CN105960781A - 利用基于公钥的数字签名保护源路由的方法与系统 - Google Patents

Abstract

提供利用基于公钥的数字签名保护源路由的实施例。如果一条保护源路由被篡改，基于公钥的方法允许下游节点检测所述篡改。所述方法是基于利用数字签名保护所述源路由的完整性。在为业务流创建源路由时，指定网络组件计算数字签名并将所述数字签名添加至数据包。当所述路由上的一个节点接收到所述数据包，所述节点利用所述数字签名和公钥验证所述源路由，并且相应地确定所述源路由是否被篡改。如果检测到篡改，所述接收节点停止转发所述数据包。

Description

利用基于公钥的数字签名保护源路由的方法与系统

本发明要求2014年2月11日递交的发明名称为“利用基于公钥的数字签名保护源路由的方法与系统”的第14/177,913号美国非临时申请案的在先申请优先权，该在先申请的内容以引用的方式并入本文。

技术领域

本发明涉及网络通信和路由领域，以及在特定的实施例中，涉及一种利用基于公钥的数字签名保护源路由的方法与系统。

背景技术

利用网络中的源路由，数据包可以根据所述数据包中指示的源路由从接收节点路由至下一个节点。典型地，MPLS分段路由等路由协议采用源路由机制，在保持所述数据包中源路由完整性方面没有提供安全保护。正因如此，通常所述源路由在数据包中都是明文指示，没有任何保护。因此，所述数据包中的源路由可能被所述路由路径上的节点等篡改，如修改、删除，或者插入等。所述篡改可以导致此类数据包重新路由至非预期目的地。此篡改违背了网络运营商指示源路由的安全策略，并且有损网络以及用户安全。因此，需要有一套有效的安全机制来保护源路由的完整性。

发明内容

根据本发明的一个实施例，一种网络组件利用基于公钥的数字签名保护源路由的方法包括：利用所述网络组件的私钥为网络中确定数据流路由的源路由生成数字签名。所述源路由指示所述网络中节点的顺序。所述方法还包括：提供一条安全源路由，作为所述数字签名和所述源路由的组合；将所述安全源路由添加至所述数据流的数据包，并且在所述源路由上发送所述数据包。

根据本发明的另一个实施例，一种利用公钥保护源路由的网络组件包括至少一个处理器，以及非瞬时性计算机可读存储介质，用于存储由所述处理器执行的程序。所述程序包括指令以利用公钥为网络中确定数据流路由的源路由生成数字签名。所述源路由指示所述网络中节点的顺序。所述程序还包括指令以提供一条安全源路由，作为所述数字签名和源路由的组合。所述程序还配置所述网络组件，以将所述安全源路由添加至所述数据流的数据包，并在所述源路由上发送所述数据包。

根据本发明的另一个实施例，一种网络节点利用公钥保护源路由的方法包括：接收包括源路由以及根据所述源路由和所述网络节点未知的私钥生成的数字签名的数据包。所述源路由指示所述网络中节点的顺序。所述方法还包括：利用所述数字签名和所述网络节点已知的公钥验证所述源路由。一旦确定所述源路由不匹配，发送通知消息至所述网络，其中所述通知消息指示所述源路由被篡改。

根据本发明的再一个实施例，一种用于提前终止迭代单一值分解的网络节点包括至少一个处理器，以及非瞬时性计算机可读存储介质，用于存储由所述处理器执行的程序。所述程序包括指令以接收包括源路由以及根据所述源路由和所述网络节点未知的私钥生成的数字签名的数据包。所述源路由指示所述网络中节点的顺序。所述程序还包括指令以利用所述数字签名和所述网络节点已知的公钥验证所述源路由。所述网络节点还用于：一旦确定所述源路由不匹配，发送通知消息至所述网络，其中所述通知消息指示所述源路由被篡改。

上述宽泛地概括了本发明实施例的特征，以便能够更好理解以下本发明详细描述。下文将会介绍本发明各个实施例的额外特征和优点，其构成本发明权利要求的主体部分。本领域的技术人员应当理解，所公开的概念和特定实施例易被用作修改或设计其他实现与本发明相同的目的的结构或过程的基础。本领域的技术人员还应当意识到，这种等同构造不脱离所附权利要求书所阐述的本发明的精神和范围。

附图说明

为了更完整地理解本发明及其优点，现在参考下文结合附图进行的描述，其中：

图1示出篡改源路由以重新路由数据包的示例性场景；

图2示出保护源路由的实施例；

图3示出保护源路由的方法的实施例；

图4是一种可用于实施各种实施例的处理系统的示意图。

除非另有指示，否则不同图中的对应标号和符号通常指代对应部分。绘制各图是为了清楚地说明实施例的相关方面，因此未必是按比例绘制的。

具体实施方式

下文将详细论述当前优选实施例的制作和使用。然而，应了解，本发明提供可在各种具体上下文中体现的许多适用的发明性概念。所论述的具体实施例仅仅说明用以实施和使用本发明的具体方式，而不限制本发明的范围。

此处提供利用基于公钥的数字签名保护源路由的实施例。如果一条保护源路由被篡改，基于公钥的方法允许下游节点检测所述篡改。所述方法是基于利用数字签名保护所述源路由的完整性。在为业务流创建源路由时，软件定义网络(software defined networking，SDN)控制器等指定网络节点计算数字签名并将所述数字签名添加至数据包。当所述路由上的一个节点接收到所述数据包，所述节点利用所述数字签名和公钥验证所述源路由，并且相应地确定所述源路由是否被篡改。如果检测到篡改，则所述节点停止转发所述数据包。

图1示出篡改源路由以重新路由数据包的示例场景100。在场景100中，SDN控制器(未图示)确定沿着节点的源路由[A,B,E,F]，给定业务流以这样的顺序来满足网络的安全策略。所述网络包括含有A、B、C、D、E和F多个节点。所述节点可以是转发所述网络中数据包的其他网络节点的路由器、交换机、网关，或者桥接器。如果所有节点都正常运作并且根据源路由转发数据流，则可以执行所述安全策略。然而，一旦接收到所述数据流，任意下游节点(E、D或者F)均不会检测到运作不当的节点B会改变数据包中的源路由至非法路径[A,B,D,F]。这种情况下，B可以通过不转发数据流至E绕开所述安全策略，其可以为所述数据流提供部分安全服务(如虚拟防火墙)。

为了避免这种情形，所述SDN控制器用于在确定所述源节点等情况下为所述源路由生成数字签名。图2示出保护源路由200的实施例。所述保护或者安全源路由200包括所述SDN控制器根据只有所述SDN控制器知道而所述网络节点未共享的私钥生成的数字签名。所述安全源路由200还包括实际源路由和可能的流规则。所述流规则可以有多种形式，包括但不限于指示在每个节点预先配置的流规则的流标识，用于识别流的数据包中每段的位置和相应长度，或者其他形式。所述流规则用于识别用于生成所述数字签名的数据包中的附加值(如目的地址)。例如，所述源路由是场景100的合法源路由[A,B,E,F]以及流规则识别源因特网协议(Internet Protocol，IP)地址(sip)和/或目的IP地址(dip)。所述数字签名可以是根据所述流规则的所述源路由和识别地址的函数，如sig([A,B,E,F],[sip|dip])。形成所述安全源路由200的所述源路由、所述流规则和所述数字签名可以包括在数据包头中。

当所述安全源路由200接收到数据包时，节点根据所述数字签名利用所述节点和所述SDN控制器共享的公钥验证所述源路由。例如，所述公钥可以在所述SDN控制器的公钥证书中找到，其通常预先配置在每个节点。或者，所述公钥可以通过所述SDN控制器或者所述网络广播或者多播至各个节点。所述接收节点可以利用所述数据包中的公钥和数字签名的函数验证所述源路由。如果所述函数的结果显示不匹配，所述节点发送错误和/或通知消息至所述SDN控制器以采取进一步措施。所述节点通知所述SDN控制器所述源路由被所述路由上的前一个节点等篡改。例如，在场景100中，节点F利用所述公钥基于函数检测所述接收包中的源路由被篡改。

由于只有所述SDN控制器知道所述私钥，其他节点不能为已被伪造的源路由创建有效数字签名。这保护了所述源路由的完整性。此外，为了减少传输数字签名的开销，所述数据包中可以包括所述数字签名的哈希值或者所述哈希值的一部分，而非所述数字签名本身。一旦验证通过，节点首先如上所述计算所述数字签名，然后计算所述数字签名的哈希值，再根据所述数据包中的一个哈希值验证所述计算出的哈希值。为了继续减少传输和验证数字签名的开销，一旦安全源路由验证通过，则可以在所述节点缓存所述安全源路由，后面的数据包只需包括常规源路由，如所述保护源路由200中只包括实际源路由的一部分。所述接收节点可以利用所述公钥比较后续数据包中的源路由与缓存的安全源路由或者缓存的数字签名。

图3示出保护源路由的方法300的实施例。在步骤310中，利用SDN控制器或者任何可靠的网络实体等将公钥证书分发给所述网络中多个节点。在步骤320中，确定在网络中转发数据流的源路由。在步骤330中，所述SDN控制器或者可靠实体为所述源路由生成数字签名，将其作为只有所述控制器或者实体知道的私钥，考虑之中的源路由，以及可选其他可以利用源/目的地址等流规则识别的信息的函数。在步骤340中，安全源路由包括在所述源路由上转发的数据包中发送，其中所述安全源路由可以是所述源路由，所述数字签名(或者数字签名的哈希值，数字签名哈希值的一部分)，以及可选地用于识别生成所述数字签名的其他信息的流规则的组合。在步骤350中，所述源路由上的每个接收节点利用所述公钥和所述数字签名验证所述数据包中包括的源路由。在步骤360中，所述接收节点确定所述源路由是否被篡改，如所述数据包中的源路由与利用所述公钥处理所述数字签名的结果之间是否存在不匹配。如果所述源路由被篡改，所述节点在步骤370向所述网络(或者所述控制器)通知此类篡改。可以丢弃所述数据包，并且终止所述转发。否则，在步骤380所述节点继续转发或者正常处理所述数据包。在所述方法200中，步骤310至340都是由所述控制器或者网络实体执行。步骤350至380是由每个接收节点或者目的节点执行。

图4为可用于实施各种实施例的处理系统400的方框图。所述处理系统可以是控制器(或者网络实体)的一部分，或者是根据源路由接收和/或传输数据包的节点。在一个实施例中，所述处理系统400可以是云或者分布式计算环境的一部分，其中不同组件可以位置分离或者互为通过一个或者多个网络连接的远程组件。处理系统400可包括处理单元401，该处理单元401配有一个或多个输入/输出设备，例如扬声器、麦克风、鼠标、触摸屏、小键盘、键盘、打印机以及显示器等等。处理单元401可包括中央处理器(centralprocessing unit，CPU)410、存储器420、大容量存储器设备430、视频适配器440，以及连接到总线的输入/输出(Input/Output，I/O)接口490。所述总线可以为任何类型的若干总线架构中的一种或多种，包括存储总线或者存储控制器、外设总线、视频总线等等。

所述CPU 410可包括任何类型的电子数据处理器。存储器420可包括任意类型的系统存储器，例如静态随机存取存储器(static random accessmemory，SRAM)、动态随机存取存储器(dynamic random access memory，DRAM)、同步DRAM(synchronous dynamic random access memory，SDRAM)、只读存储器(read-only memory，ROM)或其组合等等。在一个实施例中，存储器420可包括在开机时使用的ROM以及在执行程序时使用的存储程序和数据的DRAM。大容量存储器设备430可包括任意类型的存储设备，其用于存储数据、程序和其它信息，并使这些数据、程序和其它信息通过总线访问。大容量存储器设备430可包括如下项中的一种或多种：固态磁盘、硬盘驱动器、磁盘驱动器、光盘驱动器等等。

视频适配器440以及I/O接口490提供接口以将外部输入以及输出装置耦合到处理单元上。如图所示，输入输出设备的示例包括耦合至视频适配器440的显示器460和耦合至I/O接口470的鼠标/键盘/打印机490的任意组合。其它设备可以耦合至处理单元401，可以利用附加的或更少的接口卡。举例来说，串行接口卡(未图示)可以用于为打印机提供串行接口。

处理单元401还包括一个或多个网络接口450，网络接口450可包括以太网电缆等有线链路，和/或到接入节点或者一个或多个网络480的无线链路。网络接口450允许处理单元401通过网络480与远程单元通信。例如，网络接口450可以通过一个或多个发射器/发射天线以及一个或多个接收器/接收天线提供无线通信。在一个实施例中，处理单元401耦合到局域网或广域网上以用于数据处理以及与远程装置通信，所述远程装置例如其它处理单元、因特网、远程存储设施或其类似者。

虽然本发明中已提供若干实施例，但应理解，在不脱离本发明的精神或范围的情况下，本发明所公开的系统和方法可以以许多其他特定形式来体现。本发明的实例应被视为说明性而非限制性的，且本发明并不限于本文本所给出的细节。例如，各种元件或组件可以在另一系统中组合或合并，或者某些特征可以省略或不实施。

此外，在不脱离本发明的范围的情况下，各种实施例中描述和说明为离散或单独的技术、系统、子系统和方法可以与其它系统、模块、技术或方法进行组合或合并。展示或论述为彼此耦合或直接耦合或通信的其它项也可以采用电方式、机械方式或其它方式通过某一接口、设备或中间组件间接地耦合或通信。其他变化、替代和改变的示例可以由本领域的技术人员在不脱离本文精神和所公开的范围的情况下确定。

Claims (20)

1.一种网络组件利用基于公钥的数字签名保护源路由的方法，其特征在于，所述方法包括：

利用所述网络组件的私钥为网络中确定数据流路由的源路由生成数字签名，其中所述源路由指示所述网络中节点的顺序；

提供一条安全源路由，作为所述数字签名和源路由的结合；

将所述安全源路由添加至所述数据流的数据包；

在所述源路由上发送所述数据包。

2.根据权利要求1所述的方法，其特征在于，还包括：分发公钥至所述节点以验证所述源路由。

3.根据权利要求1所述的方法，其特征在于，所述分发公钥包括：在所述节点预先配置所述公钥的证书。

4.根据权利要求1所述的方法，其特征在于，所述提供安全源路由包括：将流规则与数字签名和源路由一起添加至所述数据包。

5.根据权利要求4所述的方法，其特征在于，所述数字签名是源路由与所述流规则识别的流信息的函数，其中所述流信息包括源地址和目的地址中的至少一个。

6.根据权利要求1所述的方法，其特征在于，所述节点不共享所述网络组件的私钥。

7.一种利用公钥保护源路由的网络组件，其特征在于，所述网络组件包括：

至少一个处理器；

非瞬时性计算机可读存储介质，用于存储由所述处理器执行的程序，所述程序包括指令以：

利用公钥为网络中确定数据流路由的源路由生成数字签名，其中所述源路由指示所述网络中节点的顺序；

提供一条安全源路由，作为所述数字签名和所述源路由的结合；

将所述安全源路由添加至所述数据流的数据包；

在所述源路由上发送所述数据包。

8.根据权利要求7所述的网络组件，其特征在于，所述程序还包括分发公钥至所述节点以验证所述源路由的指令。

9.根据权利要求7所述的网络组件，其特征在于，所述提供安全源路由的指令还包括指令以将流规则与所述数字签名和源路由一起包括在所述数据包中，其中所述数字签名是所述源路由与所述流规则识别的流信息的函数。

10.根据权利要求7所述的网络组件，其特征在于，所述网络组件是一个软件定义网络(software defined networking，SDN)控制器。

11.一种网络节点利用公钥保护源路由的方法，其特征在于，所述方法包括：

接收包括源路由和数字签名的数据包，其中所述数字签名是根据所述源路由和所述网络节点未知的私钥生成，所述源路由指示所述网络中节点的顺序；

利用所述数字签名和所述网络节点已知的公钥验证所述源路由；

一旦确定所述源路由不匹配，发送通知消息至所述网络，其中所述通知消息指示所述源路由被篡改。

12.根据权利要求11所述的方法，其特征在于，所述数据包还包括包含流信息的流规则，其中所述流信息指示源地址和目的地址中的至少一个，所述数字签名是所述源路由与所述流信息的函数。

13.根据权利要求11所述的方法，其特征在于，所述利用所述数字签名和所述公钥验证所述源路由包括：

获得本地源路由用作所述数字签名与所述公钥的函数；

比较所述本地源路由和所述数据包中的源路由。

14.根据权利要求11所述的方法，其特征在于，还包括：从所述网络接收所述公钥的证书。

15.根据权利要求11所述的方法，其特征在于，还包括：

在所述网络节点缓存所述源路由或者数字签名；

利用所述缓存的源路由或者利用所述缓存的数字签名和公钥验证继所述数据包之后的第二接收数据包中的第二源路由。

16.根据权利要求15所述的方法，其特征在于，所述第二数据包不包括所述数字签名。

17.一种用于提前终止迭代单一值分解的网络节点，其特征在于，所述网络节点包括：

至少一个处理器；

非瞬时性计算机可读存储介质，用于存储由所述处理器执行的程序，所述程序包括指令以：

接收包括源路由和数字签名的数据包，其中所述数字签名是根据所述源路由和所述网络节点未知的私钥生成，所述源路由指示所述网络中节点的顺序；

利用所述数字签名和所述网络节点已知的公钥验证所述源路由；

一旦确定所述源路由不匹配，发送通知消息至所述网络，其中所述通知消息指示所述源路由被篡改。

18.根据权利要求17所述的网络节点，其特征在于，所述数据包还包括包含流信息的流规则，其中所述流信息指示源地址和目的地址中的至少一个，所述数字签名是所述源路由与所述流信息的函数。

19.根据权利要求17所述的网络节点，其特征在于，所述数据包还包括包含流信息的流规则，其中所述流信息指示源地址和目的地址中的至少一个，所述数字签名是所述源路由与所述流信息的函数。

20.根据权利要求17所述的网络节点，其特征在于，所述程序包括其他指令，用于：

在所述网络节点缓存所述源路由或者数字签名；

利用所述缓存的源路由或者利用所述缓存的数字签名和公钥验证继所述数据包之后的第二接收数据包中的第二源路由。