[发明专利]网页内容认证系统及方法

说明书

技术方案

本发明属于信息技术领域，特别涉及一种网页内容认证系统及方法。

背景技术

网页内容(特别重要而敏感的信息，如政治、金融等信息)的真实性是电子商务和电子政 务的最基本、最重要的安全需求。以往的典型解决方案大多是集中式的，即通过数据发布中 心直接发布网页内容，这虽然可以保证网页内容的真实性，但也不可避免的引起了“网络延 时”和“拒绝服务攻击”等问题。而且建立与维护可信的数据发布中心，其成本是极其昂贵 的。

随着Web Services和Pervasive计算技术的发展，数据吞吐量和访问量急剧增加，使得这 种集中化解决方式变得越来越不可行。银行、证券交易所、气象局、政府等重要部门的信息， 大都通过国内外门户网站(第三方发布者)提供在线交易、市场报价、政策信息等重要资讯。 很多Internet门户站点，从政府、证券交易所、银行等不同的数据源收集信息(如汇率、时事 新闻、股票行情等)，然后将这些信息提供给广大网民。现在，是否信任门户站点所提供的信 息真实性，完全取决于用户的判断力，如果用户相信这个站点，那么他就要无条件的相信该 网站所提供的全部信息，这种情况对于用户来说，明显缺乏足够的安全保证。因此，要提供 网页内容的真实性，防止消息篡改事件的泛滥，就需要通过一个安全而高效的机制，使用户 可以证明从一个Web站点获得的网页内容是否与直接从信息源(特别重要财经、银行、军事) 所获得的信息是完全一致的。因此，如何在不可信的网络环境下，保证所发布网页内容的真 实性成为当前亟待解决的问题。

目前已有一些方法来实现网页内容认证。

(1)传输层安全协议(Transport Layer Security Protocol，TLS)方法。TLS通过公钥传输 系统来交换一个密钥。所有的客户和主机之间传输的数据都用这个密钥来加密和解密。当技 术主要关注于保护通信渠道时，它能用来保证客户到主机之间端到端的完整性。但是数据的 完整性仅仅在终端主机和客户之间进行通信时才有所保证，如果网页内容是通过不可信的第 三方进行传递，这些内容是完全可能被篡改的。而TLS恰恰对这种不可信第三方的恶意篡改 问题是无计可施的。

(2)公钥基础设施(public key infrastructure，PKI)方法。这方法使用公钥对网页内容进 行签名。它需要数据源对所有的请求都要响应(为了对数据进行签名和验证)，因此给服务器 带来了沉重的负担，并且数据源很容易受到外界的攻击。虽然数据源可以通过镜像复制来解 决第一个问题，但是保护这些大量的源镜像服务器从经济上来说却是不可行的。并且用来验 证数字签名过的网络文档的技术现在还处于萌芽期。

(3)网络欺骗对策(Web Spoofing Countermeasures)方法。它通过仅仅让终端用户认识到 存在潜在的不安全因素的元素来阻止对未授权的源数据的修改。在该方法中，网络内容被分 隔成信任和不可信任两部分。任何不是从特定源服务器来的数据都被划到不可信任的部分中。 这个方法在判断整个页面是否被修改过的时候是很有用的，但是它不能掌握完美的粒度。另 外，它严重依赖于人们对网络欺骗或篡改的检测。

上述三种解决方法无论在效率、经济和可扩展方面都存在很多问题，因此不适合于当前 的Internet环境。因此，目前亟需高效率、低代价、可扩展、易实施的网页内容认证系统及认 证方法，它能在不可信的网络环境下保证网页内容的真实性，并且这种系统和方法应该具有 普适性，即与现有系统兼容，可以实现很好的系统升级和过渡。

发明内容

针对现有技术存在的问题，本发明提供一种网页内容认证系统及方法。本发明的网页内 容认证系统是以数据结构和密码学相关技术为研究基础和实现手段，通过提取整个网页内容 特征值(acv)的方法来构建新的分布式数据认证系统。