一种适用于可信连接的数据传输方法
【专利摘要】本发明公开了一种适用于可信连接的数据传输方法，涉及信息安全和网络通信领域，该方法通过在各网络节点上部署相同结构的可信传输系统，并通过可信传输协议实现网络节点间数据的可信传输。可信传输系统为可信传输协议提供可信功能支持，该可信传输协议层中传输数据可附带多个可信扩展项来描述不同用户对其的可信属性认知，各节点用户可以转发其它用户对传输数据的可信属性认知，也可在传输信息上附加自己的可信属性认知。相对于传统的数据传输协议，该发明采用了可扩展、可拼接的可信信息格式，实现了网络中不同节点间的带属性的可信连接，为实现多信任源模式下信任的转发、传递，处理复杂的信任关系提供了有效地支持。
【专利说明】一种适用于可信连接的数据传输方法
【技术领域】
[0001]本发明涉及信息安全和网络通信领域，利用可信计算的思想为不同网络节点提供一种能够实现可信互联的数据传输方法。
【背景技术】
[0002]21世纪是信息化的时代。信息技术产业迅猛发展，已经成为当今时代发展的一个大趋势，并在全球范围内展开了一场以信息技术为中心的信息革命，引导着信息化在全球范围内实现。但另一方面，在信息技术迅速发展的同时，有关信息安全的问题也越来越多，如常见的数据安全、内容安全、行为安全和设备安全等。为确保信息的安全，安全机制已成为信息系统必备的配置。
[0003]为保障安全机制的可靠运行，安全机制自身必须是可信的。而近年来流行的可信计算技术则是从信息系统的硬件和底层出发，从信息安全的整体上来采取可信措施，来保障信息系统安全机制可信的技术。
[0004]可信计算的思想是在计算机系统中建立起一个可信根，用来作为可信的基础，再在可信根的基础上，通过可信度量技术一级度量一级，一级验证一级，构建起一个信任链条，将信任传递到信息系统的应用层面，再通过不同信息系统之间的可信连接，将信任扩展到整个网络环境。
[0005]传统的可信计算技术，如国际上可信计算组织的可信计算技术，是将系统元件简单地划分为可信和不可信两类，从大家共同认可的可信根出发，通过统一的认证体系(如微软认证证书)，实现可信度量和可信链的传递。但在实际网络环境特别是云计算等新兴计算模式的网络环境中，各实体间的信任关系很难简单地进行二元划分。
[0006]以云计算环境为例，其中的基本角色包括云租户、云服务商和云监管方，在一些场合还要加上云销售商和云基础设施提供商。云环境角色间的关系是一种多方、包括技术因素和人员因素、可传递的信任关系，每一方都有自己的信任源头，都需要对自身相关的信任策略进行自主管理，而不能简单地由第三方代劳。TCG所采用的二元信任模式将难以准确表达云环境中的复杂信任关系。
[0007]本发明提出了一种适用于可信连接的数据传输方法，该方法通过在各网络节点上部署相同结构的可信传输系统，并通过可信传输协议实现网络节点间数据的可信传输。可信传输系统为可信传输协议提供可信功能支持，而协议通过可扩展、可拼接的可信信息格式，实现网络中不同节点间的带属性的可信连接。这种可信连接可以实现多信任源模式下信任的转发、传递，处理复杂的信任关系，为云计算等新兴计算模式下信息系统的可信提供有效支持。
【发明内容】
[0008]为了实现不同网络节点间数据的可信传输，本发明提供了 一种适用于可信连接的数据传输方法。在本发明中，不同网络节点上部署相同结构的可信传输系统，并通过可信传输协议实现网络节点间数据的可信传输。传输数据可附带多个可信扩展项来描述不同用户对其的可信属性认知。数据的发送方可以转发其它用户对传输数据的可信属性认知，也可在传输信息上附加自己的可信属性认知，接收方则可验证传输数据上附带的所有可信扩展项，获得不同用户对传输数据的可信属性认知，并可确认这些可信属性认知与传输数据的绑定关系，以及这些可信属性认知的不可篡改、不可否认。
[0009]为达到上述发明目的，本发明采用以下技术手段实现的:
[0010]一种适用于可信连接的数据传输方法在各网络节点上部署结构相同的可信传输系统，各网络节点上的可信传输系统相互连接，依赖可信传输协议，实现各网络节点间数据的可信传输。
[0011]网络节点上的可信传输系统可分为三层:用户层、可信处理层和可信服务层。用户层包括用户开发库，用来实现与用户的交互；可信处理层，包括可信策略库、可信模块，用来实现可信传输协议层数据的封装、解封和验证；可信服务层包括可信服务模块，提供可信传输协议所需的哈希算法、签名和认证、加密和解密等可信功能。可信传输系统的构建方法如下:
[0012]步骤1.1:用户开发库向用户提供包括可信属性和传输数据在内的可信数据的传输接口。用户可通过传输接口向用户开发库输入待传输的数据或从开发库中读取其它节点传来的可信数据，用户开发库函数对数据进行初步封装，添加发送节点、接收节点以及数据可信属性信息，并发送到可信处理层。
[0013]步骤1.2:可信策略库用来存储预设的可信策略，包括指定可信类型的可信数据封装格式，为可信模块提供可信策略。
[0014]步骤1.3:可信模块接收用户开发库发来的初步封装的可信数据，根据可信数据中的可信属性，查询预设的可信策略，确定可信数据封装格式，并调用可信服务模块的可信功能完成传输数据的可信身份标识，实现对可信传输协议层数据的封装。
[0015]步骤1.4:可信服务模块提供可信功能的调用接口，通过可信功能的调用接口向可信模块提供可信支撑，可信功能包括哈希算法、密钥、签名与认证算法、加密和解密算法。
[0016]一种适用于可信连接的数据传输方法其特点在于不同节点上的可信传输依据带可信属性的可信传输协议进行通信，包括可信属性和可信传输协议两部分。可信属性采用分类标记的规则来描述不同网络节点间数据的可信依赖关系，根据当前节点中传输数据的可信属性生成当前节点对于传输数据的可信身份标识，适用于传输数据在不同节点间信任连接的建立，具体的标记步骤分为级别标记、用户身份标记、授权标记和可信类型标记四部分，构建方法如下:
[0017]步骤2.1:用户对数据的信任度级别标记，根据用户对传输数据的信任程度，完成对传输数据的级别标记，信任度越高，级别标记越高；
[0018]信任度级别用无符号整数来表示。用户对传输数据的完全信任为最高级别标记，用O来表不。
[0019]步骤2.2:采用用户的唯一标示符完成用户身份标记，用户身份标记用来描述用户的身份，能够把相同节点上的不同用户区分开来；
[0020]步骤2.3:授权标记表示用户是否允许其他用户转发该用户对传输数据的信任，用来描述不同用户对传输数据的信任转发关系；[0021]用户同意其他用户转发该用户对传输数据的信任，用O来表示；用户不同意其他用户转发该用户对传输数据的信任，用I来表示。
[0022]步骤2.4:根据传输数据的可信身份标识的数据类型，完成可信类型标记，用来描述可信身份标识对传输数据的可信认证关系，包括实现签名认证的数据类型标识和实现加密认证的数据类型标识。
[0023]可信类型标记采用可信策略的类型表示。可信策略是用来描述传输数据的可信身份标识的数据格式，包括实现传输数据的签名认证的可信策略、实现传输数据的加密认证的可/[目策略。
[0024]一种适用于可信连接的数据传输方法，其特点在于可信模块根据传输数据的可信属性能够生成传输数据的可信身份标识，并将传输数据及其可信身份标识封装到可信传输协议层数据中，实现传输数据及其可信身份标识的绑定。可信传输协议包括头部信息、传输数据和扩展信息，协议格式如下:
[0025]步骤3.1:头部信息用来描述当前可信传输协议数据的基本信息，用于实现可信传输协议层数据的封装和解封、以及传输数据的完整性验证。
[0026]头部信息中包括可信传输协议的类型标识、发送方身份标识、接收方身份标识、传输数据类型标识、传输数据总长度、扩展信息总长度和摘要值。可信传输协议类型标识用来标记可信传输协议，将可信传输协议与其他协议区分开来；发送方身份标识用发送节点的唯一标识符来标记，用来标记发送节点的身份；接收方身份标识用接收节点的唯一标识符来标记，用来标记接收节点的身份；传输数据类型标识用传输数据的数据类型来标记，用来指明传输数据的数据结构类型；传输数据总长度用来描述所有待传输数据的总长度；扩展项数目用来描述传输数据有多少种可信身份标识；扩展信息总长度用来描述扩展信息中所有扩展项的总长度；摘要值用来存放传输数据的摘要值。
[0027]步骤3.2:传输数据，用来存储待传输的数据。
[0028]步骤3.3:扩展信息，用来描述传输数据的可信身份标识，包括一条或多条扩展项，每条扩展项用来描述根据一个可信属性生成的传输数据的可信身份标识，扩展项以拼接的方式，依次排列存储在扩展信息中。
[0029]扩展项中包括扩展项长度、可信类型和可信身份标识。扩展项长度用来描述当前扩展项的总长度；可信类型用于描述生成可信身份标识的的可信策略的类型，与可信属性中的可信类型标记一致；可信身份标识是传输数据按照可信类型标记的可信策略生成的可信数据，表示符合可信属性的传输数据的可信身份。
[0030]本发明提出了一种适用于可信连接的数据传输方法，通过可信传输系统完成带可信属性的可信传输协议层数据的封装、解封和验证。可信属性描述了传输数据在不同节点间的可信依赖关系，可信传输系统依赖可信计算提供的功能，计算带可信属性的传输数据的可信身份标识；可信传输协议层数据中携带了传输数据的可信身份标识，根据可信传输协议层数据的扩展信息就能够验证传输数据的可信属性，实现网络间带属性的可信传输。本发明提出的可信传输协议对头部信息、扩展信息采用可扩展、可拼接的可信信息格式，这种可信连接传输可以实现多信任源模式下信任的转发、传递，处理复杂的信任关系，为云计算等新兴计算模式下信息系统的可信提供有效支持。【专利附图】
【附图说明】
[0031]图1本发明的可信传输系统结构图；
[0032]图2本发明的可信传输协议层原理图；
[0033]图3本发明的一实施例的节点上的可信传输协议层数据图。
【具体实施方式】
[0034]为了使本领域的人员能够更好的了解和使用本发明，下面将结合附图和具体实施案例对本发明的技术方案进行进一步描述。本实例所描述的实施案例仅是本发明的部分实施案例，对于本领域人员来说能够很容易的对下述的实施案例进行变换和修改，在不脱离本发明原理的基础上，使本发明应用到其他可信数据传输过程中。因此，该实施案例仅是用来阐述本发明的原理，而不作为本发明原理的限定。
[0035]在本发明中，可信传输系统和可信传输协议是由本发明 申请人:自己定义的，可信服务模块提供的哈希算法、签名和认证、加密和解密等可信功能是由现有可信计算技术实现的，不是本发明的重点，这里就不再详细描述。
[0036]图1说明符合本发明一实施例的可信传输系统结构图。可信传输系统分为三层:用户层、可信处理层和可信服务层。用户层包括用户开发库，用来实现与用户的交互；可信处理层包括可信策略库、可信模块，用来实现可信传输协议层数据的封装、解封和验证；可信服务层包括可信服务模块，提供可信传输协议所需的哈希算法、签名和认证、加密和解密等可信功能。可信传输系统的构建方法如下:
[0037]用户开发库为采用C语言编写的函数库，向用户提供包括可信属性和传输数据在内的可信数据的传输接口。用户可通过传输接口向用户开发库输入待传输的数据或从开发库中读取其它节点传来的可信数据，用户开发库函数对数据进行初步封装，添加发送节点、接收节点以及数据可信属性信息，并发送到可信处理层；
[0038]可信策略库用来存储预设的可信策略，包括指定可信类型的可信数据封装格式，为可信模块提供可信策略。
[0039]可信模块包括可信处理进程，可信处理进程接收用户开发库发来的初步封装的可信数据，根据可信数据中的可信属性，向可信策略库中查询预设的可信策略，确定可信数据封装格式，并调用可信服务模块生成传输数据的可信身份标识，实现对可信传输协议层数据的封装。
[0040]可信服务模块包括可信软件栈TSS，用来提供可信功能的调用接口为可信模块提供可信支撑，可信功能包括哈希算法、密钥、签名与认证算法、加密和解密算法等。
[0041]本发明一实施例的可信属性包括四部分:级别标记、用户身份标记、授权标记和可信类型标记，可以用表一来表示:
[0042]表一:
[0043]
【权利要求】
1.一种适用于可信连接的数据传输方法，采用带可信属性的可信传输协议实现网络间数据的可信传输，包括可信属性和可信传输协议两部分，其特征在于:可信属性使用分类标记的规则来描述不同网络节点间的可信依赖关系，传输数据根据可信属性生成可信身份标识，可信传输协议携带可信身份标识，实现传输数据和可信身份标识的绑定。
2.如权利要求1所述的一种适用于可信连接的数据传输方法，其特征在于所述可信属性采用{级别标记，用户身份标记，授权标记，可信类型标记}四元组的方式来标记，其具体构建过程为: 步骤2.1:级别标记，即用户对数据的信任度级别，根据用户对传输数据的信任程度，完成对传输数据的级别标记，信任度越高，级别标记越高，确保只有对传输数据的信任度高的用户才能访问对传输数据的信任低的用户的可信信息； 步骤2.2:用户身份标记，即采用用户的唯一标示符完成用户身份的标记，根据用户身份标记描述用户的身份； 步骤2.3:授权标记，即用户是否允许其他用户转发该用户对传输数据的信任，用授权标记来描述不同用户对传输数据的信任转发关系； 步骤2.4:可信类型标记，即根据传输数据的可信信息的数据结构类型，完成可信类型标记，包括实现签名认证的数据结构的类型标识和实现加密认证的数据结构类型标识，用可信类型标记描述可信信息对传输数据的可信认证关系。
3.如权利要求1所述的一种适用于可信连接的数据传输方法，其特征在于所述的可信身份标识用可信信息来描述，可信信息包括身份和状态绑定的可信度量、不同角色的签名和多重加密； 所述的可信传输协议根据传输数据的可信属性将传输数据封装成为可信传输协议层数据； 所述的可信传输协议层数据整体作为传输数据通过网络传送给目的节点的可信模块；目的节点的可信模块完成可信传输层协议数据中所传输的数据的可信认证。
4.如权利要求3所述的一种适用于可信连接的数据传输方法，其特征在于所述可信传输协议包括头部信息、传输数据和扩展信息；可信模块根据可信传输协议层数据的头部信息和扩展信息，对传输的数据进行可信认证，具体包括: 步骤4.1发送节点的可信模块根据可信属性生成传输数据的可信身份标识，根据传输数据和可信身份标识填充可信传输协议层数据的头部信息和扩展信息，生成可信传输协议层数据； 步骤4.2发送节点的可信模块将可信传输协议层数据传送给接收节点的可信模块； 步骤4.3接收节点接收可信传输协议层数据； 步骤4.4接收节点的可信模块根据可信传输协议层数据的头部信息和扩展信息验证可信传输协议层数据中的传输数据； 步骤4.5接收节点的可信模块根据接收节点的可信属性生成接收节点对于传输数据的扩展项，在可信传输协议层数据的扩展信息中拼接新生成的扩展项，实现不同属性的可信验证标识； 步骤4.6接收节点的可信模 块将新的可信传输协议层数据封装发送给下一个节点的可信模块。
5.如权利要求1或3所述的一种适用于可信连接的数据传输方法，其特征在于可信传输协议层包括头部信息、传输数据、扩展信息；所述的头部信息用于存放本可信传输协议层数据的信息，扩展信息用于可信传输协议层数据的可信信息；所述的头部信息中存放的可信传输协议层数据的信息包括传输数据的摘要值，用于描述传输数据的完整性；所述的扩展信息中能够存放一个或多个扩展项，一个扩展项包括一条根据可信属性生成的可信传输协议层数据的可信身份标识，可信身份标识用来描述待传输数据的可信身份。
6.如权利要求3所述的方法，其特征在于可信模块为可信传输协议提供可信功能的支持，包括用来计算摘要值的哈希算法、签名及其认证、加密和解密；所述的可信模块用来实现可信传输协议层数据的封装、解封和验证。
【文档编号】H04L29/08GK103888477SQ201410149430
【公开日】2014年6月25日 申请日期:2014年4月13日 优先权日:2014年4月13日
【发明者】胡俊, 张松鸽, 白鑫, 林莉 申请人:北京工业大学