CN112968902A - 一种基于命名数据网络的隐藏ip方法 - Google Patents

Abstract

本发明公开了一种基于命名数据网络的隐藏IP方法，属于计算机网络技术领域。请求者不直接通过内容请求主机向内容源主机进行内容请求，而是将需要请求的内容加密后告知给中转主机B，由中转主机B代替内容请求主机进行内容请求；内容源主机将被请求内容存储在公共存储区后，将该公共存储区地址加密后发送给中转主机B，然后再由中转主机B返回给内容请求主机，这样对于内容请求主机和内容源主机而言，它们都不知道对方的身份（ID），从而达到了隐藏IP的效果。本发明所述的隐藏IP方法解耦了请求者身份和请求者行为之间的关系，并通过对请求内容的加密，使得恶意攻击者无法通过分析数据包来获取内容请求主机的地址。

Description

一种基于命名数据网络的隐藏IP方法

技术领域

本发明涉及计算机网络领域，具体涉及一种基于命名网络的隐藏IP方法。

背景技术

命名数据网络（Named Data Networking）是由美国国家科学基金于2010年8月宣布支持的未来互联网架构方面的科研项目之一。NDN力图改变当前互联网以主机为基础的点对点通信架构，实现向以命名数据为中心的新型网络体系结构转变。NDN将关注的重点从现有网络的信息“在哪里”转移到“是什么”。NDN将内容从保护主机中解耦出来，直接保护内容，让通信机制从根本上实现可扩展。同时，NDN架构采用名字路由，参考了当前IP网络的沙漏模型，将内容块取代IP放置的细腰部分，而原来的IP层下移。NDN网络的通信是由请求方驱动的，数据可以进行块级传输，其数据报文分为兴趣包（Interest Packet）和数据包（Data Packet）两类。兴趣包和数据包都含有一个内容名称来表示用户想要获取的内容或数据包负载的数据。

IP地址是一种是全球唯一的编号，通过IP地址，计算机才能发送信息，它只有知道唯一的编号，才能不把文件送错地址。但IP地址如果暴露，恶意的攻击者将会通过IP地址进行网络攻击。

发明内容

本发明旨在解决现有技术中进行数据传输时，容易出现IP地址泄露而导致网络攻击的问题，提供了一种基于命名数据网络的隐藏IP方法，通过解耦请求者身份和请求者行为之间的关系，使得恶意攻击者无法通过分析数据包来获取内容请求主机的地址。

本发明采用如下技术方案实现：

一种基于命名数据网络的隐藏IP方法，其特征在于，包括如下步骤：

步骤S1、请求者通过内容请求主机发送内容请求，内容请求主机随机选择可信的中转主机A和中转主机B；

步骤S2、建立经内容请求主机、中转主机A和中转主机B的正向加密信道；

步骤S3、内容请求主机通过中转主机A和中转主机B提供的公钥对该请求进行加密，然后转发给中转主机B，由中转主机B代为向内容源主机进行内容请求；

步骤S4、中转主机B找到存储有被请求内容的内容源主机后，建立经内容源主机、中转主机B、中转主机A和内容请求主机的反向加密信道；

步骤S5、内容源主机生成公钥和私钥，通过公钥将被请求内容加密后放入一个公共存储区，然后将该被请求内容的公共存储区地址和能够打开该被请求内容的私钥通过反向加密信道发送给内容请求主机；

步骤S6、内容请求主机通过内容源主机提供的私钥在公共存储区中找到相应的被请求内容。

进一步的，所述请求者通过内容请求主机发送请求内容，内容请求主机随机选择可信的中转主机A和中转主机B并与之建立连接，具体包括：

内容请求主机访问中转主机表，随机选择其中一个中转主机A并建立连接；

内容请求主机再次选择另一个中转主机B与之建立连接，并将中转主机B的地址发送给中转主机A，使中转主机A和中转主机B建立连接。

进一步的，所述建立经内容请求主机、中转主机A和中转主机B的正向加密信道，具体包括：

由中转主机A生成公钥1和私钥1，中转主机B生成公钥2和私钥2，然后将公钥1、公钥2发送给内容请求主机，私钥1和私钥2分别由中转主机A和中转主机B自己掌握。

进一步的，所述中转主机B找到存储有被请求内容的内容源主机后，建立经内容源主机、中转主机B、中转主机A和内容请求主机的反向加密信道，具体包括：

由中转主机B生成公钥3和私钥3，中转主机A生成公钥4和私钥4，内容请求主机生成公钥5和私钥5，并把公钥3、公钥4和公钥5发送给内容源主机。

进一步的，内容请求主机将请求信息通过公钥1和公钥2加密，然后封装成内容请求包，发送给中转主机A，中转主机A用私钥1解密后，发送给中转主机B，由中转主机B用私钥2解密，获取内容请求包中的信息，并代替内容请求主机转发内容请求包给内容源主机。

进一步的，步骤S5中，内容源主机在向内容请求主机发送私钥之前，将有关被请求内容的交易费用和交易账号加密后发送给内容请求主机；待内容请求主机将交易费用发送到交易账号后，内容源主机确认收款再将私钥发送给内容请求主机。

进一步的，所述方法的实现基于以下组件，包括：

内容请求主机，负责请求特定的内容，并发送内容请求包给中转主机；

内容源主机，该主机拥有内容请求主机所请求的内容，可发送内容应答包给中转主机；

中转主机，用于转发内容请求主机发送的内容请求包和内容源主机发送的内容应答包；

中转主机表，存储于每台内容请求主机中，自动更新可建立连接的中转主机；

公共存储区表，存储于每台内容源主机中，内容源主机通过查询公共存储区表获取一个公共存储区的地址，并将内容请求主机的内容放入该公共存储区中；

公共存储区，用于存储内容源主机放入的内容。

与现有技术相比，本发明所达到的有益效果如下：

1、本发明所述的隐藏IP方法，请求者不直接通过内容请求主机向内容源主机进行内容请求，而是将需要请求的内容加密后转发给中转主机B，由中转主机B代替内容请求主机进行内容请求。因此对其他主机来说，进行内容请求的是中转主机B，而不是内容请求主机，该方法解耦了请求者身份和请求者行为之间的关系，并通过对请求内容的加密，使得恶意攻击者无法通过分析数据包来获取内容请求主机的地址；

2、本发明所述的方法，内容源主机将被请求内容存储在公共存储区后，将该公共存储区地址加密后发送给中转主机B，然后再由中转主机B返回给内容请求主机，这样对于内容请求主机和内容源主机而言，它们都不知道对方的身份（ID），从而达到了隐藏IP的效果。

附图说明

本发明的前述和下文具体描述在结合以下附图阅读时变得更清楚，附图中：

图1是本发明的结构组成及传输路径示意图。

具体实施方式

下面通过几个具体的实施例来进一步说明实现本发明目的技术方案，需要说明的是，本发明要求保护的技术方案包括但不限于以下实施例。

实施例1

本实施例提供了一种基于命名数据网络的隐藏IP方法，如图1所示，该方法的实施需要部分组件支持，所述组件包括内容请求主机、内容源主机、中转主机、中转主机表、公共存储区表和公共存储区。

所述内容请求主机负责请求特定的内容，并发送内容请求包给中转主机。

所述内容源主机拥有内容请求主机请求的内容，可发送内容应答包给中转主机。

所述中转主机负责转发内容请求主机发送的内容请求包，和转发内容源主机发送的内容应答包。

所述中转主机表（Transfer Computer Table，TCT）类似于路由表，用于负责转发内容请求包和内容应答包，每台内容请求主机上都存储一张中转主机表，并能够像路由表一样更新，剔除无法与内容请求主机建立连接的中转主机，或补充新的可连接的中转主机。从TCT表中选择的中转主机是可信的主机。

所述公共存储区用于存储内容源主机放入的内容。公共存储区相当于一个独立的存储盘，每台内容源主机都存储一张公共存储区表（Public Storage Table, PST），内容源主机通过查询该表，通过合适的算法可获得一个公共存储区的地址，然后将内容请求主机请求的内容放入该公共存储区。

基于上述组件的隐藏IP方法具体步骤如下：

步骤一、内容请求主机访问中转主机表，从中随机选择一个中转主机A建立连接。

步骤二、中转主机A生成一对私钥1和公钥1，然后将公钥1通过步骤1建立的连接发送给内容请求主机，私钥1由中转主机A掌握。

步骤三、内容请求主机再次访问TCT表，从中随机选择另一个中转主机B

，将中转主机B的地址发送给中转主机A，由中转主机A和中转主机B建立连接。

步骤四、中转主机B生成一对私钥2和公钥2，然后将公钥2通过步骤3和步骤1建立的连接发送给内容请求主机，私钥2由中转主机B掌握。

上述步骤一到步骤四建立起了正向加密信道，采用两个中转主机可以防止恶意攻击者。由于在内容请求主机和内容源主机之间的通信都进行了加密，所以恶意攻击者不可能通过分析数据包的形式，直接锁定请求该内容的主机，但是它却可以得到一个可疑的主机集合，如果没有中转主机，那么可疑的主机集合中就一定有请求该内容的主机；如果只有一个中转主机，那么恶意节点可以通过监测内容源主机获得一个可能的中转主机集合，然后再通过监测这个中转主机集合中的主机，就可以获得可疑的内容请求主机集合，假设与每台主机通信的主机数量为N，那么只有一个中转主机的情况下，可疑的主机数量为N²。使用两台中转主机可以提升可疑的主机数量，从而增加恶意攻击者发现IP的难度。

当然，也可以使用更多台中转主机，但这样会花费更多时间建立加密信道（私钥、公钥的产生和分发），增加每次通信的时间。

步骤五、内容请求主机将请求内容通过公钥1和公钥2加密，然后封装成内容请求包，发送给中转主机A，命名数据网络是通过名字获取内容，内容请求包中所包含的内容可以是该内容的名字或哈希码；中转主机A用私钥1解密后，由于报文还有公钥2加密，所以中转主机A获取不到有效内容，随后将该解密后的报文发送给中转主机B。

步骤六、中转主机B用私钥2解密后，获得该请求内容的具体信息，并代替内容请求主机转发内容请求包给内容源主机。

步骤七、若中转主机B找到存储有被请求内容的内容源主机，则中转主机B和内容源主机建立连接。

步骤八、此时中转主机B将会生成私钥3和公钥3，中转主机A生成私钥4和公钥4，内容请求主机生成私钥5和公钥5，然后中转主机B、中转主机A和内容请求主机把公钥3、公钥4和公钥5通过步骤一、步骤三和步骤七建立的连接发送给内容源主机。该步骤建立了反向加密信道，这样可以保证内容源主机发送给内容请求主机的消息的安全性。

步骤九、内容源主机生成一对私钥6和公钥6，然后将私钥6通过步骤八建立的反向加密通道发送给内容请求主机，公钥6由内容源主机掌握。然后内容源主机访问公共存储区表，从中随机选择一块能够存储被请求内容的公共存储区。接着用公钥6将该被请求内容加密后放入该公共存储区。

步骤十、内容源主机将有关被请求内容的交易金额和交易账号用公钥3、公钥4、公钥5加密后，通过已建立的连接，发送给内容请求主机，内容请求主机将交易费用发送到交易账号，由内容源主机确认收款。该步骤的设置时因为，在命名数据网络中，不同于TCP/IP网络，每台主机都可能成为内容源主机，为了每台主机都能维护好自己的内容，需要支付一定的费用来激励它来完成这项工作。

步骤十一、内容源主机将被请求内容存储的公共存储区地址和能够打开该加密内容的私钥6用公钥3、公钥4和公钥5加密后发送给中转主机B，中转主机B用私钥3解密后，将解密后的报文发送给中转主机A，中转主机A用私钥4解密后再将解密后的报文发送给内容请求主机，内容请求主机用私钥5解密后，就可获得私钥6以及该内容的公共存储区地址。

步骤十二、内容请求主机访问该内容的公共存储区地址，并用私钥6获取被请求内容。

在上述步骤一到步骤十二中，由于内容请求行为是由中转主机B代替内容请求主机执行的，内容源主机返回的消息中只包含了交易费用、交易账号以及存储该内容的公共存储区地址，不包含内容源主机的地址。因此对内容请求主机和内容源主机而言，它们互相不知道对方IP，也就达到了隐藏IP的效果。

实施例2

本实施例基于实施例1的全部内容，不同之处在于，在实施例1的步骤九中，若公钥私钥由内容源主机生成，那么可以将私钥发送给各个内容请求主机，而内容源主机只用放一份加密的内容在公共存储区中，但这样做会存在私钥泄露的风险。

因此，在实施例1的步骤九中，也可以由内容请求主机生成私钥6和公钥6，然后将公钥6通过正向加密信道发送给内容源主机，这样的区别在于，若公钥6和私钥6由内容请求主机生成，那么私钥仅能由该内容请求主机一台掌握，若有多个内容请求主机请求相同内容，每台内容请求主机都会生成一对公私钥，然后内容源主机用不同公钥加密相同内容，再放入公共存储区，即使给公共存储区造成较大压力，但避免了私钥泄露的风险。

以上所述仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，对于熟悉本技术领域的技术人员来说，根据本发明的技术方案及其发明构思加以等同替换或修改，均应当包括在本发明的保护范围之内。

Claims (9)

1.一种基于命名数据网络的隐藏IP方法，其特征在于，包括如下步骤：

步骤S1、请求者通过内容请求主机发送内容请求，内容请求主机随机选择可信的中转主机A和中转主机B；

步骤S2、建立经内容请求主机、中转主机A和中转主机B的正向加密信道；

步骤S3、内容请求主机通过中转主机A和中转主机B提供的公钥对该请求进行加密，然后转发给中转主机B，由中转主机B代为向内容源主机进行内容请求；

步骤S4、中转主机B找到存储有被请求内容的内容源主机后，建立经内容源主机、中转主机B、中转主机A和内容请求主机的反向加密信道；

步骤S5、内容源主机被请求内容加密后放入一个公共存储区，然后通过反向加密信道告知内容请求主机；内容请求主机在公共存储区中找到相应的被请求内容。

2.根据权利要求1所述的一种基于命名数据网络的隐藏IP方法，其特征在于，所述请求者通过内容请求主机发送请求内容，内容请求主机随机选择可信的中转主机A和中转主机B并与之建立连接，具体包括：

内容请求主机访问中转主机表，随机选择其中一个中转主机A并建立连接；

内容请求主机再次选择另一个中转主机B与之建立连接，并将中转主机B的地址发送给中转主机A，使中转主机A和中转主机B建立连接。

3.根据权利要求1所述的一种基于命名数据网络的隐藏IP方法，其特征在于，所述建立经内容请求主机、中转主机A和中转主机B的正向加密信道，具体包括：

由中转主机A生成公钥1和私钥1，中转主机B生成公钥2和私钥2，然后将公钥1、公钥2发送给内容请求主机，私钥1和私钥2分别由中转主机A和中转主机B自己掌握。

4.根据权利要求1所述的一种基于命名数据网络的隐藏IP方法，其特征在于，所述中转主机B找到存储有被请求内容的内容源主机后，建立经内容源主机、中转主机B、中转主机A和内容请求主机的反向加密信道，具体包括：

由中转主机B生成公钥3和私钥3，中转主机A生成公钥4和私钥4，内容请求主机生成公钥5和私钥5，并把公钥3、公钥4和公钥5发送给内容源主机。

5.根据权利要求3所述的一种基于命名数据网络的隐藏IP方法，其特征在于，内容请求主机将请求信息通过公钥1和公钥2加密，然后封装成内容请求包，发送给中转主机A，中转主机A用私钥1解密后，发送给中转主机B，由中转主机B用私钥2解密，获取内容请求包中的信息，并代替内容请求主机转发内容请求包给内容源主机。

6.根据权利要求1所述的一种基于命名数据网络的隐藏IP方法，其特征在于，步骤S5中，内容源主机生成公钥和私钥，通过公钥将被请求内容加密后放入一个公共存储区，然后将该被请求内容的公共存储区地址和能够打开该被请求内容的私钥通过反向加密信道发送给内容请求主机，内容请求主机通过内容源主机提供的私钥在公共存储区中找到相应的被请求内容。

7.根据权利要求1所述的一种基于命名数据网络的隐藏IP方法，其特征在于，步骤S5中，内容请求主机生成公钥和私钥，并将公钥通过正向加密信道发送给内容源主机，内容源主机使用该公钥将被请求内容加密后再放入公共存储区，内容请求主机通过私钥在公共存储区中找到相应的被请求内容。

8.根据权利要求6所述的一种基于命名数据网络的隐藏IP方法，其特征在于，步骤S5中，内容源主机在向内容请求主机发送私钥之前，将有关被请求内容的交易费用和交易账号加密后发送给内容请求主机；待内容请求主机将交易费用发送到交易账号后，内容源主机确认收款再将私钥发送给内容请求主机。

9.根据权利要求1至8任意一项所述的一种基于命名数据网络的隐藏IP方法，其特征在于，所述方法基于以下组件来实现，所述组件包括：

内容请求主机，负责请求特定的内容，并发送内容请求包给中转主机；

内容源主机，该主机拥有内容请求主机所请求的内容，可发送内容应答包给中转主机；

中转主机，用于转发内容请求主机发送的内容请求包和内容源主机发送的内容应答包；

中转主机表，存储于每台内容请求主机中，自动更新可建立连接的中转主机；

公共存储区表，存储于每台内容源主机中，内容源主机通过查询公共存储区表获取一个公共存储区的地址，并将内容请求主机的内容放入该公共存储区中；

公共存储区，用于存储内容源主机放入的内容。

Images