CN113507434B - 一种通信网络中的数据安全传输方法、节点和系统 - Google Patents

一种通信网络中的数据安全传输方法、节点和系统 Download PDF

Info

Publication number
CN113507434B
CN113507434B CN202110596594.7A CN202110596594A CN113507434B CN 113507434 B CN113507434 B CN 113507434B CN 202110596594 A CN202110596594 A CN 202110596594A CN 113507434 B CN113507434 B CN 113507434B
Authority
CN
China
Prior art keywords
data
node
communication
label
transmission
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110596594.7A
Other languages
English (en)
Other versions
CN113507434A (zh
Inventor
殷柳国
许晋
裴玉奎
陈钊
葛宁
陆建华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tsinghua University
Original Assignee
Tsinghua University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tsinghua University filed Critical Tsinghua University
Priority to CN202110596594.7A priority Critical patent/CN113507434B/zh
Publication of CN113507434A publication Critical patent/CN113507434A/zh
Application granted granted Critical
Publication of CN113507434B publication Critical patent/CN113507434B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/50—Routing or path finding of packets in data switching networks using label swapping, e.g. multi-protocol label switch [MPLS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种通信网络中的数据安全传输方法、节点和系统，方法包括：接收待传输的数据，其中，该数据是基于安全通信标签的数据；所述安全通信标签是根据数据预先设置的规划路径生成的；根据预先设定的审计方法对该基于安全通信标签的数据进行审计；当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点。通过本发明的技术方案，在数据传输过程中基于安全通信标签的数据传输可以确保用户数据包的合法传输，同时采用相应的审计方法可以保障数据传输的安全性。

Description

一种通信网络中的数据安全传输方法、节点和系统
技术领域
本文涉及通信网络安全技术，尤指一种通信网络中的数据安全传输方法、节点和系统。
背景技术
随着信息化时代的来临，通信网络系统成为了多种行业中不可或缺的基础设施。为了保障多类业务的数据传输安全，通信网络安全问题成为该通信领域的研究重点。在众多网络安全问题中，信息传输中的数据篡改以及例如DDoS分布式拒绝服务攻击等较难在通信网络层面上避免，这一问题本质上来源于基于IP化的路由寻址方式未在安全功能方面进行设计。
在当前的通信网络中，数据传输技术中，一般是采用IP地址的路由寻址方式，该传输技术存在以下问题：(1)数据包传输流转过程不受控，(2)用户行为不可控。从以上两点可以看出，基于IP地址的路由寻址方式的通信网络数据传输技术无法对用户与数据进行有效的控制，从而会导致多种网络安全问题的出现。
发明内容
本申请提供了一种通信网络中的数据安全传输方法、节点和系统，该方法在数据传输过程中基于安全通信标签的数据传输可以确保用户数据的合法传输，同时采用相应的审计方法可以保障确定性网络路由机制的有效运行。
本申请提供了一种通信网络中的数据安全传输方法，方法包括：
接收待传输的数据，其中，该数据是基于安全通信标签的数据；所述安全通信标签是根据数据预先设置的规划路径生成的；
根据预先设定的审计方法对该基于安全通信标签的数据进行审计；
当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点。
一种示例性的实施例中，所述规划路径根据以下方式确定：
数据源端发起传输数据的请求，该请求包括数据源端用户公钥；
安全管控中心根据该数据源端用户公钥、采用通信行为模型对该请求进行核验；
当核验通过后，根据该请求生成规划路径。
一种示例性的实施例中，所述安全通信标签中携带以下信息：总跳数、规划路径信息、最大时间戳信息、数据源端用户公钥和标签签名。
一种示例性的实施例中，所述基于安全通信标签的数据根据以下方式生成：
利用该安全通信标签将待传输的数据进行封装，得到基于安全通信标签的数据。
一种示例性的实施例中，所述基于安全通信标签的数据包括：安全通信标签、数据载荷、数据签名和哈希信息验证码。
一种示例性的实施例中，所述数据签名包括：数据载荷，数据源端用户私钥和安全通信标签。
一种示例性的实施例中，所述根据预先设定的审计方法对该基于安全通信标签的数据进行审计，包括：
判断该数据传输的时间点是否满足安全通信标签中的最大时间戳的条件；
当满足最大时间戳的条件时，校验该安全通信标签中的标签签名是否合法，或，校验数据签名是否合法，或，判断当前节点是否在规划路径上。
一种示例性的实施例中，所述根据预先设置的审计方法进行审计该基于安全通信标签的数据后，还包括：
当不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径上时，上报异常信息至安全管控中心。
本申请还提供了一种通信网络中的数据安全传输节点，所述节点包括通信接口、存储器和处理器；所述存储器用于保存进行通信网络中的数据安全传输处理的程序，所述处理器用于读取执行所述用于进行通信网络中的数据安全传输处理的程序，执行上述实施例中任一项所述的方法；所述通信接口用于接收与发送数据，接收上一个节点发送的数据后，转发给处理器执行安全传输处理的程序；并将处理后的数据发送给下一节点。
本申请还提供了一种通信网络中的数据传输系统，该系统包括：数据源端、路径节点；该路径节点包括：第一边界节点、第二边界节点、多个如上述实施例所述的数据传输节点、数据目的端；其中，数据源端连接第一边界，数据目的端连接第二边界，第一边界节点和第二边界节点之间通过多个数据传输节点相连。
与相关技术相比，本申请包括基于通信网络中的数据安全传输方法、节点和系统，方法包括：接收待传输的数据，其中，该数据是基于安全通信标签的数据；所述安全通信标签是根据数据预先设置的规划路径生成的；根据预先设定的审计方法对该基于安全通信标签的数据进行审计；当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点。本申请实施例在数据传输过程中基于安全通信标签的数据传输可以确保用户数据的合法传输，同时采用相应的审计方法可以保障确定性网络路由机制的有效运行。
本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的其他优点可通过在说明书以及附图中所描述的方案来实现和获得。
附图说明
附图用来提供对本申请技术方案的理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本申请的技术方案，并不构成对本申请技术方案的限制。
图1为本申请实施例的通信网络中的数据安全传输方法流程图；
图2为一些示例性实施例中的典型的通信网络示意图；
图3为一些示例性实施例中的安全通信标签格式示意图；
图4为一些示例性实施例中的数据包帧格式示意图；
图5为一些示例性实施例中的规划路径示意图；
图6为一些示例性实施例中的边界网关设备或者路由交换设备的数据审计与传输流程；
图7为一些示例性实施例中的数据目的端的数据审计与传输流程；
图8为本申请实施例的通信网络中的数据安全传输节点示意图；
图9为一些示例性实施例中的安全通信标签示意图。
具体实施方式
本申请描述了多个实施例，但是该描述是示例性的，而不是限制性的，并且对于本领域的普通技术人员来说显而易见的是，在本申请所描述的实施例包含的范围内可以有更多的实施例和实现方案。尽管在附图中示出了许多可能的特征组合，并在具体实施方式中进行了讨论，但是所公开的特征的许多其它组合方式也是可能的。除非特意加以限制的情况以外，任何实施例的任何特征或元件可以与任何其它实施例中的任何其他特征或元件结合使用，或可以替代任何其它实施例中的任何其他特征或元件。
本申请包括并设想了与本领域普通技术人员已知的特征和元件的组合。本申请已经公开的实施例、特征和元件也可以与任何常规特征或元件组合，以形成由权利要求限定的独特的发明方案。任何实施例的任何特征或元件也可以与来自其它发明方案的特征或元件组合，以形成另一个由权利要求限定的独特的发明方案。因此，应当理解，在本申请中示出和/或讨论的任何特征可以单独地或以任何适当的组合来实现。因此，除了根据所附权利要求及其等同替换所做的限制以外，实施例不受其它限制。此外，可以在所附权利要求的保护范围内进行各种修改和改变。
此外，在描述具有代表性的实施例时，说明书可能已经将方法和/或过程呈现为特定的步骤序列。然而，在该方法或过程不依赖于本文所述步骤的特定顺序的程度上，该方法或过程不应限于所述的特定顺序的步骤。如本领域普通技术人员将理解的，其它的步骤顺序也是可能的。因此，说明书中阐述的步骤的特定顺序不应被解释为对权利要求的限制。此外，针对该方法和/或过程的权利要求不应限于按照所写顺序执行它们的步骤，本领域技术人员可以容易地理解，这些顺序可以变化，并且仍然保持在本申请实施例的精神和范围内。
一些技术中，采用基于IP地址的路由寻址方式进行数据传输，存在以下问题：
(1)数据包传输流转过程不受控。
首先，基于IP地址的路由寻址方式，数据包头中只含有源地址与目的地址信息，流转过程依赖于网络节点自身的路由功能，因此，无法对数据包的流转过程进行有效控制；其次，基于IP地址的寻址方法中网络节点仅负责数据包的路由转发，除了数据完整性以外，不对数据包本身合法性进行认证，网络中间节点易对数据造假。
(2)用户行为不可控。
基于IP地址的路由寻址方式中，IP包的帧结构中并不包含用户的身份合法性以及行为等信息，其合法性相关信息必须有上层应用获取，这使得通信网络无法对用户的身份行为进行控制，难以避免非法用户接入网络，导致如DDoS等相关恶意攻击出现。从以上两点可以看出，现有的基于IP地址的路由寻址方式的通信网络无法对用户与数据进行有效的控制，从而会导致多种网络安全问题的出现。
本公开实施例提供了一种通信网络中的数据安全传输方法，所述方法包括：
S100.接收待传输的数据；
S110.根据预先设定的审计方法对该基于安全通信标签的数据进行审计；
S120.当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点。
在本实施例中，该通信网络可以为典型的通信网络，如图2所示，典型的通信网络包括：路由交换设备、边界路由器以及安全管控中心SMC；其中，路由交换设备记为Ri,i＝1,2…n，边界路由器记为BGj,j＝1,2，数据源端用户S和数据目的端D。
在本实施例中，路径节点接收待传输的数据；该路径节点包括：第一边界节点(边界路由器)、第二边界节点(边界路由器)、多个数据传输节点(路由交换设备Ri)、数据目的端。该数据是基于安全通信标签的数据；所述安全通信标签是根据数据预先设置的规划路径生成的。
一种示例性的实施例中，所述规划路径根据以下方式确定：数据源端发起传输数据的请求，该请求包括数据源端用户公钥；安全管控中心根据该数据源端用户公钥、采用通信行为模型对该请求进行核验；当核验通过后，根据该请求生成规划路径。在本实施例中，数据源端用户S持公钥PKS，经边界路由器BG转发传输数据的请求，该用户提交的传输数据的请求可以为{PKS，S，D，M，m}，即数据源端用户S持公钥PKS发起从数据源端S到数据目的端D、传输等级为M、长度为m的数据。安全管控中心接收到数据源端发起传输数据的请求后，首先根据该数据源端用户公钥、采用通信行为模型对该请求进行核验。采用通信行为模型对该请求进行核验的步骤可以包括：1)确认PKS在安全管控中心中是否已经注册了；2)使用PKS作为索引查询用户S的用户通信行为；3)判断传输数据的请求是否符合通信行为模型。在本步骤中，该通信行为模型中存储有用户S的历史通信记录，可以采用PKS作为索引，通信行为作为索引内容，例如：采用PKS作为索引可以查到用户S使用路径L1作为S到D1发送数据M1。
当以上三步均核验完成，均满足核验的条件，安全管控中心SMC根据请求生成规划路径，可以记作S→D:M(m)，其中，M为数据源端用户的业务属性，m为待传输数据包个数。例如：所规划的路由路径为(S→BG1→R2→R5→BG2→D)。
一种示例性的实施例中，所述安全通信标签中携带以下信息：跳数、规划路径信息、最大时间戳信息、数据源端用户公钥和标签签名。该安全通信标签可以为：
Labeli＝<LinkR,TS,PKS,sigR>i,i＝1～k
上述公式中，
Figure GDA0003840273100000071
表示第i个安全通信标签的规划路径信息，S表示数据源端，D表示数据目的端，BG表示传输数据的边界节点；R1,R2,……,Rn表示数据传输节点；
sigR＝SIGN(LinkR||TS||PKS,sk0)表示标签签名，LinkR表示规划路径，TS表示最大时间戳，PKS表示数据源端用户公钥，sk0表示安全管控中心中私钥。该安全通信标签Labeli格式如图3所示。其中，总跳数表示规划路径中的总计路由跳数，X_Address代表X数据传输节点的地址。
一种示例性的实施例中，基于安全通信标签的数据根据以下方式生成：利用该安全通信标签将待传输的数据进行封装，得到基于安全通信标签的数据。
一种示例性的实施例中，基于安全通信标签的数据包括：安全通信标签、数据载荷、数据签名和哈希信息验证码。
一种示例性的实施例中，所述数据签名包括：数据载荷，数据源端用户私钥和安全通信标签。可以根据该安全通信标签、数据载荷以及数据源端用户私钥计算数据签名，该数据签名为：sigS＝SIGN(Labeli||Payload,skS)；sigS表示数据签名，Payload表示数据载荷，skS表示数据源端用户私钥。
根据该请求生成规划路径之后；利用该安全通信标签将待传输的数据进行封装，得到基于安全通信标签的数据。实现过程如下：
安全管控中心将k个标签经过第一边界节点(边界路由器)转发返回至数据源端用户S，数据源端用户S使用PK0验证数据sigR签名的合法性，其中，PK0是表示管控中心SMC的公钥。
用户验证标签签名sigR的合法性后，获取生成的k个安全标签；对于每m/k个包，选取一个安全通信标签Labeli，根据该安全通信标签、载荷数据以及用户私钥skS计算数据签名sigS，可记为：sigS＝SIGN(Labeli||Payload,skS)。
将原始待传输的数据封装为基于安全通信标签的数据包。基于安全通信标签的数据包括：安全通信标签、数据载荷、数据签名和哈希信息验证码。如图4所示：数据包帧格式中包含安全通信签名Labeli、载荷Payloadi、数据签名sigS以及哈希信息验证码HMAC。
在步骤S110中，根据预先设定的审计方法对该基于安全通信标签的数据进行审计；该预定的审计方法是针对基于安全通信标签的数据所采用的一种审计方法。
一种示例性的实施例中，所述根据预先设定的审计方法对该基于安全通信标签的数据进行审计，包括：判断该数据传输的时间点是否满足安全通信标签中的最大时间戳的条件；当满足最大时间戳的条件时，校验该安全通信标签中的标签签名是否合法，或，校验数据签名是否合法，或，判断当前节点是否在规划路径上。
一种示例性的实施例中，所述根据预先设置的审计方法进行审计该基于安全通信标签的数据后，还包括：
当不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径上时，上报异常信息至安全管控中心。
S120.当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点。
一种示例性的实施例中，当审计通过时，如果本节点是规划路径上最后一个路径节点即数据目的端节点时，若最终校验结果为合法，核验数据源S行为并反馈评价至安全管控中心；若最终校验结果为异常，则丢包，并将异常行为(HMAC不合法、签名校验不合法，或传输路径不合法)上报至安全管控中心中。当审核不通过时，本节点上传审核结果至安全管理中心。
根据预先设置的审计方法进行审计该基于安全通信标签的数据过程中，当安全管控中心接收节点上传的异常信息时，根据所接收到的异常行为更新用户的通信行为模型。
下面用三个示例说明上述实施例。
示例一
本示例给出一种通信网络中的数据安全传输方法，包括：
步骤1.基于通用的通信网络结构，根据数据传输的请求生成规划路径，如图5所示，例如：所规划的路由路径为(S→BG1→R2→R5→BG2→D)。
步骤2.根据所生成的规划路径生成安全通信标签。
步骤3.根据该安全通信标签生成基于安全通信标签的数据；并进行数据传输。
在本步骤中，数据传输过程例如：基于安全通信标签的数据在节点R2处转发时被错误的转发至R3，则R3对数据进行安全标签签名验证，验证结果为错误，R3丢包并且上传至安全管控中心SMC。
采用上述示例性实施例，采用预先规划的数据传输路径，通信网络中的所有路径节点可以据此规划路径将数据包转发至规划路径中的下一个节点；同时所传输的数据是包含了安全通信标签的数据，以使得在数据传输过程中网络中的各路径节点合法性，防止网络中的节点对规划路径信息的篡改。
示例二
本示例给出一种应用于通信系统中的基于安全通信标签的审计与传输方法中，主要针对于基于标签的数据包在所在通信网络中传输时，各个路径节点针对数据包的审计方式和转发方法。如图6所示，通信网络中的数据传输方法中边界网关设备(第一边界节点、第二边界节点)或者路由交换设备(数据传输节点)的审计与传输流程：
对于通信网络中的路径节点中的边界节点或数据传输节点中的任意一点依次完成以下审计与传输流程：
600.校验HMAC合法性，该校验步骤作为可选操作。
601.校验安全通信标签Labeli中的TS新鲜度即判断该数据传输的时间点是否满足安全通信标签中的最大时间戳的条件；在本步骤中，在校验HMAC合法性之后，校验安全通信标签Labeli中的TS新鲜度；或者，当未执行校验HMAC合法性时，直接校验安全通信标签Labeli中的TS新鲜度。
602.校验安全通信标签签名，使用PK0校验标签签名sigR合法性。
603.校验数据签名，使用用户S的公钥PKS校验sigS合法性。
604.根据LinkR，判断本节点是否在规划路径上。
605.按规划路径LinkR指示的下一跳节点重复执行步骤600-604；
在每个校验步骤中，若最终校验结果均合法，按规划路径LinkR指示的下一跳执行，即将数据转发到规划路径的下一节点；
606.执行丢包操作，并将异常行为上报至安全管控中心。
在校验过程中，当不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径上时，则执行丢包操作，并将异常行为(不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径)上报至安全管控中心中。
示例三
本示例给出一种应用于通信系统中的基于安全通信标签的审计与传输方法中，主要针对于基于标签的数据包在所在通信网络中传输时，各个路径节点针对数据包的审计方式和转发方法。如图7所示，通信网络中的数据传输方法中的数据目的端节点审计与传输流程：
700.校验HMAC合法性，该校验作为可选操作。在本步骤之前，数据目的端节点接收到传输数据后，校验HMAC合法性。
701.校验安全通信标签Labeli中的TS新鲜度即判断该数据传输的时间点是否满足安全通信标签中的最大时间戳的条件；在本步骤中，在校验HMAC合法性之后，校验安全通信标签Labeli中的TS新鲜度；或者，当未执行校验HMAC合法性时，直接校验安全通信标签Labeli中的TS新鲜度。
702.校验安全通信标签签名，使用PK0校验sigR合法性。
703.校验数据签名，使用用户S的公钥PKS校验sigS合法性。
704.根据LinkR，判断本节点是否在规划路径上。
705.若最终校验结果为合法，核验数据源S行为并反馈评价至安全管控中心；
706.若最终校验结果为异常，则执行丢包操作，并将异常行为上报至安全管控中心。针对每一步的校验，当校验结果为异常(不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径)时，上报对应的异常信息至安全管控中心中。
基于上述示例性实施例的传输方法，可以有效抑制数据包的非法传输，保障确定性网络路由机制的有效运行。
本公开实施例还提供了一种通信网络中的数据传输节点，所述节点包括通信接口、存储器和处理器；如图8所示，存储器用于保存进行通信网络中的数据传输处理的程序，处理器用于读取执行所述用于进行通信网络中的数据安全传输处理的程序，执行上述实施例中任一项所述的通信网络中的数据安全传输方法；所述通信接口用于接收与发送数据，接收上一个节点发送的数据后，转发给处理器执行安全传输处理的程序；并将处理后的数据发送给下一节点。
本公开实施例还提供了一种通信网络中的数据传输系统，该系统包括：数据源端、路径节点；该路径节点包括：第一边界节点、第二边界节点、多个数据传输节点、数据目的端；其中，数据源端连接第一边界，数据目的端连接第二边界，第一边界节点和第二边界节点之间通过多个数据传输节点相连。
示例四
本示例给出一种数据传输的流程，该数据传输基于通信网络的数据传输系统，该系统如图2所示，包括：数据源端S、路径节点和安全管控中心；该路径节点包括：第一边界节点BG1、第二边界节点BG2、多个数据传输节点(Ri,i＝1,2…n)、数据目的端D；
基于安全通信标签的数据传输方法操作步骤如下：
步骤1.数据源端S提交传输数据申请；
源用户S提交的传输数据申请，具体为{PKS，S，D，M，m}，是源用户S持用户公钥PKS发起一个从S到D传输一个等级为M、长度为m的数据的请求，记作S→D:M(m)，其中，M为用户的业务属性，m为待传输数据的数据包个数。例如，如图5所示路由路径为(S→BG1→R2→R5→BG2→D)。
步骤2.安全管控中心利用用户S的公钥PKS和通信行为模型执行核验操作。
步骤3.安全管控中心根据最大时间戳TS、用户身份信息、用户权限及业务数据属性M信息生成k个安全通信标签Labeli其中i＝1,2…k。
当核验完成后，安全管控中心执行生成新的链标签；其中，安全通信标签组成为：
Labeli＝<LinkR,TS,PKS,sigR>i,i＝1～k
上述公式中，
Figure GDA0003840273100000121
表示第i个安全通信标签的规划路径信息，S表示数据源端，D表示数据目的端，BG表示传输数据的边界节点；R1,R2,……,Rn表示传输数据的节点；sigR＝SIGN(LinkR||TS||PKS,sk0)表示标签签名，LinkR表示规划路径，TS表示最大时间戳，PKS表示数据源端用户公钥，sk0表示安全管控中心中私钥。例如：对应于图5中所示的规划路径，生成的安全通信标签的格式如图9所示；在该安全通信标签中，总跳数为5。该跳数为在通信网络中，定义数据源节点为跳数为0的节点，按照从数据源节点到数据目的端节点的规划路径中，每增加一个节点，节点的跳数就增加一跳。
步骤4.安全管控中心将k个标签经过第一边界节点转发返回至数据源端用户S，数据源端用户S使用PK0验证所有标签的标签签名sigR的合法性。
步骤5.源端用户S将待传输原始数据封装为基于安全通信标签的数据包。
源端用户S获取生成的k个安全标签之后对于每m/k个包，选取一个安全通信标签Labeli，利用安全通信标签、载荷数据以及用户私钥skS计算数据签名sigS，该数据签名sigS为：sigS＝SIGN(Labeli||Payload,skS)。
计算出数据签名后，将待传输原始数据封装为基于安全通信标签的数据包。基于安全通信标签的数据包帧格式中包含安全通信签名Labeli、载荷Payloadi、数据签名sigS以及哈希信息验证码HMAC。
步骤6.根据规划路径将基于安全通信标签的数据包传输到数据目的端节点D。
在本步骤中，数据传输过程中，各个路径节点分别采用安全通信标签的传输审计方法对数据进行审计和传输：
当该路径节点为边界节点或传输节点时，具体的审计与传输流程如图6所示；
当该路径节点为数据目的端节点时，具体的审计与传输流程如图7所示。
对于安全管控中心，在数据传输与审计流程中，安全管控中心用于接收节点上传的异常信息，并根据所接收的异常信息去更新用户的通信行为模型。其中，该更新用户的通信行为模型可以为：上次异常信息的节点存在多次的异常信息上次，建立规划路径时要去除该节点。
在上述基于安全通信标签的数据传输系统，执行数据传输的过程中，包括以下技术特征：
(1)安全通信标签的标签格式与相应的基于安全通信标签的数据结构；
(2)应用于通信系统中的传输审计方法。
采用上述的技术特征，可以实现以下的技术效果：
(1)数据包传输流转过得到控制。安全通信标签包含了网络对该数据包传输的规划路径，因此网络中的所有节点可以据此将数据包转发至规划路径中的下一节点，同时也可以据此来丢弃未按照规划路径传输的数据包；另外，帧结构中同时包含了对安全标签的签名信息，使得网络中的各节点可以校验签名的合法性，防止网络中的节点对规划路径信息的篡改；
(2)用户行为得到控制。安全通信标签生成需要校验用户的公钥以及通信行为模型的合法性；另外，在传输完成或者异常处理时，网络也会有效记录这一异常行为并更新用户的通信模型，从而保障了网络对用户的行为合法性的控制。
本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些组件或所有组件可以被实施为由处理器，如数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

Claims (9)

1.一种通信网络中的数据安全传输方法，其特征在于，所述方法包括：
接收待传输的数据，其中，该数据是基于安全通信标签的数据；所述安全通信标签是根据数据预先设置的规划路径生成的；
根据预先设定的审计方法对该基于安全通信标签的数据进行审计；
当审计通过时，如果本节点不是规划路径上最后一个路径节点则按照数据中的规划路径转发数据至下一个路径节点；
其中，所述安全通信标签中携带以下信息：总跳数、规划路径信息、最大时间戳信息、数据源端用户公钥和标签签名；
所述安全通信标签包括：
Labeli＝<LinkR,TS,PKS,sigR>i,i＝1～k
上述公式中，
Figure FDA0003871953260000011
表示第i个安全通信标签的规划路径信息，k表示规划路径的总数，S表示数据源端，D表示数据目的端，BG表示传输数据的边界节点；R1,R2,……,Rn表示数据传输节点；sigR＝SIGN(LinkR||TS||PKS,sk0)表示标签签名，标签签名是安全管控中心使用SIGN()签名算法，采用安全管控中心私钥sk0对(LinkR||TS||PKS)的签名；LinkR表示规划路径，TS表示最大时间戳，PKS表示数据源端用户公钥。
2.根据权利要求1所述的通信网络中的数据安全传输方法，其特征在于，所述规划路径根据以下方式确定：
数据源端发起传输数据的请求，该请求包括数据源端用户公钥；
安全管控中心根据该数据源端用户公钥、采用通信行为模型对该请求进行核验；
当核验通过后，根据该请求生成规划路径。
3.根据权利要求2所述的通信网络中的数据安全传输方法，其特征在于，所述基于安全通信标签的数据根据以下方式生成：
利用该安全通信标签将待传输数据进行封装，得到基于安全通信标签的数据。
4.根据权利要求3所述的通信网络中的数据安全传输方法，其特征在于，
所述基于安全通信标签的数据包括：安全通信标签、数据载荷、数据签名和哈希信息验证码。
5.根据权利要求4所述的通信网络中的数据安全传输方法，其特征在于，所述数据签名包括：数据载荷，数据源端用户私钥和安全通信标签。
6.根据权利要求5所述的通信网络中的数据安全传输方法，其特征在于，
所述根据预先设定的审计方法对该基于安全通信标签的数据进行审计，包括：
判断该数据传输的时间点是否满足安全通信标签中的最大时间戳的条件；
当满足最大时间戳的条件时，校验该安全通信标签中的标签签名是否合法，且，校验数据签名是否合法，且，判断当前节点是否在规划路径上。
7.根据权利要求6所述的通信网络中的数据安全传输方法，其特征在于，
所述根据预先设置的审计方法进行审计该基于安全通信标签的数据后，还包括：
当不满足最大时间戳的条件，或校验该安全通信标签中的标签签名不合法，或，校验数据签名不合法，或，判断当前节点不在规划路径上时，上报异常信息至安全管控中心。
8.一种通信网络的数据安全传输节点，所述节点包括通信接口、存储器和处理器；其特征在于，所述存储器用于保存进行数据安全传输处理的程序，所述处理器用于读取执行所述用于进行数据安全传输处理的程序，执行权利要求1-7任一项所述的方法；所述通信接口用于接收与发送数据，接收上一个节点发送的数据后，转发给处理器执行安全传输处理的程序；并将处理后的数据发送给下一节点。
9.一种通信网络的数据传输系统，其特征在于，该系统包括：数据源端、路径节点；该路径节点包括：第一边界节点、第二边界节点、多个如权利要求8所述的数据安全传输节点、数据目的端；其中，数据源端连接第一边界，数据目的端连接第二边界，第一边界节点和第二边界节点之间通过多个数据传输节点相连。
CN202110596594.7A 2021-05-28 2021-05-28 一种通信网络中的数据安全传输方法、节点和系统 Active CN113507434B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110596594.7A CN113507434B (zh) 2021-05-28 2021-05-28 一种通信网络中的数据安全传输方法、节点和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110596594.7A CN113507434B (zh) 2021-05-28 2021-05-28 一种通信网络中的数据安全传输方法、节点和系统

Publications (2)

Publication Number Publication Date
CN113507434A CN113507434A (zh) 2021-10-15
CN113507434B true CN113507434B (zh) 2022-11-29

Family

ID=78008911

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110596594.7A Active CN113507434B (zh) 2021-05-28 2021-05-28 一种通信网络中的数据安全传输方法、节点和系统

Country Status (1)

Country Link
CN (1) CN113507434B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116633698B (zh) * 2023-07-25 2023-10-31 中国电信股份有限公司 数据传输方法、装置、计算机设备、存储介质和程序产品
CN117978552A (zh) * 2024-03-29 2024-05-03 昆仑太科(北京)技术股份有限公司 一种面向广义确定性网络的业务流程安全保护系统及方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111556075A (zh) * 2020-05-14 2020-08-18 中国人民解放军国防科技大学 基于无交互密钥协商的数据传输路径还原方法及系统

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2013230989B2 (en) * 2012-03-07 2015-12-03 Google Technology Holdings LLC Policy for secure packet transmission using required node paths and cryptographic signatures
CN103701700B (zh) * 2013-12-24 2017-01-04 中国科学院信息工程研究所 一种通信网络中的节点发现方法及系统
US9641430B2 (en) * 2014-01-22 2017-05-02 Cisco Technology, Inc. Verifying data plane paths based on a validated secure control plane
CN108494555B (zh) * 2018-02-27 2024-05-24 洪贵顺 信息加密、解密方法及信息加密、解密设备
US10511590B1 (en) * 2018-10-23 2019-12-17 Cisco Technology, Inc. System and method of verifying network communication paths between applications and services
CN111585890B (zh) * 2020-04-10 2021-07-16 清华大学 基于SRv6的网络路径验证方法及系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111556075A (zh) * 2020-05-14 2020-08-18 中国人民解放军国防科技大学 基于无交互密钥协商的数据传输路径还原方法及系统

Also Published As

Publication number Publication date
CN113507434A (zh) 2021-10-15

Similar Documents

Publication Publication Date Title
Legner et al. {EPIC}: every packet is checked in the data plane of a {Path-Aware} Internet
CN113507434B (zh) 一种通信网络中的数据安全传输方法、节点和系统
US7886145B2 (en) Method and system for including security information with a packet
CN111585890B (zh) 基于SRv6的网络路径验证方法及系统
CN105847034B (zh) 源验证和路径认证方法及装置
US6425004B1 (en) Detecting and locating a misbehaving device in a network domain
EP2947845B1 (en) Border property validation for named data networks
JP4634503B2 (ja) マルチユニット発信時のメッセージのシーケンス番号チェック方法及びその装置、システム
US20060077908A1 (en) Method for generating and authenticating address automatically in IPv6-based internet and data structure thereof
US10560286B2 (en) Gateway device and control method for the same
US11677614B2 (en) Method and apparatus for protecting stateful service function paths
CN105009509A (zh) 在信息中心网络中通过信任锚点扩增基于名称/前缀的路由协议
CN102474724A (zh) 用于在无线网中安全地广播敏感数据的方法
US11362837B2 (en) Generating trustable RPL messages having root-signed rank values
US20190166042A1 (en) Method for data transmitting, centralized controller, forwarding plane device and communication apparatus
CN106612267B (zh) 一种验证方法及验证装置
WO2021213395A1 (zh) 随机认证嵌入的快速源和路径验证方法
CN113746788A (zh) 一种数据处理方法及装置
CN113329007B (zh) IPv6传输路径分段认证方法以及装置
CN111107085A (zh) 一种基于发布订阅模式的安全通讯方法
EP4342148A2 (en) Extending border gateway protocol (bgp) flowspec origination authorization using path attributes
CN109120419A (zh) 光网络单元onu版本的升级方法、装置及存储介质
Alston et al. Neutralizing interest flooding attacks in named data networks using cryptographic route tokens
CN108055285A (zh) 一种基于ospf路由协议的入侵防护方法和装置
CN114499920B (zh) 一种基于动态标签的源和路径验证机制

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant