[发明专利]一种可信路由器认证系统和方法

说明书

技术领域

本发明涉及通信安全领域，特别是涉及一种可信路由器认证系统和方法，其提供一种用于通信网络上的终端设备安全的认证接入路由器合法身份的方法。

背景技术

在IPv6(Internet protocol v6，互联网协议版本6)通信网络中，终端设备正常接入通信网络(如国际互联网Internet)的前提是根据收到的路由器宣告(Router Announcement，RA)消息配置自己的IPv6地址，并选择发布该路由器宣告(RA)消息的路由器作为接入路由器(Access Router，AR)，通过其完成接入通信网络的功能。(见互联网工程任务组第2461号协议文件，即IETF(Internet Engineering Task Force)[RFC2461])

如何更安全、更高效地认证接入路由器的合法身份，并使用该路由器宣告的地址前缀作为配置自身地址的重要依据，对每一个接入设备而言都具有非常重要的意义，如果接入路由器不可信，则终端设备容易受到恶意路由器的攻击，甚至无法正常接入通信网络。

在IETF[RFC3971](互联网工程任务组第3971号协议文件)中，提出了IPv6安全邻居发现协议(SEcure Neighbor Discovery，SEND)，采用授权代理发现(Authorization Delegation Discovery，ADD)机制，保障IPv6路由器发现过程能够安全可靠地运行。

授权代理发现过程是在终端设备连接到本地链路时，认证可能成为其默认路由器的合法身份，其通过验证该路由器到主机相信的某个信任锚(TrustAnchor，TA)的证书链，实现路由器身份认证。

但是，这种授权代理发现的机制对于IPv6接入设备而言，要求在其上运行复杂的证书链验证过程，以确定接入路由器的合法身份，终端设备的计算开销大，这对于某些计算能力较弱、能量受限的移动手持终端尤其不适用。另外，在路由器和接入终端之间传输证书链中大量证书，增加了本地网络的传输开销，尤其在无线通信环境下，消耗了宝贵的无线网络带宽资源。而且，在终端设备和路由器之间传输较长证书链的过程中，也会使网络、路由器及终端更多地暴露于恶意的攻击之下，增加了被恶意攻击的可能性。

发明内容

本发明所要解决的问题在于提供一种可信路由器认证系统及方法。其能够更安全、高效、快速地进行接入路由器的认证。

为实现本发明而提供的一种可信路由器认证系统，包括终端设备，接入路由器，信任锚路由器，所述路由器间构成一个分级的路由器层次信任结构；

所述终端设备包括终端认证模块，用于在收到一未经认证的接入路由器宣告消息后，向该接入路由器发起可信路由器许可请求；在收到可信路由器许可宣告消息后，验证该可信路由器许可宣告消息中的内容，完成接入路由器的可信身份认证；

所述接入路由器包括第一认证模块，用于接收终端设备发出的可信路由器许可请求消息，并向信任锚路由器发送可信路由器间许可请求消息；接收信任锚路由器发送的可信路由器间许可宣告消息，并向终端设备发送可信路由器许可宣告消息；

所述信任锚路由器包括第三认证模块，用于颁发一路由器授权许可证，并通过可信路由器间许可宣告消息发送给接入路由器。

所述的可信路由器认证系统，还包括多级中间路由器；

所述中间路由器包括第二认证模块，用于接收可信路由器许可请求消息/可信路由器间许可请求消息，并验证该消息后，向上一级节点的路由器发送包含自己数字签名的可信路由器间许可请求消息。

所述接入路由器还包括第一加解密模块，用于使用路由器层次信任结构中其上一级节点的路由器的公钥对所述构造的可信路由器间许可请求消息加密；并在收到由一信任锚路由器回复的加密可信路由器间许可宣告消息后，使用自身的私钥将其解密后得到可信路由器间许可宣告消息中的内容；在构造形成可信路由器许可宣告消息后，采用终端设备的公钥将该可信路由器许可宣告消息加密形成加密可信路由器许可宣告消息；

所述中间路由器还包括第二加解密模块，用于使用自身的私钥解密得到可信路由器间许可请求消息的内容；用层次信任结构中上一级节点的路由器的公钥对自身构造的可信路由器间许可请求消息加密；

所述信任锚路由器还包括第三加解密模块，用于使用自身的私钥解密得到可信路由器间许可请求消息的内容；将可信路由器间许可宣告消息使用接入路由器的公钥进行加密。

所述可信路由器许可请求消息构成为：

TRPS＝{Nonce；TAs}