CN109495253A - 一种在信息中心网络中实现用户隐私保护的方法 - Google Patents

Abstract

本发明公开了一种在信息中心网络中实现用户隐私保护的方法，并提供网络管理者在网络中出现恶意行为时，对恶意用户实施行为问责的方法。即本发明针对信息中心网络中隐私保护与行为问责面临的挑战，提出一种用于信息中心网络，可以在保护用户隐私的同时，对用户行为进行有效约束的机制。本机制通过引入独立第三方作为代理，在为用户提供隐私保护的同时，可以及时找到恶意用户并阻止恶意行为的持续。机制解决了信息中心网络中内容的命名、缓存等带来的隐私泄露问题，以及用户请求内容时行为不受约束的问题。实验评估结果表明，本机制的开销较小，增加的延迟较少，可以高效满足用户的隐私保护需求。

Description

一种在信息中心网络中实现用户隐私保护的方法

技术领域

本发明属于网络安全技术领域，也属于未来网络体系结构领域，具体涉及一种在信息中心网络中可以用于保护用户请求内容时的隐私的方法，与此同时确保网络管理者具备定位恶意用户，进而对恶意行为问责的能力。

背景技术

随着互联网的迅速发展，网络的应用模式正在由端到端的传输转换为以内容获取为主要需求。传统的TCP/IP网络体系架构面临着动态性、可扩展性、安全可控性等诸多问题和挑战。因此，学术界开始逐渐探讨构建全新的未来互联网络。信息中心网络(Information-centric Networking，ICN)在此过程中逐渐引起了学术界的广泛关注。

信息中心网络被认为是未来网络的发展趋势。其中，命名数据网络(Named DataNetworking，NDN)又是信息中心网络的典型代表，学术界开展了大量的研究工作。本发明以NDN网络架构为例，提出一种信息中心网络中涉及隐私保护和行为问责的机制。

NDN架构有两种类型的数据包，分别是Interest包和Data包。当消费者(Consumer)希望获取某一内容时，发送Interest包给周边节点。如果附近节点有该内容的缓存时，通过Data包返回内容给消费者。如果收到Interest包后发现自己的存储空间没有保存该内容，则各节点将转发Interest包，直到转发至内容的产生者(Producer)处。

需要指出的是，本发明“消费者”和“用户”均指内容的请求者，含义相同。在NDN中，通常用Consumer(消费者)指代用户。

尽管NDN网络架构在设计之初便考虑到安全问题，但仍然存在着一些安全隐患，例如可能泄露消费者(用户)的隐私，也缺少对消费者行为的有效约束。

隐私保护和行为问责是网络安全的重要组成，同时它们又是相互矛盾的一组需求。一方面用户希望在请求内容的时候，自己的行为不被网络中其他节点(例如转发节点)掌握。另一方面，这一需求与网络管理者需要掌握用户的基本信息和基本行为，以便在网络出现安全事件时可以及时、有效定位攻击来源的目标冲突。因此，在设计保护用户隐私机制时，需要考虑网络管理的关切和需求，需要为网络监管和预防攻击提供能力，从而对用户的行为进行监管，确保网络事故发生时网络管理者可以及时、有效的阻止危害的扩散。

目前，在信息中心网络中尚未有针对在隐私保护和行为问责之间取得适当平衡的成果。

发明内容

本发明技术解决问题：克服现有技术的不足，提供一种在信息中心网络中实现用户隐私保护的方法，本方法不仅可以保护用户的隐私，又可以实现对用户行为的有效约束，在需要的时候及时阻止用户的恶意行为。

本发明技术解决方案：一种在信息中心网络中实现平衡隐私保护与行为问责的方法，本方法包括：用户登记注册身份和用户请求内容两个过程。

用户登记注册身份过程为：用户在使用本机制提供的隐私保护前，需要先与注册机构进行一次交互，完成登记注册工作；然后，用户将自己的公钥发送给注册机构，注册机构将用户公钥及一个随机数一起计算哈希值并加上签名后，作为Client ID发送给用户，至此，用户完成了用户登记注册工作；后续，用户将使用Client ID作为自己的身份标识符，用于匿名通信，而该Client ID仅有注册机构和用户本身知道，网络中的其他参与者并不清楚；其中Client ID为一种能够自验证的标识符。

用户请求内容过程为：用户发送以服务标识符作为名字前段的Interest包，当所述Interest包到达代理后，代理使用私钥将经公钥加密的放置于服务标识符字段后面的真实名字Name B解密，并将Name B作为请求内容的Interest包的名字发送出去；当某个节点可以响应用户的请求时，返回Data包，Data包携带着用户请求的内容；代理根据映射表，将返回的Data包的内容转发给用户。

所述代理是运营商或非营利性机构，代理用于保护用户的身份信息，并在网络发生攻击事件时协助确定恶意用户的身份，并阻止恶意行为的持续；代理服务的区域的规模根据地理位置、机构设置不同情况进行部署。例如，可以根据地理位置，在某个园区部署一台或多台代理，作为一个网络安全域；或者某个机构根据内部部门的分工及业务需求，部署代理。

本发明与现有技术相比的优点在于：

(1)本发明提出了一种可以实现在隐私保护与行为问责之间取得平衡的机制，该方法不仅可以保护用户的隐私，又可以实现对用户行为的有效约束，在需要的时候及时阻止用户的恶意行为。本发明提出的机制是首个在ICN/NDN网络中实现该目标的算法。

(2)本发明在保护用户隐私的同时，对用户行为进行有效约束，通过引入独立第三方作为代理，在为用户提供隐私保护的同时，可以及时找到恶意用户并阻止恶意行为的持续。机制解决了信息中心网络中内容的命名、缓存等带来的隐私泄露问题，以及用户请求内容时行为不受约束的问题。实验评估结果表明，本发明的开销较小，增加的延迟较少，可以高效满足用户的隐私保护需求。

附图说明

图1本发明所涉及机制中三种实体之间关系；

图2本发明所涉及机制中用户匿名请求内容过程。

具体实施方式

下面结合附图及实施例对本发明进行详细说明。

本发明是作为网络层协议实现的，只要节点支持本协议，便可以顺利执行相关步骤，达到平衡隐私保护和行为问责的目的。除了网络基础设施(如路由器等)之外，主要包括三种实体：用户(即消费者)、注册机构、代理。三者之间的关系如图1所示。

引入“代理”作为独立第三方，帮助用户实现匿名访问的需求。同时，代理可以起到监管的作用，通过记录有限的用户行为信息，在网络出现恶意行为，例如发生网络攻击事件时，及时有效的找到攻击来源并阻止恶意行为的持续，进而对发起攻击的节点采取惩处措施，对于引起巨大损失的行为，可以追究其法律责任。

此外，引入“注册机构”用于管理用户的身份标识符。“注册机构”与“代理”属于不同的机构，两者各司其职。“注册机构”仅知道用户与用户标识符(Client ID)之间的映射关系，“代理”仅知道某个用户使用了匿名服务，但不知道Client ID对应的是哪个用户。

在实际运行中，不要求所有的请求过程均需执行本发明的方法。当用户请求热门内容时，例如请求网络正在热播的歌曲、影视剧，或是吸引大量关注的新闻时，由于请求这些内容的用户数量较大，因此对于自己请求不会造成隐私问题时，可以遵循NDN原有的请求内容的方式，即无需经过代理及名字的加密过程，直接向网络中发送Interest包。当用户需要使用隐私保护模式请求内容时，使用本发明即可。

本发明包括两个过程：用户登记注册身份的过程和用户匿名请求数据的过程。

(1)用户登记注册身份

用户或消费者(即内容的请求者)在使用隐私保护服务前，需要先与“注册机构”完成一次交互，相当于“登记注册”。该过程仅需执行一次，除非用户决定更改自己的身份标识符Client ID。

在此过程中，用户将自己的公钥发送给注册机构。注册机构将用户公钥及一个随机数一起计算哈希值并加上签名后，作为Client ID发送给用户。至此，用户完成了登记注册工作。后续，用户将使用Client ID作为自己的身份标识符，用于匿名通信中。而该ClientID仅有注册机构和用户本身知道。网络中的其他参与者并不清楚。其中，Client ID的生成过程可以表示为：

其中，代表用户的公钥，H代表哈希运算，nonce代表随机数，目前有诸多随机数生成的算法，故随机数的生成不在本发明的讨论范围，代表注册机构的私钥。注册机构将哈希值用私钥加密后，相当于签名，可以确保该标识符(即经过签名的Client ID)的真实性和有效性。

(2)用户请求内容的过程

用户或消费者(内容的请求者)在使用隐私保护服务请求内容前，需要获取代理的公钥。代理的公钥将用于用户在后续发出Interest包请求内容时使用。由于公钥具有公开的性质，可以较为方便的获取(代理的私钥仅代理知道)。

在此过程中，本发明引入隐私保护服务标识符PSID(Privacy Service ID)，作为此类服务的标记。当PSID位于Interest包Name首部时，该Interest包将被转发至代理处。因为其它节点没有代理的私钥，不具备处理此类请求的能力。因此普通转发节点收到此类Interest包后将转发出去，直到该Interest包到达代理。PSID生成过程可以表示如下：

PS||H(Client ID||nonce)

其中PS代表某个特定的字符，可以表示该次请求遵从本机制提供的隐私保护服务的规则，即该Interest包将被转发至代理处。Client ID与随机数nonce一起经过哈希计算后，可以用于区别不同的请求，即确保每次请求内容时Name A均不一样。

如图2所示，用户使用隐私保护服务请求内容的过程包括4个步骤：

1)用户发送Interest包。在此过程中，隐私保护服务标识符PSID作为Interest包名字的一部分(Name A)，将用户真正需要请求的内容的名字(Name B)经代理的公钥加密后，作为名字的另一部分，置于隐私保护服务标识符后，即以(Name A\Name B)的形式作为Interest包的名字。由于NDN网络中路由过程遵循名字的最长匹配原则，因此该Interest包仍将到达代理。

2)当以隐私保护服务标识符置于名字前段的Interest包到达代理后，代理使用私钥将经公钥加密的真实名字Name B解密，并将Name B作为请求内容的Interest包的名字发送出去。在此过程中，代理应维护一个映射表，将Name A和Name B建立关系。

3)返回Data包，携带着用户请求的内容，请求的内容可以从缓存中获得，也可能从内容的生产者处获得。

4)代理根据映射表，将返回的内容经用户的公钥加密后，由步骤1)中的Interest包到来的端口转发出去。根据NDN(命名数据网络)网络架构的规则，该内容(即Data包)将按照Interest途径的节点，转发到达用户。

在步骤1)中，Interest包将携带用户的Client ID，当某一请求是恶意请求时，代理可以向网络管理部门举报该Client ID，进而通过注册机构找到恶意用户。

在步骤2)中，代理发送新的Interest包(Name B作为名字)时，依然根据NDN的规则，将Interest包以类似“广播”的形式发送出去，即与用户处于同一网络域的节点也可以收到Interest请求。因为有可能本地某个节点缓存有该内容，这不影响匿名获取内容的目的，也不影响隐私保护的效果。图示为了简洁，没有画出这个意涵。

步骤2)和步骤4)提到的映射表，可以是一个新的表，也可以是对NDN中原有的待定Interest表(Pending Interest Table,PIT)进行修改，增加记录服务标识符，即Name A。表1作为一个例子，显示了新设计的映射表的组成。同一个Name B可能对应着多个Name A。

表1本发明所涉及机制中的名字映射表

Name A	Name B	端口号
			PSID_1	加密内容{电影A}	2
PSID_2	加密内容{歌曲B}	1
			PSID_3	加密内容{新闻C}	3

关于代理的说明

(1)代理的功能

在发明中，代理可以由政府机构、运营商等独立、可信的第三方提供。对代理的配置没有特殊要求，代理作为NDN网络中的一个节点，只需要执行本发明的协议、规则，便可为用户提供可信匿名请求内容的服务，即实现平衡隐私保护和行为问责的目的。本机制允许同一网络区域内有多个代理同时提供服务。

代理可以位于网络的任何位置，建议将代理放置在网络域的边缘，即与其他网络域连接的位置。这样将利于代理从更广泛的区域获取内容。代理本身也是一个有缓存能力的NDN节点。建议代理作为少量的、特殊的节点，应该具备更强的缓存能力，使得更多的匿名请求在这里可以得到响应。

(2)代理服务规模

如果网络域设定的较小，即在一个较小的局域网中部署了代理，将出现使用隐私服务的节点较少的情况，这将不利于用户使用隐私保护服务的效果。例如，某一网络域中只有一个节点最近使用了隐私保护服务，并且请求该内容的数据包在代理解密后发送给本地网络的节点，则用户请求行为可能被攻击者分析、推测出，从而影响了隐私保护服务的效果。但是如果网络域设定的太大，可能会影响性能，例如增加了跳数，造成往返时延(RTT)增加。因此，可以根据实际需要，确定一台或者一组代理服务的网络规模。

评估结果显示，如果用户使用隐私保护服务，延迟会增加2.13％，到达扮演“代理”角色的节点的请求增加了3.53Kbps的带宽。这种开销是可以接受的。

因此，本发明在开销较小的情况下，可以有效地实现在信息中心网络中保护用户的隐私，同时可以在网络发生攻击事件时，及时定位攻击的来源，即找到恶意用户，进而阻止恶意行为的持续。

Claims (4)

1.一种在信息中心网络中实现用户隐私保护的方法，其特征在于，包括：用户登记注册身份和用户请求内容两个过程：

用户登记注册身份过程为：用户即内容的请求者，在使用隐私保护服务前，需要先与注册机构进行一次交互，完成登记注册工作；然后，用户将自己的公钥发送给注册机构，注册机构将用户公钥及一个随机数一起计算哈希值并加上签名后，作为用户身份标识符ClientID发送给用户，至此，用户完成了用户登记注册工作；后续，用户将使用Client ID作为自己的身份标识符，用于匿名通信中，而该Client ID仅有注册机构和用户本身知道，网络中的其他参与者并不清楚；其中Client ID为一种能够自验证的标识符；

用户请求内容过程为：用户发送以隐私保护服务标识符PSID(Privacy Service ID)置于名字前段的Interest包，当所述Interest包到达代理后，代理使用私钥将经公钥加密的真实名字解密，并将解密后的真实名字作为请求内容的Interest包的名字发送出去；当Interest到达存储有用户所请求的内容的节点时，内容以Data包的形式返回，即Data包携带着用户请求的内容；代理根据映射表，将返回的Data包的内容转发给用户。

2.根据权利要求1所述的一种在信息中心网络中实现用户隐私保护的方法，其特征在于：所述代理是运营商或非营利性机构，代理用于保护用户的身份信息，或在网络发生攻击事件时协助确定恶意用户的身份，并阻止恶意行为的持续；代理服务的区域的规模可以根据地理位置、机构设置等不同情况部署、调整。

3.根据权利要求1所述的一种在信息中心网络中实现用户隐私保护的方法，其特征在于：所述Client ID的生成过程为：

其中，代表用户的公钥，H代表哈希运算，nonce代表随机数，代表注册机构的私钥。

4.根据权利要求1所述的一种在信息中心网络中实现用户隐私保护的方法，其特征在于：隐私保护服务标识符PSID作为隐私保护服务的标记，放置于用户发送的Interest包名字的前段，将该段称为Name A，用户真正需要请求的内容的名字加密后，即Name B放置于PSID后，即Name A与Name B共同组成该Interest包的名字；

PSID生成过程可以表示如下：

PS||H(Client ID||nonce)

其中PS代表某个特定的字符，可以表示该次请求遵从本机制提供的隐私保护服务的规则，即该Interest包将被转发至代理处。Client ID与随机数nonce一起经过哈希计算后，可以用于区别不同的请求，即确保每次请求内容时Name A均不一样。