專利名稱：一種可信路由器認證系統(tǒng)和方法
一種可信路由器認證系統(tǒng)和方法技術領域.本發(fā)明涉及通信安全領域，特別是涉及一種可信路由器認證系統(tǒng)和方法， 其提供一種用于通信網(wǎng)絡上的終端設備安全的認證接入路由器合法身份的方 法。
背景技術：
在IPv6 (Internet protocol v6，互聯(lián)網(wǎng)協(xié)議版本6)通信網(wǎng)絡中，終端設 備正常接入通信網(wǎng)絡(如國際互聯(lián)網(wǎng)Internet)的前提是根據(jù)收到的路由器宣 告(Router Announcement, RA)消息配置自己的IPv6地址，并選擇發(fā)布該路 由器宣告(RA)消息的路由器作為接入路由器(Access Router, AR)，通過 其完成接入通信網(wǎng)絡的功能。(見互聯(lián)網(wǎng)工程任務組第2461號協(xié)議文件，即 IETF (Internet Engineering Task Force) [RFC2461 ])如何更安全、更高效地認證接入路由器的合法身份，并使用該路由器宣告 的地址前綴作為配置自身地址的重要依據(jù)，對每一個接入設備而言都具有非常 重要的意義，如果接入路由器不可信，則終端設備容易受到惡意路由器的攻擊， 甚至無法正常接入通信網(wǎng)絡。在正TF[RFC3971](互聯(lián)網(wǎng)工程任務組第3971號協(xié)議文件)中，提出了 IPv6安全鄰居發(fā)現(xiàn)協(xié)議(SEcure Neighbor Discovery, SEND)，采用授權代理 發(fā)現(xiàn)(Authorization Delegation Discovery, ADD)機制，保障IPv6路由器發(fā)現(xiàn) 過程能夠安全可靠地運行。授權代理發(fā)現(xiàn)過程是在終端設備連接到本地鏈路時，認證可能成為其默認 路由器的合法身份，其通過驗證該路由器到主機相信的某個信任錨(Trust Anchor, TA)的證書鏈，實現(xiàn)路由器身份認證。但是，這種授權代理發(fā)現(xiàn)的機制對于IPv6接入設備而言，要求在其上運 行復雜的證書鏈驗證過程，以確定接入路由器的合法身份，終端設備的計算開 銷大，這對于某些計算能力較弱、能量受限的移動手持終端尤其不適用。另外，
在路由器和接入終端之間傳輸證書鏈中大量證書，增加了本地網(wǎng)絡的傳輸開 銷，尤其在無線通信環(huán)境下，消耗了寶貴的無線網(wǎng)絡帶寬資源。而且，在終端 設備和路由器之間傳輸較長證書鏈的過程中，也會使網(wǎng)絡、路由器及終端更多 地暴露于惡意的攻擊之下，增加了被惡意攻擊的可能性。發(fā)明內(nèi)容本發(fā)明所要解決的問題在于提供一種可信路由器認證系統(tǒng)及方法。其能夠 更安全、高效、快速地進行接入路由器的認證。為實現(xiàn)本發(fā)明而提供的一種可信路由器認證系統(tǒng)，包括終端設備，接入路 由器，信任錨路由器，所述路由器間構成一個分級的路由器層次信任結構；所述終端設備包括終端認證模塊，用于在收到一未經(jīng)認證的接入路由器宣 告消息后，向該接入路由器發(fā)起可信路由器許可請求；在收到可信路由器許可 宣告消息后，驗證該可信路由器許可宣告消息中的內(nèi)容，完成接入路由器的可 信身份認證；所述接入路由器包括第一認證模塊，用于接收終端設備發(fā)出的可信路由器 許可請求消息，并向信任錨路由器發(fā)送可信路由器間許可請求消息；接收信任 錨路由器發(fā)送的可信路由器間許可宣告消息，并向終端設備發(fā)送可信路由器許 可宣告消息；所述信任錨路由器包括第三認證模塊，用于頒發(fā)一路由器授權許可證，并 通過可信路由器間許可宣告消息發(fā)送給接入路由器。所述的可信路由器認證系統(tǒng)，還包括多級中間路由器；所述中間路由器包括第二認證模塊，用于接收可信路由器許可請求消息/ 可信路由器間許可請求消息，并驗證該消息后，向上一級節(jié)點的路由器發(fā)送包 含自己數(shù)字簽名的可信路由器間許可請求消息。所述接入路由器還包括第一加解密模塊，用于使用路由器層次信任結構中 其上一級節(jié)點的路由器的公鑰對所述構造的可信路由器間許可請求消息加密； 并在收到由一信任錨路由器回復的加密可信路由器間許可宣告消息后，使用自 身的私鑰將其解密后得到可信路由器間許可宣告消息中的內(nèi)容；在構造形成可 信路由器許可宣告消息后，采用終端設備的公鑰將該可信路由器許可宣告消息 加密形成加密可信路由器許可宣告消息； 所述中間路由器還包括第二加解密模塊，用于使用自身的私鑰解密得到可 信路由器間許可請求消息的內(nèi)容；用層次信任結構中上一級節(jié)點的路由器的公 鑰對自身構造的可信路由器間許可請求消息加密；所述信任錨路由器還包括第三加解密模塊，用于使用自身的私鑰解密得到 可信路由器間許可請求消息的內(nèi)容；將可信路由器間許可宣告消息使用接入路由器的公鑰進行加密。所述可信路由器許可請求消息構成為TRPS = {Nonce; TAs}其中，TAs字段表示該終端設備上所配置的信任錨路由器列表； Nonce字段用于匹配一對請求與回復消息； 所述可信路由器許可宣告消息構成為 TRPA = {Nonce; TA; RAP}其中，RAP字段表示由一信任錨路由器頒發(fā)的可信路由器許可證；TA字段表示頒發(fā)該許可證的信任錨路由器；Nonce字段為來自可信路由器許可請求消息中的Nonce值拷貝。所述可信路由器間許可請求消息構成為<formula>formula see original document page 12</formula>其中，Nonce字段為拷貝自可信路由器許可請求消息或下一級節(jié)點的路由 器的可信路由器間許可請求消息中的Nonce值；TA字段表示拷貝自可信路由器許可請求消息或下一級節(jié)點的路由器的可 信路由器間許可請求消息中的信任錨標識；AddrAR字段表示接入路由器的IP地址；CertAR字段表示接入路由器的可信上一級節(jié)點的路由器頒發(fā)給其的認證 證書，用于在信任錨路由器給接入路由器頒發(fā)路由器授權許可證時提供接入路 由器的信息；SIG字段表示可信路由器間許可請求消息的發(fā)送方使用自己的私鑰將消 息中所述Nonce、 TA、 AddrAR、 CertAR內(nèi)容生成數(shù)字簽名，收到可信路由器 間許可請求消息的上一級節(jié)點的路由器通過該數(shù)字簽名驗證可信路由器間許 可請求消息內(nèi)容；所述可信路由器間許可宣告消息構成為 TRTA = {Nonce, TA, RAP}其中，Nonce字段為拷貝自可信路由器間許可請求消息中的Nonce值； TA字段為信任錨路由器自身標識；RAP字段為信任錨路由器頒發(fā)給接入路由器的路由器授權許可證。 為實現(xiàn)本發(fā)明目的還提供一種可信路由器認證的互聯(lián)網(wǎng)絡，包括接入路由 器和信任錨路由器，用于接入互聯(lián)網(wǎng)絡的終端設備認證接入路由器的可信身 份，其特征在于，所述路由器間構成一個分級的路由器層次信任結構；所述接入路由器包括第一認證模塊，用于接收終端設備發(fā)出的可信路由器 許可請求消息，并向信任錨路由器發(fā)送可信路由器間許可請求消息；接收信任 錨路由器發(fā)送的可信路由器間許可宣告消息，并向終端設備發(fā)送可信路由器許 可宣告消息；所述信任錨路由器包括第三認證模塊，用于頒發(fā)一路由器授權許可證，并 通過可信路由器間許可宣告消息發(fā)送給接入路由器。所述的可信路由器認證的互聯(lián)網(wǎng)絡，還包括多級中間路由器；所述中間路由器包括第二認證模塊，用于接收可信路由器許可請求消息/ 可信路由器間許可請求消息，并驗證該消息后，向上一級節(jié)點的路由器發(fā)送包 含自己數(shù)字簽名的可信路由器間許可請求消息。所述接入路由器還包括第一加解密模塊，用于使用路由器層次信任結構中 其上一級節(jié)點的路由器的公鑰對所述構造的可信路由器間許可請求消息加密； 并在收到由一信任錨路由器回復的加密可信路由器間許可宣告消息后，使用自 身的私鑰將其解密后得到可信路由器間許可宣告消息中的內(nèi)容；在構造形成可 信路由器許可宣告消息后，采用終端設備的公鑰將該可信路由器許可宣告消息 加密形成加密可信路由器許可宣告消息；所述中間路由器還包括第二加解密模塊，用于使用自身的私鑰解密得到可 信路由器間許可請求消息的內(nèi)容；用層次信任結構中上一級節(jié)點的路由器的公 鑰對自身構造的可信路由器間許可請求消息加密；所述信任錨路由器還包括第三加解密模塊，用于使用自身的私鑰解密得到 可信路由器間許可請求消息的內(nèi)容；將可信路由器間許可宣告消息使用接入路 由器的公鑰進行加密。為實現(xiàn)本發(fā)明目的更提供一種可信路由器認證的終端設備，包括終端認證
模塊，用于在收到一未經(jīng)認證的路由器宣告消息后，向該路由器發(fā)起可信路由 器許可請求；在收到可信路由器許可宣告消息后，驗證該可信路由器許可宣告 消息中的內(nèi)容，完成路由器的可信身份認證。為實現(xiàn)本發(fā)明目的更進一步提供一種可信路由器認證辦法，包括下列步驟步驟A，終端設備收到一未經(jīng)認證的接入路由器宣告消息后，構造可信路 由器許可請求消息并向所述接入路由器發(fā)送；步驟B，所述接入路由器向信任錨路由器發(fā)送可信路由器間許可請求消 息；所述信任錨路由器驗證所述可信路由器間許可請求消息后，為所述接入路 由器生成路由器授權許可證，并通過可信路由器間許可宣告消息將所述路由器 授權許可證頒發(fā)給所述接入路由器 ，所述接入路由器在收到所述路由器授權許 可證后，向所述終端設備回復帶有所述路由器授權許可證的可信路由器許可宣 告消息；步驟C，所述終端設備在收到所述可信路由器許可宣告消息后，驗證所述 可信路由器許可宣告消息中的內(nèi)容，完成接入路由器的可信身份認證。所述歩驟A中，終端設備構造可信路由器許可請求消息并向接入路由器 發(fā)送的過程，包括下列步驟步驟Al，終端設備收到本地網(wǎng)絡上一未經(jīng)認證路由器的路由器宣告消息 后，啟動可信路由器認證過程；步驟A2，終端設備依照可信路由器許可請求消息格式構造可信路由器許 可請求消息，發(fā)送給待認證的接入路由器；其中，各字段內(nèi)容為Nonce:由終端生成的一個大隨機數(shù)，用于匹配一對請求與回復消息； TAs:終端上配置的信任錨列表，可包含多個信任錨標識； 步驟A3,終端設備進入等待狀態(tài)，等待接收由接入路由器回復帶有信任 錨路由器頒發(fā)的路由器授權許可證的可信路由器許可宣告消息。所述步驟A3之后還包括下列步驟步驟A4，如果在設定時間內(nèi)終端沒有收到可信路由器許可宣告消息，則 表示終端設備沒有獲得接入路由器授權許可證，該路由器不能作為終端的可信 接入路由器。
所述步驟B中接入路由器處理并發(fā)送可信路由器間許可請求消息的過程， 包括下列步驟歩驟Bl，接入路由器收到終端設備的可信路由器許可請求消息；歩驟B2，接入路由器提取可信路由器許可請求消息中的TAS標識，查看 自己是否已經(jīng)具有其中一個信任錨路由器頒發(fā)給它的路由器授權許可證書；如 果有則執(zhí)行步驟B9，否則執(zhí)行歩驟B3;步驟B3，接入路由器依照可信路由器間許可請求消息格式構造可信路由 器間許可請求消息；其中，各字段內(nèi)容如下Nonce:拷貝自從終端設備收到的可信路由器許可請求消息中包含的 Nonc6值；TA:拷貝自從終端設備收到的可信路由器許可請求消息中包含的信任錨 標識；AddrAR:接入路由器的IP地址；CertAR:路由器層次信任結構中接入路由器的可信上一級節(jié)點的路由器頒 發(fā)給其的證書內(nèi)容；SIG:接入路由器使用自己的私鑰將可信路由器間許可請求消息中的 Nonce、 TA、 AddrAR、 CertAR各字段內(nèi)容生成數(shù)字簽名；步驟B4，接入路由器使用路由器層次信任結構中其上一級節(jié)點的路由器 的公鑰對所述構造的可信路由器間許可請求消息加密后形成加密可信路由器 間許可請求消息，發(fā)送給上一級節(jié)點的路由器；步驟B5，接入路由器等待接收由一信任錨路由器發(fā)送的加密可信路由器 間許可宣告消息。所述接入路由器接收并處理可信路由器間許可宣告消息的過程，包括下列 步驟步驟B6，接入路由器收到由一信任錨路由器回復的加密可信路由器間許 可宣告消息，使用接入路由器的私鑰將其解密后得到可信路由器間許可宣告消 息中的內(nèi)容；步驟B7，接入路由器比較可信路由器間許可宣告消息中的Nonce和TA 字段值，與收到的可信路由器許可請求消息中相應內(nèi)容進行匹配校驗；
步驟B8,接入路由器將路由器授權許可證及其相對應的信任錨路由器進 行保存。所述接入路由器向終端設備回復帶有路由器授權許可證的可信路由器許 可宣告消息，包括下列歩驟步驟B9，接入路由器將Nonce、 TA和RAP字段構造形成可信路由器許 可宣告消息；步驟BIO，接入路由器采用終端設備的公鑰將可信路由器許可宣告消息加 密形成加密可信路由器許可宣告消息，作為相應可信路由器許可請求消息的應 答消息發(fā)送給終端設備。所述接入路由器向信任錨路由器發(fā)送可信路由器間許可請求消息，是通過 各級中間路由器發(fā)送的。所述中間路由器發(fā)送可信路由器間許可請求消息的過程，包括下列歩驟步驟B1'， 一中間路由器收到下一級節(jié)點的中間路由器發(fā)來的加密可信 路由器間許可請求消息，解密得到可信路由器間許可請求消息的內(nèi)容；歩驟B2'，所述中間路由器使用下一級節(jié)點的中間路由器的公鑰驗證可 信路由器間許可請求消息中的數(shù)字簽名，驗證成功后接受可信路由器間許可請 求消息中的內(nèi)容；步驟B3'，所述中間路由器判斷自己是否是信任錨路由器角色，如果是 則跳到信任錨路由器執(zhí)行；否則執(zhí)行歩驟B4';步驟B4'，所述中間路由器使用自己的私鑰對剛得到的可信路由器間許 可請求消息中的內(nèi)容進行數(shù)字簽名后得到SIG值，繼續(xù)構造形成可信路由器間 許可請求消息；步驟B5'，中間路由器使用層次信任結構中其上一級節(jié)點的中間路由器 的公鑰對所述構造的可信路由器間許可請求消息加密后形成加密可信路由器 間許可請求消息，發(fā)送給上一級節(jié)點的中間路由器；上一級節(jié)點的中間路由器 接收到消息后，轉入步驟B1'進行處理。所述步驟B3'中，所述信任錨路由器執(zhí)行過程，包括下列步驟 步驟B6'，信任錨路由器為接入路由器生成路由器授權許可證書； 步驟B7'，信任錨路由器將Nonce、 TA和RAP各字段值構造形成可信 路由器間許可宣告消息；步驟B8'，信任錨路由器采用接入路由器的公鑰將可信路由器間許可宣 告消息加密，發(fā)送出去。所述路由器授權許可證書包括接入路由器的原始證書內(nèi)容CertAR以及信任錨路由器簽名。所述步驟C中，終端設備在收到TRPA消息后，驗證TRPA消息中的內(nèi) 容，完成可信接入路由器認證的過程，包括如下步驟歩驟Cl，終端設備收到由接入路由器回復的加密可信路由器許可宣告消 息后，使用接入路由器的公鑰對其解密得到可信路由器許可宣告消息；步驟C2，終端設備驗證可信路由器許可宣告消息中各字段的內(nèi)容；步驟C3，如果終端設備認證路由器成功，將該路由器接受為可信接入路 由器；步驟C4，如果終端設備沒有獲得接入路由器授權許可證，該路由器不能 作為終端的可信接入路由器。所述步驟C2中，所述驗證過程為步驟C21，終端設備比較可信路由器許可宣告消息與初始發(fā)送的對應可信 路由器許可請求消息中的Nonce字段值是否相等；步驟C22，終端設備將可信路由器許可宣告消息中的信任錨標識TA字段 值與初始發(fā)送的對應可信路由器許可請求消息中的信任錨列表TAs進行匹配， 判斷可信路由器許可宣告中的TA標識是否屬于可信路由器許可請求消息中的 TAs列表中的一個；步驟C23，終端設備使用信任錨路由器的公鑰對可信路由器許可宣告消息 中的路由器授權許可證進行證書驗證；以上三個過程中的任一個失敗則該步驟的可信路由器許可宣告消息驗證 過程失敗，進入步驟C4;否則進入步驟C3。本發(fā)明的有益效果是本發(fā)明的可信路由器認證系統(tǒng)和方法，終端設備只需認證一次由信任錨頒發(fā)給接入路由器的授權許可證，而無需進行復雜的路由 器證書鏈驗證過程，不僅減少了終端設備進行接入路由器認證的計算復雜度， 節(jié)省了終端的能耗和計算資源，同時也減少了終端設備發(fā)現(xiàn)可信接入路由器的時間；終端設備和接入路由器之間只需傳輸一次認證請求/應答消息以及一個 路由器授權證書，避免了在本地接入網(wǎng)絡上傳輸冗長的證書鏈內(nèi)容以及相關的 交互信息，從而一方面節(jié)省了本地網(wǎng)絡的帶寬資源，另一方面也減少了終端和 接入路由器被惡意攻擊者發(fā)現(xiàn)跟蹤并獲取信息量的機會，提高了在進行安全路 由器發(fā)現(xiàn)過程中本地網(wǎng)絡的安全性。


圖1為本發(fā)明可信路由器認證系統(tǒng)示意圖一； 圖2為本發(fā)明可信路由器認證系統(tǒng)示意圖二； 圖3為本發(fā)明可信路由器認證方法流程圖； 圖4為終端設備處理過程流程圖； 圖5為接入路由器的處理過程流程圖；圖6為除接入路由器外的各級路由器的處理過程流程圖。
具體實施方式
為了使本發(fā)明的目的、技術方案及優(yōu)點更加清楚明白，以下結合附圖及實 施例，對本發(fā)明的一種可信路由器認證系統(tǒng)和方法進行進一步詳細說明。應當 理解，此處所描述的具體實施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。一般地，在IPv6的通信網(wǎng)絡中，終端設備對證書鏈的組成結構和驗證過 程并不感興趣，它關心的是接入路由器是否被它所信任的信任錨正確認證。也 就是說，對于終端設備只需要接入路由器的身份認證結果?；谶@些考慮，本 發(fā)明提出終端設備發(fā)現(xiàn)可信路由器的一種安全高效快速的新方法。本發(fā)明以國際互聯(lián)網(wǎng)Internet為例，而對本發(fā)明的可信路由器認證系統(tǒng)和 方法進行詳細的說明，但是，應當說明的是，本發(fā)明的可信路由器認證系統(tǒng)和 方法，同樣適用于其他的通信網(wǎng)絡，如3G、 4G通信網(wǎng)絡等。本發(fā)明提出一種可信路由器認證方法(Trusted Router Discovering Protocol, TRDP)和系統(tǒng)，用于接入互聯(lián)網(wǎng)絡的終端設備，特別是新接入互聯(lián)網(wǎng)絡的終 端設備認證接入路由器的可信身份。本發(fā)明的可信路由器認證系統(tǒng)，包括終端設備l,接入路由器，各級中間 路由器，信任錨路由器，路由器間構成了一個分級的路由器層次信任結構，即 互聯(lián)網(wǎng)絡上的各級路由器構成層次信任結構，接入路由器具有到一信任錨 (TA)的證書鏈，用于完成終端設備l對接入路由器身份認證。
路由器層次信任結構示例圖如圖1，圖2所示。如圖1所示，終端設備(主機)1的信任錨(TA)是路由器4，終端設備1的待認證接入路由器是2，從信任錨路由器4到接入路由器2構成了一條認 證路徑D1—C1一B1—A1;接入路由器2具有中間路由器3頒發(fā)的證書 "B1A1"，中間路由器具有上一級中間路由器頒發(fā)的證書"C1B1"，上一級 中間路由器具有信任錨路由器4頒發(fā)的證書"D1C1"。證書由頒發(fā)者簽名，證書內(nèi)容中包含證書持有者的身份及公鑰等信息。 B1A1證書的頒發(fā)者是中間路由器3，B1A1證書的持有者是接入路由器2;C1B1 證書的頒發(fā)者是上一級中間路由器，C1B1證書的持有者是下一級中間路由器； D1C1證書的頒發(fā)者是信任錨路由器4， D1C1證書的持有者是中間路由器。如圖2所示，終端設備1的信任錨(TA)是路由器4，終端設備1的接入 路由器是2，從信任錨路由器4到接入路由器2構成了一條認證路徑D2— C2—B2，接入路由器2具有中間路由器3頒發(fā)的證書"C2B2"，中間路由器 3具有信任錨路由器4頒發(fā)的證書"D2C2"。在本發(fā)明的路由器層次信任結構中，相鄰層次的路由器之間己具有直接信 任關系，低層路由器擁有其上一級節(jié)點直接頒發(fā)給它的認證證書，即高層路由 器認證了低層路由器的身份及其公鑰等信息。所述終端設備1包括終端認證模塊11，用于在收到一未經(jīng)認證的接入路 由器宣告消息(Router Advertisement, RA)后，向該接入路由器2發(fā)起可信路 由器許可請求(Trusted Router Passport Solicitation, TRPS);在收到可信路由 器許可宣告(Trusted Router Passport Advertisement, TRPA)消息后，驗證該可 信路由器許可宣告消息中的內(nèi)容，完成接入路由器2的可信身份認證。所述接入路由器2包括第一認證模塊21，用于接收終端設備1發(fā)出的可 信路由器許可請求消息，并向信任錨路由器4發(fā)送可信路由器間許可請求 (Trusted Router-to-Router Passport Solicitation, TR2PS)消息；接收信任錨路 由器4發(fā)送的可信路由器間許可宣告(Trusted Router-to-Router Passport Advertisement, TR2PA)消息，并向終端設備1發(fā)送可信路由器許可宣告消息。終端設備1與接入路由器2之間的請求/應答消息分別稱為可信路由器許 可請求(TRPS)消息與可信路由器許可宣告(TRPA)消息，其中TRPS消息構成如下TRPS = {Nonce; TAs} ——----------------------- (1)其中，TAs字段表示該終端設備1上所配置的信任錨路由器4列表； Nonce字段用于匹配一對請求與回復消息，防止重放攻擊，較佳地，為由 終端設備1選用的一個大隨機數(shù)。 TRPA消息構成如下TRPA = {Nonce; TA; RAP} -------------------- (2)其中，RAP字段表示由一信任錨路由器4頒發(fā)的可信路由器許可證； TA字段表示頒發(fā)該許可證的信任錨路由器4; Nonce字段為來自TRPS消息中的Nonce值拷貝。所述中間路由器3包括第二認證模塊，用于接收可信路由器許可請求消息 /可信路由器間許可請求消息，并驗證該消息后，向上一級節(jié)點的路由器發(fā)送 包含自己數(shù)字簽名的可信路由器間許可請求消息；所述信任錨路由器4包括第三認證模塊，用于頒發(fā)一路由器授權許可證 (Router Authorization Passport, RAP)，并通過可f言路由器間i午可宣告消息發(fā) 送給接入路由器2。該路由器授權許可證包括終端設備信任的一信任錨對接入 路由器身份和公鑰信息綁定的證書。路由器之間的請求/應答消息分別稱為可信路由器間許可請求(TR2PS)消 息與可信路由器間許可宣告(TR2PA)消息，其中TI^PS消息構成如下TR2PS = {Nonce, TA, AddrAR， CertAR, SIG} ---------- (3)其中，Nonce字段為拷貝自TRPS消息或下一級節(jié)點的中間路由器3的 TR2PS消息中的Nonce值；TA字段表示拷貝自TRPS消息或下一級節(jié)點的中間路由器3的TR2PS消 息中的信任錨標識；AddrAR字段表示接入路由器2的IP地址，作為最后信任錨路由器4向接 入路由器2發(fā)送TR2PA消息頒發(fā)路由器授權許可證的目的地址；CertAR字段表示接入路由器2的可信上一級節(jié)點的路由器頒發(fā)給其的認 證證書內(nèi)容，用于在信任錨路由器4給接入路由器2頒發(fā)路由器授權許可證時 提供接入路由器2的信息；此外，TR2PS消息的發(fā)送方使用自己的私鑰將消息中所述Nonce、 TA、AddrAR、 CertAR內(nèi)容生成數(shù)字簽名SIG字段，收到TR2PS消息的上一級節(jié) 點的路由器通過該數(shù)字簽名SIG驗證TR2PS消息內(nèi)容。TR A消息構成如下TR2PA = {Nonce, TA， RAP}----------------------------------— (5)其中，Nonce為拷貝自TR2PS消息中的Nonce值； TA為信任錨路由器4自身標識；RAP為信任錨路由器4頒發(fā)給接入路由器2的路由器授權許可證。 本發(fā)明的一種可信路由器認證系統(tǒng)，將接入路由器2的證書鏈驗證過程部署到路由器層次信任結構中，證書鏈驗證和傳輸?shù)闹虚g過程都由層次結構中的各級路由器完成。較佳地，所述接入路由器2還包括第一加解密模塊，用于使用路由器層次 信任結構中其上一級節(jié)點的中間路由器3的公鑰對所述構造的TR2PS消息加 密形成ETR2PS消息；并在收到由一信任錨路由器4回復的ETR2PA消息后， 使用自身的私鑰將其解密后得到TR2PA消息中的Nonce、 TA和RAP各字段 內(nèi)容；在構造形成TRPA消息后，采用終端設備1的公鑰將TRPA消息加密形 成ETRPA消息。所述中間路由器3還包括第二加解密模塊，用于使用自身的私鑰解密 ETR2PS消息后得到TR2PS消息的內(nèi)容；用層次信任結構中上一級節(jié)點的中間 路由器3的公鑰對自身構造的TR2PS消息加密。所述信任錨路由器4還包括第三加解密模塊，用于使用自身的私鑰解密得 到TR2PS消息的內(nèi)容；將TR2PA消息使用接入路由器2的公鑰進行加密。經(jīng)過一系列驗證成功后，信任錨路由器4直接向接入路由器2頒發(fā)一路由 器授權許可證(RAP)，該許可證即是終端設備信任的一信任錨(TA)對接 入路由器2身份和公鑰信息綁定的證書；終端設備1只需要向接入路由器2提出身份認證請求并接收驗證由信任錨 TA頒發(fā)的路由器許可證即完成對該接入路由器2的身份認證。下面詳細說明本發(fā)明的一種可信路由器認證方法在本發(fā)明實施例中，可信路由器認證方法(TRDP)中各角色之間的交互
過程是由一系列請求/應答消息實現(xiàn)的。較佳地，通過加密及數(shù)字簽名等保證 這些消息在通信過程中的機密性和可信性。本發(fā)明實例施的可信路由器認證方法，如圖3所示，包括下列歩驟步驟S100，終端設備1收到一未經(jīng)認證的接入路由器宣告消息(Router Advertisement, RA)后，構造TRPS消息并向該接入路由器2發(fā)送；終端設備1或者是新接入網(wǎng)絡的終端設備1向待認證的接入路由器2發(fā)起 TRPS消息，如式(1)所示。步驟S200，接入路由器2通過各級中間路由器3向信任錨路由器4發(fā)送 TI^PS消息；信任錨路由器4驗證TR卞S消息后，為接入路由器2生成路由 器授權許可證，并通過TI^PA消息將該RAP頒發(fā)給接入路由器2;接入路由 器2在收到信任錨路由器4的RAP后，向終端設備1回復帶有RAP的TRPA 消息；在路由器層次信任結構中，首先由待認證的接入路由器2向其上一級路由 器發(fā)出TR卞S消息。之后，各級節(jié)點的中間路由器3由下至上構造并發(fā)送TI^PS消息，均是 為接入路由器2代理請求信任錨路由器4為其簽發(fā)許可證。收到TR2PS請求消息的一個中間路由器3，驗證該TR2PS消息后繼續(xù)向 其上一層節(jié)點的中間路由器3發(fā)送包含自己數(shù)字簽名的TR2PS消息，從而將 接入路由器2請求信任錨(TA)簽發(fā)許可證的代理請求上傳至上一級路由器。TR2PS消息發(fā)送直至一信任錨路由器4，則信任錨路由器4為接入路由器 2生成路由器授權許可證(RAP)，并通過TiePA消息將該路由器授權許可證 (RAP)頒發(fā)給接入路由器2。較佳地，為了保證在實際網(wǎng)絡環(huán)境中消息信息傳輸?shù)陌踩裕梢詫?TR2PS消息使用該消息接收端的公鑰進行加密，即低一級節(jié)點的路由器向高一 級節(jié)點的路由器發(fā)送消息時，使用高一級節(jié)點的路由器的公鑰加密消息內(nèi)容， 防止消息信息被惡意截獲或篡改。同樣，TR2PA消息內(nèi)容使用接入路由器2的公鑰進行加密，防止信息被 惡意截獲和篡改。即在實際網(wǎng)絡環(huán)境中發(fā)送的安全TR2PS消息和安全TR2PA 消息格式是ETR2PS = EncryptpK upper router (TR2PS) ---------------- (5)ETR2PA = EncryptpK ar (TR2PA) ---------------- (6)其中，PK一upper一router是TR2PS消息的接受方即發(fā)送該消息的路由器其 上一級路由器的公鑰，在部署的路由器層次信任結構中上下級相鄰節(jié)點的路由 器之間的公鑰是相互已知的；PK一AR是接入路由器2的公鑰，可由TR2PS消 息中接入路由器2的證書字段CertAR獲知。步驟S300，終端設備1在收到TRPA消息后，驗證TRPA消息中的內(nèi)容， 完成可信接入路由器2認證。接入路由器2向終端設備1回復的TRPA消息，如式(2)所示。這樣，接入路由器2只要擁有終端設備1所信任的信任錨路由器4列表中 的任一個信任錨路由器4所頒發(fā)的路由器許可證即可通過該終端的認證。較佳地，為了防止TRPA消息中的信息被惡意截獲和篡改，TRPA消息的 內(nèi)容使用終端設備1的公鑰進行加密，即由接入路由器2發(fā)送給終端設備1 的最終應答消息格式如下-ETRPA = EncryptpK host(TRPA) ------------------ (7)其中，PK一h0St是終端設備的公鑰；式(5) 、 (6) 、 (7)中，所述公鑰可以采用任何一種公私鑰算法(或 稱非對稱算法)，如RSA算法，ECC算法等。接入路由器2可以從安全鄰居發(fā)現(xiàn)過程中終端發(fā)送路由器請求(Router Solicitation, RS)消息時所用的IPv6加密生成地址(Cryptographically Generated Address, CGA)參數(shù)中獲得該終端設備的公鑰，詳細內(nèi)容請參見互聯(lián)網(wǎng)工程任 務組第3972號協(xié)議文件，即IETF[RFC3972]，是一種現(xiàn)有技術，本發(fā)明中不 再一一詳細描述。作為一種可實施方式，下面結合附圖詳細說明步驟S100中，終端設備l 構造TRPS消息并向接入路由器2發(fā)送的過程，如圖4所示，包括如下步驟S1.卜S1.3:SU,終端設備1收到本地網(wǎng)絡上一未經(jīng)認證路由器的路由宣告消息(RA) 后，啟動本發(fā)明的可信路由器認證過程，即TRDP可信路由器發(fā)現(xiàn)過程(協(xié)議)。
51.2, 終端設備1依照TRPS消息格式構造TRPS消息發(fā)送給待認證的接
入路由器2;
其中，各字段內(nèi)容如下
Nonce:由終端生成的一個大隨機數(shù)；
TAs:終端上配置的信任錨列表，可包含多個信任錨標識。
S1.3，終端設備1進入等待狀態(tài)，等待接收由接入路由器2回復帶有信任
錨路由器4授權許可證的TRPA消息。
較佳地，如果在設定時間內(nèi)終端沒有收到TRPA消息，則進入步驟S3.4;
否則進入S3.1步驟。
作為一種可實施方式，下面詳細說明接入路由器2處理并發(fā)送TR2PS消 息，并接收并處理TR2PA消息的過程，如圖5所示，包括如下步驟S2.1 S2.10: S2.1，接入路由器2收到終端設備1的TRPS消息。S2.2，接入路由器2提取TRPS消息中的TAs標識，査看自己是否已經(jīng)具 有其中一個信任錨路由器4頒發(fā)給它的RAP證書；如果有則執(zhí)行步驟S2.9， 否則執(zhí)行歩驟S2.3。
52.3, 接入路由器2依照TRPS消息格式構造TR2PS消息； 其中，各字段內(nèi)容如下
Nonce:拷貝自從終端設備1收到的TRPS消息中包含的Nonce值； TA:拷貝自從終端設備1收到的TRPS消息中包含的的信任錨標識； AddrAR:接入路由器2的IP地址；
CertAR:路由器層次信任結構中接入路由器2的可信上一級節(jié)點的路由器 頒發(fā)給其的證書內(nèi)容；
SIG:接入路由器2使用自己的私鑰將TR2PS消息中的Nonce、 TA、 AddrAR、 CertAR各字段內(nèi)容生成數(shù)字簽名。
S2.4，接入路由器2使用路由器層次信任結構中其上一級節(jié)點的中間路由 器3的公鑰對所述構造的TR2PS消息加密后形成ETR2PS消息，發(fā)送給上一級 節(jié)點的路由器。
S2.5，接入路由器2等待接收由一信任錨路由器4發(fā)送的ETR2PA消息。 S2.6 ，接入路由器2收到由 一信任錨路由器4回復的ETR2PA消息，使用
接入路由器2的私鑰將其解密后得到TR2PA消息中的Nonce、 TA和RAP各字段內(nèi)容。S2.7，接入路由器2比較TR2PA消息中的Nonce和TA字段值，與收到 的TRPS消息中相應內(nèi)容進行匹配校驗。S2.8，接入路由器2將路由器授權許可證(RAP)及其相對應的信任錨路 由器4 (TA)進行保存，以備后續(xù)使用。S2.9，接入路由器2將Nonce、 TA和RAP字段構造形成TRPA消息。S2.10，接入路由器2采用終端設備1的公鑰將TRPA消息加密形成ETRPA 消息，作為相應TRPS消息的應答消息發(fā)送給終端設備1 。如圖6所示，為路由器層次信任結構中除接入路由器2以外的各級中間路 由器3的執(zhí)行過程流程圖，包括步驟S2.1' S2.8':S2.T ， 一中間路由器3收到下一級節(jié)點的中間路由器3發(fā)來的ETiePS 消息，解密得到TR2PS消息的內(nèi)容。S2.2'，中間路由器3使用下一級節(jié)點的中間路由器3的公鑰驗證TI^PS 消息中的數(shù)字簽名，驗證成功后得到TI^PS消息中的各字段內(nèi)容Nonce、 TA、 AddrAR和CertAR，并進行后續(xù)步驟。S2.3'，中間路由器3判斷自己是否是信任錨路由器4 (TA)角色，如果 是則跳到步驟S3.6'執(zhí)行，否則執(zhí)行步驟S3.4'。S2.4'，中間路由器3使用自己的私鑰對剛得到的Nonce、 TA、 AddrAR 和CertAR值進行數(shù)字簽名后得到SIG值，繼續(xù)構造形成TR2PS消息。S2.5'，中間路由器3使用層次信任結構中其上一級節(jié)點的中間路由器3 的公鑰對所述構造的TR2PS消息加密后形成ETR2PS消息，發(fā)送給上一級節(jié)點 的中間路由器3;上一級節(jié)點的中間路由器3接收到消息后，轉入步驟S2.1' 進行處理。S2.6'，信任錨路由器4 (TA)為接入路由器2生成路由器授權許可證書 RAP。其中，RAP證書包括接入路由器2的原始證書內(nèi)容CertAR以及信任錨路 由器4 (TA)簽名。S2.7'，信任錨路由器4將Nonce、 TA和RAP各字段值構造形成TR2PA 消息。
S2.8'，信任錨路由器4采用接入路由器2的公鑰將TR2PA消息加密形 成ETR2PA消息，發(fā)送給接入路由器2。
作為一種可實施方式，下面結合附圖詳細說明步驟S300中，終端設備1 在收到TRPA消息后，驗證TRPA消息中的內(nèi)容，完成可信接入路由器2認證 的過程，如圖4所示，包括如下歩驟
S3.1，終端設備1收到由接入路由器2回復的ETRPA加密消息后，使用 接入路由器2的公鑰對其解密得到TRPA消息。
S3.2，終端設備1驗證TRPA消息中各字段的內(nèi)容。
其具體過程為
步驟S3.21，終端設備1比較TRPA消息與初始發(fā)送的對應TRPS消息中 的Nonce字段值是否相等；
步驟S3.22,終端設備1將TRPA消息中的信任錨標識TA字段值與初始 發(fā)送的對應TRPS消息中的信任錨列表TAs進行匹配，判斷TRPA中的TA標 識是否屬于TRPS消息中的TAs列表中的一個；
歩驟S3.23，終端設備1使用信任錨路由器4的公鑰對TRPA消息中的路 由器授權許可證RAP進行證書驗證；
以上三個過程中的任一個失敗則該步驟的TRPA消息驗證過程失敗，進入 S3.4歩驟，否則進入S3.3歩驟。
S3.3，如果終端設備l認證路由器成功，將該路由器接受為可信接入路由 器2。
S3.4，如果終端設備1沒有獲得接入路由器授權許可證，該路由器不能作 為終端的可信接入路由器。
本發(fā)明的可信路由器認證系統(tǒng)和方法，終端設備只需認證一次由信任錨頒 發(fā)給接入路由器的授權許可證，而無需進行復雜的路由器證書鏈驗證過程，不 僅減少了終端設備進行接入路由器認證的計算復雜度，節(jié)省了終端設備的能耗 和計算資源，同時也減少了終端設備發(fā)現(xiàn)可信接入路由器的時間；終端設備和 接入路由器之間只需傳輸一次認證請求/應答消息以及一個路由器授權證書， 避免了在本地接入網(wǎng)絡上傳輸冗長的證書鏈內(nèi)容以及相關的交互信息，從而一
方面節(jié)省了本地網(wǎng)絡的帶寬資源，另一方面也減少了終端設備和接入路由器被 惡意攻擊者發(fā)現(xiàn)跟蹤并獲取信息量的機會，提高了在進行安全路由器發(fā)現(xiàn)過程 中本地網(wǎng)絡的安全性。
通過結合附圖對本發(fā)明具體實施例的描述，本發(fā)明的其它方面及特征對本 領域的技術人員而言是顯而易見的。
以上對本發(fā)明的具體實施例進行了描述和說明，這些實施例應被認為其只 是示例性的，并不用于對本發(fā)明進行限制，本發(fā)明應根據(jù)所附的權利要求進行 解釋。
權利要求
1、 一種可信路由器認證系統(tǒng)，包括終端設備，接入路由器，信任錨路由 器，其特征在于，所述路由器間構成一個分級的路由器層次信任結構；所述終端設備包括終端認證模塊，用于在收到一未經(jīng)認證的接入路由器宣 告消息后，向該接入路由器發(fā)起可信路由器許可請求；在收到可信路由器許可 宣告消息后，驗證該可信路由器許可宣告消息中的內(nèi)容，完成接入路由器的可 信身份認證；所述接入路由器包括第一認證模塊，用于接收終端設備發(fā)出的可信路由器 許可請求消息，并向信任錨路由器發(fā)送可信路由器間許可請求消息；接收信任 錨路由器發(fā)送的可信路由器間許可宣告消息，并向終端設備發(fā)送可信路由器許 可宣告消息；所述信任錨路由器包括第三認證模塊，用于頒發(fā)一路由器授權許可證，并 通過可信路由器間許可宣告消息發(fā)送給接入路由器。
2、 根據(jù)權利要求1所述的可信路由器認證系統(tǒng)，其特征在于，還包括多 級中間路由器；所述中間路由器包括第二認證模塊，用于接收可信路由器許可請求消息/ 可信路由器間許可請求消息，并驗證該消息后，向上一級節(jié)點的路由器發(fā)送包 含自己數(shù)字簽名的可信路由器間許可請求消息。
3、 根據(jù)權利要求2所述的可信路由器認證系統(tǒng)，其特征在于，所述接入 路由器還包括第一加解密模塊，用于使用路由器層次信任結構中其上一級節(jié)點 的路由器的公鑰對所述構造的可信路由器間許可請求消息加密；并在收到由一 信任錨路由器回復的加密可信路由器間許可宣告消息后，使用自身的私鑰將其 解密后得到可信路由器間許可宣告消息中的內(nèi)容；在構造形成可信路由器許可 宣告消息后，采用終端設備的公鑰將該可信路由器許可宣告消息加密形成加密 可信路由器許可宣告消息；所述中間路由器還包括第二加解密模塊，用于使用自身的私鑰解密得到可 信路由器間許可請求消息的內(nèi)容；用層次信任結構中上一級節(jié)點的路由器的公 鑰對自身構造的可信路由器間許可請求消息加密；所述信任錨路由器還包括第三加解密模塊，用于使用自身的私鑰解密得到可信路由器間許可請求消息的內(nèi)容；將可信路由器間許可宣告消息使用接入路 由器的公鑰進行加密。
4、 根據(jù)權利要求1至3任一項所述的可信路由器認證系統(tǒng)，其特征在于 所述可信路由器許可請求消息構成為<formula>formula see original document page 3</formula>其中，TAs字段表示該終端設備上所配置的信任錨路由器列表； Nonce字段用于匹配一對請求與回復消息； 所述可信路由器許可宣告消息構成為 TRPA = {Nonce; TA; RAP}其中，RAP字段表示由 一信任錨路由器頒發(fā)的可信路由器許可證；TA字段表示頒發(fā)該許可證的信任錨路由器；Nonce字段為來自可信路由器許可請求消息中的Nonce值拷貝。
5、 根據(jù)權利要求1至3任一項所述的可信路由器認證系統(tǒng)，其特征在于， 所述可信路由器間許可請求消息構成為<formula>formula see original document page 3</formula>其中，Nonce字段為拷貝自可信路由器許可請求消息或下一級節(jié)點的路由 器的可信路由器間許可請求消息中的Nonce值；TA字段表示拷貝自可信路由器許可請求消息或下一級節(jié)點的路由器的可 信路由器間許可請求消息中的信任錨標識；AddrAR字段表示接入路由器的IP地址；CertAR字段表示接入路由器的可信上一級節(jié)點的路由器頒發(fā)給其的認證 證書，用于在信任錨路由器給接入路由器頒發(fā)路由器授權許可證時提供接入路 由器的信息；SIG字段表示可信路由器間許可請求消息的發(fā)送方使用自己的私鑰將消 息中所述Nonce、 TA、 AddrAR、 CertAR內(nèi)容生成數(shù)字簽名，收到可信路由器 間許可請求消息的上一級節(jié)點的路由器通過該數(shù)字簽名驗證可信路由器間許 可請求消息內(nèi)容；所述可信路由器間許可宣告消息構成為<formula>formula see original document page 3</formula>其中，Nonce字段為拷貝自可信路由器間許可請求消息中的Nonce值；TA字段為信任錨路由器自身標識；RAP字段為信任錨路由器頒發(fā)給接入路由器的路由器授權許可證。
6、 一種可信路由器認證的互聯(lián)網(wǎng)絡，包括接入路由器和信任錨路由器， 用于接入互聯(lián)網(wǎng)絡的終端設備認證接入路由器的可信身份，其特征在于，所述 路由器間構成一個分級的路由器層次信任結構；所述接入路由器包括第一認證模塊，用于接收終端設備發(fā)出的可信路由器 許可請求消息，并向信任錨路由器發(fā)送可信路由器間許可請求消息；接收信任 錨路由器發(fā)送的可信路由器間許可宣告消息，并向終端設備發(fā)送可信路由器許 可宣告消息；所述信任錨路由器包括第三認證模塊，用于頒發(fā)一路由器授權許可證，并 通過可信路由器間許可宣告消息發(fā)送給接入路由器。
7、 根據(jù)權利要求6所述的可信路由器認證的互聯(lián)網(wǎng)絡，其特征在于，還 包括多級中間路由器；所述中間路由器包括第二認證模塊，用于接收可信路由器許可請求消息/ 可信路由器間許可請求消息，并驗證該消息后，向上一級節(jié)點的路由器發(fā)送包 含自己數(shù)字簽名的可信路由器間許可請求消息。
8、 根據(jù)權利要求7所述的可信路由器認證的互聯(lián)網(wǎng)絡，其特征在于，所 述接入路由器還包括第一加解密模塊，用于使用路由器層次信任結構中其上一 級節(jié)點的路由器的公鑰對所述構造的可信路由器間許可請求消息加密；并在收 到由一信任錨路由器回復的加密可信路由器間許可宣告消息后，使用自身的私 鑰將其解密后得到可信路由器間許可宣告消息中的內(nèi)容；在構造形成可信路由 器許可宣告消息后，采用終端設備的公鑰將該可信路由器許可宣告消息加密形 成加密可信路由器許可宣告消息；所述中間路由器還包括第二加解密模塊，用于使用自身的私鑰解密得到可 信路由器間許可請求消息的內(nèi)容;用層次信任結構中上一級節(jié)點的中間路由器 的公鑰對自身構造的可信路由器間許可請求消息加密；所述信任錨路由器還包括第三加解密模塊，用于使用自身的私鑰解密得到 可信路由器間許可請求消息的內(nèi)容；將可信路由器間許可宣告消息使用接入路 由器的公鑰進行加密。
9、 一種可信路由器認證的終端設備，其特征在于，包括終端認證模塊，用于在收到一未經(jīng)認證的路由器宣告消息后，向該路由器發(fā)起可信路由器許可 請求；在收到可信路由器許可宣告消息后，驗證該可信路由器許可宣告消息中 的內(nèi)容，完成路由器的可信身份認證。
10、 一種可信路由器認證辦法，其特征在于，包括下列步驟步驟A，終端設備收到一未經(jīng)認證的接入路由器宣告消息后，構造可信路 由器許可請求消息并向所述接入路由器發(fā)送；步驟B，所述接入路由器向信任錨路由器發(fā)送可信路由器間許可請求消 息；所述信任錨路由器驗證所述可信路由器間許可請求消息后，為所述接入路 由器生成路由器授權許可證，并通過可信路由器間許可宣告消息將所述路由器 授權許可證頒發(fā)給所述接入路由器；所述接入路由器在收到所述路由器授權許 可證后，向所述終端設備回復帶有所述路由器授權許可證的可信路由器許可宣 告消息；歩驟C，所述終端設備在收到所述可信路由器許可宣告消息后，驗證所述 可信路由器許可宣告消息中的內(nèi)容，完成接入路由器的可信身份認證。
11、 根據(jù)權利要求IO所述的可信路由器認證方法，其特征在于，所述步 驟A中，終端設備構造可信路由器許可請求消息并向接入路由器發(fā)送的過程， 包括下列步驟歩驟Al，終端設備收到本地網(wǎng)絡上一未經(jīng)認證路由器的路由器宣告消息 后，啟動可信路由器認證過程；步驟A2，終端設備依照可信路由器許可請求消息格式構造可信路由器許 可請求消息，發(fā)送給待認證的接入路由器；其中，各字段內(nèi)容為Nonce:由終端生成的一個大隨機數(shù)，用于匹配一對請求與回復消息； TAs:終端上配置的信任錨列表，可包含多個信任錨標識； 步驟A3，終端設備進入等待狀態(tài)，等待接收由接入路由器回復帶有信任 錨路由器頒發(fā)的路由器授權許可證的可信路由器許可宣告消息。
12、 根據(jù)權利要求11所述的可信路由器認證方法，其特征在于，所述步 驟A3之后還包括下列步驟步驟A4，如果在設定時間內(nèi)終端沒有收到可信路由器許可宣告消息，則 表示終端設備沒有獲得接入路由器授權許可證，該路由器不能作為終端的可信接入路由器。
13、 根據(jù)權利要求11所述的可信路由器認證方法，其特征在于，所述步 驟B中接入路由器處理并發(fā)送可信路由器間許可請求消息的過程，包括下列 步驟步驟B1 ，接入路由器收到終端設備的可信路由器許可請求消息；步驟B2，接入路由器提取可信路由器許可請求消息中的TAs標識，査看 自己是否己經(jīng)具有其中一個信任錨路由器頒發(fā)給它的路由器授權許可證書；如 果有則執(zhí)行步驟B9，否則執(zhí)行歩驟B3;歩驟B3，接入路由器依照可信路由器間許可請求消息格式構造可信路由 器間許可請求消息；其中，各字段內(nèi)容如下-.Nonce:拷貝自從終端設備收到的可信路由器許可請求消息中包含的 Nonce值；TA:拷貝自從終端設備收到的可信路由器許可請求消息中包含的信任錨 標識；AddrAR:接入路由器的IP地址；CertAR:路由器層次信任結構中接入路由器的可信上一級節(jié)點的路由器頒 發(fā)給其的證書內(nèi)容；SIG:接入路由器使用自己的私鑰將可信路由器間許可請求消息中的 Nonce、 TA、 AddrAR、 CertAR各字段內(nèi)容生成數(shù)字簽名；步驟B4，接入路由器使用路由器層次信任結構中其上一級節(jié)點的路由器 的公鑰對所述構造的可信路由器間許可請求消息加密后形成加密可信路由器 間許可請求消息，發(fā)送給上一級節(jié)點的路由器；步驟B5，接入路由器等待接收由一信任錨路由器發(fā)送的加密可信路由器 間許可宣告消息。
14、 根據(jù)權利要求13所述的可信路由器認證方法，其特征在于，所述接 入路由器接收并處理可信路由器間許可宣告消息的過程，包括下列步驟步驟B6，接入路由器收到由一信任錨路由器回復的加密可信路由器間許 可宣告消息，使用接入路由器的私鑰將其解密后得到可信路由器間許可宣告消 息中的內(nèi)容；步驟B7，接入路由器比較可信路由器間許可宣告消息中的Nonce和TA 字段值，與收到的可信路由器許可請求消息中相應內(nèi)容進行匹配校驗；歩驟B8，接入路由器將路由器授權許可證及其相對應的信任錨路由器進 行保存。
15、 根據(jù)權利要求14所述的可信路由器認證方法，其特征在于，所述接 入路由器向終端設備回復帶有路由器授權許可證的可信路由器許可宣告消息， 包括下列歩驟歩驟B9，接入路由器將Nonce、 TA和RAP字段構造形成可信路由器許 可宣告消息；步驟BIO，接入路由器采用終端設備的公鑰將可信路由器許可宣告消息加 密形成加密可信路由器許可宣告消息，作為相應可信路由器許可請求消息的應 答消息發(fā)送給終端設備。
16、 根據(jù)權利要求10至14任一項所述的可信路由器認證方法，其特征在 于，所述接入路由器向信任錨路由器發(fā)送可信路由器間許可請求消息，是通過 各級中間路由器發(fā)送的。
17、 根據(jù)權利要求16所述的可信路由器認證方法，其特征在于，所述中 間路由器發(fā)送可信路由器間許可請求消息的過程，包括下列步驟步驟B1'， 一中間路由器收到下一級節(jié)點的中間路由器發(fā)來的加密可信 路由器間許可請求消息，解密得到可信路由器間許可請求消息的內(nèi)容；步驟B2'，所述中間路由器使用下一級節(jié)點的中間路由器的公鑰驗證可 信路由器間許可請求消息中的數(shù)字簽名，驗證成功后接受可信路由器間許可請 求消息中的內(nèi)容；步驟B3'，所述中間路由器判斷自己是否是信任錨路由器角色，如果是 則跳到信任錨路由器執(zhí)行；否則執(zhí)行步驟B4';步驟B4'，所述中間路由器使用自己的私鑰對剛得到的可信路由器間許 可請求消息中的內(nèi)容進行數(shù)字簽名后得到SIG值，繼續(xù)構造形成可信路由器間 許可請求消息；步驟B5'，中間路由器使用層次信任結構中其上一級節(jié)點的中間路由器 的公鑰對所述構造的可信路由器間許可請求消息加密后形成加密可信路由器 間許可請求消息，發(fā)送給上一級節(jié)點的中間路由器；上一級節(jié)點的中間路由器接收到消息后，轉入步驟Br進行處理。
18、 根據(jù)權利要求17所述的可信路由器認證方法，其特征在于，所述步 驟B3'中，所述信任錨路由器執(zhí)行過程，包括下列步驟歩驟B6'，信任錨路由器為接入路由器生成路由器授權許可證書；步驟B7'，信任錨路由器將Nonce、 TA和RAP各字段值構造形成可信 路由器間許可宣告消息；步驟B8'，信任錨路由器采用接入路由器的公鑰將可信路由器間許可宣 告消息加密，發(fā)送出去。
19、 根據(jù)權利要求18所述的可信路由器認證方法，其特征在于，所述路 由器授權許可證書包括接入路由器的原始證書內(nèi)容以及信任錨路由器簽名。
20、 根據(jù)權利要求10至14任一項所述的可信路由器認證方法，其特征在 于，所述歩驟C中，終端設備在收到TRPA消息后，驗證TRPA消息中的內(nèi) 容，完成可信接入路由器認證的過程，包括如下步驟歩驟Cl,終端設備收到由接入路由器回復的加密可信路由器許可宣告消 息后，使用接入路由器的公鑰對其解密得到可信路由器許可宣告消息； 歩驟C2，終端設備驗證可信路由器許可宣告消息中各字段的內(nèi)容； 步驟C3，如果終端設備認證路由器成功，將該路由器接受為可信接入路 由器；步驟C4，如果終端設備沒有獲得接入路由器授權許可證，該路由器不能 作為終端的可信接入路由器。
21、 根據(jù)權利要求20所述的可信路由器認證方法，其特征在于，所述步 驟C2中，所述驗證過程為步驟C21，終端設備比較可信路由器許可宣告消息與初始發(fā)送的對應可信 路由器許可請求消息中的Nonce字段值是否相等；步驟C22，終端設備將可信路由器許可宣告消息中的信任錨標識TA字段 值與初始發(fā)送的對應可信路由器許可請求消息中的信任錨列表TAs進行匹配, 判斷可信路由器許可宣告中的TA標識是否屬于可信路由器許可請求消息中的 TAs列表中的一個；步驟C23，終端設備使用信任錨路由器的公鑰對可信路由器許可宣告消息 中的路由器授權許可證進行證書驗證；以上三個過程中的任一個失敗則該步驟的可信路由器許可宣告消息驗證 過程失敗，進入步驟C4;否則進入步驟C3。
全文摘要
本發(fā)明公開了一種可信路由器認證系統(tǒng)及方法。該系統(tǒng)包括終端設備，接入路由器，多級中間路由器，信任錨路由器，所述路由器間構成一個分級的路由器層次信任結構；所述終端設備包括終端認證模塊，用于在收到一未經(jīng)認證的RA后，向該接入路由器發(fā)起TRPS；在收到TRPA消息后，驗證該TRPA中的內(nèi)容，完成接入路由器的可信身份認證；所述接入路由器包括第一認證模塊，用于接收終端設備發(fā)出的TRPS消息，并向信任錨路由器發(fā)送TR²PS消息；接收信任錨路由器發(fā)送的TR²PA消息，并向終端設備發(fā)送TRPA消息；所述信任錨路由器包括第三認證模塊，用于頒發(fā)一路由器授權許可證，并通過TR²PA消息發(fā)送給接入路由器。其能夠更安全、高效、快速地進行接入路由器的認證。
文檔編號H04L9/32GK101145915SQ20071017572
公開日2008年3月19日 申請日期2007年10月10日 優(yōu)先權日2007年10月10日
發(fā)明者靖 劉, 葉新銘, 珺 張, 張玉軍, 軍 李, 許智君 申請人:中國科學院計算技術研究所