WO2013013479A1 - 实体标识符分配系统、溯源、认证方法及服务器 - Google Patents

实体标识符分配系统、溯源、认证方法及服务器 Download PDF

Info

Publication number
WO2013013479A1
WO2013013479A1 PCT/CN2011/083696 CN2011083696W WO2013013479A1 WO 2013013479 A1 WO2013013479 A1 WO 2013013479A1 CN 2011083696 W CN2011083696 W CN 2011083696W WO 2013013479 A1 WO2013013479 A1 WO 2013013479A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
distribution node
authorization information
distribution
level
Prior art date
Application number
PCT/CN2011/083696
Other languages
English (en)
French (fr)
Inventor
马迪
王利明
田野
沈烁
王伟
Original Assignee
中国科学院计算机网络信息中心
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中国科学院计算机网络信息中心 filed Critical 中国科学院计算机网络信息中心
Publication of WO2013013479A1 publication Critical patent/WO2013013479A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses

Definitions

  • Entity identifier distribution system traceability, authentication method and server
  • the embodiments of the present invention relate to the field of network technologies, and in particular, to an entity identifier distribution system, a source tracing, an authentication method, and a server. Background technique
  • an IP address is both an identity of a network access entity (such as a host and a user) and a location identifier of a network access entity.
  • a network access entity such as a host and a user
  • a location identifier of a network access entity.
  • the IP address also changes, which makes the network access entity unable to obtain a relatively fixed entity identifier.
  • IEEE-EUI64 is a use.
  • the 64-bit address generation method after the host MAC address generates an IPv6 address.
  • the route prefix of the IPv6 address (the first 64 bits of the IPv6 address) is obtained through the route advertisement of the router on the link (usually the first hop router), and the interface ID (the last 64 bits of the IPv6 address) is 48 bits.
  • the MAC address conversion is obtained. Since the MAC address is assigned by the IEEE to the network card manufacturer and is distributed along with the sale of the network card, the MAC address naturally lacks a management system and has the following problems:
  • the MAC address does not have a registration mechanism like the IP address and a public resolution system. The corresponding host information and user information cannot be queried. The MAC address does not have a secure binding mechanism with the Internet's actors, and the MAC can be forged by the user.
  • This method does not provide verification of the authenticity of the IP address, so the host user can construct the IP address without restriction by modifying the MAC address.
  • CGA Cryptographically Generated Addresses
  • Embodiments of the present invention provide an entity identifier distribution system, a source tracing, an authentication method, and a server, so as to solve the problem that a network access entity obtains a relatively fixed identifier in the prior art cannot simultaneously satisfy the traceable and user identity verifiable.
  • the problem of demand is a problem that a network access entity obtains a relatively fixed identifier in the prior art cannot simultaneously satisfy the traceable and user identity verifiable.
  • an embodiment of the present invention provides an entity identifier allocation system, including: a tree-connected entity identifier EI allocation root node, an intermediate-level EI distribution node, and a leaf EI distribution node;
  • the EI distribution node that requests the allocation of the EI resource is authenticated, and after the verification is passed, the EI resource is allocated to the next-level EI distribution node, and the authorization information of the next-level EI distribution node is generated.
  • the intermediate level EI allocation node is configured to request an EI resource to be allocated to the EI distribution node, and allocate the EI resource allocated by the EI resource to the next EI resource after the EI resource allocated by the upper EI distribution node is allocated.
  • the node performs identity verification, and after the verification is passed, the EI resource is allocated to the next-level EI distribution node, and the authorization information of the next-level EI distribution node is generated;
  • the leaf EI allocation node is configured to request an EI resource by the EI distribution node, and after the EI resource allocated by the upper EI distribution node is allocated, perform identity verification on the network access entity that requests the EI to be allocated. After the verification is passed, the EI is allocated to the network access entity to enable the network access entity to generate an IP address according to the EI, and the authorization information of the network access entity is generated.
  • an embodiment of the present invention provides a traceability method based on the foregoing entity identifier allocation system, including:
  • the traceability device Based on the EI of the source to be traced, the traceability device allocates the root node to the EI to query the authorization information of the EI allocation object;
  • the EI distribution root node returns an identifier of the next-level EI distribution node to the traceability device, and the EI resource allocated by the next-level EI distribution node from the EI distribution root node includes the EI;
  • the traceability device queries the next-level EI distribution node to query the authorization information of the EI assignment object, until the identifier of the leaf EI distribution node is received, and the EI resource allocated by the leaf EI distribution node includes the EI;
  • the traceability device queries the leaf EI distribution node to query the authorization information of the EI assignment object; the leaf EI distribution node determines the authorization information of the EI assignment object that is allocated the EI, and authorizes the EI assignment object Information is sent to the traceability device.
  • an embodiment of the present invention provides an access authentication method based on the foregoing entity identifier allocation system, including:
  • an embodiment of the present invention provides an access authentication server, which interacts with the entity identifier distribution system as described above, and includes:
  • a receiving module configured to receive an access authentication request sent by the network access entity, where the source IP address of the access authentication request includes an entity identifier EI of the network access entity;
  • an obtaining module configured to obtain, by the EI distribution system, authorization information of the EI allocation object
  • an authentication module configured to perform access authentication on the network access entity according to the authorization information of the EI allocation object.
  • the embodiment of the present invention adopts a tree-shaped entity identifier EI allocation system, and each EI distribution node/network access entity except the EI distribution root node After the authentication is required, the EI resource/EI can be allocated from the upper-level distribution node, and the authorization information of each EI distribution node/network access entity is generated, and the network access entity requesting the IP address can be used in the allocated EI.
  • the network access entity is authenticated according to the authorization information of the EI in the EI distribution system, so that the network access entity obtains a relatively fixed identifier, and simultaneously meets the traceable and user identity verifiable requirements. .
  • FIG. 1 is a schematic structural diagram of an embodiment of an entity identifier EI distribution system according to an embodiment of the present invention.
  • FIG. 2 is a schematic diagram of an application of the embodiment shown in FIG. 1.
  • FIG. 2 is a schematic diagram of an application of the embodiment shown in FIG. 1.
  • FIG. 3 is a schematic flowchart of an embodiment of a traceability method based on an EI distribution system according to an embodiment of the present invention.
  • FIG. 4 is a schematic flowchart of an embodiment of an access authentication method based on an EI distribution system according to an embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of an implementation example of an access authentication server based on an EI distribution system according to an embodiment of the present invention. detailed description
  • FIG. 1 is a schematic structural diagram of an embodiment of an Entity Identifier (EI) allocation system according to an embodiment of the present invention. As shown in Figure 1, the system includes:
  • EI assigns root node 1 1.
  • the EI allocates the root node 1 1 for authenticating the next-level EI distribution node that requests the allocation of the EI resource, and after the verification, assigns the EI resource to the next-level EI distribution node, and generates the next-level EI distribution node.
  • Authorization information
  • the intermediate-level EI distribution node 12 is configured to allocate an EI resource to the upper-level EI distribution node, and allocate the EI resource allocated by the upper-level EI distribution node, and allocate the node to the next-level EI requesting the EI resource.
  • authentication after the verification is passed, allocating EI resources to the next-level EI distribution node, and generating authorization information of the next-level EI distribution node;
  • the leaf EI distribution node 13 is configured to request an EI resource from the upper EI distribution node, and after the EI resource allocated by the upper EI distribution node is allocated, perform identity verification and verification on the network access entity that requests the EI to be allocated. Allocating EI to the network access entity by post- The network access entity generates an IP address according to the EI, and generates authorization information of the network access entity.
  • the intermediate level EI distribution node 12 may have one or more levels, and the division level of the EI allocation hierarchy is not fixed. Each subtree in the EI distribution system may be adjusted according to actual conditions. This embodiment does not limit this. For example, if the intermediate-level EI distribution node has two levels, the direct connection with the EI-distributed root node 11 may be referred to as a top-level EI distribution node, and the direct connection with the leaf EI allocation node may be referred to as a secondary EI distribution node.
  • the upstream assigns the EI's assigned object to the authentication, and after the verification passes, it authorizes the EI resource downstream, and is responsible for maintaining the allocation information of the EI or EI segment.
  • the EI-allocation root node assigns the EI resource with the prefix 40/8 to the top-level EI distribution node A, where 40/8 represents the EI prefix starting with 0x40, representing an EI resource with an identifier aggregation, and EI allocation.
  • the root node assigns the EI resource with the prefix 41/8 to the top EI distribution node B, and the EI resource with the prefix 4F/8 to the top EI distribution node X;
  • the top EI allocation node B with the prefix 410001/24 EI allocates its resources to the secondary EI allocation structure A, assigns its EI with the prefix 41FFFF/24 its resources to the secondary EI allocation structure X;
  • the secondary EI allocation organization A assigns the EI resource with the prefix 4100010001/40 to the EI Assigning agent A (ie, leaf EI distribution node), assigning EI resource with prefix 410001FFFF/40 to EI distribution agent X;
  • EI distribution agent X assigning EI of 410001FFFFAB5678 to network access entity HI, assigning EI of 410001FFFF5EF987
  • the network access entity H2 is given.
  • the authorization information here may include the identifier of the EI resource allocated by the EI resource allocation object, the identifier of the EI resource allocation object, the public key, and the identifier of the EI resource distributor.
  • the EI resource is generally identified by an EI prefix. If the EI resource allocation object is a network access entity, the authorization information optionally further includes an expiration date of the EI.
  • the content of the authorization information may be deleted or expanded according to the requirements of the actual application, which is not limited in this embodiment.
  • the system in order to facilitate the third party to query the allocation of the EI resource/EI and the authorization information, the system further includes:
  • EI information root server 21 intermediate level EI information server 22 and leaf EI information server
  • the EI information root server 21 corresponds to the EI distribution root node 11 and is used to store the EI distribution root.
  • the authorization information of the EI resource allocation object of the node 11 and the authorization information of the EI resource allocation object of the EI distribution root node 11 include the identifier of the EI resource allocated by the EI resource allocation object, the identifier of the EI resource allocation object, and the public key.
  • the identifier of the EI information server corresponding to the EI resource allocation object and the identifier of the EI distribution node 11;
  • the intermediate level EI information server 22, corresponding to the intermediate level EI distribution node 12, is configured to store the authorization information of the EI resource allocation object of the corresponding intermediate level EI distribution node 12, and the EI resource allocation object of the intermediate level EI allocation node
  • the authorization information includes an identifier of the EI resource to which the EI resource allocation object is allocated, an identifier of the EI resource allocation object, a public key, an identifier of the EI information server corresponding to the EI resource allocation object, and an intermediate level EI distribution node 12 Identification
  • the leaf EI information server 23, corresponding to the leaf EI distribution node 13 - is configured to store the authorization information of the EI assignment object of the corresponding leaf EI distribution node 13, and the authorization information of the EI assignment object of the leaf EI distribution node includes the The EI of the EI allocation object, the identity information of the EI allocation object, the public key, and the identifier of the leaf EI distribution node 13;
  • the EI distribution root node 11 is specifically configured to: after the verification, send the authorization information and the private key of the next-level EI distribution node to the next-level EI distribution node, and allocate the authorization information of the node to the next-level EI. Send to the EI information root server 21;
  • the intermediate-level EI distribution node 12 is specifically configured to: receive the authorization information and the private key of the intermediate-level EI distribution node sent by the upper-level EI distribution node, and send the identifier to the next-level EI distribution node after the verification is passed
  • the next-level EI assigns the private key of the node, and sends the authorization information of the next-level EI distribution node to the corresponding intermediate-level EI information server 22;
  • the leaf EI distribution node 13 is specifically configured to: receive the authorization information and the private key of the leaf EI distribution node sent by the upper-level EI distribution node, and send the network access entity to the network access entity after the verification succeeds The private key, and the authorization information of the network access entity is sent to the corresponding leaf EI information server 23.
  • the private key here is corresponding to the public key of the EI resource/EI allocation object in the authorization information, and the EI resource/EI allocation object is signed with the private key, and can be verified by the public key in the authorization information.
  • the private key may be issued at the same time as the public key is issued, or the EI resource/EI allocation object (such as a network access entity) may generate a public key and a private key by itself, and then notify the EI resource/EI assigner of the public key.
  • each EI information server can also be saved. Its own authorization information.
  • Table 1 gives a list of possible EI resource authorization information
  • Table 2 gives an example of a single granularity of EI authorization information.
  • an IP address may be generated according to the EI, and the IP address is used as an identifier of the access network of the network access entity.
  • the prefix of the IP address is used to identify the access location of the network access entity, the location correlation of the IP address cannot be changed under the existing Internet architecture, and the EI-based IPv6 address is sought in the non-routing identification part of the IPv6 address. Carry the identity of the network access entity.
  • the EI-based IPv6 address structure can be as shown in Table 3.
  • the network prefix is the location identifier of the network access entity, which is no different from the traditional IPv6 address prefix.
  • EI is a 64-bit bit string, for example
  • the access network control entity such as the first hop router or the Dynamic Host Configuration Protocol (DHCP) server, provides the host with the network prefix part of the IPv6 address, that is, IPv6.
  • the first 64 bits of the address the host combines the 64-bit network prefix part and the allocated ⁇ to form a routable IPv6 address.
  • the two EI management methods mentioned in the following are two implementations of the EI-based IPv6 address, which are also two implementation scenarios of the embodiment.
  • the Internet basic resource allocation mechanism may be an Internet Assigned Numbers Authority (Internet Assigned Numbers Authority). Referred to as IANA).
  • the EI-based IPv6 address is compatible with the current mainstream MAC address-based IPv6 address self-configuration function.
  • the IPv6 address self-configuration method based on the MAC address fixedly sets the "intermediate 16 bits" in the last 64 bits of the IPv6 address to 0xFFFE.
  • the middle 16 bits of the 64-bit IPv6 address can be used as the identifier type value. If the identifier type value is OxFFFE, The last 64 bits of the IPv6 address are not configured with the EI. They are traditional IPv6 addresses and can be generated using the MAC address.
  • the IPv6 address is an EI-based IPv6 address. For example, when the identifier type value is used. When 0x1234, the EI can be used to identify the network access entity.
  • identification type value 64 bits after the IPv6 address reduces the impact of EI-based IPv6 address design on IPv6 address space reduction.
  • the current IPv6 address allocation is performed on the previous 64-bit unit, that is, the allocation of the IPv6 address is actually the allocation of the network prefix. Therefore, the 64-bit design after the IPv6 address is largely for the redundancy of the address. In actual applications, it is impossible to mount 264 hosts on one link.
  • the application of the EI-based IPv6 address can improve the utilization of the entire IPv6 address space.
  • the embodiment of the present invention adopts a tree-shaped entity identifier EI allocation system, and each EI distribution node/network access entity except the EI distribution root node needs to perform identity verification before the EI resource can be allocated from the upper-level distribution node.
  • EI the authorization information of each EI distribution node/network access entity is generated, and the network access entity that uses the allocated EI to construct the IP address can request the access network according to the authorization information of the EI in the EI distribution system.
  • the access entity performs authentication so that the network access entity obtains a relatively fixed identity while satisfying the verifiable requirements of the traceable and user identity.
  • FIG. 3 is a schematic diagram of a method for tracing source based on an EI distribution system according to an embodiment of the present invention Schematic diagram of the process.
  • the EI distribution system is a system as described in the embodiment of the present invention. As shown in FIG. 3, the method includes:
  • Step 301 The traceability device allocates the root node to the EI to query the authorization information of the EI allocation object, based on the EI of the source to be traced.
  • the source device here is usually a network management device.
  • the traceability process shown in Figure 4 can be initiated for any EI, and the address information of the root node can be pre-configured by the EI.
  • the authorization information of the EI assignment object includes the EI allocated by the EI assignment object, the identity information of the EI assignment object, the public key, the identifier of the leaf EI distribution node, and the validity period of the EI.
  • the traceability device may only query any one or more pieces of information included in the authorization information of the EI assignment object, which is not limited in this embodiment.
  • Step 302 The EI distribution root node returns the authorization information of the next-level EI distribution node to the traceability device, and the EI resource allocated by the next-level EI distribution node from the EI distribution root node includes the EI;
  • Step 303 The source-trading device queries the next-level EI distribution node to query the authorization information of the EI allocation object, and the EI resource allocated by the leaf EI distribution node is included.
  • the number of traceability of the source device may be one or more times.
  • the authorization information returned by the EI distribution node at each level can also be encrypted by its own private key, and the traceability device verifies the authorization information returned by each level of the EI distribution node step by step with the corresponding public key.
  • the traceability device extracts the public key of the next-level EI distribution node from the authorization information of the next-level EI distribution node sent by the EI distribution root node, and then uses the public key to allocate the node to the next-level EI. The returned authorization information of the next-level EI distribution node is verified.
  • Step 304 The traceability device allocates, to the leaf EI, a node to query authorization information of the EI allocation object.
  • Step 305 The leaf EI distribution node determines the authorization information of the EI allocation object that is allocated the EI, and sends the authorization information of the EI allocation object to the traceability device.
  • step 301 specifically includes: The traceability device allocates the EI information root node corresponding to the root node to the EI to query the authorization information of the EI allocation object;
  • Step 302 specifically includes:
  • the EI information root server the identifier of the next-level EI distribution node to the traceability device
  • Step 303 specifically includes:
  • the source-trading device queries the next-level EI information server corresponding to the next-level EI distribution node to query the authorization information of the EI-assigned object;
  • Step 304 specifically includes:
  • the source device queried the leaf EI information server corresponding to the leaf EI distribution node to query the authorization information of the EI allocation object;
  • Step 305 specifically includes:
  • leaf EI information server determines the authorization information of the EI allocation object, and sends the authorization information of the EI allocation object to the traceability device.
  • the traceability device first sends an EI information root server corresponding to the EI root node to initiate an analysis request for EI 410001FFFFAB5678, and the EI information server performs prefix matching according to the allocation information of the EI resource and 410001FFFFAB5678,
  • the matching result that is, the addressing information of the EI information server responsible for maintaining the EI segment 41/8, tells the traceability device; and so on, the traceability device successively obtains the EI information server of the EI segment 410001/24, the EI segment 410001FFFF/40.
  • the information of the EI assignment object of the EI is 410001FFFFAB5678 is obtained by the source device obtaining the parsing request for the 410001FFFFAB5678 initiated by the leaf EI information server of 410001FFFF/40.
  • the traceability device can customize different resolution requests according to requirements, and can request all authorization information of the EI at one time, or specify the authorization information required in the analysis request, for example, query the validity period of the EI.
  • This embodiment adopts a technical method of hierarchical query based on the tree structure of the EI distribution system, which can realize the traceability of the EI and obtain the related information of the EI distribution object.
  • FIG. 4 is a schematic flowchart of an embodiment of an access authentication method based on an EI distribution system according to an embodiment of the present invention.
  • the EI distribution system is a system according to an embodiment of the EI distribution system provided by the embodiment of the present invention. As shown in FIG. 4, the method includes:
  • Step 401 Receive an access authentication request sent by a network access entity, where the access authentication is requested.
  • the source IP address of the request includes the EI of the network access entity;
  • the access authentication server receives an access authentication request sent by the network access entity.
  • the network access entity allocates its own EI from the EI distribution system, and constructs its own IP address according to the EI and the network prefix, that is, the source IP address of the access authentication request.
  • Step 402 Obtain authorization information of the EI allocation object from the EI distribution system.
  • the EI distribution system generates an authorization information of the EI allocation object when the EI is allocated, where the authorization information generally includes the EI allocation.
  • Step 403 Perform access authentication on the network access entity according to the authorization information of the EI allocation object.
  • the EI distribution system also distributes the authorization information to the EI allocation object when allocating the EI.
  • the authorization information includes the public key
  • the private key corresponding to the public key may also be sent to the EI distribution object.
  • the access authentication request may be signed by using the private key, so that the step 303 may be based on the authorization information of the EI allocation object obtained from the EI distribution system.
  • the public key performs signature verification on the access authentication request. If the verification succeeds, the identity of the network access entity is confirmed, and the network access entity is allowed to access the network. If the verification fails, the network access entity is denied access to the network.
  • the EI allocation object may also carry its own identifier in the access authentication request, and in step 403, the identifier of the EI allocation object in the authorization information of the EI allocation object obtained from the EI distribution system may be The identifiers of the network access entities in the access authentication request are compared. If they are consistent, the identity of the network access entity is confirmed, and the network access entity is allowed to access the network. If not, the network access entity is denied access to the network. This embodiment does not limit this.
  • step 402 may specifically include:
  • the leaf EI information server corresponding to the leaf EI distribution node acquires the authorization information of the EI allocation object signed by the private key of the leaf EI distribution node.
  • the authorization information of the network access entity includes an identifier of the distributor of the EI to the network access entity, and the EI is assigned to the network access entity according to the architecture of the EI distribution system. Often the leaf EI distribution node.
  • the network access entity may also include its authorization information in the access authentication request, which is not limited in this embodiment.
  • the step 402 may specifically include:
  • the leaf EI information server corresponding to the leaf EI distribution node acquires the authorization information of the EI assignment object signed with the private key of the leaf EI distribution node.
  • the access authentication server obtains the authorization information of the EI allocation object by directly querying the EI allocation system according to the EI of the network access entity.
  • the foregoing process may refer to an embodiment of the traceability method based on the EI distribution system provided by the embodiment of the present invention.
  • the step 403 may further include: if the leaf EI is allocated The node is in the trust list, and the public key of the leaf EI distribution node is obtained from the trust list, the trust list includes at least one trusted EI distribution node and a corresponding public key, and the EI distribution node allocates a root for the EI. Node, intermediate EI distribution node or leaf EI distribution node.
  • the trust list here includes the identifier of the EI distribution node trusted by the access authentication server and its corresponding public key, and optionally also the addressing information of the EI information server corresponding to the trusted EI distribution node, and the EI distribution node includes the EI distribution root. Node, intermediate EI distribution node, or leaf EI distribution node.
  • the trust list includes at least an identifier of the EI distribution root node, and if the authorization information of a network access entity/EI distribution node shows that the EI/EI resource distributor is an EI distribution root node, and the EI allocates the root node and If it is not in the trust list, it indicates that the EI distribution root node in the authorization information is forged, and the verification fails.
  • the leaf EI allocation node if the leaf EI allocation node is not in the trust list, determining an upper EI allocation node of the leaf EI distribution node; And if the upper-level EI distribution node is in the trust list, obtaining a public key of the upper-level EI distribution node from the trust list, and assigning a previous level corresponding to the node from the upper-level EI
  • the EI information server acquires the authorization information of the leaf EI distribution node by using the private key of the upper-level EI distribution node;
  • the authorization information of the leaf EI distribution node is parsed, and the public key of the leaf EI distribution node is determined.
  • the leaf EI information server corresponding to the leaf EI distribution node may be actively queried for the authorization information of the leaf EI distribution node, or implemented similarly to the present invention.
  • the method according to the embodiment of the EI distribution system of the EI distribution system obtains the authorization information of the leaf EI distribution node from the trusted EI distribution root node, and then assigns the authorization information of the node according to the leaf EI.
  • the distributor field in the middle determines the upper EI distribution node of the leaf EI distribution node. This embodiment is not limited thereto.
  • the EI distribution node may be authenticated to the EI distribution node.
  • the EI distribution root node is a trusted EI distribution node, if the upper EI distribution node is not in the trust list, the method may further include:
  • the EI distribution node that is not in the trust list but passed the verification may be added to the trust list, and the verification includes:
  • the leaf EI distribution node is added to the trust list.
  • the access authentication request further includes a signature of the private key of the network access entity on the access authentication request, where the leaf EI distribution node is obtained.
  • step 403 may specifically include:
  • the authorization information of the EI allocation object may further include an expiration date of the EI.
  • the method further includes:
  • the access authentication request sent by the network access entity is received, where the source IP address of the access authentication request includes the EI of the network access entity, and the EI allocation object is obtained from the EI distribution system.
  • Authorization information the technical means for performing access authentication on the network access entity according to the authorization information of the EI allocation object, may perform access authentication on the network access entity based on the authorization information generated when the EI distribution system allocates the EI, Verification of the authenticity of the user's address.
  • FIG. 5 is a schematic structural diagram of an embodiment of an access authentication server according to an embodiment of the present invention.
  • the access authentication server interacts with the system described in the embodiment of the EI distribution system provided by the embodiment of the present invention. As shown in FIG. 5, the server includes:
  • the receiving module 51 is configured to receive an access authentication request sent by the network access entity, where the source IP address of the access authentication request includes an EI of the network access entity;
  • An obtaining module 52 configured to acquire, from the EI distribution system, authorization information of the EI allocation object
  • the authentication module 53 is configured to perform access authentication on the network access entity according to the authorization information of the EI allocation object.
  • the specific implementation of this embodiment refers to an access authentication embodiment based on the EI distribution system provided by the present invention.
  • the access authentication request sent by the network access entity is received, where the source IP address of the access authentication request includes the EI of the network access entity, and the EI allocation object is obtained from the EI distribution system.
  • Authorization information the technical means for performing access authentication on the network access entity according to the authorization information of the EI allocation object, may perform access authentication on the network access entity based on the authorization information generated when the EI distribution system allocates the EI, Verification of the authenticity of the user's address.
  • the foregoing program may be stored in a computer readable storage medium, and the program is executed to perform the steps including the foregoing method embodiments; and the foregoing storage medium includes: a ROM, A variety of media that can store program code, such as RAM, disk, or optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明实施例提供一种实体标识符分配系统、溯源、认证方法及服务器。本发明实施例采用树形的实体标识符EI分配系统，除EI分配根节点之外的各EI分配节点/网络接入实体都需进行身份验证后才能从上一级分配节点分配得到EI资源/EI，生成了各EI分配节点/网络接入实体的授权信息，可以在使用分配得到的EI构造IP地址的网络接入实体请求接入网络时根据EI分配系统中的该EI的授权信息对网络接入实体进行身份验证，使得在网络接入实体获得相对固定标识的基础上，同时满足可溯源和使用者身份可验证的需求。

Description

实体标识符分配系统、 溯源、 认证方法及服务器 技术领域
本发明实施例涉及网络技术领域， 尤其是一种实体标识符分配系统、 溯源、 认证方法及服务器。 背景技术
在当前互联网的体系结构下， IP地址既是网络接入实体 (如主机和使用 者） 的身份标识， 又是网络接入实体的定位标识。 在实际应用中， 由于网络 接入实体经常变换接入位置， IP地址也会随之发生变化， 这使得网络接入实 体无法获得相对固定的实体标识。
为 jth , 电气和电子工程师十办会 ( Institute of Electrical and Electronics Engineers, 简称 IEEE )提出了 64位扩展唯一标识符 ( 64-bit extended unique identifier, 简称 IEEE-EUI64 ) , IEEE-EUI64是一种利用主机 MAC地址生成 IPv6地址后 64位的地址生成方式。 该地址生成方式中， IPv6地址的路由前 缀（ IPv6地址的前 64位 )通过链路上路由器（通常是第一跳路由器）的路由 通告得到， 接口 ID ( IPv6地址的后 64位） 由 48位的 MAC地址转换得到。 由于 MAC地址是由 IEEE分配给网卡制造商的，伴随着网卡的销售而完成分 配的， 因此 MAC地址天然地缺乏管理体系， 存在以下问题：
1 )难以溯源
尽管 MAC 地址的分配也独立于互联网服务提供商 （Internet Service Provider, 简称 ISP ) , 但 IEEE-EUI64的设计初衷是为了提供 "即插即用" 功能， 并无太多身份认证上的考量。 MAC地址没有 IP地址那样的注册机制 和公共的解析系统， 其对应的主机信息和使用者信息无法查询。 MAC地址也 没有与互联网的行为主体有安全的绑定机制， MAC可以任由用户伪造。
2 ) IEEE-EUI64方式的地址生成方式缺乏险证机制
该方式不能提供对 IP地址真实性的验证， 因此主机使用者可以通过修改 MAC地址来无限制地构造 IP地址。
密钥生成地址（ Cryptographically Generated Addresses , 简称 CGA )是另 一种基于 IPv6自配置机制的地址生成机制， CGA地址的后 64位由地址使用 者的公钥哈希生成。 CGA尽管可以用来验证 IP地址的真实性， 但使用者的 身份信息无法解析。 也就是说， 使用者可以在不同时间使用不同的公钥构造 不同的 CGA 地址来隐藏自己的身份。 另外， 还有标识符定位网络协议 ( Identifier-Locator Network Protocol, 简称 ILNP )等一些改进技术， 其中部 分技术还需要对 IP的工作机制加以修改， 可行性差。
在实现本发明的过程中， 发明人发现： 现有技术中网络接入实体获得相 对固定标识的方法无法同时满足可溯源和使用者身份可验证的需求。 发明内容 本发明实施例提供一种实体标识符分配系统、 溯源、认证方法及服务器， 以解决现有技术中网络接入实体获得相对固定标识的方法无法同时满足可溯 源和使用者身份可验证的需求的问题。
一方面， 本发明实施例提供了一种实体标识符分配系统， 包括： 树状连 接的实体标识符 EI分配根节点、 中间级 EI分配节点和叶子 EI分配节点； 所述 EI分配根节点， 用于对请求分配 EI资源的下一级 EI分配节点进行 身份验证， 验证通过后向所述下一级 EI分配节点分配 EI资源， 生成所述下 一级 EI分配节点的授权信息；
所述中间级 EI分配节点， 用于向上一级 EI分配节点请求分配 EI资源， 并在分配得到所述上一级 EI分配节点分配的 EI资源后， 对请求分配 EI资源 的下一级 EI分配节点进行身份验证， 验证通过后向所述下一级 EI分配节点 分配 EI资源， 生成所述下一级 EI分配节点的授权信息；
所述叶子 EI分配节点， 用于向上一级 EI分配节点请求 EI资源， 并在分 配得到所述上一级 EI分配节点分配的 EI资源后， 对请求分配 EI的网络接入 实体进行身份验证，验证通过后向所述网络接入实体分配 EI以使所述网络接 入实体根据所述 EI生成 IP地址， 生成所述网络接入实体的授权信息。
另一方面， 本发明实施例提供了一种基于上述实体标识符分配系统的溯 源方法， 包括：
基于待溯源的 EI, 溯源设备向 EI分配根节点查询所述 EI分配对象的授 权信息； 所述 EI分配根节点向所述溯源设备返回下一级 EI分配节点的标识， 所 述下一级 EI分配节点从所述 EI分配根节点分配得到的 EI资源包含所述 EI;
所述溯源设备向所述下一级 EI分配节点查询分配所述 EI分配对象的授 权信息， 直至接收到叶子 EI分配节点的标识， 所述叶子 EI分配节点分配得 到的 EI资源包含所述 EI;
所述溯源设备向所述叶子 EI分配节点查询所述 EI分配对象的授权信息； 所述叶子 EI分配节点确定分配得到所述 EI的 EI分配对象的授权信息， 并将所述 EI分配对象的授权信息发送给所述溯源设备。
另一方面， 本发明实施例提供了一种基于上述实体标识符分配系统的接 入认证方法， 包括：
接收网络接入实体发送的接入认证请求， 所述接入认证请求的源 IP地址 包含所述网络接入实体的实体标识符 EI;
从所述 EI分配系统获取所述 EI分配对象的授权信息；
根据所述 EI分配对象的授权信息对所述网络接入实体进行接入认证。 另一方面， 本发明实施例提供了一种接入认证服务器， 与如上所述的实 体标识符分配系统交互， 包括：
接收模块， 用于接收网络接入实体发送的接入认证请求， 所述接入认证 请求的源 IP地址包含所述网络接入实体的实体标识符 EI;
获取模块， 用于从所述 EI分配系统获取所述 EI分配对象的授权信息； 认证模块，用于根据所述 EI分配对象的授权信息对所述网络接入实体进 行接入认证。
以上多个技术方案中的一个技术方案具有如下优点或有益效果： 本发明实施例采用树形的实体标识符 EI分配系统， 除 EI分配根节点之 外的各 EI分配节点 /网络接入实体都需进行身份验证后才能从上一级分配节 点分配得到 EI资源 /EI, 生成了各 EI分配节点 /网络接入实体的授权信息， 可 以在使用分配得到的 EI构造 IP地址的网络接入实体请求接入网络时根据 EI 分配系统中的该 EI的授权信息对网络接入实体进行身份验证，使得在网络接 入实体获得相对固定标识的基础上， 同时满足可溯源和使用者身份可验证的 需求。 附图说明
图 1为本发明实施例提供的一种实体标识符 EI分配系统实施例的结构示 意图。
图 2为图 1所示实施例的一种应用示意图。
图 3为本发明实施例提供的一种基于 EI分配系统的溯源方法实施例的流 程示意图。
图 4为本发明实施例提供的一种基于 EI分配系统的接入认证方法实施例 的流程示意图。
图 5为本发明实施例提供的一种基于 EI分配系统的接入认证服务器实施 例的结构示意图。 具体实施方式
为使本发明实施例的目的、 技术方案和优点更加清楚， 下面将结合本 发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描 述， 显然， 所描述的实施例是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创造性劳动前提 下所获得的所有其他实施例， 都属于本发明保护的范围。
图 1为本发明实施例提供的一种实体标识符 （Entity Identifier, 简称 EI ) 分配系统实施例的结构示意图。 如图 1所示， 该系统包括：
EI分配根节点 1 1、 中间级 EI分配节点 12和叶子 EI分配节点 13 ;
EI分配根节点 1 1 ,用于对请求分配 EI资源的下一级 EI分配节点进行 身份验证， 验证通过后向所述下一级 EI分配节点分配 EI资源， 生成所述 下一级 EI分配节点的授权信息；
中间级 EI分配节点 12 ,用于向上一级 EI分配节点请求分配 EI资源 , 并在分配得到所述上一级 EI分配节点分配的 EI资源后 , 对请求分配 EI 资源的下一级 EI分配节点进行身份验证， 验证通过后向所述下一级 EI分 配节点分配 EI资源， 生成所述下一级 EI分配节点的授权信息；
叶子 EI分配节点 13 , 用于向上一级 EI分配节点请求 EI资源， 并在 分配得到所述上一级 EI分配节点分配的 EI资源后， 对请求分配 EI的网 络接入实体进行身份验证， 验证通过后向所述网络接入实体分配 EI以使 所述网络接入实体根据所述 EI生成 IP地址， 生成所述网络接入实体的授 权信息。
应用中， 中间级 EI分配节点 12可能有一级或多级， EI的分配层次的 划分也不是固定的， EI分配系统中各个子树可以根据实际情况进行调整。 本实施例对此不作限定。 举例来说， 若中间级 EI分配节点有两级， 与 EI 分配根节点 11直接连接的可以称为顶级 EI分配节点， 与叶子 EI分配节 点直接连接的可以称为次级 EI分配节点。 在 EI分配系统中， 分配上游对 EI的分配对象进行身份验证， 验证通过后向其下游授权 EI资源， 负责维 护 EI或者 EI段的分配信息。 如图 2所示， EI分配根节点将前缀为 40/8 的 EI资源分配给了顶级 EI分配节点 A, 其中 40/8表示以 0x40开头的 EI 前缀， 代表一段标识聚合的 EI资源， EI分配根节点将前缀为 41/8的 EI 资源分配给了顶级 EI分配节点 B,将前缀为 4F/8的 EI资源分配给了顶级 EI分配节点 X； 顶级 EI分配节点 B将前缀为 410001/24的 EI其资源分配 给次级 EI分配结构 A, 将前缀为 41FFFF/24的 EI其资源分配给次级 EI 分配结构 X； 次级 EI分配机构 A将前缀为 4100010001/40的 EI资源分配 给了 EI分配代理 A (即叶子 EI分配节点 ) , 将前缀为 410001FFFF/40的 EI资源分配给了 EI分配代理 X； EI分配代理 X将 410001FFFFAB5678的 EI分配给了网络接入实体 HI , 将 410001FFFF5EF987的 EI分配给了网络 接入实体 H2。
这里的授权信息通常可以包含 EI资源分配对象分配得到的 EI资源的 标识， 所述 EI资源分配对象的标识、 公钥， 所述 EI资源分配者的标识等 信息。 其中， 所述 EI资源通常以 EI前缀来标识， 若所述 EI资源分配对象 为网络接入实体， 授权信息可选地还包含所述 EI的有效期。 当然， 授权 信息的内容可以根据实际应用的需求进行删减或扩展， 本实施例对此不作 限定。
在本发明的一个可选的实施例中， 为了方便第三方对 EI资源 /EI的分 配情况及授权信息进行查询， 所述系统还包括：
EI信息根服务器 21、 中间级 EI信息服务器 22和叶子 EI信息服务器
23;
EI信息根服务器 21 , 与 EI分配根节点 11对应， 用于存储 EI分配根 节点 11的 EI资源分配对象的授权信息， EI分配根节点 11的 EI资源分配 对象的授权信息包括 EI资源分配对象分配得到的 EI资源的标识， 所述 EI 资源分配对象的标识、 公钥， 所述 EI资源分配对象对应的 EI信息服务器 的标识和 EI分配 ^节点 11的标识；
中间级 EI信息服务器 22, 与中间级 EI分配节点 12——对应， 用于 存储对应的中间级 EI分配节点 12的 EI资源分配对象的授权信息， 所述 中间级 EI分配节点的 EI资源分配对象的授权信息包括所述 EI资源分配对 象分配得到的 EI资源的标识， 所述 EI资源分配对象的标识、 公钥， 所述 EI资源分配对象对应的 EI信息服务器的标识和中间级 EI分配节点 12的 标识；
叶子 EI信息服务器 23 , 与叶子 EI分配节点 13——对应， 用于存储 对应的叶子 EI分配节点 13的 EI分配对象的授权信息， 所述叶子 EI分配 节点的 EI分配对象的授权信息包括所述 EI分配对象分配得到的 EI, 所述 EI分配对象的身份信息、 公钥， 叶子 EI分配节点 13的标识；
EI分配根节点 11具体用于，验证通过后向所述下一级 EI分配节点发 送所述下一级 EI分配节点的授权信息和私钥， 并将所述下一级 EI分配节 点的授权信息发送给 EI信息根服务器 21 ;
中间级 EI分配节点 12具体用于， 接收上一级 EI分配节点发送的所 述中间级 EI分配节点的授权信息和私钥， 并在验证通过后向所述下一级 EI分配节点发送所述下一级 EI分配节点的私钥， 并将所述下一级 EI分配 节点的授权信息发送给对应的中间级 EI信息服务器 22;
叶子 EI分配节点 13具体用于， 接收上一级 EI分配节点发送的所述 叶子 EI分配节点的授权信息和私钥， 并在验证通过后向所述网络接入实 体发送所述网络接入实体的私钥， 并将所述网络接入实体的授权信息发送 给对应的叶子 EI信息服务器 23。
这里的私钥是与授权信息中所述 EI资源 /EI分配对象的公钥对应的， EI资源 /EI分配对象用私钥签名过的信息， 可以用授权信息中的公钥进行 验证。 当然， 可以在颁发公钥的同时颁发私钥， 也可以是 EI资源 /EI分配 对象（如网络接入实体）自身生成公钥和私钥，然后将公钥告知 EI资源 /EI 分配者， 本实施例对此不作限定。 应用中， 各 EI信息服务器还可以保存 自身的授权信息。
表 1给出了一种可能的 EI资源授权信息， 表 2给出了单个粒度的 EI 授权信息示例。
表 1 EI资源的授权信息示例表
Figure imgf000009_0001
EI的授权信息示例表
Figure imgf000009_0002
需要说明的是， 网络接入实体获得叶子 EI分配节点分配的 EI后， 可 以根据所述 EI生成 IP地址 ,该 IP地址作为该网络接入实体接入网络的标 识。 应用中， 由于 IP地址的前缀用于标识网络接入实体的接入位置， 所 以 IP地址的位置相关性在现有互联网体系结构下无法改变， 基于 EI的 IPv6地址寻求在 IPv6地址非路由标识部分携带网络接入实体的身份标识。 基于 EI的 IPv6地址结构可以如表 3所示。
表 3
网络前缀（ 64bits) 实体标识符 EI(64bits)
如表 3所示， 网络前缀是网络接入实体的位置标识， 同传统意义上的 IPv6地址前缀没有区别。 EI是一个 64比特的位串， 例如
0x332277880101FFFF, 它充当网络接入实体的稳定身份标识， 不随网络接 入实体的位置和归属者的变化而变化。 EI的不同分配者决定了 EI的有效 范围， 表 4给出了 EI分配系统的管理者与其分配的 EI有效范围的关系的 示例。 主机在不同接入域之间漫游时， 接入网控制实体， 如第一跳路由器 或者动态主机设置协议（ Dynamic Host Configuration Protocol,简称 DHCP ) 服务器 , 向主机提供 IPv6地址的网络前缀部分， 即 IPv6地址的前 64位， 主机将 64位的网络前缀部分和分配得到的 ΕΙ组成可路由的 IPv6地址。表 4中提到的两种 EI管理方式是基于 EI的 IPv6地址的两种实现方式， 也是 本实施例的两种实施场景， 其中互联网基础资源分配机构可以是互联网数 字分配机构 ( Internet Assigned Numbers Authority, 简称 IANA ) 等。
表 4
Figure imgf000010_0001
基于 EI的 IPv6地址可以兼容当前主流的基于 MAC地址的 IPv6地址 自配置功能。 按照现有标准和规范， 基于 MAC地址的 IPv6地址自配置方 法固定地将 IPv6地址的后 64位中的 "中间 16比特" 设定为 0xFFFE。 为 了避免基于 EI的 IPv6地址的设计影响到基于 MAC地址的 IPv6地址自配 置方法， 本实施例中可以将 IPv6地址后 64位的中间 16比特的作为标识 类型值， 如果标识类型值为 OxFFFE, 说明该 IPv6地址的后 64位没有使 用 EI配置， 是传统的 IPv6地址， 可以使用 MAC地址生成， 当标识类型 值为其他值时 , 说明该 IPv6地址是基于 EI的 IPv6地址 , 例如 , 当标识类 型值为 0x1234时， 该 EI可以用来标识网络接入实体。
上述在 IPv6地址后 64位定义 "标识类型值" 的做法减少了基于 EI 的 IPv6地址设计对 IPv6地址空间减少的影响。 另一方面， 目前 IPv6地址 的分配是以前 64位为单位进行的， 也即 IPv6地址的分配实际是网络前缀 的分配，因此 IPv6地址后 64位的设计在很大程度上就是为了地址的冗余， 实际应用中一个链路上不可能挂载 264台主机， 基于 EI的 IPv6地址的应 用可以提高了整个 IPv6地址空间的利用率。
本发明实施例采用树形的实体标识符 EI分配系统， 除 EI分配根节点 之外的各 EI分配节点 /网络接入实体都需进行身份验证后才能从上一级分 配节点分配得到 EI资源 /EI, 生成了各 EI分配节点 /网络接入实体的授权 信息， 可以在使用分配得到的 EI构造 IP地址的网络接入实体请求接入网 络时根据 EI分配系统中的该 EI的授权信息对网络接入实体进行身份验 证， 使得在网络接入实体获得相对固定标识的基础上， 同时满足可溯源和 使用者身份可验证的需求。
图 3为本发明实施例提供的一种基于 EI分配系统的溯源方法实施例 的流程示意图。 这里的 EI分配系统为如本发明实施例提供的一种 EI分配 系统实施例所述的系统， 如图 3所示， 该方法包括：
步骤 301、 基于待溯源的 EI, 溯源设备向 EI分配根节点查询所述 EI 分配对象的授权信息；
这里的溯源设备通常为网络管理设备， 可以针对任意 EI发起图 4所 示的溯源流程， 通过带外机制预先配置 EI分配根节点的地址信息。 这里 EI分配对象的的授权信息包含所述 EI分配对象分配得到的 EI, 所述 EI 分配对象的身份信息、 公钥， 所述叶子 EI分配节点的标识， 以及所述 EI 的有效期等。 应用中， 溯源设备可以仅查询所述 EI分配对象的授权信息 包含的任意一项或多项信息， 本实施例对此不作限定。
步骤 302、 所述 EI分配根节点向所述溯源设备返回下一级 EI分配节 点的授权信息， 所述下一级 EI分配节点从所述 EI分配根节点分配得到的 EI资源包含所述 EI;
步骤 303、 所述溯源设备向所述下一级 EI分配节点查询分配所述 EI 分配对象的授权信息， 直至接收到叶子 EI分配节点的授权信息， 所述叶 子 EI分配节点分配得到的 EI资源包含所述 EI;
应用中， 根据所述 EI分配系统的层次， 溯源设备逐级溯源的次数可 能需一次或多次， 本实施例对此不作限定。 另外， 各级 EI分配节点返回 的授权信息还可以用自身的私钥加密， 溯源设备用对应的公钥逐级验证各 级 EI分配节点返回的授权信息。 举例来说， 溯源设备从 EI分配根节点发 送的下一级 EI分配节点的授权信息中， 提取出该下一级 EI分配节点的公 钥， 然后用该公钥对该下一级 EI分配节点返回的再下一级 EI分配节点的 授权信息进行验证。
步骤 304、 所述溯源设备向所述叶子 EI分配节点查询所述 EI分配对 象的授权信息；
步骤 305、所述叶子 EI分配节点确定分配得到所述 EI的 EI分配对象 的授权信息， 并将所述 EI分配对象的授权信息发送给所述溯源设备。
较优地， 若各 EI分配节点均配置了 EI信息服务器， 以提供对外查询 接口， 则上述步骤中， 溯源设备可以直接向对应的 EI信息服务器查询所 述 EI分配对象的授权信息。 在这种场景下， 步骤 301具体包括： 溯源设备向 EI分配根节点对应的 EI信息根服务器查询所述 EI分配对 象的授权信息；
步骤 302具体包括：
所述 EI信息根服务器向所述溯源设备返回下一级 EI分配节点的标 识；
步骤 303具体包括：
所述溯源设备向所述下一级 EI分配节点对应的下一级 EI信息服务器 查询分配所述 EI分配对象的授权信息；
步骤 304具体包括：
所述溯源设备向所述叶子 EI分配节点对应的叶子 EI信息服务器查询 所述 EI分配对象的授权信息；
步骤 305具体包括：
所述叶子 EI信息服务器确定所述 EI分配对象的授权信息， 并将所述 EI分配对象的授权信息发送给所述溯源设备。
举例来说， 如图 2所示， 溯源设备首先向 EI分配树根节点对应的 EI 信息根服务器发起针对 EI为 410001FFFFAB5678解析请求， 该 EI信息服 务器根据 EI资源的分配信息和 410001FFFFAB5678进行前缀匹配， 将匹 配结果，也即负责维护 EI段 41/8的 EI信息服务器的寻址信息告诉溯源设 备；以此类推，溯源设备先后得到了 EI段 410001/24, EI段 410001FFFF/40 的 EI信息服务器的寻址信息； 通过向 410001FFFF/40的叶子 EI信息服务 器的发起对 410001FFFFAB5678的解析请求， 溯源设备得到了解析结果， 即 EI为 410001FFFFAB5678的 EI分配对象的授权信息。 溯源设备可以根 据需求， 定制不同的解析请求， 可以一次请求 EI的所有授权信息， 也可 以在解析请求中指明所需要的授权信息， 例如， 查询 EI的有效期。
本实施例采用了基于 EI分配系统的树形架构逐级查询的技术手段， 可以实现 EI的溯源， 获得 EI分配对象的相关信息。
图 4为本发明实施例提供的一种基于 EI分配系统的接入认证方法实 施例的流程示意图。 这里的 EI分配系统为如本发明实施例提供的一种 EI 分配系统实施例所述的系统， 如图 4所示， 该方法包括：
步骤 401、 接收网络接入实体发送的接入认证请求， 所述接入认证请 求的源 IP地址包含所述网络接入实体的 EI;
举例来说， 接入认证服务器接收网络接入实体发送的接入认证请求。 在步骤 401之前， 网络接入实体从所述 EI分配系统分配得到了自身的 EI, 并根据该 EI和网络前缀构造了自身的 IP地址， 也就是所述接入认证请求 的源 IP地址。
步骤 402、 从所述 EI分配系统获取所述 EI分配对象的授权信息； 这里的 EI分配系统在分配所述 EI时会生成所述 EI分配对象的授权信 息， 该授权信息通常包含所述 EI分配对象的标识， 以及公钥等。
步骤 403、根据所述 EI分配对象的授权信息对所述网络接入实体进行 接入认证。
通常 EI分配系统在分配所述 EI也会将所述授权信息下发给所述 EI 分配对象。 当所述授权信息包含公钥时， 还可以将该公钥对应的私钥也下 发给所述 EI分配对象。 在所述 EI分配对象发起接入认证请求时， 可以用 所述私钥对该接入认证请求进行签名， 这样步骤 303 中可以根据从 EI分 配系统获得的所述 EI分配对象的授权信息中的公钥对该接入认证请求进 行签名验证，若验证通过则确认该网络接入实体的身份，允许其接入网络， 若验证不通过则拒绝该网络接入实体接入网络。 可选地， 所述 EI分配对 象也可以在所述接入认证请求中携带自身的标识， 步骤 403中可以根据从 EI分配系统获得的所述 EI分配对象的授权信息中的 EI分配对象的标识对 该接入认证请求中的网络接入实体的标识进行比对，若一致则确认该网络 接入实体的身份， 允许其接入网络， 若不一致则拒绝该网络接入实体接入 网络。 本实施例对此不作限定。
在本发明的一个可选的实施例中， 步骤 402具体可以包括：
从所述网络接入实体获取所述网络接入实体的授权信息；
解析所述网络接入实体的授权信息， 确定分配所述 EI的叶子 EI分配 节点；
所述叶子 EI分配节点对应的叶子 EI信息服务器获取用所述叶子 EI 分配节点的私钥签名过的所述 EI分配对象的授权信息。
这里网络接入实体的授权信息包含给所述网络接入实体分配所述 EI 的分配者的标识， 根据 EI分配系统的架构， 给网络接入实体分配 EI的通 常是叶子 EI分配节点。 应用中， 网络接入实体还可以将其授权信息包含 在接入认证请求中， 本实施例对此不作限定。
在本发明的又一可选的实施例中， 步骤 402具体可以包括：
向 EI信息根服务器查询所述 EI分配对象的授权信息；
接收所述 EI信息根服务器返回的所述 EI分配根节点的下一级 EI分配 节点的授权信息， 所述下一级 EI分配节点的可分配 EI资源包含所述 EI;
向所述下一级 EI分配节点对应的下一级 EI信息服务器查询所述 EI 分配对象的授权信息， 直至接收到所述叶子 EI分配节点的上一级 EI分配 节点对应的上一级 EI信息服务器返回的所述叶子 EI分配节点的授权信 息；
从所述叶子 EI分配节点对应的叶子 EI信息服务器获取用所述叶子 EI 分配节点的私钥签名过的所述 EI分配对象的授权信息。
上述场景下， 接入认证服务器根据所述网络接入实体的 EI直接向 EI 分配系统逐级查询获得所述 EI分配对象的授权信息。 上述过程可以参照 本发明实施例提供的一种基于 EI分配系统的溯源方法实施例。
在本发明的又一可选的实施例中， 获得用所述叶子 EI分配节点的私 钥签名过的所述 EI分配对象的授权信息之后， 步骤 403之前还可以包括： 若所述叶子 EI分配节点在信任列表中， 则从所述信任列表获取所述 叶子 EI分配节点的公钥， 所述信任列表包含至少一个信任的 EI分配节点 以及对应的公钥 ,所述 EI分配节点为 EI分配根节点、 中间级 EI分配节点 或叶子 EI分配节点。
这里的信任列表包含接入认证服务器信任的 EI分配节点的标识及其 对应的公钥， 可选地还包括信任的 EI分配节点对应的 EI信息服务器的寻 址信息， EI分配节点包含 EI分配根节点、 中间级 EI分配节点或叶子 EI 分配节点。 通常该信任列表至少包含 EI分配根节点的标识， 若某个网络 接入实体 /EI分配节点的授权信息中显示其 EI/EI资源的分配者是 EI分配 根节点， 而这个 EI分配根节点并不在信任列表中， 则说明该授权信息中 的 EI分配根节点是伪造的， 则验证失败。
可选地， 若所述叶子 EI分配节点不在所述信任列表中， 则确定所述 叶子 EI分配节点的上一级 EI分配节点； 若所述上一级 EI分配节点在所述信任列表中， 则从所述信任列表获 取所述上一级 EI分配节点的公钥， 并从所述上一级 EI分配节点对应的上 一级 EI信息服务器获取用所述上一级 EI分配节点的私钥签名过所述叶子 EI分配节点的授权信息；
根据所述上一级 EI分配节点的公钥对用所述上一级 EI分配节点的私 钥签名过的所述叶子 EI分配节点的授权信息进行签名验证；
验证通过后， 解析所述叶子 EI分配节点的授权信息， 确定所述叶子 EI分配节点的公钥。
这里， 若所述叶子 EI分配节点不在所述信任列表中， 还可以主动向 所述叶子 EI分配节点对应的叶子 EI信息服务器查询所述叶子 EI分配节点 的授权信息， 或者采用类似于本发明实施例提供的一种基于 EI分配系统 的溯源方法实施例所述的方法从信任的 EI分配根节点逐级溯源获得所述 叶子 EI分配节点的授权信息， 然后根据所述叶子 EI分配节点的授权信息 中的分配者字段， 确定所述叶子 EI分配节点的上一级 EI分配节点。 本实 施例对此不作限定。
需要说明的是，应用中可能会经过多个上一级的逐级验证直至验证到 信任的 EI分配节点， 本实施例对此不作限定。 另外， 由于 EI分配根节点 是信任的 EI分配节点， 因此若所述上一级 EI分配节点不在所述信任列表 中， 还可以包括：
确定所述上一级 EI分配节点是否为 EI分配根节点， 若为 EI分配根 节点且所述 EI分配根节点不在所述信任列表中， 则验证不通过， 结束。
进一步地， 当上述逐级验证通过后， 还可以将原本不在信任列表中但 此次验证通过的 EI分配节点加入到所述信任列表中， 则所述验证通过后 还包括：
将所述叶子 EI分配节点加入到所述信任列表中。
在本发明的又一可选的实施例中， 所述接入认证请求还包含所述网络 接入实体的私钥对所述接入认证请求的签名， 在获得所述叶子 EI分配节 点的公钥之后， 步骤 403具体可以包括：
根据所述叶子 EI分配节点的公钥对用所述叶子 EI分配节点的私钥签 名过的所述 EI分配对象的授权信息进行签名验证； 验证通过后， 解析所述 EI分配对象的授权信息， 确定所述 EI分配对 象的公钥；
根据所述 EI分配对象的公钥对所述接入认证请求进行签名验证。 另外， 所述 EI分配对象的授权信息还可以包括所述 EI的有效期， 这 种场景下， 还包括：
对所述接入认证请求的签名验证通过后， 根据所述 EI的有效期对所 述接入认证请求进行有效期验证。
本实施例采用了接收网络接入实体发送的接入认证请求， 所述接入认 证请求的源 IP地址包含所述网络接入实体的 EI, 从所述 EI分配系统获取 所述 EI分配对象的授权信息， 根据所述 EI分配对象的授权信息对所述网 络接入实体进行接入认证的技术手段， 可以基于 EI分配系统分配 EI时生 成的授权信息对网络接入实体进行接入认证， 实现了对用户地址真实性的 验证。
图 5 为本发明实施例提供的一种接入认证服务器实施例的结构示意 图。 该接入认证服务器与本发明实施例提供的一种 EI分配系统实施例所 述的系统交互， 如图 5所示， 该服务器包括：
接收模块 51 , 用于接收网络接入实体发送的接入认证请求， 所述接入 认证请求的源 IP地址包含所述网络接入实体的 EI;
获取模块 52,用于从所述 EI分配系统获取所述 EI分配对象的授权信 息；
认证模块 53 , 用于根据所述 EI分配对象的授权信息对所述网络接入 实体进行接入认证。
本实施例的具体实现参照本发明提供的一种基于 EI分配系统的接入 认证实施例。 本实施例采用了接收网络接入实体发送的接入认证请求， 所 述接入认证请求的源 IP地址包含所述网络接入实体的 EI,从所述 EI分配 系统获取所述 EI分配对象的授权信息， 根据所述 EI分配对象的授权信息 对所述网络接入实体进行接入认证的技术手段， 可以基于 EI分配系统分 配 EI时生成的授权信息对网络接入实体进行接入认证， 实现了对用户地 址真实性的验证。
本领域普通技术人员可以理解： 实现上述方法实施例的全部或部分步 骤可以通过程序指令相关的硬件来完成， 前述的程序可以存储于一计算机 可读取存储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述的存储介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程 序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对 其限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通 技术人员应当理解： 其依然可以对前述各实施例所记载的技术方案进行修 改， 或者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不 使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

权 利 要 求 书
1、 一种实体标识符分配系统， 其特征在于， 包括： 树状连接的实体标识 符 EI分配根节点、 中间级 EI分配节点和叶子 EI分配节点；
所述 EI分配根节点， 用于对请求分配 EI资源的下一级 EI分配节点进行 身份验证， 验证通过后向所述下一级 EI分配节点分配 EI资源， 生成所述下 一级 EI分配节点的授权信息；
所述中间级 EI分配节点， 用于向上一级 EI分配节点请求分配 EI资源， 并在分配得到所述上一级 EI分配节点分配的 EI资源后， 对请求分配 EI资源 的下一级 EI分配节点进行身份验证， 验证通过后向所述下一级 EI分配节点 分配 EI资源， 生成所述下一级 EI分配节点的授权信息；
所述叶子 EI分配节点， 用于向上一级 EI分配节点请求 EI资源， 并在分 配得到所述上一级 EI分配节点分配的 EI资源后， 对请求分配 EI的网络接入 实体进行身份验证，验证通过后向所述网络接入实体分配 EI以使所述网络接 入实体根据所述 EI生成 IP地址， 生成所述网络接入实体的授权信息。
2、根据权利要求 1所述的系统，其特征在于，还包括： EI信息根服务器、 中间级 EI信息服务器和叶子 EI信息服务器；
所述 EI信息根服务器， 与所述 EI分配根节点对应， 用于存储所述 EI分 配根节点的 EI资源分配对象的授权信息， 所述 EI分配根节点的 EI资源分配 对象的授权信息包括 EI资源分配对象分配得到的 EI资源的标识， 所述 EI资 源分配对象的标识、 公钥， 所述 EI资源分配对象对应的 EI信息服务器的标 识和所述 EI分配根节点的标识；
所述中间级 EI信息服务器， 与所述中间级 EI分配节点——对应， 用于 存储对应的中间级 EI分配节点的 EI资源分配对象的授权信息， 所述中间级 EI分配节点的 EI资源分配对象的授权信息包括所述 EI资源分配对象分配得 到的 EI资源的标识， 所述 EI资源分配对象的标识、 公钥， 所述 EI资源分配 对象对应的 EI信息服务器的标识和所述中间级 EI分配节点的标识；
所述叶子 EI信息服务器， 与所述叶子 EI分配节点一一对应， 用于存储 对应的叶子 EI分配节点的 EI分配对象的授权信息， 所述叶子 EI分配节点的 EI分配对象的授权信息包括所述 EI分配对象分配得到的 EI, 所述 EI分配对 象的身份信息、 公钥， 所述叶子 EI分配节点的标识； 所述 EI分配根节点具体用于， 验证通过后向所述下一级 EI分配节点发 送所述下一级 EI分配节点的授权信息和私钥， 并将所述下一级 EI分配节点 的授权信息发送给所述 EI信息根服务器；
所述中间级 EI分配节点具体用于， 接收上一级 EI分配节点发送的所述 中间级 EI分配节点的授权信息和私钥， 并在验证通过后向所述下一级 EI分 配节点发送所述下一级 EI分配节点的私钥， 并将所述下一级 EI分配节点的 授权信息发送给对应的中间级 EI信息服务器；
所述叶子 EI分配节点具体用于， 接收上一级 EI分配节点发送的所述叶 子 EI分配节点的授权信息和私钥，并在验证通过后向所述网络接入实体发送 所述网络接入实体的私钥， 并将所述网络接入实体的授权信息发送给对应的 叶子 EI信息服务器。
3、 根据权利要求 2所述的系统， 其特征在于， 所述叶子 EI分配节点的 EI分配对象的授权信息还包括所述 EI的有效期。
4、 一种基于权利要求 1〜3任一所述的实体标识符分配系统的溯源方法， 其特征在于， 包括：
基于待溯源的 EI, 溯源设备向 EI分配根节点查询所述 EI分配对象的授 权信息；
所述 EI分配根节点向所述溯源设备返回下一级 EI分配节点的授权信息， 所述下一级 EI分配节点从所述 EI分配根节点分配得到的 EI资源包含所述 EI;
所述溯源设备向所述下一级 EI分配节点查询分配所述 EI分配对象的授 权信息， 直至接收到叶子 EI分配节点的授权信息， 所述叶子 EI分配节点分 配得到的 EI资源包含所述 EI;
所述溯源设备向所述叶子 EI分配节点查询所述 EI分配对象的授权信息； 所述叶子 EI分配节点确定分配得到所述 EI的 EI分配对象的授权信息， 并将所述 EI分配对象的授权信息发送给所述溯源设备。
5、 根据权利要求 4所述的方法， 其特征在于， 所述溯源设备向 EI分配 根节点查询所述 EI分配对象的授权信息具体包括：
溯源设备向 EI分配根节点对应的 EI信息根服务器查询所述 EI分配对象 的授权信息；
所述 EI分配根节点向所述溯源设备返回下一级 EI分配节点的授权信息 具体包括：
所述 EI信息根服务器向所述溯源设备返回下一级 EI分配节点的授权信 自 ·
所述溯源设备向所述下一级 EI分配节点查询分配所述 EI分配对象的授 权信息具体包括：
所述溯源设备向所述下一级 EI分配节点对应的下一级 EI信息服务器查 询分配所述 EI分配对象的授权信息；
所述溯源设备向所述叶子 EI分配节点查询所述 EI分配对象的授权信息 具体包括：
所述溯源设备向所述叶子 EI分配节点对应的叶子 EI信息服务器查询所 述 EI分配对象的授权信息；
所述叶子 EI分配节点确定分配得到所述 EI的 EI分配对象的授权信息， 并将所述 EI分配对象的授权信息发送给所述溯源设备具体包括：
所述叶子 EI信息服务器确定所述 EI分配对象的授权信息， 并将所述 EI 分配对象的授权信息发送给所述溯源设备。
6、一种基于权利要求 1〜3任一所述的实体标识符分配系统的接入认证方 法， 其特征在于， 包括：
接收网络接入实体发送的接入认证请求 , 所述接入认证请求的源 IP地址 包含所述网络接入实体的实体标识符 EI;
从所述 EI分配系统获取所述 EI分配对象的授权信息；
根据所述 EI分配对象的授权信息对所述网络接入实体进行接入认证。
7、 根据权利要求 6所述的方法， 其特征在于， 所述从所述 EI分配系统 获取所述 EI分配对象的授权信息具体包括：
从所述网络接入实体获取所述网络接入实体的授权信息；
解析所述网络接入实体的授权信息， 确定分配所述 EI的叶子 EI分配节 点；
从所述叶子 EI分配节点对应的叶子 EI信息服务器获取用所述叶子 EI分 配节点的私钥签名过的所述 EI分配对象的授权信息。
8、 根据权利要求 6所述的方法， 其特征在于， 所述从所述 EI分配系统 获取所述 EI分配对象的授权信息具体包括： 向 EI信息根服务器查询所述 EI分配对象的授权信息；
接收所述 EI信息根服务器返回的所述 EI分配根节点的下一级 EI分配节 点的授权信息， 所述下一级 EI分配节点的可分配 EI资源包含所述 EI;
向所述下一级 EI分配节点对应的下一级 EI信息服务器查询所述 EI分配 对象的授权信息， 直至接收到所述叶子 EI分配节点的上一级 EI分配节点对 应的上一级 EI信息服务器返回的所述叶子 EI分配节点的授权信息；
从所述叶子 EI分配节点对应的叶子 EI信息服务器获取用所述叶子 EI分 配节点的私钥签名过的所述 EI分配对象的授权信息。
9、 根据权利要求 7或 8所述的方法， 所述根据所述 EI分配对象的授权 信息对所述网络接入实体进行接入认证之前还包括：
若所述叶子 EI分配节点在信任列表中，则从所述信任列表获取所述叶子 EI分配节点的公钥，所述信任列表包含至少一个信任的 EI分配节点以及对应 的公钥， 所述 EI分配节点为 EI分配根节点、 中间级 EI分配节点或叶子 EI 分配节点。
10、 根据权利要求 7或 8所述的方法， 其特征在于， 所述根据所述 EI分 配对象的授权信息对所述网络接入实体进行接入认证之前还包括：
若所述叶子 EI分配节点不在所述信任列表中， 则确定所述叶子 EI分配 节点的上一级 EI分配节点；
若所述上一级 EI分配节点在所述信任列表中 ,则从所述信任列表获取所 述上一级 EI分配节点的公钥， 并从所述上一级 EI分配节点对应的上一级 EI 信息服务器获取用所述上一级 EI分配节点的私钥签名过所述叶子 EI分配节 点的授权信息；
根据所述上一级 EI分配节点的公钥对用所述上一级 EI分配节点的私钥 签名过的所述叶子 EI分配节点的授权信息进行签名验证；
验证通过后， 解析所述叶子 EI分配节点的授权信息， 确定所述叶子 EI 分配节点的公钥。
11、根据权利要求 10所述的方法，其特征在于，所述验证通过后还包括： 将所述叶子 EI分配节点加入到所述信任列表中。
12、 根据权利要求 9〜11任一所述的方法， 其特征在于， 所述接入认证请 求还包含所述网络接入实体的私钥对所述接入认证请求的签名， 所述根据所 述 EI分配对象的授权信息对所述网络接入实体进行接入认证具体包括： 根据所述叶子 EI分配节点的公钥对用所述叶子 EI分配节点的私钥签名 过的所述 EI分配对象的授权信息进行签名验证；
验证通过后， 解析所述 EI分配对象的授权信息， 确定所述 EI分配对象 的公钥；
根据所述 EI分配对象的公钥对所述接入认证请求进行签名验证。
13、 根据权利要求 12所述的方法， 其特征在于， 所述 EI分配对象的授 权信息还包括所述 EI的有效期， 还包括：
对所述接入认证请求的签名验证通过后，根据所述 EI的有效期对所述接 入认证请求进行有效期验证。
14、 根据权利要求 10所述的方法， 其特征在于， 还包括：
若所述上一级 EI分配节点不在所述信任列表中， 确定所述上一级 EI分 配节点是否为 EI分配根节点， 若为 EI分配根节点且所述 EI分配根节点不在 所述信任列表中， 则验证不通过， 结束。
15、 一种接入认证服务器， 其特征在于， 与如权利要求 1〜3任一所述的 实体标识符 EI分配系统交互， 包括：
接收模块， 用于接收网络接入实体发送的接入认证请求， 所述接入认证 请求的源 IP地址包含所述网络接入实体的实体标识符 EI;
获取模块， 用于从所述 EI分配系统获取所述 EI分配对象的授权信息； 认证模块，用于根据所述 EI分配对象的授权信息对所述网络接入实体进 行接入认证。
PCT/CN2011/083696 2011-07-26 2011-12-08 实体标识符分配系统、溯源、认证方法及服务器 WO2013013479A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110210819.7A CN102255983B (zh) 2011-07-26 2011-07-26 实体标识符分配系统、溯源、认证方法及服务器
CN201110210819.7 2011-07-26

Publications (1)

Publication Number Publication Date
WO2013013479A1 true WO2013013479A1 (zh) 2013-01-31

Family

ID=44982972

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/083696 WO2013013479A1 (zh) 2011-07-26 2011-12-08 实体标识符分配系统、溯源、认证方法及服务器

Country Status (2)

Country Link
CN (1) CN102255983B (zh)
WO (1) WO2013013479A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104283953A (zh) * 2014-09-30 2015-01-14 清华大学 一种位置信息共享系统及共享方法
CN114448936A (zh) * 2022-01-28 2022-05-06 广州根链国际网络研究院有限公司 一种基于IPv6可编码可溯源的网络传输规则验证方法

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102255983B (zh) * 2011-07-26 2014-03-05 中国科学院计算机网络信息中心 实体标识符分配系统、溯源、认证方法及服务器
CN106454935B (zh) * 2016-08-25 2020-04-14 广州中国科学院计算机网络信息中心 M2m系统中物品溯源信息发布、发现方法和系统
CN108259326B (zh) * 2016-12-29 2020-06-26 华为技术有限公司 路由表更新方法、装置、分配节点以及叶报文转发设备
CN109714444A (zh) * 2018-12-04 2019-05-03 中国电子技术标准化研究院 一种注册管理的方法、系统及节点
CN112036909A (zh) * 2020-08-25 2020-12-04 重庆邮电大学 基于IPv6虚拟连接的产品信息追溯系统及方法
CN115987940B (zh) * 2022-12-05 2024-04-19 中国联合网络通信集团有限公司 一种电信标识方法、装置及计算机可读存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080086448A1 (en) * 2006-10-10 2008-04-10 Samsung Electronics Co. Ltd. Method of generating node indentifier in tree structure
CN101707763A (zh) * 2009-12-03 2010-05-12 王晓喃 一种无线传感器网络IPv6地址自动配置的实现方法
CN101707764A (zh) * 2009-12-03 2010-05-12 王晓喃 下一代全ip无线传感器网络的实现方法
CN102014377A (zh) * 2011-01-06 2011-04-13 常熟理工学院 基于分布式的无线传感器网络IPv6地址配置实现方法
CN102255983A (zh) * 2011-07-26 2011-11-23 中国科学院计算机网络信息中心 实体标识符分配系统、溯源、认证方法及服务器

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IL126472A0 (en) * 1998-10-07 1999-08-17 Nds Ltd Secure communications system
US6263435B1 (en) * 1999-07-06 2001-07-17 Matsushita Electric Industrial Co., Ltd. Dual encryption protocol for scalable secure group communication
CN100584117C (zh) * 2008-12-16 2010-01-20 北京工业大学 无线Mesh网络中安全有效的即时认证方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080086448A1 (en) * 2006-10-10 2008-04-10 Samsung Electronics Co. Ltd. Method of generating node indentifier in tree structure
CN101707763A (zh) * 2009-12-03 2010-05-12 王晓喃 一种无线传感器网络IPv6地址自动配置的实现方法
CN101707764A (zh) * 2009-12-03 2010-05-12 王晓喃 下一代全ip无线传感器网络的实现方法
CN102014377A (zh) * 2011-01-06 2011-04-13 常熟理工学院 基于分布式的无线传感器网络IPv6地址配置实现方法
CN102255983A (zh) * 2011-07-26 2011-11-23 中国科学院计算机网络信息中心 实体标识符分配系统、溯源、认证方法及服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
DI MA ET AL.: "Host-Identifier-Based Scheme for Source Accountability of the Internet", INTEGRATED NETWORK MANAGEMENT (IM), 2011 IFIP/IEEE INTERNATIONAL SYMPOSIUM, 27 May 2011 (2011-05-27), pages 539 - 546 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104283953A (zh) * 2014-09-30 2015-01-14 清华大学 一种位置信息共享系统及共享方法
CN104283953B (zh) * 2014-09-30 2017-08-11 清华大学 一种位置信息共享系统及共享方法
CN114448936A (zh) * 2022-01-28 2022-05-06 广州根链国际网络研究院有限公司 一种基于IPv6可编码可溯源的网络传输规则验证方法
CN114448936B (zh) * 2022-01-28 2023-10-20 广州根链国际网络研究院有限公司 一种基于IPv6可编码可溯源的网络传输规则验证方法

Also Published As

Publication number Publication date
CN102255983B (zh) 2014-03-05
CN102255983A (zh) 2011-11-23

Similar Documents

Publication Publication Date Title
WO2013013479A1 (zh) 实体标识符分配系统、溯源、认证方法及服务器
KR101579814B1 (ko) 피어­투­피어 오버레이 네트워크들에서 액세스 제어를 가능하게 하는 것
CN102761630B (zh) 一种面向真实用户身份信息的IPv6地址分配方法
CN110800331A (zh) 网络验证方法、相关设备及系统
CN101960814B (zh) Ip地址委派
US20120159636A1 (en) Dns-based determining whether a device is inside a network
WO2008116416A1 (fr) Procédé, dispositif et système pour qu'un système de nom de domaine se mette à jour de façon dynamique
CN109714447B (zh) 基于区块链域名系统的域名生成方法和系统
US9438583B2 (en) Certificate generation method, certificate generation apparatus, information processing apparatus, and communication device
JP2004015530A (ja) アクセス権限管理システム、中継サーバ、および方法、並びにコンピュータ・プログラム
WO2011088657A1 (zh) 互联网地址信息处理方法、装置以及互联网系统
TW201838374A (zh) 將分級裝置證書中之唯一裝置識別符表示為完全合格域名
CN109819068B (zh) 用户终端及其区块链域名解析方法、计算机设备、计算机可读存储介质
JP2003289340A (ja) 識別子問い合わせ方法、通信端末及びネットワークシステム
WO2014101041A1 (zh) Ipv6地址溯源方法、装置和系统
JP2014182828A (ja) レコード・セットへのｄｎｓｓｅｃ対応ゾーンの事前署名のためのシステムおよび方法
WO2014117600A1 (zh) 基于dns的用户认证和域名访问控制方法及系统
WO2013013481A1 (zh) 接入认证方法、设备、服务器及系统
WO2020224341A1 (zh) 一种tls加密流量识别方法及装置
WO2013040957A1 (zh) 单点登录的方法、系统和信息处理方法、系统
WO2013056619A1 (zh) 一种身份联合的方法、IdP、SP及系统
CN115580498B (zh) 融合网络中的跨网通信方法及融合网络系统
CN110417758B (zh) 基于证书请求的安全邻居发现运行模式探测方法
CN115622817B (zh) 网络标识的处理系统及方法
KR20090014625A (ko) 사설 네트워크를 갖는 네트워크에서의 인증 시스템 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11869979

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11869979

Country of ref document: EP

Kind code of ref document: A1