CN111510427B - 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统 - Google Patents

在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统 Download PDF

Info

Publication number
CN111510427B
CN111510427B CN202010155407.7A CN202010155407A CN111510427B CN 111510427 B CN111510427 B CN 111510427B CN 202010155407 A CN202010155407 A CN 202010155407A CN 111510427 B CN111510427 B CN 111510427B
Authority
CN
China
Prior art keywords
message
path
node
path creation
creation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010155407.7A
Other languages
English (en)
Other versions
CN111510427A (zh
Inventor
杜晓楠
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN202010155407.7A priority Critical patent/CN111510427B/zh
Publication of CN111510427A publication Critical patent/CN111510427A/zh
Application granted granted Critical
Publication of CN111510427B publication Critical patent/CN111510427B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0421—Anonymous communication, i.e. the party's identifiers are hidden from the other party or parties, e.g. using an anonymizer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种在I2P网络中缓解路径创建攻击的方法，包括：S1、针对一个IP地址的节点，设置其与跳点之间的最大连接个数；S2、为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径。本发明还涉及一种计算机可读存储介质和I2P网络。实施本发明的在I2P网络中缓解路径创建攻击的方法、计算机可读存储介质和I2P网络，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。进一步地，除了路径创建之外，还在路径维持过程中进行工作量证明，进而更加有效地提高了I2P网络的网络性能和健壮性。

Description

在I2P网络系统中缓解路径创建攻击的方法、计算机可读存储 介质和I2P网络系统
技术领域
本发明涉及I2P网络系统领域，更具体地说，涉及一种在I2P网络系统中缓解路径创建攻击的方法、计算机可读存储介质和I2P网络系统。
背景技术
匿名通信技术提供了消息数据加密，消息数据反追踪等实用的隐私功能，被广泛的使用在不可信任的网络环境当中。匿名通信网络当中最具有标志性并且也是最广泛被使用的就是Tor网络和I2P网络。Tor网络早期被使用在美国海军当中用于在不可信任的网络环境下进行数据的加密和反追踪，而如今随着世界上政治上也交流的愈加频繁，窃听政治商业机密的丑闻不断传出，企业或者政府等组织建立属于自己的匿名通信网络显得尤为必要。
Tor网络和I2P网络因为其很好的解决了数据的加密和反追踪问题，并且有开源实现和配套的通信工具而被很多企业选择来搭建自己的匿名通信网络。在Tor网络中，用户会先从Tor网络的目录服务器获取一些列的中继服务器的列表，然后从这些中继服务器当中随机若干个(至少3个)作为数据的跳点(Hop)，然后首先跟第一个Hop协商会话密钥K1，再通过K1加密协商会话密钥的数据，要求Hop1转发被K1加密过后的协商会话密钥请求到Hop2，Hop2生成会话密钥K2，并返回会话密钥协商结果给Hop1，Hop1再通过K1加密会话密钥结果给起点。依次类推建立好N个Hop之后，数据的起点依次通过Kn，Kn-1，....K1来层层加密数据并通过各个跳点依次拆包转发数据到终点。I2P网络是对Tor网络的一种优化，I2P网络使用DHT解决了Tor目录服务器中心化的问题，同时将数据的上行路径和下行路径分开，让数据的追踪变得更加困难。
现有的I2P网络很好的解决了数据的加密和反追踪问题，但是缺没法解决女巫攻击的问题，一旦I2P网络当中的部分节点IP被发现确认，攻击者可以伪造大量的虚假消息来对节点进行攻击，从而导致网络当中的节点延迟大幅提高，而被攻击的节点依旧会被告知给用户，导致了最终的匿名网络使用体验不佳。
女巫攻击I2P网络最常见的攻击方式就是在路径创建时以及进行消息转发时攻击，通过伪造大量虚假的身份，攻击者可以跟I2P网络当中的多个节点建立连接，并且在每个节点上创建长时间空闲的路径，从而导致每个节点的产生大量的无效连接，并转发大量的无效消息。
发明内容
本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种在I2P网络中缓解路径创建攻击的方法、计算机可读存储介质和I2P网络，其通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。
本发明解决其技术问题所采用的技术方案是：构造一种在I2P网络中缓解路径创建攻击的方法，包括：
S1、针对一个IP地址的节点，设置其与跳点之间的最大连接个数；
S2、为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，所述步骤S1进一步包括：
S11、针对一个IP地址的节点，设置其与直接连接的跳点之间的最大连接个数；
S12、针对一个IP地址的节点，设置其与间接连接的跳点之间的最大连接个数。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，所述步骤S2进一步包括：
S21、获取发现节点并测试所述发现节点以获取路径创建参数并选择对端节点，所述路径创建参数包括最低工作量证明；
S22、选择路径顺序并基于所述路径创建参数和所述路径顺序计算各个跳点的最低路径创建难度，并基于所述最低路径创建难度顺序生成各个路径创建消息，并在跳点之间传递加密传送所述路径创建消息；
S23、接收到加密传送的所述路径消息的跳点解密并验证所述最低工作量证明，并基于验证结果将其转发到下一跳点。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，所述步骤S21进一步包括：
S211、新增节点连入I2P网络之后，先连接种子节点，并要求所述种子节点给出距离自己最近的节点；
S212、根据所述最近节点递归询问所述最近节点的最近节点，进而获取足够多的发现节点；
S213、测试所述发现节点以获取所述发现节点的路径创建参数，并基于自身通信要求和所述路径创建参数选择对端节点，其中所述路径创建参数包括最低工作量证明Dp；会话时长增量Dsi；会话增量单位Ti；和数据包难度Dd。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，所述步骤S22进一步包括：
S221、依序选择第一跳点Hop1、第二跳点Hop2、第三跳点Hop3，并基于所述第一跳点Hop1、第二跳点Hop2、第三跳点Hop3的公钥生成第一、第二和第三Nonce值Nonce1，Nonce2，Nonce3，并生成第一、第二和第三会话密钥SS1，SS2，SS3，并创建上行路径Path1，所述上行路径Path1的路径保持时间为Ts；
S222、根据所述第三跳点Hop3的最低工作量证明Dp3和会话时长增量Dsi3计算所述第三跳点Hop3的最低路径创建难度
Figure GDA0003420852340000031
S223、生成最内层路径创建消息M3，所述最内层路径创建消息M3包括：消息哈希值，Nonce值，随机值和消息内容，其中所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp3的要求，所述消息内容包括下一节点的IP和端口；
S224、采用第三会话密钥SS3加密所述最内层路径创建消息M3以生成第三加密消息Ms3；
S225、根据所述第二跳点Hop2的最低工作量证明Dp2和会话时长增量Dsi2计算所述第二跳点Hop2的最低路径创建难度：
Figure GDA0003420852340000041
S226、创建第二路径创建消息M2，所述第二路径创建消息M2包括消息哈希值，Nonce值，随机值和消息内容，其中所述消息内容包括所述第三加密消息Ms3，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp2的要求；
S227、采用第二会话密钥SS2加密所述第二路径创建消息M2以生成第二加密消息Ms2；
S228、根据所述第一跳点Hop1的最低工作量证明Dp1和会话时长增量Dsi1计算所述第一跳点Hop1的最低路径创建难度：
Figure GDA0003420852340000042
S229、创建第三路径创建消息M1，第三路径创建消息M1包括消息哈希值，Nonce值，随机值和消息内容，其中所述消息内容包括所述第二加密消息Ms2，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp1的要求；
S230、采用第一会话密钥SS1加密第三路径创建消息M1生成第一加密消息Ms1。
在本发明所述的在12P网络中缓解路径创建攻击的方法中，所述步骤S23进一步包括：
S231、所述第一跳点Hop1接收并采用所述第一会话密钥解密获得所述第三路径创建消息M1，并计算所述第三路径创建消息M1的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp1的要求；如果是执行步骤S232，否则不进行转发；
S232、将所述消息转发到所述第二跳点Hop2，所述第二跳点Hop2采用所述第二会话密钥解密以获得第二路径创建消息M2，并计算第二路径创建消息M2的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp2的要求；如果是执行步骤S233，否则不进行转发；
S233、将所述消息转发到所述第三跳点Hop3，所述第三跳点Hop3采用所述第三会话密钥解密以获得第三路径创建消息M3，并计算第三路径创建消息M3的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp3的要求；如果是则将消息发送到最终目的地址，否则不进行转发。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，在所述步骤S23中，采用公式Black2b(随机值+哈希)计算所述实际Nonce值。
在本发明所述的在I2P网络中缓解路径创建攻击的方法中，进一步包括：
S3、周期性发送心跳信息给路径上的跳点，基于跳点要求进行每个心跳信息的实际Nonce值计算，并校验所述实际Nonce值是否满足各个跳点的最低工作量证明，如果满足继续保持路径连接，否则切断路径连接。
本发明解决其技术问题采用的另一技术方案是，构造一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现所述的在I2P网络中缓解路径创建攻击的方法。
本发明解决其技术问题采用的再一技术方案是，构造一种I2P网络，包括多个I2P节点，所述I2P节点上存储有计算机程序，所述程序被处理器执行时实现所述的在I2P网络中缓解路径创建攻击的方法。
实施本发明的在I2P网络中缓解路径创建攻击的方法、计算机可读存储介质和I2P网络，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。进一步地，除了路径创建之外，还在路径维持过程中进行工作量证明，进而更加有效地提高了I2P网络的网络性能和健壮性。
附图说明
下面将结合附图及实施例对本发明作进一步说明，附图中：
图1是本发明的在I2P网络中缓解路径创建攻击的方法的第一优选实施例的流程示意图；
图2是本发明的在I2P网络中缓解路径创建攻击的方法的第二优选实施例的流程示意图；
图3是本发明的优选的握手消息的结构示意图；
图4是本发明的优选的握手回复消息的结构示意图；
图5是本发明的优选的路径创建消息、心跳消息和数据包消息的结构示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明涉及一种在I2P网络中缓解路径创建攻击的方法，包括针对一个IP地址的节点，设置其与跳点之间的最大连接个数；为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径。实施本发明的在I2P网络中缓解路径创建攻击的方法，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。
图1是本发明的在I2P网络中缓解路径创建攻击的方法的第一优选实施例的流程示意图。如图1所示，在步骤S1中，针对一个IP地址的节点，设置其与跳点之间的最大连接个数。例如针对一个IP地址的节点，设置其与直接连接的跳点之间的最大连接个数；并且针对一个IP地址的节点，设置其与间接连接的跳点之间的最大连接个数。在本发明的一个优选实施例中，针对同一个IP地址，可以规定无论其使用多少个公钥，跟一个I2P跳点只能建立有限个数Nmax个连接。并且进一步规定，针对同一个IP地址，无论其使用多少个公钥，其如果链接是从I2P跳点Hop1到IP2跳点Hop2，其总共能够建立的有限个数Mmax个连接。其中Nmax和Mmax可以根据实际情况设置，可以相同，也可以不同。
在步骤S2中，为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径。每个跳点均可以配置最低工作量证明，也就是说，如果一个IP地址想从I2P跳点建立路径，那么必须提供一定的工作量证明在路径创建消息里面，通常，要求跳点保持路径的时间越长，要提供的工作量证明就越大；节点在同一个跳点创建的路径越多，要求的工作量证明也会随之增加。其具体设置可由本领域技术人员根据实际情况进行设置。
在本发明的优选实施例中，可以先获取发现节点并测试所述发现节点以获取路径创建参数并选择对端节点，所述路径创建参数包括最低工作量证明；然后选择路径顺序并基于所述路径创建参数和所述路径顺序计算各个跳点的最低路径创建难度，并基于所述最低路径创建难度顺序生成各个路径创建消息，并在跳点之间传递加密传送所述路径创建消息；最后接收到加密传送的所述路径消息的跳点解密并验证所述最低工作量证明，并基于验证结果将其转发到下一跳点。
实施本发明的在I2P网络中缓解路径创建攻击的方法，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。
图2是本发明的在I2P网络中缓解路径创建攻击的方法的第二优选实施例的流程示意图。图3-5分别使出了本发明的优选的握手消息、握手回复消息、路径创建消息、心跳消息和数据包消息的结构示意图。下面结合图2-5对本发明的优选实施例说明如下。
在步骤S1中，针对一个IP地址的节点，设置其与跳点之间的最大连接个数。例如针对一个IP地址的节点，设置其与直接连接的跳点之间的最大连接个数；并且针对一个IP地址的节点，设置其与间接连接的跳点之间的最大连接个数。在本发明的一个优选实施例中，针对同一个IP地址，可以规定无论其使用多少个公钥，跟一个I2P跳点只能建立有限个数Nmax个连接。并且进一步规定，针对同一个IP地址，无论其使用多少个公钥，其如果链接是从I2P跳点Hop1到IP2跳点Hop2，其总共能够建立的有限个数Mmax个连接。其中Nmax和Mmax可以根据实际情况设置，可以相同，也可以不同。
在步骤S2中，为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径。
首先，在本步骤中，参照图3-5定义如下消息类型。
如图3所示，握手消息的消息类型为0，作用主要为：用于身份互相验证，即验证对端节点是否跟自己在同一个I2P网络，公钥是否属实；以及获取对端节点的路径创建参数包括最低工作量证明Dp；会话时长增量Dsi；会话增量单位Ti；和数据包难度Dd。所述握手消息包括：哈希，其为消息Message的Blake2b哈希值，以及签名，其为对哈希的ECDSA签名。
如图4所示，握手回复消息的消息类型为1，包含如下内容：哈希，其为消息Message的Blake2b哈希值，最低工作量证明Dp；会话时长增量Dsi；会话增量单位Ti；心跳包难度Dh；数据包难度Dd，当不需要对消息进行工作量证明时，该字段为0；心跳发送间隔Th；以及签名，其为对哈希的ECDSA签名。优选地，在不需要执行心跳验证的优选实施例中，可以不包含心跳包难度Dh和心跳发送间隔Th。
上行路径创建消息的消息类型为2，下行路径的创建消息类型为3。路径创建消息主要是为了在多个I2P节点当中选择数据跳点，同时转发数据到最终目的地。如图5所示，路径创建消息包括哈希，即消息的Blake2b哈希值；签名，其为对哈希的ECDSA签名；随机值，其不停的重新生成，Nonce值，其通过不停的重新生成Random值，来计算Blake2b(Random+Hash)来生成前导0个数符合最低工作量证明Dp，直到前导0个数符合最低工作量证明Dp为止，才会将Nonce和Random才会写入路径创建消息；转发IP；转发端口和消息内容。
心跳消息的消息类型为4，心跳消息的创建过程跟路径创建消息类似，其结构也与路径创建消息类似，只是消息内容为空。
数据包消息类型为5，数据包消息的工作量证明在本发明当中是可选项，当路径创建难度较高，或者心跳包难度要求较高时，数据包可以选择不进行工作量证明。当路径创建难度较低，或者心跳包要求难度较低时，可以对数据包要求工作量证明。数据包的消息内容跟路径创建消息内容一样，只是Nonce值和Random可以为空。
在本优选实施例中，步骤S2首先进入节点发现阶段。新增节点连入I2P网络之后，先连接种子节点，并要求所述种子节点给出距离自己最近的节点。节点间的距离可以根据经典的DHT距离算法算出。收到种子节点给出的最近节点之后，继续向最近节点询问最近节点，多次递归询问直到获取足够的多的发现节点为止，这里建议最大发现节点个数为1024个。测试所述发现节点以获取所述发现节点的路径创建参数，并基于自身通信要求和所述路径创建参数选择对端节点。在这里，测试发现节点的目的是为了获取发现节点的难度要求，方便根据自身要求来进行连接。使用握手消息来进行节点的测试，测试节点完成之后，即可断开跟节点的连接。其中所述路径创建参数包括最低工作量证明Dp；会话时长增量Dsi；会话增量单位(秒)Ti；数据包难度Dd，以及响应握手节点的ECDSA签名。
然后，步骤S2进行路径创建阶段，节点发现完成之后，通常来说，对带宽要求较高，会话保持时间长，则会优先筛选工作量要求较大的节点，例如：实时视频通话；而对带宽要求较低，会话时间保持较短，则会优先筛选出工作量要求较小的节点，例如：邮件，聊天消息等。
然后依序选择第一跳点Hop1、第二跳点Hop2、第三跳点Hop3，并基于所述第一跳点Hop1、第二跳点Hop2、第三跳点Hop3的公钥生成第一、第二和第三Nonce值Nonce1，Nonce2，Nonce3，并生成第一、第二和第三会话密钥SS1，SS2，SS3。
按照第一跳点Hop1、第二跳点Hop2、第三跳点Hop3的顺序创建上行路径Path1，所述上行路径Path1的路径保持时间为Ts。
根据所述第三跳点Hop3的最低工作量证明Dp3和会话时长增量Dsi3计算所述第三跳点Hop3的最低路径创建难度
Figure GDA0003420852340000091
生成最内层路径创建消息M3，所述最内层路径创建消息M3包括：消息哈希值，Nonce值，随机值、消息内容和签名。
其中消息哈希值为最内层路径创建消息的哈希值，其哈希算法为Blake2b。所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp3的要求，这是才将随机值和Nonce值填入所述最内层路径创建消息M3。所述消息内容包含消息类型，转发到下一个节点的IP和端口，消息数据。由于最内层路径创建消息M3是最终I2P的出口消息，所以M3里面填的转发IP和转发端口为最终目的IP和端口。消息数据为最终要传达的消息数据内容。最内层路径创建消息M3还可以包括对Hash生成的ECDSA签名。然后采用第三会话密钥SS3加密所述最内层路径创建消息M3以生成第三加密消息Ms3。
根据所述第二跳点Hop2的最低工作量证明Dp2和会话时长增量Dsi2计算所述第二跳点Hop2的最低路径创建难度：
Figure GDA0003420852340000101
创建第二路径创建消息M2，所述第二路径创建消息M2包括消息哈希值，Nonce值，随机值、消息内容和签名，其中所述消息内容包括所述第三加密消息Ms3，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp2的要求，然后将才将随机值和Nonce值填入所述第二路径创建消息M2。将第三跳点Hop3的IP和端口写入第二路径创建消息M2的消息内容，并计算第二路径创建消息M2的哈希值以写入消息哈希值。对消息哈希值做ECDSA签名，并写入签名。
采用第二会话密钥SS2加密所述第二路径创建消息M2以生成第二加密消息Ms2。
根据所述第一跳点Hop1的最低工作量证明Dp1和会话时长增量Dsi1计算所述第一跳点Hop1的最低路径创建难度：
Figure GDA0003420852340000102
创建第三路径创建消息M1，第三路径创建消息M1包括消息哈希值，Nonce值，随机值、消息内容和签名。所述消息内容包括所述第二加密消息Ms2，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp1的要求，然后将才将随机值和Nonce值填入所述第三路径创建消息M1。将第二跳点Hop2的IP和端口写入第三路径创建消息M1的消息内容，并计算第三路径创建消息M1的哈希值以写入消息哈希值。对消息哈希值做ECDSA签名，并写入签名。
采用第一会话密钥SS1加密第三路径创建消息M1生成第一加密消息Ms1。
所述第一跳点Hop1接收并采用所述第一会话密钥解密获得所述第三路径创建消息M1，并计算所述第三路径创建消息M1的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp1的要求；如果是将所述消息转发到所述第二跳点Hop2，否则不进行转发。同样的，所述第二跳点Hop2采用所述第二会话密钥解密以获得第二路径创建消息M2，并计算第二路径创建消息M2的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp2的要求；如果是将所述消息转发到所述第三跳点Hop3，否则不进行转发。也是同样的所述第三跳点Hop3采用所述第三会话密钥解密以获得第三路径创建消息M3，并计算第三路径创建消息M3的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp3的要求；如果是则将消息发送到最终目的地址，否则不进行转发。
在本实施中，在路径维持阶段，还执行心跳信息验证。即在步骤S3中周期性发送心跳信息给路径上的跳点，基于跳点要求进行每个心跳信息的实际Nonce值计算。在本实施例中，路径维持阶段需要在周期性的发送心跳消息给路径上的节点，假设路径上三个跳点的心跳间隔分别为
Figure GDA0003420852340000111
则路径的创建节点需要将
Figure GDA0003420852340000112
作为实际发送心跳包的间隔。心跳包的构建过程跟路径创建包类似，只不过心跳包的消息内容为空，并且心跳包的最低工作量证明参照跳点的最低工作量证明即可，无需继续计算。路径维持阶段发送的数据包根据跳点的要求决定是否进行Nonce值的计算，如果节点要求则计算并携带Nonce值，如果节点不要求，则不携带。
在步骤S4中，校验所述实际Nonce值是否满足各个跳点的最低工作量证明，如果满足执行步骤S5继续保持路径连接，否则执行步骤S6切断路径连接。
实施本发明的在I2P网络中缓解路径创建攻击的方法，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。进一步地，除了路径创建之外，还在路径维持过程中进行工作量证明，进而更加有效地提高了I2P网络的网络性能和健壮性。
本发明还涉及一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现所述的在I2P网络中缓解路径创建攻击的方法。
本发明还涉及一种I2P网络，包括多个I2P节点，所述I2P节点上存储有计算机程序，所述程序被处理器执行时实现所述的在I2P网络中缓解路径创建攻击的方法。
实施本发明的在I2P网络中缓解路径创建攻击的方法、计算机可读存储介质和I2P网络，通过限制链接数量以及通过工作量证明的机制来避免路径创建攻击，从而避免I2P网络当中被攻击者创建大量无效链接的问题，进而提高I2P网络的网络性能和健壮性。进一步地，除了路径创建之外，还在路径维持过程中进行工作量证明，进而更加有效地提高了I2P网络的网络性能和健壮性。
因此，本发明可以通过硬件、软件或者软、硬件结合来实现。本发明可以在至少一个计算机系统中以集中方式实现，或者由分布在几个互连的计算机系统中的不同部分以分散方式实现。任何可以实现本发明方法的计算机系统或其它设备都是可适用的。常用软硬件的结合可以是安装有计算机程序的通用计算机系统，通过安装和执行程序控制计算机系统，使其按本发明方法运行。
本发明还可以通过计算机程序产品进行实施，程序包含能够实现本发明方法的全部特征，当其安装到计算机系统中时，可以实现本发明的方法。本文件中的计算机程序所指的是：可以采用任何程序语言、代码或符号编写的一组指令的任何表达式，该指令组使系统具有信息处理能力，以直接实现特定功能，或在进行下述一个或两个步骤之后实现特定功能：a)转换成其它语言、编码或符号；b)以不同的格式再现。
虽然本发明是通过具体实施例进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。另外，针对特定情形或材料，可以对本发明做各种修改，而不脱离本发明的范围。因此，本发明不局限于所公开的具体实施例，而应当包括落入本发明权利要求范围内的全部实施方式。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种在I2P网络系统中缓解路径创建攻击的方法，其特征在于，包括以下步骤：
S1、针对一个IP地址的节点，设置其与跳点之间的最大连接个数；
S2、为每一个跳点配置最低工作量证明，并基于所述最低工作量证明为所述IP地址创建路径；
所述步骤S2进一步包括：
S21、获取发现节点并测试所述发现节点以获取路径创建参数并选择对端节点，所述路径创建参数包括最低工作量证明；
S22、选择路径顺序并基于所述路径创建参数和所述路径顺序计算各个跳点的最低路径创建难度，并基于所述最低路径创建难度顺序生成各个路径创建消息，并在跳点之间传递加密传送所述路径创建消息；
S23、接收到加密传送的所述路径消息的跳点解密并验证所述最低工作量证明，并基于验证结果将其转发到下一跳点。
2.根据权利要求1所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，所述步骤S1进一步包括以下步骤：
S11、针对一个IP地址的节点，设置其与直接连接的跳点之间的最大连接个数；
S12、针对一个IP地址的节点，设置其与间接连接的跳点之间的最大连接个数。
3.根据权利要求1所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，所述步骤S21进一步包括以下步骤：
S211、新增节点连入I2P网络系统之后，先连接种子节点，并要求所述种子节点给出距离自己最近的节点；
S212、根据所述最近节点递归询问所述最近节点的最近节点，进而获取足够多的发现节点；
S213、测试所述发现节点以获取所述发现节点的路径创建参数，并基于自身通信要求和所述路径创建参数选择对端节点，其中所述路径创建参数包括最低工作量证明Dp；会话时长增量Dsi；会话增量单位Ti；和数据包难度Dd。
4.根据权利要求3所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，所述步骤S22进一步包括以下步骤：
S221、依序选择第一跳点Hop1、第二跳点Hop2、第三跳点Hop3，并基于所述第一跳点Hop1、第二跳点Hop2、第三跳点Hop3的公钥生成第一、第二和第三Nonce值Nonce1，Nonce2，Nonce3，并生成第一、第二和第三会话密钥SS1，SS2，SS3，并创建上行路径Path1，所述上行路径Path1的路径保持时间为Ts；
S222、根据所述第三跳点Hop3的最低工作量证明Dp3和会话时长增量Dsi3计算所述第三跳点Hop3的最低路径创建难度
Figure FDA0003420852330000021
S223、生成最内层路径创建消息M3，所述最内层路径创建消息M3包括：消息哈希值，Nonce值，随机值和消息内容，其中所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp3的要求，所述消息内容包括下一节点的IP和端口；
S224、采用第三会话密钥SS3加密所述最内层路径创建消息M3以生成第三加密消息Ms3；
S225、根据所述第二跳点Hop2的最低工作量证明Dp2和会话时长增量Dsi2计算所述第二跳点Hop2的最低路径创建难度：
Figure FDA0003420852330000022
S226、创建第二路径创建消息M2，所述第二路径创建消息M2包括消息哈希值，Nonce值，随机值和消息内容，其中所述消息内容包括所述第三加密消息Ms3，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp2的要求；
S227、采用第二会话密钥SS2加密所述第二路径创建消息M2以生成第二加密消息Ms2；
S228、根据所述第一跳点Hop1的最低工作量证明Dp1和会话时长增量Dsi1计算所述第一跳点Hop1的最低路径创建难度：
Figure FDA0003420852330000031
S229、创建第三路径创建消息M1，第三路径创建消息M1包括消息哈希值，Nonce值，随机值和消息内容，其中所述消息内容包括所述第二加密消息Ms2，所述随机值不停的随机生成直至基于所述随机值计算的所述Nonce值的前导0个数符合所述最低工作量证明Dp1的要求；
S230、采用第一会话密钥SS1加密第三路径创建消息M1生成第一加密消息Ms1。
5.根据权利要求4所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，所述步骤S23进一步包括以下步骤：
S231、所述第一跳点Hop1接收并采用所述第一会话密钥解密获得所述第三路径创建消息M1，并计算所述第三路径创建消息M1的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp1的要求；如果是执行步骤S232，否则不进行转发；
S232、将所述消息转发到所述第二跳点Hop2，所述第二跳点Hop2采用所述第二会话密钥解密以获得第二路径创建消息M2，并计算第二路径创建消息M2的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp2的要求；如果是执行步骤S233，否则不进行转发；
S233、将所述消息转发到所述第三跳点Hop3，所述第三跳点Hop3采用所述第三会话密钥解密以获得第三路径创建消息M3，并计算第三路径创建消息M3的实际Nonce值，并校验所述实际Nonce值是否符合所述最低工作量证明Dp3的要求；如果是则将消息发送到最终目的地址，否则不进行转发。
6.根据权利要求5所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，在所述步骤S23中，采用公式Black2b(随机值+哈希)计算所述实际Nonce值。
7.根据权利要求5所述的在I2P网络系统中缓解路径创建攻击的方法，其特征在于，进一步包括以下步骤：
S3、周期性发送心跳信息给路径上的跳点，基于跳点要求进行每个心跳信息的实际Nonce值计算，并校验所述实际Nonce值是否满足各个跳点的最低工作量证明，如果满足继续保持路径连接，否则切断路径连接。
8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现根据权利要求1-7中任意一项权利要求所述的在I2P网络系统中缓解路径创建攻击的方法。
9.一种I2P网络系统，包括多个I2P节点，所述I2P节点上存储有计算机程序，其特征在于，所述程序被处理器执行时实现根据权利要求1-7中任意一项权利要求所述的在I2P网络系统中缓解路径创建攻击的方法。
CN202010155407.7A 2020-03-06 2020-03-06 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统 Active CN111510427B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010155407.7A CN111510427B (zh) 2020-03-06 2020-03-06 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010155407.7A CN111510427B (zh) 2020-03-06 2020-03-06 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统

Publications (2)

Publication Number Publication Date
CN111510427A CN111510427A (zh) 2020-08-07
CN111510427B true CN111510427B (zh) 2022-02-11

Family

ID=71863932

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010155407.7A Active CN111510427B (zh) 2020-03-06 2020-03-06 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统

Country Status (1)

Country Link
CN (1) CN111510427B (zh)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105357113A (zh) * 2015-10-26 2016-02-24 南京邮电大学 一种基于重路由匿名通信路径的构建方法
CN106357660A (zh) * 2016-09-29 2017-01-25 广州华多网络科技有限公司 一种ddos防御系统中检测伪造源ip的方法和装置
CN107688733A (zh) * 2017-07-25 2018-02-13 上海壹账通金融科技有限公司 业务接口调用方法、装置、用户终端和可读存储介质
CN107733686A (zh) * 2017-09-05 2018-02-23 南京邮电大学 一种匿名通信系统及通信过程中二次优化通信路径的方法
CN109115226A (zh) * 2018-09-01 2019-01-01 哈尔滨工程大学 基于跳点搜索的多机器人冲突避免的路径规划方法
CN109842606A (zh) * 2018-02-24 2019-06-04 中国科学院计算技术研究所 基于一致性哈希算法的区块链共识算法和系统
CN110176998A (zh) * 2019-05-17 2019-08-27 北京众享比特科技有限公司 一种工作量证明的共识方法、装置、设备和存储介质
CN110290113A (zh) * 2019-06-03 2019-09-27 深圳巴克云网络科技有限公司 基于PoW算法的设备标识构造方法、装置及计算机可读存储介质

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102415097B1 (ko) * 2017-07-11 2022-06-29 스월즈, 인크. 네트워크 내의 분산 데이터베이스를 효율적으로 구현하기 위한 방법들 및 장치

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105357113A (zh) * 2015-10-26 2016-02-24 南京邮电大学 一种基于重路由匿名通信路径的构建方法
CN106357660A (zh) * 2016-09-29 2017-01-25 广州华多网络科技有限公司 一种ddos防御系统中检测伪造源ip的方法和装置
CN107688733A (zh) * 2017-07-25 2018-02-13 上海壹账通金融科技有限公司 业务接口调用方法、装置、用户终端和可读存储介质
CN107733686A (zh) * 2017-09-05 2018-02-23 南京邮电大学 一种匿名通信系统及通信过程中二次优化通信路径的方法
CN109842606A (zh) * 2018-02-24 2019-06-04 中国科学院计算技术研究所 基于一致性哈希算法的区块链共识算法和系统
CN109115226A (zh) * 2018-09-01 2019-01-01 哈尔滨工程大学 基于跳点搜索的多机器人冲突避免的路径规划方法
CN110176998A (zh) * 2019-05-17 2019-08-27 北京众享比特科技有限公司 一种工作量证明的共识方法、装置、设备和存储介质
CN110290113A (zh) * 2019-06-03 2019-09-27 深圳巴克云网络科技有限公司 基于PoW算法的设备标识构造方法、装置及计算机可读存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
An optimization of the object function for routing protocol of low-power and Lossy networks;Wei Xiao;《The 2014 2nd International Conference on Systems and Informatics (ICSAI 2014)》;20150115;全文 *
僵尸网络发展研究;李可;《计算机研究与发展》;20161008;全文 *

Also Published As

Publication number Publication date
CN111510427A (zh) 2020-08-07

Similar Documents

Publication Publication Date Title
Pirzada et al. Establishing Trust In Pure Ad-hoc Networks.
Elmahdi et al. Secure and reliable data forwarding using homomorphic encryption against blackhole attacks in mobile ad hoc networks
US7120792B1 (en) System and method for secure communication of routing messages
El-Khatib et al. Secure dynamic distributed routing algorithm for ad hoc wireless networks
WO2021213395A1 (zh) 随机认证嵌入的快速源和路径验证方法
US20090327730A1 (en) Apparatus and method for encrypted communication processing
CN109698791B (zh) 一种基于动态路径的匿名接入方法
CN114051236B (zh) 基于重路由机制的匿名通信方法、系统、介质及电子设备
US7539191B1 (en) System and method for securing route processors against attack
Anand et al. TARE: Topology Adaptive Re-kEying scheme for secure group communication in IoT networks
Lin et al. Adaptive broadcast routing assignment algorithm for blockchain synchronization services
KR20220092853A (ko) 안전한 대역외 대칭 암호화 키 전달
CN113973007A (zh) 基于广播加密和洋葱路由的时控性加密匿名查询方法和系统
Wang et al. T-IP: A self-trustworthy and secure Internet protocol
CN111510427B (zh) 在i2p网络系统中缓解路径创建攻击的方法、计算机可读存储介质和i2p网络系统
Selvakumar et al. Secure group key management protocol for mobile ad hoc networks
Eltaief Flex-CC: A flexible connected chains scheme for multicast source authentication in dynamic SDN environment
CN111327628B (zh) 一种基于sdn的匿名通信系统
Challal et al. RLH: receiver driven layered hash-chaining for multicast data origin authentication
Elamathi et al. Enhanced secure communication over inter-domain routing in heterogeneous wireless networks based on analysis of BGP anomalies using soft computing techniques
Gündoğan et al. Group communication with OSCORE: RESTful multiparty access to a data-centric web of things
Hamamreh et al. RAD: reinforcement authentication DYMO protocol for MANET
Ahmad et al. Security on MANETs using block coding
Tsai et al. A scalable anonymous server overlay network
CN113973300B (zh) 基于双线性对的无线传感器网络匿名通信方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 40027847

Country of ref document: HK

GR01 Patent grant
GR01 Patent grant