[发明专利]一种可重构网络安全服务构造方法

说明书

技术领域

本发明涉及一种可重构网络安全服务构造方法，尤其以可重构网络安全基片为功能基础的安全服务动态构造方法，属于下一代互联网设计技术领域。

背景技术

在下一代互联网设计的研究中，人们主要集中在网络的灵活扩展性、安全性、可控性等方面的问题，已解决现有互联网体系网络结构僵化、安全性问题突出的问题。可重构网络指具备在业务需求变化时,根据重构目标在网络中引入或移除构件和功能实体,并对其进行相应的配置以在一定资源消耗条件下达到重构目标能力的网络。

安全可管可控是可重构基础网络的重要设计目标，可重构网络的安全可管可控直接受制于网络内在功能和结构要素，必须在网络体系结构中内嵌网络安全与管控机制。

在上述研究背景下，为了实现网络安全管控能力的内嵌，基于网络重构技术构建具有多级安全强度的安全基片结构，并基于安全基片构造可重构网络安全服务，在此基础上为上层应用提供机密性、完整性、抗抵赖性、鉴别、访问控制服务，同时实现面向网络行为和业务内容的追踪溯源。

本发明涉及安全基片，安全元能力，安全元服务，安全服务链，安全服务路径、可重构技术等概念。

定义1安全基片

安全基片(Security Substrate，SS)是针对共性安全与管控特征要求而构造的基本安全要素和功能的总和，是实现网络安全管控机制动态可重构的功能基础，基于安全基片构造多级安全等级安全服务，进而更加灵活的满足具体的安全业务的不同安全需求。安全基片可理解为安全元能力的集合，如节点N_i安全基片SS_i，可表示为SS_i＝{sac_i1,sac_i2,…,sac_ij,…,sac_im}，安全元能力可以扩展。

定义2安全元能力

安全元能力(Security Atomic Capability,SAC)是指能提供基本安全要素和功能的实体单元，通过安全元能力的有序重组可以为构建安全服务提供功能单位。通过对现有网络安全机制中所涉及到的具体安全技术进行分析归纳，同时结合可重构基础网络的特性，将形成安全元能力的安全要素的粒度确定在能独立完成一定安全功能的安全协议一级，如认证协议、密钥分配协议和密钥协商协议、具体的加密算法等。根据分类、分级的思想，首先将可重构网络的所有安全元能力集合表示为其中SAC_S表示所有能实现安全元服务S的安全元能力集合；用T_S表示SAC_S中的安全元能力(算法、安全机制)类型集合，而同一类型的安全元能力能够比较安全等级，再用L_t表示t∈T_S类的安全元能力等级集合，则SAC_S可表示为其中S(t,l)表示SAC_S中t类型的能够实现l级安全元服务S的特定安全元能力。

定义3安全元服务

安全元服务(Security Atomic Service，SAS)是指由多种安全元能力聚类为一种“安全机制”，并由这些安全机制来保障提供的“安全服务”。根据目前网络共性安全需求，可将安全基片提供的安全元服务(SAS)分为五大类，即安全元服务类集合为SAS＝{Co,In,Nr,Ac,Aa}，用S∈SAS表示某一类安全元服务，表示安全元服务类集的一个子集，用表示某一类安全元服务，表示安全元服务类集的一个子集。

定义4安全服务链

节点上的安全元能力动态有序地组合成具有一定顺序的安全元能力序列，当这些有序组合在一起的安全元能力能够供具体的安全称为安全服务链(Security Service Chain，SSC)，安全服务链是节点提供安全服务的逻辑和功能结构。安全服务链是一类特殊的服务链，其功能和结构与其他业务服务链相似，由公共部分和特定部分组成，公共部分是使用该服务链的安全业务都要使用相同的安全元能力；特定部分则由于业务安全需求的不同，服务链的构建过程中或考虑元能力的参数不同，或考虑组合顺序不同等原因，出现多个不同分支。

定义5安全服务路径

根据上层业务的不同安全需求网络可定制安全服务路径(Security Service Pathway,SSP)，安全服务路径是一种网络拓扑结构，其依据节点上安全基片可提供的安全元能力是否能满足相应的业务安全需求，结合路由和安全服务链构建一条最优路径，满足上层业务的安全需求。

安全服务可重构技术