获得和/或验证路由器3110的物理位置。在其他实施例中，该处理器使用从路由R23所计算的测距测量，以便提高通过只使用从路由R13所计算的测距测量获得的路由器3 110的物理位置的准确性。

在一个或多个实施例中，处理器(例如，与路由器1 120关联的处理器，与路由器2 130关联的处理器，或某些其他处理器)使用所获得的路由器3 110的物理位置和路由器1 120和路由器2 130的已知物理位置，生成这些网络节点110、120、130的位置的物理图谱。该物理图谱还可以含有不同类型的地形数据，其包括但不限于拓扑数据、街道名称的数据和地标数据。而且，在该物理图谱上的互联网协议(IP)信息的图谱覆盖也可以被实施。

应当指出，来自目的地节点的ping响应消息的立即返回对于这个方法的准确性是至关重要的。由目的地节点引起的任何延迟将增加网络节点之间所测量的网络距离，以及因此增加所述网络节点之间的最大物理距离估算。这增加目标节点(即，路由器3 110)的实际物理位置的不确定性，这是因为所述目标节点可能位于更大的物理区域。

在本公开的某些实施例中，通过使用ping消息的预协调和/或优先化，以及可以包括专用ping响应消息硬件的使用，目标节点的物理位置的估算得以提高。例如，用于加速对从初始节点发送的ping查询消息的响应的方法可以被所公开的系统100利用，其在ping查询消息的发送之前，通知目的地节点ping查询消息会在指定的时间到来。接着，该目的地节点可以在指定的时间前立即准备，以给予到来的查询ping包消息高优先级，并且当该查询ping消息到达时，立即回复。在某些实施例中，目的地节点经编程以在该目的地节点已经收到查询ping消息后，在指定的时间的量过去后，发送响应ping消息。在至少一个实施例中，目的地节点经编程以在指定的时间或具有指定的时间间隔的指定的时间发送响应ping消息，所述指定的时间间隔或者是定义的或或者随机的。

在至少一个实施例中，从初始节点发送到目的地节点的查询ping消息将包括不能被预测的唯一识别符(例如，若干随机位)，所述唯一识别符的至少一部分被复制到从该目的地节点发送到该初始节点的响应ping消息中。这确保由初始节点所接收的响应ping消息实际上是对初始发送的查询ping消息的响应，而不是来自诱骗装置的响应。在至少一个实施例中，随机种子可以用于初始化随机数发生器(例如，伪随机数发生器)以提供唯一识别符。

在某些实施例中，ping消息的优先化可以不需要使用预协调方法进行设计。例如，优先级可以被分配到不同优先级的数据包和/或用于处理数据包的其他排队逻辑。虽然与目标节点的物理位置的认证关联的数据包(即，ping消息数据包)可以是高优先级(或甚至在执行其他行动的最高优先级)，该系统可以另外用于发送整体更重要的其他关键信息，以及因此，一组优先级和/或排队逻辑可以用于最小化响应ping消息的发送的延迟，而不影响更重要数据路由的服务质量。

图7A是根据本公开的至少一个实施例的所公开的用于认证目标节点的物理位置的方法的流程图200，其中该目标节点发送地理位置认证请求。在该方法的开始205，该目标节点向具有已知物理位置的至少一个受信任的节点发送地理位置认证请求206。受信任的节点(一个或更多)的物理位置经由卫星地理定位技术获得。接着，受信任的节点(一个或更多)接收地理位置认证请求208。

受信任的节点(一个或更多)(即，初始节点(一个或更多))接着向目标节点(即，目的地节点)发送查询ping消息210。接着，目标节点接收查询ping消息215。在目标节点接收查询ping消息后不久，目标节点向受信任的节点(一个或更多)发送响应ping消息220。接着，受信任的节点(一个或更多)接收响应瓶消息225。在受信任的节点(一个或更多)接收响应ping消息后，至少一个处理器通过使用从发送查询ping消息到接收响应ping消息所逝去的时间的量，计算从目标节点到受信任的节点(一个或更多)的测距测量230。一旦处理器(一个或更多)已经计算测距测量，至少一个处理器(其可以是与计算测距测量的处理器(一个或更多)相同或不同的处理器(一个或更多))通过使用从目标节点到受信任的节点(一个或更多)的测距测量，验证目标节点的物理位置235。在处理器(一个或更多)验证目标节点的物理位置后，该方法结束240。

图7B是根据本公开的至少一个实施例的所公开的用于验证目标节点的物理位置的方法的流程图250，其中具有已知位置的至少一个受信任的节点发送查询ping消息。在该方法的开始255，具有已知物理位置的至少一个受信任的节点(即，初始节点(一个或更多))向目标节点(即，目的地节点)发送查询ping消息260。受信任的节点(一个或更多)的物理位置经由卫星地理定位技术获得。

接着，目标节点接收查询ping消息265。在目标节点接收查询ping消息后不久，目标节点向受信任的节点(一个或更多)发送响应ping消息270。接着，受信任的节点(一个或更多)接收响应ping消息275。在受信任的节点(一个或更多)接收该响应ping消息后，至少一个处理器通过使用从发送查询ping消息到接收响应ping消息所逝去的时间的量，计算从网络节点到受信任的节点(一个或更多)的测距测量280。一旦处理器(一个或更多)已经计算测距测量，至少一个处理器(其可以是与计算测距测量的处理器(一个或更多)相同或不同的处理器(一个或更多))通过使用从目标节点到受信任的节点(一个或更多)的测距测量，验证目标节点的物理位置285。在处理器(一个或更多)验证目标节点的物理位置后，该方法结束290。

图8是根据本公开的至少一个实施例的两个网络路由器310、320的示意图300，其中所述两个网络路由器中的每个采用用于发送消息的响应消息硬件装置330、340。在这个绘图中，示出两个网络路由器310、320中的每个连接到(即，通过有线或无线)专用响应消息硬件(即，“快速跟踪”装置)330、340。在某些实施例中，专用响应硬件330、340被物理附接到网络路由器310、320或被容纳在网络路由器310、320内。

响应消息硬件330、340能够在收到查询ping消息后，几乎没有任何延迟发送响应ping消息。由于响应消息硬件330、340能够几乎没有任何延迟发送响应ping消息，响应消息硬件330、340通过使用网络ping测距测量，允许目标节点的物理位置的更精确确定。响应消息硬件装置330、340驻留在路由器310、320之间的路径中，以及他们起发送和接收ping查询消息和ping响应消息的作用。对于这些实施例，响应消息硬件装置330、340给予该ping消息最高的优先级。

响应消息硬件装置330、340可以具有发送和接收专门指定的ping消息的独有目的。装置330、340被设计驻留在节点(例如，路由器310，320)之间的数据路径中，以及可以用作除专门指定的ping消息以外的所有数据的直通，装置330、340立即返回所述数据。在某些实施例中，装置330、340还可以在不影响标准流量的情况下，将信号注入节点310、320之间的数据路径中。ping消息发送的预协调还可以由装置330、340执行。

在至少一个实施例中，网络节点的信任可以从具有所验证的物理位置(即，受信任的节点)的节点转移到没有所验证的物理位置的节点(即，未验证的节点或目标节点)。这会在例如当一个专用响应消息硬件装置330(毗邻于具有所验证的物理位置的节点310，例如，如果专用响应消息硬件装置通过例如通用串行总线(USB)连接被附接到计算装置)被命令通过线路发送查询ping消息时发生。在线路另一端上的相应响应消息硬件装置340(毗邻于不具有所验证的物理位置的节点320)通过发送响应ping消息，快速回复查询ping消息。第一装置330接收返回的响应ping消息，执行测距测量计算，以及向未验证的节点320报告网络距离。如果专用响应消息硬件装置330、340在两端上，则受信任的物理所验证的节点310能够“转移”信任。如果所计算的距离与所测量和所验证的物理位置一致，信任是继承的。

图9是根据本公开的至少一个实施例的附接到路由器420的响应消息硬件装置410的示意图400，其示出该装置410被安置与进入的数据线(例如，光纤电缆)430连线。响应消息硬件装置410利用数据分离器440(例如，双锥耦合器)分离进入的数据。数据分离器440经由光缆460(或经由某些其他手段)将进入的数据传递到路由器420，并且也将进入的数据传递到计算机电路450。计算机电路450经由数据电缆470将数据传递到路由器420。通过控制所附接的路由器420的数据流，计算电路450因此可以优化和/或预协调响应消息硬件装置410与其他专用响应消息硬件装置之间的ping消息，以及可以以限制对通过量数据的影响的方式如此做。例如，当两个路由器停止标准数据传送和执行ping消息的发送和接收时(例如，在每10秒的数据传送已经过去后，在1毫秒的时间期间，执行ping消息的发送和接收)，具有专用响应消息硬件装置的两个路由器的每个均遵守时间表。

在至少一个实施例中，专用响应消息硬件装置410还可以包括卫星跟踪硬件和固件以通过使用卫星测距技术执行专用响应消息硬件装置410和/或路由器420的物理位置的验证。在一个或多个实施例中，专用响应消息硬件装置410可以被有效构造在网络路由器420自身内部，从而不需要使用数据分离器440。

图10A、10B和图10C是根据本公开的至少一个实施例的示意图500、505、510，当图10A、10B和图10C在一起观看时，其示出新的节点520(即，目标节点)进入网络以及该新节点520具有通过所公开的系统验证的物理位置。在至少一个实施例中，新节点520可以来到“在线”和发送查询ping消息以辅助确认其为“受信任的”节点。这可以是新节点520包括受信任的硬件和位于受信任的位置的情况(例如，新节点520是安装在军事基地的新路由器)。不过，在至少一个实施例中，新节点可以是未受控制的装置。在这些实施例中，当其物理位置通过使用ping测距测量得到验证时，新节点可以被转换为“受信任的”节点。

在图10A中，希望被转换为“受信任的”节点的新的未经验证的节点520(即，目标节点)向路由器1530、路由器2540和路由器3550发送地理位置认证ping请求。三个路由器530、540、550的物理位置通过使用利用从卫星560、570、580传送的信号的卫星地理定位技术被验证。作为响应，在图10B中，路由器530、540、550向新节点520发送查询ping消息。在图10C中，一旦新节点520接收ping查询消息，新节点520就向路由器530、540、550发送响应ping消息。与路由器530、540、550中的每个关联的处理器(未示出)通过使用从发送ping查询消息到接收响应ping消息所逝去的时间的量，计算从新节点520到其关联的路由器530、540、550的测距测量。至少一个处理器使用这些所计算的测距测量验证新节点520的物理位置。在新节点的物理位置被验证后，那么，新节点520被认为是“受信任的”节点。

所公开的方法允许网络节点基于该节点的物理位置，诊断来自给定节点的进入的数据。在至少一个实施例中，这可以被用于提高网络节点的分配的可信度。在某些实施例中，访问权限可以基于该节点的认证被授予。在至少一个实施例中，所授予的访问权限可以是基于用于验证该节点的物理位置的认证方法的类型，使得使用最高准确性/可靠性的方法可以被分配最高的访问权限级，以及可选地，与是最不值得信任的节点有关的具有最低准确性/可靠性的方法被分配最低程度的访问权限。

基于点波束的认证

实体或用户身份认证技术使第三方认证器能够通过单路认证方法认证远程资源的用户、资产或装置(例如，请求人或网络节点)的身份和/或物理位置。然而，需要指出，这种单路方法也可以被主机系统直接用于认证请求人。实体可以是装置(例如，网络节点、移动电话、计算机、服务器等)或需要被跟踪的资产，而用户可以是一个人或其他有生命的/无生命的实体。实体和/或用户可以在整个连接或会话持续期间被认证。实体和/或用户可以在初始认证后要求再认证。再认证请求可以由主机网络限定以及可以是上下文指定的。可替换地，这种系统可以用于基于消息的认证系统，其需要每个消息的单独认证过程。本文所述的技术可以被用于基于会话的认证，基于消息的认证，或二者的组合的任何一个。

此外，这种方法可以被应用于接收装置自身，使得单向认证不必通过远程第三方而是通过一个或多个接收装置完成。当这种方法通过单一装置进行时，仍然被认为是单路认证方法。然而，这种方法也可以应用于多路认证技术，以允许至少两个对等装置彼此认证。在这种单路或多路的装置-装置认证方法中，认证通常依赖于两个合法的接收装置中的每个知道和任何未经认证或恶意接收装置不知道的共享秘密(对称和非对称)。每个装置可以具有唯一的认证凭据，例如在该装置自身与对等装置之间共享的秘密口令或以安全证书形式的公共/私有密钥对。当装置证明满足知道共享秘密的其他对等装置时，该装置已经验证其自身，并且因此是合法的。一旦用这种多路认证方法完成至少两个装置之间的认证，所述装置就已经彼此证明他们的身份。接着，该装置可以创建他们可以选择的自身的认证网络，以实施已商定的网络安全政策，以便保护对给定上下文的联网资源的通信和访问。

现有的认证方法可以被使用或合并，以生成初始的安全密钥(一个或更多)。初始安全密钥可以例如使用Diffie-Hellman技术合作地生成，或可以由一个对等装置简单生成，并经由替代的安全通道/过程发送到另一个装置。

在任何情况下，伴随的初始安全密钥可以包括某些共享的活跃度信息(如之前所定义的)。在这个应用中，所述活跃度信息通过卫星点波束提供，并可以包括像时间戳和伪随机数(PRN)的用于认证的这类参数。

所述共享的活跃度信息的使用可以被用于允许发起装置每次使用不同的安全密钥向对等装置认证其自身的推导中。这阻碍了潜在的恶意窃听者发起对发起装置每次进行认证时的统计攻击，向其在发起装置的以前会话期间被截取消息的分析添加新截取的消息。那么，该活跃度信息和初始安全密钥可以作为决定性函数的输入被传递。如本文所使用的，术语“决定性”指的是该函数的输出由该输入完全确定的函数。这个决定性函数可以在发起装置和在对等装置上单独运行。当这两个装置运行该决定性函数时，如果他们产生不同的输出，那么，从该函数推导的安全密钥将不匹配，该装置不会被验证，因此，该装置不会被用于相互通信。

除了是决定性以外，为了安全起见，该函数应该是固有不可逆的。知道函数的输出，确定函数的输入应当很难或不可能的。散列形成一类函数，该类函数是决定性和固有不可逆的，并且因此，其往往用于加密和认证计算。在众所周知的传送层安全(TLS)协议中使用的伪随机函数(PRF)是可以被使用的决定性函数实施的示例。

PRF组合两个众所周知的散列函数，消息摘要算法5(MD5)和安全散列算法1(SHA-1)的结果。PRF使用两个散列函数，以便维护仅在某些人确定如何反转两个散列函数中的一个的情况下的安全。这两个散列函数产生可能太短而不是最佳安全的输出。SHA-1产生20字节输出，以及MD5产生16字节输出。因此，对于两个散列函数中的每个，使用散列函数产生任意长度的输出的“数据扩展函数”可以被定义。对于SHA-1，该数据扩展函数可以被定义为P_SHA-l：

方程式1：P_SHA-l(initial-security key，liveness)＝SHA-1(initial-security key，A(l)+liveness)+SHA-1(initial-security key，A(2)+liveness)+SHA-1(initial-security key，A(3)+liveness)+...

其中A(0)＝liveness；

A(i)＝SHA-1(initial-security

key，A(i-1))；

and the“+”sign indicates string

concatenation

其中，initial-security key为初始-安全秘钥，Liveness为活跃度以及“+”符号指示字符串连接。

数据扩展函数P_MD5的定义类似于上面的定义，其中在出现“SHA-1”的地方，用“MD5”替换。根据需要，该数据扩展函数可以被迭代到许多步骤，以产生所希望的长度的输出。所希望的输出长度可以被设定为实施选项。在至少一个实施例中，每个散列函数的所希望的输出长度是128字节。P_SHA-l可以被迭代到A(7)，用于140字节的总输出长度(每次迭代增加20字节的输出长度)。然后，该输出可以被截短为128字节。P_MD5的每次迭代产生16字节，因此，将其输出迭代到A(8)，不需要截短，产生所希望的128字节。

在已经选择散列函数并将他们的数据扩展函数输出迭代到所希望的输出长度的基于点波束认证的一个实施例中，PRF采用所扩展的初始安全密钥、标签(预定的ASCII字符串)以及所交换的活跃度信息作为输入。PRF被定义为两个散列扩展函数PMD5和PSHA-l的输出的逐位异或(XOR)：

方程式：2 PRF(expanded initial-security key，label，liveness)＝P_MD5(S1，label+liveness)XOR P_SHA-1(S2，label+liveness)

其中，expanded initial-security key为扩展的初始-安全秘钥，label为标签，liveness为活跃度

其中S1是以字节测量的所扩展的初始安全密钥的第一半，以及S2是所扩展的初始安全密钥的第二半。(如果所扩展的初始安全密钥的长度是奇数，那么其中间字节是S1的最后字节和S2的第一字节)。由于P_MD5和P_SHA-l被迭代以产生128字节的输出，PRF的输出也是128字节。

PRF的128字节输出被划分为四个32字节的会话安全密钥。那么，该会话安全密钥中的每个被截短到所使用的认证和加密协议所需要的长度。截短的结果是新的一组临时会话安全密钥中的一个。临时会话安全密钥的推导允许发起装置和对等装置两者不直接使用初始安全密钥或所扩展的初始安全密钥中的任一个，以便最小化或至少降低安全密钥信息的泄漏。该临时会话安全密钥的推导还允许该发起装置和对等装置以固定间隔刷新从所扩展的初始安全密钥推导的会话安全密钥，或当被命令通过限制会话安全密钥的使用阻止统计分析时，刷新从所扩展的初始安全密钥推导的会话安全密钥。

认证和加密临时会话安全密钥中的每个具有下列具体目的：i)为了保密，从发起装置到对等装置的数据交换的加密；ii)为了保密，从对等装置到发起装置的数据交换的加密；iii)为了完整性，从发起装置到对等装置的数据交换的签名；以及iv)为了完整性，从对等装置到发起装置的数据交换的签名。

基于点波束的认证的初始安全密钥的推导可以使用利用商定和众所周知的公共字根(primitive root)发生器“g”和质数模“p”的Diffie-Hellman技术。发起装置和对等装置中的每个选择随机的秘密整数和交换他们相应的((g∧(秘密整数))mod p)。这种交换允许发起装置和对等装置使用Diffie-Hellman推导共享的初始秘密密钥。

已经推导出在发起装置与对等装置两者之间共享的初始秘密密钥，所述发起装置和对等装置可以使用数据扩展(例如使用P_SHA-l)推导扩展的初始秘密密钥。用于数据扩展过程的活跃度信息可以是已知的随机值或由该发起装置和对等装置商定的时间戳。在某些实施例中，对等装置可以选择随机值并经由卫星或地面网络将该随机值传送到发起装置。可替换地，发起装置和对等装置两者可以商定时间戳，由于该发起装置和对等装置两者是严格时间同步的，以及从而避免数据交换而又能够从所共享的/公共的时间戳值选择活跃度。

遵循这点，发起装置和对等装置具有可以用于推导新的一组临时会话安全密钥的共享的扩展的初始秘密密钥。再次对于活跃度，发起装置和对等装置可以使用由该对等装置传送的共享随机值或共享的/公共的时间戳值中的任一个。该临时会话安全密钥可以被发起装置和对等装置用于进一步加密以及签名发起装置与对等装置之间的地理位置名和其他上下文信息交换。地理位置和其他上下文信息被认为是保密的，因此这类信息被加密是适当的，以确保只有所认证的发起装置和对等装置能够提取交换的地理位置和上下文信息。需要指出，地理位置通过使用伪随机(PRN)代码段和独特的波束参数，通过在本专利申请描述的程序进行验证。所共享的上下文信息可以包括针对性的网络防御应用程序执行或决策支持系统的其他状态或控制信息。除了加密以外，通过使用用于如较早前所讨论的签名目的的临时会话安全密钥确保所交换的地理位置和上下文信息的完整性。

简要概述，在某些实施例中，在本文描述的认证系统和方法可以利用用于确定请求人的位置的地理定位技术作为所述认证过程的一部分。一种这类地理定位技术在题为“Geolocation Leveraging Spot BeamOverlap”的普通转让和共同未决的美国专利申请流水号12/756961中定义，该公开的全部内容通过引用在此并入。当认证被请求时，请求人装置可以捕捉独特的签名参数并向验证装置传送该独特的签名参数。此外，请求人装置可以传送其要求的行进路径(即，每个路点(一个或更多)和时间)。无论该装置是固定的或移动的，路点可以被传送。验证装置可以使用请求人所请求的波束签名参数、至少一个位置路点、以及与这个路点和波束参数捕捉关联的至少一个时间验证该请求人。例如，如果针对已知的有效数据集，从至少一个点波束捕捉的波束参数和至少一个所请求的路点被确认，请求人可以认为被认证器认证。通过这种方式，请求人可以被验证为在特定时间的区域内。基于这些参数的组合码提供极难于效仿、黑客或诱骗的信号。而且，该信号结构和卫星所接收的信号功率允许该认证用于室内或其他衰减环境中。这提高这种系统方案的整体效用。

本申请的主题主要在低地球轨道(LEO)卫星(例如由铱卫星实施的卫星)的上下文中进行描述。然而，本领域技术人员应当意识到本文描述的技术很容易适用于其他卫星系统，例如中等地球轨道(MEO)卫星系统或同步轨道(GEO)卫星系统。这类基于卫星的通信系统可以包括或利用其他移动通信系统，例如机载通信系统等，以及包括但不限于轮船或蜂窝电话塔的固定通信平台。

图11是根据实施例的基于卫星的通信系统600的示意图。实际中，基于卫星的通信系统600可以包括在轨道中的至少一个卫星610。为简明起见，简单的卫星在图11中示出。参照图11，在某些实施例中，系统600包括与一个或多个接收装置620通信的一个或多个卫星610。在某些实施例中，卫星610可以体现为LEO卫星(例如在铱卫星星座内的LEO卫星)。卫星(一个或更多)610在已知的轨道上绕地球轨道运行，以及可以以已知的模式将一个或多个点波束630传送到地球的表面上。每个点波束630可以包括信息(例如伪随机(PRN)数据和一个或多个独特波束参数(例如，时间，卫星ID，时间偏差，卫星轨道数据等))。

接收装置(一个或更多)620可以作为通信装置(例如卫星或蜂窝电话或作为通信的组件或计算装置(例如个人计算机、便携式计算机、个人数字助理等))进行实施。在某些实施例中，接收装置(620)可以包括一个或多个定位或导航装置或类似于用于连接全球定位系统(GPS)的装置的模块。

图12A、12B和图12C是根据实施例的基于卫星的认证系统700的示意图。首先参照图12A，在某些实施例中，在轨道中的卫星610将一个或多个点波束630传送到地球的表面上。接收装置620可以经配置接收该点波束的信号。在图12A所示的实施例中，接收装置是基于地面的并且可以在衰减环境中操作。通过示例的方式，物体710(例如屋顶、建筑物等)会阻挠卫星610与该接收装置之间的通信路径的一部分。

传送器720将由接收装置620接收的数据，和/或由接收装置620生成的数据传送到认证器730。在图12A中所示的传送器720是中继从接收装置到认证器的数据的无线传送器。然而，本领域技术人员应当意识到，来自接收装置620的数据可以经由有线通信系统、无线通信系统或有线与无线系统的组合进行传送。认证器730使用由接收装置620经由点波束捕捉的数据，经由也是图12B中的情况的单路认证方案证明认证器730是授权的用户。

而且，图12B示出接收装置620可以是的机载装置的接收装置620(例如航空器625中)的布置。在图12B中所示的实施例中，航空器625可以保持与卫星610的上行链路(例如L波段上行链路)并且由该航空器中的接收装置620捕捉的数据可以经由该上行链路传回到卫星610。卫星610可以将该数据传送到第二交联卫星610，第二交联卫星610可以相应将该数据传送到验证器730。

在图12C中所示的系统示出一个实施例，其中两个(或多个)对等装置620可以实施两路认证技术以彼此认证。简要参照图12C，如上所述的在轨道中的卫星610将一个或多个点波束630传送到地球的表面上。第一接收装置620A可以经配置接收来自点波束的信号。第一接收装置620A可以经配置推导安全密钥，例如使用如上所述的Diffie-Helman方案，所述Diffie-Helman方案合并来自点波束的PRN数据。

PRN数据也被传送到第二装置620B。在某些实施例中，第二装置620B可以在点波束630外侧，在这种情况下，PRN数据可以经由通信网络通过耦合到第二装置620B的计算装置740传送。计算装置740可以通信地耦合到卫星610。通过示例的方式，以及并没有限制，计算装置740可以是经由通信链路单独地耦合到卫星610的服务器。计算机740可以与用于卫星610的控制网络关联，以及从而可以占用与点波束630关联的PRN数据。

在操作中，第一接收装置620A发起认证数据的请求，该请求被传送到第二接收装置620B。第一接收装置620B之间的通信链路可以通过传送网络720被引导或实施。第二接收装置620B对响应请求并发出几乎同时发生的请求用于认证来自第一接收装置620A的数据。第一接收装置620A认证第二接收装置620B并向第二接收装置620B发出几乎同时发生的响应用于认证数据，该响应接着可以认证第一接收装置620A。

如上所述，在第一接收装置620A与第二接收装置620B之间实施的认证过程可以是Diffie-Hellman交换，其中所共享的秘密包括由点波束630传送的PRN数据的至少一部分。因此，在图12C中所示的系统使接收装置620A、620B的点对点认证成为可能。本领域技术人员应当意识到，这种两路认证方案可以扩展到接收装置和服务器以及其他硬件架构，或扩展到两个以上的装置。

图13A是根据实施例的可以适用于实施基于卫星的认证系统的计算系统的示意图。例如，在图12A和图12B所示的实施例中，认证器730可以由如图13A所示的计算系统实施。参照图13A，在一个实施例中，系统800可以包括计算装置808以及一个或多个随附的输入/输出装置，所述输入/输出装置包括具有屏幕804的显示器802、一个或多个扬声器806、键盘810、一个或多个其他I/O装置812、以及鼠标814。其他I/O装置(一个或更多)812可以包括触摸屏、语音激活的输入装置、跟踪球、以及允许系统800接收用户输入的任何其他装置。

计算装置808包括系统硬件820以及存储器830，存储器830可以被实施为随机存取存储器和/或只读存储器。文件储存器880可以通信地耦合到计算装置808。文件储存器880可以在计算装置808内部，例如一个或多个硬盘驱动器、CD-ROM驱动器、DVD-ROM驱动器或其他类型的存储装置。文件储存器880也可以在计算机808外部，例如一个或多个外部硬盘驱动器、联网储存器或单独的存储网络。

系统硬件820可以包括一个或多个处理器822、至少两个图形处理器824、网络接口826以及总线结构828。在一个实施例中，处理器822可以体现为从美国加利福尼亚州圣克拉拉英特尔公司可获得的IntelCore2 Duo处理器。如本文所使用的，术语“处理器”意思是任何类型的计算元件，例如但不限于微处理器、微控制器、复杂指令集计算(CISC)微处理器、精简指令集(RISC)微处理器、非常长指令字(VLIW)微处理器、或任何其他类型的处理器或处理电路。

图形处理器824可以起管理图形和/或视频操作的辅助处理器的作用。图形处理器824可以被集成到计算系统800的母板上或可以经由该母板上的扩展槽耦合。

在一个实施例中，网络接口826可以是有线接口，例如以太网接口(例如参见电气和电子工程师协会/IEEE 802.3-2002)，或无线接口，例如IEEE 802.11a、b或g兼容接口(例如参见用于系统LAN/MAN之间IT-远程通信和信息交换的IEEE标准的第二部分：无线LAN介质访问控制(MAC)和物理层(PHY)规范修订4：802.11G-2003在2.4GHz频带的进一步高数据速率扩展)。无线接口的另一个示例可以是通用分组无线业务(GPRS)接口(例如参见，全球移动通信系统/GSM协会的GPRS手机需求指引，版本3.0.1，2002年12月)。

总线结构828连接系统硬件820的各种组件。在一个实施例中，总线结构828可以是总线结构(一个或更多)的几种类型中的一种或多种，其包括存储器总线，外围总线或外部总线和/或使用任何各种总线架构的局部总线，所述任何各种总线架构包括但不限于11位总线、工业标准架构(ISA)、微通道架构(MSA)、扩展ISA(EISA)、智能驱动器电子(IDE)、VESA局部总线(VLB)、外围组件互连(PCI)、通用串行总线(USB)、高级图形端口(AGP)、个人计算机存储卡国际协会总线(PCMCIA)以及小型计算机系统接口(SCSI)。

存储器830可以包括用于管理计算装置808的操作的操作系统840。在一个实施例中，操作系统840包括向系统硬件820提供接口的硬件接口模块854。此外，操作系统840可以包括文件系统850，其管理在计算装置808的操作中使用的文件，和过程控制子系统852，其管理在计算装置808上执行的处理。

操作系统840可以包括(或管理)一个或多个通信接口，其可以连同系统硬件820一起操作，以从远程资源收发数据包和/或数据流。操作系统840可以进一步包括系统调用接口模块842，其提供操作系统840与驻留在存储器830中的一个或多个应用程序模块之间的接口。操作系统840可以体现为UNIX操作系统或其任何衍生操作系统(例如，Linux、Solaris、伯克利软件分发(BSD)、Android等)或Windows品牌操作系统、或其他操作系统。

在各个实施例中，计算装置808可以体现为个人计算机、便携式计算机、个人数字助理、移动电话、娱乐装置、或另外的计算装置。

在一个实施例中，存储器830包括认证模块862，其基于从请求人所接收的数据验证该请求人。在一个实施例中，验证模块862可以包括编码在非临时性计算机可读介质中的逻辑指令，当该逻辑指令由处理器822执行时，促使处理器822基于从请求人所接收的数据验证该请求人。此外，存储器830可以包括卫星轨道数据库864，其包括在围绕地球的预定轨道中的卫星610的轨道信息。关于由认证模块862实施的认证过程和操作的附加细节在下面进行描述。

在某些实施例中，接收装置620可以被实施为适于与常规计算装置622(例如，笔记本电脑、PDA、或智能电话装置)耦合的卫星通信模块。接收装置620可以通过合适的通信连接(例如通过通用串行总线(USB)接口、RS-232接口、光纤接口等)耦合到计算装置622。在图13B所示的实施例中，接收装置620可以是“薄的”装置，在这个意义上，其可以包括接收器和有限的处理能力，例如经配置实施认证例程的专用集成电路(ASIC)或现场可编程门阵列(FPGA)。

在操作中，计算装置622的用户可以利用接收装置620通过主机网络890认证计算装置622。如上所述，在图13B中所示的接收装置620可以接收从卫星610传送的点波束630，其包括独特的波束签名和伪随机数(PRN)。计算装置622可以向主机网络890发起访问请求。该访问请求可以包括用户特定信息，例如用户ID，从基于地球的坐标系配位的一个或多个信息(例如，邮编、区号、纬度/经度、通用横轴墨卡托(UTM)；地心地固坐标系(ECEF)，世界地理参考系统(GEOREF)，或其他各种系统，例如，邮编)以及从卫星610接收的PRN数据的至少一部分。

主机网络890可以向认证器730传送用户访问请求作为认证请求。在某些实施例中，主机网络可以向请求en添加附加的信息，使认证器730能够认证计算机622。通过示例的方式，主机网络630可以提供关于请求人可以被验证的地方的限制(即，从什么地理位置)。认证器730可以验证该请求人和提供对主机网络890的认证响应。主机网络890反过来可以转发对计算装置622的访问响应。

图14是根据实施例的示出认证请求人的方法中的操作的流程图。参照图14，在操作910，请求人装置确定该请求人装置的物理位置。在某些实施例中，请求人装置620可以包括一个或多个位置模块以确定请求人装置620的位置。通过示例的方式而不是限制，请求人装置620可以包括，或通信地耦合到全球定位系统(GPS)模块，以基于来自该全球定位系统的信号确定位置。可替换地，或附加地，请求人装置620可以包括逻辑以基于来自一个或多个LEO或MEO卫星610的信号确定位置，如同在美国专利号7489926、7372400、7579987和7468696中的一个或多个中所述，其公开的全部内容通过引用在此并入。在某些实施例中，请求人装置620的位置可以在纬度/经度坐标或另一种基于地球的坐标系中表述。

在操作915，请求人装置620接收从卫星610传送的点波束。在某些实施例中，请求人装置620提取一个或多个独特的波束参数(例如，时间、卫星ID、波束ID、时间偏移、卫星轨道数据等)，其包括来自卫星点波束的伪随机码段。在某些实施例中，请求人装置620可以在存储器模块中存储波束参数，所述存储器模块在请求人装置620中或通信地耦合到请求人装置620。在一个或多个实施例中，操作915可以与其前述的操作910几乎同时发生。

在操作920，请求人装置620可以继续生成一个或多个路点数据快照，该路点数据快照可以包括来自操作910的请求人装置620的位置信息，以及经由在操作920中记录的卫星点波束所传送的一个或多个独特的波束参数。在某些实施例中，该路点数据快照可以存储在存储器模块中，所述存储器模块在请求人装置620中或通信地耦合到请求人装置620。

在某些实施例中，请求人装置620可以收集随着时间推移的路点数据快照的阵列。例如，路点数据快照的阵列可以通过随着时间推移，接收穿过请求人装置620的来自多个卫星610的点波束进行构造。可替换地，或附加地，路点数据快照的阵列可以通过相对于卫星610移动请求人装置620进行构造，例如通过将请求人装置620放置在如图12B所示的航空器625中。附加示例将包括起跟踪器作用的请求人装置，以证实可以包括危险品的实体或资产所行进的路线。该请求人装置可以被轮询提供路点数据，以验证所希望的路径匹配于实际的路径。该请求人装置可以被随机轮询。

在操作920，路点数据快照(一个或更多)可以从请求人装置620输送到验证器装置730。通过示例的方式，在图12A所示的实施例中，路点数据快照(一个或更多)可以经由传送器720或另一个通信网络传送。在图12B所示的实施例中，路点数据快照(一个或更多)可以从航空器625传送到卫星625，接着经由卫星网络传送到验证器装置730。

在操作925，验证器装置730接收来自请求人装置620的位置数据和路点数据。在操作930，验证器装置730将该位置数据和路点数据与已知有效数据集中的对应数据比较，以便认证请求人。通过示例的方式，LEO卫星(例如铱卫星星座)在已知的轨道环航地球，该轨道的大概参数是事先做好可用的。验证器装置730可以包括卫星轨道数据库864，或通信地耦合到卫星轨道数据库864，该卫星轨道数据库包括关于在已知轨道围绕地球的卫星610的轨道信息。

在某些实施例中，从请求人装置接收的位置数据和路点数据与来自已知数据集的位置和路点数据作比较(操作930)，以确定请求人装置620在预期的时间实际上是否在预期地理位置的合理阀值距离内。通过示例的方式而不是限制，卫星轨道数据库864可以被搜索对应于从请求人装置620传送的独特的波束参数的数据记录。当匹配的记录被定位，来自从轨道数据库864所检索的记录的轨道数据可以与从请求人装置620接收到的数据作比较。例如，该已知的数据可以包括点波束630的中心的坐标和在地球表面上的点波束630的半径的指示。从请求人装置620接收到的坐标可以与点波束的位置作比较，以确定所接收的数据是否指示请求人装置620在从该请求人装置接收到的数据中指示的时间，在由该点波束限制的区域内。在至少一个实施例中，点波束可以是不规则的形状。在至少一个实施例中，请求人装置可以在地球表面上方的海拔高度。

在操作935，如果从请求人装置620接收到的数据指示请求人装置620在与来自请求人装置的数据关联的时间，在由来自卫星610的点波束包围的地理区域内，那么，请求人装置620可以认为是被认证的。在认证系统中，控制然后转到操作940，并且请求人允许访问资源。通过示例的方式而不是限制，验证器装置730可以向所认证的请求人装置620授予令牌。该令牌可以被远程系统使用，以授权对资源的访问。

相反，如果从请求人装置620接收到的数据指示请求人装置620在与来自请求人装置620的数据关联的时间，不在由来自卫星610的点波束包围的地理区域内，那么，请求人装置620可以认为是未被认证的。在认证系统中，控制然后转到操作945，并且请求人被拒绝访问资源。通过示例的方式而不是限制，验证器装置730可以拒绝向所认证的请求人装置620授予令牌。在缺乏令牌的情况下，请求人装置会被拒绝对由远程系统管理的资源的访问。

因此，在图11-13中所示的系统架构和在图14中所示的方法使得一个或多个请求人装置620的基于卫星的认证可行。该认证系统可以用于允许或拒绝对由远程计算系统管理的一个或多个资源的访问。在某些实施例中，请求人装置(一个或更多)可以是固定的，而在其他实施例中，请求人装置(一个或更多)可以是移动的，以及认证过程可以是基于时间的，基于位置的，或二者的组合的任何一个。

在某些实施例中，系统可以用于实施基于会话的认证，其中，请求人装置(一个或更多)620被认证以使用整个会话的资源。在其他实施例中，该系统可以实施基于消息的认证，其中，请求人装置(一个或更多)620对从请求人装置(一个或更多)620传送到远程资源的每个消息必须单独进行认证。

在一个示例实施中，如本文所述的认证系统可以用于提供对安全计算资源(例如企业电子邮件系统、企业网络、军事基地或民用基础设施网络或电子银行设施)的访问的认证。在其他示例实施中，认证系统可以用于确认物流系统中的车辆的行程。通过示例的方式，移动实体(诸如卡车、火车、船舶或航空器)可以包括一个或多个请求人装置(一个或更多)620。在计划任务的过程中，物流系统可以定期轮询请求人装置(一个或更多)620，请求人装置620可以对从卫星610获得的认证数据做出响应。认证数据可以是在物流系统中收集并用于确认请求人装置(一个或更多)根据物流计划在预定的时间在指定的位置。

在又一示例中，如本文所述的认证系统的实施可以用于验证与监控系统(例如软禁监控系统)关联的请求人装置(一个或更多)的位置。在这类实施例中，请求人装置(一个或更多)可以包含一个或多个生物传感器(例如指纹生物识别传感器)以认证系统的用户，而认证系统可以用于确认请求人装置在预定的时间在预定的位置(即，请求人是在正确的地方，在正确的时间，以及是正确的人)。认证装置还可以对所批准的位置所限定的列表审查请求人装置的位置，还可以通过认证系统对在所批准的时间阶段(一个或更多)的所批准的位置(一个或更多)集审查请求人装置的位置和时间进一步细化。而且，这个系统可以用于跟踪所登记的性罪犯。

在某些实施例中，卫星610可以是LEO卫星系统(例如铱星座)的一部分，所述LEO卫星在已知的轨道绕地球轨道运行，并且所述LEO卫星传送具有已知几何形状的点波束，使得请求人装置(一个或更多)可以通过确认该请求人装置在指定的时间在指定点波束内而认证。因此，请求人可以通过使用单一信号源(例如，单颗卫星610)进行认证。而且，因为LEO卫星(例如铱星座)和MEO卫星传送相对高功率的信号水平，该系统可以用于认证位于阻挠环境(例如室内或市区位置)中的一个或多个请求人装置。而且，LEO卫星和MEO卫星的相对高的信号强度使这些信号不容易受到干扰。

虽然本文已经公开了特定的示例性实施例和方法，但是在没有偏离本公开的精神和范围的情况下，可以对前述公开的实施例和方法进行各种更改和改变，这对于本领域的技术人员来说是明显的。存在所公开的技术的许多其他示例，他们中的每个不同之处仅在于细节的不同。因此，旨在仅由附属权利要求和适用法规和规则所要求保护的范围限制所公开的技术。

Claims

1.一种提高路由安全的方法，所述方法包括：

向至少一个网络节点分配至少一个信任级；以及

利用所述至少一个信任级确定所述至少一个网络节点的安全程度。

2.根据权利要求1所述的方法，其中所述至少一个网络节点的所述至少一个信任级是非常高、高、中等和低中的至少一个。

3.根据权利要求1所述的方法，其中所述至少一个网络节点的所述至少一个信任级与所述至少一个网络节点的物理位置的确定性的量有关。

4.根据权利要求3所述的方法，其中所述至少一个网络节点的所述物理位置的所述确定性的量从位于已知安全位置的所述至少一个网络节点获得。

5.根据权利要求3所述的方法，其中所述至少一个网络节点的所述物理位置的所述确定性的量通过使用卫星地理定位技术，从所述至少一个网络节点的所述物理位置的验证获得。

6.根据权利要求5所述的方法，其中所述卫星地理定位技术使用至少一个认证信号，以便获得所述至少一个网络节点的所述物理位置。

7.根据权利要求6所述的方法，其中所述至少一个认证信号通过至少一个传送源传送，并且由与所述至少一个网络节点关联的至少一个接收源接收。

8.根据权利要求7所述的方法，其中所述至少一个传送源在至少一个卫星和至少一个伪卫星中的至少一个中采用。

9.卫星。

10.根据权利要求3所述的方法，其中所述至少一个网络节点的所述物理位置的所述确定性的量通过使用网络ping测距测量，从估算所述至少一个网络节点的所述物理位置获得。

11.根据权利要求10所述的方法，其中所述网络ping测距测量从具有已验证的物理位置的至少一个已验证的节点到所述至少一个网络节点来回发送的ping消息期间所逝去的时间的量获得。

12.根据权利要求11所述的方法，其中所述具有已验证的物理位置的至少一个已验证的节点具有通过卫星地理定位技术验证的物理位置。

13.根据权利要求1所述的方法，其中所述方法进一步包括：

利用所述至少一个网络节点的所述至少一个信任级确定用于路由数据的至少一条路径的信任度，其中所述至少一条路径包括所述至少一个网络节点中的至少一个。

14.根据权利要求13所述的方法，其中所述至少一条路径的信任度等于分配给所述至少一条路径中的至少一个网络节点中的至少一个的最低信任级。

15.根据权利要求14所述的方法，其中所述方法进一步包括：

根据所述至少一条路径的信任度，选择至少一条路径中的哪条路径以路由所通过的数据。

16.根据权利要求1所述的方法，其中所述方法进一步包括：

用至少一个处理器加密数据；

用所述至少一个网络节点中的一个传送所加密的数据；

用所述至少一个网络节点中的另一个接收所加密的数据；以及

用所述至少一个处理器解密所加密的数据。

17.根据权利要求1所述的方法，所述方法进一步包括：

由所述至少一个网络节点中的至少一个利用至少一个安全路由器传送和接收数据。

18.根据权利要求1所述的方法，其中所述方法进一步包括：

基于数据已行进通过的路径的信任度，由所述至少一个网络节点中的至少一个利用至少一个边界防火墙路由器确定是否允许数据穿过所述至少一个边界防火墙路由器。

19.根据权利要求13所述的方法，所述至少一条路径中的至少一个包括用于路由数据通过的至少一个安全自主系统。

20.根据权利要求3所述的方法，其中所述方法进一步包括：

用至少一个处理器生成所述至少一个网络节点的所述物理位置的图谱，其中所述图谱指示所述至少一个网络节点中每个的所述至少一个信任级。

21.根据权利要求1所述的方法，其中所述至少一个网络节点的所述至少一个信任级与所述至少一个网络节点的行为有关。

22.根据权利要求21所述的方法，其中所述至少一个网络节点的所述行为与穿过所述至少一个网络节点的数据的至少一个和穿过所述至少一个网络节点的数据的量有关。

23.一种提高路由安全的系统，所述系统包括：

至少一个网络节点；以及

至少一个处理器，所述至少一个处理器经配置向所述至少一个网络节点分配至少一个信任级，以及经配置利用所述至少一个信任级确定所述至少一个网络节点的安全程度。