CN108243190A - 一种网络标识的可信管理方法和系统 - Google Patents

一种网络标识的可信管理方法和系统 Download PDF

Info

Publication number
CN108243190A
CN108243190A CN201810017344.1A CN201810017344A CN108243190A CN 108243190 A CN108243190 A CN 108243190A CN 201810017344 A CN201810017344 A CN 201810017344A CN 108243190 A CN108243190 A CN 108243190A
Authority
CN
China
Prior art keywords
binding
source host
host identifier
binding information
resolution server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810017344.1A
Other languages
English (en)
Inventor
蒋文保
朱国库
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Information Science and Technology University
Original Assignee
Beijing Information Science and Technology University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Information Science and Technology University filed Critical Beijing Information Science and Technology University
Priority to CN201810017344.1A priority Critical patent/CN108243190A/zh
Publication of CN108243190A publication Critical patent/CN108243190A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种网络标识的可信管理方法和系统，其中方法包括：被验证方终端将待发送数据包发送至验证方终端，验证方终端接收待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，未查找到与源主机标识符绑定的绑定信息的情况下，向本地映射解析服务器发送查询与源主机标识符绑定的绑定信息的请求，本地映射解析服务器解析查询与源主机标识符绑定的绑定信息的请求，未查找到与源主机标识符绑定的绑定信息的情况下，依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，验证方终端获取绑定信息，验证待发送数据包的真伪，若检验通过，获得待发送数据包。

Description

一种网络标识的可信管理方法和系统
技术领域
本发明涉及通信领域，尤其涉及一种网络标识的可信管理方法和系统。
背景技术
由于现有TCP/IP协议不具备地址真实性鉴别等内在的安全机制，导致攻击源头和攻击者身份难以追查。路由设备基于目的地址转发分组，对数据包的来源不做验证，大量基于地址伪造的攻击行为无法跟踪，造成源地址欺骗、路由劫持、拒绝服务等大量攻击的发生，严重威胁网络的安全。解决包括地址安全在内的网络命名安全问题，构建安全可信的互联网环境，已成为亟待解决的重要课题。
在网络命名安全研究方面，基于密码学的地址安全机制得到越来越多的关注，包括基于证书的公钥密码机制和自认证机制。在公钥密码体制下，公钥数字签名技术需依赖公钥基础设施(PKI)颁发的CA证书绑定实体身份和公钥，以保证实体公钥的真实性。以公钥证书的形式将用户公钥和用户身份进行绑定，形成了解决网络安全问题的成熟方案。但是，PKI通过引入可信第三方CA，由此带来证书的管理、存储和计算上的代价：一是证书的签发、发布、获取、验证、撤销等，流程较为复杂；二是需要在线的证书目录为用户随时提供证书下载和状态查询服务，增加了维护开销；三是如果用户通信的对象比较多，用户必须在本地存储和管理这些证书，增加了用户端使用开销；四是大规模密钥管理的问题一般是采用物理上增加CA的方法，而且各个CA的用户之间还存在交叉认证和信任管理的问题。
CA证书管理复杂、可扩展性差。于是研究人员提出了具备自认证特性的地址方案。新型的未来互联网体系结构命名空间普遍使用了具备自认证能力的网络标识支持网络的内生安全。但目前的方案不能将终端标识、位置标识和公钥三者在脱离PKI的情况下实现同时绑定。另外，许多自认证方案每个报文都需要传输公钥信息，增加了网络开销。
随着移动互联网、物联网的蓬勃发展，接入互联网的传感器、可穿戴设备、智能终端数量剧增，实体鉴别所需公钥数量巨大，如何实现高效公钥的管理、远程通信实体如何得到对方的公钥、并确保公钥的真实性，将成为一项挑战，也是关系到未来互联网体系结构能否落地的重要问题。
发明内容
本发明旨在至少克服上述缺陷之一提供一种网络标识的可信管理方法和系统，以保证被验证方主机接入的安全性。
为达到上述目的，本发明的技术方案具体是这样实现的：
本发明的一个方面提供了一种网络标识的可信管理方法，包括：建立分布式数据库子系统，其中，分布式数据库子系统存储有绑定信息，绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，分布式数据库子系统包括：本地映射解析服务器、根映射解析服务器、顶级映射解析服务器和权限映射解析服务器；在进行数据传输时，执行如下操作：S101，被验证方终端将待发送数据包发送至验证方终端；其中，待发送数据包包括：被验证方终端利用被验证方终端的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及数据包原文，源主机标识符为被验证方终端的唯一标识，目的主机标识符为验证方终端的唯一标识；S102，验证方终端接收待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射缓存表中未查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S103；S103，验证方终端向本地映射解析服务器发送查询与源主机标识符绑定的绑定信息的请求，其中，与源主机标识符绑定的绑定信息至少包括源主机标识符、与源主机标识符绑定的公钥以及被验证方终端接入的位置标识；S104，本地映射解析服务器解析查询与源主机标识符绑定的绑定信息的请求，在本地查询与源主机标识符绑定的绑定信息，在本地映射解析服务器查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射解析服务器未查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S105；S105，本地映射解析服务器依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，并从权限映射解析服务器获取与源主机标识符绑定的绑定信息，并将与源主机标识符绑定的绑定信息发送至验证方终端；S106，验证方终端获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包。
另外，步骤S106验证方终端获取与源主机标识符绑定的绑定信息之后，方法还包括：验证方终端将与源主机标识符绑定的绑定信息保存在本地映射缓存表中。
另外，本地映射缓存表中还存储有与源主机标识符绑定的绑定信息的缓存时间长度；方法还包括：验证方终端在缓存时间长度到时后，删除与源主机标识符绑定的绑定信息。
另外，方法还包括：验证方终端更新与源主机标识符绑定的绑定信息。
本发明另一方面提供了一种网络标识的可信管理系统，包括：分布式数据库子系统，分布式数据库子系统用于存储绑定信息，绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，分布式数据库子系统包括：本地映射解析服务器、根映射解析服务器、顶级映射解析服务器和权限映射解析服务器；被验证方终端，用于将待发送数据包发送至验证方终端；其中，待发送数据包包括：被验证方终端利用被验证方终端的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及数据包原文，源主机标识符为被验证方终端的唯一标识，目的主机标识符为验证方终端的唯一标识；验证方终端，用于接收待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与源主机标识符绑定的绑定信息的情况下，执行验证方终端获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包的操作；在本地映射缓存表中未查找到与源主机标识符绑定的绑定信息的情况下，向本地映射解析服务器发送查询与源主机标识符绑定的绑定信息的请求，其中，与源主机标识符绑定的绑定信息至少包括源主机标识符、与源主机标识符绑定的公钥以及被验证方终端接入的位置标识；本地映射解析服务器，用于解析查询与源主机标识符绑定的绑定信息的请求，在本地查询与源主机标识符绑定的绑定信息，在本地映射解析服务器查找到与源主机标识符绑定的绑定信息的情况下，通知验证方终端执行验证方终端获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包的操作；在本地映射解析服务器未查找到与源主机标识符绑定的绑定信息的情况下，依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，并从权限映射解析服务器获取与源主机标识符绑定的绑定信息，并将与源主机标识符绑定的绑定信息发送至验证方终端；验证方终端，还用于获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包。
另外，验证方终端，还用于在接收与源主机标识符绑定的绑定信息之后，将与源主机标识符绑定的绑定信息保存在本地映射缓存表中。
另外，本地映射缓存表中还存储有与源主机标识符绑定的绑定信息的缓存时间长度；验证方终端，还用于在缓存时间长度到时后，删除与源主机标识符绑定的绑定信息。
另外，验证方终端，还用于更新与源主机标识符绑定的绑定信息。
由上述本发明提供的技术方案可以看出，通过本发明实施例提供的网络标识的可信管理方法和系统，可以从源头上解决源地址欺骗、身份安全等网络安全问题，从而有利于构建自主可控、安全可信的互联网环境。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。
图1为本发明实施例提供的网络标识的可信管理方法的流程图；
图2为本发明实施例提供的网络标识的可信管理系统的结构示意图。
具体实施方式
下面结合附图对本发明的实施方式进行详细说明。
图1示出了本发明实施例提供的网络标识的可信管理方法的流程图，参见图1，本发明实施例提供的网络标识的可信管理方法，包括：
建立分布式数据库子系统，其中，分布式数据库子系统存储有绑定信息，绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，分布式数据库子系统包括：本地映射解析服务器、根映射解析服务器、顶级映射解析服务器和权限映射解析服务器；
在进行数据传输时，执行如下操作：
S101，被验证方终端将待发送数据包发送至验证方终端；其中，待发送数据包包括：被验证方终端利用被验证方终端的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及数据包原文，源主机标识符为被验证方终端的唯一标识，目的主机标识符为验证方终端的唯一标识；
S102，验证方终端接收待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射缓存表中未查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S103；
S103，验证方终端向本地映射解析服务器发送查询与源主机标识符绑定的绑定信息的请求，其中，与源主机标识符绑定的绑定信息至少包括源主机标识符、与源主机标识符绑定的公钥以及被验证方终端接入的位置标识；
S104，本地映射解析服务器解析查询与源主机标识符绑定的绑定信息的请求，在本地查询与源主机标识符绑定的绑定信息，在本地映射解析服务器查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射解析服务器未查找到与源主机标识符绑定的绑定信息的情况下，执行步骤S105；
S105，本地映射解析服务器依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，并从权限映射解析服务器获取与源主机标识符绑定的绑定信息，并将与源主机标识符绑定的绑定信息发送至验证方终端；
S106，验证方终端获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包。
值得说明的是，本发明做记载的被验证方终端可以为网络中的任一个节点，验证方终端也可以为网络中的任一个节点。例如：本发明所记载的被验证方终端可以是被验证方主机，也可以是与被验证方主机连接的被验证方接入路由器，还可以是对端接入路由器等任何一个需要被验证的设备；本发明所记载的验证方终端可以是与被验证方主机连接的接入认证服务器，也可以是对端接入认证服务器等任何一个需要执行验证操作的设备。
具体地，本发明实施例可以使用主机标识符，例如全局唯一的SHI(安全主机标识符，Secure Host Identifier)来标识网络中接入的每个终端，该主机标识不参与全局路由。本地映射解析服务器、根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器可以配置为一个服务器，例如一个映射服务器，也可以配置为一个服务器集群，这在本发明中不做限制。
在本发明实施例中，由验证方终端来验证被验证方终端的真实性。具体地，在使用前，各个终端主机会被例如名址映射服务器分配一对公私钥，该公私钥与终端主机标识进行绑定，即公私钥与SHI进行绑定，同时，还将SHI与位置标识进行绑定，即，名址映射服务器可以记录为各个终端主机绑定的三元组，该三元组包括SHI、与SHI绑定的公钥，SHI接入的位置标识。源终端主机使用私钥对数据包进行签名，验证方终端可以通过查询例如映射服务器获取和源SHI绑定的公钥，对来自源终端主机的数据包进行鉴别。以下提供一种具体实现方案，但本发明并不局限于此，当一个站点的终端向另外一个站点的终端发送数据时，即当被验证方终端向验证方终端发送数据时，当数据到达验证方终端后，如果在验证方终端的本地映射缓存表中没有找到绑定关系，例如SHI-to-RLOC(即被验证方主机的主机标识符与本端接入路由的位置标识的映射关系)的映射表项，会向LMR(本地映射解析服务器，Local Map Resolver)发送报文，请求获取SHI-to-RLOC的映射关系；LMR收到验证方终端的请求后开始解析该请求报文，首先在本地查找与被验证方主机的SHI绑定的绑定信息，如果SHI记录不存在，LMR会向RMR(根映射解析服务器，Root Map Resolver)发起迭代查询，本地映射解析服务器经过根映射解析服务器、TMR(顶级映射解析服务器，Top-level MapResolver)和AMR(权限映射解析服务器，Authoritative Map Resolver)的三次迭代查询后从权限映射解析服务器得到验证方终端查询的SHI的绑定信息，即SHI-Public Key-RLOC(与SHI绑定的公钥)。
验证方终端要验证接入的被验证方终端不是伪造和冒充的具体可以通过如下方式实现：被验证方终端将报文X经过摘要运算后得到很短的报文摘要H1，再用自己的私钥对H1进行D运算，即数字签名。得出签名D(H1)后，将其附加在报文X后面发送出去，验证方终端收到报文后首先把签名D(H1)和报文X分离，再用被验证方终端的公钥对D(H1)进行E运算，得出报文摘要H1，再对报文X进行摘要运算，得出报文摘要H2。如果H1等于H2，验证方终端就能断定收到的报文是真实的；否则就不是。
由此可见，通过本发明实施例提供的网络标识的可信管理方法，可以从源头上解决源地址欺骗、身份安全等网络安全问题，从而有利于构建自主可控、安全可信的互联网环境。
作为本发明实施例的一个可选实施方式，步骤S106验证方终端获取与源主机标识符绑定的绑定信息之后，方法还包括：验证方终端将与源主机标识符绑定的绑定信息保存在本地映射缓存表中。具体地，验证方终端每次查询请求得到响应后，会将响应报文中携带的绑定信息保存在本地映射缓存表中，以方便后续使用而无需再次去查询，提高处理效率。
作为本发明实施例的一个可选实施方式，本地映射缓存表中还存储有与源主机标识符绑定的绑定信息的缓存时间长度；方法还包括：验证方终端在缓存时间长度到时后，删除与源主机标识符绑定的绑定信息。具体地，在本地映射缓存表存储的缓存记录可以设置一个TTL(Time-To-Live)值，即一条绑定信息缓存的时间长度，从而保证在一定时间内提高效率的同时，在超出该时间内需要重新获取绑定信息以提高安全性。
作为本发明实施例的一个可选实施方式，验证方终端更新与源主机标识符绑定的绑定信息。具体地，与源主机标识符绑定的绑定信息中的位置信息和/或公钥可能会有变化，例如被验证方终端在网络中的位置变更，或者被验证方终端的密钥更新，因此，为了保证验证方终端能够对被验证方终端验证通过，因此，验证方终端可以更新与源主机标识符绑定的绑定信息。其可以参照步骤S103至S105执行更新操作。
作为本发明实施例的一个可选实施方式，源主机标识符和目的主机标识符是按照预设结构命名的。具体地，本发明实施例提供的主机标识符均可以采用有层次结构的主机标识命名方案来命名，从而可以保证SHI的全局唯一性和聚合性。
作为本发明实施例的一个可选实施方式，根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器组成树状的拓扑结构。由此，从顶至下的迭代查询可保证每一次的映射解析都是最短搜索路径，这样既可以保证SHI的全局唯一性和聚合性，也可以控制每一层映射解析服务器的映射表规模。
作为本发明实施例的一个可选实施方式，根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器组成去中心化的拓扑结构。由于映射关系的更新频率主要受终端主机位置移动和可达状态的影响，本发明通过建立的层次树状的映射解析体系可以快速响应映射关系的注册、更新、查询和删除请求，映射关系的更新频率和更新消息的通信量不会成为各层映射解析服务器的性能瓶颈，因为映射关系的维护是状态收敛的，映射查询延迟和映射状态规模是可控的。
具体地，例如SHI名字结构示例如下：facility.scheme.bistu.edu.cn，解析facility.scheme.bistu.edu.cn的映射关系的迭代查询步骤如下：
A、本地映射解析服务器分析全名，确定需要对cn映射解析服务器具有权威性控制的服务器的位置，请求并获取响应；
B、请求对cn映射解析服务器查询获取edu.cn服务器的参考信息；
C、请求对edu.cn映射解析服务器查询获取bistu.edu.cn服务器的参考信息；
D、请求bistu.edu.cn映射解析服务器，获取scheme.bistu.edu.cn的服务器的参考信息；
E、请求scheme.bistu.edu.cn映射解析服务器，获取facility.scheme.bistu.edu.cn的绑定信息响应。
图2示出了本发明实施例提供的一种网络标识的可信管理系统的结构示意图图，本发明实施例提供的网络标识的可信管理系统应用于上述方法，以下仅对本发明实施例提供的网络标识的可信管理系统进行简单说明，其他未尽事宜，具体参见上述方法的相关说明。参见图2，本发明实施例提供的网络标识的可信管理系统包括：
分布式数据库子系统10，分布式数据库子系统10用于存储绑定信息，绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，分布式数据库子系统10包括：本地映射解析服务器101、根映射解析服务器102、顶级映射解析服务器103和权限映射解析服务器104；
被验证方终端20，用于将待发送数据包发送至验证方终端30；其中，待发送数据包包括：被验证方终端20利用被验证方终端20的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及数据包原文，源主机标识符为被验证方终端20的唯一标识，目的主机标识符为验证方终端30的唯一标识；
验证方终端30，用于接收待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与源主机标识符绑定的绑定信息的情况下，执行验证方终端30获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包的操作；在本地映射缓存表中未查找到与源主机标识符绑定的绑定信息的情况下，向本地映射解析服务器101发送查询与源主机标识符绑定的绑定信息的请求，其中，与源主机标识符绑定的绑定信息至少包括源主机标识符、与源主机标识符绑定的公钥以及被验证方终端接入的位置标识；
本地映射解析服务器101，用于解析查询与源主机标识符绑定的绑定信息的请求，在本地查询与源主机标识符绑定的绑定信息，在本地映射解析服务器101查找到与源主机标识符绑定的绑定信息的情况下，通知验证方终端执行验证方终端获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包的操作；在本地映射解析服务器101未查找到与源主机标识符绑定的绑定信息的情况下，依次向根映射解析服务器102、顶级映射解析服务器103以及权限映射解析服务器104进行迭代查询，并从权限映射解析服务器104获取与源主机标识符绑定的绑定信息，并将与源主机标识符绑定的绑定信息发送至验证方终端30；
验证方终端30，还用于获取与源主机标识符绑定的绑定信息，利用与源主机标识符绑定的公钥验证待发送数据包的真伪，若检验通过，获得待发送数据包。
由此可见，通过本发明实施例提供的网络标识的可信管理系统，可以从源头上解决源地址欺骗、身份安全等网络安全问题，从而有利于构建自主可控、安全可信的互联网环境。
作为本发明实施例的一个可选实施方式，验证方终端，还用于在接收与源主机标识符绑定的绑定信息之后，将与源主机标识符绑定的绑定信息保存在本地映射缓存表中。具体地，验证方终端每次查询请求得到响应后，会将响应报文中携带的绑定信息保存在本地映射缓存表中，以方便后续使用而无需再次去查询，提高处理效率。
作为本发明实施例的一个可选实施方式，本地映射缓存表中还存储有与源主机标识符绑定的绑定信息的缓存时间长度；验证方终端，还用于在缓存时间长度到时后，删除与源主机标识符绑定的绑定信息。具体地，在本地映射缓存表存储的缓存记录可以设置一个TTL(Time-To-Live)值，即一条绑定信息缓存的时间长度，从而保证在一定时间内提高效率的同时，在超出该时间内需要重新获取绑定信息以提高安全性。
作为本发明实施例的一个可选实施方式，验证方终端30，还用于更新与源主机标识符绑定的绑定信息。具体地，与源主机标识符绑定的绑定信息中的位置信息和/或公钥可能会有变化，例如被验证方终端20在网络中的位置变更，或者被验证方终端20的密钥更新，因此，为了保证验证方终端30能够对被验证方终端20验证通过，因此，验证方终端30可以更新与源主机标识符绑定的绑定信息。其可以参照步骤S103至S105执行更新操作。
作为本发明实施例的一个可选实施方式，源主机标识符和目的主机标识符是按照预设结构命名的。具体地，本发明实施例提供的主机标识符均可以采用有层次结构的主机标识命名方案来命名，从而可以保证SHI的全局唯一性和聚合性。
作为本发明实施例的一个可选实施方式，根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器组成树状的拓扑结构。由此，从顶至下的迭代查询可保证每一次的映射解析都是最短搜索路径，这样既可以保证SHI的全局唯一性和聚合性，也可以控制每一层映射解析服务器的映射表规模。
作为本发明实施例的一个可选实施方式，根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器组成去中心化的拓扑结构。由于映射关系的更新频率主要受终端主机位置移动和可达状态的影响，本发明通过建立的层次树状的映射解析体系可以快速响应映射关系的注册、更新、查询和删除请求，映射关系的更新频率和更新消息的通信量不会成为各层映射解析服务器的性能瓶颈，因为映射关系的维护是状态收敛的，映射查询延迟和映射状态规模是可控的。
流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
以上的实施例仅是对本发明的优选实施方式进行描述，并非对本发明的范围进行限定，在不脱离本发明设计精神的前提下，本领域普通工程技术人员对本发明的技术方案做出的各种变形和改进，均应落入本发明的权利要求书确定的保护范围内。

Claims (8)

1.一种网络标识的可信管理方法，其特征在于，包括：
建立分布式数据库子系统，其中，所述分布式数据库子系统存储有绑定信息，所述绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，所述分布式数据库子系统包括：本地映射解析服务器、根映射解析服务器、顶级映射解析服务器和权限映射解析服务器；
在进行数据传输时，执行如下操作：
S101，被验证方终端将所述待发送数据包发送至验证方终端；其中，所述待发送数据包包括：所述被验证方终端利用所述被验证方终端的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及所述数据包原文，所述源主机标识符为所述被验证方终端的唯一标识，所述目的主机标识符为验证方终端的唯一标识；
S102，所述验证方终端接收所述待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与所述源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射缓存表中未查找到与所述源主机标识符绑定的绑定信息的情况下，执行步骤S103；
S103，所述验证方终端向本地映射解析服务器发送查询与所述源主机标识符绑定的绑定信息的请求，其中，所述与所述源主机标识符绑定的绑定信息至少包括所述源主机标识符、与所述源主机标识符绑定的公钥以及所述被验证方终端接入的位置标识；
S104，所述本地映射解析服务器解析所述查询与所述源主机标识符绑定的绑定信息的请求，在本地查询所述与所述源主机标识符绑定的绑定信息，在所述本地映射解析服务器查找到所述与所述源主机标识符绑定的绑定信息的情况下，执行步骤S106；在本地映射解析服务器未查找到所述与所述源主机标识符绑定的绑定信息的情况下，执行步骤S105；
S105，所述本地映射解析服务器依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，并从所述权限映射解析服务器获取所述与所述源主机标识符绑定的绑定信息，并将所述与所述源主机标识符绑定的绑定信息发送至所述验证方终端；
S106，所述验证方终端获取所述与所述源主机标识符绑定的绑定信息，利用所述与所述源主机标识符绑定的公钥验证所述待发送数据包的真伪，若检验通过，获得所述待发送数据包。
2.根据权利要求1所述的方法，其特征在于，步骤S106所述验证方终端获取所述与所述源主机标识符绑定的绑定信息之后，所述方法还包括：所述验证方终端将所述与所述源主机标识符绑定的绑定信息保存在所述本地映射缓存表中。
3.根据权利要求2所述的方法，其特征在于，所述本地映射缓存表中还存储有所述与所述源主机标识符绑定的绑定信息的缓存时间长度；所述方法还包括：
所述验证方终端在所述缓存时间长度到时后，删除所述与所述源主机标识符绑定的绑定信息。
4.根据权利要求2所述的方法，其特征在于，所述方法还包括：
所述验证方终端更新所述与所述源主机标识符绑定的绑定信息。
5.一种网络标识的可信管理系统，其特征在于，包括：
分布式数据库子系统，所述分布式数据库子系统用于存储绑定信息，所述绑定信息包括网络中任意一个终端的网络身份标识、位置标识以及公钥的绑定关系；且，所述分布式数据库子系统包括：本地映射解析服务器、根映射解析服务器、顶级映射解析服务器和权限映射解析服务器；
被验证方终端，用于将所述待发送数据包发送至验证方终端；其中，所述待发送数据包包括：所述被验证方终端利用所述被验证方终端的私钥对包含有源主机标识符和目的主机标识符的数据包原文进行签名得到的签名信息以及所述数据包原文，所述源主机标识符为所述被验证方终端的唯一标识，所述目的主机标识符为验证方终端的唯一标识；
所述验证方终端，用于接收所述待发送数据包，在本地映射缓存表中查找与源主机标识符绑定的绑定信息，在本地映射缓存表中查找到与所述源主机标识符绑定的绑定信息的情况下，执行所述验证方终端获取所述与所述源主机标识符绑定的绑定信息，利用所述与所述源主机标识符绑定的公钥验证所述待发送数据包的真伪，若检验通过，获得所述待发送数据包的操作；在本地映射缓存表中未查找到与所述源主机标识符绑定的绑定信息的情况下，向本地映射解析服务器发送查询与所述源主机标识符绑定的绑定信息的请求，其中，所述与所述源主机标识符绑定的绑定信息至少包括所述源主机标识符、与所述源主机标识符绑定的公钥以及所述被验证方终端接入的位置标识；
所述本地映射解析服务器，用于解析所述查询与所述源主机标识符绑定的绑定信息的请求，在本地查询所述与所述源主机标识符绑定的绑定信息，在本地映射解析服务器查找到所述与所述源主机标识符绑定的绑定信息的情况下，通知所述验证方终端执行所述验证方终端获取所述与所述源主机标识符绑定的绑定信息，利用所述与所述源主机标识符绑定的公钥验证所述待发送数据包的真伪，若检验通过，获得所述待发送数据包的操作；在本地映射解析服务器未查找到所述与所述源主机标识符绑定的绑定信息的情况下，依次向根映射解析服务器、顶级映射解析服务器以及权限映射解析服务器进行迭代查询，并从所述权限映射解析服务器获取所述与所述源主机标识符绑定的绑定信息，并将所述与所述源主机标识符绑定的绑定信息发送至所述验证方终端；
所述验证方终端，还用于获取所述与所述源主机标识符绑定的绑定信息，利用所述与所述源主机标识符绑定的公钥验证所述待发送数据包的真伪，若检验通过，获得所述待发送数据包。
6.根据权利要求5所述的系统，其特征在于，所述验证方终端，还用于在接收所述与所述源主机标识符绑定的绑定信息之后，将所述与所述源主机标识符绑定的绑定信息保存在所述本地映射缓存表中。
7.根据权利要求6所述的系统，其特征在于，所述本地映射缓存表中还存储有所述与所述源主机标识符绑定的绑定信息的缓存时间长度；所述验证方终端，还用于在所述缓存时间长度到时后，删除所述与所述源主机标识符绑定的绑定信息。
8.根据权利要求6所述的系统，其特征在于，所述验证方终端，还用于更新所述与所述源主机标识符绑定的绑定信息。
CN201810017344.1A 2018-01-09 2018-01-09 一种网络标识的可信管理方法和系统 Pending CN108243190A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810017344.1A CN108243190A (zh) 2018-01-09 2018-01-09 一种网络标识的可信管理方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810017344.1A CN108243190A (zh) 2018-01-09 2018-01-09 一种网络标识的可信管理方法和系统

Publications (1)

Publication Number Publication Date
CN108243190A true CN108243190A (zh) 2018-07-03

Family

ID=62699323

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810017344.1A Pending CN108243190A (zh) 2018-01-09 2018-01-09 一种网络标识的可信管理方法和系统

Country Status (1)

Country Link
CN (1) CN108243190A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020010767A1 (zh) * 2018-07-09 2020-01-16 北京信息科技大学 一种基于联盟的全网统一信任锚系统及构建方法
CN111930969A (zh) * 2020-07-01 2020-11-13 中新金桥数字科技(北京)有限公司 一种知识服务领域的知识对象标识符快速解析方法
CN112995139A (zh) * 2021-02-04 2021-06-18 北京信息科技大学 一种可信网络、可信网络的构建方法和构建系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101378315A (zh) * 2007-08-27 2009-03-04 华为技术有限公司 认证报文的方法、系统、设备和服务器
WO2013111192A1 (en) * 2012-01-26 2013-08-01 National Institute Of Information And Communications Technology Method for securing name registries, network access and data communication in id/locator split-base networks
US20150169917A1 (en) * 2003-10-30 2015-06-18 Motedata Inc. Method and System for Storing, Retrieving, and Managing Data for Tags
CN106161017A (zh) * 2015-03-20 2016-11-23 北京虎符科技有限公司 标识认证安全管理系统
CN106685979A (zh) * 2017-01-09 2017-05-17 北京信息科技大学 基于STiP模型的安全终端标识及认证方法及系统
CN106878019A (zh) * 2017-01-09 2017-06-20 北京信息科技大学 基于STiP模型的安全路由方法及系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150169917A1 (en) * 2003-10-30 2015-06-18 Motedata Inc. Method and System for Storing, Retrieving, and Managing Data for Tags
CN101378315A (zh) * 2007-08-27 2009-03-04 华为技术有限公司 认证报文的方法、系统、设备和服务器
WO2013111192A1 (en) * 2012-01-26 2013-08-01 National Institute Of Information And Communications Technology Method for securing name registries, network access and data communication in id/locator split-base networks
CN106161017A (zh) * 2015-03-20 2016-11-23 北京虎符科技有限公司 标识认证安全管理系统
CN106685979A (zh) * 2017-01-09 2017-05-17 北京信息科技大学 基于STiP模型的安全终端标识及认证方法及系统
CN106878019A (zh) * 2017-01-09 2017-06-20 北京信息科技大学 基于STiP模型的安全路由方法及系统

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020010767A1 (zh) * 2018-07-09 2020-01-16 北京信息科技大学 一种基于联盟的全网统一信任锚系统及构建方法
CN111930969A (zh) * 2020-07-01 2020-11-13 中新金桥数字科技(北京)有限公司 一种知识服务领域的知识对象标识符快速解析方法
CN112995139A (zh) * 2021-02-04 2021-06-18 北京信息科技大学 一种可信网络、可信网络的构建方法和构建系统
CN112995139B (zh) * 2021-02-04 2023-06-02 北京信息科技大学 一种可信网络、可信网络的构建方法和构建系统

Similar Documents

Publication Publication Date Title
CN111373704B (zh) 一种支持多模标识网络寻址渐进去ip的方法、系统及存储介质
CN112311530B (zh) 一种基于区块链的联盟信任分布式身份凭证管理认证方法
EP3844657B1 (en) Distributed data authentication and validation using blockchain
Afanasyev et al. NDNS: A DNS-like name service for NDN
US7516482B2 (en) Secure hierarchical namespaces in peer-to-peer networks
CN102769529B (zh) Dnssec签名服务器
CN102571591B (zh) 实现标识网络通信的方法、边缘路由器及系统
CN102045413B (zh) 经过dht扩展的dns映射系统及其实现dns安全的方法
CN104065760B (zh) 基于dns及其扩展协议的ccn可信寻址方法及系统
US11533161B1 (en) DNS-based public key infrastructure for digital object architectures
CN108243190A (zh) 一种网络标识的可信管理方法和系统
CN102437946B (zh) 一种接入控制的方法、nas设备及认证服务器
CN104468859B (zh) 支持携带服务地址信息的dane扩展查询方法和系统
US8539100B2 (en) Method, device, and communications system for managing querying mapping information
CN108881471A (zh) 一种基于联盟的全网统一信任锚系统及构建方法
CN106685979B (zh) 基于STiP模型的安全终端标识及认证方法及系统
Zhou et al. Be-dns: Blockchain-enabled decentralized name services and p2p communication protocol
CN111464668A (zh) 一种快速安全的域名解析方法
CN112995139B (zh) 一种可信网络、可信网络的构建方法和构建系统
Trostle et al. Implementation of Crossrealm Referral Handling in the MIT Kerberos Client.
Mueller et al. Let’s Revoke! Mitigating Revocation Equivocation by re-purposing the Certificate Transparency Log
Matsumoto et al. Designing a global authentication infrastructure
Ham et al. A study on establishment of secure RFID network using DNS security extension
Shi et al. A Construction Method for Alliance-based Network Trust Anchor
Xiong et al. LEA-DNS: DNS Resolution Validity and Timeliness Guarantee Local Authentication Extension with Public Blockchain

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20180703

RJ01 Rejection of invention patent application after publication