[发明专利]一种缓解命名数据网络中内容毒害攻击的方法

说明书

本发明公开了一种缓解命名数据网络中内容毒害攻击的方法，首先基于内容名字和发布者公钥转发报文以减少毒害报文进入网络；其次，多路径重传兴趣报文并针对性地验证缓存或返回的数据报文：若兴趣报文在向合法数据源转发的路径上被毒害报文响应，用户重发兴趣报文并声明网络不能用刚收到的毒害报文响应重传的兴趣报文，路由器多路径转发重传的兴趣报文并针对性地验证缓存或返回的数据报文，进而清除缓存在网络中的毒害报文，返回合法数据报文给当前用户，并为后续兴趣报文的转发探索新路径，以恢复合法的数据内容访问。本发明方法能够减少网络上毒害数据内容的传输和缓存，有效地降低内容毒害攻击对用户数据内容访问的影响。

技术领域

本发明属于未来网络体系结构技术领域，涉及一种缓解命名数据网络中内容毒害攻击的方法。

背景技术

命名数据网络NDN，是最有希望的未来网络体系结构之一，用内容名字标识和路由报文。网络通信由用户发送兴趣报文而启动，指定期望访问的数据内容的名字，网络节点依据内容名字将兴趣报文发往潜在的数据源以寻找匹配的数据报文，内容生成者对数据报文签名，传输数据报文的中间路由器验证签名的合法性，通过这种方式，NDN提供了基于内容的安全。

但是，路由器对一个数据报文签名的验证可能涉及获取多个公钥和验证多个签名，更重要的是，必须理解特定应用的信任语义和密钥撤销等，这给路由器带来了极大的负担。因此，NDN不强制路由器验证其转发或缓存数据报文的签名，但这为内容毒害攻击开启了大门。内容毒害攻击的攻击者将毒害报文注入网络，用毒害报文响应用户的兴趣报文，进而阻止用户访问合法数据内容。此外，在返回用户的途中，毒害报文进一步污染沿途路由器的缓存，可能进一步被用于响应其他用户的请求。虽然用户可以重发兴趣报文并声明排除已收到的毒害报文，避免网络再次返回已收到的毒害报文，但是若重传的兴趣报文不能被转发到合法的数据源，攻击者依然可以发送其他的毒害报文来响应用户重传的兴趣报文。

为了给用户提供合法的数据内容访问，网络应该尽可能地减少攻击者注入毒害报文的可能性；而当内容毒害攻击发生时，为了从内容毒害攻击中恢复，网络一方面需要将毒害报文从缓存中清除，另一方面需要将兴趣报文从其他路径发往合法的数据源。已有的研究工作IKB(Interest Key Binding)提出将用户发送的兴趣报文与特定的内容签名密钥绑定以避免用户在未知的情况下获取毒害报文。IKB可以避免用户在未知情况下获取毒害报文，但难以保证合法内容的可达性；且仍然需要路由器验证每个传输和缓存的数据报文，这对路由器来说依然是较大的负担。还有一些研究未涉及如何为用户兴趣报文的转发探索新路径以恢复合法的数据内容访问，用户的兴趣报文可能被继续转发至攻击者进而带回其他的毒害报文；如果让用户对毒害报文的通报发送探测报文以探索兴趣报文的其他转发路径以恢复合法的数据内容访问，开销又太大。

发明内容

发明目的：本发明提供一种缓解命名数据网络中内容毒害攻击的方法，可以减少毒害报文进入NDN网络，在出现内容毒害攻击时，减少网络上毒害报文的传输和缓存并恢复合法数据内容访问，有效降低内容毒害攻击对用户数据内容访问的影响。

技术方案：本发明所述的缓解命名数据网络中内容毒害攻击的方法，包括以下步骤：

(1)基于命名数据网络中的内容名字和发布者公钥转发报文；

(2)多路径重传兴趣报文并针对性地验证缓存或返回的数据报文。

所述步骤(1)包括以下步骤：

(11)内容提供者发布内容可达的路由通告；

(12)内容提供者的接入路由器对路由通告的合法性进行验证；若通过，为该通告生成相应的转发FIB表项，记录内容名字的前缀及PPKD，并向路由系统中其他路由器扩散该路由信息；否则，丢弃该路由通告；

(13)内容请求者发送兴趣报文，指定内容的名字及信任的签名者的PPKD；