[发明专利]公钥的高速报文验证方法

说明书

本发明公开了公钥的高速报文验证方法，方法包括：PKG生成初始化参数和系统主密钥，形成并发布系统公共参数PP；用户A向PKG发送IP地址，PKG生成用户A的私钥并返回用户A；报文检查者向PKG发送身份标识，PKG生成报文检查者的私钥，并返回报文检查者；用户A生成消息认证密钥，利用消息认证密钥生成MAC，发送IP报文给用户B；报文检查者解析报文中的源IP地址、目的IP地址、版本号、标志、消息M和MAC，根据报文检查者的私钥和用户A的源IP地址生成验证密钥，利用验证密钥和消息M生成MAC'，若MAC'＝MAC，则验证成功。本发明不依赖于证书机构或者PKI，不需要在线查询、验证公钥，大大增强了安全技术的可用性和可扩展性。

技术领域

本发明属于计算机网络安全技术领域，尤其是涉及公钥的高速报文验证方法。

背景技术

当前互联网变得越来越庞大而复杂，IP地址兼具身份和定位的语义过载特性带来了极大的安全威胁。互联网中的网络设备仅根据报文中的目标IP地址进行寻址转发，并不对源地址进行验证。攻击者随意伪造报文中的源IP地址对互联网进行攻击，而网络数据平面无法验证源地址的合法性，使得对攻击者的追溯定位变得极为困难。同时，在通信过程中，网络报文篡改和注入等攻击可导致网络混乱和非法隐蔽通信，需要对通信报文的完整性进行验证，确保接收方收到的通信数据是合法且完整的。

针对源地址欺骗攻击，研究者们提出了很多方法来抵御或者减少源地址欺骗攻击。一类是基于规则的检测机制，这类机制的基本思想是构建规则库，但是这种机制误报率高，易被逃避。另一类是基于密码学的源认证机制，这类机制的基本思想是确认地址的所有权，安全能力强。代表方案有CGA(Cryptographically Generated Addresses密码驱动的地址)，但是CGA方案需要用公钥做两次验证，不能实现子网地址鉴别，无法保证路由前缀安全；而且无法应用于IPv4。同时此类方案需要依赖复杂的PKI证书体系在线伴行，严重限制了此类方案的可用性和可扩展性。

发明内容

本发明提出了一种公钥的高速报文验证方法，基于标识密码实时验证源IP地址的可信，同时能够高速验证报文的完整性。

本发明提供一种公钥的高速报文验证方法，包括如下步骤：

S10：标识密码生成机构生成初始化参数和系统主密钥，形成并发布系统公共参数PP；

S20：用户A向所述标识密码生成机构发送IP地址，所述标识密码生成机构根据用户A的IP地址，生成用户A的私钥s_A并返回给用户A；

S30：报文检查者Pchecker向所述标识密码生成机构发送身份标识ID_check，所述标识密码生成机构生成所述报文检查者Pchecker的私钥s_check，并返回给所述报文检查者Pchecker；

S40：用户A根据用户A的私钥s_A、所述报文检查者Pchecker的身份标识ID_check和安全因子x生成消息认证密钥S，利用所述消息认证密钥S生成第一消息摘要MAC，并把所述第一消息摘要MAC嵌入到IP报文中，发送所述IP报文给用户B；

S50：所述报文检查者Pchecker收到用户A发送的所述IP报文，解析所述IP报文中的源IP地址、目的IP地址、版本号、标志、消息M和所述第一消息摘要MAC；根据所述报文检查者Pchecker的所述私钥s_check和用户A的源IP地址生成验证密钥S'，利用所述验证密钥S'和收到的消息M生成第二消息摘要MAC'，若MAC'＝MAC，则验证成功。

进一步的，所述S10步中包括：