DE102020204846A1 - Inhaltsablieferung auf namenraumrichtlinien-basis in informationszentrischen netzwerken - Google Patents

Inhaltsablieferung auf namenraumrichtlinien-basis in informationszentrischen netzwerken Download PDF

Info

Publication number
DE102020204846A1
DE102020204846A1 DE102020204846.0A DE102020204846A DE102020204846A1 DE 102020204846 A1 DE102020204846 A1 DE 102020204846A1 DE 102020204846 A DE102020204846 A DE 102020204846A DE 102020204846 A1 DE102020204846 A1 DE 102020204846A1
Authority
DE
Germany
Prior art keywords
node
key
content
icn
group
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102020204846.0A
Other languages
English (en)
Inventor
Ned M. Smith
Srikathyayani Srikanteswara
Rajesh Poornachandran
Ravikumar Balakrishnan
Moreno Ambrosin
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of DE102020204846A1 publication Critical patent/DE102020204846A1/de
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3255—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using group based signatures, e.g. ring or threshold signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/062—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying encryption of the keys

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

Es werden hier Systeme und Techniken zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken beschrieben. Es kann eine Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN) empfangen werden. Berechtigungsnachweise des Knotens können validiert werden. Der Knoten kann auf der Basis von Ergebnissen der Validierung beim ICN registriert werden. Eine Menge von dem Knoten zugeordneten Inhaltsposten kann beim ICN registriert werden. Es kann ein Interessepaket von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten empfangen werden, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst. Es kann Konformität des Sicherheitsniveaus des Knotens in dem Interessepaket-Sicherheitsniveau bestimmt werden. Der Inhaltsposten kann zu dem Konsumentenknoten gesendet werden.

Description

  • TECHNISCHES GEBIET
  • Hier beschriebene Ausführungsformen betreffen allgemein die informationszentrische Vernetzung und bei einigen Ausführungsformen spezieller Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Datennetzwerken.
  • STAND DER TECHNIK
  • Client-Datenverarbeitungsvorrichtungen können mit Datennetzwerken verbunden werden, um auf Daten zuzugreifen, die auf einer entfernten Datenverarbeitungsvorrichtung gespeichert sein können. Eine Anforderung von Daten kann eine Ansammlung von Routingvorrichtungen zwischen einer anfordernden Client-Datenverarbeitungsvorrichtung und der entfernten Datenverarbeitungsvorrichtung durchlaufen. Traditionell können die Daten angefordert werden, indem die entfernte Datenverarbeitungsvorrichtung durch einen Hostnamen identifiziert wird, der auf eine Netzwerkadresse aufgelöst werden kann. Die Anforderung kann dann über ihre Netzwerkadresse zu der entfernten Datenverarbeitungsvorrichtung gesendet werden.
  • Figurenliste
  • In den Zeichnungen, die nicht unbedingt maßstabsgetreu gezeichnet sind, können gleiche Bezugszahlen in verschiedenen Ansichten ähnliche Komponenten beschreiben. Gleiche Bezugszahlen mit verschiedenen angehängten Buchstaben können verschiedene Exemplare ähnlicher Komponenten repräsentieren. Die Zeichnungen zeigen allgemein als Beispiel, aber nicht zur Beschränkung, verschiedene in der vorliegenden Schrift besprochene Ausführungsformen.
    • 1 zeigt ein Beispiel für ein informationszentrisches Netzwerk (ICN) zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 2 zeigt ein ICN mit sicherheitsgekennzeichneten Datenposten zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 3 zeigt ein Beispiel für Registration bei einem ICN, das sicherheitsgekennzeichneten Inhalt für Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken durchsetzt, gemäß einer Ausführungsform.
    • 4 zeigt ein Beispiel für ICN-Weiterleitung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 5 zeigt ein Beispiel für modifiziertes ICN-Weiterleitung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 6 zeigt ein Beispiel für einen Gruppenbildungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 7 zeigt ein Beispiel für Interessenfilterung auf Gruppenbasis zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 8 zeigt ein Beispiel für ein System zur Verfolgung des Status kryptografischer Schlüssel zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 9 zeigt ein Beispiel für einen Schlüsselstatus-Änderungsbenachrichtigungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 10 ist ein Flussdiagramm eines Prozesses zur Schlüsseländerungs-Statusverfolgung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 11 ist ein Flussdiagramm eines Beispiels für einen Schlüsselstatusbenachrichtigungs- und -ausbreitungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 12 ist ein Flussdiagramm eines Beispiels für einen Prozess zur Benachrichtigung über Schlüsselstatusaktualisierung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 13 ist ein Flussdiagramm eines Beispiels für einen Prozess zum Pushen einer Schlüsselstatusaktualisierung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 14 zeigt ein Beispiel für ein System zur Schlüsselspeicherung und Nachweispublikation von Ansprüchen zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 15 zeigt ein Beispiel für einen attestierten Datenanforderungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 16 ist ein Flussdiagramm eines Beispiels für ein Verfahren zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform.
    • 17 ist eine Blockdarstellung eines Beispiels für eine Maschine, auf der eine oder mehrere Ausführungsformen implementiert werden können.
  • AUSFÜHRLICHE BESCHREIBUNG
  • Sicherer Inhalt auf mehreren Ebenen ist eine aufkommende Gelegenheit für informationszentrische Netzwerke (ICN). Ein Problem beim sicheren ICN-Routing auf mehreren Ebenen ist die Sicherstellung, dass Interesse- und Datenpaketinhalte Sicherheitskennzeichnung auf mehreren Ebenen umfassen, und wenn Routingknoten sichere Zugriffsemantik auf mehreren Ebenen enthalten, Sicherstellen, dass nicht autorisierte Routing- und Endpunktknoten weniger wahrscheinlich möglicher Verdeckungskanalanalyse und fehlgelenkten Paketen ausgesetzt sind.
  • Sicherheit auf mehreren Ebenen beruht auf Inhaltskennzeichnungen, die Datensensitivität und -klassifizierung identifizieren. Die hier besprochenen Systeme und Techniken stellen Inhaltskennzeichnungs-Metadaten bereit, die Routingrichtlinien bereitstellen, die Sicherheitsmodell zum Schutz von sensitiven Informationen durchsetzen. Die Lösung erlaubt das Spezifizieren eines Sicherheitsniveaus pro Paket, mit dem Paketzugriffsrichtlinien auf der Routingebene durchgesetzt werden können. ICN können leichter mit Informationssystemen integriert werden, die Mehrebenendaten erfordern, wie zum Beispiel Energie, Militär, Politik, kritische Infrastruktur, Finanzen usw.
  • Um Mehrebenen-Sicherheitskennzeichnung sicherzustellen, werden Interesse- und Datenpakete verwendet, die Metadatenkennzeichnungen enthalten, die ein Sicherheitsniveau des Pakets identifizieren. Mehrebenen-Sicherheit verwendet Inhaltskennzeichnungen zum Identifizieren und Klassifizieren von Inhalt, der für Konsumierung auf einem bestimmten Sicherheitsniveau (oder einem Bereich bestimmter Sicherheitsniveaus) bestimmt wird. Die Inhaltskennzeichnung ist abhängig von der Art des Sicherheitsmodells unterschiedlich. Nicht einschränkende Beispiele wären: 1) Ein Bell-LaPadula-Sicherheitsmodell, wobei Interesse- und Datenpakete Metadatenkennzeichnungen umfassen, die aus einer Klassifikation und Kategorie bestehen (z.B. SECRET:HR) und wobei Routingknoten Einträge der PIT (Anstehendes-Interesse-Tabelle) weiterleiten, wenn der Routingknoten autorisiert ist, mit dieser Klassifikation umzugehen. Router können dafür autorisiert werden, mit einem Bereich (aber nicht einem vollen Bereich) von Klassifikationskennzeichnungen umzugehen. 2) Ein Biba-Integritätsmodell, bei dem eine Integritätskennzeichnung sensitive Daten auf der Basis einer Qualitätsmetrik (z.B. „sauber“, „schmutzig“, „halbschmutzig“) identifiziert und sicherstellt, dass „schmutzige“ Daten nicht mit Knoten geteilt werden können, die für den Umgang mit „sauberen“ Daten autorisiert sind.
  • Die Kennzeichnungsautorisierung wird unter Verwendung von Zertifikaten erreicht, die Kennzeichnungsautorisierung, oder durch Verwendung von Gruppensigniermethoden, wobei die Inhaltskennzeichnung unter Verwendung eines Schlüssels signiert wird, der den Inhaltstyp repräsentiert. Zum Beispiel kann SchlüsselSTRENGGEHEIM für strenggeheimen Inhalt und SchlüsselNICHTGEHEIM für nicht geheimen Inhalt verwendet werden.
  • Routingknoten mit der Fähigkeit, die Kennzeichnungen zu konsumieren, verifizieren ihre Signaturen und wenden eine geeignete Routingrichtlinie an, die an der Sicherheitsrichtlinie ausgerichtet ist. Zum Beispiel werden beim Bell-LaPadula-Sicherheitsmodell NICHTGEHEIM-Knoten nicht dafür autorisiert, STRENGGEHEIM-Daten zu betrachten. Der Routingknoten, der STRENGGEHEIM-Interessepakete empfängt, würde deshalb diese Interessepakete nicht zu dem NICHTGEHEIM-Knoten weiterleiten. Beim Biba-Integritätsmodell sollte ein HOCH-Integritätsdatenposten nicht durch einen NIEDRIG-Integritätsdatenposten aktualisiert werden. NIEDRIG-Integritätsdatenpakete würden deshalb nicht an HOCH-Integritätsknoten abgeliefert.
  • 1 zeigt ein Beispiel für ein informationszentrisches Netzwerk (ICN) 100 zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. ICN arbeiten anders als traditionelle Kommunikationsnetzwerke auf Hostbasis (z.B. Adressenbasis). ICN ist ein umfassender Begriff für ein Vernetzungsparadigma, bei dem Informationen selbst vom Netzwerk benannt und angefordert werden, anstelle von Hosts (z.B. Maschinen, die Informationen bereitstellen). In einem Vernetzungsparadigma auf Hostbasis, so wie es etwa im Internetprotokoll (IP) verwendet wird, lokalisiert eine Vorrichtung einen Host und fordert Inhalt von dem Host an. Das Netzwerk weiß, wie Pakete auf der Basis der im Paket spezifizierten Adresse zu routen (z.B. zu lenken) sind. Im Gegensatz dazu umfasst das ICN keine Anforderung für eine bestimmte Maschine und verwendet keine Adressen. Um Inhalt zu erhalten, fordert stattdessen eine Vorrichtung 105 (z.B. Subskribent) benannten Inhalt vom Netzwerk selbst an. Die Inhaltsanforderung kann als ein Interesse bezeichnet werden und wird über ein Interessepaket 130 übertragen. Während das Interessepaket Netzwerkvorrichtungen (z.B. Netzwerkelemente, Router, Switches, Hubs usw.) - wie etwa die Netzwerkelemente 110, 115 und 120 - durchquert, wird eine Aufzeichnung des Interesses zum Beispiel in einer Anstehendes-Interesse-Tabelle (PIT) in jedem Netzwerkelement geführt. Somit unterhält das Netzwerkelement 110 in seiner PIT 135 einen Eintrag für das Interessepaket 130, das Netzwerkelement 115 unterhält den Eintrag in seiner PIT und das Netzwerkelement 120 unterhält den Eintrag in seiner PIT.
  • Wenn eine Vorrichtung, wie etwa der Publizierer 140, die über mit dem Namen in dem Interessepaket 130 übereinstimmenden Inhalt verfügt, angetroffen wird, kann diese Vorrichtung 140 als Reaktion auf das Interessepaket 130 ein Datenpaket 145 senden. Typischerweise wird das Datenpaket 145 durch das Netzwerk zur Quelle (z.B. Vorrichtung 105) zurückverfolgt, indem den Spuren des Interessepakets 130 gefolgt wird, die in den Netzwerkelement-PITs zurückgelassen werden. Somit stellt die PIT 135 in jedem Netzwerkelement eine Spur zurück zum Subskribenten 105 her, der das Datenpaket 145 folgen kann.
  • Das Abgleichen mit den benannten Daten in einem ICN kann mehreren Strategien folgen. Im Allgemeinen werden die Daten hierarchisch benannt, wie etwa mit einem URI (Universal Resource Identifier). Zum Beispiel kann ein Video als www.somedomain.com oder Videos oder v8675309 benannt werden. Die Hierarchie kann hier als der Publizierer „www.somedomain.com“, eine Subkategorie, „Videos“ und die kanonische Identifikation „v8675309“ angesehen werden. Während ein Interesse 130 das ICN durchquert, versuchen ICN-Netzwerkelemente im Allgemeinen, sich zu einem größten Grad mit dem Namen abzugleichen. Wenn also ein ICN-Element einen zwischengespeicherten Posten oder eine Route sowohl für „www.somedomain.com oder Videos“ als auch für „www.somedomain.com oder Videos oder v8675309“ aufweist, wird das ICN-Element mit Letzterem für ein Interessepaket 130 abgeglichen sein, das „www.somedomain.com oder Videos oder v8675309“ spezifiziert. In einem Beispiel kann ein Ausdruck beim Abgleichen durch die ICN-Vorrichtung verwendet werden. Zum Beispiel kann das Interessepaket „www.somedomain.com oder Videos oder v8675*“ spezifizieren, wobei „*“ eine Wildcard ist. Somit wird jeder zwischengespeicherte Posten oder jede Route, der bzw. die die Daten außer der Wildcard umfasst, abgeglichen.
  • Der Postenabgleich umfasst Abgleichen des Interesses 130 mit Daten, die in dem ICN-Element zwischengespeichert sind. Wenn also zum Beispiel die in dem Interesse 130 benannten Daten 145 in dem Netzwerkelement 115 zwischengespeichert sind, gibt das Netzwerkelement 115 die Daten 145 über das Netzwerkelement 110 an den Subskribenten 105 zurück. Wenn die Daten 145 jedoch nicht in dem Netzwerkelement 115 zwischengespeichert sind, routet das Netzwerkelement 115 das Interesse 130 weiter (z.B. zu dem Netzwerkelement 120). Um das Routing zu erleichtern, können die Netzwerkelemente eine Weiterleitungsinformationsbasis 125 (FIB) benutzen, um benannte Daten an eine Schnittstelle (z.B. einen physischen Port) für die Route anzupassen. Somit arbeitet die FIB 125 ähnlich wie eine Routingtabelle in einer traditionellen Netzwerkvorrichtung.
  • In einem Beispiel können zusätzliche Metadaten an das Interessepaket 130, die zwischengespeicherten Daten oder die Route (z.B. in der FIB 125) angebracht werden, um einen zusätzlichen Grad des Abgleichens bereitzustellen. Zum Beispiel kann der Datenname als „www.somedomain.com oder Videos oder v8675309“ spezifiziert werden, umfasst aber auch eine Versionsnummer - oder einen Zeitstempel, einen Zeitbereich, einen Nachtrag usw. In diesem Beispiel kann das Interessepaket 130 den gewünschten Namen, die Versionsnummer oder den Versionsbereich spezifizieren. Das Abgleichen kann dann Routen oder zwischengespeicherte Daten lokalisieren, die mit dem Namen übereinstimmen, und den zusätzlichen Vergleich von Metadaten oder dergleichen durchführen, um zu einer letztendlichen Entscheidung darüber zu kommen, ob Daten oder eine Route mit dem Interessepaket 130 übereinstimmen, um mit dem Datenpaket 145 auf das Interessepaket 130 zu antworten bzw. das Interessepaket 130 weiterzuleiten.
  • Das ICN hat gegenüber Vernetzung auf Hostbasis Vorteile, weil die Datensegmente individuell benannt werden. Dies ermöglicht aggressive Zwischenspeicherung im gesamten Netzwerk, da ein Netzwerkelement so leicht wie ein Originalautor 140 ein Datenpaket 130 als Reaktion auf ein Interesse 130 bereitstellen kann. Dementsprechend ist es weniger wahrscheinlich, dass dasselbe Segment des Netzwerks Duplikate derselben Daten, die von verschiedenen Vorrichtungen angefordert werden, sendet.
  • Feinkörnige Verschlüsselung ist ein weiteres Merkmal vieler ICN-Netzwerke. Ein typisches Datenpaket 145 umfasst einen Namen für die Daten, der mit dem Namen in dem Interessepaket 130 übereinstimmt. Ferner umfasst das Datenpaket 145 die angeforderten Daten und kann zusätzliche Informationen umfassen, um ähnlich benannte Daten zu filtern (z.B. nach Erzeugungszeit, Ablaufzeit, Version usw.). Um böswillige Entitäten anzugehen, die Falschinformationen unter demselben Namen bereitstellen, kann das Datenpaket 145 seine Inhalte auch mit einem Publiziererschlüssel verschlüsseln oder ein kryptografisches Hash der Daten und des Namens bereitstellen. Kenntnis des Schlüssels (z.B. aus einem Zertifikat eines erwarteten Publizierers 140) ermöglicht dem Empfänger somit, zu bestimmen, ob die Daten von diesem Publizierer 140 stammen. Diese Technik ermöglicht auch das aggressive Zwischenspeichern der Datenpakete 145 im gesamten Netzwerk, weil jedes Datenpaket 145 selbständig und sicher ist. Im Gegensatz dazu beruhen viele Netzwerke auf Hostbasis auf Verschlüsselung einer Verbindung zwischen zwei Hosts zur Sicherung der Kommunikation. Dies kann Latenzen vergrößern, während Verbindungen hergestellt werden, und verhindert Datenzwischenspeicherung durch Verbergen der Daten von den Netzwerkelementen.
  • Informationszentrische Vernetzung (ICN) ist eine Vernetzungsplattform, die zur Inhaltsablieferung von einem hostzentrischen Inhaltsablieferungsmodell zu einem informationszentrischen Modell übergeht. Die Konnektivität von Ende zu Ende moderner Computernetzwerke erlaubt Ablieferung von Informationen, die unabhängig von Ort, Anwendung, Speicherung und Transportmitteln ist. Inhalt wird durch eine Konsumentenvorrichtung angefordert, indem ein Interessepaket eingereicht wird, das die benötigten Informationen (z.B. einen Namen, eine Kennung, eine Kategorie usw.) zum Abrufen von Inhalt bereitstellt. Als Reaktion gibt ein den Inhalt enthaltender Knoten (z.B. ein Produzentenknoten, Cache-Knoten usw.) ein den Inhalt enthaltendes Datenpaket zurück. Dies verringert die Abhängigkeit von spezifischen Hosts zum Bereitstellen von Inhalt für einen Anforderer und erlaubt das Ausbreiten von Daten im ganzen ICN an Knoten, die den Inhalt am effizientesten an Konsumentenknoten abliefern können. ICN kann NDN-Technologie (Named Data Networking) ermöglichen.
  • NDN, so wie sie in dem technischen NDN-Bericht DND-0001 spezifiziert wird, ist eine Vernetzungsarchitektur, die Übermittlungen durch benannte gesicherte Daten in der Vermittlungsschicht ermöglicht. Durch Ausrichten der Netzwerkdienste an Anwendungsbedürfnissen kann NDN gegenüber Host-zentrischen Netzwerken Vorteile bieten, wie zum Beispiel bessere Sicherheit und Vertrauenswürdigkeit, verbesserte Netzwerkbenutzbarkeit, verbesserte Skalierbarkeit und erhöhte Robustheit bei der Netzwerkkommunikation. NDN eignet sich besonders für aufkommende Netzwerkumgebungen wie Edge-Datenverarbeitung, das Internet der Dinge (IoT) und andere datenintensive verteilte Netzwerke.
  • Andere beispielhafte ICN-Netzwerke umfassen CCN (Content Centric Networking) - wie spezifiziert in den Entwurfsspezifikationen der IETF (Internet Engineering Task Force) für CCNx 0.x und CCN 1.x; DONA (Data-Oriented Network Architecture) - wie präsentiert auf der Konferenz für Anwendungen, Technologien, Architekturen und Protokolle für Computerkommunikation der SIGCOMM (Special Interest Group on Data Communications) der ACM (Association for Computing Machinery's) von 2007; NFN (Named Functions Networking); 4WARD; COAST (Content Aware Searching, Retrieval and Streaming); COMBO (Convergence of Fixed and Mobile Broadband Access/Aggregation Networks); COMET (Content Mediator Architecture for Content-Aware Networks); CONVERGENCE; GreenICN; NetInf (Network of Information); POINT (IP Over ICN); PSIRP (Publish-Subscribe Internet Routing Paradigm); PURSUIT (Publish Subscribe Internet Technology); SAIL (Scalable and Adaptive Internet Solutions); UMOBILE (Universal, Mobile-Centric and Opportunistic Communications Architecture); und andere.
  • 2 zeigt ein ICN 200 mit sicherheitsgekennzeichneten Datenposten zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Zum Beispiel besitzt ein Knoten N1 205 einen Datenposten D1 mit der Kennzeichnung L1[C1,C2], wobei L1 ein Sicherheitsniveau ist und C1, C2 Kategorien sind. Kategorien können als Gruppen betrachtet werden.
  • Verschiedene Datenposten können verschiedene Sicherheitskennzeichnungen aufweisen. Der Routingknoten R1 210 und der Routingknoten R2 215 umfassen Sicherheitskennzeichnung in der Routingtabelle und in den Caches. Routinglogik erlaubt den Ausdruck von Interesse an Daten auf Basis des Datennamens, aber auch im Hinblick auf Kennzeichnungsnamen (z.B. Niveau und Kategorie).
  • 3 zeigt ein Beispiel für Registration bei einem ICN 300, das sicherheitsgekennzeichneten Inhalt für Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken durchsetzt, gemäß einer Ausführungsform. 3 zeigt Knoten (z.B. den Knoten N1 305, den Knoten N2 310 und den Knoten N3 315) und Router (z.B. den Router R1 320 und den Router R2 325), die sich dafür registrieren, am ICN 300 teilzunehmen. Registration umfasst, dass jeder Knoten Berechtigungsnachweise bereitstellt, die die Sicherheitsniveaus und Kategorien zeigen, mit deren Umgang jeder autorisiert ist. In diesem Beispiel wirkt der Router R1 320 als eine Registrationsautorität, aber jeder Knoten könnte diese Rolle erfüllen. Die Registrationsautorität definiert die Sicherheitskennzeichnung (z.B. Niveaus, Kategorien usw.) gemäß dem Anwendungskontext. Dieses Beispiel zeigt drei Niveaus der Sensitivität und drei Kategorien (z.B. HR, MFG und BUCHHALTUNG). Durch Knoten gehaltener Inhalt wird auch registriert, so dass er in Routingtabellen und Caches enthalten sein kann.
  • Router können Sicherheitsdurchsetzungsrichtlinien implementieren, die an wohlbekannten Sicherheitsmodellen ausgerichtet sind, um Pflicht-Zugangskontrolle über das ICN 300 zu implementieren. Zum Beispiel kann Knoten N3 315 für L1, aber nicht L3, autorisiert sein und zeigt Interesse an L1. Router R2 325 kann über einem Interessepaket von Knoten N3 315, das den Sicherheitsniveaubereich (L1 - L2) und autorisierte Kategorien (C1 - C3) enthält, eine Signatur verifizieren. Wenn Knoten N3 315 Interesse an L3-Inhalt in Knoten N1 305 zeigt, würde der Router die Weiterleitung des Interessepakets verweigern, weil Knoten N3 315 nicht dafür autorisiert ist, irgendwelchen Inhalt zu betrachten, der höher als L2 (GEHEIM) ist.
  • In einem anderen Beispiel kann Knoten N3 315 dafür autorisiert sein, Daten von Knoten N1 305 zu lesen. Der Knoten N1 305 kann die Datennutzinformationen unter Verwendung eines öffentlichen Schlüssels von Knoten N3 315 verschlüsseln (nur N3 kann entschlüsseln) und das Paket mit einem privaten Schlüssel von Knoten N1 305 signieren, so dass Knoten N3 315 es authentifizieren kann. Die zugeordnete Sicherheitskennzeichnung sollte auch in dem Datenpaket enthalten sein, sollte aber unverschlüsselt bleiben, so dass Routingknoten verifizieren können, dass Knoten N3 315 dafür autorisiert ist, Inhalt zu lesen, der diese Sicherheitskennzeichnung aufweist.
  • Es können andere Sicherheitsrichtlinien implementiert werden. Da eine Sicherheitsrichtlinie durch Routingknoten angewandt wird, werden sie zu den vertrauenswürdigsten Durchsetzungspunkten für das System. Routingknoten können Autorisierung im vollen Bereich von Sicherheitskennzeichnung erfordern. Es ist jedoch möglich, dass Routingknoten dafür autorisiert sind, an einer Teilmenge von Sicherheitskennzeichnungen zu operieren. In diesem Szenario kann, wenn der Router nicht dafür autorisiert ist, das Interessepaket zu verarbeiten, es ein anderer Router aber ist, der erste Router eine Umlenkungsnachricht liefern, die den Knoten anweist, wie der andere Router auszuwählen ist. Zum Beispiel kann eine Umlenkungsnachricht den Sicherheitskennzeichnungsbereich enthalten, für den der Zielrouter autorisiert ist, und der Knoten kann sein aktuelles Sicherheitsniveau auf ein Niveau ändern, das sich mit dem Bereich des anderen Routers überlappt.
  • Das Autorisierungs-/Zugangsniveau jedes Routers wird durch den Systemadministrator zugewiesen. Bei einer beispielhaften Ausführungsform sollten Router mit stärkeren Sicherheitsfähigkeiten (die z.B. mit einer vertrauenswürdigen Ausführungsumgebung ausgestattet sind) einem höheren Sicherheitsniveau zugewiesen werden.
  • In einem Beispiel können Sicherheitskennzeichnungen unter Verwendung von EPID-Schlüsseln (Enhanced Privacy Identification) implementiert werden, wobei jedes Sicherheitsniveau und jede Kategorie eine andere EPID-Gruppe aufweist. Daten können mit jedem Kategorieschlüssel, der für den Datenposten gilt, signiert (oder gegensigniert) werden. Daten können gemäß der Kategorie oder den Kategorien fragmentiert werden, die jedes Fragment betrifft. Der Datenposten (oder das Fragment), der auf einem bestimmten Sicherheitsniveau existiert, kann durch den EPID-Schlüssel, der diesem Niveau entspricht, gegensigniert werden. Durch diesen Ansatz wird das explizite Identifizieren von Knoten unter Verwendung eines Knotenschlüssels, der Knotenautorisierungen enthält, überflüssig. Routingknoten müssen nur EPID-Schlüssel verwenden, um die Sicherheitsrichtlinie effektiv durchzusetzen.
  • Namenräume von benannten Datennetzwerken (NDN) verwenden EPID-/Direkt-Anonym-Attestierungs- bzw. DAA-Gruppensignierung, um eine namenraumzentrische Signatur auf NDN-Interesse- und -Datenpakete anzuwenden, wodurch Router, Produzenten und Konsumenten in einem gemeinsamen Namenraum „lokalem“ Inhalt als Strategie für verbesserte Dienstgüte (QoS) Priorität geben können.
  • Ein Problem beim ICN-Routing ist zu wissen, wann und wie „lokalem“ gegenüber „fernem“ Inhalt Vorzug zu geben ist, wobei sich lokal auf eine Interessegruppe bezieht, statt eine physische Nähe oder Netzwerktopologie. Traditionelle ICN-Routingknoten verwenden physische Nähe (4G/5G-KOnnektivitätsentfernung) oder Netzwerktopologie als Mittel, um Routingknoten darüber zu informieren, welche Pakete zu priorisieren sind, wenn bezüglich Verfügbarkeit optimiert wird, während Netzwerkressourcen gesättigt werden. Dieser Ansatz skaliert sich jedoch nicht gut, wenn eine Interessegruppe (z.B. Vogelbeobachtungs-Liebhaber) Priorität gegeben wird. Routingknoten sind ferner anfälliger für gefälschte Paketheader, die verschiedene Etikettierungs- oder Inhaltskennzeichnungsmethoden verwenden können, um Routingknoten zu informieren, wobei aber Nutzinformationen für andere Zwecke verwendet werden.
  • 4 zeigt ein Beispiel für ICN-Weiterleitung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. 4 zeigt ein beispielhaftes ICN 400, wobei der Knoten N3 415 ein Interessepaket zu Knoten N1 405 und Knoten N2 410 sendet, um ein Interesse an Datenposten D2 und D3 zu zeigen.
  • Die hier besprochenen Systeme und Techniken verwenden Gruppensemantik, die kryptografisch gekennzeichnete Interessepakete und Datenpakete erlauben, die von Gruppenmitgliedern stammen. Dieser Ansatz ermöglicht (1) einem beliebigen Knoten im Netzwerk, die Authentizität eines Pakets als mit Ursprung in einem (legitimen) Gruppenmitglied zu verifizieren; (2) Interessepakete auf Gruppenbasis; und (3) netzwerkinterne Filterung (z.B. Filterung von nichtlegitimen Anforderungen eines Inhalts, der nur bestimmte Gruppenmitglieder enthält, die zur Anforderung berechtigt sind).
  • Sensitiver Inhalt, der zu einer Gruppe, einer Organisation oder einem System gehört, kann von anderen Inhalt unterschieden werden, der nicht zu der Gruppe gehört, und Interaktionen des ICN 400 können auf autorisierte Mitglieder beschränkt werden. Dadurch kann das ICN 400 von autorisierten Mitgliedern für hochwertigen Inhalt verwendet werden, wie etwa Inhalt, der nicht für öffentliche Offenbarung geeignet ist.
  • Eine Gruppensigniermethode wird verwendet, um einen Gruppenschlüssel (z.B. EPID, DAA usw.) zu erzeugen, der von Mitgliedern einer Gruppe verwendet wird, um Interesse- und Datenpakete zu signieren, und kann eindeutig als von Mitgliedern der Gruppe identifiziert werden. Insbesondere kann jedes Mitglied Nutzinformationen des ICN 400 signieren, so dass jedes Gruppenmitglied oder Nicht-Gruppenmitglied (einschließlich Routingknoten) die Signatur als Mittel zum Erkennen des Interessegruppeninhalts des ICN 400 verifizieren kann. Signierte Interesse- und Datenpakete des ICN 400 können leicht identifiziert und für die Interessegruppe authentifiziert werden. Routingknoten können vor dem Routing, Zwischenspeichern oder Geben von Vorzug für Teilnehmerknoten für den gegebenen Namenraum/die gegebene Interessegruppe Verifizieren/Authentifizieren, dass das Paket aus dem Interessegruppen-Namenraum stammt.
  • Eine alternative Gruppenschlüssel-Erzeugungsmethode kann den Richtlinien der DICE-Spezifikation (Device Identity Composition Engine) von der TRUSTED COMPUTING GROUP® (TCG) zum Seeding der Erzeugung asymmetrischer Schlüssel unter Verwendung eines bekannten Seed-Werts folgen. Kennzeichnungen und Ansprüche (L1, C1, ... Cn) des ICN 400 usw. können verwendet werden, um einen Hash-Wert zu erzeugen, mit dem ein gruppenspezifisches Seed erzeugt werden kann, das ferner zur Erzeugung des Gruppeninhaltsschlüssels verwendet wird.
  • Ein zweiter UDS-Wert (Unique Device Secret) kann innerhalb einer Gruppe von Knoten verwendet werden, die vereinbaren, an der Gruppe teilzunehmen, wobei der UDS-Wert so hergestellt wird, dass er unter den Gruppenmitgliedern gemeinsam ist. Zum Beispiel könnte der Gruppen-UDS-Wert in Flash-Speicher oder in Schmelzverbindungen eingebrannt werden.
  • 5 zeigt ein Beispiel für modifiziertes ICN-Weiterleitung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. 5 zeigt ein ICN 500, wobei Datenposten gemäß einer Gruppierungssemantik gruppiert werden, die definiert wird, wenn die Gruppe gebildet wird. Einzelne Datenposten des ICN 500 können in die Gruppierungssemantik passen (oder auch nicht). Wenn ja, wird der Gruppenname mit dem Datenpostenamen assoziiert (z.B. vorangestellt usw.) (z.B. G1:D2). Außerdem werden Routen zu Semantik der Gruppe G1 erfüllenden Datenposten zu Routingtabellen und Datenposten-Caches hinzugefügt. Der Knoten N3 315 kann an allem, das die G1-Gruppierungssemantik erfüllt, Interesse zeigen, indem er den Gruppennamen G1 im Interessepaket angibt. Der Router R2 525 identifiziert den Knoten N2 510 als einen G1-relevanten Inhalt enthaltenden und den Router R1 520 als über andere Knoten mit G1-relvantem Inhalt wissend. Der Router R1 520 empfängt ein weitergeleitetes Interessepaket für Knoten N3 515 und bestimmt, dass der Knoten N1 505 auch über G1-relevante Datenposten (z.B. D2) verfügt.
  • 6 zeigt ein Beispiel für einen Gruppenbildungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. 3 zeigt ein Verfahren zur Bildung einer Gruppe über einem ICN 600. In diesem Beispiel wird der Router R1 620 als der Gruppenmanager nominiert. Jeder Knoten könnte ein Gruppenmanager sein. Knoten können Gruppenmanager auch durch Zeigen von Interesse an Gruppenverwaltungsinhalt finden. Der Gruppenmanager (z.B. Router R1 620) bildet eine Gruppe durch Erzeugen eines Gruppennamens (G1), der Gruppensemantik definiert (z.B. Inhalt in Bezug auf Vögel usw.). Er erzeugt Token-Werte, die ein Gruppenanschlussprotokoll (z.B. EPID, DAA usw.) ermöglicht. Knoten (z.B. Knoten N1 605, Knoten N2 610 und Knoten N3 615) und Router (z.B. Router R1 620 und Router R2 625) schließen sich der Gruppe an, indem sie das Anschlussprotokoll abschließen, das zu der Erzeugung eines privaten Gruppenschlüssels (skG1,x ) führt, der für jeden Knoten oder Router X einzigartig ist. Der öffentliche Gruppenschlüssel pkG1 wird in einem öffentlichen Datenrepositorium/Cache abgelegt, wodurch er sowohl Gruppenmitgliedern als auch Nicht-Gruppenmitgliedern verfügbar wird.
  • Nachdem er sich einer Gruppe anschließt, kann ein Knoten Interesse für durch Gruppenmitglieder publizierten Inhalt ausdrücken. Beispielsweise kann der Knoten N3 615 ein Interessepaket für in der Gruppe G1 publizierten Inhalt ausgeben, indem er das Interessepaket unter Verwendung seines privaten Schlüssels skG1,N3 signiert. Das Interessepaket empfangende Router können seine Signatur verifizieren, wodurch der Knoten N3 615 für das Empfangen von Inhalt das Mitglied der Gruppe G1 autorisiert wird. Die Routingrichtlinie ist für einen Netzwerkeigentümer spezifisch. Zum Beispiel könnte ein anderer Netzwerkeigentümer eine Richtlinie aufweisen, die Routingknoten dafür autorisiert, es Nicht-Gruppenmitgliedern zu erlauben, Interesse an durch Mitglieder von G1 publizierten Inhalten zu zeigen. Dadurch können die Nicht-Gruppenmitglieder anonym Interesse zeigen. Der Router R1 620 kann erfordern, dass der Router R2 625 ein Mitglied von G1 ist, bevor der Interessepakete (anonym oder authentifiziert) weiterleitet. Router können Interessepakete unter der Bedingung abliefern, dass Knoten N1 805 und Knoten N2 810 Mitglieder von G1 sind. Dies lässt sich erreichen, indem von Knoten erfordert wird, unter Verwendung von G1-PrivSchlüssel zu signieren, wenn Inhalt bei einem Router registriert wird, bevor er in eine Routingtabelle oder einen Cache aufgenommen wird. Knoten können von Routingknoten erfordern, auch Gruppenmitglieder zu sein, indem vor Annahme geprüft wird, dass die Interesse- oder Datenpakete eine Gruppensignatur aufweisen. Dadurch wird sichergestellt, dass Knoten nicht für Attacken am Routing-Koppelfeld anfällig sind, deren Absicht sein kann, Seitenkanäle herzustellen, die sensitive Informationen über den Zustand eines Knotens oder Betriebsmuster des Knotens enthüllen können oder potentiell bewirken, dass der Knoten einer unautorisierten Entität sensitive Datenposten offenbart.
  • 7 zeigt ein Beispiel für Interessenfilterung auf Gruppenbasis zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. 7 zeigt ein Szenario, wobei Interessefilterung auf Gruppenbasis durch einen Router durchgesetzt wird. Ein Knoten N4 710 kann Datenposten besitzen, die zur Gruppe G2 gehören, und ein Knoten N3 705 kann ein Interessepaket für G2 ausgeben. Da der Knoten N3 705 sich jedoch nicht als Mitglied von G2 authentifizieren kann und der Router R2 715 eine Richtlinie hat, Interessepakete nur dann an Knoten abzuliefern, wenn sie auch ein Mitglied der Gruppe sind, blockiert der Router R2 715 das Interessepaket vom Knoten N3 705. Andere Richtlinien können andere Regeln zum Teilen von gruppenaffiliiertem Inhalt mit Nicht-Gruppenmitgliedern verwenden. Sowohl Router als auch Knoten können Gruppenrichtlinien durchsetzen, um die Ziele des Netzwerkeigentümers für Inhaltskontrolle zu erreichen.
  • Gruppenschlüssel können für vielfältige Zwecke erzeugt werden, zusätzlich zu dem oben beschriebenen Benutzungsfall. Zu einigen dieser gehören die folgenden nicht einschränkenden Beispiele:
  • 1) Gruppierung von Daten auf Inhaltsbasis - In einem auf Inhalt basierenden System werden Nachrichten nur dann an einen Teilnehmer abgeliefert, wenn die Attribute oder der Inhalt dieser Nachrichten mit durch den Teilnehmer definierten Beschränkungen übereinstimmt. Der Teilnehmer ist für das Klassifizieren der Nachrichten verantwortlich. Unter Verwendung von Inhalts-Gruppenschlüsseln wird der Bereich zulässiger Inhaltsbeschränkungsattribute über den Gruppenschlüssel definiert. Teilnehmer spezifizieren Attribute als Teilmenge des zulässigen Bereichs. Wenn ein Attribut außerhalb des zulässigen Bereichs liegt, kann der Publizierer die Verarbeitung einer Anforderung verweigern. Routingknoten optimieren die Netzwerkleistungsfähigkeit durch Verweigerung der Ablieferung von Interessepaketen die außerhalb des Bereichs liegen.
  • 2) Gruppierung von Daten auf Themenbasis - In einem auf Themen basierenden System werden Nachrichten in „Themen“ oder benannten logischen Kanälen publiziert. Teilnehmer in einem auf Themen basierenden System erhalten alle für die Themen, für die sie subskribieren, publizierte Nachrichten, und alle Teilnehmer eines Themas erhalten dieselben Nachrichten. Der Publizierer ist für das Definieren der Klassen von Nachrichten, die Teilnehmer subskribieren können, verantwortlich. Unter Verwendung von Gruppenschlüsseln kooperiert der Publizierer mit dem Gruppenanführer zur Erzeugung von Gruppenschlüsseln, die Themen entsprechen. Interesse- und Datenpakete können unter Verwendung des Gruppenschlüssels signiert werden, und Router und Endknoten können Themensignaturen verifizieren, bevor sie die Publizier-/Subskribierfunktion verarbeiten. Routingknoten können Themensignaturprüfung an Interessepaketen durchführen, um die Netzwerkleistungsfähigkeit zu optimieren.
  • 3) Operationale/auf Rollen basierende Gruppierung - ICN haben mehrere definierte Rollen, wie etwa Router, Produzent, Konsument, Inhaltsspeicher, Inhalts-Cache usw. Gruppenschlüssel können entsprechend jeder Rolle erzeugt werden, wobei es nur der diese Rolle besitzenden Entität erlaubt ist, die Rolle auszuführen. Zum Beispiel kann ein Routingknoten dafür autorisiert werden, Inhalt zu routen, aber nicht zwischenzuspeichern. Daher wäre er ein Mitglied der Gruppe „Routing“ und nicht der Gruppe „Routing + Inhaltszwischenspeicherung“. Jeder Knoten im ICN kann Rollensignaturen verifizieren, um zu bestimmen, wann eine ICN-Entität dafür autorisiert ist, die zugewiesene Rolle auszuführen.
  • 4) Gruppierung auf QoS/Prioritätsbasis - ICN-Dienstgüte (QoS) kann ein Wert sein, der Interesse- und Datenpaket-Parameterabschnitten zugewiesen wird, die sich normalerweise unter der Kontrolle der Routing-Infrastruktur befinden. Endpunktkonsumenten und -produzenten müssen jedoch Autorisierung festlegen, um auf höheren QoS-Ebenen zu operieren - dies wird typischerweise unter Verwendung eines SLA-Vertrags (Dienstniveauvereinbarung) erreicht, die Endpunktauthentifizierung an Edge-Routern erfordert. Unter Verwendung von Gruppenschlüsseln autorisiert der DLA-Vertrag Zugriff auf QoS-Ebenen-Gruppenschlüssel. Produzenten- und Konsumentenknoten authentifizieren bei einem Gruppenanführer, der unter Verwendung der SLA die QoS-Niveaus definiert, um Autorisierung auf einem bestimmten QoS-Niveau zu beweisen, und erhält einen entsprechenden QoS-Gruppenschlüssel. Konsumentenknoten signieren Interessepakete mit QoS-Niveau-Schlüssel, der durch Routingknoten verifiziert wird, die auf dem QoS-Niveau routen. Produzentenknoten signieren ähnlich Inhaltspakete und können Konsumenten-QoS-Signaturen gegensignieren, so dass Inhaltspakete auf der Basis einer Kombination von Produzenten- und Konsumenten-QoS-Autorisierungen auf dem entsprechenden QoS-Niveau verarbeitet werden.
  • Sichere ICN hängen davon ab, dass ICN-Endpunkte und Routingknoten inhaltsspezifische oder namenraumspezifische kryptografische Schlüssel aufweisen. Schlüssel können jedoch kompromittiert werden, sich abnutzen oder ablaufen, was zu verschiedenen ICN-Ausfällen und -ineffizienten führt. Folglich muss das ICN Schlüssellebenszyklen proaktiv verwalten, um bereiten/rechtzeitigen Zugriff auf erwartete ICN-Funktionalität sicherzustellen.
  • Traditionelle Ansätze zur Schlüsselverwaltung umfassend 1) eine öffentliche Schlüsselinfrastruktur (PKI), die Zertifikate und Zertifikatwiderruf definiert, wobei ein Verifizierer eine Zertifikatwiderrufliste prüfen kann, um zu bestimmen, ob das Zertifikat widerrufen ist; 2) Kerberos ist ein symmetrisches Schlüsselverwaltungssystem, das Tickets ausgibt, die ein Ablaufdatum enthalten. Wenn das Ablaufdatum kurz ist (1 Tag), läuft das Ticket ab, bevor Widerruf notwendig ist; 3) die OAuth2-Familie von Autorisierungsdiensten gibt Token aus, die abhängig davon, ob ein Benutzer sich vor kurzem beim Authentifizierungsserver authentifiziert hat oder nicht, gültige Attribute beschreibt. Die oben beschriebenen Ansätze können von einem ICN zum Signieren von ICN-Paketen verwendet werden. Der Betrieb dieser Sicherheitsdienste ist jedoch außerhalb der ICN-Infrastruktur.
  • Jeder der traditionellen Ansätze zur Schlüsselverwaltung hat bei Anwendung auf das ICN Unzulänglichkeiten. PKI-Widerruf hängt davon ab, dass alle Knoten in der Lage sind, über aktuelle Widerruflisten zu verfügen, oder hängt von einem zentralen Widerrufdienst ab, der aktuellen Widerrufzustand unterhält. Dieser Ansatz skaliert sich nicht mit ICN-Netzwerken. Zertifikat-Widerrufsemantik gilt für Zertifikate und nicht Schlüssel. Es ist möglich, dass ein Schlüssel mehrere Zertifikate aufweist. Widerruf eines Zertifikats widerruft nicht die anderen Zertifikate. Kerberos-Tickets nehmen an, dass Schlüssel schnell verfallen, was Neuaushandlung und Neuteilen von Schlüsseln erfordert, was sich mit ICN-Netzwerken, die aus Millionen von Knoten bestehen, die über große geografische Distanzen reichen, nicht skaliert. OAuth2-Token werden zentral ausgegeben und können Verwendung kryptografischer Schlüssel, die Daten schützen, nicht erfordern. ICN-Netzwerke konzentrieren sich auf Inhaltsschutz, im Gegensatz zu Tokens, die sich auf Benutzerauthentifizierung konzentrieren.
  • Die Verwendung des ICN kann die effizienteste Weise zur Verwaltung von Schlüsselstatusinformationen sein. Existierende ICN arbeiten nicht innerhalb der ICN-Infrastruktur zur Implementierung des Schlüsselstatus. Schlüsselstatusinformationen für einen Schlüssel (asymmetrisch, symmetrisch) werden in einer Schlüsselstatusdatei unterhalten, die unter Verwendung der Schlüsselkennung benannt wird. Verifizierer zeigen Interesse an der SchlüsselID, um Schlüsselstatusdateien zu finden. Das ICN dient zum Abliefern des aktuellsten Widerruf-Lösch- und Eigentümerschaftsstatus - was auf Zwischenspeicherungsoptimierung, Teilen und Ausbreitungsalgorithmen beruht, die ICN gemeinsam sind. Der Schlüsselstatus ist allgegenwärtig und aktuell.
  • Die hier besprochenen Systeme und Techniken führen den kryptografischen Schlüsselstatus in die ICN-Infrastruktur ein. Beim ICN kann eine Statusänderung resultieren, wenn ein Knoten bestimmt, dass ein Schlüssel kompromittiert wurde, abgelaufen ist oder von einem anderen Schlüssel abgelöst wird. Produzenten und Konsumenten etablieren Interesse an Peer-Schlüsseln als Folge des Findens von Interesse an geteilten Daten. Dieses Interesse kann Interesse an Schlüsselstatus auslösen, was dazu führt, dass Knoten und das NDN-Netzwerk einen Aspekt von Schlüsselstatusverwaltung ausführen. Der Schlüsselstatus dient zur Angabe von Widerruf oder Löschung und Publizierung in eine benannte Domäne.
  • 8 zeigt ein Beispiel für ein System zur Verfolgung des Status kryptografischer Schlüssel zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein Endpunktknoten 805 kann eine SchlüsselID (z.B. in einem Interessepaket usw.) zu einem ersten ICN-Routingknoten 810 senden, der eine Schlüsselstatus-Routerrolle umfasst. Der erste ICN-Routingknoten 810 kann den Schlüsselstatus der SchlüsselID aus seinen Schlüsselstatus-Cache prüfen und den Schlüsselstatus verifizieren oder aktualisieren und den Status zu einem zweiten ICN-Routingknoten 815 weiterleiten, der die Schlüsselstatus-Routerrolle umfasst. Der zweite ICN-Routingknoten 815 kann den Schlüsselstatus der SchlüsselID aus einem Schlüsselstatus-Cache prüfen und kann den Schlüsselstatus verifizieren oder aktualisieren und den Status zu einer Schlüsselstatus-Blockkette oder einem Logging-Dienst 820 weiterleiten. Die Schlüsselstatus-Blockkette oder der Logging-Dienst 820 können Schlüsselstatusse in einem warmen Cache für den zweiten ICN-Routingknoten 815 bereitstellen, der seinerseits den warmen Cache für den ersten ICN-Routingknoten 810 zur Speicherung in seinem jeweiligen Schlüsselstatus-Cache bereitstellen kann. Dem Endpunktknoten 805 wird dann eine Bestätigung bereitgestellt.
  • 9 zeigt ein Beispiel für einen Schlüsselstatus-Änderungsbenachrichtigungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein ICN-Endpunktknoten 905 kann Schlüsselstatus-Interessen zu einem Router 910 senden, der eine Schlüsselstatus-Routerrolle umfasst. Der ICN-Endpunkt meldet auch Schlüsselstatusänderungen an eine Schlüsselstatus-Blockkette oder einen Logging-Dienst 920. Die Schlüsselstatus-Blockkette oder der Logging-Dienst 920 kann den Schlüsselstatus-Fortschritt unter Bereitstellung eines Verlaufs des vorherigen Schlüsselstatus, des aktuellen Status und eines beliebigen nächsten Status verfolgen. Die Schlüsselstatus-Blockkette oder der Logging-Dienst 920 kann Schlüsselstatusänderungen zu einer Statusänderungs-Überwachungsvorrichtung 925 des Routers 910 senden. Die Statusüberwachungsvorrichtung kann dann Cache-Einträge für den Schlüssel in einen (nicht gezeigten) Schlüsselstatus-Cache des Routers 910 aktualisieren. Der Router 910 kann dann einen Benachrichtiger 915 verwenden, um Schlüsselstatus-Aktualisierungen zu anderen Knoten, Routern usw. zu senden. Zum Beispiel kann eine Schlüsselstatusaktualisierung von dem Router 910 zu dem ICN-Endpunktnoten 905 gesendet werden. In einem Beispiel kann die Schlüsselstatusaktualisierung als Bestätigung für den ICN-Endpunktknoten 905 zum Verifizieren eines zu dem Router 910 gesendeten Schlüsselstatusinteresses wirken. In einem anderen Beispiel kann der Router 910 die Schlüsselstatus-Aktualisierungen zu einem (nicht gezeigten) anderen Router senden, um einen Schlüsselstatus-Cache des anderen Routers zu aktualisieren, wodurch sich die Schlüsselstatus-Aktualisierungen durch das ICN verbreiten können.
  • 10 ist ein Flussdiagramm eines Prozesses zur Schlüsseländerungs-Statusverfolgung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein Endpunkt kann einen Status für eine Schlüssel-ID X (SIDx) (z.B. in Operation 1005) aktualisieren. Der ICN-Router kann die Statusaktualisierung verifizieren und kann den Status von SIDx in seinem lokalen Cache (z.B. in Operation 1010) aktualisieren. Eine Blockkette kann den Status für SIDx mit anderen Schürfern in der Blockkette (z.B. in Operation 1015) synchronisieren. Die Blockketten-Schürfer können ihre jeweiligen Schlüsselstatusaktualisierungs-Subskribenten über die Schlüsselstatusaktualisierung für SIDx (z.B. in Operation 1020) benachrichtigen. Der ICN-Router kann seine Subskribenten über die Schlüsselstatusaktualisierung für SIDx (z.B. in Operation 1025) benachrichtigen. Dadurch erhalten die Subskribenten der Blockketten-Schürfer und die Router die neusten Schlüsselstatusinformationen für eine Schlüssel-ID. Die umfassende Verbreitung der Statusinformationen liefert gleichförmige Schlüsselstatusinformationen im gesamten ICN, und die Lokalisierung von Schlüsselstatusinformationen auf der Routerebene verringert die Latenz, in dem lokale Schlüsselstatusvalidierung bereitgestellt wird.
  • 11 ist ein Flussdiagramm eines Beispiels für einen Schlüsselstatusbenachrichtigungs- und -ausbreitungsprozes zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein Schlüsselstatus-Verifizierer kann auf eine Beweiser-Anforderung für einen Schlüsselstatus mit einer Schlüssel-ID „SIDx“ (z.B. in Operation 1105) warten. Der Schlüsselstatus-Verifizierer kann einen Schlüsselstatus für SIDx von einem Schlüsselstatus-Router (z.B. dem nächsten Router mit einer Schlüsselstatusrolle usw.) (z.B. in Operation 1110) anfordern. Der Schlüsselverifizierer kann bestimmen, ob eine Antwort von dem Schlüsselstatus-Router an einer Schwellenlatenz vorbei ist (z.B. in Entscheidung 1115). Zum Beispiel kann der Schlüsselverifizierer bestimmen, ob ein in der Antwort enthaltener Zeitstempel des letzten Schlüsselstatus für SIDX innerhalb einer Alterungsschwelle liegt. Wenn der Schlüsselverifizierer bestimmt, dass die Antwort innerhalb der Latenzschwelle liegt, erhält er den Schlüsselstatus für SIDx vom Schlüsselstatus-Router und aktualisiert seinen lokalen Cache und verwendet den Schlüsselstatus aus dem lokalen Cache (z.B. in Operation 1125) .
  • Wenn der Schlüsselverifizierer bestimmt, dass die Antwort vom Schlüsselstatus-Router an der Schwellenlatenz vorbei ist, wartet der Schlüsselstatus-Router auf eine Schlüsselverifizierer-Anforderung eines Schlüsselstatus für SIDx (z.B. in Operation 1130). Der Schlüsselstatus-Router fordert einen Schlüsselstatus für SIDx aus einer Schlüsselstatusinformationen speichernden Blockkette an (z.B. in Operation 1135). Der Schlüsselstatus-Router kann bestimmen, ob eine Antwort von der Blockkette an einer Schwellenlatenz vorbei ist (z.B. in Entscheidung 1140). Wenn der Schlüsselstatus-Router bestimmt, dass die Antwort innerhalb der Latenzschwelle liegt, aktualisiert er den Schlüsselstatus in seinem lokalen Cache für SIDx und verwendet den Schlüsselstatus aus dem lokalen Cache (z.B. in Operation 1150). Der Schlüsselverifizierer ruft den Schlüsselstatus für SIDx dann von dem Schlüsselstatus-Router ab und aktualisiert seinen lokalen Cache (z.B. in Operation 1125). Der Schlüsselstatus aus dem lokalen Cache des Schlüsselverifizierers wird dann verwendet (z.B. in Operation 1125).
  • Wenn der Schlüsselstatus-Router bestimmt, dass die Antwort von der Blockkette an der Schwellenlatenz vorbei ist, wartet die Blockkette auf eine Schlüsselstatusrouter-Anforderung eines Schlüsselstatus für SIDx (z.B. in Operation 1155). Der Blockketten-Agent lokalisiert einen neusten Block, der einen Schlüsselstatus für SIDx umfasst (z.B. in Operation 1155). Die Blockkette bestimmt, ob der gefundene Block der neuste Block mit einem Status für SIDx ist (z.B. in Entscheidung 1165). Wenn ja, aktualisiert die Blockkette den Status für SIDx und gibt SIDx den aktualisierten Status für SIDx zurück (z.B. in Operation 1175). Der Schlüsselstatus-Router ruft dann den Schlüsselstatus für SIDx von der Blockkette ab und aktualisiert seinen lokalen Cache (z.B. in Operation 1145). Die Verarbeitung wird dann in Operation 1150 fortgesetzt, wobei der Status für SIDx verifiziert wird.
  • Wenn die Blockkette keinen Block mit dem neusten Status für SIDx findet, gibt die Blockkette einen Status „nicht gefunden“ für SIDx zurück (z.B. in Operation 1170). Der Status wird dann durch den Schlüsselstatus-Router abgerufen und der Cache aktualisiert (z.B. in Operation 1145). Die Verarbeitung wird dann in Operation 1150 fortgesetzt, wobei der Status für SIDx unverifiziert ist.
  • 12 ist ein Flussdiagramm eines Beispiels für einen Prozess zur Benachrichtigung über Schlüsselstatusaktualisierung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein Routingknoten mit einer Schlüsselstatusrolle kann auf Statusaktualisierungen von einer Blockkette warten, die Schlüsselstatusinformationen erhält (z.B. in Operation 1205). Der Router kann bestimmen, ob ein Schlüsselstatus für den Schlüssel SIDx in einer empfangenen Aktualisierung neuer als ein Schlüsselstatuseintrag im lokalen Cache des Routers ist (z.B. in Entscheidung 1210). Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus neuer als der in der Aktualisierung enthaltene Status ist, endet der Prozess 1200 und der Router wartet auf eine weitere Aktualisierung (z.B. in Operation 1205).
  • Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus älter als der in der Aktualisierung enthaltene Status ist, wird der Schlüsselstatus für SIDx in dem lokalen Cache des Routers ersetzt (z.B. in Operation 1215) . Der aktualisierte SIDx-Status wird zu Subskribenten-Verifizierer gepusht (z.B. in Operation 1220). Ein subskribierter Verifizierer kann auf die Schlüsselstatusaktualisierungen vom Router warten (z.B. in Operation 1225). Der subskribierte Verifizierer kann bestimmen, ob ein Schlüsselstatus für Schlüssel-SIDx in einer empfangenen Aktualisierung neuer als ein Schlüsselstatuseintrag im lokalen Cache des subskribierten Verifizierer ist (z.B. In Entscheidung 1230). Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus neuer als der in der Aktualisierung enthaltene Status ist, endet der Prozess 1200 und der subskribierte Verifizierer wartet auf eine weitere Aktualisierung (z.B. in Operation 1225).
  • Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus älter als der in der Aktualisierung enthaltene Status ist, wird der Schlüsselstatus für SIDx im lokalen Cache des subskribierten Verifizierers ersetzt (z.B. in Operation 1235). Der aktualisierte SIDx-Status wird zu Peer-Teilnehmerverifizierern gepusht (z.B. in Operation 1240). Somit werden die neusten Schlüsselaktualisierungen für jeden Schlüssel in der Blockkette durch Router zu den Teilnehmerknoten und ihren subskribierten Peers propagiert.
  • 13 ist ein Flussdiagramm eines Beispiels für einen Prozess zum Pushen einer Schlüsselstatusaktualisierung zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Ein Endpunktknoten kann eine Schlüsselstatus-Aktualisierung oder Änderung für Schlüssel SIDx verarbeiten (z.B. in Operation 1305). Der Endpunkt kann bestimmen, ob ein Schlüsselstatus für Schlüssel SIDx in einer empfangenen Aktualisierung neuer als ein Schlüsselstatuseintrag im lokalen Cache des Endpunkts ist (z.B. in Entscheidung 1310).
  • Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus älter als der in der Aktualisierung enthaltene Status ist, wird der Schlüsselstatus für SIDx im lokalen Cache des Endpunkts (z.B. in Operation 1315) ersetzt. Der aktualisierte SIDx-Status wird zu einem Routingknoten gepusht, der eine Schlüsselstatus-Aktualisierungsrolle umfasst (z.B. in Operation 1320). Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus neuer als der in der Aktualisierung enthaltene Status ist, wird der Prozess 1300 in Operation 1320 fortgesetzt.
  • Der Router kann auf Schlüsselstatus-Aktualisierungen von Clients (z.B. dem Endpunkt) warten (z.B. in Operation 1325). Der Router kann verifizieren, ob die Schlüsselstatusänderung gültig ist (z.B. in Operation 1330). Der Router kann bestimmen, ob ein Schlüsselstatus für Schlüssel SIDx in einer empfangenen Aktualisierung neuer als ein Schlüsselstatuseintrag im lokalen Cache des Routers ist (z.B. in Entscheidung 1335). Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus älter als der in der Aktualisierung enthaltene Status ist, wird der Schlüsselstatus für SIDx im lokalen Cache des Routers ersetzt (z.B. in Operation 1340) . Der aktualisierte SIDx-Status wird zu einer Blockkette gepusht, die Schlüsselstatusinformationen speichert (z.B. in Operation 1345). Wenn bestimmt wird, dass der lokal zwischengespeicherte Schlüsselstatus neuer als der in der Aktualisierung enthaltene Status ist, wird der Prozess 1300 in Operation 1345 fortgesetzt. Somit werden die neusten Schlüsselaktualisierungen für jeden durch einen Endpunktknoten aktualisierten Schlüssel durch Router zur Blockkette propagiert, um sicherzustellen, dass es eine aktuelle zentralisierte Aufzeichnung von Schlüsselstatusinformationen gibt.
  • In einem Beispiel können vertrauenswürdige ICN von vertrauenswürdigen Ausführungsumgebungen (TEE) abhängen, um eine sichere Endpunktumgebung zum Konsumieren und Manipulieren von Inhalt bereitzustellen. Selbst wenn Inhalt mit Verschlüsselungsschlüsseln geschützt wird, besteht jedoch keine Garantie, dass die Schlüssel durch eine TEE geschützt werden. Selbst wenn das ICN einen globalen Standard gesetzt hätte, der Schlüsselschutz erfordert, besteht ferner keine Erwartung, dass entschlüsselte Daten durch eine TEE geschützt werden.
  • Wenn ICN-Daten kryptografisch von Ende zu Ende geschützt sind, kann außerdem das ICN nicht ordnungsgemäß funktionieren, solange nicht ein Teil der Inhaltsmetadaten mit den Routingschichten (z.B. Weiterleitungsinformationsbasis FIB, PIT usw.) geteilt wird. Dies kann jedoch Sicherheitsziele kompromittieren. Um dieses Problem anzugehen, verwenden die ICN-Routingknoten auch TEE-Technologie, die sicherstellt, dass der sensitive Metadatenteil von Interesse- und Datenpaketen mit einer Stärke geschützt wird, der mindestens gleich der ist, die angewandt wird, um Anforderungen des Schutzes von Ende zu Ende zu erfüllen.
  • Traditionelle Lösungen zum Ermöglichen von Vertrauen können die folgenden umfassen: 1) das vertrauenswürdige Plattformmodul (TPM) TCG und auf TPM basierende Attestierung; 2) das W3C® (World Wide Web Consortium) definiert verifizierbare Ansprüche und Allianz-Attestierung der FIDO (Fast Identity Online); und 3) Google-Schlüsselspeichertechnologie definiert verifizierbare Schlüssel. Existierende Lösungen integrieren jedoch nicht Attestierungsansprüche mit Inhalt (z.B. Daten) und benutzen das ICN nicht effektiv zur Verwaltung des Inhaltsflusses und Zugriffs auf der Basis einer Erwartung attestierter Daten.
  • Erhöhte Sicherheit bei der ICN-Verarbeitung von Daten- und Interessepaketen kann mittels Verwendung der TEE, wie etwa hardwarebefähigter sicherer Speicher entlarven, anerkannt werden. Der Zugriff auf Pakete wird unter Verwendung der TEE geschützt, und Knoten sind in der Lage, zu bewerten, ob ein potentieller Knoten die TEE ordnungsgemäß benutzt. ICN-Daten können als vertrauenswürdiger angesehen werden, weil ICN-Teilnehmerknoten sichergestellt werden kann, dass Daten auf jedem Knoten, die ein Interesse an den Daten oder ein Grund zum Zugriff auf diese haben können, geschützt werden.
  • Die hier besprochenen Systeme und Techniken erlauben es Produzenten und Konsumenten, das ICN zu verwenden, um eine gemeinsame Menge von TEE-Ansprüchen, die zu erfüllen sind, auszuhandeln, bevor Produzentendaten für Verbrauch durch Konsument(en) autorisiert werden.
  • 14 zeigt ein Beispiel für ein System zur Schlüsselspeicherung und Nachweispublikation von Ansprüchen zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Zeigt ein ICN-Netzwerk, wobei Knoten (z.B. Knoten N1 1405, Knoten N2 1410 und Knoten N3 1415) Metadaten mit Daten assoziieren. Außerdem können Sicherheitsniveau-Metadaten mit Daten assoziiert werden. Schlüssel können mit Gruppen und Sicherheitskennzeichnungen assoziiert werden, um Integrität und Vertraulichkeit von Interessepaketen, Datenpaketen und anderem Inhalt zu schützen. Routingknoten (z.B. Router R1 1420 und Router R2 1425) helfen dabei, eine gleichförmige Sicherheitsrichtlinie durchzusetzen. Vertrauen in die Schlüssel basiert auf der Verwendung der TEE zum Schutz von privaten Schlüsseln vor Attackierern und potentiellem Missbrauch. Vertrauenswürdige Datenverarbeitungstechniken können verwendet werden, um Vertrauenswürdigkeitsbestimmungen darüber auszudrücken, wie Schlüssel und Daten auf Knoten und Routern geschützt werden.
  • In 14 hat die Schlüsselspeicherungstechnologie (z.B. KeyStore usw.) entsprechende verifizierbare (z.B. attestierbare) Ansprüche 1430. Diese Ansprüche 1430 können als Nachweis für den Routingknoten R1 1420 (oder jeden mit der Verifizierung von Attestierungsnachweisen beauftragten Knoten) gesetzt werden. Ein Knoten kann Interesse an dem Nachweis eines anderen Knotens zeigen, der in seiner Datenrepositorium-Ressource, wie etwa dem Datenrepositorium 1435 für Knoten N1 1405, gespeichert werden kann. Zum Beispiel kann Knoten N3 1415 ein Interessepaket zu Knoten N1 1405 für KS1-Nachweis senden. Der Knoten N1 1405 kann reagieren, indem er bezüglich der Ansprüche, die er besitzt, attestiert. Dabei kann ein Attestierungsschlüssel K1 (z.B. von einem Schlüssellager 1440 des Knotens N1 1405) verwendet werden, der bekanntlich einen oder mehrere Ansprüche 1430 (z.B. C1-C3) besitzt, oder er kann explizit Anspruchsdaten umfassen, die von anderen wohlbekannten Anspruchsanbietern signiert werden.
  • 15 zeigt ein Beispiel für einen attestierten Datenanforderungsprozess zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. 15 zeigt ein Beispiel für eine attestierte Datenanforderung, an der zwei Knoten beteiligt sind, Knoten N1 1505 und Knoten N2 1510. Knoten N1 1505 gibt 1515 ein Interessepaket 1535 für benannte Daten D 1530 aus, das einen Menge von Ansprüchen C1, C2, ... spezifiziert, und ein Nonce n, das Frische garantiert. Wenn der Knoten N1 1505 an allen verfügbaren Ansprüchen von Knoten N2 1510 interessiert ist, kann in einem Beispiel der Knoten N1 1505 ein Wildcard verwenden, zum Beispiel C*. Das Interessepaket 1535 instruiert den Knoten N2 1510, einen Beweis P 1520 der interessierenden Ansprüche in das Datenpaket, das den Datenposten mit dem Namen D umfasst, aufzunehmen. Der Beweis P 1520 wird durch eine Attestierungsprozedur an den Ansprüchen berechnet und umfasst das Nonce n, sowie die Daten. In einem Beispiel wird P 1520 durch einen maßgebenden Schlüssel an der spezifischen Menge von Ansprüchen signiert. Bei einer beispielhaften Ausführungsform kann der Signierschlüssel ein Schlüssel eines Herstellers sein, der angibt, welche sicherheitsrelevanten Herstellungsprozesse beim Produzieren des Knotens verwendet wurden. Bei einer anderen beispielhaften Ausführungsform kann P 1520 durch einen Attestierungsschlüssel signiert werden, wie etwa einen TCG-DICE-Schlüssel (Device Identifier Composition Engine) oder einen TCG-TPM-Anfangs-Attestierungsschlüssel, durch einen Vorrichtungsidentitätsschlüssel gemäß 802.1AR des IEEE (Institute of Electrical and Electronics Engineers) usw.
  • Unter Verwendung der obigen Prozedur erklärt 1525 der Knoten N2 1510, dass die Daten gemäß der in den Ansprüchen enthaltenen Schutzsemantik geschützt sind. Mit dem obigen Mechanismus kann ein Knoten Vertrauenseigenschaften der anderen Knoten einfach verifizieren. In diesem Fall kann ein Knoten ein Interesse für einen Schlüsselspeicher (SS*) eines Knotens als den Interesseposten ausgeben. In diesem Fall wird nur der attestierte Nachweis (P) 1520 zurückgegeben.
  • Bei einer anderen Ausführungsform kann ein Zwischenrouter die obige Funktion im Namen des Netzwerks ausführen, wodurch die Ergebnisse in seinem Inhaltsspeicher zwischengespeichert werden können. Nachfolgende Anforderungen von anderen Routern oder Knoten rufen die zwischengespeicherte Kopie ab. In diesem Szenario kann der Router ein Zeitstempel-Nonce verwenden, wobei die Zeit seit der letzten Attestierungsanforderung in der Datenpaketantwort enthalten ist. Dadurch kann der Empfänger prüfen, ob die Zeit seit der letzten Attestierungsprüfung zu lang war und zum Beispiel ein zusätzliches Risiko darstellt.
  • Bei einer anderen Ausführungsform kann der Konsument Vertrauensansprüche in den Interessepaketheader einfügen. Router-Caches können diese Ansprüche als Teil der Interesse-Abgleichprozedur verifizieren, so dass das zwischengespeicherte Datenpaket nur dann dem Konsumenten zugeführt wird, wenn es gemäß der den angeforderten Daten zugeordneten Zugangsrichtlinie verifiziert und „ausreichend“ ist.
  • 16 ist ein Flussdiagramm eines Beispiels für ein Verfahren zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken gemäß einer Ausführungsform. Das Verfahren 1600 kann in 1-15 beschriebene Merkmale bereitstellen.
  • Eine Registrationsanforderung kann von einem Knoten in einem informationszentrischen Netzwerk (ICN) empfangen werden (z.B. in Operation 1605).
  • Berechtigungsnachweise des Knotens können (z.B. in Operation 1610) verifiziert werden. In einem Beispiel kann die Validierung der Berechtigungsnachweise Verifikation eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfassen.
  • Der Knoten kann auf der Basis der Ergebnisse der Validierung (z.B. in Operation 1615) beim ICN registriert werden. In einem Beispiel wird der Knoten durch eine Registrationsautorität registriert. In einem Beispiel ist die Registrationsautorität eine Rolle, die einem Routingknoten zugewiesen wird.
  • Eine Menge von Inhaltsposten, die dem Knoten zugeordnet sind, kann (z.B. in Operation 1620) beim ICN registriert werden. In einem Beispiel wird die Menge von Inhaltsposten bei der Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen.
  • Ein Interessepaket kann von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten empfangen werden, das ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst (z.B. in Operation 1625).
  • Es kann Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau bestimmt werden (z.B. in Operation 1630).
  • Der Inhaltsposten kann (z.B. in Operation 1635) zu dem Konsumentenknoten gesendet werden. In einem Beispiel wird der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet, das ein Datenpaket-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  • In einem Beispiel kann bestimmt werden, dass das Interessepaket mit einem Gruppenschlüssel signiert worden ist. Es kann identifiziert werden, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist. Eine in dem Interessepaket enthaltene Gruppenstruktur kann validiert werden, und bei Validierung der Gruppensignatur kann der Inhaltsposten zu dem Konsumentenknoten gesendet werden.
  • In einem Beispiel kann der Inhaltsposten in ein Datenpaket eingekapselt werden. Das Datenpaket kann unter Verwendung des Gruppenschlüssels signiert werden, und das Datenpaket kann zu dem Konsumentenknoten gesendet werden. In einem Beispiel kann eine in dem Datenpaket enthaltene Gruppensignatur durch den Konsumentenknoten verwendet werden, um die Authentizität des Datenpakets zu validieren. In einem Beispiel kann bestimmt werden, dass der Knoten kein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist, und Sendung des Inhalts zu dem Konsumenten kann verhindert werden. In einem Beispiel kann das Interessepaket zu einem zweiten Knoten gesendet werden, der ein Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  • In einem Beispiel kann eine Schlüsselstatus-Blockkette für Knoten im ICN unterhalten werden. Es kann ein Schlüsselstatus für einen dem Konsumentenknoten zugeordneten Schlüssel bestimmt werden, und der Inhalt kann auf der Basis der Validierung des Schlüsselstatus zu dem Konsumentenknoten gesendet werden. In einem Beispiel kann eine Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel empfangen werden. Die Schlüsselstatusaktualisierung kann validiert werden. Die Schlüsselstatusaktualisierung kann in einem lokalen Schlüsselstatus-Cache des Knotens zwischenspeichert werden, und die Schlüsselstatusaktualisierung kann mit anderen Knoten des ICN synchronisiert werden. In einem Beispiel kann die Schlüsselstatusaktualisierung auf die anderen Knoten des ICN synchronisiert werden, indem die Schlüsselstatusaktualisierung zu Schürferknoten im ICN gesendet werden, die Schlüsselstatusaktualisierung von den Schürferknoten zu dem jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten gesendet wird und die Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten gesendet wird. In einem Beispiel wird die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert.
  • In einem Beispiel können eine Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und ein Nonce im Interessepaket identifiziert werden. Auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens kann ein Datenpaket erzeugt werden, das einen Beweis umfasst, und der Inhaltsposten kann in dem Datenpaket zu dem Konsumentenknoten gesendet werden. In einem Beispiel wird das Interessepaket durch einen Schlüssel signiert, der in einem Schlüsselspeicher gespeichert ist, der in einer vertrauenswürdigen Ausführungsumgebung enthalten, unterhalten wird. In einem Beispiel wird das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert. In einem Beispiel wird der Attestierungsknoten durch die vertrauenswürdige Ausführungsumgebung gesichert. In einem Beispiel ist der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel.
  • 17 zeigt eine Blockdarstellung einer beispielhaften Maschine 1700, auf der beliebige einzelne oder mehrere der hier besprochenen Techniken (z.B. Methodologien) ausgeführt werden können. Bei alternativen Ausführungsformen kann die Maschine 1700 als selbständige Vorrichtung arbeiten oder kann mit anderen Maschinen verbunden (z.B. vernetzt) sein. Bei einem vernetzten Einsatz kann die Maschine 1700 in der Kapazität einer Servermaschine, einer Clientmaschine oder von beidem in Server-Client-Netzwerkumgebungen operieren. In einem Beispiel kann die Maschine 1700 als eine Peer-Maschine in einer Peer-to-Peer- bzw. P2P- (oder anderen verteilten) Netzwerkumgebung wirken. Die Maschine 1700 kann ein PC (Personal Computer), ein Tablet-PC, eine STB (Set-Top Box), ein PDA (Personal Digital Assistant), ein Mobiltelefon, ein Web-Gerät, ein Netzwerkrouter, ein Switch oder eine Brücke oder eine beliebige Maschine mit der Fähigkeit zur Ausführung von Anweisungen (sequenziell oder anderweitig) sein, die durch diese Maschine zu unternehmende Aktionen spezifizieren. Obwohl nur eine einzige Maschine dargestellt ist, soll ferner der Ausdruck „Maschine“ auch so aufgefasst werden, dass er eine beliebige Ansammlung von Maschinen umfasst, die einzeln oder zusammen eine Menge (oder mehrere Mengen) von Anweisungen ausführen, um beliebige einzelne oder mehrere der hier besprochenen Methodologien auszuführen, wie etwa Cloud-Datenverarbeitung, SaaS (Software as a Service) oder andere Computercluster-Konfigurationen.
  • Hier beschriebene Beispiele können Logik oder eine Anzahl von Komponenten oder Mechanismen in der Maschine umfassen oder durch diese arbeiten. Schaltkreise sind eine Ansammlung von in greifbaren Entitäten implementierten Schaltungen, die Hardware (z. B. einfache Schaltungen, Gatter, Logik usw.) umfassen. Schaltkreismitgliederschaft kann mit der Zeit flexibel sein und Hardwarevariablität zugrundeliegen. Schaltkreise umfassen Mitglieder, die alleine oder in Kombination beim Betrieb spezifische Operationen ausführen können. In einem Beispiel kann Hardware der Schaltkreise unveränderlich dafür entworfen sein, eine spezifische Operation auszuführen (z. B. fest verdrahtet). In einem Beispiel kann die Hardware des Schaltkreises variabel verbundene physische Komponenten (z. B. Ausführungseinheiten, Transistoren, einfache Schaltungen usw.) umfassen, einschließlich eines maschinenlesbaren Mediums, das physisch modifiziert wird (z. B. magnetisch, elektrisch, bewegliche Platzierung von Partikeln mit invarianter Masse usw.), um Anweisungen der spezifischen Operation zu codieren. Beim Verbinden der physischen Komponenten werden die zugrundeliegenden elektrischen Eigenschaften eines Hardwarebestandteils zum Beispiel von einem Isolator auf einen Leiter geändert oder umgekehrt. Die Anweisungen ermöglichen es eingebetteter Hardware (z. B. den Ausführungseinheiten oder einem Lademechanismus), Mitglieder der Schaltkreise über die variablen Verbindungen in Hardware zu erzeugen, um im Betrieb Teile der spezifischen Operation auszuführen. Dementsprechend sind in einem Beispiel die maschinenlesbaren Mediumelemente Teil der Schaltkreise oder sind kommunikativ mit den anderen Komponenten der Schaltkreise gekoppelt, wenn die Vorrichtung arbeitet. In einem Beispiel können beliebige der physischen Komponenten in mehr als einem Mitglied von mehr als einem Schaltkreis verwendet werden. Unter Betrieb können zum Beispiel an einem Zeitpunkt Ausführungseinheiten in einer ersten Schaltung eines ersten Schaltkreises verwendet und an einem anderen Zeitpunkt durch eine zweite Schaltung in dem ersten Schaltkreis oder durch eine dritte Schaltung in einem zweiten Schaltkreis wiederverwendet werden.
  • Die Maschine (z. B. Computersystem) 1700 kann einen Hardwareprozessor 1702 (z. B. eine Zentralverarbeitungseinheit (CPU), eine Grafikverarbeitungseinheit (GPU), einen Hardwareprozessorkern oder eine beliebige Kombination davon), einen Hauptspeicher 1704 und einen statischen Speicher 1706 umfassen, von denen einige oder alle über eine Zwischenverbindung (z. B. einen Bus) 1708 miteinander kommunizieren können. Die Maschine 1700 kann ferner eine Anzeigeeinheit 1710, eine alphanumerische Eingabevorrichtung 1712 (z. B. eine Tastatur) und eine Benutzeroberflächen- bzw. UI-Navigationsvorrichtung 1714 (z. B. eine Maus) umfassen. In einem Beispiel können die Anzeigeeinheit 1710, die Eingabevorrichtung 1712 und die UI-Navigationsvorrichtung 1714 eine Touchscreen-Anzeige sein. Die Maschine 1700 kann zusätzlich eine Speicherungsvorrichtung (z. B. Laufwerkeinheit) 1716, eine Signalerzeugungsvorrichtung 1718 (z. B. einen Lautsprecher), eine Netzwerkschnittstellenvorrichtung 1720 und einen oder mehrere Sensoren 1721 umfassen, wie etwa einen GPS-Sensor (Global Positioning System), einen Kompass, einen Beschleunigungsmesser oder einen anderen Sensor. Die Maschine 1700 kann eine Ausgabesteuerung 1728 umfassen, wie etwa eine serielle Verbindung (z. B. USB (Universal Serial Bus), parallel oder anderweitig verdrahtet oder drahtlos (z. B. Infrarot (IR), Nahfeldkommunikation (NFC) usw.)) zur Kommunikation oder Steuerung einer oder mehrerer Peripherievorrichtungen (z. B. eines Druckers, eines Kartenlesers usw.) umfassen.
  • Die Speicherungsvorrichtung 1716 kann ein maschinenlesbares Medium 1722 umfassen, worauf eine oder mehrere Mengen von Datenstrukturen oder Anweisungen 1724 (z.B. Software) gespeichert sind, die durch eine beliebige einzelne oder mehrere der hier beschriebenen Techniken oder Funktionen realisiert oder benutzt werden. Die Anweisungen 1724 können auch ganz oder mindestens teilweise in dem Hauptspeicher 1704, in dem statischen Speicher 1706 oder in dem Hardwareprozessor 1702 während der Ausführung dieser durch die Maschine 1700 residieren. In einem Beispiel können einzelne oder eine beliebige Kombination des Hardwareprozessors 1702, des Hauptspeichers 1704, des statischen Speichers 1706 oder der Speicherungsvorrichtung 1716 maschinenlesbare Medien darstellen.
  • Obwohl das maschinenlesbare Medium 1722 als ein einziges Medium dargestellt ist, kann der Ausdruck „maschinenlesbares Medium“ ein einziges Medium oder mehrere Medien (z. B. eine zentralisierte oder verteilte Datenbank und/oder zugeordnete Caches und Server) umfassen, die dafür ausgelegt sind, die eine oder die mehreren Anweisungen 1724 zu speichern.
  • Der Begriff „maschinenlesbares Medium“ kann jedes Medium einschließen, das in der Lage ist, Befehle zur Ausführung durch die Maschine 1700 zu speichern, zu codieren oder zu übertragen, und die die Maschine 1700 dazu veranlassen, eine beliebige oder beliebige mehrere der Techniken der vorliegenden Offenbarung durchzuführen, oder das in der Lage ist, Datenstrukturen, die durch diese Befehle verwendet werden oder mit diesen in Verbindung stehen, zu speichern, zu codieren oder zu übertragen. Nicht einschränkende Beispiele für maschinenlesbare Medien können Festkörperspeicher, optische und magnetische Medien einschließen. In einem Beispiel können transitorische sich ausbreitende Signale nicht umfassen. Spezifische Beispiele für nicht-flüchtige maschinenlesbare Medien können einschließen: nicht-flüchtigen Speicher, wie Halbleiterspeichervorrichtungen (z. B. elektrisch programmierbaren Festwertspeicher (Electrically Programmable Read-Only Memory, EPROM), elektrisch löschbaren programmierbaren Festwertspeicher (Electrically Erasable Programmable Read-Only Memory, EEPROM)) und Flash-Speicher-Vorrichtungen; Magnetplatten, wie interne Festplatten und Wechselfestplatten; magnetooptische Platten; und CD-ROM- und DVD-ROM-Datenträger.
  • Die Befehle 1724 können ferner über ein Kommunikationsnetzwerk 1726 unter Verwendung eines Übertragungsmediums über die Netzwerkschnittstellenvorrichtung 1720 unter Verwendung eines beliebigen von einer Anzahl von Übertragungsprotokollen (z. B. Frame Relay, Internetprotokoll (IP), Transmission Control Protocol (TCP), User Datagram Protocol (UDP), Hypertext Transfer Protocol (HTTP) usw.) übertragen oder empfangen werden. Beispielhafte Kommunikationsnetzwerke können unter anderem ein lokales Netzwerk (Local Area Network, LAN), ein Weitverkehrsnetzwerk (Wide Area Network, WAN), ein Paketdatennetzwerk (z. B. das Internet), Mobiltelefonnetze (z. B. Mobilfunknetze), Netze des analogen Telefondiensts (Plain Old Telephone, POTS) und drahtlose Datennetzwerke (z. B. Institute of Electrical and Electronics Engineers (IEEE) 802.11-Standardfamilie, bekannt als Wi-Fi®, IEEE 802.16-Standardfamilie, bekannt als WiMax®), die IEEE 802.15.4-Standardfamilie, Peer-to-Peer(P2P)-Netzwerke, einschließen. In einem Beispiel kann die Netzwerkschnittstellenvorrichtung 1720 eine oder mehrere physische Buchsen (z. B. Ethernet-, koaxiale oder Telefonbuchsen) oder eine oder mehrere Antennen zum Verbinden mit dem Kommunikationsnetzwerk 1726 einschließen. In einem Beispiel kann die Netzwerkschnittstellenvorrichtung 1720 eine Vielzahl von Antennen zum drahtlosen Kommunizieren unter Verwendung von zumindest einem von Techniken mit einem Eingang, mehreren Ausgängen (Single-Input Multiple-Output, SIMO), mehreren Eingängen, mehreren Ausgängen (Multiple-Input Multiple-Output, MIMO) oder mehreren Eingängen, einem Ausgang (Multiple-Input Single-Output, (MISO) einschließen. Der Begriff „Übertragungsmedium“ ist so zu verstehen, dass er jedes nicht greifbare Medium einschließt, das in der Lage ist, Befehle zur Ausführung durch die Maschine 1700 zu speichern, zu codieren oder zu übertragen, und er schließt digitale oder analoge Kommunikationssignale oder andere nicht greifbare Medien zum Ermöglichen der Kommunikation von solcher Software ein.
  • Zusätzliche Anmerkungen & Beispiele
  • Beispiel 1 ist ein System zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das System Folgendes umfasst: mindestens einen Prozessor; und Speicher mit Anweisungen, die, wenn sie durch den mindestens einen Prozessor ausgeführt werden, bewirken, dass der mindestens eine Prozessor Operationen ausführt zum Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  • In Beispiel 2 der Gegenstand von Beispiel 1, wobei der Knoten durch eine Registrationsautorität registriert wird.
  • In Beispiel 3 der Gegenstand von Beispiel 2, wobei die Registrationsautorität eine Rolle ist, die einem Routingknoten zugewiesen wird.
  • In Beispiel 4 der Gegenstand von Beispiel 1-3, wobei der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet wird, das ein Datenpakete-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  • In Beispiel 5 der Gegenstand von Beispiel 1-4, wobei die Menge von Inhaltposten bei Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen wird.
  • In Beispiel 6 umfasst der Gegenstand von Beispiel 1-5 Anweisungen, die den mindestens einen Prozessor veranlassen zum Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Validieren einer in dem Interessepaket enthaltenen Gruppensignatur; und Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  • In Beispiel 7 umfasst der Gegenstand von Beispiel 6 Anweisungen, die den mindestens einen Prozessor veranlassen zum Einkapseln des Inhaltspostens in ein Datenpaket; Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  • In Beispiel 8 umfasst der Gegenstand von Beispiel 6-7 Anweisungen, die den mindestens einen Prozessor veranlassen zum Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  • In Beispiel 9 umfasst der Gegenstand von Beispiel 8 Anweisungen, die den mindestens einen Prozessor veranlassen zum Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  • In Beispiel 10 umfasst der Gegenstand von Beispiel 1-9 Anweisungen, die den mindestens einen Prozessor veranlassen zum Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Validieren eines Schlüsselstatus für einen den Konsumentenknoten zugeordneten Schlüssel; und Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  • In Beispiel 11 umfasst der Gegenstand von Beispiel 10 Anweisungen, die den mindestens einen Prozessor veranlassen zum Empfangen einer Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel; Validieren der Schlüsselstatusaktualisierung; Zwischenspeichern der Schlüsselstatusaktualisierung in einen lokalen Schlüsselstatus-Cache des Knotens; und Synchronisieren der Schlüsselstatusaktualisierung mit anderen Knoten des ICN.
  • In Beispiel 12 der Gegenstand von Beispiel 11, wobei die Anweisungen zum Synchronisieren der Schlüsselstatusaktualisierung ferner Anweisungen umfassen, die den mindestens einen Prozessor veranlassen zum Senden der Schlüsselstatusaktualisierung zu Schürferknoten im ICN; Senden der Schlüsselstatusaktualisierung von den Schürferknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten; und Senden der Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten.
  • In Beispiel 13 der Gegenstand von Beispiel 11-12, wobei die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert wird.
  • In Beispiel 14 umfasst der Gegenstand von Beispiel 1-13 Anweisungen, die den mindestens einen Prozessor veranlassen zum Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
  • In Beispiel 15 der Gegenstand von Beispiel 14, wobei das Interessepaket durch einen Schlüssel signiert wird, der in einem Schlüssellager gespeichert wird, das in einer vertrauenswürdigen Ausführungsumgebung unterhalten wird.
  • In Beispiel 16 der Gegenstand von Beispiel 15, wobei das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert wird, wobei der Attestierungsknoten durch vertrauenswürdige Ausführungsumgebung gesichert wird.
  • In Beispiel 17 der Gegenstand von Beispiel 16, wobei der Attestierungsknoten als eine Rolle auf einem im ICN operierenden Routingknoten ausgeführt wird.
  • In Beispiel 18 der Gegenstand von Beispiel 15-17, wobei der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel ist.
  • Beispiel 19 ist mindestens ein nicht transitorisches maschinenlesbares Medium mit Anweisungen zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, die, wenn sie durch mindestens einen Prozessor ausgeführt werden, den mindestens einen Prozessor veranlassen zum Ausführen von Operationen zum Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  • In Beispiel 20 der Gegenstand von Beispiel 19, wobei der Knoten durch eine Registrationsautorität registriert wird.
  • In Beispiel 21 der Gegenstand von Beispiel 20, wobei die Registrationsautorität eine Rolle ist, die einem Routingknoten zugewiesen wird.
  • In Beispiel 22 der Gegenstand der Beispiele 19-21, wobei der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet wird, das ein Datenpakete-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  • In Beispiel 23, der Gegenstand der Beispiele 19-22, wobei die Menge von Inhaltposten bei Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen wird.
  • In Beispiel 24 umfasst der Gegenstand von Beispiel 19-23 Anweisungen, die den mindestens einen Prozessor veranlassen zum Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Validieren einer in dem Interessepaket enthaltenen Gruppensignatur; und Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  • In Beispiel 25 umfasst der Gegenstand von Beispiel 24 Anweisungen, die den mindestens einen Prozessor veranlassen zum Einkapseln des Inhaltspostens in ein Datenpaket; Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  • In Beispiel 26 umfasst der Gegenstand von Beispiel 24-25 Anweisungen, die den mindestens einen Prozessor veranlassen zum Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  • In Beispiel 27 umfasst der Gegenstand von Beispiel 26 Anweisungen, die den mindestens einen Prozessor veranlassen zum Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  • In Beispiel 28 umfasst der Gegenstand von Beispiel 19-27 Anweisungen, die den mindestens einen Prozessor veranlassen zum Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Validieren eines Schlüsselstatus für einen den Konsumentenknoten zugeordneten Schlüssel; und Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  • In Beispiel 29 umfasst der Gegenstand von Beispiel 28 Anweisungen, die den mindestens einen Prozessor veranlassen zum Empfangen einer Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel; Validieren der Schlüsselstatusaktualisierung; Zwischenspeichern der Schlüsselstatusaktualisierung in einen lokalen Schlüsselstatus-Cache des Knotens; und Synchronisieren der Schlüsselstatusaktualisierung mit anderen Knoten des ICN.
  • In Beispiel 30 der Gegenstand von Beispiel 29, wobei die Anweisungen zum Synchronisieren der Schlüsselstatusaktualisierung ferner Anweisungen umfassen, die den mindestens einen Prozessor veranlassen zum Senden der Schlüsselstatusaktualisierung zu Schürferknoten im ICN; Senden der Schlüsselstatusaktualisierung von den Schürferknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten; und Senden der Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten.
  • In Beispiel 31 der Gegenstand von Beispiel 29-30, wobei die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert wird.
  • In Beispiel 32 umfasst der Gegenstand von Beispiel 19-31 Anweisungen, die den mindestens einen Prozessor veranlassen zum Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
  • In Beispiel 33 der Gegenstand von Beispiel 32, wobei das Interessepaket durch einen Schlüssel signiert wird, der in einem Schlüssellager gespeichert wird, das in einer vertrauenswürdigen Ausführungsumgebung unterhalten wird.
  • In Beispiel 34 der Gegenstand von Beispiel 33, wobei das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert wird, wobei der Attestierungsknoten durch vertrauenswürdige Ausführungsumgebung gesichert wird.
  • In Beispiel 35 der Gegenstand von Beispiel 34, wobei der Attestierungsknoten als eine Rolle auf einem im ICN operierenden Routingknoten ausgeführt wird.
  • In Beispiel 36 der Gegenstand von Beispiel 33-35, wobei der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel ist.
  • Beispiel 37 ist ein System zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das Verfahren Folgendes umfasst: Mittel zum Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Mittel zum Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Mittel zum Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Mittel zum Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Mittel zum Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Mittel zum Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Mittel zum Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  • In Beispiel 38 der Gegenstand von Beispiel 37, wobei der Knoten durch eine Registrationsautorität registriert wird.
  • In Beispiel 39 der Gegenstand von Beispiel 38, wobei die Registrationsautorität eine Rolle ist, die einem Routingknoten zugewiesen wird.
  • In Beispiel 40 der Gegenstand von Beispiel 37-39, wobei der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet wird, das ein Datenpakete-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  • In Beispiel 41 der Gegenstand von Beispiel 37-40, wobei die Menge von Inhaltposten bei Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen wird.
  • In Beispiel 42 umfasst der Gegenstand von Beispiel 37-41 Mittel zum Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Mittel zum Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Mittel zum Validieren einer in dem Interessepaket enthaltenen Gruppensignatur; und Mittel zum Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  • In Beispiel 43 umfasst der Gegenstand von Beispiel 42 Mittel zum Einkapseln des Inhaltspostens in ein Datenpaket; Mittel zum Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Mittel zum Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  • In Beispiel 44 umfasst der Gegenstand von Beispiel 42-43 Mittel zum Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Mittel zum Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  • In Beispiel 45 umfasst der Gegenstand von Beispiel 44 Mittel zum Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  • In Beispiel 46 umfasst der Gegenstand von Beispiel 37-45 Mittel zum Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Mittel zum Validieren eines Schlüsselstatus für einen den Konsumentenknoten zugeordneten Schlüssel; und Mittel zum Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  • In Beispiel 47 umfasst der Gegenstand von Beispiel 46 Mittel zum Empfangen einer Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel; Mittel zum Validieren der Schlüsselstatusaktualisierung; Mittel zum Zwischenspeichern der Schlüsselstatusaktualisierung in einen lokalen Schlüsselstatus-Cache des Knotens; und Mittel zum Synchronisieren der Schlüsselstatusaktualisierung mit anderen Knoten des ICN.
  • In Beispiel 48 der Gegenstand von Beispiel 47, wobei die Mittel zum Synchronisieren der Schlüsselstatusaktualisierung fernerumfassen: Mittelzum Senden der Schlüsselstatusaktualisierung zu Schürferknoten im ICN; Mittel zum Senden der Schlüsselstatusaktualisierung von den Schürferknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten; und Mittel zum Senden der Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten.
  • In Beispiel 49 der Gegenstand von Beispiel 47-48, wobei die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert wird.
  • In Beispiel 50 umfasst der Gegenstand von Beispiel 37-49 Mittel zum Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Mittel zum Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
  • In Beispiel 51 der Gegenstand von Beispiel 50, wobei das Interessepaket durch einen Schlüssel signiert wird, der in einem Schlüssellager gespeichert wird, das in einer vertrauenswürdigen Ausführungsumgebung unterhalten wird.
  • In Beispiel 52 der Gegenstand von Beispiel 51, wobei das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert wird, wobei der Attestierungsknoten durch vertrauenswürdige Ausführungsumgebung gesichert wird.
  • In Beispiel 53 der Gegenstand von Beispiel 52, wobei der Attestierungsknoten als eine Rolle auf einem im ICN operierenden Routingknoten ausgeführt wird.
  • In Beispiel 54 der Gegenstand von Beispiel 51-53, wobei der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel ist.
  • Beispiel 55 ist ein Verfahren zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das Verfahren Folgendes umfasst: Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  • In Beispiel 56 der Gegenstand von Beispiel 55, wobei der Knoten durch eine Registrationsautorität registriert wird.
  • In Beispiel 57 der Gegenstand von Beispiel 56, wobei die Registrationsautorität eine Rolle ist, die einem Routingknoten zugewiesen wird.
  • In Beispiel 58 der Gegenstand von Beispiel 55-57, wobei der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet wird, das ein Datenpakete-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  • In Beispiel 59 der Gegenstand von Beispiel 55-58, wobei die Menge von Inhaltposten bei Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen wird.
  • In Beispiel 60 umfasst der Gegenstand von Beispiel 55-59 Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Validieren der in dem Interessepaket enthaltenen Gruppensignatur; und Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  • In Beispiel 61 umfasst der Gegenstand von Beispiel 60 Einkapseln des Inhaltspostens in ein Datenpaket; Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  • In Beispiel 62 umfasst der Gegenstand von Beispiel 60-61 Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  • In Beispiel 63 umfasst der Gegenstand von Beispiel 62 Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  • In Beispiel 64 umfasst der Gegenstand von Beispiel 55-63 Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Validieren eines Schlüsselstatus für einen den Konsumentenknoten zugeordneten Schlüssel; und Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  • In Beispiel 65 umfasst der Gegenstand von Beispiel 64 Empfangen einer Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel; Validieren der Schlüsselstatusaktualisierung; Zwischenspeichern der Schlüsselstatusaktualisierung in einen lokalen Schlüsselstatus-Cache des Knotens; und Synchronisieren der Schlüsselstatusaktualisierung mit anderen Knoten des ICN.
  • In Beispiel 66 der Gegenstand von Beispiel 65, wobei Synchronisieren der Schlüsselstatusaktualisierung ferner umfasst: Senden der Schlüsselstatusaktualisierung zu Schürferknoten im ICN; Senden der Schlüsselstatusaktualisierung von den Schürferknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten; und Senden der Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten.
  • In Beispiel 67 der Gegenstand von Beispiel 65-66, wobei die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert wird.
  • In Beispiel 68 umfasst der Gegenstand der Beispiele 55-67 Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
  • In Beispiel 69 der Gegenstand von Beispiel 68, wobei das Interessepaket durch einen Schlüssel signiert wird, der in einem Schlüssellager gespeichert wird, das in einer vertrauenswürdigen Ausführungsumgebung unterhalten wird.
  • In Beispiel 70 der Gegenstand von Beispiel 69, wobei das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert wird, wobei der Attestierungsknoten durch vertrauenswürdige Ausführungsumgebung gesichert wird.
  • In Beispiel 71 der Gegenstand von Beispiel 70, wobei der Attestierungsknoten als eine Rolle auf einem im ICN operierenden Routingknoten ausgeführt wird.
  • In Beispiel 72 der Gegenstand von Beispiel 69-71, wobei der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel ist.
  • Beispiel 73 ist ein System zur Implementierung von Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das System Mittel zum Ausführen eines beliebigen Verfahrens der Beispiele 55-72 umfasst.
  • Beispiel 74 ist mindestens ein maschinenlesbares Medium zum Implementieren von Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das mindestens eine maschinenlesbare Medium Anweisungen umfasst, die, wenn sie eine Maschine ausgeführt werden, die Maschine veranlassen zum Ausführen eines beliebigen Verfahrens der Beispiele 55-72.
  • Beispiel 75 ist mindestens ein maschinenlesbares Medium mit Anweisungen, die, wenn sie durch Verarbeitungsschaltkreise ausgeführt werden, die Verarbeitungsschaltkreise dazu veranlassen, Operationen auszuführen, die beliebige der Beispiele 1-74 implementieren.
  • Beispiel 76 ist eine Vorrichtung mit Mitteln zum Implementieren beliebiger der Beispiele 1-74.
  • Beispiel 77 ist ein System zum Implementieren beliebiger der Beispiele 1-74.
  • Beispiel 78 ist ein Verfahren zum Implementieren beliebiger der Beispiele 1-74.
  • Die vorstehende detaillierte Beschreibung schließt Bezugnahmen auf die beigefügten Zeichnungen ein, die einen Teil der detaillierten Beschreibung bilden. Die Zeichnungen zeigen zur Veranschaulichung spezifische Ausführungsformen, die ausgeführt werden können. Diese Ausführungsformen werden hierin auch als „Beispiele“ bezeichnet. Diese Beispiele können Elemente zusätzlich zu den gezeigten oder beschriebenen einschließen. Die Erfinder der vorliegenden Erfindung ziehen jedoch auch Beispiele in Betracht, in denen nur die gezeigten oder beschriebenen Elemente vorgesehen sind. Darüber hinaus ziehen die Erfinder der vorliegenden Erfindung auch Beispiele in Betracht, die eine beliebige Kombination oder Umsetzung dieser gezeigten oder beschriebenen Elemente (oder einen oder mehrere Aspekte davon) verwenden, entweder in Bezug auf ein bestimmtes Beispiel (oder einen oder mehrere Aspekte davon) oder in Bezug auf andere Beispiele (oder einen oder mehrere Aspekte davon), die hierin gezeigt oder beschrieben sind.
  • Alle Veröffentlichungen, Patente und Patentunterlagen, auf die in diesem Dokument Bezug genommen wird, werden durch Bezugnahme in ihrer Gesamtheit hierin eingeschlossen, als ob sie einzeln durch Bezugnahme eingeschlossen würden. Im Falle von inkonsistenten Verwendungen zwischen diesem Dokument und den auf diese Weise durch Bezugnahme eingeschlossenen Dokumenten ist die Verwendung in der/den eingeschlossenen Referenz(en) als zu der von diesem Dokument ergänzend zu betrachten; bei unvereinbaren Inkonsistenzen ist die Verwendung in diesem Dokument maßgebend.
  • In diesem Dokument werden die Begriffe „ein“, „eines“ oder „eine“ wie in Patentunterlagen üblich verwendet, um eine/s oder mehr als eine/s einzuschließen, unabhängig von anderen Fällen oder Verwendungen von „zumindest ein/e/s“ oder „ein/e/s oder mehrere“. In diesem Dokument wird der Begriff „oder“ verwendet, um auf ein nicht ausschließliches „oder“ Bezug zu nehmen, sodass „A oder B“ „A aber nicht B“, „B aber nicht A“ und „A und B“ einschließt, sofern nicht anders angegeben. In den beigefügten Ansprüchen werden die Begriffe „einschließlich“ und „in denen“ als die einfachen Entsprechungen der jeweiligen Begriffe „umfassend“ und „wobei“ verwendet. Außerdem sind die Begriffe „einschließlich“ und „umfassend“ in den folgenden Ansprüchen offen, das heißt, ein System, eine Vorrichtung, ein Gegenstand oder ein Prozess, der/die/das Elemente zusätzlich zu den nach einem solchen Begriff in einem Anspruch aufgelisteten einschließt, wird weiterhin als in den Umfang des Anspruchs fallend betrachtet. Darüber hinaus werden die Begriffe „erste/r/s“, „zweite/r/s“ und „dritte/r/s“ usw. in den folgenden Ansprüchen lediglich als Kennzeichnungen verwendet, und sie sind nicht dazu bestimmt, für deren Objekte numerische Anforderungen aufzuerlegen.
  • Die vorstehende Beschreibung soll veranschaulichend und nicht einschränkend sein. Zum Beispiel können die vorstehend beschriebenen Beispiele (oder ein oder mehrere Aspekte davon) in Kombination miteinander verwendet werden. Andere Ausführungsformen können verwendet werden, wie durch einen Durchschnittsfachmann nach Durchsicht der vorstehenden Beschreibung. Die Zusammenfassung soll es dem Leser erlauben, auf schnelle Weise die Art der technischen Offenbarung festzustellen, und sie wird ausgehend davon eingereicht, dass sie nicht dazu verwendet wird, den Schutzumfang oder die Bedeutung der Ansprüche auszulegen oder zu beschränken. Außerdem können in der vorstehenden detaillierten Beschreibung verschiedene Merkmale zusammengefasst sein, um die Offenbarung zu rationalisieren. Dies darf nicht so ausgelegt werden, dass ein nicht beanspruchtes offenbartes Merkmal für irgendeinen Anspruch wesentlich sein soll. Stattdessen kann ein Erfindungsgegenstand in weniger als allen Merkmalen einer bestimmten offenbarten Ausführungsform liegen. Daher werden die folgenden Ansprüche hiermit in die detaillierte Beschreibung aufgenommen, wobei jeder Anspruch für sich allein als eine separate Ausführungsform steht. Der Umfang der Ausführungsformen ist Bezug nehmend auf die beigefügten Ansprüche zusammen mit dem vollständigen Umfang von Äquivalenten, die von diesen Ansprüchen abgedeckt werden, zu bestimmen.

Claims (25)

  1. Verfahren zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das Verfahren Folgendes umfasst: Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  2. Verfahren nach Anspruch 1, wobei der Knoten durch eine Registrationsautorität registriert wird.
  3. Verfahren nach Anspruch 2, wobei die Registrationsautorität eine Rolle ist, die einem Routingknoten zugewiesen wird.
  4. Verfahren nach Anspruch 1, wobei der Inhaltsposten in einem Datenpaket zu dem Konsumentenknoten gesendet wird, das ein Datenpaket-Sicherheitsniveau umfasst, das es dem Konsumentenknoten erlaubt, bei Empfang des Datenpakets das Sicherheitsniveau zu verifizieren.
  5. Verfahren nach Anspruch 1, wobei die Menge von Inhaltposten bei Registration beim ICN in eine ICN-Routingtabelle und einen ICN-Cache aufgenommen wird.
  6. Verfahren nach Anspruch 1, ferner umfassend: Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Validieren einer in dem Interessepaket enthaltenen Gruppensignatur; und Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  7. Verfahren nach Anspruch 6, ferner umfassend: Einkapseln des Inhaltspostens in ein Datenpaket; Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  8. Verfahren nach Anspruch 6, ferner umfassend: Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  9. Verfahren nach Anspruch 8, ferner umfassend: Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  10. Verfahren nach Anspruch 1, ferner umfassend: Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Validieren eines Schlüsselstatus für einen dem Konsumentenknoten zugeordneten Schlüssel; und Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  11. Verfahren nach Anspruch 10, ferner umfassend: Empfangen einer Schlüsselstatusaktualisierung von dem Konsumentenknoten für den Schlüssel; Validieren der Schlüsselstatusaktualisierung; Zwischenspeichern der Schlüsselstatusaktualisierung in einen lokalen Schlüsselstatus-Cache des Knotens; und Synchronisieren der Schlüsselstatusaktualisierung mit anderen Knoten des ICN.
  12. Verfahren nach Anspruch 11, wobei Synchronisieren der Schlüsselstatusaktualisierung ferner Folgendes umfasst: Senden der Schlüsselstatusaktualisierung zu Schürferknoten im ICN; Senden der Schlüsselstatusaktualisierung von den Schürferknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Schürferknoten; und Senden der Schlüsselstatusaktualisierung von Routingknoten zu jeweiligen Schlüsselstatusaktualisierungs-Subskribenten der Routingknoten.
  13. Verfahren nach Anspruch 11, wobei die Schlüsselstatusaktualisierung gegenüber einer Aufzeichnung für den Schlüssel in der Schlüsselstatus-Blockkette validiert wird.
  14. Verfahren nach Anspruch 1, ferner umfassend: Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
  15. Verfahren nach Anspruch 14, wobei das Interessepaket durch einen Schlüssel signiert wird, der in einem Schlüssellager gespeichert wird, das in einer vertrauenswürdigen Ausführungsumgebung unterhalten wird.
  16. Verfahren nach Anspruch 15, wobei das Interessepaket durch einen im ICN ausgeführten Attestierungsknoten attestiert wird, wobei der Attestierungsknoten durch vertrauenswürdige Ausführungsumgebung gesichert wird.
  17. Verfahren nach Anspruch 16, wobei der Attestierungsknoten als eine Rolle auf einem im ICN operierenden Routingknoten ausgeführt wird.
  18. Verfahren nach Anspruch 15, wobei der Schlüssel ein durch einen Hersteller des Konsumentenknotens erzeugter Schlüssel ist.
  19. System zur Inhaltsablieferung auf Namenraumrichtlinien-Basis in informationszentrischen Netzwerken, wobei das System Folgendes umfasst: mindestens einen Prozessor; und Speicher mit Anweisungen, die, wenn sie durch den mindestens einen Prozessor ausgeführt werden, bewirken, dass der mindestens eine Prozessor Operationen ausführt zum Empfangen einer Registrationsanforderung von einem Knoten in einem informationszentrischen Netzwerk (ICN); Validieren von Berechtigungsnachweisen des Knotens, wobei Validieren der Berechtigungsnachweise Verifizieren eines Sicherheitsniveaus und einer Kategorie, die in den Berechtigungsnachweisen enthalten sind, umfasst; Registrieren des Knotens beim ICN auf der Basis von Ergebnissen der Validierung; Registrieren einer Menge von dem Knoten zugeordneten Inhaltsposten beim ICN; Empfangen eines Interessepakets von einem Konsumentenknoten für einen Inhaltsposten der Menge von Inhaltsposten, der ein Interessepaket-Sicherheitsniveau für den Inhaltsposten umfasst; Bestimmen von Konformität des Sicherheitsniveaus des Knotens mit dem Interessepaket-Sicherheitsniveau; und Senden des Inhaltspostens zu dem Konsumentenknoten als Reaktion auf die Konformitätsbestimmung.
  20. System nach Anspruch 19, das ferner Anweisungen umfasst, die den mindestens einen Prozessor zu Folgendem veranlassen: Bestimmen, dass das Interessepaket mit einem Gruppenschlüssel signiert wurde; Identifizieren, dass der Knoten ein Mitglied einer dem Gruppenschlüssel zugeordneten Gruppe ist; Validieren einer in dem Interessepaket enthaltenen Gruppensignatur; und Senden des Inhaltspostens zu dem Konsumentenknoten bei Validierung der Gruppensignatur.
  21. System nach Anspruch 20, das ferner Anweisungen umfasst, die den mindestens einen Prozessor zu Folgendem veranlassen: Einkapseln des Inhaltspostens in ein Datenpaket; Signieren des Datenpakets unter Verwendung des Gruppenschlüssels; und Senden des Datenpakets zu dem Konsumentenknoten, wobei eine in dem Datenpaket enthaltene Gruppensignatur von dem Konsumentenknoten verwendet wird, um die Authentizität des Datenpakets zu validieren.
  22. System nach Anspruch 20, das ferner Anweisungen umfasst, die den mindestens einen Prozessor zu Folgendem veranlassen: Bestimmen, dass der Knoten nicht ein Mitglied der dem Gruppenschlüssel zugeordneten Gruppe ist; und Verhindern der Sendung des Inhaltspostens zu dem Konsumentenknoten.
  23. System nach Anspruch 22, das ferner Anweisungen umfasst, die den mindestens einen Prozessor veranlassen zum Senden des Interessepakets zu einem zweiten Knoten, der Mitglied der Gruppe ist, um Sendung des Inhaltspostens zu dem Konsumentenknoten zu ermöglichen.
  24. System nach Anspruch 19, das ferner Anweisungen umfasst, die den mindestens einen Prozessor zu Folgendem veranlassen: Unterhalten einer Schlüsselstatus-Blockkette für Knoten im ICN; Validieren eines Schlüsselstatus für einen den Konsumentenknoten zugeordneten Schlüssel; und Senden des Inhalts zu dem Konsumentenknoten auf der Basis der Validierung des Schlüsselstatus.
  25. System nach Anspruch 19, das ferner Anweisungen umfasst, die den mindestens einen Prozessor zu Folgendem veranlassen: Identifizieren einer Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung und eines Nonce in dem Interessepaket; und Erzeugen eines einen Beweis umfassenden Datenpakets auf der Basis der Menge von Attestierungsansprüchen auf der Basis einer vertrauenswürdigen Ausführungsumgebung, des Nonce und des Inhaltspostens, wobei Senden des Inhaltspostens zu dem Konsumentenknoten Senden des Datenpakets zu dem Konsumentenknoten umfasst.
DE102020204846.0A 2019-06-27 2020-04-16 Inhaltsablieferung auf namenraumrichtlinien-basis in informationszentrischen netzwerken Pending DE102020204846A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US16/455,211 2019-06-27
US16/455,211 US11533316B2 (en) 2019-06-27 2019-06-27 Information-centric network namespace policy-based content delivery

Publications (1)

Publication Number Publication Date
DE102020204846A1 true DE102020204846A1 (de) 2020-12-31

Family

ID=68160598

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102020204846.0A Pending DE102020204846A1 (de) 2019-06-27 2020-04-16 Inhaltsablieferung auf namenraumrichtlinien-basis in informationszentrischen netzwerken

Country Status (2)

Country Link
US (1) US11533316B2 (de)
DE (1) DE102020204846A1 (de)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11088843B2 (en) * 2019-02-07 2021-08-10 Nebbiolo Technologies, Inc. Trusted virtual process execution contexts using secure distributed ledger
US20210314293A1 (en) * 2020-04-02 2021-10-07 Hewlett Packard Enterprise Development Lp Method and system for using tunnel extensible authentication protocol (teap) for self-sovereign identity based authentication
IL275954A (en) * 2020-07-09 2022-02-01 Google Llc Anonymous event confirmation with group signatures
US20220150169A1 (en) * 2020-11-06 2022-05-12 Electronics And Telecommunications Research Institute Method and apparatus for blockchain based on information-centric networking
CN114050914B (zh) * 2021-10-21 2022-08-02 广州大学 面向边缘控制器的可撤销轻量级群认证方法、系统和介质
US11863561B2 (en) * 2021-11-10 2024-01-02 Oracle International Corporation Edge attestation for authorization of a computing node in a cloud infrastructure system
CN116155578A (zh) * 2023-01-17 2023-05-23 金华高等研究院(金华理工学院筹建工作领导小组办公室) 一种命名数据网络兴趣泛洪攻击的阻止方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110178930A1 (en) * 2001-01-30 2011-07-21 Scheidt Edward M Multiple Level Access with SILOS
US7509491B1 (en) * 2004-06-14 2009-03-24 Cisco Technology, Inc. System and method for dynamic secured group communication
US8863227B2 (en) * 2011-01-05 2014-10-14 Futurewei Technologies, Inc. Method and apparatus to create and manage a differentiated security framework for content oriented networks
EP2536095B1 (de) * 2011-06-16 2016-04-13 Telefonaktiebolaget LM Ericsson (publ) Dienstzugangsauthentifizierungsverfahren und system
US11018886B1 (en) * 2018-09-20 2021-05-25 Cisco Technology, Inc. Methods and apparatus for selectively filtering an IP multicast data stream for selected group members of a multicast group

Also Published As

Publication number Publication date
US11533316B2 (en) 2022-12-20
US20190319964A1 (en) 2019-10-17

Similar Documents

Publication Publication Date Title
DE102020204846A1 (de) Inhaltsablieferung auf namenraumrichtlinien-basis in informationszentrischen netzwerken
EP3758334B1 (de) Optimierung des betriebs in icn-basierten netzwerken
US11489876B2 (en) System and apparatus for providing network security
US8863227B2 (en) Method and apparatus to create and manage a differentiated security framework for content oriented networks
US9240945B2 (en) Access, priority and bandwidth management based on application identity
US8079091B2 (en) Compliance processing of rights managed data
DE102019103890A1 (de) Vertrauenswürdige Übertragung des Besitzes von Peripherievorrichtungen
Dabholkar et al. Ripping the fabric: Attacks and mitigations on hyperledger fabric
DE102020203746A1 (de) Interworking-techniken informationszentrischer netzwerke
DE112017007393T5 (de) System und verfahren für netzwerkvorrichtungssicherheits- und vertrauenswertbestimmung
DE10296804T5 (de) Verfahren und System zum Autorisieren des Zugriffs auf Betriebsmittel auf einem Server
JP2009278624A (ja) コンテンツセントリックネットワークにおけるインタレストおよびコンテンツの拡散の制御
DE112016003268T5 (de) Systeme, Verfahren und Medien für Mediensitzungs-Parallelitätsmanagement mit wiederkehrenden Lizenzerneuerungen
US20030135468A1 (en) Overlay networks
DE202012013453U1 (de) Gehostete Speichersperrung
DE112016005914T5 (de) Organisch zusammensetzbare IDD-Netzwerke
DE102020204476A1 (de) Notfalldatensammlung in einem informationszentrischen netzwerk
US20200076856A1 (en) Policy separation
DE60309216T2 (de) Verfahren und vorrichtungen zur bereitstellung eines datenzugriffs
Hoang et al. A security-enhanced monitoring system for northbound interface in SDN using blockchain
US20150373140A1 (en) Client side initiated caching control
CN112307116A (zh) 基于区块链的数据访问控制方法、装置及设备
DE112020003252T5 (de) Orchestrierung von dynamischer berechnung in informationszentrierten netzwerken
Alsmadi The integration of access control levels based on SDN
Pampattiwar et al. CBSOACH: design of an efficient consortium blockchain-based selective ownership and access control model with vulnerability resistance using hybrid decision engine