[发明专利]基于公钥的网络

说明书

技术领域

本文提出的实施例涉及基于公钥的网络，且具体地涉及用于将节点设备与网络域相关联的方法、节点管理器、节点设备、计算机程序和计算机程序产品。

背景技术

一般而言，通信网络是用拓扑结构来构建的。拓扑结构是通信网络的各种元素(链路、节点、设备等)的布置。拓扑结构可以表示通信网络的物理外观和/或逻辑功能。物理拓扑结构是通信网络的各种组件的放置，例如与设备位置和线缆安装相关，而逻辑拓扑结构表示通信网络内的数据流，而不管其物理设计如何。因此，节点之间的距离、物理互连、传输速率或信号类型在两个通信网络之间可能不同，但是它们的拓扑结构可能是相同的，并且一个拓扑结构可以分布在多个节点上。

网络认证和授权机制传统上是集中式的。分布式网络拓扑结构在其所有功能被分布时具有最大的适应能力。因此，拥有分布在通信网络中所有(或多个)节点上的认证和授权机制可能是有用的。

在通信网络上存在许多已知的攻击(不管通信网络是否是分布式的)。下面列出了一些常见的攻击类型。然而，如本领域技术人员所理解的，这仅仅是可能够在通信网络中发生的攻击的少数示例。攻击者可能会伪造另一个节点的身份。攻击者可能会在信息到达目的地之前改变信息。攻击者可能窃听其他节点的通信。攻击者可能会将加密或未知的通信重传给节点，以导致某些行为在目标节点上重复。

可以使用两个通信节点之间的加密信道来防止基于被动窃听的网络攻击。

公钥密码术(也称为非对称密码术)是一类加密算法，它要求每个节点具有两个单独的密钥，其中一个密钥是秘密的(或私密的)，表示为私钥，且其中一个密钥是公开的，表示为公钥。为了能够将加密的消息分发(或中继)到正确的目的地节点，且为了能够在使用公钥的过程中验证消息的真实性，至关重要的是(正在中继加密的消息的)所有节点知道发送节点的公钥。

一般而言，网格网络是其中每个节点均中继网络的数据的网络拓扑结构。所有节点在网络中的数据分发中合作。网格网络中的节点称为网格节点。因此，给定网格网络中的每个节点可能需要知道该给定网格网络中所有其他节点的公钥。传统上这是使用公钥基础设施实现的。一般而言，可以通过创建、管理、分布、使用、存储和撤销数字证书所需的硬件、软件、策略和/或过程的集合来提供公钥基础设施(PKI)。PKI传统上基于集中式的节点证明所有其他节点的证书的真实性。通过使用根证书来对节点的公钥进行加密签名，以实现认证。现有的基于PKI的方案是集中式的，且因此对网络攻击和从其他网络断开连接而言具有较低适应能力。

另一种可能性是使用对称密码术，这意味着所有节点共享公共秘密来加密和解密网络中的所有消息。一般而言，对称密码学中使用的对称密钥算法是使用相同的加密密钥来进行明文加密和密文解密的密码学的算法。密钥可以是相同的，或者在两个密钥之间可存在简单的转换。实际上，该密钥表示可用于维护私密信息链路的两个或多个节点之间的共享秘密。

传统上使用密码随机数(客户端随机数(cnonce))缓解了上述的重传攻击。一般而言，随机数(nonce)可以被认为是随机数字身份，其在加密会话中仅被使用一次以用于识别在通过密码信道发送查询和响应时正被响应的消息。通过使用随机数，攻击者在实际中通常几乎不可能再次“重放”相同的数据分组以再现相同的结果。

节点到节点通信中使用的另一个概念是共享公共秘密。虽然这个概念适于小规模应用，但是其尺寸不能很好地扩缩，并因此对于大量的节点(其中更可能发生数据泄漏)而言是不实际的。如果一个节点将共享秘密泄漏给攻击者，则所有节点的隐私都会受到损害。共享秘密方法缺乏认证身份管理；这意味着节点不能被安全地单独识别。

分布式散列表(DHT)是冗余地存储在分布式网络中的许多节点上的共享数据库。每个条目可被存储为包括密钥和值的对。节点可以使用命令FindNode来请求DHT中节点身份的列表。节点可以使用命令Ping来验证节点可用性。节点可以使用命令AnnouncePeer来将条目写入到DHT并共享。节点可以使用GetPeers命令从DHT中读取其他节点的数据。每个节点存储包含相邻节点的节点标识符的路由表。如果节点接收到针对不在其任何本地DHT中的节点的FindNode请求，它可以用整个本地DHT进行答复。这样做是为了允许查询节点在网络中扩展其搜索。