用于防止在命名數(shù)據(jù)網(wǎng)絡(luò)路由器上插入惡意內(nèi)容的方法和設(shè)備的制造方法
【技術(shù)領(lǐng)域】
[0001]本申請(qǐng)一般涉及計(jì)算機(jī)網(wǎng)絡(luò)。更具體地，本申請(qǐng)涉及控制內(nèi)容對(duì)象通過(guò)命名數(shù)據(jù)網(wǎng)絡(luò)的流動(dòng)。
【背景技術(shù)】
[0002]在內(nèi)容中心網(wǎng)絡(luò)(CCN)中，客戶端裝置能夠通過(guò)傳播包括數(shù)據(jù)名稱的興趣消息來(lái)獲得此數(shù)據(jù)。沿CCN的路由器存儲(chǔ)興趣的反向路徑，并朝能夠提供所請(qǐng)求的數(shù)據(jù)的內(nèi)容生產(chǎn)者傳播此興趣。一旦內(nèi)容生產(chǎn)者返回滿足此興趣的內(nèi)容對(duì)象，路由器將此內(nèi)容對(duì)象沿反向路徑轉(zhuǎn)發(fā)到客戶端裝置。
[0003]遺憾的是，惡意實(shí)體可能將惡意數(shù)據(jù)注入到興趣的反向路徑中。為了防止惡意數(shù)據(jù)返回客戶端裝置，一些路由器可以對(duì)內(nèi)容對(duì)象執(zhí)行密碼認(rèn)證操作以認(rèn)證內(nèi)容對(duì)象或他們的發(fā)送者。然而，對(duì)每個(gè)內(nèi)容對(duì)象執(zhí)行這種密碼認(rèn)證可能顯著降低這些路由器的運(yùn)行性能。

【發(fā)明內(nèi)容】

[0004]—個(gè)實(shí)施例提供阻止惡意內(nèi)容對(duì)象通過(guò)命名數(shù)據(jù)網(wǎng)絡(luò)插入到興趣的反向路徑中的對(duì)象轉(zhuǎn)發(fā)裝置。在操作中，所述裝置能夠通過(guò)第一接口接收內(nèi)容對(duì)象，并且能夠在未決興趣表(PIT)中執(zhí)行查詢操作，以識(shí)別與所述內(nèi)容對(duì)象關(guān)聯(lián)的興趣的PIT表項(xiàng)。所述裝置然后從所述PIT表項(xiàng)確定用來(lái)轉(zhuǎn)發(fā)所述興趣的出接口(egress interface)。如果所述裝置確定所述PIT表項(xiàng)的出接口與所述內(nèi)容對(duì)象的第一接口匹配，則所述裝置通過(guò)在所述PIT表項(xiàng)中規(guī)定的返回接口轉(zhuǎn)發(fā)所述內(nèi)容對(duì)象。另一方面，如果所述PIT表項(xiàng)的出接口與所述內(nèi)容對(duì)象的第一接口不匹配，則所述裝置能夠阻止所述內(nèi)容對(duì)象。
[0005]在一些實(shí)施例中，所述出接口包括物理接口。
[0006]在一些實(shí)施例中，所述出接口包括虛擬接口。
[0007]在這些實(shí)施例的一些變形中，所述虛擬接口與描述一組接口的邏輯關(guān)系的合取范式(CNF)表達(dá)式關(guān)聯(lián)。
[0008]在一些實(shí)施例中，所述裝置能夠通過(guò)第二接口接收第二興趣，并且基于第二興趣的名稱在轉(zhuǎn)發(fā)信息庫(kù)中執(zhí)行查詢操作，以確定用于轉(zhuǎn)發(fā)第二興趣的出接口。一旦所述裝置通過(guò)出接口轉(zhuǎn)發(fā)所述第二興趣，所述裝置能夠在興趣的PIT中創(chuàng)建新表項(xiàng)。此新PIT表項(xiàng)可以包括用來(lái)轉(zhuǎn)發(fā)興趣的出接口。
[0009]在一些實(shí)施例中，在PIT中執(zhí)行查詢操作的同時(shí)，所述裝置確定PIT表項(xiàng)的分層結(jié)構(gòu)的可變長(zhǎng)度識(shí)別符(HSVLI)是否與興趣的名稱匹配。
[0010]在一些實(shí)施例中，PIT表項(xiàng)包括存儲(chǔ)散列值的名稱字段。同樣，在PIT中執(zhí)行查詢操作的同時(shí)，所述裝置確定PIT表項(xiàng)的散列值是否與興趣的名稱的散列匹配。
【附圖說(shuō)明】
[0011]圖1根據(jù)實(shí)施例圖解說(shuō)明便于阻止惡意內(nèi)容對(duì)象通過(guò)命名數(shù)據(jù)網(wǎng)絡(luò)插入到興趣的反向路徑中的計(jì)算環(huán)境。
[0012]圖2根據(jù)實(shí)施例圖解說(shuō)明阻止惡意內(nèi)容對(duì)象插入到興趣的反向路徑中的轉(zhuǎn)發(fā)器的示例性通信。
[0013]圖3根據(jù)實(shí)施例呈現(xiàn)圖解說(shuō)明在未決興趣表中創(chuàng)建表項(xiàng)以將興趣的名稱映射到興趣的入接口(ingress interface)和出接口(egress interface)的方法的流程圖。
[0014]圖4根據(jù)實(shí)施例圖解說(shuō)明示例性未決興趣表。
[0015]圖5根據(jù)實(shí)施例呈現(xiàn)圖解說(shuō)明基于相應(yīng)的PIT表項(xiàng)確定是否阻止或轉(zhuǎn)發(fā)內(nèi)容對(duì)象的方法的流程圖。
[0016]圖6根據(jù)實(shí)施例圖解說(shuō)明便于阻止惡意內(nèi)容對(duì)象插入到興趣的反向路徑中的示例性設(shè)備。
[0017]圖7根據(jù)實(shí)施例圖解說(shuō)明便于阻止惡意內(nèi)容對(duì)象插入到興趣的反向路徑中的示例性計(jì)算機(jī)系統(tǒng)。
[0018]在圖中，相同的附圖標(biāo)記指相同的附圖元件。
【具體實(shí)施方式】
[0019]給出以下描述使得本領(lǐng)域技術(shù)人員能夠制造和使用實(shí)施例，以下描述是在特定應(yīng)用和其需求的背景下提供的。對(duì)所公開(kāi)實(shí)施例的各種改進(jìn)對(duì)本領(lǐng)域技術(shù)人員是非常顯然的，在不偏離本申請(qǐng)的精神和范圍下，本文中定義的一般原理可以應(yīng)用于其它實(shí)施例和應(yīng)用。因此，本發(fā)明不局限于所顯示的實(shí)施例，而是給予與本文中公開(kāi)的原理和特征一致的最寬范圍。
[0020]本發(fā)明的實(shí)施例提供一種路由器，所述路由器解決了防止惡意實(shí)體將惡意數(shù)據(jù)通過(guò)命名數(shù)據(jù)網(wǎng)絡(luò)(NDN)注入到數(shù)據(jù)流中的問(wèn)題。例如，客戶端裝置能夠通過(guò)傳播包括數(shù)據(jù)的名稱的興趣消息通過(guò)NDN獲得此數(shù)據(jù)，這建立沿路由器到能夠提供所請(qǐng)求數(shù)據(jù)的內(nèi)容生產(chǎn)者的反向路徑。其它網(wǎng)絡(luò)裝置可能通過(guò)沿反向路徑向路由器轉(zhuǎn)發(fā)包括興趣名稱的內(nèi)容對(duì)象來(lái)將惡意數(shù)據(jù)“注入”到此反向路徑中。因此，惡意實(shí)體可以利用此弱點(diǎn)來(lái)向訪問(wèn)在線服務(wù)的客戶端或者甚至向在線服務(wù)本身提供欺騙性數(shù)據(jù)。
[0021]如果惡意實(shí)體繼續(xù)沿反向路徑在路由器上注入惡意數(shù)據(jù)，此路由器丟棄其具有的興趣的反向路徑信息，原因是路由器不再期望接收此興趣的內(nèi)容對(duì)象。如果在丟棄反向路徑信息之后，路由器從在線服務(wù)接收內(nèi)容對(duì)象，則假定反向路徑信息不再存在的話，路由器會(huì)有效地阻止內(nèi)容對(duì)象。因此，惡意實(shí)體還可以利用此弱點(diǎn)通過(guò)防止在線服務(wù)的客戶端從在線服務(wù)接收數(shù)據(jù)來(lái)實(shí)現(xiàn)服務(wù)拒絕(DoS)攻擊。
[0022]在一些實(shí)施例中，NDN的路由器能夠通過(guò)跟蹤哪些出接口用來(lái)轉(zhuǎn)發(fā)興趣并且只返回通過(guò)其相應(yīng)興趣的接口接收的內(nèi)容對(duì)象來(lái)防止惡意實(shí)體將數(shù)據(jù)注入到未決興趣的反向路徑中。例如，NDN路由器能夠在未決興趣表(PIT)中存儲(chǔ)此出接口。這樣，當(dāng)路由器基于內(nèi)容對(duì)象的名稱對(duì)PIT執(zhí)行查詢操作時(shí)，路由器能夠獲得包括曾用來(lái)轉(zhuǎn)發(fā)相應(yīng)興趣的出接口以及將用來(lái)轉(zhuǎn)發(fā)內(nèi)容對(duì)象的返回接口的PIT表項(xiàng)。如果內(nèi)容對(duì)象不是通過(guò)興趣的出接口接收的，則路由器能夠阻止內(nèi)容對(duì)象，即使它已經(jīng)被惡意地插入到反向路徑中。否則，路由器能夠繼續(xù)通過(guò)返回接口像平常一樣返回內(nèi)容對(duì)象。
[0023]以下術(shù)語(yǔ)描述諸如內(nèi)容中心網(wǎng)絡(luò)(CCN)的命名數(shù)據(jù)網(wǎng)絡(luò)(NDN)架構(gòu)的元件:
[0024]內(nèi)容對(duì)象(Content Object):單——項(xiàng)命名數(shù)據(jù)，其綁定到唯一名稱。內(nèi)容對(duì)象是“永久的”，這意味著內(nèi)容對(duì)象可以在計(jì)算裝置內(nèi)或者在不同的計(jì)算裝置中移動(dòng)，但不會(huì)改變。如果內(nèi)容對(duì)象的任何組成變化，則出現(xiàn)變化的實(shí)體創(chuàng)建包括更新內(nèi)容的新內(nèi)容對(duì)象，并且將新內(nèi)容對(duì)象綁定到新唯一名稱。
[0025]名稱(Name):NDN中的名稱通常是與位置無(wú)關(guān)的，唯一地識(shí)別內(nèi)容對(duì)象。數(shù)據(jù)轉(zhuǎn)發(fā)裝置不管內(nèi)容對(duì)象的網(wǎng)絡(luò)地址或物理位置如何，可以使用名稱或名稱前綴將興趣包向生成或存儲(chǔ)內(nèi)容對(duì)象的網(wǎng)絡(luò)節(jié)點(diǎn)轉(zhuǎn)發(fā)。在一些實(shí)施例中，名稱可以是分層結(jié)構(gòu)的可變長(zhǎng)度識(shí)別符(HSVLI)。HSVLI可以分成幾個(gè)分層組成，這些組成可以以各種方式構(gòu)造。例如，個(gè)別的名稱組成pare，home, ndn，和test, txt可以以左對(duì)齊的前綴為主的方式構(gòu)造，形成名稱u/parc/home/ndn/test.txt.”。因此，名稱 “/parc/home/ndn” 可以是 “/parc/home/ndn/test.txt.”的“父”或“前綴”。附加組成可以用來(lái)區(qū)分內(nèi)容項(xiàng)目的不同形式，諸如合作文檔。
[0026]在一些實(shí)施例中，名稱可以包括無(wú)層次識(shí)別符，諸如由內(nèi)容對(duì)象的數(shù)據(jù)(例如檢驗(yàn)和值)和/或從內(nèi)容對(duì)象的名稱的組成部分導(dǎo)出的散列值?；谏⒘械拿Q的描述在(發(fā)明人 Ignac1 Solis 于 2013 年 3 月 20 日提交的名稱為“ORDERED-ELEMENT NAMING FORNAME-BASED PACKET FORWARDING”的)美國(guó)專利申請(qǐng)?zhí)?3/847，814中描述。名稱還可以是扁平標(biāo)簽(flat label)。后面，“名稱”用來(lái)指在命名數(shù)據(jù)網(wǎng)絡(luò)中一條數(shù)據(jù)的任何名稱，諸如層次名稱或名稱前綴，扁平名稱(flat name)，固定長(zhǎng)度的名稱，任意長(zhǎng)度的名稱，或者標(biāo)簽(例如多協(xié)議標(biāo)簽交換(MPLS)標(biāo)簽)。
[0027]^(Interest):指示對(duì)一條數(shù)據(jù)的請(qǐng)求的包，包括該條數(shù)據(jù)的名稱(或名稱前綴)。數(shù)據(jù)消費(fèi)者可以在信息中心網(wǎng)絡(luò)中傳播請(qǐng)求或興趣，NDN路由器可以向可以提供請(qǐng)求數(shù)據(jù)的存儲(chǔ)裝置(例如緩存服務(wù)器)或數(shù)據(jù)生產(chǎn)者播送，以滿足請(qǐng)求或興趣。
[0028]在一些實(shí)施例中，NDN系統(tǒng)可以包括內(nèi)容中心網(wǎng)絡(luò)(CCN)架構(gòu)。然而，本文中公開(kāi)的方法還可以應(yīng)用于其它NDN或還有其它信息中心網(wǎng)絡(luò)(ICN)架構(gòu)。CCN架構(gòu)的描述在