專利名稱：通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種通信連接技術(shù)，尤其涉及一種通過路由器或交換機實現(xiàn)可信網(wǎng)絡 連接的通信方法和裝置。
背景技術(shù)：
實施互聯(lián)網(wǎng)信息網(wǎng)絡安全技術(shù)是各計算機互聯(lián)網(wǎng)信息單位和聯(lián)網(wǎng)單位切實保護 互聯(lián)網(wǎng)和自身安全生產(chǎn)，防止不法分子利用互聯(lián)網(wǎng)絡進行破壞活動、傳播有害信息的重要 措施。傳統(tǒng)的互聯(lián)網(wǎng)信息網(wǎng)絡安全技術(shù)一般有日志審計和防病毒、防黑客攻擊技術(shù)兩大類?；ヂ?lián)網(wǎng)日志審計措施是維護互聯(lián)網(wǎng)絡和信息安全的基石，是公安機關(guān)打擊計算機 犯罪的重要依據(jù)。互聯(lián)網(wǎng)接入單位應提供網(wǎng)絡拓撲結(jié)構(gòu)和IP地址及分配使用情況。在計 算機主機、網(wǎng)關(guān)和防火墻上建立完備的日志審計記錄。日志審計重點考慮系統(tǒng)時鐘和操作 系統(tǒng)日志，其技術(shù)指標主要包括系統(tǒng)的啟動時間、用戶登陸帳號、登陸時間、用戶進行的操 作、關(guān)機時間等。對每一次網(wǎng)絡連接應記錄連接的源IP地址、目的機器IP地址、連接的時 間、使用的協(xié)議等信息。日志審計系統(tǒng)原則上使用經(jīng)公安機關(guān)檢測合格的產(chǎn)品，技術(shù)實力較 強的ISP、ICP單位可以自己開發(fā)相應的產(chǎn)品。防病毒、防黑客攻擊技術(shù)措施是防止不法分子利用互聯(lián)網(wǎng)絡進行破壞活動，保護 互聯(lián)網(wǎng)絡和本單位的信息安全的需要。各單位應制定以下防病毒、防黑客攻擊的安全技術(shù) 措施1、所有接入互聯(lián)網(wǎng)的計算機應使用經(jīng)公安機關(guān)檢測合格的防病毒產(chǎn)品并定期下 載病毒特征碼對殺毒軟件升級，確保計算機不會受到已發(fā)現(xiàn)的病毒的攻擊。2、確保物理網(wǎng)絡安全，防范因為物理介質(zhì)、信號輻射等造成的安全風險。3、采用網(wǎng)絡安全控制技術(shù)，聯(lián)網(wǎng)單位應采用防火墻、IDS等設備對網(wǎng)絡安全進行防 護。4、制訂系統(tǒng)安全技術(shù)措施，使用漏洞掃描軟件掃描系統(tǒng)漏洞，關(guān)閉不必要的服務端□。5、制訂口令管理制度，防止系統(tǒng)口令泄露和被暴力破解。6、制定系統(tǒng)補丁的管理制度，確定系統(tǒng)補丁的更新、安裝、發(fā)布措施，及時堵住系 統(tǒng)漏洞。綜上，目前現(xiàn)有的網(wǎng)絡安全技術(shù)大多是使用硬件和軟件類的防火墻或殺毒軟件以 及常規(guī)的安全技術(shù)來保障網(wǎng)絡安全，不能起到根本的控制作用且增加成本。很多防殺木馬 病毒軟件及防火墻是建立在交換機、終端計算機等設備上的，不能從源頭控制木馬的攻擊 和信息的安全性。而以往的路由器只注重下一跳的路由，并不關(guān)心本數(shù)據(jù)包從何而來也不關(guān)注數(shù)據(jù) 包的生存期和新鮮性。因此如果不解決數(shù)據(jù)包出發(fā)地址的驗證和數(shù)據(jù)包的生存期和新鮮 性，就無法克服黑客或木馬病毒的非法接入和攻擊，造成個人、企業(yè)、保密單位等的網(wǎng)絡不安全。

發(fā)明內(nèi)容
本發(fā)明的目的是解決上述問題，提供了一種通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，能夠防止非法接入。本發(fā)明的另一目的在于提供了一種實現(xiàn)可信網(wǎng)絡連接的裝置，能夠防止DOS攻擊 的非法接入，防止重發(fā)攻擊、防止木馬等惡意軟件的侵擾以及可保證路由的私密性。本發(fā)明的技術(shù)方案為本發(fā)明揭示了一種通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接 的方法，實現(xiàn)路由器或交換機的網(wǎng)絡設備之間和網(wǎng)絡終端之間的可信網(wǎng)絡連接，在路由器 或交換機的網(wǎng)絡設備之間以報頭中的源IP地址或目的IP地址、源硬件地址或目的硬件地 址、指定或隨機定義的數(shù)字和字符的全部或部分進行平行或疊加作為標識互相簽名認證， 在聯(lián)網(wǎng)計算機之間以報頭中的源IP地址或目的IP地址、源硬件地址或目的硬件地址、指定 或隨機定義的數(shù)字和字符的全部或部分進行平行或疊加作為標識互相簽名認證，該方法包 括源計算機和目的計算機、路由器或交換機都對數(shù)字和字符定義的路由器或交換機 硬件地址、IP地址、指定或隨機定義的數(shù)字和字符、計算機的硬件地址、IP地址、指定或隨 機定義的數(shù)字和字符的全部或部分提供準確的時間證明，并驗證其時間證明是否被修改 過，并結(jié)合硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符數(shù)據(jù)的全部或部份進行數(shù)字簽 名并生成時間證明、生存期證明簽名和硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符 的全部或部分數(shù)據(jù)進行平行或疊加混合簽名，將其連同數(shù)據(jù)一起交給下一跳路由器或交換 機；路由器或交換機對聯(lián)網(wǎng)計算機的時間證明、生存期證明簽名和硬件地址、IP地址、 指定或隨機產(chǎn)生的數(shù)字和字符的數(shù)據(jù)簽名進行檢查，如果驗證通過則接收并轉(zhuǎn)發(fā)數(shù)據(jù)，否 則丟棄或數(shù)據(jù)湮滅；路由器或交換機對硬件地址、IP地址、指定或隨機定義的數(shù)字和字符、聯(lián)網(wǎng)計算機 的源硬件地址、IP地址、指定或隨機定義的數(shù)字和字符的全部或部分準確的時間、生存期證 明和加密或非加密的校驗和、CPK校驗認證數(shù)據(jù)、CA認證的校驗認證數(shù)據(jù)進行數(shù)字簽名，生 成時間證明、有效期的證明簽名和校驗和、CPK簽名、CA認證進行平行或疊加混合簽名，并 連同轉(zhuǎn)發(fā)數(shù)據(jù)一起交給下一跳路由器；路由器或交換機驗證上一跳路由器或交換機的相關(guān)簽名，其中簽名驗證是逐級展 開的，每一層都對上層進行簽名驗證，同時路由器或交換機需要對本層相應對象進行簽名， 也通過不同IP版本的協(xié)議隧道路由或不同IP版本的協(xié)議轉(zhuǎn)換軟件或計算機將簽名驗證送 至目的路由器或交換機，來保證自己的真實性，如果驗證通過，則將轉(zhuǎn)發(fā)數(shù)據(jù)交給下一跳路 由器或交換機直至目的路由器或交換機；在轉(zhuǎn)發(fā)數(shù)據(jù)到達目的路由器或交換機后，將進行簽名驗證工作，目的路由器或交 換機將經(jīng)過驗證通過的進行平行或疊加混合簽名的數(shù)據(jù)解密成符合設計的接收數(shù)據(jù)后，轉(zhuǎn) 發(fā)數(shù)據(jù)包至目的計算機。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例，該IP 地址是多個版本IP協(xié)議的地址。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例，指定或隨機定義的數(shù)字和字符的全部或部份作為標識互相認證。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例，該硬件 地址是多定義的硬件地址。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的 一實施例，源或目 的地的聯(lián)網(wǎng)計算機、路由器或交換機對數(shù)字和字符定義路由器或交換機的硬件地址、IP地 址、指定或隨機定義的數(shù)字和字符、源或目的地的聯(lián)網(wǎng)計算機的源硬件地址、IP地址、指定 或隨機定義的數(shù)字和字符的全部或部分提供準確的時間證明和有效期，并驗證其時間證明 和有效期是否曾被人修改過，準確的時間證明，并驗證其時間證明和有效期是否曾被人修 改過的數(shù)字簽名和對數(shù)字簽名結(jié)果的驗證是通過指定或隨機產(chǎn)生的硬件地址、IP地址、指 定或隨機產(chǎn)生的數(shù)字和字符等數(shù)據(jù)的全部或部份進行數(shù)字平行或疊加混合簽名來實現(xiàn)的。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例，在IP 報頭上增加源地址和目的地址或附加信息的驗證內(nèi)容，出發(fā)路由器、轉(zhuǎn)接路由器以及目的 路由器對每一個IP報頭進行檢驗，從而提供地址或附加信息的真實性證明。根據(jù)本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例，所有的 簽名都存入IP報頭中。本發(fā)明還揭示了一種實現(xiàn)可信網(wǎng)絡連接的裝置，包括防止非法接入模塊，在接收轉(zhuǎn)發(fā)數(shù)據(jù)的時候通過對原發(fā)IP地址報頭中的數(shù)字平 行或疊加混合簽名的驗證來判斷是否對轉(zhuǎn)發(fā)數(shù)據(jù)進行接收，以防止非法接入；防止重發(fā)攻擊模塊，通過連接的數(shù)字平行或疊加混合簽名中的IP地址及簽名的 時間有效期的新鮮性證明來防止重發(fā)攻擊；防止木馬侵擾模塊，可信網(wǎng)絡連接的路由器和交換機對路由器和交換機進行數(shù)字 平行或疊加混合簽名，如果攜帶木馬程序的網(wǎng)絡數(shù)據(jù)沒有得到簽名，則無法到達目的地計 算機，通過路由操作環(huán)境可信性防止非轉(zhuǎn)發(fā)目的地計算機的木馬侵擾；脫加密模塊，通過對轉(zhuǎn)發(fā)數(shù)據(jù)的脫加密過程保證路由私密性。根據(jù)本發(fā)明的實現(xiàn)可信網(wǎng)絡連接的裝置的一實施例，該裝置是IP網(wǎng)絡的路由器 或電路網(wǎng)絡的交換機。本發(fā)明對比現(xiàn)有技術(shù)有如下的有益效果本發(fā)明通過在路由器上對現(xiàn)有IP報頭 進行擴展，對原地址和目的地址進行驗證，從而提供地址真實性證明和地址生存期證明，防 止DOS攻擊的非法接入；提供本次連接新鮮性證明，在路由器上防止重發(fā)攻擊；提供路由操 作環(huán)境的可信性，在路由器上防止木馬等惡意軟件的侵擾；在路由器上增加脫加密功能，保 證了路由的私密性，用于有保密或安全需要的單位、機構(gòu)或部門。


圖1是本發(fā)明的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法的一實施例的流 程示意圖。圖2A 2B是本發(fā)明的IPV4報頭格式的示意圖。圖3是本發(fā)明的IPV6、IPV9報頭格式的示意圖。圖4是本發(fā)明的實現(xiàn)可信網(wǎng)絡連接的裝置的一實施例的原理圖。圖5是本發(fā)明的可信路由兼容目前V4/V6及今后新的協(xié)議的工作模式的示意圖。
具體實施例方式下面結(jié)合附圖和下述的具體實施例對本發(fā)明作進一步的描述。信息網(wǎng)絡中的路由器是互聯(lián)網(wǎng)的基本部件。本方案在路由器設計中第一次采用標識鑒別技術(shù)，提供地址真實性證明和生存期時間證明，防止非法接入；提供本次連接新鮮 性證明，防止重發(fā)攻擊；第一次采用軟件或硬件標識鑒別技術(shù)，提供路由器操作環(huán)境的可信 性，防止木馬等惡意軟件的侵擾。本設計還提供加脫密功能，保證私密性。這是新一代互聯(lián) 網(wǎng)協(xié)議和未來網(wǎng)絡協(xié)議的關(guān)鍵的安全需求。本設計方法將與地理位置編址的新型尋址技術(shù) 相結(jié)合，可構(gòu)建下一代互聯(lián)網(wǎng)的路由器。本技術(shù)也使用于電訊網(wǎng)絡中的新型交換機的設計。路由器工作在OSI七層協(xié)議中的網(wǎng)絡層，其主要功能是將網(wǎng)絡和網(wǎng)絡連接起來， 在網(wǎng)間進行數(shù)據(jù)包的轉(zhuǎn)發(fā)。路由器已成為最重要的網(wǎng)絡設備，因此，新一代路由器的研究將 成為未來互聯(lián)網(wǎng)研究的核心技術(shù)。由于已往的互聯(lián)網(wǎng)運行的IPv4，IPv6協(xié)議，不滿足Cyber Security (網(wǎng)際安全)可信網(wǎng)絡連接的新要求。TCP/IP協(xié)議沒有考慮安全問題，不能提供地 址真實性證明和生存期證明，不能防止非法接入，也不能抵抗DOS攻擊。目前，在互聯(lián)網(wǎng)上 橫行各種惡意軟件和垃圾信息，嚴重污染互聯(lián)網(wǎng)的使用環(huán)境，直接影響到互聯(lián)網(wǎng)的生存。因 此，各國紛紛開展未來互聯(lián)網(wǎng)的研究。2008年歐盟65個科研機構(gòu)聯(lián)合發(fā)表了布萊德宣言， 呼吁開發(fā)新一代互聯(lián)網(wǎng)。歐盟籌集了 91億歐元支持未來互聯(lián)網(wǎng)的研發(fā)。美國奧巴馬政府 今年剛剛把標識認證(identity authentication)和地址編碼系統(tǒng)(Addressing system) 作為主要科研任務提出來，并強調(diào)了國際間的合作。國際標準組織ISO在2007年提出未來 網(wǎng)絡計劃。在中國還沒有正式提出未來互聯(lián)網(wǎng)計劃，但是各項工作在悄悄進行。我國IPv9已 實現(xiàn)了地理位置尋址方法，解決了 IP地址與地理位置相結(jié)合的實名地址問題。后來韓國也 提出地理位置編址和尋址的思路，成為第二個提出新的尋址方式的國家。CPK標識認證技術(shù) 已成熟，可用于互聯(lián)網(wǎng)協(xié)議中，實現(xiàn)可信網(wǎng)絡連接。對于通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法來說，圖1示出了這種方法的 流程。為了實現(xiàn)路由器之間和用戶之間的可信網(wǎng)絡連接，在用戶名(例如圖1中的pel)和 路由地址(例如圖1中的路由器alfa)作標識進行標識認證。在路由器之間，以IP地址作 為標識互相認證，在用戶之間以用戶名作為標識互相認證。假設pclID是一個客戶端的用 戶名，AlfaID是一個路由器的IP地址，那么PC1、ALFA分別表示各自的公鑰(大寫)，pel和 alfa分別表示各自的私鑰(小寫)。如果在任意路由器上插入定義為AlfaID的CPK-card， 那么這個路由器就變?yōu)闃俗R為AlfaID的路由器。同理，任意路由器插入定義為BetaID的 CPK-card，該路由器就變?yōu)闃俗R為BetaID的路由器。作為例子，可假設AlfaID = “中國一 北京一海淀一北京大學”，BetaID = “中國一北京一海淀一清華大學”?，F(xiàn)假設出發(fā)地址為AlfalD，目的地址為BetalD，其連接過程如圖1，虛線表示使用 了用戶PclID的數(shù)據(jù)包data經(jīng)由路由器最后到達用戶Pc2ID的路徑，其中每一個路由器都 會原發(fā)地址進行驗證(本實施例中的原發(fā)地址就是圖1中的AlfalD。至于用戶Pc2ID對 PclID的認證，屬于交易認證，只能打開數(shù)據(jù)包data以后進行，是用戶層的任務。出發(fā)路由器的IP包通過多個轉(zhuǎn)接路由器(又稱為轉(zhuǎn)接路由器)，最后到達目的路 由器，在中間轉(zhuǎn)接路由器中很容易發(fā)生非法接入。傳統(tǒng)的路由器只注重下一跳的路由，并不關(guān)心本數(shù)據(jù)包從何而來。為了實現(xiàn)可信網(wǎng)絡連接，本實施例中的路由器必須滿足以下四個 條件(1)原發(fā)地址必須給出發(fā)送地址證明，可由任何一地來驗證；(2)所有路徑路由器均 對原發(fā)地址進行驗證，如不符則拒絕轉(zhuǎn)發(fā)；(3)能防止非法接入，抵抗DOS攻擊；(4)路由器 內(nèi)部的計算環(huán)境是可信的。對于出發(fā)地址為AlfalD，目的地址為BetaID的連接過程而言，其中圖1中的虛線 表示使用了 CPK-card并進行了原發(fā)地址鑒別。路徑1 以下步驟是全部采用IPV9協(xié)議和CPK-card 首先，客戶端PclID對time和MAC簽名，將簽名數(shù)據(jù)交付路由器AlfalD。其次，路由器AlfaID對客戶端PclID的time簽名和MAC簽名進行檢查，如果驗證 通過則接收，否則拒收。然后，路由器AlfaID對time、checksum簽名，轉(zhuǎn)給下一個路由器。在路由器AlfaID之后，經(jīng)由路由器GamID、LamID、BetaID等路由操作方式和路由 器AlfaID相同。即下一個路由器驗證原發(fā)地址簽名和上一路由器的簽名，如果驗證通過 則將數(shù)據(jù)data轉(zhuǎn)發(fā)給下一路由器。最后，目的路由器BetaID將數(shù)據(jù)data轉(zhuǎn)送至接收用戶Pc2ID。路徑2 以下步驟中客戶端采用了 IPV9協(xié)議但不使用CPK-card 用戶Pc3ID不使用CPK-card但通過PT轉(zhuǎn)換(協(xié)議轉(zhuǎn)換路由器)成IPV9協(xié)議經(jīng) 由路由器AlfaID發(fā)送數(shù)據(jù)給用戶Pc4ID。路由器AlfaID獲取數(shù)據(jù)包源地址作為公鑰，并驗 證來源的正確性，發(fā)現(xiàn)不合法地址就丟棄數(shù)據(jù)。路徑3 以下步驟中客戶端不采用IPV9協(xié)議且不使用CPK-card 用戶Pc3ID不使用CPK-card并采用IPV4/IPV6協(xié)議經(jīng)由路由器AlfaID發(fā)送數(shù)據(jù) 給用戶Pc4ID。經(jīng)過路由器DeltaID和SigID到達路由器BetalD，并轉(zhuǎn)發(fā)數(shù)據(jù)給用戶Pc4ID。路徑4 以下步驟中客戶端采用IPV9協(xié)議，且使用CPK-card，但中間IPV9路由不 使用 CPK-card (1)用戶PclID使用本機地址作為公鑰進行簽名，經(jīng)由路由器AlfaID發(fā)送數(shù)據(jù)給 用戶Pc2ID。(2)路由器AlfaID獲取數(shù)據(jù)包源地址作為公鑰，并驗證來源的正確性，如遇到不 合法地址則丟棄數(shù)據(jù)。來源地址驗證正確后，去除原先簽名后再使用本機地址作為公鑰簽 名。簽名之后，進行正常的路由數(shù)據(jù)轉(zhuǎn)發(fā)。(3)路由GamID沒有使用CPK-card，獲取數(shù)據(jù)包源地址作為公鑰，并驗證來源的正 確性，如遇到不合法地址則丟棄數(shù)據(jù)，如正常則進行正常的路由數(shù)據(jù)轉(zhuǎn)發(fā)。(4)路由器LamID、BetaID等的路由操作方式同上。(5)路由器BetaID將數(shù)據(jù)轉(zhuǎn)發(fā)至目的地用戶Pc2ID?？尚怕酚杉嫒軮PV4/IPV6協(xié)議的工作模式如圖5所示。為了實現(xiàn)可信網(wǎng)絡連接 要求制定新的IP報頭格式，報頭中至少包括源地址、發(fā)送時間、地址對時間的簽名、目的地 址、地址對校驗和的簽名(亦即鑒別碼)。地址對校驗和的簽名(稱為鑒別碼)可以包括在 報頭格式中，也可以放置在數(shù)據(jù)之后。數(shù)據(jù)加密只影響數(shù)據(jù)格式，不影響IP報頭格式。IPV4 的報頭格式可變化，其中time和鑒別碼的插入點可改變，因而具有如圖2A和2B所示的兩 種格式，IPV9的報頭格式如圖3所示。
為了本實施例方法的順利實現(xiàn)，其中的路由器需要配置CPK-carcK或采用類似機 理的簽名算法和相應硬件，下文以CPK為例闡述)，使其具有數(shù)字簽名和密鑰交換功能。借 助CPK系統(tǒng)實現(xiàn)原發(fā)地址的鑒別，假設原發(fā)地為AlfalD，下一路由器為GammaID,AlfaID發(fā) 出數(shù)據(jù)data，其中申請格式為MaslAlfaID — GammaID {Alfa, signl, Beta, time data, checksum}其中AlfaID是原發(fā)地址，signl是對原發(fā)地址的簽名，即signl = SIGalfa(time)， BetaID是目的地址，SIG是簽名函數(shù)，alfa是簽名私鑰，由CPK-card提供。其中data是數(shù) 據(jù)，來自應用層，data也許是明文，也可能是密文。路由器的任務是將data傳送給下一路 由器。GammaID 驗證原發(fā)地的簽名-.SIG^(time) = signl ‘,其中SIG—1是驗證函數(shù)，ALFA是公鑰。如果signl = signl’，則允許本次連接，轉(zhuǎn) 發(fā)Msgl，并審計。以對照時間的方式識別重放攻擊。路由器加密和脫密過程如下。數(shù)據(jù)data 的結(jié)構(gòu)定義如下=Data = {PclID, Pc2ID, data, mac}，其中 PclID 是發(fā) 信方，Pc2ID是收信方。 當數(shù)據(jù)為明文時，Data = {PclID, Pc2ID, clear-text,mac}，這里的 PclID 和 Pc2ID 都是用戶名，clear-text是明文內(nèi)容，mac是路由器的mac地址。當數(shù)據(jù)為密文時，Data = {PclID, Pc2ID, coded-key, coded-data, mac}，這里的 coded-key是密碼，coded-data是加密后的內(nèi)容，mac是路由器的mac地址。如果加脫密功能是由路由器提供的，設Alfa加密，Beta脫密，那么數(shù)據(jù)加密只能 以非在線方式進行，所以加密也只能用系統(tǒng)密鑰實現(xiàn)。如果路由器承擔加脫密功能，而本次數(shù)據(jù)data是加密數(shù)據(jù)，則需要解釋 coded-key禾口 coded-data，并執(zhí)行系列步驟1)產(chǎn)生隨機數(shù)R3，AlfaID計算密鑰key = R3X (G)；其中G是橢圓曲線的基點， key將用于數(shù)據(jù)的加密；2)計算發(fā)送用密鑰R3x(BETA) = coded-key，其中BETA是BetaID的公鑰，將 coded-key 發(fā)送給 BetaID ；3)對數(shù)據(jù)加密Ekey(data) = cipher-text，其中EkeyO是數(shù)據(jù)加密函數(shù)。密文 cipher-text 禾口 coded—key 發(fā)送給 BetaID0BetaID接到AlfaID的信號便自動進入脫密過程DBetaID計算私鑰的逆^eta42) BetaID 計算會話密鑰beta-1 (coded-key) = key3)數(shù)據(jù)脫密Dkey (cipher-text) = data，其中 DkeyO 是脫密函數(shù)。為了保證路由器運行的可信性，路由器中的所有執(zhí)行代碼，必須通過廠家認證 (一級認證)，即出場時由廠家對所有執(zhí)行代碼簽名。每一臺路由器均有鑒別功能(由 CPK-card 提供)。首先是軟件代碼的證明廠家具有CPK-card，可對路由器中的所有系統(tǒng)軟件進行廠家(manufacturer)簽 名。執(zhí)行軟件分為軟件標識(codeID)和軟件本體(codeBD)，廠家對此分別簽名
SIGmanufacturer (codeID) = signlSIGmanufacturer(CodeBD) = sign2其中，SIG是簽名函數(shù)，manufacturer是廠家的私鑰，codeID是執(zhí)行代碼名， codeBD是執(zhí)行代碼本體的HASH值。路由器中的任何一個執(zhí)行代碼均具有自身的證明碼 signl 禾口 sign2。然后是軟件代碼的鑒別路由器插入CPK-card，使其具有CPK認證功能。路由器的驗證方法可由兩種一種 是當開機時統(tǒng)一驗證，沒有通過驗證的代碼統(tǒng)一刪除，保證路由器的系統(tǒng)恢復到原始狀態(tài)； 另一種是當調(diào)用軟件代碼時，先行驗證后執(zhí)行。對signl和sign2分別驗證SIG^ufacturer (COdeID)=SignrSIG-^ianufacturer (codeBD)=sign2'其中MANUFACTURER 是廠家的公鑰，如果 signl = signl，和 sign2 = sign2，，則允 許執(zhí)行，否則拒絕執(zhí)行。以此保證在本路由器中執(zhí)行的代碼均為廠家認證的代碼，除此以外 的代碼一律不執(zhí)行，免受病毒、木馬的攻擊。TCP/IP協(xié)議不能保證可信網(wǎng)絡連接，因此必須加以改造。本實施例在以地理位置 編址和尋址的基礎上，提出了可信網(wǎng)絡連接的三個關(guān)鍵技術(shù)采用地址能夠鑒別的機制，防 止非法連接；采用隨機的問答機制，防止重復攻擊；軟件代碼能夠鑒別的機制，防止病毒、 木馬的侵擾。以上設計方法，完全適用于物理層的可信網(wǎng)絡連接。物理層有兩種一種是信息網(wǎng) 絡七層協(xié)議中定義的物理層，支持信息網(wǎng)絡的平臺是應用程序接口(API)。第二種是電信網(wǎng) 絡中定義的物理層，支持電信網(wǎng)絡的平臺是信參考點(TRP)。在信息網(wǎng)絡中，如果網(wǎng)絡層能 夠保證傳輸?shù)目尚判?，物理層的安全可以由網(wǎng)絡層替代，無需再作物理層的工作。但是電信 網(wǎng)絡中的物理層，如果不作改造，就無法實現(xiàn)可信網(wǎng)絡連接，無法防止非法接入，其改造的 方法與路由器完全相同。本發(fā)明的通過路由器或交換機的簽名驗證實現(xiàn)可信網(wǎng)絡連接的方法，是實現(xiàn)了路 由器或交換機的網(wǎng)絡設備之間和網(wǎng)絡終端之間的可信網(wǎng)絡連接，在路由器或交換機的網(wǎng)絡 設備之間以報頭中的源IP地址或目的IP地址(源IP地址和目的IP地址都存在于數(shù)據(jù)包 中)、源硬件地址或目的硬件地址、指定或隨機定義的數(shù)字和字符的全部或部分進行平行或 疊加作為標識互相簽名認證(也稱為標識互相認證)，在聯(lián)網(wǎng)計算機之間以報頭中的源IP 地址或目的IP地址、源硬件地址或目的硬件地址、指定或隨機定義的數(shù)字和字符的全部或 部分進行平行或疊加作為標識互相簽名認證。這一方法包括了如下的步驟(1)源計算機和目的計算機、路由器或交換機都對數(shù)字和字符定義的路由器或交 換機硬件地址(硬件地址也可以是多定義的硬件地址)、IP地址(這些IP地址是多個版本 的IP協(xié)議的地址)、指定或隨機定義的數(shù)字和字符、計算機的硬件地址、IP地址、指定或隨 機定義的數(shù)字和字符的全部或部分提供準確的時間證明和生存期證明，并驗證其時間證明 和生存期證明是否被修改過，并結(jié)合硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符數(shù)據(jù) 的全部或部份進行數(shù)字簽名(在本發(fā)明中所有的簽名都存入IP報頭中)并生成時間證明、生存期證明簽名和硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符的全部或部分數(shù)據(jù)進 行平行或疊加混合簽名，將其連同數(shù)據(jù)一起交給下一跳路由器或交換機。(2)路由器或交換機對聯(lián)網(wǎng)計算機的時間證明、生存期證明簽名和硬件地址、IP 地址、指定或隨機產(chǎn)生的數(shù)字和字符的數(shù)據(jù)簽名進行檢查，如果驗證通過則接收并轉(zhuǎn)發(fā)數(shù) 據(jù)，否則丟棄或數(shù)據(jù)湮滅。
(3)路由器或交換機對硬件地址、IP地址、指定或隨機定義的數(shù)字和字符、聯(lián)網(wǎng)計 算機的源硬件地址、IP地址、指定或隨機定義的數(shù)字和字符的全部或部分準確的時間、生存 期證明和加密或非加密的校驗和(由路由器和客戶端的內(nèi)置算法得出)、CPK校驗認證數(shù) 據(jù)、CA認證的校驗認證數(shù)據(jù)進行數(shù)字簽名，生成時間證明、有效期的證明簽名和校驗和、CPK 簽名、CA認證進行平行或疊加混合簽名，并連同轉(zhuǎn)發(fā)數(shù)據(jù)一起交給下一跳路由器，不通過則 將數(shù)據(jù)湮滅。(4)路由器或交換機驗證上一跳路由器或交換機的相關(guān)簽名，其中簽名驗證是逐 級展開的，每一層都對上層進行簽名驗證，同時路由器或交換機需要對本層相應對象進行 簽名，也通過不同IP版本的協(xié)議隧道路由或不同IP版本的協(xié)議轉(zhuǎn)換軟件或計算機將簽名 驗證送至目的路由器或交換機，來保證自己的真實性，如果驗證通過，則將轉(zhuǎn)發(fā)數(shù)據(jù)交給下 一跳路由器或交換機直至目的路由器或交換機(路由器需要對本層相應對象進行簽名，來 保證自己的真實性)。(5)在轉(zhuǎn)發(fā)數(shù)據(jù)到達目的路由器或交換機后，將進行簽名驗證工作，目的路由器或 交換機將經(jīng)過驗證通過的進行平行或疊加混合簽名的數(shù)據(jù)解密成符合設計的接收數(shù)據(jù)后， 轉(zhuǎn)發(fā)數(shù)據(jù)包至目的計算機。圖4示出了本發(fā)明的實現(xiàn)可信網(wǎng)絡連接的路由器的實施例。信息網(wǎng)絡中的路由器 是互聯(lián)網(wǎng)的基本部件。本方案在路由器設計中第一次采用標識鑒別技術(shù)，提供地址真實性 證明，防止非法接入；第一次采用“隨機發(fā)問一簽名回答”的問答技術(shù)，提供本次連接新鮮性 證明，防止重放攻擊；第一次采用軟件標識鑒別技術(shù)，提供路由器操作環(huán)境的可信性，防止 木馬等惡意軟件的侵擾。本設計還提供加脫密功能，保證私密性。這是新一代互聯(lián)網(wǎng)協(xié)議 或未來互聯(lián)網(wǎng)的關(guān)鍵的安全需求。本設計方法將與地理位置編址的新型尋址技術(shù)相結(jié)合， 可構(gòu)建下一代互聯(lián)網(wǎng)或未來互聯(lián)網(wǎng)的路由器。路由器接受來自一個網(wǎng)絡接口的數(shù)據(jù)包，并轉(zhuǎn)發(fā)到下一個目的地址。目的地址由 路由表提供。如果找到了目的地址，就在數(shù)據(jù)包的幀格前添加下一個MAC地址，同時IP包 頭的TTL(time to live)域開始減數(shù)，并重新計算校驗和。當數(shù)據(jù)包被送到輸出端口時，需 要按順序等待，以便傳送到輸出鏈路上。路由器按預定規(guī)則把較大的數(shù)據(jù)分解成適當大小 的數(shù)據(jù)包，再將這些數(shù)據(jù)包分別通過相同和不同路徑發(fā)送出去。當這些數(shù)據(jù)包按先后順序 到達目的地后，再按一定的順序恢復成原有數(shù)據(jù)形式。其數(shù)據(jù)包的存儲轉(zhuǎn)發(fā)過程如下1)當數(shù)據(jù)包到達路由器，根據(jù)網(wǎng)絡物理接口類型，路由器運行相應的鏈路層功能 模塊，解釋數(shù)據(jù)包的鏈路層協(xié)議報頭，并進行數(shù)據(jù)完整性驗證，包括CRC校驗和幀長度檢查。2)根據(jù)幀中IP包頭的目的IP地址，在路由表中查找下一跳的IP地址，同時IP數(shù) 據(jù)包頭的TTL域開始減數(shù)，并重新計算校驗和(chechsum).
3)根據(jù)下一跳IP地址，將IP數(shù)據(jù)包送往相應的輸出鏈路層，封裝成相應的鏈路層 包頭，通過網(wǎng)絡物理接口發(fā)送出去。以上是路由器的簡單工作過程，沒有說明其他附加功能，例如訪問控制、網(wǎng)絡地址 轉(zhuǎn)換、排隊優(yōu)先級等。因為有些工作與認證系統(tǒng)無關(guān)，或者將包括在下面討論的基于ID的 路由器可信網(wǎng)絡連接(trusted connecting)中。
在本實施例中，實現(xiàn)可信網(wǎng)絡連接的路由器1由四個模塊組成防止非法接入模 塊10、防止重發(fā)攻擊模塊12、防止木馬侵擾模塊14和脫加密模塊16。防止非法接入模塊 10在接收轉(zhuǎn)發(fā)數(shù)據(jù)的時候通過對原發(fā)IP地址報頭中的數(shù)字平行或疊加混合簽名的驗證來 判斷是否對轉(zhuǎn)發(fā)數(shù)據(jù)進行接收，以防止非法接入。防止重發(fā)攻擊模塊12通過連接的數(shù)字平 行或疊加混合簽名中特有的IP地址及簽名的時間有效期的新鮮性和IP地址的生存期(所 謂新鮮性就是數(shù)據(jù)包發(fā)出時間和到達時間基本一致)證明來防止重發(fā)攻擊。防止木馬侵擾 模塊14中，防止木馬侵擾模塊，可信網(wǎng)絡連接的路由器和交換機對路由器和交換機進行數(shù) 字平行或疊加混合簽名，如果攜帶木馬程序的網(wǎng)絡數(shù)據(jù)沒有得到簽名，則無法到達目的地 計算機，通過路由操作環(huán)境可信性防止非轉(zhuǎn)發(fā)目的地計算機的木馬侵擾。脫加密模塊16通 過對轉(zhuǎn)發(fā)數(shù)據(jù)的脫加密(也就是解密)過程保證路由私密性。上述實施例的路由器的內(nèi)部結(jié)構(gòu)也可以是交換機的內(nèi)部結(jié)構(gòu)。為了實現(xiàn)路由器之間的可信網(wǎng)絡連接，將IP地址作為路由器的標識，并保證器唯 一性。設Alfa是一個路由器的IP地址，Beta是另一個路由器的IP地址。如果在任意路由 器上插入定義為Alfa的CPK-card，那么這個路由器就變?yōu)闃俗R為Alfa的路由器。同理，任 何路由器插入定義為Beta的CPK-card，該路由器就變?yōu)闃俗R為Beta的路由器。作為例子， 假設Alfa = “中國一北京一海淀一北京大學”，Beta = “中國一北京一海淀一清華大學”。出發(fā)路由器的IP包通過多個轉(zhuǎn)接路由器，最后到達目的路由器，在中間轉(zhuǎn)接路由 器中很容易發(fā)生非法接入，Beta很可能不知道所接入的數(shù)據(jù)包是從何而來，由此便產(chǎn)生了 出發(fā)地址的證明和發(fā)送地的問題。出發(fā)地證明在任何轉(zhuǎn)發(fā)地址上都可以驗證，但這種認證 是多余的，而在目的路由器上處理數(shù)據(jù)data時同時完成就可以了，因為在每一跳轉(zhuǎn)發(fā)中必 須證明收發(fā)兩端的真實性。從上面路由器的工作原理中可看出，以往的路由器只注重下一 跳的路由，并不關(guān)心本數(shù)據(jù)包從何而來。因此如果不解決發(fā)送地址的驗證，就無法克服非法 接入。有些人嘗試能否用加密的方法解決非法接入問題，但在公鑰體制條件下，這是徒 勞的。比如Beta是接受方，而它的公鑰是公開的，任何人都可以給Beta加密，因此Beta仍 然無從知曉發(fā)方是誰。對于防止非法接入模塊10來說，路由器必須滿足(1)原發(fā)地址必須給出發(fā)送地 址證明，可由任何一地來驗證；(2)所有路徑路由器均對原發(fā)地址進行驗證，如不符則拒絕 轉(zhuǎn)發(fā)；(3)能防止非法接入，抵抗DOS攻擊；(4)路由器內(nèi)部的計算環(huán)境是可信的。防止非法接入模塊10實現(xiàn)了以下幾個步驟首先，客戶端PclID對time和MAC簽名，將簽名數(shù)據(jù)交付路由器AlfalD。其次，路由器AlfaID對客戶端PclID的time簽名和MAC簽名進行檢查，如果驗證 通過則接收，否則拒收。然后，路由器AlfaID對time、checksum簽名，轉(zhuǎn)給下一個路由器。
在路由器AlfaID之后，經(jīng)由路由器GamID、LamID、BetaID等路由操作方式和路由器AlfaID相同。即下一個路由器驗證原發(fā)地址簽名和上一路由器的簽名，如果驗證通過 則將數(shù)據(jù)data轉(zhuǎn)發(fā)給下一路由器。最后，目的路由器BetaID將數(shù)據(jù)data轉(zhuǎn)送至接收用戶Pc2ID。這當中利用到了 CPK密碼體制。在CPK密碼體制中，實體標識EentityID映射到以 T= {a，b，G，n，p}為參數(shù)的橢圓曲線E:y2 = x3+ax+b (mod ρ)上的點ENTITY，且有整數(shù)滿足 ENTITY = (entity) G，那么ENTITY是公鑰，eintity是私鑰，公鑰可由任何人計算，私鑰則 由ID-card提供。因此，一般地，任何IdentityID映射到公私鑰對IDENTITY和identity 簽名可以SIGidentity (time) = sign 表示；驗證可以SIGIentity (tirne)=sign，表示。路由器配置CPK-card，使其具有數(shù)字簽名和密鑰交換功能，CPK-card的內(nèi)容如 下設路由器的IP地址為alfa(Alfa可能是中國.北京.海淀.北京大學等實名，經(jīng)統(tǒng)一 譯名后變?yōu)闄C器可執(zhí)行的代碼)。以路由器alfa的ID-card為例，其內(nèi)容如下
Zl 驗證參數(shù) 16B Epwd (R1) = Z1
~~2 Z2 驗證參數(shù) 16B Eei (R1) R1 = Z2~
標識定義25B IlK
~ 角色級16B 5
~ 私鑰 132BEei (Csk1) = Y1
~~6 私鑰 232B Eei (csk2) = Y2
~ 角色 5 密鑰 48B Eei (keYl) = Y3
~~8 伴隨公鑰50B APK, sign
~~9 發(fā)放單位25B KMC
~ θ 發(fā)放單位簽 48Β SIGkmc(MAC) 名關(guān)于地址鑒別這一塊，假設發(fā)送地址為Alfa，接收地址為Gamma，AlfaID的公鑰是 ALFA,私鑰是alfa，由Alfa發(fā)出連接申請，其申請格式如Msgl Masl =Alfa — Gamma, {AlfalD, BetaID, Τ, signl}其中AlfaID是發(fā)送地址，BetaID時目的地址，T是時間，signl是發(fā)送方Alfa對 時間的簽名，即SIGalfa⑴=signl，其中SIG是簽名函數(shù)。接收方Gamma是經(jīng)由地址，驗 證發(fā)送方的簽名=SIG丄FA (T)=SignriSIG1是驗證函數(shù)。如果signl = signl’，Gamma認為發(fā)送方是Alfa，如果Alfa是合法用戶(查表)，則發(fā)送一個隨機數(shù)r并對(T-I)的簽名SIGga醒(T-I) = sign2，將 sign2 發(fā)送給 Alfa Msg2 Gamma — Alfa, {r, sign2}Alfa 驗證 sign2 =SIG^amma (T-1 )=Sign2'，如果 sign2 = sign2，，Alfa 確定接收 方是經(jīng)由地址Gamma，如果接收方是合法的(查表)，則對!·和(T+1)簽名，同時發(fā)送數(shù)據(jù) data和對校驗checksum的簽名SIGalfa (r) = sign3SIGalfa (T+1) = sign4SIGalfa (checksum) = sign 5Msg3 :Alfa — Gamma, {sign3, data, sign4, sign5}Gamma檢查簽名SlG;LFA(r)=sign3'SIG^lfa (T+1)=sign4',SIGalfa (checksum)=sign5'如果Sign3 = sign3’，則證明發(fā)送方為Alfa，允許本次連接，如果sign4 = sign4'，則證明了本次數(shù)據(jù)是來自Alfa，且接收無誤，發(fā)送回執(zhí)信息，即Gamma對校驗碼的 簽名SIGgamma (checksum) = sign6,Mag4 Gamma — Alfa, {sign6}Alfa 驗證 sign5 :SK^AMMA (checksum)=sign6',如果 sign6 = sign6，，證明數(shù)據(jù) data 送到了 Gamma。在很多情況下數(shù)據(jù)可能劃分為若干段data = data0//datai//data2//. . . datan, 分段數(shù)據(jù)的發(fā)送可能出現(xiàn)兩種情況一是在已建立連接的兩端路由器之間發(fā)生，二是沒有 建立連接的兩端路由器之間發(fā)生。假設Clata1走Alfa — Gamma,而data2走Alfa — Delta。 但是第二種情況是不可能發(fā)生的，因為還沒有建立可信網(wǎng)絡連接過程。如果要走第二條路， 首先必須建立可信網(wǎng)絡連接。因此所有問題都歸到第一種情況，即已建立連接的情況下，怎 樣發(fā)送分段數(shù)據(jù)的問題。在申請連接的同時已經(jīng)發(fā)送了 Clata1，怎樣發(fā)送data2。如果將發(fā)送data2的過程 作為獨立過程，走完申請過程也可以，但是現(xiàn)在情況是Alafa和Gamma都互相認定的基礎上 進行，因此，除第一階段外，只將上述Msg3和Msg4重復就可以第一段=Masl =Alfa — Gamma, {Alfa, Beta, Τ, signl}Msg2 Gamma — Alfa, {r, sign2}MsgS1 :Alfa — Gamma, (SignS1, data” sign41, sign5jMag+:Gamma — Alfa, {sign6j第二段:Msg32 :Alfa — Gamma, {data2, sign42sign52, }Mag42 :Gamma — Alfa, {sign62};第三段:Msg33 :Alfa — Gamma, {data3, sign43, sign53}Mag43 :Gamma — Alfa, {sign63};......
其中，SigMi = SIGalfa (T+i), (i = 1，2廣.)，因為(T+i)是變化中的因素，且 Alfa 和Gamma簽了名，可繼續(xù)保持互信的連接狀態(tài)。本次連接過程結(jié)束，則進入下一跳連接過程，則經(jīng)由地址Gamma變?yōu)榘l(fā)送方，經(jīng)由 地址Lamda成為接受方。類推，路由器一跳一跳地轉(zhuǎn)發(fā)，最后到終端路由器。至此，每一路 徑的所有連接都得到了證明。目的地址Beta最后處理data。在脫加密模塊16中，數(shù)據(jù)data的結(jié)構(gòu)定義如下Data = {Alfa, Beta, time, sign, data}，其中 Alfa 是發(fā)信方，Beta 是收信方，sign = SIGalfa(time)。當數(shù)據(jù)為明文時，Data = {Alfa, Beta, time, sign, clear-text}當數(shù)據(jù)為密文時,Data = {Alfa, Beta, time, sign, coded-key, coded-data}目的路由器首先認證發(fā)信方的真實性SIGlFA(time)=sign’,如果sign = sign', Beta認為發(fā)信方是Alfa，則進入脫密過程。如果加脫密功能是由路由器提供的，設Alfa加密，Beta脫密，由于Alfa和Beta之 間的通信是多跳通信，因此加密只能用CPK的分割密鑰實現(xiàn)，其密鑰池大小視情況而定。如果本次數(shù)據(jù)data是需要加密的數(shù)據(jù)1)產(chǎn)生隨機數(shù)r，Alfa計算key = r (G)；其中G是橢圓曲線的基點；2)用對方公鑰將 key 加密ENCbeta (key) = coded-key ；3) key與用戶的角色密鑰ro 1 e-key模2相加得到new-key，其中ro 1 e_key由 ID-card 提供。key 十 role-key = new-key ；4)對數(shù)據(jù)加密Enew_key(data) = coded-data ；密文 cipher = text 禾口 coded—key 發(fā)送給 Beta。Beta接到Alfa的信號便自動進入脫密過程。l)Beta 計算私鑰脫密DECbeta (coded-key) = key 其中私鑰 beta 由 ID-card 提供2)密鑰Key與角色密鑰模2加的new-key key 十 role-key = new-key ；3)數(shù)據(jù)脫密Dnew_key (coded-data) = data ；基于上述的具體實施方式
，本發(fā)明通過在路由器上對現(xiàn)有IP報頭進行擴展，對原 地址和目的地址進行驗證，從而提供地址真實性和生存期證明，防止DOS攻擊的非法接入； 提供本次連接新鮮性和生存期證明，在路由器上防止重發(fā)攻擊；提供路由操作環(huán)境的可信 性，在路由器上防止木馬等惡意軟件的侵擾；在路由器上增加脫加密功能，保證了路由的私 密性，用于有保密或安全需要的單位、機構(gòu)或部門。上述實施例是提供給本領(lǐng)域普通技術(shù)人員來實現(xiàn)或使用本發(fā)明的，本領(lǐng)域普通技 術(shù)人員可在不脫離本發(fā)明的發(fā)明思想的情況下，對上述實施例做出種種修改或變化，因而 本發(fā)明的保護范圍并不被上述實施例所限，而應該是符合權(quán)利要求書提到的創(chuàng)新性特征的 最大范圍。
權(quán)利要求
一種通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，實現(xiàn)路由器或交換機的網(wǎng)絡設備之間和網(wǎng)絡終端之間的可信網(wǎng)絡連接，在路由器或交換機的網(wǎng)絡設備之間以報頭中的源IP地址或目的IP地址、源硬件地址或目的硬件地址、指定或隨機定義的數(shù)字和字符的全部或部分進行平行或疊加作為標識互相簽名認證，在聯(lián)網(wǎng)計算機之間以報頭中的源IP地址或目的IP地址、源硬件地址或目的硬件地址、指定或隨機定義的數(shù)字和字符的全部或部分進行平行或疊加作為標識互相簽名認證，該方法包括源計算機和目的計算機、路由器或交換機都對數(shù)字和字符定義的路由器或交換機硬件地址、IP地址、指定或隨機定義的數(shù)字和字符、計算機的硬件地址、IP地址、指定或隨機定義的數(shù)字和字符的全部或部分提供準確的時間證明，并驗證其時間證明是否被修改過，并結(jié)合硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符數(shù)據(jù)的全部或部份進行數(shù)字簽名并生成時間證明、生存期證明簽名和硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符的全部或部分數(shù)據(jù)進行平行或疊加混合簽名，將其連同數(shù)據(jù)一起交給下一跳路由器或交換機；路由器或交換機對聯(lián)網(wǎng)計算機的時間證明、生存期證明簽名和硬件地址、IP地址、指定或隨機產(chǎn)生的數(shù)字和字符的數(shù)據(jù)簽名進行檢查，如果驗證通過則接收并轉(zhuǎn)發(fā)數(shù)據(jù)，否則丟棄或數(shù)據(jù)湮滅；路由器或交換機對硬件地址、IP地址、指定或隨機定義的數(shù)字和字符、聯(lián)網(wǎng)計算機的源硬件地址、IP地址、指定或隨機定義的數(shù)字和字符的全部或部分準確的時間、生存期證明和加密或非加密的校驗和、CPK校驗認證數(shù)據(jù)、CA認證的校驗認證數(shù)據(jù)進行數(shù)字簽名，生成時間證明、有效期的證明簽名和校驗和、CPK簽名、CA認證進行平行或疊加混合簽名，并連同轉(zhuǎn)發(fā)數(shù)據(jù)一起交給下一跳路由器；路由器或交換機驗證上一跳路由器或交換機的相關(guān)簽名，其中簽名驗證是逐級展開的，每一層都對上層進行簽名驗證，同時路由器或交換機需要對本層相應對象進行簽名，也通過不同IP版本的協(xié)議隧道路由或不同IP版本的協(xié)議轉(zhuǎn)換軟件或計算機將簽名驗證送至目的路由器或交換機，來保證自己的真實性，如果驗證通過，則將轉(zhuǎn)發(fā)數(shù)據(jù)交給下一跳路由器或交換機直至目的路由器或交換機；在轉(zhuǎn)發(fā)數(shù)據(jù)到達目的路由器或交換機后，將進行簽名驗證工作，目的路由器或交換機將經(jīng)過驗證通過的進行平行或疊加混合簽名的數(shù)據(jù)解密成符合設計的接收數(shù)據(jù)后，轉(zhuǎn)發(fā)數(shù)據(jù)包至目的計算機。
2.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，該IP地址是多個版本IP協(xié)議的地址。
3.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，指定或隨機定義的數(shù)字和字符的全部或部份作為標識互相認證。
4.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，該硬件地址是多定義的硬件地址。
5.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，源或目的地的聯(lián)網(wǎng)計算機、路由器或交換機對數(shù)字和字符定義路由器或交換機的硬件 地址、IP地址、指定或隨機定義的數(shù)字和字符、源或目的地的聯(lián)網(wǎng)計算機的源硬件地址、IP 地址、指定或隨機定義的數(shù)字和字符的全部或部分提供準確的時間證明和有效期，并驗證 其時間證明和有效期是否曾被人修改過，準確的時間證明，并驗證其時間證明和有效期是否曾被人修改過的數(shù)字簽名和對數(shù)字簽名結(jié)果的驗證是通過指定或隨機產(chǎn)生的硬件地址、 IP地址、指定或隨機產(chǎn)生的數(shù)字和字符等數(shù)據(jù)的全部或部份進行數(shù)字平行或疊加混合簽名 來實現(xiàn)的。
6.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，在IP報頭上增加源地址和目的地址或附加信息的驗證內(nèi)容，出發(fā)路由器、轉(zhuǎn)接路由器 以及目的路由器對每一個IP報頭進行檢驗，從而提供地址或附加信息的真實性證明。
7.根據(jù)權(quán)利要求1所述的通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法，其特征在 于，所有的簽名都存入IP報頭中。
8.一種實現(xiàn)可信網(wǎng)絡連接的裝置，包括防止非法接入模塊，在接收轉(zhuǎn)發(fā)數(shù)據(jù)的時候通過對原發(fā)IP地址報頭中的數(shù)字平行或 疊加混合簽名的驗證來判斷是否對轉(zhuǎn)發(fā)數(shù)據(jù)進行接收，以防止非法接入；防止重發(fā)攻擊模塊，通過連接的數(shù)字平行或疊加混合簽名中的IP地址及簽名的時間 有效期的新鮮性證明來防止重發(fā)攻擊；防止木馬侵擾模塊，可信網(wǎng)絡連接的路由器和交換機對路由器和交換機進行數(shù)字平行 或疊加混合簽名，如果攜帶木馬程序的網(wǎng)絡數(shù)據(jù)沒有得到簽名，則無法到達目的地計算機， 通過路由操作環(huán)境可信性防止非轉(zhuǎn)發(fā)目的地計算機的木馬侵擾；脫加密模塊，通過對轉(zhuǎn)發(fā)數(shù)據(jù)的脫加密過程保證路由私密性。
9.根據(jù)權(quán)利要求8所述的實現(xiàn)可信網(wǎng)絡連接的裝置，其特征在于，該裝置是IP網(wǎng)絡的 路由器或電路網(wǎng)絡的交換機。
全文摘要
本發(fā)明公開了通過路由器或交換機實現(xiàn)可信網(wǎng)絡連接的方法和裝置，防止DOS攻擊的非法接入，防止重發(fā)攻擊、防止木馬等惡意軟件的侵擾以及可保證路由的私密性。其技術(shù)方案為本發(fā)明通過在路由器上對現(xiàn)有IP報頭進行擴展，對原地址和目的地址進行驗證，從而提供地址真實性證明和地址生存期證明，防止DOS攻擊的非法接入；提供本次連接新鮮性證明，在路由器上防止重發(fā)攻擊；提供路由操作環(huán)境的可信性，在路由器上防止木馬等惡意軟件的侵擾；在路由器上增加脫加密功能，保證了路由的私密性，用于有保密或安全需要的單位、機構(gòu)或部門。
文檔編號H04L12/56GK101808142SQ201010120869
公開日2010年8月18日 申請日期2010年3月10日 優(yōu)先權(quán)日2010年3月10日
發(fā)明者南湘浩, 林肇, 程曉衛(wèi), 謝建平, 陳六廣 申請人:上海十進制網(wǎng)絡信息技術(shù)有限公司;北京易恒信認證科技有限公司