CN110800271A - 激活应用于数据会话的进程的方法 - Google Patents

Abstract

本发明涉及一种激活位于用户的终端(1)与服务提供商的服务器(21)之间的会话的数据路径上的多个实体(11，13，14)中的至少一个处理实体(11，14)的方法，终端(1)和该服务器(21)被附接到通信网络(100)，该方法在所述终端(1)中实施并且包括：向该服务器(21)发送标识消息的步骤，该标识消息旨在接收由该多个实体(11，12，13，14)添加的这些实体(11，13，14)的标识符；从该服务器(21)接收确认消息的步骤，该确认消息包括包含在该标识消息中的标识符；在从该服务器(21)接收的这些标识符中选择至少一个标识符的步骤；向该服务器发送与激活该多个实体(11，13，14)中的实体(11，14)相关的消息的步骤。

Description

激活应用于数据会话的进程的方法

技术领域

本发明属于通信基础设施中的数据会话建立的领域。本发明涉及应用于在通信基础设施中传送的数据会话的进程管理技术。

背景技术

近年来，由终端用来通过IP(互联网协议)网络进行通信的协议在一段几乎没有变化的时期后已经变得非常多样化。与每一层(物理层、链路层、网络层、传输层、会话层、表示层、应用层)使用的不同通信协议相对应的协议栈可以随会话的不同而变化。

在两个终端之间建立会话以在限定的时间段内交换数据。在两个终端之间的会话建立要求这些终端预先附接到通信网络。IP(互联网协议)网络中的会话基于从OSI(开放系统互连)模型的传输层到应用层的各种协议。可以在两个终端之间建立同时或非同时进行的多个会话。两个终端之间的单个会话足以考虑要连接的终端。为此，会话可以被比作通信。会话用于通常以分组传输的数据的交换。因此可以使用术语数据会话或者数据分组会话。会话可以是单向的(从终端到服务器)，或者是双向的(从终端到服务器并且从服务器到终端)。

交换安全的开发也产生了用于会话的更多种类的协议，并且已知已经开发出迄今为止使用的协议的安全版本。这些新的协议通常由内容提供商提供、也由终端和/或操作系统的提供商提供，这些提供商可以更加容易地引入新协议，因为他们对客户端终端和内容服务器两者均进行控制。内容提供商对更一般用于会话的新协议的开发尤其得到了确认，因为该开发与涉及从传输层到应用层(也就是说，为了确保端到端的通信)的协议有关。开发这些新协议一方面用于适应传送会话数据的网络的背景，并且尤其改善了会话的建立，也就是说，改善了会话数据交换的初始化以及用户体验的质量。因此，除了历史协议、即通过TCP(传输控制协议)的HTTP(超文本传输协议)或通过IP(互联网协议)的UDP(用户数据报协议)之外，可以使用应用层加密协议，即TLS(传输层安全)或DTLS(数据报传输层安全)。在应用级，现在可以使用HTTP/2协议并且还可以将QUIC(快速UDP互联网连接)协议用作传输协议。这些只是用于终端节点通过IP网络进行通信的新协议的一些示例。图1展示了可以在通信网络中实施的不同协议的多样性。图1中指示的协议通过示例给出，并且所部署的协议不限于图1所示的那些协议。尽管可能有大量的所谓中间功能(也就是说，部署在终端与服务器之间的通信网络上的功能)通过将信息添加到传输会话数据的分组、通过使用这些分组中的信息或通过修改这些分组中存在的数据来将进程应用于会话，这些协议更改也不考虑传输会话数据的基础设施。

负责路由会话数据的运营商、以及更广泛地涉及建立和管理这些会话的实体实际上已经越来越多地部署了负责会话数据上特定进程的设备。这些进程可以在于改善路由、压缩数据、存储与会话相关的信息、对编码进行适配、将服务质量应用于与数据相关的分组。这些不同的进程由置于在用户终端与应用程序之间建立的会话的数据所采用的路径上的实体所应用。这些实体在未经用户、甚至服务提供商(其管理经由终端提供用户所需的数据的服务器)准许这些实体应用这些进程、甚至不通知这些实体的情况下也可以应用这些进程。无论是对用于会话的协议的更改还是可能被实施的新协议，都没有提供用于通知并从端实体(即终端和服务器)收集关于这些进程的会话的授权的方式以确保端实体批准中间实体或另一个端实体所确保的进程这一目标。

本发明的目的是弥补这些缺点。

发明内容

本发明使用一种用于激活位于用户的终端与服务提供商的服务器之间的会话的数据路径上的多个实体中的至少一个处理实体的方法改善了这种情况，该终端和该服务器被附接到通信网络，该方法在所述终端中实施并且包括

-向该服务器传送标识消息的步骤，该标识消息旨在接收由该多个实体添加的这些实体的标识符，

-从该服务器接收确认消息的步骤，该确认消息包括包含在该标识消息中的标识符，

-在从该服务器接收的这些标识符中选择至少一个标识符的步骤，

-向该服务器传送与激活该多个实体中的实体相关的消息的步骤。

在终端与服务器之间的数据会话的分组通过通信网络中转时，需要对这些分组应用不同的进程。这些进程可以由不同的实体确保，并且在现有技术中，这些进程在无需终端或服务器具有这些进程的任何知识的情况下被应用，并且在无需终端或服务器针对否要应用这些进程达成协议的情况下更是如此。

当在终端与服务器之间或在已经建立的会话上建立会话时，通过为应用进程或可能将进程应用于会话的分组的每个实体添加标识符来标识这些处理实体。因此，接收到会话数据的服务器可以识别存在于源与服务器之间的路径上的所有实体。终端或服务器实际上都不知道原则上对给定会话应用了什么进程，并且这种标识阶段是必要的。该标识阶段对应于实体发现操作。在存在于路径上的实体之中，一些实体已经从负责服务器的提供商获得了批准，例如在建立会话之前的操作中，而其他实体则没有获得批准。服务器在确认消息中传送在路径上识别的中间实体的标识符。默认地，服务器可以返回在标识消息中接收的所有标识符或仅其中一些标识符。

在服务器将所有标识符返回至终端的情况下，终端具有路径上的中间实体的信息(如服务器传送的)、并将该信息用于激活方法或用于其他方法，诸如例如，对于同一个服务，如果终端从由不同提供商实施的不同服务器接收信息，则选择路径。

在激活方法中，终端传送激活消息，该消息使得每个实体能够知道其是否能够对数据会话的后续分组应用进程。终端借助于这个激活消息将某种策略应用于数据会话的分组。

因此，终端实际上可以通过保证只有自己授权的实体才能应用进程来传送会话的分组，终端可能已经从中间实体中保留了服务器将与之通信的实体子集。

服务提供商可以等同于托管数据的提供商或者暂时存储数据的中间提供商，诸如CDN(内容分发网络)服务的供应商或存储在高速缓存服务器中的数据的提供商。服务提供商还可以是企业网络的数据受体。

根据本发明的一个方面，在该激活方法中，该确认消息包括由提供商批准的该多个实体的标识符。

根据在会话之前建立的协议，或者在功能是由与负责服务器的实体相同的实体实施的情况下，或者即使该功能与建立会话所需的进程有关，服务器也会向终端指示其从所识别的处理实体中批准的实体。在这种情况下，服务器仅向终端传送所批准实体的标识符，并且该激活方法使得可以仅激活由终端选择的功能、还激活由服务器选择的功能。对由服务提供商批准的标识符的发送对应于对终端与服务器之间的路径上的某些处理实体的准许。这种准许可以被终端用于其自身批准或不批准路径上的这些功能中的一些功能的存在、以及相继地应用于会话的这些分组的进程的存在。

因此服务器选择从由终端传送并由中间实体补充的标识消息中识别的实体子集。

根据本发明的另一个方面，在该激活方法中，与激活相关的消息包括用于去激活其标识符未被终端选择的实体的信息。

当实施该方法时，处理实体现在可能对在实施该方法之前交换的第一数据执行进程。某些实体的去激活使得可以指示这些实体停止其进程，并且因此仅在路径上保留由终端和服务器选择的处理实体。与激活相关的消息中的去激活信息的存在向有关实体指示这些实体必须停止其进程。

根据本发明的另一个方面，在该激活方法中，与激活相关的消息包括用于激活其标识符被终端选择的实体的信息。

当在会话初始化时实施该方法时，也就是说，在终端传送与该会话相关的任何数据之前，该方法使得可以向所选择的实体指示这些实体必须对会话的数据执行其进程。由于在建立会话之前、并且相继地在有效地实施该方法之前没有实体被激活，因此在这种情况下，与激活相关的消息使得可以仅激活所选择的实体。

根据本发明的另一个方面，在该激活方法中，该标识消息和与该激活相关的消息是与QUIC协议相关的消息。

QUIC(快速UDP IP连接)协议位于通信网络中最广泛考虑的协议中。QUIC协议基于UDP(用户数据报协议)，并且可以认为QUIC协议表示TCP(传输控制协议)的替代方案，即使这两种协议的特征并不相同。QUIC协议为应用程序的提供商提供了越来越多的益处，因为QUIC协议结合了加密特征以及与服务质量相关的功能，特别是因为两个QUIC方之间可以进行多路复用连接。使用这种协议来进行终端与服务器之间的交换以识别并激活处理实体是有利的，因为这使得可以将协议的固有功能(特别是安全性、可靠性和可用性)与新服务(诸如针对给定会话在终端与服务器之间的路径上发现和认证处理实体)相结合。

根据本发明的另一个方面，在该激活方法中，该标识消息和与该激活相关的消息还包括会话标识符。

处理实体可以对涉及至少同一个端(终端或服务器)的不同数据会话、或者与实施了该激活方法的那些端完全不同的端之间的数据会话应用进程。由于激活消息的目的是向处理实体指示这些处理实体是否必须对会话应用进程，因此相对于已存在的激活信息，将会话信息添加到数据分组以允许每个处理实体从会话标识符中快速地识别有关会话并且对这些分组应用或不应用进程是有利的。在QUIC协议用于这些消息的传送的情况下，连接标识符可以是如在https://tools.ietf.org/html/draft-ietf-quic-transport-04(2017年6月)中定义的连接ID标识符。标识消息中的会话标识符还允许处理实体将所需标识与给定会话相关联，并且因此例如检测具有相同的会话号但不同的来源和/或目的地的消息，这些事先是不可能得知的。

刚刚已经描述的激活方法的不同方面可以彼此独立地实施或者彼此组合地实施。

本发明还涉及一种用于确认位于用户的终端与服务提供商的服务器之间的会话的数据路径上的多个实体中的至少一个处理实体的标识的方法，该终端和该服务器被附接到通信网络，该方法在所述服务器中实施并且包括

-从该终端接收标识消息的步骤，该标识消息包括由该多个实体添加的这些实体的标识符，

-向该终端传送确认消息的步骤，该确认消息包括包含在该标识消息中的标识符，

-从该终端接收与激活该多个实体中的实体相关的消息的步骤。

一旦针对会话识别了处理实体，该确认方法就允许服务器能够确认存在于终端与由服务提供商管理的服务器之间的路径上的实体。这有利地使得能够向终端传送在会话未被建立的情况下干预或潜在地干预会话数据的处理实体的标识符。然后，向终端发送实体的标识符允许终端根据从服务器接收的标识符来选择实体。终端最终在从终端已经与之建立或将要与之建立会话的服务器接收的实体中选定终端要针对会话授权的中间实体。

根据本发明的一个方面，该确认方法进一步包括从在该标识消息中接收的这些标识符中选择由该提供商批准的实体的标识符的步骤。

服务器可以通过仅选择其已批准的实体来干预对会话的数据路径上的中间实体的选择。一旦服务器接收到存在于路径上的实体的标识符，服务器就会提取存在批准的实体的标识符，并仅将从在标识消息中接收的标识符集合中提取的这些标识符传送至终端。

根据本发明的一个方面，该确认方法进一步包括

-将批准请求消息传送至该多个实体中的至少一个实体的步骤，

-从该至少一个实体接收批准响应消息的步骤，该批准响应消息包括该实体的公钥。

可以有利地在服务器与处理实体之间交换同该服务器与处理实体之间的批准相关的消息，使得服务器保存处理实体的列表以及这些实体的公钥。在知道各个运营商或服务提供商可能会在通信网络中部署大量实体的情况下，服务器将能够在交换批准消息之前进行对不同功能的发现。替代方案是在服务提供商与处理实体的管理者之间建立协议，使得服务器仅请求由存在协议的管理者管理的处理实体。对与批准相关的消息的交换可以以与跟给定会话相关的消息无关的方式进行，因为批准不是特定于给定会话的。

刚刚已经描述的确认方法的不同方面可以彼此独立地实施或者彼此组合地实施。

本发明还涉及一种用于激活位于用户的终端与服务提供商的服务器之间的会话的数据路径上的多个实体中的至少一个处理实体的设备，该终端和该服务器被附接到通信网络，该设备在所述终端中实施并且包括

-发射器，该发射器能够向该服务器传送标识消息，该标识消息旨在接收由该多个实体添加的这些实体的标识符，

-接收器，该接收器能够从该服务器接收确认消息，该确认消息包括包含在该标识消息中的标识符，

-选择模块，该选择模块能够在从该服务器接收的这些标识符中选择至少一个标识符，

-该发射器，该发射器还能够向该服务器传送与激活该多个实体中的实体相关的消息。

能够在其所有实施例中实施刚刚已经描述的激活方法的这种设备旨在在终端中实施。

本发明还涉及一种用于确认位于用户的终端与服务提供商的服务器之间的会话的数据路径上的多个实体中的至少一个处理实体的标识的设备，该终端和该服务器被附接到通信网络，该设备在所述服务器中实施并且包括

-接收器，该接收器能够从该终端接收标识消息，该标识消息包括由该多个实体添加的这些实体的标识符，

-发射器，该发射器能够向该终端传送确认消息，该确认消息包括包含在该标识消息中的标识符，

-该接收器，该接收器还能够从该终端接收与激活该多个实体中的实体相关的消息。

根据本发明的一个方面，该确认设备进一步包括选择模块，该选择模块能够从在该标识消息中接收的这些标识符中选择由该提供商批准的实体的标识符。

根据本发明的另一个方面，该确认设备进一步包括

-该发射器，该发射器还能够将批准请求消息传送至多个实体中的至少一个实体，

-该接收器，该接收器还能够从该至少一个实体接收批准响应消息，该批准响应消息包括该实体的公钥。

能够在其所有实施例中实施刚刚已经描述的确认方法的这种确认设备旨在在数据服务器中实施。

本发明还涉及一种用于激活至少一个中间功能的系统，该系统包括

-终端，该终端包括激活设备，

-服务器，该服务器包括确认设备，

-至少一个处理实体，

-该至少一个处理实体能够将标识符添加到从该终端接收的标识消息中，

-该至少一个处理实体能够激活与跟激活相关的消息相关的进程。

本发明还涉及一种包括指令的计算机程序，这些指令用于当由处理器执行此程序时实施刚刚已经描述的激活方法的步骤。

本发明还涉及一种包括指令的计算机程序，这些指令用于当由处理器执行此程序时实施刚刚已经描述的确认方法的步骤。

这些程序可以使用任何编程语言，并且可以采用源代码、目标代码、或在源代码与目标代码之间的中间代码的形式，诸如呈部分编译的形式、或呈任何其他令人期望的形式。

本发明还针对一种信息介质，该信息介质可以由计算机读取并且包括如上所述的计算机程序的指令。

该信息介质可以是能够存储程序的任何实体或设备。例如，该介质可以包括诸如ROM(例如，CD ROM或微电子电路ROM)等存储装置、或甚至磁性存储装置(例如，磁盘(软盘)或硬盘)。

并且，该信息介质可以是可以经由电缆或光缆以无线或其他方式路由的可传送介质(诸如电信号或光信号)。根据本发明的程序可以具体地通过互联网类型的网络进行下载。

可替代地，该信息介质可以是结合了该程序的集成电路，该电路被适配成用于执行有关方法或在该方法执行时使用。

附图说明

在阅读了作为简单的、说明性和非限制性示例给出的以下对本发明的具体实施例的说明以及对所附附图的说明后，本发明的其他优点和特征将变得更加清楚明显，在附图中：

-图1呈现了通信协议的演变的简化视图，

-图2呈现了根据本发明的一方面的通信基础设施，

-图3呈现了根据本发明的第一实施例的激活方法的概述，

-图4呈现了根据本发明的第二实施例的激活方法的步骤的概述，

-图5呈现了根据本发明的第三实施例的激活方法的步骤的概述，

-图6呈现了根据本发明的一方面的激活设备的示例结构，

-图7呈现了根据本发明的一方面的确认设备的示例结构。

具体实施方式

在下文的描述中，呈现了本发明的几个实施例在通信网络中的示例。本发明可以没有倾向地在固定通信网络或移动通信网络中实施。

首先参考图2，其呈现了根据本发明的一个方面的通信网络。

终端1、2和服务器21、22、23连接至通信网络100。终端1、2可以是固定终端或移动终端，并且服务器21、22、23可以是HTTP(超文本传输协议)服务器、FTP(文件传输协议)服务器、高速缓存服务器或CDN(内容分发网络)服务器、或存储终端可用数据的任何其他类型的设备。通信网络100可以是固定基础设施或移动基础设施，旨在为属于企业的客户端或所谓的住宅客户端路由数据。网络100可以由几个子网组成，例如接入子网和核心子网。网络100可以由一个或多个不同的实体管理。

在网络100中，终端2与服务器21建立通信会话S1。这个数据会话S1可以是单向的(从终端2到服务器21)，或者是双向的(从终端2到服务器21并且从服务器21到终端2)。会话S1采用其上部署有处理实体11、13、14的路径。这些处理实体11、13、14可以由同一个管理器或不同的管理器管理。这些处理实体(也被称为中间功能)可以部署在特定或非特定的设备中，或者甚至在虚拟化架构中实例化。处理实体可以特别是虚拟化网络功能(VNF(虚拟网络功能))。这些功能所应用的进程可以变化。因此，一些功能的目的是改善对数据会话S1的分组的路由，其他功能确保与安全相关的任务，其他功能在法律义务的管辖之下，并且其他功能与在对分组的路由方面的服务质量相关。对于会话涉及的处理实体的数量没有限制。例如，在移动网络中，在接入网关与将移动基础设施和互联网互连的设备之间涉及许多处理实体。

终端会话可以通过不同的处理实体中转。因此，根据例如要针对其建立会话的服务、终端、服务器、通信网络、通信网络所路由的会话数量，会话可以涉及不同的处理实体。终端1建立两个会话S2和S3。与服务器23建立的会话S2的数据在其被路由到服务器23时由处理实体13和15处理，而由终端1与服务器22建立的会话S3的数据在到达其目的地(即服务器22)之前由处理实体12和13处理。在双向会话的情况下，从服务器到终端(例如从服务器22到终端1)的会话的数据将能够采用与由终端传送的数据相同的路径，在这种情况下，除了本发明之外，还必须实施一种例如基于路由属性的机制。在数据在每个方向上所采用的路径不相同的情况下，可以设想不同的处理实体。

关于图3，呈现了根据本发明的第一实施例的激活方法的概述。这个实施例被认为是通用的，并且特别地没有指定用于消息传送的协议。

会话被建立或正在被建立在终端2与服务器21之间。如果建立了会话，则在实施该方法时就已经在终端与会话之间交换会话数据。如果正在建立会话，则在实施该方法时在终端与服务器之间没有交换会话数据。此时终端2和服务器21都不知道什么进程被应用到或将被应用到会话数据。

在阶段P0中，服务器21与某些处理实体实施批准进程。更具体地，服务器21通过交换批准消息来请求处理实体11、14、16同意这些实体可以对旨在用于服务器21的数据应用进程。因此，实体11、13、14被认为是由服务器21批准的。这种批准可以例如在于交换密钥以解密在实体与服务器之间交换的消息和/或通过交换标识符交换的消息。针对与数据安全相关的方面，推荐交换密钥。因此，实体11、13、14可以向服务器21提供其公钥。在这个示例中，认为实体16未与服务器21建立任何批准。服务器21请求实体11、13、14，因为可能在管理服务器21的服务提供商与负责管理实体11、13、14的运营商之间存在协议。根据一个替代方案，服务器21可以在阶段P0之前执行的实施由服务器21发现处理实体的机制(未描述)之后请求这些实体。

在阶段P1中，终端2将消息传送至服务器21。采用终端2与服务器21之间的会话的数据路径的这个消息通过位于该路径上的处理实体11、13、14、16中转。置于该路径上的这些实体中的每一个执行对会话数据的处理。根据替代方案，认为实体11从分组中提取信息，并且对应于例如由提供与终端2的连接性的运营商执行的DPI(深度分组检查)功能。由另一个运营商管理的实体13将会话数据传送至执行流量分析的实体。实体14执行丰富会话数据的进程。实体16执行对数据分组的报头中存在的IP(互联网协议)地址的转换。在接收到由终端2传送的消息时，每个实体11、13、14、16相继将特定于该实体的标识符(例如，该实体的IP地址或诸如域名等信息或任何其他类型的标识符)添加到消息中。根据一个替代方案，该消息或标识符可以由中间实体加密，以防止路径上的另一个实体或可能获得该消息的设备能够利用与所传送标识符相关的所传送信息。中间实体可以通过使用例如其私钥对与其标识相关的信息进行加密，并且服务器将能够在接收到消息后通过使用其公钥(例如在阶段P0中获得)对经加密信息进行解密。当服务器21接收到由终端2传送并且由实体11、13、14、16处理的消息时，该服务器可以提取由在会话数据所采用的路径上的不同实体添加的所有标识符。应当注意的是，处理实体可以在数据所采用的路径上，但是这些处理实体可以不添加其标识符，其结果是，在该方法步骤的过程中这些处理实体不会被服务器21或终端2考虑。然而，取决于该激活方法的实施，这些处理实体可能会受到阶段P5中进行的激活的影响。

在阶段P2中，根据一个替代方案，服务器21从所接收的标识符中选择与在阶段P0中由服务器21或负责此服务器21的服务提供商批准的实体相对应的实体标识符。服务器21选择存在于路径上的实体11、13、14，而不选择未经服务器21批准的实体16。如果阶段P0在于交换标识符，则服务器21将在阶段P1中由终端2传送的消息中接收的标识符与同在阶段P0中达成批准的实体相对应的标识符进行比较，并且从在阶段P1接收的标识符中仅选择已批准实体的标识符。为了进行这种选择，服务器21可以维护服务器本地或外部的数据库，该数据库包括已批准实体的标识符。如果批准被安全地实施，则处理实体可以用其私钥对添加的数据进行加密，从而增强了相对于路径上其他处理实体的机密性以及所传送标识符的真实性。服务器21可以通过使用相应的公钥来解密标识符。中间实体11、13、14、16对在中转标识消息时向标识消息添加的并且旨在用于服务器21的标识符进行加密使得不仅可以明确地标识处理实体11、13、14、16，而且还能够检查到处理实体11、13、14是否有效地对应于之前已经在服务器21与处理实体11、13、14之间建立了批准的实体。在私钥也被实体11、13、14用于激活的情况下，使用私钥来加密标识符还可以允许服务器21确保已经使用激活消息激活的处理实体11、13、14确实是已经与服务器21达成批准的处理实体11、13、14。

根据另一个替代方案，服务器21不进行对中间实体的任何选择。该服务器在阶段P1中接收标识符，但在阶段P2中不从所接收的这些标识符中进行对标识符的任何选择。在这种情况下，阶段P2仅用于收集标识符。

在服务器在阶段P2中不进行任何选择的情况下，在阶段P3中，服务器21向终端2中转在标识消息中接收的实体11、13、14、16的标识符，从而允许终端2知道终端2与服务器21之间的会话数据所采用的路径上实际存在的实体。

根据一个替代方案，服务器21仅向终端2传送由服务器21批准的中间实体。因此，服务器21向终端2传送实体11、14、16的标识符。这种替代方案在后续交换中被考虑。响应于在阶段P2中从终端2接收的消息，服务器21将此信息传送至终端2，但是此消息可以使用与由终端2发送的消息所使用的路径不同的路径(甚至不同的协议)。

根据一个替代方案，服务器21可以将保证其身份的证书附到传送至终端2的确认消息中。在由终端2接收的确认消息中存在来自服务提供商的证书使得可以保证该消息有效地源自此服务提供商。终端2还可以在激活消息中传送该证书，以通知所选择的处理实体11、14服务提供商已经像终端2一样授权了对由实体11、14执行的进程的激活。在实体确保的进程与服务器21相关的情况下，例如，在该进程涉及收集和存储旨在用于服务器21的数据的情况下，由该证书的存在所揭示的服务提供商的授权可以被处理实体11、14使用。

在阶段P4中，终端2根据在阶段P3中从服务器21接收的标识符来选择实体。由于终端2已经接收了实体11、14、16的标识符，因此该终端必须随后决定为了会话数据的传输要激活哪些标识符以及因此要激活哪些实体。在标识符是显式的(例如字符串)情况下，此信息可以被用户用来决定是否进行激活。因此，与原则上对用户无意义的字符串相比，Middlebox_operator A或Middlebox_operatorB类型的标识符可以更容易地被用户使用。因此，用户可以干预对标识符的选择，并且因此干预对会话中的处理实体的选择。

在阶段P5中，终端2向服务器21传送与激活已在阶段P4中选择的实体相关的消息。激活可以在于使实体执行为其部署该实体的任务。如果防火墙类型的设备被激活，则该设备执行过滤功能，如果处理实体DPI被激活，则该处理实体执行流标识功能，当丰富实体被激活时，该丰富实体添加丰富数据。进程的去激活在于不执行相应的动作。如果一个实体确保了几个进程，则将指示有关进程的附加信息添加到激活消息中。根据一个替代方案，该消息包含由终端选择的中间实体的标识符。其标识符在该消息中的中间实体将其进程应用于会话数据。如果实体的标识符不在该消息中，则该实体去激活所执行的进程。根据另一个替代方案，其标识符在该消息中的实体在会话未被初始化时去激活会话数据的进程或不启动该进程，而其标识符不存在的实体在会话未被初始化时继续其对会话数据的进程或启动该进程。在已呈现的实施例中，与激活相关的消息指示在与21建立的会话的数据路径上的实体11和16激活这些实体的进程。

现在参考图4，其呈现了根据本发明的第二实施例的激活方法的步骤的概述。在这个实施例中，未建立终端2与服务器21之间的会话，并且该方法在会话数据被终端传送至服务器之前进行。这个实施例中的消息是通过使用QUIC协议来传送的。如图3所呈现的方法的阶段在本图中被调用，本图描述了在终端2、服务器21与实体11、13、14、16之间交换的消息。

在阶段P0中，进行以下交换。

在步骤E1中，服务器21向实体11传送由实体11在步骤E’1中接收的“HTTP获得(HTTP Get)”类型的消息M1。

作为响应，在步骤E2中，实体11向服务器21传送200OK类型的消息M2，该消息包括实体11的公钥以及标识符，诸如实体11所使用的IP地址。在步骤E’2中，服务器21接收此消息。

一方面步骤E3、E’3、E4、E’4和另一方面E5、E’5、E6、E’6分别与步骤E1、E’1、E2、E’2相同，除了前者分别涉及实体13和14而不是实体11。相应地，一方面消息M3和M4和另一方面消息M5和M6分别与消息M1和M2相同。

在阶段P0结束时，在本实施例中，服务器21持有实体11、13和14的公钥和IP地址，从而正式化服务器21对这些实体的批准。

在步骤E7中，终端2将QUIC客户端Hello(QUIC Client Hello)类型的消息M7传送至服务器21，该服务器在步骤E’7中接收该消息。

在步骤E8中，终端21将QUIC服务器Hello(QUIC server Hello)类型的消息M8传送至终端2，该终端在步骤E’8中接收该消息。

这些消息的目的是协商同在终端2与服务器21之间的会话建立相关的参数，特别是安全参数。

在步骤E9中，对应于阶段P1，终端2将QUIC SIG类型的消息M9传送至服务器21，以识别终端2与服务器21之间的会话数据所采用的路径上的实体。当实体11、13、14、16接收到消息M9时，这些实体将标识符添加到QUIC SIG消息中。当实体重新传送消息M9时，该消息包含与该实体的IP地址相对应的新信息。这些实体将其IP地址添加到从终端2接收并且旨在用于服务器21的QUIC SIG消息中。在步骤E’9中，服务器21接收特别包括实体11、13、14、16的IP地址的QUIC SIG消息。

在步骤E10中，对应于阶段P2，服务器21根据IP地址识别出在阶段P0中已经与之达成批准的实体并且选择实体11、13和14。

在步骤E11中，对应于阶段P3，服务器21在QUIC SIG类型的确认消息M11中将已批准的实体的IP地址传送至终端2。包括已批准处理实体的IP地址的该QUIC SIG消息M11可以根据消息M7和M8中协商的参数(诸如加密密钥)进行加密，以保证消息M11的机密性和真实性。根据一个替代方案，取决于由处理实体添加的信息的类型，所传送的标识符可以是域名、DNS服务器类型库中引用的服务名称或任何其他类型的标识符。终端2在步骤E’11中接收QUIC SIG消息M11并且在阶段P4的步骤E12中从由服务器21批准的实体中选择要为会话保留的处理实体11、14的、并且在消息M11中传送的IP地址。如果标识符是IP地址，则终端2进行的这种选择可以基于终端2中预先配置的IP地址或通过反向解析、通过获得与处理实体的IP地址相关联的服务或名称来进行。根据一个替代方案，终端的用户可以接受或拒绝其名称将在屏幕上向他或她指示的实体，例如，因为在标识符是IP地址时一旦执行了反向解析或者在实体的标识符对于用户是显式的时不存在解析的情况下，该实体是由未识别或不期望的运营商或行动者(actor)实施的。

在步骤E13中，对应于阶段P5，终端2在QUIC类型的激活消息M13中将会话数据或更具体地包括会话数据的分组传送至服务器21。为了确保这些分组采用与消息M9相同的路径，可以使用附加路由功能。消息M13还包括使得可以激活由终端2保留的实体的信息。消息M13可以包括所选择的处理实体的标识符，这些标识符向其标识符不存在的实体指示不激活对此会话的数据分组的进程。根据一个替代方案，消息M13可以包括会话标识符，该会话标识符允许实体能够直接关联会话并且根据存在的标识符关联授权、或者根据消息M13中存在或不存在的标识符不对标识符在消息M13中的会话的数据应用进程。根据一个替代方案，消息M13可以由终端2例如使用其私钥进行加密。对由终端2(特别是通过使用私钥)加密的激活消息M13的发送使得可以向由终端2选择的每个实体11、14指示终端2或用户确实是已经批准所述实体11、14的终端或用户。这使得可以防止通过发送终端未传送的消息来激活或去激活处理实体。终端2为会话选择的处理实体还可以使用加密来认证终端2、并根据已经发送了消息的终端2应用特定的进程，并且该消息的真实性是通过由终端的私钥进行加密来保证的。处理实体11、14必须具有与私钥相关联的公钥，以便能够解密由终端2发送的消息。

现在参考图5，其呈现了根据本发明的第三实施例的选择方法的步骤的概述。在这个实施例中，在实施该方法时已经建立了终端2与服务器21之间的会话，并且已经在终端2与服务器21之间交换会话的分组。在图4中，概括地说，在实施该方法时，正在建立会话并且还未在终端2与服务器21之间交换会话数据。处理实体已经对在终端2与服务器21之间交换的数据会话的分组应用了进程。

阶段P0中的步骤和消息与在图4的阶段P0中交换的步骤和消息相同。应当注意的是，对于不同的实施例，此阶段P0与特定数据会话无关，并且该阶段并非特别针对每个数据会话实施。该方法还可以在不存在阶段P0的情况下实施。在这种情况下，服务器21不执行对处理实体的任何选择。

在步骤E7、E’7然后是E8、E’8中，在终端2与服务器21之间交换相应的消息M7和M8。消息M7和M8例如是终端2与服务器21之间的TCP会话参数协商消息。

在步骤E15中，终端2将会话数据传送至服务器21。终端2传送包括会话数据的消息M15。消息M15的数据具有由相应的实体11、13、14、16应用于这些数据的进程。在步骤E’15中，该消息M15由服务器21接收。消息M15可以例如是HTTP请求消息。

在步骤E16中，服务器21将消息M16传送至终端2。该消息例如是用于发送内容的HTTP消息。此消息M16的数据由处理实体13和16处理。在步骤E’16中，消息M16由终端2接收。与发生在基于现有技术的技术中的情况相比，处理实体在没有从终端2或从服务器21接收到关于是否应用会话进程的明确信息的情况下应用这些进程。

在步骤E9中，终端2基于TCP协议向服务器21传送标识消息M19，每个处理实体将例如基于24位的并且标识路径上的处理实体的标识符EqID添加到该标识消息中。在步骤E’9中，此消息由服务器21接收。

步骤E10等同于图4的步骤E10，除了服务器21在消息M19的中转中使用由每个处理实体添加的标识符EqID之外。在阶段P0中，服务器21将获得已经与之达成批准的处理实体的标识符EqID。

在步骤E11中，服务器21还基于TCP协议传送消息M21，并且该消息包括在消息M19中接收的所有标识符中的、由服务器21批准的实体的标识符EqID。在步骤E’11中，此消息由终端2接收。消息M19包括实体11、13、14的标识符EqID。

步骤E12与图4的步骤E12相同。

在步骤E13中，终端2传送未被终端2验证的去激活处理实体的消息M23。去激活消息M23包括如下实体的标识符EqID：这些实体不必将进程应用于会话数据，并且因此必须停止其应用于消息M15的进程。消息M23指示实体13和16停止其进程，然后仅实体11和14的进程保留在路径上。应当注意的是，根据一个替代方案，处理实体可以通过添加利用其私钥加密的信息(该信息将由服务器21解密)来确认激活消息已经被考虑并请求了激活或去激活，从而在本实施例中通知服务器21关于实体13和16的去激活。

应当注意的是，在该方法的不同的实施例中，该方法可以针对会话数据的传送的每个方向(从终端到服务器以及从服务器到终端)来实施，数据的进程可以特定于数据传送方向。根据一个替代方案，同一个消息可以用于激活针对每个传送方向的功能，关于传送方向的信息允许中间功能根据该方向应用或不应用进程。根据另一个替代方案，激活消息将针对每个传送方向来传送。

关于图6，根据本发明的一个方面呈现了激活设备的示例结构。

用于激活多个实体中的至少一个处理实体的设备60实施刚刚描述了其不同实施例的激活方法。

这种设备60可以在终端中实施。该终端可以是移动终端或固定终端。

例如，设备60包括处理单元630，该处理单元配备有例如微处理器μP并且由计算机程序610驱动，该计算机程序存储在存储器620中并且实施根据本发明的激活方法。在初始化时，在计算机程序610的代码指令由处理单元630的处理器执行之前，这些代码指令被加载到例如RAM存储器中。

这种设备60包括：

-发射器63，该发射器能够向服务器传送标识消息Ident，该标识消息旨在接收由该多个实体添加的这些实体的标识符，

-接收器64，该接收器能够从服务器接收确认消息Acqt，该确认消息包括包含在标识消息中的标识符，

-选择模块61，该选择模块能够在从服务器接收的这些标识符中选择至少一个标识符，

-该发射器63，该发射器还能够向服务器传送与激活该多个实体中的实体相关的消息Activ。

关于图7，根据本发明的一个方面呈现了确认设备的示例结构。

用于确认多个实体中的至少一个处理实体的设备70实施刚刚描述了其不同实施例的确认方法。

这种设备70可以在服务器中实施。

例如，设备70包括处理单元730，该处理单元配备有例如微处理器μP并且由计算机程序710驱动，该计算机程序存储在存储器720中并且实施根据本发明的选择方法。在初始化时，在计算机程序710的代码指令由处理单元730的处理器执行之前，这些代码指令被加载到例如RAM存储器中。

这种设备70包括：

-接收器74，该接收器能够接收标识消息Ident，该标识消息包括由该多个实体添加的这些实体的标识符，

-发射器73，该发射器能够向终端传送确认消息Acqt，该确认消息包括包含在标识消息中的标识符，

-该接收器74，该接收器还能够从终端接收与激活该多个实体中的实体相关的消息Activ。

确认设备70还可以包括选择模块71，该选择模块能够从在标识消息中接收的标识符中选择由提供商批准的实体的标识符。

确认设备70还可以包括

-发射器73，该发射器能够将批准请求消息传送至多个实体中的至少一个实体，

-接收器74，该接收器能够从该至少一个实体接收批准响应消息，该批准响应消息包括该实体的公钥。

关于图6和图7所描述的模块可以是硬件模块或软件模块。

刚刚已经呈现的本发明的示例性实施例只是可以设想的实施例中的一些实施例。激活方法和确认方法使得可以有利地控制对中间功能的干预。因此，终端的用户可以知道他或她的数据上的进程，并且可以授权或不授权这些进程，从而增强了用户对数据存储、数据修改以及数据使用的控制。通过服务提供商与运营商之间的协议，该方法还使得可以确定传输其数据的运营商。实际上，现在使用多路径协议(如MTCP(多路径TCP))来增强服务的可用性和质量。会话的每个路径可以包括不同的实体，这些实体可能由也不同的运营商实施。用户或终端(如果涉及自动选择)可以根据路径上标识的处理实体来选择一个或多个路径，并且因此干预可能采用几个路径的会话数据的路由策略。

Claims (15)

1.一种用于激活位于用户的终端(2)与服务提供商的服务器(21)之间的会话的数据路径上的多个实体(11，13，14，16)中的至少一个处理实体(11，14)的方法，该终端(2)和该服务器(21)被附接到通信网络(100)，该方法在所述终端(2)中实施并且包括

-向该服务器(21)传送标识消息(M9，M19)的步骤(E9)，该标识消息旨在接收由该多个实体(11，13，14，16)添加的这些实体(11，13，14，16)的标识符，

-从该服务器(21)接收确认消息(M11，M21)的步骤(E’11)，该确认消息包括包含在该标识消息(M9)中的标识符，

-在从该服务器(21)接收的这些标识符中选择至少一个标识符的步骤(E12)，

-向该服务器(21)传送与激活该多个实体(11，13，14，16)中的实体(11，14)相关的消息(M13，M23)的步骤(E13)。

2.如权利要求1所述的激活方法，其中，该确认消息(M11，M21)包括由该提供商批准的该多个实体(11，13，14)的标识符。

3.如权利要求1所述的激活方法，其中，与该激活相关的消息(M13，M23)包括用于去激活其标识符未被该终端(2)选择的实体的信息。

4.如权利要求1所述的激活方法，其中，与该激活相关的消息包括用于激活其标识符被该终端(2)选择的实体的信息。

5.如权利要求1所述的激活方法，其中，该标识消息(M9，M19)和与该激活相关的消息(M13，M23)是与QUIC协议相关的消息。

6.如权利要求1所述的激活方法，其中，该标识消息(M9，M19)和与该激活相关的消息(M13，M23)还包括会话标识符。

7.一种用于确认位于用户的终端(2)与服务提供商的服务器(21)之间的会话的数据路径上的多个实体(11，13，14，16)中的至少一个处理实体(11，13，14，16)的标识的方法，该终端(2)和该服务器(21)被附接到通信网络(100)，该方法在所述服务器中实施并且包括

-从该终端(2)接收标识消息(M9，M19)的步骤(E’9)，该标识消息包括由该多个实体(11，13，14，16)添加的这些实体的标识符，

-向该终端传送确认消息(M11，M21)的步骤(E11)，该确认消息包括包含在该标识消息(M9，M19)中的标识符，

-从该终端(2)接收与激活该多个实体(11，13，14，16)中的实体(11，14)相关的消息(M13，M23)的步骤(E’13)。

8.如权利要求7所述的确认方法，进一步包括从在该标识消息中接收的这些标识符中选择由该提供商批准的实体(11，13，14)的标识符的步骤(E10)。

9.如权利要求7所述的确认方法，进一步包括

-将批准请求消息(M1，M3，M5)传送至该多个实体(11，13，14)中的至少一个实体的步骤(E1，E3，E5)，

-从该至少一个实体(11，13，14)接收(E’2，E’4，E’6)批准响应消息的步骤，该批准响应消息包括该实体(11，13，14)的公钥。

10.一种用于激活位于用户的终端(2)与服务提供商的服务器(21)之间的会话的数据路径上的多个实体(11，13，14，16)中的至少一个处理实体(11，14)的设备(60)，该终端(2)和该服务器(21)被附接到通信网络(100)，该设备在所述终端(2)中实施并且包括

-发射器(63)，该发射器能够向该服务器(21)传送标识消息(M9，M19)，该标识消息旨在接收由该多个实体(11，13，14，16)添加的这些实体(11，13，14，16)的标识符，

-接收器(64)，该接收器能够从该服务器(21)接收确认消息(M11，M21)，该确认消息包括包含在该标识消息(M9，M19)中的标识符，

-选择模块(61)，该选择模块能够在从该服务器(21)接收的这些标识符中选择至少一个标识符，

-该发射器(63)，该发射器还能够向该服务器(21)传送与激活该多个实体中的实体相关的消息(M13，M23)。

11.一种用于确认位于用户的终端(2)与服务提供商的服务器(21)之间的会话的数据路径上的多个实体(11，13，14，16)中的至少一个处理实体(11，14)的标识的设备(70)，该终端(2)和该服务器(21)被附接到通信网络(100)，该设备在所述服务器中实施并且包括

-接收器(74)，该接收器能够从该终端(2)接收标识消息(M9，M19)，该标识消息包括由该多个实体(11，13，14，16)添加的这些实体(11，13，14，16)的标识符，

-发射器(73)，该发射器能够向该终端(2)传送确认消息(M11，M21)，该确认消息包括包含在该标识消息中的标识符，

-该接收器(74)，该接收器还能够接收与激活该多个实体(11，13，14，16)中的实体(11，14)相关的消息(M13，M23)。

12.如权利要求11所述的确认设备(70)，进一步包括选择模块(71)，该选择模块能够从在该标识消息(M9，M19)中接收的这些标识符中选择由该提供商批准的实体(11，13，14)的标识符。

13.一种用于激活至少一个中间功能的系统，该系统包括

-终端(2)，该终端包括如权利要求10所述的激活设备(60)，

-服务器(21)，该服务器包括如权利要求11所述的确认设备(70)，

-至少一个处理实体(11，13，14，16)，

-该至少一个处理实体能够将标识符添加到从该终端(2)接收的标识消息(M9，M19)，

-该至少一个处理实体能够激活与跟该激活相关的消息(M13)相关的进程。

14.一种计算机程序，其特征在于，该计算机程序包括用于当如权利要求1所述的激活方法由处理器实施时实施此方法的步骤的指令。

15.一种可以由符合权利要求10的激活设备读取的存储介质，在该存储介质上存储有如权利要求14所述的程序。

Images