本技术公开了一种跨非协作域身份认证方法,包括:核心网内相邻路由器协商第一对称密钥及MAC地址列表,边界路由器协商全局组密钥,注册服务器验证入网用户,生成数字身份标识、匿名化身份标识,配置MAC地址列表,用户与邻接路由器协商第二对称密钥并关联,用户基于邻居发现协议获取MAC信息,确定第三对称密钥,加密匿名化身份标识,随机选MAC地址作为源MAC,计算完整性校验码并嵌入,构建数据包,数据包上传至核心网路由器,进行协作域内和跨非协作域认证。本发明从多个角度考虑了用户隐私信息的保护,能够实现源地址验证和用户身份认证,且允许数据包跨越多个非协作域,能适用于不同的场景。
背景技术
随着计算机技术的高速发展,越来越多的用户涌入到互联网络中,这些用户按照可以访问的资源范围以及所使用的服务内容等可以被细分为不同的用户组,即赋予用户身份。而随着用户数量的增多,接入网络时的身份认证和授权技术将面临考验,不仅需要保证用户身份信息安全、可信的验证服务,还需要确保资源访问限制的权限仅赋予通过身份认证的合法用户,防止第三方攻击者或其他非法用户绕过验证机制来获取网络资源和服务。例如,攻击者可能套取已验证的用户身份信息来进行网络通信。除此之外,保证认证用户在系统中的隐私安全也不可忽略,地址跳变应运而生,理想的地址跳变系统能够从每个数据包追溯到其发送者,但同时发送者本身的身份以及传输的内容需要进行隐私保护。因此,构建一个统一、可靠的身份验证和隐私保护方案是必不可少的。一个健全的身份验证系统可以有效防止未经授权的访问和身份盗用,确保敏感数据的安全性。在用户体验方面,单点登录(Single Sign On,SSO)等无缝认证机制允许用户通过一次认证服务器的认证后,无需再次提供身份信息凭证,即可访问多个应用程序,在不降低安全性的前提下减少用户操作负担。
现有技术存在以下缺点:
(1)源地址验证没有考虑隐私保护:源地址验证过程中收集的数据可能没有得到适当的加密和保护,这增加了数据泄露的风险。如果这些数据落入恶意第三方攻击者手中,用户的隐私可能会受到严重威胁。
(2)隐私保护引入的新标识符降低了可部署性:常见的地址跳变方案虽然保护了用户隐私,但是引入新的标识符的过程涉及到对现有互联网基础服务设施和协议的一系列变更,这不仅包括对路由器、交换机等网络设备的软硬件的更新,还可能涉及到对DNS、路由协议,以及各种网络管理和安全协议的大规模修改。这些变更需要网络运营商、标准化组织等多方协作参与,以确保新标识符能够在现用的网络中应用。
(3)隐私保护不够彻底:尽管采取了措施对IP地址进行隐私保护,但现有机制并不全面,因为它仅仅着眼于网络层的匿名性,而未能扩展到链路层的MAC地址保护。在某些攻击场景中,攻击者仍然能够通过数据包中的MAC地址追踪和识别用户。
(4)不支持跨非协作域场景:非协作域是指网络中与协作域相对的一种自治域,在协作域内通常部署特定的系统或服务,且协作域内的各个节点能够协调工作,以实现系统预期的功能,而在非协作域中这些系统或服务未被部署,非协作域内的节点既不参与也不配合协作域中的操作或行为。当地址发生跳变的数据包在传输的过程中需要跨越了没有部署上述系统的非协作域时,可能无法正确路由到另一协作域内的指定主机。
实现思路