[发明专利]源验证和路径认证方法及装置

摘要

本发明公开了一种源验证和路径认证方法及装置，其中该方法包括：源端和目的端通过密钥交换技术实现共享密钥和数据流标识的配送；源端对数据包的头部进行初始化；数据包在网络系统传输过程中，每一跳路由器利用随机标记机制以概率P的大小随机地在数据包的头部进行标记；目的端根据数据包头部的标记，对数据和源地址进行验证；目的端根据数据包头部的标记，利用路径恢复机制得到数据包实际走过的路径；目的端利用验证与定位机制对路径进行验证，并实现错误定位。该方法能够兼顾到数据包头部的复杂度和路由器的计算、存储开销，并能够定位错误位置，在保证可行性的同时，提高整个网络系统的安全性和可信性。

主权项

1.一种源验证和路径认证方法，其特征在于，包括以下步骤：源端利用共享密钥对源地址src和数据流标识FlowID进行加密，并发送至目的端；在所述数据包的TCP头部和IP头部之间增加PRM头部，所述PRM头部包括：PacketID、Time、FlowID和AVFS，其中，PacketID＝H(DataHash||TimePoint||KSD)，所述PacketID为所述数据包的唯一标识，其中，DataHash为所述数据包负载电荷的哈希值，TimePoint为发送所述数据包的当前时间点的哈希值，KSD为所述共享密钥；Time＝TimePoint⊕H(KSD)，所述Time为所述数据包的时间标签，其中，TimePoint为发送所述数据包的当前时间点的哈希值，KSD为所述共享密钥；所述AVF_S为源端自身标识，其中，src_add为所述数据包的源地址，FlowID为数据流的唯一标识，K_SD为所述共享密钥；通过作为所述数据包的头部标记，其中，K_i为路由器R_i自身密钥由K_i＝H(LSI||FlowID)得到，LSI为路由器的隐私信息，src_add为所述数据包的源地址，FlowID为数据流的唯一标识；所述目的端根据所述数据包的头部的标记，对数据和源地址进行验证；所述目的端根据接收到所述数据包头部的FlowID进行分类得到FlowID相同的数据包；所述目的端读取所述FlowID相同的数据包的头部的各个AVFi标记，并建立AVFi与正整数UID的对应表；所述目的端根据每个数据包中各个AVFi标记以及所述对应表，得到所述每个数据包对应的正整数序列UIDS；所述目的端根据得到的多个UIDS利用拓扑排序的方法进行排序，最终得到包含所有UID的顺序序列UIDSF；所述目的端获取述数据包的期望路径PATHp，以及所述期望路径上所有路由节点的共享密钥Ki；所述目的端根据PATHp、Ki，以及AVFi与正整数UID的对应表，得到期望的UIDSF’；UIDSF＝UIDSF'，所述数据包的源和路径均正确；UIDSF≠UIDSF'，且第一个对应位置不相等元素为UIDSFt≠UIDSF't，确定路由器Rt‑1修改了源地址或下一跳信息，定位到错误的路由节点，其中t为路由节点的位置标号。