[发明专利]基于认证分片可重组的动态路径验证方法

说明书

本发明公开了一种基于认证分片可重组的动态路径验证方法，包括：期望路径更新为新的期望路径后，将新的期望路径验证结构插入待发送数据包，发送到下一跳节点，除迁移节点外的其他节点对数据包进行验证，验证通过后转发到下一跳节点；迁移节点对数据包进行验证，验证通过后判断该数据包插入的是否为新的期望路径验证结构，若不是，则替换为新的期望路径验证结构，若是，则转发至下一跳路由节点；数据包接收端对接收到数据包进行验证，验证通过时，判断当前数据包头部的发送源地址信息与期望起始节点信息是否一致，若一致，则接收到的数据包正常。该方法在会话路径变化时，可以实现转发路径上各节点验证功能的受控迁移和会话传输路径的动态验证。

技术领域

本发明涉及网络安全技术领域，特别涉及一种基于认证分片可重组的动态路径验证方法。

背景技术

互联网发展至今已经形成复杂协议交织的庞大体系，路由协议在网络协议中已逐渐成为关键组成部分，高效、稳定和安全的路由是保障网络传输性能的重要因素。目前对于路由协议的安全加固策略不断涌现并逐步受到关注，例如S-BGP安全机制通过强化BGP域间路由协议有关路由信息发布的真实性和合法性，用以解决当前BGP协议在运行过程中遇到的安全威胁。如果说路由协议的升级防护至关重要，那么协议策略是否被真实执行同样意义重大。在网络数据传输过程中，验证会话数据包实际转发路径是否与路径策略一致是确保网络协议安全可信执行的基础问题。

针对上述数据包路由转发的真实性检验问题，现有的研究工作主要是基于期望路径信息生成数据包验证结构即对该会话的预定路径策略进行认证，各路由节点通过解析收到数据包中的验证结构进行该数据包实际转发状态检验，判断该数据包是否按照预定路径被正确发送到目的端。但是，当网络运行环境出现一些特殊情况时，例如链路中断、故障切换等原因导致的网络拓扑动态变化，或者网络环境中发现了潜在的恶意节点危害数据传输安全，出于防护的目的躲避这些存在安全隐患的节点，需要相应地调整和改变预定路径策略。如果预定路径策略在验证协议运行过程中发生变化，现有的技术方案主要考虑如何借助整条期望路径信息生成数据包验证结构，并检验数据包是否按照预定路径被正确发送到目的端，不支持预定路径改变后各路由节点验证功能的自适应调整，无法针对当前会话新的路径策略继续执行会话数据包源和路径验证的相关工作。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的一个目的在于提出一种基于认证分片可重组的动态路径验证方法，该方法可以解决预定路径改变后各路由节点验证功能的自适应调整，实现转发路径上各节点验证功能的受控迁移以及会话传输路径的动态验证。

为达到上述目的，本发明一方面实施例提出了一种基于认证分片可重组的动态路径验证方法，包括：

通过担保服务节点向数据包发送端发送初始期望路径验证结构，向初始期望路径上的各路由节点发送通告信息；数据包发送端将所述初始期望路径验证结构插入待发送数据包，按照初始期望路径将插入后的数据包发送到下一跳路由节点；所述初始期望路径上的路由节点接收到数据包后，根据本路由节点的会话对称密钥和所述初始期望路径验证结构对数据包执行解析验证，在验证通过时，继续向下一路由节点发送该数据包；

所述初始期望路径发生变化，所述初始期望路径更新为新的期望路径，所述数据包发送端重新向所述担保服务节点发送申请，所述担保服务节点根据所述新的期望路径生成新的期望路径验证结构，将所述新的期望路径验证结构发送给所述数据包发送端和迁移节点，并向各路由节点发送新的通告信息；

所述数据包发送端将所述新的期望路径验证结构插入后续的待发送数据包，并发送到下一跳路由节点，除所述迁移节点外的其他中间路由节点对接收到的数据包执行解析验证，验证通过后，将该数据包转发到下一跳路由节点；