[发明专利]一种基于DANE的NDN安全认证方法

说明书

技术领域

本发明属于网络安全技术领域，具体涉及一种基于DANE(DNS-Based Authentication of Named Entities)的NDN(Named-Data Networking)安全认证方法。

背景技术

随着信息技术的飞速发展，新的互联网应用层出不穷，致使传统IP技术面临众多挑战。特别是移动通信技术的飞速发展以及物联网和云计算等新兴数据应用的涌现，正在逐渐改变互联网用户获取服务资源的传统模式，使互联网逐步从互联互通的基本功能向支撑海量数据交互的需求发展，并对网络安全、高效移动等都提出新的挑战。

近些年，研究者使用了很多方法和手段来完善和优化现有互联网，使其支持更大规模、更高效率的数据资源获取，如在互联网架构方面建设了越来越多的数据中心，在传输层面越来越广泛地使用P2P等优化数据传输的技术，但是这些“打补丁”的方式使得传统互联网体系结构越来越冗余，功能越来越复杂。为此，国内外学者开展了对未来网络架构重新设计的诸多研究，并将其提升到了国家战略高度，旨在从根本上考虑解决当前互联网支撑高效数据传输的问题。以信息为中心的未来网络体系(Information Centric Networking，ICN)，通过以标识的内容取代主机的地址，实现基于内容名字寻址与路由的新型网络架构，得到了广泛的关注，其中“命名内容网络”(Named-Data Networking，NDN)是其中最为典型的代表方案。与传统方式相比，NDN基于内容名字的寻址路由致力于改变现有的网络通信模式，从关注于“资源在哪里”转变为“资源是什么”，从实现基于端地址的转发转变为基于资源名字的转发，从而能一定程度上解决路由可扩展性、数据分发效率等问题。

但是，NDN缺乏一套高效的安全证书管理体系，保证未来大规模应用中各种安全需求。而这些正是本发明的主要出发点。

发明内容

本发明针对上述问题，提供一种基于DANE的NDN安全认证方法，利用DANE基础设施为NDN的证书管理提供支撑，以满足具体应用中的安全需求。

为实现上述目的，本发明采用如下技术方案：

一种基于DANE的NDN安全认证方法，其步骤包括：

1)基于DANE建立适应NDN多种应用场景的信任模型；

2)内容的权威发布者根据所述信任模型发布内容，并发布该内容对应的数字证书；

3)接收者向NDN路由器发送Interest消息，以请求获得该内容对应的数字证书；

4)NDN路由器接收到所述Interest消息后，如果在自身的缓存中有该数字证书，则按照基本NDN协议直接进行基于证书的数据验证，如果在自身缓存中没有该数字证书，则基于该内容中的区信息将该Interest消息向该区转发；

5)该区对应该内容的内容源节点接收到该Interest消息后，如果该内容源即为该内容的权威发布源，则内容源在反馈的数据包中携带的数据即为该内容的数字证书；如果该内容源不是该内容的权威发布源，则内容源在反馈的数据包中不仅包含该数字证书，还包含一表明权威发布源名字的字段。

进一步地，步骤1)所述信任模型中，NDN采用的名字结构包含两个部分：表征内容发布者所在的区，内容在该区中的逻辑位置；内容的来源分为两类：权威发布者与内容源相同，权威发布者与内容源不同；基于内容来源场景，证书的信任位置分为两类：基于DNS层次，基于内容发布路径。

进一步地，所述Interest消息中包含的名字如下所示：

/Content/Certificate-type，

其中第一部分表征该内容名字，指示内容源所在区，第二个部分表征接收者需要请求的该内容对应的证书的类型。

进一步地，步骤5)在第一种场景下，即如果该内容源即为该内容的权威发布源，如果接收者希望验证该证书，则基于该内容名字中区的层次结构按照DNSSEC/DANE流程进行验证。

进一步地，采用的NDN的Data数据包，其扩展格式包括名字、签名、签名信息、数据，其中签名包括摘要算法、签名数据，签名信息包括发布者的ID、密钥所处位置、签名有效期、表明权威发布源名字的TL字段。

本发明扩展了NDN协议，使其证书管理体系可以完全兼容DANE体系架构，一方面为NDN的证书管理提供了支撑，并灵活支持NDN内容发布和转移过程中与证书有关的多种应用场景，另一方面可以有效利用当前互联网基础设施(即DNS体系架构以及基于DNSSEC的DANE扩展机制)，保证了内容中心网络(NDN)在当前互联网体系中的平滑演进。