[发明专利]基于标识即公钥的自信任路由资源标识及密钥分配方法

说明书

本发明公开了一种基于标识即公钥的自信任路由资源标识及密钥分配方法，包括如下步骤：(1)NANA及NASA部署层级网络标识密钥管理机构，完成信任体系的初始化，启动网络信任根；(2)NASA为其部署的路由器生成路由资源私钥，并分发至路由器；(3)路由器利用路由资源私钥对消息进行签名或加密，发布消息、消息签名及路由资源有效期，或发布消息密文及路由资源有效期；(4)路由器提取对等路由器的路由资源标识，验证对等路由器发布的消息签名，或解密对等路由器发布的消息密文，从而得到对等路由器发布的消息内容。本发明原理简单，路由资源标识即地址拥有者公钥，无需第三方绑定，且兼容现有路由策略，容易实现和推广。

技术领域

本发明涉及可信安全网络基础设施领域，具体涉及如何在保持现有路由器部署方式情况下构建路由资源标识及其对应公钥绑定的体系，以及如何可信安全地分发其私钥。

背景技术

随着信息技术的发展，诞生于年的1969互联网已经由最初联通美国四所高校的小型科研网演化为覆盖全球的通讯信息网络。每天有数以亿计的人使用互联网，进行包括在线聊天、资讯获取、网络购物等行为。预计到2016年，全球互联网用户将会达到30亿。

事实上，沟通全球的互联网是由不同规模、不同类型的网络串连成的庞大网络，这些子网络以一组通用的协议相连，形成逻辑上的单一且巨大的全球化网络。为了管理方便，不同的子网络根据其地域分布、组织方式构成自治系统(Autonomous System，AS)。自治系统又称为自治域，互联网实际上是由这些不同自治域分散互联的网络。目前互联网上沟通不同自治域的域间路由协议事实标准是制定于1995年的第四版本边界网关协议(BorderGateway Protocol version 4，BGPv4)协议。历史上，BGP对于互联网的商业化和全球化立下了汗马功劳。然而，BGP协议的设计在安全方面留有巨大的缺陷，具体体现于BGP路由器默认接受并无条件信任邻居路由器通告的任何路由，这直接导致了BGP路由协议容易受到前缀地址劫持和路由篡改攻击，可能引起网络瘫痪，使得有网不能通，用户无法正常链接网络。

考虑到性能开销以及现实部署等多方面的原因，目前已经得以应用的安全机制并不多。概括而言，常用的BGP安全机制主要包括TCP MD5、GTSM(generalized TTL securitymechanism)、路由抖动抑制、路由过滤以及路由注册这5种。这些安全机制可在一定程度上保护BGP的安全，但都无法彻底解决BGP安全问题，主要是因为BGP协议在安全上的设计缺陷仍然存在。为了弥补BGP路由协议固有的脆弱性，学术界和工业界提出过多个路由协议安全机制，通过采用各种路由认证技术来修补BGP协议缺乏路由认证机制的缺陷，具体机制包括S-BGP、soBGP、RPKI等。S-BGP的安全机制主要建立在三个安全实施模块之上：PKI、路由属性证明和IPsec。S-BGP使用的PKI基于X.509(v3)的扩展证书，以此来验证AS号码和IP地址前缀的持有者的身份和授权。路由属性证明模块完成对路由信息的数字化签名授权，主要包括地址证明和路由证明。地址证明来授权它管辖范围内的AS可以发起到该地址前缀的路由，而路由证明用来授权其邻居可以通告发布给它的路由。IPsec模块确保路由器之间点到点传输的BGP流量的安全。

由于需要依赖第三方基于X.509证书的PKI系统进行网络基本元素和基本行为的绑定，目前的路由协议安全机制的执行需要各层级互联网注册机构以及路由器厂商的共同参与，部署难度非常大。

发明内容

本发明要解决的技术问题就在于：针对现有技术存在的技术问题，本发明提供一种原理简单、易实现和推广、无需改变现有路由器标识语义、无需第三方绑定、可兼容现有网络的基于标识即公钥的自信任路由器标识及密钥分配方法。

为解决上述技术问题，本发明采用以下技术方案：

一种基于标识即公钥的自信任路由器标识及密钥分配方法，其步骤为：