[发明专利]基于委托的移动性管理

说明书

发明领域

本发明涉及基于委托(delegation)的移动性管理，并且尤其(虽然 并非必需)涉及在主机标识协议(Host Identity Protocol)寻址机制背景 下的这种管理。

发明背景

用户和终端移动性是当前和未来一代的蜂窝网络成功的关键所在。 虽然与传统电路交换呼叫相关联的移动性问题基本上已得到解决，但是 在提供基于IP的数据服务方面还存在难题。已经针对IP提出了多种移 动性解决方案。这些解决方案包括移动IP，其中移动节点在其归属网络 内被分配以永久的IP地址，并且当所述移动节点在漫游时向归属网络登 记转交地址(care-of-address)。

针对IP移动性问题的另一种解决方案是将标识和定位功能彼此分 离，并且这是在主机标识协议(HIP)提案(R.Moskowitz，P.Nikander， P.Jokela，“Host Identity Protocol”，Internet Draft，在编， drft-ietf-hip-base-05，IETF，2006)中采用的方法。HIP通过引入新的命 名空间-主机标识(HI)而将IP地址的位置与标识角色分离。在HIP 中，主机标识基本上是公私密钥对的公共加密密钥，并且是根据私钥而 生成的并且被联接到(link to)私钥。公钥标识持有私钥的唯一拷贝的 一方。处理密钥对的私钥的主机能够直接证明其“拥有”用于在网络中 对其进行识别的公钥。

HIP主机标识(HI)作为公钥可以非常长并且由此并非在所有情况 下都是切合实际的。在HIP中，HI可以用通过对HI进行哈希(hash) 所生成的128位长的主机标识标签(HIT)来表示。因此，HIT对HI进 行标识。由于HIT是128位长，与IPv6地址的长度完全相同，因此其 能够直接被用于IPv6应用。

当使用HIP时，包括应用的上层不再看到IP地址。作为代替，它 们看到作为目的地主机的“地址”的HI(或HIT)。IP地址不再标识节 点，它们仅用于在网络中路由分组。应用所使用的HI(或HIT)必须在 任意分组离开主机之前被映射到相应的IP地址。这在新的主机标识层中 实现。附图的图1图示了HIP中的各个层，包括标准传输层4、网络层 8和链路层10，其下具有与传输层4通信的过程2。利用HIP，新的主 机标识层6被设置在传输层4和网络层8之间。

附图的图2图示了HIP的四路握手基础协议的操作。进行协商的各 方被称作开启连接的发起方以及响应方。发起方通过发送I1分组来开始 协商，所述I1分组包含参与协商的节点的HIT。如果响应方的HIT不为 发起方所知，则也可以将目的地HIT归零。当响应方得到I1分组时， 其发送回R1分组，所述R1分组包含要由发起方求解的问题(puzzle)。 所述协议被设计成使得发起方必须在问题求解期间进行大部分计算，并 且需要访问对应于HI的私钥。这提供了抵抗DoS攻击的一些保护。R1 还发起迪菲-赫尔曼(Diffie-Hellman)过程，该过程包含响应方的公钥 以及迪菲-赫尔曼参数。一旦接收到R1参数，发起方就求解所述问题并 且在I2分组中向响应方发送响应cookie以及IPsec SPI值及其加密公钥。 响应方验证已被求解的问题，鉴别发起方并且创建IPsec ESP SA。最终 的R2消息包含响应方的SPI值。

作为HIP基本交换的结果而建立的SA被附于由HIT所表示的主机 标识。然而，在网络中传播的分组不包含实际的HI或HIT信息。更确 切地，使用IPsec首部中的安全参数索引(SPI)值对到达分组进行识别 并将其映射到正确的SA。

根据上文能够明确的是，改变分组中的位置信息并不会为IPsec处 理带来任何问题。仍然使用SPI来正确地标识分组。如果出于某种原因， 分组被路由到错误的目的地，则接收方由于没有正确的密钥而无法打开 所述分组。

当外出的分组从上部的层到达HI层时，根据IPsec SADB来验证目 的地HI或HIT。如果找到与目的地HI或HIT相匹配的SA，则使用与 SA相关联的会话密钥对分组进行加密。HI或HIT被映射到正确的目的 地IP地址。在接收主机处，SPI值被用来从IPsec SADB寻找正确的SA。 如果找到一个条目(entry)，则能够将IP地址改变为相应的HIT并且 能够使用会话密钥对分组进行解密。